Beschleunigung des SSL Handshake durch Stapelverarbeitung

Transkript

1 Bschlunigung ds SS Handshak durch Staplrarbitung Andras Frass Tchnisch Unirsität Braunschwig Nach inr Vröffntlichung on Hoa Shacha und Dan Bonh: Iproing SS Handshak Prforanc ia Batching

2 . inlitung I folgndn wird in Algorithus orgstllt, dr di Prforanc bzüglich inr SS-Handshak Vrbindung stigrn soll. Di Mchanisn di orgstllt wrdn, könnn das SS-Handshak-Protokoll untr Vrwndung on 04 Bit SA Schlüssln u dn Faktor. bschlunign. Dr Algorithus wurd spzill für stark frquntirt Wb Srr ntwicklt, di zahlrich SS Vrbindungn glichzitig abarbitn üssn. Dr Gschwindigkitszuwachs wird durch batchn dr Handshak Vorgäng rricht. Für b4 ligt das rgbnis bi inr Stigrung dr Gschwindigkit u dn Faktor.. Noralrwis gschhn Gschwindigkitsrbssrungn disr Art durch dn insatz on schnllr und turr Hardwar. Dis Instition gilt s durch dn insatz diss hir orgstlltn Algorithus übrflüssig zu achn. Di Grundid ist, dass dr Srr auf dn rhalt on b Anfragn sitns dr Clints wartt und dis dann als in Batch (!Staplrarbitung rarbitt wrdn, anstatt si inzln hintrinandr durchzuführn. Basis hirfür ist in Vrfahrn on Aos Fiat []. Shaha und Bonh habn diss Vrfahrn aufggriffn und durch Zusätz drart rbssrt, dass Gschwindigkitsstigrungn wi obn angkündigt öglich sind []. Zunächst wird kurz und nur inlitnd auf dn SS Handshak und auf das SA Kryptorfahrn inggangn. Danach schildrt dr Punkt kurz das Batch Vrfahrn on Aos Fiat. I folgndn wrdn di Vrbssrungn on Bonh und Shaha und auch di Architktur dr rwndtn Srr und di Prforanc ds gsatn Systs rläutrt.. SA I folgndn wrdn kurz grundlgnd Prinzipin ds SA Vrfahrn angdutt []. Das SA Vrfahrn ist in sognannts Public-Ky-Kryptosyst. Di Bsondrhit an solch in Kryptosyst ligt darin, dass zwi Schlüssl rzugt wrdn, wobi dr in zu Vrschlüssln gdacht ist (Public-Ky und dr andr zu ntschlüssln (Priat-Ky. Di Sichrhit bgründt sich dadurch, dass bi Vrwndung ds Public- Ky und dait auch sinr öffntlichn Bkanntgab, trotzd niand in dr ag ist dn Priat-Ky aus dssn Knntnis zu rzugn und soit auch niand dazu bfähigt ist dn Priat-Ky zu rrchnn. Zur Schlüsslrzugung brchnt Alic (di Parti, di dn öffntlichn und dn priatn Schlüssl rzugt zwi glich groß Prizahln, drn Produkt Npq üblichrwis dr äng 04 Bit ntspricht. Man stz ϕ ( n ( p ( q. A wählt dann in Zahl, < < ϕ( n, di als öffntlichr Schlüssl bzichnt wird und it N ginsa innrhalb ds Public-Srr-Crtificat gspichrt wird. Dr priat Schlüssl d wird übr in gignts Vrfahrn rzugt und rfüllt di Glichung d od ϕ ( n. U in Nachricht M zu rschlüssln wird M durch in Vrfahrn wi zu Bispil PKCS [4] in ugwandlt, dait dis auch irgndwo innrhalb

