KR100789250B1 - 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증방법 - Google Patents

속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증방법 Download PDF

Info

Publication number
KR100789250B1
KR100789250B1 KR1020050121208A KR20050121208A KR100789250B1 KR 100789250 B1 KR100789250 B1 KR 100789250B1 KR 1020050121208 A KR1020050121208 A KR 1020050121208A KR 20050121208 A KR20050121208 A KR 20050121208A KR 100789250 B1 KR100789250 B1 KR 100789250B1
Authority
KR
South Korea
Prior art keywords
domain
authentication
information
user
ubiquitous
Prior art date
Application number
KR1020050121208A
Other languages
English (en)
Other versions
KR20070061606A (ko
Inventor
이임영
이덕규
Original Assignee
이임영
임종인
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 이임영, 임종인 filed Critical 이임영
Priority to KR1020050121208A priority Critical patent/KR100789250B1/ko
Publication of KR20070061606A publication Critical patent/KR20070061606A/ko
Application granted granted Critical
Publication of KR100789250B1 publication Critical patent/KR100789250B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 관한 것이다. 본 발명은, 유비쿼터스 환경에서 각각의 디바이스에 대한 속성 인증서(Attribute Certification)를 이용한 도메인 인증 방식으로 최초 사용자가 인증센터에 자신의 디바이스들을 등록하게 되면 이에 해당하는 속성 인증서를 발급함으로써 효율적인 인증과정이 이루어지는 것을 특징으로 한다. 또한, 상기에서 디바이스 이동에 따른 도메인 인증 방법으로 개인의 디바이스가 사용자 자신의 공간(SD: Single Domain)으로 이동하였을 경우 디바이스를 통한 인증 방법과, 개인의 디바이스가 다른 사용자의 공간(MD: Multi Domain)로 이동하였을 경우 디바이스를 통한 인증을 실현하는 두 가지 방법을 제공한다.
유비쿼터스 디바이스(Ubiquitous Devices), 단일 도메인(Single Domain), 멀티 도메인(Multi Domain), 속성 인증서(Attribute Certification)

