WO2021172877A1 - 가상인증코드 기반의 장치 간 인증 방법 및 프로그램 - Google Patents

가상인증코드 기반의 장치 간 인증 방법 및 프로그램 Download PDF

Info

Publication number
WO2021172877A1
WO2021172877A1 PCT/KR2021/002336 KR2021002336W WO2021172877A1 WO 2021172877 A1 WO2021172877 A1 WO 2021172877A1 KR 2021002336 W KR2021002336 W KR 2021002336W WO 2021172877 A1 WO2021172877 A1 WO 2021172877A1
Authority
WO
WIPO (PCT)
Prior art keywords
code
authentication
client device
verification
virtual
Prior art date
Application number
PCT/KR2021/002336
Other languages
English (en)
French (fr)
Inventor
유창훈
김민규
와일드앤드류
정승섭
Original Assignee
주식회사 센스톤
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 센스톤 filed Critical 주식회사 센스톤
Priority to EP21729198.8A priority Critical patent/EP3907683B1/en
Priority claimed from KR1020210025002A external-priority patent/KR102464002B1/ko
Priority to US17/348,750 priority patent/US20210385213A1/en
Publication of WO2021172877A1 publication Critical patent/WO2021172877A1/ko

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/385—Payment protocols; Details thereof using an alias or single-use codes
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/30—Payment architectures, schemes or protocols characterised by the use of specific devices or networks
    • G06Q20/34—Payment architectures, schemes or protocols characterised by the use of specific devices or networks using cards, e.g. integrated circuit [IC] cards or magnetic cards
    • G06Q20/351—Virtual cards
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/382—Payment protocols; Details thereof insuring higher security of transaction
    • G06Q20/3829—Payment protocols; Details thereof insuring higher security of transaction involving key management
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06Q—INFORMATION AND COMMUNICATION TECHNOLOGY [ICT] SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES; SYSTEMS OR METHODS SPECIALLY ADAPTED FOR ADMINISTRATIVE, COMMERCIAL, FINANCIAL, MANAGERIAL OR SUPERVISORY PURPOSES, NOT OTHERWISE PROVIDED FOR
    • G06Q20/00—Payment architectures, schemes or protocols
    • G06Q20/38—Payment protocols; Details thereof
    • G06Q20/40—Authorisation, e.g. identification of payer or payee, verification of customer or shop credentials; Review and approval of payers, e.g. check credit lines or negative lists
    • G06Q20/405—Establishing or using transaction specific rules

