[논문]블록 암호 ARIA에 대한 Flush+Reload 캐시 부채널 공격

배대현; 황종배; 하재철

doi:10.13089/jkiisc.2020.30.6.1207

초록
AI-Helper

하나의 서버 시스템에 여러 운영체제를 사용하거나 사용자간 메모리를 공유하는 클라우드 환경에서 공격자는 캐시 부채널 공격을 통해 비밀 정보를 유출할 수 있다. 본 논문에서는 국내 표준 블록 암호 알고리즘인 ARIA를 사전 연산 테이블 기반 최적화 기법을 이용해 구현할 경우, 캐시 부채널 공격의 일종인 Flush+Reload 공격이 적용되는 것을 확인하였다. ARIA-128을 대상으로 한 Ubuntu 환경에서의 실험 결과, Flush+Reload 공격을 통해 16바이트의 마지막 라운드 키를 찾을 수 있었으며 나아가 마지막 라운드 키와 첫 번째 라운드 키를 이용하면 마스터 키를 찾을 수 있음을 증명하였다.

Abstract ▼ AI-Helper

Since the server system in the cloud environments can simultaneously operate multiple OS and commonly share the memory space between users, an adversary can recover some secret information using cache side-channel attacks. In this paper, the Flush+Reload attack, a kind of cache side-channel attacks,...

Since the server system in the cloud environments can simultaneously operate multiple OS and commonly share the memory space between users, an adversary can recover some secret information using cache side-channel attacks. In this paper, the Flush+Reload attack, a kind of cache side-channel attacks, is applied to the optimized precomputation table implementation of Korea block cipher standard ARIA. As an experimental result of attack on ARIA-128 implemented in Ubuntu environment, we show that the adversary can extract the 16 bytes last round key through Flush+Reload attack. Furthermore, the master key of ARIA can be revealed from last and first round key used in an encryption processing.

주제어

표/그림 (12)

그림 Fig. 1. Overview of Flush+Reload attack.
그림 Fig. 2. Encryption process of block cipher ARIA.
그림 Fig. 3. The initialization phase of W₀~W₃ blocks for key extension.
표 Table 1. Round key extension using W₀~W₃ in ARIA
그림 Fig. 4. The source code for the last round computation of optimized ARIA.
표 Table 2. Experimental equipment used in Flush+Reload attack.
그림 Fig. 5. Algorithm for collecting cipher text of ARIA and vector of cache access status.
그림 Fig. 6. Attack concept to find last round key candidates using cipher text and table result value.
그림 Fig. 7. Algorithm for recovering the last round key using cipher text and table access information.
그림 Fig. 8. Candidate table value of the X₁, X₂, S₁, and S₂.
그림 Fig. 9. Frequency of XOR results for the cipher text candidates and table result value candidates for all target round key bytes.
그림 Fig. 10. Average byte recovery rate according to the number of samples.

AI 본문요약
AI-Helper

문제 정의

본 논문에서는 캐시 부채널 공격 기법 중 하나인 Flush+Reload 공격 기법을 이용하여 국내 표준 블록 암호 알고리즘인 ARIA-128의 마스터 키를 복구할 수 있음을 보이고자 한다. 실험 결과 ARIA-128의 암호화 과정과 복호화 과정을 각각 공격해 암호화 과정에서의 마지막 라운드 키, 복호화 과정에서의 첫 번째 라운드 키를 복구하고 이를 조합해 마스터 키를 계산할 수 있음을 실험을 통해 확인하였다.

가설 설정

최적화된 ARIA에 대한 FR 공격 취약성을 증명하기 위해 본 논문에서는 cross-VM 환경이 아닌 공격자와 희생자가 같은 OS에 있는 상황을 가정해 실험을 진행한다. 실험을 위해 한국인터넷진흥원에서 배포하는 최적화된 ARIA의 C언어 코드를 리눅스 공유 라이브러리로 제작해 사용하여 페이지 공유가 이루어지도록 한다.

제안 방법

본 논문에서는 국내 표준 블록 암호 알고리즘인 ARIA를 대상으로 캐시 부채널 공격의 일종인 Flush+Reload 공격을 시도하였다. 실험 결과, 공격자에 의해 마지막 라운드 키와 첫 번째 라운드 키가 복구될 수 있고, 이를 통해 ARIA-128의 마스터 키를 복구할 수 있음을 실험을 통해 확인하였다.
본 논문에서는 수집 샘플의 개수에 따른 바이트 복구 성능을 분석하기 위해, 측정 샘플 수를 1,000 개부터 20,000개까지 1,000개 단위로 나누어 실험을 진행하였다. 각 샘플 수에 따라 총 30번 공격을 진행한 후 바이트 복구 정확도의 평균을 계산한 결과 Fig.
복호화 과정에서의 마지막 라운드 키는 암호화 과정에서 첫 번째 라운드 키이기 때문에 이 둘을 이용해 마스터 키를 복구할 수 있게 된다. 본 논문에서는 용어의 통일을 위해 암호화 과정을 대상으로 공격 과정 및 알고리즘을 서술한다.

