ステーション間プロトコル

公開鍵暗号において、Station-to-Station ( STS )プロトコルは暗号鍵合意方式です。このプロトコルは古典的なDiffie-Hellmanに基づいており、相互鍵およびエンティティ認証を提供します。中間者攻撃に対して安全ではない古典的なDiffie-Hellmanとは異なり、^[1]このプロトコルは、当事者がメッセージに署名するために使用される署名鍵を持っていることを前提としているため、中間者攻撃に対するセキュリティが確保されます。

STS プロトコルは、確立されたキーを攻撃者から保護するだけでなく、タイムスタンプを使用せず、完全な前方秘匿性を提供します。また、双方向の明示的なキー確認も必要となるため、キー確認付き認証キー合意(AKC) プロトコルになります。

STS は、もともと 1987 年に ISDN セキュリティのコンテキストで発表され (O'Higgins 他、1987)、1989 年に完成し、 1992 年にWhitfield Diffie、Paul C. van Oorschot、Michael J. Wiener によって一般に発表されました。プロトコルの歴史的背景については、Diffie (1988) でも説明されています。

STS の展開は、通信要件と当事者間の事前通信のレベルに応じてさまざまな形式を取ることができます。STS セットアップで説明されているデータは、セッションの確立の影響を軽減するために、セッションの開始前に共有される場合があります。

以下の説明では、指数 (Diffie-Hellman) 演算が鍵合意の基礎となりますが、これは必須ではありません。プロトコルは、たとえば楕円曲線を使用するように変更される可能性があります。

プロトコルを開始する前に、次のデータを生成する必要があります。

各当事者の非対称署名鍵ペア

認証に必要です。このキーペアの公開部分は、セッションの確立前に共有される場合があります。

主要な設立パラメータ

巡回群pとその群のジェネレータgの仕様。これらのパラメータは公開される場合があります。Menezes、van Oorschot、Vanstone (1997) は、セキュリティを強化するために、各当事者が独自のパラメータを提供できると述べています。

セッション開始前にこのデータを共有することで、プロトコルの複雑さが軽減されます。

すべてのセットアップ データが共有されていると仮定すると、STS プロトコルは次のように進行します。ステップを完了できない場合、プロトコルは直ちに停止します。すべての指数はpで指定されたグループ内にあります。

1. アリスは乱数x を生成し、指数g ^{x を}計算してボブに送信します。
2. ボブは乱数y を生成し、指数g ^yを計算します。
3. ボブは共有秘密鍵K = ( g ^x ) ^yを計算します。
4. ボブは指数 ( g ^y、g ^x ) を連結し (順序は重要)、非対称 (秘密) キーB を使用して署名し、署名をKで暗号化します。ボブは暗号文を自分の指数g ^yとともにアリスに送信します。
5. アリスは共有秘密鍵K = ( g ^y ) ^xを計算します。
6. アリスは非対称公開鍵を使用してボブの署名を復号化し、検証します。
7. アリスは指数 ( g ^x、g ^y ) を連結し (順序は重要)、非対称 (秘密) キーA を使用して署名し、署名をKで暗号化します。アリスは暗号文をボブに送信します。
8. ボブはアリスの非対称公開鍵を使用してアリスの署名を復号化し、検証します。

これで、アリスとボブは相互に認証され、共有秘密を持つことになります。この秘密Kは、その後の通信を暗号化するために使用できます。プロトコルの基本形式は、次の 3 つのステップで形式化されます。

(1) アリス → ボブ : g x 
(2) アリス ← ボブ : g y , E K (S B ( g y , g x ))
(3) アリス → ボブ : E K (S A ( g x , g y ))

セットアップ データはプロトコル自体に組み込むこともできます。 鍵が事前にわからない場合は、手順 2 と 3 で 公開鍵証明書が送信されることがあります。

(1) アリス → ボブ : g x 
(2) アリス ← ボブ : g y , Cert B , E K (S B ( g y , g x ))
（３）アリス→ボブ：証明書A、E K（S A（g x、g y））

システム全体のキー確立パラメータが使用されていない場合、イニシエーターとレスポンダーは独自のパラメータを作成して送信できます。この場合、パラメータは指数を使用して送信する必要があります。

