보안성이 향상된 퍼지추출 기술 기반 사용자 인증 및 키 동의 스킴

최윤성 ( Younsung Choi ),원동호 ( Dongho Won ) 한국인터넷정보학회 2016 인터넷정보학회논문지 Vol.17 No.3

정보기술과 네트워크 기술의 발전에 따라 멀티미디어 시스템을 이용한 다양한 서비스들이 인터넷을 통해서 제공되고 있다. 하지만 이러한 인터넷 기술의 근본적 특징인 개방성 때문에 네트워크를 기반으로 하는 시스템에서는 데이터 보호 기술과 안전하게 사용자를 인증하는 기법을 제공해야만 한다. 그래서 Das, An 그리고 Li&Hwang 과 같은 다양한 연구자들은 스마트카드, 패스워드, 그리고 생체정보를 기반한 사용자 인증 스킴을 제안하였으나, 다양한 보안 취약점이 발견되었다. 이러한 문제를 해결하기 위해 Li 등은 퍼지 추출 기술을 활용한 새로운 인증 스킴을 제안하였으나, 그들의 스킴도 여전히 off-line password attack, authentication without biometrics, denial-of-service, insider attack 등의 보안 문제점을 가지고 있었다. 그래서 본 논문에서는 Li 등이 제안한 사용자 인증 스킴의 보안 문제점을 해결할 수 있는 보안성이 향상된 퍼지추출기술 기반의 사용자 인증 및 키 동의 스킴을 제안한다. Information and network technology become the rapid development, so various online services supplied by multimedia systems are provided through the Internet. Because of intrinsic open characteristic on Internet, network systems need to provide the data protection and the secure authentication. So various researchers including Das, An, and Li&Hwang proposed the biometric-based user authentication scheme but they has some security weakness. To solve their problem, Li et al. proposed new scheme using fuzzy extraction, but it is weak on off-line password attack, authentication without biometrics, denial-of-service and insider attack. So, we proposed security enhanced user authentication scheme with key agreement to address the security problem of authentication schemes.

인터넷 쿠키로 인한 프라이버시 침해와 잊혀질 권리에 관한 연구

최윤성 ( Younsung Choi ),권오걸 ( Oh-geol Kwon ),원동호 ( Dongho Won ) 한국인터넷정보학회 2016 인터넷정보학회논문지 Vol.17 No.2

인터넷 쿠키은 HTTP에 내재된 비연결성 문제를 해결하고 인터넷 서버에서 사용자의 상태를 파악할 수 있게 하여, 사용자에게 적합한 서비스를 제공할 수 있게 해주는 유용한 기술이다. 하지만 제 3자 쿠키와 슈퍼 쿠키와 같이 인터넷 쿠키 기술이 보다 정교해지고 쿠키에 포함시킬 수 있는 정보를 이용하여 광고나 타깃 마케팅에 응용하게 되면서, 사용자 개인의 다양한 정보가 과도하게 수집되는 문제가 발생하고 있다. 하지만 쿠키 정보는 우리 법률상에서 개인정보로 취급받고 있지 못하여, 사용자는 자신의 쿠키 데이터에 어떠한 정보가 저장되고 있는지 혹은 어디에 응용되는지 명확히 확인할 수 없는 실정이다. 이에 본 논문에서는 인터넷 쿠키로 인해서 발생하고 있는 문제를 해결하기 위해서, 먼저 인터넷 쿠키에 대해서 알아보고 이로 인해서 발생하는 프라이버시 및 잊혀질 권리에 대한 침해에 대해서 살펴본다. 그리고 인터넷 쿠키 정보와 법률상의 개인정보와의 관계에 대해서 분석하고, 이를 통하여 인터넷을 편리하게 이용하기 위해, 인터넷 쿠키를 안전하게 사용하기 위한 필요한 기술상 및 법률상의 개선사항에 대해서 알아본다. Internet cookie technology is designed for solving unreliable problem of HTTP`s inherent property and notifying user`s previous activity to web site`s server, so it is useful to provide suitable service for individual user. However, the cookie techniques are becoming more sophisticated such as the third cookie and super cookie. And its included information is applied for advertisement and target marketing strategy, so the problem occurs that user`s personal information is collected excessively. However, our law does not recognize the internet cookie as personal information so user cannot know where own internet cookie is stored and applicable. Therefore, in this paper, we explain the internet cookie technology, the privacy invasion and right to be forgotten for solving problem due to the internet cookie. And we analysis the relationship between the information of internet cookie and personal information, and then present the improvement requirement on the law and technology to use internet cookie securely and conveniently.

