Курсовая работа На тему: “типичные дефекты в криптографических протоколах”

Скачать 198.16 Kb.

Название	Курсовая работа На тему: “типичные дефекты в криптографических протоколах”
страница	2/2
Дата публикации	08.05.2015
Размер	198.16 Kb.
Тип	Курсовая

100-bal.ru > Информатика > Курсовая

1 2

Дефекты в криптографических протоколах

В последующих разделах рассматриваются протоколы с типичными дефектами. Примеры протоколов разбиты на группы по типу используемой криптосистемы:

протоколы с криптосистемой DH (Диффи, Хэллман);
протоколы с криптосистемой RSA (Райвест, Шамир, Адлеман);
протоколы с коммутативным шифрованием (Шамир);
протоколы аутентифицированного распределения ключей;
протоколы, основанные на тождествах.

Протоколы с криптосистемой DH (Диффи, Хэллман)

Исторически криптосистема DH является первой криптосистемой с открытыми ключами (КСОК), основанной на экспоненциальной однонаправленной функции. Сначала эта криптосистема использовалась как схема распределения ключей для классической симметричной криптосистемы с секретными общими ключами. Предварительно все пользователи сети связи получают от сервера S по достоверному каналу системные константы (Р,

), где простое число Р и основание степени

выбираются надлежащим образом.

Протокол ключевого обмена DH

Пользователи А и В формируют секретный ключ парной связи K_ab с помощью следующего протокола (Рис.1)

Пользователь А от датчика случайных чисел (ДСЧ) генерирует случайное число X_a, вычисляет и посылает его В.
Пользователь В от своего датчика генерирует случайное число X_b, вычисляет и посылает его А.
Пользователь А, получив число Y_b от В, вычисляет.
Пользователь В, получив число Y_a от А, вычисляет.

Рис.1
Числа X_a, X_bстираются. Поскольку

, то K_ab = K_ba .

Для краткости вместо словесного описания обычно применяется формальная запись, в которой двоеточие означает перечисление совершаемых пользователем действий, стрелка означает генерацию, извлечение или запись информации по внутренним цепям (каналам) пользователя, двойная стрелка означает передачу по внешнему открытому каналу, тройная стрелка - передачу по внешнему защищенному каналу связи, например, передачу по шифрованному каналу секретных данных для пользователя от сервера S. В данном случае формальная запись протокола выглядит следующим образом:

А : ДСЧ (А) X_a; ; [A ║ B ║ Y_a] B

В : ДСЧ (В) X_b; КЗУ(В); ;

[B║A║Y_b] A,

А :

Здесь: ║ - знак присоединения, [ ... ] - сформированное сообщение, КЗУ - ключевое запоминающее устройство.

Предполагается, что канал без ошибок и без воздействий противника (Е).

Атака 1. Е_b - противник Е, играющий роль пользователя В, перехватывает сообщение от А к В и формирует ключ парной связи K_ea=K_ae, причем А считает, что это ключ связи с В (Рис.2):

А : ДСЧ (А) X_a; ; [A ║ B ║ Y_a] E_bB

E_b : ДСЧ (E) X_е; КЗУ(E); ;

[B║A║Y_e] A

А :

Рис.2
Атака 2. Е_а_,Е_b- противник Е, играющий роли пользователей А и В, перехватывает сообщения от А и В, формирует ключи K_ae и K_eb парной связи с А и В путем ведения двух параллельных протоколов. В результате пользователи А и В считают, что они имеют конфиденциальную связь на ключе K_ab; в действительности они установили шифрованную связь с перешифрованием у противника Е. (Рис.3).

Рис.3

А : ДСЧ (А)

X_a;

; [A ║ B ║ Y_a]

E_b

E_b : ДСЧ (E)

X_е;

КЗУ(E);

;

[B║A║Y_e]

A

E_a: [A║B║Y_e]

B ,

А :

В : ДСЧ (В)

X_b;

КЗУ(В);

; [B║A║Y_b]

E_a,

E_a :

Протокол аутентифицированного ключевого обмена DH

После получения системных констант

от сервера S пользователи А,В,С,... генерируют от ДСЧ секретные ключи Х_а, Х_b, X_c,... , вычисляют открытые ключи

;

; ... и помещают их в защищенный от модификаций общедоступный справочник {Y_a, Y_b, Y_c, ...}. (Рис.4).

