earticle

영어

Password-based authentication[1] depends on human’s memory and is simple to implement that it had been widely used in the real world from the beginning of computer industry. Token-based authentication[2][3] is an authentication of user by showing that the user possesses a specific token that was issued by the server, and it is widely used to implement auto login in current massive web service environment since it can greatly reduce server’s workload. But in these authentication protocols fixed information is sent to the server repeatedly over the communication channel that it is subject to eavesdropping attack, thus these authentication protocols have to be executed over a secure communication channel such as SSL/TLS. To solve these eavesdropping attack TOTP(Time-based One Time Password) [4] protocol can be used which produces randomized authentication information depending on shared password and current time. In this paper we propose a new randomized token-based authentication protocol by using TOTP approach to modified token-based authentication. This protocol can thwart eavesdropping attack since the authentication information changes depending on time. This approach can provide randomized token- based authentication with simple modification of traditional JWT authentication.

한국어

패스워드 기반 인증[1]은 사용자의 기억에 의존하는 인증방식으로 시스템 구현이 간단하여 컴퓨터 산업의 태동시부터 널리 사용되어져 왔다. 토큰 인증[2][3]은 서버가 발급한 특정 토큰을 소유하고 있 다는 것을 보임으로써 사용자를 인증하는 방식으로 오늘날의 대규모 웹서비스 환경에서 서버의 부담 을 줄여줄 수 있다는 효용성이 있어서 자동로그인 방식으로 널리 사용되고 있다. 그러나 이러한 인증 방식은 고정된 패스워드나 토큰이 통신로를 통해 평문으로 반복 전달되기 때문에 도청공격 등으로 노출될 수 있는 위험이 있어서 반드시 암호화된 통신 환경에서 사용되어야 한다. 고정된 패스워드 인 증의 취약성을 해결하기 위해 TOTP(Time-Based One-Time Password)[4] 방식이 사용될 수 있는데 이 것은 매 로그인시마다 공유되고 있는 고정된 패스워드와 현재의 시간정보를 입력으로 하여 난수화된 로그인 정보를 생성하여 제출하게 하는 것으로 도청공격에 대응할 수 있게 하였다. 이 논문에서는 TOTP의 난수화 방식을 일부 응용하여 현재 널리 사용되고 있는 웹서비스에서의 고 정된 토큰 인증을 시간정보를 이용하여 난수화할 수 있는 방법을 제시한다. 이를 이용하면 토큰인증 정보가 시간에 따라 달라져서 도청공격을 무력화시킬 수 있다. 이러한 방법론은 기존에 사용되던 JWT[3] 토큰 인증 시스템을 약간 수정하여 난수화된 자동로그인을 제공할 수 있다는 장점이 있다.