DE69630331T2

DE69630331T2 - Verfahren zur gesicherten Sitzungsschlüsselerzeugung und zur Authentifizierung

Info

Publication number: DE69630331T2
Application number: DE69630331T
Authority: DE
Inventors: Scott .A Vanstone; Alfred John Menezes; Minghua Qu
Original assignee: Certicom Corp
Current assignee: Certicom Corp
Priority date: 1995-04-21
Filing date: 1996-04-16
Publication date: 2004-07-29
Anticipated expiration: 2016-04-17
Also published as: EP0739106A1; US20010042205A1; US20140032911A1; US6487661B2; US20080162938A1; US8578165B2; CA2174260A1; AU5266696A; US8209533B2; WO1996033566A1; US20120137133A1; DE69630331D1; EP0739106B1; CA2174260C; US8892890B2

Description

Die vorliegende Erfindung betrifft Schlüsselabkommenprotokolle zur Übertragung und Authentisierung von Geheimschlüsseln.
Um während dem Austausch von Information Datenschutz zu bewahren, ist es gut bekannt, Daten durch Benutzung eines Schlüssels zu verschlüsseln. Der Schlüssel muss so gewählt werden, dass die Korrespondenten in der Lage sind, Nachrichten zu verschlüsseln und zu entschlüsseln, aber so, dass ein Abfänger die Inhalte der Nachricht nicht ermitteln kann.
In einem Geheimschlüssel-Chiffrierprotokoll teilen die Korrespondenten einen gemeinsamen Schlüssel, der ihnen geheim ist. Das erfordert, dass sich die Korrespondenten über den Schlüssel einigen und Vorkehrungen treffen, um die Geheimhaltung des Schlüssels aufrechtzuerhalten, und für den Austausch des Schlüssels sorgen, wenn die zugrunde liegende Sicherheit beeinträchtigt sein sollte.
Öffentliche Schlüsselchiffrierprotokolle wurden erstmals 1976 von Diffie-Hellman vorgeschlagen und benutzten einen öffentlichen Schlüssel, der sämtlichen potenziellen Korrespondenten verfügbar gemacht wurde und einen privaten Schlüssel, der nur dem vorgesehenen Empfänger bekannt war. Die öffentlichen und privaten Schlüssel stehen so in Beziehung, dass eine mit dem öffentlichen Schlüssel eines Empfängers verschlüsselte Nachricht ohne weiteres mit dem privaten Schlüssel entschlüsselt werden kann, der private Schlüssel aber aus der Kenntnis des Klartextes des verschlüsselten Textes und des öffentlichen Schlüssels nicht abgeleitet werden kann.
Schlüsseletablierung ist der Vorgang, durch welchen zwei (oder mehrere) Parteien einen gemeinsamen Geheimschlüssel einführen, der Sitzungsschlüssel genannt. wird. Anschließend wird der Sitzungsschlüssel benutzt, um einige Verschlüsselungsziele zu erreichen, wie z. B. Datenschutz. Es gibt zwei Sorten des Schlüsselabkommenprotokolls; Schlüsseltransportprotokolle, in welchen ein Schlüssel von einer Partei erzeugt und sicher zur zweiten Partei übermittelt wird; und Schlüsselabkommenprotokolle, in welchen beide Parteien Information beisteuern, die den gemeinsamen Geheimschlüssel gemeinsam etablieren. Die Anzahl der erforderlichen Austäusche von Nachricht zwischen den Parteien wird Anzahl von Durchläufen genannt. Man bezeichnet ein Schlüsseletablierungsprotokoll als eine implizite Schlüsselauthentisierung (oder einfach Schlüsselauthentisierung) vorsehend, wenn eine Partei sicher ist, dass abgesehen von einer speziell identifizierten zweiten Partei keine andere Partei den Wert des Sitzungsschlüssels erfahren kann. Die Eigenschaft einer impliziten Schlüsselauthentisierung bedeutet nicht unbedingt, dass die zweite Partei tatsächlich den Sitzungsschlüssel besitzt. Man bezeichnet ein Schlüsseletablierungsprotokoll als eine Schlüsselbestätigung vorsehend, wenn eine Partei sicher ist, dass eine speziell identifizierte zweite Partei tatsächlich im Besitz eines bestimmten Sitzungsschlüssels ist. Wenn die Authentifizierung für beide in das Protokoll einbezogene Parteien zur Verfügung gestellt ist, dann wird die Schlüsselauthentisierung als gegenseitig bezeichnet, falls sie nur einer Partei zur Verfügung steht, wird die Authentifizierung als einseitig bezeichnet.
Es gibt unterschiedliche frühere Ansätze, welche beanspruchen, für eine implizite Schlüsselauthentisierung zu sorgen.
Beispiele umfassen das Nyberg-Rueppel Ein-Durchlauf-Protokoll und die Matsumoto-Takashima-Imai (MTI) und die Goss und Yacobi Zwei-Durchlauf-Protokolle für Schlüsselabkommen.
Die früheren Ansätze stellen sicher, dass Übertragungen zwischen Korrespondenten, um einen gemeinsamen Schlüssel zu etablieren, sicher sind, und dass ein Eindringling den Sitzungsschlüssel nicht wieder auffinden und den verschlüsselten Text nicht entschlüsseln kann. Auf diese Weise wird die Sicherheit für vertrauliche Transaktionen, wie z. B. einen Transfer von Fonds, gewährleistet.
Zum Beispiel führt das MTI/A0 Schlüsselabkommenprotokoll einen den zwei Korrespondenten bekannten gemeinsam benutzten geheimen Schlüssel K in der folgenden Weise ein:

