Протокол аутентификации с кdc. Протоколы Нидхэма-Шредера. Отуэя-Риса.
Аутентификация с помощью центра распространения ключей
Итак, установка общего секретного ключа с незнакомцем почти удалась. С другой стороны, вероятно, не следовало вообще этим заниматься. Чтобы общаться с т людьми, вам понадобится хранить п ключей. Для людей, чей круг общения широк, хранение ключей может превратиться в серьезную проблему, особенно если все эти ключи придется хранить на отдельных пластиковых картах.
Другой подход состоит в организации доверительного центра распространения ключей (KDC, key distribution center). При такой схеме у каждого пользователя всего один ключ, общий с KDC-центром. Операции с ключами аутентификации и сеансовыми ключами проходят через KDC-центр. Простейший протокол аутентификации с помощью центра распространения ключей, включающий две стороны и доверенный KDC-центр, изображен на рис. 8.35.
Рис. 8.35. Первая попытка протокола аутентификации с помощью KDC-центра
Идея, лежащая в основе протокола, проста: Алиса выбирает ключ сеанса, К5, и заявляет КОС-центру, что она желает поговорить с Бобом при помощи ключа К5. Это сообщение шифруется секретным ключом Кл, которым совместно владеют только Алиса и центр распространения ключей. Центр распространения ключей расшифровывает это сообщение и извлекает из него идентификатор личности Боба и ключ сеанса. Затем он формирует новое сообщение, содержащее идентификатор личности Алисы и ключ сеанса, и посылает его Бобу. Это сообщение зашифровывается ключом Кв — секретным ключом, общим для Боба и центра распространения ключей. Расшифровав это сообщение, Боб узнает, что Алиса желает с ним поговорить и какой ключ она хочет использовать.
Работа протокола начинается с того, что Алиса сообщает КОС-центру, что она желает поговорить с Бобом. Это сообщение содержит в качестве нонса большое случайное число КА. Центр распространения ключей посылает обратно сообщение 2, содержащее случайное число Алисы, ключ сеанса и так называемый билет, который она может послать Бобу. Цель посылки случайного числа КА состоит в том, чтобы убедить Алису в том, что сообщение 2 является свежим, а не повторно воспроизведенным. Идентификатор Боба также помещается в сообщение 2 на случай, если злоумышленник (Труди) вздумает заменить его идентификатор на свой в сообщении 1, так чтобы КБС-центр зашифровал билет в конце сообщения 2 ключом Кт (ключ Труди) вместо Къ. Билет, зашифрованный ключом Кв, помещается внутри зашифрованного сообщения, чтобы злоумышленник не смог заменить его чем-либо другим, пока сообщение 2 добирается до Алисы.
Рис. 8.36. Протокол аутентификации Нидхэма—Шредера
Затем Алиса посылает билет Бобу вместе с новым случайным числом RA2, зашифрованным ключом сеанса Ks. В сообщении 4 Боб посылает обратно KS(RA2-1), чтобы доказать Алисе, что она разговаривает с настоящим Бобом. Отсылать обратно просто Ks(Ra2) бессмысленно, так как это число могло быть украдено злоумышленником из сообщения 3.
Получив сообщение 4, Алиса убеждается, что разговаривает с Бобом и что до сих пор не было использовано повторных сообщений. Между отправкой случайного числа Ra2 и получением ответа на него в виде KS(RA2-1) проходит довольно короткий промежуток времени. Цель сообщения 5 — убедить Боба, что он действительно разговаривает с Алисой и что в этом сеансе связи также отсутствуют повторно воспроизведенные данные. Возможность атаки с помощью повторного воспроизведения ранее записанной информации исключается этим протоколом благодаря тому, что каждая сторона формирует оклик другой стороны и получает на него отзыв.
Несмотря на всю кажущуюся солидность протокола, в нем, тем не менее, имеется небольшое слабое место. Если злоумышленнику удастся каким-либо способом раздобыть старый ключ сеанса Ks, он сможет инициировать новый сеанс с Бобом, повторно воспроизведя сообщение 3 с использованием скомпрометированного ключа, и выдать себя за Алису (Denning и Sacco, 1981). На этот раз злоумышленник может украсть деньги со счета Алисы, даже не выполнив никаких услуг.
Позднее Нидхэм и Шрёдер опубликовали протокол, решающий эту проблему (Needham и Shroeder, 1987). В том же выпуске того же журнала Отуэй (Otway) и Рис (Rees) также опубликовали протокол, решающий эту проблему более коротким путем. На рис. 8.37 показан слегка видоизмененный протокол Отуэя—Риса.
Рис. 8.37. Протокол аутентификации Отуэя—Риса (слегка упрощенный)
В протоколе Отуэя—Риса Алиса начинает с формирования пары случайных номеров: II, который будет использоваться в качестве общего идентификатора, и ЛА, который Алиса будет использовать в качестве оклика Боба. Получив это сообщение, Боб формирует новое сообщение из зашифрованной части сообщения Алисы и аналогичной собственной части. Обе части сообщения, зашифрованные ключами КА и Кв, идентифицируют Алису и Боба, содержат общий идентификатор и оклики.
Центр распространения ключей проверяет, совпадают ли общие идентификаторы II в обеих частях сообщения. Они могут не совпадать, если злоумышленник подменил II в сообщении 1 или заменил часть сообщения 2. Если оба общих идентификатора II совпадают, КОС-цептр считает сообщение, полученное от Боба, достоверным. Затем он формирует ключ сеанса К^ и отправляет его Алисе и Бобу, зашифровав ключ сеанса ключами Алисы и Боба. Каждое сообщение также содержит случайное число получателя в доказательство того, что эти сообщения посланы КБС-цептром, а не злоумышленником. К этому моменту Алиса и Боб обладают одним и тем же ключом сеанса и могут начать обмен информацией. После первого же обмена данными они увидят, что обладают одинаковыми копиями ключа сеанса К5, на чем процесс аутентификации можно будет считать завершенным.