Kryptographie I Symmetrische Kryptographie

Transkript

1 Kryptographie I Symmetrische Kryptographie Eike Kiltz 1 Fakultät für Mathematik Ruhr-Universität Bochum Wintersemester 2014/15 1 Basierend auf Folien von Alexander May. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 1 / 22

2 Organisatorisches Vorlesung: Mo 12:15-13:45 in HNC 30, Di 14:00-15:30 in HZO 70 Präsenzübung: Mo in NB 3/99, Mo in NA 5/99, Di ? in NA 01/99, Start 6. Oktober Vorrechenübung: Di, 15:30-17:00 in NB 02/99, Start 14. Oktober Assistenten: Felix Heuer (NA 5/75) (Teil 1), Daniel Masny (NA 5/71) (Teil 2) Vorrechennübung: Andreas Heesemann Korrektur: Patricia Wienen Übungsaufgaben werden korrigiert. Gruppenabgaben bis 3 Personen Bonussystem: 1/3-Notenstufe (5%) für 50%, 2/3-Notenstufe (10%) für 75% Mindestens 50% bei Klausur Klausur: Ende Februar und Anfang April Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 2 / 22

3 Inhalt Einführung in moderne Methoden der symmetrischen (Teil I) und asymmetrischen (Teil II) Kryptographie. Theoretische Grundlagen Fragestellungen: Formale Definition von Sicherheit? Wie beweise ich Sicherheit? Wie baue ich aus Protokoll A ein komplexeres Protokoll B? Nicht Teil dieser Vorlesung: Implementierungen Hacken allgemeine IT-Sicherheit Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 3 / 22

4 Literatur Vorlesung richtet sich nach Jonathan Katz, Yehuda Lindell, Introduction to Modern Cryptography, Taylor & Francis, 2008 Weitere Literatur S. Goldwasser, M. Bellare, Lecture Notes on Cryptography, MIT, online, O. Goldreich, Foundations of Cryptography Volume 1 (Basic Tools), Cambridge University Press, 2001 O. Goldreich, Foundations of Cryptography Volume 2 (Basic Applications), Cambridge University Press, 2004s A.J. Menezes, P.C. van Oorschot und S.A.Vanstone, Handbook of Applied Cryptography, CRC Press, 1996 Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 4 / 22

5 Effiziente Algorithmen Ziel: Ver-/Entschlüsseln soll effizient möglich sein. Unser Berechnungsmodell ist die Turingmaschine (s. DiMa I+II) Verwenden polynomielle Algorithmen A P. Definition Polynomialzeit-Algorithmus Sei A ein Algorithmus. A heißt polynomial-zeit (pt), falls A bei allen Eingaben der Länge n in Laufzeit O(n k ) für ein festes k anhält. A heißt probabilistisch polynomial-zeit (ppt), falls A ein pt-algorithmus ist, der uniforme Zufallsbits verwendet. Notation pt und ppt Notation Sei A ein ppt Algorithmus mit Eingabe x. Wir notieren y A(x), falls y das Resultat einer probabilistischen Berechnung ist. Wir notieren y := A(x), falls y das Resultat einer deterministischen Berechnung ist. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 5 / 22

6 Verschlüsselungsverfahren Definition Symmetrisches Verschlüsselungsverfahren Sei n N ein Sicherheitsparameter und (K n ) n N, (M n ) n N, (C n ) n N Familien von Schlüssel-, Nachrichten- bzw. Chiffretexträumen. Ein symmetrisches Verschlüsselungsverfahren Π = (Gen, Enc, Dec) besteht aus drei ppt-algorithmen mit folgendem Eingabe/Ausgabe Verhalten 1 Gen: Gen liefert bei Eingabe 1 n einen Schlüssel k K n. 2 Enc: Enc liefert bei Eingabe k und Nachricht m M n einen Chiffretext c C n. Wir schreiben c Enc k (m). 3 Dec: Dec liefert bei Eingabe k und c C n eine Nachricht m M n oder ein spezielles Ablehnungssymbol. Dec ist deterministisch und wir schreiben m := Dec k (c). und der folgenden Korrektheitseigenschaft: für alle n N, k K n, m M n gilt: Dec k (Enc k (m)) = m. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 6 / 22

7 Kerckhoffs Prinzip (1883) Forderung Kerckhoffs Prinzip Die Sicherheit eines Verschlüsselungsverfahrens Π = (Gen, Enc, Dec) darf ausschließlich auf der Geheimhaltung des Schlüssels beruhen. D.h. Gen, Enc und Dec sind bekannt. Anmerkungen: Schlüssel lassen sich besser geheimhalten als Algorithmen. Schlüssel lassen sich besser austauschen als Algorithmen. Schlüssel lassen sich besser verwalten als Algorithmen. Öffentliche Untersuchung von Π durch Experten ist erforderlich. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 7 / 22

8 Monoalphabetische Substitution Verschiebechiffre Idee der Verschiebe-Chiffre: Verschiebe jeden Buchstaben um k Position zyklisch im Alphabet. Identizieren A,..., Z mit 0,..., 25. Definition Verschiebe-Chiffre (ca. 50 v. Chr.) Es gilt M n = C n = Z n 26 und K n = Z Gen: Ausgabe k R Z Enc: Verschlüssele m = (m 0,..., m n 1 ) Z n 26 als c := (Enc k (m 0 ),..., Enc k (m n 1 )) mit Enc k (m i ) := m i + k mod 26 für i = 0,..., n 1. 3 Dec: Entschlüssele c := (c 0,..., c n 1 ) als m = (m 0... m n 1 ) := (Dec k (c 0 ),..., Dec k (c n 1 )) mit Dec k (c i ) := c i k mod 26 für i = 0,..., n 1. Beispiel: KRYPTO wird mit k = 2 als MTARVQ verschlüsselt. K = 26, d.h. der Schlüsselraum kann leicht durchsucht werden. Benötigen grosse Schlüsselräume, z.b. K 2 80 Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 8 / 22

