Mobile Sicherheit durch effiziente Public-Key-Verschlüsselung

Transkript

1 Moble cherhet durch effzente ublc-key-verschlüsselung Hagen loog Drk Tmmermann Unverstät Rostock, Insttut für Angewandte Mkroelektronk und Datenverarbetung Rchard-Wagner-tr., 9 Rostock Hagen.loog@un-rostock.de Abstract. ublc-key-kryptographe, nsbesondere das RA-Verfahren, spelt heute n fast allen wchtgen öffentlchen Transaktonen be Identfzerung, Authentfzerung und Dgtaler gnatur an Bankautomaten, Handys oder auch be der set kurzem engeführten Möglchket zur elektronschen teuererklärung (E.L..T.E.R), ene entschedende Rolle.. Wr zegen n desem Betrag, we ublc-key-kryptographe durch algorthmsche Optmerungen n effzente Hardware-Implementerungen überführt werden kann. Erst durch den Ensatz dedzerter Hardware wrd ene mnmale Verzögerungszet garantert und de Benutzung für den Anwender transparent. Enführung Verschlüsselungsverfahren haben n den letzen Jahren enen m wesentlchen verdeckten Enzug n unser täglches Leben gehalten. Wr beschreben n desem Betrag, welche Verfahren es gbt und we se engesetzt werden können. Am Bespel des RA-Verfahrens zegen wr, we mt Hlfe von mathematschen Optmerungen ene schnelle Hardware-Lösung realsert werden kann und sch damt moble cherhet effzent verwrklchen lässt.. Kryptographsche Verfahren Es gbt dre unterschedlche rnzpen von Verschlüsselungsverfahren. e werden danach unterscheden, welche und we de chlüssel benutzt werden. Alle Algorthmen lassen sch dadurch n ene der folgenden Gruppen enordnen: - symmetrsche ysteme, - asymmetrsche ysteme und - hybrde ysteme.. ymmetrsche ysteme Be dem Ensatz symmetrscher ysteme wrd auf der ender und auf der Empfänger-ete der gleche chlüssel benutzt. Das egentlche roblem besteht n der Frage, we der zu benutzende chlüssel übertragen werden kann. ender prvate key Empfänger prvate key plan text E cpher D plan text Bld : ymmetrsche Verschlüsselung

2 . IuK-Tage M-V, Rostock, -5 Jun.. Asymmetrsche ysteme Vele wchtge Funktonen (Identfkaton, Authentfzerung, Unleugbarket, dgtale gnatur usw.) lassen sch mathematsch nur mt Hlfe der asymmetrschen ystemen verwrklchen. Dabe werden auf beden eten unterschedlche chlüssel benutzt. De beden chlüssel snd endeutg mtenander verknüpft. Je nach Anwendungsfall wrd ener der beden chlüssel veröffentlcht, der jewels andere geschützt. ender Empfänger publc key prvate key plan text E cpher D plan text Bld : Asymmetrsche Verschlüsselung.. Hybrde ysteme Um de Geschwndgketsvortele der symmetrschen als auch de anwendungsspezfschen Vortele der asymmetrschen ysteme nutzen zu können, wurden de hybrden ysteme engeführt. Her wrd der chlüssel mttels asymmetrscher Verfahren übertragen und anschleßend zur Übertragung der Nutzdaten n den symmetrschen Modus umgeschaltet.. RA Das RA-Verfahren st der bekannteste Vertreter der Gruppe der asymmetrschen ysteme. Das chlüsselset besteht aus dre Zahlen, dem öffentlchen chlüssel E, dem prvaten chlüssel D und dem ystemmodul N. Dabe st N das rodukt zweer rmzahlen (p, q) und um ausrechende cherhet zu gewährlesten ca. tellen lang ( bt). E kann zufällg gewählt werden, muss aber relatv prm zu φ(n) sen. Dadurch glt: gcd ( E, ( p ) ( q ) ). Für de Berechnung von D glt dem entsprechend: D E mod( p ) ( q ). Zum Verschlüsseln ener Nachrcht m, wrd c m E mod N berechnet. Zum Dekoderen wrd der verschlüsselte Text mt m c D mod N weder zurückgewandelt. In beden Fällen wrd ene Zahl x mt ener Zahl y exponentert und anschleßend mt ener Zahl N reduzert... Modulo-Exponeterung De Modulo-Exponenterung kann als ene Folge von nachenander ausgeführten Modulo-Multplkatonen verstanden werden ("square and multply"). Dadurch werden de enzelnen Zwschenergebnsse ncht unnötg groß und de zum pechern deser Zahl notwendgen Regster können n der Größenordnung von log (N) bleben. In Algorthmus stellt y den Wert des chlüssels an der entsprechenden Btposton dar. Input: x, y, N Output: z x y mod N. z x. For n- DOWNTO DO. z z z mod N. IF ( y ) z z m mod N 5. END FOR 6. RETURN z Algorthmus : quare and Multply

