MGI Exkurs: RSA-Kryptography

Transkript

1 MGI Exkurs: RSA-Kryptography Prof. Dr. Wolfram Conen WS 05/06, Version 1.0 Version 1.0 1

2 Angenommen, Sie heißen ALICE haben Geheimnisse......und wollen mit einem Bekannten namens BOB s austauschen ohne dass ihre Erzfeindin EVE deren Inhalt entziffern kann Für die Übertragung der s steht ihnen nur normales SMTP und normales POP zur Verfügung (d.h. alles geht im Klartext, also so, wie sie es geschrieben haben, über das Internet) Anmerkung: Bei POP, dem Post-Office-Protokoll, mit dem die meisten -Programme ihre Post beim Server abholen, gilt das auch für ihr Passwort! Übrigens: SMTP ist das Simple Mail Transfer Protocol (Zum Versenden von Nachrichten) Was tun Sie? Version 1.0 2

3 Angenommen, Sie heißen ALICE... Eine gute Idee: Sie verschlüsseln ihre Nachrichten Wie kriegen Sie es nun hin, dass sie gegenseitig ihre verschlüsselten Nachrichten lesen können? Erste Idee: Sie einigen sich auf EINEN geheimen Schlüssel Nicht so toll: Sie wohnen in Gelsenkirchen, Bob in Australien...wie tauschen sie den geheimen Schlüssel sicher aus? Das nennt man übrigens symmetrische Verschlüsselung bzw. Private-Key-Kryptographie Version 1.0 3

4 Symmetrische Kryptographie = Version 1.0 4

5 Angenommen, Sie haben Geheimnisse... Zweite Idee: Jeder von Ihnen hat ein Schlüsselpaar (s,s ), nämlich s BOB,s BOB,s ALICE,s ALICE Es gelte, dass eine Nachricht, die mit dem Schlüssel s verschlüsselt wird, NUR mit s entschlüsselt werden kann UND UMGEKEHRT! Einen seiner Schlüssel hält jeder geheim Bob hält s BOB geheim, Alice s ALICE Die anderen Schlüssel schicken sich Bob und Alice einfach so über s Internet, z.b. per Und nun? Version 1.0 5

6 Angenommen, Sie haben Geheimnisse... Jetzt kann ALICE Nachrichten an BOB mit seinem öffentlichen Schlüssel verschlüsseln Diese kann BOB dann mit seinem geheimen Schlüssel entschlüsseln Sie kann außerdem zuerst die Nachricht mit ihrem geheimen Schlüssel verschlüsseln (= signieren im RSA-Originalpaper) dann kommt sie wirklich von ihr! Das kann BOB mit dem öffentlichen Schlüssel von ALICE kontrollieren (Mögliche Probleme hier?)...und Bob kann das Gleiche tun. Voila! Ihr Problem ist (fast) gelöst! Version 1.0 6

7 Public-Key-Kryptographie [Nur eine Richtung abgebildet: von Alice nach Bob] Version 1.0 7

8 Public-Key Kryptographie Privacy: ALICE sendet eine Nachricht m, die sie mit BOBs öffentlichem Schlüssel s BOB verschlüsselt hat, an BOB: BOB kann die Nachricht mit seinem privaten Schlüssel s BOB entschlüsseln: s BOB (s BOB (m)) = m EVE kann die Nachricht nicht entschlüsseln! Authentication: ALICE verschlüssel die Nachricht m zuerst mit ihrem privaten Schlüssel s ALICE und dann wie oben mit s BOB BOB kann die empfangene Nachricht nun zuerst mit seinem privaten Schlüssel und dann mit dem öffentlichen Schlüssel von ALICE entschlüsseln BOB kann sicher sein, dass die Nachricht von ALICE kam (zumindest, wenn das Entschlüsselungsergebnis sinnvoll war!) Version 1.0 8

9 Public-Key Kryptographie Provable Authentication (Signaturen) BOB kann sogar zu einem unabhängigen Judge (=Richter) gehen und diesen überzeugen, dass die Nachricht m tatsächlich von ALICE kam! nach Anwendung seines privaten Schlüssels kann er die mit ALICE privatem Schlüssel verschlüsselte Nachricht dem Judge vorlegen Dieser kann nun mit dem öffentlichen Schlüssel von ALICE die ursprüngliche Nachricht m erhalten Nur ALICE kann die Nachricht vorher mit ihrem privaten Schlüssel verschlüsselt haben! Genau genommen weiß der Richter nur, dass die Nachricht mit dem anderen Schlüssel des Schlüsselpaares ALICE verschlüsselt wurde...ob das wirklich ALICE war, ist natürlich wieder eine andere Frage... Wenn der Judge den öffentlichen Schlüssel von ALICE z.b. von einer trusted authority erhalten hat, die die Identität der vermeintlichen Schlüsselinhaber garantiert, wäre das gewährleistet! Version 1.0 9

