크리덴셜 스터핑 공격 대응에 활용하는 Large Asymmetric PSI 연산 기법

Abstract

C3(Compromised Credential Checking) 서비스는 탈취한 계정정보를 무작위로 입력해 접근 권한을 획득하는 크리덴셜 스터핑(Credential Stuffing) 공격 대응방안이다. 이는 서비스 제공자가 유출된 자격증명을 수집해 DB를 구성하고, 사용자는 서버에 사용자 계정과의 비교 연산을 요청해 자격증명 유출 여부를 확인하는 서비스로, 두 당사자가 보유한 개인정보 데이터 간의 교집합을 얻고자 하는 연산 상황에 PSI(Private Set Intersection) 프로토콜을 이용한다. 기존 비대칭 PSI 프로토콜은 비대칭 데이터 셋 연산 환경에서 중복 연산을 수행하며 효율성과 안전성 향상에 목적을 가졌다. 그러나 유통되는 탈취계정의 증가는 C3 서버 데이터 증가에 따라 다회성의 중복 연산을 요구한다. 이에 중복 연산으로 인한 연산 및 통신 복잡도 상쇄 방안이 요구되며, 보다 대량의 데이터 연산에서도 효율성을 가져야 한다. 따라서 본 연구에서는 대량의 데이터가 업데이트되는 비대칭 PSI 연산 과정에서 효율성을 높일 수 있는 Large Asymmetric PSI 연산 방안을 제안 및 증명한다. 수신 노드가 Y=2^10의 데이터를, 발신 노드는 기존의 세 가지 비대칭 환경인 X=2^20, 2^22, 2^24의 데이터를 보유하되, 각각 2^14, 2^16, 2^18 만큼의 데이터를 추가하여 다회 연산 수행 시, 결과적으로 의 양이 대량일수록 Large Asymmetric PSI의 연산 효율을 더 크게 가지고, 연산 시간 측면에서 생성 및 복구 소요시간을 상쇄시키는 것을 증명하였다.