KR100729105B1

KR100729105B1 - 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증처리 장치 및 방법

Info

Publication number: KR100729105B1
Application number: KR1020050096995A
Authority: KR
Inventors: 정진화; 유성호
Original assignee: 포스데이타 주식회사
Priority date: 2005-10-14
Filing date: 2005-10-14
Publication date: 2007-06-14
Also published as: US20080317247A1; WO2007043846A1; KR20070041152A

Abstract

본 발명은 EAP-AKA(Extensible Authentication Protocol- Authentication and Key Agreement) 프로토콜을 기반으로 한 이동통신 단말기 인증을 수행하는데 있어, USIM(Universal Subscriber Identity Module) 카드를 장착하지 아니한 비 USIM 단말기에서도 안전하게 인증 기능을 수행할 수 있도록 한 비 USIM 단말기에서의 EAP-AKA 인증 처리 장치 및 방법에 관한 것이다.

본 발명의 비 USIM 단말기에서의 EAP-AKA 인증 처리 장치 및 방법에 따르면, 이동통신망에서 EAP-AKA 프로토콜을 기반으로 한 단말기 인증 처리시 USIM(Universal Subscriber Identity Module) 카드를 장착하지 아니한 비 USIM 단말기에서도 USIM 카드를 장착한 이동통신 단말기와 동일한 인증 관련 안정성 및 보안성을 지원할 수 있게 되며, 이에 따라 USIM 카드를 장착하지 아니한 비 USIM 단말기에 저가이면서도 간단하게 보안 및 인증 기능을 구현할 수 있게 된다.

USIM 카드, 이동통신 단말기, 인증, EAP-AKA 프로토콜, 해쉬, 비밀번호, 비밀값, 인증 서버

Description

비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치 및 방법{Apparatus And Method For Processing EAP-AKA Authentication In The non-USIM Terminal}

도 1은 본 발명에 따른 비 USIM 단말기에서의 EAP-AKA 인증 처리 장치를 도시한 구성 블록도.

도 2는 일반적인 휴대 인터넷(WiBro)망을 예시한 도면.

도 3은 본 발명에 따른 비 USIM 단말기에 대한 EAP-AKA 인증 처리 동작을 설명하기 위한 도면.

도 4는 본 발명에 따른 비 USIM 단말기에서 EAP-AKA 인증에 필요한 정보를 생성하는 일련의 절차를 설명하기 위한 동작 순서도.

도 5는 본 발명에 따른 비 USIM 단말기에서 암호화된 비밀값을 복호화하기 위해 사용되는 비밀키를 생성하는데 필요한 비밀번호를 변경하는 절차를 설명하기 위한 순서도.

* 도면의 주요 부분에 대한 부호의 설명 *

11 : 비밀번호 저장부 12 : 비밀값 저장부

13 : 비밀번호 입출력 제어부 14 : 비밀번호 변경 처리부

15 ; 키 생성부 16 : 복호화/암호화 처리부

17 : 비밀값 입출력 제어부 18 : 인증 처리부

25 : AAA 서버

본 발명은 이동통신 단말기 인증에 관한 것으로, 특히 EAP-AKA(Extensible Authentication Protocol- Authentication and Key Agreement) 프로토콜을 기반으로 한 단말기 인증을 수행하는데 있어, USIM(Universal Subscriber Identity Module) 카드를 장착하지 아니한 비 USIM 단말기에서도 안전하게 인증 기능을 수행할 수 있도록 한 비 USIM 단말기에서의 EAP-AKA 인증 처리 장치 및 방법에 관한 것이다.

종래의 AMPS(Advanced Mobile Phone System), CDMA(Code Division Multiple Access), GSM(Global System for Mobile communication) 등의 이동통신 단말기는 그 단말기의 전자일련번호인 ESN(Electronic Serial Number)과 전화번호 만을 확인하여 단말기 인증을 수행하므로, 보안상 많은 문제점을 내포하고 있었으며, 이러한 이유로 최근의 WCDMA(Wireless CDMA)나 3GPP(GSM), WiBro(Wireless Broadband Internet), WiMax(Worldwide interoperability for Micro-wave Access) 등과 같은 이동통신망에서는 단말기 보안 및 인증을 위해 USIM(Universal Subscriber Identity Module) 카드를 이용한 인증 방법을 도입하여 사용하고 있다.

그리고, USIM 카드를 이용한 인증 방법으로서, 인증 및 키 일치(AKA : Authentication and Key Agreement) 방식의 EAP-AKA(Extensible Authentication Protocol-AKA) 프로토콜을 이용하는 인증 방법이 있는데, 이는 개별 이동통신 단말기에 장착되는 USIM 카드에 사용자의 고유 ID(IDentity) 및 비밀값을 저장하여 놓고, 인증에 사용하는 값을 비밀값을 이용하여 생성함으로써, 이동통신망 측의 인증 서버인 AAA(Authentication, Authorization, Accounting) 서버와 비밀값을 공유한 경우에만 사용자 인증이 성공하게 하고 있다.

따라서, 전술한 USIM 카드 기반의 EAP-AKA 프로토콜을 단말기 인증에 적용시키는 경우 그 USIM 카드에 저장되어 있는 내부 정보를 불법적으로 읽거나 복사할 수 없기 때문에 단말기 사용자에게 안전한 상호 인증 및 보안 기능을 제공할 수 있다는 장점이 있다.

