KR20080096230A - 인터넷상에서의 웹 정보 보안방법 - Google Patents

Abstract

본 발명은 인터넷 웹상의 정보 보안방법에 관한 것으로, 보다 자세하게는 서버가 클라이언트로부터 정보를 전송받는 절차에 있어서 클라이언트에서 입력 또는 선택하는 정보가 네트워크 상이 아닌 클라이언트 말단에서 직접 해킹되어도 사용자의 정보를 안전하게 보호할 수 있는 웹 정보 보안방법에 관한 것이다.

정보보안, 해킹

Description

인터넷상에서의 웹 정보 보안방법{Information protecting method on the Web}

도 1은 본 발명에 따른 사용자 정보처리 방법의 흐름도

도 2는 본 발명에 따른 입력기 화면의 실시예

도 3은 본 발명에 따른 처리과정의 개념도

도 4는 본 발명에 따른 서버의 전처리확인 절차의 흐름도

도 5는 전처리 확인절차에서 서버가 생성하는 전처리 확인 차의 실시예

본 발명은 인터넷 웹상의 정보 보안방법에 관한 것으로, 보다 자세하게는 서버가 클라이언트로부터 정보를 전송받는 절차에 있어서 클라이언트에서 입력 또는 선택하는 정보가 네트워크 상이 아닌 클라이언트 말단에서 직접 해킹되어도 사용자의 정보를 안전하게 보호할 수 있는 웹 정보 보안방법에 관한 것이다.

인터넷을 통한 거래가 일반화됨에 따라, 인터넷 상에서 사용자의 주요정보의 유출 및 위변조를 막는 보안방법의 필요성은 절실하다.

특히, 상품 구매나 금융 거래 사이트에서의 인터넷 결재나 인터넷 이체 등 금전거래시에는 개인정보의 유출 및 위변조에 따른 피해가 막대하므로 이에 대한 보다 철저한 대책마련이 시급하다.

현재 인터넷을 통한 금전 거래시에는 네트워크 차원에서의 패킷 보안을 위해 공개키 기반구조(PKI)의 보안 시스템이 보편화 되어 있으며, 단말기에서의 정보보안을 위해서는 방화벽이나 키보드 보안 시스템 등이 보급되어 있다.

그러나 이러한 종래의 보안기술들은 사용자 PC에 악성 프로그램 등의 해킹 툴이 설치되어 있는 상태에서는 데이터의 유출 및 위변조 가능성으로부터 안전할 수 없는 한계를 갖고 있는데, 예를 들어서 사용자 PC에서 인터넷 뱅킹을 통한 자금이체 등을 위한 중요 정보를 입력할 때에 암호화되기 전의 중요 정보를 추출하여 거래정보 위변조에 활용하는 것이 가능하다는 것이다.

이 외에도 감염된 사용자 PC에서 해커의 의도에 따른 다양한 형태의 위협요소가 존재하게 되지만, 기존의 PC용 보안 프로그램(방화벽 및 백신 프로그램)은 현재까지 알려진 예상 가능한 몇 가지 경우에 대비하는 것일 뿐이어서 고도화된 해킹시도에 의해 사용자 PC가 해킹될 위험은 상존한다.

따라서 사용자 PC에서 처리되는 정보에 대한 기술적인 보호장치를 마련하는 것이 시급하다.

본 발명은 종래 웹상에서 사용자가 입력하는 정보의 유출 및 위/변조가 가능한 문제를 해결하기 위하여 창출된 것으로서, 사용자 PC가 해킹되더라도 사용자의 정보를 안전하게 보호할 수 있으며, 서버에서 처리하여 전송한 전처리 결과가 해킹 툴에 의해 유출 및 위변조 되지 못하도록 하여 사용자가 작업 결과를 안전하게 확인할 수 있도록 하는 웹 정보 보안 방법의 제공을 목적으로 한다.

