iterative Hashfunktionen

Transkript

1 Presentation im Rahmen von "Kryptographie" (SS 2005, Universität Potsdam) über kryptographische Hashfunktionen (Teil 2) iterative Hashfunktionen Holger Herrlich 22.Mai.2005 Grundlage: "Cryptography: Theory and Practice", Kapitel 4.3 by Douglas R. Stinson "Multicollisions in Iterated Hash Functions. Application to Cascaded Constructions" by Antoine Joux [nachtraegliche Aenderungen hh ]

2 _Inhalt_ Allgemein iterative Hashfunktionen nach Merkle Damgård Stärke am Bsp. SHA1 Multikollisionen als Angriff auf iterative Hashfunktionen (A. Joux, CRYPTO 2004) Implikationen Zusammenfassung Diskusion 2

3 _Allgemein_ H: {0,1}* {0,1} n Anforderungen an Hashes sind: input: Mitteilung jeder Länge output: Hash konstanter Länge keyed unter Umständen einfach (schnell) zu berechenen H ist preimage resistent (one way) H ist kollisionsfrei => Interessenkonflikt hoher Sicherheit & Effizienz (computationally infeasible: 2^80 3DES Operationen) 3

4 _Das iterative Modell_ Verfahren nach Merkle Damgård: 1. polstern der Mitteilung (M) und teilen in gleichgrosse Blöcke (M 0,M 1,..M a ); 2. erste Runde h 0 =f(iv 0 M 0 ); 3. for i=1 to a do h i =f(h i 1 1 M i ); 4. Ausgabe: H(M)=h a ; padding (Polstern): y = M pad(m); injektiv! pad: M rest 0 bisblockende (bisblockende) 2 Komprimierungsfunktion: f: {0,1} n+t {0,1} n ; t>1 (bzw. t>0) 4

5 Stärke Merkle Damgård (1) 1. Padding und Teilen: (M 0,M 1,..M a ); 2. erste Runde h 0 =f(iv 0 M 0 ); 3. for i=1 to a do h i =f(h i 1 1 M i ); 4. Ausgabe: H(M)=h a ; Die Stärke des Merkle Damgård Algorithmus hängt von der Komprimierungsfunktion f ab. Sei M1 M2 (mod t 1): Dann ist in der letzten Runde: H(M1)=H(M2) => f(h1 a 1 1 M1 a )=f(h2 a 1 1 M2 a ) eine Kollision von f. 5

6 Stärke Merkle Damgård (2) 1. Padding und Teilen: (M 0,M 1,..M a ); 2. erste Runde h 0 =f(iv 0 M 0 ); 3. for i=1 to a do h i =f(h i 1 1 M i ); 4. Ausgabe: H(M)=h a ; Fall: M1 = M2 (mod t 1) Sei h1 a =h2 a aber h1 a 1 h2 a 1 dann gilt: H(M1)=H(M2) => f(h1 a 1 1 M1 a )=f(h2 a 1 1 M2 a ) eine Kollision von f. Sei h1 i =h2 i (iterativ), dann ist schliesslich a) M1 = M2 => f(iv 0 M1 0 )=f(iv 0 M2 0 ) M1=M2 oder f nicht kollisionsfrei, bzw. b) M1 > M2 (mit: a M1 = l, a M2 = k) => f(iv 0 M1 0 )=f(h2 l k 1 1 M2 l k ) f nicht kollisionsfrei. 6

7 _Bsp: SHA 1_ Hashverfahren der SHA Familie wurde entwickelt von der NSA und vom NIST (US government standards agency) standartisiert. (FIPS 180 1) findet Anwendung in TLS, SSL, PGP, SSH, S/MIME, IPSec, zb. SHA 1 Hash ist 160 bit (40 nibbles oder 20 byte) lang. Das NIST empfielt ab 2010 den Gebrauch von SHA 256 als Ersatz von SHA 1. 7

8 SHA 1 [ Padding ] anhängen eines einzelnen "1" bit zur Mitteilung anhängen von "0" bits bis M = 448 = 64 (mod 512) anhängen von ( M ) 2 als 64 bit integer [ Init(IV) ] h0 := 0x h1 := 0xEFCDAB89 h2 := 0x98BADCFE h3 := 0x h4 := 0xC3D2E1F0 [Kompress ] for (jeden Block) do Kompress(IV,jeweiliger Block); [Ausgabe ] digest = hash = h0 h1 h2 h3 h4 8

9 SHA 1: Kompress SHA 1 benutzt nicht wirklich ein Unterprogramm für Kompress, sondern durchläuft eine Schleife. ZV: a,b,c,d,e; HV: h0,h1,h2,h3,h4 Schleifeninhalt: ZV = HV; Zerlege Block in 16 Worte zu 32bit; (16*32=512bit) und erzeuge aus diesen 16, 80 Worte; In einer Art PseudoZufallsgenerator wird der ZV in 80 Runden (durch je ein Wort) gemischt; (In SHA 1 fliesst hier eine Konstante (Key) ein.) HV = HV + ZV (Addition modulo 32); 9

