MAC Message Authentication Codes

Transkript

1 Seminar Kryptographie SoSe 2005 MAC Message Authentication Codes Andrea Schminck, Carolin Lunemann

2 Inhaltsverzeichnis (1) MAC (2) CBC-MAC (3) Nested MAC (4) HMAC (5) Unconditionally secure MAC (6) Strongly Universal Hash- Families 1/36

3 Rückblick Quelle: Handbook of Applied Cryptography 2/36

4 MAC - Grundlagen Hash- Familien mit Schlüssel: Tupel (X, Y, K, H) X: Menge möglicher Nachrichten Y: (endliche) Menge möglicher MACs K: (endliche) Schlüsselmenge für alle K є K existiert h K є H mit h K : X Y 3/36

5 MAC - Grundlagen Hash- Funktion h: Daten x (binary string) und korrespondierender Fingerprint y (short binary string) mit y = h(x) MAC h K : Hash- Funktion mit Schlüssel k Daten x (binary string) und korrespondierender Fingerprint y (short binary string) mit y = h K (x) 4/36

6 MAC - Grundlagen Alice Bob K MAC algorithm MAC MAC MAC MAC MAC message message message message transmit MAC algorithm compare K 5/36

7 MAC - Grundlagen Hash- Funktion mit Schlüssel in Berechnung geht geheimer Schlüssel mit ein symmetrische Verschlüsselung Ziel: Authentizität der Nachrichtenquelle und der Datenintegrität Verwendung: Chipkarten 6/36

8 MAC - Anforderungen leichte Berechenbarkeit (ease of computation) Kompression (compression) Berechnungsresistenz (computation- resistance) 7/36

9 MAC - Forgery Security of the MAC means security against forgery. Oscar erhält Liste mit gültigen Paaren (x 1, y 1 ), (x 2, y 2 ), (x q, y q ), indem er das Orakel nach x 1, x 2, x q befragt Oscar gibt Paar (x,y) als output aus (x є / {x 1, x 2, x q } (x,y) ist gültiges Paar forgery wenn (x, y) mit Wahrscheinlichkeit ε gültig ist, so ist es ein (ε, q)-forger 8/36

10 MAC - Vertrauen Bob kann eine Nachricht modifizieren und behaupten, diese von Alice erhalten zu haben Alice kann abstreiten, eine Nachricht geschickt zu haben Lösung: Digitale Signaturen 9/36

11 CBC-MAC - Grundlagen Cipher Block Chaining symmetrische Blockchiffre (üblicherweise DES, AES) MAC ist letzter Block und wird mit Nachricht übertragen MAC hängt von allen Blöcken der Nachricht ab MAC hat feste Länge (zwischen 32 und 64 bit) 10/36

12 CBC-MAC - Berechnung x 1 x 2 X n-1 X n + Padding K E K E K E K E MAC Verschlüsselung y i = e K (y i-1 xor x i ) i 1 Entschlüsselung x i = d K (y i ) xor y i-1 11/36

13 CBC-MAC - Berechnung Algorithmus: (P, C, K, E, D) endomorphic Kryptosystem P = C = {0, 1} t x = x 1... x n Bitstring der Länge tn IV y 0 IV for i 1 to n do y i e K (y i-1 XOR x i ) return (y n ) 12/36

14 CBC-MAC - Geburtstagsattacke Wie lang muss das Ergebnis einer Einweg-Hashfunktion sein, damit der MAC sinnvoll einsetzbar ist? Wahrscheinlichkeit 0,5, dass die MACs zweier Nachrichten kollidieren bei 2 t/2 Versuchen Annahme: Angreifer kann MACs einer großen Anzahl an Nachrichten erfragen (1/2, O(2 t/2 ))-forger 13/36

15 CBC-MAC - Geburtstagsattacke (1) Angreifer erfragt die MACs einer großen Anzahl an Nachrichten x 1,..., x q x i = x 1 i x 2 i... x n i 1 i q (2) Suche nach doppeltem MAC: h K (x i )=h K (x j ) wenn y 2 i = y 2 j (3) Angreifer erstellt zusätzliche Nachricht und erfragt MAC v = x 1 i (x 2 i XOR x δ )... x n i (4) Fälschung hat gleichen MAC; dieser kann so ohne Kenntnis des geheimen Schlüssels konstruiert werden w = x 1 j (x 2 j XOR x δ )... x n j 14/36

16 CBC-MAC - Sicherheit CBC-MAC gilt als sicher, wenn Blockchiffre sicher ist wenn die Nachrichtenlänge konstant ist erfrage y 1 h K (x 1 ) erfrage y 2 h K (y 1 x 2 ) dann gilt auch y 2 = h K (x 1 0 b x 2 ) 15/36

