WO2018043832A1 - 보안 웹브라우저 동작 방법 - Google Patents

보안 웹브라우저 동작 방법 Download PDF

Info

Publication number
WO2018043832A1
WO2018043832A1 PCT/KR2016/014109 KR2016014109W WO2018043832A1 WO 2018043832 A1 WO2018043832 A1 WO 2018043832A1 KR 2016014109 W KR2016014109 W KR 2016014109W WO 2018043832 A1 WO2018043832 A1 WO 2018043832A1
Authority
WO
WIPO (PCT)
Prior art keywords
web browser
work
secure web
server
program
Prior art date
Application number
PCT/KR2016/014109
Other languages
English (en)
French (fr)
Inventor
이형근
Original Assignee
이형근
권명희
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 이형근, 권명희 filed Critical 이형근
Publication of WO2018043832A1 publication Critical patent/WO2018043832A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/121—Restricting unauthorised execution of programs
    • G06F21/128—Restricting unauthorised execution of programs involving web programs, i.e. using technology especially used in internet, generally interacting with a web browser, e.g. hypertext markup language [HTML], applets, java
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/10—Protecting distributed programs or content, e.g. vending or licensing of copyrighted material ; Digital rights management [DRM]
    • G06F21/12—Protecting executable software
    • G06F21/121—Restricting unauthorised execution of programs
    • G06F21/125—Restricting unauthorised execution of programs by manipulating the program code, e.g. source code, compiled code, interpreted code, machine code
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/6209—Protecting access to data via a platform, e.g. using keys or access control rules to a single file or object, e.g. in a secure envelope, encrypted and accessed using a key, or with access control rules appended to the object itself
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/62—Protecting access to data via a platform, e.g. using keys or access control rules
    • G06F21/629—Protecting access to data via a platform, e.g. using keys or access control rules to features or functions of an application
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1466—Active attacks involving interception, injection, modification, spoofing of data unit addresses, e.g. hijacking, packet injection or TCP sequence number attacks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1483—Countermeasures against malicious traffic service impersonation, e.g. phishing, pharming or web spoofing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]

