Kimliği doğrulanmış anahtar değişimi için SIGMA protokolünde MAC sonra şifrele
SIGMA protokolü 2003 yılında önerilen ve TLS 1.3 ve IKE kullanılan "Oturum ve-mac" anlamına gelir ve can isteğe koruma kimlik şifreleme kullanarak.
Aşağıda gösterilen SIGMA-I varyantı, MAC sonra şifreleme yaklaşımı kullandığını belirtir:
Buraya $\{\dots \}_{K} $ Anahtar kullanarak simetrik bir şifreleme işlevi altında parantezler arasındaki bilgilerin şifrelenmesini belirtir $K$.
Anahtar değişim protokolleri için MAC'i şifrele sonra-şifrelemek yerine MAC sonra şifrele kullanmanın özel bir nedeni var mı? MAC sonra şifrele ve sonra MAC şifrele arasındaki bir karşılaştırmaya baktığımda keyfi göründüğünden daha iyi bir cevap bulamadım .
Düzenleme: Bu ilgili yanıta bağlanan RFC 7366, MAC'ın şifrelenmesinin tercih edilmesi gerektiğine (D) TLS iletişiminin (el sıkışma hakkında hiçbiri söylenmez) bazı ipuçları verir. Özellikle şunları belirtir:
TLS ve DTLS, 1990'ların ortalarında orijinal Güvenli Yuva Katmanı (SSL) protokolü belirlendiğinde güvenli olarak kabul edilen, ancak artık güvenli olarak kabul edilmeyen bir MAC sonra şifreleme yapısı kullanır.
İlginç bir şekilde, H Krawczyk (SIGMA'nın yazarı), SIGMA'dan önce 2001'de İletişimi Korumak için Şifreleme ve Kimlik Doğrulama Sırasını (veya: SSL Ne Kadar Güvenli?) Yazdı.
Yanıtlar
Arnaud benden bu konuya açıklık getirmemi istedi.
Kişinin kimliği doğrulanmış bir şifreleme modu veya MAC sonrasında şifrele kullanması gerektiği doğrudur ve kağıt bunu açıkça söylüyor. Nitekim, yukarıda gösterilen şeklin ardından makaledeki açıklayıcı metin (Bölüm 5.2,https://webee.technion.ac.il/~hugo/sigma-pdf.pdf) bu sorunu giderir. Diyor ki:
Şifreleme işlevinin (üçüncü mesajda uygulandığı şekliyle) aktif saldırılara karşı dirençli olması ve bu nedenle bir tür bütünlük korumasını birleştirmesi gerektiğini vurguluyoruz. [16] 'dan olanlar gibi birleşik gizlilik-bütünlük dönüşümleri kullanılabilir veya şifreli metnin [3, 26] üzerinde hesaplanan bir MAC işlevi ile geleneksel bir şifreleme modu (örn. CBC) kullanılabilir.
Yani şifreleme, $\{...\}_{K_e}$kimliği doğrulanmış bir şifreleme şeması kullanması gerekir. (Doğrulanmış şifreleme ihtiyacı, SIGMA-R biçiminde daha eksiksiz bir protokol gösteren Ek B'de de tekrarlanmaktadır).
Şifreleme altında bir MAC (kimlik üzerinde) olduğu gerçeği, MAC'ın (temel) SIGMA protokolünün bir parçası olması ve şifreleme ile tamamen ilgisiz (özellikle, kimlikleri korumayı umursamasanız bile gereklidir) nedeniyledir. ). Dolayısıyla, "MAC sonra şifrele" gibi görünse de, bu şifreleme moduyla hiçbir ilişkisi yoktur.
Not: Metnin kimlik doğrulamalı şifrelemenin yalnızca üçüncü mesaj için gerekli olduğunu söylemesinin nedeni, aynı paragrafın başında belirtildiği gibi, SIGMA-I'in başlatıcının kimliğini aktif saldırganlardan ve yanıtlayanın kimliğini pasif durumdan korumaktır. saldırganlar. Bu nedenle, yanıtlayıcının kimliğini şifrelemek, yalnızca kimliği doğrulanmamış şifrelemenin yeterli olduğu pasif saldırılara karşı güvenliğe ihtiyaç duyar. Bu gerçekten akademik bir açıklamadır çünkü pratikte her iki akış için de aynı şifreleme şeması, yani her ikisi için de doğrulanmış şifreleme kullanılır.