하지만, 종래의 USIM 카드를 이용한 인증 방법은, USIM 카드를 이용함으로써 그 카드에 저장되어 있는 내부 정보를 불법적으로 읽거나 복사할 수 없어 안전하다는 장점은 있으나, 단말기 단가 문제로 USIM 카드를 적용하기 어려운 저가의 이동통신 단말기나 USIM 카드를 장착하기 어려운 구조를 가지는 이동통신 단말기 즉, USIM 카드를 장착하지 아니한 이동통신 단말기의 경우에는 기존 USIM 카드에 저장하던 사용자의 고유 ID 및 비밀값을 안전하게 저장할 수 있는 방법이 없기 때문에 종래와 같은 안전한 인증 및 보안 기능을 제공할 수 없다는 문제점이 있었다.

한편, USIM 카드를 이용하지 않은 일부 CDMA 단말기에서는 암호화된 비밀값 을 저장하는 형태로 인증을 시도하고 있는데, 이러한 종래 CDMA 단말기에서는 32 비트 방식을 사용하여 비밀값을 저장하므로, 그 비밀값을 복사한 후 복호화하여 해킹할 수 있다는 문제점이 있었다.

본 발명은 전술한 바와 같은 문제점을 해결하기 위한 것으로 그 목적은, 이동통신망에서 EAP-AKA 프로토콜을 기반으로 한 단말기 인증 처리시 USIM(Universal Subscriber Identity Module) 카드를 장착하지 아니한 비 USIM 단말기에서도 USIM 카드를 장착한 이동통신 단말기와 동일한 인증 관련 안정성 및 보안성을 지원할 수 있도록 하는데 있다.

본 발명의 다른 목적은, USIM 카드를 장착하지 아니한 비 USIM 단말기에 저가이면서도 간단하게 보안 및 인증 기능을 구현하는데 있다.

상술한 바와 같은 목적을 해결하기 위한 본 발명의 특징은, EAP-AKA 프로토콜을 기반으로 인증 및 보안 기능을 수행하는 비 USIM 단말기에 있어서, 기설정된 비밀번호를 해쉬하여 얻은 비밀키로 암호화한 비밀값을 저장하고 있는 비밀값 저장부와; 단말기 사용자로부터 비밀번호를 입력받은 후에 그 비밀번호에 제1특정 값을 추가하여 128 비트로 만든 후, 소정의 해쉬 함수를 사용하여 해쉬하고, 그 결과로 얻은 해쉬된 비밀번호인 비밀키를 전달해 주는 키 생성부와; 상기 비밀값 저장부로 부터 암호화된 비밀값을 읽어들인 후에 이를 상기 키 생성부로부터 전달되는 비밀키를 사용하여 복호화하고, 그 복호화 결과로 얻은 비밀값을 전달해 주는 복호화/암호화 처리부와; 상기 복호화/암호화 처리부로부터 전달되는 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 인증 서버 측으로 전송하여 일련의 인증 기능을 수행하는 인증 처리부를 포함하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치를 구현하는데 있다.

본 발명의 다른 특징은, EAP-AKA 프로토콜을 기반으로 인증 및 보안 기능을 수행하는 비 USIM 단말기에 있어서, 단말기 사용자에 의해 설정된 비밀번호를 해쉬하여 얻은 값인 해쉬된 비밀번호를 저장하고 있는 비밀번호 저장부와; 기설정된 비밀번호를 해쉬하여 얻은 비밀키로 암호화한 비밀값을 저장하고 있는 비밀값 저장부와; 소정의 입력 수단을 통해 상기 단말기 사용자로부터 비밀번호를 입력받아 키 생성부로 전달하거나, 어플리케이션으로부터의 비밀번호 변경 요구시 소정의 입력 수단을 통해 상기 단말기 사용자로부터 현재 비밀번호는 한번, 신규 비밀번호는 연속하여 두번 입력받아 전달해 주는 비밀번호 입출력 제어부와; 상기 비밀번호 입출력 제어부로부터 전달되는 현재 비밀번호에 제2특정 값을 채워 128 비트로 만든 후에 해쉬 함수로 해쉬하고, 그 결과로 얻은 해쉬된 비밀번호와 상기 비밀번호 저장부에 저장되어 있는 해쉬된 비밀번호를 비교하여 일치하는지 확인하고, 일치하는 경우 상기 비밀번호 입출력 제어부로부터 전달되는 신규 비밀번호에 제2특정 값을 채워 128 비트로 만든 후에 소정의 해쉬 함수로 해쉬하여 얻은 해쉬된 신규 비밀번호를 상기 비밀번호 저장부에 저장하여 비밀번호 변경을 수행하고, 상기 현재 비밀 번호 및 신규 비밀번호를 전달해 주는 비밀번호 변경 처리부와; 상기 비밀번호 입출력 제어부로부터 전달되는 비밀번호에 제1특정 값을 추가하여 128 비트로 만든 후에 이를 소정의 해쉬 함수로 해쉬하여 얻은 결과가 되는 해쉬된 비밀번호인 비밀키를 전달해 주거나, 상기 비밀번호 변경 처리부로부터 전달되는 현재 비밀번호 및 신규 비밀번호에 각각 제1특정 값을 추가하여 128 비트로 만든 후에 소정의 해쉬 함수로 해쉬하여 현재 비밀키 및 신규 비밀키를 생성하고, 상기 현재 비밀키 및 신규 비밀키를 전달해 주는 키 생성부와; 상기 비밀값 저장부로부터 암호화된 비밀값을 읽어들인 후에 이를 상기 키 생성부로부터 전달되는 비밀키를 사용하여 복호화한 후에 그 결과로 얻은 비밀값을 전달해 주거나, 어플리케이션의 비밀번호 변경 요구에 따라 상기 키 생성부로부터 현재 비밀키 및 신규 비밀키가 전달되는 경우 상기 비밀값 저장부로부터 암호화된 비밀값을 읽어들여 현재 비밀키로 복호화한 후, 복호화된 비밀값을 신규 비밀키로 다시 암호화하고, 상기 암호화된 신규 비밀값을 상기 비밀값 저장부에 저장하여 신규 비밀번호를 기반으로 암호화된 비밀값을 변경하는 복호화/암호화 처리부와; 상기 복호화/암호화 처리부로부터 전달되는 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 인증 서버 측으로 전송하여 일련의 인증 기능을 수행하는 인증 처리부를 포함하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치를 구현하는데 있다.

