• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2021.05a
• /
• pp.117-119
• /
• 2021

In this paper, the strengths and weaknesses of each type of personal authentication system are examined and the development direction of the personal authentication system is presented. Currently, the personal authentication system commonly used is a text-based password system. However, most of the current text-based password systems are weak in usability and security. In order to solve this problems a personal authentication system that can replace the text-based password system is required. In this paper, we take the recently developed graphical password system as an example to find the conditions and possibilities to replace the text-based password system, and present the development direction of the personal authentication system.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2002.11a
• /
• pp.237-241
• /
• 2002

Seo와 Sweeney가 패스워드 기반의 키 교환 프로토콜인 SAKA (Simple Authenticated Key Agreement)를 제안한 이래로 몇몇 변형 프로토콜들이 제안되었다. 그러나 그 프로토콜들은 중간 침입자 공격 또는 패스워드 추측 공격에 취약하거나 완전한 전방향 보안성을 제공하지 못한다. 본 논문에서는 중간 침입자 공격과 패스워드 추측공격에 대하여 안전하며 완전한 전방향 보안성을 제공할 수 있는 새로운 키 교환 프로토콜을 제안한다. 여러 가지 알려진 공격에 강한 프로토콜을 제안하기 위해서 먼저 SAKA 변형 프로토콜들에 대한 기존에 분석되지 못한 추가적인 취약점들을 분석한다. 그리고 기존에 알려진 취약점 및 본 논문에서 분석한 추가적인 취약점에 강한 새로운 패스워드 기반 키 교환 프로토콜을 제안한다.

• Proceedings of the Korean Society of Broadcast Engineers Conference
• /
• 2007.02a
• /
• pp.105-107
• /
• 2007

최근에 제안되고 있는 원격 서버에 로그인하기 위한 방법은E와 패스워드뿐만 아니라 스마트카드를 함께 사용한다. 기존의 ID 와 패스워드를 사용한 인증은 공격자에 의해 추측이 가능하므로 사용자 가장 공격이 가능하다는 약점을 가지고 있다. 하지만 스마트카드와 ID, 패스워드를 사용하면 ID와 패스워드가 추측가능할지라도 스마트카드를 소지하고 있지 않다면 사용자 가장 공격 (impersonate attack)을 할 수 없다. 이 논문에서는 스마트카드와 ID, 패스워드를 함께 사용하여 원격 서버에 인증과 더불어 안전한 키 교환을 하며, 기존에 다른 논문들에서 언급한 조건들을 모두 만족하면서 안전한 키 교환까지 제안하였다. 기존의 스킴은 해쉬 기반으로 제안 되었으나 이 논문에서 제안한 스킴은 페어링 (pairing) 연산을 기반으로 제안 되었다. 또한, Computational Diffie-Hellman문제를 기반으로 스킴을 제안하여 안전성에 대한 증명이 가능하다 최근에 스마트카드를 사용한 인증에서 요구 되는 성질의 모든 조건을 만족한다는 장점을 가지고 있다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2003.10a
• /
• pp.784-786
• /
• 2003

패스워드 기반 키 교환 프로토콜은 참여자들이 쉽게 기억할 수 있는 자신의 패스워드를 사용하므로 단순성, 편리성, 이동성의 장점 때문에 광범위하게 사용된다. 2000년에 Lin, Sun, Hwang［1］이 Steiner, Tsudik, Waidner［2］가 제안한 three-party EKE 프로토콜(STW-3PEKE)이 패스워드 추측 공격에 취약함을 증명하고 이를 개선한 서버의 공개키를 이용한 새로운 three-party EKE 프로토콜(LSH-3PEKE)을 제안했다. 2001년에는 Lin, Sun, Steiner, Hwang［3］이 서버의 공개키를 사용하지 않는 새로운 three-party EKE 프로토콜(LSSH-3PEKE)을 제안했다. 본 논문에서는 검증자(verifier) 기반 즉 서버가 사용자의 패스워드를 저장하지 않고 패스워드에 의해 생성되는 검증자를 가지는 프로토콜을 제안하며 이전에 제안한 프로토콜의 안전성을 그대로 유지하면서 좀 더 간단하며 효율적인 프로토콜을 제시한다.

• Review of KIISC
• /
• v.22 no.1
• /
• pp.39-46
• /
• 2012

사물지능통신은 주변의 정보를 다양한 방식의 통신 장비를 이용해 장비 스스로 수집하여 제어하는 기술로서 미래의 새로운 통신 사업으로 주목받고 있다. 사물지능통신의 성장은 신뢰성 있는 네트워크 구축이 선결되어야 한다. 기존의 보안 시스템은 소유기반 인증 방식과 사용자가 패스워드를 입력하는 지식기반 인증 방식이 결합된 이중 인증 방식을 사용하였다. 그러나 사물지능통신 환경과 같이 사용자가 직접 개입할 수 없는 환경에서는 디바이스별 패스워드 기반의 지식기반 인증 방식은 구현이 어렵다. 본 논문에서는 디바이스별로 고유의 값이 생성되는 PUF(Physical Unclonable Function)에 기반하여 사물지능통신 상의 디바이스별로 패스워드 인증의 효과를 구현하는 새로운 지식기반 인증 패러다임을 제시하고자한다.

