• 한국콘텐츠학회논문지
• /
• 제4권3호
• /
• pp.53-60
• /
• 2004

본 논문에서는 Threshold PKC를 이용하여 패스워드 사전공격에 안전한 사용자인증 및 키분배 방법을 제안한다. 신뢰기관의 개인키를 (t,n) 비밀분산을 이용하여 n개의 서버에 분산 저장시키고 서며가 사용자를 인증할 때 t개 이상의 서버가 협력하여 사용자의 패스워드 검증자를 복원한다

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2022년도 제65차 동계학술대회논문집 30권1호
• /
• pp.113-114
• /
• 2022

본 논문에서는 사용자 계정 탈취인 1차 공격을 통해 수행되는 2차 공격인 크리덴셜 스터핑 공격을 효과적으로 대응할 수 있는 방안을 제안한다. 사전파일을 통해 공격을 시도하는 사전 공격보다 공격 성공 확률이 더욱 높은 이 공격은 최근 다크웹에서 거래되는 사용자 계정 정보를 구매하여 공격자가 적은 노력으로 손쉽게 계정을 탈취할 수 있어 정보화 시대에서 다양한 온라인 계정을 사용하는 사용자를 위협하고 있다. 본 논문에서는 기존에 알려진 대응 방안인 2-Factor 인증, 서비스별로 다른 패스워드 사용 방식을 응용하여 사용자가 암기하기 쉬운 특정 패턴을 활용하여 시스템별 상이한 패스워드를 더욱 쉽게 설정할 수 있도록 제안하여 크리덴셜 스터핑 공격으로부터 사용자 계정을 보호할 수 있음에 더 우수함을 보인다.

• 한국컴퓨터정보학회논문지
• /
• 제17권4호
• /
• pp.91-98
• /
• 2012

그룹 키 교환 프로토콜은 일련의 그룹을 형성하는 다수의 통신 참여자들이 공개된 통신망을 통해 그룹의 공통 비밀키를 설정하기 위한 목적으로 설계된다. 그룹 지향적인 응용분야들이 인터넷상에서 인기를 더해감에 따라서 이들 응용분야에 안전한 멀티캐스트 채널을 제공하기 위해 많은 그룹 키 교환 프로토콜이 제안되었다. 그동안 제안된 그룹 키 교환 프로토콜 중에 최근 Yi 등이 발표한 패스워드 기반 프로토콜이 있다. 이 프로토콜에서는 각 프로토콜 참가자가 자신의 패스워드를 가지고 있으며 이 패스워드는 신뢰할 수 있는 서버에 등록되어 있다고 가정된다. 패스워드 기반 키 교환에서 가장 근본적인 보안 요구사항은 오프라인 사전 공격에 대한 안전성이라 할 수 있다. 그러나 Yi 등이 제안한 프로토콜은 패스워드에 기반한 프로토콜임에도 불구하고 이 요구사항을 만족하지 못하는 것으로 드러났다. 본 논문에서는 Yi 등의 프로토콜에서 발견되는 이러한 보안 문제점을 지적하고 그 해결책을 제시한다.

