信息网络安全：原理、技术及应用 课件第4章 认证技术

通信安全基础第四章认证技术认证的概念基本认证结构认证协议分析对认证协议的典型攻击一二三四1、认证与真实性认证：一个实体向另一个实体证明某种声称属性（来源或身份）的过程。通过这个过程确保一个通信是真实可信的从认证过程看，认证至少涉及到两个独立的通信实体在数字世界里，两方或多方之间互相协作的通信过程通过协议实现认证过程=认证协议例如：Client是一个主体，声称拥有进入Server的系统或者使用Server的服务的合法权利，Server通过认证，确认Client确实拥有这种权利，接收Client的请求，传回数据2、认证概念细分数据源认证/消息认证：主要验证消息的某个声称属性实体认证/身份认证：主要验证消息发送者所声称的身份认证的密钥建立/密钥交换/密钥协商：致力于产生一条安全信道，用于后继的安全通信会话2、认证概念细分数据源认证/消息认证数据源认证

数据完整性数据源认证必然需要通信，数据完整性则不一定包含通信过程，例如存储数据的完整性数据源认证必然需要识别消息源，而数据完整性则不一定涉及该过程，例如无源识别的数据完整性技术数据源认证必然需要确认消息的新鲜性，而数据完整性却无此必要，一组老的数据可能有完善的数据完整性VS2、认证概念细分数据源认证/消息认证数据源认证的特征验证者在接收时会验证消息属性的真实性包含从声称者（发送者）到验证者（接收者）的消息传输过程确认在原消息离开消息发送者之后的数据完整性确认消息来源的真实性确认消息传输的新鲜性2、认证概念细分实体认证/身份认证实体认证的特征声称者和验证者之间建立真实的通信是一个从声称者到验证者的通信交互过程声称者声称的身份与验证者意定的通信方一致2、认证概念细分实体认证/身份认证实体认证的类型主机-主机：通信实体是分布式系统中被称为“节点”的计算机或平台，主机级别的活动常需要运行实体认证协议来完成用户-主机：用户通过登录系统中某台主机来访问该计算机系统进程-主机：主机调用外部进程并给外部进程授予不同的接入权限成员-俱乐部：成员加入俱乐部享用会员服务，俱乐部只要考虑成员证件的有效性2、认证概念细分认证的密钥建立/密钥交换/密钥协商认证的密钥建立的特征利用协商的密钥构建安全信道，支持后续的安全通信密钥由通信双方通过交互协议共同生成，而非单方指定确保每次协商的密钥唯一且仅适用于当前会话2、认证概念细分认证的密钥建立和实体认证存在紧密关联。为了进行高层或者应用层安全通信而运行的实体认证通常都有一个子任务，即认证的密钥建立认证的密钥建立和数据源认证也存在关系。由于密钥建立素材也是重要的协议消息，因而密钥建立素材也是数据源认证的内容实体认证中关于实体的身份信息可以通过应用数据源认证机制来确认3、对认证攻击的内涵认证的目的：确保实体（消息）的来源或本身是真实的，（由此可以允许获得授权方提供的服务）攻击者的目的：破坏认证，未经授权而企图获得利益攻击的后果较小的损害服务中断或降级错误信任的建立非关键数据泄露或篡改声誉损害……严重的损害机密信息泄露系统控制权丧失密钥或凭证被盗业务连续性中断……3、对认证攻击的内涵认证协议不可避免要用到密码技术，但认证协议假设底层的密码算法是“完善的”，不考虑密码算法的弱点针对认证协议设计的缺陷而不涉及破解协议底层的密码算法如果协议设计有缺陷则认证协议是不安全的某个主体断定自己和意定的通信方正常运行了协议，而意定的通信方却有不同的结论认证协议的缺陷使得Malice能在不需要破解密码算法的条件下达到破坏认证的目的4、记法和约定记法：协议消息的语法与语义Alice，Bob，Trent，Malice，…：主体名称，简写为A，B，T，M，…Alice

