MQV

MQV (קיצור של Menezes-Qu-Vanstone) הוא פרוטוקול שיתוף מפתח קריפטוגרפי עם אימות, שפותח ב-1998 על ידי אלפרד מנזס וסקוט ונסטון מאוניברסיטת ווטרלו, מינגהו קו מחברת Certicom^[1][2], בשיתוף עם לורי לאו וג'רי סולינס מה-NSA. פרוטוקול MQV מבוסס על פרוטוקול דיפי-הלמן, הוא היעיל ביותר מסוגו וניתן להפעילו בכל חבורה ציקלית סופית, במיוחד בחבורת עקום אליפטי (במקרה זה מסומן בקיצור ECMQV). כמו כן קיימות שתי וריאציות נוספות של הפרוטוקול; העברת מפתח מאומת במהלך יחיד, המתאים לסביבה בה רק צד אחד מקוון וכן העברת מפתח בשלושה מהלכים המספק אימות דו צדדי.

הפרוטוקול מפורט בתקן SEC 1^[3] של איגוד SECG (שנוסד על ידי סרטיקום) ושולב בתקן IEEE P1363, בתקנים ANSI X9.63, X9.42 וכן RFC-5656 של IETF. כמו כן נכלל על ידי NSA בחבילה הקריפטוגרפית Suit B לפי המלצות NIST SP 800-56A. ייתכן שכמה מגרסאות הפרוטוקול מוגנות בפטנט. גרסאות מתקדמות של הפרוטוקול אטרקטיביות במיוחד להצפנת תקשורת אלחוטית ברשתות מקומיות כמו IEEE 802.11 או לטווחים בינוניים כמו WiMAX, כאשר משתמשי הקצה הם בדרך כלל מכשירים המוגבלים במשאבים וברוחב פס.

רקע

פרוטוקול שיתוף מפתח

ערך מורחב – פרוטוקול שיתוף מפתח

מאז המצאת המפתח הציבורי על ידי דיפי והלמן ופתרון בעיית הפצת המפתחות פותחו מספר פרוטוקולים קריפטוגרפיים להעברת מפתח סודי. כללית קיימים שני סוגים של שיתוף או הקמה (Key establishment) של מפתחות הצפנה; פרוטוקול שיתוף מפתח (Key agreement) שבו שני משתתפים או יותר מסכמים ביניהם על מפתח סודי כך שכל אחד מהם תורם את חלקו להקמתו במידה שווה, לעומת "העברת מפתח" (Key transport) שבו צד אחד מייצר ומעביר מפתח סודי למשתתפים האחרים, בעוד שהם אינם בהכרח תורמים להקמתו ואין להם שליטה עליו.

החסרון בפרוטוקול דיפי הלמן במתכונתו המקורית שהוא אינו מספק אימות זהויות ולכן חשוף להתקפת אדם באמצע. אפשר להוסיף מרכיב אימות על ידי חתימה דיגיטלית או תעודת מפתח ציבורי החתומה על ידי רשות מאשרת. משיקולי יעילות נעשו מאמצים לפתח פרוטוקולים המספקים אימות עקיף כחלק אינטרגלי ללא צורך בתהליכים נפרדים ובהתערבות צד שלישי. אפשר לחלק את מרכיב האימות לשני סוגים, שיתוף מפתח מאומת שבו צד אחד משתף ומאמת מפתח עם צד אחר, כך שהוא מקבל אישור לזהותו של המשתתף האחר (כיוון אחד) ונקרא בקיצור AK וכן "שיתוף מפתח מאומת עם אישור", שבנוסף מאשר את זהות השרת כלפי הלקוח (דו כיווני) שנקרא בקיצור AKC (קיצור של Authenticated Key agreement with Confirmation).

בסיום הפרוטוקול יכולים המשתתפים הלגיטימיים להיות סמוכים ובטוחים שמלבדם אין איש יודע מהו המפתח הסודי המשותף. בעיקרון אפשר להשתמש בו כמפתח הצפנה להצפנת ההתקשרות ביניהם. מטעמי ביטחון מומלץ לא להשתמש בו ישירות אלא לגזור ממנו מפתח אחר באמצעות פונקציית גזירת מפתח (Key derivation function) בקיצור KDF. המפתח הסודי המשותף שנגזר בסופו של דבר נקרא מפתח שיחה, כשמו הוא נועד להתקשרות אחת או מספר התקשרויות מוגבל כשלאחריהן מושמד.

יש לשים לב שקיימת הבחנה בין המפתחות הציבוריים הארעיים (ephemeral key) שנוצרים באקראי בכל ריצת הפרוטוקול, לבין המפתחות ארוכי-הטווח שברשות המשתתפים. גם במסגרת פרוטוקול MQV ההנחה היא שהמשתתפים בפרוטוקול אימתו את המפתחות הציבוריים ארוכי הטווח שלהם בדרך מוסכמת לפני ריצת הפרוטוקול. לעומת זאת אין צורך באימות המפתחות הארעיים כיוון ש-MQV מבצע אימות עקיף.