본 발명의 또 다른 특징은, 이동통신망에서 EAP-AKA 프로토콜을 기반으로 하는 이동통신 단말기에서의 인증 처리 방법에 있어서, 비 USIM 단말기에서 통신 채 널을 초기화하고, 보안 능력 관련 정보를 협상하는 일련의 인증을 위한 사전 준비를 완료한 후에 인증에 필요한 정보를 생성하기 위해 단말기 사용자로부터 비밀번호를 입력받는 과정과; 상기 단말기 사용자로부터 입력받은 비밀번호에 제1특정 값을 추가하여 128 비트로 만든 후에 이를 해쉬 함수로 해쉬하여 얻은 해쉬된 비밀번호인 비밀키를 사용하여 단말기 내부 메모리에 저장되어 있는 암호화된 비밀값을 복호화하는 과정과; 상기 복호화 결과로 얻은 비밀값을 연산하여 인증에 필요한 정보를 생성한 후, 상기 인증에 필요한 정보인 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 인증 서버 측으로 전송하는 과정과; 상기 인증 서버에서 비 USIM 단말기로부터 전송되는 정보인 비밀값을 연산하여 얻은 결과값과 단말기 사용자를 식별할 수 있는 고유 ID를 상기 비 USIM 단말기의 비밀값에 대응하는 값을 이용하여 연산한 결과로 얻은 정보와 비교하여 단말기 인증 처리를 수행하는 과정을 포함하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법을 제공하는데 있다.

그리고, 상술한 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법은, 상기 비 USIM 단말기에서 암호화된 비밀값을 복호화하기 위해 사용되는 비밀키를 생성하는데 필요한 비밀번호를 변경하고자 하는 경우 단말기 사용자로부터 현재 비밀번호와 변경하고자 하는 신규 비밀번호를 입력받는 과정과; 상기에서 입력받은 현재 비밀번호에 제2특정 값을 채워서 128 비트로 만든 후에 해쉬 함수로 해쉬하여 얻은 해쉬된 비밀번호를 상기 단말기 내부 메모리에 저장되어 있던 해쉬된 비밀번호와 비교하여 일치하는지 확인하는 과정과; 상기 해쉬된 비밀번호가 일치하는 경우 상기에서 입력받은 신규 비밀번호에 제2특정 값을 채워서 128 비트로 만든 후에 해쉬 함수로 해쉬하여 얻은 해쉬된 신규 비밀번호를 상기 단말기 내부 메모리에 저장하여 비밀번호 변경 처리를 수행하는 과정과; 상기 비밀번호 변경을 위해 입력받은 현재 비밀번호 및 신규 비밀번호에 각각 제1특정 값을 추가하여 128 비트로 만든 후에 해쉬 함수로 해쉬하여 현재 비밀키 및 신규 비밀키를 생성하는 과정과; 상기 단말기 내부 메모리에 저장되어 있는 암호화된 비밀값을 상기 현재 비밀키로 복호화한 후, 복호화된 비밀값을 상기 신규 비밀키로 다시 암호화하는 과정과; 상기에서 암호화된 신규 비밀값을 상기 단말기 내부 메모리에 저장함으로써 비밀번호 변경에 따른 암호화된 비밀값 변경 처리를 수행하는 과정을 더 포함하는 것을 특징으로 한다.

또한, 상술한 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법은, 상기 비밀번호 변경시 단말기 사용자로부터 현재 비밀번호를 한번 입력받고, 변경하고자 하는 신규 비밀번호는 연속하여 두번 입력받는 과정과; 상기 연속하여 입력받은 2개의 신규 비밀번호를 비교하여 서로 일치하는지 확인하는 과정과; 상기 2개의 신규 비밀번호가 일치하는 경우 해당되는 비밀번호 변경 처리를 수행하고, 상기 2개의 신규 비밀번호가 일치하지 않는 경우 현재 비밀번호 및 신규 비밀번호를 재입력받는 과정을 더 포함하는 것을 특징으로 한다.

이하, 본 발명에 따른 실시예를 첨부한 도면을 참조하여 상세하게 설명하면 다음과 같다.

본 발명에서는 이동통신망(WiBro, WiMax, 3GPP 등)에서 사용자 인증 및 보안 기능을 수행하는데 있어, USIM 카드를 장착하지 아니한 이동통신 단말기 즉, 비 USIM 단말기에서도 인증 및 보안에 필요한 공유 비밀값을 안전하게 저장, 관리할 수 있는 기능을 제공함으로써, 비 USIM 단말기에 EAP-AKA 프로토콜을 적용하여 사용자 인증 및 보안 처리를 수행할 수 있게 하고자 하는데, 이를 위한 비 USIM 단말기의 내부 구성은 첨부한 도면 도 1과 같다.

즉, 본 발명에 따른 비 USIM 단말기에서의 EAP-AKA 인증 처리 장치는 도 1에 도시한 바와 같이, 비밀번호 저장부(11)와, 비밀값 저장부(12)와, 비밀번호 입출력 제어부(13)와, 비밀번호 변경 처리부(14)와, 키 생성부(15)와, 복호화/암호화 처리부(16)와, 비밀값 입출력 제어부(17) 및 인증 처리부(18)를 구비하여 이루어진다.