상기의 기술적 과제를 해결하기 위하여, 본 발명은 서버/클라이언트 시스템을 기반으로 하여 서버가 클라이언트로부터 정보를 전송받아 처리하는 절차의 웹 정보 보안방법에 있어서, 서버에서 입력버튼에 들어갈 내용의 이미지를 임의의 배열로 결합하여 입력기 화면을 생성하고 이를 클라이언트에 전송하는 단계; 클라이언트는 상기 입력기 화면을 통해 시각적으로 확인할 수 있는 게시 값을 사용자에게 표시하고 사용자로부터 정보를 입력받는 단계; 입력기 화면의 입력버튼 배열위치에 따라 특정된 세팅 값에 따라 상기 사용자가 선택한 정보인 사용자 입력 값을 인식하는 단계; 상기 클라이언트의 사용자 입력 값 인식이 완료되면 클라이언트가 인식한 값을 서버에 전송하는 단계; 및 서버는 전송받은 클라이언트 인식 값을 세팅 값/게시 값 변환정보에 따라 사용자가 입력기 화면에서 게시 값에 따라 실제로 선택한 사용자 입력 값으로 복원하는 단계;를 포함하는 것을 특징으로 하는 웹 정보 보안방법을 제공한다.

본 발명의 다른 특징에 의하면, 상기 웹 정보 보안방법에 있어서 상기 서버에서 사용자 입력 값을 복원하는 단계는, 서버가 확인대상 정보 및 확인 이미지를 포함하는 전처리 확인 창을 하나의 이미지 화일로 생성하고, 상기 전처리 확인 창에 상기 확인 이미지를 사용자가 시각적으로 확인하고 그 내용을 입력할 수 있는 사용자 확인란을 결합하여 이를 클라이언트에 전송하는 단계; 클라이언트는 시각적 으로 확인할 수 있는 상기 전처리 확인창을 표시하고 사용자가 시각적으로 확인한 확인 이미지의 내용을 입력받아 서버로 전송하는 단계; 및 서버는 상기 전송받은 확인 이미지 내용이 상기 전처리 확인창의 실제 확인 이미지 내용과 동일한 지 여부를 판단하여 동일한 경우에만 실처리 수행을 위한 절차를 진행하는 단계;를 더 포함하여 복원된 사용자 입력 값에 따른 실처리를 수행하기 전에 사용자로부터 확인을 받는 전처리 확인절차를 수행하는 것을 특징으로 하는 웹 정보 보안방법을 제공한다.

이하에서는 도면을 참조하여 본 발명의 기술적 사상을 상세히 설명한다.

본 발명은 서버 / 클라이언트 시스템을 기반으로 한 인터넷에서 주요정보가 클라이언트 시스템으로부터 생성되어 서버에 전달하는 절차에서 클라이언트에서 입력한 정보를 안전하게 보호하기 위한 방법과 서버에서 상기 사용자의 입력정보를 실제 처리하여 거래를 완료하는 실처리를 수행하기 전에 처리할 내용을 담은 전처리 내용을 사용자가 확인할 때 이 전처리 내용 또한 해커에 의해 위변조되지 않도록 보호하는 방법을 기술사상으로 한다.

즉, 본 발명은 네트워크 상이 아닌 서버와 클라이언트 말단에서 해커에 의해 정보가 유출될 수 있다는 가정하에 유출되더라도 정보를 활용 가치가 없도록 한다는 것이 기술적 핵심이고, 이는 실제로 해킹 자체를 막기 위한 방법보다 경제적이면서도 효과적인 것이다.

본 발명은 클라이언트의 정보 전송절차 및 서버의 전처리 확인절차의 보안방 법을 주요골자로 하는바, 도 1은 그 중 클라이언트의 정보 전송절차에서의 정보보안방법의 흐름을 나타내고 있다.

입력기 화면 생성 및 전송단계(s11)는 사용자가 선택할 수 있는 입력 값이 배열된 입력기 화면을 서버가 생성하여 이를 클라이언트에 전송하는 절차로서, 웹 언어로 작성된 입력기 화면에 입력 버튼에 들어갈 내용으로서 텍스트가 아닌 이미지 형식의 화일을 결합한다.

