안전한 인터넷 뱅킹 서비스 제공 모델 및 인증 기법 설계 = A design of service provider model and authentication scheme for secure internet banking

국문 초록 (Abstract)

정보통신 기술의 발달로, 인터넷을 통하여 많은 서비스들이 이루어지고 있다. 최근에는 개인용 컴퓨터뿐만 아니라 스마트폰으로 대표되는 모바일기기에서도 서비스가 이루어지는 등 서비스를 제공하는 영역이 확장되고 있다. 이처럼 인터넷을 통하여 온라인상으로 다양한 서비스들이 제공되고 있으나, 타인의 이용자 정보를 이용하여 서비스를 이용하거나, 악성코드 및 바이러스 등을 이용하여 정상적인 서비스 흐름을 방해하고 서비스 내역을 조작하여 비정상적으로 금전적 이득을 취하는 등 인터넷 환경에서 이루어지는 서비스를 대상으로 하는 많은 공격이 발생하고 있다.
국내의 경우 인터넷 뱅킹으로 대표되는 금융서비스도 인터넷을 통하여 제공되고 있으며, 특히 공인인증기관을 이용한 공인인증서 제도를 통하여 실시간계좌이체가 가능한 인터넷 뱅킹 서비스를 제공하고 있다. 하지만 이러한 인터넷 금융서비스 중 상대적으로 보안성이 높다고 평가되는 인터넷 뱅킹에서 조차 최근까지도 피싱, 파밍, 스미싱 등 다양한 기법으로 금융보안 사고로부터 피해가 발생하고 있다. 보안사고가 발생하면 그에 따라 새로운 인증 수단을 도입하거나 보안정책을 변경하는 등 추가적인 사고 방지를 위해 다양한 인증 기법을 적용하고 있으나, 이러한 인증 수단 적용 및 도입에 대한 명확한 기준이 없어서 그 실용성에 문제가 제기되고 있다.
이에 본 논문에서는 인터넷 뱅킹 환경에서 제공되는 서비스를 안전하게 제공하고 제공받을 수 있도록 안전한 인터넷 뱅킹 서비스 제공에 관한 모델 및 인증 기법을 제안한다. 제안된 인터넷 뱅킹 인증 기법은 스마트기기의 안전한 영역에 인증서를 저장하고, 이를 이용하여 전자서명을 생성하는 구조를 가지고 있다. 또한 서비스의 이용에 필요한 중요정보는 스마트기기를 통하여 입출력하는 구조를 가지고 있어서, 이용자의 PC가 안전하지 않은 경우에도 서비스의 전체적인 안전성이 떨어지지 않는 특징을 가진다. 제안하는 인증 기법을 활용하여 안전한 인터넷 서비스의 제공이 가능할 것으로 기대한다.

다국어 초록 (Multilingual Abstract)

Lots of services are being realized through internet due to development of information and communication technologies. Recently, the area of service provision is expanding, for instance, to those not only on personal computers but mobile devices represented by Smartphone. Like this, various services are being provided online through internet, but a lot of attacks on services realized on internet environments are taking place, such as using internet services by stealing information of other users or abnormally deriving monetary benefits by interrupting regular service flows with malicious codes or viruses and manipulating service details.
Domestically, financial services represented by internet banking are also being provided through internet, and especially internet banking services that enable real-time account transfers through officially approved authentication certificate systems of qualified authentication institutions are being offered. However, even the internet banking being assessed to have relatively high security compared to other internet financial services is getting damages from financial security accidents due to various techniques such as Phishing, Pharming, or Smishing. When security accidents take place, diverse new authentication techniques, such as introducing new authentication tools or changing security policies, come to be made and applied to prevent additional accidents, but questions regarding their practicality come to arise because there is no clear standard for applying and instituting those authentication tools.
Thus, this paper suggests safe internet banking service provision models and authentication techniques to safely provide and receive internet banking services. The internet banking authentication techniques proposed have a structure that saves authentication certificates in safe areas of Smart Devices and produces electronic signatures by using them. And because they also have a structure to input and output information important for using services through Smart Devices, they have a characteristic that the overall safety of services doesn’t get deteriorated even when PC of users are not safe. It is expected that safe internet banking service provisions will come to be possible due to proposed authentication techniques.