• 한국정보과학회논문지:정보통신
• /
• 제30권1호
• /
• pp.75-81
• /
• 2003

인터넷과 같이 신뢰할 수 없는 네트워크를 통한 통신에서 비밀성과 무결성 뿐만 아니라 원거리 사용자 인증은 시스템의 보안에서 중요한 부분이다. 그러나 사용자 인증정보로서 인간이 기억할 수 있는 패스워드의 사용은 패스워드의 선택범위가 사용자의 기억에 제한 받는 낮은 비도(Entropy) 때문에 공격자의 오프라인 사전공격에 취약하다. 본 논문은 원거리 사용자 인증과 키 교환에 적합한 새로운 패스리드 인증 및 키 협상 프로토콜을 제안한다. 이 프로토콜은 오프라인 사전공격을 예방할 수 있으며 공격자에게 패스워드가 노출되더라도 이전 세션의 복호화나 이후 세션키의 손상에 영향을 미치지 않는 PFS(Perfect Forward Secrecy)를 제공한다. 또한 사용자의 패스워드가 서버의 패스리드 데이타베이스 파일에 순수하게 패스워드 자체로 저장되지 않기 때문에 공격자가 패스워드 데이타베이스를 획득하더라도 직접적으로 프로토콜의 안전성을 손상하지 않으며 직접 서버에 접근을 요청할 수 없다. 또한 PKI 및 키서버와 같은 제3의 신뢰기관을 이용하지 않기 때문에 단순인증에 적합하다. 따라서 이 프로토콜은 웹을 통한 홈뱅킹이나 사용자의 모바일 환경이 요구되는 셀룰러 폰, telnet이나 ftp와 같은 로긴 시스템, 기존 패스워드를 이용한 인증시스템 개선 등의 어플리케이션에 유용한 인증형태를 제공하며 인증정보가 장기간 저장될 필요성이 있어 위험하거나 실용적이지 못한 경우와 SSL(Secure-Sockets Layer), SET(Secure Electronic Transactions), IPSEC(Internet Protocol Security Protocol) 서비스에 추가될 수 있다.

• 정보보호학회논문지
• /
• 제26권4호
• /
• pp.857-869
• /
• 2016

패스워드 기반 인증 시스템은 키 로그 모니터링을 통한 정보 유출 사고에 위협받아 왔다. 최근, 이를 예방하기 위한 한 방안으로 화면 상 가상 키보드를 이용한 키 로깅 방지 방법이 널리 사용되고 있다. 그러나 이러한 가상 키보드 또한 중대한 취약점을 내포하고 있으며, 그 중 대표적인 약점은 마우스 커서의 자취 추적을 통해 쉽게 비밀번호와 같은 주요 정보가 드러날 수 있다는 점이다. 이에 본 논문에서는 가상 키보드의 취약점을 확인하고, 이를 공격할 수 있는 가상의 공격 시나리오와 패스워드를 도출하는 방법을 제시했다. 이 논문에서 제안하는 기법의 성능 입증을 위한 예시로, 한 가상 키보드에 대한 공격과 패스워드 딕셔너리를 이용한 크래킹 실험을 진행하였고, 그 결과를 분석하였다.

• 한국정보통신학회논문지
• /
• 제13권1호
• /
• pp.81-86
• /
• 2009

사용자 고유번호와 패스워드 기반의 사용자 인증 매커니즘을 수행하는 네트워크 시스템 환경에서는 스니퍼 프로그램 등을 이용하여 불법 도청함으로써 쉽게 사용자의 패스워드를 알아낼 수 있다. 이러한 불법적인 도청에 의한 패스워드 노출 문제를 해결하는 방법으로 일회용 패스워드, Challenge-Response 인증 방식이 유용하게 사용되며, 클라이언트/서버 환경에서는 별도 동기가 필요 없는 시간을 이용한 일회용 패스워드 방식이 특히 유용하게 사용될 수 있다. 본 논문에서는 안전성은 Square root problem에 기초를 두고 있고, 프리플레이 공격, 오프라인 사전적 공격 그리고 서버 등을 포함하여 지금까지 잘 알려진 공격(해킹)들에 대해서 안전성을 높이기 위한 암호기반 시스템을 제안한다. 암호기반 시스템 확인은 패스워드를 생성하는데 특별한 키를 생성할 필요가 없다는 것이다. 암호기반 시스템은 검증자를 확인하는데 걸리는 시간이 적게 소요되면서 특출하다.

