Protocollo di Needham-Schroeder

Schema del protocollo di Needham-Schroeder a chiave segreta

Con il termine generico di protocollo di Needham-Schroeder si possono identificare due protocolli di comunicazione progettati per permettere comunicazioni cifrate su reti non sicure.

I protocolli furono proposti da Roger Needham e Michael Schroeder nel 1978.

• Il protocollo di Needham-Schroeder a chiave segreta è basato sulla crittografia simmetrica ed è alla base del protocollo di rete Kerberos. Il protocollo permette di stabilire una chiave di sessione utilizzabile da due entità di rete per proteggere le successive comunicazioni.
• Il protocollo di Needham-Schroeder a chiave pubblica è invece basato sulla crittografia asimmetrica e permette di assicurare la mutua autenticazione tra due entità di rete. Nella sua forma proposta non è sicuro.

Il protocollo a chiave segreta

Scenario

• Alice ($A$) e Bob ($B$) sono due entità di rete che devono comunicare in modo sicuro utilizzando un collegamento di rete non sicuro.
• $S$ è un server fidato, ovvero che gode della fiducia di entrambe le parti.
• $K_{AS}$ è una chiave simmetrica nota esclusivamente ad $A$ e $S$.
• $K_{BS}$ è una chiave simmetrica nota esclusivamente a $B$ e $S$.
• $K_{AB}$ è una chiave simmetrica di sessione generata da $S$ durante l'esecuzione dei passi del protocollo.
• $N_A$ e $N_B$ sono nonce crittografici, ovvero numeri casuali da usare una volta sola.

Si suppone che sia $A$ a cominciare la comunicazione.

Descrizione

Alice spedisce un messaggio al server con la sua identità e quella di Bob, per dichiarare che intende comunicare con Bob. Allega anche un numero $N_A$:

$A\to S:A,B,N_A$

Il server genera la chiave di sessione $K_{AB}$ e risponde ad Alice inviandole:

• la chiave $K_{AB}$ appena generata,
• la coppia $(K_{AB},A)$ criptata con la chiave $K_{BS}$, in modo che possa essere inoltrata a Bob perché venga reso partecipe,
• il nonce $N$ che assicura ad Alice che il messaggio è nuovo e che il server sta rispondendo a quel particolare messaggio.
• B: l'inclusione dell'identificatore di Bob dice ad Alice con chi lei sta condividendo la chiave.

Il tutto è criptato con la chiave segreta $K_{AS}$, nota solo ad Alice e al server:

$S\to A:\{N_A,K_{AB},B,\{K_{AB},A{\}}_{K_{BS}}{\}}_{K_{AS}}$

Alice comunica a Bob la chiave di sessione e il proprio identificativo, criptati con la chiave $K_{BS}$, come comunicata dal server con il precedente messaggio. Bob può decriptare il messaggio e il fatto che sia stato cifrato da una entità fidata (il server) lo rende autentico:

$A\to B:\{K_{AB},A{\}}_{K_{BS}}$

Bob risponde ad Alice con un nonce criptato con la chiave di sessione $K_{AB}$, per mostrare che è in possesso della chiave:

$B\to A:\{N_B{\}}_{K_{AB}}$

Alice decifra il nonce di Bob, lo modifica con una semplice operazione, lo cifra nuovamente e lo rispedisce indietro, provando così che è ancora attiva e in possesso della chiave:

$A\to B:\{N_B-1{\}}_{K_{AB}}$

Da questo momento in poi la comunicazione è pienamente stabilita e viene condotta da entrambe le parti inviando messaggi cifrati con la chiave di sessione $K_{AB}$.

Vulnerabilità

Il protocollo è suscettibile ad attacchi di tipo replay.

Attacco Replay:

Se un attaccante $E$ conosce una vecchia chiave $K{\text{'}}_{AB}$ scambiata in una precedente esecuzione del protocollo, allora:

• $E$ può replicare il messaggio $\{K{\text{'}}_{AB},A{\}}_{K_{BS}}$ a Bob
• Bob accetta la chiave $K{\text{'}}_{AB}$ non sapendo che è compromessa (quindi non sa che la chiave non è nuova)

Soluzione:

utilizzare i timestamp all'interno dei messaggi (ciò si vedrà come si utilizza nel protocollo di rete Kerberos)

Il protocollo a chiave pubblica

Scenario

• Alice ($A$) e Bob ($B$) sono due entità di rete che devono comunicare in modo sicuro utilizzando un collegamento di rete non sicuro.
• $S$ è un server che gode della fiducia di entrambi e si occupa di distribuire chiavi pubbliche su richiesta.
• $K_{PA}$ e $K_{SA}$ sono rispettivamente la chiave pubblica e la chiave segreta di Alice.
• $K_{PB}$ e $K_{SB}$ similmente sono le chiavi Bob.
• $K_{PS}$ e $K_{SS}$ similmente sono le chiavi del server.

