• 정보보호학회논문지
• /
• 제18권1호
• /
• pp.3-10
• /
• 2008

패스워드를 기반으로 하는 사용자 인증 및 키 교환 프로토콜은 사용자들이 쉽게 기억할 수 있는 패스워드를 사용하기 때문에 대부분의 경우에 패스워드 추측공격에 취약하다는 문제점이 있다. 본 논문에서는 동일 서버를 사용하는 두 사용자간의 패스워드 기반 키 교환 프로토콜과 패스워드 기반 인증 프로토콜이 모두 오프라인 패스워드 추측공격에 안전하지 못함을 보인다.

• 한국컴퓨터정보학회논문지
• /
• 제15권2호
• /
• pp.119-125
• /
• 2010

최근 Hsiang-Shih는 Yoon 등의 스킴[7]을 개선한 사용자 인증 스킴을 제안하였다[10]. 그러나 제안된 스킴은 패스워드를 기반으로 하는 스마트카드를 이용한 사용자 인증 스킴에서 고려하는 보안 요구사항을 만족하지 못한다. 본 논문에서는, Hsiang-Shih가 제안한 스킴은 off-line 패스워드 추측공격에 취약함을 보였다. 즉, 공격자가 사용자의 스마트카드를 훔치거나 일시적으로 접근하여 그 안에 저장된 정보를 추출하여 사용자의 패스워드를 알아낼 수 있음을 보였다. 또한 이와 같은 문제점들을 해결한 해쉬함수와 난수에 기반한 개선된 사용자 인증스킴을 제안하였다. 제안한 인증 스킴은 패스워드 추측공격, 위조 및 위장공격이 불가능함을 알 수 있었다. 그리고 사용자와 서버가 상대방을 인증할 수 있는 효율적인 상호 인증방식을 제시하였다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제11권12호
• /
• pp.6188-6204
• /
• 2017

Over the years, more password-based authentication key agreement schemes using chaotic maps were susceptible to attack by off-line password guess attack. This work approaches this problem by a new method--new theorem of chaotic maps: $T_{a+b}(X)+T_{a-b}(X)=2T_a(X)T_b(X)$,(a>b). In fact, this method can be used to design two-party, three-party, even in N-party intelligently. For the sake of brevity and readability, only a two-party instance: a novel Two-party Password-Authenticated Key Agreement Protocol is proposed for resisting password guess attack in this work. Compared with the related literatures recently, our proposed scheme can be not only own high efficiency and unique functionality, but is also robust to various attacks and achieves perfect forward secrecy. For capturing improved ratio of security and efficiency intuitively, the paper firstly proposes a new parameter called security/efficiency ratio(S/E Ratio). The higher the value of the S/E Ratio, the better it is. Finally, we give the security proof and the efficiency analysis of our proposed scheme.

• 한국컴퓨터정보학회논문지
• /
• 제16권2호
• /
• pp.173-181
• /
• 2011

사용자 인증과 비밀키 교환은 암호학의 매우 중요한 응용 분야 가운데 하나로서, 사용자 인증의 경우 일반적으로 패스워드를 이용하고 있지만, 패스워드를 이용한 사용자 인증은 패스워드 추측 공격에 취약한 문제가 있다. 1992년 Bellovin과 Merritt은 패스워드 추측 공격에 안전하면서 비밀키 교환까지 할 수 있는 EKE(Encrypted Key Exchange) 프로토콜을 제안한 바 있으며, 이후 효율성과 안전성을 개선한 많은 논문이 제안되고 있다. 이 가운데 Lo는 Yeh 등이 제안한 패스워드 기반 인증키 교환 프로토콜의 취약점을 지적함과 동시에 개선된 프로토콜을 2006년에 제안하였다. 하지만, Lo의 프로토콜 역시 오프라인 패스워드 추측 공격에 취약함이 Cao와 Lin에 의해 지적되었다. 본 논문에서는 새로운 공격 방법으로 Lo의 프로토콜이 온라인 패스워드 추측공격에도 취약함을 보이고, 온라인 패스워드 추측 공격에도 안전한 개선된 프로토콜을 제안한다. 제안한 프로토콜은 비대칭 무선 네트워크 환경에서 패스워드 기반 인증키 교환 프로토콜로 사용될 수 있다.

• 한국정보통신설비학회:학술대회논문집
• /
• 한국정보통신설비학회 2008년도 정보통신설비 학술대회
• /
• pp.163-165
• /
• 2008

Recently, Lu and Cao proposed a password-authenticated key exchange protocol in the three party setting, and the authors claimed that their protocol works within three rounds. In this paper, we analyze the protocol and show the protocol cannot work within three rounds. We also find two security flaws in the protocol. The protocol is vulnerable to an undetectable password guessing attack and an off-line password guessing attack.

