Wide-Mouth Frog

Криптографические обозначения, используемые в протоколах проверки подлинности и обмена ключами

${\displaystyle A}$	Идентификаторы Алисы (Alice), инициатора сессии
${\displaystyle B}$	Идентификатор Боба (Bob), стороны, с которой устанавливается сессия
${\displaystyle T}$	Идентификатор Трента (Trent), доверенной промежуточной стороны
${\displaystyle K_{A},K_{B},K_{T}}$	Открытые ключи Алисы, Боба и Трента
${\displaystyle K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}}$	Секретные ключи Алисы, Боба и Трента
${\displaystyle E_{A},\left\{...\right\}_{K_{A}}}$	Шифрование данных ключом Алисы, либо совместным ключом Алисы и Трента
${\displaystyle E_{B},\left\{...\right\}_{K_{B}}}$	Шифрование данных ключом Боба, либо совместным ключом Боба и Трента
${\displaystyle \left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}}$	Шифрование данных секретными ключами Алисы, Боба (цифровая подпись)
${\displaystyle I}$	Порядковый номер сессии (для предотвращения атаки с повтором)
${\displaystyle K}$	Случайный сеансовый ключ, который будет использоваться для симметричного шифрования данных
${\displaystyle E_{K},\left\{...\right\}_{K}}$	Шифрование данных временным сеансовым ключом
${\displaystyle T_{A},T_{B}}$	Метки времени, добавляемые в сообщения Алисой и Бобом соответственно
${\displaystyle R_{A},R_{B}}$	Случайные числа (nonce), которые были выбраны Алисой и Бобом соответственно

Wide-Mouth Frog (досл. с англ. «лягушка с широкой глоткой») — возможно, самый простой протокол для симметричного обмена ключами с использованием доверенного сервера. ${\displaystyle A}$ (Алиса) и ${\displaystyle B}$ (Боб) разделяют секретный ключ с ${\displaystyle T}$ (Трентом). В данном протоколе ключи используются только для их распределения, а не для шифрования сообщений^[1].

История

Автором протокола считается Майкл Бэрроуз (англ. Michael Burrows), впервые он был опубликован в «Michael Burrows, Martin Abadi, and Roger Needham. A logic of authentication»^[2] в 1989 году. В 1997 Гэвин Лоу (англ. Gavin Lowe (computer scientist)) в своей работе «A Family of Attacks upon Authentication Protocols»^[3] предложил модифицированный Wide-Mouthed Frog протокол (англ. Lowe modified Wide-Mouthed frog protocol), исправляющий некоторые уязвимости.

Протокол Wide-Mouthed Frog^[4]

Для начала сеанса передачи сообщений Алиса шифрует конкатенацию метки времени, идентификатора Боба и сгенерированного случайного сеансового ключа. В качестве ключа шифрования используется ключ, который известен Алисе и Тренту — промежуточному доверенному серверу. После этого Алиса передаёт своё имя (в открытом виде) и зашифрованные данные Тренту.

${\displaystyle Alice\to \left\{A,E_{A}\left(T_{A},B,K\right)\right\}\to Trent}$

Трент расшифровывает совместным с Алисой ключом пакет, выбирает оттуда сгенерированный Алисой случайный сеансовый ключ и составляет конкатенацию из новой метки времени, идентификатора Алисы и сеансового ключа, после чего шифрует её общим с Бобом ключом и передаёт ему.

${\displaystyle Trent\to \left\{E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$

После этого Боб расшифровывает пакет данных общим с Трентом ключом и может использовать сгенерированный Алисой случайный сеансовый ключ для передачи данных.

Атаки на протокол Wide-Mouthed Frog

Атака 1995 года

В 1995 году Росс Андерсон и Роджер Нидхем предложили следующий алгоритм атаки на протокол:

1. ${\displaystyle Alice\to \left\{A,E_{A}\left(T_{A},B,K\right)\right\}\to Trent}$
2. ${\displaystyle Trent\to \left\{E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$
3. ${\displaystyle I(Bob)\to \left\{B,E_{B}\left(T_{T},A,K\right)\right\}\to Trent}$
4. ${\displaystyle Trent\to \left\{E_{A}\left(T'_{T},B,K\right)\right\}\to Alice}$
5. ${\displaystyle I(Alice)\to \left\{A,E_{A}\left(T'_{T},B,K\right)\right\}\to Trent}$
6. ${\displaystyle Trent\to \left\{E_{B}\left(T''_{T},A,K\right)\right\}\to Bob}$,

где I(Alice) и I(Bob) — злоумышленник имитирующий Алису и Боба соответственно.

Изъян протокола заключается в том, что Трент обновляет свою временную метку ${\displaystyle T_{T}}$, от временной метки Алисы ${\displaystyle T_{A}}$. То есть пока Трент не держит список всех рабочих ключей и меток, злоумышленник может поддерживать ключи рабочими, используя Трента в качестве предсказателя.

