Kapitel 4: Flusschiffren

Transkript

1 Stefan Lucks 4: Flusschiffren 52 orlesung Kryptographie (SS06) Kapitel 4: Flusschiffren Als Basis-Baustein zur Verschlüsselung von Daten dienen Fluss- und Blockchiffren. Der Unterschied: Flusschiffren dienen dazu, beliebig lange Klartexte zu verund entschlüsseln. Während der Verschlüsselungsoperation werden sie durch einen internen Zustand charakterisiert. Blockchiffren dagegen sind auf Blocks fester Größe definiert. Sie sind daher zustandslos.

2 Stefan Lucks 4: Flusschiffren 53 orlesung Kryptographie (SS06) Synchrone Flusschiffre Schlüssel f Zustand g Klartext Chiffretext

3 Stefan Lucks 4: Flusschiffren 54 orlesung Kryptographie (SS06) Synchrone Flusschiffre (2) Synchronisation zwischen Sender und Empfänger muss gewährleistet sein. ( ggf. zusätzl. Maßnahmen) Änderung eines Chiffretext-Blocks Änderung eines Klartext-Blocks. ( kein Schutz der Authentitzität) Katastrophaler Fehler: Mehrfache Verwendung eines Startzustandes. Diesen Fehler trifft man in der Praxis erstaunlich oft an!!!

4 Stefan Lucks 4: Flusschiffren 55 orlesung Kryptographie (SS06) Synchrone Flusschiffre (3) Häufigster Spezialfall: Binäre additive Flußchiffre. Pseudozufälliger Bitstrom, erzeugt mit Hilfe eines Pseudozufallsbitgenerators (PZBG): Schlüssel PZBG Klartext Chiffretext Der mit dem PZBG erzeugte Schlüsselstrom wird zum Verschlüsseln bit-weise zum Klartext addiert, zum Entschlüsseln bit-weise vom Chiffretext subtrahiert. (In beiden Fällen die gleiche Operation: XOR.)

5 Stefan Lucks 4: Flusschiffren 56 orlesung Kryptographie (SS06) Selbstsynchronisierende Flußchiffe Schlüssel Zustand f Klartext Chiffretext Der Sender verliert nur einen begrenzten Ausschnitt des Klartextes beim Auftreten eines Synchronisationsfehlers. Modifikation eines Blocks im Chiffretext Modifikation einiger weniger Klartext-Blocks. Fehler: Chiffrieren verschiedener Klartexte unter dem gleichen Schlüssel und Startzustand (ist aber ggf. nicht ganz so schlimm wie bei synchronen Flusschiffren).

6 Stefan Lucks 4: Flusschiffren 57 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs Abschnitt 4.1: Abstrakte PZBGs Schlüssel Klartext PZG Schlüsselstrom Chiffretext Ein PZBG ist kryptographisch sicher, wenn man den Schlüsselstrom ohne Kenntnis des Schlüssels nicht von einem zufälligen Bit-Strom ( Würfe mit einer fairen Münze ) unterscheiden kann.

7 Stefan Lucks 4: Flusschiffren 58 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs Die Sicherheit eines PZBGs als Flusschiffre Theorem 6 PZBG kryptographisch sicher Binäre additive Flusschiffre sicher. Beweis-Idee: Wenn die Schlüsselstrom-Bits echt zufällig sind, ist die Chiffre sicher ( Vernam-Chiffre). Kann man die Chiffre knacken, dann hat man auch ein Kriterium, den Schlüsselstrom von einem Strom echt zufälliger Bits zu unterscheiden. Risiken und Nebenwirkungen: ( Tafel)

8 Stefan Lucks 4: Flusschiffren 59 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs Was heisst hier sicher? Ein Kryptosystem gilt als sicher gegen eine bestimmte Klasse von Angriffen, wenn es keine effizienten Algorithmen gibt, die bei einem derartigen Angriff mit signifikanter Wahrscheinlichkeit erfolgreich sind. Die Begriffe effizient und signifikante Wahrscheinlichkeit lassen sich grundsätzlich mit konkreten Vorstellungen identifizieren ( MIPS-Jahre, Wahrscheinlichkeit kleiner als ). Die Begriffe haben aber auch eine streng formale Definition in der Komplexitätstheorie ( Tafel).

