WO2014168453A1 - 메시지 검사장치, 사용자 단말 및 방법 - Google Patents

메시지 검사장치, 사용자 단말 및 방법 Download PDF

Info

Publication number
WO2014168453A1
WO2014168453A1 PCT/KR2014/003157 KR2014003157W WO2014168453A1 WO 2014168453 A1 WO2014168453 A1 WO 2014168453A1 KR 2014003157 W KR2014003157 W KR 2014003157W WO 2014168453 A1 WO2014168453 A1 WO 2014168453A1
Authority
WO
WIPO (PCT)
Prior art keywords
message
url
malicious
information
application
Prior art date
Application number
PCT/KR2014/003157
Other languages
English (en)
French (fr)
Inventor
이용학
조지훈
Original Assignee
에스케이텔레콤 주식회사
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from KR1020130040639A external-priority patent/KR101587156B1/ko
Priority claimed from KR1020130131442A external-priority patent/KR101545964B1/ko
Application filed by 에스케이텔레콤 주식회사 filed Critical 에스케이텔레콤 주식회사
Priority to CN201480020914.2A priority Critical patent/CN105144767B/zh
Publication of WO2014168453A1 publication Critical patent/WO2014168453A1/ko
Priority to US14/882,095 priority patent/US9973518B2/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/12—Detection or prevention of fraud
    • H04W12/128—Anti-malware arrangements, e.g. protection against SMS fraud or mobile malware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W4/00—Services specially adapted for wireless communication networks; Facilities therefor
    • H04W4/12—Messaging; Mailboxes; Announcements

