ニーダム・シュローダープロトコル

ニーダム・シュローダープロトコルは、安全でないネットワーク上での使用を目的とした2つの主要なトランスポートプロトコルのうちの1つであり、どちらもロジャー・ニーダムとマイケル・シュローダーによって提案されました。^[1]これらは次のとおりです。

• Needham -Schroeder 対称鍵プロトコルは、対称暗号化アルゴリズムに基づいています。これは、 Kerberosプロトコルの基礎となります。このプロトコルは、通常は以降の通信を保護するために、ネットワーク上の 2 つの当事者間でセッション キーを確立することを目的としています。
• 公開鍵暗号に基づくNeedham -Schroeder 公開鍵プロトコル。このプロトコルは、ネットワーク上で通信する 2 者間の相互認証を提供することを目的としていますが、提案された形式では安全ではありません。

ここで、アリスは ボブとの通信を開始します。ボブは両者が信頼するサーバーです。通信では次のことが行われます 。${\displaystyle (A)}$${\displaystyle B}$${\displaystyle S}$

• ${\displaystyle A}$それぞれアリスとボブのアイデンティティである${\displaystyle B}$
• ${\displaystyle {K_{AS}}}$は、そしてのみに知られている対称鍵です${\displaystyle A}$${\displaystyle S}$
• ${\displaystyle {K_{BS}}}$は、そしてのみに知られている対称鍵です${\displaystyle B}$${\displaystyle S}$
• ${\displaystyle N_{A}}$およびはそれぞれおよびによって生成されるノンスである。${\displaystyle N_{B}}$${\displaystyle A}$${\displaystyle B}$
• ${\displaystyle {K_{AB}}}$は対称的に生成されたキーであり、と間のセッションのセッションキーになります。${\displaystyle A}$${\displaystyle B}$

プロトコルは、セキュリティ プロトコル表記法で次のように指定できます。

${\displaystyle A\rightarrow S:\left.A,B,N_{A}\right.}$

アリスは、自分とボブを識別するメッセージをサーバーに送信し、ボブと通信したいことをサーバーに伝えます。

${\displaystyle S\rightarrow A:\{N_{A},K_{AB},B,\{K_{AB},A\}_{K_{BS}}\}_{K_{AS}}}$

サーバーは、アリスがボブに転送するための暗号化されたコピーとアリス用のコピーを生成してアリスに送り返します。アリスは複数の人のキーを要求している可能性があるため、ノンスによりアリスはメッセージが新しいこと、サーバーがその特定のメッセージに返信していることを確信し、ボブの名前が含まれていることでアリスはこのキーを誰と共有するかを知ることができます。${\displaystyle {K_{AB}}}$${\displaystyle {K_{BS}}}$

${\displaystyle A\rightarrow B:\{K_{AB},A\}_{K_{BS}}}$

アリスはボブにキーを転送し、ボブはサーバーと共有しているキーを使用してそのキーを復号化し、データを認証します。

${\displaystyle B\rightarrow A:\{N_{B}\}_{K_{AB}}}$

ボブは、自分が鍵を持っていることを示すために、次のように暗号化された nonce をアリスに送信します。${\displaystyle {K_{AB}}}$

${\displaystyle A\rightarrow B:\{N_{B}-1\}_{K_{AB}}}$

アリスは nonce に対して簡単な操作を実行し、それを再暗号化して、自分がまだ生きていることと鍵を保持していることを確認して送り返します。

このプロトコルはリプレイ攻撃に対して脆弱です（ DenningとSacco ^[2]によって特定されています）。攻撃者が⁠ ⁠${\displaystyle K_{AB}}$に古くて侵害された値を使用した場合、ボブにメッセージをリプレイすることができ、ボブはキーが新しいものではないことを判断できずにメッセージを受け入れてしまいます。 ${\displaystyle \{K_{AB},A\}_{K_{BS}}}$

この欠陥は、タイムスタンプを組み込むことでKerberosプロトコルで修正されます。また、以下で説明するように、ナンスを使用することで修正することもできます。^[3]プロトコルの冒頭部分:

${\displaystyle A\rightarrow B:A}$

アリスはボブにリクエストを送信します。

${\displaystyle B\rightarrow A:\{A,N_{B}'\}_{K_{BS}}}$

ボブは、サーバーのキーで暗号化された nonce で応答します。

${\displaystyle A\rightarrow S:\left.A,B,N_{A},\{A,N_{B}'\}_{K_{BS}}\right.}$

アリスは、自分とボブを識別するメッセージをサーバーに送信し、ボブと通信したいことをサーバーに伝えます。

${\displaystyle S\rightarrow A:\{N_{A},K_{AB},B,\{K_{AB},A,N_{B}'\}_{K_{BS}}\}_{K_{AS}}}$

nonce が含まれていることに注意してください。

その後、プロトコルは、上記の元のプロトコルで説明されている最後の 3 つのステップまで説明どおりに続行されます。 は⁠ ⁠とは異なる nonce であることに注意してください。この新しい nonce を含めることで、 の侵害されたバージョンの再生を防ぐことができます。これは、そのようなメッセージは、攻撃者が⁠ ⁠ を持っていないため偽造できない形式である必要があるためです。 ${\displaystyle N_{B}'}$${\displaystyle N_{B}}$${\displaystyle \{K_{AB},A\}_{K_{BS}}}$${\displaystyle \{K_{AB},A,N_{B}'\}_{K_{BS}}}$${\displaystyle K_{BS}}$

