[논문 리뷰] Towards Public Key Infrastructure less authentication in Session Initiation Protocol

Abdullah Al Hasib, Abdullah Azfar외 1명|arXiv (Cornell University)|2010. 02. 05.

IPv6, Mobility, Handover, Networks, Security참고 문헌 17인용 수 5

한 줄 요약

이 논문은 세션 시작 프로토콜(SIP)을 위한 PKI 기반 인증 기법이 아닌 인증 메커니즘을 조사하며, 그들의 설계, 보안 성질, 표준화 상태를 분석한다. 이는 SIP 기반 VoIP 시스템에서의 확장성 및 구현 과제를 해결하기 위해 PKI 기반 인증의 경량 대안, 예를 들어 사전 공유 키와 인증서가 없는 기법들을 평가한다.

ABSTRACT

The Session Initiation Protocol (SIP) has become the most predominant protocol for Voice over Internet Protocol (VoIP) signaling. Security of SIP is an important consideration for VoIP communication as the traffic is transmitted over the insecure IP network. And the authentication process in SIP ranges from preshared secret based solutions to Public Key Infrastructure (PKI) based solution. However, due to the limitations in PKI based solutions, some PKI less authentications mechanisms are proposed. This paper aims to present an overview of different authentication methods used in or together with SIP. We start by highlighting the security issues in SIP in the context of VoIP communication. Then we illustrate the current activities regarding the SIP authentication mechanisms including the recent developments in the research community and standardization efforts within the Internet Engineering Task Force (IETF). Finally we analyze the security aspects of these approaches.

연구 동기 및 목표

• VoIP 통신에 사용될 때 SIP의 보안 취약점을 분석하기 위해.
• SIP 구현에서 PKI 기반 인증의 한계를 조사하기 위해.
• SIP를 위한 새로운 PKI 기반 인증 기법을 조사하기 위해.
• IETF에서 SIP 인증에 관해 현재 진행 중인 연구 및 표준화 노력의 현황을 평가하기 위해.
• SIP에서 다양한 인증 접근 방식의 보안 성질과 실용성 간의 비교를 위해.

제안 방법

• 논문은 기존의 SIP 인증 기법, 특히 사전 공유 키 및 PKI 기반 방법을 체계적으로 검토한다.
• 최근의 PKI 기반 인증이 아닌 인증 기법에 대한 연구 제안 사항을 평가하며, 그들의 암호학적 기초와 위협 모델에 중점을 둔다.
• SIP 보안 확장 기능의 맥락에서 IETF 내 표준화 활동을 분석한다.
• 다양한 인증 기법의 성능, 확장성 및 보안 보장을 비교한다.
• 각 접근 방식의 보안, 복잡성, 구현 가능성 간의 상충 관계를 평가하기 위해 비교 프레임워크를 사용한다.

실험 결과

연구 질문

• RQ1 VoIP 신호 전달에 사용될 때 SIP의 주요 보안 취약점은 무엇인가?
• RQ2 PKI 기반 솔루션과 비교해 PKI 기반 인증이 아닌 기법은 보안 및 구현 가능성 측면에서 어떻게 다른가?
• RQ3 IETF 내 SIP 인증 분야에서 현재의 표준화 추세와 연구 동향은 무엇인가?
• RQ4 실제 SIP 구현 환경에서 보안과 효율성 사이의 최적 균형을 제공하는 PKI 기반 인증이 아닌 기법은 무엇인가?
• RQ5 SIP 기반 VoIP 시스템에서 대규모로 PKI 기반 인증이 아닌 솔루션을 도입하는 데 있어 핵심 과제는 무엇인가?

주요 결과

• PKI 기반 인증은 인증서 관리 및 확장성 문제로 인해 SIP에서의 구현에 어려움을 겪는다.
• 사전 공유 키 및 인증서가 없는 기법과 같은 PKI 기반 인증이 아닌 기법들은 더 간단한 구현과 낮은 인프라 오버헤드를 제공한다.
• 최근 IETF의 노력은 SIP에 대한 경량 인증 확장 기능의 표준화에 집중하여 상호 운용성과 보안을 향상시키고 있다.
• 분석 결과, PKI 기반 인증이 아닌 접근 방식은 제한된 환경에서 특히 운영 복잡성이 낮아도 강력한 보안을 달성할 수 있다.
• 그러나 대부분의 PKI 기반 인증이 아닌 솔루션은 여전히 키 배포 및 취소 문제를 안고 있어 대규모 구현에서의 도입을 제한하고 있다.