KR100986047B1 - 권한 인증 시스템 및 방법 - Google Patents

Abstract

본 발명은 권한위양에 관련된 권한 인증서들이 체인을 이루어 형성된 권한 위양 경로를 이용하여 사용자 권한의 유효여부를 검증하는 권한 인증시스템에 관한 것으로서, 사용자 권한 검증요청에 대한 서비스를 제공하기 위한 사용자 시스템과, 복수의 캐시 엔트리와 이를 분류하는 인덱싱 노드로 이루어진 검증캐시를 이용하여 상기 사용자 시스템으로부터의 사용자 권한 검증요청을 수행하는 검증서버와, 상기 검증서버로부터의 검증요청에 응답하기 위하여 복수의 속성 인증서들을 저장하는 디렉토리 서버를 포함하고, 상기 검증캐시는 상기 복수의 속성인증서들에 대한 검증결과를 직렬화한 정책 속성 인증서를 캐싱하여줌으로써, 사용자 권한 검증에 소요되는 시간을 단축시켜 사용자 대기시간을 줄이고 서버로의 권한 검증을 요청하는 수 및 계산량 부하를 줄일 수 있는 효과가 있다.

권한인증경로, 검증서버, 속성 인증서, 캐시 엔트리

Description

권한 인증 시스템 및 방법 {A SYSTEM OF PRIVILEGE VERIFICATION AND METHOD}

본 발명은 권한 인증 시스템 및 방법에 관한 것으로서, 특히 사용자 시스템의 권한 행사 요청에의 응답시간을 단축시키기 위한 권한 인증 시스템 및 방법을 제공하기 위한 것이다.

일반적으로, 임의 사용자가 자신이 부여받은 권한을 행사하기 위해서는 유효한 권한을 올바른 다른 사용자로부터 올바른 방법으로 부여받아 이것이 유효함을 권한을 행사할 때마다 검증받아야 한다.

하나의 권한을 부여받기 위해서는 권한의 원천 부여자(SOA)로부터 일반 기업체의 조직 구성과 유사한 구조로 이루어진 일련의 경로를 통해 권한을 위양받아야 한다.

따라서, 이 권한 위양경로에 있는 중간 사용자가 해당 권한에 대해 개인 신원 및 위양 권한을 소유하는지에 대한 검증이 추가로 필요하게 되고, 이것은 하나 의 권한 행사를 위해서 여러 권한 인증서의 검증이 매번 이루어져야 하는 것을 의미하며 이 때문에 인증서의 서명 검증 횟수 증가에 의한 계산량 증가로 권한 검증에 상당한 시간을 소모하게 된다.

따라서, 이의 가속을 위해서 검증 서버를 두고 검증 서버에서 이전의 검증 결과를 캐싱함으로써 소요 시간을 단축시킨다.

하지만, 이러한 일반적인 캐시에서는 각 인증서의 상관관계를 고려하지 않고 개별 인증서의 검증 결과만을 캐싱함으로써 검증이 필요한 경로 내의 모든 인증서에 대해서 캐시 검색과 레보케이션(revocation) 정보의 존재 여부를 검색해야 하므로 인증서의 경로가 길어지게 되면 캐시의 검색 회수도 늘어나게 되어 사용자 대기시간은 그만큼 길어지게 되고 검증 서버의 부담 또한 늘어나게 된다.

본 발명은 상기한 문제점을 해결하기 위한 것으로, 이루고자 하는 기술적 과제는 다음과 같다.

사용자가 위양된 권한을 행사하려 할 때 권한에 대한 검증을 매번 수행해야 한다. 이때 권한 위양경로에 포함되는 모든 인증서를 검증하기 위해서는 각 인증서의 서명 검증으로 인해 많은 CPU시간을 소모해야 하기 때문에 매 요청마다 검증 시간이 길어지게 된다.

이러한 단점을 보완하기 위해서 이전에 검증된 각 인증서의 검증 결과를 검증 서버의 캐시에 캐싱하고 권한 위양경로 내의 모든 인증서에 대해서 검증 서버의 캐시에 검증 결과를 조회하는 것으로 검증을 수행하게 된다.

또한, 본 발명은 이를 더욱 가속하기 위해서 검증 서버에서 검증 결과를 저장할 때 각 인증서의 검증 결과를 개별적으로 저장하는 것이 아니라, 권한 위양경로에 대한 검증 결과를 하나의 단위로 삼아 저장함으로써 각 권한 검증 요청에 대해서 권한 위양경로 내의 모든 인증서에 대한 검증을 개별적으로 인증서의 수만큼 반복해서 수행하지 않고 최소의 검증 요청을 통해서 바로 결과를 회신할 수 있도록 하기 위한 것이다.

