• 한국멀티미디어학회논문지
• /
• 제23권6호
• /
• pp.738-746
• /
• 2020

In this paper, we propose an indirect PIN entry method that provides enhanced security against smudge, recording, and thermal attacks. Conventional mobile PIN entry methods use on-screen numeric keypad for both use of display and entry. Thus These methods are vulnerable to aforementioned attacks. In our method, passcode is same as that of the conventional PIN entry methods, and that is user-friendly way for mobile device users. Therefore, our method does not reduce user convenience which is one of the advantages of the conventional methods. In addition, our method is not a method of directly touching the on-screen numeric keypad for entering passcode like the conventional PIN methods. Unlike the conventional methods, our method uses an indirect passcode entry method that applied a passcode indicating key. According to the performance comparison result, proposed method provides user convenience similar to the conventional methods, and also provides a higher level of security and safety against recording, smudge, and thermal attacks than the conventional methods.

• 융합정보논문지
• /
• 제10권8호
• /
• pp.144-151
• /
• 2020

핀테크 서비스에서 금융거래시 사용자 인증하는 절차는 필수적이다. 특히, 스마트 폰에서의 인증은 터치 스크린상의 가상 키패드를 통해 PIN을 입력받아 수행한다. 공격자가 PIN 입력 과정을 어깨너머로 훔쳐보기로 터치한 문자와 터치위치를 활용하여 패스워드를 유추하거나 높은 해상도 카메라 등으로 녹화하여 터치한 문자를 알아내어 패스워드를 유출할 수 있다. 패스워드 유출을 차단하기 위해 다양한 기법의 가상 키패드에 대한 연구가 진행되고 있다. 한편 편리성을 높이는 동시에 변동적인 키패드로 안전성이 보장되는 보안 키패드를 설계하는 것은 쉽지 않다. 또한 사용자가 터치한 패스워드가 잘못되었는지 확인을 위해 사용자에게 입력된 정보를 보여주기 때문에 고해상도 카메라 및 구글 글래스 등으로 녹화시 패스워드가 쉽게 노출된다. 본 논문에서는 QWERTY기반 보안 키패드에 대한 장단점을 분석하였다. 이를 통해 테트리스 모양의 키패드를 생성하고, 이어 붙이는 보안 키패드를 안드로이드 환경에서 구현하고, 입력된 문자를 스마트 화면에 테트리스 모양으로 사용자에게 보여줌으로서 녹화로 인한 패스워드 노출을 차단할 수 있다.

• 융합정보논문지
• /
• 제12권3호
• /
• pp.38-45
• /
• 2022

핀테크 기술의 발전으로 인해 스마트폰을 이용한 금융거래가 활성화되고 있다. 금융거래시 사용자 인증을 위한 비밀번호는 스마트 폰의 터치 스크린 상에 보여지는 가상 키패드를 통해 입력된다. 비밀번호를 터치할 때 공격자가 높은 해상도를 가진 카메라로 촬영하거나 어깨 너머로 훔쳐보는 방식으로 사용자가 입력한 비밀번호를 알아낼 수 있다. 이런 공격을 막기 위해 보안이 적용된 가상 키패드는 크기가 작은 터치 스크린에 입력하기 어렵고, 훔쳐보기 공격에 취약점이 여전히 존재한다. 본 논문에서는 전체 키패드를 몇 개의 그룹으로 나누고 작은 화면에 표시하여 입력할 문자가 속해 있는 그룹을 터치하고, 그룹 내에서 해당 문자를 터치하는 방식으로 입력할 문자를 쉽게 찾을 수 있다. 제안기법은 입력할 문자가 속한 그룹을 선택하며 해당 그룹에 키패드를 10개 이내로 작은 스크린에 보여주기 때문에 키패드의 크기를 기존 방법보다 2배 이상 확대가 가능하고, 위치를 랜덤하게 배치하여 터치한 위치를 통한 공격을 차단할 수 있다.

