Al-Saggaf 등의 TMIS를 위한 three-factor 사용자 인증 스킴에 대한 분석
Analysis of Al-Saggaf et al’s Three-factor User Authentication Scheme for TMIS
1
조회
0
다운로드
0
인용
0
참고문헌
키워드
초록
본 논문에서는 Al-Saggaf 등이 제안한 TMIS(Telecare Medicine Information System)를 위한 사용자인증 기법을 분석하였다. 2019년에 Al-Saggaf 등이 제안한 인증 기법은 생체정보를 이용한 인증 기법으로, Al-Saggaf 등은 그들의 인증 스킴이 매우 적은 계산 비용으로 다양한 공격에 대한 높은 비도를보장한다고 주장하였다. 그러나 본 논문에서 Al-Saggaf 등의 인증 기법을 분석한 결과, Al-Saggaf 등의 인증 기법은 서버에서 사용자의 ID를 계산해내기 위해서 필요한 난수 s가 DB에서 누락되었고, 서버의 ID SID를 사용자에게 전달하는 방식이 부재하여 인증 기법의 설계 오류가 존재하였다. 또한Al-Saggaf 등은 그들의 인증 기법이 다양한 공격에 안전하다고 주장하였으나, 로그인 요청 메시지와스마트카드를 사용한 패스워드 추측 공격, 세션키 노출, 내부자 공격 등에 취약하였다. 또한 공격자는 추측한 패스워드를 사용하여, DB에 패스워드로 암호화하여 저장된 사용자의 생체정보까지 복호화할 수 있었다. 생체정보의 노출은 사용자의 개인정보에 대한 아주 심각한 침해이고, 이로 인하여공격자는 사용자 가장 공격에 성공할 수 있다. 게다가 Al-Saggaf 등의 인증 스킴은 ID 추측 공격에도취약하여, 그들이 주장했던 것과 달리 TMIS에서 중요한 사용자 익명성을 보장하지 못한다.
Abstract
In this paper, we analyzed that the user authentication scheme for TMIS(Telecare Medicine Information System) proposed by Al-Saggaf et al. In 2019, Al-Saggaf et al. proposed authentication scheme using biometric information, Al-Saggaf et al. claimed that their authentication scheme provides high security against various attacks along with very low computational cost. However in this paper after analyzing Al-Saggaf et al’s authentication scheme, the Al-Saggaf et al’s one are missing random number s from the DB to calculate the identity of the user from the server, and there is a design error in the authentication scheme due to the lack of delivery method. Al-Saggaf et al also claimed that their authentication scheme were safe against a variety of attacks, but were vulnerable to password guessing attack using login request messages and smart cards, session key exposure and insider attack. An attacker could also use a password to decrypt the stored user's biometric information by encrypting the DB with a password. Exposure of biometric information is a very serious breach of the user's privacy, which could allow an attacker to succeed in the user impersonation. Furthermore, Al-Saggaf et al’s authentication schemes are vulnerable to identity guessing attack, which, unlike what they claimed, do not provide significant user anonymity in TMIS.
참고문헌 (17)
- A. A. Al-Saggaf, "Renewable and Anonymous Biometrics-Based Remote User Authentication Scheme Using Smart Cards for Telecare Medicine Information System", 2019Advances in Science and Engineering Technology International Conferences (ASET), pp.1~6 (2019)
- A. K. Das, "A secure and efficient uniqueness-and-anonymity-preserving remote user authentication scheme for connected health care", Journal of Medical Systems, 37(3) (2013)
- D. Mishra, "Security enhancement of a biometrics based authentication scheme for telecare medicine information systems with nonce", Journal of Medical Systems, 38(5) (2014)
- 박미옥, "Cui 등의 사용자 인증 스킴의 설계 오류와 안전성 분석", 한국컴퓨터정보학회논문지, 24(10), pp.41~48 (2019), 한국컴퓨터정보학회[DOI]
- 신광철, "Li & Hwang’s 생체기반 인증스킴에 대한 취약성 분석 및 개선", 한국컴퓨터정보학회논문지, 17(7), pp.107~115 (2012), 한국컴퓨터정보학회[DOI]
- Q. Xie, "Anonymous three party password-authenticated key exchange scheme for telecare medical information systems", PLoS One, 9(7), pp.e102747~ (2014)
- 안영화, "A Strong Biometric-based Remote User Authentication Scheme for Telecare Medicine Information Systems with Session Key Agreement", The International Journal of Internet, Broadcasting and Communication, 8(3), pp.41~49 (2016), 한국인터넷방송통신학회[DOI]
- 김기원, "Cryptanalysis and Improvement of RSA-based Authentication Scheme for Telecare Medical Information Systems", 한국컴퓨터정보학회논문지, 25(2), pp.93~103 (2020), 한국컴퓨터정보학회[DOI]
- Ya-Fen Chang, "A Uniqueness-and-Anonymity-Preserving Remote User Authentication Scheme for Connected Health Care", Journal of Medical Systems, 37(2) (2013), Springer Science and Business Media LLC[DOI]
- A. K. Awasthi, "A biometric authentication scheme for telecare medicine information systems with nonce", Journal of Medical Systems, 37(5) (2013)
- Z. Tan, "A user anonymity preserving three-factor authentication scheme for telecare medicine information systems", Journal of Medical Systems, 38(3) (2014)
- A. K. Awasthi, "An enhanced biometric authentication scheme for telecare medicine information systems with nonce using chaotic hash function", Journal of Medical Systems, 38(6) (2014)
- Hamed Arshad, "Three-Factor Anonymous Authentication and Key Agreement Scheme for Telecare Medicine Information Systems", Journal of Medical Systems, 38(12) (2014), Springer Science and Business Media LLC[DOI]
- Y. Lu, "An Enhanced Biometric-Based Authentication Scheme for Telecare Medicine Information Systems Using Elliptic Curve Cryptosystem", Journal of Medical Systems, 39(3) (2015)
- L. Xu, "Cryptanalysis and Improvement of a User Authentication Scheme Preserving Uniqueness and Anonymity for Connected Health Care", Journal of Medical Systems, 39(10) (2015)
- L. Zhang, "Privacy Protection for Telecare Medicine Information Systems using a Chaotic Map-Based Three Factor Authenticated Key Agreement Scheme", IEEE Journal of Biomedical and Health Informatics, 21(2), pp.465~475 (2017)
- Q. Xie, "Improvement of a Uniqueness-and-Anonymity-Preser ving User Authentication Scheme for Connected Health Care", Journal of Medical Systems (2014)