WO2017057899A1 - 일회용 난수를 이용하여 인증하는 통합 인증 시스템 - Google Patents

일회용 난수를 이용하여 인증하는 통합 인증 시스템 Download PDF

Info

Publication number
WO2017057899A1
WO2017057899A1 PCT/KR2016/010860 KR2016010860W WO2017057899A1 WO 2017057899 A1 WO2017057899 A1 WO 2017057899A1 KR 2016010860 W KR2016010860 W KR 2016010860W WO 2017057899 A1 WO2017057899 A1 WO 2017057899A1
Authority
WO
WIPO (PCT)
Prior art keywords
random number
user
password
seed value
disposable
Prior art date
Application number
PCT/KR2016/010860
Other languages
English (en)
French (fr)
Inventor
황순영
Original Assignee
황순영
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 황순영 filed Critical 황순영
Priority to CN201680058108.3A priority Critical patent/CN108370316A/zh
Priority to JP2018515133A priority patent/JP6498358B2/ja
Priority to EP16852045.0A priority patent/EP3358783A4/en
Priority to US15/758,044 priority patent/US20180254904A1/en
Publication of WO2017057899A1 publication Critical patent/WO2017057899A1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3226—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using a predetermined code, e.g. password, passphrase or PIN
    • H04L9/3228—One-time or temporary data, i.e. information which is sent for every authentication or authorization, e.g. one-time-password, one-time-token or one-time-key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0815—Network architectures or network communication protocols for network security for authentication of entities providing single-sign-on or federations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0863—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving passwords or one-time passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0861—Generation of secret information including derivation or calculation of cryptographic keys or passwords
    • H04L9/0869—Generation of secret information including derivation or calculation of cryptographic keys or passwords involving random numbers or seeds
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/582—Pseudo-random number generators
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/58—Random or pseudo-random number generators
    • G06F7/588—Random number generators, i.e. based on natural stochastic processes
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/107—Network architectures or network communication protocols for network security for controlling access to devices or network resources wherein the security policies are location-dependent, e.g. entities privileges depend on current location or allowing specific operations only from locally connected terminals
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/63—Location-dependent; Proximity-dependent

