[논문 리뷰] Interleaving Commands: a Threat to the Interoperability of Smartcard Based Security Applications

Maurizio Talamo, Maulahikmah Galinium외 2명|arXiv (Cornell University)|2012. 05. 04.

Formal Methods in Verification참고 문헌 11인용 수 3

한 줄 요약

이 논문은 스마트카드 기반 보안 시스템에서 심각한 상호운용성 취약점을 규명하고 이를 입증한다: 한 스마트카드의 명령이 다른 스마트카드의 운영에 간섭할 수 있으며, 이는 둘 다 공통 기준(Common Criteria)에 따라 인증된 상태에서도 발생한다. 저자들은 실험적으로 디지털 서명 과정이 오류 없이 암묵적으로 완료될 수 있음을 입증하였으며, 이는 의도하지 않은 명령을 수신함에도 불구하고 그렇다. 이는 다수의 스마트카드가 공존하는 미들웨어 환경에서 신뢰와 보안을 약화시킨다.

ABSTRACT

Although smartcards are widely used, secure smartcard interoperability has remained a significant challenge. Usually each manufacturer provides a closed environment for their smartcard based applications including the microchip, associated firmware and application software. While the security of this "package" can be tested and certified for example based on the Common Criteria, the secure and convenient interoperability with other smartcards and smartcard applications is not guaranteed. Ideally one would have a middleware that can support various smartcards and smartcard applications. In our ongoing research we study this scenario with the goal to develop a way to certify secure smartcard interoperability in such an environment. Here we discuss and experimentally demonstrate one critical security problem: if several smartcards are connected via a middleware it is possible that a smartcard of type S receives commands that were supposed to be executed on a different smartcard of type S'. Such "external commands" can interleave with the commands that were supposed to be executed on S. Here we demonstrate this problem experimentally with a Common Criteria certified digital signature process on two commercially available smartcards. Importantly, in some of these cases the digital signature processes terminate without generating an error message or warning to the user.

연구 동기 및 목표

• 다양한 스마트카드가 함께 작동하는 미들웨어 환경에서 명령 혼합으로 인한 보안 위험을 조사하는 것.
• 특히 디지털 서명 과정에서 외부 명령이 영향을 미치는 영향을 평가하는 것.
• 상호운용성 문제로 인해 공통 기준 인증을 받은 상태에서도 암묵적이고 탐지되지 않는 보안 위반 사례가 발생할 수 있음을 입증하는 것.
• 의도하지 않은 명령이 타겟 스마트카드에서 실행될 경우 오류 감지 기능의 부재를 부각하는 것.
• 다양한 스마트카드 플랫폼 간에 안전한 상호운용성을 보장하는 공식 인증 메커니즘의 필요성을 제안하는 것.

제안 방법

• 연구진은 상용으로 유통되는 공통 기준 인증을 받은 두 개의 스마트카드를 연결하기 위해 미들웨어 환경을 사용하였다.
• 한 스마트카드(S')를 대상으로 의도한 명령을 다른 스마트카드(S)의 통신 스트림에 삽입하여 다중 카드 환경에서의 명령 혼합을 시뮬레이션하였다.
• 외부의 의도하지 않은 명령을 수신함에도 불구하고 디지털 서명 과정이 성공적으로 완료되었는지 감시하기 위해 과정을 모니터링하였다.
• 특히 서명 생성과 같은 암호화 연산을 포함한 실제 시나리오에 중점을 두었다.
• 이상한 명령이 실행되는 동안 오류 메시지나 경고가 발생하지 않는지 분석하였다.
• 스마트카드가 표준 미들웨어 조건 하에서 어떻게 행동하는지 평가하여, 암묵적 명령 간섭의 실제 위험을 점검하였다.

실험 결과

연구 질문

• RQ1 다양한 스마트카드가 함께 작동하는 미들웨어 환경에서 한 스마트카드를 위한 명령이 다른 스마트카드에서 의도치 않게 실행될 수 있는가?
• RQ2 인증된 스마트카드 응용 프로그램은 암호화 연산 중에 의도하지 않은 명령 간섭을 어느 정도 감지하거나 보고하는가?
• RQ3 외부의 의도하지 않은 명령을 수신함에도 불구하고 디지털 서명 과정이 오류 없이 완료되는 조건는 무엇인가?
• RQ4 명령 혼합은 상호운용성 시스템 내 스마트카드 기반 응용 프로그램의 보안성과 무결성에 어떤 영향을 미치는가?
• RQ5 의도하지 않은 명령의 암묵적 실행은 공통 기준 인증 시스템에 대한 신뢰에 어떤 영향을 미치는가?

주요 결과

• 공통 기준 인증을 받은 상태에서도 한 스마트카드의 명령 혼합이 다른 스마트카드에서 성공적으로 실행될 수 있다.
• 의도하지 않은 명령을 수신한 타겟 스마트카드의 디지털 서명 과정은 오류나 경고 메시지를 생성하지 않고도 성공적으로 완료되었다.
• 시스템은 외부 명령을 감지하거나 거부하지 않아, 미들웨어 수준의 격리에 심각한 결함이 있음을 시사한다.
• 이 공격 벡터는 사용자와 응용 프로그램 모두가 탐지하지 못하므로, 인증의 보안 보장을 약화시킨다.
• 이러한 행동은 스마트카드 기반 보안 응용 프로그램의 상호운용성과 신뢰성에 중대한 위협이 된다.
• 결과적으로 현재의 인증 모델은 다수 기기 환경에서의 스마트카드 간 명령 간섭 문제를 충분히 다루지 못하고 있음을 보여준다.