[논문 리뷰] Cryptanalysis of the SASI Ultralightweight RFID Authentication Protocol with Modular Rotations

Julio Hernández-Castro, Juan Tapiador외 2명|ArXiv.org|2008. 11. 26.

RFID technology advancements참고 문헌 9인용 수 46

한 줄 요약

이 논문은 모듈로 회전을 사용하는 SASI 초경량 RFID 프로토콜에 대한 수동 캐릭터 분석 공격을 제시하며, 타겟의 비밀 ID에서 최대 6비트를 도청된 세션을 통해 복구할 수 있음을 입증한다. 공격은 회전 및 모듈로 산술 연산에서 발생하는 구조적 취약점을 악용하여 충분한 세션 관찰을 통해 전체 비밀 ID를 복구할 수 있으며, 비트단위 OR 연산과 비균일한 메시지 분포를 사용한 프로토콜 설계의 결함을 드러낸다.

ABSTRACT

In this work we present the first passive attack over the SASI lightweight authentication protocol with modular rotations. This can be used to fully recover the secret $ID$ of the RFID tag, which is the value the protocol is designed to conceal. The attack is described initially for recovering $\lfloor log_2(96) floor=6$ bits of the secret value $ID$, a result that by itself allows to mount traceability attacks on any given tag. However, the proposed scheme can be extended to obtain any amount of bits of the secret $ID$, provided a sufficiently large number of successful consecutive sessions are eavesdropped. We also present results on the attack's efficiency, and some ideas to secure this version of the SASI protocol.

연구 동기 및 목표

• 모듈로 회전이 히프만 무게 기반 회전 대신 사용될 경우 SASI 프로토콜의 보안성을 분석하기 위해.
• 비삼각형 연산과 편향된 메시지 분포로 인해 발생하는 프로토콜 메시지 구성의 구조적 취약점을 식별하고 악용하기 위해.
• 연속된 인증 세션에 대한 도청을 통해 비밀 ID의 비트를 복구하는 수동 공격을 시연하기 위해.
• 비밀 ID 비트를 점차 더 많은 양 복구하는 데 있어 공격의 효율성과 확장성 평가하기 위해.
• 향후 SASI 프로토콜 버전이 이러한 암호분석 기법에 저항하도록 강화하기 위한 설계 권고 제공하기 위해.

제안 방법

• 공격은 도청된 프로토콜 메시지에서 유도된 값 (IDSnext - IDS) mod 96 의 분포를 관찰하는 데 기반한다.
• 프로토콜에서 모듈로 회전과 비트단위 OR 연산을 사용함으로써 메시지 분포가 비균일해지며, 특히 B 및 D 메시지에서 그러한 현상이 두드러진다.
• 관측된 (IDSnext - IDS) mod 96 값의 통계적 분석을 통해 비밀 ID의 가장 낮은 비트를 추론한다.
• 핵심 통찰은, 만약 회전량이 96로 나누었을 때 0이 되면 회전 함수가 항등함수로 작용하여 ID 비트 복구가 단순해진다는 점이다.
• 회전 함수가 XOR에 대해 분배성 유사 성질을 가지므로, 관측 가능한 메시지 구성 요소로부터 부분 키 복구가 가능해진다.
• 공격은 많은 인증 세션 동안 데이터를 누적하여 확장되며, 약 2^10회의 세션 관찰 후 4비트 복구 성공 확률이 약 100%에 도달한다.

실험 결과

연구 질문

• RQ1 모듈로 회전이 사용될 경우 수동 공격자가 SASI 프로토콜에서 비밀 ID의 비트를 복구할 수 있는가?
• RQ2 히프만 무게 기반 회전 대신 모듈로 회전을 사용할 경우 프로토콜의 보안성은 어떻게 영향을 받는가?
• RQ3 B 및 D 메시지와 같은 메시지 구성 요소의 통계적 편향은 비밀 ID 비트 추론에 어떻게 활용될 수 있는가?
• RQ4 공격은 비밀 ID의 6비트를 초월해 더 많은 비트를 복구하기 위해 얼마나 확장될 수 있는가?
• RQ5 어떤 설계 변경이 이러한 수동 암호분석에 저항할 수 있도록 프로토콜을 강화하는가?

주요 결과

• 충분한 수의 세션 관찰 후, 공격은 비밀 ID의 가장 낮은 6비트를 100% 성공 확률로 복구한다.
• 공격의 변형은 약 2^10회의 도청 세션 후 4비트의 비밀 ID를 100% 성공 확률로 복구하며, 추적 공격 가능성을 제공한다.
• 비트단위 OR 연산과 모듈로 회전을 사용함으로써 B 및 D 메시지에 강력한 통계적 편향이 발생하며, 이는 공격에서 악용된다.
• 공격은 확장 가능하다: 관측된 세션 수를 늘림으로써 더 많은 비밀 ID 비트를 복구할 수 있다.
• 모듈로 회전(Rot(A,B) = A << B mod 96)을 히프만 무게 기반 회전 대신 사용함으로써 프로토콜이 수동 암호분석에 취약해진다.
• 공격의 성공은 회전 함수가 XOR에 대해 분배성 유사 성질을 가지기 때문이며, 이는 관측 가능한 메시지 구성 요소로부터 부분 키 복구를 가능하게 한다.