Bob:M：Alice给Bob发送消息M{M}K：用密钥K加密消息M得到的密文K，KAB，KAT，KA，…：密钥，其中KXY表示主体X和Y共享的密钥，KX表示主体X的公钥N，NA，…：一次性随机数，NX表示主体X的随机数TX：主体X创建的时戳SigA(M)：主体A对消息M的数字签名4、记法和约定约定：协议参与者的行为约定诚实主体攻击者对于协议消息的理解只限于语法结构层次（不能理解协议消息的语义），除非协议规定对该消息执行密码操作不能识别、创建或者分解{M}K，除非拥有正确密钥不能识别随机数据，除非是当前协议运行中自己创建的，或者是协议运行完后交由自己输出的不主动记录协议消息，除非协议规定必须记录，或是协议运行完后交由自己输出的能截获经过网络的任何消息能够冒充任何别的主体给任意主体发消息是网络的一个合法使用者能够主动发起与任何其他用户的会话有机会成为任何主体发出信息的接收者4、记法和约定约定：协议参与者的行为约定诚实主体的特点在理解协议消息方面很“愚笨”，不能预见存在“聪明”的Malice会把协议消息的各个部分按照错误的顺序重新编排，以造成自己错误地解释协议消息不进行协议攻击，不对任何例外进行预测，完全按照协议的规定执行诚实主体是天真的！4、记法和约定约定：协议参与者的行为约定攻击者的特点知道诚实主体是“天真”的想尽办法利用诚实主体的弱点进行协议攻击攻击者是万能的？不能猜到从足够大的空间中选出的随机数没有正确的密钥，不能由给定的密文恢复出明文，也不能从给定的明文构造出正确的密文不能求出私有部分，比如，与给定公钥匹配的私钥不能控制计算和通信环境中的许多私有区域，比如，访问离线主体的存储器1、证明消息新鲜性和主体活现性的标准机制认证协议最基本的组成部分数据源认证：主体必须判断某条消息的新鲜性，确保消息未被重放或篡改实体认证：主体要考虑与意定方通信的真实性，确保通信的另一方是其所声称的实体认证的密钥建立：主体需要基于消息的新鲜性和双方的真实性生成一个安全的会话密钥，确保后续安全通信方法询问-应答机制时戳机制其它机制1、证明消息新鲜性和主体活现性的标准机制询问－应答机制目标：Bob想要Alice向他证明自己的身份问题如何避免重放攻击？方法1使用一次性的新鲜数协议验证者Bob将新鲜数发送给声称者Alice，Alice对消息组合进行密码操作，Bob通过自己输入消息的新鲜性来验证Alice通信的真实性。Bob通常输入一次性随机数。1、证明消息新鲜性和主体活现性的标准机制询问－应答机制机制1基于对称密码技术的询问-应答机制

1、证明消息新鲜性和主体活现性的标准机制询问－应答机制机制1分析消息新鲜性的直观基础：Bob解密后，确信Alice的密码操作是在接收到他发的一次性随机数之后进行的，而没人能预测Bob的随机数实现消息新鲜性必须的安全服务是：数据完整性服务！消息新鲜性的客观基础：对称加密提供的数据机密性服务？MDC1、证明消息新鲜性和主体活现性的标准机制询问－应答机制机制2基于对称密码技术的询问-应答机制合理形式1、证明消息新鲜性和主体活现性的标准机制询问－应答机制机制3基于非对称密码技术的询问-应答机制由Alice自由选择M很重要，用于防止Bob利用该机制来欺骗Alice不经意为Bob准备好的消息签名，例如Bob发的随机数是某个欺骗消息的hash值1、证明消息新鲜性和主体活现性的标准机制询问－应答机制ISO（国际化标准组织）和IEC（国际电子协会）标准化的单方实体认证机制基本结构机制1标准化

