KR20050083117A - 인터넷상에서 usb 메모리 스틱을 이용한 본인 인증 방법 - Google Patents

Abstract

본 발명은 웹상에서의 사용자 인증과 보안 영역에서 특히 USB 메모리 스틱을 이용한 사용자 인증 방법이다. 본 발명의 목적은 종래 스마트 카드나 USB 키와 같이 인증 외에는 용도가 없어 대중화에 실패하고 있는 하드웨어 인증을 그 장점을 살리되 대중화하는 데 적합하도록 개선시키는 데에 있다. 본 발명은 USB 포트를 가진 PC와 USB 메모리 스틱, 서버-클라이언트 소프트웨어로 구성되며, 사용자가 윈도우즈 트레이 메뉴에 상주하는 클라이언트 아이콘을 눌러 사용자 등록 또는 인증 화면에 손쉽게 접근하게 해준다. 클라이언트는 USB 메모리 스틱에 저장된 고유 식별번호와 ID, Password를 서버에 전송하고 서버는 사용자 DB의 정보와 대조하여 모두 또는 일부 일치하면 인증하도록 한다. 사용자 등록은 통상의 ID, Password 등록과 외관상 유사하나 하드웨어인 USB 메모리 스틱을 인증 도구로 등록하는 것이며 이는 서버로부터 자동으로 고유 식별번호를 발급받아 메모리 스틱의 히든 영역에 기록함으로써 이루어진다. 본 발명으로 최근 그 이용이 확산되고 있는 대용량의 휴대 저장소인 USB 메모리 스틱의 고유 기능을 그대로 유지한 채 인증 기능을 부수하도록 하여 Password 유출 방지 등 하드웨어적인 보안의 장점을 대중화시키는 데 큰 효과가 있을 것이며, 또한 유료 컨텐츠와 같은 서비스 공급자들로 하여금 ID 도용이나 중복사용을 방지할 수 있게 하여 수익성을 기하고 가격을 인하할 수 있게 하여 사용자와 공급자 간 윈-윈의 선순환 구조를 웹 컨텐츠 시장에 실현하는 데 기여할 것이다.

Description

인터넷상에서 USB 메모리 스틱을 이용한 본인 인증 방법{Identification method on the web using USB memory stick}

본 발명은 웹상에서 이루어지는 본인 확인을 위한 인증방법에 관한 것이며 동시에 본인의 동일성을 사칭하는 다양한 시도들을 방지하기 위한 보안방법에 관한 것이다. 인증과 보안의 기술분야는 해당 기술의 목적에 따라 매우 세분화되어 발전해 왔으며 특히 웹상에서 본인임을 확인하기 위한 노력은 단순히 ID와 Password를 손으로 입력하는 것으로부터 스마트카드나 USB 키 등을 이용한 하드웨어적인 방식으로 발전해 왔다. CD-rom을 이용하는 것도 가능하나, 견고성의 약점으로 거의 사용되지 않고 있다. 나아가 생체인식에 의한 방법도 주로 지문이나 성문을 이용한 기술이 다양하게 선보이고 있다. 이러한 하드웨어적인 인증 방법은 단순히 개인정보의 파일만을 요구하는 것이 아니라, 해당 데이터가 들어 있는 특정 하드웨어의 존재를 인증시마다 요구함으로써 물건 자체를 분실하지 않는 한 해킹 등에 의한 동일성의 사칭이 본질적으로 불가능하다는 것이 큰 장점이다.

그럼에도 이러한 특정 하드웨어를 이용한 인증방법이 대중화되지는 못하고 있는데, 그 이유는 주로 일반인들이 특별히 웹상에서 자신의 동일성 사칭을 막기 위한 보안의 필요성을 느끼지 못하는 데에 있다. 더불어 스마트카드나 USB 키와 같은 장치들은 단순히 개인정보를 저장하였다가 인증을 받을 때에만 필요할 뿐이어서 그 용도가 제한적이라는 점도 작용한다. 생체인식과 같은 것은 더욱 그러하다고 할 수 있다.

따라서 단순히 보안성이 높은 인증방법이라는 속성만으로는 해당 기술이 대중화되기 어렵고 특별히 보안이 요구되는 시스템, 예컨대 연구소나 각 기관, 기업체의 핵심 일부부서 정도만이 그 유용성을 인정해 줄 뿐이다.

