KR20190031986A - 모바일 생체인식 인증 수행 장치 및 인증 요청 장치 - Google Patents

모바일 생체인식 인증 수행 장치 및 인증 요청 장치 Download PDF

Info

Publication number
KR20190031986A
KR20190031986A KR1020170120368A KR20170120368A KR20190031986A KR 20190031986 A KR20190031986 A KR 20190031986A KR 1020170120368 A KR1020170120368 A KR 1020170120368A KR 20170120368 A KR20170120368 A KR 20170120368A KR 20190031986 A KR20190031986 A KR 20190031986A
Authority
KR
South Korea
Prior art keywords
authentication
biometric authentication
biometric
mobile
random number
Prior art date
Application number
KR1020170120368A
Other languages
English (en)
Inventor
김재성
전명근
Original Assignee
한국인터넷진흥원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국인터넷진흥원 filed Critical 한국인터넷진흥원
Priority to KR1020170120368A priority Critical patent/KR20190031986A/ko
Publication of KR20190031986A publication Critical patent/KR20190031986A/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/32—User authentication using biometric data, e.g. fingerprints, iris scans or voiceprints
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • G06F21/33—User authentication using certificates
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3231—Biological data, e.g. fingerprint, voice or retina
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures

Abstract

모바일 생체인식 인증 수행 장치는 생체인식 인증을 위한 제1 인증 난수를 모바일 생체인식 인증 요청 장치에 제공하는 인증 난수 제공부, 상기 모바일 생체인식 인증 요청 장치로부터 상기 제1 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 수신하는 암호화 전자서명 수신부 및 상기 공개 키를 기초로 상기 암호화 전자서명에 관한 복호화를 수행하여 제2 인증 난수를 추출하고, 상기 제1 및 제2 인증 난수들의 일치 여부를 기초로 상기 생체인식 인증을 수행하는 생체인식 인증 수행부를 포함한다.

