모바일 환경에서 바이오정보를 이용한 패스워드 없는 안전한 전자서명 기법 = A Non-Password Secure Biometric Digital Signature Method for Mobile Device

국문 초록 (Abstract)

최근, 사용자 PC에 설치된 악성코드로 인해 사용자의 인증서와 개인키 파일 및 관련 전자금융정보가 유출되는 사고가 빈번하게 발생하고 있다. 2011년 이후 지속적인 인증서 유출사고로 인해 2015년 8월 기준으로 약 7만 810건의 공인인증서가 해킹된 것으로 집계되고 있다. 또한, 사용자들이 기억하기 쉽고 입력이 편리한 비밀번호를 사용함에 따라 유출된 개인키는 비밀번호 검출공격에 의해 복호화 되어 불법적으로 사용될 수 있는 취약점이 존재한다.
이에 본 논문에서는 공인인증서 유출문제 및 암호화된 개인키의 비밀번호 검출공격에 안전한 전자서명 기법을 제안한다. 기존 공인인증서 유출문제를 해결하기 위해 모바일 환경에서 바이오정보로 암호화된 공인인증서 개인키를 안전한 저장소에 저장하고, 인증 및 전자서명은 보안실행환경에서 안전하게 수행되도록 설계하였다. 또한, 암호화된 개인키에 대한 비밀번호 검출공격에 대비하여 지문의 특징 정보를 바이오템플릿으로 변환하여 개인키를 암호화하는데 사용한다. 그리고 글로벌 인증기술 표준인 FIDO와 국내 공인인증 체계를 화학적으로 융합함에 따라 FIDO 지원 단말에서 제공하는 다양한 인증기법들을 공인인증서와 연동할 수 있도록 확장성 있는 프레임워크를 제시하였다.
제안한 기법은 사용자에게는 복잡한 패스워드를 기억하지 않아도 되는 편리함을 주는 동시에 무작위공격과 유출에는 강력한 안전성을 제공한다. 기존 패스워드로 사용 가능한 문자는 숫자, 영문 대/소문자, 특수문자로서 총 92가지이며 10자리 길이로 구성된 문자열을 비밀번호로 사용한다면 총 9210(≈265.2356)가지의 경우의 수를 가지며, 이는 비밀번호에 대한 엔트로피가 약 65비트임을 확인할 수 있었다. 또한 상기의 방식은 약 265회의 암호화를 수행하고 슈퍼컴퓨터로 복호화하는데 약 180년의 시간이 소요됨을 알 수 있었다. 지문을 이용한 개인키 암호화 방식은 지문의 특징점 하나당 특징점의 유형, 각도, x, y 좌표를 저장하고 있어 하나의 특징점이 갖는 엔트로피는 약 26 비트이며, 제안 기법에서는 56개의 특징점을 추출하고 있으므로 약 1,480의 엔트로피를 확인할 수 있었다. 이는 약 2256회의 암호화를 수행하고 슈퍼컴퓨터로 복호화하려면 약 2198년의 시간이 소요됨을 알 수 있다. 또한, 모바일 내 지문인식장치와 안전한 저장소에 바이오정보와 암호화된 개인키를 저장함으로서 사용자의 주요 정보에 대한 유출을 근본적으로 방지한다.

다국어 초록 (Multilingual Abstract)

Recently, due to the malicious codes installed in users’ PCs, users’ certificates and private key files and related electronic financial information are leaked quite frequently. Due to the continuous leakage of certificates since 2011, as of August 2015, about 70,810 public-key certificates were hacked. Also, as users tend to use easy-to-remember and easy-to-enter passwords, the leaked private keys are likely to be decrypted by password cracking attacks and illegally used.
Accordingly, this paper proposes a safe digital signature technique that can address the leakage of public-key certificates and the password cracking attacks against encrypted private keys. To solve the existing issue of the leakage of public-key certificates, the private keys of public-key certificates encrypted with bio information in the mobile environment will be saved in the secure element (SE), and the certification and digital signature will be securely executed in the trusted execution environment (TEE). Also, in provisions against password cracking attacks against encrypted private keys, the characteristic information of fingerprints will be converted into bio templates and use to encrypt private keys. And as FIDO (Fast IDentity Online), the global certification technology standard, and the domestic public-key certification system are chemically fused, this study proposes a scalable framework that will make the various certification techniques provided by terminals supporting FIDO interwork with public-key certificates.
The proposed technique provides users with the convenience of not having to remember complicated passwords, and a powerful security against Brute Force Attacks and leaks. The characters that can be used for existing passwords are numbers, English capital letters, English small letters and special characters, totalling 92characters. If a 10-digit character string is used as a password, there will be a total of 9210(≈265.2356) cases, and it could be confirmed that the entropy of the password is about 65 bits. In other words, the password method conducts encryption about 265 times, and it takes a super computer about 180 years to decrypt it. As the private key encryption method using bio information saves the type, angle and x-y coordinates of each fingerprint feature, the entropy of each feature is about 26 bits, and as the proposed technique extracts 56 features, it was confirmed that the entropy was about 1,480. It means that it will take about 2198 years to conduct encryption about 2256 times and decrypt it with a super computer. Also, if the bio information and the encrypted private key are saved in the fingerprint recognition system in the mobile device and a secure repository, the leakage of users’ key information will be prevented.

