KR101660791B1 - 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법 - Google Patents
서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법 Download PDFInfo
- Publication number
- KR101660791B1 KR101660791B1 KR1020150095756A KR20150095756A KR101660791B1 KR 101660791 B1 KR101660791 B1 KR 101660791B1 KR 1020150095756 A KR1020150095756 A KR 1020150095756A KR 20150095756 A KR20150095756 A KR 20150095756A KR 101660791 B1 KR101660791 B1 KR 101660791B1
- Authority
- KR
- South Korea
- Prior art keywords
- service providing
- certificate
- providing server
- interface
- service
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer And Data Communications (AREA)
Abstract
본 발명의 실시 예에 따른 서비스 제공 시스템의 서비스 제공 방법은, 클라이언트 장치에서 서비스 제공 서버에 서비스 요청을 전송하는 단계; 상기 서비스 제공 서버로부터 인증서 요청을 입력 받는 단계, 상기 인증서 요청에 응답하여 보안 인터페이스를 로딩하는 단계, 개인키를 이용하여 상기 보안 인터페이스에 저장된 인증서를 서명하는 단계, 및 상기 인증서 및 상기 서명된 값을 상기 서비스 제공 서버에 전송하는 단계를 포함한다.
Description
본 발명은 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법에 관한 것이다.
최근 브라우저들이 운영체제에 접근할 수 있는 확장 기술들을 차단하면서 기존에 IE(internet explorer)의 ActiveX나 기타 브라우저들이 지원하는 NPAPI(Netscape plugin application programming interface) 등을 사용할 수 없다. 이에 사용자의 편의성을 높여 주거나 보안성을 높여주는 방법들을 사용할 수 없다. 뿐만 아니라 기존의 VPN(virtual private network)들이나, 기타 보안통신을 사용하는 제품들은 클라이언트 장치를 안전한 상태로 만들거나 점검하기 위한 요구가 있었으나 이를 수행할 방법이 없어 복잡한 기능을 비표준적으로 구현해야만 했다.
본 발명은 간단하고 안전하게 서비스를 제공하는 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법을 제안한다.
본 발명의 실시 예에 따른 서비스 제공 시스템의 서비스 제공 방법은, 클라이언트 장치에서 서비스 제공 서버에 서비스 요청을 전송하는 단계; 상기 서비스 제공 서버로부터 보안 인터페이스에 저장된 인증서의 발급자 인증서를 이용하여 인증서 요청을 입력 받는 단계; 상기 인증서 요청에 응답하여 상기 보안 인터페이스를 로딩하는 단계; 개인키를 이용하여 상기 보안 인터페이스에 저장된 인증서를 서명하는 단계; 및 상기 인증서 및 상기 서명된 값을 상기 서비스 제공 서버에 전송하는 단계를 포함한다.
실시 예에 있어서, 상기 보안 인터페이스는 표준 암호 인터페이스 및 상기 인증서를 저장하는 인증 모듈을 포함한다.
실시 예에 있어서, 상기 표준 암호 인터페이스는 MS CSP(microsoft cryptographic service provider standard), PKCS(public key cryptography standard)#11, 혹은 ISO 7816 을 포함한다.
실시 예에 있어서, 상기 인증 모듈은 상기 표준 암호 인터페이스를 통하여 상기 보안 인터페이스에 저장된다.
실시 예에 있어서, 상기 보안 인터페이스가 로딩되면서, 단말 보안 점검, 게임 실행, 혹은 사용자 인증을 포함하는 부가 기능을 수행하는 단계를 더 포함한다.
실시 예에 있어서, 상기 부가 기능은 상기 서비스 제공 서버를 이용하여 수행된다.
실시 예에 있어서, 상기 부가 기능은 상기 서비스 제공 서버와 다른 서비스 제공 서버를 이용하여 수행된다.
본 발명의 실시 예에 따른 서비스 제공 서버에 서비스를 요청하는 클라이언트 장치는: 표준 암호 인터페이스와 인증서를 저장한 인증 모듈을 포함하는 보안 인터페이스; 및 상기 표준 암호 인터페이스를 통하여 상기 서비스 제공 서버에 통신하고, 상기 서비스 제공 서버의 인증서 요청에 응답하여 상기 보안 인터페이스를 로딩하는어플리케이션 포함하고, 상기 보안 인터페이스는 개인키를 이용하여 상기 인증서를 서명한다.
실시 예에 있어서, 상기 보안 인터페이스는 운영 시스템을 경유하여 상기 어플리케이션에 로딩된다.
실시 예에 있어서, 상기 개인키는 상기 클라이언트 장치의 내부 혹은 외부 장치에 소프트웨어, 하드웨어, 혹은 펌웨어적으로 저장된다.
실시 예에 있어서, 상기 보안 인터페이스는 표준 암호 인터페이스 및 상기 인증서를 저장하는 인증 모듈을 포함한다.
실시 예에 있어서, 상기 표준 암호 인터페이스는 MS CSP(microsoft cryptographic service provider standard), PKCS(public key cryptography standard)#11, 혹은 ISO 7816 을 포함한다.
실시 예에 있어서, 상기 인증 모듈은 상기 표준 암호 인터페이스를 통하여 상기 보안 인터페이스에 저장된다.
실시 예에 있어서, 상기 보안 인터페이스가 로딩되면서, 단말 보안 점검, 게임 실행, 혹은 사용자 인증을 포함하는 부가 기능을 수행하는 단계를 더 포함한다.
실시 예에 있어서, 상기 부가 기능은 상기 서비스 제공 서버를 이용하여 수행된다.
실시 예에 있어서, 상기 부가 기능은 상기 서비스 제공 서버와 다른 서비스 제공 서버를 이용하여 수행된다.
