La Logica BAN. Formalismo

Transcript

1 Network Security Elements of pplied Cryptogrphy nlisi e progetto di protocolli crittogrfici L logic N Principi di progettzione Csi di studio: Needhm-Schroeder, Otwy- Rees; SSL (old version); 509; GSM Il prolem Security protocols re three-line progrms tht people still mnge to get wrong. Roger M. Needhm Network Security 2

2 L Logic N L logic N prende il nome di suoi inventori: urrows, di, Needhm L logic N è un logic di elief nd ction L logic non può essere utilizzt per provre che un protocollo è errto, tuttvi qundo non è possiile provre che un protocollo è corretto, quel protocollo deve essere trttto con grnde sospetto Network Security 3 Formlismo P P elieves : P si comport come se fosse vero P P sees : P h ricevuto un messggio che contiene, nel pssto o in quest esecuzione del protocollo; P può leggere e ripeterlo P P once sid : P h invito un messggio che contiene ; P elieved qundo lo inviò P P controls. P è un utorità su e isogn fidrsi questo rigurdo #( ) è fresh P Q è un chive condivis tr P e Q P Q è un segreto condiviso tr P e Q P Y { } è l chive pulic di P è cominto con Y (segreto) è stto cifrto con Network Security 4

3 Formlismo: esempi #( N ) crede che l quntità N si fresh crede che si un chive condivis con T T crede che si un chive per l comuniczione tr e T crede che T si competente nell generzione di chivi di sessione T # crede che T si competente nell generzione di chivi di sessione "fresh" Network Security 5 Preliminri Nello studio dei protocolli di utenticzione si considerno due epoche: il presente ed il pssto Il presente cominci con l'inizio dell'esecuzione di un protocollo I elief rggiunti nel presente sono stili per tutt l durt del protocollo Si ssume che qundo P dice llor P crede I elief del pssto non è detto che vlgno nel presente Network Security 6

4 Postulti: messge mening rule { } P Q P, P P Q P Q P { } 1, P Q Se è un chive condivis tr P e Q, e P vede un messggio cifrto con contenente (e P non h trsmesso quel messggio), llor P crede che si stto trsmesso d Q Se è l chive pulic di Q, e P vede un messggio firmto con -1 contenente, llor P crede che si stto trsmesso d Q P Q P, P Y P Q Y Se Y è un segreto condiviso tr P e Q, e P vede un messggio in cui Y è cominto con (e P non h trsmesso quel messggio), llor P crede che si stto trsmesso d Q Network Security 7 Postulti: nonce verifiction rule P #( ), P Q P Q Se P crede che Q i detto e se P crede che si un quntità fresh, llor P crede che Q cred (or, cioè in quest esecuzione del protocollo) Se P crede che si stto invito d Q, se P crede che si fresh, llor P crede che Q i invito in quest esecuzione del protocollo Network Security 8

5 Postulti: jurisdiction rule P Q, P Q P Se P crede che Q cred e se P crede che Q si un'utorità su, llor nche P crede Se P crede che Q dic e se P si fid di Q per qunto rigurd, llor nche P crede Network Security 9 ltri postulti ( ) (, ) (, ) (, ) P, P Y P Y P Q Y P Q Y P Y, P, P Y P Q P Q P #( ) P #(, Y) P (, Y) P P P Y { } { } { } 1 P Q P, P P P, P P Q, P P P P P R R P Q R R P R R P Q R R P R R P Q R R P R R P Q R R Network Security 10

6 Protocollo idelizzto Tipicmente ogni psso di protocollo si rppresent come : messggio d esempio: :{, } s Quest notzione informle è migu; il protocollo viene quindi idelizzto : s l specific risultnte è più chir e si può dedurre l formul Network Security 11 nlisi di un protocollo L'nlisi di un protocollo si rticol sui seguenti pssi: 1. Derivre il protocollo idelizzto dl protocollo rele 2. Determinre le ipotesi di prtenz 3. pplicre i postulti ciscun psso in modo d determinre i elief rggiunti di prtecipnti i vri pssi del protocollo 4. Derivre le conclusioni Network Security 12

7 nlisi di un protocollo [ipotesi] S 1 [sserzione 1]. [sserzione i-1] S i [sserzione i] [sserzione n-1] S n [conclusioni] ssertion i-1 Step i ssertion i :{ }, pplicndo il postulto messge mening Network Security 13 Oiettivi di un protocollo L'oiettivo di un protocollo dipende, tipicmente, dl contesto Un protocollo di distriuzione delle chivi, tipicmente, h l'oiettivo e spesso # (key uthentiction) (key confirmtion) ed nche # (key freshness) Un protocollo di interzione con un certifiction uthority e Network Security 14

