KR101817152B1 - Method for providing trusted right information, method for issuing user credential including trusted right information, and method for obtaining user credential - Google Patents
Method for providing trusted right information, method for issuing user credential including trusted right information, and method for obtaining user credential Download PDFInfo
- Publication number
- KR101817152B1 KR101817152B1 KR1020160040973A KR20160040973A KR101817152B1 KR 101817152 B1 KR101817152 B1 KR 101817152B1 KR 1020160040973 A KR1020160040973 A KR 1020160040973A KR 20160040973 A KR20160040973 A KR 20160040973A KR 101817152 B1 KR101817152 B1 KR 101817152B1
- Authority
- KR
- South Korea
- Prior art keywords
- user
- authentication
- trusted
- authority information
- information
- Prior art date
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
- H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
- H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computing Systems (AREA)
- Theoretical Computer Science (AREA)
- Power Engineering (AREA)
- Storage Device Security (AREA)
Abstract
신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법이 제공된다. 사용자 단말은 인증 서버에게 사용자 크리덴셜을 요청할 수 있다. 사용자 크리덴셜을 생성하기 위해, 인증 서버는 권한 관리 서버에게 사용자에 대한 신뢰된 권한 정보를 요청할 수 있다. 권한 관리 서버로부터 신뢰된 권한 정보가 제공되면, 인증 서버는 신뢰된 권한 정보를 포함하는 사용자 크리덴셜을 생성할 수 있고, 사용자 크리덴셜을 사용자 단말로 전송할 수 있다. A trusted credential providing method, a user credential issuing method including trusted credential information, and a user credential acquisition method are provided. The user terminal may request the authentication server for a user credential. To create a user credential, the authentication server may request the rights management server for trusted credentials for the user. When the trusted authority information is provided from the rights management server, the authentication server can generate a user credential containing the trusted authority information and send the user credential to the user terminal.
Description
아래의 실시예들은 서비스 또는 자원의 제공을 위해 사용되는 사용자 크리덴셜에 관한 것으로, 보다 상세히는 신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법이 개시되고, 이러한 방법을 수행하는 사용자 단말, 인증 서버 및 권한 관리 서버가 개시된다.The following embodiments relate to a user credential used for providing a service or a resource, and more particularly to a trusted credential providing method, a user credential issuing method including trusted authority information, and a user credential obtaining method A user terminal, an authentication server, and a rights management server which are disclosed and which perform this method are disclosed.
웹 서비스, 분산 서비스 및 아이오티(IoT) 환경에서의 중요한 기술로서, 접근 통제(access control)가 있다.An important technology in Web services, distributed services, and IOT environments is access control.
접근 통제는, 사용자가 서비스 또는 자원에 접근할 때, 사용자에게 서비스 또는 자원에 접근에 대하여 적법한 권한이 부여되었는지 여부를 정확하게 확인한 후, 적법한 권한이 부여된 사용자인 경우에만 사용자가 서비스 또는 자원을 사용할 수 있게 하는 기술이다. 말하자면, 접근 통제는 사용자의 특정한 자원 또는 서비스의 사용을 허용 또는 제한하는 것을 결정하는 기술이다.Access control means that, when a user accesses a service or resource, it correctly determines whether the user is legally entitled to access the service or resource, and only when the user is a legitimate user, It is a technology that allows it. That is to say, access control is a technology that decides to allow or restrict the use of a user's specific resource or service.
접근 통제를 통해, 서비스 또는 자원의 소유자는 적법한 권한을 갖는 사용자만이 서비스 또는 자원을 사용하게 할 수 있다.Through access control, the owner of a service or resource can have only a user with legitimate rights use the service or resource.
접근 통제를 통해, 서비스 또는 자원의 소유자는 악의적인 공격자가 서비스 또는 자원을 이용한 정보의 유출, 서비스 또는 자원의 무단 사용 또는 서비스 또는 자원을 통해 다른 시스템에 위해를 끼치는 행위 등을 미연에 방지할 수 있다.With access control, the owner of a service or resource can prevent a malicious attacker from leaking information, using the service or resource, unauthorized use of a service or resource, or harming another system through a service or resource have.
접근 통제의 과정에서 사용되는 정보 중 사용자 크리덴셜이 있다. 사용자 크리덴셜은 사용자의 권한(right) 정보를 포함한다. 사용자 크리덴셜에 의해 사용자의 신원이 확인될 수 있다.Among the information used in the course of access control is the user credential. The user credential includes the right information of the user. The identity of the user can be verified by the user credentials.
일반적으로, 사용자 크리덴셜로서, 보안 토큰이 많이 사용된다. 또한, 보안 토큰을 구성하는 여러 방식들 중, 인증서를 사용하는 방식이 가장 대중적으로 사용된다.Generally, as a user credential, a security token is often used. Also, among the various ways of constructing a security token, the way of using certificates is the most popular.
X.509v3 인증서는 기본적으로는 사용자의 권한 정보를 저장하지 않는다. 따라서, X.509v3 인증서가 사용자의 권한 정보를 포함하기 위해서 X.509v3 인증서의 확장 필드가 사용자의 권한 정보를 나타내기 위해 사용된다. 말하자면, X.509v3 인증서의 확장 필드에 미리 약속된 권한을 식별할 수 있게 하는 값이 추가된다. 그러면, 권한 정보가 포함된 X.509v3 인증서가 사용자 크리덴셜로서 사용된다.By default, X.509v3 certificates do not store user credentials. Therefore, the extension field of the X.509v3 certificate is used to indicate the user's credentials so that the X.509v3 certificate contains the user's credential information. In other words, an extension field of the X.509v3 certificate is appended with a value that identifies the previously promised privilege. Then, the X.509v3 certificate containing the credential is used as the user credential.
상술된 것과 같은 X.509v3 인증서를 사용하는 방식에서, 일반적으로 권한 정보는 인증서를 발급하는 관리자에 의해 부여되거나 입력된다. 권한 정보가 부여 또는 입력되는 과정에서, 부여되거나 입력된 권한 정보를 보증할 수 있는 장치가 존재하지 않는다. 따라서, 권한 정보가 악의적인 공격자에 의해 조작될 수 있다. 조작된 권한은 실제로 사용자에게 할당된 권한에 비해 과소하거나 과도할 수 있다.In the manner of using the X.509v3 certificate as described above, generally, the authority information is given or entered by the administrator issuing the certificate. There is no apparatus that can guarantee the authorization information that is given or input in the process of granting or inputting the authority information. Thus, the authority information can be manipulated by a malicious attacker. The manipulated privilege can be overdamped or overdrawn compared to the privilege actually assigned to the user.
상술된 문제의 해결책 중 하나로서, 사용자 인증을 위한 인증 값 및 사용자의 권한 확인을 위한 크리덴셜이 별도로 사용될 수 있다. 예를 들면, 인증 값에 의해 사용자에 대한 인증이 이루어지면, 사용자에게 할당된 권한 정보를 포함하는 크리덴셜을 발급하는 방법이 고려될 수 있다. 그러나, 이러한 방법은 사용자 인증을 위한 인증 값을 발급하는 인증 서버 및 사용자 권한을 발급하는 권한 발급 서버가 별도로 운영되어야 한다. 또한, 사용자가 실제로 크리덴셜을 사용하고자 할 때에도, 서비스 또는 자원 소유자가 사용자 인증 및 크리덴셜 검증의 각각을 별개의 시스템을 통해 수행해야 한다. 말하자면, 이러한 방법은 사용자 인증, 사용자 권한 발급 및 크리덴셜 검증에 있어서 비효율적으로 운영된다는 문제점을 갖는다.As one of the solutions to the above-mentioned problem, an authentication value for user authentication and a credential for checking the authority of the user can be separately used. For example, when the authentication is performed for the user by the authentication value, a method of issuing a credential including the authority information assigned to the user may be considered. However, in this method, an authentication server for issuing an authentication value for user authentication and a rights issuing server for issuing a user authority must be separately operated. Also, when a user actually wants to use a credential, the service or resource owner must perform each of the user authentication and credential verification through a separate system. That is to say, this method has a problem in that it is inefficient in user authentication, user authority issuance and credential verification.
상술된 종래 기술에 대한 특허로서, 한국 등록 특허 제10-1043215호 및 한국 등록 특허 10-0970318가 있다.Korean Patent No. 10-1043215 and Korean Patent No. 10-0970318 disclose patents relating to the above-described conventional techniques.
일 실시예는 사용자에게 신뢰된 권한 정보를 포함하는 사용자 크리덴셜을 안전하게 발급하는 방법 및 장치를 제공할 수 있다.One embodiment may provide a method and apparatus for securely issuing a user credential containing a trusted credential to a user.
일 실시예는 신뢰된 권한 정보를 제공하는 방법 및 장치를 제공할 수 있다.One embodiment may provide a method and apparatus for providing trusted rights information.
일 실시예는 인증 서버 및 권한 관리 서버 사이에서 공유되는 세션 키를 사용하는 암호화를 통해 신뢰된 권한 정보를 제공하는 방법 및 장치를 제공할 수 있다.One embodiment may provide a method and apparatus for providing trusted credential information through encryption using a session key shared between an authentication server and a rights management server.
일 실시예는 권한 정보가 제공되는 중간에 위조 및 변조가 발생하지 않도록 권한 정보를 안전하게 보호하는 방법 및 장치를 제공할 수 있다.One embodiment can provide a method and apparatus for securely protecting the right information so that falsification and modulation do not occur in the middle of the provision of the right information.
일 실시예는 사용자의 개입 없이 신뢰된 권한 정보를 제공하는 방법 및 장치를 제공할 수 있다.One embodiment may provide a method and apparatus for providing trusted credential information without user intervention.
일 실시예는 사용자 크리덴셜 검증 시 인증 기관의 서명뿐만 아니라 권한 정보에 포함된 서명을 함께 검증함으로써 공격자에 의한 악의적인 권한 정보 위조, 사용자 크리덴셜의 발급자에 의한 악의적인 권한 정보 변조 등에 의해 권한이 남용되는 것을 방지하는 방법 및 장치를 제공할 수 있다.In one embodiment, when the user credentials are verified, not only the signature of the certification authority but also the signature included in the credential information are verified together, thereby falsifying the malicious privilege information by the attacker and the malicious privilege information modification by the issuer of the user credential. A method and apparatus for preventing abuse can be provided.
일 측에 있어서, 인증 기관에 의해 운용되는 인증 서버에 의해 수행되는, 사용자 단말로부터 사용자 크리덴셜 요청 메시지를 수신하는 단계; 권한 관리 서버로 신뢰된 권한 정보 요청 메시지를 전송하는 단계; 상기 권한 관리 서버로부터 상기 사용자 단말의 사용자에 대한 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 수신하는 단계; 상기 신뢰된 권한 정보를 사용하여 상기 사용자에 대한 사용자 크리덴셜을 생성하는 단계; 및 상기 사용자 크리덴셜을 포함하는 사용자 크리덴셜 메시지를 상기 사용자 단말로 전송하는 단계를 포함하는 사용자 크리덴셜 발급 방법이 제공된다.1. A method comprising: receiving, at a party, a user credential request message from a user terminal, performed by an authentication server operated by a certification authority; Transmitting a trusted authority information request message to a rights management server; Receiving a trusted authority information message including trusted authority information for a user of the user terminal from the authority management server; Generating a user credential for the user using the trusted credential; And transmitting the user credential message to the user terminal, wherein the user credential message includes the user credential.
상기 사용자 크리덴셜은 X.509v3 인증서일 수 있다.The user credential may be an X.509v3 certificate.
상기 신뢰된 권한 정보는 상기 X.509v3 인증서의 확장 필드에 저장될 수 있다.The trusted authority information may be stored in an extension field of the X.509v3 certificate.
상기 사용자 크리덴셜 발급 방법은, 상기 권한 관리 서버와의 상호 인증을 통해 세션 키를 공유하는 단계를 더 포함할 수 있다.The user credential issuing method may further include a step of sharing a session key through mutual authentication with the rights management server.