Security Enhanced Anonymous Two Factor Mutual Authentication Scheme with Key Agreement

Younsung Choi(최윤성) 한국디지털콘텐츠학회 2018 한국디지털콘텐츠학회논문지 Vol.19 No.12

주민등록번호 대체수단에 대한 구현 취약점 분석

최윤성(Younsung Choi),이윤호(Yunho Lee),김승주(Seungjoo Kim),원동호(Dongho Won) 한국정보보호학회 2007 정보보호학회논문지 Vol.17 No.2

주민등록번호는 공공기관뿐만 아니라 민간분야에서도 개인의 신원확인을 위해 사용되고 있다. 뿐만 아니라 주민등록번호는 인터넷 웹사이트에 회원가입을 할 때 필수적으로 요구되는 사항이다. 인터넷상에 개인의 주민등록번호와 이름이 유포돼 오남용 문제가 심각해짐에 따라, 정보통신부의 계획에 의거 현재 5개의 주민등록번호 대체수단을 통합한 I-PIN(Internet Personal Identification Number) 서비스를 시행 중이다. 이에 본 논문에서는 현재 운영 중인 5개의 I-PIN 서비스를 분석하여 이들 각각의 구현 취약점에 대해 알아본다. 그리고 실제로 회원 가입 시 I-PIN 서비스를 이용하는 17개의 홈페이지를 분석한 후, I-PIN 서비스의 전체적인 문제점을 파악하고 그에 대한 대책을 제시한다. A resident registration number is used to confirm and prove his/her identity in a government/non-governmental agency. It is a essential requirement to become the registered member on internet website in Korea. It is serious problem that the resident registration number and name are outflowed in internet and misused by others. So the MIC(Ministry of Information and Communication) in Korea plans and operates the identification system using I-PIN that integrate 5 alternative methods of resident registration number. In this paper, we analyze the problem about the method of 5 I-PIN services and show the security analysis on the implementation vulnerabilities of I-PIN services. we also analyze 17 websites that provides identification system using I-PIN. Finally, we analyze the overall problem of I-PIN service and propose the countermeasure about the problem.

현행 증거법에 적합한 디지털 포렌식 절차

이광열(Kwangyul Lee),최윤성(Choi Younsung),최해랑(Haelahng Choi),김승주(Seungjoo Kim),원동호(Dongho Won) 한국정보보호학회 2008 情報保護學會誌 Vol.18 No.3

디지털 매체의 증가로 인해 범죄의 상당한 부분이 디지털매체로 이루어지고 있다. 따라서 디지털 증거는 수사, 재판과정에서 그 중요도가 점차 증가하고 있다. 그러나 형사소송법은 증거의 일반적인 규정만 하고 있을 뿐 디지털 증거에 관해서는 따로 규정하고 있지 않다. 또한 디지털 포렌식 절차에 대한 대부분의 연구는 범죄수사의 시간의 흐름에 따른 연구만 이루어질 뿐, 궁극적으로 법정에서 증거로 사용되기 위해 어떠한 절차를 따라야 하는지에 대한 연구는 이루어지지 않고 있다. 따라서, 현행 증거법에 맞게 디지털 포렌식 절차를 연구할 필요가 있다. 본 논문에서는 현행 증거법의 내용을 분석하고 현행 증거법에 적합한 디지털 포렌식 절차를 소개한다.