비밀번호 저장부(11)는 사용자에 의해 설정된 비밀번호를 해쉬하여 얻은 값인 해쉬된 비밀번호를 저장하고 있으며, 비밀값 저장부(12)는 설정된 비밀번호를 해쉬하여 얻은 비밀키로 암호화한 비밀값을 저장하고 있다.

비밀번호 입출력 제어부(13)는 인증 처리부(18)의 요구에 따라 소정의 입력 수단을 통해 사용자로부터 비밀번호를 입력받아 키 생성부(15)로 전달하거나, 어플리케이션(Application)으로부터 비밀번호 변경 요구시 소정의 입력 수단을 통해 현재 비밀번호는 한번(1 회)만 입력받고, 신규 비밀번호는 연속하여 두번(2 회) 입력받아 비밀번호 변경 처리부(14)로 전달해 준다.

비밀번호 변경 처리부(14)는 어플리케이션으로부터 비밀번호 변경 요구시 비밀번호 입출력 제어부(13)로부터 연속하여 전달되는 2개의 신규 비밀번호를 비교하 여 서로 일치하는지 확인하고, 일치하는 경우 신규 비밀번호 이전에 전달된 현재 비밀번호를 128 비트로 만들기 위해 나머지 비트들에 특정 값(B)을 채워 소정의 해쉬 함수(예컨대, MD5 등)로 해쉬하고, 그 결과로 얻은 해쉬된 비밀번호와 비밀번호 저장부(11)에 저장되어 있는 해쉬된 비밀번호를 비교하여 일치하는지 확인하고, 일치하는 경우 변경하고자 하는 신규 비밀번호를 128 비트로 만들기 위해 나머지 비트들에 특정 값(B)을 채워 소정의 해쉬 함수로 해쉬하고, 그 결과로 얻은 해쉬된 신규 비밀번호를 비밀번호 저장부(11)에 저장함으로써 비밀번호 변경을 수행한 후, 현재 비밀번호 및 신규 비밀번호를 키 생성부(15)로 전달해 준다.

키 생성부(15)는 비밀번호 입출력 제어부(13)로부터 전달되는 비밀번호를 128 비트로 만들기 위해 그 비밀번호에 특정 값(A)을 추가한 후, 소정의 해쉬 함수(예컨대, MD5 등)를 사용하여 해쉬하고, 그 결과로 얻은 해쉬된 비밀번호인 비밀키를 복호화/암호화 처리부(16)로 전달해 주거나, 비밀번호 변경 처리부(14)로부터 전달되는 현재 비밀번호 및 신규 비밀번호에 각각 특정 값(A)을 추가하여 128 비트로 만든 후에 소정의 해쉬 함수로 해쉬하여 현재 비밀키 및 신규 비밀키를 생성하고, 이렇게 생성한 각 비밀키를 복호화/암호화 처리부(16)로 전달해 준다.

복호화/암호화 처리부(16)는 비밀값 저장부(12)로부터 암호화된 비밀값을 읽어들인 후에 이를 키 생성부(15)로부터 전달된 비밀키를 사용하여 복호화하고, 그 복호화 결과로 얻은 비밀값(기존 USIM 카드에서 사용하는 코드 K와 OPc)을 비밀값 입/출력 제어부로 전달하거나, 어플리케이션의 비밀번호 변경 요구에 따라 키 생성부(15)로부터 현재 비밀키 및 신규 비밀키가 전달되는 경우 비밀값 저장부(12)로부 터 암호화된 비밀값을 읽어들여 현재 비밀키로 복호화한 후, 복호화된 비밀값을 다시 신규 비밀키로 암호화하고, 이렇게 암호화된 비밀값을 비밀값 저장부(12)에 저장함으로써 신규 비밀번호를 기반으로 암호화된 비밀값을 변경한다.

비밀값 입출력 제어부(17)는 복호화/암호화 처리부(16)로부터 전달되는 비밀값을 인증 처리부(18)로 전달해 주며, 인증 처리부(18)는 비밀값 입출력 제어부(17)로부터 전달되는 비밀값을 연산하여 얻은 결과값(예를 들어, AT_RAND, AT_AUTN, AT_IV, AT_MAC, AT_RES 등)을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 이동통신망(기지국, 제어기 등)을 통해 인증 서버인 AAA 서버 측으로 전송하는 등 일련의 인증 기능을 수행한다.

한편, 본 발명에 따른 비 USIM 단말기에 대한 EAP-AKA 인증 처리 동작을 도 2에 예시한 바와 같은 휴대 인터넷(WiBro)망을 기반으로 첨부한 도면 도 3을 참조하여 설명하면 다음과 같다.

여기서, 도 2의 휴대 인터넷망은 휴대 인터넷 단말기(Personal Subscriber Station, PSS)(10)와, 기지국 기능을 수행하는 무선 접속 장치(Radio Access System, RAS)(21)와, 패킷 라우팅 및 무선 인터넷 프로토콜의 외부 에이전트 기능을 수행하는 액세스 라우터(Access Control Router, ACR)(22)와, 인증, 권한 검증 및 비밀키 생성 기능을 수행하는 인증 서버인 AAA 서버(25)가 상호 연동하는 구성을 가지며, 휴대 인터넷 단말기(10) 즉, 사용자 단말기는 AAA 서버(25)와 인증 처리를 수행함으로써 휴대 인터넷 서비스를 이용할 수 있게 된다.

