KR20020070692A - 간접적인 패스워드 입력을 통한 사용자 확인방법 - Google Patents

Abstract

본 발명은 사용자와 패스워드 제어시스템 간에 사전에 약속한 함수 및 패스워드 제어시스템으로부터 제공되는 변수값으로 계산된 값을 입력하는 것에 의해 사용자 확인을 받을 있도록 하는 간접적인 패스워드 입력을 통한 사용자 확인방법에 관한 것으로, 종래에는 패스워드를 통해 사용자를 확인받고자 할 때 무엇을 알고 있는지 알고 있는 것을 직접적으로 입력하는 것이 일반적이기 때문에 시행착오법이나 추측법을 통해 알아내거나 사용자가 사용하는 것을 지켜보면 도용할 수 있는 문제점이 있었던 바, 사용자가 패스워드 입력방법을 소정의 패스워드 제어시스템과 약속되거나 주어지는 변수로 된 함수로 등록하고, 이후 사용자 확인을 받는 시점에서 입력되는 값이 패스워드 제어시스템과 약속되거나 주어져서 정해지는 변수값을 대입하여 사용자가 등록한 함수로 계산한 값인지 비교해서 사용자를 확인하는 것을 특징으로 하는 본 발명에 의하면 사용자가 입력하는 것이 본인이 알고 있는 패스워드 입력 방법에 의해 나온 결과치만 입력하며, 입력하는 내용에 식별자에 대해 사용하고자 하는 권리 행사 방법을 구분해둔 채널번호와 함께 입력하고, 응답시간 범위내에 입력하면 도용자가 패스워드를 입력한 것을 비디오카메라를 몰래 설치하여 훔쳐본다 하더라도 도용할 수 없을 뿐 아니라 사용자의 확인이나 인증이 필요한 각종 현금자동 지급기, 신용카드 조회기, 디지털 서명, 휴대형 단말기, 전자상거래 등에서 필수적인 요소 기술로 사용할 수 있으며, 신용카드 등의 카드류나 은행계좌, 사용자의 ID, 신분증 등에서 사용자의 권한을 효과적으로 보호할 수 있게 된다.

Description

간접적인 패스워드 입력을 통한 사용자 확인방법 {User identification with an improved password input method}

본 발명은 사용자와 패스워드 제어시스템 간에 사전에 약속한 함수 및 패스워드 제어시스템으로부터 제공되는 변수값으로 계산된 값을 입력하는 것에 의해 사용자 확인을 받을 수 있도록 하는 간접적인 패스워드 입력을 통한 사용자 확인방법에 관한 것으로, 더 자세하게는 사용자가 정상적으로 입력하는 패스워드를 지켜보아도 입력된 패스워드를 통해서는 도용할 수 없도록 패스워드를 제어하는 패스워드 제어시스템을 구성하고 이를 통해 사용자를 확인할 수 있도록 한 것에 관한 것이다.

일반적으로 컴퓨터의 각종 응용프로그램을 실행하거나 인터넷을 통해 특정 사이트에 접속할 때에는 사용자의 신분을 확인하기 위하여 사용자로 하여금 사용자 식별자(ID)와 패스워드를 입력하도록 하고 있는 예가 많은 바, 사용자가 입력하는 식별자와 패스워드를 등록된 아이디와 패스워드와 비교하여 일치하면 그 사용자에게 해당 프로그램을 실행할 권한이나 해당 사이트의 각종 컨텐츠를 이용할 권한을 주게 된다.

그러나 상기 종래의 기술은 사용자 식별자와 패스워드의 상관관계가 일정하여 많은 수의 식별자를 관리하는 은행이나 카드사 등에서는 일정한 식별자에 대한 패스워드 입력 오류를 제한한다고 하더라도 일정한 패스워드에 대한 수많은 식별자를 계속 바꾸어 입력하게 되면 입력오류 횟수 제한에 관계없이 해당 패스워드와 일치하는 식별자를 찾아낼 수 있게 되고, 식별자나 패스워드를 입력하는 방법도 누구나 알 수 있는 규칙을 가지고 있기 때문에 사용자 옆에서 사용자 몰래 훔쳐 보거나 카메라를 몰래 설치하는 등 사용자가 식별자와 패스워드를 입력하는 것을 직접 보거나 입력하는 내용을 기록하는 프로그램을 확인하거나 통신 경로 상에서 가로채기나 도청을 통하거나 보관되어 있는 패스워드를 훔쳐내면 사용자 본인이 아니라도 식별자에 대한 패스워드를 알아내어 사용자의 권한을 도용할 수 있게 되는 문제가 있었다.

