멀티서버 환경에서 대칭키 기반 이중채널 인증스킴 설계

Ⅰ. 서 론

원격 사용자인증은 모든 보안 구조설계의 중요한 구성요소로써 인가된 사용자와 불법적인 사용자를 정확하게 구분할 수 있는 메커니즘이어야 한다[1]. 원격인증의 활용은 인터넷에 의해 PC와 모바일기기로 원격의료, 원격모니터링, 헬스케어, 온라인뱅킹, 온라인교육 등 수많은 서비스가 있다[2][3].

원격진료 의료정보시스템(TMIS, Telecare Medicine Information System)을 이용하면 의사가 오픈 채널을 통해 환자에게 실시간으로 의료상태에 대해 빠르게 접근하고 모니터링 할 수 있다[4]. 원격의료가 개인에게는 민감한 의료정보이기 때문에 공격자가 환자의 민감한 정보를 유추하는 것을 차단하는 것이 매우 중요하며 이를 위해 원격 사용자 인증시스템을 구현하여 합법적인 사용자만 TMIS에 접근하도록 할 수 있도록 하여야 한다[5]-[7].

최근 다수의 연구에서 많은 연구자들이 아이디, 비밀번호, 생체(예: 지문, 홍채) 및 스마트카드를 결합하여 보안을 강화하고 사용자 프라이버시를 보장하기 위해 3 파라미터 인증기법을 제안했다[8][9].

사용자의 개인 정보보호와 익명성을 위해 많은 연구에서 퍼지 추출기와 ECC(Elliptic Curve Cryptography)를 사용하는 생체기반 다중서버 인증방식을 제시했지만 계산, 통신 및 저장 요구사항에 대한 비용이 매우 높고 그들의 주장만큼 안전하지 않다는 것이 밝혀지고 있다[10]-[15]. 따라서 다중 서버 환경에서 합법적인 사용자를 위한 효율적인 보안 서비스를 제공하기 위해서는 안전한 인증 및 키 동의(AKA, Authentication and Key Agreement) 방식이 필요하다. 2019년 Barman et al’.s[4]는 퍼지추출기를 사용하여 헬스케어에 대한 인증스킴을 제안하였으나 알려진 많은 공격(서버/사용자 위장공격, 임시 비밀번호 유출, 사용자 익명성 부족 등)에 취약하다고 2020년 Ali et al’.s[16]이 분석하고 설계오류 문제를 개선한 인증 및 키 동의 방식의 인증스킴을 제안했다.

Ali et al’.s는 다중서버 환경에서 보안 서비스를 제공하기 위해 생체기반 키 동의 방식을 설계하여 위장공격, 세션 키 노출 및 내부자 공격과 같은 다양한 보안 위협에 안전하며 상호인증, 익명성 및 완전한 순방향 비밀성을 보장할 수 있다고 주장했다.

본 논문에서는 Ali et al’.s 스킴이 중간자공격(MITM, Man-In-The-Middle)에 의한 세션 키 노출, 스마트카드 도난에 의한 사용자 위장공격, 상호인증에 취약하다는 것을 증명하고 이러한 보안 위협을 해결하기 위한 개선방안을 제안한다.

제안방식은 QR-code와 데이터의 전송경로를 2중채널로 하여 중간자공격의 위험성을 감소시키고 2-factor(QR_Code, 스마트카드)를 사용하는 대칭키 기반의 인증시스템으로 트랜잭션의 섹션에서만 유효한 비밀파라미터를 임시 저장하는 데이터베이스를 활용하여 설계한 스킴이다.

Ⅱ. Ali et al.‘s 스킴 리뷰

Ali et al.'s scheme은 Barman et al.'s scheme[4]의 설계오류와 익명성, 사용자/서버의 위장공격 등 취약성을 분석하고 이에 따른 결함을 해결하기 위해 다중 서버 환경에서 대칭키 기반 인증 및 키 동의 방식을 제안하였다.

Ali et al.'s 스킴의 구조는 등록센터(RC, Regis_tration Center), 사용자/환자(User/Patient), 의료서버(MS, Medical Server)이고 과정프로세스는 등록프로세스와 로그인 및 키 동의 프로세스로 구성되며 사용된 표기는 표 1에서 용어를 정리하였다.

Table 1.

Notation and description

2.1 등록 과정

이 단계에서는 사용자/환자(이하 사용자)들과 의료서버(이하 서버)들이 등록센터에 등록하는 절차(그림 1)이다.

Fig. 1.

Summary of registration process

2.1.1 서버등록 프로세스

모든 서버는 등록센터에 등록해야 한다. 등록을 위해 각 서버 S_j(1≤j≤n)는 아이디 SID_j를 안전한 채널로 등록센터에 전송하고 등록센터는 비밀키 K_RC를 사용하여 S_privj=h(SID_j||K_RC)를 계산하고 S_j로 전송한다. 모든 서버의 S_priv*(1≤*≤n)는 등록센터와 서버간의 공유키로 등록센터의 데이터베이스에 저장한다.

2.1.2 사용자등록 프로세스

모든 사용자들도 서비스를 이용하기 위해 등록센터에 등록해야 한다. 사용자 및 등록센터는 다음 단계를 수행함으로써 등록을 완료한다.