상기 사용자 크리덴셜 발급 방법은, 상기 신뢰된 권한 정보 요청 메시지를 생성하는 단계를 더 포함할 수 있다.The user credential issuing method may further include generating the trusted authority information request message.
상기 신뢰된 권한 정보 요청 메시지는 제1 인증 값을 포함할 수 있다.The trusted information request message may include a first authentication value.
상기 제1 인증 값은 상기 사용자의 식별자, 제1 타임스탬프 및 세션 키에 기반하여 생성될 수 있다.The first authentication value may be generated based on the identifier of the user, the first time stamp, and the session key.
상기 제1 인증 값은 상기 사용자의 식별자 및 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성될 수 있다.The first authentication value may be generated by performing a symmetric key signature using an authentication key for a combined value including an identifier of the user and a first time stamp.
상기 인증 키는 상기 세션 키로부터 유도될 수 있다.The authentication key may be derived from the session key.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도할 수 있다.The authentication server and the rights management server may derive the authentication key from the session key using the same algorithm.
상기 사용자 크리덴셜 발급 방법은, 상기 신뢰된 권한 정보 메시지에 대한 검증을 수행하는 단계를 더 포함할 수 있다.The user credential issuing method may further include performing verification of the trusted authority information message.
상기 검증을 수행하는 단계는, 상기 신뢰된 권한 정보 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 제2 타임스탬프 및 제2 인증 값을 추출하는 단계; 상기 사용자의 식별자, 상기 제2 타임스탬프 및 상기 세션 키에 기반하여 제4 인증 값을 생성하는 단계; 및 상기 제2 인증 값 및 상기 제4 인증 값이 동일한지 여부를 검사하는 단계를 포함할 수 있다.Wherein the performing the verification comprises: extracting an identifier of the user, a second timestamp, and a second authentication value through decryption of the trusted authority information message; Generating a fourth authentication value based on the user's identifier, the second time stamp, and the session key; And checking whether the second authentication value and the fourth authentication value are the same.
상기 제2 인증 값 및 상기 제4 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 요청 메시지에 대한 상기 검증이 실패할 수 있다.If the second authentication value and the fourth authentication value are not the same, the verification for the trusted authority information request message may fail.
상기 제3 인증 값은 상기 사용자의 식별자 및 상기 제2 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성될 수 있다.The third authentication value may be generated by performing a symmetric key signature using an authentication key for the combined value including the user ' s identifier and the second timestamp.
상기 인증 키는 상기 세션 키로부터 유도된 값일 수 있다.The authentication key may be a value derived from the session key.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도할 수 있다.The authentication server and the rights management server may derive the authentication key from the session key using the same algorithm.
다른 일 측에 있어서, 권한 관리 기관에 의해 운용되는 권한 관리 서버에 의해 수행되는, 인증 서버로부터 신뢰된 권한 정보 요청 메시지를 수신하는 단계; 사용자에 대한 신뢰된 권한 정보 및 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 생성하는 단계; 및 상기 인증 서버로 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 전송하는 단계를 포함하고, 상기 신뢰된 권한 정보는 상기 사용자의 권한 정보, 상기 권한 관리 기관의 식별자 및 권한 서명에 기반하여 생성되는 신뢰된 권한 정보 제공 방법이 제공된다.Receiving, by the other party, a trusted information request message from an authentication server, which is performed by a rights management server operated by a rights management authority; Generating a trusted authority information message including trusted authority information for the user and the trusted authority information; And transmitting a trusted authority information message including the trusted authority information to the authentication server, wherein the trusted authority information is based on the user's authority information, the authority of the authority, and the authorization signature A generated credential information providing method is provided.
상기 신뢰된 권한 정보 제공 방법은, 상기 인증 서버와의 상호 인증을 통해 세션 키를 공유하는 단계를 더 포함할 수 있다.The trusted authority information providing method may further include sharing a session key through mutual authentication with the authentication server.
상기 신뢰된 권한 정보 메시지를 생성하는 단계는, 상기 사용자의 식별자, 제2 타임스탬프, 상기 신뢰된 권한 정보 및 상기 세션 키에 기반하여 제2 인증 값을 생성하는 단계; 및 상기 사용자의 식별자, 상기 제2 타임스탬프, 상기 신뢰된 권한 정보 R 및 상기 제2 인증 값에 대한 암호화를 수행함으로써 상기 신뢰된 권한 정보 메시지를 생성하는 단계를 포함할 수 있다.Wherein the step of generating the trusted authority information message comprises: generating a second authentication value based on the user ' s identifier, a second timestamp, the trusted authority information and the session key; And generating the trusted authority information message by performing encryption on the user's identifier, the second timestamp, the trusted authority information R, and the second authentication value.
상기 신뢰된 권한 정보 메시지는 상기 사용자의 식별자, 상기 제2 타임스탬프, 상기 신뢰된 권한 정보 및 상기 제2 인증 값에 대한 암호 키를 사용하는 암호화에 의해 생성될 수 있다.The trusted authority information message may be generated by encryption using an identifier of the user, the second timestamp, the trusted authority information, and a cryptographic key for the second authentication value.
상기 암호 키는 상기 세션 키로부터 유도될 수 있다.The cryptographic key may be derived from the session key.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 암호 키를 유도할 수 있다.The authentication server and the rights management server may derive the cryptographic key from the session key using the same algorithm.
상기 신뢰된 권한 정보 제공 방법은, 상기 신뢰된 권한 정보 요청 메시지에 대한 검증을 수행하는 단계를 더 포함할 수 있다.The method of providing a trusted authority information may further include performing a verification of the trusted authority information request message.
상기 검증을 수행하는 단계는, 상기 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 제1 타임스탬프 및 제1 인증 값을 추출하는 단계; 상기 사용자의 식별자, 상기 제1 타임스탬프 및 상기 세션 키에 기반하여 제3 인증 값을 생성하는 단계; 및 상기 제1 인증 값 및 상기 제3 인증 값이 동일한지 여부를 검사하는 단계를 포함할 수 있다.The verifying step may include extracting the user's identifier, a first time stamp, and a first authentication value through decryption of the trusted information request message; Generating a third authentication value based on the user's identifier, the first time stamp, and the session key; And checking whether the first authentication value and the third authentication value are the same.
상기 제1 인증 값 및 상기 제3 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 요청 메시지에 대한 상기 검증이 실패하는 신뢰된 권한 정보 제공 방법.And if the first authentication value and the third authentication value are not the same, the verification for the trusted authority information request message fails.
상기 제3 인증 값은 상기 사용자의 식별자 및 상기 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성될 수 있다.The third authentication value may be generated by performing a symmetric key signature using an authentication key for a combined value comprising the identity of the user and the first timestamp.
상기 인증 키는 상기 세션 키로부터 유도된 값일 수 있다.The authentication key may be a value derived from the session key.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도할 수 있다.The authentication server and the rights management server may derive the authentication key from the session key using the same algorithm.
또 다른 일 측에 있어서, 사용자의 사용자 단말에 의해 수행되는, 사용자 크리덴셜 요청 메시지를 인증 서버로 전송하는 단계; 및 상기 인증 서버로부터 상기 사용자에 대한 사용자 크리덴셜을 수신하는 단계를 포함하고, 상기 사용자 크리덴셜은 X.509v3 인증서이고, 상기 X.509v3 인증서의 확장 필드는 상기 사용자에 대한 신뢰된 권한 정보를 저장하는 사용자 크리덴셜 획득 방법이 제공된다.Transmitting the user credential request message to the authentication server, which is performed by the user terminal of the user; And receiving a user credential for the user from the authentication server, wherein the user credential is an X.509v3 certificate and the extension field of the X.509v3 certificate stores trusted credentials for the user A user credential acquisition method is provided.
상기 신뢰된 권한 정보는 권한 관리 기관에 의해 운용되는 권한 관리 서버에 의해 제공될 수 있다.The trusted authority information may be provided by a rights management server operated by a rights management authority.
상기 사용자 크리덴셜 획득 방법은 상기 사용자 크리덴셜에 대한 검증을 수행하는 단계를 더 포함할 수 있다.The user credential acquisition method may further comprise performing verification of the user credential.
상기 검증을 수행하는 단계는, 상기 신뢰된 권한 정보, 상기 사용자의 식별자 및 상기 권한 관리 기관의 식별자에 대한 해쉬 값을 생성하는 단계; 상기 권한 관리 기관의 공개 키를 이용하여 상기 권한 관리 기관의 서명 에 대한 복호화를 수행함으로써 복호화된 서명을 획득하는 단계; 및 상기 해쉬 값 및 복호화된 서명이 일치하는지 여부를 검사하는 단계를 포함할 수 있다.Wherein the performing the verification comprises: generating a hash value for the trusted authority information, the user ' s identifier, and the identifier of the authority; Obtaining a decrypted signature by decrypting the signature of the rights management organization using the public key of the authority; And checking whether the hash value and the decrypted signature match.
상기 해쉬 값 및 상기 복호화된 서명이 일치하지 않을 경우, 상기 사용자 크리덴셜에 대한 상기 검증이 실패할 수 있다.If the hash value and the decrypted signature do not match, the verification for the user credential may fail.
이 외에도, 본 발명을 구현하기 위한 다른 방법, 장치, 시스템 및 상기 방법을 실행하기 위한 컴퓨터 프로그램을 기록하기 위한 컴퓨터 판독 가능한 기록 매체가 더 제공된다.In addition, there is further provided another method, apparatus, system for implementing the invention and a computer readable recording medium for recording a computer program for executing the method.
사용자에게 신뢰된 권한 정보를 포함하는 사용자 크리덴셜을 안전하게 발급하는 방법 및 장치가 제공된다.There is provided a method and apparatus for securely issuing a user credential containing a trusted credential to a user.
신뢰된 권한 정보를 제공하는 방법 및 장치가 제공된다.A method and apparatus are provided for providing trusted authority information.
인증 서버 및 권한 관리 서버 사이에서 공유되는 세션 키를 사용하는 암호화를 통해 신뢰된 권한 정보를 제공하는 방법 및 장치가 제공된다.There is provided a method and apparatus for providing trusted credential information through encryption using a session key shared between an authentication server and a rights management server.
권한 정보가 제공되는 중간에 위조 및 변조가 발생하지 않도록 권한 정보를 안전하게 보호하는 방법 및 장치가 제공된다.A method and apparatus are provided for securely protecting rights information so that falsification and tampering do not occur in the middle of being provided with the rights information.
사용자의 개입 없이 신뢰된 권한 정보를 제공하는 방법 및 장치가 제공된다.A method and apparatus for providing trusted credential information without user intervention is provided.
사용자 크리덴셜 검증 시 인증 기관의 서명뿐만 아니라 권한 정보에 포함된 서명을 함께 검증함으로써 공격자에 의한 악의적인 권한 정보 위조, 사용자 크리덴셜의 발급자에 의한 악의적인 권한 정보 변조 등에 의해 권한이 남용되는 것을 방지하는 방법 및 장치가 제공된다.By verifying not only the signature of the certification authority but also the signature included in the credential information, it is possible to prevent the abuse of privilege by forgery of malicious privilege information by the attacker and malicious privilege information modification by the issuer of the user credential. A method and apparatus are provided.
도 1은 일 실시예에 다른 사용자 크리덴셜을 제공하는 시스템을 나타낸다.
도 2는 일 실시예에 따른 사용자 단말의 구조도이다.
도 3은 일 실시예에 따른 인증 서버의 구조도이다.
도 4는 일 실시예에 따른 권한 관리 서버의 구조도이다.
도 5는 일 실시예에 따른 사용자 크리덴셜의 발급 방법의 흐름도이다.
도 6a 및 도 6b는 일 예에 따른 사용자 크리덴셜의 구조를 나타내는 구성도이다.
도 6a는 일 예에 따른 X.509v3에 기반한 사용자 크리덴셜의 구조를 나타낸다.
도 6b는 일 예에 따른 소유자의 권한 정보를 저장하기 위한 사용자 크리덴셜의 확장 필드의 구조를 나타낸다.
