[논문 리뷰] Security Flaws in a Recent Ultralightweight RFID Protocol

Pedro Peris‐Lopez, Julio Hernández-Castro외 2명|ArXiv.org|2009. 10. 12.

RFID technology advancementsEngineering참고 문헌 17인용 수 21

한 줄 요약

이 논문은 최근에 제안된 초경량 RFID 상호 인증 프로토콜인 Lee 등이 제안한 UMA-RFID를 암호 분석하여, 추적 가능성, 완전한 유출, 클로닝, 비동기화 공격 등 여러 심각한 공격에 취약하다는 것을 입증한다. 비트 단위의 XOR, OR, AND 및 회전 연산을 사용하고 있음에도 불구하고, 메시지 구성의 약점과 채널 메시지의 능동적 조작에 대한 저항력 부족으로 인해 핵심 보안 성질을 달성하지 못한다.

ABSTRACT

In 2006, Peris-Lopez et al. [1, 2, 3] initiated the design of ultralightweight RFID protocols -with the UMAP family of protocols- involving only simple bitwise logical or arithmetic operations such as bitwise XOR, OR, AND, and addition. This combination of operations was revealed later to be insufficient for security. Then, Chien et al. proposed the SASI protocol [4] with the aim of offering better security, by adding the bitwise rotation to the set of supported operations. The SASI protocol represented a milestone in the design of ultralightweight protocols, although certain attacks have been published against this scheme [5, 6, 7]. In 2008, a new protocol, named Gossamer [8], was proposed that can be considered a further development of both the UMAP family and SASI. Although no attacks have been published against Gossamer, Lee et al. [9] have recently published an alternative scheme that is highly reminiscent of SASI. In this paper, we show that Lee et al.'s scheme fails short of many of its security objectives, being vulnerable to several important attacks like traceability, full disclosure, cloning and desynchronization.

연구 동기 및 목표

• Lee 등이 최근 제안한 초경량 RFID 상호 인증 기법인 UMA-RFID 프로토콜의 보안성을 평가하기 위해.
• 사생활 보장, 무결성, 동기화와 같은 핵심 보안 성질을 침해하는 실질적인 공격을 식별하고 시연하기 위해.
• 회전 연산의 포함만으로도 초경량 RFID 프로토콜에서 암호 분석적 돌파를 방지할 수 없다는 것을 보여주기 위해.

제안 방법

• 악성 공격자가 정상적인 인증 세션을 도청하여 {IDTn, An, Bn, Cn} 메시지를 캡처한다.
• 공격자는 C1과 C2라는 상수값을 사용해 캡처한 메시지에 XOR 연산을 적용한다. 여기서 C1의 해밍 무게는 정확히 2이다.
• 공격자는 수정된 메시지 An+1 = An ⊕ C1과 Bn+1 = Bn ⊕ C2를 태그에 전송하여 새로운 인증 및 업데이트 단계를 유도한다.
• 공격자는 태그가 이전 및 새로운 비밀값을 이중으로 저장하고 있음을 악용하여 태그의 상태를 업데이트하면서도 리더는 동기화되지 않은 상태를 유지시킨다.
• 두 비트 플립 후 Nn ⊕ C1의 해밍 무게가 그대로 유지될 가능성이 높기 때문에 공격 성공 확률이 높다.
• 해밍 무게가 2인 다양한 C2 값을 반복적으로 테스트하며, 제한된 검색 공간 덕분에 평균 약 8,128회 시도로 충분하다.

실험 결과

연구 질문

• RQ1 비활성 공격자가 메시지 재생 및 조작만으로 UMA-RFID 프로토콜에서 태그와 리더 쌍의 비동기화를 유도할 수 있는가?
• RQ2 UMA-RFID에서 회전 연산의 사용이 신원 유출 또는 추적 공격을 방지하는가?
• RQ3 공격자가 인증 메시지를 조작할 수 있는 경우, 프로토콜이 클로닝 공격에 저항하는가?
• RQ4 XOR를 통해 저해밍 무게를 가진 상수로 도전-응답 메시지를 수정하는 능동 공격의 성공 확률은 얼마인가?
• RQ5 비밀 키를 알지 못한 채로 프로토콜의 설계를 악용하여 영구적인 상태 비동기화를 유도할 수 있는가?

주요 결과

• UMA-RFID 프로토콜은 해밍 무게가 2인 상수를 사용해 An과 Bn 메시지를 XOR 조작함으로써 태그의 상태를 업데이트하면서도 리더는 동기화되지 않은 상태를 유지시켜 비동기화 공격에 취약하다.
• 두 비트 플립이 균일한 무작위 벡터 Nn에 적용되더라도 해밍 무게가 그대로 유지될 가능성이 50%이므로 공격 성공 확률이 높다.
• 유효한 C2 값을 찾는 데 필요한 평균 시도 수는 약 8,128회로, 전체 2^128 검색 공간에 비해 무시할 만하다.
• 공격자가 세션 간 메시지를 관찰하고 재생함으로써 태그를 추적할 수 있기 때문에 프로토콜은 추적 가능성을 방지하지 못한다.
• 전방 비밀성 결여와 약한 메시지 무결성으로 인해 프로토콜은 완전한 유출 및 클로닝 공격에 취약하다.
• 회전 연산을 사용하고 있음에도 불구하고 프로토콜은 능동 공격에 저항하지 못하며, 이는 운영 조합만으로는 초경량 RFID 시스템에서 보안을 보장하지 못한다는 것을 보여준다.