Một xuất hiện cụ thể của thủ tục xỏc thực được coi như là một vận hành (run). Trước khi trỡnh bày định nghĩa của thủ tục an toàn, trước hết chỳng ta xem xột cỏc tớnh chất của cỏi mà chỳng ta coi là một vận hành thành cụng (successful run). Trong một vận hành thành cụng, hai đối tỏc liờn lạc, Alice và Bob, trao đổi một số thụng điệp, khi kết thỳc thỡ họ cú được niềm tin vào nhận dạng của nhau và hơn nữa, cú thể là họ chia sẻ một khúa chung mà chỉ cú họ biết. Với mỗi lần vận hành được thực hiện xong, mỗi bờn hoặc là chấp nhận hoặc là bỏc bỏ nhận dạng của bờn kia, và cú thể làm thờm việc trao đổi khúa. Trong mỗi lần vận hành thành cụng, việc vận hành được thực hiện xong và cả hai bờn đều chấp nhận.
Tớnh chất 1 của vận hành thành cụng: Cả Alice và Bob chấp nhận nhận dạng của phớa bờn kia. Nếu việc xỏc thực bao gồm cả trao đổi khúa thỡ cả hai cũng
chấp nhận khúa đó được trao đổi.
Tớnh chất thứ hai mà vận hành thành cụng cú liờn quan là nhật ký của việc vận hành thủ tục (giả thiết cỏc bờn tham gia cú ghi lại việc trao đổi). Để tiếp tục, chỳng ta cần cỏc định nghĩa để ý đến việc trựng nhau (match) khi ỏp dụng vào cỏc nhật ký của việc vận hành (khỏc một chỳt so với định nghĩa được đưa ra bởi Bird [5]).
Việc trựng cỏc thụng điệp: Chỳng ta núi một thụng điệp từ một nhật ký trựng với một thụng điệp từ một nhật ký khỏc nếu một nhật ký ghi thụng điệp như là tin đến, cũn một nhật ký ghi thụng điệp như là tin đi, và tất cả cỏc trường cú liờn quan đến việc xỏc thực là như nhau trong cả hai nhật ký.
Việc định tớnh chất cú liờn quan đến xỏc thực cần phải cho phộp cỏc thụng điệp cú thể trựng nhau ngay cả khi chỳng khụng trựng nhau từng bit. Qui cỏch ở đõy là nếu thụng điệp cú chứa cỏc trường khụng được ký, tức là về mặt mật mó khụng liờn quan đến việc xỏc thực, thỡ sự khỏc biệt chỉ ở cỏc trường này khụng làm ảnh hưởng việc làm cho thụng điệp đỏp ứng được định nghĩa của việc trựng.
Việc trựng nhật ký vận hành: Chỳng ta núi rằng hai nhật ký của việc vận hành là trựng nhau nếu cỏc thụng điệp của chỳng cú thể phõn chia thành tập của cỏc thụng điệp trựng (mỗi tập chứa 1 thụng điệp từ mỗi nhật ký), cỏc thụng điệp xuất phỏp từ một bờn tham gia xuất hiện với cựng một thứ tự trong cả hai nhật ký, cỏc thụng điệp xuất phỏt từ bờn tham gia cũn lại cũng vậy. Để cho đơn giản, chỳng ta khụng xem xột cỏc thủ tục mà trong đú cỏc thụng điệp khụng đến đớch theo thứ tự mà chỳng đó được gửi đi.
Chỳ ý rằng cỏc thụng điệp xuất phỏt từ cỏc bờn tham gia khỏc nhau khụng nhất thiết phải cú cựng thứ tựđối với nhau. Điều này cho phộp trường hợp khi cú thụng điệp đi ngang qua. Trong trường hợp này, mỗi bờn tham gia sẽ ghi nhật ký thụng điệp của mỡnh như là được gửi đi trước khi nhận cỏc thụng điệp đi qua.