• 융합보안논문지
• /
• 제22권4호
• /
• pp.179-188
• /
• 2022

패스워드 인증 체계 (PAS)는 개방형 네트워크에서 안전한 통신을 보장하는데 사용되는 가장 일반적인 메커니즘이다. 인수분해와 이산 로그 등의 수학적 기반의 암호 인증 체계가 제안되고 강력한 보안 기능을 제공하였으나, 암호를 구성하는데 필요한 계산 및 메시지 전송 비용이 높다는 단점을 가지고 있었다. Fairuz et al.은 스마트 카드 체계를 이용한 세션 키 동의와 관련하여 인수분해 및 이산 로그 문제를 기반으로 한 개선된 암호 인증 프로토콜을 제안했다. 하지만 본 논문에서는 취약성 분석을 통하여, Fairuz et al.의 프로토콜이 Privileged Insider Attack, Lack of Perfect Forward Secrecy, Lack of User Anonymity, DoS Attack, Off-line Password Guessing Attack에 관한 보안 취약점을 가지고 있다는 것을 확인하였다.

• 한국인터넷방송통신학회논문지
• /
• 제11권5호
• /
• pp.131-137
• /
• 2011

최근에 Lin 등은 패스워드와 스마트 카드를 이용하여 원격지에 있는 사용자를 인증할 수 있는 스킴을 제안하였다. 그러나 Lin 등에 의해 제안된 시킴은 패스워드 기반 스마트 카드를 이용한 사용자 인증 스킴에서 고려해야 하는 보안 요구사항을 만족하지 못하고 있다. 본 논문은 공격자가 사용자의 스마트 카드를 훔치거나 일시적으로 접근할 수 있는 경우에 Lin 등의 스킴은 off-line 패스워드 추측공격에 취약하다는 것을 증명한다. 따라서 이와 같은 보안 취약점을 해결하기 위해 해쉬함수와 랜덤 nonce 기반의 개선된 인증 스킴을 제안한다. 본 연구에서 제시하는 사용자 인증 스킴은 패스워드 추측공격 및 위조공격과 재생공격이 불가능하도록 구현되고, 또한 사용자와 인증서버 간 상호인증을 제공한다. 따라서 제안된 인증 스킴은 Lin 등의 스킴에 비해 상대적으로 효율적이고 보안성이 강화된 스킴임을 알 수 있다.

• 한국멀티미디어학회논문지
• /
• 제11권10호
• /
• pp.1403-1408
• /
• 2008

서버의 부담을 줄이기 위하여 스마트카드를 이용한 3자간 키 교환 프로토콜 방식과 패스워드 기반 2자간 키 교환 및 인증 프로토콜 방식들이 많이 제안되고 있다. 본 논문에서는 스마트 카드 기반 3자간 키 교환 및 인증 프로토콜 방식의 취약점에 대한 분석 및 검토를 행하였다. 또한, 심 경아 등에 의한 오프라인 패스워드 추측 공격에 취약점을 보인 곽 진 등의 방식을 분석하여 보고 이 공격에 대한 대책도 제시하고자 한다.

• 한국인터넷방송통신학회논문지
• /
• 제11권6호
• /
• pp.303-310
• /
• 2011

최근에 사용자 인증과정의 보안 취약점을 개선시킨 스마트 카드 기반의 사용자 인증 스킴들이 소개되었다. 2009년에 Wang 등은 Das의 스킴의 보안 문제점을 개선하여 보다 효율적이고 안전성 있는 동적 ID 기반 원격사용자 스킴을 제안하였다. Wang 등은 자신들의 스킴이 인증과정에서 패스워드 독립성에 기인한 위협요인으로부터 안전할 뿐 아니라, 사용자와 원격 인증 서버 간 상호인증을 제공하고 있다고 주장한다. 본 논문은 Wang 등의 보안 스킴을 분석하고, 제안된 스킴이 중간자 공격 및 off-line 패스워드 추측 공격에 취약하다는 것을 증명한다. 또한 그들의 스킴이 상호인증을 제공하지 못함을 보여준다. 또한 본 논문에서는, 비록 스마트 카드의 비밀정보가 노출된다 하더라도, 이와같은 보안 문제점들을 해결한 개선된 스킴을 제안한다. 제안된 스킴은 사용자 위장 공격, 서버 위장 공격 그리고 off-line 패스워드 추측 공격에 안전하고, 계산 복잡도에서 Wang등의 스킴보다 효율적임을 알 수 있다.

• 한국통신학회논문지
• /
• 제34권9B호
• /
• pp.931-938
• /
• 2009

Recently, Holbl et al. proposed an improvement to Peyravian-Jeffries's password-based authentication protocol to overcome some security flaws. However, Munilla et al. showed that Holbl et al.'s improvement is still vulnerable to off-line password guessing attack. In this paper, we provide a secure password-based authentication protocol which gets rid of the security flaws of Holbl et al.'s protocol.