RSA SecurID
![](http://upload.wikimedia.org/wikipedia/commons/thumb/8/8f/RSA_SecurID_SID800.jpg/220px-RSA_SecurID_SID800.jpg)
RSA SecurID(구 SecurID)는 네트워크 리소스에 대한 사용자의 2요소 인증을 수행하기 위해 RSA에서 개발한 메커니즘이다.
설명
RSA SecurID 인증 메커니즘은 컴퓨터 사용자에게 할당되고 다음을 사용하여 고정된 간격(보통 60초)으로 인증 코드를 생성하는 "토큰"(하드웨어(예: 열쇠 고리) 또는 소프트웨어(소프트 토큰))로 구성된다. 내장 시계와 카드의 공장에서 인코딩된 거의 임의의 키("시드"라고 함)를 사용한다. 시드는 토큰마다 다르며 토큰 구매 시 해당 RSA SecurID 서버(RSA 인증 관리자, 이전 ACE/Server[1])에 로드된다.[2] 이메일이나 SMS 전송을 통해 토큰코드를 제공하는 주문형 토큰도 사용할 수 있으므로 사용자에게 토큰을 제공할 필요가 없다.
토큰 하드웨어는 리버스 엔지니어링을 방지하기 위해 변조 방지되도록 설계되었다. 동일한 알고리즘의 소프트웨어 구현("소프트웨어 토큰")이 시장에 등장했을 때 보안 커뮤니티에서는 사용자가 소프트웨어에서 RSA SecurID를 에뮬레이션할 수 있도록 하는 공개 코드를 개발했다. 단, 현재 RSA SecurID 코드에 액세스할 수 있는 경우에만 가능하다. 서버에 도입된 원본 64비트 RSA SecurID 시드 파일이다.[3] 나중에 128비트 RSA SecurID 알고리즘이 오픈 소스 라이브러리의 일부로 게시되었다.[4] RSA SecurID 인증 체계에서 시드 레코드는 일회용 비밀번호를 생성하는 데 사용되는 비밀 키이다. 최신 버전에는 USB 커넥터도 포함되어 있어 토큰을 인증서를 안전하게 저장하기 위한 스마트카드와 같은 장치로 사용할 수 있다.[5]
네트워크 리소스(예: 전화 접속 서버 또는 방화벽)에 인증하는 사용자는 개인 식별 번호와 그 순간 RSA SecurID 토큰에 표시되는 번호를 모두 입력해야 한다. 점점 드물기는 하지만 RSA SecurID를 사용하는 일부 시스템에서는 PIN 구현을 완전히 무시하고 비밀번호/RSA SecurID 코드 조합에 의존한다. 실시간 시계와 관련 시드 기록이 포함된 유효한 카드 데이터베이스를 갖춘 서버는 해당 시점에 토큰이 표시해야 하는 숫자를 계산하고 이를 사용자가 입력한 내용과 비교하여 확인하여 사용자를 인증한다.
이전 버전의 SecurID에서는 "강압 PIN"(duress PIN)을 사용할 수 있다. 이 대체 코드는 사용자가 PIN을 강제로 입력했음을 보여주는 보안 이벤트 로그를 생성하는 동시에 투명한 인증을 제공한다.[6] 협박 PIN을 사용하면 한 번만 인증에 성공할 수 있으며 그 후에는 토큰이 자동으로 비활성화된다. "강압 PIN" 기능은 더 이상 사용되지 않으며 현재 지원되는 버전에서는 사용할 수 없다.
