[논문]분산 ID 보관 및 연계 서비스 모델 제안

여기호; 박근덕; 염흥열

doi:10.13089/jkiisc.2020.30.3.513

[국내논문] 분산 ID 보관 및 연계 서비스 모델 제안
Proposal for a Custody and Federated Service Model for the Decentralized Identity 원문보기

情報保護學會論文誌 = Journal of the Korea Institute of Information Security and Cryptology, v.30 no.3, 2020년, pp.513 - 525

여기호 (순천향대학교) , 박근덕 (서울외국어대학원대학교) , 염흥열 (순천향대학교)

초록
AI-Helper

오늘날까지 정보주체의 개인정보들은 많은 기업이나 기관에 중앙 집중화되어 있는 구조였다. 하지만, 최근에는 점차적으로 정보주체가 자신의 개인정보를 통제하고 소유권을 찾는 방향으로 패러다임이 변화하고 있다. 해외는 일찍부터 EU의 일반 개인정보보호법(General Data Protection Regulation)이나 미국의 소비자 프라이버시 권리장전(California Consumer Privacy Act) 등으로 개인의 데이터 소유권을 강화하고 있다. 국내도 여러 기업들이 모인 연합체들에 의해 분산 ID 서비스 모델에 대한 기술 연구와 서비스 적용 사례들을 만들어 가고 있다. 본 논문에서는 현재 연구되고 있는 분산 ID 서비스 모델과 그 한계점에 대해 알아보고 해결할 수 있는 보다 개선된 분산 ID 서비스 모델을 제안하고자 한다. 제안 모델은 분산 ID를 제3의 기관인 보관자에게 안전하게 수탁하는 기능과 서로 다른 분산 ID 서비스가 생기더라도 상호 연동될 수 있는 연계 기능을 가진다. 아울러, 제안 모델의 보안 위협을 식별하고 보안 요구사항을 도출하여 보다 안전하고 편리한 모델을 제시한다. 분산 ID 기술은 사람에 대한 증명뿐아니라 향후 사물인터넷의 디바이스 ID 인증 관리에도 확장되어 적용될 것으로 기대된다.

Abstract ▼ AI-Helper

Until today, the personal information of subjects has been centralized in many companies or institutions. However, in recent days, the paradigm has gradually changed in the direction that subjects control their personal information and persue their self-sovereignty. Globally, individual data sovereignty is strengthened by the European Union's General Data Protection Regulation(GDPR) and the US California Consumer Privacy Act(CCPA). In Korea, a few alliances consist of various companies are creating technology research and service application cases for decentralized ID service model. In this paper, the current decentralized ID service model and its limitations are studied, and a improved decentralized ID service model that can solve them is proposed. The proposed model has a function of securely storing decentralized ID to the third party and a linkage function that can be interoperated even if different decentralized ID services are generated. In addition, a more secure and convenient model by identifying the security threats of the proposed model and deriving the security requirements, is proposed. It is expected that the decentralized ID technology will be applied not only to the proof of people but also to the device ID authentication management of the IoT in the future.

주제어

표/그림 (12)

그림 Fig. 1. Basic DID Model of W3C [12]
그림 Fig. 2. Decentralized ID Model of SOVRIN [13]
그림 Fig. 3. Decentralized ID Service Model for Easy Authentication of MMA [20]
그림 Fig. 4. Basic Model of Decentralized ID
그림 Fig. 5. Proposed Custody and Federated Service Model for Decentralized ID
그림 Fig. 6. Extended Custody and Federated Service Model for Decentralized ID
그림 Fig. 7. Security Requirement for Network Separation [24]
그림 Fig. 8. Security Requirement for Crypto Key Management [24]
그림 Fig. 9. Security Requirement for Log Recording and Maintenance [24]
표 Table 1. Constraints solved by Proposed Model
그림 Fig. 10. Comparison of PKI Certificate with Decentralized ID System [4]
표 Table 2. Security Requirements for Security Threats in the Proposed Model

