KR20070109775A - 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법 - Google Patents

Abstract

본 발명은 웹상에서 이루어지는 인증절차를 포함하여 모바일, 기타 다양한 매체에서 이루어지는 제반 인증절차, 특히 인터넷 뱅킹과 모바일 뱅킹 등에 있어 계좌번호나 이체 비밀번호의 해킹 내지 유출에 따른 문제를 해결하기 위한 보안 솔루션에 관한 것이다.

이를 위하여 본 발명은 별도의 보안카드나 인증서를 부여하는 절차의 유무에 관계없이 서버에서 비대칭적인 랜덤변수를 생성하고 클라이언트에게 가변적인 패스워드와 부여하여 인증에 따른 보안을 강화하는 것으로, 서버에는 세션의 연결시에만 클라이언트의 패스워드가 저장할 뿐, 고정적인 패스워드를 부여하지 않으며, 세션 연결시 1:N 비대칭 알고리즘으로 생성한 값을 해쉬함수를 이용한 단방향 통신으로 클라이언트에 전송하고, 다시 서버에는 보안문자열을 전송하여 서버에서 보안문자열로부터 입력값을 추출하여 처리함으로써 재전송 공격이나 스크립트 삽입을 통한 정보조작을 방어하고, 서버 해킹에 따른 고객정보나 비밀번호의 유출을 불가능 하도록 하여 안전한 통신을 가능하게 하는 것이다.

랜덤 키워드, 가변 패스워드, 키 맵핑, 키보드 보안, 모바일뱅킹, 비대칭 문자 값

Description

랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법{The Security Method for Authentication which using of Random Password}

도 1은 종래의 인증절차를 위한 패스워드 입력필드의 구성을 보인 개략도.

도 2는 보안카드에 의한 종래의 인증방식을 이미지화한 개략도.

도 3은 본 발명에 의한 보안 시스템의 전체적인 구조를 보인 블럭도.

도 4a는 본 발명으로 구현된 패스워드 입력필드의 실시 예를 보인 개략도.

도 4b는 도 4a의 패스워드 입력필드가 랜덤하게 변화된 상태를 보인 개략도.

도 5는 전체적인 웹페이지의 화면의 구성의 일 실시 예를 보인 개략도.

도 6a는 본 발명의 실시예에서 패스워드 입력필드로 사용되는 모바일의 키패드를 도시한 개략도.

도 6b는 도 6a의 스펙이 모바일 인증에서 구현되는 실시 예를 보인 개략도.

도 7은 본 발명에 의한 다른 실시 예에 따른 인터넷 뱅킹에 적용되는 웹페이지 화면의 구성의 일 실시 예를 도시한 개략도.

도 8은 본 발명에 따라 구현된 계좌번호나 비밀번호를 누를 시 실제 전송데이터가 비대칭 방식으로 전송되는 방식의 예를 도시한 개념도.

도 9는 종래 타 기관에서 사용중인 보안카드 입력기를 이용한 보안 인증절차를 도시하는 도면.

본 발명은 패스워드 보안에 관한 것으로서, 인터넷뱅킹이나 온라인 입출금시 매번 같은 비밀번호를 입력하는 종래의 키보드 보안 솔루션은 실시간 해킹에 의한 클라이언트 인증정보가 노출되는 문제를 유발시키고 있으며, 이 때문에 서버측(인터넷 뱅킹에 의한 경우: 은행)에서는 피해사례에 대한 보상 등의 문제에 의해 네트워크 보안 시스템을 유지관리하는 데 많은 인력과 고비용을 소진하는 문제가 있다.

또한, 고객 비밀번호(또는 인증 고유번호)를 고객이 매번 인증센터나 서버로부터 부여받아 사용하거나 신규신청하는 것은 여간 불편한 일이 아니며, 이는 작업스케줄을 지연시키고 서버에 불필요한 접속시간을 발생시켜 전체적인 프로세서 성능 저하와 이용자의 불편만을 유발하여 현실적으로 배제되고 있는 것이다. 또, ActiveX 형태로 내려받는 키보드 보안 제품들은 설치시에 발생하는 설치 장애, 보안 제품들간의 충돌 등 전체적인 프로세서 성능 저하와 이용자의 불편만을 유발하여 현실적으로 매우 어려움이 따르고 있는 것이다.

