Протокол Нидхэма-Шредера

Ключевой транспортный протокол

Схема симметричного протокола Нидхэма – Шредера

Протокол Нидхэма-Шредера — один из двух ключевых транспортных протоколов, предназначенных для использования в незащищенной сети, оба предложены Роджером Нидхэмом и Майклом Шредером . ^[1] Это:

• Протокол симметричного ключа Нидхема -Шредера , основанный на алгоритме симметричного шифрования . Он составляет основу протокола Kerberos . Целью этого протокола является установление сеансового ключа между двумя сторонами в сети, обычно для защиты дальнейшего взаимодействия.
• Протокол открытого ключа Нидхема-Шредера , основанный на криптографии с открытым ключом . Этот протокол предназначен для обеспечения взаимной аутентификации между двумя сторонами, общающимися в сети, но в предлагаемой форме он небезопасен.

Симметричный протокол

Здесь Алиса инициирует общение с Бобом ⁠ ⁠ . это сервер, которому доверяют обе стороны. В общении: ${\displaystyle (A)}$ ${\displaystyle B}$ ${\displaystyle S}$

• ${\displaystyle A}$и являются личностями Алисы и Боба соответственно. ${\displaystyle B}$
• ${\displaystyle {K_{AS}}}$является симметричным ключом, известным только и ${\displaystyle A}$ ${\displaystyle S}$
• ${\displaystyle {K_{BS}}}$является симметричным ключом, известным только и ${\displaystyle B}$ ${\displaystyle S}$
• ${\displaystyle N_{A}}$и являются одноразовыми номерами , генерируемыми и соответственно ${\displaystyle N_{B}}$ ${\displaystyle A}$ ${\displaystyle B}$
• ${\displaystyle {K_{AB}}}$— это симметричный сгенерированный ключ, который будет сеансовым ключом сеанса между и ${\displaystyle A}$ ${\displaystyle B}$

Протокол может быть указан следующим образом в обозначениях протокола безопасности :

${\displaystyle A\rightarrow S:\left.A,B,N_{A}\right.}$

Алиса отправляет на сервер сообщение, идентифицируя себя и Боба, сообщая серверу, что она хочет связаться с Бобом.

${\displaystyle S\rightarrow A:\{N_{A},K_{AB},B,\{K_{AB},A\}_{K_{BS}}\}_{K_{AS}}}$

Сервер генерирует и отправляет обратно Алисе копию, зашифрованную для Алисы, для пересылки Бобу, а также копию для Алисы. Поскольку Алиса может запрашивать ключи для нескольких разных людей, nonce уверяет Алису, что сообщение свежее и что сервер отвечает на это конкретное сообщение, а включение имени Боба сообщает Алисе, с кем ей следует поделиться этим ключом. ${\displaystyle {K_{AB}}}$ ${\displaystyle {K_{BS}}}$

${\displaystyle A\rightarrow B:\{K_{AB},A\}_{K_{BS}}}$

Алиса пересылает ключ Бобу, который может расшифровать его с помощью ключа, которым он делится с сервером, тем самым аутентифицируя данные.

${\displaystyle B\rightarrow A:\{N_{B}\}_{K_{AB}}}$

Боб отправляет Алисе зашифрованный одноразовый номер, чтобы показать, что у него есть ключ. ${\displaystyle {K_{AB}}}$

${\displaystyle A\rightarrow B:\{N_{B}-1\}_{K_{AB}}}$

Алиса выполняет простую операцию с одноразовым номером, повторно шифрует его и отправляет обратно, проверяя, что она все еще жива и что у нее есть ключ.

Атаки на протокол

Протокол уязвим для атаки повторного воспроизведения (как определили Деннинг и Сакко ^[2] ). Если злоумышленник использует старое, скомпрометированное значение для ⁠ ⁠ ${\displaystyle K_{AB}}$ , он может затем воспроизвести сообщение Бобу, который примет его, будучи не в состоянии определить, что ключ устарел. ${\displaystyle \{K_{AB},A\}_{K_{BS}}}$

Исправление атаки

Этот недостаток исправлен в протоколе Kerberos путем включения временной метки . Это также можно исправить с помощью одноразовых номеров, как описано ниже. ^[3] В начале протокола:

${\displaystyle A\rightarrow B:A}$

Алиса отправляет Бобу запрос.

