Взаимная аутентификация
Взаимная аутентификация или двусторонняя аутентификация (не путать с двухфакторной аутентификацией ) относится к аутентификации одновременной двух сторон в протоколе аутентификации . Это режим аутентификации по умолчанию в некоторых протоколах ( IKE , SSH ) и необязательный в других ( TLS ).
Взаимная аутентификация является желательной характеристикой в схемах проверки, передающих конфиденциальные данные, для обеспечения безопасности данных . [1] [2] Взаимная аутентификация может осуществляться с использованием двух типов учетных данных: имен пользователей и паролей и сертификатов открытого ключа .
Взаимная аутентификация часто используется в Интернете вещей (IoT). Написание эффективных схем безопасности в системах Интернета вещей является сложной задачей, особенно когда схемы должны быть легкими и иметь низкие вычислительные затраты. Взаимная аутентификация является важным шагом безопасности, который может защитить от многих состязательных атак. [3] что в противном случае может иметь серьезные последствия в случае взлома систем Интернета вещей (таких как серверы электронного здравоохранения). В анализе схем, проведенном в прошлых работах, отсутствие взаимной аутентификации считалось недостатком схем передачи данных. [4]
Этапы процесса и проверка
[ редактировать ]Схемы, в которых есть этап взаимной аутентификации, могут использовать разные методы шифрования, связи и проверки, но все они имеют одну общую черту: каждый объект, участвующий в обмене данными, проверяется. Если Алиса хочет связаться с Бобом , они оба аутентифицируют друг друга и проверят, что это тот, с кем они ожидают общаться, прежде чем будут переданы какие-либо данные или сообщения. Процесс взаимной аутентификации, при котором происходит обмен идентификаторами пользователей, может быть реализован следующим образом: [ нужна ссылка ]
- Алиса отправляет Бобу сообщение, зашифрованное открытым ключом Боба, чтобы показать, что Алиса является действительным пользователем.
- Боб проверяет сообщение:
- Боб проверяет формат и метку времени. Если какой-либо из них неверен или недействителен, сеанс прерывается.
- Затем сообщение расшифровывается секретным ключом Боба, получая идентификатор Алисы.
- Боб проверяет, соответствует ли сообщение действительному пользователю. Если нет, сеанс прерывается.
- Боб отправляет Алисе ответное сообщение, чтобы показать, что Боб является действительным пользователем.
- Алиса проверяет сообщение:
- Алиса проверяет формат и метку времени. Если какой-либо из них неверен или недействителен, сеанс прерывается.
- Затем сообщение расшифровывается секретным ключом Алисы, получая идентификатор Боба.
- Алиса проверяет, соответствует ли сообщение действительному пользователю. Если нет, сеанс прерывается.
- На этом этапе обе стороны подтверждены как те, за кого себя выдают, и что общение с другой стороной безопасно. Наконец, Алиса и Боб создадут общий секретный ключ, чтобы они могли продолжать безопасное общение.