9 Polyalphabetische Substitution Vigenère Chiffre Idee der Vigenère Chiffre: Verwende t 1 hintereinandergeschaltete Verschiebungen. Definition Vigenère Chiffre (1553) Es gilt M n = C n = Z n 26 und K n = Z t Gen: Ausgabe k = (k 0...k t 1 ) R Z t Enc: Verschlüssele m = (m 0,..., m n 1 ) Z n 26 als c := (Enc k (m 0 ),..., Enc k (m n 1 )) mit Enc k (m i ) := m i + k i mod t mod 26 für i = 0,..., n 1. 3 Dec: Entschlüssele c := (c 0,..., c n 1 ) als m = (m 0,..., m n 1 ) := (Dec k (c 0 ),..., Dec k (c n 1 )) mit Dec k (c i ) := c i k i mod t mod 26 für i = 0,..., n 1. Sonderfall t = 1 liefert Verschiebechiffre. Sonderfall t = n liefert perfekt sichere (!) Vernam-Chiffre (1918). Kryptanalyse mittels Häufigkeitsanalyse für t n möglich. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 9 / 22

10 Prinzipien der modernen Kryptographie Prinzip 1 Sicherheitsmodell Das Sicherheitsmodell (Berechnungsmodell, Angriffstypen, Sicherheitsziele) muss präzise definiert werden. Prinzip 2 Präzisierung der Annahmen Es muss spezifiziert werden, unter welchen Annahmen das System als sicher gilt. Prinzip 3 Reduktionsbeweis der Sicherheit Es muss bewiesen werden, dass unter der gegeben Annahme (Prinzip 2) kein Angreifer die Sicherheit bzgl. des gegeben Sicherheitsmodells (Prinzip 1) brechen kann. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 10 / 22

11 Prinzipien der modernen Kryptographie Sicherheit Prinzip 1 Sicherheitsmodell Das Sicherheitsmodell (Berechnungsmodell, Angriffstypen, Sicherheitsziele) muss präzise definiert werden. Berechnungsmodell: wir müssen das Berechnungsmodell des Angreifers definieren, z.b. Turing Maschine, Beschränkung auf ppt Angreifer. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 11 / 22

12 Mögliche Angriffstypen Prinzip 1 Sicherheitsmodell Das Sicherheitsmodell (Berechnungsmodell, Angriffstypen, Sicherheitsziele) muss präzise definiert werden. Beispiele für Angriffstypen Ciphertext Only Angriff (COA, passiver Angriff): Angreifer erhält nur Chiffretexte. Known Plaintext Angriff (KPA, passiv): Angreifer erhält Paare Klartext/Chiffretext. Chosen Plaintext Angriff (CPA, aktiv): Angreifer erhält Chiffretexte von adaptiv gewählten Klartexten. Chosen Ciphertext Angriff (CCA, aktiv): Angreifer erhält Entschlüsselung von adaptiv gewählten Chiffretexten seiner Wahl. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 12 / 22

13 Prinzipien der modernen Kryptographie Sicherheit Prinzip 1 Sicherheitsmodell Das Sicherheitsmodell (Berechnungsmodell, Angriffstypen, Sicherheitsziele) muss präzise definiert werden. Beispiele für ungenügende Definitionen von Sicherheitzielen Kein Angreifer kann k finden. Betrachte Enc k ( ), das die Identität berechnet: k wird zum Entschlüsseln nicht benötigt. Kein Angreifer kann die zugrundeliegende Nachricht bestimmen. Möglicherweise können 90% der Nachricht bestimmt werden. Kein Angreifer erhält sinnvolle Information über den Klartext vom Chiffretext. Was bedeutet sinnvolle Information genau? Möglicherweise kennt der Angreifer bereits Information über den Klartext z.b. dass er aus JA oder NEIN besteht. Kein Angreifer erhält zusätzliche Information über den Klartext vom Chiffretext. Gut, erfordert aber Spezifikation des Begriffs zusätzliche Information. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 13 / 22

14 Prinzip 2 Präzisierung der Annahmen Prinzip 2 Komplexitätsannahme Es muss spezifiziert werden, unter welchen Annahmen das System als sicher gilt. Eigenschaften: Annahmen sollten unabhängig von der Kryptographie sein. Bsp: Das Faktorisierungsproblem ist nicht in polynomial-zeit lösbar. Bsp: Das Finden von kürzesten Vektoren in Gittern ist nicht in polynomial-zeit möglich. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 14 / 22

15 Prinzip 3 Reduktionsbeweis der Sicherheit Prinzip 3 Beweis der Sicherheit Wir beweisen, dass unter den gegebenen Annahmen kein Angreifer die Sicherheit brechen kann. Anmerkungen: D.h. wir beweisen, dass das System gegen alle Angreifer im Sicherheitsmodell sicher ist, unabhängig von der Herangehensweise des Angreifers! Typische Beweisaussage: Unter Annahme X folgt die Sicherheit von Konstruktion Y bezüglich des Sicherheitsmodells Z. Der Beweis erfolgt per Reduktion: Ein erfolgreicher ppt Angreifer A für Y bezüglich Z wird transformiert in einen ppt Algorithmus B, der Annahme X verletzt. Bsp: Angreifer A auf die CCA-Sicherheit einer Verschlüsselung liefert einen Algorithmus B zum Faktorisieren. Krypto - Vorlesung Verschlüsselung, Kerckhoffs, Angreifer, klassische Chiffren, Vigenère 15 / 22