도 7은 일 예에 따른 신뢰된 권한 정보 요청 메시지의 생성 방법의 흐름도이다.
도 8은 일 예에 따른 신뢰된 권한 정보 생성 방법의 흐름도이다.
도 9는 일 예에 따른 신뢰된 권한 정보 요청 메시지에 대한 검증 방법의 흐름도이다.
도 10은 일 예에 따른 신뢰된 권한 정보 메시지에 대한 검증 방법의 흐름도이다.
도 11은 일 예에 따른 사용자 크리덴셜을 검증하는 방법의 흐름도이다.
도 12는 일 예에 따른 사용자 크리덴셜을 사용하여 서비스 또는 자원을 제공받는 방법의 흐름도이다.
도 13은 일 예에 따른 사용자 크리덴셜에 대한 검증 방법의 흐름도이다.Figure 1 illustrates a system for providing another user credential in one embodiment.
2 is a structural diagram of a user terminal according to an embodiment.
3 is a structural diagram of an authentication server according to an embodiment.
4 is a structural diagram of a rights management server according to an embodiment.
5 is a flowchart of a method of issuing a user credential according to an embodiment.
6A and 6B are block diagrams showing a structure of a user credential according to an example.
6A shows a structure of a user credential based on X.509v3 according to an example.
FIG. 6B shows a structure of an extended field of a user credential for storing an owner's authority information according to an example.
7 is a flowchart illustrating a method of generating a trusted information request message according to an exemplary embodiment of the present invention.
8 is a flowchart of a method for generating trusted authority information according to an example.
FIG. 9 is a flowchart illustrating a method of verifying a trusted information request message according to an exemplary embodiment of the present invention.
10 is a flowchart of a verification method for a trusted authority information message according to an example.
11 is a flowchart of a method for verifying a user credential according to an example.
12 is a flow diagram of a method of receiving a service or resource using a user credential according to an example.
13 is a flowchart of a verification method for a user credential according to an example.
후술하는 본 발명에 대한 상세한 설명은, 본 발명이 실시될 수 있는 특정 실시예를 예시로서 도시하는 첨부 도면을 참조한다. 이들 실시예는 당업자가 본 발명을 실시할 수 있기에 충분하도록 상세히 설명된다. 본 발명의 다양한 실시예는 서로 다르지만 상호 배타적일 필요는 없음이 이해되어야 한다. 예를 들어, 여기에 기재되어 있는 특정 형상, 구조 및 특성은 일 실시예에 관련하여 본 발명의 정신 및 범위를 벗어나지 않으면서 다른 실시예로 구현될 수 있다. 또한, 각각의 개시된 실시예 내의 개별 구성요소의 위치 또는 배치는 본 발명의 정신 및 범위를 벗어나지 않으면서 변경될 수 있음이 이해되어야 한다. 따라서, 후술하는 상세한 설명은 한정적인 의미로서 취하려는 것이 아니며, 본 발명의 범위는, 적절하게 설명된다면, 그 청구항들이 주장하는 것과 균등한 모든 범위와 더불어 첨부된 청구항에 의해서만 한정된다.The following detailed description of the invention refers to the accompanying drawings, which illustrate, by way of illustration, specific embodiments in which the invention may be practiced. These embodiments are described in sufficient detail to enable those skilled in the art to practice the invention. It should be understood that the various embodiments of the present invention are different, but need not be mutually exclusive. For example, certain features, structures, and characteristics described herein may be implemented in other embodiments without departing from the spirit and scope of the invention in connection with an embodiment. It is also to be understood that the position or arrangement of the individual components within each disclosed embodiment may be varied without departing from the spirit and scope of the invention. The following detailed description is, therefore, not to be taken in a limiting sense, and the scope of the present invention is to be limited only by the appended claims, along with the full scope of equivalents to which such claims are entitled, if properly explained.
도면에서 유사한 참조부호는 여러 측면에 걸쳐서 동일하거나 유사한 기능을 지칭한다. 도면에서의 요소들의 형상 및 크기 등은 보다 명확한 설명을 위해 과장될 수 있다.In the drawings, like reference numerals refer to the same or similar functions throughout the several views. The shape and size of the elements in the figures may be exaggerated for clarity.
이하에서는, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명을 용이하게 실시할 수 있도록 하기 위하여, 본 발명의 바람직한 실시예들에 관하여 첨부된 도면을 참조하여 상세히 설명하기로 한다.
Hereinafter, preferred embodiments of the present invention will be described in detail with reference to the accompanying drawings, so that those skilled in the art can easily carry out the present invention.
도 1은 일 실시예에 다른 사용자 크리덴셜을 제공하는 시스템을 나타낸다.Figure 1 illustrates a system for providing another user credential in one embodiment.
시스템(100)은 사용자 단말(110), 인증 서버(120) 및 권한 관리 서버(130)를 포함할 수 있다.The
사용자 단말(110)은 사용자가 다루는 장치일 수 있다.The
인증 서버(120)는 인증 기관의 서비스를 제공하기 위해 인증 기관에 의해 운용되는 장치일 수 있다.The
권한 관리 서버(130)는 권한 관리 기관의 서비스를 제공하기 위해 권한 관리 기관에 의해 운용되는 장치일 수 있다.The
인증 서버(120)는 사용자 단말(110)에게 사용자 크리덴셜을 제공할 수 있다.The
권한 관리 서버(130)는 인증 서버(120)에게 사용자 크리덴셜의 발급과 관련하여 신뢰된 권한 정보를 제공할 수 있다.The
단말(110), 인증 서버(120) 및 권한 관리 서버(130)의 기능 및 동작에 대해서 아래에서 설명된다.
Functions and operations of the terminal 110, the
도 2는 일 실시예에 따른 사용자 단말의 구조도이다.2 is a structural diagram of a user terminal according to an embodiment.
사용자 단말(110)는 처리부(210), 통신부(220) 및 저장부(230)를 포함할 수 있다.The
처리부(210)는 사용자 단말(110)의 동작을 위해 요구되는 작업을 처리할 수 있다. 예를 들면, 처리부(210)는 적어도 하나의 프로세서(processor)일 수 있다.The
통신부(220)는 사용자 단말(110)의 동작을 위해 요구되는 데이터 또는 정보를 수신할 수 있으며, 사용자 단말(110)의 동작을 위해 요구되는 데이터 또는 정보를 전송할 수 있다. 통신부(220)는 네트워크 내의 다른 장치로 데이터를 전송할 수 있고, 다른 장치로부터 데이터를 수신할 수 있다. 예를 들면, 통신부(220)는 네트워크 칩(chip) 또는 포트(port)일 수 있다.The
저장부(230)는 사용자 단말(110)의 동작을 위해 요구되는 데이터를 저장할 수 있다. 예를 들면, 저장부(230)는 메모리(memory)일 수 있다. 저장부(230)는 램(RAM) 및 플레시(flash) 메모리 등과 같은 내장형의 저장 매체를 포함할 수 있고, 메모리 카드 등과 같은 탈착가능한 저장 매체를 포함할 수 있다.The
사용자 단말(110)의 처리부(210), 통신부(220) 및 저장부(230)의 동작, 기능 및 특징에 대해서 아래에서 설명된다.
Operations, functions, and characteristics of the
도 3은 일 실시예에 따른 인증 서버의 구조도이다.3 is a structural diagram of an authentication server according to an embodiment.
인증 서버(120)는 처리부(310), 통신부(320) 및 저장부(330)를 포함할 수 있다.The
처리부(310)는 인증 서버(120)의 동작을 위해 요구되는 작업을 처리할 수 있다. 예를 들면, 처리부(310)는 적어도 하나의 프로세서일 수 있다.The
통신부(320)는 인증 서버(120)의 동작을 위해 요구되는 데이터 또는 정보를 수신할 수 있으며, 인증 서버(120)의 동작을 위해 요구되는 데이터 또는 정보를 전송할 수 있다. 통신부(320)는 네트워크 내의 다른 장치로 데이터를 전송할 수 있고, 다른 장치로부터 데이터를 수신할 수 있다. 예를 들면, 통신부(320)는 네트워크 칩 또는 포트일 수 있다.The
저장부(330)는 인증 서버(120)의 동작을 위해 요구되는 데이터를 저장할 수 있다. 예를 들면, 저장부(330)는 메모리일 수 있다. 저장부(330)는 램 및 플레시 메모리 등과 같은 내장형의 저장 매체를 포함할 수 있고, 메모리 카드 등과 같은 탈착가능한 저장 매체를 포함할 수 있다.The
인증 서버(120)의 처리부(310), 통신부(320) 및 저장부(330)의 동작, 기능 및 특징에 대해서 아래에서 설명된다.
Operations, functions, and characteristics of the
도 4는 일 실시예에 따른 권한 관리 서버의 구조도이다.4 is a structural diagram of a rights management server according to an embodiment.
권한 관리 서버(130)는 처리부(410), 통신부(420) 및 저장부(430)를 포함할 수 있다.The
처리부(410)는 권한 관리 서버(130)의 동작을 위해 요구되는 작업을 처리할 수 있다. 예를 들면, 처리부(410)는 적어도 하나의 프로세서일 수 있다.The
통신부(420)는 권한 관리 서버(130)의 동작을 위해 요구되는 데이터 또는 정보를 수신할 수 있으며, 권한 관리 서버(130)의 동작을 위해 요구되는 데이터 또는 정보를 전송할 수 있다. 통신부(420)는 네트워크 내의 다른 장치로 데이터를 전송할 수 있고, 다른 장치로부터 데이터를 수신할 수 있다. 예를 들면, 통신부(420)는 네트워크 칩 또는 포트일 수 있다.The
저장부(430)는 권한 관리 서버(130)의 동작을 위해 요구되는 데이터를 저장할 수 있다. 예를 들면, 저장부(430)는 메모리일 수 있다. 저장부(430)는 램 및 플레시 메모리 등과 같은 내장형의 저장 매체를 포함할 수 있고, 메모리 카드 등과 같은 탈착가능한 저장 매체를 포함할 수 있다.The
권한 관리 서버(130)의 처리부(410), 통신부(420) 및 저장부(430)의 동작, 기능 및 특징에 대해서 아래에서 설명된다.
Operations, functions, and characteristics of the
도 5는 일 실시예에 따른 사용자 크리덴셜의 발급 방법의 흐름도이다.5 is a flowchart of a method of issuing a user credential according to an embodiment.
