Типичные дефекты в криптографических протоколах

Мовсковский Институт Радиотехники, Электроники и АвтоМатики

 (технический университет).

Курсовая работа

На тему:

“ТИПИЧНЫЕ ДЕФЕКТЫ В КРИПТОГРАФИЧЕСКИХ ПРОТОКОЛАХ”.

Группа: ВИ-1-96

Студент: Матюшенков А.В.

Руководитель: Зязин В. П.

Москва 2000 год.

Введение.

В настоящий момент известно более тридцати криптографических протоколов, которые предположительно считались безопасными. Часть из них носит имена своих авторов, другая часть рекомендована международными стандартами МККТТ и ISO, третья - входит в национальные стандарты различных стран. Однако стандарты быстро устаревают, а в протоколах обнаруживаются дефекты разной степени тяжести, начиная от недостатков типа необоснованной сложности протокола и до катастрофических недостатков, делающих протокол крайне опасным. Здесь рассматриваются лишь несколько наиболее ярких примеров криптографических протоколов с дефектами и атаками, использующими эти дефекты.

Каждый протокол сначала кратко описывается словами с помощью рисунка для наглядности идеи протокола, затем представляется формальный текст протокола, уточняющий спецификацию протокола. Формальный текст протокола пишется на языке высокого уровня, получившем довольно широкое распространение в литературе по безопасности протоколов. Наконец, на этом же языке указываются одна - две атаки противника (нарушителя), использующие некоторые дефекты протокола. Следует заметить, что эти атаки часто оказываются возможными только благодаря недостаточно полной спецификации протокола; точнее, благодаря тому, что из множества возможных спецификаций протокола реализуется наиболее естественная, но неудачная. Это означает, что при более внимательном выборе спецификации протокола, с учетом знания отрицательных прецедентов, указанные атаки, возможно, окажутся нереализуемыми или неэффективными.

В настоящее время, видимо, нет надежной, систематической методологии для построения безопасных коммуникационных протоколов, а очень большое число коммерческих протоколов, которые считались предположительно безопасными, в действительности оказались уязвимыми со стороны широкого спектра эффективных атак. От прикладных программистов нельзя требовать построения безопасных протоколов. Это дело профессиональных криптографов. Однако, полная спецификация протокола, видимо, должна разрабатываться совместно криптографом и программистом, а лучше, если это будет один и тот же человек.

Классификация криптографических протоколов

Протоколы шифрования / расшифрования: в основе протокола этого класса содержится некоторый симметричный или асимметричный алгоритм шифрования / расшифрования. Алгоритм шифрования выполняется на передаче отправителем сообщения, в результате чего сообщение преобразуется из открытой формы в шифрованную. Алгоритм расшифрования выполняется на приеме получателем, в результате чего сообщение преобразуется из шифрованной формы в открытую. Так обеспечивается свойство конфиденциальности.

Для обеспечения свойства целостности передаваемых сообщений симметричные алгоритмы шифрования / расшифрования, обычно, совмещаются с алгоритмами вычисления имитозащитной вставки (ИЗВ) на передаче и проверки ИЗВ на приеме, для чего используется ключ шифрования. При использовании асимметричных алгоритмов шифрования / расшифрования свойство целостности обеспечивается отдельно путем вычисления электронной цифровой подписи (ЭЦП) на передаче и проверки ЭЦП на приеме, чем обеспечиваются также свойства безотказности и аутентичности принятого сообщения.

Протоколы электронной цифровой подписи (ЭЦП): в основе протокола этого класса содержится некоторый алгоритм вычисления ЭЦП на передаче с помощью секретного ключа отправителя и проверки ЭЦП на приеме с помощью соответствующего открытого ключа, извлекаемого из открытого справочника, но защищенного от модификаций. В случае положительного результата проверки протокол, обычно, завершается операцией архивирования принятого сообщения, его ЭЦП и соответствующего открытого ключа. Операция архивирования может не выполняться, если ЭЦП используется только для обеспечения свойств целостности и аутентичности принятого сообщения, но не безотказности. В этом случае, после проверки, ЭЦП может быть уничтожена сразу или по прошествии ограниченного промежутка времени ожидания.

