패스워드 기반 인증에서의 적대적 생성 신경망을 활용한 키보드 데이터 보호 방안 A Keyboard Data Protection Method using Generative Adversarial Networks for Password-based Authentication원문보기
컴퓨터 시스템에서는 사용자의 민감한 정보인 개인정보를 보호하기 위하여, 사용자를 인증하기 위한 수단이 요구되었다. 이러한 요구사항에 따라, 과거부터 현재까지 다양한 사용자 인증기술이 등장하였다. 초기의 사용자 인증기술은 사용이 편리하고 구현이 용이하다는 이유로 인하여, 패스워드 기반 인증기술과 같이 인증 주체가 알고 있는 지식을 기반으로 사용자를 인증하는 기술을 주로 사용하였다. 그러나 패스워드 기반 인증기술은 짧은 길이의 문자 또는 숫자로 구성되어 있으므로, 사용자가 보안성이 약한 패스워드를 구성하거나, 여러 서비스에 동일한 패스워드를 사용하는 원인으로 인하여, 패스워드 유출 및 탈취를 포함한 다양한 취약점이 발견되었다. 이러한 취약점을 보완하기 위하여, 최근에는 패스워드 인증과 같은 ...
컴퓨터 시스템에서는 사용자의 민감한 정보인 개인정보를 보호하기 위하여, 사용자를 인증하기 위한 수단이 요구되었다. 이러한 요구사항에 따라, 과거부터 현재까지 다양한 사용자 인증기술이 등장하였다. 초기의 사용자 인증기술은 사용이 편리하고 구현이 용이하다는 이유로 인하여, 패스워드 기반 인증기술과 같이 인증 주체가 알고 있는 지식을 기반으로 사용자를 인증하는 기술을 주로 사용하였다. 그러나 패스워드 기반 인증기술은 짧은 길이의 문자 또는 숫자로 구성되어 있으므로, 사용자가 보안성이 약한 패스워드를 구성하거나, 여러 서비스에 동일한 패스워드를 사용하는 원인으로 인하여, 패스워드 유출 및 탈취를 포함한 다양한 취약점이 발견되었다. 이러한 취약점을 보완하기 위하여, 최근에는 패스워드 인증과 같은 지식 기반 인증기술 뿐만 아니라, 공동인증서, OTP, 그리고 보안 카드와 같이 사용자가 소유한 장치에서 제공되는 비밀정보를 활용한 소유 기반 인증기술과 MAC 주소나 IP 주소와 같이 사용자의 장치를 식별할 수 있는 정보를 기반으로 인증을 수행하는 기술도 등장하였다. 그러나, 이러한 사용자 인증기술의 발전에도 불구하고, 버라이즌의 “2022 데이터 위반 조사 보고서”에 따르면, 전체 보안 침해사고 중에서 패스워드 유출과 같은 자격 증명 도난으로 인한 보안사고가 전체의 82%를 차지하는 것으로 조사되었으며, 이러한 결과는 다양한 사용자 인증기술이 등장하였음에도 불구하고, 패스워드 기반 인증기술이 다른 인증기술보다 구현 난이도와 사용의 편의성 측면에서 훨씬 효율적이기 때문에, 사용자 인증을 제공하는 대부분의 서비스가 패스워드 기반 인증기술을 도입하는 것이 그 원인인 것으로 판단된다. 이와 같은 다양한 이유로 인하여, 아직까지도 대부분의 시스템에서는 패스워드 기반 인증기술을 주된 인증기술으로 활용하는 실정이며, 만약, 취약점으로 인하여 공격자에게 패스워드가 유출된다면, 개인정보 유출 및 계정 해킹, 금융 피해와 같은 심각한 피해가 발생할 가능성이 존재하며, 유출된 패스워드로 인한 추가적인 공격을 시도하는 것이 가능한 문제점이 발생한다. 