Description

속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법 { Authentication Method for Domain in Ubiquitous Devices Using Attribute Certification }
도 1은 종래기술에 의한 것으로 인증값을 이용한 인증방법을 나타낸 흐름도이며,
도 2는 본 발명의 실시예에 따른 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법을 개략적으로 도시한 전체 흐름도이며,
도 3은 본 발명의 실시예에 따른 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 단일 도메인에서의 인증 방법을 개략적으로 도시한 흐름도이며,
도 4는 본 발명의 실시예에 따른 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 멀티 도메인에서의 인증 방법을 개략적으로 도시한 흐름도이다.
본 발명은 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 관한 것으로서, 보다 상세하게는 속성 인증서(Attribute Certification)을 이용한 도메인 인증 방식으로 최초 사용자가 인증센터에 자신의 디바이스들을 등록하게 되면 이에 해당하는 속성 인증서를 발급함으로써 효율적인 인증과정이 이루어지는 것을 특징으로 한다.
유비쿼터스 컴퓨터 환경은 사용자가 네트워크나 컴퓨터를 의식하지 않고 장소에 상관없이 자유롭게 네트워크에 접속할 수 있는 정보통신 환경을 말한다. 그러나, 이러한 유비쿼터스 컴퓨터 환경은 사용자가 언제 어디서나 컴퓨터를 이용할 수 있도록 네트워크를 통해 상호 연결된 보이지 않는 수많은 컴퓨터(Invisible Computer)가 편재되고 사용자가 원하는 대로 쉽게 이용할 수 있는 컴퓨팅 환경을 지향하고 더 나아가서는 사용자가 원하는 컴퓨팅을 컴퓨터 스스로 알아서(상황인식 Context Awareness) 제공하는 스마트 환경 보안에 있어 특히 취약한 면을 많이 내포하고 있다. 그 중에서도 분산된 다양한 기기들이 도처에 존재함으로 인해 사용자 주변에 있는 기기 중에서 사용자 혹은 서버에 인증된 기기로의 위장공격 등이 가능하다는 문제점도 있었다.
유비쿼터스의 대부로 불리는 PARC(Palo Alto Research Center)의 Mark Weiser가 1993년 발표한 논문 중에 컴퓨터의 진화과정을 컴퓨터 기술과 인간과의 관계 변화를 중심으로 보고, 제 1의 물결인 메인프레임시대(1대의 고가의 컴퓨터를 다수가 공유), 제 2의 물결인 퍼스널 컴퓨터 시대(1인 1대의 컴퓨터 사용), 그리고 광역 분산 컴퓨팅을 제공하는 인터넷 시대를 거쳐 유비쿼터스 사회(다양한 사람들이 내장형의 다양한 컴퓨터를 의식하지 않고 네트워크를 통해 사용)로 나누는 동시에 컴퓨터 기술에 있어 제 3의 물결로 정의하였다. 그리고 우리 생활 중의 주요한 컴퓨터 인터페이스 기술이 보이지 않는 인터페이스(Invisible Interfaces)를 사용하여 우리 주변에 스며들어 일상생활에 통합되는 기술(Calm Technology)의 등장을 언급하면서, 이러한 기술변화를 통해 새로운 문화 즉, 유비쿼터스 컴퓨팅의 출현을 주장하였다. 유비쿼터스 컴퓨팅에서의 주요 연구는 다음과 같이 이뤄지고 있다. 유비쿼터스 컴퓨팅 시대의 유비쿼터스 네트워크는 PC, 서버 중심의 협희의 네트워킹에서 AV 기기, 정보가전, 휴대전화, 게임기, 제어기기 등과 같은 다양한 기기가 접속됨으로 인하여 소형화 기술, 휴대전화기술, 정보가전기술, 전자제어기술, 네트워킹제어기술 등이 주요한 원천 기술로 대두되었다. 이중에서 어디서나 안전하게 컴퓨터를 사용할 수 있는 기술로서 개인 인증 기술과 보안 기술을 들 수 있다. 이러한 개인 인증에 관한 연구는 각 국가의 프로젝트에 따라 연구가 진행되어왔다. 각각의 도메인 상에서는 인증에 관한 해결책으로 제시하고 있는 연구는 현재 진행되고 있지 않은 실정이다. 유비쿼터스 컴퓨팅 관련 프로젝트는 MIT의 Oxygen, UC Berkeley의 Endwavour, Washington 대학의 Portolano, Georgia Tech & Ogi의 Infosphere, CMU의 Aura 프로젝트, 일본의 TRON프로젝트 등이 있다. 산업체에서의 가장 대표적인 경우가 IBM의 Websphere 제품과 HP의 Cooltown, MS의 Easy Living이라 할 수 있다. MIT의 Oxygen Project의 특징은 매우 동적이며, 다양한 인간 활동을 지원하기 위함이고, 많은 기술적인 문제점을 해결해야한다. 사용자와 시스템 기 술들을 조합하여 편재하며, 인간 중심형 컴퓨팅 기술을 가능하게 하며, 음성, 비전 기술들을 이용하여 시간과 노력을 절약시킨다. 임베디드 디바이스를 이용한 분산처리 기반 컴퓨팅 시스템이라 할수 있다. Washington 대학의 Portolano 프로젝트는 사용자의 의도에 따른 다중 사용자 인터페이스 기능을 가지며, 네트워크에 기초한 수평적 계층적 서비스 기능을 제공한다. 그리고 엑티브 네트워크, 분산처리 기반 구조 기능을 특징으로 한다. CMU의 Aura 프로젝트는 사용자의 집중도를 떨어뜨리지 않고 작업할 수 있는 컴퓨팅 환경구성을 주요 목표로 하고 있다. Aura 프로젝트를 수행하기위한 요소 기술은 다음과 같으며, 보안에 관련된 연구는 키 설립, 선택적 제어, 위치 정보에 대한 보호 등 개인적인 프라이버시에 집중되는 것을 알 수 있다. IBM의 유비쿼터스 컴퓨팅은 모든 네트워크상에서 임의의 장치를 사용하여 어떤 정보라도 전달하며, 개인화기능을 이용하면 사용자가 선택하는 것으로 정보를 전달하는 일을 뜻한다.
