[논문 리뷰] Shedding Light on RFID Distance Bounding Protocols and Terrorist Fraud Attacks

Pedro Peris‐Lopez, Julio Hernández-Castro외 3명|arXiv (Cornell University)|2009. 06. 25.

RFID technology advancements참고 문헌 21인용 수 7

한 줄 요약

이 논문은 2008년 Kim 등이 제안한 Swiss-Knife RFID 거리 기반 프로토콜을 분석하고, 태그의 장기 비밀 키를 완전히 폭로하는 피아식(passive) 공격이 가능함을 입증한다. 이로 인해 모든 보안 목표가 무력화된다. 저자들은 설계 지침을 제시하고, 자원이 제한된 장치에서 리lay어 공격과 피아식 스니핑 공격에 저항할 수 있는 새로운 안전하고 효율적인 거리 기반 프로토콜인 Hitomi을 소개한다.

ABSTRACT

The vast majority of RFID authentication protocols assume the proximity between readers and tags due to the limited range of the radio channel. However, in real scenarios an intruder can be located between the prover (tag) and the verifier (reader) and trick this last one into thinking that the prover is in close proximity. This attack is generally known as a relay attack in which scope distance fraud, mafia fraud and terrorist attacks are included. Distance bounding protocols represent a promising countermeasure to hinder relay attacks. Several protocols have been proposed during the last years but vulnerabilities of major or minor relevance have been identified in most of them. In 2008, Kim et al. [1] proposed a new distance bounding protocol with the objective of being the best in terms of security, privacy, tag computational overhead and fault tolerance. In this paper, we analyze this protocol and we present a passive full disclosure attack, which allows an adversary to discover the long-term secret key of the tag. The presented attack is very relevant, since no security objectives are met in Kim et al.'s protocol. Then, design guidelines are introduced with the aim of facilitating protocol designers the stimulating task of designing secure and efficient schemes against relay attacks. Finally a new protocol, named Hitomi and inspired by [1], is designed conforming the guidelines proposed previously.

연구 동기 및 목표

• Kim 등이 제안한 Swiss-Knife 거리 기반 프로토콜의 보안을 분석하는 것. 이 프로토콜은 그 분야에서 가장 안전하고 효율적이라고 주장된 바 있다.
• 프로토콜이 피아식 완전 폭로 공격에 취약함을 입증하여, 악성 공격자가 활동적 상호작용 없이도 태그의 장기 비밀 키를 추출할 수 있음을 보여주는 것.
• 특히 테러리즘 공격과 피아식 스니핑 공격에 저항할 수 있는, 실용적인 보안, 효율성, 프라이버시 보장을 갖춘 거리 기반 프로토콜 설계를 위한 지침을 제공하는 것.
• 제안된 지침을 충족시키고 현실적인 제약 조건 하에서도 강력한 보안 보장을 제공하는 새로운 RFID 거리 기반 프로토콜인 Hitomi을 설계하고 형식적으로 분석하는 것.

제안 방법

• 저자들은 Swiss-Knife 프로토콜의 형식적 암호 분석을 수행하여, 챌린지-응답 메커니즘의 결함을 규명함으로써, 채널 스니핑을 통해 피아식 키 복구가 가능한 이유를 밝혀낸다.
• 채널 노이즈로 인한 비트 오류 확률을 성질 ω를 가진 이항분포로 모델링하고, 공격자와 정상 태그의 오류 확률(p_A 및 p_T)을 유도하여 프로토콜의 내성에 대한 분석을 수행한다.
• 오분류 확률을 제한하기 위해 Hoeffding의 부등식을 사용하여 오류 확률과 ℓ_T/ℓ_A(태그 대 공격자 신호 세기 비율)의 비율에 기반한 임계값 τ를 유도한다.
• 임계값 τ는 τ = n(5ω + 1)/4 − logρ/(6ω − 2)로 계산되며, 여기서 ρ = ℓ_T/ℓ_A이며, 노이즈 환경에서 정상 응답과 악성 응답을 구분하는 데 사용된다.
• 분석 기반으로 키 분리, 챌린지의 재사용 방지, 피아식 키 복구에 대한 저항성 등의 원칙을 강조하는 설계 지침을 도출한다.
• 이 지침을 바탕으로 새로운 챌린지-응답 구조를 포함한 Hitomi 프로토콜을 설계하여, 피아식 키 폭로를 방지하면서도 RFID 태그의 낮은 계산 부하를 유지한다.

실험 결과

연구 질문

• RQ1 Kim 등이 제안한 Swiss-Knife 프로토콜은 그 분야에서 가장 안전하고 효율적이라고 주장하지만, 실제로는 피아식 스니핑 공격에 대해 진정으로 안전한가?
• RQ2 악성 공격자가 활동적 참가나 조작 없이도 프로토콜의 설계 결함을 악용하여 태그의 장기 비밀 키를 복구할 수 있는가?
• RQ3 기존 거리 기반 프로토콜의 핵심 설계 결함 중 피아식 완전 폭로 공격를 가능하게 하는 요소는 무엇이며, 특히 테러리즘 공격과 리lay어 공격 상황에서 어떤가?
• RQ4 미래의 RFID 거리 기반 프로토콜이 활동적 공격자와 피아식 공격자 양쪽에 대해 안전할 수 있도록 보장하기 위한 체계적 설계 원칙은 무엇인가?
• RQ5 자원이 제한된 RFID 태그에 적합하면서도 고도의 보안, 효율성, 프라이버시 요구사항을 충족시키기 위해 새로운 프로토콜을 어떻게 설계할 수 있는가?

주요 결과

• Swiss-Knife 프로토콜은 태그의 장기 비밀 키를 채널 스니핑만으로도 복구할 수 있는 피아식 완전 폭로 공격에 취약하다.
• 공격 성공의 원인은 노이즈 하에서 반복적인 챌린지-응답 패tern을 통해 비밀 키에 대한 충분한 정보가 泄露되기 때문이다.
• 유도된 임계값 τ는 교환된 비트 수 n과 노이즈 비율 ω에 민감하며, n이 증가할수록 증가하고, ω가 감소할수록 감소한다.
• τ는 ℓ_T/ℓ_A 비율이 증가할수록 증가함을 보여주며, 이는 더 강한 정상 신호가 노이즈 환경에서 보안을 유지하기 위해 더 높은 임계값이 필요함을 의미한다.
• 분석 결과, 악성 공격자가 성공적으로 키를 복구할 확률은 (ω + 1)/2 이하로 제한되며, 이는 ω < 1/2 일 때 정상 태그의 오류 확률 2ω를 초과한다.
• 제안된 지침에 따라 설계된 Hitomi 프로토콜은 피아식 키 폭로를 저지하고 동일한 위협 모델 하에서도 강력한 보안 보장을 유지하며, 형식적 분석을 통해 그 내성성이 확인되었다.