Definitions

  • the present invention relates to an integrated authentication system for authenticating using disposable random numbers. More specifically, the present invention prevents the transaction password from being leaked even if the user terminal or server is hacked by a third party who does not have a legitimate authority, and dynamically changes the transaction password every time a user authentication request is made to reuse the third party. And a method that can greatly enhance the security of user authentication by making it impossible, and by preventing third parties from predicting this transaction password in advance.
  • the server determines whether to connect by confirming that the registered user ID and password match.
  • the server cannot distinguish whether the third party is a legitimate user. Since the connection is authenticated only based on whether the ID and password match, a real problem of false authentication occurs.
  • a one time password (OTP) generator which generates a variable number every time is used.
  • Patent Document 1 Korean Unexamined Patent Publication No. 10-2008-0086733 (published date: September 26, 2008, name: financial transaction system using OTP)
  • Patent Document 2 Republic of Korea Patent Publication No. 10-2014-0106360 (published date: September 03, 2014, name: OTP authentication system and method)
  • the present invention provides a technical problem of greatly improving the security of user authentication by preventing a transaction password from being leaked even if a user terminal or a server is hacked by a third party who does not have a legitimate authority.
  • the present invention dynamically changes the transaction password every time a user authentication request is made impossible to reuse by a third party, so that the third party can not predict the transaction password in advance, thereby greatly enhancing the security of user authentication Let it be technical problem.
  • the present invention is a technical problem that does not generate a transaction password until the user connects to the server, so that even the server operator is not possible to steal and reduce the internal control cost in terms of the server operator.
  • the integrated authentication system includes a user terminal, an authentication server, and a single-use random number generator, and the authentication server, which is requested to authenticate the user from the user terminal, generates a seed value to the user terminal. And a random number generator corresponding to the seed value and the user password among random numbers constituting a first random number set stored in the disposable random number generator using the seed value and the user password received by the user terminal as location information.
  • Random numbers are extracted from the location to generate and display a first one-time random number
  • the authentication server uses the user value stored in the seed value and the password DB as location information random numbers constituting the second random number set stored in the random number set DB
  • the seed value and the user password stored in the password DB Generating a second one-time random number to extract random numbers of positions, and authenticates the user based on the second match of the one-time random number in the first one-time random number received from the user terminal.
  • the integrated authentication system includes a user terminal, an authentication server, and a single-use random number generator, wherein the authentication server, which is requested to authenticate the user from the user terminal, includes a hidden number set including a seed value.
  • a random number of positions corresponding to the seed value and the user password are extracted and generated and displayed a first disposable random number, and the authentication server uses the user password stored in the seed value and the password DB as location information to collect random numbers.
  • the seed value among random numbers constituting the second random number set stored in the DB And extracting random numbers of positions corresponding to the user password stored in the password DB to generate a second disposable random number, and authenticating the user based on whether the second disposable random number matches the first disposable random number received from the user terminal. do.
  • the seed value is obtained by extracting numbers corresponding to a seed extraction position number given to a user among numbers constituting the concealed number set. .
  • the disposable random number generator generates a first intermediate value by applying a first operation rule to the seed value and the user password, and extracts a first intermediate value to the first intermediate value. Extracts a first location number by applying a rule, extracts random numbers corresponding to the first location number from among random numbers constituting the first random number set, and generates the first disposable random number; and the authentication server generates the seed.
  • the second disposable random number is generated by extracting random numbers corresponding to the second position number from among random numbers constituting the set.
  • the one-time random number generator and the authentication server respectively, by using additional transaction information including some or all of the transfer amount information, payee identification information, transaction time information; Disposable random number and the second disposable random number is generated.
  • the single-use random number generator and the authentication server characterized in that for generating the first single-use random number and the second single-use random number by additionally using the user's biometric information.
  • the one-time random number generator extracts random numbers of positions corresponding to the seed value and the user password among random numbers constituting the first random number set, and extracts the random numbers
  • the first one-time random number is generated by applying a first conversion rule to the authentication server, and the authentication server generates random numbers of positions corresponding to the seed value and the user password stored in the password DB among random numbers constituting the second random number set.
  • extracting the second disposable rule by applying a second transformation rule to the extracted random numbers.
  • the one-time random number generator and the authentication server respectively, by using additional transaction information including some or all of the transfer amount information, payee identification information, transaction time information; Disposable random number and the second disposable random number is generated.
  • the single-use random number generator and the authentication server characterized in that for generating the first single-use random number and the second single-use random number by additionally using the user's biometric information.
  • the one-time random number generator extracts random numbers of positions corresponding to the seed value and the user password among random numbers constituting the first random number set, and extracts the extracted random numbers.
  • the first one-time random number is generated by encrypting with a first hash function
  • the authentication server extracts random numbers at positions corresponding to the seed value and the user password stored in the password DB among random numbers constituting the second random number set.
  • the one-time random number generator is characterized in that the hardware device physically separated from the user terminal or a functional module implemented in software on the user terminal.
  • the one time random number generator is characterized in that the user password is not stored.
  • the transaction password is not leaked even if the user terminal or server is hacked by a third party who does not have a legitimate authority, thereby greatly improving the security of user authentication.
  • the transaction password is dynamically changed every time a user authentication request is made to disable reuse by a third party, and the third party cannot predict the transaction password in advance, thereby greatly enhancing the security of user authentication. .
  • the present invention uses the random number generated in the one-time random number generator for authentication as a transaction password, even if a third party without legitimate rights, even if the online eavesdropping or hacking effect that the transaction password can not be stolen There is.
  • the third party even if a third party without legitimate authority learns and uses the disposable random number generator, the third party does not know the user password, so the one-time random number generator learned by the third party may generate the same random number generated by the authentication server. In this case, the transaction password is not stolen even if the disposable random number generator is lost.
  • the transaction password is not stolen even if the authentication server is hacked. There is.
  • the random number generated by the single-use random number generator includes transaction information including some or all of the transfer amount information, the payee identification information, and the transaction time information, a transaction preventing effect is generated. That is, it cannot be denied that the authentication server (financial institution, etc.) that sent the seed value did not transact, and the user who sent the seed value and the number generated by entering his / her user password to the authentication server can deny that he did not do such act. none.
  • the random number generated by the single-use random number generator includes the recipient identification information, even if the hacker improperly intercepts the single-use random number generator and requests the transfer to his cannon account number, the authentication of the hacker is denied. It is effective.
  • FIG. 1 is a diagram showing an integrated authentication system according to a first embodiment of the present invention.
  • FIG. 2 is a view for explaining the operation flow of the integrated authentication system according to a first embodiment of the present invention.
  • FIG. 3 is a diagram illustrating an integrated authentication system according to a second embodiment of the present invention.
  • FIG. 4 is a view for explaining the operation flow of the integrated authentication system according to a second embodiment of the present invention.
  • first or second may be used to describe various components, but the components should not be limited by the terms. The terms are used only for the purpose of distinguishing one component from another, for example without departing from the scope of the rights according to the inventive concept, and the first component may be called a second component and similarly the second component. The component may also be referred to as the first component.
  • FIG. 1 is a diagram showing an integrated authentication system according to a first embodiment of the present invention.
  • the integrated authentication system includes a user terminal 10, a single-use random number generator 20, an authentication server 31, a password DB 40, and a random number set DB 50. It includes.
  • the first random number set and the second random number set are the same
  • the first operation rule and the second operation rule are the same
  • the first intermediate value and the second intermediate value are the same
  • the first extraction rule are the same
  • the first position number and the second position number are the same
  • the first transformation rule and the second transformation rule are the same
  • the first hash function and the second hash function are the same.
  • the user is normally authenticated only when the first disposable random number and the second disposable random number are the same.
  • the user terminal 10 is a device for a user to perform a transaction using a communication network, requests authentication to the authentication server 31 during a transaction process, receives and displays a seed value from the authentication server 31, and displays a random random number.
  • the generator 20 receives a first disposable random number generated and displayed from the user and transmits it to the authentication server 31.
  • the user terminal 10 may be a mobile terminal such as a smart phone having a predetermined computing and communication function, as well as a general personal computer, a laptop, and the like.
  • the disposable random number generator 20 performs a function of generating and displaying a first disposable random number to a user.
  • the disposable random number generator 20 may include a user interface module 210, a first disposable random number generating module 220, and a storage module 230.
  • the user interface module 210 supports input of information by the user and performs a function of displaying the first disposable random number generated by the first disposable random number generation module 220 to the user.
  • the first disposable random number generation module 220 uses the seed value generated by the authentication server 31 and the user password as the location information, and the seed value among the random numbers constituting the first random number set stored in the storage module 230.
  • the first random number is generated by extracting the random numbers corresponding to the user password and displaying the random number to the user.
  • the seed value is generated by the authentication server 31, transmitted to the user terminal 10, displayed, and is input by the user to the disposable random number generator 20 through the user interface module 210.
  • the user password is information stored by the user.
  • the storage module 230 stores a first random number set, which is a collection for generating a first disposable random number, and does not store information related to other users, for example, a user password.
  • the first random number set is information uniquely generated and assigned to each user, and the second random number set, which is the same information as the first random number set, is stored in the random number set DB 50 accessible by the authentication server 31.
  • the authentication server 31 uses the user value stored in the seed value and the password DB 40 as location information, and the seed value and the password DB 40 among random numbers constituting the second random number set stored in the random number set DB 50. Extracts random numbers at positions corresponding to the user password stored in the second password to generate a second disposable random number, and authenticates the user based on whether the second disposable random number matches the first disposable random number received from the user terminal 10; To perform.
  • the authentication server 31 may include a communication module 310, a seed value generation module 320, a second disposable random number generation module 340, and an authentication module 350.
  • the communication module 310 performs a function of supporting communication with an external device including a user terminal.
  • the seed value generation module 320 performs a function of generating a seed value for generating the first disposable random number and the second disposable random number.
  • the second one-time random number generation module 340 uses the seed value and the user password stored in the password DB 40 as the location information of the seed value and password among the random numbers constituting the second random number set stored in the random number set DB (50) Extracts the random numbers of the location corresponding to the user password stored in the DB 40 to generate a second disposable random number.
  • the authentication module 350 performs a function of authenticating a user based on whether the second disposable random number generated by the second disposable random number generation module 340 matches the first disposable random number received from the user terminal 10. .
  • password DB 40 user passwords set by the users are stored corresponding to the user ID.
  • the random number set DB 50 stores a second random number set which is a set for generating a second disposable random number.
  • the second random number set is information uniquely generated for each user and is the same as the first random number set.
  • second random numbers assigned to users are stored in correspondence with the ID of the user.
  • the random number generator 20 can dynamically Since the authentication server 31 should know the one-time random number to be generated, the authentication server 31 should also be able to generate the same one-time random number generated by the one-time random number generator 20.
