• 융합보안논문지
• /
• 제23권4호
• /
• pp.43-52
• /
• 2023

많은 기업과 단체들은 원격 접근을 위해 스마트카드 기반 사용자 인증을 사용한다. 그 동안 다양한 연구를 통하여 사용자와 서버 간의 연결을 보호하기 위해 분산된 다중 서버 환경에 대한 동적 ID 기반 원격 사용자 인증 프로토콜들이 제안되었다. 그 중, Qiu 등은 상호 인증 및 키 동의, 사용자 익명성, 다양한 종류의 공격에 대한 저항을 제공하는 효율적인 스마트카드 기반 원격 사용자 인증 프로토콜을 제안하였다. 이후, Andola 등은 Qiu 등이 제안된 인증 프로토콜에 대한 다양한 취약점을 찾아내었고, 그들의 인증 프로토콜에 대한 결점을 극복하고 사용자가 서버에 로그인하기를 원할 때마다 로그인하기 전에 사용자ID가 동적으로 변경되는 향상된 인증 프로토콜을 제안하였다. 본 논문에서는 Andola 등이 제안한 프로토콜의 동작 과정 및 취약점을 분석하여, Andola 등이 제안한 프로토콜이 offline smart card attack, dos attack, lack of perfect forward secrecy, session key attack에 취약하다는 것을 밝혔다.

• 디지털융복합연구
• /
• 제11권7호
• /
• pp.141-148
• /
• 2013

스마트그리드는 정보통신기술을 이용하여 전력공급자와 소비자의 양방향통신을 가능하게 한다. 또한 동적인 전력 공급이 가능하기 때문에 전기 자동차 기술과 접목시킬 경우 전기 자동차 충전 인프라를 활성화시키고 전기 자동차의 배터리를 가정용 축전지로 활용하여 재판매할 수도 있다. 이러한 전기 자동차 충전 인프라는 가정, 아파트, 건물, 기타 충전소 등에 고정적으로 위치하여 있고 사용자만 유동적으로 서비스를 이용한다. 만약 유동적으로 서비스를 이용하는 사용자에 대해 인증이 이루어지지 않을 경우 전력 서비스의 불법적인 사용, 전력 정보 유출, 불법적인 전력 요금 변경 등의 피해가 발생할 수 있다. 본 논문에서는 스마트그리드 환경에서 안전하게 전기 자동차 관련 서비스를 이용하기 위해 스마트카드 및 동적 ID 기반 사용자 인증 스킴을 제안한다.

• 한국컴퓨터정보학회논문지
• /
• 제28권7호
• /
• pp.67-75
• /
• 2023

본 논문에서는 Andola 등이 제안한 멀티서버 환경에서 동적 ID를 제공하는 사용자 인증 방식에 대한 안전성과 설계상의 문제점을 분석한다. 본 논문에서 Andola 등의 인증 방식을 분석한 결과, 스마트카드 분실 공격에 안전하지 않고, 이 공격으로 인하여 사용자의 패스워드 추측 공격이 가능하고, 결국 공격자는 세션키까지 생성할 수 있다. 본 논문에서는 이러한 문제를 해결하기 위해서 개선된 인증 방식을 제안하고, 이에 대한 안전성 분석한 결과 스마트카드 분실 공격, 패스워드 추측 공격, 사용자 가장 공격 등 여러 공격에 안전하였다. 또한 개선된 인증 방식은 안전한 동적 ID를 제공할 뿐만 아니라 해시함수의 계산 복잡도 측면에서도 효율적이다. 게다가 개선된 인증 방식은 전송량도 크게 증가하지 않아 전송비용의 측면에서도 효율적인 인증 방식이라고 할 수 있다.

