공공웹사이트 인증 수단 소개

■ 공공웹사이트 인증 수단 소개

1.  인증수단 개요

□ 공공웹사이트에서 본인확인 및 본인인증(로그인 등)수단으로 이용 가능한 인증수단에 대해 소개함

□ 인증수단 분류

▷ 인증수단은 인증 특성에 따라 지식기반, 소지기반, 생체기반, 행동기반으로 분류함

 <인증특성 분류 >

 ㅇ 지식기반 :
   -  사용자가 알고 있는 지식을 활용하여 사용자를 인증하는 방법
      예시) ID/PW, 문답식 인증 등

 ㅇ소지기반 :
  - 사용자가 소지하고 있는 인증수단을 활용하여 사용자를 인증하는 방법
     예시) OTP, 휴대폰SMS,공인인증서 등

 ㅇ 생체기반 (특성기반)
  -  사용자의 생체정보를 활용하여 사용자를 인증하는 방법
     예시) 지문, 홍채, 정맥 등

 ㅇ 행동기반 (습관기반)
  -  스마트폰, 스마트패드 등을 통해 서명을 하거나 키보드를 통해 정보를 입력할 때 사용자의 행동 패턴을 분석하여 인증하는 방법
     예시) 키보드 타이핑 행위, 서명패턴 등

▷ 또한, 인증요소의 개수에 따라 단일인증방식과 다중인증방식으로 나뉨

 <인증요소별 분류>

 ㅇ 단일인증
  -  한가지의 인증요소를 이용하여 식별자의 신원을 검증하는 방식
     예시) ID/PWD 등

  ㅇ 다중인증
  - 두가지 이상의 인증요소를 함께 사용하여 안전성 및 보안성을 높여 인증하는 방식
    예시) ID/PWD+OTP, ID/PWD+ARS 등

☎ 상세 내용은 첨부파알(공공웹사이트 인증 수단 소개서)를 참고 하세요  !!!!

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

뱅크사인 (은행공동인증서비스)

 뉴딜코리아 홈페이지

​ 

뱅크사인 (은행공동인증서비스)

1. 뱅크사인 은행공동인증서비스 추진 현황

□ 은행연합회는 정부의 블록체인* 활성화 정책에 부응하고, 블록체인 기술의 금융시스템 적용을 위해 사원은행과 함께 ’16년 11월부터 ‘은행권 블록체인 컨소시엄’을 구성하여 운영하고 있음

 * 블록체인(Blockchain)은 4차 산업혁명 핵심기술 중 하나로, 중앙집중기관 없이 시스템 참가자들이 공동으로 거래정보를 기록, 검증, 보관함으로써 거래정보의 신뢰성을 확보하도록 설계된 분산장부 기술

□ 동 컨소시엄을 통해, 은행권은 블록체인 기반의 은행공동인증서비스인 ‘뱅크사인(BankSign)’ 도입을 추진해 왔으며, 오는 7월에 대고객 상용서비스를 실시할 예정임

  － 작년 11월부터 본격적인 개발에 착수하였고, 지난 4월말부터 일부 은행 임직원을 대상으로 실거래 환경에서 테스트도 진행

□ ‘뱅크사인’은 공개키(PKI; Public Key Infrastructure) 기반의 인증 기술, 블록체인 기술, 스마트폰 기술 등 첨단기술의 장점을 활용하여 전자거래의 안전성과 편의성을 높인 우수한 인증서비스이며, 은행권이 블록체인 기술을 이용한 첫 번째 공동사업이라는 의의가 있음

 － ‘뱅크사인’의 장점
   • 블록체인의 특성인 합의 및 분산저장을 통해 인증서 위‧변조 방지
   • 개인키(전자서명생성정보)를 스마트폰의 안전영역에 보관하고 항상 휴대함으로써 개인키 복제, 탈취 및 무단사용 방지
   • 뱅크사인은 스마트폰 앱 인증을 통해 모바일뱅킹과 PC 인터넷뱅킹 모두 이용 가능
   • 인증서 유효기간을 3년으로 확대하여 인증서 갱신에 따른 불편 경감 등

□ 참고로, ‘뱅크사인’ 도입 후에도 뱅크사인과 기존 공인인증서 모두 병행하여 이용이 가능함

  － 최근 전자서명법 개정안 입법예고(’18.3.30.) 등에 따르면, 공인인증서 제도 폐지에 대한 정부방침은 공인인증서의 우월적 지위*를 없애고, 시장경쟁을 통해 전자서명산업의 경쟁력을 강화하고 이용자의 선택권을 확대하자는 것임

