Cryptography and Network security. Authentication using public key X.509

Transcript

1 Cryptography and Network security Authentication using public key X.509

2 Authentication using public key Idea: use signed messages containing challenges or timestamps; signatures can be verified using public key Problem: it is important to guarantee knowledge of public key. In fact 1. Alice wants to be authenticated by Bob; 2. Let KPT Trudy s public key 3. If Trudy convinces B that the public key of A is KPT then Trudy can be authenticated by Bob as Alice Solution: Public Key Infrastructure: authority that guarantees correctnss of public keys.

3 Authentication using public key Needham-Schroeder KPA: public key of A, Sig_C digital signature of C (trusted authority guarantees public keys) Mutual authentication 1. A to C: <this is A, want to talk to B> 2. C to A : B, KPB,Sig_C(KPB,B) 3. A checks digital signature of C, generates nonce N and sends to B: KPB(N,A) 4. B decode, check A s identity and sends to C: <A,B> 5. C to B: <A, KPA, Sig_C(KPA,A) > 6. B checks C s digital signature, retrieves KPA, generates nonce N and sends to A: KPA(N,N ) 7. A decodes checks N, and sends to B: KPB(N )

4 N.-S. protocol with public key - Attack Trudy is a system user that can be talk and being authenticated by A,B e C Two interleaved exections of the protocol: R1: authentication between A and T; R2: authentication between T (like A) with B Man in the middle attack T must be able to induce A to start an authentication session with T Steps 1,2,4,5 allow to obtain public keys Steps 3,6,7 perform authentication

5 Prot. N-S public key - Attack Steps 1, 2, 4 e 5 alow to know public keys We focus on steps 3,6,7 of R1 and R2: a) A-->T : step 3 of R1 sends KPT(N,A) b) T-->B: step 3 of R2 sends KPB(N,A) c) B-->T: step 6 of R2 sends KPA(N,N) d) T-->A: step 6 of R1 sends KPA(N,N) e) A-->T: step 7 of R1 sends KPT(N ) f) T-->B: step 7 of R2 sends KPB(N ) B think that he is talking to A by sharing secret nonces

6 Authentication using public key Needham-Schroeder KPA: public key of A, Sig_C digital signature of C (trusted authority guarantees public keys) Mutual authentication 1. A to C: <this is A, want to talk to B> 2. C to A : B, KPB,Sig_C(KPB,B) 3. A checks digital signature of C, generates nonce N and sends to B: KPB(N,A) 4. B decode, check A s identity and sends to C: <A,B> 5. C to B: <A, KPA, Sig_C(KPA,A) > 6. B checks C s digital signature, retrieves KPA, generates nonce N and sends to A: KPA(Bob,N,N ) 7. A decodes checks N, and sends to B: KPB(N )

7 Why the previous attack fails We focus on steps 3,6,7 of R1 and R2: a) A-->T : step 3 of R1 sends KPT(N,A) b) T-->B: step 3 of R2 sends KPB(N,A) c) B-->T: step 6 of R2 sends KPA(N,N) d) T-->A: BEFORE in step 6 of R1 T sends KPA(N,N); NOW Trudy CANNOT send KPA(Bob,N,N) while is talking to A!! e) A-->T: step 7 of R1 sends KPT(N ) f) T-->B: step 7 of R2 sends KPB(N )

8 X.509 Authentication standard Part of standard known as CCITT X.500 We need directory of public keys signed by certification authority Define authentication protocols One-Way Authentication Two-Way Authentication Three-Way Authentication Public key cryptography and digital signatures Algorithms are not part of the standard (why?)

9 One-Way Authentication Timestamp ta : 1 message ( A->B) gives Authentication of A as originatori of the message The intended recipient is B The message has not been modified (or is an ld message) Proposal of a session key k certa: certificate of A s public key, signed by certification authority; A to B : certa,da,sig_a(da) DA=<tA,B,PB(k)>

10 Timestamp: X.509 Two-Way Authentication Mutual authentication: A to B B to A certa,da,sig_a(da) certb,db,sig_b(db) [DA=tA,N,B,PB(k)] [DB=tB,N,A,N,PA(k )] ta, tb=timest.; k,k session keys proposed by A and B; use of nonces avoids th epossibility in which the attacker can induce A or B to sign messages chosen by the attacker (before) criticism: in DA there is no identity of A - refer to the modified N.S. protocol

