Трехсторонние протоколы

Рассмотрим протоколы распределения ключей между парами участников с использованием третьей стороны Т, называемой центром. В этом качестве обычно выступает некоторый выделенный узел сети, или сервер, которому доверяют все участники. Центр Т хранит ключи всех абонентов сети. Поэтому схема ключевых взаимоотношений графически представляет собой звезду.

Один из первых протоколов такого типа заключается в выполнении следующих шагов:

1. А→Т: А,В,r_A,

2. T→A: E_kAT(r_A,B,k,E_kBT(k,A)),

3. A→B: E_kBT(k,A),

4. B→A: E_k(r_B),

5. A→B: E_k(r_B - 1).

В результате выполнения трех первых шагов протокола пользователи А и В получают сгенерированный центром Т общий ключ к для организации взаимодействия. Четвертый и пятый шаги предназначены для аутентификации пользователя А и подтверждения правильности получения ключа обеими сторонами.

Слабость этого протокола заключается в возможности повторной передачи абоненту В сообщения, переданного на шаге 3. При этом абонент В не имеет возможности установить, что полученный ключ k уже был использован. Поэтому в случае компрометации этого ключа злоумышленник может аутентифицироваться и передавать сообщения от имени A.

Недостаток этого протокола устранен в протоколе Kerberos. Рассмотрим сначала базовый протокол, применяемый в протоколе аутентификации и распределения ключей Kerberos. Он состоит из следующих шагов:

1. А→Т: А,В,r_А,

2. Т→А: Е_кBT (k, r_A ,L,B), билет,

3. A→В: билет, аутентификатор,

4. В→А: E_k(t,k_B).

Здесь "билетом" названа величина E_kBT(k,A,L), "ayтентификатором" — величина E_k(A,t,k_A), t — метка времени; L — период времени действия билета, r_А — случайное число, сгенерированное абонентом А и вставленное в передаваемое сообщение для взаимной аутентификации, а k_А и k_B — случайные числа, сгенерированные абонентами А и В соответственно, и используемые либо в качестве ключа шифрования информации другой стороне, либо для выработки общего ключа k_АВ = f(k_A,k_B)с помощью некоторой функции f.

В полном протоколе Kerberos описанный выше базовый протокол используется два раза. Дело в том что в нем предусмотрено два сервера. Первый - "сервер аутентификации", обозначаемый AS, выдает так называемые "билеты для получения билетов" (tgt), содержащие ключи, предназначенные для длительного использования. Второй сервер, TGS, — "сервер выдачи билетов", выдает обычные билеты для доступа к сетевым ресурсам и обращения к другим пользователям.

Рис.36. Протокол Kerberos.

Сообщения, передаваемые согласно этому протоколу, выглядят следующим образом:

1. A→AS: A,TGS,r_A, ,

2. AS→A: E_kA,AS(k_A,TGS,r_A,L₁,TGS), tgt,

3. A→TGS: tgt, аутентификатор₁, B, r_A’,

4. TGS→ A: E_kA,TGS(k,r_A’,L₂,B), билет,

5. A→В: билет, аутентификатор₂,

6. B→A: E_k(t₂,k_B),

где

tgt = Е_kАS,TGS(k_А,TGS, А, L₁),

аутентификатор₁ = E_kA,TGS(A,t₁),

билет = Е_kB,TGS(К, A,L₂),

аутентифиштор₂ = E_k (A, t₂, k_A ) .

Благодаря введению второго сервера нагрузка на первый сервер уменьшается во много раз. Первый сервер должен быть наиболее защищенным, поскольку он хранит главные ключи всех пользователей. Серверов второго типа может быть несколько, и они могут соответствовать определенной подсети или определенному типу ресурса.

Приведем еще один протокол распределения ключей с использованием сервера, предпочтительный для случая, когда сервер находится в более удобном расположении для второго абонента. Протокол состоит в выполнении следующих действий:

1. A→B: r,A,B,E_kAT(r_A,r,A,B),

2. В →Т: r, А,В,E_kAT (r_A,r, А,В),Е_kBT(r_B,r, А,В),

3. T→B: E_kAT(r_A,k),E_kBT(r_B,k),

4. В→А: Е_кАТ(r_А,к).

Пользователь А генерирует два случайных числа: первое (r_А)используется, как и раньше, для взаимной аутентификации, а второе (r) — для аутентификации сеанса связи (вместо него может быть использована метка времени).

Этот протокол можно дополнить еще одним шагом для обеспечения взаимной аутентификации сторон и подтверждения правильности полученного ключа:

4^’. B→A: Е_kAT (r_А,k),Е_k(r,r_в),

5. А→В: Е_k(r).