---

1. А має асиметричну систему шифрування з перетворенням (Е_А, D_A).

2. В має асиметричну систему підпису з перетворенням (S_e, V_B).

3. А має доступ до автентифікованої копії відкритого перетворення верифікації суб'єкта В — V_B. Цього можна досягти, використовуючи механізми розділу 6.

4. В має доступ до автентифікованої копії відкритого перетворення зашифровування Е_А суб’єк­та А. Цього можна досягти, використовуючи механізми розділу 8.

КТ_Л1

КТ₀₁

Конструювання
маркера ключа
(А1)

Конструювання
маркера ключа
(61)

Конструювання ключа

(62)

І^А

ВКонструювання маркера ключа (А1)

А генерує випадкове число г_А і надсилає до В маркер ключа

КТ_Д1 = r_AText1.

Обробляння маркера ключа (В1)

В генерує випадкове число г_в і підписує блок даних, який складається з розрізнювального іден­тифікатора А, випадкового числа г_А і деяких, необов’язкових, даних Text2, використовуючи своє приватне перетворення підписування S_e

BS = Sa6A|| г_А И г_е|| Text2).

Потім В зашифровує блок даних, який складається з його розрізнювального ідентифікатора В (необов’язково), підписаного блока BS і деяких, необов’язкових, даних Text3, використовуючи від­крите перетворення зашифровування Е_А суб’єкта А, і надсилає назад до А маркер ключа

КТ_В1 = Е_а(В И BS П Text3) И Text4.

Конструювання ключа (В2)

Таємний розподілений ключ складається з усього або частини підпису В — Е, який міститься в підписаному блоці BS (див. примітку 1 розділу 4).

Обробляння маркера ключа (А2)

А розшифровує маркер ключа КТ_Ві із використанням свого приватного перетворення розшиф­ровування D_A, необов’язково, контролює ідентифікатор посилана В, і використовує відкрите пе­ретворення верифікації суб’єкта В для верифікації цифрового підпису підписаного блока BS. Потім А контролює ідентифікатор одержувача А і узгодженість випадкового числа г_А в підписаному блоці BS із випадковим числом г_А, надісланим у маркері КТ/ц. Якщо всі перевірки успішні, А прий­має весь або частину підпису В — S3 підписаного блока BS як розподілений таємний ключ.

Примітка. Цей механізм узгодження ключа має такі властивості:

1. Число проходів: 2.

2. Автентифікація ключа: механізм забезпечує неявну автентифікацію ключа від А до В і явну автентифікацію ключа від В до А.

3. Підтвердження ключа: якщо поле даних Text3 містить криптографічне контролювальне значення (на відомих даних), обчислене з використанням ключа К_АВ, то цей механізм забезпечує підтвердження ключа від В до А.

4. Це механізм узгодження ключа внаслідок того, що встановлений ключ є односпрямованою функцією випадкових чисел г_А і Гв постачених, відповідно, А і В. Однак, внаслідок того, що суб’єкт В може знати F(r_A, д), перед тим, як обрати зна­чення г_е, суб’єкт В може обрати орієнтовно s бітів ключа, що встановлюється, за рахунок генерації 2‘ пробних значень г_й за час від одержання КТ_Л1 до надсилання КТ₀₁,

5. Приклад: цей механізм виведено з двопрохідного протоколу Беллера і Якобі, який наведено в розділі 8.7,

6. Сертифікати відкритих ключів: якщо Textl і Text4 містять сертифікат відкритого ключа зашифрування суб’єкта А і сертифікат відкритого ключа верифікації суб'єкта В, відповідно, то вимоги 3 і 4 на початку цього розділу можуть бути по­слаблені до вимоги, що кожен суб’єкт володіє автентифікованою копією відкритого ключа верифікації суб’єкта СА.

7. Важливою характеристикою цієї схеми є те, що тотожність сторони В може лишатись анонімною для підслухову- вачів, визначною перевагою в безпровідному середовищі, яке є основним середовищем для застосування цієї схеми.

6.7 Узгодження ключа, механізм 7

Цей механізм, оснований на трипрохідному механізмі автентифікації ISO/IEC 9798-3, встанов­лює за три проходи розподілення таємного ключа між суб’єктами А і В із взаємною автентифіка- цією. Повинні задовольнятися такі вимоги:

1. Кожен суб’єкт X має асиметричну систему підпису (S_x, V».

