Denning-Sacco-protokollet

Kryptografiska notationer som används i autentiserings- och nyckelutbytesprotokoll

$A$	Identifierare av Alice ( Alice ), initiativtagaren till sessionen
$B$	Identifierare för Bob ( Bob ), den sida från vilken sessionen etableras
$T$	Identifierare för Trent ( Trent ), en pålitlig mellanpart
$K_{A},K_{B},K_{T}$	Alice, Bob och Trents publika nycklar
$K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}$	Hemliga nycklar till Alice, Bob och Trent
$E_{A},\left\{...\right\}_{K_{A}}$	Kryptering av data med Alices nyckel, eller Alice och Trents gemensamma nyckel
$E_{B},\left\{...\right\}_{K_{B}}$	Kryptera data med Bobs nyckel eller Bob och Trents gemensamma nyckel
$\left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}$	Datakryptering med hemliga nycklar från Alice, Bob (digital signatur)
$jag$	Sessionssekvensnummer (för att förhindra reprisattacker)
$K$	Slumpmässig sessionsnyckel som ska användas för symmetrisk datakryptering
$E_{K},\left\{...\right\}_{K}$	Krypterar data med en tillfällig sessionsnyckel
$T_{A},T_{B}$	Tidsstämplar har lagts till i meddelanden av Alice respektive Bob
$R_{A},R_{B}$	Slumptal ( nonce ) som valdes av Alice respektive Bob
$K_{A},K_{B},K_{T}$	Alice, Bob och Trents förgenererade offentliga respektive privata nyckelpar
$K_{p}$	Slumpmässig session offentligt/privat nyckelpar som ska användas för asymmetrisk kryptering
$S_{A},S_{B},$ $S_{T},S_{K_{p))$	Signering av data med den privata nyckeln från Alice, Bob, mellanparten ( Trent ), eller en privat nyckel från ett slumpmässigt par.
$E_{K_{A)),E_{K_{B)),$ $E_{K_{T)),E_{K_{p))$	Asymmetrisk datakryptering med den offentliga nyckeln från Alice, Bob, en mellanpart ( Trent ) eller en offentlig nyckel från ett slumpmässigt par, respektive

Denning-Sacco-protokollet [1] är ett vanligt namn för symmetriska och asymmetriska nyckeldistributionsprotokoll för betrodda parter .

Historik

1981 presenterade Purdue University-anställda Dorothy E. Denning och Giovanni Maria Sacco en attack mot Needham-Schroeder-protokollet och föreslog sin egen modifiering av protokollet baserat på användningen av tidsetiketter [2] .

Symmetrisk nyckel Denning-Sacco-protokollet

Med symmetrisk kryptering antas det att den hemliga nyckeln som tillhör klienten endast är känd för honom och någon tredje betrodd part - autentiseringsservern. Under exekveringen av protokollet får klienter (Alice, Bob) från autentiseringsservern (Trent) en ny hemlig sessionsnyckel för att kryptera ömsesidiga meddelanden i den aktuella kommunikationssessionen. Överväg implementeringen av Denning-Sacco-protokollet med en symmetrisk nyckel [3] :

$Alice\till \left\{A,B\right\}\till Trent$
$Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\till Alice$
$Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob$

Beskrivning

Det första meddelandet från Alice till Trent innehåller identifierarna för deltagarna i det kommande utbytet - Alice och Bob. Detta meddelande skickas i klartext:

$Alice\till \left\{A,B\right\}\till Trent$

Trent genererar en sessionsnyckel och skickar ett krypterat meddelande till Alice som inkluderar Bobs ID, sessionsnyckel, tidsstämpel och ett paket som fungerar som Alices certifikat: $K$ $\left\{A,K,T_{T}\right\}_{K_{B}}$

$Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\till Alice$

Alice dekrypterar sedan Trents meddelande och skickar hennes certifikat till Bob : $\left\{A,K,T_{T}\right\}_{K_{B}}$

$Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob$

I slutet av protokollet har Alice och Bob en delad sessionsnyckel . $K$

Alice och Bob kan verifiera att meddelandena de får är giltiga genom att kontrollera tidsstämplar . $T_{T}$

Protokollattack

1997 presenterade Gavin Lowe en attack mot protokollet [4] :

Alice och Bob avslutar protokollsessionen, som ett resultat av vilket sessionsnyckeln genereras för parterna : $K$

ett.

Alice\till \left\{A,B\right\}\till Trent

Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\till Alice

Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

Angriparen upprepar sedan Alices sista meddelande:

fyra.

Attacker\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

Angriparens handlingar leder till att Bob bestämmer sig för att Alice vill etablera en ny förbindelse med honom.

Protokolländring

I samma arbete föreslog Low en protokollmodifiering som ger Alices autentisering till Bob [4] :

Först upprepar Alice och Bob hela protokollsessionen:

ett.

Alice\till \left\{A,B\right\}\till Trent

Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\till Alice

Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

Bob genererar sedan ett slumpmässigt nummer, krypterar det med sessionsnyckeln och skickar det till Alice: $K$

fyra.

Bob\till \left\{R_{B}\right\}_{K}\till Alice

Alice dekrypterar Bobs meddelande, lägger till 1 till det, krypterar resultatet med sessionsnyckeln och skickar till Bob: $R_{B}$ $K$

Alice\to \left\{R_{B}+1\right\}_{K}\to Bob

Efter att Bob har dekrypterat Alices meddelande kan han verifiera att Alice äger sessionsnyckeln .

