by
Jan 01. 2020
PASSCON 기술백서 III.4 적용
암호관리 서비스, 크립토 월렛 서비스
III.4 서비스 적용
PASSCON 인증 기술은 다양한 서비스에 응용될 수 있다. 모바일 어플리케이션에서 사용자를 인증하는 모든 로그인 프로세스에 적합하다. 또한 웹 서비스에서도 모바일을 경유하는 2채널 로그인 인증 방식으로 PASSCON을 이용할 수 있다. 어플리케이션에서 거래정보를 송수신하는 메커니즘에 PASSCON을 적용하면 모든 전자거래 서비스에 전자서명 인증을 적용할 수 있다.
또한 PASSCON은 자연난수와 인증 키를 이용하여 암호화 키를 생성(NA_Key)하는 고유한 알고리즘을 제공한다. 비밀번호와 같이 사용자가 입력하는 문자열을 이용한 암호화 방식은 사람이 기억할 수 있는 문자의 개수에 제약이 있으므로 키의 길이도 제약을 받는다. 그러나 PASSCON 기술은 키의 길이에 대한 제약이 없으므로 Full Digit AES256 암호화 키를 적용할 수 있다. 또한 해당 키는 외부로 노출되지 않고 시스템의 메모리에서만 생성되어 사용되고 그 후 즉시 삭제되므로 키의 유출에 대한 위험도 매우 낮다. 그러므로 PASSCON의 암호화 키는 매우 높은 수준의 보안 강도를 제공할 수 있다.
III.4.1 IDall 암호관리 서비스
암호관리 서비스는 매우 많은 비밀번호로 인하여 피로감을 느끼는 사용자들을 위하여 제공되는 어플리케이션 서비스이다. 이 분야의 서비스들은 다양한 사용자 UI/UX와 기능으로 차별화되고 있지만 마스터 계정에 로그인하는 인증 방법과 사용자가 저장하는 ID와 Password를 암호화하는 방식은 대부분 비밀번호에 의존하고 있다.
비밀번호를 이용한 로그인 인증은 공격자에 의하여 해킹될 가능성이 널리 알려진 사실이므로 보다 높은 수준의 마스터 계정 로그인 인증 기술이 요구된다. 특히 마스터 계정이 악용되면 서비스에 저장된 여러 ID와 Password들도 악용될 수 있으므로 이는 암호관리 서비스에서 매우 중요한 사안이다.
또한 ID와 Password를 암호화하는 암호화 키도 비밀번호를 이용하므로 8자리의 길이를 초과하기 어려운 문제가 동시에 존재한다. AES256 암호화 알고리즘은 최대 16자리를 사용할 수 있으나 사용자가 16자리 비밀번호를 기억하는 것은 거의 불가능하므로 근본적인 문제의 해결을 위하여는 다른 인증 기술이 필요하다.
PASSCON은 고유의 암호화 키 생성 기술과 전자서명 인증 기술을 제공하므로 PASSCON을 기반으로 하는 IDall 암호관리 서비스는 마스터 계정을 보호하고 ID와 Password를 안전하게 암호화하여 보관할 수 있다.
NA_Key
PASSCON 암호화 키(NA_Key)는 자연난수와 인증 키를 이용하여 생성되지만 어디에도 저장되지는 않는다. 사용자가 암호관리 앱에서 특정 사이트에 로그인을 시도할 때에만 이 키가 생성되어 사용되며 그 후에는 메모리에서 삭제된다.
NA_Key
IDall 암호관리 서버에 저장된 US_CRD 크리덴셜 정보에는 사용자의 인증 키가 저장되지 않는다. 또한 자연난수 값은 사용자의 공개 키(Upb)로 암호화되므로 서버의 최고 관리자조차 이 값을 복호화 할 수 없다. 따라서 서버를 완전하게 해킹한 공격자도 ID와 Password를 크랙 할 수 없는 것이 당연하다.
III.4.2 IDall 크립토 월렛 서비스
블록체인 기반의 암호자산을 보내거나 받을 때는 월렛이 필요하다. 암호자산은 퍼블릭 블록체인에 기록되고 중앙신뢰기관이 없기 때문에 일반적인 월렛은 탈중앙화 구조이다. 즉 서명을 생성하기 위한 개인 키가 월렛에 존재하며 이에 대한 모든 관리와 책임은 사용자의 몫이다.
개인 키가 사용자 디바이스에 저장된다면 암호화 강도는 매우 중요하다. 대부분 AES256 과 같은 높은 수준의 암호화 알고리즘을 적용하고 있으나 키 생성 과정에서 비밀번호를 이용하므로 AES256의 암호화 성능을 완전하게 활용하지 못하고 있다. 비밀번호는 대개 8자리 이하의 문자열에 의존하므로 나머지 8자리는 Salt로 대체하기 때문이다.
기존의 분산형 월렛은 보안 강도의 문제들뿐만 아니라 사용자의 편의성 측면에서도 매우 부족하다. 월렛을 사용하려면 비밀번호를 입력하여야 하고 개인 키의 분실에 대비하여 니모닉을 별도로 보관하여야 한다. 반면 PASSCON의 암호화 키(NA_Key)는 완전한 AES256 알고리즘의 성능을 제공한다. 사용자의 인증 키와 자연난수를 이용하여 키를 생성하므로 키보드와 Salt가 필요 없기 때문이다.
NA_Key
