ЯК (криптография) - YAK (cryptography)

ЯК является аутентифицированным открытым ключом протокола ключа-соглашения , предложенный Фэн Хао в 2010 году утверждал, что самый простой проверку подлинности обмена ключей протокол среди соответствующих схем, в том числе MQV , HMQV, Станция-станцию протокол , SSL / TLS и т. Д. Аутентификация основана на парах открытых ключей. Как и в случае с другими протоколами, YAK обычно требует инфраструктуры открытого ключа для распространения подлинных открытых ключей для взаимодействующих сторон. Безопасность ЯК оспаривается (см. Ниже и страницу обсуждения ).

Описание

Две стороны, Алиса и Боб, договариваются о группе с генератором простого порядка, в которой проблема дискретного журнала является сложной. Обычно используется группа Шнорра . В общем, YAK может использовать любую группу первичного порядка, которая подходит для криптографии с открытым ключом, включая криптографию с эллиптической кривой . Пусть это будет долгосрочный открытый ключ Алисы, а пусть будет ключ Боба. Протокол выполняется в один раунд : ${\ displaystyle G}$${\ displaystyle g}$${\ displaystyle q}$${\ displaystyle g ^ {a}}$${\ displaystyle g ^ {b}}$

Алиса выбирает и отправляет вместе с доказательством с нулевым разглашением (используя, например, неинтерактивное доказательство Шнорра с нулевым разглашением, как описано в RFC 8235) для доказательства экспоненты . Точно так же Боб выбирает и отправляет вместе с доказательством с нулевым разглашением для доказательства экспоненты . Здесь обозначение обозначает элемент, выбранный случайным образом с равномерной вероятностью . ${\ displaystyle x \ in _ {\ text {R}} [0, q-1]}$${\ displaystyle g ^ {x}}$${\ displaystyle x}$${\ displaystyle y \ in _ {\ text {R}} [0, q-1]}$${\ displaystyle g ^ {y}}$${\ displaystyle y}$${\ displaystyle \ in _ {\ text {R}}}$

Вышеупомянутое общение может быть выполнено за один раунд, поскольку ни одна из сторон не зависит от другой. Когда он заканчивается, Алиса и Боб проверяют полученные доказательства с нулевым разглашением . Затем Алиса вычисляет . Точно так же Боб вычисляет . С той же манипуляция материала , Алиса и Боб может получить ключ сеанса с использованием криптографической хеш - функции : . ${\ Displaystyle К = (г ^ {у} г ^ {Ь}) ^ {х + а} = г ^ {(х + а) (у + б)}}$${\ Displaystyle К = (г ^ {х} г ^ {а}) ^ {у + Ь} = г ^ {(х + а) (у + Ь)}}$${\ displaystyle K}$${\ Displaystyle \ каппа = Н (К)}$

Свойства безопасности

Использование хорошо зарекомендовавших себя примитивов доказательства с нулевым разглашением, таких как схема Шнорра, значительно упрощает доказательства безопасности. Учитывая, что базовый примитив доказательства с нулевым разглашением является безопасным, протокол YAK стремится удовлетворить следующие свойства.

1. Безопасность закрытого ключа - злоумышленник не может узнать статический закрытый ключ пользователя, даже если он может узнать все секреты конкретного сеанса в любом скомпрометированном сеансе.
2. Прямая секретность - сеансовые ключи, которые были надежно установлены в прошлых неповрежденных сеансах, останутся невыполнимыми в будущем, даже если статические закрытые ключи обоих пользователей будут раскрыты.
3. Безопасность сеансового ключа - злоумышленник не может вычислить сеансовый ключ, если он олицетворяет пользователя, но не имеет доступа к закрытому ключу пользователя.

Заявления о безопасности в исходной статье YAK основаны на вычислительном предположении Диффи-Хеллмана в случайной модели оракула .

Криптоанализ

В 2015 году Турани упомянул, что «протоколу YAK не хватает совместного управления ключами и атрибутов совершенной прямой секретности, и он уязвим для некоторых атак, включая атаки с неизвестным общим ключом и репликацией ключей», к которым Хао имеет иное мнение.

В 2020 году Мохаммад упомянул, что протокол YAK не может противостоять атаке с известной ключевой безопасностью, которая приводит к новой атаке с подделкой ключа, когда злоумышленник может раскрыть как общий статический секретный ключ между двумя сторонами, так и эфемерный закрытый ключ инициатора. Автор также предложил улучшенный протокол для защиты от этих атак и предыдущих атак, упомянутых Турани на протоколе YAK, и предложенный протокол использует механизм проверки, который обеспечивает аутентификацию объекта и подтверждение ключа. Автор показал, что предлагаемый протокол безопасен в предложенной формальной модели безопасности при допущении разрыва Диффи-Хеллмана и предположении случайного оракула. Более того, безопасность предложенного протокола и атаки на протокол YAK были проверены инструментом Scyther. Статья Мохаммеда обсуждается на странице обсуждения .

Рекомендации