Správa klí (key management)

Tonda Beneš Ochrana nformace aro 2011 Správa klí (key management) významná ást bezpenostní stratege nad danou doménou Základním úkolem správy klí e kontrola klíového materálu po celou dobu eho exstence, zabrauící neautorzovanému odhalení, modfkac, substtuc, opakovanému nebo nesprávnému použtí. ležtým úkolem správy klí e zastt, že klíe nkdy nebudou pístupny v otevené form. Obecné požadavky na správu klí: Utaení dat - tané klíe a pravdpodobn další nformace e nutné podržet po dobu ech penosu nebo uložení v tanost. Detekce modfkací - e teba vytvot prostedky umožuící zabránt, nebo alespo detekovat, možný neautorzovaný zásah do utaených nformací. Detekce opakovaného použtí, asová razítka - systém musí být odolný prot neautorzované duplkac zpracovávaných dat, asová razítka zašuí, že útoník nemže ako odpov na žádost podsunout ž díve zachycenou zprávu. Autentzace entt - e nutné ovt, že entta e skute tou enttou, za kterou se vydává. Autentzace pvodu dat - e nutné ovet, že zdro dat e skute tím, za který se vydává. kaz petí - odesílatel musí mít možnost zstt, zda odesílaná data byla v poádku doruena adresátov. Nebezpeí prozrazení klíe roste s dobou a ntenztou eho používání. asté zmny klí neúnosné. ešením e provádt penos klí automatcky -> používány klíe pro šfrování klí (též sekundární klíe). Nevyšší vrstva klí - tzv. master klíe - e potom dstrbuována manuáln. Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 1 / 13

Tonda Beneš Ochrana nformace aro 2011 Služby správy klí: Regstrace entt - mechansmus, prostednctvím kterého e pro systém provádna autentzace užvatel a zaízení Absolutní autentzace - poskytue vazbu mez formálním oznaením a fyzckou reprezentací dané entty. Relatvní autentzace - umožue provést novou dentfkac entty s stým formálním oznaením bez nutnost spoovat s urtou reprezentací. Generování klí - nepredkovatelný generátor náhodných ísel, pro aplkace vyžaduící nevyšší stupe bezpenost nutné generátory pracuící na skute náhodném, zvnšku neovlvntelném evu. Tvorba certfkát - certfkáty používány pro úely autentzace. Autorta provádící certfkac doplnním certfkátu k danému obektu prohlásí tento za pravý. on-lne / off lne Autentcta, verfkace - rozlšueme t druhy dentfkace entt autentcta obsahu zprávy autentcta pvodu zprávy Verfkace se týká samotného procesu dokazování urtých tvrzení, asté použtí certfkát, ovování pravost certfkát. Dstrbuce klí - procedury, kterým sou klíe doruovány enttám, ež o n legtmn žádaí. Dnes módní modulární systém správy klí, kde ednotlvé elementy protokolu spluí m odpovídaící požadavky: Šfrování - používaí se bžné (a)symetrcké algortmy nebo specální protokoly umožuící ustanovení sdíleného klíe. Kódy pro detekc modfkací - pdáním netrváln odvodtelné redundance e možno ovt, zda nedošlo ke zm penášených dat. Používaí se vhodné hašovací funkce, autentzaní kódy zpráv (MAC), a rzné MDC Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 2 / 13

Tonda Beneš Ochrana nformace aro 2011 kódy. Kódy pro detekc opakovaného použtí - používaí se asové známky, ítae zpráv, echž obsah se kombnue s klíem ástí penášených dat, ofsetování klí apod. Údržba klí - aktvace klí, problematka úschovy klí, výmny klí, obnovy poškozených klí, erné lstny vyzrazených klí, deaktvace klí a ech lkvdace. Služby asto sdružovány do tzv. zaízení správy klí (key management faclty), echž obsah e (fyzcky) chránn prot poškození, vyzrazení, zám, modfkac atp. íklady: zaízení pro generování klí zaízení pro pechovávání klí zaízení pro autentzac. akredtaní zaízení (enrollment facllty) - vydávání kredencál, tket Z dvodu dosažení potebné granularty popsu celého systému e možné zaízení dále sluovat do vtších celk - ednotek správy klí (key management unts), nebo též server. certfkaní autorty (certfcaton authorty) centra pro dstrbuc klí (key dstrbuton centres) atd. Servery považovány za ryhodné (trusted) funkní dryhodnost - certfkaní servery bezpodmínená dryhodnost- servery poskytuící šfrovací klíe Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 3 / 13

