[논문 리뷰] Freestyle, a randomized version of ChaCha for resisting offline brute-force and dictionary attacks

P. Arun Babu, Jithin Jose Thomas|arXiv (Cornell University)|2018. 02. 09.

Cryptographic Implementations and Security참고 문헌 24인용 수 3

한 줄 요약

Freestyle는 키-추측 페널티(KGP) >1을 제공하는 랜덤라이즈드, 변수 라운드 형태의 ChaCha 스트림 암호화 방식으로, 경계가 있는 해시 기반 정지 조건과 함께 공격자에 의한 오프라인 브루트 포스 및 사전 공격을 저지한다. 이는 각 키와 노운스당 최대 $2^{128}$개의 고유한 암호문을 가능하게 하여 실제 상황에서 알려진 평문, 선택 평문, 선택 암호문 공격을 불가능하게 하며, 성능은 ChaCha20 대비 1.6~3.2배 느리고 암호문 크기는 3.125% 더 크다.

ABSTRACT

This paper introduces Freestyle, a randomized and variable round version of the ChaCha cipher. Freestyle uses the concept of hash based halting condition where a decryption attempt with an incorrect key is likely to take longer time to halt. This makes Freestyle resistant to key-guessing attacks i.e. brute-force and dictionary based attacks. Freestyle demonstrates a novel approach for ciphertext randomization by using random number of rounds for each block, where the exact number of rounds are unknown to the receiver in advance. Freestyle provides the possibility of generating $2^{128}$ different ciphertexts for a given key, nonce, and message; thus resisting key and nonce reuse attacks. Due to its inherent random behavior, Freestyle makes cryptanalysis through known-plaintext, chosen-plaintext, and chosen-ciphertext attacks difficult in practice. On the other hand, Freestyle has costlier cipher initialization process, typically generates 3.125% larger ciphertext, and was found to be 1.6 to 3.2 times slower than ChaCha20. Freestyle is suitable for applications that favor ciphertext randomization and resistance to key-guessing and key reuse attacks over performance and ciphertext size. Freestyle is ideal for applications where ciphertext can be assumed to be in full control of an adversary, and an offline key-guessing attack can be carried out.

연구 동기 및 목표

• 암호문이 공격자에게 노출되는 상황에서 오프라인 키-추측 공격, 즉 브루트 포스 및 사전 기반 공격에 저항하는 대칭 암호를 설계하는 것.
• KRACK 공격 등에서 드러난 것처럼 키나 노운스 재사용 시에 불안정한 결정론적 스트림 암호화 방식인 ChaCha의 취약성을 해결하는 것.
• 틀린 키로 복호화하는 데 정상 키보다 훨씬 오래 걸리도록 하는 메커니즘을 도입하여 공격자의 계산 비용을 증가시키는 것.
• 키나 노운스를 변경하지 않고도 암호문을 랜덤라이즈함으로써, 재사용된 암호문 간 XOR 분석에 의한 암호 분석을 방지하는 것.
• 키-추측 공격에 대한 저항력을 수식화하고 정량화하기 위해 키-추측 페널티(KGP)라는 지표를 도입하여, 공격자가 겪는 상대적 계산 부담을 반영하는 것.

제안 방법

• Freestyle는 각 메시지 블록마다 $R_i$라는 변수 라운드 수를 사용하며, 이는 $[R_{\text{min}}, R_{\text{max}}]$ 범위에서 무작위로 선택된다. 기본값으로 $R_{\text{min}} = 12$, $R_{\text{max}} = 36$이다.
• 경계가 있는 해시 기반 정지 조건이 적용된다: 정기적인 간격 $H_I$마다 16비트 해시를 계산하고, 복호화는 사전에 계산된 값과 해시가 일치할 때만 정지한다. 이는 잘못된 키로 복호화 시 시간을 증가시킨다.
• 암호화 초기화 단계에는 구성 가능한 반복 수(페퍼 비트)와 해시 복잡도 파라미터 $H_C \in \{1,2,3\}$이 포함되며, 이는 정지 조건의 계산 비용을 제어한다.
• 해시 함수는 사이드 채널 공격에 저항하기 위해 ARX(Add-XOR-Rotate) 명령어를 사용하며, 충돌 발생 시 증가시켜 충돌에 대한 내성을 확보한다.
• 비결정론적 CTR 모드가 도입되어, 동일한 키, 노운스, 메시지에 대해 랜덤 라운드 수와 페퍼 값 덕분에 $2^{128}$개의 서로 다른 암호문을 생성할 수 있다.
• 사용자 입력과 관계없이 최소 12라운드, 최대 36라운드를 강제로 적용하여, 약한 설정일지라도 충분한 무작위성과 보안을 확보한다.

실험 결과

연구 질문

• RQ1 틀린 키로 복호화하는 데 정상 키보다 훨씬 오래 걸리는 대칭 암호를 설계할 수 있는가? 이는 오프라인 키-추측 공격의 비용을 증가시킨다.
• RQ2 키나 노운스를 변경하지 않고도 암호문을 랜덤라이즈할 수 있는가? 이는 여러 암호문 간 XOR 기반 공격을 방지하기 위함이다.
• RQ3 변수 라운드 수와 해시 기반 정지 조건이 ChaCha와 같은 스트림 암호의 보안성과 성능에 미치는 영향은 무엇인가?
• RQ4 실제로 KGP > 1을 달성할 수 있으며, 이는 정상 사용자와 공격자 간의 상대적 성능에 어떤 영향을 미치는가?
• RQ5 키와 노운스 재사용 상황에서도 알려진 평문, 선택 평문, 선택 암호문 공격에 대해 여전히 보안을 유지할 수 있는 암호를 설계하는 것은 가능한가?

주요 결과

• Freestyle는 KGP > 1을 달성하여, 잘못된 키를 사용하는 공격자는 정상 사용자보다 최소 KGP 배 이상의 계산 자원이 필요로 하며, 이는 오프라인 공격의 속도를 크게 저하시킨다.
• 동일한 키, 노운스, 메시지에 대해 무작위 라운드 수와 페퍼 값 덕분에 최대 $2^{128}$개의 고유한 암호문을 생성할 수 있어, 키 및 노운스 재사용에 의한 XOR 기반 암호 분석 공격에 대해 안전하다.
• 변수 라운드와 해시 계산 오버헤드로 인해 Freestyle은 ChaCha20 대비 1.6~3.2배 느리며, 암호문 크기는 3.125% 더 크다.
• 경계가 있는 해시 기반 정지 조건은 잘못된 키로 복호화할 경우 전체 해시 검증이 필요로 하여 복호화 시간을 증가시키지만, 정상 키를 사용하는 사용자는 더 빨리 복호화를 완료한다.
• ARX 기반 해시 함수와 구성 가능한 파라미터($H_I$, $H_C$, 페퍼 비트)를 사용함으로써 사이드 채널 공격에 대한 저항력을 유지하면서도 보안과 성능의 트레이드오���을 조정할 수 있다.
• 약한 사용자 제공 파라미터일지라도 Freestyle는 기본적으로 $R_{\text{min}} = 12$와 $R_{\text{max}} = 36$로 설정되어 있어 충분한 무작위성과 보안을 확보하여 구성 오류로 인한 취약성을 방지한다.