RSA SecurID 시스템은 네트워크에 보안 계층을 추가하지만 인증 서버의 시계가 인증 토큰에 내장된 시계와 동기화되지 않으면 문제가 발생할 수 있다. 일반 토큰 시계 드리프트는 시간이 지남에 따라 저장된 "드리프트" 값을 조정하여 서버에서 자동으로 계산된다. 동기화되지 않은 상태가 일반적인 하드웨어 토큰 시계 드리프트의 결과가 아닌 경우 인증 관리자 서버 시계와 동기화되지 않은 토큰(또는 토큰)의 동기화를 수정하는 방법은 여러 가지가 있다. 서버 시계가 변동되어 관리자가 시스템 시계를 변경한 경우 토큰을 하나씩 다시 동기화하거나 저장된 드리프트 값을 수동으로 조정할 수 있다. 드리프트는 개별 토큰에서 수행하거나 명령줄 유틸리티를 사용하여 대량으로 수행할 수 있다.
RSA 시큐리티는 아이언키, 샌디스크, 모토로라, 프리스케일 세미컨덕터, 레드캐논, 브로드컴 및 블랙베리 (스마트폰)와 같은 장치 제조업체와 협력하여 "유비쿼터스 인증"이라는 이니셔티브를 추진하여 USB 플래시 드라이브 및 휴대폰과 같은 일상적인 장치에 SecurID 소프트웨어를 내장했다. 이는 사용자가 휴대해야 하는 물건의 수와 비용을 줄이기 위함이다.[7]
각주
- ↑ “Oracle® Access Manager Integration Guide” (PDF). Oracle Corporation. August 2007.
[...] the RSA ACE/Server®, which has been renamed to the Authentication Manager.
- ↑ “RFC ft-mraihi-totp-timebased: TOTP: Time-Based One-Time Password Algorithm”. 《Ietf Datatracker》. 2011년 5월 13일.
- ↑ “Bugtraq: Sample SecurID Token Emulator with Token Secret Import”. 《seclists.org》.
- ↑ “stoken / Wiki / Home”. 《sourceforge.net》.
- ↑ “Data Sheets” (PDF). 2008년 11월 13일에 원본 문서에서 보존된 문서.
- ↑ “TCPware V5.7 User's Guide ch14.HTM”. 2012년 3월 1일에 원본 문서에서 보존된 문서. 2013년 3월 20일에 확인함.
- ↑ RSA Security to enable ubiquitous authentication as RSA SecurID(r) technology reaches everyday devices and software – M2 Presswire
외부 링크
- Official RSA SecurID website
- Technical details
- Sample SecurID Token Emulator with token Secret Import I.C.Wiener, Bugtraq post.
- Apparent Weaknesses in the Security Dynamics Client/Server Protocol Adam Shostack, 1996.
- Usenet thread discussing new SecurID details Vin McLellan, et al., comp.security.misc.
- Unofficial SecurID information and some reverse-engineering attempts Yahoo Groups securid-users.
- Analysis of possible risks from 2011 compromise
- Published attacks against the SecurID hash function
- Cryptanalysis of the Alleged SecurID Hash Function (PDF) Alex Biryukov, Joseph Lano, and Bart Preneel.
- Improved Cryptanalysis of SecurID (PDF) Scott Contini and Yiqun Lisa Yin.
- Fast Software-Based Attacks on SecurID (PDF) Scott Contini and Yiqun Lisa Yin.
