Protocolul Wu Lam

Versiunea actuală a paginii nu a fost încă examinată de colaboratori experimentați și poate diferi semnificativ de versiunea revizuită la 7 ianuarie 2022; verificările necesită 8 modificări . Notații criptografice utilizate în protocoalele de autentificare și schimb de chei

$A$	Identificatorii lui Alice ( Alice ), inițiatorul sesiunii
$B$	Identificatorul lui Bob ( Bob ), partea din care se stabilește sesiunea
$T$	Identificatorul Trent ( Trent ), o parte intermediară de încredere
$K_{A},K_{B},K_{T}$	Cheile publice ale lui Alice, Bob și Trent
$K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}$	Cheile secrete ale lui Alice, Bob și Trent
$E_{A},\stanga\{...\dreapta\}_{K_{A}}$	Criptarea datelor cu cheia lui Alice sau cheia comună a lui Alice și Trent
$E_{B},\stanga\{...\dreapta\}_{K_{B}}$	Criptarea datelor cu cheia lui Bob sau cheia comună a lui Bob și Trent
$\left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}$	Criptarea datelor cu cheile secrete ale lui Alice, Bob (semnătură digitală)
$eu$	Numărul secvenței sesiunii (pentru a preveni atacurile de reluare)
$K$	Cheie aleatorie de sesiune care trebuie utilizată pentru criptarea simetrică a datelor
$E_{K},\stânga\{...\dreapta\}_{K}$	Criptarea datelor cu o cheie de sesiune temporară
$T_{A},T_{B}$	Marcaje temporale adăugate mesajelor de către Alice și, respectiv, Bob
$R_{A},R_{B}$	Numere aleatoare ( nonce ) care au fost alese de Alice și, respectiv, de Bob
$K_{A},K_{B},K_{T}$	Perechile de chei publice și, respectiv, private pre-generate de Alice, Bob și Trent
$K_{p}$	Perechea de chei publică/privată de sesiune aleatorie pentru a fi utilizată pentru criptarea asimetrică
$S_{A},S_{B},$ $S_{T},S_{K_{p))$	Semnarea datelor folosind cheia privată a lui Alice, Bob, partea intermediară ( Trent ), sau respectiv o cheie privată dintr-o pereche aleatorie
$E_{K_{A}),E_{K_{B)),$ $E_{K_{T}),E_{K_{p)}$	Criptarea asimetrică a datelor folosind cheia publică a lui Alice, Bob, o parte intermediară ( Trent ), sau respectiv o cheie publică dintr-o pereche aleatorie

Protocolul Wu-Lam este un protocol de autentificare și schimb de chei. Ca și în cazul protocolului DASS , partea intermediară - Trent - menține o bază de date cu toate cheile.

Versiunea simetrică a protocolului

Protocolul a fost descris de Thomas Wu și Simon Lam în 1992 1]2]

Alice îi trimite actul de identitate lui Bob:

(1)\Alice\la \{A\}\la Bob

Bob îi trimite un număr aleatoriu lui Alice:

(2)\Bob\la \{R_{B}\}\la Alice

Alice îi trimite acest număr lui Bob, criptându-l cu cheia comună a ei și a lui Trent:

(3)\Alice\to \{E_{K_{A}}(R_{B})\}\to Bob

Bob îi trimite lui Trent un mesaj criptat pe cheia lui și a lui Trent, care conține identificatorul Alicei și mesajul ei primit de Bob la a treia trecere:

(4)\ Bob\to \{E_{K_{B}}(A,E_{K_{A}}(R_{B}))\}\to Trent

Trent decriptează mesajul cu cheia lui Alice, îl criptează cu cheia lui Bob și îi trimite:

(5)\Trent\to \{E_{K_{B}}(R_{B})\}\to Bob

Versiunea asimetrică a protocolului

Alice îi trimite un mesaj lui Trent cu ID-ul și lui Bob:

Alice\la \stanga\{A,B\dreapta\}\la Trent

Trent îi trimite lui Alice cheia publică a lui Bob, semnând-o cu cheia sa privată:

Trent\la \left\{S_{T}\left(K_{B}\right)\right\}\la Alice

Alice verifică semnătura, apoi îi trimite lui Bob ID-ul și un număr aleatoriu, criptat cu cheia publică a lui Bob

