KR20170019308A - 신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법 - Google Patents

신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법 Download PDF

Info

Publication number
KR20170019308A
KR20170019308A KR1020160040973A KR20160040973A KR20170019308A KR 20170019308 A KR20170019308 A KR 20170019308A KR 1020160040973 A KR1020160040973 A KR 1020160040973A KR 20160040973 A KR20160040973 A KR 20160040973A KR 20170019308 A KR20170019308 A KR 20170019308A
Authority
KR
South Korea
Prior art keywords
user
authentication
trusted
value
credential
Prior art date
Application number
KR1020160040973A
Other languages
English (en)
Other versions
KR101817152B1 (ko
Inventor
이건희
김신규
Original Assignee
한국전자통신연구원
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 한국전자통신연구원 filed Critical 한국전자통신연구원
Publication of KR20170019308A publication Critical patent/KR20170019308A/ko
Application granted granted Critical
Publication of KR101817152B1 publication Critical patent/KR101817152B1/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3263—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving certificates, e.g. public key certificate [PKC] or attribute certificate [AC]; Public key infrastructure [PKI] arrangements
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3236—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions
    • H04L9/3242—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using cryptographic hash functions involving keyed hash functions, e.g. message authentication codes [MACs], CBC-MAC or HMAC

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Power Engineering (AREA)
  • Computing Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법이 제공된다. 사용자 단말은 인증 서버에게 사용자 크리덴셜을 요청할 수 있다. 사용자 크리덴셜을 생성하기 위해, 인증 서버는 권한 관리 서버에게 사용자에 대한 신뢰된 권한 정보를 요청할 수 있다. 권한 관리 서버로부터 신뢰된 권한 정보가 제공되면, 인증 서버는 신뢰된 권한 정보를 포함하는 사용자 크리덴셜을 생성할 수 있고, 사용자 크리덴셜을 사용자 단말로 전송할 수 있다.

