125 Кібербезпека / 5 Курс / 5.2_Методи побудови і аналізу криптосистем / Література / пiдручник

введения дополнительных полей в сертификат. Часто вводятся огра­

ничения такого рода.

Ограничение длины цепи: удостоверяющий центр может ограни­

чить расширение доверия, даваемого им, которое он непосредствен­

но кросс-сертифицирует, за счет указания БО всех подписываемых им кросс-сертификатах, что этот сертификат должен быть послед­ ним в любой цепи доверия.

Ограничение набора доменов: может быть определен набор удо­ стоверяющих центров (или их доменных имен) и введено требова­ ние, чтобы все удостоверяющие центры в цепочке сертификатов

принадлежали к этому домену.

Вообще говоря, проблема установления доверия непростая и до конца еще не разрешенная. Известны попытки создания специаль­ ных языков для описания отношений доверия в информационных системах со сложной топологией.

2.2. Протоколы распределения ключей

Одной из самых сложных задач управления ключами, возни­ кающих в криптографии, является формирование общих секретных ключей участников криптосистем. В этом разделе мы кратко позна­ комимся с основными способами решения этой задачи, отметим их достоинства, недостатки, сферы возможного применения.

2.2.1. Основные понятия и определения

Протокол распределения ключей (key establishment protocol) это криптографический протокол, в процессе выполнения которого общий секрет становится доступен двум или более сторонам для по­ следующего использования в криптографических целях.

Протоколы распределения ключей подразделяются на два клас­ са: протоколы транспортировки ключей и обмена ключами.

Протоколы транспортировки ключей (key transport) - это про­ токолы распределения ключей, в которых один участник создает или другим образом приобретает секрет и безопасным образом передает

его другим участникам.

Протоколы обмена ключами (keyagreement, key exchange) - зто

протоколы распределения ключей, в которых общий секрет выраба-

Протоколы распределения ключей могут строиться как без уча­ стия «третьей стороны», так и с ее участием. Доверенная «третья сторона» может выполнять различные ФУНКЦИИ: сервер аугентифи­ кации, центр распределения ключей, центр трансляции ключей, удо­ стоверяющий центр и др.

2.2.2.Свойства протоколов распределения Ю110чей

Косновным свойствам протоколов распределения ключей от­ носят свойства аугентификации ключа, подтверждения ключа и яв­ ной аутентификации ключа.

(Неявная) аутентификация ключа (implicit key аитепйсаиоп) - свойство, посредством которого один участник протокола убеждает­ ся, что никакая другая сторона, кроме специально идентифициро­ ванного второго участника протокола (и возможно, центра доверия),

не может получить доступ к секретным ключам, полученным в про­

токоле.

Разъясним это определение. Здесь нет гарантий, что второй уча­ стник действительно получил доступ к ключу, но никто другой, кроме него, не мог его получить. Неявная аутентификация ключа независима от реального обладания ключом другим участником и не требует каких бы то ни было действий от второй стороны.

Протокол аутентичного распределения ключей (authenticated key establishment protocol) - это протокол распределения ключей, ко­ торый обеспечивает аутентификацию ключей в смысле предыдуще­

го определения.

Подтверждение ключа (key confirmation) - свойство, посредст­

вом которого один участник протокола убеждается, что другой уча-

124 Запечников С. В. Криптографическиепротоколы 11их примененив

стник (возможно, неидентифицированный) действительно обладает

секретными ключами, полученными в протоколе.

Впротоколах применяется четыре способа подтверждения ключа:

1)вычисление хеш-кода ключа;

2)использование ключа в хеш-функции с ключом;

3)шифрование известной величины, используя ключ;

4)доказательства с нулевым разглашением знания.

Первые три способа, в отличие от последнего, разглашают неко­ торую частичную информацию о ключе, но это обычно не имеет

практического значения.

Явная аутентификация ключа (explicit key аитеппсапоп) - свой­ ство, которое выполняется, когда имеют место (неявная) аутен­

тификация ключа и подтверждение ключа одновременно. В этом случае известно, что идентифицированная сторона протокола реаль­

но обладает специфицированным ключом.

