Institut für Theoretische Informatik Prof. Dr. Dennis Hofheinz Übungsleiter: Jessica Koch, Thomas Agrikola

Transkript

1 Institut für Theoretische Informatik Prof. Dr. Dennis Hofheinz Übungsleiter: Jessica Koch, Thomas Agrikola Stammvorlesung Sicherheit im Sommersemester 2018 Übungsblatt 1 Aufgabe 1. Gegeben ist der folgende Chiffretext. Ermitteln Sie den dazugehörigen Klartext. (Hinweise: Als Verschlüsselungsmechanismus wurde das Vigenère-Verfahren benutzt. Den Chiffretext finden Sie auch als Textdatei zum Herunterladen auf der Webseite zur Vorlesung.) PGOGXLFFRNHRKCWSFFGYGZBUTUTVOWPTHSWHLGSIUFFIXTIOIYWVBHNRRHWTCKCDWDMSWITEHWYNFFOHRVGG FEGFCAPCHCLPZBOHRVGGYDRFSXDLFQJUFFSCPDDZJPEOQHTJGQTSVWGFIPDSTUGOGXLFFRBWZQVNHKCPJZVD HXTTFSYUICAYWFGSSDKOZQDNSRFRTSGXIYSIXTFTDFHJKCWSJWGPCFKBYDSSOSRZSBYIYSSFHZSFFERGGBDI RWXUFFHMTFKBJGKCFJBVAPJGXSBJGRZZDBVOBXXKKWQASSSFHZSFKDIOBFIKOQPTIHCLJVGGMDNSJJGGOGXL FFRXLYWQMPISRNUWWQZAKHCWTDSAGTIAODPCGCWTUIQJIYSGJRLFWYNFTOXNJHSRQVQOZHVOIXTIGANVYHBJ TUHCBGZHSIDNBCWTCSQYGFBWHPCZMXIFFSYWVDOXHNCFIQLGSWHNWZQCVSRKGVEIJCKDOXHNCFIGVGSYHRBR HJJSFXPISATGVZWPTCMHTGVIGJIYSGFBVDOXHNCFIHZAWQPIZMYWVACWTJHFNCXSBYGVEINGVASSIJTCWERG GBDIRGYGVBUYWVUVFKVOANMFTIUEVFQFHVOBIAFKSWRRGSQTKHSWHRBRIXXWHXDIQVFCXSWYBFBHMAPHVJVI SOYTIHVJSVUFJTKCKMXTVIXTIGKNACGIGKVFHYWVGMXIVACYWVFGFGXISQDEUSWERGGBDIRGUGFJWITDCFJH VQIWXKMSLTEHFTEPHVFCJVCWIVFDFHJKCWSJKWYWRKWITMOFNTKMCKRYOFFRKSFXXEHVJBVACWPSWZNIPOBI HVQIWXKMCKERGGBDIRGOTWTMFCVHOQTOOANCVHVJTWTSHIFTOIKZQSLXMSBYDLGSWHRPCZIRUCTSTVCNRVCT UPJGKTGUHVJNWCISSKVOYERGGBDIRGGPJSRTCKVWSZZBUTURDVWPJSOSSKOYNCXHVJUZFGYAVHHJGFTSFRYK CWSRFSOJJHOXBVACWPSZSFHEOWATCMGJAVQHJSGOGXLFFRXPERXZHKOGMPIRHTRIOQPPJFOSSFAZDVVBSWPK SRUPJGKTGUGQTBSWBNCXHKTDIACWTLBFJARHSILFFRXPEROQIVFWSVJCAJDWHVJAVHHJGJHCXEVQWFATVOWP THSWHFFBZBSSFXXJOBTIYSFLDFRAJIYCRGJKOGNCXZSIXTHWTCRFMBDIRWXCFHVFKZBUFEVFGTCRZZDSVGWL CVROQVFFWYWDTCWVVBSWPKWBLDSGQZGVDOXHNCFIHZGOSDKVSWVFCRRTKVCIWFKSATIOGPXEUIXTIGHTGVAS RQVFOUPJGKTGUQCSHZGHNCXCTFBZLCKJGDSWRRGSFCUZCBTIQOXTTVOWPTHSWHZGGNBZZOWIFOGPXEUHMTDH CWTDSAGTIOGJFLSBHTFTPNIJVOWSKCFJBVAPJGRBRTCCMOQXKHZJQZHVFGUSFYDTFOHZVUCSAPCBJWLBRWTU HKJCKMSNVYHHNBVGVFGUSFYDTFOHZWCFXTMSBQTKHSWERGGBDIRGQTJGWKIYSIXTIGWRECMQFEZHOQXJSGTC VCTYWVZSYIVFGFHBWBLJJSFXIFIGJQFHVQTKHSWHRBRIXXWHXLZZZTUKSBQTRRHTTRGMYDXISXHJIPXIZHIY XFBGXJTVOXTKCHMGVSOSSZHCTCVGIGHKWHZIZCBXLYWQMPISKJACYBTLEHCFIKOQPTIGGNBZZOWAPHMUXEUH MTGOGXLFFRTCVYSDQFOFIGFKVNVYSFNHRQCRBFBHWXTYYSDNBHTPKHOHZVFGNCKKCYWFIGFCUHVNGKSSSVFC UQTISZJPJSRFAZGHTUKVSRDJHQTBDCBUPJGKTGUHMUTJOZQDWKVNRYOFJRFBGNSVFSIXEGSHJISPJRRIGJIY SMFGVHCTTRGMYDXISXHVGDJRZOZQNRTHJGISGJPIQVNCXOBNCUWJNSLOZTCJCQNPCASIXRHVJCRASTURDSYR YWZIURAWQNDSAGTICFXXXBWKXTOBYDKVSWPEBWATIGOWNUOHJHRBRGXIHVIPPGPNGKVDQPTSBFBVCTFURJCW XKSVTAZRODHFASYWZBUWTCOHJSKCOKPMCFNIVGDTGKGHJPDHVJLFFRUPJGKTGUWHNHTCARDEDFFRKWQJPDCB LHKQCRELHSWJJSFXIFFSZHVHVJHRASUPJGKTGUCBRJCHWUAVGWYTJHVNHGFSXTEHGFHLPGYPEHWFAJSQZGZH MWXJYGNCTSOSPKHOHZVFBJTUCBQNTCAUGFAWXTRGWSVCSGNIVWBTGUSFYDXOWSPTQSXHKCCYWVFGNIVGHMTM WQYXDIGJHKVWXEICPQTDWGJMRQSWQRHSIQPOZXDISIXXEUIXTIBORTJOBIQPKSGHZHSXGVEINGZBUJBRWZQD