11 Challenge-response: X.509 Three-Way Authentication Mututal authentication with nonces (0 denotes timestamp, optional) three messages (A->B, B->A, A->B): 1. A to B: certa,da,sig_a(da) [DA=0,N,B,PB(k)] 2. B to A: certb,db,sig_b(db) [DB=0,N,A,N,PA(k )] 3. A to B: B,Sig_A(N,N,B) Note: steps 2 and 3 require digital signature of nonces

12 Challenge-response: ISO/IEC Mutual authentication Why in step 3 B must sign N, that is known and has been proposed by B himself? Why the following protocol does not work? 1. B to A: N 2. A to B: certa,n,b,sig_a(n,n,b) 3. B to A: certb, A,Sig_B(N,A)

13 Challenge-response: ISO/IEC Mutual authentication Why the following protocol does not work? 1. B to A: N 2. A to B: certa,n,b,sig_a(n,n,b) 3. B to A: certb, A,Sig_B(N,A) Attack 1. T (as B) to A : N 2. A to T (as B): certa,n,b,sig_a(n,n,b) 1. T (as A) to B: N 2. B to T (as A): certb, A,Sig_B(N,A) 3. T (as B) to A: certb,n, A,Sig_B(N,A); T is authenticated!! Note: use of N in step 3 has the same role as the use of Bob in step 6 of original N.-S. protocol

14 PKI: Public Key Infrastructure Certificati utilizzati sono emessi da una Autorità di Certificazione (CA) FIDATA CA fornisce certificati dei diversi utenti Quando un Utente vuole conoscere la chiave pubblica di un altro utente si rivolge a CA che la fornisce (firmandola con la propria chiave a garanzia) In questo modo è sufficiente conoscere uan soal chiave pubblica con certezza Nota: Se non c è fiducia nella CA allora i certificati sono inutili Le chiavi non sono usate per sempre e sono cambiate La lunghezza della chiave è correlata al livello di sicurezza

15 X.509 Certificates Certification authority CA guarantees public keys:

16 X.509 Certificates A can be easily accessed Certificates are modifed by CA Certifcates impossibe to falsify (RSA > 2000 bit) If Ailce and Bob share the same CA then they can know each other Public Key Otherwise CA form a hierachy

17 Hierachy of CA How Bob gets Alice s certificate if they refer to different CA

18 Certificate revocation Certificates are valid for a limited time (CA want to be paid) They can be revocated before the deadline: 1. User s secret key is not cnsidered safe anymore 2. User is not certified by CA 3. CA s secret key is compromised CRL: certificate revocation list Must be used before accessing an user

19 Certificate revocation

20 X.509 Version 3 In version 3 certifcates have many more informations: /url, possible limitations in the use of the certificate Instead of adding fields for every possible new information define extensions extensions: Which kind of extension Specifcation about the extension

21 PGP: Pretty Good Privacy Trust model for certif. (Zimmerman) There are no trusted CA Each user acts like a CA and decides for himself Certificates contain addresses and public keys Certificates are signed by one or many users If you trust a sufficient number of the user signing a certificate then you assume the certificate is good Each user keeps info on public keys of other users and signatures of these keys - together with trust value of the key

22 Esercizio: Protocollo NS Il seguente protocollo Needham-Schroeder è più semplice di quello NS esteso: A genera N e invia a C <N,voglio parlare con B)> C genera K e manda a A KAC(N,K,B,KBC(K,A)) A decodifica, verifica N e identità B e manda a B KBC(K,A) e K(N ) B decodifica, verifica identità A crea nonce N e invia a A K(N -1,N ) A invia a B K(N -1) ESERC: Assumi che A cambi KAC (derivata dalla password) e un attaccante conosca la vecchia chiave KAC. Se B non sa del cambio un attaccante potrebbe autenticarsi come A con B. 1. COME SI PUO FARE? 2. RIMEDI?

