[논문]핀테크 환경의 안전한 결제를 위한 인증 기법에 관한 연구

박중오; 진병욱

doi:10.7236/jiibc.2015.15.4.25

핀테크 환경의 안전한 결제를 위한 인증 기법에 관한 연구
A Study on Authentication Method for Secure Payment in Fintech Environment 원문보기

The journal of the institute of internet, broadcasting and communication : JIIBC, v.15 no.4, 2015년, pp.25 - 31

초록
AI-Helper

핀테크(FinTech: Financial Technology)는 IT 기술을 이용하여 금융 서비스를 효율적으로 만드는 기술로 정의한다. 핀테크 기술은 빅 데이터와 IT플랫폼을 통한 혁신적인 기술이며, 기존의 금융시스템의 보안성 및 문제점을 개선하는데 크게 개선할 것으로 기대되고 있다. 국내의 금융기관에서는 효율성 있고 안전한 서비스를 사용자로부터 제공하기 위해 기술도입과 투자를 하고 있다. 그러나 금융환경에서는 정보유출, 보안사고가 발생하여 고객의 신뢰를 얻지 못하고 있으며, 신규 및 변종의 보안위협 및 공격기법이 발생하고 있다. 그러므로 본 논문에서는 핀테크 환경에서 사용자로부터 안전한 결제 시스템에 관하여 연구하여 인증기법을 설계하도록 한다. 제안된 논문은 금융환경에서 발생한 공격기법에 대해서 안전성을 분석하여 기존의 시스템과 보안성을 평가하였다.

Abstract ▼ AI-Helper

FinTech(Financial Technology) is defined as the technique to create efficient financial services using IT technologies. FinTech is an innovative technology through IT platform and big data, and is expected to improve the security and problems of the conventional banking system. Domestic financial institutions has introduced the technologies and investment in order to provide safe and effective services to users. However, In the financial environment, information disclosure and security incident has occurred so they has lost the trust from their customers. Moreover new variant of the security threats and attack techniques have occurred. Therefore, in this paper, we designed a authentication scheme for secure payment system in FinTech environment. The proposed study evaluated the stability of the existing security systems with respect to attack methods occurred in the financial environment.

주제어

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

국내에서는 2013년 카드사의 개인정보 유출사고, POS 시스템 해킹과 같은 전자침해사고에 대한 안전성 우려가 높아지고 있다. 그러므로 본 논문에서는 핀테크 환경에서 사용자들이 스마트폰을 활용하여 안전한 결제를 위한 인증 기법에 대하여 연구를 하도록 한다.
본 논문에서는 핀테크 환경에서 안전한 거래를 위한 통신 프로토콜을 설계한다. 기기 등록 및 사용자 인증 프로토콜에 관하여 설계하며, 결제 진행 프로토콜에 관하여 연구한다. 우선 사용자는 스마트폰을 사용하여 사용자를 등록 후 서비스 제공자로부터 결제를 수행한다.
핀테크 산업 환경이 주요화두로 부각되면서 발전됨에 따라 향상된 보안성과 안전성이 요구되어 지고 있다. 따라서 본 논문에서는 핀테크 환경에서 사용자 환경에 알맞은 인증 기법과 결제 진행 프로토콜에 관하여 연구하였다.
본 논문에서는 핀테크 환경에서 안전한 거래를 위한 통신 프로토콜을 설계한다. 기기 등록 및 사용자 인증 프로토콜에 관하여 설계하며, 결제 진행 프로토콜에 관하여 연구한다.

