[논문]다중 채널 기반 오픈 API 보안 프로토콜에 관한 연구

김상근

doi:10.22156/cs4smb.2020.10.11.040

다중 채널 기반 오픈 API 보안 프로토콜에 관한 연구
A Study on Open API Security Protocol based on Multi-Channel 원문보기

융합정보논문지 = Journal of Convergence for Information Technology, v.10 no.11, 2020년, pp.40 - 46

초록
AI-Helper

금융권 공동 오픈 플랫폼 구축·서비스에 따라 스타트업 생태계에 안전한 보안 기술이 요구되고 있다. 금융권 표준 오픈 API는 상호인증 과정의 핵심 API 인증키 보호를 위해, 결제 관련 핀테크 기업이 추가 보안 기술을 개발/적용하는 것을 권고하고 있다. 본 연구는 다중 채널을 사용하는 강화된 API 보안 프로토콜을 제안한다. 기존 오픈 API 관련 연구의 문제점과 취약점을 추가 분석하고, 이기종 플랫폼의 호환성을 고려하여 설계되었다. 기존 보안 프로토콜의 단일 채널에 추가 보안 채널을 분리하여 은닉하는 방법을 적용했다. 성능 분석 결과 다중 채널의 통신 세션 양방향 안전성과 강화된 인증키의 중간자 공격 안전성을 확인하였으며, 다중 세션에서 지연시간의 연산 성능(1초 이하)을 확인하였다.

Abstract ▼ AI-Helper

Safe security technology is required for the startup ecosystem according to the construction and service of a joint open platform in the financial sector. Financial industry standard open API recommends that payment-related fintech companies develop/apply additional security technologies to protect core API authentication keys in the mutual authentication process. This study proposes an enhanced API security protocol using multiple channels. It was designed in consideration of the compatibility of heterogeneous platforms by further analyzing the problems and weaknesses of existing open API related research. I applied the method of concealment to remove the additional security channels into a single channel of the existing security protocols. As a result of the performance analysis, the two-way safety of the communication session of the multi-channel and the security of the man-in-the-middle attack of the enhanced authentication key were confirmed, and the computational performance of the delay time (less than 1 second) in the multi-session was confirmed.

주제어

표/그림 (14)

그림 Fig. 1. Banking and Fin-tech Open API Access
그림 Fig. 2. OAuth2 Security Protocol Process
그림 Fig. 3. Banking and Fin-tech Open API
표 Table 1. Comparative Analysis of Research problems
표 Table 2. Open API protocol security requirements
표 Table 3. Open API Protocol Security Requirements
그림 Fig. 4. Dual-channel Scheme Protocol Entire Process
그림 Fig. 5. Features of the Proposed Multi-Channel Security
그림 Fig. 6. Performance Analysis Result(Enc/Decrption)
표 Table 4. Performance Analysis Environment
표 Table 5. Security Comparison Analysis
그림 Fig. 7. Performance Analysis Result(10 Session)
그림 Fig. 8. Performance Analysis Result(50 Session)
그림 Fig. 9. Performance Analysis Result(100 Session)

AI 본문요약
AI-Helper

* AI 자동 식별 결과로 적합하지 않은 문장이 있을 수 있으니, 이용에 유의하시기 바랍니다.

문제 정의

금융보안원 오픈 API 보안 점검 가이드라인은 표준 API 보안 강화를 위해 각 사업에 참여하는 업체들이 추가적인 보안 기술 개발/적용할 것을 권고하고 있다[5]. 본 논문에서는 표준 API 인증키 보호를 강화하는 다중 채널 기반 보안 프로토콜을 제안한다. 본 논문의 구성은 다음과 같다.
오픈 플랫폼/오픈 API의 활성화는 생체인증이나 RSA 이외 안전한 프로토콜과 함께 새로운 알고리즘 조합들이 요구될 것으로 예상한다. 본 논문은 오픈 API 환경에서 하위 수준의 보안 프로토콜 수준의 취약점을 분석하고, 다중 채널 기법을 제안했다. 성능 분석 결과, MITM 공격에 대한 안전성을 확인(기존 잘 알려진 해킹 기법에 노출되었다고 가정)하였다.

