8、安全协议设计的详细工程原理

安全协议设计的详细工程原理

1. 简化版Otway - Rees密钥建立协议攻击分析

简化版Otway - Rees密钥建立协议运行结束后，A和B彼此都无法保证对方的存在。由于A的存在性缺失，会出现对Abadi - Needham简化版Otway - Rees密钥建立协议的攻击（类似于图3.9中的攻击）。而由于B的存在性缺失，可构造如下攻击：
| 消息步骤 | 消息内容 |
| ---- | ---- |
| 消息1 | A → I(B) : A, B, NA |
| 消息2 | I(B) → S : A, B, NA, N′B |
| 消息3 | S → I(B) : {NA, A, B, k′AB}KAS, {N′B, A, B, k′AB}KBS |
| 消息4 | I(B) → A : {NA, A, B, k′AB}KAS |

此协议运行结束后，攻击者I使A相信A一直在与B通信并共享会话密钥k′AB，而实际上B并未参与该运行。此外，攻击者I还可能通过假冒B对在线可信第三方S发起拒绝服务攻击。

为了保证B对S的存在性，进而保证对A的存在性，消息2中的唯一随机数M及其加密是必要的。可以通过在协议中添加消息5来修复原始Otway - Rees协议的缺陷：

消息5
A → B : {M}kAB

B收到消息5后，从{M}kAB中恢复M，以检查A是否拥有kAB。由于B认为M在A和B的此次协议运行中是唯一的，所以B可以保证A的活性。

2. 时变参数的新鲜性和关联性