Что делает протокол безопасным

Аутентификация — это установление личности участников обмена данными. Без аутентификации протокол уязвим для выдачи себя за другого: злоумышленник может выдать себя за доверенный сервер и перехватывать сообщения. В протоколах аутентификация обычно обеспечивается цифровыми сертификатами, предварительно распределенными ключами или механизмами запроса и ответа, которые доказывают знание секрета без его раскрытия.

Конфиденциальность гарантирует, что содержимое сообщения доступно только предназначенным получателям. Она обеспечивается шифрованием с использованием ключей, известных только участвующим сторонам. Нарушение конфиденциальности означает, что перехватчик может прочитать сообщения во время передачи. Одна только конфиденциальность не препятствует злоумышленнику изменять сообщения или повторно передавать их; ее необходимо сочетать с защитой целостности.

Защита целостности гарантирует, что полученные сообщения в точности совпадают с отправленными и не содержат добавлений, удалений или изменений. Коды аутентификации сообщений (MAC) и режимы аутентифицированного шифрования обеспечивают целостность. Без защиты целостности злоумышленник, который не может прочитать зашифрованный текст, все же может предсказуемым образом изменить отдельные биты и повлиять на расшифрованный открытый текст, как это происходит в атаках с оракулом дополнения.

Неотрекаемость означает, что отправитель не может впоследствии отрицать факт отправки сообщения. Она обеспечивается цифровыми подписями с использованием асимметричных ключей: только владелец закрытого ключа мог создать подпись, а соответствующий открытый ключ подтверждает ее подлинность. MAC не обеспечивают неотрекаемость, поскольку и отправитель, и получатель знают общий секрет, поэтому любой из них мог создать MAC.

Свойство свежести гарантирует, что старое, ранее действительное сообщение не может быть повторно отправлено злоумышленником, чтобы снова вызвать тот же эффект. Механизмы обеспечения свежести включают одноразовые числа — случайные значения, включаемые в сообщения и не подлежащие повторению, — временные метки с узким окном действия и порядковые номера, которые должны строго возрастать. Без обеспечения свежести повторная отправка перехваченного сообщения аутентификации может полностью обойти аутентификацию.

Совершенная прямая секретность гарантирует, что компрометация долгосрочных ключей не раскроет прошлые ключи сеансов. Она достигается созданием эфемерных (временных) пар ключей для каждого сеанса с использованием алгоритма Диффи — Хеллмана. Ключи сеансов вычисляются на основе эфемерных ключей и после использования уничтожаются. Даже если закрытый долгосрочный ключ сервера будет украден позднее, злоумышленник не сможет расшифровать ранее записанные сеансы, поскольку эфемерных ключей больше не существует.

Односторонняя аутентификация проверяет только одну сторону: в HTTPS сервер предъявляет сертификат, который проверяет клиент, но сервер обычно не проверяет личность клиента. Взаимная аутентификация (или взаимный TLS, mTLS) требует, чтобы обе стороны предъявляли сертификаты и проверяли их. mTLS широко используется в архитектурах микросервисов, шлюзах API и корпоративных VPN, где перед обменом конфиденциальными данными необходимо проверить обе конечные точки.

Разработчики протоколов не могут полагаться только на интуицию. Протокол, который кажется очевидно безопасным, может оказаться уязвимым из-за незаметных изъянов. Протокол открытого ключа Needham — Schroeder был опубликован в 1978 году и считался безопасным. В 1995 году Gavin Lowe обнаружил изъян, позволявший провести атаку с выдачей себя за другого, используя инструмент формальной проверки. Формальная проверка с помощью средств проверки моделей, таких как Tamarin или ProVerif, стала стандартной практикой при проектировании протоколов, критичных для безопасности.

Модель Dolev-Yao — стандартная модель угроз для анализа криптографических протоколов. Она предполагает, что злоумышленник контролирует всю сеть: он может перехватывать, блокировать, изменять, повторно отправлять и внедрять любые сообщения. Криптографические примитивы считаются идеальными (математические слабости отсутствуют). В этой модели протокол считается безопасным только в том случае, если он достигает своих целей даже при полном контроле злоумышленника над всеми коммуникациями.

Проектирование криптографических протоколов чрезвычайно сложно, поскольку их изъяны часто бывают тонкими и неочевидными. Взаимодействие множества сообщений, одноразовых значений, временных меток и ключей может создавать неожиданные пути атаки. Участники могут по-разному видеть состояние протокола. Параллельные сеансы могут мешать друг другу. У каждого крупного протокола, используемого на практике, включая SSL, TLS, WPA2 и 802.11, после внедрения обнаруживались серьёзные уязвимости.

SSL 3.0 был взломан атакой POODLE. TLS 1.0 и 1.1 были признаны устаревшими из-за многочисленных слабых мест. Шифрование WEP для WiFi было полностью взломано уже в первый год после внедрения. PPTP VPN считается небезопасным из-за слабых мест MS-CHAPv2. Каждая такая ошибка научила сообщество специалистов по безопасности чему-то важному о разрыве между неформальными представлениями о безопасности и доказуемо корректным проектированием протоколов в рамках модели Dolev-Yao.

Какое свойство безопасности гарантирует, что сообщение, записанное злоумышленником сегодня, нельзя будет успешно повторно отправить серверу позже, чтобы повторить действие?

Защищённые протоколы должны обеспечивать аутентификацию, конфиденциальность, целостность, неотказуемость и свежесть. Совершенная прямая секретность защищает прошлые сеансы от последующей компрометации ключей. Взаимная аутентификация проверяет обе стороны. Модель Dolev-Yao предполагает сеть, полностью контролируемую злоумышленником. Проектирование протоколов требует формальной проверки, а не одной лишь интуиции. У каждого крупного протокола после внедрения обнаруживались уязвимости, что стимулирует постоянное развитие криптографических стандартов.