10 Public-Key Kryptographie Man kann das auch noch modifizieren: Zu einem Dokument m wird in standardisierter Weise ein sogenannter Hash berechnet (z.b. eine 50-Bit-Zahl) Nur diese wird mit dem privaten Schlüssel des Senders verschlüsselt und ans Dokument m angehängt Jetzt haben wir ein unterschriebenes Dokument! (Signature) Eine dokumentenunabhängige Unterschrift würde in der digitalen Welt nicht funktionieren! Cut-and-Paste... Wir haben Kosten gespart, denn wir brauchen nicht die ganze (möglicherweise lange) Nachricht m verschlüsseln Der Empfänger kann nun mit dem öffentlichen Schlüssel des Senders den Hash entschlüsseln, selbst mit dem standardisierten Verfahren einen Hash für m bestimmen Beide Hashes vergleichen und so erkennen, ob das Dokument modifiziert wurde! Version

11 Angenommen, Sie haben Geheimnisse... Das ist asymmetrische Verschlüsselung bzw. Public-Key- Kryptographie Sie ist leider deutlich langsamer, als sichere symmetrische Verschlüsselungen Ein Problem zu Beginn bleibt allerdings hier noch: Ist Bob wirklich Bob und Alice wirklich Alice? Ein sogenannter Man in the Middle könnte zu Beginn beide öffentlichen Schlüssel einkassieren und jeweils eigene weiterleiten er könnte (müßte) dann den kompletten -Verkehr kontrollieren (lesend und schreibend!) ohne aufzufallen.. aber das ignorieren wir hier mal... Das klingt doch schon ganz gut, aber wie findet man solche Schlüsselpaare? Version

12 Wie viele Primzahlen gibt es? Natürliche Zahlen: N = {0,1,2,3,4,...} Ganze Zahlen: Z = {...,-3,-2,-1,0,1,2,3,...} Primzahlen: P = {2,3,5,7,11,...} Primzahlen sind natürliche Zahlen größer als 1, die nur durch die 1 und sich selbst teilbar sind. Wir müssen noch teilen bzw. teilbar für natürliche Zahlen definieren: a teilt b (ohne Rest), in Zeichen a b, wenn gilt: b = k*a Hier sind a,b,k natürliche Zahlen (die 0 lassen wir mal weg) Beispiel: 3 teilt 15, also 3 15, denn 15 = 5 * 3 Version

13 Wie viele Primzahlen gibt es? Gegeben: Eine beliebige endliche Menge P = {p 1,...,p r } von Primzahlen. es sei m = p 1 p 2...p r und n = m+1 es sei p ein Primteiler von n Angenommen, p P. Dann wäre p ein Primteiler von m, denn es käme ja als Faktor in p 1 p 2...p...p r vor. Also würde p sowohl n als auch m teilen Wenn eine Zahl t aber zwei Zahlen z 1, z 2 teilt, dann teilt sie auch die Differenz der beiden Zahlen: z.b. z 1 = k 1 *t z 2 = k 2 *t, k 1 < k 2 z 2 -z 1 = (k 2 -k 1 )*t, etwa 15=3*5, 35=7*5, 20 = = 4*5 = (7-3)*5 Version

14 Wie viele Primzahlen gibt es? Unsere Differenz ist aber 1, d.h. p würde 1 teilen. p ist aber größer als das ist also unmöglich!...also kann p nicht Element von P sein! Beachten Sie, dass P beliebig gewählt wurde also kann es keine endliche Menge von Primzahlen geben, die alle Primzahlen enthält (denn mindestens unser p würde immer fehlen!) Dieser Beweis dafür, dass es unendlich viele Primzahlen gibt, stammt von Euklid (ein Grieche, der auch Vater der euklidischen Geometrie ist) Version

15 Wie viele Primzahlen gibt es? Im Beweis werden einige Dinge verwendet: Die natürlichen Zahlen wachsen ins Unendliche Jede natürliche Zahl n 2 hat einen Primteiler Aus diesen beiden Tatsachen kann man auf viele verschiedene Arten folgern, dass P unendlich ist. Faktorisierung: Man kann jede natürliche Zahl auf eindeutige Weise als Produkt von Primzahlen (ihren Primfaktoren) darstellen (Fundamentalsatz der Arithmetik, erster vollständiger moderner Beweis von Gauß): z.b. 2*3*7 = 42 Für Primzahlen besteht das Produkt nur aus der Zahl selbst! Version