• 정보보호학회논문지
• /
• 제24권6호
• /
• pp.1159-1174
• /
• 2014

스마트폰, 태블릿 PC와 같은 스마트 기기들의 사용이 증가하면서 애플리케이션을 이용한 금융 업무 등 중요 업무를 해당 스마트 기기를 이용하여 처리하는 경우가 많아지고 있으며, 이러한 정보를 획득 할 수 있는 여러 공격들이 존재하고 있다. 그 중 사회공학기법인 어깨너머공격은 해킹 기술과 같은 특정 컴퓨터 기술 없이도 직접적으로 정보를 획득할 수 있어 강력한 공격 방법으로 꼽힐 수 있다. 그러나 지금까지의 어깨너머공격은 사용자 모르게 정보를 엿보는 행위라는 단순한 정의밖에 존재하지 않았다. 또한, 국제표준인 공통평가기준(CC)의 공통평가방법론(CEM)에서 제공하는 attack potential 방법론은 어깨너머공격에 대한 내성을 정량적으로 나타내지 못하는 한계를 가지고 있다. 이에 본 연구에서는 어깨너머공격에 필요한 공격조건들을 나열하고 공통평가기준에서 제공하는 공격 성공 가능성(attack potential)의 방법론을 차용하여 어깨너머공격까지 공격 성공 가능성을 계산할 수 있도록 이를 포함할 수 있는 공격성공 가능성을 제안한다. 더불어, 현재 스마트 기기들에 제공되고 있는 모바일뱅킹 애플리케이션의 보안 키패드인 쿼티키패드와 숫자 키패드의 안전성을 분석하고 공격 시나리오를 기반으로 하여 현재 제공되고 있는 모바일뱅킹 애플리케이션들의 어깨너머공격에 대한 공격 성공 가능성을 알아본다.

• 실천공학교육논문지
• /
• 제15권3호
• /
• pp.641-647
• /
• 2023

핀테크 환경에서 스마트 폰을 이용한 금융거래가 안전하게 거래되기 위해서는 스마트 폰의 소유자에 대한 인증이 필수적이다. 스마트 폰을 이용한 인증기법은 패스워드 인증, 생체인증, SMS 인증 등이 있다. 사용자 인증에서 패스워드 입력을 통한 인증이 보편적이고 편리성이 높기 때문에 스마트 폰에서 많이 활용되고 있다. 손쉬운 인증이지만 키로깅 공격이나 엿보기 등의 공격에 취약점이 존재한다. 스마트 폰에서 패스워드 입력에서의 취약점을 해결하기 위한 보안 키패드가 제안되고 있다. 터치하는 위치로 입력하는 문자를 유추하는 공격에 강인한 그룹 키패드가 제안되었지만 사용 편리성 측면에 개선이 필요하다. 본 연구에서는 기존의 그룹 키패드에서 그룹핑된 키패드를 측면에 배치하고, 드래그를 활용하여 편리성을 제공하면서 엿보기나 레코딩 공격에 강한 새로운 방법을 제안하고자 한다. 제안 기법은 레코딩 공격을 차단하기 위해 마지막 문자확인 대신 키패드의 새로운 표시를 통해 사용자가 쉽게 확인하고, 터치하는 방법에서도 드래그를 사용하였다. 국내 사용자를 위한 다양한 배치 방법을 제시하여 패스워드 입력에서 기존 방식보다 입력의 효율성과 안전성을 제시하였다.

• 인터넷정보학회논문지
• /
• 제14권3호
• /
• pp.15-21
• /
• 2013

스마트폰과 태블릿 PC 등의 모바일 플랫폼이 급격히 보급됨에 따라 이를 이용한 금융 거래나 전자상거래도 급증하고 있다. 모바일 환경에서는 데스크탑 PC 환경과는 달리 키보드나 마우스 대신 터치 스크린 상의 가상 키패드를 이용하여 패스워드 등의 중요 개인 정보를 입력하게 되는데, 이 때 터치 좌표가 노출될 경우 키 값이 쉽게 노출될 수 있다. 이러한 문제를 해결하기 위해 금융 거래와 관련된 대부분의 모바일 프로그램은 가상 키패드에서 키의 위치를 무작위로 바꾸는 보안 키패드를 채택하고 있다. 하지만, 각 키의 가변 위치가 2~3개에 불과하고 확률도 균등하지 않기 때문에 사용자의 중요 정보를 보호하는데는 한계가 있다. 본 논문에서는 대부분의 금융 관련 모바일 프로그램에 사용되는 보안 키패드에 대해 설명한 후, 기존 안전성 분석의 한계를 지적하고 터치 위치를 기반으로 키 값을 유추하는 새로운 공격 방법을 제시하고자 한다.

