Anhang V zur Vorlesung Kryptologie: Hashfunktionen

Transkript

1 Anhang V zu Volesung Kyptologie: Hashfunktionen von Pete Hellekalek Fakultät fü Mathematik, Univesität Wien, und Fachbeeich Mathematik, Univesität Salzbug Tel: +43-0) Fax: +43-0) pete.hellekalek@sbg.ac.at web: Salzbug, 29. Juni 2011

2 2

3 Inhaltsvezeichnis 1 Hashfunktionen Einwegfunktionen Hashfunktionen Zum Gebutstagspoblem Links

4 4 INHALTSVERZEICHNIS

5 Kapitel 1 Hashfunktionen Public Key-Kyptogaphie benötigt fü die Efüllung ihe Aufgaben bestimmte kyptogaphische Wekzeuge. Ein besondes wichtiges Wekzeug sind in diesem Zusammenhang kyptogaphische Hashfunktionen. Fü Details veweisen wi auf die Monogaphie von Menezes et al. [MvOV97] und die Lehbüche von Tappe und Washington [TW06] sowie Stinson [Sti06]. 1.1 Einwegfunktionen 1.1 Definition Einwegfunktion) Seien X und Y zwei nichtleee Mengen. Eine Funktion f : X Y heißt eine Einwegfunktion, falls gilt: 1. es gibt effiziente Vefahen zu Beechnung von fx), x X, 2. zu gegebenem y Y gibt es kein effizientes Vefahen zu Beechnung von passenden Agumenten x X mit de Eigenschaft fx) = y. Anschaulich ausgedückt spicht man von eine Einwegfunktion, wenn de Wet von fx) fü jedes x X leicht zu beechnen ist, hingegen zu gegebenem y Y passende x X mit y = fx) aufwändig zu finden sind. 1.2 Bemekung Existenzpoblem) Es ist nicht bekannt, ob Einwegfunktionen existieen. 1.3 Beispiel Faktoisieungspoblem) Sei K eine seh goße natüliche Zahl, zum Bespiel K = Sei X = {p 1, p 2 ) : p 1 p 2 pim, p 1, p 2 K, i = 1, 2}, sei Y = N und sei f : X Y fp 1, p 2 ) = p 1 p 2 Es wid vemutet, dass f eine Einwegfunktion ist. 5

6 6 KAPITEL 1. HASHFUNKTIONEN 1.4 Beispiel Diskete Logaithmus) Sei p pim, sei X = {0, 1,..., p 2}, sei Y = {1,..., p 1} = Z p und sei g eine Pimitivwuzel modulo p. Dann definieen wi f : X Y fx) = g x mod p) Es wid vemutet, dass f eine Einwegfunktion ist. 1.5 Bemekung Fü Einwegfunktionen gilt: 1. Bei veschiedenen Anwendungen wie zum Beispiel bei UNIX-Betiebssystemen wid de Paßwot-Klatext mit eine Einwegfunktion beuht auf eine DES-Vaiante) veschlüsselt und in eine Systemdatei abgelegt. Beim Einloggen des Benutzes wid de von diesem eingegebene Klatext ebenfalls veschlüsselt und die beiden veschlüsselten Texte weden miteinande veglichen. Auf diese Weise wid das kompliziete Dechiffieen umgangen. 2. Fü die Sicheung von Daten muß eine Einwegfunktion eine effiziente Dechiffieung elauben, man vewendet dazu Einwegfunktionen mit Falltüe E: tap-doo one-way functions). 1.6 Definition Einwegfunktion mit Falltüe) Unte eine Einwegfunktion mit Falltüe E: tap-doo one-way function) vestehen wi eine Einwegfunktion f : X Y mit den Eigenschaften 1. es gibt effiziente Vefahen zu Beechnung von fx), x X, und, fü gegebenes y Y, zu Bestimmung von passenden x X mit fx) = y, 2. das effiziente Vefahen zu Beechnung von passenden x X mit fx) = y, zu vogegebenem y Y, kann nicht aus f hegeleitet weden, sonden benötigt eine geheim zu haltende) Zusatzinfomation, die sogenannte Falltüe E: tap doo). 1.7 Bemekung Es ist noch nicht gelungen, die Existenz solche Funktionen zu beweisen. Einwegfunktionen mit Falltüe lassen sich mit einem Biefkasten mit Schloß vegleichen: das Eingeben ist leicht, das Heausfinden des Inhalts ohne Schlüssel ist schwieig, das Heausfinden des Inhalts mit Schlüssel ist leicht.

