PC에 탑재된 OTP의 취약점 분석
Vulnerabilities Analysis of the OTP Implemented on a PC
0
조회
0
다운로드
7
인용
0
참고문헌
키워드
초록
OTP(One Time Password)란 사용자가 인증시 안전한 메커니즘을 이용하여 매번 다른 패스워드를 생성하여 인증하는 방식을 말한다. OTP 인증 방식을 이용할 경우 공격자는 패스워드를 가로채어 정당한 사용자로 위장할 수 없게 된다. 이러한 OTP는 H/W 기반 또는 S/W 기반 형태로 구현될 수 있다. H/W를 기반으로 하는 단말기형과 카드형의 경우 배포 및 사용의 편의성 문제로 인해 대중화에 어려움이 존재하였다. 이를 대체하기 위한 방법으로 모바일이나 PC에 S/W 형태로 구현하는 OTP가 도입되고 있다. 하지만 S/W 제품은 구현상에 취약점이 존재할 경우 악의적인 공격의 대상이 될 수 있다는 문제점이 있다. 실제로 금융보안연구원의 보고서에서는 모바일 상에 탑재된 OTP의 경우 구현상에 취약점이 존재한다고 밝혔다. 하지만 PC상에 탑재된 OTP에 대해서는 현재까지 취약점 분석 사례가 존재하지 않는다. 이에 본 논문에서는 PC에 탑재된 OTP의 보안 검토사항을 도출하고, 실제 역공학을 통해 OTP 생성 메커니즘을 파악하여 취약점 분석을 수행하였다.
Abstract
OTP(One Time Password) is a user authentication using secure mechanism to authenticate each other in a way to generate a password, an attacker could intercept the password to masquerade as legitimate users is a way to prevent attacks. The OTP can be implemented as H/W or S/W. Token and card type OTP, implemented as H/W, is difficult to popularize because of having problem with deployment and usability. As a way to replace it implemented as S/W on Mobile or PC is introduced. However, S/W products can be target of malicious attacks if S/W products have vulnerability of implementation. In fact, FSA said the OTP implemented on a mobile have vulnerability of implementation. However, the OTP implemented on a PC have no case about analysis of vulnerability. So, in this paper derive security review and vulnerabilities analysis of implemented on a PC.
참고문헌 (8)
- 금융보안연구원, "모바일 OTP 보안성 분석서", FSA.TS4.MOS v1.0, ~ (2009)
- 금융보안연구원, "OTP 표준화 체계", FSA.TS4.FOS v0.9, ~ (2007)
- N.Haller, "A One-Time Password System", RFC 2289, IETF, ~ (1998)
- Eldat Eilam, "Reversing : Secrets of Reverse Engineering" (2005), John Wiley&Sons
- 최동현, "일회용 패스워드(OTP: One-Time Password) 기술 분석 및 표준화 동향", 정보보호학회지, 17(3), pp.12~17 (2007)
- 신동휘, "네이트온 메신저의 사용자 인증 메커니즘에 대한 취약점 분석", 정보보호학회논문지, 17(1), pp.67~80 (2007), 한국정보보호학회
- "OATH"[URL]
- "RSA"[URL]