XWBXPJWHRPBSGNIVOGNTITCWPEOHYPTYSWIFHFFRBOGNCXZSZHVFOHGFGGRJCHWUAVGWYTJDOXHNCFIGVIGJ RRBPJPMCWITUCFRXEWAZHVRPDJJWBLBESATCZQHJRYBWVJVGKWXKWBLERGGBDIRGIDNBCSERDSWDIIGNCXOD FHJKCWSDOBFVVFWYWRGPJTEOFLJVRPDGVRATCUFSXTRFQMTIGRNCVWTQDISBHXFOBIRFFAFRYSFQTPHCLTKV SWLZHVUPLZQAPECCWHTVCYDWQOWAVHCSJEWJJGJWHDRRBOIPKVOYERGGBDIRFJJJSWXXESJNIRPZJPERHMPK IGJGJGVTJCRFJJJSDFHJKCWSJTCWAFKGJRLFWYNNSPXXKSGBWZQVHDEHONCCWHYAVDSWHFBOQSRHOFCUBCKX EOBHXRZWSUFFAFIZCBKDISLFBGZSFCUWBXIVORKDTIGYWVWFJUWCFYHFBFJBVAPJGCCBLRFADQTODOXHNCFI HWCFFUVKWREFFHFCKOQHDLBHXHLQVFHSOBPPTQCZCKGGNBZZOWPIUIRTEHGBTISAFSVPMKDIPSXXEBCYRYOB LTGOGXLFFRXPJCTYTEOGRPEMSCEVFHXPUJWXTUISYDKVSXPDSZNBZHOYXFBGNCYIAFCDSATGP Lösungsvorschlag zu Aufgabe 1. Wir interpretieren den Chiffretext C als Zahlenfolge C = (C i ) n i=1 {0,..., 25} n, wobei (A 0, B 1,..., Z 25) gilt. Um aus Vigènere-Chiffraten den Klartext zu ermitteln, gehen wir wie folgt vor:

2 (i) Wir raten die Länge l des Schlüssels K = K 1 K 2... K l {0,..., 25} l (oder wir nutzen die Kasiski-, Friedmann- oder die Autokorrelations-Methode, die einen Kandidaten für m ausgeben). In unserem Fall raten wir l = 5. (ii) Wir zerlegen das Chiffrat in l Teilchiffrate C (i) := (C i, C i+l, C i+2l,... ) für i {1,..., l}. Jedes Teilchiffrat C (i) ist nun einfach eine Caesar-Verschlüsselung mit Schlüsselkomponente K i. Unser Ziel ist es diese l getrennten Caesar-Chiffren durch eine Frequenzanalyse zu brechen. (iii) Die Idee hinter der Frequenzanalyse der Teilchiffrate ist, dass ein Buchstabe im Klartext (beispielsweise A) stets auf den gleichen Buchstaben im Teilchiffrat abgebildet wird (beispielsweise K). Da Buchstaben in natürlicher Sprache nicht gleichverteilt auftreten, können wir so aus dem Chiffrat Rückschlüsse auf den Klartext und sogar den verwendeten Schlüssel ziehen. Im Englischen ist die erwartete Buchstabenverteilung beispielsweise wie folgt: Im Englischen und im Deutschen sehen die Buchstaben wie in Abb. 1 verteilt. A: ********************************* B: ****** C: *********** D: ***************** E: *************************************************** F: ********* G: ******** H: ************************ I: **************************** J: * K: *** L: **************** M: ********** N: *************************** O: ****************************** P: ******** Q: R: ************************ S: ************************* T: ************************************ U: *********** V: **** W: ********* X: * Y: ******** Z: (a) Erwartete Buchstabenhäufigkeit im Englischen (Quelle: Wikipedia). A: ************************** B: ******** C: ************ D: ******************** E: ********************************************************************** F: ******* G: ************ H: ******************* I: ****************************** J: * K: ***** L: ************** M: ********** N: *************************************** O: ********** P: *** Q: R: **************************** S: ***************************** T: ************************* U: ***************** V: *** W: ******** X: Y: Z: ***** (b) Erwartete Buchstabenhäufigkeit im Deutschen (Quelle: Wikipedia). Abbildung 1: Buchstabenverteilung Die Frequenzanalyse des ersten Teilchiffrats C (1) ist in Abb. 2a dargestellt. Der häufigste Buchstabe ist das T. Wahrscheinlich wurde also beim Verschlüsseln das E auf T abgebildet. Dies würde bedeuten, dass für die erste Schlüsselkomponente K 1 = T E = P gilt. So gehen wir nun bei allen Teilchiffraten vor und erhalten als Kandidaten für den Schlüssel K = PRDOF. Versuchen wir das Chiffrat mit diesem Schlüssel zu entschlüsseln, erhalten wir einen Text, der fast wie natürliches Englisch aussieht. Allerdings scheint das Teilchiffrat für K 3 = D noch nicht richtig entschlüsselt zu sein. Werfen wir einen Blick auf die entsprechende Buchstabenverteilung in Abb. 2b. Wir vermuten nun, dass das E auf das zweithäufigste Zeichen also das S abgebildet wurde. Damit ergäbe sich O als dritte Schlüsselkomponente und als Schlüssel insgesamt K = PROOF. Tatsächlich liefert dieser Schlüssel (nach Hinzufügen von Groß-/Kleinschreibung, Leer- und Satzzeichen und Ersetzen von Zahlwörtern,) den Klartext:

3 A: ************** B: ************** C: **************************** D: ******************************* E: ************* F: * G: ******************************* H: *********************************** I: ********************** J: ************ K: *** L: ******** M: * N: ****** O: P: ************************************** Q: ****** R: ****************** S: ************** T: ************************************************* U: *********** V: ******** W: ************ X: *********************** Y: Z: **** A: ************* B: ************************ C: ****************************** D: ********** E: ** F: ******************************** G: *************************************** H: *********************************************** I: ********** J: ** K: ************ L: * M: ****** N: O: *********************************** P: *** Q: ************* R: ************** S: ********************************************* T: ******** U: ****** V: ************* W: ********************* X: Y: *** Z: *********** (a) Die Frequenzanalyse von C (1). (b) Die Frequenzanalyse von C (3). Abbildung 2: Frequenzanalysen A password is a word or string of characters used for user authentication to prove identity or access approval to gain access to a resource (for example: an access code is a type of password), which is to be kept secret from those not allowed access. The use of passwords is known to be ancient. The easier a password is for the owner to remember generally means it will be easier for an attacker to guess. However, passwords which are difficult to remember may also reduce the security of a system because (a) users might need to write down or electronically store the password, (b) users will need frequent password resets and (c) users are more likely to re-use the same password. Similarly, the more stringent requirements for password strength, e.g. "have a mix