2. Кожен суб'єкт має доступ до автентифікованої копії відкритого перетворення верифікації іншого суб’єкта. Це може бути досягнуто використанням механізмів розділу 8.

3. Кожен суб’єкт має спільну криптографічну контролювальну функцію f.

Конструювання маркера ключа (А1)

А випадково і таємно генерує г_А в Н, обчислює F(r_Atд), конструює і надсилає до В маркер ключа

КЪ, = F(r_A,g)Text1.

Обробляння маркера ключа і конструювання ключа (В1)

В випадково і таємно генерує г_в у Н, обчислює F(r_Blд), обчислює розподілений таємний ключ як

Кав = F(r_B1F{r_A, д)).

Конструює і підписує маркер ключа

КТ_В1 = SsfDBO И MDBOHTextf,

Конструювання
маркера ключа
(А1)

кт_А1 ►

KT_S1

Оброблення
маркера ключа
(81)

кт_А2

Рисунок 7 — Узгодження ключа, механізм 7

ДЄ

DB₁ = F(r_B, g)]F(r_A, д)11A11Text2

і надсилає його назад до А.

Підтвердження ключа забезпечують надсиланням Їкав(ОВі) у КТ_Ві. Альтернативно, якщо обидві сторони мають спільну симетричну систему шифрування, підтвердження ключа може бути отри­мано зашифровуванням частини маркера так: заміною КТ_Ві на F(r_B, д), за яким слідує Ekab(S_b(DB₁)).

Обробляння маркера ключа (А2)

А верифікує підпис суб’єкта В на маркері ключа КТ_Ві із використанням відкритого ключа вери­фікації S, верифікує розрізнювальний ідентифікатор суб’єкта А і значення F(r_A, д), надіслане на кроці (А1). Якщо всі перевірки успішні, А продовжує обчислювання розподіленого таємного ключа як:

К_АВ= F(r_A,F(r_B, д)).

Використовуючи К_АВ, А перевіряє криптографічне контролювальне значення ґкавСОВт).

Потім А конструює і надсилає до В підписаний маркер ключа

КТ_Д2 = S_a(DB₂) И Гкав(ОВ₂)||Text5, де

DB₂ = F(r_A, g)F(r_B, g)||S||7exf4.

Підтвердження ключа забезпечують надсиланням ?кав(ОВ₂) в КТ_А2. Альтернативно, підтверд­ження ключа може бути отримано зашифровуванням частини маркера таким чином: заміною КТ_Л2 на Ekab(S_b(DB₂)).

Обробляння маркера ключа (В2)

В верифікує підпис суб’єкта А на маркері ключа КТ_А2 з використанням відкритого ключа вери­фікації А, потім верифікує розрізнювальний ідентифікатор суб’єкта В і узгодженість значень F(r_A, д) і F(r_B, д) зі значеннями, якими обмінювалися на попередніх кроках. Якщо перевірки успішні, В ве­рифікує криптографічне контролювальне значення f_KAB(DB₂) з використанням

К_АВ= F(r_B, F(r_A, g)).

Примітка. Цей механізм узгодження ключа має такі властивості:

1. Число проходів: 3.

2. Автентифікація ключа і суб’єкта: цей механізм забезпечує взаємну явну автентифікацію ключа і взаємну автенти- фікацію суб'єктів.

3. Підтвердження ключа: механізм забезпечує взаємне підтвердження ключа

4. Це механізм узгодження ключа внаслідок того, що встановлений ключ є односпрямованою функцією випадкових чисел г_д і г_в постачених, відповідно, А і б. Однак, внаслідок того, що суб'єкт б може знати F(r_A, д), перед тим, як обрати зна­чення г_в, суб’єкт б може обрати орієнтовно s бітів ключа, що встановлюється, за рахунок генерації 2^! пробних значень г_в за час від одержання КТ_Л, до надсилання КТ_в1.

5. Приклад: приклад цього механізму узгодження ключа може бути забезпечений за схемою Діффі-Гелмана, яку наве­дено в додатку В у поєднанні зі схемою цифрового підпису, наприклад, з ISO/ІЄС 9796.

6. Стандарти: цей механізм задовольняє ISO/IEC 9798-3 Автентифікація суб’єктів із використанням алгоритмів із відкритим ключем. КТді, КТ₈, і КТ_Д2 тотожні з маркерами, які надсилають у трипрохідному механізмі, наведеному в 5.2.2 ISO/IEC 9798-3. Також тотожні поля даних із такою заміною використання:

— випадкове значення функції Е(г*, д) міститься в полі даних (присутнє у всіх трьох маркерах ISO/IEC 9798-3, під­розділ 5.2.2)

— випадкове значення функції F(r_B, д) міститься в полі даних R_B(присутнє у всіх трьох маркерах ISO/IEC 9798-3, під­розділ 5.2.2).

