[논문 리뷰] A Secure Method for Signing in Using Quick Response Codes with Mobile Authentication

Kalpesh Adhatrao, Aditya Gaykar외 2명|arXiv (Cornell University)|2013. 10. 15.

User Authentication and Security Systems참고 문헌 2인용 수 4

한 줄 요약

이 논문은 신뢰할 수 없는 디바이스에서 자격 증명 유출을 방지하기 위해 빠른 응답(QR) 코드와 모바일 인증을 사용하는 보안 로그인 방법을 제안한다. 시간 제한이 있는 QR 코드를 생성하여 암호화 서명된 세션 토큰을 포함시키고, 사용자는 신뢰할 수 있는 모바일 디바이스를 통해 인증함으로써 키로거 위험을 제거하고, 손상된 터미널에서도 안전한 액세스를 가능하게 한다.

ABSTRACT

The emerging threats to user privacy over the internet are increasing at an alarming rate. Signing in from an unreliable terminal into a web account may result in compromising private details of a user such as username and password, by means of keylogger software. Such software are capable of recording keystrokes secretly, via covert channels without the knowledge of the user. In this paper we propose a secure method for signing in using Quick Response (QR) codes with mobile authentication. Through this method, the user can securely sign-in into a web account by authenticating the user session on an unreliable terminal browser, using a mobile device.

연구 동기 및 목표

• 웹 로그인 중 신뢰할 수 없는 터미널에서 키로거를 통한 자격 증명 유출 증가 추세를 해결하기 위해.
• 불안정한 디바이스에서 웹 계정에 액세스할 때 사용자명과 암호가 노출되는 위험을 완화하기 위해.
• 모바일 디바이스를 신뢰할 수 있는 제2요소로 활용하는 가벼운, 사용자 우호적인 인증 메커니즘을 제공하기 위해.
• 클라이언트 터미널의 무결성에 의존하지 않고도 세션 설정에 대한 엔드 투 엔드 보안을 확보하기 위해.

제안 방법

• 고유한 세션 토큰과 챌린지를 포함한 시간 제한이 있고 암호화 서명된 QR 코드를 생성하기 위해.
• 로그인 시작 시, 신뢰할 수 없는 터미널 브라우저에 QR 코드를 표시하기 위해.
• 사용자가 신뢰할 수 있는 모바일 애플리케이션을 사용해 QR 코드를 스캔할 수 있도록 허용하기 위해.
• 공유 비밀번호 또는 공개키 인fra구조를 사용해 모바일 디바이스에서 서명된 토큰을 검증하기 위해.
• 성공적인 검증 후 웹 서버와 모바일 디바이스 간에 세션 상태를 동기화하기 위해.
• 사전 정의된 타임아웃 또는 단일 사용 제한 후 세션을 종료하거나 토큰을 무효화하기 위해.

실험 결과

연구 질문

• RQ1 QR 코드 기반 인증이 신뢰할 수 없는 터미널에서 키로거 공격을 효과적으로 방지할 수 있는가?
• RQ2 추가 하드웨어 없이 모바일 디바이스를 신뢰할 수 있는 제2요소로 활용할 수 있는가?
• RQ3 시간 제한이 있는 토큰이 세션 보안과 사용성에 미치는 영향은 무엇인가?
• RQ4 제안된 방법이 가벼운 부담과 기존 시스템에의 배치 가능성을 유지하면서도 강력한 인증을 유지할 수 있는가?

주요 결과

• 제안된 방법은 신뢰할 수 없는 터미널에서 자격 증명을 입력할 필요가 없어지므로 키로거 공격을 성공적으로 방지한다.
• 시간 제한이 있고 암호화 서명된 토큰의 사용으로, 조작된 QR 코드가 재사용되는 것을 방지한다.
• 모바일 디바이스 인증은 전용 하드웨어나 복잡한 설정 없이도 강력한 제2요소를 제공한다.
• QR 코드 스캔 후 최소한의 사용자 상호작용으로 안전한 세션 설정을 달성한다.
• 기존 웹 인fra구조와 호환되며 표준 인증 프로토콜과 통합될 수 있다.
• 해당 솔루션은 실용적 타당성과 기존의 신뢰할 수 없는 디바이스에서의 전통적 암호 입력 방식보다 향상된 보안성을 입증한다.