KR102705620B1

KR102705620B1 - 사용자 2차 인증 방법

Info

Publication number: KR102705620B1
Application number: KR1020230079155A
Authority: KR
Inventors: 권대욱
Original assignee: 주식회사 야일
Priority date: 2023-06-20
Filing date: 2023-06-20
Publication date: 2024-09-11

Abstract

본 발명은 사용자 2차 인증 방법에 관한 것이다. 본 발명의 방법은 서비스 서버에 아이디와 비밀번호를 등록하는 제1단계와, 인증 서비스 가입 단계에서 인증 서버가 사용자의 휴대폰 번호를 전달받으면 이동통신사 서버에 정당한 사용자인지를 확인하여 사용자 인증을 위한 고유정보를 데이터베이스에 저장하는 제2단계와, 인증 서비스 이용 단계에서 사용자가 인증 로그인을 요청하면, 서비스 서버가 휴대폰 번호를 입력받아 인증 서버에 전달하는 제3단계와, 인증 서버가 사용자의 휴대폰 번호를 전달받으면, 인증 서비스 가입자이면 해당 사용자 휴대폰의 인증 앱을 활성화시켜 고유정보를 추출하는 제4단계와, 인증 앱이 사용자의 아이디와 비밀번호를 입력받아 고유정보와 함께 인증 서버로 전송하는 제 5 단계와, 인증 서버가 수신된 고유정보를 저장된 고유정보와 비교하거나 이동통신사의 고유정보와 비교하여 1차 인증하는 제6단계와, 서비스 서버가 인증 서버로부터 1차 인증결과와 아이디 및 비밀번호를 전달받아 자체 등록된 아이디 및 비밀번호와 비교하여 2차 인증하는 제7단계와, 서비스 서버가 인증 결과에 따라 해당 사용자에게 서비스를 제공하는 제8단계를로 구성된다.

Description

사용자 2차 인증 방법{Secure user two factor authentication method}

본 발명은 네트워크 상에서 사용자를 안전하게 인증하는 기술에 관한 것으로서, 더욱 상세하게는 해킹, 스미싱, 파밍 등으로 인한 피해를 방지할 수 있는 사용자 2차 인증 방법에 관한 것이다.

일반적으로, 범용 가입자 식별 모듈(USIM; 이하 '유심'이라 한다)은 WCDMA 네트워크 접속 및 가입자 인증용 애플리케이션으로 통신용 스마트 카드인 UICC(Universal Integrated Circuit Card)에 탑재되어 구동된다. USIM 애플리케이션은 가입자 정보(IMSI, ICCID), 네트워크 정보, 인증 정보 등의 중요 정보와 텍스트 메시지, 이메일, 폰 북 등의 개인부가서비스 정보를 저장한다. 여기서, 고유 식별 정보인 가입자 정보는 국제 이동통신 가입자 코드(IMSI:International Mobile Subscriber Identify)와 19 혹은 20자리의 집적회로 카드 식별자(ICC-ID:Integrated Circuit Card IDentifier)로 이루어진다. USIM 애플리케이션은 WCDMA 가입자 인증을 위하여 인증센터(AuC:Authentication Center)와 비밀키(K)를 공유하여 소정의 인증절차를 수행하여 무선 네트워크 서비스의 기밀성(confidentiality)과 무결성(integrity)를 제공하게 된다.

한편, 네트워크 상에서의 보안은 크게 침입방지와 침입탐지의 2단계로 구분된다. 침입방지는 네트워크 보안의 최일선에 있으며, 인증, 권한부여, 접근제어 등이 있다. 외부와 연결된 네트워크의 경우, 외부로부터의 침입은 불가피한데, 외부 침입자가 침입 방지 방식을 무력화시킨 후, 네트워크에 침입한다면 침입탐지를 통해 외부 침입자를 찾아내야 한다.

침입방지에 가장 많이 사용되는 방법 중 하나는 사용자 인증(User Authentication)인데, 사용자 인증은 사용자가 자신을 증명하는 자료를 충분히 제시하지 못하면, 네트워크에 접속하지 못하게 막는 방법이다. 사용자 인증을 기반으로 네트워크의 침입을 방지하려면, 사용자 인증 방식을 네트워크 환경에 적합하게 설계하고, 전체 네트워크 차원에서의 보안 취약 지점들을 제거해야 한다.

네트워크상에서 사이트 로그인 및 본인인증, 소액결제, 신용카드 결제, 자금이체 등을 이용할 때 사용자 본인 여부를 확인하기 위한 사용자 인증에는 사용자의 ID 및 비밀번호를 인증하거나 OTP(One time password)를 휴대폰으로 전송하여 이를 입력하도록 하여 인증하는 방법, 공인인증서를 이용하는 방법 등이 있다.

