[논문 리뷰] We Can Remember It for You Wholesale: Implications of Data Remanence on the Use of RAM for True Random Number Generation on RFID Tags (RFIDSec 2009)

Nitesh Saxena, Jonathan Voris|ArXiv.org|2009. 07. 07.

Physical Unclonable Functions (PUFs) and Hardware Security참고 문헌 17인용 수 24

한 줄 요약

이 논문은 저비용 RFID 태그에서 SRAM 데이터 잔류 현상을 진짜 난수 생성의 근원으로 사용하는 것을 조사한다. 전원 차단 후 잔류 데이터로 인해 난수 추출의 빈도와 신뢰성이 심각하게 제한됨을 입증한다. 저자들은 인텔의 WISP 태그에 진짜 난수 생성기를 구현하여, 512KB RAM에서 최대 309비트의 난수가 추출 가능하다는 것을 보여주며, 잔류 현상으로 인해 실제 적용에 부적절한 몇 초가 넘는 실질적 지연이 발생함을 밝혔다. 이는 실시간 인증 프로토콜에 반복적으로 사용하기에 어렵다.

ABSTRACT

Random number generation is a fundamental security primitive for RFID devices. However, even this relatively simple requirement is beyond the capacity of today's average RFID tag. A recently proposed solution, Fingerprint Extraction and Random Number Generation in SRAM (FERNS) [14, 15], involves the use of onboard RAM as the source of "true" randomness. Unfortunately, practical considerations prevent this approach from reaching its full potential. First, this method must compete with other system functionalities for use of memory. Thus, the amount of uninitialized RAM available for utilization as a randomness generator may be severely restricted. Second, RAM is subject to data remanence; there is a time period after losing power during which stored data remains intact in memory. This means that after a portion of memory has been used for entropy collection once it will require a relatively extended period of time without power before it can be reused. In a usable RFID based security application, which requires multiple or long random numbers, this may lead to unacceptably high delays. In this paper, we show that data remanence negatively affects RAM based random number generation. We demonstrate the practical considerations that must be taken into account when using RAM as an entropy source. We also discuss the implementation of a true random number generator on Intel's WISP RFID tag, which is the first such implementation to the authors' best knowledge. By relating this to the requirements of some popular RFID authentication protocols, we assess the (im)practicality of utilizing memory based randomness techniques on resource constrained devices.

연구 동기 및 목표

• 저비용 RFID 태그에서 SRAM 데이터 잔류 현상을 진짜 난수의 근원으로 사용할 수 있는지의 실현 가능성을 평가하는 것.
• 특히 메모리 경쟁과 데이터 잔류 현상 등 실제 제약 조건을 규명하여 차량 내부 RAM을 난수 생성에 재사용할 경우의 문제점을 밝히는 것.
• 저자들에 따르면, 이는 첫 번째로 실시된 인텔의 WISP RFID 태그에 진짜 난수 생성기를 구현하고 평가하는 것.
• HB+와 HB#과 같은 인기 있는 RFID 인증 프로토콜에 이러한 제약 조건이 미치는 영향을 분석하는 것.
• 잔류 현상으로 인해 강제로 메모리 재사용이 발생할 경우 발생할 수 있는 잠재적 사이드 채널 공격 및 서비스 거부 공격을 탐색하는 것.

제안 방법

• 전원을 켤 때마다 전원을 끄고 다시 켜는 방식으로 RFID 태그 내의 초기화되지 않은 SRAM 블록을 물리적 엔트로피 원천으로 재사용하는 방식.
• 전원 켜짐 이후 SRAM 내용물에서 난수를 추출하기 위해 암호 해시 함수(예: SHA-1)를 사용하며, 원시 값은 지문으로 간주함.
• 인텔의 WISP RFID 태그에서 실험을 수행하여 전원 차단 후 추출 가능한 엔트로피와 복구 시간을 측정함.
• 전원 차단 후 메모리가 초기화 상태로 완전히 분해되는 데 소요되는 시간을 분석하여 연속적인 난수 생성 간의 지연을 정량화함.
• 이 지연 시간이 접근 제어 카드와 같은 실제 RFID 사용 모델에 미치는 영향을 평가함.
• 지속적인 전원 공급으로 잔류 데이터 재사용을 유도하는 공격 모델을 수립하여 예측 가능한 출력을 유도함.

실험 결과

연구 질문

• RQ1 SRAM 내 데이터 잔류 현상이 RFID 태그에서 난수 생성의 빈도에 얼마나 큰 제약을 가하는가?
• RQ2 일반적인 RFID 태그의 RAM에서 잔류 현상의 영향으로 난수 품질이 악화되기 전까지 얼마나 많은 유용한 엔트로피를 추출할 수 있는가?
• RQ3 자원이 제한된 RFID 태그인 WISP와 같은 태그에 진짜 난수 생성기를 실용적으로 구현할 수 있는가?
• RQ4 메모리 경쟁과 잔류 현상에 의한 지연이 빈번한 난수 필요를 요구하는 RFID 인증 프로토콜의 성능에 어떻게 영향을 미치는가?
• RQ5 악성 사용자가 잔류 현상을 악용하여 난수 생성을 예측하거나 방해할 경우 새로운 공격 표면이 어떻게 발생하는가?

주요 결과

• 512바이트 SRAM을 가진 RFID 태그에서 잔류 현상의 영향으로 난수 품질이 악화되기 전까지 최대 309비트의 유용한 난수만 추출 가능하다.
• 전원이 차단된 후 SRAM이 완전히 초기화 상태로 분해되는 데 몇 초가 소요되며, 이는 실시간 응용에서 반복적인 난수 생성을 부적절하게 만든다.
• 기존 시스템 기능과의 메모리 경쟁이 초기화되지 않은 RAM의 가용성을 심각하게 제한하여, 유용한 엔트로피를 추가로 감소시킨다.
• 메모리가 분해될 수 있도록 태그를 리더의 영역에서 제거해야 한다는 요구사항은 표준 RFID 사용 모델을 근본적으로 변화시키며, 사용자에게 큰 부담을 가중시킨다.
• 악성 사용자가 태그에 지속적으로 전원을 공급함으로써 메모리가 분해되지 않게 하여 난수 생성을 차단함으로써 서비스 거부 공격을 수행할 수 있다.
• 본 연구는 RAM 기반 난수 생성이 이론적으로는 매력적이지만, 현재의 RFID 인증 프로토콜에 있어서 시간 제약과 자원 제약로 인해 실용적으로 불가능하다는 것을 입증한다.