protocol, as well as the environmen

protocol, as well as the environment role and the security goals that have to be satisfied.

The conceptual model of our HLPSL formalization is illus-trated in Fig. 5, and the source code and attack traces are listed in Appendix A. Each basic role (i.e., UB, RP, IdP) contains a set of state transition definitions and local variables. Each tran-sition represents the receipt of a message and the sending of a reply message, and the local variables are set during a state transition. In addition, each basic role contains a set of shared constants defined by the environment role to model the shared knowledge between different roles.

A role in HLPSL uses channels defined by the environment role for sending and receiving messages. As illustrated in Fig. 5, the message sequences between each role have a one-to-one mapping to the A-B notation defined in Fig. 4. AVISPA analyzes protocols under the assumptions of a perfect cryp-tography and that the protocol messages are exchanged over a network controlled by a Dolev-Yao intruder (Dolev and Yao, 1983). That is, the intruder can intercept, modify, and generate messages under any party name, but he cannot break cryp-tography without the decryption key.

The environment role also defines the intruder’s initial knowledgedshared constants that are initially known to the intruder. In our model, the intruder knows all shared constants except the secret keys that are shared between basic roles (i.e., kUI between UB and IdP, and kRI for RP and IdP). Based on this initial knowledge, the intruder gains or derives additional knowledge via the intercepted messages through out the execution of the protocol.

An HLPSL model is a state machine, and an AVISPA model checking engine tries to reach all possible states of the protocol to find an insecure state that violates at least one of the protocol’s safety propertiesdreferred as “security goals” in AVISPA. There are two types of security goal supported by HLPSLdsecrecy and authentication. Each security goal, declared with a unique constant identifier, is an invariant that must hold true for all reachable states. Three special statements in HLPSL are used to specify the condition of a desired security goal. For secrecy goals, the secret statement specifies which value should be kept secret among whom; and if the intruder learns the secret value, then he has successfully attacked the protocol. For authentication goal, a pair of statements (witness and request) are used to check that a principal is right in believing that his intended peer is presented in the current session, and agrees on a certain value. For instance, an



authenticity goal “A authenticates B on the value of C” could be read as “A believes B is presented in the current session and agrees on value C.” Typically, C is a fresh value that is unknown to the intruder and unique among concurrent sessions. If an intruder manipulates protocol messages to reach a state in which B agrees on a different value C with A, or the same value C is used in multiple sessions, then the authentication goal has been successfully violated by the intruder.


Our HLPSL model specifies six security goals based on the Alice-Bob formalization in Fig. 4. The overall goal of the OpenID protocol is to assert to an RP that the user owns a specific OpenID URL controlled by the IdP. In order for the user to participate in the authentication process, the OpenID authentication request and response are passed between the RP and IdP through the user’s browser. Thus, when an RP receives an Auth Response, the RP has to assert that the Auth Response is generated by the IdP (goal G1), the same UB is used for the request and response (G2), and the UB has been authenticated by the IdP (G3, G4). On the other hand, when an IdP receives an Auth Request, the IdP has to make sure that the Auth Request is originated by the RP (G5), and the RP needs to ensure the Login Request is initi-ated by the UB with the user’s OpenID identifier (G6). Therefore, the security goals of our HLPSL model are spec-ified as follows:




G1: RP authenticates IdP on the value of the signature s ¼ HMAC(IdP.i.h.RP.n, kRI).

G2: RP authenticates IdP on the value of UB. G3: IdP authenticates UB on the value of nb.

G4: The session key k1¼ H(na.nb) should be kept secret between UB and IdP.

G5: IdP authenticates RP on the value of the Auth Request (IdP.i.h.RP).

G6: RP authenticates UB on the value of the OpenID identifier i.

A run of AVISPA model checking found three violated security goals, G2, G5 and G6. The violation of the G2 goal reveals that the OpenID protocol lacks contextual bindings between the Auth Request, Auth Response, and the browser. This means that when an RP receives an Auth Response, the RP cannot assert that the Auth Response is sending from the same browser through which the authentication request was issued. The lack of contextual binding in the protocol enables


















