패스워드 자체의 보안성을 높이는 시도와 함께, 패스워드 기반의 인증에 추가적 인증을 강제하는 것은 패스워드 인증 방식의 보안성을 향상하는데 도움이 된다. 본 논문은 강력한 패스워드를 사이트마다 달리 사용하려는 잘 알려진 문제에 대하여, 스마트폰을 이용한 추가적 인증을 내재한 패스워드의 생성 및 관리 기법을 제안한다. 제안 기법은 패스워드 매니저라 알려진 기술과 마찬가지로, 사용자에게 다수의 패스워드를 기억할 것을 요구하지 않으면서 요구가 있을 때마다, 강력한 사이트별 패스워드를 생성해서 사용자에게 제시한다. 기존 기법들과 다른 점은, 제안 기법은 패스워드 추출을 위해 스마트폰 소유권 검증을 통해 인증된 사용자 스마트폰을 통해서만 패스워드 추출 과정 진행을 허용한다는 것이다. 따라서 이중 인증을 강제하지 않거나 지원하지 않는 사이트에 대해서도, 제안 기법 적용 시 이중 인증을 적용해 로그온을 하는 것과 같은 보안성 향상 효과를 낼 수 있다. 또한 제안 기법은 패스워드 추출 서비스를 제공하는 서버나 사용자 스마트폰의 저장 정보 유출 시에도, 공격자가 사용자로 위장하거나 비밀 정보를 탈취하는 것을 막을 수 있다.
패스워드 자체의 보안성을 높이는 시도와 함께, 패스워드 기반의 인증에 추가적 인증을 강제하는 것은 패스워드 인증 방식의 보안성을 향상하는데 도움이 된다. 본 논문은 강력한 패스워드를 사이트마다 달리 사용하려는 잘 알려진 문제에 대하여, 스마트폰을 이용한 추가적 인증을 내재한 패스워드의 생성 및 관리 기법을 제안한다. 제안 기법은 패스워드 매니저라 알려진 기술과 마찬가지로, 사용자에게 다수의 패스워드를 기억할 것을 요구하지 않으면서 요구가 있을 때마다, 강력한 사이트별 패스워드를 생성해서 사용자에게 제시한다. 기존 기법들과 다른 점은, 제안 기법은 패스워드 추출을 위해 스마트폰 소유권 검증을 통해 인증된 사용자 스마트폰을 통해서만 패스워드 추출 과정 진행을 허용한다는 것이다. 따라서 이중 인증을 강제하지 않거나 지원하지 않는 사이트에 대해서도, 제안 기법 적용 시 이중 인증을 적용해 로그온을 하는 것과 같은 보안성 향상 효과를 낼 수 있다. 또한 제안 기법은 패스워드 추출 서비스를 제공하는 서버나 사용자 스마트폰의 저장 정보 유출 시에도, 공격자가 사용자로 위장하거나 비밀 정보를 탈취하는 것을 막을 수 있다.
Enforcing additional authentication to password-based authentication, in addition to attempting to increase the security of the password itself, helps to improve the security of the password authentication scheme. For a well-known problem of using strong passwords that differ from site to site, we p...
Enforcing additional authentication to password-based authentication, in addition to attempting to increase the security of the password itself, helps to improve the security of the password authentication scheme. For a well-known problem of using strong passwords that differ from site to site, we propose a scheme for password generation and management with an inherent supplementary authentication. Like the so-called password manager, the scheme retrieves and presents a strong site-specific password whenever requested without requiring the user to remember multiple passwords. Unlike the existing methods, however, the scheme permits the password retrieval process to proceed only through the authenticated user's ownership verified smartphone. Hence, even for sites not enforcing or supporting two-factor authentication, the logon process can benefit from the scheme's assurance of enhanced security with its two-factor equivalent authentication. The scheme can also prevent an attacker from impersonating a user or stealing secrets even when the stored information of the server for password retrieval service or the user's smartphone is leaked.
Enforcing additional authentication to password-based authentication, in addition to attempting to increase the security of the password itself, helps to improve the security of the password authentication scheme. For a well-known problem of using strong passwords that differ from site to site, we propose a scheme for password generation and management with an inherent supplementary authentication. Like the so-called password manager, the scheme retrieves and presents a strong site-specific password whenever requested without requiring the user to remember multiple passwords. Unlike the existing methods, however, the scheme permits the password retrieval process to proceed only through the authenticated user's ownership verified smartphone. Hence, even for sites not enforcing or supporting two-factor authentication, the logon process can benefit from the scheme's assurance of enhanced security with its two-factor equivalent authentication. The scheme can also prevent an attacker from impersonating a user or stealing secrets even when the stored information of the server for password retrieval service or the user's smartphone is leaked.
* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.
문제 정의
APGS는 폰 번호로 SMS 인증문자를 보내고 사용자에 의해 회신된 문자의 일치를 확인한 후, 이후의 등록 과정을 이어간다. 그 목적은 스마트폰 사용자를 위한 고유의 비밀 값 Si의 USIM 저장 및 이 사용자의 로그온 시 필요한 h(PPi||Si)과 h(Si||PPi)를 서버 APGS에 등록하는 것이다. 여기서 PPi는 패스프레이즈(passphrase)로서, 사용자는 여러 사이트들의 패스워드 전부를 기억하는 대신, 이 패스프레이즈 하나만을 기억하고 입력한다.