3 . IuK-Tage M-V, Rostock, -5 Jun.. Modulo-Multplkaton De Modulo-Multplkaton AB mod N kann wederum auf de Modulo-Addton zurückgeführt werden. Anstatt das gesamte Zwschenprodukt zu berechnen und erst dann modulo N zu reduzeren, wrd de Redukton nach jedem Zwschenschrtt durchgeführt, Ab mod N. Dadurch verblebt mmer m Berech von [..N[. Für A, B < N und Bb n- b n-... b glt: n AB mod N Ab mod N Ab mod N n n ((( ( (( Ab mod N ) Ab ) mod N ) ) mod N ) Ab ) mod N n De Multplkaton Ab st ene bnäre Entschedung, ob A zum Zwschenergebns addert werden muss. Be der Modulo-Addton zweer Zahlen mt A, B < N glt :. Bewertung A B, falls A B < N A B mod N A B N, sonst Zur Bewertung ener möglchen Implementerung müssen Verglechswerte geschaffen werden. Enen solchen Verglechswert kann de zur Berechnung notwendge Taktanzahl und damt de benötgte Zet darstellen. Zur Verenfachung nehmen wr deshalb an, dass ene Modulo-Addton n enem Taktzyklus ausgeführt werden kann. Weterhn nehmen wr an, dass m Mttel de Hälfte aller Bts des chüssel mt besetzt snd. Damt lässt sch de Modulo-Exponenterung m Mttel mt.5n-modulo-multplkatonen ausführen, jede deser Modulo- Multplkatonen benötgt hrersets weder n Modulo-Addtonen. De Latenzzet deser Archtektur beträgt damt.5n Takte. Um desen erheblchen Rechenaufwand zu reduzeren werden Verfahren engesetzt, de de unnötgen chrtte während der Berechnung übersprngen. In Tabelle snd de zur Zet aktuellen Werte angegeben. Log(N) Anzahl Takte Tabelle : Taktanzahl n Abhänggket der chlüssellänge. Optmerung Der Durchsatz kann erhöht werden, ndem de Nullen m Multplkator B übersprungen werden, denn nur für b muss tatsächlch ene Addton von A zum bshergen Zwschenergebns erfolgen. De Anzahl der zu übersprngenden Bts se sp. Das Übersprngen der Nullen erfolgt mttels enes k-stufgen Barrelshfters. De maxmale Verschebewete beträgt dann k -. De Zwschenwerte berechnen sch dann: sp Ab mod M Häufg wrd der Multplkator B n ene bnary-sgned-dgt Darstellung D D mt d {-,, } umkodert, so dass de Anzahl der Ncht-Null-Dgts und damt de Anzahl der tatsächlch auszuführenden Operatonen gesenkt wrd. Da d jetzt auch den Wert " " annehmen kann, muss de Archtektur neben der Addton auch de ubtrakton von A ermöglchen. berechnet sch dadurch zu: sp d A mod M