Description

모바일 생체인식 인증 수행 장치 및 인증 요청 장치{APPARATUS FOR EXECUTING TELEBIOMETRIC AUTHENTICATION AND APPARATUS FOR REQUESTING THE SAME}
본 발명은 생체인식 인증 기술에 관한 것으로, 보다 상세하게는 생체인식 인증을 위한 인증 난수를 통해 사용자에 관한 모바일 생체인식 인증의 보안을 향상시킨 모바일 생체인식 인증 수행 장치 및 인증 요청 장치에 관한 것이다.
바이오메트릭 기반의 사용자 인증 기술은 바이오메트릭 센서를 기반으로 획득되는 사용자의 센서 데이터를 데이터베이스에 있는 원본 데이터와 비교하여 동일 사용자인지 여부를 판단하는 방식으로 사용자를 인증할 수 있다. 종래 기술은 측정자의 상태나 측정 환경에 따라 결과에 차이가 있어 신뢰성이 다소 떨어지고, 공격자가 도난되거나 허위 하드웨어 보안 모듈을 이용하여 사용자 인증을 위조하는 경우 대응하기 어려워 보안 안전성이 떨어지는 단점이 있다.
한국공개특허공보 제10-2017-0034618(2017.03.29)호는 바이오 정보를 이용하는 사용자 인증 방법 및 사용자 인증을 위한 인증 서버, 바이오 인식 장치에 관한 것으로, 개시된 바이오 정보를 이용하는 사용자 인증 방법은 사용자의 제1바이오 정보를 수집하는 단계; 상기 제1바이오 정보를 인증 서버로 전송하는 단계; 상기 사용자의 제2바이오 정보를 수집하는 단계; 및 상기 제1바이오 정보에 대한 사용자 인증이 성공한 경우, 상기 제2바이오 정보를 상기 인증 서버로 전송하는 단계를 포함한다.
한국등록특허 제10-0875923(2008.12.18)호는 각각의 단일 바이오 인식 시스템의 인식 결과를 융합하여 사용자를 검색하는 사용자 검색 시스템 및 그 방법에 관한 것으로, 사용자의 다수의 바이오 정보를 입력받아 저장하는 바이오 정보 데이터베이스; 상기 저장된 다수의 바이오 정보의 각각의 바이오 정보에 대해 누적분포 함수를 이용하여 확률분포를 추정하는 분포 추정부; 검색 대상 사용자의 다수의 바이오 정보를 상기 각각의 바이오 정보로부터 검색하고, 그 매칭 여부를 판단하여 상기 대상 사용자의 다수의 바이오 정보의 각각의 정보에 매칭 점수를 부여하는 바이오 정보 검색부; 및 상기 각각의 매칭 점수를 상기 추정된 확률분포를 참조하여 CBF(Cumulative Bayes Fusion)을 이용하여 융합하여, 그 융합 결과로부터 상기 대상 사용자의 검색(인증) 결과를 추출하는 융합부를 포함한다.
한국공개특허공보 제10-2017-0034618(2017.03.29)호 한국등록특허 제10-0875923(2008.12.18)호
본 발명의 일 실시예는 생체인식 인증을 위한 인증 난수를 통해 사용자에 관한 모바일 생체인식 인증의 보안을 강화시킨 모바일 생체인식 인증 수행 장치 및 인증 요청 장치를 제공하고자 한다.
본 발명의 일 실시예는 모바일 생체인식 인증 요청 장치를 중심으로 수행되는 사용자에 관한 제1 생체인식 인증과 모바일 생체인식 인증 수행 장치를 중심으로 수행되는 인증 환경에 관한 제2 생체인식 인증을 통해 보안을 강화시킨 모바일 생체인식 인증 수행 장치 및 인증 요청 장치를 제공하고자 한다.
실시예들 중에서, 모바일 생체인식 인증 수행 장치는 생체인식 인증을 위한 제1 인증 난수를 모바일 생체인식 인증 요청 장치에 제공하는 인증 난수 제공부, 상기 모바일 생체인식 인증 요청 장치로부터 상기 제1 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 수신하는 암호화 전자서명 수신부 및 상기 공개 키를 기초로 상기 암호화 전자서명에 관한 복호화를 수행하여 제2 인증 난수를 추출하고, 상기 제1 및 제2 인증 난수들의 일치 여부를 기초로 상기 생체인식 인증을 수행하는 생체인식 인증 수행부를 포함한다.
상기 암호화 전자서명은 상기 개인 키를 기초로 인증 익명 식별자와 상기 제1 인증 난수 간의 연산을 통해 생성되고 상기 공개 키를 기초로 암호화된 전자서명에 해당할 수 있다.
상기 암호화 전자서명 수신부는 상기 모바일 생체인식 인증 요청 장치로부터 상기 암호화 전자서명을 수신하는 과정에서 상기 생체인식 인증을 위해 공인인증서버에 의해 제공된 공인인증서를 더 수신할 수 있다.
상기 생체인식 인증 수행부는 상기 복호화를 통해 상기 암호화 전자서명으로부터 전자서명을 획득하고 상기 획득된 전자서명으로부터 상기 제2 인증 난수와 인증 익명 식별자를 추출할 수 있다.
상기 생체인식 인증 수행부는 공개 서명 검증 키를 이용하여 상기 공인인증서를 통해 상기 전자서명의 유효 여부를 검증할 수 있다.
상기 생체인식 인증 수행부는 상기 공인인증서에 있는 인증 익명 식별자와 상기 추출된 인증 익명 식별자 간의 일치 여부 및 상기 제1 인증 난수와 상기 추출된 제2 인증 난수 간의 일치 여부를 분석하여 모두 일치하는 경우에만 상기 생체인식 인증이 성공된 것으로 결정할 수 있다.
실시예들 중에서, 모바일 생체인식 인증 요청 장치는 사용자의 생체인식 정보를 획득하는 생체인식 획득 센서부, 상기 획득된 생체인식 정보를 메모리에 저장된 생체인식 레퍼런스와 비교 분석하여 상기 사용자에 대한 제1 생체인식 인증을 수행하는 제1 생체인식 인증 수행부 및 모바일 생체인식 인증 수행 장치로부터 제2 생체인식 인증을 위한 인증 난수를 수신하고, 상기 제1 생체인식 인증이 성공되면 상기 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 상기 모바일 생체인식 인증 수행 장치에 제공하여 상기 제2 생체인식 인증을 요청하는 제2 생체인식 인증 요청부를 포함한다.
상기 제1 생체인식 인증 수행부는 상기 획득된 생체인식 정보를 분석하여 특징점을 추출하고, 상기 추출된 특징점과 상기 생체인식 레퍼런스에 있는 특징점을 대조 분석하여 기준값 이상 매칭되는지 여부를 기초로 상기 제1 생체인식 인증의 성공 여부를 결정할 수 있다.
상기 제2 생체인식 인증 요청부는 상기 개인 키를 기초로 인증 익명 식별자와 상기 인증 난수 간의 연산을 통해 전자서명을 생성하고, 상기 공개 키를 기초로 상기 전자서명을 암호화하여 상기 암호화 전자서명을 생성할 수 있다.
상기 제2 생체인식 인증 요청부는 전자서명 알고리즘을 기초로 상기 인증 익명 식별자와 상기 인증 난수 간의 연접 연산을 수행하여 상기 전자서명을 생성할 수 있다.
상기 제2 생체인식 인증 요청부는 상기 모바일 생체인식 인증 수행 장치에 상기 제2 생체인식 인증을 위해 공인인증서버에 의해 제공된 공인인증서를 더 제공하여 상기 모바일 생체인식 인증 수행 장치가 상기 공인인증서를 기초로 상기 전자서명의 유효 여부를 검증하도록 할 수 있다.
상기 모바일 생체인식 인증 요청 장치는 공인등록서버로부터 상기 제1 생체인식 인증을 위한 상기 생체인식 레퍼런스 및 상기 제2 생체인식 인증을 위한 인증 익명 식별자를 수신하여 상기 제1 및 제2 생체인식 인증을 준비하는 생체인식 인증 준비부를 더 포함할 수 있다.
상기 생체인식 인증 준비부는 사전 생체인식 인증을 위해 상기 생체인식 획득 센서부를 통해 상기 사용자의 생체인식 정보를 획득하고, 상기 수신된 생체인식 레퍼런스를 기초로 수행된 상기 사전 생체인식 인증이 성공되면 상기 인증 익명 식별자를 기초로 상기 개인 키 및 공개 키를 획득할 수 있다.
상기 생체인식 인증 준비부는 상기 사용자에 의해 생성된 인증 서명 요청을 공인인증서버에 제공하여 상기 공인인증서버로부터 상기 제2 생체인식 인증을 위한 공인인증서를 수신할 수 있다.
실시예들 중에서, 모바일 생체인식 인증 수행 방법은 모바일 생체인식 인증 요청 장치와 연결된 모바일 생체인식 인증 수행 장치에 의해 수행되고, 상기 모바일 생체인식 인증 수행 방법은 생체인식 인증을 위한 제1 인증 난수를 상기 모바일 생체인식 인증 요청 장치에 제공하는 인증 난수 제공 단계, 상기 모바일 생체인식 인증 요청 장치로부터 상기 제1 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 수신하는 암호화 전자서명 수신 단계 및 상기 공개 키를 기초로 상기 암호화 전자서명에 관한 복호화를 수행하여 제2 인증 난수를 추출하고, 상기 제1 및 제2 인증 난수들의 일치 여부를 기초로 상기 생체인식 인증을 수행하는 생체인식 인증 수행 단계를 포함한다.
실시예들 중에서, 모바일 생체인식 인증 요청 방법은 모바일 생체인식 인증 수행 장치와 연결된 모바일 생체인식 인증 요청 장치에 의해 수행되고, 상기 모바일 생체인식 인증 요청 방법은 사용자의 생체인식 정보를 획득하는 생체인식 획득 센서 단계, 상기 획득된 생체인식 정보를 메모리에 저장된 생체인식 레퍼런스와 비교 분석하여 상기 사용자에 대한 제1 생체인식 인증의 성공 여부를 결정하는 제1 생체인식 인증 수행 단계 및 상기 제1 생체인식 인증이 성공되면 상기 모바일 생체인식 인증 수행 장치로부터 인증 난수를 수신하고, 상기 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 상기 모바일 생체인식 인증 수행 장치에 제공하여 상기 사용자에 대한 제2 생체인식 인증을 요청하는 제2 생체인식 인증 요청 단계를 포함한다.
개시된 기술은 다음의 효과를 가질 수 있다. 다만, 특정 실시예가 다음의 효과를 전부 포함하여야 한다거나 다음의 효과만을 포함하여야 한다는 의미는 아니므로, 개시된 기술의 권리범위는 이에 의하여 제한되는 것으로 이해되어서는 아니 될 것이다.
본 발명의 일 실시예에 따른 모바일 생체인식 인증 수행 장치 및 인증 요청 장치는 생체인식 인증을 위한 인증 난수를 통해 사용자에 관한 모바일 생체인식 인증의 보안을 강화시킬 수 있다.
본 발명의 일 실시예에 따른 모바일 생체인식 인증 수행 장치 및 인증 요청 장치는 모바일 생체인식 인증 요청 장치를 중심으로 수행되는 사용자에 관한 제1 생체인식 인증과 모바일 생체인식 인증 수행 장치를 중심으로 수행되는 인증 환경에 관한 제2 생체인식 인증을 통해 보안을 강화시킬 수 있다.
도 1은 본 발명의 일 실시예에 따른 모바일 생체인식 인증 시스템을 설명하는 도면이다.
도 2는 도 1에 있는 모바일 생체인식 인증 수행 장치의 구성을 나타내는 도면이다.
도 3은 도 1에 있는 모바일 생체인식 인증 수행 장치가 모바일 생체인식 인증을 수행하는 과정을 설명하는 흐름도이다.
도 4는 도 1에 있는 모바일 생체인식 인증 요청 장치의 구성을 나타내는 도면이다.
도 5는 도 1에 있는 모바일 생체인식 인증 요청 장치가 모바일 생체인식 인증을 요청하는 과정을 설명하는 흐름도이다.
도 6은 도 1에 있는 모바일 생체인식 인증 수행 장치와 모바일 생체인식 인증 요청 장치가 상호 연동하여 사용자에 대한 모바일 생체인식 인증을 수행하는 과정의 일 실시예를 나타내는 흐름도이다.
도 7은 도 1에 있는 모바일 생체인식 인증 요청 장치가 공인등록서버 및 공인인증서버와 연동하여 사용자에 관한 모바일 생체인식 등록 과정을 수행하는 일 실시예를 나타내는 흐름도이다.
도 8은 도 1에 있는 모바일 생체인식 인증 요청 장치가 공인등록서버 및 공인인증서버와 연동하여 사용자에 관한 모바일 생체인식 등록 과정을 수행하는 다른 일 실시예를 나타내는 흐름도이다.
도 9는 본 발명의 일 실시예를 위한 표준 환경을 나타내는 도면이다.
도 10은 도 1에 있는 모바일 생체인식 인증 수행 장치가 BHSM을 이용한 원격 생체 인식 인증 프로세스를 수행하는 과정을 예시하는 도면이다.
도 11은 도 1에 있는 모바일 생체인식 인증 수행 장치가 ACBio를 이용한 BHSM의 원격 생체 인식 인증 프로세스를 수행하는 과정을 예시하는 도면이다.
도 12는 본 발명의 일 실시예에 따라 수정과 함께 PKCS # 10을 사용하여 PSID를 삽입하는 절차를 예시하는 도면이다.
본 발명에 관한 설명은 구조적 내지 기능적 설명을 위한 실시예에 불과하므로, 본 발명의 권리범위는 본문에 설명된 실시예에 의하여 제한되는 것으로 해석되어서는 아니 된다. 즉, 실시예는 다양한 변경이 가능하고 여러 가지 형태를 가질 수 있으므로 본 발명의 권리범위는 기술적 사상을 실현할 수 있는 균등물들을 포함하는 것으로 이해되어야 한다. 또한, 본 발명에서 제시된 목적 또는 효과는 특정 실시예가 이를 전부 포함하여야 한다거나 그러한 효과만을 포함하여야 한다는 의미는 아니므로, 본 발명의 권리범위는 이에 의하여 제한되는 것으로 이해되어서는 아니 될 것이다.
한편, 본 출원에서 서술되는 용어의 의미는 다음과 같이 이해되어야 할 것이다.
"제1", "제2" 등의 용어는 하나의 구성요소를 다른 구성요소로부터 구별하기 위한 것으로, 이들 용어들에 의해 권리범위가 한정되어서는 아니 된다. 예를 들어, 제1 구성요소는 제2 구성요소로 명명될 수 있고, 유사하게 제2 구성요소도 제1 구성요소로 명명될 수 있다.
어떤 구성요소가 다른 구성요소에 "연결되어"있다고 언급된 때에는, 그 다른 구성요소에 직접적으로 연결될 수도 있지만, 중간에 다른 구성요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성요소가 다른 구성요소에 "직접 연결되어"있다고 언급된 때에는 중간에 다른 구성요소가 존재하지 않는 것으로 이해되어야 할 것이다. 한편, 구성요소들 간의 관계를 설명하는 다른 표현들, 즉 "~사이에"와 "바로 ~사이에" 또는 "~에 이웃하는"과 "~에 직접 이웃하는" 등도 마찬가지로 해석되어야 한다.
단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한 복수의 표현을 포함하는 것으로 이해되어야 하고, "포함하다"또는 "가지다" 등의 용어는 실시된 특징, 숫자, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것이 존재함을 지정하려는 것이며, 하나 또는 그 이상의 다른 특징이나 숫자, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
각 단계들에 있어 식별부호(예를 들어, a, b, c 등)는 설명의 편의를 위하여 사용되는 것으로 식별부호는 각 단계들의 순서를 설명하는 것이 아니며, 각 단계들은 문맥상 명백하게 특정 순서를 기재하지 않는 이상 명기된 순서와 다르게 일어날 수 있다. 즉, 각 단계들은 명기된 순서와 동일하게 일어날 수도 있고 실질적으로 동시에 수행될 수도 있으며 반대의 순서대로 수행될 수도 있다.
본 발명은 컴퓨터가 읽을 수 있는 기록매체에 컴퓨터가 읽을 수 있는 코드로서 구현될 수 있고, 컴퓨터가 읽을 수 있는 기록 매체는 컴퓨터 시스템에 의하여 읽혀질 수 있는 데이터가 저장되는 모든 종류의 기록 장치를 포함한다. 컴퓨터가 읽을 수 있는 기록 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피 디스크, 광 데이터 저장 장치 등이 있다. 또한, 컴퓨터가 읽을 수 있는 기록 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산 방식으로 컴퓨터가 읽을 수 있는 코드가 저장되고 실행될 수 있다.
여기서 사용되는 모든 용어들은 다르게 정의되지 않는 한, 본 발명이 속하는 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 가진다. 일반적으로 사용되는 사전에 정의되어 있는 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 것으로 해석되어야 하며, 본 출원에서 명백하게 정의하지 않는 한 이상적이거나 과도하게 형식적인 의미를 지니는 것으로 해석될 수 없다.
도 1은 본 발명의 일 실시예에 따른 모바일 생체인식 인증 시스템을 설명하는 도면이다.
도 1을 참조하면, 모바일 생체인식 인증 시스템(100)은 모바일 생체인식 인증 수행 장치(110), 모바일 생체인식 인증 요청 장치(120), 공인등록서버(130) 및 공인인증서버(140)를 포함할 수 있고, 이들은 네트워크를 통해 상호 연결될 수 있다.
모바일 생체인식 인증 수행 장치(110)는 모바일 생체인식 인증 수행 장치(110)와 연동하여 모바일 생체인식 인증(Telebiometric authentication)을 수행할 수 있다. 모바일 생체인식 인증 수행 장치(110)는 중앙처리장치, 메모리 장치, 입출력 수단 및 네트워크 수단을 구비한 컴퓨팅 장치로 구현될 수 있고, 적어도 하나의 모바일 생체인식 인증 요청 장치(120)와 연결되어 각각의 요청을 기반으로 해당 사용자에 관한 모바일 생체인식 인증을 수행하여 인증 결과를 제공할 수 있는 서버로서 기능할 수 있다.
모바일 생체인식 인증 요청 장치(120)는 모바일 생체인식 인증 수행 장치(110)에 모바일 생체인식 인증을 요청할 수 있다. 일 실시예에서, 모바일 생체인식 인증 요청 장치(120)는 특정 서비스의 이용과 관련하여 사용자에 대한 모바일 생체인식 인증이 요청되면 사용자의 생체인식 정보를 획득하여 로컬 중심의 제1 생체인식 인증을 수행할 수 있고, 제1 생체인식 인증이 성공되면 해당 인증의 성공 결과를 기초로 모바일 생체인식 인증 수행 장치(110)에 서버 중심의 제2 생체인식 인증을 요청할 수 있다. 모바일 생체인식 인증 요청 장치(120)는 모바일 생체인식 인증 수행 장치(110)에 의한 제2 생체인식 인증이 성공되면 최종적으로 해당 사용자에 대한 모바일 생체인식 인증이 성공되었음을 수신할 수 있고, 이에 따라, 해당 특정 서비스를 제공받거나 이용의 승인을 수신할 수 있다.