즉, 종래에는 식별자와 패스워드가 단 한번이라도 노출되거나 전술한 방법 등으로 알아내게 되면 그 이후는 도용자도 쉽게 쓸 수 있게 되고, 도용자가 여러 방법으로 알아낸 식별자의 패스워드를 축적하였다가 한꺼번에 사용할 수도 있는 문제가 있었다.

다시 말하면 이와 같은 식별자 및 패스워드 도용은 그 동안 사용자만이 알고 있는 것을 확인하는 방법에 있어서 패스워드가 단순히 본인이 정한 고정되어 있는 일정 길이의 문자열이나 숫자열 또는 문자와 숫자, 기호 등을 조합한 것으로 되어 있기 때문에 입력하는 것을 보거나 등록되어 있는 것이 노출되면 어느 누구라고 다음에 바로 재사용이 가능하다는 문제점이 있었다.

본 발명은 상기 종래 기술의 문제점을 해결하기 위해서 안출한 것이며, 그 목적이 사용자가 자신의 권리를 스스로 원하는 만큼 패스워드를 입력하는 방법을 사용자가 스스로 정하도록 하고 입력하는 단계에서부터 사용자가 식별자에 대한 권리의 표현을 할 수 있도록 하여 단지 패스워드를 입력하는 것만을 지켜보아서는 패스워드를 알 수 없도록 하며, 본인이 아니면 패스워드를 다시 사용하기 어렵도록패스워드를 입력할 때 사용자가 등록되어 있는 계산방식을 통해 계산된 결과를 입력하는 방법, 다시 말해 사용자가 정한 변수로 이루어진 계산식이나 함수를 알고 있느냐를 직접적인 계산식이나 함수를 입력하는 것이 아니고 이를 통해 처리된 결과만을 입력하는 간접적으로 알고 있는 것을 확인하는 방법을 사용하는 패스워드 제어시스템을 구성하고 입력 결과를 해석하여 사용자를 확인하는 간접적인 패스워드 입력을 통한 사용자 확인방법을 제공하는 데에 있는 것이다.

도 1은 본 발명의 패스워드 제어시스템 구성의 일 예를 나타낸 블럭도

도 2는 본 발명에 따른 패스워드를 통한 사용자 확인방법을 설명하기 위한 흐름도

* 도면의 주요부분에 대한 부호의 설명 *

1 : 패스워드 저장소2 : 패스워드 입력방법 저장소

3 : 참조변수저장소4 : 참조신호관리장치

5 : 출력장치6 : 채널저장소

7 : 입력장치8 : 반응시간 저장소

9 : 중앙처리장치10 : 임시저장소

11: 외부연락장치12 : 통신선

본 발명은 상기의 목적을 달성하기 위하여 사용자가 본인이 알고 있는 패스워드 입력방법에 의해 나온 결과치만 입력하도록 하고, 입력하는 내용에 식별자에 대해 사용하고자 하는 권리 행사 방법을 구분해둔 채널번호와 함께 입력할 수 있도록 하며, 응답시간 범위내에 입력하도록 하는 것을 특징으로 하는 패스워드 제어시스템을 구성하여 사용자를 확인하는 것을 특징으로 하며, 이하 그 구체적인 기술내용을 좀더 자세히 설명하면 다음과 같다.

우선 본 발명을 기술하는 데에 있어서 중요한 용어의 정의를 정리하면 다음과 같다.

* 식별자 : 다른 것과 변별력을 갖는 것. 즉 주민등록증, 카드, 통장, USER ID, 신분증, 차량, 디지털인감, 문서, 목소리, 홍채, 지문 등에 다른 것과 구별이 되도록 디지털화 한 것으로 카드의 경우 카드번호가 되고, 지문의 경우는 지문인식기를 통해 생성된 지문데이터나 지문관리번호가 된다.

* 사용자 : 식별자에 대해 정당한 사용권리를 가진 자

* 채널 : 사용자가 식별자의 권리 수행방법을 여러 개로 구분하여 둔 것

* 참조신호 : 시스템이 정해서 사용자에게로 보내주는 변수

* 참조변수 : 사용자가 정한 변수로써 시스템과 사용자가 공유할 수 있는 데이터로써 통신을 하지 않고 알 수 있는 것으로 년, 월, 일, 시, 분 등

* 패스워드 입력방법 : 사용자가 입력할 때 패스워드, 참조신호, 참조변수, 채널 등으로 이루어진 계산방법과 해석과 순서를 정해 입력(표현)하는 방법 .