È importante specificare che mentre Alice e Bob usano la chiave pubblica per cifrare e quella privata per decifrare, il server usa la chiave privata $K_{SS}$ per cifrare e la chiave pubblica $K_{PS}$ per decifrare; così facendo il server firma le proprie comunicazioni.

Descrizione

Alice chiede al server la chiave pubblica di Bob:

$A\to S:A,B$

Il server risponde, inviando anche l'identificativo di Bob per conferma. Alice può usare la chiave pubblica $K_{PS}$ per verificare la firma di $S$ e verificarne l'autenticità confrontando l'id di Bob ricevuto con quello in suo possesso:

$S\to A:\{K_{PB},B{\}}_{K_{SS}}$

Alice genera un nonce $N_A$ e lo invia a Bob cifrandolo con la chiave appena ricevuta:

$A\to B:\{N_A,A{\}}_{K_{PB}}$

Bob decifra il messaggio mediante la sua chiave privata, vede che è di Alice e richiede la sua chiave pubblica al server:

$B\to S:B,A$

Il server soddisfa la richiesta di Bob:

$S\to B:\{K_{PA},A{\}}_{K_{SS}}$

Bob genera un nounce $N_B$ e lo invia ad Alice insieme a $N_A$, per provare che è in possesso della chiave privata $K_{SB}$:

$B\to A:\{N_A,N_B{\}}_{K_{PA}}$

Alice conferma $N_B$ a Bob per provare a sua volta che è in possesso della chiave privata $K_{SA}$

$A\to B:\{N_B{\}}_{K_{PB}}$

Da questo momento in poi Alice e Bob si sono autenticati a vicenda e sono gli unici a conoscenza di $N_A$ e $N_B$.

Vulnerabilità

Il protocollo è suscettibile ad attacchi di tipo man in the middle: un impostore $I$ può ingannare Alice e convincerla a iniziare una sessione di comunicazione con lui e successivamente inoltrare i messaggi a Bob convincendolo di essere in comunicazione con Alice.

A parte le comunicazioni con $S$, che rimangono inalterate, l'attacco si svolge come segue:

Alice invia $N_A$ a $I$, che decifra il messaggio con $K_{SI}$:

$A\to I:\{N_A,A{\}}_{K_{PI}}$

$I$ inoltra il messaggio a Bob, cifrandolo con la corrispettiva chiave pubblica, fingendo che sia Alice a voler comunicare con lui:

$I\to B:\{N_A,A{\}}_{K_{PB}}$

Bob risponde inviando $N_B$. Questo messaggio arriva a $I$, che non può decifrarlo perché non è in possesso di $K_{SA}$:

$B\to I:\{N_A,N_B{\}}_{K_{PA}}$

$I$ lo inoltra ad Alice:

$I\to A:\{N_A,N_B{\}}_{K_{PA}}$

Alice crede che $N_B$ sia il nounce di $I$, quindi lo conferma come da protocollo:

$A\to I:\{N_B{\}}_{K_{PI}}$

Ora $I$ conosce $N_B$, lo cifra con $K_{PB}$ e invia a Bob, che vede una conferma valida.

$I\to B:\{N_B{\}}_{K_{PB}}$

$I$ agisce da "uomo nel mezzo" e intercetta tutti i messaggi di Bob, che crede di essere in comunicazione sicura con Alice.

L'attacco è stato descritto per la prima volta da Gavin Lowe nel 1995. La versione corretta del protocollo, chiamata Needham-Schroeder-Lowe, sostituisce il sesto messaggio

$B\to A:\{N_A,N_B{\}}_{K_{PA}}$

con

$B\to A:\{N_A,N_B,B{\}}_{K_{PA}}$

In questo modo Alice si può accorgere che i messaggi non arrivano dall'intruso, con cui aveva iniziato la comunicazione, ma da Bob.

Voci correlate

• Protocollo Woo-Lam
• Kerberos
• Protocollo di Otway-Rees
• Crittografia simmetrica
• Crittografia asimmetrica
• Key distribution center

Collegamenti esterni

• Template:Cita web
• Template:Cita web
• Template:Cita web