SAE

작성자

익명

작성일

2026.08.08

조회수

버전

📋 문서 버전

이 문서는 3개의 버전이 있습니다. 현재 버전 2을 보고 있습니다.

SAE

SAE(Simultaneous Authentication of Equals)는 두 당사자가 동등한 위치에서 동시에 서로를 인증하는 암호화 프로토콜로, 주로 무선 네트워크 환경에서 안전한 키 교환과 인증을 제공하기 위해 설계되었습니다. SAE는 특히 Wi-Fi Protected Access 3(WPA3) 표준에서 사용되는 핵심 인증 메커니즘으로, 기존의 WPA2에서 사용되던 PSK(Pre-Shared Key) 방식의 보안 취약점을 해결하기 위해 도입되었습니다.

개요

SAE는 802.11i 표준의 후속 개정안인 802.11-2016에서 정의되었으며, 디피-헬만 기반의 상호 인증 프로토콜(Password Authenticated Key Exchange, PAKE)의 일종입니다. 이 프로토콜은 공유 비밀(예: 사용자 비밀번호)을 기반으로 하되, 중간자 공격(Man-in-the-Middle, MITM), 사전 공격(Dictionary Attack), 오프라인 브루트포스 공격 등에 강한 내성을 가지도록 설계되었습니다.

SAE는 특히 공개된 환경(예: 공공 와이파이)에서의 보안을 강화하며, 사용자가 단순한 비밀번호를 사용하더라도 안전한 통신이 가능하도록 합니다. 이는 기존의 WPA2-Personal이 단순한 해시 기반 인증을 사용해 오프라인 공격에 취약했던 점을 개선했습니다.

작동 원리

SAE는 EAP-pwd(Extensible Authentication Protocol - Password)에서 영감을 받았으며, 산술적 디피-헬만(Arithmetic Diffie-Hellman)과 그룹 기반 연산을 활용합니다. 주요 특징은 다음과 같습니다:

1. 상호 인증 (Mutual Authentication)

SAE는 클라이언트와 액세스 포인트(AP)가 동시에 서로를 인증합니다. 이 과정에서 양측은 공유 비밀(비밀번호)을 사용하여 일시적인 암호화 키를 생성하고, 이를 통해 상대방이 비밀을 알고 있는지를 검증합니다.

2. 키 유도 (Key Derivation)

SAE는 공유 비밀과 난수(nonce)를 기반으로 Pairwise Master Key(PMK)를 도출합니다. 이 PMK는 이후 4-way handshake를 통해 Pairwise Transient Key(PTK)로 변환되어 데이터 암호화에 사용됩니다.

3. 보안 강화 기법

오프라인 공격 방지: SAE는 인증 실패 시에도 공격자가 비밀번호를 추측하기 위한 유용한 정보를 얻기 어렵게 만듭니다.
Forward Secrecy(전방 보안): 각 세션마다 독립적인 키가 생성되므로, 과거 세션의 키가 유출되더라도 미래 통신은 안전합니다.
중간자 공격 저항성: 인증 과정에서 암호화된 도전-응답 방식을 사용하여 MITM 공격을 방어합니다.

프로토콜 단계

SAE는 일반적으로 두 단계로 구성됩니다:

1. Commit Phase (커밋 단계)

양측은 비밀번호를 기반으로 한 스칼라 값(scalar)과 소용돌이 값(element)을 생성합니다.
각자는 자신의 커밋 메시지를 상대에게 전송하며, 이 메시지는 난수와 그룹 요소를 포함합니다.
이 단계에서 공격자는 유효한 응답을 생성하기 위해 비밀번호를 정확히 알아야 하므로, 사전 공격이 매우 어렵습니다.

2. Confirm Phase (확인 단계)

양측은 상대의 커밋 메시지를 수신한 후, 비밀 키를 계산하고 확인 메시지(confirm)를 교환합니다.
이 확인 메시지는 암호화된 도전-응답 형태로, 상대방이 올바른 PMK를 가지고 있는지를 검증합니다.
인증이 성공하면, 안전한 PMK가 확립되고, 이후 WPA3의 4-way handshake로 넘어갑니다.