단계(510)에서, 사용자의 사용자 단말(110)의 통신부(220)는 사용자의 사용자 크리덴셜 요청 메시지를 인증 서버(120)의 통신부(320)로 전송할 수 있다. 인증 서버(120)의 통신부(320)는 사용자 단말(110)의 통신부(220)로부터 사용자 크리덴셜 요청 메시지를 수신할 수 있다.The
사용자 크리덴셜 요청 메시지는 사용자 또는 사용자 단말(110)이 사용자 크리덴셜셜을 요청한다는 것을 나타낼 수 있다.The user credential request message may indicate that the user or
인증 서버(120)가 사용자 크리덴셜 요청 메시지를 수신하면, 인증 서버(120)의 처리부(310)는 사용자 크리덴셜의 생성을 위해 요구되는 정보를 수집할 수 있다. 여기에서, 사용자 크리덴셜의 생성을 위해 요구되는 정보는 신뢰된 권한 정보를 포함할 수 있다. 말하자면, 인증 서버(120)의 처리부(310)는 인증서의 확장 필드에 저장될 신뢰된 권한 정보를 권한 관리 서버(130)로부터 수집할 수 있다.When the
단계(520)에서, 인증 서버(120)의 처리부(310)는 사용자 크리덴셜의 생성을 위해 요구되는 정보를 수집할 수 있다.At
단계(520)는 단계들(521, 522, 523, 524, 525 및 526)를 포함할 수 있다.Step 520 may include
단계(521)에서, 인증 서버(120) 및 권한 관리 서버(130)은 상호 신뢰 관계를 성립(establish)할 수 있다. 인증 서버(120) 및 권한 관리 서버(130) 간의 통신에 있어서, 정보가 안전하게 전달되기 위해서는 인증 서버(120) 및 권한 관리 서버(130) 간의 상호 신뢰 관계가 요구될 수 있다. 여기에서, 정보는 후술될 신뢰된 권한 정보를 포함할 수 있다.At step 521, the
인증 서버(120) 및 권한 관리 서버(130)는 서로 간의 상호 신뢰 관계를 성립함에 있어서, 인증 서버(120)를 운용하는 인증 기관의 인증서 및 권한 관리 서버(130)를 운용하는 권한 관리 기관의 인증서를 이용할 수 있다.The
인증 서버(120)는 권한 관리 서버(130)와의 상호 인증을 통해 세션 키를 공유할 수 있다. 말하자면, 권한 관리 서버(130)는 인증 서버(120)와의 상호 인증을 통해 세션 키를 공유할 수 있다.The
세션 키는 권한 관리 서버(130)는 인증 서버(120)와의 상호 작용을 통해 주기적으로 변경될 수 있다.The session key may be periodically changed by the
인증 서버(120) 및 권한 관리 서버(130)는 인증 기관의 인증서 및 권한 관리 기관의 인증서를 이용하는 상호 인증을 통해 세션 키를 공유함으로써 서로 간의 상호 신뢰 관계를 확립할 수 있다.The
이하에서, 인증 서버(120) 및 권한 관리 서버(130) 간의 상호 인증을 통해 공유된 세션 키를 SK로 표시한다.Hereinafter, the session key shared through mutual authentication between the
예를 들면, 인증 서버(120) 및 권한 관리 서버(130) 간의 상호 신뢰 관계의 확립을 위해 트랜스포트 레이어 보안(Transport Layer Security; TLS) 버전(Version; V) 1.2가 사용될 수 있다.For example, a Transport Layer Security (TLS) version (Version: V) 1.2 may be used for establishing a mutual trust relationship between the
인증 서버(120)의 처리부(310) 및 통신부(320)는 권한 관리 서버(130)와의 상호 신뢰 관계를 성립하기 위해 요구되는 동작을 수행할 수 있다. 또한, 권한 관리 서버(130)의 처리부(410) 및 통신부(420)는 인증 서버(120)와의 상호 신뢰 관계를 성립하기 위해 요구되는 동작을 수행할 수 있다.The
인증 서버(120)가 사용자 크리덴셜을 제공하기 위해서는 사용자에 대한 신뢰된 권한 정보가 요구된다. 사용자에 대한 신뢰된 권한 정보를 획득하기 위해, 인증 서버(120)는 신뢰된 권한 정보를 권한 관리 서버(130)에게 요청할 수 있다.Trusted credentials for the user are required for the
단계(521)의 실행 순서는 단지 예시적인 것일 수 있다. 예를 들면, 단계(521)는 단계(510)의 이전에 수행될 수도 있다.The order of execution of step 521 may be exemplary only. For example, step 521 may be performed prior to step 510.
단계(522)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 요청 메시지를 생성할 수 있다.At step 522, the
신뢰된 권한 정보 요청 메시지의 생성에 대하여 아래에서 도 7을 참조하여 설명된다.The generation of the trusted authority information request message is described below with reference to FIG.
단계(523)에서, 인증 서버(120)의 통신부(320)는 신뢰된 권한 정보 요청 메시지를 권한 관리 서버(130)의 통신부(420)로 전송할 수 있다. 권한 관리 서버(130)의 통신부(420)는 신뢰된 권한 정보 요청 메시지를 인증 서버(120)의 통신부(320)로부터 수신할 수 있다.The
신뢰된 권한 정보 요청 메시지는 인증 서버(120)가 신뢰된 권한 정보를 요청한다는 것을 나타낼 수 있다.The trusted credential information request message may indicate that the
단계(524)에서, 권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지에 대한 검증을 수행할 수 있다. 신뢰된 권한 정보 요청 메시지가 검증되면 아래의 단계(525)가 수행될 수 있다.In
신뢰된 권한 정보 요청 메시지에 대한 검증에 대하여 아래에서 도 9를 참조하여 상세하게 설명된다.The verification of the trusted authority information request message will be described in detail below with reference to FIG.
권한 관리 서버(130)의 처리부(410)는 우선 신뢰된 권한 정보의 요청의 안전성을 검증한 후, 신뢰된 권한 정보의 요청에 적합한 신뢰된 권한 정보를 생성할 수 있다.The
단계(525)에서, 권한 관리 서버(130)의 처리부(410)는 사용자에 대한 신뢰된 권한 정보 및 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 생성할 수 있다.In
신뢰된 권한 정보의 생성에 대하여 아래에서 도 8을 참조하여 설명된다.The generation of trusted credential information is described below with reference to Fig.
단계(526)에서, 권한 관리 서버(130)의 통신부(420)는 신뢰된 권한 정보 메시지를 인증 서버(120)의 통신부(320)로 전송할 수 있다. 인증 서버(120)의 통신부(320)는 신뢰된 권한 정보 메시지를 권한 관리 서버(130)의 통신부(420)로부터 수신할 수 있다.The
신뢰된 권한 정보 메시지는 사용자 단말(110)의 사용자에 대한 신뢰된 권한 정보를 포함할 수 있다.The trusted credential information message may include trusted credential information for the user of the
단계(530)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 메시지에 대한 검증을 수행할 수 있다. 신뢰된 권한 정보 메시지가 검증되면 아래의 단계(535)가 수행될 수 있다.At step 530, the
신뢰된 권한 정보 메시지의 검증에 대하여 아래에서 도 10을 참조하여 설명된다.The verification of the trusted authority information message is described below with reference to FIG.
단계(535)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보를 사용하여 사용자 단말(110)의 사용자에 대한 사용자 크리덴셜을 생성할 수 있다.At
인증 서버(120)의 처리부(310)는 우선 신뢰된 권한 정보의 안전성을 검증할 수 있다. 예를 들면, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 메시지의 안전성을 검증할 수 있다. 신뢰된 권한 정보 또는 신뢰된 권한 정보 메시지의 안전성이 검증되면, 다음으로 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보를 사용하여 사용자 크리덴셜을 생성할 수 있다.The
사용자 크리덴셜은 X.509v3 인증서일 수 있다. 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보를 의 확장 필드에 저장할 수 있고, 신뢰된 권한 정보를 포함하는 X.509v3 인증서를 사용자 크리덴셜로서 생성할 수 있다.The user credential can be an X.509v3 certificate. The
단계(540)에서, 인증 서버(120)의 통신부(320)는 사용자 크리덴셜 메시지를 사용자 단말(110)의 통신부(220)로 전송할 수 있다. 사용자 단말(110)의 통신부(220)는 사용자 크리덴셜 메시지를 인증 서버(120)의 통신부(320)로부터 수신할 수 있다.In operation 540, the
사용자 크리덴셜 메시지는 사용자 단말(110)의 사용자에 대한 사용자 크리덴셜을 포함할 수 있다. 또한, 사용자 크리덴셜은 X.509v3 인증서일 수 있고, X.509v3 인증서의 확장 필드는 사용자 단말(110)의 사용자에 대한 신뢰된 권한 정보를 저장할 수 있다. 또한, 신뢰된 권한 정보는 권한 관리 기관에 의해 운용되는 권한 관리 서버(130)에 의해 제공될 수 있다.The user credential message may include a user credential for a user of the
단계(550)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜에 대한 검증을 수행할 수 있다. 사용자 단말(110)의 처리부(210)는 발급된 사용자 크리덴셜이 정상적인 크리덴셜인지 여부를 검증할 수 있다 사용자 크리덴셜에 대한 검증은 인증서에 대한 검증과 유사할 수 있으나, 신뢰된 권한 정보에 대한 검증이 추가된다.At step 550, the
사용자 크리덴셜이 검증되면 아래의 단계(555)가 수행될 수 있다.If the user credential is verified, the following
사용자 크리덴셜에 대한 검증에 대하여 아래에서 도 11을 참조하여 설명된다.The verification of the user credentials is described below with reference to FIG.
단계(555)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜의 신뢰성이 검증되면, 사용자 크리덴셜을 사용할 수 있다.At
사용자 크리덴셜의 사용에 대해서 아래에서 도 12를 참조하여 설명된다.The use of the user credentials will be described below with reference to FIG.
전술된 방법을 통해 신뢰될 수 있는 사용자 크리덴셜이 안전하게 발급될 수 있다.
A user credential that can be trusted through the above-described method can be securely issued.
도 6a 및 도 6b는 일 예에 따른 사용자 크리덴셜의 구조를 나타내는 구성도이다.6A and 6B are block diagrams showing a structure of a user credential according to an example.
도 6a는 일 예에 따른 X.509v3에 기반한 사용자 크리덴셜의 구조를 나타낸다.6A shows a structure of a user credential based on X.509v3 according to an example.
도 5를 참조하여 전술된 사용자 크리덴셜(600)은 X.509v3 인증서에 기반할 수 있다. X.509v3 인증서의 특징은 사용자 크리덴셜(600)에도 적용될 수 있다.The user credentials 600 described above with reference to FIG. 5 may be based on an X.509v3 certificate. The features of the X.509v3 certificate can also be applied to the user credential 600. [
사용자 크리덴셜(600)은 버젼(version), 일련 번호(serial number), 알고리즘 식별자(algorithm ID), 발급자(issuer), 유효기간(validity), 소유자(subject), 소유자 공개 키 정보(subject public key info), 발급자 고유 식별자(issuer unique identifier), 소유자 고유 식별자(subject unique identifier), 확장(extensions) 및 인증서 서명(certificate signature)의 항목들을 포함할 수 있다. 각 항목은 필드일 수 있다. 예를 들면, "확장"은 확장 필드일 수 있다.The user credential 600 includes a version, a serial number, an algorithm ID, an issuer, a validity, an owner, a subject public key info, an issuer unique identifier, a subject unique identifier, extensions, and a certificate signature. Each item can be a field. For example, "extension" may be an extension field.
이하에서, 서명은 전자 서명을 의미할 수 있다.Hereinafter, the signature may mean an electronic signature.
알고리즘 식별자는 인증서 발급자의 서명에 사용되는 알고리즘의 식별자일 수 있다.The algorithm identifier may be an identifier of the algorithm used to sign the certificate issuer.
발급자는 인증서의 발급자를 나타낼 수 있다. 소유자는 인증서의 소유자, 말하자면 사용자 단말(110)의 사용자를 나타낼 수 있다.The issuer may represent the issuer of the certificate. The owner may represent the owner of the certificate, that is, the user of the
소유자 공개 키 정보는 공개 키 알고리즘(public key algorithm) 및 공개 키(public key)를 포함할 수 있다.The owner public key information may include a public key algorithm and a public key.
확장은 확장 필드(extension field)를 나타낼 수 있다.The extension may represent an extension field.
도 6a에서 도시된 것과 같이 X.509v3 인증서 자체는 소유자의 권한 정보를 저장하기 위한 필드 또는 공간을 갖지 않는다. 따라서, 소유자의 권한 정보를 저장하기 위해 확장 필드가 사용된다.
As shown in FIG. 6A, the X.509v3 certificate itself does not have a field or space for storing the owner's authority information. Thus, an extension field is used to store the owner's credential information.
도 6b는 일 예에 따른 소유자의 권한 정보를 저장하기 위한 사용자 크리덴셜의 확장 필드의 구조를 나타낸다.FIG. 6B shows a structure of an extended field of a user credential for storing an owner's authority information according to an example.
도 6a를 참조하여 전술된 사용자 크리덴셜의 항목 중 확장 필드는 소유자 권한 정보를 포함할 수 있다. 말하자면, 도 6b는 도 6a의 확장 필드의 일 예일 수 있다.The extension field of the items of the user credentials described above with reference to FIG. 6A may include owner privilege information. 6B can be an example of the extension field of FIG. 6A.
소유자 권한 정보는 사용자 권한 정보 및 권한 관리 기관 서명을 포함할 수 있다.The owner rights information may include user rights information and a rights authority signature.
