E2E 암호화

E2E 암호화는 인터넷뱅킹 사용자가 거래를 하기 위해 키보드 입력 정보를 서버로 전달하는 전 구간에서 공인인증서 사용에 이용되는 PKI(공개키기반구조) 환경을 유지한 상태에서 키보드 보안 솔루션과 연계해 금융정보를 암호화해 보호한다.

메모리 변조를 막기 위한 대안으로 금감원은 기존의 키보드 보안은 E2E의 비밀번호 값만을 적용하던 것을 계좌번호, 보안카드번호 등 모든 중요한 금융거래 정보까지 보안을 확장할 것을 요구했다.

이 기술은 현재 일회용비밀번호(OTP)생성기로 만드는 일회용비밀번호 입력 정보 유출까지도 막을 수 있는 대안으로 지목되고 있다.

 참고 : http://www.ddaily.co.kr/news/article.html?no=34691

   

Application Level의 E2E 데이터 전송 기술

입력하는 신용카드 정보는 웹브라우저 Sandbox 내에서 End-to-End 암호화되어 결제대행사 서버로 전송됩니다. 단순히 SSL 접속에만 의존하는 것이 아니라, 신용카드번호 등의 민감한 정보는 SSL체널(암호화 교신체널)로 내보내기 전에 미리 한번 더 암호화한 다음에 SSL암호화 교신체널로 내보낸다는 뜻입니다. SSL암호화 체널만을 사용할 경우, 중간단계의 여러 노드(node)들 (웹방화벽, 웹서버 등)에서 데이터가 복호화되고 노출되는 문제점이 있을 수 있습니다. 이것을 해결하는 것이 E2E over SSL 기술입니다.

E2E 암호화로 전송되는 정보는 결제처리 서버의 RSA Public Key로 암호화되어 전송되고 이 정보는 최종 수신 서버(결제처리 서버)의 어플리케이션내의 RSA Private Key로만 복호화가 가능하므로 데이터가 중간 단계에서 누출되지 않습니다.

참고 : http://opennet.or.kr/3528

   

Browser Sandbox Security

클 라이언트 측 보안은 Browser Sandbox에 의존합니다. Sandbox란 모래박스를 의미하고 모래박스 안에서 무슨일이 일어나든 외부로 영향을 미치지 않고 외부의 상황도 모래박스 안으로 영향을 미치지 않는다는 개념입니다. 이용자의 OS(윈도우, 맥, 리눅스 등)에서 웹브라우저가 동작하고, 웹브라우저는 Sandbox Security로 불리는 보안 장치를 구비하고 있습니다. ActiveX등의 플러그인을 함부로 사용하면 웹브라우저의 Sandbox Security에 취약점이 생길 여지가 늘어나지만, 플러그인을 사용하지 않고 웹브라우저만을 이용할 경우 클라이언트 측의 보안은 매우 견고하게 유지될 수 있습니다. -

   

참고 : http://opennet.or.kr/3528

   

국내의 경우 2013년, 정부에서 메모리 해킹사고의 재발방지를 위해기존 종단간 암호(End to End Encryption : 이하 E2E)기반 키보드 보안 프로그램에 확장 E2E 기능을 추가하도록 권고1)하였고 현재 금융권에서는확장 E2E를 적용하고 있다.

참고 : 금융부문 암호기술 활용 가이드