7 1.2. HASHFUNKTIONEN Hashfunktionen 1.8 Bemekung Datenintegität) Eine de Gundaufgaben de angewandten Kyptogaphie lautet, die Integität eine gegebenen Datei sichezustellen. Es geht daum feststellen zu können, ob die Datei bei de Speicheung ode de Übemittlung veändet wude. Diese Aufgabe ist in Zusammenhang mit de digitalen Signatu von gundlegende Bedeutung. Diese Aufgabe wid gelöst, indem man einen elektonischen Fingeabduck E: fingepint) de Datei ezeugt, mit Hilfe von kyptogaphischen Hashfunktionen. 1.9 Definition Hashfunktion) Sei A eine nichtleee Menge, Alphabet genannt, und bezeichne A die Menge de Wöte übe A, also die Menge endliche Folgen mit Elementen aus A. Unte eine Hashfunktion vestehen wi eine Funktion de Gestalt h : A A n, x hx), mit festem n N. Wi nennen hx) den Hashwet von x und n die Länge de Hashwete. Einweg-Hashfunktionen E: one-way hash function) sind Hash- Funktionen, die gleichzeitig Einwegfunktionen sind Bemekung Eine Hashfunktion ezeugt aus eine Eingabe -Datei) vaiable Länge eine Ausgabe -Datei) feste Länge, den sogenannten Hashwet Bemekung De Hashwet hx) ist de digitale Fingeabduck de Eingabe -datei) x. Wenn wi entscheiden sollen, ob zwei Dateien x und x übeeinstimmen, so vegleichen wi deen Hashwete hx) und hx ). Hashfunktionen h sind in de Paxis so konstuiet, dass de Fall hx) = hx ) fü x x extem unwahscheinlich ist. Hash-Funktionen sind many-to-one, also hochgadig nicht-injektiv. Veschiedene Eingabedateien x und x können den gleichen Hashwet besitzen. Bei Einweg-Hashfunktionen ist de Hashwet eine Datei leicht zu beechnen, passende Eingabedateien zu einem vogegebenen Hashwet sind alledings wegen de Einweg-Eigenschaft seh schwe zu finden. Schwe bedeutet zu Zeit meh als 2 64 Opeationen. Üblicheweise ist de Hashwet wesentlich küze als die Eingabedatei. Modene Hashfunktionen ezeugen Hashwete mit eine Länge von 128 Bit ode meh. Ein wichtiges Konstuktionsziel fü Hashfunktionen ist es, dass zu beliebigen Dokumenten x 1, x 2,... die Folge de Hashwete hx 1 ), hx 2 ),... nicht von eine Folge von Realisieungen unabhängige, identisch gleichveteilte Zufallsvaiable zu untescheiden sein soll. Insbesondee vesucht man bei de Konstuktion eine Hashfunktion zu eeichen, dass alle möglichen Hashwete gleich wahscheinlich sind. Die Wahscheinlichkeit, dass eine Eingabedatei einen vogegebenen Hashwet besitzt, ist dann bei einem 128-Bit Hashwet) 2 128, also veschwindend klein.

