网络安全协议 Network Security Protocols

1. 网络安全协议NetworkSecurity Protocols 电子科技大学计算机科学与工程学院 School of Computer Science And Technology, UESTC

2. 任课教师情况 姓名： 钟婷 办公地址： 主楼B1 416 电话： 61831165 电子邮件： zhongting@uestc.edu.cn

3. 课程特色 • 概念多、涉及范围广 • 计算机网络、密码学（近世代数、数论）、软件理论、管理…… • 灵活多变 • 原理性、实践性强 • 必须仔细消化，动手实验 • 更新速度快 • 必须参阅文献

4. 课程安排 • 概述（安全协议的基本概念） 2 • 安全协议相关的基础知识 2 • 认证协议与密钥建立协议 6 • 安全协议的缺陷与攻击（补充）6 • 安全协议设计准则 2 • 其他安全协议 6 • 安全协议实例（IPSEC，SSL，SET，Kerberos）6 • 安全协议的形式化分析 4

5. 安全协议的基本概念

6. 计算机安全 实现 防火墙 入侵检测 …… 系统 协议与策略 SSL, IPSec, access control… 蓝图 密码学算法 安全组件 RSA, DSS, SHA-1… 数论等 计算复杂性 理论基础

7. 为什么需要安全协议？ • 没有安全协议，网络世界将会是什么样子？ • 信息被盗 • 口令外泄 • 网上银行挂掉 • 电子商务死掉

8. 正确性与安全性 • 正确性：满足规范 • 对合理的输入，总可以得到合理的输出 • 安全性：在存在攻击者的条件下，满足所要求的属性 • 对不合理的输入，输出也不能带来灾难性的输出结果 • 即便设计极为精致，也可能存在漏洞 • 安全协议的正确性很容易证明与保证 • 安全协议的安全性很难证明

9. 协议定义 • 什么是协议？ • 协议是两个或两个以上的参与者所采取的一系列步骤以完成某项特点的任务 • 协议的内涵 • 协议至少需要两个参与者 • 参与者之间呈现为消息处理和消息交换的一系列步骤 • 通过执行协议，必须能完成某项任务，或者达成某种共识

10. 协议的例子 • 国家之间的协议 • 关税贸易（WTO） • 中美停战协议 • 个人与个人/团体之间 • 房屋买卖、出租 • 保险合同 • 通信实体 • TCP/IP • UDP

11. 协议的例子：房屋买卖

12. 1.1 基本概念 • 协议的例子：TCP三次握手

13. 协议的比较：

14. 安全协议 • 什么是安全协议？ • 安全协议(Cryptographic Protocol)是在消息处理过程中采用了若干密码算法的协议 • 安全协议的内涵： • 安全协议是一个协议 • 安全协议涉及密码算法 • 安全协议是在密码算法的基础上为网络安全提供解决方案

15. 安全协议分类（1） • 安全协议的分类 按照协议的目的不同，常见的安全协议可以分为四类： • 密钥交换协议 • 认证协议 • 认证和密钥交换协议 • 电子商务协议

16. 安全协议分类 • 密钥交换协议 • 密钥交换协议用于会话密钥的建立 • 会话密钥：也叫工作密钥，用于加密消息的一次性密钥 • 协议中可以采用对称密码算法，也可以采用非对称密码算法 • 密钥交换协议一般不会单独使用，而是往往与认证协议等相结合 • 密钥交换协议分为两种情况： • 密钥传输协议：共享密钥来自于参与协议的某个主体 • 密钥协商协议：共享密钥根据协议参与者的输入用某个函数产生 主体：协议参与者

17. Alice (A) Bob (B) DH密钥协商协议

18. 安全协议分类 • 认证协议 • 认证是用来获得谁对什么事情信任的一种方法 • 实体：一个身份的合法拥有者 • 主体：各种物理形式的人或物 • 认证协议包括实体认证（身份认证）协议、数据起源认证协议（消息认证）和数据目的认证协议 • 认证协议主要用来防止假冒、篡改、否认等攻击