1단계 : 사용자가 자신의 아이디와 패스워드(PID_i, PWDi)를 선택하고 HID_i=h(PID_i)를 계산하여 등록센터에 전송, 등록요청을 한다.

2단계 : 등록센터는 무작위수 R_rand1과 사용자의 일시적(임시) 식별자 TPID_i를 선택한 후 Auth_i=h(K_RC∥HID_i∥R_rand1), R_i=E_KRC[Auth_i, R_rand1, HID_i], K_i=h(HID_i∥R_rand1)을 계산한다. 등록센터는 스마트카드에 {K_i, R_i, TPID_i}를 저장하여 안전한 채널로 사용자에게 전송한다.

3단계 : 사용자는 생체정보(BIO_i)를 퍼지추출함수 이용하여 생성자 Gen(BIO_i)=(σ_i, τ_i)로 정규화된 랜덤스트링 σ_i와 헬퍼스트링 τ_i를 생성하고 이후 로그인 메시지 생성 할 때 사용자 자신의 인증을 위해 A_i=h(PID_i∥PWD_i∥σ_i)를 계산한다. 또한 스마트카드의 보안을 목적으로 R’_i=R_i⊕h(PWD_i∥σ_i), K’_i=K_i⊕h(PWD_i∥σ_i), TPID’_i=TPID_i⊕h(PWD_i∥σ_i)을 계산하여 스마트카드에 다시 저장한다. 스마트카드는 {R_i, K_i, TPID_i}을 {R’_i, K’_i, TPID’_i}으로 대치하여 최종 저장되는 파라미터는 {A_i, R’_i, K’_i, TPID’_i, Gen(), Rep(), τ_i}이다.

2.2 로그인 및 키 동의 과정

사용자가 서버에 로그인과 인증, 키 동의 과정을 수행하는 단계(그림 2)이다.

Fig. 2.

Summary of login and authentication process

1단계: 사용자는 스마트카드 SC_i를 삽입하고 PID_i, 생체정보 BIO’_i, PWD_i를 입력한다. 스마트카드의 정보복구를 위해 퍼지추출기 Rep(Bio’_i, τ_i)를 통해서 정상적인 σ’_i를 생성해 낸다. 입력된 정보를 사용하여 h(PID_i∥PWD_i∥σ’_i)을 계산하고 A_i와 비교한다. 비교하여 A_i와 일치하면 자신의 소유자 인증이 확인되었으므로 로그인정보 생성을 위해 임의의 수 R_rand2와 타임스탬프 T1을 선택한다. 사용자만의 패스워드와 생체정보로 SC_i에 대치되었던 파라미터들을 R_i=R’_i⊕h(PWD_i∥σ’_i), K_i=K’_i⊕h(PWD_i∥σ’_i), TPID_i=TPID’_i⊕h(PWD_i∥σ’_i)로 계산하여 복구한다. 다음은 로그인 정보의 생성과정 식 (1)이다.

$\[ \begin{array}{l}{\mathrm{H}\mathrm{I}\mathrm{D}\mathrm{\text{'}}}_{\mathrm{i}}=\mathrm{h}\left({\mathrm{P}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\right)\\ {\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2}={\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2}\oplus {\mathrm{H}\mathrm{I}\mathrm{D}\mathrm{\text{'}}}_{\mathrm{i}}\\ {\mathrm{T}\mathrm{P}\mathrm{I}\mathrm{D}\mathrm{"}}_{\mathrm{i}}={\mathrm{T}\mathrm{P}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\oplus {\mathrm{H}\mathrm{I}\mathrm{D}\mathrm{\text{'}}}_{\mathrm{i}}\\ \mathrm{T}\mathrm{\text{'}}\mathrm{l}=\mathrm{T}1\oplus {\mathrm{H}\mathrm{I}\mathrm{D}\mathrm{\text{'}}}_{\mathrm{i}}\\ {\mathrm{W}}_{\mathrm{i}}=\mathrm{h}\left({\mathrm{H}\mathrm{I}\mathrm{D}\mathrm{\text{'}}}_{\mathrm{i}}∥{\mathrm{K}}_{\mathrm{i}}∥\mathrm{T}1\right)\end{array} \]$

(1)

이와 같이 생성된 로그인 정보 Msg1=( R_i, SID_j, R’_rand2, W_i, TPID”_i, T’1 )을 공개채널을 통해서 등록센터로 전송된다.

2단계: 등록센터는 Msg1을 수신하여 정상적인 등록자인지를 확인하기 위해 등록센터의 비밀키로 R_i를 복호화하고 다음 식 (2)를 진행한다.

$\[ \begin{array}{l}{\mathrm{D}}_{\mathrm{K}\mathrm{R}\mathrm{C}}\left[{\mathrm{R}}_{\mathrm{i}}\right]=\left[{\mathrm{A}\mathrm{u}\mathrm{t}\mathrm{h}}_{\mathrm{i}},{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}1,} {\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\right]\\ \mathrm{T}\mathrm{l}=\mathrm{T}\mathrm{\text{'}}1\oplus {\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\\ \left|\mathrm{T}1-\mathrm{T}\mathrm{\text{'}}1\right|\le △\mathrm{T}\end{array} \]$

(2)

이와 같이 메시지의 적시성으로 |T1 −Tc|≤△T을 체크하여 조건이 만족하면 다음과 같이 정당한 사용자인지를 확인(식 (3))한다.

