A Method of Enhancing Security of Internet Banking Service using Contents-Based CAPTCHA
Sangho Lee, Sung‐Ho Kim, Jeonil Kang, Je-Sung Byun, Dea-Hun Nyang, Kyung-Hee Lee · 정보보호학회논문지 · 2013
인터넷 뱅킹은 시간에 얽매이지 않는 편리성 때문에 널리 사용되고 있다. 하지만 인터넷 뱅킹 서비스가 자동화 프로그램에 의해 공격이 가능해 진다면 수많은 계좌가 공격의 위험에 노출될 것이며, 그로 인한 피해는 천문학적인 금액이 될 것으로 예상된다. 이와 같은 공격에 대응하기 위하여 Arcot사와 MS사는 각각 VPS와 MS 워터마크를 고안하였고, 이는 계좌 이체 정보를 이용하여 문자열 기반 캡차를 생성하고 있다. 이 논문에서는 위 기술들이 국내 인터넷 뱅킹 서비스에 적용되었을 시 발생할 수 있는 취약점을 살펴보고, 기존의 기술을 개선시킨 대응방법과 사용자와 서버사이에 알려진 계좌 이체 정보를 이용하는 콘텐츠 기반 캡차 생성을 통해 인터넷 뱅킹의 안전성을 강화하는 기법을 제안한다. Internet banking service has a advantage that is unrestricted by time. If automated programs are able to attack Internet banking services, a number of accounts can be attacked at the same time and as a result, damage will be considerably increased. To cope with such attacks, two methods, VPS and MS watermark, were introduced by Arcot and MS respectively. The methods use text-based CAPTCHAs in the process of transfer approval to distinguish automated programs from legal human users. In this paper, we point out the security threats of the methods when those are applied to Internet banking services. Especially, we consider the attack that are performed by extract specific string from text-based CAPTCHAs and it's countermeasure. Also we suggest a method of enhancing security of internet banking services. Our method is based on contents-based CAPTCHAs that are consist of known transfer information between user and server.