3.1.2. Протокол 2. Асимметричная криптосистема

Обозначим открытый и секретный парные ключи абонента А через РКд и 8Кд соответствен­но. Протокол начинается с запроса открытого ключа абонента-респондента:

А -> AS: А, В. (IX.8)

Сервер аутентификации отвечает сообщением:

AS-»A: {PK_B,B}^SKAS. (IX.9)

Через SKas обозначен парный секретный ключ сервера. Предполагается, что А заранее зна­ет парный открытый ключ РKas, необходимый для дешифрования принятого сообщения. Процедуры хранения, извлечения и применения ключа РKas должны отвечать требованиям повышенной безопасности. Подлог РKas означает полную дискредитацию сервера и вместе с ним всего протокола аутентификации.

Шифрование в (IX.9) выполняется не для того, чтобы гарантировать конфиденциаль­ность, а для того, чтобы обеспечить целостность и аутентичность передаваемого сообщения. Необходимо, чтобы абонент А мог убедиться в аутентичности открытого ключа РКв. Для этого имя абонента В возвращается в сообщении (IX.9) вместе с его отрытым ключом. Або­нент А знает имя абонента-респондента и всегда может его проверить.

Затем А посылает В сообщение:

А->В: {1_А, А}^РКв. (IX.10)

Абонент В дешифрует сообщение на парном секретном ключе и затем обращается к серверу за открытым ключом РKa:

B->AS: В, А, (IX.11)

AS->B: {PK_A, A}^SKAS. (IX. 12)

Шифрование в (IX. 12), как и в (IX.9), выполняется для обеспечения целостности и аутен­тичности сообщения сервера.

Для доказательства уникальности текущего сеанса необходимо выполнить следующие действия:

А->В: {1_в}^РКв. (IX. 14)

Рассмотренный протокол состоит из семи сообщений. Сохраняя в локальной базе данных открытые ключи абонентов А и В, можно избежать передачи сообщений (IX.8), (IX.9), (IX.11) и (IX. 12). В результате протокол будет состоять из трех сообщений.

Отметим, что, поскольку открытые ключи не являются секретными, злоумышленник мо­жет пытаться изымать сообщения легальных пользователей и вставлять свои собственные. Простейший способ защиты — использование преобразования вида {{данные} ^SKa} . Дру­гой способ заключается во введении функции нумерации шифруемых сообщений. Так, номер текущего сообщения может вычисляться как функция его порядкового номера (например, текущий_номер := предыдущий_номер—1) и одноразового случайного значения Ia или Ib в зависимости от направления передачи. Еще один известный способ — метод одноразовых паролей S/KEY компании Bellcore [100]. При таком методе защиты злоумышленник не может воспроизве­сти легальный номер сообщения и, как следствие, не может вставить ложное сообщение в передаваемый поток.