Tonda Beneš Ochrana nformace aro 2011 Pont-to-pont dstrbuce klí - v pípad symetrckých algortm nutná pedchozí exstence sdíleného klíe, v pípad asymetrckých systém exstence páru klí na každém uzlu a notarzované veené klíe na klí-serveru Je-l dstrbuce klí založena na použtí symetrckých algortm, není možné zcela vylout nutnost provést stou ást tohoto procesu manuáln. Jakákolv dstrbuce klí založená na použtí determnstckých kryptografckých algortm, neumožue vylout nutnost provést stou ást tohoto procesu manuáln. Výmna exponencálních klí (D-H). Autory sou Dffe a Hellman Metoda e založena na obtížnost poítání logartm nad GF(p) 1.Uzel A vypoítá Y a X a mod a pošle e druhé stran. X a - náhodn zvolené íslo, - nkterý z generátor GF(p). 2.Obdobnou akc provede uzel B Y b. 3.Ob strany spotou K ab X a X b p mod ípadný útoník by musel K ab spoítat pouze s použtím Y a nebo Y b což nede rychle, než spoítat logartmus ednoho z ísel X a nebo X b. Má-l p okolo 300 cfer, A B potebuí ádov tsíc operací, potencální útoník zhruba 10 30 operací. Dnes mnmáln 1024 bt (dále vz RSA) Dstrbuce klí založená na dentfkac komunkuících stran Ob schémata sou založena na obtížnost výpotu logartmu nad vhodným okruhem, lze e rozšít o dgtální podpsy a provádní dentfkace užvatel. p Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 4 / 13

Tonda Beneš Ochrana nformace aro 2011 Incalzace Centrum pro autentzac klí (CAK) vybere one-way funkc f, velké prvoíslo p a prvek okruhu, který není trválním dltelem nuly. Všechna tato ísla zveení. P lo být vybráno tak, aby mlo tvar p 2 p 1, kde p e rovnž prvoíslo. CAK zvolí sv taný klí, náhodné íslo x z množny {1,, p-1} tak, aby NSD(x, p-1) = 1. Na základ tohoto ísla CAK spoítá sv veený klí x Y mod p. Regstrace užvatele Každá nová entta musí navštívt CAK se svoí dentfkací ID a obdrží tzv. rozšíenou dentfkac EID ako EID a podps (r, s ) ež SAK vypote dle vztahu r f ID 1 s EID kr x mod p1. p k Zde mod ak e náhodn zvoleno z množny {1,,p-1}, s e v systému používáno ako taný klí entty E. Dstrbuce klíe E ae chtí sdílet spolený klí k,. Entta E zašle (ID, r ) entt E a naopak. Entta E potom mže spoítat klí k, dle vztahu k s r p Y r 1 s s mod mod p EID, obdobn entta E mže spoítat klí k, k s EID r 1 s s r mod p Y mod p, Protože k, = k,, lze tyto hodnoty použít ako sdíleného klíe pro entty E ae. Popsané schéma umožue pouze nepímou autentzac klí v tom smyslu, že použtí správného klíe lze poznat pouze dle smysluplnost dešfrovaného textu. Analýza edpokládá se odolnost v neznámším útokm, protokol e z hledska možného rozbtí patrn ekvvalentní s výpotem dskrétního logartmu. Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 5 / 13