Рис.4

Формальная запись протокола:

В : ДСЧ (В) t_b; ; [B║A║Z] A

A : ДСЧ (A) t_a; ;

; ;

[A║B║U║V] канал [║ ║

║

] B

В: =A(?); =B(?);;

Здесь знак “~” означает возможность искажения каналом или модификации противником, знак “  ” означает возведение в степень ,

- обратный к t_b по mod (p-1), знак (?) после равенства означает, что проверяется выполнение равенства: при невыполнении протокол разрывается, при выполнении осуществляется переход к следующей операции.

В результате ключ

при

U отличается от K_ab, если выполняется проверка аутентичности

. Отсюда следует:

Атака 1. Противник Е_а, играющий роль пользователя А, подменяет в канале сообщение [A║B║U║V] на [A║B║║] с условием

. В результате пользователь В формирует ложный ключ K_ab_.

Атака 2. Противник Е_b, играющий роль В, посылает А число

, на что тот по протоколу отвечает числами (U, V), где

В результате противник Е устанавливает с А ключ парной связи K_ae, переданный по открытому каналу связи, причем А считает, что это ключ для связи с В.

Протоколы с криптосистемой RSA

Предварительно все пользователи А, В, С, ... сети связи генерируют личные модули n_a, n_b, n_c, ..., каждый из которых имеет структуру: n=pq произведения двух простых чисел p и q (n_a=p_aq_a; n_b=p_bq_b;n_c=p_cq_c; ... ), выбранных надлежащим образом [ 2 ]. Затем каждый пользователь соответствующим образом выбирает пару чисел (e, d), удовлетворяющих условию

, где

Далее числа (n, e) в качестве открытого ключа отправляются по достоверному каналу в общедоступный справочник. Числа (p, q, , d) пользователи сохраняют в секрете.

Протокол шифрования и цифровой подписи по RSA

Данный протокол рекомендован МККТТ, рекомендация Х.509. Дефект протокола состоит в неправильном порядке операции шифрования и подписывания: правильно сначала подписать, затем шифровать. В формальной записи протокола применяются следующие обозначения:

М - передаваемое сообщение от А к В;

С_b - шифрованное А сообщение М на ключе e_b получателя В;

С_ba - сообщение С_b, подписанное А на ключе d_a отправителя А.

Предполагается, что n_b_a. Обоснование последних двух равенств состоит в следующих преобразованиях:

Атака1. Некоторый пользователь Х (нарушитель) перехватывает сообщение (Рис.5), снимает ЭЦП пользователя А, пользуясь открытым ключом (n_a, e_a).

Рис.5

Полученное шифрованное сообщение С_b он подписывает на своем секретном ключе d_x, тем самым присваивая себе авторство на сообщение М. Получив сообщение , пользователь В снимает подпись Х с помощью открытого ключа (n_x, e_x), расшифровывает на своем секретном ключе d_b и выделяет сообщение М, которое считает сообщением от Х, но не от А, если само сообщение М не содержит признаков А.

Замечание: если n_a=n_b, то операции шифрования и подписывания становятся перестановочными, так что снятие ЭЦП становится возможным при любом порядке этих операций.
Протокол шифрования по RSA на общем модуле

Пусть сообщение М шифруется по криптосистеме RSA с общим модулем “n”. Пользователи А и В получают шифрованные сообщения ,

Атака1. Противник Е перехватывает шифрованные сообщения С_а и С_b. Зная открытые ключи e_a и e_b, противник по алгоритму Эвклида находит числа x, y так, что xe_a + ye_b = 1 (с большой вероятностью числа e_a и e_b взаимно просты). Тогда . В результате противник вычисляет сообщение М, зная только открытые ключи e_a, e_bи модуль n, но не зная модуля , что равносильно знанию факторизации n=pq.
Протоколы с коммутативным алгоритмом шифрования

Алгоритм шифрования называется коммутативным, если результат последовательного шифрования сообщения М на ключах К₁ и К₂ не зависит от порядка используемых ключей: К2{К1{M}}= =K1{K2{M}}, где K{M} - результат шифрования M на ключе К. Примерами коммутативного алгоритма шифрования являются алгоритм DH, алгоритм RSA при общем модуле, алгоритм гаммирования (сложения по модулю). Коммутативность алгоритма шифрования является здесь следствием коммутативности операций модульного умножения и сложения.