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

해외에서는 마이크로소프트나 IBM과 같은 단일 글로벌 기업을 중심으로 연구를 진행하거나, 여러 기업 또는 기관이 연합으로 공동 연구를 진행하고 경우가 있다. 본 논문에서는 다양한 이해관계자들의 참여를 통해 분산원장기술 기반의 분산 ID를 연구하는 기구나 단체의 사례를 알아본다. 대표적으로 분산식별자 및 신원 증명서 표준화를 주도하는 W3C (World Wide Web Consortium)[5], 분산 ID의 상호연동 및 기술개발을 위한 산업체 연합인 DIF (Decentralized Identity Foundation)[6], 디지털 자기주도 신원증명 오픈소스 프로젝트에 대한 기술 지원을 제공하는 비영리 단체 SOVRIN Foundation[7]이 있다.
본 장에서는 정보주체의 모바일 기기에 보관된 신원 정보를 보관하고, 모바일 기기 분실 및 모바일 기기 자체의 한계로 인한 문제점을 개선할 수 있는 “분산 ID 보관 및 연계 서비스 모델”을 제안하고자 한다.
이런 문제점들을 해결하기 위해 본 논문에서 별도의 안전한 보관자와 통제자를 추가하여 보다 개선된 분산 ID 보관 및 연계 서비스를 제안하였다. 정보주체가 데이터에 대한 자기 주권을 보장받으면서 보다 안전하고 편리하게 분산 ID를 사용할 수 있는 환경을 만들기 위해서는, 보관자 시스템에 대한 보안 강화와 통제자를 통한 모니터링 및 감사가 강화되어야 한다.

제안 방법

아이콘루프의 MyID 플랫폼은 통장 개설시 비대면인증 서비스에 대해 금융위원회의 혁신금융서비스 금융규제 샌드박스로 지정되어 있다[16]. 또한 DPASS (Decentralized PASSport)라는 분산원장기술을 이용한 신원 확인 및 암호 화폐 전자지갑(e-wallet) 기능을 가진 모바일 앱을 통해 정보 주체가 자신의 개인 정보를 안전하게 관리하고 사용할 수 있도록 제공한다. DPASS 역시 W3C의 분산 ID 표준 체계를 준용하고 있어 서비스 확장 가능성이 높다[21].
본 논문에서 제안하는 모델은 정보주체가 발급기관으로부터 발급 받는 신원 정보를 보관자가 전달 받아 안전하게 보관하고 ID 거래에 이용하게 해주는 일종의 수탁 대행 서비스이다. 제안 모델이 기존 모델의 구성요소와 다른 점은 다음 세 가지이다.
또한 이기종 분산 ID간의 상호연동 이슈도 언젠가는 다루어야 할 문제로 남아 있다. 이러한 문제점들을 해결하기 위해서는 보다 개선된 서비스 모델이 필요하다고 판단되어, 분산원장기술 기반의 분산 ID를 안전하게 보관하는 수탁 서비스 모델을 제안한다.

성능/효과

데이터 무결성은 ID 거래 내역 위·변조를 방지하고, 암호키 생성 및 이용을 통해 ID 거래시 모든 정보를 안전하게 암·복호화하여 외부 공격 및 내부자에 의한 ID 유출과 암호키 유출을 차단하고 어플리케이션 위·변조를 방지할 수 있다.
이렇게 분산 ID 서비스 기본 모델과 PKI 기반의 인증모델이 흡사하기 때문에 PKI 기반의 공인 인증체계도 본 논문에서 제안하는 모델로 대체 또는 전환이 가능하다. 다만, 공인 인증 체계의 경우, 발급기관 역할을 하는 CA(Certificate Authority)를 관리하는 RootCA가 존재를 하고, 또 공인인증서를 발급하기 위해서는 CA가 아닌 RA(Register Authority)를 통해 정보를 등록하고 발급 대행을 하도록 하고 있어, 사용자들이 인증서를 발급하고 갱신하는 번거로움은 그대로 존재할 수밖에 없다.
제안 모델에 추가된 보관자에게는 보관과 연계를 위한 서비스 기능도 중요하지만, ID 거래를 위한 보안이 가장 중요한 요소가 될 것으로 판단된다. 제안모델에 대한 보안 위협은 기존의 IT 서비스에서의 일반적으로 발생하는 위협보다는 분산원장기술 기반의 ID 거래 서비스에 초점을 맞추어 결과적 위험 수준을 고려해 다음과 같이 식별하였다[23].
제안 모델의 보관자 시스템에 접근 통제 시스템을 통한 네트워크 분리가 되면 외부 공격 및 내부자에 의한 ID 유출을 막고, 암호키 유출 및 비인가 접속을 차단할 수 있다. 악성코드 통제를 통해 ID 유출 및 거래내역, 어플리케이션의 위·변조를 차단할 수 있다.

