KR102031868B1

KR102031868B1 - Distributed sso device

Info

Publication number: KR102031868B1
Application number: KR1020180088499A
Authority: KR
Inventors: 윤종선; 임진택; 김정태
Original assignee: 지코소프트 주식회사
Priority date: 2018-07-30
Filing date: 2018-07-30
Publication date: 2019-10-15
Anticipated expiration: 2038-07-30

Abstract

본 발명의 분산형 SSO 장치는 도메인 또는 URL이 부여된 응용 서버마다 설치되는 표준 인증부; 상기 표준 인증부마다 설치되는 블록 체인부;를 포함하고, 상기 표준 인증부는 사용자 단말기로부터 상기 응용 서버로 제공된 로그인 정보를 획득하며, 상기 블록 체인부는 상기 표준 인증부로부터 전달받은 상기 로그인 정보를 장부와 비교하고, 비교 결과를 상기 표준 인증부에 전달하며, 상기 블록 체인부는 복수의 응용 서버에 각각 설치된 상기 표준 인증부를 통해 복수의 상기 응용 서버에 각각 설치되고, 특정 블록 체인부에서 이용하는 상기 장부는 다른 블록 체인부에 공유될 수 있다.The distributed SSO device of the present invention includes a standard authentication unit installed for each application server to which a domain or URL is assigned; And a block chain unit installed for each standard authentication unit, wherein the standard authentication unit obtains login information provided from the user terminal to the application server, and the block chain unit stores the login information received from the standard authentication unit into a book. Compare and transmit a comparison result to the standard authentication unit, wherein the block chain unit is installed in the plurality of application servers through the standard authentication unit respectively installed in a plurality of application servers, and the books used in a specific block chain unit are different. It can be shared in the blockchain.

Description

Distributed SSO Device {DISTRIBUTED SSO DEVICE}

본 발명은 하나의 아이디와 패스워드로 여러 사이트 및 어플리케이션에 접속할 수 있게 해주는 SSO 장치에 관한 것이다.The present invention relates to an SSO device that allows access to multiple sites and applications with a single ID and password.

일반적으로, 싱글사인온(SSO; Single Sign-On. 이하, "SSO"라 표기함)은 단 한 번의 로그인만으로 기업의 각종 시스템이나 인터넷 서비스에 접속하게 해 주는 보안 응용 솔루션으로서, 각각의 시스템마다 인증 절차를 밟지 않고도 1개의 계정만으로 다양한 시스템에 접근할 수 있어 아이디(ID), 패스워드에 대한 보안 위험 예방과 사용자 편의 증진, 인증 관리 비용의 절감 효과가 있다.In general, Single Sign-On (SSO) is a security application solution that allows users to access various systems or Internet services with a single login. It is possible to access various systems with only one account without going through the procedure, thereby preventing security risks for ID and password, improving user convenience, and reducing authentication management costs.

이러한 SSO를 이용한 종래의 SSO서비스 시스템은 다수의 웹서비스 제공자(웹사이트)들이 하나의 신뢰도메인을 구성하여 신뢰도메인 내의 사용자 ID를 관리하는 ID 연계 서비스 제공자가 주축이 되어 사용자 ID를 여러 웹서비스 제공자의 ID와 연계시켜 사용자의 한번의 인증과정에 의해 단일 도메인 내에서 웹서비스를 이용할 수 있도록 한다.In the conventional SSO service system using the SSO, a plurality of web service providers (websites) constitute a single trust domain, and the ID linkage service provider which manages user IDs in the trust domain is mainly composed of multiple web service providers. In connection with ID of user, web service can be used in single domain by one authentication process of user.

한국등록특허공보 제0953092호에는 웹포털 서비스 환경에 적용 가능한 SSO 서비스 기술이 나타나 있다.Korean Patent Publication No. 0953092 shows an SSO service technology applicable to a web portal service environment.

한국등록특허공보 제0953092호Korean Registered Patent Publication No. 0953092

본 발명은 분산형 SSO 장치를 제공하기 위한 것이다.The present invention is to provide a distributed SSO device.

본 발명이 이루고자 하는 기술적 과제들은 이상에서 언급한 기술적 과제들로 제한되지 않으며, 언급되지 않은 또 다른 기술적 과제들은 아래의 기재로부터 본 발명이 속하는 기술분야에서 통상의 지식을 가진 자에게 명확하게 이해될 수 있을 것이다.Technical problems to be achieved by the present invention are not limited to the above-mentioned technical problems, and other technical problems not mentioned above will be clearly understood by those skilled in the art from the following description. Could be.

본 발명의 분산형 SSO 장치는 각 응용 서버마다 설치되는 표준 인증부 및 블록 체인부를 포함할 수 있다. 이때, 서로 다른 응용 서버에 설치된 블록 체인부는 공통의 단일 장부를 공유할 수 있다.The distributed SSO device of the present invention may include a standard authentication unit and a block chain unit installed for each application server. In this case, blockchain units installed in different application servers may share a common single book.

분산형 SSO 장치는 공유된 장부를 통해 SSO 기능을 수행할 수 있다. 특정 응용 서버, 특정 표준 인증부, 특정 블록 체인부에 이상이 발생되더라도, 다른 응용 서버 등이 정상 동작할 수 있다. 따라서, 사용자는 문제가 발생된 사이트 등에만 접속하지 못할 뿐, 나머지 사이트 등에는 로그인이 가능하다.The distributed SSO device may perform an SSO function through a shared book. Even if an error occurs in a specific application server, a standard authentication unit, or a specific block chain, another application server may operate normally. Therefore, the user may not only access the site where the problem occurs, but may log in to the remaining sites.

본 발명에 따르면, 표준 인증 API를 준수하기만 하면 어떠한 블록 체인부도 표준 인증부에 설치될 수 있다. 따라서, 블록 체인부의 교체, 인증 체계 변환 작업 등이 수월하게 진행될 수 있다.According to the present invention, any blockchain part can be installed in the standard authentication part as long as it conforms to the standard authentication API. Therefore, the replacement of the blockchain part, the conversion of the authentication scheme, etc. can be easily performed.

본 발명에 따르면, 각기 다른 응용 서버에서 공유하는 장부를 통해 아이디, 패스워드의 각종 정책이 프로비저닝될 수 있다.According to the present invention, various policies of ID and password may be provisioned through books shared by different application servers.

