보안성이 강화된 인터넷 뱅킹 환경을 위한 이동통신 이중채널 인증 기법에 관한 연구

국문 초록 (Abstract)

PKI(Public Key Infrastructure)기반의 인터넷 뱅킹 시스템은 공인인증서를 이용하여 금융거래의 사용자 인증 및 부인방지, 기밀성, 무결성 등의 보안을 제공한다. 금융감독원에서는 공인인증서 이외에 보안카드, OTP(One Time Password), HSM(Hardware Security Module) 등과 같은 추가적인 인증요소 및 전화인증과 같은 추가적인 인증채널을 권장한다. 하지만, 이러한 추가적인 인증요소 역시 메모리 해킹과 같은 공격에 대해서는 근본적인 해결책이 될 수 없다. 기존의 전화망 채널을 이용하는 경우 그 과정이 복잡하고, 도청 및 감청 등의 취약점이 존재한다.
본 논문에서는 이동통신망을 활용한 이중채널 구조의 인터넷 뱅킹 인증기법을 제안한다. 제안하는 논문은 크게 두 가지 인증을 수행하여 두 가지 인증이 모두 성공한 경우에 최종적으로 사용자의 인증이 일어나는 구조이다. 첫 번째 인증채널로 기존에 활용되는 인터넷망을 통한 1차 인증을 하고, 인증에 필요한 내용을 QR-Code 형태의 2차원 바코드 배열로 사용자의 모니터에 표시한다. 두 번째 인증채널인 이동통신망을 통한 인증을 위하여 사용자는 카메라가 달린 모바일 기기를 이용하여 QR-Code를 촬영하여 전송되는 정보를 확인하고, 1차 인증과 동일한 구조로 이동통신사 망을 이용하여 2차 인증한다. 은행 서버에서는 사용자로부터 전송받은 1차 인증과 2차 인증정보를 확인하여, 2가지 인증이 모두 올바른 경우 최종 인증을 하는 구조이다.
제안하는 시스템의 성능 평가를 위하여 미래에 일어날 수 있는 다양한 공격방법을 모두 포함할 수 있도록 공격유형을 정의하였고, 제안하는 시스템은 이러한 공격시나리오에 매우 낮은 확률로 공격이 가능함을 보였고 이는 공인인증서의 갱신기간을 고려하면 매우 안전하다.

다국어 초록 (Multilingual Abstract)

The PKI-based Internet banking system uses the certificate to provide the security-related services related to the authentication of users, the prevention of repudiation, confidentiality and integrity for the financial transactions. The Financial Supervisory Service recommends the usage of such additional elements for certification as the security cards, OTP and HSM, and the usage of such additional channels as the telephone certification, other than the certificate. However, such additional elements for authentication cannot provide the fundamental solution for such an attack as the memory-hacking. When the existing telephone channel is used, the process becomes too complex and such weaknesses as wiretapping and interception still occur.
In this paper, the authentication system for the Internet banking within the double-channel structure that utilizes the mobile communication network is proposed. The proposed thesis largely executes two types of authentication, making it possible to carry out the user's authentication only when both types of authentication become successful. As the first authentication channel, the existing Internet network is used for the first authentication. All the contents required for the authentication are indicated on the user's monitor through the 2-dimensional arrangement of bar codes in the QR-Code form. For the authentication through the mobile communication network which is the second authentication channel, the user takes a picture of the QR-Code by using the mobile device equipped with a camera, in order to check the transmitted information. With the same structure as that of the first authentication, the mobile communication network is used for the second authentication. By checking the first and the second authentication information transmitted from users through the bank server, the final authentication process is carried out only when two types of authentication are correct.
For the evaluation of the performance of the proposed system, the attacking pattern is defined to include various attacking methods that could occur in the future. The proposed system shows that such an attacking scenario provides an extremely low attacking rate. Such a system is very safe when the updating period of the certificate is considered.

목차 (Table of Contents)

• 제 1 장 서 론 1
• 1.1 연구 배경 및 목적 1
• 1.2 연구 내용 및 범위 2
• 1.3 논문의 구성 3
• 제 2 장 이동통신 이중채널 인증 시스템을 위한 연구 4
• 2.1 인터넷 뱅킹 구조 4
• 2.1.1 인터넷 뱅킹 현황 4
• 2.2 QR-Code (Quick Response-Code) 9
• 2.2.1 QR-Code 9
• 2.2.2 QR-Code 생성과정 11
• 2.3 인터넷 뱅킹의 취약점 분석 15
• 2.3.1 인터넷 뱅킹 보안 프로그램의 취약점 15
• 2.3.2 E2E 암호화 방식 16
• 2.3.3 E2E 암호화 방식의 문제점 20
• 제 3 장 보안성이 강화된 인터넷 뱅킹 환경을 위한 이동통신 이중채널 인증 기법 26
• 3.1 보안성이 강화된 이동통신 이중채널 인증 인터넷 뱅킹 구조 26
• 3.1.1 제안하는 DCAM의 시스템 환경 31
• 3.1.2 DCAM 구성도 32
• 3.1.3 DCAM 공통 구성 모듈 33
• 3.1.4 DCAM 구성 요소 35
• 3.2 보안성이 강화된 이동통신 이중채널 인증 인터넷 뱅킹 시스템 38
• 3.2.1 DCAM 사용자 인증서 발급 및 등록 프로세스 38
• 3.2.2 DCAM 사용자 인증 프로세스 40
• 3.2.3 DCAM PC채널 인증 프로세스 42
• 3.2.4 DCAM 모바일 채널 인증 프로세스 45
• 3.2.5 DCAM 이체결과 전송 프로세스 46
• 제 4 장 DCAM 보안성 분석 및 성능평가 49
• 4.1 DCAM 프로세스 동작 과정의 보안성 평가 49
• 4.1.1 사용자 인증서 발급 및 등록 프로세스 보안성 평가 50
• 4.1.2 사용자 인증 프로세스 보안성 평가 51
• 4.1.3 PC채널 인증 프로세스 보안성 평가 53
• 4.1.4 모바일 채널 인증 프로세스 보안성 평가 55
• 4.1.5 이체결과 전송 프로세스 보안성 평가 56
• 4.2 DCAM 보안성 비교분석 58
• 4.2.1 인터넷뱅킹 필수 보안성 분석 58
• 4.2.2 거래이용수단에 따른 보안성 비교분석 59
• 4.2.3 공격자의 공격유형에 따른 보안성 비교분석 73
• 제 5 장 결 론 77
• 참고문헌 78