제안 방법

3. 스마트폰에서 TSM로 CIV, MAC_Addr을 TSM의 공개키로 암호화해서 CIV 메시지를 전송한다.
제안하는 방식은 사용자가 스마트폰을 활용하여 가입자 식별 값과 코드값을 활용하여 기기등록과 사용자 인증값을 활용하여 인증하였다. 결제시스템은 기기등록 과정에서 검증된 값을 기반으로 안전성 있게 결제과정을 설계하였다.
성능평가에서는 기존의 금융환경에서 발생했던 중간자 공격, 세션하이재킹, 가장공격, 재생공격, 피싱공격에 관하여 안전성을 분석하였다. 그리고 보안성 평가부분에서는 기존의 시스템과 보안성을 비교분석하여 요소, 채널, 공격기법, 특징에 관하여 평가하였다.
이에 따라 보안위협을 강화하기 위해서는 공개키 방식의 암호화를 사용하였으며, 이중 해쉬 함수와 Right연산을 활용하여 통신 프로토콜을 설계하였다. 또한 무결성을 검증하기 위해 SP_TS, SP_{TS - i}를 검사하여 데이터를 보호하였다.
본 절에서는 제안된 방식의 Factor, 채널, 입력방식, 공격기법, 연산속도, 특징에 대하여 보안성을 비교하였다. 기존의 시스템에서는 OTP, 보안카드, 공인인증서, HSM을 사용하여 인증을 수행하며 상황에 따라 2채널 인증을 수행한다.
사용자는 스마트폰을 이용하여 TSM로부터 사용자 인증을 완료 후 기기를 등록한다. 사용자의 패스워드 인증값과 기기의 식별번호와 기기의 MAC Address, 가입자 식별자를 검증을 한다. 기기 등록 및 인증절차는 아래 그림 3과 같다.
성능평가에서는 기존의 금융환경에서 발생했던 중간자 공격, 세션하이재킹, 가장공격, 재생공격, 피싱공격에 관하여 안전성을 분석하였다. 그리고 보안성 평가부분에서는 기존의 시스템과 보안성을 비교분석하여 요소, 채널, 공격기법, 특징에 관하여 평가하였다.
기존의 환경에서 공격기법은 백도어, 피싱, 세션 하이재킹, 재생공격, 중간자 공격들이 존재한다. 수행속도에서는 제안된 프로토콜과 비슷하나 또 다른 Factor가 필요하였으며, 제안된 프로토콜의 특징에서는 1채널기반의 간단한 패스워드와 Auth_Value가 있다. 기존 방식과 제안된 방식의 보안성을 평가한 자료는 다음 표 3과 같다.
디바이스로부터 생성된 정보와 TSM와 서비스 제공자의 데이터는 상호간의 통신을 수행할 때 기밀성와 무결성에 대한 위협이 없어야 한다. 이에 따라 보안위협을 강화하기 위해서는 공개키 방식의 암호화를 사용하였으며, 이중 해쉬 함수와 Right연산을 활용하여 통신 프로토콜을 설계하였다. 또한 무결성을 검증하기 위해 SP_TS, SP_{TS - i}를 검사하여 데이터를 보호하였다.
기존의 시스템에서는 OTP, 보안카드, 공인인증서, HSM을 사용하여 인증을 수행하며 상황에 따라 2채널 인증을 수행한다. 제안된 프로토콜에서는 1채널에서 패스워드, 인증값을 활용하였다. 입력타입은 터치패드로 Password를 입력하며 2채널 방식에서 ARS 안내에 따라 인증된 숫자를 입력한다.
중간자 공격은 공격자가 취약한 디바이스에 접근을 하여 전송되고 있는 데이터를 손상시키거나, 정보를 변경하는 기법을 말한다. 제안된 프로토콜에서는 이를 해결하기 위해 사용자 인증과정에서 CIV, UIV를 생성 후 인증 및 기기 등록하였으며, 이를 활용하여 결제 시스템에서 검증함으로서 중간자 공격을 막을 수 있다.
제안하는 방식은 사용자가 스마트폰을 활용하여 가입자 식별 값과 코드값을 활용하여 기기등록과 사용자 인증값을 활용하여 인증하였다. 결제시스템은 기기등록 과정에서 검증된 값을 기반으로 안전성 있게 결제과정을 설계하였다.
공격자가 이전 인증 처리를 수행하는 과정에서 정보를 획득하여 다시 공격하는 방법이다. 하지만 본 논문에서는 사용자가 생성한 USER_PWD(ex. 비밀번호, 패턴, 이미지 암호화방식)와 USER_Cert를 활용하여 UIV를 검증하였다. 또한 TSM에서 Auth_Value를 사용자로부터 부여하여 결제 시스템에서 검증하므로 재생공격은 실패한다.

대상 데이터

본 논문은 5장으로 구성되어 있다. 2장은 관련연구 항목으로 핀테크 환경 및 주요기술이며, 금융환경의 보안 요구사항이 작성되어 있으며, 3장은 제안 프로토콜은 기기등록 및 사용자인증, 결제 진행절차에 대하여 작성하였다.

