Протокол Ньюмана — Стабблбайна

Криптографические обозначения, используемые в протоколах проверки подлинности и обмена ключами
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/7daff47fa58cdfd29dc333def748ff5fa4c923e3" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.743ex; height:2.176ex;" alt="{\displaystyle A}">	Идентификаторы Алисы (Alice), инициатора сессии
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/47136aad860d145f75f3eed3022df827cee94d7a" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.764ex; height:2.176ex;" alt="{\displaystyle B}">	Идентификатор Боба (Bob), стороны, с которой устанавливается сессия
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/ec7200acd984a1d3a3d7dc455e262fbe54f7f6e0" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.636ex; height:2.176ex;" alt="{\displaystyle T}">	Идентификатор Трента (Trent), доверенной промежуточной стороны
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/153c402e37d6f7d681b96e7cd4dccff805e1e3b7" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.671ex; width:12.321ex; height:2.509ex;" alt="{\displaystyle K_{A},K_{B},K_{T}}">	Открытые ключи Алисы, Боба и Трента
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/38ebced88c8dc84b62c1261525c8a0eca7399b21" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -1.005ex; width:15.348ex; height:3.343ex;" alt="{\displaystyle K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}}">	Секретные ключи Алисы, Боба и Трента
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/c0837e82b3a3b7402f0cfb49eda1bc91f123473d" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -1.338ex; width:12.433ex; height:3.343ex;" alt="{\displaystyle E_{A},\left\{...\right\}_{K_{A}}}">	Шифрование данных ключом Алисы, либо совместным ключом Алисы и Трента
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/73c95d0c80c340f2ed51fcbc440371b99393abdf" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -1.338ex; width:12.46ex; height:3.343ex;" alt="{\displaystyle E_{B},\left\{...\right\}_{K_{B}}}">	Шифрование данных ключом Боба, либо совместным ключом Боба и Трента
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/56a44e861ff8ce91fb5effe8f2db61c4ffe48b01" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -1.671ex; width:19.052ex; height:3.676ex;" alt="{\displaystyle \left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}}">	Шифрование данных секретными ключами Алисы, Боба (цифровая подпись)
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/535ea7fc4134a31cbe2251d9d3511374bc41be9f" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:1.172ex; height:2.176ex;" alt="{\displaystyle I}">	Порядковый номер сессии (для предотвращения атаки с повтором)
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/2b76fce82a62ed5461908f0dc8f037de4e3686b0" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.338ex; width:2.066ex; height:2.176ex;" alt="{\displaystyle K}">	Случайный сеансовый ключ, который будет использоваться для симметричного шифрования данных
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/feffb9d410cd45e9dfd3077eb6ff8a2f7e3d59a2" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -1.005ex; width:11.562ex; height:3.009ex;" alt="{\displaystyle E_{K},\left\{...\right\}_{K}}">	Шифрование данных временным сеансовым ключом
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/dd223f8fb3718ceb36c06c27b9880f0718d1a59b" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.671ex; width:6.693ex; height:2.509ex;" alt="{\displaystyle T_{A},T_{B}}">	Метки времени, добавляемые в сообщения Алисой и Бобом соответственно
<img src="https://wikimedia.org/api/rest_v1/media/math/render/svg/e71003093c4f25075230d16c10195f5f23ed3923" class="mwe-math-fallback-image-inline mw-invert skin-invert" aria-hidden="true" style="vertical-align: -0.671ex; width:7.506ex; height:2.509ex;" alt="{\displaystyle R_{A},R_{B}}">	Случайные числа (nonce), которые были выбраны Алисой и Бобом соответственно

Протокол Ньюмана-Стабблбайна

Протокол Ньюмана — Стабблбайна — симметричный протокол аутентификации и обмена ключами с использованием доверенной стороны. Является усовершенствованной версией протокола Yahalom. Особенностью протокола является отсутствие необходимости синхронизации часов у сторон, а также возможность повторной аутентификации без использования промежуточной стороны.

История

Криптографический протокол Ньюмана-Стабблбайна для удостоверения подписи и обмена ключами был впервые опубликован в 1993 году. Протокол является модификацией протокола Yahalom и разработан в Массачусетском технологическом институте (MIT) Клифордом Ньюманом и Стюартом Стабблбаном.

Описание протокола

Взаимодействие участников в протоколе Ньюмана-Стабблбайна

Описание

Алиса и Боб хотят безопасно обмениваться сообщениями, находясь на различных концах сети. Предполагается, что каждому пользователю Трент выделяет отдельный секретный ключ, и перед началом работы протокола все ключи уже находятся у пользователей.

Алиса отправляет Бобу сообщение, содержащее идентификатор Алисы и некоторое случайное число Алисы:

$Alice\to \left\{A,R_{A}\right\}\to Bob$

Боб объединяет идентификатор Алисы, ее случайное число и метку времени, шифрует сообщение общим с Трентом ключом и посылает его Тренту, добавив свой идентификатор и случайное число Боба:

2.

Bob\to \left\{B,R_{B},E_{B}\left(A,R_{A},T_{B}\right)\right\}\to Trent

Трент генерирует сеансовый ключ

K

, а затем создает два сообщения. Первое включает идентификатор Боба, случайное число Алисы, случайный сеансовый ключ, метку времени и шифруется общим для Трента и Алисы ключом. Второе состоит из идентификатора Алисы, сеансового ключа, метки времени и шифруется общим для Трента и Боба ключом. Трент добавляет к ним случайное число Боба и отправляет Алисе:

3.