מאפיינים

פרוטוקול שיתוף מפתח קריפטוגרפי בטוח אמור להתמודד עם התקפות פסיביות, שבהן התוקף מנסה לנחש את המידע הסודי על ידי התבוננות בחילופי המהלכים. ההנחה היא שמסרי הפרוטוקול מועברים בערוץ הפתוח שניתן לציתות על ידי כל גורם עם ציוד מתאים. וכן נגד התקפות אקטיביות בהן התוקף יכול גם ל'הזריק', ליירט, למחוק, לשנות ואו לשכפל מסרים. ביתר פירוט הפרוטוקול אמור לסכל את ההתקפות הבאות:

• מפתח ידוע (known-key); הפרוטוקול ייוותר בטוח נוכח מצב שבו נחשפו לעיני התוקף מפתחות שיחה אחרים (שנוצרו בעבר על ידי הפרוטוקול).
• שמירת סודיות קדימה (forward secrecy) או סודיות מושלמת קדימה; גם אם מפתח ארוך-טווח של אחד המשתתפים נחשף, הדבר לא ישפיע על סודיות מפתחות שיחה שנוצרו לפני החשיפה.
• מניעת התחזות (impersonation); במצב שבו המפתח הפרטי של אחד המשתתפים ידוע לתוקף לא יתאפשר לו לעשות בו שימוש כדי להתחזות לאחרים כלפי משתמש זה (ברור שבמקרה כזה התוקף מסוגל להתחזות למשתמש הלגיטימי הזה כלפי אחרים כיוון שהמפתח הפרטי מייצג בעצם את זהותו, אך ההפך אינו מחויב המציאות ואף רצוי למנוע).
• שיתוף לא ידוע (unkown key-share); התוקף לא יצליח לגרום למשתתף אחד לשתף איתו מפתח סודי בעוד שהלה סבור בטעות ששיתף מפתח עם מישהו אחר (כלומר צד אחד מאמין נכון שהוא משתף מפתח עם מישהו שהוא מכיר בעוד שהצד השני למעשה משתף בלא ידיעתו מפתח עם התוקף וסבור שהוא מישהו אחר).
• שליטה; אף אחד מהצדדים לא יוכל לאלץ את מפתח השיחה שיהיה ערך כלשהו לפי בחירתו.
• יעילות; מספר המהלכים צריך להיות המינימלי האפשרי וכן תעבורת רשת נמוכה (סך כל הסיביות ששודרו).

אפשר לממש את פרוטוקול MQV בתת-חבורה של החבורה הציקלית ${\displaystyle \mathbb {Z} _{p}^{*}}$ מסדר ראשוני, למשל המפתח הפרטי הוא השלם ${\displaystyle x}$ והציבורי הוא ${\displaystyle X=g^{x}{\text{ mod }}p}$ כאשר ${\displaystyle g}$ יוצר של השדה. במקרה זה המפתחות צריכים להיות בגודל של מעל 2000 ספרות בינאריות לעומת זאת יש יתרון ביישום הפרוטוקול בעקום אליפטי מכיוון שהוא מציע ביטחון זהה עם מפתח קצר משמעותית (בין 160 ל-512 סיביות נכון לשנת 2015). מסיבה זו תיאור הפרוטוקול מתמקד בעקום אליפטי. מניחים שהפרמטרים הציבוריים של העקום ידועים לכל המשתתפים. וכן כל מפתח ציבורי ${\displaystyle Q}$ (שהוא נקודה בעקום) מאומת ונבדק שהוא עומד בהגדרות המערכת. בבדיקה מוודים ש:

${\displaystyle Q}$ אינו שווה ${\displaystyle {\mathcal {O}}}$ (הנקודה באין סוף).

הקואורדינטות ${\displaystyle x_{Q},y_{Q}}$ הם אלמנטים של השדה ${\displaystyle \mathbb {F} _{q}}$.

${\displaystyle Q}$ מקיים את משוואת העקום.

${\displaystyle nQ={\mathcal {O}}}$

הבדיקה האחרונה יקרה במונחי מחשוב ולכן נוטים בדרך כלל להימנע ממנה. אפשר במקום זאת לוודא שהמפתח המשותף ${\displaystyle K}$ שהופק בסיום הפרוטוקול הוא נקודה בתת-חבורה הנוצרת על ידי ${\displaystyle P}$ כלומר ${\displaystyle \{{\mathcal {O}},P,2P,...,(n-1)\cdot P\}}$.