8 8 KAPITEL 1. HASHFUNKTIONEN Andee Bezeichnungen fü kyptogaphische Hashfunktionen sind fingepint message digest cyptogaphic checksum compession function contaction function data integity check DIC) manipulation detection code MDC) message authentication code MAC) data authentication code DAC) Wi veweisen den inteessieten Lese fü Details auf Schneie[Sch96]. Es ist naheliegend, dass wi fü kyptogaphische Aufgaben Einweg-Hashfunktionen einsetzen weden. Da nicht bekannt ist, ob es Einwegfunktionen gibt, kann dezeit niemand fü eine gegebene Hashfunktion nachweisen, dass es sich um eine Einweg-Hashfunktion handelt. Die folgenden Begiffe spielen bei Sicheheitübelegungen zu Hashfunktionen eine wichtige Rolle Definition Kollisionen, Kollisionsesistenz) Sei die Hash- ode Kompessionsfunktion h gegeben. Eine Kollision zu h ist ein Paa x, x ), x x, mit de Eigenschaft hx) = hx ). Die Funktion h heißt schwach kollisionsesistent, wenn es paktisch unmöglich ist, zu gegebenem x ein x, x x, mit hx) = hx ) zu finden. Die Funktion h heißt stak kollisionsesistent, wenn es paktisch unmöglich ist, eine Kollision x, x ) zu finden Bemekung Gebutstagsattacke von Yuval[Yuv79]) Gegeben seien das Oiginaldokument m das vefälschte Dokument m die n-bit Hashfunktion h Das Konzept de Gebutstagsattacke beuht daauf, dass wi mittels unauffällige Modifikationen an m und m ein Paa m i, m j ) ehalten, fü das gilt: gleiche Hashwete: hm i ) = hm j) m i ist semantisch gleich m, m j ist semantisch gleich m Wie wid die Attacke duchgefüht? Dazu geht man in meheen Schitten vo: 1. Ezeuge t = 2 n/2 semantisch unauffällige Veändeungen m 1, m 2,..., m t von m. 2. Beechne die Hashwete hm 1 ), hm 2 ),..., hm t ) und speichee die Paae m i, hm i )), 1 i t, ab.

9 1.3. ZUM GEBURTSTAGSPROBLEM 9 3. Ezeuge nacheinande semantisch unauffällige Veändeungen m 1, m 2,..., m t de vefälschten Nachicht m, beechne jeweils den zugehöigen Hashwet hm i ) und vegleiche diesen Hashwet mit den gespeicheten Hashweten hm 1 ), hm 2 ),..., hm t ). 4. Sobald wi zwei gleiche Hashwete gefunden haben, handelt es sich um eine Kollision und wi sind fetig: hm i ) = hm j) Fage Waum ist diese Attache so gefählich? Die Nachichten m i und m j besitzen die gleichen Hashwete. Es handelt sich bei m j um eine Fälschung von m i, die dahe mittels des Hashwetes nicht ekannt wid Bemekung Paktische Duchfühung) Die paktische Duchfühung de Modifikationen kann nach dem folgenden Schema efolgen: Wi wählen in de Nachicht m eine feste Anzahl z.b. 80) mögliche Modifikationspunkte, die nichts am Duckbild de Nachicht änden. Geeignete Stellen sind zum Beispiel solche, an denen ein zusätzliches Leezeichen ode ein nicht duckbaes Zeichen nicht auffallen ode an denen man ein Leezeichen duch ein Tabulatozeichen esetzen kann. Wi können dann an diesen Stellen die genannten Veändeungen duchfühen und auf diese Weise die vielen semantisch identen Vaiationen de Nachicht m ezeugen, die wi bei de Gebutstagsattacke benötigen Fage Hat die Gebutstagsattacke von Yuval eine Aussicht auf Efolg? Bei de Beantwotung diese Fage weden wi sehen, dass die Wahl t = 2 n Sinn macht Bemekung Fagen) Wi ezeugen mit diese Fälschungstechnik seh viele veschiedene Nachichten und damit seh viele Hashwete. Die folgenden Fagen stellen sich: Fage 1 Wie goß ist die Wahscheinlichkeit, dass sich unte q zufällig ezeugten Hashweten y 1,..., y q zwei gleiche befinden? Fage 2 Sei y ein gegebene Hashwet. Wie wahscheinlich ist es, dass sich unte q zufällig ezeugten Hashweten y 1,..., y q ein Hashwet y j befindet mit y i = y? Die Antwot auf diese Fagen ist seit langem bekannt und Gegenstand de Beispielsammlung zu stochastischen Modellbildung: das Stichwot lautet Gebutstagspaadoxon ode Gebutstagspoblem. 1.3 Zum Gebutstagspoblem 1.18 Bemekung Ein Unenpoblem) Eine Une enthalte Kugeln, die von 1 bis numeiet seien. Wi ziehen nach-

