[논문]타원곡선 디피헬만 기반 검증 토큰인증방식 구현 연구

최정현

doi:10.7472/jksii.2018.19.5.55

타원곡선 디피헬만 기반 검증 토큰인증방식 구현 연구
Study on Elliptic Curve Diffie-Hellman based Verification Token Authentication Implementation 원문보기

Journal of Internet Computing and Services = 인터넷정보학회논문지, v.19 no.5, 2018년, pp.55 - 66

최정현 (Dept. of MIS, Kwangwoon Univ.)

초록
AI-Helper

기존 서버기반 인증방식은 취약한 패스워드 기반 인증을 사용함으로 개인정보유출사고가 빈번했다. 이는 불법적 아이디 도용의 문제를 야기함으로 대체할 새로운 인증방안이 연구되었다. 최근 OAuth 2.0 및 JWT 토큰기반 인증을 웹사이트 인증에 사용하고 있지만 토큰 도청만으로 인증정보가 유출되는 취약점이 있어 보완책이 강구되고 있다. 이를 위해 본 논문은 유효시간이 포함된 암호화 인증코드를 담은 검증토큰을 사용한 인증방식을 제안한다. 이 방안의 검증은 검증토큰을 복호화 하여 나온 인증코드를 자신의 계산과 비교하면 된다. 본 토큰 암복호화 방식은 타원곡선 그룹연산 기반 DH(디피헬만)의 세션키 방식과 빠른 XOR 암호방식을 사용하므로 세션키 합의 오버헤드가 없고 암호화 계산이 빠르다. 본 논문의 인증은 기존 토큰인증의 장점, 빠른 XOR 암호화의 장점, 그리고 안전한 DH 세션키 방식을 사용하여 인증 취약점으로 인한 개인정보 유출위협에 대응하는 탁월한 인증방식이다.

Abstract ▼ AI-Helper

Since existing server-based authentications use vulnerable password-based authentication, illegal leak of personal data occurs frequently. Since this can cause illegal ID compromise, alternative authentications have been studied. Recently token-based authentications like OAuth 2.0 or JWT have been used in web sites, however, they have a weakness that if a hacker steals JWT token in the middle, they can obtain plain authentication data from the token, So we suggest a new authentication method using the verification token of authentic code to encrypt authentication data with effective time. The verification is to compare an authentication code from decryption of the verification-token with its own code. Its crypto-method is based on do XOR with ECDH session key, which is so fast and efficient without overhead of key agreement. Our method is outstanding in preventing the personal data leakage.

주제어

표/그림 (10)

그림 (그림 1) (서버기반 인증절차) (Figure 1) (Server based Authentication)
그림 (그림 2) (토큰기반 인증절차) (Figure 2) (Token based Authentication)
그림 (그림 3) (검증토큰기반 인증절차) (Figure 3) (Verification Token based Authentication)
그림 (그림 4) (검증토큰 인증참여개체) (Figure 4) (Participating Entities of Verification Token)
그림 (그림 5) (검증토큰 인증절차) (Figure 5) (Authentication Process of Verification Token)
표 (표 1) (수학적 기호표) (Table 1) (Symbol Table)
그림 (그림 6) (재등록 및 수정) (Figure 6) (Re-registration and Modification)
그림 (그림 7) (참여개체 간 교환 메시지) (Figure 7) (Message Exchange b/w Entities)
표 (표 2) (암호화 방식 속도 비교표(AES vs XOR)) (Table 2) (Efficiency of AES vs XOR) [21]
표 (표 3) (기존 인증방식과 검증토큰 방식의 비교) (Table 3) (Comparison between exiating authentication and verification token)

질의응답

핵심어	질문	논문에서 추출한 답변
	인증 종류에는 무엇이 있는가?	보통 인증 종류는 인증방식과 인증정보로 나눠 분류한다. 인증방식이란 인증절차와 그 프로토콜, 그리고 인증코드 생성과 검증의 암복호방식 등으로 분류하다.
	신분위장의 첫 단계는 무엇인가?	일반 인증방식은 통신주체인 인증 요청자와 검증자의신분위장과 재전송 공격의 위험으로부터 보호되어야 한다. 신분위장의 첫 단계는 인증정보를 탈취하여 해커가합법적 신분으로 메시지의 생성, 삽입, 삭제 및 변조 행위이다[7].
	SSO(Single Sign-On)의 특징은 무엇인가?	SSO(Single Sign-On)는 사용자가 한 번의 인증 절차로 다수 서비스에 접속할 수 있는 인증 처리 과정이다. 일정한 유효시간 안에 어떤 관련 서비스는 추가적 인증 요구 없이 접속할 수 있다. 사용자 편의를 증대하고 여러 번 인증 절차가 불필요하므로 보안이 강화된다는 방식이다[16].

