KR20050000015A

KR20050000015A - 동적 서명인증기술을 이용한 스팸메일 차단용 보안 메일시스템

Info

Publication number: KR20050000015A
Application number: KR1020030040553A
Authority: KR
Inventors: 김진환; 박수근; 조혁규
Original assignee: 주식회사 마이그룹
Priority date: 2003-06-23
Filing date: 2003-06-23
Publication date: 2005-01-03

Abstract

본 발명은 동적 서명인증 기술을 이용하여 스팸메일을 차단하기 위한 보안메일시스템입니다.

Description

동적 서명인증기술을 이용한 스팸메일 차단용 보안 메일시스템 {A Security System Preventing Spam Mail Using Dynamic Signature Verification Technology}

본 발명은 메일시스템에서 받는 메일서버와 보내는 메일서버가 동적 서명인증 서버를 경유하여 메일이 송수신이 되도록하는 스팸메일 차단용 메일보안시스템이다. 메일 발송자는 반드시 자신의 필기 서명을 동적 서명인증 서버에 등록을 하고, 자신이 사용하는 메일 브라우즈에는 서명인증 Plug-In 모듈을 설치하여 메일을 발송하게된다. 역시 메일 수신자도 자신이 사용하는 메일 브라우즈에 서명인증 Plug-In 모듈을 설치하여 사용하여야 한다.

메일 발신자는 메일을 보내고자 할 때 항상 서명인증 서버에서 본인임을 인증 받아야만 임의의 사람에게 메일을 보낼 수 있도록 설계되고 자신의 동적서명을 함께 암호화된 파일로 첨부하여 보낸다. 메일 수신자는 받은 메일에 첨부된 동적 서명데이터를 서명인증 서버에 보내어 인증 여부를 확인하고, 검증된 서명이면 정상적인 메일로 분류하고 검증되지 않은 서명이면 스팸메일로 분류하게 된다.

보안메일의 기본적인 요구사항은 다음과 같다.

▶기밀성(Confidentiality) : 수신자로 지정된 사용자만이 전자우편의 내용을 읽을 수 있도록 해 주는 기능

▶사용자 인증(User Authentication) : 전자우편의 송신자로 되어 있는 사용자가 실제로 보 낸 것인 지를 확인해 주는 기능

▶메세지 인증(Message Authentication) : 송신자가 송신할 때의 전자우편의 내용과 수신자가 수신할 때의 내용이 일치하는 지를 확인해 주는 기능 ▶송신부인방지(Nonrepudiation of Origin) : 송신자가 전자 우편을 송신한 후, 나중 에 송신사실을 부인하지 못하도록 하는 기능

▶수신부인방지(Nonrepudiation of Receipt) : 수신자가 전자우편을 수신한 후, 나중에 수신사실을 부인하지 못하게 하는 기능

▶Replay 공격 방지(Replay attack prevention) : 송신자와 수신자 사이에서 제3자가 전자우편을 가로채어 똑같은 메세지를 계속 수신자에게 전송하는 행위를 막는 기능

본 발명의 목적는 실명으로만 서명인증서버에 등록 가능하므로 익명인의 메일 송수신이 불가능하여 불법적인 광고성 스팸메일을 원천적으로 막을 수 있으며, 개인 고유의 동적 서명을 본인 인증 확인에 사용하므로 신뢰성과 보안성이 높은 보안시스템과 메일시스템을 접목하는 것이다.

엄청나게 늘어나는 스팸메일을 자동으로 분류하고 서명인증 절차를 거친 사람이 보낸 메일만을 정상적인 메일로 처리하고, 그렇지 않은 경우에는 스팸메일로 분류하여 과다한 스팸메일을 통한 업무 처리의 비효율성을 막기 위한 것이다.

기존의 보안메일시스템은 다음과 같다.

공개키 암호시스템

이 암호시스템은 비대칭 암호시스템(Asymmetric Cryptosystem)으로도 불리며, 공개 키(Public Key)와 비밀 키(Private Key), 두 개의 키를 사용한다. 공개 키는 송신자와 수신자가 사전에 키의 분배를 할 필요가 없이 디렉토리 파일 등에 공개 키를 알려주고 자신의 비밀 키를 관리하는 방식이다. 공개 키와 비밀 키의 두 키 사이에는 수학적인 관계가 있고, 공개 키에 의해서 비밀 키를 찾아내기는 것은 거의 불가능하다. 송신자는 수신자의 공개 키로 평문을 암호화하여 공개적으로 보낸다. 이 경우 수신자만이 자신의 비밀 키로 그 암호문을 해독할 수 있다. 이 암호 기술은 전자서명, 암호화 등의 보안이 필요한 분야에 널리 응용되고 있다.