17 Nested MAC - Grundlagen Grundidee: Verknüpfung zweier Hash- Funktionen (mit Schlüsseln) Nested MAC (K1,K2) (x) = h K1 (g K2 (x)): (sicherer) big MAC h K1 (x): (sicherer) little MAC g K2 (x): kollisionsresistent 16/36

18 Nested MAC - Angriff big MAC attack : Angriff auf Nested MAC unknown- key collision attack : Angriff auf g K2 (x) Annahme (1): (ε 1,q+1)- forger existiert nicht little MAC attack : Angriff auf h K1 (x) Annahme (2): (ε 2,q)- forger existiert nicht falls Annahmen (1) und (2) stimmen und es gibt für big MAC einen (ε,q)- Angriff, dann gilt: ε ε 1 + ε 2 Vorbedingung für Angriff auf Nested MAC ( big MAC attack ) ist Schwachstelle in Funktionen g und h 17/36

19 HMAC - Formel HMAC K (text) = Hash[(K 0 xor opad) Hash((K 0 xor ipad) text)] Hash: Hash- Funktion (z.b. SHA-1) text: Nachricht (variable Länge) K: geheimer Schlüssel zwischen Alice und Bob K 0 : Schlüssel mit bestimmter Länge l (SHA-1: 64 byte) ipad: (SHA-1: 64 byte) opad: 5C5C 5C5C (SHA-1: 64 byte) 18/36

20 HMAC - Vorschrift (1) Anfügen von Nullen an K, um Schlüssel der Länge l zu bekommen K 0 (2) Bitweise Exklusiv-OR (xor) des Schlüssels K 0 mit ipad (3) Anfügen von text an Resultat von (2) (4) Hash auf Resultat von (3) (5) Bitweise Exklusiv-OR (xor) des Schlüssels K 0 mit opad (6) Anfügen von Resultat von (4) an Resultat von (5) (7) Hash auf Resultat von (6) und dieses Resultat als Output ausgegeben 19/36

21 HMAC - Illustration Schritt (1) determine K 0 Schritt (2) K 0 xor ipad Schritt (3) K 0 xor ipad text Schritt (4) Hash((K 0 xor ipad) text) Schritt (5) Schritt (6) Schritt (7) K 0 xor opad K 0 xor opad Hash((K 0 xor ipad) text) Hash((K 0 xor opad) Hash((K 0 xor ipad) text)) 20/36

22 HMAC Beispiel (1) K 0 : K 0 xor ipad: a0b 0c0d0e0f a1b 1c1d1e1f a2b 2c2d2e2f a3b 3c3d3e3f e3f3c3d 3a3b e2f2c2d 2a2b e1f1c1d 1a1b e0f0c0d 0a0b /36

23 HMAC Beispiel (2) (K 0 xor ipad) text: e3f3c3d 3a3b e2f2c2d 2a2b e1f1c1d 1a1b e0f0c0d 0a0b d70 6c Hash ((K 0 xor ipad) text): bcc2c68c abbbf1c3 f5b05d8e 7e73a4d2 7b7e1b20 22/36

24 HMAC Beispiel (3) K 0 xor opad: 5c5d5e5f 58595a5b c4d4e4f 48494a4b c7d7e7f 78797a7b c6d6e6f 68696a6b /36

25 HMAC Beispiel (4) (K 0 xor opad) Hash ((K 0 xor ipad) text): 5c5d5e5f 58595a5b c4d4e4f 48494a4b c7d7e7f 78797a7b c6d6e6f 68696a6b bcc2c68c abbbf1c3 f5b05d8e 7e73a4d2 7b7e1b20 Hash ((K 0 xor opad) Hash ((K 0 xor ipad) text)): 4f4ca3d5 d68ba7cc 0a1208c9 c61e9c5d a0403c0a 24/36

26 HMAC - Grundlagen zugrunde liegende Hash- Funktion über einer Nachricht und einem Schlüssel Nested MAC Algorithmus nach FIPS- Standard: h K (x) = g K (x) = Hash(K x) K 1 = K 0 xor opad K 2 = K 0 xor ipad HMAC benutzt Hash- Funktion als black box HMAC ist mandatory-to-implement Authentifikation für Internet Security Protokolle 25/36