* 응답시간 : 사용자가 입력방법대로 계산하여 결과를 입력하는데 까지 걸리는 시간

* 간접적인 패스워드 입력방법 : 사용자가 알고 있는 것을 등록되어 있는 내용을 그대로 입력하는 것이 아니고 방법대로 처리한 결과를 입력하는 것으로, 즉 어떤 계산식이 등록되어 있다면 계산식을 입력하는 것이 아닌 계산한 답을 입력하고, 특정시간에 특정한 것을 눌러야 된다면 특정한 시간에 특정한 것을 누르는 것으로 패스워드를 입력하는 방법

본 발명은 c기존의 사용자의 확인을 위해 패스워드를 사용하는 패스워드 제어시스템에서 사용하는 [무엇을 알고 있느냐]를 확인하는 방법에서 어떤 것을 알고 있는지를 직접 확인하는 것이 아니라 알고 있는 방법을 통해 처리한 결과만을 입력하도록 하고, 알고 있는 것을 간접적으로 확인함으로써 사용자를 확인하는 것이다.

이와 같은 본 발명을 보다 쉽게 설명하면, 예를 들어 시스템과 약속해서 알고 있는 것이 어떤 수식이라면 그 수식을 직접 입력하는 것이 아니라 해당 시스템에서 제공하는 숫자 등을 그 수식에 대입하여 계산된 결과만 입력하는 것이다.

또한 본 발명은 기존에 한 식별자에 대해 사용권한이 패스워드로 구분되지 않고 모든 권한이 모두 한 패스워드에 달려 있던 것을 사용자가 동일 식별자에 대해서도 사용권한을 채널을 통해 구분할 수 있도록 한 것이다.

이는 사용자가 가지고 있는 여러 식별자를 주민등록번호와 같은 몇 개의 식별자로 통합시킬 때 특히 유용하며, 한 번의 패스워드 통과로 모든 권한을 획득하는 위험을 줄이고, 도용자가 한 사용자의 권한을 모두 획득했는지 알기 어렵도록 하기 위한 효과적이 수단이 되는 바, 사용자별로는 몇 개의 채널만 사용하겠지만 도용자의 입장에서는 공표된 모든 채널에 대해 점검을 해야 될 것이므로 무작위적으로 접근할 수 없는 수단으로 작용하게 된다.

즉, 일반적으로 채널의 프로세스에는 사용자의 위치를 파악해서 신고하는 채널도 있고, 권한내용을 허위로 표현하는 채널이나, 접근하는 시스템을 정지시키는 채널 등 사용목적에 따라 여러 채널을 둘 수 있으므로 도용자에게 사용자가 채널의 내용을 알려주더라도 사실유무를 확인할 수 있는 수단이 없어 도용하는 것을 저지시킬 수 있게 된다.

또한 본 발명의 다른 특징은 컴퓨터나 자동화된 로봇과 같은 장치를 통해 무작위적으로 식별자에 대한 패스워드를 알아내려고 할 때에 찾고자하는 패스워드가 입력되었을 때도 인지하지 못하고 끝까지 수행하게 되거나 수행시간의 조정으로 무작위적으로 찾는 시간을 길게 하기 위하여 패스워드를 통해 사용자를 확인할 때에 사용자가 정한 응답시간을 지키는지 확인하는 데에 있다.

본 발명에 있어서 패스워드는 시스템에서 제공하는 타이머나 개별적인 방법을 통해 정해진 시간사이에 입력하면 되지만 도용자는 사용자가 사용한 시간의 범위를 유추하기가 힘들기 때문에 관찰된 시간을 정확히 지켜야 되는 부담으로 작용하여 많은 시행착오를 거치게 되며, 사용한 응답시간 자료가 쌓이면 통계학적으로 접근하여 사용자를 좀더 잘 확인할 수 있게 된다.

즉, 사용자가 정한 응답시간 범위가 넓게 설정되어 있다 하더라도 통계적인 방법에 의해 평소의 응답시간과 괴리가 큰 경우에는 사용자가 이상상태로 간주하여 중요한 권한 행사를 제한할 수 있으며, 이는 사용자가 위급시 대처할 수 있는 수단으로도 사용된다.