Description

신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법{METHOD FOR PROVIDING TRUSTED RIGHT INFORMATION, METHOD FOR ISSUING USER CREDENTIAL INCLUDING TRUSTED RIGHT INFORMATION, AND METHOD FOR OBTAINING USER CREDENTIAL}
아래의 실시예들은 서비스 또는 자원의 제공을 위해 사용되는 사용자 크리덴션에 관한 것으로, 보다 상세히는 신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법이 개시되고, 이러한 방법을 수행하는 사용자 단말, 인증 서버 및 권한 관리 서버가 개시된다.
웹 서비스, 분산 서비스 및 아이오티(IoT) 환경에서의 중요한 기술로서, 접근 통제(access control)가 있다.
접근 통제는, 사용자가 서비스 또는 자원에 접근할 때, 사용자에게 서비스 또는 자원에 접근에 대하여 적법한 권한이 부여되었는지 여부를 정확하게 확인한 후, 적법한 권한이 부여된 사용자인 경우에만 사용자가 서비스 또는 자원을 사용할 수 있게 하는 기술이다. 말하자면, 접근 통제는 사용자의 특정한 자원 또는 서비스의 사용을 허용 또는 제한하는 것을 결정하는 기술이다.
접근 통제를 통해, 서비스 또는 자원의 소유자는 적법한 권한을 갖는 사용자만이 서비스 또는 자원을 사용하게 할 수 있다.
접근 통제를 통해, 서비스 또는 자원의 소유자는 악의적인 공격자가 서비스 또는 자원을 이용한 정보의 유출, 서비스 또는 자원의 무단 사용 또는 서비스 또는 자원을 통해 다른 시스템에 위해를 끼치는 행위 등을 미연에 방지할 수 있다.
접근 통제의 과정에서 사용되는 정보 중 사용자 크리덴셜이 있다. 사용자 크리덴셜은 사용자의 권한(right) 정보를 포함한다. 사용자 크리덴셜에 의해 사용자의 신원이 확인될 수 있다.
일반적으로, 사용자 크리덴셜로서, 보안 토큰이 많이 사용된다. 또한, 보안 토큰을 구성하는 여러 방식들 중, 인증서를 사용하는 방식이 가장 대중적으로 사용된다.
X.509v3 인증서는 기본적으로는 사용자의 권한 정보를 저장하지 않는다. 따라서, X.509v3 인증서가 사용자의 권한 정보를 포함하기 위해서 X.509v3 인증서의 확장 필드가 사용자의 권한 정보를 나타내기 위해 사용된다. 말하자면, X.509v3 인증서의 확장 필드에 미리 약속된 권한을 식별할 수 있게 하는 값이 추가된다. 그러면, 권한 정보가 포함된 X.509v3 인증서가 사용자 크리덴셜로서 사용된다.
상술된 것과 같은 X.509v3 인증서를 사용하는 방식에서, 일반적으로 권한 정보는 인증서를 발급하는 관리자에 의해 부여되거나 입력된다. 권한 정보가 부여 또는 입력되는 과정에서, 부여되거나 입력된 권한 정보를 보증할 수 있는 장치가 존재하지 않는다. 따라서, 권한 정보가 악의적인 공격자에 의해 조작될 수 있다. 조작된 권한은 실제로 사용자에게 할당된 권한에 비해 과소하거나 과도할 수 있다.
상술된 문제의 해결책 중 하나로서, 사용자 인증을 위한 인증 값 및 사용자의 권한 확인을 위한 크리덴셜이 별도로 사용될 수 있다. 예를 들면, 인증 값에 의해 사용자에 대한 인증이 이루어지면, 사용자에게 할당된 권한 정보를 포함하는 크리덴셜을 발급하는 방법이 고려될 수 있다. 그러나, 이러한 방법은 사용자 인증을 위한 인증 값을 발급하는 인증 서버 및 사용자 권한을 발급하는 권한 발급 서버가 별도로 운영되어야 한다. 또한, 사용자가 실제로 크리덴셜을 사용하고자 할 때에도, 서비스 또는 자원 소유자가 사용자 인증 및 크리덴셜 검증의 각각을 별개의 시스템을 통해 수행해야 한다. 말하자면, 이러한 방법은 사용자 인증, 사용자 권한 발급 및 크리덴셜 검증에 있어서 비효율적으로 운영된다는 문제점을 갖는다.
상술된 종래 기술에 대한 특허로서, 한국 등록 특허 제10-1043215호 및 한국 등록 특허 10-0970318가 있다.
일 실시예는 사용자에게 신뢰된 권한 정보를 포함하는 사용자 크리덴셜을 안전하게 발급하는 방법 및 장치를 제공할 수 있다.
일 실시예는 신뢰된 권한 정보를 제공하는 방법 및 장치를 제공할 수 있다.
일 실시예는 인증 서버 및 권한 관리 서버 사이에서 공유되는 세션 키를 사용하는 암호화를 통해 신뢰된 권한 정보를 제공하는 방법 및 장치를 제공할 수 있다.
일 실시예는 권한 정보가 제공되는 중간에 위조 및 변조가 발생하지 않도록 권한 정보를 안전하게 보호하는 방법 및 장치를 제공할 수 있다.
일 실시예는 사용자의 개입 없이 신뢰된 권한 정보를 제공하는 방법 및 장치를 제공할 수 있다.
일 실시예는 사용자 크리덴셜 검증 시 인증 기관의 서명뿐만 아니라 권한 정보에 포함된 서명을 함께 검증함으로써 공격자에 의한 악의적인 권한 정보 위조, 사용자 크리덴셜의 발급자에 의한 악의적인 권한 정보 변조 등에 의해 권한이 남용되는 것을 방지하는 방법 및 장치를 제공할 수 있다.
일 측에 있어서, 인증 기관에 의해 운용되는 인증 서버에 의해 수행되는, 사용자 단말로부터 사용자 크리덴셜 요청 메시지를 수신하는 단계; 권한 관리 서버로 신뢰된 권한 정보 요청 메시지를 전송하는 단계; 상기 권한 관리 서버로부터 상기 사용자 단말의 사용자에 대한 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 수신하는 단계; 상기 신뢰된 권한 정보를 사용하여 상기 사용자에 대한 사용자 크리덴셜을 생성하는 단계; 및 상기 사용자 크리덴셜을 포함하는 사용자 크리덴셜 메시지를 상기 사용자 단말로 전송하는 단계를 포함하는 사용자 크리덴셜 발급 방법이 제공된다.
상기 사용자 크리덴셜은 X.509v3 인증서일 수 있다.
상기 신뢰된 권한 정보는 상기 X.509v3 인증서의 확장 필드에 저장될 수 있다.
상기 사용자 크리덴셜 발급 방법은, 상기 권한 관리 서버와의 상호 인증을 통해 세션 키를 공유하는 단계를 더 포함할 수 있다.
상기 사용자 크리덴셜 발급 방법은, 상기 신뢰된 권한 정보 요청 메시지를 생성하는 단계를 더 포함할 수 있다.
상기 신뢰된 권한 정보 요청 메시지는 제1 인증 값을 포함할 수 있다.
상기 제1 인증 값은 상기 사용자의 식별자, 제1 타임스탬프 및 세션 키에 기반하여 생성될 수 있다.
상기 제1 인증 값은 상기 사용자의 식별자 및 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성될 수 있다.
상기 인증 키는 상기 세션 키로부터 유도될 수 있다.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도할 수 있다.
상기 사용자 크리덴셜 발급 방법은, 상기 신뢰된 권한 정보 메시지에 대한 검증을 수행하는 단계를 더 포함할 수 있다.
상기 검증을 수행하는 단계는, 상기 신뢰된 권한 정보 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 제2 타임스탬프 및 제2 인증 값을 추출하는 단계; 상기 사용자의 식별자, 상기 제2 타임스탬프 및 상기 세션 키에 기반하여 제4 인증 값을 생성하는 단계; 및 상기 제2 인증 값 및 상기 제4 인증 값이 동일한지 여부를 검사하는 단계를 포함할 수 있다.
상기 제2 인증 값 및 상기 제4 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 요청 메시지에 대한 상기 검증이 실패할 수 있다.
상기 제3 인증 값은 상기 사용자의 식별자 및 상기 제2 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성될 수 있다.
상기 인증 키는 상기 세션 키로부터 유도된 값일 수 있다.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도할 수 있다.
다른 일 측에 있어서, 권한 관리 기관에 의해 운용되는 권한 관리 서버에 의해 수행되는, 인증 서버로부터 신뢰된 권한 정보 요청 메시지를 수신하는 단계; 사용자에 대한 신뢰된 권한 정보 및 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 생성하는 단계; 및 상기 인증 서버로 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 전송하는 단계를 포함하고, 상기 신뢰된 권한 정보는 상기 사용자의 권한 정보, 상기 권한 관리 기관의 식별자 및 권한 서명에 기반하여 생성되는 신뢰된 권한 정보 제공 방법이 제공된다.
상기 신뢰된 권한 정보 제공 방법은, 상기 인증 서버와의 상호 인증을 통해 세션 키를 공유하는 단계를 더 포함할 수 있다.
상기 신뢰된 권한 정보 메시지를 생성하는 단계는, 상기 사용자의 식별자, 제2 타임스탬프, 상기 신뢰된 권한 정보 및 상기 세션 키에 기반하여 제2 인증 값을 생성하는 단계; 및 상기 사용자의 식별자, 상기 제2 타임스탬프, 상기 신뢰된 권한 정보 R 및 상기 제2 인증 값에 대한 암호화를 수행함으로써 상기 신뢰된 권한 정보 메시지를 생성하는 단계를 포함할 수 있다.
상기 신뢰된 권한 정보 메시지는 상기 사용자의 식별자, 상기 제2 타임스탬프, 상기 신뢰된 권한 정보 및 상기 제2 인증 값에 대한 암호 키를 사용하는 암호화에 의해 생성될 수 있다.
상기 암호 키는 상기 세션 키로부터 유도될 수 있다.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 암호 키를 유도할 수 있다.
상기 신뢰된 권한 정보 제공 방법은, 상기 신뢰된 권한 정보 요청 메시지에 대한 검증을 수행하는 단계를 더 포함할 수 있다.
상기 검증을 수행하는 단계는, 상기 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 제1 타임스탬프 및 제1 인증 값을 추출하는 단계; 상기 사용자의 식별자, 상기 제1 타임스탬프 및 상기 세션 키에 기반하여 제3 인증 값을 생성하는 단계; 및 상기 제1 인증 값 및 상기 제3 인증 값이 동일한지 여부를 검사하는 단계를 포함할 수 있다.
상기 제1 인증 값 및 상기 제3 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 요청 메시지에 대한 상기 검증이 실패하는 신뢰된 권한 정보 제공 방법.
상기 제3 인증 값은 상기 사용자의 식별자 및 상기 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성될 수 있다.
상기 인증 키는 상기 세션 키로부터 유도된 값일 수 있다.
상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도할 수 있다.
또 다른 일 측에 있어서, 사용자의 사용자 단말에 의해 수행되는, 사용자 크리덴셜 요청 메시지를 인증 서버로 전송하는 단계; 및 상기 인증 서버로부터 상기 사용자에 대한 사용자 크리덴셜을 수신하는 단계를 포함하고, 상기 사용자 크리덴셜은 X.509v3 인증서이고, 상기 X.509v3 인증서의 확장 필드는 상기 사용자에 대한 신뢰된 권한 정보를 저장하는 사용자 크리덴셜 획득 방법이 제공된다.
상기 신뢰된 권한 정보는 권한 관리 기관에 의해 운용되는 권한 관리 서버에 의해 제공될 수 있다.
상기 사용자 크리덴셜 획득 방법은 상기 사용자 크리덴셜에 대한 검증을 수행하는 단계를 더 포함할 수 있다.
상기 검증을 수행하는 단계는, 상기 신뢰된 권한 정보, 상기 사용자의 식별자 및 상기 권한 관리 기관의 식별자에 대한 해쉬 값을 생성하는 단계; 상기 권한 관리 기관의 공개 키를 이용하여 상기 권한 관리 기관의 서명 에 대한 복호화를 수행함으로써 복호화된 서명을 획득하는 단계; 및 상기 해쉬 값 및 복호화된 서명이 일치하는지 여부를 검사하는 단계를 포함할 수 있다.
상기 해쉬 값 및 상기 복호화된 서명이 일치하지 않을 경우, 상기 사용자 크리덴셜에 대한 상기 검증이 실패할 수 있다.
이 외에도, 본 발명을 구현하기 위한 다른 방법, 장치, 시스템 및 상기 방법을 실행하기 위한 컴퓨터 프로그램을 기록하기 위한 컴퓨터 판독 가능한 기록 매체가 더 제공된다.