K

Inom ramen för protokollet bekräftar Bob inte på något sätt mottagandet av en ny sessionsnyckel och möjligheten att arbeta med den. Meddelandet från Alice på 5:e passet kunde ha snappats upp eller modifierats av en angripare. Men Alice förväntar sig inte längre något svar från Bob och är säker på att protokollet slutfördes framgångsrikt. $K$

Denning-Sacco Public Key Protocol

En asymmetrisk version av Denning-Sacco-protokollet. Autentiseringsservern äger de publika nycklarna för alla klienter. Överväg implementeringen av Denning-Sacco-protokollet med en offentlig nyckel [5] :

$Alice\till \left\{A,B\right\}\till Trent$
$Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\till Alice$
$Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\höger),S_{T}\vänster(B,K_{B},T_{T}\höger)\höger\}\till Bob$

Beskrivning

Det första meddelandet från Alice till Trent innehåller identifierarna för deltagarna i det kommande utbytet - Alice och Bob. Detta meddelande skickas i klartext:

Alice\till \left\{A,B\right\}\till Trent

Som svar skickar Trent Alice de undertecknade certifikaten för Alice och Bobs offentliga nyckel. Dessutom läggs tidsstämplar till varje certifikat:

Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\till Alice

Alice genererar en ny sessionsnyckel och skickar den till Bob tillsammans med en tidsstämpel , signerar den med sin nyckel och krypterar den med Bobs publika nyckel, tillsammans med båda meddelandena som tagits emot från Trent: $K$ $T_{A}$

Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\höger),S_{T}\vänster(B,K_{B},T_{T}\höger)\höger\}\till Bob

Bob verifierar CA:s signatur på certifikatet , dekrypterar sessionsnyckeln och verifierar Alices signatur. $S_{T}\left(A,K_{A},T_{T}\right)$ $K$

Protokollattack

Abadi och Needham beskrev en attack mot protokollet [6] där Bob, efter att ha fått ett meddelande från Alice, kan utge sig för att vara henne i en session med en annan användare. Frånvaron av Bobs identifierare i meddelandet från Alice leder till att Bob kan använda data som tas emot från Alice för att imitera Alice i en ny session med en tredje part (Clara). $E_{K_{B}}\left(S_{A}\left(K,T_{A}\right)\right)$

Först genomför Alice och Bob en standardprotokollsession genom att generera en ny sessionsnyckel : $K$

ett.

Alice\till \left\{A,B\right\}\till Trent

Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\till Alice

Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\höger),S_{T}\vänster(B,K_{B},T_{T}\höger)\höger\}\till Bob

Bob initierar sedan en ny session med Clara och följer protokollet:

fyra.

Bob\to \left\{B,C\right\}\to Trent

Trent\to \left\{S_{T}\left(B,K_{B},T_{T}\right),S_{T}\left(C,K_{C},T_{T} \right)\right\}\to Bob

I det sista steget i protokollet spelar Bob upp meddelanden och mottagna från Alice i en session med Clara : $S_{A}\left(K,T_{A}\right)$ $S_{T}\left(A,K_{A},T_{T}\right)$

Bob\to \left\{E_{C}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\höger),S_{T}\vänster(C,K_{C},T_{T}\höger)\höger\}\till Clara

Clara verifierar framgångsrikt CA:s signatur på certifikatet , dekrypterar sessionsnyckeln och verifierar Alices signatur. Som ett resultat är Clara säker på att hon har upprättat en kommunikationssession med Alice, eftersom alla nödvändiga steg i protokollet utfördes korrekt och alla meddelanden var korrekta. $S_{T}\left(A,K_{A},T_{T}\right)$ $K$

Anteckningar

↑ Davydov A. N. Attacker mot viktiga etableringsprotokoll // Säkerhet för informationsteknologi: Proceedings of the scientific and technical conference / ed. Volchikhina V. I., Zefirova S. L. - Penza: Publishing House of the Penza Research Electrotechnical Institute, 2004. - December ( vol. 5 ). - S. 99-104 . Arkiverad från originalet den 19 augusti 2019. (ryska)
↑ Denning, Sacco, 1981 .
↑ Mao, 2005 , sid. 79.
↑ 1 2 Lowe, 1997 , Denning-Saccos delade nyckelprotokoll, s. 4-5.
↑ Mao, 2005 , sid. 429.
↑ Abadi, Needham, 1996 .

Litteratur

Dorothy E. Denning, Giovanni Maria Sacco. Tidsstämplar i nyckeldistributionsprotokoll // Commun . ACM. - New York, NY, USA: ACM, 1981. - Vol. 24 , iss. augusti 1981 , nr. 8 . - s. 533-536 . — ISSN 0001-0782 . - doi : 10.1145/358722.358740 .
Gavin Lowe. En familj av attacker mot autentiseringsprotokoll . - Institutionen för matematik och datavetenskap, 1997.
M. Abadi, R. Needham. Försiktig teknisk praxis för kryptografiska protokoll // IEEE-transaktioner på mjukvaruteknik. - 1996. - Januari ( vol. 22 , nr 1 ).
Schneier B. Tillämpad kryptografi. Protokoll, algoritmer, källkod i C-språk = Applied Cryptography. Protocols, Algoritms and Source Code in C. - M. : Triumph, 2002. - 816 sid. - 3000 exemplar. - ISBN 5-89392-055-4 .
Wenbo Mao. Modern Cryptography: Theory and Practice = Modern Cryptography: Theory and Practice. - Williams Publishing House, 2005. - ISBN 5-8459-0847-7 .

Autentisering och nyckelutbytesprotokoll
Med symmetriska algoritmer	Groda med bred mun Yahalom Needham-Schroeder-protokollet Otway-Risa-protokollet Kerberos Newman-Stubblebine-protokollet
Med symmetriska och asymmetriska algoritmer	DASS Denning-Sacco-protokollet Wu Lam-protokollet SPKM
Protokoll och tjänster som används på Internet	OAuth Öppna ID Windows Live ID