대상 데이터

본 논문에서는 ARIA-128을 대상으로 실험을 진행하며 ARIA 문서의 테스트 벡터를 참고해 “00 11 22 33 44 55 66 77 88 99 aa bb cc dd ee ff”를 마스터 키로 설정하였다. 또한, 3.3.1의 테이블 접근 정보와 암호문 쌍을 20,000개 수집하여 실험하였다.
본 논문에서는 ARIA-128을 대상으로 실험을 진행하며 ARIA 문서의 테스트 벡터를 참고해 “00 11 22 33 44 55 66 77 88 99 aa bb cc dd ee ff”를 마스터 키로 설정하였다
이와 같이 암호문별로 테이블 적중률을 계산하였을 때 적중률이 높다는 것은, 최종 암호문 생성 과정에서 테이블의 맨 앞 16개 항목과 라운드 키가 XOR 되었을 때의 암호문일 확률이 높다는 것을 의미한다. 본 논문에서는 위 과정들을 통해 암호문 후보군을 각 대상 바이트마다 16개씩 선정하였다.
최적화된 ARIA에 대한 FR 공격 취약성을 증명하기 위해 본 논문에서는 cross-VM 환경이 아닌 공격자와 희생자가 같은 OS에 있는 상황을 가정해 실험을 진행한다. 실험을 위해 한국인터넷진흥원에서 배포하는 최적화된 ARIA의 C언어 코드를 리눅스 공유 라이브러리로 제작해 사용하여 페이지 공유가 이루어지도록 한다. 또한, 실험의 편의를 위해 공격자와 희생자를 따로 두지 않고 공격자 프로세스 내에서 공유 라이브러리를 통해 암호화 또는 복호화 함수를 호출해 희생자의 역할을 대신한다.
한국인터넷진흥원에서 배포하는 최적화된 ARIA 구현체는 AES의 T-Table 구현체와 비슷하게 사전연산된 4바이트 원소 256개로 구성된 테이블 4개를 사용하도록 구현되어 있다. 이러한 특성과 더불어 최적화된 소스 코드의 마지막 라운드에 캐시 부채널 공격 취약점이 존재하기에 AES의 T-Table 구현체를 공격하는 방법을 일부 변형하여 ARIA의 최적화된 구현체를 공격할 수 있다.

성능/효과

본 논문에서는 캐시 부채널 공격 기법 중 하나인 Flush+Reload 공격 기법을 이용하여 국내 표준 블록 암호 알고리즘인 ARIA-128의 마스터 키를 복구할 수 있음을 보이고자 한다. 실험 결과 ARIA-128의 암호화 과정과 복호화 과정을 각각 공격해 암호화 과정에서의 마지막 라운드 키, 복호화 과정에서의 첫 번째 라운드 키를 복구하고 이를 조합해 마스터 키를 계산할 수 있음을 실험을 통해 확인하였다.
본 논문에서는 국내 표준 블록 암호 알고리즘인 ARIA를 대상으로 캐시 부채널 공격의 일종인 Flush+Reload 공격을 시도하였다. 실험 결과, 공격자에 의해 마지막 라운드 키와 첫 번째 라운드 키가 복구될 수 있고, 이를 통해 ARIA-128의 마스터 키를 복구할 수 있음을 실험을 통해 확인하였다.
10과 같다. 즉, 본 실험 환경에서는 15,000개 이상의 샘플을 수집할 수 있으면 평균 99% 정확도로 마지막 라운드 키 바이트를 복구할 수 있음을 확인하였다.

후속연구

한국인터넷진흥원에서 배포하는 구현 참조용 구현체에는 본 논문의 부채널 공격이 적용되지 않지만 사전 연산 테이블을 이용한 최적화된 구현체에는 공격이 적용된다. 따라서, 여러 사용자가 시스템을 공유하는 환경에서 동작하는 암호 알고리즘에 대해 최적화 기법을 적용할 경우 캐시 부채널 공격 등에 대한 안전성을 충분히 검토해야 할 것이다.