한편 하드웨어적인 방법은 아니지만 공인인증서의 활용이 점차 확산되어 가고 있다. 일정한 금융거래에 있어서는 제도로서 강제되고 있으며 나아가 그 밖의 거래 분야에도 도입될 예정으로 보인다. 그러나 공인인증서는 그 발급에 따르는 중복된 수고나 사용상의 다단계 구성과 많은 키입력 등 편리성의 측면에서 약점이 있으면 기본적으로는 정책적 강제의 산물이라는 측면을 무시할 수 없다. 무엇보다도 해당 장치가 없으면 인증 자체가 불가능한 하드웨어적인 방식과 비교하면 인증서 역시 하나의 파일에 불과한 것이어서 정교한 암호화에 의하여 정도의 차이는 있게 되었지만 소프트웨어적인 보안의 전형적인 위헌 요인은 여전히 안고 있다는 점이다.

이와 같이 종래의 기술을 분석하여 보면, 하드웨어적인 방식의 인증은 대중화가 곤란한 문제를, 소프트웨어적인 문제는 해킹 등에 대한 본질적인 약점이 지적되어야 한다. 이러한 문제점은 특히 웹상에서 서비스되는 유료 컨텐츠의 이용에 관하여 살펴보면 명확해진다. 대부분 여러 사용자가 웹상에서는 단지 하나의 ID만을 부여받아 공동으로 사용하는 경우를 많이 볼 수 있다. 이러한 경우 중복사용을 방지 또는 저감시키기 위하여 스마트카드나 USB 키를 강제로 사용하도록 하는 것은 오히려 역효과가 우려될 것이며, 인증서의 사용은 인증서를 백업하여 여전히 중복사용할 수 있어 무의미하다.

따라서 보안성 있는 인증을 좀 더 대중화시키기 위해서는 대중적인 하드웨어 장치를 이용하고 또한 그 사용이 편리하지 않으면 안 된다. 본 발명은 그러한 필요성에 주목하고 종래의 인증방법을 개선시키고자 노력하던 끝에 최근 그 사용이 급속히 확대되고 있는 USB 메모리 스틱에 주목하게 된 것으로부터 연유되었다.

종래의 스마트카드나 USB 키는 통상 8킬로바이트 정도의 미소한 용량의 저장장치로서 다만 데이터를 읽고 쓰기 위한 특별한 인터페이스가 존재함으로서 Password 등을 저장하더라도 일반 PC상에서 지우거나 포맷할 수 없는 장점이 있어 하드웨어적인 인증에 많이 사용되고 있다. 그러나 지나치게 적은 저장용량으로 인하여 인증 외의 용도는 거의 무시되고 있다고 해도 좋다. 따라서 대중적인 확산이 이루어지고 있는 USB 메모리 스틱에 인증 솔루션을 구현하는 것이 대안이 되는 것이다. 그러나 스마트카드나 USB 키와는 그 기술구성이 전혀 다르게 되므로 다음과 같은 기술적 과제가 본 발명의 내용이 되는 것이다.

첫째, 메모리 스틱은 일반 하드디스크나 다름없는 인터페이스에 의하여 접근되므로 저장되는 데이터 중 인증에 필요한 것은 특별히 보호되도록 해야 하는데 통상 ID와 Password는 변경이 가능한 것이므로 그 외에 하드웨어적인 인증의 속성을 발현시켜줄 고유한 인식번호의 저장과 보호가 긴요하다. 이러한 이유로 그간 USB 메모리 스틱을 이용한 인증기술이 개발되지 않았다고 할 수 있다. 고유 인식번호(Serial number)는 하나의 서버에 있어서는 그 사용자들 간에 있어서 중복되어서는 안 되며, 특별한 인터페이스에 의하여 단 1번 기록하고 그 후에는 읽을 수 있을 뿐, 지울 수 있거나 변경되어서는 안 된다. 나아가 메모리 스틱을 포맷할 경우에도 인식번호는 그대로 존재해야 한다.

둘째, 사용이 편리하지 않으면 본 발명이 지향하는 대중화의 목적 달성이 곤란하게 될 것이다. 따라서 웹상의 서비스를 제공하는 자가 메모리 스틱에 고유 식별번호를 넣어 배포하는 방법 외에, 사용자가 웹상에서 직접 메모리 스틱에 인증정보를 저장, 발급받도록 지원함으로써 인증장치로서의 하드웨어를 스스로 제작할 수 있도록 할 필요가 있다. 이것은 종래 웹상에서 사용자 등록을 하는 화면이 하드웨어를 등록하는 화면을 겸하게 되는 것으로 보면 개념이 명확해진다. 사용자들은 서버로부터 사용가능한 USB 메모리 스틱 제품들의 목록을 받게 될 것이며 다양한 디자인과 용량을 비교하여 자유롭게 구매하고 웹상에서 스스로 등록하여 고유번호를 발급받고 이를 이용하여 인증하게 될 것이다. 특히 이러한 경우 오히려 하나의 ID에 수 개의 인식번호가 존재하는 경우도 나타나게 될 터인데 본 발명은 그러한 경우도 지원해 주지 않으면 안 된다.