이러한 기술적 과제를 달성하기 위한 본 발명에 따른 권한 인증 시스템 및 방법은, 권한위양에 관련된 권한 인증서들이 체인을 이루어 형성된 권한 위양 경로를 이용하여 사용자 권한의 유효여부를 검증하는 권한 인증시스템에 있어서, 사용자 권한 검증요청에 대한 서비스를 제공하기 위한 사용자 시스템과, 복수의 캐시 엔트리와 이를 분류하는 인덱싱 노드로 이루어진 검증캐시를 이용하여 상기 사용자 시스템으로부터의 사용자 권한 검증요청을 수행하는 검증서버와, 상기 검증서버로부터의 검증요청에 응답하기 위하여 복수의 속성 인증서들을 저장하는 디렉토리 서버를 포함하고, 상기 검증캐시는 상기 복수의 속성인증서들에 대한 검증결과를 직렬화한 정책 속성 인증서를 캐싱하는 것을 특징으로 한다.

상기 검증서버는 상기 디렉토리 서버로부터 권한 위양 경로에 사용자의 속성인증서들이 포함되는 지 여부를 검증하는 것이 바람직하다.

상기 캐시 엔트리는 해당 엔트리의 권한 위양경로의 전체 혹은 일부분을 구별하기 위하여 속성 인증서의 시리얼 넘버와 경로가 끝나는 속성 인증서의 시리얼 넘버를 가지는 제1 패스필드와, 상기 권한 위양경로에 속하는 모든 속성인증서들의 시리얼 넘버를 가지는 제2 패스필드와, 상기 권한 위양경로에 속하는 모든 속성인증서들의 유효기간을 나타내는 제3 패스필드와, 해당 엔트리가 마지막으로 유효하게 사용된 시점을 나타내는 타임스탬프를 가지는 제4 패스필드와, 상기 권한 위양경로에 속한 모든 속성인증서들의 권한 해제 정보를 기록하는 제5 패스필드를 포함할 수 있다.

상기 권한 위양 경로의 시작은 속성 인증서와의 경로 길이가 가장 짧은 쪽의 속성 인증서이고, 상기 권한 위양 경로의 끝은 경로의 인증서중 가장 먼 곳의 속성 인증서인 것이 바람직하다.

상기 캐시 엔트리는 상기 캐시에 원하는 권한 검증 정보가 캐싱되어 있지 않는 경우 해당 권한 위양 경로를 추적하면서 권한 위양에 대한 각 속성 인증서의 유효성 검증이 완료될 때 마다 생성되는 것이 바람직하다.

상기 검증서버는 상기 캐시에 원하는 권한 검증정보가 캐싱된 경우 권한 위양 경로에 포함된 모든 권한 인증서에 대해 엔트리의 마지막 검증이 이루어진 타임스탬프 이후부터 검증 시점까지의 권한 해제 여부를 검색하는 것이 바람직하다.

또한, 상기와 같이 구성된 권한 인증 시스템을 이용한 권한 인증 방법에 있어서, 사용자 시스템이 제1 사용자 권한 검증요청을 암호화하여 검증 서버에 전송하는 제1 단계와, 상기 검증서버가 복수의 속성인증서들이 저장된 디렉토리 서버로부터 사용자 권한 위양 경로에 제1 사용자의 속성인증서들이 포함되는 지 여부를 검증하고, 상기 사용자 권한 위양 경로에 포함된 제1 사용자의 속성인증서들을 회수하는 제2 단계와, 상기 검증서버가 상기 회수된 제1 사용자의 속성인증서들을 직렬화한 정책 속성 인증서를 캐싱하고, 상기 제1 사용자의 속성 인증서들의 시리얼 넘버(serial number)와 캐시를 이용하여 상기 제1 사용자의 권한 위양경로의 유효성을 검증하는 제3 단계와, 사용자 시스템이 상기 검증서버로부터 검증된 상기 제1 사용자의 권한 위양 경로의 검증결과를 수신하는 제4 단계를 포함할 수 있다.

상기 제3 단계는 제1 사용자 권한 위양 경로의 각 속성 인증서에 대해 해당 인증서로 시작하는 권한 위양 경로의 유효성을 검증하고, 상기 제1 사용자의 속성 인증서들의 시리얼 넘버(serial number)와 캐시가 없으면 개별 인증서를 검증한 뒤 상기 권한 위양 경로의 다음 인증서를 시작으로 하는 경로에 대해서 유효성을 검증하는 것이 바람직하다.