Tonda Beneš Ochrana nformace aro 2011 Výhodou protokolu e možnost unfkovaného rozšíení o autentzac zpráv vetn asových známek a dentfkace užvatel. Systém dstrbuce klí pro konference komunkuících entt schopnost vytvot spolený sdílený klí pro lbovolnou skupnu komunkuících - konferenc. Protokol umožue ustanovt sdílený taný klí bez pedchozí komunkace ednotlvých len zamýšlené konference, autentzac nformací, pedávaných v rámc procesu ustanovování klíe. Opt e nezbytná exstence dryhodného centra. Krok 1: Centrum vygenerue t velká prvoísla p, q, r a íslo n = pq. Dále nalezne dvoc (e, d) zpsobem podobným, ako v kryptosystému RSA tak, aby platlo ed 1 mod L, L NSD p 1, q 1, r 1, 3 e, d Rovnž urí prvoíslo c (3 <= c < L) a íslo g, ež e prmtvním prvkem v Galosových okruzích GF(p). GF(q) a GF(r). Pro každou enttu maící dentfkac I centrum spoítá d s I mod nr Na závr tohoto kroku entta obdrží šestc (n, r, g, e, c, S ). Pokud ž neoekáváme petí žádných dalších entt, e možné ísla p, q a d zrušt. íslo S s každá entta podrží v tanost, zbylá ísla sou spolená pro všechny. Krok 2: V rámc tohoto kroku probíhá vlastní tvorba sdíleného klíe konference. 1.Entta vygenerue náhodné íslo U které uchová v tanost a všem zašle eu E, kde E g mod n. 2.Entta vygenerue náhodné íslo P, které není dltelem p-1 a spoítá P tak, aby platlo PP 1 mod r1 L. Obísla ponechá v tanost, Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 6 / 13

Tonda Beneš Ochrana nformace aro 2011 sten ako náhodn vygenerované íslo V. Entt odešle tvec (X, Y, Z, F ): ep X g cp mod nr, Y Sg mod nr, P Z E ev mod nr, F X mod n. 3.Entta obdrží (X, Y, Z, F ) a oví platnost následuících kongruencí: U mod, Z X mod n e c Y X I nr Pokud se podaí ovt platnost uvedených kongruencí, entta verfkovala, že odesílatelem patých dat e opravdu entta. Entta tedy vygenerue náhodné íslo R, které rovnž podrží v tanost. Entt zašle troc (A, B, C ), kde er A X mod nr, B SX mod nr, C F mod n R er emž s ponechá A X. 4.Entta me (A, B, C ). Ovením platnost následuících kongruencí zstí, zda patá data byla opravdu zaslána enttou : cr V mod, C A mod n e c B A I nr Pokud e vše v poádku, e entta zamýšlené konference dle vztahu m K A r mod 1 P ž schopna spoítat sdílený klí 5.Získaný klí e vskutku sdíleným taným klíem konference, nebo 2 2 e PR 1PR 2... PR m P e R1R2... Rm K g modr g modr Analýza Útok na ednotlvé ást protokolu by ml být ekvvalentní s vyešením alespo ednoho ze dvou známých obtížných problém - výpoet prvoíselného rozkladu, nebo výpoet logartmu nad Galosovým polem. Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 7 / 13

Tonda Beneš Ochrana nformace aro 2011 Správa klí pro bezpenou komunkac ATM termnál Systém umožuící užvatelm platby prostednctvím bezhotovostních pevod. Každý užvatel má vlastní kartu obsahuící eho osobní údae, íslo útu atd. Každý z užvatel má rovnž pdlen PIN konstantní délky. Systém potom sestává z množství termnál sloužících ako užvatelské rozhraní a nkolka center, které s lze pedstavt ako poboky rzných bank. Protokol Klí transakce Klí karty Kk - závslý na osob matele karty Každý termnál obsahue pro každé centrum, se kterým komunkue, eden klíový regstr KR, ehož hodnota e využívána pro tvorbu klíe transakce. edp.systém v bžném provozním stavu, užvatel práv vložl kartu a dožadue se platby. 1.Termnál petl Kk a íslo útu CU eího matele a zstl, které centrum provádí správu tohoto útu. 2.Je vygenerován klí transakce KT: KT DEA Kk, KR Kk 3.Aby centrum bylo schopno sestavt klí, zpráva, kterou termnál centru posílá, obsahue v otevené podobíslo útu a dentfkac termnálu. 4.Centrum rovnž má k dspozc regstr klíe, se shodnou hodnotou a dostatené nformace o každém spravovaném útu, e schopno s ze zaslaných nformací též sestavt klí transakce. Dotaz 1.Dotaz obsahue ve form oteveného textu íslo útu a dentfkac termnálu. Užvatelovo PIN, požadovanou ástku atd., e samozem nutné separátn zašfrovat s použtím klíe transakce. 2.Autentzaní blok zprávy e vygenerován procedurou pro tvorbu autentzaního bloku zprávy. Dotaz e šfrován použtím algortmu DEA metodou CFB. Autentzaní blok zprávy vznkne ako poslední výstupní blok tohoto procesu. 3.Autentzaní blok rozdlíme na dv polovny. Levá polovna bude sloužt ako autentzaní kód. Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 8 / 13

