Protocolo Denning-Sacco

Notaciones criptográficas utilizadas en protocolos de autenticación e intercambio de claves

$A$	Identificadores de Alice ( Alice ), la iniciadora de la sesión
$B$	Identificador de Bob ( Bob ), el lado desde el que se establece la sesión
$T$	Identificador de Trent ( Trent ), una parte intermediaria de confianza
$K_{A},K_{B},K_{T}$	Las claves públicas de Alice, Bob y Trent
$K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}$	Claves secretas de Alice, Bob y Trent
$E_{A},\izquierda\{...\derecha\}_{K_{A}}$	Cifrado de datos con la clave de Alice o la clave conjunta de Alice y Trent
$E_{B},\izquierda\{...\derecha\}_{K_{B}}$	Cifrado de datos con la clave de Bob o la clave conjunta de Bob y Trent
$\izquierda\{...\derecha\}_{K_{B}^{-1}},\izquierda\{...\derecha\}_{K_{A}^{-1}}$	Cifrado de datos con claves secretas de Alice, Bob (firma digital)
$yo$	Número de secuencia de la sesión (para evitar ataques de reproducción)
$k$	Clave de sesión aleatoria que se utilizará para el cifrado de datos simétrico
$E_{K},\izquierda\{...\derecha\}_{K}$	Cifrado de datos con una clave de sesión temporal
$T_{A},T_{B}$	Marcas de tiempo añadidas a los mensajes por Alice y Bob respectivamente
$R_{A},R_{B}$	Números aleatorios ( nonce ) que fueron elegidos por Alice y Bob respectivamente
$K_{A},K_{B},K_{T}$	Pares de claves públicas y privadas pregeneradas de Alice, Bob y Trent, respectivamente
$K_{p}$	Par de claves pública/privada de sesión aleatoria que se utilizará para el cifrado asimétrico
$S_{A},S_{B},$ $S_{T},S_{K_{p))$	Firma de datos utilizando la clave privada de Alice, Bob, la parte intermedia ( Trent ) o una clave privada de un par aleatorio, respectivamente
$E_{K_{A)),E_{K_{B)),$ $E_{K_{T)),E_{K_{p))$	Cifrado de datos asimétrico utilizando la clave pública de Alice, Bob, una parte intermedia ( Trent ) o una clave pública de un par aleatorio, respectivamente

El protocolo Denning-Sacco [1] es un nombre común para los protocolos de distribución de claves de partes confiables simétricos y asimétricos .

Historia

En 1981, los empleados de la Universidad de Purdue Dorothy E. Denning y Giovanni Maria Sacco presentaron un ataque al protocolo Needham-Schroeder y propusieron su propia modificación del protocolo basada en el uso de etiquetas de tiempo [2] .

Protocolo Denning-Sacco de clave simétrica

Con el cifrado simétrico , se supone que la clave secreta que pertenece al cliente solo la conocen él y un tercero de confianza: el servidor de autenticación. Durante la ejecución del protocolo, los clientes (Alice, Bob) reciben del servidor de autenticación (Trent) una nueva clave de sesión secreta para cifrar los mensajes mutuos en la sesión de comunicación actual. Considere la implementación del protocolo Denning-Sacco con una clave simétrica [3] :

$Alicia\a\izquierda\{A,B\derecha\}\a Trent$
$Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\a Alicia$
$Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob$

Descripción

El primer mensaje de Alice a Trent contiene los identificadores de los participantes en el próximo intercambio: Alice y Bob. Este mensaje se envía en texto sin cifrar:

$Alicia\a\izquierda\{A,B\derecha\}\a Trent$

Trent genera una clave de sesión y le envía a Alice un mensaje encriptado que incluye la ID de Bob, la clave de sesión, la marca de tiempo y un paquete que actúa como certificado de Alice: $k$ $\left\{A,K,T_{T}\right\}_{K_{B}}$

$Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\a Alicia$

Luego, Alice descifra el mensaje de Trent y envía su certificado a Bob : $\left\{A,K,T_{T}\right\}_{K_{B}}$

$Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob$

Al final del protocolo, Alice y Bob tienen una clave de sesión compartida . $k$

Alice y Bob pueden verificar que los mensajes que reciben son válidos comprobando las marcas de tiempo . $T_{T}$

Ataque de protocolo

En 1997, Gavin Lowe presentó un ataque al protocolo [4] :

Alice y Bob finalizan la sesión del protocolo, como resultado de lo cual se genera la clave de sesión para las partes : $k$

una.

