무선 통신 보호 방법 및 시스템 document_id A220623067217

UMTS(universal mobile telecommunication system)는 무선 통신 시스템의 주요 표준들 중 하나이다. UMTS는 보안을 위해 AKA(인증 및 키 협의) 프로토콜을 사용한다. AKA는 GSM(global system for mobile communication) 보안 아키텍처에 기초하며 이 GSM 보안 아키텍처를 상당히 개선한 것이다. GSM에서의 인증 프로세스는 클라이언트만이 인증되는 단방향인 반면, UMTS에서는 클라이언트 및 네트워크 둘다가 상호 인증되어야 한다. 위장 기지국 공격(false base station attack)(GSM 프로토콜은 이에 대해 취약함)은 UMTS AKA 프로토콜에 의해 대부분 무력화된다(완전히 무력화되지는 않음). AKA는 USIM(범용 가입자 식별 모듈)[이것은 사용자 장비(UE)의 일부분임]과 네트워크 AuC(인증 센터)[네트워크의 홈 환경(HE)에 존재함] 간에 장기 공유 비밀키 K가 존재하는 것으로 가정한다. 도 1은 UMTS AKA 보안 구조(100)와 밀접하게 연계되어 있는 종래의 인증 절차의 시그널링 흐름도이다. UE(152)는 RNC(무선 네트워크 제어기)(156)와 RRC(무선 자원 제어) 접속을 설정한다(단계 102). UE(152)는 이 RRC 접속 프로세스 동안에 RNC(156)에 그의 보안 기능을 공개시킨다. 이어서, UE(152)는 사용자 ID와 함께 L3 계층 메시지를 VLR(방문자 위치 등록기)(158)에게로 전송한다(단계 104). 사용자는 IMSI(international mobile subscriber identity)를 사용하여 식별된다. L3 메시지는 KSI(키 세트 식별자)[이것은 인증 동안에 도출되는 암호키 및 무결성 키와 연관되어 있는 번호임]를 포함한다. KSI는 초기 L3 메시지를 통해 전송될 때 기본값으로 설정된다. 어떤 조건 하에서(예를 들어, 사용자가 인증되지 않은 경우), VLR(158)은 AKA를 필요로 하며, HLR(홈 위치 등록기)(160)에게로 인증 데이터 요청을 전송한다(단계 106). 인증 데이터 요청을 수신할 시에, HLR(160)은 일련의 AV(인증 벡터)를 VLR(158)에게로 전송한다(단계 108). 각각의 AV는 RAND(random number, 난수), 사용자를 인증하는 데 사용되는 XRES(expected response, 예상된 응답), 기밀성을 확보하기 위한 CK(암호키), IK(무결성 키), 및 AUTN(인증 토큰)을 포함하는 숫자들의 오중항(quintet)을 포함한다. AUTN은 AK(익명성 키)에 의해 은폐된 SQN(순서 번호), 어떤 인증 컴포넌트(사용되는 알고리즘, 키 수명, 기타 등등)를 지정하는 AMF(인증 관리 필드), 및 SQN, AMF 및 RAND에 기능적으로 종속되어 있는 MAC(메시지 인증 코드)를 포함한다. VLR(158)은 RAND 및 AUTN을 제1 AV로부터 UE(152)로 전송한다(단계 110). 이어서, UE(152)는 XMAC(예상된 MAC)를 산출하고 XMAC가 MAC와 일치하는지를 판정함으로써 네트워크를 인증한다(단계 112). UE(152)는 RES(응답)을 산출하고 이 RES를 VLR(158)에게로 전송한다(단계 114). VLR(158)은 UE(152)를 인증하기 위해 RES가 XRES와 일치하는지를 판정한다(단계 118). 이들 인증 시도(단계 112 및 118) 중 어느 하나가 실패하면 인증 실패가 일어난다. UE(152)는 현재 세션에 대해서만 보안을 제공하는 세션키(즉, AV 내의 CK 및 IK)를 계산한다(단계 116). RAND를 입력으로 받아 공유 비밀키 K를 적용하는 미리 정의된 UMTS 알고리즘을 사용하여 키 발생이 수행된다. 단계(112, 118)에서 상호 인증이 성공하면, 로컬 인증 절차가 시작된다. 이 프로세스에서는 UE(152) 및 VLR(158)이 협상하여 현재 세션에서 어느 UEA(UMTS 암호화 알고리즘) 및 UIA(UMTS 무결성 알고리즘)를 사용할지를 결정하는 것을 필요로 한다(단계 120). VLR(158)은 협상된 UEA 및 UIA와 현재의 세션키 CK 및 IK를 포함하는 보안 모드 명령을 노드 B(154)를 통해 RNC(156)에게로 전송한다(단계 122). 