• 정보처리학회논문지C
• /
• 제11C권4호
• /
• pp.439-446
• /
• 2004

인터넷에서의 사용자 인증은 안전한 통신을 위해 가장 중요한 서비스 중의 하나이다. 비록 패스워드 기반 메커니즘이 네트워크 상에서의 사용자 인증을 위해 가장 많이 쓰이는 방법이기는 하나, 사용자들이 기억하기 쉬운 패스워드(easy-to-remember)를 사용하므로, 사전공격(dictionary attack)에 취약한 것과 같은 근본적인 문제점들을 가지고 있다. 이러한 사전공격을 방지하기 위만 방법들의 경우에는 높은 계산량을 필요로 한다. 본 논문에서는 이러한 문제를 해결하기 위한 최근에 발표된 OSPA 프로토콜에 대하여 설명하고, OSPA 프로토콜이 stolen-verifier 공격과 impersonation 공격에 취약함을 보인다. 그리고 이러한 공격들에 안전한 개선된 OSPA 프로토콜을 제안한다. 제안하는 프로토콜은 스마트 카드에 탑재된 co-processor를 통해 암호학적 연산이 수행되므로 사용자에게 낮은 계산량을 제공한다.

• 정보보호학회논문지
• /
• 제24권6호
• /
• pp.1027-1036
• /
• 2014

2012년 Sonwanshi 등은 스마트카드 기반의 해쉬함수를 이용한 효율적인 원격 사용자 인증 스킴을 제안하였다. 본 논문에서는 Sonwanshi 등이 주장한 바와 달리 제안된 스킴이 offline password guessing attack, server impersonation attack, insider attack, replay attack에 취약하며 세션키 및 프라이버시 문제가 존재함을 보이고, 이를 개선한 스킴을 제안한다. 또한, 제안하는 스킴에 대한 분석과 비교를 통해 제안하는 인증 스킴이 다른 인증 스킴보다 상대적으로 안전하고 효율적인 스킴임을 보인다.

• 디지털융복합연구
• /
• 제14권10호
• /
• pp.287-293
• /
• 2016

무선센서네트워크는 다양한 응용을 가지고 있고 아주 넓은 지역에 배치된다. 특히, 이들 네트워크는 잠재적인 위험을 포함한 환경에 배치됨으로 이에 대한 보안 이슈를 해결하기 위한 많은 노력이 있다. 최근에 무선센서네트워크에서 대칭키암호시스템에 기반한 익명의 사용자 인증과 키동의 기법 (AUAKAS)이 제안되었다. AUAKAS는 가장공격을 포함한 다양한 공격에 안전하다고 주장하였다. 하지만 본 논문은 AUAKAS가 게이트웨이에 등록된 정당한 사용자에 의하여 사용자 가장 공격과 게이트웨이 가장 공격에 취약함을 보인다. 본 논문의 보안 분석은 다양한 새로운 보안 기법의 설계에 있어서 미리 고려할 중요한 특성 분석에 있어서 도움을 줄 수 있을 것이다.

• 디지털산업정보학회논문지
• /
• 제10권1호
• /
• pp.81-87
• /
• 2014

Password-based authentication using smart card provides two factor authentications, namely a successful login requires the client to have a valid smart card and a correct password. While it provides stronger security guarantees than only password authentication, it could also fail if both authentication factors are compromised ((1) the user's smart card was stolen and (2) the user's password was exposed). In this case, there is no way to prevent the adversary from impersonating the user. Now, the new technology of biometrics is becoming a popular method for designing a more secure authentication scheme. In terms of physiological and behavior human characteristics, biometric information is used as a form of authentication factor. Biometric information, such as fingerprints, faces, voice, irises, hand geometry, and palmprints can be used to verify their identities. In this article, we review the biometric-based authentication scheme by Cheng et al. and provide a security analysis on the scheme. Our analysis shows that Cheng et al.'s scheme does not guarantee any kind of authentication, either server-to-user authentication or user-to-server authentication. The contribution of the current work is to demonstrate these by mounting two attacks, a server impersonation attack and a user impersonation attack, on Cheng et al.'s scheme. In addition, we propose the enhanced authentication scheme that eliminates the security vulnerabilities of Cheng et al.'s scheme.

• 한국콘텐츠학회논문지
• /
• 제13권4호
• /
• pp.17-22
• /
• 2013

SIP의 보안 취약점을 이용한 위장공격은 공격자로 하여금 과금 회피, 세션 가로채기를 용이하게 하여 사용자에게 피해를 줄 수 있으므로 이에 대한 대응 방안이 요구된다. 따라서 본 연구에서는 위장공격을 탐지하기 위한 새로운 기법을 제안한다. 등록 서버는 전송된 레지스터 요청 메시지의 헤더 값 중 From 또는 Call-ID값을 포함한 레코드가 위치 정보 서버에 저장되어 있는지 확인한다. 만약 저장된 레코드가 존재하고 그 값이 주기적으로 갱신된다면 등록 서버는 전송된 레지스터 요청 메시지를 위장공격으로 판별하여 요청 메시지를 무시한다. 이 기법은 위장 공격을 방어하기 위해 사용자 인증을 위한 암호화 메커니즘을 추가하는 형태가 아닌 위치 정보 서버에 저장된 정보를 이용하여 보다 안전한 SIP 환경을 쉽게 구축할 수 있다.