Alicia\a\izquierda\{A,B\derecha\}\a Trent

Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\a Alicia

Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

El atacante luego repite el último mensaje de Alice:

cuatro

Atacante\a \izquierda\{A,K,T_{T}\derecha\}_{K_{B}}\a Bob

Las acciones del atacante llevan a Bob a decidir que Alice quiere establecer una nueva conexión con él.

Modificación de protocolo

En el mismo trabajo, Low propuso una modificación de protocolo que proporciona la autenticación de Alice a Bob [4] :

Primero, Alice y Bob repiten toda la sesión del protocolo:

una.

Alicia\a\izquierda\{A,B\derecha\}\a Trent

Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{ A}}\a Alicia

Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob

Luego, Bob genera un número aleatorio, lo cifra con la clave de sesión y se lo envía a Alice: $k$

cuatro

Bob\a \izquierda\{R_{B}\derecha\}_{K}\a Alice

Alice descifra el mensaje de Bob, le agrega 1 , cifra el resultado con la clave de sesión y envía a Bob: $R_{B}$ $k$

Alicia\a \izquierda\{R_{B}+1\derecha\}_{K}\a Bob

Después de que Bob descifra el mensaje de Alice, puede verificar que Alice posee la clave de sesión .

k

En el marco del protocolo, Bob no confirma de ninguna manera la recepción de una nueva clave de sesión y la capacidad de operar con ella. El mensaje de Alice en el quinto pase podría haber sido interceptado o modificado por un atacante. Pero Alice ya no espera ninguna respuesta de Bob y está segura de que el protocolo se completó con éxito. $k$

Protocolo de clave pública Denning-Sacco

Una versión asimétrica del protocolo Denning-Sacco. El servidor de autenticación posee las claves públicas de todos los clientes. Considere la implementación del protocolo Denning-Sacco con una clave pública [5] :

$Alicia\a\izquierda\{A,B\derecha\}\a Trent$
$Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\a Alicia$
$Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\derecha),S_{T}\izquierda(B,K_{B},T_{T}\derecha)\derecha\}\a Bob$

Descripción

El primer mensaje de Alice a Trent contiene los identificadores de los participantes en el próximo intercambio: Alice y Bob. Este mensaje se envía en texto sin cifrar:

Alicia\a\izquierda\{A,B\derecha\}\a Trent

En respuesta, Trent envía a Alice los certificados de clave pública firmados por Alice y Bob. Además, se agregan marcas de tiempo a cada certificado:

Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\a Alicia

Alice genera una nueva clave de sesión y se la envía a Bob junto con una marca de tiempo , la firma con su clave y la cifra con la clave pública de Bob, junto con los dos mensajes recibidos de Trent: $k$ $EJÉRCITO DE RESERVA}$

Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\derecha),S_{T}\izquierda(B,K_{B},T_{T}\derecha)\derecha\}\a Bob

Bob verifica la firma de la CA en el certificado , descifra la clave de sesión y verifica la firma de Alice. $S_{T}\left(A,K_{A},T_{T}\right)$ $k$

Ataque de protocolo

Abadi y Needham describieron un ataque al protocolo [6] en el que Bob, al recibir un mensaje de Alice, puede hacerse pasar por ella en una sesión con otro usuario. La ausencia del identificador de Bob en el mensaje de Alice hace que Bob pueda utilizar los datos recibidos de Alice para suplantar a Alice en una nueva sesión con un tercero (Clara). $E_{K_{B}}\left(S_{A}\left(K,T_{A}\right)\right)$

Primero, Alice y Bob realizan una sesión de protocolo estándar generando una nueva clave de sesión : $k$

una.

