구자동

케이사인

koojd@ksign.com

사용자 인증 메커니즘

The Best Solution

2

생체 기반 사용자 인증 메커니즘

지식 기반 사용자 인증 메커니즘

1

4

2

개요

5 사용자 인증 기술 동향

소유 기반 사용자 인증 메커니즘 3

6 결론

8

0 목 차

The Best Solution

3

1 개요

정 의

사용자 인증 메커니즘이란 IT 환경에서 일련의 동작을 수행하는 주체가 누

구인지를 알수 있도록 하는 것으로서 Identity가 확인된 주체에 대해 실제

주체와 동일인임을 확인하기 위한 메커니즘

Real Field에서 이름과 주민번호를 대면 이에 대한 주민등록증과 대조하

며 이때 사진도 비교함으로 인증이란 절차가 이루어짐

홍길동입니다. 홍길동임을 증명하

십시요..

주민등록증 + 대면

The Best Solution

4

1 개요

사용 현황

미국 641 Site 조사에 의한 인증 메커니즘 사용 현황

2002. 1. From Information Security Magazine

The Best Solution

5

1 개요

서비스 환경에 따른 인증

Local Authentication

Direct Authentication

Indirect Authentication

Offline Authentication

The Best Solution

6

1 개요

laptops, single desktop systems

조직 측면 : 관리상의 어려움 존재

Local Authentication

Authentication

Mechanism

Access Control

Mechanism

Resource

Physical Security Perimeter

User or Administrator

User

패스워드, 생체 인증 등

The Best Solution

7

1 개요

Unix System, Single point LAN server

서버의 중앙집중형으로 Fault Tolerance 취약 및 확장성 제약

Direct Authentication

Authentication

Mechanism

Access Control

Mechanism

Resource

Physical Security Perimeter

Administrator

User

•패스워드, 생체 정보 노출 위협

•OTP, Challenge Response 기법 사용

Client Server

The Best Solution

8

1 개요

RADIUS Protocol, Kerberos 등

다양한 자원에 대한 확장적인 고려가 이루어질 경우 적합한 메커니즘

(EAM : SSO+PMI)

Indirect Authentication

Resource

Administrator

User

•인증 정보를 Auth Server에게 Forwording 해서 사용자 인증 처리

Client Access Server Authentication

Server

The Best Solution

9

1 개요

PKI 인증

General Authentication 기반 확립을 통한 사용자 인증(EAM : SSO+PMI)

으로서 각 서버 관리 측면에서 사용자에 대한 인증 정보 관리 필요 없음

Offline Authentication

CA

User

Resource

Client Access Server

Offline Auentication

The Best Solution

10

1 개요(구현적)

메커니즘 종류

인증 방법 예 장점 단점

본인만이 알고 있는 지식을 이용한

사용자 인증

패스워드

PIN

메커니즘이 단순

기존 시스템에 널리 사용되어져 친숙

노출에 대한 공격에 취약

기억으로 인한 분실

본인만이 소유하고 있는 소유물을 이

용한 인증

스마트 카드, 신분증, 전자서명

강한 인증 메커니즘으로 안전성 제공

원격 신원확인에 매우 적합

메커니즘 복잡

추가 장비, 인프라 필요

본인만이 갖고 있는 신체적 특징을

이용한 인증

지문, 동공, 목소리, DNA 생체 인식을 통한 사용자 인증

위조가 매우 어려움

물리적 보안에서 접근통제를 위한 신원 확인에 적합

디지털 정보로 변환되어질 경우 분실에 대한 영구적 사용 불가

오류률 존재로 인한 100% 보안 신뢰가 어려움

The Best Solution

11

2 본인만이 알고 있는 정보 기반 인증 메커니즘

패스워드 방식

현재 사용하고 있는 ID, 패스워드로 접근 사용자에 대한 식별과 인증

특징

패스워드 Plaintext 통신 상에 노출 위협

고정된 패스워드 Weak Authentication(위조 용이)

사람의 “기억” 매체를 이용함으로 보존에 취약

다양한 공격에 최약(Reply Attack, Exhaustiv password search,

password Guessing & Directory attack)

ID, Password

사전에 보관되어져 있는 ID와 Password을 기반으로 비교, 사용자 인증

The Best Solution

12

2 본인만이 알고 있는 정보 기반 인증 메커니즘

One Time Password

패스워드를 1회 사용으로 사용자 인증에 대한 강도를 강화

특징

Replay Attack 에 안전

일관성 있는 양단간 패스워드 정보 목록이 있어야 함 사용자 입

력으로 사용하기에는 부적절함

은행 Secret Card 입력 방법

관리 보안 정보의 증가

Secret Card 3행 3열은 ?