이러한 휴대 인터넷망에 위치한 임의의 휴대 인터넷 단말기(10)를 소유한 사 용자는 그 휴대 인터넷망을 통해 소정의 통신 서비스(즉, 휴대 인터넷 서비스)를 이용하려면, 단말기 전원을 켜는 순간이나 인증이 필요한 경우 도 3과 같이, 레인징(Ranging) 메시지(RNG-REQ/RSP)를 사용하여 휴대 인터넷 단말기(10)와 무선 접속 장치(21) 간에 통신에 필요한 정보를 주고받아 시스템 동기를 획득하고 통신 채널을 초기화하게 된다.

그리고, 통신 채널을 초기화한 후에는 SBC(Source Basic Capability) 메시지를 사용하여 초기 권한(Authorization) 절차전에 보안 능력(capability) 관련 정보를 협상하게 되는데, 이때, PKM 버전, 권한 정책(Authorization Policy)(RSA, EAP, Authenticated EAP 등), MAC(Message Authentication Code) 모드, SAID의 PN 윈도우 능력(window capability) 등의 요소를 협상하게 된다.

이후, 휴대 인터넷 단말기(10)에서 EAP 프로토콜을 사용하여 인증을 시도하게 되면, 해당 EAP 인증 메시지는 무선 접속 장치(21)를 통해 액세스 라우터(22)로 전달되며, 액세스 라우터(22)는 DIAMETER 프로토콜 메시지로 변환하여 인증 서버인 AAA 서버(25)로 전달하게 되는데, 이때, 단말기 사용자에게 사용자 ID와 비밀번호 입력을 요구하는 과정이 있을 수 있으며, EAP 인증 메시지에 인증에 필요한 정보인 단말기 사용자를 식별할 수 있는 고유 ID(IDentity)와 비밀값을 연산하여 얻은 결과값을 포함시켜 전달하게 된다.

이를 보다 상세히 설명하면, 종래의 휴대 인터넷 단말기(10)는 USIM 카드에 저장되어 있는 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 AAA 서버(25) 측으로 전송하게 되지만, 본 발명의 휴대 인터넷 단 말기(10)는 USIM 카드를 장착하지 않은 비 USIM 단말기이므로, 인증에 필요한 정보를 생성하기 위해 자신이 메모리에 저장하고 있는 암호화된 비밀값을, 단말기 사용자로부터 입력받은 비밀번호를 128 비트로 만들어서 해쉬한 결과로 얻은 해쉬된 비밀번호인 비밀키를 사용하여 복호화함으로써 비밀값(기존 USIM 카드에서 사용하는 코드 K와 OPc)을 생성하게 되며, 이렇게 생성한 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 무선 접속 장치(21) 및 액세스 라우터(22)를 통해 AAA 서버(25) 측으로 전송하게 된다.

그리고, AAA 서버(25)는 휴대 인터넷 단말기(10)가 보내온 인증 정보(비밀값을 연산하여 얻은 결과값과 단말기 사용자를 식별할 수 있는 고유 ID)와, 그 휴대 인터넷 단말기(10)의 비밀값에 대응하는 값을 이용하여 연산한 결과로 얻은 인증 정보를 비교하여 유효한 가입자인지를 확인함으로써 단말기 인증 처리를 수행하게 되며, 이후에 인증 응답을 액세스 라우(22)터 및 무선 접속 장치(21)를 통해 휴대 인터넷 단말기(10)로 전달하게 된다.

이렇게 하여, 휴대 인터넷 단말기(10)와 AAA 서버(25) 간에 EAP 인증 준비가 완료되면, 이때부터 PKM(Privacy Key Management) 메시지를 사용하여 본격적인 통신을 위한 암호화 알고리즘 협상 및 데이타 암호화 키 획득 절차를 수행한 후, 휴대 인터넷 단말기(10)는 DHCP(Dynamic Host Configuration Protocol) 프로토콜을 사용하여 IP 주소를 획득(고정 IP 주소를 사용하는 경우는 이 과정이 생략됨)하게 되고, 획득한 IP 주소를 이용하여 정해진 통신 방법에 따라 통신을 시작하게 되며, 보다 안전한 통신을 위해 통신중에도 필요한 경우 또는 주기적으로 키 및 인증 업 데이트를 수행하게 된다.

상술한 비 USIM 단말기에 대한 EAP-AKA 인증 처리 동작에 있어서, 본 발명의 특징이 되는 비 USIM 단말기에서 EAP-AKA 인증에 필요한 정보를 생성하는 일련의 절차에 대하여 첨부한 도면 도 4를 참조하여 설명하면 다음과 같다.

먼저, 인증을 위한 사전 준비 과정이 완료되면(스텝 S41), 인증 처리부(18)는 인증에 필요한 정보를 생성하기 위해 비밀번호 입출력 제어부(13)에 요구하여 단말기 사용자로부터 비밀번호를 입력받게 된다(스텝 S42).

이때, 비밀번호 입출력 제어부(13)는 사용자로부터 입력받은 비밀번호를 키 생성부(15)로 전달하게 되고, 키 생성부(15)는 비밀번호 입출력 제어부(13)로부터 전달되는 비밀번호를 128 비트로 만들기 위해 그 비밀번호에 특정 값(A)을 추가한 후, 소정의 해쉬 함수(예컨대, MD5 등)를 사용하여 해쉬하게 되고(스텝 S43), 이렇게 해쉬하여 얻은 해쉬된 비밀번호 즉, 비밀키를 복호화/암호화 처리부(16)로 전달해 주게 된다.

그러면, 복호화/암호화 처리부(16)는 비밀값 저장부(12)에 저장되어 있는 암호화된 비밀값을 읽어들인 후에 그 암호화된 비밀값을 키 생성부(15)로부터 전달된 비밀키를 사용하여 복호화하게 되며(스텝 S44), 복호화 결과로 얻은 비밀값(즉, 기존 USIM 카드에서 사용하는 코드 K와 OPc 등)을 비밀값 입/출력 제어부를 통해 인증 처리부(18)로 전달해 주게 된다.

