Visualizza wikitesto di Protocollo di Needham-Schroeder

[[File:Symetric Needham-Schroeder-Protocol – linear.svg|thumb|upright=1.3|Schema del protocollo di Needham-Schroeder a chiave segreta]]
Con il termine generico di '''protocollo di Needham-Schroeder''' si possono identificare due [[Protocollo di comunicazione|protocolli di comunicazione]] progettati per permettere comunicazioni cifrate su reti non sicure.

I protocolli furono proposti da [[Roger Needham]] e [[Michael Schroeder]] nel [[1978]].

* Il ''protocollo di Needham-Schroeder a chiave segreta'' è basato sulla [[crittografia simmetrica]] ed è alla base del [[protocollo di rete]] [[Kerberos]]. Il protocollo permette di stabilire una chiave di sessione utilizzabile da due entità di rete per proteggere le successive comunicazioni.
* Il ''protocollo di Needham-Schroeder a chiave pubblica'' è invece basato sulla [[crittografia asimmetrica]] e permette di assicurare la mutua [[autenticazione]] tra due entità di rete. Nella sua forma proposta non è sicuro.

== Il protocollo a chiave segreta ==
=== Scenario ===
* Alice (<math>A</math>) e Bob (<math>B</math>) sono due entità di rete che devono comunicare in modo sicuro utilizzando un collegamento di rete non sicuro.
* <math>S</math> è un [[server]] fidato, ovvero che gode della fiducia di entrambe le parti.
* <math>K_{AS}</math> è una [[chiave simmetrica]] nota esclusivamente ad <math>A</math> e <math>S</math>.
* <math>K_{BS}</math> è una chiave simmetrica nota esclusivamente a <math>B</math> e <math>S</math>.
* <math>K_{AB}</math> è una chiave simmetrica di sessione generata da <math>S</math> durante l'esecuzione dei passi del protocollo.
* <math>N_{A}</math> e <math>N_{B}</math> sono ''[[nonce]]'' crittografici, ovvero [[numeri casuali]] da usare una volta sola.

Si suppone che sia <math>A</math> a cominciare la comunicazione.

=== Descrizione ===
Alice spedisce un messaggio al server con la sua identità e quella di Bob, per dichiarare che intende comunicare con Bob. Allega anche un numero <math>N_{A}</math>:
:<math>A \rightarrow S: A, B, N_{A}</math>

Il server genera la chiave di sessione <math>{K_{AB}}</math> e risponde ad Alice inviandole:
* la chiave <math>{K_{AB}}</math> appena generata,
* la coppia <math>(K_{AB}, A)</math> criptata con la chiave <math>K_{BS}</math>, in modo che possa essere inoltrata a Bob perché venga reso partecipe,
* il ''nonce'' <math>N</math> che assicura ad Alice che il messaggio &egrave; nuovo e che il server sta rispondendo a quel particolare messaggio. 
* B: l'inclusione dell'identificatore di Bob dice ad Alice con chi lei sta condividendo la chiave.
Il tutto è criptato con la chiave segreta <math>K_{AS}</math>, nota solo ad Alice e al server:
:<math>S \rightarrow A: \{N_{A}, K_{AB}, B, \{K_{AB}, A\}_{K_{BS}}\}_{K_{AS}}</math>

Alice comunica a Bob la chiave di sessione e il proprio identificativo, criptati con la chiave <math>K_{BS}</math>, come comunicata dal server con il precedente messaggio. Bob può decriptare il messaggio e il fatto che sia stato cifrato da una entità fidata (il server) lo rende autentico:
:<math>A \rightarrow B: \{K_{AB}, A\}_{K_{BS}}</math>

Bob risponde ad Alice con un ''nonce'' criptato con la chiave di sessione <math>{K_{AB}}</math>, per mostrare che è in possesso della chiave:
:<math>B \rightarrow A: \{N_B\}_{K_{AB}}</math>

Alice decifra il ''nonce'' di Bob, lo modifica con una semplice operazione, lo cifra nuovamente e lo rispedisce indietro, provando così che è ancora attiva e in possesso della chiave:
:<math>A \rightarrow B: \{N_{B}-1\}_{K_{AB}}</math>

Da questo momento in poi la comunicazione è pienamente stabilita e viene condotta da entrambe le parti inviando messaggi cifrati con la chiave di sessione <math>K_{AB}</math>.

==== Vulnerabilità ====
Il protocollo è suscettibile ad attacchi di tipo replay.

Attacco Replay:

Se un attaccante <math>E</math> conosce una vecchia chiave <math>K'_{AB}</math> scambiata in una precedente esecuzione del protocollo, allora:
* <math>E</math> può replicare il messaggio <math>\{K'_{AB}, A\}_{K_{BS}}</math> a Bob
* Bob accetta la chiave <math>K'_{AB}</math> non sapendo che è compromessa (quindi non sa che la chiave non è nuova)
Soluzione:

utilizzare i timestamp all'interno dei messaggi (ciò si vedrà come si utilizza nel [[protocollo di rete]] [[Kerberos]])

== Il protocollo a chiave pubblica ==

=== Scenario ===
* Alice (<math>A</math>) e Bob (<math>B</math>) sono due entità di rete che devono comunicare in modo sicuro utilizzando un collegamento di rete non sicuro.
* <math>S</math> è un server che gode della fiducia di entrambi e si occupa di distribuire chiavi pubbliche su richiesta.
* <math>K_{PA}</math> e <math>K_{SA}</math> sono rispettivamente la chiave pubblica e la chiave segreta di Alice.
* <math>K_{PB}</math> e <math>K_{SB}</math> similmente sono le chiavi Bob.
* <math>K_{PS}</math> e <math>K_{SS}</math> similmente sono le chiavi del server.