Tớnh chất 2 của vận hành thành cụng: Nếu Alice và Bob cựng ghi lại quỏ trỡnh trao đổi, thỡ nhật ký vận hành của họ trựng nhau.
Bõy giờ chỳng ta phõn biệt giữa vận hành thành cụng và vận hành an toàn. Để xem xột một vận hành thành cụng theo bất kỳ một định nghĩa hợp lý nào, vận hành phải được xem là an toàn theo nghĩa trực giỏc. Mặt khỏc, cú thể một vận hành là khụng thành cụng ngay cả khi khụng xảy ra sự vi phạm vềđộ an toàn (vớ dụ, cả hai bờn cựng bỏc bỏ vỡ một lý do nào đú). Cũng cú thể là kẻ thự địch giữ chậm lại thụng điệp hợp phỏp của vận hành một cỏch vụ thời hạn. Giả sử rằng trong một lần vận hành cụ thể, Alice chấp nhận nhận dạng của Bob, gửi thụng điệp cuối cựng trong thủ tục tới Bob, nhưng kẻ thự địch huỷ bỏ mất thụng điệp này. Giả thiết rằng Bob cần phải nhận được thụng điệp này trước khi nhận được nhận dạng của Alice, như vậy Bob sẽ khụng chấp nhận nhận dạng của Alice. Một cỏch trực giỏ, mặc dự cuộc vận hành này khụng thành cụng, nhưng tại đõy khụng cú sự vi phạm vềđộ an toàn; tại thời điểm Alice nhận được nhận dạng của Bob (trước khi cụ ta gửi thụng điệp cuối cựng), nhật ký vận hành của Bob trựng với nhật ký của Alice. Theo mục đớch của chỳng ta, tấn cụng nhưtừ chối dịch vụkhụng được xem xột là sự vi phạm độ an toàn; vấn đề này thường được giải quyết bằng biện phỏp an toàn vật lý hay cỏc kỹ thuật khỏc.
Bõy giờ đó đến lỳc chỳng ta định nghĩa xem cỏi gỡ là sự vận hành của một thủ tục xỏc thực đa phương (đối xứng hay phi đối xứng) khụng an toàn.
ĐỊNH NGHĨA 1: Một vận hành cụ thể của thủ tục được gọi là vận hành khụng an toàn nếu bất kỳ một bờn tham gia nào trong vận hành, vớ dụ như Alice, thực hiện thủ tục một cỏch trung thực, chấp nhận nhận dạng của phớa bờn kia, và một trong cỏc điều kiện sau xảy ra:
• Tại thời điểm Alice chấp nhận nhận dạng của phớa bờn kia (trước khi cụ ấy gửi hay nhận thụng điệp tiếp theo), một phần hay toàn bộ nhật ký của phớa bờn kia khụng trựng với nhật ký của Alice.
• Khúa trao đổi được chấp nhận bởi Alice bị một một người khỏc biết, đõy khụng phải là người mà Alice đó chấp nhận nhận dạng. (Điều kiện này khụng ỏp dụng cho việc xỏc thực khụng cú trao đổi khúa).
Chỳ ý rằng theo điều kiện này thỡ thủ tục trao đổi khúa kinh điển đũi hỏi cú một đối tượng tin cậy thứ ba [18] sẽ là khụng an toàn.
Rừ ràng là nhật ký của Alice (cần phải trựng với nhật ký của phớa bờn kia theo định nghĩa trờn) chớnh là nhật ký mà cụ ấy cú tại thời điểm mà cụ ấy nhận đủ thụng tin để thực hiện một tớnh toỏn bất kỳ cần thiết để đạt được trạng thỏi chấp nhận; cỏc thụng điệp gửi hay nhận sau đú sẽ khụng liờn quan đến.
