Track 2-5. 생체인증 Nexsign SDS 양희성 수석자신의생체정보가타인의생체정보로 인식되어거부되는에러율 qFAR(FalseAcceptance Rate):타인수락율...

1 IBMSecuritySummit2017

생체인증기술을 활용한기업보안강화

April 18, 2017삼성SDS 양희성 수석


Agenda

• 사용자인증• 생체인증기술• FIDO• Samsung SDS Nexsign• ISAM + Nexsign


사용자인증정보화 사회에서 안전하면서도 정확한 사용자의 신분확인은 필수적이며 간편하게 사용자를확인할 수 있는 인증방법이 요구되고 있음

Who�is�he/she�?


사용자인증보안을 높이기 위해 다양한 사용자인증 수단을 적용해왔으며, 지식기반인증에서 소유기반인증이 추가되는 방법으로 사용되었고, 최근 분실의 위험이 없는 생체기반인증이 도입되고 있음

What�you��knows

What�you�has

What�you�are

1

2

3


생체인증기술: 개요

Password+인증서

+OTP

Password+ 인증서

Password+ OTP

Password1-Click check

안정성

위험

안전

간편편리성

불편

새로운 인증 서비스 탄생

[FIDO] 인증솔루션스마트단말의생체인식(Biometrics)기능을온라인인증에적용해간편하고안전한사용자인증을실현합니다.

[FIDO] 인증솔루션은,

FIDO

생체인식(Biometrics)기반 인증이란?

사용자가 가지고 있는고유한 형태의 신체구조 또는신체를 이용한 행동결과를 기반으로사용자를 인증하는 새로운 개념의 인증방식

뛰어난사용편의성

강력한보안성

얼굴 인식face recognition

홍채 인식iris recognition

목소리 인식voice recognition

지문 인식fingerprint recognition


생체인증기술: 인증프로세스

사용자의 생체정보를 획득, 특징정보를 추출하여 등록時 저장되어 있는 특징정보와 비교, 유사도 판정을 통해 본인여부를 판단함

등록

바이오정보

획득 특징추출 저장

바이오정보 템플릿

인증 획득 특징추출

바이오정보 템플릿바이오정보

판정

유사도평가

비교

1.Liveness Check2.QualityCheck3.ImageEnhancement4.Normalization


생체인증기술: 성능지표

등록된 본인을 거부하는 본인거부율(FRR)과 타인으로 오인식하는 타인수락율(FAR)의 두가지 지표를 사용하며 일반적으로 FAR을 기준으로 FRR을 표현함

q FRR(False�Rejection�Rate):�본인거부율

자신의생체정보가타인의생체정보로

인식되어거부되는에러율

q FAR(False�Acceptance�Rate):�타인수락율

타인의생체정보가자신의생체정보로

인식되는에러율

Freq

uenc

y

Imposer Distribution(타인분포)

Genuine Distribution(본인분포)

Threshold

FRR FAR

Matching Score

ImposterDistribution(본인 vs 타인)

GenuineDistribution(본인 vs 본인)


생체인증기술: 비교방식에 의한 분류

인증목적 및 사용용도에 따라, 획득된 생체정보를 DB에 저장된 사람의 생체정보와 비교하는인증(1:1)과 대량의 생체정보 DB에서 해당하는 후보자를 찾아내는 인식(1:N)으로 구분

1:1�비교 (인증:Verification) 1:N�비교 (인식:�Identification)

인증/실패 후보자 리스트

생체정보획득

특징정보추출

1:1�비교

판정

데이터베이스

ID

특징정보

유사도 측정

ID의 특징정보

생체정보획득

특징정보추출

1:N�비교

판정

데이터베이스

특징정보

유사도 측정

특징정보 집합(ex.�블랙리스트)


생체인증기술: 매칭위치에 따른 분류

등록된 생체정보를 비교하는 위치에 따라 분류되며, 서버매칭은 생체정보 보호를 위한 방안이필요하고 단말매칭은 인증결과를 서버로 전송할 때에 위변조 방지 방안이 필요함

