[nsb] kisa 세미나자료 2016_11_17

Security 와 Pri-vacy

정보보호 (security) 는 수단이고 프라이버시 (pri-vacy) 는 목적이다 .Fintech 보안은 정보보호와 프라이버시 , 편의성 의

하모니가 핵심이다 .

Fintech

CEO 서원일

2NSBeyond Proper-ties

목차

• Fintech Security and Privacy• Fintech Authentication• Beyond Security• Trusted Pass

FintechSecurity 와 PrivacyFintech 와 Security

Chapter 01Fintech Security 와 Privacy


1. Fintech

IT 와 금융의 결합

IT 를 기반으로 한 금융 서비스 기술

금융 기술

“ 혁신적 비금융기업이 신기술을 활용해 금융서비스를 직접 제공하는 현상”

간편결제

스마트폰을 통한 금융서비스

FinTech Finance Technology= +


1. Fintech

금융산업의 발전 방향 : 금융업무의 효율성 ( 비용절감 포함 ), 금융거래의 편리성 추구

Traditional Fintech

Emergent Fintech

금융회사의 업무를 지원하는 IT 서비스 , 정보기술솔루션

인터넷 전문은행 , 송금서비스 클라우드 펀딩 등 기존의 금융서비스를 대체하는 새로운 금융서비스

대면 서비스를 통해 자금을 중개하거나 대여해주는

오프라인 산업

IT 기술을 이용해서오프라인 업무를

효율화

IT 인터넷 기술을 이용해서 고객이 온라인을 통해서

직접 거래

핀테크

?


1. Fintech

Not “IT 와 금융의 결합”

But “Software 관점에서 바라보는 기존 금융의 혁신”

Software

Banks


1. Fintech

Fintech 사업 영역


1. Fintech

인터넷 전문 은행

점포를 통한 대면거래를 하지 않고 인터넷 (PC/ 모바일 ) 을 주요 영업채널로 활용하는 무점포 비대면거래 방식의 은행 .


1. Fintech

핀테크 Open Banking Platform 핀테크 기업들이 금융회사의 API 를 활용하여 금융서비스를 편리하게 개발할 수 있도록 지원하는 기반환경을 제공함으로써 , 금융사 서비스를 모객의 중심으로 활용하고 이를 통한 다양한 마케팅 활동 가능하며 , 다양한 제휴처 확보하여 시장점유율 극대화가 가능함 .

[ 참고 : NH 핀테크 오픈플랫폼 홈페이지 (https://nhfintech.nonghyup.com ), 재편집 ]

고객

은행 Legacy

인터넷 뱅킹

“ 인터넷 뱅킹”‘ 고객’을 위해 만든 ‘금융서비스 채널’

“ 핀테크 오픈플랫폼”‘ 핀테크 기업’을 위해 만든 ‘금융 API 채널’

고객

은행 Legacy

핀테크서비스

간편결제 송금 자산관리 P2P 대출

기업자금관리

정부보조금관리 …

금융 API 서비스 API 제휴 API

제휴관리 서비스관리

Portal관리

Platform 관리

Security

System운영

관리 운영 Portal 금융 OPEN API Portal Legacy 연계

핀테크오픈플랫폼

https://nhfintech.nonghyup.com/


2. Security 와 Privacy

Distributed Ledger Technology : beyond block chain

출처 : A report by the UK Government Chief Scientific Adviser, 2016

정상적인 것은 처리해주고 , 일어나지 않아야 할 것은 막아야 한다 .

외부의 공격과 내부자 행위 및 소프트웨어 결함에 의해 보안 위협 발생

정보 유출로 인한 개인의 프라이버시 침해 우려


2. Security 와 Privacy

vs.

Security 중심

Privacy

Security

Privacy 중심

Privacy

Security

보안을 강화하면 프라이버시 문제가 발생한다 . 보안과 프라이버시는 공존해야 한다 .

“ Privacy & Security ”

Privacy

Security


3. Fintech 와 Security

Security

PrivacyConv

enie

nce

Fintech

공인인증서 대체 인증 기술

빅데이타 분석 기술

간편결제 수단(ID/PW , FIDO)

이상거래탐지시스템 (FDS)

금융보안 거버넌스 구축취약점 분석 및 평가 등

사전 예방 활동

인증의 기본 개념

인증 기술 비교

인증 기술의 현황 및 이슈

주요 인증 기술 소개

인증 방식의 진화 방향

Chapter 02Fintech Authentication


1. 인증의 기본 개념

• 인증의 정의 여러 사람이 공유하고 있는 컴퓨터 시스템이나 통신망에서 이를 이용하려는 사람이나 응용프로그램의 신분 (identification) 을 확인하여 불법적인 사용자가 들어올 수 없도록 시스템 보안을 유지하는 방법

