보안 토큰

Security token
보안 토큰 오퍼링과 혼동하지 마십시오.
노트북에 연결된 GoldKey 보안 토큰

보안 토큰은 전자적으로 제한된 리소스에 액세스하기 위해 사용되는 주변 장치입니다.토큰은 패스워드 추가 또는 패스워드 대신 사용됩니다.그것은 무언가에 접근하기 위한 전자 열쇠와 같은 역할을 한다.예를 들어 잠겨 있는 문을 여는 무선 키 카드나 은행 계좌에 온라인으로 액세스하려는 고객의 경우 은행이 제공한 토큰을 사용하면 고객이 자신이 누구인지 증명할 수 있습니다.

일부 토큰에는 디지털 서명을 생성하는 데 사용할 수 있는 암호 키 또는 지문 상세 내역과 같은 생체 데이터를 저장할 수 있습니다.또,[1] 패스워드를 보존하는 경우도 있습니다.일부 설계에는 변조 방지 패키징이 포함되어 있는 반면, 다른 설계에는 PIN을 입력할 수 있는 작은 키패드나 생성된 키 번호를 표시하는 디스플레이 기능을 갖춘 간단한 버튼이 포함될 수 있습니다.연결된 토큰은 USB, 근거리 통신(NFC), 무선 주파수 식별(RFID), 블루투스 등 다양한 인터페이스를 사용합니다.일부 토큰에는 시각 장애인을 위해 설계된 오디오 기능이 있습니다.

패스워드 타입

모든 토큰에는 ID 증명에 사용되는 몇 가지 비밀 정보가 포함되어 있습니다.이 정보를 사용하는 방법에는 다음 4가지가 있습니다.

HSBC 온라인 뱅킹용 비동기 패스워드 토큰.
정적 패스워드 토큰
디바이스에는 물리적으로 숨겨져 있지만(소유자에게는 표시되지 않지만) 각 인증에 대해 송신되는 패스워드가 포함되어 있습니다.이 유형은 재생 공격에 취약합니다.
동기 다이내믹 패스워드 토큰
타이머는 암호 알고리즘에 의해 생성된 다양한 조합을 통해 회전하기 위해 사용됩니다.토큰과 인증 서버에는 동기 클럭이 필요합니다.
비동기 패스워드 토큰
원타임 패스워드는 클럭을 사용하지 않고 원타임패드 또는 암호화 알고리즘에서 생성됩니다.
챌린지/리스폰스 토큰
공개키 암호화를 사용하면 개인키를 공개하지 않고도 개인키 보유를 증명할 수 있습니다.인증 서버는 공개 키를 사용하여 챌린지(일반적으로 랜덤 번호 또는 적어도 랜덤 부분이 있는 데이터)를 암호화합니다.디바이스는 복호화된 챌린지를 제공함으로써 일치하는 개인 키의 복사본을 소유하고 있음을 증명합니다.

시간 동기화된 원타임비밀번호는 예를 들어 1분에 1회 등 설정된 시간 간격으로 계속 변경됩니다.이를 위해서는 클라이언트의 토큰과 인증 서버 간에 일종의 동기화가 존재해야 합니다.연결되지 않은 토큰의 경우 이 시간 동기화는 토큰이 클라이언트에 배포되기 전에 수행됩니다.다른 토큰 유형은 토큰이 입력 장치에 삽입될 때 동기화를 수행합니다.시간 동기화 토큰의 주요 문제는 시간이 지남에 따라 토큰이 [2]동기화되지 않을 수 있다는 것입니다.단, RSA의 SecurID와 같은 일부 시스템에서는 사용자가 토큰과 서버를 재동기화할 수 있습니다.경우에 따라서는 여러 개의 패스코드를 연속해서 입력할 수도 있습니다.또한 대부분의 경우 교체 가능한 배터리를 사용할 수 없고 교체되기 전까지 최대 5년밖에 지속되지 않기 때문에 [3]추가 비용이 발생합니다.또 다른 유형의 원타임패스워드는 해시 체인 등의 복잡한 수학적 알고리즘을 사용하여 비밀 공유 키에서 일련의 원타임패스워드를 생성합니다.각 비밀번호는 이전 비밀번호를 알고 있는 경우에도 추측할 수 없습니다.오픈 소스 OFTH 알고리즘은 표준화되어 있습니다.다른 알고리즘은 미국 특허의 대상이 됩니다.각 패스워드는 예측할 수 없고 이전 패스워드와는 독립적입니다.따라서 상대방은 이전의 패스워드를 모두 알고 있어도 다음 패스워드를 추측할 수 없습니다.

