[논문]사용자의 패스워드 인증 행위 분석 및 피싱 공격시 대응방안 - 사용자 경험 및 HCI의 관점에서

유홍렬; 홍모세; 권태경

doi:10.7472/jksii.2014.15.3.79

초록
AI-Helper

아이디와 패스워드를 통한 인증은 고전적인 방법이나 여전히 가장 널리 사용되고 있다. 오늘날 사용자들의 패스워드의 인증 수행 과정은 그 단순함과 편리함, 반복적인 수행으로 인해 적응무의식화 되었다. 즉, 의식화된 상태가 아닌 무의식적으로 인증을 수행하고 있다. 인증과정은 그 절차가 단순하고 반복 학습되어 인간의 깊은 사고 없이도 무의식적으로 수행할 수 있도록 학습될 수 있다. 또한 사용자들이 보유한 아이디와 패스워드 개수가 적기 때문에 기억에 의존할 수 있는 것도 적응무의식화의 원인 중 하나이다. 소수의 아이디와 패스워드 개수를 보유한 것과 달리 대개 사용자들은 수많은 웹, 모바일, 인터넷사이트 서비스에 가입되어 있다. 계정의 수는 많은 반면 소수의 아이디, 패스워드 쌍을 보유했을 때, 그리고 그것이 기억에 의존하여 관리될 때, 마지막으로 인증 과정이 무의식적으로 수행될 때 그것은 인간의 취약점이 된다. 과거에는 정보유출을 위한 해킹 공격이 하드웨어나 소프트웨어 등의 취약점을 이용한 것이었다면 최근에는 이와 더불어 인적 요소의 취약점을 이용하는 사회공학적 공격이 많아지고 있다. 특히 피싱 및 파밍 등과 같은 정보유출형 공격이 급증하고 있다. 피싱 및 파밍 공격은 인적 요소의 취약성을 이용한 것이며, 무의적으로 수행하는 인간의 인증 행위에 취약하다. 과거의 피싱 및 파밍에 대한 연구는 기술적인 분석이나 대책이 주를 이루었지만, 본 논문은 피싱 및 파밍 공격시 반응하는 인간의 행위에 관심이 있다. 사용자가 패스워드를 무의식적으로 입력 할 때, 그리고 인증 행위를 반복 수행할 때, 얼마나 많은 패스워드를 노출할 수 있는지 실험을 통해 확인했다.

Abstract ▼ AI-Helper

User authentication based on ID and PW has been widely used. As the Internet has become a growing part of people' lives, input times of ID/PW have been increased for a variety of services. People have already learned enough to perform the authentication procedure and have entered ID/PW while ones ar...

User authentication based on ID and PW has been widely used. As the Internet has become a growing part of people' lives, input times of ID/PW have been increased for a variety of services. People have already learned enough to perform the authentication procedure and have entered ID/PW while ones are unconscious. This is referred to as the adaptive unconscious, a set of mental processes incoming information and producing judgements and behaviors without our conscious awareness and within a second. Most people have joined up for various websites with a small number of IDs/PWs, because they relied on their memory for managing IDs/PWs. Human memory decays with the passing of time and knowledges in human memory tend to interfere with each other. For that reason, there is the potential for people to enter an invalid ID/PW. Therefore, these characteristics above mentioned regarding of user authentication with ID/PW can lead to human vulnerabilities: people use a few PWs for various websites, manage IDs/PWs depending on their memory, and enter ID/PW unconsciously. Based on the vulnerability of human factors, a variety of information leakage attacks such as phishing and pharming attacks have been increasing exponentially. In the past, information leakage attacks exploited vulnerabilities of hardware, operating system, software and so on. However, most of current attacks tend to exploit the vulnerabilities of the human factors. These attacks based on the vulnerability of the human factor are called social-engineering attacks. Recently, malicious social-engineering technique such as phishing and pharming attacks is one of the biggest security problems. Phishing is an attack of attempting to obtain valuable information such as ID/PW and pharming is an attack intended to steal personal data by redirecting a website's traffic to a fraudulent copy of a legitimate website. Screens of fraudulent copies used for both phishing and pharming attacks are almost identical to those of legitimate websites, and even the pharming can include the deceptive URL address. Therefore, without the supports of prevention and detection techniques such as vaccines and reputation system, it is difficult for users to determine intuitively whether the site is the phishing and pharming sites or legitimate site. The previous researches in terms of phishing and pharming attacks have mainly studied on technical solutions. In this paper, we focus on human behaviour when users are confronted by phishing and pharming attacks without knowing them. We conducted an attack experiment in order to find out how many IDs/PWs are leaked from pharming and phishing attack. We firstly configured the experimental settings in the same condition of phishing and pharming attacks and build a phishing site for the experiment. We then recruited 64 voluntary participants and asked them to log in our experimental site. For each participant, we conducted a questionnaire survey with regard to the experiment. Through the attack experiment and survey, we observed whether their password are leaked out when logging in the experimental phishing site, and how many different passwords are leaked among the total number of passwords of each participant. Consequently, we found out that most participants unconsciously logged in the site and the ID/PW management dependent on human memory caused the leakage of multiple passwords. The user should actively utilize repudiation systems and the service provider with online site should support prevention techniques that the user can intuitively determined whether the site is phishing.