8 Protocollo di Needhm-Schroeder (1978) protocollo rele protocollo idelizzto M1 T,, N ( ( )) ( ) ( ) ( ) M 2 T E N,,, E, M3 E, M4 E N M5 E N 1 Network Security 15 M2 T N,,#, M3 M4 N, from M5 N, from Protocollo di Needhm-Schroeder M2 T N,,#, Dopo ver ricevuto N, T h detto che è "uon" per prlre con o M3 M 4 N, from M 5 N, from T h detto che è uon per prlre con lice Dopo ver ver ricevuto, o h detto che è uon per prlre con lice Dopo ver ver ricevuto N, lice h detto che è uon per prlre con o Principio 1. Ogni messggio deve dire cos signific; l'interpretzione di un messggio deve dipendere solo dl suo contenuto; deve essere possiile scrivere un frse che descrive tle contenuto Network Security 16

9 Protocollo di Needhm-Schroeder Ipotesi T T T T T T T T T T # # N # N ( ) ( ) T # # Oiettivi Principio 2. Il progettist deve conoscere le relzioni di trust su cui il protocollo si s e deve spere perché tli relzioni sono necessrie. L rgione per cui un cert relzione è ccettile deve essere esplicit Network Security 17 Protocollo di Needhm-Schroeder Dopo M2 messge mening e nonce verifiction T T # Dopo M3 messge mening T nonce verifiction T Dopo M4 messge mening nonce verifiction jurisdiction rule # jurisdiction rule Principio 3. Un chive può essere stt utilizzt recentemente per cifrre un nonce e tuttvi può essere vecchi o compromess: l'uso recente di un chive non l rende più uon Dopo M5 messge mening N, nonce verifiction Network Security 18

10 Protocollo Otwy-Rees Protocollo rele M1. : M,,, E N, M,, M2. T : M,,, E N, M,,, E N, M,, M3. T : M, E N,, E N, M4. : M, E N, Protocollo idele M1. : N, M,, { } { } { } M2. T : N, M,,, N, M,, ( ) ( ) ( ) ( ) ( ) ( ) M3. T : N,, M, N,, M M1 M4 M2 T M3 M4. : N,, M Network Security 19 Protocollo Otwy-Rees M1. : N, M,, { } { } { } M2. T : N, M,,, N, M,, M3. T : N,, M, N,, M M4. : N,, M M1: lice dice che M è un trnszione con o ed N èun ltro nome per lice in M M2: o dice che M è un trnszione con o ed N èun ltro nome per o in M M3: Dopo ver ricevuto N, T dice che è uon e che lice credev di essere in M M4: Dopo ver ricevuto N, T dice che è uon e che o credev di essere in M Network Security 20

11 Protocollo di Otwy-Rees Ipotesi T T T T T T T T T T M T M ( ) ( ) ( ) ( ) #( M) # N # N Risultti M M Network Security 21 Protocollo di Otwy-Rees dopo M2 (,,, ) (,,, ) T N M T N M dopo M3 T N,, M dt l freschezz di N per o, llor T N,, M dto il trust che o ripone in T per qunto rigurd le chivi e l su cpcità di fre rely, llor, M dopo M4 T N,, M T N,, M, M dt l freschezz di N per lice, llor dto il trust che lice ripone in T per qunto rigurd le chivi, l su cpcità di fre rely e l freschezz di M per lice, llor Network Security 22

12 Protocollo di Otwy-Rees I nonce N ed N servono non solo per l freschezz m nche per legre i messggi M1 ed M2 i messggi M3 ed M4 Il nonce N (N ) è un riferimento d lice (o) nell'mito di M Nei messggi M1 ed M2, l cifrtur non serve per l segretezz m serve per legre lice (o), N (N ) ed M Principio 4. vere chire le proprietà che si richiedono i nonce: ciò che v ene per grntire freschezz può non ndre ene per grntire un'ssocizione tr le prti Principio 5. vere chiro il motivo per cui si utilizz l cifrtur Network Security 23 Protocollo di Otwy-Rees Se dovessero grntire solo l freschezz, llor M1 ed M2 si potreero modificre in (Otwy-Rees modificto) M1. : M,,, N, E M,, ( ) ( ) N ( ) M2. T : M,,, N, E M,,,, E M,, Il protocollo risultnte sree soggetto d un ttcco che porteree un vversrio C d impersonre o (lice) rispetto d lice (o) Network Security 24

13 Protocollo di Otwy-Rees Il protocollo risultnte sree soggetto d un ttcco del tipo mn-in-the-middle che porteree un vversrio C d impersonre o (lice) rispetto d lice (o) Supponimo che l'vversrio C dispong di un "vecchio" E (M,, C) ( ) (,, ) c ( c ) ( ) ( ) N c c ( ) M1. [ C]: M,,, N, E M,, M2. C T: M, C,, N, E M C, N, E M, C, M3. T C: M, E N,, E, M4. [ C ] : E N, Network Security 25 Protocollo di Otwy-Rees "migliorto" Se il prolem è quello di inserire riferimenti d lice e o in M3 ed M4, rispettivmente, llor il protocollo può essere reso più efficiente e più comprensiile come segue: M1. :,, N M2. T :,, N, N M3. T : E N,,,, E N,,, M4. : E N,,, ( ) ( ) ( ) Principio 6. Se un identifictore è essenzile per il significto di un messggio, è prudente menzionre esplicitmente tle identifictore nel messggio Network Security 26

