Trusted HB 저비용 HB 플러스 프로토콜의 MiTM 방어 강화

본 논문은 RFID와 같은 초저전력 환경에서 널리 사용되는 경량 인증 프로토콜 HB+의 보안 약점, 특히 중간자 공격(MiTM)에 대한 취약성을 해결하고자 한다. HB+는 Juels와 Weis가 2005년 제안한 프로토콜로, 두 비밀 키 x (80비트)와 y (수백 비트)를 공유하고, r 라운드에 걸쳐 무작위 챌린지 a 와 b, 그리고 잡음 ν 를 포함한 선형 방정식 z = a·x ⊕ b·y ⊕ ν 를 교환한다. 리더는 z와 a·x ⊕ b·y 를 비교해 오류 비율이 임계값 u 보다 낮으면 인증을 성공시킨다. 이 구조는 LPN 문제의 난이도에 의존해 활성 공격에 대해 안전하지만, Gilber·Robshaw·Sibert가 제시한 MiTM 공격에서는 중간에 공격자가 a에 임의의 δ를 XOR해 삽입함으로써, 각 라운드에서 δ·x 값을 추정할 수 있다. 결국 공격자는 “bit‑by‑bit” 방식으로 x를 복구하고, 전체 프로토콜을 무력화한다. 이러한 문제를 해결하기 위해 저자들은 두 단계로 구성된 Trusted‑HB 방식을 제안한다. 첫 번째 단계는 기존 HB+ 라운드를 그대로 수행한다. 여기서 태그와 리더는 동일한 (x, y) 쌍을 사용해 r 번의 라운드 교환을 마치고, 리더는 각 라운드에서 발생한 잡음 ν_i 를 복원한다. 두 번째 단계에서는 라운드 전체에서 수집된 (a_i, b_i, z_i) 시퀀스를 선형 해시 h 에 입력하고, 해시 결과에 잡음 기반 일회용 패드 e 를 XOR해 인증 토큰 t 를 만든다. 핵심 기술은 ε‑균형(ε‑almost universal) 선형 해시 함수 집합 H 이다. 저자는 Kra​wczyk가 제안한 Toeplitz 해시를 LFSR 기반으로 구현한다. LFSR는 초기 상태 s 와 다항식 P 로 정의되며, 해시 h_{P,s}(x) = Σ_{j=0}^{m-1} x_j·S_j 와 같이 간단히 계산된다. 이 구조는 해시를 비트 단위 누산 레지스터로 수행할 수 있어, 라운드당 추가 연산이 거의 없으며, 하드웨어 게이트 수는 수십 개에 불과하다. 또한, 해시 집합 H 가 ε‑균형이면, 임의의 메시지 x′와 토큰 t′ 가 원본 해시와 동일한 값을 만들 확률은 ε 이하가 된다. 두 번째 단계에서 사용되는 함수 E 는 잡음 벡터 ν (편향 η) 를 무작위 패드 e 로 변환한다. 저자는 von Neumann 추출기를 이용해 잡음 비트를 쌍으로 묶어 서로 다른 경우에만 비트를 출력함으로써, 입력 잡음이 0.25 ~ 0.5 범위의 편향을 가질 때도 균등한 비트를 얻을 수 있음을 보인다. 이 과정을 통해 얻은 e 는 일회용 패드와 동일한 보안 특성을 가지며, 공격자는 e 를 알 수 없으므로 해시 토큰을 위조하기 어렵다. 보안 증명에서는 두 가지 가정을 둔다. 첫째, 해시 집합 H 가 ε‑secure(ε‑균형)이다. 둘째, E 의 출력이 무작위이며 공격자에게는 알려지지 않는다. 이때, 공격자가 변조된 라운드 데이터를 이용해 올바른 인증 토큰 t′ 를 만들 확률은 ε 이하이며, 이는 정리 1에 의해 증명된다. 핵심은 공격자가 ν′ (변조 후 잡음) 값을 알 수 없다는 점이다. ν′ 를 복원하려면 (x, y) 를 추정해야 하는데, 이는 LPN 문제와 동등한 난이도를 갖는다. 따라서 기존 MiTM 공격이 의존하던 “δ·x” 추정 방법은 무력화된다. 구현 측면에서는 기존 HB+ 라운드에 한 번의 추가 라운드(즉, 전체 라운드 수와 동일)를 더하는 정도로 통신 오버헤드가 최소화된다. 하드웨어 구현은 LFSR와 XOR 게이트만으로 가능해, RFID 태그에 추가되는 게이트 수는 수십 개 수준에 머문다. 실험 파라미터는 η=0.25, k₁=80, k₂=512, r=1164, u=0.34 이며, 이 설정에서 진정한 태그가 거부될 확률은 약 2⁻⁴⁰, 무작위 추측에 의한 인증 성공 확률은 2⁻⁸⁰ 이다. 최종 인증 메시지 길이는 평균 218 비트이며, 101비트를 목표로 추출하면 ε ≤ 2⁻⁸⁰의 보안을 확보한다. 결론적으로, Trusted‑HB는 기존 HB+ 프로토콜의 경량성을 유지하면서, 선형 Toeplitz 해시와 잡음 기반 일회용 패드 결합을 통해 MiTM 공격에 대한 형식적 보장을 제공한다. 추가 통신은 기존 라운드와 동일한 수만큼이며, 하드웨어 비용은 LFSR와 XOR 게이트 몇 개로 충분히 구현 가능하다. 이는 저비용 RFID 태그에서 실용적인 보안 강화 수단으로 활용될 수 있다.