[论文解读] Analysing ZigBee Key Establishment Protocols

Ender Yüksel|arXiv (Cornell University)|May 30, 2012

Formal Methods in Verification被引用 2

一句话总结

本文使用 LySa 过程演算中的静态程序分析，对 ZigBee-2007 端到端应用密钥建立协议进行了形式化分析。研究发现由于新鲜度处理不当，存在一个关键的重放攻击漏洞，并提出了一种通过增强消息结构和轮次指示符来防止该攻击的修复协议，该修复方案通过过度近似静态分析得到验证，且未出现误报。

ABSTRACT

In this report, we present our approach for protocol analysis together with a real example where we find an important flow in a contemporary wireless sensor network security protocol. We start by modelling protocols using a specific process algebraic formalism called LySa process calculus. We then apply an analysis based on a special program analysis technique called control flow analysis. We apply this technique to the ZigBee-2007 End-to-End Application Key Establishment Protocol and with the help of the analysis discover an unknown flaw. Finally we suggest a fix for the protocol, and verify that the fix works by using the same technique.

研究动机与目标

• 识别并形式化验证 ZigBee-2007 端到端应用密钥建立协议中的安全缺陷。
• 证明静态程序分析在无需仿真的情况下检测协议漏洞的有效性。
• 提出一种通过结构化轮次指示符确保消息新鲜度，从而抵抗重放攻击的修正协议。
• 使用相同的正式分析技术验证修复方案，确保其正确性和终止性。

提出的方法

• 在 LySa 过程演算中建模 ZigBee 密钥建立协议，LySa 过程演算是一种用于指定并发和密码协议的形式化语言。
• 应用控制流分析以计算运行时行为的过度近似，从而实现对潜在攻击路径的检测。
• 使用一种静态分析框架，精确追踪消息的来源、目的地以及加密/解密模式。
• 在消息模式中引入轮次指示符，以区分旧的和新的协议执行，从而实现对重放攻击的检测。
• 扩展攻击者模型，使其包含具有共享主密钥的非法和合法（例如可信中心）攻击者。
• 通过重新运行相同的静态分析技术验证所提出的修复方案，确认修正后的协议中不再存在已识别的缺陷。

实验结果

研究问题

• RQ1 LySa 中的静态程序分析能否检测到像 ZigBee-2007 这类真实世界标准中的细微协议缺陷？
• RQ2 ZigBee-2007 密钥建立协议中存在何种特定漏洞，使得重放攻击成为可能？
• RQ3 如何在密钥交换协议中形式化强制实现新鲜度，以防止重放攻击？
• RQ4 能否使用相同的静态分析技术对修复后的协议进行形式化验证，以确保其安全性？
• RQ5 静态分析在协议验证中的局限性是什么，特别是关于误报和缺乏反例的问题？

主要发现

• 由于对消息新鲜度的处理不当，发现 ZigBee-2007 端到端应用密钥建立协议中存在一个此前未被察觉的重放攻击漏洞。
• 该缺陷的根源在于协议无法区分旧的和新的协议执行，使得攻击者能够重放消息并破坏会话密钥。
• 提出了一种修正协议，通过在消息模式中引入轮次指示符，以区分协议实例并防止重放攻击。
• 使用相同的静态分析方法对修复方案进行了形式化验证，确认修正后的协议已消除已识别的缺陷。
• 该分析技术保证了与操作语义一致的正确性和终止性，为模型检测提供了一种可扩展的替代方案。
• 本研究表明，仅靠加密并不能确保安全性，必须对非时序量和新鲜度机制进行形式化验证。