Definitions

  • the present invention relates to a device-to-device authentication method and program based on a virtual authentication code.
  • Code-type data is used in many areas. In addition to card numbers and account numbers used for payment, IPIN numbers for user identification, resident registration numbers, etc. are code-type data.
  • the OAuth authentication method in which users are granted access to user information registered on other websites without registering user information on the website has been widely used.
  • an access token In the case of the OAuth authentication method, in order for the client server to be granted access to the user information of the corresponding platform, an access token must be obtained in advance.
  • the access token is valid only for specific information about a specific application or website in the corresponding platform. For example, even if a specific client server obtains an access token for Google Calendar for a specific member, access to other applications such as Google Driver and Google Spreadsheet is not allowed. Eventually, the client server must obtain an access token for another application for a particular member, and must connect to the authentication server for this purpose. After all, if this situation is repeated, the user must access the authentication server each time to be granted an access token for each server device, that is, an access right. This not only takes unnecessary time, but also ultimately accumulates repetitive authentication procedures, resulting in reduced efficiency.
  • the present invention for solving the above problems is to provide a virtual authentication code-based server-to-server authentication apparatus and method.
  • the virtual authentication code-based device-to-device authentication method for solving the above-described problem is a method performed by a first device, and transmits a first code, which is a source code for generating a virtual authentication code received from a client device, The first code is generated based on the identification information of the client device, and is used for authorization of the client device through verification of the first code in a verification device.
  • Transmitting a first code from the verification device Receive a second code in which the authentication result for the first code is reflected, wherein the second code includes a hash value and entitlement information about the client device generated by the verification device based on the first code,
  • a second code receiving step, generating a third code that is the virtual authentication code based on the first code and the second code, and transmitting the third code to at least one second device related to the entitlement information includes steps.
  • the second code further includes validity time information regarding the second code
  • the first device receives the third code for updating the expired second code from the second device, and transmits a first code to the verification device, when the verification device completes authentication of the client device based on the first code, updates the second code, and then transmits the updated second code to the first device and regenerating a third code based on the time data at which the first code, the updated second code, and the updated second code are received, and transmitting to the second device.
  • the second code includes a plurality of detailed codes
  • the plurality of detailed codes are generated by being changed for each unit count by the client device, and the unit count is set at a specific time interval, the time It changes as the interval elapses.
  • the detailed code includes a plurality of first detailed codes and second detailed codes that are correlated with each other, and the first detailed code is a search start point for the authentication information of the client device in the verification device. and the second detailed code determines a search path for the authentication information from the search start point.
  • a virtual authentication code-based device-to-device authentication method performed by a second device, receiving a third code that is a virtual authentication code from a first device and the based on a third code, approving the authority of the client device, wherein the step of authorizing the authority comprises: based on a first code used to generate the third code included in the third code (based on the client generating a hash value for a device; comparing the generated hash value with a hash value in the third code to verify the client device; and based on the third code, entitlement information about the client device determining and approving the authority of the client device.
  • the permission approval step may include, based on the third code, determining whether the second device is included in the accessible device of the client device, and based on the time data and the second code included in the third code. , and approving a right corresponding to the qualification of the client device to the second device.
  • the second code further includes valid time information about the second code, and when the valid time of the second code expires, the third code is returned to the first device to update the second code and requesting to do so.
  • the third code is generated based on the first code and the second code, and time data at which the second code is received, and the permission approval step is based on the third code, Authorization of the client device is approved based on the entitlement information and the time when the second code is received.
  • a method for device-to-device authentication based on a virtual authentication code by a verification device for solving the above-described problem, a first source code for generating a virtual authentication code from a client device through the first device receiving a code, wherein the first code is generated based on the identification information of the client device, a first code receiving step, based on the first code, searching for a storage location of the identification information of the client device performing authentication of the client device, generating entitlement information on the client device when authentication of the client device is completed, and generating a hash value on the client device based on the first code , based on the generated entitlement information and hash value, generating a second code in which the authentication result for the first code is reflected, and the first device is the third virtual authentication code based on the second code sending the second code to the first device to generate a code.
  • the second code further includes validity time information regarding the second code
  • the verification device is configured to include, in a state in which the validity time of the second code for the first code received from the first device has expired, performing authentication of the client device by determining whether the first code received from the first device and the pre-stored first code are the same when a request to update the expired second code is received; and authentication of the client device
  • the method further includes updating the second code and transmitting it to the first device.
  • the first code includes a plurality of detailed codes, wherein the plurality of detailed codes are changed and generated for each unit count by the client device, and the unit count is set at a specific time interval, and as the time interval elapses, will be changed
  • the detailed code includes a plurality of first detailed codes and second detailed codes that are correlated with each other, and the first detailed code is a search start point for the authentication information of the client device in the verification device. and the second detailed code determines a search path for the authentication information from the search start point.
  • a computer program for performing a server-to-server authentication method based on a virtual authentication code may be stored in a storage medium.
  • the existing process can be maintained as it is. Through this, it is possible to minimize the part that needs to be changed within the existing process to increase security, and the user does not need to perform a separate step for improving security.
  • FIG. 1 is a flowchart schematically illustrating a server-to-server authentication method based on a virtual authentication code, according to an embodiment of the present invention.
  • FIG. 2 is a schematic configuration diagram of a client device according to an embodiment of the present invention.
  • FIG. 3 is a flowchart schematically illustrating a method of requesting permission approval for a first device based on a first code of a client device, according to an embodiment of the present invention.
  • FIG. 4 is a schematic configuration diagram of a first code of a client device according to an embodiment of the present invention.
  • FIG. 5 is a schematic configuration diagram of a verification apparatus according to an embodiment of the present invention.
  • FIG. 6 is a flowchart schematically illustrating a method of generating a second code by verifying a client device based on a first code, according to an embodiment of the present invention.
  • FIG. 7 is an exemplary diagram of a storage location search algorithm for searching a storage location of authentication information of a client device through a k-shaped cloud movement according to an embodiment of the present invention.
  • FIG. 8 is a schematic configuration diagram of a second code generated by a verification apparatus according to an embodiment of the present invention.
  • FIG. 9 is a schematic configuration diagram of a service apparatus according to an embodiment of the present invention.
  • FIG. 10 is a flowchart schematically illustrating a method of generating a third code, which is a virtual authentication code, based on the first code and the second code performed by the first device according to an embodiment of the present invention.
  • FIG. 11 is a schematic configuration diagram of a third code according to an embodiment of the present invention.
  • FIG. 12 is an exemplary diagram schematically illustrating a third code-based server-to-server authentication method according to an embodiment of the present invention.
  • FIG. 13 is a flowchart schematically illustrating a server-to-server authentication method based on a third code, according to an embodiment of the present invention.
  • FIG. 14 is a flowchart schematically illustrating a method for granting permission for a client device based on a third code, according to an embodiment of the present invention.
  • 15 is a flowchart schematically illustrating a method of authorizing a client device based on a third code according to an embodiment of the present invention.
  • 16 is a flowchart schematically illustrating generation of a new third code based on verification and authorization information of a client device of a second device of the present invention.
  • the term “unit” refers to a hardware element such as software, FPGA, or ASIC, and “unit” performs certain roles. However, “part” is not meant to be limited to software or hardware. A “unit” may be configured to reside on an addressable storage medium and may be configured to refresh one or more processors. Thus, by way of example, “part” refers to elements such as software elements, object-oriented software elements, class elements, and task elements, and processes, functions, properties, procedures, subroutines, and programs. It includes segments of code, drivers, firmware, microcode, circuitry, data, databases, data structures, tables, arrays, and variables. The functionality provided within elements and “parts” may be combined into a smaller number of elements and “parts” or further separated into additional elements and “parts”.
  • all “units” may be controlled by at least one processor, and at least one processor may perform operations performed by the “units” of the present disclosure.
  • Embodiments of the present specification may be described in terms of a function or a block performing a function.
  • Blocks which may be referred to as 'parts' or 'modules', etc. in the present disclosure include logic gates, integrated circuits, microprocessors, microcontrollers, memories, passive electronic components, active electronic components, optical components, hardwired circuits, and the like. It may be physically implemented by analog or digital circuitry, such as, and optionally driven by firmware and software.
  • Embodiments of the present specification may be implemented using at least one software program running on at least one hardware device and may perform a network management function to control an element.
  • character is a component constituting a code, and includes all or part of uppercase letters, lowercase letters, numbers, and special characters.
  • code means a character string in which characters are listed.
  • 'detail code' means some code included in the virtual code. That is, when the virtual code is generated by combining a plurality of separately generated codes, the detailed code is separately generated and means individual codes constituting the virtual code.
  • a 'unit count' is a unit defined as being set at a specific time interval and changing as the time interval elapses. For example, 1 count may be set to a specific time interval (eg, 1.5 seconds) and used.
  • ID refers to a unique code type value assigned by a server device so as not to be duplicated for each client device in order to identify the client device.
  • a 'virtual code generation function' refers to a function used to generate a virtual code.
  • the term 'moving the cloud' means performing a translational motion while the object rotates. That is, 'moving the cloud' means moving while performing both a rotational motion and a translational motion, and it means that each point of the rotating object moves while contacting the moving barn in turn.
  • FIG. 1 is an exemplary diagram schematically illustrating a server-to-server authentication method based on a virtual authentication code, according to an embodiment of the present invention.
  • the client device 100 needs to be authenticated and verified by the verification device 300 when it wants to be authorized to access or use a specific device among a plurality of service devices 200 .
  • the client device generates a first code in order to obtain authorization for the first device, and then transmits it to the verification device through the first device.
  • the verification device 300 will perform verification on the client device based on the received first code.
  • Another first code for authenticating the client device 100 if the client device 100 wants to receive authorization for the second device 200_2 other than the first device 200_1 among the service devices 200 .
  • the present invention solves this problem and generates a virtual authentication code including the corresponding authentication information after one-time authentication for the client device 100 in the verification device 300 , It enables verification of the client device 100 between the service devices 200 without repeated authorization of the verification device 300 .
  • the above-described problem solving principle of the present invention may be demonstrated through a third code generated by a first device 200_1 based on a second code generated by the verification device 300 .
  • a third code generated by a first device 200_1 based on a second code generated by the verification device 300 .
  • an embodiment of the present invention will be described in detail.
  • FIG. 2 is a schematic configuration diagram of a client device according to an embodiment of the present invention.
  • 3 is a flowchart schematically illustrating a method of requesting permission approval for a first device based on a first code of a client device, according to an embodiment of the present invention.
  • 4 is a schematic configuration diagram of a first code of a client device according to an embodiment of the present invention.
  • the first code is one of the above-described virtual authentication codes, and refers to a virtual code generated for authentication of a client device.
  • a virtual authentication code for a client device will be described as the first code in this specification.
  • the first code is used to authenticate the client device in the verification device 300 . Specifically, a storage location of authentication information of the client device 100 stored in the verification device corresponding to the identification information of the client device 100 included in the first code is searched for, and the client device is authenticated.
  • the client device 100 and a method of generating the first code by the client device 100 will be described.
  • the client device 100 includes a detailed code generation unit 110 , a first code generation unit 120 , and a communication unit 130 .
  • the client device 100 may correspond to a client server that requests access rights and data use rights to the resource server from the authentication server.
  • the present invention is not limited thereto.
  • the detailed code generator 110 generates a plurality of detailed codes included in the first code.
  • the first code generation unit 120 serves to generate a first code by combining one or more detailed codes.
  • the first code is generated by combining a plurality of detailed codes according to a specific rule.
  • the detailed code is generated by being changed for each unit count by the client device 100 , and in this case, the unit count is set at a specific time interval and is changed according to the time interval. For example, if it is assumed that the time interval is 2 seconds, the unit count will be accumulated and calculated every time 2 seconds have elapsed.
  • the client device 100 generates a first code, which is a source code for generating a virtual authentication code, based on the identification information ( S410 ).
  • the first code generator 120 of the client device 100 generates a first code based on the identification information of the client device.
  • the client device 100 generates the first code according to the first code generation function in order to approve the access right to the specific service device.
  • the identification information of the client device 100 may be an ID (Identifier) and a secret value (Secret) of the corresponding client device set in the verification device.
  • the present invention is not limited thereto.
  • the first code generator 120 generates a first code including an ID (Identifier) and a hash value for the verification device of the corresponding client device.
  • ID Identity
  • hash value for the verification device of the corresponding client device.
  • the present invention is not limited thereto.
  • the verification device of the client device 100 After generating a virtual authentication code by applying the ID of the client device to the first code generating function, the verification device of the client device 100 The hash value is calculated by applying the secret value (SECRET) to the hash function.
  • the first code may be finally generated by combining the virtual authentication code and the hash value.
  • time data may be used in generating the first code.
  • the time data may be a time for requesting permission approval for the first device of the client device 100 .
  • the present invention is not limited thereto.
  • identification information of the client device 100 for example, ID
  • the time data are applied to the first code generating function to generate a virtual authentication code.
  • a hash value is calculated by applying the time data and the secret value of the client device 100 to a hash function.
  • the first code may be generated by combining the virtual authentication code and the hash value.
  • the client device 100 transmits a first code to the first device to request authorization of the client device for the first device ( S420 ). More specifically, the client device 100 transmits a first code to the verification device through the first device to request authorization of the client device for the first device.
  • the client device 100 directly transmits the first code to the verification device 300 in order to authorize the plurality of service devices 200 registered in the verification device 300 . By sending it, it may be possible to request permission approval for the plurality of service devices 200 .
  • the verification device 300 applies the second code generated based on the first code to the client device (not the service device 200 ). 100) directly.
  • the client device 100 transmits the first code to the first device to receive access right approval.
  • the first device may be determined as the device that requested the initial access right approval of the client device 100 among the plurality of service devices 200 . That is, the first device may be determined when the client device 100 transmits the first code to request access right approval.
  • the present invention is not limited thereto.
  • the remaining service devices when a plurality of service devices 200 work together in order, that is, only when the client device 100 first obtains access to the service device 200 and/or permission to use the corresponding device, the remaining service devices If access to the 200 and/or permission to use the remaining service devices 200 are possible, the first device may be set in advance. Also, the names of the remaining devices in the service device 200 including the first device may be determined based on the order.
  • the communication unit 130 serves to transmit the first code to the verification apparatus 300 .
  • the communication unit 130 may include various components capable of providing the first code to the outside.
  • a wireless communication module Although not clearly shown in the drawings, a wireless communication module; short-distance communication module; IC chip; magnetic field generator; All or part of the display unit and the like are included.
  • the wireless Internet module refers to a module for wireless Internet access, and may be built-in or external to the mobile terminal 100 .
  • Wireless Internet technologies include WLAN (Wireless LAN) (Wi-Fi), Wibro (Wireless broadband), Wimax (World Interoperability for Microwave Access), HSDPA (High Speed Downlink Packet Access), LTE (long term evolution), LTE-A (Long Term Evolution-Advanced) may be used.
  • the short-distance communication module refers to a module for short-distance communication.
  • Short range communication technologies include Bluetooth, BLE (Bluetooth Low Energy), Beacon, RFID (Radio Frequency Identification), NFC (Near Field Communication), Infrared Data Association (IrDA), Ultra Wideband (UWB), ZigBee, etc. may be used.
  • the first code generator 120 serves to generate a first code by combining one or more detailed codes.
  • the first code is generated by combining a plurality of detailed codes according to a specific rule.
  • the first code generating function includes a rule for combining a plurality of subcodes (ie, a subcode combining function).
  • Various methods may be applied as a method of generating one virtual code by combining a plurality of detailed codes.
  • the client device 100 may include a program (ie, an application) that generates a virtual authentication code for authentication of the client device, that is, the first code.
  • a program ie, an application
  • the detailed code generation unit 110 serves to generate one or more detailed codes based on identification information (Identifier, Secret, etc.) of the client.
  • the first code generating function includes one or more detailed code generating functions. For example, when the first code includes a plurality of detailed codes, the first code generating function generates a plurality of detailed codes by using the plurality of detailed code generating functions, and combines the detailed codes for combining the plurality of detailed codes. The first code is generated using the function.
  • the first code is generated for each unit count by a dedicated program built-in or installed in the client device 100 .
  • the client device 100 may use identification information of the client device, for example, an ID (Identifier) of the client device as one of the seed data of the first code generation function.
  • the detailed code generation unit 110 generates a combination serial number that combines the ID (Identifier) of the client device and the serial number of the dedicated program built-in or installed in the client device 100 using one detailed code generation function, respectively. Each detailed code is generated by using it as the seed data of the detailed code generation function.
  • the detailed code generation unit 110 may generate the first detailed code and the second detailed code by including the first detailed code generation function and the second detailed code generation function as the detailed code generation function.
  • the client device 100 only includes a first detailed code generating function for generating a first detailed code and a second detailed code generating function for generating a second detailed code as a detailed code generating function to increase security, Data on the correlation between the first detailed code and the second detailed code may not be included.
  • the first code generator 120 serves to generate a first code by combining one or more detailed codes using the first code generating function.
  • the first code is generated by combining a plurality of subcodes according to a specific rule.
  • the first code generating function includes a rule for combining a plurality of subcodes (ie, a subcode combining function). That is, the first code generation unit 120 may combine one or more detailed codes using the detailed code combining function included in the first code generation function.
  • the first detailed code and the second detailed code are stored in the storage location of the client information
  • Each of the roles may be performed to search the storage location of the client authentication information in the search algorithm.
  • the first detailed code sets a starting point of searching for a storage location
  • the second detailed code sets a search path from the starting point to a storage location of the authentication information of the client device according to a specific search method. That is, when the first code normally generated for each unit count is provided by the client device 100 , the verification device 200 enters the second detailed code from the search start point corresponding to the first detailed code included in the first code.
  • a point moved along the corresponding search path is determined as a point where authentication information of the client device is stored (ie, a storage location of authentication information of the client device).
  • a specific method of searching the storage location of the authentication information of the client device based on the first detailed code and the second detailed code constituting the first code will be described later.
  • the detailed code generator 110 As an embodiment of the method in which the detailed code generator 110 generates a detailed code, the detailed code generator 110 generates a new detailed code for each unit count, and accordingly, the client device 100 generates a new detailed code for each unit count. Generate the first code. The first code newly generated for each unit count is not duplicated. Specifically, the detailed code generation unit 110 may be set so that the first code newly generated for each unit count is not repeatedly generated for a specific client device 100 for a predetermined period.
  • a method of generating a plurality of detailed codes based on the identification information of the client device 100 used for generating the above-described first code and ultimately generating the first code is related.
  • a first detailed code is generated based on the ID of the verification device 300 of the client device 100
  • a second detailed code is generated based on the above-described time data
  • the first detailed code and the second detailed code are generated.
  • the first code may be generated by combining the detailed code.
  • the present invention is not limited thereto.
  • the client device 100 is verified based on the first code of the verification device 300 and, ultimately, entitlement information for at least one service device 200 of the client device 100 is extracted, and the qualification A method of generating the second code based on the information will be described in detail.
  • FIG. 5 is a schematic configuration diagram of a verification apparatus according to an embodiment of the present invention
  • FIG. 6 is a second code by verifying a client device based on a first code, according to an embodiment of the present invention. It is a flowchart schematically showing a method of doing this
  • FIG. 7 is an exemplary diagram of a storage location search algorithm for searching a storage location of authentication information of a client device through a k-shaped cloud movement according to an embodiment of the present invention.
  • 8 is a schematic configuration diagram of a second code generated by a verification apparatus according to an embodiment of the present invention.
  • the verification apparatus 300 includes a communication unit 310 , a detailed code extraction unit 320 , an authentication information search unit 330 , and a second code generation unit 340 .
  • the verification device 300 may be a server device.
  • the access right of the client device 100 to the resource server It may be a verification server that grants and manages.
  • the present invention is not limited thereto.
  • the verification device 300 receives a first code that is a source code for generating a virtual authentication code from a client device through the first device ( S430 ).
  • the first code is generated based on identification information of the client device.
  • the verification device 300 receives an authentication request for the client device 100 of the first device 200_1 .
  • the verification device 300 verifies whether the corresponding client device 100 corresponds to a trusted device registered with the verification device 300 . That is, the authentication information of the client device 100 stored in the verification device 300 is extracted based on the first code and compared with the identification information of the client device 100 included in the first code. And if the authentication information and the identification information match or match appropriately, authentication of the client device 100 will be completed.
  • the fact that the client device 100 is authenticated does not mean that the client device 100 grants permission to the first device. This is because, in the client device 100 , there may be devices to which access rights are not recognized among all service devices 200 .
  • the OAuth authentication method for a server that has not obtained an Access Token from the verification server, even if the client ID and password of the client server are authenticated, the authority to the server cannot be recognized.
  • a process for performing authentication and generating qualification information for the verification apparatus 300 will be described in detail.
  • the verification device 300 searches for a storage location of authentication information of the client device 100 based on the first code received from the first device and performs authentication of the client device (S440). .
  • the authentication information of the client device 100 means that when the client device 100 registers with the verification device 300 , the provided information corresponds to identification information that can identify a specific client device.
  • the serial number of the client device 100 itself, an issued ID (eg, Client ID), and a secret value (eg, Client Secret) related to the corresponding ID (Identifier) may correspond to this. .
  • the first code is a virtual authentication code generated based on identification information of the client device 100 .
  • the first code may include an ID (Identifier) and a secret value (Secret) for the verification device 300 of the client device 100 .
  • the authentication information about the client device 100 stored in the verification device 300 for example, a stored ID ID (Identifier) and a storage location of a secret value (Secret) is searched. And by comparing the identification value included in the first code with the identification value stored in the storage location, authentication of the client device 100 may be performed.
  • the authentication information search unit 330 of the verification device 300 may include the same function as the first code generation function of the client device 100 .
  • the verification device 300 may extract the identification information of the client device 100 by applying the received first code to the first code generating function.
  • an ID (Identifier) of the client device 100 may correspond to this.
  • the authentication information search unit 330 searches for an authentication information storage location of the client device 100 matching the ID (Identifier).
  • the secret value of the client device 100 is extracted from the authentication information storage location.
  • the hash value is calculated by applying the extracted secret value to the hash function. And by comparing the calculated hash value with the hash value in the first code, authentication of the client device 100 may be completed.
  • time data can be utilized in the process of generating the first code.
  • time data when the client device 100 requests permission approval for the first device
  • storage location After calculating the hash value by applying the secret value extracted from , to the hash function, and comparing it with the hash value in the first code, authentication of the client device 100 may be completed.
  • the hash functions of the client device 100 and the verification device 300 may correspond to the same function.
  • the detailed code extraction unit 320 extracts a plurality of detailed codes included in the first code.
  • the first code is generated by combining a plurality of detailed codes according to a specific rule.
  • the detailed code extracting unit 320 of the verification device 300 includes the same detailed code combining function as the client device 100, and the detailed code extracting unit 320 applies the detailed code combining function to a plurality of The detailed code can be extracted. For example, when the client device 100 generates a first code in which two detailed codes (that is, a first detailed code and a second detailed code) are combined, the detailed code extraction unit 220 of the first code The first detailed code and the second detailed code can be separated by applying the detailed code combining function in the character array.
  • the authentication information search unit 230 searches for a storage location of the client device 100 based on a plurality of detailed codes.
  • Various methods may be applied as a method for the authentication information search unit 230 to search for a storage location of authentication information based on each detailed code.
  • a correlation may be included between the detailed codes.
  • the authentication information search unit 230 determines a search start point corresponding to the first detailed code. and a point moved along the search path corresponding to the second detailed code from the search start point may be found as a storage location of the authentication information of the actual code. That is, the detailed code may include a first detailed code for setting a starting point of the storage location search and a second detailed code for setting a search path from the starting point to the storage location according to a specific search method. .
  • the verification device 300 sets the first detailed code and the second detailed code for searching the storage location of the unit count. It changes over time.
  • the verification apparatus 300 may search a storage location of the authentication information of the client device 100 by setting a search start point and a search path based on the first detailed code and the second detailed code that are changed for each count.
  • the authentication information search unit 230 may include a storage location search algorithm to find a storage location of the authentication information using a plurality of detailed codes having correlations.
  • the storage location search algorithm is an algorithm that makes it possible to search for a storage location of authentication information when each detailed code included in the first code is applied.
  • the storage location search algorithm is When a direction corresponding to the second detailed code is indicated at a point corresponding to the first detailed code, it is an algorithm that adjusts so that a storage location that matches the authentication information of the client device 100 is disposed at the corresponding location.
  • the verification device 200 stores the authentication information of the corresponding client device 100 even if the first detailed code and the second detailed code included in the first code are changed. Matching points can be found.
  • Various methods may be applied to the storage location search algorithm, and specific examples will be described later. However, the storage location search algorithm is not limited to the example described later.
  • the storage location search algorithm is a k-shaped (k is M N ) that moves along a track in which M N codes corresponding to the first detailed code are listed, and the vertex of the k-shaped is a first detailed code track.
  • each vertex of the k-shaped is matched with the storage location of the client's authentication information, and the first detailed code track (i.e., the first track) and the k-shaped are the corresponding points
  • the storage location search starting point corresponding to the first detailed code may be a starting point.
  • the authentication information search unit 230 may apply the k-shaped rolling movement so that the vertices of the k-shaped are in contact with the point corresponding to the first detailed code extracted by the detailed code extraction unit 220 .
  • the authentication information search unit 230 divides 180 degrees into M N pieces at an angle corresponding to the second detailed code at a position on the first track where the k-gon is in contact (for example, toward the vertex of the k-gon). angle), it is possible to search for the vertex of the k-shaped rectangle, which is a storage location in which authentication information of the client device 100 corresponding to the first code is stored.
  • the verification device 300 moves the k-gon to a point corresponding to the first detailed code (that is, moves while each vertex of the k-shaped and each point on the track are in contact with each other in turn) make it Thereafter, the verification device 200 searches for a vertex corresponding to the storage location of the authentication information of the client device 100 by indicating the angular direction corresponding to the second detailed code. For example, since the client device B registers in the verification device 200 and receives the ID (Identifier) and the secret value, 2 counts have elapsed, so the client device B uses the second detailed code to apply the 2 counts as a function value. generated and provided to the verification device 200 .
  • the verification apparatus 200 matches and stores the second detailed code generated by the second detailed code generating function for each count at the angle from the point where the k-gon and the track are in contact with each vertex (that is, the second detailed code to which n counts are applied. Since the detailed code is stored by matching the angle toward the nth vertex where the cloud is moved as the cloud moves by n counts of the k-angle), the verification device 300 stores the angle corresponding to the second detailed code as the first detailed code corresponding point It is possible to search for the vertices of the k-shaped corresponding to the actual code storage location by applying to .
  • the first detailed code and the second detailed code is a time when authentication information of the client device 100 is registered or when authentication of the client device 100 is requested (eg, It may be a code for a reference count that is added as much as a virtual security code (eg, OTP code) randomly generated from the time when the client device generates the first code).
  • a virtual security code eg, OTP code
  • the client device 100 generates the virtual security code by reflecting the first detailed code and the second detailed code without outputting the virtual security code to the outside.
  • the verification device 300 includes a serial number (ie, a unique value) in the client device 100) and a part of the identification information of the client device 100 or the serial number of the program in the client device 100 and the client device 100 Generates a virtual security code value (for example, OTP code) based on the combination, generates a first detailed code of the count by adding the upper security code value at the time of registration of authentication information of the client device, and corresponds to the virtual security code value The second detailed code of the count is generated (that is, the virtual security code itself is generated as the second code).
  • a virtual security code value for example, OTP code
  • the first detailed code and the second detailed code are the time A at which the authentication information of the client device is registered in the verification device 300 by the client device 100 (or, an ID (Identifier) for the client device by the verification device) It is created based on a count shifted by the virtual security code value from the time of issuance).
  • the count shifted by the virtual security code value from the point A may be a count before or after the count corresponding to the current time according to the generated virtual security code value.
  • the verification device 300 may search the authentication information storage location (or registration location) of the client device 100 by applying the first detailed code and the second detailed code included in the received first code to the storage location search algorithm. have.
  • the verification device 300 extracts the virtual security code from the second detailed code generated based on the virtual security code, and then uses the virtual security code generation function (ie, OTP function) to generate the first code. It is checked whether there is a value matching the virtual security code among the calculated OTP numbers by inputting a count within a specific range from the received count. And the verification device 300 applies the inverse function of the second function to the second code to obtain a virtual security code value (ie, OTP function value) used to generate the second code, and calculates the same value as the virtual security code value find the count
  • the virtual security code generation function ie, OTP function
  • the time when the virtual security code is generated in the client device 100 and the time when the verification device 300 receives the virtual security code due to the transmission time or delay of the first code (precisely, the first code including the virtual security code is As the difference between the time of reception) exists, the count at which the verification apparatus 300 receives the first code and the count at which the OTP number corresponding to the virtual security code is generated may not match.
  • the verification apparatus 300 allows an error range from the count of receiving the first code. Through this, the verification device 300 may prevent an attempt to authenticate the client device with the previously generated first code instead of the currently generated first code, and thus security may be improved.
  • the client device 100 includes a serial number (ie, a unique value) and a client device 100 in the client device 100 or a dedicated program at the time when authentication of the client device is requested or authorization approval is requested. ), a first detailed code corresponding to a count by adding a generated virtual security code value by using some or a combination of both of the identification information as seed data may be generated. In this case, a second detailed code corresponding to the count difference between the time when the identification information of the client device is registered (time A) and the time when the authorization is requested (time B) and the virtual security code value is added. That is, the formula for generating the first sub code and the second detailed code by the dedicated program in the client device 100 that generates the first code is as follows.
  • Second detailed code f2 (Point B count - Point A count + Virtual security code)
  • the verification device 300 searches for a location where information of the client device is stored based on the first detailed code and the second detailed code in the received first code, and the seed data stored together in the corresponding location (that is, only for generating the first code)
  • the serial number of the program or client device, the client device information, the combination serial number of the first code generation exclusive program serial number, and the serial number of the client device information used when generating the first code) is extracted.
  • the verification device 300 generates a virtual security code (ie, OTP number) within a specific count range from the time of receiving the permission approval request based on the seed data.
  • the verification apparatus 300 detects a registration time (point A) of client device authentication or identification information by searching for a point where information of the client device is stored based on the first detailed code and the second detailed code.
  • the verification device 300 is the sum of the number of counts and the virtual security code (that is, OTP number) from the time of registering the authentication information of the client device (time A) to the time of receiving the permission approval request within a specific count range.
  • Each of the corresponding calculated values is calculated, and it is checked whether a count equal to the number of counts corresponding to the second detailed code (ie, a value obtained by applying the inverse function of the second function to the second code) exists among the respective calculated values. Through this, the verification apparatus 300 may check whether the first code is normally provided.
  • the verification apparatus 300 when authentication of the client device 100 is completed, the verification apparatus 300 generates a second code used for generating a third code to be described later ( S450 ).
  • the verification device 300 when authentication of the client device is completed, the verification device 300 generates entitlement information about the client device ( S451 ).
  • the entitlement information may be stored to match the identification information of the client device 100 .
  • it may be stored in connection with an ID (Identifier) or a secret value of the client device 100 stored in the verification device 300 . Therefore, when the authentication of the client device 100 is completed, the verification device 300 extracts the stored entitlement information by matching or connected to the corresponding authentication information.
  • the entitlement information includes authority information on the service device 200 of the client device 100 .
  • Authority information is information about the service device 200 to which the client device 100 has access or use authority (eg, a service device list), as well as authority, in the corresponding service device 200 , the client It includes information on a scope that the device 100 can access or use.
  • a role ID (Role Identifier) and a role secret value (Role Secret) corresponding to the corresponding entitlement information may be set.
  • the credential ID (Role Identifier) and the credential secret value (Role Secert) are set for each client device 100 .
  • the credentials ID (Role Identifier) and the credentials secret value (Role Secert) of each client device 100 may be stored in the storage location of the authentication information of each client device 100, Alternatively, it may be stored by matching the ID of each client device 100 .
  • the present invention is not limited thereto.
  • the verification device 300 extracts entitlement information on the client device for which authentication has been completed, and then generates a hash value on the client device based on the first code ( S452 ).
  • each verification device 300 calculates a hash value by applying the first code to the hash function.
  • the service device 200 may include the same hash function as the hash function of the verification device.
  • the hash value is generated based on the first code, it is matched with respect to the client device 100 .
  • the first code is generated based on the identification information of each client device 100 , the first code of each client device 100 is inevitably different, and therefore based on the first code It is different for each generated hash value or client device 100 .
  • the second code generator 340 of the verification apparatus 300 After generating the hash value, the second code generator 340 of the verification apparatus 300 generates a second code in which the authentication result for the first code is reflected based on the generated entitlement information and the hash value. That is, the verification apparatus 300 may generate the second code based on the second code generation function (S453).
  • the second code includes a second hash value calculated by applying the first code to a hash function, entitlement information (eg, entitlement ID) for the corresponding client, and a secret (eg, entitlement ID) about the entitlement information.
  • entitlement secret value may include a third hash value calculated by applying the hash function.
  • the hash value generated based on the first code is then used in the service device 300 to verify and authorize the client device 100 .
  • the service device 300 extracts the first code included in the third code and generates a hash value.
  • the verification device 300 may perform authentication and verification of the client device 100 by comparing it with a hash value generated based on the first code received from the client device 100 . This will be described in detail later.
  • a virtual authentication code is generated by applying the entitlement information about the client to the second code generating function, and then the second hash value and the third hash value are combined to finally generate the second code. can do.
  • the second code may include a plurality of detailed codes.
  • the plurality of detailed codes may be changed and generated for each unit count by the verification device, and the unit count may be set at a specific time interval and changed as the time interval elapses. That is, similarly to generating the first code based on the detailed code of the client device 100 , the second code generated by the verification device 300 may also include a plurality of detailed codes.
  • the first code is generated by combining a plurality of detailed codes according to a specific rule.
  • the second code generating function may include a rule for combining a plurality of detailed codes (ie, a detailed code combining function). A method of generating a virtual authentication code by combining detailed codes will be omitted as described above.
  • the detailed code included in the second code includes a plurality of first detailed codes and second detailed codes having a correlation with each other
  • the first detailed code includes the verification apparatus may determine a search start point for the entitlement information of the client device in the
  • the second detailed code may determine a search path for the entitlement information from the search start point. If the first detailed code and the second detailed code included in the first code are used to retrieve the authentication information of the client device 100 , the first detailed code and the second detailed code included in the second code are, It can be used to search for qualification information of (100).
  • the entitlement information of the client device may be stored in the storage location of the authentication information of the client device, or may be matched or connected to the storage location of the authentication information according to an embodiment.
  • the verification device 300 transmits the second code to the first device so that the first device 200_1 generates a third code that is a virtual authentication code based on the second code (S460). .
  • the second code may further include valid time information regarding the second code.
  • the verification device 300 receives a request to update the expired second code from the first device
  • authentication of the client device may be performed.
  • the second code is updated and transmitted to the first device. This will be described in detail later.
  • FIG. 9 is a schematic configuration diagram of the service device 200
  • FIG. 10 is a method of generating a third code that is a virtual authentication code based on the first code and the second code performed by the first device It is a flowchart schematically shown
  • FIG. 11 is a schematic configuration diagram of the third code.
  • the service device 200 includes a communication unit 210 , a third code generation unit 220 , a first code extraction unit 230 , and an entitlement information verification unit 240 .
  • the first device and the second device are described separately according to the permission approval request of the client device 100 of the service device 200 , but these are separated for understanding of the present invention. That is, the first device 200_1 and the second device 200_2 are devices that provide a service interworking with the verification device 300 , and, for example, according to the Oauth authentication method, each resource server (Resource Server). may be applicable to this.
  • the resource servers may be respective servers provided on the same platform, or may be respective resource servers provided on different platforms. However, the present invention is not limited thereto.
  • a first code that is a source code for generating a virtual authentication code received from the client device 100 is transmitted to the verification device 300 through the communication unit 210 ( S430 ).
  • the first code is generated based on the identification information of the client device, and is used for authorization of the client device 100 through verification of the first code in the verification device 300 .
  • the first device may store the first code in a memory (not shown) to generate the third code.
  • the first device 100_1 receives the second code in which the authentication result for the first code is reflected from the verification device 300 ( S460 ).
  • the second code includes a hash value and entitlement information about the client device 100 generated by the verification device 300 based on the first code.
  • the hash value generated based on the first code generated by the client device 100 and the qualification information extracted after the verification device 300 completes the authentication of the client device 100 is the second code are included in In this regard, a detailed description as described above will be omitted.
  • the first device 200_1 approves the authority of the client device 100 for the first device.
  • the first device 200_1 may verify the entitlement information on the corresponding first device for the client device 100 in the second code through the entitlement information verification unit 240 .
  • it will be determined whether the corresponding first device is included in the service device 200 having access and/or use rights of the client device 100 included in the entitlement information. And, based on the entitlement information, the scope of the access and/or use rights of the client device 100 to the first device may be verified. And, when the qualification verification is completed, the authority for the first device of the client device 100 will be approved.
  • a third code which is the virtual authentication code, is generated based on the first code and the second code (S470).
  • the third code means a virtual authentication code used in the authentication process between servers.
  • the third code is a time (Time Stamp) or It may be generated based on a second code generation time (Time Stamp) in the verification device.
  • the third code is the time when the authentication of the verification device 300 for the client device 100 is completed (Time Stamp) or the time when the second code is generated after the verification is completed (Time Stamp) It may include more information.
  • authorization of the client device 100 for each service device 200 through the third code finally generated based on the verification and verification results for the client device 100 is within a unit count or a preset count. This is to approve the authority to the client device 100 when it is not completed.
  • Each service device 200 is based on the authentication completion time (Time Stamp) in the third code or the generation time (Time Stamp) of the second code, the third code and the second code included in the third code are authorized It can be determined whether or not it was created normally for approval. More specifically, it is to determine whether the third code and the second code are generated in response to the permission approval request of the client device 100 .
  • FIG. 12 is an exemplary diagram schematically illustrating a third code-based server-to-server authentication method according to an embodiment of the present invention.
  • the verification device 200 authenticates the client device 100 and grants permission.
  • the third code generated by the first device 200_1 includes a first code related to authentication information of the client device 100 and a second code related to entitlement information, , the service device 200 other than the first device 200_1 can authenticate and authorize the client device 100 without intervention of the verification device 300 . This will be described later in detail.
  • the third code may be generated by a client device.
  • the first device 200_1 may transmit the second code received from the verification device 300 to the client device 100 .
  • the first device 200_1 transmits the time information of receiving the second code from the verification device or the second code generation time information in the verification device together with the second code to the client device 100 . may be sent to Meanwhile, with respect to the method for generating the third code of the client device 100 , only the difference between the method for generating the third code by the first device and the subject of generation is provided, and thus a detailed description thereof will be omitted.
  • the first device transmits the third code to at least one second device 200_2 related to the entitlement information (S480).
  • the first device 200_1 is at least one second device 200_2 capable of authenticating the authority of the client device 100 based on the entitlement information of the second code included in the third code. After identifying , the third code may be transmitted to the second device 200_2 .
  • the present invention is not limited thereto.
  • the first device 200_1 has transmitted the third code to one second device, based on the entitlement information of the client device 100 , a plurality of second devices among the service devices are shown.
  • a third code may be transmitted to the device 200_2.
  • the client device 100 may be granted access right without accessing the verification device 300 for authorization authentication of each service device 200 .
  • FIG. 13 is a flowchart schematically illustrating a server-to-server authentication method based on a third code, according to an embodiment of the present invention.
  • 14 is a flowchart schematically illustrating a method for granting permission for a client device based on a third code according to an embodiment of the present invention
  • FIG. 15 is a method for granting permission for a client device based on the third code. It is a flowchart schematically showing the method.
  • the second device 200_2 receives a third code that is a virtual authentication code from the first device ( S480 ). And based on the third code, the permission of the client device 100 to the second device 200_2 is approved (S490).
  • step S490 a hash value for the client device is generated based on the first code used to generate the third code included in the third code (S491), and the generated By comparing the hash value and the hash value in the third code, the client device is verified (S492). Then, based on the third code, entitlement information regarding the client device is determined and the authority of the client device is approved (S493).
  • the second device 200_2 extracts the first code included in the third code. Then, the hash value is calculated by applying the first code to the hash function. To this end, all service devices 200 including the second device include the same hash function as the verification device 300 . Meanwhile, after extracting the hash value, the second code in the third code is extracted, and the hash value included in the second code is compared with the hash value calculated by applying the hash function in the second device 200_2. At this time, if the two hash values match, the client device is authenticated, and entitlement information about the client device is determined. As described above, since the second code includes entitlement information (eg, entitlement ID and entitlement secret value), the authority of the client device 100 to the second device is approved based on the entitlement information.
  • entitlement information eg, entitlement ID and entitlement secret value
  • the third code may be generated based on the first code, the second code, and time data at which the second code is received.
  • the permission approval step based on the third code, based on the entitlement information about the client device 100 and the time when the second code is received, the permission of the client device may be approved. That is, the second device 100_2 verifies the validity of the second code based on the time data of receiving the second code, and then, based on the entitlement information included in the second code, You will be able to grant permissions.
  • the permission approval step ( S493 ) based on a third code, it is determined whether the second device is included in the accessible device of the client device and (S493_a), based on the time data and the second code included in the third code, the authority corresponding to the qualification of the client device for the second device may be approved (S493_b)
  • the second device it will be determined whether the second device is included in the service device 200 having access and/or use right of the client device 100 included in the entitlement information. And, based on the entitlement information, the scope of the access and/or use rights of the client device 100 to the corresponding second device may be verified. And, when the qualification verification is completed, the authority for the second device of the client device 100 will be approved.
  • the service device 200 may further include a detailed code extraction unit (not shown).
  • the service device 200 may extract the detailed codes and search for a storage location of the entitlement information. This is similar to the method of extracting the detailed code from the verification device 300 and searching the storage location of the authentication information of the client device 100 when the first code includes a plurality of detailed codes, The description will be omitted.
  • the second code may further include valid time information regarding the second code. That is, although not clearly shown in the drawings, the verification apparatus 300 may further include validity time information of the second code when generating the second code. At this time, when the validity time of the second code in the third code received from the first device 200_1 expires, the second device 200_2 returns the third code received to the first device 200_1, 2 Request to update the code.
  • the first device 200_1 receives the third code for updating the expired second code from the second device 200_2 , and uses the first code included in the third code to the verification device 300 .
  • send The verification device 300 performs authentication of the client device 100 again based on the first code.
  • the second code may be updated and the updated second code may be requested to be transmitted to the first device. Since the method of updating the second code is the same as the method of generating the second code, a detailed description thereof will be omitted.
  • the verification device 300 receives the first code from the first device 200_1 , after storing the first code, the verification device 300 receives the first code through the first device 200_1 of the second device 200_2 .
  • the validity may be checked through direct comparison of the stored first code and the first code received from the first device 200_1.
  • the verification and authorization process for the client device 100 in the second device 200_2 is stopped.
  • the first device 100_1 receives the updated second code from the verification device 300, the first code, the second code, and the third code based on the time data at which the updated second code is received It is regenerated and transmitted back to the second device 100_2.
  • the second device 100_2 may re-perform the authentication and authorization process for the client device 100 .
  • 16 is a flowchart schematically illustrating generation of a new third code based on verification and authorization information of a client device of a second device of the present invention.
  • the second device 200_2 on which verification and authorization of the client device 100 have been completed may generate a new third code for authentication of another device in the service device 200 of the corresponding client device 100 .
  • a new third code for authentication of another device in the service device 200 of the corresponding client device 100 .
  • the second device 200_2 includes information indicating that the verification and authorization of the client device 100 for the second device 200_2 are completed. It may be possible to generate a new third code.
  • information for identifying a client device verification success and the approved authority is generated, and a new third code for a second device is generated based on the third code and the identification information.
  • the second device 200_2 After verification of the second device 200_2 for the client device 100 is completed, the second device 200_2 generates information for authenticating that authorization approval for the corresponding second device 200_2 is completed. Then, a new third code including the corresponding information is generated, and the new third code is transmitted to another device (eg, a third device) requiring authentication of the client device 100 in the service device 200 .
  • another device eg, a third device
  • the third code received by the N-th service device (N is a natural number greater than or equal to 2) from the N-1th service device This is so that the N+1-th device can recognize that it has been identified that the N-th service device has completed the verification of the client device 100 and approved the authority based on the .
  • a new third code may be generated and transmitted to the N+1-th device based on the third code received from the N-1 th device and information for authenticating that authorization approval is complete.
  • the sequential authentication and verification of the plurality of service devices 200 for the client device 100 has been described as an example, but the A service device 200_A is a client for another B service device 200_B. Even when the device 100 requires pre-verification and pre-authorization, the service device B may generate a new third code and transmit it to the service device A.
  • the device-to-device authentication method based on the virtual authentication code according to an embodiment of the present invention described above may be implemented as a program (or application) and stored in a medium in order to be executed in combination with a server, which is hardware.
  • the above-described program is C, C++, JAVA, machine language, etc. that a processor (CPU) of the computer can read through a device interface of the computer in order for the computer to read the program and execute the methods implemented as a program
  • It may include code (Code) coded in the computer language of Such code may include functional code related to functions defining functions necessary for executing the methods, etc. can do.
  • the code may further include additional information necessary for the processor of the computer to execute the functions or code related to memory reference for which location (address address) in the internal or external memory of the computer should be referenced. have.
  • the code uses the communication module of the computer to determine how to communicate with any other computer or server remotely. It may further include a communication-related code for whether to communicate and what information or media to transmit and receive during communication.
  • the storage medium is not a medium that stores data for a short moment, such as a register, a cache, a memory, etc., but a medium that stores data semi-permanently and can be read by a device.
  • examples of the storage medium include, but are not limited to, ROM, RAM, CD-ROM, magnetic tape, floppy disk, and optical data storage device. That is, the program may be stored in various recording media on various servers accessible by the computer or in various recording media on the computer of the user.
  • the medium may be distributed in a computer system connected by a network, and a computer readable code may be stored in a distributed manner.
  • a software module may contain random access memory (RAM), read only memory (ROM), erasable programmable ROM (EPROM), electrically erasable programmable ROM (EEPROM), flash memory, hard disk, removable disk, CD-ROM, or It may reside in any type of computer-readable recording medium well known in the art to which the present invention pertains.
  • RAM random access memory
  • ROM read only memory
  • EPROM erasable programmable ROM
  • EEPROM electrically erasable programmable ROM
  • flash memory hard disk, removable disk, CD-ROM, or It may reside in any type of computer-readable recording medium well known in the art to which the present invention pertains.

