[논문 리뷰] Egalitarian computing

Alex Biryukov, Dmitry Khovratovich|arXiv (Cornell University)|2016. 06. 11.

Cryptography and Data Security참고 문헌 18인용 수 9

한 줄 요약

이 논문은 메모리 하드 함수를 암호화 기법에 통합함으로써 방어자와 공격자 간의 비용-성능 비율을 균등화하는 '균등 컴퓨팅(e galitarian computing)'이라는 패러다임을 제안한다. Argon2를 기반으로 하여 GPU, FPGA, ASIC 가속화에 저항하는 MTP(Memory-hard Proof-of-Work)와 MHE(Memory-hard Encryption)를 제안하며, 높은 메모리 대역폭과 용량을 요구함으로써 오프라인 공격을 공격자에게 비용이 지나치게 높게 만들고, 동시에 정상 사용자에게는 효율적인 성능을 제공한다.

ABSTRACT

In this paper we explore several contexts where an adversary has an upper hand over the defender by using special hardware in an attack. These include password processing, hard-drive protection, cryptocurrency mining, resource sharing, code obfuscation, etc. We suggest memory-hard computing as a generic paradigm, where every task is amalgamated with a certain procedure requiring intensive access to RAM both in terms of size and (very importantly) bandwidth, so that transferring the computation to GPU, FPGA, and even ASIC brings little or no cost reduction. Cryptographic schemes that run in this framework become egalitarian in the sense that both users and attackers are equal in the price-performance ratio conditions. Based on existing schemes like {Argon2} and the recent generalized-birthday proof-of-work, we suggest a generic framework and two new schemes: MTP, a memory-hard Proof-of-Work based on the memory-hard function with fast verification and short proofs. It can be also used for memory-hard time-lock puzzles. {MHE}, the concept of memory-hard encryption, which utilizes available RAM to strengthen the encryption for the low-entropy keys (allowing to bring back 6 letter passwords).

연구 동기 및 목표

• 특수화된 하드웨어(예: GPU, ASIC)를 활용해 암호 해시, 암호화, 작업 증명 기반 시스템을 해킹하는 데에 공격자가 빠르게 성능을 높이는 현상이 증가하고 있음을 다루기 위해, 방어자와 공격자 간의 비용 격차를 해소한다.
• 특수화된 하드웨어를 통해 특히 암호문 복호화나 암호화 화폐 채굴에서 공격자가 극도로 빠른 성능 향상을 이룰 수 있는 경향을 대비한다.
• 모든 당사자(공격자 포함)가 동일한 계산 비용을 지불하도록 하는 통합 프레임워크인 '균등 컴퓨팅'을 개발한다. 이는 메모리 대역폭과 용량을 주요 비용 요소로 삼음으로써 실현된다.
• 하드웨어 가속화에 저항하면서도 표준 사용자에게는 구현 가능하고, 안전하고 효율적인 기법을 설계한다.
• 짧은 암호와 경량 암호화를 다시 활용할 수 있도록, 메모리 하드 원리로 약한 키(예: 6자리 암호)의 보안을 강화함으로써 장기 키나 복잡한 프로토콜에 대한 의존도를 줄인다.

제안 방법

• 특히 Argon2를 활용한 메모리 하드 함수(MHPF)를 핵심 구성 요소로 사용하여 GPU, FPGA, ASIC 가속화가 효과가 없도록 하기 위해 고밀도 메모리 대역폭과 용량 사용을 유도한다.
• 진행 불가능한 작업 증명 기반인 MTP(Memory-hard Time-lock Puzzle)를 설계하여 빠른 검증과 짧은 증명을 가능하게 하며, 증명 생성에 2 GB의 RAM이 필요하다.
• 대칭 암호화 기반으로 MHE(Memory-hard Encryption)를 구현하며, 헤더 및 본문 블록 모두를 Argon2를 사용해 계산함으로써 복호화 시 전체 메모리 접근이 반드시 필요하도록 보장한다.
• 헤더 블록은 솔트와 메시지에 의존하고, 본문 블록은 암호문과 헤더에 의존하도록 설계하여 복호화의 사전 계산 또는 위임을 방지한다.
• Argon2의 랜즈 수(l=4)와 같은 파라미터를 조정하여 성능을 최적화하고, 헤더 처리에 약 ~0.7 cpb, 본문 처리에 약 ~4 cpb의 성능을 달성한다.
• 압축 함수 F의 충돌 저항성과 블록 암호 E의 근본적 난수성에 기반해 보안을 확보하며, 기초 원리의 버지니언 한계까지 보장한다.

실험 결과

연구 질문

• RQ1 모든 하드웨어 플랫폼(소비자용 CPU부터 전용 하드웨어까지)에서 단일 계산 수행 비용이 동일한 암호 기법을 설계할 수 있는가?
• RQ2 메모리 대역폭과 용량을 얼마나 효과적으로 주요 비용 요소로 활용할 수 있는가? 이는 GPU, FPGA, ASIC의 암호 해독 및 작업 증명 공격에서의 우위를 무력화하는 데 기여하는가?
• RQ3 약한 키(예: 6자리 암호)를 강화하기 위해 메모리 하드 암호화 기법을 구현할 수 있을까? 이때 정상 사용자에게 성능 저하가 발생하지 않는가?
• RQ4 진행 불가능한 작업 증명 기반 기법이면서도 효율적으로 검증 가능한가? 이는 스팸 방지 조치 및 타임락 퍼즐에 실용적으로 적용 가능한가?
• RQ5 메모리 하드 함수를 기존의 암호 primitive(예: 암호화, 작업 증명)에 통합할 수 있을까? 이때 보안성과 효율성은 유지되는가?

주요 결과

• MTP는 증명 생성에 2 GB의 RAM이 필요하며, 1초 이내에 초기화되고 증명 생성을 시작할 수 있어 동일한 메모리 예산에서 경쟁 기법인 Equihash를 능가한다.
• MTP 기법은 빠른 검증과 짧은 증명을 지원하여 스팸 방지 조치 및 타임락 퍼즐에 실용적으로 적용 가능하다.
• MHE는 공격자가 헤더 및 암호문 블록을 모두 접근하지 못하면 복호화를 위임할 수 없으며, 누락된 블록을 재계산해야 하므로 높은 계산 비용이 발생한다.
• 필요한 메모리의 1/5만을 사용할 경우, 공격자는 압축 함수 F를 344배 더 많이 호출해야 하므로, 전용 하드웨어를 사용하더라도 메모리 절감 공격은 실현 불가능하다.
• MHE의 헤더 단계는 약 ~0.7 cpb(cycles per byte), 본문 단계는 약 ~4 cpb로, 실용적 사용에 적합한 성능을 달성했으며, AES-GCM 및 AES-XTS와 유사한 성능을 보인다.
• 표준 가정 하에 CPA 보안을 달성하며, 이는 압축 함수 F의 충돌 저항성과 블록 암호 E의 근본적 난수성에 기반하며, 기초 원리의 버지니언 한계까지 보장된다.