이에 따라, 상기와 같은 패스워드 유출로 인한 피해를 방지하기 위해서는 패스워드 기반 인증기술에 대한 안전성 평가가 요구되며, 더 나아가 패스워드는 키보드를 통하여 입력되므로, 키보드 데이터를 보호하는 기술에 대한 연구가 필요한 실정이다. 따라서, 본 논문에서는 두 가지 연구 목표를 토대로, 최종적으로는 기존의 키보드 데이터 공격 기술로부터 키보드 데이터를 안전하게 보호하는 방안을 제안한다. 본 논문의 첫 번째 연구 목표는 현재까지 공개된 키보드 공격 기술에 대한 기존 연구들을 분석함으로써, 키보드 데이터 공격 및 방어에서 발생하는 근본적인 원인을 파악하고, 대응 방안을 도출하는 것이다. 첫 번째 목표 달성을 위한 기존 연구 분석 결과, 키보드 데이터와 관련된 연구는 방어 관점에서의 연구보다는 공격적 보안 측면에서 효율적으로 키보드 데이터를 탈취하는 연구가 대부분 진행 중이며, 대표적인 공격 기술을 살펴보면 WinProc 치환, 필터 드라이버 삽입, 메시지 후킹, IDT 대체, 인터럽트 객체 대체, 다이렉트 폴링, C/D 비트 취약점 활용, RESEND 명령 활용 공격이 있다. 이러한 공격 기술 중에서 최근에는 C/D 비트 취약점을 기반으로, 기계학습 모델을 활용함으로써 방어자가 생성한 허위 키보드 데이터를 분류하는 공격 기술이 새롭게 등장하였다. 이에 따라, 실제 키보드 데이터와 허위 키보드 데이터의 분포 및 특징을 분석함으로써, 데이터 분석을 기반으로 키보드 데이터를 보호하는 방안을 제시한다. 본 논문의 두 번째 연구 목표는 첫 번째 연구 목표의 결과를 토대로, 패스워드 기반 인증기술의 안전성 평가 및 발전하는 최신 공격 기술에 발맞추어 대응하기 위하여, 적대적 생성 신경망인 GAN(Generative Adversarial Networks)을 활용함으로써, 최신 공격 기술을 방어하는 기술을 제안하고 실증하는 것이다. 이를 위하여, 본 논문에서는 적대적 생성 신경망을 활용한 키보드 데이터 보호 방안의 방법론을 확립하고, 그 가능성을 검증한다. 가능성 검증 이후에는 실제로 키보드 데이터 공격 기술에 대응하는 방어 시스템을 구성하며, 구성된 시스템을 통하여 제안하는 방안의 안전성을 실험을 통하여 실증한다. 실험 결과를 살펴보면, 선행 연구인 기계학습 기반 키보드 데이터 탈취 공격은 96.7%의 공격 성공률을 보였으며, 이는 방어자가 생성한 허위 키보드 데이터와 사용자가 입력하는 실제 키보드 데이터를 효과적으로 분류한다는 것을 의미한다. 그러나 본 논문에서 제안하는 GAN을 활용한 키보드 데이터 보호 방안은 선행 연구인 공격에 활용된 모든 실험을 대상으로, 키보드 데이터 분류 성능의 평균이 최소 29%, 최대 52% 감소하는 것을 실험을 통하여 실증하였다. 즉, 제안하는 GAN을 활용한 키보드 데이터 보호 방안을 적용한다면, 기존 공격 기술의 공격 성공률이 매우 낮아지며, 패스워드 기반 인증기술의 특성상, 문자 하나라도 다를 경우에는 인증이 되지 않기 때문에, 제안하는 대응 방안을 적용한다면, 키보드 데이터를 안전하게 보호할 수 있다는 결론에 도달한다. 본 논문의 결과를 통하여, 패스워드 기반 인증에서 공격자에 의하여 키보드 데이터를 탈취하는 보안 위협을 방지할 수 있으며, 패스워드 기반 인증기술의 안전성을 평가하기 위한 지침으로 활용될 수 있을 것으로 사료된다.