Definitions

  • the present invention relates to a message service using a communication network.
  • various types of messages sent to a user terminal from a message provider such as a plurality of companies or an unspecified individual are transmitted.
  • a message provider such as a plurality of companies or an unspecified individual are transmitted.
  • the message contains a malicious URL or an unnecessary message from an unauthenticated message provider.
  • the present invention relates to a message inspection apparatus, a user terminal, and a method for distinguishing a normal message from a user terminal to prevent damage caused by an abnormal message.
  • the user terminal is a multimedia device capable of a phone book, a game, a message, an email, a morning call, an MP3 layer, a digital camera, and a wireless Internet service. It develops and provides various services.
  • the message function is used by many users because of the advantage that it is relatively cheap compared to the voice call.
  • Such a message may be, for example, a short messaging service (SMS), a multimedia messaging service (MMS), a packet-based message, or the like.
  • SMS can speak a message that can transmit simple text
  • MMS can speak a message that can be transmitted by adding videos, photos, music files, etc., from simple text messages.
  • a packet-based message is a message transmitted through a packet exchange method using a data network.
  • a packet-based message can attach a file such as a video, a photo, or a music file. have.
  • SMS / MMS message function as described above, and use the company's announcements, promotions, advertisements, etc., so that users may feel uncomfortable due to receiving a large number of unnecessary messages.
  • spam messages such as meandering advertising messages, obscene messages from abnormal companies.
  • a malicious URL is inserted into a message in a message such as an SMS, MMS, or packet-based message that is transmitted to a plurality of user terminals that are targets of notification, promotion, and advertisement from a message transmission entity such as an enterprise or an individual. There may also be spam messages.
  • the message containing the malicious URL may cause damage to the user by causing the application containing the malicious code to be installed when the user receiving the message clicks on the URL, or connecting to an overseas sewing company. Can be.
  • pattern for abnormal messages, such as inducing the installation of malicious applications in a spam filtering system or SMSC (short message service center)
  • SMSC short message service center
  • a method of acquiring a message message by collecting a message in question that attempts to spread malicious applications is used.
  • the method of progress by the vaccine developer also has a limited performance and a limited number of malicious applications that can be obtained.
  • a URL extracting unit for checking whether a URL (uniform resource locator) is included in the message, extracting the URL, a communication unit for downloading an application through the URL, and And an authority / API verification unit that determines whether the URL is malicious by checking whether an authority or API having a security risk is included in the application downloaded through the communication unit.
  • the message inspecting apparatus stores URL list information determined to be malicious as filtering information, and checks whether the extracted URL exists in the filtering information before downloading the application from the communication unit, and extracts the extracted URL.
  • the apparatus may further include a pre-filter for blocking the URL when the filtering information is present.
  • the message inspection apparatus if the user terminal accesses a URL determined to be a harmful site, including a site that distributes malicious applications to provide a malicious site blocking and guidance system to block the access to provide a URL determined to be malicious It is characterized by.
  • the message inspecting apparatus may further include a processing unit generating URL verification information indicating that the URL is malicious and processing the URL verification information to be included in the message when the URL is determined to be malicious. It is done.
  • the message inspecting apparatus may further include a dynamic analyzer configured to execute the application downloaded through the communicator on an emulator, and then determine whether malicious by analyzing the execution result.
  • a dynamic analyzer configured to execute the application downloaded through the communicator on an emulator, and then determine whether malicious by analyzing the execution result.
  • the authority / API verification unit by analyzing the executable file of the application downloaded through the communication unit to determine whether the malicious URL of the URL by checking whether the authority having a security risk from the authority information granted to the application or Or decompile the executable file of the application to check whether the API for performing the authority is executed to determine whether the URL is malicious.
  • the present invention provides a message checking method, when receiving a message, checking whether the URL is included in the message, a URL extraction step of extracting the URL, a download step of downloading an application through the URL, The authority / API verification step of determining whether the URL is malicious by checking whether the authority or API having security risks is included in the downloaded application.
  • the method may further include a message processing step of generating URL verification information indicating that the URL is malicious, and processing the URL verification information to be included in the message.
  • the method may further include a dynamic analysis step of determining whether malicious by analyzing the execution result after executing the downloaded application on an emulator.
  • the authority / API verification step may include analyzing an executable file of the downloaded application to check whether there is a security risk among authority information granted to the application, and after checking the authority, Decompiling the executable file of the characterized in that it comprises the step of checking whether the API for performing the authority is executed.
  • the present invention also provides a message inspection apparatus, comprising: a communication unit for receiving a message requested to be sent from an arbitrary message provider; an authentication unit for checking whether the message is a normal message; It includes a processing unit that includes information indicating whether or not normal.
  • the authentication unit may extract the authentication identifier information of the message provider and determine whether the message is a normal message by checking whether the extracted authentication identifier information is authentication identifier information previously allocated to a legitimate message provider. It features.
  • the authentication unit if the URL in the message is included, the risk of the URL, and if the location of the server connected via the URL is overseas, or when the URL is clicked when a specific application is induced to be installed The message is determined to be an abnormal message.
  • the processing unit may be configured to encrypt information indicating whether the message is normal by using a predetermined encryption algorithm based on terminal information of a user terminal to which the message is requested to be included in the message.
  • the processing unit may record information indicating whether the message is normal in the PID field of the message or the header or data area of the message.
  • the present invention provides a message checking method comprising the steps of: receiving a message requested to be sent from any message provider; checking whether the message is a normal message; Including information indicating whether or not.
  • the checking may include extracting authentication identifier information of the message provider, checking whether the extracted authentication identifier information is authentication identifier information previously allocated to a valid message provider, and extracting the extracted authentication identifier information. And when the authentication identifier information is confirmed as authentication identifier information assigned to the legitimate message provider, determining the message as a normal message.
  • the checking may include checking a risk of the URL when the URL is included in the message, and when the location of the server connected via the URL is overseas or when the URL is clicked, when the URL is included in the message. And determining that the message is an abnormal message when a specific application is induced to be installed.
  • the present invention provides a user terminal, a communication unit for receiving a message through a communication network, the authentication unit for extracting information indicating whether the message included in the message is normal or not to check whether the message is normal or abnormal, and And a control unit for notifying whether the message is a normal message or an abnormal message according to a test result.
  • control unit with respect to the received message including the information, based on the test result of the authentication unit information on whether the message is a normal message or an abnormal message to a predetermined text or picture on the screen of the user terminal It is characterized in that the display or sound output.
  • the various messages sent to the user terminal before the transmission to the user terminal checks whether the message is normal, and inserts additional information on whether the message is normal or not in the message
  • an unnecessary message including a malicious URL or an unauthenticated message provider can be distinguished from a normal message, thereby preventing damage caused by an abnormal message.
  • the message including the URL is examined for whether the URL is a malicious URL that induces the installation of a malicious application, and in the case of the malicious URL, the message including the URL is determined as an abnormal message.
  • the URL information contained in the corresponding message is examined for harmfulness, and the information of the URL detected as the malicious URL is harmful.
  • FIG. 1 is a configuration diagram of a communication network for transmitting a message including a message inspecting apparatus to which an embodiment of the present invention is applied;
  • FIG. 2 is a detailed block diagram of a message checking apparatus according to an embodiment of the present invention.
  • FIG. 3 is a detailed block diagram of a user terminal according to an embodiment of the present invention.
  • FIG. 4 is a view showing an access blocking guide message display due to a malicious URL according to an embodiment of the present invention
  • FIG. 5 is a flowchart illustrating an abnormal message inspection operation control through URL analysis in a message inspection apparatus according to an embodiment of the present invention
  • FIG. 6 is a flowchart illustrating an abnormal message checking operation of a message transmitted through a messenger in a message checking device according to an embodiment of the present invention
  • FIG. 7 is a diagram illustrating a communication network for transmitting a message including a message inspecting apparatus to which another embodiment of the present invention is applied;
  • FIG. 8 is a detailed block diagram of a message checking apparatus according to another embodiment of the present invention.
  • FIG. 9 is a detailed block diagram of a user terminal according to another embodiment of the present invention.
  • 10 to 12 are diagrams illustrating a division display of an authenticated message in a message content summary window according to another embodiment of the present invention.
  • FIG. 13 is a diagram illustrating an example of displaying a URL risk on a message content summary window according to another embodiment of the present invention.
  • FIG. 14 is a flowchart illustrating an operation control for message authentication in a message inspecting apparatus according to another embodiment of the present invention.
  • 15 is an operation control flowchart for displaying a URL risk of a message in a message inspecting apparatus according to another embodiment of the present invention.
  • 16 is an operation control flowchart for notifying dangerous URL information among messages transmitted through a messenger, etc. in the message inspection apparatus according to another embodiment of the present invention.
  • 17 is an operation control flowchart for distinguishing and displaying normal messages in a user terminal according to another embodiment of the present invention.
  • FIG. 1 illustrates a configuration of a communication network for transmitting a message including a message inspecting apparatus to which an embodiment of the present invention is applied.
  • the message provider 100 may be based on a short message service (SMS), multimedia message service (MMS) message, or packet based on a user terminal 150 connected to a wired / wireless communication network including a mobile communication network.
  • SMS short message service
  • MMS multimedia message service
  • the user terminal 150 as described above may include, for example, a mobile communication terminal such as a mobile phone, a smart phone, or a general wired / wireless phone having a display window for receiving a message.
  • the packet may be an MMS message, an SMS message, or a packet-based message transmitted through various messengers using a packet network.
  • the message provider 100 may be, for example, a company such as a financial company, a manufacturer, an open market, or an unspecified individual, and the message sent by the message provider 100 may be, for example, associated with the company. It may be a message of information to be announced, promoted or advertised to the user.
  • the message relay 102 receives a request for sending a message to a user terminal 150 of a user, which is a target, from a financial company, a manufacturer, an open market, or an unspecified individual, such as the message provider 100, and sends a message to the send request.
  • a message having a corresponding content is generated, and the generated message is transmitted to the message transmission server 110 on the communication network. That is, the message relay 102 may provide information such as data of the message to be transmitted from the message provider 100 and information such as a mobile identification number (MIN) of the user terminal 150 of the target user to which the message should be transmitted. Receives a message and transmits it to the message transmission server 150 on the communication network.
  • MIN mobile identification number
  • the message transmission server 110 is a server for transmitting a message sent from the message provider 100 to the user terminal 150 that has been requested to be sent.
  • the message transmission server 110 may be an SMSC 112, an MMSC 114, and the like. Transfer to 150.
  • the packet-based message server 160 may be a server operating in a messenger as a server for transmitting a packet-based message to the user terminal 150 through a packet network.
  • a message including a malicious URL among messages transmitted to a user terminal 150 of a plurality of target users from a message transmission entity such as an enterprise or an unspecified individual includes malicious code when a malicious URL included in the message is clicked.
  • a message transmission entity such as an enterprise or an unspecified individual
  • the abnormal message including the malicious URL by blocking the transmission to the user terminal 150 or by displaying the warning information indicating that the message is a dangerous message caused by the abnormal message Ensure that damage is avoided.
  • the message inspection device 130 is connected to the message transmission server 110, such as SMSC 112, MMSC 114, as shown in Figure 1, for example, when the message is received by the SMSC 112, etc.
  • the SMSC 112 receives the corresponding message from the SMSC 112, and determining whether the URL included in the message is a normal URL or a malicious URL with malicious intention to determine whether the message requested to be transmitted to the user terminal 150 is an abnormal message. do.
  • the message inspection device 130 is connected to the packet-based message server 160 that operates in a variety of messenger to check whether the URL contained in the packet-based message is malicious, and if the malicious URL is inspected, the information of the URL Transmission to harmful site blocking and guidance system 140 to be registered in the harmful site list managed by the harmful site blocking and guidance system 140. Accordingly, when the user clicks on the corresponding URL, access to the corresponding URL is blocked by the harmful site blocking and guidance system 140, or the risk of the corresponding URL is warned so that damage by the malicious URL can be prevented.
  • the message inspecting device 130 extracts URL information included in a message, and then determines whether the URL extracted from the message is a malicious URL through pre-filtering by comparing with a list of malicious URLs. In the case of determination, the determination information is provided to the message transmission server 110 so that the corresponding message is not transmitted to the user terminal 150 or the risk of URL is warned. In addition, the malicious URL contained in the packet-based message is transmitted to the harmful site blocking and guidance system 140 to transmit the information of the malicious URL so that access to the URL can be blocked or warned.
  • the malicious URL list as described above refers to list information of URLs determined as malicious URLs by the message checking device 130 previously, and the malicious URL list may be provided in the message checking device 130.
  • URL information determined as a malicious URL may be periodically updated.
  • the message inspecting device 130 may determine whether the malicious URL is a malicious URL through vaccine checking, permission / API inspection, dynamic analysis, etc. for the URL that is not correctly determined through the pre-filtering as described above. .
  • the message inspection device 130 for the URL that is not determined whether the malicious URL through pre-filtering wired and wireless communication network Through the access to a web server (not shown) linked to the URL address through the connection, and whether or not the malicious URL of the application (application) downloaded in accordance with the access to the URL is determined.
  • the message checking apparatus 130 may check whether the corresponding application is malicious by checking whether the downloaded application is the same application by comparing the signature information of the previously checked application.
  • the message inspection device 130 may determine that the URL is a malicious URL when the application is detected as a malicious application through comparison with the signature information as described above, and may determine the URL as a normal URL when the application is scanned as a normal application.
  • the signature information as described above may be, for example, hash code information such as SHA-256 or MD5.
  • the message inspecting apparatus 130 checks whether the application is a malicious application by using a vaccine engine provided in advance.
  • the vaccine engine as described above may be, for example, a commercial vaccine engine provided by a company developing a vaccine, and the message inspection apparatus 130 determines that the URL is a malicious URL when the downloaded application is scanned as a malicious application.
  • the malicious application of the application using the vaccine engine as described above may not be accurately scanned for an application having a variant pattern not included in the vaccine engine.
  • the message inspection device 130 further performs authority / API inspection, dynamic analysis, etc. on the application which is not determined to be a malicious application through the vaccine engine.
  • the message inspection device 130 analyzes the execution file of the corresponding application for the application that is not checked whether the malicious application is through the vaccine engine, and examines the authority information of the application.
  • the authority information records information about the authority that can be performed by the user terminal 150 when the application is installed in the user terminal 150, and the like, in case of a malicious application, for example, "read message” and "intercept call content”. Security risks may be set to leak the user's personal information.
  • the permission information may be recorded in, for example, an AndroidManifest.xml file when the application is created based on an Android operating system (OS).
  • the message inspecting device 130 may determine that the URL is a malicious URL when it is checked that the downloaded application has a security risk right through the authority check. At this time, the right to be determined as a malicious URL may be changed according to the policy.
  • the message inspecting device 130 decompiles the executable file of the corresponding application through API checking for an application having a security risk right that may be determined to be a malicious URL, and then executes an API for executing the authority. If you check that the URL is actually written, you can determine that the URL is a malicious URL.
  • the message inspection device 130 can check for malicious by performing dynamic analysis to actually run the application on the emulator (emulator) in addition to the above authority / API check as a more reliable detection method.
  • the result of the behavior analysis of the application actually executed on the emulator is determined to perform the malicious behavior, the corresponding URL may be determined as the malicious URL.
  • the message inspecting apparatus 130 determines that the message included in the message is an abnormal message when the URL included in the message requested to be transmitted to the user terminal 150 is a malicious URL through the method described above. To notify the user of the abnormal message is transmitted to the user terminal 150, or, if the message is sent to display the warning information indicating that the message is a dangerous message containing a malicious URL by causing the abnormal message Ensure that damage is avoided.
  • the message inspection device 130 is a user terminal 150 through a different path on the communication network, such as a messenger using the packet-based message server 160 in addition to the message, such as SMS, MMS is a malicious URL that leads to download the above malicious application
  • URL information determined as a malicious URL may be provided to the harmful site blocking and guiding system 140 on the communication network, and may be periodically updated.
  • the harmful site blocking and guidance system 140 includes information on harmful sites such as distributing malicious applications that may damage the user terminal 150, and the user terminal 150 tries to access the corresponding harmful site. It is a system that can block this and provide guidance page about risk.
  • the message inspection apparatus 130 provides information on malicious URLs to the harmful site blocking and guidance system 140, and periodically updates, the malicious URLs have other paths in addition to messages such as SMS and MMS.
  • a harmful site block having malicious URL information is transmitted to the user terminal 150 through a text messaging application such as a messenger, even if the message containing the malicious URL is not blocked or warned in advance. And it is possible to block the user terminal 150 from accessing the malicious URL by the guide system 140.
  • the harmful site blocking and guidance system 140 blocks the access to the corresponding URL of the user terminal 150 by using the malicious URL information provided by the message inspection apparatus 130, as shown in FIG. 4.
  • the message may be transmitted to the user terminal 150 so that the user can recognize it.
  • the message inspection device 130 receives a message directly from the message transmission server 110 to extract a URL from the message, and whether the extracted URL is a malicious URL is normal Determination of whether or not the URL has been described, but it is also possible to perform the above operation through interworking with the spam filtering server 120.
  • the spam filtering server 120 checks whether a spam message is compared to a pre-stored filtering pattern for various types of messages transmitted to the user terminal 150 through the message transmission server 110. Say.
  • the spam filtering server 120 extracts the URL from the corresponding message for the message including the URL together with the spam message filtering function as described above, and the URL is malicious by the message inspecting device 130. It can be implemented to request whether it is a URL. In addition, when the corresponding URL is notified as a malicious URL from the message inspecting device 130, the message including the malicious URL is notified to the message transmission server 110 so that the message is an abnormal message. It can be implemented so that it is not sent to.
  • the message inspection device 130 determines whether the corresponding URL is a malicious URL or a normal URL, and spam filtering the result. It is provided to the server 120.
  • the spam filtering server 120 includes the list information of the corresponding URL as a filtering pattern with respect to the URL determined as the malicious URL from the message inspection device 130, when determining whether the URL included in the newly received message is malicious. Before requesting determination by the inspection device 130, it may be determined whether malicious by comparing with a malicious URL list. In this case, the malicious URL list may be periodically updated through interworking with the message inspecting device 130.
  • Figure 2 shows a detailed block diagram of the message inspection apparatus according to an embodiment of the present invention, the communication unit 200, URL extraction unit 202, pre-filtering unit 204, vaccine unit 206, authority / API
  • the verification unit 208, the dynamic analyzer 212, the processing unit 214, the memory unit 216, a database 218, the controller 220, and the like may be included.
  • the communication unit 200 performs data transmission / reception with the message transmission server 110 or the packet-based message server 160 such as the SMSC 112, the MMSC 114, and is connected to a communication network such as the Internet and the web server on the communication network. It performs data transmission and reception with a (web server), harmful site blocking and guidance system 140, and the like.
  • the URL extracting unit 202 checks whether the message included in the message is included in the URL when the message requested to be transmitted to the user terminal 150 is received by the message transmission server 110 or received through the packet-based message server 160. If the URL is included, extract the URL.
  • the prefilter 204 performs prefiltering on the URL extracted from the URL extractor 202 by comparing with the malicious URL list to determine whether the URL extracted from the message is a malicious URL, and determines that the URL is extracted as a malicious URL.
  • the determination information is provided to the controller 220. Accordingly, the controller 220 provides the malicious URL determination information to the message transmission server 110 so that the corresponding message is not transmitted to the user terminal 150.
  • the malicious URL included in the message transmitted through the messenger, etc. provides malicious URL information to the harmful site blocking and guidance system 140 to prevent the user terminal 150 from accessing the malicious URL.
  • the malicious URL list refers to list information of URLs determined as malicious URLs, which have been previously examined by the message inspecting device 130, and may be stored in the database 218. URL information determined to be URL may be periodically updated.
  • the vaccine engine unit 206 checks whether a malicious application is a malicious application by using a vaccine engine provided in advance for an application downloaded through a URL connection, and provides the test result to the controller 220.
  • a vaccine engine may be, for example, a commercial vaccine engine provided by the company developing the vaccine.
  • the authority / API verification unit 208 analyzes the executable file of the application and examines the authority information of the application to determine a malicious URL when the security risk is set.
  • the authority / API verification unit 208 transmits the determination result to the controller 220. to provide.
  • the authority information records information about the authority that can be performed by the user terminal 150 when the application is installed in the user terminal 150, and the like, in case of a malicious application, for example, "read message" and "intercept call content". Security risks may be set to leak the user's personal information.
  • the authority / API verification unit 208 decompiles and analyzes the executable file of the application in addition to the above authority check, and then checks whether the executable file is actually created so that the API for executing the security risks is actually called. You can also scan to determine if a malicious URL exists. That is, for example, the authority / API verification unit 208 may determine that an executable file is actually called so that the API is actually called a malicious URL, and otherwise, may determine it as a normal URL.
  • the dynamic analyzer 212 may check whether the application is malicious by performing a dynamic analysis that actually executes and analyzes an application on an emulator. That is, the dynamic analyzer 212 actually executes the application on the emulator, and if it is determined that the malicious application is analyzed by analyzing the behavior of the executed application, the dynamic analyzer 212 determines the malicious URL, and controls the result of the determination. To provide.
  • the processing unit 214 When the URL included in the message is identified as a malicious URL through the URL analysis as described above, the processing unit 214 generates URL verification information indicating that the malicious URL is generated, and processes the generated URL verification information to be included in the message. .
  • the processing unit 214 may include, for example, the URL verification information in the message, and add the URL verification information to a predetermined area of the header or data area of the message.
  • the user terminal 150 such as a mobile communication terminal reads URL verification information from a predetermined area on the message to check whether the message is normal, and displays the malicious status of the URL included in the message together with the message. Allows users to proactively recognize the dangers of URLs.
  • the memory unit 216 stores an operation control program for the overall operation of the message inspecting apparatus 130, and the controller 220 controls the overall operation of the message inspecting apparatus 130 according to the operation control program stored in the memory unit 216. Control the operation.
  • the controller 220 determines whether the malicious URL is a malicious URL by performing pre-filtering by comparing the malicious URL list with the prefilter 204 through the prefilter 204. In this case, such determination information is provided to the message transmission server 110 to prevent the corresponding message from being transmitted to the user terminal 150. In addition, the controller 220 provides the malicious URL information to the harmful site blocking and guidance system 140 with respect to the malicious URL transmitted through a messenger or the like so that the user terminal 150 is not connected to the malicious URL.
  • the malicious URL list as described above may refer to list information of URLs determined as malicious URLs by the message checking device 130 previously, and the URL information determined as malicious URLs may be periodically updated during the scanning process. Can be.
  • the controller 220 checks the vaccine for the URL that is not accurately determined as a malicious URL through the above pre-filtering, such as a vaccine check through the vaccine engine unit 206, and the authority / API through the authority / API verification unit 208. It is determined whether or not the malicious URL through the dynamic analysis through the inspection, the dynamic analysis unit 212.
  • the control unit 220 is first connected to the corresponding URL through the communication network, the download of the application downloaded according to the URL Malicious checks can determine whether a URL is malicious.
  • the control unit 220 performs a comparison with the signature information of the application previously checked for the application, and when the corresponding application is detected as a malicious application as a result of the comparison, determines that the URL is a malicious URL, and when the application is detected as a normal application.
  • the URL can be determined as a normal URL.
  • the signature information as described above may be, for example, hash code information such as SHA-256 or MD5.
  • the controller 220 controls the vaccine engine unit 206 to check whether the application is a malicious application by the vaccine engine provided in the vaccine engine unit 206. After that, if the malicious application is scanned, the corresponding URL may be determined as a malicious URL.
  • control unit 220 performs dynamic analysis through the authority / API inspection through the authority / API verification unit 208 and the dynamic analysis unit 212 for a more accurate determination on applications that are not determined to be malicious applications through the vaccine engine. And so on.
  • the control unit 220 is determined to be a malicious URL because it is determined that a security risk authority that can leak user's personal information is set to the application as a result of the authority check through the authority / API verification unit 208, the corresponding URL. Can be determined to be a malicious URL.
  • the authority that can be determined to be a malicious URL by the authority / API verification unit 208 may be changed according to the policy.
  • the authorization / API verification unit 208 further checks whether the API for performing the authorization is actually called through an additional decompilation analysis for an application having a security risk that may be determined as a malicious URL. Judging by Malicious URL determination information through the API inspection may also be provided to the controller 220.
  • control unit 220 in addition to the above authority / API checks as a more reliable method for checking whether malicious, through the dynamic analysis unit 212 to actually run the application on the emulator, the application actually executed on the emulator is malicious If it is checked to perform an action, the URL can be determined to be a malicious URL.
  • the controller 220 notifies the message transmission server 110 that the corresponding message is an abnormal message.
  • verification information indicating that the message includes a malicious malicious URL may be transmitted to prevent damage caused by the abnormal message.
  • control unit 220 to the user terminal 150 through a different path on the communication network, such as a messenger using the packet-based message server 160 in addition to the message such as SMS, MMS, etc.
  • URL information determined as a malicious URL may be provided to the harmful site blocking and guidance system 140 on the communication network through the communication unit 200, and may be periodically updated.
  • the controller 220 when the URL information included in the message is configured to be extracted and authorized through the spam filtering server 120, the controller 220 is the malicious URL in the same manner as described above It may be determined whether the URL is a normal URL, and the spam filtering server 120 may provide only a result of determining whether the URL is malicious.
  • the spam filtering server 120 receives a test result for the malicious URL, and in the case of the malicious URL, notifies the message transmission server 110 that the message is an abnormal message, and transmits the abnormal message to the user terminal 150. Can be prevented or warned.
  • FIG. 3 illustrates a detailed block configuration of a mobile communication terminal such as a smart phone among the user terminal 150 according to an embodiment of the present invention.
  • a mobile communication terminal such as a smart phone among the user terminal 150 according to an embodiment of the present invention.
  • an operation in each block of the mobile communication terminal will be described in detail with reference to FIG. 3.
  • the key input unit 300 may be composed of a plurality of numeric keys and function keys for requesting various operations of the mobile communication terminal, and generates the corresponding key data when the user presses a predetermined key and outputs it to the controller 306. do.
  • the key input unit 300 as described above has a difference in character arrangement by manufacturer and country.
  • the key input unit 300 may be displayed on the display unit 304 in a touch screen format whenever necessary by a software method instead of a physical keypad in a smart phone, a tablet PC, or the like. have.
  • the audio unit 310 modulates the voice signal input through the microphone MIC into a wireless signal under the control of the control unit 306, and demodulates the received wireless signal and transmits it to the speaker SPK as a voice signal.
  • the audio unit 310 may further include a codec unit for processing a voice signal with various voice qualities set by the controller 306 during a voice call.
  • the communication unit 308 receives a message sent from the message provider 100 through a communication network.
  • the above message may be a message generated by a request of a company such as a financial provider, a manufacturer, or an open market, which is the message provider 100, and a message including contents related to a company announcement, publicity, advertisement, etc. Can be.
  • the display unit 304 displays various information of the mobile communication terminal under the control of the controller 306, and receives and displays key data generated by the key input unit 300 and various information signals of the controller 306.
  • information indicating the danger of the URL included in the message may be displayed using a predetermined mark, a picture, or a text.
  • the URL verification unit 312 checks whether there is URL verification information for the URL included in the message with respect to a message such as an SMS, an MMS message or a packet-based message received from the communication unit 308, and the URL verification information exists. In this case, the URL verification information is extracted and provided to the controller 306.
  • the control unit 306 controls the overall operation of the mobile communication terminal according to the operation program stored in the memory unit 302.
  • the operation program as described above connects the display unit 304 and the key input unit 300 as well as the basic operating system required for the operation of the mobile communication terminal, manages input / output of data, or internally of the mobile communication terminal. It refers to software that is preprogrammed at the time of manufacture to run an application or the like.
  • the URL verification unit 312 is controlled to extract URL verification information for the message including the URL and include the message in the message.
  • the risk for the given URL is displayed on the reception screen of the message.
  • the controller 306 confirms that the URL included in the received message is a malicious URL using, for example, URL verification information inserted as additional information indicating whether the message is normal, the received message is an abnormal message.
  • Information indicating that the message may be displayed on the screen as a text or a picture or output as a sound so that the user may recognize the danger of the message.
  • FIG. 5 is a flowchart illustrating an operation control for checking whether a message transmitted to the user terminal 150 is abnormal in the message inspecting apparatus 130 according to an exemplary embodiment of the present invention.
  • embodiments of the present invention will be described in detail with reference to FIGS. 1 to 5.
  • the message inspection device 130 is connected to the message transmission server 110, such as SMSC 112, MMSC 114, as shown in Figure 1, for example, when the message is received by the SMSC 112, etc.
  • the SMSC 112 receives the corresponding message (S500).
  • the message inspecting apparatus 130 extracts a URL included in the message from the received message (S502), and checks whether the extracted URL is a malicious URL (S504).
  • the message inspection apparatus 130 compares the URL extracted from the message with a malicious URL list (S506) in performing pre-filtering, and determines that the extracted URL is a malicious URL when the extracted URL exists in the malicious URL list. (S526). Subsequently, in the case of determining that the malicious URL is provided, the determination information is provided to the message transmission server 110 so that the corresponding message is not transmitted to the user terminal 150 or the risk of the URL is warned.
  • the malicious URL list as described above refers to list information of URLs determined as malicious URLs by the message checking device 130 previously, and the malicious URL list may be provided in the message checking device 130. In the malicious URL checking process, URL information determined as a malicious URL may be periodically updated.
  • the message inspection device 130 determines whether or not the malicious URL through the vaccine scan, authorization / API inspection, dynamic analysis, etc. for the URL.
  • the message inspecting device 130 first accesses a web server (not shown) linked to the corresponding URL address through a wired / wireless communication network with respect to a URL that is not accurately determined through a preliminary filtering.
  • a web server not shown
  • the corresponding application is downloaded (S508).
  • the message checking apparatus 130 may check whether the corresponding application is malicious by checking whether the downloaded application is the same application by comparing the signature information of the previously checked application with the signature information (S510).
  • the message inspection device 130 may determine that the URL is a malicious URL when the application is detected as a malicious application through comparison with the signature information as described above, and may determine the URL as a normal URL when the application is scanned as a normal application.
  • the signature information as described above may be, for example, hash code information such as SHA-256 or MD5.
  • the message inspecting apparatus 130 checks whether the application is a malicious application using an antivirus engine provided in advance (S512).
  • the vaccine engine may be a commercial vaccine engine provided by a company that develops a vaccine, and the message inspection apparatus 130 may determine the URL as a malicious URL when the downloaded application is scanned as a malicious application (S514). It may be (S526).
  • the malicious application of the application using the vaccine engine as described above may not be accurately scanned for an application having a variant pattern not included in the vaccine engine. Therefore, the message inspection device 130 further performs authority / API inspection, dynamic analysis, etc. on the application which is not determined to be a malicious application through the vaccine engine.
  • the message inspection device 130 analyzes the execution file of the application to check the authority information of the application (S514).
  • the authority information records information about the authority that can be performed by the user terminal 150 when the application is installed in the user terminal 150, and the like, in case of a malicious application, for example, "read message” and "intercept call content". Security risks may be set to leak the user's personal information.
  • the application may again perform an API check on the application having the security risk (S518).
  • the message inspecting apparatus 130 decompiles the executable file of the corresponding application, and then checks whether the executable file is actually created so that the API for executing the permission is actually called.
  • the message inspection device 130 checks whether the requested URL is a malicious URL based on a permission check and an API check result for the application (S524). If this is set or the execution file of the application is written to actually call the API for performing the security risks, the corresponding URL can be determined to be a malicious URL (S526).
  • the message inspecting device 130 May determine the URL as a normal URL (S528).
  • the message inspection device 130 in addition to the above authority / API check for the application that was not checked whether the malicious application through the anti-virus engine in addition to the more certain malicious detection method to actually run the application on the emulator (emulator) Dynamic analysis can also be performed to check for malicious activity.
  • the message inspecting device 130 checks whether the requested URL is a malicious URL based on a dynamic analysis result of the application (S524), and performs malicious behavior as a result of analyzing the behavior of the application actually executed on the emulator. If it is checked that the URL can be determined to be a malicious URL (S526).
  • the message inspection apparatus 130 may determine the corresponding URL as a normal URL (S528).
  • FIG. 6 is a flowchart illustrating an operation control for checking whether a message transmitted to the user terminal 150 is an abnormal message in a message inspecting apparatus 130 according to another exemplary embodiment of the present invention.
  • FIGS. 1 to 4 and 6 illustrate embodiments of the present invention.
  • the message inspection apparatus 130 monitors a message transmitted to a user terminal through various messengers using a communication network (S600), and checks whether the URL is included in the message (S602).
  • the message inspecting apparatus 130 extracts the corresponding URL included in the message (S606), and prefiltering. It is checked whether the extracted URL is a malicious URL (S608).
  • the message inspection apparatus 130 compares the URL extracted from the message with a malicious URL list (S610) in performing pre-filtering, and determines that the extracted URL is a malicious URL when the extracted URL exists in the malicious URL list. And, if determined to be a malicious URL to provide the URL information to the harmful site blocking and guidance system 140 so that the URL is registered in the harmful site blocking and guidance system 140 (S630).
  • the message inspection device 130 determines whether or not the malicious URL through the vaccine scan, authorization / API inspection, dynamic analysis, etc. for the URL.
  • the message inspection device 130 accesses a web server (not shown) linked to the corresponding URL address through a wired / wireless communication network with respect to a URL that is not accurately determined whether or not it is a malicious URL through pre-filtering, and accesses to the corresponding URL.
  • a specific application is downloaded according to the corresponding application (application) is downloaded (S612).
  • the message checking apparatus 130 may check whether the corresponding application is malicious by checking whether the downloaded application is the same application by comparing the signature information of the previously checked application with the signature information (S614).
  • the message inspecting apparatus 130 checks whether the application is a malicious application by using a vaccine engine provided in advance (S616).
  • the message inspecting apparatus 130 determines the URL included in the message as a malicious URL and provides the corresponding URL information to the harmful site blocking and guidance system 140.
  • the URL is registered in the harmful site blocking and guidance system 140 (S630).
  • the malicious application of the application using the vaccine engine as described above may not be accurately scanned for an application having a variant pattern not included in the vaccine engine. Therefore, the message inspection device 130 further performs authority / API inspection, dynamic analysis, etc. on the application which is not determined to be a malicious application through the vaccine engine.
  • the message inspection device 130 is not checked whether the malicious application through the vaccine engine (S618), and analyzes the executable file of the application to check the authorization information that the application has (S620).
  • the authority information records information about the authority that can be performed by the user terminal 150 when the application is installed in the user terminal 150, and the like, in case of a malicious application, for example, "read message” and "intercept call content". Security risks may be set to leak the user's personal information.
  • the application may again perform an API check on the application having the security risk (S622). .
  • the message inspecting apparatus 130 decompiles the executable file of the corresponding application, and then checks whether the executable file is actually created so that the API for executing the permission is actually called.
  • the message inspecting device 130 checks whether the URL included in the message is a malicious URL based on a permission check and an API check result for the application (S628).
  • the message inspection device 130 is a security risk authority is set to the application as a result of the authority check and API inspection, or if the application executable file is written to actually call the API for performing the security risks of the application
  • the URL can be determined to be a malicious URL.
  • the message inspecting device 130 May determine the URL as a normal URL.
  • the message inspection device 130 in addition to the above authority / API check for the application that was not checked whether the malicious application through the anti-virus engine in addition to the more certain malicious detection method to actually run the application on the emulator (emulator) Dynamic analysis can also be performed to check for malicious activity.
  • the message inspection apparatus 130 is not checked whether the malicious application through the vaccine engine (S618), the application is actually executed on the emulator (S624), and analyzes the behavior of the actually executed application (S626).
