[论文解读] Cryptanalysis of two recently proposed ultralightweight authentication protocol for IoT

Masoumeh Safkhani, Nasour Bagheri|arXiv (Cornell University)|Jul 25, 2019

RFID technology advancements参考文献 27被引用 4

一句话总结

本文对两种近期提出的物联网超轻量级认证协议——Khor和Sidorov的协议（KSP）与SOVNOKP——进行了密码分析，证明两者均易受完整密钥暴露攻击。仅通过监听两个协议会话并阻断一条消息，攻击者即可利用多项式时间计算，提取所有共享密钥，包括标签的身份、密钥及更新参数，导致两种协议在实际部署中均不安全。

ABSTRACT

By expanding the connection of objects to the Internet and their entry to human life, the issue of security and privacy has become important. In order to enhance security and privacy on the Internet, many security protocols have been developed. Unfortunately, the security analyzes that have been carried out on these protocols show that they are vulnerable to one or few attacks, which eliminates the use of these protocols. Therefore, the need for a security protocol on the Internet of Things (IoT) has not yet been resolved. Recently, Khor and Sidorov cryptanalyzed the Wang et al. protocol and presented an improved version of it. In this paper, at first, we show that this protocol also does not have sufficient security and so it is not recommended to be used in any application. More precisely, we present a full secret disclosure attack against this protocol, which extracted the whole secrets of the protocol by two communication with the target tag. In addition, Sidorv et al. recently proposed an ultralightweight mutual authentication RFID protocol for blockchain enabled supply chains, supported by formal and informal security proofs. However, we present a full secret disclosure attack against this protocol as well.

研究动机与目标

• 分析Khor和Sidorov改进的超轻量级RFID协议（KSP）的安全性，该协议被提出作为对Wang等人协议的修复方案。
• 评估面向区块链赋能供应链的新型超轻量级双向认证协议SOVNOKP的安全性。
• 证明尽管存在形式化与非形式化安全证明，两种协议仍易受完整密钥暴露攻击。
• 揭示在资源受限的物联网设备中，仅依赖按位操作（XOR、循环左移）设计安全协议的局限性。
• 强调即使协议声称具备对已知攻击的抵抗力，仍可能在实际的自适应攻击者模型下不安全。

提出的方法

• 作者建模了一名具备监听、阻断和修改合法读写器与目标标签之间消息能力的主动攻击者。
• 针对KSP，攻击过程包括监听两个协议会话，并阻断包含C和D的消息，以阻止密钥更新。
• 攻击者通过利用旋转值与随机数之间的关系，计算出标签的身份（IDS）和密钥（K），使用如下公式：IDS = RRot(A, wt(q)) ⊕ r，其中r为监听所得。
• 针对SOVNOKP，攻击使用两个监听会话，并阻断C||D消息以阻止密钥更新，随后通过对接收值进行旋转与XOR操作，计算出IDS和K。
• 攻击者通过一致性检查（如wt(K_new)、wt(n)和wt(n’)）过滤错误猜测，确保提取密钥的正确性。
• 两种攻击均仅需两个协议会话、消息阻断及多项式时间计算，具有高度实用性。

实验结果

研究问题

• RQ1 在现实攻击者模型下，Khor和Sidorov协议（KSP）能否抵御完整密钥暴露攻击？
• RQ2 SOVNOKP协议虽声称对区块链赋能的供应链安全，是否仍可通过最少交互实现密钥暴露？
• RQ3 按位操作（如XOR与旋转）在多大程度上无法确保超轻量级物联网协议的安全性？
• RQ4 攻击者是否可仅通过监听两个会话并阻断消息，即提取标签的身份与长期密钥？
• RQ5 这些攻击对受限物联网环境中未来超轻量级认证协议的设计有何影响？

主要发现

• Khor和Sidorov协议（KSP）易受完整密钥暴露攻击，仅需监听两个会话并阻断一条消息，即可提取所有共享密钥——包括IDS、K及更新参数。
• KSP的攻击通过如下关系计算标签身份与密钥：IDS = RRot(A, wt(q)) ⊕ r，其中r为监听所得的随机数。
• 攻击者还可通过对提取值进行旋转与XOR操作，计算出更新后的密钥IDS_new与K_new，实现长期破坏。
• SOVNOKP协议同样被攻破：攻击者通过分析两个监听会话，并利用关系RRot(A, wt(q)) ⊕ RRot(A', wt(q')) = r ⊕ r'，提取出IDS与K。
• SOVNOKP的攻击与KSP具有相同的计算复杂度——仅需监听两个会话、阻断一条消息，并执行多项式时间操作。
• 在完整密钥暴露后，攻击者可轻易发起进一步攻击，包括伪装、失步与可追踪性攻击，使两种协议在实践中完全不可用。