[논문]SMS를 이용하는 개선된 이중 인증 기법

지선수

doi:10.9723/jksiis.2012.17.6.025

SMS를 이용하는 개선된 이중 인증 기법
The Improved-Scheme of Two Factor Authentication using SMS 원문보기

한국산업정보학회논문지 = Journal of the Korea Industrial Information Systems Research, v.17 no.6, 2012년, pp.25 - 30

초록
AI-Helper

시스템에 접근하려는 합법적 이용자를 구분하거나 승인하는 수단으로, 아이디(ID)와 패스워드 조합을 통한 인증 기법은 사용자에게 익숙하고, 단순하며, 비교적 수월하게 적용할 수 있다. 그러나 단일 요소를 이용하는 현재의 패스워드 인증 기법은 강력한 보안을 제공하지 않으며, 관리의 허술함으로 많은 문제점을 포함하고 있다. 또한 개별 사용자에게 패스워드 관리에 대한 모든 책임을 부과할 수 없기 때문에 보안성이 강화된 개선된 인증 기법이 필요하다. 이 논문에서는 반응시간의 적절한 범위를 확인하고, 수신 장치를 통해 SMS를 이용한 양방향 이중 인증의 새롭고, 개선된 기법을 제안한다.

Abstract ▼ AI-Helper

Passwords are a common method of identifying and authenticating a user who wishes to log on to a secure system. Password-based authentication techniques, however, do not provide strong security and recognized as being an poor form of protection. It is not all the responsibility of the user to control password and to protect its confidentiality. In this paper, confirm an appropriate response time and I propose a new and improved method of implementing two factor authentication using SMS via receiving apparatus(mobile and email).

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

이 논문에서는 강력한 패스워드를 구현하며, SMS를 이용한 개선된 이중 인증 기법을 제안한다. 논문에서의 구성은 다음과 같다.

가설 설정

<그림 2>에서 시차적 단계에 의해 인증자료가 추가되면서 해시함수를 통하여 생성되는 OTP를 이용하는 양방향 이중 인증 과정을 표시하였다. 공격자에게 애매 모호성을 가중시키기 위해 패스워드가 입력된 후 일정한 시간이 지난 후(①) SMS 서버에서 메시지를 송신한다고 가정한다. 여기에서 신뢰성 인증과 심리적 효과를 강화하기 위해 패스워드 및 확인문자 입력 기회 횟수와 반응시간의 범위를 제한한다.

제안 방법

SMS 게이트웨이를 통해 메시지를 분배하며, 웹 인터페이스와 암호화 서비스가 제공되는 효율적이고 소유의 기반이 확실한 SMS 시스템을 제안하였다. 이를 이용하여 생성된 OTP는 짧은 시간 내에 유효하며, 해커로부터 추측이 불가능한 패스워드가 될 수 있음을 보였다[6].
SMS를 이용하는 양방향 이중 인증 방식을 사용하며, 예방적, 방어적 차원에서 SMS 반응시간을 제한하는 적극적인 보안을 구현하는 개선된 방법을 고려한다. 이때 Aloul-Zahidi-El·Hajj가 제안한 이중 인증 알고리즘[7]을 참고한다.
[두 번째] 시간차에 따라 아이디의 일부 정보(id'm), 등록된 패스워드, 제한된 시간 범위 안에서 확인문자(fdn|rt) 등이 입력된 정보를 기반으로 하여, 주어진 일정한 시간 후에 해시함수를 이용한 암호화 과정을 거쳐 새로운 일회용 패스워드를 생성하도록 한다.
3장에서는 반응시간의 적절한 범위를 확인한다. 보안성 강화와 편의성의 최대화를 기반으로 하는 강력하고, SMS를 이용한 양방향 이중 인증 방식을 구현하며, 예방적, 방어적 차원에서 SMS 반응시간을 제한하는 적극적인 보안을 구현하는 개선된 방법을 제안한다. 4장에서 예상되는 적용 결과를 가지고, 결론을 제시한다.
입력한 패스워드에 아이디의 일부 정보와 제한된 반응시간 범위 안에서 확인문자를 시간차에 의해 추가하는 새롭고, 개선된 일회용 패스워드를 적용하는 양방향 이중 인증 확장 알고리즘을 제안한다.
즉 최초 등록시간에 따라 그 위치 조합을 다르게 한 후 P (id'm, pw, fdn|rt)의 결과에 해시 알고리즘을 적용하였다.
이를 이용하여 생성된 OTP는 짧은 시간 내에 유효하며, 해커로부터 추측이 불가능한 패스워드가 될 수 있음을 보였다[6]. 휴대폰을 사용한 소프트웨어 토큰 시스템을 양방향 인증을 구현하는 방법으로 하였으며, 이때 설명한 보통의 사용자는 SMS 서버에서의 소프트웨어적인 동작 등으로 60초 이후에 동작이 반응하며, 생성된지 600초 이내에 SMS를 통해 수신된 OTP가 사용될 수 있도록 하는 이용시간 제한을 제시하였다. 이때 보안성을 높이기 위해 사용자에게 전송된 OTP는 저장이 될 수 없도록 하였다.