상기 이미지 결합은 서버에서 입력기 화면 생성시에 이루어지며 입력기 화면 생성시마다 입력기 화면상 각 입력버튼의 위치에는 매번 다른 이미지가 결합하도록 하여 본 발명에 따른 입력기 화면은 종래의 키보드나 키패드의 배열을 따르지 않고 예측불가능한 배열을 갖게 된다.

상기 배열의 변화는 많은 경우의 수(e.g. 입력항목의 개수가 n일 경우에 n!)로 구현되는 것이 바람직하며, 이와 같은 변화를 통해 클라이언트 단말에서 이미지 태그 등을 통해 사용자 입력 값을 추측할 수 없도록 하는 것이다.

입력기 화면은 거래의 종류에 따라 필요한 입력버튼을 포함하여야 하므로, 숫자뿐만 아니라 문자, 기호 또는 특수문자 등 필요한 내용을 포함할 수 있도록 다양한 형태의 구현이 가능한 부분이다.

도 2는 종래 키보드의 형상을 채택하고 숫자와 문자가 배열된 입력기 화면의 일 실시예이다.

이와 같이 본 발명에 따른 입력기 화면은 다양한 디자인과 내용을 담아 구성할 수 있으며, 여기서 중요한 것은 동일한 위치라 해도 결합되는 이미지가 매번 변 화된다는 것이고, 입력기 화면의 배열의 변화는 사용자가 시각적으로만 확인할 수 있다는 것이다.

이때 서버는 입력기 화면의 입력버튼 위치별 특정 값인 세팅 값과 상기 입력기 화면상 실제 표시된 값인 게시 값을 연결한 세팅 값/게시 값 정보를 저장하여 정보 복원시 이용하도록 해야 한다.

사용자 정보를 입력받는 단계(s12)는 클라이언트가 상기 서버로부터 전송된 입력기 화면을 모니터 등의 화면에 표시하고, 상기 입력기 화면의 변형된 배열은 사용자가 시각적으로만 확인할 수 있는 이미지 데이타이다. 따라서 사용자는 변형된 배열의 입력기 화면을 이용하여 입력하고자 하는 값을 선택하게 된다.

그러면 클라이언트 시스템은 입력기 화면 입력 버튼의 실제 이미지 값이 아닌 입력버튼 위치에 따라 특정되어 있는 세팅 값(즉, 종래 키보드 배열에 따른 값)으로 인식하는 사용자 입력 값 인식단계(s13) 및 선택이 완료된 상기 사용자 입력 값을 서버에 전송하는 단계(s14)가 수행된다.

사용자 입력 값 복원단계(s15)는 상기 클라이언트로부터 전송된 세팅 값으로서의 사용자 입력 값을 입력기 화면의 게시 값으로 복원하여 인식한다.

이를 위해서는 상기 단계(s11)에서 입력기 화면 생성시 저장해 놓은 게시 값 정보를 토대로 세팅 값으로부터 해당 위치의 게시 값을 복원하는 것이다.

도 3은 상기 단계를 수행하는 과정을 알기 쉽게 표현한 개념도로서, 사용자가 전송하고자 하는 입력 값이 '1234ABC'라면, 이를 입력기 화면의 게시 값을 통해 선택하게 되지만, 클라이언트가 인식하는 값은 입력기 화면의 입력 버튼 위치에 따 라 특정된 값인 세팅 값으로 '4173GZL'을 서버에 전송하게 되는 것이다.

이로써 사용자가 입력한 정보는 시각적으로만 그 내용을 확인할 수 있는 입력기 화면에서만 선택될 뿐 실제 클라이언트에서 인식하는 값은 사용자가 선택(의도)했던 값(사용자 입력 값)과는 전혀 다른 값(세팅 값)이므로 해커에 의해 사용자 입력 값이 유출되어도 아무런 지장이 없는 것이다.