Alice\la \left\{E_{K_{B}}\left(A,R_{A}\right)\right\}\la Bob

Bob îi trimite ID-ul și ID-ul lui Alice lui Trent, precum și numărul aleatoriu al lui Alice criptat cu cheia publică a lui Trent:

Bob\la \left\{A,B,E_{K_{T}}\left(R_{A}\right)\right\}\la Trent

Trent îi trimite două mesaje lui Bob. Prima conține cheia publică a lui Alice semnată cu cheia lui Trent. Al doilea conține numărul aleatoriu al lui Alice, o cheie aleatoare de sesiune și ID-urile lui Bob și Alice. Al doilea mesaj este semnat cu cheia lui Trent și criptat cu cheia publică a lui Bob:

Trent\la \left\{S_{T}\left(K_{A}\right), E_{K_{B}}\left(S_{T}\left(R_{A},K,A) ,B\dreapta)\dreapta)\dreapta\}\la Bob

Bob autentifică mesajele folosind cheia publică a lui Trent. După aceea, îi trimite Alicei a doua parte a mesajului de la Trent (împreună cu semnătura sa), completând-o cu propriul său număr aleatoriu și criptând-o cu cheia publică a lui Alice:

Bob\la \left\{E_{K_{A}}\left(S_{T}\left(R_{A},K,A,B\right), R_{B}\right)\right \}\la Alice

Alice verifică semnătura lui Trent și se potrivește cu numărul ei aleatoriu. După aceea, îi trimite lui Bob numărul aleatoriu, criptându-l cu cheia de sesiune:

Alice\la \left\{E_{K}\left(R_{B}\right)\right\}\la Bob

Bob decodifică numărul și se asigură că nu s-a schimbat [3] .

Autentificare reciprocă și protocol de distribuire a cheilor

Acest protocol, bazat pe criptografia simetrică, a fost descris de Wu și Lam în 1994 [4] .

Alice generează un număr aleatoriu și îi trimite ID-ul și acest număr lui Bob: $R_{A}$

(1)\Alice\la \{A,R_{A}\}\la Bob

Bob generează, de asemenea, un număr aleatoriu și îi trimite Alicei ID-ul și acest număr: $R_{B}$

(2)\Bob\la \{B,R_{B}\}\la Alice

Alice îi trimite lui Bob, ea și ID-urile sale și numere aleatorii, criptând mesajul cu cheia partajată a ei și a lui Trent:

(3)\Alice\la \{E_{K_{A}}(A,B,R_{A},R_{B})\}\la Bob

Bob îi trimite două mesaje lui Trent. Primul este mesajul primit de la Alice. A doua este aceeași informație ca și în mesajul de la Alice (atât identificatori, cât și numere aleatorii), dar criptate pe cheia lui cu Trent:

(4)\ Bob\to \{E_{K_{A}}(A,B,R_{A},R_{B}),E_{K_{B}}(A,B,R_{A },R_{B})\}\la Trent

Trent decriptează mesajele de la Bob, află ID-urile și numerele aleatorii de participanți, apoi generează o cheie de sesiune și îi trimite două mesaje lui Bob. Primul mesaj conține ID-ul lui Bob, ambele numere aleatoare și cheia de sesiune criptată cu cheia lui Alice. Al doilea mesaj conține ID-ul lui Alice, atât numere aleatoare, cât și cheia de sesiune, criptate cu cheia lui Bob: $K$

(5)\Trent\to\{E_{K_{A}}(B,R_{A},R_{B},K),E_{K_{B}}(A,R_{A}, R_{B},K)\}\la Bob

Bob îi trimite două mesaje Alicei. Primul este primul mesaj primit la trecerea anterioară de la Trent. Al doilea este atât numere aleatoare ( și ) criptate cu cheia de sesiune: $R_{A}$ $R_{B}$

(6)\Bob\to\{E_{K_{A}}(B,R_{A},R_{B},K),E_{K}(R_{A},R_{B}) \}\la Alice

Alice decriptează primul mesaj, primește cheia , decriptează al doilea mesaj și îi trimite lui Bob numărul aleatoriu: $K$

(7)\Alice\la \{E_{K}(R_{B})\}\la Bob

Atacuri de protocol

Atacul asupra versiunii simetrice a protocolului

Există un atac de sesiune paralelă asupra versiunii simetrice a protocolului Wu-Lam, descrisă de Abadie și Needham [5] [6] .