모바일 생체인식 인증 요청 장치(120)는 모바일 생체인식 하드웨어 보안 모듈(Biometric hardware security module)을 통해 모바일 생체인식 인증 수행 장치(110)와 연동하여 모바일 생체인식 인증을 요청할 수 있고, 모바일 생체인식 인증 수행 장치(110)가 생체인식 인증을 수행하기 위해 필요한 데이터를 제공할 수 있다. 여기에서, 모바일 생체인식 하드웨어 보안 모듈은 모바일 생체인식 인증 요청 장치(120)에 설치, 부착 또는 연결되면 모바일 생체인식 인증 요청 장치(120)가 모바일 생체인식 하드웨어 보안 모듈을 통해 모바일 생체인식 인증 수행 장치(110)와 연동되도록 할 수 있는 소프트웨어인 에이전트 프로그램에 해당한다. 일 실시예에서, 모바일 생체인식 하드웨어 보안 모듈은 로컬 중심의 제1 생체인식 인증을 위한 생체인식 레퍼런스, 서버 중심의 제2 생체인식 인증을 위한 인증 익명 식별자(예를 들어, PSID(Pseudonymous Identifier)), 개인 키와 공개 키를 생성하기 위한 알고리즘 및 공인인증서를 포함할 수 있다.
모바일 생체인식 인증 요청 장치(120)는 중앙처리장치, 메모리 장치, 입출력 수단 및 네트워크 수단을 구비한 컴퓨팅 장치로 구현될 수 있고, 예를 들어, PC, 노트북, 스마트폰, PDA(Personal Digital Assistant), 태블릿 PC 또는 별도의 하드웨어 수단으로 구현될 수 있다.
공인등록서버(130)는 사용자에 관한 모바일 생체인식 등록 과정을 통해 모바일 생체인식 하드웨어 보안 모듈을 생성하여 해당 사용자의 모바일 생체인식 인증 요청 장치(120)에 제공할 수 있다. 보다 구체적으로, 공인등록서버(130)는 사용자의 요청을 기반으로 해당 사용자의 생체인식 특성을 캡처할 수 있고, 캡처된 생체인식 특성을 기초로 생체인식 레퍼런스(biometric reference)를 생성하여 모바일 생체인식 하드웨어 보안 모듈에 저장할 수 있다. 일 실시예에서, 공인등록서버(130)는 서버 중심의 제2 생체인식 인증을 위한 인증 익명 식별자를 생성하여 모바일 생체인식 하드웨어 보안 모듈에 저장할 수 있고, 생성된 인증 익명 식별자를 공인인증서버(140)에 제공할 수 있다. 공인등록서버(130)는 등록기관(Registration Authority)에 의해 구축 및 운영될 수 있다.
공인인증서버(140)는 사용자에 관한 모바일 생체인식 등록 과정을 통해 공인인증서를 생성하여 해당 사용자의 모바일 생체인식 인증 요청 장치(120)에 제공할 수 있다. 보다 구체적으로, 공인인증서버(140)는 사용자와 연관된 인증 익명 식별자를 공인등록서버(130)로부터 수신할 수 있고, 해당 사용자에 의해 인증서 서명 요청(certificate signing request)이 수신되면 인증 익명 식별자를 포함하는 해당 사용자의 공인인증서를 생성할 수 있으며, 생성된 공인인증서를 해당 사용자에게 제공하여 해당 사용자의 모바일 생체인식 하드웨어 보안 모듈에 저장되도록 할 수 있다. 일 실시예에서, 공인인증서버(140)는 ITU-T X.509 국제 표준의 포맷을 기초로 공인인증서를 생성, 삭제, 갱신 및 관리할 수 있다. 공인인증서버(140)는 인증기관(Certification Authority)에 의해 구축 및 운영될 수 있다.
도 2는 도 1에 있는 모바일 생체인식 인증 수행 장치의 구성을 나타내는 도면이다.
도 2를 참조하면, 모바일 생체인식 인증 수행 장치(110)는 인증 난수 제공부(210), 암호화 전자서명 수신부(220), 생체인식 인증 수행부(230) 및 제어부(240)를 포함할 수 있다.
인증 난수 제공부(210)는 생체인식 인증을 위한 제1 인증 난수를 모바일 생체인식 인증 요청 장치(120)에 제공할 수 있다. 인증 난수 제공부(210)는 특정 서비스에 관한 사용자 접근에 따라 모바일 생체인식 인증 요청 장치(120)의 접근이 수신되면 제1 인증 난수 Ra를 챌린지로서 생성할 수 있고, 메모리에 저장된 난수 알고리즘을 기초로 제1 인증 난수를 생성할 수 있다. 일 실시예에서, 인증 난수 제공부(210)는 생성된 제1 인증 난수 Ra를 모바일 생체인식 인증 요청 장치(120)에 전송하여 모바일 생체인식 인증 요청 장치(120)에 설치된 모바일 생체인식 하드웨어 보안 모듈에 입력되도록 할 수 있다.
암호화 전자서명 수신부(220)는 모바일 생체인식 인증 요청 장치(120)로부터 제1 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 수신할 수 있다. 보다 구체적으로, 모바일 생체인식 인증 요청 장치(120)는 인증 난수 제공부(210)로부터 제1 인증 난수가 수신되면 사용자의 생체인식 정보를 획득하여 로컬에서 생체인식 인증을 수행할 수 있고, 성공되면, 제1 인증 난수를 기초로 암호화 전자서명을 생성하여 제1 인증 난수에 대한 응답으로서 암호화 전자서명 수신부(220)에 전송할 수 있다.
일 실시예에서, 암호화 전자서명은 개인 키를 기초로 인증 익명 식별자와 제1 인증 난수 간의 연산을 통해 생성되고 공개 키를 기초로 암호화된 전자서명에 해당할 수 있다. 예를 들어, 암호화 전자서명 수신부(220)는 모바일 생체인식 인증 요청 장치(120)에 제1 인증 암호 Ra를 전송하고, 모바일 생체인식 인증 요청 장치(120)는 전송된 제1 인증 암호 Ra와 인증 익명 식별자 PSID를 개인 키(sk) 기반의 전자서명 알고리즘에 입력으로 적용하여 Signsk(PSID, Ra)를 생성할 수 있고, 생성된 Signsk(PSID, Ra)을 공개 키(pk) 기반의 암호화 알고리즘에 입력으로 적용하여 암호화된 전자서명인 Epk(Signsk(PSID, Ra)를 제1 인증 암호에 대한 응답으로 수신할 수 있다.
일 실시예에서, 개인 키는 모바일 생체인식 인증 요청 장치(120)에서 수행되는 로컬의 생체인식 인증이 성공되면 모바일 생체인식 인증 요청 장치(120)에 의해 모바일 생체인식 하드웨어 보안 모듈에 저장된 개인 키 알고리즘을 기반으로 생성될 수 있고, 공개 키는 모바일 생체인식 인증 요청 장치(120)에 의한 로컬의 생체인식 인증이 성공되면 모바일 생체인식 인증 요청 장치(120)가 모바일 생체인식 인증 수행 장치(110)로부터 수신하여 저장할 수 있다. 이에 관한 보다 구체적인 내용은 모바일 생체인식 인증 요청 장치(120)의 구성에 관한 설명에서 보다 상세히 서술하도록 한다.
암호화 전자서명 수신부(220)는 모바일 생체인식 인증 요청 장치(120)로부터 암호화 전자서명을 수신하는 과정에서 생체인식 인증을 위해 공인인증서버(140)에 의해 제공된 공인인증서를 더 수신할 수 있다. 암호화 전자서명 수신부(220)는 수신된 암호화 전자서명이 생체인식 인증 수행부(230)에 의해 분석되고 검증되는 과정에서 수신된 공인인증서가 사용되도록 할 수 있다.
생체인식 인증 수행부(230)는 공개 키를 기초로 암호화 전자서명에 관한 복호화를 수행하여 제2 인증 난수를 추출할 수 있다. 보다 구체적으로, 생체인식 인증 수행부(230)는 공개 키 기반의 암호화 알고리즘을 기초로 암호화 전자서명에 관한 복호화를 수행하여 인증 익명 식별자와 제2 인증 난수를 추출할 수 있다. 생체인식 인증 수행부(230)는 미리 약속된 알고리즘으로서 모바일 생체인식 하드웨어 보안 모듈에 저장된 것과 동일한 공개 키 기반의 암호화 알고리즘을 기초로 암호화 전자서명에 관한 복호화를 수행할 수 있다.
생체인식 인증 수행부(230)는 복호화를 통해 암호화 전자서명으로부터 전자서명을 획득하고 획득된 전자서명으로부터 제2 인증 난수와 인증 익명 식별자를 추출할 수 있다. 예를 들어, 생체인식 인증 수행부(230)는 공개 키를 기초로 수신된 암호화 전자서명 Epk(Signsk(PSID, Ra)를 해독하여 전자서명 Signsk(PSID, Ra)를 획득할 수 있고, 미리 약속된 알고리즘으로서 모바일 생체인식 하드웨어 보안 모듈에 저장된 것과 동일한 전자서명 알고리즘을 기초로 전자서명 Signsk(PSID, Ra)로부터 인증 익명 식별자인 PSID와 제2 인증 난수인 Ra를 추출할 수 있다. 여기에서, 제2 인증 난수는 복호화를 통해 추출된 인증 난수로서, 생체인식 인증의 과정에 따라 인증 난수 제공부(210)에 의해 생성된 제1 인증 난수와 동일하거나 상이할 수 있으며, 생체인식 인증의 과정 전반이 정상적으로 진행되었다면 제1 인증 난수와 동일한 데이터를 가질 수 있다.
일 실시예에서, 생체인식 인증 수행부(230)는 공개 서명 검증 키(public signature verification key)를 이용하여 공인인증서를 통해 전자서명의 유효 여부를 검증할 수 있다. 예를 들어, 생체인식 인증 수행부(230)는 미리 약속된 공개 서명 검증 키를 사용하여 모바일 생체인식 인증 요청 장치(120)로부터 수신된 ITU-T X.509 국제 표준의 공인인증서로 전자서명을 검증할 수 있고, 해당 검증에 따라 해당 전자서명이 유효한지 여부를 결정할 수 있다.
생체인식 인증 수행부(230)는 제1 및 제2 인증 난수들의 일치 여부를 기초로 생체인식 인증을 수행할 수 있다. 보다 구체적으로, 생체인식 인증 수행부(230)는 암호화 전자서명으로부터 추출된 제2 인증 난수와 인증 난수 제공부(210)에 의해 생성된 제1 인증 난수를 비교 분석하여 일치 여부를 기초로 생체인식 인증의 성공 여부를 결정할 수 있다. 예를 들어, 생체인식 인증 수행부(230)는 인증 난수 제공부(210)에 의해 생성되어 모바일 생체인식 인증 요청 장치(120)에 제공된 제1 인증 난수로서의 Ra와 모바일 생체인식 인증 요청 장치(120)로부터 제1 인증 난수에 대한 응답으로 수신된 Epk(Signsk(PSID, Ra)로부터 추출된 제2 인증 난수로서의 Ra를 비교하여, 일치하면 해당 생체인식 인증이 성공된 것으로 결정할 수 있고, 일치하지 않으면 실패한 것으로 결정할 수 있다.
일 실시예에서, 생체인식 인증 수행부(230)는 공인인증서에 있는 인증 익명 식별자와 추출된 인증 익명 식별자 간의 일치 여부 및 제1 인증 난수와 추출된 제2 인증 난수 간의 일치 여부를 분석하여 모두 일치하는 경우에만 해당 생체인식 인증이 성공된 것으로 결정할 수 있다. 예를 들어, 생체인식 인증 수행부(230)는 모바일 생체인식 인증 요청 장치(120)로부터 수신된 ITU-T X.509 공인인증서의 PSID와 암호화 전자서명으로부터 추출된 PSID가 서로 일치하고, 모바일 생체인식 인증 요청 장치(120)에 제공된 제1 인증 난수 Ra와 모바일 생체인식 인증 요청 장치(120)로부터 수신된 암호화 전자서명 Epk(Signsk(PSID, Ra)로부터 추출된 제2 인증 난수 Ra 또한 서로 일치하면, 해당 생체인식 인증이 성공된 것으로 결정할 수 있다.
생체인식 인증 수행부(230)는 생체인식 인증이 성공되면 사용자와 연관된 특정 서비스를 해당 사용자에게 제공하도록 승인할 수 있고, 실패하면, 해당 사용자에게 제공하는 것을 거부할 수 있다. 생체인식 인증 수행부(230)는 실패하면 특정 횟수까지 생체인식 인증을 재시도할 수 있고, 해당 생체인식 인증의 수행 결과에 관한 알림 메시지를 모바일 생체인식 인증 요청 장치(120)에 전송할 수 있다.
제어부(240)는 모바일 생체인식 인증 수행 장치(110)의 동작 전반을 제어할 수 있고, 인증 난수 제공부(210), 암호화 전자서명 수신부(220) 및 생체인식 인증 수행부(230)와 전기적으로 연결되어 이들 간의 데이터 흐름을 제어할 수 있다. 일 실시예에서, 제어부(240)는 모바일 생체인식 인증 수행 장치(110)의 CPU(Central Processing Unit)로 구현될 수 있다.
일 실시예에서, 제어부(240)는 생체인식 인증을 위한 공개 키를 관리할 수 있고, 생체인식 인증의 수행 과정에서 모바일 생체인식 인증 요청 장치(120)로부터 공개 키 제공 요청이 수신되면 해당 모바일 생체인식 인증 요청 장치(120)의 모바일 생체인식 하드웨어 보안 모듈와 연동하여 해당 모바일 생체인식 인증 요청 장치(120)에 공개 키를 제공할 수 있다. 제어부(240)는 미리 약속된 공개 키 알고리즘을 기반으로 공개 키를 생성할 수 있고, 주기적으로 공개 키 알고리즘 및 공개 키를 갱신할 수 있다.
도 3은 도 1에 있는 모바일 생체인식 인증 수행 장치가 모바일 생체인식 인증을 수행하는 과정을 설명하는 흐름도이다.
도 3에서, 인증 난수 제공부(210)는 생체인식 인증을 위한 제1 인증 난수를 모바일 생체인식 인증 요청 장치(120)에 제공할 수 있다(단계 S310). 암호화 전자서명 수신부(220)는 모바일 생체인식 인증 요청 장치(120)로부터 제1 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 수신할 수 있다(단계 S320). 생체인식 인증 수행부(230)는 공개 키를 기초로 암호화 전자서명에 관한 복호화를 수행하여 제2 인증 난수를 추출하고, 제1 및 제2 인증 난수들의 일치 여부를 기초로 생체인식 인증을 수행할 수 있다(단계 S330).
도 4는 도 1에 있는 모바일 생체인식 인증 요청 장치의 구성을 나타내는 도면이다.
도 4를 참조하면, 모바일 생체인식 인증 요청 장치(120)는 생체인식 획득 센서부(410), 제1 생체인식 인증 수행부(420), 제2 생체인식 인증 요청부(430), 생체인식 인증 준비부(440) 및 제어부(450)를 포함할 수 있다.
생체인식 획득 센서부(410)는 사용자의 생체인식 정보를 획득할 수 있다. 일 실시예에서, 생체인식 획득 센서부(410)는 사용자의 생체인식 정보를 센싱할 수 있는 바이오메트릭(bio-metric) 센서로 구현될 수 있고, 여기에서, 생체인식 정보는 사용자 개별의 고유 신호로서, 지문, 홍채, 망막, 손 모양, 안면, 음성 및 서명 정보 중 적어도 하나를 포함할 수 있다. 일 실시예에서, 생체인식 획득 센서부(410)는 사용자의 신체 표면에 접촉되거나 또는 특정 신체 부위를 향하여 특정 거리를 두고 배치된 바이오메트릭 센서 모듈을 통해 해당 사용자의 신체특성 및 행위특성 중 적어도 하나에 관한 생체인식 정보를 센싱하여 디지털 신호로 획득할 수 있다.
제1 생체인식 인증 수행부(420)는 획득된 생체인식 정보를 메모리에 저장된 생체인식 레퍼런스와 비교 분석하여 해당 사용자에 대한 제1 생체인식 인증을 수행할 수 있다. 일 실시예에서, 생체인식 레퍼런스는 사전에 수행된 사용자에 관한 모바일 생체인식 등록 과정을 통해 해당 사용자의 생체인식 특성을 기초로 공인등록서버(130)에 의해 생성될 수 있고, 모바일 생체인식 하드웨어 보안 모듈에 저장되어 해당 사용자의 모바일 생체인식 인증 요청 장치(120)에 제공될 수 있다.
제1 생체인식 인증 수행부(420)는 획득된 생체인식 정보를 분석하여 특징점을 추출하고, 추출된 특징점과 생체인식 레퍼런스에 있는 특징점을 대조 분석하여 기준값 이상 매칭되는지 여부를 기초로 제1 생체인식 인증의 성공 여부를 결정할 수 있다. 보다 구체적으로, 제1 생체인식 인증 수행부(420)는 획득된 생체인식 정보로부터 추출된 특징점과 생체인식 레퍼런스에 있는 생체인식 특성을 값 범위, 영역 범위 및 패턴 범위의 측면에서 비교 분석하여 상호 간의 매칭도를 산출할 수 있고, 산출된 매칭도가 미리 설정된 기준값(예를 들어, 90%) 이상이면 해당 사용자와 등록된 사용자의 생체인식 특성이 상당한 정도로 일치하는 것으로 판단하여 해당 사용자에 관한 제1 생체인식 인증이 성공된 것으로 처리할 수 있다. 여기에서, 기준값은 설계자에 의해 미리 설정될 수 있고, 일 실시예에서, 사용자의 요청을 기반으로 일정 범위 이내에서 조정될 수 있다.
제1 생체인식 인증 수행부(420)는 획득된 생체인식 정보에 있는 적어도 하나의 생체인식 특성 파라미터 중 적어도 일부를 특징점으로 추출할 수 있고, 획득된 생체인식 정보로부터 사람마다 고유하면서 변별력 높은 적어도 하나의 특징점을 추출하기 위한 특징점 추출 알고리즘을 포함할 수 있다.
일 실시예에서, 제1 생체인식 인증 수행부(420)는 획득된 생체인식 정보로부터 추출된 적어도 하나의 특징점과 모바일 생체인식 하드웨어 보안 모듈에 저장된 생체인식 레퍼런스에 있는 적어도 하나의 특징점 각각을 비교하여 기준값 이상 매칭되는 특징점이 미리 설정된 특정 개수 이상 검출되거나, 산출된 평균 매칭도가 특정 기준 이상이면 제1 생체인식 인증이 성공된 것으로 결정할 수 있다.
