사용자 인증

사용자 인증 방법

유형	설명	예
Type 1 (지식)	주체 본인이 알고 있는 것 (Something you know)	패스워드, PIN
Type 2 (소유)	주체 본인이 가지고 있는 것 (Something you have)	토큰, OTP
Type 3 (존재)	주체 본인을 나타내는 것 (Something you are)	생체인증

 

 

영지식 증명 기법

- 완전성(Completeness) : 어떤 문장이 참이면, 정직한 증명자는 정직한 검증자에게 이 사실을 납득시킬 수 있어야 한다.

- 정당성(Soundness) : 어떤 문장이 거짓이면, 어떠한 부정직한 증명자라도 정직한 검증자에게 이 문장이 사실이라고 납득시킬 수 없어야 한다.

- 영지식성(Zero-knowledgeness) : 어떤 문장이 참이면, 검증자는 문장의 참 거짓 이외에는 아무것도 알 수 없어야 한다.

 

 

부채널 공격(Side Channel Attack)

- 공격 대상 통신 기기가 작동하고 있을 때 사용하는 소비 전력 또는 방사되는 전자파 정보 등을 이용하여 통신 기기 내부에 있는 암호키와 같은 중요한 정보를 알아내는 공격.

- 하드웨어적인 공격 기법이며, 전력분석, 시차분석, 전자파분석 등의 공격이 있다.

 

 

OTP(One Time Password) 생성 및 인증방식

① 동기식 방식

- OTP 생성매체가 일정 시간마다 비밀번호를 자동으로 생성하는 형태로 시간을 기준값으로 하여 OTP 생성매체와 OTP 인증서버가 동기화 된다.

 

② 비동기식 방식

- 비동기화 방식(챌린지-응답 방식)은 서버에서 난수 생성 등을 통해 임의의 수를 생성하고 클라이언트에 그 값을 전송하면, 클라이언트가 그 값으로 OTP를 생성해 응답한 값으로 인증하는 방식이다.

- 입력값이 매번 임의의 값이 된다는 측면에서는 안전성을 갖추고 있지만 네트워크 모니터링에 의해 전송되는 값이 노출될 경우 매우 취약해진다는 단점이 있다.

- 서버와 클라이언트 사이의 통신 횟수도 비교적 많이 요구된다.

 

③ S/KEY 방식

- 유닉스 계열 운영체제 인증에 사용되고 있으며 생성알고리즘은 다음과 같다.

- Client에서 정한 임의의 비밀키를 Server로 전송한다.

- Client로부터 받은 비밀키를 첫 값으로 사용하여 해시 체인 방식으로 이전 결과 값에 대한 해시값을 구하는 작업을 n번 반복한다.

- 생성된 n개의 OTP를 Server에 저장한다.

 

 

생체 인증 특징

오거부율 FRR(False Rejection Rate)

- 인식되어야 할 사람이 인식되지 않은 비율

 

오인식율 FAR(False Acceptance Rate)

- 인식되어서는 안 될 사람이 인식된 비율

 

교차 오류율 CER(Crossover Error Rate)

- FRR과 FAR이 일치하는 지점

- 낮을수록 정확하다.

 

보안성이 높을 경우 FRR 증가, FAR 감소

편의성이 높을 경우 FAR 증가, FRR 감소