• 인증의 종류 사용자 인증 : 접속한 사용자가 허가된 사용자인지 확인하는 보안 절차

거래 인증 : 전송된 메시지가 변조되지 않은 송신자가 보낸 그대로의 것인지 확인

• 본인확인의 정의 온라인 이용자가 인터넷 사이트 회원가입 , 비밀번호변경 , 게시판 글쓰기 등 인터넷 서비스

이용시 실제 본인인지 여부를 휴대폰 , 공인인증서 등의 수단을 통해 확인해 주는 서비스

• 본인확인 수단 공인인증서 : 공인인증서 패스워드를 입력 아이핀 : 아이핀 ID 패스워드를 입력 휴대폰인증 : 본인 명의의 휴대폰 번호와 주민번호를 입력



• 본인 확인과 본인 인증본인 확인 : 공인인증서를 발급받거나 , 회원 가입 또는 ID/PW 찾기를 하기 위해 휴대폰 실명확인 등을 통해 본인인지 아닌지를 식별 ,

본인 인증 : 본인 확인 과정을 거쳐서 만들어진 본인 인증 수단을 통해서 본인인지를 증명

본인 확인 서비스 개요

온라인에서 인터넷 이용자의 실제 본인 확인을 위해 휴대전화 , 신용카드 , 범용 공인인증서 등의 인증 수단을 통해 실제 본인 여부를 확인 할 수 있는 비대면 신원확인 서비스

“ 지식 및 소유기반 정보를 활용한 본인 확인”휴대전화 / 신용카드 / 공인인증서를 통한 실제 본인여부 확인

[ 참조 : 국세청 소득공제자료 제공동의 페이지 ]

휴대폰 인증 공인인증서 인증

• 휴대폰 본인인증 : 이름 , 생년월일 , 휴대폰번호 입력 후 SMS OTP 인증• 범용 공인인증서 본인인증 : 공인인증서 비밀번호 입력 ,

공인기관 발급 범용공인인증서 사용• 신용카드 본인인증 : 이름 , 주민등록번호 , 신용카드정보

입력

본인 확인 서비스 예시



• 사용자 인증을 위한 접근통제 요건식별 (Identification) 시스템에게 주체 (subject) 의 식별자 (ID) 를 요청하는 단계

인증 (Authentication) 정보에 접근할 수 있는 주체의 능력이나 주체의 자격을 검증하는 단계

인가 (Authorization) 사용자 , 프로그램 또는 프로세스에게 허가한 권한을 부여하는 단계

책임추적성(Accountability)

누가 , 언제 , 어떠한 행동을 하였는지 기록하여 , 필요 시 그 행위자를 추적 가능하게 하여 책임소재를 명확하게 하는 단계 .

• 인증기술의 분류

지식기반 ID/PW , 가상키 패드 , 스크램블 패드

소지기반 HSM 공인인증서 , H/W OTP(Token 1형 ,2형 ,3형 ), 카드형 OTP, 보안카드

별도채널 이용 SMS 인증 , ARS 인증 , 2 채널 인증

개체의 특징을 이용 지문 , 음성 , 홍채 , 정맥 , 얼굴 , 서명 동작 등의 생체적 특성을 이용한 인증

기타 모바일 기반 , 백엔드 인증


2. 인증의 기술 비교

구분 매체 Password 사례 문제점

지식 기반 없음 Static ID/PWI-Pin

• 사용자의 기억에 의존• 동일 / 유사 ID 와 PW 를 여러

사이트에서 사용

소유 기반

S/W(파일 ) Static 공인인증서 • 결국은 PW 사용

• 파일 복사 /탈취 가능

H/W( 전용디바이스 , 휴대폰 )

DynamicOTP 인증SMS 인증ARS 인증

• 입력시 PW 탈취 가능• 별도 기기 소지로 인한 불편

생체 기반

생체특징

없음 Password-less

지문 ,얼굴홍채 , 정맥 등 . • 인식률 문제

• 전용 입력 디바이스 필요• 생체정보 탈취 문제행위

특징서명인식 , 성문인식

다중요소 인증

2 가지 이상의 인증 요소로 인증PW+SMS 인증

공인인증서+OTP

• 복잡하고 불편

FIDO 스마트 디바이스 인증기술을 온라인에서 사용 • PW 문제 , 생체 인증 문제 상존


3. 인증의 기술 현황 및 이슈

사용자 계정인증 방법 인증 환경 설정

공인인증서갱신 필요 , PW 암기 난해

OTP별도 기기 이용

SMS/ARS비용 발생 ( 사업자 )