사용자에게 신뢰된 권한 정보를 포함하는 사용자 크리덴셜을 안전하게 발급하는 방법 및 장치가 제공된다.
신뢰된 권한 정보를 제공하는 방법 및 장치가 제공된다.
인증 서버 및 권한 관리 서버 사이에서 공유되는 세션 키를 사용하는 암호화를 통해 신뢰된 권한 정보를 제공하는 방법 및 장치가 제공된다.
권한 정보가 제공되는 중간에 위조 및 변조가 발생하지 않도록 권한 정보를 안전하게 보호하는 방법 및 장치가 제공된다.
사용자의 개입 없이 신뢰된 권한 정보를 제공하는 방법 및 장치가 제공된다.
사용자 크리덴셜 검증 시 인증 기관의 서명뿐만 아니라 권한 정보에 포함된 서명을 함께 검증함으로써 공격자에 의한 악의적인 권한 정보 위조, 사용자 크리덴셜의 발급자에 의한 악의적인 권한 정보 변조 등에 의해 권한이 남용되는 것을 방지하는 방법 및 장치가 제공된다.
도 1은 일 실시예에 다른 사용자 크리덴션을 제공하는 시스템을 나타낸다.
도 2는 일 실시예에 따른 사용자 단말의 구조도이다.
도 3은 일 실시예에 따른 인증 서버의 구조도이다.
도 4는 일 실시예에 따른 권한 관리 서버의 구조도이다.
도 5는 일 실시예에 따른 사용자 크리덴셜의 발급 방법의 흐름도이다.
도 6a 및 도 6b는 일 예에 따른 사용자 크리덴셜의 구조를 나타내는 구성도이다.
도 6a는 일 예에 따른 X.509v3에 기반한 사용자 크리덴셜의 구조를 나타낸다.
도 6b는 일 예에 따른 소유자의 권한 정보를 저장하기 위한 사용자 크리덴셜의 확장 필드의 구조를 나타낸다.
도 7은 일 예에 따른 신뢰된 권한 정보 요청 메시지의 생성 방법의 흐름도이다.
도 8은 일 예에 따른 신뢰된 권한 정보 생성 방법의 흐름도이다.
도 9는 일 예에 따른 신뢰된 권한 정보 요청 메시지에 대한 검증 방법의 흐름도이다.
도 10은 일 예에 따른 신뢰된 권한 정보 메시지에 대한 검증 방법의 흐름도이다.
도 11은 일 예에 따른 사용자 크리덴셜을 검증하는 방법의 흐름도이다.
도 12는 일 예에 따른 사용자 크리덴셜을 사용하여 서비스 또는 자원을 제공받는 방법의 흐름도이다.
도 13은 일 예에 따른 사용자 크리덴셜에 대한 검증 방법의 흐름도이다.
후술하는 본 발명에 대한 상세한 설명은, 본 발명이 실시될 수 있는 특정 실시예를 예시로서 도시하는 첨부 도면을 참조한다. 이들 실시예는 당업자가 본 발명을 실시할 수 있기에 충분하도록 상세히 설명된다. 본 발명의 다양한 실시예는 서로 다르지만 상호 배타적일 필요는 없음이 이해되어야 한다. 예를 들어, 여기에 기재되어 있는 특정 형상, 구조 및 특성은 일 실시예에 관련하여 본 발명의 정신 및 범위를 벗어나지 않으면서 다른 실시예로 구현될 수 있다. 또한, 각각의 개시된 실시예 내의 개별 구성요소의 위치 또는 배치는 본 발명의 정신 및 범위를 벗어나지 않으면서 변경될 수 있음이 이해되어야 한다. 따라서, 후술하는 상세한 설명은 한정적인 의미로서 취하려는 것이 아니며, 본 발명의 범위는, 적절하게 설명된다면, 그 청구항들이 주장하는 것과 균등한 모든 범위와 더불어 첨부된 청구항에 의해서만 한정된다.
도면에서 유사한 참조부호는 여러 측면에 걸쳐서 동일하거나 유사한 기능을 지칭한다. 도면에서의 요소들의 형상 및 크기 등은 보다 명확한 설명을 위해 과장될 수 있다.
이하에서는, 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자가 본 발명을 용이하게 실시할 수 있도록 하기 위하여, 본 발명의 바람직한 실시예들에 관하여 첨부된 도면을 참조하여 상세히 설명하기로 한다.
도 1은 일 실시예에 다른 사용자 크리덴션을 제공하는 시스템을 나타낸다.
시스템(100)은 사용자 단말(110), 인증 서버(120) 및 권한 관리 서버(130)를 포함할 수 있다.
사용자 단말(110)은 사용자가 다루는 장치일 수 있다.
인증 서버(120)는 인증 기관의 서비스를 제공하기 위해 인증 기관에 의해 운용되는 장치일 수 있다.
권한 관리 서버(130)는 권한 관리 기관의 서비스를 제공하기 위해 권한 관리 기관에 의해 운용되는 장치일 수 있다.
인증 서버(120)는 사용자 단말(110)에게 사용자 크리덴션을 제공할 수 있다.
권한 관리 서버(130)는 인증 서버(120)에게 사용자 크리덴션의 발급과 관련하여 신뢰된 권한 정보를 제공할 수 있다.
단말(110), 인증 서버(120) 및 권한 관리 서버(130)의 기능 및 동작에 대해서 아래에서 설명된다.
도 2는 일 실시예에 따른 사용자 단말의 구조도이다.
사용자 단말(110)는 처리부(210), 통신부(220) 및 저장부(230)를 포함할 수 있다.
처리부(210)는 사용자 단말(110)의 동작을 위해 요구되는 작업을 처리할 수 있다. 예를 들면, 처리부(210)는 적어도 하나의 프로세서(processor)일 수 있다.
통신부(220)는 사용자 단말(110)의 동작을 위해 요구되는 데이터 또는 정보를 수신할 수 있으며, 사용자 단말(110)의 동작을 위해 요구되는 데이터 또는 정보를 전송할 수 있다. 통신부(220)는 네트워크 내의 다른 장치로 데이터를 전송할 수 있고, 다른 장치로부터 데이터를 수신할 수 있다. 예를 들면, 통신부(220)는 네트워크 칩(chip) 또는 포트(port)일 수 있다.
저장부(230)는 사용자 단말(110)의 동작을 위해 요구되는 데이터를 저장할 수 있다. 예를 들면, 저장부(230)는 메모리(memory)일 수 있다. 저장부(230)는 램(RAM) 및 플레시(flash) 메모리 등과 같은 내장형의 저장 매체를 포함할 수 있고, 메모리 카드 등과 같은 탈착가능한 저장 매체를 포함할 수 있다.
사용자 단말(110)의 처리부(210), 통신부(220) 및 저장부(230)의 동작, 기능 및 특징에 대해서 아래에서 설명된다.
도 3은 일 실시예에 따른 인증 서버의 구조도이다.
인증 서버(120)는 처리부(310), 통신부(320) 및 저장부(330)를 포함할 수 있다.
처리부(310)는 인증 서버(120)의 동작을 위해 요구되는 작업을 처리할 수 있다. 예를 들면, 처리부(310)는 적어도 하나의 프로세서일 수 있다.
통신부(320)는 인증 서버(120)의 동작을 위해 요구되는 데이터 또는 정보를 수신할 수 있으며, 인증 서버(120)의 동작을 위해 요구되는 데이터 또는 정보를 전송할 수 있다. 통신부(320)는 네트워크 내의 다른 장치로 데이터를 전송할 수 있고, 다른 장치로부터 데이터를 수신할 수 있다. 예를 들면, 통신부(320)는 네트워크 칩 또는 포트일 수 있다.
저장부(330)는 인증 서버(120)의 동작을 위해 요구되는 데이터를 저장할 수 있다. 예를 들면, 저장부(330)는 메모리일 수 있다. 저장부(330)는 램 및 플레시 메모리 등과 같은 내장형의 저장 매체를 포함할 수 있고, 메모리 카드 등과 같은 탈착가능한 저장 매체를 포함할 수 있다.
인증 서버(120)의 처리부(310), 통신부(320) 및 저장부(330)의 동작, 기능 및 특징에 대해서 아래에서 설명된다.
도 4는 일 실시예에 따른 권한 관리 서버의 구조도이다.
권한 관리 서버(130)는 처리부(410), 통신부(420) 및 저장부(430)를 포함할 수 있다.
처리부(410)는 권한 관리 서버(130)의 동작을 위해 요구되는 작업을 처리할 수 있다. 예를 들면, 처리부(410)는 적어도 하나의 프로세서일 수 있다.
통신부(420)는 권한 관리 서버(130)의 동작을 위해 요구되는 데이터 또는 정보를 수신할 수 있으며, 권한 관리 서버(130)의 동작을 위해 요구되는 데이터 또는 정보를 전송할 수 있다. 통신부(420)는 네트워크 내의 다른 장치로 데이터를 전송할 수 있고, 다른 장치로부터 데이터를 수신할 수 있다. 예를 들면, 통신부(420)는 네트워크 칩 또는 포트일 수 있다.
저장부(430)는 권한 관리 서버(130)의 동작을 위해 요구되는 데이터를 저장할 수 있다. 예를 들면, 저장부(430)는 메모리일 수 있다. 저장부(430)는 램 및 플레시 메모리 등과 같은 내장형의 저장 매체를 포함할 수 있고, 메모리 카드 등과 같은 탈착가능한 저장 매체를 포함할 수 있다.
권한 관리 서버(130)의 처리부(410), 통신부(420) 및 저장부(430)의 동작, 기능 및 특징에 대해서 아래에서 설명된다.
도 5는 일 실시예에 따른 사용자 크리덴셜의 발급 방법의 흐름도이다.
단계(510)에서, 사용자의 사용자 단말(110)의 통신부(220)는 사용자의 사용자 크리덴셜 요청 메시지를 인증 서버(120)의 통신부(320)로 전송할 수 있다. 인증 서버(120)의 통신부(320)는 사용자 단말(110)의 통신부(220)로부터 사용자 크리덴셜 요청 메시지를 수신할 수 있다.
사용자 크리덴셜 요청 메시지는 사용자 또는 사용자 단말(110)이 사용자 크리덴셜셜을 요청한다는 것을 나타낼 수 있다.
인증 서버(120)가 사용자 크리덴셜 요청 메시지를 수신하면, 인증 서버(120)의 처리부(310)는 사용자 크리덴셜의 생성을 위해 요구되는 정보를 수집할 수 있다. 여기에서, 사용자 크리덴셜의 생성을 위해 요구되는 정보는 신뢰된 권한 정보를 포함할 수 있다. 말하자면, 인증 서버(120)의 처리부(310)는 인증서의 확장 필드에 저장될 신뢰된 권한 정보를 권한 관리 서버(130)로부터 수집할 수 있다.
단계(520)에서, 인증 서버(120)의 처리부(310)는 사용자 크리덴셜의 생성을 위해 요구되는 정보를 수집할 수 있다.
단계(520)는 단계들(521, 522, 523, 524, 525 및 526)를 포함할 수 있다.
단계(521)에서, 인증 서버(120) 및 권한 관리 서버(130)은 상호 신뢰 관계를 성립(establish)할 수 있다. 인증 서버(120) 및 권한 관리 서버(130) 간의 통신에 있어서, 정보가 안전하게 전달되기 위해서는 인증 서버(120) 및 권한 관리 서버(130) 간의 상호 신뢰 관계가 요구될 수 있다. 여기에서, 정보는 후술될 신뢰된 권한 정보를 포함할 수 있다.
인증 서버(120) 및 권한 관리 서버(130)는 서로 간의 상호 신뢰 관계를 성립함에 있어서, 인증 서버(120)를 운용하는 인증 기관의 인증서 및 권한 관리 서버(130)를 운용하는 권한 관리 기관의 인증서를 이용할 수 있다.
인증 서버(120)는 권한 관리 서버(130)와의 상호 인증을 통해 세션 키를 공유할 수 있다. 말하자면, 권한 관리 서버(130)는 인증 서버(120)와의 상호 인증을 통해 세션 키를 공유할 수 있다.
세션 키는 권한 관리 서버(130)는 인증 서버(120)와의 상호 작용을 통해 주기적으로 변경될 수 있다.
인증 서버(120) 및 권한 관리 서버(130)는 인증 기관의 인증서 및 권한 관리 기관의 인증서를 이용하는 상호 인증을 통해 세션 키를 공유함으로써 서로 간의 상호 신뢰 관계를 확립할 수 있다.
이하에서, 인증 서버(120) 및 권한 관리 서버(130) 간의 상호 인증을 통해 공유된 세션 키를 SK로 표시한다.
예를 들면, 인증 서버(120) 및 권한 관리 서버(130) 간의 상호 신뢰 관계의 확립을 위해 트랜스포트 레이어 보안(Transport Layer Security; TLS) 버전(Version; V) 1.2가 사용될 수 있다.
인증 서버(120)의 처리부(310) 및 통신부(320)는 권한 관리 서버(130)와의 상호 신뢰 관계를 성립하기 위해 요구되는 동작을 수행할 수 있다. 또한, 권한 관리 서버(130)의 처리부(410) 및 통신부(420)는 인증 서버(120)와의 상호 신뢰 관계를 성립하기 위해 요구되는 동작을 수행할 수 있다.
인증 서버(120)가 사용자 크리덴셜을 제공하기 위해서는 사용자에 대한 신뢰된 권한 정보가 요구된다. 사용자에 대한 신뢰된 권한 정보를 획득하기 위해, 인증 서버(120)는 신뢰된 권한 정보를 권한 관리 서버(130)에게 요청할 수 있다.
단계(521)의 실행 순서는 단지 예시적인 것일 수 있다. 예를 들면, 단계(521)는 단계(510)의 이전에 수행될 수도 있다.
