Просмотр кода страницы Протокол совместной выработки ключа

<noinclude>{{к объединению|2019-12-19|Обмен ключами}}</noinclude>
В [[Криптография|криптографии]], '''протокол совместной выработки ключа'''{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=13}} ({{lang-en|Key-agreement protocol}}) — метод установления [[Ключ (криптография)|секретного ключа]] шифрования, в котором каждый авторизированный пользователь канала влияет на его значение.

Для конфиденциального общения между пользователями необходимы секретные ключи шифрования и дешифрования сообщений. ''Протоколами обмена ключом'' называют алгоритмы, которые осуществляют защищенный обмен ключом шифрования. ''Протоколы [[Обмен ключами|обмена ключами]]'' делятся на два типа{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=137}}: ''протоколы передачи ключа'' и '''протоколы совместной выработки ключа'''. В ''протоколах передачи ключа'' используется [[Симметричные криптосистемы|симметричное шифрование]], один из пользователей канала (сервер) генерирует ключ и передаёт его остальным участникам. Для этого необходим защищенный канал. '''Протоколы совместной выработки ключа''' используют [[Криптосистема с открытым ключом|асимметричное шифрование]]. Они организованы так, что открытый ключ передается по незащищенному каналу и используется для шифрования сообщений. Для дешифрования сообщений используется секретный ключ.

== Появление протокола ==

Недостатком [[Симметричные криптосистемы|симметричных криптосистем]] является сложность передачи ключа. Необходим защищенный канал, по которому осуществится начальный обмен ключом. Если две стороны не могут установить безопасный начальный обмен, существует риск перехвата сообщений третьей стороной.  '''Протокол совместной выработки ключа''' создавался для решения этой проблемы{{sfn|Brita Vesterås: Analysis of Key Agreement Protocols|2006|pp=1—3}}, что привело к появлению[[Криптосистема с открытым ключом|криптографии с открытым ключом]].

Первый '''протокол совместной выработки ключа''' был описан в работе «Новые направления в современной криптографии» [[Уитфилд Диффи|Уитфилда Диффи]] и [[Мартин Хеллман|Мартина Хеллмана]], опубликованной в [[1976 год]]у. Они предложили алгоритм получения секретных ключей, при помощи распространения открытых ключей через незащищенный канал{{source-ref|Q27178858}}/ В основе этого метода<ref>Intellect. [https://intsystem.org/security/asymmetric-encryption-how-it-work/ Как работает асимметричное шифрование понятным языком] {{Wayback|url=https://intsystem.org/security/asymmetric-encryption-how-it-work/ |date=20180204123946 }}. 20 мая 2012.</ref> лежит экспоненциальный обмен ключами, известный как [[Протокол Диффи — Хеллмана|обмен ключами Диффи — Хеллмана]]. Экспоненциальный обмен ключами не требует предварительных соглашений между участниками, но в результате такого обмена каждая из сторон обладает секретным ключом.

== Подход к созданию ==

После разработки [[Уитфилд Диффи|Уитфилдом Диффи]] и [[Мартин Хеллман|Мартином Хеллманом]] алгоритма обмена ключами, появились и другие '''протоколы совместной выработки ключа'''. Их появление обосновано, например, желанием сократить объем вычислений, используя математические операции, отличные от [[Возведение в степень|возведения в степень]]{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003}}. Можно выделить общий подход к созданию '''протоколов совместной выработки ключа'''.

Для начала, в [[Криптосистема с открытым ключом|криптографии с асимметричным шифрованием]] значение ''открытого ключа'' пользователя известно всем пользователям канала (и возможно стороннему наблюдателю), значение ''секретного ключа'' пользователя известно только самому пользователю и никому больше. Тогда любой '''протокол совместной выработки ключа''' должен обладать следующими ''свойствами''{{sfn|Brita Vesterås: Analysis of Key Agreement Protocols|2006|p=6}}: 
*По значению ''секретного ключа'' пользователя, ''открытый ключ'' этого пользователя в терминах [[Теория сложности вычислений|теории сложности вычислений]] должен считаться ''легко''.
*По значению ''открытого ключа'' пользователя, ''секретный ключ'' этого пользователя в терминах [[Теория сложности вычислений|теории сложности вычислений]] должен находиться ''трудно''.  

Главным инструментом математического аппарата, который лежит в основе создания '''протоколов совместной выработки ключа''', являются [[Односторонняя функция|''односторонние функции'']]{{sfn|RSA Laboratories|2000|p=47}}. Они из определения удовлетворяют ''свойствам'', которые требует протокол, в том случае, если аргументом такой функции является ''секретный ключ'', а выходным значением ''открытый ключ''.  Далее будут приведены задачи, основанные на односторонней сложности вычислений, и протоколы, в основе которых они лежат.