아이핀 / 마이핀보안 취약성 , PW 암기 난해

생체인식인식 문제 , 별도 기기 이용

키보드 보안 프로그램PC 에 별도 설치

바이러스 보안 프로그램

PC 에 별도 설치

백신 프로그램PC 에 별도 설치

Active XWindows, IE 만 설치 가능

ID동일 ID 반복적 사용

패스워드보안 취약성 , 암기 난해


4. 주요 인증 기술 소개 (OTP)

• OTP(One Time Password) 접속시 마다 그때그때 필요한 비밀번호를 생성하여 그 번호를 통해 사용자 본인 확인을 하는 방식 . 비밀번호가 1 회용이라 노출되어도 사용 불가능하며 , 비밀번호를 숨겨진 알고리즘을 이용하여 생성해

내므로 서버와의 접속 없이도 생성이 가능하여 중간 과정에서 패킷이 유출되는 위험이 없다 .

사용자 금융사

뱅킹 서버

인증 서버

Internet

[Time + Seed 암호화 ]

ID + OTP

OTP서버

[Time + Seed 암호화 ]



• 거래연동 OTP 사용자가 입력한 계좌번호와 결제금액 등의 거래정보와 연동된 OTP 를 생성하여 , 전자금융 서버에서 이를 확인하고 거래정보가 변경된 경우 이를 거부하는 기술 .

• 부인방지 OTP 금융회사가 서비스 이용자와 대칭키로 거래서명을 검증한 값을 신뢰된 제 3 자 기관에서 함께 검증하는 방식을 이용한다 . 부인방지토큰을 제 3 자에서 생성해 금융회사에 제공함으로써 향후에 발생가능한 가입자의 거래사실 부인을 방지한다는 설명이다 . 제 3 자 기관은 OTP통합인증센터가 담당하는 방안 .

• 본인확인 OTP 사용자가 본인 확인을 위하여 사용되는 일회용 비밀번호로써 사용자는 본인 인증을 받고자 할 때마 다 매번 새로운 OTP 를 사용하여야 하며 1 회에 한해서만 사용이 가능 함 .



• OTP(One Time Password) 생생기

Hard-ware OTP

동글이 OTP Token

카드형 OTP Token

Hybrid OTP

Smart OTP(NFC OTP)

시간동기 방식 OTP

이벤트 방식 OTP

질의응답 방식 OTP



• OTP(One Time Password) 발생기

Soft-wareOTP

Smart PhoneOTP

ServerOTP

E-Mail OTP 사전에 등록한 이메일 주소로 OTP 를 전송

SMS OTP 휴대폰 SMS 방식으로 OTP 전송

ARS OTP 휴대폰 ARS 방식으로 OTP 전송

App OTP 스마트폰에 설치된 앱에 OTP 전송

• USIM OTPOTP 비밀정보 , 인증모듈을 스마트폰의 USIM 칩 내부에 저장하고 , USIM 에서 OTP 를 생성

• Trusted Zone OTPOTP 비밀정보 , 인증모듈을 스마트폰의 AP칩에 적용된 보안영역인 Trusted Zone 에 저장하고 Trusted Zone에서OTP 를 생성


4. 주요 인증 기술 소개 (SMS/ARS OTP 기반의 휴대폰 본인 확인 )

• SMS 본인확인 서비스 웹사이트에 회원 가입하거나 패스워드 변경 , 상품 구매 시 휴대폰 번호 , 생년월일을 이용해 본인 여부를 확인

해 주는 서비스 .

휴대폰본인인증중계사업자

• ARS 본인확인 서비스 ARS 인증은 결제 시점에 카드사가 소비자의 휴대폰으로 전화를 걸거나 소비자가 카드사에 전화해 인증에 필요한 번호를 주고받는 방식이다 .


