Wu Lam-protokollen

Den aktuelle version af siden er endnu ikke blevet gennemgået af erfarne bidragydere og kan afvige væsentligt fra den version , der blev gennemgået den 7. januar 2022; checks kræver 8 redigeringer . Kryptografiske notationer, der bruges i godkendelses- og nøgleudvekslingsprotokoller

$EN$	Identifikatorer for Alice ( Alice ), initiativtageren til sessionen
$B$	Identifikator for Bob ( Bob ), den side, hvorfra sessionen er etableret
$T$	Identifikator for Trent ( Trent ), en betroet mellempart
$K_{A},K_{B},K_{T}$	Alice, Bob og Trents offentlige nøgler
$K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}$	Alice, Bob og Trents hemmelige nøgler
$E_{A},\venstre\{...\right\}_{K_{A}}$	Kryptering af data med Alices nøgle, eller Alice og Trents fælles nøgle
$E_{B},\venstre\{...\højre\}_{K_{B}}$	Kryptering af data med Bobs nøgle eller Bob og Trents fælles nøgle
$\left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}$	Datakryptering med hemmelige nøgler af Alice, Bob (digital signatur)
$jeg$	Sessionssekvensnummer (for at forhindre gentagelsesangreb)
$K$	Tilfældig sessionsnøgle, der skal bruges til symmetrisk datakryptering
$E_{K},\venstre\{...\højre\}_{K}$	Kryptering af data med en midlertidig sessionsnøgle
$T_{A},T_{B}$	Tidsstempler føjet til beskeder af henholdsvis Alice og Bob
$R_{A},R_{B}$	Tilfældige tal ( nonce ), der blev valgt af henholdsvis Alice og Bob
$K_{A},K_{B},K_{T}$	Alice, Bob og Trents prægenererede henholdsvis offentlige og private nøglepar
$K_{p}$	Tilfældig session offentligt/privat nøglepar, der skal bruges til asymmetrisk kryptering
$S_{A},S_{B},$ $S_{T},S_{K_{p))$	Signering af data ved hjælp af den private nøgle fra Alice, Bob, den mellemliggende part ( Trent ) eller en privat nøgle fra et tilfældigt par, hhv.
$E_{K_{A)),E_{K_{B)),$ $E_{K_{T)),E_{K_{p))$	Asymmetrisk datakryptering ved hjælp af den offentlige nøgle fra henholdsvis Alice, Bob, en mellempart ( Trent ) eller en offentlig nøgle fra et tilfældigt par

Wu-Lam- protokollen er en godkendelses- og nøgleudvekslingsprotokol. Som i tilfældet med DASS -protokollen, vedligeholder mellemparten - Trent - en database med alle nøgler.

Symmetrisk version af protokollen

Protokollen blev beskrevet af Thomas Wu og Simon Lam i 1992 1]2]

Alice sender sit ID til Bob:

(1)\Alice\to \{A\}\to Bob

Bob sender et tilfældigt tal til Alice:

(2)\ Bob\to \{R_{B}\}\to Alice

Alice sender dette nummer til Bob og krypterer det med hendes og Trents fælles nøgle:

(3)\ Alice\to \{E_{K_{A}}(R_{B})\}\to Bob

Bob sender Trent en besked krypteret på hans og Trents nøgle, som indeholder Alices identifikator og hendes besked modtaget af Bob ved 3. pass:

(4)\ Bob\to \{E_{K_{B}}(A,E_{K_{A}}(R_{B}))\}\to Trent

Trent dekrypterer beskeden med Alices nøgle, krypterer den med Bobs nøgle og sender ham:

(5)\Trent\to \{E_{K_{B}}(R_{B})\}\to Bob

Asymmetrisk version af protokollen

Alice sender en besked til Trent med hendes ID og Bob:

Alice\til \venstre\{A,B\højre\}\til Trent

Trent sender Bobs offentlige nøgle til Alice og signerer den med sin private nøgle:

Trent\to \left\{S_{T}\left(K_{B}\right)\right\}\to Alice

Alice verificerer signaturen og sender derefter Bob hendes ID og et tilfældigt nummer, krypteret med Bobs offentlige nøgle