Протоколы идентификации / аутентификации: в основе протокола идентификации содержится некоторый алгоритм проверки того факта, что идентифицируемый объект (пользователь, устройство, процесс, ... ), предъявивший некоторое имя (идентификатор), знает секретную информацию, известную только заявленному объекту, причем метод проверки является, конечно, косвенным, т.е. без предъявления этой секретной информации.

Обычно с каждым именем (идентификатором) объекта связывается перечень его прав и полномочий в системе, записанный в защищенной базе данных. В этом случае протокол идентификации может быть расширен до протокола аутентификации, в котором идентифицированный объект проверяется на правомочность заказываемой услуги.

Если в протоколе идентификации используется ЭЦП, то роль секретной информации играет секретный ключ ЭЦП, а проверка ЭЦП осуществляется с помощью открытого ключа ЭЦП, знание которого не позволяет определить соответствующий секретный ключ, но позволяет убедиться в том, что он известен автору ЭЦП.

Протоколы аутентифицированного распределения ключей: протоколы этого класса совмещают аутентификацию пользователей с протоколом генерации и распределения ключей по каналу связи. Протокол имеет двух или трех участников; третьим участником является центр генерации и распределения ключей (ЦГРК), называемый для краткости сервером S.

Протокол состоит из трех этапов, имеющих названия: генерация, регистрация и коммуникация.

На этапе генерации сервер S генерирует числовые значения параметров системы, в том числе, свой секретный и открытый ключ.

На этапе регистрации сервер S идентифицирует пользователей по документам (при личной явке или через уполномоченных лиц), для каждого объекта генерирует ключевую и/или идентификационную информацию и формирует маркер безопасности, содержащий необходимые системные константы и открытый ключ сервера S (при необходимости).

На этапе коммуникации реализуется собственно протокол аутентифицированного ключевого обмена, который завершается формированием общего сеансового ключа.

Дефекты в криптографических протоколах

В последующих разделах рассматриваются протоколы с типичными дефектами. Примеры протоколов разбиты на группы по типу используемой криптосистемы:

-       

-       

-       

-       

-       

Протоколы с криптосистемой DH (Диффи, Хэллман)

Исторически криптосистема DH является первой криптосистемой с открытыми ключами (КСОК), основанной на экспоненциальной однонаправленной функции. Сначала эта криптосистема использовалась как схема распределения ключей для классической симметричной криптосистемы с секретными общими ключами. Предварительно все пользователи сети связи получают от сервера S по достоверному каналу системные константы (Р,  выбираются надлежащим образом.

Протокол ключевого обмена DH

Пользователи А и В формируют секретный ключ парной связи K_ab с помощью следующего протокола (Рис.1)

-        А от датчика случайных чисел (ДСЧ) генерирует случайное число X_a,  вычисляет В.

-        X_b, вычисляет и посылает его А.

-        А, получив число Y_b от В, вычисляет

-        В, получив число Y_a от А, вычисляет

Рис.1

Числа X_a, X_b  стираются. Поскольку  , то K_ab = K_ba .

Для краткости вместо словесного описания обычно применяется формальная запись, в которой двоеточие означает перечисление совершаемых пользователем действий, стрелка означает генерацию, извлечение или запись информации по внутренним цепям (каналам) пользователя, двойная стрелка означает передачу по внешнему открытому каналу, тройная стрелка - передачу по внешнему защищенному каналу связи, например, передачу по шифрованному каналу секретных данных для пользователя от сервера S. В данном случае формальная запись протокола выглядит следующим образом:

А : ДСЧ (А)  X_a;         [A ║ B ║ Y_a]  B

В : ДСЧ (В)  X_b; КЗУ(В);

[B║A║Y_b]  A,

А :

Здесь: ║ - знак присоединения, [ ... ] - сформированное сообщение, КЗУ - ключевое запоминающее устройство.

Предполагается, что канал без ошибок и без воздействий противника (Е).