Landscapes

  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • General Business, Economics & Management (AREA)
  • Strategic Management (AREA)
  • Finance (AREA)
  • Computer Security & Cryptography (AREA)
  • Economics (AREA)
  • Development Economics (AREA)
  • Microelectronics & Electronic Packaging (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Storage Device Security (AREA)

Abstract

본 발명은 가상인증코드 기반의 장치 간 인증방법을 제공한다. 상기 방법은 제1 코드 송신 단계, 상기 검증 장치로부터 상기 제1 코드에 대한 인증 결과가 반영된 제2 코드를 수신하되, 상기 제2 코드는, 상기 제1 코드를 기반으로 상기 검증 장치에 의해 생성된 상기 클라이언트 장치에 관한 해쉬값 및 자격 정보를 포함하는, 제2 코드 수신 단계, 상기 제1 코드 및 상기 제2 코드를 기반으로 상기 가상인증코드인 제3 코드를 생성하는 단계 및 상기 자격 정보와 관련된 적어도 하나의 제2 장치로 상기 제3 코드를 송신하는 단계를 포함한다.

Description

가상인증코드 기반의 장치 간 인증 방법 및 프로그램
본 발명은 가상인증코드 기반의 장치 간 인증 방법 및 프로그램에 관한 것이다.
코드형태 데이터는 많은 영역에서 이용되고 있다. 결제 시에 이용되는 카드번호, 계좌번호뿐만 아니라 사용자 식별을 위한 IPIN번호, 주민등록번호 등이 코드형태 데이터이다.
그러나 이러한 코드데이터를 이용하는 과정에서 유출되는 사고가 많이 발생한다. 카드번호의 경우, 카드 표면에 실제카드번호가 그대로 기재되어 있어서 타인에게 시각적으로 유출되며, 마그네틱을 이용한 결제 시에 카드번호가 그대로 POS장치로 전달되면서 유출된다.
실제코드가 그대로 유출되지 않도록 하기 위해 가상코드를 이용하고자 하는 시도가 많았으나, 가상코드에 대응되는 실제코드를 탐색하기 위해 사용자를 식별하기 위한 데이터가 필요하였다. 예를 들어, OTP(One Time Password)의 경우, 시간마다 코드가 변경되어 생성되지만, 사용자에게 부여된 알고리즘 판단을 위해 로그인 절차가 필요하여 다양한 영역에 적용되기 어렵다.
따라서 실제카드번호, 주민등록번호 등과 같이 사용자나 장치의 식별정보를 제공하지 않으면서 실시간으로 변동되는 가상인증코드를 기반으로 사용자 또는 장치를 인증할 수 있는 발명이 필요하다.
최근 많은 웹사이트, 플램폼 등에서는 이용자들이 해당 웹사이트 상에 사용자 정보를 등록하지 않고, 다른 웹사이트 상의 등록된 사용자 정보에 대한 접근 권한을 부여받는 OAuth 인증 방식이 많이 이용되고 있다. OAuth 인증 방식의 경우 클라이언트 서버가 해당 플랫폼의 사용자 정보에 대한 접근 권한을 부여 받기 위하여, 접근 토큰(Access Token)을 사전에 획득해야만 한다.
이때, 접근 토큰은 해당 플랫폼 내 특정 어플리케이션 또는 웹사이트에 대한 특정 정보에 대해서만 유효하다. 예를 들어, 특정 클라이언트 서버가 특정 회원에 대한 구글 캘린더에 대한 접근 토큰을 획득하였다고 하더라도, 구글 드라이버, 구글 스프레드시트 등과 같은 다른 어플리케이션에 대해서는 접근이 허용되지 않는다. 결국, 클라이언트 서버는 특정 회원에 관한 다른 어플리케이션에 대한 접근 토큰을 획득해야만 하고, 이를 위해 인증서버에 접속해야만 한다. 결국, 이러한 상황이 반복된다면, 사용자는 각각의 서버 장치에 대한 접근 토큰, 즉 접근 권한을 부여 받기 위하여 매번 인증서버에 접속해야만 한다. 이는 불필요한 시간을 소요할 뿐만 아니라 궁극적으로 반복적인 인증 절차가 누적되므로, 효율성이 떨어지는 결과를 초래한다.
상술한 바와 같은 문제점을 해결하기 위한 본 발명은 가상인증코드 기반의 서버 간 인증 장치 및 방법을 제공하는 것이다.
다만 본 발명이 해결하고자 하는 과제들은 이상에서 언급된 과제로 제한되지 않으며, 언급되지 않은 또 다른 과제들은 아래의 기재로부터 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
상술한 과제를 해결하기 위한 가상인증코드 기반의 장치간 인증 방법은, 제1 장치에 의해 수행되는 방법으로서, 클라이언트 장치로부터 수신된 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 송신하되, 상기 제1 코드는, 상기 클라이언트 장치의 식별 정보를 기반으로 생성되며, 검증장치에서 상기 제1 코드의 검증을 통해 상기 클라이언트 장치의 권한 부여에 이용되는, 제1 코드 송신 단계, 상기 검증 장치로부터 상기 제1 코드에 대한 인증 결과가 반영된 제2 코드를 수신하되, 상기 제2 코드는, 상기 제1 코드를 기반으로 상기 검증 장치에 의해 생성된 상기 클라이언트 장치에 관한 해쉬값 및 자격 정보를 포함하는, 제2 코드 수신 단계, 상기 제1 코드 및 상기 제2 코드를 기반으로 상기 가상인증코드인 제3 코드를 생성하는 단계 및 상기 자격 정보와 관련된 적어도 하나의 제2 장치로 상기 제3 코드를 송신하는 단계를 포함한다.
또는 상기 제2 코드는, 상기 제2 코드에 관한 유효시간정보를 더 포함하고, 상기 제1 장치는, 상기 제2 장치로부터 만료된 제2 코드의 갱신을 위한 상기 제3 코드를 수신하고, 상기 제1 코드를 상기 검증장치로 송신하여, 상기 검증장치가 상기 제1 코드를 기반으로 상기 클라이언트 장치의 인증이 완료될 경우 상기 제2 코드를 갱신한 후 상기 갱신된 제2 코드를 상기 제1 장치로 송신하도록 요청하고, 상기 제1 코드, 상기 갱신된 제2 코드 및 상기 갱신된 제2 코드가 수신된 시간데이터를 기반으로 제3 코드를 재 생성하여, 제2 장치로 송신하는 단계를 포함한다.
또는 상기 제2 코드는, 복수의 세부코드를 포함하고, 상기 복수의 세부코드는, 상기 클라이언트 장치에 의해 단위카운트마다 변경되어 생성되는 것이고, 상기 단위카운트는, 특정한 시간간격으로 설정되어, 상기 시간간격이 경과됨에 따라 변경되는 것이다.
또는 상기 세부코드는, 서로 상관관계를 가지는 복수의 제1 세부코드 및 제2 세부코드를 포함하고, 상기 제1 세부코드는, 상기 검증장치에서의 상기 클라이언트 장치의 인증정보에 관한 탐색시작지점을 결정하고, 상기 제2 세부코드는, 상기 탐색시작지점으로부터 상기 인증정보에 관한 탐색경로를 결정한다.
상술한 과제를 해결하기 위한 본 발명의 다른 면에 따른, 제2 장치에 의해 수행되는 가상인증코드 기반의 장치 간 인증방법으로서, 제1 장치로부터 가상인증코드인 제3 코드를 수신하는 단계 및 상기 제3 코드를 기반으로, 상기 클라이언트 장치의 권한을 승인하는 단계를 포함하고, 상기 권한 승인 단계는, 상기 제3 코드 내에 포함된 상기 제3 코드의 생성에 사용된 제1 코드(를 기반으로 클라이언트 장치에 관한 해쉬값을 생성하는 단계, 상기 생성된 해쉬값과 상기 제3 코드 내에 해쉬값을 비교하여, 상기 클라이언트 장치를 검증하는 단계 및 상기 제3 코드를 기반으로, 상기 클라이언트 장치에 관한 자격 정보를 판단하여 상기 클라이언트 장치의 권한을 승인하는 단계를 포함한다.
또는 상기 권한 승인 단계는 상기 제3 코드를 기반으로, 상기 클라이언트 장치의 접근 가능한 장치에 상기 제2 장치가 포함되는지 여부를 판단하는 단계 및 상기 제3 코드 내에 포함된 시간데이터 및 제2 코드를 기반으로, 상기 제2 장치에 대한 상기 클라이언트 장치의 자격에 해당하는 권한을 승인하는 단계를 포함한다.
또는 상기 제2 코드는 상기 제2 코드에 관한 유효시간정보를 더 포함하고, 상기 제2 코드의 유효시간이 만료되면, 상기 제1 장치로 상기 제3 코드를 반환하여, 상기 제2 코드를 갱신할 것을 요청하는 단계를 더 포함한다.
또는 상기 제3 코드는 상기 제1 코드 및 상기 제2 코드와, 상기 제2 코드를 수신한 시간 데이터를 기반으로 생성되고, 상기 권한 승인 단계는, 상기 제3 코드를 기반으로, 상기 클라이언트 장치에 관한 자격 정보 및 상기 제2 코드를 수신한 시간을 기반으로, 상기 클라이언트 장치의 권한을 승인한다.
또는 상기 클라이언트 장치 검증 성공 및 상기 승인된 권한을 식별하는 정보를 생성하는 단계 및 상기 제3 코드 및 상기 식별 정보를 기반으로 제2 장치에 관한 신규 제3 코드를 생성하는 단계를 포함한다.
상술한 과제를 해결하기 위한 본 발명의 다른 면에 따른, 검증 장치에 의해 가상인증코드 기반의 장치 간 인증 방법으로서, 제1 장치를 통해 클라이언트 장치로부터 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 수신하되, 상기 제1 코드는, 상기 클라이언트 장치의 식별 정보를 기반으로 생성된 것인, 제1 코드 수신 단계, 상기 제1 코드를 기반으로, 상기 클라이언트 장치의 식별 정보의 저장위치를 탐색하여 상기 클라이언트 장치의 인증을 수행하는 단계, 상기 클라이언트 장치의 인증이 완료되면, 상기 클라이언트 장치에 관한 자격 정보를 생성하는 단계, 상기 제1 코드를 기반으로 상기 클라이언트 장치에 관한 해쉬값을 생성하는 단계, 상기 생성된 자격 정보 및 해쉬값을 기반으로, 상기 제1 코드에 대한 인증 결과가 반영된 제2 코드를 생성하는 단계 및 상기 제1 장치가 상기 제2 코드를 기반으로 상기 가상인증코드인 제3 코드를 생성하도록 상기 제2 코드를 상기 제1 장치로 송신하는 단계를 포함한다.
또는 상기 제2 코드는, 상기 제2 코드에 관한 유효시간정보를 더 포함하고, 상기 검증 장치는, 상기 제1 장치로부터 수신된 제1 코드에 대한 제2 코드의 유효시간이 만료된 상태에서 상기 만료된 제2 코드에 관한 갱신을 요청 받으면, 상기 제1 장치로부터 수신된 제1 코드 및 기 저장된 제1 코드의 동일 여부를 판단하여, 상기 클라이언트 장치의 인증을 수행하는 단계 및 상기 클라이언트 장치의 인증이 완료되면, 상기 제2 코드를 갱신하여, 상기 제1 장치로 송신하는 단계를 더 포함한다.
상술한 과제를 해결하기 위한 본 발명의 다른 면에 따른, 클라이언트 장치에 의해 수행되는 가상인증코드 기반의 장치 간 인증방법으로서, 상기 클라이언트 장치의 식별 정보를 기반으로, 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 생성하는 단계 및 상기 제1 코드를 제1 장치를 통해 검증 장치로 송신하여, 상기 제1 장치에 대한 상기 클라이언트 장치의 권한 승인을 요청하는 단계를 포함하고, 상기 제1 코드는, 복수의 세부코드를 포함하고, 상기 복수의 세부코드는, 상기 클라이언트 장치에 의해 단위카운트마다 변경되어 생성되는 것이고, 상기 단위카운트는, 특정한 시간간격으로 설정되어, 상기 시간간격이 경과됨에 따라 변경되는 것이다.
또는 상기 세부코드는, 서로 상관관계를 가지는 복수의 제1 세부코드 및 제2 세부코드를 포함하고, 상기 제1 세부코드는, 상기 검증장치에서의 상기 클라이언트 장치의 인증정보에 관한 탐색시작지점을 결정하고, 상기 제2 세부코드는, 상기 탐색시작지점으로부터 상기 인증정보에 관한 탐색경로를 결정한다.
상술한 과제를 해결하기 위한 본 발명의 다른 면에 가상인증코드를 기반으로 한 서버간 인증 방법을 수행하는 컴퓨터 프로그램은, 저장 매체에 저장될 수 있다.
이 외에도, 본 발명을 구현하기 위한 다른 방법, 다른 시스템 및 상기 방법을 실행하기 위한 컴퓨터 프로그램을 기록하는 컴퓨터 판독 가능한 기록 매체가 더 제공될 수 있다.
상기와 같은 본 발명에 따르면, 검증 장치에서의 클라이언트 장치의 단 한번의 인증만으로도, 복수의 서비스 장치에 대한 권한 인증이 가능하다. 이를 통해, 클라이언트 장치가 각각의 서비스 장치에 권한 인증을 위해 검증 장치에 접속한 후 인증 과정을 수행하는데 소요된 시간 및 비용을 절약할 수 있다.
한편, 클라이언트 장치에 관한 복수의 서비스 장치에 대한 자격 정보를 포함하는 가상코드를 생성함으로써, 상기 클라이언트 장치의 접근 권한이 인정되는 적어도 하나 이상의 서비스 장치에 대한 정보가 유출되는 것을 방지할 수 있다.
또한, 상기 본 발명에 의하면, 가상인증코드생성 및 자격정보저장공간 탐색을 위한 알고리즘이 추가되면 되므로, 기존의 프로세스를 그대로 유지할 수 있다. 이를 통해, 보안성을 높이기 위해 기존 프로세스 내에서 변경되어야 하는 부분을 최소화할 수 있고, 사용자는 보안성 향상을 위한 별도 단계를 수행하지 않아도 된다.
본 발명의 효과들은 이상에서 언급된 효과로 제한되지 않으며, 언급되지 않은 또 다른 효과들은 아래의 기재로부터 통상의 기술자에게 명확하게 이해될 수 있을 것이다.
도 1은 본 발명의 일 실시예에 따른, 가상인증코드 기반의 서버 간 인증 방법을 개략적으로 나타낸 순서도이다.
도 2는 본 발명의 일 실시예에 따른, 클라이언트 장치의 개략적인 구성도이다.
도 3은 본 발명의 일 실시예에 따른, 클라이언트 장치의 제1 코드를 기반으로 제1 장치에 대한 권한 승인을 요청하는 방법을 개략적으로 나타낸 순서도이다.
도 4는 본 발명의 일 실시예에 따른, 클라이언트 장치의 제1 코드의 개략적인 구성도이다.
도 5는 본 발명의 일 실시예에 따른, 검증 장치의 개략적인 구성도이다.
도 6은 본 발명의 일 실시예에 따른, 제1 코드를 기반으로 클라이언트 장치를 검증하여, 제2 코드를 생성하는 방법을 개략적으로 나타낸 순서도이다.
도 7은 본 발명의 일 실시예에 따라 k각형의 구름이동을 통해 클라이언트 장치의 인증 정보의 저장 위치를 탐색하는 저장위치탐색알고리즘에 대한 예시도이다.
도 8는 본 발명의 일 실시예에 따른 검증 장치에 의해 생성된 제2 코드의 개략적인 구성도이다.
도 9는 본 발명의 일 실시예에 따른 서비스 장치에 대한 개략적인 구성도이다.
도 10은 본 발명의 일 실시예에 따른 제1 장치에 의해 수행되는 제1 코드 및 제2 코드를 기반으로 가상인증코드인 제3 코드를 생성하는 방법을 개략적으로 나타낸 순서도이다.
도 11는 본 발명의 일 실시예에 따른 제3 코드의 개략적인 구성도이다.
도 12는 본 발명의 일 실시예에 따른, 제3 코드 기반의 서버 간 인증 방법을 개략적으로 나타낸 예시도이다.
도 13은 본 발명의 일 실시예에 따른, 제3 코드를 기반으로 한 서버 간 인증 방법을 개략적으로 나타낸 순서도이다.
도 14는 본 발명의 일 실시예에 따른, 제3 코드를 기반으로 한 클라이언트 장치에 대한 권한 승인 방법을 개략적으로 나타낸 순서도이다.
도 15는 본 발명의 일 실시예에 따른, 제3 코드를 기반으로 클라이언트 장치에 대한 권한을 승인하는 방법을 개략적으로 나타낸 순서도이다.
도 16은 본 발명의 제2 장치의 클라이언트 장치의 검증 및 권한 승인 정보를 기반으로, 새로운 제3 코드를 생성하는 것을 개략적으로 나타낸 순서도이다.
본 발명의 이점 및 특징, 그리고 그것들을 달성하는 방법은 첨부되는 도면과 함께 상세하게 후술되어 있는 실시예들을 참조하면 명확해질 것이다. 그러나, 본 발명은 이하에서 개시되는 실시예들에 제한되는 것이 아니라 서로 다른 다양한 형태로 구현될 수 있으며, 단지 본 실시예들은 본 발명의 개시가 완전하도록 하고, 본 발명이 속하는 기술 분야의 통상의 기술자에게 본 발명의 범주를 완전하게 알려주기 위해 제공되는 것이며, 본 발명은 청구항의 범주에 의해 정의될 뿐이다.
본 명세서에서 사용된 용어는 실시예들을 설명하기 위한 것이며 본 발명을 제한하고자 하는 것은 아니다. 본 명세서에서, 단수형은 문구에서 특별히 언급하지 않는 한 복수형도 포함한다. 명세서에서 사용되는 "포함한다(comprises)" 및/또는 "포함하는(comprising)"은 언급된 구성요소 외에 하나 이상의 다른 구성요소의 존재 또는 추가를 배제하지 않는다. 명세서 전체에 걸쳐 동일한 도면 부호는 동일한 구성 요소를 지칭하며, "및/또는"은 언급된 구성요소들의 각각 및 하나 이상의 모든 조합을 포함한다. 비록 "제1", "제2" 등이 다양한 구성요소들을 서술하기 위해서 사용되나, 이들 구성요소들은 이들 용어에 의해 제한되지 않음은 물론이다. 이들 용어들은 단지 하나의 구성요소를 다른 구성요소와 구별하기 위하여 사용하는 것이다. 따라서, 이하에서 언급되는 제1 구성요소는 본 발명의 기술적 사상 내에서 제2 구성요소일 수도 있음은 물론이다.
다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술분야의 통상의 기술자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또한, 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명의 실시예를 상세하게 설명한다.
설명에 앞서 본 명세서에서 사용하는 용어의 의미를 간략히 설명한다. 그렇지만 용어의 설명은 본 명세서의 이해를 돕기 위한 것이므로, 명시적으로 본 발명을 한정하는 사항으로 기재하지 않은 경우에 본 발명의 기술적 사상을 한정하는 의미로 사용하는 것이 아님을 주의해야 한다.
또한, 명세서에서 사용되는 "부"라는 용어는 소프트웨어, FPGA 또는 ASIC과 같은 하드웨어 엘리먼트를 의미하며, "부"는 어떤 역할들을 수행한다. 그렇지만 "부"는 소프트웨어 또는 하드웨어에 한정되는 의미는 아니다. "부"는 어드레싱할 수 있는 저장 매체에 있도록 구성될 수도 있고 하나 또는 그 이상의 프로세서들을 재생시키도록 구성될 수도 있다. 따라서, 일 예로서 "부"는 소프트웨어 엘리먼트들, 객체지향 소프트웨어 엘리먼트들, 클래스 엘리먼트들 및 태스크 엘리먼트들과 같은 엘리먼트들과, 프로세스들, 함수들, 속성들, 프로시저들, 서브루틴들, 프로그램 코드의 세그먼트들, 드라이버들, 펌웨어, 마이크로 코드, 회로, 데이터, 데이터베이스, 데이터 구조들, 테이블들, 어레이들 및 변수들을 포함한다. 엘리먼트들과 "부"들 안에서 제공되는 기능은 더 작은 수의 엘리먼트들 및 "부"들로 결합되거나 추가적인 엘리먼트들과 "부"들로 더 분리될 수 있다.
또한, 본 명세서에서 모든 “부”는 적어도 하나의 프로세서에 의해 제어될 수 있으며 본 개시의 “부”가 수행하는 동작을 적어도 하나의 프로세서가 수행할 수도 있다.
본 명세서의 실시예들은 기능 또는 기능을 수행하는 블록의 관점에서 설명될 수 있다. 본 개시의 ‘부’ 또는 ‘모듈’ 등으로 지칭될 수 있는 블록은 논리 게이트, 집적 회로, 마이크로 프로세서, 마이크로 컨트롤러, 메모리, 수동 전자 부품, 능동 전자 부품, 광학 컴포넌트, 하드와이어드 회로(hardwired circuits) 등과 같은 아날로그 또는 디지털 회로에 의해 물리적으로 구현되고, 선택적으로 펌웨어 및 소프트웨어에 의해 구동될 수 있다.
본 명세서의 실시예는 적어도 하나의 하드웨어 디바이스 상에서 실행되는 적어도 하나의 소프트웨어 프로그램을 사용하여 구현될 수 있고 엘리먼트를 제어하기 위해 네트워크 관리 기능을 수행할 수 있다.
다른 정의가 없다면, 본 명세서에서 사용되는 모든 용어(기술 및 과학적 용어를 포함)는 본 발명이 속하는 기술분야의 통상의 기술자에게 공통적으로 이해될 수 있는 의미로 사용될 수 있을 것이다. 또한, 일반적으로 사용되는 사전에 정의되어 있는 용어들은 명백하게 특별히 정의되어 있지 않는 한 이상적으로 또는 과도하게 해석되지 않는다.
이하, 첨부된 도면을 참조하여 본 발명의 실시예를 상세하게 설명한다.
본 명세서에서 "문자"는 코드를 구성하는 구성요소로서, 대문자알파벳, 소문자알파벳, 숫자 및 특수문자 등의 전부 또는 일부를 포함한다.
본 명세서에서 "코드"는 문자가 나열된 문자열을 의미한다.
본 명세서에서 '세부코드'는 가상코드에 포함되는 일부 코드를 의미한다. 즉, 가상코드가 별도로 생성된 복수의 코드를 결합하여 생성되는 경우, 세부코드는 별도로 생성되어 가상코드를 구성하는 개별 코드를 의미한다.
