다양한모바일결제솔루션의보안이슈 2013 April 17
다양한 Mobile Payment Solutions 1
신용카드바코드결제 스마트폰어플에서신용카드를등록한후, 결제할때에는일회성바코드를생성하여신용카드거래로진행함 바코드안전결제 상용서비스가시행되고있음 PKI 인증서기반의 ISP 기반서비스 신용카드거래로처리 유효시간 3 분, 결제비밀번호, 생성된바코드의암호화전송 2
은행계좌 / 소액바코드결제 스마트폰어플에서은행계좌를등록한후, 결제할때에는일회성바코드를생성하여즉시불형태거래로진행함 스마트폰어플에서, 일회성인증번호를생성하여이통사의폰빌 ( 후불 ) 형태로거래함 ( 엠틱, 바통등 ) 3
모바일카드 USIM 등으로대표되는 IC 칩을탑재한보안매체 (Secure Element) 에발급, 선불 / 신용 / 체크등의형식 은행과신용카드사등금융회사가발급하는상품 플라스틱카드와동일한형식과내용이종 OS에탑재된금융서비스 Visa, Master, Amex, Discover, CUP, KS 등여러금융회사가공동으로이용하는형식 Unique Cryptogram Gen. & Verified Proximity Payment(NFC supported) 4
Secured Micro SD Card Micro SD Card 에보안매체인 IC 카드를포함한형태로대표적모바일보안매체인 USIM 의대체제가능성 현재 USIM 에서서비스되는컨텐츠를모두포함할수있으며, 지불결제의절차 / 방법이동일하게적용됨 별도의채널로공급가능한보안매체 Single Wired Protocol 지원이슈 RF Antenna 지원이슈 IC memory 용량이슈복수의 SE에서의 routing 이슈지불결제산업의기술동향인것은분명 5
모바일결제솔루션의보안이슈 6
바코드모바일결제의보안상이점 신용카드번호, 은행계좌번호등을대신하여일회성바코드를사용하므로 POS Terminal 에금융정보가저장되지 않음. NFC 결제와는근본적으로다르며결제수단자체를분실할염려가없음. RF tagging VS Barcode Reading POS 영구저장장치에금융정보없음 RF theft 로부터안전함 (App 작동시동작 ) Touch 결제에대한링크정보이므로비교적안전결제금액의한도설정시한부결제정보모바일기기이동성이유리함 7
결제정보바코드와관계된보안상이슈 바코드는그사용이매우자유롭고편리한숫자의대용으로사용되던것이지만, 신용카드번호 / 은행계좌번호등 을대신하여결제정보역할을하게되면최소한의보안수준을유지하여야함 Barcode 생성 거래마다생성되며 중복되지않는것을보장해야 보통은서버에서생성한것을사용 Barcode 전달 Barcode 유효 서버와의통신을통하여전달받음 암호화를하여송수신함 App 에복호키가저장되어있음 대칭키보다는비대칭키로암복호화 일회성바코드 유효시간이 3 ~5 분정도 Time Out 되지않으면타인사용가능성있음 8
결제거래에대한부인방지 결제솔루션의관리감독을받는부처가다른이유로각기다른보안수준으로서비스되고있다. 바코드는그사용이매우자유롭고편리한숫자의대용으로사용되던것이지만, 신용카드번호 / 은행계좌번호등 을대신하여결제정보역할을하게되면최소한의보안수준을유지하여야함 BANK ACCOUNT PIN(omitted) APP PASSWORD PAYMENT PIN Link Information X.509 Format Numeric Numeric + Alphabet 4 digits 6 ~ 14 digits App password 로 Pay PIN 대체 한번의인증으로계속사용 사용자자율적인비밀번호환경설정 Financial Info. Matching 결제정보관리 9
Mobile Credit Card 보안이슈 온라인가맹점에서는모바일카드에의한직접결제와결제정보링크방식이혼재하여사용되고있는상황 오프라인가맹점에서는 PIN, Autograph 등결제인증방법 (CVM) 이달라무서명인증방법이통용되고있음 Fraud Detection System: Merchant Location Floor Limit on Amount & Count 스마트지갑 선택결제 Payment PIN Autograph 고속결제 Online Payment By Mobile Card In a Secure Element Offline Payment RF theft Protection 10
Limitations on Mobile Payment Solutions 본래의결제방법이아닌변형된방식에서는항상거래제한의조건이부가되기마련이다. 이것은여러가지온라인결제뿐만아니라모바일신용카드역시마찬가지상황이다. Limits Registration Down Payment the line Mobile Card Online ISO 7816 Offline OTA ISSUANCE Plastic/Mobile Pair Certificate(except for check card) None Barcode Payment Credit Card Credit Card Information/ PIN Bank Account Certificate/ OTP Token Link to Plastic Card Temporary Barcode 300,000 W Certificate PIN PIN /Autograph Payment Password 11
보안솔루션 12
The User Friendliness Low High 모바일카드 VS 바코드모바일결제 모바일카드는보안수준이높은반면보안매체를이용하는과정에서고객불편이있고높은기술수준요구됨 바코드모바일결제는상대적으로보안수준은취약하나편리성과보편성의강점을소구함 High The Level of Security Medium Low Barcode Payment Smart Phone 을포함한거의모든기종지원 가맹점인프라비용수준이낮다 등록절차가상대적으로편리 휴대전화이동성이높다 Mobile Card 엄격한절차 / 규정을준수한금융상품 모바일카드에의한직접결제 복제 / 해킹등이매우어려움 전자지불거래를위한기능과구조로설계 13
보안매체이용한해킹피해방지방안 Secure Element 근본적인원인은금융 App 과해킹툴이동일 OS 에서작동한다는것에서기인한다. 해킹툴이설치될수없는보안매체를사용하고금융 App 은 UI 와단순프로세싱만을하여야한다. Hacking tool 同一 OS 他 OS Hacking Manipulation: Price Bank Account Cryptogram Comm. Key set Mutual Auth Temper Resistant 14
모바일카드의분실 / 도난등의사고처리 휴대폰은빈번히분실 / 도난등의사고가발생하며, 고객의모바일금융서비스에대한불안을감소시키기 위해멀티카드에대한일괄관리가필수적임 연계플라스틱카드는무관하게사용가능 매체관리 모바일카드만사고처리대상 모바일채널을통한사고등재별도관리 멀티카드 동일 SE 에발급된모바일카드일괄정지 연계플라스틱카드와무관함 해제처리 동일인 / 동일 USIM 모바일카드일괄해제 15
바람직한모바일지급결제의형태 모바일기기를통한지급 / 결제를안전하게수행하기위해서는다음과같은요건을충족하여야할것이다. Secure Element 내에금융정보를발급하며임의로조회할수없도록해야한다. 거래를위한 Protocol 을 SE 에서제공하여야한다. 상호인증 (Mutual Auth) 을위한대사기능을제공할수있어야한다 (Pharming 방지 ) 사용자에게 SE 를배포하기전에암호키가설치되어있어야한다. 매거래마다고유한 cryptogram 을발생할수있어야한다. 모바일카드는 IC카드이며현재까지가장보안수준이높은모바일결제로분류될수있으며, 보안매체를다루는기술수준을축적하여서비스의질을보장하는것이 Key Success Factor이다. 지불결제수단은원래의형식으로발급되고사용되어야한다 16