• 한국방송∙미디어공학회:학술대회논문집
• /
• 한국방송공학회 2015년도 하계학술대회
• /
• pp.531-532
• /
• 2015

웹 서비스에 주로 적용되어 왔던 OAuth 2.0 사용자 인증 기법을 이벤트 기반 IoT 디바이스 데이터 통신 처리에 이용할 수 있도록 확장한다. OAuth 2.0 사용자 인증 기법은 최소화된 인증 절차에 맞추어져 있지만, 이벤트 기반의 IoT 디바이스의 데이터를 응용하기에는 적합하지 않은 실정이다. OAuth 2.0 사용자 인증 기법을 이용하여 이벤트 기반의 IoT 디바이스 데이터 통신으로 동작하기 위한 구성방법, Data Format, 그리고 전송 구조를 제안한다.

• 정보처리학회논문지:컴퓨터 및 통신 시스템
• /
• 제6권8호
• /
• pp.329-342
• /
• 2017

최근 사물인터넷에 대한 관심과 투자가 크게 증가하고 있으며 보안 측면에서 문제가 지속적으로 제기되고 있다. 그 해결책으로서 IETF ACE 워킹 그룹이 기존의 OAuth 2.0 기반으로 여러 제약적인 사물인터넷 환경에 적합한 새로운 보안 프레임워크인 ACE 프레임워크 표준을 제정 중에 있다. 그러나 새로운 경량 보안 체계를 제안하는 ACE 프레임워크를 기존 인터넷 환경에 적용하기에는 추가적인 작업이 필요하며, 이러한 추가적 비용은 IoT 환경에 OAuth 2.0의 적용을 저해하는 요인이 된다. 따라서 본 논문에서는 기존 인터넷 환경에서 활용되고 있는 보안 프로토콜인 DTLS를 기반으로 하고, OAuth 2.0의 기존 개발 동기에 맞춘 사물인터넷 인증 프레임워크를 제안하며, python 기반 오픈 라이브러리인 CoAPthon을 기반으로 제안 프레임워크 구현하며 성능을 분석한다.

• 한국컴퓨터정보학회:학술대회논문집
• /
• 한국컴퓨터정보학회 2017년도 제55차 동계학술대회논문집 25권1호
• /
• pp.255-256
• /
• 2017

IoT(Internet of Things)는 우리 일상생활에 깊숙이 관여하고 있어서 보안 문제는 중요해지고 있다. OAuth2.0은 웹기반 응용이나 REST 특성의 API를 안전하게 하는 권한부여(authorization) 프레임워크이다. 본 논문에서는 IoT에 OAuth2.0을 적용하여 효율적이고 효과적인 권한부여 기법을 제안한다. OAuth2.0 기술은 서버쪽 기술이지만, IoT에서도 웹을 이용할 수 있는 CoAP 기술이 있으므로 IoT 디바이스 쪽에 접근에 대한 권한부여 기법으로 적용할 수 있다. 제안기법은 권한 부여 서버와 자원 서버와의 키 분배와 해시 함수 및 암호화를 통해 권한부여 기법을 적용한다.

• 정보와 통신
• /
• 제33권12호
• /
• pp.41-47
• /
• 2016

최근 사물인터넷에 대한 관심과 투자가 크게 증가하고 있으나 보안 측면에서 문제가 지속적으로 제기되고 있다. 그 해결책으로서 IETF ACE 워킹 그룹이 기존의 OAuth 2.0 기반으로 여러 제약적인 사물인터넷 환경에 적합한 새로운 보안 프레임워크인 ACE 프레임워크 표준을 제정 중에 있다. 본 고에서는 우선 OAuth 2.0 기반 사물인터넷 인증 프레임워크 연구 동향에 대해 소개하고, 새로운 OAuth 2.0 기반 CoAP 인증 프레임워크를 제안한다.

