• 정보처리학회논문지C
• /
• 제11C권4호
• /
• pp.497-508
• /
• 2004

현재의 무선랜 표준인 IEEE802.11b가 많은 보안 취약성을 가지고 있는 것은 잘 알려진 사실이다. 특히 IEEEE802.11b에서의 인증은 사용자 인증이 아닌 디바이스 인증에 머물고 있으며, 제공되는 인증 메커니즘들 역시 여러 가지 면에서 취약하다. 한편, IEEE802.1x는 IEEEB02.11b 인증의 취약한 부분을 보완하고 강력한 사용자 인증을 제공할 수 있는 메커니즘으로 개발되었으나 이 역시 AP에 대한 인증을 수행하지 않는 등, 취약한 부분이 있다. 또한 WEP을 통해 제공되는 기밀성 및 무결성 역시 키 스트림 재사용 공격, W 재사용 공격 등에 취약하다. 이에 따라 본 논문에서는 무선랜 환경에 적합한 안전한 사용자 인증 메커니즘 및 기밀성을 제공하는 무선랜 보안 시스템을 제안한다 제안하는 시스템은 IEEE802.1x를 기반으로 하고 TLS를 통해 무선랜의 구성요소인 클라이언트, AP, 인증서버에 대한 사용자 인증을 모두 수행한다. 그리고 동적인 키 분배를 통해 암호통신의 안전성을 향상시킨다.

• International Journal of Computer Science & Network Security
• /
• 제23권12호
• /
• pp.81-90
• /
• 2023

Cloud computing is an emerging business model popularized during the last few years by the IT industry. Providing "Everything as a Service" has shifted many organizations to choose cloud-based services. However, some companies still fear shifting their data to the cloud due to issues related to the security and privacy. The paper suggests a novel Trust based Mutual Authentication Mechanism using Secret P-box based Mutual Authentication Mechanism (TbMAM-SPb) on the criticality of information. It uses a particular passcodes from one of the secret P-box to act as challenge to one party. The response is another passcode from other P-box. The mechanism is designed in a way that the response given by a party to a challenge is itself a new challenge for the other party. Access to data is provided after ensuring certain number of correct challenge-responses. The complexity can be dynamically updated on basis of criticality of the information and trust factor between the two parties. The communication is encrypted and time-stamped to avoid interceptions and reuse. Overall, it is good authentication mechanism without the use of expensive devices and participation of a trusted third party.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제13권5호
• /
• pp.2674-2697
• /
• 2019

Identity authentication is a crucial line of defense for network security, and passwords are still the mainstream of identity authentication. So far trawling password attacking has been extensively studied, but the research related with personal information is always sporadic. Probabilistic context-free grammar (PCFG) and Markov chain-based models perform greatly well in trawling guessing. In this paper we propose a systematic targeted attacking model based on structure partition and string reorganization by migrating the above two models to targeted attacking, denoted as TG-SPSR. In structure partition phase, besides dividing passwords to basic structure similar to PCFG, we additionally define a trajectory-based keyboard pattern in the basic grammar and introduce index bits to accurately characterize the position of special characters. Moreover, we also construct a BiLSTM recurrent neural network classifier to characterize the behavior of password reuse and modification after defining nine kinds of modification rules. Extensive experimental results indicate that in online attacking, TG-SPSR outperforms traditional trawling attacking algorithms by average about 275%, and respectively outperforms its foremost counterparts, Personal-PCFG, TarGuess-I, by about 70% and 19%; In offline attacking, TG-SPSR outperforms traditional trawling attacking algorithms by average about 90%, outperforms Personal-PCFG and TarGuess-I by 85% and 30%, respectively.