$\[ \begin{array}{l}{\mathrm{W}}_{\mathrm{i}}=?\mathrm{h}\left({\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}∥\mathrm{h}\left({\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\parallel {\mathrm{K}}_{\mathrm{R}\mathrm{C}}\right)∥\mathrm{T}1\right)\\ {\text{ Auth}}_{\mathrm{i}}=?\mathrm{h}\left({\mathrm{K}}_{\mathrm{R}\mathrm{C}}∥{\mathrm{H}\mathrm{I}\mathrm{D}\mathrm{\text{'}}}_{\mathrm{i}}∥{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}\text{1}}\right)\end{array} \]$

(3)

서버로 전송될 로그인정보를 위해 TPID_i, R_rand2를 복구한 다음 타임스탬프 T2를 선택한다.

$\[ \begin{array}{c}{\mathrm{T}\mathrm{P}\mathrm{I}\mathrm{D}}_{\mathrm{i}}={\mathrm{T}\mathrm{P}\mathrm{I}\mathrm{D}"}_{\mathrm{i}}\oplus {\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\\ {\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2}={\mathrm{R}\mathrm{\text{'}}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2}\oplus {\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\end{array} \]$

(4)

등록센터는 다음과 같이 대칭키 K_j와 세션키 정보를 계산하여 G_RC, SID_j를 서버로 전송한다.

$\[ \begin{array}{l}{\mathrm{K}}_{\mathrm{j}}=\mathrm{h}\left({\mathrm{S}\mathrm{I}\mathrm{D}}_{\mathrm{j}}\parallel {\mathrm{K}}_{\mathrm{R}\mathrm{C}}\right)\\ {\mathrm{W}}_{\mathrm{R}\mathrm{C}}=\mathrm{h}\left({\mathrm{K}}_{\mathrm{j}}\parallel \mathrm{T}2\right)\\ {\mathrm{Y}}_{\mathrm{R}\mathrm{C}}=\mathrm{h}\left({\mathrm{S}\mathrm{I}\mathrm{D}}_{\mathrm{j}}∥{\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}∥{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2}\parallel \mathrm{T}1\right)\\ {\mathrm{G}}_{\mathrm{R}\mathrm{C}}={\mathrm{E}}_{\mathrm{K}\mathrm{j}}\left[{\mathrm{T}\mathrm{P}\mathrm{I}\mathrm{D}}_{\mathrm{i}},{\mathrm{W}}_{\mathrm{R}\mathrm{C}},{\mathrm{Y}}_{\mathrm{R}\mathrm{C}},\mathrm{T}1,\mathrm{T}2\right]\end{array} \]$

(5)

3단계: 서버는 등록센터로부터 G_RC, SID_j를 수신하고 공유비밀키를 사용하여 G_RC를 복호화한다. 등록센터를 인증할 정보와 세션키 생성정보, 서버를 인증할 수 있는 파라미터를 계산하는 과정은 식 (6)과 같다.

$\[ {\mathrm{D}\mathrm{s}}_{\mathrm{p}\mathrm{r}\mathrm{i}\mathrm{v}\mathrm{j}}\left[{\mathrm{G}}_{\mathrm{R}\mathrm{C}}\right]={\mathrm{T}\mathrm{P}\mathrm{I}\mathrm{D}}_{\mathrm{i}},\mathrm{ }\mathrm{ }{\mathrm{W}}_{\mathrm{R}\mathrm{C}},{\mathrm{Y}}_{\mathrm{R}\mathrm{C}},\mathrm{T}1,\mathrm{T}2 \]$

(6)

메시지의 적시성을 |T2-Tc|≤△T로 확인하고 만족하면 등록센터를 인증하기 위해 아래와 같이 비교한다. 일치하면 다음단계를 진행하고 그렇지 않으면 종료시킨다.

$\[ {\mathrm{W}}_{\mathrm{R}\mathrm{C}}=?\mathrm{h}\left({\mathrm{S}}_{\mathrm{p}\mathrm{r}\mathrm{i}\mathrm{v}\mathrm{j}}‖\mathrm{T}2\right) \]$

(7)

서버는 타임스탬프 T3를 선택하여 세션키와 인증정보를 계산(식 (8))한다.

$\[ \begin{array}{l}{\mathrm{S}\mathrm{K}}_{\mathrm{i}\mathrm{j}}=\mathrm{h}\left({\mathrm{Y}}_{\mathrm{R}\mathrm{C}}∥{\mathrm{S}\mathrm{I}\mathrm{D}}_{\mathrm{j}}∥\mathrm{T}3\right)\\ {\mathrm{W}}_{\mathrm{S}\mathrm{j}}=\mathrm{h}\left({\mathrm{S}\mathrm{K}}_{\mathrm{i}\mathrm{j}}\parallel \mathrm{T}1\parallel \mathrm{T}3\right)\end{array} \]$

(8)

서버는 사용자에게 W_Sj, T3, TPID_i을 전송한다.