2002년에 Jalal등은 사용자 인증 레벨 개념을 가진 방식을 제안하였다. 따라서 사용자의 각 디바이스는 각각의 인증값을 가질 수 있도록 설계되었으며 아래와 같은 두 가지 조건을 가진다.
① 각각의 디바이스에 사용자 인증 정보가 다르게 존재할 수 있다. 즉, 스마트 디바이스인 PDA, 시계, 스마트 반지와 같은 디바이스에 사용자의 정보를 반지에는 최소의 인증 정보를 PDA에는 중간 정도의 인증 정보를 보관 할 수 있다.
② 레벨 인증 정보를 위해 신임값을 통한 인증을 다단계로 분할하고 있는데 신임을 각 디바이스에서 획득하기 위해 각 디바이스에 맞는 인증 프로토콜을 통하 여 신임값을 전달하고 있다.
하나의 디바이스가 사용자의 도메인에서 벗어나 다른 도메인으로 들어갔을 경우 다른 도메인의 사용자 정보를 가지고 있더라 하더라도 새로운 도메인의 사용자 인증 정보를 따라가 결국 다른 도메인에서 이동한 사용자는 사용에 있어 제약이 생기게 된다. 이 방식은 같은 도메인 내에서의 사용자의 디바이스 각각이 인증 정보를 가지고 있으므로 사용자가 하나의 디바이스를 통해서 인증을 받을 수 있고 사용자 주변의 모든 디바이스를 레벨 인증 정보를 통하여 모두 인증 받을 수 있는 특징을 가지고 있다. 신임값을 갖고 디바이스를 인증하는 것은 스마트 디바이스에 대해서는 효율적인 인증을 제공하지만 전체적인 인증을 위해서나 스마트 인증에 대한 확인을 위해 상위 디바이스가 필요한 경우가 발생하게 된다. 이때 신임값을 갖는 중간 디바이스나 스마트 디바이스 상위의 디바이스가 다른 곳에 위치하거나 분실하였다면 전체적인 인증은 불가능하며 분실 디바이스 이하의 디바이스에 대해서는 새로이 신임값을 분배해야하는 문제점이 발생하게 된다. 각각에 대하여 다시 살펴보면 다음과 같다.
① 전체 인증 정보는 디바이스 N까지의 신임값 합과 일치한다.
② 어떤 한 디바이스가 이동 혹은 분실되면, 이하 디바이스에 대해 전체적인 인증은 불가능하다.
JARM 방식에 대해 자세히 기술하면 다음과 같다. 유비쿼터스 컴퓨팅 환경에서 사용자는 여러 가지 디바이스를 통하여 인증을 받을 수 있다. 하나의 디바이스를 통해 인증이 이뤄질 수 있고 작은 디바이스는 상위의 디바이스로 인증 정보를 전송하는 다단계 과정을 통해 인증을 이루어질 수도 있다. 여기서 다단계 인증 과정 중에 각 디바이스에 어떻게 신임할 것인가가 가장 큰 문제로 작용한다. 예를 들어, 패스워드를 어느 하나의 인증 디바이스에게 제공한 후 이것을 디바이스가 사용하였을 때, 제공된 패스워드가 다른 디바이스에서 어느 정도 신뢰되어 개체를 인증하는 것은 각 디바이스 선택에 의해 좌우된다. 각 디바이스에 신임값을 전달하는 것은 각 디바이스에 맞는 프로토콜을 통하여 이루어질 수 있다. 만약 사용자가 하나의 인증 방법을 사용하기 원할 때 신임값은 포괄적으로 사용할 수 있다. 이 방식에서 사용되는 신임값의 예제는 다음과 같다.
Cnet = 1-(1-C1)(1-C2)...(1-Cn)
여기서 Cnet은 사용자의 신임값이 되며, C1, C2, ..., Cn은 각 디바이스의 신임값이 된다. 상기의 방식은 기존 분산 시스템의 인증 방법으로 사용되었던 Kerberos를 유비쿼터스 환경에 맞도록 개선하여 사용하게 된다. 여기서 활동 공간(AD: Active Domain)은 인증을 위한 도메인으로 Kerberos와 동일하게 구성하며, 이 엑티브 도메인은 세 개의 인증 컴포넌트들로 구성하게 된다. 첫 번째 컴포넌트는 인증 서버(AS: Authentication Server)로서 엑티브 도메인 내의 SSO를 지원하게 하며, 두 번째 컴포넌트는 티켓 발급 서버(TGS: Ticket Granting Server)로 엑티브 도메인 내에 사용자가 접근할 수 있는 티켓 발급을 담당하며, 세 번째 컴포넌트는 데이터베이스로 엑티브 도메인내의 모든 사용 인증에 관한 필요정보를 보관한다.
진행 과정은 도 1의 흐름도를 참고하여 보다 상세히 설명한다. 활동 공간 (Active Domain)내에 스마트 디바이스들이 login등을 검출하는 것을 기지국으로 봉쇄할 수 있다(S11). 사용자는 자신을 충분히 인증해 줄 수 있는 SAP(Space Authentication Portal)로 이동하고(S12), SAPs 자체는 사용자 인증을 제공하면서 프라이버시를 제공하기 위해 충분한 정보를 제공하지 않는다. 하지만, 사용자의 정보는 보안 서버와 통신할 수 있는 Lighthouse에서 가지고 있게 된다(S13).
성공적인 인증(S14)에는 Kerberos와 같은 활동 공간에 사용할 수 있는 사용자에 대한 TGT(Ticket Granting Ticket)를 발급하며(S15), 사용자는 고정된 워크스테이션의 사용이 필요치 않게 되지만, 대신 활동 공간에서 서비스를 이용하도록 접근이 가능한데, 직접적으로 사용할 수 있는 어떠한 디바이스를 이용함으로써 서비스에 상호 작용할 수 있다(S16).
통신은 Lighthouse가 사용자의 위치정보 제공을 막기 위해 Mist 프로토콜(MIT대학의 프로토콜)을 사용하며(S17), TGT는 Target 사용자를 위해 Lighthouse에서 저장해둔다. 또한 Lighthouse는 필수 서비스에 접근하기 위해 티켓들을 요청한 TGS와 통신할 수 있도록 한다.(S18)
최종적인 신뢰와 더불어 사용권한에 대한 내용을 담고 있는 티켓내의 정보를 이용하여, 서비스는 스마트 디바이스 소유자에게 권한을 줄 것인지 아닌지 결정한다(S19). 최종적으로 활동공간의 로그오프 혹은 티켓의 폐기, 티겟의 말소, 디바이스 활동 공간 벗어난 경우는 종료된다(S20).
본 발명은 사용자의 디바이스가 이동하는데 있어 원활하게 끊김 없이 사용자 디바이스를 인증하면서 각 디바이스에 대한 인증, 인가 및 기밀성과 안전성을 확보하기 위한 방법으로 속성 인증서(Attribute Certification)를 이용한 모델 및 프로토콜을 제공하는 것을 목적으로 한다.
