• 인터넷정보학회논문지
• /
• 제10권4호
• /
• pp.223-230
• /
• 2009

원격 사용자 인증기술 중 패스워드에 기반을 둔 기술은 아직도 가장 보편적으로 사용되고 있는 인증 기술이다. 2004년 Das 등이 제안한 "동적 ID 기반의 원격 사용자 인증기술"은 스마트카드의 연산 기능을 이용하여 패스워드를 생성하고, 원격 시스템에서는 연산량이 적은 해쉬와 XOR만으로 인증을 수행할 수 있는 안전한 인증기법이다. 이 기법은 동적 ID 채용으로 ID도난을 방지하며, 인증시각을 이용하여 재사용 공격을 방지하는 특징이 있다. 그 밖에도 많은 공격에 대응할 수 있도록 고안되었다. 하지만, 이 기법은 후에 패스워드와 관계없이 원격 시스템에 인증이 가능한 치명적인 오류 뿐 아니라, 위장공격, 추측공격에 취약함이 밝혀졌다. 더욱이 인증 시각 정보를 이용하여 재사용 공격을 막은 기능도 최근의 실시간으로 이루어지는 재사용 공격에는 취약함을 보이고 있다. 본 논문에서는 Das 기법이 실시간 재사용공격에 취약한 점을 증명하고, 매번 변경되는 인증횟수를 이용하여 이를 개선하는 향상된 인증기법을 제안하였다. 향상된 인증기법은 기존 Das 기법이 가지는 장점을 그대로 계승하며, 추측공격, 위장공격, 실시간 재사용 공격에 대응하고, 상호인증 기능을 제공한다.

• 한국시뮬레이션학회논문지
• /
• 제19권4호
• /
• pp.139-149
• /
• 2010

인터넷은 확장성과 최선형 라우팅 서비스를 목적으로 설계되었기 때문에 보안상에 취약점을 가진다. 이에 IP spoofing과 DoS/DDoS 공격을 탐지하기 위한 다양한 공격 탐지 방법들이 제안되었다. DoS/DDoS 공격은 공격이 시작되고 짧은 시간 내에 목적을 이루기 때문에 공격 탐지 알고리즘들은 빠른 시간 내에 정확한 탐지를 하는 것이 중요하다. 공격 탐지 알고리즘들은 미탐지율과 오탐지율로 이루어진 오경고율을 가지며 공격 탐지 알고리즘의 성능을 평가하는 중요한 요소가 된다. 본 논문에서는 공격 탐지 알고리즘의 특징을 살펴보고 그 성능을 분석하였다. 공격 탐지 알고리즘의 성능은 미탐지율과 오탐지율을 변화시켰을 시, 공격 트래픽 및 일반 트래픽에 미치는 영향을 시뮬레이션을 통해 각각 분석하였다. 이를 통해 전송되는 공격 패킷의 수는 미탐지율에 비례하며, 전송되는 일반 패킷의 수는 일정 치 이하의 미탐지율과 오탐지율에 반비례하는 것을 확인하였다. 또 공격 탐지 알고리즘의 미탐지율 변화에 따른 오탐지율의 변화를 분석하여 미탐지율과 오탐지율의 관계를 도출하고 공격탐지 알고리즘의 한계를 분석하였다. 이러한 한계를 극복하기 위해 정확한 네트워크 상태를 판단하여 공격 탐지 알고리즘의 한계를 줄이고 성능을 개선하는 방안을 제안하였고 그 결과, 공격 탐지 알고리즘의 성능이 보다 향상됨을 확인하였다.

• 인터넷정보학회논문지
• /
• 제17권3호
• /
• pp.1-10
• /
• 2016

정보기술과 네트워크 기술의 발전에 따라 멀티미디어 시스템을 이용한 다양한 서비스들이 인터넷을 통해서 제공되고 있다. 하지만 이러한 인터넷 기술의 근본적 특징인 개방성 때문에 네트워크를 기반으로 하는 시스템에서는 데이터 보호 기술과 안전하게 사용자를 인증하는 기법을 제공해야만 한다. 그래서 Das, An 그리고 Li&Hwang 과 같은 다양한 연구자들은 스마트카드, 패스워드, 그리고 생체정보를 기반한 사용자 인증 스킴을 제안하였으나, 다양한 보안 취약점이 발견되었다. 이러한 문제를 해결하기 위해 Li 등은 퍼지추출 기술을 활용한 새로운 인증 스킴을 제안하였으나, 그들의 스킴도 여전히 off-line password attack, authentication without biometrics, denial-of-service, insider attack 등의 보안 문제점을 가지고 있었다. 그래서 본 논문에서는 Li 등이 제안한 사용자 인증 스킴의 보안 문제점을 해결할 수 있는 보안성이 향상된 퍼지추출기술 기반의 사용자 인증 및 키 동의 스킴을 제안한다.

