WO2021107178A1 - 로그인 계정 정보 관리 방법 - Google Patents

로그인 계정 정보 관리 방법 Download PDF

Info

Publication number
WO2021107178A1
WO2021107178A1 PCT/KR2019/016428 KR2019016428W WO2021107178A1 WO 2021107178 A1 WO2021107178 A1 WO 2021107178A1 KR 2019016428 W KR2019016428 W KR 2019016428W WO 2021107178 A1 WO2021107178 A1 WO 2021107178A1
Authority
WO
WIPO (PCT)
Prior art keywords
account
password
authentication
existing
event
Prior art date
Application number
PCT/KR2019/016428
Other languages
English (en)
French (fr)
Inventor
우종현
Original Assignee
(주)이스톰
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by (주)이스톰 filed Critical (주)이스톰
Priority to US16/618,116 priority Critical patent/US20210334357A1/en
Priority to PCT/KR2019/016428 priority patent/WO2021107178A1/ko
Publication of WO2021107178A1 publication Critical patent/WO2021107178A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/45—Structures or tools for the administration of authentication
    • G06F21/46—Structures or tools for the administration of authentication by designing passwords or checking the strength of passwords
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/30—Authentication, i.e. establishing the identity or authorisation of security principals
    • G06F21/31—User authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • the present invention relates to an account access technology of an operating system (OS), and more particularly, to a method for managing login account information for an account access of an operating system.
  • OS operating system
  • an alternative authentication technology that does not authenticate the user using a user ID and password and authenticates the user in another method is gradually emerging.
  • the user's face is recognized through the camera mounted on the PC and user login is automatically processed accordingly, or in the case of an operating system in which FIDO (Fast Identity Online) is installed, fingerprint recognition, iris recognition, and voice recognition are performed. It also handles user login in other ways.
  • FIDO Fast Identity Online
  • the above alternative authentication method is obviously a convenient account authentication method from the user's point of view, but from the system point of view (that is, internally in the operating system), it is still necessary to use the password of the user's OS account to authenticate account access. The point is the same as before.
  • the alternative authentication method simply means that only the user's authentication interface is replaced with various other authentication methods.
  • authentication according to such other authentication methods is completed, the user is authenticated with the user's OS account and password registered in the actual operating system. procedure is still carried out.
  • a third party extends the credential provider to provide APIs so that users can be authenticated in various authentication methods, but in Windows, it is actually driven by the user's OS account and password, User sessions are provided accordingly.
  • the NetUserGetInfo function may be used as the password initialization related functions.
  • the existing password i.e., the website, connected application, network, etc.
  • the managed service cannot be used.
  • the credentials are managed by encrypting the password of the application with the user's existing OS account password, if you do not enter the newly created OS account password while entering the existing OS account password by reproducing the existing OS account password , because the existing credentials cannot be used as they are.
  • Another way to change the password of the OS account is to reproduce (restore) the existing password, and then update (reset) the password using the reproduced existing password and the newly created password.
  • the existing password is a value that can be simply reproduced using the information stored in the PC
  • the hacker knows the password generation algorithm and applies the values (seed values) necessary to reproduce the password. If the PC is hijacked, there may be a security problem in which the user's OS account is hacked.
  • the present invention can automatically change the OS account password of the operating system so that the user can meet the security regulations without directly changing the OS account password, as well as a method for enhancing the security of the automatically changed OS account password is to provide
  • a custom credential provider installed in the computing device to support user authentication through an alternative authentication method replacing the OS account authentication method supported by the operating system of the computing device.
  • an account management client installed in the computing device to manage the OS account password; as a login account information management method through
  • the password is provided with a login account information management method, characterized in that it is generated by using a predetermined variable value in the data that can be accessed only with the administrator's authority of the operating system as one of the seed values.
  • the password is a variable value within the log value that can be accessed only with administrator authority of the operating system, and is a seed value of the event time value of the password change event log that is accumulated as the OS account password change is attempted through the account management client. It can be created using one of them.
  • step (b) is,
  • the new password is generated using at least an event time value of the most recently recorded latest event log among the password change event logs that are sequentially accumulated and recorded as an OS account password change is attempted as one of the seed values,
  • the existing password may be reproduced using at least an event time value of an event log immediately before the latest event log among the password change event logs as one of the seed values.
  • (c) further comprising an installation step in which the account management client is installed
  • Step (c) is executed by the custom credential provider
  • the password newly generated in step (c2) may be generated using at least an event time value of the latest event log at the time of the password change event log for each OS account as one of the seed values.
  • step (a) is,
  • the reproduction of the existing password in step (a2) may be generated by using at least an event time value of the latest event log of the corresponding time point among the password change event logs of the OS account as one of the seed values.
  • the OS account password of the operating system can be automatically changed so that the user can meet the security regulations without directly changing the OS account password, as well as the automatically changed OS account password. It has the effect of strengthening the security of the OS account password.
  • FIG. 1 is an exemplary view for explaining a process in which an account management client program for managing login account information is installed according to an embodiment of the present invention
  • FIG. 2 is an exemplary diagram for explaining an OS account authentication process by a custom credential provider according to an embodiment of the present invention
  • FIG. 3 is an exemplary diagram for explaining a process of changing an OS account password through an account management client according to an embodiment of the present invention
  • a credential provider means a user authentication management program or process provided by the operating system itself.
  • the credential provider provided by the Windows operating system itself displays the OS account authentication screen (for example, a login screen including a User Name and Password input window) when the user's computer is turned on.
  • the user performs user authentication by inputting OS account ID and password information on the login screen.
  • the user account information is set as a default so that a separate user input may not be required.
  • the password is required to be changed after a certain period of time has elapsed according to the security policy of the corresponding OS, and is also required to be changed in accordance with the password security rule set in the corresponding OS. For this reason, various problems in password management may arise as discussed above through the description of the background art.
  • the custom credential provider refers to a program or process for supporting user authentication through a third alternative authentication method rather than the authentication management module provided by the operating system itself.
  • a so-called FIDO (Fast Identity Online) method such as face recognition, fingerprint recognition, and iris recognition, an OTP input method, etc.
  • FIDO Fast Identity Online
  • OTP input method etc.
  • such alternative authentication may be performed directly with the corresponding computing device (eg, PC) to log in, but may be performed through the user's mobile device (user authentication app installed therein) that can be linked with the corresponding computing device through Bluetooth, etc.
  • custom credential providers can be pre-installed on the user's computer to support alternative authentication methods. As described above, the present invention will be discussed on the assumption that user authentication is performed on a corresponding operating system (or a specific user account in the corresponding operating system) through an alternative authentication means.
  • the existing custom credential provider only replaces the authentication method from the OS self-authentication method to the alternative authentication method, and does not support the periodic change of the OS account password according to the security policy and password security rule of the OS. Therefore, in the embodiment of the present invention, after alternate authentication and OS account authentication through the custom credential provider are performed, the change of the OS account password through the account management client is performed periodically or every time OS account authentication is executed. We propose the same new method.
  • the present invention basically reproduces the existing OS account password and then updates the password using the reproduced existing password and the newly created password. (reset) processing method is adopted.
  • a specific data value (implementation of the present invention) that can be accessed only by the administrator of the corresponding operating system. In the example, it is a log that accumulates whenever there is an attempt to change the OS account password, and by using the event time value of the password change event) as one of the seed values for OS account password generation, it is possible to solve the problem of hacking of the information. key technical features.