4 . IuK-Tage M-V, Rostock, -5 Jun Es kann gezegt werden [WU99], dass durch das Umkoderen ener n-bt Bnärzahl de Anzahl der Ncht-Null-Dgts m Mttel n/ beträgt und dadurch de Abarbetung von durchschnttlch dre Bt pro Operaton ermöglcht wrd. In realen ystemen wrd de möglche Anzahl der zu verschebenden Bts u.a. durch de Anzahl der tufen des Barrelshfters begrenzt, so dass de maxmal zu erwartende durchschnttlche Verschebewete von dre Bt pro Operaton ncht errecht werden kann. Vom Zwschenergebns werden noch, entsprechend der Verschebewete, Velfache des Moduls x M subtrahert, so dass sch letztlch ergbt: sp d A x M De Addton erfolgt zwestufg. Zuerst wrd mt enem Carry-ave-Adderer (CA) de umme gebldet, de dann mttels enes Carry-ropagate-Adderers (CA) von der redundanten Repräsentaton weder n de bnäre Darstellung überführt wrd, wodurch de Anzahl der Regster zum pechern der enzelnen Werte gesenkt wrd. Dese Veröffentlchung konzentrert sch auf de Beschleungung des Multplkatons-look-ahead ohne auf de Beschleungung des Reduktons-look-ahead enzugehen, da deser unabhängg von der Multplkaton arbetet. 5. D-Recodng De Umformung ener Bnärzahl B n ene bnary-sgned-dgt Darstellung D D mt d {-,, } reduzert de Anzahl der Ncht-Null-Werte m Mttel auf n/ und m schlechtesten Fall auf n/, wobe n de Anzahl der Bts von B darstellt. De Anzahl der auszuführenden Operatonen während der Multplkaton wrd durch de Anzahl der Ncht- Null-Dgts von D D bzw. durch de Länge der '' und ''-Ketten n B bestmmt. Retwesner gbt n [REI6] enen Algorthmus für de Umkoderung ener Bnärzahl n ene D-Zahl von rechts-nach-lnks an. Da de Multplkaton aber von lnks-nach-rechts ausgeführt wrd, benutzt edlak [ED6a] deshalb für de Umkoderung Tabelle, de auf den folgenden Regeln beruht:.. a a ( ) (,,) (, ) D (, ) D D a Für das Umkoderen wrd ene zusätzlche Varable bc benötgt, de anzegt, ob gerade en Block von Ensen oder Nullen übersprungen wrd. In Tabelle snd alle möglchen Fälle zusammengefasst. Als Engabe dent dabe das aktuelle bc und de nächsten dre zu untersuchenden Bts von B. Als Ausgabe erhält man das entsprechende d und den nächsten Wert für bc. Joye und Yen haben n [JOY] gezegt, dass de so erzeugte D -Zahl bezüglch des mnmalen Hammng-Gewchts von D D optmal st. Für de Umwandlung wrd ene führende NULL benötgt. Der Algorthmus startet mt bc und b n. b b - b - d bc' Akton bc X z skp Halt Addton X X X X bc X skp - Halt ubtrakton X - X X X skp Tabelle : Optmales D-recodng (lnks nach rechts)