본 발명은 이처럼 대용량 저장소라는 고유기능 사용을 위하여 구매하는 USB 메모리 스틱에 웹상에서의 인증이라는 부차적이지만 생명력 있고 활용가능성이 다대한 기능을 심어 줌으로써 하드웨어에 의한 인증을 대중화시킬 수 있고 웹상에서의 동일성 사칭이라는 처리하기 곤란했던 문제를 자연스럽게 해결한다는 데에 그 의의가 있는 것이다.

(과제를 해결하기 위한 수단)

상술한 바와 같은 본 발명의 목적 달성을 위해서는 적어도 하나 이상의 USB(범용직렬) 포트를 가진 사용자의 PC와, USB 메모리 스틱, 그리고 서버와 클라이언트 프로그램이 필요하다. 여기서 USB 메모리 스틱은 고유 식별번호 저장을 위하여 삭제, 수정, 포맷 등이 불가능한 최소한의 영역을 가지고 있다.

(기능 및 작용)

클라이언트는 USB 메모리 스틱에 대하여 고유 식별번호를 저장하고 ID와 Password를 발급해주며 해당 서버의 웹페이지로 로그인하도록 점핑해 준다. 서버는 인증 DB에 접근하여 동일성 여부를 고유 식별번호로서 확인하고 로그인 되도록 한다.

(실시 례)

본 발명에 따른 실시 례를 도면을 참조하여 상세히 설명한다.

도 1은 본 발명에 포함되어야 할 PC와 메모리 스틱 간의 접속 개략도이며, 특히 USB 메모리 스틱의 내부의 블록도를 보여주고 있다. 메모리 스틱은 범용직렬버스(Universal Serial Bus)에 의한 인터페이스에 의하여 PC의 보조 기억장치로서 작동한다. 메모리 스틱은 단단한 커버로 둘러싸인 플래쉬 메로리로서 견고성, 휴대 편리성, 고용량의 효율성을 두루 갖추고 있다. 그 내부는 컨트롤러 칩과 플래쉬 메모리로 구성되며 Firmware가 메모리의 일부 영역에 저장된다. 컨트롤러 칩에 따라 고유 식별번호를 저장하기 위한 메모리의 히든 영역을 지원하는 것이 있으며 그러한 메모리 스틱의 경우에 히든 영역에 식별번호를 쓰고 읽어오기 위한 드라이버 파일을 제작하게 되는데, 이는 칩셋 공급업체가 제공하는 API 툴을 이용함으로써 용이하게 달성되나 그것이 없더라도 가능하다.

도 2는 본 발명의 전체 구성도로서 서버-클라이언트 구조로 되어 있는 솔루션의 전체 구성도이다. PC를 통하여 통상의 사용자 등록과 같은 방식으로 메모리 스틱에 고유 식별번호를 발급받을 수 있으며, 이후에는 그 스틱을 꽂아야만 사용자 인증이 이루어지게 된다. 사용자는 발급을 위하여 우선 동 서버에 접속하여 클라리언트 프로그램을 다운로드 받게 되는데, 이는 해당 메모리 스틱 제품에 다운로드 바로가기 파일을 저장하여 판매함으로서 더욱 손쉽게 설치하도록 할 수 있다. 서버 측에서는 종래의 사용자 등록 시스템을 그대로 유지하면서 본 발명에 의한 각각의 인증 모듈들을 본래의 서버에 붙여서 간단히 도입할 수 있도록 되어 있다.

도 3은 사용자 등록 화면에서 메모리 스틱을 등록하는 흐름도이다. 제품에 미리 저장되어 있는 다운로드 바로가기를 클릭함으로써 서버 접속과 동시에 수 초 내에 사용자의 PC에 클라이언트가 설치된다. 설치가 되면 윈도우즈의 트레이 메뉴에 클라이언트 아이콘이 생성되고 이를 클릭하면 다양한 기능들이 메뉴로 나타나게 된다. 이 중에서 특정 웹사이트 가기를 클릭하여 해당 서버의 인증화면에 들어가게 된다. 인증화면은 사용자 등록과 인증의 두 부분으로 구성되며, 등록을 선택하면 ID와 Password, 그리고 고유 식별번호를 부여받을 수 있는 창이 생성된다. 식별번호는 발급 단추를 눌러 서버로부터 중복되지 않는 Serial number를 자동으로 받아 메모리 스틱의 히든 영역에 쓰기가 이루어진다. ID와 Password는 직접 입력하며 메모리 스틱의 히든 영역 또는 일반 영역에 암호화되어 저장된다. 일반 영역에 두더라도 고유 식별번호가 존재하는 한 하드웨어적인 인증 방식의 구현에는 아무런 문제가 없다. 고유 식별번호를 대조하고 ID와 Password는 종래처럼 입력하도록 해도 된다. 마지막으로 등록창에서 메모리 스틱을 사용할 것인지를 선택하도록 하고 등록 버튼을 눌러 발급과정을 마친다.