또한, 본 발명은 동일한 도메인 내에서 뿐만 아니라 사용자가 이동하는 경우 사용자 디바이스 정보가 올바르게 제공되면서 사용자 인증과 불법적인 사용자 디바이스의 불법 행위를 방지하고자 함에 또 다른 목적이 있다.
상술한 목적을 달성하기 위해, 본 발명은 유비쿼터스 환경에서 각각의 디바이스에 대한 도메인 인증 방법에 있어서, 사용자는 인증센터로부터 인증서 발급을 요청하는 제 1과정과, 인증센터는 사용자에게 속성인증서의 생성을 위한 PKI인증서를 발급하는 제 2과정과, 사용자는 인증센터로부터 발급받은 PKI인증서를 이용하여 자신의 각 디바이스에 속성인증서(Attribute Certification)를 발급하는 제 3과정과, 상기 제 3과정에서 발급된 속성인증서에 대한 사항을 인증센터에 통보하는 제 4과정을 포함하여 이루어진 사용자 및 디바이스 등록과정과,
상기 제 3과정을 통해 생성한 속성인증서를 보관한 디바이스가 자신의 공간(Single Domain)으로 이동하는 경우, 이에 대한 이동 신호를 자신의 도메인에 보고를 알리는 제 5과정과, 상기 제 5과정에서 보고받은 도메인은 상위의 허브에게 이동에 대한 보고를 알리는 제 6과정과, 상기 제 6과정에서 보고받은 허브는 디바이 스가 이동할 단일 도메인 내에서의 디바이스에게 이동 디바이스의 정보를 전송하는 제 7과정과, 상기 제 7과정에서의 이동 디바이스 정보를 이용하여 인증정보에 자신의 이동정보와 이전 공간에서의 행위정보를 포함하여 허브에게 전송하는 제 8과정과, 상기 제 8과정에서의 제공된 정보를 이용하여 허브는 인증정보를 확인하고 이동할 도메인의 디바이스에 이동 디바이스의 인증을 허락하는 제 9과정과, 상기 제 9과정에서 인증된 정보를 이동할 도메인의 디바이스에 제공하는 제 10과정과, 상기 제 10과정에서 허브로부터 제공받은 인증 정보를 확인하여 이동 디바이스의 도메인내 사용을 허락하는 제 11과정으로 이루어지는 단일 도메인에서의 인증 방법과,
상기 제 3과정을 통해 생성한 속성인증서를 보관한 디바이스가 다른 사용자의 공간(Multi Domain)으로 이동하는 경우, 디바이스는 도메인에 이동신호를 보내고 허브는 자신의 공간 목록에서 이전 단일 도메인상의 목록을 삭제하는 제 12과정과, 허브는 상기 제 12과정에서 제공받은 삭제 정보를 상위 관리자에 알리는 제 13과정과, 멀티 도메인에 새로운 디바이스가 위치함을 디바이스가 위치한 상위 관리자에 알리고 인증 요청을 수행하는 제 14과정과, 상기 제 14과정에서 제공된 인증 정보가 올바른지 확인하는 제 15과정과, 상기 제 15과정에서 인증이 올바르다고 판단되면 이동한 디바이스의 인증 정보를 상위 도메인에게 전송하는 제 16과정과, 상기 제 16과정에서의 상위 도메인은 전송된 정보가 이동할 도메인에서 올바르게 생성된 정보인지를 확인하고 이동할 디바이스에 대한 인증을 수락하는 제 17과정과, 상기 제 17과정에서 인증 정보가 확인되면 이동 디바이스의 멀티 도메인내에서 디바이스에 대한 사용을 허락하는 제 18과정으로 이루어지는 멀티 도메인에서의 인증 방법을 포함하여 이루어지는 것을 특징으로 한다.
또한, 상기에서 인증정보를 확인하는 제 9과정, 또는 제 14과정, 또는 제 17과정 중 어느 한 과정에 있어서, 상기의 인증정보가 정당하지 않을 경우 이동 디바이스에 대한 인증이 이루어지지 않으며, 인증정보 재생성을 요구하는 과정이 부가되는 것을 특징으로 한다.
먼저, 본 발명에 의해 구현될 수 있는 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에서의 요구사항은 다음과 같다.
① Mobility(이동성) : 사용자가 가지고 있는 디바이스(인증 정보가 포함된)는 이동하여 모든 서비스에 사용될 수 있다.
② Entity Authentication(개체 인증) : 사용자가 디바이스를 가지고 자신이 속한 도메인을 벗어나더라도 새로운 도메인에서 디바이스의 정보만을 이용하여 인증을 받을 수 있다.
③ Corresponding Entity Authentication(동일한 개체에 대한 인증) : 사용자 도메인에 새로운 사용자의 디바이스가 위치해 있을 때, 디바이스는 새로운 사용자의 인증정보를 포함한 개체임을 확증하도록 제공하는 것이다. 이 인증은 하나의 도메인에 여러 디바이스가 접속되었을 때, 이전 사용자의 디바이스를 통하여 인증을 실현하는 것이다. 이러한 인증은 다양한 등급의 보호기능을 제공할 수 있다.
④ Data Outgoing Authentication(데이터 발신처 인증) : 사용자 도메인에서 디바이스가 새로운 도메인으로 이동한 경우, 데이터의 발신처를 요구하는 새로운 도메인에 대한 디바이스가 사용자측의 디바이스라는 것을 사용자 도메인에 의해 제공된다. 이 인증은 인증 데이터의 발신처에 대한 확인을 제공한다. 그러나 데이터의 중복 혹은 변경에 대한 보호기능은 제공되어서는 안된다.
⑤ Connection/Non-connection Confidentiality(접속/비접속 기밀성) : 접속 기밀성은 새로운 도메인 상에서 사용자의 데이터에 대한 기밀성을 제공해야한다. 이때 새로운 도메인은는 디바이스의 정보를 받아 상위기관인 멀티도메인 센터로부터 최종 인증을 받는다. 비접속 기밀성은 사용자의 디바이스는 어떤 도메인과 연결되기 전까지 사용자 데이터에 대한 기밀성을 제공해야 한다.
이하, 첨부된 도면을 참조하면서 본 발명에 대해 상세하게 설명한다.
도 2는 본 발명의 실시예에 따른 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법을 개략적으로 도시한 전체 흐름도이며, 도 3은 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 단일 도메인에서의 인증 방법을 개략적으로 도시한 흐름도이며, 도 4는 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 멀티 도메인에서의 인증 방법을 개략적으로 도시한 흐름도이다.
