Protokol Denning-Sacco

Kryptografické zápisy používané v protokolech autentizace a výměny klíčů

$A$	Identifikátory Alice ( Alice ), iniciátorky sezení
$B$	Identifikátor Boba ( Bob ), strany, ze které je relace navázána
$T$	Identifikátor společnosti Trent ( Trent ), důvěryhodné zprostředkující strany
$K_{A},K_{B},K_{T}$	Veřejné klíče Alice, Boba a Trenta
$K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}$	Tajné klíče Alice, Boba a Trenta
$E_{A},\left\{...\right\}_{K_{A}}$	Šifrování dat pomocí klíče Alice nebo společného klíče Alice a Trenta
$E_{B},\left\{...\right\}_{K_{B}}$	Šifrování dat pomocí Bobova klíče nebo Bobova a Trentova společného klíče
$\left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}$	Šifrování dat pomocí tajných klíčů Alice, Bob (digitální podpis)
$já$	Pořadové číslo relace (aby se zabránilo útokům z opakovaného přehrávání)
$K$	Náhodný klíč relace, který se má použít pro symetrické šifrování dat
$E_{K},\left\{...\right\}_{K}$	Šifrování dat pomocí dočasného klíče relace
$T_{A},T_{B}$	Časová razítka přidaná do zpráv od Alice a Boba
$R_{A},R_{B}$	Náhodná čísla ( nonce ), která vybrala Alice a Bob
$K_{A},K_{B},K_{T}$	Alice, Bob a Trent předem vygenerované páry veřejného a soukromého klíče
$K_{p}$	Náhodný pár veřejného/soukromého klíče relace, který se má použít pro asymetrické šifrování
$S_{A},S_{B},$ $S_{T},S_{K_{p))$	Podepisování dat pomocí soukromého klíče Alice, Boba, zprostředkující strany ( Trent ) nebo soukromého klíče z náhodného páru, resp.
$E_{K_{A)),E_{K_{B)),$ $E_{K_{T)),E_{K_{p))$	Asymetrické šifrování dat pomocí veřejného klíče Alice, Boba, prostředníka ( Trent ) nebo veřejného klíče z náhodného páru, resp.

Protokol Denning-Sacco [1] je obecný název pro symetrické a asymetrické protokoly pro distribuci klíčů důvěryhodných stran .

Historie

V roce 1981 představili zaměstnanci Purdue University Dorothy E. Denning a Giovanni Maria Sacco útok na protokol Needham-Schroeder a navrhli vlastní modifikaci protokolu založenou na použití časových značek [2] .

Symetrický klíč Denning-Sacco protokol

U symetrického šifrování se předpokládá, že tajný klíč patřící klientovi zná pouze on a nějaká třetí důvěryhodná strana – autentizační server. Během provádění protokolu klienti (Alice, Bob) obdrží od autentizačního serveru (Trent) nový klíč tajné relace pro šifrování vzájemných zpráv v aktuální komunikační relaci. Zvažte implementaci protokolu Denning-Sacco se symetrickým klíčem [3] :

$Alice\do \vlevo\{A,B\vpravo\}\do Trenta$
$Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\to Alice$
$Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob$

Popis

První zpráva od Alice Trentovi obsahuje identifikátory účastníků nadcházející výměny - Alice a Bob. Tato zpráva je odeslána jako prostý text:

$Alice\do \vlevo\{A,B\vpravo\}\do Trenta$

Trent vygeneruje klíč relace a pošle Alici zašifrovanou zprávu, která obsahuje Bobovo ID, klíč relace, časové razítko a balíček , který funguje jako Alicein certifikát: $K$ $\left\{A,K,T_{T}\right\}_{K_{B}}$

$Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\to Alice$

Alice poté dešifruje Trentovu zprávu a pošle svůj certifikát Bobovi : $\left\{A,K,T_{T}\right\}_{K_{B}}$

$Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob$

Na konci protokolu mají Alice a Bob sdílený klíč relace . $K$

Alice a Bob si mohou ověřit platnost zpráv, které obdrží, kontrolou časových razítek . $T_{T}$

Protokolový útok

V roce 1997 představil Gavin Lowe útok na protokol [4] :

Alice a Bob ukončí relaci protokolu, v důsledku čehož je pro strany vygenerován klíč relace : $K$

jeden.

Alice\do \vlevo\{A,B\vpravo\}\do Trenta

Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\to Alice

Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

Útočník poté zopakuje Alicinu poslední zprávu:

čtyři.

útočník\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

Útočníkovo jednání vede Boba k rozhodnutí, že Alice s ním chce navázat nové spojení.

Úprava protokolu

Ve stejné práci Low navrhl úpravu protokolu, která zajišťuje autentizaci Alice Bobovi [4] :

Nejprve Alice a Bob opakují celou relaci protokolu:

jeden.

Alice\do \vlevo\{A,B\vpravo\}\do Trenta

Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\to Alice

Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

Bob poté vygeneruje náhodné číslo, zašifruje ho klíčem relace a odešle ho Alici: $K$

čtyři.

Bob\to \left\{R_{B}\right\}_{K}\to Alice

Alice dešifruje Bobovu zprávu, přidá k ní 1, zašifruje výsledek pomocí klíče relace a pošle Bobovi: $R_{B}$ $K$

Alice\to \left\{R_{B}+1\right\}_{K}\to Bob

Poté, co Bob dešifruje Alicinu zprávu, může ověřit, že Alice vlastní klíč relace .