Для проверки того, что взаимная аутентификация прошла успешно, логика Берроуза-Абади-Нидхэма хорошо зарекомендовавшим себя и широко распространенным методом является (логика BAN), поскольку она проверяет, что сообщение пришло от заслуживающего доверия объекта. Логика BAN сначала предполагает, что объекту нельзя доверять, а затем проверяет его законность. [1] [2] [5] [6]
Защита
[ редактировать ]Взаимная аутентификация поддерживает сети с нулевым доверием , поскольку она может защитить связь от состязательных атак. [7] в частности:
- Атака «человек посередине»
- Атаки «человек посередине» (MITM) — это когда третья сторона желает подслушать или перехватить сообщение, а иногда и изменить предназначенное сообщение для получателя. Обе стороны открыто получают сообщения без проверки отправителя, поэтому они не осознают, что злоумышленник подключился к линии связи. Взаимная аутентификация может предотвратить атаки MITM, поскольку и отправитель, и получатель проверяют друг друга перед отправкой им ключей сообщения, поэтому, если одна из сторон не подтверждена как та, кем они себя называют, сеанс завершится. [8]
- Повтор атаки
- Атака повторного воспроизведения аналогична атаке MITM, при которой старые сообщения воспроизводятся вне контекста, чтобы обмануть сервер. Однако это не работает против схем, использующих взаимную аутентификацию. [9] потому что временные метки являются фактором проверки, который используется в протоколах. [10] [11] Если изменение времени превышает максимально допустимую задержку, сеанс будет прерван. [11] Аналогично, сообщения могут включать случайно сгенерированный номер, чтобы отслеживать, когда сообщение было отправлено. [10]
- Спуфинг-атака
- Спуфинг-атаки основаны на использовании ложных данных, чтобы выдать себя за другого пользователя, чтобы получить доступ к серверу или идентифицироваться как кто-то другой. Взаимная аутентификация может предотвратить атаки спуфинга, поскольку сервер также будет аутентифицировать пользователя и проверять наличие у него правильного сеансового ключа, прежде чем разрешить дальнейшее соединение и доступ. [11]
- Атаки с использованием олицетворения
- Атаки с использованием олицетворения относятся к злонамеренным атакам, при которых пользователь или физическое лицо выдает себя за авторизованного пользователя, чтобы получить несанкционированный доступ к системе, симулируя разрешение. [12] Когда каждая сторона аутентифицирует другую, они отправляют друг другу сертификат, который только другая сторона знает, как расшифровать, подтверждая себя как доверенный источник. Таким образом, злоумышленники не могут использовать атаки с использованием олицетворения, поскольку у них нет правильного сертификата, позволяющего действовать так, как будто они являются другой стороной. [5]
Взаимная аутентификация также обеспечивает целостность информации, поскольку, если стороны проверены на правильность источника, полученная информация также является надежной. [5]
мТЛС
[ редактировать ]По умолчанию протокол TLS подтверждает подлинность сервера клиенту только с помощью сертификатов X.509 , а аутентификация клиента на сервере остается на уровне приложений. TLS также предлагает аутентификацию клиент-сервер с использованием аутентификации X.509 на стороне клиента. [13] Поскольку он требует предоставления сертификатов клиентам и менее удобен для пользователя, он редко используется в приложениях конечных пользователей.
Взаимная аутентификация TLS (mTLS) чаще используется в приложениях типа «бизнес-бизнес» (B2B), где ограниченное количество программных и однородных клиентов подключаются к определенным веб-сервисам, операционная нагрузка ограничена, а требования безопасности обычно намного выше. по сравнению с потребительской средой.
mTLS также используется в приложениях на основе микросервисов , основанных на средах выполнения, таких как Dapr , через такие системы, как SPIFFE. [7]
Облегченные схемы и защищенные схемы
[ редактировать ]Хотя облегченные схемы и безопасные схемы не являются взаимоисключающими , добавление этапа взаимной аутентификации в протоколы передачи данных часто может увеличить время выполнения и вычислительные затраты. [2] Это может стать проблемой для сетевых систем, которые не могут обрабатывать большие объемы данных или для тех, которым постоянно приходится обновлять новые данные в реальном времени (например, отслеживание местоположения, данные о состоянии здоровья в реальном времени). [2] [9]