그런데 최근에는 IT 기술이 발전하면서 해킹, 스미싱, 파밍 등과 같은 악의적인 공격 기법도 다양해져 기존의 인증 방법들을 무력화시키고 있고, 금융기관의 관리 소홀로 중요한 개인정보가 유출되어 악의적인 공격에 노출될 위험이 더욱 커지고 있다. 예컨대, 아이디와 비밀번호(ID/PWD)를 해킹 및 도용 당하여 아이템, 마일리지를 탈취 당하거나 OTP 전송용 SMS를 중간에 가로채서 소액결제 사기에 이용하거나 금융기관의 사이트를 복제하여 금융정보를 가로채는 등 많은 피해가 발생하고 있으며, 사용자들의 불안감도 커지고 있다. 특히, 대부분의 사용자가 스마트 폰에서 자동 로그인을 이용하기 위하여 ID와 비밀번호를 쿠키 형태로 스마트폰 메모리에 저장하고 있어 해킹 위험이 더욱 커지고 있다.

특히, 네트워크상에서 사이트 본인인증, 소액결제를 이용할 때 사용자의 휴대폰으로 OTP를 전송하여 이를 PC에 입력하도록 하는 방법이 이용되고 있는데, 휴대폰으로 전송된 OTP 전송용 SMS를 중간에 가로채는 스미싱에 의해 소액결제 사기에 많은 피해가 발생하고 있으며, 사용자들의 불안감도 커지고 있다. 이러한 스미싱을 막기 위하여 결제서비스 운영업체들은 사용자들에게 악성 앱을 설치하지 않도록 홍보를 강화하고 있다.

또한 해킹, 스미싱, 파밍 등을 막기 위하여 각 금융기관, 사이트 운영업체, 결제서비스 운영업체들은 기존 인증수단 외에 추가적인 인증 수단들을 사용자들에게 요구하거나 비밀번호의 자리수나 문자 조합 등을 복잡하게 만들도록 함으로써 사용자들의 불편이 가중되고 있다.

공개특허 10-2012-10602호(발명의 명칭 : 이동통신 시스템을 통해 보안이 강화된 사용자 인증 처리 방법 및 이에 이용되는 이동통신 단말기)

본 발명은 전술한 문제점을 해결하기 위하여 제안된 것으로, 본 발명의 목적은 접근이 제한된 유심(USIM)에 저장된 고유의 가입자 정보(ICC-ID)와 OTP 또는 비밀번호를 이용하여 이중으로 사용자를 인증하고 OTP 전송 및 입력 프로세스를 변경 함으로써 네트워크 상에서 안전하고 편리하게 로그인 및 본인인증, 소액결제, 신용카드 결제, 자금이체 등을 이용할 수 있도록 하는 사용자 2차 인증 방법을 제공하는 것이다.

상기와 같은 목적을 달성하기 위하여 본 발명의 방법은 서비스 서버에 아이디와 비밀번호를 등록하는 제 1 단계; 인증 서비스 가입 단계에서 인증 서버가 사용자의 휴대폰 번호를 전달받으면 이동통신사 서버에 정당한 사용자인지를 확인하여 사용자 인증을 위한 고유정보(ICCID)를 자체 데이터베이스에 저장하는 제 2 단계; 인증 서비스 이용 단계에서 사용자가 인증 로그인을 요청하면, 상기 서비스 서버가 휴대폰 번호를 입력받아 상기 인증 서버에 전달하는 제 3 단계; 상기 인증 서버가 사용자의 휴대폰 번호를 전달받으면, 인증 서비스 가입자인지를 확인하여 인증 서비스 가입자이면 해당 사용자 휴대폰의 인증 앱을 활성화시켜 고유정보(ICCID)를 추출하는 제 4 단계; 인증 앱이 사용자의 아이디와 비밀번호를 입력받아 고유정보(ICCID)와 함께 상기 인증 서버로 전송하는 제 5 단계; 상기 인증 서버가 수신된 고유정보(ICCID)를 저장된 고유정보(ICCID) 또는 이동통신사 서버에 저장된 고유정보(ICCID)와 비교하여 1차 인증하는 제 6 단계; 상기 서비스 서버가 상기 인증 서버로부터 1차 인증결과와 아이디 및 비밀번호를 전달받아 자체 등록된 아이디 및 비밀번호와 비교하여 2차 인증하는 제 7 단계; 및 상기 서비스 서버가 인증 결과에 따라 해당 사용자에게 서비스를 제공하는 제 8 단계로 구성된다.