פרוטוקול דיפי-הלמן הבסיסי בעקום אליפטי (ללא אימות)

פרוטוקול דיפי-הלמן בעקום אליפטי ללא אימות (נקרא בקיצור ECDH) אנלוגי לפרוטוקול דיפי הלמן בחבורה רגילה. נתונים פרמטרי התחום של העקום לפי הגדרות התקן: ${\displaystyle (q,a,b,P,n,h)}$, העקום האליפטי הוא ${\displaystyle E(\mathbb {F} _{q})}$ כאשר ${\displaystyle q}$ הסדר של השדה ${\displaystyle \mathbb {F} _{q}}$ וכן ${\displaystyle a,b}$ מקדמים של משוואת העקום, ${\displaystyle P}$ היא נקודת הבסיס, ${\displaystyle n}$ הסדר הראשוני של נקודת הבסיס, ${\displaystyle h}$ פקטור משלים כך שמתקיים ${\displaystyle \textstyle n={\frac {|E|}{h}}}$ ו-${\displaystyle |E|}$ מייצג את מספר הנקודות בעקום ${\displaystyle E}$.

המשתתפת ${\displaystyle A}$ עם מפתח סודי שהוא שלם אקראי ${\displaystyle d_{A}}$ והמפתח הציבורי ${\displaystyle Q_{A}=d_{A}P}$ (תוצאת כפל סקלארי של נקודת הבסיס ${\displaystyle P}$ ב-${\displaystyle d_{A}}$) מסומנת בקיצור ${\displaystyle A^{(d_{A},Q_{A})}}$ והמשתתף ${\displaystyle B}$ עם מפתחות ${\displaystyle d_{B},Q_{B}}$ בהתאמה, רוצים לשתף ביניהם סוד ${\displaystyle K}$, תחילה הם מחליפים ביניהם מפתחות ציבוריים ואז מחלצים את הסוד המשותף כדלהלן:

${\displaystyle A^{(d_{A},Q_{A})}}$		${\displaystyle B^{(d_{B},Q_{B})}}$
	${\displaystyle {\xrightarrow {\qquad \qquad Q_{A}\qquad \qquad }}}$
	${\displaystyle {\xleftarrow {\qquad \qquad Q_{B}\qquad \qquad }}}$
${\displaystyle K=d_{A}Q_{B}}$		${\displaystyle K=d_{B}Q_{A}}$

היות שמתקיים ${\displaystyle K=d_{A}Q_{B}=d_{A}d_{B}P=d_{B}d_{A}P=d_{B}Q_{A}}$, הסוד המשותף הוא הנקודה ${\displaystyle K}$.

פרוטוקול MQV

במקור הוצעו שלוש וריאציות של הפרוטוקול; שיתוף במהלך יחיד כך שרק צד אחד מקוון, בשני מהלכים עם אימות חד כיווני ובשלושה מהלכים עם אימות דו כיווני. יהי ${\displaystyle f}$ פרמטר ביטחון של הפרוטוקול (אורך ${\displaystyle n}$ בסיביות), כלומר ${\displaystyle f=\left\lfloor {\text{log}}_{2}n\right\rfloor +1}$. אם ${\displaystyle R}$ נקודה כלשהי בעקום ${\displaystyle {\overline {R}}}$ הוא פונקציה שממפה נקודה בעקום למספר שלם כדלהלן; ${\displaystyle {\overline {R}}=({\overline {x}}{\text{ mod }}2^{\left\lceil f/2\right\rceil })+2^{\left\lceil f/2\right\rceil }}$ כאשר ${\displaystyle {\overline {x}}}$ הוא השלם המייצג את הקואורדינטה ${\displaystyle x}$ של הנקודה ${\displaystyle R}$. כדי לטשטש אינטראקציה אפשרית בין הפונקציה לבין העקום האליפטי (שעלולה לפתוח פתח להתקפת התנגשות) יש כאלו שממליצים להשתמש בפונקציית גיבוב.

פרוטוקול 1 - שיתוף מפתח עם אימות בשני מהלכים

${\displaystyle A^{(d_{A},Q_{A})}\qquad }$		${\displaystyle B^{(d_{B},Q_{B})}\qquad }$
	${\displaystyle {\xrightarrow {\qquad \qquad R_{A}\qquad \qquad }}}$
	${\displaystyle {\xleftarrow {\qquad \qquad R_{B}\qquad \qquad }}}$
${\displaystyle s_{A}=(r_{A}+{\overline {R}}_{A}d_{A}){\text{ mod }}n}$		${\displaystyle s_{B}=(r_{B}+{\overline {R}}_{B}d_{B}){\text{ mod }}n}$
${\displaystyle K=h\cdot s_{A}\cdot (R_{B}+{\overline {R}}_{B}Q_{B})}$		${\displaystyle K=h\cdot s_{B}\cdot (R_{A}+{\overline {R}}_{A}Q_{A})}$