  • the message inspecting device 130 checks whether the requested URL is a malicious URL based on a dynamic analysis result of the application (S628), and performs malicious behavior as a result of analyzing the behavior of the application actually executed on the emulator. If it is checked that the URL can be determined to be a malicious URL.
  • the message inspection apparatus 130 may determine the corresponding URL as a normal URL.
  • the message inspection device 130 provides the harmful site blocking and guidance system 140 with the harmful site blocking and guidance system for the URL determined as the malicious URL based on the determination result of the malicious URL. 140 to be registered (S630).
  • FIG. 7 illustrates a configuration of a communication network for transmitting a message including a message inspecting apparatus to which another embodiment of the present invention is applied.
  • the message provider 700 refers to a subject that sends a message such as an SMS, an MMS message or a packet-based message to a user terminal 712 connected to a wired / wireless communication network including a mobile communication network.
  • the user terminal 712 as described above may include, for example, a mobile communication terminal such as a mobile phone or a smartphone, or a general wired / wireless phone having a display window for receiving a message.
  • the 700 may be, for example, a company such as a financial firm, a manufacturer, an open market, and the like, and a message sent by the message provider 700 may, for example, be notified, promoted or advertised to a user in connection with the enterprise. It can be a message of content.
  • the message relay 702 receives a request for sending a message to a user terminal 712 of a target user in a company such as a financial company, a manufacturer, or an open market, which becomes the message provider 700, and then responds to the request for sending.
  • a message requested by the message provider 700 to the corresponding user terminal 712 by providing the message generated by the message provider 700 to a message inspection device 704 such as a vertical multimedia gateway (VMG) on a communication network.
  • VMG vertical multimedia gateway
  • the message relay 702 may provide data such as data of a message to be transmitted from the message provider 700 and information such as a mobile identification number (MIN) of the user terminal 712 of the target user to which the message should be transmitted.
  • MIN mobile identification number
  • the message inspecting apparatus 704 may be a device such as a VMG, and the like may be used to convert the format of the message according to the device characteristics of the user terminal 712 that targets the message received from the message relay 702. Perform message processing. That is, when the message inspecting apparatus 704 receives a message sent from the message provider 700 through the message relay 702, the message inspecting apparatus 704 refers to the information about the specification of the user terminal 712 and displays the message on the user terminal 712. Is a packet-based message server that converts a data format into a form that can be transmitted to a short messaging service center (SMSC) 708, a multimedia messaging service center (MMSC) 710, or a packet-based message. 711 is transmitted.
  • SMSC short messaging service center
  • MMSC multimedia messaging service center
  • the message requested to be sent from the message provider 700 to the user terminal 712 may be produced in the form of an MMS message, an SMS message, or a packet-based message, and the message inspecting apparatus 704 may be, for example, an MMS message.
  • the MMS version of the target user terminal 712 to receive the corresponding MMS message can be converted into a message format suitable for the version of the user terminal 712, if only the SMS message can be converted to the SMS message You can also do
  • a user such as a smartphone through a spam message such as a financial product guide using a company name, a shopping mall coupon, etc.
  • a spam message such as a financial product guide using a company name, a shopping mall coupon, etc.
  • a message including an abnormal URL may exist among the above messages.
  • a message containing such an abnormal URL has a problem of causing damage by inserting an abnormal URL in a message so that an application including malicious code is installed when the user clicks the URL or connected to an overseas smishing company.
  • the message inspecting apparatus 704 includes an authentication module for authenticating whether the message is a normal message sent from a normal company, and verifies whether the message is from a normally authenticated message provider 700, and the corresponding message is authenticated.
  • an authentication module for authenticating whether the message is a normal message sent from a normal company, and verifies whether the message is from a normally authenticated message provider 700, and the corresponding message is authenticated.
  • the message inspecting apparatus 704 in authenticating the message from the authenticated message provider 700, for example, the authentication information management server that extracts the authentication identifier information and manages the authentication identifier information previously assigned to a normal company or the like.
  • a request for checking whether the authentication information is pre-allocated may be requested, and the authentication result may be received from the authentication information management server 706.
  • the authentication identifier information refers to information configured to identify the corresponding company for a company that sends a normal message, and may be, for example, caller ID (CID) information.
  • the authentication information management server 706 managing such authentication identifier information may be, for example, a CID (Caller ID) management server.
  • the message inspection device 704 authenticates the message provider 700 selected as a normal company in advance according to an embodiment of the present invention so that the message sent from the corresponding company to the target user terminal 712 is not spam. After allocating and providing identifier information and authenticating whether the message is from a normal company, the message is processed by including authentication verification information to guarantee the authenticated message in the corresponding message. Depending on the type of SMSC 708, MMSC 710, or a packet-based message server 711 to provide.
  • the message inspecting apparatus 704 checks whether the URL included in the message is included in receiving the message from the message provider 700, and analyzes whether the URL included in the message is dangerous if the URL is included. After generating URL verification information indicating a danger, the URL verification information may be included in a message to be provided to the user terminal 712. The URL verification information may be information indicating that the message is an abnormal message. Accordingly, the user terminal 712 can recognize in advance the risk of the URL included in the received message, it is possible to prevent the damage caused by the abnormal URL.
  • the message inspection device 704 in analyzing the risk of the URL, for example, performing the operation of directly clicking the URL, whether or not the installation of the application (application) generated in response to the click of the URL or unknown overseas server (
  • the risk of URLs can be analyzed by checking the link to the server), and the types of risks can be identified.
  • the message inspecting apparatus 704 may analyze the risk of the URL using, for example, a URL analysis server 707 that is separately implemented to analyze the risk of the URL.
  • the message inspecting apparatus 704 transmits the corresponding URL to the URL analyzing server 707 to request whether the URL is a dangerous URL, and provides an analysis result from the URL analyzing server 707. You can also check for URL risk.
  • the SMS message, the MMS message, the packet-based message, or the like with the message indicating whether the message, such as the authentication confirmation information or the URL verification information, is added may be the SMSC 708, the MMSC 710, or the packet-based message server 711. After transmission to the user terminal 712 through the communication network from the SMSC 708, MMSC 710 or packet-based message server 711.
  • the user terminal 712 checks whether the received message includes authentication confirmation information as information indicating whether the message is normal, and if the authentication confirmation information is included, it is an authenticated message for the authenticated message. By displaying characters or pictures on the screen or outputting sounds, etc., the user can check the authenticated message with confidence.
  • the user terminal 712 checks whether the received message includes URL verification information as information indicating whether the message is normal, and if the URL verification information is included, checks the risk of the URL included in the received message. After confirming, the risk of the URL can be prevented by displaying the danger of the URL as a text or a picture on the screen informing the reception of the message or by outputting it as a sound.
  • FIG. 8 shows a detailed block diagram of the message inspecting apparatus 704 according to an embodiment of the present invention.
  • the communication unit 800 the memory unit 802, the control unit 804, the authentication unit 806, the processing unit ( 808), and the like.
  • the communication unit 800 performs data transmission and reception with the message relay 702 and the SMSC 708, MMSC 710, packet-based message server 711, and the like, SMS, MMS or Receives a message such as a packet-based message, and transmits the processed message to the SMSC 708, MMSC 710 or packet-based message server 711 in accordance with the present invention.
  • the memory unit 802 stores an operation control program for the overall operation of the message inspecting apparatus 704, and the controller 804 stores the overall operation of the message inspecting apparatus 704 according to the operation control program stored in the memory unit 802. Control the operation.
  • the authenticator 806 authenticates the message from the preselected message provider 700 according to an embodiment of the invention. That is, the authentication unit 806 extracts the authentication identifier information of the message provider 700 included in the message received from the message relay 702, and the authentication identifier information of the message provider 700 is pre-allocated for authentication. By checking whether the message is included in the identifier information, it is possible to authenticate whether the received message is a message sent from the authenticated message provider 700.
  • the authentication unit 806 in authenticating the message provider 700, extracts the authentication identifier information and transmits the authentication identifier information to the authentication information management server 706 that manages the authentication identifier information pre-assigned to a normal company. A request may be made to check whether the authentication identifier is information, and the authentication result may be received from the authentication information management server 706.
  • the authentication unit 806 may include pre-allocated authentication identifier information as its own database (DB), and may perform inspection on the authentication identifier information without interworking with the authentication information management server 706.
  • the authentication unit 806 checks whether the URL included in the message is included when receiving the message from the message provider 700 according to an embodiment of the present invention, and if the URL included in the message is dangerous Analyze whether or not.
  • the authentication unit 806, in analyzing the risk of the URL for example, performing the operation of directly clicking the URL, whether to induce installation of the application generated by the click of the URL, whether to link to an unknown overseas server, etc. Can be used to analyze the risks of URLs and identify the types of risks.
  • the authenticator 806 may analyze the risk of the URL using, for example, a URL analysis server 707 that is separately implemented to analyze the risk of the URL. In this case, if the URL in the message is included, the authentication unit 806 transmits the corresponding URL to the URL analysis server 707 to request whether the URL is a dangerous URL, and receives the analysis result from the URL analysis server 707. You can also check for URL risks.
  • the processing unit 808 If the normal message provider 700 is authenticated from the authentication unit 806 as described above, the processing unit 808 generates authentication confirmation information that proves that the message is a normal message sent from the authenticated message provider 700, and The authentication confirmation information generated as described above is processed to be included in the message sent from the message provider 100.
  • the processing unit 808 may generate the authentication confirmation information as described above in various ways. Hereinafter, an operation of generating the authentication confirmation information in the processing unit 808 will be described in more detail.
  • the processing unit 808 generates a header of a message by generating unencrypted simple information such as true or false for a message sent from an authenticated message provider 700. Or a certain area of a data area. In this case, even if the user terminal 712, such as a mobile communication terminal is not provided with a separate encryption decryption algorithm, it is possible to check whether the message is simply read by reading the corresponding authentication confirmation information in a predetermined area on the message.
  • the processing unit 808 provides the user terminal information of the target user terminal 712 to which the message is sent, for example, MIN (Mobile Identification Number) information, etc., for the security of the authentication confirmation information.
  • the encrypted authentication confirmation information may be added to a header of the message or a predetermined area of the data area.
  • the encryption algorithm as described above may be, for example, a hash algorithm.
  • the user terminal 712 extracts the encrypted authentication confirmation information from the pre-promised area on the message and performs encryption using the same encryption algorithm and MIN information as the same encryption algorithm used when the authentication confirmation information is encrypted. Decryption and authentication verification information are read.
  • the processing unit 808 may include the above authentication confirmation information in a message as an OTP (one time password) value and transmit it.
  • the OTP value is a value generated by inputting message transmission time and user terminal information such as MIN as a parameter, and may be added to a header of a message or a predetermined area of a data area.
  • the user terminal 712 may implement an OTP terminal function to generate an OTP value, and then compare the OTP value included in the message to confirm that the received message is an authenticated message when the same OTP value is included. .
  • the user terminal 712 may include the same OTP generator used to generate the OTP value in the message inspecting apparatus 704, and the message inspecting apparatus 704 when the authentication confirmation information is transmitted with the message as the OTP value. ) Generates an OTP value using the same parameter message transmission time and user terminal information used as an input value of the OTP generator, and compares the generated OTP value with the OTP value included in the message.
  • the processing unit 808 may generate the authentication verification information as described above by recording a specific value newly defined to indicate whether the message is authenticated in the PID (Packet Identification) field on the message format.
  • PID Packet Identification
  • the PID field as described above is a field that is recorded with various values set according to the characteristics of the message to allow the user terminal 712 to perform an operation corresponding to the value recorded in the corresponding PID field.
  • the processing unit 808 as described above.
  • new specific values for message authentication can be defined and sent with the message to be used for message authentication.
  • the information on the newly defined specific value on the PID field may be previously provided to the user terminal 712.
  • the user terminal 712 may check whether the received message is authenticated by checking a value recorded in the PID field of the received message.
  • the message provided from the message provider 700 may include uniform resource locator (URL) information.
  • the processing unit 808 analyzes whether the URL is dangerous and generates URL verification information indicating the danger of the URL when the URL included in the message is analyzed to be dangerous, and then the URL verification information corresponds to the message. It is processed to be included as additional information indicating whether the message is normal.
  • URL uniform resource locator
  • the processing unit 808 generates the above URL verification information, for example, if the URL included in the message is analyzed to be dangerous to the URL that is connected to a server located in a foreign country where the stability is not secured, the corresponding Information indicating that the location of the server connected via the URL is overseas may be generated as URL verification information.
  • the processing unit 808 for example, if the URL included in the message is analyzed to induce the installation of a particular application that is not secured, the URL to the information that informs that the specific application can be installed through the URL. Can be generated as verification information.
  • the processing unit 808 may add, for example, to a header of the message or a predetermined area of the data area.
  • the user terminal 712 such as a mobile communication terminal, reads URL verification information in a predetermined area on the message, checks whether the URL is dangerous, and indicates whether the URL is dangerous with the message so that the user may be at risk of the URL. Make sure you know in advance.
  • FIG. 9 illustrates a detailed block configuration of a mobile communication terminal such as a smart phone among the user terminal 712 according to an embodiment of the present invention.
  • a mobile communication terminal such as a smart phone among the user terminal 712 according to an embodiment of the present invention.
  • an operation of each block of the mobile communication terminal will be described in detail with reference to FIG. 9.
  • the key input unit 900 may be composed of a plurality of numeric keys and function keys for requesting various operations of the mobile communication terminal, and generates corresponding key data when the user presses a predetermined key and outputs it to the controller 906. do.
  • the key input unit 900 as described above has a difference in character arrangement by manufacturer and country.
  • the key input unit 900 may be displayed on the display unit 904 in a touch screen format whenever necessary by a software method instead of a physical keypad in a smart phone, a tablet PC, or the like. have.
  • the audio unit 910 under the control of the control unit 906 modulates a voice signal input through the microphone MIC into a wireless signal, demodulates the received wireless signal, and transmits the received voice signal to the speaker SPK as a voice signal.
  • the audio unit 910 may further include a codec unit for processing a voice signal with various voice qualities set by the controller 906 during a voice call.
  • the communication unit 908 receives a message sent from the message provider 700 through a communication network.
  • the message as described above may be a message generated by a request of a company such as a financial provider, a manufacturer, an open market, etc., the message provider 700, the message including the contents, such as announcements, promotions, advertising related to the company Can be.
  • the display unit 904 displays various types of information of the mobile communication terminal under the control of the controller 906, and receives and displays key data generated by the key input unit 900 and various information signals of the controller 906.
  • information indicating that the authenticated message may be displayed as a picture or text such as a predetermined authentication mark, a corresponding corporate logo, or the like.
  • information indicating the danger of the URL may be displayed using a predetermined mark, picture, or text.
  • the authentication unit 912 checks whether the authentication confirmation information is attached to the message, such as SMS, MMS, or packet-based message received from the communication unit 908, to indicate whether the message is normal, and when the authentication confirmation information is attached.
  • the corresponding authentication confirmation information is extracted to check whether the received message is an authenticated message.
  • the authentication unit 912 in the method of confirming the above authentication confirmation information, if the above authentication confirmation information is not encrypted first, the authentication confirmation information is read directly from the pre-promised area on the message as it is simply authenticated You can check whether it is a message.
  • the message inspection device 704 generates a simple unencrypted acknowledgment information such as true or false for the message sent from the authenticated message provider 700 to generate a header or a header of the message. It can be added to a certain area of the data area. In such a case, even if the authentication unit 912 does not have a separate encryption and decryption algorithm, the authentication unit 912 may check whether the message is an authenticated message by reading the corresponding authentication confirmation information in a predetermined area of the message.
  • the authentication unit 912 extracts the encrypted authentication confirmation information from the pre-scheduled area on the message when the above authentication confirmation information is encrypted with a predetermined encryption algorithm such as a hash algorithm, and when the authentication confirmation information is encrypted By using the same encryption algorithm and user terminal information such as MIN information used to decrypt the encryption and confirming the authentication confirmation information.
  • a predetermined encryption algorithm such as a hash algorithm
  • user terminal information such as MIN information used to decrypt the encryption and confirming the authentication confirmation information.
  • the authentication unit 912 is one of the same parameter message transmission time and the user terminal information used as the input value of the OTP generator in the message inspection device 704 when the above authentication confirmation information is received with the message as the OTP value OTP value is generated by using MIN information. Subsequently, the authenticator 912 may check whether the received message is an authenticated message when the OTP value generated as described above in the user terminal 712 having the OTP terminal function is the same as the OTP value included in the message.
  • the authentication unit 912 if the above authentication confirmation information is recorded as a specific value newly defined to indicate whether the message is authenticated in the PID field in the message format, the value recorded in the PID field indicates whether the message is authenticated It is possible to check whether the received message is an authenticated message by checking whether the value is predefined.
  • the PID field as described above is a field which is recorded with various values set according to the characteristics of the message so that the user terminal 712 performs an operation corresponding to the value recorded in the corresponding PID field.
  • the authenticator 912 may check whether the received message is authenticated by checking a value recorded in the PID field of the received message.
  • the authentication unit 912 checks whether there is URL verification information as information indicating whether the message is normal or not for messages such as SMS, MMS message, or packet-based message received from the communication unit 908, and URL verification information. If present, the URL verification information may be extracted and provided to the controller 906.
  • the control unit 906 controls the overall operation of the mobile communication terminal according to the operation program stored in the memory unit 902.
  • the operating program as described above connects the display unit 904 and the key input unit 900 as well as the basic operating system required for the operation of the mobile communication terminal, manages input / output of data, or internally of the mobile communication terminal.
  • Software is pre-programmed at the time of manufacture to run an application or the like.
  • the controller 906 controls the authentication unit 912 to check authentication confirmation information of the corresponding message, and then authenticates the message.
  • the message is notified along with a notification of receipt of the message, in various ways, so that the user can check whether the currently received message is an authenticated message.
  • control unit 906 may display, for example, a logo, a certification mark, or a certification letter of a predetermined company in the message content summary window in case of an SMS or MMS message when an authenticated message is received. You can display the message "This is an authentication message" as a popup message, or you can display the authentication mark and a popup message at the same time.
  • the controller 906 displays the contents of the message and pops up a phrase such as “it is a reliable message”. It can also be displayed as a message so that the user can once again recognize that the message is an authenticated message even when the user actually clicks the message.
  • the message is displayed on the screen of the packet-based message dialog, and the corresponding corporate logo and certification mark indicating that the message is authenticated in the same manner as the SMS and MMS messages together with the contents of the message.
  • authentication characters may be displayed.
  • the reception of the packet-based message is set to be displayed as a pop-up message, the reception of the packet-based message may be notified by a pop-up, and at the same time, the corporate logo, an authentication mark, or a certification letter may be displayed together as a pop-up message. have.
  • FIG. 10 illustrates that the corresponding corporate logo 400 is displayed only for the authenticated message in the message content summary window
  • FIG. 11 is the preset authentication mark 450 for the authenticated message only in the message content summary window. This illustrates the display of.
  • FIG. 12 illustrates that a specific phrase 500 such as “the authentication message” is displayed together with the predetermined corporate logo 400 for the authenticated message and an authentication letter indicating that the message is an authenticated message.
  • control unit 906 displays the authentication confirmation message in various ways to increase the user's awareness, so that the user can easily distinguish the authenticated message from the unauthenticated message. It can prevent you from suspecting spam or not verifying it.
  • control unit 906 controls the authentication unit 912 for the message including the URL to extract the URL verification information embedded in the message and display the risk for the URL included in the message on the reception screen of the message.
  • the controller 906 confirms that the location of the server connected through the URL included in the received message is overseas using, for example, the URL verification information, information indicating that the corresponding URL is connected to a server located abroad. Can be displayed as text or picture on the screen, or output as a sound so that the user can recognize the danger of the URL.
  • the controller 906 displays information indicating that the URL induces the installation of the specific application. It can be displayed as text or picture or sounded out so that the user can be aware of the dangers of the URL.
  • FIG. 13 is a diagram illustrating URL risk information displayed on a message content summary window in which message contents are summarized when a message is received.
  • the controller 906 confirms that the location of the server connected through the URL included in the received message is overseas using the URL verification information, the corresponding URL is connected to the server located abroad.
  • the informing information may be displayed in the summary window of the corresponding message in a text such as "overseas" along with a warning light display as shown, for example, at 460.
  • the controller 906 when the controller 906 confirms that the URL included in the message received through the URL verification information induces the installation of a specific application, the controller 906 summarizes information indicating that the URL induces the installation of the specific application.
  • a warning light may be displayed together with a text such as "APP".
  • control unit 906 confirms that the URL included in the message is connected to an overseas server and induces the installation of a specific application
  • a warning light is displayed on the summary window of the corresponding message as shown in reference numeral 464. "Overseas”, “APP”, etc. can all be displayed.
  • the controller 906 may display the user in a variety of ways to increase the user's awareness of the risk of the URL included in the message. By making it recognizable, the damage caused by the abnormal URL can be prevented.
  • FIGS. 7 to 14 illustrates an operation control flow for message authentication in the message inspecting apparatus 704 according to an embodiment of the present invention.
  • FIGS. 7 to 14 will be described in detail.
  • the message inspecting apparatus 704 may receive various messages sent to a target user terminal 712 from a plurality of companies, such as financial companies, manufacturers, and open markets, which may be the message providers 700 ( S700).
  • the user terminal 712 as described above may include, for example, a mobile communication terminal such as a mobile phone, a smart phone, or a general wired / wireless telephone having a display window capable of receiving a message.
  • a mobile communication terminal such as a mobile phone, a smart phone, or a general wired / wireless telephone having a display window capable of receiving a message.
  • a smart phone will be described with an example.
  • the message inspecting apparatus 704 extracts authentication identifier information of the message provider 700 from the received message (S702).
  • the authentication identifier information refers to information configured to identify the corresponding company for a company that sends a normal message.
  • the authentication identifier information may be CID (caller ID) information or a series of numeric information.
  • the message inspecting apparatus 704 checks the extracted authentication identifier information and authenticates whether the message provider 700 is a normal message provider (S704).
  • the message inspecting apparatus 704 compares the authentication identifier information extracted from the received message with the entire authentication identifier information registered in advance in the authentication information management server 706, and the like, and when there is matching authentication identifier information.
  • the message provider 700 that sent the message may be authenticated as a normal message provider.
  • the message inspection apparatus 704 is the authentication confirmation information, etc. for the message. Instead of inserting the additional information, the data is processed in the same manner as the general message and transmitted to the corresponding user terminal 712 through the SMSC 708, the MMSC 710, or the packet-based message server 711 (S712).
  • the message inspecting apparatus 704 may authenticate the message provider for the corresponding message. Authentication confirmation information indicating that the secure message sent from the 700 is generated (S708).
  • the message inspecting apparatus 704 may generate the above authentication confirmation information in various ways.
  • the message inspecting apparatus 704 generates a simple unencrypted acknowledgment information such as true or false for a message sent from an authenticated message provider 700 and generates a header of the message. It can be added to a predetermined predetermined area of the data area.
  • the message inspection device 704 encrypts the authentication confirmation information with a predetermined encryption algorithm using user terminal information such as MIN information of the target user terminal 712 to which the message is sent. Afterwards, the encrypted authentication confirmation information can be added to a header of the message or a predetermined area of the data area.
  • the encryption algorithm as described above may be, for example, a hash algorithm. When the encryption algorithm is performed as the encryption algorithm, the same encryption algorithm may be previously provided to the user terminal 712.
  • the message inspecting apparatus 704 may include the above authentication confirmation information in the message as an OTP value and transmit the message.
  • the OTP value is a value generated by inputting a message transmission time and user terminal information such as a MIN, and may be added to a header of a message or a predetermined area of a data area.
  • the user terminal 712 may implement an OTP terminal function to generate an OTP value, and then compare the OTP value included in the message to confirm that the received message is an authenticated message.
  • the message inspecting apparatus 704 may generate the above-described authentication confirmation information as a specific value newly defined to indicate whether the message is authenticated in the PID (Packet Identification) field on the message format.
  • PID Packet Identification
  • the PID field as described above is a field that is recorded with various preset values according to the characteristics of the message to allow the user terminal 712 to perform an operation corresponding to the value recorded in the corresponding PID field.
  • a new specific value for message authentication can be defined in the PID field where various defined values are recorded, and it can be sent along with the message to be used for message authentication.
  • the information on the newly defined specific value on the PID field may be previously provided to the user terminal 712.
  • the user terminal 712 may check whether the received message is authenticated by checking a value recorded in the PID field of the received message.
  • the message inspecting apparatus 704 processes the corresponding message so that the authentication confirmation information generated as described above is included in the message sent by the message provider 700 (S710), and then sends the message including the authentication confirmation information to the message.
  • SMSC 708, MMSC 710 or packet-based message server 711 and the like (S712) to be sent to the user terminal 712, the message provider 700 requested to send.
  • FIG. 15 illustrates an operation control flow for transmitting URL verification information by including the message in the message inspecting apparatus 704 according to an exemplary embodiment of the present invention.
  • FIGS. 7 to 13 and 15 will be described in detail.
  • the message inspecting apparatus 704 may receive various messages sent to a target user terminal 712 from a plurality of companies, such as financial companies, manufacturers, and open markets, which may be the message providers 700 ( S800).
  • companies such as financial companies, manufacturers, and open markets, which may be the message providers 700 ( S800).
  • the user terminal 712 as described above may include, for example, a mobile communication terminal such as a mobile phone, a smart phone, or a general wired / wireless telephone having a display window capable of receiving a message.
  • a mobile communication terminal such as a mobile phone, a smart phone, or a general wired / wireless telephone having a display window capable of receiving a message.
  • a smart phone will be described with an example.
  • the user inserts an abnormal URL in the message, such as an SMS, MMS, or packet-based message, which is transmitted from the message transmission entity such as an enterprise to the user terminal 712 of the target user.
  • an abnormal URL such as an SMS, MMS, or packet-based message
  • the message transmission entity such as an enterprise
  • a message containing an abnormal URL that causes damage may exist by causing an application containing malicious code to be installed or connected to an overseas smisting company.
  • the message inspecting apparatus 704 checks whether the URL in the message is included in receiving the message from the message provider 700 (S802).
  • the message inspecting apparatus 704 analyzes whether the URL included in the message is dangerous (S806).
  • the message inspection device 704 in analyzing the risk of the URL, for example, by directly clicking the URL, whether to induce the installation of the application generated by the click of the URL, whether to link to an unknown overseas server, etc. You can examine the risks of URLs and identify the types of risks.
  • the message inspecting apparatus 704 may analyze the risk of the URL using, for example, a URL analysis server 707 that is separately implemented to analyze the risk of the URL.
  • the message inspecting apparatus 704 transmits the corresponding URL to the URL analyzing server 707 to request whether the URL is a dangerous URL, and provides an analysis result from the URL analyzing server 707. You can also check for URL risk.
  • the message inspecting device 704 analyzes that the location of the server connected through the URL included in the message as a result of the URL risk analysis (S808), the message indicating that the URL is connected to the server located abroad is a URL. Generate as verification information (S810).
  • the message inspecting apparatus 704 processes the corresponding message so that the URL verification information generated as described above is included in the message sent by the message provider 700 (S812), and according to the characteristics of the message, the SMSC 708 and the MMSC. 710 or the packet-based message server 711 to transmit (S820) so that the message provider 700 can be sent to the user terminal 712 requesting the sending.
  • the message checking device 704 may include, for example, the URL verification information generated as described above in the message, and may be added to a predetermined area of the header or data area of the message.
  • the URL verification information includes information indicating that the URL induces the installation of the application. To generate (S816).
  • the message inspecting apparatus 704 processes the corresponding message so that the URL verification information generated as described above is included in the message sent by the message provider 700 (S818), and according to the characteristics of the message, the SMSC 708 and the MMSC. 710 or the packet-based message server 711 to transmit (S820) so that the message provider 700 can be sent to the user terminal 712 requesting the sending.
  • FIG. 16 illustrates an operation control flow of notifying dangerous URL information among messages transmitted through a messenger or the like in the message inspecting apparatus according to another exemplary embodiment of the present invention.
  • FIGS. 7 to 13 and 16 illustrate embodiments of the present invention.
  • the message inspecting apparatus 704 receives a message transmitted through a messenger using the packet-based message server 160 in addition to the SMS and MMS message (S900).
  • the message inspecting apparatus 704 checks whether the URL in the message is included in the reception of the message transmitted through the messenger (S902).
  • the message inspection device 704 analyzes whether or not the risk for the URL included in the message (S906).
  • the message inspection device 704 in analyzing the risk of the URL, for example, by directly clicking the URL, whether to induce the installation of the application generated by the click of the URL, whether to link to an unknown overseas server, etc. You can examine the risks of URLs and identify the types of risks.
  • the message inspecting apparatus 704 may analyze the risk of the URL using, for example, a URL analysis server 707 that is separately implemented to analyze the risk of the URL.
  • the message inspecting apparatus 704 transmits the corresponding URL to the URL analyzing server 707 to request whether the URL is a dangerous URL, and provides an analysis result from the URL analyzing server 707. You can also check for URL risk.
  • the message inspecting device 704 is a result of the URL risk analysis, when the location of the server connected via the URL included in the message is analyzed to be foreign (S908) or the URL included in the message to induce the installation of a specific application If it is analyzed (S910), the corresponding URL is determined to be a malicious URL, and transmits the information of the URL determined to be a malicious URL to the harmful site blocking and guidance system 140 (S912).
  • the URL information transmitted as described above is registered in the harmful site list managed by the harmful site blocking and guidance system 140, and when the user clicks the corresponding URL included in the message, the harmful site blocking and guidance system 140 ) May block access to the URL, or the risk of the URL may be alerted to prevent damage caused by malicious URLs.
  • FIG. 17 illustrates an operation control flow for distinguishing and displaying normal messages in the user terminal 712 according to an exemplary embodiment of the present invention.
  • a mobile communication terminal such as a mobile phone or a smart phone among user terminals
  • the same may be applied to other types of user terminals capable of receiving and displaying messages.
  • the user terminal 712 receives a message sent from a plurality of companies, such as a financial company, a manufacturer, an open market, etc., which may be the message provider 700 (S1000), the message is included in the received message.
  • the authentication confirmation information is extracted by checking whether the authentication confirmation information is included as information indicating whether it is normal (S1002).
  • the user terminal 712 analyzes the authentication confirmation information to check whether the authentication confirmation information is encrypted (S1004).
  • the user terminal 712 may check whether the message is simply authenticated by reading the corresponding authentication confirmation information from the previously promised area on the message (S1010).
  • the message inspection apparatus 704 If the authentication confirmation information is not encrypted as described above, for example, the message inspection apparatus 704 generates whether the message is authenticated as simple unencrypted authentication confirmation information such as true or false and generates a header of the message. This may be the case in addition to a certain area of the data area. Alternatively, it may be the case that the message inspection apparatus 704 records whether the message is authenticated by replacing it with a specific value predefined in the PID (Packet Identification) field on the message format.
  • PID Packet Identification
  • the user terminal 712 reads the corresponding authentication confirmation information as it is from the pre-promised area on the message to confirm the authentication, or checks whether a specific value defined in advance is recorded in the PID field. You can check whether it is certified.
  • the user terminal 712 decrypts the encryption of the authentication confirmation information (S1008) and confirms the authentication confirmation information (S1010).
  • the user terminal information of the target user terminal 712 where the message is to be sent is sent.
  • the encrypted authentication confirmation information is added to a certain area of the header or data area of the message. Can be.
  • the message inspecting apparatus 704 may include a case where the authentication confirmation information is included in the message as an OTP value and transmitted.
  • the OTP value is a value generated by inputting a message transmission time and user terminal information such as a MIN.
  • the OTP value may be transmitted by being included in a header of a message or a predetermined area of a data area.
  • the user terminal 712 extracts encrypted authentication confirmation information from a predetermined area in the message, and the authentication confirmation information is encrypted.
  • the same encryption algorithm and user terminal information such as MIN information are used to decrypt the encryption and confirm the authentication confirmation information.
  • the user terminal 712 when the authentication confirmation information is transmitted as an OTP value, the user terminal 712 generates an OTP value by implementing an OTP terminal function, and compares the OTP value included in the message with the same OTP value. You can see that it is a message.
  • the user terminal 712 may include the same OTP generator used to generate the OTP value in the message inspecting apparatus 704, and the message inspecting apparatus 704 when the authentication confirmation information is transmitted with the message as the OTP value. ) Generates an OTP value using the same parameter message transmission time and user terminal information used as an input value of the OTP generator, and then compares the generated OTP value with the OTP value included in the message.
  • the authentication confirmation information verified through the authentication process as described above may be, for example, information recorded as true or false information on whether the message is an authenticated message, and true means that the message is authenticated, and false means authentication. This may mean that the message is not.
  • the user terminal 712 checks the authentication confirmation information to check whether the corresponding message is an authenticated message (S1012), and if not the authenticated message, processes it as in the general case.
  • the user terminal 712 displays an authenticated message together with a notification of receipt of the message as a corporate logo, an authentication mark, or an authentication letter indicating that the message is an authentication message on the message reception screen of the user terminal 712.
  • a notification of receipt of the message as a corporate logo, an authentication mark, or an authentication letter indicating that the message is an authentication message on the message reception screen of the user terminal 712.
  • the user can check whether the currently received message is an authenticated message.
  • the user terminal 712 for example, when an authenticated message is received, as shown in FIG. 10, FIG. 11 or FIG. 12, the corporate logo 400 preset in the message content summary window, the authentication mark 450. It may be displayed, it may be output in the pop-up message "authentication message” authentication letter 500 or sound, and may also display the authentication mark 450 and the authentication character (5000) at the same time.
  • the message authenticated as secure is displayed on the user terminal 712 in various ways so that the user is not authenticated with the authenticated message.
  • the message authenticated as secure is displayed on the user terminal 712 in various ways so that the user is not authenticated with the authenticated message.
  • the user terminal 712 receives a message sent from a plurality of companies, such as a financial company, a manufacturer, an open market, etc., which may be the message provider 700 (S1100), the message is included in the received message. It is checked whether the URL verification information is included as information indicating whether or not it is normal (S1102).
  • the user terminal 712 verifies a URL included in a predetermined predetermined area such as a header or a data area of the message. Information is extracted (S1106).
  • the user terminal 712 analyzes the extracted URL verification information and checks whether the URL included in the message is dangerous (S1108), and then improves the user's awareness of the danger of the URL included in the message. By displaying in a manner so that the user can easily recognize the risk of the URL (S1110).
  • the user terminal 712 confirms that the location of the server connected via the URL included in the message received through the URL verification information is overseas.
  • the information indicating that the corresponding URL is connected to a server located abroad can be displayed as a text or a picture on the screen or output as a sound so that the user can recognize the danger of the URL. .
  • the user terminal 712 may provide information indicating that the URL induces the installation of the specific application. As shown by reference numeral 462 of FIG. 13, the user may recognize the danger of the URL by displaying a text or a picture on the screen or outputting the sound.
  • the message is checked for normality before being transmitted to the user terminal for various messages sent to the user terminal, and additional information on whether the message is normal is checked.
  • additional information on whether the message is normal is checked.
  • the message including the URL is examined for whether the URL is a malicious URL that induces the installation of a malicious application, and in the case of the malicious URL, the message including the URL is determined as an abnormal message. Blocking transmission to the user terminal or warning of the risk of the URL to prevent damage caused by malicious URL.
  • the message transmission server may block the preliminary and preemptive blocking of the malicious application propagated through the message by filtering in advance.
  • presenting a model that allows the carrier to check whether the application downloaded through the malicious URL is malicious it is more advantageous for collecting a sample of malicious applications than a vaccine provider that provides a vaccine engine. Create your own business model.
  • the URL information contained in the corresponding message is examined for harmfulness, and the information of the URL detected as the malicious URL is harmful.
  • the harmful site blocking and guidance system can block or warn the access to the URL so that the damage can be prevented.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Information Transfer Between Computers (AREA)