본 발명에 따른 사용자 인증 방법은 OTP 또는 유심(USIM)이나 서비스 서버에 저장된 비밀번호로 인증함과 아울러 USIM의 가입자 고유정보(ICC ID, IMSI)로 2차 인증함으로써 이중으로 인증을 수행하여 사용자가 안전하게 서비스를 이용할 수 있는 효과가 있다. 특히, 본 발명은 비밀번호를 모바일 단말의 USIM에 저장한 후 이를 이용하여 인증할 수 있으므로 PC 또는 스마트폰의 해킹으로부터 안전하고, USIM에 부여된 고유한 개별 식별번호인 가입자 정보(ICC ID)로 소유자의 휴대폰 점유를 인증하고 OTP를 휴대폰이 아닌 PC로 전송하고 스마트폰에서 입력하거나 OTP 대신에 앱 비밀번호를 입력함으로써 악성 앱 설치로 인한 SMS 탈취를 방지하여 스미싱을 차단할 수 있다. 또한 가입자 정보는 이동통신사로부터 승인을 받은 신뢰있는 사업자만이 읽을 수 있으므로 앱(App)의 위/변조로 인한 파밍을 방지할 수 있다.

그리고 본 발명은 비밀번호와 가입자 정보를 이용하여 이중으로 인증하므로 ID, 비밀번호 등 개인정보가 유출되더라도 가입자 정보를 모르면 로그인이나 결제 등이 되지 않으므로 개인정보 유출로 인한 피해도 방지할 수 있고, 스마트 폰에서 쿠키의 무분별한 사용으로 인한 해킹 피해를 사전에 방지할 수 있으며, PC에서는 인증수단 저장 및 매체가 분리되어 있어 키보드 해킹 등으로부터 안전한 효과가 있다.

나아가 인증시 사용자는 비밀번호만 입력하면 되고, 가입자 정보 인증은 사용자가 모르는 상태에서 이루어지므로 기존에 수행하던 인증방법보다 오히려 절차가 간소화되어 편의성을 제고할 수 있으며, 특히 소액 결제시에는 사용자의 OTP 입력에 따른 불편을 방지할 수 있다.

도 1은 본 발명에 따른 USIM을 이용한 사용자 인증 시스템의 전체 네트워크 구성을 도시한 개략도,
도 2는 본 발명의 제1 실시예에서 사용자가 USIM에 직접 비밀번호를 입력하여 저장하는 절차를 도시한 흐름도,
도 3은 본 발명의 제1 실시예에서 이동통신망을 통해 USIM에 비밀번호를 저장하는 절차를 도시한 흐름도,
도 4는 본 발명의 제1 실시예에 따라 USIM을 이용하여 사용자를 인증하는 절차를 도시한 흐름도,
도 5는 본 발명의 제2 실시예에 따라 인증 서비스에 가입하는 절차를 도시한 순서도,
도 6은 본 발명의 제2 실시예에 따라 인증 서비스를 이용하는 절차를 도시한 순서도,
도 7은 본 발명의 제3 실시예에 따라 소액 결제에 인증 서비스를 적용한 절차를 도시한 순서도,
도 8은 본 발명의 제3 실시예에 따라 소액 결제에 OTP 대신 비밀번호를 이용한 인증 절차를 도시한 순서도이다.

본 발명과 본 발명의 실시에 의해 달성되는 기술적 과제는 다음에서 설명하는 본 발명의 바람직한 실시예들에 의하여 보다 명확해질 것이다. 다음의 실시예들은 단지 본 발명을 설명하기 위하여 예시된 것에 불과하며, 본 발명의 범위를 제한하기 위한 것은 아니다.

도 1은 본 발명에 따른 유심(USIM)을 이용한 사용자 인증 시스템의 네트워크 구성도이다.

본 발명에 따른 사용자 인증 시스템(100)은 도 1에 도시된 바와 같이, 사용자의 비밀번호와 고유정보를 저장하기 위한 USIM이 탑재된 사용자의 휴대폰(112)과, 유/무선 인터넷을 통해 서비스 서버(120)에 로그인하여 서비스를 이용하고 결제를 처리할 수 있는 사용자 PC(110)인 사용자 단말기와, 사용자에게 서비스를 제공하는 서비스 서버(120)와, 휴대폰 번호, 고유정보(ICCID)와 같은 사용자 정보를 저장하고 고유정보(ICCID)를 인증하며 사용자 인증을 중개하는 인증 서버(130)와, 사용자가 사용자 인증 방법을 이용할 수 있는 정당한 사용자인지를 인증하고 인증 서버로 사용자 정보를 전송하는 이동통신사 서버(140)와, 결제 서버(150)와, 각 주체들을 연결하는 유/무선 인터넷(102)과 이동통신망(104)으로 구성된다. 본 발명의 실시예에서는 사용자 단말기로 사용자 PC(110)를 예로 들어 설명하였으나 스마트 폰, 태블릿 PC, 노트북 등과 같이 인터넷에 접속할 수 있는 다양한 유/무선 단말기를 이용할 수도 있다.