ISO两次传输单方认证协议机制2标准化

使用密码验证函数的ISO两次传输单方认证协议机制3标准化

使用公钥的ISO两次传输单方认证协议1、证明消息新鲜性和主体活现性的标准机制询问－应答机制机制1标准化

ISO两次传输单方认证协议RB是Bob的一次性随机数，B是Bob的身份，Text1、Text2是可选项用Bob的身份B代替M，是明确意定认证主体的身份1、证明消息新鲜性和主体活现性的标准机制询问－应答机制机制2标准化

使用密码验证函数的ISO两次传输单方认证协议用Bob的身份B代替M，是明确意定认证主体的身份1、证明消息新鲜性和主体活现性的标准机制询问－应答机制机制3标准化

使用公钥的ISO两次传输单方认证协议Alice唯一可识别的身份

Alice的公钥参数证书机构的签名（前两项的密码绑定）由Alice自由选择RA很重要，用于防止Bob利用该机制来欺骗Alice不经意为Bob准备好的消息签名，例如Bob发的随机数是某个欺骗消息的hash值1、证明消息新鲜性和主体活现性的标准机制时戳机制目标：Bob想要Alice向他证明自己的身份如何避免重放攻击？使用时戳声称者Alice把当前时间通过密码操作综合到她的消息组合中，验证者Bob通过时间的有效性来验证Alice通信的真实性。问题方法2协议1、证明消息新鲜性和主体活现性的标准机制时戳机制机制4

基于对称密码技术的时戳机制1、证明消息新鲜性和主体活现性的标准机制时戳机制机制5

基于对称密码技术的时戳机制合理形式1、证明消息新鲜性和主体活现性的标准机制时戳机制机制6

基于非对称密码技术的时戳机制1、证明消息新鲜性和主体活现性的标准机制时戳机制ISO（国际化标准组织）和IEC（国际电子协会）标准化的单方实体认证机制基本结构机制4标准化