본 발명의 실시 예에 따른 서비스 제공 서버에 서비스를 요청하는 클라이언트 장치는: 표준 암호 인터페이스와 인증서를 저장한 인증 모듈을 포함하는 보안 인터페이스; 및 상기 표준 암호 인터페이스를 통하여 상기 서비스 제공 서버에 통신하고, 상기 서비스 제공 서버의 인증서 요청에 응답하여 상기 보안 인터페이스를 로딩하는어플리케이션 포함하고, 상기 보안 인터페이스는 개인키를 이용하여 상기 인증서를 서명한다.
실시 예에 있어서, 상기 보안 인터페이스는 운영 시스템을 경유하여 상기 어플리케이션에 로딩된다.
실시 예에 있어서, 상기 개인키는 상기 클라이언트 장치의 내부 혹은 외부 장치에 소프트웨어, 하드웨어, 혹은 펌웨어적으로 저장된다.
본 발명의 실시 예에 따른 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법은, 브라우저 확장 기술을 통해 추가적인 보안 기능 및 부가적인 기능을 수행할 수 있다.
도 1은 본 발명의 실시 예에 따른 서비스 제공 시스템을 예시적으로 보여주는 블록도이다.
도 2는 본 발명의 실시 예에 따른 서비스 제공 서버에 인증서 제출하면서 다양한 업무를 수행할 수 있는 것을 예시적으로 보여주는 도면이다.
도 3은 본 발명의 실시 예에 따른 서비스 제공 시스템의 다양한 부가 기능 수행을 예시적으로 설명한 도면이다.
도 4는 본 발명의 실시 예에 따른 서비스 제공 시스템의 서비스 제공 방법을 예시적으로 보여주는 래더 다이어그램이다.
도 2는 본 발명의 실시 예에 따른 서비스 제공 서버에 인증서 제출하면서 다양한 업무를 수행할 수 있는 것을 예시적으로 보여주는 도면이다.
도 3은 본 발명의 실시 예에 따른 서비스 제공 시스템의 다양한 부가 기능 수행을 예시적으로 설명한 도면이다.
도 4는 본 발명의 실시 예에 따른 서비스 제공 시스템의 서비스 제공 방법을 예시적으로 보여주는 래더 다이어그램이다.
아래에서는 도면들을 이용하여 본 발명의 기술 분야에서 통상의 지식을 가진 자가 용이하게 실시할 수 있을 정도로 본 발명의 내용을 명확하고 상세하게 기재할 것이다.
본 명세서에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로서, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 명세서에서, "포함하다" 혹은 "가지다" 등의 용어는 본 명세서에 기재된 특징, 숫자, 단계, 동작, 구성 요소, 부분품 혹은 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 혹은 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성 요소, 부분품 혹은 이들을 조합한 것들의 존재 혹은 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 나타낸다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 의미를 갖는 것으로 해석되어야 하며, 본 명세서에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
도 1은 본 발명의 실시 예에 따른 서비스 제공 시스템(10)을 예시적으로 보여주는 블록도이다. 도 1을 참조하면, 서비스 제공 시스템(10)은 적어도 하나의 클라이언트 장치(100) 및 적어도 하나의 서비스 제공 서버(200, 210)를 포함할 수 있다.
클라이언트 장치(100)는 서비스 제공 서버(200, 210)로부터 서비스를 제공 받는 컴퓨터, 휴대용 단말기, 전자 장치 등 으로 구현될 수 있다. 클라이언트 장치(100)는 어플리케이션(110), OS(operating system, 120), 및 보안 인터페이스(130)를 포함할 수 있다.
본 발명의 서비스 제공 시스템(10)에서 서비스 제공 방법은 다음과 같이 진행될 수 있다. 클라이언트 장치(100)의 서비스 요청시, 어플리케이션(APP, 110)은 서비스 제공 서버(200)에 접속 요청을 한다. 실시 예에 있어서, 어플리케이션(110)은 웹 브라우저(인터넷 익스플로러, 모질라 파이어폭스, 오페라, 사파리, 구글 크롬 등) 및 SFTP(SSH(secure shell protocol) file transfer protocol 혹은 secure file transfer protocol), VPN(virtual private network), NAC(network access control)을 지원하는 어플리케이션 등 일 수 있다. 서비스 제공 서버(200)는 이러한 접속 요청에 응답하여 클라이언트 장치(100)에 필요한 인증서를 요청한다.
클라어언트(100)의 어플리케이션(110)은, 인증서 요청에 응답하여 보안 인터페이스(130)를 로딩한다. 예를 들어, 보안 인터페이스(130)가 인증서 요청에 대응하는 인증서를 포함할 때, 보안 인터페이스(130)가 로딩될 수 있다. 실시 예에 있어서, 보안 인터페이스(130)의 로딩 과정은 OS(120)를 경유할 수 있다. OS(120)는 인증 모듈을 담당하는 부분으로써, MS CryptoAPI, MAC/Android/iOS 등의 KeyChain 등을 포함할 수 있다. 다른 실시 예에 있어서, 보안 인터페이스(130)의 로딩 과정은, OS(120)의 경유 없이 직접 이루어질 수 있다.
실시 예에 있어서, 보안 인터페이스(130)는 표준 암호 인터페이스 및 인증서(certificate)를 저장한 인증 모듈(131)을 포함할 수 있다. 예를 들어, 표준 암호 인터페이스는, MS CSP(microsoft cryptographic service provider standard), PKCS(public key cryptography standard)#11(java), ISO 7816 등 일 수 있다. 실시 예에 있어서, 인증 모듈(131)은 표준 암호 인터페이스를 이용하여 보안 인터페이스(130)에 저장될 수 있다.