  • the event time value of the last accumulated (that is, most recently recorded) password change event log is used as one of the seed values to generate a new OS account password, and the last accumulated password change is used to reproduce the existing OS account password.
  • the event time value of the password change event log before the event log is used as one of the seed values.
  • the specific value (time) in the password change event information used as one of the seed values used to generate the OS account password can be extracted (stuck) by other users (including hackers) without administrator rights. Therefore, the security is strengthened.
  • any value can be any value as long as it is a predefined variable value within the log value that can be accessed only with administrator authority of the operating system. Of course, it can be used as a substitute.
  • FIG. 1 is an exemplary view for explaining a process in which an account management client program for managing login account information is installed according to an embodiment of the present invention
  • FIG. 2 is a custom credential program according to an embodiment of the present invention.
  • It is an exemplary view for explaining an OS account authentication process by a vendor
  • FIG. 3 is an exemplary view for explaining an OS account password change process through an account management client according to an embodiment of the present invention.
  • each step in FIGS. 1 to 3 to be described below is only for distinguishing and explaining each step, and does not define a procedural sequence.
  • each step may be executed in parallel or at the same time regardless of the precedence or precedence of the identification number, unless logically a case in which another step can be executed only after one step is executed.
  • each step may be executed in an order different from that of the identification number. This is because, as far as the core technical characteristics of the present invention can be sufficiently reflected, the order of each step may also be variously modified.
  • each step will be described in the order shown in the drawings for the sake of concentration and convenience of description.
  • FIG. 1 is a view exemplarily illustrating a series of processes when an account management client is initially installed in a computing device such as a PC for the purpose of introducing a login account information management method according to an embodiment of the present invention.
  • steps S11 to S14 are the relationship between the custom credential provider 10 installed in the corresponding computing device and the external authentication server 30 for user authentication in the initial installation process of the account management client shows a process in which user authentication is performed through a predetermined authentication method. Since the process is the same as that of a general program installation process, a detailed description thereof will be omitted.
  • the custom credential provider 10 may collect all OS account information of the operating system installed in the corresponding computing device, generate an account list list related thereto, and then encrypt and store it in a file. Thereafter, the custom credential provider 10 receives the passwords of all accounts collected during the initial installation process of the account management client [see S16] to execute the login account information management according to the present invention [see S16], and The process of changing the password to a new password is performed.
  • accounts from which the user cannot change the password eg, an account used by the operating system
  • unused accounts ie, Disable account
  • Guest accounts may be excluded from this password change process.
  • the password change process and method may be as follows. Referring to steps S17 to S20 of FIG. 1 , as a method of generating a new password, a fixed key such as a physical unique value (eg, MAC address, hard disk volume ID, etc.) of the corresponding computing device, a random value (in this example, A method of generating a new password by using a variable key such as a 6-digit random value) and an event time value as a seed value for password generation and applying a predetermined password generation algorithm is exemplified.
  • a fixed key such as a physical unique value (eg, MAC address, hard disk volume ID, etc.) of the corresponding computing device
  • a random value in this example, A method of generating a new password by using a variable key such as a 6-digit random value
  • an event time value as a seed value for password generation and applying a predetermined password generation algorithm
  • a fixed key such as a physical unique value and a variable key such as a 6-digit random value may be changed to various other key values, and only a fixed key or only a variable key without using a combination of a fixed key and a variable key It will be free to use.
  • the core technical feature of the present invention is one of the seed values used for password generation (that is, the reproduction of the existing password and the generation of a new password), and the "event time value" that can be accessed only by the administrator's authority to ensure security.
  • the event time value used here is accumulated every time there is an attempt to change (reset) the OS account password as described above (that is, when an OS account password change function, NetUserChangePassword(), is called as an API, taking Windows OS as an example) means an event time value in password change event information "recorded most recently" (that is, related to the current password change attempt) among the event logs recorded by
  • the existing password input in step S16 and the generated password in step S19 Change the password using the new password.
  • decrypt and open the account information file generated by encryption in step S15 and store information excluding the event time value as seed values used to generate a new password here (in this example, if the PC physical unique value is extracted Therefore, only a 6-digit random value is stored), and the account information file is re-encrypted.
  • the custom credential provider 10 completes the installation of the account management client by performing information storage in relation to the authentication server 30 .
  • the password change process of the OS account in the future is the same process as in FIGS. 2 and 3 .
  • will be executed through 2 and 3 illustrate a case in which the OS account password is changed every time user authentication is performed in an alternative authentication method by the user, but the change of the OS account password is performed according to the password change cycle according to the system design. It is self-evident that there may be However, it will be described below with reference to FIGS. 2 and 3 .
  • FIG. 2 shows the OS account authentication process (steps S30 to S33) at that time.
  • the custom credential provider 10 reproduces the OS account password by using information necessary for OS account login, such as an OS account ID about the user of the alternative authentication.
  • the custom credential provider 10 may store mapping information in which the user's alternative authentication account by the third alternative authentication and the OS account of the operating system for the user are mapped as a file.
  • OS account authentication is completed (that is, the login is completed) only when the existing password generated in the same way as in FIG. 1 is actually inputted, so the custom credential provider 10 is After reproducing (restoring) the previously generated password according to the sequence of steps S30 to S32, OS account authentication is performed according to step S33.
  • steps S30 to S32 are essentially the same as in steps S17 to S19 of FIG. 1 described above, a detailed description thereof will be omitted. If the OS account authentication is successful through the existing password reproduced as described above, a corresponding user session is provided (login is completed).
  • the account management client 20 when a user session is provided, based on an event notifying a change in the OS session state (eg, OnSessionChange() in Windows OS), a logon event (SessionLogon in Windows OS) is detected, and when such a session event is detected, a logged-in session ID can be obtained, and an ID of the corresponding account can be obtained based on the session ID [refer to steps S40 and S41], and accordingly, the OS account password is changed It becomes possible to execute the process (refer to steps S42 to S47).
  • an event notifying a change in the OS session state eg, OnSessionChange() in Windows OS
  • a logon event SessionLogon in Windows OS
  • the password is changed by the password update (reset) method through the reproduction of the existing password and the creation of a new password, rather than the password forced initialization method as described above.
  • the method of reproducing the existing password [steps S43 and S44] is essentially the same as the steps S31 and S32 of FIG. 2, and the method of generating a new password [steps S45 and S46] of the previous password is also steps S18 and S19 of FIG. 1 is essentially the same as, and the password renewal (reset) method [step S47] is also essentially the same as step S20 of FIG. 1 above, and a detailed description thereof will be omitted.
  • FIGS. 1 and 2 illustrate a case in which a remote authentication server connected through a network with the corresponding computing device is involved in the process of performing alternative authentication, an agent program for performing the alternative authentication process is installed and operated in the corresponding computing device Of course, it is also possible to implement a standalone method.
  • the log-in account information management method since only user authentication is performed through an alternative authentication method, it is convenient to not have to know the account of the operating system, and the user does not need to change the OS account password directly. In addition to being able to automatically change the OS account password of the operating system to meet the regulations, there is an effect that the existing credential data function can be used as it is because it does not use a forced password initialization method.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)

