Просмотр кода страницы Yahalom

{{Значения|Яхалом (значения)}}
{{Криптографические обозначения для протоколов}}
'''Yahalom''' — симметричный протокол распределения ключей с доверенным сервером. Протокол Yahalom можно рассматривать как улучшенную версию протокола [[Wide-Mouth Frog]]. Данный протокол «перекладывает» генерацию нового сессионного ключа на сторону доверенного центра, а также использует случайные числа для защиты от атак повтором{{Sfn|Владимиров С.М. и др.}}.

== Описание ==
[[Файл:Протокол Yahalom.png|слева|мини|220x220пкс|Взаимодействие участников протокола Yahalom]]При [[Симметричные криптосистемы|симметричном шифровании]], предполагается, что секретный ключ, который принадлежит клиенту, известен только ему и некоторой третьей доверенной стороне — серверу аутентификации. В процессе сеанса протокола клиенты Алиса и Боб получают от сервера аутентификации Трента новый секретный сессионный ключ для шифрования взаимных сообщений в текущем сеансе связи. Реализация протокола{{Sfn|Шнайер|2002}}:
: <math display="inline">(1)Alice \to \left\{ A, R_A \right\} \to Bob</math>
: <math display="inline">(2)Bob \to \left\{ B, E_B ( A, R_A, R_B ) \right\} \to Trent</math>
: <math display="inline">(3)Trent \to \left\{ E_A ( B, K, R_A, R_B ), E_B \left( A, K \right) \right\} \to Alice</math>
: <math display="inline">(4)Alice \to \left\{ E_B ( A, K ), E_K ( R_B ) \right\} \to Bob</math>

Первым сообщение Алиса инициирует сеанс, пересылая Бобу свой идентификатор <math>A</math> и некоторое случайное число <math>R_A</math>:

: <math>(1)Alice \to \left\{ A, R_A \right\} \to Bob</math>

Получив сообщение от Алисы, Боб объединяет идентификатор Алисы <math>A</math>, случайное число Алисы <math>R_A</math> и своё случайное число <math>R_B</math> и шифрует созданное сообщение общим с Трентом ключом. После добавления к этому сообщению своего идентификатора <math>B</math> Боб отправляет полученное сообщение Тренту:

: <math>(2) Bob \to \left\{ B, E_B ( A, R_A, R_B ) \right\} \to Trent</math>

Трент расшифровывает сообщение сообщение Боба и создаёт два сообщения. Первое сообщение включает в себя идентификатор Боба <math>B</math>, сгенерированный Трентом сессионный ключ <math>K</math>, случайное число Алисы <math>R_A</math> и случайное число Боба <math>R_B</math>. Данное сообщение шифруется общим с Алисой ключом. Первое сообщение имеет вид:

: <math>\left\{ E_A ( B, K, R_A, R_B )\right\}</math>

Второе сообщение шифруется общим ключом для Трента и Боба и включает в себя идентификатор Алисы　<math>A</math> и сгенерированный Трентом сессионный ключ　<math>K</math>. Второе сообщение имеет вид:

: <math>\left\{ E_B ( A, K )\right\}</math>

Трент пересылает Алисе оба созданные сообщения:

: <math>( 3 ) Trent \to \left\{ E_A ( B, K, R_A, R_B ), E_B \left( A, K \right) \right\} \to Alice</math>

Алиса получает два сообщения от Трента и расшифровывает первое из них. Расшифровав сообщение, Алиса извлекает сессионный ключ <math>K</math> и убеждается, что случайное число переданное Трентом <math>R_A</math> совпадает со случайном числом переданным Бобу на первом этапе　. После этого Алиса отправляет два сообщения Бобу. Первое сообщение является полученное от Трента сообщением, зашифрованным общим ключом для Трента и Боба. Данное сообщение состоит из идентификатора Алисы <math>A</math> и сессионного ключа <math>K</math>:

: <math>\left\{ E_B ( A, K )\right\}</math>

Второе сообщение является зашифрованным с помощью сгенерированного Трентом сессионного ключа　случайное число Боба <math>R_B</math>:

: <math>\left\{ E_K ( R_B )\right\}</math>

Оба сообщения Алиса отправляет Бобу:

: <math>(4) Alice \to \left\{ E_B ( A, K ), E_K ( R_B ) \right\} \to Bob</math>

Боб расшифровывает первое сообщение и извлекает сессионный ключ <math>K</math>. С помощью извлечённого сессионного ключа Боб расшифровывает второе сообщение и получает случайное число <math>R_B</math>. Боб сверяет полученное от Алисы число со случайным числом отправленным на втором этапе.　После описанных действий стороны могут использовать новый сессионный ключ <math>K</math>{{Sfn|Шнайер|2002}}}.

Протокол Yahalom помимо генерации сессионного ключа обеспечивает аутентификацию сторон:

* Аутентификация Алисы перед Бобом происходит на четвёртом этапе <math>( 4 )</math>, когда Боб может проверить возможность Алисы зашифровать известные только ей и Тренту случайное число <math>R_A</math> на ключе <math>K</math>.

