[论文解读] Security Flaws in a Recent Ultralightweight RFID Protocol

Pedro Peris‐Lopez, Julio Hernández-Castro+2 more|ArXiv.org|Oct 12, 2009

RFID technology advancementsEngineering参考文献 17被引用 21

一句话总结

本文对李等人最近提出的超轻量级RFID相互认证协议（UMA-RFID）进行密码分析，证明其易受多种关键攻击影响，包括可追踪性、完全暴露、克隆和失步攻击。尽管使用了按位异或（XOR）、或（OR）、与（AND）和循环移位操作，但该协议由于消息构造存在缺陷且缺乏对信道消息主动篡改的抵抗能力，未能实现基本的安全属性。

ABSTRACT

In 2006, Peris-Lopez et al. [1, 2, 3] initiated the design of ultralightweight RFID protocols -with the UMAP family of protocols- involving only simple bitwise logical or arithmetic operations such as bitwise XOR, OR, AND, and addition. This combination of operations was revealed later to be insufficient for security. Then, Chien et al. proposed the SASI protocol [4] with the aim of offering better security, by adding the bitwise rotation to the set of supported operations. The SASI protocol represented a milestone in the design of ultralightweight protocols, although certain attacks have been published against this scheme [5, 6, 7]. In 2008, a new protocol, named Gossamer [8], was proposed that can be considered a further development of both the UMAP family and SASI. Although no attacks have been published against Gossamer, Lee et al. [9] have recently published an alternative scheme that is highly reminiscent of SASI. In this paper, we show that Lee et al.'s scheme fails short of many of its security objectives, being vulnerable to several important attacks like traceability, full disclosure, cloning and desynchronization.

研究动机与目标

• 评估李等人提出的超轻量级RFID相互认证方案UMA-RFID协议的安全性。
• 识别并演示实际攻击，以破坏诸如隐私性、完整性和同步性等核心安全属性。
• 表明仅引入循环移位操作不足以防止在超轻量级RFID协议中发生密码分析突破。

提出的方法

• 攻击者监听一次合法的认证会话，以捕获{IDTn, An, Bn, Cn}消息。
• 攻击者通过使用常数C1和C2对捕获的消息进行XOR操作进行操纵，其中C1的汉明权重恰好为2。
• 攻击者向标签发送修改后的消息An+1 = An ⊕ C1和Bn+1 = Bn ⊕ C2，以触发新的认证和更新阶段。
• 通过利用标签同时存储旧密钥和新密钥的双重存储机制，攻击者使标签更新其状态，而读取器保持未同步状态。
• 由于在两次位翻转后，Nn ⊕ C1的汉明权重保持不变的概率较高，因此该攻击具有很高的成功率。
• 攻击者迭代测试不同汉明权重为2的C2值，平均仅需约8,128次尝试，这是由于搜索空间受到严格限制。

实验结果

研究问题

• RQ1 被动攻击者是否仅通过消息重放和操纵，就能在UMA-RFID协议中使标签与读取器失步？
• RQ2 UMA-RFID协议中使用循环移位操作是否能防止身份暴露或可追踪性攻击？
• RQ3 当攻击者能够操纵认证消息时，该协议是否能抵御克隆攻击？
• RQ4 使用低汉明权重常数对挑战-响应消息进行XOR修改的主动攻击，其成功概率是多少？
• RQ5 攻击者是否可以利用协议设计，在不掌握密钥的情况下导致不可逆的状态失步？

主要发现

• UMA-RFID协议易受失步攻击，攻击者可通过使用汉明权重为2的常数对消息An和Bn进行XOR操作，使标签更新状态而读取器保持未同步。
• 该攻击成功率很高，因为对一个均匀随机向量（如Nn）翻转两位，其汉明权重保持不变的概率为50%。
• 找到有效C2值的平均尝试次数约为8,128次，与完整的2^128搜索空间相比可忽略不计。
• 该协议无法防止可追踪性，因为攻击者可通过观察和重放跨会话的消息来追踪标签。
• 由于缺乏前向安全性及消息完整性薄弱，该协议也易受完全暴露和克隆攻击。
• 尽管使用了循环移位操作，该协议仍无法抵抗主动攻击，表明仅通过操作组合无法保证超轻量级RFID系统中的安全性。