인증서 요청에 응답하여 어플리케이션(110)의 인증서 서명은 크게 두 가지로 진행될 수 있다.
첫째로, 보안 인터페이스(130)는 개인키(141)를 이용하여 인증서에 대한 서명을 직접 수행할 수 있다.
둘째로, 보안 인터페이스(130)는 개인키(151)를 저장하는 사용자 모듈(150)을 통하여 인증서에 대한 서명 결과를 받을 수 있다. 실시 예에 있어서, 사용자 모듈(150)은 스마트카드, Token, TPM, 등 일 수 있다. 실시 예에 있어서, 사용자 모듈(150)은 하드웨어적, 소프트웨어적, 혹은 펌웨어적으로 구현될 수 있다. 도 1에서 사용자 모듈(150)은 클라이언트 장치(100)에 내부에 구성되지만, 본 발명이 여기에 제한되지 않을 것이다. 사용자 모듈은 클라이언트 장치(100)의 외부에 존재할 수 있다.
실시 예에 있어서, 인증서의 개인키(141, 151)는 보안 인터페이스(MS CSP, PKS#11) 및 다양한 방법을 통하여 클라이언트 장치(100)의 내/외부에 저장 될 수 있다. 예를 들어, 개인키(141, 151)는 단순하게 OS(120)의 파일시스템(HDD, SSD, Memory 등)에 파일 형태로 저장되거나 내부의 별도의 하드웨어 구성(HSM, USB)등에 저장되거나, 외부의 하드웨어(HSM)에 저장될 수 있다.
만일, 파일 상태로 접근을 하는 경우에, 보안 인터페이스(130)는 직접 개인키(141)를 사용하여 클라이언트 장치(100)의 CPU(central processing unit)를 통하여 연산을 할 수 있다.
반면에, 파일 상태로 접근하지 않은 경우에, 사용자 모듈(150)을 통하여 개인키를 이용한 서명값을 얻을 경우에, 대응하는 사용자 모듈(150)에서 제공하는 인터페이스 방식에 의존할 수 있다. 사용자 모듈(150)은 클라이언트 장치(100)의 CPU를 통해서 연산을 할 수 있지만, 별도의 CPU(ARM TrustZone, TPM, HSM, Intel ME, 스마트폰 등)에서 연산된 결과를 받을 수도 있다.
한편, 서비스 제공 서버(200)에서 요청한 인증서 및 그것에 대한 개인키 서명값을 제출할 때, 보안 인터페이스(130)를 통하여 다양한 부가 기능이 동시에 수행될 수 있다. 실시 예에 있어서, 부가 기능은 인증서를 요청한 서비스 제공 서버(200)와 다른 서비스 제공 서버(210)에서 제공될 수 있다. 다른 실시 예에 있어서, 부가 기능은 인증서를 요청한 서비스 제공 서버(200)에서 제공될 수 있다.
본 발명의 클라이언트 장치(100)는 보안 인터페이스(130)를 로딩 가능한 상태로 만들고, 표준 암호 인터페이스(예, MS CSP, PKCS#11)를 통하여 클라이언트 장치(100)에서 필요한 인증서를 저장할 수 있다. 보안 통신을 하는 경우 서비스 제공 서버(200)에서 클라이언트 장치(100)에 인증서 제출을 요구할 수 있다. 이때 어떤 소프트웨어들 MS CSP를 통하여 클라이언트 장치 인증서를 제출하고, 어떤 소프트웨어들은 pkcs#11을 통하여 제출하거나, 혹은 별도의 지정된 방식을 통하여 인증서 제출을 수행할 수 있다.
도 2는 본 발명의 실시 예에 따른 서비스 제공 서버에 인증서 제출하면서 다양한 업무를 수행할 수 있는 것을 예시적으로 보여주는 도면이다.
일반적인 서비스 제공 시스템의 보안 인터페이스는 인증서 사용이나 키 관리 등 본연의 기능으로 국한되어 있었다. 하지만, 본 발명의 서비스 제공 시스템(10)의 보안 인터페이스(130, 도 1 참조)는 인증을 수행하기 전이나 이후에 인증서 사용 및 키 관리뿐만 아니라 다양한 추가 업무들을 수행할 수 있다. 예를 들어, 다양한 추가 업무들은 단말 보안 점검, 게임 실행, 사용자 인증, 기타 업무 수행 등을 포함할 수 있다.
본 발명의 서비스 제공 시스템(10)은 다양한 브라우저, 운영체제, 혹은 지정된 업무만을 수행하는 다양한 보안통신을 비롯한 보안 기능을 제공하는 소프트웨어들이 지정된 업무 이외에 추가적인 보안조치나 사용자의 편리성 향상 등의 업무를 가능케 할 수 있다. 이로써, 서비스 제공자나 사용자가 하고자 하는 추가적인 기능이 수행될 수 있다. 이를 통해서 본 발명의 서비스 제공 시스템(10)은 브라우저나 VPN 클라이언트 장치, NAC 클라이언트 장치, FTP 클라이언트 장치에서 제공해주기 전에 불가능했던 기능들을 수행할 수 있다.
본 발명의 서비스 제공 시스템(10)은, pkcs#11, MS CSP 과 같은 표준 암호 인터페이스를 통하여 이들이 복호화, 서명 요구나 인증서 제출 요구 등을 통하여 호출하도록 해서 부가적 기능을 수행하게 함으로써, ActiveX나 NPAPI 없이도, 기존 SW제공자들의 제품 수정 없이도 다양한 부가기능을 수행할 수 있다. 이에, 인터넷 결제나 뱅킹, 트레이딩 시에 부가적인 기능이 수행되고, 또한 웹에서 링크를 눌러 게임을 수행하는 방식인 웹론처를 대체 가능하게 되며, 운영체제에서 기본 제공 되거나 널리 사용되는 VPN클라이언트 장치나 브라우저를 통해서도 서버에서 원하는 부가적 기능이 수행될 수 있다.