도 1은 본 발명에 대한 개념을 도입 구성한 일반적인 패스워드 시스템의 구성의 일 예로써, 본 발명의 패스워드 제어시스템은 식별자(ID)에 대한 패스워드를 저장하는 패스워드저장소(1)와, 동일 식별자에 대한 패스워드를 기본변수로 만든 수식이나 함수를 저장하는 패스워드 입력방법 저장소(2)와, 사용자가 입력할 때 참조하는 변수를 저장하는 참조변수저장소(3)와 참조신호를 관리하는 참조신호관리장치(4)와, 이를 표시하는 출력장치(5)와, 식별자에 대한 권리 행사의 종류를 정한 채널저장소(6)와, 사용자가 결과를 입력하는 입력장치(7)와, 입력하는 반응시간을 저장하는 반응시간 저장소(8)와, 입력한 반응시간과 입력된 결과를 비교ㆍ해석하여 등록되어 있는 패스워드와 계산식을 알고있는지를 확인한 후 사용자가 요구한 해당 채널의 프로세스를 수행하고 통제관리하는 중앙처리장치(9)와, 수행시 필요한 임시저장소(10)와, 외부와 연결되는 출력포트(11), 그리고 이들 상호간 신호를 주고받는 통신선(12)으로 구성된다.

이와 같이 구성된 본 발명의 패스워드 제어시스템을 통한 사용자의 확인 방법은 도 2의 패스워드 제어시스템의 흐름도와 같이 사용자가 사용하고자 하는 식별자를 입력하는 단계(21), 사용자가 입력할 때 패스워드, 참조신호, 참조변수, 상수와 채널로 이루어진 계산방법과 해석과 순서를 정해 표현하는 방법에 의해 입력되어져야 할 결과를 입력하는 단계(22), 사용자로부터 입력된 결과를 유효한 것과 채널을 분류하고 응답시간을 계산하는 약속된 방법에 따라 재계산하는 단계(23), 입력된 응답시간이 사용자가 정한 응답시간내인지 판단하고 시스템이 계산한 결과와 해석하고 비교하는 단계(24), 결과가 맞으면 식별자에 대한 사용자를 확인한 것으로 간주하여 함께 요구된 채널의 프로세스를 수행하는 단계(25)로 이루어지며, 사용자가 입력한 결과가 시스템이 계산한 결과와 일치하지 않을 경우는 사용자가 아닐 때 처리하는 프로세스를 수행하는 단계(26)를 포함한다.

이와 같은 본 발명의 간접적인 패스워드 입력을 통한 사용자 확인방법은 식별자에 대한 사용자의 확인과 인증을 사용자가 알고 있는 것을 확인하는 방법을 이용하는 산업의 여러 분야에 범용적으로 응용될 수 있는 것으로, 그 중 폰뱅킹(Phone Banking)에 적용한 예를 자세히 설명을 하면 다음과 같다.

폰뱅킹시스템에서의 구성은 도 1의 패스워드 제어시스템의 구성에서 사용자 인터페이스를 위해 자동응답시스템(ARS)을 추가한 것으로 볼 수 있으므로 도 1을 그대로 참조하여 설명하기로 하며, 폰뱅킹에서 자동응답시스템(ARS)은 패스워드 제어시스템의 출력장치(5)와 입력장치(7)에서 사용자와 음성으로 통신하기 위한 인터페이스 부분으로 패스워드 제어시스템과 연결되는 단말기의 종류에 따라 달라지고 본 발명의 요지와는 무관하므로 자세한 기술과 표기는 생략하기로 한다.

폰뱅킹 서비스를 받고자 하는 사용자는 자동응답시스템(ARS)에 전화로 접속을 한 뒤 사용할 계좌번호를 누른다.(도 2에서 식별자를 입력받는 단계)

패스워드 제어시스템의 참조신호관리장치(4)에서 참조신호를 임의의 숫자를 선별하여 하나 또는 그이상의 숫자를 순차적으로 자동응답시스템(ARS)으로 보내고 패스워드 제어시스템의 임시저장소(10)에 참조신호내용과 보낸 시각을 임시 저장하며, 자동응답시스템(ARS)은 참조신호를 음성으로 들려준다.(도 2에서 참조신호를 보내는 단계)

한편 기등록되어 있는 패스워드가 예를 들면 1234이고, 등록되어 있는 패스워드 입력방법이 예를 들면 패스워드 + 300 - 참조번호 * 10 + 채널번호이며, 원하고자 하는 거래 즉, 10만원 미만거래를 채널번호 3으로 등록했었다고 가정하면 계산결과값인 15293을 입력하면(도 2의 결과를 입력받는 단계) 패스워드 제어시스템에서는 비밀번호 입력방법 저장소(2)에서 채널이 입력되는 부분을 파악하여 마지막에 입력된 채널번호를 임시저장소(10)에 저장하고 비밀번호저장소(1)에서 비밀번호와 임시저장소(10)에서 사용자에게 보낸 참조신호와 채널번호를 대입하여 입력방법 저장소(2)의 해당되는 식별자가 입력되어야 할 내용을 계산한 후 사용자가 입력한 내용과 비교한다.(패스워드 제어시스템이 계산한 결과가 사용자가 입력한 결과 같은지 비교하는 단계)

