Протокол Деннинг — Сакко

Первое сообщение от Алисы к Тренту содержит в себе идентификаторы участников предстоящего обмена — Алисы и Боба. Данное сообщение посылается открытым текстом:

${\displaystyle Alice\to \left\{A,B\right\}\to Trent}$

Трент генерирует сессионный ключ ${\displaystyle K}$ и отправляет Алисе зашифрованное сообщение, которое включает в себя идентификатор Боба, сессионный ключ, метку времени и пакет ${\displaystyle \left\{A,K,T_{T}\right\}_{K_{B}}}$, выполняющий роль сертификата Алисы:

${\displaystyle Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{A}}\to Alice}$

Затем Алиса расшифровывает сообщение Трента и отправляет Бобу свой сертификат ${\displaystyle \left\{A,K,T_{T}\right\}_{K_{B}}}$:

${\displaystyle Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob}$

По окончании протокола у Алисы и Боба есть общий сеансовый ключ ${\displaystyle K}$.

Алиса и Боб могут убедиться в том, что полученные ими сообщения валидные, с помощью проверки меток времени ${\displaystyle T_{T}}$.

В 1997 году Гэвин Лоу (англ. Gavin Lowe) представил атаку на протокол[4]:

• Алиса и Боб завершают сеанс протокола, в результате чего у сторон вырабатывается сессионный ключ ${\displaystyle K}$:

1. ${\displaystyle Alice\to \left\{A,B\right\}\to Trent}$

2. ${\displaystyle Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{A}}\to Alice}$

3. ${\displaystyle Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob}$

• Далее злоумышленник повторяет последнее сообщение Алисы:

4. ${\displaystyle Attacker\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob}$

Действия злоумышленника приводят к тому, что Боб решает, будто Алиса хочет установить с ним новое соединение.

В той же работе Лоу предложил модификацию протокола, в которой обеспечивается аутентификация Алисы перед Бобом[4]:

• Сначала Алиса и Боб полностью повторяют сеанс протокола:

1. ${\displaystyle Alice\to \left\{A,B\right\}\to Trent}$

2. ${\displaystyle Trent\to \left\{B,K,T_{T},\left\{A,K,T_{T}\right\}_{K_{B}}\right\}_{K_{A}}\to Alice}$

3. ${\displaystyle Alice\to \left\{A,K,T_{T}\right\}_{K_{B}}\to Bob}$

• Затем Боб генерирует случайное число, шифрует его на сессионном ключе ${\displaystyle K}$ и отправляет Алисе:

4. ${\displaystyle Bob\to \left\{R_{B}\right\}_{K}\to Alice}$

• Алиса расшифровывает сообщение Боба, прибавляет к ${\displaystyle R_{B}}$ единицу, шифрует полученный результат на сессионном ключе ${\displaystyle K}$ и отправляет Бобу:

5. ${\displaystyle Alice\to \left\{R_{B}+1\right\}_{K}\to Bob}$

После того как Боб расшифрует сообщение Алисы, он сможет проверить факт владения Алисы сессионным ключом ${\displaystyle K}$.

В рамках протокола Боб никак не подтверждает получение нового сессионного ключа ${\displaystyle K}$ и возможность им оперировать. Сообщение от Алисы на 5-м проходе могло быть перехвачено или изменено злоумышленником. Но никакого ответа Алиса от Боба уже не ожидает и уверена, что протокол завершился успешно.

Первое сообщение от Алисы к Тренту содержит в себе идентификаторы участников предстоящего обмена — Алисы и Боба. Данное сообщение посылается открытым текстом:

${\displaystyle Alice\to \left\{A,B\right\}\to Trent}$

В ответ Трент отправляет Алисе подписанные сертификаты открытых ключей Алисы и Боба. Дополнительно в каждый сертификат добавляются временные метки:

${\displaystyle Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T}\right)\right\}\to Alice}$

Алиса генерирует новый сессионный ключ ${\displaystyle K}$ и отправляет его Бобу вместе с меткой времени ${\displaystyle T_{A}}$, подписав это своим ключом и зашифровав это открытым ключом Боба, вместе с обоими сообщениями, полученными от Трента:

${\displaystyle Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T}\right)\right\}\to Bob}$

Боб проверяет подпись доверенного центра на сертификате ${\displaystyle S_{T}\left(A,K_{A},T_{T}\right)}$, расшифровывает сессионный ключ ${\displaystyle K}$ и проверяет подпись Алисы.

Абади и Нидхем описали атаку на протокол[6], в ходе которой Боб, получив сообщение от Алисы, может выдать себя за неё в сеансе с другим пользователем. Отсутствие в сообщении от Алисы ${\displaystyle E_{K_{B}}\left(S_{A}\left(K,T_{A}\right)\right)}$ идентификатора Боба приводит к тому, что Боб может использовать принятые от Алисы данные для того, чтобы выдать себя за Алису в новом сеансе с третьей стороной (Кларой).

• Сначала Алиса и Боб проводят стандартный сеанс протокола, выработав новый сессионный ключ ${\displaystyle K}$:

1. ${\displaystyle Alice\to \left\{A,B\right\}\to Trent}$

2. ${\displaystyle Trent\to \left\{S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T}\right)\right\}\to Alice}$

3. ${\displaystyle Alice\to \left\{E_{B}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(B,K_{B},T_{T}\right)\right\}\to Bob}$

• После этого Боб инициирует новый сеанс с Кларой и действует в рамках протокола:

4. ${\displaystyle Bob\to \left\{B,C\right\}\to Trent}$

5. ${\displaystyle Trent\to \left\{S_{T}\left(B,K_{B},T_{T}\right),S_{T}\left(C,K_{C},T_{T}\right)\right\}\to Bob}$

• На последнем шаге протокола Боб воспроизводит в сеансе с Кларой сообщения ${\displaystyle S_{A}\left(K,T_{A}\right)}$ и ${\displaystyle S_{T}\left(A,K_{A},T_{T}\right)}$, полученные от Алисы:

6. ${\displaystyle Bob\to \left\{E_{C}\left(S_{A}\left(K,T_{A}\right)\right),S_{T}\left(A,K_{A},T_{T}\right),S_{T}\left(C,K_{C},T_{T}\right)\right\}\to Clara}$

Клара успешно проверяет подпись доверенного центра на сертификате ${\displaystyle S_{T}\left(A,K_{A},T_{T}\right)}$, расшифровывает сессионный ключ ${\displaystyle K}$ и проверяет подпись Алисы. В результате Клара уверена, что установила сеанс связи с Алисой, поскольку все необходимые шаги протокола были проделаны верно и все сообщения оказались корректны.