9 Stefan Lucks 4: Flusschiffren 60 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs PZBG (Definition) Ein Pseudozufallsbitgenerator (PZBG) ist eine Familie von effizient berechenbaren Funktionen mit l(k) k. f k : {0, 1} k {0, 1} l(k) Intention: Nimm einen kurzen k-bit Schlüssel als Input für f, um einen langen l(k)-bit Schlüsselstrom zu erzeugen. In der Regel ist l(k) k.

10 Stefan Lucks 4: Flusschiffren 61 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs PZBG (Angreifer) Ein Angreifer auf einen PZBG ist ein effizienter Algorithmus, der einen l(k)-bit Schlüsselstrom als Eingabe hat und ein Bit ausgibt. Sei x 0 {0, 1} l(k) ein mit dem PZBG unter einem zufälligen Schlüssel erzeugter Schlüsselstrom, x 1 {0, 1} l(k) sei das Ergebnis von l(k) unabhängigen Würfen mit einer fairen Münze. Der Vorteil eines Angreifers (auf einen PZBG) ist Pr[A gibt 0 aus x 0] Pr[A gibt 0 aus x 1 ].

11 Stefan Lucks 4: Flusschiffren 62 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs PZBG (Definition der Sicherheit) Ein PZBG ist sicher, wenn es keinen effizienten Angreifer gibt, der einen signifikanten Vorteil erreicht. Intention: Der Vorteil gibt an, ob man zwischen einem pseudozufälligen und einem zufälligen Schlüsselstrom unterscheiden kann. Bei einem sicheren PZBG soll dies eben praktisch unmöglich sein.

12 Stefan Lucks 4: Flusschiffren 63 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs PZBGs aus PZBGs Sei λ 0. Wir definieren eine Familie {fk λ} k IN von Funktionen fk λ : {0, 1} k {0, 1} k+λ, mit Hilfe einer Familie {f k } k IN von Funktionen f k : {0, 1} k {0, 1} k+1.

13 Stefan Lucks 4: Flusschiffren 64 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs PZBGs aus PZBGs (2) Algorithmus zur Berechnung von f λ k : Eingabe: (x 1,..., x k ) {0, 1} k und λ 0. Ausgabe: (z 1,..., z k+λ ) {0, 1} k. Für i := 1 bis λ: Berechne (z i, x 1,..., x k ) := f k (x 1,..., x k ). Setze (z λ+1,..., z λ+k ) := (x 1,..., x k ).

14 Stefan Lucks 4: Flusschiffren 65 orlesung Kryptographie (SS06) 4.1: Abstrakte PZBGs Das Ein-Bit-ist-genug Theorem Theorem 7 (Ein-Bit-ist-genug) Sei λ = λ(k) 0 durch ein Polynom in k beschränkt. Dann gilt: a) Wenn {f k } k IN effizient berechenbar ist, dann ist auch {fk λ} k IN effizient berechenbar. b) Wenn {f k } k IN sicher ist, dann ist auch {f λ k } k IN sicher. Beweis: ( Tafel)

15 Stefan Lucks 4: Flusschiffren 66 orlesung Kryptographie (SS06) 4.2: Schieberegister Abschnitt 4.2: Schieberegister Einfaches SR: Funktion SR mit Rückkopplung:

16 Stefan Lucks 4: Flusschiffren 67 orlesung Kryptographie (SS06) 4.2: Schieberegister LFSR Ist die Rückkopplungsfunktion linear, dann sprechen wir von einem linearen rückgekoppelten Schieberegister oder einem linearen Feedback-Shiftregister (LFSR). Beispiel:

17 Stefan Lucks 4: Flusschiffren 68 orlesung Kryptographie (SS06) 4.2: Schieberegister Eigenschaften von LFSR: Lokale Zufälligkeit Effizient, insbesondere in Hardware Große Periode (n-bit Register: maximal 2 n 1) (Warum nicht größer?) Lösbar durch lineare Gleichungen

18 Stefan Lucks 4: Flusschiffren 69 orlesung Kryptographie (SS06) 4.2: Schieberegister Allgemeine LFSR x3 x2 x 1 x 0 a3 a2 a1 a0

19 Stefan Lucks 4: Flusschiffren 70 orlesung Kryptographie (SS06) 4.2: Schieberegister Allgemeine LFSR (2) PZBG g : {0, 1} n {0, 1} n+1, definiert durch g(x n 1,..., x 0 ) = (x 0, f an 1,...a 0 (x n 1,..., x 0 ), x n 1,..., x 1 ) mit der Feedback-Funktion f an 1,...a 0 (x n 1,..., x 0 ) = a i x i 0 i<n