תיאור המהלכים

1. ${\displaystyle A}$ מייצרת מספר אקראי ${\displaystyle r_{A}}$ בטווח ${\displaystyle [1,n-1]}$ ומחשבת את ${\displaystyle R_{A}=r_{A}P}$ את התוצאה משדרת ל-${\displaystyle B}$.
2. ${\displaystyle B}$ מייצר מספר אקראי ${\displaystyle r_{B}}$ בטווח ${\displaystyle [1,n-1]}$ ומחשב את ${\displaystyle R_{B}=r_{B}P}$ ושולח את התוצאה ל-${\displaystyle A}$.
3. ${\displaystyle A}$ מוודה את תקפות הערכים ומחשבת את ${\displaystyle s_{A}=(r_{A}+{\overline {R}}_{A}d_{A}){\text{ mod }}n}$ ואת ${\displaystyle K=h\cdot s_{A}\cdot (R_{B}+{\overline {R}}_{B}Q_{B})}$.
4. אם אחד הערכים אינו תקף או ש-${\displaystyle K={\mathcal {O}}}$ אז ${\displaystyle A}$ מסיימת את הפרוטוקול בכישלון.
5. ${\displaystyle B}$ בודק תקפות באופן דומה, מחשב את ${\displaystyle s_{B}=(r_{B}+{\overline {R}}_{B}d_{B}){\text{ mod }}n}$ ואת ${\displaystyle K=h\cdot s_{B}\cdot (R_{A}+{\overline {R}}_{A}Q_{A})}$.
6. הסוד המשותף הוא ${\displaystyle K}$.

כאמור לפי הצעה של מספר מומחים כדי למנוע את התקפת שיתוף לא ידוע (להלן) כדאי להשתמש בפונקציית KDF מוסכמת על ${\displaystyle K}$ עם מידע משותף כלשהו שמכיל את זהות המשתתפים בפרוטוקול ולהשתמש בתוצאה האחרונה כמפתח שיחה. וכן מומלץ לכלול בכל המסרים של הפרוטוקול את זהות המשתתפים.

הפרוטוקול לא הוכח באופן פורמלי כבטוח אך לטענת המפתחים קיימת סברה היוריסטית שהוא מספק אימות הדדי של המפתח באופן עקיף וכן שהוא עמיד כנגד ההתקפות המתוארות לעיל; מפתח שיחה ידוע, שמירת סודיות קדימה, מניעת התחזות ושליטה. חשיפת המפתחות הזמניים אינה מסכנת את חשיפת המפתחות הפרטיים ארוכי הטווח של המשתתפים ולא את מפתח השיחה ${\displaystyle K}$. הערכים ${\displaystyle s_{A}}$ ו-${\displaystyle s_{B}}$ משמשים למעשה כחתימה עקיפה של המשתתפים על המפתחות הציבוריים הזמניים שלהם ${\displaystyle R_{A}}$ ו-${\displaystyle R_{B}}$ בהתאמה. אפשר לראות שהפרוטוקול נכון כי:

${\displaystyle K=h\cdot s_{A}\cdot s_{B}\cdot P=h\cdot (r_{A}r_{B}+r_{A}d_{B}{\overline {R}}_{B}+r_{B}d_{A}{\overline {R}}_{A}+d_{A}d_{B}{\overline {R}}_{A}{\overline {R}}_{B})P}$

לעומת פרוטוקול דיפי הלמן הבסיסי שבו ${\displaystyle K=r_{A}r_{B}P}$. כמו כן כדי לשפר יעילות הביטוי ${\displaystyle {\overline {R}}}$ מנצל רק מחצית מסיביות הקואורדינטה ${\displaystyle x}$ של הנקודה, זאת כדי להקל על פעולות הכפל הסקלארי בסעיפים 3 ו-5 והכפל ב-${\displaystyle h}$ נועד להבטיח שהסוד המשותף ${\displaystyle K}$ יהיה נקודה בתת-חבורה מסדר ${\displaystyle n}$ בעקום האליפטי. כמו כן היות שאת ${\displaystyle r_{A}P}$ אפשר לחשב מראש יוצא שכל צד מבצע רק 1.5 פעולות כפל סקלארי און ליין.