Definitions

  • the present invention generally relates to a technique for implementing a web browser for displaying a web site on a personal computer.
  • the present invention is a technology for implementing a secure web browser that can structurally provide a high degree of security suitable for performing a business program, blocking other communication ports except the communication port connected to the business server Blocks hacking attacks by bypassing access, forcibly terminates non-business programs, encrypts communication sessions, controls communication access to business servers through code authentication for each business system, controls web page source and developer mode control, and brute force
  • the present invention relates to a technology for implementing a secure web browser that provides enhanced security by preventing attack attacks, preventing DDoS attacks, and preventing forgery and pharming of important web browser files.
  • Figure 1 is a view showing a web browser using environment of the general user in the prior art
  • Figure 2 is a view showing an environment using the Internet shopping site in the prior art.
  • people typically start various programs using a web browser (eg, Microsoft Explorer, etc.) of one personal computer 20.
  • Security-critical business programs e.g., NEIS, EduFine, e-Hojo, local financial management systems), hospital management software, pharmacy management software, public office mail programs, etc.
  • Use websites together e.g. web hard, games, portals, home shopping, etc.).
  • KT's homepage was hacked by brute-force attacks, and 12 million personal information was leaked.
  • North Korea hacked in-house computer networks such as SK Networks and Korean Air and 40,000 cases including fighter plans were leaked. It became.
  • Interpark's internal database was hacked by malicious code e-mails, leaking 10.3 million customer information, and a North Korean hacking organization sent an e-mail to the government's diplomatic and security staff.
  • a business program is considerably secured due to a network connection environment that uses a single personal computer 20 to access both the work network and the Internet, and an open web browser (eg, Microsoft Explorer, etc.) that is insecure. Is in danger.
  • an open web browser eg, Microsoft Explorer, etc.
  • purchasing and maintaining a computer that is used solely to access the business network, or purchasing and operating multiple security programs to enhance the security of an open web browser may be an appropriate solution in terms of cost and inconvenience. There is no number.
  • An object of the present invention is a technology for implementing a secure web browser that can structurally provide a high degree of security suitable for performing a business program, by blocking other communication ports except the communication port connected to the business server bypass access Block hacking attacks, force programs other than business programs to terminate, encrypt communication sessions, control communication access to business servers through code authentication for each business system, view web page source and developer mode control, It provides technology to implement secure web browser that provides enhanced security by preventing brute force attack, preventing DDoS attack, and preventing forgery and pharming of important web browser files.
  • the present invention for achieving the above object is a secure web comprising a web browsing providing unit 110, a communication module port control unit 120, authentication code-based dedicated unit 130, a communication session encryption unit 150
  • a web browsing providing unit 110 accesses a work server to provide a web for the work program.
  • the third authentication code-based dedicated unit 130 transmits the authentication code stored in advance for each work program to the work server to perform authentication between the work program and the work server, and accordingly, receives access permission for the secure web browser from the work server.
  • the communication session encryption unit 150 may include a fourth step of applying encryption to a communication session established between the secure web browser and the work server to provide an operation of the work program.
  • the secure web browser 100 may further include a unique information-based dedicated unit 140 and a PC-enabled program controller 160.
  • the unique information-based dedicated unit 140 provides hardware identification information obtained from the parts mounted on the user computer when the user registers the work program to the work server to provide the computer unique information.
  • the communication module port control unit 120 blocking access to other IP addresses and domains except for an IP address and a domain used to access a business network to provide an operation of a business program; Forcibly disabling, by the PC running program controller 160, other applications running in the user computer in addition to the work program, the work assistant program, and the operating system program;
  • the unique information-based specialization unit 140 transmits the hardware identification information obtained from the parts mounted on the user's computer to the work server to perform authentication between the user computer and the work server when the work program is operated. Receiving an access permission for the; may be configured to further include.
  • the secure web browser 100 further comprises a PC traffic check unit 170, web page viewing monitoring unit 180, server communication blocking control unit 200, screen capture control unit 210 Can be.
  • the PC traffic check unit 170 checks the communication traffic to access the business program of the business server and generates a DDoS attack suspicion event when exceeding a predetermined threshold traffic ;
  • the server communication blocking control unit 200 automatically blocks the communication access to the work server based on the communication module MAC address information; Generating, by the webpage viewing monitoring unit 180, a brute-force suspicious suspicious event when the number of times of page viewing or login operation exceeds a preset threshold number of login pages of a work program provided by a work server;
  • the server communication cutoff control unit 200 automatically blocking communication access to the work server by the user computer;
  • the screen capture control unit 210 blocks the screen capture by the Windows API of GetDC, BitBlt,
  • the secure web browser 100 may further comprise a file forgery check unit 190.
  • the method for operating a secure web browser of the present invention includes: receiving, by the file forgery checker 190, file name and file size information of a predetermined important file of the secure web browser from a work server; When the file forgery checker 190 obtains the file size of the important file from the user's computer when the secure web browser is executed, the file forgery checker 190 generates an important file forgery suspect event when it is different from the file size information provided from the work server.
  • the server communication blocking control unit 200 In response to the suspicious file forgery suspicion event, the server communication blocking control unit 200 automatically blocking communication access to the work server by the secure web browser;
  • the file forgery checker 190 checks whether a proper digital signature is provided for a predetermined important file of the secure web browser when the secure web browser is executed and automatically blocks execution of the secure web browser if it fails;
  • the file forgery checker 190 obtains the information of the homepage or system access address using the secure website from the user's computer when the secure web browser is executed, and then suspects that the file forgery is different from the information provided from the work server. Generating an event;
  • the server communication cutoff control unit 200 automatically blocks the communication access to the work server by the secure web browser in response to the suspected pharming event.
  • the computer-readable non-volatile recording medium is a computer program for executing a method of operating a secure web browser according to any one of the above.
  • the security of the web browser itself is greatly enhanced.
  • There is an advantage to use In other words, when a business program is executed as a kind of application on the secure web browser of the present invention, security can be secured automatically by the secure web browser.
  • the security web browser of the present invention has high security in itself, it is possible to solve the inconvenience of having to install various security programs including keyboard security in the form of Active-X when executing a conventional work program.
  • FIG. 1 is a view showing a web browser using environment in the prior art.
  • FIG. 2 is a view showing an environment of use of an internet shopping site in the prior art
  • FIG. 3 conceptually illustrates the overall operational process of a secure web browser in accordance with the present invention.
  • Figure 4 is a block diagram showing the internal functional configuration of a secure web browser according to the present invention.
  • FIG. 5 is a view showing a communication port blocking function in a secure web browser according to the present invention.
  • FIG. 6 is a view showing a communication code dedicated function based on the authentication code in a secure web browser according to the present invention.
  • FIG. 7 is a diagram illustrating a computer access control function based on hardware identification information in a secure web browser according to the present invention.
  • FIG. 8 illustrates a non-business program blocking function in a secure web browser according to the present invention.
  • FIG. 9 is a view showing a brute force attack prevention function in a secure web browser according to the present invention.
  • FIG. 10 is a view showing a DDoS attack prevention function in a secure web browser according to the present invention.
  • FIG. 11 is a view showing a file forgery prevention function in a secure web browser according to the present invention.
  • FIG. 12 is a diagram showing a pharming prevention function in a secure web browser according to the present invention.
  • FIG. 13 is a view showing a screen capture control function in a secure web browser according to the present invention.
  • FIG. 3 is a diagram conceptually showing the overall operating process of the secure web browser 100 according to the present invention.
  • the present invention is structured to a degree suitable for performing business programs requiring high security, such as NEIS (www.neis.go.kr), Civil Complaint 24 (www.minwon.go.kr), bank management system, public office mail, etc. It is a technology to implement a secure web browser that can provide high security.
  • the same blocking process is performed not only on the communication port but also on the IP address and the domain.
  • Code authentication (eg, 16 digits or more) is performed between the work program and the work server 30.
  • the secure web browser 100 performing the work program normally communicates with the work server 30, and other web browsers are blocked from accessing communication even if they try to access the work server 30.
  • SSL may be used as the encryption technique.
  • the disabling may be a method of closing the program or may be implemented by temporarily aborting or suspending the program.
  • the web browser 100 prevents hacking through the program source analysis of the hacker by blocking the source view function and the developer mode of the web page.
  • Microsoft's Explorer web browser you can use the "Control + U" operation to view the source code of the currently displayed web page.
  • the secure web browser 100 according to the present invention blocks the source view function and the developer mode of the web page.
  • the secure web browser 100 has a possibility of brute force attack when the number of times of page viewing or login operation for the login page of the work program exceeds a preset threshold number of operations (for example, 30 or more times per minute). Suspected. In this case, when page viewing or login activity exceeding a critical number of operations occurs to stop the brute force attack, communication access between the personal computer 20 and the work server 30 is automatically blocked.
  • a preset threshold number of operations for example, 30 or more times per minute
  • the secure web browser 100 checks the communication traffic that accesses the work program of the work server 30, and in case of exceeding a predetermined threshold traffic (for example, 50 Mbytes per second), a distributed denial of service, A possible DDoS attack is suspected. In this case, the communication access to the work server 30 is automatically blocked based on the communication module MAC address information for the personal computer that causes the traffic exceeding the threshold traffic to stop the DDoS attack.
  • a predetermined threshold traffic for example, 50 Mbytes per second
  • the work server 30 is provided with the file name and file size information in advance for these important files and stores them.
  • the secure web browser 100 obtains the file size values for these important files from the actual files stored in the personal computer 20 when executing the program to run the business program, and compares them with the values stored in the business server 30. do.
  • a comparison of the file size values suggests that a significant file forgery is possible if they differ. In this case, since there is a high possibility that the personal computer 20 has been hacked, communication access to the work server 30 by the secure web browser 100 is automatically blocked for security.
  • the secure web browser 100 may also determine whether or not pharming, a hacking technique for forging a hosts file, in which information about a homepage address and a system access address using a secure website is stored.
  • the hosts file is located under the C: ⁇ Windows ⁇ System32 ⁇ drivers ⁇ etc folder on your computer.
  • the secure web browser 100 obtains information of a homepage or a system access address using a secure website from the personal computer 20 when executing the program to operate a business program. Then, the secure web browser 100 compares the obtained information with the value stored in the work server 30.
  • the security web browser 100 automatically blocks the communication access to the work server 30 for security.
  • the personal computer 20 in the present invention is not limited to a general desktop computer or laptop computer. Basically, it has a technical configuration of a computer and includes all devices that use a web browser, such as a tablet computer, an ATM device, and a digital signage device.
  • the application target of the secure web browser 100 is also very diverse.
  • important information systems of national and local governments e.g., E-hospitality, NEIS, Edupine, Civil affairs 24, official mail
  • hospitals and pharmacy-related medical information systems e.g. accounting, finance, Business process
  • closed network information system e.g. bank terminal
  • bank ATMs e.g., bank ATMs
  • certificate issuers such as issuance of resident registration certificates
  • special purpose terminals such as mobile or IoT devices, terminal devices for home shopping, etc. Can be applied to.
  • FIG. 4 is a block diagram showing the internal functional configuration of a secure web browser 100 according to the present invention.
  • the secure web browser 100 according to the present invention, the web browsing providing unit 110, the communication module port control unit 120, so that the user can provide a high degree of security when processing the work, Authentication code-based dedicated unit 130, unique information-based dedicated unit 140, communication session encryption unit 150, PC operation program control unit 160, PC traffic check unit 170, web page viewing monitoring unit 180 ), The file forgery check unit 190, the server communication blocking control unit 200, the screen capture control unit 210, the web page source view control unit 220, integrated installation providing unit 230 is configured.
  • the web browsing providing unit 110 is a component that connects the work server 30 to display a web page for a business program on a computer screen, and is an open source web browser (for example, Firefox) or a domestic web browser (for example, Swing). , Dolphin, WebOS, ToGate, etc.).
  • the communication module port control unit 120 is only a communication port that the secure web browser 100 is used to access the work network to provide the operation of the business program when the secure web browser 100 is started and connected to the work server 30. Leave the rest of the communication port of the personal computer 20 is blocked.
  • the communication module port control unit 120 may be configured for the other IP addresses and domains except for the IP address and domain that the secure web browser 100 uses to access the business network for the business program in the same manner as the communication port. It can be configured to block the connection.
  • the communication module port control unit 120 can be implemented by using a LAN card communication control technology using a socket communication.
  • the authentication code-based dedicated unit 130 transmits the authentication code stored in advance for each business program to the work server 30 to perform authentication between the work program and the work server 30 and accordingly secure web browser from the work server 30. 100 are granted access permission. Through this, communication access to the work server 30 by other web browsers other than the secure web browser 100 is blocked.
  • the unique information-based dedicated unit 140 allows access only to computers that are registered in advance in the business server 30, and the unregistered computer blocks the communication access to the business server 30.
  • hardware identification information obtained from parts mounted on the personal computer 20 is provided to the work server 30 and registered as computer-specific information. It is advantageous to enhance security by using a combination of one or more of a memory part number, a serial number, a LAN card MAC address, and a CPU ID.
  • the unique information-based specialization unit 140 obtains such hardware identification information from the parts mounted on the personal computer 20 when the business program is operated, and transmits the acquired hardware identification information to the work server 30 to personal computer. The authentication between the 20 and the work server 30 is performed.
  • the work server 30 allows access to the personal computer 20. On the other hand, if the personal computer 20 is an unregistered computer, the work server 30 blocks the communication access.
  • the communication session encryption unit 150 applies encryption to a communication session established between the secure web browser 100 and the work server 30 to provide an operation of a business program.
  • SSL can be applied as an encryption technique.
  • the PC operation program control unit 160 forcibly disables other applications except for a work program, a work assistant program, and an operating system program among applications currently running on the personal computer 20.
  • the PC traffic checker 170 checks the communication traffic that accesses the work program of the work server 30 to suspect a DDoS attack when a predetermined threshold traffic (for example, 50 Mbytes per second) is exceeded. In this case, in order to stop the DDoS attack, the server communication cutoff control unit 200 automatically blocks communication access to the work server 30 based on the communication module MAC address information.
  • a predetermined threshold traffic for example, 50 Mbytes per second
  • the web page viewing monitoring unit 180 is configured to exceed a predetermined number of threshold operations (for example, 30 or more times per minute) of the page viewing or login operation per hour for the login page of the business program provided by the business server 30.
  • a predetermined number of threshold operations for example, 30 or more times per minute
  • the server communication blocking control unit 200 automatically blocks the communication access to the work server 30 by the personal computer 20.
  • the file forgery checker 190 determines whether the forgery of important files (eg, an executable file, an environment file, etc.) related to the operation of the secure web browser 100 is performed. To this end, the work server 30 is provided with the file name and file size information in advance for these important files and stores them. The file forgery checker 190 obtains the file size values for these important files from the actual files stored in the personal computer 20 when executing the secure web browser 100 to operate the business program, and sends them to the business server 30. Compare with the stored value.
  • important files eg, an executable file, an environment file, etc.
  • the file forgery check unit 190 suspects the possibility of important file forgery. In this case, since there is a high possibility that the personal computer 20 has been hacked, communication access to the work server 30 by the secure web browser 100 is automatically blocked for security.
  • the digital signature is applied when the secure web browser 100 is deployed, and the validity of the digital signature of the important file is checked when the secure web browser 100 is executed. And automatically blocks the execution of the secure web browser 100 for security.
  • the file forgery checker 190 may also determine whether the hosts file that stores the information of the homepage address and the system access address using the secure website is forged and forged.
  • the hosts file is located under the C: ⁇ Windows ⁇ System32 ⁇ drivers ⁇ etc folder.
  • the file forgery checker 190 is secured from the hosts file located under the C: ⁇ Windows ⁇ System32 ⁇ drivers ⁇ etc folder on the personal computer 20 when the secure web browser 100 is executed to operate a work program. Obtain information on the homepage or system access address using the website. Then, the secure web browser 100 compares the obtained information with the value stored in the work server 30.
  • the file forgery check unit 190 is suspicious of pharming. In this case, since there is a high possibility that there has been a hacking on the personal computer 20, for security, communication access to the work server 30 by the secure web browser 100 is automatically blocked.
  • the server communication cutoff control unit 200 automatically blocks communication access between the personal computer 20 and the work server 30 when a security threat is concerned. As a security threat, the server communication blocking control unit 200 identifies a possibility of DDoS attack, a brute force attack, an important file forgery, and a possibility of pharming.
  • the screen capture control unit 210 blocks the screen capture not only for the screen of the secure web browser 100 but also for the Windows area while the secure web browser 100 provides a work program.
  • the determination of whether to allow the screen capture is made according to the security policy (server security policy) of the person in charge of the work program in the work server 30 operating the work program currently being provided.
  • server security policy the security policy that prevents screen capture
  • the screen capture controller 210 blocks and controls screen capture by using a Windows API (Windows Application Program Interface) such as GetDC, BitBlt, and ReleaseDC.
  • the web page source view control unit 220 prevents hacking through the program source analysis of the hacker by blocking the source view function and the developer mode of the web page in the secure web browser 100. Determination of whether to allow the source view and the developer mode can be set only to developers through the work server 30 or a separate management server (not shown) with the administrator's approval. At this time, it is preferable to configure the source view function and the developer mode to be enabled only under the approval of the server administrator when developing or supplementing the program.
  • Integrated installation providing unit 230 is a security program (authentication system, document security, etc.) and business application program (printing, etc.) at that time is not downloaded from the website using Active-X, but embedded in the secure web browser 100 Provides functions that can be provided in the form so that they can be executed when needed, such as NPAPI-type plug-in, EXE, HTML5, and the like.
  • Suitable programs are document security programs, document forgery and alteration prevention programs, malware blocking programs, and printing programs.
  • the secure web browser 100 of the present invention may function as a platform for a business program.
  • the security can be secured automatically by the secure web browser.
  • the present invention does not completely exclude the method of downloading the necessary function of the business program when all the function module program is not included in the integrated installation method.
  • FIG. 5 is a diagram conceptually illustrating a communication port blocking function performed by the communication module port control unit 120 for the communication module 25 in the secure web browser 100 according to the present invention.
  • the communication module port control unit 120 blocks the rest except for the communication port, IP address, and domain used for the operation of the business program when the secure web browser 100 is started and connected to the work server 30.
  • the communication module port control unit 120 can be implemented by using a LAN card communication control technology using a socket communication.
  • the communication module port control unit 120 controls the LAN card communication of the communication module 25 by using a socket communication or a web socket to secure the web browser 100 and the work server 30. Leave only the communication port, domain, and IP address used for the business program, and block all other communication ports, domains, and IP addresses.
  • the hacker computer 50 may block the hacking of the bypass approach in which the hacker computer 50 hacks the work server 30 via the personal computer 20.
  • the user may be blocked from accessing the externally vulnerable external site servers 40 and 41 for news retrieval or internet shopping while the user is connected to the work network.
  • the communication module port control unit 120 releases the blocked communication port, domain, and IP address.
  • FIG. 6 conceptually illustrates an authentication code based communication channel dedicated function performed by the authentication code based dedicated unit 130 in the secure web browser 100 according to the present invention.
  • the authentication code-based dedicated unit 130 stores the authentication code in advance with different values for each business program (eg, E-join, NEIS, Edupine, bank, certificate issuance, ATM, etc.). Generally, the work server 30 corresponding to each work program issues an authentication code to the secure web browser 100.
  • the authentication code-based dedicated unit 130 performs authentication between the work program and the work server 30 by transmitting the authentication code of the work program to be executed to the work server 30.
  • the work server 30 allows access to the secure web browser 100.
  • other web browsers that do not provide an appropriate authentication code do not receive access from the work server 30, and thus communication access is blocked.
  • the communication session encryption unit 150 applies encryption to the communication session established between the secure web browser 100 and the work server 30 for the work program. As such, it is preferable to apply SSL (Secure Sockets Layer) to encrypting the communication session between the secure web browser 100 and the work server 30.
  • SSL Secure Sockets Layer
  • FIG. 7 is a diagram illustrating a computer access control function based on hardware identification information performed by the unique information-based dedicated unit 140 in the secure web browser 100 according to the present invention.
  • the unique information-based dedicated unit 140 allows access only to the personal computer 20 previously registered in the business server 30, and the non-registered personal computer 20 ′ is not provided with the business server 30. Block communication access to
  • hardware identification information obtained from the parts mounted on the personal computer 20 is provided to the work server 30 and registered as computer-specific information. This process is preferably performed automatically as a background process.
  • hardware identification information a combination of one or more of a memory part number, a serial number, a LAN card MAC address, and a CPU ID is advantageous for enhanced security.
  • the unique information-based specialization unit 140 obtains such hardware identification information from the parts mounted on the personal computer 20 when the business program is operated, and transmits the acquired hardware identification information to the work server 30 to personal computer. The authentication between the 20 and the work server 30 is performed.
  • the work server 30 allows communication access.
  • the work server 30 blocks communication access even if the secure browser 100' is used.
  • the personal computer 20 ′ in which communication access is blocked may be used after registration through an administrator operation or user authentication on the work server 30.
  • FIG. 8 is a view conceptually illustrating a non-business program blocking function performed by the PC-enabled program control unit 160 in the secure web browser 100 according to the present invention.
  • the PC operation program control unit 160 forcibly disables other applications except for a work program, a work assistant program, and an operating system program among applications currently running on the personal computer 20.
  • a work program For example, when the secure web browser 100 is executed on the personal computer 20, a work program, an operating system program, and a PC program, a Windows daemon, a work program (eg, Korean, office, vaccine, etc.) necessary to assist the work program All programs except) are considered unnecessary and are terminated, thus blocking hacking through malicious code.
  • a work program eg, Korean, office, vaccine, etc.
  • FIG. 9 is a diagram conceptually illustrating a brute force attack prevention function performed by the web page viewing monitoring unit 180 and the server communication blocking control unit 200 in the secure web browser 100 according to the present invention.
  • the web page viewing monitoring unit 180 is configured to exceed a predetermined number of threshold operations (for example, 30 or more times per minute) of the page viewing or login operation per hour for the login page of the business program provided by the business server 30. The possibility of brute force attacks is suspected.
  • the server communication blocking control unit 200 automatically blocks the communication access to the work server 30 by the personal computer 20.
  • the work server 30 transmits information about the login page, login ID, and PW variable to the secure web browser 100, and the secure web browser 100 checks the login page to repeat page viewing or login behavior. (Eg, more than 5 times per 10 seconds, more than 30 times per minute, etc.) to automatically block PC communication to prevent brute force attacks.
  • the suspected brute-force attack suspicion (eg, more than 30 logins and page views per minute) is also automatically blocked by the secure web browser (100).
  • the personal computer 20 that is set to be blocked in response to the suspicion of brute force attack checks the usage status of the personal computer 20 through the work server 30 or a separate management server (not shown), and the work server 30 Unblock using MAC address information registered in).
  • FIG. 10 is a diagram conceptually illustrating a DDoS attack prevention function performed by the PC traffic checker 170 and the server communication blocking controller 200 in the secure web browser 100 according to the present invention.
  • the PC traffic checking unit 170 checks the communication traffic that accesses the work program of the work server 30 and associates several computers 20 to 23 when the predetermined threshold traffic (for example, 50 Mbytes per second) is exceeded. The possibility of a DDoS attack utilized is suspected.
  • the predetermined threshold traffic for example, 50 Mbytes per second
  • the server communication cutoff control unit 200 automatically blocks communication access to the work server 30 based on the communication module MAC address information.
  • the LAN card MAC address information of the personal computer 20 is registered in advance in the work server 30 through the secure web browser 100, and when the DDoS attack is suspected, the LAN card MAC address information is automatically blocked.
  • the personal computer 20 blocked by suspicion of a DDoS attack is checked by the administrator through the work server 30 or the management server (not shown) related information (user usage status) and using the MAC address information unblocking do.
  • FIG. 11 is a diagram conceptually illustrating a file forgery prevention function performed by the file forgery checker 190 and the server communication blocking control unit 200 in the secure web browser 100 according to the present invention.
  • the file forgery checker 190 determines whether the hacker computer 50 has forged an important file (eg, an executable file, an environment file, etc.) related to the operation of the secure web browser 100. To this end, the work server 30 is provided with the file name and file size information in advance for these important files and stores them.
  • an important file eg, an executable file, an environment file, etc.
  • the file forgery checker 190 obtains the file size values for these important files from the actual files stored in the personal computer 20 when executing the secure web browser 100 to operate the business program, and sends them to the business server 30. Compare with the stored value.
  • the file forgery check unit 190 suspects the possibility of important file forgery. In this case, since there is a high possibility that the personal computer 20 has been hacked, communication access to the work server 30 by the secure web browser 100 is automatically blocked for security.
  • the digital signature is applied and the file forgery checker 190 checks the adequacy of the digital signature for the important file when the secure web browser is executed. Doubt and automatically block the execution of the secure web browser 100 for security.
  • the user is provided with a guide of communication blocking through the secure web browser 100 or a message box.
  • the important file of the secure web browser 100 preferably installs a separate folder as a hidden area when installing the secure web browser 100 on the personal computer 21.
  • FIG. 12 is a diagram conceptually illustrating a pharming prevention function performed by the file forgery checker 190 and the server communication blocking controller 200 in the secure web browser 100 according to the present invention.
  • the file forgery checker 190 is a secure website used in the hosts file under the C: ⁇ Windows ⁇ System32 ⁇ drivers ⁇ etc folder and the access address of important systems (eg bank, hometex, etc.) (eg IP information). ) Is forged by pharming.
  • the homepage address and IP information using the secure website to check the forgery of the host is registered in the business server 30.
  • the public official integrated mail IP and the homepage address (125.60.33.42 mail.korea.kr) are registered in the work server 30.
  • the file forgery checker 190 receives a secure website use homepage address and an important system access address from the work server 30 when executing the secure web browser 100. At the same time, the file forgery checker 190 obtains information of a homepage or a system access address using a secure website from a hosts file located under the C: ⁇ Windows ⁇ System32 ⁇ drivers ⁇ etc folder of the personal computer 21. do. Then, the secure web browser 100 compares the information obtained directly from the personal computer 21 with the value provided from the work server 30.
  • the file forgery check unit 190 is suspicious of pharming.
  • communication access to the work server 30 by the secure web browser 100 is automatically blocked for security.
  • the user is provided with a guide of communication blocking through the secure web browser 100 or a message box.
  • FIG. 13 is a diagram conceptually illustrating a screen capture control function performed by the screen capture controller 210 in the secure web browser 100 according to the present invention.
  • the screen capture control unit 210 blocks screen capture of the screen of the secure web browser 100 and preferably the windows area while the secure web browser 100 provides a business program.
  • the determination of whether to allow the screen capture is made according to the security policy (server security policy) of the person in charge of the work program in the work server 30 operating the work program currently being provided. If a security policy that does not allow screen capture is set by the work program manager, the non-capture security policy is transferred from the work server 30 to the screen capture controller 210.
  • server security policy server security policy
  • the screen capture controller 210 blocks and controls screen capture by using a Windows API such as GetDC, BitBlt, and ReleaseDC.
  • the secure web browser according to the present invention is good for embedded systems such as Internet shopping platform, home shopping platform, online game platform, mobile game platform, Internet of Things (IoT) platform, bank terminal, as well as the platform for business offices or general enterprises Can be applied.
  • embedded systems such as Internet shopping platform, home shopping platform, online game platform, mobile game platform, Internet of Things (IoT) platform, bank terminal, as well as the platform for business offices or general enterprises Can be applied.
  • IoT Internet of Things
  • the present invention may be embodied in the form of computer readable codes on a computer readable nonvolatile recording medium.
  • Such nonvolatile recording media include all types of storage devices that store computer readable data, such as hard disks, SSDs, CD-ROMs, NAS, magnetic tapes, web disks, cloud disks, etc.
  • the code may be implemented in a form in which the code is distributed and stored in a storage device.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • Multimedia (AREA)
  • Technology Law (AREA)
  • Computing Systems (AREA)
  • Computer And Data Communications (AREA)