Abstract

본 발명에 따르면 메시지의 검사에 있어서, 다수의 기업 혹은 불특정 개인 등의 메시지 제공자로부터 사용자 단말로 발송되는 다양한 메시지에 대해서 사용자 단말로 전송하기 전에 해당 메시지의 정상 여부를 검사하고, 메시지의 정상여부에 대한 추가 정보를 해당 메시지에 삽입하여 전송함으로써, 악성 URL을 포함하거나 인증되지 않은 메시지 제공자로부터의 불필요한 메시지가 사용자 단말에서 정상메시지와 구별될 수 있게 되어 비정상 메시지로 인한 피해를 방지시킬 수 있도록 한다.

Description

메시지 검사장치, 사용자 단말 및 방법
본 발명은 통신망을 이용한 메시지 서비스에 관한 것으로, 특히 메시지 서비스를 통해 전송되는 메시지의 가공에 있어서, 다수의 기업 혹은 불특정 개인 등의 메시지 제공자(message provider)로부터 사용자 단말(user terminal)로 발송되는 다양한 메시지에 대해서 사용자 단말로 전송하기 전에 해당 메시지의 정상 여부를 검사하고, 메시지의 정상여부에 대한 추가 정보를 해당 메시지에 삽입하여 전송함으로써, 악성 URL을 포함하거나 인증되지 않은 메시지 제공자로부터의 불필요한 메시지가 사용자 단말에서 정상메시지와 구별될 수 있게 되어 비정상 메시지로 인한 피해를 방지시킬 수 있도록 하는 메시지 검사장치, 사용자 단말 및 방법에 관한 것이다.
근래에 들어, 휴대폰, 스마트폰(smart phone) 등의 사용자 단말은 현대인에게 없어서는 안될 필수품으로서 남녀 노소를 막론하고 사용하고 있으며, 서비스 제공자 및 단말기 제조자는 다른 업체와의 차별화를 위해 제품 또는 서비스를 경쟁적으로 개발하고 있다.
이러한, 사용자 단말은 폰북(phone book), 게임(game), 메시지(message), 이메일(email), 모닝콜(morning call), MP3(MPEG Layer 3), 디지털 카메라 및 무선 인터넷 서비스가 가능한 멀티미디어 기기로 발전하여 다양한 서비스를 제공하고 있다.
한편, 위와 같은 사용자 단말의 기능 가운데 메시지 기능은 음성 통화에 비하여 비교적 저렴하다는 장점 때문에 사용자들이 많이 사용하고 있다.
이러한, 메시지는 예를 들어 SMS(short messaging service), MMS(multimedia messaging service), 패킷기반 메시지 등이 될 수 있다. SMS는 간단한 텍스트를 전송할 수 있는 메시지를 말할 수 있으며, MMS는 단순한 문자 메시지에서 벗어나 동영상, 사진, 음악 파일 등을 부가하여 전송할 수 있는 메시지를 말할 수 있다. 또한, 패킷기반 메시지는 데이터망을 이용하여 패킷 교환 방식을 통해 전송되는 메시지로 MMS와 마찬가지로 동영상, 사진, 음악파일 등의 파일 첨부가 가능하며, 사용자간 대화형식의 메시지 교환도 가능한 메시지를 말할 수 있다.
하지만, 최근에는 다수의 기업 혹은 불특정 개인이 위와 같은 SMS/MMS 메시지 기능 등을 이용하여 기업의 공지, 홍보, 광고 등에 이용하고 있어서 사용자는 불필요한 수많은 메시지의 수신으로 인한 공해를 느끼는 등의 불편함이 있으며, 또한, 비정상적인 기업으로부터의 사행성 광고 메시지, 음란 메시지 등과 같은 스팸 메시지로 인해 불편함을 겪는 문제점이 있었다.
또한, 위와 같이 기업, 개인 등의 메시지 전송 주체로부터 공지, 홍보, 광고의 타겟이 되는 다수의 사용자 단말로 전송되는 SMS, MMS 또는 패킷기반 메시지 등의 메시지 중에는 메시지내 악성 URL을 삽입하여 악의적인 목적을 실현하는 스팸(스미싱) 메시지도 존재할 수 있다.
이때, 위와 같은 악성 URL이 포함된 메시지는 해당 메시지를 수신한 사용자가 URL을 클릭하는 경우 악성 코드를 포함하는 어플리케이션이 설치되도록 하거나 해외의 스미싱 업체로 연결되도록 하는 등으로 사용자에게 피해를 발생시킬 수 있다.
따라서, 사용자 단말 등으로 전송되는 메시지 중 악성 URL이 포함된 메시지에 대해서는 메시지의 전송이 차단되도록 하거나, 메시지가 사용자 단말로 전송되는 경우 메시지내 포함된 URL의 위험성이 경고되도록 함으로써, 악성 URL에 의한 피해를 줄일 수 있도록 하는 기술 개발이 필요하다.
한편, 위와 같은 악성 URL에 의한 피해를 방지하기 위한 종래의 방법으로는 예를 들어 스팸 필터링 시스템이나 SMSC(short message service center)에서 악성 어플리케이션의 설치를 유도하는 등의 비정상 메시지에 대해 패턴(pattern)으로 필터링(filtering)하는 방법이 이용되고 있으나, 악성 어플리케이션 설치를 유도하는 메시지를 필터링할 수 있는 패턴이 매우 제한적이고 사후에 해당 메시지에 대한 신고를 받고 분석하여 등록하는 방식이어서 필터링 성능이 떨어지는 문제점이 있다.
또한, 백신 개발사에서 주로 제안하고 있는 방식으로 시험용 단말기를 여러 대 확보하고 개인 정보를 의도적으로 유출한 후, 악성 어플리케이션 전파를 시도하는 문제의 메시지를 수집하여 메시지 전문을 확보하는 방법이 사용되고 있으나, 사용자의 개인 정보를 타겟으로 하는 변종 악성 어플리케이션이 1주일에도 최소 수백여종 이상이 발견되는 상황에서 백신 개발사에서 진행하는 방법 또한 성능이 제한적이며 확보할 수 있는 악성 어플리케이션 수가 제한적인 문제점이 있다.
따라서, 본 발명에서는 메시지의 검사에 있어서, 다수의 기업 혹은 불특정 개인 등의 메시지 제공자로부터 사용자 단말로 발송되는 다양한 메시지에 대해서 사용자 단말로 전송하기 전에 해당 메시지의 정상 여부를 검사하고, 메시지의 정상여부에 대한 추가 정보를 해당 메시지에 삽입하여 전송함으로써, 악성 URL을 포함하거나 인증되지 않은 메시지 제공자로부터의 불필요한 메시지가 사용자 단말에서 정상메시지와 구별될 수 있게 되어 비정상 메시지로 인한 피해를 방지시킬 수 있도록 하는 메시지 검사장치, 사용자 단말 및 방법을 제공하고자 한다.
상술한 본 발명은 메시지를 수신하면, 상기 메시지 내에 URL(uniform resource locator)이 포함되어 있는지 여부를 검사하고, 상기 URL을 추출하는 URL 추출부와, 상기 URL을 통해 어플리케이션을 다운로드 받는 통신부와, 상기 통신부를 통해 다운로드된 상기 어플리케이션내에 보안상 위험성을 가지는 권한 또는 API가 포함되어 있는지 여부를 검사하여 상기 URL의 악성여부를 판단하는 권한/API 검증부를 포함한다.
또한, 상기 메시지 검사장치는, 악성으로 판단된 URL 리스트 정보를 필터링 정보로 저장하고, 상기 통신부에서 상기 어플리케이션을 다운로드 받기 전에 상기 추출된 URL이 상기 필터링 정보에 존재하는지 여부를 검사하여 상기 추출된 URL이 상기 필터링 정보에 존재하는 경우 상기 URL을 차단하는 사전 필터링부를 더 포함하는 것을 특징으로 한다.
또한, 상기 메시지 검사장치는, 악성 어플리케이션을 유포하는 사이트를 포함하여 유해 사이트로 판단된 URL에 사용자 단말이 접속하는 경우 상기 접속을 차단하는 유해 사이트 차단 및 안내 시스템으로 악성으로 판단된 URL을 제공하는 것을 특징으로 한다.
또한, 상기 메시지 검사장치는, 상기 URL이 악성으로 판단되는 경우, 상기 URL이 악성임을 표시하는 URL 검증 정보를 생성하고, 상기 URL 검증 정보가 상기 메시지에 포함되도록 가공하는 가공부를 더 포함하는 것을 특징으로 한다.
또한, 상기 메시지 검사장치는, 상기 통신부를 통해 다운로드된 상기 어플리케이션을 애뮬레이터 상에서 실행시킨 후, 상기 실행 결과를 분석하여 악성 여부를 판단하는 동적 분석부를 더 포함하는 것을 특징으로 한다.
또한, 상기 권한/API 검증부는, 상기 통신부를 통해 다운로드된 상기 어플리케이션의 실행파일을 분석하여 상기 어플리케이션에 부여된 권한 정보 중 보안상 위험성을 가지는 권한이 존재하는지를 검사하여 상기 URL의 악성여부를 판단하거나, 또는 상기 어플리케이션의 실행 파일을 디컴파일하여 상기 권한을 수행하기 위한 API가 실행되는지 여부를 검사하여 상기 URL의 악성여부를 판단하는 것을 특징으로 한다.
또한, 본 발명은 메시지 검사방법으로서, 메시지를 수신하면, 상기 메시지 내에 URL이 포함되어 있는지 여부를 검사하고, 상기 URL을 추출하는 URL 추출 단계와, 상기 URL을 통해 어플리케이션을 다운로드 받는 다운로드 단계와, 상기 다운로드된 어플리케이션 내에 보안상 위험성을 가지는 권한 또는 API가 포함되어 있는지 여부를 검사하여 상기 URL의 악성여부를 판단하는 권한/API 검증단계를 포함한다.
또한, 상기 URL이 악성으로 판단되는 경우, 상기 URL이 악성임을 표시하는 URL 검증 정보를 생성하고, 상기 URL 검증 정보가 상기 메시지에 포함되도록 가공하는 메시지 가공단계를 더 포함하는 것을 특징으로 한다.
또한, 다운로드된 상기 어플리케이션을 애뮬레이터 상에서 실행시킨 후, 상기 실행결과를 분석하여 악성 여부를 판단하는 동적분석단계를 더 포함하는 것을 특징으로 한다.
또한, 상기 권한/API 검증단계는, 다운로드된 상기 어플리케이션의 실행파일을 분석하여 상기 어플리케이션에 부여된 권한 정보 중 보안상 위험성을 가지는 권한이 존재하는지를 검사하는 단계와, 상기 권한의 검사 후, 상기 어플리케이션의 실행 파일을 디컴파일하여 상기 권한을 수행하기 위한 API가 실행되는지 여부를 검사하는 단계를 포함하는 것을 특징으로 한다.
또한, 본 발명은 메시지 검사장치로서, 임의의 메시지 제공자로부터 발송 요청된 메시지를 수신하는 통신부와, 상기 메시지가 정상 메시지인지 여부를 검사하는 인증부와, 상기 검사 결과에 따라 상기 메시지에 상기 메시지의 정상 여부를 알리는 정보를 포함시키는 가공부를 포함한다.
또한, 상기 인증부는, 상기 메시지 제공자의 인증 식별자 정보를 추출하고, 추출된 상기 인증 식별자 정보가 정당한 메시지 제공자에게 미리 할당된 인증 식별자 정보인지 여부를 검사하여 상기 메시지가 정상 메시지인지 여부를 판단하는 것을 특징으로 한다.
또한, 상기 인증부는, 상기 메시지내 URL이 포함된 경우에는 상기 URL의 위험성을 검사하고, 상기 URL을 통해 연결되는 서버의 위치가 해외이거나, 상기 URL이 클릭될 때 특정 어플리케이션이 설치되도록 유도되는 경우 상기 메시지가 비정상 메시지인 것으로 판단하는 것을 특징으로 한다.
또한, 상기 가공부는, 상기 메시지의 정상 여부를 알리는 정보를 상기 메시지가 전송 요청된 사용자 단말의 단말 정보를 기반으로 기설정된 암호화 알고리즘으로 암호화하여 상기 메시지에 포함시키는 것을 특징으로 한다.
또한, 상기 가공부는, 상기 메시지의 정상 여부를 알리는 정보를 상기 메시지의 포맷 상 PID 필드 또는 상기 메시지의 포맷 상 헤더 또는 데이터 영역에 기록하는 것을 특징으로 한다.
또한, 본 발명은 메시지 검사방법으로서, 임의의 메시지 제공자로부터 발송 요청된 메시지를 수신하는 단계와, 상기 메시지가 정상 메시지인지 여부를 검사하는 단계와, 상기 검사 결과에 따라 상기 메시지에 상기 메시지의 정상 여부를 알리는 정보를 포함시키는 단계를 포함한다.
또한, 상기 검사하는 단계는, 상기 메시지 제공자의 인증 식별자 정보를 추출하는 단계와, 상기 추출된 상기 인증 식별자 정보가 정당한 메시지 제공자에게 미리 할당된 인증 식별자 정보인지 여부를 검사하는 단계와, 상기 추출된 인증 식별자 정보가 상기 정당한 메시지 제공자에게 할당된 인증 식별자 정보로 확인되는 경우 상기 메시지를 정상 메시지로 판단하는 단계를 포함하는 것을 특징으로 한다.
또한, 상기 검사하는 단계는, 상기 메시지내 URL이 포함된 경우에는 상기 URL의 위험성을 검사하는 단계와, 상기 검사결과, 상기 URL을 통해 연결되는 서버의 위치가 해외이거나, 상기 URL이 클릭될 때 특정 어플리케이션이 설치되도록 유도되는 경우 상기 메시지가 비정상 메시지인 것으로 판단하는 단계를 포함하는 것을 특징으로 한다.
또한, 본 발명은 사용자 단말로서, 통신망을 통해 메시지를 수신하는 통신부와, 상기 메시지에 포함된 상기 메시지의 정상 여부를 알리는 정보를 추출하여 상기 메시지의 정상 또는 비정상 여부를 검사하는 인증부와, 상기 검사 결과에 따라 상기 메시지가 정상 메시지인지 또는 비정상 메시지인지 여부를 알리는 제어부를 포함한다.
또한, 상기 제어부는, 상기 정보가 포함되어 수신된 메시지에 대해서는, 상기 인증부의 검사 결과에 기반하여 상기 메시지가 정상 메시지인지 또는 비정상 메시지인지에 대한 정보를 사용자 단말의 화면 상의 기설정된 문자 또는 그림으로 표시시키거나 소리로 출력시키는 것을 특징으로 한다.
본 발명에 따르면, 메시지를 검사하는 방법에 있어서, 사용자 단말로 발송되는 다양한 메시지에 대해서 사용자 단말로 전송하기 전에 해당 메시지의 정상 여부를 검사하고, 메시지의 정상여부에 대한 추가 정보를 해당 메시지에 삽입하여 전송함으로써, 악성 URL을 포함하거나 인증되지 않은 메시지 제공자로부터의 불필요한 메시지가 정상메시지와 구별될 수 있게 되어 비정상 메시지로 인한 피해를 방지시킬 수 있는 이점이 있다.
또한, 메시지를 검사하는 방법에 있어서, URL이 포함된 메시지에 대해서는 URL이 악성 어플리케이션의 설치를 유도하는 악성 URL인지 여부를 검사하고, 악성 URL인 경우 해당 URL이 포함된 메시지를 비정상 메시지로 판단하여 사용자 단말로 전송되지 않도록 차단시키거나, URL의 위험성을 경고함으로써 악성 URL로 인한 피해가 방지되도록 하는 이점이 있다.
또한, 악성 URL을 포함한 메시지에 대해 사용자 단말로 전송되기 전 메시지 전송서버에서 미리 필터링을 통해 차단시킴으로써 메시지를 통해 전파되는 악성 어플리케이션에 대한 원천적이고 선제적으로 차단할 수 있는 이점이 있다.
또한, 악성 URL을 통해 다운로드되는 어플리케이션에 대한 악성 여부를 통신사 자체적으로 검사할 수 있는 모델을 제시함으로써 백신 엔진을 제공하는 백신 제공 회사에 비하여 악성 어플리케이션 샘플 수집에 더 유리하게 되어, 악성 어플리케이션 대응에 있어서 통신사의 독자적인 사업 모델을 창출할 수 있는 이점이 있다.
또한, SMS, MMS 등의 메시지 외에 메신저 등과 같이 통신망상 다른 경로를 통해 사용자 단말로 전송되는 메시지에 대해서는 해당 메시지내 포함된 URL의 악성 여부를 검사한 후, 악성 URL로 검사된 URL의 정보를 유해사이트 차단 및 안내 시스템에 제공함으로써, 사용자가 메시지내 포함된 악성 URL을 클릭하더라도 유해사이트 차단 및 안내 시스템에 의해 해당 URL로의 접속이 차단되거나 경고되도록 하여 피해가 방지되도록 하는 이점이 있다.
도 1은 본 발명의 실시예가 적용되는 메시지 검사장치를 포함하는 메시지 전송을 위한 통신망의 구성도,
도 2는 본 발명의 실시예에 따른 메시지 검사장치의 상세 블록 구성도,
도 3은 본 발명의 실시예에 따른 사용자 단말의 상세 블록 구성도,
도 4는 본 발명의 실시예에 따른 악성 URL로 인한 접속 차단 안내 메시지 표시 예시도,
도 5는 본 발명의 실시예에 따른 메시지 검사장치에서 URL 분석을 통한 비정상 메시지 검사 동작 제어 흐름도,
도 6은 본 발명의 실시예에 따른 메시지 검사장치에서 메신저를 통해 전송되는 메시지의 비정상 메시지 검사 동작 제어 흐름도,
도 7은 본 발명의 다른 실시예가 적용되는 메시지 검사장치를 포함하는 메시지 전송을 위한 통신망 구성도,
도 8은 본 발명의 다른 실시예에 따른 메시지 검사장치의 상세 블록 구성도,
도 9는 본 발명의 다른 실시예에 따른 사용자 단말의 상세 블록 구성도,
도 10 내지 도 12는 본 발명의 다른 실시예에 따른 메시지 내용 요약창에 인증된 메시지의 구분 표시 예시도,
도 13은 본 발명의 다른 실시예에 따른 메시지 내용 요약창 상 URL 위험성 표시 예시도,
도 14는 본 발명의 다른 실시예에 따른 메시지 검사장치에서 메시지 인증을 위한 동작 제어 흐름도,
도 15는 본 발명의 다른 실시예에 따른 메시지 검사장치에서 메시지의 URL 위험성 표시를 위한 동작 제어 흐름도,
도 16은 본 발명의 다른 실시예에 따른 메시지 검사장치에서 메신저 등을 통해 전송되는 메시지 중 위험성이 있는 URL 정보를 알리는 동작 제어 흐름도,
도 17은 본 발명의 다른 실시예에 따른 사용자 단말에서 정상 메시지를 구분하여 표시시키는 동작 제어 흐름도,
도 18은 본 발명의 다른 실시예에 따른 사용자 단말에서 비정상 메시지를 구분하여 표시시키는 동작 제어 흐름도,
이하, 첨부된 도면을 참조하여 본 발명의 동작 원리를 상세히 설명한다. 하기에서 본 발명을 설명함에 있어서 공지 기능 또는 구성에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우에는 그 상세한 설명을 생략할 것이다. 그리고 후술되는 용어들은 본 발명에서의 기능을 고려하여 정의된 용어들로서 이는 사용자, 운용자의 의도 또는 관례 등에 따라 달라질 수 있다. 그러므로 그 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 할 것이다.
도 1은 본 발명의 실시예가 적용되는 메시지 검사장치를 포함하는 메시지 전송을 위한 통신망의 구성을 도시한 것이다.
이하, 도 1을 참조하여, 메시지 전송을 위한 통신망상 각 구성요소에서의 동작을 상세히 설명하기로 한다.
먼저, 메시지 제공자(message provider)(100)는 이동통신망을 포함하는 유/무선 통신망 등에 연결된 사용자 단말(user terminal)(150)에 SMS(short message service), MMS(multimedia message service) 메시지 또는 패킷기반 메시지 등의 메시지를 발송하는 주체를 의미한다. 이때, 위와 같은 사용자 단말(150)은 예를 들어 휴대폰, 스마트폰(smart phone) 등의 이동통신 단말기 또는 메시지 수신이 가능한 표시창을 구비한 일반 유/무선 전화기 등을 포함할 수 있고, 위와 같은 메시지는 MMS 메시지, SMS 메시지 또는 패킷망을 이용하는 다양한 메신저(messenger)를 통해 전송되는 패킷기반 메시지 등이 될 수 있다.
또한, 이러한 메시지 제공자(100)는 예를 들어 금융업체, 제조업체, 오픈 마켓 등의 기업 혹은 불특정 개인 등이 될 수 있으며, 메시지 제공자(100)에 의해 발송되는 메시지는 예를 들어 해당 기업과 관련하여 사용자에게 공지, 홍보 또는 광고하고자 하는 내용의 메시지가 될 수 있다.
메시지 중계자(102)는 메시지 제공자(100)가 되는 금융업체, 제조업체, 오픈 마켓 등의 기업 혹은 불특정 개인 등에서 타겟(target)이 되는 사용자의 사용자 단말(150)로의 메시지 발송 요청을 수신하여 발송 요청에 대응되는 내용의 메시지를 생성하고, 이와 같이 생성한 메시지를 통신망상 메시지 전송서버(110)로 전송한다. 즉, 메시지 중계자(102)는 메시지 제공자(100)로부터 전송할 메시지의 내용 등과 같은 데이터와 해당 메시지가 전송되어야 하는 타겟 사용자의 사용자 단말(150)의 전화번호(Mobile Identification Number: MIN) 등의 정보를 제공받아 메시지를 구성하고, 이를 통신망상 메시지 전송서버(150)로 전송한다.
메시지 전송서버(110)는 메시지 제공자(100)로부터 발송된 메시지를 발송 요청된 사용자 단말(150)로 전송하는 서버로써, SMSC(112), MMSC(114) 등의 될 수 있으며, 메시지를 사용자 단말(150)로 전송한다.
패킷기반 메시지 서버(160)는 패킷망을 통해 사용자 단말(150)로 패킷기반 메시지를 전송하는 서버로 메신저에서 운용하는 서버일 수 있다.
한편, 위와 같이 기업 혹은 불특정 개인 등의 메시지 전송 주체로부터 다수의 타겟 사용자의 사용자 단말(150)로 전송되는 메시지 중 악성 URL을 포함하는 메시지는 메시지내 포함된 악성 URL이 클릭되는 경우 악성 코드를 포함하는 어플리케이션이 설치되도록 하거나 해외의 스미싱 서버로 연결되도록 함으로써, 피해를 발생시키는 문제점이 있었음은 전술한 바와 같다.
따라서, 본 발명에서는 메시지 전송서버(110)에서 URL이 포함된 메시지에 대해서는 해당 메시지를 전송 요청된 사용자 단말(150)로 전송하기 전에, 해당 메시지에 포함된 URL이 악성인지 여부를 검사하는 메시지 검사장치(130)로 악성 URL 여부를 판단하도록 한 후, 악성 URL을 포함한 비정상 메시지에 대해서는 사용자 단말(150)로 전송되는 것을 차단시키거나 위험성이 있는 메시지임을 알리는 경고정보가 표시되도록 함으로써 비정상 메시지에 의한 피해가 방지될 수 있도록 한다.
즉, 메시지 검사장치(130)는 예를 들어 도 1에서 보여지는 바와 같이 SMSC(112), MMSC(114) 등의 메시지 전송서버(110)와 연결되어 SMSC(112) 등으로 메시지가 수신되는 경우, SMSC(112)로부터 해당 메시지를 전달받아 메시지에 포함된 URL이 정상 URL인지 또는 악성 의도를 가지는 악성 URL인지 여부를 판단함으로써 사용자 단말(150)로 전송 요청된 메시지가 비정상 메시지인지 여부를 판단하게 된다.
또한, 메시지 검사장치(130)는 다양한 메신저에서 운용하는 패킷기반 메시지 서버(160)와 연결되어 패킷기반 메시지내 포함된 URL의 악성 여부를 검사하고, 악성 URL로 검사되는 경우, 해당 URL의 정보를 유해사이트 차단 및 안내 시스템(140)으로 전송하여 유해사이트 차단 및 안내 시스템(140)에서 관리하는 유해한 사이트 리스트에 등록되도록 한다. 이에 따라 사용자가 해당 URL을 클릭하는 경우 유해사이트 차단 및 안내 시스템(140)에 의해 해당 URL로의 접속이 차단되거나, 해당 URL의 위험성이 경고되도록 하여 악성 URL에 의한 피해가 방지될 수 있도록 한다.
이하, 메시지 검사장치(130)에서 악성 URL을 검사하는 동작을 보다 상세히 설명하기로 한다.
먼저, 메시지 검사장치(130)는 메시지내 포함된 URL 정보를 추출한 후, 악성 URL 리스트(list)와의 비교를 통한 사전 필터링을 통해 메시지로부터 추출된 URL이 악성 URL인지 여부를 판단하고, 악성 URL로 판단하는 경우 이와 같은 판단 정보를 메시지 전송 서버(110)로 제공하여 해당 메시지가 사용자 단말(150)로 전송되지 않도록 하거나, URL의 위험성이 경고되도록 한다. 또한, 패킷기반 메시지 내에 포함된 악성 URL에 대해서는 유해사이트 차단 및 안내 시스템(140)으로 해당 악성 URL의 정보를 전송하여 해당 URL의 접속이 차단되거나 경고될 수 있도록 한다.
이때, 위와 같은 악성 URL 리스트는 메시지 검사장치(130)에서 이전에 검사가 진행되어 악성 URL로 판단된 URL들의 리스트 정보를 말하는 것으로, 이러한 악성 URL 리스트는 메시지 검사장치(130)에 구비될 수 있으며, 메시지 검사장치(130)에 의해 URL 검사가 수행되는 과정에서 악성 URL로 판단된 URL 정보가 주기적으로 업데이트(update)될 수 있다.
다음으로, 메시지 검사장치(130)는 위와 같은 사전 필터링을 통해 악성 URL인지 여부가 정확히 판단되지 않는 URL에 대해서는 백신 검사, 권한/API 검사, 동적 분석 등을 통해 악성 URL인지 여부를 판단할 수 있다.
이때, 위와 같은 백신 검사, 권한/API 검사, 동적 분석 등을 통한 악성 URL 여부 판단 방법에 있어서, 메시지 검사장치(130)는 사전 필터링을 통해 악성 URL인지 여부가 판단되지 않은 URL에 대해서는 유무선 통신망을 통해 URL 주소로 링크되는 웹서버(도시하지 않음) 등에 접속하고, 해당 URL로의 접속에 따라 다운로드되는 어플리케이션(application)의 악성 여부 검사를 통해 URL의 악성 여부를 판단하게 된다.
좀더 자세히 설명하면 먼저, 메시지 검사장치(130)는 다운로드된 어플리케이션에 대해 이전에 검사된 어플리케이션의 시그니처(signiture) 정보와 비교하여 동일한 어플리케이션인지 여부를 검사함으로써 해당 어플리케이션의 악성 여부를 검사할 수 있다. 이때, 메시지 검사장치(130)는 위와 같은 시그니처 정보와의 비교를 통해 어플리케이션이 악성 어플리케이션으로 검사된 경우 해당 URL을 악성 URL로 판단하고, 정상 어플리케이션으로 검사된 경우 해당 URL을 정상 URL로 판단할 수 있다. 또한 이때, 위와 같은 시그니처 정보는 예를 들어 SHA-256, MD5 등의 해쉬코드 정보일 수 있다.
다음으로, 메시지 검사장치(130)는 다운로드된 어플리케이션이 이전에 검사된 적이 없는 어플리케이션인 경우, 미리 구비하고 있는 백신 엔진을 이용하여 악성 어플리케이션인지 여부를 검사한다. 위와 같은 백신 엔진은 예를 들어 백신을 개발하는 회사로부터 제공된 상용 백신 엔진일 수 있으며, 메시지 검사장치(130)는 다운로드된 어플리케이션이 악성 어플리케이션으로 검사된 경우 해당 URL을 악성 URL로 판단한다. 그러나, 위와 같은 백신 엔진을 이용한 어플리케이션의 악성 여부 검사는 백신 엔진에 포함되지 않는 변종 패턴을 가지는 어플리케이션에 대해서는 정확한 검사가 이루어지지 않을 수도 있다.
따라서, 백신엔진을 통해 악성 어플리케이션으로 판단되지 않은 어플리케이션에 대해서 메시지 검사장치(130)는 다시 권한/API 검사, 동적 분석 등을 추가로 수행하게 된다.
즉, 메시지 검사장치(130)는 백신엔진을 통해 악성 어플리케이션 여부가 검사되지 않은 어플리케이션에 대해 해당 어플리케이션의 실행 파일을 분석하여 어플리케이션이 가지고 있는 권한 정보를 검사한다.
이러한 권한 정보는 어플리케이션이 사용자 단말(150) 등에 설치될 때 사용자 단말(150)에서 수행할 수 있는 권한에 대한 정보를 기록한 것으로, 악성 어플리케이션인 경우 예를 들어 "메시지 읽기", "통화내용 가로채기" 등의 사용자의 개인 정보를 유출할 수 있는 보안상 위험한 권한이 설정되어 있을 수 있다. 또한 이때, 이러한 권한 정보는 어플리케이션이 안드로이드 OS(operating system)를 기반으로 작성된 경우는 예를 들어 AndroidManifest.xml 파일 등에 기록될 수 있다.
따라서, 메시지 검사장치(130)는 권한 검사를 통해 다운로드된 어플리케이션에 보안상 위험한 권한이 있는 것으로 검사되는 경우 해당 URL을 악성 URL로 판단할 수 있다. 이때, 악성 URL로 판단할 수 있는 권한은 정책에 따라 변경 설정될 수 있다.
또한, 메시지 검사장치(130)는 악성 URL로 판단될 수 있는 보안상 위험한 권한을 가지고 있는 어플리케이션에 대해서는 API 검사를 통해 해당 어플리케이션의 실행파일을 디컴파일(decompile)한 후, 권한이 수행되기 위한 API가 실제로 호출되도록 작성된 것을 확인하는 경우 해당 URL을 악성 URL로 판단할 수 있다.
또한, 메시지 검사장치(130)는 위와 같은 권한/API 검사와 더불어 추가적으로 보다 확실한 악성 여부 검사 방법으로써 해당 어플리케이션을 애뮬레이터(emulator)상에서 실제 실행시켜 분석하는 동적 분석을 수행하여 악성 여부를 검사할 수 있으며, 애뮬레이터상에서 실제 실행된 어플리케이션의 행위 분석 결과 악성 행위를 수행하는 것으로 검사되는 경우 해당 URL을 악성 URL로 판단할 수 있다.
이어, 메시지 검사장치(130)는 위와 같이 설명된 방법을 통해 사용자 단말(150)로 전송 요청된 메시지내 포함된 URL이 악성 URL로 판단된 경우, 해당 메시지가 비정상 메시지임을 메시지 전송서버(110)로 통보하여, 비정상 메시지가 사용자 단말(150)로 전송되는 것이 차단되도록 하거나, 메시지가 전송되는 경우에는 해당 메시지가 악성 URL을 포함하고 있는 위험성 있는 메시지임을 알리는 경고정보가 표시되도록 함으로써 비정상 메시지에 의한 피해가 방지될 수 있도록 한다.
또한, 메시지 검사장치(130)는 위와 같은 악성 어플리케이션을 다운로드하도록 유도하는 악성 URL이 SMS, MMS 등의 메시지 외에 패킷기반 메시지 서버(160)를 이용하는 메신저 등과 같이 통신망상 다른 경로를 통해 사용자 단말(150)로 전송되는 경우를 대비하여 악성 URL로 판단된 URL 정보를 통신망상 유해사이트 차단 및 안내 시스템(140)에 제공하고, 이를 주기적으로 업데이트할 수 있다.
