[논문]Analysis of Al-Saggaf et al's Three-factor User Authentication Scheme for TMIS

Park, Mi-Og

doi:10.9708/jksci.2021.26.09.089

Analysis of Al-Saggaf et al's Three-factor User Authentication Scheme for TMIS 원문보기

韓國컴퓨터情報學會論文誌 = Journal of the Korea Society of Computer and Information, v.26 no.9, 2021년, pp.89 - 96

Park, Mi-Og (Dept. of Computer Engineering, Sungkyul University)

초록
AI-Helper

본 논문에서는 Al-Saggaf 등이 제안한 TMIS(Telecare Medicine Information System)를 위한 사용자 인증 기법을 분석하였다. 2019년에 Al-Saggaf 등이 제안한 인증 기법은 생체정보를 이용한 인증 기법으로, Al-Saggaf 등은 그들의 인증 스킴이 매우 적은 계산 비용으로 다양한 공격에 대한 높은 비도를 보장한다고 주장하였다. 그러나 본 논문에서 Al-Saggaf 등의 인증 기법을 분석한 결과, Al-Saggaf 등의 인증 기법은 서버에서 사용자의 ID를 계산해내기 위해서 필요한 난수 s가 DB에서 누락되었고, 서버의 ID SID를 사용자에게 전달하는 방식이 부재하여 인증 기법의 설계 오류가 존재하였다. 또한 Al-Saggaf 등은 그들의 인증 기법이 다양한 공격에 안전하다고 주장하였으나, 로그인 요청 메시지와 스마트카드를 사용한 패스워드 추측 공격, 세션키 노출, 내부자 공격 등에 취약하였다. 또한 공격자는 추측한 패스워드를 사용하여, DB에 패스워드로 암호화하여 저장된 사용자의 생체정보까지 복호화할 수 있었다. 생체정보의 노출은 사용자의 개인정보에 대한 아주 심각한 침해이고, 이로 인하여 공격자는 사용자 가장 공격에 성공할 수 있다. 게다가 Al-Saggaf 등의 인증 스킴은 ID 추측 공격에도 취약하여, 그들이 주장했던 것과 달리 TMIS에서 중요한 사용자 익명성을 보장하지 못한다.

Abstract ▼ AI-Helper

In this paper, we analyzed that the user authentication scheme for TMIS(Telecare Medicine Information System) proposed by Al-Saggaf et al. In 2019, Al-Saggaf et al. proposed authentication scheme using biometric information, Al-Saggaf et al. claimed that their authentication scheme provides high security against various attacks along with very low computational cost. However in this paper after analyzing Al-Saggaf et al's authentication scheme, the Al-Saggaf et al's one are missing random number s from the DB to calculate the identity of the user from the server, and there is a design error in the authentication scheme due to the lack of delivery method. Al-Saggaf et al also claimed that their authentication scheme were safe against a variety of attacks, but were vulnerable to password guessing attack using login request messages and smart cards, session key exposure and insider attack. An attacker could also use a password to decrypt the stored user's biometric information by encrypting the DB with a password. Exposure of biometric information is a very serious breach of the user's privacy, which could allow an attacker to succeed in the user impersonation. Furthermore, Al-Saggaf et al's authentication schemes are vulnerable to identity guessing attack, which, unlike what they claimed, do not provide significant user anonymity in TMIS.

주제어

표/그림 (4)

그림 Fig. 1. Al-Saggaf et al’s Registration Phase
표 Table 1. Notifications
그림 Fig. 2. Al-Saggaf et al’s Login and Authentication Phase
표 Table 2. Comparison of security features

