KR20120045410A - 난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템 - Google Patents

난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템 Download PDF

Info

Publication number
KR20120045410A
KR20120045410A KR1020100106927A KR20100106927A KR20120045410A KR 20120045410 A KR20120045410 A KR 20120045410A KR 1020100106927 A KR1020100106927 A KR 1020100106927A KR 20100106927 A KR20100106927 A KR 20100106927A KR 20120045410 A KR20120045410 A KR 20120045410A
Authority
KR
South Korea
Prior art keywords
password
user
random number
number table
authentication
Prior art date
Application number
KR1020100106927A
Other languages
English (en)
Inventor
유성민
Original Assignee
유성민
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 유성민 filed Critical 유성민
Priority to KR1020100106927A priority Critical patent/KR20120045410A/ko
Publication of KR20120045410A publication Critical patent/KR20120045410A/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 비밀번호 인증방법에 관한 것으로서, 기존의 보편적인 비밀번호 인증방법이 가지는 보안상 취약한 문제점들을 해결하기 위하여 난수표를 사용하여 비밀번호를 입력하고, 이를 통해 사용자를 인증하는 것을 특징으로 한다.
본 발명에 따른 비밀번호 인증방법은, 비밀번호 입력에 필요한 문자들이 임의로 배치된 두 개 이상의 난수표를 형성하여 제공하는 과정; 및 상기 난수표에서 비밀번호를 입력하여 사용자 인증을 위해 제공하는 과정; 을 포함한다.
여기서, 상기 두 개 이상의 난수표는 하나의 문제지 난수표와 하나의 답안지 난수표로 구성되며, 하나 이상의 눈속임 난수표가 포함될 수 있다.
상기 난수표로부터 비밀번호를 입력하는 과정은 문제지 난수표에서 입력할 문자의 좌표를 찾고, 답안지 난수표에서 해당 좌표에 상응하는 문자를 입력하는 과정; 을 포함한다.
본 발명에 따른 사용자 인증 시스템은, 비밀번호를 입력받기 위한 난수표를 요청하고, 수신된 난수표를 사용자에게 제시하여 비밀번호를 입력받는 웹페이지; 및 상기 웹페이지에 난수표를 생성하여 제공하며, 상기 웹페이지로부터 수신되는 비밀번호를 통해 사용자를 인증하는 인증서버; 를 포함한다.
이상과 같은 본 발명에 의하면, 사용자가 실제 비밀번호를 입력하지 않고, 난수표에 의해 대치되는 비밀번호를 입력하기 때문에 키로깅 공격에 안전하다.
또한, 네트워크상에 사용자의 실제 비밀번호가 아닌 대치되는 비밀번호가 전송되기 때문에 스니핑 공격으로부터 안전하다.
또한, 다수의 난수표를 사용하기 때문에 비밀번호 입력을 어깨너머로 훔쳐보더라도 입력한 값을 쉽게 알 수 없어 숄더서핑 공격으로부터 안전하다.
이렇게 본 발명을 통해 일반적인 비밀번호 인증방법의 보안상 취약한 문제점들을 해결할 수 있다.

