KR101392537B1 - 사용자 설정 기억을 이용한 비밀번호 인증 방법 - Google Patents

사용자 설정 기억을 이용한 비밀번호 인증 방법 Download PDF

Info

Publication number
KR101392537B1
KR101392537B1 KR1020130105271A KR20130105271A KR101392537B1 KR 101392537 B1 KR101392537 B1 KR 101392537B1 KR 1020130105271 A KR1020130105271 A KR 1020130105271A KR 20130105271 A KR20130105271 A KR 20130105271A KR 101392537 B1 KR101392537 B1 KR 101392537B1
Authority
KR
South Korea
Prior art keywords
password
user
displayed
imaginary
extracted
Prior art date
Application number
KR1020130105271A
Other languages
English (en)
Inventor
김동순
김선영
Original Assignee
김선영
김동순
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 김선영, 김동순 filed Critical 김선영
Priority to KR1020130105271A priority Critical patent/KR101392537B1/ko
Application granted granted Critical
Publication of KR101392537B1 publication Critical patent/KR101392537B1/ko
Priority to PCT/KR2014/004536 priority patent/WO2015034160A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0846—Network architectures or network communication protocols for network security for authentication of entities using passwords using time-dependent-passwords, e.g. periodically changing passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computing Systems (AREA)
  • Telephone Function (AREA)

Abstract

본 발명은 독립형 one time password(OTP)에 대한 것으로 별도의 단말기 없이 기 설정된 패스워드와 숫자 조합만으로 OTP를 생성해 내는 알고리즘에 관한 것으로, 설정된 패스워드를 화면에 매번 일부만 랜덤하게 표기하고, 일부를 표기하지 않음으로서, 전체 패스워드가 한번에 노출되는 것을 막고, 매번 새로운 조합의 패스워드가 생성됨으로서, 모바일 및 단말기의 비밀번호가 노출되는 확률을 낮출 수 있으며, 랜덤 생성된 비밀번호 또한 별도의 인증 절차나, 별도의 장치 없이, 설정자의 기억만으로 쉽게 해결 할 수 있는 알고리즘에 관한 것이다.

