Протокол Ньюмана — Стабблбайна

Криптографические обозначения, используемые в протоколах проверки подлинности и обмена ключами
A	Идентификаторы Алисы (Alice), инициатора сессии
B	Идентификатор Боба (Bob), стороны, с которой устанавливается сессия
T	Идентификатор Трента (Trent), доверенной промежуточной стороны
KA,KB,KT	Открытые ключи Алисы, Боба и Трента
KA−1,KB−1,KT−1	Секретные ключи Алисы, Боба и Трента
EA,{...}KA	Шифрование данных ключом Алисы, либо совместным ключом Алисы и Трента
EB,{...}KB	Шифрование данных ключом Боба, либо совместным ключом Боба и Трента
{...}KB−1,{...}KA−1	Шифрование данных секретными ключами Алисы, Боба (цифровая подпись)
I	Порядковый номер сессии (для предотвращения атаки с повтором)
K	Случайный сеансовый ключ, который будет использоваться для симметричного шифрования данных
EK,{...}K	Шифрование данных временным сеансовым ключом
TA,TB	Метки времени, добавляемые в сообщения Алисой и Бобом соответственно
RA,RB	Случайные числа (nonce), которые были выбраны Алисой и Бобом соответственно

Шаблон:Нет сносок

Протокол Ньюмана-Стабблбайна

Протокол Ньюмана — Стабблбайна — симметричный протокол аутентификации и обмена ключами с использованием доверенной стороны. Является усовершенствованной версией протокола Yahalom. Особенностью протокола является отсутствие необходимости синхронизации часов у сторон, а также возможность повторной аутентификации без использования промежуточной стороны.

История

Криптографический протокол Ньюмана-Стабблбайна для удостоверения подписи и обмена ключами был впервые опубликован в 1993 году. Протокол является модификацией протокола Yahalom и разработан в Массачусетском технологическом институте (MIT) Клифордом Ньюманом и Стюартом Стабблбаном.

Описание протокола

Взаимодействие участников в протоколе Ньюмана-Стабблбайна

Описание

Алиса и Боб хотят безопасно обмениваться сообщениями, находясь на различных концах сети. Предполагается, что каждому пользователю Трент выделяет отдельный секретный ключ, и перед началом работы протокола все ключи уже находятся у пользователей.

Алиса отправляет Бобу сообщение, содержащее идентификатор Алисы и некоторое случайное число Алисы:

$A l i c e \to {A, R_{A}} \to B o b$

Боб объединяет идентификатор Алисы, ее случайное число и метку времени, шифрует сообщение общим с Трентом ключом и посылает его Тренту, добавив свой идентификатор и случайное число Боба:

2.

B o b \to {B, R_{B}, E_{B} (A, R_{A}, T_{B})} \to T r e n t

Трент генерирует сеансовый ключ

K

, а затем создает два сообщения. Первое включает идентификатор Боба, случайное число Алисы, случайный сеансовый ключ, метку времени и шифруется общим для Трента и Алисы ключом. Второе состоит из идентификатора Алисы, сеансового ключа, метки времени и шифруется общим для Трента и Боба ключом. Трент добавляет к ним случайное число Боба и отправляет Алисе:

3.

T r e n t \to {E_{A} (B, R_{A}, K, T_{B}), E_{B} (A, K, T_{B}), R_{B}} \to A l i c e

Алиса извлекает

K

и убеждается, что

R_{A}

совпадает с тем, что было послано на этапе 1. Алиса отправляет Бобу два сообщения. Первое - это второе сообщение от Трента, зашифрованное ключом Боба. Второе - это случайное число Боба, зашифрованное сеансовым ключом.

4.

A l i c e \to {E_{B} (A, K, T_{B}), E_{K} (R_{B})} \to B o b

Боб расшифровывает сообщение своим ключом и убеждается, что значения

T_{B}

и

R_{B}

не изменились.