그리고, 인증 처리부(18)는 비밀값 입출력 제어부(17)로부터 전달되는 비밀값을 연산하여 인증에 필요한 정보(즉, AT_RAND, AT_AUTN, AT_IV, AT_MAC, AT_RES 등)를 생성하게 되며(스텝 S45), 이렇게 생성한 정보 즉, 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 인증 서버인 AAA 서버(25) 측으로 전송하게 된다(스텝 S45).

한편, 본 발명에서는 비 USIM 단말기에서 암호화된 비밀값을 복호화하기 위해 사용되는 비밀키를 생성하는데 필요한 비밀번호를 단말기 사용자가 원하는 경우 변경할 수 있는데, 이러한 일련의 비밀번호 변경 절차를 첨부한 도면 도 5를 참조하여 설명하면 다음과 같다.

먼저, 단말기 사용자가 비밀번호 변경을 요구하게 되면(스텝 S51), 단말기 내부에서 관련 어플리케이션이 구동되면서 일련의 비밀번호 변경 절차를 수행하게 되는데, 어플리케이션으로부터 비밀번호 변경 요구시 비밀번호 입출력 제어부(13)는 소정의 입력 수단을 통해 사용자로부터 현재 비밀번호와 변경하고자 하는 신규 비밀번호를 차례로 입력받게 된다.

이때, 비밀번호 입출력 제어부(13)는 먼저 현재 비밀번호를 한번 즉, 1 회 입력받은 후, 변경하고자 하는 신규 비밀번호를 연속하여 두번 즉, 2 회 입력받게 되며, 이렇게 입력받은 현재 비밀번호 및 신규 비밀번호를 비밀번호 변경 처리부(14)로 전달해 주게 된다(스텝 S52).

그러면, 비밀번호 변경 처리부(14)는 비밀번호 입출력 제어부(13)로부터 연속하여 전달되는 2개의 신규 비밀번호를 비교하여 서로 일치하는지 확인하게 되고(스텝 S53), 이때, 2개의 신규 비밀번호가 일치하지 않는 경우에는 변경하고자 하는 신규 비밀번호 입력이 잘못되었음을 의미하므로, 현재 비밀번호 및 신규 비밀번호 를 입력받는 스텝 S52의 동작부터 다시 수행하게 되며, 2개의 신규 비밀번호가 일치하는 경우에는 신규 비밀번호 이전에 전달된 현재 비밀번호(통상적으로, 4 바이트 또는 8 바이트임)를 128 비트로 만들기 위해 나머지 비트들에 특정 값(B)을 채워 소정의 해쉬 함수로 해쉬한 후(스텝 S54), 그 결과로 얻은 해쉬된 비밀번호를 비밀번호 저장부(11)에 저장되어 있는 해쉬된 비밀번호와 비교하여 일치하는지 확인하게 된다(스텝 S55).

만약, 현재 비밀번호를 해쉬하여 얻은 해쉬된 비밀번호와 비밀번호 저장부(11)에 저장되어 있는 해쉬된 비밀번호가 일치하지 않는 경우 이는 현재 비밀번호 입력이 잘못되었음을 의미하므로, 현재 비밀번호 및 신규 비밀번호를 입력받는 스텝 S52의 동작부터 다시 수행하게 된다.

그리고, 현재 비밀번호를 해쉬하여 얻은 해쉬된 비밀번호와 비밀번호 저장부(11)에 저장되어 있는 해쉬된 비밀번호가 일치하는 경우 비밀번호 변경 처리부(14)는 현재 비밀번호를 신규 비밀번호로 변경하게 되는데, 이를 위해 우선, 신규 비밀번호에 특정 값(B)을 채워서 128 비트로 만든 후, 소정의 해쉬 함수로 해쉬하고, 그 결과로 얻은 해쉬된 신규 비밀번호를 비밀번호 저장부(11)에 저장하게 된다(스텝 S56).

또한, 이렇게 비밀번호를 변경한 후에는 실제 인증에 필요한 정보를 생성하는데 이용되는 비밀값을 생성할 때에 사용되는 암호화된 비밀값을 변경하게 되는데, 이를 위해 비밀번호 변경 처리부(14)는 현재 비밀번호 및 신규 비밀번호를 키 생성부(15)로 전달해 주게 되며, 키 생성부(15)는 현재 비밀번호 및 신규 비밀번호 에 각각 특정 값(A)을 추가하여 128 비트로 만든 후에 소정의 해쉬 함수로 해쉬하여 현재 비밀키 및 신규 비밀키를 생성한 후, 그 현재 비밀키 및 신규 비밀키를 복호화/암호화 처리부(16)로 전달해 주게 된다(스텝 S57).

이후, 키 생성부(15)로부터 현재 비밀키 및 신규 비밀키를 전달받은 복호화/암호화 처리부(16)는 비밀값 저장부(12)로부터 암호화된 비밀값을 읽어들인 후에 이를 현재 비밀키로 복호화하게 되고, 이렇게 복호화된 비밀값을 신규 비밀키로 다시 암호화함으로써 새로운 암호화된 비밀값을 생성하게 되며(스텝 S58), 이렇게 암호화한 신규 비밀값을 비밀값 저장부(12)에 저장함으로써 신규 비밀번호를 기반으로 암호화된 비밀값을 변경하게 된다(스텝 S59).

또한, 본 발명에 따른 실시예는 상술한 것으로 한정되지 않고, 본 발명과 관련하여 통상의 지식을 가진자에게 자명한 범위내에서 여러 가지의 대안, 수정 및 변경하여 실시할 수 있다.