Description

사용자 설정 기억을 이용한 비밀번호 인증 방법{USER MEMORY METHOD USING PLURAL ONE TIME PASSWORD}
본 발명은 독립형 OTP(one time password)의 설정방법에 관한 것으로, 별도의 단말기 없이 설정된 패스워드와 설정되지 않은 패스워드의 조합으로 OTP를 생성해 내는 알고리즘에 관한 것이다.
최근 무인 ATM기의 보급이 증가하고, 또한 스마트폰, 태블릿 컴퓨터, PC 등을 이용한 인터넷 뱅킹 및 모바일 뱅킹이 크게 활성화됨에 따라, 개인이 공공장소에서 본인확인을 위해 비밀번호 등을 입력해야 하는 경우가 증가 하였다. 그럼에도 불구하고, 기존의 키보드를 이용한 비밀번호 입력방식은 사용자가 입력하는 버튼 정보를 기록 하여 비밀번호를 알아내는 키로깅(Keylogging) 공격이나, 사용자의 어깨 뒤에서 사용자가 입력하는 비밀번호를 보고 알아내는 숄더 서핑(Shoulder Surfing) 공격에 매우 취약한 단점을 가지고 있다.
특히, 사용자가 같은 비밀번호를 반복해서 입력하는 경우 위와 같은 위험에 쉽게 노출될 가능성이 높다. 이와 같이, 반복해서 비밀번호를 입력하는 경우에 대비하여 안전성을 보강하기 위한 많은 기법이 제안되었으나, 획기적인 보완 방법은 나오지 않고 있다.
일반적으로 대표적인 온라인 전자거래 중 하나인 금융권의 인터넷 기반 전자금융 서비스에서는, 그 안전성을 확실히 보장하기 위한 인증수단으로 보안카드가 사용되고 있다. 즉, 사용자 인증 수단의 하나로 사용되고 있는 보안카드에는 약 30개 내외로 사용자마다 다른 4자리 난수를 난수표 형태로 제공하고 있다.
그러나 이 방법은 그 난수의 제한적 개수로 인하여 안전성을 확보하기 힘들기 때문에, 이 방법보다 한 단계 고도화된 방법으로 일회용 패스워드 생성기, 즉 OTP(One Time Password) 장치가 사용되거나 HSM(Hardware Security Module)이 내장된 금융 인증 IC 장치가 사용되고 있다.
OTP 장치는 프로그래밍 되어 저장된 OTP 생성 프로그램을 이용하여, 암호를 생성할 때마다 매번 다른 배열을 갖는 일회용 암호를 생성하는 난수 생성 장치이다. OTP를 생성하도록 설계된 OTP장치를 통해 하드웨어적으로 생성되거나, 또는 단말 장치에 구비된 프로그램 모듈을 통해 소프트웨어적으로 생성될 수 있다.
이와 같은 OTP 장치는 일회용 암호를 생성할 때마다 매번 다른 숫자로 구성되는 암호를 생성하기 때문에, 무수히 많은 암호를 생성할 수 있고 보안성이 우수한 특징이 있다.
그러나 보안성이 강화된 새로운 저장 디바이스가 인증을 위한 OTP를 대체할 수 있지만 이를 기업에 도입하기에는 아직 너무 복잡하고 비용도 매우 높고, 기존의 OTP를 이용한 온라인 인증 시에는 일회용 암호를 생성하는 OTP 장치를 사용자가 항상 휴대하여야 하는 불편함이 있다.
따라서 디바이스 설치 등의 다른 별도 보안장치 없이 기존의 PIN(personal identification number)을 이용한 비밀번호 인증 기법을 보완하면서, 보안상의 문제점을 해결할 수 있는 방법이 필요하다.
본 발명은 전술한 종래 기술의 문제점을 해결하기 위한 것으로서, 본 발명의 일부 실시예는 기존의 PIN을 이용한 비밀번호 입력인증기법을 그대로 사용하면서 안전성을 강화한 방법으로 입력되는 숫자를 키로깅(Keylogging)이나 숄더 서핑(Shoulder Surfing)등의 방법으로 한번에 알아낼 수 없는 보안 방법을 제공하고자 한다.
국내 출원번호 제10-2005-0040016호는 SPU가 메모리에 저장된 사용자 ID의 원천비밀번호를 읽어들이는 준비단계(S110)와, 스플레이 유니트가 매트릭스 형태로 행열의 쉬프트 변형값을 디스플레이하는 단계(S120)와, 상기 SPU가 입력 유니트를 통해 가상비밀번호를 입력받는 단계(S130)와, 입력 유니트를 통해 입력된 가상 비밀번호와 SPU가 S110 단계에서 얻은 원천비밀번호로부터 연산된 가상비밀번호를 비교하여 가상비밀번호의 일치여부를 판단하는 단계(S140)로 구성된 비밀정보 입력 및 해석 방법이 개시되어 있다. 국내 출원번호 제10-2010-0108209호는 일회용 비밀번호 인증 방법은 일회용 비밀번호 생성 요구에 대하여 사용자가 소유한 PIN number에 상응하는 문자스트림을 입력받기 위한 테이블을 형성하여 사용자에게 제공하는 테이블 생성 과정, 사용자가 상기 테이블 및 상기 Pin number를 참조하여 입력하는 문자 스트림을 입력받는 과정, 입력받은 문자 스트림을 상기 테이블에 상응하는 좌표값으로 변환하여 일회용 비밀번호로서 보안 서버로 전달한 후, 보안 서버가 전달받은 일회용 비밀번호를 사용자에게 제시한 테이블을 기반으로 하여 문자 스트림으로 재구성하여 상기 PIN number가 속한 문자의 시퀀스와 비교하는 과정 그리고 두 시퀀스들이 서로 일치하면 사용자를 인증하는 과정을 포함하는 일회용 비밀번호 인증 방법 및 이에 적합한 인증 장치가 개시되어있다. 