4단계: 사용자는 W_Sj, T3, TPID_i을 수신하고 메시지의 적시성 |T3−Tc |≤△T를 확인하여 조건이 맞으면 다음을 진행하고 다르면 종료시킨다.

사용자는 Y_i를 계산하고 세션키(SK’_ij)를 생성한다.

$\[ \begin{array}{l}{\mathrm{Y}}_{\mathrm{i}}=\mathrm{h}\left({\mathrm{S}\mathrm{I}\mathrm{D}}_{\mathrm{j}}∥{\mathrm{H}\mathrm{I}\mathrm{D}\mathrm{\text{'}}}_{\mathrm{i}}∥{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2}\parallel \mathrm{T}1\right)\\ {\mathrm{S}\mathrm{K}\mathrm{\text{'}}}_{\mathrm{i}\mathrm{j}}=\mathrm{h}\left({\mathrm{Y}}_{\mathrm{i}}∥{\mathrm{S}\mathrm{I}\mathrm{D}}_{\mathrm{j}}∥\mathrm{T}3\right)\end{array} \]$

(9)

다음 등록센터와 서버를 인증하기 위해 아래와 같이 해시값을 W_Sj와 비교하여 일치하면 성공적으로 로그인과 인증 및 세션키 생성이 종료된다.

$\[ {\mathrm{W}}_{\mathrm{S}\mathrm{j}}=?\mathrm{h}\left({\mathrm{S}\mathrm{K}\mathrm{\text{'}}}_{\mathrm{i}\mathrm{j}}\parallel \mathrm{T}1\parallel \mathrm{T}3\right) \]$

(10)

Ⅲ. Ali et al.’s 스킴의 분석

Ali et al'.s 스킴의 제안은 Barman et al'.s 스킴의 몇 가지 결점인 내부자공격, 알고리즘의 논리적 오류, 도난 검증자 공격, 사용자 위장공격 등을 해소하기 위해 대칭키 기반의 인증 및 키 동의 스킴을 제안하였다.

재분석결과 Ali et al’.s 스킴은 사용자의 ID를 사용하지 않고 등록센터에 의해 임시 ID가 부여되므로 익명과 내부자공격을 보장하고 스마트카드 소지자를 확인하기 위해 자기 자신을 인증 할 때만 패스워드를 사용하므로 오프라인 패스워드 추측공격은 고려사항이 되지 않는다.

그러나 우리는 Ali et al.‘s 스킴이 등록과정에서 불필요한 정보를 생성하고 있는 점과 스마트카드 도난공격으로 인해 사용자의 합법적 위장이 이루어지고 있으며 전송정보 도청(중간자공격)으로 세션키가 노출되는 위험한 스킴임을 분석하였다.

Ⅳ. 제안 스킴

3장에서 Ali et al’.s 스킴이 공격자의 중간자공격에 의한 세션 키 노출과 스마트카드 도난에 따른 위장공격, 상호인증의 부정확 등 스킴설계에 많은 취약점을 가지고 있음을 보였다. 따라서 Ali et al’.s 스킴의 이러한 보안위협을 해결하기 위한 개선이 필요하다. 일반적으로 합법적인 공격자가 인증 및 키 동의 단계에서 메시지를 쉽게 삽입, 삭제, 가로채고 수정할 수 있으므로 모든 참가자는 대칭키를 사용하여 메시지를 안전하게 암호화하고 전송하는 것이 안전하다. 또한 다른 엔티티를 활용한 다중채널, 다중요소 인증시스템으로 개선하여 사용자들의 안전성을 보장해야 한다. 세션 키 SK_ij는 임의의 난수 또는 등록센터에서 1회성으로 생성되는 비밀 값들을 매개 변수로 구성되어야 한다. 그리고 중간자공격에 대응할 수 있는 인증방법으로 스마트 기기의 QR-code 인코딩(데이터를 코드화하고 압축하는)을 이용하여 인증하는 방법이다.

스마트카드를 분실하거나 도난당한 경우 악의적인 공격자는 합법적인 사용자로 위장하여 손쉽게 로그인 메시지를 생성할 수 있기 때문에 적법한 사용자와 서버만이 알거나 계산할 수 없는 비밀정보 값을 추가해야 한다. 또한 사용자의 PC와 스마트 기기를 활용한 두 가지 채널과 이중요소(2-channel, 2-factor)를 사용하는 인증시스템을 설계한다.

등록센터의 데이터베이스 활용으로 해당 트랜잭션의 섹션에서만 유효한 비밀파라미터를 임시 저장하는 저장소로 활용하면 가치를 높일 수 있다.

본 제안은 Ali et al’.s 스킴의 취약성을 개선할 목적으로 QR-code를 이용한 2중 채널과 대칭키 암호화를 기반으로 한 스킴이다. 본 제안스킴은 등록프로세스, 로그인 및 인증, 키 동의 프로세스로 구성된다.

4.1 등록프로세스

등록프로세스는 사용자/환자(이하 U)들과 의료서버(이하 S)들이 등록센터(이하 RC)에 등록(그림 3, 4)하는 절차이다.

Fig. 3.