본 발명에 따르면, 대표 아이디 및 부가 정보가 효율적으로 관리될 수 있다.According to the present invention, the representative ID and the additional information can be managed efficiently.

도 1은 본 발명의 분산형 SSO 장치를 나타낸 개략도이다.
도 2는 본 발명의 비교 실시예를 나타낸 개략도이다.
도 3은 표준 인증부와 블록 체인부 간의 관계를 나타낸 개략도이다.
도 4는 본 발명의 표준 인증부와 블록 체인부를 나타낸 블럭도이다.1 is a schematic diagram illustrating a distributed SSO device of the present invention.
2 is a schematic view showing a comparative example of the present invention.
3 is a schematic diagram showing the relationship between the standard authentication unit and the block chain unit.
4 is a block diagram showing a standard authentication unit and a block chain unit of the present invention.

이하, 첨부된 도면들을 참조하여 본 발명에 따른 실시예를 상세히 설명한다. 이 과정에서 도면에 도시된 구성요소의 크기나 형상 등은 설명의 명료성과 편의상 과장되게 도시될 수 있다. 또한, 본 발명의 구성 및 작용을 고려하여 특별히 정의된 용어들은 사용자, 운용자의 의도 또는 관례에 따라 달라질 수 있다. 이러한 용어들에 대한 정의는 본 명세서 전반에 걸친 내용을 토대로 내려져야 한다.Hereinafter, exemplary embodiments of the present invention will be described in detail with reference to the accompanying drawings. In this process, the size or shape of the components shown in the drawings may be exaggerated for clarity and convenience of description. In addition, terms that are specifically defined in consideration of the configuration and operation of the present invention may vary depending on the intention or custom of the user or operator. Definitions of these terms should be made based on the contents throughout the specification.

도 1은 본 발명의 분산형 SSO 장치를 나타낸 개략도이다. 도 2는 본 발명의 비교 실시예를 나타낸 개략도이다. 도 3은 표준 인증부(110)와 블록 체인부(130) 간의 관계를 나타낸 개략도이다. 도 4는 본 발명의 표준 인증부(110)와 블록 체인부(130)를 나타낸 블럭도이다.1 is a schematic diagram illustrating a distributed SSO device of the present invention. 2 is a schematic view showing a comparative example of the present invention. 3 is a schematic diagram illustrating a relationship between the standard authentication unit 110 and the block chain unit 130. 4 is a block diagram illustrating a standard authentication unit 110 and a block chain unit 130 of the present invention.

도메인 또는 URL(Uniform Resource Locator)이 부여된 응용 서버(10)를 이용하거나, 응용 서버(10)에서 제공하는 애플리케이션을 이용하기 위해서는 해당 응용 서버(10)에 대한 로그인이 선행되어야 한다.In order to use the application server 10 provided with a domain or Uniform Resource Locator (URL), or to use an application provided by the application server 10, login to the application server 10 must be preceded.

사용자가 사용하는 애플리케이션이 증가함에 따라 복수의 응용 서버(10), 예를 들어 인터넷 사이트에 대한 로그인을 통합할 필요가 있다.As the user applications increase, there is a need to consolidate logins for multiple application servers 10, for example, Internet sites.

SSO(Single Sign-On)는 사용자가 하나의 아이디와 패스워드를 가지고 여러 응용 서버(10)에 접속할 수 있게 해주는 인증 과정을 말한다.Single sign-on (SSO) refers to an authentication process that allows a user to access multiple application servers 10 with a single ID and password.

2000년대 초중반까지만 해도 사용자는 본인이 사용하는 모든 사이트와 로그인 패스워드를 외우고, 각각의 사이트마다 매번 인증을 받아야만 하는 불편함을 감수해야 했다. 이러한 불편을 줄이기 위해 한 컴퓨터에서만이 아닌 어디서든지 하나의 아이디와 패스워드만으로 사용하고 있는 사이트들과 애플리케이션들에 인증을 받을 수 있는 방법들이 생겨났고 그것이 SSO이다.Until the mid-2000s, users had to memorize all the sites and login passwords they used, and had to deal with the inconvenience of having to authenticate each time. To alleviate this inconvenience, there are ways to authenticate to sites and applications that use only one username and password, not just on one computer, and that is SSO.

SSO는 크게 인증 대행 방식과 인증 정보 전달 방식으로 나눌 수 있다.SSO can be largely divided into an authentication agent method and an authentication information delivery method.

인증 대행 방식(Delegation)은 사이트 인증을 대신해주는 방식이다. 인증 서버는 사용자가 등록한 가가 사이트의 아이디와 패스워드를 저장하고 있다가, 사용자가 등록된 사이트에 접속을 시도하는 순간 기저장된 정보를 가져와 대신 접속을 해줄 수 있다.Delegation is an alternative to site authentication. The authentication server stores the user ID and password of the registered site, and retrieves the previously stored information as soon as the user attempts to access the registered site, and connects instead.

인증 정보 전달 방식(Propagation)은 토큰을 활용하는 방식이다. 사용자가 인증 서버에 접속하면, 인증 서버는 사용자를 확인하고 각 사이트, 각 애플리케이션에 인증이 가능한 토큰을 생성해서 사용자에게 전달한다. 토큰을 받은 사용자는 각각의 사이트, 애플리케이션에 접속할 때, 각 사이트, 각 애플리케이션에 토큰을 자동으로 전달하여 로그인을 할 수 있다.Propagation is a method of utilizing tokens. When a user connects to an authentication server, the authentication server identifies the user and generates a token that can be authenticated at each site and each application and passes it to the user. When the user receives the token, the user can log in by automatically passing the token to each site and application.

SSO의 실현을 위해, 도 2의 비교 실시예처럼 응용 서버(10)와 구분되는 별도의 통합 인증 서버(30)가 마련될 수 있다.In order to realize the SSO, a separate integrated authentication server 30 may be provided that is separate from the application server 10 as in the comparative embodiment of FIG. 2.

