생체정보인식 기반의 원격 사용자 인증 스킴에 대한 보안분석

Ⅰ. 서 론

원격 의료정보시스템(TMIS, Telecare Medical Information System)은 환자가 집에서 편리하게 의료서비스를 받을 수 있게 해 주는 시스템으로 환자의 사생활 보호가 핵심적인 문제이다.

TMIS는 환자가 TIMS서버에서 환자의 의료 정보를 액세스 및 업데이트 할 수 있고 인터넷을 통해 집에서 직접 의료 서비스를 제공함으로써 많은 시간과 비용을 절약 할 수 있다.

또한 환자의 사생활을 보호하기 위해 진단 전에 환자와 의료 서버 간의 안전한 상호 인증을 달성하는 것이 중요하며 민감한 의료정보는 제3자에게 유출되어서는 안 된다. 최근 스마트카드를 사용하는 많은 인증 기법이 데이터의 안전하고 인가 된 접근을 보장하기 위해 제시되었다[1]-[5].

문제는 신뢰할 수 없는 공개채널에 의해 환자의 민감한 정보가 제3자에 의해 도청 될 수 있다는 것이다. 그러므로 안전한 원격치료 의료정보시스템을 실현하기 위해서는 데이터 전송의 안전과 무결성을 보장하는 인증 메커니즘이 필수적이다.

2004년 Das et al.'s[6]가 사용자 익명성을 위해 동적ID기반 인증기술을 제안한 이래 멀티서버 환경이 구축되면서 개인의 생체정보와 동적 아이디를 이용한 스마트카드 기반의 패스워드 인증시스템이 집중으로 제안되었다[7]-[14].

Awasthi et al.'s[15]는 스마트 카드의 계산 비용을 줄이기 위해 Xor 연산과 해시 함수만을 사용하는 효율적인 생체 인식 기반 인증 체계를 제시하였으나 이 스킴은 반사공격과 사용자 익명성을 제공하지 못한다는 사실을 밝혀졌다.

Arshad et al.'s[16]은 서비스 거부(Denial of Service)공격 및 재생공격에 안전한 타원형 곡선 암호화 시스템(ECC)을 기반으로 한 스킴을 제시했다.

지금까지의 연구에서 공통으로 발견되는 취약성으로는 위장공격, 서비스 거부공격, 사용자익명성, 재생공격, 패스워드추측공격, 도청공격, 내부자공격, 중간자공격 등이다.

최근, Lu et al.'s scheme[17]은 Arshad et al.'s scheme의 보안 취약점을 제시하고 타원 곡선 암호화 시스템을 사용하는 생체 인식 기반 인증 방법을 제안했다. 또한 Qui et al.'s[18]는 익명성과 위장공격에 안전한 타원곡선암호를 사용한 상호인증 스킴을 제안하였고 Jiang et al.'s[19]는 3-factor 인증방식의 텔레케어 의료정보시스템을 제안하였다.

본 논문에서 Lu et al.'s scheme이 환자들의 익명성을 보호하지 못한다는 것을 입증한다. 또한 합법적인 사용자가 시스템의 모든 사용자를 가장하여 서버와 통신하고 사용자를 기만하는 합법적인 서버로 위장 할 수 있음을 보여준다.

Ⅱ. Lu et al.'s 스킴의 검토

Lu et al.'s scheme은 Arshad et al.'s scheme의 장점을 유지하면서 취약성을 보완하는 생체인식기반의 인증 및 키 동의 스킴을 제안했다. 이들 스킴은 등록, 로그인, 인증, 패스워드 변경의 4단계로 구성되며 이 절에서 각 단계에 대해 간략하게 검토한다. 본 논문에서 사용되는 표기는 표 1과 같다.

Table 1.

Notations used in this paper

2.1 등록단계

등록단계에서는 사용자(환자) U_i는 TMIS 서버 S_j에게 등록을 수행하고 서버는 스마트카드를 발행한다(그림 1).

Fig. 1.