4. 주요 인증 기술 소개 (App 기반의 휴대폰 본인 확인 )• App 기반의 휴대폰 본인확인 서비스 - 정보 유출 및 탈취 위험이 있는 SMS 인증정보 대신 이용자 본인의 휴대폰에 저장된 저장매체인 USIM 을 활용한 앱 기반의 본인확인 서비스로 해킹이나 스미싱 등을 통한 인증정보 유출의 위협으로부터 상대적으로 안전 - 이용자 본인만이 사용할 수 있는 인증정보 (PIN/ 지문 / 목소리 ) 를 등록한 다음 휴대폰 본인확인 및 휴대폰 결제 이용 시에 인증수단으로 사용할 수 있는 앱 기반의 본인 확인 서비스 . - T 인증 , KT 인증 , LGT 인증

고객 PC/Mobil

e고객사

SIte휴대폰

본인인증중계사업자

고객Phone

① 정보입력 ( 휴대폰번호 , 성명 ) ② 인증요청③ 인증요청

④ App 인증요청 Push

⑤ App 실행 후 FIDO 인증⑥ 인증 확인⑦ 인증 확인


SMS 기반

Web SMS Web Web

App 기반

Web App(Push) App(FIDO) App Web

4. 주요 인증 기술 소개 (App 기반의 휴대폰 본인확인 )• SMS 기반 및 App 기반의 휴대폰 본인확인 서비스 비교


4. 주요 인증 기술 소개 (PKI 기반의 인증서 )• PKI(Public Key Infrastructure) 인증서 기반의 인증 - 개인키로 암호화 => 공개키로 복호화 : 개인이 보낸 내용을 증명 ( 전자서명 ) - 공개키로 암호화 => 개인키로 복호화 : 수신자만이 내용을 확인 (암호화 )

• 인증서 발급 프로세스


4. 주요 인증 기술 소개 (PKI 기반의 인증서 )

• 인증 프로세스


4. 주요 인증 기술 소개 (FIDO)

• FIDO(Fast Identity Online) 인증의 정의

- 기본적으로 디바이스 인증을 온라인 인증에 사용하자는 아이디어에서 시작 . - 전체적인 등록 및 인증 절차는 공인인증체계와 유사 , 기본적으로 공개키 암호화 방식을 이용 . - 사용자 검증 (Verification) 과 인증 (Authentication) 을 분리하여 수행

- 사용자 검증 시 생체정보를 이용하지만 사용자의 디바이스에만 생체정보가 저장될 뿐 , 서버에는 실제 정보가 저장 않 됨 .

• FIDO 등록


4. 주요 인증 기술 소개 (FIDO)

• FIDO 사용

• FIDO 의 한계 생체정보는 절대 변경이 불가하기 때문에 1) 만약 생체정보가 복사 또는 유출될 경우 패스워드처럼 다시 변경할 수 없어 오히려 패스워드 인증보다 보안상 더욱 큰 위협이 될 수 있음 .

2) 생체정보를 보호 / 관리 하기 위한 많은 노력과 비용이 수반됨 .


4. 주요 인증 기술 소개 (TPM/TEE)

• TPM(Trusted Platform Module) PC, 서버 , 네트워크 기기 , 스마트폰 내부에 별도 칩 (security chip) 을 만들어 거기에 암호화 기능을 위한 공개키 , 개인키 , 비밀번호 , 공인인증서 ( 전자서명 ) 등을 모두 집어 넣는 방식으로 데이터 보호 기능 제공하는 기술 .


4. 주요 인증 기술 소개 (TPM/TEE)

• TEE(Trusted Execution Environment) - 'TrustZone‘ IP 기반의 AP(Application Processor) Chip 을 통해 프로세서와 주변장치 , 저장장치를 대상으로 보안 서비스를 제공하는 소프트웨어 플랫폼 . - 하나의 CPU 에 Normal World 와 Secure World 로 엄격한 분리 지원하는 하드웨어 기능 (TrustZone) 과

이를 이용하여 보안 서비스를 제공하는 소프트웨어 (SP) 로 구성


4. 주요 인증 기술 소개 (USIM, TPM/TEE)

• USIM, TPM 과 TEE 비교

구분 USIM TPM TEE

개요 USIM 을 활용물리적으로 독립된 보안 Chip

활용

Trust Zone 지원 AP Chip 기반의

Secure OS 이용

보안성• USIM 내부의 다양한 Applica-

tion 에 보안서비스 제공• Tamper-resistant

• Secure Boot 등 단말과 연관된 추가 보안서비스 가능

• Tamper-resistant• S/W attack 에 대한 방어 가능• H/W, S/W 보안 결합

경제성• 별도의 USIM 필요• 이미 하나의 보안 플랫폼화

(massively deployed)• 별도의 Chip 개발 필요• 단말 제조라인 변경 및 원가 상승

• AP Chip 기반 위에 Secure 플랫폼을 제공• 단말 제조라인 변경 및 원가

상승 부담 없음 .


