Дистанционно-ограниченные протоколы

Дистанционно-ограниченные протоколы (Шаблон:Lang-en) — криптографический протоколы аутентификации, основанные на определении расстояния между взаимодействующими лицами. Впервые протокол был разработан Стефаном Брандсом (Шаблон:Lang-en) и Дэвидом Чаумом (Шаблон:Lang-en) в 1993 годуШаблон:Sfn.

Основная идея заключается в достоверности знаний доказывающего участника («Prover»), путем проверки подлинности этих знаний проверяющим участником («Verifier») и в необходимости, что доказывающий участник находится на расстоянии от проверяющего, не более определенногоШаблон:Sfn.

Данные протоколы позволяют предотвратить такие виды криптографических атак на RFID-системы, как: атака посредника; обман, выполненный мафией; обман, выполненный террористами; мошенничество с расстояниемШаблон:Sfn.

Описание

Протокол Брандса-Чаума

Идея дистанционно-ограниченного протокола Брандсона-ЧаумаШаблон:Sfn основана на принципе «вызов-ответ». Пусть имеется два участника: $P$ - доказывающая сторона, которая доказывает свое знание секрета. $V$ - проверяющая сторона, которая проверяет подлинность этого секрета. Перед обменом сообщений, стороны $V$ и $P$ генерируют случайную последовательность $k$ -бит, $α = (α_{1}, . . ., α_{k})$ и $β = (β_{1}, . . ., β_{k})$ соответственно. Параметр $k$ является секретным параметром протокола. Данный протокол разбивается на две части:

Сначала происходит $k$ мгновенных обменов битами - сторона $P$ после получение бита $α_{i}$ от $V$ отправляет ответный бит $β_{i}$ незамедлительно(«low-level distance-bounding exchange»).

После этого $P$ отправляет сообщение $m = α_{1} | β_{1} | . . . | α_{k} | β_{k}$ с его секретным ключом стороне $V$ . Далее проверяющая сторона $V$ с помощью протокола идентификации проверяет достоверность секрета, а также вычислить расстояние(«upper-bound distance») между участниками $L = m a x_{k} (t_{i})$ , где $t_{i}$ - время между отправлением $α_{i}$ бита и получением $β_{i}$ .

Данный протокол предотвращает обман, выполненный мафией с вероятностью $\frac{1}{2^{k}}$ .Шаблон:Sfn

Измененная версия протокола Брандса-Чаума

При реализации протокола Брандсона-Чаума в случае когда, сторона $P$ знает через какое время придет следующий $α_{i}$ бит, ответный $β_{i}$ бит стороне $V$ может отослать заранее, тем самым, совершив мошенничество с расстоянием между участникамиШаблон:Sfn.

Один из вариантов предотвращении данного обмана, заключается в случайном изменении времени отправления бита стороной $V$ .

Другой вариант - это измененная версия протокола Брандсона-Чаума, предотвращающая сразу два вида мошенничества. Как и в основной версии, обе стороны генерируют случайную последовательность $k$ -бит. При $k$ мгновенных обменов битами сторона $V$ отсылает $α_{i}$ бит стороне $P$ , в свою очередь, сторона $P$ отсылает бит $m_{i} = β_{i} \oplus α_{i}$ стороне $V$ . После обмена, сторона $P$ должна отправить биты $β = (β_{1}, . . ., β_{k})$ с секретным ключом стороне $V$ по защищенному протоколу. Сторона $V$ проверяет равенство $β_{i} = m_{i} \oplus α_{i}, \forall i = \overline{1, k}$ и после этого с помощью протокола идентификации проверяет достоверность секрета.

Недостаток протокола в том, что он не обрабатывает ошибки, связанные с потерей бита при обмене.Шаблон:Sfn

Протокол Ханке-Куна

В 2005 году Герхард Ханке(Шаблон:Lang-en) и Маркус Кун(Шаблон:Lang-en)Шаблон:Sfn предложили свою версию дистанционно-ограниченного протокола, широко применяемая в RFID-системах Шаблон:Sfn.

