[論文レビュー] Symbolic Protocol Analysis for Diffie-Hellman

Daniel J. Dougherty, Joshua D. Guttman|arXiv (Cornell University)|Feb 10, 2012

Advanced Authentication Protocols Security参考文献 33被引用数 5

ひとこと要約

この論文は、結合的・可換性の下での標準形に基づく代数的理論において、Diffie-Hellman (DH) 操作をモデル化することで、DHプロトコルの記号的プロトコル解析フレームワークを導入する。秘密の指数の出現を追跡する「インジケータ」——ベクトルとして定義される——を用いて、敵対者が新しいインジケータを持つメッセージを生成できないことを証明し、MQV や CF のようなプロトコルにおける機密性、認証、および前向き機密性といったセキュリティ特性の形式的検証を可能にする。

ABSTRACT

We extend symbolic protocol analysis to apply to protocols using Diffie-Hellman operations. Diffie-Hellman operations act on a cyclic group of prime order, together with an exponentiation operator. The exponents form a finite field. This rich algebraic structure has resisted previous symbolic approaches. We work in an algebra defined by the normal forms of a rewriting theory (modulo associativity and commutativity). These normal forms allow us to define our crucial notion of indicator, a vector of integers that summarizes how many times each secret exponent appears in a message. We prove that the adversary can never construct a message with a new indicator in our adversary model. Using this invariant, we prove the main security goals achieved by several different protocols that use Diffie-Hellman operators in subtle ways. We also give a model-theoretic justification of our rewriting theory: the theory proves all equations that are uniformly true as the order of the cyclic group varies.

研究の動機と目的

• Diffie-Hellman 操作の代数的豊かさを扱えるように記号的プロトコル解析を拡張すること。これは、従来の手法が有限体構造に基づくため、形式化に失敗していた。
• 無限に多くの DH 構造で有効な代数的等式をすべて使用可能な一様な敵対者モデルを定義すること。これは、決定的 Diffie-Hellman 偽説に反映される。
• すべての DH 構造で真である方程式を捉える、AC（結合的・可換性）に関する書き換えシステムを構築すること。これにより、健全かつ完全な推論が可能になる。
• 敵対者が新しいインジケータ・ベクトルを持つメッセージを生成できないことを証明し、セキュリティ目標の検証に不可欠な不変量を確立すること。
• MQV や CF を含む、3 つの暗黙的認証付き DH プロトコルにおいて、12 個のセキュリティ特性を、統一的かつ原理的かつ明示的な方法で形式的に検証すること。

提案手法

• 論文は、無限に多くの DH 構造で有効なすべての方程式を捉えるために、超積構成を用いたモデル理論的構造 $\mathcal{M}_D$ を構築する。
• AC に関する終着性および合流性を持つ書き換えシステムとして提示された等式理論 $\mathsf{AG}\hat{}$ を定義し、その標準形がプロトコルのメッセージを表す。
• 理論が、$s = t$ が $\mathcal{M}_D$ で論理的に有効であることと、$s$ と $t$ が $\mathsf{AG}\hat{}$ に関して同じ標準形に簡約されることとが同値であることを証明し、健全性と完全性を保証する。
• 秘密の指数がメッセージの指数に現れる回数を数えるベクトルとしての「インジケータ」の概念を導入し、秘密情報の流れを追跡する。
• 敵対者モデルは、Dolev-Yao 敵対者に $\mathsf{AG}\hat{}$ に従う関数を追加したものであり、すべての DH 構造で真であるが、有限個を除くすべての構造で真である等式を自由に使用できる。
• この方法により、敵対者が送信するいかなるメッセージについても、そのインジケータが以前のメッセージにすでに存在することが証明され、重要な不変量が確立される。

実験結果

リサーチクエスチョン

• RQ1 記号的プロトコル解析は、素数位数の有限体を伴う Diffie-Hellman キー交換の代数的複雑性を扱えるように拡張可能か？
• RQ2 AC に関する自動化された書き換えによる推論を可能にする、DH 操作の健全かつ完全な等式理論は存在するか？
• RQ3 敵対者が DH メッセージ内の秘密の指数について新しい情報を生成できないことを保証する形式的不変量は確立可能か？
• RQ4 このフレームワークは、暗黙的認証付き DH プロトコルにおいて、機密性、認証、および前向き機密性といった複数のセキュリティ特性を同時に検証可能か？
• RQ5 無限に多くの DH 構造で真である等式に依存する敵対者モデルは、DDH 仮説のような現実的な計算的仮定に対応しているか？

主な発見

• 等式理論 $\mathsf{AG}\hat{}$ は、AC に関して終着性および合流性を満たし、プロトコルのメッセージの有効な正規化を可能にする。
• 理論 $\mathsf{AG}\hat{}$ は完全性を満たす：$s = t$ が $\mathcal{M}_D$ で成り立つのは、$s$ と $t$ が $\mathsf{AG}\hat{}$ に関して同じ標準形に簡約されるときである。
• インジケータ不変量により、敵対者が送信するいかなるメッセージについても、そのインジケータが以前のメッセージにすでに存在することが保証され、秘密情報の新規生成が防止される。
• 敵対者モデルはモデル理論的に正当化されている：無限に多くの DH 構造で一様に真である方程式を正確に捉えており、DDH 仮説と整合する。
• この方法は、UM、CF、MQV の3つのプロトコルにおいて、12個ほどのセキュリティ特性を形式的に検証し、従来の試みが失敗した、あるいは特例的であった部分を包括的に証明した。
• このフレームワークは、DH に基づく他の代数的プリミティブ（例：双線形ペアリング）へも拡張可能であり、幾何論理のモデル探索による機械化を支援する。