[论文解读] Cryptanalysis of Multi-Server Authenticated Key Agreement Scheme Based on Trust Computing Using Smart Cards and Biometrics

Dheerendra Mishra|arXiv (Cornell University)|Jan 20, 2014

Advanced Authentication Protocols Security参考文献 7被引用 3

一句话总结

本文对一种结合智能卡与生物特征的多服务器认证密钥协商方案进行了密码分析，证明其易受被盗智能卡攻击，导致用户冒充、服务器欺骗及中间人攻击。该方案亦不提供前向安全性，尽管其基于哈希函数设计轻量化，但长期会话安全性仍被破坏。

ABSTRACT

Advancement in communication technology provides a scalable platform for various services where a remote user can access the server from anywhere without moving from its place. It has provided a unique opportunity for online services, such that the user need not physically present at the service center. These services adopt authentication and key agreement protocols to ensure authorized and secure access to resources. Most of the authentication schemes support single server environment where the user has to register with each server. If a user wishes to access multiple application servers, he requires to register with each of the servers. Although multi-server authentication schemes introduced a scalable platform such that a user can interact with any server using single registration. Recently, Chuang and Chen proposed an efficient multi-server authenticated key agreement scheme based on smart cards along with password and biometrics. This is a lightweight authentication scheme which requires the computation of only hash function. In this article, we present a brief review of Chuang and Chen's scheme. We analyze Chuang and Chen's scheme and identify that their scheme does not resist stolen smart card attack which causes the user's impersonation attack, server spoofing attack and man-in-the middle attack. Additionally, we show that their scheme has a weak key agreement protocol, which does not ensure forward secrecy.

研究动机与目标

• 分析庄和陈提出的结合智能卡、密码与生物特征的多服务器认证密钥协商方案的安全性。
• 识别该方案在抵御被盗智能卡攻击方面存在的关键漏洞。
• 评估该方案在面对服务器欺骗和中间人攻击时的抗性能力。
• 评估该方案是否实现前向安全性，这一对长期会话安全性至关重要的属性。
• 在包含强大窃听攻击者的现实威胁模型下，对该方案的设计缺陷进行正式批判。

提出的方法

• 使用与原方案相同的术语和协议流程，逆向分析庄和陈方案的登录与认证阶段。
• 通过模拟拥有被盗智能卡的攻击者，提取存储的参数，包括 $D_i$、$C_i$、$B_i$ 和 $ID_i$。
• 通过拦截并修改用户智能卡与服务器之间的消息，构建中间人攻击。
• 通过使用被盗的用户身份和生物特征参数，伪造响应，实现服务器欺骗。
• 通过 $SK_{ij} = h(N_1 || N_2)$ 验证会话密钥的推导过程，并证明长期秘密 $A_i$ 可被用于重新计算过去的会话密钥。
• 通过正式的消息流分析和使用方案密码原语的方程验证，确认所有攻击向量的正确性。

实验结果

研究问题

• RQ1 在庄和陈的方案中，攻击者在攻破智能卡后能否冒充合法用户？
• RQ2 当攻击者控制通信通道时，该方案是否能抵御服务器欺骗攻击？
• RQ3 中间人攻击者能否与用户和服务器分别建立独立且未被察觉的会话？
• RQ4 该方案是否提供前向安全性，使得即使长期秘密被泄露，过去会话密钥依然安全？
• RQ5 该方案中哪些特定的密码学弱点，使其仅依赖哈希函数操作即可成功实施这些攻击？

主要发现

• 该方案易受被盗智能卡攻击，攻击者可通过提取 $D_i$、$C_i$、$B_i$ 和 $ID_i$ 冒充合法用户。
• 攻击者可利用被盗的用户身份和生物特征参数，成功实施服务器欺骗攻击。
• 该方案易受中间人攻击，攻击者可与用户和服务器分别建立独立且经过认证的会话，同时维持直接通信的假象。
• 会话密钥 $SK_{ij} = h(N_1 || N_2)$ 可被攻击者仅凭被泄露的长期秘密 $A_i = h(ID_i || x)$ 重新计算，从而破坏前向安全性。
• 该方案仅依赖单一哈希函数且缺乏互认证机制，使其在面对主动且强大的攻击者时完全不安全。
• 尽管宣称高效且轻量化，但该方案仍无法满足多服务器环境中真实部署的基本安全要求。