또한 서버로 전송된 클라이언트 인식값 '4173GZL'은 서버에서 저장하고 있는 세팅 값/게시 값 정보를 토대로 변환되어 사용자가 입력기 화면을 통해 시각적으로 확인하며 선택했던 정보인 사용자 입력값 '1234ABC'로 복원되는 것이다.

일반적으로 클라이언트 시스템은 서버에 비하여 보안성이 취약하다. 따라서 본 발명에 따른 보안방법을 도입하게 되면, 클라이언트 시스템에서 생성되는 정보는 사용자만이 시각적으로 확인할 수 있을 뿐, 클라이언트 시스템은 사용자가 입력한 실제 값과 다른 값을 인식하기 때문에 클라이언트 시스템에서는 정보가 유출되더라고 해커가 그 내용을 감지할 수는 없는 것이어서 정보보안의 근본적인 대책을 마련할 수 있는 장점이 있다.

도 4는 서버에서 클라이언트로부터 전송된 사용자 입력 값을 토대로 서버가 실제 요구된 처리를 수행하는 실처리 이전에 선택한 정보를 사용자가 다시 한번 확인하도록 하여 거래의 오류를 방지하는 전처리 확인절차의 흐름을 나타내고 있다.

이를 위해 일반적으로는 사용자의 입력정보를 포함한 확인대상 정보를 텍스트 형식으로 결합하여 클라이언트에 전송하게 되나, 이는 해킹 툴에 의해 유출 및 위변조될 수 있는 것이어서 사용자가 잘못된 정보를 확인하고 거래를 성사시키게 되는 위험성이 있다.

따라서 본 발명은 서버가 확인대상 정보를 포함하는 전처리 확인 창을 하나의 이미지 화일로 생성하여 클라이언트로 전송하도록 하는바, 사용자가 실제로 화면에서 해당 이미지를 열람하기 전에는 그 내용을 알 수 없도록 한다.

이때 해커 툴이 상기 전처리 확인창 이미지 자체를 차단 및 교체할 수도 있기 때문에 바탕에 워터마크와 같은 확인 이미지를 포함시켜 사용자가 전처리 확인 창에 혼재하는 상기 확인 이미지를 시각적으로 확인하고 그 내용을 입력하여 서버로 전송함으로써 서버는 사용자가 위조되지 않은 전처리 확인창을 확인하였음을 인식할 수 있는 것이다.

따라서 전처리 확인 창 생성 및 전송단계(s21)에서는 도 5의 예시와 같이, 서버는 전처리 확인 창을 생성하되, 확인대상 정보의 이미지, 확인 이미지 및 사용자 확인란을 포함하도록 하여 이를 클라이언트로 전송한다.

이때 상기 확인 이미지는 전처리 확인 창 생성시 마다 매번 다른 이미지가 결합되도록 하여야 한다.

확인 이미지 내용 전송단계(s22)는 클라이언트 시스템이 사용자가 시각적으로 확인한 상기 확인 이미지의 내용을 상기 사용자 확인란으로부터 입력받아 서버로 전송한다.

확인 이미지 동일여부 판단단계(s23)은 서버가 상기 전송받은 이미지 확인정보의 내용이 실제 확인 이미지의 내용과 일치하는지 여부를 판단하여 동일한 경우에만 실처리 수행을 위한 절차를 진행하는 것이다.

본 발명에 따르면, 사용자가 모니터 화면에서 시각적으로 확인하여 입력하는 값과 클라이언트 시스템에 의해서 인식(처리)되는 값이 다르므로 클라이언트 시스템 말단에서 해킹 툴에 의해 사용자 입력정보가 악용될 가능성을 완벽하게 차단할 수 있어 인터넷 통신의 보안성을 획기적으로 강화할 수 있다.

실처리 이전의 확인단계에서 서버가 전처리 확인 창을 하나의 이미지 화일로 생성하여 전송함으로써 클라이언트에서는 이를 시각적으로만 확인 가능하도록 하고 혼재된 확인 이미지의 내용을 사용자가 시각적으로 확인하여 서버로 전송함으로써 완벽한 보안을 가능하게 한다.