[서버][단말] [장단점]

2)�지문인증수행

2)�지문정보

등록지문

등록지문

인증결과

인증결과

인증결과

•단말결과수용

1)�지문취득

1)�지문취득

단말

매칭

서버

매칭

•개인정보보호법 이슈 있음•부인방지 기능 없음•본인인증 外에 블랙리스트 추출 等응용 기능 많음

•개인정보보호 이슈 없음•부인방지 기능 없음•서버로 결과전송 時,�해킹으로 위변조 발생위험

3)�인증결과

3)�지문인증수행

위변조이슈

개인정보이슈


FIDO: 개요

새로운인증표준탄생 ’14년12월8일v1.0이릴리즈된국제표준으로UAF와U2F�방식으로나뉘어집니다.

Fast�IDentity Online(FIDO)은,�

U2F (Universal 2nd Factor)

SECONDFACTOREXPERIENCE(U2F standards)

• 사용자는기존과동일하게userid와password로로그인수행• 서비스제공자는사용자에게2nd인증방식을수행하도록알림• 사용자는USB또는NFC디바이스의버튼을누름으로써인증완료

패스워드 인증체계의 강화를 위해 별도의 인증을추가하는 방식

UAF (Universal Authentication Framework)

PASSWORDLESSEXPERIENCE(UAF standards)

• 사용자는휴대단말에저장된생체정보를이용하여온라인서비스에등록• 등록된사용자는온라인인증이필요할때마다생체인식만으로인증완료• 사용자는더이상패스워드를입력할필요가없음

단말에 탑재된 생체인식 기능을 이용한온라인 인증 방식


FIDO: 구성 및 인증프로세스

생체인증과PKI�기반의인증체계 단말에서생체인증을통해개인키를unlock하고,�서명을하면서버에서공개키로서명을검증합니다.


FIDO�등록FIDO�구조

[�사용자 단말 ] [�FIDO�서버 ]

FIDO�Client

SP�App

FIDO�Server

SP�서버

Authenticator��정보,사용자공개키등

ASM(Authenticator�Specific�Module)

AuthenticatorAuthenticatorAuthenticator

FIDO�인증

§ 단말:�생체인식정보및개인키저장

§ 서버:�공개키저장

① FIDO�인증요청

②OTC(One�Time�Challenge)�생성

③생체인증수행

④OTC�개인키서명

⑤공개키로서명검증

①

②

③④

⑤


FIDO: 특장점

이기종間상호운용성제공 다양한OS나Device에이식가능하며상호운용성(Interoperability)�확보합니다.�(FIDO�Certification을획득한제품사용)


FIDO�규격적용시FIDO�규격미적용시

•개별적으로 생체인증 서비스 구축

•개발 복잡성,�관리 포인트 증가.�

•통합된 관리 체계를 지원하지 않음.�

•One-Source�Multi-Platform�지원 불가

•기간계 서비스를 생체인증 서비스로 쉽게 연계

•개발이 단순해지고 Time-to-Market�실현가능

•One-Source�Multi-Platform�지원

A-PayBiometricmodule

K-PayBiometricmodule

S-PayBiometricmodule

N-PayBiometricmodule

K-Pay

S-Pay

N-Pay

FIDO

Server

I/F

I/F

I/F

I/F

FIDO

Client

FIDOProtocol

A-Pay


FIDO: 특장점

• 생체인증+�PKI�기반의온라인인증체계

• 서버사이드에생체정보미저장으로개인정보이슈없음

• 스마트기기의생체인증센서사용

최고수준의보안환경제공

인증수단

보안수준

높음

낮음

단일 요소인증 다중요소인증

ID/PW

보안토큰

생체인증ID/PW+보안토큰

ID/PW+생체인증

개인키 공개키

지문인증 수행 후개인키로 전자서명하여

서버로 전송

공개키로서명 검증을 통한사용자 본인 확인

위·변조 불가

전자서명메시지

개인정보이슈없이생체인증사용 생체정보를사용자의단말에저장관리하고,�FIDO서버에는생체정보를저장하지않아개인정보이슈없음



그러나,�FIDO에 남아있는의문…

① FIDO Certification을 획득한 솔루션이면 신뢰할 수 있는가?(FIDO Certification은 상호운용성, 즉 FIDO표준준수만 검증하고 보안적합성 등은 검증하지 않음)

③ 생체인증外에 다른 인증수단을 추가할 수 있는가?

