[论文解读] A Semi-Decidable Procedure for Secrecy in Cryptographic Protocols

Jaouhar Fattahi, Mohamed Mejri+1 more|arXiv (Cornell University)|Aug 12, 2014

Advanced Authentication Protocols Security参考文献 15被引用 3

一句话总结

本文提出了一种名为Witness-Functions的新颖半可判定方法，用于通过在基于角色的规范中追踪衍生消息的安全级别增长，分析密码协议的机密性。该方法避免了先前工作中对全不变性替换条件的严格限制，从而扩大了适用范围，并成功验证了NSL协议的机密性，同时揭示了一个Needham-Schroeder协议变体中的缺陷。

ABSTRACT

In this paper, we present a new semi-decidable procedure to analyze cryptographic protocols for secrecy based on a new class of functions that we call: the Witness-Functions. A Witness-Function is a reliable function that guarantees the secrecy in any protocol proved increasing once analyzed by it. Hence, the problem of correctness becomes a problem of protocol growth. A Witness-Function operates on derivative messages in a role-based specification and introduces new derivation techniques. We give here the technical aspects of the Witness-Functions and we show how to use them in a semi-decidable procedure. Then, we analyze a variation of the Needham-Schroeder protocol and we show that a Witness-Function can also help to teach about flaws. Finally, we analyze the NSL protocol and we prove that it is correct with respect to secrecy.

研究动机与目标

• 解决现有机密性分析方法的局限性，这些方法依赖于解释函数中全不变性替换等严格条件。
• 开发一种更灵活且广泛适用的方法，用于证明密码协议中的机密性，而无需使用CSP或强类型等复杂形式化体系。
• 通过分析衍生消息中安全级别的增长，实现对协议正确性与缺陷的检测。
• 提供一种基于新一类函数——Witness-Functions的半可判定过程，该函数提供与替换无关的安全性边界。

提出的方法

• 引入Witness-Functions作为衡量标准，用于估计消息的安全级别，其作用于从广义协议角色派生出的衍生消息。
• 依赖于Witness-Functions提供的两个与替换无关的边界，从而消除了先前方法中所需的全不变性替换属性。
• 采用包含变量的基于角色的协议规范，并通过新的推导技术派生消息，以追踪安全级别。
• 应用定理7.1定义半可判定的机密性分析过程，其中正确性通过验证安全级别在协议步骤间不发生衰减来确定。
• 在包含等式理论、入侵者推理规则和基于格的安全级别结构的验证上下文中，建模消息可推导性与机密性。
• 通过分析一个存在缺陷的Needham-Schroeder协议变体和NSL协议，验证了该方法，展示了缺陷检测与正确性证明的双重能力。

实验结果

研究问题

• RQ1 能否定义一类新函数，使半可判定的机密性分析无需依赖全不变性替换属性？
• RQ2 如何系统地推导并利用衍生消息，以在基于角色的协议规范中追踪安全级别增长？
• RQ3 Witness-Functions能否检测出密码协议中的缺陷与正确性，特别是在知名协议的变体中？
• RQ4 与现有基于解释函数的方法相比，该方法在多大程度上可推广至覆盖更广泛的协议？

主要发现

• 通过Witness-Function方法，NSL协议在机密性方面被正式验证为正确，完全符合定理7.1。
• 对Needham-Schroeder协议的一个变体进行分析后发现，其nonce $N_B^i$ 的安全级别出现衰减，该缺陷通过Witness-Function对消息派生过程的追踪被成功检测。
• 该方法成功避免了严格的全不变性替换条件，使得可定义多个可靠的函数，而先前方法仅限于两个（DEK和DEKAN）。
• Witness-Functions提供两个与替换无关的边界，与早期方法相比，显著降低了函数构造与验证的复杂度。
• 基于Witness-Functions的半可判定过程在缺陷检测与正确性证明两方面均有效，已在实际协议实例中得到验证。
• 该方法比秩函数方法（如Schneider的方法）更具灵活性，且无需消息类型或CSP等复杂形式化体系。