16 Wie findet man Primzahlen? Sieb_des_Eratosthenes(n): Zweck: Bestimmen der Primzahlen zwischen 2 und n. Eingabe: n N Lege eine Tabelle der Zahlen von 2 bis n an z 2 Solange z 2 n tue Falls die Zahl z in der Tabelle nicht durchgestrichen ist, gib z+ ist eine Primzahl aus und streiche jedes Vielfache von z in der Tabelle durch z z+1 Heute macht man das etwas effizienter... Version

17 Wie findet man Primzahlen? Erst vor 2 Jahren fanden übrigens drei Inder (Agraval, Kayal, Saxena) einen deterministischen Test auf die Primzahleigenschaft, der nur polynomialen Aufwand erfordert (allerdings in der Originalversion mit 12 potenziert) Mit diesem (und ähnlichen, oft probabilistischen Test, z.b. Rabin- Miller) kann man für eine gegebene Zahl n prüfen, ob sie eine Primzahl ist oder nicht. Primzahl-Theorem: Sei π(x) die Anzahl der Primzahlen kleiner als x. Dann gilt näherungsweise π(x) x / ln x. Z.B. 100-stellige Primzahlen: π( ) - π(10 99 ) 3,9 * Version

18 Zurück zur Suche nach Schlüsselpaaren... Ron Rivest, Adi Shamir und Leonard Adleman entwarfen den RSA- Algorithmus (Originalpaper von 1977) (es gab geheime Vorgänger) Denken Sie daran: wir brauchen ein Schlüsselpaar! Zuerst wähle zwei Primzahlen p und q, p q. Bestimme n = p*q Mit Hilfe dieses n finden wir gleich zwei Zahlen d und e, die gemeinsam mit dem Modulus n die Schlüssel (d,n) und (e,n) bilden. Wie wird dann ver- und entschlüsselt? m soll verschlüsselt werden, m < n Chiffre c = m e mod n (Chiffre bzw. Geheimtext) c entschlüsseln: m = c d mod n Das Ganze funktioniert dann, wenn m ed mod n = m Version

19 Zurück zur Suche nach Schlüsselpaaren... Nochmal: Gesucht Zahlen e und d mit m ed mod n = m Anmerkung: Hier wird die Modulo -Operation (% in Java) verwendet Modulo gibt uns den ganzzahligen Rest einer Division, z.b. ist 3 mod 3 = 0, 4 mod 3 = 1, 5 mod 3 = 2, und wieder 6 mod 3 = 0 Wie finden wir aber nun diese beiden Zahlen d und e? Version

20 Zurück zur Suche nach Schlüsselpaaren... Kleiner Satz von Fermat: Ist n prim und m kein Vielfaches von n (also insbesondere m < n), so gilt m n-1 mod n = 1 Beispiel: n = 7, m = 4, 4 6 = 4*4*4*4*4*4 = 64 2 = 2 12 = 4096 / 7 = 585 Rest 1 Verallgemeinerung von Euler: m TF(n) mod n = 1; hier ist TF(n) die Anzahl der Zahlen kleiner n, die mit n keinen gemeinsamen Teiler > 1 haben. Wieviele zu n teilerfremde Zahlen < n gibt es? Sei n = 3*5 = 15, dann gibt es 8 teilerfremde Zahlen: 1,2,4,7,8,11,13,14 (die Eins zählt man mit...) Ist k eine Primzahl, so hat sie natürlich k-1 teilerfremde Zahlen (alle kleineren Zahlen) Version

21 Zurück zur Suche nach Schlüsselpaaren... Unser n = p*q hat zwei Primfaktoren, was wissen wir dann über die Anzahl der teilerfremden Zahlen? In Frage kommen alle Zahlen kleiner als n, also (n-1) Zahlen. Davon müssen wir aber alle Vielfachen von p und alle Vielfachen von q abziehen Beachte: Vielfache von p und q fallen natürlich erstmals bei n zusammen. Fände das vorher statt, wären p und q beides Primfaktoren dieser Zahl, diese müsste also mindestens p*q in ihrer Faktorzerlegung haben, wäre also mindestens so groß wie n Beispiel: 21 = 3*7. 3,6,9,12,15,18 sind nicht teilerfremd zu 21 (also 7-1 = 6) ebenso nicht 7,14 (also 3-1 = 2), insgesamt also (21-1) 6 2 = 12 (nämlich 1,2,4,5,8,10,11,13,16,17,19,20). Generell also (n-1) (p-1)-(q-1) = (p*q-1)-(p-1)-(q-1) = p*q p q + 1 = (p-1)*(q-1) Version