Таким образом, для многих схем взаимной аутентификации становится желательной характеристикой облегченные свойства (например, малый объем памяти ), чтобы приспособиться к системе, хранящей большое количество данных. [3] Многие системы реализуют облачные вычисления , которые обеспечивают быстрый доступ к большим объемам данных, но иногда большие объемы данных могут замедлить связь. Даже при использовании облачных вычислений на базе периферии, которые работают быстрее, чем обычные облачные вычисления из-за более тесной близости между сервером и пользователем, [5] облегченные схемы обеспечивают большую скорость при управлении большими объемами данных. Одним из решений, позволяющих упростить схемы во время процесса взаимной аутентификации, является ограничение количества битов, используемых во время связи. [3]
Приложения, которые полагаются исключительно на связь между устройствами (D2D), когда несколько устройств могут взаимодействовать локально в непосредственной близости, удаляют стороннюю сеть. Это, в свою очередь, может ускорить время связи. [14] Однако аутентификация по-прежнему происходит по незащищенным каналам, поэтому исследователи полагают, что по-прежнему важно обеспечить взаимную аутентификацию, чтобы сохранить безопасную схему. [14]
Схемы могут жертвовать лучшим временем выполнения или затратами на хранение при обеспечении взаимной аутентификации, чтобы отдать приоритет защите конфиденциальных данных. [2] [11]
Схемы на основе пароля
[ редактировать ]В схемах взаимной аутентификации, которые требуют ввода пароля пользователя в рамках процесса проверки, существует более высокая уязвимость для хакеров , поскольку пароль создается человеком, а не сертификатом, созданным компьютером. Хотя приложения могут просто требовать от пользователей использования пароля, сгенерированного компьютером, людям неудобно его запоминать. Пароли, создаваемые пользователем, и возможность изменить пароль важны для того, чтобы сделать приложение удобным для пользователя. [15] очень много схем работают, чтобы учесть эту характеристику. Исследователи отмечают, что протокол на основе паролей с взаимной аутентификацией важен, поскольку идентификаторы пользователей и пароли по-прежнему защищены, поскольку сообщения доступны для чтения только двум участвующим сторонам. [16]
Однако отрицательным аспектом аутентификации на основе пароля является то, что таблицы паролей могут занимать много места в памяти. [15] Одним из способов использования большого объема памяти при схеме аутентификации на основе пароля является внедрение одноразовых паролей (OTP), которые представляют собой пароль, отправляемый пользователю по SMS или электронной почте. OTP чувствительны ко времени, что означает, что срок их действия истекает через определенное время и что память не требуется сохранять. [17]
Многофакторная аутентификация
[ редактировать ]В последнее время все больше схем имеют более высокий уровень аутентификации, чем схемы на основе пароля. Хотя аутентификация на основе пароля считается «однофакторной аутентификацией», в схемах начинают внедряться смарт-карты ( двухфакторная аутентификация ). [15] или схемы аутентификации на основе биометрической (трехфакторной) аутентификации. Смарт-карты проще в реализации и аутентификации, но они по-прежнему сопряжены с риском подделки. [15] Биометрия стала более популярной по сравнению со схемами, основанными на паролях, поскольку при использовании биометрии труднее скопировать или угадать ключи сеанса. [6] но может быть сложно зашифровать зашумленные данные. [17] Из-за этих рисков и ограничений безопасности схемы по-прежнему могут использовать взаимную аутентификацию независимо от того, сколько добавленных факторов аутентификации. [6]
Схемы на основе сертификатов и системные приложения
[ редактировать ]Взаимная аутентификация часто встречается в схемах, используемых в Интернете вещей (IoT), где физические объекты включены в Интернет и могут обмениваться данными через IP-адрес. [10] Схемы аутентификации могут применяться ко многим типам систем, в которых используется передача данных. [14] По мере увеличения присутствия Интернета в механических системах написание эффективных схем безопасности для большого количества пользователей, объектов и серверов может стать сложной задачей, особенно когда требуется, чтобы схемы были легкими и имели низкие вычислительные затраты. Вместо аутентификации на основе пароля устройства будут использовать сертификаты для проверки личности друг друга.