Abstract

컴퓨팅 장치의 운영체제에서 자체 지원하는 OS 계정 인증 방식을 대체하는 대체 인증 방식을 통한 OS 계정 인증을 지원하기 위해 상기 컴퓨팅 장치에 설치되는 커스텀 크리덴셜 프로바이더(custom credential provider); 및 OS 계정 비밀번호의 관리를 위해 상기 컴퓨팅 장치에 설치되는 계정 관리 클라이언트;를 통한 로그인 계정 정보 관리 방법이 제공된다. 본 발명의 실시예에 따른 로그인 계정 정보 관리 방법은, (a) 상기 커스텀 크리덴셜 프로바이더를 통해, 상기 대체 인증 및 상기 OS 계정 인증이 수행되는 단계; 및 (b) 상기 계정 관리 클라이언트를 통해, 상기 OS 계정 인증에 사용된 기존 비밀번호를 신규 비밀번호로 갱신하는 방식으로 OS 계정의 비밀번호 변경을 수행하는 단계;를 포함한다.

Description

로그인 계정 정보 관리 방법
본 발명은 운영체제(OS : Operating System)의 계정 접속 기술에 관한 것으로서, 보다 구체적으로는 운영체제의 계정 접속을 위한 로그인 계정 정보 관리 방법에 관한 것이다.
최근 보안과 관련된 법령의 개정에 따라서, 마이크로소프트 윈도우즈(Microsoft Windows) 기반의 시스템에 로그인시 OS 계정에 대한 비밀번호를 주기적으로 바꾸도록 하는 규정이 도입되고 있다. 그러나 운영체제의 비밀번호를 주기적으로 변경하는 것이 불편하고, 이러한 불편함을 해결하기 위해서 사용자가 기억하기 쉬운 비밀번호로 변경(갱신)하다보면 보안이 오히려 허술해지는 경우가 많다.
이에 따라 사용자 아이디와 비밀번호를 이용하여 사용자 인증하지 않고, 다른 방식으로 사용자를 인증하는 대체 인증 기술이 점차 대두되고 있다. 일 예로, 윈도우즈 10의 경우는 PC에 장착된 카메라를 통해서 사용자의 얼굴을 인식하고 이에 따라 사용자 로그인을 자동으로 처리하거나, FIDO(Fast Identity Online)가 설치된 운영체제의 경우 지문 인식, 홍채 인식, 음성 인식 등의 방식으로 사용자 로그인을 처리하기도 한다. 그러나 위와 같은 대체 인증 방식은 사용자 관점에서는 편리한 계정 인증 방식임에는 분명하지만, 시스템 관점에서 볼 때에는(즉, 운영체제 내부적으로는) 여전히 해당 사용자의 OS 계정의 비밀번호를 이용하여 계정 접속에 관한 인증을 하여야 하는 점은 이전과 동일하다. 즉, 대체 인증 방식이란 단지 사용자의 인증 인터페이스만이 다른 다양한 인증 수단으로 대체되는 것일 뿐, 그러한 다른 인증 수단에 따른 인증이 완료되면 실제 운영체제 내부에 등록되어 있는 사용자의 OS 계정과 비밀번호로 사용자를 인증하는 절차가 여전히 수행된다. 윈도우즈의 경우에도 크리덴셜 프로바이더(credential provider)를 제3자가 확장하여 다양한 인증 방식으로 사용자가 인증을 받을 수 있도록 API를 제공하지만, 실제 윈도우즈 내부에서는 해당 사용자의 OS 계정과 비밀번호로 구동되며, 이에 따라 사용자 세션이 제공된다.
결국 대체 인증 방식에 의하는 경우에도 여전히 주기적으로 비밀번호 갱신을 하여야 함은 기존과 다를 바 없으며, 비밀번호 갱신에 따른 불편함은 여전하다. 따라서 대체 인증 방식으로 사용자 인증이 이루어지는 경우에도, 관련 규정에 따라 정해진 비밀번호 변경 주기가 도래되기 전에 자동으로 운영체제 내부에서 관리하는 OS 계정의 비밀번호를 변경할 수 있는 기술이 요구된다.
이때, OS 계정의 비밀번호를 변경하는 방식으로는 해당 비밀번호를 강제로 초기화시키는 방법이 있다. 윈도우즈 시스템을 예로 들 때, 이러한 비밀번호 초기화 관련 함수로는 NetUserGetInfo 함수, NetUserSetInfo 함수 등이 사용될 수 있다. 그러나 이와 같이 기존의 비밀번호를 신규 비밀번호로 강제 초기화하게 되면, 기존의 자격 증명(즉, 웹 사이트, 연결된 응용 프로그램, 네트워크 등에 로그인하기 위해 사용자 이름 및 암호를 저장하는 안전한 저장공간을 로컬 컴퓨터에 만들고 유지 관리하는 서비스)을 사용할 수 없게 되는 문제점이 있다. 자격 증명은 해당 사용자의 기존의 OS 계정 비밀번호로 해당 어플리케이션의 비밀번호를 암호화하여 관리한 것이기 때문에, 기존의 OS 계정 비밀번호를 재현하여 기존의 OS 계정 비밀번호를 입력하면서 신규 생성된 OS 계정 비밀번호를 입력하지 않으면, 기존의 자격 증명을 그대로 사용할 수 없게 되기 때문이다.
OS 계정의 비밀번호를 변경하는 다른 방식으로는 기존의 비밀번호를 재현(복원)한 후, 재현한 기존의 비밀번호와 신규로 생성한 비밀번호를 이용하여 비밀번호를 갱신(재설정) 처리하는 방식이 있다. 그러나 이 방식의 경우에도 기존의 비밀번호가 단순히 PC 내 보관 중인 정보를 이용하여 재현할 수 있는 값인 경우라면, 해커가 비밀번호 생성 알고리즘을 알고 있는 상태에서 그 비밀번호 재현에 필요한 값들(시드값들)을 해당 PC에서 탈취하게 되면 사용자의 OS 계정이 뚫리게 되는 보안 상 문제가 발생될 수 있다.
따라서 상술한 문제점들을 모두 해결할 수 있는 대안 기술이 필요하다.
본 발명은 사용자가 OS 계정 비밀번호를 직접 변경하지 않고서도 보안 규정에 충족될 수 있도록 운영체제의 OS 계정 비밀번호를 자동으로 변경할 수 있음은 물론, 자동으로 변경된 OS 계정 비밀번호의 보안성을 강화시킬 수 있는 방법을 제공하기 위한 것이다.
본 발명의 일 측면에 따르면, 컴퓨팅 장치의 운영체제에서 자체 지원하는 OS 계정 인증 방식을 대체하는 대체 인증 방식을 통한 사용자 인증을 지원하기 위해 상기 컴퓨팅 장치에 설치되는 커스텀 크리덴셜 프로바이더(custom credential provider); 및 OS 계정 비밀번호의 관리를 위해 상기 컴퓨팅 장치에 설치되는 계정 관리 클라이언트;를 통한 로그인 계정 정보 관리 방법으로서,
(a) 상기 커스텀 크리덴셜 프로바이더를 통해, 상기 대체 인증 및 상기 OS 계정 인증이 수행되는 단계; 및 (b) 상기 계정 관리 클라이언트를 통해, 상기 OS 계정 인증에 사용된 기존 비밀번호를 신규 비밀번호로 갱신하는 방식으로 OS 계정의 비밀번호 변경을 수행하는 단계;를 포함하되,
상기 비밀번호는, 운영체제의 관리자 권한이 있어야만 접근이 가능한 데이터 내의 사전 지정된 가변값을 시드값 중 하나로서 이용하여 생성되는 것을 특징으로 하는, 로그인 계정 정보 관리 방법이 제공된다.
여기서, 상기 비밀번호는, 운영체제의 관리자 권한이 있어야만 접근이 가능한 로그 값 내의 가변값으로서, 상기 계정 관리 클라이언트를 통한 OS 계정 비밀번호 변경이 시도됨에 따라 누적 기록되는 비밀번호 변경 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 이용하여 생성될 수 있다.