• 한국컴퓨터정보학회논문지
• /
• 제17권9호
• /
• pp.91-101
• /
• 2012

키 교환 프로토콜은 공개 네트워크상에서 안전한 통신 채널을 구축하는데 필수적인 요소이다. 특히, 패스워드 기반 키 교환 프로토콜에서는 패스워드를 이용하여 사용자 인증이 이루어지며 이를 바탕으로 안전하게 키 교환이 이루어지도록 설계되어야 한다. 그러나 패스워드는 인간이 쉽게 기억할 수 있는 반면에 엔트로피가 낮고 따라서 사전공격에 쉽게 노출될 수 있다. 최근, Zhao와 Gu가 서버의 도움을 필요로 하는 새로운 패스워드 기반 키 교환 프로토콜을 제안하였다. Zhao와 Gu가 제안한 프로토콜은 일회성 비밀키의 노출 상황을 고려하는 공격자 모델에서도 안전성이 증명가능하다고 주장하였다. 본 논문에서는 Zhao와 Gu의 프로토콜에 대한 재전송 공격을 통하여 이 프로토콜이 저자들의 주장과 달리 일회성 비밀키의 노출 시에 안전하지 않다는 것을 보일 것이다. 본 연구 결과는 Zhao와 Gu가 제시한 안전성 증명이 성립하지 않음을 의미한다.

• 한국컴퓨터정보학회논문지
• /
• 제17권9호
• /
• pp.65-73
• /
• 2012

기존의 텍스트 기반 패스워드들은 추측, 사전 공격, 키로거, 사회공학, 훔쳐 보기, 스파이웨어 등의 공격에 취약하고, 이는 모바일 환경에서 더욱 심각한 문제이다. 훔쳐보기 공격은 패스워드에 대한 대표적인 공격방법 중 하나로, 공격자는 로그인 과정을 직접 관찰하거나 사용자의 인증 과정을 녹화하는 방식으로 패스워드에 대한 정보를 얻을 수 있다. 이러한 취약점을 보완하기 위한 연구를 진행하였다. 본 논문에서 제안하는 패턴 기반의 숫자 패스워드 인증 기술에서는 길이가 긴 패턴 시퀀스로 사용자 인증함으로써 기존 패스워드의 보안성을 강화시키려 하였으며, 높은 보안성을 제공하면서 사용자로 하여금 4개의 숫자만을 기억하도록 하여 사용의 편의성은 침해하지 않으려 하였다. 그 결과로, 사용하기 편리하고 훔쳐보기 공격과 전사적 대입 공격을 방지하기 위한 새로운 패스워드 시스템을 제안하고 이에 대한 보안성과 유용성을 검토하고자 한다.

• 한국콘텐츠학회논문지
• /
• 제17권7호
• /
• pp.571-578
• /
• 2017

사용자가 스마트 기기 및 개인 PC를 통해 정보 시스템에 접근하기 위해서는 사용자 인증을 통한 정당한 사용자임을 증명해야한다. 이때 사용되는 사용자 인증 기술에는 ID/PW 기반 인증기술, OTP(One-Time-Password), 인증서, 보안카드, 지문인식 등 다양하다. 그 중에서 ID/PW 기반 인증기술은 사용자에게 익숙하지만 무작위 대입공격, 키로깅, 사전공격 등의 패스워드 공격에 취약하며 이러한 공격에 대응하기 위해 사용자는 복잡한 패스워드 조합 규정에 따라 주기적으로 패스워드를 변경해야한다. 본 논문에서는 기존 ID/PW 기반 인증 기술보다 보안성을 높이면서 패스워드를 사용하지 않고 스마트폰의 USIM 정보를 이용한 사용자 인증 시스템을 설계 및 구현하였다.

• 한국정보통신학회논문지
• /
• 제9권5호
• /
• pp.958-964
• /
• 2005

WLAN 사용자 인증을 위한 EAP (Extensible Authentication Protocol) 프로토콜에 결합하여 쓰는 인증 메커니즘으로 최근에 공개키 기반의 EAP-TTLS(EAP-Tunneled TLS)나 PEAP(Protected EAP) 방식이 등장하였다. 이는 패스워드 추측 공격을 막을 수 있는 훌륭한 대안이지만, 상용화된 관련 솔루션 및 시스템에는 인증 서버의 인증서가 노출되었을 때를 대비한 인증서 갱신 처리 방법이 전혀 제공되고 있지 않은 실정이다. 본 논문에서는 이런 문제를 해결할 수 있는 매우 경제적인 메커니즘을 제안하였다.