도 3은 본 발명의 실시 예에 따른 서비스 제공 시스템(10)의 다양한 부가 기능 수행을 예시적으로 설명한 도면이다. 도 3을 참조하면, 개인키로 실제 서명을 하기 전이나 후에 다양한 부가 기능 수행이 가능하다.
예를 들어 추가적인 인증(ID/PWD, 생체, 모바일 등을 통한 2채널 인증 등)을 전이나 후에 하거나 NAC의 경우처럼 서버에 접근을 허용하기 전에 Client 컴퓨터의 보안상태(방화벽 상태, AV동작여부, 악성코드 감염여부, 업데이트 상태 등)를 점검할 수 있으며, ActiveX나 NPAPI와 같은 플러그인 기술들을 사용할 수 없는 경우에 그 것들을 통해서 했던 일의 일부를 수행하게 할 수 있다.
게임 실행, 전자서명(위의 서명은 SSL/TLS과 같은 프로토콜에서의 서명을 의미하며, 여기에서는 계좌이체나 결제 내역, 문서 등에 대한 메시지 서명을 의미합니다. 표준으로는 PKCS#7, CMS 등.)기타 다양한 기능을 필요에 맞게 서명 전 또는 후에 수행하는 것이 가능하다. 이러한 부가기능은 독립적으로 수행할 수도 있다. 부가 기능을 수행하기 위하여 본 서버(200)나 별도 서버(210)와 통신이 필요할 수 있으며, 브라우저와 직접 또는 간접적으로 정보를 주고 받을 수 있다.
본 발명의 서비스 제공 시스템은 지정된 보안 인터페이스(MS CSP, pkcs#11 등)에 서버에서 호출한 인증서 종류를 저장할 수 있다. 실시 예에 있어서, 클라이언트 장치 접근시 서버에서 해당 인증서 제출을 요구하고 해당 모듈이 호출될 수 있다. 지정된 보안 인터페이스가 로딩되고, 원하는 기능이 부가적으로 수행될 수 있다. 서버 호출 없이도 암호문의 복호화나 메일과 같은 문서 서명 등에도 적용될 수 잇다.
도 4는 본 발명의 실시 예에 따른 서비스 제공 시스템의 서비스 제공 방법을 예시적으로 보여주는 래더 다이어그램이다. 도 1 내지 도 4를 참조하면, 서비스 제공 방법은 다음과 같이 진행될 수 있다. 아래에서는 핸드쉐이크(hand shake) 프로토콜을 이용하여 서비스 제공 방법이 진행된다고 가정하겠다.
클라이언트 장치(100)의 어플리케이션(APP)는 서비스 제공 서버(200)에 서비스 요청(ClienHello)을 한다(S10). 여기서 서비스 요청(ClientHello)은 세션 아이디(session ID) 요청일 수 있다. 서비스 제공 서버(200)는 서비스 요청(ClientHello)에 응답하여 응답 메시지(ServerHello, TBS_H)를 클라이언트 장치(100)에 전송한다(S20). 여기서 응답 메시지(ServerHello)는 세션 아이디일 수 있다. 이후, 서비스 제공 서버(200)는 클라이언트 장치(100)에 서버 인증서 및 인증서 요청을 전송한다. 여기서 서비스 제공 서버(200)는 보안 인터페이스(130)에 저장된 인증서의 발급자 인증서에 대응하는 인증서 요청을 할 수 있다(S30).
클라이언트 장치(100)는 인증서 요청에 응답하여 보안 인터페이스(130)을 로딩하고, 서버 인증서를 이용하여 인증을 수행하고, 인증서를 포함한 인증 모듈(131)에 대하여 개인키(141, 151)을 이용하여 인증서에 대한 서명을 수행할 수 있다. 인증 서명 전 후에, 부가적인 기능이 수행될 수도 있다(S35).
클라이언트 장치(100)의 어플리케이션(APP)은 서명된 클라이언트 장치 인증서를 서비스 제공 서버(200)에 전송할 수 있다(S40). 클라이언트 장치(100)의 어플리케이션은 클라이언트 장치의 개인키, 즉 서명된 값을 서비스 제공 서버(200)에 전송할 수 있다(S50).
이후, 클라이언트 장치(100)는 서비스 제공을 위한 인증서를 성공적으로 전송했고, 사용자 인증 협상이 완료되었다는 암호 규격 신호(ChangeCipherspec)를 서비스 제공 서버(200)에 전송할 수 있다(S70). 이후, 서비스 제공 서버(200)는 서비스 제공을 위한 인증서를 받았으며, 사용자 인증 협상이 완료되었다는 암호 규격 신호(ChangeCipherspec)를 클라이언트 장치(100)에 전송할 수 있다(S80).
이후에, 서비스 제공 시스템(200)은 서비스를 제공하는 어플리케이션 데이터를 클라이언트 장치(100)에 전송할 수 있다. 클라이언트 장치(100)의 어플리케이션(APP)은 어플리케이션 데이터를 이용하여 서비스를 제공받을 수 있다(S90).
한편, 상술 된 본 발명의 내용은 발명을 실시하기 위한 구체적인 실시 예들에 불과하다. 본 발명은 구체적이고 실제로 이용할 수 있는 수단 자체뿐 아니라, 장차 기술로 활용할 수 있는 추상적이고 개념적인 아이디어인 기술적 사상을 포함할 것이다.
