Protocollo di Needham-Schroeder

Schema del protocollo di Needham-Schroeder a chiave segreta

Con il termine generico di protocollo di Needham-Schroeder si possono identificare due protocolli di comunicazione progettati per permettere comunicazioni cifrate su reti non sicure.

I protocolli furono proposti da Roger Needham e Michael Schroeder nel 1978.

• Il protocollo di Needham-Schroeder a chiave segreta è basato sulla crittografia simmetrica ed è alla base del protocollo di rete Kerberos. Il protocollo permette di stabilire una chiave di sessione utilizzabile da due entità di rete per proteggere le successive comunicazioni.
• Il protocollo di Needham-Schroeder a chiave pubblica è invece basato sulla crittografia asimmetrica e permette di assicurare la mutua autenticazione tra due entità di rete. Nella sua forma proposta non è sicuro.

Il protocollo a chiave segreta

Scenario

• Alice ($A$) e Bob ($B$) sono due entità di rete che devono comunicare in modo sicuro utilizzando un collegamento di rete non sicuro.
• $S$ è un server fidato, ovvero che gode della fiducia di entrambe le parti.
• $K_{AS}$ è una chiave simmetrica nota esclusivamente ad $A$ e $S$.
• $K_{BS}$ è una chiave simmetrica nota esclusivamente a $B$ e $S$.
• $K_{AB}$ è una chiave simmetrica di sessione generata da $S$ durante l'esecuzione dei passi del protocollo.
• $N_{A}$ e $N_{B}$ sono nonce crittografici, ovvero numeri casuali da usare una volta sola.

Si suppone che sia $A$ a cominciare la comunicazione.

Descrizione

Alice spedisce un messaggio al server con la sua identità e quella di Bob, per dichiarare che intende comunicare con Bob. Allega anche un numero $N_{A}$:

$A\rightarrow S:A,B,N_{A}$

Il server genera la chiave di sessione ${K_{AB}}$ e risponde ad Alice inviandole:

• la chiave ${K_{AB}}$ appena generata,
• la coppia $(K_{AB},A)$ criptata con la chiave $K_{BS}$, in modo che possa essere inoltrata a Bob perché venga reso partecipe,
• il nonce $N$ che assicura ad Alice che il messaggio è nuovo e che il server sta rispondendo a quel particolare messaggio.
• B: l'inclusione dell'identificatore di Bob dice ad Alice con chi lei sta condividendo la chiave.

Il tutto è criptato con la chiave segreta $K_{AS}$, nota solo ad Alice e al server:

$S\rightarrow A:\{N_{A},K_{AB},B,\{K_{AB},A\}_{K_{BS}}\}_{K_{AS}}$

Alice comunica a Bob la chiave di sessione e il proprio identificativo, criptati con la chiave $K_{BS}$, come comunicata dal server con il precedente messaggio. Bob può decriptare il messaggio e il fatto che sia stato cifrato da una entità fidata (il server) lo rende autentico:

$A\rightarrow B:\{K_{AB},A\}_{K_{BS}}$

Bob risponde ad Alice con un nonce criptato con la chiave di sessione ${K_{AB}}$, per mostrare che è in possesso della chiave:

$B\rightarrow A:\{N_{B}\}_{K_{AB}}$

Alice decifra il nonce di Bob, lo modifica con una semplice operazione, lo cifra nuovamente e lo rispedisce indietro, provando così che è ancora attiva e in possesso della chiave:

$A\rightarrow B:\{N_{B}-1\}_{K_{AB}}$

Da questo momento in poi la comunicazione è pienamente stabilita e viene condotta da entrambe le parti inviando messaggi cifrati con la chiave di sessione $K_{AB}$.

Vulnerabilità

Il protocollo è suscettibile ad attacchi di tipo replay.

Attacco Replay:

Se un attaccante $E$ conosce una vecchia chiave $K'_{AB}$ scambiata in una precedente esecuzione del protocollo, allora:

• $E$ può replicare il messaggio $\{K'_{AB},A\}_{K_{BS}}$ a Bob
• Bob accetta la chiave $K'_{AB}$ non sapendo che è compromessa (quindi non sa che la chiave non è nuova)

Soluzione:

utilizzare i timestamp all'interno dei messaggi (ciò si vedrà come si utilizza nel protocollo di rete Kerberos)

Il protocollo a chiave pubblica

Scenario

• Alice ($A$) e Bob ($B$) sono due entità di rete che devono comunicare in modo sicuro utilizzando un collegamento di rete non sicuro.
• $S$ è un server che gode della fiducia di entrambi e si occupa di distribuire chiavi pubbliche su richiesta.
• $K_{PA}$ e $K_{SA}$ sono rispettivamente la chiave pubblica e la chiave segreta di Alice.
• $K_{PB}$ e $K_{SB}$ similmente sono le chiavi Bob.
• $K_{PS}$ e $K_{SS}$ similmente sono le chiavi del server.