사용자 권한 정보는 사용자 단말(110)의 사용자의 권한 정보일 수 있다.The user right information may be the right information of the user of the
권한 관리 기관 서명은 권한 관리 서버(130)를 운용하는 권한 관리 기관의 서명일 수 있다.
The rights management authority signature may be a signature of the rights management authority operating the
도 7은 일 예에 따른 신뢰된 권한 정보 요청 메시지의 생성 방법의 흐름도이다.7 is a flowchart illustrating a method of generating a trusted information request message according to an exemplary embodiment of the present invention.
도 5의 단계(520)를 참조하여 설명된 것과 같이, 인증 서버(120) 및 권한 관리 서버(130)는 인증서에 기반한 상호 인증을 통해 세션 키 SK를 공유할 수 있다.As described with reference to step 520 of FIG. 5, the
도 5를 참조하여 전술된 단계(522)는 후술될 단계들 (710, 720 및 730)을 포함할 수 있다.Step 522 described above with reference to FIG. 5 may include
단계(710)에서, 인증 서버(120)의 처리부(310)는 난수(random number) N 및 제1 타임스탬프 TS 1 을 생성할 수 있다.In
단계(720)에서, 인증 서버(120)의 처리부(310)는 1) 사용자 단말(110)의 사용자의 식별자 ID 신청자 , 2) 난수 N, 3) 제1 타임스탬프 TS 1 및 세션 키 SK에 기반하여 제1 인증 값을 생성할 수 있다.In
예를 들면, 우선, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 을 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 인증 서버(120)의 처리부(310)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제1 인증 값을 생성할 수 있다.For example, first, the
예를 들면, 결합 값은 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 이 모두 연쇄된(concatenated) 값일 수 있다.For example, the combined value may be a concatenated value of both the user's identifier ID applicant , the random number N, and the first time stamp TS 1 .
예를 들면, 제1 인증 값은 "HMAC AK {ID 신청자 , N, TS 1 }"와 같이 표현될 수 있다.For example, the first authentication value may be expressed as " HMAC AK { ID applicant , N , TS 1 } ".
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.The authentication key AK may be a value derived from the shared session key SK . The
대칭 키 서명은 해쉬-기반 메시지 인증 코드(Hash-based Message Authentication Code; HMAC) 알고리즘을 사용할 수 있다. 예를 들면, 대칭 키 서명은 HMAC_SHA256을 사용할 수 있다. 여기에서, SHA는 보안 해쉬 알고리즘(Secure Hash Algorithm)을 나타낼 수 있다.The symmetric key signature may use a Hash-based Message Authentication Code (HMAC) algorithm. For example, a symmetric key signature may use HMAC_SHA 256. Here, SHA can represent a Secure Hash Algorithm.
단계(730)에서, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값에 대한 암호화를 수행함으로써 신뢰된 권한 정보 요청 메시지를 생성할 수 있다. 말하자면, 신뢰된 권한 정보 요청 메시지는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값이 암호화된 결과를 포함할 수 있다.In
인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 요청 메시지를 생성할 수 있다.The
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다.The encryption key EK may be a value derived from the session key SK .
인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값이 결합된 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 요청 메시지를 생성할 수 있다. 여기에서, 결합된 값은 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값이 연쇄된 값일 수 있다.
예를 들면, 신뢰된 권한 정보 요청 메시지는 "E EK {ID 신청자 , N, TS 1 , 제1 인증 값}"과 같이 표현될 수 있다. 또는, 도 5를 참조하여 전술된 단계(523)에서 전송되는 신뢰된 권한 정보 요청 메시지는 E EK {ID 신청자 , N, TS 1 , 제1 인증 값}를 포함할 수 있다.For example, the trusted authority information request message may be expressed as " E EK { ID applicant , N , TS 1 , first authentication value} ". Alternatively, the trusted authority information request message transmitted in step 523 described above with reference to FIG. 5 may include E EK { ID applicant , N , TS 1 , first authentication value}.
이후, 권한 관리 서버(130)의 통신부(420)가 신뢰된 권한 정보 요청 메시지를 수신하면, 권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지의 안전성의 검증을 수행할 수 있고, 상기의 검증에 의해 신뢰된 권한 정보 메시지가 정상인 것으로 판단되면 신뢰된 권한 정보를 생성할 수 있다. 신뢰된 권한 정보의 생성에 대하여 아래에서 도 8을 참조하여 설명된다.
Thereafter, when the
도 8은 일 예에 따른 신뢰된 권한 정보 생성 방법의 흐름도이다.8 is a flowchart of a method for generating trusted authority information according to an example.
도 5를 참조하여 전술된 단계(525)는 아래의 단계들(810, 820, 830, 840 및 850)을 포함할 수 있다.Step 525 described above with reference to FIG. 5 may include the following
단계(810)에서, 권한 관리 서버(130)의 처리부(410)는 저장부(430)로부터 사용자의 권한 정보를 추출할 수 있다. 처리부(410)는 사용자의 식별자 ID 신청자 를 사용하여 사용자를 식별할 수 있다.In
저장부(430)는 사용자들의 권한 정보를 저장하는 데이터베이스를 포함할 수 있다.The
단계(820)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 사용자의 식별자 ID 신청자 등에 기반하여 권한 서명을 생성할 수 있다.In step 820, the
권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 사용자의 식별자 ID 신청자 등에 대하여 권한 관리 서버(130)의 개인 키 pri_PMS를 이용함으로써 권한 서명을 생성할 수 있다.
권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 사용자의 식별자 ID 신청자 의 해쉬 값에 대하여 권한 관리 기관의 개인 키 pri_PMS를 이용함으로써 권한 서명을 생성할 수 있다.The
권한 관리 서버(130)의 처리부(410)는 해쉬 알고리즘을 사용하여 해쉬 값을 생성할 수 있다. 예를 들면, 해쉬 알고리즘은 SHA256일 수 있다.The
예를 들면, 권한 서명은 "Sign pri_PMS {H(권한 정보, ID 신청자 , ID 권한관리기관 )}"와 같이 표현될 수 있다. "H()"는 해쉬 함수(function) 또는 해쉬 알고리즘을 나타낼 수 있다.For example, the authority signature may be expressed as " Sign pri_PMS { H ( authority information , ID applicant , ID authority )} "."H()" may represent a hash function or a hash algorithm.
단계(830)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 권한 서명에 기반하여 신뢰된 권한 정보 R을 생성할 수 있다.In
권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 권한 서명을 결합함으로써 신뢰된 권한 정보 R을 생성할 수 있다. 여기에서, 결합은 연쇄를 의미할 수 있다.Processing unit of the
예를 들면, 권한 정보 R은 "{권한 정보, ID 권한관리기관 , Sign pri_PMS {H(권한 정보, ID 신청자 , ID 권한관리기관 )}}"과 같이 표현될 수 있다.For example, the authority information R may be expressed as "{authority information, ID authority authority , Sign pri_PMS { H ( authority information , ID applicant , ID authority )}}
단계(840)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 세션 키 SK에 기반하여 제2 인증 값을 생성할 수 있다.In
난수 N은 인증 서버(120)에 의해 생성될 수 있고, 신뢰된 권한 정보 요청 메시지를 통해 권한 관리 서버(130)로 전송될 수 있다.The random number N may be generated by the
제2 타임스탬프 TS 2 는 권한 관리 서버(130)의 처리부(410)에 의해 생성될 수 있다.The second time stamp TS 2 may be generated by the
예를 들면, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 신뢰된 권한 정보 R를 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 인증 서버(120)의 처리부(310)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제2 인증 값을 생성할 수 있다.For example, the
결합 값은 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 신뢰된 권한 정보 R이 모두 연쇄된 값일 수 있다.The combined value may be a value in which both the user's identifier ID applicant , the random number N , the second time stamp TS 2, and the trusted authority information R are all concatenated.
예를 들면, 제2 인증 값은 "HMAC AK {ID 신청자 , N, TS 2 , R}"과 같이 표현될 수 있다.For example, the second authentication value may be expressed as " HMAC AK { ID applicant , N , TS 2 , R } ".
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.The authentication key AK may be a value derived from the shared session key SK . The
단계(850)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값에 대한 암호화를 수행함으로써 신뢰된 권한 정보 메시지를 생성할 수 있다. 말하자면, 신뢰된 권한 정보 메시지는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 암호화된 결과를 포함할 수 있다.In
권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 메시지를 생성할 수 있다.The
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 암호 키 EK를 유도할 수 있다.The encryption key EK may be a value derived from the session key SK . The
권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 결합된 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 메시지를 생성할 수 있다. 여기에서, 결합된 값은 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 연쇄된 값일 수 있다.The
예를 들면, 신뢰된 권한 정보 메시지는 "E EK {ID 신청자 , N, TS 2 , R, 제2 인증 값}"와 같이 표현될 수 있다.For example, the trusted authority information message may be expressed as " E EK { ID applicant , N , TS 2 , R , second authentication value}
또는, 신뢰된 권한 정보 메시지는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 결합된 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 생성된 값을 포함할 수 있다. 말하자면, 도 5를 참조하여 전술된 단계(526)에서 전송되는 신뢰된 권한 정보 메시지는 E EK {ID 신청자 , N, TS 2 , R, 제2 인증 값}을 포함할 수 있다.
Alternatively, the trusted authority information message may be encrypted by performing encryption using a cryptographic key EK for a value associated with the user's identifier ID applicant , a random number N , a second timestamp TS 2 , trusted authority information R, and a combined value of the second authentication value And may include generated values. That is to say, the trusted authority information message transmitted in step 526 described above with reference to FIG. 5 may include E EK { ID applicant , N , TS 2 , R , second authentication value}.
도 9는 일 예에 따른 신뢰된 권한 정보 요청 메시지에 대한 검증 방법의 흐름도이다.FIG. 9 is a flowchart illustrating a method of verifying a trusted information request message according to an exemplary embodiment of the present invention.
도 5를 참조하여 전술된 단계(524)는 아래의 단계들(910, 920, 930, 940, 950, 960 및 970)을 포함할 수 있다.Step 524 described above with reference to FIG. 5 may include the following
권한 관리 서버(130)의 처리부(410)는 수신된 신뢰된 권한 정보 요청 메시지의 안전성에 대한 검증을 수행할 수 있다.The
단계(910)에서, 권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지에 대한 복호화를 수행할 수 있다.In step 910, the
권한 관리 서버(130)의 처리부(410)는 암호 키 EK를 사용하여 신뢰된 권한 정보 요청 메시지에 대한 복호화를 수행할 수 있다.The
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 암호 키 EK를 유도할 수 있다.The encryption key EK may be a value derived from the session key SK . The
권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값을 추출할 수 있다.The
단계(920)에서, 권한 관리 서버(130)의 처리부(410)는 권한 정보 요청 메시지에서 추출된 제1 타임스탬프 TS 1 가 권한 관리 서버(130)에 저장된 제3 타임스탬프 TS 3 에 비해 더 최근의 타임스탬프인지 여부를 검사할 수 있다.In
권한 관리 서버(130)의 저장부(430)는 제3 타임스탬프 TS 3 를 저장할 수 있다.The
제1 타임스탬프 TS 1 가 제3 타임스탬프 TS 3 에 비해 더 최근의 타임스탬프인 경우 단계(930)가 수행될 수 있다. 제1 타임스탬프 TS 1 가 제3 타임스탬프 TS 3 에 비해 더 최근의 타임스탬프가 아니면 단계(970)가 수행될 수 있다.Step 930 may be performed if the first timestamp TS 1 is a more recent timestamp than the third timestamp TS 3 . If the first timestamp TS 1 is not a more recent timestamp than the third timestamp TS 3 , then step 970 may be performed.