Fig. 5 e The conceptual model of the

Kết quả (Việt) 1:

giao thức, cũng như vai trò của môi trường và các mục tiêu an ninh phải được hài lòng.Mô hình khái niệm của chúng tôi formalization HLPSL là illus-trated trong hình 5, và các nguồn mã và tấn công các dấu vết được liệt kê trong phụ lục A. Mỗi vai trò cơ bản (tức là, UB, RP, IdP) chứa một tập hợp các trạng thái chuyển định nghĩa và các biến địa phương. Mỗi sition trần đại diện cho nhận được một tin nhắn và gửi một tin nhắn trả lời, và các biến địa phương được thiết lập trong quá trình chuyển đổi trạng thái. Ngoài ra, mỗi vai trò cơ bản bao gồm một tập hợp các hằng số dùng chung được xác định bởi vai trò môi trường để mô hình kiến thức được chia sẻ giữa các vai trò khác nhau.Một vai trò trong HLPSL sử dụng kênh được xác định bởi vai trò môi trường cho việc gửi và nhận tin nhắn. Như minh họa trong hình 5, trình tự tin nhắn giữa mỗi vai trò có một ánh xạ-một với các ký hiệu A-B được xác định trong hình 4. AVISPA phân tích giao thức theo những giả định của một cryp hoàn hảo-tography và các giao thức tin nhắn được trao đổi qua mạng điều khiển bởi một kẻ đột nhập Dolev-Yao (Dolev và Yao, 1983). Đó là, những kẻ xâm nhập có thể đánh chặn, sửa đổi và tạo ra các tin nhắn dưới bất kỳ tên Đảng, nhưng ông không thể phá vỡ cryp tography mà không có chìa khóa giải mã.Vai trò môi trường cũng xác định hằng số ban đầu knowledgedshared những kẻ xâm nhập ban đầu được biết đến với những kẻ xâm nhập. Trong mô hình của chúng tôi, những kẻ xâm nhập biết hằng chia sẻ tất cả ngoại trừ các phím bí mật được chia sẻ giữa các vai trò cơ bản (tức là, kUI giữa UB, IdP và kRI RP và IdP). Dựa trên kiến thức ban đầu này, những kẻ xâm nhập lợi nhuận hoặc gọi bổ sung kiến thức thông qua tin nhắn chặn thông qua trong việc thực hiện các giao thức.Một model HLPSL là máy nhà nước, và một mô hình AVISPA kiểm tra động cơ cố gắng để đạt tất cả các quốc gia có thể có các giao thức để tìm thấy một nhà nước không an toàn mà vi phạm tại ít nhất một trong các giao thức an toàn propertiesdreferred như "mục tiêu an ninh" ở AVISPA. Hiện có hai loại mục đích an ninh được hỗ trợ bởi HLPSLdsecrecy và xác thực. Mỗi mục đích an ninh, tuyên bố với một hằng số định danh duy nhất, là một bất biến phải giữ đúng cho tất cả các tiểu bang thể truy cập. Ba báo cáo đặc biệt trong HLPSL được sử dụng để xác định các điều kiện của mục tiêu mong muốn bảo mật. Cho các mục tiêu bí mật, bí mật tuyên bố xác định giá trị mà nên được giữ bí mật trong đó; và nếu những kẻ xâm nhập học giá trị bí mật, sau đó ông đã thành công tấn công giao thức. Cho mục đích xác thực, một cặp câu (nhân chứng và yêu cầu) được sử dụng để kiểm tra xem một hiệu trưởng ngay trong tin tưởng rằng ông ngang hàng dự định được trình bày trong phiên hiện tại, và đồng ý về một giá trị nhất định. Ví dụ, một mục tiêu xác thực "A authenticates B trên giá trị C" có thể được đọc như "A believes B được trình bày trong phiên hiện tại và đồng ý về giá trị C." Thông thường, C là một giá trị mới là không biết đến những kẻ xâm nhập và duy nhất trong các phiên đồng thời. Nếu một kẻ xâm nhập thao túng các giao thức thông điệp để đạt được một trạng thái mà B đồng ý về một giá trị khác nhau C với A, hoặc cùng một giá trị C được sử dụng trong nhiều phiên chạy, sau đó mục tiêu xác thực đã được thành công vi phạm bởi những kẻ xâm nhập.Mô hình HLPSL của chúng tôi chỉ định sáu mục tiêu an ninh dựa trên formalization Alice-Bob trong hình 4. Mục tiêu tổng thể của giao thức OpenID là để khẳng định một RP người dùng sở hữu một OpenID URL cụ thể kiểm soát bởi IdP. Để cho người sử dụng để tham gia vào quá trình xác thực, yêu cầu xác thực OpenID và đáp ứng được thông qua giữa RP và IdP thông qua trình duyệt của người dùng. Vì vậy, khi một RP nhận được một phản ứng Auth, RP có để khẳng định rằng các phản ứng Auth được tạo ra bởi IdP (mục tiêu G1), UB tương tự được sử dụng cho các yêu cầu và phản ứng (G2) và UB đã được xác thực bởi IdP (G3, G4). Mặt khác, khi một IdP sẽ nhận được một yêu cầu Auth, IdP có để đảm bảo yêu cầu Auth nguồn gốc của RP (G5) và RP cần phải đảm bảo các yêu cầu đăng nhập là initi-ated do UB với người sử dụng OpenID nhận dạng (G6). Vì vậy, mục tiêu an ninh của mô hình HLPSL của chúng tôi là spec-ified như sau:G1: RP authenticates IdP trên giá trị của chữ s ¼ HMAC (IdP.i.h.RP.n, kRI).G2: RP authenticates IdP trên giá trị của UB. G3: IdP authenticates UB ngày giá trị của nb.G4: Chìa khóa phiên k1¼ H(na.nb) nên được giữ bí mật giữa UB và IdP.G5: IdP authenticates RP về giá trị của yêu cầu Auth (IdP.i.h.RP).G6: RP authenticates UB ngày giá trị của các định danh OpenID tôi.Một chạy AVISPA mô hình kiểm tra tìm thấy ba xâm phạm an ninh mục tiêu, G2, G5 và G6. Vi phạm mục tiêu G2 cho thấy các giao thức OpenID thiếu theo ngữ cảnh bindings giữa yêu cầu Auth, Auth phản ứng và trình duyệt. Điều này có nghĩa rằng khi một RP nhận được một phản ứng Auth, RP không thể khẳng định rằng phản ứng Auth gửi từ cùng một trình duyệt mà qua đó yêu cầu xác thực được phát hành. Việc thiếu các ràng buộc theo ngữ cảnh trong các giao thức cho phép Hình 5 e các khái niệm mô hình của các