본 명세서에서 '단위카운트'는 특정한 시간간격으로 설정되어, 상기 시간간격이 경과됨에 따라 변경되는 것으로 정의된 단위이다. 예를 들어, 1카운트는 특정한 시간간격(예를 들어, 1.5초)으로 설정되어 사용될 수 있다.
본 명세서에서 "ID(identifier)"는 클라이언트 장치를 식별하기 위해 클라이언트 장치 별로 중복되지 않게 서버 장치에 의해 부여되는 고유한 코드 형태의 값을 의미한다.
본 명세서에서 '가상코드생성함수'는 가상코드를 생성하는데 이용되는 함수를 의미한다.
본 명세서에서 '구름이동'은 대상체가 회전하면서 병진운동을 하는 것을 의미한다. 즉, '구름이동'은 회전운동과 병진운동을 함께 수행하면서 이동하는 것으로서, 회전하는 대상체의 각 지점이 이동하는 축사에 차례대로 접하면서 이동하는 것을 의미한다.
도 1은 본 발명의 일 실시예에 따른, 가상인증코드 기반의 서버 간 인증 방법을 개략적으로 나타낸 예시도이다.
도 1을 참조하면, 클라이언트 장치(100)는 복수의 서비스 장치(200) 중 특정 장치에 대한 접근 또는 이용 권한을 승인 받고자 할 때, 검증 장치(300)에 인증 및 검증을 받아야 한다. 클라이언트 장치(100)를 검증하기 위해서는, 검증 장치(300)에 저장된 해당 클라이언트 장치(100)의 인증 정보를 활용해야 하기 때문이다. 도 1을 참조하면, 클라이언트 장치는, 제1 장치에 관한 권한을 승인 받고자 제1 코드를 생성한 후 제1 장치를 통해 검증 장치에 송신하였다. 이때 검증 장치(300)는, 수신한 제1 코드를 기반으로 클라이언트 장치에 대한 검증을 수행하게 될 것이다. 만약, 클라이언트 장치(100)가 서비스 장치(200) 중 제1 장치(200_1)가 아닌 제2 장치(200_2)에 대한 권한을 승인 받고자 한다면, 클라이언트 장치(100)를 인증하기 위한 또 다른 제1 코드를 생성한 후 검증 장치(300)로 송신하여, 검증 과정을 다시 수행하여야 한다. 즉, 클라이언트 장치(100)는 각각의 서비스 장치(200)에 대한 권한 승인을 위하여, 매번 검증 장치(300)에 권한 승인을 요청해야 한다. 이는 시간적으로 비효율적이며, 반복되는 과정으로 인하여, 효율성이 떨어진다. 따라서, 본 발명은 이러한 문제점을 해결하고, 검증 장치(300)에서의 클라이언트 장치(100)에 대한 한번의 인증 후 해당 인증 정보를 포함하는, 가상인증코드를 생성하도록 하여, 클라이언트 장치(100)의 검증 장치(300)에 대한 반복적인 권한 승인 없이도 서비스 장치(200) 간의 클라이언트 장치(100)의 검증이 가능하도록 한다.
도 1을 참조하면, 상술한 본 발명의 과제 해결 원리는, 검증 장치(300)에 의해 생성되는 제2 코드를 기반으로 제1 장치(200_1)에서 생성되는 제3 코드를 통해 발휘될 수 있다. 이하, 이에 대한 본 발명의 실시예에 대하여 자세히 설명하도록 한다.
도 2는 본 발명의 일 실시예에 따른, 클라이언트 장치의 개략적인 구성도이다. 도 3은 본 발명의 일 실시예에 따른, 클라이언트 장치의 제1 코드를 기반으로 제1 장치에 대한 권한 승인을 요청하는 방법을 개략적으로 나타낸 순서도이다. 도 4는 본 발명의 일 실시예에 따른, 클라이언트 장치의 제1 코드의 개략적인 구성도이다.
먼저, 제1 코드는 상술한 가상인증코드 중 하나로서, 클라이언트 장치에 대한 인증을 위해 생성된 가상코드를 의미한다. 발명의 이해를 돕기 위하여, 클라이언트 장치에 관한 가상인증코드를 본 명세서에서는 상기 제1 코드로 설명하도록 한다.
한편, 제1 코드는 검증 장치(300)에서 상기 클라이언트 장치를 인증하는데 이용된다. 구체적으로, 제1 코드에 포함된 클라이언트 장치(100)의 식별정보와 상응하여 검증 장치 내 저장된, 클라이언트 장치(100)의 인증정보의 저장위치를 탐색하여, 상기 클라이언트 장치를 인증한다.
도 2 및 도 3을 참조하여, 클라이언트 장치(100) 및 클라이언트 장치(100)의 제 1코드 생성 방법에 대하여 설명하도록 한다.
도 2를 참조하면, 클라이언트 장치(100)는 세부코드생성부(110), 제1코드생성부(120) 및 통신부(130)를 포함한다. 한편, 클라이언트 장치(100)는 리소스 서버(Resource Server)에 대한 접근 권한 및 데이터 이용 권한을 검증 서버(Authentication Server)에 요청하는 클라이언트 서버(Client Server)에 해당할 수 있다. 그러나 이에 한정하는 것은 아니다.
세부코드생성부(110)는, 상기 제1코드 내 포함된 복수의 세부코드를 생성한다. 이때, 제1코드생성부(120)는 하나 이상의 세부코드를 조합하여 제1코드로 생성하는 역할을 수행한다. 일 실시예로, 상기 제1코드는 복수의 세부코드를 특정한 규칙에 따라 결합하여 생성되는 것이다.
한편, 세부코드는, 클라이언트 장치(100)에 의해 단위카운트마다 변경되어 생성되는 것으로, 이때 단위카운트는, 특정한 시간간격으로 설정되어 시간간격에 따라 변경되는 것을 의미한다. 예를 들어, 시간간격이 2초라고 가정한다면, 각각의 2초가 경과될 때마다 상기 단위카운트가 누적되어 산출되게 될 것이다.
도 3을 참조하면, 클라이언트 장치(100)는 식별 정보를 기반으로, 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 생성한다(S410).
구체적으로, 클라이언트 장치(100)의 제1코드생성부(120)는 클라이언트 장치의 식별 정보를 기반으로 제1 코드를 생성한다. 이때, 클라이언트 장치(100)는 특정 서비스 장치에 대한 접근 권한 승인을 위하여, 제1코드생성함수에 따라 제1 코드를 생성한다. 클라이언트 장치(100)의 식별 정보란, 검증 장치에 설정된 해당 클라이언트 장치의 ID(Identifier) 및 비밀값(Secret)일 수 있다. 그러나 이에 제한되는 것은 아니다.
도 4를 참조하면, 제1 코드의 개략적인 구성을 알 수 있다. 제1코드 생성부(120)는 해당 클라이언트 장치의 검증장치에 대한 ID(Identifier) 및 해쉬값이 포함된 제1코드를 생성하였다. 그러나 이에 제한되는 것은 아니다.
예를 들어, 도면에 명확히 도시되지는 않았으나, 본 발명의 일 실시예로, 클라이언트 장치의 ID를 상기 제1코드생성함수에 적용하여 가상인증코드를 생성한 후 상기 클라이언트 장치(100)의 검증 장치에 대한 비밀값(SECRET)을 해쉬함수(Hash Function)에 적용하여 해쉬값을 산출한다. 그리고 상기 가상인증코드와 상기 해쉬값을 결합하여 최종적으로 제1 코드를 생성할 수도 있을 것이다.
또한, 도면에 명확히 도시되지는 않았으나, 제1 코드를 생성함에 있어서, 시간 데이터를 활용할 수도 있을 것이다. 여기서 시간 데이터란, 클라이언트 장치(100)의 제1 장치에 대한 권한 승인 요청 시간일 수 있다. 그러나 이에 제한되는 것은 아니다. 시간 데이터를 활용한 경우, 클라이언트 장치(100)의 식별 정보, 예를 들어 ID 및 상기 시간 데이터를 상기 제1코드생성함수에 적용하여 가상인증코드를 생성한다. 그리고 상기 시간 데이터 및 클라이언트 장치(100)의 비밀값을 해쉬함수(Hash Function)에 적용하여 해쉬값을 산출한다. 가상인증코드 및 해쉬값을 결합하여 제1 코드를 생성할 수도 있을 것이다.
한편, 도 3을 참조하면, 클라이언트 장치(100)는 제1 코드를 제1 장치로 송신하여, 상기 제1 장치에 대한 상기 클라이언트 장치의 권한 승인을 요청한다(S420). 보다 상세하게는, 클라이언트 장치(100)는 제1 장치를 통해 검증 장치로 제1 코드를 송신하여, 제1 장치에 대한 클라이언트 장치의 권한 승인을 요청한다.
한편, 본 발명의 일 실시예로는, 클라이언트 장치(100)가 검증 장치(300)에 등록된 복수의 서비스 장치(200)에 대한 권한 승인을 위하여, 검증 장치(300)로 직접 제1코드를 송신하여, 복수의 서비스 장치(200)에 대한 권한 승인을 요청할 수 있을 것이다. 이때, 검증 장치(300)에 의해 해당 클라이언트 장치(100)에 대한 인증이 완료되면, 검증 장치(300)는 제1 코드를 기반으로 생성된 제2 코드를 서비스 장치(200)가 아닌 클라이언트 장치(100)로 직접 송신한다.
상술한 바와 같이, 클라이언트 장치(100)가 접근 권한 승인을 받고자 하는 제1 장치로 제1 코드를 송신한다. 이때, 제1 장치는 상술한 바와 같이, 복수의 서비스 장치(200) 중 클라이언트 장치(100)의 최초 접근 권한 승인을 요청한 장치로 결정될 수 있다. 즉, 제1 장치는 클라이언트 장치(100)가 접근 권한 승인을 요청하기 위하여 제1 코드를 송신함으로써, 결정될 수 있다. 그러나 이에 제한되는 것은 아니다.
예를 들어, 복수의 서비스 장치(200)가 순서를 가지고 연동하는 경우, 즉 클라이언트 장치(100)가 최초 서비스 장치(200)에 대한 접근 및/또는 해당 장치의 이용 권한 승인을 받아야만, 나머지 서비스 장치(200)에 대한 접근 및/또는 나머지 서비스 장치(200)에 대한 이용 권한 승인이 가능하다면, 제1 장치는 사전에 설정될 수도 있을 것이다. 또한, 제1 장치를 비롯한 서비스 장치(200) 내 나머지 장치에 대해서도 순서에 기반하여, 명칭이 결정될 수 있다.
통신부(130)는 제1코드를 검증장치(300)로 송신하는 역할을 수행한다. 통신부(130)는 제1코드를 외부로 제공할 수 있는 다양한 구성을 포함할 수 있다.
도면에 명확히 도시되지는 않았으나, 무선통신모듈; 근거리통신모듈; IC칩; 자장발생부; 디스플레이부 등의 전부 또는일부를 포함한다.
무선 인터넷 모듈은 무선 인터넷 접속을 위한 모듈을 말하는 것으로, 이동 단말기(100)에 내장되거나 외장될 수 있다. 무선 인터넷 기술로는 WLAN(Wireless LAN)(Wi-Fi), Wibro(Wireless broadband), Wimax(World Interoperability for Microwave Access), HSDPA(High Speed Downlink Packet Access), LTE(long term evolution), LTE-A(Long Term Evolution-Advanced) 등이이용될 수 있다.
근거리 통신 모듈은 근거리 통신을 위한 모듈을 말한다. 근거리 통신(short range communication) 기술로 블루투스(Bluetooth), BLE(Bluetooth Low Energy), 비콘(Beacon), RFID(Radio Frequency Identification), NFC(Near Field Communication), 적외선 통신(Infrared Data Association; IrDA), UWB(Ultra Wideband), ZigBee 등이 이용될 수 있다.
이하에서는, 세부코드를 기반으로 클라이언트장치(100)가 제1코드를 생성하는 방법에 대하여 설명한다.
도면에 명확히 도시되지는 않았으나, 제1코드생성부(120)는 하나 이상의 세부코드를 조합하여 제1코드로 생성하는 역할을 수행한다. 일 실시예로, 상기 제1코드는 복수의 세부코드를 특정한 규칙에 따라 결합하여 생성되는 것이다. 제1코드생성함수는 복수의 세부코드를 조합하는 규칙(즉, 세부코드결합함수)을 포함한다.
복수의 세부코드를 결합하여 하나의 가상코드를 생성하는 방식으로는 다양한 방식이 적용될 수 있다.
클라이언트 장치(100)는, 일 실시예로, 클라이언트 장치의 인증을 위한 가상인증코드, 즉 제1코드를 생성하는 프로그램(즉, 애플리케이션)을 포함할 수 있다.
이때 세부코드생성부(110)는 클라이언트의 식별 정보(Identifier, Secret 등)를 기반으로 하나 이상의 세부코드를 생성하는 역할을 수행한다. 제1코드생성함수는 하나 이상의 세부코드생성함수를 포함한다. 예를 들어, 제1코드가 복수의 세부코드를 포함하는 경우, 제1코드생성함수는 복수의 세부코드생성함수를 이용하여 복수의 세부코드를 생성하고, 복수의 세부코드를 결합하는 세부코드결합함수를 이용하여 제1코드를 생성한다.
이때, 제1코드는 클라이언트 장치(100)에 내장 또는 설치된 전용프로그램에 의해 단위카운트마다 생성한다.
본 발명의 일 실시예로, 클라이언트 장치(100)는 클라이언트 장치의 식별 정보, 예를 들어 클라이언트 장치의 ID(Identifier)를 제1코드생성함수의 시드데이터 중 하나로 이용할 수 있다. 구체적인 예로, 세부코드생성부(110)는 하나의 세부코드생성함수를 이용하여 클라이언트 장치의 ID(Identifier)와 클라이언트 장치(100)에 내장 또는 설치된 전용프로그램의 시리얼번호를 조합한 조합시리얼번호를 각 세부코드생성함수의 시드데이터로 이용하여 각각의 세부코드를 생성한다..
일 실시예로, 세부코드생성부(110)는 세부코드생성함수로 제1세부코드생성함수와 제2세부코드생성함수를 포함하여, 제1세부코드 및 제2세부코드를 생성할 수 있다. 이때, 클라이언트 장치(100)는 보안성을 높이기 위해 제1세부코드를 생성하는 제1세부코드생성함수와 제2세부코드를 생성하는 제2세부코드생성함수를 세부코드생성함수로 포함할 뿐, 제1세부코드와 제2세부코드의 상관관계에 대한 데이터는 포함하지 않을 수 있다.
제1코드생성부(120)는 제1코드생성함수를 이용하여 하나 이상의 세부코드를 조합하여 제1코드로 생성하는 역할을 수행한다. 일 실시예로, 제1코드는 복수의 세부코드를 특정한 규칙에 따라 결합하여 생성된다. 제1코드생성함수는 복수의 세부코드를 조합하는 규칙(즉, 세부코드결합함수)을 포함한다. 즉, 제1코드생성부(120)는 하나 이상의 세부코드를 제1코드생성함수에 포함된 세부코드결합함수를 이용하여 조합할 수 있다.
이때, 본 발명의 일 실시예로, 제1코드가 제1세부코드 및 제2세부코드의 특정한 규칙에 따른 조합으로 생성되는 경우, 제1세부코드와 제2세부코드는 클라이언트 정보가 저장된 저장위치탐색알고리즘 내의 클라이언트 인증 정보의 저장위치를 탐색하기 위한 각각의 역할을 수행할 수 있다. 예를 들어, 제1세부코드는 저장위치탐색의 시작지점을 설정하고, 제2세부코드는 특정한 탐색방식에 따라 상기 시작지점으로부터 상기 클라이언트 장치의 인증 정보의 저장위치로의 탐색경로를 설정한다. 즉, 클라이언트장치(100)에서 단위카운트마다 정상적으로 생성된 제1코드가 제공되면, 검증장치(200)는 제1코드에 포함된, 제1세부코드에 대응하는 탐색시작지점으로부터 제2세부코드에 상응하는 탐색경로에 따라 이동한 지점을 클라이언트 장치의 인증 정보가 저장된 지점(즉, 클라이언트 장치의 인증정보의 저장위치)으로 판단한다. 제1코드를 구성하는 제1세부코드와 제2세부코드를 기반으로 클라이언트 장치의 인증 정보의 저장위치를 탐색하는 구체적인 방식은 후술한다.
세부코드생성부(110)가 세부코드를 생성하는 방식의 일 실시예로, 세부코드생성부(110)는 단위카운트마다 새로운 세부코드를 생성하고, 이에 따라 클라이언트 장치(100)는 단위카운트마다 새로운 제1코드를 생성한다. 단위카운트마다 신규로 생성되는 제1코드는 중복되어 생성되지 않는다. 구체적으로, 세부코드생성부(110)는, 단위카운드마다 신규 생성되는 제1코드가 특정한 클라이언트장치(100)에게 정해진 기간 동안 중복 생성되지 않도록 설정될 수 있다.
또한, 본 발명의 일 실시예로, 상술한 제1 코드 생성에 이용되는, 클라이언트 장치(100)의 식별 정보를 기반으로 복수의 세부코드를 생성하여, 궁극적으로 제1 코드를 생성하는 방법과 관련하여, 클라이언트 장치(100)의 검증 장치(300)에 대한 ID를 기반으로 제1 세부코드를 생성하고, 상술한 시간데이터를 기반으로 제2 세부코드를 생성하여, 상기 제1 세부코드 및 제2 세부코드를 결합한 제1 코드를 생성할 수도 있다. 그러나 이에 한정하는 것은 아니다.
이하에서는, 검증장치(300)의 제1코드를 기반으로 클라이언트장치(100)를 검증하고, 궁극적으로 클라이언트장치(100)의 적어도 하나의 서비스장치(200)에 대한 자격 정보를 추출하고, 상기 자격 정보를 기반으로 제2코드를 생성하는 방법에 대하여 구체적으로 서술하도록 한다.
도 5는 본 발명의 일 실시예에 따른, 검증 장치의 개략적인 구성도이고, 도 6은 본 발명의 일 실시예에 따른, 제1 코드를 기반으로 클라이언트 장치를 검증하여, 제2 코드를 생성하는 방법을 개략적으로 나타낸 순서도이고, 도 7은 본 발명의 일 실시예에 따라 k각형의 구름이동을 통해 클라이언트 장치의 인증 정보의 저장 위치를 탐색하는 저장위치탐색알고리즘에 대한 예시도이다. 도 8는 본 발명의 일 실시예에 따른 검증 장치에 의해 생성된 제2 코드의 개략적인 구성도이다.
도 5를 참조하면, 검증 장치(300)는, 통신부(310), 세부코드추출부(320), 인증정보탐색부(330) 및 제2코드생성부(340)를 포함한다. 검증 장치(300)는, 서버 장치일 수 있으며, 예를 들어, 클라이언트 장치(100)가 OAuth 인증 방식을 이용하는 클라이언트 서버인 경우, 리소스 서버(Resource Server)에 대한 클라이언트 장치(100)의 접근 권한을 부여 및 관리하는 검증 서버일 수 있다. 그러나 이에 한정하는 것은 아니다.
먼저 도 6을 참조하면, 검증 장치(300)는 제1 장치를 통해 클라이언트 장치로부터 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 수신한다(S430). 이때, 상술한 바와 같이 제1 코드는, 클라이언트 장치의 식별 정보를 기반으로 생성된 것이다.
구체적으로, 검증 장치(300)는 제1 장치(200_1)의 클라이언트 장치(100)에 대한 인증 요청을 수신한다. 그리고 검증 장치(300)는 해당 클라이언트 장치(100)가 검증 장치(300)에 등록된, 신뢰할 수 있는 장치에 해당하는지 여부를 검증한다. 즉, 제1 코드를 기반으로 검증 장치(300)내 저장된 클라이언트 장치(100)의 인증 정보를 추출하여, 상기 제1 코드 내 포함된 클라이언트 장치(100)의 식별 정보와 비교한다. 그리고 인증 정보 및 식별 정보가 일치하거나 또는 적합하게 매칭된다면, 클라이언트 장치(100)의 인증을 완료할 것이다.
한편, 클라이언트 장치(100)가 인증되었음이 곧 클라이언트 장치(100)의 제1 장치에 대한 권한 승인을 의미하는 것은 아니다. 왜냐하면, 클라이언트 장치(100)는 전체 서비스 장치(200) 중에서 접근 권한이 인정되지 않는 장치가 존재할 수 있기 때문이다. 예를 들어, OAuth 인증 방식을 가정한다면, 검증 서버로부터 Access Token을 획득하지 못한 서버에 대해서는, 클라이언트 서버의 클라이언트 ID 및 비밀번호가 인증되었다 하더라도, 해당 서버에 대한 권한을 인정할 수 없기 때문이다. 이하, 이에 대한 검증 장치(300)의 인증 수행 및 자격 정보 생성에 관한 과정을 상세히 설명한다.
도 6을 참조하면, 검증 장치(300)는 제1 장치로부터 수신한 제1 코드를 기반으로, 클라이언트 장치(100)의 인증 정보의 저장위치를 탐색하여 상기 클라이언트 장치의 인증을 수행한다(S440).
여기서, 클라이언트 장치(100)의 인증 정보라, 클라이언트 장치(100)가 검증 장치(300)에 등록할 때, 제공된 정보로 특정 클라이언트 장치임을 식별할 수 있는 식별 정보와 대응되는 것을 의미한다. 예를 들어, 클라이언트 장치(100) 자체의 시리얼 번호, 발급된 ID(예를 들어, Client ID), 해당 ID(Identifier)와 관련한 비밀값(예를 들어, Client Secret) 등이 이에 해당할 수 있다.
보다 구체적으로, 다시 도 4를 참조하면, 제1 코드는 클라이언트 장치(100)의 식별정보를 기반으로 생성된 가상인증코드이다. 제1 코드 내에는 클라이언트 장치(100)의 검증 장치(300)에 대한 ID(Identifier) 및 비밀값(Secret)이 포함될 수 있다. 이때, 검증 장치(300) 내 저장된 상기 클라이언트 장치(100)에 대한 인증 정보, 예를 들어 저장된 ID ID(Identifier) 및 비밀값(Secret)의 저장위치를 탐색한다. 그리고 상기 제1 코드 내 포함된, 식별값과 저장위치 내 저장된 식별값을 비교하여 클라이언트 장치(100)에 대한 인증을 수행할 수 있을 것이다.