일 실시예에서, 제1 생체인식 인증 수행부(420)는 획득된 생체인식 정보로부터 동적 요소와 연관된 제1 특징점 및 정적 요소와 연관된 제2 특징점을 구분하여 추출할 수 있다. 여기에서, 동적 요소는 시간 또는 상황에 따라 해당 사용자로부터 측정되는 데이터가 주로 가변될 수 있는 생체인식 특성에 관한 동적 파라미터에 해당하고, 정적 요소는 주로 가변되지 않는 생체인식 특성에 관한 정적 파라미터에 해당할 수 있다. 일 실시예에서, 제1 생체인식 인증 수행부(420)는 정적 요소와 연관된 제2 특징점에 동적 요소와 연관된 제1 특징점보다 높은 가중치를 부여할 수 있고, 제2 특징점에 관한 매칭도에 보다 높은 가중치를 부여하는 가중평균 연산을 통해 제1 생체인식 인증의 성공 여부를 결정하도록 하여 제2 특징점의 매칭 여부가 보다 높은 비율로 반영되도록 할 수 있다. 여기에서, 각 가중치는 사용자 또는 설계자에 의해 조정될 수 있다.
일 실시예에서, 제1 생체인식 인증 수행부(420)는 동적 요소와 연관된 제1 특징점의 경우 유효성 분석을 통해 미리 설정된 유효 범위 이내에 있지 않은 경우 해당 특징점이 유효하지 않은 것으로 판단할 수 있다. 제1 생체인식 인증 수행부(420)는 유효하지 않은 것으로 판단된 특징점에 관한 매칭도를 제1 생체인식 인증의 성공 여부의 결정 과정에 반영하지 않거나 미리 설정된 최소 가중치로 반영할 수 있다.
일 실시예에서, 제1 생체인식 인증 수행부(420)는 모바일 생체인식 인증 수행 장치(110)로부터 제2 생체인식 인증을 위한 제1 인증 난수가 수신되거나, 또는, 사용자에 관한 모바일 생체인식 등록 과정에서 공인등록서버(130)로부터 로컬에서의 생체인식 인증의 수행 요청이 수신되면 생체인식 획득 센서부(410)를 통해 사용자의 생체인식 정보를 획득하여 해당 사용자에 대한 제1 생체인식 인증을 수행할 수 있다. 일 실시예에서, 제1 생체인식 인증 수행부(420)는 제1 생체인식 인증이 실패하면 생체인식 획득 센서부(410)를 통해 사용자의 생체인식 정보를 다시 획득하여 미리 설정된 특정 횟수 내에서 제1 생체인식 인증을 재시도할 수 있다.
일 실시예에서, 생체인식 획득 센서부(410) 및 제1 생체인식 인증 수행부(420)는 다른 구성 요소들과 물리적으로 통합된 하나의 컴퓨팅 장치로 구현되어 제어부(450)에 의해 동작 전반이 제어되도록 구현될 수 있고, 다른 일 실시예에서, 다른 구성 요소들과 물리적으로 분리되고 전기적으로 연결될 수 있는 메모리 및 프로세서를 포함하는 별도의 하드웨어로 구현될 수도 있다.
제2 생체인식 인증 요청부(430)는 모바일 생체인식 인증 수행 장치(110)로부터 제2 생체인식 인증을 위한 인증 난수를 수신할 수 있다. 일 실시예에서, 제2 생체인식 인증 요청부(430)는 모바일 생체인식 인증 수행 장치(110)로부터 제2 생체인식 인증을 위한 챌린지로서 제1 인증 난수 Ra를 수신할 수 있고, 제1 인증 난수의 수신에 따라 수행된 제1 생체인식 인증이 성공되는지 여부를 기초로 해당 제1 인증 난수에 대한 응답을 전송할지 여부를 결정할 수 있다.
제2 생체인식 인증 요청부(430)는 제1 생체인식 인증이 성공되면 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 모바일 생체인식 인증 수행 장치(110)에 제공하여 제2 생체인식 인증을 요청할 수 있다. 일 실시예에서, 제2 생체인식 인증 요청부(430)는 제1 생체인식 인증이 성공되면 모바일 생체인식 하드웨어 보안 모듈에 있는 개인 키 알고리즘을 기초로 개인 키를 생성할 수 있고, 모바일 생체인식 인증 수행 장치(110)에 공개 키 제공을 요청하여 공개 키를 수신할 수 있다.
일 실시예에서, 제2 생체인식 인증 요청부(430)는 개인 키를 기초로 인증 익명 식별자와 인증 난수 간의 연산을 통해 전자서명을 생성하고, 공개 키를 기초로 해당 전자서명을 암호화하여 암호화 전자서명을 생성할 수 있다. 예를 들어, 제2 생체인식 인증 요청부(430)는 수신된 제1 인증 암호 Ra와 하드웨어 보안 모듈에 있는 인증 익명 식별자 PSID를 개인 키 기반의 전자서명 알고리즘에 입력으로 적용하여 전자서명 Signsk(PSID, Ra)를 생성할 수 있고, 생성된 전자서명 Signsk(PSID, Ra)을 공개 키 기반의 암호화 알고리즘에 입력으로 적용해 암호화를 수행하여 암호화 전자서명 Epk(Signsk(PSID, Ra)를 생성할 수 있다. 제2 생체인식 인증 요청부(430)는 암호화 전자서명을 제1 인증 암호에 대한 응답으로 모바일 생체인식 인증 수행 장치(110)에 전송할 수 있다.
일 실시예에서, 제2 생체인식 인증 요청부(430)는 전자서명 알고리즘을 기초로 인증 익명 식별자와 인증 난수 간의 연접 연산을 수행하여 전자서명을 생성할 수 있다. 예를 들어, 제2 생체인식 인증 요청부(430)는 PSID와 Ra에 관한 연접 연산을 통해 (PSID || Ra)를 생성하여 전자서명 알고리즘의 입력으로 사용하고 개인 키를 적용하여 전자서명 Signsk(PSID || Ra)를 생성할 수 있다.
제2 생체인식 인증 요청부(430)는 모바일 생체인식 인증 수행 장치(110)에 제2 생체인식 인증을 위해 공인인증서버(140)에 의해 제공된 공인인증서를 더 제공하여 모바일 생체인식 인증 수행 장치(110)가 해당 공인인증서를 기초로 전자서명의 유효 여부를 검증하도록 할 수 있다. 예를 들어, 제2 생체인식 인증 요청부(430)는 모바일 생체인식 인증 수행 장치(110)에 제1 인증 난수에 대한 응답으로서 암호화 전자서명을 전송하는 과정에서 모바일 생체인식 하드웨어 보안 모듈에 저장된 ITU-T X.509 공인인증서를 같이 전송할 수 있고, 이에 따라, 모바일 생체인식 인증 수행 장치(110)가 미리 약속된 ITU-T X.509 공인인증서의 공개 서명 검증 키를 기초로 해당 전자 서명을 검증하도록 할 수 있다.
일 실시예에서, 생체인식 인증 준비부(440)는 공인등록서버(130)로부터 제1 생체인식 인증을 위한 생체인식 레퍼런스 및 제2 생체인식 인증을 위한 인증 익명 식별자를 수신하여 제1 및 제2 생체인식 인증을 준비할 수 있다. 일 실시예에서, 생체인식 인증 준비부(440)는 제1 및 제2 생체인식 인증을 수행하기 전에 미리 사용자에 관한 모바일 생체인식 등록 과정을 통해 공인등록서버(130)로부터 생체인식 레퍼런스, 인증 익명 식별자 PSID가 저장된 모바일 생체인식 하드웨어 보안 모듈을 제공 받을 수 있고, 모바일 생체인식 하드웨어 보안 모듈이 설치되면 모바일 생체인식 하드웨어 보안 모듈을 통해 제1 및 제2 생체인식 인증의 수행 과정에서 필요한 데이터를 제공 받기 위한 준비를 할 수 있다.
일 실시예에서, 생체인식 인증 준비부(440)는 사전 생체인식 인증을 위해 생체인식 획득 센서부(410)를 통해 사용자의 생체인식 정보를 획득하고, 수신된 생체인식 레퍼런스를 기초로 수행된 사전 생체인식 인증이 성공되면 수신된 인증 익명 식별자를 기초로 개인 키 및 공개 키를 획득할 수 있다. 예를 들어, 생체인식 인증 준비부(440)는 사용자에 관한 모바일 생체인식 등록 과정을 통해 공인등록서버(130)로부터 해당 사용자에 대한 사전 생체인식 인증 요청을 수신할 수 있고, 생체인식 획득 센서부(410)를 통해 해당 사용자의 생체인식 정보를 획득하여 모바일 생체인식 하드웨어 보안 모듈을 통해 생체인식 레퍼런스와의 비교 분석을 통해 로컬에서의 생체인식 인증을 수행할 수 있으며, 해당 로컬 생체인식 인증이 성공되면 모바일 생체인식 하드웨어 보안 모듈을 통해 개인 키를 생성하고 모바일 생체인식 인증 수행 장치(110)와 연동하여 공개 키를 획득할 수 있다.
일 실시예에서, 생체인식 인증 준비부(440)는 사용자에 의해 생성된 인증 서명 요청을 공인인증서버(140)에 제공하여 공인인증서버(140)로부터 제2 생체인식 인증을 위한 공인인증서를 수신할 수 있다. 생체인식 인증 준비부(440)는 개인 키와 공개 키가 획득되면 인증 서명 요청을 전송하여 공인인증서버(140)로부터 인증 익명 식별자를 포함하는 해당 사용자의 공인인증서를 수신할 수 있고, 수신된 공인인증서를 모바일 생체인식 하드웨어 보안 모듈에 저장할 수 있다.
제어부(450)는 모바일 생체인식 인증 요청 장치(120)의 동작 전반을 제어할 수 있고, 생체인식 획득 센서부(410), 제1 생체인식 인증 수행부(420), 제2 생체인식 인증 요청부(430) 및 생체인식 인증 준비부(440)와 전기적으로 연결되어 이들 간의 데이터 흐름을 제어할 수 있다. 일 실시예에서, 제어부(450)는 모바일 생체인식 인증 요청 장치(120)의 CPU로 구현될 수 있다.
도 5는 도 1에 있는 모바일 생체인식 인증 요청 장치가 모바일 생체인식 인증을 요청하는 과정을 설명하는 흐름도이다.
도 5에서, 생체인식 획득 센서부(410)는 사용자의 생체인식 정보를 획득할 수 있다(단계 S510). 제1 생체인식 인증 수행부(420)는 획득된 생체인식 정보를 메모리에 저장된 생체인식 레퍼런스와 비교 분석하여 해당 사용자에 대한 제1 생체인식 인증을 수행할 수 있다(단계 S520). 제2 생체인식 인증 요청부(430)는 모바일 생체인식 인증 수행 장치(110)로부터 제2 생체인식 인증을 위한 인증 난수를 수신할 수 있다(단계 S530). 제2 생체인식 인증 요청부(430)는 제1 생체인식 인증이 성공되면 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 모바일 생체인식 인증 수행 장치(110)에 제공하여 제2 생체인식 인증을 요청할 수 있다(단계 S540).
도 6은 도 1에 있는 모바일 생체인식 인증 수행 장치와 모바일 생체인식 인증 요청 장치가 상호 연동하여 사용자에 대한 모바일 생체인식 인증을 수행하는 과정의 일 실시예를 나타내는 흐름도이다.
도 6에서, 모바일 생체인식 인증 수행 장치(110)는 특정 서비스에 관한 사용자의 접근이 수신되면(단계 a) 생체인식 인증을 위한 제1 인증 난수 Ra를 생성할 수 있다(단계 b). 모바일 생체인식 인증 수행 장치(110)는 생체인식 인증을 위한 챌린지로서 생성된 제1 인증 난수 Ra를 해당 사용자의 모바일 생체인식 인증 요청 장치(120)에 설치된 모바일 생체인식 하드웨어 보안 모듈(BHSM)을 통해 해당 사용자에게 제공할 수 있다(단계 b).
모바일 생체인식 인증 요청 장치(120)는 생체인식 인증을 위한 챌린지가 수신되면 생체인식 획득 센서부(410)를 통해 사용자의 생체인식 정보를 캡처(capture)하여 생체인식 특성을 추출할 수 있고, 추출된 생체인식 특성과 모바일 생체인식 하드웨어 보안 모듈에 저장된 생체인식 레퍼런스(Biometric reference, BR)에 있는 생체인식 특성을 대조(comparison)하여 매칭 여부를 결정하는 로컬에서의 제1 생체인식 인증을 수행할 수 있다(단계 c). 모바일 생체인식 인증 요청 장치(120)는 단계 c를 통한 제1 생체인식 인증의 결과, 매칭되면 모바일 생체인식 하드웨어 보안 모듈에 저장된 개인 키를 독출하거나 개인 키 알고리즘을 기초로 개인 키(private key, sk)를 생성할 수 있고, 매칭되지 않으면 이에 관해 모바일 생체인식 인증 수행 장치(110)에 알리어 해당 특정 서비스에 관한 사용자의 접근을 거부하도록 할 수 있다(단계 c).
모바일 생체인식 인증 요청 장치(120)는 제1 생체인식 인증이 성공된 경우에는 생성된 개인 키를 모바일 생체인식 하드웨어 보안 모듈에 저장된 전자 서명 알고리즘에 적용하고 모바일 생체인식 하드웨어 보안 모듈에 저장된 PSID와 모바일 생체인식 인증 요청 장치(120)로부터 수신된 제1 인증 난수 Ra를 입력으로 사용하여 전자 서명 Signsk(PSID, Ra)을 생성할 수 있다(단계 d). 모바일 생체인식 인증 요청 장치(120)는 모바일 생체인식 인증 수행 장치(110)로부터 공개 키(publick key, pk)를 수신하고, 공개 키를 모바일 생체인식 하드웨어 보안 모듈에 저장된 암호화 알고리즘에 적용하여 전자 서명 Signsk(PSID, Ra)에 관한 암호화를 수행할 수 있고, 해당 암호화를 통해 생성된 암호화 전자서명 Epk(Signsk(PSID, Ra)를 제1 인증 난수 Ra에 대한 응답으로서 모바일 생체인식 인증 수행 장치(110)에 전송하여 제2 생체인식 인증의 수행을 요청할 수 있다(단계 f). 모바일 생체인식 인증 요청 장치(120)는 암호화 전자서명의 전송 과정에서 모바일 생체인식 하드웨어 보안 모듈에 저장된 ITU-T X.509 공인인증서를 같이 전송할 수 있다(단계 f).
모바일 생체인식 인증 수행 장치(110)는 수신된 Epk(Signsk(PSID, Ra)를 공개 키를 기초로 복호화하여 전자 서명 Signsk(PSID, Ra)를 추출할 수 있고, 모바일 생체인식 하드웨어 보안 모듈의 개인 키를 검출하여 전자 서명 Signsk(PSID, Ra)로부터 PSID와 Ra를 추출할 수 있다(단계 g).
모바일 생체인식 인증 수행 장치(110)는 수신된 ITU-T X.509 공인인증서의 공개 서명 검증 키를 이용하여 해당 ITU-T X.509 공인인증서로 해당 전자 서명을 검증할 수 있다(단계 h).
모바일 생체인식 인증 수행 장치(110)는 ITU-T X.509 공인인증서의 PSID와 단계 g를 통해 추출된 PSID를 비교하고 단계 b를 통해 생성된 제1 인증 난수 Ra와 단계 g를 통해 추출된 제2 인증 난수 Ra를 비교하는 제2 생체인식 인증을 수행할 수 있고, 각각의 비교가 일치하면 제2 생체인식 인증이 성공된 것으로 결정하여 해당 사용자에 관한 ITU-T X.509 인증서의 소유권을 인증할 수 있다(단계 i).
모바일 생체인식 인증 수행 장치(110)는 제2 생체인식 인증이 성공되면 해당 사용자에 관한 생체인식 인증이 최종적으로 성공된 것으로 결정하여 해당 사용자에 의해 요청된 특정 서비스를 제공하거나 해당 제공을 승인할 수 있고, 실패하면 해당 특정 서비스의 제공을 거부하거나 해당 제공을 승인 거절할 수 있다(단계 j).
도 7은 도 1에 있는 모바일 생체인식 인증 요청 장치가 공인등록서버 및 공인인증서버와 연동하여 사용자에 관한 모바일 생체인식 등록 과정을 수행하는 일 실시예를 나타내는 흐름도이다. 보다 구체적으로, 도 7은 ITU-T X.509 인증서를 포함하는 모바일 생체인식 하드웨어 보안 모듈(BHSM)을 발행하기 위한 등록 프로세스를 나타낸다.
도 7에서, 사용자는 자신의 신분과 권한이 설정된 공인등록기관을 직접 방문하거나 모바일 생체인식 인증 요청 장치(110)를 통해 해당 공인등록기관에 의해 운영되는 공인등록서버(RA)(130)에 액세스하여 모바일 생체인식 등록을 요청할 수 있다(단계 a). 별도의 생체인식 레퍼런스 툴 또는 공인등록서버(130)에 의해 해당 사용자의 생체인식 특성이 캡처되면 공인등록서버(130)는 캡처된 생체인식 특성을 기초로 해당 사용자에 관한 생체인식 레퍼런스를 생성할 수 있다(단계 a). 공인등록서버(130)는 해당 사용자 또는 해당 사용자와 연관된 모바일 생체인식 인증 요청 장치(110)에 모바일 생체인식 하드웨어 보안 모듈(BHSM)을 제공하고 해당 모바일 생체인식 하드웨어 보안 모듈에 사용자의 생체인식 레퍼런스를 저장할 수 있다(단계 a).
공인등록서버(130)는 PSID를 생성할 수 있고(단계 b), 생성된 PSID를 사용자의 모바일 생체인식 하드웨어 보안 모듈에 저장할 수 있다(단계 c).
공인등록서버(130)는 생성된 PSID를 공인인증서버(140)(CA)로 전송할 수 있고(단계 d), 해당 사용자의 모바일 생체인식 인증 요청 장치(110)에 설치된 모바일 생체인식 하드웨어 보안 모듈을 통해 해당 사용자에 대한 생체인식 인증이 성공적으로 수행되면 모바일 생체인식 하드웨어 보안 모듈을 통해 개인 키와 공개 키를 생성하여 저장할 수 있다(단계 e).
모바일 생체인식 인증 요청 장치(110)는 모바일 생체인식 하드웨어 보안 모듈을 통해 생체인식 인증이 성공되면 ITU-T X.509 인증서를 요청하는 인증서 서명 요청(CSR)을 생성하여 공인인증서버(140)에 전송할 수 있다(단계 f).
공인인증서버(140)는 directoryName을 포함하는 subjectAltName 확장 필드에 PSID를 포함하는 사용자의 ITU-T X.509 인증서를 생성할 수 있다(단계 g).
공인인증서버(140)는 사용자의 ITU-T X.509 인증서를 모바일 생체인식 인증 요청 장치(110)에 전송하여 해당 사용자의 모바일 생체인식 하드웨어 보안 모듈에 이를 안전하게 저장할 수 있다(단계 h).
상기 a)~h) 단계에 기재된 등록 프로세스 전반은 보안을 보증하기 위해 공인등록서버(130)의 제어 하에 진행될 수 있다.
도 8은 도 1에 있는 모바일 생체인식 인증 요청 장치가 공인등록서버 및 공인인증서버와 연동하여 사용자에 관한 모바일 생체인식 등록 과정을 수행하는 다른 일 실시예를 나타내는 흐름도이다. 보다 구체적으로, 도 8은 ISO/IEC 24761에 명시된 ITU-T X.509 인증서와 BRT(biometric reference template) 인증서 발급을 위한 등록 프로세스를 나타낸다.
