해쉬 함수 SHA-3 개발 동향

이유섭(Yuseop Lee),이제상(Jesang Lee),강진건(Jinkeon Kang),홍석희(Seokhie Hong),성재철(Jaechul Sung) 한국정보보호학회 2009 情報保護學會誌 Vol.19 No.4

2005년 중국의 Wang 교수 연구팀에 의해 SHA-1에 대한 충돌쌍 공격이 발표됨에 따라, SHA-1대신 SHA-2를 사용하도록 하였다. 아직까지 SHA-2에는 SHA-1과 같은 문제점이 발생하지 않고 있지만, SHA-1과 설계 논리가 유사한 SHA-2에 문제점이 생겼을 경우 대체 알고리즘이 부재한 현 상황에 따라 SHA-3 알고리즘 개발의 필요성이 제기되었다. 이에 미국국립기술 표준원 (NIST, National Institute of Standards and Technologies)는 신규 표준 해쉬 알고리즘을 개발을 위하여 2007년부터 2012년까지 6년간의 “SHA-3 프로젝트”를 시작하였다. 2008년 11월 1일 64개의 알고리즘이 제출되었으며, 12월 11일 51개의 알고리즘이 1 후보 알고리즘으로 선정되었다. 2009년 7월 현재, 10개의 알고리즘이 제안자에 의해 철회되어 41개의 알고리즘이 1 라운드에서 심사되고 있다. 본 논문에서는 SHA-3 개발의 요구 사항과 현재까지 SHA-3 개발동얄을 서술한다.

스트림 암호 Grain-v1에 대한 연관키 공격

이유섭(Yuseop Lee),정기태(Kitae Jung),성재철(Jaechul Sung),홍석희(Seokhie Hong) 한국정보보호학회 2008 정보보호학회논문지 Vol.18 No.4

Kucuk은 eSTREAM 프로젝트에 제안된 스트림 암호인 Grain-v1에 대하여, 공격자에게 키스트림 수열이 주어지면 이를 1-비트 좌측 이동시킨 키스트림 수열을 생성할 수 있음을 보였다[5]. 본 논문에서는 [5]에서 제안된 공격을 확장하여 연관키 선택 Ⅳ 공격을 제안한다. 본 공격은 Grain-v1의 초기화 과정의 취약점을 이용하여 비밀키의 부분 정보를 획득하여 2<SUP>25.02</SUP>개의 Ⅳ와 2<SUP>56</SUP>의 시간 복잡도로 Grain-v1의 비밀키를 복구한다. 본 공격은 Grain-v1에 대한 첫 번째 키 복구 공격이다. The slide resynchronization attack on Grain-v1 was proposed in [5]. Given the keystream sequence, this attack can generate the 1-bit shifted keystream sequence generated by Grain-v1. In this paper, extending the attack proposed in [5], we propose the key recovery attack on Grain-v1 using the related-key. Using the weakness of the initialization procedure of Grain-v1, this attack recover the master key with 2<SUP>25.02</SUP> Ⅳs and 2<SUP>56</SUP> time complexity. This attack is the first known key recovery attack on Grain-v1.

블록 암호 KeeLoq에 대한 취약키 공간에 관한 연구

이유섭(Yuseop Lee),김종성(Jongsung Kim),홍석희(Seokhie Hong) 한국정보보호학회 2009 정보보호학회논문지 Vol.19 No.1

KeeLoq는 32-비트 블록과 64-비트 마스터 키를 사용하는 블록 암호이다. 또한, 매우 단순한 구조로 무선 응용 분야에 적합하게 설계되었다. 이런 특성으로 인해 크라이슬러, GM, 혼다, 도요타 등 여러 차량 제조 회사에서 차량을 보호하기 위한 무선 키리스 엔트리 시스템(keyless entry system)이나 차량 경보 시스템 등에 사용하고 있다. 본 논문에서는 2¹∼2<SUP>32</SUP>개의 키를 가지는 여러 취약키 공간을 소개하고, 마스터 키가 취약키 공간에 속한 경우, 슬라이드 공격 기법에 의해 마스터 키가 쉽게 노출됨을 보인다. KeeLoq is a very light block cipher with a 32-bit block and a 64-bit key. It is suitable for the wireless applications, and thus multiple automotive OEMs as Chrysler, GM, Honda, Toyota have used remote keyless entry systems and alarm systems in order to protect the their cars. In this paper, we introduce various weak-key classes that include 2¹∼2<SUP>32</SUP>keys and exploit the slide attack to propose key-recovery attacks under these weak-key classes.

