KR20160132609A - 관리 대상 서버에 대한 접근 제어 방법 - Google Patents

관리 대상 서버에 대한 접근 제어 방법 Download PDF

Info

Publication number
KR20160132609A
KR20160132609A KR1020150065350A KR20150065350A KR20160132609A KR 20160132609 A KR20160132609 A KR 20160132609A KR 1020150065350 A KR1020150065350 A KR 1020150065350A KR 20150065350 A KR20150065350 A KR 20150065350A KR 20160132609 A KR20160132609 A KR 20160132609A
Authority
KR
South Korea
Prior art keywords
access control
password
control device
server
user
Prior art date
Application number
KR1020150065350A
Other languages
English (en)
Inventor
서정철
임철환
장경수
양준선
Original Assignee
이니텍(주)
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 이니텍(주) filed Critical 이니텍(주)
Priority to KR1020150065350A priority Critical patent/KR20160132609A/ko
Publication of KR20160132609A publication Critical patent/KR20160132609A/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H04L63/0838—Network architectures or network communication protocols for network security for authentication of entities using passwords using one-time-passwords

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

본 발명에 의한 접근 제어 방법은, 사용자 단말기와, 관리자 단말기와, 접근 제어 장치와, 관리 대상 서버를 포함하는 환경에서 상기 접근 제어 장치가 수행하며, 상기 접근 제어 장치가 상기 사용자 단말기로부터 접근 제어 아이디와 패스워드 정보를 포함하는 제1 데이터를 전달받는 제1 단계와; 상기 접근 제어 장치가 제1 단계에서 전달받은 제1 데이터의 패킷 중 접근 제어 아이디와 패스워드가 포함되어 있는 인증 패킷을 재조합하여 상기 관리 대상 서버에 접속 가능한 아이디와 패스워드가 포함된 제2 데이터를 생성하는 제2 단계와; 상기 접근 제어 장치가 상기 제2 데이터를 상기 관리 대상 서버로 전송하는 제3 단계를 포함한다.