  • the disposable random number generator 20 stores a series of random numbers and a method (algorithm) for extracting a predetermined number of random numbers from the numbers.
  • the random numbers stored in the disposable random number generator 20 are referred to as a first random number set, and the algorithm by which the disposable random number generator 20 extracts a constant random number from the first random number set is referred to as a first algorithm.
  • the disposable random number generator 20 may be implemented as a hardware device possessed separately by a user, or may be implemented in software in the user terminal 10.
  • the authentication server 31 also stores random numbers capable of generating the same disposable random number as the disposable random number generator 20 on the user side, and a method (algorithm) for extracting a constant random number from the random numbers.
  • the random numbers stored in the authentication server 31 are referred to as a second random number set, and the algorithm in which the authentication server 31 extracts a constant random number from the second random number set is referred to as a second algorithm.
  • the random number set DB 50 stores all the random sets for each user, and the authentication server 31 identifying the user through the user ID uses the second random number set which is the random number set assigned to the user.
  • FIG. 2 is a view for explaining the operation flow of the integrated authentication system according to a first embodiment of the present invention.
  • step S110 a process of requesting authentication of a user from the user terminal 10 to the authentication server 31 is performed.
  • a user who wants to receive a specific service provided by the authentication server 31 through the user terminal 10 inputs an ID (ID) to his or her own user terminal 10 to perform user authentication.
  • Request and authentication server 31 may be performed in such a manner as to receive this authentication request.
  • step S120 the authentication server 31, which has been requested to authenticate the user from the user terminal 10, generates a seed value and transmits the seed value to the user terminal 10.
  • the seed value generated at the authentication server 31 may be random numbers, and these numbers may be generated through a pseudo random number generator.
  • the disposable random number generator 20 configures the first random number set stored in the disposable random number generator 20 using the seed value received by the user terminal 10 and the user password input by the user as location information.
  • a process of generating and displaying a first disposable random number by extracting random numbers of positions corresponding to the seed value and the user password input by the user from among the random numbers is performed.
  • the disposable random number generator 20 is a hardware device that is physically separated from the user terminal 10, in step S130, the user password stored by the user and the user terminal 10 are authenticated by the authentication server 31.
  • the disposable random number generator 20 uses the seed value and the user password as the location information, and the seed is selected from among random numbers constituting the first random number set.
  • the first disposable random number corresponding to the value and the user password may be generated and displayed.
  • the disposable random number generator 20 when the disposable random number generator 20 is implemented in software in the user terminal 10, the user terminal 10 receives and displays a seed value from the authentication server 31 and is implemented in the user terminal 10. Disposable random number generator 20, that is, through the interface screen provided by the application for generating a single random number, when the seed value and the user password is input, the disposable random number generator 20 uses the seed value and the user password as location information
  • the random number constituting the first random number set may be configured to generate and display a first disposable random number corresponding to the seed value and the user password.
  • step S140 the user terminal 10 transmits the first disposable random number to the authentication server 31.
  • the first disposable random number is generated and displayed by the disposable random number generator 20, and when the user inputs the first disposable random number into the user terminal 10, the user terminal 10 transmits the first disposable random number to the authentication server 31. Can be configured to transmit).
  • step S150 the authentication server 31 uses the seed value and the user password stored in the password DB 40 as location information, and the seed value and the password among random numbers constituting the second random number set stored in the random number set DB 50.
  • a process of generating a second disposable random number by extracting random numbers of positions corresponding to the user password stored in the DB 40 is performed.
  • the authentication server 31 performs a process of authenticating the user based on whether the second disposable random number generated by the authentication server 31 matches the first disposable random number received from the user terminal 10.
  • the one-time random number generator 20 generates a first intermediate value by applying a first calculation rule to the seed value generated by the authentication server 31 and the user password input by the user, the first intermediate value
  • the first location number may be extracted by applying a first extraction rule to the first location number
  • the first disposable number may be generated by extracting random numbers corresponding to the first location number from among random numbers constituting the first random number set.
  • the first calculation rule may be various calculation methods such as addition and subtraction, and various methods for extracting the first position number from the first intermediate value may be applied as the first extraction rule.
  • the authentication server 31 generates a second intermediate value by applying the second operation rule to the seed value generated by the user and the user password stored in the password DB 40, and generates a second extraction rule to the second intermediate value.
  • the second location number may be extracted and the second disposable number may be generated by extracting random numbers corresponding to the second location number from among random numbers constituting the second random number set.
  • the second operation rule is the same as the first operation rule
  • the second extraction rule is the same as the first extraction rule.
  • the disposable random number generator 20 and the authentication server 31 additionally use the first disposable random number and the second disposable using transaction information including some or all of the transfer amount information, the recipient identification information, and the transaction time information, respectively. It may be configured to generate a random number.
  • the payee identification information may be account information of the payee
  • the payee identification information may be shopping mall operator number information.
  • the disposable random number generator 20 and the authentication server 31 may be configured to generate the first disposable random number and the second disposable random number by additionally using the biometric information of the user.
  • the disposable random number generator 20 extracts and extracts random numbers of positions corresponding to a seed value generated by the authentication server 31 and a user password input by the user from among random numbers constituting the first random number set.
  • the first single-use random number may be generated by applying the first conversion rule to the random numbers.
  • the authentication server 31 extracts random numbers of positions corresponding to the seed value and the user password stored in the password DB 40 among the random numbers constituting the second random number set, and applies the second conversion rule to the extracted random numbers. May be applied to produce a second disposable random number.
  • the first conversion rule and the second conversion rule are the same.
  • the disposable random number generator 20 and the authentication server 31 further use the first disposable random number and the second disposable by additionally using transaction information including some or all of the transfer amount information, the recipient identification information, and the transaction time information. It may be configured to generate a random number. Also, for example, the disposable random number generator 20 and the authentication server 31 may be configured to generate the first disposable random number and the second disposable random number by additionally using the biometric information of the user.
  • the first disposable random number and the second disposable random number may be encrypted to enhance security.
  • the disposable random number generator 20 extracts and extracts random numbers of positions corresponding to the seed value generated by the authentication server 31 and the user password input by the user from among the random numbers constituting the first random number set.
  • the first random number may be encrypted by using the first random number, and the user may be encrypted after adding the user information to the extracted random numbers.
  • the authentication server 31 extracts random numbers of positions corresponding to the seed value generated by the user and the user password stored in the password DB 40 among the random numbers constituting the second random number set, and extracts the extracted random numbers from the second random number.
  • the second disposable random number may be generated by encrypting the hash function, and the user information may be added to the extracted random numbers and then encrypted.
  • the first hash function and the second hash function are the same.
  • FIG. 3 is a diagram illustrating an integrated authentication system according to a second embodiment of the present invention.
  • the following description focuses on the characteristic parts of the second embodiment in comparison with the first embodiment, and reveals that various examples applied to the first embodiment can also be applied to the second embodiment.
  • the integrated authentication system includes a user terminal 10, a single-use random number generator 20, an authentication server 32, a password DB 40, and a random number set DB 50. It includes.
  • the second embodiment differs from the first embodiment in that the authentication server 32 additionally includes a hidden number set generation module 330.
  • the concealed number set generation module 330 performs a function of generating a concealed number set including a seed value.
  • FIG. 4 is a view for explaining the operation flow of the integrated authentication system according to a second embodiment of the present invention.
  • step S210 a process of requesting authentication of a user from the user terminal 10 to the authentication server 32 is performed.
  • the authentication server 32 that has received a request for authentication of the user from the user terminal 10 generates a concealed number set including a seed value and transmits it to the user terminal 10. .
  • the seed value is included in the hidden number set and transmitted, the third party cannot know what the seed value is, thereby enhancing security.
  • the disposable random number generator 20 stores the first random number generator 20 stored in the disposable random number generator 20 by using the seed value obtained from the hidden number set received by the user terminal 10 and the user password input by the user as location information.
  • a process of generating and displaying a first disposable random number by extracting random numbers of positions corresponding to a seed value and a user password input by a user from among random numbers constituting the random number set is performed.
  • step S230 may be configured to extract a number corresponding to the seed extraction position number given to the user from among the numbers constituting the hidden number set to obtain a seed value.
  • the hidden number set transmitted by the authentication server 32 to the user terminal 10 is represented. If the value is '3701235468', the seed value is the number '5' located at the seventh number, the number '6' located at the ninth place, the number '2' located at the fifth place, and the number '3' located at the sixth place, '5623'. 'This is the seed value.
  • the user terminal 10 transmits the first disposable random number to the authentication server 32.
  • the first disposable random number is generated and displayed by the disposable random number generator 20, and when the user inputs the first disposable random number into the user terminal 10, the user terminal 10 transmits the first disposable random number to the authentication server 32. Can be configured to transmit).
  • step S250 the authentication server 32 uses the seed value and the user password stored in the password DB 40 as location information, and the seed value and the password among random numbers constituting the second random number set stored in the random number set DB 50.
  • a process of generating a second disposable random number by extracting random numbers of positions corresponding to the user password stored in the DB 40 is performed.
  • step S260 the authentication server 32 performs a process of checking the user based on whether the second disposable random number generated by the authentication server 32 matches the first disposable random number received from the user terminal 10.
  • various examples applied to the first embodiment may also apply to the second embodiment.
  • examples of a specific method in which the disposable random number generator 20 applied to the first embodiment generates the first disposable random number and the authentication server 31 correspondingly generate the second disposable random number are described in the second embodiment. This may also apply to examples.
  • the transaction password is not leaked even if the user terminal or server is hacked by a third party who does not have a legitimate authority, thereby greatly improving the security of user authentication.
  • the transaction password is dynamically changed every time a user authentication request is made to disable reuse by a third party, and the third party cannot predict the transaction password in advance, thereby greatly enhancing the security of user authentication. .
  • the present invention uses the random number generated in the one-time random number generator for authentication as a transaction password, even if a third party without legitimate rights, even if the online eavesdropping or hacking effect that the transaction password can not be stolen There is.
  • the third party even if a third party without legitimate authority learns and uses the disposable random number generator, the third party does not know the user password, so the one-time random number generator learned by the third party may generate the same random number generated by the authentication server. In this case, the transaction password is not stolen even if the disposable random number generator is lost.
  • the transaction password is not stolen even if the authentication server is hacked. There is.
  • the random number generated by the single-use random number generator includes transaction information including some or all of the transfer amount information, the payee identification information, and the transaction time information, a transaction preventing effect is generated. That is, it cannot be denied that the authentication server (financial institution, etc.) that sent the seed value did not make a transaction, and the user who sent the seed value and the number generated by inputting his / her user password to the authentication server cannot deny that he did not do such act. .
  • the random number generated by the single-use random number generator includes the recipient identification information, even if the hacker improperly intercepts the single-use random number generator and requests the transfer to his cannon account number, the authentication of the hacker is denied. It is effective.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Financial Or Insurance-Related Operations Such As Payment And Settlement (AREA)
  • Management, Administration, Business Operations System, And Electronic Commerce (AREA)