가설 설정

본 논문은 현재 금융권에서 운영되는 서버 인프라와 통신 구간이 안전하다고 가정한다. 핵심 보안 영역은 사용자 로컬(월렛)과 핀테크 업체 사이의 통신 세션 보안이다.
본 논문은 오픈 API 환경에서 하위 수준의 보안 프로토콜 수준의 취약점을 분석하고, 다중 채널 기법을 제안했다. 성능 분석 결과, MITM 공격에 대한 안전성을 확인(기존 잘 알려진 해킹 기법에 노출되었다고 가정)하였다. 또한, 제안한 다중 세션의 실제 서버의 TPS(Transaction per second) 처리 부하 영향도를 분석하여 암호 알고리즘과 키 길이 선택에 대한 효율성 지표를 제공했다.

제안 방법

Fig 7, 8, 9는 사용자 세션 개수 별 전체 처리시간 변화를 나타낸다. 100회 연산에 대하여 10, 50, 100세션으로 분리하여 처리시간의 오버헤드를 비교 분석하였다.
성능 분석 결과, MITM 공격에 대한 안전성을 확인(기존 잘 알려진 해킹 기법에 노출되었다고 가정)하였다. 또한, 제안한 다중 세션의 실제 서버의 TPS(Transaction per second) 처리 부하 영향도를 분석하여 암호 알고리즘과 키 길이 선택에 대한 효율성 지표를 제공했다.
분석 항목은 연산 과정에 CPU 처리시간에 초점을 맞추어 실험을 수행하였다. 제안 프로토콜에서 추가된 주요 RSA 연산은 총 2회로 상호인증 1회와 세션 검증 1회이다.
기존 프로토콜은 7계층 URL 기반의 통신을 수행한다. 새로 추가된 독립 세션은 핀테크 월렛 내부 4계층 TCP 통신으로 상호인증을 구현하였다. - 1, 5번 보안 요구사항
제안 기법은 기존 OAuth2 프로토콜을 지원하는 실제 리눅스 클라우드 서버를 구축하고, 웹 서버 부하 성능을 애플리케이션 단위로 비교 분석하였다. Table 4는 성능 분석에 사용된 환경설정을 나타낸다.
OAuth 표준 프로토콜은 핀테크 업체를 거쳐 금융권 인증 서버와 안전한 채널을 생성하게 된다. 제안 기법은 안전한 채널을 이중화하여 독립적으로 분리하는 방식을 적용한다.
⑨ 접근 토큰 교환 및 검증 : 주기적으로 외부 보안 채널(내부 앱)에서 토큰을 검증한다. 토큰 발급 개수 제한 및 짧은 토큰 갱신 시간을 적용했다. - 3번 보안 요구사항

이론/모형

독립보안 세션은 Java 언어 Security 클래스에서 제공하는 타원곡선 디피헬만(Diffie–Hellman) 키 교환, RSA/ECB 상호인증, SHA 해시 알고리즘을 사용했다.

성능/효과

0035초를 유지했다. 암호화/복호화 속도보다 내부 인증 토큰의 키 생성과 서명 생성에 추가적인 오버헤드가 크게 나타났다. 단일 세션 0.

후속연구

특히, 모바일 기반 생체정보 등록 및 PIN 번호를 인증하는 간편결제 서비스의 비중이 높아지고 있다. 그러나 이러한 생체인증 방법도 앞으로 취약 S/W와 H/W에서 유출된 생체정보 악용에 대한 대응책이 반드시 요구될 것이다. 현재 금융권에서 안전성을 검증받은 PKI 인프라는 대부분 암호화에 X.

참고문헌 (22)

Yi, M. (2020). Comparison of MyData Use Among the US, Europe, and the Korean Governments. Journal of the Korean BIBLIA Society for library and Information Science, 31(2), 183-201. DOI: 10.14699/kbiblia.2020.31.2.183

원문보기 상세보기
J. H. Park. Activation of My Data System and Legal Issues. Law Research Institute of Ajou University, 14(1), 96-119. DOI : 10.21589/ajlaw.2020.14.1.96
J. A. Park. (2020). Study on methods for establishing legislation on data protection and distribution. The Institute for Legal Studies, Sogang University, 9(2), 3-41. DOI : 10.35505/slj.2020.06.9.2.3