Description

관리 대상 서버에 대한 접근 제어 방법{Access Control Method to Server}
본 발명은 관리 대상 서버에 대한 사용자의 접근 제어 방법에 관한 것으로서 좀 더 자세하게는 사용자에게 관리 대상 서버에 접근 가능한 접근 코드를 직접적으로 노출하지 않고도 접근이 가능한 접근 제어 방법에 관한 것이다.
기업 또는 금융기관에서 사용되는 사내 정보 서버 등에 대한 안전한 접근을 위해서는 사용자별, 업무 또는 역할별로 세세하게 권한을 제한하고 우회적인 접근이 차단되어야 한다. 이와 같은 관리 대상 서버에 사용자가 단말기를 통해서 접근해서 소정의 작업을 할 수 있게 하는 대표적인 방법으로 아이디/패스워드를 통한 접근 방식이 있다. 그러나 이와 같은 오래된 방식은 아이디/패스워드의 높은 유출 가능성과, 키보드 후킹 프로그램 등을 통해서 쉽게 유출될 수 있어서 보안상 매우 취약한 단점이 있다.
이러한 보안상 취약점을 보완하고자 SMS 인증 번호를 통한 추가 인증, 일회용 비밀번호(OTP)에 의한 추가 인증 방법을 사용하고 있다.
아이디/패스워드에 의한 사용자 인증 방식은 사용자가 관리해야 하는 아이디와 패스워드의 수가 급증하게 되면 사용자가 아이디/패스워드 이력을 관리하는 불편이 증가하며, 그로 인해 많은 사용자들이 여러 관리 대상 서버에 대해서 접근할 수 있는 아이디/패스워드를 동일하게 사용하는 경우가 많다.
그리고 SMS 인증 번호 또는 일회용 비밀번호를 통한 추가 인증 방식에 의하더라도 사용자를 후킹하게 되면 관리 대상 서버에 접근할 수 있는 아이디/패스워드 정보가 노출될 가능성이 있으며, 사용자가 관리 대상 서버에 직접 접근해서 악의적인 작업을 할 가능성도 여전히 존재한다.
본 발명은 관리 대상 서버로의 접근 코드가 사용자에게 직접 노출됨으로써 야기될 수 있는 전술한 문제점을 해결하는 접근 제어 방법을 제공하는 것을 목적으로 한다.
본 발명에 의한 접근 제어 방법은, 사용자 단말기와, 관리자 단말기와, 접근 제어 장치와, 관리 대상 서버를 포함하는 환경에서 상기 접근 제어 장치가 수행하며, 상기 접근 제어 장치가 상기 사용자 단말기로부터 접근 제어 아이디와 패스워드 정보를 포함하는 제1 데이터를 전달받는 제1 단계와; 상기 접근 제어 장치가 제1 단계에서 전달받은 제1 데이터의 패킷 중 접근 제어 아이디와 패스워드가 포함되어 있는 인증 패킷을 재조합하여 상기 관리 대상 서버에 접속 가능한 아이디와 패스워드가 포함된 제2 데이터를 생성하는 제2 단계와; 상기 접근 제어 장치가 상기 제2 데이터를 상기 관리 대상 서버로 전송하는 제3 단계를 포함한다.
상기 제2 단계의 인증 패킷 재조합 과정은 접근 제어 아이디와 패스워드가 포함되어 있는 인증 패킷의 필드에 상기 관리 대상 서버에 접속 가능한 아이디와 패스워드로 바꾸는 제2-1 단계와, 상기 인증 패킷의 필드에 관련된 타 정보를 수정하는 제2-2 단계를 포함할 수 있다.
상기 타 정보를 수정하는 제2-2 단계는, 인증 패킷의 크기 정보 수정, 상기 크기 정보에 따른 패킷 배열 수정 및 내부 CRC값의 수정 단계일 수 있다.
또한, 상기 패스워드는 일회용 비밀번호 정보로 구성하는 것이 바람직하다.
본 발명에 의하면, 관리 대상 서버(40)에 접속 가능한 아이디와 패스워드가 사용자에게 노출되지 않기 때문에 보안성 및 관리 효율이 향상되며, 사용자 단말기-가상 서버 및 가상 클라이언트-관리 대상 서버간의 데이터 통신이 임의로 정해지는 세션키에 의해서 암호화되고 복호화되므로 안전하다. 사용자 역시 많은 패스워드를 관리해야 할 필요가 없는 장점이 있다.
도 1은 본 발명이 수행되는 환경을 도시한 도면.
도 2는 본 발명에 의한 접근 제어 방법의 흐름도.
도 3은 본 발명에 의한 접근 제어 방법에 사용되는 세션키의 생성 과정의 흐름도.
이하에서는 첨부 도면을 참조하여 본 발명에 대해서 자세하게 설명한다.