Abstract

본 발명에 따른 일회용 난수를 이용하여 인증하는 통합 인증 시스템은 일회용 난수 생성기가 사용자 단말이 수신한 씨드값과 사용자 비밀번호를 위치정보로 이용하여 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고 표시하고, 상기 인증 서버가 상기 씨드값과 비밀번호 DB에 저장된 사용자 비밀번호를 위치정보로 이용하여 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하고, 상기 제2 일회용 난수와 상기 사용자 단말로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증한다.

Description

일회용 난수를 이용하여 인증하는 통합 인증 시스템
본 발명은 일회용 무작위숫자를 이용하여 인증하는 통합 인증 시스템에 관한 것이다. 보다 구체적으로, 본 발명은 정당한 권원이 없는 제3자에 의해 사용자 단말 또는 서버가 해킹당하여도 거래 비밀번호가 유출되지 않도록 하고, 사용자 인증 요청시마다 거래 비밀번호를 동적으로 변경시켜 제3자에 의한 재사용을 불가능하게 하고, 제3자가 이 거래 비밀번호를 사전에 예측할 수 없도록 함으로써, 사용자 인증의 보안성을 크게 강화시킬 수 있는 방법에 관한 것이다.
일반적으로 사용자는 사용자 단말을 통해 특정한 서비스를 제공하는 웹 페이지(web page)에 접속할 때 자신의 아이디와 비밀번호를 입력하여 서버에 사용자 인증을 요청한다. 이때 서버는 기존에 등록된 사용자의 아이디와 비밀번호가 일치함을 확인함으로써 접속 여부를 결정하게 된다. 그런데 만일 사용자의 아이디와 비밀번호가 제3자에게 유출된 상태에서 제3자가 사용자의 아이디와 비밀번호를 입력하여 인증을 요청하는 경우, 서버는 제3자가 정당한 권원이 있는 사용자인지 여부를 구분할 수 없어, 아이디와 비밀번호의 일치 여부만을 기준으로 접속을 인증하기 때문에, 실질적인 오인증의 문제가 발생한다.
이러한 오인증의 문제는 현재 인터넷 해킹에 의해 광범위하게 출현하고 있으며, 이에 따른 인터넷 사용자의 정보도용의 문제가 심각한 것이 현실이다.
즉 종래의 방식에 따르면, 비밀번호가 사용자에 의해 수정되지 않는 한 고정되기 때문에 제3자가 사용자의 컴퓨터 등을 해킹하거나 서버에 저장된 사용자의 비밀번호를 해킹하여 알게 되면 그 번호를 재사용함으로써 정당한 권원없이 사용자 행세를 할 수 있다는 문제점이 있다.
이러한 고정 비밀번호 방식의 문제점을 해결하기 위하여 매번 변하는 숫자를 발생시키는 일회용 비밀번호(One Time Password, OTP) 생성기가 사용되고 있다.
그러나 종래의 OTP 방식은 일방향 해쉬함수라는 특정한 규칙(알고리즘)을 사용하여 비밀번호를 생성하고 있기 때문에, 정당한 권원이 없는 제3자에게 이 규칙(알고리즘)이 유출되는 경우, 비밀번호로 사용되는 숫자를 예측할 수 있기 때문에 역시 도용이 발생할 수 있다는 문제점이 있다.
[선행기술문헌]
[특허문헌]
(특허문헌 1) 대한민국 공개특허공보 제10-2008-0086733호(공개일자: 2008년 09월 26일, 명칭: ＯＴＰ를 이용한 금융거래 시스템)
(특허문헌 2) 대한민국 공개특허공보 제10-2014-0106360호(공개일자: 2014년 09월 03일, 명칭: OTP 인증 시스템 및 방법)
본 발명은 정당한 권원이 없는 제3자에 의해 사용자 단말 또는 서버가 해킹당하여도 거래 비밀번호가 유출되지 않도록 함으로써, 사용자 인증의 보안성을 크게 향상시키는 것을 기술적 과제로 한다.
또한, 본 발명은 사용자 인증 요청시마다 거래 비밀번호를 동적으로 변경시켜 제3자에 의한 재사용을 불가능하게 하고, 제3자가 이 거래 비밀번호를 사전에 예측할 수 없도록 함으로써, 사용자 인증의 보안성을 크게 강화시키는 것을 기술적 과제로 한다.
또한, 본 발명은 사용자가 서버에 접속하기 전에는 거래 비밀번호가 생성되지 않게 함으로써, 서버 운영자조차도 도용이 불가능하고, 서버 운영자 측면에서 내부통제비용을 감소시키는 것을 기술적 과제로 한다.
본 발명의 일 측면에 따른 통합 인증 시스템은 사용자 단말, 인증 서버 및 일회용 난수 생성기를 포함하고, 사용자 단말로부터 사용자에 대한 인증을 요청받은 인증 서버가 씨드값(seed value)을 생성하여 상기 사용자 단말로 전송하고, 일회용 난수 생성기가 상기 사용자 단말이 수신한 씨드값과 사용자 비밀번호를 위치정보로 이용하여 상기 일회용 난수 생성기에 저장된 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고 표시하고, 상기 인증 서버가 상기 씨드값과 비밀번호 DB에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB에 저장된 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하고, 상기 제2 일회용 난수와 상기 사용자 단말로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증한다.
본 발명의 다른 측면에 따른 통합 인증 시스템은 사용자 단말, 인증 서버 및 일회용 난수 생성기를 포함하고, 사용자 단말로부터 사용자에 대한 인증을 요청받은 인증 서버가 씨드값(seed value)이 포함된 은폐숫자집합을 생성하여 상기 사용자 단말로 전송하고, 일회용 난수 생성기가 상기 사용자 단말이 수신한 은폐숫자집합으로부터 획득된 씨드값과 사용자 비밀번호를 위치정보로 이용하여 상기 일회용 난수 생성기에 저장된 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고 표시하고, 상기 인증 서버가 상기 씨드값과 비밀번호 DB에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB에 저장된 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하고, 상기 제2 일회용 난수와 상기 사용자 단말로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증한다.
본 발명의 다른 측면에 따른 통합 인증 시스템에 있어서, 상기 씨드값은 상기 은폐숫자집합을 구성하는 숫자들 중에서 사용자에게 기 부여된 씨드 추출용 위치번호에 대응하는 숫자들을 추출하여 획득되는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기는 상기 씨드값과 상기 사용자 비밀번호에 제1 연산규칙을 적용하여 제1 중간값을 생성하고, 상기 제1 중간값에 제1 추출규칙을 적용하여 제1 위치번호를 추출하고, 상기 제1 난수집합을 구성하는 난수들 중에서 상기 제1 위치번호에 대응하는 난수들을 추출하여 상기 제1 일회용 난수를 생성하고, 상기 인증 서버는 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 제2 연산규칙을 적용하여 제2 중간값을 생성하고, 상기 제2 중간값에 제2 추출규칙을 적용하여 제2 위치번호를 추출하고, 상기 제2 난수집합을 구성하는 난수들 중에서 상기 제2 위치번호에 대응하는 난수들을 추출하여 상기 제2 일회용 난수를 생성하는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기와 상기 인증 서버는 각각 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기와 상기 인증 서버는 각각 상기 사용자의 생체정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기는 상기 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들에 제1 변환규칙을 적용하여 상기 제1 일회용 난수를 생성하고, 상기 인증 서버는 상기 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들에 제2 변환규칙을 적용하여 상기 제2 일회용 난수를 생성하는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기와 상기 인증 서버는 각각 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기와 상기 인증 서버는 각각 상기 사용자의 생체정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기는 상기 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들을 제1 해시 함수로 암호화하여 상기 제1 일회용 난수를 생성하고, 상기 인증 서버는 상기 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들을 제2 해시 함수로 암호화하여 상기 제2 일회용 난수를 생성하는 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기는 상기 사용자 단말과 물리적으로 구분된 하드웨어 장치이거나 상기 사용자 단말에 소프트웨어적으로 구현된 기능 모듈인 것을 특징으로 한다.
본 발명의 양 측면에 따른 통합 인증 시스템에 있어서, 상기 일회용 난수 생성기에는 상기 사용자 비밀번호가 저장되어 있지 않은 것을 특징으로 한다.
본 발명에 따르면, 정당한 권원이 없는 제3자에 의해 사용자 단말 또는 서버가 해킹당하여도 거래 비밀번호가 유출되지 않도록 함으로써, 사용자 인증의 보안성이 크게 향상되는 효과가 있다.
또한, 사용자 인증 요청시마다 거래 비밀번호를 동적으로 변경시켜 제3자에 의한 재사용을 불가능하게 하고, 제3자가 이 거래 비밀번호를 사전에 예측할 수 없도록 함으로써, 사용자 인증의 보안성이 크게 강화되는 효과가 있다.
또한, 사용자가 서버에 접속하기 전에는 거래 비밀번호가 생성되지 않기 때문에, 서버 운영자조차도 도용이 불가능하다는 효과가 있고, 서버 운영자 측면에서 내부통제비용이 감소되는 효과가 있다.
또한, 본 발명은 사용자가 인증을 받기 위해 일회용 난수 생성기에서 생성된 일회용 난수를 거래 비밀번호로 이용하기 때문에, 정당한 권원이 없는 제3자가 온 라인 도청 또는 해킹을 하더라도 거래 비밀번호를 도용을 할 수 없는 효과가 있다.
또한, 정당한 권원이 없는 제3자가 일회용 난수 생성기를 습득하여 사용하더라도, 제3자는 사용자 비밀번호를 알 수 없기 때문에, 제3자가 습득한 일회용 난수 생성기는 인증 서버가 생성한 난수와 동일한 난수를 생성할 수 없으며, 이에 따라 일회용 난수 생성기가 분실되는 경우에도 거래 비밀번호가 도용되지 않는다는 효과가 있다.
또한, 사용자 비밀번호와 사용자 개인키에 해당하는 제2 난수집합을 인증 서버에 보관하지 않고, 각각 비밀번호 DB와 난수집합 DB에 분리 보관하기 때문에, 인증 서버가 해킹을 당하여도 거래 비밀번호가 도용되지 않는다는 효과가 있다.
또한, 일회용 난수 생성기에서 생성되는 난수는 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 포함하기 때문에 거래부인 방지효과가 발생한다. 즉, 씨드값을 보내준 인증 서버(금융기관 등)가 거래하지 않았다고 부인할 수 없으며, 그 씨드값과 자신의 사용자 비밀번호를 입력하여 발생한 숫자를 인증 서버로 보내준 사용자도 자신이 그러한 행위를 하지 않았다고 부인할 수 없다. 또한, 일회용 난수 생성기에서 생성되는 난수는 수취인 식별정보를 포함하기 때문에, 해커가 일회용 난수 생성기를 부당하게 가로채 자신의 대포통장 번호로 이체를 요구해도 수취인 식별정보가 다르기 때문에 해커에 대한 인증이 거부되는 효과가 있다.
또한, 일회용 난수 생성기를 사용하기 위해서는 사용자 비밀번호가 필요하고 그 사용자 비밀번호는 사용자의 기억(두뇌)속에만 보관되며 외부 어디에도 남아 있지 않으므로, 제3자가 이를 도용할 방법이 없기 때문에, 일회용 난수 생성기는 공인인증서를 효과적으로 대체할 수 있다.
또한, 특정 거래에서 거래자가 정당한 사용자인지 여부를 인증할 수 있을 뿐만 아니라, 사용자의 신분을 일반적으로 확인할 수 있는 신분확인용으로도 이용될 수 있기 때문에, 사용자에 대한 통합적인 인증이 가능해지는 효과가 있다.
도 1은 본 발명의 제1 실시예에 따른 통합 인증 시스템을 나타낸 도면이다.
도 2는 본 발명의 제1 실시예에 따른 통합 인증 시스템의 동작 흐름을 설명하기 위한 도면이다.
도 3은 본 발명의 제2 실시예에 따른 통합 인증 시스템을 나타낸 도면이다.
도 4는 본 발명의 제2 실시예에 따른 통합 인증 시스템의 동작 흐름을 설명하기 위한 도면이다.