Bu bir şekilde bir spekülasyon, ancak bunun Sigma'nın tasarlandığı modüler yöntemden kaynaklandığını varsayabilirim. Yani Hugo Krawczyk Sigma'yı tasarladığında, peşinde olduğu ana güvenlik mülkü, temelde iki şeyden oluşan AKE güvenliğiydi :
Oturum anahtarının ayırt edilemezliği: rakip, gerçek oturum anahtarlarını rastgele olanlardan ayırt edememelidir; ve
Açık varlık kimlik doğrulaması (EA): Bir protokol katılımcısının protokol çalışmasını tamamladığında, aslında beklenen tarafla iletişim kurduğunun ve bu tarafın gerçekten aynı oturum anahtarını hesapladığının garanti edildiği özellik.
EA özelliği, temelde canlılığı ve kimlik doğrulamayı garanti eden önemli bir onay adımıdır. Bu, bir anahtar kullanılarak bazı protokol verileri üzerinde bir MAC hesaplanarak elde edilir.$K_m$ oturum anahtarını türetmek için kullanılan aynı ana sırdan türetilir.
Önemli olan, AKE güvenliğini (yani, özellik 1 ve 2) hiçbir şifreleme olmadan elde edebilmenizdir ! Aslında, Krawczyk Sigma'nın AKE güvenliğini sağladığını kanıtladığında (bunun hangi kağıt olduğunu hatırlayamıyorum; daha sonra bulmaya çalışacak), şifreleme adımının hiç orada olmadığını varsayıyor! (Bunu TLSv1.3'ün habercisi olan OPTLS makalesinde de yapıyor).
Dediğim gibi, çoğu anahtar değişim protokolü için standart güvenlik hedefi, Bellare ve Rogaway'in orijinal belgelerinden bu yana , temelde tamamen AKE güvenliğiyle ilgiliydi. Bununla birlikte, Krawczyk Sigma'yı tasarladığında, standart olmayan başka bir özellik, yani kimlik koruması eklemek istedi . Ancak, şifrelemesiz Sigma protokolünün AKE güvenliğini sağladığını zaten gösterdiği göz önüne alındığında, bunun üzerine kimlik korumasını da elde etmek için şifreleme eklemek basit bir meseleydi. Böylece: MAC-Sonra-Şifrele.
Ancak, MAC ve şifrelemenin bu iki kullanımının oldukça ortogonal olduğuna ve farklı amaçlara hizmet ettiğine dikkat edin: iç MAC, EA güvenliği sağlarken, dış şifrelemenin kimlik koruması sağlaması beklenir.
Ayrıca, not Sigma genellikle bu mu Şifreleme-o-MAC kullanın. Özellikle Sigma'nın IKEv2'de somutlaştırılmasında , dış şifrelemeye standart EtM tarzında şifreleme dışında ek bir MAC eşlik eder . IKEv2, iç MAC anahtarı olarak adlandırılan SK_p*dış bir şifreleme anahtarı olarak adlandırılan SK_e*ve dış MAC anahtarı denir SK_a*( *ya da bir iya da rbu mesajı başlatıcı ya da yanıt veren tarafından oluşturulan olup olmamasına bağlı olarak). Dahası, IKEv2'nin daha yeni örneklerinde, dış şifreleme, özel doğrulanmış şifreleme algoritmaları ile değiştirilir. Bu durumda SK_a*anahtarlar kullanılmaz (ve tüm EtM sorusu tartışmalı hale gelir). Sigma'nın TLSv1.3 somutlaştırmasında yalnızca kimliği doğrulanmış şifreleme kullanılır. Ancak yine, şifrelemenin içinde (ister AE ister EtM olsun), amacı EA güvenliği sağlamak olan bir iç MAC vardır.