Протокол Деннинга

Деннинг запропонував перебороти цю слабість модифікацією протоколу Нидхема й Шредера, що включає додаткову оцінку часу на кроках 2 і 3:

1. A -> KDC: ID_A || ID_B

2. KDC -> A: E_Ka [K_S || ID_B || T || E_Kb [K_S || ID_A || T] ]

3. A -> B: E_Kb [K_S || ID_A || T]

4. B -> A: E_KS [N₁]

5. A -> B: E_KS [f (N₁)]

Т - це оцінка часу, що гарантує А и B, що ключ сесії є тільки що створеним. Таким чином, і А, і В знають, що розподілений ключ не є старим. А й В можуть верифікувати часову оцінку перевіркою, що

|Clock - T| < Δt₁ + Δt₂,

де Δt₁ - оцінювана нормальна розбіжність між годинниками KDC і локальними годинниками (в А або B) і t₂ - очікувана мережна затримка часу. Кожний учасник може встановити свої годинники, орієнтуючись на певне довірене джерело. Оскільки часова оцінка Т шифрується з використанням секретних майстер-ключів, зломщик, навіть знаючи старий ключ сесії, не зможе досягти мети повторенням кроку 3 так, щоб В не помітив перекручування часу.

Кроки 4 і 5 не були включені в первісне подання, але були додані пізніше. Ці кроки підтверджують А, що В одержав ключ сесії.

Протокол Деннинга забезпечує більший ступінь безпеки в порівнянні із протоколом Нидхема й Шредера. Однак дана схема вимагає довіри до годинників, які повинні бути синхронізовані в мережі. В цьому є певний ризик, що полягає в тому, що розподілені годинники можуть розсинхронізуватись в результаті диверсії або ушкоджень. Проблема виникає, коли годинник відправника поспішає стосовно годинників одержувача. В цьому випадку супротивник може перехопити повідомлення від відправника й повторити його пізніше, коли оцінка часу в повідомленні стане рівної часу на вузлі одержувача. Це повторення може мати непередбачені наслідки.

Один спосіб обчислення атак повторення складається у вимозі, щоб учасники регулярно звіряли свої годинники з годинниками KDC. Інша альтернатива, при якій немає необхідності всім синхронізувати годинники, складається в довірі протоколам рукостискання, що використовує nonce.

Протокол автентифікації з використанням квитка

Даний протокол намагається перебороти проблеми, що виникли в попередніх двох протоколах. Він виглядає в такий спосіб:

1. A -> B: ID_A || N_a

2. B -> KDC: ID_B || N_b || E_Kb [ID_A || N_a || T_b]

3. KDC -> A: EK_a [ID_B || N_a || K_S || T_b] || E_Kb [ID_A || K_S || T_b] || N_b

4. A -> B: E_Kb [ID_A || K_S || T_b] || E_KS [N_b]

1. А инициализирует автентифікаційний обмін створенням nonce N_a і посилкою його й свого ідентифікатора до В у незашифрованому виді. Цей nonce повернеться до А в зашифрованому повідомленні, що включає ключ сесії, гарантуючи А, що ключ сесії не старий.

2. B повідомляє KDC, що необхідно ключ сесії. Це повідомлення до KDС включає ідентифікатор В и nonce N_b. Даний nonce повернеться до В у зашифрованому повідомленні, що включає ключ сесії, гарантуючи B, що ключ сесії не застарів. Повідомлення В к KDC також включає блок, зашифрований секретним ключем, поділюваним В и KDC. Цей блок використовується для вказівки KDC, коли закінчується час життя даного ключа сесії. Блок також специфікує наміченого одержувача й містить nonce, отриманий від А. Цей блок є свого роду "вірчою грамотою" або "квитком" для А.

3. KDC одержав nonces від А и В і блок, зашифрований секретним ключем, що В розділяє з KDC. Блок служить квитком, що може бути використаний А для наступних автентифікацій. KDC також посилає А блок, зашифрований секретним ключем, поділюваним А и KDC. Цей блок доводить, що В одержав початкове повідомлення А (ID_B), що в ньому втримується припустима оцінка часу й немає повтору (N_a). Цей блок забезпечує А ключем сесії (K_S) і встановлює обмеження часу на його використання (Т_b).

4. А посилає отриманий квиток В разом з nonce B, зашифрованим ключем сесії. Цей квиток забезпечує В ключем сесії, що той використовує для дешифрування й перевірки nonce. Той факт, що nonce B розшифровано ключем сесії, доводить, що повідомлення прийшло від А и не є повтором.

Даний протокол автентифікує А и В і розподіляє ключ сесії. Більше того, протокол надає в розпорядження А квиток, що може використовуватися для його наступної автентифікації, крім необхідності повторних контактів з автентифікованим сервером. Припустимо, що А и В установили сесію з використанням описаного вище протоколу й потім завершили цю сесію. Згодом, але до витікання ліміту часу, установленого протоколом, А може створити нову сесію з B. Використовується наступний протокол:

1. A -> B: E_Kb [ID_A || K_S || T_b], N_a'

2. B -> A: N_b', E_S [N_a']

3. A -> B: E_S [N_b']

Коли В одержує повідомлення на кроці 1, він перевіряє, що квиток не прострочений. Заново створені nonces N_a' і N_b' гарантують кожному учасникові, що не було атак повтору. Час T_b є часом щодо годинника B. Таким чином, ця часова мітка не вимагає синхронізації, так як В перевіряє тільки їм самим створену часову оцінку.

Використання шифрування з відкритим ключем

Протокол автентифікації з використанням автентифікационного сервера.

Розглянемо протокол, що використовує оцінки часу й автентифікаційний сервер:

1. A -> AS: ID_A || ID_B

2. AS -> A: E_KRas [ID_A || KU_a || T] || E_KRas [ID_B || KU_b || T]

3. A -> B: E_KRas [ID_A || KU_a || T] || E_KRas [ID_B || KU_b || T] || E_KUb [E_KRa [K_S || T]]

В цьому випадку третя довірена сторона є просто автентифікаційним сервером AS, так як третя сторона не створює й не розподіляє секретний ключ. AS просто забезпечує сертифікацію відкритих ключів учасників. Ключ сесії вибирається й шифрується А, отже, не існує ризику, що AS зламають і змусять розподіляти скомпрометовані ключі сесії. Оцінки часу захищають від повтору скомпрометованих ключів сесії.

Даний протокол компактний, але, як і раніше, вимагає синхронізації годинників.