1. Während der anfänglichen einmaligen Einrichtung wird die Schlüsselgenerierung und Veröffentlichung durch Auswählen und Veröffentlichen einer geeigneten Systemprimzahl p und eines Generators α ∊ Z*_p in einer die Authentizität gewährleistenden Weise durchgeführt. Korrespondent A wählt als einen langfristigen privaten Schlüssel eine ganze Zufallszahl "a", 1 ≤ a ≤ p – 2 und berechnet einen langfristigen öffentlichen Schlüssel z_A = α^a mod p. B generiert analoge Schlüssel b, z_B· A und B haben Zugriff auf authentisierte Kopien des jeweils anderen langfristigen öffentlichen Schlüssels.
2. Das Protokoll erfordert den Austausch der folgenden Nachrichten: A → B: αx mod p (1) A ← B: αy mod p (2) Die Werte von x und y bleiben während solcher Übertragungen sicher, weil es unmöglich ist, den Exponenten zu bestimmen, sogar wenn der Wert von α und die Potenzierung bekannt sind, natürlich unter der Voraussetzung, dass p ausreichend groß gewählt ist.
3. Jedes Mal, wenn ein gemeinsamer Schlüssel benötigt wird, werden die folgenden Schritte ausgeführt, um das Protokoll zu implementieren.
(a) A wählt eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2 und sendet B Nachricht (1), d. h. α^x mod p.
(b) B wählt eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2 und sendet A Nachricht (2), d. h. α^y mod p.
(c) A berechnet den Schlüssel K = (α^y)^az_B ^x mod p.
(d) B berechnet den Schlüssel K = (α^x)^bz_A ^y mod p.
(e) Beide benutzen gemeinsam den Schlüssel K = α^bx+ ^ay.

Um den Schlüssel K zu berechnen, muss A seinen geheimen Schlüssel a und die ganze Zufallszahl x benutzen, von denen beide nur ihm bekannt sind. Gleichermaßen muss B ihren geheimen Schlüssel b und die ganze Zufallszahl y benutzen, um den Sitzungsschlüssel K zu berechnen. Ein Eindringling kann einen zum anderen Korrespondenten identischen Sitzungsschlüssel nicht generieren, vorausgesetzt die geheimen Schlüssel a, b bleiben unbeeinträchtigt. Dementsprechend wird ein beliebiger verschlüsselter Text durch beide Korrespondenten nicht entschlüsselbar sein.
An sich wurden diese und ähnliche Protokolle als zufrieden stellend für eine Schlüsseletablierung und als widerstandsfähig gegen konventionelles Lauschen oder man-in-the-middle-Angriffe erachtet.
Unter bestimmten Umständen kann es für einen Widersacher vorteilhaft sein, einen Korrespondenten bezüglich der wahren Identität des anderen Korrespondenten irrezuführen.
Bei einem derartigen Angriff modifiziert ein aktiver Widersacher oder Eindringling E zwischen A und B ausgetauschte Nachrichten mit dem Ergebnis, dass B glaubt, dass er einen Schlüssel K gemeinsam mit E benutzt, während A glaubt, dass sie den gleichen Schlüssel K gemeinsam mit B benutzt. Selbst wenn E den Wert von K nicht erfährt, kann die Fehlinformation bezüglich der Identität der Korrespondenten nützlich sein.
Ein praxisnahes Szenario, in dem ein solcher Angriff erfolgreich gestartet werden kann, ist das folgende. Angenommen, B ist eine Bankfiliale und A ist ein Kontoinhaber. Zertifikate werden von der Bankzentrale ausgegeben und in dem Zertifikat befindet sich die Kontoinformation des Inhabers. Angenommen, das Protokoll zur elektronischen Einzahlung von Fonds besteht aus dem Austausch eines Schlüssels mit einer Bankfiliale mittels eines gegenseitig authentisierten Schlüsselabkommens. Wenn B die übertragende Einheit authentisiert hat, werden verschlüsselte Fonds zur Kontonummer in dem Zertifikat eingezahlt. Wird keine weitere Authentisierung in der verschlüsselten Einzahlungsnachricht vorgenommen (was der Fall sein könnte, um Bandbreite zu sparen), erfolgt die Einzahlung auf dem Konto von E.
Daher ist es eine Aufgabe der vorliegenden Erfindung, ein Protokoll vorzusehen, in welchem die obigen Nachteile umgangen oder abgemildert werden.
Gemäß der vorliegenden Erfindung ist daher ein Verfahren zum Authentifizieren eines Paares von Korrespondenten A, B vorgesehen, um Informationsaustausch untereinander zu ermöglichen, wobei jeder der Korrespondenten jeweils einen von einem Generator α abgeleiteten entsprechenden privaten Schlüssel a, b und einen öffentlichen Schlüssel p_a, p_b besitzt, wobei das Verfahren die Schritte beinhaltet:

i) ein erster der Korrespondenten A wählt eine erste ganze Zufallszahl x aus und potenziert eine den Generator umfassende Funktion f(α) mit einer Potenz g^(x), um eine erste potenzierte Funktion f(α)^g(x) zu liefern;
ii) der erste Korrespondent A schickt an einen zweiten Korrespondenten B eine Nachricht ab, welche die erste potenzierte Funktion f(α)^g(x) umfasst;
iii) der Korrespondent B wählt eine zweite ganze Zufallszahl y aus und potenziert eine den Generator umfassende Funktion f'(α) mit einer Potenz g^(y), um eine zweite potenzierte Funktion f'(α)^g(y) vorzusehen;
iv) der zweite Korrespondent B erstellt einen Sitzungsschlüssel K aus Information, die vom ersten Korrespondenten A öffentlich gemacht wurde, und aus Information, die privat für den zweiten Korrespondenten B ist, wobei der Sitzungsschlüssel K auch vom ersten Korrespondenten A aus Information, die von B öffentlich gemacht wurde, und aus Information, die für den ersten Korrespondenten A privat ist, erstellt werden kann;
v) der zweite Korrespondent B erstellt einen Wert h einer Funktion F[π, K], wobei F[π, K] eine kryptographische Funktion bezeichnet, die gemeinsam auf π und K angewandt wird, und wobei π eine Untermenge der öffentlichen Information ist, die von B geliefert wurde, um die Werte von π und K zu verbinden;
vi) der zweite der Korrespondenten B schickt eine Nachricht an den ersten Korrespondenten A ab, welche die zweite Exponentialfunktion f'(α)^g(y) und den Wert h der kryptografischen Funktion F[π, K] umfasst;
vii) der erste Korrespondent empfängt die Nachricht und berechnet einen Sitzungsschlüssel K' aus Information, die vom zweiten Korrespondenten B öffentlich gemacht wurde, und aus Information, die privat für den ersten Korrespondenten A ist;
viii) der erste Korrespondent A berechnet einen Wert h' einer kryptografischen Funktion F[π, K']; und
ix) die Werte, die von den kryptografischen Funktionen F erhalten wurden, werden verglichen, um ihre Übereinstimmung zu bestätigen.

Weil der Sitzungsschlüssel K nur durch Benutzung von Information generiert werden kann, die entweder für A oder B privat ist, hindert E das Verbinden von K mit π mit der kryptographischen Funktion h daran, K zu extrahieren oder eine neue Wertfunktion einzuwerfen, die der entspricht, die A erhalten hat.
Ausführungsformen der Erfindung werden nun durch Beispiele nur unter Bezug auf die begleitenden Zeichnungen beschrieben, in denen:
1 eine schematische Darstellung eines Datenkommunikationssystems ist.
Daher bezugnehmend auf 1 tauscht ein Paar von Korrespondenten 10, 12, als Korrespondent A und Korrespondent B bezeichnet, Information über einen Kommunikationskanal 14 aus. Eine Verschlüsselungseinheit 16, 18 ist zwischen jeden der Korrespondenten 10, 12 und dem Kanal 14 geschaltet. Mit jeder der Verschlüsselungseinheiten 16, 18 ist ein Schlüssel 20 verbunden, um Klartext, der zwischen jeder Einheit 16, 18 und dessen entsprechenden Korrespondenten 10, 12 übertragen wird, in verschlüsselten Text zu konvertieren, der auf dem Kanal 14 übertragen wird.
Im Betrieb wird eine von Korrespondent A, 10, generierte Nachricht durch die Einheit 16 mit dem Schlüssel 20 verschlüsselt und als verschlüsselter Text über den Kanal 14 zur Einheit 18 übertragen.
Der Schlüssel 20 wird auf den verschlüsselten Text in der Einheit 18 angewendet, um eine Klartextnachricht für den Korrespondenten B, 12 zu generieren. Unter der Voraussetzung, dass sich die Schlüssel 20 entsprechen, wird die von dem Korrespondenten 12 erhaltene Nachricht die von dem Korrespondenten 10 gesendete sein.
Damit das in 1 gezeigte System funktioniert, ist es notwendig, dass die Schlüssel 20 identisch sind, und deshalb wird ein Schlüsselabkommenprotokoll etabliert, welches den Informationstransfer auf eine öffentliche Art und Weise gestattet, um die identischen Schlüssel zu etablieren. Eine Anzahl von Protokollen ist für derartige Schlüsselgenerierung erhältlich und Ausführungsformen der vorliegenden Erfindung werden im Zusammenhang mit Modifikationen von existierenden Protokollen unten beschrieben.
Eine allgemein verwendete Gruppe von Protokollen sind gemeinsam bekannt als die Matsumoto-Takashima-Imai oder „MTI" Schlüsselabkommenprotokolle und sind Varianten des Diffie-Hellman Schlüsselaustausches. Ihr Ziel ist es, für Parteien A und B einen geheimen Sitzungsschlüssel K zu etablieren.
Die Systemparameter für diese Protokolle sind eine Primzahl p und ein Generator α der multiplikativen Gruppe Z*_p. Korrespondent A besitzt einen privaten Schlüssel a und einen öffentlichen Schlüssel p_A = α^a. Korrespondent B besitzt einen privaten Schlüssel b und einen öffentlichen Schlüssel p_B = α^b. In allen vier unten beispielhaft erläuterten Protokollen bezieht sich text_A auf eine Informationsfolge, welche Partei A identifiziert. Wenn der andere Korrespondent B eine authentische Kopie des öffentlichen Schlüssels von Korrespondent A besitzt, dann wird text_A das von einer zuverlässigen Zentrale ausgegebene Zertifikat des öffentlichen Schlüssels von A enthalten; Korrespondent B kann seine authentische Kopie des öffentlichen Schlüssels der zuverlässigen Zentrale benutzen, um das Zertifikat von Korrespondent A zu verifizieren, und daher eine authentische Kopie des öffentlichen Schlüssels des Korrespondenten A erhalten.
In jedem Beispiel unten wird angenommen, dass ein Eindringling E wünscht, dass von A Nachrichten als von E selbst stammend identifiziert werden. Um das zu bewerkstelligen wählt E eine ganze Zufallszahl e, 1 ≤ e ≤ p – 2, berechnet p_E = (p_A)^e = α^ae mod p und erhält dieses als seinen öffentlichen Schlüssel zertifiziert. E kennt den Exponenten ae nicht, obwohl ihr e bekannt ist. Durch Ersetzen von text_A mit text_E nimmt Korrespondent B an, dass die Nachricht eher von E als von A stammt und benutzt den öffentlichen Schlüssel von E, um den Sitzungsschlüssel K zu generieren. E fängt auch die Nachricht von B ab und benutzt seine geheime ganze Zufallszahl e, um dessen Inhalt zu modifizieren. A benutzt dann diese Information, um den gleichen Sitzungsschlüssel zu generieren, was A gestattet, mit B zu kommunizieren.
Die vorliegende Erfindung wird beispielhaft durch Modifikationen an vier Protokollen aus der MTI Familie erläutert, welche diesen neuen Angriff vereiteln, und dadurch die gewünschte Eigenschaft der gegenseitigen impliziten Authentisierung erreichen. In den unten beispielhaft erläuterten modifizierten Protokollen bezeichnet F(X, Y) eine auf eine von x und y abgeleitete Folge angewendete Verschlüsselungsfunktion. Üblicherweise und wie beispielhaft erläutert wird eine Hashfunktion wie z. B. NIST „Secure Hash Algorithmus" (SHA-1) auf die durch Verknüpfung von X und Y erhaltene Folge angewendet, gemeint ist jedoch, dass auch andere Verschlüsselungsfunktionen verwendet werden können.
Beispiel 1 – MTI/A0-Protokoll
Das vorhandene Protokoll arbeitet wie folgt:

1. Korrespondent A generiert eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet α^x und sendet {α^x, text_A} an Partei B.
2. Korrespondent B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2, berechnet α^y und sendet {α^y, text_B} an Partei A.
3. Korrespondent A berechnet K = (α^y)^a(p_B)^x = α^ay ^+bx.
4. Korrespondent B berechnet K = (α^x)^b(p_A)^y = α^ay+ ^bx.

Dadurch wird ein gemeinsamer Schlüssel K erhalten. Mit dieser Vereinbarung kann jedoch Eindringling E in der folgenden Weise von Korrespondent A generierte Nachrichten als von E stammend identifiziert haben.

1. E fängt die Nachricht {α^x, text_A} von A ab und ersetzt sie durch {α^x, text_E}. Die Entsendung der Nachricht text_E identifiziert die Nachricht als von E stammend.
2. B sendet {α^y, text_B} an E, der dann {(α^y)^e, text_B} an A weiterleitet. Weil A text_B empfängt, nimmt er an, die Nachricht stammt von B und, da er den Wert von y nicht kennt, nimmt er an, dass α^ye eine gültige Information ist.
3. A berechnet K = (α^ey)^a(p_B)^x = α^aey+ ^bx.
4. B berechnet K = (α^x)^b(p_E)^y = α^aey+ ^bx.
5. A und B benutzen nun gemeinsam den Schlüssel K, auch wenn B glaubt, er benutzt einen Schlüssel gemeinsam mit E.

Folglich wird von B jede weitere Transaktion von A zu B als von E stammend betrachtet. B wird entsprechend handeln und E Instruktionen zukommen lassen. Obwohl der Eindringling E den Wert des Sitzungsschlüssels K nicht kennt, kann trotzdem die Annahme, dass die Nachricht von E stammt, nützlich sein und den gewünschten Effekt erzielen.
Das Protokoll wird wie folgt modifiziert, um dieses Problem zu umgehen:

1. A generiert eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet α^x und sendet {α^x, text_A} an Partei B.
2. B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2 und berechnet α^y, K = (α^x)^b(p_A)^y = α^ay+ ^bx und einen Wert h einer kryptographischen Hashfunktion F(α^y, α^ay+ ^bx), welche eine Funktion der öffentlichen Information n und des Schlüssels K ist. B sendet {α^y, h, text_B} an Partei A.
3. A berechnet K = (α^y)^a(p_B)^x = α^ay+ ^bx. A berechnet auch einen Wert h' der kryptographischen Hashfunktion F(α^y, K) und verifiziert, dass dieser Wert gleich ist mit h.

Wenn E versucht, seine Identifikation, text_E, zwischenzuschalten, schlägt der Angriff bei den modifizierten Protokollen fehl, weil B in jedem Fall den Hashwert F(π, K) sendet, wobei π der Zufallsexponent α^y von B ist und dadurch die Werte von π und K verbindet. Folglich kann E den Wert von π mit π^e nicht ersetzen und F (π^e, K) berechnen, weil E K nicht kennt. Obwohl E α^y kennt, ist es nicht ausreichend, um K aus dem Hashwert h zu extrahieren. Auch wenn E den Wert α^ye zwischenschaltet, so dass die Schlüssel 20 übereinstimmen werden, werden die Werte h, h' demgemäss nicht übereinstimmen.
Beispiel 2 – MTI/B0-Protokoll
In diesem Protokoll

1. generiert A eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet (p_B)^x = α^bx und sendet {α^bx, text_A} an Partei B.
2. B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2, berechnet (p_A)^y = α^ay und sendet {α^ay, text_B} an Partei A.
3. A berechnet K = (α^ay)^(1/a)α^x = α^x+y,
4. B berechnet K = (α^bx)^(1/b)α^y = α^x+y.