국내 출원번호 제10-2012-0131233호는 복수의 일회용 비밀번호를 이용한 사용자 인증 방법에 관한 것으로서, 보다 구체적으로는 일회용 비밀번호를 이용한 사용자 인증 방법으로서, (1) 보안 서버에 모바일 OTP 장치로 등록된 스마트 기기가, 모바일 OTP애플리케이션 프로그램을 통해 패스워드를 입력받는 단계 (2) 상기 스마트 기기가, 상기 입력받은 패스워드를 이용하여 암호화된 시드를 복호화하는 단계 (3) 상기 스마트 기기가, 상기 복호화된 시드 및 시각 정보를 이용하여 복수의 일회용 비밀번호를 생성하는 단계 (4) 상기 보안 서버가, 사용자 단말기로부터 상기 생성된 복수의 일회용 비밀번호 중 어느 하나 및 로그인 정보를 전송받는 단계 (5) 상기 보안 서버가, 상기 전송받은 로그인 정보를 이용하여 사용자 계정에 등록된 시드를 추출하고, 상기 추출한 시드 및 상기 시각 정보를 이용하여 복수의 일회용 비밀번호를 생성하는 단계 및 (6) 상기 보안 서버가, 상기 단계 (4)에서 전송받은 일회용 비밀번호가 상기 단계 (5)에서 생성한 복수의 일회용 비밀번호 중 어느 하나와 일치하면 사용자 인증을 처리하는 단계를 포함하는 복수의 일회용 비밀번호를 이용한 사용자 인증 방법이 개시되어있다. 상기 선행기술에서는 본 발명의 구성 특징인 최초 패스워드를 설정하고, 설정된 패스워드를 입력이 필요한 경우, 설정된 패스워드 중에서 랜덤하게 일부를 선택하여 제외하고 제외된 패스워드를 설정되지 않은 패스워드와 조합하여 화면에 랜덤하게 표기하고, 일부 표기하지 않은 패스워드를 제외한 패스워드를 입력함으로서 설정된 비밀번호를 풀어낼 수 있는 사용자의 기억을 기반으로 하는 비밀번호 인증방법과는 차이를 보인다.
본 발명은 기존에 제안된 방법들의 상기와 같은 문제점들을 해결하기 위해 제안된 것으로서, 최초 패스워드를 설정하고, 설정된 패스워드를 입력이 필요한 경우, 설정된 패스워드 중에서 랜덤하게 일부를 선택하여 제외하고 제외된 패스워드를 설정되지 않은 패스워드와 조합하여 화면에 랜덤하게 표기하고, 일부 표기하지 않은 패스워드를 제외한 패스워드를 입력함으로서 설정된 비밀번호를 풀어낼 수 있는 OTP를 생성해 내는 알고리즘 및 인증방법을 제공하는 것을 목적으로 한다.
상기한 목적을 달성하기 위한 본 발명의 특징에 따른 사용자 기억을 기반으로 하는 비밀번호 인증방법은, 일회용 비밀번호를 이용한 사용자 인증 방법으로서, 입력부와 표시부 및 판단부를 갖는 전기전자장치에서 사용자가 최초 비밀번호를 설정, 저장하여 필요시 설정된 비밀번호 인증하는 방법에 있어서; 설정된 비밀번호 중에서 랜덤하게 비밀번호의 일부를 추출하는 단계; 추출된 비밀번호와 허수를 조합하여 허수번호를 생성하고 표시하는 단계; 표시된 허수 비밀번호와 최초 설정된 비밀번호를 비교하여 표시된 허수번호에 나타난 설정된 비밀번호를 추출하여 조합 비밀번호로 입력하는 단계; 입력된 조합 비밀번호와 설정 비밀번호의 비교하여 인증 처리하는 단계를 포함하는 것을 그 구성상의 특징으로 한다.
또 다른 본 발명의 특징에 따른 사용자 기억을 기반으로 하는 비밀번호 인증방법은, 일회용 비밀번호를 이용한 사용자 인증 방법으로서, 입력부와 표시부 및 판단부를 갖는 전기전자장치에서 사용자가 최초 비밀번호를 설정, 저장하여 필요시 설정된 비밀번호 인증하는 방법에 있어서; 설정된 비밀번호 중에서 랜덤하게 비밀번호의 일부를 추출하여 추출된 번호와 추출되지 않은 번호를 분리하는 단계; 추출된 비밀번호와 허수를 조합하여 허수번호를 생성하고 표시하는 단계; 표시된 허수번호와 최초 설정된 비밀번호를 비교하여 표시된 허수번호에 나타나지 않은 비밀번호를 추출하여 조합 비밀번호로 입력하는 단계; 입력된 조합 비밀번호와 추출되지 않은 비밀번호의 비교하여 인증 처리하는 단계를 포함하는 것을 그 구성상의 특징으로 한다.
바람직하게는 최초 비밀번호는 0-9까지의 10개 숫자와 기호를 포함하는 ASCII 코드문자를 조합한 두자리 이상인 것을 특징으로 하며, 생성된 허수번호와 조합 비밀번호로 입력하는 번호의 순서는 랜덤으로 표기 또는 입력되는 것을 특징으로 하며, 최초 입력되는 비밀번호의 자리수는 4-8자리이고, 추출된 비밀번호와 조합되는 허수번호는 4-8개자리 숫자인 것을 특징으로 한다.
또한 상기 인증방법은 응용한 모바일기기 및 컴퓨터 보완시스템, 디지털도어락, 비밀번호 입력 시스템, 현금지급기(ATM), 인터넷 뱅킹, 모바일 뱅킹, 은행 계좌비밀번호, 카드결제시스템, 카드비밀번호, 인터넷 게임, 인터넷 패스워드 등의 입력부와 표시부 및 판단부를 갖는 전기 전자 장치에 응용되는 것을 특징으로 한다.