본 명세서에 개시되어 있는 본 발명의 개념에 따른 실시 예들에 대해서 특정한 구조적 또는 기능적 설명은 단지 본 발명의 개념에 따른 실시 예들을 설명하기 위한 목적으로 예시된 것으로서, 본 발명의 개념에 따른 실시 예들은 다양한 형태들로 실시될 수 있으며 본 명세서에 설명된 실시 예들에 한정되지 않는다.
본 발명의 개념에 따른 실시 예들은 다양한 변경들을 가할 수 있고 여러 가지 형태들을 가질 수 있으므로 실시 예들을 도면에 예시하고 본 명세서에서 상세하게 설명하고자 한다. 그러나, 이는 본 발명의 개념에 따른 실시 예들을 특정한 개시 형태들에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변경, 균등물, 또는 대체물을 포함한다.
제1 또는 제2 등의 용어는 다양한 구성 요소들을 설명하는데 사용될 수 있지만, 상기 구성 요소들은 상기 용어들에 의해 한정되어서는 안 된다. 상기 용어들은 하나의 구성 요소를 다른 구성 요소로부터 구별하는 목적으로만, 예컨대 본 발명의 개념에 따른 권리 범위로부터 벗어나지 않은 채, 제1 구성 요소는 제2 구성 요소로 명명될 수 있고 유사하게 제2구성 요소는 제1구성 요소로도 명명될 수 있다.
어떤 구성 요소가 다른 구성 요소에 "연결되어" 있다거나 "접속되어" 있다고 언급된 때에는, 그 다른 구성 요소에 직접적으로 연결되어 있거나 또는 접속되어 있을 수도 있지만, 중간에 다른 구성 요소가 존재할 수도 있다고 이해되어야 할 것이다. 반면에, 어떤 구성 요소가 다른 구성 요소에 "직접 연결되어" 있다거나 "직접 접속되어" 있다고 언급된 때에는 중간에 다른 구성 요소가 존재하지 않는 것으로 이해되어야 할 것이다. 구성 요소들 간의 관계를 설명하는 다른 표현들, 즉 "~사이에"와 "바로 ~사이에" 또는 "~에 이웃하는"과 "~에 직접 이웃하는" 등도 마찬가지로 해석되어야 한다.
본 명세서에서 사용한 용어는 단지 특정한 실시 예를 설명하기 위해 사용된 것으로서, 본 발명을 한정하려는 의도가 아니다. 단수의 표현은 문맥상 명백하게 다르게 뜻하지 않는 한, 복수의 표현을 포함한다. 본 명세서에서, "포함하다" 또는 "가지다" 등의 용어는 본 명세서에 기재된 특징, 숫자, 단계, 동작, 구성요소, 부분품 또는 이들을 조합한 것이 존재함을 지정하려는 것이지, 하나 또는 그 이상의 다른 특징들이나 숫자, 단계, 동작, 구성 요소, 부분품 또는 이들을 조합한 것들의 존재 또는 부가 가능성을 미리 배제하지 않는 것으로 이해되어야 한다.
다르게 정의되지 않는 한, 기술적이거나 과학적인 용어를 포함해서 여기서 사용되는 모든 용어들은 본 발명이 속하는 기술 분야에서 통상의 지식을 가진 자에 의해 일반적으로 이해되는 것과 동일한 의미를 나타낸다. 일반적으로 사용되는 사전에 정의되어 있는 것과 같은 용어들은 관련 기술의 문맥상 가지는 의미와 일치하는 의미를 갖는 것으로 해석되어야 하며, 본 명세서에서 명백하게 정의하지 않는 한, 이상적이거나 과도하게 형식적인 의미로 해석되지 않는다.
이하에서는, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예를 상세히 설명한다.
도 1은 본 발명의 제1 실시예에 따른 통합 인증 시스템을 나타낸 도면이다.
도 1을 참조하면, 본 발명의 제1 실시예에 따른 통합 인증 시스템은 사용자 단말(10), 일회용 난수 생성기(20), 인증 서버(31), 비밀번호 DB(40) 및 난수집합 DB(50)를 포함한다. 이하, 해당 부분에서 설명하겠지만, 제1 난수집합과 제2 난수집합은 동일하고, 제1 연산규칙과 제2 연산규칙은 동일하고, 제1 중간값과 제2 중간값은 동일하고, 제1 추출규칙과 제2 추출규칙은 동일하고, 제1 위치번호와 제2 위치번호는 동일하고, 제1 변환규칙과 제2 변환규칙은 동일하고, 제1 해시 함수와 제2 해시 함수는 동일하다. 또한, 본 실시예에 따르면, 제1 일회용 난수와 제2 일회용 난수는 동일한 경우에만, 사용자가 정상적으로 인증된다.
사용자 단말(10)은 사용자가 통신망을 이용한 거래를 수행하기 위한 장치이며, 거래 수행 과정에서 인증 서버(31)로 인증을 요청하고, 인증 서버(31)로부터 씨드값을 전송받아 표시하고, 일회용 난수 생성기(20)가 생성하여 표시하는 제1 일회용 난수를 사용자로부터 입력받아 인증 서버(31)로 전송하는 등의 기능을 수행한다. 이러한 사용자 단말(10)은 일반적인 퍼스널 컴퓨터, 노트북 등 뿐만 아니라, 소정의 연산 및 통신 기능을 구비한 스마트폰 등과 같은 모바일 단말일 수 있다.
일회용 난수 생성기(20)는 제1 일회용 난수를 생성하여 사용자에게 표시하는 기능을 수행한다.
예를 들어, 일회용 난수 생성기(20)는 사용자 인터페이스 모듈(210), 제1 일회용 난수 생성 모듈(220) 및 저장 모듈(230)을 포함하여 구성될 수 있다.
사용자 인터페이스 모듈(210)은 사용자에 의한 정보 입력을 지원하고, 제1 일회용 난수 생성 모듈(220)에 의해 생성된 제1 일회용 난수를 사용자에게 표시하는 기능을 수행한다.
제1 일회용 난수 생성 모듈(220)은 인증 서버(31)에 의해 생성된 씨드값과 사용자 비밀번호를 위치정보로 이용하여 저장 모듈(230)에 저장된 제1 난수집합을 구성하는 난수들 중에서 씨드값과 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고, 이를 사용자에게 표시하는 기능을 수행한다. 씨드값은 인증 서버(31)에 의해 생성되어 사용자 단말(10)로 전송되어 표시되고, 사용자에 의해 사용자 인터페이스 모듈(210)을 통해 일회용 난수 생성기(20)로 입력된다. 여기서, 사용자 비밀번호가 사용자가 기억하고 있는 정보이다.
저장 모듈(230)에는 제1 일회용 난수를 생성하기 위한 모집합인 제1 난수집합이 저장되어 있으며, 그 이외의 사용자와 관련된 정보 예를 들어, 사용자 비밀번호는 저장되어 있지 않다. 제1 난수집합은 사용자마다 고유하게 생성되어 부여된 정보이며, 제1 난수집합과 동일한 정보인 제2 난수집합이 인증 서버(31)가 접근할 수 있는 난수집합 DB(50)에 저장되어 있다.
인증 서버(31)는 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB(50)에 저장된 제2 난수집합을 구성하는 난수들 중에서 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하고, 제2 일회용 난수와 사용자 단말(10)로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증하는 기능을 수행한다.
예를 들어, 인증 서버(31)는 통신 모듈(310), 씨드값 생성 모듈(320), 제2 일회용 난수 생성 모듈(340) 및 인증 모듈(350)을 포함하여 구성될 수 있다.
통신 모듈(310)은 사용자 단말을 포함하는 외부 장치와의 통신을 지원하는 기능을 수행한다.
씨드값 생성 모듈(320)은 제1 일회용 난수와 제2 일회용 난수를 생성하기 위한 씨드값을 생성하는 기능을 수행한다.
제2 일회용 난수 생성 모듈(340)은 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB(50)에 저장된 제2 난수집합을 구성하는 난수들 중에서 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하는 기능을 수행한다.
인증 모듈(350)은 제2 일회용 난수 생성 모듈(340)에 의해 생성된 제2 일회용 난수와 사용자 단말(10)로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증하는 기능을 수행한다.
비밀번호 DB(40)에는 사용자들이 설정한 사용자 비밀번호들이 사용자의 아이디에 대응되어 저장되어 있다.
난수집합 DB(50)에는 제2 일회용 난수를 생성하기 위한 모집합인 제2 난수집합이 저장되어 있다. 제2 난수집합은 사용자마다 고유하게 생성되어 부여된 정보이며, 제1 난수집합과 동일한 정보이다. 난수집합 DB(50)에는 사용자들에게 부여된 제2 난수집합들이 사용자의 아이디에 대응되어 저장되어 있다.
이러한 시스템 환경에서, 사용자 단말(10) 또는 인증 서버(31)가 제3자에 의해 해킹을 당하여도, 제3자가 사용자처럼 행세하지 못하게 하려면, 즉, 제3자에 대한 오인증을 방지하려면, 1) 인증 요청시마다 비밀번호를 동적으로 변경시켜 제3자에 의한 재사용을 불가능하게 하여야 하고, 2) 제3자가 이 비밀번호를 사전에 예측할 수 없도록 하여야 하고, 3) 일회용 난수 생성기(20)에서 동적으로 변경 생성되는 일회용 난수를 인증 서버(31)가 알 수 있어야 하므로, 인증 서버(31) 역시 일회용 난수 생성기(20)에서 생성되는 일회용 난수와 동일한 일회용 난수를 생성할 수 있어야 한다.
이를 위하여, 일회용 난수 생성기(20)에는 일련의 무작위 숫자들 및 그 숫자들로부터 일정한 개수의 무작위 숫자를 추출하는 방법(알고리즘)이 저장되어 있다. 일회용 난수 생성기(20)에 저장된 무작위 숫자들을 제1 난수집합이라 지칭하고, 일회용 난수 생성기(20)가 제1 난수집합으로부터 일정한 무작위 숫자를 추출하는 알고리즘을 제1 알고리즘이라 지칭한다. 일회용 난수 생성기(20)는 사용자가 별도로 소지하는 하드웨어 장치로 구현되거나, 사용자 단말(10)에 소프트웨어적으로 구현될 수 있다.
또한, 인증 서버(31)에도 사용자측의 일회용 난수 생성기(20)와 동일한 일회용 난수를 발생시킬 수 있는 무작위 숫자들 및 그 무작위 숫자들로부터 일정한 무작위 숫자를 추출하는 방법(알고리즘)이 저장되어 있다. 인증 서버(31)에 저장된 무작위 숫자들을 제2 난수집합이라 지칭하고, 인증 서버(31)가 제2 난수집합으로부터 일정한 무작위 숫자를 추출하는 알고리즘을 제2 알고리즘이라 지칭한다.
인증 서버(31)와 일회용 난수 생성기(20)는 동일한 일회용 난수를 생성해야 하므로, 제1 난수집합과 제2 난수집합은 동일하고, 제1 알고리즘은 제2 알고리즘과 동일하다. 난수집합 DB(50)에는 사용자 별 난수집합들이 모두 저장되어 있으며, 사용자의 아이디를 통해 사용자를 식별한 인증 서버(31)는 이 사용자에게 할당된 난수집합인 제2 난수집합을 이용한다.
도 2는 본 발명의 제1 실시예에 따른 통합 인증 시스템의 동작 흐름을 설명하기 위한 도면이다.
도 2를 추가적으로 참조하면, 단계 S110에서는, 사용자 단말(10)이 인증 서버(31)로 사용자에 대한 인증을 요청하는 과정이 수행된다. 예를 들어, 이 과정은 사용자 단말(10)을 통해 인증 서버(31)가 제공하는 특정 서비스를 제공받고자 하는 사용자가 자신이 소지한 사용자 단말(10)에 아이디(ID)를 입력하여 사용자 인증을 요청하고, 인증 서버(31)가 이 인증요청을 수신하는 방식으로 수행될 수 있다.
단계 S120에서는, 사용자 단말(10)로부터 사용자에 대한 인증을 요청받은 인증 서버(31)가 씨드값(seed value)을 생성하여 사용자 단말(10)로 전송하는 과정이 수행된다. 예를 들어, 인증 서버(31)에서 생성되는 씨드값은 난수들일 수 있으며, 이 숫자들은 의사난수 생성기를 통해 생성될 수 있다.
단계 S130에서는, 일회용 난수 생성기(20)가 사용자 단말(10)이 수신한 씨드값과 사용자에 의해 입력된 사용자 비밀번호를 위치정보로 이용하여 일회용 난수 생성기(20)에 저장된 제1 난수집합을 구성하는 난수들 중에서 씨드값과 사용자에 의해 입력된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고 표시하는 과정이 수행된다.
하나의 예로, 일회용 난수 생성기(20)가 사용자 단말(10)과 물리적으로 구분된 하드웨어 장치인 경우, 단계 S130은, 사용자가 자신이 기억하고 있는 사용자 비밀번호와 사용자 단말(10)이 인증 서버(31)로부터 전송받아 표시하는 씨드값을 일회용 난수 생성기(20)에 입력하는 경우, 일회용 난수 생성기(20)가 이 씨드값과 사용자 비밀번호를 위치정보로 이용하여 제1 난수집합을 구성하는 난수들 중에서 씨드값과 사용자 비밀번호에 대응하는 제1 일회용 난수를 생성하여 표시하도록 구성될 수 있다.
다른 예로, 일회용 난수 생성기(20)가 사용자 단말(10)에 소프트웨어적으로 구현된 경우, 사용자 단말(10)이 인증 서버(31)로부터 씨드값을 전송받아 표시하고, 사용자 단말(10)에 구현된 일회용 난수 생성기(20) 즉, 일회용 난수 생성용 어플리케이션이 제공하는 인터페이스 화면을 통해, 씨드값 및 사용자 비밀번호가 입력되면, 일회용 난수 생성기(20)가 이 씨드값과 사용자 비밀번호를 위치정보로 이용하여 제1 난수집합을 구성하는 난수들 중에서 씨드값과 사용자 비밀번호에 대응하는 제1 일회용 난수를 생성하여 표시하도록 구성될 수 있다.