물리 타입

토큰에는 여러 인증 방식을 포함하여 매우 간단한 기능부터 매우 복잡한 기능까지 다양한 칩이 포함될 수 있습니다.

가장 간단한 보안 토큰은 시스템에 연결할 필요가 없습니다.토큰에는 물리적인 표시가 있습니다.인증 사용자는 단순히 표시된 번호를 입력하여 로그인합니다.다른 토큰은 Bluetooth와 같은 무선 기술을 사용하여 컴퓨터에 연결합니다.이러한 토큰은 키시퀀스를 로컬클라이언트 또는 인근 접근포인트로 전송합니다

또는 수년 동안 널리 사용되었던 토큰의 또 다른 형태는 아웃 오브 밴드 채널(음성, SMS, USSD 등)을 사용하여 통신하는 모바일 디바이스입니다.

그러나 다른 토큰은 컴퓨터에 연결되므로 PIN이 필요할 수 있습니다.토큰의 종류에 따라 컴퓨터 OS는 토큰에서 키를 읽어 암호화 작업을 수행하거나 토큰의 펌웨어에 이 작업을 수행하도록 요청합니다.

관련 어플리케이션은 소프트웨어의 소유권을 증명하기 위해 일부 컴퓨터 프로그램이 필요로 하는 하드웨어 동글입니다.동글은 입력 장치에 배치되고 소프트웨어는 해당 I/O 장치에 액세스하여 해당 소프트웨어의 사용을 승인합니다.

상용 솔루션은 다양한 벤더에 의해 제공되며, 각 벤더에는 다양한 보안 기능을 독자적으로 구현(특허를 취득하는 경우가 많습니다)하고 있습니다.특정 보안 표준을 충족하는 토큰 디자인은 연방 보안 표준인 FIPS 140을 준수하는 것으로 미국에서 인증되었습니다.인증이 없는 토큰은 종종 정부나 업계의 공인 보안 표준을 충족하지 못하고 엄격한 테스트를 거치지 않으며 서드파티에 의해 독립적으로 설계를 감사받은 토큰 솔루션과 동일한 수준의 암호화 보안을 제공할 수 없기 때문에 때때로 의심스러운 것으로 간주됩니다.종족[citation needed]

절단된 토큰

절단된 토큰이 번호는 PASSCODE 필드에 수동으로 복사해야 합니다.

연결이 끊긴 토큰은 클라이언트 시스템에 물리적 연결도 논리적 연결도 없습니다.일반적으로 특별한 입력 장치가 필요하지 않고 대신 내장된 화면을 사용하여 생성된 인증 데이터를 표시합니다.이 데이터는 사용자가 키보드 또는 키패드를 사용하여 수동으로 입력합니다.절단된 토큰은 온라인 [4]식별을 위한 2단계 인증에서 일반적으로 사용되는 보안 토큰의 가장 일반적인 유형입니다(보통 비밀번호와 조합).

연결된 토큰

연결된 토큰은 사용자가 인증하는 컴퓨터에 물리적으로 연결해야 하는 토큰입니다.이 카테고리의 토큰은 물리적인 접속이 확립되면 인증 정보를 클라이언트컴퓨터에 자동적으로 송신하기 때문에, 유저가 인증 정보를 수동으로 입력할 필요가 없습니다.단, 연결된 토큰을 사용하려면 적절한 입력 장치를 설치해야 합니다.가장 일반적인 유형의 물리적 토큰은 스마트 카드와 USB 토큰(보안 키라고도 함)으로, 각각 스마트 카드 리더와 USB 포트가 필요합니다.2015년부터 오픈 사양 그룹인 FIDO Alliance가 지원하는 FIDO2 토큰이 주류 브라우저 지원 소비자에게 인기를 끌면서 인기 웹사이트 및 소셜 미디어 사이트에서 지원되고 있습니다.