45678, 12345, 45679

46678, 17345, 25679

45978, 19345, 15679

15679

The Best Solution

13

3 본인 소유 기반 사용자 인증

스마트 카드

다양한 저장 매체 이용

스마트 카드

USB(Universal Standard Bus) Key : 스마트 카드 칩의 다른 형태

CD_Card

특징

PSE(Personal Security Environment) 최종 Goal

다양한 비밀 정보 보관 등을 통한 다용도 사용 가능

매체에 대한 다양한 국제적인 기술적 표준화 노력 활발

저장된 비밀 정보을 통한 사용자 인증 정보 생성 수신한 정보 기반

사용자 인증

The Best Solution

14

3 본인 소유 기반 사용자 인증

스마트 카드/usb Key

스마트 카드

Several Governments have mandated smart card identify and security

cards

In some cases (such as Sweden, Malaysia, El Salvador), these

are for citizen identify cards

US Department of Defense Common Access Card

Goal

Card can create the private key itself, in this way, the private

key never exists outside the cards

The Best Solution

15

3 본인 소유 기반 사용자 인증

스마트 카드/usb Key

스마트 카드

Several Governments have mandated smart card identify and security

cards

In some cases (such as Sweden, Malaysia, El Salvador), these

are for citizen identify cards

US Department of Defense Common Access Card

The Windows for Smart card/JavaCard war is over

JavaCard won but JavaCard applications are still pretty rare

Second generation JavaCard based smart cards have appeared on

the market

JavaCard V2 has significantly improved application portability

Memory has increased

The Best Solution

16

Chip

Private key(s)

Digital certificates

ACE authentication

Biometric data

Encryption keys

Employee data

Password cache

User

Information

SSL Secure Web

S/Mine secure mail

Customer PKI application

Single sign-on

Biometric authentication

Local file encrypt

Secure screen saver

Application login

3 본인 소유 기반 사용자 인증

다용도 스마트 카드

The Best Solution

17

3 본인 소유 기반 사용자 인증

매체 장점 단점 기타

스마트

카드

스마트 카드의 저변확대로 카드의 가격은

비교적 저렴

다양한 용도 및 통합형, 전자 주민증 등 활

용범위가 방대함

End User 사용 용이

보안 데이터 보관을 위해 매우 안정적인

매체

PIN, 생체 인식 등을 통한 접근 통제 가능

End-User는 Card Reader/

Writer 장비 필요 필요

단순 메모리 카드에서 마이크로 프로세스 탑재 카드로 변화되고 있으며 Java Card 진행중

USB Key

저장 메모리 크기가 큼

추가적인 장비가 없음(USB Port 사용)

보안 데이터 보관을 위해 안정적인 매체

전자주민카드를 위한 외부

정보 입력이 불가능함 (열쇠

고리형태임)

표준화 규격이 없음

단순 메모리 카드에서 마이크로 프로세스 탑재 카드로 변화

CD_Key

비용 저렴

카드 형태로서 제작이 가능하고 비교적 안

정적임

많은 보안 데이터를 저장할 수 있음

사용 용이(일반적인 CD Driver 사용)

제한적 재사용

CD Writer 처리에 대한 추가

장비 소요

단순 메모리 기능만 제공

특/장점

The Best Solution

18

3 본인 소유 기반 사용자 인증

인증서 기반 전자서명

PKI 인증서 기반 전자서명을 통한 사용자 인증

사용자가 전자서명 비밀 키(개인 키)을 통한 전자서명 값을 생성 한

후 전자서명 값을 검증함으로 사용자에 대한 인증 처리

특징

PKI라는 인프라 필요

안전성이 입증된 공개 키 암호화 알고리즘을 이용함으로 안전성 확

보

현재 가장 효과적인 보안 메커니즘으로 인식

The Best Solution

19

서버

사용자 • 전자서명 생성

인터넷

인증 서버

인증서 발급

전자서명 기반 사용자 인증

• 전자서명 기반 사용자 인증

저장소

3 본인 소유 기반 사용자 인증

Architecture

The Best Solution

20

3 본인 소유 기반 사용자 인증

Service Scenario

인증 서버 저장소

2. 전자서명 + 인증서

1. 비밀 키를 이용한 전자서명 값 생성

3. CRL 획득

4. CRL기반 인증서 검증 5. 전자서명 검증을 통한 사용자 인증

The Best Solution

21

4 생체 인식 사용자 인증

개 요

신체의 특징/특정 부분으로부터 추출한 정보를 기존에 저장된 데이터와

비교한 후 본인을 확인하는 인증 기술

종류

지문 & 손모양, 정맥, 홍체 & 망막, 얼굴, 음성, DNA, 목소리

Typing Pattern, Sign Style

특징

사용이 용이 신체를 이용함

위조 , 변조가 어려움

100% 신뢰성에 대한 문제 존재

디지털 정보화로 사용됨으로 분실 시 재 사용이 불가

기술적 어려움

The Best Solution

22

4 생체 인식 사용자 인증

개 요

성능

FAR(False Acceptance Rate) : 인가되지 않는 사용자의 신체정보

를 인가된 사람으로 잘못 인식

FRR(False Rejection Rate) : 인가된 사용자 신체정보를 인가되지

않은것으로 판단

사용 용도

신체 정보 디지털화해서 사용하고 신체 정보에 대해 강한 보안 관리

가 필요함으로 인터넷 등의 네트워크 환경보다는 물리적 보안(PAC :