Abstract

본 발명은 일반적으로 개인용 컴퓨터 상에서 웹 사이트를 표시해주는 웹브라우저를 구현하는 기술에 관한 것이다. 더욱 상세하게는, 본 발명은 업무용 프로그램을 수행하기에 적합한 정도의 높은 보안성을 구조적으로 제공하는 보안 웹브라우저를 구현하는 기술로서, 업무 서버와의 연결된 통신 포트를 제외한 다른 통신 포트는 차단하여 우회 접근하는 해킹 공격을 차단하고 업무용 프로그램 이외의 다른 프로그램들은 강제 종료시키고 통신세션을 암호화하며 업무 시스템별 코드 인증을 통해 업무 서버로의 통신 접근을 통제하고 웹페이지 소스보기 및 개발자모드 통제, 무차별 대입공격 예방, DDoS 공격 예방, 보안 웹브라우저 중요파일의 위변조 및 파밍 예방 등을 통해 강화된 보안성을 제공하는 보안 웹브라우저를 구현하는 기술에 관한 것이다.

Description

보안 웹브라우저 동작 방법
본 발명은 일반적으로 개인용 컴퓨터 상에서 웹 사이트를 표시해주는 웹브라우저를 구현하는 기술에 관한 것이다.
더욱 상세하게는, 본 발명은 업무용 프로그램을 수행하기에 적합한 정도의 높은 보안성을 구조적으로 제공할 수 있는 보안 웹브라우저를 구현하는 기술로서, 업무 서버와의 연결된 통신 포트를 제외한 다른 통신 포트는 차단하여 우회 접근하는 해킹 공격을 차단하고 업무용 프로그램 이외의 다른 프로그램들은 강제 종료시키고 통신세션을 암호화하며 업무 시스템별 코드 인증을 통해 업무 서버로의 통신 접근을 통제하고 웹페이지 소스보기 및 개발자모드 통제, 무차별 대입공격 예방, DDoS 공격 예방, 보안 웹브라우저 중요파일의 위변조 및 파밍 예방 등을 통해 강화된 보안성을 제공하는 보안 웹브라우저를 구현하는 기술에 관한 것이다.
도 1은 종래기술에서 일반적인 사용자의 웹브라우저 사용 환경을 나타내는 도면이고, 도 2는 종래기술에서 인터넷 쇼핑 사이트를 사용하는 환경을 나타내는 도면이다.
도 1을 참조하면, 사람들은 한 대의 개인용 컴퓨터(20)의 웹브라우저(예: 마이크로소프트 익스플로러 등)를 이용하여 여러가지 프로그램을 기동하는 것이 일반적이다. 즉, 보안이 중요한 업무용 프로그램(예: NEIS, 에듀파인(EduFine), E-호조(e-Hojo, 지방재정관리시스템), 병원관리 소프트웨어, 약국관리 소프트웨어, 공직자 메일 프로그램 등)과 보안이 취약한 일반 웹사이트(예: 웹하드, 게임, 포탈, 홈쇼핑 등)을 같이 이용한다.
대부분의 기관 이용자들이 한 대의 개인용 컴퓨터(20)에 설치되어 있는 웹브라우저(예: 마이크로소프트 익스플로러)를 사용하여 업무망에 접속하여 중요 업무를 보면서 인터넷으로 포탈에 접속하여 뉴스도 검색하는 등의 사용 형태를 보이는 것이 일반적이다. 이로 인해, 인터넷 공간의 해커들이 업무용 컴퓨터(20)를 액세스할 수 있게 되어 업무용 컴퓨터(20)를 활용한 업무망 해킹사고가 빈번히 발생하고 있으며, 또한 보안이 취약한 웹브라우저를 통해 기관의 중요한 업무용 홈페이지에 무차별 대입공격등의 해킹을 시도하여 개인정보 유출 등이 발생하고 있는 실정이다.
예를 들면, 2014년에 무차별 대입공격에 의해 KT 홈페이지가 해킹되어 1200만명의 개인정보가 유출되었고, 2016년에는 북한이 SK네트웍스, 대한항공 등의 사내 전산망을 해킹하여 전투기 설계도 등 4만건이 유출되었다. 2016년에는 악성코드 이메일에 의해 인터파크사의 회사내부 데이터베이스가 해킹되어 1030만명의 고객정보가 유출되었고 북한 해킹조직이 정부의 외교안보 직원에게 이메일을 보내 해킹을 시도한 사례가 있었다.
이처럼 한 대의 개인용 컴퓨터(20)를 이용하여 업무망과 인터넷을 구분하지 않고 모두에 접속하는 네트워크 접속 환경 및 보안이 취약한 개방형 웹브라우저(예: 마이크로소프트 익스플로러 등) 사용 환경으로 인해 업무용 프로그램은 상당한 보안 위험에 놓여지고 있다. 하지만, 업무망에 접속하는 용도로만 사용하는 컴퓨터를 별도로 구매하여 유지하거나 개방형 웹브라우저의 보안을 강화하기 위해 다수의 보안 프로그램을 구매하여 운영하는 것은 비용의 면에서나 사용상의 불편함에서 적절한 해법이 될 수는 없다.
도 2를 참조하면, 인터넷 홈쇼핑을 이용하려면 Active-X를 활용하여 웹브라우저 위변조 점검 백신 프로그램, 악성코드 점검 백신 프로그램, 키보드 보안 프로그램, 공인인증서 프로그램 등을 다운로드하여 설치해야 한다. 하지만, 여러 웹사이트를 들어갈 때마다 이러한 보안 프로그램을 설치한다는 것은 굉장히 불편한 일이고 이들 보안 프로그램이 동작함으로 인하여 웹브라우저의 반응성이 현격하게 떨어지는 문제점이 있었다.
그에 따라, 보안성을 높이고 사용 편이성도 개선함으로써 한 대의 컴퓨터로 업무망과 인터넷을 모두 접속하는 환경과 업무용 프로그램 보안을 위해 개방형 웹브라우저에 다수의 보안 프로그램이 설치되어야 하는 종래기술의 문제점을 해결할 수 있는 기술이 요망된다.
본 발명의 목적은 업무용 프로그램을 수행하기에 적합한 정도의 높은 보안성을 구조적으로 제공할 수 있는 보안 웹브라우저를 구현하는 기술로서, 업무 서버와의 연결된 통신 포트를 제외한 다른 통신 포트는 차단하여 우회 접근하는 해킹 공격을 차단하고, 업무용 프로그램 이외의 다른 프로그램들은 강제 종료시키고, 통신세션을 암호화하며, 업무 시스템별 코드 인증을 통해 업무 서버로의 통신 접근을 통제하고, 웹페이지 소스보기 및 개발자모드 통제, 무차별 대입공격 예방, DDoS 공격 예방, 보안 웹브라우저 중요파일의 위변조 및 파밍 예방 등을 통해 강화된 보안성을 제공하는 보안 웹브라우저를 구현하는 기술을 제공하는 것이다.
상기의 목적을 달성하기 위한 본 발명은 웹브라우징 제공부(110), 통신모듈 포트통제부(120), 인증코드 기반 전용화부(130), 통신세션 암호화부(150)를 포함하여 구성되는 보안 웹브라우저(100)가 업무망을 통해 업무 서버와 연결되어 사용자 컴퓨터에 업무용 프로그램의 작동을 제공하기 위한 보안 웹브라우저 동작 방법으로서, 웹브라우징 제공부(110)가 업무 서버를 접속하여 업무용 프로그램을 위한 웹페이지를 컴퓨터 화면에 표시하는 제 1 단계; 통신모듈 포트통제부(120)가 업무용 프로그램의 작동을 제공하기 위해 업무망 접속에 사용되는 통신포트를 제외한 사용자 컴퓨터의 다른 통신포트를 차단하는 제 2 단계; 인증코드 기반 전용화부(130)가 업무용 프로그램 별로 미리 저장해둔 인증코드를 업무 서버에 전송하여 업무용 프로그램과 업무 서버 간의 인증을 수행하고 그에 따라 업무 서버로부터 보안 웹브라우저를 위한 접근 허가를 제공받는 제 3 단계; 통신세션 암호화부(150)가 업무용 프로그램의 작동을 제공하기 위해 보안 웹브라우저와 업무 서버 간에 설정된 통신 세션에 대해 암호화를 적용하는 제 4 단계;를 포함하여 구성될 수 있다.
본 발명에 따른 보안 웹브라우저(100)는 고유정보 기반 전용화부(140)와 PC가동 프로그램 통제부(160)를 더 포함하여 구성될 수 있다. 이때, 본 발명의 보안 웹브라우저 동작 방법은, 고유정보 기반 전용화부(140)가 업무용 프로그램의 사용자 등록 시에 사용자 컴퓨터에 탑재된 부품에서 획득되는 하드웨어 식별정보를 업무 서버로 제공하여 컴퓨터 고유정보로 등록하는 단계; 통신모듈 포트통제부(120)가 업무용 프로그램의 작동을 제공하기 위해 업무망 접속에 사용되는 IP 주소와 도메인을 제외한 다른 IP 주소와 도메인에 대한 접속을 차단하는 단계; PC가동 프로그램 통제부(160)가 업무용 프로그램, 업무보조 프로그램, 운영체제 프로그램 이외에 사용자 컴퓨터 내에서 실행되고 있는 다른 응용 프로그램을 강제로 디스에이블시키는 단계; 고유정보 기반 전용화부(140)가 업무용 프로그램의 작동 시에 사용자 컴퓨터에 탑재된 부품으로부터 획득한 하드웨어 식별정보를 업무 서버에 전송하여 사용자 컴퓨터와 업무 서버 간의 인증을 수행하고 그에 따라 업무 서버로부터 사용자 컴퓨터를 위한 접근 허가를 제공받는 단계;를 더 포함하여 구성될 수 있다.
또한, 본 발명에 따른 보안 웹브라우저(100)는 PC 트래픽 점검부(170), 웹페이지 뷰잉 감시부(180), 서버통신 차단제어부(200), 화면캡쳐 통제부(210)를 더 포함하여 구성될 수 있다. 이때, 본 발명의 보안 웹브라우저 동작 방법은, PC 트래픽 점검부(170)가 업무 서버의 업무용 프로그램에 접근하는 통신 트래픽을 체크하여 미리 설정된 임계 트래픽을 초과하는 경우에 DDoS 공격의심 이벤트를 생성하는 단계; DDoS 공격의심 이벤트에 대응하여 서버통신 차단제어부(200)가 통신모듈 MAC 어드레스 정보에 기초하여 업무 서버로의 통신 접근을 자동 차단시키는 단계; 웹페이지 뷰잉 감시부(180)가 업무 서버가 제공하는 업무용 프로그램의 로그인 페이지에 대해 페이지 뷰잉 또는 로그인 조작의 시간당 횟수가 미리 설정된 임계 조작수를 초과하는 경우에 무차별 대입공격 의심 이벤트를 생성하는 단계; 무차별 대입공격 의심 이벤트에 대응하여 서버통신 차단제어부(200)가 사용자 컴퓨터에 의한 업무 서버로의 통신 접근을 자동 차단시키는 단계; 화면캡쳐 통제부(210)가 업무용 프로그램을 운용하는 업무 서버로부터 캡쳐불허 보안정책에 대응하여 GetDC, BitBlt, ReleaseDC의 윈도우즈 API에 의해 화면 캡쳐를 차단 제어하는 단계;를 더 포함하여 구성될 수 있다.
또한, 본 발명에 따른 보안 웹브라우저(100)는 파일 위변조 점검부(190)를 더 포함하여 구성될 수 있다. 이때, 본 발명의 보안 웹브라우저 동작 방법은, 파일 위변조 점검부(190)가 보안 웹브라우저의 미리 설정된 중요 파일에 대해 파일명칭 및 파일사이즈 정보를 업무 서버로부터 제공받는 단계; 파일 위변조 점검부(190)가 보안 웹브라우저의 실행 시에 사용자 컴퓨터로부터 중요 파일의 파일사이즈를 획득한 후, 업무 서버로부터 제공받는 파일사이즈 정보와 비교하여 상이한 경우에 중요파일 위변조 의심 이벤트를 생성하는 단계; 중요파일 위변조 의심 이벤트에 대응하여 서버통신 차단제어부(200)가 보안 웹브라우저에 의한 업무 서버로의 통신 접근을 자동 차단시키는 단계; 파일 위변조 점검부(190)가 보안 웹브라우저의 실행 시에 보안 웹브라우저의 미리 설정된 중요 파일에 대해 적정한 디지털서명의 구비 여부를 검사하여 만일 실패하는 경우에는 보안 웹브라우저의 실행을 자동 차단시키는 단계; 파일 위변조 점검부(190)가 보안 웹브라우저의 실행 시에 보안 웹사이트를 사용하는 홈페이지 주소 및 시스템 접근 주소의 정보를 업무 서버로부터 제공받는 단계; 파일 위변조 점검부(190)가 보안 웹브라우저의 실행 시에 사용자 컴퓨터로부터 보안 웹사이트를 사용하는 홈페이지 또는 시스템 접근 주소의 정보를 획득한 후, 업무 서버로부터 제공받는 정보와 비교하여 상이한 경우에 파밍 의심 이벤트를 생성하는 단계; 파밍 의심 이벤트에 대응하여 서버통신 차단제어부(200)가 보안 웹브라우저에 의한 업무 서버로의 통신 접근을 자동 차단시키는 단계;를 더 포함하여 구성될 수 있다.
한편, 본 발명에 따른 컴퓨터로 판독가능한 비휘발성 기록매체는 컴퓨터에 이상의 어느 하나에 따른 보안 웹브라우저 동작 방법을 실행시키기 위한 프로그램을 기록한 것이다.
본 발명에 따르면 업무용 프로그램의 작동과 관련없는 통신포트를 모두 차단하고 서버 인증과 데이터 암호화 등을 적용하여 웹브라우저 자체의 보안성을 대폭 강화함에 따라 업무용 프로그램이 작동하기에 적합한 플랫폼으로서 보안 웹 브라우저를 활용할 수 있는 장점이 있다. 즉, 본 발명의 보안 웹브라우저 상에서 일종의 어플 형태로 업무용 프로그램이 실행되면 보안 웹브라우저에 의해 보안성이 자동으로 담보될 수 있는 것이다.