Claims (5)

1. 서버/클라이언트 시스템을 기반으로 하여 서버가 클라이언트로부터 정보를 전송받아 처리하는 절차의 웹 정보 보안방법에 있어서,

   1) 서버에서 입력버튼에 들어갈 내용의 이미지를 임의의 배열로 결합하여 입력기 화면을 생성하고 이를 클라이언트에 전송하는 단계;

   2) 클라이언트는 상기 입력기 화면을 통해 시각적으로 확인할 수 있는 게시 값을 사용자에게 표시하고 사용자로부터 정보를 입력받는 단계;

   3) 입력기 화면의 입력버튼 배열위치에 따라 특정된 세팅 값에 따라 상기 사용자가 선택한 정보인 사용자 입력 값을 인식하는 단계;

   4) 상기 클라이언트의 사용자 입력 값 인식이 완료되면 클라이언트가 인식한 값을 서버에 전송하는 단계; 및

   5) 서버는 전송받은 클라이언트 인식 값을 세팅 값/게시 값 변환정보에 따라 사용자가 입력기 화면에서 게시 값에 따라 실제로 선택한 사용자 입력 값으로 복원하는 단계;를 포함하는 것을 특징으로 하는 웹 정보 보안방법.
2. 제 1항에 있어서, 상기 5)단계는

   서버가 확인대상 정보 및 확인 이미지를 포함하는 전처리 확인 창을 하나의 이미지 화일로 생성하고, 상기 전처리 확인 창에 상기 확인 이미지를 사용자가 시각적으로 확인하고 그 내용을 입력할 수 있는 사용자 확인란을 결합하여 이를 클라 이언트에 전송하는 단계;

   클라이언트는 시각적으로 확인할 수 있는 상기 전처리 확인창을 표시하고 사용자가 시각적으로 확인한 확인 이미지의 내용을 입력받아 서버로 전송하는 단계; 및

   서버는 상기 전송받은 확인 이미지 내용을 상기 전처리 확인창의 실제 확인 이미지 내용과 동일한 지 여부를 판단하여 동일한 경우에만 실처리를 수행하는 단계;를 더 포함하여 복원된 입력 값을 실처리 하기 전에 사용자로부터 확인을 받는 전처리 확인절차를 수행하는 것을 특징으로 하는 웹 정보 보안방법.
3. 서버/클라이언트 시스템을 기반으로 하여 서버가 클라이언트로부터 전송된 입력 값을 실처리 하기 전에 사용자로부터 확인을 받는 전처리 확인절차의 웹 정보보안방법에 있어서,

   서버가 확인대상 정보 및 확인 이미지를 포함하는 전처리 확인 창을 하나의 이미지 화일로 생성하고, 상기 전처리 확인 창에 상기 확인 이미지를 사용자가 시각적으로 확인하고 그 내용을 입력할 수 있는 사용자 확인란을 결합하여 이를 클라이언트에 전송하는 단계;

   클라이언트는 시각적으로 확인할 수 있는 상기 전처리 확인창을 표시하고 사용자가 시각적으로 확인한 확인 이미지의 내용을 입력받아 서버로 전송하는 단계; 및

   서버는 상기 전송받은 확인 이미지 내용을 상기 전처리 확인창의 실제 확인 이미지 내용과 동일한 지 여부를 판단하여 동일한 경우에만 실처리를 수행하는 단계;를 포함하는 것을 특징으로 하는 웹 정보 보안방법.
4. 제 1항에 있어서, 상기 1) 단계는 입력기 화면을 생성할 때마다 입력버튼 이미지의 배열을 변화시키는 것을 특징으로 하는 웹 정보 보안방법.
5. 제 2항 또는 제 3항에 있어서, 상기 전처리 확인 창 생성시 확인 이미지 결합은 매번 다른 이미지를 결합하는 것을 특징으로 하는 웹 정보 보안방법.

Images