Kết quả (Việt) 2:

giao thức, cũng như vai trò môi trường và các mục tiêu an ninh đó phải được thỏa mãn.

Các mô hình khái niệm của việc chính thức của chúng tôi là HLPSL MINH HOẠ-họa trong hình. 5, và các mã nguồn và tấn công dấu vết được liệt kê trong Phụ lục A. Mỗi vai trò cơ bản (tức là, UB, RP, IdP) có chứa một tập hợp các định nghĩa chuyển trạng thái và biến địa phương. Mỗi tran-sition đại diện cho nhận tin nhắn và gửi một tin nhắn trả lời, và các biến địa phương được thiết lập trong quá trình chuyển đổi trạng thái. Ngoài ra, mỗi vai trò cơ bản bao gồm một tập hợp các hằng số chung được xác định bởi vai trò môi trường để mô hình chia sẻ kiến thức giữa các vai trò khác nhau.

Một vai trò trong HLPSL sử dụng các kênh truyền hình được xác định bởi vai trò môi trường cho việc gửi và nhận tin nhắn. Như minh họa trong hình. 5, các chuỗi nhắn giữa mỗi vai trò có một-một bản đồ để các ký hiệu AB được xác định trong hình. 4. Avispa phân tích các giao thức thuộc các giả định của một hoàn hảo cryp-tography và rằng các thông điệp giao thức được trao đổi qua mạng điều khiển bởi một kẻ đột nhập Dolev-Yao (Dolev và Yao, 1983). Đó là, kẻ đột nhập có thể đánh chặn, chỉnh sửa, và tạo ra các thông dưới bất kỳ tên đảng, nhưng ông không thể phá vỡ cryp-tography mà không cần chìa khóa giải mã.

Vai trò môi trường cũng định nghĩa các hằng số knowledgedshared ban đầu của kẻ xâm nhập ban đầu được biết đến với những kẻ xâm nhập. Trong mô hình của chúng tôi, những kẻ xâm nhập biết tất cả các hằng số chia sẻ trừ các khóa bí mật được chia sẻ giữa các vai trò cơ bản (tức là, Kui giữa UB và IdP, và KRI cho RP và IdP). Dựa trên kiến thức ban đầu này, lợi ích kẻ xâm nhập hay xuất phát bổ sung kiến thức thông qua các tin nhắn bị chặn thông qua trong việc thực hiện các giao thức.