여기서, 상기 (b) 단계는,
상기 OS 계정 인증에 사용된 기존 비밀번호를 재현하는 단계; 상기 OS 계정 인증에 사용될 신규 비밀번호를 생성하는 단계; 및 상기 재현된 기존 비밀번호 및 상기 생성된 신규 비밀번호를 이용하여 OS 계정 비밀번호를 갱신하는 단계를 포함하되,
상기 신규 비밀번호는, OS 계정 비밀번호 변경이 시도됨에 따라 순차적으로 누적 기록되는 상기 비밀번호 변경 이벤트 로그 중 가장 최근에 기록된 최신 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 생성되고,
상기 기존 비밀번호는, 상기 비밀번호 변경 이벤트 로그 중 상기 최신 이벤트 로그 직전의 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 재현될 수 있다.
여기서, (c) 상기 계정 관리 클라이언트가 설치되는 설치 단계를 더 포함하되,
상기 (c) 단계는, 상기 커스텀 크리덴셜 프로바이더에 의해서 실행되며,
(c1) 상기 계정 관리 클라이언트의 설치가 요청됨에 따라 상기 컴퓨팅 장치의 OS 계정 정보에 따른 계정 목록을 생성하는 단계; (c2) 상기 계정 목록의 OS 계정별로 OS 계정 비밀번호를 신규로 생성하는 단계; (c3) 상기 계정 목록의 OS 계정별로의 기존 비밀번호를 신규 생성된 비밀번호로 갱신하는 방식으로 OS 계정별로의 비밀번호 변경을 수행하는 단계를 포함하되,
상기 (c2) 단계에서 신규 생성되는 비밀번호는, OS 계정별로의 상기 비밀번호 변경 이벤트 로그 중 해당 시점의 최신 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 생성될 수 있다.
여기서, 상기 (a) 단계는,
(a1) 상기 대체 인증이 수행되는 단계; 및 (a2) 상기 대체 인증이 완료된 이후, 해당 OS 계정의 기존 비밀번호를 재현하고 재현된 기존 비밀번호를 이용하여 OS 계정 인증이 수행되는 단계;를 포함하되,
상기 (a2) 단계의 기존 비밀번호의 재현은, 해당 OS 계정의 상기 비밀번호 변경 이벤트 로그 중 해당 시점의 최신 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 생성될 수 있다.
본 발명의 실시예에 따른 로그인 계정 정보 관리 방법에 의하면, 사용자가 OS 계정 비밀번호를 직접 변경하지 않고서도 보안 규정에 충족될 수 있도록 운영체제의 OS 계정 비밀번호를 자동으로 변경할 수 있음은 물론, 자동으로 변경된 OS 계정 비밀번호의 보안성을 강화시킬 수 있는 효과가 있다.
도 1은 본 발명의 일 실시예에 따라 로그인 계정 정보 관리를 위한 계정 관리 클라이언트 프로그램이 설치되는 과정을 설명하기 위한 예시 도면.
도 2은 본 발명의 일 실시예에 따라 커스텀 크리덴셜 프로바이더에 의한 OS 계정 인증 과정을 설명하기 위한 예시 도면.
도 3은 본 발명의 일 실시예에 따라 계정 관리 클라이언트를 통한 OS 계정 비밀번호 변경 과정을 설명하기 위한 예시 도면.
본 발명은 다양한 변환을 가할 수 있고 여러 가지 실시예를 가질 수 있는 바, 특정 실시예들을 도면에 예시하고 상세한 설명에 상세하게 설명하고자 한다. 그러나, 이는 본 발명을 특정한 실시 형태에 대해 한정하려는 것이 아니며, 본 발명의 사상 및 기술 범위에 포함되는 모든 변환, 균등물 내지 대체물을 포함하는 것으로 이해되어야 한다.
본 발명을 설명함에 있어서, 관련된 공지 기술에 대한 구체적인 설명이 본 발명의 요지를 불필요하게 흐릴 수 있다고 판단되는 경우 그 상세한 설명을 생략한다. 또한, 본 명세서의 설명 과정에서 이용되는 숫자(예를 들어, 제1, 제2 등)는 하나의 구성요소를 다른 구성요소와 구분하기 위한 식별기호에 불과하다.
또한, 명세서 전체에서, 일 구성요소가 다른 구성요소와 "연결된다" 거나 "접속된다" 등으로 언급된 때에는, 상기 일 구성요소가 상기 다른 구성요소와 직접 연결되거나 또는 직접 접속될 수도 있지만, 특별히 반대되는 기재가 존재하지 않는 이상, 중간에 또 다른 구성요소를 매개하여 연결되거나 또는 접속될 수도 있다고 이해되어야 할 것이다. 또한, 명세서 전체에서, 어떤 부분이 어떤 구성요소를 "포함"한다고 할 때, 이는 특별히 반대되는 기재가 없는 한 다른 구성요소를 제외하는 것이 아니라 다른 구성요소를 더 포함할 수 있는 것을 의미한다. 또한, 명세서에 기재된 "부", "모듈" 등의 용어는 적어도 하나의 기능이나 동작을 처리하는 단위를 의미하며, 이는 하나 이상의 하드웨어나 소프트웨어 또는 하드웨어 및 소프트웨어의 조합으로 구현될 수 있음을 의미한다.
본 명세서에서는 설명의 편의 및 집중을 위해 마이크로소프트 윈도우즈(Microsoft Windows)를 운영체제(OS)로 하는 컴퓨팅 장치를 예로 들어 설명하지만, 본 발명은 리눅스 등 이외의 다양한 운영체제에서의 사용자의 OS 계정 인증 과정에도 적용될 수 있음은 자명하다.
일반적으로 크리덴셜 프로바이더는 해당 운영체제에서 자체 제공하는 사용자 인증 관리 프로그램 또는 프로세스을 의미한다. 예를 들면, 마이크로소프트 윈도우즈 운영체제인 경우, 윈도우즈 운영체제에서 자체 제공하는 크리덴셜 프로바이더는 사용자 컴퓨터가 켜졌을 때 OS 계정 인증 화면(예를 들어, User Name 및 Password 입력창을 포함하는 로그인 화면)을 표출한다. 이에 따라 사용자는 로그인 화면 상에서 OS 계정 ID 및 패스워드 정보를 입력함으로써 사용자 인증을 수행한다. 물론 이때, 경우에 따라서 사용자 계정 정보는 디폴트(default) 설정되어 별도의 사용자 입력이 요구되지 않을 수 있음은 자명하다. 이때, 패스워드는 해당 OS의 보안 정책에 따라 일정 기간이 경과하면 변경하도록 요구되고, 또한 해당 OS에서 기설정된 패스워드 보안 규칙에 맞게 변경될 것이 요구된다. 이러한 이유로, 앞서 배경 기술의 설명을 통해 논의된 바와 같이 패스워드 관리 상의 다양한 문제가 발생할 수 있다.
위와 달리, 커스텀 크리덴셜 프로바이더(Custom Credential Provider)는 해당 운영체제에서 자체 제공하는 인증 관리 모듈이 아닌 제3의 대체 인증 수단을 통한 사용자 인증을 지원하기 위한 프로그램 또는 프로세스를 의미한다. 이때, 제3의 대체 인증 기술로는 얼굴 인식, 지문 인식, 홍채 인식 등 소위 FIDO(Fast Identity Online) 방식, OTP 입력 방식 등이 활용될 수 있고, 이외에도 다양한 인증 기술이 활용될 수도 있다. 또한 이러한 대체 인증은 로그인 하고자 하는 해당 컴퓨팅 장치(예를 들어, PC)를 직접 이루어질 수도 있지만, 해당 컴퓨팅 장치와 블루투스 등을 통해서 연동될 수 있는 사용자의 모바일 기기(이에 설치된 사용자 인증 앱)를 통해서 이루어질 수도 있다. 이러한 커스텀 크리덴셜 프로바이더는 대체 인증 방식을 지원하기 위해 해당 사용자의 컴퓨터에 미리 설치될 수 있다. 이와 같이, 본 발명은 대체 인증 수단을 통해 해당 운영체제(또는 해당 운영체제에서의 특정 사용자 계정)에 관한 사용자 인증을 수행하는 케이스를 전제로 하여 논의되는 것이다.