그에 따라, 개별 기업과 각 분야별로 사용하고 있는 각종의 업무용 프로그램(예: E-호조, NEIS, 에듀파인, 전자결재 등)을 본 발명의 보안 웹브라우저 상에서 동작하는 일종의 어플로서 구현할 수 있게 되어 업무용 프로그램 개발자나 사용자 모두 편리해지는 장점이 있다.
본 발명에 따르면 보안을 위해 Active-X를 설치할 필요가 없으므로 사용자의 이용상 편의가 제고되는 장점이 있다. 본 발명의 보안 웹브라우저는 그 자체로 보안성이 높기 때문에 종래에 업무용 프로그램을 실행할 때에 Active-X 형태로 키보드 보안을 비롯한 각종 보안 프로그램을 설치해야 하는 불편함을 해소할 수 있게 된다.
도 1은 종래기술에서 웹브라우저 사용 환경을 나타내는 도면.
도 2는 종래기술에서 인터넷 쇼핑 사이트의 사용 환경을 나타내는 도면.
도 3은 본 발명에 따른 보안 웹브라우저의 전체 동작 프로세스를 개념적으로 나타내는 도면.
도 4는 본 발명에 따른 보안 웹브라우저의 내부 기능적 구성을 나타내는 블록도.
도 5는 본 발명에 따른 보안 웹브라우저에서 통신포트 차단 기능을 나타내는 도면.
도 6은 본 발명에 따른 보안 웹브라우저에서 인증코드 기반의 통신채널 전용화 기능을 나타내는 도면.
도 7은 본 발명에 따른 보안 웹브라우저에서 하드웨어 식별정보 기반의 컴퓨터 접근통제 기능을 나타내는 도면.
도 8은 본 발명에 따른 보안 웹브라우저에서 비업무 프로그램 차단 기능을 나타내는 도면.
도 9은 본 발명에 따른 보안 웹브라우저에서 무차별 대입공격 예방 기능을 나타내는 도면.
도 10은 본 발명에 따른 보안 웹브라우저에서 DDoS 공격 예방 기능을 나타내는 도면.
도 11은 본 발명에 따른 보안 웹브라우저에서 파일 위변조 예방 기능을 나타내는 도면.
도 12는 본 발명에 따른 보안 웹브라우저에서 파밍 예방 기능을 나타내는 도면.
도 13은 본 발명에 따른 보안 웹브라우저에서 화면캡쳐 통제 기능을 나타내는 도면.
이하에서는 도면을 참조하여 본 발명을 상세하게 설명한다.
도 3은 본 발명에 따른 보안 웹브라우저(100)의 전체 동작 프로세스를 개념적으로 나타내는 도면이다.
본 발명은 NEIS(www.neis.go.kr), 민원24(www.minwon.go.kr), 은행관리 시스템, 공직자 메일 등과 같이 고도의 보안성이 요구되는 업무용 프로그램을 수행하기에 적합한 정도로 구조적으로 높은 보안성을 제공할 수 있는 보안 웹브라우저를 구현하는 기술이다.
이를 위해 본 발명에서 보안 웹브라우저(100)가 수행하는 동작 프로세스를 정리하면 다음과 같다.
(1) 업무용 프로그램의 수행 과정에서 업무 서버(30)와 통신하기 위하여 업무망 접속에 사용되는 통신포트를 제외한 개인용 컴퓨터(20)의 다른 통신포트를 모두 차단한다. 이를 통해, 도 3의 하단에 나타낸 바와 같이 해커 컴퓨터(50)가 개인용 컴퓨터(20)를 경유하여 업무 서버(30)를 해킹하는, 소위 '우회 접근 방식의 해킹'을 차단할 수 있다.
한편, 바람직하게는 통신 포트 뿐만 아니라 IP 주소와 도메인에도 동일한 차단 처리를 수행한다.
(2) 업무용 프로그램과 업무 서버(30) 간에 코드인증(예: 16 자리 이상)을 수행한다. 이를 통해, 업무용 프로그램을 수행하는 보안 웹브라우저(100)는 해당 업무 서버(30)와 정상적으로 통신하고, 그 외의 다른 웹브라우저들은 업무 서버(30)로 접근을 시도하더라도 통신 접근이 차단된다.
(3) 업무용 프로그램의 수행을 위해 보안 웹브라우저(100)와 업무 서버(30) 간에 설정된 통신 세션에 대해 암호화를 적용한다. 암호화 기술로는 SSL 등이 사용될 수 있다.
(4) 업무용 프로그램의 사용자 등록(user registration) 과정에서 업무 서버(30)에 미리 등록해둔 개인용 컴퓨터(20) 이외에 다른 컴퓨터에 의한 통신 접근을 차단한다. 일반적인 컴퓨터 식별정보는 해커가 가장할 수 있으므로 개인용 컴퓨터(20)에 탑재된 부품에서 획득되는 하드웨어 식별정보, 예컨대 메모리 파트넘버 및 시리얼넘버, 랜카드 MAC 어드레스, CPU ID(CPU 고유식별값)를 활용하는 것이 보안성을 강화하는 데에 유리하다.
전술한 바와 같이 보안 웹브라우저(100)와 업무 서버(30) 간의 연결을 위한 통신포트 외에는 모두 차단할 뿐만 아니라 미리 등록해둔 컴퓨터 외에는 다른 컴퓨터의 접근이 모두 차단되므로 악성코드를 통해 개인용 컴퓨터(20)의 키 로그를 해킹하더라도 해당 데이터를 가지고 나갈 수가 없다. 따라서, 본 발명의 보안 웹브라우저(100)를 사용하는 경우에는 개인용 컴퓨터(20)에 키보드 보안시스템을 설치할 필요가 없다.
(5) 개인용 컴퓨터(20)에서 동작하고 있는 프로그램들 중에서 업무용 프로그램과 운용체제 프로그램을 제외한 다른 응용 프로그램들, 특히 각종 데몬 프로그램(deamon)을 강제적으로 디스에이블시킨다. 이때, 디스에이블은 프로그램을 종료(close)시키는 방식일 수도 있고 임시로 중단(abort)시키거나 중지(suspend)시키는 방식으로 구현될 수도 있다.
(6) 보안 웹브라우저(100)는 웹페이지의 소스보기 기능 및 개발자 모드를 차단함으로써 해커의 프로그램 소스분석을 통한 해킹을 예방한다. 마이크로소프트의 익스플로러 웹브라우저의 경우에는 "컨트롤 + U" 조작을 통해 현재 표시되고 있는 웹페이지의 소스 코드를 살펴볼 수 있다. 본 발명에 따른 보안 웹브라우저(100)는 이러한 웹페이지의 소스보기 기능과 개발자 모드를 차단한다.
(7) 보안 웹브라우저(100)는 업무용 프로그램의 로그인 페이지에 대해 페이지 뷰잉 또는 로그인 조작의 시간당 횟수가 미리 설정된 임계 조작수(예: 분당 30회 이상)를 초과하는 경우에 무차별 대입공격의 가능성이 의심된다. 이 경우에는 무차별 대입공격을 중단시키기 위해 임계 조작수가 초과되는 페이지 뷰잉이나 로그인 행위가 발생하면 개인용 컴퓨터(20)와 업무 서버(30) 간의 통신 접근은 자동 차단한다.
(8) 보안 웹브라우저(100)는 업무 서버(30)의 업무용 프로그램에 접근하는 통신 트래픽을 체크하여 미리 설정된 임계 트래픽(예: 초당 50 Mbyte)을 초과하는 경우에 디도스(Distribute Denial of Service, DDoS) 공격의 가능성이 의심된다. 이 경우에는 DDoS 공격을 중단시키기 위해 임계 트래픽이 초과되는 행위를 발생시키는 개인용 컴퓨터에 대하여 통신모듈 MAC 어드레스 정보에 기초하여 업무 서버(30)로의 통신 접근을 자동 차단한다.
(9-1) 보안 웹브라우저(100)의 운영과 관련된 중요 파일(예: 실행파일, 환경파일 등)의 위변조 여부도 판단할 수 있다.
이를 위해, 업무 서버(30)는 이들 중요 파일에 대해 파일명칭 및 파일사이즈 정보를 미리 제공받아서 저장해둔다. 보안 웹브라우저(100)는 업무용 프로그램을 작동시키기 위해 프로그램을 실행할 때에 개인용 컴퓨터(20)에 저장된 실제 파일로부터 이들 중요 파일에 대한 파일사이즈 값을 획득하고 업무 서버(30)에 저장되어 있던 값과 비교한다.
파일사이즈 값의 비교 결과 만일 상이하다면 중요파일 위변조의 가능성이 의심된다. 이 경우에는 개인용 컴퓨터(20)에 대해 해킹이 있었을 가능성이 높은 것이므로 보안을 위해 보안 웹브라우저(100)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다.
보안 웹브라우저(100)의 배포시 디지털서명을 통해서도 개인용 컴퓨터(20)에서 실행되는 보안 웹브라우저(100)의 중요 파일에 대해서도 위변조 여부를 판단하여 중요파일에 디지털서명이 없거나 적정하지 않은 경우에 보안 웹브라우저(100)의 실행을 자동 차단시킨다.
(9-2) 보안 웹브라우저(100)는 보안 웹사이트를 사용하는 홈페이지 주소 및 시스템 접근 주소의 정보가 저장되어 있는 hosts 파일을 위변조하는 해킹 수법인 파밍(phamrming) 여부도 판단할 수도 있다. 일반적으로 hosts 파일은 컴퓨터의 C:\Windows\System32\drivers\etc 폴더 밑에 위치한다.
보안 웹브라우저(100)는 업무용 프로그램을 작동시키기 위해 프로그램을 실행할 때에 개인용 컴퓨터(20)로부터 보안 웹사이트를 사용하는 홈페이지 또는 시스템 접근 주소의 정보를 획득한다. 그리고 나서, 보안 웹브라우저(100)는 그 획득한 정보와 업무 서버(30)에 저장되어 있던 값과 비교한다.
비교 결과 만일 상이하다면 파밍의 가능성이 의심된다. 중요파일 위변조의 경우와 마찬가지로 이 경우에도 개인용 컴퓨터(20)에 대해 해킹이 있었을 가능성이 높은 것이므로 보안을 위해 보안 웹브라우저(100)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다.
한편, 업무용 프로그램을 시작하기 위해 보안 웹브라우저(100)를 기동할 때에는 업무용 프로그램을 위해 필요한 통신포트 외에 다른 통신포트들은 모두 차단되므로 다른 웹브라우저, 예컨대 익스플로러를 동일 컴퓨터 내에 띄워놓고 동시에 사용하는 것이 불가능하다. 그에 따라, 종래기술에서의 보안 위험 요인이 하나 제거된다.
다음으로, 업무용 프로그램의 사용이 끝나서 보안 웹브라우저(100)를 종료시킬 때에는 앞서 기동시에 차단했었던 통신포트들을 오픈하고 보안 웹브라우저(100)에 관련된 데몬 프로그램을 종료한다.
한편, 본 발명에서 개인용 컴퓨터(20)는 일반적인 데스크톱 컴퓨터나 랩톱 컴퓨터에만 한정되는 용어는 아니다. 기본적으로 컴퓨터의 기술적 구성을 가지고 있으며 웹브라우저를 사용하는 모든 장치들, 예컨대 태블릿컴퓨터나 ATM 장치, 그리고 디지털 사이니지 장치 등도 여기에 포함된다.
그에 따라, 본 발명에 따른 보안 웹브라우저(100)의 적용 대상도 매우 다양하다. 예를 들어, 국가 및 지자체의 중요 정보시스템(예: E-호조, NEIS, 에듀파인, 민원24, 공직자 메일), 병원 및 약국 관련 의료 정보시스템, 기업의 중요 업무시스템(예: 회계, 금융, 업무처리), 인터넷과는 차단된 폐쇄망 정보시스템(예: 은행 단말기), 은행 ATM, 각종 증명발급기(주민등록 증명발급 등), 모바일이나 IoT 기기 등 보안이 중요한 특수 목적 단말기, 홈쇼핑 이용 단말장치 등을 적용 대상으로 들 수 있다.
도 4는 본 발명에 따른 보안 웹브라우저(100)의 내부 기능적 구성을 나타내는 블록도이다.
도 4를 참조하면, 본 발명에 따른 보안 웹브라우저(100)는 사용자가 업무를 처리할 때 고도의 보안성을 제공할 수 있도록 웹브라우징 제공부(110), 통신모듈 포트통제부(120), 인증코드 기반 전용화부(130), 고유정보 기반 전용화부(140), 통신세션 암호화부(150), PC가동 프로그램 통제부(160), PC 트래픽 점검부(170), 웹페이지 뷰잉 감시부(180), 파일 위변조 점검부(190), 서버통신 차단제어부(200), 화면캡쳐 통제부(210), 웹페이지 소스보기 통제부(220), 통합설치 제공부(230)를 포함하여 구성된다.
본 발명의 보안 웹브라우저(100)를 구성하는 개별 기능적 구성요소를 이하에서 살펴본다.
웹브라우징 제공부(110)는 업무 서버(30)를 접속하여 업무용 프로그램을 위한 웹페이지를 컴퓨터 화면에 표시하는 구성요소로서 오픈소스 웹브라우저(예: 파이어폭스 등)나 국산 웹브라우저(예: 스윙, 돌핀, 웹OS, ToGate 등)를 활용하여 구현할 수 있다.