단계(930)에서, 권한 관리 서버(130)의 처리부(410)는 권한 관리 서버(130)에 저장된 제3 타임스탬프 TS 3 의 값을 더 최근의 타임스탬프인 제1 타임스탬프 TS 1 의 값으로 설정할 수 있다. 말하자면, 권한 관리 서버(130)의 처리부(410)는 기존의 제3 타임스탬프 TS 3 를 더 최근의 타임스탬프인 제1 타임스탬프 TS 1 로 교체할 수 있다.In
단계(940)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 세션 키 SK에 기반하여 제3 인증 값을 생성할 수 있다.In
예를 들면, 우선, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 을 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 권한 관리 서버(130)의 처리부(410)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제3 인증 값을 생성할 수 있다.For example, first, the
예를 들면, 결합 값은 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 이 모두 연쇄된 값일 수 있다.For example, the combined value may be a value in which both the user's identifier ID applicant , the random number N, and the first time stamp TS 1 are concatenated.
예를 들면, 제3 인증 값은 "HMAC AK {ID 신청자 , N, TS 1 }"와 같이 표현될 수 있다.For example, the third authentication value may be expressed as " HMAC AK { ID applicant , N , TS 1 } ".
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.The authentication key AK may be a value derived from the shared session key SK . The
단계(950)에서, 권한 관리 서버(130)의 처리부(410)는 제1 인증 값 및 제3 인증 값이 동일한지 여부를 검사할 수 있다.In
제1 인증 값 및 제3 인증 값이 동일한 경우, 신뢰된 권한 정보 요청 메시지에 대한 검증이 성공하고, 단계(960)가 수행될 수 있다. 제1 인증 값 및 제3 인증 값이 동일하지 않은 경우, 신뢰된 권한 정보 요청 메시지에 대한 검증이 실패하고, 단계(970)가 수행될 수 있다.If the first authentication value and the third authentication value are equal, the verification of the trusted information request message is successful, and step 960 may be performed. If the first authentication value and the third authentication value are not the same, the verification for the trusted authority information request message fails, and step 970 may be performed.
단계(960)에서, 권한 관리 서버(130)의 처리부(410)는 권한 정보 요청 메시지에 대한 검증이 성공한 것으로 결정할 수 있다.In
단계(970)에서, 권한 관리 서버(130)의 처리부(410)는 권한 정보 요청 메시지에 대한 검증이 실패한 것으로 결정할 수 있다.In
검증이 실패한 것으로 결정된 경우, 권한 관리 서버(130)의 처리부(410)는 수신된 권한 정보 요청 메시지를 무시할 수 있고, 인증 서버(120)와의 통신을 종료할 수 있다.
If it is determined that the verification is unsuccessful, the
도 10은 일 예에 따른 신뢰된 권한 정보 메시지에 대한 검증 방법의 흐름도이다.10 is a flowchart of a verification method for a trusted authority information message according to an example.
도 5를 참조하여 전술된 단계(550)는 아래의 단계들(1010, 1020, 1030, 1040, 1050, 1060 및 1070)을 포함할 수 있다.The above-described step 550 with reference to FIG. 5 may include the following
인증 서버(120)의 처리부(310)는 수신된 신뢰된 권한 정보 메시지의 안전성에 대한 검증을 수행할 수 있다.The
단계(1010)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 메시지에 대한 복호화를 수행할 수 있다.In step 1010, the
인증 서버(120)의 처리부(310)는 암호 키 EK를 사용하는 복호화를 수행할 수 있다.The
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 암호 키 EK를 유도할 수 있다.The encryption key EK may be a value derived from the session key SK . The
인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 제2 인증 값을 추출할 수 있다.The
단계(1020)에서, 인증 서버(120)의 처리부(310)는 권한 정보 요청 메시지에서 추출된 제2 타임스탬프 TS 2 가 인증 서버(120)에 저장된 제4 타임스탬프 TS 4 에 비해 더 최근의 타임스탬프인지 여부를 검사할 수 있다.In
인증 서버(120)의 저장부(330)는 제4 타임스탬프 TS 4 를 저장할 수 있다.The
제2 타임스탬프 TS 2 가 제4 타임스탬프 TS 4 에 비해 더 최근의 타임스탬프인 경우 단계(1030)가 수행될 수 있다. 제2 타임스탬프 TS 2 가 제4 타임스탬프 TS 4 에 비해 더 최근의 타임스탬프가 아니면 단계(1070)가 수행될 수 있다.Step 1030 may be performed if the second timestamp TS 2 is a more recent timestamp than the fourth timestamp TS 4 . If the second timestamp TS 2 is not a more recent timestamp than the fourth timestamp TS 4 , then step 1070 may be performed.
단계(1030)에서, 인증 서버(120)의 처리부(310)는 인증 서버(120)에 저장된 제4 타임스탬프 TS 4 의 값을 더 최근의 타임스탬프인 제2 타임스탬프 TS 2 의 값으로 설정할 수 있다. 말하자면, 인증 서버(120)의 처리부(310)는 기존의 제4 타임스탬프 TS 4 를 더 최근의 타임스탬프인 제2 타임스탬프 TS 2 로 교체할 수 있다.In step 1030, the
단계(1040)에서, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 세션 키 SK에 기반하여 제4 인증 값을 생성할 수 있다.In step 1040, the
예를 들면, 우선, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N 및 제2 타임스탬프 TS 2 을 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 인증 서버(120)의 처리부(310)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제4 인증 값을 생성할 수 있다.For example, first, the
예를 들면, 결합 값은 사용자의 식별자 ID 신청자 , 난수 N 및 제2 타임스탬프 TS 2 이 모두 연쇄된 값일 수 있다.For example, the combined value may be a value in which both the user's identifier ID applicant , the random number N, and the second time stamp TS 2 are concatenated.
예를 들면, 제4 인증 값은 "HMAC AK {ID 신청자 , N, TS 1 }"와 같이 표현될 수 있다.For example, the fourth authentication value may be expressed as " HMAC AK { ID applicant , N , TS 1 } ".
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.The authentication key AK may be a value derived from the shared session key SK . The
단계(1050)에서, 인증 서버(120)의 처리부(310)는 제2 인증 값 및 제4 인증 값이 동일한지 여부를 검사할 수 있다.In
제2 인증 값 및 제4 인증 값이 동일한 경우, 신뢰된 권한 정보 메시지에 대한 검증이 성공하고, 단계(1060)가 수행될 수 있다. 제2 인증 값 및 제4 인증 값이 동일하지 않은 경우, 신뢰된 권한 정보 메시지에 대한 검증이 실패하고, 단계(1070)가 수행될 수 있다.If the second authentication value and the fourth authentication value are the same, the verification of the trusted authority information message is successful, and step 1060 can be performed. If the second authentication value and the fourth authentication value are not the same, verification for the trusted authority information message fails and
단계(1060)에서, 인증 서버(120)의 처리부(310)는 권한 정보 요청 메시지에 대한 검증이 성공한 것으로 결정할 수 있다.In
단계(1070)에서, 인증 서버(120)의 처리부(310)는 권한 정보 요청 메시지에 대한 검증이 실패한 것으로 결정할 수 있다.In
검증이 실패한 것으로 결정된 경우, 인증 서버(120)의 처리부(310)는 수신된 권한 정보 요청 메시지를 무시할 수 있고, 권한 관리 서버(130)와의 통신을 종료할 수 있다. 또한, 인증 서버(120)의 통신부(320)는 사용자 크리덴셜의 발급의 실패를 나타내는 응답을 사용자 단말(110)의 통신부(220)로 전송할 수 있다.
If it is determined that the verification is unsuccessful, the
도 11은 일 예에 따른 사용자 크리덴셜을 검증하는 방법의 흐름도이다.11 is a flowchart of a method for verifying a user credential according to an example.
도 5를 참조하여 전술된 단계(550)는 아래의 단계들(1110, 1120, 1130, 1140, 1150, 1160, 1170 및 1180)을 포함할 수 있다.Step 550 described above with reference to FIG. 5 may include the following
단계(1110)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜의 형식이 정상적인지 여부를 검사할 수 있다. 사용자 단말(110)의 처리부(210)는 발급된 사용자 크리덴셜이 모든 사용자 크리덴셜 정보들을 순서에 맞춰 포함하는지 여부를 검사할 수 있다.In
여기에서, 모든 사용자 크리덴셜 정보들은 도 6a 및 도 6b를 참조하여 전술된 사용자 크리덴셜(600)이 포함하는 정보들일 수 있다. 또한, 사용자 크리덴셜 정보들의 순서는 도 6a 및 도 6b에서 도시된 사용자 크리덴셜(600)이 포함하는 정보들의 순서(위에서 아래로)일 수 있다.Here, all user credential information may be the information that the user credential 600 described above is included with reference to Figures 6A and 6B. In addition, the order of the user credential information may be an order (top to bottom) of the information that the user credential 600 shown in FIGS. 6A and 6B includes.
사용자 단말(110)의 처리부(210)는 사용자 크리덴셜이 모든 사용자 크리덴셜 정보들을 순서에 맞춰 포함할 경우 발급된 사용자 크리덴셜이 정상적인 것으로 판단할 수 있다.The
사용자 단말(110)의 처리부(210)는 사용자 크리덴셜이 모든 사용자 크리덴셜 정보들을 포함하지 않을 경우, 사용자 크리덴셜이 정상적이지 않은 것으로 판단할 수 있다. 또는, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜이 사용자 크리덴셜 정보들을 순서대로 포함하지 않을 경우, 사용자 크리덴셜이 정상적이지 않은 것으로 판단할 수 있다.The
사용자 크리덴셜이 정상적인 것으로 판단된 경우, 사용자 크리덴셜에 대한 검증이 성공하고, 단계(1120)가 수행될 수 있다. 사용자 크리덴셜이 정상적이지 않은 것으로 판단된 경우, 사용자 크리덴셜에 대한 검증이 실패하고, 단계(1180)가 수행될 수 있다.If it is determined that the user credential is normal, verification of the user credential is successful, and
단계(1120)에서, 사용자 단말(110)의 처리부(210)는 인증 기관의 인증서를 사용하여 인증 기관의 서명이 정상적인지 여부를 판단할 수 있다.In
인증 기관의 서명이 정상적인 것으로 판단된 경우, 사용자 크리덴셜에 대한 검증이 성공하고, 단계(1130)가 수행될 수 있다. 인증 기관의 서명이 정상적이지 않은 것으로 판단된 경우, 사용자 크리덴셜에 대한 실패이 성공하고, 단계(1180)가 수행될 수 있다.If the signature of the certificate authority is determined to be normal, verification of the user credentials is successful, and
단계(1130)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜로부터 신뢰된 권한 정보를 추출할 수 있다. 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜의 확장 필드로부터 신뢰된 권한 정보를 추출할 수 있다.At
단계(1140)에서, 사용자 단말(110)의 처리부(210)는 신뢰된 권한 정보, 사용자의 식별자 ID 신청자 및 권한 관리 기관의 식별자에 대한 해쉬 값을 생성할 수 있다.In
권한 관리 기관의 식별자는 권한 관리 기관의 인증서에 포함된 인증서 소유자 정보로부터 추출될 수 있다.The identifier of the authority may be extracted from the certificate owner information included in the certificate of the authority.
사용자 단말(110)의 처리부(210)는 신뢰된 권한 정보, 사용자의 식별자 ID 신청자 및 권한 관리 기관의 식별자를 결합함으로써 결합 값을 생성할 수 있고, 결합 값의 해쉬 값을 생성할 수 있다. 여기에서, 결합은 연쇄를 의미할 수 있다.The
단계(1150)에서, 사용자 단말(110)의 처리부(210)는 권한 관리 기관의 공개 키를 이용하여 권한 관리 기관의 서명에 대한 복호화를 수행함으로써 복호화된 서명을 획득할 수 있다.In
권한 관리 기관의 공개 키는 권한 관리 기관의 인증서로부터 추출될 수 있다.The public key of the authority may be extracted from the certificate of the authority.