본 발명에서 제안하고 있는 사용자 기억을 기반으로 하는 비밀번호 인증방법에 따르면, 설정된 패스워드를 화면에 매번 일부만 랜덤하게 표기하고, 일부를 표기하지 않음으로서, 전체 패스워드가 한번에 노출되는 것을 막고, 매번 새로운 조합의 패스워드가 생성됨으로서, 모바일 및 단말기의 비밀번호가 노출되는 확률을 획기적으로 낮출 수 있으며, 랜덤 생성된 비밀번호 또한 별도의 인증 절차나, 별도의 도안 없이, 설정자의 기억만으로 쉽게 해결 할 수 있는 효과가 있다.
도 1는 본 발명의 사용자 기억을 기반으로 하는 비밀번호 인증방법을 나타내는 모식도이다.
도 2는 본 발명의 인증방법을 나타내는 흐름도이다.
도 3은 일실시예에 따른 설정된 5개 패스워드와 화면에 표시된 숫자 및 입력 패스워드에 대한 예시를 나타낸다.
도 4는 본 발명의 일실시예에 따른 설정된 6개 패스워드와 화면에 표시된 숫자 및 입력 패스워드에 대한 예시를 나타낸다.
도 5는 본 발명의 사용자 기억을 기반으로 하는 비밀번호 인증방법을 나타내는 또다른 모식도이다.
도 6은 본 발명의 또 다른 비밀번호 인증방법을 나타내는 흐름도이다.
도 7은 본 발명의 또 다른 실시예에 따른 설정된 7개 패스워드와 화면에 표시된 숫자 및 입력 패스워드에 대한 예시를 나타낸다.
이하에서는, 본 발명의 일실시예에 따른 사용자 기억을 기반으로 하는 비밀번호 인증방법을 구현하기 위한 시스템을 구성하는 각 구성요소에 대하여 상세히 설명하도록 한다.
도 1은 본 발명의 사용자 기억을 기반으로 하는 비밀번호 인증방법을 나타내는 모식도이다. 입력부와 표시부 및 판단부를 갖는 전기전자장치에서 사용자가 최초 비밀번호를 설정, 저장하여 필요시 설정된 비밀번호 인증하는 방법은 설정된 비밀번호 중에서 랜덤하게 비밀번호의 일부를 추출하는 단계; 추출된 비밀번호와 허수를 조합하여 허수번호를 생성하고 표시하는 단계; 표시된 허수 비밀번호와 최초 설정된 비밀번호를 비교하여 표시된 허수번호에 나타난 설정된 비밀번호를 추출하여 조합 비밀번호로 입력하는 단계; 입력된 조합 비밀번호와 설정 비밀번호의 비교하여 인증처리하는 순서로 이루어진다.
도 2는 본 발명의 인증방법을 나타내는 흐름도이다, 인증방법은 우선 일반적인 비밀번호 설정방법과 동일하게 최초비밀번호를 모바일 기기 등에서 설정하며, 비밀번호를 설정한 후, 모바일이나 은행 단말기등의 기기를 통해 인증을 진행하여 필요한 절차를 진행할 때 비밀번호가 생성되고 사용자 기억을 기반으로 한 비밀번호를 입력하게 되는데 실시예와 함께 설명하면 다음과 같다.
<실시예 1>
1. 패스워드를 0-9또는 특수문자 등을 넣어 비밀번호를 설정한다. 설정된 비밀번호는 개인 정보 데이터 컬럼에 저장될 수 있고, 비밀번호 저장용 메모리에 저장될 수 있다.
2. 사용자 인증조회가 시작되면 비밀번호 저장용 메모리에 설정된 비밀번호 중 일정개수의 숫자를 무작위적으로 제외하고 별도의 허수와 조합하여 일정한 자리수의 표시용번호를 생성하여 화면에 표기한다. 무작위로 제외된 비밀번호는 RAM [random access memory]에 저장하여 조회용으로 사용될 수 있다.
3. 사용자는 화면에 표기된 숫자 중 허수를 제외한 나머지 표시용 번호를 획인하여 입력창에 차례로 또는 랜덤으로 입력한다.
4. 입력된 비밀번호는 저장된 메모리값과 비교하여 입력된 문자가 저장된 비밀번호에 포함되는지 여부를 판단하여 인증한다. 다른 인증방법으로는 사용자에 의해 입력된 비밀번호와 무작위적으로 제외된 비밀번호와 조합하여 인증 비밀번호를 생성하고 생성된 인증비밀번호와 최초 저장된 메모리값 비밀번호와 일치하는 경우 인증을 완료할 수 있다.
도 3은 실시예에 따른 설정된 5개 패스워드와 화면에 표시된 숫자 및 입력 패스워드에 대한 예시를 나타내며, 도 4는 본 발명의 일실시예에 따른 설정된 6개 패스워드와 화면에 표시된 숫자 및 입력 패스워드에 대한 예시를 나타낸다. 도 3은 본 발명의 실시예의 하나로 5개의 비밀 번호를 설정 하였으며, 1개 이상의 비밀번호를 포함한 무작위적인 번호 2개를 화면에 표기하지 않았을 경우의 예로, 그 방법이 동일할 경우 비밀번호의 숫자와 숨기는 숫자는 변경이 가능하며, 화면에 표기한 숫자 또한 순서대로 또는 무작위적으로 표기할 수 있다.
화면에 표기된 숫자 중 4개의 숫자를 미리 기억된 비밀번호의 순서와 동일하게 입력하는 방식으로, 화면에 표기된 숫자 중 기억된 비밀번호 숫자 중 숨겨진 숫자는 제외하고 입력하는 방식이다. 이러할 경우 해킹을 통해 1차 입력한 숫자가 외부로 알려지더라도. 경우의 숫자가 여러 가지임에 따라, 정보를 유출할 가능성이 10배 이상 적어진다.