단계 a는 도 6에 있는 단계 a와 같다. 사용자의 모바일 생체인식 인증 요청 장치(120)는 모바일 생체인식 하드웨어 보안 모듈(BHSM)에 공개 키와 개인 키의 쌍을 생성할 수 있고(단계 b), 공인인증서버(140)(CA)에 ITU-T X.509 인증서 발급 요청을 전송할 수 있다(단계 c). 공인인증서버(140)는 해당 요청에 따라 ITU-T X.509 인증서를 생성할 수 있고(단계 d), 생성된 ITU-T X.509 인증서를 사용자에게 전송할 수 있다(단계 e).
사용자의 모바일 생체인식 인증 요청 장치(120)는 모바일 생체인식 하드웨어 보안 모듈에 ITU-T X.509 인증서를 저장하고(단계 f), 등록을 위해 생체인식 레퍼런스 및 ACBio 인스턴스를 생성할 수 있으며(단계 g), ITU-T X.509 인증서에 serialNumber와 issuer의 값을 가진 BRT 인증서 발급 요청을 보내고 BRT 인증 기관 서버(BRT certificate organization)에 등록하기 위해 ACBio 인스턴스를 보낼 수 있다(단계 i).
BRT 인증 기관 서버는 serialNumber 값을 pkiCertificateSerialNumber 필드로, 발행자 값을 pkiCertificateIssuerName 필드로, 그리고 등록을 위한 ACBio 인스턴스를 enrolmentACBioInstances 필드로 각각 설정하는 BRT 인증서를 생성할 수 있다(단계 i). BRT 인증 기관 서버는 생성된 BRT 인증서를 사용자의 모바일 생체인식 인증 요청 장치(120)에 전송할 수 있다(단계 j).
사용자의 모바일 생체인식 인증 요청 장치(120)는 모바일 생체인식 하드웨어 보안 모듈에 생체인식 레퍼런스 뿐만 아니라 BRT 인증서를 저장할 수 있고(단계 k), 등록을 위해 공인등록서버(130)(RA)에 ITU-T X.509 인증서와 BRT 인증서를 전송할 수 있다(단계 l).
공인등록서버(130)는 ITU-T X.509 인증서와 BRT 인증서를 사용자 데이터베이스에 저장하여 관리할 수 있다(단계 m).
상기 a)~m) 단계에 기재된 등록 프로세스 전반은 보안을 보증하기 위해 공인등록서버(130)의 제어 하에 진행될 수 있다.
<부록 1: 생체 인식 하드웨어 보안 모듈을 이용한 텔레 바이오 메트릭 인증 프레임 워크>
1. 범위
등록 기관(RA)과 개별적으로 등록된 ITU-T X.509 인증서의 소유권을 증명하기 위한 생체 인식 하드웨어 보안 모듈(BHSM)은 높은 수준의 생체 인증을 제공하는 것으로 간주되고 있다. 본 발명에서는 BHSM을 사용하여 모바일(원격) 생체인식 인증을 위한 프레임 워크를 제안한다.
본 발명의 일 실시예는 통신 네트워크 환경에서 BHSM을 사용하는 원격 생체 인식 인증 메커니즘과 ITU-T X.509 프레임 워크에서 메커니즘을 구현하기 위한 추상 구문 표기법 (ASN.1) 형식 및 프로토콜을 제안한다.
관련 표준 환경은 도 9에 도시되어 있다. 본 발명의 일 실시예는 기존의 원격 생체 인식 인증 및 PKI (공개 키 인프라) 표준과 조화를 이루고 BHSM을 사용하여 원격 생체 인식 환경에서 ITU-T X.509 인증서의 소유권을 확인하는 표준 메커니즘을 확립할 수 있도록 하는 표준을 제시할 수 있다. 여기에서, 국제 표준 ITU-T X.509 인증서는 ITU-T X.509 공개 키 인증서를 의미한다.
3. 정의
3.1 본 권고에서 정의된 용어 | 국제 표준
3.1.1 생체 인식 하드웨어 보안 모듈(biometric hardware security module): 사용자를 인증하기 위해 생체 인식 센서 및 생체 인식을 통합하는 하드웨어 보안 모듈.
생체 인식 하드웨어 보안 모듈의 경우 전통적으로 스마트 카드 형태로 제공될 수 있지만 범용 컴퓨터에 직접 부착 할 수 있는 범용 직렬 버스 (USB) 유형 보안 토큰 형태로 제공될 수도 있다.
3.1.2 하드웨어 보안 모듈(hardware security module): ITU-T X.509 인증서와 개인 키를 사용하여 보안 인증을 제공하는 보안 암호 프로세서의 하드웨어 구현.
3.1.3 원격 생체 인증 (telebiometric authentication): 전화, 라디오 또는 관련 기술에 의한 데이터 통신을 이용한 생체 인증.
3.2 다른 국제 표준에 정의 된 용어
3.2.1 다음 용어는 ISO / IEC 2382-37에 정의되어있다.
a) 생체 인식 레퍼런스(biometric reference): 생체 인식 데이터 주체에 기인하며 생체 인식 비교 대상으로 사용되는 하나 이상의 저장된 생체 인식 샘플, 생체 인식 템플릿 또는 생체 인식 모델.
b) 바이오 메트릭 샘플(biometric sample): 생체 특징 추출 전에 생체 특성의 아날로그 또는 디지털 표현.
3.2.2 다음 용어는 ISO / IEC 9798-1에 정의되어있다.
a) 실체 인증(entity authentication): 실체가 주장한 실체 (corroboration).
3.2.3 다음 용어는 ISO / IEC 24745에서 정의되어있다.
a) 신원 참조(identity reference): 도메인 내의 개체 존재 기간 동안 동일하게 유지되는 값을 갖는 식별자 인 비 생체 인식 속성.
b) 익명 식별자(pseudonymous identifier): 캡처된 생체 인식 샘플 및 보조 데이터(있는 경우)를 통해 확인할 수있는 보호 된 신원을 통해 특정 도메인 내의 개인 또는 데이터 주체를 나타내는 재생 가능 바이오 메트릭 참조의 일부.
c) 갱신 가능성(renewability): 동일한 데이터 주체에서 얻은 하나 이상의 생체 인식 표본에서 파생된 다수의 독립적인 변환된 생체 인식 참조를 생성하기 위한 변형 또는 프로세스의 속성. 원본 참조에 대한 정보를 공개하지 않으면서 개인을 식별하는 데 사용할 수 있음.
d) 재생 가능 바이오 메트릭 참조(renewable biometric reference): 캡처 된 생체 인식 샘플로 구성된 보호 된 이진 신원을 통해 특정 도메인 내의 개인 또는 데이터 주체를 나타내는 취소 가능 또는 재생 가능 식별자.
갱신 가능한 생체 인식 참조는 가명 식별자와 생체 인식 또는 보조 데이터와 같은 식별에 필요한 추가의 선택적인 데이터 요소로 구성될 수 있다.
e) 취소 가능성(revocability): 특정 생체 인식 참조 및 해당 신원 참조에 대한 장래의 성공적인 검증을 방지 할 수 있는 능력.
4. 약어
ACBio: Authentication Context for Biometrics
ASN.1: Abstract Syntax Notation One
BCA: Biometric Certificate Authority
BHSM: Biometric Hardware Security Module
BIR: Biometric Information Record
BRA: Biometric Registration Authority
BRT: Biometric Reference Template
BR: Biometric Reference
CA: Certification Authority
CSR: Certificate Signing Request
DN: Distinguished Name
EPSID: Encrypted PSID
HSM: Hardware Security Module
I/F: Interface
IR: Identity Reference
OID: Object Identifier
PIN: Personal Identification Number
PKI: Public-Key Infrastructure
PSID: Pseudonymous Identifier
RA: Registration Authority
RBR: Renewable Biometric Reference
USB: Universal Serial Bus
5. 상징과 용어
E: Encryption function (암호화 함수)
h: Hash function (해시 함수)
pk: Digital signature verification key (public key) 디지털 서명 확인 키 (공개 키)
R: Bit string random number (비트 문자열 난수)
Ra: Bit string random number used for implementing challenge/response authentication between the CA and the biometric hardware security module (BHSM) (CA와 생체 인식 하드웨어 보안 모듈 (BHSM) 간의 챌린지 / 응답 인증을 구현하는 데 사용되는 비트 문자열 임의의 숫자)
Sign: Digital signing (디지털 서명)
Sk: Digital signature generation key (private key) (디지털 서명 생성 키 (개인 키))
6. 생체 인식 인증을 위한 생체 인식 하드웨어 보안 모듈(BHSM)
6.1 HSM에 대한 BHSM의 추가 기능
하드웨어 보안 모듈 (HSM)은 강력한 인증을 제공하기 위해 디지털 서명을 사용하여 중요한 개인 키를 관리하고 보호한다. 하드웨어 보안 모듈은 전통적으로 내부 작업의 침투 및 수정 및 비밀 데이터를 공개하거나 능동적 또는 수동적 태핑 메커니즘의 삽입에 대한 변조 방지 기능을 갖춘 스마트 카드 또는 USB (universal serial bus) 보안 토큰 형태로 제공되는 물리적 장치이다.
대부분의 하드웨어 보안 모듈에 의해 처리되는 암호 자료는 예를 들어, 암호화 / 해독 및 디지털 서명에 사용되는 ITU-T X.509 인증서와 관련된 공개 키 암호화에 사용되는 공개 / 개인 키 쌍 (및 인증서)이 있다. 개인 키가 손상되면 인증서 및 디지털 서명을 더 이상 신뢰할 수 없으며 HSM을 사용하는 트랜잭션이 키 소유자 및 거래 당사자에게 잠재적으로 심각한 악영향을 미칠 수 있다. 적절하게 구현 된 HSM에 의해 제공되는 물리적 보안은 보통 높은 것으로 간주될 수 있다.
그러나 실제 보안은 인증을 위한 전체 보안의 한 요소 일뿐이다. 전반적인 보안은 HSM이 합법적 인 소유자에 의해 사용된다는 확신에 의해 궁극적으로 제한된다. 일반적으로 HSM을 소유자에게 구속하는 것은 정당한 소유자에게만 알려져야 하는 비밀 개인 식별 번호 (PIN) 또는 암호를 통해 제공된다. 암호와 관련된 바인딩의 강도는 패스워드 데이터베이스에 대한 고의적인 공개 또는 기계화 된 공격에 의해 패스워드가 소유자의 사고나 부주의로 인해 손상 될 수 있으므로 일반적으로 낮은 것으로 간주된다. 암호 또는 PIN을 보강하거나 대체하기 위해 생체 인증을 사용하면 강력한 바인딩을 제공하고 인증 보증을 강화할 수 있다.
개인 키를 포함하는 HSM이 개인 공개 키 인프라 (PKI) 기반 인증에 사용될 때, 검증자는 HSM 인증서가 알려진 합법적 소유자에게 속하는지 만 확인할 수 있다. 그러나 HSM을 사용하고 소유자임을 주장하는 사람이 합법적 인 소유자인지 확인할 수 없다. HSM이 의도적으로 또는 우연히 다른 사람이 소유하고 비밀번호가 양도되거나 발견된 경우 당사자 간의 사기로 HSM을 사용하여 사기 거래를 수행할 수 있다. 생체 인식 하드웨어 보안 모듈은 생체 인식을 사용하여 모듈에 로컬로 사용자를 인증하는 HSM으로 거래에 대한 추가 보증을 제공한다.
6.2 BHSM 사용을위한 일반적인 시나리오
BHSM의 사용은 서비스 사용자에 대한 서비스 공급자에 대한 인증으로 제한된다. 따라서 서비스와 서비스에 대한 사용자 액세스를 제공하는보다 큰 시스템의 일부를 구성한다. 이러한 종류의 시나리오에서, 사용자는 퍼스널 컴퓨터 또는 모바일 디바이스와 같은 클라이언트 인터페이스 (I/F)를 통해 서비스와 상호 작용한다. BHSM은 클라이언트에 연결되며 BHSM과 사용자 또는 서비스간에 흐르는 전기 신호는 중개자로서 클라이언트를 통해 전달된다.
클라이언트는 통신 링크 또는 네트워크 (예를 들어, 인터넷)를 통해 서비스에 접속한다. 본 발명은 사용자와 BHSM 또는 BHSM 및 서비스간에 교환되는 데이터 및 명령에 관한 것으로, 클라이언트를 통해 라우트된 것으로 이해될 수 있다. 어떤 예에서, BHSM은 클라이언트에 연결되는 물리적으로 분리된 장치로 구현될 수 있고, 다른 예들에서, BHSM은 클라이언트(예를 들어, 이동 전화)에 물리적으로 내장 될 수 있지만, 두 경우 모두 BHSM은 구별되고 별개의 모듈로 간주될 수 있다.
본 발명은 BHSM을 사용하는 서비스에 대한 사용자의 인증에 초점을 두고 있고, BHSM과 서비스 간의 안전한 종단 간 통신을 보장하기 위한 수단을 포함하고 있어 예를 들어, 사기범이 도난된 가짜 BHSM 또는 클라이언트를 통해 인가된 사용자로 서비스를 인증할 수 없도록 한다.
6.3 BHSM을 이용한 텔레 바이오 메트릭 인증
생체 인증은 공개 네트워크를 통한 생체 인증을 사용하여 안전한 사용자 인증을 제공 할 수 있지만 일부 모델에서는 개방형 네트워크를 통해 인증 서버에 생체 정보를 전송해야 한다. 생체 인식을 사용함에 있어서, 생체 인식 정보의 보안 성 및 사생활을 고려해야 한다. 이를 위해, 바이오 메트릭 정보가 변조 방지 모듈 내에서 사용자의 제어 하에 남아있을 수 있기 때문에, 바이오 메트릭 인증과 HSM의 통합은 해결책이 될 수 있다. 이 경우 생체 인식 참조는 BHSM에만 저장되며 인증 서버에는 저장되지 않으므로 개방형 네트워크를 통해 전송할 필요가 없다. 생체 인식 표준 (BR)이 손상되면 폐기 될 수 있고 새로운 가명 식별자와 함께 사용자에 대한 새로운 참조가 제공되도록 재생 가능한 생체 인식 표준 (RBR)과 익명 식별자를 사용할 수 있도록 고려해야 한다. 갱신 가능한 생체 인식 참조 및 익명 식별자를 사용하면 폐기된 생체 인식 참조와 관련된 생체 인식 데이터를 익명 식별자에서 추출 할 수 없다.
본 발명에서 기술된 BHSM 기반의 원격 생체 인식 인증 체계는 기존 PKI를 기반으로 하므로 적절하게 통합되어야 한다. 본 발명은 RSA 암호화 또는 암호화/해독을 지원하는 다른 유형의 암호화를 사용하는 비대칭 키 쌍을 지원할 수 있다.
본 발명은 BHSM의 등록된 사용자의 생체 정보를 ITU-T X.509 인증서로 바인딩하는 방법을 제안한다.
본 발명에서 설명된 BHSM 운영 및 트랜잭션 프로토콜은 다음과 같은 역할을 담당할 수 있다.
- 사용자, ITU-T X.509 인증서 및 생체 인식 참조가 BHSM에 저장되어있는 BHSM 소유자
- 인증 서버 및 사용자의 인증을 요구하는 신뢰 당사자
- 사용자의 생체 인식을 등록하고 사용자의 BHSM에 저장된 생체 인식 정보를 제공하는 등록 기관
- 사용자의 ITU-T X.509 인증서를 발급하는 인증 기관 (CA)
본 발명은 국제 표준에 따라 다음의 사항들이 권장된다.
- CA는 PSID와 함께 ITU-T X.509 인증서를 제공할 수 있다
- CA는 사용자의 개인 생체 인식 데이터를 공개 할 가능성을 피하기 위해 공개 키 인증서 내의 어느 곳에서나 사용자의 원래 생체 인식 참조를 사용해서는 안된다
- 사용자의 개인 식별 정보 및 개인 정보를 보호하기 위해 사용자의 생체 인식 데이터가 BHSM을 벗어나지 않아야 한다. 등록 및 생체 인증 중에는 PSID만 BHSM을 벗어날 수 있다.
7. 생체 인식 하드웨어 보안 모듈을 이용한 텔레 바이오 메트릭 인증
7.1 일반 사항
본 발명의 일 실시예는 BHSM을 사용하는 등록 및 인증을위한 두 가지 방법을 설명한다. 첫 번째는 ITU-T X.509 인증서 확장을 사용하여 사용자 식별 정보를 포함하는 프로토콜을 설명한다. 두 번째는 생체 인식 (ACBio) 구현을위한 ISO / IEC 24761 인증 컨텍스트와 관련하여 ITU-T X.509 인증서를 사용하는 수정 된 프로토콜을 설명한다.
등록의 완전성 및 보증은 RA와 CA 간의 신뢰 관계의 존재와 RA의 지속적인 감독하에 전적으로 수행되는 등록 절차에 달려 있다. PKI의 RA는 본 발명에 기재된 것처럼 RA보다 훨씬 제한적인 역할을 한다. 이러한 조건이 실현되지 않으면 등록 무결성 및 보증이 훼손 될 수 있다.
7.2 등록 절차
7.2.1 ITU-T X.509 인증서 확장을 사용한 등록 절차
ITU-T X.509 인증서를 포함하는 BHSM을 발행하기 위한 등록 프로세스가 도 7에 도시되어 있다. 보안 보증을 위해 아래의 a)-h) 단계에 설명 된 등록 프로세스 전체가 RA의 통제하에 있어야 한다. 부인 방지를 위한 디지털 서명에 대한 자세한 설명은 ISO / IEC 15945를 참조할 수 있다.
a) 사용자는 자신의 신원과 권한이 설정된 RA를 직접 방문한다. 관련 사용자 생체 인식 특성이 캡처되고 사용자에 대해 생체 인식 참조가 생성된다. RA는 사용자에게 BHSM을 제공하고 BHSM에 사용자의 생체 인식 참조를 저장한다.
b) RA는 PSID를 생성합니다 - PSID 생성에 대한 추가 정보는 8.1.2를 참조.
c) RA는 PSID를 사용자의 BHSM에 저장한다.
d) RA는 생성 된 PSID를 CA로 전송한다.
e) 사용자가 BHSM에 대한 생체 인증을 성공적으로 수행 한 후에는 BHSM 내에서 개인 키와 공개 키를 생성한다.