S/MIME

이 Protocol은 공개키 암호화 방식을 쓰며 Netscape Messenger와 Microsoft Outlook Express 등의 메일 클라이언트에 의해 지원된다. 하지만 공개키가 third-party 인증서를 통해 제공 되기 때문에, 만약 누군가가 인증서 안에 그 자신의 공개 키를 대체시킬 수 있다면, 송신자는 지정된 수신자가 아닌 그 누군가가 읽을 수 있는 메일을 쓰게 되는 문제가 있다.

동작원리는 다음과 같다.

1. 우선 S/MIME을 이용해서 이메일을 암호화하기 위해서는, 먼저 공개키를 서명된 이메일을 통해 통신하고자 하는 사람들에게 분배하여야 한다.

2. 송신자의 이메일이 수신자에게 도착했을 때 송신자의 공개키는 암호 타입, 암호 알고리듬 등에 관한 정보와 함께 수신자의 주소록에 저장된다.

3. 수신자가 이메일을 송신자에게 회신할 때 수신자의 메일 클라이언트는 송신자가 S/MIME 메일을 사용할 수 있다는 것은 인식하고 송신자의 공개 키를 이용해서 메일을 암호화한다.

4. 송신자가 수신자로부터 메일을 회신 받을 때 송신자의 메일 클라이언트는 송신자의 비밀열쇠를 이용하여 메일을 해독한다.

PGP

Pretty Good Privacy의 약자로서 Phil Zimmermann이 만든 전자우편을 위한 암호화 도구이다. 공개키 인증에 대한 권한이 모든 사용자에게 주어져 있어서 구현과 사용이 쉽고, 정부에서 만든 것이 아니고 개인이 만든 것이기 때문에 더욱 높은 안전성 평가를 받는다. 하지만 이 방식을 쓰는 메일의 Market Share는 S/MIME 방식의 메일에 비해 미미한 실정이다.

PKI(공개 키 기반구조)

공개 키 방식에서는 비밀 키는 그 소유자만이 알고 있고 공개 키는 공개되게된다. 공개 키를 공개하고 이를 배포하는데 사용되는 메커니즘(공개 키 디렉토리)이 자체적으로 안전하지 않아 공개 키의 위·변조 문제를 야기시킬 수 있기 때문에, 공개된 공개 키가 위·변조되지 않았음을 보장(공개 키의 무결성)하기 위해 공개 키 기반구조(PKI : Public Key Infrastructure)가 등장하게 되었다. 공개 키 기반구조에서는 공개 키를 직접 공개하는 대신 공개 키와 그 공개 키의 소유자를 연결하여 신뢰할 수 있는 제 3자(인증기관)가 서명한 인증서(certificate)를 공개한다. 이때 인증서에는 신뢰할 수 있는 인증기관의 서명이 들어가 있기 때문에 다른 어떤 객체도 문서의 내용을 변경할 수 없게 된다. 이 경우, 사용자들의 공개 키를 인증해주는 인증 기관들의 계층적 또는 네트워크적 구성과 인증서비스, 사용자들의 인증서 관리 등의 인증서 기반의 구조들을 공개키 기반구조라고 한다. 공개 키 기반구조는 현재 최종 보안 솔루션 및 정보보호 기본 인프라로 주목 받고 있으며 선진국에서는 PKI 구축에 적극 나서는 상황이다.

본 발명은 생체인식보안(서명인증) 기술과 기존의 메일시스템을 연동시키는 보안 메일시스템으로 기존의 메일시스템은 메일을 받는사람과 보내는사람에 대하여 아무런 규제나 인증절차 없이 사용되어 왔으며, 최근에는 엄청난 스팸메일을 차단하기위하여 가상의 메일 주소를 생성하여 메일을 보내는 방법, 메일의 헤더 정보를 보고서 스팸메일의 여부를 판단하여 필터링하는 방법 등이 개발되었지만 이것은 스팸메일을 수신할 때 차단하기위한 방법이다. 그리고 본인 인증을 위하여 비밀번호를 사용하는 방식도 나왔지만 이방식은 보안성이 취약하여 보다 강화된 보안 기술이 필요하게 되었다.이에 본 발명에서는 모조하거나, 해킹이 거의 불가능한 동적서명인증 기술을 보안 메일시스템에 적용하여 스팸메일의 송수신을 원천적으로 차단할 수 있는 시스템을 발명하였다.

