(BCRM#G0194) 비밀번호 초기화 기능 보안 강화 및 검증 로직 개선

page no.  120946721

1. 기능 설명

   1. 비밀번호 찾기 기능은 각 단계 수행 과정에서 보안 강화를 위한 기능을 적용합니다.
   2. 기능 종류
      1. (기능 1) 사용자 계정 상태에 따른 기능 이용 제한
         1. 설명 : 비밀번호 찾기 과정에서 사용자 계정 상태에 따라 비밀번호 찾기 기능 이용 여부를 제어합니다. 
         2. 사용자 계정 상태가 [잠금상태] 인 경우
            → 비밀번호 찾기 기능을 이용할 수 있으며, 해당 기능을 통해 비밀번호 변경이 완료되면 계정 잠금이 해제됩니다.
         3. 사용자 계정 상태가 [사용중지] 인 경우
            → 비밀번호 찾기 기능을 이용할 수 없습니다. 
      2. (기능 2) 개인 정보(이메일) 마스킹 처리
         1. 비밀번호 찾기 과정 중 인증 코드 발급 절차에서 사용자의 이메일 주소 노출을 최소화하기 위해 마스킹 처리된 정보를 표시합니다. 
         2. 인증 코드 발급 화면에서 이메일 주소는 일부만 표시합니다. 
         3. 이메일 주소에서 계정 영역과 도메인 영역은 마스킹을 적용합니다.
         4. dot(.) 이후 국가 코드 영역은 마스킹하지 않습니다. 
      3. (기능 3) 인증 코드 검증 요청 제한
         1. 비밀번호 찾기 과정 중 인증 코드 입력 절차에서 인증 코드 무작위 입력을 방지하기 위해 검증 시도 횟수를 제한합니다.
         2. 인증 코드 검증 실패 시, 시도 횟수를 누적합니다.
         3. 최대 허용 횟수를 초과하면 인증 코드 검증이 차단되며, 기존에 발급된 인증 코드는 더 이상 사용할 수 없습니다.
      4. (기능 4) 인증 코드 재전송 요청 제한 
         1. 비밀번호 찾기 과정 중 인증 코드 재전송 요청을 제한하여 무분별한 인증 코드 발급을 방지합니다. 
         2. 설정된 시간 내 재전송 요청 횟수를 제한합니다. 
         3. 재전송 횟수를 초과하면 일정 시간 동안 인증 코드 재전송이 제한됩니다.
      5. (기능 5) 보안 레벨별 비밀번호 유효성 검증
         1. 비밀번호 찾기 과정 중 비밀번호 변경 절차에서 보안 레벨 설정에 따라 입력한 비밀번호의 유효성 검증을 수행합니다. 
         2. 보안 레벨에 따라 검증 항목을 차등 적용합니다.
         3. 높은 보안 레벨일수록 강화된 검증을 수행합니다. 
            
            
2. 사용 방법 
   1. 기능 별 과정 및 상세 내용 
      1. (기능 1) 사용자 계정 상태에 따른 기능 이용 제한 

         1. 사용자 계정 상태가 [잠금상태]인 경우에도 비밀번호 찾기 기능을 이용할 수 있습니다.
            비밀번호 찾기 과정 중 사용자 확인 단계에서 사용자명 확인을 요청하면 사용자 계정 상태에 따라 다음 단계 진행 여부를 판단하고 다음 단계를 표시합니다.  

            비밀번호 찾기 (사용자 확인 단계)	비밀번호 찾기 (인증 코드 발급 단계)

            ---

         2. 사용자 계정 상태가 [사용중지]인 경우 비밀번호 찾기 기능을 이용할 수 없습니다.