유해사이트 차단 및 안내 시스템(140)은 사용자 단말(150)에 피해를 줄 수 있는 악성 어플리케이션을 배포하는 등의 유해한 사이트에 대한 정보를 구비하여 사용자 단말(150)이 해당 유해 사이트로 접속하려고 하는 경우 이를 차단시키고 위험성에 대한 안내페이지를 제공할 수 있는 시스템이다.
따라서, 메시지 검사장치(130)에서 이러한 유해사이트 차단 및 안내 시스템(140)에 악성 URL에 대한 정보를 제공하고, 주기적으로 업데이트시킴에 따라 악성 URL이 SMS, MMS 등의 메시지 외에 통신망상 다른 경로(예를 들면, 메신저 등의 문자 메시징 어플리케이션 등)를 통해 사용자 단말(150)로 전송되어, 악성 URL이 포함된 메시지를 사전에 차단시키거나 경고하지 못한 경우라도, 악성 URL 정보를 가지고 있는 유해사이트 차단 및 안내 시스템(140)에 의해 사용자 단말(150)이 해당 악성 URL로 접속하는 것을 차단시킬 수 있게 된다.
이때, 유해사이트 차단 및 안내 시스템(140)은 메시지 검사장치(130)에서 제공된 악성 URL 정보를 이용하여 사용자 단말(150)의 해당 URL로의 접속을 차단시키는 경우에는 도 4에서 보여지는 바와 같은 차단 안내 메시지를 사용자 단말(150)로 전송하여 사용자가 인지할 수 있도록 할 수도 있다.
한편, 위 설명한 메시지 검사장치(130)의 설명에서는 메시지 검사장치(130)가 메시지 전송서버(110)에서 직접적으로 메시지를 제공받아 해당 메시지로부터 URL을 추출한 후, 추출된 URL에 대해 악성 URL인지 정상 URL인지 여부를 판단하는 것을 설명하였으나 스팸필터링 서버(120)와의 연동을 통해 위와 같은 동작을 수행하는 것도 가능하다.
이하에서는 스팸필터링 서버(120)와 메시지 검사장치(130)가 연동하여 URL이 포함된 메시지에 대해 비정상 메시지 여부를 판단하는 동작을 상세히 설명하기로 한다.
먼저, 스팸필터링 서버(120)는 메시지 전송서버(110)를 통해 사용자 단말(150)로 전송되는 다양한 형태의 메시지에 대해 기 저장된 필터링 패턴(filtering pattern)과 비교하여 스팸성 메시지인지 여부를 검사하는 서버를 말한다.
따라서, 본 발명의 실시예에서는 스팸필터링 서버(120)에서 위와 같은 스팸 메시지 필터링 기능과 함께 URL이 포함된 메시지에 대해 해당 메시지로부터 URL을 추출하도록 하고, 메시지 검사장치(130)로 해당 URL이 악성 URL인지 여부를 요청하도록 구현할 수 있다. 또한, 메시지 검사장치(130)로부터 해당 URL이 악성 URL로 통보되는 경우 악성 URL을 포함하고 있는 메시지에 대해서는 메시지 전송서버(110)로 메시지가 비정상 메시지임을 통보하도록 하여 해당 메시지가 사용자 단말(150)로 전송되지 않도록 구현할 수 있다.
그러면, 메시지 검사장치(130)는 스팸필터링 서버(120)로부터 URL의 악성 여부 판단을 요청 받는 경우에는 앞서 설명한 방식과 동일하게 해당 URL이 악성 URL인지 정상 URL인지 여부를 판단하고, 결과를 스팸필터링 서버(120)로 제공하게 된다.
또한, 스팸필터링 서버(120)는 메시지 검사장치(130)로부터 악성 URL로 판단된 URL에 대해서는 해당 URL의 리스트 정보를 필터링 패턴으로 구비하여 새로이 수신된 메시지내 포함된 URL의 악성 여부 판단 시, 메시지 검사장치(130)로 판단을 요청하기 전에 악성 URL 리스트와 비교하여 악성 여부를 판단할 수도 있다. 이때, 이러한 악성 URL 리스트는 메시지 검사장치(130)와 연동을 통해 주기적으로 업데이트될 수 있다.
도 2는 본 발명의 실시예에 따른 메시지 검사장치의 상세 블록 구성을 도시한 것으로, 통신부(200), URL 추출부(202), 사전 필터링부(204), 백신부(206), 권한/API 검증부(208), 동적 분석부(212), 가공부(214), 메모리부(216), 데이터 베이스(data base)(218), 제어부(220) 등을 포함할 수 있다.
이하, 도 2를 참조하여 본 발명의 메시지 검사장치(130)의 각 구성요소에서의 동작을 상세히 설명하기로 한다.
먼저, 통신부(200)는 SMSC(112), MMSC(114) 등의 메시지 전송서버(110) 또는 패킷기반 메시지 서버(160)와의 데이터 송수신을 수행하고, 인터넷 등의 통신망과 연결되어 통신망상 웹서버(web server), 유해사이트 차단 및 안내 시스템(140) 등과의 데이터 송수신을 수행한다.
URL 추출부(202)는 사용자 단말(150)로 전송이 요청되는 메시지가 메시지 전송 서버(110)로 수신되거나, 패킷기반 메시지 서버(160)를 통해 수신되는 경우, 메시지내 URL이 포함되어 있는지 검사하고, URL이 포함된 경우 해당 URL을 추출한다.
사전 필터링부(204)는 URL 추출부(202)로부터 추출된 URL에 대해 악성 URL 리스트와의 비교를 통한 사전 필터링을 수행하여 메시지로부터 추출된 URL이 악성 URL인지 여부를 판단하고, 악성 URL로 판단하는 경우 이와 같은 판단 정보를 제어부(220)에 제공한다. 이에 따라 제어부(220)는 악성 URL 판단 정보를 메시지 전송 서버(110)로 제공하여 해당 메시지가 사용자 단말(150)로 전송되지 않도록 한다. 또한, 메신저 등을 통해 전송된 메시지내 포함된 악성 URL에 대해서는 유해사이트 차단 및 안내 시스템(140)으로 악성 URL 정보를 제공하여 사용자 단말(150)이 해당 악성 URL로 접속되지 않도록 한다.
이때, 이러한 악성 URL 리스트는 메시지 검사장치(130)에서 이전에 검사가 진행되어 악성 URL로 판단된 URL들의 리스트 정보를 말하는 것으로, 데이터 베이스(218)에 저장될 수 있으며, 악성 URL 검사 과정에서 악성 URL로 판단된 URL 정보가 주기적으로 업데이트될 수 있다.
백신 엔진부(206)는 URL의 접속을 통해 다운로드된 어플리케이션에 대해 미리 구비하고 있는 백신 엔진을 이용하여 악성 어플리케이션인지 여부를 검사하고, 검사결과를 제어부(220)에 제공한다. 위와 같은 백신 엔진은 예를 들어 백신을 개발하는 회사로부터 제공된 상용 백신 엔진일 수 있다.
권한/API 검증부(208)는 어플리케이션의 실행 파일을 분석하여 어플리케이션이 가지고 있는 권한 정보를 검사하여 보안상 위험한 권한이 설정되어 있는 경우, 악성 URL로 판단하고 이와 같은 판단 결과를 제어부(220)에 제공한다. 이러한 권한 정보는 어플리케이션이 사용자 단말(150) 등에 설치될 때 사용자 단말(150)에서 수행할 수 있는 권한에 대한 정보를 기록한 것으로, 악성 어플리케이션인 경우 예를 들어 "메시지 읽기", "통화내용 가로채기" 등의 사용자의 개인 정보를 유출할 수 있는 보안상 위험한 권한이 설정되어 있을 수 있다.
또한, 권한/API 검증부(208)는 위와 같은 권한 검사와 더불어 어플리케이션의 실행파일을 디컴파일하여 분석한 후, 보안상 위험한 권한이 수행되기 위한 API가 실제로 호출되도록 실행파일이 작성되어 있는지 여부를 검사하여 악성 URL 여부를 판단할 수도 있다. 즉, 예를 들어 권한/API 검증부(208)는 API가 실제로 호출되도록 실행파일이 작성된 경우는 악성 URL로 판단할 수 있고, 아닌 경우는 정상 URL로 판단할 수도 있다.
동적 분석부(212)는 어플리케이션을 애뮬레이터(emulator)상에서 실제 실행시켜 분석하는 동적 분석을 수행하여 악성 여부를 검사할 수 있다. 즉, 동적 분석부(212)는 어플리케이션을 애뮬레이터상에서 실제 실행시키고, 실행된 어플리케이션의 행위를 분석하여 악성 행위를 수행하는 것으로 검사되는 경우, 악성 URL로 판단하고, 이와 같은 판단 결과를 제어부(220)에 제공한다.
가공부(214)는 위와 같이 URL 분석을 통해 메시지내 포함된 URL이 악성 URL로 확인되는 경우, 악성 URL임을 알리는 URL 검증 정보를 생성하고, 이와 같이 생성한 URL 검증정보가 메시지내 포함되도록 가공한다. 이때, 가공부(214)는 URL 검증 정보를 메시지에 포함시킴에 있어서, 예를 들어 메시지의 헤더(header)나 데이터 영역(data area)의 일정 영역에 부가할 수 있다. 이와 같은 경우 이동통신 단말기 등의 사용자 단말(150)에서는 메시지상 미리 약속된 영역에서 URL 검증 정보를 읽어 들여 메시지의 정상 여부를 확인하고, 메시지내 포함된 URL의 악성 여부를 메시지와 함께 표시시켜 사용자가 URL의 위험성을 사전에 인지할 수 있도록 한다.
메모리부(216)는 메시지 검사장치(130)의 전반적인 동작을 위한 동작 제어 프로그램을 저장하고 있으며, 제어부(220)는 메모리부(216)에 저장된 동작 제어 프로그램에 따라 메시지 검사장치(130)의 전반적인 동작을 제어한다.
이하, 동작을 보다 상세히 살펴보면, 먼저 제어부(220)는 URL에 대해 사전 필터링부(204)를 통해 악성 URL 리스트와의 비교를 통한 사전 필터링을 수행하여 악성 URL인지 여부를 판단하고, 악성 URL로 판단하는 경우 이와 같은 판단 정보를 메시지 전송 서버(110)로 제공하여 해당 메시지가 사용자 단말(150)로 전송되지 않도록 한다. 또한, 제어부(220)는 메신저 등을 통해 전송된 악성 URL에 대해서는 유해사이트 차단 및 안내 시스템(140)으로 악성 URL 정보를 제공하여 사용자 단말(150)이 해당 악성 URL로 접속되지 않도록 한다.
이때, 위와 같은 악성 URL 리스트는 메시지 검사장치(130)에서 이전에 검사가 진행되어 악성 URL로 판단된 URL들의 리스트 정보를 말할 수 있으며, 검사 과정에서 악성 URL로 판단된 URL 정보가 주기적으로 업데이트될 수 있다.
다음으로, 제어부(220)는 위와 같은 사전 필터링을 통해 악성 URL인지 여부가 정확히 판단되지 않은 URL에 대해서는 백신 엔진부(206)를 통한 백신 검사, 권한/API 검증부(208)를 통한 권한/API 검사, 동적 분석부(212)를 통한 동적 분석 등을 통해 악성 URL인지 여부를 판단하게 된다.
이때, 위와 같은 백신 검사, 권한/API 검사, 동적 분석 등을 통한 악성 URL 여부 판단 방법에 있어서, 제어부(220)는 먼저 통신망을 통해 해당 URL로 접속하고, 해당 URL로의 접속에 따라 다운로드되는 어플리케이션의 악성 여부 검사를 통해 URL의 악성 여부를 판단할 수 있다.
먼저, 제어부(220)는 어플리케이션에 대해 이전에 검사된 어플리케이션의 시그니처 정보와 비교를 수행하고, 비교결과 해당 어플리케이션이 악성 어플리케이션으로 검사된 경우 해당 URL을 악성 URL로 판단하며, 정상 어플리케이션으로 검사된 경우 해당 URL을 정상 URL로 판단할 수 있다. 이때, 위와 같은 시그니처 정보는 예를 들어 SHA-256, MD5 등의 해쉬코드 정보일 수 있다.
다음으로, 제어부(220)는 다운로드된 어플리케이션이 이전에 검사된 적이 없는 어플리케이션인 경우, 백신 엔진부(206)를 제어하여 백신 엔진부(206)에 구비된 백신 엔진에 의해 악성 어플리케이션인지 여부가 검사되도록 한 후, 악성 어플리케이션으로 검사되는 경우 해당 URL을 악성 URL로 판단할 수 있다.
그러나, 위와 같은 백신 엔진을 이용한 어플리케이션의 악성 여부 검사는 백신 엔진에 포함되지 않는 변종 패턴을 가지는 어플리케이션에 대해서는 정확한 검사가 이루어지지 않을 수도 있다. 따라서, 제어부(220)는 백신엔진을 통해 악성 어플리케이션으로 판단되지 않은 어플리케이션에 대해서는 보다 정확한 판단을 위해 권한/API 검증부(208)를 통한 권한/API 검사, 동적 분석부(212)를 통한 동적 분석 등이 추가로 수행되도록 제어한다.
즉, 제어부(220)는 권한/API 검증부(208)를 통한 권한 검사 결과 어플리케이션에 사용자의 개인 정보를 유출할 수 있는 보안상 위험한 권한이 설정되어 있는 것으로 검사되어 악성 URL로 판단되는 경우 해당 URL을 악성 URL로 판단할 수 있다. 이때, 권한/API 검증부(208)에서 악성 URL로 판단할 수 있는 권한은 정책에 따라 변경 설정될 수 있다. 또한, 권한/API 검증부(208)는 악성 URL로 판단될 수 있는 보안상 위험한 권한을 가지고 있는 어플리케이션에 대해서는 추가적으로 디컴파일 분석을 통해 해당 권한이 수행되기 위한 API가 실제로 호출되는지를 확인하여 악성 URL로 판단할 수 있다. 이와 같은 API 검사를 통한 악성 URL 판단정보 또한 제어부(220)로 제공될 수 있다.
또한, 제어부(220)는 위와 같은 권한/API 검사와 더불어 추가적으로 보다 확실한 악성 여부 검사 방법으로써 동적 분석부(212)를 통해 해당 어플리케이션이 애뮬레이터상에서 실제 실행되도록 한 후, 애뮬레이터상에서 실제 실행된 어플리케이션이 악성 행위를 수행하는 것으로 검사되는 경우 해당 URL을 악성 URL로 판단할 수 있다.
이어, 제어부(220)는 위와 같이 설명된 방법을 통해 사용자 단말(150)로 전송 요청된 메시지내 포함된 URL이 악성 URL로 판단된 경우, 해당 메시지가 비정상 메시지임을 메시지 전송서버(110)로 통보하여, 비정상 메시지가 사용자 단말(150)로 전송되지 않도록 하거나, 메시지가 전송되는 경우에는 해당 메시지가 위험성 있는 악성 URL을 포함하고 있는 메시지임을 알리는 검증정보가 전송되도록 함으로써 비정상 메시지에 의한 피해가 방지될 수 있도록 한다.
또한, 제어부(220)는 위와 같은 악성 어플리케이션을 다운로드하도록 유도하는 악성 URL이 SMS, MMS 등의 메시지 외에 패킷기반 메시지 서버(160)를 이용하는 메신저 등과 같이 통신망상 다른 경로를 통해 사용자 단말(150)로 전송되는 경우를 대비하여 악성 URL로 판단된 URL 정보를 통신부(200)를 통해 통신망상 유해사이트 차단 및 안내 시스템(140)에 제공하고, 이를 주기적으로 업데이트할 수 있다.
한편, 본 발명의 다른 실시예로써, 메시지내 포함된 URL 정보가 스팸필터링 서버(120)를 통해 추출되어 인가되도록 구성되는 경우, 제어부(220)는 앞서 설명한 방식과 동일하게 해당 URL이 악성 URL인지 정상 URL인지 여부를 판단하고, URL의 악성 여부 판단 결과만을 스팸필터링 서버(120)로 제공하도록 할 수도 있다.
이러한 경우에는, 스팸필터링 서버(120)가 악성 URL에 대한 검사결과를 수신하고, 악성 URL인 경우 메시지 전송서버(110)로 메시지가 비정상 메시지임을 통보하여, 비정상 메시지가 사용자 단말(150)로 전송되지 않도록 하거나, 경고될 수 있도록 할 수 있다.
도 3은 본 발명의 실시예에 따른 사용자 단말(150) 중 스마트 폰 등의 이동통신 단말기의 상세 블록 구성을 도시한 것이다. 이하, 도 3을 참조하여 이동통신 단말기 각 블록에서의 동작을 상세히 설명하기로 한다.
먼저, 키입력부(300)는 이동통신 단말기의 다양한 동작 요청을 위한 다수의 숫자키 및 기능키로 구성될 수 있으며, 사용자가 소정의 키를 누를 때 해당하는 키데이터를 발생하여 제어부(306)로 출력한다. 위와 같은 키입력부(300)는 제조사별, 국가별로 문자 배열의 차이가 있다. 또한, 키입력부(300)는 스마트폰(smart phone), 테블릿 PC 등에서는 물리적인 키패드(keypad) 대신, 소프트웨어 방식으로 필요 시마다 표시부(304)상에 터치 스크린(touch screen) 형식으로 표시될 수도 있다.
오디오부(310)는 제어부(306)의 제어를 받아 마이크(MIC)를 통해 입력되는 음성신호를 무선신호로 변조하고, 수신되는 무선신호를 복조하여 스피커(SPK)에 음성신호로서 송출한다. 또한, 오디오부(310)는 음성통화 시 제어부(306)에 의해 설정되는 다양한 음성품질로 음성신호를 처리하는 코덱부(codec)를 더 포함할 수 있다.
통신부(308)는 통신망을 통해 메시지 제공자(100)로부터 발송된 메시지를 수신한다. 이때, 위와 같은 메시지는 메시지 제공자(100)인 금융업체, 제조업체, 오픈 마켓 등의 기업의 요청에 의해 생성된 메시지 등이 될 수 있으며, 기업과 관련된 공지, 홍보, 광고 등의 내용을 포함한 메시지가 될 수 있다.
표시부(304)는 제어부(306)의 제어에 따라 이동통신 단말기의 각종 정보를 표시하며, 키입력부(300)에서 발생되는 키데이터 및 제어부(306)의 각종 정보신호를 입력받아 디스플레이한다. 또한, 본 발명의 실시예에 따라 메시지내 포함된 URL의 위험성을 알리는 정보를 기설정된 마크(mark)나 그림 또는 문자 등으로 표시시킬 수 있다.
URL 검증부(312)는 통신부(308)로부터 수신된 SMS, MMS 메시지 또는 패킷기반 메시지 등의 메시지에 대해 메시지내 포함된 URL에 대한 URL 검증 정보가 존재하는지 여부를 검사하고, URL 검증 정보가 존재하는 경우 해당 URL 검증 정보를 추출하여 제어부(306)로 제공한다.
제어부(306)는 메모리부(302)에 저장된 동작 프로그램에 따라 이동통신 단말기의 전반적인 동작을 제어한다. 위와 같은 동작 프로그램은 이동통신 단말기의 동작에 필요한 기본적인 운영 시스템(operating system) 뿐만 아니라, 표시부(304)와 키입력부(300)를 연결하고, 데이터의 입/출력을 관리하거나, 이동통신 단말기의 내부 어플리케이션(application) 등을 동작시키도록 제조 시 미리 프로그램밍(programing)되는 소프트웨어(software)를 통칭한다.
또한, 본 발명의 실시예에 따라 다양한 SMS, MMS 메시지 또는 패킷기반 메시지 등의 메시지가 수신되는 경우 URL 검증부(312)를 제어하여 URL이 포함된 메시지에 대해서는 URL 검증 정보를 추출하여 메시지내 포함된 URL에 대한 위험성을 메시지의 수신 화면상에 표시시킨다.
이때, 제어부(306)는 예를 들어 메시지의 정상 여부를 알리는 부가정보로 삽입된 URL 검증 정보 등을 이용하여 수신된 메시지내 포함된 URL이 악성 URL인 것을 확인하는 경우, 수신된 메시지가 비정상 메시지임을 알리는 정보를 화면상 문자 또는 그림으로 표시시키거나 소리로 출력시켜 사용자가 메시지의 위험성을 인지하도록 할 수 있다.
도 5는 본 발명의 실시예에 따른 메시지 검사장치(130)에서 사용자 단말(150)로 전송되는 메시지의 비정상 여부를 검사하는 동작 제어 흐름을 도시한 것이다. 이하, 도 1 내지 도 5를 참조하여 본 발명의 실시예를 상세히 설명하기로 한다.
먼저, 메시지 검사장치(130)는 예를 들어 도 1에서 보여지는 바와 같이 SMSC(112), MMSC(114) 등의 메시지 전송서버(110)와 연결되어 SMSC(112) 등으로 메시지가 수신되는 경우, 메시지의 비정상 여부 검사를 위해 SMSC(112)로부터 해당 메시지를 전달받는다(S500).
이어, 메시지 검사장치(130)는 전달받은 메시지로부터 메시지내 포함된 URL을 추출하고(S502), 사전 필터링을 통해 추출된 URL이 악성 URL인지 여부를 검사한다(S504).
이때, 메시지 검사장치(130)는 사전 필터링을 수행함에 있어서, 메시지로부터 추출된 URL을 악성 URL 리스트(list)와의 비교하여(S506), 추출된 URL이 악성 URL 리스트에 존재하는 경우 악성 URL로 판단한다(S526). 이어, 악성 URL로 판단하는 경우 이와 같은 판단 정보를 메시지 전송 서버(110)로 제공하여 해당 메시지가 사용자 단말(150)로 전송되지 않도록 하거나, URL의 위험성이 경고되도록 한다. 이때, 위와 같은 악성 URL 리스트는 메시지 검사장치(130)에서 이전에 검사가 진행되어 악성 URL로 판단된 URL들의 리스트 정보를 말하는 것으로, 이러한 악성 URL 리스트는 메시지 검사장치(130)에 구비될 수 있으며, 악성 URL 검사 과정에서 악성 URL로 판단된 URL 정보가 주기적으로 업데이트(update)될 수 있다.
그러나, 사전 필터링을 통해 악성 URL 여부가 판단되지 않는 경우, 메시지 검사장치(130)는 해당 URL에 대해서는 백신 검사, 권한/API 검사, 동적 분석 등을 통해 악성 URL인지 여부를 판단하게 된다.
즉, 먼저 메시지 검사장치(130)는 사전 필터링을 통해 악성 URL인지 여부가 정확히 판단되지 않는 URL에 대해서는 유무선 통신망을 통해 해당 URL 주소로 링크되는 웹서버(도시하지 않음) 등에 접속하고, 해당 URL로의 접속에 따라 특정 어플리케이션이 다운로드되는 경우 해당 어플리케이션(application)을 다운로드받는다(S508).
이어, 메시지 검사장치(130)는 다운로드된 어플리케이션에 대해 이전에 검사된 어플리케이션의 시그니처(signiture) 정보와 비교하여 동일한 어플리케이션인지 여부를 검사함으로써 해당 어플리케이션의 악성 여부를 검사할 수 있다(S510). 이때, 메시지 검사장치(130)는 위와 같은 시그니처 정보와의 비교를 통해 어플리케이션이 악성 어플리케이션으로 검사된 경우 해당 URL을 악성 URL로 판단하고, 정상 어플리케이션으로 검사된 경우 해당 URL을 정상 URL로 판단할 수 있다. 또한 이때, 위와 같은 시그니처 정보는 예를 들어 SHA-256, MD5 등의 해쉬코드 정보일 수 있다.
다음으로, 메시지 검사장치(130)는 다운로드된 어플리케이션이 이전에 검사된 적이 없는 어플리케이션인 경우, 미리 구비하고 있는 백신 엔진을 이용하여 악성 어플리케이션인지 여부를 검사한다(S512). 위와 같은 백신 엔진은 예를 들어 백신을 개발하는 회사로부터 제공된 상용 백신 엔진일 수 있으며, 메시지 검사장치(130)는 다운로드된 어플리케이션이 악성 어플리케이션으로 검사된 경우(S514) 해당 URL을 악성 URL로 판단할 수 있다(S526).
그러나, 위와 같은 백신 엔진을 이용한 어플리케이션의 악성 여부 검사는 백신 엔진에 포함되지 않는 변종 패턴을 가지는 어플리케이션에 대해서는 정확한 검사가 이루어지지 않을 수도 있다. 따라서, 백신엔진을 통해 악성 어플리케이션으로 판단되지 않은 어플리케이션에 대해서 메시지 검사장치(130)는 다시 권한/API 검사, 동적 분석 등을 추가로 수행하게 된다.
즉, 메시지 검사장치(130)는 백신엔진을 통해 악성 어플리케이션 여부가 검사되지 않은 경우(S514), 해당 어플리케이션의 실행 파일을 분석하여 어플리케이션이 가지고 있는 권한 정보를 검사한다(S514).
이러한 권한 정보는 어플리케이션이 사용자 단말(150) 등에 설치될 때 사용자 단말(150)에서 수행할 수 있는 권한에 대한 정보를 기록한 것으로, 악성 어플리케이션인 경우 예를 들어 "메시지 읽기", "통화내용 가로채기" 등의 사용자의 개인 정보를 유출할 수 있는 보안상 위험한 권한이 설정되어 있을 수 있다.
또한, 메시지 검사장치(130)는 권한 검사를 통해 다운로드된 어플리케이션에 보안상 위험한 권한이 있는 것으로 검사되는 경우, 보안상 위험한 권한을 가지고 있는 어플리케이션에 대해서는 다시 추가적으로 API 검사를 수행할 수 있다(S518). 이러한, API 검사 수행에 있어서 메시지 검사장치(130)는 해당 어플리케이션의 실행파일을 디컴파일(decompile)한 후, 권한이 수행되기 위한 API가 실제로 호출되도록 실행파일이 작성되어 있는지를 검사한다.
이어, 메시지 검사장치(130)는 어플리케이션에 대한 권한 검사와 API 검사결과를 바탕으로 검사 요청된 URL이 악성 URL인지 여부를 검사하게 되며(S524), 권한 검사와 API 검사 결과 어플리케이션에 보안상 위험한 권한이 설정되어 있거나 또는 어플리케이션의 실행파일이 보안상 위험한 권한이 수행되기 위한 API가 실제로 호출되도록 작성된 경우 해당 URL을 악성 URL로 판단할 수 있다(S526).
이와 달리, 권한 검사와 API 검사결과 어플리케이션에 보안상 위험한 권한이 설정되어 있지 않거나, 어플리케이션의 실행파일이 보안상 위험한 권한이 수행되기 위한 API가 실제로 호출되도록 작성되어 있지 않은 경우 메시지 검사장치(130)는 해당 URL을 정상 URL로 판단할 수 있다(S528).
한편, 메시지 검사장치(130)는 백신엔진을 통해 악성 어플리케이션 여부가 검사되지 않은 어플리케이션에 대해 위와 같은 권한/API 검사와 더불어 추가적으로 보다 확실한 악성 여부 검사 방법으로써 해당 어플리케이션을 애뮬레이터(emulator)상에서 실제 실행시켜 분석하는 동적 분석을 수행하여 악성 여부를 검사할 수도 있다.
즉, 메시지 검사장치(130)는 백신엔진을 통해 악성 어플리케이션 여부가 검사되지 않은 경우(S514), 애뮬레이터 상에서 해당 어플리케이션을 실제로 실행시키고(S520), 실제 실행된 어플리케이션의 행위를 분석한다(S522).
이어, 메시지 검사장치(130)는 어플리케이션에 대한 동적 분석 결과를 바탕으로 검사 요청된 URL이 악성 URL인지 여부를 검사하게 되며(S524), 애뮬레이터상 실제로 실행된 어플리케이션의 행위 분석 결과 악성 행위를 수행하는 것으로 검사되는 경우 해당 URL을 악성 URL로 판단할 수 있다(S526).
이와 달리, 동적 분석 결과 애뮬레이터상 실제 실행된 어플리케이션이 악성 행위를 수행하고 있지 않은 것으로 검사되는 경우 메시지 검사장치(130)는 해당 URL을 정상 URL로 판단할 수 있다(S528).
도 6은 본 발명의 다른 실시예에 따른 메시지 검사장치(130)에서 메신저를 통해 사용자 단말(150)로 전송되는 메시지의 비정상 메시지 여부를 검사하는 동작 제어 흐름을 도시한 것이다. 이하, 도 1 내지 도 4 및 도 6을 참조하여 본 발명의 실시예를 상세히 설명하기로 한다.
먼저, 메시지 검사장치(130)는 통신망을 이용하는 다양한 메신저를 통해 사용자 단말로 전송되는 메시지를 모니터링(monitoring)하고(S600), 이러한 메시지 내에 URL이 포함되어 있는지 여부를 검사한다(S602).
이때 만일, 메신저를 통해 사용자 단말(150)로 전송되는 메시지 내에 URL이 포함된 것으로 검사되는 경우(S604), 메시지 검사장치(130)는 메시지 내 포함된 해당 URL을 추출하고(S606), 사전 필터링을 통해 추출된 URL이 악성 URL인지 여부를 검사한다(S608).
이때, 메시지 검사장치(130)는 사전 필터링을 수행함에 있어서, 메시지로부터 추출된 URL을 악성 URL 리스트(list)와의 비교하여(S610), 추출된 URL이 악성 URL 리스트에 존재하는 경우 악성 URL로 판단하고, 악성 URL로 판단하는 경우 해당 URL 정보를 유해사이트 차단 및 안내 시스템(140)으로 제공하여 해당 URL이 유해사이트 차단 및 안내 시스템(140)에 등록되도록 한다(S630).
그러나, 사전 필터링을 통해 악성 URL 여부가 판단되지 않는 경우, 메시지 검사장치(130)는 해당 URL에 대해서는 백신 검사, 권한/API 검사, 동적 분석 등을 통해 악성 URL인지 여부를 판단하게 된다.
즉, 메시지 검사장치(130)는 사전 필터링을 통해 악성 URL인지 여부가 정확히 판단되지 않는 URL에 대해서는 유무선 통신망을 통해 해당 URL 주소로 링크되는 웹서버(도시하지 않음) 등에 접속하고, 해당 URL로의 접속에 따라 특정 어플리케이션이 다운로드되는 경우 해당 어플리케이션(application)을 다운로드받는다(S612).
이어, 메시지 검사장치(130)는 다운로드된 어플리케이션에 대해 이전에 검사된 어플리케이션의 시그니처(signiture) 정보와 비교하여 동일한 어플리케이션인지 여부를 검사함으로써 해당 어플리케이션의 악성 여부를 검사할 수 있다(S614).
또한, 메시지 검사장치(130)는 다운로드된 어플리케이션이 이전에 검사된 적이 없는 어플리케이션인 경우, 미리 구비하고 있는 백신 엔진을 이용하여 악성 어플리케이션인지 여부를 검사한다(S616).
이어, 메시지 검사장치(130)는 다운로드된 어플리케이션이 악성 어플리케이션으로 검사된 경우(S618), 상기 메시지 내 포함된 URL을 악성 URL로 판단하고 해당 URL 정보를 유해사이트 차단 및 안내 시스템(140)으로 제공하여 해당 URL이 유해사이트 차단 및 안내 시스템(140)에 등록되도록 한다(S630).
그러나, 위와 같은 백신 엔진을 이용한 어플리케이션의 악성 여부 검사는 백신 엔진에 포함되지 않는 변종 패턴을 가지는 어플리케이션에 대해서는 정확한 검사가 이루어지지 않을 수도 있다. 따라서, 백신엔진을 통해 악성 어플리케이션으로 판단되지 않은 어플리케이션에 대해서 메시지 검사장치(130)는 다시 권한/API 검사, 동적 분석 등을 추가로 수행하게 된다.