Практический результат данного недостатка будет зависеть от приложения. Например, если пользователи используют смарт-карту с данным протоколом, который в открытом виде отправляет сеансовый ключ в программный модуль шифрования (англ. software bulk encryption routine), то ключи могут быть открыты для данной атаки. Злоумышленник может наблюдать как Алиса и Боб проводят сеансы и поддерживать ключи рабочими, пока не появится возможность выкрасть смарт-карту^[5].

Атака 1997 года

В 1997 году Гэвин Лоу предложил ещё один вариант атаки на данный протокол, основанный на том, что злоумышленник заставляет думать Боба, что Алиса установила два сеанса обмена, в то время как Алиса устанавливает один сеанс. Атака включает два чередующихся прохода протокола, которые мы назовём ${\displaystyle \alpha }$ и ${\displaystyle \beta }$, обозначим, например, второе сообщение сеанса \alpha как ${\displaystyle \alpha .2.}$ Тогда атака выглядит следующим образом:

1. ${\displaystyle Message}$ ${\displaystyle \alpha .1.}$ ${\displaystyle Alice\to \left\{A,E_{A}\left(T_{A},B,K\right)\right\}\to Trent}$
2. ${\displaystyle Message}$ ${\displaystyle \alpha .2.}$ ${\displaystyle Trent\to \left\{B,E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$
3. ${\displaystyle Message}$ ${\displaystyle \beta .2.}$ ${\displaystyle I(Trent)\to \left\{B,E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$,

где I(Trent) злоумышленник имитирующий Трента.

Сеанс ${\displaystyle \alpha }$ представляет нормальный ход обмена ключами, когда Алиса устанавливает сеанс с Бобом, используя ключ ${\displaystyle K}$. Тогда в сообщении ${\displaystyle \beta .2}$, злоумышленник имитирует Трента, и повторяет сообщение ${\displaystyle \alpha .2}$; после чего Боб считает, что Алиса пытается начать второй сеанс.

Кроме того, злоумышленник может воспроизвести для Трента сообщение ${\displaystyle \alpha .1}$, как сообщение следующего сеанса. Это приведёт к получению Бобом второго сообщение, с таким же результатом как и ранее.

Данную уязвимость исправляет модифицированный Wide-Mouthed Frog протокол (англ. Lowe modified Wide-Mouthed frog protocol)^[3].

Модифицированный Wide-Mouthed Frog протокол

Данная модификация была предложена Гэвином Лоу, для устранения уязвимости для атаки 1997 года. Выглядит она следующим образом:

1. ${\displaystyle Alice\to \left\{A,E_{A}\left(T_{A},B,K\right)\right\}\to Trent}$
2. ${\displaystyle Trent\to \left\{E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$
3. ${\displaystyle Bob\to \left\{R_{B}\right\}_{K}\to Alice}$
4. ${\displaystyle Alice\to \left\{R_{B}+1\right\}_{K}\to Bob}$

Эти изменения позволят избежать атак 1997 года: Боб будет генерировать два разных одноразовых номера, по одному для каждого сеанса, и ожидать в качестве ответа сообщение 4. В то же время Алиса будет возвращать только одно такое сообщение, и злоумышленник не сможет сгенерировать другого.

К сожалению, данная модификация убирает самую привлекательную черту протокола Wide-Mouthed Frog — простоту^[3].

Особенности

• Требуется глобальный счётчик.
• Трент имеет доступ ко всем ключам.
• Значение сеансового ключа ${\displaystyle K}$ полностью определяется Алисой, то есть она должна быть достаточно компетентной для генерации хороших ключей.
• Может дублировать сообщения, во время действия временной метки.
• Алиса не знает существует ли Боб.
• Протокол динамичный, что обычно нежелательно, так как это требует большей функциональности от Трента. Например, Трент должен справляться с ситуацией, когда Боб недоступен.

Примечания

Литература

• Брюс Шнайер. Протокол Wide-Mouth Frog // / Прикладная криптография. — 2002. — ISBN 5-89392-055-4.
• M. Burrows, M. Abadi, R. Needham A Logic of Authentication // Research Report 39, Digital Equipment Corp. Systems Research Center — Feb. 1989
• M. Burrows, M. Abadi, R. Needham A Logic of Authentication // ACM Transactions on Computer Systems, — v. 8 — n. 1 — Feb. 1990 — pp. 18—36
• Gavin Lowe A Family of Attacks upon Authentication Protocols // Department of Mathematics and Computer Science, Technical Report 1997/5, University of Leicester Jan. 1997
• Pranav Vyas, Dr. Bhushan Trivedi An Analysis Of Session Key Exchange Protocols // International Journal of Engineering Research and Applications Vol. 2, Issue 4, June-July 2012, pp.658-663
• Ji Ma, Mehmet A. Orgun and Abdul Sattar Analysis of Authentication Protocols in Agent-Based Systems Using Labeled Tableaux // IEEE TRANSACTIONS ON SYSTEMS, MAN, AND CYBERNETICS—PART B: CYBERNETICS, VOL. 39, NO. 4, AUGUST 2009
• Security Protocol Open Repository
• Ross Anderson and Roger Needham Programming Satan’s Computer // Cambridge University Computer Laboratory Pembroke Street, Cambridge, England CB2 3QG