ЯК (криптография) - Википедия - YAK (cryptography)

В ЯК аутентифицирован открытый ключ протокол согласования ключей, предложенный Фэн Хао в 2010 году. ^[1][2] Утверждается, что это один из самых простых протоколов обмена ключами с аутентификацией среди связанных схем, включая MQV, HMQV, Протокол между станциями, SSL /TLS и т.д. Аутентификация основана на парах открытых ключей. Как и в случае с другими протоколами, для YAK обычно требуется Инфраструктура открытых ключей распространять подлинные открытые ключи для взаимодействующих сторон.

Описание

Две стороны, Алиса и Боб, договариваются о группе ${ displaystyle G}$ с генератором ${ displaystyle g}$ высшего порядка ${ displaystyle q}$ в котором проблема дискретного журнала сложна. Обычно Группа Шнорра используется. В общем, YAK может использовать любую группу первичного порядка, которая подходит для криптографии с открытым ключом, включая криптография на основе эллиптических кривых. Позволять ${ displaystyle g ^ {a}}$ быть долгосрочным открытым ключом Алисы и ${ displaystyle g ^ {b}}$ быть Бобом. Протокол выполняется в один раунд:

Алиса выбирает ${ displaystyle x in _ { text {R}} [0, q-1]}$ и рассылает ${ displaystyle g ^ {x}}$ вместе с доказательство с нулевым разглашением (используя, например, неинтерактивное доказательство Шнорра с нулевым разглашением, как описано в RFC 8235 ) для доказательства экспоненты ${ displaystyle x}$. Точно так же Боб выбирает ${ displaystyle y in _ { text {R}} [0, q-1]}$ и рассылает ${ displaystyle g ^ {y}}$ вместе с доказательство с нулевым разглашением для доказательства экспоненты ${ displaystyle y}$. Здесь обозначение ${ displaystyle in _ { text {R}}}$ обозначает элемент, выбранный случайным образом с равномерной вероятностью.

Вышеуказанное общение может быть выполнено за один раунд, поскольку ни одна из сторон не зависит от другой. По окончании Алиса и Боб проверяют полученный доказательства с нулевым разглашением. Затем Алиса вычисляет ${ Displaystyle К = (г ^ {у} г ^ {Ь}) ^ {х + а} = г ^ {(х + а) (у + б)}}$. Точно так же Боб вычисляет ${ Displaystyle К = (г ^ {х} г ^ {а}) ^ {у + Ь} = г ^ {(х + а) (у + Ь)}}$. Из того же ключевого материала ${ displaystyle K}$, Алиса и Боб могут получить сеансовый ключ, используя криптографическая хеш-функция: ${ Displaystyle каппа = Н (К)}$.

Свойства безопасности

Использование хорошо зарекомендовавших себя примитивов доказательства с нулевым разглашением, таких как схема Шнорра, значительно упрощает доказательства безопасности. Учитывая, что основная доказательство с нулевым разглашением примитив безопасен, протокол YAK должен удовлетворять следующим свойствам. ^[2]

1. Безопасность закрытого ключа - Злоумышленник не может узнать статический закрытый ключ пользователя, даже если он может узнать все секреты конкретного сеанса в любом скомпрометированном сеансе.
2. Прямая секретность - Ключи сеанса, которые были надежно установлены в прошлых неповрежденных сеансах, останутся невыполнимыми в будущем, даже если будут раскрыты статические закрытые ключи обоих пользователей.
3. Безопасность сеансового ключа - Злоумышленник не может вычислить сеансовый ключ, если он выдает себя за пользователя, но не имеет доступа к закрытому ключу пользователя.

Требования безопасности в оригинальном документе ЯК ^[2] основаны на Вычислительное предположение Диффи-Хеллмана в случайная модель оракула.

Криптоанализ

В 2015 году Турани упомянул, что «протоколу YAK не хватает совместного управления ключами и атрибутов совершенной прямой секретности, и он уязвим для некоторых атак, включая атаки с использованием неизвестного общего доступа и репликации ключей» ^[3] к которому Хао имеет иное мнение.^[4]

В 2020 году Мохаммад упомянул, что протокол YAK не может противостоять известной атаке на безопасность ключей, которая приводит к новой атаке с подделкой ключа, когда злоумышленник может раскрыть как общий статический секретный ключ между двумя сторонами, так и эфемерный закрытый ключ инициатора. Автор также предложил улучшенный протокол для защиты от этих атак и предыдущих атак, упомянутых Турани на протоколе YAK, и предложенный протокол использует механизм проверки, который обеспечивает аутентификацию объекта и подтверждение ключа. Автор показал, что предлагаемый протокол безопасен в предлагаемой формальной модели безопасности при допущении разрыва Диффи-Хеллмана и предположении случайного оракула. Более того, безопасность предложенного протокола и атаки на протокол YAK были проверены инструментом Scyther. ^[5]

использованная литература