10. Public-Key Kryptographie

Transkript

1 Stefan Lucks 10. PK-Krypto 274 orlesung Kryptographie (SS06) 10. Public-Key Kryptographie Analyse der Sicherheit von PK Kryptosystemen: Angreifer kennt öffentlichen Schlüssel Chosen Plaintext Angriffe oder Chosen Ciphertext Angriffe Nicht sinnvoll in der PK-Kryptographie: Ciphertext only (Warum?)

2 Stefan Lucks 10. PK-Krypto 275 orlesung Kryptographie (SS06) Risiken: RSA mit kleinem e Kleines e (z.b. e = 3): schnelles Verschlüsseln! Wurzeln mod n sind, wenn e klein ist, vermutlich ebenso schwer zu berechnen wie für allgemeines e. Risiken z.b.: Fester kleiner Exponent (e = 2, e = 3,... ) und gleiche Nachricht x an mindestens e verschiedene Empfänger ( Übungsaufgabe). Mehrere ähnliche Nachrichten (z.b. x und x + d mit geheimem x aber bekanntem d) an den gleichen Empfänger.

3 Stefan Lucks 10. PK-Krypto 276 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt Falltür-Einweg-Funktionen (FEF) Sei f : A B eine Funktion. Als Umkehrung von f bezeichnet man den folgenden Vorgang: Sei ein Wert y B gegeben, zu dem ein x A existiert mit f (x) = y. Die Umkehrung von f besteht darin, zu y einen solchen Wert x zu finden.

4 Stefan Lucks 10. PK-Krypto 277 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. Definitionen Die Funktion f ist eine Einweg-Funktion, falls es eine Beschreibung von f gibt, die es erlaubt, f effizient zu berechnen, die Umkehrung von f dagegen praktisch unmöglich zu berechnen ist, und eine Falltür-Einweg-Funktion (FEF), falls es eine Beschreibung von f gibt, so dass f eine Einwegfunktion ist, und eine Beschreibung von f (die Falltür-Information ), die auch die effiziente Umkehrung von f ermöglicht.

5 Stefan Lucks 10. PK-Krypto 278 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. Beispiele AES-Verschl.: f (x) = AES x (0). Multiplikation mod n: f (a, b) = ab mod n. RSA-Funktion: f (x) = x e mod n. Rabin-Funktion: f (x) = x 2 mod n. Multiplikation: f (a, b) = ab. Welche dieser Funktionen ist vermutlich eine Einweg-Funktion, welche vielleicht sogar eine Falltür-Einweg-Funktion (FEF)?

6 Stefan Lucks 10. PK-Krypto 279 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. Zahlentheoretische Probleme Sei y ZZ n. Seien a, b ZZ π mit a = g r und b = g s. Was haben die folgenden zahlentheoretischen Probleme mit dem Knacken von PK-Kryptosystemen zu tun? Gesucht wird bzw. werden e-te Wurzel mod n: x ZZ n mit x e y mod n Quadratwurzel mod n: x ZZ n mit x 2 y mod n falls existent, sonst kein QR Faktorisierung von n: Primfaktoren p und q von n

7 Stefan Lucks 10. PK-Krypto 280 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. FEF-Sicherheit von RSA Theorem 28 Wenn das Problem, e-te Wurzeln mod n zu berechnen, hart ist, dann ist die RSA-Funktion: f (x) = x e mod n eine FEF. Beweis-Skizze: Falltür-Information: Exponent d mit ed 1 mod ϕ(n) ( früheres Kapitel). e-te Wurzel mod n hart f Einwegfunktion.

8 Stefan Lucks 10. PK-Krypto 281 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. FEF-Sicherheit von Rabin Theorem 29 Wenn das Problem, n zu faktorisieren, hart ist, dann ist die Rabin-Funktion: f (x) = x 2 mod n eine FEF. Beweis-Skizze: Falltür-Information: p und q. Einwegfunktion: Faktorisierung von n hart Quadratwurzeln mod n hart ( voriges Kapitel). Quadratwurzeln mod n hart Einwegfunktion.

9 Stefan Lucks 10. PK-Krypto 282 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. FEF ist nicht genug! Eine FEF kann sicher sein, und trotzdem partielle Information über ihren Input verraten. ( Tafel & nächste Folie) Rate-Verifikationsangriff (bei Klartexten mit geringer Entropie): Chiffretext y = f (x) bekannt, Klartext x gesucht. Rate x, teste f (x ) = y.

10 Stefan Lucks 10. PK-Krypto 283 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. Partielle Information bei RSA Quadratische Reste mod p: Man bezeichnet a ZZ p als Quadratischen Rest (QR) mod p, falls es ein x ZZ p gibt mit x 2 a mod p. Jacobi-Symbol: Für a ZZ p ist { 1 falls a QR mod p, Jacobi(a, p) = 1 sonst Für a ZZ n ist Jacobi(a, n) = Jacobi(a, p) Jacobi(a, q).

11 Stefan Lucks 10. PK-Krypto 284 orlesung Kryptographie (SS06) 10.1 Falltür-Einweg-Fkt. Partielle Information bei RSA (2) Eigenschaften des Jacobi-Symbols: Folgerung für RSA: Ohne p und q zu kennen, kann man effizient den Wert Jacobi(a, n) berechnen. Da e ungerade ist, gilt Jacobi(a, n) = Jacobi(a e, n). Für genau die Hälfte aller Werte a in ZZ n gilt Jacobi(a, n) = 1. Jacobi(Klartext, n) = Jacobi(Chiffretext, n). 1 bit Information über den Klartext sickert durch.