② 생체정보와 개인키는 안전하게 보관되는가?


Samsung SDS Nexsign

FIDO Protocol의강점과사용자의요구사항을토대로솔루션을개발,

간편하고안전한고객맞춤형사용자인증경험을제공합니다.

Samsung�SDS�Nexsign 솔루션은

1 국제 표준 규격 인증(UAF1) 및 CC인증으로솔루션 호환성, 보안성, 안전성 입증

2 Multi-Modal 및 Multi-Factor 인증을지원하는 고객 맞춤형 사용자 인증 환경제공

3 Secure Storage 기반으로 최고수준의보안환경 제공

KeyFeatures

Nexsign Client

Nexsign ASM4

Nexsign Authenticator

통합인증 SDK / App 통합인증 서버

Nexsign Server

NexsignAdmin Portal


Samsung SDS Nexsign

FIDO�CertifiedTM , CC�인증,�국내외 IT�수상및대규모레퍼런스로

솔루션호환성,�보안성,�안전성입증

FIDO�CertificationClient�(Andorid)

FIDO�CertificationServer

FIDO�CertificationClient�(iOS)

CC(Common�Criteria)

• FIDO�Alliance�공식인증된UAF�제품군보유

• FIDO�제품군 ‘세계유일’ CC(Common�Criteria)�인증획득

• 삼성페이,�Kpay,�K뱅크,�대구은행,�삼성카드등대규모레퍼런스로

보안성,�안전성입증

• 국내외권위있는 IT�상수상

ü K-ICT�대상,�기술선도부문 「대통령상」수상 (’15.10)

üMWC�GlomoAward-Best�Mobile�Security�수상 (‘17.2)

검증된보안솔루션,�Samsung�SDS�Nexsign

- IT제품의보안성을평가하기위한국제기준(ISO�표준)

- 민간업체에서개발한정보보호제품내의보안기능에대한안전성을국가에서인증하는

제도

공통평가기준(Common�Criteria)이란?

Samsung�SDS

Nexsign

01234�5678�9100�0011

Banks Credit�Card

Samsung 07/17


Samsung SDS Nexsign

Multi-Modal�및 Multi-Factor�등 다양한인증수단을활용하여

간편하고범용적인사용자인증절차제공

Multi-Modal/Multi-Factor�Authentication�제공

• Multi-Modal�지원 :�지문,�얼굴,�음성등다양한생체정보를

활용,�FIDO Protocol�기반사용자인증지원

-간편하고보안성높은Nexsign솔루션제공

• Multi-Factor�지원 :�기존 ID/PW,�PIN�등기존에사용하던

인증방식을활용하여FIDO�인증제공

-다수의사용자에게Nexsign인증제공가능

Multi-Modal(생체인증)

지문인증 안면인증 음성인증 홍채인증 ID/PW PIN

Multi-Factor

편의성

생체인증 기존인증수단 인증완료


보안성

AND


SKIP

성공

NEXT

성공

실패

성공

성공


Samsung SDS Nexsign

Secure�Storage�적용을통한보안수준상향

높음

낮음

단일 요소 인증 다중 요소 인증

ID/PW

보안토큰

생체인증 ID/PW+보안토큰

ID/PW+생체인증

보안

수준

인증 수단

• 생체정보및개인키를Secure�Storage에저장하고 Secure�

Storage�내에서암복호화,�서명,�공개키쌍생성수행

• TEE(Trusted�Exdcution Environment):�TrustZone H/W�

기반의독립된보안환경제공

• WBC(White�Box�Crytography):�암호키가암복호알고리즘

내부에암호기술로숨겨져있어암호키해석을어렵게하는암호

기술

PKI+생체인증

Secure�Storage�확보를통해생체정보및개인키를안전하게보관하여

최고수준의보안환경제공


ISAM + NexsignIBM Security Access Manager에 Samsung SDS Nexsign 솔루션이 통합/연계되어 안전하고편리한 FIDO 인증 서비스 제공