4. 주요 인증 기술 소개 (Blockchain 기반의 PKI 인증 )• Block Chain 기반의 본인 인증블록체인 네트워크 상에 인증서를 저장함으로써 , 사용자는 인증서를 보유하지 않고서도 비대면 금융 거래 및 본인인증을 제공


4. 주요 인증 기술 소개 ( 동적 보안모듈 플랫폼 )

• Dynamic Security Module Platform시간 (Time) 을 보안에 접목하여 " 한정된 시간 동안 사용자 프로그램을 보호하는 보안 모듈을 APP 이 구동할 때마다 매번 전혀 다른 소스코드로 이루어진 보안모듈을 APP 에 내려주는 DYNAMIC(매번 소스가 변화하는 ) 한 보안기술


5. 인증 방식의 진화 방향

Yahoo 메일야후 , ‘ 비밀번호 필요없는’ 로그인 선보여

야후가 새로운 방식으로 이메일 사용자들에게 어필하려 한다 . 바로 ‘패스워드가 필요없는 (password-free) 로그인’이다 .사측이 15 일 ( 현지시간 ) 블로그 포스트를 통해 밝힌 바에 따르면 , 야후 메일 사용자는 이제 유저네임과 스마트폰만 있으면 메일 보관함에 들어갈 수 있다 . 야후는 비밀번호를 외울 필요없이 메인 휴대폰을 통해 어떤 기기에서도 사용자 인증이 가능해 , 보안이 강화되고 로그인 시 사용자들이 직면하게 되는 번거로움이 사라지게 된다고 설명했다 .

( 중략 )

Google구글도 비밀번호 없는 로그인 환경 제공하나 ?

구글이 비밀번호 없이 구글 계정에 접속할 수 있도록 해주는 새로운 인증 방법을 테스트 중인 것으로 확인됐다 . 비밀번호를 입력하는 대신 스마트폰에 알림 메시지를 보내 서비스에 접속할 수 있게 하는 방식이다 . ( 중략 )구글이 테스트하고 있는 비밀번호 없는 인증은 투팩터 인증에 비해 상대적으로 간편한 편이다 . 복잡한 비밀번호를 일일이 입력하는 것도 꽤 번거로운 일일 수 있다 . 구글 외에 삼성전자 등 다른 거물급 회사들도 비밀번호 없는 디지털 서비스를 제공하기 위해 속도를 내는 모습이다 .

이미 글로벌 닷컴 (.com) 선두 기업들은 스마트폰 기반의 Password-less 인증 체계로 전환 중임 .

IP Network 의 문제

Server 접속의 문제

Operating System 의 문제

Authentication 의 문제

Beyond Fintech Security

Chapter 03Beyond Security


1. IP Network 의 문제

• IP Network = Visible Network = Open Network - 네트워크에 접속되면 모든 단말은 서로 다 보인다 . - 모든 단말은 상호 접속 가능 하다

• Router = Dynamic Routing - Dynamic Packet Forwarding : 패킷을 전송하면 , 자동으로 목적지까지 보내줌 - Dynamic Learning : 접속을 위해 요구되는 “ IP-MAC” Table 을 자동으로 생성 (ARP)

ClientTermin

al

AccessNetwor

k

EdgeNetwor

k(Router)

IPNetwork

EdgeNetwor

k(Router) Server

AccessNetwor

k( )LAN, WiFi3G/LTE…

전달망

(VPN, NAC) ( )F/W, IPsec, IDS/IPS,UTM, WAF…

위조 패킷에 대한 대응 부재 위조 패킷에 대한 대응 부재패턴 기반 시스템으로 미탐 / 과탐

ClientTermin

al

Server

Server



Router

Router

IP Network

DATATCPHeader

IPHeader

EthernetHeader

전송 효율↑ 데이터 보안↓

①패킷 생성

②패킷 단위 전송

③패킷 수신④패킷 해제

Router 는 사용자 인식 등의

접근 제어 불가

위변조에 취약한 TCP/IP 의 구조

(네트워크 격리구조 불가 )

PBX(Gateway

)

PBX(Gatew

ay)

PSTN Server

PSTN

call

①접속 요청

②종단 확인

③채널 설정

④채널 형성 & 정보 교환Modem Modem

PBX 는 서버와 우선통신하여 신원을 확인

전송 효율↓ 데이터 보안↑

패킷 네트워크를서킷 네트워크처럼 !!

(Circuit Level IP Network)

위험 서킷네트워크의

보안성

효율

패킷네트워크의

효율성

• Circuit Network vs. Packet Network



인터넷 기반 인증을ARS 기반 인증처럼 !!