ISO对称密钥一次传输单方认证协议机制5标准化

使用密码验证函数的ISO一次传输单方认证协议机制6标准化

ISO公钥一次传输单方认证协议1、证明消息新鲜性和主体活现性的标准机制时戳机制机制4标准化

ISO对称密钥一次传输单方认证协议用Bob的身份B代替M，是明确意定认证主体的身份1、证明消息新鲜性和主体活现性的标准机制时戳机制机制5标准化

使用密码验证函数的ISO一次传输单方认证协议用Bob的身份B代替M，是明确意定认证主体的身份1、证明消息新鲜性和主体活现性的标准机制时戳机制机制6标准化

ISO公钥一次传输单方认证协议用Bob的身份B代替M，是明确意定认证主体的身份1、证明消息新鲜性和主体活现性的标准机制其它机制机制7基于对称密码技术的询问-应答机制的变形1、证明消息新鲜性和主体活现性的标准机制其它机制机制8基于非对称密码技术的询问-应答机制的变形1、证明消息新鲜性和主体活现性的标准机制其它机制加密-解密（新鲜性标志）机制：机制7和机制8中，Bob验证Alice的真实通信的方法是加密一个新鲜性标志符（如NB），然后检验Alice能不能执行适时的解密。有安全缺陷？该机制的确提供了一种验证某个意定通信方的真实通信的方法该机制具有一个不好的特性：Alice能够被用做一个解密预言机，因而会不经意地泄漏机密信息2、双方认证询问-应答机制时戳机制其它机制ISO公钥三次传输双方认证协议单方认证：协议两个参与主体的一个主体对另一主体进行认证双方认证：协议两个参与主体互相认证2、双方认证ISO公钥三次传输双方认证协议前提：A和B各自拥有公钥证书CertA、CertB目标：A和B实现双方认证2、双方认证ISO公钥三次传输双方认证协议该协议的早期草案：认为双方认证是简单的两次单方认证2、双方认证ISO公钥三次传输双方认证协议该协议的早期草案：遭到“加拿大人攻击”（Wiener攻击）前提：Malice也拥有证书CertM后果：Alice认为是Bob发起了这次运行，并接受了Bob的身份；而Bob并没有发起这次运行，并且在等待由Malice(“Alice”)发起的运行结束“Bob”“Alice”BB2、双方认证ISO公钥三次传输双方认证协议Wiener攻击启示双方认证不能通过两次应用某个单方认证协议，一个方向一次来实现！如果TokenAB在某个单方认证协议中出现，那么在相应的双方认证协议中，TokenAB的匹配TokenBA要包含一个到TokenAB的上下文关联，该关联通常就是重用当前的运行中的新鲜性标识符ISO公钥三次传输双方认证协议明确要求A在当前协议运行终止前，要维护关于B的一次性随机数RB的状态信息遗忘：完成安全通信会话后，通信双方立即删除所建立的信道（把密钥遗忘，且永不重用）3、包含可信第三方的认证开放环境的标准通信模式开放环境要求主体维护它和系统中所有其他主体的通信状态很困难，互不相识的主体希望进行安全通信的办法通常是“交互-遗忘”模式：先建立一个安全信道，然后删除信道交互：希望建立安全信道的主体运行认证和/或认证的密钥建立协议3、包含可信第三方的认证开放环境的交互架构：可信第三方TTP的集中化认证TTP服务可在线，也可离线在线TTP服务中：TTP与系统或子系统中大量用户保持长期的联系认证和/或认证的密钥建立协议在前述的认证基本结构上构建，其中一个主体是TTP，另一个是TTP的用户TTP执行的密码操作能引导用户进行正确的密码操作在TTP帮助下，任意两个用户之间，即使完全不相识，也能够建立安全通信3、包含可信第三方的认证ISO/IEC标准化协议（9787系列）ISO四次传输认证协议ISO五次传输认证协议Woo-Lam协议1992年，由Woo和Lam（专业协议设计者）设计有多个修正版本，都存在致命缺陷和不好的设计特性，容易遭受多种攻击！不推荐以Woo-Lam协议作为模板！介绍错误示范是一个有效学习方法3、包含可信第三方的认证Woo-Lam协议Alice和Bob互不相识，Alice通过Bob向Trent展示其加密能力：用她和Trent间的共享密钥加密Bob的新鲜数3、包含可信第三方的认证Woo-Lam协议Bob寻求Trent的帮助，验证Alice的加密能力3、包含可信第三方的认证Woo-Lam协议建立在基本结构上，如消息2和3基于机制13、包含可信第三方的认证Woo-Lam协议Trent在收到消息后,按照协议的要求解密Alice构造的密文，返给Bob3、包含可信第三方的认证Woo-Lam协议当Bob从密文分组中重新获得他的NB后,Bob就可以断定：Trent的密码操作只能在Alice的密码操作之后,并且这些操作都是在他认为新鲜的一次性随机数基础上进行的。这样,Bob就确认了Alice的身份和活现性3、包含可信第三方的认证Woo-Lam协议协议的安全缺陷协议的修正版本及安全缺陷协议的细化描述1、口令认证协议口令认证广泛用于远程访问计算机系统的“用户-主机”模式中主机和用户共享某个口令，主机通过共享口令对访问用户进行身份认证口令等价于一个长期而短的对称密钥协议基于口令的简单远程访问协议Needham口令认证协议一次性口令认证Lamport协议S/KEY协议EKE协议1、口令认证协议基于口令的简单远程访问协议目的：用户U希望使用主机H提供的服务前提：H保留了一个存有所有用户口令的文档，该文档记录了所有用户数据(IDU，PU)，其中IDU是U的身份，PU是U的口令。1、口令认证协议基于口令的简单远程访问协议现实中，该协议并未实现从U到H的单方实体认证只能称为“基于口令的简单远程访问协议”本质上是因为该协议没涉及任何鉴别U真实通信的新鲜性标志符！20世纪70年代初，用户通过一个非智能终端连接到主机，主机和终端之间的通信链路是不可攻击的专线。在这种通信环境下，该协议的确提供了从U到H的单方认证。术语“口令认证”就是从那时开始使用。1、口令认证协议基于口令的简单远程访问协议在远程开放的网络环境下，上述口令协议存在两个严重的问题口令的安全存储主机H所维护的口令文件可能会被Malice读取（Malice可以是内部人员，甚至是系统管理员）。Malice拥有口令文件后，他就拥有了所有用户的所有权限，于是他就能够通过伪装某个用户登录系统。口令的在线窃听因为从用户U到主机H发送的口令是明文形式，这样该口令可能会被Malice窃听。1、口令认证协议Needham口令认证协议目的：用户U希望使用主机H提供的服务前提：主机H使用单向函数f对口令PU进行编码：f(PU)，H保留的用户口令记录(IDU，PU)由(IDU，f(PU))代替1、口令认证协议Needham口令认证协议应用：传统的UNIX操作系统的口令认证单向函数f在对称加密算法DES的基础上改进实现输入为64个0组成的串密钥为用户的口令PU

