Протокол Ньюмана — Стабблбайна

Протокол Ньюмана-СтабблбайнаПравить

Криптографические обозначения, используемые в протоколах проверки подлинности и обмена ключами

$A$$A$	Идентификаторы Алисы (Alice), инициатора сессии
$B$$B$	Идентификатор Боба (Bob), стороны, с которой устанавливается сессия
$T$$T$	Идентификатор Трента (Trent), доверенной промежуточной стороны
$K_A,K_B,K_T$$K_{A},K_{B},K_{T}$	Открытые ключи Алисы, Боба и Трента
$K_A^{-<!--\; -\; -->1},K_B^{-<!--\; -\; -->1},K_T^{-<!--\; -\; -->1}$$K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}$	Секретные ключи Алисы, Боба и Трента
$E_A,{\left\{...\right\}}_{K_A}$$E_{A},\left\{...\right\}_{K_{A}}$	Шифрование данных ключом Алисы, либо совместным ключом Алисы и Трента
$E_B,{\left\{...\right\}}_{K_B}$$E_{B},\left\{...\right\}_{K_{B}}$	Шифрование данных ключом Боба, либо совместным ключом Боба и Трента
${\left\{...\right\}}_{K_B^{-<!--\; -\; -->1}},{\left\{...\right\}}_{K_A^{-<!--\; -\; -->1}}$$\left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}$	Шифрование данных секретными ключами Алисы, Боба (цифровая подпись)
$I$$I$	Порядковый номер сессии (для предотвращения атаки с повтором)
$K$$K$	Случайный сеансовый ключ, который будет использоваться для симметричного шифрования данных
$E_K,{\left\{...\right\}}_K$$E_{K},\left\{...\right\}_{K}$	Шифрование данных временным сеансовым ключом
$T_A,T_B$$T_{A},T_{B}$	Метки времени, добавляемые в сообщения Алисой и Бобом соответственно
$R_A,R_B$$R_{A},R_{B}$	Случайные числа (nonce), которые были выбраны Алисой и Бобом соответственно

Протокол Ньюмана — Стабблбайна — симметричный протокол аутентификации и обмена ключами с использованием доверенной стороны. Является усовершенствованной версией протокола Yahalom. Особенностью протокола является отсутствие необходимости синхронизации часов у сторон, а также возможность повторной аутентификации без использования промежуточной стороны.

ИсторияПравить

Криптографический протокол Ньюмана-Стабблбайна для удостоверения подписи и обмена ключами был впервые опубликован в 1993 году. Протокол является модификацией протокола Yahalom и разработан в Массачусетском технологическом институте (MIT) Клифордом Ньюманом и Стюартом Стабблбаном.

Описание протоколаПравить

 

Взаимодействие участников в протоколе Ньюмана-Стабблбайна

ОписаниеПравить

Алиса и Боб хотят безопасно обмениваться сообщениями, находясь на различных концах сети. Предполагается, что каждому пользователю Трент выделяет отдельный секретный ключ, и перед началом работы протокола все ключи уже находятся у пользователей.

Алиса отправляет Бобу сообщение, содержащее идентификатор Алисы и некоторое случайное число Алисы:

1. $Alice\to <!--\; \to \; -->\left\{A,R_A\right\}\to <!--\; \to \; -->Bob$$Alice\to \left\{A,R_{A}\right\}\to Bob$ 

Боб объединяет идентификатор Алисы, ее случайное число и метку времени, шифрует сообщение общим с Трентом ключом и посылает его Тренту, добавив свой идентификатор и случайное число Боба:

2. $Bob\to <!--\; \to \; -->\left\{B,R_B,E_B\left(A,R_A,T_B\right)\right\}\to <!--\; \to \; -->Trent$$Bob\to \left\{B,R_{B},E_{B}\left(A,R_{A},T_{B}\right)\right\}\to Trent$ 

Трент генерирует сеансовый ключ $K$$K$ , а затем создает два сообщения. Первое включает идентификатор Боба, случайное число Алисы, случайный сеансовый ключ, метку времени и шифруется общим для Трента и Алисы ключом. Второе состоит из идентификатора Алисы, сеансового ключа, метки времени и шифруется общим для Трента и Боба ключом. Трент добавляет к ним случайное число Боба и отправляет Алисе:

3. $Trent\to <!--\; \to \; -->\left\{E_A\left(B,R_A,K,T_B\right),E_B\left(A,K,T_B\right),R_B\right\}\to <!--\; \to \; -->Alice$$Trent\to \left\{E_{A}\left(B,R_{A},K,T_{B}\right),E_{B}\left(A,K,T_{B}\right),R_{B}\right\}\to Alice$ 

Алиса извлекает $K$$K$  и убеждается, что $R_A$$R_{A}$  совпадает с тем, что было послано на этапе 1. Алиса отправляет Бобу два сообщения. Первое - это второе сообщение от Трента, зашифрованное ключом Боба. Второе - это случайное число Боба, зашифрованное сеансовым ключом.

4. $Alice\to <!--\; \to \; -->\left\{E_B\left(A,K,T_B\right),E_K\left(R_B\right)\right\}\to <!--\; \to \; -->Bob$$Alice\to \left\{E_{B}\left(A,K,T_{B}\right),E_{K}\left(R_{B}\right)\right\}\to Bob$ 

Боб расшифровывает сообщение своим ключом и убеждается, что значения $T_B$$T_{B}$  и $R_B$$R_{B}$  не изменились.

Если оба случайных числа и метка времени совпадают, то Алиса и Боб убеждаются в подлинности друг друга и получают секретный ключ. Нет необходимости синхронизировать часы, так как метка времени определяется только по часам Боба и только Боб проверяет созданную им метку времени.