${\displaystyle B\rightarrow A:\{A,N_{B}'\}_{K_{BS}}}$

Боб отвечает с помощью nonce, зашифрованного под его ключом на Сервере.

${\displaystyle A\rightarrow S:\left.A,B,N_{A},\{A,N_{B}'\}_{K_{BS}}\right.}$

Алиса отправляет на сервер сообщение, идентифицируя себя и Боба, сообщая серверу, что она хочет связаться с Бобом.

${\displaystyle S\rightarrow A:\{N_{A},K_{AB},B,\{K_{AB},A,N_{B}'\}_{K_{BS}}\}_{K_{AS}}}$

Обратите внимание на включение nonce.

Затем протокол продолжается, как описано, в течение последних трех шагов, как описано в исходном протоколе выше. Обратите внимание, что это другой одноразовый номер, чем ⁠ ⁠ . Включение этого нового nonce предотвращает воспроизведение скомпрометированной версии, поскольку такое сообщение должно иметь форму , которую злоумышленник не сможет подделать, поскольку у него нет ⁠ ⁠ . ${\displaystyle N_{B}'}$ ${\displaystyle N_{B}}$ ${\displaystyle \{K_{AB},A\}_{K_{BS}}}$ ${\displaystyle \{K_{AB},A,N_{B}'\}_{K_{BS}}}$ ${\displaystyle K_{BS}}$

Протокол открытого ключа

Это предполагает использование алгоритма шифрования с открытым ключом .

Здесь Алиса и Боб используют доверенный сервер для распространения открытых ключей по запросу. Эти ключи: ${\displaystyle (A)}$ ${\displaystyle (B)}$ ${\displaystyle (S)}$

• ${\displaystyle K_{PA}}$и ⁠ ⁠ ${\displaystyle K_{SA}}$ , соответственно, публичная и частная половины пары ключей шифрования, принадлежащей ( здесь означает «секретный ключ») ${\displaystyle A}$ ${\displaystyle S}$
• ${\displaystyle K_{PB}}$и ⁠ ⁠ ${\displaystyle K_{SB}}$ , аналогичные принадлежащие ${\displaystyle B}$
• ${\displaystyle K_{PS}}$и ⁠ ⁠ ${\displaystyle K_{SS}}$ , аналогичные принадлежащие ⁠ ⁠ ${\displaystyle S}$ . (Обратите внимание, что эта пара ключей будет использоваться для цифровых подписей , т. е. использоваться для подписи сообщения и использоваться для проверки. Она должна быть известна до запуска протокола.) ${\displaystyle K_{SS}}$ ${\displaystyle K_{PS}}$ ${\displaystyle K_{PS}}$ ${\displaystyle A}$ ${\displaystyle B}$

Протокол работает следующим образом:

${\displaystyle A\rightarrow S:\left.A,B\right.}$

${\displaystyle A}$запрашивает открытые ключи ⁠ ⁠ у ${\displaystyle B}$⁠ ⁠ ${\displaystyle S}$ .

${\displaystyle S\rightarrow A:\{K_{PB},B\}_{K_{SS}}}$

${\displaystyle S}$отвечает открытым ключом вместе с личностью ⁠ ⁠ , подписанным сервером в целях аутентификации. ${\displaystyle K_{PB}}$ ${\displaystyle B}$

${\displaystyle A\rightarrow B:\{N_{A},A\}_{K_{PB}}}$

${\displaystyle A}$выбирает случайный результат и отправляет его ⁠ ⁠ . ${\displaystyle N_{A}}$ ${\displaystyle B}$

${\displaystyle B\rightarrow S:\left.B,A\right.}$

${\displaystyle B}$теперь знает, что A хочет общаться, поэтому запрашивает открытые ключи ⁠ ⁠ . ${\displaystyle B}$ ${\displaystyle A}$

${\displaystyle S\rightarrow B:\{K_{PA},A\}_{K_{SS}}}$

Сервер отвечает.

