RSA SecurID
RSA SecurID(구 SecurID)는 네트워크 리소스에 대한 사용자의 2요소 인증을 수행하기 위해 RSA에서 개발한 메커니즘이다.
설명[편집]
RSA SecurID 인증 메커니즘은 컴퓨터 사용자에게 할당되고 다음을 사용하여 고정된 간격(보통 60초)으로 인증 코드를 생성하는 "토큰"(하드웨어(예: 열쇠 고리) 또는 소프트웨어(소프트 토큰))로 구성된다. 내장 시계와 카드의 공장에서 인코딩된 거의 임의의 키("시드"라고 함)를 사용한다. 시드는 토큰마다 다르며 토큰 구매 시 해당 RSA SecurID 서버(RSA 인증 관리자, 이전 ACE/Server[1])에 로드된다.[2] 이메일이나 SMS 전송을 통해 토큰코드를 제공하는 주문형 토큰도 사용할 수 있으므로 사용자에게 토큰을 제공할 필요가 없다.
토큰 하드웨어는 리버스 엔지니어링을 방지하기 위해 변조 방지되도록 설계되었다. 동일한 알고리즘의 소프트웨어 구현("소프트웨어 토큰")이 시장에 등장했을 때 보안 커뮤니티에서는 사용자가 소프트웨어에서 RSA SecurID를 에뮬레이션할 수 있도록 하는 공개 코드를 개발했다. 단, 현재 RSA SecurID 코드에 액세스할 수 있는 경우에만 가능하다. 서버에 도입된 원본 64비트 RSA SecurID 시드 파일이다.[3] 나중에 128비트 RSA SecurID 알고리즘이 오픈 소스 라이브러리의 일부로 게시되었다.[4] RSA SecurID 인증 체계에서 시드 레코드는 일회용 비밀번호를 생성하는 데 사용되는 비밀 키이다. 최신 버전에는 USB 커넥터도 포함되어 있어 토큰을 인증서를 안전하게 저장하기 위한 스마트카드와 같은 장치로 사용할 수 있다.[5]
네트워크 리소스(예: 전화 접속 서버 또는 방화벽)에 인증하는 사용자는 개인 식별 번호와 그 순간 RSA SecurID 토큰에 표시되는 번호를 모두 입력해야 한다. 점점 드물기는 하지만 RSA SecurID를 사용하는 일부 시스템에서는 PIN 구현을 완전히 무시하고 비밀번호/RSA SecurID 코드 조합에 의존한다. 실시간 시계와 관련 시드 기록이 포함된 유효한 카드 데이터베이스를 갖춘 서버는 해당 시점에 토큰이 표시해야 하는 숫자를 계산하고 이를 사용자가 입력한 내용과 비교하여 확인하여 사용자를 인증한다.
이전 버전의 SecurID에서는 "강압 PIN"(duress PIN)을 사용할 수 있다. 이 대체 코드는 사용자가 PIN을 강제로 입력했음을 보여주는 보안 이벤트 로그를 생성하는 동시에 투명한 인증을 제공한다.[6] 협박 PIN을 사용하면 한 번만 인증에 성공할 수 있으며 그 후에는 토큰이 자동으로 비활성화된다. "강압 PIN" 기능은 더 이상 사용되지 않으며 현재 지원되는 버전에서는 사용할 수 없다.
RSA SecurID 시스템은 네트워크에 보안 계층을 추가하지만 인증 서버의 시계가 인증 토큰에 내장된 시계와 동기화되지 않으면 문제가 발생할 수 있다. 일반 토큰 시계 드리프트는 시간이 지남에 따라 저장된 "드리프트" 값을 조정하여 서버에서 자동으로 계산된다. 동기화되지 않은 상태가 일반적인 하드웨어 토큰 시계 드리프트의 결과가 아닌 경우 인증 관리자 서버 시계와 동기화되지 않은 토큰(또는 토큰)의 동기화를 수정하는 방법은 여러 가지가 있다. 서버 시계가 변동되어 관리자가 시스템 시계를 변경한 경우 토큰을 하나씩 다시 동기화하거나 저장된 드리프트 값을 수동으로 조정할 수 있다. 드리프트는 개별 토큰에서 수행하거나 명령줄 유틸리티를 사용하여 대량으로 수행할 수 있다.
RSA 시큐리티는 아이언키, 샌디스크, 모토로라, 프리스케일 세미컨덕터, 레드캐논, 브로드컴 및 블랙베리 (스마트폰)와 같은 장치 제조업체와 협력하여 "유비쿼터스 인증"이라는 이니셔티브를 추진하여 USB 플래시 드라이브 및 휴대폰과 같은 일상적인 장치에 SecurID 소프트웨어를 내장했다. 이는 사용자가 휴대해야 하는 물건의 수와 비용을 줄이기 위함이다.[7]
각주[편집]
- ↑ “Oracle® Access Manager Integration Guide” (PDF). Oracle Corporation. August 2007.
[...] the RSA ACE/Server®, which has been renamed to the Authentication Manager.
- ↑ “RFC ft-mraihi-totp-timebased: TOTP: Time-Based One-Time Password Algorithm”. 《Ietf Datatracker》. 2011년 5월 13일.
- ↑ “Bugtraq: Sample SecurID Token Emulator with Token Secret Import”. 《seclists.org》.
- ↑ “stoken / Wiki / Home”. 《sourceforge.net》.
- ↑ “Data Sheets” (PDF). 2008년 11월 13일에 원본 문서에서 보존된 문서.
- ↑ “TCPware V5.7 User's Guide ch14.HTM”. 2012년 3월 1일에 원본 문서에서 보존된 문서. 2013년 3월 20일에 확인함.
- ↑ RSA Security to enable ubiquitous authentication as RSA SecurID(r) technology reaches everyday devices and software – M2 Presswire
외부 링크[편집]
- Technical details
- Sample SecurID Token Emulator with token Secret Import I.C.Wiener, Bugtraq post.
- Apparent Weaknesses in the Security Dynamics Client/Server Protocol Adam Shostack, 1996.
- Usenet thread discussing new SecurID details Vin McLellan, et al., comp.security.misc.
- Unofficial SecurID information and some reverse-engineering attempts Yahoo Groups securid-users.
- Analysis of possible risks from 2011 compromise
- Published attacks against the SecurID hash function
- Cryptanalysis of the Alleged SecurID Hash Function (PDF) Alex Biryukov, Joseph Lano, and Bart Preneel.
- Improved Cryptanalysis of SecurID (PDF) Scott Contini and Yiqun Lisa Yin.
- Fast Software-Based Attacks on SecurID (PDF) Scott Contini and Yiqun Lisa Yin.