IBM�Security�Access�Manager

NexsignServer

IBM�Connetor와 연계되어있고 FIDO�인증 서비스 제공


ISAM + Nexsign

01. 03.Passwordless기반

§ 복잡한결제과정으로인한

구매포기고객의이탈방지

§ 간편하고안전한인증으로

고객만족도증대및기업이미지제고

§ 안전하고편리한모바일중심의

업무환경구축지원

§ 모바일기반현장완결型서비스제공으로

업무생산성및고객만족도제고

§ 보안위협을사전에차단하여

금융보안사고발생비용예방

§ 사용자실수로인한결제건부인방지로

기업손실감소

고객 편의성제고 02.모바일 중심기업경쟁력강화서비스보안강화

Cost�Saving

편리하고 안전한 인증수단으로, 복잡하고 빠른 환경변화에 대응하여 비즈니스 경쟁력을 더욱가속화 시켜주는 솔루션입니다.

ibm.com/security

securityintelligence.com

xforce.ibmcloud.com

@ibmsecurity

youtube/user/ibmsecuritysolutions

©CopyrightIBMCorporation2016.Allrightsreserved.Theinformationcontainedinthesematerialsisprovidedforinformationalpurposesonly,andisprovidedASISwithoutwarranty ofanykind,expressorimplied.IBMshallnotberesponsibleforanydamagesarisingoutoftheuseof,orotherwiserelatedto,thesematerials.Nothingcontainedinthesematerialsisintended to,norshallhavetheeffectof,creatinganywarrantiesorrepresentationsfromIBMoritssuppliersorlicensors,oralteringthetermsandconditionsoftheapplicablelicenseagreementgoverningtheuseofIBMsoftware.ReferencesinthesematerialstoIBMproducts,programs,orservicesdonotimplythattheywillbeavailableinallcountriesinwhichIBMoperates.Productreleasedatesand/orcapabilitiesreferencedinthesematerialsmaychangeatanytimeatIBM’ssolediscretionbasedonmarketopportunitiesorotherfactors,andarenotintendedtobeacommitmenttofutureproductorfeatureavailabilityinanyway.IBM,theIBMlogo,andotherIBMproductsandservicesaretrademarksoftheInternationalBusinessMachinesCorporation,intheUnited States,othercountriesorboth.Othercompany,product,orservicenamesmaybetrademarksorservicemarksofothers.

StatementofGoodSecurityPractices:ITsystemsecurityinvolvesprotectingsystemsandinformationthroughprevention,detectionandresponsetoimproperaccessfromwithinandoutsideyourenterprise.Improperaccesscanresultininformationbeingaltered,destroyed,misappropriatedormisusedorcanresultindamagetoormisuseofyoursystems,includingforuseinattacksonothers.NoITsystemorproductshouldbeconsideredcompletelysecureandnosingleproduct,serviceorsecuritymeasurecanbecompletelyeffectiveinpreventingimproperuseoraccess.IBMsystems,productsandservicesaredesignedtobe partofalawful,comprehensivesecurityapproach,whichwillnecessarilyinvolveadditionaloperationalprocedures,andmayrequireothersystems,productsorservicestobemosteffective.

IBMDOESNOTWARRANTTHATANYSYSTEMS,PRODUCTSORSERVICESAREIMMUNEFROM,ORWILLMAKEYOURENTERPRISEIMMUNEFROM,THEMALICIOUSORILLEGALCONDUCTOFANYPARTY.

FOLLOWUSON:

THANKYOU

Track 2-5. 생체인증 Nexsign SDS 양희성 수석자신의생체정보가타인의생체정보로 인식되어거부되는에러율 qFAR(FalseAcceptance Rate):타인수락율...

Documents