4.7. Анализ протоколов ssh и ака

Протоколы SSH [35,36] и АКА [37] предназначены для аутентификации и конфиденциаль­ной передачи сообщений в открытых сетях. Основу обоих протоколов составляют методы асимметричной криптографии. Анализ криптостойкости протоколов выполнен в [38].

Рассмотрим протоколы SHS и АКА. Введем некоторые, общие для обоих протоколов. обозначения:

• через А обозначим клиента, В — сервер, С — злоумышленника. Введенные обозначения используются в качестве уникальных идентификаторов абонентов;

• К а — открытый, а К_А^-1 — парный секретный ключ А;

• через К_{B h} ^и К_Bs обозначим два открытых, а через K_Bh^-1 и K_Bs^-1 — два парных секретных ключа В. В SSH K_Bh выполняет функции долговременного, а К_Bs кратковременного ключа. В протоколе АКА K_Bs — одноразовый ключ;

• зашифрованный на ключе К открытый текст X обозначим через {X}_K.. Каждый, кто знает {X}_K и ключ, обратный к К, может получить X. Для симметричных крипто­систем эти ключи совпадают. Для асимметричных криптосистем открытый и парный секретные ключи взаимно обратимы в указанном смысле. Если К --- секретный ключ, то асимметричное шифрование с целью получения {Х}к есть, по сути, вычисление цифровой подписи на ключе К. Иногда в шифротекст {Х}_K вводится дополнительная избыточность, которая позволяет контролировать целостность принятого сообщения. Однако с точки зрения анализа криптостойкости протоколов это не существенно:

• через Н обозначена хэш-функция

• N_A и N_B — уникальные случайные одноразовые значения, генерируемые А и В соот­ветственно. Для протокола AHA (но не для SSH) важно, чтобы эти значения хранились в секрете.

Предполагается, что при заданных А и К_A сервер В может достоверно убедиться в том, что К_A является открытым ключом А и что А является легальным абонентом криптосети. Аналогично А может убедится в подлинности ключа К_Bh . Однако А не имеет какой-либо исходной информации о K_Bh^-1 , кроме той, которую он получает в ходе реализации протокола. Аутентификация открытых ключей выполняется при помощи сертификатов. Все транзакции и действия, связанные с передачей и обработкой сертификатов, исключены из рассмотрения с целью упрощения описания протоколов.

Протокол SSH позволяет реализовать несколько различных вариантов аутентификации. Рассмотрим случай аутентификации клиента при помощи методов асимметричной крипто­графии. Имеем следующий протокол:

№ Отправитель Получатель Сообщение

Основное назначение описанного протокола — обеспечить сеансовым ключом К абонентов А и В. При помощи сообщений 1 и 2 абоненты А и В обмениваются одноразовыми случай­ными значениями. В сообщении 3 В передает А свои открытые ключи. В сообщении 4 А передает В ключ К. Конфиденциальность этого сообщения обеспечивается шифрованием на открытых ключах K_{Bs И} K_Bh .- Значение хэш-функции предыдущего сообщения позволяет установить непрерывную ассоциацию между сообщениями текущего сеанса и гарантирует невозможность несанкционированного воспроизведения сообщений. А передает свой иденти­фикатор и открытый ключ в сообщении 5. Уникальность сообщения подтверждается цифро­вой подписью значения хэш-функции идентификатора абонента А и одноразовых случайных значений N_A и N_B. Конфиденциальность сообщения обеспечивается шифрованием на ключе К', полученном из К, N_A и N_B.

Протокол уязвим, так как в сообщении 5 не содержится явной информации о К и В. Воз­можна атака, в ходе которой некоторый сервер С, обладающий открытыми ключами K_Ch и K_CS может выдать себя за абонента А при установлении сеансового соединения между А и В. Для этого А должен предварительно установить сеансовое соединение с С. Когда это происходит, С немедленно устанавливает сеансовое соединение с В. Если при этом допуска­ется, что одноразовые значения могут быть одинаковыми в двух различных сеансах, то С может использовать аутентичные, подтвержденные цифровой подписью, сообщения А для установления сеансового соединения с В.

В результате В уверен, что уникальный ключ К используется в сеансовом соединении с А. однако это не так — тот же самый ключ известен С.

Метод противодействия описанной атаке заключается в использовании дополнительной информации, включающей идентификатор, сертификат и открытые ключи В, а также неко­торый уникальный идентификатор сеансового ключа (например, значение хэш-функции это­го ключа). Необходимо отметить, что в последнюю версию протокола SSH внесены соответ­ствующие изменения.

Отправитель Получатель Сообщение

Цель протокола — обеспечить абонентов А и В сеансовым ключом N_A mod2 N_B . В сообщени­ях 1 и 2 абоненты A и В обмениваются открытыми ключами. В сообщениях 3 и 4 абоненты обмениваются одноразовыми значениями N_A и N_B , которые впоследствии будут использова­ны для вычисления сеансового ключа. В сообщении 5 передается подписанное В одноразовое значение N_A. Сообщение 6 — результат хэширования одноразового значения N_B, зашифро­ванный на открытом ключе абонента В. В результате только А и В знают результирующий сеансовый ключ — асимметричное шифрование гарантирует полную конфиденциальность передаваемых сообщений.

В рассмотренном протоколе подлинность сообщений подтверждается цифровой подписью абонента В. Однако протокол АКА столь же уязвим, что и рассмотренный выше протокол SSH. Основной недостаток заключается в том. что протокол позволяет убедиться в подлин­ности N_A, но не N_B. В результате С может выдать себя за В при установлении сеансового соединения между А и В.

• Атака возможна, если А и В инициируют сеансовое соединение, а С перехватывает и выполняет замену некоторых сообщений. При этом С может не быть легальным абонентом криптосети.

№ Отправитель______Получатель Сообщение

С перехватывает сообщение 2 и выполняет замену открытого ключа K_BS на свой соб­ственный открытый ключ K_CS. Данная манипуляция позволяет С, перехватив сообщение 3 раскрыть N_A. После чего С может конфиденциально передать N_A абоненту В (сообщение 3’). С может также изъять сообщение 4 и вместо него передать А другое сообщение 4' с известным С одноразовым значением N_C. В конечном итоге С не может продолжить взаи­модействие с В, но А уверен, что уникальный сеансовый ключ N_A mod2 N_C известен только А и В. Однако этот ключ известен также и С. Превентивная мера заключается в том. что под­писанные В сообщения должны содержать дополнительную информацию. Последняя версия протокола содержит все необходимые дополнения и исправления.