Nøkkeldistribusjonsproblemet

Symmetrisk kryptografi krever at partene deler en hemmelig nøkkel. Med $n$ parter trengs $\binom{n}{2} = n(n-1)/2$ nøkler for parvise kommunikasjoner — eksponentielt ugjørlig i stor skala. Løsninger:

Key Distribution Center (KDC): En betrodd tredjepart deler langtids-nøkkel med hver part. KDC genererer sesjons-nøkler.
Offentlig-nøkkel kryptografi: Ingen forhåndsavtalt hemmelighet nødvendig.
Diffie-Hellman med autentisering: Nøkkelutveksling over usikker kanal + sertifikater for autentisering.

Kerberos

Kerberos er et nettverksautentiseringsprotokoll basert på symmetrisk kryptografi og en betrodd tredjepart (KDC). Brukes i Windows Active Directory.

Komponenter: KDC = Authentication Server (AS) + Ticket Granting Server (TGS).

Protokollflyt:

$C \to AS$: Klientens identitet (klartekst)
$AS \to C$: $\{k_{C,TGS}\}_{k_C}$ + TGT $= \{k_{C,TGS}, C, \text{tid}\}_{k_{TGS}}$
$C$ dekrypterer med $k_C$ (avledet fra passord), henter $k_{C,TGS}$ og TGT
$C \to TGS$: TGT + tjeneste-ID + autentikator $= \{C, \text{tid}\}_{k_{C,TGS}}$
$TGS \to C$: $\{k_{C,S}\}_{k_{C,TGS}}$ + Service ticket $= \{k_{C,S}, C, \text{tid}\}_{k_S}$
$C \to S$: Service ticket + autentikator $= \{C, \text{tid}\}_{k_{C,S}}$
$S \to C$: Bekreftelse $\{\text{tid}+1\}_{k_{C,S}}$ (valgfri gjensidig autentisering)

Kerberos bruker tidsstempler mot replay-angrep. Biletter har begrenset levetid (typisk 8 timer for TGT).

Passordhashing

Passord bør aldri lagres i klartekst. Riktig praksis:

Salt: Tilfeldig verdi konkatenert med passordet før hashing. Forhindrer rainbow table-angrep og sikrer at like passord gir ulike hashes.
Slow hash-funksjoner: bcrypt, Argon2, scrypt. Bevisst trege (kostbare) for å gjøre offline brute-force upraktisk.

Lagre: $\{\text{salt}, H\}$ der $H = \text{bcrypt}(\text{passord} \| \text{salt}, \text{kostnadsfaktor})$. Verifiser: beregn $H' = \text{bcrypt}(\text{input} \| \text{salt}, \text{kostnadsfaktor})$, sjekk $H' = H$.

Challenge-response autentisering

Unngår å sende passord i klartekst:

Server sender tilfeldig nonce $r$
Klient sender $\text{HMAC}_k(r)$ (der $k$ er avledet fra passord)
Server verifiserer med kjent $k$

Forhindrer replay (ny nonce per økt) og eavesdropping (passord sendes aldri direkte).

Flerfaktorautentisering (MFA)

MFA kombinerer to eller flere faktorer:

Noe du vet: Passord, PIN
Noe du har: TOTP-app (Google Authenticator), hardware token (YubiKey/FIDO2)
Noe du er: Biometri (fingeravtrykk, ansikt)

TOTP (Time-based One-Time Password): $\text{token} = \text{HMAC-SHA1}(k, \lfloor t/30 \rfloor)$ forkortet til 6 sifre (RFC 6238). Delt hemmelighet $k$ mellom klient og server.

Nøkkeletableringsprotokoller og typiske angrep

Server-baserte nøkkeltransport-protokoller (Needham–Schroeder-familien) sender en sesjonsnøkkel $K_{AB}$, valgt av en betrodd server $S$, til to parter via nøkkelkryptering med langtidsnøkler $K_{AS}, K_{BS}$. Sikkerheten hviler på at hver part sjekker nonces og identiteter i mottatte meldinger. Standard angrepermodell: angriperen kontrollerer nettverket og kan fange opp, forsinke og videresende (replaye) alle tidligere meldinger, men kan ikke gjette nonces eller hente ut langtidsnøkler.

Eksempel 1 — Hvorfor sjekke nonce og identitet? (klassisk skriftlig oppgave)

I en reparert Needham–Schroeder-protokoll mottar $A$ til slutt $\{N_A, ID_A, ID_B, K_{AB}\}_{K_{AS}}$. Hva går galt hvis $A$ ikke sjekker at $N_A$ er den samme noncen hun valgte?

Uten nonce-sjekk kan angriperen replaye en gammel melding fra en tidligere kjøring og tvinge $A$ til å godta en gammel (muligens kompromittert) sesjonsnøkkel $K_{AB}^{gammel}$. Noncen binder svaret til DENNE kjøringen og gir ferskhetsgaranti mot replay.

Tilsvarende: hvis $B$ ikke sjekker at $ID_A$ er konsistent gjennom meldingene, kan angriperen bytte identiteten slik at $B$ tror nøkkelen deles med $C$ i stedet for $A$. Brukes plain strømchiffer (ikke autentisert kryptering) kan angriperen i tillegg flippe kjente felt: $ID_B \oplus ID_C$ endrer mottakeridentiteten — derfor må slike meldinger autentiseres (AEAD).

Studieguide: Nøkkelhåndtering og autentisering

Studieguide: Nøkkelhåndtering og autentisering