또 다른 실시예로, 검증 장치(300)의 인증정보탐색부(330)는 클라이언트 장치(100)의 제1코드생성함수와 동일한 함수를 포함할 수도 있다. 이때, 검증 장치(300)는 수신한 제1코드를 상기 제1코드생성함수에 적용하여, 클라이언트 장치(100)의 식별 정보를 추출할 수 있을 것이다. 예를 들어 클라이언트 장치(100)의 ID(Identifier)가 이에 해당할 것이다. 이때, 인증정보탐색부(330)는 상기 ID(Identifier)에 매칭되는 상기 클라이언트 장치(100)의 인증 정보 저장위치를 탐색한다. 그리고 인증 정보 저장위치로부터 상기 클라이언트 장치(100)의 비밀값을 추출한다. 추출된 비밀값을 해쉬함수에 적용하여 해쉬값을 산출한다. 그리고 산출된 해쉬값을 제1코드 내 해쉬값과 비교하여, 클라이언트 장치(100)의 인증을 완료할 수 있을 것이다.
한편, 제1 코드 생성 과정에서, 시간 데이터를 활용할 수 있다고 상술하여 설명한 바 있다. 시간 데이터를 활용하여 생성된 제1 코드를 기반으로, 클라이언트 장치(100)의 인증을 수행할 경우에는, 시간 데이터(클라이언트 장치(100)가 제1 장치에 대하 권한 승인을 요청한 시점) 및 저장위치로부터 추출된 비밀값을 해쉬함수에 적용하여 해쉬값을 산출한 후 제1 코드 내 해쉬값과 비교하여, 클라이언트 장치(100)의 인증을 완료할 수 있다.
이때 상술한 인증 수행을 위해, 클라이언트 장치(100)와 검증 장치(300)의 해쉬 함수는 동일한 함수에 해당할 수 있다.
이하에서는, 검증 장치(300)의 클라이언트 장치(100)의 세부코드 기반의 식별 정보의 저장위치를 탐색하는 구체적인 방법에 대하여 설명한다.
세부코드추출부(320)는 상기 제1코드에 포함된 복수의 세부코드를 추출한다. 상기 제1 코드는 복수의 세부코드를 특정한 규칙에 따라 결합하여 생성
되는 것이다. 검증장치(300)의 세부코드추출부(320)는 클라이언트 장치(100)와 동일한 세부코드결합함수를 포함하여, 세부코드추출부(320)는 세부코드결합함수를 적용하여 제1코드에서 복수의 세부코드를 추출할 수 있다. 예를 들어, 클라이언트 장치(100)에서 두 개의 세부코드(즉, 제1세부코드 및 제2세부코드)가 결합된 제1 코드를 생성하는 경우, 세부코드추출부(220)는 제1코드의 문자배열에서 세부코드결합함수를 적용하여 제1세부코드 및 제2세부코드를 분리해낼 수 있다.
그리고 인증정보탐색부(230)는 복수의 세부코드를 기반으로 클라이언트 장치(100)의 저장위치를 탐색한다. 인증정보탐색부(230)가 각각의 세부코드를 기반으로 인증정보의 저장위치를 탐색하는 방식으로는 다양한 방식이 적용될 수 있다. 인증정보탐색부(230)가 복수의 세부코드를 기반으로 저장위치를 탐색하기 위해 세부코드 간에는 상관관계를 포함할 수 있다.
제1 코드가 제1세부코드 및 제2세부코드로 구성되는 경우, 세부코드 간에 상관관계를 가지는 일 실시예로, 인증정보탐색부(230)는 제1세부코드에 대응하는 탐색시작 지점을 결정하고, 상기 탐색시작지점으로부터 제2세부코드에 상응하는 탐색경로에 따라 이동한 지점을 실제코드의 인증정보의 저장위치로 찾을 수 있다. 즉, 상기 세부코드는, 저장위치탐색의 시작지점을 설정하는 제1세부코드 및 특정한 탐색방식에 따라, 상기 시작지점으로부터 상기 저장위치로의 탐색경로를 설정하는 제2세부코드를 포함할 수 있다.
또한, 다른 일 실시예로, 클라이언트 장치(100)가 단위카운트마다 신규 제1코드를 제공함에 따라, 검증장치(300)는 저장위치 탐색을 위한 제1세부코드와 제2세부코드가 단위카운트의 경과 시마다 변경된다. 검증장치(300)는 각 카운트마다 변경되는 제1세부코드 및 제2세부코드를 기반으로 탐색시작지점과 탐색경로를 설정하여 클라이언트 장치(100)의 인증정보의 저장위치를 탐색할 수 있다.
또한, 다른 일 실시예로, 인증정보탐색부(230)는 상관관계를 가지는 복수의 세부코드를 이용하여 인증정보의 저장위치를 찾기 위해, 저장위치탐색알고리즘을 포함할 수 있다. 저장위치탐색알고리즘은 제1코드에 포함되는 각각의 세부코드 적용 시에 인증정보의 저장위치 탐색이 가능하도록 하는 알고리즘이다.
예를 들어, 제1코드로부터 인증정보의 저장위치의 탐색시작지점을 결정하는 제1세부코드와 탐색시작지점으로부터의 저장위치 방향을 제시하는 제2세부코드를 포함하는 경우, 저장위치탐색알고리즘은 제1세부코드에 대응되는 지점에서 제2세부코드에 대응되는 방향을 지시할 때, 해당 위치에 클라이언트 장치(100)의 인증정보가 매칭되는 저장위치가 배치되도록 조절하는 알고리즘이다. 저장위치탐색알고리즘을 이용함에 따라, 검증장치(200)는 제1코드에 포함된 제1세부코드와 제2세부코드가 변경되어도, 해당 클라이언트 장치(100)의 인증정보의 저장위치 또는 저장위치에 매칭된 지점을 찾을 수 있다. 저장위치탐색알고리즘은 다양한 방식이 적용될 수 있으며, 구체적인 예시는 후술한다. 다만, 저장위치탐색알고리즘은 후술되는 예시에 한정되지 않는다.
도 7을 참조하면, 저장위치탐색알고리즘이 제1세부코드에 해당하는 MN개의 코드가 나열된 트랙을 따라 구름 이동하는 k각형(k는 MN)이며, k각형의 꼭지점이 제1세부코드 트랙 상에 코드가 배치되는 지점에 대응되면서 이동하는 경우, k각형의 각 꼭지점이 클라이언트의 인증정보의 저장위치와 매칭되고, 제1세부코드 트랙(즉, 제1트랙)과 k각형이 대응되는 지점이 제1세부코드에 대응하는 저장위치 탐색시작지점이 될 수 있다. 이 때, 인증정보탐색부(230)는 세부코드추출부(220)에서추출된 제1세부코드에 대응되는 지점에 k각형의 꼭지점이 접하도록 k각형을 구름이동을 적용할 수 있다. 이를 통해, 인증정보탐색부(230)는 k각형이 접한 제1트랙 상의 위치에서 제2세부코드에 상응하는 각도(예를 들어, k각형의 꼭지점을 향하도록 180도를 MN개로 분할한 특정한 각도)로 지시함에 따라, 제1코드에 대응하는 클라이언트 장치(100)의 인증정보가 저장된 저장위치인 k각형의 꼭지점을 탐색할 수 있다.
구체적으로, 도 7에서와 같이, 검증장치(300)는 제1세부코드에 대응하는 지점으로 k각형을 구름이동(즉, k각형의 각 꼭지점과 트랙 상의 각 지점이 차례대로 접하도록 하면서 이동)시킨다. 그 후, 검증장치(200)는 제2세부코드에 상응하는 각도 방향을 지시하여 클라이언트 장치(100)의 인증정보의 저장위치에 상응하는 꼭지점을 탐색한다. 예를 들어, 클라이언트 장치B는 상기 검증장치(200) 내 등록하여, ID(Identifier) 및 비밀값을 발급받은 후 2카운트가 경과하였으므로 클라이언트 장치B는 2카운트를 함수값으로 적용한 제2세부코드를 생성하여 검증장치(200)로 제공한다. 검증장치(200)는 k각형과 트랙이 접하는 지점에서 각 꼭지점을 향하는 각도에 각 카운트마다 제2세부코드생성함수에 의해 생성되는 제2세부코드를 매칭하여 저장(즉, n카운트가 적용된 제2세부코드를 k각형의 n카운트만큼 구름이동함에 따라 구름이동된 n번째 꼭지점을 향하는 각도로 매칭하여 저장)하므로, 검증장치(300)는 제2세부코드에 상응하는 각도를 제1세부코드 대응지점에 적용하여 실제코드 저장위치에 대응하는 k각형의 꼭지점을 탐색할 수 있다.
한편, 본 발명의 다른 일 실시예로, 제1세부코드 및 제2세부코드는 클라이언트 장치(100)의 인증 정보가 등록된 시점 또는 클라이언트 장치(100)의 인증이 요청된 시점(예를 들어, 클라이언트 장치가 제1코드를 생성한 시점)으로부터 랜덤으로 생성되는 가상보안코드(예를 들어, OTP코드)만큼 부가된 기준 카운트에 대한 코드일 수 있다.
구체적인 실시예로, 클라이언트 장치(100)는 가상보안코드를 외부로 출력하지 않고 제1세부코드 및 제2세부코드에 반영하여 생성한다. 검증 장치(300)는 클라이언트 장치(100)) 내 시리얼번호(즉, 고유값) 및 클라이언트 장치(100)의 식별정보 중 일부 또는 클라이언트 장치(100)와 클라이언트 장치(100) 내 프로그램의 시리얼번호의 조합을 기반으로 가상보안코드값(예를 들어, OTP코드)를 생성하고, 클라이언트 장치의 인증 정보 등록시점에 상보안코드값을 더한 카운트의 제1세부코드를 생성하고, 가상보안코드값에 대응되는 카운트의 제2세부코드 생성(즉, 가상보안코드 자체를 제2코드로 생성)한다.
즉, 제1세부코드 및 제2세부코드는 클라이언트 장치(100)에 의해 클라이언트 장치의 인증 정보가 검증 장치(300)에 등록된 A시점(또는, 검증 장치에 의해 클라이언트 장치에 대한 ID(Identifier)가 발급된 시점)으로부터 가상보안코드값만큼 이동(shifting)된 카운트를 기반으로 생성된다. A시점으로부터 가상보안코드값만큼 이동(Shifting)된 카운트는 생성되는 가상보안코드 값에 따라 현재시점에 대응하는 카운트보다 이전 카운트가 될 수도 있고, 이후 카운트가 될 수도 있다.
검증 장치(300)는 수신된 제1코드에 포함된 제1세부코드와 제2세부코드를 저장위치탐색알고리즘에 적용하여 클라이언트 장치(100)의 인증 정보 저장위치(또는 등록위치)를 탐색할 수 있다.
또한, 다른 일 실시예로, 검증 장치(300)는 가상보안코드를 기반으로 생성된 제2세부코드에서 가상보안코드를 추출한 후, 가상보안코드생성함수(즉, OTP함수)를 제1코드를 수신한 카운트로부터 특정범위 내의 카운트를 입력하여 산출된 OTP번호 중에 가상보안코드와 일치하는 값이 있는지 여부를 확인한다. 그리고 검증 장치(300)는 제2코드에 제2함수의 역함수를 적용하여 제2코드 생성에 이용된 가상보안코드값(즉, OTP함수값)을 획득하고, 가상보안코드값과 동일한 값을 산출하는 카운트를 찾아낸다.
제1코드의 전송시간이나 딜레이에 의해 클라이언트 장치(100)에서 가상보안코드가 생성된 시점과 검증 장치(300)가 가상보안코드를 수신한 시점(정확하게는 가상보안코드를 포함하는 제1코드를 수신한 시점)의 차이가 존재함에 따라 검증 장치(300)가 제1코드를 수신한 카운트와 가상보안코드에 해당하는 OTP번호를 생성한 카운트가 일치하지 않을 수도 있다.
그렇기 때문에 검증 장치(300)는 제1코드를 수신한 카운트로부터 오차범위를 허용한다. 이를 통해, 검증 장치(300)는 현시점에 생성된 제1코드가 아닌 이전에 생성된 제1코드로 클라이언트 장치의 인증을 수행하려는 것을 막을 수 있어서, 보안성이 향상될 수 있다.
또한, 다른 일 실시예로, 클라이언트 장치(100)는 클라이언트 장치의 인증이 요청된 또는 권한 승인을 요청한 시점에 클라이언트 장치(100) 또는 전용프로그램 내의 시리얼번호(즉, 고유값) 및 클라이언트 장치(100)의 식별 정보 중 일부 또는 양자의 조합을 시드데이터로 사용하여 생성된 가상보안코드값을 더한 카운트에 대응하는 제1세부코드를 생성할 수 있다. 이때, 클라이언트 장치의 식별 정보가 등록된 시점(A시점)과 권한 승인을 요청한 시점 (B시점) 간의 카운트 차이와 가상보안코드값을 더한 카운트에 대응하는 제2세부코드를 생성한다. 즉, 제1코드를 생성하는 클라이언트 장치(100) 내 전용프로그램이 제1세브코드와 제2세부코드를 생성하는 수식은 다음과 같다.
제1세부코드 = f1(B시점 카운트 + 가상보안코드)
제2세부코드 = f2(B시점 카운트 - A시점 카운트 + 가상보안코드)
(A시점: 클라이언트 장치의 인증 정보 등록시점, B시점: 클라이언트 장치의 권한 승인 요청 시점의 카운트, 가상보안코드: OTP번호)
검증 장치(300)는 수신한 제1코드 내의 제1세부코드 및 제2세부코드를 기반으로 클라이언트 장치의 정보가 저장된 위치를 탐색하고, 해당 위치에 함께 저장된 시드데이터(즉, 제1코드생성 전용프로그램 또는 클라이언트 장치의 시리얼번호, 클라이언트 장치 정보, 제1코드생성 전용프로그램 시리얼번호 및 클라이언트 장치 정보 시리얼번호를 조합한 조합시리얼번호 중 제1코드 생성 시에 이용되는 것)을 추출한다. 검증 장치(300)는 시드 데이터를 기반으로 권한 승인 요청 수신시점으로부터 특정카운트 범위 내의 가상보안코드(즉, OTP번호)를 생성한다.
그 후, 검증 장치(300)는 제1세부코드 및 제2세부코드를 기반으로 클라이언트 장치의 정보가 저장된 지점을 탐색함에 따라 클라이언트 장치 인증 또는 식별 정보의 등록시점(A시점)을 파악한다. 검증 장치(300)는 클라이언트 장치의 인증 정보 등록시점(A시점)으로부터 권한 승인 요청 수신시점을 기준으로 특정카운트범위 내의 각각의 카운트까지의 카운트 개수와 가상보안코드(즉, OTP번호)의 합에 해당하는 계산값을 각각 산출하고, 상기 각각의 계산값 중에 제2세부코드에 대응하는 카운트수(즉, 제2코드에 제2함수의 역함수를 적용한 값)와 같은 카운트가 존재하는지 확인한다. 이를 통해, 검증 장치(300)는 제1코드가 정상적으로 제공된 것인지 확인할 수 있다.
한편, 검증 장치(300)는 클라이언트 장치(100)에 대한 인증이 완료되면, 후술할 제3 코드 생성에 이용되는 제2 코드를 생성한다(S450).
도 6을 참조하면, 먼저 검증 장치(300)는 클라이언트 장치의 인증이 완료되면, 상기 클라이언트 장치에 관한 자격 정보를 생성한다(S451). 이때, 자격 정보는 상기 클라이언트 장치(100)의 식별정보에 매칭되어 저장될 수 있다. 예를 들어, 검증 장치(300)에 저장된 클라이언트 장치(100)의 ID(Identifier) 또는 비밀값에 연결되어 저장될 수 있다. 그렇기 때문에, 검증 장치(300)는 클라이언트 장치(100)의 인증이 완료되면, 해당 인증 정보에 매칭 또는 연결되어 저장된 자격 정보를 추출한다.
이때, 자격 정보는 클라이언트 장치(100)의 서비스 장치(200)에 대한 권한 정보를 포함한다. 권한 정보란, 클라이언트 장치(100)가 접근 또는 이용 권한을 갖는 서비스 장치(200)에 대한 정보(예를 들어, 서비스 장치 리스트)뿐만 아니라, 권한과 관련하여, 해당 서비스 장치(200)에서 상기 클라이언트 장치(100)가 접근 또는 이용할 수 있는 범위(Scope)에 대한 정보를 포함한다.
한편, 자격 정보의 경우, 해당 자격 정보에 대응되는 자격 ID(Role Identifier) 및 자격 비밀값(Role Secret)이 설정될 수 있다. 상기 자격 ID(Role Identifier) 및 자격 비밀값(Role Secert)은 각각의 클라이언트 장치(100)에 대하여 설정된다. 본 발명의 일 실시예로, 각각의 클라이언트 장치(100)의 자격 ID(Role Identifier) 및 자격 비밀값(Role Secert)은 각각의 클라이언트 장치(100)의 인증 정보의 저장위치에 저장될 수도 있으며, 또는 각각의 클라이언트 장치(100)의 ID에 매칭되어 저장될 수도 있을 것이다. 그러나 이에 제한되는 것은 아니다.
다시 도 6을 참조하면, 검증 장치(300)는 인증이 완료된 클라이언트 장치에 관한 자격 정보를 추출한 후, 제1 코드를 기반으로 상기 클라이언트 장치에 관한 해쉬값을 생성한다(S452).
즉, 각 검증 장치(300)가 제1 코드를 해쉬함수에 적용하여 해쉬값을 산출한다. 이때, 본 발명의 일 실시예로, 서비스 장치(200)는 검증 장치의 해쉬함수와 동일한 해쉬함수를 포함할 수 있다. 한편, 해쉬값은 제1코드를 기반으로 생성되므로, 클라이언트 장치(100)에 대하여 매칭된다. 상술한 바와 같이, 제1 코드는 각각의 클라이언트 장치(100)의 식별 정보에 기반하여 생성되므로, 각각의 클라이언트 장치(100)의 제1 코드는 상이할 수 밖에 없으며, 따라서 제1 코드를 기반으로 생성된 해쉬값 또는 클라이언트 장치(100)마다 상이하다.
한편, 해쉬값을 생성한 후 검증 장치(300)의 제2코드생성부(340)는 생성된 자격 정보 및 해쉬값을 기반으로, 제1 코드에 대한 인증 결과가 반영된 제2 코드를 생성한다. 즉 검증 장치(300)는 제2코드생성함수를 기반으로, 제2 코드를 생성할 수 있다(S453).
도 8을 참조하면, 제2 코드는 제1 코드를 해쉬함수에 적용하여 산출된 제2 해쉬값과 해당 클라이언트에 대한 자격 정보(예를 들어, 자격 ID) 및 자격 정보에 관한 비밀(예를 들어, 자격 비밀값)을 해쉬함수에 적용하여 산출된 제3 해쉬값을 포함할 수 있다.
제1코드를 기반으로 생성된 해쉬값은 이후 서비스 장치(300)에서 클라이언트 장치(100)에 대한 검증 및 권한을 승인하는데 이용된다. 구체적으로, 서비스 장치(300)는 제3 코드에 포함된 제1코드를 추출하고 해쉬값을 생성한다. 그리고 검증장치(300)에서 클라이언트 장치(100)로부터 수신한 제1코드를 기반으로 생성된 해쉬값과 비교하여, 클라이언트 장치(100)에 대한 인증 및 검증을 수행할 수 있다. 이에 대해서는 자세히 후술하도록 한다.
본 발명의 일 실시예로, 클라이언트에 대한 자격 정보를 상기 제2코드생성함수에 적용하여 가상인증코드를 생성한 후 상기 제2 해쉬값과 제3 해쉬값을 결합하여 최종적으로 제2코드를 생성할 수 있다.
한편, 도면에 명확히 도시되지는 않았으나, 제2 코드는, 복수의 세부코드를 포함할 수 있다. 이때, 복수의 세부코드는, 상기 검증 장치에 의해 단위 카운트마다 변경되어 생성되는 것이고, 상기 단위카운트는, 특정한 시간간격으로 설정되어, 상기 시간 간격이 경과됨에 따라 변경되는 것일 수 있다. 즉, 클라이언트 장치(100)의 세부코드에 기반하여 제1 코드를 생성하는 것과 마찬가지로, 검증 장치(300)에 의해 생성되는 제2 코드 또한 복수의 세부코드를 포함할 수 있다. 일 실시예로, 상기 제1코드는 복수의 세부코드를 특정한 규칙에 따라 결합하여 생성되는 것이다. 이를 위해, 도면에 명확히 도시되지는 않았으나, 제2코드생성함수는 복수의 세부코드를 조합하는 규칙(즉, 세부코드결합함수)을 포함할 수 있다. 세부코드를 조합하여 가상인증코드를 생성하는 방법에 대해서는, 상술하였는바 생략하도록 한다.
한편, 본 발명의 일 실시예로, 제2 코드에 포함된 세부코드는, 서로 상관관계를 가지는 복수의 제1 세부코드 및 제2 세부코드를 포함하고, 상기 제1 세부코드는, 상기 검증장치에서의 상기 클라이언트 장치의 자격 정보에 관한 탐색시작지점을 결정하고, 상기 제2 세부코드는, 상기 탐색시작지점으로부터 상기 자격정보에 관한 탐색경로를 결정할 수 있다. 제1 코드에 포함된 제1 세부코드 및 제2 세부코드가 클라이언트 장치(100)의 인증 정보를 탐색하는데 이용되었다면, 제2 코드에 포함된 제1 세부코드 및 제2 세부코드는, 상기 클라이언트 장치(100)의 자격정보를 탐색하는데 이용될 수 있다.
한편, 클라이언트 장치의 자격 정보는 클라이언트 장치의 인증 정보의 저장위치에 저장될 수도 있으며, 또는 실시예에 따라서는 인증 정보의 저장위치에 매칭되거나 또는 연결되어 저장될 수 있다.
다시 도 6을 참조하면, 검증 장치(300)는 제1 장치(200_1)가 제2 코드를 기반으로 가상인증코드인 제3 코드를 생성하도록 상기 제2 코드를 제1 장치로 송신한다(S460).
한편, 제2 코드는, 제2 코드에 관한 유효시간정보를 더 포함할 수 있다. 이때, 검증 장치(300)는, 제1 장치(200_1)로부터 수신된 제1 코드에 대한 제2 코드의 유효시간이 만료된 경우, 만료된 제2 코드에 관한 갱신을 요청 받으면, 제1 장치로부터 수신된 제1 코드 및 기 저장된 제1 코드의 동일 여부를 판단하여, 상기 클라이언트 장치의 인증을 수행할 수 있다. 이때, 클라이언트 장치의 인증(100)이 완료되면, 제2 코드를 갱신하여, 제1 장치로 송신한다. 이에 대해서는 자세히 후술하도록 한다.
도 9는, 서비스 장치(200)에 대한 개략적인 구성도이고, 도 10은, 제1 장치에 의해 수행되는 제1 코드 및 제2 코드를 기반으로 가상인증코드인 제3 코드를 생성하는 방법을 개략적으로 나타낸 순서도이고, 도 11는 제3 코드의 개략적인 구성도이다.