목차 (Table of Contents)

• 국문초록 ⅶ
• 영문초록 ⅸ
• 제 1 장 서 론 1
• 1.1 연구 배경 및 목적 1
• 1.2 연구 내용 및 범위 3
• 1.3 논문의 구성 3
• 제 2 장 인터넷 뱅킹 서비스 분석 4
• 2.1 인터넷 뱅킹 서비스 구조 4
• 2.1.1 인터넷 뱅킹 서비스 이용 단계 4
• 2.1.2 인터넷 뱅킹 서비스 구성 요소 4
• 2.1.3 인터넷 뱅킹 서비스 인증 방법에 따른 세부 분류 7
• 2.2 기존 인터넷 뱅킹 서비스 위협 요소 분석 10
• 2.2.1 인터넷 뱅킹 서비스 구조적 위협 10
• 2.2.2 인터넷 뱅킹 서비스 인증 수단의 위협 11
• 2.2.3 알려지지 않은 공격으로부터의 위협 12
• 2.3 기존 인터넷 뱅킹 서비스 취약점 분석 13
• 2.3.1 다양한 요소를 통한 인증 기술 취약점 13
• 2.3.2 다양한 채널을 통한 인증 기술 취약점 14
• 2.3.3 스마트기기를 활용한 2채널 인증 기술 취약점 15
• 2.4 기존 인터넷 뱅킹 서비스 공격기법 및 보안성 분석 16
• 2.4.1 공격자의 공격기법 분석 16
• 2.4.2 인터넷 뱅킹 구성요소 및 인증정보의 보안성 분석 25
• 2.5 안전한 인터넷 뱅킹 서비스를 위한 요구사항 분석 30
• 2.5.1 일반적인 보안 요구사항 30
• 2.5.2 위협 요소에 대응하는 보안 요구사항 31
• 제 3 장 안전한 인터넷 뱅킹 서비스 제공 모델 33
• 3.1 안전한 인터넷 뱅킹 서비스 모델 설계 방법론 33
• 3.1.1 인터넷 뱅킹 서비스 프레임워크 34
• 3.1.2 서비스 안전성 측정 방법론 36
• 3.1.3 서비스 구성요소별 측정 기준 수립 방법론 39
• 3.2 안전한 인터넷 뱅킹 서비스 모델 설계 40
• 3.2.1 제안하는 논문의 공리 및 정리 40
• 3.2.2 보안 요구사항에 따른 대책 41
• 3.2.3 안전한 인터넷 뱅킹 서비스 모델 구조 43
• 제 4 장 안전한 인터넷 뱅킹 인증 기법 46
• 4.1 제안하는 안전한 인터넷 뱅킹 구조 46
• 4.2 안전한 인터넷 뱅킹 시스템 50
• 4.2.1 안전한 인터넷 뱅킹 가입 프로세스 51
• 4.2.2 안전한 인터넷 뱅킹 로그인 프로세스 56
• 4.2.3 안전한 인터넷 뱅킹 이용 프로세스 60
• 4.2.4 안전한 인터넷 뱅킹 이용자 정보 변경 프로세스 69
• 4.2.5 안전한 인터넷 뱅킹 탈퇴 프로세스 69
• 제 5 장 보안성 분석 및 성능평가 70
• 5.1 보안성 분석 70
• 5.1.1 공격자의 공격모델 설정 70
• 5.1.2 세부적인 구성요소 및 인증정보의 보안성 분석 74
• 5.1.3 공격모델에 따른 보안성 측정 77
• 5.1.4 구성요소 및 인증정보의 안전성 분석 82
• 5.2 성능평가 85
• 5.2.1 공격위협에 따른 성능평가 86
• 5.2.2 기존 인터넷 뱅킹 인증 구조와 제안하는 인증 구조의 비교 87
• 제 6 장 결론 89
• 참고문헌 91