• 산업융합연구
• /
• 제18권5호
• /
• pp.23-29
• /
• 2020

사물인터넷(IoT)은 다양한 디바이스와 일상적인 물건을 인터넷 연결하여 인터넷을 확장한 것이며, 전자제품에는 인터넷 연결이 가능하고 다양한 형태의 하드웨어가 내장되어 있다. 이러한 사물인터넷은 디지털 생태계에 중대한 위험을 초래한다. 이들 기기 중 상당수는 공격자의 공격을 막기 위한 보안 시스템이 내장되지 않은 상태로 설계되어 있기 때문이다. 본 논문에서는 사물인터넷 디바이스를 위한 대칭키 기반의 상호인증 프로토콜을 제안한다. 제안 프로토콜은 대칭키 암호 알고리즘을 사용하여 무선상에 전송되는 데이터를 안전하게 암호화한다. 아울러 암호화에 사용된 비밀키는 매 통신마다 디바이스가 생성하는 난수를 비밀키로 사용하여 고정적으로 사용되는 비밀키를 가변적으로 사용함으로써 보안성을 높였다. 제안 프로토콜은 무선상에서 데이터를 전송하기 전에 상호인증 과정을 거쳐 인증된 디바이스만 데이터를 전송하기 때문에 공격자를 차단하고 정상적인 디바이스가 통신이 가능하도록 하였다. 마지막으로 제안된 프로토콜을 공격유형별 시나리오를 통해 도청 공격, 위치추적, 재전송 공격, 스푸핑 공격, 서비스 거부 공격에 안전함을 확인하였다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제7권5호
• /
• pp.1272-1290
• /
• 2013

Privacy-preserving collaborative filtering schemes are becoming increasingly popular because they handle the information overload problem without jeopardizing privacy. However, they may be susceptible to shilling or profile injection attacks, similar to traditional recommender systems without privacy measures. Although researchers have proposed various privacy-preserving recommendation frameworks, it has not been shown that such schemes are resistant to profile injection attacks. In this study, we investigate two memory-based privacy-preserving collaborative filtering algorithms and analyze their robustness against several shilling attack strategies. We first design and apply formerly proposed shilling attack techniques to privately collected databases. We analyze their effectiveness in manipulating predicted recommendations by experimenting on real data-based benchmark data sets. We show that it is still possible to manipulate the predictions significantly on databases consisting of masked preferences even though a few of the attack strategies are not effective in a privacy-preserving environment.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제7권5호
• /
• pp.1094-1107
• /
• 2013

NTRU cryptosystem has been suggested for protecting wireless body area networks, which is secure in the sense of traditional cryptanalysis. In this paper, we fulfill the first power analysis attack on the ultra-low-power environment of wireless body area networks. Specifically, two practical differential power analyses on NTRU algorithm are proposed, which can attack the existing countermeasures of NTRU. Accordingly, we suggest three countermeasures against our attacks. Meanwhile, practical experiments show that although the attacks in this paper are efficient, our countermeasures can resist them effectively.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제9권3호
• /
• pp.1210-1230
• /
• 2015

Android is the world's most utilized smartphone OS which consequently, also makes it an attractive target for attackers. The most representative method of hacking used against Android apps is known as repackaging. This attack method requires extensive knowledge about reverse engineering in order to modify and insert malicious codes into the original app. However, there exists an easier way which circumvents the limiting obstacle of the reverse engineering. We have discovered a method of exploiting the Android code-signing process in order to mount a malware as an example. We also propose a countermeasure to prevent this attack. In addition, as a proof-of-concept, we tested a malicious code based on our attack technique on a sample app and improved the java libraries related to code-signing/verification reflecting our countermeasure.

• International Journal of Internet, Broadcasting and Communication
• /
• 제8권3호
• /
• pp.50-57
• /
• 2016

In 2013, Li et al. proposed an improved smart card-based remote user password authentication scheme, and claimed that their scheme not only overcomes security weaknesses of the Chen et al.'s scheme but also is a more user friendly scheme compared with other schemes. In this paper, we analyze the security of Li et al.'s authentication scheme and we show that Li et al.'s authentication scheme is still insecure against the various attacks, such as the off-line password guessing attack, the forgery attack, and the session key generation attack etc. Also, we propose an improved scheme that can resist these security drawbacks of Li et al.'s authentication, even if the secret information stored in the smart card is revealed. As a result of security analysis, the improved scheme is relatively more secure against several attacks than other related schemes in terms of the security.

• Journal of Information Processing Systems
• /
• 제11권1호
• /
• pp.104-115
• /
• 2015

Along with the evolution of Internet and its new emerging services, the quantity and impact of attacks have been continuously increasing. Currently, the technical capability to attack has tended to decrease. On the contrary, performances of hacking tools are evolving, growing, simple, comprehensive, and accessible to the public. In this work, network penetration testing and auditing of the Redhat operating system (OS) are highlighted as one of the most popular OS for Internet applications. Some types of attacks are from a different side and new attack method have been attempted, such as: scanning for reconnaissance, guessing the password, gaining privileged access, and flooding the victim machine to decrease availability. Some analyses in network auditing and forensic from victim server are also presented in this paper. Our proposed system aims confirmed as hackable or not and we expect for it to be used as a reference for practitioners to protect their systems from cyber-attacks.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제12권9호
• /
• pp.4599-4617
• /
• 2018

Abusing the Simple Server Discovery Protocol (SSDP) can induce an SSDP attack (including SSDP DoS, DDoS, DRDoS) posing a significant threat to UPnP devices. Rapid and extensive developments in computer technology, especially in regards to IoT, have made Upnp devices an indispensable part of our daily lives - but also render them susceptible to a variety of SSDP attacks without suitable countermeasures. This paper proposes the Two-dimensional table scheme, which provides high security at a reasonable computational cost. The feasibility and effectiveness of the proposed scheme are also validated by comparison against four other schemes (Stateless connections, Failing-together, Cookie, and Client puzzle).