비대면 이동통신 가입 시 파라미터 변조를 통한 본인확인 인증체계 우회 취약점 및 개선 방안
Vulnerabilities and Improvement Measures to Bypass Non-Facing Identity Authentication System of Mobile Communication Contracts through Parameter Tampering
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
최근 가상이동통신망 사업자가 운영하는 웹사이트를 통해 피해자들의 이동통신 회선을 개통하여, 본인인증 OTP를 수신한 뒤 피해자의 가상자산 등 경제적 가치를 지닌 정보를 탈취하는 범죄 피해사례가 다수 보고되었다. 해당 공격의 수법 및 원인을 규명하기 위해 웹 프록시 도구를 사용해 이동통신 가입신청 웹페이지상의 인증절차를 분석하였다. 그 결과, 본인인증 수단 선택 단계에서 가입 명의자의 신원정보로 구성된 파라미터 값을 제3자의 정보로 변조하고, 이어서 제3자의 공동인증서로 인증을 수행하는 경우, 성공적으로 본인확인 인증 절차를 마칠 수 있는 취약점을 발견하였다. 이를 해결하기 위해, 비대면 본인인증 절차에서 서비스 신청자와 인증수단의 명의자가 상호 동일한지 지속 검증하는 프로토콜을 제시한다.
Abstract
Recently, a number of criminal cases have been reported in which victims' mobile phone lines were opened through a website operated by a virtual mobile network operator, and after receiving an authentication OTP, the victim's information with economic value, such as virtual assets, was stolen. To investigate the method and cause of the attack, we analyzed the authentication procedures on the mobile subscription application webpage using a web proxy tool. As a result, a vulnerability was discovered whereby: if the parameter value composed of the subscriber's identity information is tampered with a third party's information during the identity verification method selection stage, and if authentication is performed using the third party's accredited certificate, the identity verification authentication procedure can be successfully bypassed. To solve this problem, we propose a protocol that continuously verifies that the service applicant and the authenticators are the same person in a non-face-to-face authentication process.