도 4는 웹상에서 본인임을 확인하는 절차 흐름도이다. 상기와 같이 발급된 메모리 스틱을 소지한 사용자는 어디서든 간단히 클라이언트를 설치하고 자신의 메모리 스틱을 이용하여 본인임을 인증받고 서버에 접속할 수 있다. 사용자가 USB 메모리 스틱을 꽃더라도 바로 인증절차가 개시되지는 않는다. 그렇게 되면 매우 불편할 것이기 때문이다. 인증을 위해서는 사용자는 트레이 아이콘을 눌러 간단히 해당 서버에 접속하게 된다. 이것에 의하여 클라이언트는 메모리 스틱의 고유번호와 ID, Password 데이터를 읽어 인증서버로 전송하며 이 때에도 암호화를 시켜서 보낸다. 동 데이터를 받은 서버는 이를 사용자 DB의 고유 식별번호와 대조하고 다시 동 식별번호에 대응되는 ID, Password와 대조하여 본인임을 확인한 후 사용자에게 인증이 되었다는 메시지를 주고 해당 페이지를 열어주게 된다.

그 밖에 메모리 스틱을 분실한 경우에 대해서는 일반적인 ID, Password 분실시의 대응 방법을 유지하면 된다. 전화 등으로 관리자에게 분실 사실을 신고하고 사전에 약정된 확인 답변의 절차를 거쳐 해당 고유 식별번호의 사용을 금지시키고, 사용자는 언제든 등록화면에서 새로이 발급받아 사용하게 된다.

위에서 본 실시 례는 본 발명의 기술적 사상을 벗어나지 않는 한 다양한 변화 및 기능의 추가가 가능함은 물론이다.

본 발명에 의하면 종래의 ID, Password 만으로는 인증 받을 수 없고 고유 식별번호에 의하여 하드웨어적인 인증이 이루어지므로, 사용자는 대중화되고 있는 USB 메모리 스틱을 이용하여 해킹 등의 위험으로부터 안전하게 본인 인증을 거쳐 서비스를 사용할 수 있게 된다. 이것은 하드웨어적인 인증 방법이 가진 고유한 효과라고 하겠으나 사용자의 입장에서 종래의 인증 도구들은 그 용도가 인증 외에는 아무 쓸모가 없었던 것과 달리 대용량 저장소의 고유기능에 부가적인 기능으로서 USB 메모리 스틱의 보급에도 크게 일조하게 된다. 더 큰 효과는 서버 운영 측인 서비스 공급자의 수익 개선과 가격 인하에 있다. 서비스 공급자는 사용자 인증을 하드웨어에 의함으로써 ID의 도용과 중복사용의 문제를 해결할 수 있다. 서비스 공급자는 나아가 직접 이러한 메모리 스틱을 대량으로 구매하여 사용자들에게 배포하고 서비스 이용시 반드시 소지하도록 할 수도 있다. 그렇게 하더라도 도입비용을 장기간에 걸친 월이용요금의 일부로 나누어 인식함으로써 회계상 무리없이 도입이 가능하고, 거액의 도입 자금이 필요한 경우에도 렌탈 등 다양한 금융기법에 의하여 사용자가 부담을 거의 느끼지 못하는 수준에서 도입할 수 있다. 이처럼 서비스 공급자가 직접 배포하는 경우에 신규 사용자의 모집에 매우 유리하며, 무엇보다 ID 중복사용의 문제 해결로 인한 실질적인 수익의 급격한 증가를 보게 될 것이다. 이러한 현상은 종래의 서비스 이용 가격을 상당 폭 인하하는 것을 가능하게 하며, 이는 다시 새로운 신규 사용자를 끌어들이는 선순환의 구조로 가도록 만든다. 이처럼 본 발명은 웹상에서의 컨테츠 사용에 있어서 안전하고도 편리하며 동시에 정당한 거래를 가능하게 해주는 사용자와 공급자 간의 윈-윈의 효과가 있다.

