Briser un protocole d'authentification basé sur une clé symétrique pré-partagée

Considérez le protocole suivant, destiné à authentifier (Alice) à B (Bob) et vice versa.$A$$B$

$$\begin{align*} A \to B: &\quad \text{“I'm Alice”}, R_A \\ B \to A: &\quad E(R_A, K) \\ A \to B: &\quad E(\langle R_A+1, P_A\rangle, K) \\ \end{align*}$$

• est un nonce aléatoire.$R$
• est une clé symétrique pré-partagée.$K$
• est une charge utile.$P$
• des moyens m chiffrés avec K .$E(m, K)$$m$$K$
• moyens m 1 assemblé avec m 2 d'une manière qui peut être décodé sans ambiguïté.$\langle m_1, m_2\rangle$$m_1$$m_2$
• Nous supposons que les algorithmes cryptographiques sont sécurisés et mis en œuvre correctement.

Un attaquant (Trudy) veut convaincre Bob d'accepter sa charge utile comme venant d'Alice (au lieu de P A ). Trudy peut-elle ainsi se faire passer pour Alice? Comment?$P_T$$P_A$

_{$P_A$$E(R_A+1,K)$$E(R+1,K)$$E(\langle R, P_T\rangle, K)$.}

$E(R_A,K)$$E(\langle R_A+1,P_T\rangle , K)$

En particulier, considérez l'attaque suivante:

Trudy choisit hasard$R_1$

$$\begin{align*} T \to B: &\quad \text{“I'm Alice”}, \langle R_1+1,P_T \rangle \\ B \to T: &\quad \color{blue}{E(\langle R_1+1,P_T \rangle, K)} \\ \end{align*}$$

$$\begin{align*} T \to B: &\quad \text{“I'm Alice”}, R_1 \\ B \to T: &\quad E(R_1, K) \\ T \to B: &\quad \color{blue}{E(\langle R_1+1,P_T \rangle, K) } \end{align*}$$ $K$

$E(\langle 1, R_A\rangle)$$E(\langle 2, R_A+1, P\rangle)$