Một mô hình HLPSL là một máy nhà nước, và một mô hình Avispa kiểm tra động cơ sẽ cố gắng để đạt được tất cả các quốc gia có thể có của các giao thức để tìm một nhà nước không an toàn vi phạm ít nhất một trong những an toàn của giao thức propertiesdreferred là "mục tiêu an ninh" trong Avispa. Có hai loại mục tiêu bảo mật hỗ trợ bởi HLPSLdsecrecy và xác thực. Mỗi mục tiêu an ninh, tuyên bố với một định danh liên tục độc đáo, là một bất biến mà phải giữ đúng cho tất cả các quốc gia có thể truy cập. Ba báo cáo đặc biệt trong HLPSL được sử dụng để xác định tình trạng của một mục tiêu an ninh mong muốn. Đối với mục tiêu bí mật, báo cáo bí mật quy định cụ thể mà giá trị phải được giữ bí mật trong đó; và nếu kẻ đột nhập học các giá trị bí mật, sau đó ông đã tấn công thành công các giao thức. Đối với mục tiêu xác thực, một cặp câu (nhân chứng và yêu cầu) được sử dụng để kiểm tra xem một hiệu trưởng là đúng khi tin rằng ngang hàng dự định của mình được trình bày trong phiên hiện tại, và đồng ý về một giá trị nhất định. Ví dụ, một



mục tiêu xác thực "Một xác B vào giá trị của C" có thể được đọc là "Một tin B được trình bày trong phiên giao dịch hiện tại và đồng ý về giá trị C." Thông thường, C là một giá trị mới chưa được biết đến kẻ đột nhập và duy nhất trong phiên đồng thời. Nếu một kẻ xâm nhập khiển thông điệp giao thức để đạt được một trạng thái trong đó B đồng ý về một giá trị C khác nhau với A, hoặc giá trị C tương tự được sử dụng trong nhiều phiên, sau đó mục tiêu xác thực đã bị vi phạm thành công bởi những kẻ xâm nhập.


Mô hình HLPSL chúng tôi xác định sáu mục tiêu an ninh dựa trên sự chính thức hóa Alice-Bob trong hình. 4. Mục tiêu tổng thể của giao thức OpenID là để khẳng định một RP mà người dùng đang sở hữu một URL OpenID cụ thể được kiểm soát bởi các IdP. Để cho người sử dụng để tham gia vào quá trình xác thực, các yêu cầu và trả lời xác thực OpenID được thông qua giữa các RP và IdP thông qua trình duyệt của người dùng. Vì vậy, khi một RP nhận được một phản ứng Auth, RP có để khẳng định rằng những đáp ứng Auth được tạo ra bởi các IdP (mục tiêu G1), cùng UB được sử dụng cho các yêu cầu và phản ứng (G2), và các UB đã được chứng thực bởi IdP (G3, G4). Mặt khác, khi một IdP nhận được một yêu cầu Auth, IdP có để đảm bảo rằng các yêu cầu Auth là nguồn gốc bởi RP (G5), và RP cần phải đảm bảo các yêu cầu đăng nhập được initi-ated bởi các UB với nhận dạng OpenID của người dùng (G6). Do đó, các mục tiêu an ninh của mô hình HLPSL của chúng tôi là spec-ified như sau:




G1: RP xác IdP trên giá trị của chữ ký s ¼ HMAC (IdP.ihRP.n, KRI).

G2: RP xác IdP trên giá trị của UB . G3:. IdP xác UB về giá trị của nb

G4: Các chốt phiên k1¼ H (na.nb) phải được giữ bí mật giữa UB và IdP.

G5: IdP xác RP vào giá trị của các Yêu cầu Auth (IdP.ihRP).

G6: RP xác UB về giá trị của nhận dạng OpenID tôi.

Một chạy các mô hình Avispa việc kiểm tra phát hiện vi phạm ba mục tiêu an ninh, G2, G5 và G6. Các vi phạm mục tiêu G2 cho thấy rằng giao thức OpenID thiếu ràng buộc ngữ cảnh giữa Yêu cầu Auth, đáp ứng Auth, và trình duyệt. Điều này có nghĩa rằng khi một RP nhận được một phản ứng Auth, RP không thể khẳng định rằng những đáp ứng Auth được gửi từ cùng một trình duyệt thông qua đó các yêu cầu chứng thực đã được ban hành. Việc thiếu ràng buộc trong giao thức theo ngữ cảnh cho phép


















hình. 5 e Các mô hình khái niệm của