오트웨이-리스 프로토콜

오트웨이-리스 프로토콜(Otway-Rees Protocol)은 두 통신 당사자가 각자 비밀키를 공유한 신뢰하는 서버(키 분배 센터)를 통해 세션 키를 나눠 받는 대칭키 기반 키 분배·인증 프로토콜이다.

개요

1987년 데이브 오트웨이(Dave Otway)와 오언 리스(Owen Rees)가 발표했다. 니덤-슈로더 프로토콜처럼 A 와 B 는 각자 서버 S(KDC)와만 비밀키 K_AS, K_BS 를 공유하고, 세션 키 K_AB 는 서버가 만든다. 다른 점은 A 가 서버에 직접 요청하지 않고 B 에게 먼저 보내며, B 가 두 사람 몫의 요청을 묶어 서버에 전달한다는 것이다. 한 번의 실행을 가리키는 공통 식별자 M 을 모든 메시지에 넣어, 서로 다른 실행의 메시지를 섞어 쓰는 재전송을 어렵게 했다.

절차

N_A, N_B 는 한 번만 쓰는 난수(nonce), {…}K 는 키 K 로 암호화한 것이다.

A → B : M, A, B, {N_A, M, A, B}K_AS
B → S : M, A, B, {N_A, M, A, B}K_AS, {N_B, M, A, B}K_BS
S → B : M, {N_A, K_AB}K_AS, {N_B, K_AB}K_BS
B → A : M, {N_A, K_AB}K_AS

메시지는 네 개다. 서버는 B 하고만 통신한다
A 와 B 는 자기가 보낸 난수가 되돌아온 것을 보고 세션 키가 이번 실행에서 새로 만들어졌음을 확인한다
니덤-슈로더의 마지막 두 단계(B 가 세션 키로 난수를 보내고 A 가 N_B-1 로 답하는 확인)가 없다. 그래서 상대가 실제로 세션 키를 가졌는지는 이후 통신에서야 드러난다

약점

1번 메시지의 (M, A, B) 를 세션 키 자리로 착각하게 만드는 유형 혼동 공격(type flaw attack)이 알려져 있다. 메시지 필드의 형식을 구분하지 않고 구현하면 공격자가 1번 메시지의 일부를 4번 메시지처럼 돌려보내 A 가 공개된 값을 세션 키로 받아들이게 할 수 있다

비슷한 프로토콜과 구분

프로토콜	메시지 흐름	특징
니덤-슈로더(대칭키)	A → KDC → A → B → A → B (5단계)	A 가 KDC 에 자기 난수와 두 ID 를 보내고, 티켓을 받아 B 에게 넘긴다. 마지막에 B 의 난수 N_B 와 N_B-1 로 서로 확인한다. 옛 세션 키가 새면 재전송 공격에 약하다
오트웨이-리스	A → B → S → B → A (4단계)	B 가 요청을 묶어 서버에 보낸다. 공통 식별자 M 을 쓴다
커버로스	인증 서버 → 티켓 발급 서버 → 서비스 서버	니덤-슈로더에 타임스탬프와 유효 기간을 더했다. 티켓 발급 티켓(TGT)으로 여러 서비스에 한 번 로그인한다
디피-헬먼 키 교환	A ↔ B	서버 없이 두 사람이 각자 계산해 같은 키를 만든다. 인증이 없어 중간자 공격에 약하다

같이 보기