즉, 메시지 검사장치(130)는 백신엔진을 통해 악성 어플리케이션 여부가 검사되지 않은 경우(S618), 해당 어플리케이션의 실행 파일을 분석하여 어플리케이션이 가지고 있는 권한 정보를 검사한다(S620).
이러한 권한 정보는 어플리케이션이 사용자 단말(150) 등에 설치될 때 사용자 단말(150)에서 수행할 수 있는 권한에 대한 정보를 기록한 것으로, 악성 어플리케이션인 경우 예를 들어 "메시지 읽기", "통화내용 가로채기" 등의 사용자의 개인 정보를 유출할 수 있는 보안상 위험한 권한이 설정되어 있을 수 있다.
또한, 메시지 검사장치(130)는 권한 검사를 통해 다운로드된 어플리케이션에 보안상 위험한 권한이 있는 것으로 검사되는 경우, 보안상 위험한 권한을 가지고 있는 어플리케이션에 대해서는 다시 추가적으로 API 검사를 수행할 수 있다(S622). 이러한, API 검사 수행에 있어서 메시지 검사장치(130)는 해당 어플리케이션의 실행파일을 디컴파일(decompile)한 후, 권한이 수행되기 위한 API가 실제로 호출되도록 실행파일이 작성되어 있는지를 검사한다.
이어, 메시지 검사장치(130)는 어플리케이션에 대한 권한 검사와 API 검사결과를 바탕으로 메시지 내 포함된 URL이 악성 URL인지 여부를 검사하게 된다(S628).
이때, 예를 들어 메시지 검사장치(130)는 권한 검사와 API 검사 결과 어플리케이션에 보안상 위험한 권한이 설정되어 있거나 또는 어플리케이션의 실행파일이 보안상 위험한 권한이 수행되기 위한 API가 실제로 호출되도록 작성된 경우 해당 URL을 악성 URL로 판단할 수 있다.
이와 달리, 권한 검사와 API 검사결과 어플리케이션에 보안상 위험한 권한이 설정되어 있지 않거나, 어플리케이션의 실행파일이 보안상 위험한 권한이 수행되기 위한 API가 실제로 호출되도록 작성되어 있지 않은 경우 메시지 검사장치(130)는 해당 URL을 정상 URL로 판단할 수 있다.
한편, 메시지 검사장치(130)는 백신엔진을 통해 악성 어플리케이션 여부가 검사되지 않은 어플리케이션에 대해 위와 같은 권한/API 검사와 더불어 추가적으로 보다 확실한 악성 여부 검사 방법으로써 해당 어플리케이션을 애뮬레이터(emulator)상에서 실제 실행시켜 분석하는 동적 분석을 수행하여 악성 여부를 검사할 수도 있다.
즉, 메시지 검사장치(130)는 백신엔진을 통해 악성 어플리케이션 여부가 검사되지 않은 경우(S618), 애뮬레이터 상에서 해당 어플리케이션을 실제로 실행시키고(S624), 실제 실행된 어플리케이션의 행위를 분석한다(S626).
이어, 메시지 검사장치(130)는 어플리케이션에 대한 동적 분석 결과를 바탕으로 검사 요청된 URL이 악성 URL인지 여부를 검사하게 되며(S628), 애뮬레이터상 실제로 실행된 어플리케이션의 행위 분석 결과 악성 행위를 수행하는 것으로 검사되는 경우 해당 URL을 악성 URL로 판단할 수 있다.
이와 달리, 동적 분석 결과 애뮬레이터상 실제 실행된 어플리케이션이 악성 행위를 수행하고 있지 않은 것으로 검사되는 경우 메시지 검사장치(130)는 해당 URL을 정상 URL로 판단할 수 있다.
이어, 메시지 검사장치(130)는 위와 같은 악성 URL 여부 판단결과에 따라 악성 URL로 판단된 URL에 대해서는 유해사이트 차단 및 안내 시스템(140)으로 해당 URL의 정보를 제공하여 유해사이트 차단 및 안내 시스템(140)에 등록되도록 한다(S630).
이에 따라, 사용자가 메신저를 통한 메시지 송수신 시 대화창에 표시된 악성 URL을 클릭하는 경우 유해사이트 차단 및 안내 시스템(140)에 의해 해당 악성 URL로의 접속이 차단될 수 있게 되어, 사용자의 피해를 방지시킬 수 있게 된다.
도 7은 본 발명의 다른 실시예가 적용되는 메시지 검사장치를 포함하는 메시지 전송을 위한 통신망의 구성을 도시한 것이다.
이하, 도 7을 참조하여, 메시지 전송을 위한 통신망상 각 구성요소에서의 동작을 상세히 설명하기로 한다.
먼저, 메시지 제공자(message provider)(700)는 이동통신망을 포함하는 유/무선 통신망 등에 연결된 사용자 단말(712)에 SMS, MMS 메시지 또는 패킷기반 메시지 등의 메시지를 발송하는 주체를 의미한다. 이때, 위와 같은 사용자 단말(user terminal)(712)은 예를 들어 휴대폰, 스마트폰 등의 이동통신 단말기 또는 메시지 수신이 가능한 표시창을 구비한 일반 유/무선 전화기 등을 포함할 수 있고, 이러한 메시지 제공자(700)는 예를 들어 금융업체, 제조업체, 오픈 마켓 등의 기업이 될 수 있으며, 메시지 제공자(700)에 의해 발송되는 메시지는 예를 들어 해당 기업과 관련하여 사용자에게 공지, 홍보 또는 광고하고자 하는 내용의 메시지가 될 수 있다.
메시지 중계자(702)는 메시지 제공자(700)가 되는 금융업체, 제조업체, 오픈 마켓 등의 기업에서 타겟(target)이 되는 사용자의 사용자 단말(712)로의 메시지 발송 요청을 수신하여 발송 요청에 대응되는 내용의 메시지를 생성하고, 이와 같이 생성한 메시지를 통신망상 VMG(Vertical Multimedia Gateway) 등의 메시지 검사장치(704)로 제공하여 메시지 제공자(700)에 의해 발송 요청된 메시지가 해당 사용자 단말(712)로 전송되도록 중계한다. 즉, 메시지 중계자(702)는 메시지 제공자(700)로부터 전송할 메시지의 내용 등과 같은 데이터와 해당 메시지가 전송 되어야 하는 타겟 사용자의 사용자 단말(712)의 전화번호(Mobile Identification Number : MIN) 등의 정보를 제공받아 메시지를 구성하고, 이를 메시지 검사장치(704)로 전송한다.
메시지 검사장치(704)는 VMG 등의 장치가 될 수 있으며, 메시지 중계자(702)로부터 수신된 메시지를 타겟이 되는 사용자 단말(712)의 기기 특성에 맞게 메시지의 포맷(format)을 변환시키는 등의 메시지 가공을 수행한다. 즉, 메시지 검사장치(704)는 메시지 중계자(702)를 통해 메시지 제공자(700)로부터 발송된 메시지를 수신하는 경우, 사용자 단말(712)의 사양에 관한 정보를 참조하여 사용자 단말(712)에서 표시가 가능한 형태로 데이터 포맷 등을 변환하여 SMSC(short messaging service center)(708), MMSC(multimedia messaging service center)(710) 또는 패킷기반 메시지인 경우 해당 패킷기반 메시지의 송수신을 수행하는 패킷기반 메시지 서버(711)로 전송하게 된다.
이때, 위와 같이 메시지 제공자(700)로부터 사용자 단말(712)로 발송 요청되는 메시지는 MMS 메시지, SMS 메시지 또는 패킷기반 메시지의 형태로 제작될 수 있으며, 메시지 검사장치(704)는 예를 들어 MMS 메시지인 경우 해당 MMS 메시지를 수신할 타겟 사용자 단말(712)의 MMS 버전 등을 고려하여 해당 사용자 단말(712)의 버전에 맞는 메시지 포맷으로 변환할 수 있으며, SMS 메시지만 수신 가능한 경우에는 SMS 메시지로 변환을 수행할 수도 있다.
한편, 위와 같이 기업 등의 메시지 전송 주체로부터 다수의 타겟 사용자의 사용자 단말(712)로 전송되는 메시지 중에는 기업의 이름을 도용한 금융상품 안내, 쇼핑몰쿠폰 제공 등의 스팸성 메시지를 통해 스마트폰 등의 사용자 단말(712)에 악성 코드(malicious code)를 설치하여 소액결제 인증번호, 개인정보를 유출하는 사기 수법인 스미싱(smishing)을 수행하고자 하는 스미싱 업체의 메시지도 포함될 수 있어서 사용자의 피해가 발생할 수 있으며, 이름을 도용 당한 기업은 기업의 이미지가 실추될 수 있는 문제점이 있었다.
또한, 위와 같은 메시지 중에는 비정상 URL을 포함하는 메시지도 존재할 수 있다. 이러한 비정상 URL을 포함하는 메시지는 메시지내 비정상적인 URL을 삽입하여 사용자가 URL을 클릭하는 경우 악성 코드를 포함하는 어플리케이션이 설치되도록 하거나 해외의 스미싱 업체로 연결되도록 함으로써, 피해를 발생시키는 문제점이 있었다.
따라서, 메시지 검사장치(704)는 정상적인 기업으로부터 발송된 정상적인 메시지인지 여부를 인증하는 인증모듈을 구비하여 정상적으로 인증된 메시지 제공자(700)로부터의 메시지인지를 인증하고, 인증된 메시지에 대해서는 해당 메시지가 정상 메시지임을 나타내는 인증 확인 정보를 사용자 단말(712)로 제공함으로써, 사용자 단말(712)에서 인증된 메시지를 스미싱 업체의 불법적인 메시지 등과 같은 비인증된 메시지와 구분하여 표시할 수 있도록 한다.
이때, 메시지 검사장치(704)는 인증된 메시지 제공자(700)로부터의 메시지를 인증함에 있어서, 예를 들어 인증 식별자 정보를 추출하여 정상적인 기업 등에 미리 할당한 인증 식별자 정보를 관리하고 있는 인증정보 관리서버(706)로 전송하여 미리 할당된 인증 식별자 정보 인지 검사를 요청하고, 인증정보 관리서버(706)로부터 검사결과를 제공받아 인증을 수행할 수 있다. 이때, 인증 식별자 정보는 정상적인 메시지를 발송하는 기업에 대해 해당 기업을 식별할 수 있도록 설정한 정보를 의미하는 것으로 예를 들어 CID(caller ID) 정보가 될 수 있다. 또한, 이러한 인증 식별자 정보를 관리하는 인증정보 관리서버(706)는 예를 들어 CID(Caller ID) 관리서버가 될 수 있다.
즉, 메시지 검사장치(704)는 본 발명의 실시예에 따라 미리 정상적인 기업으로 선택된 메시지 제공자(700)에게 해당 기업에서 타겟 사용자 단말(712)로 발송하는 메시지에 대해서는 스팸이 아닌 것을 확인할 수 있도록 인증 식별자 정보를 할당하여 제공하고, 수신된 메시지에 대해 정상적인 기업으로부터의 메시지인지 여부를 인증한 후, 인증된 메시지에 대해서는 이를 보증하는 인증 확인 정보를 해당 메시지에 포함시키는 등의 메시지 가공을 수행하여 메시지의 종류에 따라 SMSC(708), MMSC(710) 또는, 패킷기반 메시지 서버(711) 등으로 제공하게 되는 것이다.
또한, 메시지 검사장치(704)는 메시지 제공자(700)로부터의 메시지 수신 시 메시지내 URL이 포함되었는지 여부를 검사하고, URL이 포함된 경우 메시지에 포함된 URL이 위험성이 있는지 여부를 분석하여 URL의 위험성을 알리는 URL 검증 정보를 생성한 후, URL 검증 정보를 메시지에 포함시켜 사용자 단말(712)로 제공하도록 할 수 있다. 이러한 URL 검증 정보는 메시지가 비정상 메시지임을 알리는 정보일 수 있다. 이에 따라, 사용자 단말(712)에서는 수신된 메시지에 포함된 URL의 위험성을 미리 인지할 수 있어 비정상 URL로 인한 피해를 방지할 수 있게 된다.
이때, 메시지 검사장치(704)는 URL의 위험성을 분석함에 있어서, 예를 들어 직접 URL을 클릭하는 동작을 수행하여 URL의 클릭에 따라 발생하는 어플리케이션(application)의 설치유도 여부나 알려지지 않는 해외 서버(server)로의 링크 여부 등을 검사하여 URL의 위험성을 분석하고, 위험성의 종류를 구분할 수 있다.
또한, 메시지 검사장치(704)는 URL의 위험성을 분석함에 있어서, 예를 들어 URL의 위험성을 분석하기 위해 별도로 구현되는 URL 분석 서버(707) 등을 이용하여 URL의 위험성을 분석할 수도 있다. 이때, 메시지 검사장치(704)는 메시지내 URL이 포함된 경우, 해당 URL을 URL 분석 서버(707)로 전송하여 위험성이 있는 URL인지 여부를 요청하고, URL 분석 서버(707)로부터 분석 결과를 제공받아 URL 위험성 여부를 확인할 수도 있다.
이와 같이 인증 확인 정보 또는 URL 검증 정보 등의 메시지의 정상 여부를 알리는 정보가 부가된 SMS 메시지, MMS 메시지, 패킷기반 메시지 등의 메시지는 SMSC(708), MMSC(710) 또는 패킷기반 메시지 서버(711)로 전송된 후, SMSC(708), MMSC(710) 또는 패킷기반 메시지 서버(711)로부터 통신망을 통해 해당 사용자 단말(712)로 전송된다.
그러면, 사용자 단말(712)에서는 수신된 메시지에 메시지의 정상 여부를 알리는 정보로써 인증 확인 정보가 포함되어 있는지를 확인하고, 인증 확인 정보가 포함된 경우 이를 확인하여 인증된 메시지에 대해서는 인증된 메시지임을 화면상에 문자 또는 그림 등으로 표시시키거나 또는 소리 등으로 출력시킴으로써 사용자가 인증된 메시지에 대해서는 안심하고 확인할 수 있도록 할 수 있다.
또한, 사용자 단말(712)에서는 수신된 메시지에 메시지의 정상 여부를 알리는 정보로써 URL 검증 정보가 포함되어 있는지를 확인하고, URL 검증 정보가 포함된 경우 이를 확인하여 수신된 메시지에 포함된 URL의 위험성을 확인한 후, URL의 위험성을 메시지의 수신을 알리는 화면상에 문자 또는 그림 등으로 표시시키거나 또는 소리 등으로 출력시킴으로써 비정상 URL로 인한 피해가 방지될 수 있도록 한다.
도 8은 본 발명의 실시예에 따른 메시지 검사장치(704)의 상세 블록 구성을 도시한 것으로, 통신부(800), 메모리부(802), 제어부(804), 인증부(806), 가공부(808) 등을 포함할 수 있다.
이하, 도 8을 참조하여 본 발명의 메시지 검사장치(704)의 각 구성요소에서의 동작을 상세히 설명하기로 한다.
먼저, 통신부(800)는 메시지 중계자(702)와 SMSC(708), MMSC(710), 패킷기반 메시지 서버(711) 등과의 데이터 송수신을 수행하고, 메시지 제공자(700)로부터 발송된 SMS, MMS 또는 패킷기반 메시지 등의 메시지를 수신하며, 본 발명에 따라 인증 확인 정보가 포함되도록 가공된 메시지를 SMSC(708), MMSC(710) 또는 패킷기반 메시지 서버(711)로 전송한다.
메모리부(802)는 메시지 검사장치(704)의 전반적인 동작을 위한 동작 제어 프로그램을 저장하고 있으며, 제어부(804)는 메모리부(802)에 저장된 동작 제어 프로그램에 따라 메시지 검사장치(704)의 전반적인 동작을 제어한다.
인증부(806)는 본 발명의 실시예에 따라 미리 선택된 메시지 제공자(700)로부터의 메시지를 인증한다. 즉, 인증부(806)는 메시지 중계자(702)로부터 입력 받은 메시지에 포함된 메시지 제공자(700)의 인증 식별자 정보를 추출하고, 메시지 제공자(700)의 인증 식별자 정보가 인증을 위해 미리 할당된 인증 식별자 정보에 포함되어 있는지 여부를 검사하여 수신된 메시지가 인증된 메시지 제공자(700)로부터 발송된 메시지인지 여부를 인증할 수 있다.
이때, 인증부(806)는 메시지 제공자(700)를 인증함에 있어서, 인증 식별자 정보를 추출하여 정상적인 기업 등에 미리 할당한 인증 식별자 정보를 관리하고 있는 인증정보 관리서버(706)로 전송하여 미리 할당된 인증 식별자 정보 인지 검사를 요청하고, 인증정보 관리서버(706)로부터 검사결과를 제공받아 인증을 수행할 수 있다. 또한, 인증부(806)는 미리 할당된 인증 식별자 정보를 자체 DB(data base)로 구비하여 인증정보 관리서버(706)와의 연동 없이 자체적으로 인증 식별자 정보에 대한 검사를 수행할 수도 있다.
또한, 인증부(806)는 본 발명의 실시예에 따라 메시지 제공자(700)로부터의 메시지 수신 시 메시지내 URL이 포함되었는지 여부를 검사하고, URL이 포함된 경우 메시지에 포함된 URL이 위험성이 있는지 여부를 분석한다.
이때, 인증부(806)는 URL의 위험성을 분석함에 있어서, 예를 들어 직접 URL을 클릭하는 동작을 수행하여 URL의 클릭에 따라 발생하는 어플리케이션의 설치유도 여부나 알려지지 않는 해외 서버로의 링크 여부 등을 검사하여 URL의 위험성을 분석하고, 위험성의 종류를 구분할 수 있다. 또한, 인증부(806)는 URL의 위험성을 분석함에 있어서, 예를 들어 URL의 위험성을 분석하기 위해 별도로 구현되는 URL 분석 서버(707) 등을 이용하여 URL의 위험성을 분석할 수도 있다. 이때, 인증부(806)는 메시지내 URL이 포함된 경우, 해당 URL을 URL 분석 서버(707)로 전송하여 위험성이 있는 URL 인지 여부를 요청하고, URL 분석 서버(707)로부터 분석 결과를 제공받아 URL 위험성 여부를 확인할 수도 있다.
가공부(808)는 위와 같이 인증부(806)로부터 정상적인 메시지 제공자(700)가 인증되는 경우 해당 메시지가 인증된 메시지 제공자(700)로부터 발송된 정상 메시지임을 증명하는 인증 확인 정보를 생성하고, 이와 같이 생성한 인증 확인 정보가 메시지 제공자(100)로부터 발송된 메시지에 포함되도록 가공한다.
이때, 가공부(808)는 위와 같은 인증 확인 정보를 여러 가지 방법으로 생성할 수 있으며, 이하에서는 가공부(808)에서 인증 확인 정보를 생성하는 동작을 보다 상세히 살펴보기로 한다.
먼저, 가장 간단한 방법으로 가공부(808)는 인증된 메시지 제공자(700)로부터 발송된 메시지에 대해 해당 메시지의 인증 여부를 true 또는 false 등의 암호화되지 않은 간단한 정보로 생성하여 메시지의 헤더(header)나 데이터 영역(data area)의 일정 영역에 부가할 수 있다. 이와 같은 경우 이동통신 단말기 등의 사용자 단말(712)에서는 별도의 암호화 해독 알고리즘을 구비하고 있지 않더라도 메시지상 미리 약속된 영역에서 해당 인증 확인 정보를 읽어 들여 간단히 인증된 메시지인지 여부를 확인할 수 있다.
다음으로, 가공부(808)는 인증 확인 정보의 보안을 위해 해당 인증 확인 정보를 메시지가 발송될 타겟 사용자 단말(712)의 사용자 단말 정보 즉, 예를 들어, MIN(Mobile Identification Number) 정보 등을 기반으로 기설정된 암호화 알고리즘으로 암호화한 후, 암호화된 인증 확인 정보를 메시지의 헤더나 데이터 영역의 일정 영역에 부가할 수 있다. 이때, 위와 같은 암호화 알고리즘은 예를 들어 해쉬 알고리즘이 될 수 있다. 이와 같은 경우 사용자 단말(712)에서는 메시지상 미리 약속된 영역에서 암호화된 인증 확인 정보를 추출하고, 인증 확인 정보가 암호화될 때 사용된 동일한 암호화 알고리즘과 MIN 정보 등의 사용자 단말 정보를 이용하여 암호화를 해독하고 인증 확인 정보를 읽어 들이게 된다.
다음으로, 가공부(808)는 위와 같은 인증 확인 정보를 OTP(one time password) 값으로 메시지에 포함시켜 전송할 수 있다. 이와 같은 OTP값은 메시지의 전송시간과 MIN 등의 사용자 단말 정보를 파라메타(parameter)로 입력하여 생성된 값으로, 메시지의 헤더나 데이터 영역의 일정 영역에 부가할 수 있다. 이와 같은 경우 사용자 단말(712)에서는 OTP 터미널(terminal) 기능을 구현하여 OTP값을 생성한 후, 메시지에 포함된 OTP값과 비교하여 동일한 OTP값인 경우 수신된 메시지가 인증된 메시지인 것을 확인할 수 있다.
이때, 사용자 단말(712)은 메시지 검사장치(704)에서 OTP값을 생성하는데 사용된 것과 동일한 OTP 생성기를 구비할 수 있으며, 인증 확인 정보가 메시지와 함께 OTP값으로 전송되는 경우 메시지 검사장치(704)에서 OTP 생성기의 입력값으로 사용한 동일한 파라메타인 메시지 전송시간과 사용자 단말 정보를 입력으로 OTP값을 생성하고 이와 같이 생성된 OTP값과 메시지에 포함된 OTP값을 비교할 수 있다.
다음으로, 가공부(808)는 위와 같은 인증 확인 정보를 메시지 포맷상 PID(Packet Identification) 필드에 메시지 인증 여부를 지시하도록 새로이 정의된 특정값으로 기록하는 방식으로 생성할 수도 있다.
위와 같은 PID 필드는 메시지의 특성에 따라 기설정된 여러 가지 값으로 기록되어 사용자 단말(712)에서 해당 PID 필드에 기록된 값에 대응되는 동작을 수행하도록 하는 필드로서, 가공부(808)에서는 위와 같이 여러 가지 정의된 값이 기록되는 PID 필드에 메시지 인증을 위한 새로운 특정값을 정의하고, 메시지와 함께 전송하여 메시지 인증에 사용되도록 할 수 있다. 이때, PID 필드상 새로이 정의되는 특정값에 대한 정보는 사용자 단말(712)로 미리 제공될 수 있다.
이와 같은 경우 사용자 단말(712)에서는 수신된 메시지의 PID 필드에 기록된 값을 검사하여 수신된 메시지의 인증 여부를 확인할 수 있다.
한편, 메시지 제공자(700)부터 제공되는 메시지에는 URL(uniform resource locator) 정보가 포함될 수도 있다. 이와 같은 경우 가공부(808)는 URL의 위험성 여부를 분석하고, 메시지내 포함된 URL이 위험성이 있는 것으로 분석되는 경우 URL의 위험성을 알리는 URL 검증정보를 생성한 후, URL 검증 정보가 메시지내 해당 메시지의 정상 여부를 알리는 부가정보로써 포함되도록 가공한다.
이때, 가공부(808)는 위와 같은 URL 검증 정보를 생성함에 있어서, 예를 들어 메시지에 포함된 URL이 안정성이 확보되지 않은 해외에 위치한 서버로 연결되는 URL로 위험성이 있는 것으로 분석된 경우, 해당 URL을 통해 연결되는 서버의 위치가 해외인 것을 알리는 정보를 URL 검증 정보로 생성할 수 있다.
또한, 가공부(808)는 예를 들어 메시지에 포함된 URL이 안정성이 확보되지 않은 특정 어플리케이션의 설치를 유도하는 것으로 분석된 경우, 해당 URL을 통해 특정 어플리케이션이 설치될 수 있다는 것을 알리는 정보를 URL 검증 정보로 생성할 수 있다.
이어, 가공부(808)는 위와 같이 생성한 URL 검증 정보를 메시지에 포함시킴에 있어서, 예를 들어 메시지의 헤더(header)나 데이터 영역(data area)의 일정 영역에 부가할 수 있다. 이와 같은 경우 이동통신 단말기 등의 사용자 단말(712)에서는 메시지상 미리 약속된 영역에서 URL 검증 정보를 읽어들여 URL의 위험성 여부를 확인하고, URL의 위험성 여부를 메시지와 함께 표시시켜 사용자가 URL의 위험성을 사전에 인지할 수 있도록 한다.
도 9는 본 발명의 실시예에 따른 사용자 단말(712) 중 스마트 폰 등의 이동통신 단말기의 상세 블록 구성을 도시한 것이다. 이하, 도 9를 참조하여 이동통신 단말기 각 블록에서의 동작을 상세히 설명하기로 한다.
먼저, 키입력부(900)는 이동통신 단말기의 다양한 동작 요청을 위한 다수의 숫자키 및 기능키로 구성될 수 있으며, 사용자가 소정의 키를 누를 때 해당하는 키데이터를 발생하여 제어부(906)로 출력한다. 위와 같은 키입력부(900)는 제조사별, 국가별로 문자 배열의 차이가 있다. 또한, 키입력부(900)는 스마트폰(smart phone), 테블릿 PC 등에서는 물리적인 키패드(keypad) 대신, 소프트웨어 방식으로 필요 시마다 표시부(904)상에 터치 스크린(touch screen) 형식으로 표시될 수도 있다.
오디오부(910)는 제어부(906)의 제어를 받아 마이크(MIC)를 통해 입력되는 음성신호를 무선신호로 변조하고, 수신되는 무선신호를 복조하여 스피커(SPK)에 음성신호로서 송출한다. 또한, 오디오부(910)는 음성통화 시 제어부(906)에 의해 설정되는 다양한 음성품질로 음성신호를 처리하는 코덱부(codec)를 더 포함할 수 있다.
통신부(908)는 통신망을 통해 메시지 제공자(700)로부터 발송된 메시지를 수신한다. 이때, 위와 같은 메시지는 메시지 제공자(700)인 금융업체, 제조업체, 오픈 마켓 등의 기업의 요청에 의해 생성된 메시지 등이 될 수 있으며, 기업과 관련된 공지, 홍보, 광고 등의 내용을 포함한 메시지가 될 수 있다.
표시부(904)는 제어부(906)의 제어에 따라 이동통신 단말기의 각종 정보를 표시하며, 키입력부(900)에서 발생되는 키데이터 및 제어부(906)의 각종 정보신호를 입력받아 디스플레이한다. 또한, 본 발명의 실시예에 따라 인증된 메시지에 대해서는 인증된 메시지임을 알리는 정보를 기설정된 인증마크(mark), 해당 기업 로고(logo) 등의 그림 또는 문자 등으로 표시시킬 수 있다. 또한, 위험성이 있는 URL이 삽입된 메시지에 대해서는 URL의 위험성을 알리는 정보를 기설정된 마크나 그림 또는 문자 등으로 표시시킬 수 있다.
인증부(912)는 통신부(908)로부터 수신된 SMS, MMS 또는 패킷기반 메시지 등의 메시지에 대해 메시지의 정상 여부를 알리는 정보로써 인증 확인 정보가 첨부되어 있는지 검사하고, 인증 확인 정보가 첨부된 경우 해당 인증 확인 정보를 추출하여 수신된 메시지가 인증된 메시지인지 여부를 확인한다.
이때, 인증부(912)는 위와 같은 인증 확인 정보를 확인하는 방법에 있어서, 먼저 위와 같은 인증 확인 정보가 암호화되지 않은 경우에는 메시지상 미리 약속된 영역에서 해당 인증 확인 정보를 그대로 읽어 들여 간단히 인증된 메시지인지 여부를 확인할 수 있다.
즉, 메시기 검사장치(704)에서는 인증된 메시지 제공자(700)로부터 발송된 메시지에 대해 해당 메시지의 인증 여부를 true 또는 false 등의 암호화되지 않은 간단한 확인 정보로 생성하여 메시지의 헤더(header)나 데이터 영역(data area)의 일정 영역에 부가할 수 있다. 이와 같은 경우 인증부(912)에서는 별도의 암호화 해독 알고리즘을 구비하고 있지 않더라도 메시지상 미리 약속된 영역에서 해당 인증 확인 정보를 읽어 들여 간단히 인증된 메시지인지 여부를 확인할 수 있다.
다음으로, 인증부(912)는 위와 같은 인증 확인 정보가 해쉬 알고리즘 등의 기설정된 암호화 알고리즘으로 암호화된 경우 메시지상 미리 약속된 영역에서 암호화된 인증 확인 정보를 추출하고, 인증 확인 정보가 암호화될 때 사용된 동일한 암호화 알고리즘과 MIN 정보 등의 사용자 단말 정보를 이용하여 암호화를 해독하고 인증 확인 정보를 확인하게 된다. 이때, 사용자 단말(712)과 메시지 검사장치(704)는 미리 동일한 암호화 알고리즘을 구비하는 것을 가정할 수 있다.
또한, 인증부(912)는 위와 같은 인증 확인 정보가 메시지와 함께 OTP값으로 수신된 경우 메시지 검사장치(704)에서 OTP 생성기의 입력값으로 사용된 동일한 파라메타인 메시지 전송시간과 사용자 단말 정보 중 하나인 MIN 정보를 입력값으로 하여 OTP값을 생성한다. 이어, 인증부(912)는 OTP 터미널 기능이 구현된 사용자 단말(712)에서 위와 같이 생성한 OTP값과 메시지에 포함된 OTP값이 동일한 경우 수신된 메시지가 인증된 메시지인지 여부를 확인할 수 있다.
또한, 인증부(912)는 위와 같은 인증 확인 정보가 메시지 포맷상 PID 필드에 메시지 인증 여부를 지시하도록 새로이 정의된 특정값으로 기록된 경우, 해당 PID 필드에 기록된 값이 메시지의 인증 여부를 지시하도록 미리 정의된 값인지 여부를 검사하여 수신된 메시지가 인증된 메시지인지 여부를 확인할 수 있다.
이때, 위와 같은 PID 필드는 메시지의 특성에 따라 기설정된 여러 가지 값으로 기록되어 사용자 단말(712)에서 해당 PID 필드에 기록된 값에 대응되는 동작을 수행하도록 하는 필드로서, 메시지 검사장치(704)에서는 본 발명의 실시예에 따른 메시지 인증을 위해 메시지 인증 여부를 지시하는 특정값을 정의하여 이에 대한 정보를 사용자 단말(712)로 미리 제공한 후, PID 필드에 메시지 인증 여부를 지시하는 특정값을 기록하여 송신하게 된다.
이에 따라, 인증부(912)에서는 수신된 메시지의 PID 필드에 기록된 값을 검사하여 수신된 메시지의 인증 여부를 확인할 수 있다.
또한, 인증부(912)는 통신부(908)로부터 수신된 SMS, MMS 메시지 또는 패킷기반 메시지 등의 메시지에 대해 메시지의 정상 여부를 알리는 정보로써 URL 검증 정보가 존재하는지 여부를 검사하고, URL 검증 정보가 존재하는 경우 해당 URL 검증 정보를 추출하여 제어부(906)로 제공할 수 있다.
제어부(906)는 메모리부(902)에 저장된 동작 프로그램에 따라 이동통신 단말기의 전반적인 동작을 제어한다. 위와 같은 동작 프로그램은 이동통신 단말기의 동작에 필요한 기본적인 운영 시스템(operating system) 뿐만 아니라, 표시부(904)와 키입력부(900)를 연결하고, 데이터의 입/출력을 관리하거나, 이동통신 단말기의 내부 애플리케이션(application) 등을 동작시키도록 제조 시 미리 프로그램밍(programing)되는 소프트웨어(software)를 통칭한다.