È importante specificare che mentre Alice e Bob usano la chiave pubblica per cifrare e quella privata per decifrare, il server usa la chiave privata $K_{SS}$ per cifrare e la chiave pubblica $K_{PS}$ per decifrare; così facendo il server firma le proprie comunicazioni.

Descrizione

Alice chiede al server la chiave pubblica di Bob:

$A\rightarrow S:A,B$

Il server risponde, inviando anche l'identificativo di Bob per conferma. Alice può usare la chiave pubblica $K_{PS}$ per verificare la firma di $S$ e verificarne l'autenticità confrontando l'id di Bob ricevuto con quello in suo possesso:

$S\rightarrow A:\{K_{PB},B\}_{K_{SS}}$

Alice genera un nonce $N_{A}$ e lo invia a Bob cifrandolo con la chiave appena ricevuta:

$A\rightarrow B:\{N_{A},A\}_{K_{PB}}$

Bob decifra il messaggio mediante la sua chiave privata, vede che è di Alice e richiede la sua chiave pubblica al server:

$B\rightarrow S:B,A$

Il server soddisfa la richiesta di Bob:

$S\rightarrow B:\{K_{PA},A\}_{K_{SS}}$

Bob genera un nounce $N_{B}$ e lo invia ad Alice insieme a $N_{A}$, per provare che è in possesso della chiave privata $K_{SB}$:

$B\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}$

Alice conferma $N_{B}$ a Bob per provare a sua volta che è in possesso della chiave privata $K_{SA}$

$A\rightarrow B:\{N_{B}\}_{K_{PB}}$

Da questo momento in poi Alice e Bob si sono autenticati a vicenda e sono gli unici a conoscenza di $N_{A}$ e $N_{B}$.

Vulnerabilità

Il protocollo è suscettibile ad attacchi di tipo man in the middle: un impostore $I$ può ingannare Alice e convincerla a iniziare una sessione di comunicazione con lui e successivamente inoltrare i messaggi a Bob convincendolo di essere in comunicazione con Alice.

A parte le comunicazioni con $S$, che rimangono inalterate, l'attacco si svolge come segue:

Alice invia $N_{A}$ a $I$, che decifra il messaggio con $K_{SI}$:

$A\rightarrow I:\{N_{A},A\}_{K_{PI}}$

$I$ inoltra il messaggio a Bob, cifrandolo con la corrispettiva chiave pubblica, fingendo che sia Alice a voler comunicare con lui:

$I\rightarrow B:\{N_{A},A\}_{K_{PB}}$

Bob risponde inviando $N_{B}$. Questo messaggio arriva a $I$, che non può decifrarlo perché non è in possesso di $K_{SA}$:

$B\rightarrow I:\{N_{A},N_{B}\}_{K_{PA}}$

$I$ lo inoltra ad Alice:

$I\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}$

Alice crede che $N_{B}$ sia il nounce di $I$, quindi lo conferma come da protocollo:

$A\rightarrow I:\{N_{B}\}_{K_{PI}}$

Ora $I$ conosce $N_{B}$, lo cifra con $K_{PB}$ e invia a Bob, che vede una conferma valida.

$I\rightarrow B:\{N_{B}\}_{K_{PB}}$

$I$ agisce da "uomo nel mezzo" e intercetta tutti i messaggi di Bob, che crede di essere in comunicazione sicura con Alice.

L'attacco è stato descritto per la prima volta da Gavin Lowe nel 1995. La versione corretta del protocollo, chiamata Needham-Schroeder-Lowe, sostituisce il sesto messaggio

$B\rightarrow A:\{N_{A},N_{B}\}_{K_{PA}}$

con

$B\rightarrow A:\{N_{A},N_{B},B\}_{K_{PA}}$

In questo modo Alice si può accorgere che i messaggi non arrivano dall'intruso, con cui aveva iniziato la comunicazione, ma da Bob.

Voci correlate

• Protocollo Woo-Lam
• Kerberos
• Protocollo di Otway-Rees
• Crittografia simmetrica
• Crittografia asimmetrica
• Key distribution center

Altri progetti

Altri progetti

• Wikimedia Commons

• Wikimedia Commons contiene immagini o altri file su protocollo di Needham-Schroeder

Collegamenti esterni

• (EN) Descrizione del protocollo a chiave segreta, su lsv.ens-cachan.fr.
• (EN) Descrizione del protocollo a chiave pubblica, su lsv.ens-cachan.fr.
• (EN) Descrizione del protocollo corretto da Lowe, su lsv.ens-cachan.fr.