[논문 리뷰] The problem of popular primes: Logjam

Wouter Bokslag|arXiv (Cornell University)|2016. 02. 07.

Analytic Number Theory Research참고 문헌 3인용 수 3

한 줄 요약

이 논문은 TLS에서 약한 디피-헬먼 파라미터를 악용하여 중간자 암호 해독을 가능하게 하는 치명적인 취약점인 Logjam 공격을 분석한다. 클라이언트와 서버를 512비트 수출 등급의 소수로 사용하도록 속임으로써 공격자는 이산 로그를 사전 계산하고 키 교환을 해독할 수 있으며, 이는 특히 국가 수준의 적대자에 의해 TLS 보안이 약화된다.

ABSTRACT

This paper will discuss the Logjam attack on TLS. The Logjam attack allows, under certain conditions, to defeat the security provided by TLS. This is done by manipulating server and client into using weak and deprecated export grade crypto, and subsequently breaking the Diffie-Hellman key exchange. We explore how the attack works conceptually and how exactly TLS is vulnerable to this attack. Also, the conditions under which the attack can be mounted are discussed, and an estimate of the impact of the attack is presented. Lastly, several mitigations are presented.

연구 동기 및 목표

• TLS에서 약한 디피-헬먼 파라미터를 악용하는 Logjam 공격의 메커니즘을 분석하는 것.
• 특히 일반적으로 공유되는 소수의 사용과 관련하여 공격가능성이 있는 조건을 특정하는 것.
• 특히 1024비트 및 512비트 소수에 대한 실제 영향을 평가하는 것.
• 공격을 완화하기 위한 서버 및 클라이언트 측 대응 조치를 제안하고 평가하는 것.
• 향후 악용을 방지하기 위해 ECDHE와 같은 더 강력한 키 교환 메커니즘의 도입을 촉구하는 것.

제안 방법

• TLS 1.2 핸드셰이크의 구조를 분석하여 ServerKeyExchange 메시지와 암호 스위트 협상에 집중한다.
• Logjam 공격이 클라이언트와 서버를 512비트 소수를 사용하는 수출 등급 DHE 암호 스위트로 강제하여 사용하도록 조작하는 방식을 설명한다.
• 일반적으로 사용되는 소수에 대해 이산 로그를 사전 계산하기 위해 수체계의 소자리 알고리즘(NFS)을 사용하는 방식을 기술한다.
• 단일 1024비트 소수에 대한 사전 계산이 여러 서버에 걸쳐 재사용될 수 있으며, 이는 공격자의 효율성을 크게 높인다는 것을 입증한다.
• 클라이언트 측에서 최소 소수 크기(예: 2048비트 초과)를 강제하고 핸드셰이크 타임아웃을 줄여 공격 창을 제한하는 체크를 제안한다.
• 서버 측에서 ECDHE로의 이행 또는 랜덤하게 생성되고 주기적으로 갱신되는 DHE 파라미터를 사용하여 사전 계산 이득을 방지할 것을 권장한다.

실험 결과

연구 질문

• RQ1 Logjam 공격는 TLS 핸드셰이크를 어떻게 악용하여 약한 512비트 디피-헬먼 파라미터로 다운그레이드하는가?
• RQ2 실제 배포 환경에서 일반적으로 사용되는 1024비트 소수에 대해 이산 로그를 사전 계산하는 것이 실질적으로 가능한가?
• RQ3 광범위하게 공유되는 소수가 국가 수준의 대규모 감시를 가능하게 하는 정도는 어느 정도인가?
• RQ4 클라이언트 및 서버 측에서 효과적으로 Logjam 공격를 방지하거나 영향을 최소화할 수 있는 대응 조치는 무엇인가?
• RQ5 ECDHE로의 전환 또는 동적 소수 생성이 장기적으로 사전 계산 공격의 위험을 어떻게 감소시키는가?

주요 결과

• 서버가 약한, 일반적으로 공유되는 1024비트 또는 512비트 소수를 사용할 경우, Logjam 공격는 TLS 1.0, 1.1, 1.2에 모두 적용 가능하다.
• 단일 1024비트 소수에 대한 사전 계산은 여러 서버의 연결을 해독하는 데 재사용될 수 있으며, 이는 공격자의 투자 대비 수익을 크게 증가시킨다.
• 약 6.8%의 서버가 (p−1)/2가 복합수이며 인수분해 가능할 수 있어 이산 로그 공격에 더 취약한 약한 소수를 사용하고 있다.
• 국가 수준의 자원을 확보한 공격자는 1024비트 소수에 대해 공격를 수행할 수 있지만, 2048비트 소수는 현재의 사전 계산 능력으로는 여전히 안전하다.
• 최소 소수 크기 강제 및 핸드셰이크 타임아웃 단축과 같은 클라이언트 측 조치는 공격 창을 제한하고 탐지 확률을 높일 수 있다.
• ECDHE로의 이행 또는 동적으로 생성되고 주기적으로 갱신되는 DHE 파라미터 사용은 공격자의 사전 계산 이점을 효과적으로 제거할 수 있다.