도 2에 도시한 바와 같이, 본 발명에 의한 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법은 크게 사용자 및 디바이스 등록과정(A1~A4)과, 도메인 인증과정(B1~B7, C1~C7)으로 구분되며, 상기에서 도메인 인증과정은 상황에 따른 두 가지 방법이 제안된다.
도메인 인증과정의 첫 번째 방법은 사용자가 자신의 스마트 디바이스를 가지 고 자신의 도메인으로 이동하여 이동한 공간의 디바이스를 이용하고자 할 때 자신의 인증 정보가 포함된 스마트 디바이스를 통해 인증을 받게 되는 단일 도메인상의 인증 방법(B1~B7)이며, 두 번째 방법은 사용자가 자신의 스마트 디바이스를 가지고 단일 도메인이 아닌 멀티 도메인으로 이동하여 이동한 곳의 디바이스를 이용하고자 할 때 자신의 인증 정보가 포함된 스마트 디바이스를 통해 인증을 받는 멀티 도메인상의 인증 방법(C1~C7)이다.
본 발명의 각 과정을 상세히 설명함에 있어서 표기되는 기호들은 다음과 같이 정의한다.
·* : (Device, Domain, MDC : Multi Domain Center, A : Alicer, B : Bob, MDCM: MDC Manager, AS: Active Space)
· Cert* : *의 공개키를 포함한 인증서
· PCert* : *의 공개키를 포함한 PMI 인증서
· n : PMI 인증서 최대 발급 갯수
· AP : 유효기간(Available Period)
· r: 사용자 Hub가 생성한 난수
· i: 사용자가 발급한 디바이스
· E*[ ] : *의 키로 암호화
· pw : Password
· R* : *의 권한
· ID* : *의 Identity
· H() : 안전한 해쉬함수
· Hub* : *의 Hub
· PK_* : *의 공개키
· SK_* : *의 개인키
먼저, 본 발명에 따른 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 사용자 및 디바이스 등록과정(A1~A4)을 설명하기로 한다.
SD(Single Domain) 또는 MD(Multi Domain)에서의 사용자 인증을 위하여 사용자는 초기에 여러 디바이스 인증정보를 갖도록 해야한다. 이때, 사용자는 인증센터인 MDC(Multi Domain Center)로부터 PKI(Public Key Infrastructure) 인증서를 받고, 이를 Hub를 통해 자신의 디바이스에 PMI(Privilege Management Infrastructure) 인증서를 발급하며, 상기에서 발급한 PMI 인증서를 스마트 디바이스에 저장토록 하는데 이때 PMI 인증서 발급은 MDC와 상호 협정한 방법에 따라 인증서를 발급한다.
사용자 및 디바이스 등록과정을 보다 상세히 설명하면 다음과 같다.
사용자 A의 DeviceA 인증 정보 생성을 위해서는, 먼저 사용자 A는 인증센터인 MDC에 인증서 발급을 요청하는 과정을 거친다(A1).
사용자 A로부터 인증서 발급 요청을 받은 MDC는 사용자 A에게 n개의 PMI인증서(속성인증서)를 생성할 수 있는 PKI인증서를 발급한다(A2).
사용자 A는 발급받은 PKI인증서를 이용하여 DeviceA들에 PMI인증서를 발급한다(A3). 상기 PMI인증서는 사용자 A의 ID_DeviceA, 권한, PMI인증서에 대한 유효기간으로 구성된다.
MDC -> DeviceA : CertA[ID_DeviceA,RA,n,AP}
또한, 상기에서 발급된 PMI인증서는 상위 인증서로의 경로를 포함한다.
DomainA -> DeviceA: PCA =PCertA[ID_DeviceA, H(CertA || r),i] || AP
DeviceA: EPK_DomainA[PCA]
DeviceA install : Epw[EPK_DomainA[PCA]] or DeviceA install : EPIN[EPK_DomainA[PCA]] ……………………………………(A3)
사용자 A는 자신의 DeviceA에 발급된 PMI인증서에 대한 사항을 MDC에 통보한다(A4). 후에 A의 SMA PMI 인증서가 멀티 도메인에서 사용되었을 경우 SMA 내의 PMI 인증서 경로로써 사용자 A를 인증 한다.
DomainA -> MDC : EPK_DomainA[H(CertA || r), r, I] …………………(A4)
상기의 사용자 및 디바이스 등록과정(A1~A4)은 단일도메인 또는 멀티도메인상에서 공통으로 적용된다.
이하, 본 발명에 따른 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 단일/멀티 도메인 인증과정(B1~B7, C1~C7)을 설명하기로 한다.
먼저, 단일 도메인 상에서의 인증방법을 살펴 보기로 한다. 도 3은 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 단일 도메인에서의 인증 방법(B1~B7)을 개략적으로 도시한 흐름도이다.
사용자 A의 DomainA에서의 DeviceA가 ASA1에서 이동하여 ASA2에서 이용하고자 할 경우 DeviceA는 기존 정보를 그대로 이용하게 된다.
DeviceA는 최초 공간(ASA1: Active Space)에 존재하고 있다가 이동이 발생할 경우 이동 신호를 ASA1에게 보낸다(B1).
DeviceA -> ASA1 :Signal(Outgoing) ……………………………………(B1)
DeviceA은 DomainA에 이동을 알린다(B2).
DeviceA1 -> DomainA :EPK_DomainA[ID_DeviceA ,EPK_DomainA[PCA]] …………(B2)
DeviceA은 이동할 ASA2에게 인증정보 및 이동정보를 전송한다(B3).
