패딩 오라클 공격에 따른 다양한 패딩방법의 안전성 분석
Safety Analysis of Various Padding Techniques on Padding Oracle Attack
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
인터넷 뱅킹이나 전자상거래 같은 응용 환경에서 개인정보 및 민감한 정보를 보호하기 위해서 다양한 암호 알고리즘들을 사용한다. 하지만 안전성이 검증된 암호 알고리즘을 사용하여 중요 정보를 암호화 하더라도 운영모드, 패딩방법등 암호화를 적용하는 방법이 올바르지 못하면 암호화된 중요 정보들이 노출 된다는 연구결과와 방법들이 소개되고 있다. 이러한 공격방법 중 대표적인 사례가 패딩 오라클 공격(Padding Oracle Attack)이다. 본 논문에서는 블록암호의 CBC(Cipher Block Chainning) 운영모드에 적용 가능한 12가지 패딩방법에 대하여 패딩오라클 공격의 가능성을 분석하였다. 그 결과, 3가지의 안전한 패딩방법과 9가지의 안전하지 않은 패딩방법으로 분류할 수 있다. 3가지의 안전한 패딩방법 분석을 통해 패딩 오라클 공격에 내성을 가질 수 있도록 안전한 패딩방법 설계 시 고려해야 할 5가지 사항에 대하여 제안하고자 한다.
Abstract
We use various types of cryptographic algorithms for the protection of personal and sensitive informations in the application environments, such as an internet banking and an electronic commerce. However, recent researches were introduced that if we implement modes of operation, padding method and other cryptographic implementations in a wrong way, then the critical information can be leaked even though the underlying cryptographic algorithms are secure. Among these attacking techniques, the padding oracle attack is representative. In this paper, we analyze the possibility of padding oracle attacks of 12 kinds of padding techniques that can be applied to the CBC operation mode of a block cipher. As a result, we discovered that 3 kinds were safe padding techniques and 9 kinds were unsafe padding techniques. We propose 5 considerations when designing a safe padding techniques to have a resistance to the padding oracle attack through the analysis of three kinds of safe padding techniques.
참고문헌 (9)
- Romain Bardou, "Ecient Padding Oracle Attacks on Cryptographic Hardware", CRYPTO 2012 (2012)
- S. Vaudenay, "Security Flaws Induced by CBC Padding – Applications to SSL, IPSEC, WTLS..", Eurocrypt 2002, 2332, pp.534~545 (2002)
- Side-Channel Attacks on Symmetric Encryption Schemes: The Case for Authenticated Encryption, "Black, H. Urtubia", USENIX, ~ (2002)
- V. Klíma, "Side Channel Attacks on CBC Encrypted Messages in the PKCS#7 Format", eprint2003, ~ (2003)
- K. G. Paterson, "Padding Oracle Attacks on the ISO CBC Mode Encryption Standard", CT-RSA 2004, LNCS, 2964, pp.305~323 (2004)
- J. Rizzo, "Practical Padding Oracle Attacks", USENIX WOOT 2010 (2010)
- T. Duong, "Cryptography in the Web : The Case of Cryptographic Design Flaws in ASP. NET", IEEE Symposium on Security and Privacy 2011 (2011)
- N. J. Alfardan, "Lucky Thirteen: Breaking the TLS and DTLS Record Protocols", IEEE Symposium on Security and Privacy 2013, pp.526~540 (2013)
- John Black, "Side-Channel Attacks on Symmetric Encryption Schemes: The Case for Authenticated Encryption", USENIX 2002 (2002)