후속연구

더 나아가서는 분산 ID의 정보주체를 사람으로만 국한시키지 않고, 다양한 주변 정보를 수집하는 사물인터넷(IoT)에도 적용할 수 있을 것이다. 수많은 IoT 디바이스(센서)를 통해 수집된 정보들은 데이터처리를 위해 여과 없이 중앙서버로 모이게 되어 있다.
그런 면에서 향후 비정상 거래 탐지에 대한 케이스와 탐지 정책 개발이 보다 구체적으로 필요할 것이다. 또한, 제안 모델을 확장하여 여러 도메인간 연계 가능한 서비스를 만들기 위해서 분산 ID 기술을 개발하는 연합체나 기업들간 기술 표준과 그것을 적용하기 위한 공통 프로토콜에 대한 연구도 필요하다.
현재 도출된 위협 외에도 다른 위협이 존재할 수 있으나, 분산원장기술이 적용된 시스템을 기준으로 주로 식별되는 위협을 제시하였다. 앞으로 해킹 기술발전으로 새로운 위협이 얼마든지 나타날 수 있고, 그러한 위협은 추후 연구항목이 될 수 있다.
수많은 IoT 디바이스(센서)를 통해 수집된 정보들은 데이터처리를 위해 여과 없이 중앙서버로 모이게 되어 있다. 이 때, 분산 ID 개념을 IoT 보안에 접목시켜 각 디바이스별로 분산 ID를 발급받고, 수집되는 정보에 대해 주권을 행사하여 IoT 디바이스 관리부터 데이터 프라이버시 보호에도 적용하는 연구로 확장되기를 기대해 본다.
다만 아직까지는 공통된 기술 표준이 완전히 나오지 않다 보니, 여러 기업 또는 연합체에서 국제 또는 국내 표준화 작업을 기다리지 못하고 조금씩 다르게 기술을 발전시켜 나가고 있는 실정이다. 이렇게 국가별로, 연합체별로, 도메인별로 조금씩 다른 기술, 다른 서비스 모델로 구현된다면 향후 상호 호환성 문제가 분명히 발목을 잡게 될 것이다. 마치 분산원장기술을 활용한 다양한 플랫폼이 등장한 이래로 여러 산업분야 또는 기업에 우후죽순으로 적용이 되었지만, 결국은 여기저기서 개별적으로 돌아가고 있는 현실이 그대로 반복될 수도 있다.

질의응답

핵심어	질문	논문에서 추출한 답변
	사람을 인증하는 대표적인 방법들은 무엇이 있는가?	인터넷의 등장 이후, 디지털 시대에서 디지털 ID를 사용하게 되면서 자기를 증명하기 위한 많은 방법들이 시도 되고 있다. 사람을 인증하는 대표적인 방법으로 지식기반, 소유기반, 생체기반 방식[1]들이 있다. 국내에서는 금융 및 공공 서비스 등과 같은 중요한 서비스를 이용하기 위해서는 제3의 신뢰된 기관으로부터 발급받은 공인인증서를 이용하는 PKI 기반의 인증 방식이 널리 사용되어 왔다.
	자기주권 신원증명은 무엇인가?	이러한 문제점들을 개선하기 위해, 2016년 크리스토퍼 알렌(christopher allen)이 자기주권 신원증명(self sovereign identity)의 개념에 대해 언급한 뒤로 W3C를 중심으로 다양한 연구를 진행해왔다[3]. 자기주권 신원증명은 사용자 중심의 신원증명을 넘어 사용자 스스로가 신원증명 정보를 관리하고 통제하는 개념이다. 그리고 최근에는 분산원장기술(DLT : Distributed Ledger Technology)을 접목하여 신뢰 기반의 신원증명 발급과 검증이 가능한 분산 ID(decentralized IDentity) 모델을 발전시켜 다양한 서비스 사례에 적용하기 위한 연구가 활발하게 진행 중이다.
	공인인증서를 사용함에 따라 발생하는 개인정보 문제점은?	하지만, 공인인증서는 발급, 갱신 등의 관리하는 절차가 복잡하고 불편함이 존재한다. 또한 서비스를 제공받기 위해 기업이나 기관이 추가적인 개인정보를 수집하고 이용할 권한을 동의해야 하고, 서비스의 종류에 따라 요구되는 보증수준(level of assurance)[2]이 다름에도 불구하고 과도하게 정보가 제공되어, 자신의 개인정보에 대한 통제력을 상실하게 된다. 설상가상으로 개인정보를 저장하고 있는 그 기관이나 기업이 부주의나 고의, 오류 등으로 안전하게 관리하지 못한 경우, 개인정보 유출의 1차적인 피해는 고스란히 개인의 몫이 된다.