도 1을 참조하면, 인터넷(102)은 주지되어 있는 바와 같이 전 세계에 산재해 있는 컴퓨터 망을 유/무선을 통해 연결하는 TCP/IP 통신규약에 따르는 네트워크들의 네트워크를 말한다. 이동통신망(104)은 기지국(BS) 및 기지국 제어기(BSC)를 포함하여 구성되고, CDMA, WCDMA뿐만 아니라 LTE, LTE-A 및 향후 구현될 이동통신 시스템의 접속망을 포함하는 포괄적인 통신망이다.

사용자 PC(110)는 인터넷에 접속이 가능한 개인용 컴퓨터(Personal Computer)이고, 사용자 휴대폰(112)에 포함된 USIM은 이동 전화기에서 사용할 수 있는 카드 형태의 모듈로써 가입자에게 인증과 요금 부과, 보안 기능 등의 다양한 서비스를 제공할 수 있도록 개인정보를 저장한 통신용 스마트 카드인 UICC(Universal Integrated Circuit Card)이다. USIM에는 고유의 가입자 정보(IMSI, ICCID)를 포함하여 다양한 정보들이 저장되어 있는데, 본 발명의 실시예에서는 USIM에 각각 부여된 고유한 정보를 간단히 'ICCID'라 한다.

서비스 서버(120)는 사용자가 사용자 PC(110)나 휴대폰으로 인터넷(102)을 통해 접속하여 컨텐츠를 이용하거나 상품을 구매할 수 있는 통상의 서비스 사이트로서, 사용자에게 서비스를 제공하기 위해서 사용자 인증을 필요로 한다. 즉, 서비스 서버(120)는 로그인을 필요로 하는 다양한 사이트나 온라인 쇼핑몰, 포탈 사이트, 혹은 결제 업무, 본인인증 업무를 중개하는 업체의 서버를 말한다.

인증 서버(130)는 본 발명에 따른 유심(USIM)을 이용한 사용자 인증을 제공하는 서버로서, 휴대폰 번호, ICCID 등 사용자의 인증에 필요한 정보를 저장하여 인증을 수행하고, 인증결과를 전송하는 등 사용자 인증 업무를 중개하는 역할을 한다.

이동통신사 서버(140)는 이동통신 가입자에 대한 정보(USIM에 저장된 가입자 정보)를 저장하고 있어 휴대폰 사용자가 이동통신사 가입자인지를 인증할 수 있고, 인증 서버(130)에 필요한 고객정보를 전송하거나 고객정보를 갱신(Update)해준다.

결제 서버(PG;150)는 서비스 서버(120)의 요구에 따라 결제를 처리해주는 지불 게이트웨이(PG) 혹은 결제대행 서비스 서버이다.

이와 같은 사용자 인증 시스템(100)을 이용하여 사용자를 인증해주는 본 발명은, 비밀번호를 휴대폰(110)의 USIM에 저장하느냐 저장하지 않느냐에 따라 절차가 달라지는데, 본 발명의 실시예에서는 USIM에 비밀번호를 저장한 후 휴대폰의 인증 앱을 이용하여 인증하고 인증 서버(130)에서 ICCID로 인증하는 제1 실시예와, USIM에 비밀번호를 저장하지 않고 서비스 서버(120)에서 비밀번호로 인증하고 인증 서버(130)에서 ICCID로 인증하는 제2 실시예와, 본 발명의 인증 서비스가 적용된 소액 결제 절차인 제3 실시예로 구분하여 설명하기로 한다.

[제1 실시예]

도 2는 본 발명의 제1 실시예에 따라 USIM에 사용자가 직접 비밀번호를 입력하여 저장하는 절차를 도시한 흐름도이다. 즉, 도 2의 방식에서는 비밀번호를 서비스 서버(120)에 저장하지 않고, 사용자 휴대폰(112)의 USIM에 직접 저장하여 사용자를 인증하는 방식이다.