단계(522)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 요청 메시지를 생성할 수 있다.
신뢰된 권한 정보 요청 메시지의 생성에 대하여 아래에서 도 7을 참조하여 설명된다.
단계(523)에서, 인증 서버(120)의 통신부(320)는 신뢰된 권한 정보 요청 메시지를 권한 관리 서버(130)의 통신부(420)로 전송할 수 있다. 권한 관리 서버(130)의 통신부(420)는 신뢰된 권한 정보 요청 메시지를 인증 서버(120)의 통신부(320)로부터 수신할 수 있다.
신뢰된 권한 정보 요청 메시지는 인증 서버(120)가 신뢰된 권한 정보를 요청한다는 것을 나타낼 수 있다.
단계(524)에서, 권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지에 대한 검증을 수행할 수 있다. 신뢰된 권한 정보 요청 메시지가 검증되면 아래의 단계(525)가 수행될 수 있다.
신뢰된 권한 정보 요청 메시지에 대한 검증에 대하여 아래에서 도 9를 참조하여 상세하게 설명된다.
권한 관리 서버(130)의 처리부(410)는 우선 신뢰된 권한 정보의 요청의 안전성을 검증한 후, 신뢰된 권한 정보의 요청에 적합한 신뢰된 권한 정보를 생성할 수 있다.
단계(525)에서, 권한 관리 서버(130)의 처리부(410)는 사용자에 대한 신뢰된 권한 정보 및 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 생성할 수 있다.
신뢰된 권한 정보의 생성에 대하여 아래에서 도 8을 참조하여 설명된다.
단계(526)에서, 권한 관리 서버(130)의 통신부(420)는 신뢰된 권한 정보 메시지를 인증 서버(120)의 통신부(320)로 전송할 수 있다. 인증 서버(120)의 통신부(320)는 신뢰된 권한 정보 메시지를 권한 관리 서버(130)의 통신부(420)로부터 수신할 수 있다.
신뢰된 권한 정보 메시지는 사용자 단말(110)의 사용자에 대한 신뢰된 권한 정보를 포함할 수 있다.
단계(530)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 메시지에 대한 검증을 수행할 수 있다. 신뢰된 권한 정보 메시지가 검증되면 아래의 단계(535)가 수행될 수 있다.
신뢰된 권한 정보 메시지의 검증에 대하여 아래에서 도 10을 참조하여 설명된다.
단계(535)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보를 사용하여 사용자 단말(110)의 사용자에 대한 사용자 크리덴셜을 생성할 수 있다.
인증 서버(120)의 처리부(310)는 우선 신뢰된 권한 정보의 안전성을 검증할 수 있다. 예를 들면, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 메시지의 안전성을 검증할 수 있다. 신뢰된 권한 정보 또는 신뢰된 권한 정보 메시지의 안전성이 검증되면, 다음으로 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보를 사용하여 사용자 크리덴셜을 생성할 수 있다.
사용자 크리덴셜은 X.509v3 인증서일 수 있다. 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보를 의 확장 필드에 저장할 수 있고, 신뢰된 권한 정보를 포함하는 X.509v3 인증서를 사용자 크리덴셜로서 생성할 수 있다.
단계(540)에서, 인증 서버(120)의 통신부(320)는 사용자 크리덴셜 메시지를 사용자 단말(110)의 통신부(220)로 전송할 수 있다. 사용자 단말(110)의 통신부(220)는 사용자 크리덴셜 메시지를 인증 서버(120)의 통신부(320)로부터 수신할 수 있다.
사용자 크리덴셜 메시지는 사용자 단말(110)의 사용자에 대한 사용자 크리덴셜을 포함할 수 있다. 또한, 사용자 크리덴셜은 X.509v3 인증서일 수 있고, X.509v3 인증서의 확장 필드는 사용자 단말(110)의 사용자에 대한 신뢰된 권한 정보를 저장할 수 있다. 또한, 신뢰된 권한 정보는 권한 관리 기관에 의해 운용되는 권한 관리 서버(130)에 의해 제공될 수 있다.
단계(550)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜에 대한 검증을 수행할 수 있다. 사용자 단말(110)의 처리부(210)는 발급된 사용자 크리덴셜이 정상적인 크리덴셜인지 여부를 검증할 수 있다 사용자 크리덴셜에 대한 검증은 인증서에 대한 검증과 유사할 수 있으나, 신뢰된 권한 정보에 대한 검증이 추가된다.
사용자 크리덴셜이 검증되면 아래의 단계(555)가 수행될 수 있다.
사용자 크리덴셜에 대한 검증에 대하여 아래에서 도 11을 참조하여 설명된다.
단계(555)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜의 신뢰성이 검증되면, 사용자 크리덴셜을 사용할 수 있다.
사용자 크리덴셜의 사용에 대해서 아래에서 도 12를 참조하여 설명된다.
전술된 방법을 통해 신뢰될 수 있는 사용자 크리덴셜이 안전하게 발급될 수 있다.
도 6a 및 도 6b는 일 예에 따른 사용자 크리덴셜의 구조를 나타내는 구성도이다.
도 6a는 일 예에 따른 X.509v3에 기반한 사용자 크리덴셜의 구조를 나타낸다.
도 5를 참조하여 전술된 사용자 크리덴셜(600)은 X.509v3 인증서에 기반할 수 있다. X.509v3 인증서의 특징은 사용자 크리덴셜(600)에도 적용될 수 있다.
사용자 크리덴셜(600)은 버젼(version), 일련 번호(serial number), 알고리즘 식별자(algorithm ID), 발급자(issuer), 유효기간(validity), 소유자(subject), 소유자 공개 키 정보(subject public key info), 발급자 고유 식별자(issuer unique identifier), 소유자 고유 식별자(subject unique identifier), 확장(extensions) 및 인증서 서명(certificate signature)의 항목들을 포함할 수 있다. 각 항목은 필드일 수 있다. 예를 들면, "확장"은 확장 필드일 수 있다.
이하에서, 서명은 전자 서명을 의미할 수 있다.
알고리즘 식별자는 인증서 발급자의 서명에 사용되는 알고리즘의 식별자일 수 있다.
발급자는 인증서의 발급자를 나타낼 수 있다. 소유자는 인증서의 소유자, 말하자면 사용자 단말(110)의 사용자를 나타낼 수 있다.
소유자 공개 키 정보는 공개 키 알고리즘(public key algorithm) 및 공개 키(public key)를 포함할 수 있다.
확장은 확장 필드(extension field)를 나타낼 수 있다.
도 6a에서 도시된 것과 같이 X.509v3 인증서 자체는 소유자의 권한 정보를 저장하기 위한 필드 또는 공간을 갖지 않는다. 따라서, 소유자의 권한 정보를 저장하기 위해 확장 필드가 사용된다.
도 6b는 일 예에 따른 소유자의 권한 정보를 저장하기 위한 사용자 크리덴셜의 확장 필드의 구조를 나타낸다.
도 6a를 참조하여 전술된 사용자 크리덴셜의 항목 중 확장 필드는 소유자 권한 정보를 포함할 수 있다. 말하자면, 도 6b는 도 6a의 확장 필드의 일 예일 수 있다.
소유자 권한 정보는 사용자 권한 정보 및 권한 관리 기관 서명을 포함할 수 있다.
사용자 권한 정보는 사용자 단말(110)의 사용자의 권한 정보일 수 있다.
권한 관리 기관 서명은 권한 관리 서버(130)를 운용하는 권한 관리 기관의 서명일 수 있다.
도 7은 일 예에 따른 신뢰된 권한 정보 요청 메시지의 생성 방법의 흐름도이다.
도 5의 단계(520)를 참조하여 설명된 것과 같이, 인증 서버(120) 및 권한 관리 서버(130)는 인증서에 기반한 상호 인증을 통해 세션 키 SK를 공유할 수 있다.
도 5를 참조하여 전술된 단계(522)는 후술될 단계들 (710, 720 및 730)을 포함할 수 있다.
단계(710)에서, 인증 서버(120)의 처리부(310)는 난수(random number) N 및 제1 타임스탬프 TS 1 을 생성할 수 있다.
단계(720)에서, 인증 서버(120)의 처리부(310)는 1) 사용자 단말(110)의 사용자의 식별자 ID 신청자 , 2) 난수 N, 3) 제1 타임스탬프 TS 1 및 세션 키 SK에 기반하여 제1 인증 값을 생성할 수 있다.
예를 들면, 우선, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 을 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 인증 서버(120)의 처리부(310)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제1 인증 값을 생성할 수 있다.
예를 들면, 결합 값은 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 이 모두 연쇄된(concatenated) 값일 수 있다.
예를 들면, 제1 인증 값은 "HMAC AK {ID 신청자 , N, TS 1 }"와 같이 표현될 수 있다.
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.
대칭 키 서명은 해쉬-기반 메시지 인증 코드(Hash-based Message Authentication Code; HMAC) 알고리즘을 사용할 수 있다. 예를 들면, 대칭 키 서명은 HMAC_SHA256을 사용할 수 있다. 여기에서, SHA는 보안 해쉬 알고리즘(Secure Hash Algorithm)을 나타낼 수 있다.
단계(730)에서, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값에 대한 암호화를 수행함으로써 신뢰된 권한 정보 요청 메시지를 생성할 수 있다. 말하자면, 신뢰된 권한 정보 요청 메시지는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값이 암호화된 결과를 포함할 수 있다.
인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 요청 메시지를 생성할 수 있다.
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다.
인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값이 결합된 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 요청 메시지를 생성할 수 있다. 여기에서, 결합된 값은 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값이 연쇄된 값일 수 있다.
예를 들면, 신뢰된 권한 정보 요청 메시지는 "E EK {ID 신청자 , N, TS 1 , 제1 인증 값}"과 같이 표현될 수 있다. 또는, 도 5를 참조하여 전술된 단계(523)에서 전송되는 신뢰된 권한 정보 요청 메시지는 E EK {ID 신청자 , N, TS 1 , 제1 인증 값}를 포함할 수 있다.
이후, 권한 관리 서버(130)의 통신부(420)가 신뢰된 권한 정보 요청 메시지를 수신하면, 권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지의 안전성의 검증을 수행할 수 있고, 상기의 검증에 의해 신뢰된 권한 정보 메시지가 정상인 것으로 판단되면 신뢰된 권한 정보를 생성할 수 있다. 신뢰된 권한 정보의 생성에 대하여 아래에서 도 8을 참조하여 설명된다.
도 8은 일 예에 따른 신뢰된 권한 정보 생성 방법의 흐름도이다.
도 5를 참조하여 전술된 단계(525)는 아래의 단계들(810, 820, 830, 840 및 850)을 포함할 수 있다.
단계(810)에서, 권한 관리 서버(130)의 처리부(410)는 저장부(430)로부터 사용자의 권한 정보를 추출할 수 있다. 처리부(410)는 사용자의 식별자 ID 신청자 를 사용하여 사용자를 식별할 수 있다.
저장부(430)는 사용자들의 권한 정보를 저장하는 데이터베이스를 포함할 수 있다.
