Sicherheit von Π MAC2

Transkript

1 Scherhet von Π MAC2 Satz Scherhet von Π MAC2 Se Π scher. Dann st Π MAC2 ebenfalls scher. Bewes: Se A en Angrefer für Π MAC2 mt Erfolgsws ɛ(n). Wr konstrueren enen Angrefer A für Π. Algorthmus Angrefer A EINGABE: 1 n, Orakel Mac k ( ). 1 Beantworte Mac k (m (j) 1... m(j) l )-Anfragen von A we folgt: Wähle r (j) R {0, 1} n 4 und berechne t (j) = Mac k (r (j) l m (j) ) für = 1,..., l. 2 (m, t) = (m 1... m l, r, t 1... t l ) A Mac k ( ) (1 n ). AUSGABE: Ncht-angefragtes m = r l m mt gültgem Tag t, falls en solches n ( m, t ) exstert. Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 122 / 131

2 Scherhet von Π MAC2 Mac forge A,Π (n) k Gen (1 n ) t (j) Mac k( m (j) ) Q =,j m(j) 1 n m (j) t (j) A r (j) R {0, 1} n/4 m (j) = r (j) l m (j) 1 n m (j) für = 1,..., l t (j) t (j) = (r (j), t (j) 1,..., t (j) l ) Suche en ncht (m, t) angefragtes A Wähle Q M mt Q = {m (1),..., m (q) }, m (j) = m (j) 1,..., m(j) l und m (j) {0, 1} n 4. Berechne t = (r, t 1,..., t l ) für en m / Q m := r l m Ausgabe: 1, falls Vrfy k( m, t ) = 1 und m / Q ( m, t ) mt gültgem Tag t n (m, t). Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 123 / 131

3 Scherhet von Π MAC2 Wr defneren de folgenden Eregnsse Forge: En Block m = r l m n (m, t) wurde ncht an Mac k ( ) angefragt, aber Vrfy k ( m, t ) = 1. Repeat: Be 2 MAC-Anfragen wrd dasselbe r () = r (j) verwendet. Aufgrund der Scherhet von Π glt negl(n) Ws[Mac-forge A,Π (n) = 1] = Ws[Mac-forge A,ΠMAC2 (n) = 1 Forge] = ɛ(n) Ws[Mac-forge A,ΠMAC2 (n) = 1 Forge] = ɛ(n) Ws[Mac-forge A,ΠMAC2 (n) = 1 Forge Repeat] }{{} ɛ 1 Ws[Mac-forge A,ΠMAC2 (n) = 1 Forge Repeat] }{{} Ws[Repeat] Zegen nun ɛ 1 = 0 und Ws[Repeat] negl(n). Damt ɛ(n) negl(n). Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 124 / 131

4 Scherhet von Π MAC2 zu zegen: Ws[Repeat] negl(n) Se q(n) de Anzahl der MAC-Anfragen von A an A. Be der -ten MAC-Anfrage wähle A den Identfkator r. Repeat trtt en, falls r () = r (j) für en j. Se des Eregns E,j. Nach Geburtstagsparadoxon glt: Ws[Repeat] = Ws [ ] E,j Ws[E,j ] 1 <j q(n) 1 <j q(n) q(n)2 2 n 4 = negl(n). Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 125 / 131

5 Scherhet von Π MAC2 zu zegen: Ws[Mac-forge A,ΠMAC2 (n) = 1 Forge Repeat] = 0 Idee: Mac-forge A,ΠMAC2 (n) = 1 und Repeat mplzert Forge. Se (m, t) = (m 1... m l, r, t 1... t l ) de Ausgabe von A. Fall 1: Identfkator r unterschedet sch von allen r (j). Dann st (z.b.) r l 1 m 1 ncht-angefragt mt gültgem Tag t 1. Fall 2: r = r (j) für genau en j [q(n)]. Se m (j) = m (j) 1... m(j) l de von A angefragte Nachrcht. Fall l l : Dann st r l 1 m 1 ncht-angefragt mt gültgem Tag t 1. Fall l = l : Wegen m / Q glt m m (j). D.h. es exstert en, so dass m m (j). Damt wurde r l m ncht angefragt. Tag t st dafür gültg. Fall 3: r = r (j) für mehrere j [q(n)]. Fall st ausgeschlossen, da wegen Repeat glt r () r (j) für alle j. Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 126 / 131

6 Scherer MAC für Nachrchten belebger Länge Korollar Scherer MAC für Nachrchten belebger Länge Se F ene Pseudozufallsfunkton. Dann st Π MAC2 für Π = Π MAC scher. Nachtele: Für m ({0, 1} n 4 ) l snd l Anwendungen von F k erforderlch. Der MAC-Tag t = (r, t 1... t l ) bestzt Länge (l + 1)n Bts. Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 127 / 131

7 CBC-MAC für Nachrchten fester Länger Algorthmus CBC-MAC für Nachrchten fester Länger Se F ene Pseudozufallsfunkton und m ({0, 1} n ) l für festes l. 1 Gen: Wähle k R {0, 1} n. 2 Mac: Für k {0, 1} n und m = m 1... m l ({0, 1} n ) l setze t 0 = 0 n, Ausgabe des Tags t := t l. t := F k (t 1 m ) für = 1,..., l. 3 Vrfy: Für k {0, 1} n und (m, t) ({0, 1} n ) l {0, 1} n, { 1 falls Mac k (m) = t Ausgabe =. 0 sonst Anmerkungen: Für den CBC-MAC kann Scherhet für festes l gezegt werden. Tags bestzen nur Länge n, unabhängg von l. Konstrukton st unscher für varables l (Übung). Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 128 / 131

8 CBC Mac m 1 m 2 m l F k F k F k 0 n t 1 t 2 t l Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 129 / 131

9 Verglech mt CBC Modus be Verschlüsselung Rolle des Intalserungsvektors Benötgen zur Scherhet bem CBC Modus IV R {0, 1} n. Der CBC-MAC verwendet enen festen Wert IV = t 0 = 0 n. Verwendet man en zufällges t 0 R {0, 1} n und gbt (t 0, t l ) als Tag aus, so st des ene unschere MAC-Konstrukton! (Übung) Ausgabe CBC Modus: Ausgabe aller c, um entschlüsseln zu können. Bem CBC-MAC wrd nur t l ausgegeben. De Werte t 1,..., t l 1 kann der Verfzerer selbst bestmmen, de MAC-Länge st nur n. Werden t 1,..., t l 1 ausgegeben, so st der MAC unscher! (Übung) Man beachte: Schenbar harmlose Änderungen können drastsche Effekte haben. Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 130 / 131

10 Schere CBC-MACs für Nachrchten varabler Länge Erzeugen längenabhängger Schlüssel: Berechne k l := F k (l) als Schlüssel für Nachrchten der Länge l. Verwende k l als Schlüssel n CBC, d.h. t := F kl (t 1 m ). Wr erhalten enen egenen Schlüssel k l für jede feste Länge l. Anhängen der Länge: Verwende t 0 := F k (l) als Intalserungsvektor. Äquvalent zum Berechnen des Tags von l m 1... m l mt t 0 = 0 n. Man beachte: Berechnen des Tags m 1... m l l st unscher. Verwenden zweer Schlüssel: Wähle k 1, k 2 R {0, 1} n. Berechne den Tag t = F k2 (Mac k1 (m)). Alternatv: Wähle k 1 := F k (1) und k 2 := F k (2). Vortel: Mac-Berechnung möglch, ohne l a pror zu kennen. Krypto I - Vorlesung () MAC varabler Länge, CBC-MAC 131 / 131