これは、公開鍵暗号化アルゴリズムの使用を前提としています。

ここで、アリスとボブは信頼できるサーバーを使用して、要求に応じて公開鍵を配布します。これらの鍵は次のとおりです。 ${\displaystyle (A)}$${\displaystyle (B)}$${\displaystyle (S)}$

• ${\displaystyle K_{PA}}$および⁠ ⁠ は${\displaystyle K_{SA}}$、それぞれ(ここでは「秘密鍵」を表す)に属する暗号化キーペアの公開鍵と秘密鍵です。${\displaystyle A}$${\displaystyle S}$
• ${\displaystyle K_{PB}}$そして、同様${\displaystyle K_{SB}}$に所属する${\displaystyle B}$
• ${\displaystyle K_{PS}}$および⁠ ⁠ 、同様に${\displaystyle K_{SS}}$⁠ ⁠${\displaystyle S}$に属します。 (この鍵ペアはデジタル署名に使用されます。つまり、メッセージの署名に使用され、検証に使用されます。 プロトコルが開始する前にが知っておく必要があります。)${\displaystyle K_{SS}}$${\displaystyle K_{PS}}$${\displaystyle K_{PS}}$${\displaystyle A}$${\displaystyle B}$

プロトコルは次のように実行されます。

${\displaystyle A\rightarrow S:\left.A,B\right.}$

${\displaystyle A}$⁠ ${\displaystyle B}$⁠から ⁠ ⁠ の公開鍵を${\displaystyle S}$要求します。

${\displaystyle S\rightarrow A:\{K_{PB},B\}_{K_{SS}}}$

${\displaystyle S}$認証目的でサーバーによって署名された公開鍵と⁠ ⁠の ID で応答します。${\displaystyle K_{PB}}$${\displaystyle B}$

${\displaystyle A\rightarrow B:\{N_{A},A\}_{K_{PB}}}$

${\displaystyle A}$ランダムに選択して⁠ ⁠に送信します。${\displaystyle N_{A}}$${\displaystyle B}$

${\displaystyle B\rightarrow S:\left.B,A\right.}$

${\displaystyle B}$⁠ ⁠ は A が通信を望んでいることを知ったので、⁠ ⁠の公開鍵を要求します。${\displaystyle B}$${\displaystyle A}$

${\displaystyle S\rightarrow B:\{K_{PA},A\}_{K_{SS}}}$

サーバーが応答します。

${\displaystyle B\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}}$

${\displaystyle B}$ランダムな⁠ ⁠ を選択し、 ${\displaystyle N_{B}}$⁠ ⁠で復号できることを証明するために⁠ ⁠とともに⁠ ⁠ に送信します。${\displaystyle A}$${\displaystyle N_{A}}$${\displaystyle K_{SB}}$

${\displaystyle A\rightarrow B:\{N_{B}\}_{K_{PB}}}$

${\displaystyle A}$⁠ ⁠に確認し、 ⁠ ⁠で復号化できることを証明します。${\displaystyle N_{B}}$${\displaystyle B}$${\displaystyle K_{SA}}$

プロトコルの最後に、と は互いの ID を知り、 と ⁠ ⁠ の両方を知ります。これらのnonce は盗聴者には知られません。 ${\displaystyle A}$${\displaystyle B}$${\displaystyle N_{A}}$${\displaystyle N_{B}}$

このプロトコルは、中間者攻撃に対して脆弱です。詐欺師がセッションを開始するよう説得できれば、メッセージを中継して、自分が⁠ ⁠と通信していると信じ込ませることができます。 ${\displaystyle I}$${\displaystyle A}$${\displaystyle B}$${\displaystyle B}$${\displaystyle A}$

との間のトラフィックは変更されないため、攻撃は次のように実行されます。 ${\displaystyle S}$

${\displaystyle A\rightarrow I:\{N_{A},A\}_{K_{PI}}}$

${\displaystyle A}$⁠ ⁠に送信され、⁠ ⁠ は⁠ ⁠でメッセージを復号化します。${\displaystyle N_{A}}$${\displaystyle I}$${\displaystyle K_{SI}}$

