[논문 리뷰] A Study On ID-based Authentication Schemes for Telecare Medical Information System

Dheerendra Mishra|arXiv (Cornell University)|2013. 11. 01.

Advanced Authentication Protocols Security참고 문헌 20인용 수 11

한 줄 요약

이 논문은 원격의료정보시스템(TMIS)을 위한 최근의 신원기반 인증 체계를 분석하여 로그인 및 암호 변경 단계에서 심각한 결함을 밝혀내며, 비효율적인 단계가 서비스 거부 공격과 통신/계산 오버헤드 증가로 이어짐을 입증한다. 이는 시스템의 확장성과 성능을 향상시키기 위해 안전하고 효율적이며 사용자 친화적인 설계를 권장한다.

ABSTRACT

The smart card based authentication schemes are designed and developed to ensure secure and authorized communication between remote user and the server. In recent times, many smart card based authentication schemes for the telecare medical information systems (TMIS) have been presented. In this article, we briefly discuss some of the recently published smart card based authentication schemes for TMIS and try to show why efficient login and password change phases are required. In other word, the study demonstrates how inefficient password change phase leads to denial of server attack and how inefficient login phase increase the communication and computation overhead and decrease the performance of the system.

연구 동기 및 목표

• 원격의료정보시스템(TMIS)을 위한 최근에 제안된 신원기반 인증 체계의 보안성과 효율성을 분석하기 위해.
• 기존 체계의 로그인 및 암호 변경 단계에서 성능 및 보안 측면에서의 취약점을 특정하기 위해.
• 비효율적인 로그인 및 암호 변경 메커니즘이 서비스 거부 공격과 증가한 시스템 오버헤드로 이어지는 방식을 입증하기 위해.
• TMIS에서 확장 가능하고 효율적이며 사용자 친화적인 인증 프로토콜 설계를 촉진하기 위해, 강력한 보안성과 시스템 성능을 확보하기 위함이다.

제안 방법

• Wei et al. [16], Zhu [21], Lee and Liu [8], Lin [10], Cao and Zhai [2], Xie et al. [18], Xu et al. [20]의 최근 TMIS 인증 체계 7종에 대한 체계적 검토 및 분석.
• 각 체계의 로그인 및 암호 변경 단계에 대한 공식적인 보안 분석을 수행하며, 입력 검증 및 프로토콜 흐름에 중점을 둔다.
• 잘못된 입력 시나리오(예: 잘못된 암호 또는 ID)의 시뮬레이션을 통해 프로토콜의 내구성 평가를 위한 결함 식별.
• 실패한 로그인 시도로 인한 통신 및 계산 오버헤드 측정을 통해 프로토콜 효율성 평가.
• 세션 키 유도 및 메시지 무결성 검사에서의 일관성 결여를 탐지하기 위해 암호화 검증 단계 활용.
• 재생 공격, 내부자 공격, 오프라인 추측 공격에 대한 저항성 등을 포함한 표준화된 표를 활용해 체계 간 보안 속성 비교.

실험 결과

연구 질문

• RQ1 TMIS 인증 체계에서 비효율적인 로그인 단계는 시스템 성능과 자원 소비에 어떤 영향을 미치는가?
• RQ2 결함이 있는 암호 변경 단계는 정상 사용자에게 어떻게 서비스 거부 공격을 유도할 수 있는가?
• RQ3 기존 체계는 왜 인증 세션을 시작하기 전에 사용자 입력을 검증하지 못하는가?
• RQ4 최근 TMIS 체계의 로그인 및 암호 변경 단계에서 특정한 암호화 및 프로토콜 수준의 약점은 무엇인가?
• RQ5 입력 검증 실패가 TMIS 인증에서 불필요한 통신 및 계산 오버헤드를 어떻게 초래하는가?

주요 결과

• Xu et al. [20] 및 Lee and Liu [8]와 같은 체계의 비효율적인 로그인 단계는 사용자 입력을 인증 세션을 시작하기 전에 검증하지 않아 잘못된 암호나 ID로도 불필요한 세션 시작을 유도한다.
• 잘못된 입력은 인증 실패를 초래하지만, 프로토콜는 여전히 전체적인 통신 및 계산 오버헤드를 유발하여 시스템 부하와 네트워크 트래픽 증가를 초래한다.
• Wei et al. [16] 및 Zhu [21]와 같은 체계의 암호 변경 단계는 서비스 거부 공격에 취약하며, 사용자가 암호를 성공적으로 업데이트할 수 없어 영구적으로 잠금걸림 상태가 된다.
• 입력 검증 기능이 없는 체계는 반복적인 실패한 로그인 시도를 허용하여 서버에 유효하지 않은 요청이 폭주하게 되어 시스템 성능 저하와 계산 자원 낭비를 초래한다.
• Chen et al. [3], Cao and Zhai [2]와 같은 몇몇 체계만이 효율적이고 사용자 친화적인 암호 변경을 지원하지만, 대부분의 체계는 오프라인 암호 추측 또는 신원 추측 공격을 방지하지 못한다.
• 본 연구는 효율적인 로그인 및 암호 변경 단계가 TMIS의 확장성, 성능 및 사용자 신뢰 확보를 위해 필수적임을 결론 내리며, 여러 기존 체계가 이러한 측면에서 부족함을 보이고 있음을 밝힌다.