키복구시스템및안전성

2) Lack-of-fairness 공격[5]
그림 10. Binding cryptography의 개념도Silvio Micali는 FPKC가 공정하다고 주장하고 있다. 즉, 범죄자들을 감시하면서도 사용자의 프라이버시를 보호할 수 있다는 것이다. 하지만 이 공격은 FPKC가 범죄자의 감시와 사용자의 프라이버시 보호라는 두 가지 요구를 동시에 만족하지 않는다는 것을 보여준다. 예를 들어 ElGamal 암호 시스템에 기반한 FPKC의 경우 다음과 같은 공격이 가능하다.[3]
사용자 A는 다음의 식을 만족하는 공개키와 비밀키의 쌍 ()을 소유한다.
범죄자 B는 사용자 A에게 다음과 같이 이루어진 암호문 (K, C)를 전송한다.
암호문을 수신한 사용자 A는 다음과 같이 메시지 M을 복호해 낸다.
이 과정에서 법 집행 기관이 공개된 정보 K와 C로부터 메시지 M을 얻기 위해서는 사용자 A의 비밀키 를 복구해야만 한다. 즉, FPKC에서는 메시지를 송신하는 범죄자의 키가 아니라 범죄자로부터 메시지를 수신하는 사용자의 비밀키가 노출되는 것이다.
6. Binding Cryptography
1997년에 E. R. Verheul 등은 부정한 사용자에 의한 메시지 조작과 정확한 키 복구 정보를 포함하지 …(생략)

가) 동작 과정

① 사용자 A와 사용자 B는 임의의 키 교환 프로토콜을 이용하여 세션키를 공유한다.

② 사용자 A는 다음 형태의 암호문 C를 생성하여 사용자 B에게 전송한다.

③ 사용자 B는 자신의 비밀키를 사용하여 수신한 암호문으로부터 세션키 KS를 복구한 후 암호문을 복호한다.

① 법 집행 기관은 법원 영장과 암호문으로부터 얻어낸를 TRP에게 전송한다.

② TRP는 자신의 비밀키 를 사용하여 수신된 정보로부터 사용자의 세션키 KS를 구해낸다.

③ TRP는 복구한 세션키 KS를 법 집행 기관에게 전송하고 법 집행 기관은 그 키로부터 암호문을 복호한다.

나) 안전성

① 사용자 A는 메시지 M에 대한 암호문 C를 다음과 같이 생성한다.

② 사용자 A는 ①에서 생성된 암호문 C에서 부분을 삭제하고 나머지 부분에 수신자가 메시지를 복구할 수 있도록 하는 정보를 부가한 형태의 새로운 메시지로 암호문 C`를 생성하여 사용자 B에게 전송한다.

③ 사용자 B는 C`로부터 D를 복호한 후 info에서 얻어지는 정보를 통하여 M을 얻어낸다.