f) 사용자는 BHSM을 사용하여 성공적인 생체 인증 후 ITU-T X.509 인증서를 요청하는 CA에 인증서 서명 요청 (CSR)을 생성한다.
g) CA는 directoryName을 포함하는 subjectAltName 확장 필드에 PSID를 포함하는 사용자의 ITU-T X.509 인증서를 생성한다.
h) CA는 사용자의 ITU-T X.509 인증서를 보낸 다음 사용자의 BHSM에 안전하게 저장한다.
7.2.2 ISO / IEC 24761을 적용하는 등록 절차
BHSM을 사용하기 위해 ISO / IEC 24761에 명시된 ITU-T X.509 인증서와 BRT (biometric reference template) 인증서 발급을 위한 등록 프로세스가 도 8에 도시되어 있다. 보안을 보장하기 위해 모든 등록 절차가 RA의 통제하에 이루어져야 한다.
a) 사용자는 자신의 신분과 권한이 설정된 RA를 직접 방문한다.
b) 사용자는 BHSM에 공개 키와 개인 키의 쌍을 생성한다.
c) 사용자는 CA에게 ITU-T X.509 인증서 발급 요청을 보낸다.
d) CA는 요청에 따라 ITU-T X.509 인증서를 생성한다.
e) CA는 ITU-T X.509 인증서를 사용자에게 전송한다.
f) 사용자는 BHSM에 ITU-T X.509 인증서를 저장한다.
g) 사용자는 등록을 위해 생체 인식 참조 및 ACBio 인스턴스를 생성한다.
h) 사용자는 ITU-T X.509 인증서에 serialNumber와 issuer의 값을 가진 BRT 인증서 발급 요청을 보내고 BRT 인증서 조직에 등록하기 위해 ACBio 인스턴스를 보낸다.
i) BRT 인증서 조직은 serialNumber 값을 pkiCertificateSerialNumber 필드로, 발행자 값을 pkiCertificateIssuerName 필드로, 그리고 등록을위한 ACBio 인스턴스를 enrolmentACBioInstances 필드로 각각 설정하는 BRT 인증서를 생성한다.
j) BRT 인증 기관은 BRT 인증서를 사용자에게 전송한다.
k) 사용자는 BHSM에 생체 인식 참조뿐만 아니라 BRT 인증서를 저장한다.
l) 사용자는 등록을 위해 RA로 ITU-T X.509 인증서와 BRT 인증서를 전송한다.
m) RA는 ITU-T X.509 인증서와 BRT 인증서를 사용자 데이터베이스에 저장한다.
7.3 원격 생체 인식 인증 프로세스
7.3.1 ITU-T X.509 인증서 확장을 사용한 인증 프로세스
BHSM을 이용한 원격 생체 인식 인증 프로세스는 도 10에 도시되어 있고, BHSM 및 서비스 제공 업체의 자세한 정보 흐름은 도 6에 도시되어 있으며, 여기에서 챌린지 응답이 추가되어 재생 공격을 보호할 수 있다.
a) 사용자가 인증 서버에서 서비스에 액세스한다.
b) 인증 서버는 난수 Ra를 난수로 생성한다. 이 챌린지는 사용자 시스템으로 보내지고 BHSM에 입력된다.
c) 사용자는 BHSM에서 생체 인식 모듈을 사용하여 지역 생체 인증을 수행한다.
d) BHSM은 PSID와 챌린지 Ra를 취하고 BHSM의 개인 키인 sk를 사용하여 두 데이터 항목의 연결에 대한 디지털 서명을 계산한다.
e) 단계 d)에서 생성 된 디지털 서명은 인증 서버의 공개 암호화 키를 사용하여 암호화된다.
f) 사용자의 성공적인 인증 후에, BHSM은 단계 d) 및 e)에서 생성 된 암호화 된 디지털 서명 된 Ra 및 PSID를 인증 서버로 전송한다. 이 과정에서 ITU-T X.509 인증서도 전송된다.
g) 인증 서버는 개인 키를 사용하여 메시지를 암호 해독한다.
h) 인증 서버는 공개 서명 검증 키를 사용하여 BHSM의 ITU-T X.509 인증서로 서명을 검증한다.
i) 인증 서버는 단계 b)의 ITU-T X.509 인증서 및 생성 된 Ra의 PSID를 단계 g)의 추출 된 PSID 및 Ra와 각각 비교하여 ITU-T X.509 인증서의 소유권을 인증한다.
j) 인증이 성공하면 인증 서버는 요청 된 서비스를 사용자에게 제공하고 그렇지 않은 경우 인증 서버는 사용자가 요청한 서비스를 거부한다.
7.3.2 ISO / IEC 24761을 적용하는 인증 과정
본 발명의 일 실시예는 BHSM에서 실행되는 생체 인식 프로세스 결과의 유효성을 ISO / IEC 24761에 따라 검증 할 수 있다. ACBio를 이용한 BHSM의 원격 생체 인식 인증 프로세스가 도 11에 도시되어 있다.
a) 사용자가 인증 서버에서 서비스에 액세스한다.
b) 인증 서버는 챌린지로서 난수 Ra를 생성한다.
c) 인증 서버는 챌린지를 사용자에게 보낸다.
d) 사용자가 BHSM을 사용하여 생체 인증을 실행하고 생체 인증 결과가 성공적이면 controlValue 필드에 설정된 challenge를 사용하여 BHSM에서 ACBio 인스턴스가 생성된다.
e) 챌린지에 대한 디지털 서명 인 응답은 사용자의 개인 키로 BHSM에서 생성된다.
f) 응답 및 ACBio 인스턴스가 인증 서버로 전송된다.
g) 인증 서버는 응답을 검증하고 ACBio 인스턴스를 검증한다.
h) 검증 및 검증이 성공적이면 서비스는 인증 서버로부터 사용자에게 제공된다.
8 BHSM 기반의 생체 인식 인증 절차
8.1 PSID 생성 및 ITU-T X.509 인증서
8.1.1 생체 인식 참조 등록
사용자가 올바르게 식별되고 인증 된 후에는 관련 생체 인식 특성이 캡처된다. 대응하는 생체 인식 기준은 RA에 의해 생성되고 BHSM에 사용자를 인증하기 위해 BHSM에 저장된다. 바이오 메트릭 참조는 응용 프로그램의 기밀성, 무결성, 갱신 / 취소 가능성 및 개인 정보 보호 요구 사항에 따라 보호되어야 한다. ISO / IEC 24745는 생체 인식 정보의 보안 및 개인 정보 보호 준수 관리 및 처리에 대한 지침을 제공한다.
8.1.2 PSID 생성
8.1.2.1 일반 사항
BHSM의 인가된 사용자를 식별하기 위해서는 사용자 식별자가 필요하다. 식별자는 사용자의 ITU-T X.509 인증서에 바인딩된다. 식별자는 BHSM의 응용 도메인에서 유일해야 한다. 응용 프로그램의 요구 사항에 따라 적절한 형식으로 생성될 수 있다. 이는 사용자의 진정한 정체성을 알 수 있는 개인 식별 정보 일 수 있다. 대안적으로 이것은 사용자의 진정한 신분에 링크될 수 없는 가명 식별자일 수 있지만 BHSM의 응용 도메인에서 익명의 사용자와 트랜잭션의 연관을 가능하게 한다.
BHSM과 함께 사용되는 PSID는 다음 요구 사항을 준수하는 익명의 사용자 식별자에 해당할 수 있다.
- PSID는 BHSM의 사용 맥락 내에서 유일해야 한다.
- 등록 프로세스는 ITU-T X.509 인증서에 포함 된 PSID 값이 BHSM에 저장된 PSID 값과 동일한 지 확인해야 한다.
8.1.2.2 사용자의 생체 인식 참조를 사용하는 PSID 생성
PSID를 생성하는 한 가지 방법은 개인 데이터 및 사용자 개인 정보를 보호하기 위한 갱신 및 처리 기능을 제공하기 위해 추가 데이터로 사용자의 생체 인식 참조를 기반으로 하는 것이다.
안전한 난수 (적어도 160 비트)가 적절하게 생성되어 PSID를 생성하기 위해 생체 인식 참조와 함께 사용되어야 한다. RA는 다음과 같이 ITU-T X.509 인증서에 포함될 PSID를 생성해야 한다.
PSID = h (BR, R)
여기서, BR은 사용자로부터 추출 된 생체 인식 기준이고, R은 난수이고, h는 적절한 해시 함수이다. PSID에 대한 추상 구문 표기법 (ASN.1) 유형의 예가 부록 A에 기술되어 있다. 생성 후 RA는 사용자의 BHSM에 안전하게 PSID를 저장해야 하며 안전하게 CA에 전송되어야 한다.
8.1.3 디지털 인증서 요청 및 발행
RA의 제어 하에 BHSM은 사용자에게 ITU-T X.509 인증서를 발급하도록 CA에 요청한다. 다음 정보가 요청과 함께 제공된다.
a) 암호화 된 PSID (EPSID) (CA의 공개 키 포함);
b) 사용자의 고유 이름 (사용자의 고유 이름 (DN)은 PSID와 같을 수 있다)
c) 사용자의 공개 키.
d) 공개 키 / 개인 키 생성 알고리즘의 세부 사항
e) 인증서의 유효 기간.
인증 요청 메시지에 EPSID를 포함하려면 EPSID를 부록 A에 설명 된 형식에 따라 구현하고 저장해야 한다.
PSID는 다음과 같이 CA의 인증 요청 메시지에서 암호화될 수 있다.
EPSID = E (PSID)
여기서, 암호화 알고리즘 및 관련 공개 키는 CA의 키 분배 인증서로부터 추출된다. EPSID에 대한 ASN.1 유형은 8.3에 설명되어 있다.
8.1.4 PSID를 포함한 ITU-T X.509 인증서 보내기
CA가 디지털 인증서 요청 메시지를 받으면 CA는 사용자 전자 서명 확인 키와 일치하는 디지털 서명 생성 키가 있는지 여부를 확인한다. PSID는 CA의 개인 키로 인증 요청 메시지의 EPSID를 해독함으로써 추출된다. CA는 수신 된 PSID를 RA와 비교하여 추출 된 PSID의 진위 여부를 확인할 수 있다. PSID는 부록 A에서 설명한대로 구성되어야 하며 ITU-T X.509 인증서의 확장 필드 중에서 subjectAltName 섹션에 삽입되어야 한다. CA는 확장 필드에 PSID를 포함하여 사용자의 ITU-T X.509 인증서를 생성한다.
8.2 BHSM 기반의 생체 인식 인증 프로세스
사용자가 서비스를 요청하고 서비스의 인증 서버로 연결된다. 인증 서버는 난수 Ra를 생성하고이를 Replay 공격으로부터 보호하기 위해 챌린지 / 응답 교환에 사용하기 위해 BHSM으로 보낸다. 사용자는 BHSM에 로컬 인증을하기 위해 관련 생체 인식 특성을 제시한다. BHSM은 BHSM에 저장된 인증된 사용자의 생체 인식 데이터와 캡처 된 생체 데이터를 비교한다. 인증이 실패하면 (허용 시도 횟수 후) BHSM은 인증 서비스에 인증 실패를 알리고 인증 서버는 트랜잭션을 종료한다. 이 경우 짧은 시간 내에 더 이상의 시도는 실패한다. (시행중인 보안 정책에 따라 사전 정의 된 기간 동안 더 이상의 인증 시도를 거부하는 것이 적절할 수 있다)
인증이 성공하면 BHSM은 서명 된 PSID를 전송하고 사용자의 개인 키로 암호화 된 Ra를 인증 서버에 보낸다. ITU-T X.509 인증서는 전송 중에 인증 서버로 전송된다. 인증 서버는 인증서의 PSID와 이전 전송에서 BHSM이 보낸 암호 해독 된 PSID를 비교하여 ITU-T X.509 인증서의 소유권을 인증한다. 두 개가 동일한 경우 인증 서버는 서비스 요청을 받아 처리를 위해 서비스 공급자에게 전달한다.
8.3 암호화 된 PSID에 대한 ASN.1 유형
DataSetForEncryptedPSID에는 다음과 같은 구성 요소가 있다.
- 버전은 국제 표준 권고안의 버전 번호를 나타내고, 본 발명이 참조되면 v1 (0) 값이 사용된다.
- psidEncAlg는 PSID를 암호화하는 데 사용되는 비대칭 암호화 알고리즘 및 매개 변수를 나타낸다. 알고리즘은 CA의 인증서에 포함 된 알고리즘과 동일해야 한다.
- encryptedPsid는 인증 기관의 공개 키가 있는 암호화 된 PSID이다.
DataSetForEncryptedPSID ::= SEQUENCE {
version [0] INTEGER DEFAULT 0,
psidEncAlg [1] PSIDEncryptionAlgorithm,
encryptedPsid [2] EncryptedPsid
}
PSIDEncryptionAlgorithm ::= AlgorithmIdentifier
Encryptedsid ::= OCTET STRING
A.1 일반 사항
이 부속서는 7절과 8절에 명시된 메커니즘에 적용될 수 있다.
A.2 ITU-T X.509 인증서를 요구하는 암호화 된 PSID
암호화된 PSID가 포함 된 디지털 인증서 요청 메시지가 CA로 전송된다. PKCS # 10은 사용자 DN과 사용자의 전자 서명 검증 키 정보로 구성되며 추가 정보 입력을위한 속성 구성 요소를 포함한다. 속성 구성 요소에는 OID (Object Identifier)와 구체적인 구조를 갖는 모든 속성이 포함될 수 있다. 따라서 EncryptedPsid에 OID로 암호화 된 PSID를 사용하여 구성 요소를 포함할 수 있다.
A.3 PSID에 대한 ASN.1
XBHSM {iso(1) standard(0) bhsm(17922) modules(0) version1(1)}
DEFINITIONS AUTOMATIC TAGS ::=
BEGIN
IMPORTS authenticationFramework
FROM UsefulDefinitions {joint-iso-itu-t ds(5) module(1)
usefulDefinitions(0) 7}
ALGORITHM, AlgorithmIdentifier{}
FROM AuthenticationFramework authenticationFramework;
DataSetForEncryptedPSID ::= SEQUENCE {
version INTEGER DEFAULT 0,
psidEncAlg PSIDEncryptionAlgorithm,
encryptedPsid EncryptedPsid
}
PSIDEncryptionAlgorithm ::= AlgorithmIdentifier
{{SupportedEncryptionAlgorithms}}
SupportedEncryptionAlgorithms ALGORITHM ::= {...}
EncryptedPsid ::= OCTET STRING
PSID ::= SEQUENCE {
hashAlg HashAlgorithm,
hashContent HashContent
}
HashAlgorithm ::= AlgorithmIdentifier{{SupportedHashAlgorithms}}
SupportedHashAlgorithms ALGORITHM ::= {...}
HashContent ::= SEQUENCE {
bR PrintableString,
randomNum BIT STRING
}
bhsmpsid OBJECT IDENTIFIER ::=
{iso(1) standard(0) bhsm(17922) contentType(2) bhsmps(1)}
BHSM-PSID ::= TYPE-IDENTIFIER
bioRef BHSM-PSID ::=
{BIT STRING IDENTIFIED BY {bhsmpsid 3}}
InstanceOfBHSM-PID ::= INSTANCE OF BHSM-PSID({SupportedBHSM-PSID})
SupportedBHSM-PSID BHSM-PSID ::= {bioRef,...}
END
PSID 구조체에는 다음과 같은 구성 요소가 있다.
- hashAlg는 PSID를 생성하는 데 사용되는 해시 알고리즘 및 매개 변수를 나타낸다
HashContent 구조체에는 다음과 같은 구성 요소가 있다.
- bR은 생체 정보로부터 추출 된 생체 인식 기준이다. 모든 생체 인식 양식 (지문, 얼굴, 홍채 등)을 사용할 수 있다. bR의 표현을 위해서는 ISO / IEC 19794 시리즈의 적절한 부분이 사용되어야 한다.
- randomNum은 난수 R이다.
(바이오 메트릭 레퍼런스는 ISO / IEC 19785-1에 명시된 생체 정보 기록 (BIR)으로 표현하는 것이 바람직하다)
PSID를 ITU-T X.509 인증서에 삽입하려면 directoryName을 포함하는 subjectAltName 확장 필드에 저장해야 한다.
realName 필드에는 디지털 인증서 소유자의 UTF8String으로 인코딩 된 이름이 포함되며 userInfo 필드에는 PSID뿐 아니라 디지털 인증서 소유자의 추가 식별 정보가 들어있다.
<부록 2: 수정과 함께 PKCS # 10을 사용하여 PSID를 삽입하는 절차>
수정과 함께 PKCS # 10을 사용하여 PSID를 삽입하는 절차는 도 12에 도시되어 있다.
먼저, 사용자 소프트웨어에서는 CA의 인증서를 획득하고, 사용자의 키 쌍으로 {공개 키 pk, 개인 키 sk}를 생성하며, R을 생성하여 PSID = h(BR, R) 연산을 통해 PSID를 산출한다. CA의 공개 키를 이용하여 PSID를 암호화하고, 디지털 인증서 요청 메시지를 생성하여 요청 메시지를 CA에 전송한다.
CA에서는 디지털 인증서 요청 메시지를 처리하고, 메시지를 해독하며, PSID를 검증한다. CA에서는 디지털 인증서 템플릿을 생성하고, 디지털 인증서를 생성하여 생성된 디지털 인증서를 사용자 소프트웨어에 전송한다. 사용자 소프트웨어는 디지털 인증서를 수신하여 저장한다.
상기에서는 본 출원의 바람직한 실시예를 참조하여 설명하였지만, 해당 기술 분야의 숙련된 통상의 기술자는 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 출원을 다양하게 수정 및 변경시킬 수 있음을 이해할 수 있을 것이다.
100: 모바일 생체인식 인증 시스템
110: 모바일 생체인식 인증 수행 장치
120: 모바일 생체인식 인증 요청 장치
130: 공인등록서버 140: 공인인증서버
210: 인증 난수 제공부 220: 암호화 전자서명 수신부
230: 생체인식 인증 수행부 240: 제어부
410: 생체인식 획득 센서부 420: 제1 생체인식 인증 수행부
430: 제2 생체인식 인증 요청부 440: 생체인식 인증 준비부
450: 제어부