본 명세서에서 수행되는 정보(데이터) 전송 과정은 필요에 따라서 암호화/복호화가 적용될 수 있으며, 본 명세서 및 특허청구범위에서 정보(데이터) 전송 과정을 설명하는 표현은 별도로 언급되지 않더라도 모두 암호화/복호화하는 경우도 포함하는 것으로 해석되어야 한다. 본 명세서에서 "A로부터 B로 전송(전달)" 또는 "A가 B로부터 수신"이라 함은 중간에 다른 매개체가 포함되어 전송(전달) 또는 수신되는 것도 포함하며, A로부터 B까지 직접 전송(전달) 또는 수신되는 것만을 표현하는 것은 아니다. 본 발명의 설명에 있어서 각 단계의 순서는 선행 단계가 논리적 및 시간적으로 반드시 후행 단계에 앞서서 수행되어야 하는 경우가 아니라면 각 단계의 순서는 비제한적으로 이해되어야 한다. 즉 위와 같은 예외적인 경우를 제외하고는 후행 단계로 설명된 과정이 선행 단계로 설명된 과정보다 앞서서 수행되더라도 발명의 본질에는 영향이 없으며 권리범위 역시 단계의 순서에 관계없이 정의되어야 한다.
도 1에는 본 발명에 의한 접근 제어 방법이 수행되기 위한 환경 및 각 구성요소들 간의 관계가 도시되어 있다.
도 1에 도시되어 있는 바와 같이 본 발명이 수행되는 환경은, 관리자 단말기(10)와, 사용자 단말기(20)와, 접근 제어 장치(30)와, 관리 대상 서버(40)를 포함한다. 관리자 단말기(10) 및 사용자 단말기(20)는 데이터 통신이 가능하고 중앙 처리 장치에 의한 컴퓨터 연산이 가능한 전자 장치로서 PC, 스마트폰과 같은 모바일 통신 장치 및 태블릿 PC 등 그 종류를 불문한다.
접근 제어 장치(30)는 계정 관리부(32)와, 접근 제어 관리부(34)와, 접근 정책 관리부(36)을 포함한다. 계정 관리부(32)는 사용자가 접근 제어 장치(30)에 접근할 수 있는 아이디와 패스워드를 관리하는 접근제어장치 계정 정보(32-1)와, 관리 대상 서버 계정 정보(32-2)를 관리한다. 또한, 계정 관리부(32)는 후술하는 바와 같이 사용자에게 제공되는 일회용 비밀번호(OTP)를 생성하고 관리하는 역할을 수행한다.
접근 제어 관리부(34)는 패킷 추출/분석부(34-1)와 인증 패킷 처리부(34-2)를 포함한다. 패킷 추출/분석부(34-1)는 수신한 패킷에서 인증 패킷을 추출하고 분석하는 역할을 수행한다. 인증 패킷 처리부(34-2)는 인증 패킷을 재조합하여 관리 대상 서버로 전송할 수 있는 형태로 재가공 처리를 수행한다.
접근 정책 관리부(36)는 사용자별로 사용가능한 IP, 접근 가능한 관리 대상 서버, 접근가능 시간, IP 뿐만 아니라 프로토콜/명령어/디렉토리/파일/SQL/테이블/필드/링크/어플리케이션/마스킹 등과 같은 보안정책을 통해서 각 사용자에 대해서 관리 대상 서버에 대한 접근 및 사용 가능 범위가 정의되어 있다.
다음으로 본 발명에 의한 접근 제어 방법에 대해서 설명한다.
관리자는 관리자 단말기(10)를 통해 접근 제어 장치에 접속하여 계정 관리, 보안 정책 관리 등을 수행한다. 관리자는 패스워드를 주기적으로 변경할 수도 있고, 시스템 계정을 초기화하는 등 부여된 권한 내에서 시스템 관리를 수행한다. 관리자의 조작에 따라서 접근 제어 장치(30)는 관리 대상 서버(40)와 통신하여 계정 초기화 내지 패스워드 변경 등의 동작을 수행한다.
접근제어장치 계정(32-1)에는 예를 들어 아래와 같은 테이블이 기록되어 있다.
User IP User ID PWD
192.168.0.3 USER_001 ENC(***)
192.168.0.4 USER_002 ENC(***)
사용자 아이피별로 아이디 및 패스워드를 관리한다. 이 아이디와 패스워드는 사용자가 사용자 단말기(20)를 통해서 접근 제어 장치(30)에 접속할 수 있는 아이디와 패스워드를 의미하며, 관리 대상 서버(40)에 접속 가능한 아이디/패스워드는 아니다. 패스워드는 당연히 암호화되어 관리된다.
관리 대상 서버 계정(32-2)에는 예를 들어 아래와 같은 테이블이 기록되어 있다.
System구분 계정구분 System ID Org PWD OTP
10.10.0.1
(Unix)		 공용계정 ROOT ENC(***) ENC(xxx)
일반계정 SYS1_01 ENC(***) ENC(xxx)
10.10.0.2
(Network)		 공용계정 JEUS ENC(***) ENC(xxx)
일반계정 SYS2_02 ENC(***) ENC(xxx)
각각의 서버에 대해서 공용계정과 일반계정의 시스템 아이디와 패스워드가 기록되어 있으며 사용자가 입력한 일회용 비밀번호(OTP) 필드도 제공된다.