Description

난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템{Password Authentication Method based on Random Table and User Authentication System for the Method}
본 발명은 비밀번호 인증방법에 관한 것으로서, 특히 난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템에 관한 것이다.
사용자 인증이란 어떠한 시스템에 접속하고자하는 사람이 타당한가를 검증하고, 접속을 허용하는 일련의 행위를 말한다.
이렇게 사용자를 인증하는 과정에서 사용되는 방법은 크게 지식 기반(knowledge-based) 인증, 소유 기반(ownership-based) 인증, 생체인식 기반(biometric-based) 인증의 세 가지 유형으로 구분된다.
첫 번째, 지식기반 인증은 비밀번호(password), 핀(PIN, Personal Identification Number), 보안문구(passphrase)와 같은 서버와 사용자 간에 공유하는 비밀정보를 통해 사용자를 확인하는 방법이다.
두 번째, 소유기반 인증은 신분증, 열쇠, 신용카드, 스마트카드(smart card)와 같은 사용자만이 유일하게 가지고 있는 무엇을 이용하여 사용자를 확인하는 방법이다.
세 번째, 생체인식기반 인증은 지문(fingerprint), 홍채(iris), 목소리(voiceprint)와 같은 사용자 고유의 신체적 특징을 이용하여 사용자를 확인하는 방법이다.
이와 같은 다양한 사용자 인증방법 중에서도, 지식기반 인증 유형에 속하는 비밀번호는 사용자가 사용하기 편리하다는 점, 구현이 쉽다는 점, 비용이 가장 저렴하다는 점 등의 장점에 의해 가장 보편적으로 사용되고 있는 사용자 인증방법이다.
하지만 비밀번호를 사용한 인증방법의 경우 사용자가 비밀번호를 입력하는 것을 어깨너머로 훔쳐보는 숄더서핑(shoulder-surfing) 공격에 취약한 점, 네트워크상에 흘러가는 정보를 수집해 비밀번호를 알아내는 스니핑(sniffing) 공격에 취약한 점, 입력장치에 의해 입력된 값을 통해 비밀번호를 알아내는 키로깅(key-logging) 공격에 취약한 점 등의 보안상 취약한 문제점들이 있다.
본 발명은 상기의 문제점을 해결하여 숄더서핑 공격과 스니핑 공격, 키로깅 공격 등에 안전한 비밀번호 인증방법을 제공하는 것을 그 목적으로 한다.
본 발명의 다른 목적은 상기의 인증방법에 적합한 사용자 인증 시스템을 제공하는 것에 있다.
본 발명에 따른 비밀번호 인증방법은,
비밀번호 입력에 필요한 문자들이 임의로 배치된 두 개 이상의 난수표를 형성하여 제공하는 과정; 및 상기 난수표에서 비밀번호를 입력하여 사용자 인증을 위해 제공하는 과정; 을 포함하는 것을 특징으로 한다.
여기서, 상기 두 개 이상의 난수표는 하나의 문제지 난수표와 하나의 답안지 난수표로 구성되며, 하나 이상의 눈속임 난수표가 포함될 수 있다. 이러한 난수표를 형성하는 과정은
N
Figure pat00001
M 크기의 빈 테이블을 준비하는 과정; 및 비밀번호 입력에 필요한 문자들을(예를 들어 0부터 9까지, A부터 Z까지) 임의의 순서로 상기 빈 테이블에 배치하는 과정; 을 포함한다.
또한, 상기 난수표로부터 비밀번호를 입력하는 과정은
문제지 난수표에서 입력할 문자의 좌표를 찾고, 답안지 난수표에서 해당 좌표에 상응하는 문자를 입력하는 과정; 을 포함하며, 추후 상세히 설명하기로 한다.
본 발명에 따른 사용자 인증 시스템은,
사용자가 인증요청을 하면, 비밀번호를 입력받기 위한 난수표를 요청하고, 수신된 난수표를 사용자에게 제시하여 비밀번호를 입력받는 웹페이지; 및 상기 웹페이지의 난수표 요청에 응답하여 난수표를 생성하여 제공하며, 상기 웹페이지로부터 수신되는 비밀번호를 통해 사용자를 인증하는 인증서버; 를 포함하는 것을 특징으로 한다.
이상과 같은 본 발명에 의하면, 사용자가 실제 비밀번호를 입력하지 않고, 난수표에 의해 대치되는 비밀번호를 입력하기 때문에 키로깅 공격에 안전하다.
또한, 네트워크상에 사용자의 실제 비밀번호가 아닌 대치되는 비밀번호가 전송되기 때문에 스니핑 공격으로부터 안전하다.
또한, 다수의 난수표를 사용하기 때문에 비밀번호 입력을 어깨너머로 훔쳐보더라도 입력한 값을 쉽게 알 수 없어 숄더서핑 공격으로부터 안전하다.
이렇게 본 발명을 통해 일반적인 비밀번호 인증방법의 보안상 취약한 문제점들을 해결할 수 있다.
도 1은 본 발명에 있어서 사용자 인증을 위한 웹페이지를 나타낸다.
도 2는 도 1의 웹페이지에 있어서, 비밀번호 입력을 위한 난수표가 제시되는 다른 예를 나타낸다.
도 3은 사용자에 의해 입력된 비밀번호의 검증방법에 대한 흐름도이다.
도 4는 본 발명에 따른 사용자 인증 시스템의 흐름도이다.
이하에서는 도면을 참조하여 본 발명을 보다 상세하게 설명한다.
본 발명의 요지를 불필요하게 흐릴 수 있는 공지기능 및 구성에 대한 상세한 설명은 생략한다.
도 1은 본 발명에 있어서 사용자 인증을 위한 웹페이지(100a)를 나타낸다.