Коммутативный алгоритм шифрования привлекателен тем, что пользователям не нужно устанавливать общий ключ парной связи, а достаточно генерировать личные секретные ключи. Идея конфиденциальной связи без предварительной договоренности о ключе шифрования наиболее ярко демонстрируется примером Шамира (Рис.6).
Трехшаговый протокол шифрования Шамира

Рис.6
Формальная запись протокола:

A: ДСЧ (А) х; М х В

В: ДСЧ (В) y; (М х) y A

A: (М х y) x = M y B

B: (M y) y = M

Атака 1. Противник Е перехватывает все три сообщения в канале связи и складывает их по mod2. В результате получается М в открытом виде.

Атака 2. Пользуясь отсутствием идентификации корреспондентов А и В, противник Е может сыграть роль В, разрушая конфиденциальность М, или сыграть роль А, навязывая ложное сообщение пользователю В.
Трехшаговый протокол с коммутативным шифрованием

В общем случае трехшаговый протокол шифрования Шамира имеет следующую формальную запись (Рис.7):

А: K_a { M }B

B:

A:

B:

Рис.7

Ведущий А протокола применяет сначала операцию шифрования на ключе К_а, затем операцию расшифрования с ключом ;

Ведомый B применяет сначала операцию расшифрования с ключом К, затем операцию шифрования с ключом К_b. Предполагается, что для всякого М и К имеет место: К^-1{K{M}}=K{K^-1{M}}.

Атака 1. Рефлексия

Противник Е_b, играющий роль В, возвращает А его первое сообщение. Действуя по протоколу, А применяет к нему операцию , и в канале оказывается открытое сообщение М.

А:

Атака 2. (Параллельный протокол)

Противник Е_bвозвращает А его первое сообщение не в качестве ответа, а как начало параллельного протокола с ведущим Е_b и ведомым А. Предполагается, что при работе в сети такое возможно (Рис.8).

Рис.8

I протокол ( А Е_b)

II протокол ( Е_b А )

1. А: К_а{M}Е_b

1’. Е_b: K_a{M}A

2’. A: {K_a{M}}=MЕ_b

2. Е_b: A

3. A: {}Е_b

3’. Е_b : {}A

4. A: К_а{{}}=

4’. ___________________

В результате противник Е получает сообщение М, предназначенное для В, а пользователь А получает ложное сообщение , якобы от В.

Атака рефлексии и с параллельным протоколом являются сильным оружием противника, против которого трудно предложить простую защиту. Возможны также атаки с несколькими параллельными протоколами, в которых противник Е может играть одновременно несколько ролей: например, E_a, E_b и E_s - роль сервера S.
Протоколы аутентифицированного распределения ключей

Рассматриваемые в этом разделе протоколы имеют трех участников: пользователи А, В и сервер S. Цель протоколов - генерация и безопасная передача сервером S ключа парной связи K_ab пользователям А и В. Безопасность включает свойства конфиденциальности, целостности, аутентичности и “свежести”. Это означает, что в результате протокола подлинный ключ K_abдолжен оказаться именно у А и В, и только у них. Свойство “свежести” означает, что участники протокола имеют возможность убедиться, что принимаемые сообщения сформированы в данном запуске протокола, а не взяты из параллельного или более раннего протокола. С этой целью используются “нонсы” N_a и N_b - случайные числа одноразового использования.

