[논문 리뷰] The Hsu-Harn-Mu-Zhang-Zhu group key establishment protocol is insecure

Chris J. Mitchell|arXiv (Cornell University)|2018. 03. 14.

Security in Wireless Sensor Networks참고 문헌 2인용 수 3

한 줄 요약

이 논문은 Hsu-Harn-Mu-Zhang-Zhu (HHMZZ) 그룹 키 설정 프로토콜에서 심각한 보안 취약점을 입증한다. 악성 내부자 공격자가 원하는 대로 그룹 키를 위조하고 피해자를 속여 수락하도록 유도할 수 있음을 보여준다. 이 공격은 프로토콜이 단일하고 변형 가능한 인증 태그에 의존하고 있기 때문에, 그가 주장하는 보안 성질인 키 기밀성과 인증이 완전히 무너지게 된다.

ABSTRACT

A significant security vulnerability in a recently published group key establishment protocol is described. This vulnerability allows a malicious insider to fraudulently establish a group key with an innocent victim, with the key chosen by the attacker. This shortcoming is sufficiently serious that the protocol should not be used.

연구 동기 및 목표

• HHMZZ 그룹 키 설정 프로토콜에 기본적인 보안 취약점이 존재하는지 특정하고 분석하는 것.
• 악성 내부자 위협 모델 하에서 프로토콜이 키 인증과 기밀성을 제공하지 못함을 입증하는 것.
• 프로토콜의 보안 주장이 인증 태그 메커니즘의 변형 가능성 문제로 인해 무효하다는 것을 보여주는 것.
• 이 프로토콜의 심각한 결함로 인해 실무에서의 배포를 경고하는 것.
• 특히 그룹 키 설정 분야에서 형식적 보안 모델링의 부족이 초래하는 광범위한 문제를 부각하는 것.

제안 방법

• 공격은 키 생성 센터(KGC)에서 피해자 사용자 $U_v$로 향하는 최종 브로드캐스트를 가로채고 수정할 수 있는 악성 내부자 사용자 $U_m$를 전제로 한다.
• 공격자는 KGC의 브로드캐스트를 가로채며, 인증 태그 $\text{Auth}$, $r_0$, 그리고 그룹 키 공유값 $u_i$를 포함한다.
• 공격자는 원하는 그룹 키 $S^*$를 선택하고, 일致성을 유지하기 위해 피해자의 공유값을 $u_v^* = u_v - S + S^*$로 재계산한다.
• 공격자는 $S^*$와 $u_v^*$를 사용하여 새로운 인증 태그 $\text{Auth}^*$를 위조하며, 나머지 모든 입력은 그대로 유지한다.
• 수정된 브로드캐스트가 피해자에게 전달되며, 피해자는 $\text{Auth}^*$를 검증하고 위조된 키 $S^*$를 수락한다.
• 이 공격은 키 $S$가 개인 사용자의 비밀값 $x_i$와의 유대를 통해 키 교체를 방지할 수 있도록 바인딩되지 않은 채로 검증 과정이 이루어지기 때문에 성공한다.

실험 결과

연구 질문

• RQ1 HHMZZ 프로토콜의 악성 내부자가 감지되지 않은 채 원하는 대로 그룹 키를 위조할 수 있는가?
• RQ2 프로토콜의 인증 메커니즘이 내부자에 의한 키 교체 공격을 방지하는가?
• RQ3 왜 프로토콜은 주장하는 보안 성질에도 불구하고 키 인증을 달성하지 못하는가?
• RQ4 인증 태그 구축 방식의 어떤 특정 설계 결함이 키의 변형 가능성을 초래하는가?
• RQ5 형식적 보안 모델과 철저한 증명의 부재가 프로토콜의 취약성에 얼마나 기여하는가?

주요 결과

• 악성 내부자는 그룹 키를 원하는 값으로 완전히 교체할 수 있으며, 피해자는 이를 유효한 것으로 수락한다.
• 공격은 인증 태그 $\text{Auth}$가 값들의 선형 조합을 기반으로 계산되기 때문에 키 교체 시에 변형 가능성이 생기기 때문에 성공한다.
• 프로토콜이 주장하는 키 인증은 무효하다. 내부자는 어떤 사용자의 장기 비밀값을 알지 못해도 다른 키에 대해 유효한 태그를 위조할 수 있다.
• 프로토콜은 키 기밀성을 제공하지 못한다. 공격자는 피해자가 제어하는 키를 사용하도록 강제할 수 있다.
• 이 취약성은 인증 메커니즘에서 그룹 키 $S$와 개인 사용자 비밀값 $x_i$ 사이에 바인딩이 부족하기 때문이다.
• 원래 프로토콜 설계에서 형식적 보안 모델과 철저한 증명의 부재로 인해 이 근본적인 결함가 오랫동안 드러나지 않았다.