응용 서버(10) A, B, C가 존재하는 경우를 가정한다. 본 명세서에서는 응용 서버(10)를 복수 종류로 분류하고 있으나, 물리적으로 하나의 서버로 구현될 수 있다. 이 경우, 해당 서버는 내부적으로 서로 다른 도메인 또는 서로 다른 URL이 부여된 A 시스템, B 시스템, C 시스템으로 분류될 수 있다.Assume that the application servers 10 A, B, and C exist. In the present specification, the application server 10 is classified into a plurality of types, but may be physically implemented as one server. In this case, the server may be classified as an A system, a B system, or a C system to which internally different domains or different URLs are assigned.

예를 들어 응용 서버(10) A는 인사 시스템을 포함할 수 있다. 응용 서버(10) B는 물류 시스템을 포함할 수 있다. 응용 서버(10) C는 회계 시스템을 포함할 수 있다.For example, application server 10 A may include a human resources system. Application server 10 B may include a logistics system. Application server 10 C may include an accounting system.

A 시스템을 이용하고자 하는 사용자는 A 시스템에 로그인해야 한다. A 시스템의 이용 후에 B 시스템을 이용하고자 하는 경우, 사용자는 B 시스템에 다시 로그인해야 한다. C 시스템을 이용하고자 하는 경우, 사용자는 C 시스템에 다시 로그인해야 한다. 응용 서버(10)와 별개의 통합 인증 서버(30)가 마련된 경우, A, B, C 시스템 중 어느 하나에 로그인하기만 하면, 추가 로그인 없이도 나머지 시스템에 로그인할 수 있다.A user who wants to use system A must log in to system A. If you want to use system B after using system A, the user must log in to system B again. If you want to use the C system, you must log in to the C system again. When the integrated authentication server 30 separate from the application server 10 is provided, simply logging in any one of A, B, and C systems can log in to the remaining systems without additional login.

그런데, 각 응용 서버(10)에 대한 사용자 인증이 통합 인증 서버(30)에 집중된 환경에 따르면, 다음과 같은 문제가 발생될 수 있다.However, according to an environment in which user authentication for each application server 10 is concentrated in the integrated authentication server 30, the following problem may occur.

통합 인증 서버(30)의 고장시 A, B, C 시스템 전체에 대한 로그인이 불가능한 치명적인 문제가 존재한다. 다시 말해, 통합 인증 서버(30)가 다운되면 연관된 애플리케이션까지 접속 또는 사용하지 못하는 문제가 존재한다. 또한, 통합 인증 서버(30)에 맞춰 각 응용 서버(10)의 기능이 개선되어야 하는 문제가 있다. 또한, 새로운 통합 인증 체계가 도입될 경우 통합 인증 서버(30) 또는 응용 서버(10)를 재개발해야 하는 문제가 있다.In case of failure of the integrated authentication server 30, there is a fatal problem that is impossible to log in to the entire A, B, and C systems. In other words, when the integrated authentication server 30 is down, there is a problem that the associated application cannot be accessed or used. In addition, there is a problem that the function of each application server 10 should be improved in accordance with the integrated authentication server 30. In addition, when a new integrated authentication scheme is introduced, there is a problem of redeveloping the integrated authentication server 30 or the application server 10.

이들 문제를 해결하기 위해, 본 발명의 분산형 SSO 장치(109)는 블록 체인의 개념을 이용한 새로운 표준 인증 체계를 제시한다. 본 발명에서 제시된 새로운 표준 인증 체계를 달성하기 위해 본 발명의 분산형 SSO 장치는 표준 인증부(110)와 블록 체인부(130)를 포함할 수 있다.In order to solve these problems, the distributed SSO device 109 of the present invention proposes a new standard authentication scheme using the concept of blockchain. In order to achieve the new standard authentication scheme presented in the present invention, the distributed SSO device of the present invention may include a standard authentication unit 110 and a block chain unit 130.

표준 인증부(110)는 도메인 또는 URL이 부여된 응용 서버(10)마다 설치될 수 있다. 블록 체인부(130)는 표준 인증부(110)마다 설치될 수 있다.The standard authentication unit 110 may be installed for each application server 10 to which a domain or URL is assigned. The block chain unit 130 may be installed for each standard authentication unit 110.

사용자 단말기(90)가 로그인 정보를 이용해서 응용 서버(10)에 로그인을 요청하면(ⓐ), 표준 인증부(110)는 사용자 단말기(90)로부터 응용 서버(10)로 제공된 로그인 정보를 획득하거나 가로챌 수 있다. 이때의 로그인 정보에는 아이디 및 패스워드, 경우에 따라 SMS 인증, 이메일 인증 등의 2차 인증 정보가 포함될 수 있다.When the user terminal 90 requests login to the application server 10 using the login information (ⓐ), the standard authentication unit 110 obtains the login information provided from the user terminal 90 to the application server 10 or You can intercept it. In this case, the login information may include ID and password, and optionally, second authentication information such as SMS authentication and email authentication.

블록 체인부(130)는 표준 인증부(110)로부터 전달받은 로그인 정보를 기저장된 장부(150)와 비교하고, 비교 결과를 표준 인증부(110)에 전달할 수 있다. 이때, 장부(150)에 해당하는 블록 체인 원장은 다른 블록 체인부(130)에 공유될 수 있다.The block chain unit 130 may compare the login information received from the standard authentication unit 110 with the previously stored book 150, and transmit the comparison result to the standard authentication unit 110. In this case, the block chain ledger corresponding to the book 150 may be shared with other block chain units 130.

장부(150)에는 사용자 정보, 로그인 정보, 사용 권한이 포함될 수 있다. 로그인 정보는 사용자의 아이디와 패스워드를 포함할 수 있다. 사용자 정보는 사용자의 개인 정보를 포함할 수 있다. 사용 권한은 사용자별로 부여된 접속 권한을 포함할 수 있다. 블록 체인부(130)는 로그인 정보를 이용해서 로그인의 흠결 여부를 파악하고, 로그인의 흠결 여부를 표준 인증부(110)에 제공할 수 있다. 블록 체인부(130)는 로그인이 정상적인 경우, 사용자 정보와 사용 권한을 이용해서 로그인한 사용자가 갖는 각 시스템의 접속 권한을 파악할 수 있다. 블록 체인부(130)는 접속 권한을 표준 인증부(110)에 제공할 수 있다. 로그인의 흠결 여부는 사용자 단말기(90) 또는 응용 서버(10)로부터 획득된 로그인 정보와 장부(150)에 기저장된 로그인 정보의 일치 여부에 따라 결정될 수 있다. 블록 체인부(130)는 아이디 및 패스워드가 장부(150)에 기저장된 것과 일치하면, 흠결이 없는 것으로 판단하고, 아이디 및 패스워드가 장부(150)에 기저장된 것과 다르면, 흠결이 있는 것으로 판단할 수 있다.The book 150 may include user information, login information, and use authority. The login information may include a user ID and a password. The user information may include personal information of the user. The usage right may include an access right granted for each user. The block chain unit 130 may determine whether the login is defective by using the login information, and may provide the standard authentication unit 110 with whether the login is defective. When the login is normal, the block chain unit 130 may determine the access authority of each system that the logged-in user has using the user information and the use authority. The block chain unit 130 may provide the access authority to the standard authentication unit 110. Whether the login is defective may be determined depending on whether the login information acquired from the user terminal 90 or the application server 10 matches the login information previously stored in the book 150. If the ID and password match the pre-stored ID and password in the book 150, the block chain unit 130 may determine that there is no defect, and if the ID and password are different from the pre-stored in the book 150, the block chain unit 130 may determine that there is a defect. have.