Alice\to \left\{E_{K_{B}}\left(A,R_{A}\right)\right\}\to Bob

Bob sender sit ID og Alices ID til Trent, samt Alices tilfældige nummer krypteret med Trents offentlige nøgle:

Bob\to \left\{A,B,E_{K_{T}}\left(R_{A}\right)\right\}\to Trent

Trent sender to beskeder til Bob. Den første indeholder Alices offentlige nøgle signeret med Trents nøgle. Den anden indeholder Alices tilfældige nummer, en tilfældig sessionsnøgle og id'erne for Bob og Alice. Den anden besked er signeret med Trents nøgle og krypteret med Bobs offentlige nøgle:

Trent\to \left\{S_{T}\left(K_{A}\right),E_{K_{B}}\left(S_{T}\left(R_{A},K,A ,B\right)\right)\right\}\til Bob

Bob godkender meddelelser ved hjælp af Trents offentlige nøgle. Derefter sender han Alice den anden del af beskeden fra Trent (sammen med sin signatur), supplerer den med sit eget tilfældige nummer og krypterer den med Alices offentlige nøgle:

Bob\to \left\{E_{K_{A}}\left(S_{T}\left(R_{A},K,A,B\right),R_{B}\right)\right \}\til Alice

Alice tjekker Trents underskrift og matcher hendes tilfældige nummer. Derefter sender den Bob sit tilfældige nummer og krypterer det med sessionsnøglen:

Alice\to \left\{E_{K}\left(R_{B}\right)\right\}\to Bob

Bob afkoder nummeret og sørger for, at det ikke har ændret sig [3] .

Gensidig godkendelse og nøgledistributionsprotokol

Denne protokol, baseret på symmetrisk kryptografi, blev beskrevet af Wu og Lam i 1994 [4] .

Alice genererer et tilfældigt tal og sender sit ID og dette nummer til Bob: $R_{A}$

(1)\Alice\til \{A,R_{A}\}\til Bob

Bob genererer også et tilfældigt tal og sender sit ID og dette nummer til Alice: $R_{B}$

(2)\ Bob\til \{B,R_{B}\}\til Alice

Alice sender hende og hans id'er og tilfældige numre til Bob og krypterer beskeden med hendes og Trents fælles nøgle:

(3)\ Alice\to \{E_{K_{A}}(A,B,R_{A},R_{B})\}\to Bob

Bob sender to beskeder til Trent. Den første er beskeden modtaget fra Alice. Den anden er den samme information som i beskeden fra Alice (både identifikatorer og tilfældige tal), men krypteret på hans nøgle med Trent:

(4)\ Bob\to \{E_{K_{A}}(A,B,R_{A},R_{B}),E_{K_{B}}(A,B,R_{A },R_{B})\}\to Trent

Trent dekrypterer beskeder fra Bob, finder ud af ID'er og tilfældige antal deltagere, genererer derefter en sessionsnøgle og sender to beskeder til Bob. Den første besked indeholder Bobs ID, begge tilfældige tal, og sessionsnøglen krypteret med Alices nøgle. Den anden besked indeholder Alices ID, både tilfældige tal og sessionsnøglen, krypteret med Bobs nøgle: $K$

(5)\ Trent\to \{E_{K_{A}}(B,R_{A},R_{B},K),E_{K_{B}}(A,R_{A}, R_{B},K)\}\til Bob

Bob sender to beskeder til Alice. Den første er den første besked, der blev modtaget på det forrige pas fra Trent. Den anden er både tilfældige tal ( og ) krypteret med sessionsnøglen: $R_{A}$ $R_{B}$

(6)\ Bob\to \{E_{K_{A}}(B,R_{A},R_{B},K),E_{K}(R_{A},R_{B}) \}\til Alice

Alice dekrypterer den første besked, henter nøglen , dekrypterer den anden besked og sender Bob sit tilfældige nummer: $K$

(7)\ Alice\to \{E_{K}(R_{B})\}\to Bob

Protokolangreb

Angreb på den symmetriske version af protokollen

Der er et parallelt sessionsangreb på den symmetriske version af Wu-Lam-protokollen, beskrevet af Abadie og Needham [5] [6] .