• 한국컴퓨터정보학회논문지
• /
• 제26권10호
• /
• pp.101-108
• /
• 2021

본 논문에서는 Shin이 제안한 TMIS를 위한 동적 ID 기반의 강력한 사용자 인증기법을 분석하고, Shin의 인증 기법이 스마트카드 분실 공격에 취약하여, 공격자가 사용자의 ID를 획득할 수 있고, 이로 인하여 사용자 가장 공격 등이 가능함을 보인다. 2019년에 Shin이 제안한 인증 기법은 ECC를 사용하여 강력한 난수 생성을 시도함으로써, 난수 ri를 모르면 ECC 알고리즘의 난이도에 의하여 난수 r'i를 계산해낼 수 없어서, 스마트카드를 분실하여도 안전하다고 주장하였다. 그러나 본 논문에서 Shin의 인증 기법을 분석한 결과, 전송 메시지와 스마트카드를 사용하면 난수 r'i를 쉽게 계산할 수 있고, 이로 인하여 공격자는 세션키 생성도 가능하였다. 또한 Shin의 인증 기법은 안전성 분석에 대한 취약점뿐만 아니라, 서버의 ID인 SID를 사용자들에게 전달하는 방식의 부재, 사용 시마다 약간씩 다른 템플릿을 가지는 생체정보의 특성을 고려하지 않은 점 등 다수의 설계상의 오류들이 존재하였고, 서버에서 사용자의 ID를 계산해내는 시간 복잡도가 다른 인증 기법들에 비하여 상당히 큰 오버헤드를 가진 것으로 분석되었다.

• KSII Transactions on Internet and Information Systems (TIIS)
• /
• 제10권3호
• /
• pp.1289-1310
• /
• 2016

Dynamic ID-based authentication solves the ID-theft problem by changing the ID in each session instead of using a fixed ID while performing authenticated key exchanges between communicating parties. User anonymity is expected to be maintained and the exchanged key kept secret even if one of the long-term keys is compromised in the future. However, in the conventional dynamic ID-based authentication scheme, if the server's long-term key is compromised, user anonymity can be broken or the identities of the users can be traced. In addition, these schemes are vulnerable to replay attacks, in which any adversary who captures the authentication message can retransmit it, and eventually cause the legitimate user to be denied service. This paper proposes a novel dynamic ID-based authentication scheme that preserves forward anonymity as well as forward secrecy and obviates replay attacks.

• 한국인터넷방송통신학회논문지
• /
• 제13권1호
• /
• pp.273-278
• /
• 2013

최근에, 멀티서버 환경을 위한 스마트 카드를 이용한 사용자 인증 방식이 실질적인 응용 분야에서 적용되고 있다. 2009년도에 Liao-Wang은 멀티서버를 위한 안전한 동적 ID 기반 원격 사용자 인증 방식을 제안하였다. 이 방식은 여러 종류의 가능한 공격에 안전하면서 사용자 익명성 보장하였다. 본 논문에서 우리는 Liao-Wang의 방식에 대한 안정성을 분석하고, Liao-Wang의 방식이 위조 공격, 패스워트 추측 공격, 세션키 공격 그리고 내부자 공격에 취약하다는 것을 보여준다. 추가로 Liao-Wang의 방식이 사용자와 서버간의 사용자 익명성 역시 제공하지 못한다는 것을 증명한다.

• 정보보호학회논문지
• /
• 제19권3호
• /
• pp.61-72
• /
• 2009

본 논문에서는 RFID 시스템에서 태그와 백엔드 서버간의 안전성과 태그의 구현 효율성을 높인 두 가지 형태의 상호 인증 방식을 제안하고자 한다. 첫 번째 제안 방법에서는 고정된 ID를 사용하여 분산 환경에 이용할 수 있는 방법이며, 두 번째 방법은 변동 ID를 사용한 것으로서 전방향 안전성(forward security)을 추가적으로 만족할 수 있도록 설계하였다. 제안 방식에서 태그가 랜덤 수 발생기를 사용하지 않으면서 최소 한번 혹은 최대 3번 정도의 해쉬 연산만으로 상호 인증을 수행할 수 있다. 기안된 프로토콜들을 RFID 겸용 스마트 카드 칩에서 구현하고 그 동작이 타당함을 검증하였다.