단계(820)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 사용자의 식별자 ID 신청자 등에 기반하여 권한 서명을 생성할 수 있다.
권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 사용자의 식별자 ID 신청자 등에 대하여 권한 관리 서버(130)의 개인 키 pri_PMS를 이용함으로써 권한 서명을 생성할 수 있다.
권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 사용자의 식별자 ID 신청자 의 해쉬 값에 대하여 권한 관리 기관의 개인 키 pri_PMS를 이용함으로써 권한 서명을 생성할 수 있다.
권한 관리 서버(130)의 처리부(410)는 해쉬 알고리즘을 사용하여 해쉬 값을 생성할 수 있다. 예를 들면, 해쉬 알고리즘은 SHA256일 수 있다.
예를 들면, 권한 서명은 "Sign pri_PMS {H(권한 정보, ID 신청자 , ID 권한관리기관 )}"와 같이 표현될 수 있다. "H()"는 해쉬 함수(function) 또는 해쉬 알고리즘을 나타낼 수 있다.
단계(830)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 권한 서명에 기반하여 신뢰된 권한 정보 R을 생성할 수 있다.
권한 관리 서버(130)의 처리부(410)는 사용자의 권한 정보, 권한 관리 기관의 식별자 ID 권한관리기관 및 권한 서명을 결합함으로써 신뢰된 권한 정보 R을 생성할 수 있다. 여기에서, 결합은 연쇄를 의미할 수 있다.
예를 들면, 권한 정보 R은 "{권한 정보, ID 권한관리기관 , Sign pri_PMS {H(권한 정보, ID 신청자 , ID 권한관리기관 )}}"과 같이 표현될 수 있다.
단계(840)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 세션 키 SK에 기반하여 제2 인증 값을 생성할 수 있다.
난수 N은 인증 서버(120)에 의해 생성될 수 있고, 신뢰된 권한 정보 요청 메시지를 통해 권한 관리 서버(130)로 전송될 수 있다.
제2 타임스탬프 TS 2 는 권한 관리 서버(130)의 처리부(410)에 의해 생성될 수 있다.
예를 들면, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 신뢰된 권한 정보 R를 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 인증 서버(120)의 처리부(310)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제2 인증 값을 생성할 수 있다.
결합 값은 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 신뢰된 권한 정보 R이 모두 연쇄된 값일 수 있다.
예를 들면, 제2 인증 값은 "HMAC AK {ID 신청자 , N, TS 2 , R}"과 같이 표현될 수 있다.
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.
단계(850)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값에 대한 암호화를 수행함으로써 신뢰된 권한 정보 메시지를 생성할 수 있다. 말하자면, 신뢰된 권한 정보 메시지는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 암호화된 결과를 포함할 수 있다.
권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 메시지를 생성할 수 있다.
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 암호 키 EK를 유도할 수 있다.
권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 결합된 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 신뢰된 권한 정보 메시지를 생성할 수 있다. 여기에서, 결합된 값은 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 연쇄된 값일 수 있다.
예를 들면, 신뢰된 권한 정보 메시지는 "E EK {ID 신청자 , N, TS 2 , R, 제2 인증 값}"와 같이 표현될 수 있다.
또는, 신뢰된 권한 정보 메시지는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 , 신뢰된 권한 정보 R 및 제2 인증 값이 결합된 값에 대하여 암호 키 EK를 사용하는 암호화를 수행함으로써 생성된 값을 포함할 수 있다. 말하자면, 도 5를 참조하여 전술된 단계(526)에서 전송되는 신뢰된 권한 정보 메시지는 E EK {ID 신청자 , N, TS 2 , R, 제2 인증 값}을 포함할 수 있다.
도 9는 일 예에 따른 신뢰된 권한 정보 요청 메시지에 대한 검증 방법의 흐름도이다.
도 5를 참조하여 전술된 단계(524)는 아래의 단계들(910, 920, 930, 940, 950, 960 및 970)을 포함할 수 있다.
권한 관리 서버(130)의 처리부(410)는 수신된 신뢰된 권한 정보 요청 메시지의 안전성에 대한 검증을 수행할 수 있다.
단계(910)에서, 권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지에 대한 복호화를 수행할 수 있다.
권한 관리 서버(130)의 처리부(410)는 암호 키 EK를 사용하여 신뢰된 권한 정보 요청 메시지에 대한 복호화를 수행할 수 있다.
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 암호 키 EK를 유도할 수 있다.
권한 관리 서버(130)의 처리부(410)는 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 제1 인증 값을 추출할 수 있다.
단계(920)에서, 권한 관리 서버(130)의 처리부(410)는 권한 정보 요청 메시지에서 추출된 제1 타임스탬프 TS 1 가 권한 관리 서버(130)에 저장된 제3 타임스탬프 TS 3 에 비해 더 최근의 타임스탬프인지 여부를 검사할 수 있다.
권한 관리 서버(130)의 저장부(430)는 제3 타임스탬프 TS 3 를 저장할 수 있다.
제1 타임스탬프 TS 1 가 제3 타임스탬프 TS 3 에 비해 더 최근의 타임스탬프인 경우 단계(930)가 수행될 수 있다. 제1 타임스탬프 TS 1 가 제3 타임스탬프 TS 3 에 비해 더 최근의 타임스탬프가 아니면 단계(970)가 수행될 수 있다.
단계(930)에서, 권한 관리 서버(130)의 처리부(410)는 권한 관리 서버(130)에 저장된 제3 타임스탬프 TS 3 의 값을 더 최근의 타임스탬프인 제1 타임스탬프 TS 1 의 값으로 설정할 수 있다. 말하자면, 권한 관리 서버(130)의 처리부(410)는 기존의 제3 타임스탬프 TS 3 를 더 최근의 타임스탬프인 제1 타임스탬프 TS 1 로 교체할 수 있다.
단계(940)에서, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N, 제1 타임스탬프 TS 1 및 세션 키 SK에 기반하여 제3 인증 값을 생성할 수 있다.
예를 들면, 우선, 권한 관리 서버(130)의 처리부(410)는 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 을 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 권한 관리 서버(130)의 처리부(410)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제3 인증 값을 생성할 수 있다.
예를 들면, 결합 값은 사용자의 식별자 ID 신청자 , 난수 N 및 제1 타임스탬프 TS 1 이 모두 연쇄된 값일 수 있다.
예를 들면, 제3 인증 값은 "HMAC AK {ID 신청자 , N, TS 1 }"와 같이 표현될 수 있다.
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.
단계(950)에서, 권한 관리 서버(130)의 처리부(410)는 제1 인증 값 및 제3 인증 값이 동일한지 여부를 검사할 수 있다.
제1 인증 값 및 제3 인증 값이 동일한 경우, 신뢰된 권한 정보 요청 메시지에 대한 검증이 성공하고, 단계(960)가 수행될 수 있다. 제1 인증 값 및 제3 인증 값이 동일하지 않은 경우, 신뢰된 권한 정보 요청 메시지에 대한 검증이 실패하고, 단계(970)가 수행될 수 있다.
단계(960)에서, 권한 관리 서버(130)의 처리부(410)는 권한 정보 요청 메시지에 대한 검증이 성공한 것으로 결정할 수 있다.
단계(970)에서, 권한 관리 서버(130)의 처리부(410)는 권한 정보 요청 메시지에 대한 검증이 실패한 것으로 결정할 수 있다.
검증이 실패한 것으로 결정된 경우, 권한 관리 서버(130)의 처리부(410)는 수신된 권한 정보 요청 메시지를 무시할 수 있고, 인증 서버(120)와의 통신을 종료할 수 있다.
도 10은 일 예에 따른 신뢰된 권한 정보 메시지에 대한 검증 방법의 흐름도이다.
도 5를 참조하여 전술된 단계(550)는 아래의 단계들(1010, 1020, 1030, 1040, 1050, 1060 및 1070)을 포함할 수 있다.
인증 서버(120)의 처리부(310)는 수신된 신뢰된 권한 정보 메시지의 안전성에 대한 검증을 수행할 수 있다.
단계(1010)에서, 인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 메시지에 대한 복호화를 수행할 수 있다.
인증 서버(120)의 처리부(310)는 암호 키 EK를 사용하는 복호화를 수행할 수 있다.
암호 키 EK는 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 암호 키 EK를 유도할 수 있다.
인증 서버(120)의 처리부(310)는 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 제2 인증 값을 추출할 수 있다.
단계(1020)에서, 인증 서버(120)의 처리부(310)는 권한 정보 요청 메시지에서 추출된 제2 타임스탬프 TS 2 가 인증 서버(120)에 저장된 제4 타임스탬프 TS 4 에 비해 더 최근의 타임스탬프인지 여부를 검사할 수 있다.
인증 서버(120)의 저장부(330)는 제4 타임스탬프 TS 4 를 저장할 수 있다.
제2 타임스탬프 TS 2 가 제4 타임스탬프 TS 4 에 비해 더 최근의 타임스탬프인 경우 단계(1030)가 수행될 수 있다. 제2 타임스탬프 TS 2 가 제4 타임스탬프 TS 4 에 비해 더 최근의 타임스탬프가 아니면 단계(1070)가 수행될 수 있다.
단계(1030)에서, 인증 서버(120)의 처리부(310)는 인증 서버(120)에 저장된 제4 타임스탬프 TS 4 의 값을 더 최근의 타임스탬프인 제2 타임스탬프 TS 2 의 값으로 설정할 수 있다. 말하자면, 인증 서버(120)의 처리부(310)는 기존의 제4 타임스탬프 TS 4 를 더 최근의 타임스탬프인 제2 타임스탬프 TS 2 로 교체할 수 있다.
단계(1040)에서, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N, 제2 타임스탬프 TS 2 및 세션 키 SK에 기반하여 제4 인증 값을 생성할 수 있다.
예를 들면, 우선, 인증 서버(120)의 처리부(310)는 사용자의 식별자 ID 신청자 , 난수 N 및 제2 타임스탬프 TS 2 을 결합함으로써 결합 값을 생성할 수 있다. 다음으로, 인증 서버(120)의 처리부(310)는 생성된 결합 값에 대하여 인증 키 AK를 사용하는 대칭 키 서명을 수행함으로써 제4 인증 값을 생성할 수 있다.
예를 들면, 결합 값은 사용자의 식별자 ID 신청자 , 난수 N 및 제2 타임스탬프 TS 2 이 모두 연쇄된 값일 수 있다.
예를 들면, 제4 인증 값은 "HMAC AK {ID 신청자 , N, TS 1 }"와 같이 표현될 수 있다.