Радиосети
[ редактировать ]Взаимная аутентификация может быть обеспечена в схемах радиосетей, где передача данных по радиочастотам безопасна после проверки отправителя и получателя. [11] [18]
Метки радиочастотной идентификации (RFID) обычно используются для обнаружения объектов, которые многие производители внедряют в свои складские системы для автоматизации. [19] Это позволяет быстрее вести инвентаризацию и отслеживать объекты. Однако отслеживание элементов в системе с помощью RFID-меток, которые передают данные на облачный сервер, увеличивает вероятность возникновения угроз безопасности, поскольку теперь необходимо отслеживать больше цифровых элементов. [19] Между метками RFID, считывателями меток и облачной сетью, в которой хранятся эти данные, может происходить трехсторонняя взаимная аутентификация, чтобы обеспечить безопасность данных меток RFID и исключить возможность манипулирования ими. [19]
Аналогичным образом, для обеспечения дополнительной безопасности и низкой стоимости памяти была предложена альтернативная система RFID-меток и считывателей, которая назначает меткам назначенные считыватели. [20] Вместо того, чтобы рассматривать все считыватели тегов как один объект, только определенные считыватели могут читать определенные теги. При использовании этого метода взлом считывателя не повлияет на всю систему. Отдельные считыватели будут обмениваться данными с определенными тегами во время взаимной аутентификации, которая выполняется за постоянное время, поскольку считыватели используют один и тот же закрытый ключ для процесса аутентификации.
Многие системы электронного здравоохранения, которые удаленно контролируют данные о здоровье пациентов, используют беспроводные сети области тела (WBAN), которые передают данные по радиочастотам. [11] Это полезно для пациентов, которых не следует беспокоить во время наблюдения, и может снизить рабочую нагрузку медицинского работника и позволить ему сосредоточиться на более практической работе. Однако большую озабоченность поставщиков медицинских услуг и пациентов по поводу использования удаленного отслеживания медицинских данных вызывает то, что конфиденциальные данные пациентов передаются по незащищенным каналам. [8] таким образом, аутентификация происходит между пользователем медицинской сети (пациентом), поставщиком медицинских услуг (HSP) и доверенной третьей стороной.
Облачные вычисления
[ редактировать ]электронного здравоохранения Облака — еще один способ хранения данных о пациентах, собранных удаленно. [2] Облака полезны для хранения больших объемов данных, например медицинской информации, к которым при необходимости могут получить доступ многие устройства. Telecare Медицинские информационные системы (TMIS), важный способ удаленного получения медицинской помощи для медицинских пациентов, могут обеспечить защиту данных с помощью схем взаимной аутентификации. [14] Блокчейн — это один из предложенных способов взаимной аутентификации пользователя в базе данных путем аутентификации на главном узле mediBchain и сохранения анонимности пациента. [21]
Туманные облачные вычисления — это сетевая система, которая может обрабатывать большие объемы данных, но все еще имеет ограничения в отношении затрат на вычисления и память. [22] Мобильные периферийные вычисления (MEC) считаются улучшенной и более легкой сетевой системой туманных облачных вычислений. [22] и может использоваться для медицинских технологий, которые также основаны на данных о местоположении. Из-за большого физического диапазона, необходимого для отслеживания местоположения, сети 5G могут отправлять данные на границу облака для хранения данных. Такое приложение, как умные часы , которые отслеживают данные о здоровье пациента, можно использовать для звонка в ближайшую больницу, если у пациента наблюдаются отрицательные изменения в жизненно важных показателях. [5]
Сети туманных узлов могут быть реализованы в автомобильной автоматизации , обеспечивая безопасность данных об автомобиле и окружающих его состояниях. Благодаря аутентификации туманных узлов и автомобиля передача управления автомобилем становится безопасным процессом, а системы автомобиля защищены от хакеров. [9]
Машинная проверка
[ редактировать ]Многие системы, которые не требуют участия человека в качестве части системы, также имеют протоколы, обеспечивающие взаимную аутентификацию между сторонами. В системах беспилотных летательных аппаратов (БПЛА) происходит аутентификация платформы, а не аутентификация пользователя. [2] Взаимная аутентификация во время связи автомобиля предотвращает взлом системы одного автомобиля, что может негативно повлиять на всю систему. Например, систему дронов можно использовать для сельскохозяйственных работ и доставки грузов, но если один дрон будет взломан, вся система может рухнуть. [2]
Внешние ссылки
[ редактировать ]Ссылки
[ редактировать ]- ^ Jump up to: а б Чен, Юлей; Чен, Цзяньхуа (2020). «Безопасная трехфакторная аутентификация с протоколом согласования ключей для облаков электронного здравоохранения». Журнал суперкомпьютеров . 77 (4): 3359–3380. дои : 10.1007/s11227-020-03395-8 . ISSN 0920-8542 . S2CID 221146362 .
