Протокол Ву — Лама

На симметричный вариант протокола Ву — Лама существует атака с помощью параллельного сеанса, описанная Абади и Нидхемом.^[6]

Мэллори является пользователем системы и имеет общий ключ с Трентом. Для атаки требуется блокировать все сообщения, посланные Алисе, то есть Мэллори должна быть активным криптоаналитиком.

Мэллори начинает два сеанса — один от имени Алисы и один от своего имени — и отправляет Бобу два сообщения:

${\displaystyle (1)\ Mallory\ (Alice)\to \{A\}\to Bob}$

${\displaystyle (1')\ Mallory\to \{M\}\to Bob}$

Боб полагает, что с ним хотят связаться Алиса и Мэллори, и отправляет каждой своё случайное число:

${\displaystyle (2)\ Bob\to \{R_{B}\}\to Mallory\ (Alice)}$

${\displaystyle (2')\ Bob\to \{R_{B}'\}\to Mallory}$

Мэллори игнорирует своё случайное число и в обоих сеансах отправляет Бобу одно и то же сообщение — случайное число ${\displaystyle R_{B}}$, предназначенное Алисе, зашифрованное на общем ключе Мэллори и Трента ${\displaystyle K_{M}}$:

${\displaystyle (3)\ Mallory\ (Alice)\to \{E_{K_{M}}(R_{B})\}\to Bob}$

${\displaystyle (3')\ Mallory\to \{E_{K_{M}}(R_{B})\}\to Bob}$

Боб, следуя протоколу и не сравнивая сообщения между собой, пересылает их Тренту, добавив идентификаторы и зашифровав на их общем ключе ${\displaystyle K_{B}}$:

${\displaystyle (4)\ Bob\to \{E_{K_{B}}(A,E_{K_{M}}(R_{B}))\}\to Trent}$

${\displaystyle (4')\ Bob\to \{E_{K_{B}}(M,E_{K_{M}}(R_{B}))\}\to Trent}$

Трент в каждом сеансе расшифровывает сообщение с помощью ключа того участника, идентификатор которого он получил. Так как в первом сеансе он получил идентификатор Алисы, а число ${\displaystyle R_{B}}$ было зашифровано на ключе Мэллори ${\displaystyle K_{M}}$, при расшифровке получится другое число («мусор»).

${\displaystyle (5)\ Trent\to \{{\text{''Мусор''}}\}\to Bob}$

${\displaystyle (5')\ Trent\to \{E_{K_{B}}(R_{B})\}\to Bob}$

Боб видит в одном из последних сообщений случайное число ${\displaystyle R_{B}}$, которое он посылал Алисе (как он думает), а в другом — мусор. Из-за этого он считает, что установил связь с Алисой, хотя Алиса вообще не участвовала в обмене сообщениями.

Последовательность сеансов в данном случае не важна — атака будет протекать аналогично.

Абади и Нидхем предложили защиту от этой атаки: в сообщение 5-го шага Трент должен включать идентификатор Алисы. Тогда Боб при получении идентификатора Мэллори и своего случайного числа ${\displaystyle R_{B}}$ (отправленного им Алисе) отбросит такое сообщение, и атака не удастся.

На этот вариант протокола также существует атака с помощью параллельного сеанса.^[7]

Пусть Алиса инициировала запрос на установление связи с Мэллори. Тогда Мэллори может инициировать параллельный сеанс связи с Алисой, установить связь в первом сеансе, а второй отложить. Позже, даже по окончании первого сеанса, продолжить установление связи во втором сеансе и заставить Алису принять старый сессионный ключ (тот, что использовался в первом сеансе). Для этого необходимо блокировать сообщения, посланные Трентом Алисе — Мэллори должна выступать активным криптоаналитиком.

Алиса начинает сеанс связи с Мэллори. Мэллори в ответ начинает сеанс связи с Алисой, отправляя ей то же случайное число, которое она получила:

${\displaystyle (1)\ Alice\to \{A,R_{A}\}\to Mallory}$

${\displaystyle (1')\ Mallory\to \{M,R_{A}\}\to Alice}$

Затем Мэллори дожидается, пока Алиса ответит на её сообщение из второго сеанса, извлекает случайное число и вставляет его в сообщение Алисе в первом сеансе:

${\displaystyle (2')\ Alice\to \{A,R_{A'}\}\to Mallory}$

${\displaystyle (2)\ Mallory\to \{M,R_{A'}\}\to Alice}$

После этого Алиса и Мэллори завершают первый сеанс протокола:

${\displaystyle (3)\ Alice\to \{E_{K_{A}}(A,M,R_{A},R_{A'})\}\to Mallory}$

${\displaystyle (4)\ Mallory\to \{E_{K_{A}}(A,M,R_{A},R_{A'}),E_{K_{M}}(A,M,R_{A},R_{A'})\}\to Trent}$

${\displaystyle (5)\ Trent\to \{E_{K_{A}}(M,R_{A},R_{A'},K),E_{K_{M}}(A,R_{A},R_{A'},K)\}\to Mallory}$

${\displaystyle (6)\ Mallory\to \{E_{K_{A}}(M,R_{A},R_{A'},K),E_{K}(R_{A},R_{A'})\}\to Alice}$

${\displaystyle (7)\ Alice\to \{E_{K}(R_{A'})\}\to Mallory}$

Позже Мэллори продолжает установление второго сеанса связи:

${\displaystyle (3')\ Mallory\to \{E_{K_{M}}(M,A,R_{A},R_{A'})\}\to Alice}$

Алиса отправляет серверу сообщение, которое Мэллори перехватывает и блокирует:

${\displaystyle (4')\ Alice\to \{E_{K_{M}}(M,A,R_{A},R_{A'}),E_{K_{A}}(M,A,R_{A},R_{A'})\}\to Mallory\ (Trent)}$

Мэллори от имени сервера отправляет Алисе сообщение со старым сессионным ключом, просто переставляя части сообщения из 5-го шага первого сеанса:

${\displaystyle (5')\ Mallory\ (Trent)\to \{E_{K_{M}}(A,R_{A},R_{A'},K),E_{K_{A}}(M,R_{A},R_{A'},K)\}\to Alice}$

Затем Алиса и Мэллори завершают установление соединения:

${\displaystyle (6')\ Alice\to \{E_{K_{M}}(A,R_{A},R_{A'},K),E_{K}(R_{A},R_{A'})\}\to Mallory}$

${\displaystyle (7')\ Mallory\to \{E_{K}(R_{A'})\}\to Alice}$