상기에서 사용자 입력값과 패스워드 제어시스템의 자체 계산값을 비교하여일치되면 사용자가 참조신호를 받고 입력하기까지의 응답시간을 계산하여 사용자가 정한 응답범위내이면 응답시간 저장소(8)에 저장하고 요구한 해당채널의 권한내에서 사용권한을 행사할 수 있도록 해당 채널의 해당 프로세스를 수행한다.(도 2의 해당채널 수행단계)

해당 채널의 기능은 시스템에서 제공하는 수많은 프로세스로써 사용자와 시스템간 사전에 약속되어 있는 선택한 프로세스의 한가지인 바, 일 예로 상기 사용자가 요구한 프로세스는 10만원 이상의 거래를 선택하면 서비스를 중단하게 하는 것을 요구한 채널 3의 프로세스를 수행한다.

그리고 사용자 입력값과 패스워드 제어시스템의 자체 계산값을 비교하여 일치하지 않으면 일치하지 않을 때의 프로세스(예를 들면 처음으로 되돌아가는 것 등)를 수행하게 된다.

이하 본 발명의 취지와 목적 및 수단에 대해 기술되지 못하거나 부족한 부분에 대해 다시 상세히 설명하면 다음과 같다.

우선 패스워드 입력방법을 설정하는 방법에 대해서 설명한다.

등록된 패스워드가 10진수로 되어 있고 N자리로 되어 있으면

패스워드 P는

채널번호 Ch는

Ch = { Ch1, Ch2, ... }

참조신호가 10진수 N자리로 되어 있으면

참조신호 S는

참조변수 V를 날짜와 시간으로만 했을 경우

참조변수 V는

패스워드 입력방법 I는

로 표현할 수 있으며, 입력방법은 사용자가 정하는 것으로, 예를 들면

로 설정할 수 있다.

이와 같이 설정한 경우 숫자로 이루어진 몇 자리수의 결과(Sol)는

이므로 만약 등록된 패스워드가 4자리였다면 4자리에서 7자리 또는 그 이상의 자리수가 될 것이다.

채널을 입력하지 않고 각 자리별로 가감승제 거듭제곱 등에 나오는 특정수의 나머지수로 입력을 하면 4자리수로 입력되겠지만 입력되어지는 결과에 본인이 아닌 관찰자의 입장에서는 관찰했다가 다음에 사용하기 위해서는 역으로 사용자가 정한 입력방법과 참조신호와 참조변수 및 패스워드 외에도 입력식을 알아야 사용할 수 있는데 입력한 내용으로 이를 유추해 알아내기는 거의 불가능하게 되며, 따라서 결과를 도출해내기 위한 상기 요소 중에서 어느 하나라도 모를 경우에는 결과값을 우연히 맞출 확률밖에 없으며, 관찰한 후에도 결국 우연히 맞출 확률만이 존재하게 된다.

본 발명에서 사용자가 사용하기 쉽도록 시스템에서 설정하는 것을 도와주는 방법은 이 분야에 종사하는 기술자의 경우 여러가지 도구를 만들 수 있을 것이나 본 발명의 취지가 아니므로 생략한다.

응답시간 설정 및 확인 부분은 퍼스날 컴퓨터나 현금 자동입출금기 같은 디스플레이가 있는 장치나 시스템에 대해서는 전화기와 같은 단말기보다 좀더 효과적으로 구성할 수 있다.

즉, 시스템에서 보내주는 참조신호로 셋팅 후 작동하기 시작하는 타이머를 1개 또는 복수개를 설치하고 사용자는 타이머를 변수로 하여 설정되도록 수식을 등록 할 수도 있는 바, 특정숫자 사이일 때는 아무 의미없는 숫자나 문자를 아무렇게나 간주함으로써 관찰자를 혼란시키게끔 할 수도 있고, 특정채널은 타이머중 한 숫자가 특정숫자일 때 입력해야만 유효하도록 등록하는 등 여러가지로 관찰자를 따돌릴 수 있도록 구성할 수가 있다.

