Needham-Schroeder

Yahalom

В этом протоколе Алисы и Боб делят с Трентом секретный ключ.

(1) Алиса объединяет свое имя и случайное число, и отправляет созданное сообщение Бобу.

A, R_A

(2) Боб объединяет имя Алисы, ее случайное число, свое случайное число, шифрует созданное сообщение общим с Трентом ключом и посылает его Тренту, добавляя свое имя:

B, Е_В(А, R_A,R_B)

(3) Трент создает два сообщения. Первое включает имя Боба, случайный сеансовый ключ, случайные числа Боба и Алисы и шифруется ключом, общим для Трента и Алисы. Второе состоит из имени Алисы, случайного сеансового ключа и шифруется ключом, общим для Трента и Боба. Трент посылает оба сообщения Алисе:

Е_А(В, К, R_A, R_B), E_B(A, К)

(4) Алиса расшифровывает первое сообщение, извлекает К и убеждается, что R_A совпадает со значением, отправленным на этапе (1). Алиса посылает Бобу два сообщения. Одним является сообщение Трента, зашифрованное ключом Боба. Второе - это R_B, зашифрованное сеансовым ключом.

Е_В(А, К), E_K(R_B)

(5) Боб расшифровывает первое сообщение, извлекает К и убеждается, что R_B совпадает с отправленным на этапе (2).

В результате Алиса и Боб убеждены, что они общаются именно друг с другом, а не с третьей стороной. Нововведение состоит в том, что именно Боб первым обращается к Тренту, который только посылает одно сообщение Алисе.

В этом протоколе, изобретенном Роджером Нидхэмом (Roger Needham) и Майклом Шредером (Michael Schroeder), также используются симметричная криптография и Трент.

(1) А, В, R_A

K

(2) E_A(R_A, В, К, Е_В(К, А))

(3) Е_В(К, А)

R_A

R_B

(4) Е_K(R_B)

(5) E_k(R_b-1)

(1) Алиса посылает Тренту сообщение, содержащее ее имя, имя Боба и случайное число

А, В, R_A

(2) Трент генерирует случайный сеансовый ключ. Он шифрует сообщение, содержащее случайный сеансовый ключ и имя Алисы, секретным ключом, общим для него и Боба. Затем он шифрует случайное число Алисы, имя Боба, ключ, и шифрованное сообщение секретным ключом, общим для него и Алисы. Наконец, он отправляет шифрованное сообщение Алисе:

E_A(R_A, В, К, Е_В(К, А))

(3) Алиса расшифровывает сообщение и извлекает К. Она убеждается, что R_A совпадает со значением, отправленным Тренту на этапе (1). Затем она посылает Бобу сообщение, зашифрованное Трентом ключом Боба.

Е_В(К, А)

(4) Боб расшифровывает сообщение и извлекает К. Затем он генерирует другое случайное число, R_B. Он шифрует это число ключом К и отправляет его Алисе.

E_k(R_b)

(5) Алиса расшифровывает сообщение с помощью ключа К. Она создает число
R_B-1 и шифрует это число ключом К. Затем она посылает это сообщение обратно Бобу.

E_k(R_b-1)

(6) Боб расшифровывает сообщение с помощью ключа К и проверяет значение R_b-1.

Вся эта возня с R_a, R_b, и R_b-1 служит для предотвращения вскрытия с повторной передачей. При таком способе вскрытия Мэллори может записать старые сообщения и впоследствии использовать их при попытке взломать протокол. Присутствие R_a на этапе (2) убеждает Алису, что сообщение Трента достоверно и не является повторной передачей отклика, использованного при одном из предыдущих применений протокола. Когда Алиса успешно расшифрует R_B и передает Бобу R_B-1 на этапе (5), Боб убеждается, что сообщения Алисы не является повторной передачей сообщений, использованных при одном из предыдущих применений протокола.

Главным недостатком этого протокола является важность использованных сеансовых ключей. Если Мэллори получит доступ к старому К, он сможет предпринять успешное вскрытие. Ему нужно только записать сообщения Алисы Бобу на этапе (3). Тогда, имея К, он может выдать себя за Алису:

(1) Е_В(К, А)

R_B

(2) Е_K(R_B)

(3) E_k(R_b-1)

(1)Мэллори посылает Бобу следующее сообщение:

Е_В(К, А)

(2)Боб извлекает К, генерирует R_B и отправляет Алисе:

E_k(R_b)

(3)Мэллори перехватывает сообщение, расшифровывает его с помощью ключа К и посылает Бобу:

E_k(R_b-1)

(4) Боб убеждается, что сообщение "Алисы" состоит из R_B-1.

Теперь Мэллори убедил Боб, что он и есть "Алиса". Более защищенный протокол, использующий метки времени, может противостоять этому вскрытию. Метки времени добавляются к сообщению Трента на этапе (2) и шифруются ключом Боба: Е_В(К, А, Т). Метки времени требуют надежной и точной системы единого времени, что само по себе нетривиальная проблема.

Если ключ, общий для Трента и Алисы будет скомпрометирован, последствия будут драматичны. Мэллори сможет использовать его, для получения сеансовых ключей для обмена сообщениями с Бобом (или с кем-нибудь еще). Мэллори сможет продолжать подобные действия даже после замены ключа Алисы.

Нидхэм и Шредер пытались исправить эти проблемы в модифицированной версии своего протокола. Их новый протокол по существу совпадает с протоколом Отуэя-Риса (Otway-Rees).

Дата добавления: 2013-12-12