위험 ARS 기반 인증의 안전성

편리인터넷 기반

인증의 편의성

PBX(Gateway

)

PBX(Gatew

ay)

PSTN Server

PSTN

call

①인증요청

②종단 확인

③채널 설정

④채널 형성 & 정보 교환DB 서버

PBX 는 서버와 우선통신하여 신원을 확인

1:1 통신

ARS 시스템

Router

Router

IP Network

DATATCPHeader

IPHeader

EthernetHeader

N:M 통신

①패킷 생성

②패킷 단위 전송

③패킷 수신

Router 는 사용자 인식 등의

접근 제어 불가

위변조에 취약한 TCP/IP 의 구조

(네트워크 격리구조 불가 )

④패킷 해제

DB 서버 뱅킹 서버

• ARS 기반 인증 vs. 인터넷 기반 인증


2. Server 접속의 문제

App

Connect Log in MFA

Vulnerable to Server exploitation

Vulnerable to Credential theft Credential theft, but painful to users

Server

• Server exploitation• Credential theft

User ID, Password

MFA

• Servers are not always fully patched

Secure Connection

• Man-in-the-middle attacks• Connection hijacking

• 인증 (Authentication) 전에 접속 (Connectivity) - 어떤 단말도 로그인 전 서버와 접속 가능 - 인증 후 “ Secure Connection”


3. Operating System 의 문제점

ProgramProgram

악성 Program

악성 Program

Internet

[ 해커 단말 ]

해킹 Program

•Multi Tasking OS→ 악성 Program 과 정상 Program

이 동시실행 , 리소스 공유

•각 Program 별로 리소스(Memory, Storage) 격리 구조가 약함→ 악성 Program 이 다른 Program 의 리소스에 접근 변조 가능

• 모든 Program 이 단일 N/W 를 공유

•Multi Tasking OS→ 악성 Program 과 정상 Program 이 동시실행 . 리소스 공유

•각 Program 별로 리소스(Memory, Storage) 격리 구조가 약함→ 악성 Program 이 다른 Program 의 리소스에 접근 변조 가능

• 모든 Program 이 단일 N/W 를 공유

•Open N/W→ N/W 에 연결되면 모든 단말과 서버가 상호 연결 가능•해커단말이 정상 단말로위조하여 단말 및 서버 접속

단말 서버네트워크


3. Operating System 의 문제점

ProgramProgram

악성 Program

악성 Program

Internet

[ 해커 단말 ]

해킹 Program

•각 Program 별로 리소스(Memory, Storage) 격리

→ 물리적 메모리 격리 → 단말 가상화 → Sandbox (IOS)

•모든 Program 이 단일 N/W 를 공유 → Program 별로 별도의 N/W 으로 통신

•Closed N/W•서버는 N/W 상에서 Hiding•승인 단말기만 네트워크에접속 가능•미승인 단말기는 네트워크차원에서 격리

VPN 터널

•각 Program 별로 리소스(Memory, Storage) 격리→ 서버 가상화→ Cloud

•모든 Program 이 단일 N/W 를 공유→ 서버 별로 별도의 N/W 으로 통신

단말 서버네트워크


4. Authentication 의 문제

• Password 의 문제 - IT 의존도의 급격한 증가에 따라 너무도 많은 ID/Password 가 존재 - 이 많은 Password 를 전부 달리해서 기억 하는 것은 현실적으로 불가능 - 현실적으로 하나 또는 몇 개의 Password 를 반복해서 사용 하거나 유사한 Password 를 사용 - 공인인증서 , i-Pin 도 결국은 Password 방식 ☞ 정적 Password 동적 Password(OTP)

• 암호화의 한계 - 사용자 단말을 해킹하는 경우 암호화 자체가 무력화 - 해커는 사용자 단말을 장악하여 사용자의 인증 정보를 탈취해서 원격에서 사용자 단말을 조작 ☞ 정적 암호화 방식 암호화 모듈이 동적으로 변동되는 방식

• 생체 인증 문제 - 고객 Privacy 정보 중 가장 민감한 개인 정보 - 생체 정보 탈취 시 영원히 사용 불가 - 인식률 이슈 (100% 인식률은 없다 .)


5. Beyond Fintech Security

FintechSecurity

단말 보호

애플리케이션 및 네트워크 격리 구조 필요

애플리케이션은 상호 격리 구조를 가져야 함 .

애플리케이션 별로 별도의 Network 부여

인정 정보 관리 및 운영

인증 정보 운영 방식이 동적이어야 함 .

