¿Por qué no puedo mitigar un intercambio de claves Diffie-Hellman?

Diffie-Hellman es un protocolo de intercambio de claves, pero no hace nada con respecto a la autenticación.

Hay una forma conceptual de alto nivel para ver eso. En el mundo de las redes de computadoras y la criptografía, todo lo que puede ver, en realidad, son ceros y unos enviados a través de algunos cables. Las entidades pueden distinguirse entre sí únicamente por los ceros y los que pueden o no pueden enviar. Por lo tanto, el usuario "Bob" está realmente definido solo por su capacidad para computar cosas que los que no son Bobs no pueden computar. Como todos pueden comprar las mismas computadoras, Bob solo puede ser Bob por su conocimiento de algún valor que solo Bob conoce.

En el intercambio Diffie-Hellman sin procesar que presentas, hablas con una entidad que se supone genera un valor secreto aleatorio sobre la marcha y lo usas. Todo el mundo puede hacer tal generación aleatoria. En ninguna parte del protocolo hay una operación que solo un Bob específico pueda hacer. Por lo tanto, el protocolo no puede lograr ningún tipo de autenticación, no sabes con quién estás hablando. Sin autenticación, la suplantación es factible, y eso incluye la doble suplantación simultánea, mejor conocida como Man-in-the-Middle . En el mejor de los casos, Diffie-Hellman sin formato ofrece una característica más débil: aunque no sabe con quién está hablando, aún sabe que está hablando con la misma entidad durante la sesión.

Un solo algoritmo criptográfico no lo llevará lejos; cualquier protocolo de comunicación significativo ensamblará varios algoritmos para que se logren algunas características de seguridad definidas. Un buen ejemplo es SSL / TLS ; otra es SSH . En SSH, se usa un intercambio de claves Diffie-Hellman, pero la parte pública del servidor (su g^b mod p ) está firmado por el servidor. El cliente sabe que habla con el servidor correcto porque el cliente recuerda (de un paso de inicialización anterior) la clave pública del servidor (generalmente de tipo RSA o DSA); En el modelo explicado anteriormente, los servidores legítimos se definen y distinguen de los imitadores por su conocimiento de la clave privada de firma correspondiente a la clave pública recordada por el cliente. Esa firma proporciona la autenticación; El Diffie-Hellman luego produce un secreto compartido que se usará para cifrar y proteger todos los intercambios de datos para esa conexión (utilizando un cifrado simétrico y algoritmos MAC).

Por lo tanto, si bien Diffie-Hellman no hace todo lo que necesita por sí solo, sigue ofreciendo una característica útil, a saber, un intercambio de claves , que no obtendrías de firmas digitales, y que proporciona el secreto compartido temporal necesario para cifrar los datos realmente intercambiados.

Tom ha proporcionado una buena explicación de por qué Diffie-Hellman no puede estar a salvo contra el hombre en el medio. Ahora, esto responde a la pregunta original del OP, pero probablemente deja a algunos lectores con la pregunta de seguimiento (razonable): ¿Por qué no solo usamos la criptografía de clave pública (asimétrica) para garantizar la confidencialidad de nuestros mensajes, y eliminamos D-H por completo? Hay algunas razones para no hacer esto:

• Hay algoritmos que solo admiten la firma, pero no el cifrado de mensajes (ECDSA, por ejemplo)
• El cifrado y descifrado simétrico es mucho más rápido que hacerlo de forma asimétrica
• Probablemente, lo más importante es que queremos asegurarnos de secreto de reenvío . Después de todo, no es imposible que la clave privada de uno de sus socios de comunicación se vea comprometida en algún momento. Ahora, si solo confiaste en el cifrado asimétrico, todos los mensajes que enviaste a ese compañero podrían ser descifrados por el atacante en retrospectiva. Por el contrario, si usamos Diffie-Hellman y, para ser precisos, Diffie-Hellman efímero , generamos un nuevo par de claves DH para cada sesión de comunicación y lo desechamos (= no lo almacenemos) después , lo que significa que es imposible descifrar nuestros mensajes más adelante.