Атака 1. Е_b - противник Е, играющий роль пользователя В, перехватывает сообщение от А к В и формирует ключ парной связи K_ea=K_ae, причем А считает, что это ключ связи с В (Рис.2):

А : ДСЧ (А)  X_a; ║ B ║ Y_a] _b

E_b : ДСЧ (E)  X_е; КЗУ(E);

[B║A║Y_e]  A

А :

Рис.2

Атака 2. Е_а, Е_b - противник Е, играющий роли пользователей А и В, перехватывает сообщения от А и В, формирует ключи K_ae и K_eb парной связи с А и В путем ведения двух параллельных протоколов. В результате пользователи А и В считают, что они имеют конфиденциальную связь на ключе K_ab; в действительности они установили шифрованную связь с перешифрованием у противника Е. (Рис.3).

Рис.3

А : ДСЧ (А)  X_a;         [A ║ B ║ Y_a] _b

E_b : ДСЧ (E)  X_е;

[B║A║Y_e]  A

E_a : [A║B║Y_e]  B ,

А :

В : ДСЧ (В)  X_b; [B║A║Y_b]  E_a,

E_a :

Протокол аутентифицированного ключевого обмена DH

После получения системных констант  от сервера S пользователи А,В,С,... генерируют от ДСЧ секретные ключи Х_а, Х_b, X_c,... ,  вычисляют открытые ключи                    Y_a, Y_b, Y_c, ...}. (Рис.4).

Рис.4

Формальная запись протокола:

В : ДСЧ (В)  t_b ;   [B║A║Z]  A

A : ДСЧ (A)  t_a ;

[A║B║U║V] ║ ║║]

В: =B(?);

Здесь знак “~” означает возможность искажения каналом или модификации противником, знак “ ­ ” означает возведение в степень ,  - обратный к t_b по mod (p-1), знак (?) после равенства означает, что проверяется выполнение равенства:  при невыполнении протокол разрывается, при выполнении осуществляется переход к следующей операции.

В результате ключ  при  U отличается от K_ab , если выполняется проверка аутентичности :

Атака 1. Противник Е_а, играющий роль пользователя А, подменяет в канале сообщение [A║B║U║V]  на [A║B║║ с условием _ab.

Атака 2. Противник Е_b,  играющий  роль В, посылает А число U, V), где  В результате противник Е устанавливает с А ключ парной связи K_ae, переданный по открытому каналу связи, причем А считает, что это ключ для связи с В.

Протоколы с криптосистемой RSA

Предварительно все пользователи А, В, С, ...  сети связи генерируют личные модули n_a, n_b, n_c, ..., каждый из которых имеет структуру: n=pq произведения двух простых чисел p и q (n_a=p_aa; n_b=p_bb;  n_c=p_cc; ... ),  выбранных надлежащим образом [ 2 ]. Затем каждый пользователь соответствующим образом выбирает пару чисел (e, d),  удовлетворяющих условию  Далее числа (n, e) в качестве открытого ключа отправляются по достоверному каналу в общедоступный справочник. Числа (p, q, пользователи сохраняют в секрете.

Протокол шифрования и цифровой подписи по RSA

Данный протокол рекомендован МККТТ, рекомендация Х.509. Дефект протокола состоит в неправильном порядке операции шифрования и подписывания: правильно сначала подписать, затем шифровать. В формальной записи протокола применяются следующие обозначения:

М - передаваемое сообщение от А к В;

С_b - шифрованное А сообщение М на ключе e_b получателя В;

С_ba - сообщение С_b, подписанное А на ключе d_a отправителя А.

Предполагается, что n_b<n_a. Обоснование последних двух равенств состоит в следующих преобразованиях:

Атака1. Некоторый пользователь Х (нарушитель) перехватывает сообщение  (Рис.5), снимает ЭЦП пользователя А, пользуясь открытым ключом (n_a, e_a).

Рис.5

Полученное шифрованное сообщение С_b он подписывает на своем секретном ключе d_x, тем самым присваивая себе авторство на сообщение М. Получив сообщение В снимает подпись Х с помощью открытого ключа (n_x, e_x), расшифровывает на своем секретном ключе d_b и выделяет сообщение М, которое считает сообщением от Х, но не от А, если само сообщение М не содержит признаков А.