Mallory er bruger af systemet og deler en nøgle med Trent. Hun skal også blokere alle beskeder, der sendes til Alice, det vil sige, Mallory skal være en aktiv kryptanalytiker.

Mallory starter to sessioner - en på vegne af Alice og en på hendes vegne - og sender to beskeder til Bob:

(1)\ Mallory\ (Alice)\to \{A\}\to Bob

(1')\Mallory\to \{M\}\to Bob

Bob tror, at Alice og Mallory vil kontakte ham, og sender hver sit tilfældige nummer:

(2)\ Bob\to \{R_{B}\}\to Mallory\ (Alice)

(2')\ Bob\to \{R_{B}'\}\to Mallory

Mallory ignorerer sit tilfældige nummer og sender den samme besked til Bob i begge sessioner - et tilfældigt tal beregnet til Alice, krypteret med Mallory og Trents fælles nøgle : $R_{B}$ ${\displaystyle K_{M))$

(3)\ Mallory\ (Alice)\til \{E_{K_{M}}(R_{B})\}\til Bob

(3')\ Mallory\to \{E_{K_{M}}(R_{B})\}\to Bob

Bob, der følger instruktionerne i protokollen og ikke sammenligner meddelelserne med hinanden, sender dem til Trent, tilføjer identifikatorer og krypterer dem med deres fælles nøgle : $K_{B}$

(4)\ Bob\to \{E_{K_{B}}(A,E_{K_{M}}(R_{B})\}\to Trent

(4')\ Bob\to \{E_{K_{B}}(M,E_{K_{M}}(R_{B})\}\to Trent

Trent i hver session dekrypterer beskeden ved hjælp af nøglen til den deltager, hvis id han modtog. Da han i den første session modtog Alices ID, og nummeret blev krypteret på Mallorys nøgle , vil dekryptering resultere i et andet nummer ("skrald"). $R_{B}$ ${\displaystyle K_{M))$

(5)\ Trent\to \{{\text{''Trash''}}\}\to Bob

(5')\Trent\to \{E_{K_{B}}(R_{B})\}\to Bob

Bob ser i en af de sidste beskeder et tilfældigt tal , som han sendte til Alice (som han tror), og i den anden - skrald. På grund af dette mener Bob, at han har etableret en forbindelse med Alice, selvom Alice slet ikke deltog i beskeden. $R_{B}$

Sekvensen af sessioner i dette tilfælde er ikke vigtig - angrebet vil udvikle sig på samme måde.

Abadie og Needham foreslog et forsvar mod dette angreb: Trent skulle inkludere Alices identifikator i den 5. pass-meddelelse. I dette tilfælde vil Bob, efter at have modtaget Mallorys identifikator og det tilfældige nummer (som han sendte til Alice), kassere en sådan besked, og angrebet vil mislykkes. $R_{B}$

Angreb på den gensidige autentificeringsprotokol

Denne version af protokollen angribes også ved hjælp af en parallel session [7] .

Lad Alice indlede en opkaldsanmodning til Mallory. Så kan Mallory indlede en parallel kommunikationssession med Alice, etablere en forbindelse i den første session og udsætte den anden. Derefter, efter et stykke tid (selv efter afslutningen af den første session), fortsæt med at etablere en forbindelse i den anden session og tving Alice til at acceptere den gamle sessionsnøgle (den, der blev brugt i den første session). Hun skal også blokere beskeder sendt af Trent til Alice, hvilket betyder, at Mallory skal være en aktiv kryptanalytiker.

Alice begynder en kommunikationssession med Mallory. Mallory svarer ved at starte en session med Alice ved at sende hende det samme tilfældige nummer, som hun modtog:

(1)\ Alice\to \{A,R_{A}\}\to Mallory

(1')\ Mallory\to \{M,R_{A}\}\to Alice

Derefter venter Mallory på, at Alice svarer på hendes besked fra den anden session, trækker et tilfældigt tal fra den og indsætter det i beskeden til Alice i den første session.

