Просмотр кода страницы Wide-Mouth Frog

{{Криптографические обозначения для протоколов}}
'''Wide-Mouth Frog''' (досл. с англ. ''«лягушка с широкой глоткой»'') — возможно, самый простой протокол для симметричного обмена ключами с использованием доверенного сервера. <math>A</math> (Алиса) и <math>B</math> (Боб) разделяют секретный ключ с <math>T</math> (Трентом). В данном протоколе ключи используются только для их распределения, а не для шифрования сообщений{{sfn|Pranav Vyas, Dr. Bhushan Trivedi|2012}}.

== История ==
Автором протокола считается {{Не переведено 2|Бэрроуз, Майкл|Майкл Бэрроуз||Michael Burrows}}, впервые он был опубликован в «Michael Burrows, Martin Abadi, and Roger Needham. A logic of authentication»{{sfn|M. Burrows, M. Abadi, R. Needham|1989}} в 1989 году. В 1997 {{Не переведено 2|Лоу, Гэвин|Гэвин Лоу||Gavin Lowe (computer scientist)}} в своей работе «A Family of Attacks upon Authentication Protocols»{{sfn|Gavin Lowe|1997}} предложил {{Не переведено 2|Lowe modiﬁed Wide-Mouthed Frog protocol|модифицированный  Wide-Mouthed Frog протокол||Lowe modiﬁed Wide-Mouthed frog protocol}}, исправляющий некоторые уязвимости.

== Протокол Wide-Mouthed Frog{{Sfn|Брюс Шнайер|2002|c=}} ==
[[Файл:Протокол Wide-Mouth Frog.png|мини|Схема взаимодействия участников протокола Wide-Mouth Frog|слева]]
Для начала сеанса передачи сообщений [[Алиса и Боб|Алиса]] шифрует [[конкатенация|конкатенацию]] метки времени, идентификатора Боба и сгенерированного случайного сеансового ключа. В качестве [[Ключ (криптография)|ключа шифрования]] используется ключ, который известен Алисе и Тренту — промежуточному доверенному серверу. После этого Алиса передаёт своё имя (в открытом виде) и зашифрованные данные Тренту.

: <math>Alice \to \left\{ A, E_A \left( T_A, B, K \right) \right\} \to Trent</math>

Трент расшифровывает совместным с Алисой ключом пакет, выбирает оттуда сгенерированный Алисой случайный сеансовый ключ и составляет конкатенацию из новой метки времени, идентификатора Алисы и сеансового ключа, после чего шифрует её общим с Бобом ключом и передаёт ему.

: <math>Trent \to \left\{ E_B \left( T_T, A, K \right) \right\} \to Bob</math>

После этого Боб расшифровывает пакет данных общим с Трентом ключом и может использовать сгенерированный Алисой случайный сеансовый ключ для передачи данных.

== Атаки на протокол Wide-Mouthed Frog ==

=== Атака 1995 года ===
В 1995 году [[Андерсон, Росс|Росс Андерсон]] и [[Нидхем, Роджер|Роджер Нидхем]] предложили следующий [[алгоритм]] атаки на протокол:

:# <math>Alice \to \left\{ A, E_A \left( T_A, B, K \right) \right\} \to Trent</math>
:# <math>Trent \to \left\{ E_B \left( T_T, A, K \right) \right\} \to Bob</math>
:# <math>I(Bob) \to \left\{ B, E_B \left( T_T, A, K \right) \right\} \to Trent</math>
:# <math>Trent \to \left\{ E_A \left( T'_T, B, K \right) \right\} \to Alice</math>
:# <math>I(Alice) \to \left\{ A, E_A \left( T'_T, B, K \right) \right\} \to Trent</math>
:# <math>Trent \to \left\{ E_B \left( T''_T, A, K \right) \right\} \to Bob</math>,

где I(Alice) и I(Bob) — злоумышленник имитирующий [[Алиса, Боб и Ева|Алису и Боба]] соответственно.

Изъян протокола заключается в том, что Трент обновляет свою временную метку <math>T_T</math>, от временной метки Алисы <math>T_A</math>. То есть пока Трент не держит список всех рабочих ключей и меток, злоумышленник может поддерживать ключи рабочими, используя Трента в качестве предсказателя.

Практический результат данного недостатка будет зависеть от приложения. Например, если пользователи используют [[смарт-карта|смарт-карту]] с данным протоколом, который в открытом виде отправляет [[сеансовый ключ]] в {{Не переведено 2|software bulk encryption routine|программный модуль шифрования||software bulk encryption routine}}, то ключи могут быть открыты для данной атаки. Злоумышленник может наблюдать как Алиса и Боб проводят сеансы и поддерживать ключи рабочими, пока не появится возможность выкрасть смарт-карту{{sfn|Ross Anderson and Roger Needham}}.

=== Атака 1997 года ===
В 1997 году Гэвин Лоу предложил ещё один вариант атаки на данный протокол, основанный на том, что злоумышленник заставляет думать Боба, что Алиса установила два сеанса обмена, в то время как Алиса устанавливает один сеанс. Атака включает два чередующихся прохода протокола, которые мы назовём <math>\alpha</math> и <math>\beta</math>, обозначим, например, второе сообщение сеанса \alpha как <math>\alpha .2.</math> Тогда атака выглядит следующим образом:

:# <math>Message</math> <math>\alpha .1.</math> <math>Alice \to \left\{ A, E_A \left( T_A, B, K \right) \right\} \to Trent</math>
:# <math>Message</math> <math>\alpha .2.</math> <math>Trent \to \left\{ B, E_B \left( T_T, A, K \right) \right\} \to Bob</math>
:# <math>Message</math> <math>\beta .2.</math> <math>I(Trent) \to \left\{ B, E_B \left( T_T, A, K \right) \right\} \to Bob</math>,

где I(Trent) злоумышленник имитирующий Трента.