도 9를 참조하면, 서비스 장치(200)는, 통신부(210), 제3코드생성부(220), 제1코드추출부(230) 및 자격정보검증부(240)를 포함한다. 한편, 본 명세서에서는, 서비스 장치(200)의 클라이언트 장치(100)의 권한 승인 요청에 따라서 제1 장치 및 제2 장치로 구분되어 설명되나, 이는 발명의 이해를 위해 구분되는 것이다. 즉, 제1 장치(200_1) 및 제2 장치(200_2)는 검증 장치(300)와 연동하는 서비스를 제공하는 장치로, 예를 들어 Oauth 인증 방식에 의할 경우, 각각의 리소스 서버(Resource Server)가 이에 해당할 수 있을 것이다. 한편, 리소스 서버는 동일한 플랫폼에서 제공되는 각각의 서버일 수도 있으나, 서로 다른 플랫폼에서 제공되는 각각의 리소스 서버일 수도 있다. 그러나 이에 제한되는 것은 아니다.
도 10을 참조하면, 클라이언트 장치(100)로부터 수신된 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 통신부(210)를 통해 검증 장치(300)로 송신한다(S430).
이때 제1 코드는, 클라이언트 장치의 식별 정보를 기반으로 생성되며, 검증 장치(300)에서 제1 코드의 검증을 통해 클라이언트 장치(100)의 권한 부여에 이용된다. 한편, 도면에 명확히 도시되지는 않았으나, 제1 장치는 제3 코드 생성을 위하여, 상기 제1 코드를 메모리(미도시)에 저장할 수 있다.
한편, 제1 장치(100_1)는 검증 장치(300)로부터 상기 제1 코드에 대한 인증 결과가 반영된 제2 코드를 수신한다(S460). 이때 제2 코드는, 상기 제1 코드를 기반으로 검증 장치(300)에 의해 생성된 클라이언트 장치(100)에 관한 해쉬값 및 자격 정보를 포함한다.
상술한 바와 같이, 클라이언트 장치(100)에 의해 생성된 제1 코드를 기반으로 생성된 해쉬값 및 검증 장치(300)에서 클라이언트 장치(100)의 인증을 완료한 후 추출된 자격 정보가 제2 코드에 포함된다. 이와 관련하여 상술한 바 상세한 설명은 생략한다.
구체적으로, 제1 장치(200_1)는 검증 장치(300)로부터 제1 코드에 대한 인증 결과가 반연된 제2 코드를 수신하면, 클라이언트 장치(100)의 해당 제1 장치에 대한 권한을 승인한다. 이때, 제1 장치(200_1)는 자격정보검증부(240)를 통해, 제2 코드 내 클라이언트 장치(100)에 대한 해당 제1 장치에 대한 자격 정보를 검증할 수도 있을 것이다. 보다 상세하게, 자격 정보에 포함된, 클라이언트 장치(100)의 접근 및/또는 이용 권한이 있는 서비스 장치(200)에 해당 제1 장치가 포함되는지를 판단할 것이다. 그리고, 자격 정보를 기반으로, 클라이언트 장치(100)의 해당 제1 장치에 대한 접근 및/또는 이용 권한에 대한 범위(Scope)를 검증할 수도 있을 것이다. 그리고, 자격 검증이 완료되면, 클라이언트 장치(100)의 제1 장치에 대한 권한을 승인할 것이다.
도 10을 참조하면, 상기 제1 코드 및 상기 제2 코드를 기반으로 상기 가상인증코드인 제3 코드를 생성한다(S470). 제3 코드는, 서버 간 인증과정에서 이용되는 가상인증코드를 의미한다.
한편, 도 11를 참조하면, 본 발명의 일 실시예로, 상기 제3 코드는 상술한 제1 코드 및 제2 코드와 함께 검증 장치(300)로부터 제2 코드를 수신한 시간(Time Stamp) 또는 검증 장치에서의 제2 코드 생성 시간(Time Stamp)를 기반으로 생성될 수 있다.
예를 들어, 도 11을 참조하면 제3코드는 검증 장치(300)의 클라이언트 장치(100)에 대한 인증이 완료된 시간(Time Stamp) 또는 검증이 완료된 후 제2코드를 생성한 시간(Time Stamp) 정보를 더 포함할 수 있다.
이는, 클라이언트 장치(100)에 대한 검증과 검증 결과를 기반으로 최종적으로 생성된 제3 코드를 통해 각각의 서비스 장치(200)에 대한 클라이언트 장치(100)의 권한 승인이 단위 카운트 또는 기 설정된 카운트 내 완료되지 않는 경우에 클라이언트 장치(100)에 대한 권한을 승인하기 위함이다. 각각의 서비스 장치(200)는 제3 코드 내 인증 완료 시간(Time Stamp) 또는 제2코드의 생성 시간(Time Stamp)를 기반으로, 해당 제3 코드 및 제3코드에 포함된 제2 코드가 권한 승인을 위해 정상적으로 생성된 것인지 여부를 판단할 수 있다. 보다 구체적으로는, 클라이언트 장치(100)의 권한 승인 요청에 상응하여 생성된 제3코드 및 제2코드에 대한 것인지를 판단하기 위함이다. 복수의 서비스 장치(200)에서 클라이언트 장치(100)에 대한 인증 및 권한 승인을 수행하기 위해서는, 검증 장치(300)에서의 클라이언트 장치(100)에 대한 인증 결과가 반영된 제2 코드가 유효한지를 판단해야 한다. 이를 위해 제3 코드에 포함된 생성 시점(Time Stamp)을 기반으로 판다하기 위함이다.
도 12은 본 발명의 일 실시예에 따른, 제3 코드 기반의 서버 간 인증 방법을 개략적으로 나타낸 예시도이다.
클라이언트 장치(100)가 최초 권한 승인을 요청한 제1 장치의 경우, 검증 장치(200)에 의하여, 해당 클라이언트 장치(100)를 인증하고, 권한을 부여할 수 있었다. 그러나, 도 12를 참조하면, 제1 장치(200_1)에 의해 생성되는 제3 코드의 경우, 클라이언트 장치(100)의 인증 정보와 관련되는 제1 코드 및 자격 정보와 관련되는 제2 코드를 포함하므로, 제1 장치(200_1) 이외의 서비스 장치(200)는 검증 장치(300)의 개입 없이도 클라이언트 장치(100)에 대한 인증 및 권한 승인이 가능하다. 이에 대하여 자세히 후술하도록 한다.
또한 본 발명의 다른 실시예로, 도면에 명확히 도시되지는 않았으나, 상기 제3 코드는 클라이언트 장치에 의해 생성될 수도 있다. 이를 위해, 제1 장치(200_1)는 검증 장치(300)로부터 수신한 제2 코드를 클라이언트 장치(100)로 송신할 수 있다. 이때, 제3 코드 생성 방법에 따라서, 제1 장치(200_1)는 검증 장치로부터 제2 코드를 수신한 시간 정보 또는 검증 장치에서의 제2 코드 생성 시간 정보를 제2 코드와 함께 클라이언트 장치(100)로 송신할 수도 있을 것이다. 한편, 클라이언트 장치(100)의 제3 코드 생성방법에 대해서는, 상술한 제1 장치에 의한 제3 코드 생성방법과 생성 주체의 차이점만을 가지므로, 상세한 설명은 생략하도록 한다.
한편, 제1 장치는 자격 정보와 관련된 적어도 하나의 제2 장치(200_2)로 제3 코드를 송신한다(S480).
본 발명의 일 실시예로, 제1 장치(200_1)는 제3 코드에 포함된 제2 코드의 자격 정보를 기반으로, 클라이언트 장치(100)의 권한 인증이 가능한 적어도 하나의 제2 장치(200_2)를 식별한 후 제2 장치(200_2)로 제3 코드를 송신할 수 있다. 그러나 이에 제한되는 것은 아니다.
한편 도 12를 참조하면, 제1 장치(200_1)가 제3 코드를 하나의 제2 장치에 대하여 송신한 것으로 나타나 있지만, 클라이언트 장치(100)의 자격 정보에 근거하여, 서비스 장치 중 복수의 제2 장치(200_2)에 대하여 제3 코드를 송신할 수도 있을 것이다. 이를 통해, 클라이언트 장치(100)는 각각의 서비스 장치(200)의 권한 인증을 위하여, 검증 장치(300)에 접속하지 않아도, 접근 권한을 부여 받을 수 있다.
도 13은 본 발명의 일 실시예에 따른, 제3 코드를 기반으로 한 서버 간 인증 방법을 개략적으로 나타낸 순서도이다. 도 14는 본 발명의 일 실시예에 따른, 제3 코드를 기반으로 한 클라이언트 장치에 대한 권한 승인 방법을 개략적으로 나타낸 순서도이고, 도 15는 제3 코드를 기반으로 클라이언트 장치에 대한 권한을 승인하는 방법을 개략적으로 나타낸 순서도이다.
도 13을 참조하면, 제2 장치(200_2)는 제1 장치로부터 가상인증코드인 제3 코드를 수신한다(S480). 그리고 제3 코드를 기반으로, 클라이언트 장치(100)의 상기 제2 장치(200_2)에 대한 권한을 승인한다(S490).
이때, 도 14를 참조하면, S490 단계는, 상기 제3 코드 내에 포함된 상기 제3 코드의 생성에 사용된 제1 코드를 기반으로 클라이언트 장치에 관한 해쉬값을 생성하고(S491), 상기 생성된 해쉬값과 상기 제3 코드 내에 해쉬값을 비교하여, 상기 클라이언트 장치를 검증한다(S492). 그리고 상기 제3 코드를 기반으로, 상기 클라이언트 장치에 관한 자격 정보를 판단하여 상기 클라이언트 장치의 권한을 승인한다(S493).
구체적으로, 제2 장치(200_2)는 제3 코드에 포함된 제1 코드를 추출한다. 그리고 제1 코드를 해쉬함수에 적용하여 해쉬값을 산출한다. 이를 위해, 제2 장치를 비롯한 모든 서비스 장치(200)는 검증 장치(300)와 동일한 해쉬함수를 포함한다. 한편, 해쉬값을 추출한 후 제3 코드 내 제2 코드를 추출하고, 상기 제2 코드에 포함되는 해쉬값을, 제2 장치(200_2)에서의 해쉬함수를 적용하여 산출된 해쉬값과 비교한다. 이때, 두 해쉬값이 일치하면, 클라이언트 장치를 인증하고, 해당 클라이언트 장치에 관한 자격 정보를 판단한다. 상술한 바와 같이, 제2 코드는 자격 정보(예를 들어, 자격 ID 및 자격 비밀값)을 포함하므로, 상기 자격 정보를 기반하여, 클라이언트 장치(100)의 제2 장치에 대한 권한을 승인한다.
한편, 본 발명의 일 실시예로, 제3 코드는, 제1 코드 및 상기 제2 코드와, 제2 코드를 수신한 시간 데이터를 기반으로 생성될 수 있다. 이때, 권한 승인 단계는, 제3 코드를 기반으로, 상기 클라이언트 장치(100)에 관한 자격 정보 및 상기 제2 코드를 수신한 시간을 기반으로, 클라이언트 장치의 권한을 승인할 수 있을 것이다. 즉, 제2 장치(100_2)는, 제2 코드를 수신한 시간 데이터를 기반으로, 제2 코드에 대한 유효성을 검증한 후 제2 코드에 포함된 자격 정보를 기반으로 클라이언트 장치(100)에 대한 권한을 승인할 수 있을 것이다.
한편, 도 15를 참조하면, 본 발명의 일 실시예로, 상기 권한 승인 단계(S493)는, 제3 코드를 기반으로, 상기 클라이언트 장치의 접근 가능한 장치에 상기 제2 장치가 포함되는지 여부를 판단하고(S493_a), 제3 코드 내에 포함된 시간데이터 및 제2 코드를 기반으로, 상기 제2 장치에 대한 상기 클라이언트 장치의 자격에 해당하는 권한을 승인할 수 있다(S493_b)
보다 상세하게, 자격 정보에 포함된, 클라이언트 장치(100)의 접근 및/또는 이용 권한이 있는 서비스 장치(200)에 해당 제2 장치가 포함되는지를 판단할 것이다. 그리고, 자격 정보를 기반으로, 클라이언트 장치(100)의 해당 제2 장치에 대한 접근 및/또는 이용 권한에 대한 범위(Scope)를 검증할 수도 있을 것이다. 그리고, 자격 검증이 완료되면, 클라이언트 장치(100)의 제2 장치에 대한 권한을 승인할 것이다.
한편, 도면에 명확히 도시되지는 않았으나, 서비스 장치(200)는 세부코드추출부(미도시)를 더 포함할 수도 있을 것이다.
즉, 검증 장치(300)에 의해 생성된 제2 코드가 복수의 세부코드를 포함하는 경우, 서비스 장치(200)는 상기 세부코드를 추출하여, 자격 정보의 저장위치를 탐색할 수도 있을 것이다. 이는, 제1 코드가 복수의 세부코드를 포함하는 경우, 검증 장치(300)에서의 세부코드를 추출하여, 클라이언트 장치(100)의 인증 정보의 저장위치를 탐색하는 방법과 방식이 유사하므로, 상세한 설명은 생략하도록 한다.
한편, 본 발명의 일 실시예로, 제2 코드는, 제2 코드에 관한 유효시간정보를 더 포함할 수 있다. 즉, 도면에 명확히 도시되지는 않았으나, 검증 장치(300)는 제2 코드를 생성할 때, 상기 제2 코드의 유효시간정보를 더 포함할 수도 있다. 이때, 제2 장치(200_2)는 제1 장치(200_1)로부터 수신한 제3 코드 내 제2 코드의 유효시간이 만료되면, 제1 장치(200_1)로 수신한 제3 코드를 반환하여, 상기 제2 코드를 갱신할 것을 요청한다.
그리고 제1 장치(200_1)는, 제2 장치(200_2)로부터 만료된 제2 코드의 갱신을 위한 상기 제3 코드를 수신하고, 제3 코드에 포함된 제1 코드를 상기 검증장치(300)로 송신한다. 검증장치(300)는 제1 코드를 기반으로 클라이언트 장치(100)의 인증을 다시 수행한다. 그리고 상기 클라이언트 장치(100)의 인증이 완료되면, 제2 코드를 갱신한 후 상기 갱신된 제2 코드를 상기 제1 장치로 송신하도록 요청할 수 있다. 제2 코드의 갱신 방법은, 제2 코드의 생성 방법과 동일한 바 자세한 설명은 생략하도록 한다.
한편, 검증 장치(300)는, 제1 장치(200_1)로 제1 코드를 수신한 경우, 상기 제1 코드를 저장한 후, 상기 제2 장치(200_2)의 제1 장치(200_1)를 통한 제2 코드의 갱신 요청을 수신하면, 저장된 제1 코드와 제1 장치(200_1)로부터 수신한 제1 코의 직접 비교를 통해 유효성 여부를 확인할 수 있다.
한편, 검증 장치(300)에 의한, 제2 코드의 갱신 과정이 중지되거나, 갱신을 허용하지 않으면, 제2 장치(200_2)에서의 클라이언트 장치(100)에 대한 검증 및 권한 부여 과정이 중지된다.
한편, 제1 장치(100_1)는 검증 장치(300)로부터 갱신된 제2 코드를 수신하면, 제1 코드, 제2코드 및 상기 갱신된 제2 코드가 수신된 시간데이터를 기반으로 제3 코드를 재생성하여, 제2 장치(100_2)로 다시 송신한다. 이를 통해, 제2 장치(100_2)는 클라이언트 장치(100)에 관한 인증 및 권한 승인 과정을 다시 수행할 수 있을 것이다.
도 16은 본 발명의 제2 장치의 클라이언트 장치의 검증 및 권한 승인 정보를 기반으로, 새로운 제3 코드를 생성하는 것을 개략적으로 나타낸 순서도이다.
클라이언트 장치(100)에 대한 검증 및 권한 승인이 완료된 제2 장치(200_2)는 해당 클라이언트 장치(100)의 서비스 장치(200)내 또 다른 장치에 대한 인증을 위한 새로운 제3 코드를 생성할 수 있다. 예를 들어, 제1 장치(200_1)의 제3 코드를 기반으로 클라이언트 장치(100)에 제2 장치(200_2)에 대한 인증이 완료되어야만, 클라이언트 장치(300)에 대한 권한을 승인할 수 있는 제3 장치(미도시)가 존재할 수 있다. 이때, 제2 장치(200_2)는 제1 장치(200_1)로부터 수신한 제3 코드를 기반으로, 제2 장치(200_2)에 대한 클라이언트 장치(100)의 검증 및 권한 승인이 완료되었음을 나타내는 정보와 함께 새로운 제3 코드를 생성할 수 있을 것이다.
도 16을 참조하면, 클라이언트 장치 검증 성공 및 상기 승인된 권한을 식별하는 정보를 생성하고, 상기 제3 코드 및 상기 식별 정보를 기반으로 제2 장치에 관한 신규 제3 코드를 생성한다.
구체적으로, 제2 장치(200_2)는 클라이언트 장치(100)에 대한 제2 장치(200_2)의 검증이 완료된 후 해당 제2 장치(200_2)에 대한 권한 승인이 완료되었음을 인증하는 정보를 생성한다. 그리고 해당 정보를 포함한, 새로운 제3 코드를 생성하여, 서비스 장치(200) 내 클라이언트 장치(100)의 인증이 필요한 또 다른 장치(예를 들어, 제3 장치)로 새로운 제3 코드를 송신한다.
이는, 복수의 서비스 장치(300)가 순차적으로 클라이언트 장치(100)에 대한 인증을 필요로 하는 경우, N번째(N은 2이상의 자연수)서비스 장치가 N-1번째 서비스 장치로부터 수신한 제3코드를 기반으로 클라이언트 장치(100)에 대해 N번째 서비스 장치에서의 검증을 완료하고 권한을 승인하였음을 식별하였음을 N+1번째 장치가 인지할 수 있도록 하기 위함이다. 이를 위해 권한 승인이 완료되었음을 인증하는 정보 및 N-1번째 장치로부터 수신한 제3코드를 기반을 새로운 제3코드를 생성하여 N+1번째 장치로 송신할 수 있다.
한편, 위 실시예에서는 복수의 서비스 장치(200)의 클라이언트 장치(100)에 대한 순차적 인증 및 검증 상황을 예시로 설명하였으나, A 서비스 장치(200_A)가 또 다른 B 서비스 장치(200_B)에 대한 클라이언트 장치(100)의 선 검증 및 선 권한 부여를 필요로 하는 경우에도, B 서비스 장치는 새로운 제3 코드를 생성하여, A 서비스 장치로 송신할 수 있다.
이상에서 전술한 본 발명의 일 실시예에 가상인증코드 기반의 장치간 인증방법은, 하드웨어인 서버와 결합되어 실행되기 위해 프로그램(또는 어플리케이션)으로 구현되어 매체에 저장될 수 있다.
상기 전술한 프로그램은, 상기 컴퓨터가 프로그램을 읽어 들여 프로그램으로 구현된 상기 방법들을 실행시키기 위하여, 상기 컴퓨터의 프로세서(CPU)가 상기 컴퓨터의 장치 인터페이스를 통해 읽힐 수 있는 C, C++, JAVA, 기계어 등의 컴퓨터 언어로 코드화된 코드(Code)를 포함할 수 있다. 이러한 코드는 상기 방법들을 실행하는 필요한 기능들을 정의한 함수 등과 관련된 기능적인 코드(Functional Code)를 포함할 수 있고, 상기 기능들을 상기 컴퓨터의 프로세서가 소정의 절차대로 실행시키는데 필요한 실행 절차 관련 제어 코드를 포함할 수 있다. 또한, 이러한 코드는 상기 기능들을 상기 컴퓨터의 프로세서가 실행시키는데 필요한 추가 정보나 미디어가 상기 컴퓨터의 내부 또는 외부 메모리의 어느 위치(주소 번지)에서 참조되어야 하는지에 대한 메모리 참조관련 코드를 더 포함할 수 있다. 또한, 상기 컴퓨터의 프로세서가 상기 기능들을 실행시키기 위하여 원격(Remote)에 있는 어떠한 다른 컴퓨터나 서버 등과 통신이 필요한 경우, 코드는 상기 컴퓨터의 통신 모듈을 이용하여 원격에 있는 어떠한 다른 컴퓨터나 서버 등과 어떻게 통신해야 하는지, 통신 시 어떠한 정보나 미디어를 송수신해야 하는지 등에 대한 통신 관련 코드를 더 포함할 수 있다.
상기 저장되는 매체는, 레지스터, 캐쉬, 메모리 등과 같이 짧은 순간 동안 데이터를 저장하는 매체가 아니라 반영구적으로 데이터를 저장하며, 기기에 의해 판독(reading)이 가능한 매체를 의미한다. 구체적으로는, 상기 저장되는 매체의 예로는 ROM, RAM, CD-ROM, 자기 테이프, 플로피디스크, 광 데이터 저장장치 등이 있지만, 이에 제한되지 않는다. 즉, 상기 프로그램은 상기 컴퓨터가 접속할 수 있는 다양한 서버 상의 다양한 기록매체 또는 사용자의 상기 컴퓨터상의 다양한 기록매체에 저장될 수 있다. 또한, 상기 매체는 네트워크로 연결된 컴퓨터 시스템에 분산되어, 분산방식으로 컴퓨터가 읽을 수 있는 코드가 저장될 수 있다.
본 발명의 실시예와 관련하여 설명된 방법 또는 알고리즘의 단계들은 하드웨어로 직접 구현되거나, 하드웨어에 의해 실행되는 소프트웨어 모듈로 구현되거나, 또는 이들의 결합에 의해 구현될 수 있다. 소프트웨어 모듈은 RAM(Random Access Memory), ROM(Read Only Memory), EPROM(Erasable Programmable ROM), EEPROM(Electrically Erasable Programmable ROM), 플래시 메모리(Flash Memory), 하드 디스크, 착탈형 디스크, CD-ROM, 또는 본 발명이 속하는 기술 분야에서 잘 알려진 임의의 형태의 컴퓨터 판독가능 기록매체에 상주할 수도 있다.
이상, 첨부된 도면을 참조로 하여 본 발명의 실시예를 설명하였지만, 본 발명이 속하는 기술분야의 통상의 기술자는 본 발명이 그 기술적 사상이나 필수적인 특징을 변경하지 않고서 다른 구체적인 형태로 실시될 수 있다는 것을 이해할 수 있을 것이다. 그러므로, 이상에서 기술한 실시예들은 모든 면에서 예시적인 것이며, 제한적이 아닌 것으로 이해해야만 한다.
[부호의 설명]
100 : 클라이언트 장치
110 : 세부코드 생성부
120 : 제1코드 생성부
130 : 통신부
200 : 서비스 장치
200_1 : 제1 장치
200_2 : 제2 장치
210 : 통신부
220 : 제3코드생성부
230 : 제1코드 추출부
240 : 자격정보검증부
300 : 검증 장치
310 : 통신부
320 : 세부코드추출부
330 : 인증정보탐색부
340 : 제2코드생성부