표준 인증부(110)는 블록 체인부(130)로부터 획득된 로그인의 흠결 여부와 접속 권한을 응용 서버(10)에서 인식할 수 있는 코드 또는 프로토콜로 변환해서 응용 서버(10)로 제공할 수 있다.The standard authentication unit 110 may convert a login or access right obtained from the blockchain unit 130 into a code or a protocol that can be recognized by the application server 10, and provide the same to the application server 10. .

응용 서버(10)는 표준 인증부(110)로부터 획득된 비교 결과에 따라 응용 서버(10)에 대한 사용자 단말기(90)의 로그인 여부를 결정할 수 있다. 구체적으로, 응용 서버(10)는 표준 인증부(110)로부터 획득한 로그인 흠결 여부와 접속 권한을 이용해 사용자 단말기(90)의 로그인 여부를 결정할 수 있다.The application server 10 may determine whether the user terminal 90 logs in to the application server 10 based on a comparison result obtained from the standard authentication unit 110. In detail, the application server 10 may determine whether the user terminal 90 logs in using the login failure or the access authority obtained from the standard authentication unit 110.

표준 인증부(110)는 표준 인증 API(Application Programming Interface)를 지원할 수 있다. 따라서, 표준 인증부(110)에서 설정하거나 지원하는 표준 인증을 준수하기만 하면, 어떠한 블록 체인부(130)라도 표준 인증부(110)에 설치될 수 있다. 블록 체인부(130)는 표준 인증을 준수하는 범위 내에서 표준 인증부(110)에 대해 교체 가능할 수 있다. 따라서, 도 3과 같이 새로운 통합 인증 체계가 도입될 경우, 기존의 블록 체인부(130)를 제거하고, 표준 인증을 준수하는 새로운 블록 체인부(130`)를 설치하면 충분하다.The standard authentication unit 110 may support a standard authentication API (Application Programming Interface). Therefore, any blockchain unit 130 may be installed in the standard authentication unit 110 as long as it conforms to the standard authentication set or supported by the standard authentication unit 110. The block chain unit 130 may be replaceable with respect to the standard certification unit 110 within the scope of complying with the standard certification. Therefore, when a new integrated authentication scheme is introduced as shown in FIG. 3, it is sufficient to remove the existing blockchain unit 130 and install a new blockchain unit 130 ′ that complies with standard certification.

복수의 블록 체인부(130)는 표준 인증부(110)를 통해 복수의 응용 서버(10)에 각각 설치된 경우, 특정 블록 체인부(130)에서 이용하는 장부(150)는 다른 블록 체인부(130)에 공유될 수 있다.When the plurality of block chain units 130 are respectively installed in the plurality of application servers 10 through the standard authentication unit 110, the book 150 used in the specific block chain unit 130 is another block chain unit 130. Can be shared on

블록 체인부(130)는 표준 인증부(110)로부터 획득한 로그인 정보를 장부(150)에 기록할 수 있다(ⓑ). 로그인 정보가 기록된 장부(150)는 SSO에 편입된 다른 응용 서버(10)에 설치된 다른 블록 체인부(130)에 공유될 수 있다(ⓒ). 다른 블록 체인부(130)는 장부(150)에 기록된 로그인 정보를 이용해서 다른 응용 서버(10)에 대한 로그인의 흠결 여부 및 접속 권한을 미리 파악할 수 있다. 따라서, 본 실시예에 따르면, 어느 하나의 응용 서버(10)에 로그인 정보를 제공하기만 하면, 해당 로그인 정보는 장부(150)를 공유하는 모든 응용 서버(10)에 로그인 정보를 제공한 셈이 된다. 이때, 각 응용 서버(10)에 설치된 블록 체인부(130)는 장부(150)를 통해 공유된 로그인 정보에 대한 로그인 흠결 여부와 접속 권한을 파악해둘 수 있다. 따라서, 장부(150)를 공유하는 모든 응용 서버(10)는 장부(150)에 기록된 로그인 정보를 이용해서 해당 사용다 단말기에 대한 로그인 가능 여부를 파악해둘 수 있다.The block chain unit 130 may record the login information obtained from the standard authentication unit 110 in the book 150 (ⓑ). The book 150 in which the login information is recorded may be shared to another block chain unit 130 installed in another application server 10 incorporated in SSO (©). The other blockchain unit 130 may determine in advance whether or not the login is defective or the access authority for the other application server 10 by using the login information recorded in the book 150. Therefore, according to this embodiment, as long as providing the login information to any one of the application server 10, the login information is to provide the login information to all the application server 10 sharing the book 150. do. In this case, the block chain unit 130 installed in each application server 10 may grasp whether or not the login failure for the login information shared through the book 150 and the access authority. Therefore, all application servers 10 sharing the book 150 can determine whether the user can log in to the terminal using the login information recorded in the book 150.

따라서, A 응용 서버(10)를 이용하던 사용자가 B 응용 서버(10)로 접속하면(ⓓ), B 응용 서버(10)는 별도의 아이디 입력 및 패스워드 입력을 요구하지 않고, 사용자 단말기(90)에 대한 로그인 여부를 결정할 수 있다.Therefore, when the user who used the A application server 10 is connected to the B application server 10 (ⓓ), the B application server 10 does not require a separate ID input and password input, the user terminal 90 You can decide whether to log in to.