        * 공인인증서에 무결성(전자서명 후 정보의 변경이 없음)을 부여하고, 법령에서 전자서명을 요하는 경우에는 공인인증서에 의한 공인전자서명만 인정


2. 뱅크사인 및 공인인증서 관련 참고사항

가)  공인인증서 제도 폐지에 대한 정부방침 관련

□ ‘전자서명법 개정안 입법예고(’18.3.30.)’ 주요내용

 ㅇ 정부는 공인인증서 제도가 도입초기에는 민원행정, 금융, 상거래 등 다양한 분야에서 전자적 업무처리 활성화 등에 기여하였다고 평가

 ㅇ 하지만, 현 시점에서는 오히려 전자서명시장의 발전을 저해하고, 이용자 불편을 초래하고 있다고 진단

  - 전자서명시장의 독점 초래, 전자서명기술 및 서비스 혁신 저해, 국민들의 전자서명수단 선택권 제한 등
 ㅇ 이에, 정부는 ‘공인’인증서의 우월적 지위*를 없애고, 시장경쟁을 통해 전자서명산업의 경쟁력 강화와 이용자의 선택권 확대 추진

      * 공인인증서에 무결성(전자서명 후 정보의 변경이 없음)을 부여하고, 법령에서 전자서명을 요하는 경우에는 공인인증서에 의한 공인전자서명만 인정

 ⇨ ‘공인’인증서 제도가 폐지되고 전자서명시장을 발전시킬 다양한 인증기술이 허용되므로, 뱅크사인이 도입되어도 고객은 기존 공인인증서와 뱅크사인 모두 병행하여 이용 가능

나) 인증서 제도 유지 필요성 관련

□ 인증에는 ‘본인확인’과 ‘전자서명’ 두 가지 의미가 있음

 ㅇ 본인확인은 단순히 행위당사자 본인을 확인(로그인)하는 것으로, ID/PW, SMS, ARS, 지문, 홍채 등 다양한 인증수단이 사용됨

 ㅇ 전자서명은 행위당사자 본인을 확인하는 것 외에 전자문서 등의 진위도 확인하는 것으로, 현재 공개키(PKI; Public Key Infrastructure) 기반의 전자서명 기술(공인인증서 또는 사설인증서)이 사용됨

 ㅇ 즉, 인증서는 본인확인과 전자서명이 모두 가능한 인증수단임

      * PKI 방식은 국제표준 기술로서 해외에서도 두루 사용

 ㅇ 최근 무서명 거래가 증가하고는 있으나, 서명이 요구되는 거래 또는 계약은 여전히 존재하며, 이러한 거래 등이 전자적인 형태로 이루어지는 경우에는 전자서명이 필요한 것임

 ⇨ 위와 같은 상황을 고려할 때 ‘인증서 제도’ 필요

다) 뱅크사인 이용채널 관련

□ 뱅크사인은 스마트폰 앱 인증을 통해 모바일뱅킹과 PC 인터넷뱅킹 모두 이용 가능

 ㅇ 뱅크사인은 인증절차의 보안성과 편의성을 높이기 위해 스마트폰의 첨단기술을 활용하므로 인증절차는 스마트폰에서만 가능

  - 스마트폰의 안전영역에 개인키(전자서명생성정보)를 저장하여 해킹 등에 의한 복제 및 탈취 방지

      * 스마트폰 안전영역은 외부접근이 불가능한 저장공간으로 해킹 등에 안전하나, PC는 이러한 안전한 저장공간을 사용할 수 없어 해킹 등 위험에 노출

 ㅇ 한편, 뱅크사인은 스마트폰에서 인증하여 PC 인터넷뱅킹 이용 가능

      * PC 인터넷뱅킹 화면에서 휴대폰번호 입력 후 ‘뱅크사인으로 로그인’ 선택 → 스마트폰 뱅크사인앱 활성화 → 비밀번호 등 입력 → PC 인터넷뱅킹 로그인 성공

라) 뱅크사인 이용기관 관련

□ 은행권은 이용자 편의 제고를 위해, 뱅크사인이 은행권 뿐 아니라, 정부 및 공공기관, 유관기관 등으로 이용범위가 확대될 수 있도록 관련 기관과 협의해 나갈 예정

 ㅇ 특히, 전자서명법이 개정되면, 정부 및 공공부문에서 공인인증서 외 인증수단도 이용이 촉진될 것으로 기대


☞ 첨부파일 :  뱅크사인 은행공동인증서비스

컨설팅 : ISMS, ISO27001, GDPR,PCI-DSS 

전자금융기반시설 취약점 분석·평가

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

 뉴딜코리아 홈페이지

개인정보의 안전한 관리 e프라이버시 클린서비스

2017년 8월 8일부터 주민등록번호와 아이핀 뿐만 아니라
이통3사의 휴대폰 본인확인 내역 통합조회가 가능해집니다.

더욱 새로워진 e프라이버시 클린서비스와 함께 소중한 개인정보를 안전하게 관리하시기 바랍니다.