פרוטוקול 2 - שיתוף מפתח עם אימות במהלך אחד

המטרה היא ש-${\displaystyle A}$ ו-${\displaystyle B}$ ישתפו מפתח סודי על ידי מהלך יחיד מ-${\displaystyle A}$ ל-${\displaystyle B}$. מצב זה רצוי במקרה שרק משתמש אחד מקוון כמו ביישומי דואר אלקטרוני. הפרוטוקול הוא כדלהלן:

${\displaystyle A^{(d_{A},Q_{A})}}$		${\displaystyle B^{(d_{B},Q_{B})}}$
	${\displaystyle {\xrightarrow {\qquad \qquad R_{A}\qquad \qquad }}}$
${\displaystyle s_{A}=(r_{A}+{\overline {R}}_{A}d_{A}){\text{ mod }}n}$		${\displaystyle s_{B}=(d_{B}+{\overline {Q}}_{B}d_{B}){\text{ mod }}n}$
${\displaystyle K=h\cdot s_{A}\cdot (Q_{B}+{\overline {Q}}_{B}Q_{B})}$		${\displaystyle K=h\cdot s_{B}\cdot (R_{A}+{\overline {R}}_{A}W_{A})}$

פירוט המהלכים

1. ${\displaystyle A}$ מייצרת מספר אקראי ${\displaystyle r_{A}}$ בטווח ${\displaystyle [1,n-1]}$ ומחשבת את ${\displaystyle R_{A}=r_{A}P}$ ושולחת את התוצאה ל-${\displaystyle B}$.
2. ${\displaystyle A}$ מחשבת את ${\displaystyle s_{A}=(r_{A}+{\overline {R}}_{A}d_{A}){\text{ mod }}n}$ ואת ${\displaystyle K=h\cdot s_{A}\cdot (Q_{B}+{\overline {Q}}_{B}Q_{B})}$.
3. ${\displaystyle B}$ מוודה תקפות ערכים ומחשב את ${\displaystyle s_{B}=(d_{B}+{\overline {Q}}_{B}d_{B}){\text{ mod }}n}$ ואת ${\displaystyle K=h\cdot s_{B}\cdot (R_{A}+{\overline {R}}_{A}Q_{A})}$.
4. המפתח המשותף הוא ${\displaystyle K}$.

מטבע הדברים היות ש-${\displaystyle B}$ אינו תורם למהלכי הפרוטוקול בערך אקראי משלו, חסרים בפרוטוקול הגנה מפני התקפת מפתח ידוע ושמירת סודיות קדימה.

פרוטוקול 3 - שיתוף מפתח מאומת עם אישור דו צדדי

הגרסה הזו של פרוטוקול 1 מנצלת פרימיטיב קריפטוגרפי נוסף שמספק אימות כמו MAC כדי לבצע אימות ואישור דו צדדי. וכן בפרוטוקול הבא הערכים ${\displaystyle {\mathcal {H}}_{1}}$ ו-${\displaystyle {\mathcal {H}}_{2}}$ הם פונקציית לגזירת מפתח. למשל אם הערך הוא ${\displaystyle z}$ אפשר לממש פונקציית גיבוב בטוחה כמו SHA-2 של ${\displaystyle z}$ כשהוא משורשר עם ערך נוסף, כך ${\displaystyle {\mathcal {H}}_{1}={\text{SHA2}}(01\ \|\ z)}$ וכן ${\displaystyle {\mathcal {H}}_{2}={\text{SHA2}}(02\ \|\ z)}$.

${\displaystyle A^{(d_{A},Q_{A})}}$		${\displaystyle B^{(d_{B},Q_{B})}}$
	${\displaystyle {\xrightarrow {\qquad \qquad \qquad \qquad R_{A}\qquad \qquad \qquad \qquad }}}$
	${\displaystyle {\xleftarrow {\qquad \qquad R_{B},{\text{MAC}}_{k'}(2,B,A,R_{B},R_{A})\qquad \qquad \ }}}$
	${\displaystyle {\xrightarrow {\quad \qquad \qquad {\text{MAC}}_{k'}(3,A,B,R_{A},R_{B})\qquad \qquad \quad }}}$
${\displaystyle s_{A}=(r_{A}+{\overline {R}}_{A}d_{A}){\text{ mod }}n}$		${\displaystyle s_{B}=(r_{B}+{\overline {R}}_{B}d_{B}){\text{ mod }}n}$
${\displaystyle K=h\cdot s_{A}\cdot (R_{B}+{\overline {R}}_{B}Q_{B})}$		${\displaystyle K=h\cdot s_{B}\cdot (R_{A}+{\overline {R}}_{A}Q_{A})}$
${\displaystyle k={\mathcal {H}}_{1}(z)}$		${\displaystyle k={\mathcal {H}}_{1}(z)}$
${\displaystyle k'={\mathcal {H}}_{2}(z)}$		${\displaystyle k'={\mathcal {H}}_{2}(z)}$