3 ds brchnbarn Brichs ligt und schlißlich wird C durch C od N rrchnt. Das ntschlüssln dr Nachricht gschiht durch dn priatn Schlüssl d und zwar durch C d od N. Danach wird dann schlißlich widr durch PKCS di Nachricht M rittlt.. SS Handshak SS (Scur-Sockt-ayr ist di witrbrittst Art u in gsichrt Vrbindung i WWW hrzustlln. Das Protokoll wird on dn istn Corc- und Financwbsitn bnutzt. s garantirt Sichrhit und Authntizität dr Inforationn, di zwischn d Wbsrr und d Browsr ausgtauscht wrdn. Das SS Protokoll tilt sich i wsntlichn in zwi Stufn auf; in di Handshak- und in di cord-phas. Dr SS-Handshak wird noralrwis durch das SA-Vrfahrn rschlüsslt, untr Vrwndung on 04 Bit Schlüssln. Da das SA-Vrfahrn in rlati zitaufwndigs Vrfahrn ist, wird dis Phas gnutzt dait sich bid Kounikationspartnr auf in andr Art dr rschlüssltn Kounikation für di folgnd Phas inign, di wnigr zitaufwndig ist und glichzitig wird für dis Phas dr Schlüsslaustausch btribn. Di SS-cord Phas ist dann di Phas dr igntlichn Kounikation zwischn Clint und Srr und wird it d rhandltn Vrfahrn und Schlüssl ausgführt. Da dr SS-Handshak dn igntlichn Flaschnhals innrhalb dr Kounikation bildt, wird nicht witr auf dn SS-cord inggangn und ldiglich dr Handshak angrissn. Di Abbildung zigt dn SS-Handshak als Grafik. Clint Hllo Browsr Srr Hllo, Srr Crt srr SA public ky (N, SA Schlüssltausch:. wähl Ghinis K (48 Byts. Wandl PKCS(K. C od N SS Srr Clint Schlüssltausch: C C d (od N Abbildung Zunächst sndt dr Clint in Clint Hllo an dn SS-Srr, in d dr SS- Srr dazu aufgfordrt wird sin Srr-Crtificat an dn Clint zurückzuschickn dssn fstr Bstandtil dr öffntlich Schlüssl ds Srrs ist. Dr Clint rzugt zufällig inn 48 Byt langn String K und wandlt disn durch PKCS in in u.

4 Danach rschlüsslt r disn Txt in C und sndt ihn an dn SS-Srr, dr disn durch sinn priatn Schlüssl d widr ntschlüssln kann. Soit habn sich bid Partin auf inn nun Schlüssl bzw. K ginigt und dr SS-Handshak ist bndt. 4. Fiats Batch SA Zunächst schaun wir uns dn Vorschlag on A. Fiat an, dr SA ntschlüsslungn durch Batching bschlunigt. All Brchnungn wrdn i folgndn Modulo N grchnt, außr s stht xplizit twas andrs dort. Fiat hat fstgstllt, das s öglich ist bi Bnutzung on klinn öffntlichn xponntn und, di Brchnungn zwir rschlüssltr Nachrichtn zu Pris on inr zu ollbringn. Da wir i Ufld ins SS-Wbsrr arbitn wrdn wir uns auf Schlüsslgrößn bzihn wi si innrhalb solchr Ugbungn üblich sind (n04 bit. Ds witrn liitirn wir di Größ ins Batch auf klin Zahln, da größr in nicht akzptirbar Antwortzit auslösn könntn. Außrd bschränkn wir aus Gründn dr Analys und Ipltirung dn Wrt b auf Zwirpotnzn. Wir stlln uns or, das durch dn öffntlichn Schlüssl <N,> rschlüsslt wurd, hinggn durch <N,>. U und zu ntschlüssln, wär s jtzt notwndig / bzw. / zu brchnn. Natürlich ist dis Art dr chnung rin thortischr Natur, da noralrwis dr priat Schlüssl d bzw. d bnutzt wird u di Txt widr zu ntschlüssln. Di Brchnung dr unrschlüssltn Txt auf dis Art und Wis dint nur dr Vranschaulichung und dr Prüfung dr rgbniss. Fiat stzt A( * / und dann A M 0 6 M C C C C A Dadurch ist s öglich bid Txt zu ntschlüssln zu Pris inr inzign Wurzl, anstatt bid Wurzln inzln zu zihn. Nicht zu rgssn si, dass dis Tchnik nur dann günstig ist, wnn bid xponntn rlati klin sind. Ansonstn falln di zusätzlich nötign arithtischn Oprationn zu shr ins Gwicht. Zusätzlich brkt si, das bid xponntn unglich sin üssn, ansonstn funktionirt disr Algorithus bnfalls nicht. U diss Vrfahrn allgin zu bschribn stlln wir uns inn ollständign binärn Bau it b Blättrn or. Jdr innr Knotn soll zwi Kindr habn. Wir bnutzn innrhalb ds Baus rkursi Algorithn drn rgbniss i Bau hoch- bzw. runtrgricht wrdn. Wrt di sich auf dn linkn Sohn bzihn wrdn durch in bzichnt, Wrt di sich auf dn rchtn Sohn bzihn wrdn durch in bzichnt. s gibt nur in Ausnah, dis wird abr spätr bschribn. Di 4

