基于串空间的KryptoKnight协议分析及与逻辑化方法的比较

基于串空间的KryptoKnight协议分析及与逻辑化方法的比较荣昆李益发(信息工程大学 河南 郑州 450002)摘要: 网络安全在信息时代非常重要，而网络安全的关键问题之一是安全协议. 本文通过串空间模型对KryptoKnight协议进行了分析, 得出该协议是安全的. 并对串空间模型和BAN逻辑方法进行了比较.关键词: KryptoKnight 串空间安全协议中图分类号：TP309文献标识码：A1 引言随着科学技术, 特别是因特网的迅猛发展, 数字化﹑电子化的趋势已经波及社会生活的几乎所有方面.安全协议是使用密码技术的网络通信协议. 随着网络时代的发展, 特别是各种安全协议的不断出现, 如何准确的分析协议变得尤为重要. 目前, 采用形式化方法来分析安全协议, 这些方法分为3类[2]：推导构造法, 利用逻辑推理来分析协议主体的知识和信任的演化情况,比如BAN 逻辑[3];攻击构造法,利用协议的代数属性建立可能的攻击集合,比如文献[4];证明构造法,证明协议满足其安全性要求,比如文献[5].在文献[5]中, Thayer, Herzog和Guttman提出了分析协议的串空间(Strand Space)模型, 并且证明了Needham-Schroeder-Lowe协议的正确性, 随后在文献[6]中, 作者又对串空间进行了拓展, 给出了理想(Ideal)的概念, 并对Otway-Rees协议进行了分析. KryptoKnight协议是用Hash函数进行身份认证的一个安全协议, 在文章的第3节将给出对其的分析.本文第2节本文简介Strand空间模型和认证协议的正确性概念, 确定协议证明的目标.第3节给出用Strand空间模型证明KryptoKnight协议的过程. 第4节对串空间方法与逻辑化方法进行了比较. 第5节总结全文.2 串空间(Strand Space)模型[5]2.1 项(term)和子项(subterm)定义2.1 设A表示协议的所有参与者之间传送的消息的全体组成的集合, 称A为消息空间, A 中的元素称为消息项.项可由原子项经过级连和加密得到, 原子项可分为文本项T和密钥项K. A可由下面三种运算生成:z加密运算encr: K×A→Az级联运算join: A×A→Az密钥的逆运算inv: K→Kz对信息的压缩hash: A→ A密钥逆运算将公私钥对中的一个映成另一个, 把对称密钥映成自己. 为了方便, 把encr(K,m) 记为{m}K, inv(K)记为K-1, join(a,b)记为ab, hash(a)记为H(a). 把encr的像空间encr(K× A)记作E, 称为密文空间，hash的像空间hash(A)记为H，而把K∪T∪E∪H中的消息项称为A上的简单项. 在消息空间中, 可以定义A中元素的包含关系⊏如下:定义2.2 设A是一信息空间, 递归的定义A中元素的包含关系⊏如下:(1) 若a∈T, 则a⊏a;(2) 若a⊏g或a⊏h, 则a⊏gh;(3) 若h⊏g, 则b⊏{g}K;(4) a⊏gh iff a⊏g or a⊏h or a=gh(5) 若h⊏H(g), 则h⊏g.其中h,g∈A, k∈K.显然, ⊏是一种传递﹑反身的关系.2.2 串,串空间和丛(Bundle)串是协议角色的一个实例. 串空间定义如下:定义2.3 符号项是一个有序对〈σ,t〉, t∈A, σ为+或−, 记作+t或−t, +t表示发出项t; −t表示接收到项t. (±A)*是符号项的有限序列的集合.定义2.4 设A是一个信息空间. 定义A上的一个串空间为一个集合∑和一个迹映射tr: ∑→(±A)*组成的二元组(∑,tr), z中的元素称为这个串空间中的串.