Equivalence Properties and Probabilistic Reasoning in Symbolic Security Protocol Analysis

Transcript

1 DISS. ETH NO Equivalence Properties and Probabilistic Reasoning in Symbolic Security Protocol Analysis A thesis submitted to attain the degree of DOCTOR OF SCIENCES of ETH ZURICH (Dr. sc. ETH Zurich) presented by BRUNO CONCHINHA MONTALTO M.Sc. in Mathematics and Applications, IST Lisbon born on citizen of Portugal accepted on the recommendation of Prof. Dr. David Basin, examiner Prof. Dr. Carlos Caleiro, co-examiner Prof. Dr. Hubert Comon-Lundh, co-examiner 2014

2 Abstract Security protocols are distributed programs designed to ensure secure communication in a network controlled by an adversary. They are widely used today for securing on-line services such as personal communication and electronic voting. Their design is notoriously error-prone, and a great deal of research has been devoted to their analysis. In this thesis we provide two main contributions towards the automated analysis of such protocols: algorithms for the symbolic analysis of equivalence properties, and a symbolic probabilistic framework for security protocol analysis. We consider the problem of verifying two equivalence properties relevant in protocol analysis: static equivalence and trace equivalence. Both notions model the property that an attacker cannot distinguish between two protocol executions, and they have been used to model security goals such as off-line guessing, electronic voting anonymity, and RFID untraceability. Static equivalence is concerned with an attacker who passively eavesdrop on a network and then tries to distinguish between possible executions by performing off-line computations. Trace equivalence is used in the analysis of security properties against an attacker who may participate actively in protocol execution. We present an efficient decision procedure for static equivalence under equational theories generated by subterm convergent rewriting systems. This class of theories encompasses the most common cryptographic primitives, including symmetric and asymmetric encryption and decryption, hash functions and digital signatures. Our algorithm achieves a better asymptotic complexity than competing algorithms, albeit with a narrower scope. We discuss its implementation in the FAST tool and show that it indeed performs much more efficiently than other existing tools for the same task. We also present a procedure for deciding the trace equivalence of bounded simple processes under equational theories generated by convergent rewriting systems and for which a finitary unification algorithm exists. Although we do not have a termination result, our procedure is correct for the largest class of equational theories handled by any existing procedure for deciding trace equivalence and, together with the work by Cheval et. al [64], it is the only one to handle non-trivial else branches. Finally, we introduce a symbolic probabilistic framework for the analysis of security protocols. Our framework provides a general method for expressing weak- 3

3 4 nesses of cryptographic primitives. These weaknesses are represented as property statements relating subsets of the domain with subsets of the range of a cryptographic primitive. We show that the class of property statements that we consider is sufficient to express, for example, weaknesses in random generation algorithms or partial information leakage, as might occur, for example, when using a lengthrevealing encryption system or in the presence of an adversary using differential cryptanalysis. Therefore, the attacker in our model is considerably more powerful than conventional symbolic attackers. These properties can be used within our framework to automatically find attacks and estimate their success probability. Existing symbolic methods can neither model such properties nor find such attacks. We show that the probability estimates obtained by using our framework are negligibly different from those yielded by a generalized random oracle model based on sampling terms into bitstrings while respecting the stipulated properties of cryptographic primitives. As case studies, we use a prototype implementation of our framework to model non-trivial properties of RSA encryption and automatically estimate the probability of off-line guessing attacks on the EKE protocol.

4 Riassunto I protocolli di sicurezza sono programmi distribuiti ideati per assicurare comunicazioni sicure in una rete sotto il controllo di un avversario. Oggigiorno sono utilizzati largamente per proteggere servizi on-line quali corrispondenza personale e votazione elettronica. La loro progettazione è notoriamente propensa ad errori, e una buona parte della ricerca è stata votata alla loro analisi. In questa tesi forniamo due contributi principali verso l analisi automatica di tali protocolli: algoritmi per l analisi simbolica di proprietà d equivalenza, e un framework per l analisi di protocolli di sicurezza. Consideriamo il problema di verificare due proprietà di equivalenza rilevanti nell analisi di protocolli: equivalenza statica ed equivalenza delle tracce. Entrambe le nozioni modellano la proprietà che un attaccante non possa distinguere un esecuzione del protocollo da un altra, e sono state impiegate per modellare obiettivi di sicurezza quali off-line guessing, anonimità nelle votazioni elettroniche, e intracciabilità degli RFID. L equivalenza statica studia un attaccante che intercetta passivamente comunicazioni da una rete e tenta di distinguere tra differenti esecuzioni attraverso calcoli off-line. L equivalenza delle tracce viene utilizzata per l analisi di proprietà di sicurezza contro un attaccante che possa partecipare attivamente all esecuzione del protocollo. Presentiamo una procedura decisionale efficiente per l equivalenza statica subordinata a teorie equazionali generate da sistemi convergenti di riscrittura in sottotermini. Questa classe di teorie include le primitive crittografiche più comuni, tra cui cifratura e decifratura simmetrica e asimmetrica, funzioni di hash e firme digitali. Il nostro algoritmo raggiunge una complessità asintotica migliore dei competitori, sebbene con una portata inferiore. Ne discutiamo l implementazione nel tool FAST e mostriamo che le sue prestazioni sono molto più efficienti di altri tool preesistenti per lo stesso compito. Presentiamo anche una procedura per decidere l equivalenza delle tracce di processi semplici limitati subordinata a teorie equazionali generate da sistemi convergenti di riscrittura e per i quali esiste un algoritmo di unificazione che produca risultati di dimensione finita. Sebbene non disponiamo di una dimostrazione di terminazione, la procedura risulta corretta per la più larga classe di teorie equazionali supportata da qualsiasi procedura preesistente per decidere l equivalenza delle tracce, e, assieme al lavoro di Cheval et. al [64], è l unica a supportare ramificazioni else non banali. 5

5 6 Infine, presentiamo un framework probabilistico e simbolico per l analisi di protocolli di sicurezza. Il nostro framework fornisce un metodo generale per esprimere debolezze delle primitive crittografiche. Queste debolezze sono rappresentate come affermazione di proprietà che mettono in relazione sottoinsiemi del dominio con sottoinsiemi del codominio di una primitiva crittografica. Mostriamo che la classe di affermazioni di proprietà è sufficiente ad esprimere, per esempio, debolezze in algoritmi di generazione di valori casuali o rivelazione parziale di informazione, come si può verificare, per esempio, nell utilizzo di un sistema crittografico che riveli la lunghezza dell input o in presenza di un avversario che effettui criptoanalisi differenziale. Di conseguenza, l attaccante nel nostro modello è considerevolmente più forte degli attaccanti simbolici convenzionali. Queste proprietà possono essere utilizzate all interno del nostro framework per ricercare automaticamente attacchi e stimare la loro probabilità di successo. Metodi simbolici preesistenti non sono in grado né di modellare tali proprietà né di rilevare tali attacchi. Mostriamo che le stime di probabilità ottenute utilizzando il nostro framework differiscono in misura trascurabile da quelle prodotte da un modello di oracolo casuale basato sul campionamento di termini in stringhe di bit che rispettino le proprietà delle primitive crittografiche stipulate. Come casi di studio, impieghiamo un implementazione prototipale del nostro framework per modellare proprietà non banali della cifratura RSA e per stimare automaticamente la probabilità di attacchi di guessing off-line sul protocollo EKE.