컴퓨터 시스템에서는 사용자의 민감한 정보인 개인정보를 보호하기 위하여, 사용자를 인증하기 위한 수단이 요구되었다. 이러한 요구사항에 따라, 과거부터 현재까지 다양한 사용자 인증기술이 등장하였다. 초기의 사용자 인증기술은 사용이 편리하고 구현이 용이하다는 이유로 인하여, 패스워드 기반 인증기술과 같이 인증 주체가 알고 있는 지식을 기반으로 사용자를 인증하는 기술을 주로 사용하였다. 그러나 패스워드 기반 인증기술은 짧은 길이의 문자 또는 숫자로 구성되어 있으므로, 사용자가 보안성이 약한 패스워드를 구성하거나, 여러 서비스에 동일한 패스워드를 사용하는 원인으로 인하여, 패스워드 유출 및 탈취를 포함한 다양한 취약점이 발견되었다. 이러한 취약점을 보완하기 위하여, 최근에는 패스워드 인증과 같은 지식 기반 인증기술 뿐만 아니라, 공동인증서, OTP, 그리고 보안 카드와 같이 사용자가 소유한 장치에서 제공되는 비밀정보를 활용한 소유 기반 인증기술과 MAC 주소나 IP 주소와 같이 사용자의 장치를 식별할 수 있는 정보를 기반으로 인증을 수행하는 기술도 등장하였다. 그러나, 이러한 사용자 인증기술의 발전에도 불구하고, 버라이즌의 “2022 데이터 위반 조사 보고서”에 따르면, 전체 보안 침해사고 중에서 패스워드 유출과 같은 자격 증명 도난으로 인한 보안사고가 전체의 82%를 차지하는 것으로 조사되었으며, 이러한 결과는 다양한 사용자 인증기술이 등장하였음에도 불구하고, 패스워드 기반 인증기술이 다른 인증기술보다 구현 난이도와 사용의 편의성 측면에서 훨씬 효율적이기 때문에, 사용자 인증을 제공하는 대부분의 서비스가 패스워드 기반 인증기술을 도입하는 것이 그 원인인 것으로 판단된다. 이와 같은 다양한 이유로 인하여, 아직까지도 대부분의 시스템에서는 패스워드 기반 인증기술을 주된 인증기술으로 활용하는 실정이며, 만약, 취약점으로 인하여 공격자에게 패스워드가 유출된다면, 개인정보 유출 및 계정 해킹, 금융 피해와 같은 심각한 피해가 발생할 가능성이 존재하며, 유출된 패스워드로 인한 추가적인 공격을 시도하는 것이 가능한 문제점이 발생한다. 이에 따라, 상기와 같은 패스워드 유출로 인한 피해를 방지하기 위해서는 패스워드 기반 인증기술에 대한 안전성 평가가 요구되며, 더 나아가 패스워드는 키보드를 통하여 입력되므로, 키보드 데이터를 보호하는 기술에 대한 연구가 필요한 실정이다. 따라서, 본 논문에서는 두 가지 연구 목표를 토대로, 최종적으로는 기존의 키보드 데이터 공격 기술로부터 키보드 데이터를 안전하게 보호하는 방안을 제안한다. 본 논문의 첫 번째 연구 목표는 현재까지 공개된 키보드 공격 기술에 대한 기존 연구들을 분석함으로써, 키보드 데이터 공격 및 방어에서 발생하는 근본적인 원인을 파악하고, 대응 방안을 도출하는 것이다. 첫 번째 목표 달성을 위한 기존 연구 분석 결과, 키보드 데이터와 관련된 연구는 방어 관점에서의 연구보다는 공격적 보안 측면에서 효율적으로 키보드 데이터를 탈취하는 연구가 대부분 진행 중이며, 대표적인 공격 기술을 살펴보면 WinProc 치환, 필터 드라이버 삽입, 메시지 후킹, IDT 대체, 인터럽트 객체 대체, 다이렉트 폴링, C/D 비트 취약점 활용, RESEND 명령 활용 공격이 있다. 이러한 공격 기술 중에서 최근에는 C/D 비트 취약점을 기반으로, 기계학습 모델을 활용함으로써 방어자가 생성한 허위 키보드 데이터를 분류하는 공격 기술이 새롭게 등장하였다. 이에 따라, 실제 키보드 데이터와 허위 키보드 데이터의 분포 및 특징을 분석함으로써, 데이터 분석을 기반으로 키보드 데이터를 보호하는 방안을 제시한다. 본 논문의 두 번째 연구 목표는 첫 번째 연구 목표의 결과를 토대로, 패스워드 기반 인증기술의 안전성 평가 및 발전하는 최신 공격 기술에 발맞추어 대응하기 위하여, 적대적 생성 신경망인 GAN(Generative Adversarial Networks)을 활용함으로써, 최신 공격 기술을 방어하는 기술을 제안하고 실증하는 것이다. 이를 위하여, 본 논문에서는 적대적 생성 신경망을 활용한 키보드 데이터 보호 방안의 방법론을 확립하고, 그 가능성을 검증한다. 가능성 검증 이후에는 실제로 키보드 데이터 공격 기술에 대응하는 방어 시스템을 구성하며, 구성된 시스템을 통하여 제안하는 방안의 안전성을 실험을 통하여 실증한다. 실험 결과를 살펴보면, 선행 연구인 기계학습 기반 키보드 데이터 탈취 공격은 96.7%의 공격 성공률을 보였으며, 이는 방어자가 생성한 허위 키보드 데이터와 사용자가 입력하는 실제 키보드 데이터를 효과적으로 분류한다는 것을 의미한다. 그러나 본 논문에서 제안하는 GAN을 활용한 키보드 데이터 보호 방안은 선행 연구인 공격에 활용된 모든 실험을 대상으로, 키보드 데이터 분류 성능의 평균이 최소 29%, 최대 52% 감소하는 것을 실험을 통하여 실증하였다. 즉, 제안하는 GAN을 활용한 키보드 데이터 보호 방안을 적용한다면, 기존 공격 기술의 공격 성공률이 매우 낮아지며, 패스워드 기반 인증기술의 특성상, 문자 하나라도 다를 경우에는 인증이 되지 않기 때문에, 제안하는 대응 방안을 적용한다면, 키보드 데이터를 안전하게 보호할 수 있다는 결론에 도달한다. 본 논문의 결과를 통하여, 패스워드 기반 인증에서 공격자에 의하여 키보드 데이터를 탈취하는 보안 위협을 방지할 수 있으며, 패스워드 기반 인증기술의 안전성을 평가하기 위한 지침으로 활용될 수 있을 것으로 사료된다.
In computer systems, user authentication methods are required to protect personal information, which is sensitive information of the user. According to these requirements, various user authentication technologies have emerged. Early user authentication technologies have mainly used technologies to a...
In computer systems, user authentication methods are required to protect personal information, which is sensitive information of the user. According to these requirements, various user authentication technologies have emerged. Early user authentication technologies have mainly used technologies to authenticate users based on knowledge of the authentication subject, such as password-based authentication technologies because of their ease of use and implementation. However, since password-based authentication technology consists of short-length characters or numbers, various vulnerabilities, including password leakage and stealing, have been found because users configure weak passwords or use the same passwords for various services. To overcome these vulnerabilities, various user authentication technologies such as certificate, OTP(One Time Password), and security card have recently emerged. Despite the development of these user authentication technologies, Verizon's “2022 Data Breach Investigations Report” has found that 82% of all security violations are caused by theft of credentials, such as by password