일반적인 패스워드 인증절차를 보면 첨부된 도 1에서와 같이 이용자(클라이언트)는 해당 웹사이트에 접속하여 인증절차에 의한 패스워드 입력필드에 자신이 설정하거나 부여받은 비밀번호를 입력하고 이와 같은 정보는 암호화되어 서버 측에 전송되고 다시 복호화되어 서버 측에 저장되어있는 정보와 비교절차를 통한 인증 유무가 클라이언트에 전송되는 과정으로 되어 있다.

경우에 따라, 인터넷 뱅킹과 같은 경우 도 2에서 보는 바와 같이 날짜별 코드(숫자)가 입력되어 있는 보안카드라는 것을 사전에 클라이언트에게 지급하고 인증절차에서 해당 클라이언트에게 특정 알고리즘화 되어있는 인증 절차에 따라 해당 날짜의 코드번호를 입력하도록 요구하며, 이를 서버에서 한번 더 체크 하는 방식으로 인증절차를 구성하고 있는 것이다.

그러나 상기 전자와 같은 인증절차는 비밀번호가 네트워크상에서 해킹 된 경우 더는 보안에 관한 인증절차의 개시가 불명확하여 인가된 클라이언트라는 보장이 지속 되기 어려운 문제가 있으며, 후자의 인증절차는 매번 보안카드의 번호를 요구하고 있어 이를 숙지하거나 카드 자체를 소지하여야 하는 불편이 따르며, 보안카드가 유출되거나 분실되는 경우에는 전술과 마찬가지로 보안은 불명확해지고 재발급에 따른 일시적인 서비스이용 중단 및 불편이 가중되는 문제가 있는 것이다.

본 발명은 상기와 같은 문제를 해결하기 위하여 안출된 것으로서, 웹사이트에 접속하여 세션 관계를 형성하면, 인터넷뱅킹이나 이체거래시 고정적으로 부여받은 비밀번호 숫자를 입력하지 아니하고 클라이언트가 인지하고 있는 숫자(비밀번호)에 맵핑되는 문자 값을 입력하여 전송함으로써 전송되는 패킷의 비 인가된 필터링이나 프로토콜 분석 등의 해킹으로 인하여 고정화된 비밀번호가 불법적으로 재사용되는 방지하게 되는 것이다.

즉, 해당 웹사이트에 표현되어 있는 문자 값은 매번 세션에 따라 랜덤하게 재배열되며, 전송되는 코드(특수문자를 포함)는 매번 변경되므로 고정적으로 클라 이언트가 가지고 있는 비밀번호에 맵핑된 코드만으로는 이를 부정사용에 원천적으로 이용할 수 없게 되도록 하는 것을 그 목적의 하나로 하고 있다.

또한, 본 발명의 다른 목적은 별도의 보안카드나 인증서를 부여하는 절차의 유무에 관계없이 클라이언트에게 가변적인 패스워드와 부여하여 인증에 따른 보안을 강화하는 것으로, 서버에는 세션의 연결시 비밀번호와 맵핑이 되는 랜덤 변수를 생성시키고 클라이언트 암호화 및 해쉬값으로 전송하고 클라이언트에서는 매번 비밀번호와 맵핑되는 문자를 입력하고 그 값은 해쉬값으로 암호화 되어서 다시 서버에서 인증을 하기 때문에 중간자 공격이나 스크립트 조작 및 재전송, 기타 어떠한 해킹에도 안전하게 통신이 일어날 수 있도록 하는 랜덤하게 맵핑되는 비대칭 가변 패스워드에 의한 인증 보안 방법을 제공하기 위한 것이다.

