1. Простий розподіл секретних ключів

Виключно просту схему запропонував Меркле (Merkle) [MERK79], рис. 10.5. Якщо ініціатор А намір обмінятися даними з користувачем В, для цього передбачається наступна процедура.

Рис. 10.5. Просте використання шифрування з відкритим ключем при виборі сеансового ключа

1. Сторона А генерує пару відкритий / особистий ключі {KU_a, KR_a} і передає повідомлення стороні В, що містить KU, і код відправника А, IDA.

2. Одержувач В генерує секретний ключ К. і передає цей ключ інк ціатору повідомлення А зашифрованим з допомогою відкритого ключа інк ціатора А.

3. Користувач А обчислює D_КRa[Е_КUa [К_s]], щоб відновити секретний ключ. Оскільки тільки користувач А може дешифрувати це повідомлення, тільки учасники обміну даними А і В будуть знати значення К_s.

4. Учасник А викидає ключ KR_a, а учасник В - викидає ключ KU_a.

Тепер обидві сторони, А і В, можуть використовувати зв'язок, захищену традіцн онним шифруванням з сеансовим ключем К_s. По закінченні обміну даними А і В викидають К_s. Незважаючи на простоту, цей протокол вельми прівлекв телен. Ніяких ключів не існують перед початком зв'язку і ніяких ключі: не залишається після завершення зв'язку. Тому ризик компрометації ключів мінімальний. У той же час зв'язок виявляється захищеним від підслуховування.

Цей протокол вразливий щодо активних атак. Якщо противник Е імее можливість впровадження в канал зв'язку, то він може скомпрометувати зв'язок без того, щоб бути виявленим, таким чином.

1. Учасник А генерує пару відкритий / особистий ключі {KU_a, KR_a} і передає повідомлення адресату В, що містить KUa та ідентифікатор учасника А ID_А.

2. Противник Е перехоплює повідомлення, створює власну пару откри тий / особистий ключі {KU_e, KR_e} і передає повідомлення адресату В, що містить KU_e || ID_А.

3. В генерує секретний ключ К_s і передає E_KUe[K_s].

4. Противник Е перехоплює це повідомлення і дізнається Кs, обчислював D_KRe [E_KUe [K_s]].

5. Противник Е передає учаснику А повідомлення Е_КUa[К_s].

В результаті обидва учасники, А і В, знатимуть К_s, але не будуть підозрювати що К_s також відомий і противнику Е. Тому сторони А і В можуть почати обмін повідомленнями, використовуючи К_s. Противник Е більше не буде активно втручатися в канал зв'язку, а просто буде перехоплювати повідомлення. Знаючи К_s, він зможе дешифрувати будь-яке повідомлення, а учасники А і В навіть не будуть підозрювати про існування проблеми. Таким чином, цей простий протокол виявляється корисним тільки у випадку, коли єдиною можливою загрозою є пасивний перехоплення повідомлень.

2. Розподіл секретних ключів із забезпеченням конфіденційності і аутентифікації

Схема на рис. 10.6, заснована на підході, запропонованому в [NEED78], забезпечує захист і від активної, і від пасивної форм атаки. В якості вихідних умов припустимо, що А і В вже обмінялися відкритими ключами з однією зі схем, описаних вище. Далі слід виконати наступні дії.

Рис.10.6. Розподіл секретних ключів за допомогою шифрування з відкритим ключем

1. Сторона А використовує відкритий ключ сторони В, щоб переслати стороні В шифрування повідомлення, що містить ідентифікатор учасника А (ID_A) і оказію (N₁), використовувану для ідентифікації даної конкретної транзакції.

2. Користувач В посилає повідомлення користувачу А, зашифроване за допомогою KU_a і містить отриману від нього оказію (N₁) і нову оказію (N₂), згенеровану користувачем В. З огляду на те що тільки учасник В міг дешифрувати повідомлення (1), присутність N₁ у повідомленні (2) переконує учасника А в тому, що респондентом є сторона В.

3. Сторона А повертає N₂, шифруючи повідомлення відкритим ключем боку В, щоб гарантувати їй, що його респондентом є сторона А.

4. Учасник А вибирає секретний ключ Кв і посилає учаснику В повідомлення М = E_KUb[E_KRa[K_s]]. Шифрування цього повідомлення відкритим ключем сторони В гарантує, що тільки учасник В зможе прочитати його, а шифрування особистим ключем учасника А - що тільки учасник А міг послати його.

5. Сторона В обчислює D_KUa[E_KRb[M]], щоб відновити секретний ключ.

Зверніть увагу на те, що перші три дії цієї схеми відповідають останнім трьом діям схеми, показаної на рис. 10.3. В результаті при обміні секретними ключами ця схема гарантує як конфіденційність, так і аутентифікацію.