그러나 기존의 커스텀 크리덴셜 프로바이더는 인증 방식만을 OS 자체 인증 방식에서 대체 인증 방식으로 대체한 것일 뿐, 해당 OS의 보안 정책 및 패스워드 보안 규칙에 따른 OS 계정 패스워드의 주기적 변경까지를 지원하지는 않는다. 따라서 본 발명의 실시예에서는 커스텀 크리덴셜 프로바이더를 통한 대체 인증 및 OS 계정 인증이 수행된 후, 계정 관리 클라이언트를 통한 OS 계정 비밀번호의 변경이 주기적으로 또는 OS 계정 인증이 실행될 때마다 매번 이루어지는 다음과 같은 신규의 방식을 제안한다.
본 발명은 앞서 설명한 OS 계정 비밀번호의 강제 초기화 방식에 따른 문제점을 해결하기 위하여, 기본적으로, 기존의 OS 계정 비밀번호를 재현한 후, 재현한 기존의 비밀번호와 신규로 생성한 비밀번호를 이용하여 비밀번호를 갱신(재설정) 처리하는 방식을 채용한다. 또한, 기존 비밀번호의 재현에 필요한 시드값들이 단순히 PC에 보관됨으로써 해커에 의해 탈취되는 보안상 취약성 문제를 해결하기 위한 대안으로서, 해당 운영체제의 관리자 권한으로만 접근이 가능한 특정 데이터 값(본 발명의 실시예에서는 OS 계정 비밀번호의 변경 시도가 있을 때마다 누적하여 쌓이는 로그로서, 비밀번호 변경 이벤트의 이벤트 시간값)을 OS 계정 비밀번호 생성을 위한 시드값 중 하나로서 활용함으로써, 해당 정보의 해킹 문제를 해결하는 것을 핵심 기술적 특징으로 한다.
이때, 신규 OS 계정 비밀번호의 생성에는 마지막으로 쌓인(즉, 가장 최근에 기록된) 비밀번호 변경 이벤트 로그의 이벤트 시간값이 시드값 중 하나로서 사용되고, 기존의 OS 계정 비밀번호의 재현에는 마지막으로 쌓인 비밀번호 변경 이벤트 로그 이전의(그 직전에 기록된) 비밀번호 변경 이벤트 로그의 이벤트 시간값이 시드값 중 하나로서 사용되게 된다.
이에 의할 때, OS 계정 비밀번호의 생성에 사용되는 시드값 중 하나로서 활용되는 비밀번호 변경 이벤트 정보 내의 그 특정값(시간)은 관리자 권한이 없는 다른 사용자(해커 포함)에 의해 추출(탈취)될 수 없으므로 보안성이 강화되게 된다.
본 명세서에서는 비밀번호 변경 이벤트의 이벤트 시간값을 이용하는 경우를 중심으로 설명하지만, 본 발명의 핵심 기술적 사상에 의할 때, 운영체제의 관리자 권한이 있어야만 접근이 가능한 로그 값 내의 사전 지정된 가변값이라면 어떠한 값이라도 대체 이용될 수 있음은 물론이다.
이하, 이상에서 설명한 본 발명의 핵심 기술적 특징에 대하여, 첨부된 도면들을 참조하여 다시 구체적으로 설명하기로 한다. 여기서, 도 1은 본 발명의 일 실시예에 따라 로그인 계정 정보 관리를 위한 계정 관리 클라이언트 프로그램이 설치되는 과정을 설명하기 위한 예시 도면이고, 도 2은 본 발명의 일 실시예에 따라 커스텀 크리덴셜 프로바이더에 의한 OS 계정 인증 과정을 설명하기 위한 예시 도면이며, 도 3은 본 발명의 일 실시예에 따라 계정 관리 클라이언트를 통한 OS 계정 비밀번호 변경 과정을 설명하기 위한 예시 도면이다.
이하 설명할 도 1 ~ 도 3에서의 각 단계에 관한 식별번호(즉, S11 등)는 각 단계를 구분 설명하기 위한 것일 뿐, 절차적 순서를 정의한 것은 아님을 명확히 해둔다. 논리적으로 어느 한 단계가 실행된 이후에야 다른 단계가 실행될 수 있는 경우가 아닌 이상, 각 단계는 그 식별번호의 선후와 상관없이 병렬적으로 또는 동시에 실행될 수도 있음은 물론이다. 경우에 따라서는 그 식별번호의 선후와 다른 순서로 각 단계가 실행될 수도 있음도 자명하다. 본 발명의 핵심적 기술 특징이 충분히 반영될 수 있는 한도에서, 각 단계의 순서 또한 다양한 변형이 가능할 것이기 때문이다. 다만, 이하에서는 설명의 집중 및 편의 상, 도면에 도시된 순서에 따라 각 단계를 설명하기로 한다.
도 1 - 계정 관리 클라이언트 설치 과정
도 1은 본 발명의 일 실시예에 따른 로그인 계정 정보 관리 방법을 도입시키기 위한 목적으로 계정 관리 클라이언트가 PC 등의 컴퓨팅 장치에 최초 설치될 때의 일련의 과정을 예시적으로 나타낸 도면이다.
도 1을 참조할 때, 단계 S11 ~ S14는, 계정 관리 클라이언트의 초기 설치 과정에서, 사용자 인증을 위해, 해당 컴퓨팅 장치에 설치된 커스텀 크리덴셜 프로바이더(10)와 외부의 인증 서버(30)와의 관계에서 소정의 인증 방식을 통한 사용자 인증이 이루어지는 과정을 나타낸 것이다. 해당 과정은 일반적인 프로그램 설치 과정에서와 다를 바 없는 과정인 바, 이에 관한 구체적 설명은 생략한다.
프로그램 설치를 위한 사용자 인증이 완료되면, 커스텀 크리덴셜 프로바이더(10)는 해당 컴퓨팅 장치에 설치된 운영체제의 모든 OS 계정 정보를 수집하고 이에 관한 계정 목록 리스트를 생성한 후 파일에 암호화하여 저장할 수 있다. 이후, 커스텀 크리덴셜 프로바이더(10)는 본 발명에 따른 로그인 계정 정보 관리를 실행하기 위해, 계정 관리 클라이언트의 최초 설치 과정에서 수집된 모든 계정의 비밀번호를 입력받고[S16 참조], 그 모든 계정의 비밀번호를 신규의 비밀번호로 변경하는 과정을 수행하게 된다. 물론 이때, 사용자가 비밀번호를 변경할 수 없는 계정(예를 들어, 운영체제가 사용하는 계정), 불사용 계정(즉, Disable 계정), Guest 계정 등은 이러한 비밀번호 변경 과정에서 제외될 수 있다.
도 1의 예시에 의할 때, 상기의 비밀번호 변경 과정 및 방식은 다음과 같을 수 있다. 도 1의 단계 S17 ~ S20을 참조하면, 신규 비밀번호의 생성 방식으로서, 해당 컴퓨팅 장치의 물리적 고유값(예를 들어, MAC 어드레스, 하드디스크 볼륨 ID 등) 등의 고정키, 랜덤값(본 예에서는 6자리의 랜덤값) 및 이벤트 시간값 등의 가변키를 비밀번호 생성의 시드값으로 하여 소정의 비밀번호 생성 알고리즘을 적용함으로써 신규의 비밀번호를 생성하는 방식을 예로 들고 있다.