定义2.5 给定一个串空间∑(1) 结点是一个有序对〈s,i〉, s∈∑, i满足1≤i≤length((tr(s))). 结点(node)n=〈s,i〉属于串s,表示为n∈s, 并把该节点在s中的序号记为index(n)=i. 结点的集合记为N. 显然每一个节点属于唯一一个串.(2)如果n=〈s,i〉∈N, 那么index(n)=i, 定义term(n)为(tr(s))i, 即串s的第i个符号项. 类似的, unsterm(n)是指((tr(s)i)2, 即s的迹中第i项的无符号部分.(3)n1,n2∈N, 那么n1→n2表示term(n1)=+a, term(n2)= −a, 其中a∈A. 也就是说节点n1发送消息a, 节点n2接收消息a.(4)n1,n2∈N, 那么n1⇒n2表示n1, n2属于同一个串s, 且index(n2)=index(n1)+1. 这时称n1是n2的直接因果前驱.(5)一个无符号项t包含于节点n∈N iff t⊏term(n).(6)项t从结点n产生,当且仅当sign(n)=+t; term(n);而且对于同一个串上任何先于n的结点n′, t⊏term(n′).(7)一个无符号项t是惟一产生,当且仅当t产生于惟一的结点n∈N.所以, 串空间构成一个有向图(N,E), N是结点集合, 边E=(→∪⇒). 丛代表协议可能的运行模式, 它是有向图(N,E)的子图.定义2.6C⊆E是边的集合, N C⊆N是由C中边相连的结点集合, C是丛, 如果(1) C是有限集.(2) 如果n2∈N C,且term(n1)的符号为负, 那么有惟一n1,满足n1→n2∈N C.(3) 如果n2∈N C,且有n1⇒n2,那么n1⇒n2∈N C.(4) C是无环的.因为C是一个图,所以在边→和⇒下, 结点的关系形成偏序关系,表示为°C.2.3 攻击者模型定义2.7 一个攻击者迹是指下列形式之一:(1) M.产生原子文本消息: 〈+t〉,t∈T.(2) F.接收消息: 〈−g〉.(3) T.接收并多次发送消息: 〈−g,+g,+g〉.(4) C.级连收到的消息: 〈−g, −h, +gh〉.(5) S.分割收到的消息: 〈−gh, +g, +h〉.(6) K.发送密钥: 〈+K〉, K∈K℘.(7) E.加密消息: 〈−Κ, −h, +{h}K〉.(8) D.解密消息: 〈−Κ−1, −{h}K, +h〉.(9) H. 消息压缩: 〈−h, +H(h) 〉.其中,K℘表示攻击者的密钥集合, 包括所有的公钥K i, 攻击者所知道的所有私钥K P−1及x的共享的对称密钥K px.定义2.8 一个渗透空间一个二元对(∑,P), 其中∑是一个串空间, P⊆∑使得对于所有的p∈P, tr(p)是一个攻击者的迹.2.4 基本假设与基本引理公理1 m1,m2∈A且K1,K2∈K, 那么{m1}K1={m2}K2⇔m1=m2, K1=K2公理2 若h1,h2∈A, 那么有H(h1)=H(h2) ⇔h1= h2公理3 对于m1,m2,m3,m4∈A且K1,K2∈K(1)m1m2=m3m4⇒m1=m3, m2=m4;(2)m1m2≠{m3}K;(3)m1m2∉K∪T∪H;(4){m1}K∉K∪T∪H;(5)H(m1)∉K∪T∪E.引理2.1 假设C是一个丛, 则C的任何非空结点子集在°C下都有最小元.引理2.2 假设C是一个丛, S⊆C是一个节点集使得:任意m,m', unsterm(m)=unsterm(m')意味着m∈S当且仅当m'∈S. 若n是S的一个°C 极小元, 则n的符号为正.