            비밀번호 찾기 (사용자 확인 단계)	비밀번호 찾기 (기능 이용 제한 단계)

            ---

      2. (기능 2) 개인 정보(이메일) 마스킹 처리

         1. 비밀번호 찾기 과정 중 인증 코드 발급 단계에서는 인증 코드 발송을 위한 이메일 정보가 표시됩니다.
            이때 확인된 사용자의 이메일 주소가 표시되며, 이메일 계정 영역과 도메인 영역에는 마스킹 처리가 적용됩니다.
         2. 적용 방식 
            1. 이메일의 계정 영역과 도메인 영역은 맨 앞 글자 1자만 표시하며, 나머지 글자는 *로 마스킹 처리합니다.
            2. 계정 영역과 도메인 영역은 최대 6글자까지 표시합니다.
            3. 글자 수가 6자 미만인 경우, 맨 앞 글자를 제외한 나머지 글자는 *로 표시합니다
            4. dot(.) 이후의 국가 코드 부분에는 마스킹 처리가 적용되지 않습니다.

            비밀번호 찾기 (인증 코드 발급 단계) - 마스킹 처리 전	비밀번호 찾기 (인증 코드 발급 단계) - 마스킹 처리 후

            ---

      3. (기능 3) 인증 코드 검증 요청 제한
         1. 비밀번호 찾기 과정 중 인증 코드가 발송되면, 인증 코드의 남은 시간과 함께  [시도 -회 / 최대 -회] 문구가 화면에 표시됩니다.
            
         2. 적용 방식
            1. 인증 코드를 입력하고 확인을 누르면 인증 코드 검증이 수행됩니다. 입력한 인증 코드가 일치하지 않으면 [시도] 횟수가 증가합니다.
            2. 계속해서 잘못된 인증 코드를 입력하여 [시도] 횟수가 [최대] 횟수와 같아지면, 다음 안내 문구가 표시되며 더 이상 인증 코드 검증을 수행할 수 없습니다.
               (인증 코드 입력 시도 횟수가 허용된 범위를 초과했습니다. "인증 코드 재전송"을 이용해 주세요.)
            3. 사용자는 “인증 코드 재전송” 기능을 이용하여 만료된 인증 코드를 폐기하고, 새로운 인증 코드를 발급받아 인증 코드 검증을 다시 수행할 수 있습니다.
            4. 발급된 인증 코드의 검증 시도 횟수는 기본값 5회로 고정되어 있습니다.

기능 설명

1. 1. 비밀번호 찾기 기능의 각 단계 수행 과정에 보안 강화를 위한 기능이 추가되었습니다.사용자 계정 상태에 따라 해당 기능 이용 제한 
      1. 사용자의 계정 상태가 "잠금상태", "사용중지" 여부에 따라 비밀번호 찾기 기능 이용을 제한하는 기능입니다. 개인 정보(이메일) 마스킹 처리
      2. 사용자의 개인 정보인 이메일 주소를 노출하지 않게 하기 위한 마스킹 처리 기능입니다.인증 코드 검증 요청 제한 
      3. 사용자가 발급 받은 인증 코드를 여러번 입력하지 못하게 하여, 무분별한 검증 요청을 제한하기 위한 기능입니다. 인증 코드 재전송 요청 제한 
      4. 사용자가 발급 받은 인증 코드를 여러번 갱신하지 못하게 하여, 무분별한 인증 코드 발급 및 재전송 요청을 제한하기 위한 기능입니다. 보안 레벨 별 비밀번호 유효성 검증 처리
      5. 사용자가 인증 코드 검증 이후에 비밀번호를 입력할 경우, 너무 쉬운 비밀번호를 만들지 못하도록 보안 레벨 설정에 따라 입력한 비밀번호의 유효성을 검증하기 위한 기능입니다. 