하지만 사용자의 불편함이 증가한다는 이유로 2FA를 강제하지 않거나 또는 아예 지원하지 않는 사이트들이 많기에, 2FA의 향상된 보안성을 누리지 못하는 사용자들이 다수 존재한다. 본 논문은 널리 알려진, 강력한 패스워드를 사이트마다 다르게 쓰면서도 사용자가 이들을 기억할 필요가 없게 하려는 문제를 다룬다. 이 문제 해결을 위해, 스마트폰 소유권 인증이 사이트별 패스워드 추출 과정에 선행되도록 하여, 사이트의 2FA 제공이나 사용자의 2FA 채택 여부에 상관없이 로그온 과정에서 2FA를 거친 것과 같은 보안성을, 감내할만한 수준의 사용 편의성을 유지하면서 제공하는 기법을 제안한다.
제안 방법
제안 기법은 서버나 공격 대상자의 스마트폰 저장 정보의 유출 시에도 공격자가 사용자로 위장하지 못하게 하며, 스마트폰의 비밀 값 및 사용자가 입력하는 비밀 패스프레이즈도 악성코드 등에 의해 노출된 예외 상황에도 피해의 범위를 APGS 질의 후 응답이 완료된 사이트로만 제한하는 방법을 제공한다. SMS 인증코드 등을 통한 이중 인증을 제공하지 않거나 강제하지 않는 다수 사이트들에 대해, 사이트 인증 체계의 수정 없이도 패스워드 인증만으로 이중 인증 수준의 향상된 보안성을 달성할 수 있음을 보임으로써, 제안 기법은 새로운 접근 방식을 제시하였다. 다만 사이트 접속을 위해 기억한 패스워드를 사용자가 바로 입력하는 기존 방식 대비, 제안 기법은 스마트폰을 통한 패스워드 추출 과정이 추가적으로 필요하여 로그온을 위한 소요시간 및 입력 양이 증가한다.
예로, 단순히 처음 9문자(D0,…,D8에는 숫자와 특수문자가 한 개 이상씩 반드시 존재함)를 패스워드로 정하거나, 임의의 문자열(예: prFx)에 이어서 D0부터 D8까지 연접한 것을 패스워드로 정할 수 있다. 결정된 패스워드를 목적지 사이트에 ID와 함께 입력하여 로그온을 진행한다.
마지막으로, 사용자가 패스워드의 길이를 최소 9문자에서 최대 24문자 사이에서 선택할 수 있도록, 숫자 및 특수문자가 앞부분의 9문자 이내에 적어도 한 개 이상씩 포함되도록 조정한후 사용자에게 제시한다. 그 과정은 다음과 같다.
어떤 사이트용 패스워드를 생성할 때, 사용자는 서버의 매번 바뀌는 챌린지에 대해 등록된 스마트폰의 소유권을 확인시키는 응답을 검증받게 함으로써 패스워드 인증이 실질적으로 이중 인증이 되게 하는 것이 제안 기법의 기본 아이디어이다.
어떤 사이트의 (해시 함수 적용된)패스워드 데이터베이스가 유출된 후 사전 공격으로 일부 패스워드들을 확보하거나 피싱(phishing) 등의 방법으로 사용자를 속여서 패스워드를 빼내는 등의 경로로 취득한 사용자의 패스워드를 가지고, 공격자는 다른 사이트들에 로그온이 가능한지 확인한다.
본 논문은 널리 알려진, 강력한 패스워드를 사이트마다 다르게 쓰면서도 사용자가 이들을 기억할 필요가 없게 하려는 문제를 다룬다. 이 문제 해결을 위해, 스마트폰 소유권 인증이 사이트별 패스워드 추출 과정에 선행되도록 하여, 사이트의 2FA 제공이나 사용자의 2FA 채택 여부에 상관없이 로그온 과정에서 2FA를 거친 것과 같은 보안성을, 감내할만한 수준의 사용 편의성을 유지하면서 제공하는 기법을 제안한다.
제안 기법에 따라 생성된 패스워드는 사용자가 기억할 필요가 없으며, 공격대상자의 개인정보의 조합을 시도하거나 해커들이 사용하는 사전에 나온 단어들을 대입하는 공격에 매우 강한 내성을 가진다. 제안 기법은 서버나 공격 대상자의 스마트폰 저장 정보의 유출 시에도 공격자가 사용자로 위장하지 못하게 하며, 스마트폰의 비밀 값 및 사용자가 입력하는 비밀 패스프레이즈도 악성코드 등에 의해 노출된 예외 상황에도 피해의 범위를 APGS 질의 후 응답이 완료된 사이트로만 제한하는 방법을 제공한다. SMS 인증코드 등을 통한 이중 인증을 제공하지 않거나 강제하지 않는 다수 사이트들에 대해, 사이트 인증 체계의 수정 없이도 패스워드 인증만으로 이중 인증 수준의 향상된 보안성을 달성할 수 있음을 보임으로써, 제안 기법은 새로운 접근 방식을 제시하였다.