도 2를 참조하면, 사용자는 사용자 PC(110)나 휴대폰에서 USIM을 이용한 사용자 인증을 이용하기 위해 필요한 휴대폰 정보를 서비스 서버(120)로 입력하고, 서비스 서버(120)는 입력된 휴대폰 정보를 인증서버(130)로 전송한다(S101,S102).

인증 서버(130)는 휴대폰 정보를 통신사 서버(140)로 전송하여 사용자가 USIM을 이용한 사용자 인증이 가능한 정당한 사용자인지를 인증하도록 요청한다(S103).

휴대폰 정보를 전송받은 통신사 서버(140)는 자체 고객 정보를 활용하여 사용자 인증을 한 후 인증결과와 고객정보를 인증 서버(130)로 전송한다(S104,S105). 여기서 고객정보는 휴대폰번호, ICCID 등 통신사 서버(140)에 등록되어 있는 사용자의 정보이다.

인증 서버(130)는 통신사 서버(140)로부터 전송받은 고객정보(ICCID)를 인증서버(130)의 데이터베이스(DB)에 저장하고, 사용자 휴대폰(112)으로 인증 앱을 푸시하여 비밀번호 입력을 요청한다(S106).

사용자 휴대폰(112)에서 실행된 인증 앱은 사용자에게 비밀번호 입력을 요청하고, 비밀번호가 입력되면 사용자 휴대폰(112)의 USIM에 저장한다(S107,S108).

도 3은 본 발명의 제1 실시예에 따라 USIM을 이용한 사용자 인증을 위해 이동통신망을 통해 USIM에 비밀번호를 저장하는 절차를 도시한 흐름도이다. 즉, 도 2에서는 사용자가 인증 앱을 통해 직접 비밀번호를 입력하는 방식이나 도 3은 서비스 서버(120)에 사용자의 아이디와 비밀번호(ID/PWD)가 등록되어 있는 경우에 서비스 서버(120)가 제공하는 비밀번호를 인증 서버(130)가 이동통신망(104)을 통해 해당 사용자 휴대폰(112)의 USIM에 저장하는 방식이다.

도 3을 참조하면, 먼저 사용자는 서비스 서버(120)에 아이디(ID)와 패스워드(PWD)가 등록되어 있다.

이후 사용자가 사용자PC(110)나 휴대폰을 이용하여 서비스 서버(120)에 로그인한 후 사용자 인증을 위해 휴대폰 정보를 서비스 서버(120)로 입력하면, 서비스 서버(120)는 해당 사용자의 휴대폰 정보와 비밀번호를 인증서버(130)로 전달한다(S201,S202).

인증 서버(130)는 비밀번호는 일시 저장하고 있고, 휴대폰 정보를 통신사 서버(140)로 전송하여 사용자가 USIM을 이용한 사용자 인증이 가능한 정당한 사용자인지를 인증하도록 요청한다(S203).

휴대폰 정보를 전송받은 통신사 서버(140)는 사용자 인증을 한 후 인증결과와 휴대폰번호, ICCID 등 고객정보를 인증서버(130)로 전송한다(S204,S205).

인증 서버(130)는 통신사 서버(140)로부터 전송받은 사용자의 정보(고객정보)를 인증서버(130)의 데이터베이스(DB)에 저장하고, 서비스 서버(120)로부터 전달받은 해당 사용자의 비밀번호를 이동통신망(104)을 통해 해당 사용자의 휴대폰(112)으로 전송함과 아울러 인증 앱을 푸시하여 인증 앱이 사용자 휴대폰(112)의 USIM에 비밀번호를 저장하게 한다(S206,S207).

도 4는 본 발명의 제1 실시예에 따라 비밀번호가 저장된 USIM을 이용하여 사용자를 인증하는 절차를 도시한 흐름도이다.

도 4를 참조하면, 사용자는 사용자 PC(110)나 휴대폰에서 USIM을 이용한 사용자 인증을 요청하기 위해 휴대폰 정보를 서비스 서버(120)로 입력하고, 서비스 서버(120)는 휴대폰 정보를 인증 서버(130)로 전달한다(S301,S302).

인증 서버(130)는 인증을 요청받은 휴대폰 정보와 인증 서버(130)에 저장된 데이터베이스(DB)의 정보를 비교하여 USIM을 이용한 사용자 인증 방법을 이용할 수 있는 사용자인지를 확인한다(S303). 인증서버(130)는 요청한 사용자가 USIM을 이용한 사용자 인증 방법을 이용할 수 있는 정당한 사용자로 확인되면, 해당 사용자 휴대폰(112)에 인증 앱을 푸시하여 비밀번호 입력을 요청한다(S304).