• 정보보호학회논문지
• /
• 제28권6호
• /
• pp.1343-1354
• /
• 2018

표준 인증유지기술로 널리 사용되고 있는 OAuth 2.0 Bearer 토큰, JWT(JSON Web Token) 기술은 고정된 토큰을 반복 전송하는 방식을 이용하고 있어서 네트워크 공격자에 의한 도청공격에 취약하기 때문에 HTTPS 보안통신 환경에서 사용해야 한다는 제약이 있다. 평문통신 환경에서도 사용할 수 있는 인증유지기술로 제안된 OAuth 2.0 MAC 토큰 기술은 서버가 인증된 클라이언트에게 공유된 비밀키를 발급하고 인증요청시 이를 이용하여 MAC 값을 계산하여 제시하는 방식을 사용하는데 서버는 사용자별 공유비밀키를 관리해야 하므로 무상태(stateless) 인증을 제공할 수 없다는 단점이 있다. 이 논문에서는 서버측에서 사용자별 공유비밀키를 관리하지 않고도 무상태 MAC 토큰 인증을 수행할 수 있도록 개선된 난수화 토큰인증 프로토콜을 제시한다. 전체 인증과정에서 HTTPS를 사용할 필요가 없도록 하기 위하여 서버인증서를 이용한 초기인증보안, 인증서토큰을 이용한 전자서명 간편로그인 등의 기술을 난수화 토큰인증 기술과 결합하여 적용함으로써 완전한 무상태형 인증서비스를 제공할 수 있도록 설계하였으며 그 구현 사례를 제시한다.

• 인터넷정보학회논문지
• /
• 제16권1호
• /
• pp.21-28
• /
• 2015

최근 다양한 웹 서비스와 어플리케이션들이 사용자에게 제공되고 있다. 이러한 서비스들은 인증된 사용자에 한해서 서비스를 제공하기 때문에 사용자는 매번 서비스 별로 인증을 수행해야 하는 불편함을 겪고 있다. 이러한 불편함을 해결하기 위해 $3^{rd}$ Party 어플리케이션이 웹 서비스에 대하여 제한된 접근 권한을 얻을 수 있게 해주는 OAuth(Open Authorization) 프로토콜이 등장하게 되었다. 이러한 OAuth 프로토콜은 사용자에게 편리하고 유연한 서비스를 제공한다. 그러나 OAuth 2.0 프로토콜에서는 재전송 공격, 피싱 공격, 위장 공격 취약점이 발생할 수 있다. 그러므로 본 논문에서는 OAuth 2.0 프로토콜의 보안성 향상을 위하여 E-mail인증을 통해 Resource Owner를 인증 후 Access Token 발급을 할 수 있는 방법을 제안한다.

• 정보보호학회논문지
• /
• 제30권6호
• /
• pp.1103-1113
• /
• 2020

병원에서는 의료 기록저장 시스템 EMR (Electronic Medical Record)을 통하여 개인 정보 및 건강 정보를 저장 및 관리한다. 그러나 병원의 정보 공유를 위한 다양한 서비스를 제공함에 따라 취약점과 위협이 증가하고 있다. 따라서 본 논문에서는 EMR에서 환자 정보의 전송으로 인한 개인 정보 유출을 방지하기 위한 모델을 제안하였다. 환자의 의료 기록이 저장된 병원으로부터 환자 정보를 안전하게 수신 및 전달할 수 있는 권한을 부여하기 위한 방법을 OAuth 권한 위임 토큰을 사용하여 제안하였다. OAuth Token에 의사 정보와 환자가 원하는 기록 열람 제한을 적용하여 전달함으로써, 안전한 정보 전달이 가능하도록 프로토콜을 제안하였다. OAuth Delegation Token은 환자 정보를 열람할 수 있는 권한, 범위, 파기 시점 등을 작성하여 전달 가능하다. 이를 통하여 안전한 환자 정보 전달 및 환자 정보 재사용 금지를 방어할 수 있다. 또한, 불법적인 환자 정보 수집을 방지하고 전달 과정에서 발생할 수 있는 개인 정보의 유출을 방지한다.

