TLS/SSL 미적용 웹사이트들에 적용 가능한 단일 ID 및 패스워드 활용의 경량화 상호 인증

Abstract

TLS/SSL를 적용하는 웹사이트들이 많아지기는 하지만, 그렇지 않은 웹사이트들도 여전히 존재하고 있다. 따라서 가입된 사이트들 모두에 같은 ID 및 패스워드를 쓰는 부주의한 사용자가 TLS/SSL를 채택하지 않는 웹사이트로 인증 정보를 보내면, 이 인증 정보는 노출의 위험에 놓이게 되며, 이렇게 획득한 인증 정보는 공격자에 의해 보안성이 높은 웹사이트에 침투해서 정상 인증 받는데 사용될 수 있다. 이는 특히 최근 많이 사용하는 스마트폰 등 모바일 기기를 통해 접속할 때 더 큰 위험이 된다. 본 논문에서는 가벼운 연산들만을 써서 웹사이트의 TLS/SSL를 지원 여부에 상관없이 사용 가능한 안전하고, 경량화된 상호 인증 기법을 제안한다. 인증 서버는 사용자 구분을 위해 주기적으로 다수의 해시 연산을 통해 분할 가능한 인증 테이블을 생성하여야 하지만, 사용자는 가입된 다수 웹사이트들에 대하여 동일한 한 쌍의 ID와 패스워드만을 기존과 같은 식으로 입력하면 된다. 제안 기법은 여러 웹사이트들 간의 인증 시 고유하고, 연결 불가능한 정보를 제시함으로써 사용자 불추적성도 제공한다.