Claims (16)

  1. 생체인식 인증을 위한 제1 인증 난수를 모바일 생체인식 인증 요청 장치에 제공하는 인증 난수 제공부;
    상기 모바일 생체인식 인증 요청 장치로부터 상기 제1 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 수신하는 암호화 전자서명 수신부; 및
    상기 공개 키를 기초로 상기 암호화 전자서명에 관한 복호화를 수행하여 제2 인증 난수를 추출하고, 상기 제1 및 제2 인증 난수들의 일치 여부를 기초로 상기 생체인식 인증을 수행하는 생체인식 인증 수행부를 포함하는 모바일 생체인식 인증 수행 장치.
  2. 제1항에 있어서, 상기 암호화 전자서명은
    상기 개인 키를 기초로 인증 익명 식별자와 상기 제1 인증 난수 간의 연산을 통해 생성되고 상기 공개 키를 기초로 암호화된 전자서명에 해당하는 것을 특징으로 하는 모바일 생체인식 인증 수행 장치.
  3. 제2항에 있어서, 상기 암호화 전자서명 수신부는
    상기 모바일 생체인식 인증 요청 장치로부터 상기 암호화 전자서명을 수신하는 과정에서 상기 생체인식 인증을 위해 공인인증서버에 의해 제공된 공인인증서를 더 수신하는 것을 특징으로 하는 모바일 생체인식 인증 수행 장치.
  4. 제3항에 있어서, 상기 생체인식 인증 수행부는
    상기 복호화를 통해 상기 암호화 전자서명으로부터 전자서명을 획득하고 상기 획득된 전자서명으로부터 상기 제2 인증 난수와 인증 익명 식별자를 추출하는 것을 특징으로 하는 모바일 생체인식 인증 수행 장치.
  5. 제4항에 있어서, 상기 생체인식 인증 수행부는
    공개 서명 검증 키를 이용하여 상기 공인인증서를 통해 상기 전자서명의 유효 여부를 검증하는 것을 특징으로 하는 모바일 생체인식 인증 수행 장치.
  6. 제5항에 있어서, 상기 생체인식 인증 수행부는
    상기 공인인증서에 있는 인증 익명 식별자와 상기 추출된 인증 익명 식별자 간의 일치 여부 및 상기 제1 인증 난수와 상기 추출된 제2 인증 난수 간의 일치 여부를 분석하여 모두 일치하는 경우에만 상기 생체인식 인증이 성공된 것으로 결정하는 것을 특징으로 하는 모바일 생체인식 인증 수행 장치.
  7. 사용자의 생체인식 정보를 획득하는 생체인식 획득 센서부;
    상기 획득된 생체인식 정보를 메모리에 저장된 생체인식 레퍼런스와 비교 분석하여 상기 사용자에 대한 제1 생체인식 인증을 수행하는 제1 생체인식 인증 수행부; 및
    모바일 생체인식 인증 수행 장치로부터 제2 생체인식 인증을 위한 인증 난수를 수신하고, 상기 제1 생체인식 인증이 성공되면 상기 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 상기 모바일 생체인식 인증 수행 장치에 제공하여 상기 제2 생체인식 인증을 요청하는 제2 생체인식 인증 요청부를 포함하는 모바일 생체인식 인증 요청 장치.
  8. 제1항에 있어서, 상기 제1 생체인식 인증 수행부는
    상기 획득된 생체인식 정보를 분석하여 특징점을 추출하고, 상기 추출된 특징점과 상기 생체인식 레퍼런스에 있는 특징점을 대조 분석하여 기준값 이상 매칭되는지 여부를 기초로 상기 제1 생체인식 인증의 성공 여부를 결정하는 것을 특징으로 하는 모바일 생체인식 인증 요청 장치.
  9. 제7항에 있어서, 상기 제2 생체인식 인증 요청부는
    상기 개인 키를 기초로 인증 익명 식별자와 상기 인증 난수 간의 연산을 통해 전자서명을 생성하고, 상기 공개 키를 기초로 상기 전자서명을 암호화하여 상기 암호화 전자서명을 생성하는 것을 특징으로 하는 모바일 생체인식 인증 요청 장치.
  10. 제9항에 있어서, 상기 제2 생체인식 인증 요청부는
    전자서명 알고리즘을 기초로 상기 인증 익명 식별자와 상기 인증 난수 간의 연접 연산을 수행하여 상기 전자서명을 생성하는 것을 특징으로 하는 모바일 생체인식 인증 요청 장치.
  11. 제9항에 있어서, 상기 제2 생체인식 인증 요청부는
    상기 모바일 생체인식 인증 수행 장치에 상기 제2 생체인식 인증을 위해 공인인증서버에 의해 제공된 공인인증서를 더 제공하여 상기 모바일 생체인식 인증 수행 장치가 상기 공인인증서를 기초로 상기 전자서명의 유효 여부를 검증하도록 하는 것을 특징으로 하는 모바일 생체인식 인증 요청 장치.
  12. 제7항에 있어서,
    공인등록서버로부터 상기 제1 생체인식 인증을 위한 상기 생체인식 레퍼런스 및 상기 제2 생체인식 인증을 위한 인증 익명 식별자를 수신하여 상기 제1 및 제2 생체인식 인증을 준비하는 생체인식 인증 준비부를 더 포함하는 것을 특징으로 하는 모바일 생체인식 인증 요청 장치.
  13. 제12항에 있어서, 상기 생체인식 인증 준비부는
    사전 생체인식 인증을 위해 상기 생체인식 획득 센서부를 통해 상기 사용자의 생체인식 정보를 획득하고, 상기 수신된 생체인식 레퍼런스를 기초로 수행된 상기 사전 생체인식 인증이 성공되면 상기 인증 익명 식별자를 기초로 상기 개인 키 및 공개 키를 획득하는 것을 특징으로 하는 모바일 생체인식 인증 요청 장치.
  14. 제13항에 있어서, 상기 생체인식 인증 준비부는
    상기 사용자에 의해 생성된 인증 서명 요청을 공인인증서버에 제공하여 상기 공인인증서버로부터 상기 제2 생체인식 인증을 위한 공인인증서를 수신하는 것을 특징으로 하는 모바일 생체인식 인증 요청 장치.
  15. 모바일 생체인식 인증 요청 장치와 연결된 모바일 생체인식 인증 수행 장치에 의해 수행되는 모바일 생체인식 인증 수행 방법에 있어서,
    생체인식 인증을 위한 제1 인증 난수를 상기 모바일 생체인식 인증 요청 장치에 제공하는 인증 난수 제공 단계;
    상기 모바일 생체인식 인증 요청 장치로부터 상기 제1 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 수신하는 암호화 전자서명 수신 단계; 및
    상기 공개 키를 기초로 상기 암호화 전자서명에 관한 복호화를 수행하여 제2 인증 난수를 추출하고, 상기 제1 및 제2 인증 난수들의 일치 여부를 기초로 상기 생체인식 인증을 수행하는 생체인식 인증 수행 단계를 포함하는 모바일 생체인식 인증 수행 방법.
  16. 모바일 생체인식 인증 수행 장치와 연결된 모바일 생체인식 인증 요청 장치에 의해 수행되는 모바일 생체인식 인증 요청 방법에 있어서,
    사용자의 생체인식 정보를 획득하는 생체인식 획득 센서 단계;
    상기 획득된 생체인식 정보를 메모리에 저장된 생체인식 레퍼런스와 비교 분석하여 상기 사용자에 대한 제1 생체인식 인증의 성공 여부를 결정하는 제1 생체인식 인증 수행 단계; 및
    상기 제1 생체인식 인증이 성공되면 상기 모바일 생체인식 인증 수행 장치로부터 인증 난수를 수신하고, 상기 인증 난수, 개인 키 및 공개 키를 기초로 생성된 암호화 전자서명을 상기 모바일 생체인식 인증 수행 장치에 제공하여 상기 사용자에 대한 제2 생체인식 인증을 요청하는 제2 생체인식 인증 요청 단계를 포함하는 모바일 생체인식 인증 요청 방법.
KR1020170120368A 2017-09-19 2017-09-19 모바일 생체인식 인증 수행 장치 및 인증 요청 장치 KR20190031986A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020170120368A KR20190031986A (ko) 2017-09-19 2017-09-19 모바일 생체인식 인증 수행 장치 및 인증 요청 장치