상세보기
M. J. Song & I. S. Kim. (2019). A Study on Privacy Protection in Financial Mydata Policy through Comparison of the EU's PSD2. Journal of The Korea Institute of Information Security and Cryptology, 29(5), 1205-1219.
Financial Security Institute. (n.d).. Convergence Security Department Fintech Security Team. Guide(Onlnie). http://www.fsec.or.kr/
J. H. Seo. (2018). Innovation strategy of the domestic banking industry through activation of open API. Korea Institute of Finance, 1-60.
Feike Hacquebord at el. (n.d.). When PSD2 Opens More Doors: The Risks of Open Banking, Trend Micro. Cyber Threats. https://blog.trendmicro.com/
J. H. Na & J. C. Na (2018). Open platform standardization trend for safe fintech service. Korea Institute Of Information Security And Cryptology, 28(4), 13-17. UCI : I410-ECN-0101-2018-004-003408438
I. S. Kim. (2018). Financial security and countermeasures for the financial sector in response to changes in the fintech environment. Korea Federation of Banks Financial webzine, 732, 6-13.
Financial Security Institute. (n.d.). Security check related to open banking (main contents), Financial Security Institute(Online). https://www.fsc.go.kr/
https://developers.open-platform.or.kr
J. E. Kim, I. S. Kim. (2017). A Study on the Liability of Information Protection for the Third Party Supply of Personal Information/Focus on Fintech Companies Using OPEN APIs. Journal of Korea Society for e-Business Studies, 22(4), 21-38. UCI(KEPA) : I410-ECN-0101-2018-004-001571185
D. H. Choi, I. S. Kim. (2019). A Study on the Policy Proposal and Model B2B2C for Safe Open Banking. Journal of The Korea Institute of Information Security and Cryptology, 29(6), 1271-1283. DOI : 10.13089/JKIISC.2019.29.6.1271

원문보기 상세보기
J. K. Jung, Y. M. Kim. (2016). Secure Access Token Model of Open Banking Platform using Hash Chain. The Korean Society Of Computer And Information Proceedings of the Korean Society of Computer Information Conference, 24(2), 277-280.
M. S. Son, H. Y. Kim. (2020). A Real Estate Lease Transaction System Using Blockchain and Open Banking API. Journal of Korean Institute of Information Technology, 18(5), 109-119. DOI : 10.14801/jkiit.2020.18.5.109

상세보기
K. J. Jang. (2017). A Study on Business Application of Payment System using BlockChain Technology. Global e-Business Association, 18(6), 113-130. DOI : 10.20462/TeBS.2018.12.19.6.349

상세보기
S. M. Yoo et el. (2018). POSCAL : A Protocol of Service Access Control by Authentication Level. Journal of The Korea Institute of Information Security and Cryptology, 28(6), 1509-1522. DOI : 10.13089/JKIISC.2018.28.6.1509

원문보기 상세보기
H. B. Kang, H. C. Jang, C. S. Jang. (2019). IUWT Based Token Authentication Technology. The Journal of Korean Institute of Information Technology, 17(2), 143-150. DOI : 10.14801/jkiit.2019.17.2.143

상세보기
K. W. Jung, H. S. Shin, J. H. Park. (2017). Integrated Authentication Protocol of Financial Sector that Modified OAuth2.0. Journal of the Korea Institute of Information Security & Cryptology, 27(2), 373-381. DOI : 10.13089/JKIISC.2017.27.2.373

원문보기 상세보기
B. C. Lee. (2018). Stateless Randomized Token Authentication for Performance Improvement of OAuth 2.0 MAC Token Authentication. Journal of the Korea Institute of Information Security & Cryptology, 28(6), 1343-1354. DOI : 10.13089/JKIISC.2018.28.6.1343

원문보기 상세보기
B. D. Gocer and S. Bahtiyar, (2019, September). An Authorization Framework with OAuth for FinTech Servers. In 2019 4th International Conference on Computer Science and Engineering (UBMK) (pp. 536-541). IEEE. DOI: 10.1109/UBMK.2019.8907182.
Jakob Nielsen. (n.d.). 10 Usability Heuristics for User Interface Design. Nielsen Norman Group (Online). https://www.nngroup.com/articles/ten-usability-heuristics/

저자의 다른 논문 :

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증