다만 여기서, 물리적 고유값 등과 같은 고정키, 6자리의 랜덤값과 같은 가변키는 이와 다른 다양한 키값으로 변경되어도 무방하며, 또한 고정키와 가변키의 조합을 이용하지 않고 고정키만을 또는 가변키만을 이용하여도 무방하다 할 것이다. 본 발명의 핵심 기술적 특징은 비밀번호의 생성(즉, 기존 비밀번호의 재현과 신규 비밀번호의 생성)에 사용되는 시드값 중 하나로서 관리자 권한에 의해서만 접근할 수 있어 보안성이 확보되는 "이벤트 시간값"을 사용한다는데 있다. 여기서 사용되는 이벤트 시간값이란 앞서 설명한 바와 같이 OS 계정 비밀번호 변경(재설정)에 관한 시도가 있는 경우(즉, 윈도우즈 OS를 예로 들면, OS 계정 비밀번호 변경 함수인 NetUserChangePassword()가 API 호출되었을 경우)마다 누적하여 기록되는 이벤트 로그 중에서 "가장 최근에 기록된"(즉, 금번 비밀번호 변경 시도와 관련된) 비밀번호 변경 이벤트 정보 내의 이벤트 시간값을 의미한다.
또한 도 1의 예시에 의할 때, 상술한 바와 같은 이벤트 시간값을 비밀번호 생성의 시드값 중 하나로서 활용하여 신규 비밀번호를 생성한 이후에는, 단계 S16에서 입력되었던 기존의 비밀번호와 단계 S19에서 생성된 신규 비밀번호를 이용하여 비밀번호 변경을 수행한다. 이후, 단계 S15에서 암호화하여 생성하였던 계정 정보 파일을 복호화하여 열고, 여기에 신규 비밀번호의 생성에 이용되었던 시드값들로서 상기 이벤트 시간값을 제외한 정보들을 저장(본 예에서는, PC 물리적 고유값은 추출하면 되는 것이므로, 6자리 랜덤값만을 저장함)하고, 그 계정 정보 파일을 다시 암호화한다. 이후, 커스텀 크리덴셜 프로바이더(10)는, 인증 서버(30)와의 관계에서 정보 저장을 수행함으로써, 계정 관리 클라이언트의 설치를 완료한다.
상술한 도 1의 설명에서와 같이, 본 발명의 실시예에 따른 로그인 계정 관리 방법을 실행하는 계정 관리 클라이언트가 설치되게 되면, 향후 OS 계정의 비밀번호 변경 과정은 도 2 및 도 3에서와 같은 과정을 통해서 실행되게 된다. 도 2 및 도 3의 예시에서는 사용자에 의한 대체 인증 방식으로 사용자 인증이 이루어질 때마다 OS 계정 비밀번호를 매번 변경하는 케이스를 도시하고 있지만, OS 계정 비밀번호의 변경은 시스템 설계에 따라서 비밀번호 변경 주기에 맞춰서 이루어질 수도 있음은 자명하다. 다만, 이하에서는 도 2 및 도 3을 기준으로 설명하기로 한다.
도 2 - OS 계정 인증 과정
앞서도 설명한 바이지만, 커스텀 크리덴셜 프로바이더(10) 및 인증 서버(30)를 통한 대체 인증이 이루어진다 하더라도, 운영체제 내부적으로는 해당 OS 계정에 관한 인증이 별도로 이루어져야 한다. 따라서 도 2는 그 때의 OS 계정 인증 과정(단계 S30 ~ S33)을 도시한 것이다.
도 2에 도시된 바와 같이 대체 인증이 이루어지면, 커스텀 크리덴셜 프로바이더(10)는 그 대체 인증의 사용자에 관한 OS 계정 ID 등과 같은 OS 계정 로그인에 필요한 정보를 이용하여 OS 계정 비밀번호를 재현한다. 이를 위해서, 커스텀 크리덴셜 프로바이더(10)는 그 제3의 대체 인증에 의한 해당 사용자의 대체 인증 계정과 해당 사용자에 관한 운영체제의 OS 계정을 맵핑한 맵핑 정보를 파일로 저장해둘 수 있다.
즉, 대체 인증이 이루어진 이후에는, 결국 도 1에서와 같은 방식으로 생성되었던 기존의 비밀번호가 실제 입력되어야만 OS 계정 인증이 완료(즉, 로그인이 완료)되는 것이므로, 커스텀 크리덴셜 프로바이더(10)는 단계 S30 ~ S32의 순서에 따라 기존에 생성하였던 비밀번호를 재현(복원)한 후 단계 S33에 따른 OS 계정 인증을 수행한다. 여기서, 단계 S30 ~ S32는 앞서 설명한 도 1의 단계 S17 ~ S19에서와 본질적으로 동일하므로 그 구체적 설명은 생략하기로 한다. 상술한 바와 같이 재현된 기존 비밀번호를 통한 OS 계정 인증이 성공되면, 해당 사용자 세션이 제공(로그인이 완료)되게 된다.
도 3 - OS 계정 비밀번호 변경 과정
앞서 설명한 도 2와 같은 과정을 통해 OS 계정 인증의 완료에 따라 사용자 세션이 제공된 이후에는 본 발명의 실시예에 따라 도 1의 과정을 통해 설치되었던 계정 관리 클라이언트(20)에 의한 OS 계정 비밀번호 변경 과정이 수행된다.
즉, 계정 관리 클라이언트(20)는, 사용자 세션이 제공되면 OS 세션 상태의 변경 사항을 알리는 이벤트에 근거하여(예를 들어, 윈도우즈 OS에서는, OnSessionChange()), 로그온 이벤트(윈도우즈 OS에서는 SessionLogon)가 감지되고, 이와 같은 세션 이벤트가 감지되면 로그인한 세션 ID를 획득할 수 있게 되며, 세션 ID에 근거하여 해당 계정의 ID를 획득할 수 있고[단계 S40 및 S41 참조], 이에 따라 OS 계정 비밀번호의 변경 과정을 실행할 수 있게 된다[단계 S42 ~ S47 참조].
이때의 비밀번호의 변경은, 앞서 설명한 바와 같이 비밀번호 강제 초기화 방식이 아닌, 기존 비밀번호의 재현 및 신규 비밀번호의 생성을 통한 비밀번호 갱신(재설정) 방식에 의하게 된다. 또한 이때의 기존 비밀번호의 재현 방법[단계 S43 및 S44]은 앞선 도 2에서의 단계 S31 및 S32와 본질적으로 동일하고, 신규 비밀번호의 생성 방법[단계 S45 및 S46]도 앞선 도 1의 단계 S18 및 S19와 본질적으로 동일하며, 비밀번호의 갱신(재설정) 방법[단계 S47]도 앞선 도 1의 단계 S20과 본질적으로 동일한 바, 이에 관한 구체적인 설명은 생략하기로 한다.
상술한 바와 같은 본 발명은 기존의 OS 계정 비밀번호를 재현(복원)할 수 있게 되어 있으므로, 앞서 설명한 도 1 ~ 도 3에서와 같은 온라인 상의 OS 계정 인증이 아닌 오프라인 상에서의 OS 계정 인증에도 동일 기술적 컨셉의 적용이 가능하다. 예를 들어, 오프라인 상에서의 OS 계정 인증 방식으로는 H/W OTP를 이용한 구현 방식 등이 이용될 수 있다. 또한 도 1 및 도 2에서는 대체 인증이 이루어지는 과정에서 해당 컴퓨팅 장치와 네트워크를 통해 연결된 원격의 인증 서버가 관여되는 경우를 예시하였지만, 대체 인증 처리를 수행하기 위한 에이전트 프로그램이 해당 컴퓨팅 장치 내에 설치되어 동작하는 스탠드얼론 방식의 구현도 가능함은 물론이다.
본 발명의 실시예에 따른 로그인 계정 정보 관리 방법에 의하면, 대체 인증 방식을 통한 사용자 인증만 이루어지면 되므로 운영체제의 계정을 숙지하지 않아도 되는 편리함이 있으며, 사용자가 OS 계정 비밀번호를 직접 변경하지 않고서도 보안 규정에 충족될 수 있도록 운영체제의 OS 계정 비밀번호를 자동으로 변경할 수 있음은 물론, 강제로 비밀번호를 초기화하는 방식을 사용하지 않기 때문에 기존의 자격 증명 데이터 기능도 그대로 사용하게 될 수 있는 효과가 있다.
이상에서는 본 발명의 실시예를 참조하여 설명하였지만, 해당 기술 분야에서 통상의 지식을 가진 자라면 하기의 특허 청구의 범위에 기재된 본 발명의 사상 및 영역으로부터 벗어나지 않는 범위 내에서 본 발명을 다양하게 수정 및 변경시킬 수 있음을 쉽게 이해할 수 있을 것이다.

