어깨너머공격 모델링 및 보안 키패드 취약점 분석 (Shoulder Surfing Attack Modeling and Security Analysis on Commercial Keypad Schemes)

서지정보

· 발행기관 : 한국정보보호학회
· 수록지 정보 : 정보보호학회논문지 / 24권 / 6호 / 1159 ~ 1174페이지
· 저자명 : 김성환, 박민수, 김승주

초록

스마트폰, 태블릿 PC와 같은 스마트 기기들의 사용이 증가하면서 애플리케이션을 이용한 금융 업무 등 중요 업무를해당 스마트 기기를 이용하여 처리하는 경우가 많아지고 있으며, 이러한 정보를 획득 할 수 있는 여러 공격들이 존재하고 있다. 그 중 사회공학기법인 어깨너머공격은 해킹 기술과 같은 특정 컴퓨터 기술 없이도 직접적으로 정보를 획득할수 있어 강력한 공격 방법으로 꼽힐 수 있다. 그러나 지금까지의 어깨너머공격은 사용자 모르게 정보를 엿보는 행위라는 단순한 정의밖에 존재하지 않았다. 또한, 국제표준인 공통평가기준(CC)의 공통평가방법론(CEM)에서 제공하는attack potential 방법론은 어깨너머공격에 대한 내성을 정량적으로 나타내지 못하는 한계를 가지고 있다. 이에 본연구에서는 어깨너머공격에 필요한 공격조건들을 나열하고 공통평가기준에서 제공하는 공격 성공 가능성(attackpotential)의 방법론을 차용하여 어깨너머공격까지 공격 성공 가능성을 계산할 수 있도록 이를 포함할 수 있는 공격성공 가능성을 제안한다. 더불어, 현재 스마트 기기들에 제공되고 있는 모바일뱅킹 애플리케이션의 보안 키패드인 쿼티키패드와 숫자 키패드의 안전성을 분석하고 공격 시나리오를 기반으로 하여 현재 제공되고 있는 모바일뱅킹 애플리케이션들의 어깨너머공격에 대한 공격 성공 가능성을 알아본다.

영어초록

As the use of smartphones and tablet PCs has exploded in recent years, there are many occasions where such devices areused for treating sensitive data such as financial transactions. Naturally, many types of attacks have evolved that target thesedevices. An attacker can capture a password by direct observation without using any skills in cracking. This is referred to asshoulder surfing and is one of the most effective methods. There has been only a crude definition of shoulder surfing. Forexample, the Common Evaluation Methodology(CEM) attack potential of Common Criteria (CC), an international standard, doesnot quantitatively express the strength of an authentication method against shoulder surfing. In this paper, we introduce ashoulder surfing risk calculation method supplements CC. Risk is calculated first by checking vulnerability conditions one by oneand the method of the CC attack potential is applied for quantitative expression. We present a case study for security-enhancedQWERTY keyboard and numeric keypad input methods, and the commercially used mobile banking applications are analyzed forshoulder surfing risks.

참고자료

· 없음