단계 S140에서는, 사용자 단말(10)이 제1 일회용 난수를 인증 서버(31)로 전송하는 과정이 수행된다. 제1 일회용 난수는 일회용 난수 생성기(20)에 의해 생성되어 표시되며, 사용자가 제1 일회용 난수를 사용자 단말(10)에 입력하는 경우, 사용자 단말(10)이 제1 일회용 난수를 인증 서버(31)로 전송하도록 구성될 수 있다.
단계 S150에서는, 인증 서버(31)가 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB(50)에 저장된 제2 난수집합을 구성하는 난수들 중에서 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하는 과정이 수행된다.
단계 S160에서는, 인증 서버(31)가 자신이 생성한 제2 일회용 난수와 사용자 단말(10)로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증하는 과정이 수행된다.
이하에서는, 본 발명의 제1 실시예에 있어서, 일회용 난수 생성기(20)가 제1 일회용 난수를 생성하고, 인증 서버(31)가 이에 대응하여 제2 일회용 난수를 생성하는 구체적인 방식의 예들을 설명한다.
하나의 예로, 일회용 난수 생성기(20)는 인증 서버(31)에 의해 생성된 씨드값과 사용자에 의해 입력된 사용자 비밀번호에 제1 연산규칙을 적용하여 제1 중간값을 생성하고, 제1 중간값에 제1 추출규칙을 적용하여 제1 위치번호를 추출하고, 제1 난수집합을 구성하는 난수들 중에서 상기 제1 위치번호에 대응하는 난수들을 추출하여 제1 일회용 난수를 생성할 수 있다. 예를 들어, 제1 연산규칙은 합산, 감산 등의 다양한 연산방법일 수 있고, 제1 추출규칙으로는 제1 중간값에서 제1 위치번호를 추출하기 위한 다양한 방법이 적용될 수 있다. 또한, 인증 서버(31)는 자신이 생성한 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호에 제2 연산규칙을 적용하여 제2 중간값을 생성하고, 제2 중간값에 제2 추출규칙을 적용하여 제2 위치번호를 추출하고, 제2 난수집합을 구성하는 난수들 중에서 제2 위치번호에 대응하는 난수들을 추출하여 제2 일회용 난수를 생성할 수 있다. 제2 연산규칙은 제1 연산규칙과 동일하고, 제2 추출규칙은 제1 추출규칙과 동일하다. 이 예에서, 일회용 난수 생성기(20)와 인증 서버(31)는 각각 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 추가적으로 이용하여 제1 일회용 난수와 제2 일회용 난수를 생성하도록 구성될 수도 있다. 예를 들어, 송금 거래의 경우, 수취인 식별정보는 수취인의 계좌 정보일 수 있고, 쇼핑몰 결제 거래의 경우, 수추인 식별정보는 쇼핑몰 사업자 번호 정보일 수 있다.
또한 예를 들어, 일회용 난수 생성기(20)와 인증 서버(31)는 각각 상기 사용자의 생체정보를 추가적으로 이용하여 제1 일회용 난수와 제2 일회용 난수를 생성하도록 구성될 수도 있다.
다른 예로, 일회용 난수 생성기(20)는 제1 난수집합을 구성하는 난수들 중에서 인증 서버(31)에 의해 생성된 씨드값과 사용자에 의해 입력된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들에 제1 변환규칙을 적용하여 제1 일회용 난수를 생성할 수 있다. 또한, 인증 서버(31)는 제2 난수집합을 구성하는 난수들 중에서 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들에 제2 변환규칙을 적용하여 제2 일회용 난수를 생성할 수 있다. 제1 변환규칙과 제2 변환규칙은 동일하다. 예를 들어, 추출된 난수들이 '114101'인 경우, 이 숫자에 2를 곱한 수(229202) 또는 LOG를 취하여 나온 수(5.0572894506634274641656910578661)의 일부(예: 057289)를 제1 및 제2 OTP로 사용할 수 있다. 이 예에서도, 일회용 난수 생성기(20)와 인증 서버(31)는 각각 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 추가적으로 이용하여 제1 일회용 난수와 제2 일회용 난수를 생성하도록 구성될 수도 있다. 또한 예를 들어, 일회용 난수 생성기(20)와 인증 서버(31)는 각각 상기 사용자의 생체정보를 추가적으로 이용하여 제1 일회용 난수와 제2 일회용 난수를 생성하도록 구성될 수도 있다.
또 다른 예로, 보안성 강화를 위하여 제1 일회용 난수와 제2 일회용 난수는 암호화될 수 있다. 이를 위하여, 일회용 난수 생성기(20)는 제1 난수집합을 구성하는 난수들 중에서 인증 서버(31)에 의해 생성된 씨드값과 사용자에 의해 입력된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들을 제1 해시 함수로 암호화하여 제1 일회용 난수를 생성할 수 있으며, 추출된 난수들에 사용자 정보를 부가한 후 암호화할 수도 있다. 또한, 인증 서버(31)는 제2 난수집합을 구성하는 난수들 중에서 자신이 생성한 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들을 제2 해시 함수로 암호화하여 제2 일회용 난수를 생성할 수 있으며, 추출된 난수들에 사용자 정보를 부가한 후 암호화할 수도 있다. 제1 해쉬 함수와 제2 해쉬 함수는 동일하다.
도 3은 본 발명의 제2 실시예에 따른 통합 인증 시스템을 나타낸 도면이다. 이하에서는, 제1 실시예와 비교하여 제2 실시예가 갖는 특징적인 부분에 초점을 맞추어 설명하며, 제1 실시예에 적용되는 다양한 예들이 제2 실시예에도 적용될 수 있다는 점을 밝혀둔다.
도 3을 참조하면, 본 발명의 제2 실시예에 따른 통합 인증 시스템은 사용자 단말(10), 일회용 난수 생성기(20), 인증 서버(32), 비밀번호 DB(40) 및 난수집합 DB(50)를 포함한다. 제2 실시예는 제1 실시예와 비교하여 인증 서버(32)가 은폐숫자집합 생성 모듈(330)을 추가적으로 포함한다는 점에서 차이가 있다.
은폐숫자집합 생성 모듈(330)은 씨드값(seed value)이 포함된 은폐숫자집합을 생성하는 기능을 수행한다.
도 4는 본 발명의 제2 실시예에 따른 통합 인증 시스템의 동작 흐름을 설명하기 위한 도면이다.
도 4를 추가적으로 참조하면, 단계 S210에서는, 사용자 단말(10)이 인증 서버(32)로 사용자에 대한 인증을 요청하는 과정이 수행된다.
단계 S220에서는, 사용자 단말(10)로부터 사용자에 대한 인증을 요청받은 인증 서버(32)가 씨드값(seed value)이 포함된 은폐숫자집합을 생성하여 사용자 단말(10)로 전송하는 과정이 수행된다. 씨드값을 은폐숫자집합에 포함시켜 전송하면, 제3자가 씨드값이 무엇인지를 알 수 없기 때문에, 보안성이 강화된다.
단계 S230에서는, 일회용 난수 생성기(20)가 사용자 단말(10)이 수신한 은폐숫자집합으로부터 획득된 씨드값과 사용자에 의해 입력된 사용자 비밀번호를 위치정보로 이용하여 일회용 난수 생성기(20)에 저장된 제1 난수집합을 구성하는 난수들 중에서 씨드값과 사용자에 의해 입력된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고 표시하는 과정이 수행된다. 예를 들어, 단계 S230는 은폐숫자집합을 구성하는 숫자들 중에서 사용자에게 기 부여된 씨드 추출용 위치번호에 대응하는 숫자들을 추출하여 씨드값을 획득하도록 구성될 수 있다. 구체적인 예로, 약속된 위치값 즉, 씨드 추출용 위치번호가 '7', '9', '5', '6'인 경우 인증 서버(32)가 사용자 단말(10)로 전송한 은폐숫자집합이 '3701235468'이라면 씨드값은 7번째에 위치하는 숫자 '5'와 9번째에 위치하는 숫자 '6'과 5번째에 위치하는 숫자 '2' 및 6번째에 위치하는 숫자 '3' 즉, '5623'이 씨드값이 되는 것이다.
단계 S240에서는, 사용자 단말(10)이 제1 일회용 난수를 인증 서버(32)로 전송하는 과정이 수행된다. 제1 일회용 난수는 일회용 난수 생성기(20)에 의해 생성되어 표시되며, 사용자가 제1 일회용 난수를 사용자 단말(10)에 입력하는 경우, 사용자 단말(10)이 제1 일회용 난수를 인증 서버(32)로 전송하도록 구성될 수 있다.
단계 S250에서는, 인증 서버(32)가 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB(50)에 저장된 제2 난수집합을 구성하는 난수들 중에서 씨드값과 비밀번호 DB(40)에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하는 과정이 수행된다.
단계 S260에서는, 인증 서버(32)가 자신이 생성한 제2 일회용 난수와 사용자 단말(10)로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인하는 과정이 수행된다.
앞서 밝힌 바와 같이, 제1 실시예에 적용되는 다양한 예들이 제2 실시예에도 적용될 수 있다. 예를 들어, 제1 실시예에 적용되는 일회용 난수 생성기(20)가 제1 일회용 난수를 생성하고, 인증 서버(31)가 이에 대응하여 제2 일회용 난수를 생성하는 구체적인 방식의 예들이 제2 실시예에도 적용될 수 있다.
이상에서 상세히 설명한 바와 같이 본 발명에 따르면, 정당한 권원이 없는 제3자에 의해 사용자 단말 또는 서버가 해킹당하여도 거래 비밀번호가 유출되지 않도록 함으로써, 사용자 인증의 보안성이 크게 향상되는 효과가 있다.
또한, 사용자 인증 요청시마다 거래 비밀번호를 동적으로 변경시켜 제3자에 의한 재사용을 불가능하게 하고, 제3자가 이 거래 비밀번호를 사전에 예측할 수 없도록 함으로써, 사용자 인증의 보안성이 크게 강화되는 효과가 있다.
또한, 사용자가 서버에 접속하기 전에는 거래 비밀번호가 생성되지 않기 때문에, 서버 운영자조차도 도용이 불가능하다는 효과가 있고, 서버 운영자 측면에서 내부통제비용이 감소되는 효과가 있다.
또한, 본 발명은 사용자가 인증을 받기 위해 일회용 난수 생성기에서 생성된 일회용 난수를 거래 비밀번호로 이용하기 때문에, 정당한 권원이 없는 제3자가 온 라인 도청 또는 해킹을 하더라도 거래 비밀번호를 도용을 할 수 없는 효과가 있다.
또한, 정당한 권원이 없는 제3자가 일회용 난수 생성기를 습득하여 사용하더라도, 제3자는 사용자 비밀번호를 알 수 없기 때문에, 제3자가 습득한 일회용 난수 생성기는 인증 서버가 생성한 난수와 동일한 난수를 생성할 수 없으며, 이에 따라 일회용 난수 생성기가 분실되는 경우에도 거래 비밀번호가 도용되지 않는다는 효과가 있다.
또한, 사용자 비밀번호와 사용자 개인키에 해당하는 제2 난수집합을 인증 서버에 보관하지 않고, 각각 비밀번호 DB와 난수집합 DB에 분리 보관하기 때문에, 인증 서버가 해킹을 당하여도 거래 비밀번호가 도용되지 않는다는 효과가 있다.
또한, 일회용 난수 생성기에서 생성되는 난수는 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 포함하기 때문에 거래부인 방지효과가 발생한다. 즉, 씨드값 보내준 인증 서버(금융기관 등)가 거래하지 않았다고 부인할 수 없으며, 그 씨드값과 자신의 사용자 비밀번호를 입력하여 발생한 숫자를 인증 서버로 보내준 사용자도 자신이 그러한 행위를 하지 않았다고 부인할 수 없다. 또한, 일회용 난수 생성기에서 생성되는 난수는 수취인 식별정보를 포함하기 때문에, 해커가 일회용 난수 생성기를 부당하게 가로채 자신의 대포통장 번호로 이체를 요구해도 수취인 식별정보가 다르기 때문에 해커에 대한 인증이 거부되는 효과가 있다.
또한, 일회용 난수 생성기를 사용하기 위해서는 사용자 비밀번호가 필요하고 그 사용자 비밀번호는 사용자의 기억(두뇌)속에만 보관되며 외부 어디에도 남아 있지 않으므로, 제3자가 이를 도용할 방법이 없기 때문에, 일회용 난수 생성기는 공인인증서를 효과적으로 대체할 수 있다.
또한, 특정 거래에서 거래자가 정당한 사용자인지 여부를 인증할 수 있을 뿐만 아니라, 사용자의 신분을 일반적으로 확인할 수 있는 신분확인용으로도 이용될 수 있기 때문에, 사용자에 대한 통합적인 인증이 가능해지는 효과가 있다.
[부호의 설명]
10: 사용자 단말
20: 일회용 난수 생성기
31, 32: 인증 서버
40: 비밀번호 DB
50: 난수집합 DB
210: 사용자 인터페이스 모듈
220: 제1 일회용 난수 생성 모듈
230: 저장 모듈
310: 통신 모듈
320: 씨드값 생성 모듈
330: 은폐숫자집합 생성 모듈
340: 제2 일회용 난수 생성 모듈
350: 인증 모듈