AI 본문요약
AI-Helper

성능/효과

암호화된 codeword ci와 생체 템플릿 ti의 복호화 및 계산이 가능함에 따라 Al-Saggaf 등이 주장한 것과 달리 사용자의 생체정보의 안전성을 보장할 수 없다. 또한 공격자가 세션 키 생성까지 가능함에 따라 TMIS에서 중요한 기밀성과 사용자의 익명성 등도 안전하게 보장하지 못하여 Al-Saggaf 등의 인증 스킴은 TMIS에 적합한 사용자 인증 스킴이라고 할 수 없다. 향후 연구 계획은 Al-Saggaf 등의 인증 스킴의 취약점을 개선하고, 그들의 계산 효율성은 살릴 수 있는 안전한 three-factor 인증 스킴을 연구하는 것이다.
본 논문에서 Al-Saggaf 등의 인증 스킴을 분석한 결과, Al-Saggaf 등의 인증 스킴은 스마트카드와 로그인 요청 메시지를 사용할 경우, 사용자의 ID와 패스워드 추측 공격에 취약하였고, 이로 인하여 DB에 사용자의 패스워드로 암호화되어있는 생체관련 정보의 복호화가 가능하였다. 암호화된 codeword ci와 생체 템플릿 ti의 복호화 및 계산이 가능함에 따라 Al-Saggaf 등이 주장한 것과 달리 사용자의 생체정보의 안전성을 보장할 수 없다.
본 논문에서는 Al-Saggaf 등의 인증 스킴이 스마트카드와 로그인 요청 메시지를 사용할 경우, 사용자의 ID 와 패스워드 추측공격에 성공할 수 있고, 이로 인하여 서버의 DB에 사용자의 패스워드로 암호화되어 저장된 생체 관련 정보들까지 복호화가 가능함을 보인다.
본 논문에서 Al-Saggaf 등의 인증 스킴을 분석한 결과, Al-Saggaf 등의 인증 스킴은 스마트카드와 로그인 요청 메시지를 사용할 경우, 사용자의 ID와 패스워드 추측 공격에 취약하였고, 이로 인하여 DB에 사용자의 패스워드로 암호화되어있는 생체관련 정보의 복호화가 가능하였다. 암호화된 codeword ci와 생체 템플릿 ti의 복호화 및 계산이 가능함에 따라 Al-Saggaf 등이 주장한 것과 달리 사용자의 생체정보의 안전성을 보장할 수 없다. 또한 공격자가 세션 키 생성까지 가능함에 따라 TMIS에서 중요한 기밀성과 사용자의 익명성 등도 안전하게 보장하지 못하여 Al-Saggaf 등의 인증 스킴은 TMIS에 적합한 사용자 인증 스킴이라고 할 수 없다.

후속연구

또한 Al-Saggaf 등은 자신들의 인증 스킴이 공격자가 스마트카드에 저장된 모든 정보를 안다고 할지라도, 안전하게 암호화되어있는 생체정보 관련 정보와 패스워드를 추측할 수 없기 때문에, 다른 여러 공격에 저항성을 가진 안전한 인증 스킴이라고 주장하였다. 그러나 본 논문에서는 Al-Saggaf 등의 인증 스킴을 분석하여, 정당한 사용자의 생체정보 없이도 분실된 스마트카드와 로그인 요청 메시지만을 사용하여 사용자의 ID 추측공격과 패스워드 추측 공격이 가능함을 보일 것이다.
또한 공격자가 세션 키 생성까지 가능함에 따라 TMIS에서 중요한 기밀성과 사용자의 익명성 등도 안전하게 보장하지 못하여 Al-Saggaf 등의 인증 스킴은 TMIS에 적합한 사용자 인증 스킴이라고 할 수 없다. 향후 연구 계획은 Al-Saggaf 등의 인증 스킴의 취약점을 개선하고, 그들의 계산 효율성은 살릴 수 있는 안전한 three-factor 인증 스킴을 연구하는 것이다.

참고문헌 (17)

A. A. Al-Saggaf and T. R. Sheltami, "Renewable and Anonymous Biometrics-Based Remote User Authentication Scheme Using Smart Cards for Telecare Medicine Information System," 2019 Advances in Science and Engineering Technology International Conferences (ASET), pp. 1-6, 2019. DOI: 10.1109/ICASET.2019.8714479
A. K. Das and A. Goswami, "A secure and efficient uniqueness-and-anonymity-preserving remote user authentication scheme for connected health care," Journal of Medical Systems, Vol. 37, No. 3, May 2013.

상세보기
D. Mishra, S. Mukhopadhyay, S. Kumari, M. Khan, and A. Chaturvedi, "Security enhancement of a biometrics based authentication scheme for telecare medicine information systems with nonce," Journal of Medical Systems, Vol. 38, No. 5, Apr. 2014.
Mi-Og, Park, "Design Flaws and Cryptanalysis of Cui et al's User Authentication Scheme," Journal of the Korea society of computer and information, Vol. 24, No. 10, pp. 41-48, Oct. 2019.
Kwang-Cheul, Shin, "Structural vulnerability analysis and improvement of a biometrics-based remote user authentication scheme of Li and Hwang's," Journal of the Korea society of computer and information Vol. 17 No. 7, pp. 107-115, Jul. 2012.

원문보기 상세보기
Q. Xie, B. Hu, N. Dong, and D. S. Wong, "Anonymous three party password-authenticated key exchange scheme for telecare medical information systems," PLoS One, Vol. 9, No. 7, e102,747, Jul. 2014.

상세보기
Younghwa An, "A Strong Biometric-based Remote User Authentication Scheme for Telecare Medicine Information Systems with Session Key Agreement," International Journal of Internet, Broadcasting and Communication, Vol. 8 No. 3, pp. 41-49, Aug. 2016.