* Аутентификация Боба перед Алисой происходи на третьем этапе <math>( 3 )</math>, когда Трент показывает Алисе, что он получил случайное число <math>R_A</math> именно от Боба (поскольку в сообщении присутствует идентификатор Боба <math>B</math>){{Sfn|Владимиров С.М. и др.}}.

В результате протокола Yahalom Алиса и Боб убеждены, что общаются друг с другом, а не с неизвестной третьей стороной. В отличие от протокола [[Wide-Mouth Frog]] стороны имеют возможность убедиться, что промежуточный сервер генерирует общий секретный ключ именно для них двоих, а не для какой-то третьей стороны (хотя от полной [[Компрометация (криптография)|компрометации]] доверенной стороны этот протокол не защищает){{Sfn|Шнайер|2002}}.

== Уязвимости протокола ==
Протокол Yahalom имеет ряд уязвимостей, которыми могут воспользоваться злоумышленники.

* В рамках протокола Боб никак не продемонстрировал, что он успешно получил новый сессионный ключ <math>K</math> и может им пользоваться. Сообщение от Алисы на четвёртом этапе <math>( 4 )</math> могло быть перехвачено или изменено злоумышленниками. Но никакого ответа Алиса от Боба уже не ожидает и уверена, что протокол завершился успешно.

* На третьем этапе <math>( 3 )</math> Трент не включает случайное число <math>R_B</math> в сообщение <math>\left\{ E_B ( A, K )\right\}</math>, что позволяет Алисе заставить Боба принять старый сессионный ключ{{Sfn|Lawrence C. Paulson|2001}}. При этом протокол будет выглядеть следующем образом:

: <math>( 1 ) Alice \to \left\{ A, R_A \right\} \to Bob</math>
: <math>( 2 ) Bob \to \left\{ B, E_B ( A, R_A, R_B ) \right\} \to Trent</math>

Трент генерирует новый сессионный ключ <math>K</math>
: <math>( 3 ) Trent \to \left\{ E_A ( B, K, R_A, R_B ), E_B ( A, K ) \right\} \to Alice</math>

Алиса использует старый сессионный ключ <math>K^*</math> и отправляет сообщение
: <math>E_B ( A, K^*)</math> из старого сеанса протокола<math>( 4 )Alice \to \left\{ E_B ( A, K^* ), E_K ( R_B ) \right\} \to Bob</math>

== Модификация протокола ==
В статье 1989 году Берроуз (англ. Michael Burrows), Абади (англ. Martin Abadi), Нидхэм (англ. Roger Needham) предложили свой вариант протокола Yahalom:

: <math>( 1 ) Alice \to \left\{ A, R_A \right\} \to Bob</math>
: <math>( 2 ) Bob \to \left\{ B, R_B, E_B ( A, R_A ) \right\} \to Trent</math>
: <math>( 3 ) Trent \to \left\{ R_B, E_A ( B, K, R_A ), E_B \left( A, K, R_B \right) \right\} \to Alice</math>
: <math>( 4 ) Alice \to \left\{ E_B ( A, K, R_B ), E_K ( R_B ) \right\} \to Bob</math>

В данном варианте протокола нет необходимости использовать несертифицированный ключ, поскольку своевременность последнего сообщения гарантируется случайным числом <math>R_B</math>. Исчезает необходимость шифрования случайного числа Боба <math>R_B</math> на втором этапе <math>( 2 )</math> и в первом сообщении третьего этапа <math>( 3 )</math>. В результате получается тот же результат, но с меньшим количеством шифрования{{Sfn|M. Burrows и др.|1989}}.

== Примечания ==
{{примечания}}

== Литература ==
* {{Cite web|ref=Владимиров С.М. и др.|lang=ru|url=https://github.com/vlsergey/infosec|title=Учебное пособие по защите информации кафедры радиотехники и систем управления МФТИ|author=Владимиров С.М. и др.|date=2013-09-06}}
* {{Книга|ref=Шнайер|автор=Шнайер Б.|заглавие=Прикладная криптография. Протоколы, алгоритмы, исходные тексты на языке Си|оригинал= Applied Cryptography. Protocols, Algorithms and Source Code in C|год=2002|страниц=816|издательство=Триумф|isbn=5-89392-055-4}}
* {{Статья|ref=Lawrence C. Paulson|автор=Lawrence |. Paulson|заглавие=Relations Between Secrets: Two Formal Analyses of the Yahalom Protocol|год=2001|язык=en|место=Computer Laboratory, University of Cambridge, Pembroke Street, Cambridge CB2 3QG, UK.|издание=Journal of Computer Security|том=9|выпуск=1 July 2001|номер=3|страницы=197—216|doi=10.3233/JCS-2001-9302}}
* {{Статья|ref=M. Burrows и др.|ссылка=https://www.hpl.hp.com/techreports/Compaq-DEC/SRC-RR-39.pdf|автор=M. Burrows, M. Abadi, R. Needham|заглавие=A Logic of Authentication|год=1989|язык=en|место=Digital Equipment Corp. Systems Research Center|isbn=}}

{{Протоколы аутентификации и обмена ключами}}

[[Категория:Протоколы AAA]]