20 Stefan Lucks 4: Flusschiffren 71 orlesung Kryptographie (SS06) 4.2: Schieberegister Allgemeine LFSR (3) Die Theorie der LFSR ist mathematisch gut verstanden. Es ist nicht schwierig, das Feedback-Polynom so zu wählen, daß ein maximales LFSR vorliegt. Umgekehrt sind known plaintext Angriffe auf LFSR sogar dann einfach, wenn das Feedback-Polynom unbekannt, also Teil des Schlüssels, ist (was i.d.r. nicht der Fall ist). Beispiel: n = 4, Bitfolge LFSR sind... linear. ( Welche Überraschung! )

21 Stefan Lucks 4: Flusschiffren 72 orlesung Kryptographie (SS06) 4.2: Schieberegister Lineare Komplexität Lineare Komplexität LK (b) der Bitfolge b = (b m 1,..., b 1, b 0 ) {0, 1} m der Länge m: Größe des kleinsten LFSR, das diese Folge erzeugt. Es ist LK(b) m. (Warum?) In PZBG ist höchstens dann sicher, wenn lange Folgen von Schlüsselstrombits mit großer Wahrscheinlichkeit eine große lineare Komplexität haben. (Warum) Ein LFSR bildet einen sehr schlechten PZBG! Aber: LFSR werden gerne als Bausteine für PZBGs genutzt, in Verbindung mit nichtlinearen Bausteinen.

22 Stefan Lucks 4: Flusschiffren 73 orlesung Kryptographie (SS06) 4.3: Der Geffe-Generator Abschnitt 4.3: Der Geffe-Generator LFSR 1 LFSR 2 LFSR 3 f { z1 falls z f (z 1, z 2, z 3 ) = 2 = 1 sonst Sinnvoll: Drei maximale LFSR, teilerfremde Perioden. Dann: Lange Periode, linear komplexe PZBG. z 3

23 Stefan Lucks 4: Flusschiffren 74 orlesung Kryptographie (SS06) 4.3: Der Geffe-Generator Kryptanalyse des Geffe-Generators ( Tafel)

24 Stefan Lucks 4: Flusschiffren 75 orlesung Kryptographie (SS06) 4.3: Der Geffe-Generator Kryptanalyse des Geffe-Generators (2) Effizienz des Angriffs: Eine naive Implementation des Angriffs: maximal 2 l 1 Schritte, im Durchschnitt 2 l 1 /2. Dies lässt sich noch verbessern: Bearbeite die möglichen Schlüssel in der Reihenfolge ihrer Wahrscheinlichkeit! Die ersten l 1 bit von S liefern den wahrscheinlichsten Kandidaten K für K. Dann teste alle Schlüssel mit der Hamming-Distanz 1 von K, mit der Hamming-Distanz 2,... Im Durchschnitt hat der gesuchte Schlüssel K die Hamming-Distanz l/4 von K. Die Anzahl der Schritte ist damit etwa ( l l 1 ).

25 Stefan Lucks 4: Flusschiffren 76 orlesung Kryptographie (SS06) 4.3: Der Geffe-Generator Kryptanalyse des Geffe-Generators (3) Konkretes Beispiel: Ist l 1 l 2 l 3 40, dann ist der geheime Schlüssel insgesamt 120 bit groß. Die naive Implementation des Angriffs erfordert das Testen von etwa 2 39 Schlüsseln, die verbesserte das von ( ) = 40! 30! 10! Schlüsseln.

26 Stefan Lucks 4: Flusschiffren 77 orlesung Kryptographie (SS06) 4.4: A5 Abschnitt 4.4: Der A5-PZBG im GSM Mobilfunknetz Gänzlich andere Technik, um Nichtlinearität zu erzwingen: Ansteuern auch des Takts der LFSR. Nicht jedes LFSR wird für jedes Output-Bit getaktet aber mindestens eines.

27 Stefan Lucks 4: Flusschiffren 78 orlesung Kryptographie (SS06) 4.4: A5 Das GSM Sicherheitsprotokoll Ki Nutzerkennung Zufallszahl RAND SRES := A3(Ki,RAND) SRES =? A3(Ki,RAND) Ki Kc := A8(Ki,RAND) Kc := A8(Ki,RAND) Verschlüsselte Sprachdaten A5(Kc)

28 Stefan Lucks 4: Flusschiffren 79 orlesung Kryptographie (SS06) 4.4: A5 Der A5-PZBG Takt kontrolle LFSR1 LFSR2 LFSR3 Takt LSFR1: 19 bit, LFSR2: 22 bit, LFSR3: 23 bit, gesamt: 64 bit

