[논문 리뷰] Authentication Without Identification using Anonymous Credential System

A. Damodaram, H. Jayasri|ArXiv.org|2009. 08. 07.

Cryptography and Data Security참고 문헌 3인용 수 3

한 줄 요약

이 논문은 사용자가 신원을 드러내지 않고도 서비스에 인증할 수 있도록 하는 익명 자격 증명 시스템을 제안한다. 이는 거래 간 연결성을 방지하는 암호학적 자격 증명을 사용한다. 신원 확인과 인증을 분리함으로써 사용자 개인정보 보호를 강화하고 온라인 서비스에서 신원 도용 위험을 줄인다.

ABSTRACT

Privacy and security are often intertwined. For example, identity theft is rampant because we have become accustomed to authentication by identification. To obtain some service, we provide enough information about our identity for an unscrupulous person to steal it (for example, we give our credit card number to Amazon.com). One of the consequences is that many people avoid e-commerce entirely due to privacy and security concerns. The solution is to perform authentication without identification. In fact, all on-line actions should be as anonymous as possible, for this is the only way to guarantee security for the overall system. A credential system is a system in which users can obtain credentials from organizations and demonstrate possession of these credentials. Such a system is anonymous when transactions carried out by the same user cannot be linked. An anonymous credential system is of significant practical relevance because it is the best means of providing privacy for users.

연구 동기 및 목표

• 온라인 인증에서 신원 도용 및 개인정보 유출 문제를 해결한다.
• 사용자가 개인 신원을 공개할 필요 없이 전자상거래에 대한 거래를 꺼리지 않도록 한다.
• 사용자가 자신의 실제 신원과 연결되지 않은 채로 자격 증명을 입증할 수 있는 시스템을 개발한다.
• 서비스 제공자가 사용자의 신원을 알지 못하면서도 사용자의 자격을 확인할 수 있도록 보장한다.
• 실용적이고 구현 가능한, 개인정보 보호를 고려한 디지털 서비스의 인증 솔루션을 제공한다.

제안 방법

• 신뢰할 수 있는 기관으로부터 자격 증명을 확보하는 암호학적 익명 자격 증명 시스템을 활용한다.
• 사용자가 자격 증명을 소지하고 있음을 신원을 폭 드러내지 않고 입증할 수 있도록 한다.
• 제로지식 증명을 적용하여 자격 증명의 유효성을 노출 없이 검증할 수 있도록 한다.
• 각 거래가 동일 사용자에 의해 수행되더라도 다른 거래와 연결될 수 없도록 시스템을 설계한다.
• 자격 증명 발급 및 검증 프로세스가 기존 웹 인프라와 호환되며 효율적이도록 보장한다.
• 표준 암호학적 원리를 활용하여 보안성을 유지하면서도 실용적인 구현을 지원한다.

실험 결과

연구 질문

• RQ1 사용자의 신원을 드러내지 않고 온라인 인증을 수행할 수 있는 방법은 무엇인가?
• RQ2 동일 사용자가 수행한 거래가 서로 연결되지 않도록 보장할 수 있는 암호학적 메커니즘은 무엇인가?
• RQ3 사용성과 개인정보 보호를 균형 있게 유지할 수 있는 실용적인 익명 자격 증명 시스템을 설계할 수 있는가?
• RQ4 이러한 시스템이 전자상거래에서 신원 도용 위험을 어느 정도 줄일 수 있는가?
• RQ5 서비스 제공자가 사용자의 신원을 알지 못하면서도 사용자의 자격을 어떻게 확인할 수 있는가?

주요 결과

• 제안된 익명 자격 증명 시스템은 인증과 신원 확인을 성공적으로 분리하여 사용자 개인정보 보호를 크게 향상시켰다.
• 동일 사용자가 수행한 거래는 서비스 제공자조차도 서로 연결할 수 없으며, 강력한 연결성 방지 기능을 확보했다.
• 이 시스템은 이름이나 계좌 번호와 같은 개인 정보를 공개하지 않고도 사용자가 서비스 자격이 있음을 입증할 수 있도록 했다.
• 인증 과정에서 신원 정보를 공유할 필요가 없어지므로 신원 도용 위험을 줄이는 데 기여했다.
• IEEE 준수 구현 사례를 통해 기존 웹 기반 서비스와의 호환성이 입증되었으며 실용적인 시스템임을 입증했다.
• 이 솔루션은 개인정보 보호와 보안을 동시에 지원하여 사용자에게 더 안전하고 신뢰할 수 있는 온라인 거래 환경을 제공한다.