상기와 같은 목적을 달성하기 위한 본 발명에 의한 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 솔루션은 별도의 보안카드나 인증서를 부여하는 절차의 유무에 관계없이 클라이언트에게 가변적인 패스워드와 부여하여 인증에 따른 보안을 강화하는 것으로, 서버에는 세션에만 클라이언트의 패스워드가 저장할 뿐, 고정적인 패스워드를 부여하지않아 서버 해킹에 따른 고객정보의 유출이나 비밀번호가 저장에 따른 보안 시스템의 유지보수 비용을 절감할 수 있는 것에 관한 것이며, 또 서버에는 세션의 연결시 비밀번호와 맵핑이 되는 랜덤 변수를 생성시키고 클라이언트 암호화 및 해쉬값으로 전송하고 클라이언트에서는 매번 비밀번호와 맵핑되는 문자를 입력하고 그 값은 해쉬값으로 암호화 되어서 다시 서버에서 인증을 하기 때문 에 중간자 공격이나 스크립트 조작 및 재전송, 기타 어떠한 해킹에도 안전하게 통신이 일어날 수 있도록 하는 랜덤하게 맵핑되는 비대칭 가변 패스워드에 의한 인증 보안 방법이다.

(실시 예)

이하, 첨부된 도면에 의해 더욱 상세하게 설명하면 다음과 같다.

도 1은 종래의 인증절차를 위한 패스워드 입력필드의 구성을 보인 개략도이고 도 2는 보안카드에 의한 종래의 인증방식을 이미지화한 개략도로서, 도면에서 보는 바와 같이 종래의 인터넷 뱅킹 등에 사용되는 패스워드 입력필드의 구성은 입력항목에 대한 텍스트 필드와 확인 및 전송을 위한 이벤트 버튼으로 이루어져 있으며, 이와 같은 구성은 결국 클라이언트가 신청 또는 부여받은 자신의 고유 인증코드(또는 비밀번호)를 패스워드 입력필드에 정확하게 입력하고 확인(또는 전송)버튼을 클릭하는 동작에 의해 해당 정보는 인증 서버 전달되며 인증 서버는 이를 검증하는 절차를 거쳐 인증의 유무를 판별하게 된다.

이처럼 클라이언트의 고유 인증코드(비밀번호)가 여과 없이 그대로 네트워크상에 노출되어 해킹 등의 불법적인 접근으로 상기 고유 인증코드 정보를 담고 있는 패킷이 복제 내지 강탈되면 이는 불법적인 재사용의 위험에 노출되게 되는 문제가 있는 것이다(여기에서는 인증서에 의한 절차는 종래의 기술단계이므로 생략한다).

도 3은 본 발명에 의한 보안 시스템의 전체적인 구조를 보인 블럭도로서, 그림에서 보는 바와 같이 클라이언트에 의해 패스워드 입력필드가 있는 웹페이지(URL)가 호출되면 클라이언트에 의해 호출되는, 서버의 랜덤하게 값을 발생시키 는 랜덤 키 제너레이터(Random Key Generator)에 의해 키(Key)가 생성되고 상기 키(Key)에는 0 - 9까지 숫자의 배열에 따른 맵핑되는 문자 값이 링크되어 있는 것이며, 숫자배열은 해당 문자코드에 따른 숫자를 배열한 것이다. 또한, 본 발명에서는 맵핑되는 문자값을 비대칭 문자값으로 하는 것을 특징으로 한다. 이렇게 함으로써, 다양하게 침투하는 해킹의 공격으로부터 비대칭의 문자값을 부여하여 해킹을 방지할 수 있도록 하는 것이다. 예를 들면, 세션 연결시 1:N 비대칭 알고리즘으로 문자 값을 생성하게 되는데, 이는 숫자 1에 비대칭으로 연결되는 문자 값을 1=0ae53c, ... 등과 같게 하여, 외부의 인증되지 않은 침입에 대한 정보의 누출을 방지하는 기법을 말하는 것이다. 이에 대해서는 후술하는 도 7 내지 도 8에서 예시하는 도면을 참조하면서 보다 구체적으로 설명하기로 한다.

