Wide-Mouth Frog

В 1995 году Росс Андерсон и Роджер Нидхем предложили следующий алгоритм атаки на протокол:

1. ${\displaystyle Alice\to \left\{A,E_{A}\left(T_{A},B,K\right)\right\}\to Trent}$
2. ${\displaystyle Trent\to \left\{E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$
3. ${\displaystyle I(Bob)\to \left\{B,E_{B}\left(T_{T},A,K\right)\right\}\to Trent}$
4. ${\displaystyle Trent\to \left\{E_{A}\left(T'_{T},B,K\right)\right\}\to Alice}$
5. ${\displaystyle I(Alice)\to \left\{A,E_{A}\left(T'_{T},B,K\right)\right\}\to Trent}$
6. ${\displaystyle Trent\to \left\{E_{B}\left(T''_{T},A,K\right)\right\}\to Bob}$,

где I(Alice) и I(Bob) — злоумышленник имитирующий Алису и Боба соответственно.

Изъян протокола заключается в том, что Трент обновляет свою временную метку ${\displaystyle T_{T}}$, от временной метки Алисы ${\displaystyle T_{A}}$. То есть пока Трент не держит список всех рабочих ключей и меток, злоумышленник может поддерживать ключи рабочими, используя Трента в качестве предсказателя.

Практический результат данного недостатка будет зависеть от приложения. Например, если пользователи используют смарт-карту с данным протоколом, который в открытом виде отправляет сеансовый ключ в программный модуль шифрования (англ. software bulk encryption routine), то ключи могут быть открыты для данной атаки. Злоумышленник может наблюдать как Алиса и Боб проводят сеансы и поддерживать ключи рабочими, пока не появится возможность выкрасть смарт-карту[5].

В 1997 году Гэвин Лоу предложил ещё один вариант атаки на данный протокол, основанный на том, что злоумышленник заставляет думать Боба, что Алиса установила два сеанса обмена, в то время как Алиса устанавливает один сеанс. Атака включает два чередующихся прохода протокола, которые мы назовём ${\displaystyle \alpha }$ и ${\displaystyle \beta }$, обозначим, например, второе сообщение сеанса \alpha как ${\displaystyle \alpha .2.}$ Тогда атака выглядит следующим образом:

1. ${\displaystyle Message}$ ${\displaystyle \alpha .1.}$ ${\displaystyle Alice\to \left\{A,E_{A}\left(T_{A},B,K\right)\right\}\to Trent}$
2. ${\displaystyle Message}$ ${\displaystyle \alpha .2.}$ ${\displaystyle Trent\to \left\{B,E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$
3. ${\displaystyle Message}$ ${\displaystyle \beta .2.}$ ${\displaystyle I(Trent)\to \left\{B,E_{B}\left(T_{T},A,K\right)\right\}\to Bob}$,

где I(Trent) злоумышленник имитирующий Трента.

Сеанс ${\displaystyle \alpha }$ представляет нормальный ход обмена ключами, когда Алиса устанавливает сеанс с Бобом, используя ключ ${\displaystyle K}$. Тогда в сообщении ${\displaystyle \beta .2}$, злоумышленник имитирует Трента, и повторяет сообщение ${\displaystyle \alpha .2}$; после чего Боб считает, что Алиса пытается начать второй сеанс.

Кроме того, злоумышленник может воспроизвести для Трента сообщение ${\displaystyle \alpha .1}$, как сообщение следующего сеанса. Это приведёт к получению Бобом второго сообщение, с таким же результатом как и ранее.

Данную уязвимость исправляет модифицированный Wide-Mouthed Frog протокол (англ. Lowe modified Wide-Mouthed frog protocol)[3].