💻 computer science

A Note on the Influence of a Zero Length Nonce on GCM and GMAC

이 논문은 제로 길이의 논스(nonce)가 사용될 때 GCM 및 GMAC의 해시 키를 복구하여 임의의 위조를 가능하게 하는 단순한 공격을 제시하며, 이는 해당 논스를 허용하는 ISO/IEC 표준에 특유한 취약성으로, 최소 길이를 규정하는 NIST 버전과는 차이가 있다.

원저자: Yaobin Shen

게시일 2026-08-07

📖 2 분 읽기☕ 가벼운 읽기

CC BY 4.0

원저자: Yaobin Shen

원본 논문은 CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) 라이선스로 제공됩니다. ✨ 이것은 아래 논문에 대한 AI 생성 설명입니다. 저자가 작성하거나 승인한 것이 아닙니다. 기술적 정확성을 위해서는 원본 논문을 참조하세요. 전체 면책 조항 읽기

디지털 세상을 모든 메시지가 봉인된 편지와 같은 분주한 도시라고 상상해 보십시오. 이 편지들을 안전하게 지키기 위해 우리는 암호화라는 특별한 자물쇠를 사용하며, 아무도 내용을 손대지 않았음을 확인하기 위해 "태그"라고 불리는 고유한 밀랍 인장을 부착합니다. 이를 수행하는 가장 인기 있는 방법 중 하나가 GCM(Galois/Counter Mode)이라 불리는 시스템입니다. GCM을 당신의 편지를 잠글 뿐만 아니라 수학적 지문으로 도장을 찍어주는 첨단 우체국이라고 생각하십시오. 이 지문은 송신자와 수신자만이 알고 있는 특별한 숫자, 즉 비밀 "해시 키"를 사용하여 만들어집니다. 편지가 도착했을 때 지문이 일치하면, 모두는 그것이 진짜임을 알게 됩니다. 만약 지문이 틀리다면, 그 편지는 거부됩니다. 이 시스템은 와이파이에서부터 보안 뱅킹에 이르기까지 어디에서나 사용되므로, 비밀 해시 키를 안전하게 지키는 것이 매우 중요합니다. 만약 악의적인 행위자가 그 키를 훔친다면, 그들은 자신만의 편지를 위조하여 우체국이 그것을 진짜라고 믿도록 속일 수 있습니다.

연구자 야오빈 션(Yaobin Shen)의 최근 논문은 이 시스템이 때때로 설정되는 방식에서 발생하는 매우 구체적이고 다소 특이한 허점을 탐구합니다. 이 논문은 "논스(nonce)"라는 아주 작은 세부 사항에 집중합니다. GCM의 세계에서 논스는 매번 보내는 편지마다 달라져야 하는 고유한 일련번호나 일회용 비밀번호와 같습니다. 이는 당신이 동일한 메시지를 두 번 보내더라도 잠금장치와 인장이 완전히 다르게 보이도록 보장합니다. 논문의 연구는 만약 누군가가 실수로, 혹은 의도적으로 "제로 길이(zero-length)" 논스, 즉 안에 아무것도 들어있지 않은 빈 상자를 사용한다면 어떤 일이 발생하는지 조사합니다. 이 시스템의 일부 공식 규칙서(특히 ISO/IEC 버전)는 이 빈 상자를 허용하지만, 다른 버전(NIST 버전 등)은 이를 엄격히 금지하며 최소한의 데이터라도 포함할 것을 요구합니다. 션의 연구는 만약 당신이 빈 상자를 허용하는 규칙을 따른다면, 영리한 공격자가 그 빈 상자를 이용해 인장 뒤에 숨겨진 수학적 원리를 깨뜨릴 수 있음을 보여줍니다.

이 논문은 공격자가 빈 논스로 암호화된 메시지를 관찰하는 것만으로도 복잡한 수학적 퍼즐을 풀어 비밀 해시 키를 찾아낼 수 있다는 영리한 트릭을 보여줍니다. 이는 마치 도둑이 당신이 빈 열쇠 구멍으로 문을 잠글 때, 그 잠금장치가 마스터 키의 형상을 드러내는 소리를 내며 딸깍거리는 것을 알아차리는 것과 같습니다. 일단 공격자가 이 키를 손에 넣으면, 그들은 원하는 어떤 메시지든 위조할 수 있습니다. 그들은 완벽한 인장이 찍힌 가짜 편지를 만들어내어 시스템이 그것을 진짜로 받아들이도록 할 수 있습니다. 저자는 이 공격이 빈 논스를 허용하는 버전의 시스템에 대해서만 작동하며, 비어 있지 않은 논스를 요구하는 버전에는 완전히 실패한다는 점을 언급합니다. 이 논문은 단순히 이런 일이 일어날 수 있다고 제안하는 데 그치지 않고, 이 특정 시나리오에서 수학이 어떻게 무너지는지를 보여주는 명확하고 단계적인 방법을 제공함으로써, "빈 상자"가 특정 구현체에서 위험한 약점임을 입증합니다.

