[논문 리뷰] A Multi-Factor Security Protocol for Wireless Payment - Secure Web Authentication using Mobile Devices

Ayu Tiwari, Sudip Sanyal외 3명|arXiv (Cornell University)|2011. 11. 13.

IPv6, Mobility, Handover, Networks, Security참고 문헌 15인용 수 54

한 줄 요약

이 논문은 기존 무선 네트워크 인프라를 수정하지 않고도 양방향 인증을 가능하게 하며, 전통적인 ID/비밀번호와 SMS를 통해 전송되는 거래 식별 코드(TIC)를 결합함으로써 보안성과 사용자 편의성을 향상시키는 무선 결제를 위한 다중 요인 인증 프로토콜을 제안한다. 이 프로토콜은 경량이며 구현 가능한 솔루션을 제공하여 모바일 기기에서 웹 액세스를 보다 안전하게 구현한다.

ABSTRACT

Previous Web access authentication systems often use either the Web or the Mobile channel individually to confirm the claimed identity of the remote user. This paper proposes a new protocol using multifactor authentication system that is both secure and highly usable. It uses a novel approach based on Transaction Identification Code and SMS to enforce extra security level with the traditional Login/password system. The system provides a highly secure environment that is simple to use and deploy, that does not require any change in infrastructure or protocol of wireless networks. This Protocol for Wireless Payment is extended to provide two way authentications.

연구 동기 및 목표

• 무선 결제 시스템에서 단일 요인 웹 인증의 보안 한계를 해결하기 위해.
• 실제 모바일 환경에서의 사용성과 구현 가능성 향상을 위해.
• 기존 네트워크 프로토콜을 변경하지 않고도 사용자와 웹 서비스 간 강력한 상호 인증을 제공하기 위해.
• 피싱 및 재생 공격을 방지하기 위해 SMS 기반 거래 코드를 제2의 인증 요소로 통합하기 위해.
• 모바일 웹 트랜잭션에서 종단 간 보안을 확보하기 위해 프로토콜을 양방향 인증으로 확장하기 위해.

제안 방법

• 프로토콜은 서버 측에서 생성된 거래 식별 코드(TIC)를 사용자의 모바일 기기로 SMS로 전송한다.
• 사용자는 로그인 및 비밀번호와 함께 TIC를 입력하여 인증를 완료한다.
• 시스템은 상호 인증을 수행한다: 서버는 TIC를 검증하고, 클라이언트는 챌린지-응답 메커니즘을 사용하여 서버의 신원을 확인한다.
• 프로토콜은 표준 웹 프로토콜을 기반으로 작동하며, 무선 네트워크 인프라나 클라이언트 소프트웨어에 대한 변경 사항이 필요하지 않다.
• TIC는 시간 및 트랜잭션에 따라 특정되므로 재생 공격을 방지할 수 있다.
• 기존 웹 인증 시스템과의 후행 호환성을 지원한다.

실험 결과

연구 질문

• RQ1 무선 결제 시스템을 위한 경량이며 안전하고 사용자 친화적인 다중 요인 인증 프로토콜을 어떻게 설계할 수 있는가?
• RQ2 기존 인프라 변경 없이 SMS 기반 TIC가 기존 로그인/비밀번호 시스템의 보안을 효과적으로 향상시킬 수 있는가?
• RQ3 최소한의 사용자 불편을 유발하면서도 모바일 웹 환경에서 양방향 인증을 어떻게 달성할 수 있는가?
• RQ4 TIC의 사용이 피싱 및 세션 해킹과 같은 일반적인 웹 기반 공격에 대한 저항력에 어떤 영향을 미치는가?
• RQ5 기존 모바일 및 웹 기술과 함께 실제 환경에서 프로토콜을 구현할 수 있는가?

주요 결과

• 서버 측에서 생성된 시간에 민감하고 한 번만 사용 가능한 TIC를 SMS로 전송하는 방식으로 보안성이 효과적으로 향상된다.
• 시스템은 양방향 인증을 지원하여 사용자와 서비스 모두를 위조 공격으로부터 보호한다.
• 기존 무선 네트워크 인프라나 웹 프로토콜에 대한 변경 사항이 없어 쉽게 배포할 수 있다.
• 광범위하게 이용 가능한 SMS와 표준 웹 인터페이스에 의존함으로써 사용성 유지가 가능하다.
• 비밀번호 전용 시스템에 비해 피싱 및 재생 공격의 위험성이 크게 감소한다.
• 기존 모바일 및 웹 기술과의 호환성 덕분에 실생활 무선 결제 응용 분야에 실용적으로 적용 가능하다.