Пусть имеются две стороны: $V$ («RFID-reader») и $P$ («RFID-token»). Сторона $V$ генерирует случайным образом одноразовый ключ $N_{v}$ и отправляет стороне $P$ . Использовав псевдослучайную функцию (MAC или криптографическую хеш-функцию) обе стороны генерируют последовательность бит: $h (k, N_{v}) = R^{0} | | R^{1}$ ,где $R^{0} = (R_{1}^{0}, . . ., R_{n}^{0}), R^{1} = (R_{1}^{1}, . . ., R_{n}^{1})$ , a $k$ - секретный ключ, известный обеим сторонам.

После этого, начинается серия из $n$ мгновенных обменов битами между двумя сторонами: сгенерированное случайным образом стороной $V$ бит $C_{i}$ («отклик») отправляется стороне $P$ , при этом, если бит $C_{i} = 0$ , то сторона $P$ отправляет в ответ бит $R_{i}^{0}$ , в противном случае, бит $R_{i}^{1}$ . Сторона $V$ же проверяет полученный бит на равенство со своим битом $R_{i}^{C_{i}}$ , а также для каждого $i$ вычисляет расстояние $d^{'}$ между $P$ и $V$ , и проверяет, чтобы $d^{'} < d$ , где $d^{'} = \frac{c * t_{m}}{2}$ , $t_{m}$ - время между обменом битами, $c$ - скорость света, $d$ - фиксированная величина.

Если сторону $V$ удовлетворяют условия, то обмен считается успешным.

Вероятность атаки выполненной мафией и обмана с расстоянием при использовании данного протокола равна ${(\frac{3}{4})}^{n}$ .Шаблон:Sfn

Также, на основе данного протокола, был создан протокол Ту-Пирамуту(Шаблон:Lang-en), который снижает вероятность успешной атаки до $\frac{9}{16}$ (для одного обмена битами).Шаблон:Sfn

Недостатком протокола является потеря производительности при передаче подписанного сообщения, так как из-за возможности потери битов вследствие шума, сообщение нельзя послать через канал быстрого обмена битами.Шаблон:Sfn

Протокол Мунильи-Пейнадо

Для уменьшения вероятности мошенничества, на основе протокола Ханке-Куна, в 2008 году Ортиз Мунилья(Шаблон:Lang-en) и Пейнадо(Шаблон:Lang-en)Шаблон:Sfn создали свою версию дистанционно-ограниченного протокола. Главной особенностью протокола является возможность обнаружения атаки вовремя обмена битовШаблон:Sfn. Обмен битами разбивается на две категории:

Полный отклик («full challenge») - стандартный обмен битами.
Пустой отклик («void challenge») - никакого обмена битами не происходит.

Стороны $P$ и $V$ заранее договариваются, на какой итерации произойдет пустой отклик. Если во время пустого отклика, сторона $P$ получает бит $0$ или $1$ , то $P$ заключает, что протокол ненадежный.

Перед началом медленной фазы стороны разделяют секрет $x$ , получают секретный ключ протокола $n$ и псевдослучайную функцию $H$ , выдающую случайную последовательность бит размера $4 n$ , и устанавливают временной порог одиночного обмена битами $Δ t_{m a x}$ .

Далее, в медленной фазе, стороны $P$ и $V$ после генерации одноразовых ключей $N_{p}$ и $N_{v}$ , соответственно, обмениваются этими ключами, для вычисления $H^{4 n} = H (x, N_{p}, N_{v})$ . Получившаяся последовательность $4 n$ -бит разбивается на последовательность $R^{0} = (H_{1}, . . ., H_{2 n})$ размера $2 n$ бит, $R^{1} = (H_{2 n + 1}, . . ., H_{3 n})$ и $R^{2} = (H_{3 n + 1}, . . ., H_{4 n})$ по $n$ бит каждый. Бит $T_{i}$ устанавливает, какой отклик вовремя быстрой фазы будет пустым или полным: если $H_{2 i - 1} H_{2 i} = 00$ , $01$ или $10$ , то $T_{i} = 0$ - пустой отклик, в противном случае $T_{i} = 1$ - полный отклик, где биты $H_{2 i - 1} H_{2 i} \subset R_{0}$ .

После этого, в быстрой фазе, происходит аналогичный обмен битами, с помощью последовательностей $R_{1}$ и $R_{2}$ , как и в протоколе Ханке-Куна. В конечном итоге, если сторона $P$ считает протокол надежным, то она отправляет $H (x, R^{1}, R^{2})$ стороне $V$ .