10 10 KAPITEL 1. HASHFUNKTIONEN einande mit Zuücklegen insgesamt q Kugeln aus de Une. Fage: Wie goß ist die Wahscheinlichkeit β, q), dass sich unte den q gezogenen Kugeln mindestens zwei mit de gleichen Numme befinden? 1.19 Satz Es gilt ) q q 1) β, q) ) 1 exp. 1.1) 2 Beweis. Es gilt offensichtlich β, q) = 1 Fü kleine x gilt die Appoximation )... 1 q 1 )). 1.2) 1 x ) exp x), 1.3) wobei de Fehle kleine als x 2 /2 ist. Dies folgt aus de Potenzeihenentwicklung de Exponentialfunktion expx): exp x) = 1 x + x2 2! x3 3! ±, Daaus schließen wi 1 1 ) 1 2 )... 1 q 1 ) exp = exp )) exp q 1 1 )) 2 ). ) exp 1 )) q Koolla Anzahl de Vesuche) Eine Une enthalte Kugeln, die von 1 bis numeiet seien. Wi geben eine Wahscheinlichkeit β, q) vo und fagen nach de Stichpobengöße q, bei de mit eine Wahscheinlichkeit mindestens gleich β, q) eine Kollision in de Stichpobe vohanden ist d.h. in de Stichpobe befinden sich zwei gleiche Kugeln). Dazu lösen wi die Näheungsgleichung 1.1) nach q auf. Es gilt dann ) q q 1) exp ) 1 β, q) 2 q q 1) = 2 ) ln1 β, q)), = qq 1) = q 2 q ) 2 ln 1 1 β, q).

11 1.3. ZUM GEBURTSTAGSPROBLEM 11 Fü goße Wete von q können wi den Tem q venachlässigen. Dies ist zum Beispiel bei Hashfunktionen de Fall. Wi ehalten q 2 ln 1 1 β, q). 1.4) 1.21 Bemekung Klassisches Gebutstagspaadoxon) Sei = 365 und sei β, q) = 0.5 gewählt. Die Zahl = 365 steht also fü die Anzahl de möglichen Gebutstage. Dann folgt aus de Appoximation 1.4) die Aussage q Mit eine Wahscheinlichkeit von mindestens 0.5 finden sich in eine zufällig ausgewählten Guppe von 23 Pesonen zwei Pesonen mit dem gleichen Gebutstag Bemekung Stake Kollision: Stichpobengöße) Sei wiedeum β, q) = 0.5 gewählt und bezeichne die Anzahl de möglichen Hashwete. Aus Appoximation 1.4) folgt die Beziehung q 1.17 Mit andeen Woten, mit Wahscheinlichkeit 0.5 kommt in eine Stichpobe von ungefäh zufälligen Hashweten eine Kollision vo. Diese Tatsache ist de Gund dafü, dass man heute Hashfunktionen mit mindestens 128 Bit Hashlänge ode meh vewendet Bemekung Schwache Kollision) Bezeichne die Anzahl de möglichen Hashwete und sei ein Dokument x mit Hashwet y gegeben. Wie goß ist die Wahscheinlichkeit γ, q), dass unte q zufällig gewählten Dokumenten ein Dokument x den gleichen Hashwet y wie das Dokument x besitzt? Wi leiten aus unseem Unenmodell das folgende Resultat ab Lemma Es gilt γ, q) ) 1 exp q ). Beweis. Sei y de Hashwet des gegebenen Dokumentes x und sei x ein zufällig gewähltes Dokument. Dann gilt PHashwet von x ist veschieden von y) = 1. Daaus folgt sofot fü q zufällig gewählte Dokumente Pfü q Dokumente sind deen Hashwete y) = 1 ) q