사용자가 사용자 휴대폰(112)에서 비밀번호를 입력하면, 인증 앱은 사용자 휴대폰(112)의 USIM에 저장되어 있는 비밀번호와 사용자가 입력한 비밀번호를 비교하여 인증한다(S305,S306).

비밀번호 인증이 완료되면, 인증 앱은 사용자 휴대폰 USIM(112)의 ICCID를 추출하여 암호화하고, 비밀번호 인증 결과와 ICCID를 인증서버(130)로 전송한다(S307,S308).

인증 서버(130)는 인증 서버(130)의 데이터베이스(DB)에 저장되어 있는 ICCID와 사용자 휴대폰(110)으로부터 전송된 ICCID를 비교하거나 이동통신사 서버(140)의 ICCID를 비교하여 USIM 인증하고, 비밀번호와 ICCID의 인증결과를 서비스 서버(120)로 전송한다(S309,S310).

서비스 서버(130)는 인증결과 인증이 정상적으로 완료되었으면, 로그인, 결제 등 서비스를 제공하고, 정상적으로 완료되지 못하였으면 인증실패 메세지를 사용자에게 통지한다(S311~S313).

[제2 실시예]

도 5는 본 발명의 제 2 실시예에 따라 인증 서비스에 가입하는 절차를 도시한 순서도이다.

도 5를 참조하면, 사용자는 서비스 서버(120)에 회원가입되어 아이디(ID)와 비밀번호(PWD)가 가입자 데이터베이스에 등록되어 있다(S401,S402).

이후 사용자가 사용자 PC(110)나 휴대폰으로 사용자의 휴대폰 번호를 입력한 후 인증 서비스 가입을 요청하면, 서비스 서버(120)는 인증 서버(130)에 휴대폰 번호를 전달하여 인증 서비스 가입을 요청한다(S403,S404).

인증 서버(130)는 전달된 휴대폰 번호를 통신사 서버(140)로 전달하여 명의자 확인을 요청하고, 통신사 서버(140)는 명의자를 확인한 후 해당 고객정보를 인증 서버(130)로 전달한다(S405~S407).

인증 서버(130)는 자체 데이터베이스에 인증 서비스를 요청한 고객정보를 저장한 후, 인증 앱 설치를 위한 다운로드 URL이 포함된 문자 메시지(SMS)를 해당 사용자 휴대폰(112)으로 전송한다(S408,S409).

이에 따라 해당 사용자 휴대폰(112)은 인증 앱을 설치하고, 인증 서비스에 가입한 후 서비스 서버(120)의 아이디와 비밀번호를 입력한 후 인증 서버(130)에 아이디와 비밀번호 검증을 요청한다(S410~S413).

인증 서버(130)는 아이디와 비밀번호를 서비스 서버(120)로 전달하여 아이디와 비밀번호 검증을 요청하고, 서비스 서버(120)는 전달받은 아이디와 비밀번호를 검증한 후 검증 결과를 인증 서버(130)로 전달한다(S414~S416).

인증 서버(130)는 아이디와 비밀번호 검증 결과를 수신하여 정당한 사용자이면 인증 서비스 가입완료를 처리하고, 서비스 서버(120)에 인증 서비스 가입정보를 전송하며 사용자 PC(110)나 사용자 휴대폰에 인증 서비스 가입완료를 통지한다(S417~S419).

도 6은 본 발명의 제 2 실시예에 따라 사용자 인증 서비스를 이용하는 절차를 도시한 순서도이다. 먼저, 인증서버(130)와 이동통신사 서버(140) 사이에는 인증 서비스 가입자들에 대한 가입자 정보를 수시로 갱신하여 인증서버(130)의 데이터베이스에는 최신의 고객정보가 저장되어 있다(S513).

도 6을 참조하면, 사용자는 서비스 서버(120)에 접속하여 일반 로그인과 '인증 로그인(안심 로그인)' 중 '인증 로그인(안심 로그인)'을 선택하고, 휴대폰 번호를 입력한다(S501,S502).

서비스 서버(120)는 인증 서버(130)에 휴대폰 번호를 전송하여 사용자 인증을 요청하고, 이에 따라 인증 서버(130)는 해당 휴대폰의 인증 앱을 활성화시킨다(S503~S505).

휴대폰의 인증 앱은 사용자 휴대폰(112)의 USIM으로부터 ICCID를 추출하고, ID와 비밀번호를 입력받아 인증 서버(130)로 전송한다(S506~S508).