소셜 네트워크에서 원거리 노드를 고려한 동적 사용자 신뢰도 평가 스킴

김영웅(Youngwoong Kim),최윤성(Younsung Choi),권근(Keun Kwon),전웅렬(Woongryul Jeon),원동호(Dongho Won) 한국정보보호학회 2014 정보보호학회논문지 Vol.24 No.2

소셜 네트워크 서비스는 인터넷상에서 다른 사람들과 친구 또는 사회적 관계를 맺을 수 있는 양방향 서비스로써 개방성을 바탕으로 인적 교류 네트워크의 중심이 되었다. 그러나 최근에는 개방성을 악용하여 신뢰할 수 없는 유언비어가 확산되고 개인 정보를 침해하는 다양한 공격으로 인해 여러 사용자들이 피해를 보는 사례가 발생하였다. 따라서 소셜네트워크상에서의 정보는 신뢰할 수 있는 사람에게 전달하거나 혹은 제공 받을 수 있어야 한다. 최근의 신뢰도 연구에서는 사용자와 밀접한 한 홉 사이를 기반으로 한 신뢰도 평가방법들이 주로 제시되었다. 그러나 소셜 네트워크의 교류가 기존의 시공간성이 갖는 제약을 넘어서고 사용자도 큰 폭으로 늘어나면서 한 홉 사이뿐 아니라 여러 홉 사이에서의 교류 역시 최근에 많이 증가하고 있다. 이러한 흐름에 맞춰 본 논문에서는 전이성 및 결합성을 이용하여 원거리에서도 신뢰도 평가가 가능한 효과적인 사용자 신뢰도 평가 스킴을 제안한다. The social network service is the bidirectional media that many users can build relations not only friends but also other people. However, a process to approach in the social network is so simple that untrustable information, which malignant users make, is spreaded rapidly in many the social network uses. This causes many users to suffer material or psychological damages. Because of openness in the social network, there will be higher risk of the privacy invasion. Therefore, sensitive information should be transferred or provided only to reliable users. In general, because many users exchange among one hops, many researches have focused on one hop’s trust evaluation. However, exchanges between users happen not only one joint bridege but also far nodes more than two nodes on account of dense network and openness. In this paper we propose the efficient scheme combining transitivity and composability for remote users.

디지털 포렌식 관점에서의 구글 드라이브 사용자 행위 이력 수집 및 분석

오지은(Jieun Oh),최윤성(Younsung Choi) 한국정보통신학회 2023 한국정보통신학회 종합학술대회 논문집 Vol.27 No.1

클라우드 컴퓨팅을 위한 안전한 속성기반 인증 기법

문종호(Jongho Moon),최윤성(Younsung Choi),원동호(Dongho Won) 한국정보과학회 2016 정보과학회 컴퓨팅의 실제 논문지 Vol.22 No.8

클라우드 컴퓨팅 서비스는 개별 사용자가 자원을 서로 공유하고 가상화 기술 등을 적용하여 기존의 컴퓨팅 환경과는 다른 특성을 가지고 있다. 이러한 특성으로 인해 클라우드 컴퓨팅 환경에 적합한 사용자 식별·접근제어 기술 및 보안 통제 사항 등이 요구된다. 최근 Yoo는 안전한 클라우드 컴퓨팅을 위한 속성기반 접근제어를 이용한 새로운 인증 기법을 제안하였다. 해당 기법은 속성이라는 개념을 이용하여 클라우드 자원에 대한 안전한 접근을 제공한다. 그러나 Yoo의 기법은 악의적인 서비스 제공자에 의해 인증서버의 비밀키 해시 값이 유출될 수 있는 취약점을 가지고 있으며 이를 이용한 서비스 제공자 공격을 통해 인증 요청 메시지 공격이 가능하다. 본 논문에서는 Yoo가 제안한 기법이 가진 취약점을 개선하여 클라우드 컴퓨팅을 위한 안전하고 효율적인 속성기반 인증 기법을 제안하고자 한다. Cloud computing services have different characteristics from the traditional computing environment such as resource sharing, virtualization, etc. These characteristics of cloud computing environment necessitate specific properties such as user identify, access control, security control property, etc. Recently, Yoo proposed an attribute-based authentication scheme for secure cloud computing. However, Yoo’s authentication scheme is vulnerable to customer attack and an adversary can modify the authentication request message. In this paper, we propose a secure and efficient attribute-based authentication scheme for cloud computing based on Yoo’s scheme.