일 예로, 해당 사용자 단말기(90)를 통해 제공된 로그인 정보가 정상인 경우, B 응용 서버(10)는 별도의 로그인 절차없이 사용자 단말기(90)를 로그인 상태로 처리할 수 있다(ⓔ). 따라서, 사용자는 B 응용 서버(10)에 대한 별도의 아이디 입력 작업 및 패스워드 입력 작업을 생략하고 B 응용 서버(10)에 로그인할 수 있다.For example, when the login information provided through the corresponding user terminal 90 is normal, the B application server 10 may process the user terminal 90 in a login state without a separate login procedure (ⓔ). Therefore, the user may log in to the B application server 10 by omitting a separate ID input operation and password input operation for the B application server 10.

표준 인증부(110)는 인터럽트 수단(11), 비교 요청 수단(111), 비교 결과 처리 수단(113)을 포함할 수 있다.The standard authentication unit 110 may include an interrupt means 11, a comparison request means 111, and a comparison result processing means 113.

사용자는 사용자 단말기(90)를 통해 응용 서버(10)로 로그인 정보를 제공할 수 있다(①).The user may provide login information to the application server 10 through the user terminal 90 (①).

인터럽트 수단(11)은 사용자 단말기(90)로부터 응용 서버(10)로 제공된 로그인 정보를 가로챌 수 있다(②). 인터럽트 수단(11)은 사용자가 입력한 아이디와 패스워드를 가로챌 수 있다. 인터럽트 수단(11)은 응용 서버(10)에 설치되어도 무방하다.The interrupt means 11 can intercept the login information provided from the user terminal 90 to the application server 10 (2). The interrupt means 11 can intercept the ID and password entered by the user. The interrupt means 11 may be installed in the application server 10.

비교 요청 수단(111)은 인터럽트 수단(11)에 의해 가로챈 아이디와 패스워드를 장부(150)와 비교할 것을 블록 체인부(130)에 요청할 수 있다(③). 인터럽트 수단(11)에 의해 가로챈 아이디와 패스워드는 응용 서버(10)에서 인식할 수 있는 제1 코드로 구성될 수 있다. 비교 요청 수단(111)은 제1 코드를 표준 코드로 변환할 수 있다.The comparison request unit 111 may request the block chain unit 130 to compare the ID and password intercepted by the interrupt unit 11 with the book 150 (3). The ID and password intercepted by the interrupt means 11 may consist of a first code that can be recognized by the application server 10. The comparison request means 111 may convert the first code into a standard code.

비교 결과 처리 수단(113)은 블록 체인부(130)로부터 로그인의 흠결 및 접속 권한의 비교 결과를 획득하고(⑤) 응용 서버(10)로 제공할 수 있다(⑥). 블록 체인부(130)로부터 획득된 비교 결과는 표준 코드로 구성될 수 있다. 비교 결과 처리 수단(113)은 표준 코드의 비교 결과를 제1 코드의 비교 결과로 변환할 수 있다. 비교 결과 처리 수단(113)은 제1 코드의 비교 결과를 응용 서버(10)로 전달할 수 있다.The comparison result processing unit 113 may obtain the comparison result of the login failure and the access authority from the block chain unit 130 (⑤) and provide it to the application server 10 (⑥). The comparison result obtained from the block chain unit 130 may be composed of a standard code. The comparison result processing means 113 may convert the comparison result of the standard code into the comparison result of the first code. The comparison result processing means 113 may transmit the comparison result of the first code to the application server 10.

비교 요청 수단(111) 및 비교 결과 처리 수단(113)에 의해, 표준 인증부(110)는 응용 서버(10)에 대해 제1 코드의 데이터를 입출력할 수 있다. 표준 인증부(110)는 블록 체인부(130)에 대해 표준 코드의 데이터를 입출력할 수 있다.By the comparison request means 111 and the comparison result processing means 113, the standard authentication unit 110 can input / output data of the first code to the application server 10. The standard authentication unit 110 may input and output data of a standard code to the block chain unit 130.

블록 체인부(130)는 장부 비교 수단(131), 권한 파악 수단(133)을 포함할 수 있다.The block chain unit 130 may include a book comparing means 131 and a right grasping means 133.

장부 비교 수단(131)은 비교 요청 수단(111)으로부터 전달받은 로그인 정보를 장부(150)에 존재하는 아이디 및 패스워드와 비교할 수 있다(④). 장부 비교 수단(131)은 비교 요청 수단(111)으로부터 전달받은 로그인 정보를 표준 코드 형식으로 장부(150)에 기록할 수 있다(⑦). 장부(150)에 기록된 로그인 정보는 장부(150)를 공유하는 다른 블록 체인부(130)의 장부 비교 수단(131)으로 제공될 수 있다.The book comparison means 131 may compare the login information received from the comparison request means 111 with the ID and password existing in the book 150 (④). The book comparison means 131 may record the login information received from the comparison request means 111 in the book 150 in a standard code format (⑦). The login information recorded in the book 150 may be provided to the book comparing means 131 of another block chain unit 130 sharing the book 150.

장부 비교 수단(131)에 의해 로그인 정보가 정상으로 파악되면, 권한 파악 수단(133)은 로그인 정보가 나타내는 사용자의 접속 권한을 판단할 수 있다.When the login information is normally determined by the book comparing means 131, the authority checking means 133 may determine the access authority of the user indicated by the login information.

장부 비교 수단(131)에 의해 비교된 로그인의 흠결 여부와 권한 파악 수단(133)에 의해 판단된 접속 권한을 모두 포함하는 비교 결과가 비교 결과 처리 수단(113)으로 제공될 수 있다.A comparison result including all of whether the logins compared by the book comparing means 131 are defective and the access authority determined by the authority checking means 133 may be provided to the comparison result processing means 113.

장부 비교 수단(131) 및 권한 파악 수단(133)은 표준 인증부(110)에 대해 표준 코드의 데이터를 입출력할 수 있다.The book comparing means 131 and the authority checking means 133 may input / output data of a standard code to the standard authenticator 110.