안정적으로 운영할 수 있는 대형 서명인증서버를 구축하고, 많은 사람들이 자신의 서명을 등록하여 인증을 거치는 보안 메일시스템을 적극적으로 활용할 수 있도록 유도하는 것이 필요하며 이를 위해서는 메일시스템에만 국한하여 서비스되는 것이 아니라 다양한 응용 인증 서비스가 개발되고 널리 보급되어야 할 것이다.

또한 범국가차원에서 진행되고 있는 PKI(공개키기반구조)기술과 연동되어 함께 운영이 된다면 훨씬 더 시장 파급 효과는 클것이다.

메일 발신자는 메일을 보내고자 할 때 항상 서명인증 서버에서 본인임을 인증 받아야만 임의의 사람에게 메일을 보낼 수 있도록 설계되고 자신의 동적서명을 함께 암호화된 파일로 첨부하여 보내고, 메일 수신자는 받은 메일에 첨부된 동적 서명데이터를 서명인증 서버에 보내어 인증 여부를 확인하고, 검증된 서명이면 정상적인 메일로 분류하고 검증되지 않은 서명이면 스팸메일로 분류하게 된다.

보안 메일용 서명인증 Plug-In 모듈 - 기존에 운영하고 있는 e-mail 시스템에 본 서명인증 Plug-In 모듈만 설치하면 별도의 E-Mail 서버 없이도 사용가능하도록 해 주는 component 소프트웨어. 기존 메일시스템, 메일브라우즈와 동적서명인증센터를 연동시켜주는 역할을 함.

동적 서명인증서버 - 실명의 사용자 ID 및 기타 정보와 개개인의 동적서명 데이터를 저장하고 관리하며, 본인 인증 여부를 검사하여 알려주는 인증서버.

E-mail은 메모나 안부를 전하는 단순한 기능에서 국가간, 기업간, 개인간에 중요한 정보나 자료를 송수신하는 최첨단 통신수단으로 자리잡게 되었다. 이에 따라 사용자들은 E-mail이 두 사람 사이의 개인적인 통화처럼 안전하기를 기대하지만, 모든 전자 메시지들은 수많은 라우터와 서버를 거쳐서 전달되기 때문에 각 경로에서 훔쳐보기, 문서변조, 해킹등의 사고를 당할 위험을 가지고 있다. 따라서 송신자가 미리 지정한 수신자 외에 다른 사람이 그 내용을 읽을 수 없는 보안메일이 등장하게 되었다.

보안메일에 적용되는 보안 서비스로는 현재 S/MIME(Secure Multipurpose Internet Mail Extensions)과 PGP(Pretty Good Privacy)가 주류를 이루고 있는데, 이 두 서비스에 근간한 기존 제품들(Netscape Messenger와 Microsoft Outlook Express 등)이 사용하기 불편하고 혼란스러운 면이 있어서 현재까지 널리 이용되지는 않았다. 하지만 최근에 기존 제품과는 다른 여러 제품들이 국내외적으로 출시되고 있으며, 근래에는 PKI(Public Key Infrastructure)의 도입을 통한 대중화된 보안메일시스템에 대한 관심이 증가되고 있는 추세이다. 그러나 PKI기술도 사용자인증 보안을 위해서는 Password 방식에 기반을 두고 있기 때문에 여전히 보안상의 취약성을 가지고 있는셈이다.

본 발명은 생체인시기술의 일종인 동적 서명인증기술을 이용함으로써 불법적인 스팸메일에 대한 송수신을 원천적으로 차단함으로써 업무 효율성을 제고할 수 있으며, E-Mail을 통한 전자상거래를 더욱 활성화하는데 기여할 수 있을 것이다.

(머니투데이 2003-06-18 스팸메일관련 보도자료)

MS,"스팸메일과의 전쟁"본격화

스팸 메일과의 전쟁을 선언한 마이크로소프트(MS)가 15건의 스팸 메일 관련 소송

을 제기하는 등 스팸 메일 소탕을 위해 바짝 고삐를 죄고 있다.

마이크로소프트(MS)는 17일 MSN과 핫메일 사용자에게 총 20억개의 원치않는 메일

을 발송했다며 스패머(스팸 메일 발송자)들에 대해 미국과 영국에 15개의 민사소

송을 제기했다고 밝혔다.