본 명세서에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로서, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 명세서에서, "포함하다" 혹은 "가지다" 등의 용어는 본 명세서에 기재된 특징, 숫자, 단계, 동작, 구성 요소, 부분품 혹은 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 혹은 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성 요소, 부분품 혹은 이들을 조합한 것들의 존재 혹은 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 나타낸다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 의미를 갖는 것으로 해석되어야 하며, 본 명세서에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
도 1은 본 발명의 실시 예에 따른 서비스 제공 시스템(10)을 예시적으로 보여주는 블록도이다. 도 1을 참조하면, 서비스 제공 시스템(10)은 적어도 하나의 클라이언트 장치(100) 및 적어도 하나의 서비스 제공 서버(200, 210)를 포함할 수 있다.
클라이언트 장치(100)는 서비스 제공 서버(200, 210)로부터 서비스를 제공 받는 컴퓨터, 휴대용 단말기, 전자 장치 등 으로 구현될 수 있다. 클라이언트 장치(100)는 어플리케이션(110), OS(operating system, 120), 및 보안 인터페이스(130)를 포함할 수 있다.
본 발명의 서비스 제공 시스템(10)에서 서비스 제공 방법은 다음과 같이 진행될 수 있다. 클라이언트 장치(100)의 서비스 요청시, 어플리케이션(APP, 110)은 서비스 제공 서버(200)에 접속 요청을 한다. 실시 예에 있어서, 어플리케이션(110)은 웹 브라우저(인터넷 익스플로러, 모질라 파이어폭스, 오페라, 사파리, 구글 크롬 등) 및 SFTP(SSH(secure shell protocol) file transfer protocol 혹은 secure file transfer protocol), VPN(virtual private network), NAC(network access control)을 지원하는 어플리케이션 등 일 수 있다. 서비스 제공 서버(200)는 이러한 접속 요청에 응답하여 클라이언트 장치(100)에 필요한 인증서를 요청한다.
클라어언트(100)의 어플리케이션(110)은, 인증서 요청에 응답하여 보안 인터페이스(130)를 로딩한다. 예를 들어, 보안 인터페이스(130)가 인증서 요청에 대응하는 인증서를 포함할 때, 보안 인터페이스(130)가 로딩될 수 있다. 실시 예에 있어서, 보안 인터페이스(130)의 로딩 과정은 OS(120)를 경유할 수 있다. OS(120)는 인증 모듈을 담당하는 부분으로써, MS CryptoAPI, MAC/Android/iOS 등의 KeyChain 등을 포함할 수 있다. 다른 실시 예에 있어서, 보안 인터페이스(130)의 로딩 과정은, OS(120)의 경유 없이 직접 이루어질 수 있다.
실시 예에 있어서, 보안 인터페이스(130)는 표준 암호 인터페이스 및 인증서(certificate)를 저장한 인증 모듈(131)을 포함할 수 있다. 예를 들어, 표준 암호 인터페이스는, MS CSP(microsoft cryptographic service provider standard), PKCS(public key cryptography standard)#11(java), ISO 7816 등 일 수 있다. 실시 예에 있어서, 인증 모듈(131)은 표준 암호 인터페이스를 이용하여 보안 인터페이스(130)에 저장될 수 있다.
인증서 요청에 응답하여 어플리케이션(110)의 인증서 서명은 크게 두 가지로 진행될 수 있다.
첫째로, 보안 인터페이스(130)는 개인키(141)를 이용하여 인증서에 대한 서명을 직접 수행할 수 있다.
둘째로, 보안 인터페이스(130)는 개인키(151)를 저장하는 사용자 모듈(150)을 통하여 인증서에 대한 서명 결과를 받을 수 있다. 실시 예에 있어서, 사용자 모듈(150)은 스마트카드, Token, TPM, 등 일 수 있다. 실시 예에 있어서, 사용자 모듈(150)은 하드웨어적, 소프트웨어적, 혹은 펌웨어적으로 구현될 수 있다. 도 1에서 사용자 모듈(150)은 클라이언트 장치(100)에 내부에 구성되지만, 본 발명이 여기에 제한되지 않을 것이다. 사용자 모듈은 클라이언트 장치(100)의 외부에 존재할 수 있다.
실시 예에 있어서, 인증서의 개인키(141, 151)는 보안 인터페이스(MS CSP, PKS#11) 및 다양한 방법을 통하여 클라이언트 장치(100)의 내/외부에 저장 될 수 있다. 예를 들어, 개인키(141, 151)는 단순하게 OS(120)의 파일시스템(HDD, SSD, Memory 등)에 파일 형태로 저장되거나 내부의 별도의 하드웨어 구성(HSM, USB)등에 저장되거나, 외부의 하드웨어(HSM)에 저장될 수 있다.
만일, 파일 상태로 접근을 하는 경우에, 보안 인터페이스(130)는 직접 개인키(141)를 사용하여 클라이언트 장치(100)의 CPU(central processing unit)를 통하여 연산을 할 수 있다.
반면에, 파일 상태로 접근하지 않은 경우에, 사용자 모듈(150)을 통하여 개인키를 이용한 서명값을 얻을 경우에, 대응하는 사용자 모듈(150)에서 제공하는 인터페이스 방식에 의존할 수 있다. 사용자 모듈(150)은 클라이언트 장치(100)의 CPU를 통해서 연산을 할 수 있지만, 별도의 CPU(ARM TrustZone, TPM, HSM, Intel ME, 스마트폰 등)에서 연산된 결과를 받을 수도 있다.