패스워드를 입력할 때 참조하는 변수는 적용되는 곳에 특성에 따라 여러가지로 설정할 수 있는 것으로, 방문객의 수를 공표하는 경우는 사용자의 경우 본인이 입장했을 때의 방문객 카운터의 마지막 자리수를 참조할 수 있고, 주식계좌의 경우는 종합주가지수를 참조할 수도 있으며, 본인의 보유주식수로 할 수도 있다.

그리고 은행의 경우 계좌 이체시에 사용되는 이체패스워드는 보내는 계좌의특정자리를 참조변수로 할 수도 있다.

따라서 참조변수는 시스템과 사용자가 공유할 수 있는 것이라면 무엇이든지 설정이 가능하다.

패스워드 입력방법은 사용자의 기호에 따라 마음대로 정할 수 있는 것으로, 상기와 같은 방법외에 패스워드 변경을 주기적으로 원하는 사용자는 날짜나 시간 등을 변수로 쓸 수도 있고, 참조신호와 참조변수 및 비밀번호 등으로 이루어지는 수식을 이용할 수도 있으며, 참조신호 숫자만큼 패스워드와는 무관한 숫자를 입력도중에 삽입하는 방법을 선택할 수도 있고, 사용하고자 하는 채널의 위치를 패스워드 앞뒤나 패스워드 중간에 입력하는 방법을 선택할 수도 있다.

참조변수도 보이는 그대로 사용하지 않고 수식으로 가감승제하거나 특정함수로 변형해서 참조할 수도 있다.

따라서 참조변수는 패스워드 제어시스템과 사용자가 공유할 수 있는 참조변수로 설정할 수 있고, 패스워드를 입력하는 방법도 사용자가 임의로 설정할 수 있다.

전술한 폰뱅킹의 예에서 입력하는 15293의 결과는 수많은 패스워드와 수많은 수식의 조합으로 나올 수 있는 결과와 동일하다. 따라서 사용자가 아닌 제 3자의 입장에서는 알 수 없다.

좀더 패스워드 제어시스템의 성능을 높이고자 한다면 참조신호를 몇가지를 주어 각 사용자마다 특정순서에 있는 숫자를 선택하거나 몇 개를 조합해서 함수를 쓰도록 할 수도 있다.

또한 참조번호를 부여한 후 입력되는 시간을 측정하여 자료화하면 통계적인 방법에 의해 사용자 확인을 좀더 세밀하게 할 수 있다.

참조신호를 받아서 자동으로 수행되는 프로그램의 공격을 막기 위해서는 참조신호를 그래픽이나 영상자료의 형태로 보내는 방안 등은 본 발명에 대해 부대적인 것으로, 그에 대한 자세한 설명은 생략하기로 한다.

따라서 사용자의 입장에서는 본인이 설정해둔 방법대로 간단하게 입력하지만 도용자의 입장에서는 과연 어느 것이 참조변수로 하여 계산되어 나온 것이고, 또 어느 것이 무의미한 숫자이고, 어느 것이 채널인지를 입력되는 결과의 숫자를 가지고는 사용자가 알고 있는 패스워드와 패스워드 입력방법과 요구한 채널을 알 수가 없다.

또한 패스워드는 자원을 제공하는 관리처(은행이나 신용카드사, 전자상거래 사이트 등) 또는 암호화되어 있는 사용자의 소지품(예를 들면 스마트카드, 전자 서명키 등)에 따로 보관하여 두고, 사용자의 패스워드 입력방법만을 따로 관리하는 제 3자 입장에서 객관적으로 사용자 확인을 중계하는 인증기관을 운영할 수도 있다.

여기에서 패스워드 입력방법의 보관방법은 패스워드 보관방법과 다른 암호화로 변형 보관하는 방법이 제시된다.

예를 들어 폐쇄형 스마트카드의 경우 스마트카드와 스마트카드 리더기를 패스워드 제어시스템으로 구성할 때는 패스워드 제어시스템을 양쪽으로 배분하여 구성하고 사용자 확인을 할 때 상기에 언급된 방법으로 패스워드 입력방법에 대한 결과를 입력받음으로써 사용자가 인증되는 방법으로 구성하면 된다.

따라서 본 발명의 개념은 산업상의 여러분야에 응용될 수 있는 것으로 디지털 도어록 등 단일기기는 물론이고, 출입문의 통제관리 시스템이나 통신이나 파일, 디지털 서명키, 스마트카드 및 카드리더기 등의 각종 암호화와 복호화의 키워드로 활용될 수 있으며, 인터넷 전자상거래에서 활용되는 각종 사용자의 확인이나 전자금융거래, 신용카드조회기, ATM 단말기, 그리고 핸드폰이나 PDA 등의 소형 무선통신기 및 양방향 TV 등 상호 신호를 주고받는 분야에 광범위하게 적용할 수 있는 것인 바, 이것은 그 분야에 통상적인 지식을 가진 자이면 본 발명의 요지에 벗어나지 않는 범위내에서 그에 맞는 패스워드 제어시스템을 용이하게 구성할 수 있을 것이다.