of uppercase and lowercase letters and digitsör "change it monthly", the greater the degree to which users will subvert the system. Others argue longer passwords provide more security (e.g., entropy) than shorter passwords with a wide variety of characters. In The Memorability and Security of Passwords, Jeff Yan et al. examine the effect of advice given to users about a good choice of password. They found that passwords based on thinking of a phrase and taking the first letter of each word are just as memorable as naively selected passwords, and just as hard to crack as randomly generated passwords. Combining two or more unrelated words and altering some of the letters to special characters or numbers is another good method, but a single dictionary word is not. Having a personally designed algorithm for generating obscure passwords is another good method However, asking users to remember a password consisting of a "mix of uppercase and lowercase charactersïs similar to asking them to remember a sequence of bits: hard to remember, and only a little bit harder to crack (e.g. only one hundred twenty eight times harder to crack for seven-letter passwords, less if the user simply capitalises one of the letters). Asking users to use "both letters and digits"will often lead to easy-to-guess substitutions such as E to three and I to one, substitutions which are well known to attackers. Similarly typing the password one keyboard row higher is a common trick known to attackers. In two thousand thirteen, Google released a list of the most common password types, all of which are considered insecure because they are too easy to guess (especially after researching an individual on social media) The name of a pet, child, family member, or significant other Anniversary dates and birthdays Birthplace

4 Name of a favorite holiday Something related to a favorite sports team The word "password" It is common practice amongst computer users to reuse the same password on multiple sites. This presents a substantial security risk, since an attacker need only compromise a single site in order to gain access to other sites the victim uses. This problem is exacerbated by also reusing usernames, and by websites requiring logins, as it makes it easier for an attacker to track a single user across multiple sites. Password reuse can be avoided or minimused by using mnemonic techniques, writing passwords down on paper, or using a password manager. It has been argued by Redmond researchers Dinei Florencio and Cormac Herley, together with Paul C. van Oorschot of Carleton University, Canada, that password reuse is inevitable, and that users should reuse passwords for low-security websites (which contain little personal data and no financial information, for example) and instead focus their efforts on remember long, complex passwords for a few important accounts, such as bank accounts. Similar arguments were made by Forbes in not change passwords as often as many ëxpertsädvise, due to