K

V rámci protokolu Bob žádným způsobem nepotvrzuje přijetí nového klíče relace a schopnost s ním pracovat. Zpráva od Alice při 5. průchodu mohla být zachycena nebo upravena útočníkem. Ale Alice už od Boba žádnou odpověď neočekává a je si jistá, že protokol byl úspěšně dokončen. $K$

Denning-Sacco Public Key Protocol

Asymetrická verze protokolu Denning-Sacco. Autentizační server vlastní veřejné klíče všech klientů. Zvažte implementaci protokolu Denning-Sacco s veřejným klíčem [5] :

$Alice\do \vlevo\{A,B\vpravo\}\do Trenta$
$Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\to Alice$
$Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\vpravo),S_{T}\vlevo (B,K_{B},T_{T}\vpravo)\vpravo\}\to Bobovi$

Popis

První zpráva od Alice Trentovi obsahuje identifikátory účastníků nadcházející výměny - Alice a Bob. Tato zpráva je odeslána jako prostý text:

Alice\do \vlevo\{A,B\vpravo\}\do Trenta

V reakci na to Trent pošle Alici podepsané certifikáty veřejného klíče Alice a Boba. Ke každému certifikátu jsou navíc přidána časová razítka:

Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\to Alice

Alice vygeneruje nový klíč relace a pošle ho Bobovi spolu s časovým razítkem , podepíše ho svým klíčem a zašifruje Bobovým veřejným klíčem, spolu s oběma zprávami přijatými od Trenta: $K$ $T_{A}$

Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\vpravo),S_{T}\vlevo (B,K_{B},T_{T}\vpravo)\vpravo\}\to Bobovi

Bob ověří podpis CA na certifikátu , dešifruje klíč relace a ověří podpis Alice. $S_{T}\left(A,K_{A},T_{T}\right)$ $K$

Protokolový útok

Abadi a Needham popsali útok na protokol [6] , ve kterém se Bob poté, co obdržel zprávu od Alice, může vydávat za ni v relaci s jiným uživatelem. Absence Bobova identifikátoru ve zprávě od Alice vede k tomu, že Bob může použít data obdržená od Alice k tomu, aby se za Alici vydával v nové relaci s třetí stranou (Clara). $E_{K_{B}}\left(S_{A}\left(K,T_{A}\right)\right)$

Nejprve Alice a Bob provedou standardní protokolovou relaci vygenerováním nového klíče relace : $K$

jeden.

Alice\do \vlevo\{A,B\vpravo\}\do Trenta

Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\to Alice

Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\vpravo),S_{T}\vlevo (B,K_{B},T_{T}\vpravo)\vpravo\}\to Bobovi

Bob poté zahájí novou relaci s Clarou a řídí se protokolem:

čtyři.

Bob\to \left\{B,C\right\}\to Trent

Trent\to \left\{S_{T}\left(B,K_{B},T_{T}\right),S_{T}\left(C,K_{C},T_{T} \right)\right\}\to Bobovi

V posledním kroku protokolu Bob přehraje zprávy a přijaté od Alice v relaci s Clarou : $S_{A}\left(K,T_{A}\right)$ $S_{T}\left(A,K_{A},T_{T}\right)$

Bob\to \left\{E_{C}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\vpravo),S_{T}\vlevo (C,K_{C},T_{T}\vpravo)\vpravo\}\pro Claru

Clara úspěšně ověří podpis CA na certifikátu , dešifruje klíč relace a ověří podpis Alice. V důsledku toho si Clara je jistá, že navázala komunikační relaci s Alicí, protože všechny nezbytné kroky protokolu byly provedeny správně a všechny zprávy byly správné. $S_{T}\left(A,K_{A},T_{T}\right)$ $K$

Poznámky

↑ Davydov A. N. Útoky na klíčové zřizovací protokoly // Bezpečnost informačních technologií: Sborník z vědeckotechnické konference / ed. Volchikhina V. I., Zefirova S. L. - Penza: Publishing House of the Penza Research Electrotechnical Institute, 2004. - Prosinec ( vol. 5 ). - S. 99-104 . Archivováno z originálu 19. srpna 2019. (Ruština)
↑ Denning, Sacco, 1981 .
↑ Mao, 2005 , str. 79.
↑ 1 2 Lowe, 1997 , The Denning-Sacco shared key protocol, str. 4-5.
↑ Mao, 2005 , str. 429.
↑ Abadi, Needham, 1996 .

Literatura

Dorothy E. Denning, Giovanni Maria Sacco. Časová razítka v protokolech distribuce klíčů // Commun . ACM. - New York, NY, USA: ACM, 1981. - Sv. 24 , iss. srpna 1981 , č. 8 . - str. 533-536 . — ISSN 0001-0782 . - doi : 10.1145/358722.358740 .
Gavin Lowe. Skupina útoků na autentizační protokoly . - Katedra matematiky a informatiky, 1997.
M. Abadi, R. Needham. Obezřetná inženýrská praxe pro kryptografické protokoly // Transakce IEEE v softwarovém inženýrství. - 1996. - Leden ( roč. 22 , č. 1 ).
Schneier B. Aplikovaná kryptografie. Protokoly, algoritmy, zdrojový kód v jazyce C = Aplikovaná kryptografie. Protocols, Algorithms and Source Code in C. - M. : Triumph, 2002. - 816 s. - 3000 výtisků. - ISBN 5-89392-055-4 .
Wenbo Mao. Moderní kryptografie: teorie a praxe = Moderní kryptografie: teorie a praxe. - Williams Publishing House, 2005. - ISBN 5-8459-0847-7 .

Protokoly ověřování a výměny klíčů
Se symetrickými algoritmy	Širokoústa žába Yahalom Protokol Needham-Schroeder Protokol Otway-Risa Kerberos Protokol Newman-Stubblebine
Se symetrickými a asymetrickými algoritmy	DASS Protokol Denning-Sacco Wu Lam protokol SPKM
Protokoly a služby používané na internetu	OAuth Otevřít ID Windows Live ID