참고문헌 (13)

D. Bernstein, "Cache-Timing Attacks on AES," Available at http://cr.yp.to/antiforgery/cachetiming-20050414.pdf, Apr. 2005.
M. Lipp, M. Schwarz, D. Gruss, T. Prescher, W. Haas, A. Fogh, J. Horn, S. Mangard, P. Kocher, D. Genkin, Y. Yarom and M. Hamburg, "Meltdown: Reading Kernel Memory from User Space," Proceedings of the 27th USENIX Security Symposium, pp. 973-990, Aug. 2018.
P. Kocher, J. Horn, A. Fogh, D. Genkin, D. Gruss, W. Haas, M. Hamburg, M. Lipp, S. Mangard, T. Prescher, M. Schwarz and Y. Yarom, "Spectre Attacks: Exploiting Speculative Execution," IEEE Symposium on Security and Privacy, pp. 1-19, May. 2019.
D. Osvik, A. Shamir and E. Tromer, "Cache Attacks and Countermeasure: The Case of AES," CT-RSA'06, LNCS 3860, pp. 1-20, Feb. 2006.
Y. Yarom and K. Falkner, "FLUSH+RELOAD: a high resolution, low noise, L3 cache side-channel attack," Proceedings of the 23rd USENIX conference on Security Symposium, pp. 719-732, Aug. 2014.
J. Daemen and V. Rijmen, The Design of Rijndael: AES - The Advanced Encryption Standard, Springer-Verlag, Berlin, Heidelberg, Jan. 2002.
G. Irazoqui, M. Inci, T. Eisenbarth and B. Sunar, "Wait a minute! A fast, Cross-VM attack on AES," RAID'14, LNCS 8688, pp. 299-319, Sep. 2014.
B. Gulmezoglu, M. Inci, G. Irazoqui and T. Eisenbarth, "A Faster and More Realistic Flush+Reload Attack on AES," COSADE'15, LNCS 9064, pp. 111-126, Apr. 2015.
M. Inci, B. Gulmezoglu, G. Irazoqui, T. Eisenbarth and B. Sunar, "Seriously, get off my cloud! Cross-VM RSA Key Recovery in a Public Cloud," IACR Cryptology ePrint Archive, Avaliable at https://eprint.iacr.org/2015/898, 2015.
Y. Yarom and N. Benger, "Recovering OpenSSL ECDSA Nonces Using the FLUSH+RELOAD Cache Side-channel Attack," IACR Cryptology ePrint Archive, Avaliable at https://eprint.iacr.org/2014/140, 2014.
J. Lee, J. Kim, D. Kwon and C. Kim, "Description of the ARIA Encryption Algorithm," RFC5794, Mar. 2010.
Korea Information Security Agency, "Block Cipher ARIA," Avaliable at https://seed.kisa.or.kr/kisa/Board/19/detailView.do, Jan. 2019.
J. Seo, C. Kim, J. Ha, S. Moon and I. Park, "Differential Power Analysis Attack of a Block Cipher ARIA," Journal of the Korea Institute of Information Security & Cryptology, Vol. 15, No. 1, pp. 99-107, Feb. 2005.

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증

블록 암호 ARIA에 대한 Flush+Reload 캐시 부채널 공격
Flush+Reload Cache Side-Channel Attack on Block Cipher ARIA 원문보기

초록
AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (12)

표/그림 (12)

AI 본문요약
AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

참고문헌 (13)

이 논문을 인용한 문헌

저자의 다른 논문 :

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

연합인증

블록 암호 ARIA에 대한 Flush+Reload 캐시 부채널 공격 Flush+Reload Cache Side-Channel Attack on Block Cipher ARIA 원문보기

초록 용어보기논문에서 용어와 풀이말을 자동 추출한 결과로, 시범 서비스 중입니다. AI-Helper

Abstract ▼ AI-Helper

주제어

표/그림 (12) 모든 표/그림 보기

표/그림 (12) 슬라이드로 보기

AI 본문요약 엑셀 다운로드 AI-Helper

문제 정의

가설 설정

제안 방법

대상 데이터

성능/효과

후속연구

참고문헌 (13)

이 논문을 인용한 문헌

저자의 다른 논문 :

하재철 (60)

관련 콘텐츠

원문 보기

원문 URL 링크

오픈액세스(OA) 유형

이 논문과 함께 이용한 콘텐츠

AI-Helper ※ AI-Helper는 오픈소스 모델을 사용합니다.

선택된 텍스트

블록 암호 ARIA에 대한 Flush+Reload 캐시 부채널 공격
Flush+Reload Cache Side-Channel Attack on Block Cipher ARIA 원문보기

초록
AI-Helper

표/그림 (12)

표/그림 (12)

AI 본문요약
AI-Helper