12 12 KAPITEL 1. HASHFUNKTIONEN Unte Beachtung de Appoximation 1.3) egibt sich γ, q) = ) q ) 1 exp q ). 1.5) 1.25 Koolla Anzahl de Vesuche) Sei y de Hashwet des gegebenen Dokumentes x und sei die Kollisionswahscheinlichkeit γ, q) gegeben. Wi ezeugen q zufällige Dokumente. Wie müssen wi die Stichpobengöße q wählen, damit unte den q zufälligen Dokumenten mindestens ein Dokument den Hashwet y besitzt? Wi lösen dazu die Beziehung 1.5) nach q auf: exp q ) q ) 1 γ, q) ) q ) ln ln1 γ, q)) 1 1 γ, q). 1.6) 1.26 Bemekung Klassisches Gebutstagspaadoxon) Sei = 365 und sei γ, q) = 0.5 gewählt. Sei weites ein bestimmte Gebutstag y vogegeben. Die Zahl = 365 steht wiede fü die Anzahl de möglichen Gebutstage. Dann folgt aus de Appoximation 1.6) die Aussage q 253. Mit eine Wahscheinlichkeit von mindestens 0.5 finden sich in eine zufällig ausgewählten Guppe von 253 Pesonen eine Peson mit dem vogegebenen Gebutstag y Bemekung Schwache Kollision: Anzahl de Vesuche) Sei wiedeum γ, q) = 1/2 gewählt und bezeichne die Anzahl de möglichen Hashwete. Aus Appoximation 1.6) folgt die Beziehung q 0.69 Mit andeen Woten, mit Wahscheinlichkeit 0.5 kommt in eine Stichpobe von ungefäh 0.69 zufälligen Hashweten eine Kollision mit einem vogegebenen Hashwet y vo Bemekung Schutz vo de Gebutstagsattacke) Wie schützen Sie sich vo de Gebutstagsattacke von Yuval? Dies ist echt einfach: bevo Sie ein Dokument digital signieen, veänden Sie es unwesentlich, etwa duch Einfügen eines Leezeichens. Sie ehalten auf diese Weise ein Dokument m. Mit goße Wahscheinlichkeit ändet sich damit de Hashwet und es wid somit gelten: hm ) hm j ). Somit: bevo Sie ein Dokument digital signieen, das Ihnen vogelegt wid, veänden Sie es und signieen Sie das veändete Dokument.