SAE의 보안 이점

기능	설명
오프라인 공격 저항	인증 실패 후에도 비밀번호 추측에 필요한 정보가 노출되지 않음
상호 인증	클라이언트와 AP 모두가 비밀을 알고 있음을 증명
전방 보안	세션 키는 일회용이며, 과거 통신 기록이 안전
단순한 비밀번호 사용 가능	복잡한 비밀번호 없이도 보안 유지 가능

WPA3와의 통합

SAE는 WPA3-Personal 모드의 핵심 인증 방식입니다. WPA3는 다음과 같은 방식으로 SAE를 활용합니다:

개인용 네트워크(Home, Small Office): SAE를 통해 비밀번호 기반 인증을 강화
공용 네트워크(Public Wi-Fi): Opportunistic Wireless Encryption(OWE)과 함께 사용되기도 하나, SAE는 주로 개인 네트워크에 적용

WPA3는 SAE를 통해 "그린 필드"(Greenfield) 모드에서만 작동하도록 설계되었으며, 이는 레거시 호환성을 포기함으로써 보안을 극대화한 전략입니다.

한계와 주의사항

계산 오버헤드: SAE는 기존 PSK보다 더 많은 계산 리소스를 요구하므로, 저사양 IoT 기기에서 성능 저하 가능
호환성 문제: WPA2와의 하위 호환성을 제공하는 WPA3 Transition Mode에서는 보안성이 일부 저하될 수 있음
구현 오류 위험: 잘못 구현된 SAE 구현체는 타이밍 공격 등에 취약할 수 있음

SAE의 단계별 상세 분석: Level 2 단계

SAE 프로토콜의 논리적 흐름에서 Level 2는 비밀번호(Password)를 타원 곡선 상의 점(Point)으로 변환하여, 이를 기반으로 디피-헬만(Diffie-Hellman) 키 교환을 수행하기 위한 준비 단계입니다. 이 단계는 단순한 문자열인 비밀번호를 수학적 그룹 요소로 매핑함으로써, 이후의 Commit Phase에서 사용될 '공유 요소(Password Element, PWE)'를 생성하는 핵심 과정입니다.

Level 2 연산 과정 순서도

graph TD
    A[시작: 비밀번호 및 SSID 입력] --> B[KDF를 통한 임시 키 생성]
    B --> C{Hash-to-Curve 수행}
    C --> D[반복 시도: Hunting-and-Pecking]
    D --> E{유효한 곡선 점 발견?}
    E -- No --> D
    E -- Yes --> F[PWE: Password Element 확정]
    F --> G[Level 2 종료 및 Commit Phase 진입]

Hash-to-Curve 알고리즘

SAE는 비밀번호를 곡선 상의 점으로 변환하기 위해 Hash-to-Curve 메커니즘을 사용합니다. 가장 대표적인 방식인 Hunting-and-Pecking 알고리즘의 구체적인 절차는 다음과 같습니다:

입력값 구성: $\text{password}$, $\text{SSID}$, $\text{counter}$ (초기값 1)를 결합합니다.
해시 생성: $\text{hash} = \text{KDF}(\text{password}, \text{SSID}, \text{counter})$를 통해 임의의 값을 생성합니다.
좌표 검증: 생성된 $\text{hash}$ 값을 타원 곡선의 $x$ 좌표로 가정하고, 곡선 방정식 $y^2 = x^3 + ax + b \pmod p$를 만족하는 $y$ 값이 존재하는지 확인합니다.
반복 및 확정:
$y$ 값이 존재하면(이차 잉여인 경우), 해당 점 $P = (x, y)$를 PWE로 선택합니다.
존재하지 않으면 $\text{counter}$를 1 증가시키고 2번 단계로 돌아가 반복합니다.

Level 2 단계의 보안 메커니즘

Level 2 단계의 핵심 목적은 비밀번호의 직접적인 노출을 막고, 수학적으로 검증 가능한 공유 비밀을 생성하는 것입니다.

