4.5. Протокол стандарта х.509

Рассмотрим протокол, введенный стандартом CCITT X.509 для управления сертификацией в иерархической структуре [47]. В 1989 году Барроуз (Burrows), Абади (Abadi) и Нидхэйм (Needham) предложили атаку на протокол Х.509 [41]. Кратко изложим идею атаки. В соот­ветствии с протоколом Алиса подписывает сообщение вида {Та, Nа,B_,X, {Y}_Kв}, где Та - временная метка, Na — серийный номер, а X и Y — некоторые данные, и посылает его Бобу. Поскольку подпись всего сообщения выполняется после шифрования Y, существует возмож­ность замены подписи Алисы на подпись злоумышленника. Механизм атаки существенно зависит от математических свойств применяемого криптоалгоритма.

Таким образом, вычисление подписи после шифрования приводит к разрушению механиз­ма аутентификации. Последнее может означать, например, невозможность доказательства принадлежности в случае отказа от ранее переданного сообщения.