오래된 PC 카드 토큰은 주로 노트북에서 사용할 수 있도록 제작되었습니다.Type II PC 카드는 Type III의 절반 두께이기 때문에 토큰으로 선호됩니다.

오디오 잭 포트는 iPhone, iPad, Android 등의 모바일 장치와 기타 액세서리 간의 연결을 확립하는 비교적 실용적인 방법입니다.가장 잘 알려진 기기는 iOS와 안드로이드 기기용 신용카드 리더인 Square이다.

일부는 특수 목적 인터페이스(예: 미국 국가안보국이 배포한 암호 점화 키)를 사용합니다.토큰은 사진 ID 카드로도 사용할 수 있습니다.휴대폰과 PDA는 적절한 프로그래밍을 통해 보안 토큰 역할을 할 수도 있습니다.

스마트 카드

주요 기사: 스마트 카드

많은 연결된 토큰이 스마트 카드 기술을 사용합니다.스마트 카드는 매우 저렴할 수 있으며([citation needed]약 10센트), 검증된 보안 메커니즘(현금 카드와 같은 금융 기관에서 사용)이 포함되어 있습니다.단, 스마트카드의 컴퓨팅 퍼포먼스는 극히 낮은 소비전력과 초박형 폼팩터 요건 때문에 제한되는 경우가 많습니다.

스마트 카드 칩이 내장된 스마트 카드 기반 USB 토큰은 USB 토큰과 스마트 카드 기능을 모두 제공합니다.다양한 보안 솔루션을 구현하여 고유한 입력 장치를 필요로 하지 않고 기존 스마트 카드의 기능과 보안을 제공합니다.컴퓨터 운영 체제의 관점에서 이러한 토큰은 분리할 수 없는 스마트 카드가 [5]하나 있는 USB 연결 스마트 카드 리더입니다.

비접촉 토큰

연결된 토큰과 달리 비접촉형 토큰은 클라이언트 시스템에 논리적 연결을 형성하지만 물리적 연결이 필요하지 않습니다.물리적 접촉이 필요 없기 때문에 연결된 토큰과 연결되지 않은 토큰 모두보다 편리합니다.따라서 비접촉형 토큰은 키리스 엔트리 시스템과 키 체인 토큰에서 인증 정보를 전송하기 위해 RFID를 사용하는 Mobil Speedpass와 같은 전자 결제 솔루션에서 인기 있는 선택입니다.그러나 존스홉킨스 대학과 RSA 연구소의 연구진이 RFID 태그가 쉽게 깨지고 [6]복제될 수 있다는 것을 발견한 이후 RFID 토큰에 대한 다양한 보안 문제가 제기되어 왔다.

또 다른 단점은 비접촉형 토큰은 배터리 수명이 상대적으로 짧다는 것입니다. 보통 5~6년 정도밖에 되지 않으며, 이는 10년 [citation needed]이상 지속될 수 있는 USB 토큰에 비해 낮은 수치입니다.그러나 일부 토큰은 배터리를 교환할 수 있으므로 비용을 절감할 수 있습니다.

블루투스 토큰

Bluetooth Low Energy 프로토콜은 무선 전송의 배터리 수명 주기를 오래 지속합니다.

  • 고유의 Bluetooth ID 데이터 전송은 인증을 지원하기 위한 최저 품질입니다.
  • 트랜잭션 데이터 교환을 위한 양방향 연결은 가장 정교한 인증 절차를 수행합니다.

그러나 자동 전송 전력 제어는 반경 거리 추정 시도에 반대됩니다.이스케이프는 표준화된 블루투스 전원 제어 알고리즘과는 별도로 최소 필요 전송 [7]전력에 대한 보정을 제공하기 위해 사용할 수 있습니다.