• 정보처리학회논문지C
• /
• 제12C권4호
• /
• pp.481-488
• /
• 2005

현재 무선 네트워크 IP를 위한 이동성 자원의 표준인 Mobile IP는 이동 노드(Mobile Node, MN)의 접속에 관한 사용자 인증이 비효율적이다. 본 논문에서는 네트워크 구성원들의 상호 인증 및 보안 서비스를 위해서 인증(Authentication), 권한부여(Authorization) 및 과금(Accounting)을 지원하는 AAA 프로토콜에 기반하여 Mobile IP의 보안성을 유지하고 빠른 핸드오프를 수행하는 새로운 보안 핸드오프 방식을 제안한다. AAA 프로토콜은 QoS를 제한하는 비효율적인 인증 절차가 존재하여 MN이 핸드오프를 수행할 때마다 새로운 세션 키를 분배 받아야 한다. 본 논문에서는 MN이 핸드오프를 수행할 때 발생하는 지연 시간과 MN의 인증으로 인한 AAA 서버의 오버헤드를 줄이고자 공유(Overlap, 오버랩) 네트워크 구조 기반의 세션키 재사용 방법을 제안한다 본 방식에서는 MN의 보안성 향상을 위하여 공유 세션 키를 유선상에서 전달하는 방식에 기반하고, 그에 따라 신속하고 자연스러운 핸드오프 메커니즘을 제공한다. 분석적 모델링결과에 의하면 제안하는 방식은 기존 세션키 재사용 방식과 비교하여 핸드오프 시간을 고려하는 핸드오프 실패율에 있어서 $40\%$정도의 성능향상을 보인다.

• 융합보안논문지
• /
• 제24권2호
• /
• pp.55-61
• /
• 2024

IoT 기술 발전으로 스마트 헬스케어나 스마트 의료서비스도 급격히 발전하고 있다. 이 서비스에 필요한 웨어러블 디바이스는 스마트 밴드 등의 형태로 센서, 컨트롤러로 사용되고 있다. 웨어러블 디바이스는 가능한 장시간 사용을 위해 매우 간결한 SW 로직으로 구현할 뿐만 아니라, 편의성 증진을 위해 무선 통신 프로토콜을 사용한다. 그러나 이 웨어러블 디바이스는 경량성을 추구하고 있어, 다른 정보서비스에 사용되는 단말보다 보안에 취약하다. 본 연구에서는 웨어러블 서비스의 기술적인 운영 환경을 분석, 웨어러블 디바이스에 대한 인증 정보 재사용 공격, BIAS 공격, 배터리 소진 공격, 펌웨어 공격을 식별하고, 각 보안 위협의 메커니즘을 분석하고 공격 효과를 조사하였다. 또 본 연구에서는 식별한 보안 위협에 대한 대응 방안을 제시하였다. 웨어러블 서비스를 개발할 때 본 연구에서 제안한 대응 방안을 고려한다면, 더 안전한 서비스를 구축할 수 있을 것으로 기대된다.

• 전자공학회논문지
• /
• 제50권10호
• /
• pp.107-115
• /
• 2013

최근 RFID 기술은 u-헬스케어 서비스와 접목되어 의료서비스 분야에서 주목 받고 있는 추세이다. u-헬스케어 서비스는 개인 의료 정보를 다루는 분야로서 단순한 건강 검진 및 치료의 수준을 넘어 생명과도 밀접한 관계가 있다. 만약 개인 의료 정보가 불법적으로 노출되거나 악용될 경우 프라이버시 침해 뿐만아니라 생명까지도 위협받을 수 있으므로 보안성을 고려한 u-헬스케어 서비스 인증이 필수적으로 요구된다. 2012년에 Jeong 등은 RFID 기술을 이용하여 초기화 과정과 환자 인증 과정을 구분한 J-L 환자 인증 프로토콜을 제안하였다. Jeong등은 제안한 프로토콜에서 재사용 공격, 스푸핑 공격, 정보노출방지 및 불추적성에 대해 안전하다고 주장하였지만 보안성과 연산 효율성 문제를 발생시킨다. 따라서 본 논문에서는 Jeong 등이 제안한 프로토콜의 보안성과 연산 효율성 문제를 증명하고, 안전성과 효율성을 강화한 RFID 기술의 기반으로 하는 실용적인 u-헬스케어 서비스 인증 프로토콜을 제안한다.