데이터처리

5. TSM는 Auth_Value를 검증하고 UIV를 추출한 다음 SP_{TS - i}SP_TS를 비교한다. 이는 최근에 접속여부를 판단하기 위한 것이다.
등록 및 인증과정이 끝나고 사용자는 서비스 제공자로부터 결제 진행 절차를 진행한다. 등록 및 인증과정에서 추출한 사용자 신원 값을 추출 후 검증하며 타임스탬프를 비교한다. 결제 진행절차는 그림 4와 같다.

성능/효과

2. 공개키 기반의 암호화를 사용하며, 기기는 Hash Function을 수행할 수 있다.
3. TSM는 기기의 IMSI, MAP_SP를 검증할 수 있으며 Certificate Authority의 역할을 수행한다.
사용자 등록가정에서 사용자의 패스워드와 인증값을 확인하며, 기기의 IMSI를 검증함으로서 가장공격을 불가능하게 한다. 결제 과정에서는 타임스탬프를 검사하고 등록과정에서 생성된 USER_PWD, USER_Cert를 확인 후 UIV를 검증함으로써 피싱 및 가장공격에 대하여 안전하다.
금융환경에서 대표적인 피싱 및 가장공격은 기기의 원래 소유주가 아닌 악의적인 목적을 가진 비인가 된 사용자가 실체가 할 수 있는 행위를 수행함으로써 금전, 개인정보를 탈취하는 공격을 말한다. 사용자 등록가정에서 사용자의 패스워드와 인증값을 확인하며, 기기의 IMSI를 검증함으로서 가장공격을 불가능하게 한다. 결제 과정에서는 타임스탬프를 검사하고 등록과정에서 생성된 USER_PWD, USER_Cert를 확인 후 UIV를 검증함으로써 피싱 및 가장공격에 대하여 안전하다.

후속연구

제안시스템에서는 기기 등록 및 인증과정에 대해서만 연구하였으나 사후 점검 강화 및 책임기준을 명확히 하기 위한 부정거래탐지시스템과 융합기술 대한 연구가 필요하다 향후, 제안된 기법을 확장하여 신규 및 변종 보안위협의 보안성을 강화하는 기술 및 정책이 요구된다.

질의응답

핵심어	질문	논문에서 추출한 답변
	핀테크 기술은 현재 어떤 어려움에 직면하고 있는가?	이에 따라 사용용자들로부터 편리하고 혁신적인 기술을 적용하기 위해서는 안전한 보안 기술을 제공해야 한다. 하지만 다양한 금융 서비스를 제공하기 위한 측면에서는 해킹, 신∙변종 보안위협, 보안위협들에 대한 증가로 많은 어려움이 발생하며 어려움에 직면하고 있다[4]
	핀테크란?	핀테크(FinTech: Financial Technology)는 IT 기술을 이용하여 금융 서비스를 효율적으로 만드는 기술로 정의한다. 핀테크 기술은 빅 데이터와 IT플랫폼을 통한 혁신적인 기술이며, 기존의 금융시스템의 보안성 및 문제점을 개선하는데 크게 개선할 것으로 기대되고 있다.
	핀테크 기술은 어떤 문제점을 개선하는데 크게 기여할 것으로 기대되는가?	핀테크(FinTech: Financial Technology)는 IT 기술을 이용하여 금융 서비스를 효율적으로 만드는 기술로 정의한다. 핀테크 기술은 빅 데이터와 IT플랫폼을 통한 혁신적인 기술이며, 기존의 금융시스템의 보안성 및 문제점을 개선하는데 크게 개선할 것으로 기대되고 있다. 국내의 금융기관에서는 효율성 있고 안전한 서비스를 사용자로부터 제공하기 위해 기술도입과 투자를 하고 있다.

참고문헌 (8)

Jung Guk Park, "FinTech And Information Security", KFT&CI, 2015.
Suk Jae Lim, "Fintech Security Trend", TTA, 2015. 3
TTA, Framework for entity authentication assurance in a smart environment, TTA, 2014, 12
Myung Guen Yoon, "Fintech Security", kiise, 2015. 5
Myung Gyu Lee, A Low Power Lifelog Management Scheme Based on User Movement Behaviors in Wireless Networks, jiibc. 2015.4
Joo Yoen Lee, Next Generation Growth Fintech of Convergence and evolution, ie Magazine 2015
Choon Kyeong Kim, Smart Card using Financial Card Services and Market Trends, TTA Journel, 2014
E Turban, D King, JK Lee, E-Commerce Security and Fraud Issues and Protections, Springer Link,, 2015

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증