29 Stefan Lucks 4: Flusschiffren 80 orlesung Kryptographie (SS06) 4.4: A5 Der A5-PZBG (2) Die Feedback-Polynome der drei LFSR sind bekannt. Die mittleren Bits m 1, m 2 und m 3 der LFSR dienen als Input für die Taktkontrollfunktion t : {0, 1} 3 {0, 1} 3. Deren Verhalten hängt von der Summe s = m 1 + m 2 + m 3 (nicht mod 2) ab: { (m1, m t(m 1, m 2, m 3 ) = 2, m 3 ) falls s 2 (m 1, m 2, m 3 ) sonst. Also werden immer mindestens 2, manchmal alle drei LFSR getaktet im Durchschnitt werden 2 1 Register getaktet. 4

30 Stefan Lucks 4: Flusschiffren 81 orlesung Kryptographie (SS06) 4.4: A5 Der A5 PZBG (Beobachtungen) Jedes Register wird im Durchschnitt etwa 3/4-mal pro Ausgabebit getaktet. Es gibt schwache Schlüssel, bei denen mindestens eines der LFSR konstant Null ist. Der Anteil der schwachen Schlüssel ist > Die Zykluslänge ist unbekannt. Experimente deuten darauf hin, dass sie im Durchschnitt etwa 2 23 beträgt.

31 Stefan Lucks 4: Flusschiffren 82 orlesung Kryptographie (SS06) 4.4: A5 Der A5 PZBG (Arbeitsweise) Einsatz des A5 zur Verschlüsselung digitalisierter (Sprach-)Daten. GSM sendet in kurzen Abständen Datenblöcke ( Frames ). Ein Frame enthält bis zu 228 Datenbits (114 für jede Kommunikationsrichtung bei full duplex Arbeitsweise). Zu jedem Frame gehört eine (öffentlich bekannte) Frame-Nummer (22 bit).

32 Stefan Lucks 4: Flusschiffren 83 orlesung Kryptographie (SS06) 4.4: A5 Der A5 PZBG (Arbeitsweise 2) Resynchronisation vor jedem Frame: Setze A5 auf Initialzustand (=Schlüssel) Generiere aus Initialzustand und Frame-Nummer den Startzustand für den Frame. Vermutlich Schlüsselwechsel bevor Frame-Nummern sich wiederholen. (Darauf wird in der mir bekannten Literatur nicht eingegangen. Es dauert einige Stunden, bis nach 2 22 Frames ein Schlüsselwechsel nötig wird.)

33 Stefan Lucks 4: Flusschiffren 84 orlesung Kryptographie (SS06) 4.4: A5 Ein Angriff auf den A5 PZBG Known Plaintext Angriff: Gegeben: 64 bit b 0, b 1,..., b 63 des Schlüsselstroms. Gesucht: Startzustand der LFSRs: x 18,... x 0 (LFSR1), y 21,... u 0 (LFSR2) z 22,... z 0 (LFSR3). ( Tafel)

34 Stefan Lucks 4: Flusschiffren 85 orlesung Kryptographie (SS06) 4.4: A5 Folgerungen für die Sicherheit des A5 PZBG Von einer guten Chiffre mit einem 64 bit Schlüssel würde man erwarten, daß ein Angriff im Durchschnitt etwa 2 63 Schritte erfordert, wie bei einem Brute-Force Angriff. Der A5 Schlüsselstromgenerator ist in diesem Sinne kein guter Algorithmus. Das Abhören der (mit dem A5 Algorithmus verschlüsselten) Luftschnittstelle im GSM Mobilfunknetz ist mit dem in dieser Vorlesung geschilderten Angriff zwar nicht trivial, aber möglich. Weitere verbesserte Angriffe machen das Abhören der Luftschnittstelle sogar sehr einfach.

35 Stefan Lucks 4: Flusschiffren 86 orlesung Kryptographie (SS06) 4.5: Linare Kongr.-gen. Abschnitt 4.5: Lineare Kongruenzgeneratoren Seien m IN, a, b, x 0 ZZ m. Berechne x t+1 := ax t + b mod m. Typischerweise m = 2 w. Software-freundlich, im Gegensatz zu LFSRs. Beliebt für nicht-kryptographische Aufgaben, ( Standard-Bibliotheken von C, C++, JAVA,... ). Lineare Kongruenzgeneratoren sind kryptographisch ebenso schwach wie LFSR. (Warum?)