Claims (5)

  1. 컴퓨팅 장치의 운영체제에서 자체 지원하는 OS 계정 인증 방식을 대체하는 대체 인증 방식을 통한 사용자 인증을 지원하기 위해 상기 컴퓨팅 장치에 설치되는 커스텀 크리덴셜 프로바이더(custom credential provider); 및 OS 계정 비밀번호의 관리를 위해 상기 컴퓨팅 장치에 설치되는 계정 관리 클라이언트;를 통한 로그인 계정 정보 관리 방법으로서,
    (a) 상기 커스텀 크리덴셜 프로바이더를 통해, 상기 대체 인증 및 상기 OS 계정 인증이 수행되는 단계; 및
    (b) 상기 계정 관리 클라이언트를 통해, 상기 OS 계정 인증에 사용된 기존 비밀번호를 신규 비밀번호로 갱신하는 방식으로 OS 계정의 비밀번호 변경을 수행하는 단계;를 포함하되,
    상기 비밀번호는, 운영체제의 관리자 권한이 있어야만 접근이 가능한 데이터 내의 사전 지정된 가변값을 시드값 중 하나로서 이용하여 생성되는 것을 특징으로 하는, 로그인 계정 정보 관리 방법.
  2. 제1항에 있어서,
    상기 비밀번호는, 운영체제의 관리자 권한이 있어야만 접근이 가능한 로그 값 내의 가변값으로서, 상기 계정 관리 클라이언트를 통한 OS 계정 비밀번호 변경이 시도됨에 따라 누적 기록되는 비밀번호 변경 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 이용하여 생성되는 것을 특징으로 하는, 로그인 계정 정보 관리 방법.
  3. 제2항에 있어서,
    상기 (b) 단계는,
    상기 OS 계정 인증에 사용된 기존 비밀번호를 재현하는 단계; 상기 OS 계정 인증에 사용될 신규 비밀번호를 생성하는 단계; 및 상기 재현된 기존 비밀번호 및 상기 생성된 신규 비밀번호를 이용하여 OS 계정 비밀번호를 갱신하는 단계를 포함하되,
    상기 신규 비밀번호는, OS 계정 비밀번호 변경이 시도됨에 따라 순차적으로 누적 기록되는 상기 비밀번호 변경 이벤트 로그 중 가장 최근에 기록된 최신 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 생성되고,
    상기 기존 비밀번호는, 상기 비밀번호 변경 이벤트 로그 중 상기 최신 이벤트 로그 직전의 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 재현되는 것을 특징으로 하는, 로그인 계정 정보 관리 방법.
  4. 제2항에 있어서.
    (c) 상기 계정 관리 클라이언트가 설치되는 설치 단계를 더 포함하되,
    상기 (c) 단계는, 상기 커스텀 크리덴셜 프로바이더에 의해서 실행되며,
    (c1) 상기 계정 관리 클라이언트의 설치가 요청됨에 따라 상기 컴퓨팅 장치의 OS 계정 정보에 따른 계정 목록을 생성하는 단계; (c2) 상기 계정 목록의 OS 계정별로 OS 계정 비밀번호를 신규로 생성하는 단계; (c3) 상기 계정 목록의 OS 계정별로의 기존 비밀번호를 신규 생성된 비밀번호로 갱신하는 방식으로 OS 계정별로의 비밀번호 변경을 수행하는 단계를 포함하되,
    상기 (c2) 단계에서 신규 생성되는 비밀번호는, OS 계정별로의 상기 비밀번호 변경 이벤트 로그 중 해당 시점의 최신 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 생성되는 것을 특징으로 하는, 로그인 계정 정보 관리 방법.
  5. 제2항에 있어서,
    상기 (a) 단계는,
    (a1) 상기 대체 인증이 수행되는 단계; 및 (a2) 상기 대체 인증이 완료된 이후, 해당 OS 계정의 기존 비밀번호를 재현하고 재현된 기존 비밀번호를 이용하여 OS 계정 인증이 수행되는 단계;를 포함하되,
    상기 (a2) 단계의 기존 비밀번호의 재현은, 해당 OS 계정의 상기 비밀번호 변경 이벤트 로그 중 해당 시점의 최신 이벤트 로그의 이벤트 시간값을 시드값 중 하나로서 적어도 이용하여 생성되는 것을 특징으로 하는, 로그인 계정 정보 관리 방법.
PCT/KR2019/016428 2019-11-27 2019-11-27 로그인 계정 정보 관리 방법 WO2021107178A1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US16/618,116 US20210334357A1 (en) 2019-11-27 2019-11-27 Method of managing account login information
PCT/KR2019/016428 WO2021107178A1 (ko) 2019-11-27 2019-11-27 로그인 계정 정보 관리 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/KR2019/016428 WO2021107178A1 (ko) 2019-11-27 2019-11-27 로그인 계정 정보 관리 방법