계정 관리부(32)와 접근 제어 관리부(34)는 서로 보안정책 및 접근 정책이 동기화되며, 일회용 비밀번호 기반 인증 및 관리 대상 서버의 패스워드의 전달을 통해서 후술하는 접근 제어를 수행할 수 있게 한다.
사용자가 사용자 단말기(20)를 통해 접근 제어 장치(30)에 접속 가능한 아이디와 패스워드를 입력하면(20) 계정 관리부(32)가 이를 인증한다(220). 그리고 사용자가 관리 대상 서버에 대한 일회용 비밀번호를 요청하여 이를 조회하고 사용자 단말기(20)를 통해 입력한다(230). 접근 제어 관리부(34)는 계정 관리부(32)에 일회용 비밀번호를 조회해서 입력한 일회용 비밀번호가 일치하는지 여부를 판단하고 접근 제어 장치에 대한 인증을 수행한다. 설명의 편의를 위해 위에서는 패스워드와 일회용 비밀번호를 별개의 것으로 설명하였지만, 본 명세서에서 패스워드는 고정된 패스워드 뿐만 아니라 일회용 비밀번호와 같이 매번 변경되는 패스워드도 포함하는 개념으로 정의된다.
단계(240)에서는 인증 패킷 처리부(34-2)가 수신된 패킷을 분석하고 재조합한다. 패킷에서 접근 제어 장치 계정(32-1)의 아이디와 패스워드를 포함하는 인증 패킷의 필드값을 관리 대상 서버 계정(32-2)의 아이디와 패스워드로 바꾸고, 이 필드와 관련되는 다른 정보들 예를 들어, 인증 패킷의 크기 정보, 크기 정보에 따른 패킷 배열의 변경 및 내부 CRC값 변경과 같은 패킷 재조합 과정을 수행한다.
이렇게 인증 패킷이 재조합된 데이터는 관리 대상 서버(40)로 전송되며(250) 관리 대상 서버(40)가 인증을 수행한다(260)
접근 제어 장치(30)는 내부에 가상 서버(31)와 가상 클라이언트(33)이 제공되어 사용자 단말기(20)와 관리 대상 서버(40)와의 데이터 통신을 담당한다.
가상 서버(31)는 접근 제어 장치(30)에서 사용자 단말기(20)와의 접속 및 응답을 처리하는 구성요소이며, 가상 클라이언트(33)는 관리 대상 서버(40)로의 접속 및 응답을 처리하는 구성요소이다.
도 3에는 사용자 단말기(20), 가상 서버(31), 가상 클라이언트(33) 및 관리 대상 서버(40)간의 세션키 생성 과정이 도시되어 있다.
세션키 생성에 앞서 먼저 보안 프로토콜 교환 과정을 거친다.
사용자 단말기(20)는 제1 랜덤값을 생성하고(300), 접근 제어 장치의 공개키로 제1 랜덤값을 암호화한다(305). 암호화값은 가상 서버(31)로 전달되고(310), 가상 서버(31)는 접근 제어 장치의 개인키로 이를 복호화해서 제1 랜덤값을 추출한다(315). 그리고 사용자 단말기(20)와 가상 서버(31)는 각각 제1 세션키를 생성한다(320, 325) 제1 세션키는 사용자 단말기(20)와 가상 서버(31) 사이에서 전송되는 데이터를 암호화하고 복호화하는데 사용한다.
가상 클라이언트(33)는 제2 랜덤값을 생성하고(330), 관리 대상 서버(40)의 공개키로 이를 암호화한다(335). 암호화된 값은 관리 대상 서버(40)로 전송되고(340), 관리 대상 서버(40)는 관리 대상 서버의 개인키로 암호화값을 복호화해서 제2 랜덤값을 추출한다(345). 그리고 가상 클라이언트(33)와 관리 대상 서버(40)는 각각 제2 세션키를 생성한다(350, 355). 제2 세션키는 가상 클라이언트(33)와 관리 대상 서버(40) 사이에서 전송되는 데이터를 암호화하고 복호화하는데 사용된다.
본 발명에 의하면, 관리 대상 서버(40)에 접속 가능한 아이디와 패스워드가 사용자에게 노출되지 않기 때문에 보안성 및 관리 효율이 향상되며, 사용자 단말기-가상 서버 및 가상 클라이언트-관리 대상 서버간의 데이터 통신이 임의로 정해지는 세션키에 의해서 암호화되고 복호화되므로 안전하다. 사용자 역시 많은 패스워드를 관리해야 할 필요가 없는 장점이 있다.
이상 첨부 도면을 참고하여 본 발명에 대해서 설명하였지만 본 발명의 권리범위는 후술하는 특허청구범위에 의해 결정되며 전술한 실시예 및/또는 도면에 제한되는 것으로 해석되어서는 아니된다. 그리고 특허청구범위에 기재된 발명의, 당업자에게 자명한 개량, 변경 및 수정도 본 발명의 권리범위에 포함된다는 점이 명백하게 이해되어야 한다.
10: 관리자 단말기
20: 사용자 단말기
30: 접근 제어 장치
40: 관리 대상 서버

