• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2002.11a
• /
• pp.215-218
• /
• 2002

패스워드 기반 키분배 프로토콜의 가장 중요한 요구사항 중 하나는 사전공격과 같은 패스워드 추측 공격에 대하여 안전하여야 한다. 그러나 지금까지 제안된 패스워드 추측 공격에 대한 안전성은 비밀 서버를 가정하고 있다. 즉, 검증자 기반 방식이더라도 서버에 저장되어 있는 패스워드 검증자가 비밀리에 보관되어야 한다는 단점이 있다. 본 논문에서는 새로운 방식의 다중 서버를 이용한 패스워드 기반 키분배 방식을 제안한다. 딜리는 사용자에 대한 인증 및 검증자를 각 서버에 전송하는 일을 담당한다. 사용자는 특정 서버와 단독으로 세션키를 교환하지만, 서버는 세션키를 생성하기 위해서는 그룹 내에 있는 모든 서버와 비밀 복원 과정을 거처야만 하는 새로운 방식이다. 사용자와 키분배를 수행하는 특정한 서버는 그룹 내에 있는 다른 서버와 비밀 복원 과정을 거처야만 키분배 과정을 수행할 수 있으므로, 특정 서버의 패스워드 파일이 노출되어 패스워드 검증자가 공격자에게 노출되더라도 비밀 분산 과정을 수행하지 못하는 공격자는 패스워드 추측에 필요한 정보를 획득할 수 없다.

• Journal of the Korea Society of Computer and Information
• /
• v.16 no.2
• /
• pp.173-181
• /
• 2011

User authentication and key exchange protocols are the most important cryptographic applications. For user authentication, most protocols are based on the users' secret passwords. However, protocols based on the users' secret passwords are vulnerable to the password guessing attack. In 1992, Bellovin and Merritt proposed an EKE(Encrypted Key Exchange) protocol for user authentication and key exchage that is secure against password guessing attack. After that, many enhanced and secure EKE protocols are proposed so far. In 2006, Lo pointed out that Yeh et al.'s password-based authenticated key exchange protocol has a security weakness and proposed an improved protocol. However, Cao and Lin showed that his protocol is also vulnerable to off-line password guessing attack. In this paper, we show his protocol is vulnerable to on-line password guessing attack using new attack method, and propose an improvement of password authenticated key exchange protocol for imbalanced wireless networks secure against password guessing attack.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2003.12a
• /
• pp.198-204
• /
• 2003

지금까지 제안된 패스워드를 이용하는 인증 프로토콜은 오프라인 추측 공격이나 패스워드 파일 컴프로마이즈에 대하여 안전하지 않으므로 이에 대한 연구가 요구되고 있다. 본 논문에서는 패스워드를 이용하는 인증 프로토콜인 스키마 PAP(Password based Authentication Protocol)을 적용하여 새로운 인증 프로토콜 PAPRSA를 제안하였다. PAP는 패스워드를 표현하는 많은 값들 중에서 임의로 선택한 한 값을 처리하는 것을 특징으로 한다. PAPRSA는 패스워드를 표현하는 값을 처리하기 위하여 RSA를 이용하는 PAP기반 인중 프로토콜이다. 제안된 PAPRSA는 오프라인 추측 공격과 패스워드 파일 컴프로마이즈를 포함한 공격들로부터 안전하였으며, 패스 수와 계산량을 측정한 결과 효율성 면에서 매우 우수하였다.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2013.11a
• /
• pp.774-777
• /
• 2013

2012년 Das 등은 계층적 무선 센서 네트워크를 위한 동적 패스워드 기반 사용자 인증 스킴을 제안하였다. 그러나 Das 등이 제안한 동적 패스워드 기반 사용자 인증 스킴은 패스워드 추측 공격에 대한 취약성이 있다. 따라서 본 논문에서는 Das 등이 제안한 동적 패스워드 기반 사용자 인증 스킴을 분석하고, Das 등의 인증 스킴이 패스워드 추측 공격에 안전하지 못함을 증명한다. 또한 패스워드 길이에 따른 패스워드 추측 공격에 대한 공격시간을 분석한다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2006.06a
• /
• pp.202-206
• /
• 2006

오늘날 패스워드 인증과 키 분배는 컴퓨터 환경에서 중요하다. 패스워드 기반의 시스템은 패스워드를 사용자가 기억하기 쉽다는 장점 때문에 널리 사용 되고 있다. 하지만, 패스워드는 작은 공간에서 선택되어지기 때문에 패스워드 추측 공격을 포함한 다양한 공격에 취약점을 나타낸다. 본 논문에서는 최근에 제안된 새로운 패스워드 인증 기법을 분석하고, 서버 위장 공격, 서버 속임 공격과 패스워드 추측 공격에 취약하다는 것을 보인다. 또한, 패스워드 기반의 기법을 설계할 때는 주의해야 한다는 점에 대해 논하고, IEEE 1363.2와 같은 표준을 사용해 CK 프로토콜을 강하게 하는 법에 대해 간단히 보인다.