（１ ）アリス→ボブ：g、p、gx

また、アクティブな攻撃者が弱いパラメータ（つまり弱いキーK）を挿入するのを防ぐために、ボブがそれらを検証する必要があります。Diffie、van Oorschot、Wiener (1992) は、これを防ぐための特別なチェックを推奨せず、代わりにグループ パラメータを Alice の証明書に含めることを提案しています。

ここで言及されているバリエーションは、オリジナルの STS 論文からのものです。その他のより重要なバリエーションについては、次の参考文献を参照してください。

• Bellare, M.; Canetti, R.; Krawczyk, H. (1998)、「認証および鍵交換プロトコルの設計と分析に対するモジュール方式」、第 30 回コンピューティング理論シンポジウムの議事録
• RFC 2412、「OAKLEY キー決定プロトコル」。
• ISO/IEC 117703、「非対称技術を使用するメカニズム」(1999)。

相互認証を提供しながら共有秘密を生成しない、STS の簡略化された形式が利用可能です。この形式では、上記の Diffie-Hellman 技術の代わりに乱数チャレンジが使用されます。

1. アリスは乱数xを生成し、それをボブに送信します。
2. ボブは乱数y を生成します。
3. ボブは乱数 ( y、x ) を連結し (順序は重要)、非対称キーB を使用して署名します。ボブは署名を自分の乱数とともにアリスに送信します。
4. アリスはボブの署名を検証します。
5. アリスは乱数 ( x、y ) を連結し (順序は重要)、非対称鍵A を使用して署名します。アリスは署名をボブに送信します。
6. ボブはアリスの署名を検証します。

正式には:

(1) アリス → ボブ : x 
(2) アリス ← ボブ : y , S B ( y , x )
(3) アリス → ボブ : S A ( x , y )

このプロトコルは、Full STS と同様に証明書を含めるように拡張できます。

セッションの確立において暗号化が実行可能な選択肢ではない場合、代わりにK を使用してMACを作成できます。

(1) アリス → ボブ : g x 
(2) アリス ← ボブ : g y , S B ( g y , g x ), MAC K (S B ( g y , g x ))
(3) アリス → ボブ : S A ( g x , g y )、MAC K (S A ( g x , g y ))

ブレイク・ウィルソンとメネゼス（1999）は、このバリエーションは、いずれにしてもオリジナルのSTS（「STS-ENC」）よりも好ましいかもしれないと指摘している。

STS-ENC でキー確認を行うために暗号化を使用することは疑問です。伝統的に、暗号化の唯一の目的は機密性を提供することであり、暗号化スキームがキーの所有を証明するために使用される場合、それは暗号化ではなく復号化によって示されます。

しかし、この論文では、K をMAC とセッション キーの両方に使用することは、キーを複数の目的に使用してはならないという原則に違反するとして、さまざまな回避策を提示しています。

STS-MAC は、いくつかの未知のキー共有攻撃に対して脆弱であり、アクティブな攻撃者は、イニシエーターまたはレスポンダーの代わりに、セッション確立手順に自分の ID を挿入することができます。Blake-Wilson と Menezes (1999) は、脆弱性といくつかの解決策を提示しています。

• Blake-Wilson, S.; Menezes, A. (1999)、「ステーション間 (STS) プロトコルに対する未知のキー共有攻撃」、公開鍵暗号化、コンピュータサイエンスの講義ノート、vol. 1560、Springer、pp. 154–170
• Diffie, W. (1988)、「公開鍵暗号の最初の10年間」、IEEE紀要、76 (5): 560–577、doi :10.1109/5.4442
• Diffie, W.; van Oorschot, PC; Wiener, MJ (1992)、「認証と認証鍵交換」、Designs, Codes and Cryptography、2 (2): 107–125、CiteSeerX  10.1.1.59.6682、doi :10.1007/BF00124891、S2CID  7356608
• Menezes, A.; van Oorschot, PC; Vanstone, S. (1997)、応用暗号ハンドブック、CRC Press、pp. 519–520
• O'Higgins, B.; Diffie, W.; Strawczynski, L.; do Hoog, R. (1987)、「暗号化と ISDN – 自然な適合」、1987 国際交換シンポジウム (ISS87)