Registration process

Fig. 4.

User registration process

4.1.1 서버등록 프로세스

Ali et al’.s 스킴의 서버등록 프로세스는 2.1.1과 동일하다.

4.1.2 사용자등록 프로세스

모든 U들은 서비스를 이용하기 위해 RC에 등록해야 한다.

1단계 : U_i가 자신의 PID_i, PWD_i를 선택하여 HID_i=h(PID_i∥PWD_i)를 계산하고 U_i의 아이피(IP_i)와 모바일기기 번호(P^#_i)를 RC로 전송하여 등록 요청을 한다.

2단계: RC는 임의의 수 R_rand1을 선택한 후 식 (14)를 계산한다.

$\[ \begin{array}{l}{\mathrm{A}\mathrm{u}\mathrm{t}\mathrm{h}}_{\mathrm{i}}=\mathrm{h}\left({\mathrm{K}}_{\mathrm{R}\mathrm{C}}∥{\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}∥{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}1}\right)\\ {\mathrm{R}}_{\mathrm{i}}={\mathrm{E}}_{\mathrm{K}\mathrm{R}\mathrm{C}}\left[{\mathrm{A}\mathrm{u}\mathrm{t}\mathrm{h}}_{\mathrm{i}},{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}\mathrm{l}\mathrm{ }},{\mathrm{H}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\right]\end{array} \]$

(14)

RC는 안전한 채널로 U_i에게 스마트카드에 {R_i}를 저장하여 전송하고 자신의 데이터베이스에 사용자 U_i의 등록정보 {IP_i,P^#_i}를 저장한다.

3단계: 사용자 U_i는 생체정보 BIO_i를 스캔하여 Gen(BIO_i)=(σ_i, τ_i)과 A_i=h(PID_i∥PWD_i∥σ_i)를 계산하고 스마트카드에 {A_i, R_i, Gen(), Rep()}를 저장한다.

4.2 로그인과 키 동의 프로세스

U_i가 S_j에 로그인하기 위해 수행하는 단계(그림 5)이다.

Fig. 5.

Login and key agreement process

1단계: U_i는 스마트카드 SC_i를 삽입하고 PID_i, PWD_i을 입력한다. 그 후 생체정보 BIO’_i를 스캔하여 Rep(BiO’_i, τ_i)=σ’_i와 h(PID_i∥PWD_i∥σ’_i)를 계산하고 Ui의 스마트카드에 저장되어 있는 Ai와 비교(A_i=?h(PID_i∥PWD_i∥σ’_i))한다. 만약 두 값이 일치하지 않으면 로그인절차를 중단한다. U_i의 자체인증이 성공하면 RC 메인페이지에 접속(QR_code 요청)한다. RC는 U_i의 IP주소를 통해서 데이터베이스에 등록된 스마트기기 번호를 확인한 후 사용자의 식별자 TPID_i를 선택하여 데이터베이스에 저장하고 QR_code로 인코딩(Encode(TPID_i))하여 사용자에게 전송한다. 사용자는 스마트기기로 웹브라우저에 출력된 QR_code를 촬영하여 디코딩(Decode(TPID_i))한 후 자신의 IP_i와 TPID_i를 RC로 전송한다. RC는 수신한 IP_i와 TPID_i, P^#_i를 통해 U_i를 확인하고 임의의 수 Nonce를 생성하여 사용자의 스마트기기로 전송한다. 사용자의 스마트기기는 로그인 정보를 암호화할 비밀키를 생성(K_i=h(TPID_i⊕Nonce)⊕HID_i)한다.

2단계: U_i는 R_rand2, T1을 선택하여 식 (15)를 계산하여 RC에 Msg1, T1, R_i를 전송한다.

$\[ \mathrm{M}\mathrm{s}\mathrm{g}1={\mathrm{E}}_{\mathrm{K}\mathrm{i}}\left[\mathrm{S}\mathrm{I}{\mathrm{D}}_{\mathrm{j}},\mathrm{ }\mathrm{ }{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2,\mathrm{ }}\mathrm{T}\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{i}}\right] \]$

(15)

3단계: RC는 Msg1, T1, R_i를 수신하여 타임스탬프 조건 |T1 −Tc|≤△T을 체크하고 참이면 다음을 진행한다. RC의 비밀키로 Ri를 복호화(D_KRC[R_i] =[Auth_i, R_rand1, HID_i])하여 정상적인 등록자 확인을 위해 Authi, R_rand1, HID_i를 획득하고 h(K_RC∥HID_i∥R_rand1)를 계산한다. 이 후 복호화된 파라미터 Auth_i와 비교(Auth_i=?h(K_RC∥HID_i∥R_rand1))하여 일치하지 않으면 세션을 중단하고 일치하면 정상적인 등록자이므로 Msg1을 복호화한다.