도 4는 본 발명의 일실시예에 따른 설정된 6개 패스워드와 화면에 표시된 숫자 및 입력 패스워드에 대한 예시를 나타낸다. 도 4의 경우 본 발명의 실시예의 하나로 6개의 비밀번호를 설정하였으며, 그중 2개 이상의 비밀번호를 무작위적으로 숨겼을 경우이다. 이러할 경우 화면에 표기된 숫자 8가지 중 4개의 숫자를 기억되어 있는 비밀번호의 순서대로 입력하는 방식이다. 숨겨진 숫자는 입력하는 시기에 따라 무작위적으로 바뀌며, 해킹에 의해 1회 노출되더라도, 무작위적인 변환에 의해 다음의 입력 비밀번호가 바뀌게 되어 개인정보를 보호할 수 있다.
상기에서 최초 입력되는 비밀번호는 0-9까지의 10개 숫자와 기호를 포함하는 ASCII 코드문자를 조합한 한자리 이상인 것이고, 생성된 허수번호와 조합 비밀번호로 입력하는 번호의 순서는 랜덤으로 표기 또는 입력되는 것으로 이루어질 수 있다. 생성된 허수번호와 조합 비밀번호로 입력하는 번호의 순서는 랜덤으로 표기 또는 입력되며, 최초 입력되는 비밀번호의 자리수는 4-8자리이고, 추출된 비밀번호와 조합되는 허수번호는 4-8개자리 숫자일 수 있다.
입력되는 비밀번호를 숫자로 한정하면 10개의 단위자리 수로서 경우의 수가 한정되고, ASCII 코드문자로 확대하면 알파벳과 특수 문자 및 숫자로 확대되므로 경우의 수를 늘일 수 있다.
한편, 무작위로 추출되는 비밀번호는 모바일 OTP 애플리케이션 프로그램으로 OTP 생성 모듈을 포함할 수 있다. 즉, OTP 생성 모듈은 난수 생성알고리즘 등을 통해 설정된 비밀번호 중에서 선택되는 비밀번호를 생성할 수 있으며, OTP 생성 모듈을 통해 스마트 기기가 모바일OTP 장치의 역할을 할 수 있다. 이때, 국제 표준 난수 알고리즘을 프로그래밍하여 OTP 생성 모듈을 구성함으로써, 안전성을 확보할 수 있고, 모바일 OTP 애플리케이션 프로그램은, 입력 보안 솔루션이나 스마트 보안솔루션을 더 포함함으로써, 스마트 기기의 보안을 강화할 수 있으며, 로그인 정보의 보안, 악성 코드 및 바이러스 등에 대한 대처를 할 수 있다.
모바일로 네트워크를 경유하여 비밀번호가 입력되는 경우 비밀번호의 보안을 위해 보안 서버를 둘 수 있다. 보안 서버는 입력된 비밀번호를 이용하여 사용자 인증을 함으로써, 안전한 로그인이나 금융 거래 등이 이루어지도록 하는 서버일 수 있다. 보안 서버는 인터넷, 인트라넷, 유무선 통신망, 이동통신망 등을 포함하는 네트워크를 통한 스마트 기기 및 사용자 단말기의 접속을 허용하고, 각종 신호 및 데이터를 송수신할 수 있다. 보안 서버는 사용자 계정에 최초 비밀번호를 등록하고, 로그인 정보 입력 시 비밀번호로부터 추출된 번호와 허수의 조합으로 표시용 비밀번호를 생성할 수 있으며, 표시용 번호에 반응하여 사용자가 입력한 비밀번호와 비교하여 사용자 인증을 수행할 수 있다.
이와 같은 방법으로 설정되어 저장된 비밀번호를 단말기의 화면에 매번 일부만 추출하여 랜덤하게 표기하고, 일부를 표기하지 않음으로서, 전체 패스워드가 한번에 노출되는 것을 방지한다. 생성되는 비밀번호는 매번 새로운 조합의 비밀번호가 추출되며, 추출된 비밀번호는 선택되는 일정 개수의 허수와 조합되어 표시용 비밀번호로 생성됨으로서, 모바일 및 단말기의 비밀번호가 노출되는 확률을 획기적으로 낮출 수 있다.
도 5는 본 발명의 사용자 기억을 기반으로 하는 비밀번호 인증방법을 나타내는 또 다른 모식도이다. 사용자가 최초 비밀번호를 설정, 저장하여 필요시 설정된 비밀번호 인증하는 방법으로 설정된 비밀번호 중에서 랜덤하게 비밀번호의 일부를 추출하여 추출된 번호와 추출되지 않은 번호를 분리하는 단계; 추출된 비밀번호와 허수를 조합하여 허수번호를 생성하고 표시하는 단계; 표시된 허수번호와 최초 설정된 비밀번호를 비교하여 표시된 허수번호에 나타나지 않은 비밀번호를 추출하여 조합 비밀번호로 입력하는 단계; 입력된 조합 비밀번호와 추출되지 않은 비밀번호의 비교하여 인증처리하는 순서로 이루어진다.
도 6은 본 발명의 인증방법을 나타내는 흐름도이다, 인증방법은 우선 일반적인 비밀번호 설정방법과 동일하게 최초비밀번호를 모바일 기기 등에서 설정하며, 비밀번호를 설정한 후, 모바일이나 은행 단말기등의 기기를 통해 인증을 진행하여 필요한 절차를 진행할 때 비밀번호가 생성되고 사용자 기억을 기반으로 한 비밀번호를 입력하게 되는데 실시예와 함께 설명하면 다음과 같다.
<실시예 2>
1. 패스워드를 0-9또는 특수문자 등을 넣어 비밀번호를 설정한다. 설정된 비밀번호는 개인 정보 데이터 컬럼에 저장될 수 있고, 비밀번호 저장용 메모리에 저장될 수 있다.