통신모듈 포트통제부(120)는 보안 웹브라우저(100)가 기동하여 업무 서버(30)에 접속하면 업무용 프로그램의 작동을 제공하기 위해 보안 웹브라우저(100)가 업무망 접속에 사용하고 있는 통신포트만을 남기고 개인용 컴퓨터(20)의 나머지 통신포트는 차단한다.
통신모듈 포트통제부(120)는 이러한 통신포트와 마찬가지 방식으로 보안 웹브라우저(100)가 업무 프로그램을 위해 업무망을 접속하는 데에 사용하고 있는 IP 주소와 도메인을 제외한 다른 IP 주소와 도메인에 대한 접속을 차단하도록 구성될 수 있다.
이와 같은 통신모듈 포트통제부(120)는 소켓통신을 활용한 랜카드 통신 제어 기술을 이용하여 구현 가능하다.
인증코드 기반 전용화부(130)는 업무용 프로그램 별로 미리 저장해둔 인증코드를 업무 서버(30)에 전송하여 업무용 프로그램과 업무 서버(30) 간의 인증을 수행하고 그에 따라 업무 서버(30)로부터 보안 웹브라우저(100)의 접근 허가를 제공받는다. 이를 통해, 보안 웹브라우저(100)가 아닌 다른 웹브라우저에 의한 업무 서버(30)로의 통신 접근은 차단된다.
고유정보 기반 전용화부(140)는 업무 서버(30)에 미리 등록해둔 컴퓨터에 대해서만 접속을 허용하고 그렇지 않은 미등록 컴퓨터는 업무 서버(30)로의 통신 접근을 차단한다.
이를 위해, 업무용 프로그램에 대한 사용자를 등록할 때에 개인용 컴퓨터(20)에 탑재된 부품에서 획득되는 하드웨어 식별정보를 업무 서버(30)로 제공하여 컴퓨터 고유정보로 등록한다. 이러한 하드웨어 식별정보로 메모리 파트넘버 및 시리얼넘버, 랜카드 MAC 어드레스, CPU ID 중의 하나 이상을 조합하여 활용하는 것이 보안성을 강화하는 데에 유리하다.
고유정보 기반 전용화부(140)는 업무용 프로그램의 작동 시에 개인용 컴퓨터(20)에 탑재된 부품으로부터 이러한 하드웨어 식별정보를 획득하고, 그 획득한 하드웨어 식별정보를 업무 서버(30)에 전송하여 개인용 컴퓨터(20)와 업무 서버(30) 간의 인증을 수행한다.
해당 개인용 컴퓨터(20)가 미리 등록해둔 것이면 업무 서버(30)는 개인용 컴퓨터(20)의 접근을 허가한다. 반면, 해당 개인용 컴퓨터(20)가 미등록 컴퓨터라면 업무 서버(30)는 통신 접근을 차단한다.
통신세션 암호화부(150)는 업무용 프로그램의 작동을 제공하기 위해 보안 웹브라우저(100)와 업무 서버(30) 간에 설정된 통신 세션에 대해 암호화를 적용한다. 암호화 기술로는 SSL이 적용할 수 있다.
PC가동 프로그램 통제부(160)는 개인용 컴퓨터(20)에 현재 실행중인 응용 프로그램들 중에서 업무용 프로그램, 업무보조 프로그램, 운영체제 프로그램을 제외한 다른 응용 프로그램은 강제로 디스에이블시킨다.
PC 트래픽 점검부(170)는 업무 서버(30)의 업무용 프로그램에 접근하는 통신 트래픽을 체크하여 미리 설정된 임계 트래픽(예: 초당 50 Mbyte)을 초과하는 경우에 DDoS 공격의 가능성이 의심된다. 이 경우에는 DDoS 공격을 중단시키기 위해 서버통신 차단제어부(200)가 통신모듈 MAC 어드레스 정보에 기초하여 업무 서버(30)로의 통신 접근을 자동 차단한다.
웹페이지 뷰잉 감시부(180)는 업무 서버(30)가 제공하는 업무용 프로그램의 로그인 페이지에 대해 페이지 뷰잉 또는 로그인 조작의 시간당 횟수가 미리 설정된 임계 조작수(예: 분당 30회 이상)를 초과하는 경우에 무차별 대입공격의 가능성이 의심된다. 이 경우에는 무차별 대입공격을 중단시키기 위해 서버통신 차단제어부(200)가 개인용 컴퓨터(20)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다.
파일 위변조 점검부(190)는 보안 웹브라우저(100)의 운영과 관련된 중요 파일(예: 실행파일, 환경파일 등)의 위변조 여부를 판단한다. 이를 위해, 업무 서버(30)는 이들 중요 파일에 대해 파일명칭 및 파일사이즈 정보를 미리 제공받아서 저장해둔다. 파일 위변조 점검부(190)는 업무용 프로그램을 작동시키기 위해 보안 웹브라우저(100)을 실행할 때에 개인용 컴퓨터(20)에 저장된 실제 파일로부터 이들 중요 파일에 대한 파일사이즈 값을 획득하고 업무 서버(30)에 저장되어 있던 값과 비교한다.
파일사이즈 값의 비교 결과 만일 상이하다면 파일 위변조 점검부(190)는 중요파일 위변조의 가능성이 의심된다. 이 경우에는 개인용 컴퓨터(20)에 대해 해킹이 있었을 가능성이 높은 것이므로 보안을 위해 보안 웹브라우저(100)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다.
보안 웹브라우저(100)의 배포시 디지털 서명을 적용하고 보안 웹브라우저(100)의 실행시 중요파일의 디지털서명의 적정성 여부를 점검하여 디지털서명이 없거나 적정하지 않은 중요파일의 경우 위변조의 가능성을 의심하고 보안을 위해 보안 웹브라우저(100) 실행을 자동 차단시킨다.
파일 위변조 점검부(190)는 보안 웹사이트를 사용하는 홈페이지 주소 및 시스템 접근 주소의 정보가 저장되어 있는 hosts 파일이 위변조되는 파밍 여부도 판단할 수도 있다. 일반적으로 hosts 파일은 C:\Windows\System32\drivers\etc 폴더 밑에 위치한다.
이를 위해, 파일 위변조 점검부(190)는 업무용 프로그램을 작동시키기 위해 보안 웹브라우저(100)를 실행할 때에 개인용 컴퓨터(20)에서 C:\Windows\System32\drivers\etc 폴더 밑에 위치하는 hosts 파일로부터 보안 웹사이트를 사용하는 홈페이지 또는 시스템 접근 주소의 정보를 획득한다. 그리고 나서, 보안 웹브라우저(100)는 그 획득한 정보와 업무 서버(30)에 저장되어 있던 값과 비교한다.
비교 결과 만일 상이하다면 파일 위변조 점검부(190)는 파밍의 가능성이 의심된다. 이 경우에도 개인용 컴퓨터(20)에 대해 해킹이 있었을 가능성이 높은 것이므로 보안을 위해 보안 웹브라우저(100)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다.
서버통신 차단제어부(200)는 보안상 위협이 우려되는 경우에 개인용 컴퓨터(20)와 업무 서버(30) 간의 통신 접근을 자동 차단시킨다. 이러한 보안상 위협으로서 서버통신 차단제어부(200)는 DDoS 공격 가능성, 무차별 대입공격 가능성, 중요파일 위변조 가능성, 파밍 가능성을 식별한다.
화면캡쳐 통제부(210)는 보안 웹브라우저(100)가 업무용 프로그램을 제공하고 있는 동안에는 보안 웹브라우저(100)의 화면 뿐만 아니라 바람직하게는 윈도우즈 영역에 대해서도 화면 캡쳐를 차단한다.
화면 캡쳐를 허용할 것인지 여부의 결정은 현재 제공 중인 업무용 프로그램을 운용하는 업무 서버(30)에서 업무용 프로그램 담당자의 보안정책(서버 보안정책)에 따라 이루어진다. 화면 캡쳐를 불허하는 보안정책이 업무 서버(30)로부터 전달되는 경우에 화면캡쳐 통제부(210)는 GetDC, BitBlt, ReleaseDC 등의 윈도우즈 API(Windows Application Program Interface)에 의해 화면 캡쳐를 차단 제어한다.
웹페이지 소스보기 통제부(220)는 보안 웹브라우저(100)에서 웹페이지의 소스보기 기능 및 개발자 모드를 차단함으로써 해커의 프로그램 소스분석을 통한 해킹을 예방한다. 소스보기 및 개발자모드를 허용할 것인지 여부의 결정은 관리자의 승인하에 업무 서버(30) 또는 별도의 관리 서버(미도시)를 통해 개발자만 가능하도록 설정 가능하다. 이때, 소스보기 기능 및 개발자 모드의 활성화는 프로그램을 개발하거나 보완할 때 서버 관리자의 승인 하에서만 가능하도록 구성하는 것이 바람직하다.
통합설치 제공부(230)는 보안 프로그램(인증시스템, 문서보안 등)과 업무용 어플리케이션 프로그램(인쇄 등)을 그때그때 웹사이트에서 Active-X 이용하여 다운로드받는 것이 아니라 보안 웹브라우저(100)에 내장된 형태로 제공되어 필요시에 실행될 수 있도록 해주는 기능, 예컨대 NPAPI 방식의 플러그인, EXE, HTML5 등을 마련한다. 이에 적합한 프로그램은 문서보안 프로그램, 문서 위변조 방지 프로그램, 악성코드차단 프로그램, 인쇄 프로그램 등이다.
이처럼 통합설치 제공부(230)를 통해 보안 웹브라우저(100) 내에 각종의 기능 프로그램이 내장됨에 따라 본 발명의 보안 웹브라우저(100)는 업무용 프로그램을 위한 플랫폼으로서 기능할 수 있다. 보안 웹브라우저(100) 상에서 일종의 어플 형태로 업무용 프로그램이 실행되면 보안 웹브라우저에 의해 보안성이 자동으로 담보될 수 있는 것이다.
한편, 본 발명은 통합설치 방식으로 모든 기능모듈 프로그램이 포함되지 않았을 경우에 해당 업무용 프로그램의 필요 기능을 다운로드하는 방식을 완전히 배제하는 것은 아니다.
도 5는 본 발명에 따른 보안 웹브라우저(100)에서 통신모듈 포트통제부(120)가 통신 모듈(25)에 대해 수행하는 통신포트 차단 기능을 개념적으로 나타내는 도면이다.
통신모듈 포트통제부(120)는 보안 웹브라우저(100)가 기동하여 업무 서버(30)에 접속하면 업무용 프로그램의 작동을 위해 사용하고 있는 통신포트, IP 주소, 도메인을 제외한 나머지를 차단한다.
이와 같은 통신모듈 포트통제부(120)는 소켓통신을 활용한 랜카드 통신 제어 기술을 이용하여 구현 가능하다. 보안 웹브라우저(100)가 기동하면 통신모듈 포트통제부(120)는 소켓통신 또는 웹소켓을 활용하여 통신 모듈(25)의 랜카드 통신을 제어함으로써 보안 웹브라우저(100)와 업무 서버(30)가 업무 프로그램을 위해 활용하는 통신포트, 도메인, IP 주소 만을 남기고 그 외의 통신포트, 도메인, IP 주소는 모두 차단한다.
이러한 통신포트 차단 기능을 통하여 해커 컴퓨터(50)가 개인용 컴퓨터(20)를 경유하여 업무 서버(30)를 해킹하는 우회 접근 방식의 해킹을 차단할 수 있다.
통신포트 차단 기능을 통하여 사용자가 업무망에 접속된 상태에서 뉴스 검색이나 인터넷 쇼핑을 위해 보안이 취약한 외부 사이트 서버(40, 41)를 접속하는 일도 원천적으로 차단된다.
한편, 보안 웹브라우저(100)가 종료되면 통신모듈 포트통제부(120)는 그 차단하였던 통신포트, 도메인, IP 주소를 차단 해제한다.
소켓통신 또는 웹소켓을 적용할 때 보안 웹브라우저(100)의 환경설정에만 통신포트, IP 주소, 도메인을 적용하고 그 외의 응응 프로그램에는 이러한 사항을 적용하지 않는다.
도 6은 본 발명에 따른 보안 웹브라우저(100)에서 인증코드 기반 전용화부(130)가 수행하는 인증코드 기반의 통신채널 전용화 기능을 개념적으로 나타내는 도면이다.
인증코드 기반 전용화부(130)는 업무용 프로그램(예: E-호조, NEIS, 에듀파인, 은행, 증명발급, ATM 등) 별로 서로 상이한 값으로 인증코드를 미리 저장하고 있다. 일반적으로는 업무용 프로그램 별로 그에 대응하는 업무 서버(30)가 인증코드를 보안 웹브라우저(100)로 발급한다.
보안 웹브라우저(100)를 활용하는 업무용 프로그램과 업무 서버(30) 간에 인증코드(예: 16 자리 이상)를 전달함으로써 정당한 접근인지 아니면 불법적인 접근인지를 판단할 수 있다. 이를 위해, 인증코드 기반 전용화부(130)는 현재 실행하는 업무용 프로그램의 인증코드를 해당 업무 서버(30)에 전송하여 업무용 프로그램과 업무 서버(30) 간의 인증을 수행한다.