단계(1160)에서, 사용자 단말(110)의 처리부(210)는 해쉬 값 및 복호화된 서명이 일치하는지 여부를 검사할 수 있다. 해쉬 값 및 복호화된 서명이 일치할 경우 사용자 크리덴셜은 정상적인 것으로 간주될 수 있고, 사용자 크리덴셜에 포함된 권한 정보도 신뢰될 수 있다.At
해쉬 값 및 복호화된 서명이 일치할 경우, 사용자 크리덴셜에 대한 검증이 성공하고, 단계(1170)가 수행될 수 있다. 해쉬 값 및 복호화된 서명이 일치하지 않을 경우, 사용자 크리덴셜에 대한 검증이 실패하고, 단계(1180)가 수행될 수 있다.If the hash value and the decrypted signature match, verification of the user credentials is successful, and
단계(1170)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜에 대한 검증이 성공한 것으로 결정할 수 있다.At
사용자 크리덴셜에 대한 검증이 성공하면, 사용자 크리덴셜에 포함된 권한 정보 또한 신뢰될 수 있다.If the verification of the user credential is successful, the credential information contained in the user credential can also be trusted.
단계(1180)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜에 대한 검증이 실패한 것으로 결정할 수 있다.
At
도 12는 일 예에 따른 사용자 크리덴셜을 사용하여 서비스 또는 자원을 제공받는 방법의 흐름도이다.12 is a flow diagram of a method of receiving a service or resource using a user credential according to an example.
사용자 단말(110)이 서버(1210)로부터 서비스 또는 자원을 제공받기 위해서는 사용자 단말(110)의 사용자 크리덴셜을 서버(1210)에게 제공해야 할 필요가 있다. 서버(1210)는 서비스를 제공하는 어플리케이션 서버 또는 자원을 제공하는 자원 서버일 수 있다.In order for the
단계(1220)에서, 사용자 단말(110)의 통신부(220)는 서비스 요청 메시지를 서버(1210)로 전송할 수 있다. 서버(1210)는 사용자 단말(110)의 통신부(220)로부터 서비스 요청 메시지를 수신할 수 있다.In step 1220, the
서비스 요청 메시지는 사용자 단말(110)이 요청하는 서비스 또는 자원을 나타낼 수 있다.The service request message may indicate a service or resource requested by the
서비스 요청 메시지는 사용자 크리덴셜을 포함할 수 있다.The service request message may include a user credential.
단계(1230)에서, 서버(1210)는 사용자 크리덴셜에 대한 검증을 수행할 수 있다. 서버(1210)는 권한 관리 기관의 인증서를 사용하여 사용자 크리덴셜에 대한 검증을 수행할 수 있다.At
서버(1210)는 검증의 대상이 되는 사용자 크리덴셜을 권한 권리 서버(130)로부터 획득할 수 있다. 단계(1230)에서의 사용자 크리덴셜의 획득에 대하여 아래에서 도 13을 참조하여 상세하게 설명된다.The
서버(1210)는 사용자 크리덴셜이 정상적인 크리덴셜인지 여부를 판단할 수 있다.
사용자 크리덴셜이 정상적인 크리덴셜인 것으로 판단된 경우 단계(1260)가 수행될 수 있다. 사용자 크리덴셜이 정상적인 크리덴셜이 아닌 것으로 판단된 경우 서버(1210)는 사용자 단말(110)에 의한 서비스 또는 자원의 요청을 거부할 수 있고, 절차가 종료할 수 있다.If it is determined that the user credential is a normal credential, step 1260 may be performed. If it is determined that the user credential is not a normal credential, the
단계(1240)에서, 서버(1210)는 사용자 크리덴셜을 사용하여 사용자 단말(110)이 사용자 단말(110)에 의해 요청된 서비스 또는 자원을 사용하기에 적합한 권한이 있는지 여부를 판단할 수 있다.In
사용자 단말(110)이 요청된 서비스 또는 자원을 사용하기에 적합한 권한이 있는 것으로 판단된 경우, 단계(1270)가 수행될 수 있다. 사용자 단말(110)이 요청된 서비스 또는 자원을 사용하기에 적합한 권한이 없는 것으로 판단된 경우 서버(1210)는 사용자 단말(110)에 의한 서비스 또는 자원의 요청을 거부할 수 있고, 절차가 종료할 수 있다.If it is determined that the
단계(1250)에서, 서버(1210)는 사용자 단말(110)에게 사용자 단말(110)에 의해 요청된 서비스 또는 자원을 제공할 수 있다.
At step 1250, the
도 13은 일 예에 따른 사용자 크리덴셜에 대한 검증 방법의 흐름도이다.13 is a flowchart of a verification method for a user credential according to an example.
도 12를 참조하여 전술된 단계(1230)는 아래의 단계들(1310, 1320 및 1330)을 포함할 수 있다. 또한, 단계(1230)에 대해 설명된 내용 중 적어도 일부는 단계들(1310, 1320 및 1330)의 수행의 이전 또는 이후에 수행될 수 있다.
단계(1310)에서, 서버(1210)는 서버(1210)가 권한 관리 기관의 인증서를 가지고 있는지 여부를 검사할 수 있다.In
서버(1210)가 권한 관리 기관의 인증서를 가지고 있지 않은 경우 단계(1320)가 수행될 수 있다. 서버(1210)가 권한 관리 기관의 인증서를 가지고 있는 경우 절차가 종료할 수 있고, 도 12를 참조하여 전술된 단계(1230)가 수행될 수 있다.If the
단계(1320)에서, 서버(1210)는 인증서 요청 메시지를 권한 관리 서버(130)의 통신부(420)로 전송할 수 있다. 권한 관리 서버(130)의 통신부(420)는 서버(1210)로부터 인증서 요청 메시지를 수신할 수 있다.In
단계(1330)에서, 권한 관리 서버(130)의 통신부(420)는 인증서 메시지를 서버(1210)로 전송할 수 있다. 서버(1210)는 권한 관리 서버(130)의 통신부(420)로부터 인증서 메시지를 수신할 수 있다.In
인증서 메시지는 권한 관리 서버(130)를 운용하는 권한 관리 기관의 인증서를 포함할 수 있다.The certificate message may include a certificate of the authority managing the
단계(1330)가 수행된 후, 도 12를 참조하여 전술된 단계(1230)가 수행될 수 있다.After
실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.The method according to an embodiment may be implemented in the form of a program command that can be executed through various computer means and recorded in a computer-readable medium. The computer-readable medium may include program instructions, data files, data structures, and the like, alone or in combination. The program instructions to be recorded on the medium may be those specially designed and configured for the embodiments or may be available to those skilled in the art of computer software. Examples of computer-readable media include magnetic media such as hard disks, floppy disks, and magnetic tape; optical media such as CD-ROMs and DVDs; magnetic media such as floppy disks; Magneto-optical media, and hardware devices specifically configured to store and execute program instructions such as ROM, RAM, flash memory, and the like. Examples of program instructions include machine language code such as those produced by a compiler, as well as high-level language code that can be executed by a computer using an interpreter or the like. The hardware devices described above may be configured to operate as one or more software modules to perform the operations of the embodiments, and vice versa.
이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.While the present invention has been particularly shown and described with reference to exemplary embodiments thereof, it is to be understood that the invention is not limited to the disclosed exemplary embodiments. For example, it is to be understood that the techniques described may be performed in a different order than the described methods, and / or that components of the described systems, structures, devices, circuits, Lt; / RTI > or equivalents, even if it is replaced or replaced.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.Therefore, other implementations, other embodiments, and equivalents to the claims are also within the scope of the following claims.
110: 사용자 단말
120: 인증 서버
130: 권한 관리 서버
1210: 서버110: User terminal
120: Authentication server
130: Rights Management Server
1210: Server
Claims (20)
사용자 단말로부터 사용자 크리덴셜 요청 메시지를 수신하는 단계;
권한 관리 서버와의 상호 인증을 통해 세션 키를 공유하는 단계;
신뢰된 권한 정보 요청 메시지를 생성하는 단계;
상기 권한 관리 서버로 상기 신뢰된 권한 정보 요청 메시지를 전송하는 단계;
상기 권한 관리 서버로부터 상기 사용자 단말의 사용자에 대한 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 수신하는 단계;
상기 신뢰된 권한 정보 메시지에 대한 검증을 수행하는 단계;
상기 신뢰된 권한 정보 메시지가 검증되면, 상기 신뢰된 권한 정보를 사용하여 상기 사용자에 대한 사용자 크리덴셜을 생성하는 단계; 및
상기 사용자 크리덴셜을 포함하는 사용자 크리덴셜 메시지를 상기 사용자 단말로 전송하는 단계
를 포함하고,
상기 신뢰된 권한 정보는 상기 사용자의 권한 정보, 권한 관리 기관의 식별자 및 권한 서명의 결합이고,
상기 권한 서명은 상기 사용자의 권한 정보, 상기 권한 관리 기관의 식별자 및 상기 사용자의 식별자에 기반하여 생성되고,
상기 신뢰된 권한 정보 요청 메시지는 상기 사용자의 식별자, 상기 인증 서버가 생성한 난수, 제1 타임스탬프 및 제1 인증 값을 포함하는 결합 값에 대하여 암호 키를 사용하는 암호화를 수행함으로써 생성되고,
상기 암호 키는 상기 세션 키로부터 유도되는 사용자 크리덴셜 발급 방법.Which is performed by an authentication server operated by a certification authority,
Receiving a user credential request message from a user terminal;
Sharing a session key through mutual authentication with a rights management server;
Generating a trusted authority information request message;
Transmitting the trusted information request message to the rights management server;
Receiving a trusted authority information message including trusted authority information for a user of the user terminal from the authority management server;
Performing a verification on the trusted rights information message;
Generating a user credential for the user using the trusted credential if the trusted credential message is verified; And
Transmitting a user credential message including the user credential to the user terminal
Lt; / RTI >
Wherein the trusted authority information is a combination of the user's authority information, an authority of the authority,
Wherein the authority signature is generated based on the user's authority information, the authority management authority's identifier, and the user's identifier,
Wherein the trusted authority information request message is generated by performing encryption using a cryptographic key for a combined value including an identifier of the user, a random number generated by the authentication server, a first time stamp, and a first authentication value,
Wherein the cryptographic key is derived from the session key.
상기 사용자 크리덴셜은 X.509v3 인증서이고,
상기 신뢰된 권한 정보는 상기 X.509v3 인증서의 확장 필드에 저장되는 사용자 크리덴셜 발급 방법.The method according to claim 1,
The user credential is an X.509v3 certificate,
Wherein the trusted credential information is stored in an extension field of the X.509v3 certificate.
상기 제1 인증 값은 상기 사용자의 식별자, 상기 난수 및 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성되고,
상기 인증 키는 상기 세션 키로부터 유도되는 사용자 크리덴셜 발급 방법.The method according to claim 1,
Wherein the first authentication value is generated by performing a symmetric key signature using an authentication key for a combined value comprising the identity of the user, the random number, and a first time stamp,
Wherein the authentication key is derived from the session key.
상기 검증을 수행하는 단계는,
상기 신뢰된 권한 정보 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 상기 난수, 제2 타임스탬프, 상기 권한 관리 서버가 생성한 상기 신뢰된 권한 정보 및 제2 인증 값을 추출하는 단계;
상기 제2 타임스탬프가 상기 인증 서버에 저장된 제4 타임스탬프 보다 최신인지 여부를 검사하는 단계;
상기 제2 타임스탬프가 상기 제4 타임스탬프 보다 최신인 경우 상기 인증 서버의 상기 제4 타임스탬프를 제2 타임스탬프로 교체하는 단계;
상기 사용자의 식별자, 상기 제2 타임스탬프 및 상기 세션 키에 기반하여 제4 인증 값을 생성하는 단계; 및
상기 제2 인증 값 및 상기 제4 인증 값이 동일한지 여부를 검사하는 단계
를 포함하고,
상기 제2 타임스탬프가 제4 타임스탬프 보다 최신이지 않거나 상기 제2 인증 값 및 상기 제4 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 메시지에 대한 상기 검증이 실패하는 사용자 크리덴셜 발급 방법.The method according to claim 1,
Wherein performing the verification comprises:
Extracting the user's identifier, the random number, the second time stamp, the trusted authority information generated by the rights management server, and the second authentication value through decoding of the trusted authority information message;
Checking whether the second timestamp is more recent than a fourth timestamp stored in the authentication server;
Replacing the fourth timestamp of the authentication server with a second timestamp if the second timestamp is more recent than the fourth timestamp;
Generating a fourth authentication value based on the user's identifier, the second time stamp, and the session key; And
Checking whether the second authentication value and the fourth authentication value are the same
Lt; / RTI >
Wherein the verification for the trusted authority information message fails if the second timestamp is not more recent than the fourth timestamp, or the second authentication value and the fourth authentication value are not the same.