19. 安全协议分类 • 认证协议 • 单向认证：只认证通信中的一个主体 • 双向认证：验证通信中的两个主体

20. 安全协议分类 • 认证和密钥交换协议 • 该协议首先对通信实体的身份进行认证 • 如果认证成功，进一步进行密钥交换，以建立通信中的工作密钥 • 也叫密钥确认协议 • 互联网密钥交换协议（IKE）、以及Kerberos等均属于认证和密钥交换协议 本课程后续将讨论许多密钥确认协议

21. 安全协议分类 • 电子商务协议 • 电子商务协议中主体往往代表交易的双方 • 电子商务协议往往关注公平性，即协议应该保证交易双方都不通过损害对方的利益而得到它不应该得到的利益 • 常见的电子商务协议有SET（Secure Electronic Transaction）协议等。

22. 安全协议分类 • 电子商务协议的不可否认性 • 不可否认性是电子商务协议重要的特征。其目的是通过通信主体提供对方参予协议交换的证据来保证其合法利益不受侵害。即协议主体必须对自己的合法行为负责，而不能事后否认。 • 证据一般是以签名消息的形式出现的，从而将消息与消息的意定发送者进行了绑定。

23. 安全协议分类 • 电子商务协议与认证与密钥分配协议的区别： • 在认证与密钥分配协议中，主体双方的目标是一致的，如共享一个良好的会话密钥。 • 而在不可否认协议中，主体的目标不同。这种协议中通常不考虑恶意攻击者，而只考虑恶意的主体。 • 电子商务协议必须具有：交易的公平性，适时中止性，可追究性，不可否认性

24. 协议的分类（2） • 按照是否需要可信第三方（TTP）： • 仲裁协议（Arbitrated Protocols）（包括裁决协议） • 自动执行协议（Self-Enforcing Protocols）

25. 协议的分类（2） 现实中，律师可以称为仲裁者。 计算机世界中，仲裁者的可信性，费用，仲裁协议的延迟，仲裁者自身的安全性，仲裁的性能都是问题。 但是，仲裁协议中我们依然假定存在这样的仲裁者。

26. 协议的分类（2） • 裁决协议中的裁决者有点类似于法官。 • 裁决协议分为两个子协议： • 非仲裁子协议 • 仲裁子协议 • 通常情况下，只执行非仲裁子协议，而在出现争议时才执行仲裁子协议

27. 协议的分类（2） • 协议的本身保证了公平性，不需要仲裁者来完成协议，也不需要裁决者解决争端。 • 如果出现欺骗，协议会自动中止 • 然而自动执行协议是不存在的。

28. 安全协议模型 • 安全协议模型 • 安全协议模型用于描述协议及所处的环境 • 安全协议模型涉及以下要素： • 诚实的主体集合 • 主体之间的通信 • 攻击者集合 • 主体及攻击者所处环境及一组规则

29. 主体 主体 通信 通信 环境 攻击者 通信 通信 主体 主体 安全协议模型 协议模型最困难的部分在于对攻击者的认识。 对于攻击者，比较好的一个模型是Dolev－Yao模型。

30. Dolev-Yao攻击模型 • 被动攻击 • Sniffer • 主动攻击 • 修改 • 删除 • 重放 • 冒充 • ……

31. 主动攻击 • 被动攻击 Dolev-Yao攻击模型 Eve Alice Bob

32. 攻击者 Dolev-Yao攻击模型 • 攻击者 • 能成为一个合法主体 • 冒充其他主体与合法的主体通信 • 可截获诚实主体之间的消息 • 攻击者可以对截获的消息进行各种操作 • 级联、分离、加密和解密(已知密钥的情况下)等 • 攻击者有主动和被动之分 • 攻击者可能的攻击行为主要有 • 转发消息到任意接受者、延迟消息到达、篡改消息、与原来消息合并、改变部分或者全部消息的去处、重放消息等 对于攻击者建模是非常复杂的课题。