Вероятность успешной криптоатаки равна $p = {(\frac{5}{8})}^{n}$ .Шаблон:Sfn

Недостатком протокола является сложная реализация трех (физических) состояний протокола.Шаблон:Sfn

Протокол Хитоми

В 2010 году Педро Перис-Лопес (Шаблон:Lang-es), Хулио Эрнандес-Кастро (Шаблон:Lang-es) и др. на основе протокола «Швейцарского-ножа» создали протокол ХитомиШаблон:Sfn. Протокол обеспечивает аутентификацию между считывателем и передатчиком и гарантирует конфиденциальностьШаблон:Sfn.

Протокол разбивается на 3 части: две медленные фазы - подготовительная и финальная; и быстрая фаза - быстрый обмен битами между считывателем $R$ (он же $V$ ) и передатчиком $T$ (он же $P$ ).

В ходе подготовительной фазы $R$ выбирает случайное число $N_{R}$ и отравляет его стороне $T$ . После этого, $T$ генерирует 3 случайных числа $N_{T_{1}}$ , $N_{T_{2}}$ , $N_{T_{3}}$ и вычисляет временные ключи $k_{1} = F_{x} (N_{R}, N_{T_{1}}, W)$ и $k_{2} = F_{x} (N_{T_{2}}, N_{T_{3}}, W^{'})$ , где $F_{x} (∙)$ - псевдослучайная функция, зависящая от секретного ключа $x$ , а $W$ и $W^{'}$ два постоянных параметра. Далее, постоянный секретный ключ $x$ разделяется на два регистра $R^{0} = k_{1}$ и $R^{1} = k_{2} \oplus x$ . И в завершении фазы, $T$ отправляет стороне $R$ числа $N_{T_{1}}$ , $N_{T_{2}}$ , $N_{T_{3}}$ .

Дальше наступает фаза из $n$ быстрых обменов битами: на $i$ итерации, $R$ генерирует случайный бит $c_{i}$ и отравляет $T$ , зафиксировав, при этом, время $t_{1}$ . Сторона $T$ получает бит ${c_{i}}^{'}$ , который может не равняться биту $c_{i}$ , из-за ошибок в канале связи или стороннего вмешательства. В ответ, $T$ отправляет бит $r_{i} = R_{i}^{c_{i}}$ , и незамедлительно, после получение бита ${r_{i}}^{'}$ , который не обязан равняться $r_{i}$ , сторона $R$ фиксирует время $t_{2}$ и вычисляет время $Δ t_{i} = t_{2} - t_{1}$ .

В финальной фазе, $T$ отправляет сообщение $m = ({c_{1}}^{'}, . . ., {c_{n}}^{'}, {r_{1}}^{'}, . . ., {r_{n}}^{'})$ и $T_{B} = F_{x} (m, I D, N_{R}, N_{T_{1}}, N_{T_{2}}, N_{T_{3}})$ стороне $R$ , где $I D$ - уникальный идентификатор передатчика. В конечном итоге, $R$ разбивает ошибки на три типа:

$c_{i} \neq {c_{i}}^{'}$
$c_{i} = {c_{i}}^{'}$ , но $r_{i} \neq R_{i}^{c_{i}}$
$c_{i} = {c_{i}}^{'}$ , но $Δ t_{i} > t_{m a x}$

Если суммарное количество ошибок удовлетворяет начальным условиям стороны $R$ , и, в случае необходимости аутентификации, стороне $T$ удовлетворяет число $T_{A} = F_{x} (N_{R}, k_{2})$ , полученное от $R$ , то протокол является надежным для обмена.

Вероятность криптоатаки выполненной мафией или мошенничества с расстоянием $p = {(\frac{1}{2})}^{n}$ .Шаблон:Sfn

Примечания

Шаблон:Примечания

Литература

Дистанционно-ограниченные протоколы

Содержание

Описание

Протокол Брандса-Чаума

Измененная версия протокола Брандса-Чаума

Протокол Ханке-Куна

Протокол Мунильи-Пейнадо

Протокол Хитоми

Примечания

Литература

Навигация

Дистанционно-ограниченные протоколы

Описание

Протокол Брандса-Чаума

Измененная версия протокола Брандса-Чаума

Протокол Ханке-Куна

Протокол Мунильи-Пейнадо

Протокол Хитоми

Примечания

Литература

Навигация

Поиск