• 한국정보통신학회논문지
• /
• 제26권5호
• /
• pp.656-661
• /
• 2022

네자리 디지털 숫자를 입력하는 패스워드 방식이 신용카드 승인용 비밀번호, 디지털 도어락 개폐 비밀번호 등으로 널리 활용되고 있다. 하지만 이 패스워드 방식에서는 네자리의 숫자가 손가락 지문이나 버튼의 마모 등으로 쉽게 추측될 수 있어서 보안 상 안전하지 않다. 또한 장기화되는 코로나19 팬데믹으로 인해 인증에서 접촉 방식보다는 비접촉 방식이 점점 더 선호되고 있다. 본 논문에서는 카메라로 촬영된 얼굴의 눈깜빡임 패턴 분석에 기반한 패스워드 생성 방법을 제안한다. 제안 방법은 0부터 9까지(또는 9부터 0까지) 카운팅 되는 신호에 맞춰 행해진 일련의 눈깜빡임 동작을 분석하고 코드화하여 십진수 네자리를 생성한다. 제안 방법은 패스워드 노출 위험이 유발되는 키패드 입력이나 과장된 행동을 필요로 하지 않는다는 장점이 있다.

• 한국멀티미디어학회논문지
• /
• 제25권7호
• /
• pp.932-944
• /
• 2022

Smartphones, are currently equipped with high-performance hardware to process large amounts of data and provide most of the functions provided by desktop PCs. In addition, the smartphones enable quick user authentication through biometric information collected from embedded sensors. However, the biometric authentication method is sometimes rejected due to social and cultural environment, security vulnerabilities, and misrecognition rate. Thus, conventional authentication methods such as PIN and pattern authentication are still mainly used. Consider the latest foldable and bendable smartphones. These devices may be vulnerable to social engineering attacks as they use conventional authentication methods without considering their form factors. In this study, therefore, we propose an authentication method using partial elements of PIN and pattern authentication as a way to increase the security of the conventional authentication methods and consider the recent form factors. According to the performance evaluation results, our method provides improved safety compared to the conventional methods.

• 정보보호학회논문지
• /
• 제25권3호
• /
• pp.603-613
• /
• 2015

스마트폰 어플리케이션은 UI(User Interface)로 구성되어 있다. 버튼 클릭, 화면 스크롤 등 사용자가 어플리케이션을 사용하는 과정 중 많은 UI의 변화가 발생하면서 UI 이벤트가 시스템에 전송된다. 이러한 UI 이벤트에는 다양한 정보가 포함되어 있는데, 사용자 입력과 관련된 정보도 함께 포함되어 있다. 안드로이드 환경에서 키로깅 등 기존의 알려진 입력정보 획득 기법은 루팅과 같은 제한적인 환경을 필요로 했으나, UI 이벤트는 일반권한만으로도 접근이 가능하다는 장점이 있다. 또한, 입력정보 보호를 위해 많은 어플리케이션에서 보안키패드를 적용 중에 있으나, 이와는 관계없이 UI 이벤트를 활용한 기법을 통해 입력정보 획득이 가능하다는 것이 실험을 통해 조사되었다. 본 논문에서는 UI 이벤트를 활용한 사용자 입력정보 유출 위협을 증명하고, 이를 응용하여 시나리오를 기반으로 재생공격(Replay Attack)이 가능함을 보이면서 대응 방안을 제시하도록 한다.

• 정보보호학회논문지
• /
• 제26권1호
• /
• pp.177-185
• /
• 2016

최근 핀테크(FinTech) 산업의 활성화와 더불어 모바일환경에서의 금융거래가 증가함에 따라 이를 공격 대상으로 하는 악성 어플리케이션이 증가하고 있다. 악성 어플리케이션의 공격대상은 점점 많아지고 그 방법 또한 다양해지고 있어, 이에 따라 새로운 형태의 공격방법에 대해 미리 대비해야 할 필요성이 있다. 본 논문에서는 안드로이드 프레임워크의 접근성 서비스(Accessibility Service)기능을 이용해, 보안키패드의 입력 값을 탈취 할 수 있는 새로운 공격방법을 제시하고자 한다. 이러한 공격방법을 악용할 경우, 사용자가 보안키패드에 입력한 비밀번호 정보가 매우 쉽게 노출될 수 있음을 실험을 통해 보이고 이에 대한 대응 방안으로 접근성 사용에 대한 검증과 모바일 어플리케이션의 접근성 지침에 대한 개선을 제안한다.