Co sprawia, że protokół jest bezpieczny

Celem uwierzytelniania jest ustalenie tożsamości stron komunikacji. Bez uwierzytelniania protokół jest podatny na podszywanie się: atakujący może udawać zaufany serwer i przechwytywać komunikację. Uwierzytelnianie w protokołach jest zazwyczaj realizowane za pomocą certyfikatów cyfrowych, wstępnie współdzielonych kluczy lub mechanizmów typu wyzwanie–odpowiedź, które dowodzą znajomości sekretu bez jego ujawniania.

Poufność gwarantuje, że treść wiadomości jest dostępna wyłącznie uprawnionym odbiorcom. Osiąga się ją przez szyfrowanie z użyciem kluczy znanych tylko zaangażowanym stronom. Naruszenie poufności oznacza, że podsłuchujący może odczytać wiadomości przesyłane w sieci. Sama poufność nie chroni przed modyfikowaniem wiadomości przez atakującego ani przed atakami powtórzeniowymi; musi być połączona z ochroną integralności.

Ochrona integralności gwarantuje, że odebrane wiadomości są dokładnie tymi, które nadawca wysłał, bez żadnych dodatków, usunięć ani modyfikacji. Integralność zapewniają kody uwierzytelniania wiadomości oraz tryby szyfrowania z uwierzytelnianiem. Bez ochrony integralności atakujący, który nie może odczytać szyfrogramu, może nadal zmieniać wybrane bity w przewidywalny sposób, aby zmodyfikować odszyfrowany tekst jawny, co jest wykorzystywane w atakach typu padding oracle.

Niezaprzeczalność oznacza, że nadawca nie może później zaprzeczyć, że wysłał wiadomość. Osiąga się ją za pomocą podpisów cyfrowych wykorzystujących klucze asymetryczne: tylko posiadacz klucza prywatnego mógł utworzyć podpis, a odpowiadający mu klucz publiczny służy do jego weryfikacji. Kody MAC nie zapewniają niezaprzeczalności, ponieważ zarówno nadawca, jak i odbiorca znają wspólny sekret i każda z tych stron mogła utworzyć kod MAC.

Świeżość gwarantuje, że stara, wcześniej prawidłowa wiadomość nie może zostać ponownie użyta przez atakującego w celu wywołania tego samego efektu. Mechanizmy zapewniające świeżość obejmują wartości nonce (losowe wartości zawarte w wiadomościach, które nie mogą się powtarzać), znaczniki czasu z krótkimi oknami ważności oraz numery sekwencyjne, które muszą ściśle rosnąć. Bez zapewnienia świeżości ponowne odtworzenie przechwyconej wiadomości uwierzytelniającej może całkowicie ominąć uwierzytelnianie.

Doskonała tajność przekazywania gwarantuje, że kompromitacja kluczy długoterminowych nie ujawni kluczy użytych w przeszłych sesjach. Osiąga się ją przez generowanie efemerycznych (tymczasowych) par kluczy dla każdej sesji za pomocą Diffie-Hellman. Klucze sesji są obliczane na podstawie kluczy efemerycznych i usuwane po użyciu. Nawet jeśli długoterminowy klucz prywatny serwera zostanie później skradziony, atakujący nie może odszyfrować wcześniej zarejestrowanych sesji, ponieważ klucze efemeryczne już nie istnieją.

Uwierzytelnianie jednokierunkowe weryfikuje tylko jedną stronę: w HTTPS serwer przedstawia certyfikat, który weryfikuje klient, ale serwer zazwyczaj nie weryfikuje tożsamości klienta. Uwierzytelnianie wzajemne (czyli mutual TLS, mTLS) wymaga, aby obie strony przedstawiły certyfikaty i wzajemnie je zweryfikowały. mTLS jest często stosowane w architekturach mikrousług, bramach API i firmowych sieciach VPN, w których przed wymianą poufnych danych trzeba zweryfikować oba punkty końcowe.

Projektanci protokołów nie mogą polegać wyłącznie na intuicji. Protokół, który wydaje się oczywiście bezpieczny, może zawierać subtelne błędy. Protokół klucza publicznego Needham-Schroeder został opublikowany w 1978 roku i uznawano go za bezpieczny. W 1995 roku Gavin Lowe odkrył lukę umożliwiającą atak polegający na podszyciu się pod inną stronę, korzystając z narzędzia do formalnej weryfikacji. Formalna weryfikacja za pomocą narzędzi do sprawdzania modeli, takich jak Tamarin lub ProVerif, stała się standardową praktyką przy projektowaniu protokołów o krytycznym znaczeniu dla bezpieczeństwa.

Model Dolev-Yao jest standardowym modelem zagrożeń używanym do analizy protokołów kryptograficznych. Zakłada on, że atakujący kontroluje całą sieć: może przechwytywać, blokować, modyfikować, ponownie odtwarzać i wstrzykiwać dowolne wiadomości. Przyjmuje się, że prymitywy kryptograficzne są doskonałe, czyli nie mają słabości matematycznych. W tym modelu protokół jest bezpieczny tylko wtedy, gdy osiąga swoje cele nawet w sytuacji, gdy atakujący ma pełną kontrolę nad całą komunikacją.

Projektowanie protokołów kryptograficznych jest wyjątkowo trudne, ponieważ ich wady często są subtelne i nieoczywiste. Interakcje między wieloma wiadomościami, wartościami nonce, znacznikami czasu i kluczami mogą tworzyć nieoczekiwane ścieżki ataku. Poszczególne podmioty mogą mieć różne obrazy stanu protokołu. Równoczesne sesje mogą wzajemnie na siebie oddziaływać. W każdym ważnym wdrożonym protokole, w tym SSL, TLS, WPA2 i 802.11, po wdrożeniu wykryto poważne luki w zabezpieczeniach.

Protokół SSL 3.0 został złamany przez atak POODLE. Protokoły TLS 1.0 i 1.1 wycofano z użycia z powodu wielu słabości. Szyfrowanie WEP w sieciach Wi-Fi zostało całkowicie złamane w ciągu pierwszego roku wdrożenia. Protokół PPTP VPN jest uznawany za niebezpieczny z powodu słabości MS-CHAPv2. Każda z tych porażek nauczyła społeczność zajmującą się bezpieczeństwem czegoś o różnicy między nieformalną intuicją dotyczącą bezpieczeństwa a protokołem zaprojektowanym formalnie i poprawnie w modelu Dolev-Yao.

Jaką właściwość bezpieczeństwa zapewnia, że wiadomość zarejestrowana dziś przez atakującego nie może zostać później pomyślnie ponownie wysłana do serwera w celu powtórzenia działania?

Bezpieczne protokoły muszą zapewniać uwierzytelnianie, poufność, integralność, niezaprzeczalność i świeżość. Doskonała tajność przekazywania chroni przeszłe sesje przed późniejszą kompromitacją klucza. Uwierzytelnianie wzajemne weryfikuje obie strony. Model Dolev-Yao zakłada istnienie w pełni wrogiej sieci. Projektowanie protokołów wymaga formalnej weryfikacji, a nie tylko intuicji. W każdym ważnym protokole po wdrożeniu znajdowano luki w zabezpieczeniach, co napędza ciągły rozwój standardów kryptograficznych.