도 1은 본 발명에 따른 PC와 USB 메모리 스틱 접속 및 장치 블럭도

도 2는 본 발명에 따른 웹상의 서버-클라이언트 구성도

도 3은 본 발명에 따른 사용자 ID, Password, Serial number 발급 흐름도

도 4는 본 발명에 따른 웹상에서 본인 동일성 확인을 위한 인증과정 흐름도

*도면의 주요 부분에 대한 부호의 설명

1. 단말기 2. USB 포트

3. USB 키 4. USB 컨트롤러

5. 메모리칩 6. 인증서버

7. 웹서버

Claims (8)

1. 웹상에서 USB 메모리 스틱을 이용한 사용자 인증방법에 있어서, 사용자가 윈도우즈 트레이 메뉴 상의 클라이언트 아이콘을 누름으로써 등록된 메모리 스틱에 저장된 고유 식별번호와 ID, Password가 암호화되어 서버에 전송되고 서버는 이를 사용자 DB의 정보와 대조하여 일치하면 인증을 해 주는 것을 특징으로 하는 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법.
2. 제1항에 있어서 USB 메모리 스틱을 인증 하드웨어로 등록하기 위하여, 서버 측에서는 등록 가능한 메모리 스틱의 제품 목록을 웹상에서 사용자들에게 제공하고 사용자는 자신이 원하는 메모리 스틱을 무상으로 또는 유상으로 구입하여 서버의 등록화면에 접속한 후 서버로부터 고유 식별번호를 자동으로 발급받아 메모리 스틱에 기록하며, ID와 Password를 입력하여 메모리 스틱에 암호화하여 저장함으로써 사용자 등록화면에서 USB 메모리 스틱을 인증 하드웨어로 등록시킬 수 있도록 함을 특징으로 하는 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법.
3. 제1항에 있어서 서비스 공급자인 서버 측에서 일괄적으로 사용자 수만큼의 USB 메모리 스틱에 고유 식별번호를 기록하여 각각의 사용자에게 무상으로 또는 유상으로 배포하고 일정 시점 이후에는 배포된 메모리 스틱에 의해서만 사용자 인증이 이루어지도록 하는 것을 특징으로 하는 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법.
4. 제1항에 있어서 USB 메모리 스틱을 분실한 경우에는 서버 측의 관리자에게 분실 통보함으로써 해당 사용자의 고유 식별번호를 사용자 DB에서 삭제하고 해당 사용자에 대해서는 일정기간 고유 식별번호 없이 새로운 ID, Password를 발급하여 서비스를 이용하도록 하고 그 기간 내에 USB 메모리 스틱을 재발급 받도록 하는 것을 특징으로 하는 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법.
5. 제1항 내지 제3항에 있어서 사용되는 USB 메모리 스틱은 인증 용도에 제공되나 기본적으로는 대용량의 저장소로서 그 고유기능을 가지고 있으면 그러한 기능에 어떠한 제한도 가해지지 않는 일반적인 제품인 것을 특징으로 하는 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법.
6. 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법과 결합되어 신규 사용자 등록 켐페인 등의 행사에 의하여 무상으로 또는 할인된 가격으로 USB 메모리 스틱을 신규 등록 사용자에게 배포하거나, 서비스 이용 실적 등에 따라 기존 사용자에게는 고용량의 USB 메모리 스틱을 무상 또는 유상으로 업그레이드 시켜 줌으로써 사용자 등록을 확대시키고 유지시키는 영업방법.
7. 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법과 결합되어, 서비스 이용요금 결제시 전자금융거래에 의한 공인인증서 외에 고유 식별번호의 제시를 요구함으로써 USB 메모리 스틱을 소지한 자만이 결제를 할 수 있도록 하여 하드웨어와 소프트웨어 이중으로 결제시의 안전을 도모하는 영업방법.
8. 웹상에서의 USB 메모리 스틱을 이용한 사용자 인증방법 및 제7항과 결합되어, 서비스 이용시 웹상에서의 전자금융에 의하여 요금을 충전하고 잔액에 의한 결제방식을 채택하는 서비스 제공자가 USB 메모리 스틱의 고유 식별번호에 의한 잔액을 보장하여 상품권과 같은 용도로 그리고 또는 상품권의 명칭을 부여하여 USB 메모리 스틱을 선물용 등 상품권이나 그 유사 기능을 가진 것으로 웹상에서 또는 오프라인에서 배포·유통시키거나, 사용자들로 하여금 스스로 그러한 용도의 USB 메모리 스틱을 발급받고 그러한 용도로 사용할 수 있게 지원하는 것을 특징으로 하는 영업방법.