이상과 같이, 본 발명의 비 USIM 단말기에서의 EAP-AKA 인증 처리 장치 및 방법에 따르면, 이동통신망에서 EAP-AKA 프로토콜을 기반으로 한 단말기 인증 처리시 USIM(Universal Subscriber Identity Module) 카드를 장착하지 아니한 비 USIM 단말기에서도 USIM 카드를 장착한 이동통신 단말기와 동일한 인증 관련 안정성 및 보안성을 지원할 수 있게 되며, 이에 따라 USIM 카드를 장착하지 아니한 비 USIM 단말기에 저가이면서도 간단하게 보안 및 인증 기능을 구현할 수 있게 된다.

Claims

EAP-AKA 프로토콜을 기반으로 인증 및 보안 기능을 수행하는 비 USIM 단말기에 있어서,

기설정된 비밀번호를 해쉬하여 얻은 비밀키로 암호화한 비밀값을 저장하고 있는 비밀값 저장부와;

단말기 사용자로부터 비밀번호를 입력받은 후에 그 비밀번호에 제1특정 값을 추가하여 128 비트로 만든 후, 소정의 해쉬 함수를 사용하여 해쉬하고, 그 결과로 얻은 해쉬된 비밀번호인 비밀키를 전달해 주는 키 생성부와;

상기 비밀값 저장부로부터 암호화된 비밀값을 읽어들인 후에 이를 상기 키 생성부로부터 전달되는 비밀키를 사용하여 복호화하고, 그 복호화 결과로 얻은 비밀값을 전달해 주는 복호화/암호화 처리부와;

상기 복호화/암호화 처리부로부터 전달되는 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 인증 서버 측으로 전송하여 일련의 인증 기능을 수행하는 인증 처리부를 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
EAP-AKA 프로토콜을 기반으로 인증 및 보안 기능을 수행하는 비 USIM 단말기에 있어서,

단말기 사용자에 의해 설정된 비밀번호를 해쉬하여 얻은 값인 해쉬된 비밀번호를 저장하고 있는 비밀번호 저장부와;

기설정된 비밀번호를 해쉬하여 얻은 비밀키로 암호화한 비밀값을 저장하고 있는 비밀값 저장부와;

소정의 입력 수단을 통해 상기 단말기 사용자로부터 비밀번호를 입력받아 키 생성부로 전달하거나, 어플리케이션으로부터의 비밀번호 변경 요구시 소정의 입력 수단을 통해 상기 단말기 사용자로부터 현재 비밀번호는 한번, 신규 비밀번호는 연속하여 두번 입력받아 전달해 주는 비밀번호 입출력 제어부와;

상기 비밀번호 입출력 제어부로부터 전달되는 현재 비밀번호에 제2특정 값을 채워 128 비트로 만든 후에 해쉬 함수로 해쉬하고, 그 결과로 얻은 해쉬된 비밀번호와 상기 비밀번호 저장부에 저장되어 있는 해쉬된 비밀번호를 비교하여 일치하는지 확인하고, 일치하는 경우 상기 비밀번호 입출력 제어부로부터 전달되는 신규 비밀번호에 제2특정 값을 채워 128 비트로 만든 후에 소정의 해쉬 함수로 해쉬하여 얻은 해쉬된 신규 비밀번호를 상기 비밀번호 저장부에 저장하여 비밀번호 변경을 수행하고, 상기 현재 비밀번호 및 신규 비밀번호를 전달해 주는 비밀번호 변경 처리부와;

상기 비밀번호 입출력 제어부로부터 전달되는 비밀번호에 제1특정 값을 추가하여 128 비트로 만든 후에 이를 소정의 해쉬 함수로 해쉬하여 얻은 결과가 되는 해쉬된 비밀번호인 비밀키를 전달해 주거나, 상기 비밀번호 변경 처리부로부터 전달되는 현재 비밀번호 및 신규 비밀번호에 각각 제1특정 값을 추가하여 128 비트로 만든 후에 소정의 해쉬 함수로 해쉬하여 현재 비밀키 및 신규 비밀키를 생성하고, 상기 현재 비밀키 및 신규 비밀키를 전달해 주는 키 생성부와;

상기 비밀값 저장부로부터 암호화된 비밀값을 읽어들인 후에 이를 상기 키 생성부로부터 전달되는 비밀키를 사용하여 복호화한 후에 그 결과로 얻은 비밀값을 전달해 주거나, 어플리케이션의 비밀번호 변경 요구에 따라 상기 키 생성부로부터 현재 비밀키 및 신규 비밀키가 전달되는 경우 상기 비밀값 저장부로부터 암호화된 비밀값을 읽어들여 현재 비밀키로 복호화한 후, 복호화된 비밀값을 신규 비밀키로 다시 암호화하고, 상기 암호화된 신규 비밀값을 상기 비밀값 저장부에 저장하여 신규 비밀번호를 기반으로 암호화된 비밀값을 변경하는 복호화/암호화 처리부와;

상기 복호화/암호화 처리부로부터 전달되는 비밀값을 연산하여 얻은 결과값을 단말기 사용자를 식별할 수 있는 고유 ID와 함께 인증 서버 측으로 전송하여 일련의 인증 기능을 수행하는 인증 처리부를 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
이동통신망에서 EAP-AKA 프로토콜을 기반으로 하는 이동통신 단말기에서의 인증 처리 방법에 있어서,

비 USIM 단말기에서 통신 채널을 초기화하고, 보안 능력 관련 정보를 협상하는 일련의 인증을 위한 사전 준비를 완료한 후에,

단말기 사용자로부터 비밀번호를 입력받는 과정과;