목차 (Table of Contents)

• 국문초록 ⅶ
• 영문초록 ⅸ
• 제 1 장 서론 1
• 1.1 연구 배경 1
• 1.2 연구 내용 및 범위 3
• 1.3 논문의 구성 4
• 제 2 장 관련연구 5
• 2.1 전자서명 기술 5
• 2.1.1 전자서명의 기본개념 5
• 2.1.2 전자서명의 동작원리 6
• 2.1.3 전자서명의 구현방법 8
• 2.2 지문 인식기술 12
• 2.2.1 지문인식 알고리즘 12
• 2.2.2 특징점 추출과정 13
• 2.2.3 지문 정합과정 15
• 2.3 글로벌 바이오 인증기술 17
• 2.3.1 FIDO 인증기술 17
• 2.3.2 FIDO 표준구성 18
• 2.3.3 FIDO 구성요소 26
• 2.4 공개키 암호 표준 30
• 2.4.1 공개키 암호 표준 현황 30
• 2.4.2 공개키 암호 표준 구성 31
• 2.4.3 패스워드 기반 키유도 함수 33
• 2.5 공인인증서의 문제점 37
• 2.5.1 공인인증서와 개인키 저장방식 37
• 2.5.2 기존 공인인증서와 개인키 저장방식의 취약점 분석 40
• 2.5.3 개인키 암호화 비밀번호 검출 취약점 42
• 제 3 장 모바일 환경에서 바이오정보를 이용한 패스워드 없는 안전한 전자서명 기법 45
• 3.1 패스워드 없는 안전한 전자서명 기법 45
• 3.1.1 패스워드 없는 안전한 전자서명 기법의 시스템 구성 45
• 3.1.2 모바일단말 환경 구성 47
• 3.2 바이오정보를 이용한 개인키 암호화 기법 49
• 3.2.1 바이오템플릿 추출방법 49
• 3.2.2 바이오정보를 이용한 개인키 암호화 기법 50
• 3.3 모바일 환경에서 인증서 관리 53
• 3.3.1 인증서 신규발급 절차 53
• 3.3.2 인증서 갱신발급 절차 57
• 3.3.3 인증서 폐지 절차 62
• 3.4 모바일 환경에서 인증서 이용 방법 66
• 3.4.1 인증서 등록 절차 66
• 3.4.2 인증 및 전자서명 절차 69
• 제 4 장 기존 패스워드 방식과 안전한 전자서명 방식에 대한 보안성 및 성능 비교·분석 73
• 4.1 보안성 및 성능 비교 대상 73
• 4.1.1 비교 대상 정의 73
• 4.2 보안성 및 성능 비교·분석 74
• 4.2.1 보안성 비교·분석 74
• 4.2.2 성능 비교·분석 81
• 4.3 보안성 및 성능 비교·분석 결과 86
• 제 5 장 결론 87
• 참고문헌 89

참고문헌 (Reference)

1 조상래, Lee, H.H., Jin, S.H., Choi, D.S., Cho, S.R., 이형효, 최대선, 진승헌, "패스워드 없는 인증기술-FIDO", 한국전자통신연구원, 전자통신동향분석, 제29권 제4호, 2014

2 강효섭, 이남일, 김학일, "“지문인식 센서 및 알고리즘 기술 동향”", 한국정보보호학회, 정보보호학회지, 제12권 제2호, pp.25-33, 2002

3 이동훈, 임채훈, 이동훈, 임채훈, "“국제/업계 표준 암호 알고리즘 및 프로토콜의 이해”", ㈜퓨처시스템 암호체계센터, Technical Report, 2000

4 박춘석, 황재훈, 정연식, 송홍엽, "“전자서명을 통한 인증기술과 공개키 기반구조에 대한 고찰”", 연세대학교 산업기술연구소, 연세대학교 산업기술연구소 논문집, 제 32집, 제 2권(53), pp. 105-122, 2000

5 박정효, 김재우, 전문석, "바이오인증 기반의 전자서명을 이용한 스마트 뱅킹 시스템 설계", 한국산학기술학회, 한국산학기술학회논문지 제16권 제9호, 2015

6 김현철, 심재창, "“동일 융선 상에 존재하는 특징점 간의 연결정보를 이용한 지문인식”", 한국정보과학회, 정보과학회논문지, 제28권 제10호, pp.764-772, 2001

7 강병훈, 김범수, 김경규, "“그래픽 비밀번호를 활용한 공인인증서 개인키 보호방법에 관한 연구”", 한국전자거래학회, 한국전자거래학회지 제16권 제4호, pp.1-16, 2011