ANALISI DEL PROTOCOLLO SRP (SECURE REMOTE PASSWORD)

Client Attaccante Server
K S1 = (Ω AB ) a
A
−→
Ω
←−
AB
Ω AB = g i
K S1 = A i
K S2 = B i
Ω AB
−→
B
←−
K S2 = (Ω AB ) b
Tabella 2: Man-in-the-middle attack nel Diffie-Hellman Key Exchange: le operazioni si intendono modulo n.
Clogging Attacks Un altro problema dello schema
Diffie-Hellman è la vulnerabilità ai cosiddetti Clogging
Attacks, ovvero i casi in cui un attaccante sommerga
una delle parti con richieste contenenti i valori
A ′ o B ′ ottenuti da esponenziazione discreta. In questo
modo il ricevente è costretto a rispondere, calcolando
la chiave di sessione per ogni richiesta, sprecando
risorse di calcolo.
Replay Attacks Così come è definito, lo schema
Diffie-Hellman non offre protezione da attacchi di tipo
Replay, ovvero in cui un attaccante utilizzi i dati
di una precedente comunicazione tra client e Server
per tentare successivamente di impersonare una delle
parti.
2.3 Sicurezza dei parametri
L’utilizzo della funzione di esponenziazione discreta
in sistemi basati sullo schema Diffie-Hellman pone
degli interrogativi sulla corretta scelta dei parametri,
in particolare di g ed n. Si parla in questo caso di sicurezza,
poichè, senza un controllo sulle caratteristiche
dei valori, si rende praticabile ad un attaccante la possibilità
di ottenere la chiave simmetrica [9, Chapter
12].
2.3.1 Requisiti matematici
Il primo aspetto legato alla sicurezza di un protocollo
basato sullo schema DH è che le parti in comunicazione
possano verificare l’aderenza ai requisiti
matematici di n e g, ovvero:
• la primalità di n;
• che n verifichi le proprietá di safe prime 1 ;
• che g sia effettivamente una radice primitiva per
n.
1 Cioé che n sia un numero primo sufficientemente
grande e nella forma 2q + 1, con q anch’esso primo.
Questi tipi di test sono peró computazionalmente
molto onerosi, di conseguenza, nell’utilizzo pratico,
si pone come requisito l’appartenenza ad un insieme
predefinito di valori che già verificano le proprietà
richieste. Si veda ad esempio [13].
2.3.2 Dimensione di n
Il secondo aspetto è quanto grande debba essere n e,
di conseguenza, il numero di bit con cui lo si andrà
a rappresentare. Si è visto, infatti, che l’esponenziazione
discreta fonda la sua one-wayness sull’impraticabilità
di effettuare i tentativi necessari per calcolare
il logaritmo discreto (si veda l’esempio al paragrafo
2.1): questo è fortemente dipendente dalla grandezza
di n che, ai fini pratici, si lega al numero di bit che lo
rappresentano.
Le usuali stime di sicurezza sulla lunghezza delle
chiavi crittografiche simmetriche (tipicamente di 128
o 256 bit) non si possono applicare a questo contesto,
in quanto le operazioni di esponenziazione sono
molto più lente per un calcolatore rispetto a quelle di
encryption. Infatti, obbligare un attaccante a 2 128 tentativi
per attaccare lo schema Diffie-Hellman richiede
circa 6800 bit per n [9].
Una autorevole pubblicazione in cui si affronta
questo problema è [15], dalla cui lettura ci si può convincere
che una dimensione di 2048 bit dovrebbe essere
il minimo assoluto e che l’utilizzo di 4096 bit
offra un adeguato livello di sicurezza.
3 Schema generale di SRP
SRP si ispira ad un schema pubblicato in [3] e
formalmente noto come EKE (Encrypted Key Exchange).
Da questo schema sono stati derivati poi
principalmente il protocollo DH-EKE (Diffie Hellman
EKE), e lo schema AKE (Asymmetric Key
Exchange), che è una generalizzazione di SRP.
In SRP viene adottata una forma del Diffie-
Hellman Key Exchange a cui si aggiunge un mecca-
4