=== Задача дискретного логарифмирования ===
{{main|Дискретное логарифмирование}}

'''Односторонняя функция''': [[возведение в степень по модулю]] большого простого числа <math> \leftrightarrow </math> ''дискретное логарифмирование''.

Пусть заданны некоторые натуральные числа <math>g</math> и <math>a</math>. Решение <math>x</math> уравнения <math> g^{x} = a </math>   в некоторой конечной мультипликативной группе <math>G</math>  называется ''дискретным логарифмом'' элемента <math>a</math> по основанию <math>g</math><ref>{{статья |заглавие=On some computational problems in finite abelian groups |издание={{Нп3|Mathematics of Computation}} |том=66 |страницы=1663—1687 |doi=10.1090/S0025-5718-97-00880-6 |ссылка=http://www.ams.org/journals/mcom/1997-66-220/S0025-5718-97-00880-6/S0025-5718-97-00880-6.pdf |язык=en |тип=journal |автор=Buchmann J., Jacobson M. J., Teske E. |год=1997 |archivedate=2016-03-04 |archiveurl=https://web.archive.org/web/20160304110354/http://www.ams.org/journals/mcom/1997-66-220/S0025-5718-97-00880-6/S0025-5718-97-00880-6.pdf }}</ref>. 

*Пусть известны <math>g</math> и <math>x</math> и необходимо посчитать  <math> g^{x} </math>  в кольце вычетов по модулю <math>m</math>. Значение <math>a</math> по заданным <math>g</math> и <math>x</math> в терминах [[Теория сложности вычислений|теории сложности вычислений]] считается ''легко''. 

*Пусть теперь известны <math>g</math> и <math>a</math>. Получение  дискретного логарифма <math>x</math> —  значительно более  трудоемкая задача и если числа <math>x</math> и <math>m</math> выбраны достаточно большие, то практически неразрешима за разумное время. Таким образом, <math>x</math> в терминах [[Теория сложности вычислений|теории сложности вычислений]] находится ''трудно''. 

На задаче [[Дискретное логарифмирование|дискретного логарифмирования]] основан протокол Диффи-Хеллмана{{source-ref|Q27178858}}, где <math>x</math> — это ''секретный сеансовый ключ'' пользователя, <math>a</math> — ''открытый ключ'' пользователя, <math>g</math> — ''генератор''.

=== Задача факторизации ===
{{main|Факторизация целых чисел}}

'''Односторонняя функция''': умножение <math> \leftrightarrow </math> ''факторизация''.

Пусть задано некоторое натуральное число <math>n</math>, ''факторизацией'' называется процесс разложения <math>n</math> в произведение простых множителей. Существование и единственность (с точностью до порядка следования множителей) такого разложения следует из [[Основная теорема арифметики|основной теоремы арифметики]]{{sfn|RSA Laboratories|2000}}

*Пусть известны два больших простых числа <math>p</math> и <math>q</math>. Результат их произведения  <math> n = p \cdot q </math> в терминах [[Теория сложности вычислений|теории сложности вычислений]] считается ''легко''.

*Пусть известно большое натуральное число <math>n</math>, которое является произведением некоторых больших простых чисел <math>p</math> и <math>q</math>. ''Факторизация'' <math>n</math> в терминах [[Теория сложности вычислений|теории сложности вычислений]] осуществляется ''трудно''.

Примером криптосистемы, использующей эту идею, является [[RSA]]{{sfn|Rivest, Shamir, Adleman|1978}}. Два больших простых числа <math>p</math> и <math>q</math> являются ''секретными ключами'' пользователей, <math> n = p \cdot q </math> — ''открытым ключом''.

=== Задача дискретного логарифмирования на эллиптической кривой ===
{{main|Дискретное логарифмирование на эллиптической кривой}}

'''Односторонняя функция''': [[умножение]] [[Натуральное число|натурального числа]] на точку [[Эллиптическая кривая|эллиптической кривой]] <math> \leftrightarrow </math> ''дискретное логарифмирование на эллиптической кривой''.

Рассмотрим выражение <math>Q = k \cdot P\mod p</math>, где <math>Q</math> и <math>P</math> — точки [[Эллиптическая кривая|эллиптической кривой]].

* Пусть известны  <math>k</math>, <math>P</math> и <math>p</math>. Результат <math>Q</math> операции <math>k \cdot P \mod p</math> в терминах [[Теория сложности вычислений|теории сложности вычислений]] считается ''легко''.

