4.3. Протоколы на основе асимметричных криптосистем

Криптографические протоколы разрабатываются на основе не только симметричных, или одноключевых (с одним и тем же ключом для шифрования и дешифрования), но и асим­метричных, или двухключевых криптосистем [44]. Особенность асимметричной схемы за­ключается в том, что в прямом криптографическом преобразовании применяется открытый (шифрование) или секретный (вычисление цифровой подписи) ключ, а в обратном преобра­зовании — секретный (дешифрование) или открытый (проверка цифровой подписи) ключ, то есть ключи в прямом и обратном преобразовании всегда различны. Кроме того, прямое и обратное преобразования взаимно обращаемы. Так, если К открытый,, К^-1 секретный ключ, а С, М — шифротекст и открытый текст соответственно, то при заданном С = {М}_к от­крытый текст может быть получен в результате преобразования М = {C}_K-1. Аналогично при С = {М}_K-1, М = {С}_к.

Таким образом, если Алиса и Боб опубликовали свои открытые ключи К а и kb при усло­вии сохранения в секрете парных ключей Кa^-1, Кв^-1, передача сообщения М осуществляется следующим образом [161]. Для шифрования сообщения М Алиса последовательно применяет прямое криптографическое преобразование на ключах Кa^-1 (секретный ключ Алисы) и Kв (открытый ключ Боба):

Для дешифрования полученного сообщения Боб последовательно применяет обратное крип­тографическое преобразование на ключах Kв^-1 (секретный ключ Боба) и К а (открытый ключ Алисы).

Очевидная атака заключается в том, что злоумышленник может сгенерировать пару клю­чей Kx, Кx^-1 и поместить Kx в общедоступный справочник с утверждением, что данный ключ принадлежит Алисе. Тогда все секретные сообщения, адресованные Алисе, будут за­шифрованы на ключе Kx и, следовательно, раскрыты злоумышленником (дешифрованием на ключе К_х^-1). Таким образом, проблема обеспечения конфиденциальности при передаче сообщений сводится к проблеме доказательства подлинности источника сообщений (аутенти­фикации).

Известным способом решения сформулированной проблемы является создание доверен­ного центра сертификации — некоторого аналога сервера аутентификации. Для этого Сэм (центр сертификации) обеспечивает каждого абонента криптосети специальным сертифика­том. В упрощенном виде сертификат можно рассматривать как структурированную запись в базе данных, состоящую из имени абонента, открытого ключа, прав доступа, срока действия сертификата и других атрибутов, скрепленных цифровой подписью центра сертификации. Тогда валидность цифровой подписи сертификата (проверка осуществляется с помощью от­крытого ключа центра) позволяет установить подлинность открытого ключа конкретного абонента криптосети. Например, сертификат Алисы будет выглядеть следующим образом:

Ca= {A,Ka,Ra,Ea}Ks^-1

Однако сертификаты не позволяют полностью решить проблем. Например, один из первых криптографических протоколов, разработанный Деннинг (Denning) и Сакко (Sacco) в 1982 г.. предназначался для распределения секретных сеансовых ключей:

№ Отправитель _ Получатель Сообщение

Только в 1994 г. Абади (Abadi) раскрыл существенный недостаток данного протокола. Суть его заключается в том, что Боб, получив сообщение Алисы (сообщение на шаге 3). может выдавать себя за Алису в течение срока действия временной метки Ta.

Предположим, Боб желает выдать себя за Алису при взаимодействии с Чарли. Для этого он обращается к Сэму, получает сертификат Чарли Сс, выполняет дешифрование сообщения, полученного от Алисы на 3 шаге протокола, далее шифрует сообщение {Ta, К_Ав}K^-1 на открытом ключе Чарли (из сертификата Сс) и затем посылает Чарли сообщение:

Уязвимость данного протокола объясняется отсутствием уникального имени абонента-респондента в сообщениях протокола.

Рассмотрим еще один протокол, предложенный By (Woo) и Лэмом (Lam) [50|:

№ Отправитель______Получатель Сообщение

Очевидный недостаток здесь заключается в том, что Боб не проверяет уникальность сооб­щений протокола с помощью временных меток или одноразовых случайных чисел (nonce). Отсутствие цифровой подписи сообщений со стороны Алисы приводит к более серьезным проблемам. В результате Боб может доказать факт существования Алисы только самому себе и не может доказать этого третьей стороне. Некоторые протоколы на базе двухключевых криптоалгоритмов гарантируют возможность доказательства принадлежности в случае отказа от ранее переданного сообщения, однако в общем случае нарушение механизма аутен­тификации представляет собой реальную угрозу.