원격 사용자 인증 원칙

원격 사용자 인증 원칙

사용자 인증이란 주장하는 신원이나 시스템 개체를 검증하는 과정이라고 정의되어 있다.

1. 식별 단계 : 보안 시스템에서 식별자 제시
2. 검증 단계 : 개체와 식별자를 묶어서 인증 할 수 있도록 인증 정보 제시 또는 생성

핵심은 사용자 인증은 주장된 내용을 검증하는 방식으로 이루어진다.

NIST 전자 사용자 인증 모델

전자 사용자 인증이란 전자적으로 정보 시스템에 제시된 사용자 신원에 대해 신뢰를 확립하는 과정이다

시스템은 인증된 신원을 이용하여 인증된 개체가 특정 기능을 수행 할 수 있도록 허가할지 말지를 결정한다.

• 특정 기능
  • 데이터베이스 트랜잭션
  • 시스템 자원에 대한 접근 등등

SP 800-63-2 E-인증 구조 모델

해당 인증 모델에서는 다수의 개체와 프로시저들이 연관된 사용자 인증용 일반 모델을 정의하고 있다

사용자 인증의 수행 초기 요건은 사용자의 시스템 등록이다.

1. 신청자는 기밀 서비스 제공자(CSP)에 가입하기 위해 등록 기관(RA)에 신청한다.
   • 위의 모델에서 RA는 신뢰 받는 개체로서 CSP에 신청한 신청자의 신원을 구성하고 보증한다.
2. CSP는 가입자와 교환을 시작한다.
   • CSP는 모종의 전자 기밀 자료를 가입자에게 제시한다
   • 여기서 기밀자료란, CSP의 권한으로 가입자의 신원과 추가적인 속성을 가입자가 소유하고 있는 토큰과 연관시켜 만든 데이터 구조
     • 인증 트랜잭션에서 검증자에게 제시했을 때 검증되는 자료이다.
     • 토큰이란 가입자를 식별 할 수 있는 암호화 키이거나, 암호화된 패스워드이다.
       • 토큰은 CSP가 제공하기도 하고, 가입자가 직접 생성하기도 한다.
   • 토큰과 기밀 자료는 이후 인증 절차를 수행 할 때 사용 된다.
3. 사용자가 가입자로 등록을 마치면, 실제 인증 절차는 가입자와 인증을 수행하는 시스템 간에 이뤄지고, 인증 후에 허가가 이뤄진다.
   • 인증을 받고자 하는 쪽을 요청자, 검증하는 쪽을 검증자라한다
   • 요청자가 인증 프로토콜을 통해 토큰을 소유하고 있으며 제어 할 수 있음을 검증자에게 성공적으로 증명하면, 검증자는 가입자를 검증 할 수 있다.
   • RP는 검증자가 준 인증 정보를 이용하여 접근을 통제하거나 허가를 결정한다

인증 방법

1. 개인이 알고 있는 것(Something the individual knows)
   • 패스워드
   • 개인 식별 번호(PIN)
   • 사전에 작성된 질의에 대한 응답
2. 개인이 소지하고 있는 것(Something the individual possesses)
   • 암호 키
   • 전자 키 카드
   • 스마트 카드
   • 물리적 키 등. 이런 유형의 인증자를 토큰(token)이라고 함
3. 개인 자체(Something the individual is)(정적 생체정보)
   • 지문
   • 망막
   • 안면 등을 통한 인식
4. 개인이 수행하는 것(Something the individual possesses)(동적 생체정보)
   • 음성 패턴
   • 수기한 문자
   • 타이핑 리듬 등에 의한 인식