Protocolo de Needham-Schroeder

El protocolo de Needham-Schroeder se refiere a uno de los dos protocolos de comunicación para uso sobre una red insegura, ambos propuestos por Roger Needham y Michael Schroeder en un artículo en 1978. Ellos son: En este caso, Alice (A) inicia una comunicación con Bob (B). De esta manera, El protocolo puede especificarse mediante la notación de protocolos de seguridad de la siguiente manera: A → S : A , B , N A {\displaystyle A\rightarrow S:A,B,N_{A}} S → A : { N A , K A B , B , { K A B , A } K B S } K A S {\displaystyle S\rightarrow A:\{N_{A},K_{AB},B,\{K_{AB},A\}_{K_{BS}}\}_{K_{AS}}} A → B : { K A B , A } K B S {\displaystyle A\rightarrow B:\{K_{AB},A\}_{K_{BS}}} B → A : { N B } K A B {\displaystyle B\rightarrow A:\{N_{B}\}_{K_{AB}}} A → B : { N B − 1 } K A B {\displaystyle A\rightarrow B:\{N_{B}-1\}_{K_{AB}}} Para que este protocolo pueda ser usado, es necesario exigir que el método de cifrado usado no sea maleable. Esto se debe a que si el cifrado es maleable entonces el último paso, la comprobación de que Alice conoce la clave realizando un cifrado sobre el nonce, no es válida. Si por ejemplo el cifrado es one-time-pad y N es impar, cualquiera puede hallar el { N B − 1 } K A B {\displaystyle \{N_{B}-1\}_{K_{AB}}} simplemente cambiando el último bit. Este protocolo es vulnerable a un ataque de replay. Si un atacante almacena los mensajes de este protocolo y luego descubre el valor KAB que fue usado, puede volver a enviarle el mensaje { K A B , A } K B S {\displaystyle \{K_{AB},A\}_{K_{BS}}} a Bob, quien lo aceptará y no será capaz de decir si la clave es reciente o no (a no ser que lleve un registro de todas las claves que él usó). Este fallo se resuelve en el protocolo Kerberos mediante la inclusión de un timestamp. Este protocolo asume el uso de un algoritmo de cifrado de clave pública. En este caso, Alice (A) y Bob (B) interactúan junto con un servidor de confianza (S) para la distribución de claves públicas a pedido.