Trent\to \left\{E_{A}\left(B,R_{A},K,T_{B}\right),E_{B}\left(A,K,T_{B}\right),R_{B}\right\}\to Alice

Алиса извлекает

K

и убеждается, что

R_{A}

совпадает с тем, что было послано на этапе 1. Алиса отправляет Бобу два сообщения. Первое - это второе сообщение от Трента, зашифрованное ключом Боба. Второе - это случайное число Боба, зашифрованное сеансовым ключом.

4.

Alice\to \left\{E_{B}\left(A,K,T_{B}\right),E_{K}\left(R_{B}\right)\right\}\to Bob

Боб расшифровывает сообщение своим ключом и убеждается, что значения

T_{B}

и

R_{B}

не изменились.

Если оба случайных числа и метка времени совпадают, то Алиса и Боб убеждаются в подлинности друг друга и получают секретный ключ. Нет необходимости синхронизировать часы, так как метка времени определяется только по часам Боба и только Боб проверяет созданную им метку времени.

Проверка подлинности

Протокол обладает возможностью повторной аутентификации сторон без использования промежуточной стороны, но с использованием новых случайных чисел:

Алиса отправляет Бобу сообщение, присланное Трентом на этапе 3 и новое случайное число:

$Alice\to \left\{E_{B}\left(A,K,T_{B}\right),R'_{A}\right\}\to Bob$

Боб отправляет Алисе свое новое случайное число и случайное число Алисы, шифруя их сеансовым ключом:

2.

Bob\to \left\{R'_{B},E_{K}\left(R'_{A}\right)\right\}\to Alice

Алиса отправляет Бобу его новое случайное число, зашифрованное сеансовым ключом:

3.

Alice\to \left\{E_{K}\left(R'_{B}\right)\right\}\to Bob

Использование новых случайных чисел $R'_{A}$ и $R'_{B}$ защищает от атаки с повторной передачей.

Атаки на протокол

Атака на проверку подлинности

$I$ (от англ. Intruder) - злоумышленник.

$I(Alice)\to \left\{E_{B}\left(A,K,T_{B}\right),R'_{A}\right\}\to Bob$
$Bob\to \left\{R'_{B},E_{K}\left(R'_{A}\right)\right\}\to I(Alice)$
$I(Alice)\to \left\{E_{B}\left(A,K,T_{B}\right),R'_{B}\right\}\to Bob$
$Bob\to \left\{R'_{B},E_{K}\left(R'_{B}\right)\right\}\to I(Alice)$
$I(Alice)\to \left\{E_{K}\left(R'_{B}\right)\right\}\to Bob$

Атака на основе открытых текстов

$I(Bob)\to \left\{B,R_{B},E_{B}\left(A,K_{0},T_{B}\right)\right\}\to Trent$
$Trent\to \left\{E_{A}\left(B,R_{A},K_{1},T_{B}\right),E_{B}\left(A,K_{1},T_{B}\right),R_{B}\right\}\to I(Alice)$
$I(Bob)\to \left\{B,R_{B},E_{B}\left(A,K_{1},T_{B}\right)\right\}\to Trent$
$Trent\to \left\{E_{A}\left(B,R_{A},K_{2},T_{B}\right),E_{B}\left(A,K_{2},T_{B}\right),R_{B}\right\}\to I(Alice)$ и т.д.

В этой атаке злоумышленник может получить столько шифров $E_{B}\left(A,K_{i},T_{B}\right)$ , сколько необходимо для начала атаки на основе открытых текстов.

Литература

Шнайер Б. Протокол Ньюмана-Стабблбайна // Прикладная криптография. Протоколы, алгоритмы, исходные тексты на языке Си = Applied Cryptography. Protocols, Algorithms and Source Code in C. — М.: Триумф, 2002. — С. 82. — 816 с. — 3000 экз. — ISBN 5-89392-055-4.
A. Kehne, J. Schönwälder, H. Langendörfer. A nonce-based protocol for multiple authentications (англ.) // ACM SIGOPS Operating Systems Review. — 1992. — Vol. 26, iss. 4. — P. 84 - 89. — ISSN 0163-5980.
B. Clifford Neuman, Stuart G. Stubblebine. A note on the use of timestamps as nonces (англ.) // ACM SIGOPS Operating Systems Review. — New York, NY, USA: ACM, 1993. — Vol. 2, iss. 27. — P. 10—14. — ISSN 0163-5980.

$A$	Идентификаторы Алисы (Alice), инициатора сессии
$B$	Идентификатор Боба (Bob), стороны, с которой устанавливается сессия
$T$	Идентификатор Трента (Trent), доверенной промежуточной стороны
$K_{A},K_{B},K_{T}$	Открытые ключи Алисы, Боба и Трента
$K_{A}^{-1},K_{B}^{-1},K_{T}^{-1}$	Секретные ключи Алисы, Боба и Трента
$E_{A},\left\{...\right\}_{K_{A}}$	Шифрование данных ключом Алисы, либо совместным ключом Алисы и Трента
$E_{B},\left\{...\right\}_{K_{B}}$	Шифрование данных ключом Боба, либо совместным ключом Боба и Трента
$\left\{...\right\}_{K_{B}^{-1}},\left\{...\right\}_{K_{A}^{-1}}$	Шифрование данных секретными ключами Алисы, Боба (цифровая подпись)
$I$	Порядковый номер сессии (для предотвращения атаки с повтором)
$K$	Случайный сеансовый ключ, который будет использоваться для симметричного шифрования данных
$E_{K},\left\{...\right\}_{K}$	Шифрование данных временным сеансовым ключом
$T_{A},T_{B}$	Метки времени, добавляемые в сообщения Алисой и Бобом соответственно
$R_{A},R_{B}$	Случайные числа (nonce), которые были выбраны Алисой и Бобом соответственно