Протоколы данного раздела отличаются от предыдущих более детальной спецификацией: указывается структура сообщения, адреса и их проверки... Однако, как показывают примеры, и на этом более высоком уровне спецификации в протоколах имеются серьезные дефекты.
Протокол передачи ключа с квитированием

В данном протоколе используется криптосистема RSA (типа RSA) для передачи по каналу ключей парной связи с ЭЦП, шифрованием и квитированием. Алгоритмы шифрования / расшифрования пользователей А, В, С обозначаются через (Е_а, D_a), (E_b, D_b), (E_c, D_c), причем все алгоритмы шифрования считаются открытыми, а каждый алгоритм расшифрования является секретом пользователя. Подписывание осуществляется применением алгоритма D, а проверка подписи - применением алгоритма Е. Авторизованный пользователь С играет роль противника. Для упрощения обозначений будем писать EDK вместо E(D(K)).

Формальная запись протокола:

A: ДСЧ(А) K_ab; E_bD_aK_ab=Х; [A║B║X] канал[║║]B

B: =B(?); E_aD_b=КЗУ(В); E_aD_b=Y; [B║║Y]

 канал [ ║║ ]A

A: =B(?); =A(?); E_bD_a=;= K_ab(?); K_ab КЗУ(A)

Знаки “~” и “__” означают возможность модификации сообщений канальными ошибками или противником в направлениях АВ и ВА. Предположим, что протокол АВ проходит в отсутствии модификаций так, что Y= E_aD_bK_ab , но нарушитель С перехватывает квитанцию Y и начинает свой протокол СА.

С: [С║A║Y] A

A: A= A(?); E_c D_a Y= E_c D_b K_abКЗУ (А); E_c D_a=Z;

[A║C║Z] C

C: E_a D_c Z=КЗУ (C); E_b D_c= E_bD_cE_cD_bK_ab=K_abКЗУ(C)

В результате С узнает ключ K_ab и формирует с А ключ с отклонением от протокола, чего пользователь А не замечает.
Протокол Нейман - Стаблбайн

Словесное описание протокола:

Пользователь А передает В свой нонс N_a в открытом виде.

Пользователь В шифрует на ключе K_bs нонс N_a, свою отметку времени Т_b и посылает серверу S вместе со своим нонсом N_b, который вернется к В от А в шифрованном виде на ключе K_ab и будет проверен.

Сервер S генерирует ключ K_ab, шифрует его для А и В, но оба шифрованных сообщения отправляются к А с открытым нонсом N_b.

Пользователь А выделяет соответствующую часть для В и посылает В вместе с K_ab{N_b}, для проверки “свежести” полученного ключа K_ab(Рис.9)_.

Рис.9
Атака. Противник Е_а запускает протокол, выбрав число N_a по своему усмотрению, из сообщения ВS выделяет N_b и K_bs{A║N_a║Т_b}, игнорирует сообщение SЕ_а, составляет и посылает В последнее сообщение протокола: [K_bs{A║N_a║Т_b}║N_a{N_b}], где вторая часть есть нонс N_b, шифрованный на N_a, как на ключе. В этом сообщении роль K_ab играет N_a. Протокол не предусматривает проверок признаков ключа, а потому N_a будет принято В как ключ парной связи K_ab(заданный противником Е_а).
Протоколы, основанные на тождествах

Многие протоколы идентификации/аутентификации и ЭЦП основываются на проверке некоторого тождества в модульной арифметике. Если идентификационные данные, предъявляемые пользователем по каналу связи, и данные, выбираемые проверяющим из справочника, удовлетворяют проверочному равенству, то делается вывод, что пользователь есть тот, за кого себя выдает. Однако проверочное равенство обычно имеет гораздо больше решений, чем может быть получено по протоколу. Это позволяет подобрать числа, удовлетворяющие проверочному равенству, не зная секретных данных пользователя или сервера. Предъявляя эти числа в качестве идентификационных данных, можно в ряде случаев ввести в заблуждение проверяющего.

