Материал: Щерба В.В. Криптографическая защита информации

101

где E, D – алгоритмы зашифрования и расшифрования; tА – метка времени пользователя А;

id(А), id(B) – идентификаторы пользователя А и В соответственно. Напомним, что включение в сообщение метки времени позволяет проводить контроль единственности и своевременности получения сообщения и предотвращает возможные попытки повторной передачи сообщения, а использование значения идентификатора В предот-

вращает атаки отражения.

Этот протокол может быть модифицирован таким образом, чтобы новый секретный ключ генерировался не одной стороной, а стал результатом двустороннего обмена. Пусть пользователи А и В в процессе протокола выбирают случайные числа kA и kB, тогда:

Примером протокола второго вида может служить протокол А Шамира, позволяющий передать ключ без использования какой-либо общей секретной информации. В этом преобразовании применяются шифрующие алгоритмы, обладающие коммутативным свойством, а именно:

Ek1 (Ek2 (х)) = Ek2 (Ek1 (х)).

В этой ситуации пользователи А и В могут реализовать следующий протокол для передачи секретного ключа k от пользователя А к В.

Трехсторонние протоколы передачи ключей

Рассмотрим примеры протоколов распределения ключей между парами пользователей с участием третьей стороны Т, называемой центром. В этом качестве может выступать сервер или узел сети, которому доверяют все участники.

В выполнения трех первых шагов протокола пользователи А и В получают сгенерированный центром Т общий ключ k. Четвертый и пятый шаги протокола предназначены для идентификации пользователя А и подтверждения правильности получения общего ключа взаимодействующими сторонами.

Распределение ключей с использованием асимметричных криптографических систем

Уже отмечалось, что благодаря своим свойствам асимметричные криптографические системы широко применяются в процедурах распределения ключей. Действительно, для передачи секретного ключа от пользователя А к В достаточно выполнить следующий одношаго-

Естественно, зашифрование передаваемого сообщения осуществляется на открытом ключе пользователя В. Временная метка t включена в сообщения для контроля своевременности его передачи и предотвращения повторного использования ключа.

Для проведения взаимной идентификации и подтверждения правильности получения значения ключа можно воспользоваться сле-

Проводя на 4 и 5 шаге зашифрование и расшифрование случайного числа r, стороны убеждаются в правильности приема ключа, а выполнение 2 и 3 шага подтверждает аутентичность стороны А.

При использовании схемы цифровой подписи аутентифицированный протокол может состоять из одного шага, используя одно из следующих сообщений:

104

Недостатком этого протокола является возможность атаки типа «противник в середине», а именно: предположим, что противник осуществляет контроль канала связи, способен осуществлять подмену передаваемых абонентами сообщений. Тогда, выбрав числа х* и у* и

подменив сообщения αх (mod p) и αу (mod p) на αх* (mod p) и αу* (mod p)

соответственно, он может инициировать формирование ключей: k =(αх)у* mod p

и

k =(αу)х* mod p

для связи с пользователями А и В соответственно. В результате противник получает возможность полностью контролировать обмен сообщениями между абонентами. При этом легальные пользователи не могут обнаружить подмену.

Рассмотрим протокол, устраняющий этот недостаток. Он называется STS (station-to-station) и предполагает применение цифровой подписи.

Здесь SА и SB – цифровые подписи пользователей А и В соответственно; k – искомый общий секретный ключ. Шифрование значений подписей введено для того, чтобы обеспечить взаимное подтверждение правильности вычисления секретного ключа.

Предварительное распределение ключей

Большинство криптографических систем требует проведения процедуры распределения секретных ключей. Как уже отмечалось, для распределения ключей стороны могут обмениваться ключами при личной встрече, либо поручить доставку ключей специально назначенному доверенному курьеру, либо использовать для передачи выделенный защищенный канал связи. В зависимости от назначения криптографической системы иногда оказывается удобным распределять не сами секретные ключи, а некоторые вспомогательные ключевые материалы, на основании которых каждый пользователь системы смог бы самостоятельно вычислить необходимый ключ, используя установленную заранее процедуру.