${\displaystyle I\rightarrow B:\{N_{A},A\}_{K_{PB}}}$

${\displaystyle I}$通信しているふりをして、メッセージを⁠ ⁠${\displaystyle B}$に中継します。${\displaystyle A}$

${\displaystyle B\rightarrow I:\{N_{A},N_{B}\}_{K_{PA}}}$

${\displaystyle B}$送信します。${\displaystyle N_{B}}$

${\displaystyle I\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}}$

${\displaystyle I}$それを⁠ ⁠${\displaystyle A}$に中継します。

${\displaystyle A\rightarrow I:\{N_{B}\}_{K_{PI}}}$

${\displaystyle A}$それを復号化し、それを知った⁠ ⁠に確認します。${\displaystyle NB}$${\displaystyle I}$

${\displaystyle I\rightarrow B:\{N_{B}\}_{K_{PB}}}$

${\displaystyle I}$⁠ ⁠${\displaystyle N_{B}}$を再暗号化し、復号化したと確信します。${\displaystyle B}$

攻撃の終わりに、は が自分と通信しており、 とはと⁠ ⁠だけが知っていると誤って信じます。 ${\displaystyle B}$${\displaystyle A}$${\displaystyle N_{A}}$${\displaystyle N_{B}}$${\displaystyle A}$${\displaystyle B}$

次の例は、この攻撃を示しています。アリス ( ⁠ ⁠${\displaystyle A}$ ) は、自分の銀行 ( ⁠ ⁠${\displaystyle B}$ ) に連絡を取りたいと考えています。ここでは、詐欺師 ( ⁠ ⁠${\displaystyle I}$ ) が、自分は銀行であると信じ込ませることに成功したと想定しています。結果として、アリスは、銀行に送るメッセージを暗号化するために、の公開鍵ではなく の公開鍵を使用します。したがって、 は、 ⁠ ⁠の公開鍵で暗号化された nonce を送信します。は、自分の秘密鍵を使用してメッセージを復号化し、の公開鍵で暗号化されたの nonce を送信して⁠ ⁠ に連絡します。には、このメッセージが実際に⁠ ⁠から送信されたことを知るすべはありません。は、自分の nonce で応答し、⁠ ⁠の公開鍵でメッセージを暗号化します。 は の秘密鍵を所有していないため、内容を知らないままにメッセージを中継する必要があります。 A は、自分の秘密鍵でメッセージを復号化し、 ⁠ ⁠の公開鍵で暗号化されたの nonce で応答します。は、自分の秘密鍵を使用してメッセージを復号化し、今では nonceと⁠ ⁠を所有しています。したがって、彼らはそれぞれ銀行と顧客になりすますことができるようになりました。 ${\displaystyle A}$${\displaystyle A}$${\displaystyle I}$${\displaystyle B}$${\displaystyle A}$${\displaystyle I}$${\displaystyle I}$${\displaystyle I}$${\displaystyle B}$${\displaystyle A}$${\displaystyle B}$${\displaystyle B}$${\displaystyle I}$${\displaystyle B}$${\displaystyle A}$${\displaystyle I}$${\displaystyle A}$${\displaystyle A}$${\displaystyle B}$${\displaystyle I}$${\displaystyle I}$${\displaystyle A}$${\displaystyle B}$

この攻撃は、1995年にギャビン・ロウが発表した論文で初めて説明されました。^{[4]この論文では、}ニーダム・シュローダー・ロウ・プロトコル と呼ばれる、この手法の修正版も説明されています。修正には、メッセージ6を変更して応答者のIDを含めることが含まれます。つまり、次のメッセージを置き換えます。

${\displaystyle B\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}}$

修正バージョン:

${\displaystyle B\rightarrow A:\{N_{A},N_{B},B\}_{K_{PA}}}$

A は I の ID を含むメッセージを期待していますが、メッセージの ID は⁠ ⁠${\displaystyle B}$であるため、侵入者はメッセージを正常に再生できません。

• ケルベロス
• オトウェイ・リース議定書
• ヤハロム
• ワイドマウスフロッグプロトコル
• ニューマン・スタブルバインプロトコル
• ディフィー・ヘルマン鍵交換

ウィキメディア・コモンズには、ニーダム・シュローダー・プロトコルに関連するメディアがあります。

• ロジャー・ニーダム;マイケル・シュレーダー (1978)。 「ニーダム・シュローダー公開鍵」。ラボラトワールの仕様と検証。
• ロジャー・ニーダム;マイケル・シュレーダー (1978)。 「ニーダム・シュレーダー対称鍵」。ラボラトワールの仕様と検証。
• ギャビン・ロウ (1995)。 「Lowe の修正バージョンの Needham-Schroder 公開鍵」。ラボラトワールの仕様と検証。
• Computerphileによる中間者攻撃の説明。