상기 제4 인증 값은 상기 사용자의 식별자, 상기 난수, 상기 제2 타임스탬프 및 상기 신뢰된 권한 정보를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성되고,
상기 인증 키는 상기 세션 키로부터 유도된 값인 사용자 크리덴셜 발급 방법.8. The method of claim 7,
Wherein the fourth authentication value is generated by performing a symmetric key signature using an authentication key for a combined value comprising the identity of the user, the random number, the second timestamp, and the trusted authority information,
Wherein the authentication key is a value derived from the session key.
인증 서버와의 상호 인증을 통해 세션 키를 공유하는 단계;
상기 인증 서버로부터 신뢰된 권한 정보 요청 메시지를 수신하는 단계;
상기 신뢰된 권한 정보 요청 메시지에 대한 검증을 수행하는 단계;
신뢰된 권한 정보 요청 메시지가 검증되면, 사용자에 대한 신뢰된 권한 정보 및 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 생성하는 단계; 및
상기 인증 서버로 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 전송하는 단계
를 포함하고,
상기 신뢰된 권한 정보는 상기 사용자의 권한 정보, 상기 권한 관리 기관의 식별자 및 권한 서명의 결합으로 생성되고,
상기 신뢰된 권한 정보 메시지를 생성하는 단계는,
상기 사용자의 식별자, 난수, 제2 타임스탬프 및 상기 신뢰된 권한 정보를 포함하는 결합 값에 대하여 인증 키로 대칭 키 서명을 수행함으로써 제2 인증 값을 생성하는 단계; 및
상기 사용자의 식별자, 상기 난수, 상기 제2 타임스탬프, 상기 신뢰된 권한 정보 및 상기 제2 인증 값을 포함하는 결합 값에 대하여 암호 키로 암호화를 수행함으로써 상기 신뢰된 권한 정보 메시지를 생성하는 단계
를 포함하고,
상기 인증 키 및 상기 암호 키는 상기 세션 키로부터 유도된 값인 신뢰된 권한 정보 제공 방법.Which is performed by a rights management server operated by a rights management authority,
Sharing a session key through mutual authentication with an authentication server;
Receiving a trusted information request message from the authentication server;
Performing a verification of the trusted information request message;
Generating a trusted authority information message including trusted authority information for the user and the trusted authority information if the trusted authority information request message is verified; And
Transmitting a trusted authority information message including the trusted authority information to the authentication server
Lt; / RTI >
Wherein the trusted authority information is generated by combining authority information of the user, an identifier of the authority authority and an authority signature,
Wherein the generating the trusted rights information message comprises:
Generating a second authentication value by performing a symmetric key signature with an authentication key for a combined value including the user's identifier, a random number, a second timestamp, and the trusted authority information; And
Generating the trusted authority information message by performing encryption with an encryption key for a combined value comprising the user's identifier, the random number, the second timestamp, the trusted authority information, and the second authentication value
Lt; / RTI >
Wherein the authentication key and the cryptographic key are values derived from the session key.
상기 권한 서명은 상기 사용자의 권한 정보, 상기 사용자의 식별자 및 상기 권한 관리 기관의 식별자에 기반하여 생성되는 신뢰된 권한 정보 제공 방법.11. The method of claim 10,
Wherein the authorization signature is generated based on the authorization information of the user, the identifier of the user, and the identifier of the authorization authority.
인증 서버와의 상호 인증을 통해 세션 키를 공유하는 단계;
상기 인증 서버로부터 신뢰된 권한 정보 요청 메시지를 수신하는 단계;
상기 신뢰된 권한 정보 요청 메시지에 대한 검증을 수행하는 단계;
신뢰된 권한 정보 요청 메시지가 검증되면, 사용자에 대한 신뢰된 권한 정보 및 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 생성하는 단계; 및
상기 인증 서버로 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 전송하는 단계
를 포함하고,
상기 신뢰된 권한 정보는 상기 사용자의 권한 정보, 상기 권한 관리 기관의 식별자 및 권한 서명의 결합으로 생성되고,
상기 검증을 수행하는 단계는,
상기 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 난수, 제1 타임스탬프 및 제1 인증 값을 추출하는 단계;
상기 제1 타임스탬프가 상기 권한 관리 서버에 저장된 제3 타임스탬프 보다 최신인지 여부를 검사하는 단계;
상기 제1 타임스탬프가 제3 타임스탬프 보다 최신인 경우 상기 인증 서버의 제3 타임스탬프를 제1 타임스탬프로 교체하는 단계;
상기 사용자의 식별자, 상기 제1 타임스탬프 및 상기 세션 키에 기반하여 제3 인증 값을 생성하는 단계; 및
상기 제1 인증 값 및 상기 제3 인증 값이 동일한지 여부를 검사하는 단계
를 포함하고,
상기 제1 타임스탬프가 제3 타임스탬프 보다 최신이지 않거나 상기 제1 인증 값 및 상기 제3 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 요청 메시지에 대한 상기 검증이 실패하는 신뢰된 권한 정보 제공 방법.Which is performed by a rights management server operated by a rights management authority,
Sharing a session key through mutual authentication with an authentication server;
Receiving a trusted information request message from the authentication server;
Performing a verification of the trusted information request message;
Generating a trusted authority information message including trusted authority information for the user and the trusted authority information if the trusted authority information request message is verified; And
Transmitting a trusted authority information message including the trusted authority information to the authentication server
Lt; / RTI >
Wherein the trusted authority information is generated by combining authority information of the user, an identifier of the authority authority and an authority signature,
Wherein performing the verification comprises:
Extracting an identifier, a random number, a first time stamp, and a first authentication value of the user through decryption of the trusted information request message;
Checking whether the first timestamp is more recent than a third timestamp stored in the rights management server;
Replacing the third timestamp of the authentication server with a first timestamp if the first timestamp is more recent than the third timestamp;
Generating a third authentication value based on the user's identifier, the first time stamp, and the session key; And
Checking whether the first authentication value and the third authentication value are the same
Lt; / RTI >
Wherein the verification for the trusted authority information request message fails if the first timestamp is not more recent than the third timestamp, or if the first authentication value and the third authentication value are not the same.
상기 제3 인증 값은 상기 사용자의 식별자, 상기 난수, 상기 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성되고,
상기 인증 키는 상기 세션 키로부터 유도된 값인 신뢰된 권한 정보 제공 방법.16. The method of claim 15,
Wherein the third authentication value is generated by performing a symmetric key signature using an authentication key for a combined value including the user's identifier, the random number, and the first time stamp,
Wherein the authentication key is a value derived from the session key.
Applications Claiming Priority (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| KR1020150113259 | 2015-08-11 | ||
| KR20150113259 | 2015-08-11 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| KR20170019308A KR20170019308A (en) | 2017-02-21 |
| KR101817152B1 true KR101817152B1 (en) | 2018-02-21 |
Family
ID=58313771
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| KR1020160040973A KR101817152B1 (en) | 2015-08-11 | 2016-04-04 | Method for providing trusted right information, method for issuing user credential including trusted right information, and method for obtaining user credential |
Country Status (1)
| Country | Link |
|---|---|
| KR (1) | KR101817152B1 (en) |
Cited By (2)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20200102852A (en) | 2019-02-22 | 2020-09-01 | 데이터얼라이언스 주식회사 | Public ledger based autonomous credential management system and method |
| KR20210064076A (en) * | 2019-11-25 | 2021-06-02 | 한국전자통신연구원 | Anonymous credential authentication system and method thereof |
Families Citing this family (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR102274163B1 (en) * | 2019-11-27 | 2021-07-08 | 주식회사 에이디티캡스 | System of credential management for mobile access authentication using secure module |
| KR102381038B1 (en) | 2020-05-28 | 2022-03-30 | 고려대학교 산학협력단 | Techniques for secure authentication of the controlled devices |
| WO2022109020A1 (en) * | 2020-11-18 | 2022-05-27 | Visa International Service Association | Integrating identity tokens and privacy-preserving identity attribute attestations into interactions |
| CN112948143B (en) * | 2021-03-04 | 2024-01-12 | 北京奇艺世纪科技有限公司 | Application program calling method, device and system |
| CN116074028A (en) * | 2021-11-02 | 2023-05-05 | 华为技术有限公司 | Access control method, device and system for encrypted traffic |
-
2016
- 2016-04-04 KR KR1020160040973A patent/KR101817152B1/en active IP Right Grant
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| KR20200102852A (en) | 2019-02-22 | 2020-09-01 | 데이터얼라이언스 주식회사 | Public ledger based autonomous credential management system and method |
| US12003496B2 (en) | 2019-02-22 | 2024-06-04 | Data Alliance Co., Ltd. | System and method for autonomously operating public ledger-based credential |
| KR20210064076A (en) * | 2019-11-25 | 2021-06-02 | 한국전자통신연구원 | Anonymous credential authentication system and method thereof |
| KR102460299B1 (en) | 2019-11-25 | 2022-10-28 | 한국전자통신연구원 | Anonymous credential authentication system and method thereof |
Also Published As
| Publication number | Publication date |
|---|---|
| KR20170019308A (en) | 2017-02-21 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR101817152B1 (en) | Method for providing trusted right information, method for issuing user credential including trusted right information, and method for obtaining user credential | |
| US9635013B2 (en) | Secure data handling by a virtual machine | |
| US9141822B2 (en) | Computer system for storing and retrieval of encrypted data items, client computer, computer program product and computer-implemented method | |
| EP1914658B1 (en) | Identity controlled data center | |
| US8555075B2 (en) | Methods and system for storing and retrieving identity mapping information | |
| US7657531B2 (en) | Systems and methods for state-less authentication | |
| US7526649B2 (en) | Session key exchange | |
| US8997198B1 (en) | Techniques for securing a centralized metadata distributed filesystem | |
| EP2954448B1 (en) | Provisioning sensitive data into third party network-enabled devices | |
| US9900157B2 (en) | Object signing within a cloud-based architecture | |
| US20140112470A1 (en) | Method and system for key generation, backup, and migration based on trusted computing | |
| WO2019089044A1 (en) | Secure identity and profiling system | |
| US8953805B2 (en) | Authentication information generating system, authentication information generating method, client apparatus, and authentication information generating program for implementing the method | |
| CN111914293B (en) | Data access right verification method and device, computer equipment and storage medium | |
| JP2017225054A (en) | Profile data distribution control device, profile data distribution control method, and profile data distribution control program | |
| CN114008968A (en) | System, method and storage medium for license authorization in a computing environment | |
| KR20090084545A (en) | Ce device management server, method for issuing drm key using ce device management server, and computer readable medium | |
| CN115277168B (en) | Method, device and system for accessing server | |
| WO2008053279A1 (en) | Logging on a user device to a server | |
| JPH05298174A (en) | Remote file access system | |
| CN113271207A (en) | Escrow key using method and system based on mobile electronic signature, computer equipment and storage medium | |
| US11804957B2 (en) | Exporting remote cryptographic keys | |
| JP4219076B2 (en) | Electronic document management method, electronic document management system, and recording medium | |
| KR101839699B1 (en) | Method for maintaining security without exposure authentication information, and secure usb system | |
| CN115442136A (en) | Application system access method and device |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A201 | Request for examination | ||
| E902 | Notification of reason for refusal | ||
| AMND | Amendment | ||
| E601 | Decision to refuse application | ||
| AMND | Amendment | ||
| E90F | Notification of reason for final refusal | ||
| AMND | Amendment | ||
| X701 | Decision to grant (after re-examination) | ||
| GRNT | Written decision to grant |