• 디지털융복합연구
• /
• 제12권8호
• /
• pp.289-294
• /
• 2014

최근 다양한 웹 서비스와 어플리케이션들이 사용자에게 제공되고 있다. 이러한 서비스들은 인증된 사용자에 한해서 서비스를 제공하기 때문에 사용자는 매번 서비스 별로 인증을 수행해야 하는 불편함을 겪고 있다. 이러한 불편함을 해결하기 위해 3rd Party 어플리케이션이 웹 서비스에 대하여 제한된 접근 권한을 얻을 수 있게 해주는 OAuth(Open Authorization) 프로토콜이 등장하게 되었다. 이러한 OAuth 프로토콜은 사용자에게 편리하고 유연한 서비스를 제공하지만 권한 획득에 대한 보안 취약점을 가지고 있다. 그러므로 본 논문에서는 OAuth 2.0 프로토콜에서 발생할 수 있는 보안 취약점을 분석하고 이러한 보안 취약점을 보완한 방안을 제시한다.

• 정보보호학회논문지
• /
• 제27권1호
• /
• pp.5-14
• /
• 2017

많은 웹 서비스가 OAuth 프로토콜을 이용하여 리소스 서버로부터 프로필 정보를 전달받아 사용자를 로그인시켜주는 형태로 제공되어 추가적인 회원가입의 불편함을 줄여주고 있다. 하지만, 작업을 종료한 사용자가 클라이언트 웹 서비스를 로그아웃하더라도 리소스 서버가 로그인 상태로 남아 사용자의 개인정보 및 리소스 서버 자원 유출에 대한 문제가 발생할 수 있다. 본 논문에서는 OAuth 프로토콜을 통해 로그인한 사용자가 클라이언트에서 로그아웃할 경우, 리소스 서버의 로그인 상태에 관한 알림을 통하여 사용자가 리소스 서버의 로그아웃 여부를 판단할 수 있도록 설계 및 구현하였다. 본 논문에서 제안하는 방법을 활용하여 OAuth 프로토콜을 통해 로그인한 사용자가 도서관, 백화점, 인쇄소와 같이 여러 사용자가 이용하는 공용 PC 환경에서 리소스 서버에 로그아웃 여부를 확인하지 않아 발생할 수 있는 정보유출 문제를 줄이고 리소스 서버의 자원을 보호할 수 있다.

• 정보보호학회논문지
• /
• 제27권2호
• /
• pp.373-381
• /
• 2017

현재 국내 금융거래에서는 공인인증서를 중심으로 하는 다양한 사용자 인증방식이 사용되고 있다. 이러한 공인인증서 방식은 사용자가 개별 금융사의 웹서버에 접속할 때마다 서로 다른 보안모듈을 설치해야 하는 문제가 있다. 금융사 중심의 이러한 인증방식은 앞으로 생체인증 등의 차세대 인증방식이 새롭게 도입될 때마다 금융사마다 새로운 보안모듈을 추가적으로 설치해야 하는 문제가 발생한다. 이러한 문제를 해결하기 위해 본 논문에서는 금융거래 시 각 금융사를 대신하여 사용자 인증을 전담하는 통합 인증기관을 상정하고, 이를 중심으로 사용자 및 금융사 웹서버 삼자 간에 안전한 사용자 인증을 처리하는 통합인증 프로토콜을 제안한다. 새로운 인증 프로토콜은 OAuth2.0을 변형하여 안전성과 효율성을 증가한 프레임워크로써, 인증서버 및 금융사 웹서버 간 사전에 공유된 비밀키로 도전-응답 프로토콜을 수행하는 것이 특징이다. 이를 통해 사용자는 편리하고 안전한 통합인증(SSO: Single-Sign-On) 효과를 누리게 된다.