대상 데이터

0으로 초기화하였으며, Box-Muller 변환법을 이용하였다. 또한 실제 반응시간을 확인하기 위해 135명의 SMS 사용자를 대상으로 평균 반응시간을 측정하였다.

데이터처리

SMS를 수신한 후 확인문자 fd_n을 송신하기까지의 반응시간을 확인하기 위해 ex-Gaussian 분포를 이용한 모의실험을 하였다. 참고로 ex-Gaussian 분포의 확률밀도함수(probability density function)는 (1)식으로 표현할 수 있다[8].

이론/모형

즉 최초 등록시간에 따라 그 위치 조합을 다르게 한 후 P (id^'_m, pw, fd_n|r_t)의 결과에 해시 알고리즘을 적용하였다. 그리고 알고리즘을 구현하는 과정은 J2SE와 MatLab을 이용하였다. 여기에서 SMS 송수신 장비는 개인이 항상 관리하며, 가장 신뢰할 수 있는 장비임을 전제로 한다.
이 논문에서는 Heathcote, Popiel, Mewhort[8]가 적용한 수식과 모수를 사용하여 모의실험을 하였다. 이때 μ = 5, σ = 1.
이때 μ = 5, σ = 1.0, τ = 1.0으로 초기화하였으며, Box-Muller 변환법을 이용하였다.
이때 Aloul-Zahidi-El·Hajj가 제안한 이중 인증 알고리즘[7]을 참고한다.

성능/효과

12 (x + m + n)으로 증가되고, 입력 제한시간 r_t 정보가 추가되어 공격자에게 혼돈과 확산을 가중시킬 수 있다. 결론적으로 공격자가 인증정보를 파악하기가 불가능에 가깝다.
새로운 기법의 보안기술을 개발하여 기술적인 취약점에 대응하고 예방할수록 많은 공격자들은 보안정도가 가장 허술한 이용자 로그인 요소를 탈취하려고 시도할 것이다. 그러므로 본 논문에서 제안된 방법인 로그인 요소의 양방향 이중 인증 즉, 아이디에서 선택한 일부 정보, 패스워드, SMS 수신기기를 통한 시간차 입력 정보에 의한 확인문자 등을 기반으로 하여 변경되고, 확장된 일회용 패스워드를 이용함으로서 사전공격 및 중간자 공격에 대한 차단을 완벽하게 할 수 있다. SMS를 수신한 후 사용자의 반응시간을 효과적이고, 적절하게 제한하여 심리적 효과와 보안성을 강화시킬 수 있다.
즉 τ값에 따라 지수적 특성이 결정됨을 확인하였다. 또한 실제 적용에 있어 반응시간은 약간의 차이가 있으며, SMS를 수신한 후 사용자는 대략 10초 내외에서 반응함을 확인하였다.
사기성 해킹인 피싱(phishing), 어깨 넘어 훔쳐보기(shoulder surfing) 등을 효과적으로 방어하기 위해 일회용 암호의 개념을 그래픽으로 표현한 GOTP (graphic one time password)[5]와 SMS를 이용한 이중 인증방식이 매우 효율적일 수 있음을 제시하였다. 특히 일반 사용자들이 항상 소지하고 신뢰하는 모바일 기기를 통한 SMS와 일회용 패스워드(OTP)를 기반으로 하는 이중 인증은 보안성을 증가시킬 수 있다는 것을 보였다.
, Pre_time 등을 참고로 하며, 시간차에 따라 입력된 정보를 기반으로 하여 생성된 OTP를 관리함으로서 내·외부적 및 이상적 요인에 의한 정보유출 가능성을 최소로 억제할 수 있다. <표 3>에서 패스워드 요소 적용에 따라 기존의 방법과 제안된 방법의 개선 효과를 제시하였다.
사기성 해킹인 피싱(phishing), 어깨 넘어 훔쳐보기(shoulder surfing) 등을 효과적으로 방어하기 위해 일회용 암호의 개념을 그래픽으로 표현한 GOTP (graphic one time password)[5]와 SMS를 이용한 이중 인증방식이 매우 효율적일 수 있음을 제시하였다. 특히 일반 사용자들이 항상 소지하고 신뢰하는 모바일 기기를 통한 SMS와 일회용 패스워드(OTP)를 기반으로 하는 이중 인증은 보안성을 증가시킬 수 있다는 것을 보였다. 즉 사용자에게 생성된 일회용 암호를 보내기 위해 SMS 서버를 이용하며, 사용자는 웹서버에 8글자 OTP 정보를 입력함으로서 비용 효율적인(cost effective) 면에서 매우 효과적인 인증 시스템임을 확인하였다[4].