$\[ \begin{array}{l}{\mathrm{K}}_{\mathrm{i}}=\mathrm{h}\left(\mathrm{T}\mathrm{P}{\mathrm{I}\mathrm{D}}_{\mathrm{I}}⨁\mathrm{n}\mathrm{o}\mathrm{n}\mathrm{c}\mathrm{e}\right)\\ {\mathrm{D}}_{\mathrm{K}\mathrm{i}}\left[\mathrm{M}\mathrm{s}\mathrm{g}1\right]=\left[\mathrm{S}\mathrm{I}{\mathrm{D}}_{\mathrm{j}},\mathrm{ }\mathrm{ }{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2},\mathrm{ }\mathrm{ }\mathrm{T}\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{i}}\right]\end{array} \]$

(16)

RC는 타임스탬프 T2를 선택하고 식 (17)을 계산한다.

$\[ \begin{array}{l}{\mathrm{K}}_{\mathrm{i}}=\mathrm{h}\left({\mathrm{S}\mathrm{I}\mathrm{D}}_{\mathrm{j}}‖{\mathrm{K}}_{\mathrm{R}\mathrm{C}}\right)\\ {\mathrm{W}}_{\mathrm{R}\mathrm{C}}=\mathrm{h}\left({\mathrm{K}}_{\mathrm{j}}‖\mathrm{T}2\right)\\ {\mathrm{Y}}_{\mathrm{R}\mathrm{C}}=\mathrm{h}\left(\mathrm{S}\mathrm{I}{\mathrm{D}}_{\mathrm{j}}‖\mathrm{H}\mathrm{I}{\mathrm{D}}_{\mathrm{i}}‖{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}1}‖\mathrm{T}1\right)\\ \mathrm{M}\mathrm{s}\mathrm{g}2={\mathrm{E}}_{\mathrm{K}\mathrm{j}}\left[\mathrm{T}\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{i}},\mathrm{ }\mathrm{ }{\mathrm{W}}_{\mathrm{R}\mathrm{C},}\mathrm{ }{\mathrm{Y}}_{\mathrm{R}\mathrm{C}},\mathrm{T}1,\mathrm{ }\mathrm{I}{\mathrm{P}}_{\mathrm{i}}\right]\end{array} \]$

(17)

RC는 S_j로 Msg2, T2를 전송한다. 이후 RC는 데이터베이스에 임시 저장한 TPID_i와 Nonce를 삭제한다.

4단계: S_j는 RC로부터 Msg2, T2를 수신하고 메시지 적시성을 위해 타임스탬프 조건 |T2-Tc|≤△T을 체크하여 참이면 식 (18)을 계산한다.

$\[ {\mathrm{S}}_{\mathrm{p}\mathrm{r}\mathrm{i}\mathrm{v}\mathrm{j}}\left[\mathrm{M}\mathrm{s}\mathrm{g}2\right]=\left[\mathrm{T}\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{i}},\mathrm{ }\mathrm{ }{\mathrm{W}}_{\mathrm{R}\mathrm{C},}\mathrm{ }{\mathrm{Y}}_{\mathrm{R}\mathrm{C}},\mathrm{T}1,\mathrm{ }\mathrm{I}{\mathrm{P}}_{\mathrm{i}}\right] \]$

(18)

메시지의 적시성을 검증하고 W_RC=?h(S_privj∥T2)의 유효성 검사가 성공하면 S_j는 타임스탬프 T3을 선택하고 식 (19)를 계산한다.

$\[ \begin{array}{l}{\mathrm{S}\mathrm{K}}_{\mathrm{i}\mathrm{j}}=\mathrm{h}\left({\mathrm{Y}}_{\mathrm{R}\mathrm{C}}‖\mathrm{S}\mathrm{I}{\mathrm{D}}_{\mathrm{j}}‖\mathrm{T}3‖{\mathrm{T}\mathrm{P}\mathrm{I}\mathrm{D}}_{\mathrm{i}}\right)\\ {\mathrm{W}}_{\mathrm{S}\mathrm{j}}=\mathrm{h}\left({\mathrm{S}\mathrm{K}}_{\mathrm{i}\mathrm{j}}‖\mathrm{T}1‖\mathrm{T}3\right)\end{array} \]$

(19)

S_j는 W_Sj와 T3를 U_i로 전송한다.

5단계: 사용자 U_i가 W_sj, T3를 수신하고 메시지의 |T3−Tc |≤△T의 유효성 검사가 성공하면 세션키 생성과 서버 S_j의 확인을 위해 다음을 계산한다.

$\[ \begin{array}{l}{\mathrm{Y}}_{\mathrm{i}}=\mathrm{h}\left(\mathrm{S}\mathrm{I}{\mathrm{D}}_{\mathrm{j}}‖\mathrm{H}\mathrm{I}{\mathrm{D}}_{\mathrm{i}}‖{\mathrm{R}}_{\mathrm{r}\mathrm{a}\mathrm{n}\mathrm{d}2}‖\mathrm{T}1\right)\\ {\mathrm{S}\mathrm{K}\mathrm{\text{'}}}_{\mathrm{i}\mathrm{j}}=\mathrm{h}\left({\mathrm{Y}}_{\mathrm{i}}‖\mathrm{S}\mathrm{I}{\mathrm{D}}_{\mathrm{j}}‖\mathrm{T}3‖\mathrm{T}\mathrm{P}\mathrm{I}{\mathrm{D}}_{\mathrm{i}}\right)\end{array} \]$

(20)

W_Sj=?h(SK’_ij∥T1∥T3)이 참이면 서버인증과 세션키 생성이 성공되었다.