본 발명의 분산형 SSO 장치에 따르면, A 응용 서버(10), A 응용 서버(10)에 설치된 표준 인증부(110) 또는 블록 체인부(130)가 고장나는 경우, A 응용 서버(10)만 이용 불가할 뿐, B 응용 서버(10), C 응용 서버(10) 등 다른 응용 서버(10)에 대한 접속이 가능하다.According to the distributed SSO device of the present invention, when the A application server 10, the standard authentication unit 110 or the block chain unit 130 installed in the A application server 10 is broken, only the A application server 10 It is not available, and connection to other application servers 10 such as B application server 10 and C application server 10 is possible.

이상의 분산 SSO 장치에 따르면, 하나의 시스템에 로그인하면, 나머지 시스템에도 자동으로 로그인되는 것과 유사한 사용 환경이 제공될 수 있다. 이때, 사용자가 제공하는 하나의 로그인 정보는 복수의 시스템(응용 서버(10))에 로그인할 수 있는 소위 대표 아이디(ID)의 성격을 갖는다.According to the distributed SSO apparatus described above, when a user logs in to one system, a usage environment similar to that of being automatically logged in to the other system may be provided. At this time, one login information provided by the user has a characteristic of a so-called representative ID (ID) that can log in to a plurality of systems (application server 10).

각 응용 서버(10)마다 동일 사용자의 로그인 정보가 다를 수 있다.Login information of the same user may be different for each application server 10.

일 예로, 사용자는 A 응용 서버(10), B 응용 서버(10), C 응용 서버(10) 각각에 다른 아이디 또는 다른 패스워드를 가질 수 있다. 즉, 동일 사용자에 대해 복수의 로그인 정보가 마련될 수 있다. 이들 로그인 정보는 사전에 장부(150)에 등록될 수 있다.For example, a user may have a different ID or different password in each of the A application server 10, the B application server 10, and the C application server 10. That is, a plurality of login information may be provided for the same user. These login information may be registered in the book 150 in advance.

표준 인증부(110) 또는 블록 체인부(130)는 사용자의 요청에 따라, 복수의 로그인 정보 중 하나를 대표 아이디(패스워드 포함)로 설정할 수 있다. 대표 아이디에는 복수의 응용 서버(10)에 로그인할 수 있는 접속 권한이 부여될 수 있다.The standard authentication unit 110 or the block chain unit 130 may set one of the plurality of login information as a representative ID (including a password) according to a user's request. The representative ID may be granted an access right to log in to the plurality of application servers 10.

일 예로, 특정 사용자는 A 응용 서버(10)에 대해 제1 로그인 정보를 갖고, B 응용 서버(10)에 대해 제2 로그인 정보를 가질 수 있다. 해당 특정 사용자는 C 응용 서버(10)에 대해 제3 로그인 정보를 가질 수 있다. 이 경우, 특정 사용자는 A 응용 서버(10)에 로그인하기 위해 제1 로그인 정보를 입력해야 한다. 특정 사용자는 B 응용 서버(10)에 로그인하기 위해 제2 로그인 정보를 입력해야 한다. 특정 사용자는 C 응용 서버(10)에 로그인하기 위해 제3 로그인 정보를 입력해야 한다. 이때, 특정 사용자가 A 로그인 정보를 대표 아이디로 요청하면, 블록 체인부(130)는 A 로그인 정보를 대표 아이디로 설정할 수 있다. 특정 사용자는 대표 아이디로 설정한 A 로그인 정보를 이용해 A 응용 서버(10), B 응용 서버(10), C 응용 서버(10)에 원하는 대로 로그인할 수 있다. 또한, A 응용 서버(10)에 로그인한 상태에서 별도의 아이디, 패스워드 입력 절차없이 B 응용 서버(10) 또는 C 응용 서버(10)에 로그인할 수 있다.For example, a specific user may have first login information for the A application server 10 and second login information for the B application server 10. The specific user may have third login information on the C application server 10. In this case, the specific user must enter the first login information to log in to the A application server 10. The specific user must enter the second login information to log in to the B application server 10. A particular user must enter third login information to log in to the C application server 10. At this time, if a specific user requests the A login information as the representative ID, the blockchain 130 may set the A login information as the representative ID. The specific user may log in to the A application server 10, the B application server 10, and the C application server 10 using the A login information set as the representative ID as desired. In addition, the user may log in to the B application server 10 or the C application server 10 without a separate ID and password input procedure while logged in the A application server 10.

표준 인증부(110) 또는 블록 체인부(130)는 타 응용 서버(10)에 대한 로그인 정보를 가지고 대표 아이디를 설정할 수 있다. 특정 응용 서버(10)의 로그인 정보 외에도 이동 통신 단말기의 전화번호, 이메일 주소 등도 대표 아이디로 설정될 수 있다.The standard authentication unit 110 or the block chain unit 130 may set a representative ID with login information about another application server 10. In addition to the login information of the specific application server 10, the phone number, email address, etc. of the mobile communication terminal may also be set as the representative ID.

대표 아이디를 제외하고 특정 사용자가 갖는 로그인 정보를 부가 정보로 정의한다.Except the representative ID, login information of a specific user is defined as additional information.

표준 인증부(110) 또는 블록 체인부(130)는 특정 사용자에 대해 대표 아이디가 설정되면, 해당 대표 아이디에 대해서만 SSO 기능을 부여하고, 해당 특정 사용자가 갖는 부가 정보에 대해서는 SSO 기능을 부여하지 않을 수 있다. 특정 사용자가 갖는 부가 정보에 대해서는 부가 정보가 설정된 특정 응용 서버(10)에 대한 접속 권한만 남겨두고, 다른 응용 서버(10)에 접속할 수 있는 권한을 해제할 수 있다. 즉, 대표 아이디로 1회 로그인 하면, 사용자는 장부(150)를 공유하는 복수의 응용 서버(10)에 별도의 로그인 과정없이 자유롭게 로그인할 수 있다. 반면, 부가 정보를 이용해서 특정 응용 서버(10)에 로그인한 경우, 다른 응용 서버(10)에 로그인하기 위해서는 사용자는 해당 다른 응용 서버(10)에서 요구하는 부가 정보를 새롭게 입력해야 한다.When the representative ID is set for a specific user, the standard authentication unit 110 or the blockchain unit 130 grants the SSO function only to the representative ID, and does not grant the SSO function to the additional information of the specific user. Can be. Regarding the additional information owned by the specific user, only the access right to the specific application server 10 in which the additional information is set may be left, and the right to access the other application server 10 may be released. That is, if the user logs in once with the representative ID, the user may freely log in to the plurality of application servers 10 sharing the book 150 without a separate login process. On the other hand, when logging in to a specific application server 10 using the additional information, in order to log in to another application server 10, the user must newly input the additional information required by the other application server 10.