(2')\ Alice\to \{A,R_{A'}\}\to Mallory

(2)\ Mallory\til \{M,R_{A'}\}\til Alice

Alice og Mallory afslutter derefter den første protokolsession normalt:

(3)\ Alice\to \{E_{K_{A}}(A,M,R_{A},R_{A'})\}\to Mallory

(4)\ Mallory\to \{E_{K_{A}}(A,M,R_{A},R_{A'}),E_{K_{M}}(A,M,R_{ A},R_{A'})\}\to Trent

(5)\ Trent\to \{E_{K_{A}}(M,R_{A},R_{A'},K),E_{K_{M}}(A,R_{A} ,R_{A'},K)\}\to Mallory

(6)\ Mallory\to \{E_{K_{A}}(M,R_{A},R_{A'},K),E_{K}(R_{A},R_{A' })\}\til Alice

(7)\ Alice\to \{E_{K}{R_{A'}}\}\to Mallory

Efter et stykke tid fortsætter Mallory med at etablere en anden kommunikationssession:

(3')\ Mallory\to \{E_{K_{M}}(M,A,R_{A},R_{A'})\}\til Alice

Alice sender en besked til serveren, som Mallory opsnapper og blokerer.

(4')\ Alice\to \{E_{K_{M}}(M,A,R_{A},R_{A'}),E_{K_{A}}(M,A,R_ {A},R_{A'})\}\to Mallory\ (Trent)

Mallory, på vegne af serveren, sender Alice en besked med den gamle sessionsnøgle, blot ved at bytte dele af beskeden fra det 5. gennemløb af den første session.

(5')\ Mallory\ (Trent)\til \{E_{K_{M}}(A,R_{A},R_{A'},K),E_{K_{A}}(M ,R_{A},R_{A'},K)\}\til Alice

Alice og Mallory afslutter derefter forbindelsen.

(6')\ Alice\to \{E_{K_{M}}(A,R_{A},R_{A'},K),E_{K}(R_{A},R_{A '})\}\to Mallory

(7')\ Mallory\to \{E_{K}(R_{A'})\}\til Alice

Noter

↑ Woo, Lam, Authentication for Distributed Systems, 1992 .
↑ Woo, Lam, Authentication Revisited, 1992 .
↑ Schneier, 2002 .
↑ Woo, Lam, En lektion om design af autentificeringsprotokol, 1994 .
↑ Abadi, Needham, 1996 .
↑ Mao, 2005 .
↑ Clark, Jacob, A Survey of Authentication Protocol Literature, 1997 .

Litteratur

Schneier B. Kapitel 3. Grundlæggende protokoller. Wu-Lam Protocol // Anvendt kryptografi. Protokoller, algoritmer, kildekode i C-sprog = Applied Cryptography. Protokoller, algoritmer og kildekode i C. - M. : Triumph, 2002. - S. 85. - 816 s. - 3000 eksemplarer. - ISBN 5-89392-055-4 .
M. Abadi, R. Needham. Forsigtig ingeniørpraksis for kryptografiske protokoller // IEEE Transactions on Software Engineering. - 1996. - Bd. 22 , udg. 1 . - S. 6-15 . - doi : 10.1109/32.481513 .
Wenbo Mao. Moderne kryptografi: teori og praksis / oversættelse. fra engelsk. D. A. Klyushina .. - M . : Publishing House "Williams", 2005. - S. 423-425 . — ISBN 5-8459-0847-7 .
TYC Woo, S.S. Lam. Godkendelse for distribuerede systemer // Computer . - Los Alamitos, CA, USA: IEEE Computer Society Press, 1992. - Vol. 25 , iss. 1 . - S. 39-52 . — ISSN 0018-9162 . - doi : 10.1109/2.108052 .
TYC Woo, S.S. Lam. Authentication Revisited // Computer . - Los Alamitos, CA, USA: IEEE Computer Society Press, 1992. - Vol. 25 , iss. 3 . — S. 10 . — ISSN 0018-9162 . - doi : 10.1109/2.121502 . Arkiveret fra originalen den 24. maj 2010.

Autentificering og nøgleudvekslingsprotokoller
Med symmetriske algoritmer	Bred Mund Frø Yahalom Needham-Schroeder-protokollen Otway-Risa-protokollen Kerberos Newman-Stubblebine-protokollen
Med symmetriske og asymmetriske algoritmer	DASS Denning-Sacco-protokollen Wu Lam-protokollen SPKM
Protokoller og tjenester, der bruges på internettet	OAuth Åbn ID Windows Live ID