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020170120368A KR20190031986A (ko) 2017-09-19 2017-09-19 모바일 생체인식 인증 수행 장치 및 인증 요청 장치

Publications (1)

Publication Number Publication Date
KR20190031986A true KR20190031986A (ko) 2019-03-27

Family

ID=65906367

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020170120368A KR20190031986A (ko) 2017-09-19 2017-09-19 모바일 생체인식 인증 수행 장치 및 인증 요청 장치

Country Status (1)

Country Link
KR (1) KR20190031986A (ko)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102181445B1 (ko) * 2020-03-19 2020-11-23 (주)디에스티인터내셔날 장정맥을 이용한 전자결재 방법
KR102231785B1 (ko) * 2020-10-08 2021-03-26 주식회사 올아이티탑 양자난수와 생체정보를 연계한 가상화폐거래의 보안인증 기술을 지원하는 탈착식 분리형 usb를 이용한 가상화폐거래방법
KR102250548B1 (ko) * 2020-10-08 2021-05-13 주식회사 올아이티탑 양자난수와 생체정보를 연계한 탈착식 분리형 usb를 이용한 금융거래방법
KR102337263B1 (ko) * 2021-02-26 2021-12-08 (주)올잇코인 원자난수와 생체정보를 연계한 가상화폐거래의 보안인증 기술을 지원하는 탈착식 분리형 usb를 이용한 가상화폐거래방법
KR102367416B1 (ko) * 2021-03-03 2022-02-28 (주)올잇코인 원자난수와 생체정보를 연계한 탈착식 분리형 usb를 이용한 금융거래방법
KR102443668B1 (ko) * 2021-12-06 2022-09-15 이상훈 재발급 가능한 생체템플릿 생성 및 운용방법

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100875923B1 (ko) 2006-11-20 2008-12-26 한국전자통신연구원 다중 바이오 인식을 통한 사용자 검색 시스템 및 그 방법
KR20170034618A (ko) 2015-09-21 2017-03-29 연세대학교 산학협력단 바이오 정보를 이용하는 사용자 인증 방법 및 사용자 인증을 위한 인증 서버, 바이오 인식 장치

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100875923B1 (ko) 2006-11-20 2008-12-26 한국전자통신연구원 다중 바이오 인식을 통한 사용자 검색 시스템 및 그 방법
KR20170034618A (ko) 2015-09-21 2017-03-29 연세대학교 산학협력단 바이오 정보를 이용하는 사용자 인증 방법 및 사용자 인증을 위한 인증 서버, 바이오 인식 장치

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102181445B1 (ko) * 2020-03-19 2020-11-23 (주)디에스티인터내셔날 장정맥을 이용한 전자결재 방법
KR102231785B1 (ko) * 2020-10-08 2021-03-26 주식회사 올아이티탑 양자난수와 생체정보를 연계한 가상화폐거래의 보안인증 기술을 지원하는 탈착식 분리형 usb를 이용한 가상화폐거래방법
KR102250548B1 (ko) * 2020-10-08 2021-05-13 주식회사 올아이티탑 양자난수와 생체정보를 연계한 탈착식 분리형 usb를 이용한 금융거래방법
KR102337263B1 (ko) * 2021-02-26 2021-12-08 (주)올잇코인 원자난수와 생체정보를 연계한 가상화폐거래의 보안인증 기술을 지원하는 탈착식 분리형 usb를 이용한 가상화폐거래방법
KR102367416B1 (ko) * 2021-03-03 2022-02-28 (주)올잇코인 원자난수와 생체정보를 연계한 탈착식 분리형 usb를 이용한 금융거래방법
KR102443668B1 (ko) * 2021-12-06 2022-09-15 이상훈 재발급 가능한 생체템플릿 생성 및 운용방법

Similar Documents

Publication Publication Date Title
EP2401838B1 (en) System and methods for online authentication
US10075437B1 (en) Secure authentication of a user of a device during a session with a connected server
KR101666374B1 (ko) 사용자 인증서 발급과 사용자 인증을 위한 방법, 장치 및 컴퓨터 프로그램
US7805614B2 (en) Secure local or remote biometric(s) identity and privilege (BIOTOKEN)
EP3138265B1 (en) Enhanced security for registration of authentication devices
US8984280B2 (en) Systems and methods for automating certification authority practices
KR20190031986A (ko) 모바일 생체인식 인증 수행 장치 및 인증 요청 장치
JP7083892B2 (ja) デジタル証明書のモバイル認証相互運用性
WO2007094165A1 (ja) 本人確認システムおよびプログラム、並びに、本人確認方法
EP2369811A1 (en) System and methods for online authentication
US20100042848A1 (en) Personalized I/O Device as Trusted Data Source
US20080313707A1 (en) Token-based system and method for secure authentication to a service provider
JP2004518229A (ja) コンピュータ・ネットワークのセキュリティを保障する方法およびシステム、並びにネットワーク・コンポーネントへのアクセスを制御するために同システム内で用いられる個人識別装置
JP2008538146A (ja) バイオメトリック・テンプレートのプライバシー保護のためのアーキテクチャ
CA2782713A1 (en) System and methods for identity attribute validation
KR20150052260A (ko) 액세스 요청을 검증하기 위한 방법 및 시스템
JP2008526078A (ja) 鍵生成、及び認証の承認に関する方法及び装置
US11777743B2 (en) Method for securely providing a personalized electronic identity on a terminal
TWM623435U (zh) 使用多安全層級驗證客戶身分與交易服務之系統
US8806216B2 (en) Implementation process for the use of cryptographic data of a user stored in a data base
CN116112242B (zh) 面向电力调控系统的统一安全认证方法及系统
KR101868564B1 (ko) 사용자 본인 확인(identification) 등록과 로컬 인증을 연계한 사용자 인증 장치 및 방법
AU2015202661B2 (en) System and methods for online authentication
KR100980321B1 (ko) 사용자 인증 시스템 및 그 방법
US20240129139A1 (en) User authentication using two independent security elements

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E601 Decision to refuse application