2. 사용자 인증조회가 시작되면 비밀번호 저장용 메모리에 설정된 비밀번호 중 일정개수의 숫자를 무작위적으로 제외하고 별도의 허수와 조합하여 일정한 자리수의 표시용번호를 생성하여 화면에 표기한다. 무작위로 제외된 비밀번호는 RAM [random access memory]에 저장하여 조회용으로 사용될 수 있다.
3. 사용자는 화면에 표기된 표시용번호중에서 조합된 허수를 제외한 나머지 비밀번호와 최초입력한 비밀번호를 비교하여 표시되지 않는 비밀번호를 입력창에 차례로 또는 랜덤으로 입력한다.
4. 입력된 비밀번호는 무작위로 제외된 비밀번호는 RAM [random access memory]에 저장하여 조회용으로 저장된 메모리값과 비교하여 일치하는 지여부를 판별하여 인증하거나, 또는 추출된 비밀번호와 조합에 의해 인증 비밀번호를 생성하고 생성된 인증비밀번호와 최초 저장된 메모리값 비밀번호와 일치하는 경우 인증을 완료할 수 있다.
도 7은 일실시예에 따른 설정된 7개 패스워드와 화면에 표시된 숫자 및 입력 패스워드에 대한 예시를 나타낸다. 이와 같은 절차에 의해 인증을 할 경우 예로 5개의 숫자로 패스워드를 지정하고, 하나의 패스워드 숫자와 무작위적인 숫자를 포함한 두 개의 숫자를 숨긴 상태에서 나머지 8개의 숫자만 화면에 표기할 경우, 키로깅(Keylogging)이나 숄더 서핑(Shoulder Surfing)을 당하더라도, 기존에 단 1회만으로 비밀번호가 노출되었으나, 숨겨진 숫자 2개중 어떤 것이 들어가는지 모르는 경우의 수 2와 어느 부분에 들어가는지 모르는 경우의 수 5를 곱하면 총 10가지 이상의 경우의 수가 나오게 되며, 무작위적으로 숨겨지는 숫자의 조합을 맞추는 데는 기존의 비밀번호 설정보다 10배 이상의 보완성을 갖출 수 있다.
본 발명의 사용자 기억을 기반으로 하는 비밀번호 인증방법을 구현하기 위한 시스템은 응용한 모바일기기 및 컴퓨터 보완시스템, 디지털도어락, 비밀번호 입력 시스템, 현금지급기(ATM), 인터넷 뱅킹, 모바일 뱅킹, 은행 계좌비밀번호, 카드결제시스템, 카드비밀번호, 인터넷 게임, 인터넷 패스워드 등의 전기전자 제품에 응용가능하다.
사용자 기억을 기반으로 하는 비밀번호 인증방법을 구현하기 위한 시스템은 상기의 여러종류의 기기에서 활용할수 있으나, 이하에서 스마트 기기, 보안 서버 및 사용자 단말기를 포함하여 구성되는 조건의 예를 들어 설명한다.
사용자는 컴퓨터, 노트북, 넷북, PDA, 태블릿 PC 등 각종 사용자 단말기를 이용하여 각종 온라인 서비스를 이용하고자 할 수 있고 이때, 안전하게 온라인 서비스를 이용하기 위하여 비밀번호가 요구될 수 있는데, 스마트 기기 또는 보안 서버에서 각각 일회용 비밀번호를 생성하여, 스마트기기 또는 사용자 단말기에서 입력받은 일회용 비밀번호가 생성한 일회용 비밀번호 중 어느 하나와 일치하면 사용자 인증을 처리할 수 있다.
스마트 기기는 보안 서버에 모바일 OTP 장치로 등록된 사용자의 단말기일수 있으며, 모바일 OTP 애플리케이션 프로그램을 설치 및 실행할 수 있다. 스마트 기기는 기능이 제한되어 있지 않고 애플리케이션프로그램을 통해 상당 부분 기능을 변경하거나 확장할 수 있는 제품을 가리키는 것으로서, 스마트폰, 스마트 노트, 태블릿 PC, 스마트 카메라 등일 수 있다.
다만, 본 발명의 스마트 기기가 나열한 바와 같은 단말기의 형태에 한정되는 것은 아니며, 보안 서버에 모바일 OTP 장치로 미리 등록된 단말기로서, 암호화된 시드를 저장하고 복호화할 수 있으며, 모바일 OTP 애플리케이션 프로그램을 실행하여 복수의 일회용 비밀번호를 생성할 수 있다면, 구체적인 단말기의 형태에 관계없이 스마트 기기의 역할을 할 수 있다.
즉, 본 발명의 스마트 기기는 모바일 OTP 애플리케이션 프로그램을 설치함으로써, 비밀번호를 생성하는 모바일 OTP 장치의 역할을 할 수 있으며, 스마트 기기를 모바일 OTP 장치를 이용하기 위하여 보안 서버에 미리 등록해 놓을 수 있다. 보안 서버에 모바일 OTP 장치를 등록할 때에, 암호화된 비밀번호를 보안 서버로부터 전송받아 저장해 놓고, 일회용 비밀번호 생성 시에 사용할 수 있다. 이와 같이, 스마트 기기를 모바일 OTP 장치로 이용함으로써, PC 등 별도의 장치 없이 편리하고 안전하게 비밀번호를 이용할 수 있다.
본 발명은 설정된 패스워드와 숫자 조합만으로 생성된 패스워드를 화면에 매번 일부만 랜덤하게 표기하고, 일부를 표기하지 않음으로서, 전체 패스워드가 한번에 노출되는 것을 막고, 매번 새로운 조합의 패스워드가 생성됨으로서, 모바일 및 단말기의 비밀번호가 노출되는 확률을 낮출 수 있으며, 랜덤 생성된 비밀번호 또한 별도의 인증 절차나, 별도의 인증장치 없이, 사용자의 기억을 기반으로 쉽게 인증할 수 있는 알고리즘을 다양한 전기, 전자기기에 응용될 수 있는 산업상 이용 가능성이 있다.