Registration phase

(1) 사용자 U_i는 자신의 식별자 ID_i, 패스워드 PW_i를 선택하고 자신의 생체인식정보 B_i를 입력한다.

(2) 사용자는 MP_i= PW_i⊕H(B_i)를 계산하고 [ID_i, MP_i]를 등록을 위해 보안채널을 통해 서버 S_j로 전송한다.

(3) 등록 요구를 수신한 S_j는 개인 키 x를 사용하여 다음을 계산하고 [AID_i, V_i, h₁(), h₂(), H()]를 스마트카드(SC_i)에 저장하여 U_i에게 안전한 채널로 보낸다.

• ∙ V_i=h₁(ID_i∥MP_i)
• ∙ AID_i=ID_i⊕h₂(x)

2.2 로그인 단계

로그인 단계에서는 사용자 U_i가 로그인 메시지를 작성하여 서버 S_j로 전송하는 과정이다(그림 2).

Fig. 2.

Login and authentication phase

(1) U_i는 먼저 스마트카드 SC_i를 삽입하고 ID_i, 패스워드 PW_i 및 생체인식정보 Bi를 입력하면 SC_i는 h₁(ID_i∥PW_i⊕H(B_i))=V_i가 일치하는지 여부를 확인한다.

(2) 일치되면 스마트카드 SC_i는 시스템의 타임스탬프 T₁과 임의의 수 du를 선택하고 cyclic group의 duP를 생성한 다음 아래와 같이 계산하여 로그인 요청메시지[M₁, M₂, AID_i, T₁]를 S_j로 보낸다.

• ∙ K=h₁(ID_i∥ID_i⊕AID_i)
• ∙ M₁=K⊕duP
• ∙ M₁=h₁(ID_i∥duP∥T₁)

2.5 Lu et al.‘s scheme의 분석토의

Lu et al'.s 스킴의 제안은 Arshad et al'.s 스킴의 오프라인 패스워드 추측공격이 쉽고 사용자 식별자의 취약함으로 위장공격에 노출되어 이를 방지하기 위해 생체인식 기반의 인증스킴을 제안하였다.

Lu et al'.s는 합법적 제3자가 사용자와 서버를 연결하는 전체 통신채널을 완전히 제어하여 공개채널을 통해 전송된 메시지를 도청, 수정, 삽입을 할 수 있다고 해도 표 2와 같이 익명성과 위장공격, 상호인증 등에 안전하다고 주장했다.

Table 2.

Discussion of Lu et al'.s scheme

그러나 합법적인 제3자는 로그인과정에서 메시지를 도청하여 사용자의 식별자를 알아내고 식별자를 이용하여 위장공격에 사용됨을 아래와 같이 증명한다.

① 등록과정에서의 오류

모든 사용자(ID_n)들은 자신의 식별자(ID_n)와 MP_n을 안전한 채널로 서버 S_j에게 전송한다. 서버는 V_n과 AID_n을 계산하여 스마트카드에 저장하고 안전한 채널로 U_n에게 전송한다.

• ∙ V_n=h₁(ID_n∥MP_n)
• ∙ AID_n=ID_n⊕h₂(x)

사용자들은 자신의 식별자를 사용하여 서버 S_j의 해시값 h₂(x)를 공통으로 보유하게 된다.

• ∙ h₂(x)=AID_n⊕ID_n

② 로그인에서 사용자 식별자의 노출

모든 합법적 사용자들은 ①에서 h₂(x)를 보유하고 있다. 합법적 사용자 U_i가 로그인을 위해 AID_i를 비보호채널로 서버 S_j로 전송할 때 합법적인 제3자(U_j)는 도청할 수 있다.

• ∙ AID_i=ID_i⊕h₂(x)

U_j는 자신이 계산한 h₂(x)와 AID_i를 이용하여 사용자 U_i의 식별자를 다음과 같이 유도하여 계산할 수 있다.