상기 제3 단계는 상기 제1 사용자의 속성 인증서들에 대한 검증결과를 도출한 후에 CRL 검사를 통한 권한 해제 여부를 검사하는 단계를 더 포함할 수 있다.

상기와 같이 본 발명에 따른 권한 인증 시스템 및 방법은 검증캐시로 하여금 상기 복수의 속성인증서들에 대한 검증결과를 직렬화한 정책 속성 인증서를 캐싱하여줌으로써, 사용자 권한 검증에 소요되는 시간을 단축시켜 사용자 대기시간을 줄이고 서버로의 권한 검증을 요청하는 수 및 계산량 부하를 줄일 수 있는 효과가 있다.

이하, 상기와 같이 구성된 권한 인증 시스템 및 방법에 대하여 도면을 참조하여 상세하게 설명하기로 한다.

도 1은 본 발명에 따른 권한 인증시스템의 전체 구성을 나타내는 도면이고, 도 2는 본 발명에 따른 권한 인증시스템의 전체 구성을 상세히 나타내는 도면이며, 도 3은 본 발명에 따른 권한 인증시스템의 구성중 검증 서버중 캐시 엔트리의 구조를 나타내는 도면이고, 도 4는 본 발명의 일 실시예에 따른 권한 인증경로를 나타내는 알고리즘을 유사부호(pseudocode)로 표현한 도이며, 도 5 및 도 6은 본 발명에 다른 유효한 권한 인증 경로에 대한 검증과정을 나타내는 도이고, 도 7은 본 발명에 따른 권한 인증 방법을 나타내는 순서도이다.

도 1에 나타난 바와 같이, 본 발명에 따른 권한 인증시스템은 사용자 권한 검증요청에 대한 서비스를 제공하기 위한 사용자 시스템(120)과, 복수의 캐시 엔트리와 이를 분류하는 인덱싱 노드로 이루어진 검증캐시(110)를 이용하여 상기 사용자 시스템(120)으로부터의 사용자 검증 요청을 실제로 수행하기 위한 검증서버(Verification Server, 100)와, 상기 검증서버(100)로부터의 검증 요청에 응답하기 위해 필요한 복수의 속성 인증서(140)들을 저장하기 위한 디렉토리 서버(Directory Server, 130)를 포함하여 구성된다.

여기서, 상기 검증캐시(110)는 본 발명에 의해 구현된 검증 요청을 가속시키는 기능을 하며, 이를 위하여 디렉토리 서버(130)로부터 권한 이양경로에 사용자의 속성 인증서들이 포함되는지 여부를 검증하여 공통된 속성인증서들의 정보를 회수 한다.

또한, 사용자가 권한을 행사하고자 할 때 해당 권한이 정당하게 부여된 것인지와 유효한지에 대한 검증을 검증 서버(100)로 위임하여 처리하기 위하여 이전의 검증 결과를 권한 위양경로를 기반으로 캐싱하여줌으로써, 기존의 개별 인증서의 검증 결과에 대한 캐싱에 비해 같은 개수의 엔트리(entry)를 가지고 보다 빠른 검증을 가능하게 하여준다.

한편, 본 발명과 관련된 종래의 기술로는 IEEE Securecomm and Workshops에서 2006년도에 발표된 논문 “Denial of Service Attacks and Defenses in Decentralized Trust Management”와 미국 특허 US 6,301,658 B1 “Method and system for authenticating digital certificates issued by an Authentication Hierarchy”가 있다.

첫 번째의 경우 검증 서버로 집중되는 계산 부하를 DoS 어택(Denial of Service attack)의 관점에서 바라보고 과부하에 의한 서버 기능 상실의 문제점을 해결하기 위해서 데이터 베이스(database)를 사용한 단일 인증서 기반의 캐시(cache)를 제안한 것이다.

이는 DoS 어택을 방지하는 것을 목적으로 하고 인증서 체인 검증 시스템의 일부로서 캐시를 사용하도록 하여 계산량의 감소를 꾀함으로써 효율적으로 공격을 방어하는 효과를 거두도록 한 것이다.

이에 대하여, 본 발명은 캐시를 사용한다는 점에서는 첫 번째 기술과 유사한 점이 존재하나 단일 인증서의 검증 결과를 바탕으로 캐싱을 하는 것이 아니라 검증 하고자 하는 권한이 유효하기 위해서 필요한 모든 인증서의 검증 결과를 권한 위양경로 단위로 묶어 이것을 바탕으로 캐싱을 하여준다는 점에서 차이가 있다.

