모바일 핀테크 서비스에서 이용 가능한 인증 수단의 사용성, 안전성 분석 연구

국문 초록 (Abstract)

금융 서비스 이용자들은 모바일 기기에 대한 의존도가 높아지고 있고, 2014년 전자결제 시 ‘공인인증서 등’의 의무사용 규정 폐지에 따라 서비스 제공자들은 다양한 인증 수단을 제공하고 있다. 기존 연구에서는 모바일 기반 인증 수단의 다양성을 반영하고 있지 못하는 한계점을 가지고 있고, 통일된 환경에서 인증 수단의 사용성 및 안전성 연구를 진행하지 못한 한계점을 가지고 있다.
본 연구에서는 기존 연구에서 더 나아가 다양한 인증 수단을 실험 대상으로 삼아 다양성을 확보하였고, 통일된 모바일 환경에서 인증 수단의 사용성 및 안전성 평가를 진행한다. 실험 단계에서 사용성 평가와 안전성 평가를 구분하여 진행한다. 인증 수단의 사용성 평가를 위해 30명 실험자 모집을 통해 SUS 기반 사용성 평가를 통해 양적 데이터를 분석하고, 더불어 인터뷰를 질적 데이터를 분석한다. 안전성 평가는 총 3명의 연구원 참여를 통해 인증 프로세스에서 발생할 수 있는 취약점 요소를 파악하여 금융감독원, NIST 안전성 평가 지표를 이용하여 실험을 진행한다.
본 연구 결과, 사용성 기준에서는 지문 인식 기반 인증 수단이 가장 높은 사용성 등급으로 판정되었고, 공인인증서 기반 인증 수단이 가장 낮은 사용성 등급으로 판정되었다. 안전성 평가 결과 생체정보 기반 인증 수단과 공인인증서 기반 인증 수단이 가장 높은 안전성 등급으로 판정되었다. 이와 반대로 PIN 인증, 텍스트 패스워드 기반 인증 수단이 가장 낮은 안전성 등급으로 판정되었다.
종합적으로 사용자들은 지문 인식 기반 인증과 공인 인증서 인증을 선호하고 있다. 사용성 중심에서 사용자들은 지문 인증 수단에 대해 가장 선호하고 있지만, ARS 기반 인증 수단에 대해 가장 선호하지 않는 경향을 보이고 있다. 안전성 중심에서 사용자들은 지문 인증 수단과 공인 인증서 인증을 가장 선호하고 있었으며, PIN 번호 인증, 스마트 간편 인증에 대해 선호하고 있지 않다.
본 연구의 인증 수단에 대한 안전성 평가를 진행함에 있어서 금융감독원, NIST 기반 인증 평가 기준 모두 세분화되지 않고, 애매한 기준이 존재하고 있음을 알 수 있다. 금융 당국에서 서비스 제공자들이 정확한 안전성 평가 기준을 가질 수 있기 위하여 명확하고 상세한 평가 기준을 제시해야 함을 주장한다. 연구 결과를 이용하여 서비스 제공자들에게 제공할 수 있는 실무적 의의가 있으며, 안전성 평가 기준 확립의 필요성을 제시할 수 있다.

다국어 초록 (Multilingual Abstract)

Financial service users are increasingly reliant on mobile devices. In 2014, in the case of electronic payment, the obligation to use the certificate-based authentication was abolished. So, fin-tech service providers offer a variety of authentication methods. In previous studies have limitations that do not reflect the diversity of mobile-based authentication methods. Also previous researches in the usability and security study of the authentication methods, there are limitations in the unified environment.
In this study, in addition to the existing researches, diversity was secured by using various authentication methods. Furthermore evaluating the usability and security of the authentication methods in a unified mobile environment. In the experimental stage, usability evaluation and security evaluation are separated. In order to evaluate the usability of the authentication methods, we analyze the quantitative data through SUS based usability evaluation through the recruitment of 30 experts, and analyze the qualitative data with the interview name as Think-aloud. Through the participation of three researchers in the security evaluation, the vulnerability elements that can occur in the authentication process are identified and the experiment is conducted using the security evaluation index.
The results of this study, usability standards in fingerprint-based authentication method has been determined as the highest usability was checked by grade. On the other hand certificate-based authentication method was checked lowest usability rating. As the result of the security evaluation, biometric information based authentication method and certificate-based authentication method were judged as the highest security level. Conversely, PIN authentication and text password based authentication methods were judged to be the lowest security class.
Overall, users prefer fingerprint-based authentication and certificate-based authentication. In the usability side, users are most preferred for fingerprint authentication, but they tend to be least preferred for ARS-based authentication. In terms of security, users prefer fingerprint authentication method and certificate-based authentication, and do not prefer PIN number authentication or smart simple authentication.
In conducting the security evaluation of the authentication methods of this study, it can be seen that the authentication evaluation criteria are not all subdivided but the ambiguous standards exist. We insist that The Financial Authority argues that service providers should provide clear and detailed evaluation criteria in order to have accurate security assessment criteria. In addition, there is a practical significance that can be provided to service providers using the results of the research, and it can suggest the necessity of establishment of the security evaluation standard.