25轮DES迭代每一轮进行了“加盐操作”（比特-交换置换）f(PU)可看作对常数串064（输入）进行的、带密钥（口令PU）的和参数化（加盐）的Hash函数1、口令认证协议Needham口令认证协议解决了口令的安全存储问题吗？攻击者从主机窃取口令文件来攻击系统没那么容易了f(PU)不是口令，不能直接使用从f(PU)得到PU很困难（求逆在计算上不可行，尤其当变换包含25轮DES和加盐操作后，求逆更加困难）解决了口令的在线窃听问题吗？依然存在!1、口令认证协议一次性口令认证Lamport协议目的：用户U使用其口令登录到主机H前提：U发送给H一次性口令（这些口令计算上相关），U和H设置计数器从n递减到1，并设置口令记录(IDU,fn(PU))。1、口令认证协议一次性口令认证Lamport协议解决了口令的安全存储问题吗？攻击者从主机窃取口令文件来攻击系统没那么容易了解决了口令的在线窃听问题吗？攻击者从协议某次运行中窃听的口令以后不会再用，窃听无效协议是有状态的，带来新问题：同步可能丢失协议使用计数器从n递减到1，U和H口令必须同步：当H在f

i(PU)状态，U必须在fi-1(PU)状态。这种同步可能丢失（可能是Malice造成），如不可靠的通信链路或主机系统死机。1、口令认证协议S/KEY协议目的：修补一次性口令认证Lamport协议，解决不可靠通信问题。前提：H为U维护一个计数器c，H保存U的口令记录(IDU,f

c(PU),c)，c初始值为n，1

c

n

。1、口令认证协议S/KEY协议解决了口令机制同步丢失的不可靠通信问题吗？U和H口令同步，当H在

fc(PU)状态，U在fc-1(PU)状态解决了口令的安全存储问题吗？攻击者从主机窃取口令文件来攻击系统没那么容易了解决了在线窃听问题吗？H发的计数器值c能被Malice窃听到，使得U收到c可能是Malice发送的，或者是修改过的1、口令认证协议S/KEY协议对S/KEY协议的中间人攻击后果：Malice获得了f

c-2(PU)，在下一次会话时，他就能够以用户U的名义登录了。“U”“H”H更新U的记录(IDU,fc-1(PU),c-1)1、口令认证协议S/KEY协议解决了口令机制同步丢失的不可靠通信问题吗？U和H口令同步，当H在f

c(PU)状态，U在f

c-1(PU)状态解决了口令的安全存储问题吗？攻击者从主机窃取口令文件来攻击系统没那么容易了解决了在线窃听问题吗？H发的计数器值c能被Malice窃听到，使得U收到c可能是Malice发送的，或者是修改过的根本原因：因为协议只实现了H对U的身份识别，没有识别H的身份1、口令认证协议加密的密钥交换（EKE）协议目的：实现安全的口令认证。口令的安全存储问题：不存在，因为主机没有存储口令文档口令的在线窃听问题：可以抵抗，密文传输口令机制同步丢失的不可靠通信问题：不存在，因为协议没有状态口令的离线字典攻击：可以抵抗，因为对口令进行了加盐操作什么是口令的离线字典攻击？当口令的空间规模不大时，Malice通过搜索一个包含不好口令以及口令单向函数值的字典来匹配f(PU)找到口令PU。口令的离线字典攻击特点：离线、自动、快速。1、口令认证协议加密的密钥交换（EKE）协议目的：用户U和主机H完成双方实体认证，并协商一个共享密钥。前提：用户U和主机H共享口令PU；系统已预先协商一种对称加密算法K(