두 번째의 경우 검증 서버가 공개 키 인증서 저장소와 검증 캐시를 관리하면서 검증된 인증서와 인증서에 대한 권한 해제(revocation, 이하 레보케이션이라 한다.) 리스트를 엔트리에 포함시켜 관리한다. 각 캐시 엔트리는 해당 인증서를 이용하여 최종 인증이 이루어진 시점의 타임스탬프(timestamp)를 가지고 있으며 공개 키 인증서의 발급 경로를 따라 이동하며 재귀 프로시저를 사용하여 점진적으로 캐시를 업데이트한다.

본 발명은 서버와 저장소, 캐시로 구성된 점에서는 유사하나 그 대상이 발급경로가 직선적인 공개 키 인증서가 아니라 더 복잡한 발급경로를 갖는 속성 인증서들을 정책 속성 인증서(Policy Attribute Certificate)를 사용하는 경우에 대해서 직렬화한 것에서 차이점을 보인다.

또한, 캐시의 각 엔트리는 개별 인증서의 검증 정보를 담고 있는 것이 아닌 권한 위양경로의 전체 또는 권한 위양 부경로로 표현되는 경로의 일부분에 속한 모든 속성 인증서의 검증 결과로 도출되는 검증 대상 권한의 유효한 검증 결과 정보를 담고 있는 점에 차이가 있다.

그리고, 본 발명은 각 속성 인증서의 CRL(Certificate Revocation List) 검색을 통한 레보케이션(revocation) 여부의 검사를 개별 인증서의 검증 시점의 마지막 과정이 아닌 경로 안의 모든 인증서에 대해서 CRL 검색을 제외한 모든 검증 과정이 끝난 이후로 미루어 한꺼번에 수행하는 점에서 차이를 보인다.

도 2에 나타난 바와 같이, 본 발명에 따른 권한 인증 시스템의 전체 구성을 상세하게 설명하자면, 우선 공통 권한 위양 부경로(common privilege delegation subpath, 220)는 권한 위양 경로(230)에 속한 인증서들의 체인(chain)의 일부분을 가리킨다.

즉, 한 개체가 행사할 수 있는 권한을 다른 개체에게 위양함으로써 다른 개체로 하여금 해당 권한을 행사할 수 있도록 하는 권한 위양에 의해 관련된 권한 인증서들이 체인을 이루어 권한 위양경로(230)를 이루게 되는데, 하위로 갈수록 공통되는 권한 위양경로에서 파생된 새로운 경로가 생성되게 된다.

이때, 두 개 이상의 하위 속성 인증서가 공통으로 포함하는 권한 위양경로의 일부분을 가리켜 공통 권한 위양 부경로(220)라 한다.

도 2에서 사용자 #1(210)과 #2(211)는 SOA(240)-커맨더#2(241)-커맨더 #1(242)에 의해서 권한을 위양받았다. 이 때 두 사용자는 커맨더 #1-커맨더 #2를 자신의 권한 위양경로에 공통적으로 포함하게 되므로 이것이 공통 권한 위양 부경로(220)가 된다.

이는 권한 검증을 해 나아가는 도중 나머지 인증서들을 모두 포함하는 부경로에 대한 유효한 검증 정보가 존재할 경우 부경로 내의 인증서들에 대해서는 검증이 이미 수행되었음을 증명하므로 레보케이션 여부의 검색만을 수행하게 되어 전체 검증 시간을 단축시키게 된다.

각 캐시 엔트리는 캐시에 원하는 권한에 대한 검증 정보가 캐싱되어 있지 않을 때 해당 권한 위양경로를 추적하면서 권한 위양에 대한 각 속성 인증서(사용자, 커맨더 #1, #2)의 유효성 검증이 완료될 때마다 생성된다. 따라서 만약 사용자 #1의 유효한 권한을 검증할 때 사용자 #1과 해당 권한 인증서가 속한 권한 위양경로의 인증서들에 대한 엔트리가 생성되어 있지 않을 경우에 새로이 생성된 엔트리의 개수는 (사용자#1, SOA), (커맨더#1, SOA), (커맨더#2, SOA)로 구분되는 공통 권한 위양 부경로의 개수와 같이 3개가 된다.