Mục đớch của kẻ thự địch là làm cho việc vận hành trở nờn khụng an toàn. Mục đớch của người thiết kế thủ tục là làm cho cụng việc của kẻ địch trở nờn khụng thể (hay là khụng thể về mặt tớnh toỏn) trong mọi thể hiện của thủ tục (trong
mọi lần vận hành). Ngược lại với Định nghĩa 1, chỳng ta cú định nghĩa của thủ tục xỏc thực đa phương an toàn (đối xứng hay phi đối xứng):
ĐỊNH NGHĨA 2: Thủ tục an toàn là thủ tục mà đối với chỳng cỏc điều kiện sau là đỳng trong mọi trường hợp, khi mà một bờn, vớ dụ Alice, thực hiện thủ tục một cỏch trung thực và chấp nhận nhận dạng của phớa bờn kia:
• Tại thời điểm Alice chấp nhận nhận dạng của phớa bờn kia (trước khi cụ ta gửi hay nhận thụng điệp tiếp theo), một phần hay toàn bộ nhật ký vận hành của phớa bờn kia trựng với nhật ký vận hành của Alice.
• Đối với khúa trao đổi nếu được chấp nhận bởi Alice thỡ khụng thể về mặt tớnh toỏn một ai đú cú thể tỡm ra, ngoại trừ chớnh Alice và cú thể là đối tỏc mà Alice đó chấp nhận nhận diện. (Điều kiện này khụng cú đối với việc xỏc thực khụng cú trao đổi khúa).
Chỉ bằng chớnh mỡnh, cỏc định nghĩa trờn khụng giỳp đỡ gỡ trong việc quyết định xem một thủ tục đó cho cú an toàn hay khụng, bởi vỡ nú khụng đưa đến một quỏ trỡnh kiến thiết cho phộp hoặc kiểm chứng hoặc chỉ ra điểm yếu của thủ tục. Dự sao, định nghĩa này cú thể ỏp dụng trực tiếp để quyết định xem một tấn cụng tiềm năng đó cú cú là một tấn cụng thực hay khụng. Vớ dụ, trong việc xỏc thực cú trao đổi khúa, giả sử kẻ thự địch chỉ túm bắt cỏc thụng điệp của Alice và Bob sau đú lại thả cho chỳng đi tiếp mà khụng thay đổi gỡ. Một cỏch trực quan, kẻ thự địch khụng làm tổn hại hệ thống trong trường hợp này; cỏc bờn tham gia chấp nhận nhận dạng của phớa bờn kia, cú nhật ký vận hành trựng nhau và cú khúa chia sẻ khúa bớ mật chung. Chỳ ý rằng theo Định nghĩa 1, một vận hành như vậy là khụng an toàn. Trong cỏc trường hợp khỏc, tấn cụng được đề nghị cú thể trở nờn hoàn toàn phức tạp, và cú thể khụng rừ ràng rằng tấn cụng chẳng cú gỡ khỏc ngoài việc cho đi qua cỏc thụng điệp. Định nghĩa 1 cú thểđược sử dụng để phõn biệt việc cho đi qua như vậy khụng là tấn cụng. Trong Mục 5, định nghĩa này phục vụ tốt trong việc nhận dạng cỏc tấn cụng thực sự; đặc biệt, điều kiện thứ hai, tưởng chừng như tầm thường, là cần thiết.
Trong khi cỏc kỹ thuật phõn tớch hỡnh thức cú thể sử dụng thành cụng để khỏm phỏ cỏc điểm yếu trong một số thủ tục xỏc thực (xem Mục 6), chứng minh tớnh đỳng đắn là khú hơn nhiều, và phụ thuộc nhiều vào việc mụ hỡnh húa đỳng mục đớch và cỏc giả thuyết. Một kỹ thuật khỏc cú thể dựng để khỏm phỏ điểm yếu là việc vột cạn đối với tấn cụng chốn (interleaving attack) [5]. Thật đỏng tiếc, vỡ khụng cú được chứng minh tuyệt đối về tớnh đỳng đắn, niềm tin vào thủ tục chỉ cú được khi cỏc chuyờn gia liờn tục tiến hành phõn tớch nú và thất bại trong việc tỡm ra điểm yếu.