Claims (11)

  1. 사용자 단말, 인증 서버 및 일회용 난수 생성기를 포함하는 통합 인증 시스템으로서,
    사용자 단말로부터 사용자에 대한 인증을 요청받은 인증 서버가 씨드값(seed value)을 생성하여 상기 사용자 단말로 전송하고,
    일회용 난수 생성기가 상기 사용자 단말이 수신한 씨드값과 사용자 비밀번호를 위치정보로 이용하여 상기 일회용 난수 생성기에 저장된 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고 표시하고,
    상기 인증 서버가 상기 씨드값과 비밀번호 DB에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB에 저장된 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하고, 상기 제2 일회용 난수와 상기 사용자 단말로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증하고,
    상기 일회용 난수 생성기에는 상기 사용자 비밀번호가 저장되어 있지 않고,
    상기 제1 난수집합 및 상기 제1 난수집합과 동일한 상기 제2 난수집합은 사용자마다 고유하게 생성되어 부여된 정보이고,
    상기 씨드값은 의사난수 생성기를 통해 생성된 난수인, 통합 인증 시스템.
  2. 사용자 단말, 인증 서버 및 일회용 난수 생성기를 포함하는 통합 인증 시스템으로서,
    사용자 단말로부터 사용자에 대한 인증을 요청받은 인증 서버가 씨드값(seed value)이 포함된 은폐숫자집합을 생성하여 상기 사용자 단말로 전송하고,
    일회용 난수 생성기가 상기 사용자 단말이 수신한 은폐숫자집합으로부터 획득된 씨드값과 사용자 비밀번호를 위치정보로 이용하여 상기 일회용 난수 생성기에 저장된 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제1 일회용 난수를 생성하고 표시하고,
    상기 인증 서버가 상기 씨드값과 비밀번호 DB에 저장된 사용자 비밀번호를 위치정보로 이용하여 난수집합 DB에 저장된 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하여 제2 일회용 난수를 생성하고, 상기 제2 일회용 난수와 상기 사용자 단말로부터 전송받은 제1 일회용 난수의 일치 여부를 기준으로 사용자를 인증하고,
    상기 일회용 난수 생성기에는 상기 사용자 비밀번호가 저장되어 있지 않고,
    상기 제1 난수집합 및 상기 제1 난수집합과 동일한 상기 제2 난수집합은 사용자마다 고유하게 생성되어 부여된 정보이고,
    상기 씨드값은 의사난수 생성기를 통해 생성된 난수인, 통합 인증 시스템.
  3. 제2항에 있어서,
    상기 씨드값은 상기 은폐숫자집합을 구성하는 숫자들 중에서 사용자에게 기 부여된 씨드 추출용 위치번호에 대응하는 숫자들을 추출하여 획득되는 것을 특징으로 하는, 통합 인증 시스템.
  4. 제1항 또는 제2항에 있어서,
    상기 일회용 난수 생성기는 상기 씨드값과 상기 사용자 비밀번호에 제1 연산규칙을 적용하여 제1 중간값을 생성하고, 상기 제1 중간값에 제1 추출규칙을 적용하여 제1 위치번호를 추출하고, 상기 제1 난수집합을 구성하는 난수들 중에서 상기 제1 위치번호에 대응하는 난수들을 추출하여 상기 제1 일회용 난수를 생성하고,
    상기 인증 서버는 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 제2 연산규칙을 적용하여 제2 중간값을 생성하고, 상기 제2 중간값에 제2 추출규칙을 적용하여 제2 위치번호를 추출하고, 상기 제2 난수집합을 구성하는 난수들 중에서 상기 제2 위치번호에 대응하는 난수들을 추출하여 상기 제2 일회용 난수를 생성하는 것을 특징으로 하는, 통합 인증 시스템.
  5. 제4항에 있어서,
    상기 일회용 난수 생성기와 상기 인증 서버는 각각 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 하는, 통합 인증 시스템.
  6. 제4항에 있어서,
    상기 일회용 난수 생성기와 상기 인증 서버는 각각 상기 사용자의 생체정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 하는, 통합 인증 시스템.
  7. 제1항 또는 제2항에 있어서,
    상기 일회용 난수 생성기는 상기 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들에 제1 변환규칙을 적용하여 상기 제1 일회용 난수를 생성하고,
    상기 인증 서버는 상기 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들에 제2 변환규칙을 적용하여 상기 제2 일회용 난수를 생성하는 것을 특징으로 하는, 통합 인증 시스템.
  8. 제7항에 있어서,
    상기 일회용 난수 생성기와 상기 인증 서버는 각각 이체금액정보, 수취인 식별정보, 거래시간정보의 일부 또는 전부를 포함하는 거래정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 하는, 통합 인증 시스템.
  9. 제7항에 있어서,
    상기 일회용 난수 생성기와 상기 인증 서버는 각각 상기 사용자의 생체정보를 추가적으로 이용하여 상기 제1 일회용 난수와 상기 제2 일회용 난수를 생성하는 것을 특징으로 하는, 통합 인증 시스템.
  10. 제1항 또는 제2항에 있어서,
    상기 일회용 난수 생성기는 상기 제1 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들을 제1 해시 함수로 암호화하여 상기 제1 일회용 난수를 생성하고,
    상기 인증 서버는 상기 제2 난수집합을 구성하는 난수들 중에서 상기 씨드값과 상기 비밀번호 DB에 저장된 사용자 비밀번호에 대응하는 위치의 난수들을 추출하고, 추출된 난수들을 제2 해시 함수로 암호화하여 상기 제2 일회용 난수를 생성하는 것을 특징으로 하는, 통합 인증 시스템.
  11. 제1항 또는 제2항에 있어서,
    상기 일회용 난수 생성기는 상기 사용자 단말과 물리적으로 구분된 하드웨어 장치이거나 상기 사용자 단말에 소프트웨어적으로 구현된 기능 모듈인 것을 특징으로 하는, 통합 인증 시스템.
PCT/KR2016/010860 2015-10-02 2016-09-28 일회용 난수를 이용하여 인증하는 통합 인증 시스템 WO2017057899A1 (ko)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201680058108.3A CN108370316A (zh) 2015-10-02 2016-09-28 利用一次性随机数进行认证的集成认证系统
JP2018515133A JP6498358B2 (ja) 2015-10-02 2016-09-28 使い捨て乱数を利用して認証する統合認証システム
EP16852045.0A EP3358783A4 (en) 2015-10-02 2016-09-28 INTEGRATED AUTHENTICATION SYSTEM FOR AUTHENTICATION THROUGH RANDOM NUMBERS FOR SINGLE USE
US15/758,044 US20180254904A1 (en) 2015-10-02 2016-09-28 Integrated authentication system for authentication using single-use random numbers