פירוט המהלכים

1. ${\displaystyle A}$ מייצרת מספר אקראי ${\displaystyle r_{A}}$ בטווח ${\displaystyle [1,n-1]}$ ומחשבת את ${\displaystyle R_{A}=r_{A}P}$ ושולחת את התוצאה ל-${\displaystyle B}$.
2. ${\displaystyle B}$ מייצר מספר אקראי ${\displaystyle r_{B}}$ בטווח ${\displaystyle [1,n-1]}$, מחשב את ${\displaystyle R_{B}=r_{B}P}$ ושולח את התוצאה ל-${\displaystyle A}$.
3. ${\displaystyle B}$ מחשב את ${\displaystyle s_{B}=(r_{B}+{\overline {R}}_{B}d_{B}){\text{ mod }}n}$ ואת ${\displaystyle K=h\cdot s_{B}\cdot (R_{A}+{\overline {R}}_{A}Q_{A})}$.
4. ${\displaystyle B}$ מחלץ את הערך ${\displaystyle z}$ שהוא הקואורדינטה ${\displaystyle x}$ של הנקודה ${\displaystyle K}$ ומחשב את ${\displaystyle k={\mathcal {H}}_{1}(z)}$ ואת ${\displaystyle k'={\mathcal {H}}_{2}(z)}$.
5. ${\displaystyle B}$ מחשב את ${\displaystyle {\text{MAC}}_{k'}(2,B,A,R_{B},R_{A})}$ ושולח את תג האימות יחד עם ${\displaystyle R_{B}}$ ל-${\displaystyle A}$.
6. ${\displaystyle A}$ מחשבת את ${\displaystyle s_{A}=(r_{A}+{\overline {R}}_{A}d_{A}){\text{ mod }}n}$ ואת ${\displaystyle K=h\cdot s_{A}\cdot (R_{B}+{\overline {R}}_{B}Q_{B})}$ ובודקת שהנקודה ${\displaystyle K}$ תקינה.
7. ${\displaystyle A}$ מחלצת את הערך ${\displaystyle z}$ שהוא פונקציה של הקואורדינטה ${\displaystyle x}$ של הנקודה ${\displaystyle K}$ ומחשבת את הערכים ${\displaystyle k={\mathcal {H}}_{1}(z)}$, ${\displaystyle k'={\mathcal {H}}_{2}(z)}$.
8. ${\displaystyle A}$ מחשבת את ${\displaystyle {\text{MAC}}_{k'}(3,A,B,R_{A},R_{B})}$ ושולחת את התג ל-${\displaystyle B}$.
9. ${\displaystyle B}$ מחשב את ${\displaystyle {\text{MAC}}_{k'}(3,A,B,R_{A},R_{B})}$ ומוודה שהתוצאה זהה לתג שקיבל מ-${\displaystyle A}$.
10. מפתח השיחה הוא ${\displaystyle k}$.

כאמור ביטחון הפרוטוקול היוריסטי בלבד, כולל את כל התכונות המצוינות לעיל ויעיל במיוחד.

פרוטוקול HMQV

ב-2005 פרסם הוגו קרווציק מאמר^[4] שבו הוא מבקר את ביטחון MQV תחת מודלים של ביטחון ידועים ומציין שהתגלו על ידו כמה חולשות בפרוטוקול. אף על פי שהפרוטוקול זכה לפופולריות רבה וה-NSA הכליל אותו ברשימה הנבחרת של אלגוריתמים שעברו בדיקה של קריפטאנליסטים מקצועיים, הרי שלא ניתנה הוכחה פורמלית לביטחונו במונחים של ביטחון סמנטי לפי מודל סיבוכיות סטנדרטי או במסגרת מודל אורקל אקראי. הוגו הציע לתקן את הליקויים שמצא על ידי אלגוריתם משופר משלו שנקרא HMQV שפועל עם פונקציית גיבוב ומציע יעילות דומה למקורי ועם ביטחון מוכח. אלפרד מנזס ביקר את ממצאיו של הוגו וטען כי HMQV אינו בטוח יותר ומציג התקפה ריאליסטית במודל קנטי-קרווציק שבה אפשר לחשוף את המפתח הפרטי של המשתתפים. וכן מצא לדבריו שגיאות קריטיות בהוכחות המתמטיות שהובאו על ידי קרווציק. התיקון שהציע מנזס נקרא HMQV-1 והוא גרסה מתוקנת שעמידה בפני ההתקפה המצוינת (אולם בשל התיקון אינה מהירה יותר מהמקורית). קרווציק הגיב על טענות מנזס במאמר משלו וסתר חלק מהן.

חלק מהוויכוח מתמקד סביב הבדיקה שנקראת G-test, כלומר במהלך הפרוטוקול המקורי בוצע הכפל ב-${\displaystyle h}$ כדי להבטיח שהתוצאה שייכת לתת-חבורה ${\displaystyle G}$ מסדר ${\displaystyle n}$ וכי לא נבחר בכוונה תחילה ערך מתת חבורה קטנה יותר שעלולה להפוך את הפרוטוקול ללא בטוח כי התוקף יכול להפעיל כוח גס אם ידוע לו שהמפתח נמצא בטווח אחר קטן משמעותית מהמצופה. ב-HMQV הבדיקה הזו הוסרה לטובת יעילות בטענה שאינה מוסיפה לביטחון האלגוריתם לפי מודל אורקל אקראי. על כל פנים, הוספת פונקציית גיבוב לפרוטוקול MQV כפי שהציע קרווציק מקובלת כיום כיוון שהיא יעילה למדי ואינה מסכנת את ביטחון הפרוטוקול.

