• Proceedings of the Korea Information Processing Society Conference
• /
• 2014.11a
• /
• pp.431-434
• /
• 2014

웹서비스 사용이 보편화되면서 웹 애플리케이션의 보안취약점을 악용하는 해커들이 늘어나고 있다. 악의적인 공격으로 인한 피해를 막기 위해 보안을 견고하게 하지만 보안취약점에 의한 피해가 빈번하게 발생하고 있다. 본 논문에서는 이러한 보안취약점 중 SQL Injection 취약점과 NoSQL Injection 취약점을 분석하고, 침투 시험을 통해 사용자의 최소한의 개입만으로 SQL Injection 취약점과 NoSQL Injection 취약점을 자동으로 탐지하는 도구의 설계 방법을 제안한다. 제안한 도구는 SQL Injection 취약점과 NoSQL Injection 취약점을 탐지하기 위한 전문적인 보안 지식을 요구하지 않기 때문에 자동 침투 시험 도구를 사용하면 보안 비전문가도 쉽게 취약점을 탐지할 수 있다.

• The Journal of Korean Institute of Communications and Information Sciences
• /
• v.38B no.3
• /
• pp.190-198
• /
• 2013

Since the facilities for the remote users tend to be deployed in distributed manner, authentication schemes for multi-server communication settings, which provide various web services, are required for real-world applications. A typical way to authenticate a remote user relies on password authentication mostly. However, this method is vulnerable to attacks and inconvenient as the system requires users to maintain different identities and corresponding passwords. On the other hand, the user can make use of a single password for all servers, but she may be exposed to variants of malicious attacks. In this paper, we propose an efficient and secure authentication scheme based on a brokered authentication along with smart-cards in multi-server environment. Further we show that our scheme is secure against possible attacks and analyze its performance with respect to communication and computational cost.

• Journal of the Korea Academia-Industrial cooperation Society
• /
• v.14 no.3
• /
• pp.1428-1438
• /
• 2013

Services take place in Internet environment, a formation of the trust relationship between user and service provider for services. Different authentication schemes such as using Certificate of Public Key Infrastructure authentication and using ID/PW for a simple user authentication have been proposed for trust relationship. In addition, in the case of electronic financial transactions, transaction integrity and non-repudiation features are provided. These services are provided in Internet environment, use various measures to ensure service safety. However, it was difficult to prevent attacks using existing security technology because of emergence of MITB attack that manipulate the memory area of the Web browser and social engineering attacks such as phishing/pharming, requires application of new security technologies became. In this paper, we propose a concept of smart secure-pad, and utilize it safely formed a trust relationship between user and service provider, a model has been proposed to ensure safety of data transmission. Proposed model's security evaluation results show security against to MITB attack and phishing/pharming that can't be prevent attack using existing security technology. In addition, service provider can easily apply the model in safe environment can provide Internet service using provided representative services applying the proposed model.

• 정보보호뉴스
• /
• s.129
• /
• pp.19-21
• /
• 2008

운동선수를 평가하는 기준은 다양하지만, 그 가운데에서도 선수가 가진 신체 혹은, 공격과 수비에 대한 균형능력은 어느 종목에서나 공통적인 기준이 된다. 정보보호 분야에서도 이 균형을 얘기하는 사람들이 많이 있다. 규제와 자율, 보안성과 가용성. 이 모든 것을 적절히 활용하는 능력은 균형감각 없이는 어렵기 때문이다. 자유분방하기로 소문난 웹 서비스 업체의 구성원들 사이에서 기업의 보안을 책임져야 하는 네오위즈 게임즈 보안팀도 그런 균형감각에서 뛰어난 모습을 보여준다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2004.10a
• /
• pp.433-435
• /
• 2004

인터넷을 통한 자동화된 업무를 위하여, 공공 컴퓨터들에 대한 의존도가 높아지고 있다. 그러나 오늘날 웹 메일이나 옥션, 인터넷 뱅킹 흑은 휴대폰 결제 등을 위한 원격 서비스들은 사용자의 신원을 증명하기 위해 반드시 사용자의 아이디와 패스워드 또는 주민등록번호를 요구한다. 하지만 안전하지 못한 채널로 전송되는 사용자의 패스워드는 공격자에 의해서 도청되어, 재사용 될 가능성이 매우 높다. 본 논문에서는 위와 같이 보안이 취약한 환경에서 안전한 사용자 인증이 성공적으로 이루어 질 수 있는 새로운 시스템을 제안하고자 한다. 제안 시스템은 현대의 일반 사용자들이 항상 소지하는 휴대폰의 SMS(Simple Message Service)와 일회용 패스워드(OTP : One Time Password)를 기반으로 한다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2011.10a
• /
• pp.241-244
• /
• 2011