23 Esercizio 1: Protocollo NS, esteso, Soluzione per 2: nel protocollo NS - esteso B definisce un nonce N e chiede a A di fornirgli la codifica di N con la sua chiave; N viene poi fornito a B da C attraverso A A dice a B: voglio parlare con te B genera N (nonce) e invia a A KBC(N) A genera N e invia a C <N,KBC(N)> C genera K e manda a A KAC(N,K,B,KBC(K,A,N)) A decodifica, verifica N e identità B e manda a B KBC(K,A,N) e K(N ) B decodifica, verifica identità A crea nonce N e invia a A K(N -1,N ) A invia a B K(N -1)

24 Esercizio 2: attacco prot. Woo-Lam Autenticazione con autorità centrale Mostrare che il seguente protocollo (proposto da Woo e Lam) non funziona (sugg. T inizia due sessioni con B - alla fine si autentica con B come A) 1. A invia a B A 2. B invia a A N 3. A invia B KAC(N) 4. B invia a C KBC(A, KAC(N)) 5. C invia a B: KBC(N) 6. Bob verifica se il nonce è quello generato da lui

25 Soluzione: Attacco prot. Woo-Lam T inizia due sessioni con B: una come A e una come T 1. T(come A) invia a B A 2. T invia a B T 3. B invia a T (come A) N 4. B invia a T N T deve indurre C a comunicare a B KBC(N)

26 Soluzione: Attacco prot. Woo-Lam T inizia due sessioni con B: una come A e una come T 1. T(come A) invia a B A 2. T invia a B T 3. B invia a T (come A) N 4. B invia a T N 5. T (come A) invia a B KTC(N)!! 6. T come A invia B KTC(N)!!! 7. B invia a C KBC(A, KTC(N)) 8. B invia a C KBC(T, KTC(N)) 9. C invia a B: KBC(immondizia) [messaggio senza senso] 10. C invia a B: KBC(N) 11. Bob verifica se il nonce è quello generato da lui SI! 12. Bob verifica se il nonce è quello generato da lui NO!!

27 Soluzione: Attacco prot. Woo-Lam T inizia due sessioni con B: una come A e una come T 1. T(come A) invia a B A 2. T invia a B T 3. B invia a T (come A) N Soluzione: includere identità 4. B invia a T N nel mess. 5 e verifica a 6 5. T (come A) invia a B KTC(N)!! 5. C invia a B KBC(A,N) 6. T come A invia B KTC(N)!!! 7. B invia a C KBC(A, KTC(N)) 6. B verifica nonce e ident. 8. B invia a C KBC(T, KTC(N)) quando decodifica 9. C invia a B: KBC(immondizia) [messaggio senza senso] 10. C invia a B: KBC(A,N) 11. Bob verifica se il nonce è quello generato da lui PER A NO! N.B.: questa modifica è comunque attaccabile in altro modo (sugg. 1 sessione in cui T si finge A e si sostituisce a C)

28 Attacco prot. Woo-Lam modificato T inizia una sessione con B in cui sostituisce A e C 1. T(come A) invia a B A 2. B invia a T (come A) N 3. T (come A) invia a B N!! (assume che KTC(N) =N) 4. B invia a T (come C) KBC(A, B, N) 5. T (come C) invia a B: KBC(A, B, N) 6. Bob verifica se il nonce è quello generato da lui SI!

29 Attacco prot. Woo-Lam modificato T inizia una sessione con B in cui sostituisce A e C 1. T invia a B C 2. A invia a T N 3. T invia a A KTC(N) 4. A invia a T (come C) KAC(C, KTC(N)) 5. A invia a T (come C) KAC(C,KTC(N)) 6. Bob verifica se il nonce è quello generato da lui SI!

30 Esercizio 3: Autenticazione & Firma Dato uno schema di identificazione basato su sfida (challenge-response) si può ottenere un metodo di firma digitale nel seguente modo: Soluzione: rimpiazza il nonce N con hash(x M) [x è testimone, M messaggio e hash è funzione hash one-way]

31 Esercizio 4: Autenticazione & Firma Dato il seguente protocollo di atutenticazione A -> B: sono A B -> A: R1 (nonce) A -> B: KS_a(R1) (invia la codifica di R1 con la chiave segreta di A) Se R1 è scelto opportunamente il protocollo è sicuro MA Se si utilizza la stessa chiave sia per autenticare che per firmare messaggi allora il protocollo permette di falsificare la firma. Come?