השוואת פרוטוקול HMQV לעומת MQV (בחבורה ציקלית רגילה)

נתון פרוטוקול דיפי הלמן הבסיסי (שאינו מאומת), בו המשתתפת ${\displaystyle {\hat {A}}}$ עם מפתח פרטי ${\displaystyle a}$ והמפתח הציבורי ${\displaystyle A=g^{a}}$ והמשתתף ${\displaystyle {\hat {B}}}$ עם מפתחות ${\displaystyle b,B=g^{b}}$ בהתאמה, רוצים לשתף ביניהם מפתח סודי ${\displaystyle K}$ הם פועלים כך; ${\displaystyle {\hat {A}}}$ שולחת ל-${\displaystyle {\hat {B}}}$ את ${\displaystyle ({\hat {A}},{\hat {B}},A=g^{a})}$ וכן ${\displaystyle B}$ שולח ל-${\displaystyle A}$ את ${\displaystyle ({\hat {B}},{\hat {A}},B=g^{b})}$. המפתחות ${\displaystyle x}$ ו-${\displaystyle y}$ הם המפתחות הפרטיים הזמניים של ${\displaystyle A}$ ו-${\displaystyle B}$ בהתאמה ואילו ${\displaystyle X}$ ו-${\displaystyle Y}$ הם המפתחות הציבוריים המתאימים. בשני הפרוטוקולים ${\displaystyle {\hat {A}}}$ ו-${\displaystyle {\hat {B}}}$ מריצים את פרוטוקול דיפי-הלמן הבסיסי ואז:

${\displaystyle {\hat {A}}}$ מחשבת את ${\displaystyle \sigma _{\hat {A}}=(YB^{e})^{x+da}}$,

${\displaystyle {\hat {B}}}$ מחשב את ${\displaystyle \sigma _{\hat {B}}=(XA^{d})^{y+eb}}$.

כעת שני המשתתפים מחלצים את הסוד המשותף ${\displaystyle K=H(\sigma _{\hat {A}})=H(\sigma _{\hat {B}})}$

פרוטוקול MQV	פרוטוקול HMQV
${\displaystyle d={\overline {X}}\ {\overset {\underset {\mathrm {def} }{}}{=}}\ 2^{\ell }+(X{\text{ mod }}2^{\ell })}$, ${\displaystyle e={\overline {Y}}\ {\overset {\underset {\mathrm {def} }{}}{=}}\ 2^{\ell }+(Y{\text{ mod }}2^{\ell })}$	${\displaystyle d={\overline {H}}(X,{\hat {B}})}$, ${\displaystyle e={\overline {H}}(Y,{\hat {A}})}$

ביטחון

הסברה היא שהפרוטוקול בטוח כנגד ההתקפות המצוינות לעיל; מפתחות ידועים, שמירת סודיות קדימה, התחזות ושליטה. בהנחה שבעיית הלוגריתם הדיסקרטי ובעיית דיפי-הלמן קשות לפתרון, אם כי לא ניתנה כל הוכחה פורמלית. מסרי הפרוטוקול זהים לפרוטוקול דיפי-הלמן הבסיסי מסיבה זו הוא בעל תפוקה ורוחב פס טובים יותר מדיפי-הלמן שאומת באמצעות חתימה דיגיטלית. אולם פרוטוקול MQV (גרסה 1) אינו מספק שמירת סודיות קדימה במובן החזק. כלומר לפי המפתחים התכונה הזו מתקיימת רק כאשר המשתתפים בפרוטוקול הגונים, כלומר מבצעים את מהלכי הפרוטוקול כראוי. בעוד שאם אחד מהם אינו הגון ייתכן שסודיות קדימה לא תושג. אפשר לנסח את המודל בשני אופנים. בראשון המפתח הפרטי הקבוע של אחד מהצדדים המשתתפים בפרוטוקול נחשף ובמודל החמור יותר כל המידע הפרטי של המשתתף נחשף. במקרה האחרון הפרוטוקול ייכשל. אם יוזם ההתקשרות נפרץ וכל המידע הפרטי שלו נחשף לתוקף לאחר תחילת ההתקשרות, אם החשיפה ארעה לפני שקיבל בחזרה את התגובה של המשתתף האחר הרי שהתוקף יכול להשיג את מפתח השיחה.