하지만 사이트가 2FA를 아예 제공하지 않거나, 제공하더라도 사용자에게 2FA를 쓸지 선택하게 한다면, 패스워드 재사용으로 인한 공격의 피해를 입을 수 있다. 제안 기법은 패스워드 생성 시 스마트폰 소유권 확인을 거치기에, 어떤 사이트에서든지 패스워드 인증만으로 2FA의 보안성을 누리도록 한다.
실제로 트위터의 CEO가 이 공격의 피해를 당했으며[23], 가상화폐가 이 방식 공격에 의해 도난당한 사례도 등장했다[25]. 제안 기법은 폰번호로 목적지를 결정하는 SMS 인증코드 대신에, USIM의 비밀 값 및 사용자 입력 값을 활용한 인증을 진행하기에 SIM Swapping 공격에 영향을 받지 않는다. SMS 인증코드로 분실 패스워드 재설정이 가능한 사이트들에서는 아예 제안 기법과 무관하게 피해자의 패스워드를 공격자가 재설정할 수도 있지만, 이는 해당 사이트들의 내재된 취약점이지 사이트에 어떤 제한도 가할 필요가 없는 제안 기법 자체의 문제가 아니다.
패스워드 추출 시 사용자가 스마트폰을 통한 인증을 받도록 하려는 아이디어를 실현하는 기법을 제안하였다. 제안 기법에 따라 생성된 패스워드는 사용자가 기억할 필요가 없으며, 공격대상자의 개인정보의 조합을 시도하거나 해커들이 사용하는 사전에 나온 단어들을 대입하는 공격에 매우 강한 내성을 가진다.
성능/효과
SMS 인증코드 등을 통한 이중 인증을 제공하지 않거나 강제하지 않는 다수 사이트들에 대해, 사이트 인증 체계의 수정 없이도 패스워드 인증만으로 이중 인증 수준의 향상된 보안성을 달성할 수 있음을 보임으로써, 제안 기법은 새로운 접근 방식을 제시하였다. 다만 사이트 접속을 위해 기억한 패스워드를 사용자가 바로 입력하는 기존 방식 대비, 제안 기법은 스마트폰을 통한 패스워드 추출 과정이 추가적으로 필요하여 로그온을 위한 소요시간 및 입력 양이 증가한다. 또한 스마트폰을 휴대하지 않은 상태에서는 패스워드를 구할 수 없어 사이트 접속이 불가능하다는 한계를 가진다.
후속연구
또한 스마트폰을 휴대하지 않은 상태에서는 패스워드를 구할 수 없어 사이트 접속이 불가능하다는 한계를 가진다. 이에 제안 기법의 보안성을 유지하면서 사용 편의성을 최대한 높이기 위한 추가 연구가 필요하다고 판단된다.
질의응답
핵심어
질문
논문에서 추출한 답변
패스워드 기반의 인증에 추가적 인증의 장점은 무엇인가?
패스워드 자체의 보안성을 높이는 시도와 함께, 패스워드 기반의 인증에 추가적 인증을 강제하는 것은 패스워드 인증 방식의 보안성을 향상하는데 도움이 된다. 본 논문은 강력한 패스워드를 사이트마다 달리 사용하려는 잘 알려진 문제에 대하여, 스마트폰을 이용한 추가적 인증을 내재한 패스워드의 생성 및 관리 기법을 제안한다.
PM 방식들의 공통점은 무엇인가?
이 문제에 대처하기 위해, 기억할 필요 없고 깨기 어려운 패스워드를 사이트마다 다르게 사용하도록 돕는, 패스워드 매니저(Password Manager, 이하 PM)라 부르는 부류의 여러 방식들이 제안되었다[4-13]. PM 방식들은 마스터(master) 패스워드 하나만을 사용자가 기억하면서, 사이트용 실제 패스워드는 마스터 패스워드(또는 마스터 패스워드와 그 밖의 비밀 값)를 활용해 저장되어 있던 내용을 복원하여 얻거나, 또는 로그온 시마다 계산해낸다는 공통점을 지닌다. PM은 주로 브라우저 탑재 프로그램의 형태로 제공되는데, 별도 설치되는 프로그램의 형태로 개발되기도 한다.
이중 인증을 활용하지 않는 기업들의 문제는?
최근 휴대폰 SMS(Short Message Service) 기반의 추가 인증을 채택하는 이중 인증(Two-Factor Authentication, 이하 2FA) 방식이 패스워드 기반 단일 인증의 보안성을 높이는 수단으로 널리 쓰이고 있다. 하지만 사용자의 불편함이 증가한다는 이유로 2FA를 강제하지 않거나 또는 아예 지원하지 않는 사이트들이 많기에, 2FA의 향상된 보안성을 누리지 못하는 사용자들이 다수 존재한다. 본 논문은 널리 알려진, 강력한 패스워드를 사이트마다 다르게 쓰면서도 사용자가 이들을 기억할 필요가 없게 하려는 문제를 다룬다.
※ AI-Helper는 부적절한 답변을 할 수 있습니다.