비밀번호 훔쳐보기로부터 안전한 기술을 내장시킨 비밀번호 입력기의 설계 및 구현 = Design and Implementation of Pinpad using Secure Technology from Shoulder Surfing Attack

다국어 초록 (Multilingual Abstract)

When entering the PIN(personal identification number), the greatest security threat is shoulder surfing attack. Shoulder surfing attack is watching the PIN being entered from over the shoulder to obtain the number, and it is the most common and at the same time the most powerful security threat of stealing the PIN. In this paper, a psychology based PINpad technology referred to as DAS(Dynamic Authentication System) that safeguards from shoulder surfing attack was proposed. Also, safety of the proposed DAS from shoulder surfing attack was tested and verified through intuitive viewpoint, shoulder surfing test, and theoretical analysis. Then, a PINpad with an internal DAS that was certified for its safety from shoulder surfing attack was designed and produced. Because the designed PINpad significantly decreases the chances for shoulder surfing attackers being able to steal the PIN when compared to the ordinary PINpad, it was determined to be suitable for use at ATM(automated teller machine)s operated by banks and therefore has been introduced and is being used by many financial institutions.

국문 초록 (Abstract)

비밀번호를 입력하는 과정에서 가장 큰 보안 위협은 비밀번호를 훔쳐보는 것이다. 비밀번호 훔쳐보기는 비밀번호를 입력하는 과정을 옆에서 지켜보고 비밀번호를 획득하려고 하는 행위로서 비밀번호를 획득하는 가장 전통적인 방법이며 강력한 보안 위협이다. 본 논문에서는 인지심리학에 기초한 비밀번호 훔쳐보기로부터 안전한 기술인 역동 인증 체계(DAS)라 불리는 비밀번호 입력 기술을 제안하였다. 그리고 제안한 역동 인증 체계의 비밀번호 훔쳐보기에 대한 안전성을 직관적인 관점, 훔쳐보기 실험, 이론적인 분석으로 구분하여 검증하였다. 비밀번호 훔쳐보기로부터 안정성이 입증된 역동 인증 체계를 내장시킨 비밀번호 입력기를 설계하여 구현하였다. 구현한 비밀번호 입력기는 일반 패스워드 입력방식 보다 훔쳐보기 공격자의 비밀번호 획득 확률을 현저하게 낮출 수 있으므로 은행에서 운영하는 금융자동화기기에 적용 및 운영되기에 적합한 것으로 평가를 받아 금융기관에서 도입하여 활용되고 있다.

참고문헌 (Reference)

1 박승배, "타인의 관찰에 의한 패스워드 노출로부터 안전한 패스워드 시스템" 한국정보처리학회 10 (10): 141-144, 2003

2 소리나무미디어, "일회용 비밀번호 생성 및 해석 방법"

3 금융감독원, "영국의 인터넷뱅킹 관련 사기 피해 증가" 43-44, 2006

4 (주)비원플러스, "리듬패스 & 참아이디"

5 박승배, "디지털 지문 이미지를 잡음원으로 사용하는 안전하고 효율적인 난수 생성기" 한국정보처리학회 10 (10): 541-546, 2003

6 Wikipedia, "the free encyclopedia"

7 Nebojsa Jojic, "image based password systems"

8 Lei, M, "Virtual password using random linear functions for on-line services,ATM machines,and pervasive computing" 31 (31): 4367-4375, 2008

9 Park, S.B, "User authentication protocol based on human memorable password and using ECC" 3032 : 1091-1094, 2004

10 Jablon,P.D, "Strong password-only authenticated key exchange" 26 (26): 5-20, 1996

11 TTA(Telecommunications Technology Association), "Standard of Contact Type IC Card Terminal"

12 Manu Kumar, "Reducing Shoulder-surfing by Using Gaze-based Password Entry" 13-19, 2007

13 Halevi, S, "Public-key cryptography and password protocols" 122-131, 1998

14 Halevi, S, "Public-key cryptography and password protocols" 122-131, 1998

15 RealUser, "Passfaces: Two Factor Authentication, Graphical Password"

16 Park, S.B, "New authentication system" 3032 : 1095-1098, 2004

17 Edward K. Vogel, "Neural activity predicts individual differences in visual working memory capacity" 428 : 748-15115, 2004

18 Nemeth, Garth Snyder, "Linux Administration Handbook" Prentice Hall PTR 2006

19 D. Kirovski, "Click Passwords" 351-363, 2006

20 Park, S.B, "Authenticated key exchange protocol secure against off-line dictionary attack and server compromise" 3032 : 924-931, 2004

21 Bellovin, M.S, "Augmented encrypted key exchange:Password-based protocol secure against dictionary attack and password file compromise" 244-250, 1993

22 Alfred J. Menezes, "Applied Cryptography" CRC Press 1997

23 C.Y. Han, "An Empirical Study on the Use of POS System for Inventory Efficiency" 10 (10): 81-88, 2005

24 Li, Zhi, "An Association-Based Graphical Password Design Resistant to Shoulder-Surfing Attack" 245-248, 2005