인증 서버(130)는 사용자 휴대폰(112)으로부터 전달된 ICCID를 자체 데이터베이스(DB)의 ICCID 또는 이동통신사 서버(140)의 ICCID를 비교하여 사용자를 인증하고, ICCID 인증결과와 아이디 및 비밀번호를 해당 서비스 서버(120)로 전송한다(S509,S510).

해당 서비스 서버(120)는 ICCID 인증결과 정당한 사용자이면, 사용자로부터 전달된 아이디와 비밀번호를 자체 등록된 아이디 및 비밀번호와 비교하여 검증하고, 검증결과에 따라 로그인을 허용한다(S511,S512).

[제3 실시예]

도 7은 본 발명의 제3 실시예에 따라 소액 결제에 인증 서비스를 적용한 절차를 도시한 순서도로서, 제3 실시예에서 서비스 서버(120)는 쇼핑몰이나 컨텐츠 공급자(CP) 사이트와 같은 웹 사이트이다.

도 7을 참조하면, 사용자는 PC(110)나 휴대폰을 이용하여 본 발명에 따른 인증 서비스에 가입된 쇼핑몰이나 컨텐츠 공급자 사이트와 같은 웹 사이트(120)에서 상품이나 컨텐츠 등을 구매할 경우, 결제를 위해 휴대폰 번호와 같은 가입자 정보를 입력한다(S601). 웹 사이트(120)는 결제서버(PG:Payment Gateway; 150)에 결제를 요청하고, 결제서버(150)는 통신사(140)에 가입자 인증을 요청한다(S602,S603). 통신사(140)는 가입자 인증결과를 결제서버(150)로 전송하고, 정당한 가입자이면 결제서버(150)는 인증서버(130)에 USIM을 이용한 인증을 요청한다(S604,S605).

인증서버(130)는 해당 가입자의 휴대폰(112)으로 인증 앱을 푸시하여 사용자 휴대폰(112)에서 인증 앱을 활성화시키고, 결제서버(150)는 사용자 PC(110)로 OTP(One time password) 인증을 위한 메시지를 전송한다(S606,S607). 사용자는 사용자 휴대폰(112)에서 OTP를 입력하고, 인증 앱은 USIM에 저장된 ICCID를 추출하여 입력된 OTP와 함께 인증서버(130)로 전송한다(S606~S611). 이와 같이 본 발명에서는 결제서버(150)가 OTP를 사용자 PC(110)로 전송하고, USIM이 탑재된 사용자 휴대폰(112)으로 OTP를 입력하게 한다.

인증서버(130)는 사용자 휴대폰(112)으로부터 전송된 ICCID를 미리 등록된 해당 가입자의 ICCID와 비교하여 ICCID를 인증한 후 인증결과와 OTP를 결제서버(150)로 전송한다(S612,S613). 결제서버(150)는 OTP 인증을 실시하여 모든 사용자 인증에 성공하면 결제를 승인하고, 이에 따라 웹 사이트(120)는 결제처리를 완료하게 된다(S614~S616).

도 8은 본 발명의 제3 실시예에 따라 소액 결제에 OTP 대신 비밀번호를 이용한 인증 절차를 도시한 순서도이다.

도 8을 참조하면, 사용자는 사용자 PC(110)를 이용하여 본 발명에 따른 인증 서비스에 가입된 쇼핑몰이나 컨텐츠 공급자 사이트와 같은 웹 사이트(120)에서 상품이나 컨텐츠 등을 구매할 경우, 결제를 위해 휴대폰 번호와 같은 가입자 정보를 입력한다(S701). 웹 사이트(120)는 결제서버(PG:Payment Gateway; 150) 혹은 인증대행기관에 결제를 요청하고, 결제서버(150) 혹은 인증대행기관은 통신사 서버(140)에 가입자 인증을 요청한다(S702,S703). 통신사 서버(140)는 가입자 인증결과를 결제서버(150)로 전송하고, 정당한 가입자이면 결제서버(150)는 인증서버(130)에 USIM을 이용한 인증을 요청한다(7604,S705).

인증서버(130)는 해당 가입자의 휴대폰(112)으로 인증 앱을 푸시하여 사용자 휴대폰(112)에서 인증 앱을 활성화시킴과 아울러 앱 비밀번호 인증을 요청한다(S706,S707). 앱 비밀번호는 사용자가 사전에 설정한 비밀번호이다.

사용자는 사용자 휴대폰(112)에서 앱 비밀번호를 입력하여 앱 비밀번호 인증을 수행하고, 인증 앱은 USIM에 저장된 ICCID를 추출하여 앱 비밀번호 인증결과와 함께 인증서버(130)로 전송한다(S708~S710).

