• 정보보호학회논문지
• /
• 제13권5호
• /
• pp.113-127
• /
• 2003

WAP의 보안 프로토콜인 WTLS는 무선 인터넷 프로토콜에서 TCP의 보안에 사용하는 TLS를 무선 환경에 맞게 최적한 것으로, 안전하고 효율적인 서비스 제공을 목적으로 하고 있다. WTLS 프로토콜은 Handshake, ChangeCipherSpec, Alert, Application Data 등 4개의 프로토콜로 구성되어 있으며, 본 논문에서는 Handshake 프로토콜에 대해 master secret를 설정하는 과정과 특징을 분석하고, 이를 기반으로 하여 능동적 공격자 모델에 대한 안전성을 분석한다. 또한 안전성 분석 결과를 바탕으로 능동적 공격자 모델에 안전하고 다양한 보안 서비스를 제공할 수 있는 새로운 Handshake 프로토콜을 제안한다.

• 정보보호학회논문지
• /
• 제22권3호
• /
• pp.655-658
• /
• 2012

최근 Gu와 Xue는 Huang와 Cao에 의해 제안되었던 기법을 수정하여 개선된 secret hankshake 기법을 제안하였다. Gu와 Xue의 기법은 Huang와 Cao의 기법이 가지고 있던 취약성을 개선하면서 기존의 기법들에 비해 효율적이라는 장점도 동시에 제공하고 있다. 본 논문에서는 Gu와 Xue에 의해 고려되었던 안전성 요구사항들을 살펴보고 공격자에 대한 정의가 현실적으로 제한되었음을 보인다. 현실성에 맞게 수정된 공격자 모델에서는 Gu와 Xue의 기법이 안전하지 않음을 보인다.

• Journal of information and communication convergence engineering
• /
• 제3권2호
• /
• pp.93-95
• /
• 2005

In order to create security session, security keys are preconfigured between communication objects. For this purpose, Handshake Protocol exists. The pre-master secret key that is used in this process needs to interpreted by a server to create master secret key, whose process requires a big calculation, resulting in deteriorating system's transmission performance. Therefore, it is helpful in increasing transmission speed to reuse secret keys rather than to create them at every connection.

• 정보보호학회논문지
• /
• 제29권2호
• /
• pp.417-429
• /
• 2019

WPA2-PSK는 클라이언트와 AP가 공유비밀키에 기반하여 4-way 핸드쉐이크 프로토콜을 이용하여 보안 세션을 설정하는 방식을 사용하고 있다. 이 방식은 도청공격 등 여러 가지 보안 문제점들이 제기되고 있으며 또한 효율성 측면에서도 클라이언트와 AP간에 여러번의 상호작용을 요구하여 보안세션 설정과정이 비효율적이다. WPA2의 보안 문제점을 해결하기 위하여 최근 WPA3 표준이 제안되고 있지만 근본적으로는 동일한 4-way 핸드쉐이크 방법론을 사용하는 소규모 개선이다. OAuth 2.0 토큰인증 기술은 한 번 인증이 확인된 클라이언트에게 서버가 토큰을 발급하여 인증상태를 오랜 기간 효율적으로 유지시킬 수 있는 인증유지 기술로 웹에서 널리 사용되고 있다. 이 논문에서는 OAuth 2.0 기술을 개선한 이중토큰을 이용하는 난수화토큰인증 기술을 Wi-Fi 보안 프로토콜에 결합 적용함으로써, 초기인증과 보안세션설정을 구분하여 효율성을 개선한 새로운 Wi-Fi 보안 프로토콜을 제시한다. 즉, 한 번 초기인증에 성공한 클라이언트에게는 AP가 이중토큰을 발급하고 이후에는 이것을 이용하여 한 번의 평문 메시지 교환만으로 빠르게 보안세션을 생성할 수 있도록 성능을 개선하였다.

• 한국전자거래학회지
• /
• 제22권2호
• /
• pp.169-185
• /
• 2017

SSL의 취약점을 이용한 공격 기법인 BEAST를 발표했던 Juliano Rizzo와 Thai Duong이 새로운 공격 기법인 CRIME(Compression Ration Info-leak Made Easy)을 발표하였다. CRIME 공격은 암호화된 데이터에 대한 비밀 정보를 찾아내기 위해 데이터가 압축 및 암호화되는 방법의 취약점을 이용한 공격이다. 공격자는 이 공격법을 반복하여 데이터를 복호화할 수 있고, HTTP 세션의 쿠기 데이터를 복원할 수 있다. 공격자는 SPDY 및 SSL/TLS의 압축 함수를 대상으로 하는 이 보안 취약점을 이용하여 다양한 길이의 입력 데이터를 선택함으로써 암호화된 데이터의 길이를 확인할 수 있다. TLS 프로토콜은 두 통신자(서버 및 클라이언트) 사이에서 발생하는 데이터 통신의 무결성을 보장하고 두 대상에 대한 인증 수단을 제공하고 있으며, 최근 몇 년 동안 이들을 대상으로 TLS 메커니즘의 몇몇 특성들을 이용한 다양한 공격들이 수행되고 연구되었다. 본 논문에서는 CRIME 및 SSL/TLS에 대한 다양한 공격 기법들과 이들에 대한 대응 및 구현 방안에 대하여 논의하며, 실용적인 관점에서 SSL/TLS 공격 대응 방안의 방향을 제시한다.