Claims (4)

  1. 사용자 단말기와, 관리자 단말기와, 접근 제어 장치와, 관리 대상 서버를 포함하는 환경에서 상기 접근 제어 장치가 수행하는 접근 제어 방법에 있어서,
    상기 접근 제어 장치가 상기 사용자 단말기로부터 접근 제어 아이디와 패스워드 정보를 포함하는 제1 데이터를 전달받는 제1 단계와,
    상기 접근 제어 장치가 제1 단계에서 전달받은 제1 데이터의 패킷 중 접근 제어 아이디와 패스워드가 포함되어 있는 인증 패킷을 재조합하여 상기 관리 대상 서버에 접속 가능한 아이디와 패스워드가 포함된 제2 데이터를 생성하는 제2 단계와,
    상기 접근 제어 장치가 상기 제2 데이터를 상기 관리 대상 서버로 전송하는 제3 단계를 포함하는,
    접근 제어 방법.
  2. 청구항 1에 있어서,
    상기 제2 단계의 인증 패킷 재조합 과정은 접근 제어 아이디와 패스워드가 포함되어 있는 인증 패킷의 필드에 상기 관리 대상 서버에 접속 가능한 아이디와 패스워드로 바꾸는 제2-1 단계와,
    상기 인증 패킷의 필드에 관련된 타 정보를 수정하는 제2-2 단계를 포함하는,접근 제어 방법.
  3. 청구항 2에 있어서,
    상기 타 정보를 수정하는 제2-2 단계는,
    인증 패킷의 크기 정보 수정, 상기 크기 정보에 따른 패킷 배열 수정 및 내부 CRC값의 수정 단계인,
    접근 제어 방법.
  4. 청구항 1 내지 청구항 3 중 어느 하나의 청구항에 있어서,
    상기 패스워드는 일회용 비밀번호 정보인,
    접근 제어 방법.
KR1020150065350A 2015-05-11 2015-05-11 관리 대상 서버에 대한 접근 제어 방법 KR20160132609A (ko)

Priority Applications (1)

Application Number Priority Date Filing Date Title
KR1020150065350A KR20160132609A (ko) 2015-05-11 2015-05-11 관리 대상 서버에 대한 접근 제어 방법

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
KR1020150065350A KR20160132609A (ko) 2015-05-11 2015-05-11 관리 대상 서버에 대한 접근 제어 방법

Publications (1)

Publication Number Publication Date
KR20160132609A true KR20160132609A (ko) 2016-11-21

Family

ID=57537857

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020150065350A KR20160132609A (ko) 2015-05-11 2015-05-11 관리 대상 서버에 대한 접근 제어 방법

Country Status (1)

Country Link
KR (1) KR20160132609A (ko)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20200095146A (ko) * 2019-01-31 2020-08-10 (주)아이티 노매즈 가상 계정을 이용한 서버간 우회접속 차단방법

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20200095146A (ko) * 2019-01-31 2020-08-10 (주)아이티 노매즈 가상 계정을 이용한 서버간 우회접속 차단방법

Similar Documents

Publication Publication Date Title
US8448238B1 (en) Network security as a service using virtual secure channels
JP7086327B2 (ja) アプリケーション間でユーザ情報を安全に転送すること
US11936776B2 (en) Secure key exchange electronic transactions
US9419799B1 (en) System and method to provide secure credential
US9973481B1 (en) Envelope-based encryption method
US20130332724A1 (en) User-Space Enabled Virtual Private Network
US20150318998A1 (en) Methods and systems for client-enhanced challenge-response authentication
US10503918B2 (en) Process to access a data storage device of a cloud computer system
US10050944B2 (en) Process to access a data storage device of a cloud computer system with the help of a modified Domain Name System (DNS)
US11968302B1 (en) Method and system for pre-shared key (PSK) based secure communications with domain name system (DNS) authenticator
US9742561B2 (en) Secure remote authentication of local machine services using secret sharing
US20150249639A1 (en) Method and devices for registering a client to a server
EP3163841A1 (en) A method, system, server, client and application for sharing digital content between communication devices within an internet network
JP2017112604A (ja) 対称鍵暗号化と非対称鍵二重暗号化を複合的に適用した暗／復号化速度改善方法
Junghanns et al. Engineering of secure multi-cloud storage
US20170295142A1 (en) Three-Tiered Security and Computational Architecture
Reimair et al. MoCrySIL-Carry your Cryptographic keys in your pocket
CN105518696A (zh) 对数据存储器执行操作
US20220337591A1 (en) Controlling command execution in a computer network
WO2014106028A1 (en) Network security as a service using virtual secure channels
KR20160132609A (ko) 관리 대상 서버에 대한 접근 제어 방법
KR102539418B1 (ko) Puf 기반 상호 인증 장치 및 방법
Basu et al. Strengthening Authentication within OpenStack Cloud Computing System through Federation with ADDS System
KR102167575B1 (ko) 가상 계정을 이용한 서버간 우회접속 차단방법
Chakraborti et al. A Review of Security Challenges in Home Automation Systems

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
E601 Decision to refuse application