기술 요약: GCM 및 GMAC에서 길이 0인 논스(Nonce)의 영향에 관한 노트

문제 정의
본 논문은 GCM(Galois/Counter Mode) 및 그 특수 형태인 GMAC에서 발생하는, 길이 0인 논스의 처리로 인한 특정 취약점을 다룬다. GCM과 GMAC는 널리 사용되는 인증 암호화 및 메시지 인증 코드 방식이지만, 그 보안 규격은 표준마다 차이가 있다. NIST 버전은 논스가 반드시 최소 1비트 이상이어야 한다고 명시적으로 규정한다. 반면, ISO/IEC 버전(구체적으로 ISO/IEC 9797-3 및 ISO/IEC 19772)은 논스를 가변 길이 문자열로 허용하며 최소 길이를 강제하지 않으므로, 길이 0인 문자열( $\{\}$ )을 허용한다. 저자는 ISO/IEC 프레임워크 내에서 이러한 길이 0인 논스를 사용하는 것이 보안에 미치는 영향을 조사한다.

방법론
본 논문은 논스가 비어 있을 때 GHASH 함수의 수학적 성질을 악용하는 키 복구 공격을 제시한다. 이 공격은 두 가지 시나리오, 즉 공격자가 길이 0인 논스로 암호화 오라클에 쿼리를 보낼 수 있는 선택 평문 설정(chosen-plaintext setting) 또는 공격자가 길이 0인 논스에 해당하는 유효한 암호화를 관찰하는 특정 기지 암호문 설정(known-ciphertext setting) 하에서 작동한다.

공격 과정은 다음과 같다:

초기화: 논스 $N$ 이 길이 0인 문자열일 때, 초기화 벡터 $Y_0$ 는 $GHASH(H, \{\}, \{\})$ 로 계산된다. GHASH의 정의에 따라, 이는 $0^n \cdot H$ 가 되며, 결과적으로 $0^n$ 이 된다.
태그 생성: 인증 태그 $T$ 는 $T = GHASH(H, A, C) \oplus E_K(Y_0)$ 로 생성된다. $Y_0 = 0^n$ 이므로, $E_K(Y_0)$ 는 $E_K(0^n)$ 이 되며, 이는 해시 키 $H$ 로 정의된다.
방정식 수립: 태그 방정식은 $T = GHASH(H, A, C) \oplus H$ 로 단순화된다. $A$ (연관 데이터)와 $C$ (암호문)는 알려져 있고 $T$ 가 관찰되었으므로, 이 방정식은 미지 변수인 $H$ (해시 키)에 대한 3차 다항식이 된다.
키 복구: 이 3차 다항식을 풀음으로써 공격자는 해시 키 $H$ 를 복구할 수 있다.
위조: 일단 $H$ 가 복구되면, 공격자는 길이 0인 논스를 재사용한다는 전제하에 임의의 연관 데이터 및 메시지 쌍에 대해 임의의 암호문과 태그를 위조할 수 있다. 또한, 공격자는 선형 관계 $GHASH(H, A', C') \oplus T' = GHASH(H, A_1, C_1) \oplus T_1$ 을 만족함으로써 이전에 관찰된 임의의 논스를 사용하여 메시지를 위조할 수 있다.

또한 본 논문은 기밀성에 미칠 수 있는 잠재적 영향을 언급한다. 만약 복구된 해시 키를 통해 공격자가 위조된 쿼리에 대한 $E_K(Y'_0)$ 를 계산할 수 있고, 만약 $Y'_0$ 와 다른 메시지의 암호화에 사용된 카운터 사이에 카운터 충돌이 발생한다면, 공격자는 해당 평문 블록을 복구할 수 있다.

주요 기여 및 결과

공격 벡터: 본 논문은 길이 0인 논스를 사용하는 단 한 번의 암호화 쿼리로 GCM/GMAC의 비밀 해시 키 $H$ 를 복구하는 간단하고 실용적인 공격을 입증한다.
표준 간의 차이: 본 연구는 NIST와 ISO/IEC 규격 사이의 결정적인 차이를 강조한다. 이 공격은 길이 0인 논스를 허용하는 ISO/IEC 표준을 준수하는 구현체에 대해서만 유효하며, 최소 1비트의 논스 길이를 강제하는 NIST 준수 구현체에는 효과가 없다.
결과: 해시 키의 복구는 인증 메커니즘의 완전한 붕괴(total break)로 이어지며, 임의의 암호문(GCM의 경우) 또는 메시지(GMAC의 경우)를 위조할 수 있게 한다.

의의 및 주장
본 논문은 ISO/IEC 규격에서 길이 0인 논스를 허용하는 것이 GCM 및 GMAC의 보안을 해치는 취약점을 생성한다는 것을 보여준다고 주장한다. 이 연구의 의의는 이 공격이 최소한의 데이터(단 한 번의 쿼리)를 사용하여 체계의 보안에 있어 근본적인 구성 요소인 내부 해시 키를 복구한다는 점에 있다.

저자는 공격의 범위를 제한적으로 유지하며, 이 공격이 ISO/IEC 버전에만 적용되며 NIST 버전에는 적용될 수 없음을 명시적으로 밝힌다. 본 논문은 기초 블록 암호를 깨뜨리거나 길이가 1비트 이상인 논스를 사용할 때의 일반적인 GCM 보안을 깨뜨린다고 주장하는 것이 아니다. 대신, ISO/IEC 표준의 특정 파라미터 선택에 대한 경고 역할을 한다. 저자는 여러 실제 구현체들이 길이 0인 논스를 수용하는 것으로 보인다고 언급하면서도, 즉각적인 악용을 피하기 위해 이를 공개적으로 식별하지 않고 영향을 받는 당사자들에게 독립적으로 통지하는 방식을 택했다.

유사한 논문