[논문 리뷰] The German eID as an Authentication Token on Android Devices

Florian Otterbein, Tim Ohlendorf외 1명|arXiv (Cornell University)|2017. 01. 15.

Advanced Malware Detection Techniques참고 문헌 5인용 수 3

한 줄 요약

이 논문은 물리적 신분증 카드나 카드 리더기가 필요 없이 안드로이드 기기에서 독일 전자신분증(eID)을 모바일 인증 토큰으로 사용하는 새로운 접근법을 제시한다. 안드로이드의 보안 요소와 암호화 프로토콜을 활용함으로써 시스템은 안정적인 인증을 가능하게 하며, 보안 평가 결과 비중요한 취약점 두 개가 발견되었으며, 기술적 과제가 존재하지만 개념 증명을 통해 실현 가능성은 입증되었다.

ABSTRACT

Due to the rapid increase of digitization within our society, digital identities gain more and more importance. Provided by the German eID solution, every citizen has the ability to identify himself against various governmental and private organizations with the help of his personal electronic ID card and a corresponding card reader. While there are several solutions available for desktop use of the eID infrastructure, mobile approaches have to be payed more attention. In this paper we present a new approach for using the German eID concept on an Android device without the need of the actual identity card and card reader. A security evaluation of our approach reveals that two non-critical vulnerabilities on the architecture can't be avoided. Nevertheless, no sensitive information are compromised. A proof of concept shows that an actual implementation faces some technical issues which have to be solved in the future.

연구 동기 및 목표

• 물리적 신분증 카드나 카드 리더기가 필요 없이 안드로이드 기기에서 독일 eID 인fra구조를 사용해 모바일 인증을 가능하게 하는 것.
• 현재 데스크톱 솔루션에 의존하고 있는 독일 eID 시스템의 네이티브 모바일 지원 부족 문제를 해결하는 것.
• 실제 안드로이드 환경에서 모바일 eID 인증 솔루션의 보안성과 실현 가능성을 평가하는 것.
• 제안된 모바일 인증 아키텍처에 존재하는 아키텍처적 취약점을 특정하고 분석하는 것.

제안 방법

• 시스템은 암호화 키를 저장하고 연산을 수행하기 위해 안드로이드의 보안 요소를 사용하며, 물리적 카드 리더기의 동작을 에뮬레이트한다.
• 보안 안드로이드 애플리케이션 내부에서 독일 eID의 표준 암호화 프로토콜(예: PKCS#11 및 APDU 명령어)을 구현한다.
• eID의 디지털 자격 증명을 사용해 안드로이드 기기와 원격 서비스 간 상호 인증을 가능하게 한다.
• 개념 증명 구현을 통해 보안 채널 통신을 통한 인증 요청 및 응답의 흐름을 시연한다.
• 시스템 아키텍처에 대한 위협 모델링과 취약점 분 析을 통해 보안 평가를 수행한다.
• 구현 과정에서 보안 요소 접근 제한 및 OS 수준의 제약 등 기술적 과제를 식별한다.

실험 결과

연구 질문

• RQ1 물리적 신분증 카드나 카드 리더기가 없이도 독일 eID 인fra구조가 안드로이드에서 모바일 인증에 효과적으로 적용될 수 있는가?
• RQ2 eID 시스템의 모바일 적응 과정에서 발생하는 주요 아키텍처적 취약점은 무엇인가?
• RQ3 제안된 모바일 솔루션의 보안성은 기존 데스크톱 기반 eID 모델과 비교해 어떻게 되는가?
• RQ4 안드로이드에서 완전 기능을 갖춘 모바일 eID 솔루션의 구현을 방해하는 주요 기술적 제약은 무엇인가?
• RQ5 개념 증명 구현을 통해 실제 안드로이드 환경의 제약 조건 하에서 실현 가능한 인증 흐름을 입증할 수 있는가?

주요 결과

• 제안된 시스템은 보안 요소와 소프트웨어 구성 요소만을 사용해 안드로이드 기기에서 eID 기반 인증을 성공적으로 구현하며, 물리적 카드 리더기가 필요 없음을 입증했다.
• 시스템 아키텍처에서 비중요한 취약점 두 개가 발견되었으며, 이는 민감한 데이터 泄露나 인증 우회를 유도하지는 않았다.
• 개념 증명을 통해 표준 eID 프로토콜을 사용해 원격 서비스와 안정적인 인증 세션을 설정할 수 있음을 확인했다.
• 보안 요소 접근 제한 및 안드로이드의 권한 모델 등 기술적 과제가 구현의 안정성과 성능에 상당한 영향을 미친다.
• 이러한 과제에도 불구하고 시스템은 강력한 암호화 보장을 유지하며 사용자 자격 증명의 기밀성과 무결성을 손상시키지 않는다.