Dieses Protokoll ist durch den Eindringling E angreifbar falls,

1. E die Nachricht {α^bx, text_A} von A durch {α^bx, text_E} ersetzt, um sich selbst als den Urheber der Nachricht zu identifizieren.
2. B sendet {(p_E)^y, text_B} an E, der dann ((p_E)^y)⁽ ^1/ ^e) = α^ay berechnet und {α^ay, text_B} an A weiterleitet.
3. A berechnet K = (α^ay)^(1/ ^a)α^x = α^x+y.
4. B berechnet K = (α^bx)^(1/b)α^y = α^x+y.
5. A und B benutzen nun den Schlüssel K gemeinsam, obwohl B glaubt, dass er einen Schlüssel gemeinsam mit E benutzt.

Dieses Protokoll kann, um dem Angriff von E zu widerstehen, wie folgt modifiziert werden:

1. A generiert eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet (p_B)^x = α^bx und sendet {α^bx, text_A} an Partei B.
2. B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2 und berechnet (p_A)^y = α^ay, K = (α^bx)^(1/ ^b)α^y = α^x+y und den Wert h der Hashfunktion F(α^ay, α^x+y). B sendet {α^ay, h, text_B} zu A.
3. A berechnet K = (α^ay)^(1/a)α^x = α^x+y. A berechnet auch den Wert h' der Hashfunktion F (α^ay, K) und verifiziert, dass dieser Wert gleich ist mit h.

Wieder einmal kann E den Sitzungsschlüssel K nicht ermitteln und so keinen neuen Wert der Hashfunktion generieren, um die Irreführung aufrechtzuerhalten.
Beispiel 3 – MTI/C0-Protokoll
Dieses Protokoll arbeitet wie folgt:

1. A generiert eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet (p_B)^x = α^bx und sendet {α^bx, text_A} an Partei B.
2. B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2, berechnet (p_A)^y = α^ay und sendet {α^ay, text_B} zu Partei A.
3. A berechnet K = (α^ay)^(x/ ^a) = α^xy.
4. B berechnet K = (α^bx)^(y/b) = α^yx.

Der Eindringling E kann seine Identität wie folgt zwischenschalten:

1. E ersetzt die Nachricht {α^bx, text_A} von A durch {α^bx, text_E}.
2. B sendet {(p_E)^y, text_B} an E, der dann ((p_E)^y)^(1/e) = α^ay berechnet und {α^ay, text_B} an A weiterleitet.
3. A berechnet K = (α^ay)^(x/a) = α^xy.
4. B berechnet K = (α^bx)^(y/b) = α^xy.
5. A und B benutzen nun den Schlüssel K gemeinsam, obwohl B glaubt, dass er einen Schlüssel gemeinsam mit E benutzt.

Das Protokoll wird, um diesen Angriff zu vermeiden, wie folgt modifiziert:

1. A generiert eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet (p_B)^x = α^bx und sendet {α^bx, text_A} an Partei B.
2. B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2 und berechnet (p_A)^y = α^ay, K = (α^bx)^(y/b) = α^xy und den Wert h der Hashfunktion F(α^ay, α^xy). B sendet {α^ay, h, text_B} zu Partei A.
3. A berechnet K = (α^ay)^(x/a) = α^xy. A berechnet auch den Wert h' der Hashfunktion F (α^ay, K) und verifiziert, dass dieser Wert gleich ist mit h.

Beispiel 4 – MTI/C1-Protokoll
In diesem Protokoll

1. generiert A eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet (p_B)^ax = α^abx und sendet {α^abx, text_A} an Partei B.
2. B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2; berechnet (p_A)^by = α^aby und sendet {α^aby, text_B} zu Partei A.
3. A berechnet K = (α^aby)^x = α^abxy.
4. B berechnet K = (α^abx)^y = α^abxy.

E kann als ein Eindringling wie folgt handeln:

1. E ersetzt die Nachricht {α^abx, text_A} von A durch {α^abx, text_E}.
2. B sendet {(p_E)^by, text_B} an E, der dann ((p_E)^by)^(1/e) = α^aby berechnet und {α^aby, text_B} an A weiterleitet.
3. A berechnet K = (α^aby)^x = α^abxy.
4. B berechnet K = (α^abx)^y = α^abxy.
5. A und B benutzen nun den Schlüssel K gemeinsam, obwohl B glaubt, dass er einen Schlüssel gemeinsam mit E benutzt.

Das Protokoll wird, um dies zu vermeiden, wie folgt modifiziert:

1. A generiert eine ganze Zufallszahl x, 1 ≤ x ≤ p – 2, berechnet (p_B)^ax = α^abx und sendet {α^abx, text_A} an Partei B.
2. B generiert eine ganze Zufallszahl y, 1 ≤ y ≤ p – 2 und berechnet (p_A)by = α^aby, K = (α^abx)^y = α^abxy und h = F(α^aby, α^abxy). B sendet {α^aby, h, text_B} zu Partei A.
3. A berechnet K = (α^aby)^x = α^abxy. A berechnet auch h' = F (α^aby, K) und verifiziert, dass dieser Wert gleich ist mit h.

