소유권 확인된 스마트폰을 이용한 강력한 패스워드 생성 및 관리
Generation and Management of Strong Passwords using an Ownership Verified Smartphone
1
조회
0
다운로드
2
인용
0
참고문헌
키워드
초록
패스워드 자체의 보안성을 높이는 시도와 함께, 패스워드 기반의 인증에 추가적 인증을 강제하는 것은 패스워드 인증 방식의 보안성을 향상하는데 도움이 된다. 본 논문은 강력한 패스워드를 사이트마다 달리 사용하려는 잘 알려진 문제에 대하여, 스마트폰을 이용한 추가적 인증을 내재한 패스워드의 생성 및 관리 기법을 제안한다. 제안 기법은 패스워드 매니저라 알려진 기술과 마찬가지로, 사용자에게 다수의 패스워드를 기억할 것을 요구하지 않으면서 요구가 있을 때마다, 강력한 사이트별 패스워드를 생성해서 사용자에게 제시한다. 기존 기법들과 다른 점은, 제안 기법은 패스워드 추출을 위해 스마트폰 소유권 검증을 통해 인증된 사용자 스마트폰을 통해서만 패스워드 추출 과정 진행을 허용한다는 것이다. 따라서 이중 인증을 강제하지 않거나 지원하지 않는 사이트에 대해서도, 제안 기법 적용 시 이중 인증을 적용해 로그온을 하는 것과 같은 보안성 향상 효과를 낼 수 있다. 또한 제안 기법은 패스워드 추출 서비스를 제공하는 서버나 사용자 스마트폰의 저장 정보 유출 시에도, 공격자가 사용자로 위장하거나 비밀 정보를 탈취하는 것을 막을 수 있다.
Abstract
Enforcing additional authentication to password-based authentication, in addition to attempting to increase the security of the password itself, helps to improve the security of the password authentication scheme. For a well-known problem of using strong passwords that differ from site to site, we propose a scheme for password generation and management with an inherent supplementary authentication. Like the so-called password manager, the scheme retrieves and presents a strong site-specific password whenever requested without requiring the user to remember multiple passwords. Unlike the existing methods, however, the scheme permits the password retrieval process to proceed only through the authenticated user's ownership verified smartphone. Hence, even for sites not enforcing or supporting two-factor authentication, the logon process can benefit from the scheme’s assurance of enhanced security with its two-factor equivalent authentication. The scheme can also prevent an attacker from impersonating a user or stealing secrets even when the stored information of the server for password retrieval service or the user's smartphone is leaked.
참고문헌 (25)
- B. Ives, "The Domino Effect of Password Reuse", Comm. of the ACM, 47(4), pp.75~78 (2004)
- C. Wang, "The Next Domino to Fall : Empirical Analysis of User Passwords across Online Services", Proc. of ACM Conf. in Data and Application Security and Privacy, pp.196~203 (2018)
- "Why reusing your passwords is riskier than ever" (2016)[URL]
- S. Oesch, "That Was Then, This Is Now: A Security Evaluation of Password Generation, Storage, and Autofill in Browser-Based Password Managers", Proc. of USENIX Security Symp (2020)
- D. Silver, "Password managers : Attacks and defenses", Proc. of USENIX Security Symp., pp.449~464 (2014)
- S. G. Lyastani, "Better managed than memorized? Studying the impact of managers on password strength and reuse", Proc. of USENIX Security Symp, pp.203~220 (2018)
- M. Horsch, "PALPAS PAsswordLess PAssword Synchronization", Proc. on Int’l Conf. on Availability, Reliability and Security (2015)
- F.A. Maqbali, "AutoPass: An Automatic Password Generator", Proc. of Int’l Carnahan Conf. on Security Technology (2017)
- Y. T. Liu, "SplitPass : A Mutually Distrusting Two-Party Password Manager", Jr. of Computer Science and Technology, 30(1), pp.98~115 (2018)
- Multi-factor secure password manager using a secret sharing scheme, "B. Lee", Australian National University, ~ (2019)
- K.C. Wang, "How to End Password Reuse on the Web", Proc. of Network and Distributed System Security Symp (2019)
- M. Shirvanian, "SPHINX : A Password Store that Perfectly Hides Passwords from Itself", Proc. of IEEE Int’l Conf. on Distributed Computing Systems, pp.1094~1104 (2017)
- Z. W. Li, "The emperor’s new password manager: Security analysis of web-based password managers", Proc. of USENIX Security Symp, pp.465~479 (2014)
- X. de, "From very weak to very strong: Analyzing password-strength meters", Proc. of Network and Distributed System Security Symp (2014)
- D. L. Wheeler, "zxcvbn : Low-budget password strength estimation", Proc. USENIX Security Symp, pp.157~174 (2016)
- R. Grimes, "The many ways to hack 2FA", Network Security, 2019(9), pp.8~13 (2019)
- "Mazar Bot Android Malware Distributed via SMS Spoofing Campaign" (2016)[URL]
- "BankBot–Mazain" (2017)[URL]
- "How to Read Someone’s Text Messages Without Having Their Phone?" (2020)[URL]
- H. Siadati, "Mind your SMSes : Mitigating social engineering in second-factor authentication", Computers & Security, 65, pp.14~28 (2017)
- 차병래, "보안 강화를 위한 NFC 기반 전자결제 시스템의 2 팩터 인증 기술의 초안 설계", 스마트미디어저널, 5(2), pp.77~83 (2016), (사)한국스마트미디어학회
- 이현영, "워드 임베딩과 딥러닝 기법을 이용한 SMS 문자 메시지필터링", 스마트미디어저널, 7(4), pp.24~29 (2018), (사)한국스마트미디어학회[DOI]
- "Hackers Hit Twitter CEO Jack Dorsey in a ‘SIM Swap.’ You’re at Risk, Too" (2019)[URL]
- 조우진, "행위 유사도 기반 변종 악성코드 탐지 방법", 스마트미디어저널, 8(4), pp.25~32 (2019), (사)한국스마트미디어학회[DOI]
- "Busting SIM Swappers and SIM Swap Myths" (2018)[URL]