인증코드 기반 전용화부(130)가 적법한 인증코드를 제공하였다면 업무 서버(30)는 보안 웹브라우저(100)의 접근을 허가한다. 반면, 적접한 인증코드를 제공하지 못하는 다른 웹브라우저는 업무 서버(30)로부터 접근 허가를 받지못하므로 통신 접근이 차단된다.
이처럼 보안 웹브라우저(100)와 서버 인증이 완료되면 통신세션 암호화부(150)가 업무용 프로그램을 위해 보안 웹브라우저(100)와 업무 서버(30) 간에 설정된 통신 세션에 대해 암호화를 적용한다. 이처럼 보안 웹브라우저(100)와 업무 서버(30) 간의 통신세션 암호화에는 SSL(Secure Sockets Layer)을 적용하는 것이 바람직하다.
도 7은 본 발명에 따른 보안 웹브라우저(100)에서 고유정보 기반 전용화부(140)가 수행하는 하드웨어 식별정보 기반의 컴퓨터 접근통제 기능을 나타내는 도면이다.
도 7을 참조하면, 고유정보 기반 전용화부(140)는 업무 서버(30)에 미리 등록해둔 개인용 컴퓨터(20)에 대해서만 접속을 허용하고 그렇지 않은 미등록 개인용 컴퓨터(20')는 업무 서버(30)로의 통신 접근을 차단한다.
이를 위해, 업무용 프로그램에 대한 사용자를 등록하는 프로세스에서 개인용 컴퓨터(20)에 탑재된 부품에서 획득되는 하드웨어 식별정보를 업무 서버(30)로 제공하여 컴퓨터 고유정보로 등록한다. 이러한 과정은 백그라운드 프로세스로 자동 수행되는 것이 바람직하다. 하드웨어 식별정보로는 메모리 파트넘버 및 시리얼넘버, 랜카드 MAC 어드레스, CPU ID 중의 하나 이상을 조합하여 활용하는 것이 보안성을 강화에 유리하다.
고유정보 기반 전용화부(140)는 업무용 프로그램의 작동 시에 개인용 컴퓨터(20)에 탑재된 부품으로부터 이러한 하드웨어 식별정보를 획득하고, 그 획득한 하드웨어 식별정보를 업무 서버(30)에 전송하여 개인용 컴퓨터(20)와 업무 서버(30) 간의 인증을 수행한다.
개인용 컴퓨터(20)가 업무용 PC로서 미리 등록해둔 것이면 업무 서버(30)는 통신 접근을 허가한다. 반면, 개인용 컴퓨터(20')가 미등록 컴퓨터라면 보안 브라우저(100')를 사용했더라도 업무 서버(30)는 통신 접근을 차단한다. 이때, 통신 접근이 차단된 개인용 컴퓨터(20')는 업무 서버(30)에 대한 관리자 조작이나 사용자 인증을 통해 등록 후 사용 가능하다.
도 8은 본 발명에 따른 보안 웹브라우저(100)에서 PC가동 프로그램 통제부(160)가 수행하는 비업무 프로그램 차단 기능을 개념적으로 나타내는 도면이다.
PC가동 프로그램 통제부(160)는 개인용 컴퓨터(20)에 현재 실행중인 응용 프로그램들 중에서 업무용 프로그램, 업무보조 프로그램, 운영체제 프로그램을 제외한 다른 응용 프로그램은 강제로 디스에이블시킨다.
예를 들어, 개인용 컴퓨터(20)에서 보안 웹브라우저(100)를 실행하면 업무용 프로그램과 운영체제 프로그램, 그리고 업무용 프로그램을 보조하기 위해 필요한 PC 프로그램, 윈도우 데몬, 업무용 프로그램(예: 한글, 오피스, 백신 등)을 제외한 프로그램은 불필요한 것으로 보고 모두 종료시키며, 그에 따라 악성코드를 통한 해킹을 차단한다.
도 9은 본 발명에 따른 보안 웹브라우저(100)에서 웹페이지 뷰잉 감시부(180)와 서버통신 차단제어부(200)가 수행하는 무차별 대입공격 예방 기능을 개념적으로 나타내는 도면이다.
웹페이지 뷰잉 감시부(180)는 업무 서버(30)가 제공하는 업무용 프로그램의 로그인 페이지에 대해 페이지 뷰잉 또는 로그인 조작의 시간당 횟수가 미리 설정된 임계 조작수(예: 분당 30회 이상)를 초과하는 경우에 무차별 대입공격의 가능성이 의심된다.
이 경우에는 무차별 대입공격을 중단시키기 위해 서버통신 차단제어부(200)가 개인용 컴퓨터(20)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다.
이를 위해, 업무 서버(30)에서 로그인 페이지와 로그인 ID, PW 변수에 대한 정보를 보안 웹브라우저(100)에 전달하고, 보안 웹브라우저(100)에서는 로그인 페이지를 점검하여 페이지 뷰잉 또는 로그인 행위를 반복(예: 10초당 5회이상, 분당 30회 이상 등)하는 행위에 대해 PC 통신을 자동 차단하여 무차별 대입공격을 예방하는 것이다.
보안 웹브라우저(100) 환경 설정을 통해 무차별 대입공격 의심행위(예: 분당 30회이상 로그인 및 페이지뷰)도 보안 웹브라우저(100)가 인식하여 자동 차단한다.
이때, 무차별 대입공격의 의심을 받아 차단 설정된 개인용 컴퓨터(20)는 관리자가 업무 서버(30) 또는 별도의 관리 서버(미도시)를 통해 개인용 컴퓨터(20)의 사용 현황을 확인하고 업무 서버(30)에 등록된 MAC 어드레스 정보를 활용하여 차단 해제한다.
도 10은 본 발명에 따른 보안 웹브라우저(100)에서 PC 트래픽 점검부(170)와 서버통신 차단제어부(200)가 수행하는 DDoS 공격 예방 기능을 개념적으로 나타내는 도면이다.
PC 트래픽 점검부(170)는 업무 서버(30)의 업무용 프로그램에 접근하는 통신 트래픽을 체크하여 미리 설정된 임계 트래픽(예: 초당 50 Mbyte)을 초과하는 경우에는 여러 대의 컴퓨터(20 ~ 23)를 연합하여 활용한 DDoS 공격의 가능성이 의심된다.
이 경우에는 업무 서버(30)에 대한 DDoS 공격을 중단시키기 위해 서버통신 차단제어부(200)가 통신모듈 MAC 어드레스 정보에 기초하여 업무 서버(30)로의 통신 접근을 자동 차단한다.
이를 위해, 개인용 컴퓨터(20)의 랜카드 MAC 어드레스 정보를 보안 웹브라우저(100)를 통해 업무 서버(30)에 미리 등록하고, DDoS 공격이 의심될 때에는 랜카드 MAC 어드레스 정보를 활용하여 자동 차단한다.
이때, DDoS 공격의 의심을 받아 차단 설정된 개인용 컴퓨터(20)는 관리자가 업무 서버(30) 또는 관리 서버(미도시)를 통해 관련사항(이용자 사용 현황)을 확인하고 MAC 어드레스 정보를 활용해 차단 해제한다.
도 11은 본 발명에 따른 보안 웹브라우저(100)에서 파일 위변조 점검부(190)와 서버통신 차단제어부(200)가 수행하는 파일 위변조 예방 기능을 개념적으로 나타내는 도면이다.
파일 위변조 점검부(190)는 보안 웹브라우저(100)의 운영과 관련된 중요 파일(예: 실행파일, 환경파일 등)을 해커 컴퓨터(50)가 위변조 하였는지 여부를 판단한다. 이를 위해, 업무 서버(30)는 이들 중요 파일에 대해 파일명칭 및 파일사이즈 정보를 미리 제공받아서 저장해둔다.
파일 위변조 점검부(190)는 업무용 프로그램을 작동시키기 위해 보안 웹브라우저(100)을 실행할 때에 개인용 컴퓨터(20)에 저장된 실제 파일로부터 이들 중요 파일에 대한 파일사이즈 값을 획득하고 업무 서버(30)에 저장되어 있던 값과 비교한다.
파일사이즈 값을 비교한 결과 만일 파일사이즈가 상이하다면 파일 위변조 점검부(190)는 중요파일 위변조의 가능성이 의심된다. 이 경우에는 개인용 컴퓨터(20)에 대해 해킹이 있었을 가능성이 높은 것이므로 보안을 위해 보안 웹브라우저(100)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다.
보안 웹브라우저 배포시 디지털 서명을 적용하고 파일 위변조 점검부(190)는 보안웹브라우저 실행시 중요파일에 대한 디지털서명의 적정성 여부를 점검하여 디지털서명이 없거나 적정하지 않은 중요파일의 경우 위변조의 가능성을 의심하고 보안을 위해 보안 웹브라우저(100) 실행을 자동 차단시킨다.
이때, 사용자에게 보안 웹브라우저(100) 또는 메시지 박스를 통해 통신 차단의 안내를 제공한다.
한편, 바람직하게는 보안 웹브라우저(100)의 중요파일은 보안 웹브라우저(100)를 개인용 컴퓨터(21)에 설치할 때 히든 영역으로서 별도 폴더를 마련하여 설치한다.
도 12는 본 발명에 따른 보안 웹브라우저(100)에서 파일 위변조 점검부(190)와 서버통신 차단제어부(200)가 수행하는 파밍 예방 기능을 개념적으로 나타내는 도면이다.
파일 위변조 점검부(190)는 C:\Windows\System32\drivers\etc 폴더 밑의 hosts 파일 안에 있는 보안 웹사이트 사용 홈페이지 주소 및 중요시스템(예: 은행, 홈텍스 등) 접근주소(예: IP 정보)가 파밍(phamrming)에 의해 위변조되는지 여부를 확인한다.
이를 위해, 먼저 hosts 위변조를 체크할 보안 웹사이트를 사용하는 홈페이지 주소 및 IP 정보 등을 업무 서버(30)에 등록한다. 예를 들어, 공직자 통합메일 프로그램의 경우에 공직자 통합메일 IP 및 홈페이지 주소(125.60.33.42 mail.korea.kr)를 업무 서버(30)에 등록한다.
파일 위변조 점검부(190)는 보안 웹브라우저(100)를 실행할 때 업무 서버(30)로부터 보안 웹사이트 사용 홈페이지 주소 및 중요시스템 접근주소를 제공받는다. 그와 동시에, 파일 위변조 점검부(190)는 개인용 컴퓨터(21)의 C:\Windows\System32\drivers\etc 폴더 밑에 위치하는 hosts 파일로부터 보안 웹사이트를 사용하는 홈페이지 또는 시스템 접근 주소의 정보를 획득한다. 그리고 나서, 보안 웹브라우저(100)는 개인용 컴퓨터(21)로부터 직접 획득한 정보와 업무 서버(30)로부터 제공받은 값을 비교한다.
비교 결과 만일 상이하다면 파일 위변조 점검부(190)는 파밍의 가능성이 의심된다. 이 경우에 개인용 컴퓨터(21)에 대해 해킹이 있었을 가능성이 높은 것이므로 보안을 위해 보안 웹브라우저(100)에 의한 업무 서버(30)로의 통신 접근을 자동 차단시킨다. 이때, 사용자에게 보안 웹브라우저(100) 또는 메시지 박스를 통해 통신 차단의 안내를 제공한다.
도 13은 본 발명에 따른 보안 웹브라우저(100)에서 화면캡쳐 통제부(210)가 수행하는 화면캡쳐 통제 기능을 개념적으로 나타내는 도면이다.
화면캡쳐 통제부(210)는 보안 웹브라우저(100)가 업무용 프로그램을 제공하고 있는 동안에는 보안 웹브라우저(100)의 화면과 바람직하게는 윈도우즈 영역에 대해서도 화면 캡쳐를 차단한다.
화면 캡쳐를 허용할 것인지 여부의 결정은 현재 제공 중인 업무용 프로그램을 운용하는 업무 서버(30)에서 업무용 프로그램 담당자의 보안정책(서버 보안정책)에 따라 이루어진다. 화면 캡쳐를 불허하는 보안정책이 업무용 프로그램 담당자에 의해 설정되면 캡쳐불허 보안정책이 업무 서버(30)로부터 화면캡쳐 통제부(210)로 전달된다.
그에 대응하여, 화면캡쳐 통제부(210)는 GetDC, BitBlt, ReleaseDC 등의 윈도우즈 API에 의해 화면 캡쳐를 차단 제어한다.
한편, 본 발명에 따른 보안 웹브라우저는 관공서나 일반 기업의 업무용 플랫폼 뿐만 아니라 인터넷 쇼핑 플랫폼, 홈쇼핑 플랫폼, 온라인 게임 플랫폼, 모바일 게임 플랫폼, 사물인터넷(IoT) 플랫폼, 은행 단말기와 같은 임베디드 시스템 플랫폼 등에 양호하게 적용될 수 있다.
한편, 본 발명은 컴퓨터가 읽을 수 있는 비휘발성 기록매체에 컴퓨터가 읽을 수 있는 코드의 형태로 구현되는 것이 가능하다. 이러한 비휘발성 기록매체는 컴퓨터가 읽을 수 있는 데이터를 저장하는 모든 종류의 스토리지 장치를 포함하는데 예컨대 하드디스크, SSD, CD-ROM, NAS, 자기테이프, 웹디스크, 클라우드 디스크 등이 있고 네트워크로 연결된 다수의 스토리지 장치에 코드가 분산 저장되고 실행되는 형태로 구현될 수도 있다.