Después de un intercambio de clave DH, ambas partes saben qué clave han computado. Si ningún hombre en el medio se ha infiltrado en la conexión, ambas partes tendrán la misma clave. Si la conexión ha sido interrumpida, tendrán claves diferentes. Si hay un medio por el cual una parte puede preguntar a la otra qué clave está usando, el intermediario solo podrá permanecer sin ser detectado si es capaz de responder de la misma manera que lo haría la parte legítima. Si bien a menudo se responde a la pregunta con una firma digital, para dificultar la suplantación, la pregunta también se puede hacer / responder a través de cosas como la comunicación por voz. Si una aplicación de voz muestra a los participantes la clave de cifrado actual y un participante selecciona arbitrariamente un rango y una estrella de cine popular (por ejemplo, Marilyn Monroe), y le pide a la otra que lea los dígitos del quince al veinticinco en su mejor voz de Marilyn Monroe, un el participante real que tenga los números frente a él podría hacerlo de manera rápida y fluida y, en ausencia de un ataque MITM, los dígitos coincidirían con los que vio la primera parte. Un atacante de hombre en el medio no tendría ningún problema en detectar la pregunta y, dado el tiempo, podría falsificar un archivo de voz del comunicante legítimo haciendo una mala imitación de Marilyn Monroe diciendo los dígitos apropiados, pero tener dificultades para hacerlo tan rápido como el real.

En resumen, el DH por sí mismo puede ser sólido contra los ataques MITM si cada participante sabe algo que el otro participante podrá hacer con un número de manera más eficiente que un atacante. Sin embargo, generalmente se usan otros protocolos junto con DH, ya que es útil para que el proceso de autenticación sea automático, y la mayoría de las formas de autenticación que no dependen del cifrado (cosas como voz, frases, etc.) requieren validación humana. Además, a menudo es necesario que las entidades soliciten la comunicación de extraños. Si quisiera hablar con un representante de Acme Bank, un impostor de hombre en el medio podría establecer una oficina falsa en "Acme Bank" y atender mi llamada, y hacer que otra persona en una sala falsa transmita todo lo que yo diga al verdadero Acme Bank, y nadie sería el más sabio. Si no tengo idea de lo bien o mal que un empleado real de Acme Bank podría imitar a Marilyn Monroe, no tendría forma de saber que la imitación de un impostor no era la misma.

DH no es generalmente resistente a los ataques de Man in the Middle.

Si Alice y Bob (A < - > B) pueden configurar un secreto compartido. Luego, Frank puede configurar un secreto compartido con Alice (A < - > F) Al mismo tiempo, Frank puede configurar un segundo secreto compartido (diferente) con Bob (F < - > B). Frank puede luego descifrar A- > F los mensajes y volver a cifrar y enviar a bob F- > B & viceversa.

* Así que necesitas alguna forma de asegurarte de que el mensaje realmente vino de (fue firmado por) Alice. Ya sea con un secreto previamente compartido (entregado a través de algún otro canal) o usando una Autoridad de Certificación (para la confianza del proxy). O algún otro método.

Si solo confía un poco en una CA, entonces Alice puede configurar un secreto compartido de DH con Bob, firmando el mensaje con el certificado de la CA. Bob comprueba que los mensajes fueron firmados por la CA. Frank no puede falsificar los mensajes, ya que no tienen el certificado requerido.

Ahora Alice y Bob tienen un secreto compartido. Frank no pudo fingir su camino hacia el medio. Sin embargo, la CA no tuvo parte en la creación del secreto compartido (solo firmó las partes enviadas en el camino), por lo que la CA tampoco puede actuar como un mal actor. Incluso si Frank los amenaza con una llave de $ 5.

* Un poco simplista, pero esa es la idea general.

Aquí es donde fallan las habilidades descriptivas lingüísticas del idioma inglés. Diffie helman es resistente a las mitologías si una entidad externa fuera de banda puede ayudar a distribuir claves y / o verificar la identidad. Encontrará en la literatura, lo que en su mayoría define es una red de confianza conectada que rodea la identidad del destinatario o, en la mayoría de los casos, la persona adjunta a la clave o al certificado.