Mallory este un utilizator al sistemului și împărtășește o cheie cu Trent. De asemenea, trebuie să blocheze toate mesajele trimise lui Alice, adică Mallory trebuie să fie un criptoanalist activ.

Mallory începe două sesiuni - una în numele Alicei și una în numele ei - și îi trimite două mesaje lui Bob:

(1)\Mallory\(Alice)\la \{A\}\la Bob

(1')\Mallory\la \{M\}\la Bob

Bob crede că Alice și Mallory vor să-l contacteze și trimite fiecăruia propriul său număr aleatoriu:

(2)\Bob\la \{R_{B}\}\la Mallory\(Alice)

(2')\ Bob\to \{R_{B}'\}\to Mallory

Mallory ignoră numărul ei aleatoriu și îi trimite același mesaj lui Bob în ambele sesiuni - un număr aleatoriu destinat lui Alice, criptat cu cheia partajată a lui Mallory și Trent : $R_{B}$ $K_{M)$

(3)\Mallory\(Alice)\la \{E_{K_{M}}(R_{B})\}\la Bob

(3')\Mallory\la \{E_{K_{M}}(R_{B})\}\la Bob

Bob, urmând instrucțiunile protocolului și necomparând mesajele între ele, le trimite lui Trent, adăugând identificatori și criptându-le cu cheia lor comună : $K_{B}$

(4)\ Bob\to \{E_{K_{B}}(A,E_{K_{M}}(R_{B})\}\to Trent

(4')\ Bob\to \{E_{K_{B}}(M,E_{K_{M}}(R_{B})\}\to Trent

Trent în fiecare sesiune decriptează mesajul folosind cheia participantului al cărui ID l-a primit. Deoarece în prima sesiune a primit ID-ul lui Alice, iar numărul a fost criptat pe cheia lui Mallory , decriptarea va avea ca rezultat un număr diferit ("gunoi"). $R_{B}$ $K_{M)$

(5)\Trent\to \{{\text{''Trash''}}\}\to Bob

(5')\Trent\to \{E_{K_{B}}(R_{B})\}\to Bob

Bob vede într-unul dintre ultimele mesaje un număr aleatoriu pe care l-a trimis lui Alice (cum crede el), iar în celălalt - gunoi. Din această cauză, Bob crede că a stabilit o legătură cu Alice, chiar dacă Alice nu a participat deloc la mesaje. $R_{B}$

Secvența sesiunilor în acest caz nu este importantă - atacul se va dezvolta în același mod.

Abadie și Needham au propus o apărare împotriva acestui atac: Trent ar trebui să includă identificatorul lui Alice în mesajul de a 5-a trecere. În acest caz, Bob, după ce va primi identificatorul lui Mallory și numărul aleatoriu (pe care l-a trimis lui Alice), va renunța la un astfel de mesaj, iar atacul va eșua. $R_{B}$

Atacul asupra protocolului de autentificare reciprocă

Această versiune a protocolului este atacată și folosind o sesiune paralelă [7] .

Lasă-l pe Alice să inițieze o cerere de apel către Mallory. Apoi Mallory poate iniția o sesiune de comunicare paralelă cu Alice, poate stabili o conexiune în prima sesiune și amână a doua. După aceea, după ceva timp (chiar și după încheierea primei sesiuni), continuați stabilirea unei conexiuni în a doua sesiune și forțați-o pe Alice să accepte vechea cheie de sesiune (cea care a fost folosită în prima sesiune). De asemenea, trebuie să blocheze mesajele trimise de Trent către Alice, ceea ce înseamnă că Mallory trebuie să fie un criptoanalist activ.

Alice începe o sesiune de comunicare cu Mallory. Mallory răspunde prin începerea unei sesiuni cu Alice, trimițându-i același număr aleatoriu pe care l-a primit:

(1)\Alice\la \{A,R_{A}\}\la Mallory

(1')\Mallory\la \{M,R_{A}\}\la Alice

După aceea, Mallory așteaptă ca Alice să răspundă la mesajul ei din a doua sesiune, extrage un număr aleatoriu din acesta și îl introduce în mesajul către Alice în prima sesiune.