즉, 이는 최종적으로 생성되는 엔트리가 각 권한 인증서의 개별 검증 결과를 바탕으로 유효한 부경로를 각각 하나의 엔트리로 생성하는 것과 같은 수만큼 생성된다는 것이다.

그리하여 캐시 엔트리(260)가 존재하지 않는 것은 대상 권한이 검증이 되지 않았거나 혹은 이미 유효하지 않은 권한임을 의미한다.

생성된 캐시 엔트리(260)를 사용하여 권한 검증을 수행하는 방법에 대하여는 도 4와 같은 알고리즘의 유사부호(pseudocode)들로서 나타낼 수 있는 바, 이에 대하여는 도 4에서 설명하기로 한다.

한편, 캐시(cashe, 200)는 해쉬 테이블(hash table, 270)로 구성되고, 사용자 권한 위양경로(230)에 포함된 인증서들의 검증 결과(280)를 담고 있는 캐시 엔트리(cashe entry, 260)와, 이를 분류하는 인덱스 노드(index node, 250)들이 리스트로 연결된 구조를 가진다.

여기서, 해싱 프로시저(hashing procedure, 미도시)에 의해서 엔트리의 저장위치 결정과 검색이 이루어진다.

각 인덱스 엔트리(index entry)는 사용되는 해쉬 함수(hash function)의 결 과값의 전체 혹은 끝부분의 지정된 길이만큼의 비트(bit)값을 사용하여 인덱싱(indexing)되며, 충돌(collision)을 해결하기 위한 연결 리스트의 시작 노드의 역할을 한다.

여기서, 각 엔트리(entry)의 개수는 사용되는 해쉬 함수의 결과물의 비트수 또는 사용자의 설계에 따라 달라지며, 일반적으로 N개의 엔트리를 인덱싱하기 위해서 LSB(Least Significant bit)의 log₂N 비트를 사용한다.

또한, 도 3에 나타난 바와 같이, 각 캐시 엔트리(300)는 다섯 가지의 필드로 구성되어 있다.

우선, 제1 패스필드(DELEGATION_PATH, 310)는 해당 엔트리가 담고 있는 권한 위양경로의 전체 혹은 일부분을 구별하기 위하여 경로가 시작되는 속성 인증서의 시리얼 넘버(serial number)와 경로가 끝나는 속성 인증서의 시리얼 넘버(serial number)를 가지고 있다.

여기에서 권한 위양경로의 시작은 사용자 인증서와의 경로 길이가 보다 짧은 쪽의 인증서를 뜻하고 권한 위양경로의 끝은 경로의 인증서 중 가장 먼 곳의 인증서를 의미한다.

또한, 제2 패스필드(CERTS_IN_PATH, 320)는 위의 권한 위양경로에 속하는 모든 속성 인증서들의 시리얼 넘버들을 담고 있다. 이는 해당 경로에 속한 모든 인증서를 검사해야 할 경우를 대비하기 위한 것이다.

그리고, 제3 패스필드(VALIDITY, 330)는 해당 엔트리의 유효기간을 나타내는 필드로서 권한 위양경로에 속하는 모든 속성 인증서가 유효한 기간을 표시하기 위한 필드이다.

이는 경로 내의 모든 속성 인증서의 유효기간의 교집합으로서 표시되는 기간으로 하나의 캐시 엔트리가 유효하기 위해서는 경로내의 모든 연관된 속성 인증서가 유효해야 하기 때문에 모든 인증서가 유효한 기간이 해당 엔트리의 유효기간으로서 사용된다.

제4 패스필드(LAST_VALID_T, 340)는 해당 엔트리가 마지막으로 유효하게 사용된 시점의 타임 스탬프를 담고 있는 필드이다. 엔트리가 사용되고 나서 캐시에 남아있다는 것은 해당 엔트리가 담고 있는 권한 정보가 사용된 시점까지는 유효하다는 것을 의미하기 때문에, 그 이전에 발급된 레보케이션 정보는 확인하지 않아도 된다는 것을 의미한다.

이 필드는 확인할 필요가 없는 레보케이션 정보를 확인하지 않기 위해서 엔트리가 유효했던 최종 업데이트(update) 시간을 담고 있게 된다.

마지막으로, 제 5 패스필드(CRLDIST_POINT, 350)는 권한 위양경로에 속한 모든 속성 인증서들의 레보케이션 정보가 기록되는 위치들을 가리킨다.

경로에 속한 각 인증서들은 해당 인증서의 유효기간이 지나지 않더라도 서명 키 노출 등에 의해서 임의 시점에 강제적으로 레보케이션될 수 있기 때문에, 캐시 엔트리의 유효함을 확인하기 위해서 반드시 이를 확인해야 하므로 이 필드를 가지고 있게 된다.