인증 키 AK는 공유된 세션 키 SK로부터 유도된 값일 수 있다. 인증 서버(120)의 처리부(310) 및 권한 관리 서버(130)의 처리부(410)는 동일한 알고리즘을 사용하여 공유된 세션 키 SK로부터 인증 키 AK를 유도할 수 있다.
단계(1050)에서, 인증 서버(120)의 처리부(310)는 제2 인증 값 및 제4 인증 값이 동일한지 여부를 검사할 수 있다.
제2 인증 값 및 제4 인증 값이 동일한 경우, 신뢰된 권한 정보 메시지에 대한 검증이 성공하고, 단계(1060)가 수행될 수 있다. 제2 인증 값 및 제4 인증 값이 동일하지 않은 경우, 신뢰된 권한 정보 메시지에 대한 검증이 실패하고, 단계(1070)가 수행될 수 있다.
단계(1060)에서, 인증 서버(120)의 처리부(310)는 권한 정보 요청 메시지에 대한 검증이 성공한 것으로 결정할 수 있다.
단계(1070)에서, 인증 서버(120)의 처리부(310)는 권한 정보 요청 메시지에 대한 검증이 실패한 것으로 결정할 수 있다.
검증이 실패한 것으로 결정된 경우, 인증 서버(120)의 처리부(310)는 수신된 권한 정보 요청 메시지를 무시할 수 있고, 권한 관리 서버(130)와의 통신을 종료할 수 있다. 또한, 인증 서버(120)의 통신부(320)는 사용자 크리덴셜의 발급의 실패를 나타내는 응답을 사용자 단말(110)의 통신부(220)로 전송할 수 있다.
도 11은 일 예에 따른 사용자 크리덴셜을 검증하는 방법의 흐름도이다.
도 5를 참조하여 전술된 단계(550)는 아래의 단계들(1110, 1120, 1130, 1140, 1150, 1160, 1170 및 1180)을 포함할 수 있다.
단계(1110)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜의 형식이 정상적인지 여부를 검사할 수 있다. 사용자 단말(110)의 처리부(210)는 발급된 사용자 크리덴셜이 모든 사용자 크리덴셜 정보들을 순서에 맞춰 포함하는지 여부를 검사할 수 있다.
여기에서, 모든 사용자 크리덴셜 정보들은 도 6a 및 도 6b를 참조하여 전술된 사용자 크리덴셜(600)이 포함하는 정보들일 수 있다. 또한, 사용자 크리덴셜 정보들의 순서는 도 6a 및 도 6b에서 도시된 사용자 크리덴셜(600)이 포함하는 정보들의 순서(위에서 아래로)일 수 있다.
사용자 단말(110)의 처리부(210)는 사용자 크리덴셜이 모든 사용자 크리덴셜 정보들을 순서에 맞춰 포함할 경우 발급된 사용자 크리덴셜이 정상적인 것으로 판단할 수 있다.
사용자 단말(110)의 처리부(210)는 사용자 크리덴셜이 모든 사용자 크리덴셜 정보들을 포함하지 않을 경우, 사용자 크리덴셜이 정상적이지 않은 것으로 판단할 수 있다. 또는, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜이 사용자 크리덴셜 정보들을 순서대로 포함하지 않을 경우, 사용자 크리덴셜이 정상적이지 않은 것으로 판단할 수 있다.
사용자 크리덴셜이 정상적인 것으로 판단된 경우, 사용자 크리덴셜에 대한 검증이 성공하고, 단계(1120)가 수행될 수 있다. 사용자 크리덴셜이 정상적이지 않은 것으로 판단된 경우, 사용자 크리덴셜에 대한 검증이 실패하고, 단계(1180)가 수행될 수 있다.
단계(1120)에서, 사용자 단말(110)의 처리부(210)는 인증 기관의 인증서를 사용하여 인증 기관의 서명이 정상적인지 여부를 판단할 수 있다.
인증 기관의 서명이 정상적인 것으로 판단된 경우, 사용자 크리덴셜에 대한 검증이 성공하고, 단계(1130)가 수행될 수 있다. 인증 기관의 서명이 정상적이지 않은 것으로 판단된 경우, 사용자 크리덴셜에 대한 실패이 성공하고, 단계(1180)가 수행될 수 있다.
단계(1130)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜로부터 신뢰된 권한 정보를 추출할 수 있다. 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜의 확장 필드로부터 신뢰된 권한 정보를 추출할 수 있다.
단계(1140)에서, 사용자 단말(110)의 처리부(210)는 신뢰된 권한 정보, 사용자의 식별자 ID 신청자 및 권한 관리 기관의 식별자에 대한 해쉬 값을 생성할 수 있다.
권한 관리 기관의 식별자는 권한 관리 기관의 인증서에 포함된 인증서 소유자 정보로부터 추출될 수 있다.
사용자 단말(110)의 처리부(210)는 신뢰된 권한 정보, 사용자의 식별자 ID 신청자 및 권한 관리 기관의 식별자를 결합함으로써 결합 값을 생성할 수 있고, 결합 값의 해쉬 값을 생성할 수 있다. 여기에서, 결합은 연쇄를 의미할 수 있다.
단계(1150)에서, 사용자 단말(110)의 처리부(210)는 권한 관리 기관의 공개 키를 이용하여 권한 관리 기관의 서명에 대한 복호화를 수행함으로써 복호화된 서명을 획득할 수 있다.
권한 관리 기관의 공개 키는 권한 관리 기관의 인증서로부터 추출될 수 있다.
단계(1160)에서, 사용자 단말(110)의 처리부(210)는 해쉬 값 및 복호화된 서명이 일치하는지 여부를 검사할 수 있다. 해쉬 값 및 복호화된 서명이 일치할 경우 사용자 크리덴셜은 정상적인 것으로 간주될 수 있고, 사용자 크리덴셜에 포함된 권한 정보도 신뢰될 수 있다.
해쉬 값 및 복호화된 서명이 일치할 경우, 사용자 크리덴셜에 대한 검증이 성공하고, 단계(1170)가 수행될 수 있다. 해쉬 값 및 복호화된 서명이 일치하지 않을 경우, 사용자 크리덴셜에 대한 검증이 실패하고, 단계(1180)가 수행될 수 있다.
단계(1170)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜에 대한 검증이 성공한 것으로 결정할 수 있다.
사용자 크리덴셜에 대한 검증이 성공하면, 사용자 크리덴셜에 포함된 권한 정보 또한 신뢰될 수 있다.
단계(1180)에서, 사용자 단말(110)의 처리부(210)는 사용자 크리덴셜에 대한 검증이 실패한 것으로 결정할 수 있다.
도 12는 일 예에 따른 사용자 크리덴셜을 사용하여 서비스 또는 자원을 제공받는 방법의 흐름도이다.
사용자 단말(110)이 서버(1210)로부터 서비스 또는 자원을 제공받기 위해서는 사용자 단말(110)의 사용자 크리덴셜을 서버(1210)에게 제공해야 할 필요가 있다. 서버(1210)는 서비스를 제공하는 어플리케이션 서버 또는 자원을 제공하는 자원 서버일 수 있다.
단계(1220)에서, 사용자 단말(110)의 통신부(220)는 서비스 요청 메시지를 서버(1210)로 전송할 수 있다. 서버(1210)는 사용자 단말(110)의 통신부(220)로부터 서비스 요청 메시지를 수신할 수 있다.
서비스 요청 메시지는 사용자 단말(110)이 요청하는 서비스 또는 자원을 나타낼 수 있다.
서비스 요청 메시지는 사용자 크리덴셜을 포함할 수 있다.
단계(1230)에서, 서버(1210)는 사용자 크리덴셜에 대한 검증을 수행할 수 있다. 서버(1210)는 권한 관리 기관의 인증서를 사용하여 사용자 크리덴셜에 대한 검증을 수행할 수 있다.
서버(1210)는 검증의 대상이 되는 사용자 크리덴셜을 권한 권리 서버(130)로부터 획득할 수 있다. 단계(1230)에서의 사용자 크리덴셜의 획득에 대하여 아래에서 도 13을 참조하여 상세하게 설명된다.
서버(1210)는 사용자 크리덴셜이 정상적인 크리덴셜인지 여부를 판단할 수 있다.
사용자 크리덴셜이 정상적인 크리덴셜인 것으로 판단된 경우 단계(1260)가 수행될 수 있다. 사용자 크리덴셜이 정상적인 크리덴셜이 아닌 것으로 판단된 경우 서버(1210)는 사용자 단말(110)에 의한 서비스 또는 자원의 요청을 거부할 수 있고, 절차가 종료할 수 있다.
단계(1240)에서, 서버(1210)는 사용자 크리덴셜을 사용하여 사용자 단말(110)이 사용자 단말(110)에 의해 요청된 서비스 또는 자원을 사용하기에 적합한 권한이 있는지 여부를 판단할 수 있다.
사용자 단말(110)이 요청된 서비스 또는 자원을 사용하기에 적합한 권한이 있는 것으로 판단된 경우, 단계(1270)가 수행될 수 있다. 사용자 단말(110)이 요청된 서비스 또는 자원을 사용하기에 적합한 권한이 없는 것으로 판단된 경우 서버(1210)는 사용자 단말(110)에 의한 서비스 또는 자원의 요청을 거부할 수 있고, 절차가 종료할 수 있다.
단계(1250)에서, 서버(1210)는 사용자 단말(110)에게 사용자 단말(110)에 의해 요청된 서비스 또는 자원을 제공할 수 있다.
도 13은 일 예에 따른 사용자 크리덴셜에 대한 검증 방법의 흐름도이다.
도 12를 참조하여 전술된 단계(1230)는 아래의 단계들(1310, 1320 및 1330)을 포함할 수 있다. 또한, 단계(1230)에 대해 설명된 내용 중 적어도 일부는 단계들(1310, 1320 및 1330)의 수행의 이전 또는 이후에 수행될 수 있다.
단계(1310)에서, 서버(1210)는 서버(1210)가 권한 관리 기관의 인증서를 가지고 있는지 여부를 검사할 수 있다.
서버(1210)가 권한 관리 기관의 인증서를 가지고 있지 않은 경우 단계(1320)가 수행될 수 있다. 서버(1210)가 권한 관리 기관의 인증서를 가지고 있는 경우 절차가 종료할 수 있고, 도 12를 참조하여 전술된 단계(1230)가 수행될 수 있다.
단계(1320)에서, 서버(1210)는 인증서 요청 메시지를 권한 관리 서버(130)의 통신부(420)로 전송할 수 있다. 권한 관리 서버(130)의 통신부(420)는 서버(1210)로부터 인증서 요청 메시지를 수신할 수 있다.
단계(1330)에서, 권한 관리 서버(130)의 통신부(420)는 인증서 메시지를 서버(1210)로 전송할 수 있다. 서버(1210)는 권한 관리 서버(130)의 통신부(420)로부터 인증서 메시지를 수신할 수 있다.
인증서 메시지는 권한 관리 서버(130)를 운용하는 권한 관리 기관의 인증서를 포함할 수 있다.
단계(1330)가 수행된 후, 도 12를 참조하여 전술된 단계(1230)가 수행될 수 있다.
실시예에 따른 방법은 다양한 컴퓨터 수단을 통하여 수행될 수 있는 프로그램 명령 형태로 구현되어 컴퓨터 판독 가능 매체에 기록될 수 있다. 상기 컴퓨터 판독 가능 매체는 프로그램 명령, 데이터 파일, 데이터 구조 등을 단독으로 또는 조합하여 포함할 수 있다. 상기 매체에 기록되는 프로그램 명령은 실시예를 위하여 특별히 설계되고 구성된 것들이거나 컴퓨터 소프트웨어 당업자에게 공지되어 사용 가능한 것일 수도 있다. 컴퓨터 판독 가능 기록 매체의 예에는 하드 디스크, 플로피 디스크 및 자기 테이프와 같은 자기 매체(magnetic media), CD-ROM, DVD와 같은 광기록 매체(optical media), 플롭티컬 디스크(floptical disk)와 같은 자기-광 매체(magneto-optical media), 및 롬(ROM), 램(RAM), 플래시 메모리 등과 같은 프로그램 명령을 저장하고 수행하도록 특별히 구성된 하드웨어 장치가 포함된다. 프로그램 명령의 예에는 컴파일러에 의해 만들어지는 것과 같은 기계어 코드뿐만 아니라 인터프리터 등을 사용해서 컴퓨터에 의해서 실행될 수 있는 고급 언어 코드를 포함한다. 상기된 하드웨어 장치는 실시예의 동작을 수행하기 위해 하나 이상의 소프트웨어 모듈로서 작동하도록 구성될 수 있으며, 그 역도 마찬가지이다.
이상과 같이 실시예들이 비록 한정된 실시예와 도면에 의해 설명되었으나, 해당 기술분야에서 통상의 지식을 가진 자라면 상기의 기재로부터 다양한 수정 및 변형이 가능하다. 예를 들어, 설명된 기술들이 설명된 방법과 다른 순서로 수행되거나, 및/또는 설명된 시스템, 구조, 장치, 회로 등의 구성요소들이 설명된 방법과 다른 형태로 결합 또는 조합되거나, 다른 구성요소 또는 균등물에 의하여 대치되거나 치환되더라도 적절한 결과가 달성될 수 있다.
그러므로, 다른 구현들, 다른 실시예들 및 특허청구범위와 균등한 것들도 후술하는 특허청구범위의 범위에 속한다.
110: 사용자 단말
120: 인증 서버
130: 권한 관리 서버
1210: 서버