5 Blättr ds Baus bkon als Wrtigkitn di inzlnn rschlüssltn Nachrichtn i zugwisn und di dazughörign xponntn i. Fiats Algorithus bstht aus dri Phasn. Di rst Phas litt di Wrt on dn Blättrn in ichtung Wurzl di Upward-prcolation, di zwit Phas brchnt dn xponntn di xponntiation-phas, di dritt Phas litt das rgbnis widr zurück in di Blättr di Downward-prcolation. Upward-prcolation: In dr Upward-prcolation-Phas wrdn di inzlnn rschlüssltn Nachrichtn dr Blättr, innrhalb ds Baus bis zur Wurzl durchgricht und dabi b b zusangfasst, sodass i i i, wobi i i. Das Durchrichn rfolgt dadurch dass wir an jd innrn Knotn in durch di Zuwisung rzugn. Außrd wird an jd innrn Knotn in rkursi rrchnt. Abbildung Bzüglich diss Bispil stzn wir als xponnt dr Vrschlüsslung jwils di Wrt, und in.

6 6 xponntial-phas: In dr xponntiation-phas sind all bnötigtn Wrt bis in di Wurzl durchgricht. Bzüglich ds gs rrchnn wir di -t Wurzl, gnau inal an disr Stll, gnau inal bzüglich ds gsatn Vrfahrn. Das rgbnis spichrn wir als innrhalb dr Wurzl unsrs Baus. 0 ( x ( ( ( x 4 ( ( 4 ( (od (od 0 such und Für ( ( (od (od 0 such und Für Abbildung Downward-prcolation: In disr Phas wird das in dr Wurzl brchnt rgbnis zurück in di Blättr transfrirt. Dazu wird das Produkt in sin Untrprodukt und ugwandlt und ntull in di zu dn inzlnn Blättrn ghörndn ntschlüssltn Nachrichtn i. An jdr innrn Wurzl wähln wir in, wlchs di folgndn Glichungn rfüllt.

