Cette section sera consacr´ee `a la pr´esentation de quelques protocoles populaires dans la litt´erature de distance bounding. Tous les protocoles qui seront pr´esent´es appartiennent `a la classe de Hancke et Kuhn. Je focalise sur cette classe plus adapt´ee `a des environnements contraints en consommation et capacit´e de calcul. Je d´ecris d’abord le protocole de r´ef´e-rence de Hancke et Kuhn [9]. Ensuite, je pr´esente les protocoles de Munilla et Peinado [10] et MUSE-pHK [137]. Dans tous ces protocoles, l’authentification est r´ealis´ee `a l’aide des primitives de la cryptographie sym´etrique.
3.2.1 Protocole de Hancke et Kuhn
Le protocole de Hancke et Kuhn (not´e HK) [9] est un protocole de r´ef´erence dans la litt´erature. Il est caract´eris´e par sa simplicit´e et sa rapidit´e ce qui le rend adapt´e aux applications `a faible coˆut. Le d´eroulement du protocole est d´ecrit dans la Figure 3.4.
Initialisation : V et P partagent une cl´e secr`ete K. Ils se mettent d’accord sur un param`etre de s´ecurit´e n et une fonction pseudo-al´eatoire publique H. V fixe une borne temporelle maximale tmax.
Protocole : Le protocole consiste en deux phases : une phase lente suivie d’une phase rapide.
– Phase lente : V g´en`ere un nonce NV et l’envoie `a P. R´eciproquement, P g´en`ere un nonce NP et l’envoie `a V . Les nonces ont le mˆeme ordre de longueur que la cl´e K. Ensuite, V et P calculent H2n= H(K, NP, NV). Le contenu de H2n est divis´e en deux registres : R0= H1···Hn et R1= Hn+1··· H2n. Ces deux registres jouent le rˆole des cl´es de session.
CHAPITRE 3. ATTAQUE PAR RELAIS
– Phase rapide : Elle est compos´ee de n tours. A chaque tour, V g´en`ere un d´efi ci et l’envoie `a P. Ce dernier r´epond imm´ediatement avec ri= Rci
i , le i`eme bit du registre
Rci. V calcule `a chaque tour le RTT entre l’envoi de ci et la r´eception de ri : δti. V´erification : A la fin de la phase rapide, V v´erifie que toutes les r´eponses re¸cues sont correctes en les comparant aux contenus des deux registres. Il v´erifie ´egalement la condition : ∀i,1 ≤ i ≤ n,δti≤ tmax.
P V K, H K, H Phase lente : NV ←−−−−−−−−−−− G´en`ere NV G´en`ere NP NP −−−−−−−−−−−→ H2n= H(K, NP, NV) R0= H1··· Hn R1= Hn+1···H2n G´en`ere c ∈ {0,1}n Phase rapide : Pour i = 1 ··· n ci ←−−−−−−−−−− Envoie ci Envoie ri= Rci i ri −−−−−−−−−−→ Mesure du RTT : δti
Fin phase rapide :
V´erifie exactitude des ri
et δti≤ tmax
Fig.3.4 – Le protocole de Hancke et Kuhn [9].
Depuis la publication du protocole HK, plusieurs extensions ont ´et´e publi´ees [138–142]. Elles incluent des variantes du probl`eme et des am´eliorations. Le protocole HK souffre d’une probabilit´e de succ`es ´elev´ee de la fraude mafieuse (voir section suivante). De ce fait, plusieurs protocoles ont ´et´e propos´es pour am´eliorer la s´ecurit´e de HK et r´eduire la probabilit´e de succ`es de la fraude mafieuse [10,138,139]. Parmi ces protocoles, je mentionne ici le protocole de Munilla et Peinado [10] et le protocole MUSE-pHK [138]. Dans ce qui suit, je d´etaille le principe de ces deux protocoles.