MS는 이번 소송은 수많은 스팸 메일들을 발송하고 소비자들에게 사기 행각을 벌

이려고 한 스패머들을 소탕하기 위한 것이라고 설명했다. 마이크로소프트는 금전

적 손실 규모 추정에도 들어갔다고 덧붙였다.

브래드 스미스 MS 수석 부사장 겸 법률 고문은 MS가 전세계 법정에서 법률을 통

한 해결책을 활용할 것이라고 말했다. 그는 "스팸 문제는 점점 확대되고 있으며

세계적인 문제"라며 "전세계가 책임감을 가져야 한다"고 말했다.

스미스 부사장은 이날 기자회견에서 15건의 민사 소송 중 13건은 미국, 그 중 12

건은 강력한 반스팸 법률이 제정된 워싱턴주에서 제기됐으며 나머지 한건은 로스

앤젤레스 연방법원에서 제기했다고 밝혔다. MS가 제기한 소송 가운데는 스패머들

에게 메일 발송처를 숨기고 자신들의 신분을 감출 수 있는 소프트웨어를 제공하

고 수천만개의 이메일 주소를 판매한 기업들에 대한 것도 포함됐다.

영국 법정에 제기된 2건은 이메일 주소를 보호해야 한다는 프라이버시 법률을 위

반한 혐의를 적용했다고 MS측은 밝혔다.

MS는 전세계적으로 스팸 메일이 매달 18%씩 증가하고 있어 연말에는 현재보다

50~65% 급증한 스팸 메일이 돌아다니게 될 것이라고 전망했다.

이번 소송은 스팸 메일 차단을 위한 MS의 광범위한 전략의 일환이다. MS는 기술

혁신 및 소비자 교육, 정부 및 다른 기술기업들과의 공조 확대 등 다양한 해결책

을 모색하고 있다.

MS는 이같은 전략의 일환으로 이날 'MSN 스팸 센터럴'로 명명한 웹사이트를 출범

시켰다. 이 사이트는 스팸 메일에 대처하는 요령을 고객들에게 교육하게 된다.

MS는 지난 4월 야후, AOL타임워너의 AOL 등과 함께 불법적인 스패머들을 색출하

고 엄청난 규모의 이메일 양을 줄이는 방법을 함께 모색할 것이라고 밝혔었다.

인터넷 시장에서 치열한 경쟁관계에 있는 이들의 협력은 스팸 메일이 인터넷과

디지털 커뮤니케이션 산업의 미래에 얼마나 큰 장애물이 되고 있는지를 상징적으

로 보여준다는 평가다.

크리스틴 그리과이어 워싱턴주 법무장관은 "'딜리트키(삭제키)'가 문제를 해결하

지 못한다는 것은 명확하다"며 "스패머들이 우리 가족과 기업에 끼친 고통만큼

이들도 고통을 받아야 한다"고 말했다.

한편 세계 최대의 소프트웨어 회사인 마이크로소프트(MS)가 자사를 대상으로 한

반독점 소송의 장애를 하나씩 제거하는데 성공하고 있다. MS는 웨스트 버지니아

주가 자사를 대상으로 연방법원에 제기한 반독점 항소를 취하하는 대신 2100만달

러를 지불하기로 합의했다고 월스트리트 저널(WSJ) 온라인이 17일 보도했다.

Claims

메일 발송자는 반드시 자신의 필기 서명을 동적 서명인증 서버에 등록을 하고, 자신이 사용하는 메일 브라우즈에는 서명인증 Plug-In 모듈을 설치하여 메일을 발송하게된다. 역시 메일 수신자도 자신이 사용하는 메일 브라우즈에 서명인증 Plug-In 모듈을 설치하여 사용한다.

메일 발신자는 메일을 보내고자 할 때 서명인증 서버에서 본인임을 인증 받은 상태에서는 임의의 사람에게 메일을 보낼 수 있도록 설계되고 자신의 동적서명을 함께 암호화된 파일로 첨부하여 보낸다. 메일 수신자는 받은 메일에 첨부된 동적 서명데이터와 발신자의 ID 정보(혹은 공인인증키)를 서명인증 서버에 보내어 인증 여부를 확인하고, 검증된 서명이면 정상적인 메일로 분류하고 검증되지 않은 서명이면 스팸메일로 분류하는 메일 보안시스템.