[論文レビュー] The Hsu-Harn-Mu-Zhang-Zhu group key establishment protocol is insecure

Chris J. Mitchell|arXiv (Cornell University)|Mar 14, 2018

Security in Wireless Sensor Networks参考文献 2被引用数 3

ひとこと要約

この論文は、Hsu-Harn-Mu-Zhang-Zhu (HHMZZ) グループ鍵確立プロトコルにおける深刻なセキュリティ脆弱性を示しており、悪意ある内部者（insider）が任意のグループ鍵を偽装し、被害者をその鍵を受け入れさせることを可能にしている。攻撃は、単一で変更可能な認証タグに依存するプロトコルの設計的欠陥を利用しており、その結果、主張されるセキュリティ特性（鍵機密性および認証性）は完全に無効化されている。

ABSTRACT

A significant security vulnerability in a recently published group key establishment protocol is described. This vulnerability allows a malicious insider to fraudulently establish a group key with an innocent victim, with the key chosen by the attacker. This shortcoming is sufficiently serious that the protocol should not be used.

研究の動機と目的

• HHMZZグループ鍵確立プロトコルにおける根本的なセキュリティ脆弱性を特定・分析すること。
• 悪意ある内部者攻撃モデル下で、プロトコルが鍵認証および機密性を提供しないことを実証すること。
• 認証タグメカニズムにおける可塑性（malleability）問題により、プロトコルのセキュリティ主張が無効であることを示すこと。
• プロトコルに深刻な欠陥が存在するため、実用的導入を避けるべきであることを警告すること。
• 特にグループ鍵確立分野において、形式的セキュリティモデリングの不足が引き起こす広範な問題を強調すること。

提案手法

• 攻撃者は、鍵生成センター（KGC）から被害者ユーザー $U_v$ へ送信される最終ブロードキャストを傍受・改ざんできる悪意ある内部ユーザー $U_m$ を想定する。
• 攻撃者は、認証タグ $\text{Auth}$、$r_0$、およびグループ鍵共有値 $u_i$ を含むKGCのブロードキャストを傍受する。
• 攻撃者は希望するグループ鍵 $S^*$ を選択し、整合性を保つために被害者の共有値を $u_v^* = u_v - S + S^*$ として再計算する。
• 攻撃者は、$S^*$ と $u_v^*$ を用いて新たな認証タグ $\text{Auth}^*$ を計算し、他の入力は変更しない。
• 改ざんされたブロードキャストが被害者に送信され、$\text{Auth}^*$ が検証され、偽造された鍵 $S^*$ が正当とみなされて受容される。
• 攻撃が成功するのは、検証プロセスが鍵 $S$ を個々のユーザーの秘密 $x_i$ に強く束縛しておらず、鍵置換攻撃を防げないためである。

実験結果

リサーチクエスチョン

• RQ1 HHMZZプロトコルにおける悪意ある内部者が、検出されずに任意のグループ鍵を偽装可能か？
• RQ2 プロトコルの認証メカニズムは、内部者による鍵置換攻撃を防止できるか？
• RQ3 なぜ、主張されるセキュリティ特性にもかかわらず、プロトコルは鍵認証に失敗するのか？
• RQ4 認証タグ構築における特定の設計的欠陥が、どのように鍵の可塑性を引き起こしているのか？
• RQ5 形式的セキュリティモデルおよび厳密な証明の欠如が、なぜプロトコルの脆弱性を助長しているのか？

主な発見

• 悪意ある内部者は、グループ鍵を任意の値に完全に置換可能であり、被害者はその鍵を正当と受容する。
• 攻撃が成功するのは、認証タグ $\text{Auth}$ が値の線形結合に基づいて計算されているため、鍵置換に対して可塑性を示すからである。
• プロトコルが主張する鍵認証は無効であり、内部者が誰の長期秘密も知らずに、異なる鍵に対して有効なタグを偽造できる。
• 攻撃者が被害者が制御する鍵を使用させることで、プロトコルは鍵機密性を満たさない。
• 脆弱性の原因は、認証メカニズムにおいてグループ鍵 $S$ と個々のユーザーの秘密 $x_i$ の間に束縛がないことにある。
• 元のプロトコル設計における形式的セキュリティモデルおよび厳密な証明の欠如が、この根本的欠陥が検出されない原因となった。