DeviceA1 -> ASA2 : [ID_DeviceA ||Epw[EPK_DomainA[PCA]]] or [ID_DeviceA ||EPIN[EPK_DomainA[PCA]]] ……………………………………………(B3)
DeviceA로부터 제공받은 인증 정보를 이용하여 ASA2는 인증정보 및 이동정보를 DomainA에 전송한다(B4).
ASA2 -> DomainA : [ID_DeviceA || Epw[EPK_ASA2[PCA]]] ………………(B4)
DomainA 또한 DeviceA로 제공받은 인증 정보를 확인하고 ASA2에게서 제공받은 인증정보 및 이동정보와 비교하여 인증을 허락한다(B5).
DomainA : Epw[EPK_DomainA[PCA]] = EPK_DomainA[PCA] or EPIN[EPK_DomainA[PCA]] = EPK_DomainA[PCA]
Compare : (DeviceA1)EPK_DomainA[PCA] = (DeviceA1)EPK_DomainA[PCA] ……(B5)
DomainA는 확인을 완료하고 DeviceA에 대한 인증을 수락한다(B6).
DomainA -> DeviceA :[ID_DeviceA || AuthDeviceA] ……………………(B6)
DeviceA는 자신이 이전에 행하던 행위 정보 값을 제공하고 비교한 뒤 이동 공간의 ASA2에 대한 사용을 허락한다(B7).
다음은 멀티 도메인 상에서의 인증방법에 대해 살펴보기로 한다. 도 4는 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법에 있어서 멀티 도메인에서의 인증 방법을 개략적으로 도시한 흐름도이다.
전체적으로 DomainA의 DeviceA가 DomainB로 이동하여 사용자 A의 정보를 사용하여 DomainB에서 서비스를 사용하고자 할 경우 DeviceA는 사용자 A의 정보를 그대로 이용하게 된다.
먼저, 자신의 도메인(DomainA)에 DeviceA를 통해 이동 신호를 보내고, 자신의 공간 목록에서 삭제한다(C1).
DeviceA -> DomainA : Signal(Outgoing)
DomainA : DeviceList -> Delete[ID_DeviceA] …………………………(C1)
DomainA은 자신으로부터 벗어났다는 삭제정보를 상위 관리자인 MDC에 알린다. 만약 다른 MDC로의 이동일 경우는 DomainA로부터 벗어났다는 삭제정보를 MDC의 상위 관리자인 MDCM에 알려준다(C2).
DomainA -> MDC : (ID_DeviceA, i)
MDC -> MDCM : (ID_DeviceA, I) ………………………………………(C2)
DeviceA는 새로운 도메인(DomainB)에 위치하였음을 상위관리자에 알린 후에 DomainB에 인증 요청을 한다(C3).
DeviceA -> DomainB : Signal(Ongoing)
DeviceA : Epw[EPK_DomainA[PCA]] = EPK_DomainA[PCA] or EPIN[EPK_DomainA[PCA]] = EPK_DomainA[PCA]
삭제
DeviceA -> DomainB : EPK_DomainB[PCB, EPK_DomainA[PCA]] …………………(C3)
DomainB는 자신에게 전송된 인증 정보가 올바른지 확인한다(C4).
DomainB : ESK_DomainA[EPK_DomainB[PCB, EPK_DoaminA[PCA]]] = PCB, EPK_DomainA[PCA]
DomainB : PC'B = PCB ……………………………………………(C4)
DomainB는 전송된 정보가 올바르면 DeviceA의 인증 정보를 MDC에 전송한다(C5). 만약, 상기의 인증 정보 확인 과정(C4)에서 인증 정보가 올바르지 않으면 인증 정보를 재생성하고 상위 관리자에 인증 요청을 수행하는 과정(C3)을 반복한다.
DomainB -> MDC : (ID_DomainB, EPK_MDC[EPK_DomainA[PCA] || ID_DomainB]) …(C5)
MDC는 DomainB 사용자에게 발급한 인증 정보로부터 생성된 정보인지 확인하고, 확인이 완료되면 DeviceA에 대한 인증을 수락한다(C6). 만약, 상기의 인증 정보 확인 과정(C6)에서 인증 정보가 올바르지 않으면 DeviceA의 인증 정보를 MDC에 전송하는 과정을 반복한다(C5).
MDC : EPK_DomainA[PCA] || IDB
MDC : PC'A = PCertA[ID_DeviceA, H(CertA || r), i] ………………(C6)
DomainB는 수락 받은 DeviceA에 대한 인증을 수락하고 DomianB에서 사용될 서비스에 대한 사용을 허락한다(C7).
이상에서 본 발명에 대한 기술 사상을 첨부 도면과 함께 서술하였지만 이는 본 발명의 가장 양호한 실시 예를 예시적으로 설명한 것이지 본 발명을 한정하는 것은 아니다. 또한, 이 기술 분야의 통상의 지식을 가진 자이면 누구나 본 발명의 기술 사상의 범주를 이탈하지 않는 범위 내에서 다양한 변형과 모방이 가능함은 명백한 사실이다.
이상에서 설명한 바와 같이 본 발명은, 종래의 유비쿼터스에서 디바이스 이동에 따른 인증을 단일 도메인에서 멀티 도메인까지 제공할 수 있도록 하였고, 이 러한 인증을 제공하기 위해 PMI(Privilege Management Infrastructure)를 이용하여 디바이스 이동에 따른 인증을 효율적으로 수행할 수 있도록 하였다. 또한, 컴퓨터 네트워크 및 이동 통신의 발전과 함께 유비쿼터스 사회로 발전하면서 많은 디바이스의 이동이 이루어지게 될 것이다. 이동하는 디바이스에 대해 원활한 인증이 이뤄질 수 있어야만 서비스 또한 효율적으로 이루어질 수 있을 것이다. 이러한 유비쿼터스 환경에서의 인증은 중요한 문제일 뿐 아니라 디바이스에 접근에 관한 중요한 해결책이 될 수 있다. 따라서, 이와 같은 단일 도메인과 멀티 도메인에서의 인증을 위한 본 발명을 통해서 유비쿼터스 사회 발전에 기여하는 효과가 있다.