* Пусть известны  <math>Q</math>, <math>P</math> и <math>p</math>. Задача поиска <math>k</math> в терминах [[Теория сложности вычислений|теории сложности вычислений]] осуществляется ''трудно''.

Примером протокола, основанного на этой задаче, может служить [[Протокол Диффи — Хеллмана на эллиптических кривых]], в котором <math>P</math> — заранее определенная ''базовая точка'', <math>p</math> некоторое большое простое значение. Различные <math>k</math> — ''секретные ключи'' пользователей, <math>Q</math>  — ''открытый ключ''{{sfn|Brita Vesterås: Analysis of Key Agreement Protocols|2006|pp=7—8}}.

== Примеры ==
* [[Протокол Диффи — Хеллмана]]
* [[Протокол Диффи — Хеллмана на эллиптических кривых]]
* [[MQV]]
* [[RSA]]
* [[Kerberos]]
* [[Протокол Нидхема — Шрёдера]]
* [[Wide-Mouth Frog]]

== Атаки на протокол ==
При анализе протоколов, необходимо понимать, каким типам атак они могут подвергаться.  Существует два типа атак на протоколы: ''пассивные'' и ''активные''. Безопасный протокол способен противостоять обоим видам атак{{sfn|Brita Vesterås: Analysis of Key Agreement Protocols|2006}}. 

* ''Пассивная атака'' — это атака мониторинга сети. Это самый простой вид атаки, но также и тот, от которого легче всего защититься. Все, что нужно для защиты, — это зашифровать передаваемые сообщения, и злоумышленник не получит никакой информации от мониторинга.
* ''Активная атака'' включает изменение или модификацию сообщения. Это требует больше работы, как с атакующей, так и защищающей стороны.

Под этими двумя категориями существует довольно много методов атаки{{sfn|Brita Vesterås: Analysis of Key Agreement Protocols|2006}}. 

=== Атака подслушиванием ===

Подслушивание{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=24}} — захват злоумышленником информации, отправляемой в протоколе. Способа предотвратить подслушивание нет, но есть возможность защитить содержимое сообщений с помощью шифрования. Это один из самых основных видов атак, и более сложные атаки могут включать в себя прослушивание. Подслушивание — вид пассивной атаки. Далее будут приведены активные атаки.

=== Атака модификацией ===

При атаке модификацией{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=25}} злоумышленник изменяет отправляемую информацию. Способ предотвращения такого рода атак — использование мер [[Целостность информации|криптографической целостности]].

=== Атака повтором ===
{{main|Атака повторного воспроизведения}}

Атака повтором{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=25}} включают любую ситуацию, когда злоумышленник мешает выполнению протокола путем вставки сообщения или части сообщения, которое было отправлено ранее при любом запуске протокола. Атака повтором часто используется в сочетании с другими видами атак. Использование [[Токен (авторизации)|токенов]] сессии помогает избежать атак повтором. 

=== Атака отражением ===

Атака отражением{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=25}} — способ атаковать систему, которая использует один и тот же ключ в обоих направлениях. Атака пытается обмануть цель и дать ответ на ее собственный запрос. Эта атака возможна только в том случае, если протокол допускает параллельные запуски. Чтобы предотвратить эту атаку, отправляющий может добавить свой идентификатор в ответ и отклонять ответы, в которых встречает свой идентификатор. Другим решением является требование, чтобы ключи были разными для каждого направления связи.

=== Атаки типа «отказ в обслуживании» ===
{{main|DoS-атака}}

Во время [[DoS-атака|DoS-атаки]]{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=27}} злоумышленники отправляют множество запросов на сервер, чтобы перегрузить его и мешать достоверным пользователям получить соединение с ним. Единственная защита состоит в том, чтобы сводить к минимуму число вычислений и количество значений, которые сервер должен хранить для каждого соединения.

=== Криптоанализ ===
{{main|Криптоанализ}}

Криптоанализ{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=29}} — получение зашифрованной информации без доступа к ключу дешифрования. В большинстве случаев такого рода атаки направлены на поиск секретного ключа.

=== Пересечение протоколов === 

Пересечение протоколов означает{{sfn|C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|2003|p=31}}, что злоумышленник использует ключ известного протокола для взаимодействия с новым протоколом. Большинство долгосрочных ключей предназначены для использования только для одного протокола. Несмотря на это, некоторые ключи используются одновременно в нескольких протоколах. Чтобы предотвратить атаку такого рода, нужно использовать разные ключи для каждого протокола и включать детали протокола,например, [[идентификатор]] и номер версии в [[Аутентификация|аутентифицированную]] часть сообщений.

Таким образом:

* ''Атака подслушиванием'' — злоумышленник перехватывает информацию, отправленную в протоколе.