Bluetooth 토큰은 USB 토큰과 조합되는 경우가 많기 때문에 연결 상태와 연결 해제 상태 모두에서 작동합니다.Bluetooth 인증은, 32 피트(10 m) 이상에서 동작합니다.Bluetooth 링크가 제대로 작동하지 않는 경우, 토큰을 USB 입력 장치에 삽입하여 작동할 수 있습니다.

또 다른 조합은 스마트 카드와 함께 로컬에 더 많은 양의 ID 데이터와 프로세스 정보를 저장하는 것입니다.[8]다른 하나는 비접촉형 BLE 토큰으로, 안전한 스토리지와 토큰화된 지문 [9]인증 정보 릴리스를 결합한 것입니다.

USB 작동 모드에서 사인오프는 USB 플러그에 기계적으로 연결된 상태에서 토큰을 주의해야 합니다.Bluetooth 모드 동작의 장점은 사인오프와 거리 측정 기준을 조합하는 옵션입니다.각 제품은 전자 목줄의 컨셉에 따라 준비 중입니다.

NFC 토큰

Bluetooth 토큰과 조합된 근거리 통신(NFC) 토큰은 여러 모드로 동작할 수 있으며, 따라서 연결 상태와 연결 해제 상태 모두에서 동작합니다.NFC 인증은 1피트(0.3미터)보다 가까울 때 기능합니다.근거리 무선 통신 프로토콜은 판독기에 짧은 거리를 브리지하고, 블루투스 연결은 인증을 가능하게 하는 토큰으로 데이터를 제공합니다.또, Bluetooth 링크가 접속되어 있지 않은 경우, 토큰은 로컬에 격납되어 있는 인증 정보를 NFC 리더에 대해 거친 위치 결정으로 제공할 수 있어 [citation needed]커넥터에 대한 정확한 위치 결정에서 해방된다.

Single Sign-On 소프트웨어 토큰

엔터프라이즈 싱글 사인온과 같은 일부 유형의 SSO(Single Sign-On) 솔루션에서는 토큰을 사용하여 심리스 인증 및 비밀번호 입력을 허용하는 소프트웨어를 저장합니다.패스워드가 토큰에 저장되므로 사용자는 패스워드를 기억할 필요가 없기 때문에 보다 안전한 패스워드를 선택하거나 보다 안전한 비밀번호를 선택할 수 있습니다.일반적으로 대부분의 토큰은 암호 해시를 저장하므로 토큰이 손상되어도 암호는 계속 보호됩니다.[citation needed]

프로그램 가능한 토큰

프로그램 가능한 토큰은 Google Authenticator(miniOTP[10])와 같은 모바일 애플리케이션을 "드롭인"으로 대체하여 마케팅됩니다.모바일 앱 대체 및 백업으로 병렬로 사용할 수 있습니다.

취약성

분실 및 도난

패스워드 컨테이너의 가장 간단한 취약성은 디바이스 도난 또는 분실입니다.잠금장치, 전자목줄, 차체 센서 및 경보장치와 같은 물리적 보안 조치를 통해 이러한 발생 또는 예기치 않은 발생 가능성을 줄일 수 있습니다.도난당한 토큰은 2인자 인증을 사용하여 무용지물이 될 수 있습니다.일반적으로 인증을 위해서는 토큰 출력과 동시에 토큰에서 제공되는 정보와 함께 Personal Identification Number(PIN; 개인식별번호)를 입력해야 합니다.

공격

사용자가 신뢰할 수 없는 네트워크(인터넷 등)를 경유하여 인증할 수 있는 시스템은 man-in-the man-in-the-middle 공격에 취약합니다.이런 유형의 공격에서는 부정 행위자는 사용자와 정규 시스템의 '중개자' 역할을 하며 정규 사용자로부터 토큰 출력을 요청하여 인증 시스템 자체에 공급합니다.토큰 값이 수학적으로 정확하기 때문에 인증은 성공하고 부정 행위자에게 접근권이 부여됩니다.씨티은행은 2006년 우크라이나에 기반을 둔 중간자 피싱 [11][12]공격의 희생자가 된 하드웨어 토큰을 장착한 비즈니스 사용자들로 헤드라인을 장식했다.