Claims (10)

  1. 웹브라우징 제공부(110), 통신모듈 포트통제부(120), 인증코드 기반 전용화부(130), 통신세션 암호화부(150)를 포함하여 구성되는 보안 웹브라우저(100)가 업무망을 통해 업무 서버와 연결되어 사용자 컴퓨터에 업무용 프로그램의 작동을 제공하기 위한 보안 웹브라우저 동작 방법으로서,
    상기 웹브라우징 제공부(110)가 상기 업무 서버를 접속하여 상기 업무용 프로그램을 위한 웹페이지를 컴퓨터 화면에 표시하는 제 1 단계;
    상기 통신모듈 포트통제부(120)가 상기 업무용 프로그램의 작동을 제공하기 위해 업무망 접속에 사용되는 통신포트를 제외한 상기 사용자 컴퓨터의 다른 통신포트를 차단하는 제 2 단계;
    상기 인증코드 기반 전용화부(130)가 상기 업무용 프로그램 별로 미리 저장해둔 인증코드를 상기 업무 서버에 전송하여 상기 업무용 프로그램과 상기 업무 서버 간의 인증을 수행하고 그에 따라 상기 업무 서버로부터 상기 보안 웹브라우저를 위한 접근 허가를 제공받는 제 3 단계;
    상기 통신세션 암호화부(150)가 상기 업무용 프로그램의 작동을 제공하기 위해 상기 보안 웹브라우저와 상기 업무 서버 간에 설정된 통신 세션에 대해 암호화를 적용하는 제 4 단계;
    를 포함하여 구성되는 보안 웹브라우저 동작 방법.
  2. 청구항 1에 있어서,
    상기 제 1 단계 이후에 수행되는,
    상기 통신모듈 포트통제부(120)가 상기 업무용 프로그램의 작동을 제공하기 위해 업무망 접속에 사용되는 IP 주소와 도메인을 제외한 다른 IP 주소와 도메인에 대한 접속을 차단하는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  3. 청구항 1에 있어서,
    상기 보안 웹브라우저(100)는 PC가동 프로그램 통제부(160)를 더 포함하여 구성되고,
    상기 제 1 단계 이후에 수행되는,
    상기 PC가동 프로그램 통제부(160)가 상기 업무용 프로그램, 업무보조 프로그램, 운영체제 프로그램 이외에 상기 사용자 컴퓨터 내에서 실행되고 있는 다른 응용 프로그램을 강제로 디스에이블시키는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  4. 청구항 1에 있어서,
    상기 보안 웹브라우저(100)는 고유정보 기반 전용화부(140)를 더 포함하여 구성되고,
    상기 제 1 단계 이전에 수행되는,
    상기 고유정보 기반 전용화부(140)가 상기 업무용 프로그램의 사용자 등록 시에 상기 사용자 컴퓨터에 탑재된 부품에서 획득되는 하드웨어 식별정보를 상기 업무 서버로 제공하여 컴퓨터 고유정보로 등록하는 단계;
    를 더 포함하여 수행되고,
    상기 제 1 단계 이후에 수행되는,
    상기 고유정보 기반 전용화부(140)가 상기 업무용 프로그램의 작동 시에 상기 사용자 컴퓨터에 탑재된 부품으로부터 획득한 하드웨어 식별정보를 상기 업무 서버에 전송하여 상기 사용자 컴퓨터와 상기 업무 서버 간의 인증을 수행하고 그에 따라 상기 업무 서버로부터 상기 사용자 컴퓨터를 위한 접근 허가를 제공받는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  5. 청구항 1에 있어서,
    상기 보안 웹브라우저(100)는 PC 트래픽 점검부(170), 웹페이지 뷰잉 감시부(180), 서버통신 차단제어부(200)를 더 포함하여 구성되고,
    상기 제 1 단계 이후에 수행되는,
    상기 PC 트래픽 점검부(170)가 상기 업무 서버의 업무용 프로그램에 접근하는 통신 트래픽을 체크하여 미리 설정된 임계 트래픽을 초과하는 경우에 DDoS 공격의심 이벤트를 생성하는 단계;
    상기 DDoS 공격의심 이벤트에 대응하여 상기 서버통신 차단제어부(200)가 통신모듈 MAC 어드레스 정보에 기초하여 상기 업무 서버로의 통신 접근을 자동 차단시키는 단계;
    상기 웹페이지 뷰잉 감시부(180)가 상기 업무 서버가 제공하는 상기 업무용 프로그램의 로그인 페이지에 대해 페이지 뷰잉 또는 로그인 조작의 시간당 횟수가 미리 설정된 임계 조작수를 초과하는 경우에 무차별 대입공격 의심 이벤트를 생성하는 단계;
    상기 무차별 대입공격 의심 이벤트에 대응하여 상기 서버통신 차단제어부(200)가 상기 사용자 컴퓨터에 의한 상기 업무 서버로의 통신 접근을 자동 차단시키는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  6. 청구항 1에 있어서,
    상기 보안 웹브라우저(100)는 파일 위변조 점검부(190)와 서버통신 차단제어부(200)를 더 포함하여 구성되고,
    상기 제 1 단계 이전에 수행되는,
    상기 파일 위변조 점검부(190)가 상기 보안 웹브라우저의 미리 설정된 중요 파일에 대해 파일명칭 및 파일사이즈 정보를 상기 업무 서버로부터 제공받는 단계;
    를 더 포함하여 수행되고,
    상기 제 1 단계 이후에 수행되는,
    상기 파일 위변조 점검부(190)가 상기 보안 웹브라우저의 실행 시에 상기 사용자 컴퓨터로부터 상기 중요 파일의 파일사이즈를 획득한 후, 상기 업무 서버로부터 제공받는 파일사이즈 정보와 비교하여 상이한 경우에 중요파일 위변조 의심 이벤트를 생성하는 단계;
    상기 중요파일 위변조 의심 이벤트에 대응하여 상기 서버통신 차단제어부(200)가 상기 보안 웹브라우저에 의한 상기 업무 서버로의 통신 접근을 자동 차단시키는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  7. 청구항 1에 있어서,
    상기 보안 웹브라우저(100)는 파일 위변조 점검부(190)를 더 포함하여 구성되고,
    상기 제 1 단계 이후에 수행되는,
    상기 파일 위변조 점검부(190)가 상기 보안 웹브라우저의 실행 시에 상기 보안 웹브라우저의 미리 설정된 중요 파일에 대해 적정한 디지털서명의 구비 여부를 검사하여 만일 실패하는 경우에는 상기 보안 웹브라우저의 실행을 자동 차단시키는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  8. 청구항 1에 있어서,
    상기 보안 웹브라우저(100)는 파일 위변조 점검부(190)와 서버통신 차단제어부(200)를 더 포함하여 구성되고,
    상기 제 1 단계 이후에 수행되는,
    상기 파일 위변조 점검부(190)가 상기 보안 웹브라우저의 실행 시에 보안 웹사이트를 사용하는 홈페이지 주소 및 시스템 접근 주소의 정보를 상기 업무 서버로부터 제공받는 단계;
    상기 파일 위변조 점검부(190)가 상기 보안 웹브라우저의 실행 시에 상기 사용자 컴퓨터로부터 상기 보안 웹사이트를 사용하는 홈페이지 또는 시스템 접근 주소의 정보를 획득한 후, 상기 업무 서버로부터 제공받는 정보와 비교하여 상이한 경우에 파밍 의심 이벤트를 생성하는 단계;
    상기 파밍 의심 이벤트에 대응하여 상기 서버통신 차단제어부(200)가 상기 보안 웹브라우저에 의한 상기 업무 서버로의 통신 접근을 자동 차단시키는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  9. 청구항 1에 있어서,
    상기 보안 웹브라우저(100)는 화면캡쳐 통제부(210)를 더 포함하여 구성되고,
    상기 제 1 단계 이후에 수행되는,
    상기 화면캡쳐 통제부(210)가 상기 업무용 프로그램을 운용하는 상기 업무 서버로부터 캡쳐불허 보안정책에 대응하여 GetDC, BitBlt, ReleaseDC의 윈도우즈 API에 의해 화면 캡쳐를 차단 제어하는 단계;
    를 더 포함하여 구성되는 보안 웹브라우저 동작 방법.
  10. 컴퓨터에 청구항 1 내지 9 중 어느 하나의 항에 따른 보안 웹브라우저 동작 방법을 실행시키기 위한 프로그램을 기록한 컴퓨터로 판독가능한 비휘발성 기록매체.
PCT/KR2016/014109 2016-09-05 2016-12-02 보안 웹브라우저 동작 방법 WO2018043832A1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2016-0114150 2016-09-05
KR1020160114150A KR101677051B1 (ko) 2016-09-05 2016-09-05 보안 웹브라우저 동작 방법