도 1을 참조하면, 사용자 인증을 위한 웹페이지(100a)는 아이디 입력부(102), 비밀번호 입력부(104), 및 인증정보 전송부(106)를 포함하며, 여기에 추가적으로 두 개의 난수표(110, 112)를 포함한다.
아이디 입력부(102)는 인증 받고자하는 사용자의 아이디를 입력하며, 비밀번호 입력부(104)는 상기 사용자의 비밀번호를 입력한다.
인증정보 전송부(106)는 입력된 아이디와 비밀번호를 인증서버로 전송하여 사용자 인증을 수행하는 기능을 한다.
두 개의 난수표(110, 112)의 경우, 사용자가 웹페이지에 접속할 때 인증서버로부터 수신되며 각각 시험지(110)와 답안지(112)로 표시될 수 있다.
상기 난수표는 인증서버에서 생성되는데 하나의 난수표는 다음과 같은 과정을 거쳐 생성된다.
1) N
Figure pat00002
M 크기의 빈 테이블이 준비된다.
2) 빈 테이블에 비밀번호 입력에 필요한 문자들을(예를 들어 0부터 9까지, A부터 Z까지) 임의의 순서로 테이블에 배치한다.
한편, 사용자가 난수표로부터 비밀번호를 입력하는 과정은 다음과 같다.
1) 시험지(110)에서 입력하고자하는 문자의 좌표를 확인한다.
2) 답안지(112)에서 상기 좌표에 상응하는 문자를 입력한다.
3) 도 1에 도시된 웹페이지(100a)에서 예를 들어, 사용자의 실제 비밀번호가 'AABC122'라고 하면, 입력해야하는 비밀번호는 'UU4BC99'가 된다.
도 2는 도 1의 웹페이지에 있어서, 비밀번호 입력을 위한 난수표가 제시되는 다른 예를 나타낸다.
도 2의 좌측에 도시된 웹페이지(100b)는 도 1에 도시된 웹페이지(100a)와는 다르게 난수표에 시험지(110), 답안지(112)의 표시가 없는 대신 두 개의 난수표들이 각각 다른 색상으로 표시된다.
이와 같은 경우, 사용자와 인증서버는 사용자의 인증정보로 아이디, 비밀번호와 더불어 시험지 색상, 답안지 색상을 공유하며, 사용자가 비밀번호를 입력하는 과정은 다음과 같다.
1) 상기 시험지 색상을 갖는 난수표에서 입력하고자하는 문자의 좌표를 확인한다.
2) 상기 답안지 색상을 갖는 난수표에서 상기 좌표에 상응하는 문자를 입력한다.
3) 우측 웹페이지(110c)에서 예를 들어, 사용자의 실제 비밀번호가 'AABC122'이고, 시험지 색상이 초록색, 답안지 색상이 빨간색이라고 한다면, 입력해야하는 비밀번호는 '110F5HH'가 된다.
이처럼 웹페이지에 시험지와 답안지를 표시 하지 않고 난수표를 사용하게 되면, 비밀번호 입력을 어깨너머로 훔쳐보더라도 시험지와 답안지를 파악할 수 없어 숄더서핑 공격으로부터 안전하게 된다.
도 2의 우측에 도시된 웹페이지(100c)는 좌측에 도시된 웹페이지(100b)에 하나 이상의 눈속임 난수표가 추가적으로 포함되는 형태이다.
이와 같은 경우, 비밀번호를 입력하는 과정은 좌측에 도시된 웹페이지(100b)와 같은 과정을 거치지만, 다수의 난수표를 사용함으로 인해 비밀번호 입력을 어깨너머로 훔쳐보더라도 시험지와 답안지를 파악하기 더욱 힘들게 함으로써 숄더서핑 공격으로부터 더욱 안전하게 된다.
도 3은 사용자로부터 입력받은 비밀번호의 검증방법에 대한 흐름도이다. 비밀번호의 검증과정은 사용자 인증을 위한 비밀번호 입력(S202) 과정; 입력한 비밀번호가 일치하는지 검증하는(S204) 과정; 검증결과 통지(S206, S208) 과정; 을 포함한다.
사용자 인증을 위한 비밀번호 입력(S202) 과정은 사용자가 상기 도 1 혹은 도 2와 같은 웹페이지를 통해 비밀번호를 입력하여 전송하는 과정을 나타낸다.
입력한 비밀번호가 일치하는지 검증하는(S204) 과정은 다음과 같은 절차를 따른다.
1) 답안지 난수표에서 입력받은 비밀번호를 구성하는 문자들의 좌표를 확인한다.
2) 시험지 난수표에서 상기 좌표에 상응하는 문자들을 확인하여, 사용자의 비밀번호를 복원한다.
3) 복원한 비밀번호와 사용자의 실제 비밀번호를 비교하여 검증한다.
4) 도 1에 도시된 웹페이지(100a)에서 예를 들어, 사용자로부터 입력받은 비밀번호가 'UU4BC99'라고 하면, 복원되는 비밀번호는 'AABC122'가 되고, 사용자의 실제 비밀번호가 'AABC122'인지를 비교하는 과정을 통해 검증한다.
이와 같은 과정을 통해 사용자가 입력한 비밀번호를 검증하고 검증결과에 따라 인증 성공을 통지(S206)하거나 인증 실패를 통지(S208)한다.
도 4는 본 발명에 따른 사용자 인증 시스템의 흐름도를 나타낸다.
도 4를 참조하면, 사용자 인증 시스템은 사용자가 사용하는 전산장비(300)와 인증서버(400)를 포함한다.
사용자는 전산장비(300)를 이용하여, 웹페이지를 통해 인증서버에 접속(S302)하고, 웹페이지에 표시되는 난수표로부터 비밀번호를 생성하여 인증서버로 아이디와 함께 전송한다.
인증서버는 사용자가 웹페이지에 접속하면, 난수표를 생성(S304)하고 사용자에게 사용자 인증을 위한 웹페이지를 제시(S306)한다. 또한 사용자가 입력한 아이디와 비밀번호에 대해 검증(S310)하고, 인증 결과를 전송(S312)한다.
이와 같은 과정을 통해, 시스템은 사용자를 인증하고 접속을 허용하게 된다.
100a...사용자 인증 웹페이지
100b...사용자 인증 웹페이지의 다른 예
100c...사용자 인증 웹페이지의 또 다른 예
300...사용자측 전산장비
400...인증서버