Claims (4)

  1. 유비쿼터스 환경에서 각각의 디바이스에 대한 도메인 인증 방법에 있어서,
    사용자는 인증센터로부터 인증서 발급을 요청하는 제 1과정과(A1),
    인증센터는 사용자에게 속성인증서의 생성을 위한 PKI인증서를 발급하는 제 2과정과(A2),
    사용자는 인증센터로부터 발급받은 PKI인증서를 이용하여 자신의 각 디바이스에 속성인증서(Attribute Certification)를 발급하는 제 3과정과(A3),
    상기 제 3과정에서 발급된 속성인증서에 대한 사항을 인증센터에 통보하는 제 4과정(A4)을 포함하여 이루어진 사용자 및 디바이스 등록과정과(A1~A4);
    상기 제 3과정을 통해 생성한 속성인증서를 보관한 디바이스가 자신의 공간(Single Domain)으로 이동하는 경우, 이에 대한 이동 신호를 활동 공간(ASA1)에 보고를 알리는 제 5과정과(B1),
    상기 제 5과정에서 보고받은 활동 공간(ASA1)도메인은 상위의 도메인에게 이동에 대한 보고를 알리는 제 6과정과(B2),
    상기 제 6과정에서 이동하는 디바이스가 이동할 활동 공간(ASA2) 내에 정보를 전송하는 제 7과정과(B3),
    상기 제 7과정에서의 활동 공간(ASA2)은 이동 디바이스 정보를 이용하여 인증정보에 자신의 이동정보와 이전 활동 공간에서의 행위정보를 포함하여 도메인에게 전송하는 제 8과정과(B4),
    상기 제 8과정에서의 제공된 정보를 이용하여 도메인 인증정보를 확인하고 이동할 활동 공간(ASA2)에 이동 디바이스의 인증을 허락하는 제 9과정과(B5),
    상기 제 9과정에서 인증된 정보를 이동할 활동 공간(ASA2)에 제공하는 제 10과정과(B6),
    상기 제 10과정에서 도메인으로부터 제공받은 인증 정보를 확인하여 이동 디바이스의 활동 공간(ASA2)내 사용을 허락하는 제 11과정(B7)으로 이루어지는 단일 도메인에서의 인증 방법과(B1~B7);
    상기 제 3과정을 통해 생성한 속성인증서를 보관한 디바이스가 다른 사용자의 공간(Multi Domain)으로 이동하는 경우, 디바이스는 도메인에 이동신호를 보내고 자신의 공간 목록에서 도메인상의 목록을 삭제하는 제 12과정과(C1),
    도메인은 상기 제 12과정에서 제공받은 삭제 정보를 상위 관리자에 알리는 제 13과정과(C2),
    멀티 도메인에서 새로운 디바이스가 위치한 상위 관리자에 알리고 인증 요청을 수행하는 제 14과정과(C3),
    상기 제 14과정에서 제공된 인증 정보가 올바른지 확인하는 제 15과정과(C4),
    상기 제 15과정에서 인증이 올바르다고 판단되면 이동한 디바이스의 인증 정보를 상위 멀티 도메인 관리자(MDC)에게 전송하는 제 16과정과(C5),
    상기 제 16과정에서의 상위 멀티 도메인 관리자는 전송된 정보가 이동할 도메인에서 올바르게 생성된 정보인지를 확인하고 이동할 디바이스에 대한 인증을 수락하는 제 17과정과(C6),
    상기 제 17과정에서 인증 정보가 확인되면 이동 디바이스의 멀티 도메인내에 대한 사용을 허락하는 제 18과정(C7)으로 이루어지는 멀티 도메인에서의 인증 방법(C1~C7);을 포함하여 이루어지는 것을 특징으로 하는 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법.
  2. 제 1항에 있어서,
    인증정보를 확인하는 제 9과정에 있어서,
    상기의 인증정보가 정당하지 않을 경우, 이동 디바이스에 대한 인증이 이루어지지 않으며, 이동한 디바이스 자신의 정보를 도메인에게 전송하는 제 8과정으로 돌아가는 것을 특징으로 하는 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법.
  3. 제 1항에 있어서,
    인증정보를 확인하는 제 15과정에 있어서,
    상기의 인증정보가 정당하지 않을 경우, 이동 디바이스에 대한 인증이 이루어지지 않으며, 인증 정보를 재생성하고 상위 관리자에 인증 요청을 수행하는 제 14과정으로 돌아가는 것을 특징으로 하는 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법.
  4. 제 1항에 있어서,
    인증정보를 확인하는 제 17과정에 있어서,
    상기의 인증정보가 정당하지 않을 경우, 이동 디바이스에 대한 인증이 이루어지지 않으며, 이동한 디바이스의 인증 정보를 상위 도메인에게 전송하는 제 16과정으로 돌아가는 것을 특징으로 하는 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증 방법.
KR1020050121208A 2005-12-10 2005-12-10 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증방법 KR100789250B1 (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020050121208A KR100789250B1 (ko) 2005-12-10 2005-12-10 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020050121208A KR100789250B1 (ko) 2005-12-10 2005-12-10 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증방법