• ∙ ID_i=AID_i⊕h₂(x)

위 2가지의 오류 및 노출문제를 가지고 다음과 같이 Lu et al.'s 스킴의 어떤 취약점이 있는지 시나리오를 통해 3장에서 분석한다.

이와 같이 비밀정보 h₂(x)는 모든 사용자들에게 공통된 값을 보유하게 됨으로 합법적 사용자의 식별자(ID)를 쉽게 알아낼 수 있다. 이로 인해 합법적 사용자인 것처럼 서버에 접근할 수 있다.

특히 서버에서 사용자 식별자 인증부재로 Lu et al.'s 스킴은 로그인을 요청하는 사용자가 누구인지에 대한 사용자 식별자의 적절성 여부를 검증하지 않는다.

이러한 식별자의 검증부재는 어떠한 식별자가 로긴 요청을 했을 때 서버는 정해진 메커니즘을 수행하고 사용자 또한 합법적 서버와의 세션이 성립되어 있는지의 여부를 확인하지 않음으로써 위장공격과 동시로그인공격에 취약하다.

Ⅲ. Lu et al.'s 스킴의 보안 취약성

이 절에서는 Lu et al.'s scheme에서 주장한 보안의 목표를 달성하지 못한다는 것을 분석한다. 공격 모델에서 전력 소모를 모니터링 함으로써 사용자 U_i의 스마트카드에 저장된 값을 공격자가 얻을 수 있다고 가정을 하지 않아도 로긴 메시지를 도청하여 합법적 사용자의 모든 생성정보를 만들 수 있는 큰 취약점이 있다. 본 절에서는 시나리오를 통해 Lu et al.'s 스킴의 취약점을 분석한다.

3.2 사용자 위장공격

3.1절에서와 같이 합법적 다른 사용자들은 사용자 U_i의 로긴 메시지를 도청하여 ID_i, K, M₁, M₂ 모두 알아냈다. 합법적 다른 사용자 U_j는 사용자 U_i로 위장 공격하는 시나리오는 그림 3과 같다.

Fig. 3.

User impersonation attack

(1) U_j는 무작위 수 d'u, T₁'을 선택하여 다음을 계산하여 서버 S_j로 로긴메시지 [M'₁, M'₂, AID_i, T₁']을 전송한다.

• ∙ K'=h₁(ID_i∥h₂(x))
• ∙ M'₁=K'⊕d'uP
• ∙ M'₂=h₁(ID_i∥T₁'∥d'uP)

(2) [M'₁, M'₂, AID_i, T₁']을 수신한 S_j는 타임스탬프 ∣Tc-T₁'∣＜△T를 검증하여 타당하면 전송 주체인 사용자 아이디를 알아낸다.

• ∙ ID_i=AID_i⊕h₂(x)

(3) S_j는 무작위 수 ds와 타임스탬프 T₂를 선택하여 다음을 계산하고 U_j에게 [M₃, M₄, T₂]를 전송한다.

• ∙ M₃=h₁(ID_i∥h₂(x)⊕dsP)
• ∙ SK=ds(duP)
• ∙ M₄=h₁(K∥T₂∥SK∥duP)

(4) [M₃, M₄, T₂]를 수신한 U_j는 다음을 계산하고 서버 S_j에게 [M₅, T₃]를 전송한다.

• ∙ dsP=K⊕M₃
• ∙ SK=dsP(d'u)
• ∙ M₄=h₁(K∥T₂∥SK∥duP)=?M'₄
• ∙ M₅=h₁(K∥T₃∥SK∥dsP)

(5) S_j는 T₃의 유효성을 체크한 다음 만족하면 M'₅를 계산하여 U_j를 U_i로 인증하고 세션 키 SK를 승인한다.

• ∙ M'₅=h₁(K∥T₃∥SK∥dsP)=?M₅

이와 같이 제3자인 U_j는 합법적 사용자 U_i로 위장할 수 있다.