이제 보안 통신이 시작될 수 있기 때문에, RNC(156)는 메시지 인증 코드(MAC-I)와 함께 보안 모드 명령을 UE(152)에게로 전송한다(단계 124). MAC-I 값은 보안 모드 명령 메시지의 무결성을 보호하고, MAC-I는 세션키 IK를 사용하여 UIA에 의해 메시지의 내용에 대해 계산된 일종의 해쉬이다. UE(152)는 보안 모드 명령 메시지의 내용에 대해 키 IK를 갖는 UIA를 사용하여 유사한 방식으로 MAC-I를 계산하고 이를 수신된 MAC-I와 비교함으로써 수신된 메시지의 무결성을 검증한다(단계 126). 인증 코드가 일치하는 경우, UE(152)는 보안 모드 완료 메시지를 RNC(156)에게로 전송한다(단계 128). 이러한 순환의 교환은 제1 보안 통신을 나타낸다. RNC(156)은 선택된 UEA 및 UIA를 확인해주는 보안 모드 완료 메시지를 VLR(158)에게로 전송한다(단계 130). 따라서, UEA 및 UIA를 수반하는 모든 협상이 완료되고 UE(152)와 VLR(158) 간의 인증이 충족된 것으로 가정하여, 보안 통신(암호화, 암호 해독, 및 무결성 보호)이 시작된다. 비록 무결성 보호가 필요하지만, 기밀 유지(암호화)를 사용하지 않고 통신이 수행될 수 있다. 모든 공개키 시스템을 비롯한 대부분의 최근의 암호 시스템이 의존하는 계산 비밀성과 완전 비밀성 간에 차이가 있다. 최근의 암호 시스템은 계산 자원 관점에서 볼 때 암호키를 추측하는 것이 극히 어려울 수 있다는 사실에 의존한다. 그렇지만, 이들 시스템 대부분에서, 정확한 추측이 얻어지는 경우, 이것이 실제로 정확한 추측인지를 검증하는 것은 아주 쉽다. 이런 능력이 계산 비밀성과 "완전 비밀성"을 구분해주는 것이다. 완전 비밀성은, 공격자가 키를 정확하게 추출할지라도, 실제로 정확하게 추측했는지를 판정하는 능력을 갖지 않는 것을 의미한다. 두명의 당사자(A 및 B)가 미리 정해진 시간에(i에 의해 인덱싱됨) 독립적인 샘플 Xi, Yi를 발생하는 어떤 랜덤성 소스(X 및 Y)에 대한 액세스 권한을 갖는 것으로 가정하자. 도청자(E)가 액세스 권한을 갖고 있는 공개 채널을 통해 A 및 B가 통신함으로써 완전한 비밀키를 발생하고자 하는 것으로 가정하자. 게다가, E는 또한 독립적인 샘플 Zi를 발생하는 다른 랜덤성 소스 Z에 대한 액세스 권한도 가지고 있다. 랜덤성 소스 Z는 아마도 랜덤성 소스 X 및 Y에 의존하고 있지만, X 및 Y가 서로 교차-의존하는 것만큼 강하게 의존하고 있지는 않다. 따라서, A 및 B는 이들의 랜덤성 소스의 강한 상호 의존성을 통해 E에 비해 어떤 이점을 공유하고 있다. A 및 B가 완전한 비밀 랜덤키를 발생하기 위해 이러한 의존성을 이용할 수 있다는 것이 공지되어 있다. 완전한 비밀키를 발생하기 위해, A 및 B는 자신들의 결합 랜덤성을 이용하여 비트열 S''(E의 관점에서 볼 때의 이 비트열의 고유 엔트로피는 비트이며, 여기서 임)을 확립하기 시작한다. 이것은 A와 B 간의 어떤 횟수의 공개적인 교환을 사용하여 행해진다. 대부분의 경우에, 한번의 단방향 교환으로 충분하다. 교환의 정확한 성질은 결합 랜덤 소스 (X,Y,Z)의 성질에 의존한다. A 및 B는 시퀀스 S''을 완전한 비밀키 S로 변환하는 기능에 공개적으로 합의하기 위해 다른 일련의 공개적인 교환을 사용한다. 상관된 랜덤성 소스를 사전 통신 없이 생성하기가 선험적으로 어려운 반면, 무선 채널은 CIR(채널 임펄스 응답)의 형태로 이러한 자원을 제공한다. 구체적으로는, 어떤 통신 시스템에서, 2개의 통신 당사자 A 및 B는, A로부터 B로 또한 B로부터 A로 통신을 할 때, 아주 비슷한 CIR을 측정하게 된다[예를 들어, TDD(시분할 듀플렉스) 시스템]. 반면에, 물리적으로 A 및 B와 동일 위치에 있지 않은 당사자는 A 및 B의 CIR과 아주 작은 상관을 갖는 CIR을 관찰할 가능성이 있다. 이러한 차이가 완전한 비밀키를 발생하는 데 이용될 수 있다. 이 채널은 다른 것들과 공유하지 않는 결합 랜덤성(JRNSO)의 소스이며, CIR 측정치는 채널로부터 얻어진 샘플이다. 그렇지만, 무선 채널에 의해 제공되는 JRNSO로부터 이러한 비밀키(비트)가 발생되는 속도는 통상적으로 낮다. 비밀 비트의 레이트(rate)가 초당 수 킬로비트보다 높을 것으로 예상되지 않는다. 실제로, 이 레이트는 상당히 더 낮다. [예를 들어, 일회용 암호(one-time pad)를 통해] 암호화를 위해 이러한 비트를 직접 사용하면, 그 결과 비밀 비트마다 단지 1비트의 데이터만이 지원될 수 있기 때문에 레이트가 아주 낮아지거나, 공격[빈도수 공격(frequency attack) 등]에 취약하게 된다. 따라서, 높은 레이트로 비밀 비트를 발생하고 적은 양의 이러한 공유 랜덤성을 사용하여 암호화 시스템을 개선시키는 방법을 제공하는 것이 바람직하다.