이상에서 설명한 바와 같이 본 발명은 입력되는 패스워드를 지켜보더라도 원래의 패스워드는 무엇이고 어떠한 수식과 어떤 변수를 사용하여 지금 이 패스워드를 사용하고 있는지 알아낼 수 없으므로, 비디오 카메라를 몰래 설치해두었다 하더라도 도용할 수 없는 효과가 있다.

따라서 입력 단계에서 이미 도용할 수 없으므로 경로상에서 가로채기 등의 과정상에서 해킹은 무용지물이 된다.

또한 사용자의 기호에 따라 패스워드가 구성되는 수준에 차이가 생기게 되어 시행착오법으로 알아내고자 할 때에 패스워드를 입력하는 방법이 개인별로 설정한변수와 수식으로 이루어져 있으므로 엄청난 경우의 수가 발생되게 되어 컴퓨터처리를 통해서도 시간이 많이 걸리며, 찾아낸 입력 패스워드가 정확한 패스워드와 패스워드 수식으로 이루어 진 것이 아니므로 다시 사용할 수 없는 효과가 있다.

그리고 재사용할 수 없는 것은 해킹으로 사용자의 권리를 축적해서 한꺼번에 사용하는 소지를 줄여 대형 신용사고를 방지할 수 있는 효과가 있다.

따라서 2차 통과시에만 오류입력 한도 초과시 처음으로 다시 시작하도록 하면 되므로 계좌 정지 등 정상 사용자의 불편을 초래하는 조치에 대해 상당히 여유있게 처리할 수 있는 효과가 있다.

패스워드를 입력받을 때 기억과 계산을 통해 입력되는 응답 속도의 차이도 생기게 되지만 사용자는 항상 자신이 사용하는 방법을 쓰게 되므로 정상적인 상태에서는 입력속도가 일정한 범위에 속하게 되고, 타인의 경우에는 암산해서 입력하는 응답속도가 다르므로 내용이 맞았더라도 틀린 경우로 처리되어 시행 착오법으로는 알아내기 힘들며, 강제로 알아내어 대신 사용하기도 어려운 효과가 있다.

입력하는 패스워드 사이 또는 앞뒤에 설정된 채널을 통해서 같은 식별자에 대해 권한을 변경하거나 사실을 알리는 기능을 통해서 강제로 사용하게 되는 경우나 임시로 사용할 경우에도 사용자의 권리를 보장할 수 있는 효과가 있다.

또한 이것은 우연히 통과되는 경우 해커의 입장에서는 원래의 권한에 접근했는지 알 수가 없으므로 해커의 시간과 자원을 낭비시키는 효과가 있다 .

사용할 때만 작동되는 타이머를 활용할 경우 사용자마다 개별적으로 관리를 함으로써 오류처리 시간 등을 확인하면 누군가가 자신의 계좌 등을 노리고 있다는것을 감지할 수 있어 적절한 대응을 할 수 있다.

은행이나 카드사 등의 패스워드 파일이 유출되었다 하더라도 패스워드 입력방식을 모르므로 도용이 어렵고, 패스워드 입력 수식까지 유출되었다 하더라도 식별자가 서로 다른 방법으로 변형되어 있으므로, 같은 식별자에 대한 패스워드와 대응되는 패스워드 입력방식을 알아내기 힘든 효과가 있다.

따라서 식별자가 암호화되는 스마트카드나 디지털 서명키 등에 대해서는 패스워드를 자체에 내장하여 사용자가 관리하는 경우에도 안전한 효과가 있다.

따라서 도용하기 위해서는 위험을 감수하여 많은 시간과 많은 비용을 들이고도 해킹의 성공 가능성을 확신할 수 없게 되므로 해킹에 대한 시도자체를 무산시키는 효과가 있다.

상기 효과로 인해 사용자의 확인이나 인증이 필요한 산업에 여러가지 용도로 활용할 수 있어 카드나 은행계좌, 디지털 서명키 및 각종 전자문서 등에 대해서 제 3자의 입장에서 사용자를 확인하고 인증할 수 있고, 스마트카드화 된 여러 종류의 카드와 신분증 등에 대해서는 폐쇄형 온라인형 등의 형태에 활용할 수 있다.