☞ 참고자료 보기 : e프라이버시 클린서비스 : 불필요하게 가입한 웹사이트 한꺼번에 탈퇴 처리

▶ e프라이버시 클린서비스 : https://www.eprivacy.go.kr/mainList.do

꼭 지켜야 할 정보보호 실천수칙 10가지 (한국인터넷진흥원)

출처 : 뉴딜코리아 홈페이지

꼭 지켜야 할 정보보호 실천수칙 10가지

▶ 정품 프로그램 사용하기
정품 OS는 해당 OS에 대한 보안 업데이트를 꾸준히 지원해줘요.
때문에 정품이 아닌 OS로 임의로 변경하게 되면 보안 위험에 빠지기 쉬워요.

▶ 공유폴더 사용 최소화하고 사용시 비밀번호 설정
중요한 정보의 경우 USB 같은 외장하드에 저장하는 것이 안전해요.
공유폴더를 사용해야 할 때는 영어 알파벳, 숫자, 특수문자 등 3가지 종류 이상을 합하여 안전한 비밀번호를 만들어 사용해요.

▶ 공인인증서는 별도의 저장매체에 보관
공인인증서는 '나'를 인증할 수 있는 중요한 문서예요.
그만큼 더욱 더 보안이 안전한 저장매체(보안토큰, USIM, 금융IC카드 등)에 보관해야 해요.

▶ 의심스러운 메시지는 바로 삭제하기
문자를 통해 악성코드를 전송하는 스미싱의 피해가 꾸준히 증가하고 있어요.
모르는 사람에게서 온 이벤트 당첨문자, 택배 미수령 문자 등은 링크를 누르지 말고 바로 삭제해야 해요.

▶ 백신프로그램 설치하고 바이러스 검사하기
백신프로그램은 우리 PC와 스마트폰 속 악성코드 및 프로그램을 검사하고 찾아서 없애주는 고마운 프로그램이예요. 정기적으로 검사를 실시한다면 더 안전한 PC/스마트폰이 될거예요.

▶ 비밀번호 설정하고 주기적으로 변경하기
비밀번호는 주기적으로 바꿔주는 것이 좋아요.
이때, 비밀번호에 이름, 생일, 전화번호 등을 사용하지 않도록 주의해요.

▶ 신뢰할 수 없는 웹사이트는 방문하지 않기
의심스러운 웹사이트에서 로그인/회원가입을 하게 될 경우 입력한 개인정보가 바로 유출될 수 있어요.
유명 웹사이트를 똑같이 만들어 로그인하게 만드는 피싱 사이트도 조심해야 해요.

▶ 운영체제 및 소프트웨어는 자동 업데이트 설정
옛날 버전의 윈도우는 최신 바이러스에 취약해요.
자동 보안 업데이트를 설정해두면 늘 최신 버전의 윈도우를 유지할 수 있어요.

▶ 공식마켓에서 앱 다운로드 하기
공식마켓을 통해 인증 받지 않은 앱은 보안위험에 노출되어 있을 가능성이 커요.
인증 받은 앱만 사용하기로 해요.

▶ 모르는 사람이 보낸 이메일, 파일은 열어보지 않기
클릭하게 되면 자동으로 결제가 되는 피싱 사기일 수 있어요.
의심스럽다면 바로 삭제하기로 해요.

출처 : 한국인터넷진흥원

공인인증서 대리발급·서명

 뉴딜코리아 홈페이지 

공인인증서 대리발급·서명 위법 번복 사실 아냐

미래창조과학부는 24(2017.03.24)일자 한국경제 <스타트업 기 꺾은 미래부·KISA의 ‘오락가락 행정’> 제하 보도와 관련, 다음과 같이 해명했다.

미래부는 ‘KISA와 공인인증서 대리발급·서명에 대해 위법소지 결론을 내렸다가 현행법에 위배되지 않는다고 번복했고, 이로 인해 핀테크 업체가 은행의 전자등기 수주전에 탈락했다’는 내용에 대해 “이 사안은 판례(2008년), 법률자문결과(2014년)에 따라 부동산등기법·전자서명법에 위반되지 않는다고 이미 결론이 난 사안이다”고 말했다.

※ (판례) 타인의 승낙 또는 위임을 받아 그 명의로 공인인증서를 발급받고 필요한 범위 내에서만 공인인증서를 사용하도록 허락하는 것은 위법하지 않다고 판시(대법원 2008도 11361, 서울중앙지법 2008노 404)

※ (법률자문결과) 적법하게 공인인증서 발급을 위임하였고 대리인이 위임을 받아 공인인증서를 이용한 전자서명은 적법(정부법무공단, 테크앤로, 2014년)

따라서 “미래부·KISA가 공인인증서의 대리발급·서명이 위법이라고 결론을 내렸다가 번복했다는 것은 사실과 다르고 해당업체의 시중은행 전자등기 사업자 선정 탈락과도 무관하다”고 밝혔다.