3.3 서버 위장공격

Lu et al'.s 스킴은 합법적인 사용자가 합법적인 서버로 위장 할 수 있다. 합법적인 제3자 U_j가 TMIS 서버로 위장하는 시나리오는 그림 4와 같다.

Fig. 4.

Server impersonation attack

(1) U_i가 로그인 및 인증 과정을 수행하기 위해 [M₁, M₂, AID_i, T₁]을 S_j로 전송하면 U_j는 로그인 메시지를 가로 챈다.

(2) U_j는 값 h₂(x)를 사용하여 ID_i의 식별을 검색하기 위해 AID_i⊕h₂(x)를 계산한다. 이후 U_j는 난수 d's를 선택하고 다음을 계산하여 [M'₃, M'₄, T₂]를 U_i로 전송한다.

• ∙ M'₃ = h₁(ID_i∥h₂(x))⊕d'sP,
• ∙ SK'=d's(duP),
• ∙ M'₄ = h₁ (K∥duP∥SK'∥T₂)

(3) U_i 타임스탬프 T₂의 유효성을 확인하고 다음을 계산하여 메시지 M₄를 검증한다.

• ∙ K ⊕ M'₃ = d'sP,
• ∙ SK = du(d'sP),
• ∙ M'₄ =? h₁ (K∥duP∥SK∥T₂)

U_i는 검증이 정확하고 U_j를 합법적인 서버로 간주하기 때문에 세션 키 SK를 승인한다.

따라서 합법적인 환자는 다른 모든 사용자에게 합법적인 서버인지 시뮬레이션 할 수 있다.

Ⅳ. 분석결과

Arshad et al.'s 스킴의 위장공격 취약점을 개선하기 위해 제안한 Lu et al'.s의 스킴은 자신들의 분석에서 인증세션에 참여한 사용자(환자)들에 대해 추적이 불가능하며 제3자가 사용자의 식별자(ID) 및 서버 S_j의 개인키 x를 찾아내지 못하므로 유효한 로그인 요청 메시지[M₁, M₂, AID_i, T₁]을 생성할 수 없어서 위장공격에 안전하다고 주장했다. 또한 S_j는 타임스탬프 T₁과 M'₂=?M₂가 유효한지 검사함으로써 사용자를 인증하고 사용자는 타임스탬프 T₂와 M₄=h₁(K∥T₂∥SK∥duP)=?M'₄가 만족하면 서버 S_j를 믿을 수 있다고 주장했다.

그러나 분석한 결과 공격의 시나리오에서와 같이 합법적 제3자의 도청공격에 의하여 사용자 및 서버의 위장공격, 사용자 동시 로그인공격, 상호인증, 익명성 등에서 취약함이 드러났다.

표 3에서 Lu et al'.s의 스킴은 Arshad 등의 스킴의 위장공격에 대한 약점을 수정하여 효율적인 개선에 목표를 두고 제시하였다. 제안 된 기법에서는 오프라인 패스워드 추측 공격에 저항하기 위해 생체정보를 사용하고 이를 보호하기 위해 Bio hashing을 채택하여 높은 거부률에 대처하였다.

Table 3.

Reanalysis result of security properties

그러나 분석한 결과 각 사용자들의 식별자와 생체인식 정보를 등록하는 과정에서 서버의 비밀정보 h₂(x)가 공통 파라미터로 모든 합법적인 사용자는 보유하게 되었고 이로 인해 다른 정당한 사용자의 로그인정보를 통해서 로그인하는 사용자의 식별자를 노출시켰다.

본 논문에서 Lu et al'.s 스킴을 재분석한 결과 모든 합법적 제3의 사용자는 도청공격으로 합법적 사용자의 식별자를 얻을 수 있으며 이로 인해 사용자 및 서버의 위장공격이 쉽게 성립됨을 보였다.

Lu et al'.s 스킴은 서버와 사용자의 인증 프로시저에서 duP와 duS가 이전의 값이 아니라는 신성성에 대한 체크항목이 없어서 대안이 될 수 없다. 이로 인해 동일한 메시지가 대량 복사되어 반복적으로 로그인을 했을 때 반복적인 인증처리로 프로세서에 부하가 발생하여 자원을 고갈 시킬 수 있다.