사용 방법

1. 1. 사용자 계정 상태에 따라 해당 기능 이용 제한 
      
      1. 사용자 계정 상태가 "잠금상태" 인 경우, 비밀번호 찾기 기능을 이용하여 비밀번호를 변경하면 잠금상태가 해제됩니다. 
         이에 따라 사용자 계정은 로그인을 정상적으로 이용할 수 있습니다. 
      2. 사용자 계정 상태가 "사용중지" 인 경우, 비밀번호 찾기 기능을 이용할 수 없습니다. 
         그리고 관리자에게 문의하라는 안내 팝업으로 이동하게 됩니다. 개인 정보(이메일) 마스킹 처리 
      3. 사용자 계정 및 이메일 정보가 등록되어 있는 경우, 다음 비밀번호 찾기 화면에서 인증 코드를 보낼 이메일 주소를 표현하게 됩니다. 
      4. 해당 이메일 주소는 전체 공개가 아니며, 이메일 주소의 로컬 부분과 도메인 부분에서 맨 앞 글자를 제외한 나머지 글자는 *로 마스킹 처리가 적용되었습니다.
      5. 또한 각 부분에 글자 수가 6글자 부터 맨 앞글자는 표시되고 나머지 글자는 5글자 까지만 *로 마스킹 표시됩니다. 
      6. 글자 수가 0~5글자 까지는 맨 앞글자만 표시되고, 나머지 글자는 4글자 까지만 *로 마스킹 표시됩니다.
      7. dot(.)부터 국가 코드는 마스킹 처리가 적용되지 않았습니다.
      인증 코드 검증 요청 제한
      1. 인증 코드를 발송하게 되면, 인증 코드의 남은 시간과 더불어 "시도" 및 "최대" 문구가 표시됩니다.
      2. 인증 코드를 입력하고 확인을 누르면 인증 코드 검증을 수행하게 되는데, 이 때 인증 코드가 맞지 않으면 "시도" 부분에 숫자가 카운트 됩니다. 
      3. 계속해서 잘못된 인증 코드를 입력하여 "시도" 횟수가 "최대" 횟수랑 같아질 경우,
         "인증 코드 입력 시도 횟수가<br/>허용된 범위를 초과했습니다.<br/>"인증 코드 재전송"을 이용해 주세요." 문구가 표시되며 더 이상 인증 코드 검증을 수행할 수 없게 됩니다.  
      4. "인증 코드 재전송" 기능을 클릭하여 만료된 인증 코드는 폐기하고, 새로운 인증 코드를 발급 받아 인증 코드 검증을 다시 수행할 수 있게 됩니다. 
      5. 발급된 인증 코드의 검증 시도 값은 디폴트로 5회로 고정되어 있습니다. 인증 코드 재전송 요청 제한 
      6. 인증 코드가 만료된 경우, 해당 기능을 눌러 새로운 인증 코드를 발급 받을 수 있습니다. 
      7. 인증 코드 재전송 요청을 무분별하게 요청하는 것을 제한하기 위해 해당 요청을 제한하는 기능으로 설정된 시간 내 인증 코드 재전송 요청을 제한하게 됩니다. 
      8. 설정된 시간은 1분이며, 1분 내 인증 코드 재전송 기능을 요청할 경우 3번까지 요청을 수행하게 됩니다. 
      9. 1분 내에 3번 초과 요청의 경우 "인증 코드 재전송 요청은<br/>일정 시간 간격으로 제한됩니다.<br/>(%s초 후 다시 시도해 주세요.)"가 표시되며 해당 기능을 설정된 시간 동안 이용할 수 없게 됩니다. 
      10. 1분 이후에는 "인증 코드 재전송" 요청이 가능해지지만 설정된 시간 내 요청은 1번만 가능하므로, "인증 코드 재전송" 기능을 요청하기 위해서 설정된 시간을 기다려야 이용이 가능합니다.  
      보안 레벨 별 비밀번호 유효성 검증 처리
      1. AUD Platform에서 설정된 보안 레벨(0~2) 값에 따라 비밀번호 유효성을 검증 항목이 유연하게 적용됩니다.
      2. 보안 레벨이 0인 경우, 비밀번호 유효성 검증 없이 사용자가 입력한 비밀번호로 설정됩니다.
      보안 레벨이 1인 경우, 비밀번호 유효성 검증을 수행하며 아래 항목을 검증합니다.
      1. 검증 항목 1 
      2. 검증 항목 2 
      3. 검증 항목 3보안 레벨이 2인 경우, 비밀번호 유효성 검증을 수행하며 보안 레벨 1보다 더 많은 유효성 검증을 수행하게 됩니다. 
      4. 검증 항목 1
      5. 검증 항목 2
      6. 검증 항목 3
      7. 검증 항목 4
      8. 검증 항목 5