다양한 모바일결제 솔루션의 보안이슈myucc.cafe24.com/pdf/세션1/(2)_다양한 모바일 결제... · 5 Micro SD Card에 보안매체인 IC 카드를 포함한 형태로

다양한 모바일결제 솔루션의 보안이슈

2013 April 17

1

다양한 Mobile Payment Solutions

2

스마트폰 어플에서 신용카드를 등록한 후, 결제할 때에는 일회성 바코드를 생성하여 신용카드 거래로 진행함

“바코드 안전결제” 상용서비스가 시행되고 있음

신용카드 바코드결제

PKI 인증서 기반의 ISP 기반 서비스

신용카드 거래로 처리

유효시간 3분, 결제 비밀번호, 생성된 바코드의 암호화 전송

3

스마트폰 어플에서 은행계좌를 등록한 후, 결제할 때에는 일회성 바코드를 생성하여 즉시불 형태 거래로 진행함

스마트폰 어플에서, 일회성 인증번호를 생성하여 이통사의 폰빌(후불) 형태로 거래함( 엠틱, 바통 등)

은행계좌/소액 바코드결제

4

USIM 등으로 대표되는 IC 칩을 탑재한 보안매체(Secure Element)에 발급, 선불/신용/체크 등의 형식

은행과 신용카드사 등 금융회사가 발급하는 상품

모바일카드

플라스틱 카드와 동일한 형식과 내용

이종 OS에 탑재된 금융 서비스

Visa, Master, Amex, Discover, CUP, KS 등

여러 금융회사가 공동으로 이용하는 형식

Unique Cryptogram Gen. & Verified

Proximity Payment(NFC supported)

5

Micro SD Card에 보안매체인 IC 카드를 포함한 형태로 대표적 모바일 보안매체인 USIM의 대체제 가능성

현재 USIM에서 서비스되는 컨텐츠를 모두 포함할 수 있으며, 지불결제의 절차/방법이 동일하게 적용됨

Secured Micro SD Card

별도의 채널로 공급 가능한 보안 매체

Single Wired Protocol 지원 이슈

RF Antenna 지원 이슈

IC memory 용량 이슈

복수의 SE에서의 routing 이슈

지불결제산업의 기술동향인 것은 분명

6

모바일결제 솔루션의 보안 이슈

7

신용카드 번호, 은행계좌 번호 등을 대신하여 일회성 바코드를 사용하므로 POS Terminal에 금융정보가 저장되지

않음. NFC결제와는 근본적으로 다르며 결제수단 자체를 분실할 염려가 없음.

바코드 모바일결제의 보안상 이점

Touch

POS 영구 저장장치에 금융정보 없음

RF theft로부터 안전함(App 작동시 동작)

결제에 대한 링크정보이므로 비교적 안전

결제금액의 한도 설정

시한부 결제정보

모바일기기 이동성이 유리함

RF tagging VS Barcode Reading

8

바코드는 그 사용이 매우 자유롭고 편리한 숫자의 대용으로 사용되던 것이지만, 신용카드 번호/은행계좌 번호 등

을 대신하여 결제정보 역할을 하게 되면 최소한의 보안수준을 유지하여야 함

결제정보 바코드와 관계된 보안상 이슈

Barcode 생성

•거래마다 생성되며 •중복되지 않는 것을 보장해야 •보통은 서버에서 생성한 것을 사용

Barcode 전달

•서버와의 통신을 통하여 전달받음 •암호화를 하여 송수신함 •App에 복호키가 저장되어 있음 •대칭키보다는 비대칭키로 암복호화

Barcode 유효

•일회성 바코드 •유효시간이 3 ~5분 정도 •Time Out 되지 않으면 타인사용 가능성 있음

9

바코드는 그 사용이 매우 자유롭고 편리한 숫자의 대용으로 사용되던 것이지만, 신용카드 번호/은행계좌 번호 등

을 대신하여 결제정보 역할을 하게 되면 최소한의 보안수준을 유지하여야 함

결제거래에 대한 부인방지

PAYMENT PIN APP PASSWORD

Numeric Numeric + Alphabet 4 digits 6 ~ 14 digits

App password로 Pay PIN 대체

한 번의 인증으로 계속 사용

사용자 자율적인 비밀번호 환경설정

결제정보관리

결제솔루션의 관리감독을 받는 부처가 다른 이유로 각기 다른 보안수준으로 서비스 되고 있다.