${\displaystyle B\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}}$

${\displaystyle B}$выбирает случайный ⁠ ⁠ ${\displaystyle N_{B}}$ и отправляет его вместе с , чтобы доказать способность расшифровать с помощью ⁠ ⁠ . ${\displaystyle A}$ ${\displaystyle N_{A}}$ ${\displaystyle K_{SB}}$

${\displaystyle A\rightarrow B:\{N_{B}\}_{K_{PB}}}$

${\displaystyle A}$подтверждает ⁠ ⁠ , чтобы доказать способность расшифровать с помощью ⁠ ⁠ . ${\displaystyle N_{B}}$ ${\displaystyle B}$ ${\displaystyle K_{SA}}$

В конце протокола мы знаем личности друг друга, знаем обоих и ⁠ ⁠ . Эти одноразовые номера неизвестны перехватчикам. ${\displaystyle A}$ ${\displaystyle B}$ ${\displaystyle N_{A}}$ ${\displaystyle N_{B}}$

Атака на протокол

Этот протокол уязвим для атаки «человек посередине» . Если самозванец сможет убедить начать с ним сеанс, он сможет передать сообщения и убедить , что он общается с ⁠ ⁠ . ${\displaystyle I}$ ${\displaystyle A}$ ${\displaystyle B}$ ${\displaystyle B}$ ${\displaystyle A}$

Игнорируя входящий и исходящий трафик , который не изменяется, атака выполняется следующим образом: ${\displaystyle S}$

${\displaystyle A\rightarrow I:\{N_{A},A\}_{K_{PI}}}$

${\displaystyle A}$отправляет ⁠ ⁠ , который расшифровывает сообщение с помощью ⁠ ⁠ . ${\displaystyle N_{A}}$ ${\displaystyle I}$ ${\displaystyle K_{SI}}$

${\displaystyle I\rightarrow B:\{N_{A},A\}_{K_{PB}}}$

${\displaystyle I}$передает сообщение ⁠ ⁠ ${\displaystyle B}$ , делая вид, что общается. ${\displaystyle A}$

${\displaystyle B\rightarrow I:\{N_{A},N_{B}\}_{K_{PA}}}$

${\displaystyle B}$отправляет . ${\displaystyle N_{B}}$

${\displaystyle I\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}}$

${\displaystyle I}$передает его ⁠ ⁠ ${\displaystyle A}$ .

${\displaystyle A\rightarrow I:\{N_{B}\}_{K_{PI}}}$

${\displaystyle A}$расшифровывает и подтверждает это ⁠ ⁠ , который его узнает. ${\displaystyle NB}$ ${\displaystyle I}$

${\displaystyle I\rightarrow B:\{N_{B}\}_{K_{PB}}}$

${\displaystyle I}$повторно шифрует ⁠ ⁠ ${\displaystyle N_{B}}$ и убеждает , что она его расшифровала. ${\displaystyle B}$

В конце атаки ошибочно полагает, что с ним общаются и что известны только им и ⁠ ⁠ . ${\displaystyle B}$ ${\displaystyle A}$ ${\displaystyle N_{A}}$ ${\displaystyle N_{B}}$ ${\displaystyle A}$ ${\displaystyle B}$