사용자는 대표 아이디를 설정한 후 대표 아이디를 변경할 수 있다. 일 예로, 제1 로그인 정보를 대표 아이디로 설정한 상태라면, 사용자는 추후 제2 로그인 정보를 대표 아이디로 변경할 수 있다. 대표 아이디의 설정 변경은 기존 대표 아이디로 로그인한 이후에 수행될 수 있다.The user may change the representative ID after setting the representative ID. For example, if the first login information is set as the representative ID, the user may later change the second login information to the representative ID. The setting change of the representative ID may be performed after logging in with the existing representative ID.

대표 아이디가 설정된 이후, 부가 정보의 활용 방안이 설정될 수 있다.After the representative ID is set, a method of utilizing additional information may be set.

제1 실시예로, 표준 인증부(110) 또는 블록 체인부(130)는 대표 아이디 사용자의 요청에 의해 부가 정보에 포함된 부가 아이디 및 부가 패스워드를 그대로 유지할 수 있다. 이때, 표준 인증부(110) 또는 블록 체인부(130)는 부가 정보를 이용한 로그인 시도가 파악되면, 부가 정보를 이용한 로그인을 승인 대기 상태로 유지할 수 있다. 승인 대기 상태는 특정 응용 서버(10)에 로그인 되지 못한 상태를 포함할 수 있다. 표준 인증부(110) 또는 장부(150)에는 대표 아이디의 사용자가 등록한 연락처가 저장될 수 있다. 승인 대기 상태를 유지하는 표준 인증부(110) 또는 블록 체인부(130)는 해당 연락처를 이용해서 대표 아이디의 사용자에게 비정상적 로그인 메시지를 전송할 수 있다.In the first embodiment, the standard authentication unit 110 or the block chain unit 130 may maintain the additional ID and the additional password included in the additional information at the request of the representative ID user. In this case, when the login attempt using the additional information is grasped, the standard authentication unit 110 or the block chain unit 130 may maintain the login using the additional information in a waiting state for approval. The approval wait state may include a state in which a specific application server 10 is not logged in. The standard authentication unit 110 or the book 150 may store a contact registered by the user of the representative ID. The standard authentication unit 110 or the block chain unit 130 maintaining the approval wait state may transmit an abnormal login message to the user of the representative ID using the corresponding contact.

표준 인증부(110) 또는 블록 체인부(130)는 대표 아이디 사용자의 승인 여부에 따라 부가 정보를 이용한 로그인을 정상적으로 허용하거나, 불허할 수 있다.The standard authentication unit 110 or the blockchain unit 130 may normally allow or disallow login using additional information according to whether the representative ID user is approved.

제2 실시예로, 표준 인증부(110) 또는 블록 체인부(130)는 대표 아이디 사용자의 요청에 의해 부가 정보에 포함된 부가 패스워드를 대표 아이디의 대표 패스워드와 동일하게 변경할 수 있다. 예를 들어, 제1 로그인 정보가 대표 아이디로 설정되면, 제2 로그인 정보의 패스워드 및 제3 로그인 정보의 패스워드가 제1 로그인 정보의 패스워드로 변경될 수 있다.In the second embodiment, the standard authentication unit 110 or the block chain unit 130 may change the additional password included in the additional information to the representative password of the representative ID by a request of the representative ID user. For example, when the first login information is set as the representative ID, the password of the second login information and the password of the third login information may be changed to the password of the first login information.

제2 실시예에 따르면, 대표 아이디, 부가 정보의 부가 아이디가 그대로 유지되고, 대표 아이디 및 부가 정보의 패스워드가 대표 아이디의 대표 패스워드로 통일될 수 있다.According to the second embodiment, the representative ID and the additional ID of the additional information are maintained as it is, and the password of the representative ID and the additional information may be unified into the representative password of the representative ID.

제3 실시예로, 표준 인증부(110) 또는 블록 체인부(130)는 대표 아이디 사용자의 요청에 의해 부가 정보에 포함된 부가 패스워드를 사용자가 모르는 패스워드로 임의로 변경할 수 있다. 임의로 변경된 부가 패스워드는 사용자가 모르므로, 사용자는 오직 대표 아이디를 통해서만 각 응용 서버(10)에 로그인할 수 있다. 표준 인증부(110) 또는 블록 체인부(130)는 정책에 맞춰 임의 패스워드를 생성할 수 있다. 정책은 최소 길이, 최대 길이, 패스워드 복잡성(특수문자 포함 여부 등), 아이디 동일 여부, 이전 패스워드 동일 여부, 변경 주기 등을 포함할 수 있다. 아이디 또는 패스워드에 대한 정책은 표준 인증부(110) 또는 블록 체인부(130)에 의해 설정될 수 있으며, 특정 응용 서버(10)에서 설정된 정책은 장부(150)를 통해 다른 응용 서버(10)로 전파 또는 프로비저닝(provisioning)될 수 있다.In the third embodiment, the standard authentication unit 110 or the block chain unit 130 may arbitrarily change the additional password included in the additional information to a password unknown to the user at the request of the representative ID user. Since the randomly changed additional password is unknown to the user, the user can log in to each application server 10 only through the representative ID. The standard authenticator 110 or the blockchain 130 may generate a random password according to a policy. The policy may include the minimum length, maximum length, password complexity (including special characters, etc.), ID equality, previous password equality, change interval, and the like. The policy for the ID or password may be set by the standard authentication unit 110 or the block chain unit 130, and the policy set in the specific application server 10 may be set to another application server 10 through the book 150. It may be propagated or provisioned.

제2 실시예와 제3 실시예의 경우, 대표 아이디가 해제되면 표준 인증부(110) 또는 블록 체인부(130)는 각 부가 정보에 포함된 기존 부가 패스워드를 원래대로 복구시킬 수 있다.In the second and third embodiments, when the representative ID is released, the standard authentication unit 110 or the block chain unit 130 may restore the original additional password included in each additional information.