상기 비밀번호와 저장된 비밀번호가 일치하는 경우, 상기 비밀번호에 제1특정값을 추가하여 128비트로 만든 후에 이를 해쉬함수로 해쉬하여 비밀키를 생성하는 과정과;

상기 비밀키를 사용하여 저장되어 있는 암호화된 비밀값을 복호화하여 비밀값을 얻는 과정과;

상기 비밀값을 연산하여 인증 정보를 생성하고, 상기 인증 정보와 비밀값을 연산하여 얻은 결과값과 단말기 사용자를 식별하는 고유 ID를 함께 인증서버로 전송하는 과정과;

상기 인증서버에서 상기 결과값과 상기 고유 ID에 해당하는 저장된 대응 비밀값을 이용하여 연산한 결과로 얻은 정보와 비교하여 인증을 수행하는 과정을 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.
삭제
삭제
단말기 사용자로부터 입력받은 정해진 비밀번호에 특정값을 추가하여 소정의 비트수로 만든 후 해싱(Hashing)하여 비밀키를 생성하는 키 생성부;

상기 비밀키를 이용하여 암호화된 비밀값을 저장하는 비밀값 저장부;

상기 암호화된 비밀값을 생성하고, 상기 암호화된 비밀값을 상기 비밀키를 사용하여 복호화하며, 상기 복호화된 비밀값을 인증 처리부로 전송하는 복호화/암호화 처리부; 및

상기 복호화된 비밀값에 기초한 인증 알고리즘을 수행하여 인증 관련 정보를 생성하고, 상기 인증 관련 정보를 단말기 사용자를 식별하는 고유 ID와 함께 인증 서버로 전송하여 인증 기능을 수행하는 인증 처리부를 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
제 6 항에 있어서,

소정의 입력 수단을 통해 단말기 사용자로부터 비밀번호를 입력받아 상기 키 생성부로 전송하는 비밀번호 입출력 제어부를 더 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
제 7 항에 있어서,

상기 비밀번호 입출력 제어부를 통해 전송된 비밀번호를 저장하는 비밀번호 저장부를 더 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
제 8 항에 있어서,

상기 비밀번호 저장부에 저장된 비밀번호는 해싱된 비밀번호인 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
제 8 항에 있어서,

상기 비밀번호 입출력 제어부로부터 변경전 비밀번호 및 신규 비밀번호를 수신하여, 상기 변경전 비밀번호를 상기 비밀번호 저장부로부터 전송된 비밀번호와 비교한 후, 일치하는 경우 상기 신규 비밀번호를 상기 비밀번호 저장부로 전송하는 비밀번호 변경 처리부를 더 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
제 6 항에 있어서,

상기 소정의 비트수는 128비트인 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 장치.
(a) 단말기의 사용자로부터 입력된 비밀번호에 소정의 비트수 맞춤을 위한 특정값을 추가한 후 상기 특정값이 추가된 비밀번호를 해쉬함수로 해싱을 수행하여 비밀키를 생성하는 단계;

(b) 상기 비밀키를 이용하여, 상기 단말기에 기 저장되어 있는 암호화된 비밀값을 복호화하는 단계;

(c) 상기 복호화된 비밀값에 기초한 인증 알고리즘을 수행하여 인증 관련 정보를 생성하는 단계; 및

(d) 상기 인증 관련 정보를 인증 서버로 전송하여 인증을 수행하는 단계를 포함하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.
제 12 항에 있어서,

상기 소정의 비트수는 128비트인 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.
제 12 항 또는 제 13 항에 있어서,

상기 단계 (d)에서 상기 인증 서버로의 전송은,

기 저장되어 있는 단말기 사용자를 식별하는 고유 ID를 추가하여 전송하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.
제 14 항에 있어서,

상기 인증 서버는 상기 단말기 사용자를 식별하는 고유 ID에 대응되는 기 저장된 정보와 상기 인증 관련 정보를 비교하여 인증을 수행하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.
제 12 항에 있어서,

상기 단계 (a)는,

(a1) 단말기의 사용자로부터 입력된 변경전 비밀번호와 상기 비 USIM 단말에 기 저장된 비밀번호의 일치 여부를 판단하는 과정;

(a2) 비밀번호가 일치하는 경우, 단말의 사용자로부터 입력된 신규 비밀번호를 상기 비 USIM 단말에 저장하여 비밀번호를 변경하는 과정; 및

(a3) 상기 변경전 비밀번호에 소정의 비트수 맞춤을 위한 특정값을 추가한 후 상기 특정값이 추가된 변경전 비밀번호를 해쉬함수로 해싱을 수행하여 제1 비밀키를 생성하는 과정을 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.
제 16 항에 있어서,

상기 과정 (a3)는 상기 신규 비밀번호에 소정의 비트수 맞춤을 위한 특정값을 추가한 후 상기 특정값이 추가된 신규 비밀번호를 해시함수로 해싱을 수행하여 제2 비밀키를 생성하는 과정을 더 포함하고,

상기 단계 (b)는,

(b1) 상기 제1 비밀키를 이용하여, 상기 단말에 기 저장되어 있는 암호화된 비밀값을 복호화하는 과정; 및

(b2) 상기 복호화된 비밀값을 상기 제2 비밀키를 이용하여 암호화하고, 암호화된 비밀값을 상기 단말에 저장하는 과정을 포함하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.
제 16 항 또는 제 17 항에 있어서,

상기 신규 비밀번호는 2번 입력되며,

상기 2번 입력된 신규 비밀번호가 동일한 경우, 상기 비 USIM 단말에 기 저장된 변경전 비밀번호를 신규 비밀번호로 변경하는 것을 특징으로 하는 비 유에스아이엠 단말기에서의 이에이피-에이케이에이 인증 처리 방법.