ב-2001 ביקרו רוגווי, בלייר ובונה^[5] את הפרוטוקול כפי שהתקבל לתקן SEC-1 והעלו כמה נקודות שראוי להיזהר בהן, תיארו כמה התקפות אפשריות כנגד הפרוטוקול וציינו שהאיומים אינם פטאליים והפרוטוקול טוב לדעתם אם כי יש צורך להגדיר במדויק את יעדי הפרוטוקול באופן שיאפשר להעריך את ביטחונו, מה שלא נעשה בתקן למעט כמה הערות כלליות. כמו כן מציינים שהפרוטוקול יכול להיות בטוח רק במסגרת שבה כל משתמש מחזיק במפתחות הצפנה ארוכי טווח ובמפתחות ארעיים חד פעמיים, מסיבה זו פרוטוקול 2 לא בטוח.

ב-2003 פרסמו פטר לידביטר ונייג'ל סמארט התקפה^[6] כנגד גרסת העקום האליפטי של הפרוטוקול: ECMQV (וכן כל פרוטוקול שיתוף מפתח מאומת מבוסס דיפי-הלמן שאינו עושה שימוש בחתימה דיגיטלית) באמצעות התקפת סריג שבה ניתן לחשוף את המפתח הפרטי ארוך הטווח של אחד המשתמשים כאשר חלק מהפרמטרים ידוע (כגון אם משתתף אחד הצליח לגלות חלק מסיביות ערך כלשהו המשמש את המשתתף השני בהכנת המפתח הארעי. גרעין התחלתי, Nonce, וקטור האתחול וכדומה. ערכים כאלו יכולים להתגלות לתוקף בדרכים אחרות כמו דליפה עקב יישום גרוע של האלגוריתם בתוכנה או בהתקפת ערוץ צדדי כמו קרינה אלקטרומגנטית וכדומה). בכל אופן לאחר מספר ריצות של הפרוטוקול, המשתתף יכול לחשוף את המפתח הפרטי של הצד השני ולהתחזות אליו. הממצאים מראים שביטחון הפרוטוקול מצטמצם ל-${\displaystyle O(q^{1/4})}$ ולא ${\displaystyle O(q^{1/2})}$ כאשר ${\displaystyle q}$ הוא סדר השדה.

התקפת שיתוף לא ידוע

פרוטוקול MQV (פרוטוקול 1) אינו פתור את בעיית "שיתוף לא ידוע" לעיל, כלומר אפשר לבצע התקפה של קליסקי^[7] כדלהלן: המצותת ${\displaystyle E}$ מיירטת את מפתח הציבורי ${\displaystyle R_{A}}$ המיועד ל-${\displaystyle B}$ ומחליפה אותו ב-${\displaystyle R_{E}=R_{A}+{\overline {R}}_{A}Q_{A}-P}$ מחשבת את ${\displaystyle d_{E}=({\overline {R}}_{E})^{-1}{\text{ mod }}n}$ וכן את ${\displaystyle Q_{E}=d_{E}P}$ ואז רושמת את המפתחות הללו אצל הרשות המאשרת כדי שיהיו תקפים ושולחת את ${\displaystyle R_{E}}$ ל-${\displaystyle B}$. המשתמש ${\displaystyle B}$ מגיב במשלוח ${\displaystyle R_{B}}$ ל-${\displaystyle E}$ והיא מעבירה אותו הלאה ל-${\displaystyle A}$ ללא שינוי. כעת ${\displaystyle A}$ ו-${\displaystyle B}$ שיתפו את ${\displaystyle K}$ בזמן ש-${\displaystyle B}$ משוכנע כל העת שהוא משתף מפתח עם ${\displaystyle E}$ בעוד שלמעשה הוא שיתף מפתח עם ${\displaystyle A}$. ישנן שתי דרכים לפתור בעיה זו, האחת להוסיף את זהות המשתתפים לכל מהלכי הפרוטוקול והשנייה להוסיף מהלך שלישי כמו בפרוטוקול 3.

הערות שוליים

1. An Efficient Protocol for Authenticated Key Agreement
2. Law, L.; Menezes, A.; Qu, M.; Solinas, J.; Vanstone, S. (2003). "An Efficient Protocol for Authenticated Key Agreement". Des. Codes Cryptography 28 (2): 119–134
3. SEC 1: Elliptic Curve Cryptography
4. HMQV: A High-Performance Secure Diffie-Hellman Protocol
5. Evaluation of Security Level of Cryptography ECMQVS (from SEC 1)
6. Leadbitter, P. J.; Smart, N. P. (2003). "Analysis of the Insecurity of ECMQV with Partially Known Nonces". Information Security. 6th International Conference, ISC 2003, Bristol, UK, October 1–3, 2003. Proceedings. Lecture Notes in Computer Science 2851. pp. 240–251
7. B. Kaliski. An unknown key-share attack on the MQV key agreement protocol. Manuscript. Proceedings version appeared in RSA 17 Conference 2000 Europe, Munich, April 2000. Work based on earlier communication to IEEE P1363a and ANSI X9F1 working groups, June 1998.