BANK ACCOUNT PIN(omitted)

Financial Info. Matching

Link Information X.509 Format

10

온라인 가맹점에서는 모바일카드에 의한 직접결제와 결제정보 링크방식이 혼재하여 사용되고 있는 상황

오프라인 가맹점에서는 PIN, Autograph 등 결제인증방법(CVM)이 달라 무서명 인증방법이 통용되고 있음

Mobile Credit Card 보안 이슈

스마트지갑

선택결제 고속

결제

Online Payment By Mobile Card

In a Secure Element

Offline Payment RF theft Protection

Payment PIN Autograph

Fraud Detection System:

Merchant Location

Floor Limit on Amount & Count

11

본래의 결제방법이 아닌 변형된 방식에서는 항상 거래제한의 조건이 부가되기 마련이다.

이것은 여러 가지 온라인 결제뿐만 아니라 모바일 신용카드 역시 마찬가지 상황이다.

Limitations on Mobile Payment Solutions

Limits

Registration

Down the line

Mobile Card

Online Offline

Barcode Payment

Credit Card

Bank Account

Plastic/Mobile Pair

ISO 7816

OTA ISSUANCE

Certificate(except for check card)

Payment

Credit Card Information/

PIN

Certificate/ OTP Token

Link to Plastic Card

None ≤ 300,000 W

Certificate

Temporary Barcode

Payment Password PIN

/Autograph PIN

12

보안 솔루션

13

모바일카드는 보안수준이 높은 반면 보안매체를 이용하는 과정에서 고객 불편이 있고 높은 기술수준 요구됨

바코드 모바일결제는 상대적으로 보안수준은 취약하나 편리성과 보편성의 강점을 소구함

모바일카드 VS 바코드 모바일결제

The U

ser

Frie

ndlin

ess

Low Medium

The Level of Security

High

Hig

h

Low

Barcode Payment

Mobile Card

• Smart Phone 을 포함한 거의 모든 기종 지원 • 가맹점 인프라 비용 수준이 낮다 • 등록절차가 상대적으로 편리 • 휴대전화 이동성이 높다

• 엄격한 절차/규정을 준수한 금융상품 • 모바일카드에 의한 직접결제 • 복제/해킹 등이 매우 어려움 • 전자지불 거래를 위한 기능과 구조로 설계

14

근본적인 원인은 금융 App과 해킹툴이 동일 OS에서 작동한다는 것에서 기인한다.

해킹툴이 설치될 수 없는 보안매체를 사용하고 금융 App은 UI와 단순 프로세싱만을 하여야 한다.

보안매체 이용한 해킹 피해방지 방안 – Secure Element

Hacking tool

同一 OS

Hacking Manipulation:

Price Bank Account

他 OS

Cryptogram Comm. Key set Mutual Auth

Temper Resistant

15

모바일카드의 분실/도난 등의 사고처리

휴대폰은 빈번히 분실/도난 등의 사고가 발생하며, 고객의 모바일 금융서비스에 대한 불안을 감소시키기

위해 멀티카드에 대한 일괄관리가 필수적임

매체관리

• 연계 플라스틱 카드는 무관하게 사용가능

• 모바일카드만 사고처리 대상

멀티카드

• 모바일 채널을 통한 사고 등재 별도 관리

• 동일 SE에 발급된 모바일카드 일괄 정지

해제처리

• 연계 플라스틱 카드와 무관함

• 동일인/동일USIM 모바일카드 일괄해제

16

모바일기기를 통한 지급/결제를 안전하게 수행하기 위해서는 다음과 같은 요건을 충족하여야 할 것이다.

바람직한 모바일 지급결제의 형태

Secure Element 내에 금융정보를 발급하며 임의로 조회할 수 없도록 해야 한다.

거래를 위한 Protocol을 SE에서 제공하여야 한다.

상호인증(Mutual Auth)을 위한 대사기능을 제공할 수 있어야 한다(Pharming 방지)

사용자에게 SE를 배포하기 전에 암호키가 설치되어 있어야 한다.

매 거래마다 고유한 cryptogram을 발생할 수 있어야 한다.

모바일카드는 IC카드이며 현재까지 가장 보안수준이 높은 모바일결제로

분류될 수 있으며, 보안매체를 다루는 기술수준을 축적하여 서비스의

질을 보장하는 것이 Key Success Factor이다.

“ 지불결제수단은 원래의 형식으로 발급되고 사용되어야 한다”