* ''Атака модификацией'' — информация, передаваемая в протоколе, изменяется злоумышленником.

* ''Атака повтором'' — передача записывается, а затем повторно отправляется.

* ''Атака отражением'' — отправка того же сообщения отправителю при запуске нового протокола.

* ''Атаки типа «отказ в обслуживании»'' — злоумышленник перегружает сервер, поэтому авторизованные пользователи не могут подключиться к серверу.

* ''Криптоанализ'' — изучение методов получения смысла зашифрованной информации.

* ''Пересечение протоколов'' — использование ключа одного протокола для взаимодействия с другим протоколом.

== Свойства надёжныx протоколов ==

* ''Знание ключа безопасности'': запуск протокола должен привести к уникальному секретному сеансовому ключу. Если этот ключ скомпрометирован, он не должен влиять на другие сеансовые ключи.

* [[Perfect forward secrecy|'' Совершенная прямая секретность'']]: тот факт, что долгосрочные закрытые ключи скомпрометированы, не должен влиять на секретность ранее установленных сеансовых ключей.

* ''Устойчивость к компрометированию ключей'': если долгосрочный закрытый ключ объекта А скомпрометирован, злоумышленник может представиться, как А. Но это не должно позволить ему выдать себя за А другим лицам.

* ''Устойчивость к обмену неизвестными ключами'': если объект A хочет создать секретный ключ с B, не должно быть возможности, чтобы A обманом поделился ключом с объектом C.

* ''Управление ключами'': ни один из участников обмена не должен быть в состоянии принудительно установить сеансовый ключ на конкретное значение только по своему выбору{{sfn|Chen, Kudla}}.

== Аутентификация ==

Чтобы пользователь B при обмене информацией с А по заданному протоколу был [[Аутентификация|''аутентифицированным'']], протокол должен обладать одним из двух следующих свойств безопасности{{sfn|Dent, Mitchell|2004}}:

* ''Неявное (слабое) подтверждение ключа'': B уверен, что A — единственный другой объект, который может знать правильный ключ.
* ''Явное (сильное) подтверждение ключа'': B уверен, что A — единственный другой объект, который знает правильный ключ (B подтвердил, что A получил правильный ключ).

Чтобы обмен ключами в протоколе был ''аутентифицированным'', должны быть выполнены два следующих требования{{sfn|Dent, Mitchell|2004}}:

* ''Взаимная аутентификация'': (аутентификация двух сторон) обе стороны аутентифицируют себя таким образом, чтобы каждая из сторон была уверена в идентичности другой стороны. B уверен, что A — единственный другой объект, который может знать правильный ключ. A уверен, что B — единственный другой объект, который может знать правильный ключ.
* ''Защищенная связь'': два взаимодействующих объекта устанавливают значения сеансовых ключей для защиты последующих передач.

== Примечания ==
{{примечания}}

== Литература ==
* {{Книга|ref=C. Boyd and A. Mathuria. Protocols for Authentication and Key Establishment|автор=Colin Boyd, Anish Mathuria|заглавие=Protocols for Authentication and Key Establishment|год=2003|издательство=International Standard|isbn=978-3-662-09527-0}}
* {{Книга|ref=Dent, Mitchell|автор=Dent  A. W. and  Mitchell C. J.|заглавие=User’s Guide to Cryptography and Standards|год=2004|издательство=ArtechHouse Computer Security Series|pages=215-266|isbn=10: 1580535305}}
* {{Cite web|url=https://pdfs.semanticscholar.org/8c02/cda64f2377ff5ef3dbd7610d0577085e5cbb.pdf Online-Manuskript|title=Analysis of Key Agreement Protocols|author=Brita Vesterås|date=2006|publisher=Allen Institute for AI|ref=Brita Vesterås: Analysis of Key Agreement Protocols}}
* {{Cite web|url=http://www.hpl.hp.com/techreports/2003/HPL-2003-25.pdf Online-Manuskript] (PDF, 596 kB)|title=Identity Based Authenticated Key Agreement Protocols from Pairings|author=L. Chen, C. Kudla|ref=Chen, Kudla}}
* {{source|Q27177229|ref=Rivest, Shamir, Adleman|ref-year=1978}} <!-- A method for obtaining digital signatures and public-key cryptosystems // Communications of the ACM -->
* {{Cite web|url=http://www.nordugrid.org/documents/rsalabs_faq41.pdf|title=Frequently Asked Questions About Today’s Cryptography|website=RSA Laboratories|date=2000|ref=RSA Laboratories}}


[[Категория:Криптография]]
[[Категория:Криптографические протоколы]]
[[Категория:Протоколы распределения ключей]]