문자와 숫자의 조합으로 이루어진 패스워드는 외우기 쉽고 사용하기 쉽지만 낮은 복잡도를 가지고 있다. 그렇기 때문에 안전하지 않은 환경에서 키보드와 같은 입력 장치를 통하여 패스워드를 그대로 입력하는 행위는 훔쳐보기와 같은 공격으로 쉽게 노출될 수 있다. 이러한 문제를 극복하고자 사용자 비밀의 형태를 다른 것으로 바꾸거나 복잡한 입력과정을 통하여 인증을 수행하는 방법들이 제안되고 있으나, 보안성과 사용자 편의성에 있어서 적합한 타협점을 찾지 못하고 있다. S3PAS는 사용자의 편의성을 만족시키면서 훔쳐보기로부터 사용자의 패스워드를 보호할 수 있는 보안성도 갖추었다고 알려진 인증기법이다. 그러나 공격자가 인증 세션을 여러 번 바라본 이후에 얻어낸 정보를 이용하여 인증을 시도하는 교차 공격에 대해서는 고려하지 않았다. 이 논문에서는 S3PAS에 대하여, 인증세션이 여러 번 공격자에게 노출되었을 때 발생할 수 있는 보안문제에 대해서 살펴보고, 사용자 실험과 모의실험을 통하여 이를 확인한다. 또한, 이러한 문제를 극복하기 위한 대안에 대하여 고찰한다.
While The passwords that combined with characters and numbers are easy to memorize and use, they have low complexity. Therefore they can easily be revealed by the shoulder-surfing attack when they are inputted through the input devices such like keyboard. To overcome these problems, many new authentication schemes, which change the user secret different form or let users input their secrets through the more complex manners, have been suggested, but it is still hard to find the balanced point between usability and security. S3PAS is one of well-known schemes which had both usability and security against shoulder-surfing attack. However, this scheme was not considered about intersection attack that the attacker tried to pass the authentication system after observing several authentication sessions. In this paper, we consider the security problem of S3PAS; what the attacker can do when he can observe the authentication sessions in several times. We confirm it through user study and experiments. And also we consider the alternative that overcomes the problem.