법규 위반

2012년 INRIA Paris-Rocquencourt의 Prodecco 연구팀은 Secur를 포함한 여러 PKCS #11 암호화 장치에서 비밀 키를 추출하는 효율적인 방법을 개발했습니다.ID 800.[13][14] 이러한 결과는 INRIA 기술 보고서 RR-7944, ID hal-00691958에 [15]문서화되어 CRITO 2012에서 [16]발표되었습니다.

디지털 서명

일반 수기 서명으로서 신뢰받는 디지털 서명은 서명 권한을 가진 사람만이 알고 있는 개인 키로 작성해야 합니다.개인 키의 안전한 온보드 생성 및 저장을 가능하게 하는 토큰은 사용자의 신원을 증명하는 역할을 하므로 안전한 디지털 서명을 가능하게 하며 사용자 인증에도 사용할 수 있습니다.

토큰이 사용자를 식별하려면 모든 토큰에 고유 번호의 종류가 있어야 합니다.일부 국가 [citation needed]법률에 따르면 모든 접근 방식이 디지털 서명에 완전히 적합한 것은 아닙니다.온보드 키보드나 다른 사용자 인터페이스가 없는 토큰은 일부 서명 시나리오에서는 사용할 수 없습니다.예를 들어, 자금을 이체하는 은행 계좌 번호에 근거해 은행 거래를 확인하는 경우입니다.

「 」를 참조해 주세요.

레퍼런스

  1. ^ "OnlyKey Hardware Password Manager - One PIN to remember". OnlyKey. Retrieved 16 April 2018.
  2. ^ RD, Token2 (2019-01-07). "Time drift: a major downside of TOTP hardware tokens". Medium. Retrieved 2020-11-21.
  3. ^ "Time Drift in TOTP Hardware Tokens Explained and Solved - Protectimus Solutions". Protectimus. 2019-06-03. Retrieved 2020-11-21.
  4. ^ de Borde, Duncan (2007-06-28). "Two-factor authentication" (PDF). Siemens Insight Consulting. Archived from the original (PDF) on 2012-01-12. Retrieved 2009-01-14.
  5. ^ 2005-12-29 Wayback Machine에서 아카이브된 집적회로 카드인터페이스 디바이스 사양(usb.org)
  6. ^ Biba, Erin (2005-02-14). "Does Your Car Key Pose a Security Risk?". PC World. Retrieved 2009-01-14.
  7. ^ "Verfahren zum Steuern der Freigabe einer Einrichtung oder eines Dienstes, als Master ausgebildete Sendeempfangseinrichtung sowie System mit derartiger Einrichtung". dpma.de. Retrieved 16 April 2018.
  8. ^ "cgToken certgate". www.certgate.com. Archived from the original on 2013-10-09.
  9. ^ "Biometric U2F OTP Token - HYPR". HYPR Corp. Retrieved 16 April 2018.
  10. ^ 프로그램 가능한 하드웨어 토큰 Token2 miniOTP
  11. ^ Leyden, John (2006-07-13). "Phishers rip into two-factor authentication". The Register. Retrieved 2018-09-25.
  12. ^ Krebs, Brian (July 10, 2006). "Citibank Phish Spoofs 2-Factor Authentication". The Washington Post. Retrieved 2018-09-25.
  13. ^ Sengupta, Somini (2012-06-25). "Computer Scientists Break Security Token Key in Record Time". New York Times. Retrieved 2012-06-25.
  14. ^ Owano, Nancy (2012-06-27). "Team Prosecco dismantles security tokens". Phys.org. Retrieved 2014-03-29.
  15. ^ "Prosecco :: Publications". Retrieved 2014-03-29.
  16. ^ "Accepted Papers CRYPTO 2012". Retrieved 2014-03-29.
일반 참고 자료

외부 링크