Publications (1)

Publication Number Publication Date
WO2018043832A1 true WO2018043832A1 (ko) 2018-03-08

Family

ID=57542278

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2016/014109 WO2018043832A1 (ko) 2016-09-05 2016-12-02 보안 웹브라우저 동작 방법

Country Status (2)

Country Link
KR (1) KR101677051B1 (ko)
WO (1) WO2018043832A1 (ko)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111949992A (zh) * 2020-08-17 2020-11-17 中国工商银行股份有限公司 Web应用程序的自动化安全监测方法及系统
CN112379896A (zh) * 2020-11-24 2021-02-19 中教云智数字科技有限公司 一种基于注册表和http协议的软件通信交互方法

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102017038B1 (ko) 2019-02-22 2019-09-02 주식회사 넷앤드 패스워드 변경 기능이 구비된 웹 어플리케이션의 접근통제 시스템
CN112613025A (zh) * 2020-12-30 2021-04-06 宁波三星医疗电气股份有限公司 一种计算机上usb设备和浏览器的通信方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20090119954A (ko) * 2009-10-27 2009-11-23 에스케이씨앤씨 주식회사 대용량 스마트카드 기반의 모바일 가상사설망 서비스를 위한 처리방법
KR20120014180A (ko) * 2009-04-27 2012-02-16 퀄컴 인코포레이티드 특권 서명을 이용한 보안 웹 브라우징 환경을 생성하기 위한 방법 및 장치
JP2012165351A (ja) * 2010-12-30 2012-08-30 Varsavsky Martin セキュアトンネリングプラットフォームシステム及び方法
KR20130082942A (ko) * 2011-12-23 2013-07-22 주식회사 엔씨소프트 업무 정보 제공 방법 및 서버
KR101399751B1 (ko) * 2013-11-15 2014-05-27 (주) 퓨전데이타 망분리를 이용한 하이브리드 클라우드 시스템

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20120014180A (ko) * 2009-04-27 2012-02-16 퀄컴 인코포레이티드 특권 서명을 이용한 보안 웹 브라우징 환경을 생성하기 위한 방법 및 장치
KR20090119954A (ko) * 2009-10-27 2009-11-23 에스케이씨앤씨 주식회사 대용량 스마트카드 기반의 모바일 가상사설망 서비스를 위한 처리방법
JP2012165351A (ja) * 2010-12-30 2012-08-30 Varsavsky Martin セキュアトンネリングプラットフォームシステム及び方法
KR20130082942A (ko) * 2011-12-23 2013-07-22 주식회사 엔씨소프트 업무 정보 제공 방법 및 서버
KR101399751B1 (ko) * 2013-11-15 2014-05-27 (주) 퓨전데이타 망분리를 이용한 하이브리드 클라우드 시스템

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111949992A (zh) * 2020-08-17 2020-11-17 中国工商银行股份有限公司 Web应用程序的自动化安全监测方法及系统
CN111949992B (zh) * 2020-08-17 2023-09-29 中国工商银行股份有限公司 Web应用程序的自动化安全监测方法及系统
CN112379896A (zh) * 2020-11-24 2021-02-19 中教云智数字科技有限公司 一种基于注册表和http协议的软件通信交互方法

Also Published As

Publication number Publication date
KR101677051B1 (ko) 2016-11-17

Similar Documents

Publication Publication Date Title
WO2021060853A1 (ko) 네트워크 접속 제어 시스템 및 그 방법
US9798879B2 (en) Apparatus, system, and method for protecting against keylogging malware
US9698988B2 (en) Management control method, apparatus, and system for virtual machine
JP4524288B2 (ja) 検疫システム
EP2973171B1 (en) Context based switching to a secure operating system environment
US20140351951A1 (en) Application authentication system and method
US20070240212A1 (en) System and Methodology Protecting Against Key Logger Spyware
US20050198532A1 (en) Thin client end system for virtual private network
WO2018043832A1 (ko) 보안 웹브라우저 동작 방법
WO2010059864A1 (en) Systems and methods for providing real time access monitoring of a removable media device
JP2017228264A (ja) 安全なオンライン認証のためのシステム及び方法
Shakevsky et al. Trust dies in darkness: Shedding light on samsung's {TrustZone} keymaster design
WO2012156785A1 (en) Systems and methods for device based password-less user authentication using encryption
KR20060120496A (ko) 일-코어, 인터넷에서의 멀웨어 문제점들에 대한 해결책
RU130429U1 (ru) Терминал и защищенная компьютерная система, включающая терминал
WO2015099287A1 (ko) 일회용 비밀 번호를 이용하는 사용자 인증 방법 및 그 장치
WO2021060859A1 (ko) 단말의 네트워크 접속을 인증 및 제어하기 위한 시스템 및 그에 관한 방법
Utakrit Review of browser extensions, a man-in-the-browser phishing techniques targeting bank customers
Wang et al. TVIDS: Trusted virtual IDS with SGX
WO2015026183A1 (ko) Sw 토큰을 이용한 오프라인 로그인 방법 및 이를 적용한 모바일 기기
WO2021060858A1 (ko) 터널 및 데이터 플로우에 기반하여 노드의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
Müller et al. Stark: Tamperproof Authentication to Resist Keylogging
Taranov et al. NeVerMore: Exploiting RDMA Mistakes in NVMe-oF Storage Applications
Goyal et al. Cloud Computing and Security
WO2022265393A1 (ko) 컨텐츠 제공자의 보안등급을 인증하는 시스템 및 그 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16915312

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 16915312

Country of ref document: EP

Kind code of ref document: A1