Wide-Mouth Frog

Криптографические обозначения, используемые в протоколах проверки подлинности и обмена ключами

$A$	Идентификаторы Алисы (Alice), инициатора сессии
$B$	Идентификатор Боба (Bob), стороны, с которой устанавливается сессия
$T$	Идентификатор Трента (Trent), доверенной промежуточной стороны
$K_A,K_B,K_T$	Открытые ключи Алисы, Боба и Трента
$K_A^{-1},K_B^{-1},K_T^{-1}$	Секретные ключи Алисы, Боба и Трента
$E_A,{\{...\}}_{K_A}$	Шифрование данных ключом Алисы, либо совместным ключом Алисы и Трента
$E_B,{\{...\}}_{K_B}$	Шифрование данных ключом Боба, либо совместным ключом Боба и Трента
${\{...\}}_{K_B^{-1}},{\{...\}}_{K_A^{-1}}$	Шифрование данных секретными ключами Алисы, Боба (цифровая подпись)
$I$	Порядковый номер сессии (для предотвращения атаки с повтором)
$K$	Случайный сеансовый ключ, который будет использоваться для симметричного шифрования данных
$E_K,{\{...\}}_K$	Шифрование данных временным сеансовым ключом
$T_A,T_B$	Метки времени, добавляемые в сообщения Алисой и Бобом соответственно
$R_A,R_B$	Случайные числа (nonce), которые были выбраны Алисой и Бобом соответственно

Wide-Mouth Frog (досл. с англ. «лягушка с широкой глоткой») — возможно, самый простой протокол для симметричного обмена ключами с использованием доверенного сервера. $A$ (Алиса) и $B$ (Боб) разделяют секретный ключ с $T$ (Трентом). В данном протоколе ключи используются только для их распределения, а не для шифрования сообщенийШаблон:Sfn.

История

Автором протокола считается Шаблон:Не переведено 2, впервые он был опубликован в «Michael Burrows, Martin Abadi, and Roger Needham. A logic of authentication»Шаблон:Sfn в 1989 году. В 1997 Шаблон:Не переведено 2 в своей работе «A Family of Attacks upon Authentication Protocols»Шаблон:Sfn предложил Шаблон:Не переведено 2, исправляющий некоторые уязвимости.

Протокол Wide-Mouthed FrogШаблон:Sfn

Схема взаимодействия участников протокола Wide-Mouth Frog

Для начала сеанса передачи сообщений Алиса шифрует конкатенацию метки времени, идентификатора Боба и сгенерированного случайного сеансового ключа. В качестве ключа шифрования используется ключ, который известен Алисе и Тренту — промежуточному доверенному серверу. После этого Алиса передаёт своё имя (в открытом виде) и зашифрованные данные Тренту.

$Alice\to \{A,E_A(T_A,B,K)\}\to Trent$

Трент расшифровывает совместным с Алисой ключом пакет, выбирает оттуда сгенерированный Алисой случайный сеансовый ключ и составляет конкатенацию из новой метки времени, идентификатора Алисы и сеансового ключа, после чего шифрует её общим с Бобом ключом и передаёт ему.

$Trent\to \left\{E_B(T_T,A,K)\right\}\to Bob$

После этого Боб расшифровывает пакет данных общим с Трентом ключом и может использовать сгенерированный Алисой случайный сеансовый ключ для передачи данных.

Атаки на протокол Wide-Mouthed Frog

Атака 1995 года

В 1995 году Росс Андерсон и Роджер Нидхем предложили следующий алгоритм атаки на протокол:

1. $Alice\to \{A,E_A(T_A,B,K)\}\to Trent$
2. $Trent\to \left\{E_B(T_T,A,K)\right\}\to Bob$
3. $I(Bob)\to \{B,E_B(T_T,A,K)\}\to Trent$
4. $Trent\to \left\{E_A(T{\text{'}}_T,B,K)\right\}\to Alice$
5. $I(Alice)\to \{A,E_A(T{\text{'}}_T,B,K)\}\to Trent$
6. $Trent\to \left\{E_B(T^{\prime }{\text{'}}_T,A,K)\right\}\to Bob$,

где I(Alice) и I(Bob) — злоумышленник имитирующий Алису и Боба соответственно.

Изъян протокола заключается в том, что Трент обновляет свою временную метку $T_T$, от временной метки Алисы $T_A$. То есть пока Трент не держит список всех рабочих ключей и меток, злоумышленник может поддерживать ключи рабочими, используя Трента в качестве предсказателя.