블록 암호 HIGHT에 대한 차분 오류 공격

이유섭(Yuseop Lee),김종성(Jongsung Kim),홍석희(Seokhee Hong) 한국정보보호학회 2012 정보보호학회논문지 Vol.22 No.3

HIGHT는 국내에서 개발된 초경량 블록 암호로서, 정보통신단체(TTA)표준과 국제표준화기구(ISO/IEC) 18033-3 표준으로 제정되었다. 본 논문에서는 블록암호 HIGHT에 대한 차분 오류 주입 공격을 제안한다. 제안하는 공격에서 공격자는 암호화 과정에서 라운드 28의 입력값에 임의의 1-바이트 오류를 주이비할 수 있다고 가정한다. 이러한 가정에서 오류 주입을 통해 얻어진 암호문과 정상적으로 얻어진 암호문의 차분 특성을 이용하여 비밀키를 복구한다. 12개의 오류를 주입할 경우에는 88%의 성공 확률, 7개의 오류를 주입하는 경우에는 51%의 성공 확률로 수초내에 HIGHT의 비밀키를 복구한다. The block cipher HIGHT is designed suitable for low-resource hardware implementation. It established as the TTA standard and ISO/IEC 18033-3 standard. In this paper, we propose a differentail fault attack against the block cipher HIGHT. In the proposed attack, we assume that an attacker is possible to inject a random byte fault in the input value of the 28-th round. This attack can recover the secret key by using the differential property between the original ciphertext and fault cipher text pairs. Using 7 and 12 error, our attack recover secret key within a few second with success probability 87% and 51%, respectively.

유비쿼터스 환경에 적합한 경량 블록암호 mCrypton에 대한 안전성 분석

이창훈(Changhoon Lee),이유섭(Yuseop Lee),성재철(Jaechul Sung) 한국멀티미디어학회 2009 멀티미디어학회논문지 Vol.12 No.5

스트림 암호에 대한 향상된 고속 상관 공격 적용 가능성 연구

정기태(Kitae Jeong),이유섭(Yuseop Lee),성재철(Jaechul Sung),홍석희(Seokhie Hong) 한국정보보호학회 2009 정보보호학회논문지 Vol.19 No.5

Zhang 등은 SAC’08에서 스트림 암호에 대한 향상된 고속 상관 공격을 제안하였다[8]. 이 공격은 Crypto’00에서 제안된 고속 상관 공격에 기반을 두고 FWT(fast Walsh transform)을 적용하여 설계되었다. [8]에서는 다양한 공격 환경에서 공격 알고리즘의 복잡도와 성공 확률이 제시되었지만, 제안된 공격 알고리즘을 실제 구현한 결과, 제시된 결과와 다르게 나타났다. 본 논문에서는 실험 결과를 토대로 [8]에서 제시된 공격 결과의 문제점을 분석하고, 이 공격 알고리즘이 유효하게 적용되는 bias의 threshold를 제시한다. Zhang et al. proposed a improved fast correlation attack on stream ciphers at SAC'08[8]. This attack is based on the fast correlation attack proposed at Crypto'00 and combined with FWT(fast Walsh transform). Given various attack environments, they presented complexities and success probabilities of the proposed attack algorithm. However, we found that our simulation results of the proposed attack algorithm are different from them presented in [8]. In this paper, we correct results of the proposed attack algorithm by analyzing it theoretically. And we propose a threshold of valid bias.

오류 주입 공격을 이용한 HMAC에 대한 키 복구 공격

정기태(Kitae Jeong),이유섭(Yuseop Lee),성재철(Jaechul Sung),홍석희(Seokhie Hong) 한국정보보호학회 2011 정보보호학회논문지 Vol.21 No.5

FDTC'05와 CISC-W'10에서는 오류 주입을 통하여 타깃 알고리즘의 라운드 수를 감소시킴으로써 AES와 Triple-DES의 비밀키를 각각 찾을 수 있음을 보였다. 본 논문에서는 이 공격 아이디어를 HMAC에 적용하여 비밀키를 복구할 수 있음을 보인다. 본 논문에서 제안하는 공격은 MD 계열의 해쉬 함수가 사용된 HMAC에 적용 가능하며, 매우 적은 계산 복잡도로 비밀키를 복구할 수 있다. 특히, HMAC-SHA-2에 대한 공격 결과는 HMAC-SHA-2에 대한 첫 번째 키 복구 공격 결과이다. At FDTC'05 and CISC-W'10, the authors showed that if they decrease the number of rounds of AES and Triple-DES by using the fault injections, it is possible to recover the secret key of the target algorithms, respectively. In this paper, we propose a key recovery attack on HMAC by using the main idea of these attacks. This attack is applicable to HMAC based on MD-family hash functions and can recover the secret key with the negligible computational complexity. Particularly, the attack result on HMAC-SHA-2 is the first known key recovery attack result on this algorithm.

