인증과 식별, 계정관리, OTP

계정 관리 차원에서의 보안이다.

시스템에 로그인 하려면 아이디로써 누군지 알려야하는데 이를 식별(identification)과정이라고 한다.

보통 생체 인증을 사용하지만, 시스템 상에서 생체인증을 활용하기 어렵기 때문에 인증(authentication)을 요청한다.

 

식별 ( identification ) 

인증( authentication )

인가( authorization )

의 차이를 알아야한다.

식별은 자신이 누군지를 알리는 것.

인증은 알린 자신이 맞다는 것을 확인하는 과정.

인가는 사이트를 자신이 이용할 수 있는지 확인하는 과정이다.

 

보안의 네 가지 인증으론

1. 알고 있는 것 : 머리속에 기억하고 있는 정보를 이용하여 인증 수행

2. 가지고 있는 것 : 신분증이나 OTP장치 

3. 자신의 모습 : 홍채 같은 생체 정보.

4. 위치하는 곳 : 접속 시도 네트웍의 적절성이나 콜백을 이용하여 신원 확인.

 

OTP장치?

One-Time Password로써, 접속시마다 필요한 비밀번호를 생성하여 그 번호를 통해 사용자를 인증하는 것이다.

난수 발생기에 현재 시간을 넣어 비밀번호를생성한다. 과거에 엄마가 가끔 은행카드 가져오라하면

뒷면에 막 숫자가 많았는데, 그게 보안카드라고해서 은행 인터넷 뱅킹시 그 카드 뒷면의 번호에 해당하는 4자리 숫자를 입력하게끔하는...아날로그적인 방법이었다고 한다. 이는 이제 스마트폰을 이용한 OTP로 바뀌었다. 네이버 OTP의 경우에도 네이버 로그인시 스마트폰으로 인증번호를 보냄. 나임을 증명하는 수단이 스마트폰이 된 것 뿐이다. 

OTP는 기술적으로 볼 때, 매우 안전한 기술이라고 한다. 비밀번호가 고정적이지 않은 데다, 시간제한까지 걸려있어 쉽지않다. 거기다 입력한 키 값은 암호화 처리되기 때문에 더욱 안전하다.

but...문자로 인증 할 경우 비용이 들며, 이메일로 인증 할 경우 웹 기반 서비스이기때문에 크리덴셜 위험도 있다는 것!

https://ldap.or.kr/1373-2/

One Time Password(OTP)의 개념 및 동작방식. LDAP을 활용한 OTP 인증. - DSMENTORING

블로그를 보면 OTP의 동작방식을 알 수 있다.

이해 한 것을 적어보자면, OTP는 값을 생성하는 방식에 따라 HOTP와 TOTP으로 나눌 수 있다.

HOTP는 HMAC을 기반으로 한다. HMAC = Hash + MAC으로 

송수신자 사이 비밀키가 존재하며 이는 키교환 알고리즘을 통해 교환된다. MAC은 비밀키로 메시지를 해시화하여 메시지 뒤에 붙인다.이때 메시지의 기밀성은 보장할 수 없기 때문에 Hash알고리즘에 의해 Hash화 한다.HMAC값과 MAC값을비교하여 확인하는 방식이다.

으람지러담랴ㅓㅔ 모르게썽요......................

사실은 모르겠스빈다....이해못했습니다,...........................................

셤 끝난지도 얼마 안됐는데 이거는 담에 기회가 된다면...알아보면 안될까요...

됩니다!

...........