leakage. Although various user authentication technologies have emerged, password-based authentication technologies are much more efficient in terms of difficulty in implementation and convenience of use than other authentication technologies. Thus, it is believed that most services that provide user authentication can introduce password-based authentication technologies. For these reasons, most systems still use password-based authentication technology as the main authentication technology. If a password is leaked to an attacker due to a vulnerability, there is a possibility of serious damage, such as personal information leakage, account hacking, and financial damage. Additional attacks might be attempted due to the leaked password. Accordingly, to prevent damage caused by password leakage, security evaluation of password-based authentication technology is required. Furthermore, since a password is input from the keyboard, researches for protecting keyboard data are required. Therefore, this thesis proposed a method to protect keyboard data from existing keyboard data attack techniques based on two research goals. The first research goal of this thesis was to analyze previous studies on keyboard attack technologies to discover fundamental vulnerability causes of keyboard data attacks and defenses and to derive countermeasures. Most research studies related to keyboard data have focused on efficiently stealing keyboard data from an offensive security aspect rather than from a defensive point of view. Representative attack techniques include WinProc replacement, keyboard message hooking, filter driver insertion, interrupt object replacement, interrupt descriptor table(IDT) replacement, direct polling, C/D(Control/Data) bit vulnerability exploitation, and RESEND command utilization. Among these attack techniques, a novel attack technique that classifies fake keyboard data generated by the defender using machine learning models based on C/D bit vulnerability has recently emerged. Accordingly, by analyzing the distribution and characteristics of real keyboard data and fake keyboard data, a method of protecting keyboard data based on data analysis was proposed. Based on results of the first research goal, the second research goal was to propose and demonstrate a method that could defend the latest attack technologies using a generative adversarial networks(GAN) to evaluate the security of password-based authentication technologies and counteract the latest attack technologies. To this end, a methodology for keyboard data protection using a GAN was established and its feasibility was verified. After verifying the possibility of keyboard data protection, a defense system that actually counteracted to the keyboard data attack technology was constructed. The security of the proposed method was verified through experiments using the constructed system. Experimental results showed that a machine learning-based keyboard data attack described in a previous study steals the real keyboard data with 96.7%. This means that the developed attack method could effectively classify fake keyboard data generated by the defender and the real keyboard data input by the user. However, the keyboard data protection method using GAN proposed in this thesis demonstrated that the average keyboard data classification performance was decreased by at least 29% and up to 52% in all experiments. In other words, if the keyboard data protection method using the proposed GAN is applied, the attack success rate of the existing attack technology is exceedingly decreased. Due to the nature of password-based authentication technology, if one character of a password is wrong, an attacker is not authenticated. Therefore, if the proposed countermeasure is applied, it is concluded that keyboard data can be safely protected. Results of this thesis indicate that the security threat of stealing keyboard data by an attacker can be prevented by password-based authentication. This can be used as a guideline for evaluating the security of password-based authentication technology.