Ⅴ. 제안스킴 보안분석 및 평가

본 스킴의 분석에서는 3장의 Ali et al’.s스킴에서 취약점을 보인 중간자 공격에 의한 세션키의 노출 문제와 스마트카드 도난공격에 따른 공격자의 위장공격에 대해 보완하여 새로운 스킴의 진전된 프로세스의 분석이다.

Ⅵ. 효율성 분석

이 장에서는 다중서버기반 인증방식인 Ali et al’.s 스킴에 대한 기능 및 비용과 관련하여 제안된 방식을 평가한다.

제안된 스킴에 대하여 Ali et al’.s 스킴과 비교하여 재분석결과가 표 2와 같다. Ali et al’.s는 F#1(사용자익명성)부터 F#10의 완전순방향 기밀성까지 보안의 안전기능을 완벽하게 설계하였다고 주장하였으나 본 논문에서 재분석한 결과 Ali et al’.s 스킴은 사용자의 아이디 대신에 등록센터에 의해 임시 아이디가 부여되므로 익명과 내부자공격은 보장한다. 또한 스마트카드 소지자를 확인하기 위해 자기 자신을 인증 할 때만 패스워드를 사용하므로 오프라인 패스워드 추측공격은 고려사항이 되지 않는다는 장점이 있다. 그러나 Ali et al’.s 스킴은 사용자위장공격, 상호인증, 중간자공격, 도난 스마트카드공격, 완전 순방향 기밀성에 대한 다양한 공격에 취약함을 보였고 본 논문에서 이에 대응하는 개선된 스킴을 설계하여 필요한 모든 보안 요구 사항을 충족하고 다중 서버 환경에서 다양한 공격에 대해 안전함을 보였다.

Table 2.

Result of re-analysis of security characteristics

안전한 스킴설계에 주요연산으로 이중채널에 의한 QR_code와 대칭키 암호기법의 비밀키 암호화(TE)와 복호화(TD) 연산, 퍼지추출(Tfe) 연산으로 평가하였다.

표 3의 계산비용[18]은 서버기준으로 대칭키 암호화/복호화(AES 256bit) 시간비용은 0.8ms, 해시함수 시간비용은 0.01ms, 퍼지추출 시간비용은 2.23ms이다.

Table 3.

Approximate time required for various operations

표 4는 제안스킴이 모바일기기의 디코딩과 로그인메시지의 암호화의 필요성으로 Ali et al’.s 스킴보다 약2배 정도의 시간지연이 발생한다는 것으로 보여준다. 통신에서 Ali et al’.s 스킴의 로그인 및 인증 메시지에 대한 도청(중간자)공격을 회피하기 위해 모바일기기를 이용한 QR_code와 인증자 교환으로 총 4라운드의 통신을 추가로 필요로 한다. 표 4는 제안된 방식의 계산비용이 Ali et al’.s 보다 높음을 보여주지만 제안된 방식이 다른 방식보다 견고하고 안전함을 알 수 있다.

Table 4.

Comparison of computation costs

Ⅶ. 결 론

Ali et al'.s 는 Barman et al'.s 스킴의 논리적 설계오류, 사용자 위장공격 등을 해결하기 위해 대칭키 기반의 인증 및 키 동의 스킴으로 개선하여 제안하였다.

재분석한 결과 Ali et al’.s 스킴은 사용자의 아이디를 대신하여 등록센터에 의해 일시적 아이디가 발급되어 익명성과 오프라인 패스워드 추측공격은 고려사항이 되지 않는 장점을 갖는 반면에 중간자 공격에 의한 세션키 노출과 및 스마트카드 도난 공격에 이은 사용자 위장공격에 취약하고 상호 인증을 보장하지 않는 것으로 분석하였다. 등록과정에서 불필요한 정보의 생성으로 인해 사용자의 합법적 위장이 이루어지며 전송정보 도청(중간자공격)으로 세션키가 노출되는 위험한 스킴임을 알 수 있었다. 이러한 취약점을 해결하기 위해 본 논문에서는 QR-code를 이용한 2중 채널과 2-factor를 사용하는 대칭키 기반의 인증스킴을 제안하였다. 그 결과 도청에 의한 중간자 공격이 되지 않기에 세션키의 안전성이 확보되고 이로 인해 완전 순방향기밀성이 보호되며 이중채널로 인해 스마트카드가 도난 되더라도 사용자의 위장공격이 될 수 없다. 이러한 제안된 방식은 향후 다중서버 환경에서 원격의료, 헬스케어, 온라인뱅킹 등에서 인증 및 키 동의 설계에 활용될 것이다.