- v
- t
- e
← 2000년대 | 연표 | 2020년대 → |
- 오로라 작전 (2010년)
- 오스트레일리아 사이버 공격 (2010년)
- 한일 삼일절 사이버 공격 (2010년)
- 대한민국 개인정보 대량유출사건 (2010년)
- 패이백 작전 (2010년)
- HBGary 페더럴 사건 (2011년)
- 3·3 디도스 공격 (2011년)
- RSA SecurID 해킹 사건 (2011년)
- 현대캐피탈 해킹 사건 (2011년)
- 농협 전산망 마비 사태 (2011년)
- 플레이스테이션 해킹 사건 (2011년)
- 튀니지 작전 (2011년)
- 안티섹 작전 (2011년)
- 네이트 개인정보 유출 사건 (2011년)
- DigiNotar 해킹 사건 (2011년)
- 대한민국 중앙선거관리위원회 사이버 공격 사건 (2011년)
- 스트라포르 이메일 유출 사건 (2012-2013년)
- 링크드인 해킹 사건 (2012년)
- 대한민국 전산 대란 (2013년)
- 스냅챗 해킹 사건 (2013년)
- 야후 데이터 유출 사건 (2013-2016년)
- 앤섬 의료데이터 유출 사건 (2014-2015년)
- 토바르 작전 (2014년)
- 대한민국 개인정보 유출 사건 (2014년)
- 아이클라우드 유명인 사진 유출 사건 (2014년)
- 소니 픽처스 엔터테인먼트 해킹 사건 (2014년)
- 러시아 패스워드 절도 사건 (2014년)
- 미국 인사관리처 데이터 유출 사건 (2015년)
- 해킹팀 데이터 유출 사건 (2015년)
- 애슐리 매디슨 데이터 유출 사건 (2015년)
- VTech 데이터 유출 사건 (2015년)
- SWIFT 뱅킹 해킹 (2015-2016년)
- 방글라데시 은행 강도 사건 (2016년)
- 할리우드 장로회병원 랜섬웨어 사건 (2016년)
- 필리핀 선거관리위원회 데이터 유출 (2016년)
- 미국 민주당 전국위원회 사이버 공격 (2016년)
- 미국 민주당 하원의원 선거 운동위원회 사이버 공격 (2016년)
- 다인 사이버 공격(2016년)
- 미국 대선에서 러시아의 간섭 (2016년)
- 워너크라이 랜섬웨어 사건 (2017년)
- 웨스터민스터 사이버 공격 (2017년)
- 페트야 랜섬웨어 사건 (2017년)
- 우크라이나 사이버 공격 (2017년)
- Exactis 사건 (2018년)
- 미국 애틀랜타 사이버 공격 (2018년)
- 싱헬스 데이터 유출 사건 (2018년)
- 스리랑카 사이버 공격 (2019년)
- 미국 볼티모어 랜섬웨어 공격 (2019년)
- 불가리아 국세청 해킹 사건 (2019년)
- 왓츠앱 스누핑 스캔들 (2019년)
- 제프 베조스의 휴대폰 해킹 사건 (2019년)
- 어나니머스
- 관련 사건
- 121국
- 코시 베어
- 사이버버킷
- 더프
- 평등회
- 펜시 베어
- GNAA
- 고아체 시큐레티
- 구시퍼 2.0
- 해킹팀
- 이란 사이버군
- 리자드 스쿼드
- 룰즈레프트
- 룰즈섹
- 뉴 월드 해커
- 눌크루
- NSO 그룹
- 페이팔 14
- 중국 인민해방군 61398부대
- 프랭크넷
- 레드핵
- 로켓 키틴
- 더 섀도 브로커스
- 시리아 전자군
- TeaMp0isoN
- 테일로드 엑세스 작전
- UGNazi
- 예맨 사이버군
- 조지 호츠
- 구시퍼
- 헥터 몬스구르
- 제레미 하몬드
- 주나드 후세인
- 크리스토퍼 폰 헤셀
- 무스타파 알바삼
- MLT
- 랸 아크롤드
- 토파리
- 더 제스터
- weev
- 에버쿠키 (2010년)
- 아이씨유 (2013년)
- 하트블리드 (2014년)
- 셸쇼크 (2014년)
- POODLE (2014년)
- 루트파이프 (2014년)
- 로우해머 (2014년)
- JASBUG (2015년)
- 스테이지프라이트 (2015년)
- DROWN (2016년)
- Badlock (2016년)
- 더티 COW (2016년)
- 클라우드블리드 (2017년)
- 브로드컴 와이파이 (2017년)
- 이터널블루 (2017년)
- Silent Bob is Silent (2017년)
- KRACK (2017년)
- ROCA 취약점 (2017년)
- 멜트다운 (2018년)
- 스펙터 (2018년)
- EFAIL (2018년)
- SSB (2018년)
- LazyFP (2018년)
- TLBleed (2018년)
- 시그스푸프 (2018년)
- L1TF (2018년)