[논문 리뷰] Cryptanalysis of Song's advanced smart card based password authentication protocol

Juan Tapiador, Julio Hernández-Castro외 2명|arXiv (Cornell University)|2011. 11. 11.

Advanced Authentication Protocols Security참고 문헌 9인용 수 15

한 줄 요약

이 논문은 송의 고도로 발전된 스마트 카드 기반 암호 인증 프로토콜을 암호분석하여, 이 프로토콜이 주장한 보안 성질을 달성하지 못한다는 것을 입증한다. 저자들은 오프라인 암호 추측 공격을 제시하여 암호의 엔트로피를 감소시키며, 정적 암호화 키와 점진적 해시 함수로 인해 전방 비밀성 결여 및 취약성 노출을 드러낸다. 이는 설계적 주장에도 불구하고 프로토콜의 보안을 약화시킨다.

ABSTRACT

Song \cite{Song10} proposed very recently a password-based authentication and key establishment protocol using smart cards which attempts to solve some weaknesses found in a previous scheme suggested by Xu, Zhu, and Feng \cite{XZF09}. In this paper, we present attacks on the improved protocol, showing that it fails to achieve the claimed security goals.

연구 동기 및 목표

• 송이 자신의 개선된 암호 인증 프로토콜에 대해 제기한 보안 주장 분석.
• 프로토콜의 명시된 보안 목표에 위배되는 취약점 식별 및 악용.
• 프로토콜이 암호 엔트로피를 보호하지 못하고 전방 비밀성을 결여한다는 것을 입증.
• 손상된 스마트 카드와 도청된 메시지를 통해 전체 위조 및 세션 키 복구 가능성을 보여줌.
• 고정된 세션 키와 점진적 해시 함수의 비안전한 사용과 같은 설계 결함 강조.

제안 방법

• 스마트 카드에 저장된 데이터, 즉 $B_A$ 및 $h(ID^x \mod p)$를 추출하여 암호를 복구하는 오프라인 암호 추측 공격 수행.
• 복구된 $K_A = h(ID^x \mod p)$를 사용하여 $W_A = E_{K_A}(R_A \oplus T_A)$를 복호화하고 $R_A$ 복구.
• 다시 계산한 $C_A = h(T_A \parallel R_A \parallel W_A \parallel ID_A)$를 전송된 $C_A$와 비교하여 추측한 암호의 정확성을 검증.
• 점진적 해시 함수(예: 메르클-담가르드)를 악용하여 $T_S$를 변경하면서도 해시 출력을 유지함으로써 $C_S = h(ID_A \parallel R_A \parallel T_S)$를 조작.
• 동일한 $K_A$가 모든 세션에서 재사용되므로 전방 비밀성이 떨어지며, $K_A$가 손상되면 이전 세션 키를 모두 복구할 수 있음.
• 암호 변경 후에도 공격자가 카드를 클론하고 사용자를 위조할 수 있음. 이는 고정된 $K_A$가 그대로 유지되기 때문이다.

실험 결과

연구 질문

• RQ1 공격자가 스마트 카드에 저장된 데이터만을 사용하여 송의 프로토콜에 대해 오프라인 암호 추측 공격을 수행할 수 있는가?
• RQ2 설계적 주장에도 불구하고 프로토콜이 암호 엔트로피를 유지하는가?
• RQ3 점진적 해시 함수의 사용으로 인해 재전송 또는 위조 공격에 취약한가?
• RQ4 암호 또는 $K_A$가 손상되었을 경우 프로토콜이 완벽한 전방 비밀성을 제공하는가?
• RQ5 사용자가 암호를 변경한 후에도 공격자가 스마트 카드를 클론하고 정상 사용자를 위조할 수 있는가?

주요 결과

• 프로토콜이 암호 엔트로피를 감소시키므로 오프라인 암호 추측 공격이 가능하며, 공격자는 스마트 카드에 저장된 데이터만으로도 암호를 복구할 수 있다.
• 동일한 $K_A = h(ID^x \mod p)$가 모든 세션에서 재사용되므로 프로토콜은 완벽한 전방 비밀성을 제공하지 않으며, $K_A$가 손상되면 이전 모든 세션 키를 복구할 수 있다.
• 점진적 해시 함수(예: 메르클-담가르드)의 사용으로 인해 공격자가 시간표시 $T_S$를 조작하면서도 해시 출력을 유지함으로써 $C_S$를 위조할 수 있으며, 이는 세션 키 불일치와 통신 실패를 초래한다.
• 암호 변경 후에도 공격자는 고정된 $K_A$가 그대로 유지되므로 여전히 사용자를 위조할 수 있으며, 암호 재설정 조치가 무력화된다.
• 이 프로토콜은 복구 불가능성 결함이 있다: 장기 키 $K_A$를 취소하거나 업데이트할 수 있는 메커니즘이 없어, 손상 후 보안 복구가 불가능하다.
• 메시지 위조 및 사용자 및 서버 모두의 위조 가능성을 입증함으로써, 상호 인증 및 키 설정을 안전하게 달성하지 못한다.