References

• Y. Park, K. Park, K. Lee, H. Song, and Y. Park: "Security analysis and enhancements of an improved multi-factor biometric authentication scheme", International Journal of Distributed Sensor Networks, Vol. 13, No. 8, pp. 1-15, Aug. 2017. [https://doi.org/10.1177/1550147717724308]
• Y. Zhang, L. Sun, H. Song, and X. Cao, "Ubiquitous wsn for healthcare:Recent advances and future prospects", IEEE Internet of Things Journal, Vol. 1, No. 4, pp. 311–318, Aug. 2014. [https://doi.org/10.1109/JIOT.2014.2329462]
• U. Gogate and J. Bakal, "Refining healthcare monitoring system using wireless sensor networks based on key design parameters", in Information and Communication Technology for Intelligent Systems, pp. 341–349, 2019. [https://doi.org/10.1007/978-981-13-1742-2_33]
• S. Barman, H. P. Shum, S. Chattopadhyay, and D. Samanta, "A secure authentication protocol for multi-server-based e-healthcare using a fuzzy commitment scheme", IEEE Access, Vol. 7, pp. 1-18, 2019. [https://doi.org/10.1109/ACCESS.2019.2893185]
• S. H. Li, C. Y. Wang, W. H. Lu, Y. Y. Lin, and D. C. Yen, "Design and implementation of a telecare information platform", Journal of medical systems, Vol. 36, No. 3, pp. 1629–1650, Jun. 2012. [https://doi.org/10.1007/s10916-010-9625-6]
• S. A. Chaudhry, H. Naqvi, and M. K. Khan, "An enhanced lightweight anonymous biometric based authentication scheme for tmis", Multimedia Tools and Applications, Vol. 77, No. 5, pp. 5503–5524, Mar. 2018. https://link.springer.com/article/10.1007/s11042-017-4464-9, . [https://doi.org/10.1007/s11042-017-4464-9]
• K. Mahmood, J. Arshad, S. A. Chaudhry, and S. Kumari, "An enhanced anonymous identity-based key agreement protocol for smart grid advanced metering infrastructure", International Journal of Communication Systems, Vol. 32, No. 16, pp. 1-16, Nov. 2019. [https://doi.org/10.1002/dac.4137]
• S. Challa, A. K. Das, V. Odelu, N. Kumar, S. Kumari, M. K. Khan, and A. V. Vasilakos, "An efficient ecc-based provably secure three-factor user authentication and key agreement protocol for wireless healthcare sensor networks", Computers & Electrical Engineering, Vol. 69, pp. 534–554, Jul. 2018. [https://doi.org/10.1016/j.compeleceng.2017.08.003]
• C. T. Li and M. S. Hwang, "An efficient biometrics-based remote user authentication scheme using smart cards", Journal of Network and computer applications, Vol. 33, No. 1, pp. 1–5, Jan. 2010. [https://doi.org/10.1016/j.jnca.2009.08.001]
• Q. Pu, J. Wang, and R. Zhao, "Strong authentication scheme for telecare medicine information systems", Journal of medical systems, Vol. 36, No. 4, pp. 2609–2619, Aug. 2012. [https://doi.org/10.1007/s10916-011-9735-9]
• D. He and D. Wang, "Robust biometrics-based authentication scheme for multiserver environment", IEEE Systems Journal, Vol. 9, No. 3, pp. 816–823, Sep. 2015. [https://doi.org/10.1109/JSYST.2014.2301517]
• Wang, X. Zhang, Z. Zheng, and M. K. Khan, "Cryptanalysis and improvement of a biometric-based multi-server authentication and key agreement scheme", PLoS ONE, Vol. 11, No. 2, pp. 1-25, Mar. 2016. [https://doi.org/10.1371/journal.pone.0149173]
• Kumari, X. Li, F. Wu, A. K. Das, K. K. R. Choo, and J. Shen, "Design of a provably secure biometrics-based multi-cloud-server authentication scheme", Future Generation Computer Systems, Vol. 68, pp. 320–330, Mar. 2017. [https://doi.org/10.1016/j.future.2016.10.004]
• R. Ali and A. K. Pal, "An efficient three factor-based authentication scheme in multiserver environment using ECC", International Journal of Communication Systems, Vol. 31, No. 4, pp. 1-22, Mar. 2018. [https://doi.org/10.1002/dac.3484]
• K. C. Shin, "A Robust Authentication Scheme Based on ECC and Dynamic ID for Remote Telecare Medical Information Systems", The Journal of Korean Institute of Information Technology, Vol. 17, No. 6, pp. 123-132, Jun. 2019. [https://doi.org/10.14801/jkiit.2019.17.6.123]
• Z. Ali, S. Hussain, R. H. U. Rehman, A. Munshi, M. Liaqat, N. Kumar, and S. A. Chaudhry, "ITSSAKA-MS: An improved three-factor symmetric-key based secure AKA scheme for multi-server environments", IEEE Access, Vol. 8, pp. 107993-108003, Jun. 2020. [https://doi.org/10.1109/ACCESS.2020.3000716]
• T. Messerges, E. Dabbish, and R. Sloan, "Examining Smart-card Security under the Threat of Power Analysis Attacks", IEEE Trans. Comput. Vol. 51, No. 5, pp. 541-552, May 2002. [https://doi.org/10.1109/TC.2002.1004593]
• S. Adhikari, S. Ray, Gosta P. Biswas, and Mohammad S. Obaidat, "Efficient and secure business model for content centric network using elliptic curve cryptography", Sharmistha Adhikari, Sangram Ray, Gosta P. Biswas, Mohammad S. Obaidat, pp. 1-26, Oct. 2018. [https://doi.org/10.1002/dac.3839]