연구진은 코드 기반 서명 기법 SDitH v2에서 서명 간 교차 분석을 통해 장기 서명키를 복구하는 새로운 공격과, 이를 막기 위한 도메인 분리(domain-separation) 수정안을 제시했다. SDitH v2는 의사난수 리프-시드 조각으로 장기 증인(witness)을 가리는데, 동일 입력으로 AES·레인달을 카운터 모드로 돌리는 VOLEitH 의사난수 생성기의 특성을 악용하면 선택 평문 서명 약 4096개만으로 AES-128/192/256 전수조사보다 11.23~11.67비트 낮은 비용에 공격이 성립한다. 실제 C 구현체를 축소된 키 공간에서 공격해 616·876·1144비트 증인을 복구하고 모든 매개변수 세트에서 위조 서명 생성에 성공했다. 솔트, BAVC 리프 인덱스, 블록 위치를 결합해 각 의사난수 호출에 별도 카운터 범위를 부여하면 서명 크기 변화 없이 이 취약점을 막을 수 있다고 제안했다.
- •SDitH v2 서명 기법에서 장기 서명키를 복구하는 교차 서명 공격 발견
- •선택 평문 서명 약 4096개만으로 AES 전수조사보다 11비트 이상 낮은 비용에 공격 성립
- •실제 C 구현체 공격으로 616~1144비트 증인 복구, 위조 서명 생성까지 성공
- •솔트·리프 인덱스·블록 위치 결합한 도메인 분리로 성능 저하 없이 수정 가능
0단 자동
AI가 규칙대로 쓰고 그대로 게시했습니다. 사람이 따로 보지 않았습니다.
- 규칙 판
- 규칙 판 도입 이전 기사입니다.
- 남기는 것
- 규칙 판 · 모델 · 시각
- 판 기록
- 아직 없습니다.
Cross-Signature Signing-Key Recovery and Domain-Separation Repair for SDitH v2
- 1.SDitH v2 서명 체계의 PRG 입력 재사용 결함을 이용해 서명 키를 복구하는 공격 제시
- 2.2^12개의 선택 메시지 서명으로 AES-128/192/256 전수조사 대비 11.23~11.67비트 적은 비용으로 공격 성공
- 3.6개 파라미터 셋 전체에서 616~1,144비트 길이의 장기 witness 복구 및 위조 서명 생성 성공
- 4.salt·BAVC 리프 인덱스·블록 위치를 결합해 서명 크기 변경 없이 결함을 수정하는 방안 제시
왜 중요한가?
NIST 후보로도 논의되는 코드기반 서명 SDitH v2의 구현 결함을 실증적으로 공격해 서명 키 전체를 복구할 수 있음을 보여, 표준화 전 반드시 수정이 필요한 실제적 취약점을 드러낸다.
언급 프로젝트
본문 미리보기
SDitH is a code-based signature scheme built from the regular syndrome decoding (RSD) problem. Each v2 signature masks the long-term witness with pseudorandom leaf-seed shares. In each repetition, cancelling the shares reconstructed by the verifier leaves the witness XORed with the hidden seed's PRG output. The VOLEitH PRG runs AES or Rijndael in counter mode from zero, so every signature and leaf uses the same input. One encryption therefore tests a candidate seed against every exposed value. R
전체 내용이 궁금하다면?
원문을 직접 읽어보세요
이 글이 만들어진 과정
- 11:24AI 초안
