cheie de distribuție - cel mai important proces în managementul cheie. Pentru aceasta trebuie să îndeplinească următoarele cerințe:
· Viteza și precizia distribuției;
· Stealth chei distribuite.
Distribuția cheilor între un utilizatori de rețea de calculatoare se realizează în două moduri:
1) cu ajutorul unuia sau mai multor centre de cheie de distribuție;
2) chei de sesiune de schimb directă între utilizatorii rețelei.
În ambele cazuri, trebuie să se asigure autenticitatea unei sesiuni de comunicare. Acest lucru se poate face cu ajutorul unui mecanism sau a unui mecanism de marcaje temporale cerere-răspuns.
Mecanismul de provocare-răspuns este după cum urmează. Utilizatorul A include un mesaj trimis (cerere) pentru utilizator într-un element imprevizibil (de exemplu, un număr aleator). Atunci când răspunsurile la utilizatorii trebuie să efectueze o operație la elementul (de exemplu, adăugați unul), care nu se poate face în avans, deoarece nu se cunoaște modul în care un număr aleatoriu va veni în cerere. După ce a primit rezultatele de acțiune ale utilizatorului în (răspuns), utilizatorul A poate fi sigur că sesiunea este autentic.
mecanism de timbru de timp implică ștampila de timp pentru fiecare mesaj. Acest lucru permite rețelei fiecărui subiect pentru a determina cât de vechi mesaj de intrare, și o resping în cazul în care a existat îndoieli cu privire la autenticitatea acestuia. Când se folosește timpul de timbre nevoie pentru a seta intervalul de întârziere de timp admisibil.
În ambele cazuri, utilizează criptarea pentru a se asigura că răspunsul nu este trimis la atacator, și nu a schimbat marca de timbru de timp pentru a proteja elementul de control.
problema-cheie de distribuție reduce la construirea protocolului de distribuție a cheilor, care prevede:
· Autentificarea reciprocă a participanților la sesiune;
· Validarea mecanismului de sesiune cerere-răspuns sau timestamp-ul;
· Utilizarea unui număr minim de posturi de la schimbul de chei;
· Posibilitatea de excludere a abuzurilor din partea centrului de distribuție a cheilor (până la refuz de la ea).
Distribuția cheilor cu un centru de distribuție a cheilor. La alocarea cheilor de sesiune de comunicare autenticitate trebuie să fie garantată între participanții la viitoarea schimb de informații. Pentru modelul acceptabil de autentificare reciprocă parteneri de strângere de mână. În acest caz, nici unul dintre participanți nu vor primi nicio informație clasificată în timpul procedurii de autentificare.
Atunci când sunt incluse în procesul de distribuție de distribuție a cheilor centrul cheie (CRK) este interacțiunea sa cu una sau ambele părți la o sesiune, în scopul de a distribui chei secrete sau publice pentru a fi utilizate în comunicațiile ulterioare.
Următoarea etapă - confirmarea autenticității participanților - include certificând schimb de mesaje, pentru a putea identifica orice substituire sau repeta una dintre apelurile anterioare.
Luați în considerare protocoale pentru criptosistemele simetrice, cu o cheie secretă și-cheie de criptare publice asimetrice. Apelantul (obiectul sursă) este notată cu A și numit (obiect de destinație) - prin intermediul V. participanți sesiune A și B au identificatori unici ida și IDB, respectiv.
5.6.4. protocol de autentificare și distribuție
chei pentru criptosistemele simetrice
Luați în considerare ca un protocol exemplu de autentificare și distribuție a cheilor Kerberos (în limba rusă - Cerberus). Protocolul Kerberos este proiectat să funcționeze prin TCP / IP și rețele care implică autentificarea și distribuirea unei chei terță parte de încredere. Kerberos oferă autentificare securizată pe rețea, permițând accesul legitim utilizator la diferite mașini în rețea. Protocolul Kerberos se bazează pe cifruri simetrice (algoritm implementat DES, deși este posibil să se utilizeze alți algoritmi de criptare simetrică). Kerberos generează o singură cheie secretă pentru fiecare subiect al rețelei și cunoașterea cheia secretă este echivalentă cu dovada autenticității entității de rețea.
protocolul Kerberos este o variantă de autentificare de bază și protocolul de distribuție a cheilor de Needham-Schroeder. În versiunea 5 a protocolului de bază Kerberos implică două părți comunică A și B și KS încredere pentru server (Kerberos Server). Partea A și B, fiecare acțiune individual, cheia lor secretă cu KS serverul. KS încredere acționează ca un centru de server de distribuție a cheilor KDC.
Lăsați petrecerea A vrea să obțină o cheie de sesiune pentru schimbul de date cu B. laterală
Partea A inițiază faza cheie de distribuție, trimiterea de pe serverul de rețea KS identificatorii ida și BDI:
KS serverul generează un mesaj cu marcaj de timp T, L valabile, sesiune aleatoare K-cheie și identificatorul ida. Acesta criptează mesajul o cheie secretă, care este partajat cu partea B.
Apoi serverul KS ia, TIMESTAMP T, valabilitatea L cheii de sesiune K ID-IDB partea B și criptează toate cheia secretă, care este partajat cu partea A. Ambele aceste mesaje criptate trimite în poziția A:
Fața A decriptează primul mesaj cu cheia sa privată, verifică T timestamp-ul pentru a se asigura că acest mesaj nu este o repetare a procedurii de distribuție a cheilor anterioare.
Apoi, Partea A generează un mesaj cu identificatorul său și o ștampilă de timp TS ida criptează o sesiune de K-cheie, și trimite B. laterală În plus, A trimite un mesaj la B prin KS, cheia criptată în mână:
Singurul partid capabil să decripteze mesajul (3). Partea B primește o ștampilă de timp T, valabilitatea L, sesiunea K-cheie și identificatorul ida. Apoi, partea B decriptează cheia de sesiune pentru a doua parte a mesajului (3). Coincidența valorilor T și ida în două părți ale rapoartelor confirmă autenticitatea A în ceea ce privește B.
Pentru autentificarea reciprocă în partid creează un mesaj constând dintr-o ștampilă de timp T + 1, acesta criptează și trimite-l la partea A:
Dacă după decriptarea mesajului (4) Partea A primeste rezultatul scontat, se știe că celălalt capăt al legăturii este într-adevăr V.
Acest protocol funcționează cu succes pe presupunerea că ceasul este sincronizat cu fiecare participant la ceas de server KS. Trebuie remarcat faptul că acest protocol necesită schimbul cu KS pentru a obține o cheie de sesiune de fiecare dată când A dorește să stabilească o comunicare cu B. Protocol oferă o conexiune fiabilă obiecte A și B, cu condiția ca nici una dintre cheile nu sunt compromise, iar KS serverul protejat.
Sistemul Kerberos oferă o protecție de rețea împotriva accesului neautorizat, bazată exclusiv pe soluții software și implică informații de control de criptare multiplă transmise prin rețea.
Kerberos este o structura client-server și constă dintr-o parte de la client instalat pe toate mașinile rețelei (stații de lucru și servere utilizatorilor), și serverul KS-Kerberos, care este situat la un calculator (nu neapărat dedicat).
Kerberos-server, la rândul lor, pot fi împărțite în două părți: serverul de autentificare AS (Server de autentificare) și serverul de autorizare TGS (Ticket Acordarea Server). Resurse de informare, clienții cu controalele necesare RS server de resurse informaționale (vezi. Următorul fig.).
Acțiunea sistemului Kerberos se aplică secțiunii rețelei, toți utilizatorii care sunt înregistrați în conformitate cu propriile lor nume și parole în baza de date Kerberos-server.