デジタル署名トランスポンダー

テキサスインスツルメンツの デジタル署名トランスポンダー（DST）は、暗号化された無線周波数識別（RFID）デバイスで、さまざまなワイヤレス認証アプリケーションで使用されています。DSTの最大の導入例としては、エクソンモービルの スピードパス決済システム（約700万個のトランスポンダー）や、多くの最新モデルのフォード、^[1]リンカーン^{[引用が必要]}、マーキュリー^{[引用が必要]}、トヨタ、^[2]日産、起亜、^[2]ヒュンダイ^[2 ] 、テスラ^[2]車両で使用されているさまざまな車両イモビライザーシステムなどがあります。

DST は、独自のブロック暗号を使用してチャレンジ レスポンス認証プロトコルを実装する、電源が供給されない「パッシブ」トランスポンダーです。 ^[3] 各 DST タグには、40 ビットの暗号化キーを格納する不揮発性 RAMが含まれています。このキーは、リーダーによって発行された 40 ビットのチャレンジを暗号化するために使用され、40 ビットの暗号文が生成されます。その後、暗号文は切り捨てられて、リーダーに返される 24 ビットの応答が生成されます。検証者 (暗号化キーも所有) は、予想される結果を計算し、それをタグの応答と比較することで、このチャレンジを検証します。トランスポンダーの暗号化キーは、単純な無線プロトコルを使用してユーザーがプログラムできます。正しくプログラムされると、トランスポンダーは別のコマンドで「ロック」され、内部キー値がそれ以上変更されなくなります。^[4] 各トランスポンダーには、工場で 24 ビットのシリアル番号と 8 ビットの製造元コードがプロビジョニングされています。これらの値は固定されており、トランスポンダーがロックされている場合は変更できません。

2005 年まで、DST 暗号 ( DST40 ) は Texas Instruments の企業秘密であり、秘密保持契約の下で顧客に提供されていました。このポリシーは、暗号の非標準設計と小さなキー サイズのために、ブルート フォース キー検索に対して脆弱であったために導入されたと考えられます。2005 年に、ジョンズ ホプキンス大学情報セキュリティ研究所とRSA 研究所の学生グループが、安価な Texas Instruments 評価キット、インターネットに流出した暗号の回路図、ブラック ボックス技術^[1] (トランスポンダーを分解して回路を調べるのではなく、無線インターフェイス経由でクエリを実行する) を使用して、暗号をリバース エンジニアリングしました。暗号の設計が判明すると、チームはいくつかのFPGAデバイスをプログラムして、既知のチャレンジ/レスポンス ペアに基づいてブルート フォース キー検索を実行できるようにしました。研究チームは、FPGAデバイス1台を使用して、既知のチャレンジ/レスポンスペア2組からキーを約11時間（平均）で復元することができました。16個のFPGAデバイスアレイを使用することで、この時間を1時間未満に短縮しました。さらに、KU LeuvenのCOSIC研究グループの研究者は、 5.6 TBのルックアップテーブルを事前に計算する必要がある時間とメモリのトレードオフ攻撃を実装しました。その後、Raspberry Pi 3Bを使用して2つのチャレンジ/レスポンスペアをスニッフィングすることで、2秒でキーを復元できます。^[4]

DST40は 200 ラウンドの不平衡Feistel 暗号で、L0 は 38 ビット、R0 は 2 ビットです。鍵スケジュールは単純な線形フィードバック シフト レジスタで、3 ラウンドごとに更新されるため、一部の鍵が弱くなります(ゼロ鍵など)。この暗号は潜在的に可逆ですが、DST プロトコルでは暗号化モードのみを使用します。40 ビットから 24 ビットへの出力切り捨てを伴うプロトコルで使用する場合、結果として得られるプリミティブは、暗号化関数というよりも、メッセージ認証コードとしてより適切に説明されます。切り捨てブロック暗号は、このようなプリミティブとしては珍しい選択ですが、この設計には、すべての鍵値の衝突数を正確に制限できるという利点があります。

DST40 暗号は、現存する最も広く使用されている非平衡 Feistel 暗号の 1 つです。

DST40 で使用されているキー サイズが短すぎてブルート フォース攻撃を阻止できないという発見を受けて、TI はキー サイズが 80 ビットのDST80暗号を開発しました。ただし、チャレンジのサイズは依然として 40 ビットです。前身と同様に、DST80 のドキュメントも一般に公開されなかったため、KU LeuvenのCOSIC研究グループの研究者は、複数の車両イモビライザー実装のファームウェアを抽出し、これらの実装から暗号をリバース エンジニアリングすることに成功しました。^[2] DST80 の暗号解読に加えて、彼らは暗号キーの抽出にも使用できる サイド チャネル攻撃も発見しました。

DST80 は依然として、L0 と R0 に同じ値を持つ 200 ラウンドの不均衡な Feistel ネットワーク^[2]です。現在、ラウンドごとに更新され、80 ビットのキーを使用するキー スケジュールは、依然として LFSR に基づいています。これにより、DST40 に対して使用されるブルート フォース攻撃は修正されますが、弱いキーの問題は依然として残っています。さらに、いくつかのメーカーは DST80 ベースのトランスポンダーを不適切に構成し^[2]、ブルート フォース攻撃に対するシステム全体のセキュリティを DST40 よりもほとんど高くないレベルにまで低下させました (2 ⁸⁰から2 ⁴¹へのダウングレード)。さらに、一部のメーカー (Kia、Hyundai、Toyota) は推測しやすい低エントロピーキーを使用したため、上限はさらに低くなることがよくあります。最後に、その実装はサイド チャネル攻撃に対して脆弱です。^[2]

DST ベースのイモビライザー システムとエクソンモービル スピードパス システムに対するセキュリティの脅威が対処されたかどうかは不明です。これらのシステムは、より安全なトランスポンダーに更新されたか、脆弱性に対する保護のための追加対策が講じられた可能性があります。これらのシステムのユーザーは、トランスポンダー キーの保護に引き続き注意を払い、詐欺の兆候がないかスピードパスの請求書を注意深く確認することが重要です。金属シールドの使用も、DST タグの不正なスキャンに対する追加の保護となる可能性があります。ユーザーは、これらのシステムのセキュリティについて常に情報を入手し、必要な予防措置を講じて自分自身を保護することをお勧めします。