Claims (7)

  1. 입력부와 표시부, 저장부 및 판단부를 갖는 전기전자장치에서 사용자가 최초 비밀번호를 설정, 저장하여 필요시 설정된 비밀번호 인증하는 방법에 있어서,
    가) 설정된 비밀번호 중에서 랜덤하게 비밀번호의 일부를 추출하여 추출된 번호와 추출되지 않은 번호를 분리하는 단계;
    나) 추출된 비밀번호와 허수를 조합하여 허수번호를 생성하고 표시하는 단계;
    다) 표시된 허수 비밀번호와 최초 설정된 비밀번호를 비교하여 표시된 허수번호에 나타난 설정된 비밀번호를 추출하여 조합 비밀번호로 입력하는 단계;
    라) 입력된 조합 비밀번호와 설정 비밀번호의 비교하여 인증처리하는 순서로 이루어진 것을 특징으로 하는 사용자 기억을 기반으로 하는 비밀번호 인증방법
  2. 입력부와 표시부, 저장부 및 판단부를 갖는 전기전자장치에서 사용자가 최초 비밀번호를 설정, 저장하여 필요시 설정된 비밀번호 인증하는 방법에 있어서,
    가) 설정된 비밀번호 중에서 랜덤하게 비밀번호의 일부를 추출하여 추출된 번호와 추출되지 않은 번호를 분리하는 단계;
    나) 추출된 비밀번호와 허수를 조합하여 허수번호를 생성하고 표시하는 단계;
    다) 표시된 허수번호와 최초 설정된 비밀번호를 비교하여 표시된 허수번호에 나타나지 않은 비밀번호를 추출하여 조합 비밀번호로 입력하는 단계;
    라) 입력된 조합 비밀번호와 추출되지 않은 비밀번호의 비교하여 인증처리하는 순서로 이루어진 것을 특징으로 하는 사용자 기억을 기반으로 하는 비밀번호 인증방법
  3. 제1항 또는 제2항에 있어서, 최초 비밀번호는 0-9까지의 10개 숫자와 기호를 포함하는 ASCII 코드문자를 조합한 두자리 이상인 것을 특징으로 하는 사용자 기억을 기반으로 하는 비밀번호 인증방법
  4. 제1항 또는 제2항에 있어서, 생성된 허수번호와 조합 비밀번호로 입력하는 번호의 순서는 랜덤으로 표기 또는 입력되는 것을 특징으로 하는 사용자 기억을 기반으로 하는 비밀번호 인증방법
  5. 제1항 또는 제2항에 있어서, 최초 입력되는 비밀번호의 자리수는 4-8자리이고, 추출된 비밀번호와 조합되는 허수번호는 4-8개자리 숫자인 것을 특징으로 하는 사용자 기억을 기반으로 하는 비밀번호 인증방법
  6. 제1항 또는 제2항의 사용자 기억을 기반으로 하는 비밀번호 인증방법이 사용되는 입력부와 표시부, 저장부 및 판단부를 갖는 전기전자장치
  7. 제1항 또는 제2항에 있어서, 표시된 허수번호는 추출되지 않은 하나 이상의 비밀번호를 무작위로 제외한 것을 특징으로 하는 사용자 기억을 기반으로 하는 비밀번호 인증방법.
KR1020130105271A 2013-09-03 2013-09-03 사용자 설정 기억을 이용한 비밀번호 인증 방법 KR101392537B1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
KR1020130105271A KR101392537B1 (ko) 2013-09-03 2013-09-03 사용자 설정 기억을 이용한 비밀번호 인증 방법
PCT/KR2014/004536 WO2015034160A1 (ko) 2013-09-03 2014-05-21 사용자 설정 기억을 이용한 비밀번호 인증 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020130105271A KR101392537B1 (ko) 2013-09-03 2013-09-03 사용자 설정 기억을 이용한 비밀번호 인증 방법