7 0 (od (od Wir bnutzn das Chins aindr Thor (CT [] u diss zu rrchnn. Zwi witr Zahln wrdn an jd innrn Knotn zusätzlich rittlt. / und ( /. In dis Zusanhang si darauf hingwisn das di Indizirung durch bzw. sich disal nicht auf di linkn bzw. rchtn Sohn bziht, sondrn ldiglich dr Bzichnung dint. Danach stzn wir di rittltn Wrt in folgnd Forln in und rrchnn dadurch das jwilig dr rchtn bzw. linkn Söhn ins innrn Knotn. /( und /. A nd dr Downward-prcolation Phas nthält jds Blatt dn dazughörign ntschlüssltn Txt. diglich in großr Potnzirung und zusätzlich Diisionn und Multiplikationn wrdn gtätigt, u b groß Potnzirungn zu rstzn. Diss Vrfahrn lohnt sich abr nur, wnn s u klin Schlüssl ght. Aus dis Grund wurd das Vrfahrn rwitrt, u di Bschränkungn dr klinn Zahln aufzuhbn. Diss Vrfahrn ist ir nur in Koproiss: Zusätzlich Hilfsoprationn i Austausch für wnigr stark Potnzoprationn.. Vrbssrts Batching. Diisionsbschlunigung.. Vrzögrt Diision Bi dr rzögrtn Diision wrdn Diisionn innrhalb dr chnung in Zusagn gwandlt. Disr Prozss wird ir dann rwndt wnn das rgbnis dr Diision in d augnblicklichn Vorgang nicht bnötigt wird, s ilhr gnügt bn jn Zusag nach untn bzw. obn durchzurichn. In unsr Fall bziht sich das Prinzip dr Zusag auf sätlich Diisionn bzüglich dr innrn Knotn. Das chnn und zuglich auch di Uwandlung rfolgt durch folgnd Oprationn. c a / b b b / c b ac, b bc b b b c c, d / c, d c c a, b ac, bd ad, bc Durch dis Uwandlungn und das dait rbundn Durchrichn dr Wrt bis in di Äst hinin, rzichtt dr Algorithus auf nicht notwndig und zitaufwndig Oprationn innrhalb dr innrn Knotn. A nd wrdn dis Zusagn widr in noral Diisionn durch b a gwandlt.

8 .. Schubwis Diision (batchd diision Auch di Uwandlung innrhalb dr Blättr kann nochals bschlunigt wrdn. Hirzu wird abrals di Vrarbitung innrhalb ins Batchs bnutzt. U das Vrfahrn zu rklärn bzihn wir uns auf in Batch on b4 und bnnnn di dri zu inrtirndn Wrt innrhalb dr Blättr als x, y und z. Zunächst bildn wir di dri partialn Produkt yz, xz, xy und das Gsatprodukt xyz. An disr Stll brchnn wir das Inrs xyz. Durch folgnd Forln ist s nunhr öglich sätlich Inrs zu brchnn, obglich nur inal das Inrs ds Gsatprodukt rrchnt wurd. x ( yz ( xyz y ( xz ( xyz z ( xy ( xyz Dri Inrs konntn auf dis Wis zu Pris on inr inzign und zusätzlichr 8 Multiplikationn rzilt wrdn.. Global Chins aindr s ist Standard bi Brchnungn ds SA dn Chins-aindr-Thor dq dq anzuwndn. Man wicht auf M C od q und M C od q aus, anstatt q q M C d od N zu brchnn, dnn schlisslich ist d Srr di Zrlgung on N in sin Prifaktorn bkannt. Dabi ist d p d od p und d q d od q. Danach brchnt an M durch das CT aus M p und M q. Insgsat ist diss Vrfahrn ir al schnllr als M dirkt zu brchnn. Di Id bzüglich ds Batch-Vrfahrn ist nun, dass nicht nur in binärr Batch-Bau bnutzt wird, sondrn ilhr zwi paralll, inr dr Modulo p grchnt wird und inr dr Modulo q grchnt wird. Zu Schluss wrdn übr das CT di jwilign b Paar dr Blättr kobinirt und di igntlich ösung rittlt. p p. Siultan ultipl Potnzirung u Di Siultan ultipl Potnzirung [, 4.6] bschribt in Möglichkit a b u od zu brchnn, ohn a odr b slbst zu brchnn. Dis Art dr Brchnung bschlunigt disn Vorgang u bis zu 0 Proznt..4 Knotnnuanordnung s ist sinnoll di xponntn i dn Knotn auf bsondr Wis zuzuordnn. Diss bgründt sich in dr Tatsach, dass di ultipl Potnzirung in dirktr Wis on dr Anzahl dr Bits i längrn dr bidn xponntn abhängt. Wnn wir balancirt 8