또한, 본 발명의 실시예에 따라 다수의 메시지 제공자(700)로부터 전송되는 메시지가 수신되는 경우, 제어부(906)는 인증부(912)를 제어하여 해당 메시지의 인증 확인 정보를 검사한 후, 인증된 메시지인 경우에는 메시지의 수신 알림과 함께 인증된 메시지임을 다양한 방식으로 표시하여 사용자가 현재 수신된 메시지가 인증된 메시지인지 여부를 확인할 수 있도록 한다.
이때, 제어부(906)는 예를 들어, 인증된 메시지가 수신되는 경우 SMS, MMS 메시지의 경우에는 메시지 내용 요약창에 기설정된 해당 기업의 로고, 인증마크 또는 인증문자 등을 표시시킬 수도 있으며, 팝업 메시지(popup message)로 "인증메시지 입니다"라고 문자 등으로 표시시킬 수도 있으며, 인증마크와 팝업 메시지를 동시에 표시시킬 수도 있다.
또한, 위와 같이 인증된 메시지임이 표시된 메시지에 대해 사용자가 해당 메시지의 내용을 확인하기 위해 선택하는 경우, 제어부(906)는 해당 메시지의 내용을 표시시키는 것과 함께 “안심메시지 입니다” 등과 같은 문구를 팝업 메시지로 표시시켜 사용자가 메시지를 실제로 클릭하는 시점에서도 해당 메시지가 인증된 메시지임을 다시 한번 인지할 수 있도록 할 수도 있다.
또한, 패킷기반 메시지의 경우에는 패킷기반 메시지의 대화창 등의 화면에 해당 메시지를 표시시키고, 해당 메시지의 내용과 함께 SMS, MMS 메시지의 경우와 동일하게 인증된 메시지임을 표시하는 해당 기업 로고, 인증마크 또는 인증문자 등을 표시시킬 수도 있다. 또한, 패킷기반 메시지의 수신이 팝업 메시지로 표시되도록 설정된 경우에는 패킷기반 메시지의 수신을 팝업으로 알리는 동시에 해당 메시지가 인증된 메시지임을 기업로고, 인증마크 또는 인증문자 등이 팝업으로 함께 표시되도록 할 수도 있다.
도 10은 메시지 내용 요약창에 인증된 메시지에 대해서만 기설정된 해당 기업 로고(400)가 표시되도록 하는 것을 예시하고 있으며, 도 11는 메시지 내용 요약창에 인증된 메시지에 대해서만 기설정된 인증마크(450)가 표시되도록 하는 것을 예시하고 있다.
또한, 도 12는 인증된 메시지에 대해 기설정된 기업로고(400)와 인증된 메시지임을 알리는 인증문자로 "인증메시지입니다" 등과 같은 특정 문구(500)가 함께 표시되도록 하는 것을 예시하고 있다.
위와 같은 예시에서와 같이 제어부(906)에서는 인증 확인 메시지에 대해 사용자의 인지성을 높일 수 있는 다양한 방법으로 표시하여 사용자가 인증된 메시지와 비인증된 메시지를 쉽게 구분할 수 있도록 함으로써, 인증된 메시지에 대해서도 스팸을 의심하여 확인하지 않거나 하는 것을 방지시킬 수 있다.
또한, 제어부(906)는 URL이 포함된 메시지에 대해서는 인증부(912)를 제어하여 메시지내 삽입된 URL 검증 정보를 추출하여 메시지내 포함된 URL에 대한 위험성을 메시지의 수신 화면상에 표시시킨다.
이때, 제어부(906)는 예를 들어 URL 검증 정보를 이용하여 수신된 메시지내 포함된 URL을 통해 연결되는 서버의 위치가 해외인 것을 확인하는 경우, 해당 URL이 해외에 위치한 서버로 연결됨을 알리는 정보를 화면상 문자 또는 그림으로 표시시키거나 소리로 출력시켜 사용자가 URL의 위험성을 인지하도록 할 수 있다.
또한, 제어부(906)는 예를 들어 URL 검증 정보를 통해 수신된 메시지내 포함된 URL이 특정 어플리케이션의 설치를 유도하는 것을 확인하는 경우, 해당 URL이 특정 어플리케이션의 설치를 유도하는 것을 알리는 정보를 화면상 문자 또는 그림으로 표시시키거나 소리로 출력시켜 사용자가 URL의 위험성을 인지하도록 할 수 있다.
도 13은 메시지 수신 시 메시지 내용을 요약하여 보여주는 메시지 내용 요약창에 URL 위험성 정보가 표시되도록 하는 것을 예시한 도면이다.
위 도 13을 참조하면, 제어부(906)는 URL 검증 정보를 이용하여 수신된 메시지내 포함된 URL을 통해 연결되는 서버의 위치가 해외인 것을 확인하는 경우, 해당 URL이 해외에 위치한 서버로 연결됨을 알리는 정보를 해당 메시지의 요약창에 예를 들어 참조번호 460에서와 같이 경고등 표시와 함께 "해외" 등의 문자로 표시시킬 수 있다.
또한, 제어부(906)는 URL 검증 정보를 통해 수신된 메시지내 포함된 URL이 특정 어플리케이션의 설치를 유도하는 것을 확인하는 경우, 해당 URL이 특정 어플리케이션의 설치를 유도하는 것을 알리는 정보를 해당 메시지의 요약창에 예를 들어 참조번호 462에서와 같이 경고등 표시와 함께 "APP" 등의 문자로 표시시킬 수 있다.
또한, 제어부(906)는 메시지 포함된 URL이 해외 서버로 연결되고, 특정 어플리케이션의 설치를 유도하는 것을 확인하는 경우에는 해당 메시지의 요약창에 예를 들어 참조번호 464에서와 같이 경고등 표시와 함께 "해외", "APP" 등을 모두 표시시킬 수도 있다.
위와 같은 예시에서와 같이 제어부(906)에서는 URL이 포함된 메시지가 수신되는 경우, 메시지내 포함된 URL의 위험성에 대해 사용자의 인지성을 높일 수 있는 다양한 방법으로 표시하여 사용자가 URL의 위험성을 쉽게 인지할 수 있도록 함으로써, 비정상 URL로 인한 피해가 방지될 수 있도록 한다.
도 14는 본 발명의 실시예에 따른 메시지 검사장치(704)에서 메시지 인증을 위한 동작 제어 흐름을 도시한 것이다. 이하, 도 7 내지 도 14를 참조하여 상세히 설명하기로 한다.
먼저, 메시지 검사장치(704)는 메시지 제공자(700)가 될 수 있는 금융업체, 제조업체, 오픈 마켓 등의 다수의 기업으로부터 타겟이 되는 사용자 단말(712)로 발송하는 다양한 메시지를 수신할 수 있다(S700).
이때, 위와 같은 사용자 단말(712)은 예를 들어 휴대폰, 스마트폰 등의 이동통신 단말기 또는 메시지 수신이 가능한 표시창을 구비한 일반 유/무선 전화기 등을 포함할 수 있으며, 본 발명의 실시예에서는 설명의 편의상 휴대폰, 스마트폰 등의 이동통신 단말기의 경우를 예를 들어 설명하기로 한다.
그러면, 메시지 검사장치(704)는 수신된 메시지로부터 메시지 제공자(700)의 인증 식별자 정보를 추출한다(S702). 이때, 인증 식별자 정보는 정상적인 메시지를 발송하는 기업에 대해 해당 기업을 식별할 수 있도록 설정한 정보를 의미하는 것으로 예를 들어 CID(caller ID) 정보 또는 일련의 숫자 정보가 될 수 있다.
위와 같이 인증 식별자 정보를 추출한 경우, 메시지 검사장치(704)는 추출된 인증 식별자 정보를 검사하여 메시지 제공자(700)가 정상적인 메시지 제공자 인지를 인증한다(S704).
즉, 예를 들어 메시지 검사장치(704)는 수신된 메시지로부터 추출된 인증 식별자 정보와 인증정보 관리서버(706) 등에 미리 등록된 전체 인증 식별자 정보와 비교하여 일치하는 인증 식별자 정보가 존재하는 경우 해당 메시지를 발송한 메시지 제공자(700)를 정상적인 메시지 제공자로 인증할 수 있다.
이때, 인증 식별자 정보의 검사를 통해 메시지를 발송한 메시지 제공자(700)가 인증된 메시지 제공자(700)로 판별되지 않는 경우(S706), 메시지 검사장치(704)는 해당 메시지에 대해서는 인증 확인 정보 등의 부가 정보를 삽입하지 않고, 일반적인 메시지와 동일하게 처리하여 SMSC(708), MMSC(710) 또는 패킷기반 메시지 서버(711) 등을 통해 해당 사용자 단말(712)로 전송되도록 한다(S712).
이와 달리, 인증 식별자 정보의 검사를 통해 메시지를 발송한 메시지 제공자(700)가 인증된 메시지 제공자(700)로 판별되는 경우(S706), 메시지 검사장치(704)는 해당 메시지에 대해서는 인증된 메시지 제공자(700)로부터의 발송된 안전한 메시지임을 의미하는 인증 확인 정보를 생성한다(S708).
이때, 메시지 검사장치(704)는 위와 같은 인증 확인 정보를 여러 가지 방법으로 생성할 수 있다.
먼저, 가장 간단한 방법으로 메시지 검사장치(704)는 인증된 메시지 제공자(700)로부터 발송된 메시지에 대해 해당 메시지의 인증 여부를 true 또는 false 등의 암호화되지 않은 간단한 확인 정보로 생성하여 메시지의 헤더나 데이터 영역의 미리 약속된 일정 영역에 부가할 수 있다.
다음으로, 메시지 검사장치(704)는 인증 확인 정보의 보안을 위해 해당 인증 확인 정보를 메시지가 발송될 타겟 사용자 단말(712)의 MIN 정보 등과 같은 사용자 단말 정보를 이용하여 기설정된 암호화 알고리즘으로 암호화한 후, 암호화된 인증 확인 정보를 메시지의 헤더나 데이터 영역의 일정 영역에 부가할 수 있다. 이때, 위와 같은 암호화 알고리즘은 예를 들어 해쉬 알고리즘이 될 수 있으며, 이와 같이 암호화 알고리즘으로 암호화를 수행하는 경우 사용자 단말(712)에도 동일한 암호화 알고리즘이 미리 제공될 수 있다.
다음으로, 메시지 검사장치(704)는 위와 같은 인증 확인 정보를 OTP 값으로 메시지에 포함시켜 전송할 수 있다. 이와 같은 OTP값은 메시지의 전송시간과 MIN 등의 사용자 단말 정보를 입력하여 생성된 값으로, 메시지의 헤더나 데이터 영역의 일정 영역에 부가할 수 있다. 이와 같은 경우 사용자 단말(712)에서는 OTP 터미널 기능을 구현하여 OTP값을 생성한 후, 메시지에 포함된 OTP값과 비교하여 동일한 OTP값인 경우 수신된 메시지가 인증된 메시지인 것을 확인할 수 있다.
다음으로, 메시지 검사장치(704)는 위와 같은 인증 확인 정보를 메시지 포맷상 PID(Packet Identification) 필드에 메시지 인증 여부를 지시하도록 새로이 정의된 특정값으로 기록하는 생성할 수도 있다.
위와 같은 PID 필드는 메시지의 특성에 따라 기설정된 여러 가지 값으로 기록되어 사용자 단말(712)에서 해당 PID 필드에 기록된 값에 대응되는 동작을 수행하도록 하는 필드로서, 메시지 검사장치(704)에서는 위와 같이 여러 가지 정의된 값이 기록되는 PID 필드에 메시지 인증을 위한 새로운 특정값을 정의하고, 메시지와 함께 전송하여 메시지 인증에 사용되도록 할 수 있다. 이때, PID 필드상 새로이 정의되는 특정값에 대한 정보는 사용자 단말(712)로 미리 제공될 수 있다.
이와 같은 경우 사용자 단말(712)에서는 수신된 메시지의 PID 필드에 기록된 값을 검사하여 수신된 메시지의 인증 여부를 확인할 수 있다.
이어, 메시지 검사장치(704)는 위와 같이 생성한 인증 확인 정보가 메시지 제공자(700)가 발송한 메시지에 포함되도록 해당 메시지를 가공한 후(S710), 인증 확인 정보가 포함된 메시지를 메시지의 특성에 따라 SMSC(708), MMSC(710) 또는 패킷기반 메시지 서버(711) 등으로 전송하여(S712) 메시지 제공자(700)가 발송 요청한 사용자 단말(712)로 전송될 수 있도록 한다.
도 15는 본 발명의 실시예에 따른 메시지 검사장치(704)에서 URL 검증 정보를 메시지에 포함시켜 전송하는 동작 제어 흐름을 도시한 것이다. 이하, 도 7 내지 도 13 및 도 15를 참조하여 상세히 설명하기로 한다.
먼저, 메시지 검사장치(704)는 메시지 제공자(700)가 될 수 있는 금융업체, 제조업체, 오픈 마켓 등의 다수의 기업으로부터 타겟이 되는 사용자 단말(712)로 발송하는 다양한 메시지를 수신할 수 있다(S800).
이때, 위와 같은 사용자 단말(712)은 예를 들어 휴대폰, 스마트폰 등의 이동통신 단말기 또는 메시지 수신이 가능한 표시창을 구비한 일반 유/무선 전화기 등을 포함할 수 있으며, 본 발명의 실시예에서는 설명의 편의상 휴대폰, 스마트폰 등의 이동통신 단말기의 경우를 예를 들어 설명하기로 한다.
또한, 이때, 위와 같이 기업 등의 메시지 전송 주체로부터 타겟이 되는 다수의 사용자의 사용자 단말(712)로 전송되는 SMS, MMS 또는 패킷기반 메시지 등의 메시지 중에는 메시지내 비정상적인 URL을 삽입하여 사용자가 URL을 클릭하는 경우 악성 코드를 포함하는 어플리케이션이 설치되도록 하거나 해외의 스미싱 업체로 연결되도록 함으로써, 피해를 발생시키는 비정상 URL이 포함된 메시지가 존재할 수 있다.
따라서, 메시지 검사장치(704)는 메시지 제공자(700)로부터의 메시지 수신 시 메시지내 URL이 포함되었는지 여부를 검사한다(S802).
이때 만일, 메시지 제공자(700)로부터 수신된 메시지내 URL이 포함된 것으로 검사되는 경우(S804), 메시지 검사장치(704)는 메시지에 포함된 URL에 대한 위험성 여부를 분석한다(S806).
이때, 메시지 검사장치(704)는 URL에 대한 위험성 여부를 분석함에 있어서, 예를 들어 직접 URL을 클릭하여 URL의 클릭에 따라 발생하는 어플리케이션의 설치유도 여부나 알려지지 않는 해외 서버로의 링크 여부 등을 검사하여 URL의 위험성을 분석하고, 위험성의 종류를 구분할 수 있다.
또한, 메시지 검사장치(704)는 URL의 위험성을 분석함에 있어서, 예를 들어 URL의 위험성을 분석하기 위해 별도로 구현되는 URL 분석 서버(707) 등을 이용하여 URL의 위험성을 분석할 수도 있다. 이때, 메시지 검사장치(704)는 메시지내 URL이 포함된 경우, 해당 URL을 URL 분석 서버(707)로 전송하여 위험성이 있는 URL 인지 여부를 요청하고, URL 분석 서버(707)로부터 분석 결과를 제공받아 URL 위험성 여부를 확인할 수도 있다.
즉, 메시지 검사장치(704)는 URL 위험성 분석 결과, 메시지내 포함된 URL을 통해 연결되는 서버의 위치가 해외인 것으로 분석되는 경우(S808), URL이 해외에 위치한 서버로 연결됨을 알리는 정보를 URL 검증 정보로 생성한다(S810).
이어, 메시지 검사장치(704)는 위와 같이 생성한 URL 검증정보가 메시지 제공자(700)가 발송한 메시지에 포함되도록 해당 메시지를 가공한 후(S812), 메시지의 특성에 따라 SMSC(708), MMSC(710) 또는 패킷기반 메시지 서버(711)로 전송하여(S820) 메시지 제공자(700)가 발송 요청한 사용자 단말(712)로 전송될 수 있도록 한다. 이때, 메시지 검사장치(704)는 위와 같이 생성한 URL 검증 정보를 메시지에 포함시킴에 있어서, 예를 들어 메시지의 헤더(header)나 데이터 영역(data area)의 일정 영역에 부가할 수 있다.
또한, 메시지 검사장치(704)는 URL 위험성 분석 결과, 메시지내 포함된 URL이 특정 어플리케이션의 설치를 유도하는 것으로 분석되는 경우(S814), URL이 어플리케이션의 설치를 유도하는 것을 알리는 정보를 URL 검증 정보로 생성한다(S816).
이어, 메시지 검사장치(704)는 위와 같이 생성한 URL 검증정보가 메시지 제공자(700)가 발송한 메시지에 포함되도록 해당 메시지를 가공한 후(S818), 메시지의 특성에 따라 SMSC(708), MMSC(710) 또는 패킷기반 메시지 서버(711)로 전송하여(S820) 메시지 제공자(700)가 발송 요청한 사용자 단말(712)로 전송될 수 있도록 한다.
도 16은 본 발명의 다른 실시예에 따른 메시지 검사장치에서 메신저 등을 통해 전송되는 메시지 중 위험성이 있는 URL 정보를 알리는 동작 제어 흐름을 도시한 것이다. 이하, 도 7 내지 도 13 및 도 16을 참조하여 본 발명의 실시예를 상세히 설명하기로 한다.
먼저, 메시지 검사장치(704)는 SMS, MMS 메시지 외에 패킷기반 메시지 서버(160)를 이용하는 메신저 등을 통해 전송되는 메시지를 수신한다(S900).
이때, 메신저를 통해 수신되는 메시지 중에는 SMS, MMS 메시지 등과 마찬가지로, 메시지내 악성 URL을 삽입하여 사용자가 URL을 클릭하는 경우 악성 코드를 포함하는 어플리케이션이 설치되도록 하거나 해외의 스미싱 업체로 연결되도록 함으로써, 피해를 발생시키는 악성 URL이 포함된 메시지가 존재할 수 있다.
따라서, 메시지 검사장치(704)는 메신저를 통해 전송되는 메시지의 수신 시 해당 메시지내 URL이 포함되었는지 여부를 검사한다(S902).
이때 만일, 메시지내 URL이 포함된 것으로 검사되는 경우(S904), 메시지 검사장치(704)는 메시지에 포함된 URL에 대한 위험성 여부를 분석한다(S906).
이때, 메시지 검사장치(704)는 URL에 대한 위험성 여부를 분석함에 있어서, 예를 들어 직접 URL을 클릭하여 URL의 클릭에 따라 발생하는 어플리케이션의 설치유도 여부나 알려지지 않는 해외 서버로의 링크 여부 등을 검사하여 URL의 위험성을 분석하고, 위험성의 종류를 구분할 수 있다.
또한, 메시지 검사장치(704)는 URL의 위험성을 분석함에 있어서, 예를 들어 URL의 위험성을 분석하기 위해 별도로 구현되는 URL 분석 서버(707) 등을 이용하여 URL의 위험성을 분석할 수도 있다. 이때, 메시지 검사장치(704)는 메시지내 URL이 포함된 경우, 해당 URL을 URL 분석 서버(707)로 전송하여 위험성이 있는 URL 인지 여부를 요청하고, URL 분석 서버(707)로부터 분석 결과를 제공받아 URL 위험성 여부를 확인할 수도 있다.
즉, 메시지 검사장치(704)는 URL 위험성 분석 결과, 메시지내 포함된 URL을 통해 연결되는 서버의 위치가 해외인 것으로 분석되는 경우(S908) 또는 메시지내 포함된 URL이 특정 어플리케이션의 설치를 유도하는 것으로 분석되는 경우(S910), 해당 URL을 악성 URL로 판단하고, 악성 URL로 판단된 URL의 정보를 유해사이트 차단 및 안내 시스템(140)으로 전송한다(S912).
이에 따라, 위와 같이 전송된 URL 정보는 유해사이트 차단 및 안내 시스템(140)에서 관리하는 유해한 사이트 리스트에 등록되어, 사용자가 메시지내 포함된 해당 URL을 클릭하는 경우, 유해사이트 차단 및 안내 시스템(140)에 의해 해당 URL로의 접속이 차단되거나, 해당 URL의 위험성이 경고되어 악성 URL에 의한 피해가 방지될 수 있다.
도 17은 본 발명의 실시예에 따른 사용자 단말(712)에서 정상 메시지를 구분하여 표시시키는 동작 제어 흐름을 도시한 것이다. 이하. 도 7 내지 도 13 및 도 17을 참조하여 상세히 설명하기로 한다. 또한, 이하에서는 설명의 편의상 사용자 단말 중 휴대폰, 스마트폰 등의 이동통신 단말기에서의 동작을 예를 들어 설명하나 메시지의 수신과 표시가 가능한 다른 종류의 사용자 단말에서도 동일하게 적용될 수 있다.
먼저, 사용자 단말(712)은 메시지 제공자(700)가 될 수 있는 금융업체, 제조업체, 오픈 마켓 등의 다수의 기업으로부터 발송된 메시지를 통신망을 통해 수신하는 경우(S1000), 수신된 메시지에 메시지의 정상 여부를 알리는 정보로써 인증 확인 정보가 포함되어 있는지를 확인하여 인증 확인 정보를 추출한다(S1002).
이어, 사용자 단말(712)은 인증 확인 정보를 분석하여 인증 확인 정보가 암호화되어 있는지 여부를 확인한다(S1004).
이때, 인증 확인 정보가 암호화되어 있지 않은 경우, 사용자 단말(712)은 메시지상 미리 약속된 영역에서 해당 인증 확인 정보를 읽어 들여 간단히 인증된 메시지인지 여부를 확인할 수 있다(S1010).
위와 같이 인증 확인 정보가 암호화되어 있지 않은 경우로는 예를 들어, 메시지 검사장치(704)에서 메시지의 인증 여부를 true 또는 false 등의 암호화되지 않은 간단한 인증 확인 정보로 생성하여 메시지의 헤더(header)나 데이터 영역(data area)의 일정 영역에 부가하는 경우가 될 수 있다. 또는, 메시지 검사장치(704)에서 메시지의 인증 여부를 메시지 포맷상 PID(Packet Identification) 필드에 미리 정의된 특정값으로 대체하여 기록한 경우가 될 수 있다.
따라서, 사용자 단말(712)은 메시지상 미리 약속된 영역에서 해당 인증 확인 정보를 그대로 읽어 들여 인증 여부를 확인하거나, PID 필드에 인증 여부를 확인할 수 있도록 미리 정의된 특정값이 기록되어 있는지를 확인하여 인증 여부를 확인할 수 있다.
그러나, 인증 확인 정보가 암호화되어 있는 경우(S1006), 사용자 단말(712)은 인증 확인 정보의 암호화를 해독하여(S1008) 인증 확인 정보를 확인하게 된다(S1010).
위와 같이 인증 확인 정보가 암호화되어 있는 경우로는 예를 들어, 메시지 검사장치(704)에서 인증 확인 정보의 보안을 위해 해당 인증 확인 정보를 메시지가 발송될 타겟 사용자 단말(712)의 사용자 단말 정보 즉, 예를 들어, MIN(Mobile Identification Number) 정보 등을 이용하여 해쉬 알고리즘 등의 기설정된 암호화 알고리즘으로 암호화한 후, 암호화된 인증 확인 정보를 메시지의 헤더나 데이터 영역의 일정 영역에 부가하는 경우가 될 수 있다.
또는, 메시지 검사장치(704)에서 인증 확인 정보를 OTP 값으로 메시지에 포함시켜 전송하는 경우가 될 수 있다. 이와 같은 OTP값은 메시지의 전송시간과 MIN 등의 사용자 단말 정보를 입력하여 생성된 값으로, 메시지의 헤더나 데이터 영역의 일정 영역에 포함되어 전송될 수 있다.
따라서, 사용자 단말(712)은 예를 들어 위와 같은 인증 확인 정보가 해쉬 알고리즘 등의 암호화 알고리즘으로 암호화된 경우에는 메시지상 미리 약속된 영역에서 암호화된 인증 확인 정보를 추출하고, 인증 확인 정보가 암호화될 때 사용된 동일한 암호화 알고리즘과 MIN 정보 등의 사용자 단말 정보를 이용하여 암호화를 해독하고 인증 확인 정보를 확인하게 된다.
또한, 사용자 단말(712)은 인증 확인 정보가 OTP값으로 전송된 경우, OTP 터미널 기능을 구현하여 OTP값을 생성한 후, 메시지에 포함된 OTP값과 비교하여 동일한 OTP값인 경우 수신된 메시지가 인증된 메시지인 것을 확인할 수 있다.
이때, 사용자 단말(712)은 메시지 검사장치(704)에서 OTP값을 생성하는데 사용된 것과 동일한 OTP 생성기를 구비할 수 있으며, 인증 확인 정보가 메시지와 함께 OTP값으로 전송되는 경우 메시지 검사장치(704)에서 OTP 생성기의 입력값으로 사용한 동일한 파라메타인 메시지 전송시간과 사용자 단말 정보를 입력으로 OTP값을 생성한 후, 이와 같이 생성된 OTP값과 메시지에 포함된 OTP값을 비교할 수 있다.
위와 같은 인증 과정을 거쳐 확인되는 인증 확인 정보는 해당 메시지가 인증된 메시지인 여부에 대한 정보가 예를 들어 true 또는 false로 기록된 정보일 수 있으며, true는 인증된 메시지임을 의미하고, false는 인증되지 않은 메시지임을 의미할 수 있다.
따라서, 사용자 단말(712)은 인증 확인 정보를 확인하여 해당 메시지가 인증된 메시지인지 여부를 검사하고(S1012), 인증된 메시지가 아닌 경우에는 일반적인 경우와 마찬가지로 처리한다.
그러나, 인증된 메시지인 경우 사용자 단말(712)은 메시지의 수신 알림과 함께 인증된 메시지임을 사용자 단말(712)의 메시지 수신 화면상 인증 메시지임을 나타내는 기업 로고, 인증마크, 인증문자 등으로 표시시키거나, 또는 소리로 출력시키는 등의 다양한 방식으로 알림으로써(S1014) 사용자가 현재 수신된 메시지가 인증된 메시지인지 여부를 확인할 수 있도록 한다.
이때, 사용자 단말(712)은 예를 들어, 인증된 메시지가 수신되는 경우 도 10, 도 11 또는 도 12에서 도시된 바와 같이 메시지 내용 요약창에 기설정된 기업로고(400), 인증마크(450)를 표시시킬 수도 있으며, 팝업 메시지로 "인증메시지입니다"라는 인증문자(500) 또는 소리 등으로 출력시킬 수도 있으며, 인증마크(450)와 인증문자(5000를 동시에 표시시킬 수도 있다.
이에 따라 사용자 단말(712)로 수신되는 수많은 SMS, MMS 메시지 또는 패킷기반 메시지 등의 메시지 중, 안전한 것으로 인증된 메시지에 대해서는 사용자 단말(712)상에서 다양한 방법으로 표시시켜 사용자가 인증된 메시지와 비인증된 메시지를 쉽게 구분할 수 있도록 함으로써, 인증된 메시지에 대해 스팸을 의심하여 확인하지 않거나 하는 것을 방지시킬 수 있다.
도 18은 본 발명의 실시예에 따른 사용자 단말(712)에서 비정상 메시지를 구분하여 표시시키는 동작 제어 흐름을 도시한 것이다. 이하. 도 7 내지 도 13 및 도 18을 참조하여 상세히 설명하기로 한다.
먼저, 사용자 단말(712)은 메시지 제공자(700)가 될 수 있는 금융업체, 제조업체, 오픈 마켓 등의 다수의 기업으로부터 발송된 메시지를 통신망을 통해 수신하는 경우(S1100), 수신된 메시지에 메시지의 정상 여부를 알리는 정보로써 URL 검증 정보가 포함되어 있는지 여부를 검사한다(S1102).
이때, 수신된 메시지내 URL 검증 정보가 포함되어 있는 것으로 검사되는 경우(S1104), 사용자 단말(712)은 메시지의 헤더(header)나 데이터 영역(data area) 등 기설정된 일정 영역에 포함된 URL 검증 정보를 추출한다(S1106).
이어, 사용자 단말(712)은 추출된 URL 검증 정보를 분석하여 메시지내 포함된 URL에 대한 위험성 여부를 확인한 후(S1108), 메시지내 포함된 URL의 위험성에 대해 사용자의 인지성을 높일 수 있는 다양한 방법으로 표시하여 사용자가 URL의 위험성을 쉽게 인지할 수 있도록 한다(S1110).
이때, URL 검증 정보를 기반으로 URL의 위험성을 표시함에 있어서, 사용자 단말(712)은 예를 들어 URL 검증 정보를 통해 수신된 메시지내 포함된 URL을 통해 연결되는 서버의 위치가 해외인 것을 확인하는 경우, 해당 URL이 해외에 위치한 서버로 연결됨을 알리는 정보를 도 13의 참조번호 460에서 보여지는 바와 같이 화면상 문자 또는 그림으로 표시시키거나 소리로 출력시켜 사용자가 URL의 위험성을 인지하도록 할 수 있다.
또한, 사용자 단말(712)은 예를 들어 URL 검증 정보를 통해 수신된 메시지내 포함된 URL이 특정 어플리케이션의 설치를 유도하는 것을 확인하는 경우, 해당 URL이 특정 어플리케이션의 설치를 유도하는 것을 알리는 정보를 도 13의 참조번호 462에서 보여지는 바와 같이 화면상 문자 또는 그림으로 표시시키거나 소리로 출력시켜 사용자가 URL의 위험성을 인지하도록 할 수 있다.
상기한 바와 같이, 본 발명에 따르면 메시지를 검사하는 방법에 있어서, 사용자 단말로 발송되는 다양한 메시지에 대해서 사용자 단말로 전송하기 전에 해당 메시지의 정상 여부를 검사하고, 메시지의 정상여부에 대한 추가 정보를 해당 메시지에 삽입하여 전송함으로써, 악성 URL을 포함하거나 인증되지 않은 메시지 제공자로부터의 불필요한 메시지가 정상메시지와 구별될 수 있게 되어 비정상 메시지로 인한 피해를 방지시킬 수 있다.
또한, 메시지를 검사하는 방법에 있어서, URL이 포함된 메시지에 대해서는 URL이 악성 어플리케이션의 설치를 유도하는 악성 URL인지 여부를 검사하고, 악성 URL인 경우 해당 URL이 포함된 메시지를 비정상 메시지로 판단하여 사용자 단말로 전송되지 않도록 차단시키거나, URL의 위험성을 경고함으로써 악성 URL로 인한 피해가 방지되도록 한다. 또한, 악성 URL을 포함한 메시지에 대해 사용자 단말로 전송되기 전 메시지 전송서버에서 미리 필터링을 통해 차단시킴으로써 메시지를 통해 전파되는 악성 어플리케이션에 대한 원천적이고 선제적으로 차단할 수 있다. 또한, 악성 URL을 통해 다운로드되는 어플리케이션에 대한 악성 여부를 통신사 자체적으로 검사할 수 있는 모델을 제시함으로써 백신 엔진을 제공하는 백신 제공 회사에 비하여 악성 어플리케이션 샘플 수집에 더 유리하게 되어, 악성 어플리케이션 대응에 있어서 통신사의 독자적인 사업 모델을 창출할 수 있다.
또한, SMS, MMS 등의 메시지 외에 메신저 등과 같이 통신망상 다른 경로를 통해 사용자 단말로 전송되는 메시지에 대해서는 해당 메시지내 포함된 URL의 악성 여부를 검사한 후, 악성 URL로 검사된 URL의 정보를 유해사이트 차단 및 안내 시스템에 제공함으로써, 사용자가 메시지내 포함된 악성 URL을 클릭하더라도 유해사이트 차단 및 안내 시스템에 의해 해당 URL로의 접속이 차단되거나 경고되도록 하여 피해가 방지되도록 할 수 있다.
한편 상술한 본 발명의 설명에서는 구체적인 실시예에 관해 설명하였으나, 여러 가지 변형이 본 발명의 범위에서 벗어나지 않고 실시될 수 있다. 따라서 발명의 범위는 설명된 실시 예에 의하여 정할 것이 아니고 특허청구범위에 의해 정하여져야 한다.

