• Proceedings of the Korea Information Processing Society Conference
• /
• 2011.04a
• /
• pp.854-857
• /
• 2011

최근 안드로이드가 오픈 소스 및 오픈 서비스를 기반으로 출시되었으나, 성장률에 비하여 보안성이 검증된 사례가 미미하여, 보안대책 마련이 시급한 실정이다. 따라서 본 논문에서는 안드로이드보안 아키텍쳐 및 안드로이드 어플리케이션 보안에 관하여 연구하였다. 또한 안드로이드 프레임워크 상에서 개인정보(단말의 위치정보 및 외부 계정정보)가 유출되는 보안 취약점을 실험연구를 통해 발견하였고, 이에 대한 보안대책을 제안하여, 안전한 스마트폰 환경을 제공하고자 한다.

• Journal of KIISE
• /
• v.42 no.1
• /
• pp.23-32
• /
• 2015

In the Android market, a large portion of the market share consists of third party applications, but not much research has been performed in this respect. Of these applications, mobile Voice Over IP (VoIP) applications are one of the types of applications that are used the most. In this paper, we focus on user authentication methods for three representative applications of the Google Voice service, which is a famous mobile VoIP application. Then, with respect to the Android file system, we developed a method to store and to send user information for authentication. Finally, we demonstrate a vulnerability in the mechanism and propose an improved mechanism for user authentication by using hash chaining and an elliptic curve Diffie-Hellman key exchange.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.28 no.5
• /
• pp.1179-1195
• /
• 2018

Recently, a variety of attacks on web services have been occurring through a multiple access environment such as PC, tablet, and smartphone. These attacks are causing various subsequent damages such as online fraud transactions, takeovers and theft of accounts, fraudulent logins, and information leakage through web service vulnerabilities. Creating a new fake account for Fraud attacks, hijacking accounts, and bypassing IP while using other usernames or email addresses is a relatively easy attack method, but it is not easy to detect and block these attacks. In this paper, we have studied a method to detect online fraud transaction and obsession by identifying and managing devices accessing web service using web-based device fingerprinting. In particular, it has been proposed to identify devices and to manage them by scoring process. In order to secure the validity of the proposed scheme, we analyzed the application cases and proved that they can effectively defend against various attacks because they actively cope with online fraud and obtain visibility of user accounts.

• Convergence Security Journal
• /
• v.17 no.3
• /
• pp.15-20
• /
• 2017

Cloud computing is a service that to use IT resources (software, storage, server, network) through various equipment in an Internet-enabled environment. Due to convenience, efficiency, and cost reduction, the utilization rate has increased recently. However, Cloud providers have become targets for attack Also, Abuse of cloud service is considered as the top security threat. The existing digital forensic procedures are suitable for investigations on individual terminals. In this paper, we propose a new investigation model by analyzing the vulnerable points that occur when you investigate the cloud environment with the existing digital forensic investigation procedure. The proposed investigation model adds a way to obtain account information, and can apply public cloud and private cloud together. Cloud services are also easily accessible and are likely to destroy digital evidence. Therefore, the investigation model was reinforced by adding an account access blocking step.

• Review of KIISC
• /
• v.27 no.4
• /
• pp.43-50
• /
• 2017

온라인 게임 내 가상재화를 현실 세계의 재화로 교환할 수 있다는 점 때문에, PC기반 온라인 게임 내 가상세계는 많은 작업장(Gold-farmer)들로 인한 부정행위가 빈번히 일어나고 있다. 사이버 재화를 현금거래하는 RMT (Real Money Trading)은 과거에는 PC기반 온라인게임, 특히 고포류 게임이나 MMORPG와 같은 장르들에 주로 존재했으나, 모바일 게임에서도 최근 몇 년 간 거래시장이 활발해 지고, 가치가 높은 아이템들이 출현하기 시작하면서 거래 규모가 비약적으로 성장하고 있다. 이로 인해, PC게임에서만 존재하던 작업장이 모바일 게임에도 출현하고, 게임계정 도용을 위한 모바일 악성앱이 등장하는 등 모바일 게임 내의 부정 행위 및 공격 시도 역시 증가하고 있다. 모바일 게임은 하드웨어의 성능 제약 문제, 네트워크 통신의 항상성이 보장되지 않는 문제, 안드로이드 등 플랫폼 OS 자체의 보안 문제, 앱 자체의 디컴파일 문제와 같이 근본적으로 해결하기 어려운 취약점이 존재하는 환경에서 구동되기 때문에 PC기반 게임에서의 게임 봇 및 작업장 탐지와 같은 기법을 적용하기에는 적합하지 않다. 본 연구에서는 모바일 게임 보안과 PC 게임 보안 기법들을 비교하고, 향후 모바일 게임 보안 향상을 위해 할 수 있는 방안을 제시해 보도록 한다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.21 no.6
• /
• pp.83-99
• /
• 2011