Publications (1)

Publication Number Publication Date
WO2021107178A1 true WO2021107178A1 (ko) 2021-06-03

Family

ID=76129648

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2019/016428 WO2021107178A1 (ko) 2019-11-27 2019-11-27 로그인 계정 정보 관리 방법

Country Status (2)

Country Link
US (1) US20210334357A1 (ko)
WO (1) WO2021107178A1 (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115001800A (zh) * 2022-05-30 2022-09-02 上海格尔安全科技有限公司 密码动态更换方法、装置、计算机设备和存储介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050091213A1 (en) * 2003-10-24 2005-04-28 Schutz Klaus U. Interoperable credential gathering and access modularity
US20090150991A1 (en) * 2007-12-07 2009-06-11 Pistolstar, Inc. Password generation
US20160094543A1 (en) * 2014-09-30 2016-03-31 Citrix Systems, Inc. Federated full domain logon
US20170011214A1 (en) * 2015-07-06 2017-01-12 Unisys Corporation Cloud-based active password manager
KR20180096457A (ko) * 2017-02-20 2018-08-29 (주)이스톰 인증 관리 방법 및 시스템

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050091213A1 (en) * 2003-10-24 2005-04-28 Schutz Klaus U. Interoperable credential gathering and access modularity
US20090150991A1 (en) * 2007-12-07 2009-06-11 Pistolstar, Inc. Password generation
US20160094543A1 (en) * 2014-09-30 2016-03-31 Citrix Systems, Inc. Federated full domain logon
US20170011214A1 (en) * 2015-07-06 2017-01-12 Unisys Corporation Cloud-based active password manager
KR20180096457A (ko) * 2017-02-20 2018-08-29 (주)이스톰 인증 관리 방법 및 시스템

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115001800A (zh) * 2022-05-30 2022-09-02 上海格尔安全科技有限公司 密码动态更换方法、装置、计算机设备和存储介质

Also Published As

Publication number Publication date
US20210334357A1 (en) 2021-10-28

Similar Documents

Publication Publication Date Title
US20230344647A1 (en) Systems and methods for providing authentication to a plurality of devices
JP6335280B2 (ja) 企業システムにおけるユーザおよびデバイスの認証
US10193888B1 (en) Dynamic authentication in alternate operating environment
US9286455B2 (en) Real identity authentication
JP4851540B2 (ja) 簡易ネットワーク管理プロトコルのための認証及び許可を処理するためのシステム及び方法
US10776489B2 (en) Methods and systems for providing and controlling cryptographic secure communications terminal operable to provide a plurality of desktop environments
US20040117662A1 (en) System for indentity management and fortification of authentication
CA2516718A1 (en) Secure object for convenient identification
WO2018151480A1 (ko) 인증 관리 방법 및 시스템
US11050560B2 (en) Secure reusable access tokens
US8051470B2 (en) Consolidation of user directories
US20060230283A1 (en) Changing passwords with failback
WO2021107178A1 (ko) 로그인 계정 정보 관리 방법
JP4018450B2 (ja) 文書管理システム、文書管理装置、認証方法、コンピュータ読み取り可能なプログラム、及び記憶媒体
KR101545897B1 (ko) 주기적인 스마트카드 인증을 통한 서버 접근 통제 시스템
US11909731B1 (en) Dynamic and least-privilege access to secure network resources using ephemeral credentials
US11818119B1 (en) Dynamic and monitored access to secure resources
US20240179184A1 (en) Enhanced authorization layers for native access to secure network resources
US20240179141A1 (en) Agentless single sign-on for native access to secure network resources
US20240179143A1 (en) Native agentless efficient queries
US20240179147A1 (en) Adaptive authentication for access to secure network resources
TWI773025B (zh) 設備帳號使用安全、監控與管理終端化之流程及方法
WO2021132817A1 (en) System and method for securing pairing process and ownership transfer of iot devices
Buchmüller et al. Extending an Open-Source Federated Identity Management System for Enhanced HPC Security

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19954003

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19954003

Country of ref document: EP

Kind code of ref document: A1