In jeder der oben diskutierten modifizierten Protokolle ist eine Schlüsselbestätigung von B an A vorgesehen.
Wie oben vermerkt könnten anstelle von einer kryptographischen Hashfunktion F andere Funktionen verwendet werden. Beispielsweise ist eine verfügbare Option, F = ∊_K zu wählen, wobei ∊ die Verschlüsselungsfunktion eines passenden Verschlüsselungsschemas mit symmetrischen Schlüsseln und K der etablierte Sitzungsschlüssel ist. Weil E den Sitzungsschlüssel K nicht generieren kann, ist er gleichermaßen nicht in der Lage, den Wert der Funktion F zu generieren und kann sich daher nicht für den Korrespondenten A zwischenschalten.
Die oben beschriebene Technik kann auf andere ähnliche Schlüsselaustauschprogramme angewendet werden, einschließlich der 3 unbeschränkten Klassen von MTI-Protokollen, die als MTI-A(k), MTI-B(k) und MTI-C(k) bezeichnet werden.
Das Goss authentisierte Schlüsselaustauschprotokoll ist ähnlich zum MTI/A0-Protokoll mit der Ausnahme, dass der Sitzungsschlüssel die bitweise exklusiv-ODER-Funktion von α^ay und α^bx ist; das heißt K = α^ay ⊕ α^bx anstatt dem Produkt von α^ay und α^bx. Daher kann der Angriff auf das MTI/A0-Protokoll und auf dessen Modifikation auf eine geradlinige Art auf den Fall des Goss-Protokolls ausgeweitet werden.
Ebenso ist das authentisierte Schlüsselaustauschprotokoll von Yacobi genau das Gleiche wie das MTI/A0-Protokoll mit der Ausnahme, dass α ein Element der Gruppe von Einheiten Z*_n ist, wobei n das Produkt von 2 großen Primzahlen ist. Wiederum kann der Angriff auf den MTI/A0-Protokoll und auf dessen Modifikationen auf eine geradlinige Art auf den Fall des Goss-Protokolls ausgeweitet werden.
Ein weiterer Weg zum Durchkreuzen der Zwischenschaltung von E ist es, zu fordern, dass jede Entität bei einem zuverlässigen Zentrum unter Beweis stellt, dass sie den Exponenten von α kennt, der dessen öffentlichen Schlüssel P produziert, bevor das Zentrum ein Zertifikat für den öffentlichen Schlüssel ausgibt. Weil E nur "e" kennt und nicht "ae" würde es dieser Forderung nicht gerecht werden. Das kann durch Nullkenntnis-Techniken (zero knowledge techniques)erreicht werden, um die Geheimhaltung der privaten Schlüssel zu schützen, benötigt aber auch die Erreichbarkeit eines zuverlässigen Zentrums, was unpraktisch sein kann.
Jedes der obigen Beispiele wurde mit einem 2-Durchlauf-Protokoll zur Schlüsselauthentisierung beschrieben. Ebenfalls existieren 1-Durchlauf-Protokolle, um einen Schlüssel zwischen Korrespondenten zu etablieren und können ähnlich verwundbar sein.
Als ein Beispiel wird das 1-Durchlauf-Nyberg-Rueppel-Schlüsselabkommenprotokoll beschrieben und eine Modifikation vorgeschlagen.
Der Zweck dieses Protokolls besteht darin, dass Partei A und Partei B zu einer Übereinkunft über einen geheimen Sitzungsschlüssel K kommen.
Die Systemparameter für diese Protokolle sind eine Primzahl p und ein Generator α der multiplikativen Gruppe Z*_p. Benutzer A hat einen privaten Schlüssel a und einen öffentlichen Schlüssel p_A = α^a. Benutzer B hat einen privaten Schlüssel b und einen öffentlichen Schlüssel p_B = α^b.

1. A wählt ganze Zufallszahlen x und t, 1 ≤ x, t ≤ p – 2.
2. A berechnet r = (p_B)^tα^–x mod p und s = x – ra mod (p – 1) und sendet {r, s, text_A} zu B.
3. B stellt den Wert α^x mod p durch Berechnung von α^s(p_A)^r mod p wieder her und berechnet dann den gemeinsamen Sitzungsschlüssel K = (rα^x)^(1/b) = α^t mod p.

Falls Eindringling E wünscht, dass Nachrichten von A identifiziert werden als stammen sie von ihr, wählt E eine ganze Zufallszahl e, 1 ≤ e ≤ p – 2, berechnet p_E = α^e und erhält dies zertifiziert als ihren öffentlichen Schlüssel.

1. E fängt die Nachricht {r, s, text_A} von A ab und berechnet α^x = α^s(p_A)^r und α^bt = rα^x.
2. E wählt dann eine ganze Zufallszahl x', 1 ≤ x' ≤ p – 2, berechnet r' = α^btα^–x'. mod p und s' = x' – r'e mod (p – 1).
3. E sendet {r', s', text_E} an B.
4. B stellt den Wert α^kt mod p durch Berechnung von α^s'(p_E)^r' mod p wieder her und berechnet dann K = (r'α^x')^(1/b) = α^t mod p.
5. A und B benutzen nun gemeinsam den Schlüssel K, auch wenn B glaubt, er benutzt einen Schlüssel gemeinsam mit E.

Das Protokoll wird modifiziert, um einen solchen Angriff zu durchkreuzen, indem A verpflichtet wird auch einen Wert h von F(p_A, K) zu übertragen, wobei F eine Hashfunktion ist, eine Verschlüsselungsfunktion eines symmetrischen Schlüsselsystems mit Schlüssel K oder einer anderen passenden Verschlüsselungsfunktion. Das modifizierte Protokoll ist das folgende.