3.2.2 Protocole de Munilla et Peinado
Afin de r´eduire la probabilit´e du succ`es de la fraude mafieuse contre le protocole HK, Munilla et Peinado [10] introduisent le concept des d´efis vides. Les d´efis peuvent ˆetre maintenant 0, 1 et vide o`u vide signifie que le d´efi n’est pas envoy´e. V et P se conviennent `a l’avance sur les d´efis vides. A la r´eception d’un 0 ou 1 alors qu’un d´efi vide est attendu, P d´etecte une attaque et arrˆete le protocole. La Figure 3.5 d´ecrit le d´eroulement du protocole. Initialisation : L’initialisation du protocole est la mˆeme que celle du protocole HK. Protocole : Le protocole est compos´e d’une phase lente suivie d’une phase rapide.
CHAPITRE 3. ATTAQUE PAR RELAIS
– Phase lente : V et P ´echangent les nonces NV et NP. A partir de ces valeurs, ils calculent H4n= H(K, NP, NV) de taille 4n bits. Parmi ces bits, 2n bits seront utilis´es pour g´en´erer un registre T de taille n comme suit : si H2i−1H2i= 00, 01 ou 10 alors
Ti = 1, sinon Ti= 0. Chaque Ti d´ecide si le d´efi actuel ci est vide (Ti = 0) ou non (Ti= 1). Dans ce dernier cas, le d´efi sera 0 ou 1, je parle d’un d´efi plein. Les 2n bits restants seront utilis´es pour g´en´erer les deux registres R0 et R1 exactement comme le protocole HK.
– Phase rapide : Si un d´efi plein est re¸cu et Ti= 1, P r´epond avec ri= Rci
i . V calcule le RTT not´e δti entre l’envoi de ci et la r´eception de ri. Si un d´efi vide est re¸cu et Ti= 0,
Preste silencieux. Sinon, P d´etecte une attaque et arrˆete le protocole. A la fin de la phase rapide, si aucune d´etection d’attaque n’est report´ee, P envoie H(K, R0, R1) `a
V.
V´erification : Connaissant le contenu des deux registres R0et R1, V v´erifie H(K, R0, R1) indiquant que P n’a pas d´etect´e d’attaque. V v´erifie ´egalement les r´eponses ri re¸cues et les δti mesur´ees. P V K, H K, H Phase lente : G´en`ere NP −−−−−−−−−−−→NP NV ←−−−−−−−−−−− G´en`ere NV H4n= H(K, NP, NV) Ti= 0si H2i−1H2i= 00 1sinon R0= H2n+1··· H3n R1= H3n+1··· H4n G´en`ere c ∈ {0,1}n Phase rapide : Pour i = 1 ··· n Si Ti= 0 alors d´efi vide
Sinon : ci ←−−−−−−−−−− Envoie ci Envoie ri= Rci i ri −−−−−−−−−−→ Mesure du RTT : δti
Fin phase rapide :
Si pas d´etection d’attaque H(K,R
0,R1)
−−−−−−−−−−−−−−−−→ V´erifie l’exactitude des ri, H
et δti≤ tmax
CHAPITRE 3. ATTAQUE PAR RELAIS
3.2.3 Protocole MUSE-pHK
La technique propos´ee dans [137] repose sur l’utilisation des p-symboles qui g´en´eralisent la notion des d´efis vides propos´ee par Munilla et Peinado [10]. Avec cette technique, les d´efis et les r´eponses de la phase rapide ne sont plus des simples bits mais des p-symboles. L’id´ee peut ˆetre appliqu´ee `a tout protocole de distance bounding. J’expose l’application de cette technique au protocole HK. Le nouveau protocole appel´e MUSE-pHK, p ≥ 2 est similaire au protocole HK `a l’exception qu’il utilise :
– des p-symboles, un p-symbole ´etant un entier dans {0,1··· , p − 1} ; – p registres contenants n p-symboles ;
– les d´efis et les r´eponses sont des p-symboles.