물론, 상기 키에는 클라이언트와 이루어지는 현재의 세션에 대한 정보가 추가되는 것으로 구현하는 것이 고려될 수 있다.

숫자배열을 통하여 서버에서 클라이언트로 랜덤배열 정보를 전송하면 클라이언트의 호출 웹페이지에는 문자 재배치가 이루어지며, 이는 해당 웹페이지에 고정된 숫자항목에 링크되는 문자가 배치되는 형태를 띠는 것으로 이는 매번 웹페이지가 갱신됨에 따라 배치되는 문자 값이 가변적으로 이루어지는 것으로 본 발명으로 구현된 패스워드 입력필드의 실시 예를 보인 개략도인 도 4a와 패스워드 입력필드가 랜덤하게 변화된 상태를 보인 개략도인 도 4b에 그 실시 예가 도시되어 있는 것이다.

또한, 도 6a와 6b에서는 이러한 문자 값이 모바일 폰의 키패드를 통해 입력 되는 경우를 도시하고 있으며, 이후 전송 및 인증절차는 동일하다. 도 6a는 본 발명의 실시예에서 패스워드 입력필드로 사용되는 모바일의 키패드를 도시한 개략도이고, 도 6b는 도 6a의 스펙이 모바일 인증에서 구현되는 실시 예를 보인 개략도이다.

이를 단계별로 표시하면 다음과 같다.

클라이언트에 의해 패스워드 입력필드가 있는 웹페이지(URL) 호출시

서버에서 랜덤하게 숫자(0 - 9) 값에 각 각 맵핑되는 문자 값을 생성하는 단계;

생성된 문자 값과 숫자 값에 맵핑정보를 가지는 키(Key)가 생성되는 단계;

서버에 의해 숫자 값에 따라 랜덤하게 맵핑되는 문자 값이 클라이언트에게 제공되는 단계;

클라이언트에 의해 자신의 인증번호(숫자)에 해당하는 문자 값이 입력되어 서버에 전송되는 단계;

전송된 문자 값을 키(Key)에 의해 비교분석하여 인증 여부를 전송하는 단계;를 포함하여 이루어지는 것이다.

여기에서, 랜덤 키 제너레이터(Random Key Generator)에 의해 매 웹페이지 갱신마다 생성되는 키(Key)에는 숫자에 대응하는 문자 값에 대한 정보와 해당 세션 정보가 포함되어 있는 것이 바람직하다.

또, 키 애널라이저(Key Analizer)는 초기 랜덤 키 제너레이터에 의해 생성되는 키(Key)에 기록된 숫자에 대한 문자의 맵핑 코드값을 비교분석하는 기능을 구비 하는 것이 바람직하다.

또한, 상기 가변 패스워드에 의한 인증 보안 방법은 웹페이지 뿐만 아니라, 모바일 인증 매체에도 적용되는 것임이 바람직하다.

즉, 비밀번호 입력창이 로딩 될 때마다 자물쇠에 달려있는 열쇠의 문자 값들이 랜덤하게 재배열되는 것으로 로딩시마다 문자 값은 랜덤하게 재배열되기 때문에 입력되는 비빌 번호는 매번 다른 문자 값이 입력되며, 이와 같이 클라이언트에 의해 입력된 문자 값이 암호화되어 서버에 전송되면 서버는 복호화한 후 랜덤 키 제너레이터에 의해 생성된 키(Key)에 맵핑 정보 값을 비교하여 인증 여부를 클라이언트에 전송하게 되는 것이다. 여기에서, 입력되는 문자 값은 키 패드의 숫자 코드에 비대칭 값을 갖도록 변경되어 제공되는 것이 바람직하다.

도 5는 전체적인 웹페이지의 화면의 구성의 일 실시 예를 보인 개략도로서, 이는 본 발명에 의해 인터넷 뱅킹에 적용되는 웹페이지의 구성을 보인 것으로 인터넷뱅킹 시에 매번 같은 비밀번호를 입력하는 게 아니라 로딩 될 때마다 비밀번호에 해당되는 서버로부터 랜덤하게 전송된 문자 값을 입력하므로 이를 해킹시 무의미한 문자 값만을 얻게 되어 원천적인 보안 시스템을 구축할 수 있는 것이다.