12 Stefan Lucks 10. PK-Krypto 285 orlesung Kryptographie (SS06) 10.2 CP-Angriffe 10.2 Chosen Plaintext Angriffe Angriffsmodell: Bekannt: öffentlicher Schlüssel. Wähle Klartext X, erhalte C. Zwei Fälle: Real: C = Y ist Verschlüsselung von X. Random: C = Z ist Verschlüsselung eines zufälligen Klartextes X, mit X = X. Aufgabe: Unterscheide zwischen Real und Random!

13 Stefan Lucks 10. PK-Krypto 286 orlesung Kryptographie (SS06) 10.2 CP-Angriffe Angriffsmodell (CP-Angriffe) X Y oder Z Y Z X: Klartext (vom Angreifer gewählt) Y : Chiffretext Z : Zufälliger Bit-String; gleichlang wie Y. Der Angreifer soll entscheiden, ob er Y oder Z erhalten hat.

14 Stefan Lucks 10. PK-Krypto 287 orlesung Kryptographie (SS06) 10.2 CP-Angriffe Bemerkungen Dieses Angriffsmodell entspricht exakt dem Angriffsmodell I aus der Secret-Key Kryptographie! Warum wäre es sinnlos, zusätzlich auch Angriffsmodell II zu betrachten? Wenn man die RSA- oder die Rabin-Funktion f direkt als Verschlüsselungsfunktion einsetzt, d.h., zu einem Klartext x ZZ n einen Chiffretext y = f (x) berechnet, hat man ein Kryptosystem, das total unsicher gegen derartige Angriffe ist. (Warum?)

15 Stefan Lucks 10. PK-Krypto 288 orlesung Kryptographie (SS06) 10.3 CC Angriffe 10.3 Chosen Ciphertext Angriffe Angriffsmodell: Bekannt: öffentlicher Schlüssel. Entschlüsselungsorakel: Wähle Chiffretext C i, erfrage Klartext. Wähle Klartext X, erhalte C. Zwei Fälle Real: C = Y ist Verschlüsselung von X. Random: C = Z ist Verschlüsselung eines zufälligen Klartextes X, mit X = X. Entschlüsselungsorakel: Wähle Chiffretext C i C, erfrage Klartext. Aufgabe: Unterscheide zwischen Real und Random!

16 Stefan Lucks 10. PK-Krypto 289 orlesung Kryptographie (SS06) 10.3 CC Angriffe Textbook-RSA: Gegeben ein (kurzer) b-bit String (m 1,..., m b ) als Nachricht (typischerweise ein Schlüssel für ein secret-key Kryptosystem). Man kann m als Zahl m < 2 b interpretieren. Auffüllen mit Nullen : x = m. Für N := n div 2 b : Wähle zufällig x ZZ N. Berechne x := 2 b x + m ZZ n. Berechne Chiffretext y := x e = m e mod n.

17 Stefan Lucks 10. PK-Krypto 290 orlesung Kryptographie (SS06) 10.3 CC Angriffe Geburtstags-Angriff Chosen Plaintext: Wenn b klein ist, dann: Wähle S, T mit ST > 2 b. Mit signifikanter Wahrscheinlichkeit (analysieren wir hier nicht weiter) kann m in der Form m = st geschrieben werden, mit s S und t T. Liste C i := C/s e i mod n für 1 i S. Für alle t e j mod n mit 1 i T : Eintrag t e j = C i in Liste? t e j C i t e j s e j C t j s j m mod n.

18 Stefan Lucks 10. PK-Krypto 291 orlesung Kryptographie (SS06) 10.3 CC Angriffe Beschränkte Chosen Ciphertext Orakel Eine naive Implementation von RSA kann dem Angreifer (u.a.) eines der folgenden Orakel liefern: LSB-Orakel: Gegeben C, c; m := C d mod n, M = c d mod n Ausgabe 1, wenn m M mod 2 d. Size-Checking Orakel: Gegeben C. Ausgabe 1, wenn C d mod n < 2 b gilt. Wie sieht eine RSA-Implementation aus, die dem Angreifer ein derartiges Orakel anbietet?

19 Stefan Lucks 10. PK-Krypto 292 orlesung Kryptographie (SS06) 10.3 CC Angriffe Angriff auf LSB-Orakel Gegeben C, gesucht m < 2 b mit m e = C. Bedingungen: m 0, log 2 (n) > 3(b + 1). 1. z := max{2 w 2 w < n/2 b }; b := b; 2. c := C (2z + 1) e mod n; 3. solange LSB-Or(C,c) wdh. z := 2z, b := b 1; 4. y := z/2; 5. Wdh. b -mal: c := C(y + z + 1) e mod n; Wenn LSB-Or(C, c)=1, dann z := z + y; y := y/2; 6. gib M = n/(z + 1) aus.

20 Stefan Lucks 10. PK-Krypto 293 orlesung Kryptographie (SS06) 10.3 CC Angriffe Praktische Bedeutung Gibt es Systeme in der Praxis, die dem Angreifer derartige Orakel zur Verfügung stellen? HBCI (Home Banking Computing Interface, Deutschland): Es gibt (formal Standard-konforme) HBCI-Implementationen, die als LSB- bzw. als MSB-Orakel dienen können. Problem: Der Standard ist nicht präzise genug, um einen Software-Ingenieur, der diese Vorlesung nicht gehört hat, von derartigen Fehlern abzuhalten. Ähnlicher (etwas komplexerer) Angriff auf frühe Implementationen von SSL ( Bleichenbacher-Angriff ). Wer sucht, wird sicherlich noch mehr problematische Implementationen finden...