Замечание: если n_a=n_b, то операции шифрования и подписывания становятся перестановочными, так что снятие ЭЦП становится возможным при любом порядке этих операций.

Протокол шифрования по RSA на общем модуле

Пусть сообщение М шифруется по криптосистеме RSA с общим модулем “n”. Пользователи А и В получают шифрованные сообщения

Атака1. Противник Е перехватывает шифрованные сообщения С_а и С_b. Зная открытые  ключи  e_a и e_b, противник    по алгоритму Эвклида находит числа x, y так, что x_a + y_b = 1 (с большой вероятностью числа e_a и e_b  взаимно просты). Тогда     . В результате противник вычисляет сообщение М, зная только открытые ключи e_a, e_b  и модуль n, но не зная модуля n=p.

Протоколы с коммутативным алгоритмом шифрования

Алгоритм шифрования называется коммутативным, если результат последовательного шифрования сообщения М на ключах К₁ и К₂ не зависит от порядка используемых ключей: К2{К1{M}}= =K1{K2{M}}, где K{M} - результат шифрования M на ключе К. Примерами коммутативного алгоритма шифрования являются алгоритм DH, алгоритм RSA при общем модуле, алгоритм гаммирования (сложения по модулю). Коммутативность алгоритма шифрования является здесь следствием коммутативности операций модульного умножения и сложения.

Коммутативный алгоритм шифрования привлекателен тем, что пользователям не нужно устанавливать общий ключ парной связи, а достаточно генерировать личные секретные ключи. Идея конфиденциальной связи без предварительной договоренности о ключе шифрования наиболее ярко демонстрируется примером Шамира (Рис.6).

Трехшаговый протокол шифрования Шамира

Рис.6

Формальная запись протокола:

A:  х;  М  х  В

В:    ДСЧ (В)  y;  (М  х)  y  A

A:   (М  х  y)  x = M  y  B

B:   (M

Атака 1. Противник Е перехватывает все три сообщения в канале связи и складывает их по mod2. В результате получается М в открытом виде.

Атака 2. Пользуясь отсутствием идентификации корреспондентов А и В, противник Е может сыграть роль В, разрушая конфиденциальность М, или сыграть роль А, навязывая ложное сообщение пользователю В.

Трехшаговый протокол с коммутативным шифрованием

В общем случае трехшаговый протокол шифрования Шамира имеет следующую формальную запись (Рис.7):

А:  K_a { M }

B:

A:

B:

Рис.7

Ведущий А протокола применяет сначала операцию шифрования на ключе К_а, затем операцию расшифрования с ключом

Ведомый B применяет сначала операцию расшифрования с ключом К затем операцию шифрования с ключом К_b. Предполагается, что для всякого М и К имеет место: К^-1{K{M}}=K{K^-1{M}}.

Атака 1.  Рефлексия

Противник Е_b, играющий роль В, возвращает А его первое сообщение. Действуя по протоколу, А применяет к нему операцию М.

А: 

Атака 2. (Параллельный протокол)

Противник Е_b возвращает А его первое сообщение не в качестве ответа, а как начало параллельного протокола с ведущим Е_b и ведомым А. Предполагается, что при работе в сети такое возможно (Рис.8).

Рис.8

В результате противник Е получает сообщение М, предназначенное для В, а пользователь А получает ложное сообщение   В.

Атака рефлексии и с параллельным протоколом являются сильным оружием противника, против которого трудно предложить простую защиту. Возможны также атаки с несколькими параллельными протоколами, в которых противник Е может играть одновременно несколько ролей: например, E_a, E_b и E_s - роль сервера S.

Протоколы аутентифицированного распределения ключей

Рассматриваемые в этом разделе протоколы имеют трех участников: пользователи А, В и сервер S. Цель протоколов - генерация и безопасная передача сервером S ключа парной  связи K_ab пользователям А и В. Безопасность  включает свойства конфиденциальности, целостности, аутентичности и “свежести”. Это означает, что в результате протокола подлинный ключ K_ab должен оказаться именно у А и В, и только у них. Свойство “свежести” означает, что участники протокола имеют возможность убедиться, что принимаемые сообщения сформированы в данном запуске протокола, а не взяты из параллельного или более раннего протокола. С этой целью используются “нонсы” N_a и N_b - случайные числа одноразового использования.