Publications (2)

Publication Number Publication Date
KR20070061606A KR20070061606A (ko) 2007-06-14
KR100789250B1 true KR100789250B1 (ko) 2008-01-02

Family

ID=38357334

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020050121208A KR100789250B1 (ko) 2005-12-10 2005-12-10 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증방법

Country Status (1)

Country Link
KR (1) KR100789250B1 (ko)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8621561B2 (en) 2008-01-04 2013-12-31 Microsoft Corporation Selective authorization based on authentication input attributes
US10146926B2 (en) 2008-07-18 2018-12-04 Microsoft Technology Licensing, Llc Differentiated authentication for compartmentalized computing resources

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000102072A (ja) 1998-09-21 2000-04-07 Nippon Telegr & Teleph Corp <Ntt> 移動通信方法、移動通信装置及び移動通信プログラムを記録した記録媒体
JP2004120645A (ja) 2002-09-27 2004-04-15 Matsushita Electric Ind Co Ltd 端末認証システム及び端末認証方法並びに端末認証サーバ
JP2004297292A (ja) 2003-03-26 2004-10-21 Nec Corp 無線端末、認証サーバ、無線認証情報管理システム、および、無線認証情報管理方法
KR20060024653A (ko) * 2004-09-14 2006-03-17 삼성전자주식회사 무선 네트워크에서 보안 정보를 설정하는 장치, 시스템 및그 방법
KR20060068414A (ko) * 2004-12-16 2006-06-21 삼성전자주식회사 프로파일 정보를 이용한 서비스 제공방법 및 서비스제공시스템

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000102072A (ja) 1998-09-21 2000-04-07 Nippon Telegr & Teleph Corp <Ntt> 移動通信方法、移動通信装置及び移動通信プログラムを記録した記録媒体
JP2004120645A (ja) 2002-09-27 2004-04-15 Matsushita Electric Ind Co Ltd 端末認証システム及び端末認証方法並びに端末認証サーバ
JP2004297292A (ja) 2003-03-26 2004-10-21 Nec Corp 無線端末、認証サーバ、無線認証情報管理システム、および、無線認証情報管理方法
KR20060024653A (ko) * 2004-09-14 2006-03-17 삼성전자주식회사 무선 네트워크에서 보안 정보를 설정하는 장치, 시스템 및그 방법
KR20060068414A (ko) * 2004-12-16 2006-06-21 삼성전자주식회사 프로파일 정보를 이용한 서비스 제공방법 및 서비스제공시스템

Also Published As

Publication number Publication date
KR20070061606A (ko) 2007-06-14

Similar Documents

Publication Publication Date Title
US11063928B2 (en) System and method for transferring device identifying information
CN112039909B (zh) 基于统一网关的认证鉴权方法、装置、设备及存储介质
JP5205380B2 (ja) アプリケーションおよびインターネットベースのサービスに対する信頼されるシングル・サインオン・アクセスを提供するための方法および装置
US8997196B2 (en) Flexible end-point compliance and strong authentication for distributed hybrid enterprises
US9443084B2 (en) Authentication in a network using client health enforcement framework
KR102189301B1 (ko) 블록체인 기반 보안이 강화된 클라우드 서비스 제공 시스템 및 방법
WO2018219056A1 (zh) 鉴权方法、装置、系统和存储介质
JP2017510013A (ja) ジャスト・イン・タイムでプロビジョニングされるアカウントによってネットワーク・セキュリティを設ける技法
JP2017508194A (ja) 生体認証プロトコル標準のためのシステムおよび方法
CN105430014B (zh) 一种单点登录方法及其系统
Emam Additional authentication and authorization using registered email-ID for cloud computing
CN103152179A (zh) 一种适用于多应用系统的统一身份认证方法
CN102571873B (zh) 一种分布式系统中的双向安全审计方法及装置
CN108881218B (zh) 一种基于云存储管理平台的数据安全增强方法及系统
KR20060063348A (ko) 인터넷에서 인증 ａｓｓｅｒｔｉｏｎ을 이용한 접속시간제어 방법
Bazaz et al. A review on single sign on enabling technologies and protocols
CN102571874B (zh) 一种分布式系统中的在线审计方法及装置
CN104113412A (zh) 基于PaaS平台的身份认证方法以及身份认证设备
CN105379176B (zh) 用于验证scep证书注册请求的系统和方法
KR100789250B1 (ko) 속성 인증서를 이용한 유비쿼터스 디바이스 도메인 인증방법
CN107395577A (zh) 一种大型电力企业薪酬安全系统
Bhargava et al. Privacy in cloud computing through identity management
Binu et al. A mobile based remote user authentication scheme without verifier table for cloud based services
KR101404537B1 (ko) 패스워드 자동 변경을 통한 서버 접근 통제 시스템 및 그 방법
Lee et al. Authentication for single/Multi domain in ubiquitous computing using attribute certification

Legal Events

Date Code Title Description
A201 Request for examination
N231 Notification of change of applicant
E902 Notification of reason for refusal
E90F Notification of reason for final refusal
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20121130

Year of fee payment: 6

FPAY Annual fee payment

Payment date: 20131202

Year of fee payment: 7

FPAY Annual fee payment

Payment date: 20141216

Year of fee payment: 8

FPAY Annual fee payment

Payment date: 20151124

Year of fee payment: 9

FPAY Annual fee payment

Payment date: 20161206

Year of fee payment: 10

FPAY Annual fee payment

Payment date: 20161221

Year of fee payment: 11

FPAY Annual fee payment

Payment date: 20181221

Year of fee payment: 12

FPAY Annual fee payment

Payment date: 20191111

Year of fee payment: 13