스트림 암호 A5/3에 대한 오류 주입 공격

정기태(Kitae Jeong),이유섭(Yuseop Lee),성재철(Jaechul Sung),홍석희(Seokhie Hong) 한국정보보호학회 2012 정보보호학회논문지 Vol.22 No.1

본 논문에서는 GSM에서 사용되는 스트림 암호 A5/3에 대한 오류 주입 공격을 제안한다. 이 공격의 오류 주입 가정은 FDTC"05와 CISC-W"10에서 제안된 오류 주입 공격에 기반을 둔다. 본 논문에서 제안하는 오류 주입 공격은 64/128-비트 세션키를 사용하는 A5/3에 모두 적용 가능하며, 적은 수의 오류 주입을 이용하여 세션키를 복구할 수 있다. 이 공격 결과는 A5/3에 대한 첫 번째 키 복구 공격 결과이다. In this paper, we propose a fault injection attack on stream cipher A5/3 used in GSM. The fault assumption of this attack is based on that of fault injection attacks proposed in FDTC"05 and CISC-W"10. This attack is applicable to A5/3 supporting 64/128-bit session key, respectively, and can recover the session key by using a small number of fault injections. These works are the first known key recovery attack results on A5/3.

PRESENT-80/128에 대한 향상된 차분 오류 공격

박세현(Sehyun Park),정기태(Kitae Jeong),이유섭(Yuseop Lee),성재철(Jaechul Sung),홍석희(Seokhie Hong) 한국정보보호학회 2012 정보보호학회논문지 Vol.22 No.1

차분 오류 공격은 부채널 공격 기법 중 하나로 DES, AES, ARIA, SEED 등 대표적인 블록 암호 안전성 분석에 널리 사용되었다. PRESENT는 80/128-비트 비밀키를 사용하는 31-라운드 SPN 구조의 64-비트 블록 암호이다. 기제안된 PRESENT에 대한 차분 오류 공격들은 8~64개의 오류를 주입하여 80/128-비트 비밀키를 복구하였다. 본 논문에서는 이를 개선하여 PRESENT-80에 대해 2개의 오류를 주입하여 평균 1.7개의 비밀키를 남기고, PRESENT-128에 대해 3개의 오류를 주입하여 2<SUP>22-3</SUP>개의 비밀키 후보를 구한다. 이 후 전수 조사를 통해 비밀키를 유일하게 복구한다. 이 공격은 기제안된 PRESENT의 차분 오류 공격보다 더 적은 수의 오류를 주입하여 효과적으로 비밀키를 복구한다. A differential fault analysis(DFA) is one of the most important side channel attacks on block ciphers. Most block ciphers, such as DES, AES, ARIA, SEED and so on., have been analysed by this attack. PRESENT is a 64-bit block cipher with 80/128-bit secret keys and has a 31-round SP-network. So far, several DFAs on PRESENT have been proposed. These attacks recovered 80, 128-bit secret keys of PRESENT with 8~64 fault injections. respectively. In this paper, we propose an improved DFA on PRESENT-80/128. Our attack can reduce the complexity of exhaustive search of PRESENT-80(resp. 128) to on average 1.7(resp. 2<SUP>22-3</SUP>) with 2(resp. 3) fault injections, From these results, our attack results are superior to known DFAs on PRESENT.

블록 암호 ARIA-128에 대한 차분 오류 공격

박세현(Sehyun Park),정기태(Kitae Jeong),이유섭(Yuseop Lee),성재철(Jaechul Sung),홍석희(Seokhie Hong) 한국정보보호학회 2011 정보보호학회논문지 Vol.21 No.5

차분 오류 공격(DFA)은 블록 암호의 안전성 분석에 널리 사용되는 부채널 공격 기법으로서, 대표적인 블록 암호인 DES, AES, ARIA, SEED 등에 적용되었다. 2008년 Wei 등은 ARIA-128에 대한 첫 번째 DFA를 제안하였다. 이 공격은 평균 45개의 바이트 오류를 이용하여 128-비트 비밀키를 복구하였다. 본 논문에서는 Wei 등의 공격을 개선한 ARIA-128에 대한 DFA를 제안했다. 본 논문에서 제안하는 공격은 4개의 오류만을 이용하여 O(2³²)의 계산 복잡도로 ARIA-128의 비밀키를 복구할 수 있다. A differential fault analysis(DFA) is one of the most important side channel attacks on block ciphers. Most block ciphers, such as DES, AES, ARIA, SEED and so on., have been analysed by this attack. In 2008, Wei et al. proposed the first DFA on ARIA-128. Their attack can recover the 128-bit secrey key by about 45 faulty ciphertexts. In this paper, we propose an improved DFA on ARIA-128. We can recover the 128-bit secret key by only 4 faulty ciphertexts with the computational complexity of O(2³²).