Tonda Beneš Ochrana nformace aro 2011 Zbývaících 32 bt autentzaního bloku ozname ako rezduum dotazu RD. Termnál s e uschová pro pozdší autentzac odpovd od centra. 4.Centrum po petí dotazu zkonstruue klí transakce, od dotazu oddlí autentzaní kód, spoítá autentzaní blok zprávy a oví e. Dále s ponechá pravou ást rezduum dotazu pro pozdší použtí. Odpov 1.Centrum sestaví odpov a opt spoítá autentzaní blok zprávy. Ped poítáním autentzaního bloku centrum ppoí na zaátek zprávy RD. 2.Levá ást autentzaního bloku e ako autentzaní kód ppoena ke zpráv a odeslána termnálu. Pravou ást, ozname rezduum odpovd RO, s centrum ponechá. 3.Termnál obdobným zpsobem ako v pípad dotazu centrum vypoítá autentzaní blok a provede verfkac patých dat. Pokud e vše v poádku, v souladu s došlou odpovdí provede odpovídaící akc a dokoní svo ást transakce. I termnál s ponechá pravou ást spoítaného autentzaního bloku - rezduum odpovd. Aktualzace regstru klíe 1.Centrum zruší klí transakce, uschová pvodní hodnotu regstru klíe. 2.Nová hodnota regstru klíe e vypoítána takto: KR DEA RO RD, KR 3.Termnál zruší klí transakce a zpsobem steným ako centrum provede aktualzac svého regstru klíe. 4.Pokud se však ztratí odpov od centra, termnál pro píští transakc použe tuto starou hodnotu regstru klíe. Centrum regstr klíe naplní uschovanou pedchozí hodnotou a pokusí se znovu o autentzac. Analýza Klí transakce e end-to-end a e ednený pro každou transakc. Znalost tohoto klíe transakce a klíe karty následuící karty nemožní odvodt klí následuící transakce, an nco o pedešlé transakc. Incalzac a pípadnou rencalzac e možno provést napíklad v rámc nstalace a nebo bžné údržby termnálu použtím specální servsní karty. Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 9 / 13

Tonda Beneš Ochrana nformace aro 2011 Správa klí pomocí kontrolních vektor S každým klíem K asocován kontrolní vektor C skládaící se z množny polí specfkuících pípustné použtí klíe v rámc systému. Klí a odpovídaící kontrolní vektor kryptografcky spoeny, aby byla vylouena možnost následné zmny vektoru. Klí nastavue vlastní kryptografcký algortmus výbrem mapovací funkce, kontrolní vektor slouží k nastavování procesoru kryptografcké ednotky - e takto vymezeno povolené použtí daného klíe. Každé kryptografcké zaízení e navrženo tak, aby p pokusu o použtí klíe neprve provedlo verfkac, zda tento pokus e v souladu s povoleným rozsahem operací, ak e zaznamenáno v kontrolním vektoru. Kryptografcké spoování K a C Spoení K a C e nutné provést tak, aby nebylo možno provádt následné zmny kontrolního vektoru. Možnost: zapot kontrolní vektor do procesu šfrování a dešfrování klíe provést konkatenac klíe a kontrolního vektoru a na vznklém etzc spoítat autentzaní kód AC. Nevýhodou druhé možnost e nutnost stálého ovování AC vždy p každém použtí klíe. Algortmus pro šfrování a dešfrování klí Vstupem algortmu e kontrolní vektor C, klí pro šfrování klí KK a klí K. C e hašovací funkcí h peveden na 128-btovou hodnotu H, kterou e XOR-ován klí KK. Následn e K zašfrován klíem KKH e-d-e algortmem. Výsledkem e KK H K. Hašovací funkce zašue normalzac délky kontrolního vektoru na 128 bt. Generování klí Schéma obsahue rovnž funkc G pro tvorbu nových klí s výstupem a e key H K 2 2 e key H K 1 1 Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 10 / 13