한편, 서비스 제공 서버(200)에서 요청한 인증서 및 그것에 대한 개인키 서명값을 제출할 때, 보안 인터페이스(130)를 통하여 다양한 부가 기능이 동시에 수행될 수 있다. 실시 예에 있어서, 부가 기능은 인증서를 요청한 서비스 제공 서버(200)와 다른 서비스 제공 서버(210)에서 제공될 수 있다. 다른 실시 예에 있어서, 부가 기능은 인증서를 요청한 서비스 제공 서버(200)에서 제공될 수 있다.
본 발명의 클라이언트 장치(100)는 보안 인터페이스(130)를 로딩 가능한 상태로 만들고, 표준 암호 인터페이스(예, MS CSP, PKCS#11)를 통하여 클라이언트 장치(100)에서 필요한 인증서를 저장할 수 있다. 보안 통신을 하는 경우 서비스 제공 서버(200)에서 클라이언트 장치(100)에 인증서 제출을 요구할 수 있다. 이때 어떤 소프트웨어들 MS CSP를 통하여 클라이언트 장치 인증서를 제출하고, 어떤 소프트웨어들은 pkcs#11을 통하여 제출하거나, 혹은 별도의 지정된 방식을 통하여 인증서 제출을 수행할 수 있다.
도 2는 본 발명의 실시 예에 따른 서비스 제공 서버에 인증서 제출하면서 다양한 업무를 수행할 수 있는 것을 예시적으로 보여주는 도면이다.
일반적인 서비스 제공 시스템의 보안 인터페이스는 인증서 사용이나 키 관리 등 본연의 기능으로 국한되어 있었다. 하지만, 본 발명의 서비스 제공 시스템(10)의 보안 인터페이스(130, 도 1 참조)는 인증을 수행하기 전이나 이후에 인증서 사용 및 키 관리뿐만 아니라 다양한 추가 업무들을 수행할 수 있다. 예를 들어, 다양한 추가 업무들은 단말 보안 점검, 게임 실행, 사용자 인증, 기타 업무 수행 등을 포함할 수 있다.
본 발명의 서비스 제공 시스템(10)은 다양한 브라우저, 운영체제, 혹은 지정된 업무만을 수행하는 다양한 보안통신을 비롯한 보안 기능을 제공하는 소프트웨어들이 지정된 업무 이외에 추가적인 보안조치나 사용자의 편리성 향상 등의 업무를 가능케 할 수 있다. 이로써, 서비스 제공자나 사용자가 하고자 하는 추가적인 기능이 수행될 수 있다. 이를 통해서 본 발명의 서비스 제공 시스템(10)은 브라우저나 VPN 클라이언트 장치, NAC 클라이언트 장치, FTP 클라이언트 장치에서 제공해주기 전에 불가능했던 기능들을 수행할 수 있다.
본 발명의 서비스 제공 시스템(10)은, pkcs#11, MS CSP 과 같은 표준 암호 인터페이스를 통하여 이들이 복호화, 서명 요구나 인증서 제출 요구 등을 통하여 호출하도록 해서 부가적 기능을 수행하게 함으로써, ActiveX나 NPAPI 없이도, 기존 SW제공자들의 제품 수정 없이도 다양한 부가기능을 수행할 수 있다. 이에, 인터넷 결제나 뱅킹, 트레이딩 시에 부가적인 기능이 수행되고, 또한 웹에서 링크를 눌러 게임을 수행하는 방식인 웹론처를 대체 가능하게 되며, 운영체제에서 기본 제공 되거나 널리 사용되는 VPN클라이언트 장치나 브라우저를 통해서도 서버에서 원하는 부가적 기능이 수행될 수 있다.
도 3은 본 발명의 실시 예에 따른 서비스 제공 시스템(10)의 다양한 부가 기능 수행을 예시적으로 설명한 도면이다. 도 3을 참조하면, 개인키로 실제 서명을 하기 전이나 후에 다양한 부가 기능 수행이 가능하다.
예를 들어 추가적인 인증(ID/PWD, 생체, 모바일 등을 통한 2채널 인증 등)을 전이나 후에 하거나 NAC의 경우처럼 서버에 접근을 허용하기 전에 Client 컴퓨터의 보안상태(방화벽 상태, AV동작여부, 악성코드 감염여부, 업데이트 상태 등)를 점검할 수 있으며, ActiveX나 NPAPI와 같은 플러그인 기술들을 사용할 수 없는 경우에 그 것들을 통해서 했던 일의 일부를 수행하게 할 수 있다.
게임 실행, 전자서명(위의 서명은 SSL/TLS과 같은 프로토콜에서의 서명을 의미하며, 여기에서는 계좌이체나 결제 내역, 문서 등에 대한 메시지 서명을 의미합니다. 표준으로는 PKCS#7, CMS 등.)기타 다양한 기능을 필요에 맞게 서명 전 또는 후에 수행하는 것이 가능하다. 이러한 부가기능은 독립적으로 수행할 수도 있다. 부가 기능을 수행하기 위하여 본 서버(200)나 별도 서버(210)와 통신이 필요할 수 있으며, 브라우저와 직접 또는 간접적으로 정보를 주고 받을 수 있다.
본 발명의 서비스 제공 시스템은 지정된 보안 인터페이스(MS CSP, pkcs#11 등)에 서버에서 호출한 인증서 종류를 저장할 수 있다. 실시 예에 있어서, 클라이언트 장치 접근시 서버에서 해당 인증서 제출을 요구하고 해당 모듈이 호출될 수 있다. 지정된 보안 인터페이스가 로딩되고, 원하는 기능이 부가적으로 수행될 수 있다. 서버 호출 없이도 암호문의 복호화나 메일과 같은 문서 서명 등에도 적용될 수 잇다.