- ^ Jump up to: а б с д и ж г час Чен, Лицюань; Цянь, Сидзе; Лим, Мин; Ван, Шихуэй (2018). «Расширенная схема прямой анонимной аттестации с взаимной аутентификацией для подключенных к сети систем связи БПЛА». Китайские коммуникации . 15 (5): 61–76. дои : 10.1109/CC.2018.8387987 . S2CID 49333360 .
- ^ Jump up to: а б с Ян, Миан Ахмад; Хан, Фазлулла; Алам, Мухаммед; Усман, Мухаммед (2019). «Схема взаимной аутентификации на основе полезной нагрузки для Интернета вещей». Компьютерные системы будущего поколения . 92 : 1028–1039. дои : 10.1016/j.future.2017.08.035 . hdl : 10453/117906 . S2CID 57380203 .
- ^ Амин, Рухул; Ислам, С.К. Хафизул; Виджаякумар, Панди; Хан, Мухаммад Хуррам; Чанг, Виктор (2018). «Надежное и эффективное билинейное соединение на основе взаимной аутентификации и проверки ключа сеанса через небезопасную связь». Мультимедийные инструменты и приложения . 77 (9): 11041–11066. дои : 10.1007/s11042-017-4996-z . S2CID 13674284 .
- ^ Jump up to: а б с д и Чен, Чин-Линг; Чан, Мао-Лунь; Се, Хуэй-Цзин; Лю, Чинг-Чэн; Дэн, Юн-Юань (2020). «Облегченная взаимная аутентификация с носимым устройством в мобильных периферийных вычислениях на основе местоположения». Беспроводная персональная связь . 113 : 575–598. дои : 10.1007/s11277-020-07240-2 . S2CID 218934756 .
- ^ Jump up to: а б с Саху, Шрия Свагатика; Моханти, Суджата; Маджи, Баншидхар (2020). «Улучшенная схема взаимной аутентификации на основе биометрических данных и соглашения о ключах с использованием ECC». Беспроводная персональная связь . 111 (2): 991–1017. дои : 10.1007/s11277-019-06897-8 . S2CID 208125038 .
- ^ Jump up to: а б «Взаимный TLS: защита микросервисов в Service Mesh» . Новый стек . 01.02.2021 . Проверено 20 февраля 2021 г.
- ^ Jump up to: а б Сасикаладеви, Н.; Малати, Д. (2019). «Энергоэффективный облегченный протокол взаимной аутентификации (REAP) для MBAN на основе гиперэллиптической кривой рода 2». Беспроводная персональная связь . 109 (4): 2471–2488. дои : 10.1007/s11277-019-06693-4 . S2CID 204084523 .
- ^ Jump up to: а б с Деванта, Фавиан; Мамбо, Масахиро (2019). «Схема взаимной аутентификации для безопасной передачи услуг туманных вычислений в автомобильной сетевой среде» . Доступ IEEE . 7 : 103095–103114. Бибкод : 2019IEEA...7j3095D . дои : 10.1109/ACCESS.2019.2931217 . S2CID 199509951 .
- ^ Jump up to: а б с Мелки, Рим; Нура, Хасан Н.; Чехаб, Али (2020). «Облегченный протокол многофакторной взаимной аутентификации для устройств Интернета вещей». Международный журнал информационной безопасности . 19 (6): 679–694. дои : 10.1007/s10207-019-00484-5 . S2CID 209340123 .
- ^ Jump up to: а б с д и ж Нарвал, Бхавна; Мохапатра, Амар Кумар (2020). «SEEMAKA: Защищенная энергоэффективная взаимная аутентификация и схема соглашения о ключах для беспроводных сетей тела». Беспроводная персональная связь . 113 (4): 1985–2008. дои : 10.1007/s11277-020-07304-3 . S2CID 216529906 .