Если оба случайных числа и метка времени совпадают, то Алиса и Боб убеждаются в подлинности друг друга и получают секретный ключ. Нет необходимости синхронизировать часы, так как метка времени определяется только по часам Боба и только Боб проверяет созданную им метку времени.

Проверка подлинности

Протокол обладает возможностью повторной аутентификации сторон без использования промежуточной стороны, но с использованием новых случайных чисел:

Алиса отправляет Бобу сообщение, присланное Трентом на этапе 3 и новое случайное число:

$A l i c e \to {E_{B} (A, K, T_{B}), R'_{A}} \to B o b$

Боб отправляет Алисе свое новое случайное число и случайное число Алисы, шифруя их сеансовым ключом:

2.

B o b \to {R'_{B}, E_{K} (R'_{A})} \to A l i c e

Алиса отправляет Бобу его новое случайное число, зашифрованное сеансовым ключом:

3.

A l i c e \to {E_{K} (R'_{B})} \to B o b

Использование новых случайных чисел $R'_{A}$ и $R'_{B}$ защищает от атаки с повторной передачей.

Атаки на протокол

Атака на проверку подлинности

$I$ (от англ. Intruder) - злоумышленник.

$I (A l i c e) \to {E_{B} (A, K, T_{B}), R'_{A}} \to B o b$
$B o b \to {R'_{B}, E_{K} (R'_{A})} \to I (A l i c e)$
$I (A l i c e) \to {E_{B} (A, K, T_{B}), R'_{B}} \to B o b$
$B o b \to {R'_{B}, E_{K} (R'_{B})} \to I (A l i c e)$
$I (A l i c e) \to {E_{K} (R'_{B})} \to B o b$

Атака на основе открытых текстов

$I (B o b) \to {B, R_{B}, E_{B} (A, K_{0}, T_{B})} \to T r e n t$
$T r e n t \to {E_{A} (B, R_{A}, K_{1}, T_{B}), E_{B} (A, K_{1}, T_{B}), R_{B}} \to I (A l i c e)$
$I (B o b) \to {B, R_{B}, E_{B} (A, K_{1}, T_{B})} \to T r e n t$
$T r e n t \to {E_{A} (B, R_{A}, K_{2}, T_{B}), E_{B} (A, K_{2}, T_{B}), R_{B}} \to I (A l i c e)$ и т.д.

В этой атаке злоумышленник может получить столько шифров $E_{B} (A, K_{i}, T_{B})$ , сколько необходимо для начала атаки на основе открытых текстов.

Литература

Шаблон:Протоколы аутентификации и обмена ключами

$A$	Идентификаторы Алисы (Alice), инициатора сессии
$B$	Идентификатор Боба (Bob), стороны, с которой устанавливается сессия
$T$	Идентификатор Трента (Trent), доверенной промежуточной стороны
$K_{A}, K_{B}, K_{T}$	Открытые ключи Алисы, Боба и Трента
$K_{A}^{- 1}, K_{B}^{- 1}, K_{T}^{- 1}$	Секретные ключи Алисы, Боба и Трента
$E_{A}, {. . .}_{K_{A}}$	Шифрование данных ключом Алисы, либо совместным ключом Алисы и Трента
$E_{B}, {. . .}_{K_{B}}$	Шифрование данных ключом Боба, либо совместным ключом Боба и Трента
${. . .}_{K_{B}^{- 1}}, {. . .}_{K_{A}^{- 1}}$	Шифрование данных секретными ключами Алисы, Боба (цифровая подпись)
$I$	Порядковый номер сессии (для предотвращения атаки с повтором)
$K$	Случайный сеансовый ключ, который будет использоваться для симметричного шифрования данных
$E_{K}, {. . .}_{K}$	Шифрование данных временным сеансовым ключом
$T_{A}, T_{B}$	Метки времени, добавляемые в сообщения Алисой и Бобом соответственно
$R_{A}, R_{B}$	Случайные числа (nonce), которые были выбраны Алисой и Бобом соответственно

Протокол Ньюмана — Стабблбайна

Содержание