MLS 가상 클라이언트의 한 자리 뒤에 숨은 공동 키 위험

요약

MLS 작업반이 11월 2일 공개한 가상 클라이언트 초안 -02는 여러 에뮬레이터 클라이언트가 상위 그룹에서 잎 하나를 공유하는 방식을 제시한다. 아직 RFC가 아닌 Internet-Draft다.
각 기기는 가상 클라이언트의 비밀 상태 전체를 보유한다. 하나가 침해되면 참여한 모든 상위 그룹의 현재 비밀과 공동 신원을 사칭할 능력이 노출된다.
기기 하나를 제거하려면 미사용 KeyPackage를 삭제하고 자격 증명을 바꾸며 모든 상위 그룹의 키를 갱신해야 한다. 개정판은 암호 모음의 약한 쪽이 실제 강도를 제한한다는 점도 추가했다.

화면에는 한 명, 열쇠를 쥔 손은 여러 개

암호화된 대화방에서 구성원 한 명만 보이는데, 그 뒤에는 휴대전화와 노트북 등 여러 기기가 있을 수 있다. MLS 가상 클라이언트는 이 기기들을 상위 그룹의 잎 하나로 묶는다. 다른 구성원은 어느 기기가 메시지를 보냈는지 구별하기 어렵고, 그룹 트리도 작아진다. 새 초안은 이 효율과 메타데이터 보호를 설명한다.

다만 기기마다 비밀을 따로 가두지는 않는다. 모든 에뮬레이터가 가상 클라이언트의 비밀 상태 전체를 갖는다. 초안의 보안 절은 기기 하나가 침해되면 내부 에뮬레이션 그룹과 가상 클라이언트가 속한 모든 상위 그룹의 현재 비밀이 노출되며, 공격자가 그 신원을 사칭할 수 있다고 명시한다. 밖에서는 한 자리지만, 앱은 그 자리의 권한을 여러 기기에 나눠 준 셈이다.

기기를 퇴출할 때는 배달 서비스가 남아 있는 KeyPackage를 먼저 삭제해야 한다. Remove 제안으로 내부 그룹을 새 에폭으로 옮긴 뒤, 앱이 새 자격 증명과 인증 키를 제공한다. 남은 기기들은 상위 그룹 각각에서 가상 클라이언트의 키를 갱신하고 새 KeyPackage를 올린다. 퇴출된 기기가 알던 장기 자격 증명도 폐기해야 한다. 대개 다른 기기 한 대가 온라인 상태여야 하며, 배달 서비스에 삭제 기능도 필요하다. 오래된 패키지가 남으면 퇴출된 기기가 나중에 오는 Welcome 메시지를 처리할 수 있다.

-02 개정판은 암호 강도에 관한 한계를 새로 적었다. 상위 그룹에서 쓸 키 재료는 내부 그룹의 암호 모음 아래 만들어진 비밀에서 나온다. 이를 더 강한 외부 암호 모음으로 가져가도 원래 비밀의 엔트로피가 늘지는 않는다. 실제 강도는 둘 중 약한 쪽에 묶인다. 초안은 내부 암호 모음을 모든 대상 모음 이상으로 고르라고 권고한다.

숨김 효과에도 빈틈이 있다. 파생 정보는 가상 잎이라는 사실을 드러낼 수 있고, 공통 에폭 식별자는 여러 그룹에 나타난 잎을 연결할 수 있다. 초안에는 실제 배포 규모나 사고 건수가 없다. 대신 분명한 시험을 제시한다. 앱이 기기 하나의 권한을 공동 신원이 닿는 모든 그룹에서 끊어 낼 수 있는가.