[論文レビュー] Take a Bite of the Reality Sandwich: Revisiting the Security of Progressive Message Authentication Codes

Eric Wagner, Jan Bauer+1 more|arXiv (Cornell University)|Mar 15, 2021

Network Security and Intrusion Detection参考文献 74被引用数 5

ひとこと要約

この論文は、既存のプログレッシブメッセージ認証コード（ProMACs）における深刻な脆弱性を特定し、攻撃者がたった2つのパケットを破棄するだけで、全メッセージ列の整合性を損なえるという、『サンドイッチ攻撃』と呼ぶ攻撃を特定している。これを是正するため、著者らは、タグ検証を逐次的メッセージ整合性から分離するランダム化された依存モデルR2-D2を提案し、XOR演算を用いた軽量実装であるSP-MACを提案している。SP-MACは、パケット損失やネットワークレベルの攻撃に対しても高い耐性を示しながら、リソース使用量を低く抑え、従来の安全でないProMAC方式と同等の効率性を維持している。

ABSTRACT

Message authentication guarantees the integrity of messages exchanged over untrusted channels. However, to achieve this goal, message authentication considerably expands packet sizes, which is especially problematic in constrained wireless environments. To address this issue, progressive message authentication provides initially reduced integrity protection that is often sufficient to process messages upon reception. This reduced security is then successively improved with subsequent messages to uphold the strong guarantees of traditional integrity protection. However, contrary to previous claims, we show in this paper that existing progressive message authentication schemes are highly susceptible to packet loss induced by poor channel conditions or jamming attacks. Thus, we consider it imperative to rethink how authentication tags depend on the successful reception of surrounding packets. To this end, we propose R2-D2, which uses randomized dependencies with parameterized security guarantees to increase the resilience of progressive authentication against packet loss. To deploy our approach to resource-constrained devices, we introduce SP-MAC, which implements R2-D2 using efficient XOR operations. Our evaluation shows that SP-MAC is resilient to sophisticated network-level attacks and operates as resources-conscious and fast as existing, yet insecure, progressive message authentication schemes.

研究の動機と目的

• パケット損失またはネットワークレベルの攻撃下における、既存のプログレッシブメッセージ認証コード（ProMACs）のセキュリティ上の弱みを特定し、分析すること。
• ProMACsにおけるタグ検証の整合性に及ぼすパケット損失の副作用が、全メッセージ列の整合性を損なうという問題を解決すること。
• タグ検証を逐次的メッセージ依存関係から分離することで、大規模な整合性障害を防ぐ、耐障害性の高いパrameterized依存モデルを設計すること。
• 制限されたデバイスに適したリソース効率の良いProMAC方式を設計し、パフォーマンスを犠牲にせずに高いセキュリティを維持すること。
• 高度なネットワークレベルの攻撃に対して、計算コストおよび帯域幅のオーバーヘッドを最小限に抑えつつも、提案手法の耐性を評価すること。

提案手法

• Golomb定理を用いて最適なメッセージ依存関係を定義し、所定のセキュリティレベルで検証遅延を最小限に抑える、汎用的なフレームワークR2-D2を提案する。
• R2-D2にランダム化されたビット依存関係を導入し、非連続なメッセージにわたるタグ検証を分散させることで、予測可能性と攻撃表面を低減する。
• 必要に応じて即時の保護ビットを組み込み、完全な依存関係チェーンが構築される前でも早期の検証保証を提供する。
• リソース制限のあるデバイスでの計算コストを最小限に抑えるために、効率的なXORベースの演算を用いたR2-D2の具体的実装であるSP-MACを設計する。
• 直接的なメッセージ列に依存するのではなく、非隣接パケットにわたる依存関係を分散させることで、タグ検証を直接的なメッセージ順序から分離する。これにより、1つのパケット損失が全列の無効化を引き起こすのを防ぐ。
• 既存の安全なMAC方式を構築ブロックとして採用し、XORを介して複数のメッセージにその出力を集約・分散させることで、強いセキュリティ保証を維持する。

実験結果

リサーチクエスチョン

• RQ1 既存のProMAC方式は、ジャミング攻撃などの標的的パケット損失やネットワークレベルの干渉に耐えられるか。
• RQ2 ProMACタグの逐次的依存関係が、2つの戦略的に選ばれたパケットを破棄することで全メッセージ列の整合性を損なう『サンドイッチ攻撃』に対して、どの程度脆弱であるか。
• RQ3 パケット損失に対する耐性を高めつつ、検証遅延と強いセキュリティ保証を維持するため、タグ依存関係をどのように再設計できるか。
• RQ4 パフォーマンスが不正な先行プロトコルと同等である、安全でリソースに配慮したProMAC方式を設計できるか。
• RQ5 ランダム化された依存関係とパrameterizedセキュリティレベルは、現実のチャネル環境下でのプログレッシブ認証の強靭性をどのように向上させるか。

主な発見

• 既存のProMAC方式は、攻撃者がたった2つの適切に選ばれたパケットを破棄するだけで、全メッセージ列の整合性保護を無効化できる『サンドイッチ攻撃』に対して脆弱である。
• 現在のProMACsの依存構造は、過去のメッセージのスライディングウインドウに依存しており、パケット損失下で深刻な単一障害点を形成する。
• R2-D2は、Golomb定理を用いて最適で非連続なメッセージ依存関係を定義することで、検証遅延と攻撃表面を大幅に低減し、耐障害性を向上させる。
• R2-D2におけるランダム化された依存モデルは、予測可能性を低下させ、攻撃者が最小限の干渉で複数のメッセージを確実に損なうのを防ぐ。
• SP-MACは、既存のProMACsと同等の検証遅延を実現しながら、高度なネットワークレベルの攻撃およびパケット損失に対しても完全な整合性保護を提供する。
• SP-MACは、現在の安全でないProMAC方式と同等にリソースに配慮し、高速に動作するため、産業制御システムや無線センサネットワークなどの帯域幅・エネルギー・レイテンシ制限のある環境への展開に適している。