참고문헌 (26)

S.R. Cho, D.S. Choi, S.H. Jin and H.H. Lee, "Passwordless authentication technology-FIDO," Electronics and Telecommunications Trends, 29(4), pp. 101-109, Aug. 2014
Erika McCallister and Richard Brackney, "Information technology - security techniques - Entity authentication assurance framework" ISO/IEC DIS 29115, Dec. 2011
Life With Alacrity, "The path to self-sovereign identity" http://www.lifewithalacrity.com/2016/04/the-path-to-self-soverein-identity.html, Feb. 2020
Hee-won Shim, "Domestic and overseas trends and implications of decentralized ID technology," Korea Financial Telecommunications & Clearings Institute, 73, Dec. 2019
W3C, "W3C homepage" https://www.w3c.org, Mar. 2020
DIF, "DIF hompage" https://identity.foundation, Mar. 2020
Sovrin, "Sovrin homepage" https://sovrin.org, Mar. 2020
P. Leach, M. Mealling and R. Salz, "A universally unique identifier (UUID) URN namespace," RFC 4122, July 2005
Decentralized identifiers (DIDs) v1.0, "W3C Decentralized identifiers" https://www.w3.org/TR/2019/WD-didcore-20191127/, Mar. 2020
Security Technology Research Team, "The concept and overseas technology trend of decentralized ID," e-Finance and Financial Security, 16, pp. 15-39, April 2019
D.S. Kwon, H. Lee and J.D. Park, "Digital identity trend for digital trust society," Electronics and Telecommunications Trends, 34(3), pp. 114-124, June 2019
Verifiable credentials data model 1.0, "Verifiable credentials" https://www.w3.org/TR/2019/REC-vc-data-model-20191119/, Mar. 2020
SSImeetup Identity Webinar, "Trust frameworks and SSI: An interview with CULedger on the credit union MyCUID trust framework," https://ssimeetup.org/blog/page/5/, Feb. 2020
Steve Fulling, Phil Windley, Jason Law and Nathan George, "Indy, HIP identifier," Hyperledger Improvement Project(HIP), Mar. 2017
KISA Press release, "Collaboration for DID ecosystem between KISA and financial security institute," https://www.kisa.or.kr/notice/press_List.jsp, Feb. 2020
SK telecom Press release, "KOREA DID initial DAY," https://www.sktelecom.com/advertise/press_detail.do?idx5122, Feb. 2020
DID Alliance, "DID Alliance" http://www.didalliance.or.kr/, Mar. 2020
MyID Alliance, "MyID Alliance" https:// myidalliance.org/, Mar. 2020
Connneting Lab, Blockchain Trend 2020, Business Books, pp. 85-94, June 2019
RaonSecure Press release , "Raonsecure MMA Blockchain" https://www.raoncorp.com/ko/about/news_list/view/28, Jan. 2020
DPASS, "Decentralized Passport" https://www.dpass.io/, Feb. 2020
LG CNS Blog IT Solutions/Security, "Security threats of smart phone," https://blog.lgcns.com/1106, Feb. 2020
Keundug Park, DaeKyung Kim and Heung Youl Youm, "Security enhancement for distributed ledger technology system based on open source," Korea Institute of Information Security and Cryptology, 29(4), Aug. 2019
Keundug Park and Heung Youl Youm, "Security requirements for digital asset transaction service model based on distributed ledger technology," TTAK. KO-12.0352, Dec. 2019
Information Technology Laboratory National Institute of Standards and Technology, "Security requirements for cryptographic modules," FIPS PUB 140-2, May 2001
Bitcoin.org, "Bitcoin : A peer-to-peer electronic cash system" https://bitcoin.org/bitcoin.pdf, Mar. 2020

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증