주제어

질의응답

핵심어	질문	논문에서 추출한 답변
	사회공학이란?	과거에는 정보유출을 위한 해킹 공격이 하드웨어나 소프트웨어의 취약점 등을 이용한 것이었다면 최근에는 이와 더불어 사회공학 (Social Engineering)을 이용한 공격이 많아지고 있다. 사회공학은 사람의 심리를 조정하여 기밀 정보를 누설하도록 하거나 특정행위를 하도록 유도하는 것을 의미한다[1]. 정보시스템을 구축하거나 운영하는 것은 결국 사람이다.
	대표적인 사회공학적 공격들에는 무엇이 있는가?	최근 급증하고 있는 피싱(Phishing) 및 파밍(Pharming) 공격은 대표적인 사회공학적 공격들이다. 피싱 및 파밍은 금융정보나 개인정보를 탈취하기 위해 변조된 웹사이트로 사용자를 유도하는 공격이다 [2].
	피싱 및 파밍의 공격자들은 어떻게 공격하는가?	피싱 및 파밍은 금융정보나 개인정보를 탈취하기 위해 변조된 웹사이트로 사용자를 유도하는 공격이다 [2]. 공격자는 특정 사이트와 동일한 모양의 웹사이트를 만들어 놓고 사용자로 하여금 특정 정보 입력을 유도한다. 피싱 및 파밍 공격은 피해자가 정보를 직접 제공할 때 성공한다.

참고문헌 (13)

H. Christopher, Social Engineering The Art of Human Hacking, John Wiley & Sons Inc, Dec. 2010.
D. Rachna, J.D. Tygar and M. Hearst, "Why phishing works," Proceedings of the SIGCHI conference on Human Factors in Computing, pp. 581-590, Apr. 2006.
M. Hong, H. Ryu and T. Kwon, "The Impact of Unconscious User Authentication Process on the Leakage of Passwords-Focussing on Phishing," Proceedings of the Korean Society for Internet Information Conference, vol. 14, no. 2, pp. 73-74, Nov. 2013.
H. Ryu, M. Hong and T. Kwon, "A Study of Multiple Password Leakage Factors Caused by Phishing and Pharming Attacks," Journal of the Korea Institute of Information Security and Cryptology, vol. 23, no. 6, pp. 1225-1229, Dec. 2013.

원문보기 상세보기
T.D. Wilson, Strangers to Ourselves: Discovering the Adaptive Unconscious. Cambridge, MA: Harvard Univ. Press, 2002.
R.J. Anderson, Security engineering: a guide to building dependable distributed systems 2nd Ed., Wiley, Apr. 2008.
D. Rachna and J.D. Tygar, "The battle against phishing: Dynamic security skin," Proceedings of the Symposium on Usable Privacy and Security, pp. 77-88, Jul. 2005.
S. Kim, S. Lee and S. Jin, "Active Phishing Attack and its Countermeasures," Electronics and Telecommunications Trends, vol. 28, no. 3, ETRI, 2013.
S. Gastellier-Prevost and M. Laurent, "Defeating pharming attacks at the client-side," Network and System Security(NSS), 2011 5th International Conference on. IEEE, pp. 33-40, 2011.
Anti-Phishing Working Group, "Phishing Activity Trends Report 4th Quarter 2012," Anti-Phishing Working Group, Apr. 2013.
J. Kang, E. Cho, S. Lee, "Analysis of Phishing URL using Internet Registration Authority," Review of KIISC, vol. 23, no. 6, pp. 13-20, Dec. 2013.
Y. Lee, "An Analysis on the Vulnerability of Secure Keypads for Mobile Devices," Journal of Korean Society for Internet Information, vol. 14, no. 3, pp. 15-21, June. 2013.

원문보기 상세보기
T. Kim, B. Park and T. Park, "An Augmented Memory System using Associated Words and Social Network Service," Journal of Korean Society for Internet Information, vol. 11, no. 6, pp. 41-50, Dec. 2010.

이 논문을 인용한 문헌

저자의 다른 논문 :

LOADING...

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

사용자의 패스워드 인증 행위 분석 및 피싱 공격시 대응방안 - 사용자 경험 및 HCI의 관점에서
Behavioural Analysis of Password Authentication and Countermeasure to Phishing Attacks - from User Experience and HCI Perspectives 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

질의응답

참고문헌 (13)

이 논문을 인용한 문헌

저자의 다른 논문 :

연구과제 타임라인

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

사용자의 패스워드 인증 행위 분석 및 피싱 공격시 대응방안 - 사용자 경험 및 HCI의 관점에서 Behavioural Analysis of Password Authentication and Countermeasure to Phishing Attacks - from User Experience and HCI Perspectives 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

질의응답

참고문헌 (13)

이 논문을 인용한 문헌

저자의 다른 논문 :

유홍렬 (2) 홍모세 (1) 권태경 (49)

연구과제 타임라인

전체(0) 논문(0) 특허(0) 보고서(0)

전체(0) 논문(0) 특허(0) 보고서(0)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

연관된 기능

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

사용자의 패스워드 인증 행위 분석 및 피싱 공격시 대응방안 - 사용자 경험 및 HCI의 관점에서
Behavioural Analysis of Password Authentication and Countermeasure to Phishing Attacks - from User Experience and HCI Perspectives 원문보기

초록
AI-Helper