13 1.4. LINKS Links Online-Mateial zu zahleichen kyptogaphischen Themen ist vefügba unte Die Folien zu Volesung übe Kyptologie von Eli Biham sind unte webcouse.cs.technion.ac.il/236506/winte /en/ho_lectues. html vefügba. Die Signatuveodnung sowie das Signatugesetz finden Sie bei de Rundfunkund Telekom Regulieungs-GmbH unte siehe auch Abbildung 1.1. BGBl. II - Ausgegeben am 7. Jänne N von 13 Objekt-Kuzbezeichnung Objektidentifikato OID Bezeichnung in diesem Anhang ecdsa-with-sha224 { iso1) membe-body2) us840) ansi-x9- ecdsa; sha ) signatues4) specified3) 1 } ecdsa-with-sha256 { iso1) membe-body2) us840) ansi-x9- ecdsa; sha ) signatues4) specified3) 2 } ecdsa-with-sha384 { iso1) membe-body2) us840) ansi-x9- ecdsa; sha ) signatues4) specified3) 3 } ecdsa-with-sha512 { iso1) membe-body2) us840) ansi-x9- ecdsa; sha ) signatues4) specified3) 4 } ecdsa-plain-ripemd160 {itu-t0) identified-oganization4) etsi0) ecdsa; ipemd160 eseved127) etsi-identified-oganization0) bside7) algoithms 1) id-ecc1) signatues4) ecdsasignatues1) 6 } ecgsignatuewithipemd160 { iso1) identified-oganization3) teletust36) ecgdsa; ipemd160 algoithm3) signatuealgoithm3) ecsign2) ecgdsastd5) ecgsignatue4) 1 } ecgsignatuewithsha1 { iso1) identified-oganization3) teletust36) ecgdsa; sha1 algoithm3) signatuealgoithm3) ecsign2) ecgdsastd5) ecgsignatue4) 2 } ecgsignatuewithsha224 { iso1) identified-oganization3) teletust36) ecgdsa; sha224 algoithm3) signatuealgoithm3) ecsign2) ecgdsastd5) ecgsignatue4) 3 } ecgsignatuewithsha256 { iso1) identified-oganization3) teletust36) ecgdsa; sha256 algoithm3) signatuealgoithm3) ecsign2) ecgdsastd5) ecgsignatue4) 4 } ecgsignatuewithsha384 { iso1) identified-oganization3) teletust36) ecgdsa; sha384 algoithm3) signatuealgoithm3) ecsign2) ecgdsastd5) ecgsignatue4) 5 } ecgsignatuewithsha512 { iso1) identified-oganization3) teletust36) algoithm3) signatuealgoithm3) ecsign2) ecgdsastd5) ecgsignatue4) 6 } ecgdsa; sha Zulässige kyptogaphische Hashvefahen Fü qualifiziete elektonische Signatuen düfen nu kollisionsesistente Hashfunktionen eingesetzt weden. Diese Voaussetzung ist efüllt, wenn es echneisch nicht ealisieba ist, zwei Dokumente zu finden, die denselben Hashwet liefen. Tabelle 2 - Liste de dezeit zulässigen Hashfunktionen Kennzahl de Kuzbezeichnung Hashfunktion de Hashfunktion 2.01 sha ipemd sha sha sha sha whilpool 5. Zulässige Padding-Vefahen Tabelle 3 - Liste de zulässigen Padding-Vefahen Kennzahl Kuzbezeichnung des Ezeugung de des Padding- Füllvefahens Zufallszahlen Vefahens Paamete des Zufallszahlengeneatos 3.01 emsa-pkcs1-v1_ emsa-pss tuean ode pseuan min. 64 bit 3.03 emsa-pkcs1-v2_ iso9796ds2 tuean ode pseuan min. 64 bit 3.05 iso9796-din-n tuean ode pseuan min. 64 bit Abbildung 1.1: Ausschnitt aus de Signatuveodnung 2008

14 14 KAPITEL 1. HASHFUNKTIONEN

15 Liteatuvezeichnis [MvOV97] A. J. Menezes, P. C. van Ooschot, and S.A. Vanstone. Handbook of Applied Cyptogaphy. CRC Pess, Boca Raton, [Sch96] [Sti06] [TW06] B. Schneie. Applied Cyptogaphy. Wiley, New Yok, second edition, D. R. Stinson. Cyptogaphy. Chapman and Hall/CRC Pess, Boca Raton, 3d edition, W. Tappe and L. Washington. Intoduction to Cyptogaphy with Coding Theoy. Peason Pentice Hall, 2nd edition, [Yuv79] Gideon Yuval. How to Swindle Rabin. Cyptologia, 33): ,