1. A wählt ganze Zufallszahlen x und t, 1 ≤ x, t ≤ p – 2.
2. A berechnet r = (p_B)^tα^–x mod p, s = x – ra mod (p – 1), Sitzungsschlüssel K = α^t mod p und den Wert h der Hashfunktion F(p_A, K). A sendet {r, s, h, text_A} zu B.
3. B stellt den Wert α^x mod p durch Berechnung von α^s(p_A)^r mod p wieder her und berechnet den gemeinsam benutzten Sitzungsschlüssel K = (rα^x)^(1/ ^b) = α^t mod p. B berechnet auch den Wert h' der Funktion F(p_A, K) und verifiziert, dass dieser Wert gleich ist mit h.

Folglich wird wiederum durch Verknüpfung der öffentlichen Information π und des Sitzungsschlüssels K in der Hashfunktion die Zwischenschaltung von E nicht in identischen Hashfunktionen h, h' enden.
In jedem Fall ist ersichtlich, dass eine verhältnismäßig einfache Modifikation an der. Protokollen, welche die Bindung von öffentlicher und privater Information in einer Verschlüsselungsfunktion beinhaltet, die Zwischenschaltung eines Eindringlings E durchkreuzt.
Sämtliche oben diskutierte Protokolle wurden in dem Satz der multiplikativen Gruppe Z*_p beschrieben. Jedoch können sie alle einfach modifiziert werden, um in jeder endlichen Gruppe zu arbeiten, in welcher das diskrete logarithmische Problem hartnäckig zu sein scheint. Eine passende Auswahl beinhaltet die multiplikative Gruppe eines endlichen Feldes (insbesondere das endliche Feld GF(2ⁿ)), Untergruppen von Z*_p der Ordnung q und die Gruppe von Punkten auf einer über ein endliches Feld definierten elliptischen Kurve. In jedem Fall wird ein geeigneter Generator α benutzt, um die öffentlichen Schlüssel zu definieren.
Die oben diskutierten Protokolle können auch auf eine geradlinige Art modifiziert werden, um die Situation zu bewältigen, wenn jeder Benutzer seine eigenen Systemparameter p und α wählt (oder analoge Parameter, falls eine andere Gruppe als Z*_p benutzt wird).