7. Сертифікати відкритих ключів: якщо кожен з Textl і Text3 (або Text5 і Text3) містять сертифікат відкритого ключа суб'єктів А і б, відповідно, то вимога 2 на початку цього розділу може бути послаблена до вимоги, що кожен суб’єкт володіє автентифікованою копією відкритого ключа верифікації суб'єкта СА.

8. Перетворення підписування: якщо використовують механізм із ґешованим текстом, нема потреби надсилати F(r_A, д) і (або) F(r_B, д) в маркері ключа КТ_В1. Аналогічно, нема потреби надсилати ні F(r_A, д), ні F(r_a, дв маркері ключа КТ_Д2. Однак, необхідно потурбуватися, щоб випадкові номери були включені до обчислювання відповідних підписів.

7 ПЕРЕДАВАННЯ ТАЄМНОГО КЛЮЧА

У цій частині стандарту передавання ключа є процесом пересилання таємного ключа, обра­ного одним суб’єктом (або довірчим центром) іншому суб’єкту, відповідним чином захищеним аси­метричним методом.

Примітка. У практичному запроваджені механізму передавання ключа блок даних ключа може підлягати додатковому оброблянню перед його використанням для зашифровування. Наприклад, блок даних ключа може бути спотвореним (псев­до-) випадковим бітовим шаблоном, щоб розрушити будь-яку очевидну структуру блока даних ключа.

Цей механізм передавання ключа пересилає за один прохід таємний ключ від суб'єкта А до суб’єкта В з неявною автентифікацією ключа від В до Д. Повинні задовольнятися такі вимоги:

1. Суб’єкт В має асиметричну систему шифрування (Е_в, D_B).

2. А має доступ до автентифікованої копії відкритого перетворення зашифрування Е_в суб’єкта В. Цього можна досягти використанням механізмів розділу 8.

3. Необов’язковий TVP може бути або позначкою часу, або порядковим номером. Якщо вико­ристовують позначки часу, то суб'єкти Д і В повинні вести синхронні годинники або використову­вати третю довірчу сторону, повноважного позначальника часу. Якщо використовують порядкові номери, А і В повинні вести двосторонні лічильники.

к

І

К

Розбирання
маркера ключа

(В1)

і

к

КТ_А1 ►

онструювання
маркера ключа
(Д1)

Рисунок 8 — Передавання ключа, механізм 1

Конструювання ключа (А1)

А отримав ключ К і хоче надійно передати його В. А конструює блок даних ключа, який скла­дається з розрізнювального ідентифікатора А (необов’язково), ключа К, необов’язкового TVP і необов’язкового поля даних Textl. Потім А зашифровує блок даних ключа з використанням відкри­того перетворення зашифрування одержувача Е_в і надсилає до В маркер ключа 1

4КТ_Л1 = Е_е(Д||К||Л/Р||7ехГ7)|| Text2.

Розбирання маркера ключа (S1)

В розшифровує одержаний маркер ключа КТ_Л1 із використанням свого приватного перетво­рення розшифровування D_B, відновлює ключ К, контролює необов’язковий TVP і пов’язує віднов­лений ключ К із заявленим автором А.

Примітка. Цей механізм передавання ключа має такі властивості:

1. Число проходів: 1.

2. Автентифікація ключа: цей механізм забезпечує неявну автентифікацію ключа від В до А внаслідок того, що лише В має можливість відновити ключ К.

3. Підтвердження ключа: цей механізм не забезпечує підтвердження ключа.

4. Керування ключем: А може вибирати ключ.

5. TVP: необов’язковий TVP запобігає повторенню маркера ключа.

6. Використання ключа: внаслідок того, що В одержує ключ К від неавтентифікованого суб'єкта А, безпечне викорис­тання К суб’єктом В обмежене функціями, які не вимагають довіри до автентичності А, такі як розшифровування і генеру­вання коду автентифікації повідомлення.

7. Приклад: приклад цього механізму (відомий як пересилання ключа за ЕльГамалем) наведений в В.8. Інший приклад цього механізму з використанням RSA наведений в В.10.