Lu et al'.s 스킴에서 로그인 메시지에 사용자의 식별자가 서버측에서 사용자에 대한 인증이 이루어지나 사용자측에서 서버의 인증메시지를 확인할 수 없어 상호인증이 결여되어 있다.

그러므로 세션 키에 대한 합의(△)도 사용자와 서버 간에 완전히 인증결과(사용자와 서버의 식별자 확인)에 동의하기 어렵다.

Ⅴ. 개선방안

첫째 도청에 의한 로긴 메시지 노출의 문제해결 방안으로 익명성과 기밀성을 위해 파라미터 AID_i를 사용자마다 다른 값을 유도하며 h₂(x)는 노출되지 않도록 해시 값과 대칭키를 유도하는 파라미터를 생성하여 사용하는 방법이다. 즉 서버의 비밀키 x와 임의 난수를 사용하여 사용자 및 서버의 위장공격으로부터 안전하게 한다. 둘째, Lu et al'.s의 스킴에서 사용자 및 서버의 식별자를 검증하지 않으므로 상호인증에서 정확하지 않다. 로긴메시지와 인증메시지에 식별자검출을 위한 파라미터를 추가하여 검증하도록 한다. 셋째, 로긴메시지에서 전송한 사용자의 식별자 ID_i가 확인되면 동시 로그인 공격(DoS)을 대비하여 임시저장소에 ID_i, 검증값, 타임스탬프 T_i, 상태비트(0/1)를 일시 저장하여 세션이 끝나면 상태비트는 “0”으로 세팅한다. 즉 한 세션동안 동일한 식별자로 동시에 다량의 메시지를 보낼 때 S_j는 세션을 거절한다.

Ⅵ. 결 론

원격서버에 대한 사용자 인증 메커니즘들은 악의적인 또는 합법적인 제3자에 의해 데이터의 도청과 위변조 공격에 쉽게 노출될 수 있다. 따라서 등록단계에서 사용자정보를 보호할 수 있는 파라미터들을 사용한 인증기술이 필요하다.

본 논문에서 TMIS에 대한 Lu et al's 생체기반 인증스킴의 보안성을 분석하였다.

Lu et al.'s의 생체 인증기반 방식의 보안을 분석한 결과 사용자의 익명성이 쉽게 노출되고 합법적 제3자에 의한 도청공격에 대해 안전하지 않으므로 텔레 케어 서버가 제공하는 모든 서비스에 액세스 할 수 있는 합법적인 사용자와 서버로 위장 할 수 있다는 것을 보여주었다.