‘오프라인 등기업무 위임처리는 문제가 없지만 인터넷 금융거래 등에 쓰이는 공인인증서를 타인에게 넘기는 것은 위험하다’는 내용에 대해서도 “전자등기용 공인인증서는 일반적인 공인인증서와 달리 전자등기용으로만 작동하며 인터넷 뱅킹 등 타 서비스 이용 자체가 불가능하다”고 설명했다. 
또한 ‘법원행정처가 지난해 7월 공인인증서 대리발급·서명이 위법하다고 결론내고, 미래부와 KISA에 문제해결을 촉구했다’는 내용에 대해서는 “법원행정처에서 공인인증서 대리발급·서명에 대해 위법하다고 미래부와 KISA에 의견을 제시한 사실이 없다”고 말했다.

문의 : 미래부 정보보호산업과(02-2110-2921)

2017.03.24 미래창조과학부

 

카드사 대체 인증기술 보안성 비교 분석

뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2638

 

카드사 대체 인증기술 보안성 비교 분석

[본인확인 서비스 인증 절차]

1. 개요
o `14년 온라인 카드결제시 공인인증서 의무 사용 폐지1), 온라인 간편 결제 활성화2) 대책 발표 이후 공인인증서를 대체하기 위한 기술이 지속적으로 개발되고 있음

- 다만, 대체 인증기술에 따라 이용 환경(단말기, 운영체제 등)의 제약과 절차상 요구하는 정보의 차이가 존재

o 본 보고서에서는 카드사 서비스 이용(서비스 가입, 결제* 등) 시 제공되는 공인인증서 기반 본인인증 서비스를 대체하는 인증기술의 보안성을 비교 분석함

* 결제 시 인증이 아닌 특정금액 이상 결제하여 추가인증이 필요한 경우
- 제공 예정인 서비스의 경우 일부 내용이 변경되어 출시될 수 있음

1) 금융위원회, 온라인 카드결제시 공인인증서 의무 사용 폐지를 위한 「전자금융감독규정 시행세칙」개정, 2014.5.19.
2) 금융위원회, 전자상거래 결제 간편화 방안, 2014.7.28.
3) CVC(Card Validation Code) : 카드 유효성 검사 코드로 카드의 고유번호를 의미

상세 내용은 첨부 파일을 참고 바랍니다

카드사 대체 인증기술 보안성 비교 분석

 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2431

카드사 대체 인증기술 보안성 비교 분석

- 개 요 -

o `14년 온라인 카드결제시 공인인증서 의무 사용 폐지, 온라인 간편결제 활성화2) 대책 발표 이후 공인인증서를 대체하기 위한 기술이 지속적으로 개발되고 있음

- 다만, 대체 인증기술에 따라 이용 환경(단말기, 운영체제 등)의 제약과 절차상 요구하는 정보의 차이가 존재

o 본 보고서에서는 카드사 서비스 이용(서비스 가입, 결제* 등) 시 제공되는 공인인증서 기반 본인인증 서비스를 대체하는 인증기술의 보안성을 비교 분석함

* 결제 시 인증이 아닌 특정금액 이상 결제하여 추가인증이 필요한 경우

- 제공 예정인 서비스의 경우 일부 내용이 변경되어 출시될 수 있음


- 시사점 -
o 공인인증서 의무 사용이 폐지된 후 공인인증서를 이용한 본인인증을 대체하기 위해 휴대폰 기반 본인인증 서비스가 등장하고 있으며, 인증정보를 안전하게 생성·전달하기 위해 다양한 보안 기술이 적용되고 있음

o 단말기, 추가 인증수단(IC카드)을 통해 인증 정보를 생성하는 것이 상대적으로 안전하지만, 생성되는 위치(일반영역, 보안영역)에 따라 보안성, 위험의 정도가 달라짐

o 지속적으로 발생되는 위협으로부터 이용자를 보호하기 위해서는 사전에 등록된 단말기 기반 인증 이외에도 FDS7), 거래연동 인증, TUI 등의 추가적인 보안 방안을 적용을 고려해야 함

- (FDS) 다양한 수집 데이터를 활용하여 부정인증 시도 여부를 판별하고,유사한 위협에 대해서는 신속한 정보 공유 등의 대응 방안 고려

- (거래연동 인증) 인증 값 생성 시 거래 정보와 연동하여 본인의 거래내역을 확인하여 보안 강화

- (Trusted UI, TUI) 일반영역의 입·출력 값은 캡쳐, 키로깅 등의 위험에 노출되므로 보안영역에 구현하여 입·출력 값 보호 필요


추가 내용은 첨부 파일을 참고 하세요