Протоколы данного раздела отличаются от предыдущих более детальной спецификацией: указывается структура сообщения, адреса и их проверки... Однако, как показывают примеры, и на этом более высоком уровне спецификации в протоколах имеются серьезные дефекты.

Протокол передачи ключа с квитированием

В данном протоколе используется криптосистема RSA (типа RSA) для передачи по каналу ключей парной связи с ЭЦП, шифрованием и квитированием. Алгоритмы шифрования / расшифрования пользователей А, В, С обозначаются через (Е_а, D_a), (E_b, D_b), (E_c, D_c), причем все алгоритмы шифрования считаются открытыми, а каждый алгоритм расшифрования является секретом пользователя. Подписывание осуществляется применением алгоритма D, а проверка подписи - применением алгоритма Е. Авторизованный пользователь С играет роль противника. Для упрощения обозначений будем писать EDK вместо E(D(K)).

Формальная запись протокола:

A: ДСЧ(А) _ab; E_bD_aK_ab=Х; [A║B║X] ║║

B: _aD_b=_aD_b║║Y]

Þ канал ║║

A: _bD_aab (?); K_ab  КЗУ(A)

Знаки “~” и “__” означают возможность модификации сообщений канальными ошибками или противником в направлениях Аи В. Предположим, что протокол А проходит в отсутствии модификаций так, что Y= E_aD_bK_ab , но нарушитель С перехватывает квитанцию Y и начинает свой протокол С.

 С: [С║A║Y]  A

A: A= A(?); E_c D_a Y= E_c D_b K_abº_c D_a=Z;

[A║C║Z]

C: E_a D_c Z=_b D_c E_bD_cE_cD_bK_ab=K_ab

В результате С узнает ключ K_ab и формирует с А ключ  с отклонением от протокола, чего пользователь А не замечает.

Протокол Нейман - Стаблбайн

Словесное описание протокола:

-         А передает В свой нонс N_a в открытом виде.

-         В шифрует на ключе K_bs нонс N_a, свою отметку времени Т_b и посылает серверу S вместе со своим нонсом N_b, который вернется к В от А в шифрованном виде на ключе K_ab и будет проверен.

-         S генерирует ключ K_ab, шифрует его для А и В, но оба шифрованных сообщения отправляются к А с открытым нонсом N_b.

-         А выделяет соответствующую часть для В и посылает В вместе с K_ab{N_b}, для проверки “свежести” полученного ключа K_ab  (Рис.9)_.

Рис.9

Атака. Противник Е_а запускает протокол, выбрав число N_a по своему усмотрению, из сообщения В выделяет N_b и K_bs{A║N_a║Т_b}, игнорирует сообщение S_а, составляет и посылает В последнее сообщение протокола: [K_bs{A║N_a║Т_b}║N_a{N_b}], где вторая часть есть нонс N_b, шифрованный на N_a, как на ключе. В этом сообщении роль K_ab играет N_a. Протокол не предусматривает проверок признаков ключа, а потому N_a будет принято В как ключ парной связи K_ab (заданный противником Е_а).

Протоколы, основанные на тождествах

Многие протоколы идентификации/аутентификации и ЭЦП основываются на проверке некоторого тождества в модульной арифметике. Если идентификационные данные, предъявляемые пользователем по каналу связи, и данные, выбираемые проверяющим из справочника, удовлетворяют проверочному равенству, то делается вывод, что пользователь есть тот, за кого себя выдает. Однако проверочное равенство обычно имеет гораздо больше решений, чем может быть получено по протоколу. Это позволяет подобрать числа, удовлетворяющие проверочному равенству, не зная секретных данных пользователя или сервера. Предъявляя эти числа в качестве идентификационных данных, можно в ряде случаев ввести в заблуждение проверяющего.