OTP (One Time Password) is widely used for protecting accounts on Internet banking, portal services and online game services in Korea. OTP is very strong method for enforcing account security but there are several ways for exploiting vulnerabilities caused by implementation errors. These attacks can work because of the weakness from OTP enabled system's vulnerabilities, not for OTP's algorithm itself. In this paper, we present the known attack scenarios such as MITM (Man-in-the-Middle) attack and various reverse engineering techniques; also, we show the test result of the attacks and countermeasures for these attacks.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2012.05a
• /
• pp.456-460
• /
• 2012

Privacy Protection Act of 30 March 2012 was performed. In general, personal information management to enhance security in the DB server has a security system but, PC for the protection of the privacy and security vulnerability analysis is needed to research on self-diagnosis. In this paper, from a PC to search information relating to privacy and enhance security by encrypting and for delete file delete recovery impossible. In pc found vulnerability analysis is Check user accounts, Checking shared folders ,Services firewall check, Screen savers, Automatic patch update Is checked. After the analysis and quantification of the vulnerability checks through the expression, enhanced security by creating a checklist for the show, PC security management, server management by semi-hwahayeo activates. In this paper the PC privacy and PC security enhancements a economic damage and of the and Will contribute to reduce complaints.

• Journal of the Korea Institute of Information and Communication Engineering
• /
• v.23 no.9
• /
• pp.1152-1159
• /
• 2019

The Nintendo Switch(NSW), which appeared as an 8th generation console, has succeeded worldwide as a hybrid gaming console. The NSW has E-shop itself, users can sign in to their account and purchase games. The keypad built in the NSW is similar to QWERTY keyboard. In the password input field the input information is hidden, but it's possible to get the value entered from the keypad with shoulder surfing attack. Because of the NSW with many party or family games, there is a high probability that someone else is watching the screen nearby, which acts as a vulnerability in account security. Thus we designed the new keypad which improve from this issue. In this paper, we check the problem about the keypad which built in the NSW, we present the proposed keypad and the compared to the built in keypad by showing the test result of unspecified individuals use.

• Proceedings of the Korea Multimedia Society Conference
• /
• 2001.11a
• /
• pp.666-670
• /
• 2001

기존의 리눅스 패스워드 인증 시스템에서는 사용자의 계정을 만들어 처음으로 로그인하여 패스워드를 생성할 때에는 사용자의 프로세스 번호와 패스워드를 생성한 시각에 해당하는 값을 seed로 하여 난수를 발생시켜서 salt값을 만든다. 이 salt값은 사용자가 서로 같은 암호를 사용할 경우 암호가 같은 값으로 저장되는걸 막기 위해서 사용하는데 시스템은 salt값과 사용자 패스워드를 단방향 DES 알고리즘을 사용하여 패스워드 파일을 암호화하여 저장한다. 그러나 패스워드 파일에 사용자암호는 암호화되어 저장되지만, salt값이 그대로 저장되기 때문에 패스워드 파일을 가져가게 된다면 사전공격 해킹툴인 John-the-ripper나 Crack 프로그램 등을 이용하여 쉬운 패스워드는 공격자에 의해 간단하게 풀려버린다. 이러한 사전공격에 대한 취약점을 해결하기 위해 암호화된 사용자 패스워드들을 시스템의 또 다른 비밀키를 사용하여 암호화하는 방법을 도입함으로써 사전공격에 강한 패스워드 인증 시스템을 설계 및 구현한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2016.10a
• /
• pp.283-285
• /
• 2016

최근 IT 기술의 발전으로 다양한 IoT 기기들이 등장하고 있다. 이러한 IoT 기기들에 접근하기 위해 사용자는 인증을 하는 과정을 거쳐야 한다. 하지만 IoT 기기들이 서로 다른 인증시스템을 가지고 있고 각각의 기기들을 통합적으로 관리하기 위해 일반적으로 IoT 게이트웨이를 이용하여 통합된 인증 시스템을 구축하여 사용하고 있다. 하지만 기존 IoT 게이트웨이의 경우 접근 시마다 사용자 계정으로 로그인해야하는 불편함과 세션 연결의 취약점이 존재한다. 따라서 본 논문에서는 IoT 게이트웨이에서 개선된 사용자 인증 및 API 접근을 위한 JWT를 제안한다.