Claims (4)

  1. 비밀번호 인증방법에 있어서, 비밀번호 입력에 필요할 수 있는 문자들을 포함하는 난수표를 생성하는 과정; 및
    상기 난수표를 사용하여 비밀번호를 입력하는 과정; 및
    상기 입력한 비밀번호 인증을 위하여 제공하는 과정을 포함하는 비밀번호 인증방법.
  2. 제1항에 있어서, 상기 비밀번호 입력에 필요할 수 있는 문자들은 숫자, 알파벳 문자, 한글 문자, 특수문자 및 기타 언어문자를 포함하는 것을 특징으로 하며;
    상기 난수표를 생성하는 과정은 N
    Figure pat00003
    M 크기의 빈 테이블을 준비하는 과정; 및 상기 빈 테이블에 비밀번호 입력에 필요한 문자들을 임의의 순서로 테이블에 배치하는 과정을 포함하여 난수표를 생성하는 것을 특징으로 하는 비밀번호 인증방법.
  3. 제1항에 있어서, 상기 난수표를 사용하여 비밀번호를 입력하는 과정은
    특정 난수표에서 입력하고자하는 문자의 좌표를 확인하는 과정; 및
    다른 특정 난수표에서 상기 좌표에 상응하는 문자로 대치하여 입력하는 과정을 포함하는 것을 특징으로 하는 비밀번호 인증방법.
  4. 제1항에 있어서, 상기 입력한 비밀번호 인증을 위하여 제공하는 과정은
    특정 난수표에서 입력받은 비밀번호를 구성하는 문자들의 좌표를 확인하는 과정; 및
    다른 특정 난수표에서 상기 좌표에 상응하는 문자들을 확인하여, 사용자의 비밀번호를 복원하는 과정; 및
    복원한 비밀번호와 사용자의 실제 비밀번호를 비교하여 검증하는 과정을 포함하는 것을 특징으로 하는 비밀번호 인증방법.
KR1020100106927A 2010-10-29 2010-10-29 난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템 KR20120045410A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020100106927A KR20120045410A (ko) 2010-10-29 2010-10-29 난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020100106927A KR20120045410A (ko) 2010-10-29 2010-10-29 난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템