그리고 패스워드 입력을 숫자만으로도 할 수 있으므로 리모콘이나 휴대용 기기 등의 소형장치와 시스템에서도 널리 활용할 수 있다.

또한 전화기와 같은 음성으로 하는 경우에도 음성으로 계좌를 불러주고 패스워드를 말해도 되므로 장애자 경우에도 패스워드를 사용하는 거래를 할 수 있다.

상기의 기술을 활용하기 위해서 현재의 기기를 변경하거나 새로 만들지 않고서도 적용할 수 있으므로 산업 전반적으로 빨리 보급할 수 있으며 새로운 기기나시스템에 대해서도 구성이 쉽고 활용 및 적용이 쉽다.

그 외에도 상기 효과를 보면 일반적 상식으로도 산업의 많은 부분에 응용할 수 있다는 것을 알 수 있다.

Claims (5)

1. 사용자가 패스워드 입력방법을 소정의 패스워드 제어시스템과 약속되거나 주어지는 변수로 된 함수로 등록하고, 이후 사용자가 식별자와 패스워드를 입력하여 사용자 확인을 받는 시점에서 입력되는 값이 패스워드 제어시스템과 약속되거나 주어져서 정해지는 변수값과 사용자가 등록한 함수로 계산한 값인지 비교해서 사용자를 확인하는 간접적인 패스워드 입력을 통한 사용자 확인방법.
2. 제 1항에 있어서, 식별자(ID)에 대한 패스워드를 저장하는 패스워드저장소(1)와, 동일 식별자에 대한 패스워드를 기본변수로 만든 수식이나 함수를 저장하는 패스워드 입력방법 저장소(2)와, 사용자가 입력할 때 참조하는 변수를 저장하는 참조변수저장소(3)와 참조신호를 관리하는 참조신호관리장치(4)와, 이를 표시하는 출력장치(5)와, 식별자에 대한 권리 행사의 종류를 정한 채널저장소(6)와, 사용자가 결과를 입력하는 입력장치(7)와, 입력하는 반응시간을 저장하는 반응시간 저장소(8)와, 입력한 반응시간과 입력된 결과를 비교ㆍ해석하여 등록되어 있는 패스워드와 계산식을 알고있는지를 확인한 후 사용자가 요구한 해당 채널의 프로세스를 수행하고 통제관리하는 중앙처리장치(9)와, 수행시 필요한 임시저장소(10)와, 외부와 연결되는 출력포트(11), 그리고 이들 상호간 신호를 주고받는 통신선(12)으로 패스워드 제어시스템을 구성하는 한편, 사용자가 사용하고자 하는 식별자를 입력하는 단계(21), 사용자가 패스워드 제어시스템에서 제공하는 참조신호, 참조변수, 상수, 채널 등과 사전에 등록한 패스워드 입력방법을 통해 처리된 간접적인 패스워드를 입력하는 단계(22), 사용자로부터 입력된 결과를 유효한 것과 채널을 분류하고 응답시간을 계산하는 약속된 방법에 따라 재계산하는 단계(23), 입력된 응답시간이 사용자가 정한 응답시간내인지 판단하고 시스템이 계산한 결과와 해석하고 비교하는 단계(24), 결과가 맞으면 식별자에 대한 사용자를 확인한 것으로 간주하여 함께 요구된 채널의 프로세스를 수행하는 단계(25) 및 사용자가 입력한 결과가 시스템이 계산한 결과와 일치하지 않을 경우는 사용자가 아닐 때 처리하는 프로세스를 수행하는 단계(26)로 사용자를 확인하는 것을 특징으로 하는 간접적인 패스워드 입력을 통한 사용자 확인방법.
3. 제 1항에 있어서, 패스워드 제어시스템에서 제공되는 변수값과 사전에 정한 함수로 계산한 간접적인 패스워드를 입력할 때 불필요한 데이터를 삽입하거나 사용자의 권리를 구분하여 실행하는 프로세스를 정한 채널을 함께 입력할 수 있는 것을 특징으로 하는 간접적인 패스워드 입력을 통한 사용자 확인방법.
4. 제 1항에 있어서, 식별자에 대한 권한을 채널을 통해 구분하고, 사용자가 입력하는 채널에 따라 다른 프로세스를 제공하는 것을 특징으로 하는 간접적인 패스워드 입력을 통한 사용자 확인방법.
5. 제 1항에 있어서, 사용자가 패스워드를 입력하는 응답시간을 확인하는 것을 특징으로 간접적인 패스워드 입력을 통한 사용자 확인방법.