Claims (15)

  1. 제1 장치에 의해 수행되는 가상인증코드 기반의 장치 간 인증방법으로서,
    클라이언트 장치로부터 수신된 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 송신하되, 상기 제1 코드는, 상기 클라이언트 장치의 식별 정보를 기반으로 생성되며, 검증장치에서 상기 제1 코드의 검증을 통해 상기 클라이언트 장치의 권한 부여에 이용되는, 제1 코드 송신 단계;
    상기 검증 장치로부터 상기 제1 코드에 대한 인증 결과가 반영된 제2 코드를 수신하되, 상기 제2 코드는, 상기 제1 코드를 기반으로 상기 검증 장치에 의해 생성된 상기 클라이언트 장치에 관한 해쉬값 및 자격 정보를 포함하는, 제2 코드 수신 단계;
    상기 제1 코드 및 상기 제2 코드를 기반으로 상기 가상인증코드인 제3 코드를 생성하는 단계; 및
    상기 자격 정보와 관련된 적어도 하나의 제2 장치로 상기 제3 코드를 송신하는 단계;를 포함하는,
    가상인증코드 기반의 장치 간 인증방법.
  2. 제1항에 있어서
    상기 제2 코드는, 상기 제2 코드에 관한 유효시간정보를 더 포함하고,
    상기 제1 장치는,
    상기 제2 장치로부터 만료된 제2 코드의 갱신을 위한 상기 제3 코드를 수신하고,
    상기 제1 코드를 상기 검증 장치로 송신하여,
    상기 검증장치가 상기 제1 코드를 기반으로 상기 클라이언트 장치의 인증이 완료될 경우 상기 제2 코드를 갱신한 후 상기 갱신된 제2 코드를 상기 제1 장치로 송신하도록 요청하고,
    상기 제1 코드, 상기 갱신된 제2 코드 및 상기 갱신된 제2 코드가 수신된 시간데이터를 기반으로 제3 코드를 재 생성하여, 제2 장치로 송신하는 단계를 포함하는,
    가상인증코드 기반의 장치 간 인증방법.
  3. 제1항에 있어서,
    상기 제2 코드는, 복수의 세부코드를 포함하고,
    상기 복수의 세부코드는, 상기 클라언트 장치에 의해 단위카운트마다 변경되어 생성되는 것이고,
    상기 단위카운트는, 특정한 시간간격으로 설정되어, 상기 시간간격이 경과됨에 따라 변경되는 것인,
    가상인증코드 기반의 장치간 인증방법.
  4. 제1항에 있어서,
    상기 세부코드는, 서로 상관관계를 가지는복수의 제1 세부코드 및 제2 세부코드를 포함하고,
    상기 제1 세부코드는, 상기 검증장치에서의 상기 클라이언트 장치의 자격정보에 관한 탐색시작지점을 결정하고,
    상기 제2 세부코드는, 상기 탐색시작지점으로부터 상기 자격정보에 관한 탐색경로를 결정하는,
    가상인증코드 기반의 장치간 인증방법.
  5. 제2 장치에 의해 수행되는 가상인증코드 기반의 장치 간 인증방법으로서,
    제1 장치로부터 가상인증코드인 제3 코드를 수신하는 단계; 및
    상기 제3 코드를 기반으로, 상기 클라이언트 장치의 권한을 승인하는 단계;를 포함하고,
    상기 권한 승인 단계는,
    상기 제3 코드 내에 포함된 상기 제3 코드의 생성에 사용된 제1 코드(를 기반으로 클라이언트 장치에 관한 해쉬값을 생성하는 단계;
    상기 생성된 해쉬값과 상기 제3 코드 내에 해쉬값을 비교하여, 상기 클라이언트 장치를 검증하는 단계; 및
    상기 제3 코드를 기반으로, 상기 클라이언트 장치에 관한 자격 정보를 판단하여 상기 클라이언트 장치의 권한을 승인하는 단계를 포함하는,
    가상인증코드 기반의 장치 간 인증방법.
  6. 제5항에 있어서,
    상기 권한 승인 단계는,
    상기 제3 코드를 기반으로, 상기 클라이언트 장치의 접근 가능한 장치에 상기 제2 장치가 포함되는지 여부를 판단하는 단계; 및
    상기 제3 코드 내에 포함된 시간데이터 및 제2 코드를 기반으로, 상기 제2 장치에 대한 상기 클라이언트 장치의 자격에 해당하는 권한을 승인하는 단계를 포함하는,
    가상인증코드 기반의 장치 간 인증방법.
  7. 제5항에 있어서,
    상기 제2 코드는,
    상기 제2 코드에 관한 유효시간정보를 더 포함하고,
    상기 제2 코드의 유효시간이 만료되면, 상기 제1 장치로 상기 제3 코드를 반환하여, 상기 제2 코드를 갱신할 것을 요청하는 단계를 더 포함하는,
    가상인증코드 기반의 장치 간 인증방법.
  8. 제5 항에 있어서,
    상기 제3 코드는,
    상기 제1 코드 및 상기 제2 코드와, 상기 제2 코드를 수신한 시간 데이터를 기반으로 생성되고,
    상기 권한 승인 단계는,
    상기 제3 코드를 기반으로, 상기 클라이언트 장치에 관한 자격 정보 및 상기 제2 코드를 수신한 시간을 기반으로, 상기 클라이언트 장치의 권한을 승인하는,
    가상인증코드 기반의 장치 간 인증방법.
  9. 제5항에 있어서,
    상기 클라이언트 장치 검증 성공 및 상기 승인된 권한을 식별하는 정보를 생성하는 단계; 및
    상기 제3 코드 및 상기 식별 정보를 기반으로 제2 장치에 관한 신규 제3 코드를 생성하는 단계;를 포함하는,
    가상인증코드 기반의 장치 간 인증방법.
  10. 검증 장치에 의해 가상인증코드 기반의 장치 간 인증 방법으로서,
    제1 장치를 통해 클라이언트 장치로부터 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 수신하되, 상기 제1 코드는, 상기 클라이언트 장치의 식별 정보를 기반으로 생성된 것인, 제1 코드 수신 단계;
    상기 제1 코드를 기반으로, 상기 클라이언트 장치의 식별 정보의 저장위치를 탐색하여 상기 클라이언트 장치의 인증을 수행하는 단계;
    상기 클라이언트 장치의 인증이 완료되면, 상기 클라이언트 장치에 관한 자격 정보를 생성하는 단계;
    상기 제1 코드를 기반으로 상기 클라이언트 장치에 관한 해쉬값을 생성하는 단계;
    상기 생성된 자격 정보 및 해쉬값을 기반으로, 상기 제1 코드에 대한 인증 결과가 반영된 제2 코드를 생성하는 단계; 및
    상기 제1 장치가 상기 제2 코드를 기반으로 상기 가상인증코드인 제3 코드를 생성하도록 상기 제2 코드를 상기 제1 장치로 송신하는 단계;를 포함하는,
    가상인증코드 기반의 장치간 인증방법.
  11. 제10항에 있어서,
    상기 제2 코드는, 상기 제2 코드에 관한 유효시간정보를 더 포함하고,
    상기 검증 장치는,
    상기 제1 장치로부터 수신된 제1 코드에 대한 제2 코드의 유효시간이 만료된 상태에서 상기 만료된 제2 코드에 관한 갱신을 요청 받으면, 상기 제1 장치로부터 수신된 제1 코드 및 기 저장된 제1 코드의 동일 여부를 판단하여, 상기 클라이언트 장치의 인증을 수행하는 단계; 및.
    상기 클라이언트 장치의 인증이 완료되면, 상기 제2 코드를 갱신하여, 상기 제1 장치로 송신하는 단계;를 더 포함하는,
    가상인증코드 기반의 장치간 인증방법.
  12. 클라이언트 장치에 의해 수행되는 가상인증코드 기반의 장치 간 인증방법으로서,
    상기 클라이언트 장치의 식별 정보를 기반으로, 가상인증코드의 생성을 위한 소스 코드인 제1 코드를 생성하는 단계; 및
    상기 제1 코드를 제1 장치를 통해 검증 장치로 송신하여, 상기 제1 장치에 대한 상기 클라이언트 장치의 권한 승인을 요청하는 단계;를 포함하는,
    가상인증코드 기반의 장치간 인증방법.
  13. 제12항에 있어서,
    상기 제1 코드는, 복수의 세부코드를 포함하고,
    상기 복수의 세부코드는, 상기 클라언트 장치에 의해 단위카운트마다 변경되어 생성되는 것이고,
    상기 단위카운트는, 특정한 시간간격으로 설정되어, 상기 시간간격이 경과됨에 따라 변경되는 것인,
    가상인증코드 기반의 장치간 인증방법.
  14. 제13항에 있어서,
    상기 세부코드는, 서로 상관관계를 가지는 복수의 제1 세부코드 및 제2 세부코드를 포함하고,
    상기 제1 세부코드는, 상기 검증장치에서의 상기 클라이언트 장치의 인증정보에 관한 탐색시작지점을 결정하고,
    상기 제2 세부코드는, 상기 탐색시작지점으로부터 상기 인증정보에 관한 탐색경로를 결정하는,
    가상인증코드 기반의 장치간 인증방법.
  15. 하드웨어인 컴퓨터와 결합되어, 제1항 내지 제14항 중 어느 한 항의 방법을 실행시키기 위하여 매체에 저장된, 가상법인카드를 기반으로 금융거래를 제공하는 프로그램.
PCT/KR2021/002336 2020-02-24 2021-02-24 가상인증코드 기반의 장치 간 인증 방법 및 프로그램 WO2021172877A1 (ko)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP21729198.8A EP3907683B1 (en) 2020-02-24 2021-02-24 Method and program for authentication between apparatuses based on virtual authentication code
US17/348,750 US20210385213A1 (en) 2020-02-24 2021-06-15 Device-to-device authentication method and program based on virtual authentication code