제1 실시예와 제2 실시예의 경우, 대표 아이디 외에도 부가 정보가 그대로 로그인에 이용될 수 있다. 제1 실시예와 제2 실시예는 대표 아이디와 부가 정보에 권한을 다르게 부여된 경우에 유용할 수 있다. 제1 실시예와 제2 실시예, 특히 제1 실시예는 특정 응용 서버(10)에 접속 권한이 없는 제3자에게 해당 특정 응용 서버(10)에만 접속할 수 있는 권한을 부여하고자 할 때 유용할 수 있다. 일 예로, 제3자가 설정 기간동안 제2 응용 서버(10)에 로그인할 필요가 있는 경우, 제3자의 로그인 정보를 새롭게 추가할 필요없이 대표 아이디 사용자가 자신의 제2 도메인 정보를 제3자에게 알려주면 충분하다.In the case of the first embodiment and the second embodiment, in addition to the representative ID, additional information may be used to log in as it is. The first embodiment and the second embodiment may be useful when authority is differently assigned to the representative ID and the additional information. The first and second embodiments, particularly the first embodiment, may be useful when a third party who does not have permission to access a particular application server 10 wants to grant permission to access only that specific application server 10. Can be. For example, when a third party needs to log in to the second application server 10 for a set period, the representative ID user sends his / her second domain information to the third party without adding new login information of the third party. It is enough to inform.

이상에서 본 발명에 따른 실시예들이 설명되었으나, 이는 예시적인 것에 불과하며, 당해 분야에서 통상적 지식을 가진 자라면 이로부터 다양한 변형 및 균등한 범위의 실시예가 가능하다는 점을 이해할 것이다. 따라서, 본 발명의 진정한 기술적 보호 범위는 다음의 특허청구범위에 의해서 정해져야 할 것이다.Although embodiments according to the present invention have been described above, these are merely exemplary, and it will be understood by those skilled in the art that various modifications and equivalent embodiments of the present invention are possible therefrom. Therefore, the true technical protection scope of the present invention will be defined by the following claims.

10...응용 서버 11...인터럽트 수단
90...사용자 단말기 110...표준 인증부
111...비교 요청 수단 113...비교 결과 처리 수단
130...블록 체인부 131...장부 비교 수단
133...권한 파악 수단 150...장부10 ... Application Server 11 ... Interrupt Means
90.User terminal 110 ... Standard certification unit
Means for requesting comparisons 113 Means for processing comparison results
130 ... Block chain section 131 ... Book comparison means
133 ... Measurement authority 150 ... Book

Claims

A standard authentication unit installed for each application server to which a domain or a URL is assigned;
A block chain unit installed for each standard authentication unit;
The standard authentication unit obtains login information provided from the user terminal to the application server,
The block chain unit compares the login information received from the standard authentication unit with the book, and transmits the comparison result to the standard authentication unit,
The block chain units are respectively installed in the plurality of application servers through the standard authentication unit installed in the plurality of application servers, respectively.
The ledger used by a particular blockchain part is shared by other blockchain parts,
The standard authentication unit supports a standard authentication API (Application Programming Interface),
Decentralized SSO device that the blockchain can be replaced for the standard authentication within the scope of the standard certification.

The method of claim 1,
The application server determines whether or not the user terminal is logged in to the application server according to the comparison result obtained from the standard authentication unit.

delete

The method of claim 1,
The specific block chain unit records the login information obtained from the standard authentication unit in the book,
The book in which the login information is recorded is shared in the other blockchain unit installed in another application server,
The other block chain unit uses the login information recorded in the book to determine whether the login to the other application server and access authority in advance.

The method of claim 1,
When the login information is provided to any one of the application servers, the login information is provided to all the application server sharing the book.

The method of claim 1,
The standard authentication unit includes an interrupt means, a comparison request means, a comparison result processing means,
The interrupting means obtains the login information provided from the user terminal to the application server,
The comparison request means requests the block chain to compare the login information intercepted by the interrupt means with the book,
The comparison result processing means obtains a comparison result of defects of login and access authority from the block chain unit and provides the result to the application server.

The method of claim 6,
The block chain portion includes a book comparison means, authority identifying means,
The book comparing means compares the login information received from the standard authentication unit with an ID and password existing in the book,
The authority determining means determines the access authority of the user indicated by the login information,
The block chain unit provides the comparison result processing means including a comparison result including all of whether the login failures compared by the book comparison means and the access authority determined by the authority checking means are provided to the comparison result processing means.

The method of claim 1,
The login information of the same user is different for each application server,
The standard authentication unit or the block chain unit sets a representative ID according to the user's request.
A distributed SSO device to which the representative ID is granted access rights to log in to a plurality of the application servers.

The method of claim 8,
The standard authentication unit or the block chain unit sets one of the plurality of login information for a plurality of the application server as the representative ID.

The method of claim 8,
When defining login information of a specific user as additional information, except for the representative ID,
When the representative ID is set for the specific user, the standard authentication unit or the block chain unit leaves only the access right to the specific application server in which the additional information is set for the additional information owned by the specific user. Distributed SSO device to release access to

The method of claim 8,
When defining login information of a specific user as additional information, except for the representative ID,
The standard authentication unit or the book stores the contact registered by the user of the representative ID,
The standard authentication unit or the block chain unit maintains the additional ID and the additional password included in the additional information at the request of the representative ID user.
When the standard authentication unit or the block chain unit is aware of a login attempt using the additional information, the standard authentication unit or the block chain unit maintains the login using the additional information in a standby state for approval.
The standard authentication unit or the block chain unit maintaining the standby state for approval transmits an abnormal login message to the user of the representative ID using the contact point.
The standard authentication unit or the blockchain unit normally allows or disallows login using the additional information according to whether the representative ID user is approved.

The method of claim 8,
When defining login information of a specific user as additional information, except for the representative ID,
The standard authentication unit or the block chain unit changes the additional password included in the additional information by the request of the representative ID user to be the same as the representative password of the representative ID.

The method of claim 8,
When defining login information of a specific user as additional information, except for the representative ID,
The standard authentication unit or the block chain unit randomly changes the additional password included in the additional information to a password unknown to the user at the request of the representative ID user.

The method of claim 1,
The policy for the ID or password included in the login information is set by the standard authentication unit or the blockchain unit,
A distributed SSO device in which a policy set in one application server is propagated or provisioned to another application server through the book.