[논문 리뷰] Cryptanalysis of Key Issuing Protocols in ID-based Cryptosystems

Raju Gangishetti, M. Choudary Gorantla외 2명|ArXiv.org|2005. 06. 06.

Cryptography and Data Security참고 문헌 2인용 수 4

한 줄 요약

이 논문은 키 양도 프로토콜인 Lee et al.의 것과 Sui et al.의 것을 암호분석하여, 신원 위조, 내부자 공격, 키 기밀성의 결여 등 심각한 취약점을 드러낸다. 저자들은 두 프로토콜이 신원을 일시적 값에 바인딩하지 못함으로써 악성 공격자가 프로토콜 메시지의 망각적 조작을 통해 개인 키를 위조하고 서명을 위조할 수 있음을 입증한다.

ABSTRACT

To remove key escrow problem and avoid the need of secure channel in ID based cryptosystem Lee et al. proposed a secure key issuing protocol. However we show that it suffers from impersonation, insider attacks and incompetency of the key privacy authorities. We also cryptanalyze Sui et al.'s separable and anonymous key issuing protocol.

연구 동기 및 목표

• 키 양도 요구 사항과 키 비밀번호를 제거하기 위해 설계된 Lee et al.의 키 양도 프로토콜의 보안 결함을 식별하고 분석하기 위해.
• 신원과 일시적 공개 값 간의 바인딩이 없기 때문에, 공격자가 신원을 위조할 수 있는 공격에 취약한 프로토콜임을 입증하기 위해.
• 손상된 키 기밀성 기관(KPA)이 블라인드된 입력을 조작하여 임의의 메시지에 대해 서명을 위조할 수 있는 내부 위협을 폭 드러내기 위해.
• 중간 단계 프로토콜 매개변수 검증에 실패하여 공격자가 감지되지 않게 조작할 수 있는 KPA의 무능함을 조사하기 위해.
• Sui et al.의 분리 가능하고 익명성 보장 키 양도 프로토콜로의 암호분석을 확장하여 유사한 심각한 결함을 드러내기 위해.

제안 방법

• 시스템 설정, 공개 키 생성, 키 양도, 키 보호, 키 회수 단계별로 Lee et al.의 프로토콜를 분석한다.
• 사용자의 일시적 공개 키 $X = xP$ 를 위조된 $X^* = x^*P$ 로 대체함으로써 신원 위조 공격을 구성한다. 이는 $ID$ 와의 바인딩이 없어 감지되지 않는다.
• KPA가 블라인드된 서명을 조작하여 블라인드된 메시지 $Q_{i-1}^* = rH(m)$ 를 전송하고 다음 KPA가 이를 서명하도록 속이는 내부자 공격을 수행한다.
• KPA가 매개변수 $Q_{i-1}^* = r^*Q_{i-1}$ 과 $Sig_{i-1}(Q_{i-1}^*) = r^*Sig_{i-1}(Q_{i-1})$ 를 검증 없이 맹목적으로 확인하고 서명함으로써 KPA의 무능함을 입증한다.
• Sui et al.의 프로토콜을 분석하기 위해 (ID, 비밀번호) 쌍의 데이터베이스를 악용하고, 공격자가 데이터베이스를 탈취한 후 사용자를 위조할 수 있음을 보여준다.
• Sui et al.의 프로토콜에서 KGC의 블라인드 서명 행동을 폭 드러내며, $Q^* = r^*Q$, $T^* = r^{*-1}T$ 인 경우 $e(Q^*, T^*) = e(H(ID), H(pwd))$ 를 검증함으로써 위조된 개인 키를 생성할 수 있음을 보여준다.

실험 결과

연구 질문

• RQ1 공격자가 감지되지 않게 일시적 공개 키 $X$ 를 조작함으로써 Lee et al.의 프로토콜에서 정당한 사용자를 위조할 수 있는가?
• RQ2 손상된 키 기밀성 기관(KPA)이 블라인드된 입력을 조작하여 원하는 메시지에 대해 서명을 위조할 수 있는가?
• RQ3 키 보호 단계 동안 중간 매개변수를 조작할 수 있는 공격자가 검증이 없이 감지되지 않게 조작할 수 있는가?
• RQ4 Sui et al.의 프로토콜이 KGC의 (ID, 비밀번호) 데이터베이스가 탈취된 경우 도용자 검증 공격에 취약한가?
• RQ5 Sui et al.의 시스템 내부자 공격자가 블라인드 서명 메커니즘을 악용하여 $Q$ 및 $T$ 매개변수를 조작함으로써 개인 키를 위조할 수 있는가?

주요 결과

• Lee et al.의 프로토콜는 KGC가 신원 $ID$ 를 일시적 공개 키 $X$ 와 바인딩하지 않기 때문에 신원 위조 공격에 취약하다. 이로 인해 공격자는 $X$ 를 $X^* = x^*P$ 로 교체할 수 있다.
• 내부자 KPA는 블라인드된 메시지 $rH(m)$ 를 전송하고 다음 KPA가 이를 서명하도록 속임으로써 임의의 메시지에 대해 서명을 위조할 수 있으며, 결과적으로 유효한 서명 $s_i H(m)$ 을 생성할 수 있다.
• 키 기밀성 기관은 매개변수 $Q_{i-1}^* = r^*Q_{i-1}$ 과 $Sig_{i-1}(Q_{i-1}^*) = r^*Sig_{i-1}(Q_{i-1})$ 를 검증 없이 맹목적으로 확인하고 서명함으로써 무능함을 드러내며, 이는 프로토콜에서 감지되지 않는다.
• Sui et al.의 프로토콜는 도용자 검증 공격에 취약하다. 공격자가 KGC의 (ID, 비밀번호) 쌍 데이터베이스를 탈취하면, 등록된 사용자 중 누구라도 위조할 수 있고 개인 키를 요청할 수 있다.
• Sui et al.의 프로토콜에서 KGC는 위조된 매개변수 $Q^* = r^*Q$ 와 $T^* = r^{*-1}T$ 를 블라인드로 서명하며, 이는 검증 식 $e(Q^*, T^*) = e(H(ID), H(pwd))$ 를 충족하여 유효한 개인 키 $S^* = sQ^*$ 를 생성한다.
• 두 프로토콜 모두 개인 키 생성 중간 값의 무결성을 확보하지 못해 활성 공격자가 존재하는 환경에서는 보안성이 확보되지 않는다.