27 Unconditionally secure MACs - Grundlagen Schlüssel wird nur einmal benutzt Ziel: Konstruktion eines MAC, für den weder (ε,0)- forgers (impersonation) noch (ε,1)- forgers (substitution) existieren Pd q : deception probability (Maximalwert für ε, so dass (ε,q)- forger existiert) payoff (x,y): Wahrscheinlichkeit, dass (x,y) gültiges Paar ist payoff (x,y; x,y ): bedingte Wahrscheinlichkeit, dass (x,y ) gültiges Paar ist, falls (x,y) gültig ist 26/36

28 Unconditionally secure MACs Deception Probability (1) payoff (x,y) = Pr [y = h K (x)] = {K є K : h K (x) = y} K Pd 0 = max {payoff (x,y): x є X, y є Y} (2) payoff (x,y ; x,y) = Pr [y = h K (x ) and y = h K (x)] Pr [y = h K (x)] = {K є K : h K (x ) = y, h K (x) = y} {K є K : h K (x) = y Pd 1 = max {payoff (x,y ; x,y): x,x є X, y,y є Y, x x } 27/36

29 Unconditionally secure MACs Authentication Matrix X = Y = {0,1,2} K = {0,1,2} x {0,1,2} für alle K = (a,b) є K und x є X sei h (a,b) (x) = ax + b mod 3 und H = {h (a,b) : (a,b) є {0,1,2} x {0,1,2}} key (0,0) (0,1) (0,2) (1,0) (1,1) (1,2) (2,0) (2,1) (2,2) /36

30 Unconditionally secure MACs - Beispiel (0,ε)- forger (impersonation): Oscar rät gültiges Paar, d.h. er fängt x ab und rät das korrespondierende authentication tag y = h K (x) Pd 0 = 3/9 = 1/3 key (0,0) (0,1) (0,2) (1,0) (1,1) (1,2) (2,0) (2,1) (2,2) /36

31 Unconditionally secure MACs - Beispiel (1,ε)- forger (substitution): Oscar hat gültiges Paar (x,y) = (0,0) K є {(0,0), (1,0), (2,0)} mögliches forgery (1,1) Pd 1 = 1/3 key (0,0) (0,1) (0,2) (1,0) (1,1) (1,2) (2,0) (2,1) (2,2) /36

32 Strongly Universal Hash- Family Eine (N,M)- Hash- Familie ist strongly universal gdw. für alle x, x є X mit x x und für alle y, y є Y gilt: {K є K: h K (x) = y, h K (x ) = y } = K M 2 Gleichverteilung 31/36

33 Strongly Universal Hash- Family {K є K: h K (x) = y, h K (x ) = y } = Beispiel: {(1,0) є K: h (1,0) (0)=0, h (1,0) (1)=1} = 1 K 9 = = 1 M K M 2 key (0,0) (0,1) (0,2) (1,0) (1,1) (1,2) (2,0) (2,1) (2,2) /36

34 Strongly Universal Hash- Family - Pd 0 {K є K: h K (x) = y} = Σ {K є K: h K (x) = y, h K (x ) = y } y єy K K = Σ = y єy M 2 M {K є K: h payoff (x,y) = K (x) = y} K = = M K K 1 M Pd 0 = 1 M 33/36

35 Strongly Universal Hash- Family - Pd 1 {K є K: h K (x) = y} = Σ {K є K: h K (x) = y, h K (x ) = y } y єy K K = Σ = y єy M 2 M {K є K: h payoff (x,y ; x,y) = K (x) = y, h K (x ) = y } = {K є K: h K (x) = y} K M M 2 K Pd 1 = 1 M 34/36

36 Strongly Universal Hash- Family - Fazit Pd 0 = Pd 1 = 1 M Pd 0 und Pd 1 optimal, da Gleichverteilung bei strongly universal Hash- Familien Angriffsmöglichkeit ist minimal 35/36

37 Literaturverzeichnis (1) Stinson, D.: Cryptography - Theory and Practice, Chapter 4. Chapman & Hall/CRC, Boca Raton, 2nd Edition, (2) Fumy, W. und H.P. Rieß: Kryptographie. R. Oldenburg Verlag GmbH München, 2. Auflage, (3) Menezes, A. und P. van Oorschot: Handbook of Applied Cryptography, Chapter 9. CRC Press, (4) Preneel, B. und P.C. van Oorschot: A key recovery attack on the ANSI X9.19 retail MAC. Electronic Letters vol. 32 no. 17, (5) Bellare, M. et al: The Security of the Cipher Block Chaining Message Authentication Code. Journal of Computer and System Sciences vol. 61 no. 3, (6) Bellare, M. et al: Message authentication using hash functions: The HMAC construction. RSA Laboratories CryptoBytes vol. 2 no. 1, (7) (Stand Mai 2005) (8) (Stand Mai 2005) 36/36