• 정보보호학회논문지
• /
• 제20권4호
• /
• pp.89-108
• /
• 2010

최근에 경량화된 해쉬 기반 RFID(Radio Frequency Identification) 상호 인증 프로토콜의 연구결과가 많이 발표되고 있다. 대부분의 프로토콜이 백엔드 서버와 리더 구간을 안전하다고 가정하고 있어, 백앤드 서버와 리더의 위장 공격을 고려하지 않고 있다. 현실적으로 공격자 입장에서는 태그 공격보다는 백엔드 서버나 리더 공격이 공격대비 높은 효율성을 가질 것이다. 본 논문에서는 보다 현실성 있는 해쉬 기반 RFID 상호 인증 프로토콜을 설계하기 위해 전 구간을 안전하지 않은 공개 채널로 가정한다. 기존 연구에서 지원하는 상호인증을 지원하고, 재전송 공격 및 태그와 리더의 위장공격, 태그 위치추적공격, 서비스 거부 공격에 안전하다. 추가로, 모든 개체의 위장 공격으로부터 안전하고, 태그 탐색을 하는 개선된 백엔드 서버 검색률을 지원하는 안전하고 효율적인 RFID 상호 인증 프로토콜을 제안한다. 마지막으로 기존 연구와의 안전성 분석과 효율성 분석을 제시한다.

• 정보보호학회논문지
• /
• 제22권3호
• /
• pp.473-483
• /
• 2012

단말 간 사용자의 안전성 확보를 위해, 동일한 패스워드를 가정하여 두 사용자를 인증하는 환경은 실용적이지 않다. 왜냐하면, 사용자들은 각자 고유의 다른 패스워드를 암기하고 있기 때문이다. 이를 해결하기 위해 서로 다른 패스워드를 이용한 단말간의 키 교환 (EC2C-PAKA) 프로토콜이 서로 다른 영역의 환경 (cross-realm setting)에서 제안되었다. 최근에, 이러한 EC2C-PAKA 프로토콜에 대한 취약점이 Feng과 Xu에 의해서 주장되었다. 그들은 EC2C-PAKA 프로토콜이 패스워드 가장공격에 취약함을 주장하였다. 그들은 또한 패스워드 가장공격에 강인한 프로토콜을 제안했다. 본 논문에서는 Feng과 Xu가 제안한 공격이 옳지 않음과 EC2C-PAKA 프로토콜이 여전히 패스워드 가장 공격에 강인함을 보인다. 반대로, Feng과 Xu가 향상 시킨 프로토콜이 A 영역에서 Alice의 패스워드를 알고 있는 서버가 B 영역에 있는 Bob을 가장할 수 있는 가장 공격에 취약함을 보인다. 이에 대한 대처방안도 논의한다.

• 대한수학회보
• /
• 제47권1호
• /
• pp.63-71
• /
• 2010

In this paper, we analyze a zero-knowledge identification scheme presented in [1], which is based on an average-case hard problem, called distributional matrix representability problem. On the contrary to the soundness property claimed in [1], we show that a simple impersonation attack is feasible.

• 한국컴퓨터정보학회논문지
• /
• 제24권10호
• /
• pp.41-48
• /
• 2019

2018년 Cui 등은 생체 정보를 사용하는 three-factor 원격 사용자 인증 프로토콜을 제안하였다. Cui 등은 자신들의 인증 프로토콜이 도청 공격, 스마트카드 분실 공격, 특별히 DoS(denial-of-service) 공격에 안전하다고 주장하였다. 또한 그들은 패스워드 추측 공격, 가장 공격, 그리고 익명성 공격 등에 안전하다고 주장하였다. 그러나 본 논문에서는 Cui 등의 인증 프로토콜을 분석하고, 이 인증 프로토콜이 재생 공격, 내부자 공격, 스마트카드 분실 공격, 그리고 사용자 가장 공격 등에 취약함을 보인다. 게다가 우리는 Cui 등의 인증 프로토콜의 설계 오류도 함께 제시한다.

• 전기전자학회논문지
• /
• 제27권3호
• /
• pp.239-245
• /
• 2023

화이트리스트 기반 랜섬웨어 솔루션이 DLL 삽입공격을 활용한 사칭공격에 취약한 것으로 알려진 후, 이러한 문제점을 개선하기 위하여 DLL 삽입 공격을 활용한 사칭공격을 탐지하고, 랜섬웨어 탐지 및 대응 기술과 연동하는 기술이 제안되었다. 본 논문에서는 공격자가 이러한 탐지기술을 우회하여 불법적으로 공격 대상의 파일에 접근할 수 있음을 보여준다. 이는 화이트리스트 기반 랜섬웨어 솔루션이 여전히 DLL 삽입 공격에 취약함을 의미한다. 특히, 본 논문에서는 랜섬웨어 솔루션을 대상으로 실제 공격을 수행하여, 그 가능성을 증명하였다.