도 4에 나타난 바와 같이, 생성된 캐시 엔트리를 사용하여 권한 검증을 수행하는 알고리즘은 검증되어야 하는 권한의 위양경로에 속한 모든 속성 인증서들의 시리얼 넘버와 캐시를 이용하여 권한 위양경로의 각 속성 인증서에 대해 해당 인증서로 시작하는 권한 위양경로의 유효성을 검증하고, 없으면 개별 인증서를 검증한 뒤 경로의 다음 인증서를 시작으로 하는 경로에 대해서 유효성을 검증하는 과정을 재귀적으로 수행한다.

그리고, 그 결과를 이용하여 새로운 엔트리를 삽입하거나 삭제하고 기존의 엔트리를 업데이트한다.

또한, 알고리즘에 의해서 레보케이션 여부 검색을 제외한 경로 검증을 도 4의 알고리즘대로 수행하고, 경로가 캐싱된 시점에서 유효했다고 판정되었을 경우에는 경로에 포함된 모든 권한 인증서에 대해서 엔트리의 마지막 검증이 이루어진 타임 스탬프이후 시점부터 현재 검증 시점까지의 레보케이션 여부를 검사하는 지연 델타 레보케이션 체크(delayed delta revocation check)를 수행한다.

이는 해당 캐시 엔트리가 캐싱된 시점에서의 검증 정보를 담고 있으므로, 이후 기간의 검사를 통해 이 정보가 현재에도 유효한지를 보장해주는 역할을 함과 동시에, 경로의 유효성이 레보케이션 여부를 검사하기 이전에 이미 상실된 경우 불필요한 레보케이션 여부 검색 절차를 수행하지 않도록 하기 위함이다.

도 5 및 도 6에 나타난 바와 같이, 본 발명에 따른 유효한 권한 인증 경로에 대한 검증과정중 도 5에 나타난 지연 델타 레보케이션 체크(delayed delta revocation check)는 유효한 경로에 대한 검증 결과 정보를 포함하는 캐시 엔트리에 대한 캐시 조회 시점에서의 일관성(consistency)을 보장하기 위한 것이다.

권한 위양경로에 포함된 모든 권한 인증서의 검증과정에 포함되는 레보케이션 체크 과정(610)을 해당 과정을 제외한 다른 모든 검증과정(620)이 끝날 때까지로 미루어 두었다가 마지막(600)에 수행한다.

이는 각 속성 인증서의 레보케이션 정보를 담고 있는 CRL(Certificate Revocation List)을 가리키는 CRL 배포 시점(distribution point)가 같은 경우가 많아 중복 검색을 피할 수 있기 때문이다.

또한 캐싱된 엔트리에 포함된 검증 정보는 해당 엔트리가 캐싱된 시점 또는 가장 최근에 유효성이 갱신된 시점까지 유효하다고 볼 수 있다.

그러므로 검증 서버가 해당 캐시 엔트리의 유효성을 검증하기 위해서는 검증 정보에의 유효성 변경 여부를 캐싱된 시점 혹은 캐시에 존재하는 엔트리가 마지막으로 갱신된 시점부터 현재 검증 시점 사이의 기간에서의 변동 여부만을 검사하는 것으로 현재 검증 시점에서의 유효 여부를 확정 지을 수 있기 때문이다.

도 6에 나타난 바와 같이 이를 간단한 예로서 설명하자면, 이미 캐싱되어 있는 엔트리의 검증 정보가 가리키는 유효한 권한을 다시 검증하려 시도(520)할 때, 마지막 검증 시도가 있었던 시점(510)까지는 해당 엔트리가 담고 있는 권한 정보가 유효하다는 것을 엔트리의 존재가 알려주기 때문에, 세 번째 검증시도(520)에서는 마지막 검증에 의한 업데이트 이후 기간(530)에 대해서만 레보케이션 여부를 검사 하고, 해당 기간 안에 새로 발급된 관련 레보케이션 정보가 없으면 검증을 시도한 시점에서 역시 유효하다고 결정할 수 있다.

이와 같이 알고리즘 1(Algorithm 1)에 의한 경로 검증 및 지연 델타 레보케이션 체크를 통해 레보케이션 정보 검사를 이용하면, 사용자의 권한 검증의 과정은 시스템을 구성하는 각 개체 사이에서 도 7과 같이 단순한 프로토콜에 의해서 수행될 수 있어 사용자와 사용자 시스템 입장에서 간소화된 권한 인증 절차를 통해 결과를 얻어낼 수 있도록 하여준다.