Recently, Due to development of Internet techniques, user suddenly increased that Used of Web services and with out constraints of place and time has been provided. typically, Web services used ID/Password authentication. User confirmed personal data Stored on Web servers after user authorized. web service provider is to provide variety security techniques for the protection personal information. However, recently accident has happened is the malicious attackers may capture user information such as users entered personal information through new keyboard hooking. In this paper, we propose a keyboard hooking protected password input method using CAPTCHA. The proposed password input method is based on entering the password using mouse click or touch pad on the CAPTCHA image. The mapping of CAPTCHA image pixels is random.

• Convergence Security Journal
• /
• v.15 no.5
• /
• pp.87-95
• /
• 2015

Recently, The cloud computing technology is emerging as an important issue in the world, and In technology and services, has attracted much attention. Cloud services have evolved from simple forms to complex forms(using multiple mobile devices and communication services(Kakao talk, Facebook, etc.). In particular, as the cloud is especially facilitated the collection of user information, it can now be analyzed with the user's taste and preference. And many of the benefits of the cloud became increasingly closely with our lives. However, the positive aspects of cloud computing unlike the includes several vulnerabilities. For this reason, the Hacking techniques according to the evolution of a variety of attacks and damages is expected. Therefore, this paper will be analyzed through case studies of attack and vulnerability to the privacy threats factors of the cloud computing services. and In the future, this is expected to be utilized as a basis for the Privacy security and Response.

• Convergence Security Journal
• /
• v.9 no.4
• /
• pp.7-12
• /
• 2009

It is very difficult to completely block the DDoS attack, which paralyzes services by depleting resources or occupying the network bandwidth by transmitting a vast amount of traffic to the specific website or server from normal users' PCs that have been already infected by an outside attacker. In order to defense or endure the DDoS attack, we usually use various solutions such as IDS (Intrusion Detection System), IPS (Intrusion Prevention System), ITS (Intrusion Tolerance System), FW (Firewall), and the dedicated security equipment against DDoS attack. However, diverse types of security appliances cause the cost problem, besides, the full function of the equipments are not performed well owing to the unproper setting without considering connectivity among systems. In this paper, we present the effective connectivity of security equipments and countermeasure methodology against DDoS attack. In practice, it is approved by experimentation that this designed methdology is better than existing network structure in the efficiency of block and endurance. Therefore, we would like to propose the effective security control measures responding and enduring against discriminated DDoS attacks through this research.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2012.11a
• /
• pp.1072-1075
• /
• 2012

인터넷 사용이 증가하고 기존의 오프라인 서비스들이 온라인으로 플랫폼을 이동하면서 개인정보나 결제정보 등을 탈취하기 위한 악성 사이트들이 등장하기 시작했다. 공격자들은 피싱 사이트를 만들어 사용자들의 정보 입력을 유도하고 이를 이용해 경제적 이익을 취득한다. 클릭재킹은 마우스 클릭을 하이재킹하여 사용자의 권한으로 특정 행동을 유도하는 공격 방법으로서, 온라인 계정을 삭제하거나 보인 기능 설정을 해제하는 등 여러 가지 문제점을 발생시킬 수 있다. 여러 가지 클릭재킹 방어 메커니즘이 제안되었으나 우회가 가능하여 잠재적인 문제점을 안고 있다. 따라서 본 논문에서는 현재 제안된 클릭재킹 방어기술들과 우회 기술들을 살펴보고 안전한 웹 브라우징 환경을 제공하는 브라우저를 제안한다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2024.05a
• /
• pp.434-435
• /
• 2024

가상자산은 온라인상에서의 투명성과 익명성을 통해 금융서비스 및 전자상거래 발전의 핵심으로 주목받아왔으나, 다크웹에서 사기(Scam) 및 랜섬웨어 등을 통한 자산 탈취의 대상이 되고 있다. 공격자는 익명성을 높이는 자금세탁 기법을 활용하여 탈취한 가상자산의 추적을 우회하며, 이로 인해 피해자에게 정상적인 피해보상이 어려운 실정이다. 본 연구에서는 가상자산 사기 주소에 대한 탈취를 목적으로 한 공격자의 사기 유형을 파악하고, 피해를 최소화하기 위해 대표적인 가상자산 피해 신고 사이트 Chainabuse의 사기 주소에 대한 Top Scammer 주소 수집 및 사기 동향 분석이 가능한 시스템을 제안한다.