도 7은 본 발명에 의한 다른 실시 예에 따른 인터넷 뱅킹에 적용되는 웹페이지 화면의 구성의 일 실시 예를 도시한 개략도로서, 사용자는 웹페이지 상에서 제공되는 입금계좌번호 입력기를 이용하여 비대칭인 문자 값을 입력하여 인증 절차를 수행할 수 있는 것이다.

도 8은 본 발명에 따라 구현된 계좌번호나 비밀번호를 누를 시 실제 전송데 이터가 비대칭 방식으로 전송되는 방식의 예를 도시한 개념도이다.

도 8에 도시한 바와 같이, 사용자에 의해서 선택되는 계좌번호의 숫자가 "1"에 해당될 때 선택되는 비밀번호는 "Q"로 입력되고, 실제전송되는 데이터는 "AzDf37"이며, 세션의 처리키는 "7eccb50889f5" 와 같이 되는 경우를 예시하고 있다. 이와 같이, 선택되는 계좌번호에 따라 매회 선택되고 전송되는 비밀번호 및 실제전송데이터가 비대칭 방식으로 달라진 형태로 변환되어 전송되는 것이 본 발명의 특징이다.

이렇게 함으로써, 사용자의 계좌번호 또는 비밀번호가 해킹 등에 의해 노출되는 경우에도 실제 전송되는 데이터와 세션 처리키가 비대칭 방식으로 변환되어 다라지기 때문에 강력한 해킹 억제방책이 될 수 있다.

도 9는 종래 타 기관에서 사용중인 보안카드 입력기를 이용한 보안 인증절차를 도시하는 도면이다. 도 9를 참조하여 종래에 이용되는 인증방법을 설명하면 아래와 같은 문제점을 더욱 명료하게 분석할 수 있다.

도시한 바와 같이, 현재 사용되고 있는 보안카드의 보안을 강화할 목적으로 키패드 형태의 보안카드번호입력기를 이용하고 있으며, E2E적용 모듈은 Active-X로 작동하는 형태이다.

그런데, 웹페이지에서의 내용을 검토하면 자바스크립트 관련 암호화는 전혀 는 적용되어 있지 않고 있다. 또한, 키패드의 숫자배열은 랜덤하게 움직임을 확인할 수 있었다.

이때, 이미지를 클릭했을 때 숫자그대로가 소스에 노출되어 있다. 그 예를 들면, (<TD><A onclick=javascript:f_keyin(8)

href="javascript:void(0);"><IMG src="securitycard.files/numberinput_num8.gif"></A></TD>)

가 나타남을 확인하였다.

따라서, 이러한 종래의 방식은 클라이언트에서의 암호화나 보안은 완전 무방비로 노출되고 있는 커다란 문제점이 있다.

이에 대해, 본 발명은, 상기와 같은 제반 문제점을 해결하여 아래와 같은 장점을 갖는다. 그 비교사항을 아래의 표로서 도시한다.

본 발명	종래기술
Active-X 미사용	Active-X사용
서버중심의 E2E적용	키보드보안 E2E적용(소프트캠프)
한 단계 더 암호화하여 문자로 입력가능	숫자로만 입력
클라이언트 소스 공개되지 않음	클라이언트 소스 무방비로 노출(자바스크립트, HTML 코드 등)
모든 function명을 해쉬값으로 설정하여 동적으로 구현되어 있음(유추 불가능)	function명이 고정되어 있음(쉽게 유추가능)
기능장애 없음	기능장애(ActiveX 미 설치 등) 시 보안기능 작동 안함
문자열 입력 시 키 Hooking에 의한 개인정보 누출 방지효과 있음	키 Hooking시 개인정보 누출가능성 있음
다른 플랫폼에서도 적용가능 (모바일 뱅킹 등)	다른 플랫폼에서는 불가능

본 발명에 의한 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법은 계좌 비밀번호뿐만 아니라 이체 비밀번호, 모바일 뱅킹 비밀번호 인증에도 적용 가능함은 당연한 것이며, 기타 인증 방식으로 사용되는 어떠한 매체에도 적용가능하다.