Следующий пример иллюстрирует атаку. Алиса ( ⁠ ⁠ ${\displaystyle A}$ ) хотела бы связаться со своим банком ( ⁠ ⁠ ${\displaystyle B}$ ). Мы предполагаем, что самозванец ( ⁠ ⁠ ${\displaystyle I}$ ) успешно убеждает , что он и есть банк. Как следствие, она использует открытый ключ вместо использования открытого ключа для шифрования сообщений, которые она намеревается отправить в свой банк. Поэтому отправляет ей nonce, зашифрованный открытым ключом ⁠ ⁠ . расшифровывает сообщение, используя свой закрытый ключ, и контакты отправляют его в зашифрованном виде с помощью открытого ключа . не имеет возможности узнать, что это сообщение на самом деле было отправлено ⁠ ⁠ . отвечает своим собственным nonce и шифрует сообщение открытым ключом ⁠ ⁠ . Поскольку у них нет закрытого ключа, им приходится передавать сообщение, не зная его содержания. А расшифровывает сообщение своим закрытым ключом и отвечает одноразовым номером, зашифрованным открытым ключом ⁠ ⁠ . расшифровывает сообщение, используя свой закрытый ключ, и теперь владеет nonce и ⁠ ⁠ . Таким образом, теперь они могут выдавать себя за банк и клиента соответственно. ${\displaystyle A}$ ${\displaystyle A}$ ${\displaystyle I}$ ${\displaystyle B}$ ${\displaystyle A}$ ${\displaystyle I}$ ${\displaystyle I}$ ${\displaystyle I}$ ${\displaystyle B}$ ${\displaystyle A}$ ${\displaystyle B}$ ${\displaystyle B}$ ${\displaystyle I}$ ${\displaystyle B}$ ${\displaystyle A}$ ${\displaystyle I}$ ${\displaystyle A}$ ${\displaystyle A}$ ${\displaystyle B}$ ${\displaystyle I}$ ${\displaystyle I}$ ${\displaystyle A}$ ${\displaystyle B}$

Исправление атаки «человек посередине»

Атака была впервые описана в статье Гэвина Лоу в 1995 году . ^[4] В документе также описывается фиксированная версия схемы, называемая протоколом Нидхэма-Шредера-Лоу . Исправление включает в себя изменение шестого сообщения, включив в него личность отвечающего, то есть мы заменяем:

${\displaystyle B\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}}$

с фиксированной версией:

${\displaystyle B\rightarrow A:\{N_{A},N_{B},B\}_{K_{PA}}}$

и злоумышленник не может успешно воспроизвести сообщение, потому что A ожидает сообщение, содержащее идентификатор I, тогда как сообщение будет иметь идентификатор ⁠ ⁠ ${\displaystyle B}$ .

Смотрите также

• Керберос
• Протокол Отвея-Риса
• Яхалом
• Протокол «Лягушка с широким ртом»
• Протокол Неймана-Стаблбайна
• Обмен ключами Диффи-Хеллмана

Рекомендации

1. Нидхэм, Роджер; Шредер, Майкл (декабрь 1978 г.). «Использование шифрования для аутентификации в больших компьютерных сетях». Коммуникации АКМ . 21 (12): 993–999. CiteSeerX 10.1.1.357.4298 . дои : 10.1145/359657.359659. S2CID  7704786. 
2. Деннинг, Дороти Э .; Сакко, Джованни Мария (1981). «Временные метки в протоколах распределения ключей». Коммуникации АКМ . 24 (8): 533–535. дои : 10.1145/358722.358740 . S2CID  3228356.
3. Нидхэм, РМ ; Шредер, доктор медицины (1987). «Повторная проверка подлинности». Обзор операционных систем ACM SIGOPS . 21 (1): 7. дои : 10.1145/24592.24593 . S2CID  33658476.
4. Лоу, Гэвин (ноябрь 1995 г.). «Атака на протокол аутентификации с открытым ключом Нидхэма – Шредера». Письма об обработке информации . 56 (3): 131–136. CiteSeerX 10.1.1.394.6094 . дои : 10.1016/0020-0190(95)00144-2 . Проверено 17 апреля 2008 г. 

Внешние ссылки

• Роджер Нидэм; Майкл Шредер (1978). «Открытый ключ Нидхэма-Шредера». Лаборатория спецификации и проверки.
• Роджер Нидэм; Майкл Шредер (1978). «Симметричный ключ Нидхэма Шредера». Лаборатория спецификации и проверки.
• Гэвин Лоу (1995). «Фиксированная версия открытого ключа Нидхэма-Шредера Лоу». Лаборатория спецификации и проверки.
• Объяснение атаки «человек посередине» от Computerphile .