[论文解读] Symbolic Protocol Analysis for Diffie-Hellman

Daniel J. Dougherty, Joshua D. Guttman|arXiv (Cornell University)|Feb 10, 2012

Advanced Authentication Protocols Security参考文献 33被引用 5

一句话总结

本文通过在结合结合律与交换律的正规形式基础上，对迪菲-赫尔曼（Diffie-Hellman, DH）操作建立代数理论，提出了一套符号化协议分析框架。该框架定义了‘指标’——一种追踪秘密指数出现次数的向量——以证明攻击者无法生成具有新指标的消息，从而实现对MQV和CF等协议中机密性、认证和前向安全性等安全属性的正式验证。

ABSTRACT

We extend symbolic protocol analysis to apply to protocols using Diffie-Hellman operations. Diffie-Hellman operations act on a cyclic group of prime order, together with an exponentiation operator. The exponents form a finite field. This rich algebraic structure has resisted previous symbolic approaches. We work in an algebra defined by the normal forms of a rewriting theory (modulo associativity and commutativity). These normal forms allow us to define our crucial notion of indicator, a vector of integers that summarizes how many times each secret exponent appears in a message. We prove that the adversary can never construct a message with a new indicator in our adversary model. Using this invariant, we prove the main security goals achieved by several different protocols that use Diffie-Hellman operators in subtle ways. We also give a model-theoretic justification of our rewriting theory: the theory proves all equations that are uniformly true as the order of the cyclic group varies.

研究动机与目标

• 将符号化协议分析扩展至处理迪菲-赫尔曼操作的代数丰富性，此前因底层有限域结构而难以形式化。
• 定义一个统一的敌手模型，使其可使用在无穷多个DH结构中成立的任意代数等式，反映判定性迪菲-赫尔曼假设。
• 设计一个模AC（结合律与交换律）的重写系统，捕捉所有在所有DH结构中成立的等式，从而实现可靠且完备的推理。
• 证明敌手无法生成具有新指标向量的消息，建立验证安全目标的关键不变量。
• 使用统一且有原则的方法，正式验证三种隐式认证DH协议（包括MQV和CF）中的十余项安全属性。

提出的方法

• 本文通过超积构造方法，构建一个模型论结构 $\mathcal{M}_D$，以捕捉在无穷多个DH结构中成立的所有等式。
• 定义了一个等式理论 $\mathsf{AG}\hat{}$，以模AC的终止且重写收敛的重写系统形式呈现，其正规形式代表协议消息。
• 证明该理论满足：$s = t$ 当且仅当 $s$ 与 $t$ 在 $\mathsf{AG}\hat{}$ 下归约至同一正规形式，从而确保完备性与可靠性。
• 引入‘指标’概念——即统计消息指数中秘密指数出现次数的向量——以追踪秘密的信息流。
• 敌手模型被定义为在Dolev-Yao敌手基础上增强函数，其受 $\mathsf{AG}\hat{}$ 支配，允许使用在所有但有限多个DH结构中成立的任意等式。
• 该方法证明：敌手所传输的任何消息，其指标必须已在先前某条消息中出现，从而确立关键不变量。

实验结果

研究问题

• RQ1 符号化协议分析能否扩展以处理涉及素数阶有限域的迪菲-赫尔曼密钥交换的代数复杂性？
• RQ2 是否存在一个可靠且完备的DH操作等式理论，支持通过模AC重写实现自动化推理？
• RQ3 能否建立一个形式化的不变量，以防止敌手在DH消息中生成关于秘密指数的新信息？
• RQ4 该框架能否在隐式认证DH协议中，同时验证多项安全属性（如机密性、认证与前向安全性）？
• RQ5 基于在无穷多个DH结构中成立的等式的敌手模型，是否与DDH等现实计算假设相符？

主要发现

• $\mathsf{AG}\hat{}$ 等式理论在模AC下既终止又重写收敛，可有效对协议消息进行归一化。
• 理论 $\mathsf{AG}\hat{}$ 是完备的：$s = t$ 在 $\mathcal{M}_D$ 中成立，当且仅当 $s$ 与 $t$ 在 $\mathsf{AG}\hat{}$ 下归约至同一正规形式。
• 指标不变量确保敌手所发送的任何消息，其指标必须已在先前某条消息中出现，从而防止新秘密信息的生成。
• 敌手模型在模型论上得到合理化：它精确捕捉了在无穷多个DH结构中普遍成立的等式，与DDH假设一致。
• 该方法成功验证了三个协议（UM、CF与MQV）中的十余项安全属性，提供了形式化且简洁的证明，而此前的努力或失败或为临时性方法。
• 该框架具有足够的通用性，可扩展至基于DH的其他代数原原子（如双线性对），并通过几何逻辑模型查找支持机械化。