오프라인 사전 공격 차단: 기존 WPA2-PSK는 4-way handshake의 캡처된 패킷을 통해 오프라인에서 비밀번호를 무차별 대입(Brute-force)할 수 있었습니다. 반면, SAE의 Level 2는 PWE를 생성한 후 이를 이용해 일회성 스칼라 값과 결합한 커밋 메시지를 교환합니다. 공격자가 네트워크 패킷을 캡처하더라도, PWE 자체가 암호화된 형태로 교환되므로 비밀번호를 역산하기 위해서는 매 시도마다 실제 프로토콜 상호작용이 필요한 '온라인 공격'을 수행해야만 합니다.
결정론적 매핑: 동일한 비밀번호와 SSID에 대해 항상 동일한 PWE가 생성되도록 하여, 양측이 서로 통신하지 않고도 동일한 시작점(Base Point)을 가질 수 있게 합니다.

프로토콜 단계 간 연결 고리

Level 2 단계는 비밀번호(문자열) $\rightarrow$ PWE(곡선 점)로의 변환을 담당하며, 이는 전체 프로토콜에서 다음과 같은 가교 역할을 수행합니다:

Pre-computation (Level 2): 사용자가 입력한 비밀번호를 수학적 객체인 PWE로 변환합니다.
Commit Phase: Level 2에서 생성된 PWE에 각자의 난수(Private Scalar)를 곱하여 공개 값(Public Element)을 생성하고 교환합니다.
Confirm Phase: 교환된 공개 값들을 통해 최종적으로 동일한 PMK(Pairwise Master Key)를 도출하고 이를 검증합니다.

즉, Level 2가 없다면 디피-헬만 연산을 위한 공통의 기준점(Base Point)을 안전하게 설정할 수 없으며, 이는 SAE의 상호 인증 체계 전체의 붕괴로 이어집니다.

사이드 채널 공격 방어 및 구현

Level 2의 Hunting-and-Pecking 방식은 유효한 점을 찾을 때까지 반복 횟수가 달라지므로, 실행 시간의 차이를 통해 비밀번호 정보를 유추하는 타이밍 공격(Timing Attack)에 취약할 수 있습니다.

방어 전략: Constant-Time 구현

이를 방어하기 위해 최신 구현체에서는 유효한 점을 찾은 후에도 정해진 최대 횟수만큼 더미(Dummy) 연산을 수행하여 전체 실행 시간을 일정하게 유지하는 Constant-Time 알고리즘을 적용합니다.

방어 코드 예시 (Conceptual C)

// 취약한 구현: 점을 찾으면 즉시 반환 (타이밍 공격 가능)
Point hunting_and_pecking_vulnerable(char* pwd) {
    for (int i = 0; i < MAX_ITER; i++) {
        if (is_on_curve(hash(pwd, i))) return get_point(pwd, i);
    }
}

// 안전한 구현: 항상 MAX_ITER만큼 연산 수행 (Constant-Time)
Point hunting_and_pecking_secure(char* pwd) {
    Point result = NULL_POINT;
    bool found = false;

    for (int i = 0; i < MAX_ITER; i++) {
        Point p = get_point_if_exists(pwd, i);
        // 조건부 선택(Conditional Move)을 통해 실제 결과값 업데이트
        // 실제 연산량은 항상 동일하게 유지
        if (p != NULL_POINT && !found) {
            result = p;
            found = true;
        } else {
            // 더미 연산을 수행하여 실행 시간 일치시킴
            dummy_curve_operation();
        }
    }
    return result;
}

📝 마크다운 원본

이 문서의 마크다운 원본 내용입니다.

# SAE

**SAE**(Simultaneous Authentication of Equals)는 두 당사자가 동등한 위치에서 동시에 서로를 인증하는 암호화 프로토콜로, 주로 무선 네트워크 환경에서 안전한 키 교환과 인증을 제공하기 위해 설계되었습니다. SAE는 특히 **Wi-Fi Protected Access 3**(WPA3) 표준에서 사용되는 핵심 인증 메커니즘으로, 기존의 WPA2에서 사용되던 PSK(Pre-Shared Key) 방식의 보안 취약점을 해결하기 위해 도입되었습니다.