• Journal of the Korea Institute of Information Security & Cryptology
• /
• v.18 no.1
• /
• pp.3-10
• /
• 2008

Since a number of password-based protocols are using human memorable passwords they are vulnerable to several kinds of password guessing attacks. In this paper, we show that two password-based key exchange and authentication protocols are insecure against off-line password-guessing attacks.

• Proceedings of the Korean Information Science Society Conference
• /
• 2002.10c
• /
• pp.445-447
• /
• 2002

Lin 등이 제안한 키 교환 프로토콜 및 SAKA 변형 키 교환 프로토콜은 오프라인 패스워드 추측 공격에 대응하지 못했다. 본 논문에서는 기존의 SAKA 변형 키 교환 프로토콜의 취약점을 해결하기 위한 새로운 키 교환 프로토콜을 제안한다. 제안한 프로토콜은 키 검증단계에서 일방향 해쉬 함수를 이용함으로서 기존 프로토콜의 문제점들을 해결하였다. 본 논문에서 제안한 프로토콜은 키 교환 프로토콜에서 요구되는 재전송 공격과 오프라인 패스워드 추측 공격에 강한 특징을 갖고 완전한 전방향 보안(perfect forward secrecy)을 제공한다.

• The Journal of Korean Institute of Communications and Information Sciences
• /
• v.37 no.8C
• /
• pp.697-702
• /
• 2012

In 2011, C.-T. Li et al. proposed a secure user authentication scheme, which is an improvement over Kim et al.'s scheme to resolve several security flaws such as off-line password guessing attack and masquerading attack. C.-T. Li et al. claimed that their scheme prevents smart card security related attacks. Moreover, it provides mutual authentication and session key establishment. However, we found that their scheme is vulnerable to password guessing attack through password change phase, smart card forgery attack and stolen verifier attack. Moreover, C.-T. Li et al.'s scheme is not secure against password guessing attack as they claimed. In this paper, we also point out that their scheme is not practical to use.

• Proceedings of the Korea Information Processing Society Conference
• /
• 2013.11a
• /
• pp.691-694
• /
• 2013

최근 네트워크 기술의 급속한 발전과 함께 사람들은 인터넷을 통해 다양한 서비스를 이용할 수 있다. 이러한 인터넷 환경에서 이용되는 기존 패스워드 기반의 사용자 인증은 패스워드 테이블은 요구하게 되고 패스워드 테이블 노출로 발생할 수 있는 위협들이 존재한다. 원격 사용자 인증 방식은 원격 사용자 인증 방식은 사용자의 패스워드 테이블은 요구하지 않는 인증 방식으로 스마트카드를 이용한 원격 사용자 인증에 대한 다양한 연구들이 진행되었다. 하지만, 스마트카드를 이용한 원격 사용자 인증은 통신상의 위협뿐만이 아니라 스마트카드에 저장된 정보를 통해 패스워드 추측의 위협이 발생할 수 있다. 본 연구는 해시 기반의 검증 값을 이용하여 오프라인 상에서 스마트카드에 대한 패스워드 추측 공격으로부터 안전한 방식을 제안하였다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2003.10a
• /
• pp.622-624
• /
• 2003

본 논문에서는 사람이 기억할 수 있는 패스워드만을 이용하여 안전하지 않은 통신상에서 사용자와 서버간에 서로를 인증하고 세션키를 공유하기 위한 새로운 키 교환 프로토콜을 제안한다. 제안된 프로토콜은 사용자가 자유롭게 자신의 패스워드를 변경할 수 있는 기능을 제공한다. 또한 여러 가지 다양한 공격들, 즉 패스워드 추측 공격, 중간 침입자 공격, Denning-Sacco 공격, Stolen-verifier 공격, 그리고 서비스 거부 공격에 안전하며, 완전한 전방향 보안성을 제공하도록 설계되었다.