10 SHA 1: Sicherheit Padding: Die Objektgrösse (mod 2^64) im letzten Block liefert die Injekivität. Dh. files bis 2^64 = 2,3E19 (ca. 2 Mill Tera) Byte unterscheiden sich im padding. Dafür fehlt das Zwischenbit ("0" im ersten Lauf, "1" in allen folgenden) aus dem Merkle Damgård Modell. Kompress: Die Kompressionsfunktion ist pseudo zufällig genug, um statistische Analysen sehr schwer zu machen. 10

11 _Angriffe auf Hashfunktionen_ Alle kryptografischen Hashfunktionen H:{0,1}* {0,1} n leiden daran, das sie nicht injektiv sind. Dh: ein Preimage kann innerhalb von O( 2^n ), eine Koliision innerhalb von O( 2^(n/2) ) gefunden werden. Darüber hinaus hat der iterierte Algorithmus zwei mögliche Angriffspunkte: die Iteration selbst oder die Kompressionsfunktion. 11

12 Avalance Effekt (oder andere Namen) Dies ist eine Schwachstelle der Kompressionsfunktion. Es werden schlechte Zufälligkeit also Regelmässigkeiten ausgenutzt, um schneller als Brute Force, Kollisionen zu finden. Jedes Bit des Hash sollte von jedem Bit der Mitteilung abhängen. ( > SHA 1 Kompressionsfunktion) 12

13 Multikollisionen Die folgenden Ausführungen beziehen sich auf das Paper von Antoine Joux das zur CRYPTO 2004 vorgestellt wurde. Sie sollen einen Einblick geben. Multikollisionen sind Angriffe auf die Iteration einer Hashfunktion. Bei Multikollisionsangriffen werden r Objekte (r way collisions) erzeugt die, bei gleicher Länge, alle den selben Hash haben: H(M 1 )=H(M 2 )=... =H(M r ). Dies sollte intuitiv entsprechend länger dauern: O( 2^(n(r 1)/r) ), für grosse r: O( 2^n ). 13

14 Multikollisionen (Vorgehensweise) Sei C: h BxB' total mit f(h,b)=f(h,b'). 1. h 0 =IV; (IV der Hashfunktion) 2. for i=1 to t do call C(h i 1 ) to find B i & B i '; h i =f(h i 1,b i ); 3. pad and output: b 0 b 1... b t padding; [b i steht fuer B i oder B i ' hh ] Dann resultieren 2^t Objekte mit gleichem Hash in O( t*2^(n/2)) Zeit. B 1 ' B 2 ' B 3 ' B t ' h 0 h 1 h 2 h 3... h t 1 h t B 1 B 2 B 3 B t 14

15 Multikollisionen (Implikation 1) Sei F(M) G(M) ein Hash der durch Hintereinanderschreiben der Hashes F und G entsteht. Fährt man eine Multikollisionsattacke gegen F, so das t = n g /2, erhält man in Laufzeit O( t*2^(n f /2) ) 2^(n g /2) Mitteilungen, mit denen in Laufzeit O( 2^(n g /2) ) mindestens eine Kollision in G gefunden werden kann, (Birthday Attack) die auch eine Kollision für F(M) G(M) ist. [mit 50% Wahrscheinlichkeit im arithmetischem Mittel ueber alle Kollisionen hh ] Note: 1. Erhöhen von t um eins, verdoppelt die Kandidatenmenge für G! 2. Birthdayattack im Breitendurchlauf. 15

16 Multikollisionen (Implikation 2) Sei G(F(M) M) eine Kaskade von Hashes. Fährt man eine Multikollisionsatacke gegen F, so das t = n g /2, dann erhält man in Laufzeit O( t*2^(n f /2) ), 2^t Mitteilungen, mit denen in Laufzeit O( 2^(n g /2) ) mindestens eine Kollision in G(F(M) M) gefunden werden kann, da F(M)=fix und für M 2^t Kandidaten vorliegen. 16

17 _Zusammenfassung_ Das Merkle Damgård Modell liefert ein übersichtliches Modell um die Stärke eines Hash Verfahrens einzuschätzen: Injekivität des Padding Zufälligkeit von Kompress Erzeugt aber auch nicht offensichtliche Seiteneffekte die die Stärke unterminieren. Multicollisionsattacken Man bastel'e nicht selber grosse Hashes durch H(M)= F(M) G(M) H(M)= G(F(M) M) SHA 1 ist sicher. 17

18 _Quellen_ Merkle Damgård Modell: "Cryptography: Theory and Practice", Kapittel 4.3, by Douglas R. Stinson Multikollisionen: "Multicollisions in Iterated Hash Functins. Application to Cascaded Constructions", Antoine Joux at CRYPTO 2004 SHA 1 pseudocode: wikipedia 18

19 _Diskussion_ hash mich 19

20 _Schluss_ Vielen Dank.