- ^ Моаллем, Аббас, изд. (2021). «HCI для кибербезопасности, конфиденциальности и доверия» . Конспекты лекций по информатике . дои : 10.1007/978-3-030-77392-2 . ISSN 0302-9743 .
- ^ Диркс, Тим (август 2008 г.). «Протокол безопасности транспортного уровня (TLS) версии 1.2» . www.tools.ietf.org . Проверено 22 апреля 2016 г.
- ^ Jump up to: а б с д г. Лопес, Ана Паула; Гондим, Пауло Р.Л. (2020). «Протокол взаимной аутентификации для D2D-коммуникаций в облачной системе электронного здравоохранения» . Датчики . 20 (7): 2072. Бибкод : 2020Senso..20.2072G . дои : 10.3390/s20072072 . ПМК 7181216 . ПМИД 32272675 .
- ^ Jump up to: а б с д Каруппиа, Маримуту; Сараванан, Р. (2015). «Криптоанализ и усовершенствование новой схемы удаленной взаимной аутентификации с использованием смарт-карт». Журнал дискретных математических наук и криптографии . 18 (5): 623–649. дои : 10.1080/09720529.2015.1013693 . S2CID 62591965 .
- ^ Каруппиа, Маримуту; Дас, Ашок Кумар; Ли, Сюн; Кумари, Сару; Ву, Фан; Чаудри, Шехзад Ашраф; Ниранчана, Р. (2019). «Безопасная схема взаимной аутентификации удаленных пользователей с соглашением о ключах для облачной среды». Мобильные сети и приложения . 24 (3): 1046–1062. дои : 10.1007/s11036-018-1061-8 . S2CID 64720667 .
- ^ Jump up to: а б Шарма, Мохит Кр; Нене, Маниша Дж. (2020). «Двухфакторная аутентификация с использованием квантовых операций на основе биометрических данных» . Безопасность и конфиденциальность . 3 (3). дои : 10.1002/spy2.102 .
- ^ Чоудхари, Каранджит; Габа, Гурджот Сингх; Бутун, Исмаил; Кумар, Пардип (2020). «MAKE-IT — облегченный протокол взаимной аутентификации и обмена ключами для промышленного Интернета вещей» . Датчики . 20 (18): 5166. Бибкод : 2020Senso..20.5166C . дои : 10.3390/s20185166 . ПМК 7570918 . ПМИД 32927788 .
- ^ Jump up to: а б с Ананди, С.; Анита, Р.; Сурешкумар, Венкатасами (2020). «Протокол аутентификации для отслеживания объекта с помощью нескольких RFID-меток с использованием среды облачных вычислений». Беспроводная персональная связь . 113 (4): 2339–2361. дои : 10.1007/s11277-020-07330-1 . S2CID 219070999 .
- ^ Го, Фучунь; Му, Йи; Сусило, Вилли; Варадхараджан, Виджай (2017). «Взаимная аутентификация с сохранением конфиденциальности в RFID с назначенными считывателями» . Беспроводная персональная связь . 96 (3): 4819–4845. дои : 10.1007/s11277-017-4430-x . S2CID 207264759 .
- ^ Лю, Сяосюэ; Ма, Вэньпин; Цао, Хао (2019). «MBPA: взаимная аутентификация на основе Medibchain с сохранением конфиденциальности в TMIS для мобильной медицинской облачной архитектуры» . Доступ IEEE . 7 : 149282–149298. Бибкод : 2019IEEA...7n9282L . дои : 10.1109/ACCESS.2019.2947313 . S2CID 204863294 .
- ^ Jump up to: а б Лю, Сяосюэ; Ма, Вэньпин; Цао, Хао (2019). «NPMA: новая взаимная аутентификация с сохранением конфиденциальности в TMIS для архитектуры Mobile Edge-Cloud». Журнал медицинских систем . 43 (10): 318. doi : 10.1007/s10916-019-1444-9 . ПМИД 31522286 . S2CID 202570185 .