[论文解读] Take a Bite of the Reality Sandwich: Revisiting the Security of Progressive Message Authentication Codes

Eric Wagner, Jan Bauer+1 more|arXiv (Cornell University)|Mar 15, 2021

Network Security and Intrusion Detection参考文献 74被引用 5

一句话总结

本文揭示了现有渐进式消息认证码（ProMACs）中的一个关键安全漏洞，即攻击者仅需丢弃两个数据包，即可破坏整个消息序列的完整性，该漏洞被称为“三明治攻击”。为应对这一问题，作者提出了R2-D2，一种基于随机化依赖关系的模型，将标签验证与消息的顺序依赖解耦，从而防止大规模完整性失效；并设计了SP-MAC，一种利用XOR运算的轻量级实现方案，在保持低资源消耗的同时，对丢包和网络层攻击具备强抗性，其效率与以往不安全的ProMAC方案相当。

ABSTRACT

Message authentication guarantees the integrity of messages exchanged over untrusted channels. However, to achieve this goal, message authentication considerably expands packet sizes, which is especially problematic in constrained wireless environments. To address this issue, progressive message authentication provides initially reduced integrity protection that is often sufficient to process messages upon reception. This reduced security is then successively improved with subsequent messages to uphold the strong guarantees of traditional integrity protection. However, contrary to previous claims, we show in this paper that existing progressive message authentication schemes are highly susceptible to packet loss induced by poor channel conditions or jamming attacks. Thus, we consider it imperative to rethink how authentication tags depend on the successful reception of surrounding packets. To this end, we propose R2-D2, which uses randomized dependencies with parameterized security guarantees to increase the resilience of progressive authentication against packet loss. To deploy our approach to resource-constrained devices, we introduce SP-MAC, which implements R2-D2 using efficient XOR operations. Our evaluation shows that SP-MAC is resilient to sophisticated network-level attacks and operates as resources-conscious and fast as existing, yet insecure, progressive message authentication schemes.

研究动机与目标

• 识别并分析现有渐进式消息认证码（ProMACs）在面临丢包或网络层攻击时的安全弱点。
• 解决因丢包导致标签验证失效的问题，该问题会破坏整个消息序列的完整性。
• 设计一种具有参数化特性的鲁棒依赖模型，将标签验证与消息的顺序依赖解耦，防止大规模完整性失效。
• 设计一种资源高效的ProMAC方案，适用于资源受限设备，在不牺牲性能的前提下确保强安全性。
• 评估所提方案在面对复杂网络层攻击时的鲁棒性，同时保持低计算与带宽开销。

提出的方法

• 提出R2-D2，一种通用框架，利用戈洛姆尺（Golomb rulers）定义最优消息依赖关系，以在预设安全级别下最小化验证延迟。
• 在R2-D2中引入随机化位依赖关系，将标签验证分布于非连续消息之间，降低可预测性并缩小攻击面。
• 引入可选的即时保护位，即使在完整依赖链尚未建立时，也能提供早期验证保障。
• 设计SP-MAC作为R2-D2的具体实现，采用高效的XOR运算，最大限度降低资源受限设备的计算开销。
• 通过将依赖关系分布于非相邻数据包之间，实现标签验证与直接消息序列的解耦，防止单个数据包丢失导致整个序列失效。
• 复用现有的安全MAC方案作为构建模块，通过XOR操作将它们的输出聚合并分发至多个消息，以保持强安全保证。

实验结果

研究问题

• RQ1 现有ProMAC方案能否抵御有针对性的丢包或网络层干扰（如干扰攻击）？
• RQ2 ProMAC标签的顺序依赖性在多大程度上使其易受‘三明治攻击’影响，即攻击者仅通过丢弃两个精心选择的数据包，即可破坏整个消息序列的完整性？
• RQ3 如何重构标签依赖关系，以在保持低验证延迟和强安全保证的同时，提升对丢包的鲁棒性？
• RQ4 能否设计一种安全且资源敏感的ProMAC方案，使其性能与不安全的前代方案相当？
• RQ5 随机化依赖关系与参数化安全级别在现实信道条件下，对提升渐进式认证鲁棒性起到何种作用？

主要发现

• 现有ProMAC方案易受‘三明治攻击’影响，攻击者仅需丢弃两个精心选择的数据包，即可移除整个消息序列的完整性保护。
• 当前ProMAC依赖结构依赖于过去消息的滑动窗口，这在丢包环境下形成了关键的单点故障。
• R2-D2通过使用戈洛姆尺定义最优非连续消息依赖关系，显著提升了系统鲁棒性，同时最小化验证延迟与攻击面。
• R2-D2中的随机化依赖模型降低了可预测性，使攻击者难以通过最小干扰可靠破坏多个消息。
• SP-MAC在验证延迟与现有ProMAC方案相当的同时，实现了完整的完整性保护，并对复杂网络层攻击和丢包具备强抗性。
• SP-MAC在资源消耗与运行速度上与当前不安全的ProMAC方案相当，适用于带宽、能量和延迟受限的环境，如工业控制系统和无线传感器网络。