의사 난수 생성 방식을 이용한 EncFS의 취약점 개선 연구
The Vulnerability Improvement Research Using Pseudo-Random Number Generator Scheme in EncFS
0
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
현대 사회에서 스토리지를 필요로 하는 애플리케이션이 많아졌다. 그 중에서 특히 핀테크의 발달은 스토리지의 보안필요성을 크게 증대시켰다. 스토리지에는 사용자의 민감 정보가 저장되어 있는데 이 정보들이 노출되면 사용자들이 금전적인 피해를 입게 된다. 따라서 이러한 사고를 막기 위해 스토리지 암호화를 수행해야 하는데 스토리지 암호화를 수행하는 애플리케이션 중 하나로 EncFS가 있다. EncFS는 IV를 이용하여 암호화를 수행하는데 IV 값은 EncFS 단위블록마다 유일해야 한다. 하지만 동일한 IV 값이 생성되는 경우들이 존재한다. 이를 이용해 암호화 과정을 조작하여 평문과 암호문 간의 관계를 알 수 있는 취약점이 존재한다. 본 논문에서는 해당 취약점이 IND-CPA에 안전하지 않음을보이고 이를 개선하는 기법을 제안한다.
Abstract
In modern society, the number of applications, which needs storage, is increased. Among them, the advance of FinTech increased the importance of storage encryption. FinTech storage, storing sensitive information, should be kept secure. Unless the storage is kept, many users will be damaged monetarily. To prevent this problem, we should encrypt the storage. A EncFS, which is one of the most popular storage encryption application, uses different IVs for each block to provide higher levels of security in the encryption algorithm. However, there is a vulnerability related to the usage of same IVs. In this paper, we propose a technique that decrypts the ciphertexts without knowing the secret key by using the vulnerability. Moreover, we show that the EncFS is not secure under IND-CPA model and propose a new scheme which is secure under IND-CPA model.
참고문헌 (17)
- Guide to Storage Encryption Technologies for End User Devices, "K. Scarfone", NIST, 3-1~3-9, pp.NIST Special Publication 800-111 (2007)
- "BitLocker: About BitLocker"[URL]
- "OS X: About FileVault 2"[URL]
- "EncFS Encrypted Filesystem"[URL]
- "AxCrypt"[URL]
- "eCryptfs"[URL]
- M. A. Halcrow, "eCryptfs : An Enterprise-class Encrypted Filesystem for Linux", Proceedings of the 2005Linux Symposium, 1, pp.201~218 (2005)
- "File System in User Space"[URL]
- Recommendation for Block Cipher Modes of Operation. Methods and Techniques, "M. Dworkin", NIST, 10~13, pp.NIST Special Publication 800-38A (2001)
- "Introduction to modern cryptography, In UCSD CSE 207 Course Notes" (2005)[URL]
- "Manual page of RAND add()"[URL]
- P. Lacharme, "The linux pseudorandom number generator revisited", IACR ePrint Archive, 2012-251, ~ (2012)
- "EncFS Security Audit" (2014)[URL]
- "You Don't Want XTS" (2014)[URL]
- "EncFS Issues" (2014)[URL]
- J. Daeman, "The Design of Rijndael. AES – the advanced encryption standard", pp.31~50 (2002), Springer-Verlag
- H. Krawczyk, "HMAC: Keyed-Hashing for Message Authentication, IETF RFC 2104", ~ (1997)