Реализация EKE с помощью Diffie-Hellman

При использовании протокола Diffie-Hellman Kгенерируется автоматически. Окончательный протокол еще проще. Значения gи nопределяются для всех пользователей сети.

(1) Алиса выбирает случайное число r_Aи посылает Бобу

A, mod n

При использовании Diffie-Hellman Алисе не нужно шифровать с помощью P свое первое сообщение.

(2) Боб выбирает случайное число r_Bи вычисляет

K= mod n

Он генерирует случайную строку R_B, затем вычисляет и посылает Алисе:

E_Р( mod n),E_K(R_B)

(3) Алиса расшифровывает первую половину сообщения Боба, получая mod n. Затем она вычисляет Kи использует его для шифрования R_B. Она генерирует другую случайную строку R_A,, шифрует обе строки ключом K и посылает результат Бобу.

E_K(R_A,,R_B)

(4) Боб расшифровывает сообщение, получая R_A, и R_B. Если полученная от Алисы строка R_B совпадает с той, которую он посылал ей на этапе (2), он шифрует R_A ключом Kи посылает результат Алисе.

E_K(R_A)

(5) Алиса расшифровывает сообщение, получая R_A. Если полученная от Боба строка R_A совпадает с той, которую она посылала Бобу на этапе (3), протокол завершается. Теперь стороны могут обмениваться сообщениями, используя K в качестве сеансового ключа .

Усиление EKE

Белловин (Bellovin) и Мерритт (Merritt) предложили улучшение запросно-ответной части алгоритма, которое позволяет избежать возможного вскрытия при обнаружении криптоаналитиком старого значения K.

На базовый протокол EKE. На этапе (3) Алиса генерирует другое случайное число S_Aи посылает Бобу

E_K(R_A, S_A)

На этапе (4), Боб генерирует другое случайное число S_Bи посылает Алисе

E_K(R_A,,R_B,S_B)

Теперь Алиса и Боб могут вычислить истинный сеансовый ключ, S_A Å S_B. Этот ключ в дальнейшем используется для сообщений, которыми обмениваются Алиса и Боб, Kиспользуется в качестве ключа обмена ключами.

Посмотрим на уровни защиты, предоставляемые EKE. Восстановленное значение Sне дает Еве никакой информации о P, так как Pникогда не используется для шифрования чего-то такого, что ведет непосредственно к S. Криптоаналитическое вскрытие Kтакже невозможно, Kиспользуется только для шифрования случайных данных, а Sникогда не шифруется отдельно.

Расширенный EKE

Применения EKE

Белловин и Мерритт предлагают использовать этот протокол для безопасной телефонной связи [109]:

Предположим, что развернута сеть шифрующих телефонных аппаратов. Если кто-нибудь хочет воспользоваться таким телефоном, то понадобится определенная ключевая информация. Общепринятые решения. . . требуют, чтобы у звонящего был физический ключ. Во многих ситуациях это нежелательно. EKE позволяет использовать короткий, вводимый с клавиатуры пароль, обеспечивая гораздо более длинный сеансовый ключ.

EKE мог бы быть полезен и для сотовой связи. Мошенничество представляет собой большую проблему сотовой телефонии, EKE может помочь защититься от него (и обеспечить закрытость звонка) за счет продажи телефонов, бесполезных без введения PIN-кода. Так как PIN-код не хранится в телефоне, его невозможно извлечь из украденного экземпляра.

Главная сила EKE состоит в том, что криптография с открытыми ключами и симметричная криптография объединяются и усиливают друг друга:

В общей перспективе EKE работает как усилитель секретности. То есть, его можно использовать для усиления сравнительно слабых симметричных и асимметричных систем, используемых вместе. Рассмотрим, например, размер ключа, необходимый для обеспечения безопасности при использовании обмена ключом - показателем степени. Как показали ЛаМачча (LaMacchia) и Одлыжко (Odlyzko) [934], даже модули с размерами, считавшимися безопасными, (а именно, 192 бита) чувствительны к вскрытию, занимающему несколько минут компьютерного времени. Но их вскрытие становится невозможным, если необходимо перед применением вскрытия угадать пароль.

С другой стороны, сложность вскрытия обмена ключами - показателями степени может быть использована для срыва попыток угадать пароль. Возможность вскрытия угадыванием пароля зависит от скорости проверки каждого предположения. Если для выполнения такой проверки необходимо выполнить обмен ключами - показателями степени, то общее время эффектно возрастает.

EKE запатентован [111].