도 4는 본 발명의 실시 예에 따른 서비스 제공 시스템의 서비스 제공 방법을 예시적으로 보여주는 래더 다이어그램이다. 도 1 내지 도 4를 참조하면, 서비스 제공 방법은 다음과 같이 진행될 수 있다. 아래에서는 핸드쉐이크(hand shake) 프로토콜을 이용하여 서비스 제공 방법이 진행된다고 가정하겠다.
클라이언트 장치(100)의 어플리케이션(APP)는 서비스 제공 서버(200)에 서비스 요청(ClienHello)을 한다(S10). 여기서 서비스 요청(ClientHello)은 세션 아이디(session ID) 요청일 수 있다. 서비스 제공 서버(200)는 서비스 요청(ClientHello)에 응답하여 응답 메시지(ServerHello, TBS_H)를 클라이언트 장치(100)에 전송한다(S20). 여기서 응답 메시지(ServerHello)는 세션 아이디일 수 있다. 이후, 서비스 제공 서버(200)는 클라이언트 장치(100)에 서버 인증서 및 인증서 요청을 전송한다. 여기서 서비스 제공 서버(200)는 보안 인터페이스(130)에 저장된 인증서의 발급자 인증서에 대응하는 인증서 요청을 할 수 있다(S30).
클라이언트 장치(100)는 인증서 요청에 응답하여 보안 인터페이스(130)을 로딩하고, 서버 인증서를 이용하여 인증을 수행하고, 인증서를 포함한 인증 모듈(131)에 대하여 개인키(141, 151)을 이용하여 인증서에 대한 서명을 수행할 수 있다. 인증 서명 전 후에, 부가적인 기능이 수행될 수도 있다(S35).
클라이언트 장치(100)의 어플리케이션(APP)은 서명된 클라이언트 장치 인증서를 서비스 제공 서버(200)에 전송할 수 있다(S40). 클라이언트 장치(100)의 어플리케이션은 클라이언트 장치의 개인키, 즉 서명된 값을 서비스 제공 서버(200)에 전송할 수 있다(S50).
이후, 클라이언트 장치(100)는 서비스 제공을 위한 인증서를 성공적으로 전송했고, 사용자 인증 협상이 완료되었다는 암호 규격 신호(ChangeCipherspec)를 서비스 제공 서버(200)에 전송할 수 있다(S70). 이후, 서비스 제공 서버(200)는 서비스 제공을 위한 인증서를 받았으며, 사용자 인증 협상이 완료되었다는 암호 규격 신호(ChangeCipherspec)를 클라이언트 장치(100)에 전송할 수 있다(S80).
이후에, 서비스 제공 시스템(200)은 서비스를 제공하는 어플리케이션 데이터를 클라이언트 장치(100)에 전송할 수 있다. 클라이언트 장치(100)의 어플리케이션(APP)은 어플리케이션 데이터를 이용하여 서비스를 제공받을 수 있다(S90).
한편, 상술 된 본 발명의 내용은 발명을 실시하기 위한 구체적인 실시 예들에 불과하다. 본 발명은 구체적이고 실제로 이용할 수 있는 수단 자체뿐 아니라, 장차 기술로 활용할 수 있는 추상적이고 개념적인 아이디어인 기술적 사상을 포함할 것이다.
10: 서비스 제공 시스템
100: 클라이언트 장치
200, 210: 서비스 제공 서버
110: 어플리케이션
120: 운영 시스템
130: 보안 인터페이스
141, 151: 개인키
150: 사용자 모듈
131: 인증 모듈
100: 클라이언트 장치
200, 210: 서비스 제공 서버
110: 어플리케이션
120: 운영 시스템
130: 보안 인터페이스
141, 151: 개인키
150: 사용자 모듈
131: 인증 모듈
Claims (10)
- 서비스 제공 시스템의 서비스 제공 방법에 있어서:
클라이언트 장치에서 서비스 제공 서버에 서비스 요청을 전송하는 단계;
상기 클라이언트 장치에서 상기 서비스 요청에 응답하여 상기 서비스 제공 서버로부터 발생된 인증서 요청을 수신하는 단계;
보안 인터페이스에 상기 인증서 요청에 대응하는 인증서를 포함할 때, 상기 클라이언트 장치에서 상기 보안 인터페이스를 로딩하는 단계;
상기 클라이언트 장치에서 개인키를 이용하여 상기 보안 인터페이스에 저장된 상기 인증서를 서명하는 단계; 및
상기 인증서 및 상기 서명된 값을 상기 서비스 제공 서버에 전송하는 단계를 포함하고,
상기 보안 인터페이스는 표준 암호 인터페이스 및 상기 인증서를 저장하는 인증 모듈을 포함하는 방법. - 삭제
- 제 1 항에 있어서,
상기 표준 암호 인터페이스는 MS CSP(microsoft cryptographic service provider standard), PKCS(public key cryptography standard)#11, 혹은 ISO 7816 을 포함하는 방법. - 제 1 항에 있어서,
상기 인증 모듈은 상기 표준 암호 인터페이스를 통하여 상기 보안 인터페이스에 저장되는 방법. - 제 1 항에 있어서,
상기 보안 인터페이스가 로딩되면서, 단말 보안 점검, 게임 실행, 혹은 사용자 인증을 포함하는 부가 기능을 수행하는 단계를 더 포함하는 방법. - 제 5 항에 있어서,
상기 부가 기능은 상기 서비스 제공 서버를 이용하여 수행되는 방법. - 제 5 항에 있어서,
상기 부가 기능은 상기 서비스 제공 서버와 독립적으로, 혹은 다른 서비스 제공 서버를 이용하여 수행되는 방법. - 서비스 제공 서버에 서비스를 요청하는 클라이언트 장치에 있어서:
표준 암호 인터페이스와 인증서를 저장한 인증 모듈을 포함하는 보안 인터페이스; 및
상기 표준 암호 인터페이스를 통하여 상기 서비스 제공 서버에 통신하고, 상기 보안 인터페이스가 상기 서비스 제공 서버의 인증서 요청에 대응하는 인증서를 포함할 때, 상기 보안 인터페이스를 로딩하는 어플리케이션 포함하고,
상기 보안 인터페이스는 개인키를 이용하여 상기 인증서를 서명하는 클라이언트 장치. - 제 8 항에 있어서,
상기 보안 인터페이스는 운영 시스템을 경유하여 상기 어플리케이션에 로딩되는 클라이언트 장치. - 제 8 항에 있어서,
상기 개인키는 상기 클라이언트 장치의 내부 혹은 외부 장치에 소프트웨어, 하드웨어 혹은 펌웨어적으로 저장되는 클라이언트 장치.