인증서버(130)는 사용자 휴대폰(112)으로부터 전송된 ICCID를 미리 등록된 해당 가입자의 ICCID와 비교하여 ICCID를 인증한 후 인증결과와 앱 비밀번호 인증결과를 결제서버(150)로 전송한다(S711). 결제서버(150)는 모든 사용자 인증이 성공되었으면 결제를 승인하고, 이에 따라 서비스 사이트(120)는 결제처리를 완료하게 된다(S712~S714).

이와 같이 본 발명에서는 결제서버(150)가 스미싱이 가능한 OTP를 사용하지 아니하고, 인증 앱에 의한 앱 비밀번호 인증과 USIM을 이용한 인증을 수행함으로써 스미싱을 방지할 수 있다.

즉, 본 발명은 사용자 휴대폰의 USIM에 저장된 고유의 가입자 정보와 서비스 서버나 USIM에 저장된 비밀번호를 이용하여 2중으로 사용자 인증을 함으로써 개인정보 유출로 인한 피해를 방지할 수 있고, 컴퓨터나 스마트폰의 해킹으로부터 안전하며, USIM에 부여된 고유한 개별 식별번호인 가입자 정보(ICC ID)로 소유자의 휴대폰 점유를 인증하므로 SMS 탈취로 인한 스미싱을 방지할 수 있다. 그리고 가입자 정보는 이동통신사로부터 승인받은 신뢰있는 사업자만이 읽을 수 있으므로 앱의 위/변조로 인한 파밍을 방지할 수 있다.

이상에서 본 발명은 도면에 도시된 일 실시예를 참고로 설명되었으나, 본 기술분야의 통상의 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 타 실시예가 가능하다는 점을 이해할 것이다.

102: 인터넷 104: 이동통신망
110: 사용자 PC 112: 사용자 휴대폰
120: 서비스 서버 130: 인증 서버
140: 통신사 서버 150: 결제 서버
100: 사용자 인증 시스템

Claims

사용자의 비밀번호와 고유정보를 저장하기 위한 사용자 단말의 유심(USIM)과, 사용자에게 서비스를 제공하는 서비스 서버와, 휴대폰 번호, 고유정보(ICCID)와 같은 사용자 정보를 저장하고 고유정보(ICCID)를 인증하며 사용자 인증을 중개하는 인증 서버와, 사용자가 사용자 인증 방법을 이용할 수 있는 정당한 사용자인지를 인증하고 상기 인증 서버로 사용자 정보를 전송하는 통신사 서버와, 상기 서비스 서버 및 상기 인증 서버와 연결되어 사용자 인증을 가능하게 하는 사용자 단말을 포함하는 유심(UISM)을 이용한 사용자 인증 시스템의 사용자 인증 방법에 있어서,
상기 서비스 서버에 아이디와 비밀번호를 등록하는 제 1 단계;
인증 서비스 가입 단계에서 상기 인증 서버가 사용자의 휴대폰 번호를 전달받으면 이동통신사 서버에 정당한 사용자인지를 확인하여 사용자 인증을 위한 고유정보(ICCID)를 자체 데이터베이스에 저장하는 제 2 단계;
인증 서비스 이용 단계에서 사용자가 인증 로그인을 요청하면, 상기 서비스 서버가 휴대폰 번호를 입력받아 상기 인증 서버에 전달하는 제 3 단계;
상기 인증 서버가 사용자의 휴대폰 번호를 전달받으면, 인증 서비스 가입자인지를 확인하여 인증 서비스 가입자이면 해당 사용자 휴대폰의 인증 앱을 활성화시켜 고유정보(ICCID)를 추출하는 제 4 단계;
인증 앱이 사용자의 아이디와 비밀번호를 입력받아 고유정보(ICCID)와 함께 상기 인증 서버로 전송하는 제 5 단계;
상기 인증 서버가 수신된 고유정보(ICCID)를 저장된 고유정보(ICCID)와 비교하거나 이동통신사에 저장된 고유정보(ICCID)와 비교하여 1차 인증하는 제 6 단계;
상기 서비스 서버가 상기 인증 서버로부터 1차 인증결과와 아이디 및 비밀번호를 전달받아 자체 등록된 아이디 및 비밀번호와 비교하여 2차 인증하는 제 7 단계; 및
상기 서비스 서버가 인증 결과에 따라 해당 사용자에게 서비스를 제공하는 제 8 단계를 포함하는 사용자 2차 인증 방법.