• 한국인터넷방송통신학회논문지
• /
• 제11권6호
• /
• pp.303-310
• /
• 2011

최근에 사용자 인증과정의 보안 취약점을 개선시킨 스마트 카드 기반의 사용자 인증 스킴들이 소개되었다. 2009년에 Wang 등은 Das의 스킴의 보안 문제점을 개선하여 보다 효율적이고 안전성 있는 동적 ID 기반 원격사용자 스킴을 제안하였다. Wang 등은 자신들의 스킴이 인증과정에서 패스워드 독립성에 기인한 위협요인으로부터 안전할 뿐 아니라, 사용자와 원격 인증 서버 간 상호인증을 제공하고 있다고 주장한다. 본 논문은 Wang 등의 보안 스킴을 분석하고, 제안된 스킴이 중간자 공격 및 off-line 패스워드 추측 공격에 취약하다는 것을 증명한다. 또한 그들의 스킴이 상호인증을 제공하지 못함을 보여준다. 또한 본 논문에서는, 비록 스마트 카드의 비밀정보가 노출된다 하더라도, 이와같은 보안 문제점들을 해결한 개선된 스킴을 제안한다. 제안된 스킴은 사용자 위장 공격, 서버 위장 공격 그리고 off-line 패스워드 추측 공격에 안전하고, 계산 복잡도에서 Wang등의 스킴보다 효율적임을 알 수 있다.

• 한국전자거래학회지
• /
• 제18권2호
• /
• pp.81-93
• /
• 2013

원격사용자 인증스킴은 안전하지 않은 통신상에서 원격 서버에게 사용자의 적법함을 확인하는 방법이다. 현재, 스마트카드 기반의 원격사용자 인증스킴들은 상호인증을 위해 연산비용은 낮추면서 간편한 기법이 넓게 적용되어오고 있다. 2009년, Wang et al.'s는 스마트카드를 이용한 동적 ID기반의 원격사용자 인증스킴을 제안했다. Wang et al.'s 스킴은 여러 가지 공격에 안전하고 서버에서 선택된 강력한 패스워드에 의해 익명성이 보장된다고 주장했다. 그러나 본 논문에서는 Wang et al.'s 스킴이 인증과정에서 사용자의 익명성을 제공하지 않는 취약점이 있다고 지적한다. 또 사용자에게 패스워드 선택의 권한이 없으며 제한된 replay 공격에 취약하다. 특히 사용자에게 전송된 파라미터 y는 매우 부적절하게 사용되고 있다. 이러한 보안의 결점을 극복하기 위해 Wang et al.'s 스킴의 식별된 약점을 보완하고 사용자와 원격서버 간에 완전한 익명성보장과 향상된 인증스킴을 제안한다.

• 한국통신학회논문지
• /
• 제39B권1호
• /
• pp.29-37
• /
• 2014

최근, Tsai 등의 연구자는 동적 ID 기반 스마트카드 인증 기법을 제안하였다. 본 논문에서 그들이 제안한 기법은 잘못된 패스워드의 검증을 조기에 탐지하지 못하기 때문에 발생하는 서비스거부 공격과 내부자 공격에 취약하고 패스워드 변경시 안전성이 보장되지 않는 문제가 있음을 제시하고, 이러한 문제를 해결하는 기법을 제시하려고 한다. 본 논문에서 제안하는 기법의 안전성은 일방향 해시 함수의 안전성과 이산대수 문제의 어려움에 기반을 둔다. 특히 기존 기법과 거의 대등한 수준의 연산량을 요구하면서 안전성 문제를 해결한다. 추가로 제안하는 기법의 안전성과 연산량에 대한 좀 더 자세한 분석을 제시한다.