Для примера рассмотрим две модификации протокола односторонней идентификации. Предварительно сервер S выбирает надлежащим образом значения системных параметров (Р, х, вычисляет соответствующий открытый ключ   и рассылает всем пользователям постоянные (Р, y) по достоверному каналу. Далее, для каждого пользователя, например, для А сервер генерирует от ДСЧ случайное секретное число “К”, вычисляет открытый идентификатор    r=a^k (mod p), находит секретный идентификатор   S=K^-1(A+xи по безопасному каналу передает А его идентификационные данные (A, r, S), например, А получает их в ЦГРК при регистрации вместе с системными константами Р, y. Заметим, что секретный идентификатор  S является функцией неизвестного числа “К”, которое стирается, и секретного ключа х сервера S, а также функцией адреса А и открытого идентификатора “r”.

Двухшаговый протокол односторонней идентификации

В этом протоколе пользователь В, желая идентифицировать А, посылает “вопрос” (случайное число Z)  и проверяет правильность “ответа” А (Рис.10).

Формальная запись протокола:

В: ДСЧ(В)

А: ДСЧ(А) ^t(modp)=u; (S+tz) mod (p-1) = V;  [A║r║u║v]  B

B: 

Рис.10

Заметим, что если какие-то числа А, r, u, v при заданных удовлетворяют уравнению (*)  в обычной арифметике (без mod p), то они удовлетворяют такому же уравнению по любому модулю.

Положим r_ij= где i, j, l, m - целые. Тогда уравнение (*) удовлетворяется, если i_{ij +} mОба уравнения для всякого z дают одинаковые значения v, если пропорциональны их коэффициенты 

Отсюда следует, что А должно равняться     (числа i, j удобно выбрать так, чтобы v было целым). Заметим, что поскольку равенство (*) будет проверяться по mod p, то систему уравнений относительно показателей (v, z) можно решать по mod(p-1), согласно теореме Эйлера. Числа A_ij, r_ij, u_lm, в общем случае, имеют разрядность значительно больше, чем разрядность  модуля p. Поскольку число A_ij участвует в уравнении (*) только в показателе, то вместо него можно использовать  (числа v, z уже имеют разрядность u_lm участвует в уравнении (*) только в основании степени, поэтому его можно заменить на r_ij участвует в уравнении (*) как в показателе, так и в основании степени, а потому его можно заменить только на  т.е. число разрядности 2

Атака. Противник Е, играющий роль Z и дает “ответ”:  ║║, где число v находит из системы уравнений по mod (p-1). Если В не проверяет разрядность чисел в “ответе”, то у него уравнение (*) удовлетворяется. Если В проверяет наличие значения r_ij  в справочнике открытых идентификаторов, то противник может заранее подобрать целые i, j так, чтобы значение r_ij в справочнике было.

Трехшаговый протокол односторонней идентификации

В данном протоколе пользователь А, желая идентифицировать себя В, посылает ему свои идентификационные данные А, r и синхроданные сеанса связи “u”. На “вопрос” Z от В он должен дать правильный “ответ” v такой, чтобы удовлетворилось проверочное равенство (*) (Рис.11).

Рис.11

Для авторизованного пользователя это сделать легко, поскольку он знает свой секретный идентификатор (S) и сам генерирует синхроданные (u) специальным образом. Для противника Е, не знающего ни одного секретного идентификатора, это также удалось сделать в протоколе 7.1. , но там “вопрос” Z был известен заранее. В протоколе 7.2. противник должен сначала предъявить какие-то идентификационные данные и только затем получает “вопрос” Z от В, на который он должен дать “правильный ответ”. Формальная запись протокола между А и В:

А:        ДСЧ (А)   r^t (mod p) = u;  [A║ r║ u]

B:        ДСЧ (В) ║Z]

A:        ║ v]

B:        A идентифицировался у В.

Атака. Противник Е, играющий роль В сообщение ║║], где подбирает идентификационные данные, как в атаке п.7.1. В ответ на любой “вопрос” Z от В, противник решает систему уравнений относительно v по mod(p-1) и посылает ║v].  Если В не проверяет разрядность чисел в “ответе”, то противник идентифицируется В под именем

 Заключение

Знание отрицательных прецедентов может помочь разработчикам криптографических (и не только криптографических) протоколов избегать типичных ошибок как при анализе, так и при построении криптографических протоколов.