Physical Access Control)을 통한 사용자 인증에 적합

The Best Solution

23

4 생체 인식 사용자 인증

지 문

특징

땀샘이 일정한 흐름을 갖는 형태 정보를 이용

지문 정보는 고유 개인 신체 정보로 평생 변하지 않음

이미지 스캔 기술 발달로 신체 정보 추출 가능

The Best Solution

24

4 생체 인식 사용자 인증

홍 채

특징

홍채의 고유 패턴을 통한 사용자 인증

특징 변수 풍부 인식률이 매우 높음(지문보다 다양함)

위조 불가, 비접촉 방식

The Best Solution

25

4 생체 인식 사용자 인증

얼 굴

특징

얼굴의 기하학적인 특징과 눈, 코, 입의 상대적인 특징을 이용

The Best Solution

26

4 생체 인식 사용자 인증

기 타

손모양

손의 굵기, 길이에 따라 사용자 인식

음성

음성 진동의 특징에 따라 사용자 인식

얼굴

얼굴 전체, 눈, 코, 입의 상대적 특징을 통한 사용자 인식

DNA

고도의 정확성 및 절대적 특징 이용

서명 인식

필체의 모양, 압력, 속도, 잉크의 퍼짐 등을 이용한 특징 데이터 추출

로 사용자 인식

The Best Solution

27

4 생체 인식 사용자 인증

비 교

매체 장점 단점

지문

저렴한 가격

안정성 보장

운영 관리 용이

오물질(물기, 땀 등)로 인한 인식률 저하

지문의 닳는 등 훼손 문제

홍체

특징 변수의 풍부함으로 인식률이

높음

위조 불가능

적은 저장 및 관리 데이터

장비의 고가

눈동자 크기 변화 인식률 오차

사용의 어려움(눈동자)

음성 스캔 장비가 필요 없음(경제적)

원거리 인식(목소리를 통함으로) 오인식률이 높음

얼굴인식 사용 편리성 우수

감시용으로 적합

얼굴 각도, 표정, 나이, 화장 상태에 따른

변화

입력 영상으로부터 얼굴 영역 추출의 어

려움

The Best Solution

28

소유장비 알고있는 지식 생체인식

Low High Security

Cost Ease of Use

Difficulty of Use

Photo ID

Magnetic Stripe

RF Card

Smart Card

More Difficult to Counterfeit

More Difficult to Appropriate

PIN

Password

Encryption

Digital Signature

홍체

Voice

Face

Hand geometry

Fingerprint

망막

Accuracy

Low

Hybrid Card

*Source: Sensar’s & LG Presentation

5 사용자 인증 기술 동향

비 교

The Best Solution

29

6 사용자 인증 기술 동향

단일 인증 메커니즘에서 다중 인증 메커니즘 조합 사용을 통한 강한 인증

화

PIN + PKI 인증서

스마트 카드 + PKI 인증서

생체 인식 + PKI 인증서

원격 사용자 인증에서는 PKI 전자서명을 이용 및 물리적 접근통제는 생체

인식 활용

기술 추세

3. PIN(or 패스워드) 입력을 통한 사용자 인증 후 전자 서명값 생성

6. 수신한 전자서명 값 검증을 통한 사용자 인증

2. 서명 요청

4. 서명값 전송 5.서명값 전송

1. 시스템 동작을 위해생체 인식 요구

The Best Solution

30

지문 인식

서명 인식

음성 인식

홍채 인식

정맥 인식

손금 인식

얼굴 인식

6 사용자 인증 기술 동향

생체 인증 분야

스마트카드

USB Key

H/W token 분야 (소유 기반)

사용자 ID와 패스워드 방식

PKI(공개키기반의 보안) 등

s/w 인증 분야

복합 인증 메커니즘을 통한 강한 사용자 인증 서비스화

기술 방향

물리적 접근 통제를 위한 사용자 인증

보안 데이터 관리 수단으로서의 사용자 인증

원격 접근 통제를 위한 사용자 인증

The Best Solution

31

7 향후 발전방향

사용자 인증 메커니즘 기술이 다양화되고 있는 추세이며 강한 인증 서비

스를 위한 메커니즘 조합화 경향이 강함

2개 이상의 메커니즘을 조합해서 사용(편리성, 안전성 등 고려)

인터넷 환경에서의 전자서명은 사용자 인증을 위한 필수적인 서비스

정책화 점차 Smart Card, USB Key을 추가한 이중 사용자 인증

체계화

활용 분야

Single Sign On

Access Control(물리적, 논리적 자원에 대한)

EAM(Enterprise/Extranet Access Management)

다양한 인증 메커니즘에 대한 기술 표준 및 보안 수준 등에 대한 규격을

통한 End User의 선택을 위한 정보 체계 필요