동적으로 암호화 모듈 운용 , 패스워드도 동적으로 운용 (OTP)

인증 정보 중앙집중 관리에서 탈피 (Block Chain 활용 )

Network통제

접속 통제가 가능한 네트워크 필요

비인가 사용자 제어를 위한 네트워크 인증 후 서버 접속 허용

단말 별로 어플리케이션 별로 별도의 가상 네트워크

AS-ISNSB 가 꿈꾸는 To-Be WorldNSB 가 꿈꾸는 To-Be World 어떻게

만들지 ?응용모델

Chapter 04Trusted Pass


1. AS - IS : ID/PW World

세상에는 너무나 많은 ID/PW 가 존재해 .

이 많은 ID/PW 를 어떻게 기억하지 ?

주기적으로 PW 를 변경하라고 하는데변경해야 하나 ?

• 수 많은 ID/PW : IT 가 만든 공해

ID/PW 찾기 : 이 짓 계속해야 하나 ?

?공인인증서도 결국은 PW.

I-Pin 도 결국 ID/PW.


1. AS-IS 2 : Banking 로그인 , 이체비밀번호 , OTP, ARS 인증 , 공인인증서

• 이체 한번 하는데 도대체 인증을 몇 번 해야 하는 가 ?

이체 비밀번호 , 공인인증서 비밀번호 외워야 되나 ?

① 로그인

② 이체비밀번호

③ OTP

④ 공인인증서

공인인증서는 어떻게 들고 다니지 ? 갱신해야 되나 ?

OTP 반드시 소지 해야 하나 ?

공인인증서도 결국은 비밀번호 ..

ID/PW 여기도 있네 ?

ID/PW


1. AS-IS 3 : 전자 상거래

• 신용카드로 구매 하는데 ID/PW 는 도대체 몇 번 ?

로그인 ID/PW 꼭 필요한가요 ?

ISP 결제 ISP 인증서를 저장한 매체가 아니면 결제 못해야 하나 ? ISP 도 결국은 패스워드 ISP 인증서도 결국은 공인인증서와 뭐가 다르지 ?

안심클릭 카드번호 , 안심클릭 비밀번호 , CVC 코드를 다 기억해야 하나 ? 30 만원 이상은 공인인증서까지 .

주민번호 (앞자리 ) 는 왜 입력해야 하지 ?

간편 결제 : 결국은 ID/PW

FIDO 결제 : 생체인증 오류 시 결국 PW 을 사용


2. NSB 가 꿈꾸는 To-Be World : ID 하나로 (No Password World)

• ID/PW 공해로 부터 어떻게 탈출할 것인가 ?

① ID 입력 (only) ② Captcha 따라 쓰기 (OTP)

Push


2. NSB 가 꿈꾸는 To-Be World : ID 와 휴대폰만으로 뱅킹을

• ID 와 휴대폰만으로 계좌이체를

계좌이체

② Captcha 따라 쓰기 (OTP)

Push

① ID 입력 (only)

현금 인출


2. NSB 가 꿈꾸는 To-Be World : ID 와 휴대폰만으로 전자상거래를

• ID 와 휴대폰만으로 신용카드 결제를

결제

② Captcha 따라 쓰기 (OTP)

Push

① ID 입력 (only)


3. NSB 가 꿈꾸는 새로운 World 를 어떻게 만들지 ? - Trusted Pass idea

• AS-IS 생각 • NSB 다른 생각

인터넷 공간을 경유함으로 해커가 인증 정보를 탈취하더라도 알아볼 수 없도록 만들어야 해 .

인증단말기의 네트워크를 통제 함으로써 인증 정보 탈취 자체를 불가능하게 하는 구조적인 방법을 사용해야 해 .

인증 단말기와 서버간에는 가상의 전용선 (VPN) 을 통해서 인증을 구현 .

인증 프로세스 수행 동안에는 단말기의 네트워크는 일시 차단 .

가상의 전용선을 통해서 OTP(One Time Password) 를 단말기에 다운로드OTP 정보의 로봇에 의한 탈취를 막기 위해 Captcha 기술을 사용 .

암호화를 잘해야 해 !

인증 단말기에 악성코드를탐지하고 제거해야 해 !

인증 정보를 난독화 하고 은닉화 해야 해 !

인증 정보를 단말기의 격리된공간 ( 메모리 ) 에 저장 관리해야 해 !

인증 App 코드를 난독화해야 해 !