Сеанс <math>\alpha</math> представляет нормальный ход обмена ключами, когда Алиса устанавливает сеанс с Бобом, используя ключ <math>K</math>. Тогда в сообщении <math>\beta .2</math>, злоумышленник имитирует Трента, и повторяет сообщение <math>\alpha .2</math>; после чего Боб считает, что Алиса пытается начать второй сеанс.

Кроме того, злоумышленник может воспроизвести для Трента сообщение <math>\alpha .1</math>, как сообщение следующего сеанса. Это приведёт к получению Бобом второго сообщение, с таким же результатом как и ранее.

Данную уязвимость исправляет {{Не переведено 2|Lowe modiﬁed Wide-Mouthed Frog protocol|модифицированный  Wide-Mouthed Frog протокол||Lowe modiﬁed Wide-Mouthed frog protocol}}{{sfn|Gavin Lowe|1997}}.

== Модифицированный Wide-Mouthed Frog протокол ==
Данная модификация была предложена Гэвином Лоу, для устранения уязвимости для атаки 1997 года. Выглядит она следующим образом:

: [[Файл:Модифицированный_протокол_Wide-Mouth_Frog.png|мини|Схема взаимодейcтвия участников модифицированного протокола Wide-Mouth Frog]]
:# <math>Alice \to \left\{ A, E_A \left( T_A, B, K \right) \right\} \to Trent</math>
:# <math>Trent \to \left\{ E_B \left( T_T, A, K \right) \right\} \to Bob</math>
:# <math>Bob \to \left\{ R_B \right\}_K \to Alice</math>
:# <math>Alice \to \left\{ R_B +1\right\}_K \to Bob</math>

Эти изменения позволят избежать атак 1997 года: Боб будет генерировать два разных одноразовых номера, по одному для каждого сеанса, и ожидать в качестве ответа сообщение 4. В то же время Алиса будет возвращать только одно такое сообщение, и злоумышленник не сможет сгенерировать другого.

К сожалению, данная модификация убирает самую привлекательную черту протокола Wide-Mouthed Frog — простоту{{sfn|Gavin Lowe|1997}}.

== Особенности ==
* Требуется глобальный счётчик.
* Трент имеет доступ ко всем ключам.
* Значение сеансового ключа <math>K</math> полностью определяется Алисой, то есть она должна быть достаточно компетентной для генерации хороших ключей.
* Может дублировать сообщения, во время действия временной метки.
* Алиса не знает существует ли Боб.
* Протокол динамичный, что обычно нежелательно, так как это требует большей функциональности от Трента. Например, Трент должен справляться с ситуацией, когда Боб недоступен.

== Примечания ==
{{примечания}}

== Литература ==
*{{книга|автор=Брюс Шнайер|часть=Протокол Wide-Mouth Frog|заглавие=/ Прикладная криптография|ответственный=|место=|издательство=|год=2002|страницы=|страниц=|isbn=5-89392-055-4|тираж=|ref=Брюс Шнайер}}
* {{h|M. Burrows, M. Abadi, R. Needham|1989|''M. Burrows, M. Abadi, R. Needham'' [http://www.hpl.hp.com/techreports/Compaq-DEC/SRC-RR-39.pdf A Logic of Authentication] // Research Report 39, Digital Equipment Corp. Systems Research Center — Feb. 1989}}
* ''M. Burrows, M. Abadi, R. Needham'' [http://portal.acm.org/citation.cfm?id=77649 A Logic of Authentication] // ACM Transactions on Computer Systems, — v. 8 — n. 1 — Feb. 1990 — pp. 18—36
* {{h|Gavin Lowe|1997|''Gavin Lowe'' [http://www.cs.ox.ac.uk/people/gavin.lowe/Security/Papers/multiplicityTR.ps A Family of Attacks upon Authentication Protocols] // Department of Mathematics and Computer Science, Technical Report 1997/5, University of Leicester Jan. 1997}}
* {{h|Pranav Vyas, Dr. Bhushan Trivedi|2012|''Pranav Vyas, Dr. Bhushan Trivedi'' [http://www.ijera.com/papers/Vol2_issue4/DA24658663.pdf An Analysis Of Session Key Exchange Protocols] // International Journal of Engineering Research and Applications Vol. 2, Issue 4, June-July 2012, pp.658-663}}
* ''Ji Ma, Mehmet A. Orgun and Abdul Sattar'' [http://www98.griffith.edu.au/dspace/bitstream/handle/10072/30224/62518_1.pdf Analysis of Authentication Protocols in Agent-Based Systems Using Labeled Tableaux] // IEEE TRANSACTIONS ON SYSTEMS, MAN, AND CYBERNETICS—PART B: CYBERNETICS, VOL. 39, NO. 4, AUGUST 2009
* [http://www.lsv.ens-cachan.fr/Software/spore/wideMouthedFrog.html Security Protocol Open Repository]
* {{h|Ross Anderson and Roger Needham}}''Ross Anderson and Roger Needham'' [http://www.cl.cam.ac.uk/~rja14/Papers/satan.pdf Programming Satan’s Computer] // Cambridge University Computer Laboratory Pembroke Street, Cambridge, England CB2 3QG

{{Протоколы аутентификации и обмена ключами}}


[[Категория:Криптографические протоколы]]
[[Категория:Протоколы AAA]]