[논문 리뷰] Cryptanalysis of Khatoon et al.'s ECC-based Authentication Protocol for Healthcare Systems

Mahdi Nikooghadam, Haleh Amintoosi|arXiv (Cornell University)|2019. 06. 20.

Advanced Authentication Protocols Security참고 문헌 6인용 수 8

한 줄 요약

이 논문은 텔레케어 의료 시스템을 위한 Khatoon 등이 제안한 ECC 기반 인증 프로토콜을 암호분석하여, 알려진 세션 특정 일시적 정보 공격에 취약하고 완벽한 후행 기밀성(Perfect Forward Secrecy)이 없음을 입증한다. 저자들은 공개적으로 전송된 매개변수와 서버의 비밀키를 악용하여 공격자가 세션 키를 복구할 수 있음을 보여주며, 이는 프로토콜의 핵심 보안 보장을 약화시킨다.

ABSTRACT

Telecare medical information systems are gaining rapid popularity in terms of providing the delivery of online health-related services such as online remote health profile access for patients and doctors. Due to being installed entirely on Internet, these systems are exposed to various security and privacy threats. Hence, establishing a secure key agreement and authentication process between the patients and the medical servers is an important challenge. Recently, Khatoon et.al proposed an ECC-based unlink-able authentication and key agreement method for healthcare related application in smart city. In this article, we provide a descriptive analysis on their proposed scheme and prove that Khatoon et al.'s scheme is vulnerable to known-session-specific temporary information attack and is not able to provide perfect forward secrecy.

연구 동기 및 목표

• 텔레케어 의료 정보 시스템(TMIS)을 위한 Khatoon 등이 제안한 ECC 기반 인증 및 키 합의 프로토콜의 보안을 분석하는 것.
• 프로토콜 설계상의 결함이 주장된 보안 성질을 약화시키는 방식을 규명하는 것.
• 프로토콜이 알려진 세션 특정 일시적 정보 공격에 취약함을 입증하는 것.
• 장기 비밀키가 유출된 경우에도 완벽한 후행 기밀성이 제공되지 않음을 증명하는 것.
• 실세계 위협 모델에서 프로토콜의 불안정성을 뒷받침하는 공식적인 암호분석적 증거를 제공하는 것.

제안 방법

• 그들의 계획과 그림 1에 따라 Khatoon 등이 제안한 프로토콜의 등록 및 인증 단계를 분석한다.
• 공격자가 접근할 수 있는 공개 전송 매개변수인 $ R_i $, $ T_i $, $ T_s $, $ R_s $, $ L_s $ 를 식별한다.
• 공격자가 $ r_s $ 와 $ R_i $ 를 확보한 것으로 가정하여 알려진 세션 특정 일시적 정보 공격을 모델링한다. 이 경우 $ L_s = r_s \times R_i $ 를 계산할 수 있다.
• 세션 키 $ SK_i = h(T_i || R_i || T_s || R_s || L_s) $ 가 공개 매개변수만으로도 공격자가 재구성할 수 있음을 보여준다.
• 완벽한 후행 기밀성의 결여를 입증하기 위해 서버의 비밀키 $ s $ 가 유출된 것으로 가정한다. 이 경우 $ K_s = e(s, R_i \times P) $ 를 계산할 수 있으며, 이는 $ K_i $ 와 동일하다. 따라서 $ Auth_i $ 를 복호화하고 $ r_i $ 를 추출할 수 있다.
• 공격자가 $ L_i = r_i \times R_s $ 를 계산할 수 있으며, 이는 $ L_s $ 와 수학적으로 동일하므로 공격자는 공개 정보와 泄露된 정보만으로도 전체 세션 키를 복구할 수 있음을 증명한다.

실험 결과

연구 질문

• RQ1 Khatoon 등이 제안한 ECC 기반 인증 프로토콜은 알려진 세션 특정 일시적 정보 공격에 대해 안전한가?
• RQ2 장기 비밀키가 손상된 상황에서도 프로토콜은 완벽한 후행 기밀성을 제공하는가?
• RQ3 공격자가 공개 매개변수와 서버의 비밀키를 안다면 세션 키를 복구할 수 있는가?
• RQ4 키 유도 및 인증 메커니즘의 특정 설계 결함이 이러한 취약성의 원인이 되는가?
• RQ5 프로토콜은 후행 기밀성 및 세션 키 복구 저항성과 같은 기본 보안 요구사항을 얼마나 충족하지 못하는가?

주요 결과

• 공격자가 $ r_s $ 와 공개 매개변수를 안다면 $ L_s = r_s \times R_i $ 를 계산할 수 있으므로, 프로토콜은 알려진 세션 특정 일시적 정보 공격에 취약하다.
• 세션 키 $ SK_i = h(T_i || R_i || T_s || R_s || L_s) $ 는 공격자가 $ r_s $, $ R_i $, $ T_i $, $ T_s $, $ R_s $, $ L_s $ 를 모두 확보한 경우, 공개 매개변수만으로도 재계산할 수 있다. 이 모든 값들은 공개 전송되거나 유도 가능하다.
• 서버의 비밀키 $ s $ 가 손상된 경우, 공격자는 $ K_s = e(s, R_i \times P) $ 를 계산할 수 있으며, 이는 $ K_i $ 와 동일하다. 따라서 $ Auth_i $ 를 복호화하고 $ r_i $ 를 추출할 수 있다.
• 공격자가 $ r_i $ 를 확보한 후 $ L_i = r_i \times R_s $ 를 계산할 수 있으며, 이는 $ L_s = r_s \times R_i $ 와 수학적으로 동일하므로, 공격자는 전체 세션 키의 모든 구성 요소를 복구할 수 있다.
• 키 유도 메커니즘이 후행 기밀성을 보장하지 못하는 이유는 세션 키가 장기 비밀키 노출에 노출된 일시적 값에 의존하기 때문이다.
• 분석 결과, 프로토콜이 주장하는 보안 성질—특히 후행 기밀성 및 세션 키 복구 저항성—은 표준 위협 모델 하에서 충족되지 않음을 확인했다.