Publications (1)

Publication Number Publication Date
KR20120045410A true KR20120045410A (ko) 2012-05-09

Family

ID=46264878

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020100106927A KR20120045410A (ko) 2010-10-29 2010-10-29 난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템

Country Status (1)

Country Link
KR (1) KR20120045410A (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101432943B1 (ko) * 2013-08-27 2014-08-21 인하대학교 산학협력단 스마트폰에서 패스워드의 안전한 입력 방법
KR20160048602A (ko) * 2014-10-25 2016-05-04 박남태 영상표시 장치의 음성제어를 이용한 보안 입력 방법 및 장치

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101432943B1 (ko) * 2013-08-27 2014-08-21 인하대학교 산학협력단 스마트폰에서 패스워드의 안전한 입력 방법
KR20160048602A (ko) * 2014-10-25 2016-05-04 박남태 영상표시 장치의 음성제어를 이용한 보안 입력 방법 및 장치

Similar Documents

Publication Publication Date Title
AU2006321402B2 (en) A method and apparatus for verifying a person's identity or entitlement using one-time transaction codes
US8407762B2 (en) System for three level authentication of a user
CN104798083B (zh) 用于验证访问请求的方法和系统
CN106330850A (zh) 一种基于生物特征的安全校验方法及客户端、服务器
CN107690791A (zh) 用于使电子通信中的认证安全的方法
CN105187463A (zh) 一种远程共享方法、vtm终端、网络侧设备及系统
JP2015088080A (ja) 認証システム、認証方法、及びプログラム
KR20170011305A (ko) 전자 신분증, 전자 신분증의 진위 확인 시스템 및 방법
Anwar et al. A Comparative Study of Graphical and Alphanumeric Passwords for Mobile Device Authentication.
Lone et al. A novel OTP based tripartite authentication scheme
TWI322386B (en) Method for securing transactions carried out remotely across an open communication network
Revathy et al. Advanced safe PIN-Entry against human shoulder-surfing
CN106022037A (zh) 一种金融终端认证方法与装置
JP2016144119A (ja) 電子ペン、端末、署名照合システム、署名照合方法および署名照合プログラム。
US20190028470A1 (en) Method For Verifying The Identity Of A Person
KR20120045410A (ko) 난수표를 사용하는 비밀번호 인증방법 및 그에 적합한 사용자 인증 시스템
CA2611549C (en) Method and system for providing a secure login solution using one-time passwords
US20160021102A1 (en) Method and device for authenticating persons
AU2011100338A4 (en) Method and /or device for managing authentication data
CN111818047B (zh) 一种云环境下的云主机监控管理系统及方法
JP2009031986A (ja) チャレンジ＆レスポンス型指静脈認証システム
Aldwairi et al. Multi-factor authentication system
Aramice et al. Secure Code Generation for Multi-Level Mutual Authentication
Edwards et al. FFDA: A novel four-factor distributed authentication mechanism
Shah et al. New factor of authentication: Something you process

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E601 Decision to refuse application
E601 Decision to refuse application