Alicia\a\izquierda\{A,B\derecha\}\a Trent

Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T} \right)\right\}\a Alicia

Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\derecha),S_{T}\izquierda(B,K_{B},T_{T}\derecha)\derecha\}\a Bob

Bob luego inicia una nueva sesión con Clara y sigue el protocolo:

cuatro

Bob\to \left\{B,C\right\}\to Trent

Trent\to \left\{S_{T}\left(B,K_{B},T_{T}\right),S_{T}\left(C,K_{C},T_{T} \right)\right\}\a Bob

En el último paso del protocolo, Bob reproduce los mensajes recibidos de Alice en una sesión con Clara : ${\ estilo de visualización S_ {A} \ izquierda (K, T_ {A} \ derecha)}$ $S_{T}\left(A,K_{A},T_{T}\right)$

Bob\to \left\{E_{C}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A} ,T_{T}\derecha),S_{T}\izquierda(C,K_{C},T_{T}\derecha)\derecha\}\a Clara

Clara verifica con éxito la firma de la CA en el certificado , descifra la clave de sesión y verifica la firma de Alice. Como resultado, Clara está segura de haber establecido una sesión de comunicación con Alice, ya que todos los pasos necesarios del protocolo se realizaron correctamente y todos los mensajes fueron correctos. $S_{T}\left(A,K_{A},T_{T}\right)$ $k$

Notas

↑ Davydov A. N. Ataques a protocolos de establecimiento clave // Seguridad de las tecnologías de la información: Actas de la conferencia científica y técnica / ed. Volchikhina V. I., Zefirova S. L. - Penza: Editorial del Instituto Electrotécnico de Investigación de Penza, 2004. - Diciembre ( vol. 5 ). - S. 99-104 . Archivado desde el original el 19 de agosto de 2019. (Ruso)
↑ Denning, Sacco, 1981 .
↑ Mao, 2005 , pág. 79.
↑ 1 2 Lowe, 1997 , El protocolo de clave compartida Denning-Sacco, págs. 4-5.
↑ Mao, 2005 , pág. 429.
↑ Abadi, Needham, 1996 .

Literatura

Dorothy E. Denning, Giovanni María Sacco. Marcas de tiempo en protocolos de distribución de claves // Commun . ACM. - Nueva York, NY, EE. UU.: ACM, 1981. - Vol. 24 , edición. agosto de 1981 , n. 8 _ - Pág. 533-536 . — ISSN 0001-0782 . -doi : 10.1145/ 358722.358740 .
Gavin Lowe. Una familia de ataques a los protocolos de autenticación . - Departamento de Matemáticas e Informática, 1997.
M. Abadi, R. Needham. Práctica de ingeniería prudente para protocolos criptográficos // Transacciones IEEE en ingeniería de software. - 1996. - enero ( vol. 22 , n. 1 ).
Schneier B. Criptografía aplicada. Protocolos, algoritmos, código fuente en lenguaje C = Criptografía Aplicada. Protocolos, Algoritmos y Código Fuente en C. - M. : Triumph, 2002. - 816 p. - 3000 copias. - ISBN 5-89392-055-4 .
Wenbo Mao. Criptografía moderna: teoría y práctica = Criptografía moderna: teoría y práctica. - Editorial Williams, 2005. - ISBN 5-8459-0847-7 .

Protocolos de autenticación e intercambio de claves
Con algoritmos simétricos	Rana de boca ancha Yahalom Protocolo de Needham-Schroeder Protocolo Otway-Risa Kerberos Protocolo Newman-Stubblebine
Con algoritmos simétricos y asimétricos	DASS Protocolo Denning-Sacco Protocolo Wu Lam SPKM
Protocolos y servicios utilizados en Internet	OAuth identificación abierta Identificación de Windows Live