)，K(

)表示以K为密钥的对称加密；一种非对称加密体制εU，

εU()表示以εU为密钥的非对称加密。1、口令认证协议加密的密钥交换（EKE）协议一次性随机公钥εU的空间规模比PU大，口令空间放大，口令的字典变成随机的非对称密钥空间；εU的随机性起到对PU加盐操作的作用随机对称密钥K的空间规模比PU大，起到对PU加盐操作的作用独创性：U和H的共享口令PU用作对称密钥，该对称密钥可能是从一个相当小的口令空间选取的，但消息1中的密文组PU(εU)和消息2中的密文组PU(εU(K))通过和PU统计独立的方式隐藏了PU②H生成随机对称密钥K，H

U:PU(εU(K))①U生成一个随机“公钥”εU，U

H

:U,PU(εU)1、口令认证协议加密的密钥交换（EKE）协议意味着PU对于抵抗窃听者是一种信息论意义上的安全：无法用密码分析的方法破解该口令协议被动窃听者不能运用协议消息对PU实施离线口令攻击主动攻击者对PU直接猜测攻击，通常无效主动攻击者通过修改协议消息实施攻击，协议参与者会以很大的概率检测到，果断废止协议的运行口令PU保持着和协议中任何消息的统计独立性2、认证密钥交换协议认证密钥传输机制：共享密钥来自参与协议的某一个主体认证密钥交换/密钥协商机制：共享密钥是某个函数的输出，且该函数的输入是协议所有参与者的随机输入优点：共享秘密的各参与方对最后的输出都有自己的控制权，因此，各参与方对于输出密钥的质量都有比较高的信心基本结构：Diffie-Hellman（DH）密钥交换协议在不加密条件下，实现了远程主体之间无认证的密钥交换容易遭受中间人攻击对其进行改进以实现认证的密钥交换2、认证密钥交换协议DH密钥交换协议没有任何鉴别Alice和Bob真实通信的新鲜性标志符！2、认证密钥交换协议DH密钥交换协议对DH密钥交换协议的中间人攻击后果：Malice和Alice共享了一个密钥k1，同时也和Bob共享了另一个密钥k2。因此他能用这两个密钥在Alice和Bob之间阅读或转发“机密”通信，或者对于其中一方，伪装成另一方。Alice和Bob都认为和对方共享了密钥。2、认证密钥交换协议STS（工作站-工作站）协议目标：Alice和Bob实现双方认证和认证的密钥交换前提：Alice和Bob各自拥有他们的公钥证书CertA，CertB，系统所有用户共享素数p及本原根α，并共同确定了某个对称加密算法Ɛ()2、认证密钥交换协议STS（工作站-工作站）协议协议的简化版本——“惟认证”STS协议前提：Alice和Bob各自拥有他们的公钥证书CertA，CertB2、认证密钥交换协议STS（工作站-工作站）协议协议的简化版本——“惟认证”STS协议：遭到替换证书签名攻击前提：Malice拥有他的公钥证书CertM后果：Bob认为他和Alice进行了一次对话，而Alice认为她只是和Malice进行了一次对话。2、认证密钥交换协议STS（工作站-工作站）协议协议的简化版本——“惟认证”STS协议替换证书签名攻击的启示替换证书签名攻击对STS协议并不适用，因为原版本中采取了加密操作，使得Malice不能替换Bob的签名替换证书签名攻击对ISO公钥三次传输双方认证协议也不适用，因为Alice的签名将包含Malice的身份，所以这样的签名消息不能欺骗Bob在签名中包含验证者的身份是解决这类缺陷的一个有效方法，但不是唯一方法（在有的应用中，为了获得隐私的属性，不能包含协议参与者的身份信息）2、认证密钥交换协议STS（工作站-工作站）协议Lowe对STS协议的攻击“Bob”后果：Alice认为和Bob进行了一次会话并共享了某个会话密钥，而Bob认为他是和Malice运行了一次不完全的协议。