9 Binärbäu nutzn, könnn dadurch di Brchnungn innrhalb dr ultipln Potnzirung nochals bschlunigt wrdn. In in Batch on z.b. b4 wrdn di < < < 4 zu 4 ugordnt. Bi in Batch b>4 ist di ihnfolg dr Anordnung schon schwrr hrzustlln. 6. Architktur ins Batch-SS-Srr Bi Vrwndung ins Batch rgibt sich zwangswis das Probl dr Zusanführung on Prozssn. Wnn rschidn Prozss innrhalb ins inzign Schritts rarbitt wrdn solln, so üssn di inzlnn Prozss auf in intllignt Art zusangführt wrdn. s üssn gignt Algorithn gfundn wrdn, di s röglichn sätlich Anfragn drart zu bantwortn, das all btiligtn Clints zufridngstllt sind. Di Architktur ds Batch-SS-Srr wird zwistufig gstaltt (Abbildung 4. Zu inn habn wir di rschidnn Instanzn dr Wb-Srr-Prozss, di di Kounikation it dn Clints übrnhn und sich u das SS-Protokoll kürn, auf dr andrn Sit stht dr Batch-Srr-Prozss, dr di igntlichn SA ntschlüsslungn barbitt und dabi zu in Batch zusanfasst. Durch diss zwistufig Modll ist s infachr das nu Syst in brits tablirt Syst zu intgrirn, da durch di Trnnung ds Wbsrr-SS-Prozss o igntlichn Batchorgang in Kapslung disr Funktionn rfolgt und soit innrhalb ds Wb-Srr-SS-Prozss kinrli Ändrung orzunhn sind. WbSrr Prozss # it <N,> WbSrr Prozss # it <N,> WbSrr Prozss # it <N,> WbSrr Prozss #4 it <N,> WbSrr Prozss # it <N,> Batch Srr Prozss. Vrarbitt zwi rschidn Anfragn. Abbildung 4 Das Batching innrhalb ds Batch-Srr-Prozss rfordrt in schlaus Zusanführn dr Anfragn. Hirzu wird in Schduling Algorithus bnötigt, dr rschidn Anfordrungn rfüllt. Zunächst sollt offnsichtlich sin, dass in axialr Durchsatz an Datn gfordrt sin soll, ds witrn fordrn wir in inial Turnaround-Ti, d.h. di Wartzitn dr inzlnn Wb-Srr-Prozss solltn inial sin, u Wartzitn ds Clints kurz zu haltn und soit Tiouts zu rhindrn. 9