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020150095756A KR101660791B1 (ko) | 2015-07-06 | 2015-07-06 | 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020150095756A KR101660791B1 (ko) | 2015-07-06 | 2015-07-06 | 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| KR101660791B1 true KR101660791B1 (ko) | 2016-09-28 |
Family
ID=57101269
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020150095756A KR101660791B1 (ko) | 2015-07-06 | 2015-07-06 | 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법 |
Country Status (1)
| Country | Link |
|---|---|
| KR (1) | KR101660791B1 (ko) |
Cited By (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2021112603A1 (en) * | 2019-12-06 | 2021-06-10 | Samsung Electronics Co., Ltd. | Method and electronic device for managing digital keys |
Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20010079161A (ko) * | 2001-06-19 | 2001-08-22 | 김영진 | 무선통신환경에서 인증서를 사용한 장치 인증 및 통신암호 키 분배 방법 |
| KR20100012439A (ko) * | 2008-07-29 | 2010-02-08 | 주식회사 케이티 | 스마트 카드 인증서 관리 장치 및 방법 |
| KR20130052579A (ko) * | 2013-03-27 | 2013-05-22 | 주식회사 비즈모델라인 | 인증서 운영 방법 |
-
2015
- 2015-07-06 KR KR1020150095756A patent/KR101660791B1/ko active IP Right Grant
Patent Citations (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20010079161A (ko) * | 2001-06-19 | 2001-08-22 | 김영진 | 무선통신환경에서 인증서를 사용한 장치 인증 및 통신암호 키 분배 방법 |
| KR20100012439A (ko) * | 2008-07-29 | 2010-02-08 | 주식회사 케이티 | 스마트 카드 인증서 관리 장치 및 방법 |
| KR20130052579A (ko) * | 2013-03-27 | 2013-05-22 | 주식회사 비즈모델라인 | 인증서 운영 방법 |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2021112603A1 (en) * | 2019-12-06 | 2021-06-10 | Samsung Electronics Co., Ltd. | Method and electronic device for managing digital keys |
| US11563730B2 (en) | 2019-12-06 | 2023-01-24 | Samsung Electronics Co., Ltd | Method and electronic device for managing digital keys |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP7457173B2 (ja) | モノのインターネット（ｉｏｔ）デバイスの管理 | |
| US10897455B2 (en) | System and method for identity authentication | |
| EP3175578B1 (en) | System and method for establishing trust using secure transmission protocols | |
| US11140162B2 (en) | Response method and system in virtual network computing authentication, and proxy server | |
| KR101904177B1 (ko) | 데이터 처리 방법 및 장치 | |
| US9954687B2 (en) | Establishing a wireless connection to a wireless access point | |
| EP3055978B1 (en) | Systems, methods, and computer program products for managing communications | |
| EP2884692B1 (en) | Updating software on a secure element | |
| US8856517B2 (en) | Access management system using trusted partner tokens | |
| CN109756447A (zh) | 一种安全认证方法及相关设备 | |
| WO2013119385A1 (en) | Protecting user credentials from a computing device | |
| US20160241536A1 (en) | System and methods for user authentication across multiple domains | |
| US10757089B1 (en) | Mobile phone client application authentication through media access gateway (MAG) | |
| CA3057362A1 (en) | Identity proofing offering for customers and non-customers | |
| JP2016539605A (ja) | ネットワークセキュリティにおける方法及びネットワークセキュリティにおけるシステム | |
| EP3048553B1 (en) | Method for distributing applets, and entities for distributing applets | |
| CN117336092A (zh) | 一种客户端登录方法、装置、电子设备和存储介质 | |
| Urien | Cloud of secure elements perspectives for mobile and cloud applications security | |
| KR101660791B1 (ko) | 서비스 제공 시스템의 클라이언트 장치 및 그것의 서비스 제공 방법 | |
| US11893550B2 (en) | System and method for hosting and remotely provisioning a payment HSM by way of out-of-band management | |
| CN115484080A (zh) | 小程序的数据处理方法、装置、设备以及存储介质 | |
| EP2575316A1 (en) | Controlled access | |
| US20210192493A1 (en) | Method and system for implementing a virtual smart card service | |
| CN117670341A (zh) | 一种支付终端鉴权方法、装置、设备及存储介质 | |
| CN115085949A (zh) | 一种基于国密ssl透明代理的数据通信方法和装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| E701 | Decision to grant or registration of patent right | ||
| GRNT | Written decision to grant | ||
| FPAY | Annual fee payment |
Payment date: 20190924 Year of fee payment: 4 |