Alice接下来向Bob发送的请求或者通信资源都会被Bob拒绝。2、认证密钥交换协议STS（工作站-工作站）协议Lowe对STS协议的攻击从运行表面看，是一种小小的攻击Alice和Malice运行的这部分协议中，虽然Malice成功地欺骗了Alice，但是他并不知道共享密钥，因而在协议运行完之后Malice不能进一步欺骗AliceBob和Malice运行的这部分协议中，Malice没有完成协议，所以这一部分不是一个成功的攻击2、认证密钥交换协议STS（工作站-工作站）协议Lowe对STS协议的攻击从现实意义看，是一种可适用的攻击Alice认为通信方是Bob，而Bob认为通信方是Malice，双方认证失败Alice接下来向Bob发送的请求或者通信资源都会被Bob拒绝，也没有人通知Alice这种异常。如果Alice是中央服务器，Malice团伙实施分布式攻击，由于服务器会为每一个终端用户（很多Bob）保留资源，服务器的服务能力极大下降2、认证密钥交换协议STS（工作站-工作站）协议Lowe对STS协议的攻击的启示Malice对Alice实施的是完善拒绝服务攻击，因为攻击者实现了以某种未授权并且不被察觉的方式使用了别人的密码证件（证书），而且没有执行密码操作，开销很小在STS协议中，主体的身份信息对于签名消息的含义是至关重要的，应该包含主体的身份2、认证密钥交换协议STS（工作站-工作站）协议对STS协议进行修改后，具有的安全属性双方实体认证双方认证密钥交换完善前向保密：Alice和Bob的长期签名私钥的泄露不会影响以前交换的会话密钥的机密性匿名性：如果在各自的密文分组中加密公钥证书，则不会泄露协议运行在哪两个特定主体之间1、消息重放攻击攻击时，Malice预先记录协议先前某次运行中的某条消息，然后在该协议新的运行中重放记录的消息消息重放攻击是对认证协议和认证的密钥建立协议的传统攻击方法认证的目标是建立通信方之间的真实通信，通常通过两个或多个通信方之间交换新鲜的消息来实现，所以消息重放违反了认证的目标1、消息重放攻击例：消息认证协议前提：Alice和Trent共享密钥KAT，Bob和Trent共享密钥KBT目标：Alice和Bob希望通过Trent建立一个新的共享密钥K1、消息重放攻击例：消息认证协议消息重放攻击一前提：Malice记录了Alice与Bob以前的一次正常运行中的某条旧消息后果：由于Malice很可能已经发现了密钥K’，因此Malice可以窃听Alice与Bob之间的秘密会话，或模仿Bob与Alice交谈。1、消息重放攻击例：消息认证协议消息重放攻击二前提：Malice记录了Alice与Bob以前的一次正常运行中的某条旧消息后果：Bob认为Alice在和他通信，实际上Alice可能根本不在线。1、消息重放攻击攻击时，Malice预先记录协议先前某次运行中的某条消息，然后在该协议新的运行中重放记录的消息消息重放攻击是对认证协议和认证的密钥建立协议的传统攻击方法认证的目标是建立通信方之间的真实通信，通常通过两个或多个通信方之间交换新鲜的消息来实现，所以消息重放违反了认证的目标对付消息重放攻击的可行方法：在消息中加入新鲜性标识符（一次性随机数、时戳）2、中间人攻击攻击时，Malice能够把协议的某参与者所提出的困难问题提交给另外的参与者来回答，然后把答案（可能经过简单处理）交给提问的主体，反之亦然中间人攻击本质上适应于缺少双方认证的通信协议2、中间人攻击例：S/KEY协议前提：H为U维护一个计数器c，H保存用户U的口令记录(IDU,f