Практический результат данного недостатка будет зависеть от приложения. Например, если пользователи используют смарт-карту с данным протоколом, который в открытом виде отправляет сеансовый ключ в Шаблон:Не переведено 2, то ключи могут быть открыты для данной атаки. Злоумышленник может наблюдать как Алиса и Боб проводят сеансы и поддерживать ключи рабочими, пока не появится возможность выкрасть смарт-картуШаблон:Sfn.

Атака 1997 года

В 1997 году Гэвин Лоу предложил ещё один вариант атаки на данный протокол, основанный на том, что злоумышленник заставляет думать Боба, что Алиса установила два сеанса обмена, в то время как Алиса устанавливает один сеанс. Атака включает два чередующихся прохода протокола, которые мы назовём $\alpha$ и $\beta$, обозначим, например, второе сообщение сеанса \alpha как $\alpha .2.$ Тогда атака выглядит следующим образом:

1. $Message$ $\alpha .1.$ $Alice\to \{A,E_A(T_A,B,K)\}\to Trent$
2. $Message$ $\alpha .2.$ $Trent\to \{B,E_B(T_T,A,K)\}\to Bob$
3. $Message$ $\beta .2.$ $I(Trent)\to \{B,E_B(T_T,A,K)\}\to Bob$,

где I(Trent) злоумышленник имитирующий Трента.

Сеанс $\alpha$ представляет нормальный ход обмена ключами, когда Алиса устанавливает сеанс с Бобом, используя ключ $K$. Тогда в сообщении $\beta .2$, злоумышленник имитирует Трента, и повторяет сообщение $\alpha .2$; после чего Боб считает, что Алиса пытается начать второй сеанс.

Кроме того, злоумышленник может воспроизвести для Трента сообщение $\alpha .1$, как сообщение следующего сеанса. Это приведёт к получению Бобом второго сообщение, с таким же результатом как и ранее.

Данную уязвимость исправляет Шаблон:Не переведено 2Шаблон:Sfn.

Модифицированный Wide-Mouthed Frog протокол

Данная модификация была предложена Гэвином Лоу, для устранения уязвимости для атаки 1997 года. Выглядит она следующим образом:

Схема взаимодейcтвия участников модифицированного протокола Wide-Mouth Frog

1. $Alice\to \{A,E_A(T_A,B,K)\}\to Trent$
2. $Trent\to \left\{E_B(T_T,A,K)\right\}\to Bob$
3. $Bob\to {\left\{R_B\right\}}_K\to Alice$
4. $Alice\to {\{R_B+1\}}_K\to Bob$

Эти изменения позволят избежать атак 1997 года: Боб будет генерировать два разных одноразовых номера, по одному для каждого сеанса, и ожидать в качестве ответа сообщение 4. В то же время Алиса будет возвращать только одно такое сообщение, и злоумышленник не сможет сгенерировать другого.

К сожалению, данная модификация убирает самую привлекательную черту протокола Wide-Mouthed Frog — простотуШаблон:Sfn.

Особенности

• Требуется глобальный счётчик.
• Трент имеет доступ ко всем ключам.
• Значение сеансового ключа $K$ полностью определяется Алисой, то есть она должна быть достаточно компетентной для генерации хороших ключей.
• Может дублировать сообщения, во время действия временной метки.
• Алиса не знает существует ли Боб.
• Протокол динамичный, что обычно нежелательно, так как это требует большей функциональности от Трента. Например, Трент должен справляться с ситуацией, когда Боб недоступен.

Литература

• Шаблон:Книга
• Шаблон:H
• M. Burrows, M. Abadi, R. Needham A Logic of Authentication // ACM Transactions on Computer Systems, — v. 8 — n. 1 — Feb. 1990 — pp. 18—36
• Шаблон:H
• Шаблон:H
• Ji Ma, Mehmet A. Orgun and Abdul Sattar Analysis of Authentication Protocols in Agent-Based Systems Using Labeled Tableaux // IEEE TRANSACTIONS ON SYSTEMS, MAN, AND CYBERNETICS—PART B: CYBERNETICS, VOL. 39, NO. 4, AUGUST 2009
• Security Protocol Open Repository
• Шаблон:HRoss Anderson and Roger Needham Programming Satan’s Computer // Cambridge University Computer Laboratory Pembroke Street, Cambridge, England CB2 3QG