Claims

Verfahren zum Authentifizieren eines Paares von Korrespondenten A, B, um den Austausch von Information untereinander zu erlauben, wobei jeder der Korrespondenten jeweils einen privaten Schlüssel a, b und einen öffentlichen Schlüssel p_A, p_B, der von einem Generator α und jeweils einem der privaten Schlüssel a, b abgeleitet ist, besitzt, wobei das Verfahren die folgenden Schritte umfasst: i) ein erster der Korrespondenten A wählt eine erste ganze Zufallszahl x aus und potenziert eine Funktion f(α), die den Generator umfasst, mit einer Potenz g(x), um eine erste potenzierte Funktion f(α)^g(x) vorzusehen; ii) der erste Korrespondent A schickt an einen zweiten Korrespondenten B eine Nachricht ab, welche die erste potenzierte Funktion f(α)^g( ^x ⁾ umfasst; iii) der Korrespondent B wählt eine zweite ganze Zufallszahl y aus und potenziert eine Funktion f'(α), die den Generator umfasst, mit einer Potenz g(y), um eine zweite potenzierte Funktion f'(α)^g(y) vorzusehen; wobei das Verfahren durch die folgenden Schritte gekennzeichnet ist: iv) der zweite Korrespondent B erstellt einen Sitzungsschlüssel K aus Information, die von dem ersten Korrespondenten A öffentlich gemacht wurde, und aus Information, die privat für den zweiten Korrespondenten B ist, wobei der Sitzungsschlüssel K auch von dem ersten Korrespondenten A aus Information, die von B öffentlich gemacht wurde, und aus Information, die für den ersten Korrespondenten A privat ist, erstellt werden kann; v) der zwaeite Korrespondent B erstellt einen Wert h einer Funktion F [π, K], wobei F [π, K] eine kryptografische Funktion bezeichnet, die gemeinsam auf π und K angewandt wird, um die Werte von π und K zu verbinden, und wobei π aus der Information erhalten wird, die von B öffentlich gemacht wurde, um das Erstellen des Sitzungsschlüssels K zu erlauben; vi) der zweite der Korrespondenten B schickt eine Nachricht an den ersten Korrespondenten A ab, welche die zweite Exponentialfunktion f'(α)^g(y) und den Wert h der kryptografischen Funktion F[π, K] umfasst; vii) der erste Korrespondent empfängt die Nachricht und berechnet einen Sitzungsschlüssel K' aus Information, die von dem zweiten Korrespondenten B öffentlich gemacht wurde, und aus Information, die privat für den ersten Korrespondenten A ist; viii) der erste Korrespondent A berechnet einen Wert h' einer kryptografischen Funktion F[π, K']; und ix) die Werte, die von den kryptografischen Funktionen F erhalten wurden, werden verglichen, um ihre Entsprechung zu bestätigen.
Verfahren nach Anspruch 1, weiter dadurch gekennzeichnet, dass die vom ersten Korrespondenten abgeschickte Nachricht eine Identifikation des ersten Korrespondenten umfasst.
Verfahren nach Anspruch 1, weiter dadurch gekennzeichnet, dass die vom zweiten Korrespondenten abgeschickte Nachricht eine Identifikation des zweiten Korrespondenten umfasst.
Verfahren nach Anspruch 3, weiter dadurch gekennzeichnet, dass die vom ersten Korrespondenten abgeschickte Nachricht eine Identifikation des ersten Korrespondenten umfasst.
Verfahren nach Anspruch 1, weiter dadurch gekennzeichnet, dass die erste den Generator umfassende Funktion f(α) der Generator selbst ist.
Verfahren nach Anspruch 1, weiter dadurch gekennzeichnet, dass die zweite den Generator umfassende Funktion f'(α) der Generator selbst ist.
Verfahren nach Anspruch 6, weiter dadurch gekennzeichnet, dass die erste den Generator umfassende Funktion f(α) der Generator selbst ist.
Verfahren nach Anspruch 1, weiter dadurch gekennzeichnet, dass die erste den Generator f(α) umfassende Funktion den öffentlichen Schlüssel p_B des zweiten Korrespondenten umfasst.
Verfahren nach Anspruch 1, weiter dadurch gekennzeichnet, dass die zweite den Generator f'(α) umfassende Funktion den öffentlichen Schlüssel p_A des ersten Korrespondenten umfasst.
Verfahren nach Anspruch 1, weiter dadurch gekennzeichnet, dass die kryptografischen Funktionen F Hashwerte von π und K sind.
Verfahren zum Transportieren eines Schlüssels zwischen einem Paar von Korrespondenten A, B, um den Austausch von Information untereinander zu erlauben, wobei jeder der Korrespondenten jeweils einen privaten Schlüssel a, b und einen öffentlichen Schlüssel p_A, p_B, der von einem Generator α und jeweils einem der privaten Schlüssel a, b abgeleitet ist, besitzt, wobei das Verfahren die folgenden Schritte umfasst: i) ein erster der Korrespondenten A wählt eine erste ganze Zufallszahl x aus und potenziert eine Funktion f(α), die den Generator umfasst, mit einer Potenz g(x), um eine erste potenzierte Funktion f(α)^g(x) vorzusehen; ii) der erste Korrespondent A schickt an einen zweiten Korrespondenten B eine Nachricht ab, welche die erste potenzierte Funktion f(α)^g(x) umfasst; iii) der zweite Korrespondent B erstellt einen Sitzungsschlüssel K aus Information, die von dem ersten Korrespondenten A öffentlich gemacht wurde, und aus Information, die privat für den zweiten Korrespondenten B ist, wobei der Sitzungsschlüssel K auch von dem ersten Korrespondenten A aus Information, die von B öffentlich gemacht wurde, und aus Information, die für den ersten Korrespondenten A privat ist, erstellt werden kann; wobei das Verfahren durch die folgenden Schritte charakterisiert ist: iv) beide der ersten Korrespondenten A und der zweiten Korrespondenten B berechnen jeweils einen Wert h, h' einer Funktion F [π, K], wobei F [π, K] eine kryptografische Funktion bezeichnet, die auf π und K angewandt wird, um die Werte π und K zu verbinden, und wobei π aus der Information erhalten wird, die von einem der Korrespondenten öffentlich gemacht wurde, um ein Erstellen des Sitzungsschlüssels K zu erlauben; v) wenigstens einer der Korrespondenten vergleicht die Werte h, h', die von der kryptografischen Funktion F erhalten wurden, um ihre Entsprechung zu bestätigen.
Verfahren nach Anspruch 11, weiter dadurch gekennzeichnet, dass die vom ersten Korrespondenten abgeschickte Nachricht eine Identifikation des ersten Korrespondenten umfasst.
Verfahren nach Anspruch 11, weiter dadurch gekennzeichnet, dass die von dem ersten Korrespondenten abgeschickte Nachricht den Wert umfasst, der von der kryptografischen Funktion durch den ersten Korrespondenten erhalten wurde.
Verfahren nach Anspruch 11, weiter dadurch gekennzeichnet, dass die von den kryptografischen Funktionen erhaltenen Werte aus einem Hashwert der öffentlichen Information und des Sitzungsschlüssels K erhalten sind.
Verfahren nach Anspruch 11, weiter dadurch gekennzeichnet, dass der erste Korrespondent ein Paar von ganzen Zufallszahlen x und t auswählt und einen Sitzungsschlüssel K als f(α)^g(t) erstellt und einen Wert r aus der ersten potenzierten Funktion f(α)^g(x) erstellt, der einen Faktor umfasst, welcher den öffentlichen Schlüssel p_B des zweiten Korrespondenten mit der ganzen Zufallszahl t potenziert, um die Form p_B ^(E(t) α^g(x) zu besitzen.
Verfahren nach Anspruch 15, weiter dadurch gekennzeichnet, dass der erste Korrespondent A einen Wert s aus einer Kombination der ganzen Zufallszahl x und des privaten Schlüssels a erstellt und den Wert von r und den Wert von s an den zweiten Korrespondenten B abschickt, um dem zweiten Korrespondenten B zu ermöglichen, den Sitzungsschlüssel K unter Nutzung des privaten Schlüssels b des zweiten Korrespondenten B wieder zu gewinnen.
Verfahren nach Anspruch 16, weiter dadurch gekennzeichnet, dass die ganze Zufallszahl x und der private Schlüssel a kombiniert werden, um s zu erzeugen derart, dass s = x – ra mod(p – 1) ist.
Verfahren nach Anspruch 17, weiter dadurch gekennzeichnet, dass die kryptografische Funktion F ein Hashwert der öffentlichen Information p und des Sitzungsschlüssels K ist.
Verfahren nach Anspruch 18, weiter dadurch gekennzeichnet, dass die öffentliche Information π der öffentliche Schlüssel p_A des ersten Korrespondenten A ist.