[論文レビュー] Cryptanalysis of the SASI Ultralightweight RFID Authentication Protocol with Modular Rotations

Julio Hernández-Castro, Juan Tapiador+2 more|ArXiv.org|Nov 26, 2008

RFID technology advancements参考文献 9被引用数 46

ひとこと要約

本稿では、モジュラス回転を用いたSASI超軽量RFIDプロトコルに対するパassiveな cryptanalysis 攻撃を提示する。攻撃者は傍受したセッションを通じて、タグの秘密IDから最大6ビットを回復可能であることを示している。攻撃は回転およびモジュラス演算における構造的欠陥を悪用し、十分な数のセッション観測により完全な秘密IDの回復が可能である。また、ビット単位のOR演算と非一様なメッセージ分布の使用に起因するプロトコル設計上の欠陥も明らかにしている。

ABSTRACT

In this work we present the first passive attack over the SASI lightweight authentication protocol with modular rotations. This can be used to fully recover the secret $ID$ of the RFID tag, which is the value the protocol is designed to conceal. The attack is described initially for recovering $\lfloor log_2(96) floor=6$ bits of the secret value $ID$, a result that by itself allows to mount traceability attacks on any given tag. However, the proposed scheme can be extended to obtain any amount of bits of the secret $ID$, provided a sufficiently large number of successful consecutive sessions are eavesdropped. We also present results on the attack's efficiency, and some ideas to secure this version of the SASI protocol.

研究の動機と目的

• モジュラス回転がハミング重みに基づく回転に代わって使用される場合のSASIプロトコルのセキュリティを分析すること。
• 非三角的演算および偏ったメッセージ分布に起因する、プロトコルのメッセージ構築における構造的脆弱性を特定・悪用すること。
• 連続した認証セッションの傍受を通じて秘密IDのビットを回復するパssiveな攻撃を実証すること。
• 攻撃の効率性およびスケーラビリティを、回復可能な秘密IDビット数の増加に対して評価すること。
• 今後のSASIプロトコルのバージョンが、このような cryptanalytic 技術に対して耐性を持つようにするための設計提言を提供すること。

提案手法

• 攻撃は、傍受したプロトコルメッセージから得られる値 (IDSnext - IDS) mod 96 の分布を観測することに基づく。
• プロトコルにおけるモジュラス回転とビット単位のOR演算の組み合わせにより、特にBおよびDメッセージにおいて非一様なメッセージ分布が生じることを悪用する。
• 観測された (IDSnext - IDS) mod 96 値の統計的分析を通じて、秘密IDの最下位ビットを推定する。
• 回転量が96で割り切れる場合、回転関数が恒等写像となるという重要な洞察を活用する。
• 回転関数がXOR演算に対して類似する分配法則を示す性質を活用し、部分的な鍵の回復を可能にする。
• 多くの認証セッションにわたるデータの蓄積により、攻撃を拡張し、約2^10セッション後に4ビットの回復確率が100%に近づく。

実験結果

リサーチクエスチョン

• RQ1 モジュラス回転が使用される場合、パssiveな敵対者によるSASIプロトコルにおける秘密IDのビット回復は可能か？
• RQ2 ハミング重みに基づく回転ではなくモジュラス回転が使用された場合、プロトコルのセキュリティにどのような影響を与えるか？
• RQ3 メッセージ部品（例：BおよびD）に生じる統計的バイアスは、どのようにして秘密IDビットの推定に利用可能か？
• RQ4 攻撃は、6ビットを超える秘密IDビットの回復にまでスケーリング可能か？
• RQ5 どのような設計変更が、このようなパssiveな cryptanalysis に対してプロトコルを強化可能か？

主な発見

• 十分な数のセッションを傍受した後、攻撃は秘密IDの最下位6ビットを100%の成功率で回復する。
• 攻撃の変種により、約2^10回の傍受セッション後に4ビットの秘密IDを100%の成功率で回復可能となり、トレーサビリティ攻撃が可能になる。
• プロトコルにおけるビット単位のOR演算とモジュラス回転の使用により、BおよびDメッセージに強い統計的バイアスが生じ、攻撃で悪用されている。
• 攻撃はスケーラブルである。観測セッション数を増やすことで、より多くの秘密IDビットを回復可能である。
• モジュラス回転（Rot(A,B) = A << B mod 96）がハミング重みに基づく回転に代わることで、プロトコルがパssiveな cryptanalysis に対して脆弱になることが明らかになった。
• 攻撃の成功は、回転関数がXORに対して類似する分配法則を示す性質に起因しており、これが観測可能なメッセージ部品から部分的な鍵の回復を可能としている。