10 Bi in Wbsrr dr grad untr nidrr ast fährt, uss dr Schduling- Algorithus dafür sorgn das nicht ollständig Batch frühzitig aufglöst wrdn, u unnötig Wartzitn sitns ds Clint zu rhindrn. Da wir hrr öffntlich Schlüssl bnutzn und glich Schlüssl innrhalb ins Batch zu Nichtfunktionirn ds glichn führn, üssn gignt Mchanisn dafür sorgn das nials zwi glich Schlüssl in in Batch rarbitt wrdn. Durch in Multi-Batch-Schduling zu Bispil würd bi glichzitigr Anfrag dr Clints it dn Schlüssln --- in Auftilung in di zwi Batch - und - anstatt - und - gschhn. Durch Mchanisn disr Art und dn Aufbau dr Architktur als in zwistufigs Syst ist s öglich in Kopatibilität zu d altn SS-Protokoll zu bhaltn. Odr bssr gsagt di Mchanisn grifn nicht dirkt in di Kounikation in, sondrn bschlunign ilhr di srrsitign athatischn Prozss. bn dshalb ollzihn wir in Bschlunigung ohn das di Kounikation inkopatibl wird.. Prforanc U dn ffkt ins Batching on SS-Handshak-Vrbindungn zu untrstrichn, wurdn hrr Vrsuch gacht. Dr rst Tstlauf wurd auf in Pntiu III it 0 MHz und 6 MB a durchgführt und bschribt di SA ntschlüsslungszit in Milliskundn als Funktion on Batch und Schlüsslgröß. Bi alln Tsts wurdn jwils di klinstöglichn Schlüsslgrößn für rwndt. Bi in Batch it b8 und inr Schlüsslgröß on 048 Bit zu Bispil wird in Gschwindigkitsstigrungsfaktor on rzugt. Vil intrssantr ist allrdings in Faktor on.6 bi inr odratn Schlüsslgröß on 04 Bit und in b4. Noch ausgprägtr ist natürlich di Stigrung bi in b8, signifikantr ist di Stigrung abr bzüglich b4. Batch größ Schlüsslgröß Außrd gilt s an disr Stll zu brücksichtign das dis Gschwindigkitsstigrung nur untr Volllast zur Gltung kon kann. alistisch Installationn dr Algorithn solltn hr on in Batch on b4 ausghn, u Wartzitn odr gar Tiouts on nicht hochfrquntirtn Srr zu rhindrn. 0

11 U dn zwitn Tst durchzuführn wurd spzill in infachr Wbsrr gschribn, dr di inzlnn Clintanfragn ntggnnit und an dn Batch-Srr- Prozss witrlitt. Dr Wbsrr läuft auf in Dual Pntiu III Prozssor it 00 MHz und 6 MB AM. Bid Maschinn sind übr Fast thrnt itinandr rbundn. Das Kryptologisyst auf d di Algorithn basirn ist OpnSS in dr Vrsion 0.9. Dr Wbsrr wird on Tstclints it http-had-qusts bobardirt. Di Anzahl disr konkurrirndn Anfragn ist in dr Tabll untr load abzulsn. Di rst Spalt dr Tabll bziht sich auf in b-on-k Sznario, wobi b di Anzahl dr Batch ist und k di Anzahl dr rschidnn Schlüssl. Batch load on on on on Das rsultirnd rgbnis ist di Anzahl dr Handshaks pro Skund di durchgführt wrdn könnn. 8. Schlussfolgrung Das orgstllt Vrfahrn ist di rst tatsächlich Iplntirung ds Batch-SA- Vrfahrn on Aos Fiat, inklusi inigr rwitrungn di dn Vorgang nochals bschlunign. Außrd wurd di Architktur ins solchn Wbsrrs kurz orgstllt inklusi dr Stratgin, di bnötigt wrdn, u auf ntualitätn zu ragirn. Di xprint di it dis Wbsrr durchgführt wurdn, zign auch dutlich in praktisch lanz ds Vrfahrns und bwisn dutlich das in Bschlunigung ds Vorgangs zu ralisirn ist ohn tur Hardwar inzustzn. 9. Qulln [] H.Shach D. Bonh. Iproing SS Handshak Prforanc ia Batching [] A.Fiat. Batch SA. In Procdings of Crypto 89, pags -8, 989. []..ist, A.Shair, and.adlan. A thod for obtaining digital signaturs and public ky cryptosysts. Coun. of th ACM, :0-6, 98. [4] SA abs. Public Ky Cryptography Standarts (PKCS, nubr.

12 [] Donald.Knuth. Th Art of Coputr Prograing, olu : Sinurical Algoriths. Addison-Wsly, rd dition, 998. [6] A.J.Mnzs, Paul C.an Oorschot, and Scott A.Vanston. Handbook of Applid Cryptography. Th CC Prss sris on discrt athatics and its applications. CC Prss, 000 N.W. Corporat Bld., Boca aton, F , USA, 99.