Claims (20)

  1. 인증 기관에 의해 운용되는 인증 서버에 의해 수행되는,
    사용자 단말로부터 사용자 크리덴셜 요청 메시지를 수신하는 단계;
    권한 관리 서버로 신뢰된 권한 정보 요청 메시지를 전송하는 단계;
    상기 권한 관리 서버로부터 상기 사용자 단말의 사용자에 대한 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 수신하는 단계;
    상기 신뢰된 권한 정보를 사용하여 상기 사용자에 대한 사용자 크리덴셜을 생성하는 단계; 및
    상기 사용자 크리덴셜을 포함하는 사용자 크리덴셜 메시지를 상기 사용자 단말로 전송하는 단계
    를 포함하는 사용자 크리덴셜 발급 방법.
  2. 제1항에 있어서,
    상기 사용자 크리덴셜은 X.509v3 인증서이고,
    상기 신뢰된 권한 정보는 상기 X.509v3 인증서의 확장 필드에 저장되는 사용자 크리덴셜 발급 방법.
  3. 제1항에 있어서,
    상기 권한 관리 서버와의 상호 인증을 통해 세션 키를 공유하는 단계
    를 더 포함하는 사용자 크리덴셜 발급 방법.
  4. 제1항에 있어서,
    상기 신뢰된 권한 정보 요청 메시지를 생성하는 단계
    를 더 포함하고,
    상기 신뢰된 권한 정보 요청 메시지는 제1 인증 값을 포함하고,
    상기 제1 인증 값은 상기 사용자의 식별자, 제1 타임스탬프 및 세션 키에 기반하여 생성되는 사용자 크리덴셜 발급 방법.
  5. 제4항에 있어서,
    상기 제1 인증 값은 상기 사용자의 식별자 및 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성되고,
    상기 인증 키는 상기 세션 키로부터 유도되는 사용자 크리덴셜 발급 방법.
  6. 제5항에 있어서,
    상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도하는 사용자 크리덴셜 발급 방법.
  7. 제3항에 있어서,
    상기 신뢰된 권한 정보 메시지에 대한 검증을 수행하는 단계
    를 더 포함하고,
    상기 검증을 수행하는 단계는,
    상기 신뢰된 권한 정보 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 제2 타임스탬프 및 제2 인증 값을 추출하는 단계;
    상기 사용자의 식별자, 상기 제2 타임스탬프 및 상기 세션 키에 기반하여 제4 인증 값을 생성하는 단계; 및
    상기 제2 인증 값 및 상기 제4 인증 값이 동일한지 여부를 검사하는 단계
    를 포함하고,
    상기 제2 인증 값 및 상기 제4 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 요청 메시지에 대한 상기 검증이 실패하는 신뢰된 권한 정보 제공 방법.
  8. 제7항에 있어서,
    상기 제3 인증 값은 상기 사용자의 식별자 및 상기 제2 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성되고,
    상기 인증 키는 상기 세션 키로부터 유도된 값인 신뢰된 권한 정보 제공 방법.
  9. 제8항에 있어서,
    상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도하는 신뢰된 권한 정보 제공 방법.
  10. 권한 관리 기관에 의해 운용되는 권한 관리 서버에 의해 수행되는,
    인증 서버로부터 신뢰된 권한 정보 요청 메시지를 수신하는 단계;
    사용자에 대한 신뢰된 권한 정보 및 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 생성하는 단계; 및
    상기 인증 서버로 상기 신뢰된 권한 정보를 포함하는 신뢰된 권한 정보 메시지를 전송하는 단계
    를 포함하고,
    상기 신뢰된 권한 정보는 상기 사용자의 권한 정보, 상기 권한 관리 기관의 식별자 및 권한 서명에 기반하여 생성되는 신뢰된 권한 정보 제공 방법.
  11. 제10항에 있어서,
    상기 인증 서버와의 상호 인증을 통해 세션 키를 공유하는 단계
    를 더 포함하는 신뢰된 권한 정보 제공 방법.
  12. 제11항에 있어서,
    상기 신뢰된 권한 정보 메시지를 생성하는 단계는,
    상기 사용자의 식별자, 제2 타임스탬프, 상기 신뢰된 권한 정보 및 상기 세션 키에 기반하여 제2 인증 값을 생성하는 단계; 및
    상기 사용자의 식별자, 상기 제2 타임스탬프, 상기 신뢰된 권한 정보 및 상기 제2 인증 값에 대한 암호화를 수행함으로써 상기 신뢰된 권한 정보 메시지를 생성하는 단계
    를 포함하는 신뢰된 권한 정보 제공 방법.
  13. 제12항에 있어서,
    상기 신뢰된 권한 정보 메시지는 상기 사용자의 식별자, 상기 제2 타임스탬프, 상기 신뢰된 권한 정보 R 및 상기 제2 인증 값에 대한 암호 키를 사용하는 암호화에 의해 생성되고,
    상기 암호 키는 상기 세션 키로부터 유도되는 신뢰된 권한 정보 제공 방법.
  14. 제13항에 있어서,
    상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 암호 키를 유도하는 신뢰된 권한 정보 제공 방법.
  15. 제11항에 있어서,
    상기 신뢰된 권한 정보 요청 메시지에 대한 검증을 수행하는 단계
    를 더 포함하고,
    상기 검증을 수행하는 단계는,
    상기 신뢰된 권한 정보 요청 메시지에 대한 복호화를 통해 상기 사용자의 식별자, 제1 타임스탬프 및 제1 인증 값을 추출하는 단계;
    상기 사용자의 식별자, 상기 제1 타임스탬프 및 상기 세션 키에 기반하여 제3 인증 값을 생성하는 단계; 및
    상기 제1 인증 값 및 상기 제3 인증 값이 동일한지 여부를 검사하는 단계
    를 포함하고,
    상기 제1 인증 값 및 상기 제3 인증 값이 동일하지 않으면 상기 신뢰된 권한 정보 요청 메시지에 대한 상기 검증이 실패하는 신뢰된 권한 정보 제공 방법.
  16. 제15항에 있어서,
    상기 제3 인증 값은 상기 사용자의 식별자 및 상기 제1 타임스탬프를 포함하는 결합 값에 대하여 인증 키를 사용하는 대칭 키 서명을 수행함으로써 생성되고,
    상기 인증 키는 상기 세션 키로부터 유도된 값인 신뢰된 권한 정보 제공 방법.
  17. 제16항에 있어서,
    상기 인증 서버 및 상기 권한 관리 서버는 동일한 알고리즘을 사용하여 상기 세션 키로부터 상기 인증 키를 유도하는 신뢰된 권한 정보 제공 방법.
  18. 사용자의 사용자 단말에 의해 수행되는,
    사용자 크리덴셜 요청 메시지를 인증 서버로 전송하는 단계; 및
    상기 인증 서버로부터 상기 사용자에 대한 사용자 크리덴셜을 수신하는 단계
    를 포함하고,
    상기 사용자 크리덴셜은 X.509v3 인증서이고,
    상기 X.509v3 인증서의 확장 필드는 상기 사용자에 대한 신뢰된 권한 정보를 저장하는 사용자 크리덴셜 획득 방법.
  19. 제18항에 있어서,
    상기 신뢰된 권한 정보는 권한 관리 기관에 의해 운용되는 권한 관리 서버에 의해 제공된 사용자 크리덴셜 획득 방법.
  20. 제19항에 있어서,
    상기 사용자 크리덴션에 대한 검증을 수행하는 단계
    를 더 포함하고,
    상기 검증을 수행하는 단계는,
    상기 신뢰된 권한 정보, 상기 사용자의 식별자 및 상기 권한 관리 기관의 식별자에 대한 해쉬 값을 생성하는 단계;
    상기 권한 관리 기관의 공개 키를 이용하여 상기 권한 관리 기관의 서명 에 대한 복호화를 수행함으로써 복호화된 서명을 획득하는 단계; 및
    상기 해쉬 값 및 복호화된 서명이 일치하는지 여부를 검사하는 단계
    를 포함하고,
    상기 해쉬 값 및 상기 복호화된 서명이 일치하지 않을 경우, 상기 사용자 크리덴셜에 대한 상기 검증이 실패하는 사용자 크리덴셜 획득 방법.
KR1020160040973A 2015-08-11 2016-04-04 신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법 KR101817152B1 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR20150113259 2015-08-11
KR1020150113259 2015-08-11