Для примера рассмотрим две модификации протокола односторонней идентификации. Предварительно сервер S выбирает надлежащим образом значения системных параметров (Р, ), генерирует от ДСЧ свой секретный ключ х, вычисляет соответствующий открытый ключ и рассылает всем пользователям постоянные (Р, , y) по достоверному каналу. Далее, для каждого пользователя, например, для А сервер генерирует от ДСЧ случайное секретное число “К”, вычисляет открытый идентификатор r=^k (mod p), находит секретный идентификатор S=K^-1(A+xr)mod(p-1) и по безопасному каналу передает А его идентификационные данные (A, r, S), например, А получает их в ЦГРК при регистрации вместе с системными константами Р, , y. Заметим, что секретный идентификатор S является функцией неизвестного числа “К”, которое стирается, и секретного ключа х сервера S, а также функцией адреса А и открытого идентификатора “r”.
Двухшаговый протокол односторонней идентификации

В этом протоколе пользователь В, желая идентифицировать А, посылает “вопрос” (случайное число Z) и проверяет правильность “ответа” А (Рис.10).

Формальная запись протокола:

В: ДСЧ(В) Z А

А: ДСЧ(А) t; r^t(modp)=u; (S+tz) mod (p-1) = V; [A║r║u║v] B

B: ; A - аутентифицирован.

Рис.10

Заметим, что если какие-то числа А, r, u, v при заданных , y, z удовлетворяют уравнению (*) в обычной арифметике (без mod p), то они удовлетворяют такому же уравнению по любому модулю.

Положим r_ij=, где i, j, l, m - целые. Тогда уравнение (*) удовлетворяется, если iv= A+lz; jv = r_{ij +}mz. Оба уравнения для всякого z дают одинаковые значения v, если пропорциональны их коэффициенты

Отсюда следует, что А должно равняться ; (числа i, j удобно выбрать так, чтобы v было целым). Заметим, что поскольку равенство (*) будет проверяться по mod p, то систему уравнений относительно показателей (v, z) можно решать по mod(p-1), согласно теореме Эйлера. Числа A_ij, r_ij, u_lm, в общем случае, имеют разрядность значительно больше, чем разрядность модуля p. Поскольку число A_ij участвует в уравнении (*) только в показателе, то вместо него можно использовать (числа v, z уже имеют разрядность ). Число u_lm участвует в уравнении (*) только в основании степени, поэтому его можно заменить на . Наконец, число r_ij участвует в уравнении (*) как в показателе, так и в основании степени, а потому его можно заменить только на т.е. число разрядности 2.

Атака. Противник Е, играющий роль , перехватывает в канале связи “вопрос” Z и дает “ответ”: ║║║B, где число v находит из системы уравнений по mod (p-1). Если В не проверяет разрядность чисел в “ответе”, то у него уравнение (*) удовлетворяется. Если В проверяет наличие значения r_ijв справочнике открытых идентификаторов, то противник может заранее подобрать целые i, j так, чтобы значение r_ij в справочнике было.
Трехшаговый протокол односторонней идентификации

В данном протоколе пользователь А, желая идентифицировать себя В, посылает ему свои идентификационные данные А, r и синхроданные сеанса связи “u”. На “вопрос” Z от В он должен дать правильный “ответ” v такой, чтобы удовлетворилось проверочное равенство (*) (Рис.11).

Рис.11

Для авторизованного пользователя это сделать легко, поскольку он знает свой секретный идентификатор (S) и сам генерирует синхроданные (u) специальным образом. Для противника Е, не знающего ни одного секретного идентификатора, это также удалось сделать в протоколе 7.1. , но там “вопрос” Z был известен заранее. В протоколе 7.2. противник должен сначала предъявить какие-то идентификационные данные и только затем получает “вопрос” Z от В, на который он должен дать “правильный ответ”. Формальная запись протокола между А и В:

А: ДСЧ (А) t; r^t (mod p) = u; [A║ r║ u] B

B: ДСЧ (В) Z; [B║Z] A;

A: ; v = (S+tz) mod (p-1); [A║ v] B

B: ; A идентифицировался у В.