## 개요

SAE는 802.11i 표준의 후속 개정안인 802.11-2016에서 정의되었으며, **디피-헬만 기반의 상호 인증 프로토콜**(Password Authenticated Key Exchange, PAKE)의 일종입니다. 이 프로토콜은 공유 비밀(예: 사용자 비밀번호)을 기반으로 하되, 중간자 공격(Man-in-the-Middle, MITM), 사전 공격(Dictionary Attack), 오프라인 브루트포스 공격 등에 강한 내성을 가지도록 설계되었습니다.

SAE는 특히 **공개된 환경**(예: 공공 와이파이)에서의 보안을 강화하며, 사용자가 단순한 비밀번호를 사용하더라도 안전한 통신이 가능하도록 합니다. 이는 기존의 WPA2-Personal이 단순한 해시 기반 인증을 사용해 오프라인 공격에 취약했던 점을 개선했습니다.

---

## 작동 원리

SAE는 **EAP-pwd**(Extensible Authentication Protocol - Password)에서 영감을 받았으며, **산술적 디피-헬만**(Arithmetic Diffie-Hellman)과 **그룹 기반 연산**을 활용합니다. 주요 특징은 다음과 같습니다:

### 1. 상호 인증 (Mutual Authentication)
SAE는 클라이언트와 액세스 포인트(AP)가 동시에 서로를 인증합니다. 이 과정에서 양측은 공유 비밀(비밀번호)을 사용하여 일시적인 암호화 키를 생성하고, 이를 통해 상대방이 비밀을 알고 있는지를 검증합니다.

### 2. 키 유도 (Key Derivation)
SAE는 **공유 비밀**과 **난수**(nonce)를 기반으로 **Pairwise Master Key**(PMK)를 도출합니다. 이 PMK는 이후 4-way handshake를 통해 **Pairwise Transient Key**(PTK)로 변환되어 데이터 암호화에 사용됩니다.

### 3. 보안 강화 기법
- **오프라인 공격 방지**: SAE는 인증 실패 시에도 공격자가 비밀번호를 추측하기 위한 유용한 정보를 얻기 어렵게 만듭니다.
- **Forward Secrecy**(전방 보안): 각 세션마다 독립적인 키가 생성되므로, 과거 세션의 키가 유출되더라도 미래 통신은 안전합니다.
- **중간자 공격 저항성**: 인증 과정에서 암호화된 도전-응답 방식을 사용하여 MITM 공격을 방어합니다.

---

## 프로토콜 단계

SAE는 일반적으로 두 단계로 구성됩니다:

### 1. Commit Phase (커밋 단계)
- 양측은 비밀번호를 기반으로 한 **스칼라 값**(scalar)과 **소용돌이 값**(element)을 생성합니다.
- 각자는 자신의 **커밋 메시지**를 상대에게 전송하며, 이 메시지는 난수와 그룹 요소를 포함합니다.
- 이 단계에서 공격자는 유효한 응답을 생성하기 위해 비밀번호를 정확히 알아야 하므로, 사전 공격이 매우 어렵습니다.

### 2. Confirm Phase (확인 단계)
- 양측은 상대의 커밋 메시지를 수신한 후, 비밀 키를 계산하고 **확인 메시지**(confirm)를 교환합니다.
- 이 확인 메시지는 암호화된 도전-응답 형태로, 상대방이 올바른 PMK를 가지고 있는지를 검증합니다.
- 인증이 성공하면, 안전한 PMK가 확립되고, 이후 WPA3의 4-way handshake로 넘어갑니다.

---

## SAE의 보안 이점

| 기능 | 설명 |
|------|------|
| **오프라인 공격 저항** | 인증 실패 후에도 비밀번호 추측에 필요한 정보가 노출되지 않음 |
| **상호 인증** | 클라이언트와 AP 모두가 비밀을 알고 있음을 증명 |
| **전방 보안** | 세션 키는 일회용이며, 과거 통신 기록이 안전 |
| **단순한 비밀번호 사용 가능** | 복잡한 비밀번호 없이도 보안 유지 가능 |

---

## WPA3와의 통합

SAE는 **WPA3-Personal** 모드의 핵심 인증 방식입니다. WPA3는 다음과 같은 방식으로 SAE를 활용합니다:

- **개인용 네트워크**(Home, Small Office): SAE를 통해 비밀번호 기반 인증을 강화
- **공용 네트워크**(Public Wi-Fi): **Opportunistic Wireless Encryption**(OWE)과 함께 사용되기도 하나, SAE는 주로 개인 네트워크에 적용

WPA3는 SAE를 통해 **"그린 필드"(Greenfield)** 모드에서만 작동하도록 설계되었으며, 이는 레거시 호환성을 포기함으로써 보안을 극대화한 전략입니다.

---

## 한계와 주의사항

- **계산 오버헤드**: SAE는 기존 PSK보다 더 많은 계산 리소스를 요구하므로, 저사양 IoT 기기에서 성능 저하 가능
- **호환성 문제**: WPA2와의 하위 호환성을 제공하는 **WPA3 Transition Mode**에서는 보안성이 일부 저하될 수 있음
- **구현 오류 위험**: 잘못 구현된 SAE 구현체는 타이밍 공격 등에 취약할 수 있음

---

## 관련 표준 및 참고 자료

- IEEE 802.11-2016 표준 (SAE 정의)
- Wi-Fi Alliance WPA3 인증 사양
- RFC 5931: EAP-PSK, SAE와 유사한 PAKE 프로토콜
- NIST SP 800-121: 무선 보안 가이드라인

SAE는 현대 무선 보안의 핵심 기술 중 하나로, 사용자 친화성과 보안성을 동시에 추구하는 데 성공한 사례입니다. 앞으로도 IoT, 모바일 네트워크 등 다양한 분야에서 그 중요성이 더욱 커질 것으로 예상됩니다.

## SAE의 단계별 상세 분석: Level 2 단계

SAE 프로토콜의 논리적 흐름에서 **Level 2**는 비밀번호(Password)를 타원 곡선 상의 점(Point)으로 변환하여, 이를 기반으로 디피-헬만(Diffie-Hellman) 키 교환을 수행하기 위한 준비 단계입니다. 이 단계는 단순한 문자열인 비밀번호를 수학적 그룹 요소로 매핑함으로써, 이후의 Commit Phase에서 사용될 '공유 요소(Password Element, PWE)'를 생성하는 핵심 과정입니다.

### Level 2 연산 과정 순서도
```mermaid
graph TD
    A[시작: 비밀번호 및 SSID 입력] --> B[KDF를 통한 임시 키 생성]
    B --> C{Hash-to-Curve 수행}
    C --> D[반복 시도: Hunting-and-Pecking]
    D --> E{유효한 곡선 점 발견?}
    E -- No --> D
    E -- Yes --> F[PWE: Password Element 확정]
    F --> G[Level 2 종료 및 Commit Phase 진입]
```

### Hash-to-Curve 알고리즘
SAE는 비밀번호를 곡선 상의 점으로 변환하기 위해 **Hash-to-Curve** 메커니즘을 사용합니다. 가장 대표적인 방식인 **Hunting-and-Pecking** 알고리즘의 구체적인 절차는 다음과 같습니다:

1. **입력값 구성**: $\text{password}$, $\text{SSID}$, $\text{counter}$ (초기값 1)를 결합합니다.
2. **해시 생성**: $\text{hash} = \text{KDF}(\text{password}, \text{SSID}, \text{counter})$를 통해 임의의 값을 생성합니다.
3. **좌표 검증**: 생성된 $\text{hash}$ 값을 타원 곡선의 $x$ 좌표로 가정하고, 곡선 방정식 $y^2 = x^3 + ax + b \pmod p$를 만족하는 $y$ 값이 존재하는지 확인합니다.
4. **반복 및 확정**:
   - $y$ 값이 존재하면(이차 잉여인 경우), 해당 점 $P = (x, y)$를 **PWE**로 선택합니다.
   - 존재하지 않으면 $\text{counter}$를 1 증가시키고 2번 단계로 돌아가 반복합니다.

## Level 2 단계의 보안 메커니즘

Level 2 단계의 핵심 목적은 **비밀번호의 직접적인 노출을 막고, 수학적으로 검증 가능한 공유 비밀을 생성**하는 것입니다.

- **오프라인 사전 공격 차단**: 기존 WPA2-PSK는 4-way handshake의 캡처된 패킷을 통해 오프라인에서 비밀번호를 무차별 대입(Brute-force)할 수 있었습니다. 반면, SAE의 Level 2는 PWE를 생성한 후 이를 이용해 일회성 스칼라 값과 결합한 커밋 메시지를 교환합니다. 공격자가 네트워크 패킷을 캡처하더라도, PWE 자체가 암호화된 형태로 교환되므로 비밀번호를 역산하기 위해서는 매 시도마다 실제 프로토콜 상호작용이 필요한 '온라인 공격'을 수행해야만 합니다.
- **결정론적 매핑**: 동일한 비밀번호와 SSID에 대해 항상 동일한 PWE가 생성되도록 하여, 양측이 서로 통신하지 않고도 동일한 시작점(Base Point)을 가질 수 있게 합니다.

## 프로토콜 단계 간 연결 고리

Level 2 단계는 **비밀번호(문자열) $\rightarrow$ PWE(곡선 점)**로의 변환을 담당하며, 이는 전체 프로토콜에서 다음과 같은 가교 역할을 수행합니다:

1. **Pre-computation (Level 2)**: 사용자가 입력한 비밀번호를 수학적 객체인 PWE로 변환합니다.
2. **Commit Phase**: Level 2에서 생성된 PWE에 각자의 난수(Private Scalar)를 곱하여 공개 값(Public Element)을 생성하고 교환합니다.
3. **Confirm Phase**: 교환된 공개 값들을 통해 최종적으로 동일한 PMK(Pairwise Master Key)를 도출하고 이를 검증합니다.

즉, Level 2가 없다면 디피-헬만 연산을 위한 공통의 기준점(Base Point)을 안전하게 설정할 수 없으며, 이는 SAE의 상호 인증 체계 전체의 붕괴로 이어집니다.

## 사이드 채널 공격 방어 및 구현

Level 2의 **Hunting-and-Pecking** 방식은 유효한 점을 찾을 때까지 반복 횟수가 달라지므로, 실행 시간의 차이를 통해 비밀번호 정보를 유추하는 **타이밍 공격(Timing Attack)**에 취약할 수 있습니다.

### 방어 전략: Constant-Time 구현
이를 방어하기 위해 최신 구현체에서는 유효한 점을 찾은 후에도 정해진 최대 횟수만큼 더미(Dummy) 연산을 수행하여 전체 실행 시간을 일정하게 유지하는 **Constant-Time** 알고리즘을 적용합니다.

### 방어 코드 예시 (Conceptual C)
```c
// 취약한 구현: 점을 찾으면 즉시 반환 (타이밍 공격 가능)
Point hunting_and_pecking_vulnerable(char* pwd) {
    for (int i = 0; i < MAX_ITER; i++) {
        if (is_on_curve(hash(pwd, i))) return get_point(pwd, i);
    }
}

// 안전한 구현: 항상 MAX_ITER만큼 연산 수행 (Constant-Time)
Point hunting_and_pecking_secure(char* pwd) {
    Point result = NULL_POINT;
    bool found = false;

    for (int i = 0; i < MAX_ITER; i++) {
        Point p = get_point_if_exists(pwd, i);
        // 조건부 선택(Conditional Move)을 통해 실제 결과값 업데이트
        // 실제 연산량은 항상 동일하게 유지
        if (p != NULL_POINT && !found) {
            result = p;
            found = true;
        } else {
            // 더미 연산을 수행하여 실행 시간 일치시킴
            dummy_curve_operation();
        }
    }
    return result;
}
```

AI 생성 콘텐츠 안내

이 문서는 AI 모델(gemma-4-31b)에 의해 생성된 콘텐츠입니다.

주의사항: AI가 생성한 내용은 부정확하거나 편향된 정보를 포함할 수 있습니다. 중요한 결정을 내리기 전에 반드시 신뢰할 수 있는 출처를 통해 정보를 확인하시기 바랍니다.

위키너와나

SAE