22 Zurück zur Suche nach Schlüsselpaaren... Da unsere n s immer so aussehen, ist die Anzahl teilerfremder Zahlen hier immer (p-1)*(q-1) = TF(n) Also gilt in unserem Fall m (p-1)(q-1) mod n = m TF(n) mod n = m Hilft uns das? Ja, denn wenn wir zwei Zahlen d und e so bestimmern, dass ed mod TF(n) = 1 gilt... (ed steht für e*d, e muß teilerfremd zu TF (n) sein)...dann können wir mit Hilfe der Sätze von Fermat, Euler und einiger Rechnerei zeigen, dass tatsächlich m ed mod n = m gilt, denn mit ed mod TF(n) = 1 folgt ed = k*tf(n)+1 für ein k N Erinnerung: TF(n) = (p-1)(q-1) und n=pq Nach dem Satz von Euler gilt nun m k*tf(n)+1 mod n = m für alle m < n und k N (Obiger Satz modifiziert) Version

23 Zurück zur Suche nach Schlüsselpaaren... e und n bilden den öffentlichen Schlüssel, d und n den privaten Schlüssel (p und q kann man jetzt vernichten ) Es geht dann folgendes: Zur Erinnerung: c = m e mod n ist das Chiffre c d mod n = (m e mod n) d mod n = m ed mod n = m k*tf(n)+1 mod n = m Version

24 Zurück zur Suche nach Schlüsselpaaren... Wie werden e und d bestimmt? Man kann e z.b. fest wählen, etwa die vierte Fermatzahl (eine Primzahl), = 65537, es sollte e mod TF(n) = 1 gelten (sonst gibt es Komplikationen) d kann man nun z.b. mit dem erweiterten euklidischen Algorithmus bestimmen Wie funktioniert der einfache Euklid? Eingabe Zahlen a N 0, b N Ausgabe: Größter gemeinsamer Teiler ggt(a, b) Methode: int ggt(int a, int b) { } if (b==0) return a; else return ggt(b, a%b); Das Zeichen % steht in Java für die mod-operation. Die Rekursion terminiert, da a mod b stets kleiner als b ist; der zweite Parameter der Funktion wird also irgendwann 0. (Den Algo und weitere Details finden Sie auf den informativen Seiten von H.W. Lang, Fh Flensburg) Version

25 Zurück zur Suche nach Schlüsselpaaren... Beispiel: p = 7, q = 13, also n = 7*13 = 91 TF(91) = (7-1)(13-1) = 6*12 = 72 Zu 72 teilerfremdes e wählen: 77 d bestimmen, so dass e*d mod 72 = 1 ist d finden, indem man x*72 + d*77 = 1 wie folgt löst: GGT von 72 und 77 ist 1, Bestimmung (mit Euklid) 77 mod 72 = 5 (77 = 1*72 + 5) 72 mod 5 = 2 (72 = 14*5 + 2) 5 mod 2 = 1 (5 = 2*2 + 1) 2 mod 1 = 0 (2 = 2*1 + 0) Und rückwärts: (mit erweiterem Euklid) 1 = 5-2*2 = 5-2*(72-14*5) = -2*72 + (1+2*14)*5 = 29*5-2*72 =29*(77-72)-2*72 = 29*77 29*72 2*72 = 29*77-31*72 Unser d ist also 29. Kontrolle: 77*29 = 2233 = = 31* Version

26 Zurück zur Suche nach Schlüsselpaaren... Beispiel: n = 91, e = 77 ist der öffentliche Schlüssel n = 91, d = 29 ist der geheime Schlüssel Unsere Nachricht sei nun m = 10 (muß < 91 sein, wenn nicht, dann muß sie in Blöcke < n zerhackt werden) Chiffre c = m e mod n = mod 91 = 82 ACHTUNG: Man muß Modular-Arithmetik beherrschen, sonst werden die Zahlen schnell zu groß...ihr Körper enthält etwa 10^27 Atome, die Erde etwa 10^49, die Sonne 10^57, die Milchstraße 10^68, das bekannte Universum etwa 10^78... Und funktioniert auch unsere Entschlüsselung? Klartext m = c d mod n = mod 91 = 10 Ein anderes Beispielchen: p = 61, q = 53, pq = 3233, e = 17, d = 2753, m = 123, c = 855 Entziffern: 855^2753 mod 3233 Version

