earticle

영어

The use of biometric information has made it feasible to authenticate users with ease and improved security when stored and processed on smart cards. Shin[3] investigated Mishra[4] et al’s scheme to discover it has the vulnerabilities of server and user impersonation, redirecting user’s message to a wrong server, and denial of services on servers due to message replays. Shin[3] proposed a new authentication scheme to fix the vulnerabilities. We show that Shin[3]’s scheme also suffers from user and server impersonation and authentication of users with fake IDs, contrary to the author’s claims. We also show that an attacker who has stolen information from registration center will be able to impersonate any user or server and decrypt the messages between any pair of a user and a server. The security reanalysis in this paper can be utilized to design secure authentication schemes against impersonation attacks using smart cards.

한국어

스마트카드를 통해 안전하게 보관, 처리되는 생체정보를 활용하게 됨으로써 편의성과 보안성이 향상된 사용자 인증이 가능해졌다. Shin[3]에서는 기존 Mishra 등[4]이 발표한 인증 방식이 서버 및 사용자 위장, 사용자가 원하지 않는 서버와의 연결, 메시지 재사용을 통한 서비스 거부 공격에 취약하다는 점을 지적하고, 새로운 인증 방식을 제안하였다. 본 논문은 Shin[3]의 인증 방식이, 해당 논문에서 분석된 것과 달리, 서버 및 사용자로의 위장이 가능함은 물론이고 가짜 사용자 ID로도 서버에 인증을 받을 수 있음을 보인다. 아울러 등록센터의 정보가 유출되는 경우 공격자는 사용자나 서버로의 위장, 교환되는 메시지 내용 해독을 할 수 있음을 입증한다. 위장 공격으로부터 안전한 스마트카드 활용 인증 방식을 설계하는데 본 논문의 분석 결과를 활용할 수 있을 것이다.