질의응답

핵심어	질문	논문에서 추출한 답변
	GOTP란 무엇인가?	사기성 해킹인 피싱(phishing), 어깨 넘어 훔쳐보기(shoulder surfing) 등을 효과적으로 방어하기 위해 일회용 암호의 개념을 그래픽으로 표현한 GOTP (graphic one time password)[5]와 SMS를 이용한 이중 인증방식이 매우 효율적일 수 있음을 제시하였다. 특히 일반 사용자들이 항상 소지하고 신뢰하는 모바일 기기를 통한 SMS와 일회용 패스워드(OTP)를 기반으로 하는 이중 인증은 보안성을 증가시킬 수 있다는 것을 보였다.
	아이디(ID)와 패스워드 조합을 통한 인증 기법의 문제점은 무엇인가?	시스템에 접근하려는 합법적 이용자를 구분하거나 승인하는 수단으로, 아이디(ID)와 패스워드 조합을 통한 인증 기법은 사용자에게 익숙하고, 단순하며, 비교적 수월하게 적용할 수 있다. 그러나 단일 요소를 이용하는 현재의 패스워드 인증 기법은 강력한 보안을 제공하지 않으며, 관리의 허술함으로 많은 문제점을 포함하고 있다. 또한 개별 사용자에게 패스워드 관리에 대한 모든 책임을 부과할 수 없기 때문에 보안성이 강화된 개선된 인증 기법이 필요하다. 이 논문에서는 반응시간의 적절한 범위를 확인하고, 수신 장치를 통해 SMS를 이용한 양방향 이중 인증의 새롭고, 개선된 기법을 제안한다.
	아이디(ID)와 패스워드 조합을 통한 인증 기법은 어떤 수단인가?	시스템에 접근하려는 합법적 이용자를 구분하거나 승인하는 수단으로, 아이디(ID)와 패스워드 조합을 통한 인증 기법은 사용자에게 익숙하고, 단순하며, 비교적 수월하게 적용할 수 있다. 그러나 단일 요소를 이용하는 현재의 패스워드 인증 기법은 강력한 보안을 제공하지 않으며, 관리의 허술함으로 많은 문제점을 포함하고 있다.

참고문헌 (8)

지선수, 이희춘, "최종 승인시간을 이용하는 개선된 패스워드 기법", 한국산업정보학회논문지, 제16 권, 제3호, pp. 57-63, 2011.

원문보기 상세보기
한국 IBM, X-Force 2011년 중반기 보안 동향 및 리스크 보고서, 2011. 10. 5.
D. A. Marra, "A Strong Authentication Mechanism for Consumer-Facing Online Transactions", MIT, Department of EECS Chisec Group, 2005.
GPayments Pty Limited, Two-Factor Authentication : An essential guide in the fight against Internet fraud [Online] Available www.gpayments.com/, GPayments White Paper, February 2006.
H. Gao, Z. Ren, X. Chang, X. Liu, and U. Aickelin, "A New Graphical Password Scheme Resistant to Shoulder-Surfing", Paper presented at the 2010 International Conference on CyberWorlds, Singapore, October 2010.
V. K. Katankar and V. M. Thakre, "Short Message Service using SMS Gateway", IJCSE, Vol. 2, No. 4, 2010.
F. Aloul, S. Zahidi and W. El-Hajj, "Multi Factor Authentication Using Mobile Phones", International Journal of Mathematics and Computer Science, Vol. 4 , No. 2, pp. 65-80, 2009.
A. Heathcote, S. J. Popiel and D. J. K. Mewhort, "Analysis of Response Time Distributions: An Example Using the Stroop Task", Psychological Bulletin, Vol. 109, Issue 2, pp. 340-347, 1991.

상세보기

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증