Simples Key-Management para Internet Protocol - Simple Key-Management for Internet Protocol

Simples Key-Management para Internet Protocol ou SKIP era um protocolo desenvolvido por volta de 1995 pelo IETF Grupo de Trabalho de Segurança para o compartilhamento de chaves de criptografia . SKIP e Photuris foram avaliadas como mecanismos de troca de chaves para IPsec antes da adopção de IKE em 1998.

Ir é híbrido chave distribuição protocolo simples de gerenciamento de chaves para Internet Protocols (SKIP) é semelhante ao SSL, exceto que ele estabelece uma chave de longo prazo uma vez, e, em seguida, não requer nenhuma comunicação prévia, a fim de estabelecer ou chaves de câmbio em uma sessão-a-passo base sessão. Portanto, nenhuma sobrecarga de configuração da conexão existe e novos valores de chaves não são continuamente gerados. SKIP usa o conhecimento de seu próprio componente chave ou privada secreta e componente pública do destino para calcular uma chave única que só pode ser usado entre eles.

componente pública de cada lado pode ser definida como p mod gx, onde x é o componente privada. Neste sistema, g é o gerador e p é um número primo que é utilizado como o módulo (mod). g e p são valores conhecidos para ambas as partes fixas.

O primeiro nó é chamado de nó I. Nó I tem um componente pública Ki e um componente privado i. O segundo nó é chamado nó J. nó j tem um componente pública Kj e um componente j privada.

componente pública cada nó é distribuído na forma de um certificado. Eles são conectados por uma rede não segura.

Como o nó I conhece a sua própria componente privada e componente pública do nó J, ele pode usar os dois componentes para calcular uma chave única que só os dois pode saber.

Nota - Este segredo compartilhado está implícita. Ele não precisam ser comunicadas de forma explícita a qualquer diretor. Cada diretor pode calcular este segredo com base no conhecimento da identidade da outra principal e certificado de chave pública. O segredo compartilhado é calculado usando o algoritmo de Diffie-Hellman bem conhecido.

Este segredo de longo prazo mutuamente autenticada é usado para derivar uma chave, que é denotada Kij em SKIP Versão 1 e Kijn em SKIP, n é um número derivado de um contador de cada vez maior que é chamado de "balcão n."

Nota - Em SKIP, a chave mestra não é usado diretamente, mas é hash juntamente com alguns outros dados para produzir a chave.

A chave é derivado, tendo os bits de tamanho de chave de ordem inferior gij mod p. A chave Kij ou Kijn é utilizada como um mestre ou key-cifrar para fornecer encriptação e autenticação baseado em pacotes IP. Um pacote IP indivíduo é criptografada (ou autenticada) usando uma chave de pacotes gerada aleatoriamente denotado como Kp.

A chave do pacote é, por sua vez criptografada usando Kij ou Kijn. Desde Kij ou Kijn pode ser armazenada em cache para a eficiência, que permite o tráfego (isto é, pacotes) chaves de ser modificado muito rapidamente (se necessário, mesmo em uma base per-packet), sem incorrer a sobrecarga computacional de uma operação de chave pública.

Além disso, uma vez que as teclas são comunicadas nos próprios pacotes, não há necessidade de incorrer em despesas gerais e a complexidade de uma camada de pseudo-sessão debaixo IP. Figura B-5 mostra um pacote IP encriptada, utilizando o processo de encriptação de dois passos descrito acima.

Figura B-5 encriptada Packet

Quando um nó recebe este pacote criptografado, ele procura o certificado do remetente. Usando este e uma chave privada de longo prazo do nó receptor, o nó receptor pode calcular Kij ou Kijn. Usando Kij ou Kijn, o nó receptor pode descodificar Kp e, por conseguinte, desencriptar o pacote.

Embora não exista uma chave de pacotes em cada pacote, não é necessário alterar a chave em cada pacote. As chaves podem ser alteradas tão frequentemente como desejado com base em políticas de gerenciamento de chaves aplicadas no local.

Zero-mensagem de atualização Chave-Mestra

A seção anterior descreve como os nós pode calcular uma chave de longo prazo, Kij ou Kijn. A alteração desta chave exige a emissão de um novo certificado para um ou outro diretor.

Há duas razões desejáveis ​​para atualizar a chave mestra. A primeira é que ele minimiza a exposição de qualquer determinada chave-chave encriptação, tornando criptoanálise mais difícil. Em segundo lugar, atualizando a chave mestra impede a reutilização de chaves de tráfego comprometidos (PK). Se uma chave de tráfego usado para autenticação de pacotes nunca ser comprometida (por qualquer motivo), então ele não pode ser usado para enviar o tráfego forjado desde a criptografia de Kp no âmbito do actual Kij ou Kijn não é conhecido.

A chave mestra é atualizado através do envio de um contador (digamos n) no pacote que apenas incrementos e nunca é diminuída. A chave Kij torna-se uma função de esse contador n, como segue:

Kijn = h(Kij, n) 

em que h é uma função pseudo-aleatórios, tais como MD5.

Uma segunda característica do contador incrementado é que ele evita a reprodução de granulação grossa de tráfego. Uma vez que as chaves mestras são atualizados, o tráfego que tenha sido criptografado ou autenticada com a ajuda de chaves mestras anteriores não podem ser reproduzidos.

Em SKIP, os incrementos de N-counter uma vez por hora. Começou a zero em 1 de Janeiro de 1995, 00:00:00 GMT.

resumo

Este apêndice discutidas as ideias essenciais para a compreensão de como SKIP obras em mais detalhes. Ele descreveu como SunScreen SKIP lida com chaves e certificados com e sem CA; examinou como o algoritmo de criptografia opera; listados que serviços importantes SunScreen SKIP fornece; e apresentou uma visão geral da arquitetura SunScreen SKIP.

Referências

http://docs.oracle.com/cd/E19957-01/805-5743/6j5dvnrfs/index.html