구체적으로 살펴보면, 권한 인증 시스템을 이용한 권한 인증 방법은, 사용자 시스템이 제1 사용자 권한 검증요청(S10)을 암호화하여 검증 서버에 전송하는 제1 단계(S20)와, 상기 검증서버가 복수의 속성인증서들이 저장된 디렉토리 서버로부터 사용자 권한 위양 경로에 타사용자(이하, 제1 사용자라 함)의 속성인증서들이 포함되는 지 여부를 검증하고, 상기 사용자 권한 위양 경로에 포함된 제1 사용자의 속성인증서들을 회수하는 제2 단계(S30)와, 상기 검증서버가 상기 회수된 제1 사용자의 속성인증서들을 직렬화한 정책 속성 인증서를 캐싱하고, 상기 제1 사용자의 속성 인증서들의 시리얼 넘버(serial number)와 캐시를 이용하여 상기 제1 사용자의 권한 위양경로의 유효성을 검증하는 제3 단계(S35)와, 사용자 시스템이 상기 검증서버로부터 검증된 상기 제1 사용자의 권한 위양 경로의 검증결과를 수신하는 제4 단계(S40)를 포함하여 구성된다.

여기서, 상기 제3 단계(S35)는 제1 사용자 권한 위양 경로의 각 속성 인증서에 대해 해당 인증서로 시작하는 권한 위양 경로의 유효성을 검증하고, 제1 사용자의 속성 인증서들의 시리얼 넘버(serial number)와 캐시가 없으면 개별 인증서를 검증한 뒤 상기 권한 위양 경로의 다음 인증서를 시작으로 하는 경로에 대해서 유효성을 검증하게 된다.

또한, 상기 제3 단계(S35)는 상기 제1 사용자의 속성 인증서들에 대한 검증결과를 도출한 후에 CRL 검사를 통한 레보케이션 여부를 검사하는 단계(미도시)를 더 거치게 된다.

상기와 같이 구성된 본 발명에 따른 권한 인증시스템 및 방법을 이용하여 임의 사용자가 특정 권한을 행사하려 할 때 해당 권한이 사용자에게 있음을 검증 캐시를 사용하여 검증하는 과정을 가속함으로써 검증 서버의 계산량 및 요청 처리 부담을 줄이고 사용자 대기 시간을 단축시킬 수 있게 되는 것이다.

이상에서 보는 바와 같이, 본 발명이 속하는 기술 분야의 당업자는 본 발명이 그 기술적 사상이나 필수적 특징을 변경하지 않고서 다른 구체적인 형태로 실시될 수 있다는 것을 이해할 수 있을 것이다. 그러므로 이상에서 기술한 실시 예들은 모든 면에서 예시적인 것이며 한정적인 것이 아닌 것으로서 이해해야만 하고, 본 발명의 범위는 상기 상세한 설명보다는 후술하는 특허청구범위에 의하여 나타내어지며, 특허청구범위의 의미 및 범위 그리고 그 등가개념으로부터 도출되는 모든 변경 또는 변형된 형태가 본 발명의 범위에 포함되는 것으로 해석되어야 한다.

도 1은 본 발명에 따른 권한 인증시스템의 전체 구성을 나타내는 도면,

도 2는 본 발명에 따른 권한 인증시스템의 전체 구성을 상세히 나타내는 도면,

도 3은 본 발명에 따른 권한 인증시스템의 구성중 검증 서버중 캐시 엔트리의 구조를 나타내는 도면,

도 4는 본 발명의 일 실시예에 따른 권한 인증경로를 나타내는 알고리즘을 유사부호(pseudocode)로 표현한 도,

도 5 및 도 6은 본 발명에 다른 유효한 권한 인증 경로에 대한 검증과정을 나타내는 도,

도 7은 본 발명에 따른 권한 인증 방법을 나타내는 순서도이다.