Publications (1)

Publication Number Publication Date
KR101392537B1 true KR101392537B1 (ko) 2014-05-07

Family

ID=50893375

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020130105271A KR101392537B1 (ko) 2013-09-03 2013-09-03 사용자 설정 기억을 이용한 비밀번호 인증 방법

Country Status (2)

Country Link
KR (1) KR101392537B1 (ko)
WO (1) WO2015034160A1 (ko)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016032050A1 (ko) * 2014-08-26 2016-03-03 주식회사 드림켓 사용자 패스워드 설정 및 입력을 위한 장치 및 방법
KR20170011160A (ko) * 2015-07-21 2017-02-02 주식회사 하나은행 금융 서비스 제공 시스템 및 그의 인증 방법
KR20210130564A (ko) * 2020-04-22 2021-11-01 에스케이매직 주식회사 전기 제품 및 전기 제품의 제어 방법
KR20230138766A (ko) 2022-03-24 2023-10-05 김용성 비밀번호 입력 힌트 표시 및 제어 방법

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007156601A (ja) 2005-12-01 2007-06-21 Fujitsu Ltd 暗証番号認証方法および装置

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20080109580A (ko) * 2007-06-12 2008-12-17 (주)솔메이즈 서버 인증 시스템 및 방법
KR100974318B1 (ko) * 2008-08-13 2010-08-05 인영식 비밀번호 유출방지를 위한 비밀번호 입력장치 및 그 제어방법

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2007156601A (ja) 2005-12-01 2007-06-21 Fujitsu Ltd 暗証番号認証方法および装置

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2016032050A1 (ko) * 2014-08-26 2016-03-03 주식회사 드림켓 사용자 패스워드 설정 및 입력을 위한 장치 및 방법
KR20170011160A (ko) * 2015-07-21 2017-02-02 주식회사 하나은행 금융 서비스 제공 시스템 및 그의 인증 방법
KR102437312B1 (ko) * 2015-07-21 2022-08-26 주식회사 하나은행 금융 서비스 제공 시스템 및 그의 인증 방법
KR20210130564A (ko) * 2020-04-22 2021-11-01 에스케이매직 주식회사 전기 제품 및 전기 제품의 제어 방법
KR102347812B1 (ko) * 2020-04-22 2022-01-06 에스케이매직 주식회사 전기 제품 및 전기 제품의 제어 방법
KR20230138766A (ko) 2022-03-24 2023-10-05 김용성 비밀번호 입력 힌트 표시 및 제어 방법

Also Published As

Publication number Publication date
WO2015034160A1 (ko) 2015-03-12

Similar Documents

Publication Publication Date Title
US8850218B2 (en) OTP generation using a camouflaged key
US20160127134A1 (en) User authentication system and method
US20210271745A1 (en) Authentication Methods and Systems
CN112425114B (zh) 受公钥-私钥对保护的密码管理器
CN109891418A (zh) 用于保护从非安全终端执行的交易的方法
US20130138968A1 (en) Graphical encryption and display of codes and text
WO2015188426A1 (zh) 一种身份验证方法、装置、系统及相关设备
US8661532B2 (en) Method and apparatus for authenticating password
JP2013528857A (ja) パスワードキーの移動値を利用するパスワード安全入力システム及びそのパスワード安全入力方法
US20160253510A1 (en) Method for security authentication and apparatus therefor
US20120095919A1 (en) Systems and methods for authenticating aspects of an online transaction using a secure peripheral device having a message display and/or user input
KR101392537B1 (ko) 사용자 설정 기억을 이용한 비밀번호 인증 방법
US8984599B2 (en) Real time password generation apparatus and method
CN111028392A (zh) 组合密码验证方法、硬件终端及密码系统
TW201544983A (zh) 資料通訊方法和系統及客戶端和伺服器
KR101272349B1 (ko) 복수의 일회용 비밀번호를 이용한 사용자 인증 방법
CN109891821A (zh) 用于使用非安全终端安全地执行敏感性操作的方法
US10264450B2 (en) Authentication method using ephemeral and anonymous credentials
CN104021322A (zh) 一种电子签名方法、电子签名设备及电子签名客户端
KR20180048423A (ko) 비-보안 단말에서 수행되는 트랜잭션을 안전하게 보호하는 방법
RU2690221C1 (ru) Система аутентификации пользователей в промышленных условиях
KR20090013616A (ko) 서버 인증 코드를 이용한 서버 인증 시스템 및 방법
KR101432936B1 (ko) 랜덤 매칭을 이용한 안전한 사용자 인증 방법 및 장치
KR101247521B1 (ko) 모바일 기기 보안 장치
Liou Performance measures for evaluating the dynamic authentication techniques

Legal Events

Date Code Title Description
A201 Request for examination
A302 Request for accelerated examination
E701 Decision to grant or registration of patent right
GRNT Written decision to grant
FPAY Annual fee payment

Payment date: 20180226

Year of fee payment: 5