References

• C. C. Chang, W. Y. Hsueh, and T. F. Cheng, "An advanced anonymous and biometrics-based multiserver authentication scheme using smart cards", International Journal of Network Security, 18(6), p1010-1021, (2016).
• D. B. He, J. H. Chen, and R. Zhang, "A more secure authentication scheme for telecare medicine information systems", Journal of Medical Systems, 36(3), p1989-1995, Jun.), (2012. [https://doi.org/10.1007/s10916-011-9658-5]
• J. Wei, X. Hu, and W. Liu, "An improved authentication scheme for telecare medicine information systems", Journal of Medical Systems, 36(6), p3597-3604, Dec.), (2012. [https://doi.org/10.1007/s10916-012-9835-1]
• Z. Y. Wu, Y. C. Lee, F. Lee, H. C. Lee, and Y. Chung, "A secure authentication scheme for telecare medicine information systems", Journal of Medical Systems, 36(3), p1529-1535, Jun.), (2012. [https://doi.org/10.1007/s10916-010-9614-9]
• H. Zhu, "Secure chaotic maps-based group key agreement scheme with privacy preserving", International Journal of Network Security, 18(6), p1001-1009, Nov.), (2016.
• M. L Das, A. Saxena, and V. P Gulati, "A dynamic ID-based remote user authentication scheme", IEEE Transactions on Consumer Electronics, 50(2), p629-631, May), (2004. [https://doi.org/10.1109/TCE.2004.1309441]
• M. C. Chuang, M. Chang Chen, "An anonymous multi-server authenticated key agreement scheme based on trust computing using smart cards and biometrics", Expert Systems with Applications, 41(4), p1411-1418, Mar.), (2014. [https://doi.org/10.1016/j.eswa.2013.08.040]
• C. T. Li, and M. S. Hwang, "An efficient biometrics-based remote user authentication scheme using smart cards", Journal of Network and Computer Applications, 33(1), p1-5, Jan.), (2010. [https://doi.org/10.1016/j.jnca.2009.08.001]
• E. J. Yoon, and K. Y. Yoo, "Robust biometrics based multi-server authentication with key agreement scheme for smart cards on elliptic curve cryptosystem", The Journal of Supercomputing, 63(1), p235-255, Jan.), (2013. [https://doi.org/10.1007/s11227-010-0512-1]
• D. Yang, and B. Yang, "A biometric password based multi-server authentication scheme with smart card", In IEEE International Conference on computer design and applications(ICCDA), p554-559, Jun.), (2010.
• D. Mishra, A. K. Das, and S. Mukhopadhyay, "A secure user anonymity-preserving biometric based multi-server authenticated key agreement scheme using smart cards", Expert Systems with Applications, 41(18), p8129-8143, Dec.), (2014. [https://doi.org/10.1016/j.eswa.2014.07.004]
• C. T. Li, C. C. Lee, H. H. Chen, M. J. Syu, and C. C. Wang, "Cryptanalysis of an anonymous multi-server authenticated key agreement scheme using smart cards and biometrics", Information Networking (ICOIN), International Conference on, p498-502, Jan.), (2015. [https://doi.org/10.1109/ICOIN.2015.7057955]
• K. C. Baruah, S. Banerjee, M. P. Dutta, and C. T. Bhunia, "An Improved Biometric-based multiserver Authentication Scheme Using Smart Card", International Journal of Security and Its Applications, 9(1), p397-408, Jan.), (2015. [https://doi.org/10.14257/ijsia.2015.9.1.38]
• K. C. Shin, "Analysis and security improvements to Mishra et al'.s authentication", Journal of Security Engineering, 13(4), p261-278, Aug.), (2016. [https://doi.org/10.14257/jse.2016.08.01]
• A. K. Awasthi, and K. Srivastava, "An enhanced biometric authentication scheme for telecare medicine information systems with nonce", Journal of Medical Systems, 37(12), p9964-9976, (2013). [https://doi.org/10.1007/s10916-013-9964-1]
• H. Arshad, and M. Nikooghadam, "Three-factor anonymous authentication and key agreement scheme for telecare medicine information systems", J. Med. Syst., 38(12), p1-12, Dec.), (2014. [https://doi.org/10.1007/s10916-014-0136-8]
• Y Lu, L. Li, H. Peng, and Y. Yang, "An enhanced biometric-based authentication scheme for telecare medicine information system using elliptic curve cryptosystem", Journal of Medical Systems, 39(3), p1-9, Mar.), (2015. [https://doi.org/10.1007/s10916-015-0221-7]
• S. Qiu, G. Xu, H. Ahmad, and L. Wang, "A robust mutual authentication scheme based on elliptic curve cryptography for telecare medical information systems", IEEE access, 6, p7452-7463, Mar.), (2018. [https://doi.org/10.1109/ACCESS.2017.2780124]
• Q. Jiang, Z. Chen, B. Li, J. Shen, L. Yang, and J. Ma, "Security analysis and improvement of bio-hashing based three-factor authentication scheme for telecare medical information systems", Journal of Ambient Intelligence and Humanized Computing, 9(4), p1061-1073, Aug.), (2018. [https://doi.org/10.1007/s12652-017-0516-2]