In computer systems, user authentication methods are required to protect personal information, which is sensitive information of the user. According to these requirements, various user authentication technologies have emerged. Early user authentication technologies have mainly used technologies to authenticate users based on knowledge of the authentication subject, such as password-based authentication technologies because of their ease of use and implementation. However, since password-based authentication technology consists of short-length characters or numbers, various vulnerabilities, including password leakage and stealing, have been found because users configure weak passwords or use the same passwords for various services. To overcome these vulnerabilities, various user authentication technologies such as certificate, OTP(One Time Password), and security card have recently emerged. Despite the development of these user authentication technologies, Verizon's “2022 Data Breach Investigations Report” has found that 82% of all security violations are caused by theft of credentials, such as by password leakage. Although various user authentication technologies have emerged, password-based authentication technologies are much more efficient in terms of difficulty in implementation and convenience of use than other authentication technologies. Thus, it is believed that most services that provide user authentication can introduce password-based authentication technologies. For these reasons, most systems still use password-based authentication technology as the main authentication technology. If a password is leaked to an attacker due to a vulnerability, there is a possibility of serious damage, such as personal information leakage, account hacking, and financial damage. Additional attacks might be attempted due to the leaked password. Accordingly, to prevent damage caused by password leakage, security evaluation of password-based authentication technology is required. Furthermore, since a password is input from the keyboard, researches for protecting keyboard data are required. Therefore, this thesis proposed a method to protect keyboard data from existing keyboard data attack techniques based on two research goals. The first research goal of this thesis was to analyze previous studies on keyboard attack technologies to discover fundamental vulnerability causes of keyboard data attacks and defenses and to derive countermeasures. Most research studies related to keyboard data have focused on efficiently stealing keyboard data from an offensive security aspect rather than from a defensive point of view. Representative attack techniques include WinProc replacement, keyboard message hooking, filter driver insertion, interrupt object replacement, interrupt descriptor table(IDT) replacement, direct polling, C/D(Control/Data) bit vulnerability exploitation, and RESEND command utilization. Among these attack techniques, a novel attack technique that classifies fake keyboard data generated by the defender using machine learning models based on C/D bit vulnerability has recently emerged. Accordingly, by analyzing the distribution and characteristics of real keyboard data and fake keyboard data, a method of protecting keyboard data based on data analysis was proposed. Based on results of the first research goal, the second research goal was to propose and demonstrate a method that could defend the latest attack technologies using a generative adversarial networks(GAN) to evaluate the security of password-based authentication technologies and counteract the latest attack technologies. To this end, a methodology for keyboard data protection using a GAN was established and its feasibility was verified. After verifying the possibility of keyboard data protection, a defense system that actually counteracted to the keyboard data attack technology was constructed. The security of the proposed method was verified through experiments using the constructed system. Experimental results showed that a machine learning-based keyboard data attack described in a previous study steals the real keyboard data with 96.7%. This means that the developed attack method could effectively classify fake keyboard data generated by the defender and the real keyboard data input by the user. However, the keyboard data protection method using GAN proposed in this thesis demonstrated that the average keyboard data classification performance was decreased by at least 29% and up to 52% in all experiments. In other words, if the keyboard data protection method using the proposed GAN is applied, the attack success rate of the existing attack technology is exceedingly decreased. Due to the nature of password-based authentication technology, if one character of a password is wrong, an attacker is not authenticated. Therefore, if the proposed countermeasure is applied, it is concluded that keyboard data can be safely protected. Results of this thesis indicate that the security threat of stealing keyboard data by an attacker can be prevented by password-based authentication. This can be used as a guideline for evaluating the security of password-based authentication technology.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.