네이트온 메신저의 사용자 인증 메커니즘에 대한 취약점 분석

신동휘(Donghwi Shin),최윤성(Younsung Choi),박상준(Sangjoon Park),김승주(Seungjoo Kim),원동호(Dongho Won) 한국정보보호학회 2007 정보보호학회논문지 Vol.17 No.1

네이트온 메신저는 국내에서 가장 많은 사용자를 확보하고 있는 메신저이다. 메신저는 메일, 쪽지, 싸이월드 그리고 SMS 서비스 등의 많은 기능을 제공하고 있다. 본 논문에서는 네이트온 메신저 프로그램의 인증 트래픽을 분석하여 악의적으로 획득한 개인 인증 정보를 재전송 공격함으로써 이를 통해 공격자가 불법적으로 인증될 수 있다는 것을 설명한다. 또한 네이트온 메신저 이외에 타 국내 메신저들 또한 이와 유사한 방법으로 공격될 수 있음을 보인다. Nateon Messenger, which has the most number of users in Korea, supports many services such as E-mail, note, Cyworld, SMS, etc. In this paper, we will analyse the authentication traffic which is transmitted and received by the Nateon Messenger. Through performing the replay attack with the authentication information, we will show that an attacker can be authenticated illegally. Furthermore, we will show that other domestic messengers have similar security problems.

보안 USB 플래시 드라이브의 취약점 분석과 CC v3.1 기반의 보호프로파일 개발

정한재(Hanjae Jeong),최윤성(Younsung Choi),전웅렬(Woongryul Jeon),양비(Fei Yang),김승주(Seungjoo Kim),원동호(Dongho Won) 한국정보보호학회 2007 정보보호학회논문지 Vol.17 No.6

USB 플래시 드라이브는 대용량의 데이터 저장이 가능하고 데이터의 전송속도도 빠르며, 또한 휴대가 간편하여 휴대용 저장장치로서 널리 이용되고 있다. 그러나 보안 기능이 없는 USB 플래시 드라이브는 사용 중에 분실하면 저장되어 있는 모든 정보가 노출될 수 있는 문제점이 있다. 이를 보완하고자 접근제어 기능이 있는 USB 플래시 드라이브가 개발되었다. 본 논문에서는 6가지의 보안 USB 플래시 드라이브의 접근제어 프로그램을 분석하며, 접근제어용 비밀번호가 USB 통신과정에서 노출되는 취약점과 초기화 기능의 악용에 관한 취약점을 보인다. 이를 바탕으로 공통평가기준 3.1기반의 보안 USB 플래시 드라이브 보호프로파일을 개발하고, 6 가지 보안 USB 플래시 메모리 제품에서 발생 가능한 위협과 보호프로 파일에서 도출한 보안목적의 제공 여부를 살펴본다. The USB flash drive is common used for portable storage. That is able to store large data and transfer data quickly and carry simply. But when you lose your USB flash drive without any security function in use, all stored data will be exposed. So the new USB flash drive supported security function was invented to compensate for the problem. In this paper, we analyze vulnerability of 6 control access program for secure USB flash drives. And we show that exposed password on communication between secure USB flash drive and PC. Also we show the vulnerability of misapplication for initialization. Further we develop a protection profile for secure USB flash drive based on the common criteria version 3.1. Finally, we examine possible threat of 6 secure USB flash drives and supports of security objectives which derived from protection profile.