• 한국통신학회논문지
• /
• 제34권4B호
• /
• pp.435-441
• /
• 2009

일회용 패스워드 메커니즘은 동일한 비밀번호를 반복적으로 사용함으로써 발생할 수 있는 패스워드 재사용 문제를 해결한다. 그러나 패스워드 생성 시점에 주기적 대표성으로 인해 여전히 패스워드 재사용 문제가 존재하며, 시간 편차 및 인증 횟수 비동기화 등으로 인한 인증 실패가 발생할 수 있다. 본 논문에서는 비등기적으로 패스워드를 생성하여 사용자와 교환하고 교환한 패스워드에 대해 사용자의 개인키로 전자서명한 후 인증서와 함께 유효성 검증을 요청함으로써 부인방지를 보장한다. 위와 더불어 유효성 검증을 인증서 검증과 패스워드 검증으로 세분화하여 수행함으로써 보안성을 한층 더 강화할 수 있는 일회용 패스워드 검증 시스템을 제안하고 설계한다. 또한, 기존 메커니즘과의 비교 분석을 통해 제안하는 메커니즘이 재생공격, 부인방지, 동기화로 인한 실패 확률 등에서 우수함을 확인 할 수 있었다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제13권8호
• /
• pp.4060-4075
• /
• 2019

ACORN is an authenticated encryption algorithm proposed as a candidate in the currently ongoing CAESAR competition. ACORN has a good performance on security and efficiency which has been a third-round candidate. This paper mainly concentrates on the security of ACORN under the forgery attack and the non-repudiation of ACORN. Firstly, we analyze the differential properties of the feedback function in ACRON are analyzed. By taking advantage of these properties, the forgery attacks on round-reduced ACORN are proposed with a success probability higher than $2^{-128}$ when the number of finalization rounds is less than 87. Moreover, the non-repudiation of ACRON in the nonce-reuse setting is analyzed. The known collision can be used to deny the authenticated message with probability $2^{-120}$. This paper demonstrates that ACORN cannot generate the non-repudiation completely. We believe it is an undesirable property indeed.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2019년도 제59차 동계학술대회논문집 27권1호
• /
• pp.361-363
• /
• 2019

인터넷환경에서 금융회사는 홈페이지 사용자의 신원확인, 부인방지 등의 목적으로 공개키 기반구조(PKI: Public Key Infrastructure) 환경의 공인인증서를 홈페이지 로그인, 전자금융거래 등의 업무에 적용하고 있다. 사용자의 공인인증서를 이용하여 생성된 전자서명이 악성코드 감염 등으로 인하여 유출 시 사용자가 과거에 서명했던 전자서명이 재사용(로그인, 전자금융거래 등)될 수 있는 취약점이 존재하기에 인터넷 상에서의 전자서명 재사용에 대한 원인, 방지 절차 및 방법을 제안 하고자 한다.

• 정보보호학회논문지
• /
• 제20권3호
• /
• pp.9-21
• /
• 2010

최근 유명 온라인 쇼핑몰 사이트가 해킹을 당해 많은 사용자들의 ID, 패스워드, 계좌번호, 주민등록번호, 신용카드번호와 같은 개인 정보들이 누출되었다. 해커들은 계속해서 온라인 쇼핑몰 사이트에 대한 공격을 하고 있으며 해킹피해자들의 수도 증가하고 있다. 신용카드 번호가 누출되면, 해커들이 금전적인 이득을 취하기 위해 누출된 카드번호를 악용할 수 있어 특히 위험하다. 2007년 Financial Cryptography 학회에서 Ian Molly 등이 최초로 일회용 가상카드번호 생성 스킴을 제안한 바 있으나, 재사용불가의 특성을 제공하지 못한다. 본 논문에서는 Ian Molly 스킴의 취약성을 분석하고, 휴대단말기를 활용하여 일회용 가상카드번호의 보안요구사항을 만족하는 새로운 일회용 가상카드번호 생성 스킴을 제안하였다. 또한, 이를 기반으로 사용자 편의성과 보안성강화를 위해 통합인증센터를 활용한 일회용 가상카드 결제 프로토콜을 설계한다.