원문보기 상세보기
Keewon Kim, "Cryptanalysis and Improvement of RSA-based Authentication Scheme for Telecare Medical Information Systems," Journal of the Korea society of computer and information Vol. 25 No. 2, pp. 93-103, Feb. 2020.

원문보기 상세보기
Chang, Y.F., Yu, S.H., and Shiao, D.R. , "A Uniqueness-andAnonymity-Preserving Remote User Authentication Scheme for Connected Health Care," Journal of Medical Systems, Vol. 37, Issue. 2, Jan. 2013. DOI: 10.1007/s10916-012-9902-7

상세보기
A. K. Awasthi and K. Srivastava, "A biometric authentication scheme for telecare medicine information systems with nonce," Journal of Medical Systems, Vol. 37, Issue. 5, Aug. 2013.

상세보기
Z. Tan, "A user anonymity preserving three-factor authentication scheme for telecare medicine information systems," Journal of Medical Systems, Vol. 38, Issue. 3, Mar. 2014.

상세보기
A. K. Awasthi, , and A. Goswami, "An enhanced biometric authentication scheme for telecare medicine information systems with nonce using chaotic hash function," Journal of Medical Systems, Vol. 38, Issue: 6, Jun. 2014.

상세보기
H. Arshad and M. Nikooghadam, "Three-Factor Anonymous Authentication and Key Agreement Scheme for Telecare Medicine Information Systems,"Journal of Medical Systems, Vol. 38, Issue. 12, Oct. 2014. DOI: 10.1007/s10916-014-0136-8

상세보기
Y. Lu, L. Li, H. Peng, and Y. Yang, "An Enhanced Biometric-Based Authentication Scheme for Telecare Medicine Information Systems Using Elliptic Curve Cryptosystem," Journal of Medical Systems, Vol. 39, Issue. 3, Mar. 2015.

상세보기
L. Xu and F. Wu, "Cryptanalysis and Improvement of a User Authentication Scheme Preserving Uniqueness and Anonymity for Connected Health Care," Journal of Medical Systems, Vol. 39, Issue. 10, Jan. 2015.
L. Zhang, S. Zhu, and S. Tang, "Privacy Protection for Telecare Medicine Information Systems using a Chaotic Map-Based Three Factor Authenticated Key Agreement Scheme," IEEE Journal of Biomedical and Health Informatics, Vol. 21, No. 2, pp. 465-475, Mar. 2017.

상세보기
Q. Xie, L. Wenhao, Wang. Shengbao, Han. Lidong, H. Bin, and W. Ting, "Improvement of a Uniqueness-and-Anonymity-Preser ving User Authentication Scheme for Connected Health Care," Journal of Medical Systems, Vol. 38, Issue. 9, Jul. 2014.

상세보기

표제어: PCR

동의어: Packet Collision Rate

용어 설명 출처 목록 (6)

용어 설명: PCR은 세균 특이성이 있는 primer를 이용하여 적은 수의 세균이 있을지라도 쉽게 검출할 수 있는 유용한 방법이며, 이를 이용하여 구강 내 치면세균막이나 타액에서 직접 세균을 검출할 수 있게 되었다[8].

내보내기 구분	파일저장 인쇄 메일전송
구성항목	기본정보 상세정보 관리번호, 논문명, 저널/프로시딩명, 저자 , 발행년, 권, 호, 시작페이지, 끝페이지, 발행기관 관리번호, 논문명, 대등논문명, 저자 , 저널/프로시딩명, 발행기관, 발행년, 발행언어, 권, 호, 시작페이지, 끝페이지, ISBN, ISSN, 주제분야, 키워드, 초록(한글), 초록(영문), 저자(소속기관)
저장형식	Text(ASCII format) Excel format RefWorks Direct Export RIS format (for Reference Manager, ProCite, EndNote), Scholar's Aids, Mendeley
메일정보	받는사람 (필수) @ 보내는사람 (선택) @ 제목 내용 KISTI 검색결과 이메일 서비스
안내	총 건의 자료가 검색되었습니다. 다운받으실 자료의 인덱스를 입력하세요. (1-10,000) 검색결과의 순서대로 최대 10,000건 까지 다운로드가 가능합니다. 데이타가 많을 경우 속도가 느려질 수 있습니다.(최대 2~3분 소요) 다운로드 파일은 UTF-8 형태로 저장됩니다. 파일의 내용이 제대로 보이지 않을실 때는 웹브라우저 상단의 보기 -> 인코딩 -> 자동선택 여부를 확인하십시오. ~ Text(ASCII format) Excel format

연합인증