the same limitations in human memory. (Quelle: Aufgabe 2. Aus der Vorlesung ist bekannt, dass One-Time-Pad-Chiffrate verformbar sind. (Ein Chiffrat C := M K, mit Klartext M und Schlüssel K, können wir verformen, indem wir C := C X, für ein beliebiges X, berechnen. Bei der Entschlüsselung wird daraus M := D(K, C ) = C K = (C X) K = M X.) Das im HEX-Format gegebene Chiffrat DF C A E verschlüsselt das Wort COMPLEXIFY. Verformen Sie dieses, sodass bei der Entschlüsselung der Klartext DOKTORMETA entsteht. (Hinweis: Die Buchstaben sind im ASCII-Format kodiert.) Lösungsvorschlag zu Aufgabe 2. Nach einer Verformung C := C X, für ein One-Time-Pad- Chiffrat C und beliebiges X, gilt C = (M X) K, für einen Klartext M = D(K, C). Um den Klartext M := 43 4F 4D 50 4C (entspricht nach der ASCII-Tabelle und HEX-codiert dem Wort COMPLEXIFY ) in M = 44 4F 4B 54 4F 52 4D (entspricht DOKTORMETA ) zu ändern, führen wir zuerst eine XOR-Verknüpfung X := M M = C durch. Anschließend berechnen wir C := C X = D8 C A und erhalten damit M = D(K, C ) = 44 4F 4B 54 4F 52 4D , was dem Wort DOKTORMETA entspricht. (Hinweis: Auch der Schlüssel K ist bekannt; denn es gilt K = C M = 9C 8F 3C 12 C6 D5 4F B.) Aufgabe 3. Wir wissen, dass die Blockchiffre (E, D): {0, 1} 8 {0, 1} 4 {0, 1} 4 bei Eingabe eines festen Schlüssels K 0 eine Eingabe M wie folgt auf eine Ausgabe C := E(K 0, M) abbildet: M C Verschlüsseln Sie die Klartexte M 1 = und M 2 = unter K 0 in den Betriebsmodi Electronic Code Book (ECB), Cipher Block Chaining (CBC), und Counter Mode (CTR). Wählen Sie, falls nötig, einen geeigneten Initialisierungsvektor. Worauf sollte bei der Wahl eines Initialisierungsvektors IV in den einzelnen Modi, geachtet werden? (Beispielsweise: Falls E ununterscheidbar von einer Zufallsfunktion ist, wie sollte IV im CBC-Modus oder CTR-Modus gewählt werden, um passive Sicherheit zu gewährleisten?) Lösungsvorschlag zu Aufgabe 3. Eine Verschlüsselung mit Initialisierungsvektor IV 1 := 0000 (für Klartext 1) bzw. IV 2 := 0101 (für Klartext 2) im CBC- und CTR-Modus (und ohne Initialisierungsvektor im ECB-Modus) sieht wie folgt aus: M 1, ECB CBC CTR

5 Eine notwendige Bedingung, um passive Sicherheit im CBC-Modus zu gewährleisten, ist die zufällige und gleichverteilte Wahl des Initialisierungsvektors für jeden Verschlüsselungsvorgang. (Um sich gegen aktive Angreifer abzusichern, müssen jedoch andere Maßnahmen ergriffen werden.) Aufgabe 4. Der Betriebsmodus Xor-Encrypt-Xor (XEX) für Blockchiffren ist wie folgt definiert: i α α α Key₂ Plaintext Plaintext Plaintext Key₁ Key₁ Key₁ Ciphertext Ciphertext XEX mode Ciphertext Quelle: Wikipedia Erläuterungen: der Schlüssel besteht aus zwei Teilen key 1 und key 2 i ist Nummer des Sektors key 2 wird benutzt, um aus i einen Initialisierungsvektor X 1 zu erzeugen der erste Block des Sektors wird zunächst mit X 1 XOR-verknüpft, dann unter key 1 mit der Blockchiffre abgebildet und schließlich erneut mit X 1 XOR-verknüpft der zweite Block verwendet statt X 1 den Vektor X 2 := X 1 α ist die multiplikative Verknüpfung in dem Restklassenring GF (2 128 ) := F 2 [X]/ ( X X 7 + X 2 + X + 1 ). 