Claims (20)

  1. 메시지를 수신하면, 상기 메시지 내에 URL(uniform resource locator)이 포함되어 있는지 여부를 검사하고, 상기 URL을 추출하는 URL 추출부와,
    상기 URL을 통해 어플리케이션을 다운로드 받는 통신부와,
    상기 통신부를 통해 다운로드된 상기 어플리케이션내에 보안상 위험성을 가지는 권한 또는 API가 포함되어 있는지 여부를 검사하여 상기 URL의 악성여부를 판단하는 권한/API 검증부
    를 포함하는 메시지 검사장치.
  2. 제 1 항에 있어서,
    상기 메시지 검사장치는,
    악성으로 판단된 URL 리스트 정보를 필터링 정보로 저장하고, 상기 통신부에서 상기 어플리케이션을 다운로드 받기 전에 상기 추출된 URL이 상기 필터링 정보에 존재하는지 여부를 검사하여 상기 추출된 URL이 상기 필터링 정보에 존재하는 경우 상기 URL을 차단하는 사전 필터링부
    를 더 포함하는 것을 특징으로 하는 메시지 검사장치.
  3. 제 1 항에 있어서,
    상기 메시지 검사장치는,
    악성 어플리케이션을 유포하는 사이트를 포함하여 유해 사이트로 판단된 URL에 사용자 단말이 접속하는 경우 상기 접속을 차단하는 유해 사이트 차단 및 안내 시스템으로 악성으로 판단된 URL을 제공하는 것을 특징으로 하는 메시지 검사장치.
  4. 제 1 항에 있어서,
    상기 메시지 검사장치는,
    상기 URL이 악성으로 판단되는 경우, 상기 URL이 악성임을 표시하는 URL 검증 정보를 생성하고, 상기 URL 검증 정보가 상기 메시지에 포함되도록 가공하는 가공부
    를 더 포함하는 것을 특징으로 하는 메시지 검사장치.
  5. 제 1 항에 있어서,
    상기 메시지 검사장치는,
    상기 통신부를 통해 다운로드된 상기 어플리케이션을 애뮬레이터 상에서 실행시킨 후, 상기 실행 결과를 분석하여 악성 여부를 판단하는 동적 분석부
    를 더 포함하는 것을 특징으로 하는 메시지 검사장치.
  6. 제 1 항에 있어서,
    상기 권한/API 검증부는,
    상기 통신부를 통해 다운로드된 상기 어플리케이션의 실행파일을 분석하여 상기 어플리케이션에 부여된 권한 정보 중 보안상 위험성을 가지는 권한이 존재하는지를 검사하여 상기 URL의 악성여부를 판단하거나, 또는 상기 어플리케이션의 실행 파일을 디컴파일하여 상기 권한을 수행하기 위한 API가 실행되는지 여부를 검사하여 상기 URL의 악성여부를 판단하는 것을 특징으로 하는 메시지 검사장치.
  7. 메시지를 수신하면, 상기 메시지 내에 URL이 포함되어 있는지 여부를 검사하고, 상기 URL을 추출하는 URL 추출 단계와,
    상기 URL을 통해 어플리케이션을 다운로드 받는 다운로드 단계와,
    상기 다운로드된 어플리케이션 내에 보안상 위험성을 가지는 권한 또는 API가 포함되어 있는지 여부를 검사하여 상기 URL의 악성여부를 판단하는 권한/API 검증단계
    를 포함하는 메시지 검사방법.
  8. 제 7 항에 있어서,
    상기 URL이 악성으로 판단되는 경우, 상기 URL이 악성임을 표시하는 URL 검증 정보를 생성하고, 상기 URL 검증 정보가 상기 메시지에 포함되도록 가공하는 메시지 가공단계
    를 더 포함하는 것을 특징으로 하는 메시지 검사방법.
  9. 제 7 항에 있어서,
    다운로드된 상기 어플리케이션을 애뮬레이터 상에서 실행시킨 후, 상기 실행결과를 분석하여 악성 여부를 판단하는 동적분석단계
    를 더 포함하는 것을 특징으로 하는 메시지 검사방법.
  10. 제 7 항에 있어서,
    상기 권한/API 검증단계는,
    다운로드된 상기 어플리케이션의 실행파일을 분석하여 상기 어플리케이션에 부여된 권한 정보 중 보안상 위험성을 가지는 권한이 존재하는지를 검사하는 단계와,
    상기 권한의 검사 후, 상기 어플리케이션의 실행 파일을 디컴파일하여 상기 권한을 수행하기 위한 API가 실행되는지 여부를 검사하는 단계
    를 포함하는 것을 특징으로 하는 메시지 검사방법.
  11. 임의의 메시지 제공자로부터 발송 요청된 메시지를 수신하는 통신부와,
    상기 메시지가 정상 메시지인지 여부를 검사하는 인증부와,
    상기 검사 결과에 따라 상기 메시지에 상기 메시지의 정상 여부를 알리는 정보를 포함시키는 가공부
    를 포함하는 메시지 검사장치.
  12. 제 11 항에 있어서,
    상기 인증부는,
    상기 메시지 제공자의 인증 식별자 정보를 추출하고, 추출된 상기 인증 식별자 정보가 정당한 메시지 제공자에게 미리 할당된 인증 식별자 정보인지 여부를 검사하여 상기 메시지가 정상 메시지인지 여부를 판단하는 것을 특징으로 하는 메시지 검사장치.
  13. 제 11 항에 있어서,
    상기 인증부는,
    상기 메시지내 URL이 포함된 경우에는 상기 URL의 위험성을 검사하고, 상기 URL을 통해 연결되는 서버의 위치가 해외이거나, 상기 URL이 클릭될 때 특정 어플리케이션이 설치되도록 유도되는 경우 상기 메시지가 비정상 메시지인 것으로 판단하는 것을 특징으로 하는 메시지 검사장치.
  14. 제 11 항에 있어서,
    상기 가공부는,
    상기 메시지의 정상 여부를 알리는 정보를 상기 메시지가 전송 요청된 사용자 단말의 단말 정보를 기반으로 기설정된 암호화 알고리즘으로 암호화하여 상기 메시지에 포함시키는 것을 특징으로 하는 메시지 검사장치.
  15. 제 11 항에 있어서,
    상기 가공부는,
    상기 메시지의 정상 여부를 알리는 정보를 상기 메시지의 포맷 상 PID 필드 또는 상기 메시지의 포맷 상 헤더 또는 데이터 영역에 기록하는 것을 특징으로 하는 메시지 검사장치.
  16. 임의의 메시지 제공자로부터 발송 요청된 메시지를 수신하는 단계와,
    상기 메시지가 정상 메시지인지 여부를 검사하는 단계와,
    상기 검사 결과에 따라 상기 메시지에 상기 메시지의 정상 여부를 알리는 정보를 포함시키는 단계
    를 포함하는 메시지 검사방법.
  17. 제 16 항에 있어서,
    상기 검사하는 단계는,
    상기 메시지 제공자의 인증 식별자 정보를 추출하는 단계와,
    상기 추출된 상기 인증 식별자 정보가 정당한 메시지 제공자에게 미리 할당된 인증 식별자 정보인지 여부를 검사하는 단계와,
    상기 추출된 인증 식별자 정보가 상기 정당한 메시지 제공자에게 할당된 인증 식별자 정보로 확인되는 경우 상기 메시지를 정상 메시지로 판단하는 단계
    를 포함하는 것을 특징으로 하는 메시지 검사방법.
  18. 제 16 항에 있어서,
    상기 검사하는 단계는,
    상기 메시지내 URL이 포함된 경우에는 상기 URL의 위험성을 검사하는 단계와,
    상기 검사결과, 상기 URL을 통해 연결되는 서버의 위치가 해외이거나, 상기 URL이 클릭될 때 특정 어플리케이션이 설치되도록 유도되는 경우 상기 메시지가 비정상 메시지인 것으로 판단하는 단계
    를 포함하는 것을 특징으로 하는 메시지 검사 방법.
  19. 통신망을 통해 메시지를 수신하는 통신부와,
    상기 메시지에 포함된 상기 메시지의 정상 여부를 알리는 정보를 추출하여 상기 메시지의 정상 또는 비정상 여부를 검사하는 인증부와,
    상기 검사 결과에 따라 상기 메시지가 정상 메시지인지 또는 비정상 메시지인지 여부를 알리는 제어부
    를 포함하는 사용자 단말.
  20. 제 19 항에 있어서,
    상기 제어부는,
    상기 정보가 포함되어 수신된 메시지에 대해서는, 상기 인증부의 검사 결과에 기반하여 상기 메시지가 정상 메시지인지 또는 비정상 메시지인지에 대한 정보를 사용자 단말의 화면 상의 기설정된 문자 또는 그림으로 표시시키거나 소리로 출력시키는 것을 특징으로 하는 사용자 단말.
PCT/KR2014/003157 2013-04-12 2014-04-11 메시지 검사장치, 사용자 단말 및 방법 WO2014168453A1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201480020914.2A CN105144767B (zh) 2013-04-12 2014-04-11 用于检查消息的装置和方法以及用户终端
US14/882,095 US9973518B2 (en) 2013-04-12 2015-10-13 Apparatus and method for checking message and user terminal

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
KR1020130040639A KR101587156B1 (ko) 2013-04-12 2013-04-12 비정상 메시지 구분을 위한 메시지 가공장치, 사용자 단말 및 방법
KR10-2013-0040639 2013-04-12
KR10-2013-0066346 2013-06-11
KR20130066346 2013-06-11
KR10-2013-0131442 2013-10-31
KR1020130131442A KR101545964B1 (ko) 2013-06-11 2013-10-31 악성 url 검사장치 및 방법

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/882,095 Continuation US9973518B2 (en) 2013-04-12 2015-10-13 Apparatus and method for checking message and user terminal

Publications (1)

Publication Number Publication Date
WO2014168453A1 true WO2014168453A1 (ko) 2014-10-16

Family

ID=51689787

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2014/003157 WO2014168453A1 (ko) 2013-04-12 2014-04-11 메시지 검사장치, 사용자 단말 및 방법

Country Status (1)

Country Link
WO (1) WO2014168453A1 (ko)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106714122A (zh) * 2016-05-03 2017-05-24 腾讯科技（深圳）有限公司 短信传播病毒检测方法和装置
CN108322912A (zh) * 2017-01-16 2018-07-24 中国移动通信有限公司研究院 一种短信辨别的方法及装置
CN108834149A (zh) * 2018-06-29 2018-11-16 联想(北京)有限公司 一种处理方法、处理设备及系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030012556A (ko) * 2001-08-01 2003-02-12 (주)마크텍 워터마킹 및 암호화 기술을 이용한 메일 송수신 시스템 및그 방법
KR20070091114A (ko) * 2004-10-18 2007-09-07 이부존 비.브이. 네트워크를 통해 전자 메일을 전송하는 방법 및 시스템
KR20090008247A (ko) * 2006-04-21 2009-01-21 루센트 테크놀러지스 인크 무선 네트워크에서 단문 메시지들의 전달을 제어하는 방법
KR20100059185A (ko) * 2008-11-26 2010-06-04 에스케이 텔레콤주식회사 보안 파일 발송 시스템 및 방법

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20030012556A (ko) * 2001-08-01 2003-02-12 (주)마크텍 워터마킹 및 암호화 기술을 이용한 메일 송수신 시스템 및그 방법
KR20070091114A (ko) * 2004-10-18 2007-09-07 이부존 비.브이. 네트워크를 통해 전자 메일을 전송하는 방법 및 시스템
KR20090008247A (ko) * 2006-04-21 2009-01-21 루센트 테크놀러지스 인크 무선 네트워크에서 단문 메시지들의 전달을 제어하는 방법
KR20100059185A (ko) * 2008-11-26 2010-06-04 에스케이 텔레콤주식회사 보안 파일 발송 시스템 및 방법

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106714122A (zh) * 2016-05-03 2017-05-24 腾讯科技（深圳）有限公司 短信传播病毒检测方法和装置
CN106714122B (zh) * 2016-05-03 2020-04-28 腾讯科技（深圳）有限公司 短信传播病毒检测方法和装置
CN108322912A (zh) * 2017-01-16 2018-07-24 中国移动通信有限公司研究院 一种短信辨别的方法及装置
CN108834149A (zh) * 2018-06-29 2018-11-16 联想(北京)有限公司 一种处理方法、处理设备及系统

Similar Documents

Publication Publication Date Title
WO2018008800A1 (ko) 블록체인을 기반으로 하는 공인인증서 인증시스템과 이를 이용한 블록체인을 기반으로 하는 공인인증서 인증방법
WO2015137745A1 (en) System and method of encrypting folder in device
WO2019231252A1 (en) Electronic device for authenticating user and operating method thereof
WO2018012747A1 (ko) 앱 위변조 탐지 가능한 2채널 인증 대행 시스템 및 그 방법
WO2016003200A1 (en) Method and apparatus for installing profile for euicc
WO2017099342A1 (ko) 임시 계정 정보를 제공하는 방법, 장치 및 시스템
WO2016018031A1 (en) System and method of providing recommendation content
WO2013172617A1 (en) Display apparatus, server, content delivery system and information providing method thereof
WO2017003136A1 (ko) 사용자 인증 방법 및 장치
EP3241129A1 (en) User terminal, service providing apparatus, driving method of user terminal, driving method of service providing apparatus, and encryption indexing-based search system
WO2012044064A4 (en) Server and service providing method thereof
WO2016126052A2 (ko) 인증 방법 및 시스템
WO2016068531A1 (en) Apparatus and method for payment using a secure module
WO2019132555A1 (ko) 이모지가 포함된 메시지를 송수신하는 전자 장치 및 그 전자 장치를 제어하는 방법
WO2015194836A1 (ko) 키 공유 방법 및 장치
WO2014148854A1 (ko) 적법한 인증 메시지 확인 시스템 및 방법
WO2018164486A1 (ko) 전자 장치 및 그의 무선 통신 연결 제어 방법
WO2014021567A1 (ko) 메시지 서비스 제공 방법, 이를 위한 장치 및 시스템
WO2017007132A1 (ko) 암호화된 통신 세션의 모니터링 방법, 장치 및 시스템
WO2019035491A1 (ko) 사용자 인증방법 및 장치
WO2018034491A1 (en) A primary device, an accessory device, and methods for processing operations on the primary device and the accessory device
WO2014168453A1 (ko) 메시지 검사장치, 사용자 단말 및 방법
WO2019161599A1 (zh) Im信息保护方法、装置、设备和计算机存储介质
WO2017188497A1 (ko) 무결성 및 보안성이 강화된 사용자 인증방법
WO2015084022A1 (ko) 컨텐츠 보안 방법 및 컨텐츠 보안 기능을 제공하는 전자장치

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201480020914.2

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14783041

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14783041

Country of ref document: EP

Kind code of ref document: A1