5 . IuK-Tage M-V, Rostock, -5 Jun 5.. Wrkung und Auswrkung Der Algorthmus verschebt den Multplkator B nun solange, bs entweder de durch den k-stufgen Barrelshfter bedngte maxmale Verschebewete von k - errecht st oder ene de Ausführung ener Operaton bedngende Engangskombnaton der zu untersuchenden Bts vorlegt. Be enem zwestufgen Barrelshfter wrd n ca. 5% aller Fälle ene Operaton allen durch den Umkoderungsvorgang ausgelöst. Deser Wert beträgt be enem drestufgem Barrelshfter schon 96%. In deser Konfguraton wrd nur noch n % der Fälle de maxmale Verschebewete errecht, ohne dass glechzetg en Auslösen durch de Umkoderung erfolgt. Für desen Fall muss d auf NULL und sp auf k - gesetzt werden können. Bld zegt de relatve Häufgket enes ausschleßlch durch das Umkoderen bedngten Halts an ener bestmmten Btposton für modularen Multplkatonen zweer 96 Bt langer Zufallszahlen unter Benutzung enes drebzw. ver-stufgen Barrelshfters. De maxmal möglche Verschebewete wrd dabe n ca. 95% der Fälle ncht genutzt (Halt vor Btposton k -). De enfache Erweterung der tufenanzahl des Barrelshfters führt also ncht zur durchschnttlch schnelleren Modulo- Multplkaton. De beden dargestellten Kurven unterscheden sch gerngfügg, was darn begründet legt, dass ''- und ''-Ketten, deren Länge größer als k - st, n mehreren chrtten abgearbetet werden müssen. Es glt: l l k u mod l l> k k ( ) % % k k % % Bld : Abbruchwahrschenlchket an Btposton 6. Beschleungung Um de Modulo-Multplkaton zu beschleungen, wrd zuerst der Fall analysert, der de Lestung der Modulo- Mulplkaton begrenzt. Enthält en Engabewert jewels abwechselnd '' und '', also B..., dann wrd n Abhänggket von bc entweder DD DD... ( bc ) oder ( bc ) erzeugt. Dadurch wrd de Verschebewete auf ledglch zwe Bts pro Operaton reduzert. Das st tatsächlch der ungünstgste Fall für de D-Koderung. Es erschent daher snnvoll, jewels zwe deser Ncht-Null-Werte n geegneter Wese zusammenzufassen. obald durch den Multplkatons-look-ahead ene Akton ausgelöst werden soll, wrd deshalb ncht nur das aktuelle Dgt, sondern auch das nächste und übernächste Dgt von D D bestmmt. Dabe muss ene Verrngerung der Verschebewete auch weterhn mmer möglch sen (Abbruch an Btposton k -, bzw. k -). De modfzerte D-Umwandlung generert deshalb ncht nur de nächsten dre Dgts von D D, sondern auch de nächsten dre möglchen Werte für bc.

6 . IuK-Tage M-V, Rostock, -5 Jun Tabelle fasst alle möglchen Werte für bc zusammen. Für den Fall, dass bc st, seht de Tabelle dentsch aus, mt dem Untersched, dass alle Werte für b nvertert und für d negert werden. Durch dese Erweterung muss de Archtektur nun allerdngs n der Lage sen, de Werte ±A, ±A, ±A, ±5A und ±6A zu zu adderen. Falls de erweterte Verschebung nur telwese bzw. ncht ganz ausgeführt werden kann, müssen weterhn auch de Werte ±A und ±A addert werden können. b b - b - b - b - bc ' bc ' bc ' d d d X X X X X X X X X X X (vorher Abbruch) Tabelle : Koderung für dre Bts (bc ) 6.. Berechnung der Beschleungung D D enthält ene bestmmte Anzahl von Ncht-Null-Werten, de jewels den Multplkatons-look-ahead zu enem HALT und dadurch de Ausführung ener Operaton veranlassen. Im folgenden werden wr nun de Anzahl der durch de Modfkaton am Multplkatons-look-ahead engesparten Operatonen berechnen. Bld zegt enen Moore- Automaten (FM), der de Umwandlung von ener Bnärdarstellung n ene D-Darstellung ausführt. Wegen der ymmetre kann dese FM entlang der gestrchelten Lne n zwe bezüglch der Übergangswahrschenlchket äquvalente Hälften getelt werden. Man erkennt dann, dass z.b. äquvalent zu ( 7 ) st. Zur Verenfachung benutzen wr dese ymmetre m weteren und setzen: 7,, 9,, 5 und 6. Befndet sch de FM nun n rgendenem der HALT-Zustände (,, ( 7,, 9 )), dann folgt mt der Wahrschenlchket (add x ) n ener der nächsten beden tellen en weterer HALT:

7 . IuK-Tage M-V, Rostock, -5 Jun 5. ) ( add add add Als nächstes berechnen wr nun de Wahrschenlchket TO, dass de FM, von enem belebgen Zustand startend, n enem bestmmten Zustand x anhält, denn deser HALT-Zustand st der nächste Zustand von dem aus de FM startet. Dazu müssen wr den Abstand zwschen zwe HALT-Zuständen berechnen. Zuerst wrd von aus gestartet. Mt der Engangsfolge "", oder "" bzw. "() a " halten wr n. De Wahrschenlchket, dass be enem tart von aus der nächste Halt n legt, beträgt demnach 5%. Formell erhalten wr folgende Übergangswahrschenlchketen: [ ] [ ] [ ] 9 7 ) ( ) (