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
KR20200022023 2020-02-24
KR10-2020-0022023 2020-02-24
KR10-2021-0025002 2021-02-24
KR1020210025002A KR102464002B1 (ko) 2020-02-24 2021-02-24 가상인증코드 기반의 장치 간 인증 방법 및 프로그램

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/348,750 Continuation US20210385213A1 (en) 2020-02-24 2021-06-15 Device-to-device authentication method and program based on virtual authentication code

Publications (1)

Publication Number Publication Date
WO2021172877A1 true WO2021172877A1 (ko) 2021-09-02

Family

ID=77490255

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2021/002336 WO2021172877A1 (ko) 2020-02-24 2021-02-24 가상인증코드 기반의 장치 간 인증 방법 및 프로그램

Country Status (2)

Country Link
KR (1) KR20220151589A (ko)
WO (1) WO2021172877A1 (ko)

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20140127987A (ko) * 2013-04-26 2014-11-05 에스케이플래닛 주식회사 공용 단말 장치 보안을 위한 시스템 및 방법
KR101800737B1 (ko) * 2016-06-27 2017-11-23 경북대학교 산학협력단 사용자 인증을 위한 스마트기기의 제어방법, 이를 수행하기 위한 기록매체
KR20190016884A (ko) * 2017-08-09 2019-02-19 주식회사 센스톤 가상코드 기반의 제어시스템, 방법 및 프로그램, 제어디바이스 및 제어신호생성수단
KR20190063537A (ko) * 2017-11-30 2019-06-10 백석대학교산학협력단 블록체인 기반 IoT 센서 노드 인증 방법
JP2019185789A (ja) * 2018-04-17 2019-10-24 鉅康科技股▲フン▼有限公司 クラウド管理システム及びその制御方法

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR101316466B1 (ko) 2012-11-20 2013-10-08 신한카드 주식회사 다이나믹 트랙 2 정보를 이용한 모바일 결제 시스템 및 방법

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20140127987A (ko) * 2013-04-26 2014-11-05 에스케이플래닛 주식회사 공용 단말 장치 보안을 위한 시스템 및 방법
KR101800737B1 (ko) * 2016-06-27 2017-11-23 경북대학교 산학협력단 사용자 인증을 위한 스마트기기의 제어방법, 이를 수행하기 위한 기록매체
KR20190016884A (ko) * 2017-08-09 2019-02-19 주식회사 센스톤 가상코드 기반의 제어시스템, 방법 및 프로그램, 제어디바이스 및 제어신호생성수단
KR20190063537A (ko) * 2017-11-30 2019-06-10 백석대학교산학협력단 블록체인 기반 IoT 센서 노드 인증 방법
JP2019185789A (ja) * 2018-04-17 2019-10-24 鉅康科技股▲フン▼有限公司 クラウド管理システム及びその制御方法

Also Published As

Publication number Publication date
KR20220151589A (ko) 2022-11-15

Similar Documents

Publication Publication Date Title
WO2017003051A1 (ko) 랜덤하면서 유일한 코드를 생성하는 전자 장치 및 방법
WO2020032321A1 (ko) 가상코드 기반의 금융거래제공시스템, 가상코드생성장치, 가상코드검증장치, 가상코드 기반의 금융거래제공방법 및 가상코드 기반의 금융거래제공프로그램
WO2022102930A1 (ko) 브라우저 기반 보안 pin 인증을 이용한 did 시스템 및 그것의 제어방법
WO2020189926A1 (ko) 블록체인 네트워크를 이용하여 사용자의 아이덴티티를 관리하는 방법 및 서버, 그리고, 블록체인 네트워크 기반의 사용자 아이덴티티를 이용하여 사용자를 인증하는 방법 및 단말
WO2011014037A2 (en) System for managing unregistered terminals with shared authentication information and method thereof
WO2013065915A1 (ko) 보안 영역과 비보안 영역 사이의 보안 연동 방법 및 보안 어플리케이션 다운로드 관리방법, 관리서버, 단말기, 및 이를 적용한 관리시스템
WO2013009045A2 (ko) 동적 키 생성 기반의 내장 ｓｉｍ의 ｍｎｏ 변경방법 및 그를 위한 내장 ｓｉｍ과 기록매체
WO2014104507A1 (ko) 안전 로그인 시스템과 방법 및 이를 위한 장치
WO2020050424A1 (ko) 블록체인 기반의 모바일 단말 및 IoT 기기 간의 다중 보안 인증 시스템 및 방법
WO2020189927A1 (ko) 블록체인 네트워크를 이용하여 사용자의 아이덴티티를 관리하는 방법 및 서버, 그리고, 블록체인 네트워크 기반의 사용자 아이덴티티를 이용하여 사용자를 인증하는 방법 및 단말
WO2022050652A1 (en) Method, apparatus, and computer readable storage medium for controlling account
WO2020022700A1 (ko) 디지털 키를 처리 및 인증하는 보안 요소 및 그 동작 방법
WO2020032498A1 (ko) 인증용가상코드를 이용한 사용자 인증 방법 및 시스템
WO2021080316A1 (ko) 권한 정보에 기초한 인증서를 사용하여 액세스 컨트롤하는 방법 및 장치
WO2021261728A1 (ko) 다기능을 가지는 보안 연결을 제공하는 보안 통신 장치 및 그 동작 방법
WO2015126037A1 (ko) 일회용 랜덤키를 이용한 본인 확인 및 도용 방지 시스템 및 방법
WO2020091525A1 (ko) 생체 인증을 이용한 결제 방법 및 그 전자 장치
WO2021071116A1 (ko) 브라우저의 웹스토리지를 이용한 간편인증 방법 및 시스템
WO2023163514A1 (ko) 컨트롤러 기반의 네트워크 접속을 제어하기 위한 시스템 및 그에 관한 방법
WO2020149500A1 (ko) 공유된 키를 등록하기 위한 방법 및 장치
WO2013039304A1 (ko) 전자 결제를 위한 회원 등록 방법과 그를 위한 시스템, 장치 및 단말기
WO2021172877A1 (ko) 가상인증코드 기반의 장치 간 인증 방법 및 프로그램
WO2018199576A1 (en) Method and apparatus for performing authentication based on biometric information
WO2015026083A1 (ko) 휴대폰 본인인증 도용방지와 스미싱 방지를 위한 문자메시지 보안시스템 및 방법
WO2021133074A2 (ko) 경량 기기 전용 개체 또는 메시지 인증 방법 및 이를 수행하는 장치들

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2021729198

Country of ref document: EP

Effective date: 20210610

NENP Non-entry into the national phase

Ref country code: DE