Needham-Schroeder通过在第一条消息中添加对手的身份来修正

Question

简介:李约瑟-施罗德如下：

A \rightarrow B : \{A, N_a\}_{pk_B}

B \rightarrow A : \{N_a, N_b\}_{pk_A}

A \rightarrow B : \{N_b\}_{pk_B}

然后，Lowe发动了一次MITM攻击，详情如下：

A \rightarrow C(A) : \{A, N_a\}_{pk_C}

C(A)\rightarrow B : \{A, N_a\}_{pk_B}

B \rightarrow C(A) : \{N_a,N_b\}_{pk_A}

C(A)\rightarrow A : \{N_a,N_b\}_{pk_A}

A \rightarrow C(A) : \{N_b\}_{pk_C}

C(A)\rightarrow B : \{N_b\}_{pk_B}

现在，C(A)同时了解N_a和N_b，并且可以计算会话密钥。劳建议的解决方案是把B的S身份放在第二条信息上：

A \rightarrow B : \{A, N_a\}_{pk_B}

B \rightarrow A : \{N_a, N_b, B\}_{pk_A}

A \rightarrow B : \{N_b\}_{pk_B}

但是如果我们把B的身份写进第一条信息会发生什么？

A \rightarrow B : \{A, B, N_a\}_{pk_B}

B \rightarrow A : \{N_a, N_b\}_{pk_A}

A \rightarrow B : \{N_b\}_{pk_B}

它是否仍然易受MITM攻击，还是也是安全的？

Answer 1

很容易看出，您描述的中间人攻击仍然适用于修改后的协议。

A \rightarrow C(A) : \{A, C, N_a\}_{pk_C}

C(A)\rightarrow B : \{A, B, N_a\}_{pk_B}

B \rightarrow C(A) : \{N_a,N_b\}_{pk_A}

C(A)\rightarrow A : \{N_a,N_b\}_{pk_A}

A \rightarrow C(A) : \{N_b\}_{pk_C}

C(A)\rightarrow B : \{N_b\}_{pk_B}

在第二条信息中加上B的S身份可能会有所帮助，因为B正在告诉接收者他们是谁。因此，如果A看到这个消息，他们会意识到有什么事情正在进行，因为他们想和C交谈，但是收到了B.¹的回复。

而在你的解决方案中，艾丽斯告诉接收者谁是A认为他们是。但是，由于中间的人没有盲目地传递这条消息，但实际上是解密它并使用它来构造一条全新的消息，这在任何方面都没有帮助。

只有当所使用的公钥加密方案没有可伸缩的密文时，这才真正有帮助。使用加密进行身份验证不是一个好主意，也不会带来健壮的解决方案。