Tonda Beneš Ochrana nformace aro 2011 K - ntern generovaný náhodný klí, C1 ac2 kontrolní vektory a key1 akey2 vhodné klíe - nap. master klíe ednotlvých zaízení, klíe pro šfrování klí sdílené mez odesílatele a píemce, nebo mez toto generuící zaízení a naké další zaízení v systému. H1 a H2 sou hodnoty hašovací funkce pro oba kontrolní vektory. Dstrbuce klí Zadáme vstupní parametry G (KM, C1) a (KK, C2), tedy na míst key1 e použt master klí zaízení a na míst key2 klí pro šfrování klí sdílený mez zaízení a. Výsledkem sou balíky H1 K C1 a KK H e, KM e K, C 2 2 První z nch e uložen v zaízení a druhý e dopraven do zaízení. Zde e proveden mport - došlý balík e dešfrován, penesený klí K e okamžt znovu zašfrován master klíem KM za použtí C2 a uložen. Kerberos pracovní stance považueme za nedryhodné, požadueme autentzac žadatele každém požadavku na službu. Každý užvatel a každá služba má vlastní heslo. Systém obsahue dryhodný autentzaní server. 1.V rámc phlašování do systému užvatel zadá své méno. 2.Stance zašle autentzanímu serveru zprávu {logn-name, TGS-name} TGS-name - méno akredtaního serveru. 3.Autentzaní server vyhledá šfrovací klí obou tchto entt. (klí sou zašfrovaná hesla) 4.Autentzaní server vytvoí odpov {TGS-sesson_key, sealed_tcket} zašfrue užvatelovým heslem a zašle stanc. Tcket má tvar: {logn-name, TGS-name, WS-net_address, TGS-sesson_key } Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 11 / 13

Tonda Beneš Ochrana nformace aro 2011 zašfrováním tcketu šfrovacím klíem TGS vznkne sealed_tcket. WSnet_address e adresa stance, TGS-sesson_key klí oznauící relac s TGS. 5.Po petí zprávy z bodu 4. stance požádá užvatele o heslo, zašfrue e a získaný klí použe k dešfrování zprávy a uschová. žádost o lbovolnou službu bude nyní teba neprve získat odpovídaící lístek. 1.Stance zašle akredtanímu serveru žádost {sealed_tcket, sealed_authentcator, end_server_name} kde authentcator má tvar {logn-name, WS-net_address, current_tme} Sealed_authentcator vznkne zašfrováním klíem TGS-sesson_key. 2.Akredtaní server dešfrue sealed_tcket, ímž získá TGS-sesson_key. Tímto klíem dešfrue sealed_authentcator, oví platnost lístku (logn-name, TGSname, WS-net_address) a porovná as. 3.Akredtaní server vyhledá heslo cílového serveru, a vytvoí klí transakce sesson-key. 4.Pracovní stanc akredtaní server zašle zprávu {sesson_key, sealed_tcket} kde sealed_tcket vznkne zašfrováním tcketu {logn-name, end_server_name, WS-net_address, sesson_key } klíem cílového serveru. ed odesláním e zpráva zašfrována klíem TGS-sesson_key. 5.Dešfrováním zprávy z pedchozího bodu stance získá tcket pro cílový server. Rovnž od akredtaního serveru dostane nový TGS-sesson_key. 6.Stance zašle cílovému serveru zprávu {sealed_tcket, sealed_authentcator, end_server_name} kde sealed_authentcator e {logn-name, WS-net_address, current_tme} zašfrovaný klíem sesson_key. 7.Cílový server dešfrue sealed_tcket a následn sealed_authentcator a provede obdobnou verfkac ako akredtaní server v bod 2. tohoto postupu. 8.Je-l vše v poádku, vyhoví požadavku a odpov zašfrue klíem sesson_key. Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 12 / 13

Tonda Beneš Ochrana nformace aro 2011 Materál slouží výhradn ako pomcka pro absolvování pednášky Ochrana Informací II na MFF UK V Praze. Není uren k samostudu problematky. Jeho obsah se nemusí shodovat s rozsahem látky pednášené v konkrétním semestru 13 / 13