[論文レビュー] Cryptanalysis of Khatoon et al.'s ECC-based Authentication Protocol for Healthcare Systems

Mahdi Nikooghadam, Haleh Amintoosi|arXiv (Cornell University)|Jun 20, 2019

Advanced Authentication Protocols Security参考文献 6被引用数 8

ひとこと要約

この論文は、テレケア医療システム向けにKhatoonらが提唱したECCベースの認証プロトコルを暗号解析し、既知のセッション固有の一時的情報攻撃に対して脆弱であり、完全な前向き機密性を欠いていることを示している。著者らは、攻撃者が公開送信されたパラメータとサーバーの秘密鍵の知識を用いてセッション鍵を回復できることを示しており、プロトコルの根幹的なセキュリティ保証を損なっている。

ABSTRACT

Telecare medical information systems are gaining rapid popularity in terms of providing the delivery of online health-related services such as online remote health profile access for patients and doctors. Due to being installed entirely on Internet, these systems are exposed to various security and privacy threats. Hence, establishing a secure key agreement and authentication process between the patients and the medical servers is an important challenge. Recently, Khatoon et.al proposed an ECC-based unlink-able authentication and key agreement method for healthcare related application in smart city. In this article, we provide a descriptive analysis on their proposed scheme and prove that Khatoon et al.'s scheme is vulnerable to known-session-specific temporary information attack and is not able to provide perfect forward secrecy.

研究の動機と目的

• テレケア医療情報システム（TMIS）向けにKhatoonらが提唱したECCベースの認証および鍵共有プロトコルのセキュリティを分析すること。
• プロトコルの設計に内在する脆弱性を特定し、その主張するセキュリティ特性を損なう要因を同定すること。
• プロトコルが既知のセッション固有の一時的情報攻撃に対して脆弱であることを示すこと。
• 長期的秘密鍵が漏洩した場合でも、完全な前向き機密性を提供しないことを証明すること。
• 実世界の脅威モデルにおいて、プロトコルの不正を裏付ける形式的な暗号解析的証拠を提供すること。

提案手法

• 図1およびそのスキームに従って、Khatoonらのプロトコルの登録および認証フェーズを分析する。
• 攻撃者がアクセス可能な公開送信パラメータ（$ R_i $, $ T_i $, $ T_s $, $ R_s $, $ L_s $）を特定する。
• 既知のセッション固有の一時的情報攻撃をモデル化し、攻撃者が $ r_s $ および $ R_i $ を入手したと仮定し、$ L_s = r_s \times R_i $ の計算を可能にする。
• セッション鍵 $ SK_i = h(T_i || R_i || T_s || R_s || L_s) $ が、公開パラメータのみを用いて攻撃者によって再構成可能であることを示す。
• 完全な前向き機密性の不備を示すために、攻撃者がサーバーの秘密鍵 $ s $ を漏洩したと仮定し、$ K_s = e(s, R_i \times P) $ を計算可能にし、$ Auth_i $ の復号と $ r_i $ の抽出を可能にする。
• $ L_i = r_i \times R_s $ が $ L_s $ と数学的に同等であることを証明し、攻撃者が公開情報および漏洩した情報を用いて完全なセッション鍵を計算可能であることを示す。

実験結果

リサーチクエスチョン

• RQ1 KhatoonらのECCベースの認証プロトコルは、既知のセッション固有の一時的情報攻撃に対して安全か？
• RQ2 長期的秘密鍵が漏洩した場合、プロトコルは完全な前向き機密性を提供するか？
• RQ3 攻撃者が公開パラメータとサーバーの秘密鍵の知識のみを用いて、セッション鍵を回復できるか？
• RQ4 鍵導出および認証メカニズムにおける特定の設計上の欠陥が、これらの脆弱性を引き起こす要因は何か？
• RQ5 プロトコルは、前向き機密性やセッション鍵回復に対する耐性といった基本的なセキュリティ要件を、どの程度満たしていないか？

主な発見

• 攻撃者が $ r_s $ と公開パラメータを入手できるため、プロトコルは既知のセッション固有の一時的情報攻撃に対して脆弱である。特に、$ L_s = r_s \times R_i $ を計算可能である。
• セッション鍵 $ SK_i = h(T_i || R_i || T_s || R_s || L_s) $ は、攻撃者が $ r_s $, $ R_i $, $ T_i $, $ T_s $, $ R_s $, $ L_s $ をすべて入手できるため、公開パラメータのみを用いて再構成可能である。
• サーバーの秘密鍵 $ s $ が漏洩した場合、攻撃者が $ K_s = e(s, R_i \times P) $ を計算可能であり、これは $ K_i $ と等価である。このため、$ Auth_i $ の復号と $ r_i $ の抽出が可能となり、完全な前向き機密性が失われる。
• $ r_i $ を取得した後、攻撃者は $ L_i = r_i \times R_s $ を計算可能であり、これは $ L_s = r_s \times R_i $ と数学的に同等であるため、セッション鍵のすべての要素を回復可能である。
• 鍵導出メカニズムが、長期的秘密鍵の漏洩に対する保護が不十分であるため、前向き機密性を確保できない。特に、セッション鍵が一時的値に依存しているが、その保護が不十分である。
• 分析により、プロトコルが主張するセキュリティ特性（特に前向き機密性およびセッション鍵回復に対する耐性）が、標準的な脅威モデル下で満たされていないことが確認された。