3. NSB 가 꿈꾸는 To-Be World 를 어떻게 만들지 ? - Trusted Pass 구조

Trusted Pass 의 인증 절차는 일회성 가상 사설 네트워크 (One Time VPN) 를 통해서 이루어 지고 , 인증 프로그램을 제외한 타 프로그램들의 네트워크는 일시 차단하고 , 패턴 형태의 일회성 패스워드 (OTP) 를 사용함으로써 인증정보의 외부 유출을 네트워크 차원에서 원천 차단

사용자 금융사

뱅킹 서버

인증 서버

해커 PC

Internet

3G/LTE

악성코드 TIPNGateway

악성코드로 인한 오염된 단말 內 로봇에 의한 자동

입력 방지 (Captcha 문자 ,

Pattern 등 )

5

인증 시간 동안 인증 단말의 인증용 네트워크를 제외한 타 네트워크 Traffic 일시

차단

3격리된 전용 인증 네트워크

구성으로 인증정보의 안전한 전송 보장

2

非 인증 상태에서 인증 서버 접근 원천 봉쇄로

인증 서버 및 정보 보호

1

인증시간 동안만 유효한 일회성 패스워드 (OTP)

사용

4

통합관제플랫폼


3. NSB 가 꿈꾸는 To-Be World 를 어떻게 만들지 ? - Trusted Pass 프로세스

사용자

3G/LTE

사용자 PC

고객사

Internet

인증 서버사용자 스마트폰 TIPN Gateway

뱅킹 서버사용자 PCmobilecvg

ID 입력 /로그인 요청

1사용자 인증

요청2

보안터널 생성3패턴 기반

인증 정보 생성 /전달

4인증 정보 확인6 인증 결과 전송7

로그인 승인8

사용자 PC

해커 PC

OO 은행 인터넷 뱅킹 로그인

mobilecvg

00:30

로그인

화면의 패턴을 따라 그려주세요 .

해커의 인증정보 탈취 및 인증 시도

9

사용자에 의한 인증 정보 입력

5

유효하지 않은 패스워드 정보로

로그인 불가

10

[ Demo 동영상 : https://youtu.be/nf0-PK9_vnk ]

https://youtu.be/nf0-PK9_vnk


3. NSB 가 꿈꾸는 To-Be World 를 어떻게 만들지 ? - Trusted Pass 인증 화면

인증

남은 시간 : 20 초

• 요청 항목 : Login• 요청 시간 : 2016.05.20 10:10:10• 요청 상세 내용

인증


• 요청 항목 : 계좌이체 승인• 요청 시간 : 2016.05.20 10:10:10• 요청 상세 내용 - 이체은행 : 농협 - 예금주명 : 홍길동 - 이체금액 : 100,000 원

인증




3. NSB 가 꿈꾸는 To-Be World 를 어떻게 만들지 ? - Trusted Pass 인증 화면

인증

국

행

민

은



인증


화살표 방향으로 밀어주세요 .

• 요청 항목 : 카드 결제 승인• 요청 시간 : 2016.05.20 10:10:10• 요청 상세 내용 - 상점명 : TMON - 카드 : KB 국민 XXX 카드 - 결제금액 : 100,000 원

인증


지문으로 결제하세요 .

• 요청 항목 : 카드 결제 승인• 요청 시간 : 2016.05.20 10:10:10• 요청 상세 내용 - 상점명 : TMON - 카드 : KB 국민 XXX 카드 - 결제금액 : 100,000 원


3. NSB 가 꿈꾸는 To-Be World 를 어떻게 만들지 ? - Trusted Pass 활용 ( 비대면 계좌 개설 )

인증


서명을 하세요 .

인증


신분증을 제시하세요 .

인증


얼굴 사진을 제시하세요 .


4. 응용 모델 - Trusted Pass 서비스 (TP Auth)

Internet

사용자

해커 PC

3G/LTE

악성코드

회원사

NSBeyond

인증 서버TIPN

Gateway

서비스요청 처리 서버

빌링서버

• • •가맹점 서버 #1 가맹점 서버 #2 가맹점 서버 #3 가맹점 서버 #N

TIPNGateway

가맹점 # Phone# 인증 Type

인증 Contents

인증 MSGReq #

TIPN Server Agent Trusted Pass Agent


Internet

4. 응용 모델 : Trusted ODS + Trusted Pass

사용자

해커 PC

3G/LTE

악성코드

카드사

Trusted Pass인증 서버

TIPNGateway

ODS 서버

ODS MDM 서버

ODS 단말

인증 단말

TIPNManager

On DemandConnection

인증시우회 N/W 일시차단

해커 PC

업무처리시우회 N/W 일시차단


4. 응용 모델 : Trusted Pass 와 Block Chain 결합

거래소

거래 서버

인증 서버

Internet

3G/LTE

TIPNGateway

통합관제플랫폼

Block Chain거래 원장

• 거래 승인 : Trusted Pass • 거래 원장 : Block Chain 기반으로 분산 저장

• Password less 가 최고의 계정 보안• 중앙집중 DB less 가 최고의 서버 보안

사용자

Thank you!