참고문헌 (21)

"Leakage of 1,230 Personal Info. in KT LGU+ SKT," Moneytoday, MARCH 11, 2014. http://news.mt.co.kr/mtview.php?no2014031111001655436&type1
"Leakage of 20 millin personal info. of drivers in Administrative Portal of Automotive Complaints," MBCnews, March 26, 2014, http://imnews.imbc.com/replay/2014/nwdesk/article/3436559_18451.html
Sun-Jae Sung, "Personal Information Protection Act," Seoul Economy and Management Pub., 2014. ISBN 9788997937172
"Personal Information Leakage Accident 'Nonghyup, KB Card, Lotte Card' Penalty," http://news.jtbc.joins. com/article/ArticlePrint.aspx?news_idNB11273154, [JTBC] input 2016-07-15 17:16:05 modified
Tae-Myung Jung, 2, "A study on the prevention of a privacy exposure and the protection of privacy information on the Internet," Korea Information Security Agency, Technical Report KISA-WP-2007-0042, Dec. 2007, https://www.kisa.or.kr/jsp/common/libraryDown.jsp?folder012271
Kyung-Ae Kim, "The First cause of Personal Information is External Attack! Frequent 4 Hacking method is:," Security News, http://www.boannews.com/media/view.asp?idx56616, Aug-2, 2017. http://dx.doi.org/10.14257/jse.2017.04.02
S.R,Cho, O.S. Choi, S.H, Jin and H.H. Lee, "Passwordless Authentication Technology-FIDO," Electronics and Telecommunications Trends, Vol. 29, Issue 4, Aug. 2014. https://doi.org/10.22648/ETRI.2014.J.290411
Byung-Rae Cha, Nam-Ho Kim, Jong-Won Kim, "Design of OTP based on Mobile Device using Voice Characteristic Parameter," The journal of Korea Navigation Institute, Vol 14 Issue 4, Aug. 2010. http://kiss.kstudy.com/thesis/thesis-view.asp?key2867972
Woo Chan Hong, Kwang Woo Lee, Seung Joo Kim, Dong Ho Won, "Vulnerabilities Analysis of the OTP Implemented on a PC," The KIPS Transactionsty C, Vol. 17, No. 4, pp. 361-370, 2010. https://doi.org/ 10.3745/KIPSTC.2010.17C.4.361
Nam Ho Kim, Bu Hyun Hwang, "Fingerprint overlay technique of mobile OTP to extent seed of password," The journal of Korea Navigation Institute, Vol. 16, No. 2, pp. 375-385, 2012. https://doi.org/10.12673/jkoni.2012.16.2.375
Seo Il Kang, Im Yeong Lee, "A Study on PIN-based Authentication and ID Registration by Transfer in AAA System," The KIPS transactions : Part C, Vol. 13, No. 3, 2006. http://www.riss.kr/link? idA101859859
Hardt, D., Ed., "The OAuth 2.0 Authorization Framework", RFC 6749, Oct. 2012. https://doi.org/10.17487/RFC6749
velopert, "[JWT] Introduction on Token based Authentication," Dec. 4 2016. https://velopert.com/2350
Byoungcheon Lee, “Strengthening of Token Authentication Using Time-based Randomization,” Journal of Security Engineering, Vol. 14, No. 2, pp. 103-114, 2017. http://dx.doi.org/10.14257/jse.2017.04.02

상세보기
Namho Kim, ChoongSeon Hong, "OAuth-Based Authentication with Kerberos for IoT Network," 2016 Proceedings of the Korean Information Science Society Conference, 2016. https://www.dbpia.co.kr/Journal/ArticleDetail/NODE07017547
Jin-Tak Choi, "A Study on Authentication Management Technique Used of SSO," J. KSIAM IT series, Vol. 7, No. 2, pp. 1-9, 2003. https://www.dbpia.co.kr/Journal/ArticleDetail/NODE00992033
I. Liusvaara, "CFRG Elliptic Curve Diffie-Hellman (ECDH) and Signatures in JSON Object Signing and Encryption (JOSE)," Request for Comments: 8037, January 2017. http://dx.doi.org/10.17487/RFC8037, https://tools.ietf.org/html/rfc8037
Song, Bo-Yeon, Kim, Kwang-Jo, "Key Agreement Protocol based on Diffie-Hellman Problem Over Elliptic Curve ," Proceedings of the Korea Information Processing Society Conference (1), pp.785-788, Oct. 13 2000. http://caislab.kaist.ac.kr/publication/paper_files/2000/bysong/kips14_song.pdf
Kyoungsook Jung, TaeChoong Chung, "Hybrid Cryptosystem based on Diffie-Hellman over Elliptic Curve," Journal of the Korea Society of Computer and Information, Vol. 8, No. 4, pp. 104-110, Dec. 2003. http://insight.dbpia.co.kr/article/related.do?nodeIdNODE06535740
Cheong H. Choi, "IBE based Mobile IP Security", Proceedings for ICONI & APIC-IST 2010, Mactan Island, Philippines, pp115-118, 2010-12-17.
Hyun-Wook You, "Design of a XOR encryption based file sharing system that provides efficient in cloud server environments ", Thesis of MS, Hanyang Univ., Feb 2017. http://www.riss.kr/link?idT14385365

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증