14 Protocollo SSL (vecchi versione) Gli oiettivi del protocollo sono: Stilire un chive di sessione tr il cliente ed il server utenticzione mutu tr e Un delle prime versioni di SSL er strutturt come segue (solo i messggi reltivi ll'utenticzione del cliente): M1. : M2. : N { } { } { { } 1 } M3. : C, N M1: o vede l chive M2: Dopo verl ricevut, o dice di ver visto M3: Dopo verlo ricevuto, lice dice di ver visto N Nei messggi non c'è niente che utentichi il cliente, che leghi cioè il cliente ll chive Network Security 27 Protocollo SSL (vecchi versione) L vecchi versione di SSL è soggett ll'ttcco dell'uomo nel mezzo: l'vversrio M può impersonre il client rispetto l server M1 : { } m m M1: { } m { N } m { C { N} 1 } M2 : M3 :, m M { N } m { C { N} 1 } M2 : M3:, m L'ttcco può essere evitto modificndo il messggio M3 come segue: M3 : { C, {,,, N} 1 } Dopo ver ricevuto N, lice dice che è un chive uon per comunicre con o Network Security 28

15 Firmre dti cifrti Principio 7. Se un entità firm un messggio cifrto, non è possiile inferire che tle entità conosce il contenuto del messggio. l contrrio, se un entità firm un messggio e poi { lo },{ h ( ) cifr, } 1 llor è possiile inferire che tle entità conosce il contenuto del messggio Esempio:.509 { { } } 1 :, T, N,,, Y il messggio non contiene lcun prov che il mittente (lice) conosce Y Network Security 29 Sulle funzioni hsh Per motivi di efficienz, spesso si firm l hsh di un messggio invece dell'intero messggio : { },{ ( )} 1 h Il messggio non contiene lcun prov che il sottoscrittore (lice) effettivmente conosce, tuttvi, lice si spett che il ricevente (o) si comporti come se lice vesse pien conoscenz del messggio Perciò, meno che il sottoscrittore (lice) non si incuto *, firmre l hsh di un messggio equivle firmre l'intero messggio * METFOR: un mnger che firm senz leggere Network Security 30

16 Postulti per le funzioni hsh P Q h( ), P P Q Il postulto può essere generlizzto nel cso di messggio composto ( 1 n) 1 P Q (,, ) P Q h,,, P,, P 1 Si noti che P può ricevere i vri i d cnli diversi in momenti diversi n n Network Security 31 Cso di studio: utenticzione in GSM Protocollo rele M1. C S: C M2. C S: ρ M3. C S: σ con ρ chllenge rndom genert d S σ, = h( C, ρ) Ipotesi S C S C S C S #( ρ) c c Protocollo idelizzto M3. C S: C S, ρ Risultti S C S C c Network Security 32

17 Nonce: quntità prediciili Principio 8. Un quntità prediciile può essere ust come nonce in un protocollo di chllenge-response; in tl cso deve essere protett d un reply ttck Esempio: lice riceve un mrc temporle d un Time Server (d esempio lice us l mrc per sincronizzre il suo clock) M1 S, N { } M2 S T, N s s N nonce prediciile (M2): Dopo ver ricevuto N, S h detto T s Ipotesi s S S T s #( N ) Risultti S T S T T s s s Network Security 33 Nonce: quntità prediciili Esempio di ttcco M predice il prossimo vlore di N M1 M S, N M 2 S M T, N ( S riceve M2 ll'istnte T ) { } ll'istnte T S > TS,lice inizi un'istnz del protocollo M1 S[ M], N M2 S[ M] { T, } lice è indott credere che s N s l'or ttule si T s e non T s Siccome N è prediciile, llor v protetto M1 S, N { } s { s { } } M2 S T, N s s s s s Network Security 34

18 Nonce: timestmp Principio 9. Se l freshness dei messggi è grntit riferendosi d un riferimento ssoluto di tempo per mezzo di mrche temporli, llor l differenz tr il clock locle e quello delle ltre mcchine deve essere molto inferiore ll'intervllo di vlidità di un messggio. Inoltre, il meccnismo di sincronizzzione dei clock è prte dell Trusted Computig se (TC) Esempio ereros. Se il clock del server può essere "rimesso indietro", è possiile il riuso degli utentictori * ereros. Se il clock del client può essere "rimesso vnti", è possiile crere utentictori postdtti * l'vversrio può fre di più che semplicemente stilire un connessione perché l'ppliczione non richiede esplicitmente che le comuniczioni successive sino cifrte con le chivi non disponiili ll'vversrio Network Security 35 Sull codific dei messggi Principio 10. Deve essere possiile dedurre: (i) qule protocollo pprtiene, (ii) qule istnz di tle protocollo pprtiene, (iii) qul è il suo numero ll'interno del protocollo Se un messggio contiene nomi e freschezz sufficienz, il punto (ii) è utomticmente grntito Esempio: nel protocollo Needhm-Schroeder ( ) ( ) M4 E N M5 E N 1 N 1 serve solo per distinguire l chllenge dll response Sree stto molto più chiro se il messggio fosse stto codificto così: M 4 E N-S Messge 4, N ( ) ( ) M 5 E N-S Messge 5, N Network Security 36