Атака. Противник Е, играющий роль , посылает В сообщение ║║], где подбирает идентификационные данные, как в атаке п.7.1. В ответ на любой “вопрос” Z от В, противник решает систему уравнений относительно v по mod(p-1) и посылает ║v]. Если В не проверяет разрядность чисел в “ответе”, то противник идентифицируется В под именем , не зная секретного идентификатора этого пользователя.
Заключение

Знание отрицательных прецедентов может помочь разработчикам криптографических (и не только криптографических) протоколов избегать типичных ошибок как при анализе, так и при построении криптографических протоколов.
Литература

Диффи, Хэллман. ”Новые направления в криптографии”. ТИИЭР, т.67, №3, 1979

Л.Н. САПЕГИН, «СПЕЦИАЛЬНАЯ ТЕХНИКА СРЕДСТВ СВЯЗИ», Выпуск 1, Серия «Системы, сети и технические средства конфиденциальной связи», 1996 г.

1 2

	Курсовая работа на тему : Формирование рынка ценных бумаг в Украине Курсовая работа содержит 38 листов, 2 рисунка, 2 таблицы и было использовано 11 источников		Курсовая работа по дисциплине Электромагнитная совместимость систем... Курсовая работа состоит из 20 с, в которых содержаться: 3 рисунка, 3 таблицы, 6 формул и 4 ссылки на литературу
	Курсовая работа на тему «Открытый урок» Данная курсовая работа выполнена для того, чтобы учителя русского языка и литературы могли использовать разработанные мною уроки...		Курсовая работа по русскому языку Тема: Окказиональное словообразование... Рассмотрены наиболее типичные случаи употребления окказионализмов, сферы их применения и структура. Примеры, приведенные в данном...
	Курсовая работа Курсовая работа оформляется в виде электронного файла и прикрепляется к своей странице в системе мониторинга нир. Распечатывать работу...		Курсовая работа по аудиту, на тему: «Аудит учета кассовых операций»
	Курсовая работа На тему: «Учет затрат и калькулирование себестоимости продукции»		Курсовая работа по «(указать наименование дисциплины)» на тему «(указать выбранную тему)» Подведите курсор к букве с (содержание). Далее Абзац. Положение на странице. Поставить «птичку» в окошечко с новой страницы
	Курсовая работа по дисциплине «Предпринимательское право» Курсовая работа имеет целью систематизацию, закрепление и расширение теоретических знаний, углубленное изучение и решение студентом...		Курсовая работа по курсу тэс на тему “Расчет технических характеристик Канала связи
	Курсовая работа на тему: Wi-Fi технология беспроводной связи Архитектура, компоненты сети и стандарты		Курсовой работы. Составитель: доцент Корляков А. С. Екатеринбург... Курсовая работа самостоятельная работа студента, выполняемая в соответствии с типовой программой учебного процесса по подготовке...
	Курсовая работа Компьютерная графика Савин И. И. 16. 12. 2008 Работа... Московский государственный институт электроники и математики (технический университет)		Рекомендации к оформлению курсовой и дипломной работы по истории искусства. Курсовая работа Курсовая работа задание, которое выполняется студентами в определённый срок и по определённым требованиям. Защита курсовых работ...
	Курсовая работа по дисциплине на тему: «Мониторы» Федеральное государственное бюджетное образовательное учреждение высшего профессионального образования		Курсовая работа на тему: «Совершенствование системы мотивации как...

Курсовая работа На тему: “типичные дефекты в криптографических протоколах”

Дефекты в криптографических протоколах

Протоколы с криптосистемой DH (Диффи, Хэллман)

Протокол ключевого обмена DH

Рис.3

Протокол аутентифицированного ключевого обмена DH

Протоколы с криптосистемой RSA

Протокол шифрования и цифровой подписи по RSA

Рис.5

Протокол шифрования по RSA на общем модуле

Протоколы с коммутативным алгоритмом шифрования

Трехшаговый протокол шифрования Шамира

Трехшаговый протокол с коммутативным шифрованием

Рис.7

Рис.8

Протоколы аутентифицированного распределения ключей

Протокол передачи ключа с квитированием

Протокол Нейман - Стаблбайн

Протоколы, основанные на тождествах

Двухшаговый протокол односторонней идентификации

Рис.10

Трехшаговый протокол односторонней идентификации

Рис.11

Заключение

Литература

Похожие: