Protokol Station-to-Station (STS)

Protokol Station-to-Station (STS) (Diffie, van Oorschot, Wiener, 1992) direka bentuk untuk menyediakan pertukaran kunci yang disahkan tanpa pihak ketiga yang dipercayai. Pertukaran kunci Diffie-Hellman tulen tidak disahkan — penyerang di tengah-tengah boleh menggantikan nilai DH miliknya, lalu mewujudkan sesi berasingan dengan setiap pihak yang menyangka mereka berkongsi kunci. STS menggabungkan DH dengan tandatangan digital dan sijil kunci awam untuk menyediakan pengesahan bersama. Pihak-pihak tersebut mengesahkan diri dengan menandatangani transkrip DH, lalu mengikat kunci sesi pada identiti mereka. STS mempengaruhi secara langsung reka bentuk IKE (Pertukaran Kunci Internet untuk IPsec) dan SSH.

Protokol STS berlangsung seperti berikut. Alice dan Bob bersetuju tentang kumpulan DH (nombor perdana p, penjana g). (1) Alice menghantar g^a mod p kepada Bob. (2) Bob menghantar g^b mod p, Cert_B, Sig_B{g^b, g^a} kepada Alice. Bob menandatangani penggabungan kedua-dua nilai DH menggunakan kunci peribadinya. (3) Alice mengesahkan sijil dan tandatangan Bob, kemudian menghantar Cert_A, Sig_A{g^a, g^b} yang disulitkan menggunakan kunci sesi K = (g^ab mod p). Identiti dan tandatangan Alice disulitkan, lalu memberikan perlindungan identiti Alice — pencerap pasif tidak dapat mengaitkan Alice dengan sesi ini. Kedua-dua pihak mengira K = g^ab mod p dan saling disahkan melalui tandatangan tersebut.

Perbandingan antara STS dengan DH tanpa pengesahan menunjukkan perkara yang ditambahkan oleh pengesahan. Dalam DH biasa, Mallory memintas g^a dan g^b, menggantikan g^m untuk Alice dan g^m untuk Bob, lalu mewujudkan K1 = g^am dan K2 = g^bm. Mallory menyahsulit semua trafik. Dalam STS, Bob menandatangani {g^b, g^a} — tandatangan ini meliputi nilai DH tepat dalam sesi tersebut. Walaupun Mallory menggantikan g^b dengan g^m, Mallory tidak dapat memalsukan tandatangan yang sah menggunakan kunci sijil Bob. Alice menolak sesi itu. Inti pati pentingnya: pengesahan dalam pertukaran kunci mesti meliputi transkrip DH, bukan sekadar dakwaan identiti.

STS mencapai kerahsiaan hadapan sempurna (PFS) kerana kunci sesi diterbitkan daripada nilai DH sementara (g^a, g^b) yang dibuang selepas sesi tamat. Walaupun kunci tandatangan jangka panjang Bob kemudiannya terjejas, sesi STS yang dirakam sebelum itu tidak dapat dinyahsulit — penyerang memerlukan eksponen DH sementara a dan b, yang tidak pernah disimpan. Sifat ini sama seperti sifat yang dihargai dalam TLS dengan set sifir ECDHE. Tanpa DH sementara (contohnya, menggunakan pengangkutan kunci RSA, yang menyebabkan kunci sesi disulitkan menggunakan kunci RSA statik pelayan), pendedahan kunci jangka panjang akan menyahsulit semua sesi terdahulu.

STS menyulitkan sijil dan tandatangan Alice pada langkah 3, lalu memberikan perlindungan identiti pihak yang menjawab daripada pencerap pasif. Pemerhati pasif hanya melihat nilai DH Alice dan sijil Bob (yang dihantar Bob dalam teks biasa pada langkah 2). Identiti Alice disembunyikan daripada pencerap pasif. Penyerang aktif yang melancarkan MITM akan dikesan apabila pengesahan tandatangan gagal. Ketaksimetrian ini (identiti pemula didedahkan kepada penyerang aktif, manakala identiti pihak yang menjawab dilindungi daripada pencerap pasif) ialah pertukaran reka bentuk yang disengajakan — perlindungan identiti penuh bagi kedua-dua pihak daripada penyerang aktif memerlukan kerumitan protokol tambahan (praperkongsian nilai DH atau penggunaan unsur kumpulan tanpa nama).

IKE (Pertukaran Kunci Internet), iaitu protokol pengurusan kunci untuk IPsec, berasal secara langsung daripada STS. IKEv1 (RFC 2409) melaksanakan pengesahan tandatangan gaya STS dalam Mod Utamanya. IKEv2 (RFC 7296) ialah reka bentuk semula yang lebih kemas dengan empat aliran mesej: IKE_SA_INIT (pertukaran DH, nilai sekali guna), IKE_AUTH (identiti, sijil dan tandatangan terhadap transkrip IKE_SA_INIT). Format tandatangan ialah AUTH = PRF(SK_pi, transcript) untuk PSK atau tandatangan digital terhadap oktet IKE_SA_INIT untuk pengesahan sijil. IKEv2 juga menyokong Protokol Pengesahan Boleh Diperluas (EAP) untuk pengesahan berasaskan kata laluan lama, serupa dengan sokongan STS terhadap pelbagai kaedah pengesahan.

Pengesahan kunci SSH menggunakan mekanisme yang serupa dengan langkah 3 STS. Selepas pertukaran kunci DH (SSH_MSG_KEXDH_REPLY mengandungi kunci awam pelayan, nilai DH dan tandatangan terhadap cincangan pertukaran), klien mengesahkan kunci hos pelayan. Untuk pengesahan klien (SSH_MSG_USERAUTH_REQUEST dengan kaedah publickey), klien menandatangani {session_id, username, service, method, key_algo, public_key} menggunakan kunci peribadinya. session_id diterbitkan daripada transkrip DH, lalu mengikat pengesahan pada sesi tertentu ini dan mencegah pemalsuan merentas sesi yang pernah menjejaskan NS. SSH tidak menggunakan sijil secara lalai tetapi menyokongnya melalui ssh-keygen -s (penandatanganan sijil) untuk penggunaan berskala besar.

STS ialah ahli keluarga protokol pertukaran kunci yang disahkan (AKE) SIGMA (SIGn-and-MAc), yang diformalkan oleh Hugo Krawczyk. SIGMA menambahkan MAC pada STS: setiap pihak menandatangani transkrip dan mengira MAC untuk identitinya menggunakan kunci sesi: MAC(K, identity). MAC itu mengikat identiti pada kunci sesi dan mencegah serangan tertentu yang membolehkan pihak lawan mengaitkan tandatangan daripada sesi yang berbeza. SIGMA-I (identiti pemula dilindungi), SIGMA-R (identiti pihak yang menjawab dilindungi) dan SIGMA-0 (tiada perlindungan identiti) ialah variannya. IKEv2 dan X3DH Signal ialah protokol daripada keluarga SIGMA. Formalisme SIGMA menyediakan bukti keselamatan yang kukuh untuk reka bentuk seumpama STS.

STS terdedah kepada penyamaran akibat kompromi kunci (KCI): jika kunci jangka panjang Alice terjejas, penyerang boleh menyamar sebagai mana-mana pihak terhadap Alice dalam sesi baharu (kerana penyerang boleh memalsukan tandatangan Alice pada sebarang transkrip). Ini bermakna pendedahan kunci satu pihak membolehkan pihak lawan menyamar sebagai pihak lain terhadap pihak tersebut. KCI wujud secara semula jadi dalam protokol pertukaran kunci yang disahkan berasaskan tandatangan — pertahanan terhadapnya memerlukan kunci sesi bergantung pada sumbangan kedua-dua pihak dengan cara yang menghalang pihak yang kuncinya terjejas daripada membuat penggantian. HMQV (Hashed Menezes-Qu-Vanstone) dan NAXOS memberikan ketahanan terhadap KCI dengan mengorbankan kerumitan tambahan.

STS menyediakan jaminan bahawa pengirim tidak boleh menafikan mesejnya: tandatangan membuktikan dengan kepastian kriptografi siapa yang mengatakan sesuatu. Hal ini kadangkala tidak diingini — dalam perbualan peribadi, peserta mungkin tidak mahu bukti kriptografi kenyataan mereka boleh dikemukakan di mahkamah. Pemesejan Off-the-Record (OTR) dan Double Ratchet Signal memberikan kebolehnafian: bukannya menandatangani mesej, kedua-duanya menggunakan kunci MAC yang dimiliki oleh pengirim dan penerima. Selepas perbualan, kedua-dua pihak boleh mendakwa bahawa pihak yang satu lagi mereka-reka mesej tersebut, kerana masing-masing memiliki kunci untuk menghasilkan MAC. Pertukarannya ialah kebolehnafian mengorbankan ketidakbolehnafian. Reka bentuk seumpama STS sesuai apabila kebertanggungjawaban diperlukan; OTR dan Signal pula sesuai apabila kebolehnafian diutamakan.

Keselamatan STS dianalisis secara tidak formal dalam makalah asal, tetapi kemudiannya dibuktikan secara formal oleh Bellare dan Rogaway (1993, 1994) dalam model keselamatan AKE mereka yang penting. Mereka mentakrifkan maksud protokol pertukaran kunci yang selamat: kunci sesi tidak dapat dibezakan daripada nilai rawak, walaupun pihak lawan boleh mendaftarkan pihak, mendedahkan kunci sesi, mendedahkan kunci jangka panjang (kecuali bagi sesi sasaran) dan mengawal rangkaian. Model keselamatan berasaskan simulasi ini, yang diperluas oleh Canetti-Krawczyk dan kemudiannya UC (Kebolehkomposisian Sejagat), kini menjadi standard untuk membuktikan keselamatan protokol AKE. TLS 1.3, Signal dan Noise semuanya mempunyai bukti formal dalam varian model ini.

STS menggabungkan pertukaran kunci DH efemeral dengan tandatangan digital untuk menyediakan persetujuan kunci yang disahkan tanpa TTP. Kedua-dua pihak menandatangani transkrip DH, lalu mengikat pengesahan kepada sesi tersebut. STS mencapai kerahsiaan ke hadapan (DH efemeral), pengesahan bersama (tandatangan), dan perlindungan identiti pihak pemberi respons (data Alice disulitkan sebelum dihantar). STS mempengaruhi IKEv2 dan pengesahan kunci SSH secara langsung. SIGMA memformalkan STS dengan kod pengesahan mesej identiti dan bukti keselamatan. KCI ialah kelemahan semula jadi STS yang dibendung oleh HMQV/NAXOS. Kebolehnafian (seperti dalam Signal) memerlukan penggantian tandatangan dengan kod pengesahan mesej untuk ketulenan pada peringkat mesej.