Важно!!!

Однако необходимо понимать, что нельзя шифровать произвольные строки, как показано в литературе имеется ряд атак, использующих мультипликативное свойство КС, основанные на шифровании “случайных последовательностей”, приводящий к компрометации ключа.

Стойкие к подобным атакам протоколы “запрос-ответ” имеют следующую, более сложную форму:

1. Корреспондент A выполняет вычисление, основанное на некоторых случайных числах и своем закрытом ключе, и посылает результат серверу.

2. В посылает другое случайное число.

3. А выполняет некоторое вычисление, основанное на случайных числах (как созданном им, так и полученном от B) и своем закрытом ключе, и посылает результат B.

4. B выполняет некоторое вычисление для чисел, полученных от A, и его открытого ключа, проверяя, что A известен закрытый ключ.

5. Если проверка завершается успешно, подлинность A подтверждается.

Если А доверяет В не в большей степени, чем тот доверяет А, то он должен потребовать подтверждения подлинность B аналогичным образом.

Этап (1) может показаться ненужным и запутанным, но он необходим для защиты ЗК корреспондентов.

Двусторонняя аутентификация с использованием протокола «рукопожатия»

Пусть два корреспондента, А и В, хотят проверить подлинность друг друга. У каждого из них есть секретная информация, известная другому пользователю: k_a у А и k_b у B. Следующим образом реализован протокол, который не стоек к атаке “внедрение в середину”:

А и В обмениваются своими открытыми ключами. А шифрует k_a открытым ключом В и передает А.В шифрует k_b открытым ключом А и передает В. А дешифрует полученное сообщение и подтверждает верность секрета. В дешифрует полученное сообщение и подтверждает верность секрета. Аутентификация завершена.

Предварительные вычисления:

1. А шифрует k_a на ключе B e_b , c_a = E(k_a, e_b) .

2. В шифрует на ключе k_b на ключе B e_a , c_b = E(k_b, e_a) .

3. Корреспондент A выполняет вычисление, основанное на некоторых случайных числах и своем закрытом ключе, и посылает результат серверу.

Активная часть протокола:

1. А передает c_a .

2. В передает c_b

3. В дешифрует c_a на секретном ключе d_b криптограмму c_a, k_a = D(k_a, d_b).

4. A дешифрует c_b на секретном ключе d_a криптограмму c_b, k_b = D(k_b, d_a).

5. Корреспонденты имеют обе компоненты k_a и k_b

Атака “внедрение в середину” выполняется по следующей схеме:

Злоумышленник М “врезается” в канал связи.

1. А и В обмениваются открытыми ключами. М перехватывает оба сообщения, и посылает обоим корреспондентам свои собственные открытые ключи, подменив им их ключи.

2. А шифрует k_a, открытым ключом корреспондента В, подменным атакующим, и посылает В. М перехватывает сообщение, дешифрует k_a с помощью своего закрытого ключа, снова шифрует k_a открытым ключом, ассоциируемым с В и посылает его В.

3. В шифрует k_b открытым ключом корреспондента А, соответственно тоже подмененным М, и посылает его А. М перехватывает сообщение, дешифрует k_b с помощью своего закрытого ключа, снова шифрует k_b открытым ключом, ассоциируемым с А и посылает его А.

4. А дешифрует k_b и подтверждает его верность.

5. В дешифрует k_a и подтверждает его верность.

Со стороны обмена между корреспондентами А и В ничего не изменилось, атака М для них является прозрачной. Входе работы данного протокола М получает k_b, k_a.Также возможна атака, “внедрением в середину”, с разрывом соединения после получения секрета A, дальнейшей его блокировкой и аутентификацией М, как A на секрете k_a. После чего выполняется соединение с A при успешной проверке секретной последовательности k_b.