여기에서, 전송된 클라이언트의 맵핑된 입력 문자 값에 대한 서버 측의 키값 인증 절차는 별도의 키 애널라이저(Key Analizer)에 의해 이루어지는 것으로 이와 같은 키 애널라이저의 구성 알고리즘은 초기 랜덤 키 제너레이터에 의해 생성되는 숫자에 대한 문자의 맵핑 코드값을 비교분석하는 것으로 이루어져 있는 것이다.

본 발명의 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법에는 E2E(End to End) 암호화(Encryption)기법이 적용될 수 있으며, 서버에서 랜덤 키 생성 및 분석을 통하여 매번 바뀌는 문자 값 입력으로 인한 고객비밀번호 및 보안 효과가 증대되는 것으로 Low Level 키보드보안 취약점을 보안하고 해킹에 의한 패스워드의 누출에 따른 손실을 근본적으로 해소할 수 있는 유용한 발명인 것이다.

또한, ActiveX 형태로 제공되는 키보드 보안 제품 설치시에 발생하는 제반 장애 및 여러 가지 문제점을 해결하고 해킹에 의한 패스워드의 누출에 따른 손실을 더욱 철저하게 해소할 수 있는 유용한 발명인 것이다.

이상에서와 같이 본 발명은 기재된 구체적인 예에 대해서만 상세히 기술하였지만 그 기술사상범위 내에서의 웹페이지의 구현 이미지는 변형 및 코드의 재배치 및 수정 가능함은 당연한 것이며, 이러한 수정 및 변형이 첨부된 특허청구범위에 속하는 것은 실질적 구성과 기능의 동일이라는 균등의 영역에서 당업자에게 명백한 것이라 할 것이다.

Claims (4)

1. 모바일 뱅킹, 인터넷 뱅킹이나 회원인증을 필요로 하는 인증 및 보안 솔루션에 있어서;

   클라이언트에 의해 패스워드 입력필드가 있는 웹페이지(URL) 호출시

   서버에서 랜덤하게 숫자(0 - 9) 값에 각 각 맵핑되는 문자 값을 생성하는 단계;(랜덤 키 제너레이터)

   생성된 문자 값과 숫자 값에 맵핑정보를 가지는 키(Key)가 생성되는 단계;

   서버에 의해 숫자 값에 따라 랜덤하게 맵핑되는 문자 값이 클라이언트에게 제공되는 단계;

   클라이언트에 의해 자신의 인증번호(숫자)에 해당하는 비대칭의 문자 값이 입력되어 서버에 전송되는 단계;

   전송된 비대칭의 문자 값을 키(Key)에 의해 비교분석하여 인증 여부를 전송하는 단계;(키 애널라이저)

   로 이루어지는 것을 특징으로 하는 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법.
2. 제 1항에 있어서;

   랜덤 키 제너레이터(Random Key Generator)에 의해 매 웹페이지 갱신마다 생성되는 키(Key)에는 숫자에 대응하는 문자 값에 대한 정보와 해당 세션 정보가 포함되어 있는 것을 그 특징으로 하는 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법.
3. 제 1항에 있어서;

   키 애널라이저(Key Analizer)는 초기 랜덤 키 제너레이터에 의해 생성되는 키(Key)에 기록된 숫자에 대한 문자의 맵핑 코드값을 비교분석하는 것을 그 특징으로 하는 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법.
4. 제 1항 내지 제3항 중 어느 한 항에 있어서,

   상기 가변 패스워드에 의한 인증 보안 방법은 웹페이지 뿐만 아니라, 모바일 인증 매체에도 적용되는 것을 그 특징으로 하는 랜덤하게 맵핑되는 가변 패스워드에 의한 인증 보안 방법.

Images