[論文レビュー] Formal Analysis of UMTS Privacy

Myrto Arapinis, Loretta Ilaria Mancini+2 more|arXiv (Cornell University)|Sep 9, 2011

Advanced Authentication Protocols Security参考文献 7被引用数 6

ひとこと要約

本稿では、適用ピーカルキュラスおよびProVerifを用いたUMTSのプライバシーの形式的分析を提示しており、再送された認証要求におけるエラーメッセージの差異を悪用することで、攻撃者がUMTSサブスクライバーを追跡できるリンクアビリティ攻撃を明らかにしている。著者らは、プロトコルの機能を維持したままこのような追跡を防ぐ公開鍵ベースの修正を提案し、自動検証ツールを用いてその有効性を形式的に検証している。

ABSTRACT

The ubiquitous presence of mobile communication devices and the continuous development of mo- bile data applications, which results in high level of mobile devices' activity and exchanged data, often transparent to the user, makes privacy preservation an important feature of mobile telephony systems. We present a formal analysis of the UMTS Authentication and Key Agreement protocol, using the applied pi-calculus and the ProVerif tool. We formally verify the model with respect to privacy properties. We show a linkability attack which makes it possible, for individuals with low-cost equipment, to trace UMTS subscribers. The attack exploits information leaked by poorly designed error messages.

研究の動機と目的

• 形式的手法を用いてUMTS認証および鍵共有（AKA）プロトコルのプライバシー特性を形式的に分析すること。
• 認証プロセス中に発生するエラーメッセージのわずかな差異を利用した、これまで未知であったリンクアビリティ攻撃を同定および検証すること。
• 既存のUMTSアーキテクチャと後方互換性を保ちつつ、攻撃を防止する軽量なプロトコル修正を提案し、形式的に検証すること。
• ProVerifなどの自動検証ツールが、実世界のプロトコルにおけるプライバシー漏洩を検出するのに効果的に利用できるかを示すこと。

提案手法

• 対称暗号を平文での鍵およびパラメータ送信として抽象化することで、適用ピーカルキュラスを用いてProVerifでUMTS AKAプロトコルをモデル化する。
• モデルの仮定に基づき、ProVerifを用いて非リンク性および匿名性の性質を自動的に検証する。
• 再送された要求が被害者のTMSIと一致するかどうかに応じてエラーレスポンスが異なることから、攻撃を同定する。
• ホームネットワークの公開鍵を用いてエラーメッセージを暗号化することで、区別可能な情報を漏洩させない修正を提案する。
• 既知の暗号文攻撃を防ぎ、非決定性を確保するため、エラーメッセージの暗号化にランダムパディングを導入する。
• 修正後のプロトコルモデルにおいて、ProVerifが区別可能な攻撃を検出しなくなったことから、修正の有効性を検証する。

実験結果

リサーチクエスチョン

• RQ1 形式的手法は、仕様書からのみでは明らかでないUMTS AKAにおけるプライバシー脆弱性を検出できるか？
• RQ2 UMTS AKAプロトコルにおけるエラーメッセージの差異が、受動的攻撃者によるリンクアビリティ攻撃をどの程度可能にするか？
• RQ3 コアUMTSセキュリティアーキテクチャを変更せずに、リンクアビリティを防止する最小限のプロトコル修正が可能か？
• RQ4 ProVerifのような自動検証ツールは、実世界のモバイルプロトコルにおける非リンク性および匿名性の検証に効果的に利用できるか？

主な発見

• 元のUMTS AKAプロトコルにおいて、再送された認証要求の後にエラーメッセージの差異を観測することで、特定のサブスクライアントとのやり取りを区別できる、以前に未知であったリンクアビリティ攻撃が形式的に検証された。
• 攻撃は低コストの機器で実行可能であり、下位の暗号化技術を破る必要はなく、エラーメッセージを通じたサイドチャnel漏洩に依存している。
• ホームネットワークの公開鍵を用いてエラーメッセージを暗号化するという修正は、ProVerifが修正後のモデルで区別可能な能力を検出しなくなったことから、攻撃を効果的に防止した。
• XOR演算を平文送信として抽象化することは、非リンク性分析において妥当であると考えられ、攻撃者がより多くの情報を得られるようにすることで、分析を保守的とし、検証結果を強化する。
• 著者らは、秘密性を完全にモデル化しない場合でも、ProVerifが複雑なプロトコルにおいて非リンク性や匿名性といったプライバシー特性を効果的に検証できることを示した。
• 本研究は、暗号化プリミティブが安全であっても、エラーメッセージの一貫性を実装が考慮する必要があることを強調しており、サイドチャネル漏洩を防ぐ重要性を示している。