어깨너머공격 모델링 및 보안 키패드 취약점 분석
Shoulder Surfing Attack Modeling and Security Analysis on Commercial Keypad Schemes
0
조회
0
다운로드
11
인용
0
참고문헌
키워드
초록
스마트폰, 태블릿 PC와 같은 스마트 기기들의 사용이 증가하면서 애플리케이션을 이용한 금융 업무 등 중요 업무를해당 스마트 기기를 이용하여 처리하는 경우가 많아지고 있으며, 이러한 정보를 획득 할 수 있는 여러 공격들이 존재하고 있다. 그 중 사회공학기법인 어깨너머공격은 해킹 기술과 같은 특정 컴퓨터 기술 없이도 직접적으로 정보를 획득할수 있어 강력한 공격 방법으로 꼽힐 수 있다. 그러나 지금까지의 어깨너머공격은 사용자 모르게 정보를 엿보는 행위라는 단순한 정의밖에 존재하지 않았다. 또한, 국제표준인 공통평가기준(CC)의 공통평가방법론(CEM)에서 제공하는attack potential 방법론은 어깨너머공격에 대한 내성을 정량적으로 나타내지 못하는 한계를 가지고 있다. 이에 본연구에서는 어깨너머공격에 필요한 공격조건들을 나열하고 공통평가기준에서 제공하는 공격 성공 가능성(attackpotential)의 방법론을 차용하여 어깨너머공격까지 공격 성공 가능성을 계산할 수 있도록 이를 포함할 수 있는 공격성공 가능성을 제안한다. 더불어, 현재 스마트 기기들에 제공되고 있는 모바일뱅킹 애플리케이션의 보안 키패드인 쿼티키패드와 숫자 키패드의 안전성을 분석하고 공격 시나리오를 기반으로 하여 현재 제공되고 있는 모바일뱅킹 애플리케이션들의 어깨너머공격에 대한 공격 성공 가능성을 알아본다.
Abstract
As the use of smartphones and tablet PCs has exploded in recent years, there are many occasions where such devices areused for treating sensitive data such as financial transactions. Naturally, many types of attacks have evolved that target thesedevices. An attacker can capture a password by direct observation without using any skills in cracking. This is referred to asshoulder surfing and is one of the most effective methods. There has been only a crude definition of shoulder surfing. Forexample, the Common Evaluation Methodology(CEM) attack potential of Common Criteria (CC), an international standard, doesnot quantitatively express the strength of an authentication method against shoulder surfing. In this paper, we introduce ashoulder surfing risk calculation method supplements CC. Risk is calculated first by checking vulnerability conditions one by oneand the method of the CC attack potential is applied for quantitative expression. We present a case study for security-enhancedQWERTY keyboard and numeric keypad input methods, and the commercially used mobile banking applications are analyzed forshoulder surfing risks.
참고문헌 (31)
- Usage of domestic Internet banking services in 2014 first quarter, "Jeonghyuk Kim", Bank of Korea, ~ (2014)
- 2014 Statistical information of the wireless communication subscriber, "Jaesik Mun", Ministry of Science, ~ (2014)
- Kevin D. Mitnick, "No Tech Hacking: A guide to Social Engineering, Dumpster Diving, and Shoulder Surfing", pp.27~60 (2007), SYNGRESS
- Xiaoyuan Suo, "Graphical Passwords: A Survey", IEEE Computer Security Applications Conference, 21st Annual, pp.463~472 (2005)
- Leonardo Sobrado, "Graphical Passwords", The Rutgers Scholar, An Electronic Bulletin for Undergraduate Research, 4 (2002)
- Sunshuang Man, "A shoulder surfing resistant graphical password scheme", Proceedings of International conference on security and management (2003)
- Ian Jermyn, "The Design and Analysis of Graphical Passwords", Proceedings of the 8th USENIX Security Symposium (1999)
- Joseph Goldberg, "Doodling Our Way to Better Authentication", ACM, Proceedings of Human Factors in Computing Systems, pp.868~869 (2002)
- G. E. Blonder, "Graphical Passwords, In Lucent Technologies", U. S. Patent, Ed. United States, ~ (1996)
- M. N. Doja, "User Authentication Schemes for Mobile and Handheld Services", INFOCOMP Journal of Computer Science, 7(4), pp.38~47 (2008)
- Jeongmo Lee, "Cognitive Psychology" (2009), HAKJISA
- "Information Supplement: ATM Security Guidelines", PCI Security Standards Council, ~ (2013)
- George A. Miller, "The magical number seven, plus or minus two: Some limits on our capacity for processing information", Psychol. Rev., 63(2) (1956)
- Richard M. Shiffrin, "Seven plus or minus two : A commentary on capacity limitations", Psychological Review, pp.357~361 (1994)
- "Personal Space", Wikipedia, ~ (2014)
- Korean typography interface evaluation and development of legibility formula in smartpad device, "Choo-Youn Chong", KAIST, ~ (2012)
- 이윤호, "모바일 기기를 위한 보안 키패드의 취약점 분석", 인터넷정보학회논문지, 14(3), pp.15~21 (2013), 한국인터넷정보학회[DOI]
- 신수연, "STM-GOMS 모델: 모바일 스마트 기기 환경의 인증 기법을 위한 안전성 분석 모델", 정보보호학회논문지, 22(6), pp.1243~1252 (2012), 한국정보보호학회
- 이인석, "한글과 숫자 낱글자의 가독성에 미치는 주요 요인 평가", 대한인간공학회지, 28(4), pp.1~7 (2009), 대한인간공학회
- Legibility comparison of Korean characters and words, "Seung Min Mo", Ergonomics Society of Korea, 474~477 (2009)
- Seung Min Mo, "Evaluations of Factors Affecting Legibility", Journal of the Ergonomics Society of Korea, pp.20~23 (2008)
- "Common Criteria: Evaluation Methodology", Version 3.1, Revision 4, ~ (2012)
- Arash Habibi Lashkari, "Shoulder surfing attack in graphical password authentication", International Journal of Computer Science and Information Security, 6(2) (2009)
- Graphical Passwords:Learning from the First Twelve Years, "Robert Biddle", ACM Computing Surveys, ~ (2011)
- Taekyoung Kwon, "Covert Attentional Shoulder Surfing : Human Adversaries Are More Powerful Than Expected", IEEE Transactions on Systems, Man, And Cybernetics: Systems (2014)
- Alexander De Luca, "Back-of-device authentication on smartphones", ACM Proceedings of the SIGCHI Conference on Human Factors in Computing Systems, pp.2389~2398 (2013)
- "Application of Attack Potential to POIs", Joint Interpretation Library, ~ (2011)
- "Application of Attack Potential to Hardware Devices with Security Boxes", Joint Interpretation Library, ~ (2012)
- "Application of Attack Potential to Smartcards", Joint Interpretation Library, ~ (2006)
- Qiang Yan, "Designing leakage resilient password entry on touchscreen mobile devices", ACM CCS (2013)