[논문 리뷰] Designing a Global Authentication Infrastructure

Stephanos Matsumoto, Raphael M. Reischuk외 3명|arXiv (Cornell University)|2015. 06. 10.

Cryptography and Data Security참고 문헌 19인용 수 6

한 줄 요약

이 논문은 인터넷을 고립 영역(ISDs)으로 분할하고 국소적 신뢰 루트를 갖춘 확장 가능한 인증 인프라인 SAINT을 제안한다. 이는 민첩한 신뢰 결정, 글로벌 검증 가능성, 신속한 신뢰 루트 업데이트를 가능하게 한다. 라우팅 연결된 ISD 간에 상호 서명을 하고 신뢰 루트 구성(TRC) 파일을 라우팅 프로토콜을 통해 배포함으로써, SAINT은 신뢰 유연성, 침해 격리, 성능 손실 없이 효율적인 업데이트를 달성한다.

ABSTRACT

We address the problem of scaling authentication for naming, routing, and end-entity certification to a global environment in which authentication policies and users' sets of trust roots vary widely. The current mechanisms for authenticating names (DNSSEC), routes (BGPSEC), and end-entity certificates (TLS) do not support a coexistence of authentication policies, affect the entire Internet when compromised, cannot update trust root information efficiently, and do not provide users with the ability to make flexible trust decisions. We propose a Scalable Authentication Infrastructure for Next-generation Trust (SAINT), which partitions the Internet into groups with common, local trust roots, and isolates the effects of a compromised trust root. SAINT requires groups with direct routing connections to cross-sign each other for authentication purposes, allowing diverse authentication policies while keeping all entities globally verifiable. SAINT makes trust root management a central part of the network architecture, enabling trust root updates within seconds and allowing users to make flexible trust decisions. SAINT operates without a significant performance penalty and can be deployed alongside existing infrastructures.

연구 동기 및 목표

• 글로벌 또는 소수의 신뢰 루트에 의존하는 현재의 인증 시스템(DNSSEC, BGPSEC, TLS)의 한계를 해결한다. 이는 단일 장애 지점과 사용자 통제력 부족을 초래한다.
• 사용자가 자신의 선호도나 위협 모델에 따라 신뢰 루트를 선택하고 동적으로 업데이트할 수 있도록 하여 신뢰 유연성을 달성한다.
• 신뢰 루트가 손상된 경우의 영향을 국소적 고립 영역(ISD)으로 범위를 제한함으로써 영향을 격리한다. 이는 신뢰 권한의 범위를 제한함으로써 가능하다.
• 직접 라우팅 연결이 있는 ISD 간의 필수 상호 서명을 통해 인증 체인의 글로벌 검증 가능성을 확보한다.
• 라우팅 인증과 서비스 엔티티 인증을 분리함으로써 지리적 경계를 초월한 일관된 신뢰 결정을 가능하게 하고, 신뢰 이동성을 지원한다.

제안 방법

• 인터넷을 각자 고유한 신뢰 루트 집합을 가진 고립 영역(ISD)으로 분할하여, 신뢰 권한의 범위를 제한하고 침해 영향을 격리한다.
• 신뢰 루트 구성(TRC) 파일—라우팅 업데이트와 함께 배포되는 네트워크 계층 메시지—를 도입하여 빠르고 효율적인 신뢰 루트 업데이트를 가능하게 한다.
• 라우팅 연결이 있는 ISD 간에 신뢰 루트를 상호 서명하도록 의무화하여, 종단 간 글로벌 인증 검증 가능성을 확보한다.
• 라우팅 인증(BGPSEC 유사)과 서비스 엔티티 인증(TLS 유사)을 분리하여 순환 종속성 문제를 제거하고, 일관된 신뢰 정책을 가능하게 한다.
• 자기 증명 이름과 계층적 신뢰 체인을 사용하여 투명한 인증을 허용하며, 사용자가 검증 과정에 관여하는 ISD를 쉽게 확인할 수 있도록 한다.
• 기존의 라우팅 인fra구조(예: BGP)를 활용하여 TRC 배포를 수행함으로써, 저지연, 확장성 있고 안전한 신뢰 루트 정보 배포를 보장한다.

실험 결과

연구 질문

• RQ1 글로벌 검증 가능성을 훼손하지 않으면서도 사용자가 제어할 수 있는 신뢰 루트 선택을 지원할 수 있는 방법은 무엇인가?
• RQ2 글로벌 인터넷 전반에서 신뢰 루트가 손상된 경우의 영향을 격리하기 위해 필요한 아키텍처적 변화는 무엇인가?
• RQ3 특히 침해 발생 시 신속하고 안전하게 모든 사용자에게 신뢰 루트 업데이트를 배포할 수 있는 방법은 무엇인가?
• RQ4 라우팅 및 서비스 인증 간의 순환 종속성을 피하면서도 다양한 신뢰 정책을 수용하면서도 글로벌 인증을 유지할 수 있는가?
• RQ5 사용자가 지리적 위치에 관계없이 동일한 신뢰 루트를 사용할 수 있도록 신뢰 이동성을 달성하면서도 투명성과 보안을 유지할 수 있는가?

주요 결과

• SAINT은 사용자가 지역 정책이나 위협 모델에 따라 신뢰 루트를 선택하고 수정할 수 있도록 하여 글로벌 신뢰 구조에 의존하지 않는 신뢰 유연성을 제공한다.
• 단일 신뢰 루트가 손상되더라도 그 영향은 해당 ISD 내에서 국소화되며, 권한 범위와 상호 서명 제약 조건 덕분에 신뢰 실패가 글로벌하게 퍼지는 것을 방지한다.
• 신뢰 루트 업데이트는 라우팅 프로토콜을 통해 몇 초 내로 배포되어 높은 업데이트 효율성과 손상된 신뢰 루트에 노출되는 시간을 최소화한다.
• 직접 라우팅 연결이 있는 ISD 간의 필수 상호 서명 덕분에 글로벌 검증 가능성이 유지되며, 어떤 인증 경로도 종단 간 검증이 가능하다.
• 라우팅과 서비스 인증을 분리함으로써 순환 종속성이 제거되고, 서비스 엔티티에 대한 신뢰 결정이 글로벌하게 일관되고 이식 가능해진다.
• SAINT는 상당한 성능 오버헤드 없이 작동하며, 기존의 DNSSEC, BGPSEC, TLS 인fra와 함께 점진적으로 도입할 수 있다.