[논문 리뷰] Symbolic Protocol Analysis for Diffie-Hellman

Daniel J. Dougherty, Joshua D. Guttman|arXiv (Cornell University)|2012. 02. 10.

Advanced Authentication Protocols Security참고 문헌 33인용 수 5

한 줄 요약

이 논문은 결합 법칙과 교환 법칙에 대한 정규형 기반의 대수 이론 내에서 DH 연산을 모델링함으로써 디피-헬먼(DH) 프로토콜을 위한 기호적 프로토콜 분석 프레임워크를 제안한다. '지표(indicators)'—비밀 지수 발생 횟수를 추적하는 벡터—를 정의하여 악성 공격자가 새로운 지표를 가진 메시지를 생성할 수 없음을 증명함으로써, MQV 및 CF와 같은 프로토콜에서 기밀성, 인증, 향후 기밀성 등의 보안 성질을 공식적으로 검증할 수 있게 한다.

ABSTRACT

We extend symbolic protocol analysis to apply to protocols using Diffie-Hellman operations. Diffie-Hellman operations act on a cyclic group of prime order, together with an exponentiation operator. The exponents form a finite field. This rich algebraic structure has resisted previous symbolic approaches. We work in an algebra defined by the normal forms of a rewriting theory (modulo associativity and commutativity). These normal forms allow us to define our crucial notion of indicator, a vector of integers that summarizes how many times each secret exponent appears in a message. We prove that the adversary can never construct a message with a new indicator in our adversary model. Using this invariant, we prove the main security goals achieved by several different protocols that use Diffie-Hellman operators in subtle ways. We also give a model-theoretic justification of our rewriting theory: the theory proves all equations that are uniformly true as the order of the cyclic group varies.

연구 동기 및 목표

• 이전 방법들이 유한 체의 구조로 인해 형식화하지 못한 디피-헬먼 연산의 대수적 풍부성을 다룰 수 있도록 기호적 프로토콜 분석을 확장하는 것.
• 무한히 많은 DH-구조에서 유효한 모든 대수적 방정식을 사용할 수 있는 통일된 악성 공격자 모델을 정의하여 디시전형 디피-헬먼 가정을 반영하는 것.
• 모든 DH-구조에서 참인 모든 방정식을 포괄하는 AC(결합 법칙 및 교환 법칙) 모듈로의 재작성 체계를 개발하여 타당하고 완전한 추론을 가능하게 하는 것.
• 악성 공격자가 새로운 지표 벡터를 가진 메시지를 생성할 수 없음을 증명하여 보안 목표를 검증하는 데 핵심이 되는 불변량을 확립하는 것.
• UM, CF, MQV와 같은 암시적 인증이 이루어진 DH 프로토콜 세 종류에 대해 약 열두 가지 보안 성질을 통일적이고 원칙적인 방법으로 공식적으로 검증하는 것.

제안 방법

• 논문은 무한히 많은 DH-구조에서 참인 모든 방정식을 포괄하기 위해 초수체를 이용한 구조적 구성법을 사용하여 $\mathcal{M}_D$ 라는 모델이론적 구조를 구성한다.
• AC 모듈로의 정규형을 나타내는 프로토콜 메시지가 되는, 종결성과 혼합성(Confluence)을 보장하는 정규형 재작성 체계로 제시된 등식 이론 $\mathsf{AG}\hat{}$ 를 정의한다.
• 이 이론은 $s = t$ 가 $\mathcal{M}_D$ 내에서 논리적으로 참이 되는 것과 정확히 일치함을 증명하여 타당성과 완전성을 보장한다.
• 비밀 지수가 메시지 지수에 얼마나 자주 나타나는지 세는 '지표' 개념을 도입하여 비밀 정보의 흐름을 추적한다.
• 악성 공격자 모델은 Dolev-Yao 공격자에 $\mathsf{AG}\hat{}$ 에 의해 지배되는 함수를 추가하여, 유한 개를 제외한 모든 DH-구조에서 참인 모든 방정식을 사용할 수 있도록 정의된다.
• 이 방법은 악성 공격자가 전송하는 모든 메시지는 반드시 이전 메시지 중 하나에 이미 존재하는 지표를 가져야 한다는 것을 증명함으로써 핵심 불변량을 확립한다.

실험 결과

연구 질문

• RQ1 디피-헬먼 키 교환에서 소수 차수의 유한 체를 포함하는 대수적 복잡성을 다룰 수 있도록 기호적 프로토콜 분석을 확장할 수 있는가?
• RQ2 재작성 체계를 AC 모듈로 사용하여 자동화된 추론이 가능한, DH 연산을 위한 타당하고 완전한 등식 이론이 존재하는가?
• RQ3 DH 메시지에서 비밀 지수에 대한 새로운 정보를 생성하는 것을 방지할 수 있는 형식적 불변량을 확립할 수 있는가?
• RQ4 이 프레임워크는 암시적 인증이 이루어진 DH 프로토콜에서 기밀성, 인증, 향후 기밀성과 같은 여러 보안 성질을 동시에 검증할 수 있는가?
• RQ5 무한히 많은 DH-구조에서 참인 방정식에 기반한 악성 공격자 모델은 DDH와 같은 현실적인 계산 가정과 부합하는가?

주요 결과

• $\mathsf{AG}\hat{}$ 등식 이론은 AC 모듈로 종결성과 혼합성을 모두 보장하여 프로토콜 메시지의 효과적인 정규화를 가능하게 한다.
• $\mathsf{AG}\hat{}$ 이론은 완전하다: $s = t$ 가 $\mathcal{M}_D$ 내에서 참이 되는 것은 $s$ 와 $t$ 가 $\mathsf{AG}\hat{}$ 에서 동일한 정규형으로 축소될 때 정확히 일치한다.
• 지표 불변량은 악성 공격자가 전송하는 모든 메시지가 반드시 이전 메시지 중 하나에 이미 존재하는 지표를 가져야 한다는 것을 보장하여 새로운 비밀 정보 생성을 방지한다.
• 악성 공격자 모델은 모델 이론적으로 정당화된다: 이는 유한 개를 제외한 모든 DH-구조에서 균일하게 참인 방정식만을 포괄하며, DDH 가정과 일치한다.
• 이 방법은 UM, CF, MQV 세 프로토콜에 대해 약 열두 가지 보안 성질을 성공적으로 검증하였으며, 이전에 실패하거나 특수한 방법에 의존했던 검증을 공식적이고 간결한 증명으로 대체하였다.
• 이 프레임워크는 디피-헬먼 기반의 다른 대수적 원리, 예를 들어 이중선형 페어링 등으로도 일반화 가능하며 기하 논리 기반의 모델 찾기 기법을 통한 기계화를 지원한다.