[論文レビュー] Shedding Light on RFID Distance Bounding Protocols and Terrorist Fraud Attacks

Pedro Peris‐Lopez, Julio Hernández-Castro+3 more|arXiv (Cornell University)|Jun 25, 2009

RFID technology advancements参考文献 21被引用数 7

ひとこと要約

この論文は、Kimらの2008年発表のスイス・ナイフRFID距離境界プロトコルを分析し、タグの長期的秘密鍵を完全に漏洩させる受動的フルディスクロージャー攻撃の存在を示し、その結果、すべてのセキュリティ目的が無効化されることを明らかにした。著者らはその後、設計ガイドラインを提示し、リレイ攻撃およびリソース制限のあるデバイスにおける受動的盗聴に対しても耐性を持つ、新たな安全で効率的な距離境界プロトコル「Hitomi」を提案する。

ABSTRACT

The vast majority of RFID authentication protocols assume the proximity between readers and tags due to the limited range of the radio channel. However, in real scenarios an intruder can be located between the prover (tag) and the verifier (reader) and trick this last one into thinking that the prover is in close proximity. This attack is generally known as a relay attack in which scope distance fraud, mafia fraud and terrorist attacks are included. Distance bounding protocols represent a promising countermeasure to hinder relay attacks. Several protocols have been proposed during the last years but vulnerabilities of major or minor relevance have been identified in most of them. In 2008, Kim et al. [1] proposed a new distance bounding protocol with the objective of being the best in terms of security, privacy, tag computational overhead and fault tolerance. In this paper, we analyze this protocol and we present a passive full disclosure attack, which allows an adversary to discover the long-term secret key of the tag. The presented attack is very relevant, since no security objectives are met in Kim et al.'s protocol. Then, design guidelines are introduced with the aim of facilitating protocol designers the stimulating task of designing secure and efficient schemes against relay attacks. Finally a new protocol, named Hitomi and inspired by [1], is designed conforming the guidelines proposed previously.

研究の動機と目的

• Kim らのスイス・ナイフ距離境界プロトコルのセキュリティを分析すること。このプロトコルは、同クラスにおいて最も安全で効率的であると主張されている。
• プロトコルが受動的フルディスクロージャー攻撃に対して脆弱であることを実証し、攻撃者がタグの長期的秘密鍵を、アクティブな相互作用なしに回収可能であることを示すこと。
• 特にテロリスト詐欺および受動的盗聴を念頭に置いた、リレイ攻撃に対して耐性のある、実用的でプライバシー保護を考慮した安全で効率的な距離境界プロトコルの設計ガイドラインを提供すること。
• 提案されたガイドラインを満たす新しいRFID距離境界プロトコル「Hitomi」を設計し、形式的に分析すること。このプロトコルは、現実的な制約下でも強力なセキュリティ保証を提供する。

提案手法

• 著者らは、スイス・ナイフプロトコルの形式的暗号解析を実施し、チャレンジ・レスポンス機構における欠陥を同定。この欠陥により、チャネル上の盗聴によって受動的に秘密鍵を回復可能である。
• チャネルのノイズによるビットエラーの確率を、誤り率 ω を持つベルヌーイ過程でモデル化。攻撃者と正当なタグのエラー確率（p_A および p_T）の表現を導出し、プロトコルの耐性を分析。
• 誤差確率と比 ℓ_T/ℓ_A（タグ対攻撃者信号強度）に基づき、誤分類確率をバインドするための閾値 τ をヘフディングの不等式を用いて導出。
• 閾値 τ は τ = n(5ω + 1)/4 − logρ/(6ω − 2) として計算され、ノイズ環境下での正当および悪意ある応答の区別に使用される。ここで ρ = ℓ_T/ℓ_A である。
• 分析に基づき、鍵の分離、チャレンジの再利用不可性、受動的鍵回収に対する耐性を強調する設計ガイドラインを導出。
• これらのガイドラインに従い、新しいチャレンジ・レスポンス構造を組み込んだHitomiプロトコルを設計。この構造により、受動的鍵漏洩が防止されつつ、RFIDタグの計算負荷は最小限に抑えられる。

実験結果

リサーチクエスチョン

• RQ1 Kim らのスイス・ナイフプロトコルは、同クラスで最も安全で効率的であると主張されているが、受動的盗聴攻撃に対して真に安全であると言えるか？
• RQ2 攻撃者がプロトコルの設計的欠陥を悪用することで、アクティブな参加や操作なしにタグの長期的秘密鍵を回収可能であるか？
• RQ3 特にテロリスト詐欺およびリレイ攻撃の文脈において、受動的フルディスクロージャー攻撃を許す、既存の距離境界プロトコルにおける重要な設計的欠陥は何か？
• RQ4 将来のRFID距離境界プロトコルが、アクティブおよび受動的攻撃の両方に対して安全であるように保証するための体系的設計原則は何か？
• RQ5 リソース制限のあるRFIDタグに適したまま、高いセキュリティ、効率性、プライバシー要件を満たす新しいプロトコルをどのように構築できるか？

主な発見

• スイス・ナイフプロトコルは、受動的フルディスクロージャー攻撃に対して脆弱であり、チャレンジ・レスポンスチャネルの盗聴のみでタグの長期的秘密鍵を回収可能である。
• 攻撃が成功する理由は、ノイズ下での繰り返しチャレンジ・レスポンスパターンにより、秘密鍵に関する十分な情報が漏洩しているためである。
• 導出された閾値 τ は、交換ビット数 n およびノイズ率 ω に敏感であり、n が増加するほど τ が増加し、ω が減少するほど τ が減少する。
• τ は比 ℓ_T/ℓ_A にともなって増加するため、より強い正当信号はノイズ下でのセキュリティを維持するため、より高い閾値を必要とする。
• 分析により、攻撃者が成功して秘密鍵を回収する確率は (ω + 1)/2 以上に下限づけられ、これは ω < 1/2 のとき、正当タグのエラー確率 2ω を上回る。
• 提案されたガイドラインに従って設計されたHitomiプロトコルは、受動的鍵漏洩に対して耐性を示し、同じ脅威モデル下でも強力なセキュリティ保証を維持する。形式的分析により、その耐性が確認されている。