8 . IuK-Tage M-V, Rostock, -5 Jun Geht man von enem belebgen tartpunkt aus, so hält de FM mt TO.5 n (/ ), mt TO.5 n (/ 9 ) und mt TO.5 n (/ 7 ). Damt kann jetzt de durchschnttlche Wahrschenlchket H dafür angegeben werden, dass n enem der beden nächsten chrtte en weterer Halt erfolgt: H ( HALT ) ( add ) ( HALT ) ( add ) ( HALT ) ( add ) 7 6 De her beschrebene Modfkaton des D-Recodng beschleungt de Modulo-Multplkaton ncht, falls kene zusätzlche Addton n den nächsten beden Bts auszuführen st. Ist aber ene Addton auszuführen, so wrd aufgrund der zwe glechzetg ausgeführten Addtonen ene Beschleungung von % errecht. De durchschnttlche Geschwndgket ergbt sch also zu: bt ( H ) bt H bt. operaton operaton operaton / 5 / / / / / -/ / / / -/ -/ 9 bc b b - b - d / bc' 6 7 Bld : Zustandsmaschne zum Überführen ener Bnärzahl n ene D-Zahl 7. Implementerung tatt durch Multplkaton kann das entsprechende Velfache von A über enen zusätzlchen, bnär gewchteten Engang am C-Adderer gebldet werden. Durch ene entsprechende Auftelung legen am höherwertgem Engang des Adderers de Werte, ±A und ±A an. Am nederwertgen Engang legen de Werte, ±A und ±A an. Durch de vorgeschlagene Änderung erhöht sch de Laufzet des engesetzten C-Adderes um ene Volladdererlaufzet T ADD. Der Wert A wrd über enen zusätzlchen Multplexer an de entsprechenden Engänge des Adderes geführt. Der Multplexer kann z.b. als Tr-tate-Bus oder als Transmsson-Gate mplementert werden. De gesamte zusätzlche Latenzzet der Addererenhet beträgt dadurch ledglch T ADD T MUX. Bld 5 zegt den Blockaufbau ener Implementerung der her vorgestellten Modfkaton am D-Recodng. De dazugekommenen Elemente snd grau hnterlegt.

9 . IuK-Tage M-V, Rostock, -5 Jun Z M A A A A A Lookahead MUX MUX Logk Logk C-Adder C CA Z' Bld 5 : Erweterung an der Adderer-Enhet. Zusammenfassung De Modulo-Multplkaton kann bezüglch der Anzahl der notwendgen Operatonen effzent mt ener serellen Archtektur realsert werden. Theoretsche Überlegungen zegen, dass der obere Grenzwert bsher be durchschnttlch maxmal dre Bt pro Operaton lag. Durch ene enfache Modfkaton am Koderungsverfahren kann der Grenzwert nun auf. Bt pro Operaton verschoben werden. Dadurch wrd m Mttel ene Lestungsstegerung von bs zu % errecht. De Auswrkungen der dafür zusätzlch erforderlchen Hardware snd eher gerng, da alle wesentlchen Komponenten berets vorhanden snd. De Latenzzet für de modfzerte n.5 n. Archtektur berechnet sch zu TLZ. Für n ergbt sch damt ene Taktanzahl von 657 Takten. Verglecht man de errechte Geschwndgket nun mt der engangs vorgeschlagenen Lösung, erzelt man ene Verbesserung um den Faktor.. Lteratur [ED6] [WU99] [Re6] [ED6a] [Joy] edlak, H.: En ublc-key-code Kryptographe-rozessor. E.I.-Workshop, GMD, Bonn, 96 Wu, H.; Hasan, M.A.: Closed-Form Expresson for the Average Weght of gned Dgt Representatons IEEE Transactons on Computers, Vol., No., August 999 Retwesner, G.W.: Bnary Arthmetc Advances n Computers, Vol.,.-, 96 edlak, H.: atentschrft DE 699 C, 96 Joye, M.; Yen,.M.: Optmal Left-to-Rght bnary gned-dgt Recodng IEEE Transactons on Computers, Vol. 9, No. 7, July