Проверка подлинностиПравить

Протокол обладает возможностью повторной аутентификации сторон без использования промежуточной стороны, но с использованием новых случайных чисел:

Алиса отправляет Бобу сообщение, присланное Трентом на этапе 3 и новое случайное число:

1. $Alice\to <!--\; \to \; -->\left\{E_B\left(A,K,T_B\right),R_A^{\prime }\right\}\to <!--\; \to \; -->Bob$$Alice\to \left\{E_{B}\left(A,K,T_{B}\right),R'_{A}\right\}\to Bob$ 

Боб отправляет Алисе свое новое случайное число и случайное число Алисы, шифруя их сеансовым ключом:

2. $Bob\to <!--\; \to \; -->\left\{R_B^{\prime },E_K\left(R_A^{\prime }\right)\right\}\to <!--\; \to \; -->Alice$$Bob\to \left\{R'_{B},E_{K}\left(R'_{A}\right)\right\}\to Alice$ 

Алиса отправляет Бобу его новое случайное число, зашифрованное сеансовым ключом:

3. $Alice\to <!--\; \to \; -->\left\{E_K\left(R_B^{\prime }\right)\right\}\to <!--\; \to \; -->Bob$$Alice\to \left\{E_{K}\left(R'_{B}\right)\right\}\to Bob$ 

Использование новых случайных чисел $R_A^{\prime }$$R'_{A}$  и $R_B^{\prime }$$R'_{B}$  защищает от атаки с повторной передачей.

Атаки на протоколПравить

Атака на проверку подлинностиПравить

$I$$I$  (от англ. Intruder) - злоумышленник.

1. $I(Alice)\to <!--\; \to \; -->\left\{E_B\left(A,K,T_B\right),R_A^{\prime }\right\}\to <!--\; \to \; -->Bob$$I(Alice)\to \left\{E_{B}\left(A,K,T_{B}\right),R'_{A}\right\}\to Bob$ 
2. $Bob\to <!--\; \to \; -->\left\{R_B^{\prime },E_K\left(R_A^{\prime }\right)\right\}\to <!--\; \to \; -->I(Alice)$$Bob\to \left\{R'_{B},E_{K}\left(R'_{A}\right)\right\}\to I(Alice)$ 
3. $I(Alice)\to <!--\; \to \; -->\left\{E_B\left(A,K,T_B\right),R_B^{\prime }\right\}\to <!--\; \to \; -->Bob$$I(Alice)\to \left\{E_{B}\left(A,K,T_{B}\right),R'_{B}\right\}\to Bob$ 
4. $Bob\to <!--\; \to \; -->\left\{R_B^{\prime },E_K\left(R_B^{\prime }\right)\right\}\to <!--\; \to \; -->I(Alice)$$Bob\to \left\{R'_{B},E_{K}\left(R'_{B}\right)\right\}\to I(Alice)$ 
5. $I(Alice)\to <!--\; \to \; -->\left\{E_K\left(R_B^{\prime }\right)\right\}\to <!--\; \to \; -->Bob$$I(Alice)\to \left\{E_{K}\left(R'_{B}\right)\right\}\to Bob$ 

Атака на основе открытых текстовПравить

1. $I(Bob)\to <!--\; \to \; -->\left\{B,R_B,E_B\left(A,K_0,T_B\right)\right\}\to <!--\; \to \; -->Trent$$I(Bob)\to \left\{B,R_{B},E_{B}\left(A,K_{0},T_{B}\right)\right\}\to Trent$ 
2. $Trent\to <!--\; \to \; -->\left\{E_A\left(B,R_A,K_1,T_B\right),E_B\left(A,K_1,T_B\right),R_B\right\}\to <!--\; \to \; -->I(Alice)$$Trent\to \left\{E_{A}\left(B,R_{A},K_{1},T_{B}\right),E_{B}\left(A,K_{1},T_{B}\right),R_{B}\right\}\to I(Alice)$ 
3. $I(Bob)\to <!--\; \to \; -->\left\{B,R_B,E_B\left(A,K_1,T_B\right)\right\}\to <!--\; \to \; -->Trent$$I(Bob)\to \left\{B,R_{B},E_{B}\left(A,K_{1},T_{B}\right)\right\}\to Trent$ 
4. $Trent\to <!--\; \to \; -->\left\{E_A\left(B,R_A,K_2,T_B\right),E_B\left(A,K_2,T_B\right),R_B\right\}\to <!--\; \to \; -->I(Alice)$$Trent\to \left\{E_{A}\left(B,R_{A},K_{2},T_{B}\right),E_{B}\left(A,K_{2},T_{B}\right),R_{B}\right\}\to I(Alice)$  и т.д.

В этой атаке злоумышленник может получить столько шифров $E_B\left(A,K_i,T_B\right)$$E_{B}\left(A,K_{i},T_{B}\right)$ , сколько необходимо для начала атаки на основе открытых текстов.

ЛитератураПравить

• Шнайер Б. Протокол Ньюмана-Стабблбайна // Прикладная криптография. Протоколы, алгоритмы, исходные тексты на языке Си = Applied Cryptography. Protocols, Algorithms and Source Code in C. — М.: Триумф, 2002. — С. 82. — 816 с. — 3000 экз. — ISBN 5-89392-055-4.
• A. Kehne, J. Schönwälder, H. Langendörfer. A nonce-based protocol for multiple authentications (англ.) // ACM SIGOPS Operating Systems Review. — 1992. — Vol. 26, iss. 4. — P. 84 - 89. — ISSN 0163-5980.
• B. Clifford Neuman, Stuart G. Stubblebine. A note on the use of timestamps as nonces (англ.) // ACM SIGOPS Operating Systems Review. — New York, NY, USA: ACM, 1993. — Vol. 2, iss. 27. — P. 10—14. — ISSN 0163-5980.