SSL再び - d'space

---

SSL再び

SSL 3.0 を対象とする。
SSLの目的と概要を参照。

典型的なハンドシェークフェーズの骨子

クライアント		サーバ
	32バイトのクライアント乱数 Rclient →
	← 32バイトサーバ乱数 Rserver, サーバ証明書
サーバ証明書の検証	Eserver(46バイトのプレマスター秘密 Spre) →
48バイトのマスター秘密 Smaster の導出		48バイトのマスター秘密 Smaster の導出
	確認認証子 macfin →
	← 確認認証子 mac'fin
mac'finの検証		macfinの検証
鍵導出		鍵導出

基本的な設計方針は、鍵共有プロトコル EB-SIG と同様。ただし、

• クライアントは認証せず、
• マスター秘密は、クライアント乱数、サーバ乱数およびプレマスター秘密の3つから計算し、
• 送信メッセージごとにデジタル署名を添付する代わりに、最後にMACを交換。

クライアント乱数とサーバ乱数の組は、（暗号技術的な）セッション識別子と解釈できる。

マスター秘密の導出

ハッシュ関数を用いて疑似的な疑似ランダム関数を実装している。
ハッシュ関数とMACを参照。

それについて、

• プレマスター秘密を鍵としたときの、クライアント乱数とサーバ乱数の組からなるセッション識別子における値

をマスター秘密としている。

S_master :=

• MD5(S_pre || SHA1("A" || S_pre || R_client || R_server)) ||
• MD5(S_pre || SHA1("BB" || S_pre || R_client || R_server)) ||
• MD5(S_pre || SHA1("CCC" || S_pre || R_client || R_server)) || ・・・

確認認証子の計算

HMAC ベース。ただし、効率のため、

• handshake_messagesをハッシュ関数の第一引数に

もってきている。そのため、HMACの安全性証明は、そのまま適用できない。
ハッシュ関数とMACを参照。

mac_fin := mac_md5 || mac_sha1

mac_md5 := MD5(S_master || pad2 || MD5(handshake_messages || Sender || S_master || pad1))

mac_sha1 := SHA1(S_master || pad2 || SHA1(handshake_messages || Sender || S_master || pad1))

上で、Sender は、mac_finの作成者が、クライアントかサーバーかを表す定数。これがないと、偽サーバが、クライアントから受け取った mac_fin をそのまま送り返す、「反射攻撃」ができてしまう。クワバラ、クワバラ。

鍵導出

やはり、ハッシュ関数を用いて疑似的な疑似ランダム関数を実装。

それについて、

• マスター秘密を鍵としたときの、サーバ乱数とクライアント乱数の組からなるセッション識別子における値

を鍵ブロックとしている。

鍵ブロック :=

• MD5(S_master || SHA1("A" || S_pre || R_server || R_client)) ||
• MD5(S_master || SHA1("BB" || S_pre || R_server || R_client)) ||
• MD5(S_master || SHA1("CC" || S_pre || R_server || R_client)) || ・・・

鍵ブロックの先頭から、クライアントMAC鍵、サーバーMAC鍵、クライアント暗号化鍵、サーバー暗号化鍵、クライアントIV、サーバーIVを取り出して、データ転送フェーズで用いる。

サーバ証明書について

上へ

---