(2')\Alice\la \{A,R_{A'}\}\la Mallory

(2)\Mallory\la \{M,R_{A'}\}\la Alice

Alice și Mallory părăsesc apoi prima sesiune de protocol în mod normal:

(3)\Alice\la \{E_{K_{A}}(A,M,R_{A},R_{A'})\}\la Mallory

(4)\Mallory\la \{E_{K_{A}}(A,M,R_{A},R_{A'}), E_{K_{M}}(A,M,R_{ A},R_{A'})\}\la Trent

(5)\Trent\to\{E_{K_{A}}(M,R_{A},R_{A'},K),E_{K_{M}}(A,R_{A} ,R_{A'},K)\}\la Mallory

(6)\Mallory\la \{E_{K_{A}}(M,R_{A},R_{A'},K),E_{K}(R_{A},R_{A' })\}\la Alice

(7)\Alice\la \{E_{K}{R_{A'}}\}\la Mallory

După un timp, Mallory continuă să stabilească o a doua sesiune de comunicare:

(3')\Mallory\la \{E_{K_{M}}(M,A,R_{A},R_{A'})\}\la Alice

Alice trimite un mesaj serverului, pe care Mallory îl interceptează și îl blochează.

(4')\ Alice\to \{E_{K_{M}}(M,A,R_{A},R_{A'}), E_{K_{A}}(M,A,R_ {A},R_{A'})\}\la Mallory\ (Trent)

Mallory, în numele serverului, îi trimite lui Alice un mesaj cu vechea cheie de sesiune, pur și simplu schimbând părți ale mesajului din a 5-a trecere a primei sesiuni.

(5')\ Mallory\ (Trent)\la \{E_{K_{M}}(A,R_{A},R_{A'},K), E_{K_{A}}(M ,R_{A},R_{A'},K)\}\la Alice

Alice și Mallory completează apoi conexiunea.

(6')\ Alice\to \{E_{K_{M}}(A,R_{A},R_{A'},K),E_{K}(R_{A},R_{A '})\}\la Mallory

(7')\Mallory\la \{E_{K}(R_{A'})\}\la Alice

Note

^ Woo, Lam, Authentication for Distributed Systems, 1992 .
↑ Woo, Lam, Authentication Revisited, 1992 .
↑ Schneier, 2002 .
↑ Woo, Lam, O lecție despre designul protocolului de autentificare, 1994 .
↑ Abadi, Needham, 1996 .
↑ Mao, 2005 .
^ Clark, Jacob, A Survey of Authentication Protocol Literature, 1997 .

Literatură

Schneier B. Capitolul 3. Protocoale de bază. Protocol Wu-Lam // Criptografie aplicată. Protocoale, algoritmi, cod sursă în limbaj C = Criptografie aplicată. Protocoale, algoritmi și cod sursă în C. - M . : Triumph, 2002. - P. 85. - 816 p. - 3000 de exemplare. - ISBN 5-89392-055-4 .
M. Abadi, R. Needham. Practică de inginerie prudentă pentru protocoale criptografice // IEEE Transactions on Software Engineering. - 1996. - Vol. 22 , iss. 1 . - P. 6-15 . - doi : 10.1109/32.481513 .
Wenbo Mao. Criptografia modernă: teorie și practică / transl. din engleza. D. A. Klyushina .. - M . : Editura „Williams”, 2005. - S. 423-425 . — ISBN 5-8459-0847-7 .
TYC Woo, S.S. Lam. Autentificare pentru sisteme distribuite // Computer . - Los Alamitos, CA, SUA: IEEE Computer Society Press, 1992. - Vol. 25 , iss. 1 . - P. 39-52 . — ISSN 0018-9162 . - doi : 10.1109/2.108052 .
TYC Woo, S.S. Lam. Autentificare revizuită // Computer . - Los Alamitos, CA, SUA: IEEE Computer Society Press, 1992. - Vol. 25 , iss. 3 . — P. 10 . — ISSN 0018-9162 . - doi : 10.1109/2.121502 . Arhivat din original pe 24 mai 2010.

Protocoale de autentificare și schimb de chei
Cu algoritmi simetrici	Broasca cu gura lata Yahalom Protocolul Needham-Schroeder Protocolul Otway-Risa Kerberos Protocolul Newman-Stubblebine
Cu algoritmi simetrici si asimetrici	DASS Protocolul Denning-Sacco Protocolul Wu Lam SPKM
Protocoale și servicii utilizate pe Internet	OAuth Deschideți ID Windows Live ID