33. Dolev-Yao攻击模型 • Eve所不能做的： • 不能够在不知道密钥的情况下恢复明文的内容 • 不能在不知道密钥的情况下，构造一份具有明确语义并且和已知密文相同的密文 • 不能预测诚实用户将要选择的随机数 • 不能根据公钥求出其对应的私钥 • 虽然能控制网络与通信环境，但是不能控制私有区域，如存储器。 对安全协议的研究不涉及密码算法的安全性

34. 安全协议模型 • 安全协议中安全性的内涵 • 安全协议的评判标准是检查其欲达到的安全目标是否遭到攻击者的破坏 • 安全目标主要包括： • 认证性 • 机密性 • 完整性 • 不可否认性

35. 安全协议缺陷 • 某种情况下，如果安全协议无法实现起安全目标，就是存在安全协议缺陷

36. Alice (A) Bob (B) 一个例子 Needham－Schroeder公钥认证协议(NSPK协议） Needham R, Schroeder M. Using encryption for authentication in large networks of computers. Communications of the ACM, 1978, 21(12):993~999. 协议目的：Alice和Bob利用公钥体制建立一个新的共享秘密Na，Nb，并实现双向认证

37. Alice (A) Bob (B) Malice (M) 一个例子 Needham－Schroeder公钥认证协议(NSPK协议）的Lowe攻击 Lowe G. Breaking and fixing theNeedham-Schroederpublic-key protocol using FDR. Software-Concepts and Tools, 1996,17: 93~102. 攻击结果：B认为她和A建立了共享秘密，而实际上她和M建立了共享秘密。 Lowe攻击融合了中间人攻击、随机预言服务攻击，交错攻击等攻技术。

38. 长达18年 问题 Needham R, Schroeder M. Using encryption for authentication in large networks of computers. Communications of the ACM, 1978, 21(12):993~999. Lowe G. Breaking and fixing the Needham-Schroeder public-key protocol using FDR. Software-Concepts and Tools, 1996,17: 93~102. 问题： （1）上述协议漏洞为什么隐藏如此长的时间？ （2）上述协议漏洞的根源是什么？ （3）如何修补漏洞？

39. Alice (A) Bob (B) 一个例子 Lowe G. Breaking and fixing the Needham-Schroeder public-key protocol using FDR. Software-Concepts and Tools, 1996,17: 93~102. Needham－Schroeder公钥认证协议(NSPK协议）的Lowe修改 协议目的：Alice和Bob利用公钥体制建立一个新的共享秘密Na，Nb，并实现双向认证 问题： （1）上述修改后的协议是否就是一个安全的协议？？ （2）什么样的协议才是安全的？ （3）如何设计一个安全的协议？

40. 结论 “安全协议的设计极易出错,即使我们只讨论安全协议中最基本的认证协议,其中参加协议的主体只有两三个,交换的消息只有3~5条,设计一个正确的、符合认证目标的、没有冗余的认证协议也十分困难。” 卿斯汉，安全协议20年研究进展，软件学报，Vol.14, No.10， 2003

41. Goals • 掌握安全协议基本理论 • 学习设计、分析安全协议 • 掌握如何从事信息安全研究的基本方法

42. How to Ready Test • 作业： • 卷面考试: • 考勤＋回答问题等:

43. 参考书 • 教材： • 网络安全协议 秦科 电子科技大学出版社 • 参考书 • Mao Wenbo， Modern Cryptography: Theory and Practice， 电子工业出版社，2004 • 范红，冯登国.安全协议的理论与方法，科学出版社，2003 • Bruce Schneier, Applied Cryptography, Protocols, algorithms, and source code in C (2nd Edition)( 应用密码学 －协议、算法与C源程序， 吴世忠、祝世雄、张文政等译)

44. 课外阅读资料 • Bruce Schneier（吴世忠登译），应用密码学－协议、算法与C源程序，机械工业出版社，2000

45. 课外阅读资料 • Mao Wenbo， Modern Cryptography: Theory and Practice， 电子工业出版社，2004

46. 课外阅读资料 • 范红，冯登国，安全协议理论与方法，科学出版社 ，2003

47. Any Question? Q&A