c(PU),c)，c初始值为n（1≤c≤n），f为Hash函数目标：用户U向主机H认证同时不以明文形式传输口令2、中间人攻击例：S/KEY协议中间人攻击后果：Malice获得了f

c-2(PU)，在下一次会话时，他就能够以用户U的名义登录了。H更新U的记录(IDU,fc-1(PU),c-1)2、中间人攻击例：S/KEY协议修改S/KEY协议，避免遭受上述中间人攻击攻击成功的关键步骤是对第2条消息中的计数值c

进行了篡改，一种可行的方法是采用数据完整性技术对c

实施保护。U用c计算fc(PU),检验与收到是否相同2、中间人攻击攻击时，Malice能够把协议的某参与者所提出的困难问题提交给另外的参与者来回答，然后把答案（可能经过简单处理）交给提问的主体，反之亦然中间人攻击本质上适应于缺少双方认证的通信协议对付中间人攻击的可行方法：在消息交换的两个方向上提供数据源认证服务3、平行会话攻击在平行会话攻击中，平行的会话顺序并不重要攻击时，在Malice的特意安排下，一个协议的两个或更多的运行并发执行。并发的多个运行使得Malice能够从一个运行中得到另外某个运行中困难问题的答案3、平行会话攻击例：Woo-Lam协议3、平行会话攻击例：Woo-Lam协议平行会话攻击前提：Malice和Trent共享长期密钥KMT，Bob愿意几乎同时和“Alice”及Malice对话后果：Bob拒绝了和Malice的运行，Bob相信和“Alice”之间有一个好的运行，接受了和“Alice”的通信，实际上Alice根本不在线。3、平行会话攻击例：Woo-Lam协议修改Woo-Lam协议，避免遭受平行会话攻击5.Trent→Bob:{Alice,NB}KBT3、平行会话攻击在平行会话攻击中，平行的会话顺序并不重要攻击时，在Malice的特意安排下，一个协议的两个或更多的运行并发执行。并发的多个运行使得Malice能够从一个运行中得到另外某个运行中困难问题的答案对付平行会话攻击的可行方法：在协议消息中明确规定协议参与者的身份4、反射攻击Malice的目的是使消息产生者相信反射过来的消息来自他意定的通信方如果攻击成功，消息产生者的“自问自答”会给Malice提供预言机服务，完成Malice完不成的功能攻击时，当一个诚实主体给某个意定的通信方发送消息让他完成密码操作时，被Malice截获，并把该消息“返回”给消息的产生者“返回”不是原封不动地返回，Malice会修改底层通信协议处理的IP地址和身份信息，使消息的产生者没意识到反射回来的消息是他“自己产生”的4、反射攻击例：修正Woo-Lam协议前提：Alice和Trent共享对称密钥KAT，Bob和Trent共享对称密钥KBT目标：Alice向Bob证实自己，虽然Bob还不认识Alice4、反射攻击例：修正Woo-Lam协议后果：Bob认为Alice在当前协议运行时是真实的，而事实上Alice（包括Trent）根本没有参与此次运行。反射攻击4、反射攻击Malice的目的是使消息产生者相信反射过来的消息来自他意定的通信方如果攻击成功，消息产生者的“自问自答”会给Malice提供预言机服务，完成Malice完不成的功能攻击时，当一个诚实主体给某个意定的通信方发送消息让他完成密码操作时，被Malice截获，并把该消息“返回”给消息的产生者“返回”不是原封不动地返回，Malice会修改底层通信协议处理的IP地址和身份信息，使消息的产生者没意识到反射回来的消息是他“自己产生”的对付反射攻击的可行方法：使用必须的有源识别数据完整性服务，而不误依赖加密算法提供的机密性保护4、反射攻击例：修正Woo-Lam协议修改Woo-Lam协议，避免遭受平行会话攻击和反射攻击前提：Alice和Trent共享对称密钥