• Proceedings of the Korean Institute of Information and Commucation Sciences Conference
• /
• 2022.05a
• /
• pp.620-623
• /
• 2022

최근 이메일 해킹사고의 유형을 살펴보면 사회공학적인 기법을 활용한 피싱메일 공격이 대다수를 차지하고 있는 상황이다. 그중 사용자의 패스워드를 빼내기 위한 공격메일이 기존 첨부파일에 악성코드를 삽입해서 보내지는 방식보다 월등히 높아졌다고 할 수 있다. 이는 공격자가 이메일 내용에 관심이 높아진 것으로 이메일은 사용자의 성향, 직업, 라이프스타일 파악뿐만 아니라 해커가 원하는 중요자료가 저장되어 있을 가능성이 매우 높으며 또 다른 공격대상자를 선정할 수 있는 좋은 창구가 될 수 있을 것이기 때문이다. 만일 피싱메일에 노출되어 패스워드가 해커의 손에 넘어 갔다면 많은 보안대책이 무용지물이 된다. 많은 보안 전문가들은 패스워드를 8자리 이상으로 하되 영문대·소문자와 숫자 그리고 특수문자를 포함하고, 사이트별 규칙성이 없이 모두 다르게 설정해야 하며, 정기적으로 바꿔야 한다고 조언한다. 이러한 조언은 패스워드를 크랙할 경우 안전할 수 있지만 요즘처럼 한 개인이 100여개 이상의 사이트에 대한 패스워드를 관리해야 한다면 현실적으로 불가능한 조언이 되고 말 것이다. 이러한 상황에 2017년 6월 미국 국립표준기술연구소(NIST)에서 '특별 간행 800-63-3: 디지털 인증 가이드라인'을 발표하게 된다. 내용은 그동안 보안전문가들이 권고했던 내용과는 많은 차이가 있다. 오히려 자주 바꾸는 것이 문제가 될 수 있다는 내용이다. 자세한 내용은 본 논문에서 살펴보도록 한다. 우리는 스마트폰 등을 사용함으로써 2-Factor인증에 활용하고 있다. 스마트폰 인증의 대표적인 방법은 지문·얼굴인식 등 생체인증 방식을 사용한다. 패스워드 없이도 편리하고 안전하게 인증을 할 수 있다는 점이 장점이다. 이러한 상황에 FIDO라는 인증 프레임워크가 인기를 얻고 있다. FIDO(Fast IDentity Online)는 비밀번호의 문제점을 해결하기 위한 목적으로 FIDO 얼라이언스에 의해 제안된 사용자 인증 프레임워크다. 향후 FIDO로의 대체가 패스워드 문제의 대안이 될 수 있을 것이다. 이제는 패스워드 대신 생체인증 체계로 대체할 수 있는 시대가 되었다고 할 수 있다. 본 논문에서는 패스워드의 문제점을 살펴보고 이를 대체할 수 있는 FIDO기반의 인증체계가 대안이 될 수 있는 근거를 제시하고자 한다.

• Journal of KIISE:Computer Systems and Theory
• /
• v.29 no.5
• /
• pp.291-298
• /
• 2002

Mutual authentication is essential for key exchange protocols and password-based authentication scheme is used widely, which is convenient to users and executed on the cheap. Password-based protocol should be not only secure against attach but also efficient to reduce user's load. In this paper, we propose a new key exchange protocol, called OTP-EKE(One Time Password based Encrypted Key Exchange), to provide authentication and to share a session key between a server and a user. We choose a password-based scheme as a user authentication. Especially, we use a one-time-password verifier and server's public password to protect against attacks on server's directory. As for efficiency, we improve the performance by reducing the number of modular exponentiations and the number of rounds.

• Electronics and Telecommunications Trends
• /
• v.16 no.6 s.72
• /
• pp.41-48
• /
• 2001

사용자들이 일반적으로 사용하는 패스워드의 약한 안전성으로 인한 보안 사고는 매우 보편화되었고, 그 피해 또한 상당하다. 인터넷이 점차적으로 공격자들에게 개방되고 있는 현재 환경에서, 약한 패스워드 시스템들에 대한 보안 사고는 그 수를 헤아릴 수 없을 만큼 증가하고 있는 실정이다. 본 고는 기존의 패스워드-인증 관련 보안 취약점들의 심각성을 지적하고, 최근 이슈가 되고 있는 패스워드-기반 인증 및 키 교환 프로토콜들의 특성과 현재까지의 연구 동향에 대하여 고찰하고 특히, SRP(Secure Remote Password) 프로토콜에 대하여 자세히 기술한다.

• Proceedings of the Korean Information Science Society Conference
• /
• 2003.10a
• /
• pp.622-624
• /
• 2003

본 논문에서는 사람이 기억할 수 있는 패스워드만을 이용하여 안전하지 않은 통신상에서 사용자와 서버간에 서로를 인증하고 세션키를 공유하기 위한 새로운 키 교환 프로토콜을 제안한다. 제안된 프로토콜은 사용자가 자유롭게 자신의 패스워드를 변경할 수 있는 기능을 제공한다. 또한 여러 가지 다양한 공격들, 즉 패스워드 추측 공격, 중간 침입자 공격, Denning-Sacco 공격, Stolen-verifier 공격, 그리고 서비스 거부 공격에 안전하며, 완전한 전방향 보안성을 제공하도록 설계되었다.

• Proceedings of the Korea Institutes of Information Security and Cryptology Conference
• /
• 2003.12a
• /
• pp.211-220
• /
• 2003

본 논문은 신뢰 할 수 없는 네트워크를 통해서도 사용자를 인증하거나 키를 교환하는 것에 적합한 패스워드 인증 프로토콜을 제안한다. 기본 아이디어는 패스워드 검증정보의 램덤성(randomness)을 증가시키기 위하여, 패스워드를 분할한 후 이에 대한 각 패스워드 지식을 확대(amplification)하는 구조로 설계된다. 또한 서버측 파일을 암호화하여 보관함으로써 서버 파일 타협 공격에 강인하도록 구성하였다. 더불어 검증정보 및 서버의 암호화키가 다수의 서버들에게 분산되도록 설계된 방식을 제안한다.