Понятие аутентификации ключа не тождественно понятию ау­ тентификации субъекта-участника протокола. Аутентификация уча­ стника в смысле ранее введенных понятий (идентичность стороны и ее «присутствие» в текущий момент времени) требуется далеко не во всех протоколах. Например, известный «классический» протокол обмена ключами Диффи - Хеллмана не обеспечивает ни аутентифи­ кацию ключа, ни подтверждение ключа, ни аутентификацию участ­

ников протокола.

Однако для протокола распределения ключей с аутентификацией участников очень важно, чтобы он гарантировал, что участник, чья идентичность подтверждена посредством аутентификации, был бы тем же самым участником, с которым выработан общий ключ. В противном случае злоумышленник может позволить легальному участнику пройти аутентификацию, а затем деперсонифицировать его при распределении ключей.

Часто для протоколов распределения ключей желательно также наличие некоторых дополнительных свойств.

Совершенная опережающая секретность (peifect forward secrecy). Протокол обладает свойством совершенной опережающей секретности, если компрометация долговременных ключей не ком­

прометирует прошлые сеансовые ключи участников протокола.

Стойкость к атаке по известным ключам (known-key attack). Протокол уязвим к атакепо известным ключам, если компрометация прошлых сеансовых ключей позволяет либо компрометировать бу­ дущие сеансовые ключи пассивному противнику, либо деперсони­ фицировать протокол в будущем активному противнику. Это аналог атаки по известному открытому тексту (known-plaintext attack) на ал­ горитмы шифрования.

2.2.3. Протоколы распределения ключей, основанные

на симметричных криптосхемах

Протоколы распределения ключей, основанные на симметрич­ ных криптосхемах, удобно разделить на два больших класса: прото­ колы без центра доверия (двусторонние) и протоколы с центром до­

верия.

Класс двусторонних протоколов включает протоколы обновле­ ния ключа с использованием симметричного шифрования и прото­ колы выработки производного ключа.

Протоколы обновления ключа, как мы уже знаем, вырабатывают совершенно новый ключ, не зависящий от имеющегося у участников

протокола ключевого материала.

Самым простым примером этого рода протоколов служит одно­ проходный протокол между сторонами А я В, У которых уже имеет­ ся долговременный ключ К (табл. 2.2). В результате они вырабаты­ вают новый сеансовый ключ в,

Таблица 2.2. Простой однопроходный протокол обновления

сеансового ключа

к недостаткамэтого протоколаможно отнести то, что ключ це­

ликом определяется только одним участником, протокол уязвим к атаке методомповторасообщенийи не предоставляетгарантийпод­

линностиучастников.

Двухпроходныйпротокол (табл. 2.3) уже обеспечивает двусто­ роннюю аутентификацию сторон, но для его выполнения участники

должны иметь синхронизированные часы.

126 Залечииков С. В. Криптографические протоколы 11 ш примененив

Таблица 2.3. Простой двухпроходный протокол обновления

Протоколы транспортировки ключа методом «запрос - ответ» строятся на основе аналогичных протоколов аутентификации. В табл. 2.4 показав протокол, который обеспечивает односторон­ нюю аутентификацию методом «запрос - ответ». В нем ключ цели­ ком определяется одним участником - абонентом А - и транспорти­

руется второму участнику.

Таблица 2.4. Протокол транспортировки ключа методом

Протокол, помещенный в табл. 2.5, обеспечивает взаимную аутентификацию методом «запрос - ответ», и сеансовый ключ в нем определяется уже совместным вкладом обоих участников. По своей конструкции он может быть отнесен к «протоколам рукопожатия».

Таблица 2.5. Протокол транспортировки ключа, построенный на базе «протокола рукопожатия»

Ни один из приведенных выше протоколов обновления ключа с использованием симметричного шифрования не обладает свойством совершенной опережающей секретности. Более того, все протоколы с числом пересылок сообщений две и более принципиально не го­

дятся для прикладных программ с передачей данных в режиме «хра-