È importante specificare che mentre Alice e Bob usano la chiave pubblica per cifrare e quella privata per decifrare, il server usa la chiave privata <math>K_{SS}</math> per cifrare e la chiave pubblica <math>K_{PS}</math> per decifrare; così facendo il server [[Firma digitale|firma]] le proprie comunicazioni.

=== Descrizione ===
Alice chiede al server la chiave pubblica di Bob:
:<math>A \rightarrow S: A, B</math>

Il server risponde, inviando anche l'identificativo di Bob per conferma. Alice può usare la chiave pubblica <math>K_{PS}</math> per verificare la firma di <math>S</math> e verificarne l'autenticità confrontando l'id di Bob ricevuto con quello in suo possesso:
:<math>S \rightarrow A: \{K_{PB}, B\}_{K_{SS}}</math>

Alice genera un ''nonce'' <math>N_{A}</math> e lo invia a Bob cifrandolo con la chiave appena ricevuta:
:<math>A \rightarrow B: \{N_{A}, A\}_{K_{PB}}</math>

Bob decifra il messaggio mediante la sua chiave privata, vede che è di Alice e richiede la sua chiave pubblica al server:
:<math>B \rightarrow S: B, A</math>

Il server soddisfa la richiesta di Bob:
:<math>S \rightarrow B: \{K_{PA}, A\}_{K_{SS}}</math>

Bob genera un ''nounce'' <math>N_{B}</math> e lo invia ad Alice insieme a <math>N_{A}</math>, per provare che è in possesso della chiave privata <math>K_{SB}</math>:
:<math>B \rightarrow A: \{N_A, N_B\}_{K_{PA}}</math>

Alice conferma <math>N_{B}</math> a Bob per provare a sua volta che è in possesso della chiave privata <math>K_{SA}</math>
:<math>A \rightarrow B: \{N_B\}_{K_{PB}}</math>

Da questo momento in poi Alice e Bob si sono autenticati a vicenda e sono gli unici a conoscenza di <math>N_{A}</math> e <math>N_{B}</math>.

=== Vulnerabilità ===
Il protocollo è suscettibile ad attacchi di tipo ''[[man in the middle]]'': un impostore <math>I</math> può ingannare Alice e convincerla a iniziare una sessione di comunicazione con lui e successivamente inoltrare i messaggi a Bob convincendolo di essere in comunicazione con Alice.

A parte le comunicazioni con <math>S</math>, che rimangono inalterate, l'attacco si svolge come segue:

Alice invia <math>N_{A}</math> a <math>I</math>, che decifra il messaggio con <math>K_{SI}</math>:
:<math>A \rightarrow I: \{N_{A}, A\}_{K_{PI}}</math>

<math>I</math> inoltra il messaggio a Bob, cifrandolo con la corrispettiva chiave pubblica, fingendo che sia Alice a voler comunicare con lui:
:<math>I \rightarrow B: \{N_{A}, A\}_{K_{PB}}</math>

Bob risponde inviando <math>N_{B}</math>. Questo messaggio arriva a <math>I</math>, che non può decifrarlo perché non è in possesso di <math>K_{SA}</math>:
:<math>B \rightarrow I: \{N_A, N_B\}_{K_{PA}}</math>

<math>I</math> lo inoltra ad Alice:
:<math>I \rightarrow A: \{N_A, N_B\}_{K_{PA}}</math>

Alice crede che <math>N_{B}</math> sia il ''nounce'' di <math>I</math>, quindi lo conferma come da protocollo:
:<math>A \rightarrow I: \{N_B\}_{K_{PI}}</math>

Ora <math>I</math> conosce <math>N_{B}</math>, lo cifra con <math>K_{PB}</math> e invia a Bob, che vede una conferma valida.

:<math>I \rightarrow B: \{N_B\}_{K_{PB}}</math>

<math>I</math> agisce da "uomo nel mezzo" e intercetta tutti i messaggi di Bob, che crede di essere in comunicazione sicura con Alice.

L'attacco è stato descritto per la prima volta da Gavin Lowe nel [[1995]]. La versione corretta del protocollo, chiamata ''Needham-Schroeder-Lowe'', sostituisce il sesto messaggio

:<math>B \rightarrow A: \{N_A, N_B\}_{K_{PA}}</math>

con

:<math>B \rightarrow A: \{N_A, N_B, B\}_{K_{PA}}</math>

In questo modo Alice si può accorgere che i messaggi non arrivano dall'intruso, con cui aveva iniziato la comunicazione, ma da Bob.

== Voci correlate ==
* [[Protocollo Woo-Lam]]
* [[Kerberos]]
* [[Protocollo di Otway-Rees]]
* [[Crittografia simmetrica]]
* [[Crittografia asimmetrica]]
* [[Key distribution center]]

== Altri progetti ==
{{interprogetto|preposizione=sul}}

== Collegamenti esterni ==
* {{cita web|http://www.lsv.ens-cachan.fr/spore/nssk.html|Descrizione del protocollo a chiave segreta|lingua=en}}
* {{cita web|http://www.lsv.ens-cachan.fr/spore/nspk.html|Descrizione del protocollo a chiave pubblica|lingua=en}}
* {{cita web|http://www.lsv.ens-cachan.fr/spore/nspkLowe.html|Descrizione del protocollo corretto da Lowe|lingua=en}}

{{Portale|crittografia|Sicurezza informatica}}

[[Categoria:Protocolli crittografici]]