1 Arithmetik: die multiplikative Verknüpfung kann also wie die Multiplikation im Polynomring F 2 [X] berechnet werden, anschließend muss noch modulo X 128 +X 7 +X 2 +X+1 reduziert werden um einen geeigneten Repräsentanten zu finden (geeignet bedeutet in diesem Fall höchstens vom Grad 127) In Formeln ausgedrückt funktioniert der XEX Betriebsmodus wie folgt: X j := E(key 2, i) α j 1 C j := E(key 1, M j X j ) X j für j {1,..., n}, wobei n der Anzahl der Blöcke pro Sektor entspricht. Verschlüsseln Sie den Klartext M = unter (key 1, key 2 ) := (K 0, K 0 ) (siehe Aufgabe 3) im XEX Betriebsmodus mit der Blockchiffre (E, D) aus Aufgabe 3. Die Sektornummer sei i = Nehmen Sie an, dass die Nachricht M in den Sektor i passt. Die Arithmetik findet hier in GF (2 4 ) := F 2 [X]/ ( X 4 + X + 1 ) statt. Wir verwenden α := X. Ein Bitstring der Länge 4 entspricht in naheliegender Weise einem Polynom von Grad 3: der Bitstring a 3 a 2 a 1 a 0 {0, 1} 4 entspricht dem Polynom 3 i=0 a ix i F 2 [X]. Tipp: Um ein Polynom zu reduzieren, kann man das zu reduzierende Polynom durch den Modulus X 4 + X + 1 via Polynomdivision teilen. Das reduzierte Polynom entspricht dann genau dem Rest in der Polynomdivision. (Wie in lineare Algebra.) 1 Sei P := X X 7 + X 2 + X + 1 und I := (P ) := P F 2 [X]. Wir nehmen hier ohne Beweis an, dass die Menge GF (2 128 ) = F 2 [X]/I mit der Addition [a] + [b] := [a + b] und der Multiplikation [a] [b] := [a b] ein Ring ist, wobei hier mit [a] die zum Repräsentanten a F 2 [X] gehörende Restklasse a + I gemeint ist. Genauer entsteht in diesem Fall sogar ein Körper, dessen multiplikative Gruppe von dem Polynom X erzeugt wird.

6 Lösungsvorschlag zu Aufgabe 4. Der Initialisierungsvektor ist hier X 1 = E(K 0, 0011) = Der erste Chiffratblock ist daher E(K 0, ) 1110 = E(K 0, 1010) 1110 = = Für den nächsten zu verschlüsselnden Block verknüpfen wir X 1 zunächst mit α in GF (2 4 ) um X 2 zu erhalten. Als binäre Polynome dargestellt erhalten wir nach der Multiplikation 1110 α = (X 3 + X 2 + X)X = X 4 + X 3 + X 2. Dieses Polynom können wir nicht mit 4 Bit darstellen, weshalb wir es modulo (X 4 + X + 1) reduzieren müssen. Erinnerung an lineare Algebra: Wir führen also eine Polynomdivision durch. Der Rest ist das gesuchte reduzierte Polynom. (X 4 + X 3 + X 2 ) : (X 4 + X + 1) = 1 X 4 + X + 1 Rest: X 3 + X 2 + X + 1 Also ist X 2 = Der zweite Chiffratblock ist demnach E(K 0, ) 1111 = E(K 0, 1000) 1111 = = X 2 wird nun erneut mit α verknüpft. Wir erhalten X 3 = Der dritte Chiffratblock ist also E(K 0, ) 1101 = E(K 0, 1001) 1101 = = Nach der dritten Verknüpfung von X 1 mit α erhalten wir X 4 = X 3 α = Der vierte Chiffratblock ist also E(K 0, ) 1001 = E(K 0, 1000) 1001 = = Damit ist des gesamte Chiffrat gegeben durch C = Hinweis: der Initialisierungsvektor ist hier nicht Teil des Chiffrats, da er mit aus dem Schlüssel und der Sektornummer rekonstruiert werden kann.