27 Modulare Exponentiation 855^2753 mod 3233 = Version

28 Modulare Exponentiation Version

29 Modulare Exponentiation mod 3233 = 123 Version

30 Modulare Exponentiation Geht das auch besser (=platzsparender)? Klar! x^13 = x*x*x*x*x*x*x*x*x*x*x*x*x 12 Multiplikationen x^13 = x^(8+4+1) = x^( ) = x 8 * x 4 * x 1 = (x 4 ) 2 * (x 2 ) 2 * x = (x 4 * x 2 ) 2 * x = ((x 2 ) 2 * x 2 ) 2 * x = ((x 2 * x) 2 ) 2 * x 5 Multiplikationen 2753 = ( )_2 also 2752 = = Version

31 Modulare Exponentiation 855^1 = 855 (mod 3233) 855^2 = 367 (mod 3233) 855^4 = 367^2 (mod 3233) = ^8 = 2136^2 (mod 3233) = ^16 = 733^2 (mod 3233) = ^32 = 611^2 (mod 3233) = ^64 = 1526^2 (mod 3233) = ^128 = 916^2 (mod 3233) = ^256 = 1709^2 (mod 3233) = ^512 = 1282^2 (mod 3233) = ^1024 = 1160^2 (mod 3233) = ^2048 = 672^2 (mod 3233) = 2197 Version

32 Modulare Exponentiation 855^2753 (mod 3233) = 855^( ) (mod 3233) = (855^1 * 855^64 * 855^128 * 855^512 * 855^2048) (mod 3233) = (855 * 916 * 1709 * 1160 * 2197) (mod 3233) = (794 * 1709 * 1160 * 2197) (mod 3233) = (2319 * 1160 * 2197) (mod 3233) = (184 * 2197) (mod 3233) = 123 (mod 3233) = 123 Es gilt allgemein: (a * b) mod m = ((a modm) *(b modm)) modm Beispiel: (6 * 11) mod 4 = 66 mod 4 = (64+2) mod 4 = 2...und (6 * 11) mod 4 = ((6 mod 4) * (11 mod 4)) mod 4 = (2*3) mod 4 = 6 mod 4 = 2 Version

33 Zurück zur Suche nach Schlüsselpaaren... Warum ist das Verfahren sicher? Es gilt als schwer, große Zahlen in Primfaktoren zu zerlegen (es ist zumindest noch kein effizientes Verfahren bekannt, sonst könnte man p und q bestimmen und damit aus e auch d!) Für große Schlüssel (>= 1024 Bit) ist es in absehbarer Zeit praktisch unmöglich (aber das hat man auch für deutlich kleinere Schlüssel schon geglaubt...) Allerdings ist die Faktorisierung kein anerkannt hartes Problem, es konnte nicht gezeigt werden, dass es NP-vollständig ist (was das ist, hören wir erst später) vielleicht finden sie einen effizienten Algo? Für Quantencomputer (die es noch nicht in der benötigten Form gibt, erwartet wird das für ca. 2016, aber wer weiß...) hat Peter Shor bereits 1993 einen polynomialen Algo zum Faktorisieren großer Zahlen vorgeschlagen... Dann werden alle alten mit RSA verschlüsselten Nachrichten mit einem Schlag unsicher! (es gibt auch noch andere mögliche Angriffe!) Version

34 Schlussbetrachtung Über die Kryptographie findet die Mathematik (insbesondere die sogenannte Zahlentheorie) viele direkte Anwendungen in der Informatik! Wenn Sie beginnen wollen, Public-Key-Kryptographie für ihre s zu verwenden, dann schauen sie hier: The International PGP Home Page ( Zu symmetrischer Kryptographie gibt es einen relativ neuen, öffentlichen (US-)Standard: AES. Infos zum AES-Standard bzw. zum (in Belgien entwickelten) Rijndael Algo (der im Standard verwendet wird). Version

35 Schlußbetrachtung Insgesamt ein spannendes Thema, zu dem man ein kleines bisschen wissen sollte vielleicht schauen sie sich zu solchen Stichworten wie RSA, DES, AES usw. mal im Netz um. (RSA ist auch der Name einer wichtigen Kryptographiefirma, die unter anderem Wettbewerbe für das Brechen ihrer Codes ausschreibt: wenn sie eine mit einem 2048-Bit-Schlüssel verschlüsselte Nachricht knacken, gibt es z.b US-$) Bücher zum Thema gibt es viele, recht nett ist z.b. Trappe, Washington: Introduction to Cryptography with Coding Theory (oder sie schauen in das weiter vorne erwähnte Buch von Lang, oder oder) Version