Publications (2)

Publication Number Publication Date
KR20170019308A true KR20170019308A (ko) 2017-02-21
KR101817152B1 KR101817152B1 (ko) 2018-02-21

Family

ID=58313771

Family Applications (1)

Application Number Title Priority Date Filing Date
KR1020160040973A KR101817152B1 (ko) 2015-08-11 2016-04-04 신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법

Country Status (1)

Country Link
KR (1) KR101817152B1 (ko)

Cited By (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20210065564A (ko) * 2019-11-27 2021-06-04 에스케이텔링크 주식회사 보안 모듈을 이용한 모바일 출입 인증용 크리덴셜 관리 시스템
CN112948143A (zh) * 2021-03-04 2021-06-11 北京奇艺世纪科技有限公司 一种应用程序调用方法、装置及调用***
KR20210147402A (ko) * 2020-05-28 2021-12-07 고려대학교 산학협력단 피제어 장치의 보안 인증 기법
WO2022109020A1 (en) * 2020-11-18 2022-05-27 Visa International Service Association Integrating identity tokens and privacy-preserving identity attribute attestations into interactions
WO2023078106A1 (zh) * 2021-11-02 2023-05-11 华为技术有限公司 加密流量的访问控制方法、装置及***

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102250081B1 (ko) 2019-02-22 2021-05-10 데이터얼라이언스 주식회사 공개 원장 기반 크리덴셜 자율적 운영 시스템 및 방법
KR102460299B1 (ko) * 2019-11-25 2022-10-28 한국전자통신연구원 익명 크리덴셜 인증 시스템 및 그 방법

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20210065564A (ko) * 2019-11-27 2021-06-04 에스케이텔링크 주식회사 보안 모듈을 이용한 모바일 출입 인증용 크리덴셜 관리 시스템
KR20210147402A (ko) * 2020-05-28 2021-12-07 고려대학교 산학협력단 피제어 장치의 보안 인증 기법
US11838755B2 (en) 2020-05-28 2023-12-05 Korea University Research And Business Foundation Techniques for secure authentication of the controlled devices
WO2022109020A1 (en) * 2020-11-18 2022-05-27 Visa International Service Association Integrating identity tokens and privacy-preserving identity attribute attestations into interactions
US12015720B2 (en) 2020-11-18 2024-06-18 Visa International Service Association Integrating identity tokens and privacy-preserving identity attribute attestations into interactions
CN112948143A (zh) * 2021-03-04 2021-06-11 北京奇艺世纪科技有限公司 一种应用程序调用方法、装置及调用***
CN112948143B (zh) * 2021-03-04 2024-01-12 北京奇艺世纪科技有限公司 一种应用程序调用方法、装置及调用***
WO2023078106A1 (zh) * 2021-11-02 2023-05-11 华为技术有限公司 加密流量的访问控制方法、装置及***

Also Published As

Publication number Publication date
KR101817152B1 (ko) 2018-02-21

Similar Documents

Publication Publication Date Title
CN107743133B (zh) 移动终端及其基于可信安全环境的访问控制方法和***
KR101817152B1 (ko) 신뢰된 권한 정보 제공 방법, 신뢰된 권한 정보를 포함하는 사용자 크리덴셜 발급 방법 및 사용자 크리덴셜 획득 방법
CN111708991B (zh) 服务的授权方法、装置、计算机设备和存储介质
US9635013B2 (en) Secure data handling by a virtual machine
US8555075B2 (en) Methods and system for storing and retrieving identity mapping information
US7526649B2 (en) Session key exchange
EP1914658B1 (en) Identity controlled data center
US8997198B1 (en) Techniques for securing a centralized metadata distributed filesystem
EP2954448B1 (en) Provisioning sensitive data into third party network-enabled devices
US20140112470A1 (en) Method and system for key generation, backup, and migration based on trusted computing
CN106571951B (zh) 审计日志获取方法、***及装置
US8953805B2 (en) Authentication information generating system, authentication information generating method, client apparatus, and authentication information generating program for implementing the method
CN111914293B (zh) 一种数据访问权限验证方法、装置、计算机设备及存储介质
US20090199303A1 (en) Ce device management server, method of issuing drm key by using ce device management server, and computer readable recording medium
CN115277168B (zh) 一种访问服务器的方法以及装置、***
US11804957B2 (en) Exporting remote cryptographic keys
WO2008053279A1 (en) Logging on a user device to a server
Abraham et al. SSI Strong Authentication using a Mobile-phone based Identity Wallet Reaching a High Level of Assurance.
CN115065542A (zh) 权限验证方法、装置、处理器及电子设备
CN113271207A (zh) 基于移动电子签名的托管密钥使用方法、***、计算机设备及存储介质
JP2016012902A (ja) 電子データ利用システム、携帯端末装置、及び電子データ利用システムにおける方法
JP2014022920A (ja) 電子署名システム、電子署名方法および電子署名プログラム
Tiwari et al. Design and Implementation of Enhanced Security Algorithm for Hybrid Cloud using Kerberos
CN113297563A (zh) 访问片上***特权资源的方法、装置及片上***
KR101839699B1 (ko) 인증정보가 노출되지 않는 안전한 보안 usb 시스템 및 방법

Legal Events

Date Code Title Description
A201 Request for examination
E902 Notification of reason for refusal
AMND Amendment
E601 Decision to refuse application
AMND Amendment
E90F Notification of reason for final refusal
AMND Amendment
X701 Decision to grant (after re-examination)
GRNT Written decision to grant