Claims (9)

1. 권한위양에 관련된 권한 인증서들이 체인을 이루어 형성된 권한 위양 경로를 이용하여 사용자 권한의 유효여부를 검증하는 권한 인증시스템에 있어서,

   사용자 권한 검증요청에 대한 서비스를 제공하기 위한 사용자 시스템;

   복수의 캐시 엔트리와 이를 분류하는 인덱싱 노드로 이루어진 검증캐시를 이용하여 상기 사용자 시스템으로부터의 사용자 권한 검증요청을 수행하는 검증서버; 및

   상기 검증서버로부터의 검증요청에 응답하기 위하여 복수의 속성 인증서들을 저장하는 디렉토리 서버;를 포함하고,

   상기 검증캐시는 상기 복수의 속성인증서들에 대한 검증결과를 직렬화한 정책 속성 인증서를 캐싱하는,

   권한 인증 시스템.
2. 제1항에 있어서,

   상기 검증서버는 상기 디렉토리 서버로부터 권한 위양 경로에 사용자의 속성인증서들이 포함되는 지 여부를 검증하는, 권한 인증 시스템.
3. 제1항에 있어서,

   상기 캐시 엔트리는 해당 엔트리의 권한 위양경로의 전체 혹은 일부분을 구별하기 위하여 속성 인증서의 시리얼 넘버와 경로가 끝나는 속성 인증서의 시리얼 넘버를 가지는 제1 패스필드;

   상기 권한 위양경로에 속하는 모든 속성인증서들의 시리얼 넘버를 가지는 제2 패스필드;

   상기 권한 위양경로에 속하는 모든 속성인증서들의 유효기간을 나타내는 제3 패스필드;

   해당 엔트리가 마지막으로 유효하게 사용된 시점을 나타내는 타임스탬프를 가지는 제4 패스필드; 및

   상기 권한 위양경로에 속한 모든 속성인증서들의 권한 해제 정보를 기록하는 제5 패스필드를 포함하는, 권한 인증시스템.
4. 제3항에 있어서,

   상기 권한 위양 경로의 시작은 속성 인증서와의 경로 길이가 가장 짧은 쪽의 속성 인증서이고, 상기 권한 위양 경로의 끝은 경로의 인증서중 가장 먼 곳의 속성 인증서인, 권한 인증 시스템.
5. 제1항에 있어서,

   상기 캐시 엔트리는 상기 캐시에 원하는 권한 검증 정보가 캐싱되어 있지 않는 경우 해당 권한 위양 경로를 추적하면서 권한 위양에 대한 각 속성 인증서의 유효성 검증이 완료될 때 마다 생성되는, 권한 인증 시스템.
6. 제1항에 있어서,

   상기 검증서버는 상기 캐시에 원하는 권한 검증정보가 캐싱된 경우 권한 위양 경로에 포함된 모든 권한 인증서에 대해 엔트리의 마지막 검증이 이루어진 타임스탬프 이후부터 검증 시점까지의 권한 해제 여부를 검색하는, 권한 인증 시스템.
7. 제1항에 따른 권한 인증 시스템을 이용한 권한 인증 방법에 있어서,

   사용자 시스템이 제1 사용자 권한 검증요청을 암호화하여 검증 서버에 전송하는 제1 단계;

   상기 검증서버가 복수의 속성인증서들이 저장된 디렉토리 서버로부터 사용자 권한 위양 경로에 제1 사용자의 속성인증서들이 포함되는 지 여부를 검증하고, 상기 사용자 권한 위양 경로에 포함된 제1 사용자의 속성인증서들을 회수하는 제2 단계;

   상기 검증서버가 상기 회수된 제1 사용자의 속성인증서들을 직렬화한 정책 속성 인증서를 캐싱하고, 상기 제1 사용자의 속성 인증서들의 시리얼 넘버(serial number)와 캐시를 이용하여 상기 제1 사용자의 권한 위양경로의 유효성을 검증하는 제3 단계; 및

   사용자 시스템이 상기 검증서버로부터 검증된 상기 제1 사용자의 권한 위양 경로의 검증결과를 수신하는 제4 단계를 포함하는, 권한 인증 방법.
8. 제7항에 있어서,

   상기 제3 단계는 제1 사용자 권한 위양 경로의 각 속성 인증서에 대해 해당 인증서로 시작하는 권한 위양 경로의 유효성을 검증하고, 상기 제1 사용자의 속성 인증서들의 시리얼 넘버(serial number)와 상기 캐싱된 정책 속성 인증서가 없으면 개별 인증서를 검증한 뒤 상기 권한 위양 경로의 다음 인증서를 시작으로 하는 경로에 대해서 유효성을 검증하는, 권한 인증 방법.
9. 제7항에 있어서,

   상기 제3 단계는 상기 제1 사용자의 속성 인증서들에 대한 검증결과를 도출한 후에 CRL 검사를 통한 권한 해제 여부를 검사하는 단계를 더 포함하는, 권한 인증 방법.

Images