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2015-0139016 2015-10-02
KR1020150139016A KR101718948B1 (ko) 2015-10-02 2015-10-02 일회용 난수를 이용하여 인증하는 통합 인증 시스템

Publications (1)

Publication Number Publication Date
WO2017057899A1 true WO2017057899A1 (ko) 2017-04-06

Family

ID=58427351

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2016/010860 WO2017057899A1 (ko) 2015-10-02 2016-09-28 일회용 난수를 이용하여 인증하는 통합 인증 시스템

Country Status (6)

Country Link
US (1) US20180254904A1 (ko)
EP (1) EP3358783A4 (ko)
JP (1) JP6498358B2 (ko)
KR (1) KR101718948B1 (ko)
CN (1) CN108370316A (ko)
WO (1) WO2017057899A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115766115A (zh) * 2022-10-28 2023-03-07 支付宝(杭州)信息技术有限公司 一种身份验证方法、装置、存储介质及电子设备

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
ES2729950T3 (es) * 2016-09-29 2019-11-07 Univ Picardie Protocolo de autenticación que usa una contraseña de un solo uso
JP6942541B2 (ja) * 2017-07-03 2021-09-29 キヤノン株式会社 画像形成装置とその制御方法、及びプログラム
CN109842487A (zh) * 2017-11-27 2019-06-04 国网河南省电力公司电力科学研究院 一种基于生物特征的随机数生成方法
KR102105122B1 (ko) * 2018-01-23 2020-04-28 황순영 고유식별자와 매칭되는 이름을 시드값으로 이용하여 일회용 암호를 생성하는 보안 인증 방법
US11146540B2 (en) * 2018-05-09 2021-10-12 Datalogic Ip Tech S.R.L. Systems and methods for public key exchange employing a peer-to-peer protocol
US10990356B2 (en) * 2019-02-18 2021-04-27 Quantum Lock Technologies LLC Tamper-resistant smart factory
CN109861809B (zh) * 2019-02-20 2022-03-18 中国电子科技集团公司第三十研究所 一种实用化的分组随机加解密方法
CN110430218B (zh) * 2019-08-23 2021-08-13 深圳数联天下智能科技有限公司 数据传输安全控制方法及装置、计算机设备和物联网系统
JP7153807B2 (ja) * 2019-09-30 2022-10-14 積水メディカル株式会社 正規品自動認証方法
KR102231785B1 (ko) * 2020-10-08 2021-03-26 주식회사 올아이티탑 양자난수와 생체정보를 연계한 가상화폐거래의 보안인증 기술을 지원하는 탈착식 분리형 usb를 이용한 가상화폐거래방법
KR102337263B1 (ko) * 2021-02-26 2021-12-08 (주)올잇코인 원자난수와 생체정보를 연계한 가상화폐거래의 보안인증 기술을 지원하는 탈착식 분리형 usb를 이용한 가상화폐거래방법
KR102367416B1 (ko) * 2021-03-03 2022-02-28 (주)올잇코인 원자난수와 생체정보를 연계한 탈착식 분리형 usb를 이용한 금융거래방법

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100668387B1 (ko) * 2004-06-16 2007-01-12 에스케이 텔레콤주식회사 일회용 암호방식을 이용한 통합 인증 시스템과 그 구축 방법
KR20080086733A (ko) * 2007-03-23 2008-09-26 (주)에이티솔루션 Ｏｔｐ를 이용한 금융거래 시스템
KR20100109008A (ko) * 2009-03-31 2010-10-08 루멘소프트 (주) 양방향 통신이 가능한 매체에서의 일회용 비밀번호 생성 시스템 및 그 전달 방법
KR20120107326A (ko) * 2011-03-21 2012-10-02 순천향대학교 산학협력단 임의성을 강화시킨 일회용 패스워드 등록 및 인증 방법과 시스템
KR101284481B1 (ko) * 2011-07-15 2013-07-16 아이리텍 잉크 생체이미지 정보를 포함하는 일회용 비밀번호를 이용한 인증방법 및 장치

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO1999046691A1 (en) * 1998-03-09 1999-09-16 Farrell Newton Internet, intranet and other network communication security systems utilizing entrance and exit keys
JP4748774B2 (ja) * 2004-06-02 2011-08-17 キヤノン株式会社 暗号化通信方式及びシステム
US20060059344A1 (en) * 2004-09-10 2006-03-16 Nokia Corporation Service authentication
JP2006221440A (ja) * 2005-02-10 2006-08-24 Hitachi Software Eng Co Ltd 認証方法
CN101022337A (zh) * 2007-03-28 2007-08-22 胡祥义 一种网络身份证的实现方法
US8255696B2 (en) * 2007-05-01 2012-08-28 Microsoft Corporation One-time password access to password-protected accounts
JP2009003498A (ja) * 2007-06-19 2009-01-08 Dainippon Printing Co Ltd ワンタイムパスワード認証システム
CN101420302A (zh) * 2008-12-01 2009-04-29 成都市华为赛门铁克科技有限公司 安全认证方法和设备
KR101513694B1 (ko) 2013-02-26 2015-04-22 (주)이스톰 Otp 인증 시스템 및 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100668387B1 (ko) * 2004-06-16 2007-01-12 에스케이 텔레콤주식회사 일회용 암호방식을 이용한 통합 인증 시스템과 그 구축 방법
KR20080086733A (ko) * 2007-03-23 2008-09-26 (주)에이티솔루션 Ｏｔｐ를 이용한 금융거래 시스템
KR20100109008A (ko) * 2009-03-31 2010-10-08 루멘소프트 (주) 양방향 통신이 가능한 매체에서의 일회용 비밀번호 생성 시스템 및 그 전달 방법
KR20120107326A (ko) * 2011-03-21 2012-10-02 순천향대학교 산학협력단 임의성을 강화시킨 일회용 패스워드 등록 및 인증 방법과 시스템
KR101284481B1 (ko) * 2011-07-15 2013-07-16 아이리텍 잉크 생체이미지 정보를 포함하는 일회용 비밀번호를 이용한 인증방법 및 장치

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115766115A (zh) * 2022-10-28 2023-03-07 支付宝(杭州)信息技术有限公司 一种身份验证方法、装置、存储介质及电子设备

Also Published As

Publication number Publication date
KR101718948B1 (ko) 2017-03-23
JP6498358B2 (ja) 2019-04-10
EP3358783A4 (en) 2019-05-01
US20180254904A1 (en) 2018-09-06
CN108370316A (zh) 2018-08-03
JP2018530235A (ja) 2018-10-11
EP3358783A1 (en) 2018-08-08

Similar Documents

Publication Publication Date Title
WO2017057899A1 (ko) 일회용 난수를 이용하여 인증하는 통합 인증 시스템
US10929524B2 (en) Method and system for verifying an access request
US6510523B1 (en) Method and system for providing limited access privileges with an untrusted terminal
WO2018124857A1 (ko) 블록체인 기반의 모바일 아이디를 이용하여 사용자를 비대면 인증하는 방법, 단말 및 이를 이용한 서버
WO2013176491A1 (ko) 웹 서비스 사용자 인증 방법
US11245526B2 (en) Full-duplex password-less authentication
CN107733933B (zh) 一种基于生物识别技术的双因子身份认证的方法及系统
WO2018021708A1 (ko) 공개키 기반의 서비스 인증 방법 및 시스템
US8397281B2 (en) Service assisted secret provisioning
US20210234850A1 (en) System and method for accessing encrypted data remotely
Fang et al. Online banking authentication using mobile phones
WO2018124856A1 (ko) 블록체인 데이터베이스를 통해 모바일 아이디를 이용하여 사용자를 인증하는 방법, 단말 및 이를 이용한 서버
US20220116385A1 (en) Full-Duplex Password-less Authentication
JP4698751B2 (ja) アクセス制御システム、認証サーバシステムおよびアクセス制御プログラム
WO2018026109A1 (ko) 네트워크를 사용하여 게이트에 대한 액세스 허용 여부를 결정하는 방법, 서버 및 컴퓨터 판독 가능한 기록 매체
WO2018040760A1 (zh) 服务器、终端及其授权码的验证方法
WO2020159328A1 (ko) 인증 정보 처리 방법 및 장치와 인증 정보 처리 방법 장치를 포함한 사용자 단말
KR20090131114A (ko) 온라인 상호 인증 방법 및 그 시스템
WO2020032351A1 (ko) 익명 디지털 아이덴티티 수립 방법
WO2020222406A1 (ko) 생체정보기반 로그인 서비스를 제공하기 위한 인증 시스템
WO2019017525A1 (ko) 사용자 인증 서버 및 시스템
WO2013073780A1 (ko) 자동 로그인 기능을 제공하는 방법 및 서버
JP6887551B1 (ja) 認証システム、認証システムの制御方法及び認証装置
US11716331B2 (en) Authentication method, an authentication device and a system comprising the authentication device
WO2023127977A1 (ko) 블록체인 기반 인증 및 거래 시스템

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16852045

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15758044

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2018515133

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2016852045

Country of ref document: EP