引理2.3 假设C是一个丛, t∈A且n∈C是集合{m∈C: t⊏term(m)}的一个极小元, 则t产生于节点n.2.5 认证目标(1)强一致性条件：协议保证参与者B(响应者)就某个数据项X达成一致, 如果：每次B作为响应者使用数据X与它所认为的A(发起者)完成一轮协议执行时, 确实存在惟一的一轮协议执行, 其中A作为发起者也使用X, 并且认为它的响应者为B .(2)弱一致性条件：每次B作为响应者使用数据X与它所认为的A(发起者)完成一轮协议执行时, 确实存在一轮协议执行, 其中A作为发起者也使用X, 并且认为它的响应者为B.二者区别是若一致性条件不保证协议执行的唯一性, 不能防止A执行了多轮与B对应的协议, 而B只执行了一轮. 类似地, 对于发起者也存在同样的一致性条件.(3)保密属性: 数据x是保密的, 若对于串空间∑中的每一个节点n, 不存在n的组件(Component [8])t0, 使得t0=x.3 KryptoKnight协议的分析KryptoKnight协议的形式如下：1.A→B: ABN a2.B→A: BAN b H(N a N b BK ab)3.A→B: AB H(N a N b K ab)其中H(X)表示对数据X进行Hash.定义3.1 一个渗透空间(∑,P)是一个KryptoKnight空间, 如果∑是下面三种串的集合:1.攻击者串s∈P;2.发起者串Init[A,B,N a,N b,K ab], 且它的迹为〈+ABN a , −BAN b H(N a N b BK ab), +AB H(N a N b K ab)〉3.响应者串Resp[A,B,N a,N b,K ab], 且它的迹为〈−ABN a , +BAN b H(N a N b BK ab), −AB H(N a N b K ab)〉其中A,B∈T name,Νa,Νb∈T, 但是Νa,Νb∉ T name. 这里T name⊆T表示名字的集合. 定义3.2 设A是一信息空间, 递归的定义A中元素的包含关系⊏如下:(1) 若a∈T, 则a⊏a;(2) 若a⊏g或a⊏h, 则a⊏gh.(3) 若h⊏g, 则b⊏{g}K;(4) 若a⊏H(h), 则a⊏h.其中h,g∈A, k∈K.下面就可以对KryptoKnight协议进行分析:由于本协议中除了的原子项除了K ab外, 其他都没有要求保密性, 而K ab是A和B之间的共享密钥, 且只在进行Hash时才用到, 因此本协议中无数据要进行保密性认证.3.1响应者的认证作如下假设:1.∑是一个KryptoKnight空间,从C有一个响应者串s且迹为Resp[A,B,N a,N b,K ab];2.K ab∉K℘;3.N a≠N b,且K ab在∑中是唯一产生的.命题3.1K ab唯一产生于节点〈s,2〉.命题3.2集合S={n ∈C: K ab⊏term(n)且H(N a N b BK ab)term(n)}有一个°极小元n2. 且节点n2是常规(regular)的，符号为正.证明:显然, 集合S是非空的, 因为〈s,3〉属于S. 那么S有一个极小元n2, 且符号为正. 若n2在一个攻击者串p中, 那么:M. tr(p)的迹为〈+t〉, 其中t∈T, 那么就有t=K ab. 那么K ab就产生于这个串, 与K ab唯一产生矛盾;F. tr(p)的迹为〈−g〉, 没有正节点;T. tr(p)的迹为〈−g,+g, +g〉, 正节点不是极小产生的;C. tr(p)的迹为〈−g,−h,+gh〉, 正节点不是极小产生的;K. tr(p)的迹为〈+K 0〉, 且K0∈K℘,但是K ab K0, 因此这种情况也不会发生;H. tr(p)的迹为〈−h,+H(h)〉. 假设K ab⊏H(h)且H(N a N b BK ab)H(h). 因为K ab≠H(h), 那么K ab⊏h,但H(N a N b BK ab)h,因此矛盾。