Stefan Lucks Krypto und Mediensicherheit (2009) 5: Blockchiffren. 5: Blockchiffren. (n bit) (n bit) VERschlüsseln ENTschlüsseln

Transkript

1 5: Blockchiffren Klartexte Chiffretexte (n bit) (n bit) VERschlüsseln ENTschlüsseln 74

2 5.1: Abstrakte Blockchiffren Familie von Paaren (E, D) effizient berechenbarer Funktionen E K, D K : {0, 1} n {0, 1} n. (Es sind E die Ver- und D die Entschlüsselungsoperation und K der Schlüssel.) Für jeden Schlüssel K {0, 1} k und jeden Klartext x {0, 1} n muss gelten: (Warum ist das wichtig?) D K (E K (x)) = x. 5.1: Abstrakte Blockchiffren 75

3 Ist das eine Chiffre? Klartextmenge = Chiffretextmenge = {0, 1} n Schlüsselmenge = {0, 1} k Verschlüsselungsoperation E Entschlüsselungsoperation D Schlüsselerzeugung typischerweise trivial Seien die Werte ( Sicherheitsparameter ) n und k gegeben. Wieviele verschiedene abstrakte Blockchiffren gibt es für n und k? Konkret betrachte man z.b. n = 64, k = 56 (die Sicherheitsparameter des Data Encryption Standards (DES). 5.1: Abstrakte Blockchiffren 76

4 Sicherheit Chosen Plaintext Angreifer auf einen PZPG: Effizienter Algorithmus mit Orakel-Zugriff auf eine Permutation E : {0, 1} n {0, 1} n. Es liegt einer der beiden folgenden Fälle vor: Fall 0 : E ist eine Zufallspermutation Fall 1 : E ist eine Pseudozufallspermutation Sicher gegen Chosen Plaintext Angreifer: Angreifer soll nicht (mit einer Erfolgswahrscheinlichkeit signifikant über 1/2) zwischen den Fällen 0 und 1 unterscheiden können. (Dies ist ein relativ schwaches Kriterium später verlangen wir mehr!) 5.1: Abstrakte Blockchiffren 77

5 Beispiel: P 2 Seien f 1, f 2 : {0, 1} m {0, 1} m Zufallsfunktionen und L, R, X, Y {0, 1} m. Wir betrachten die Pseudozufallspermutation P 2 : {0, 1} 2m {0, 1} 2m : P 2 (L, R) = (X, Y ) mit X = L f 1 (R) und Y = R f 2 (X). Beachte: n = 2m. Frage 1: Ist P 2 tatsächlich eine Permutation? Frage 2: Ist P 2 sicher gegen Chosen Plaintext Angreifer? ( Tafel) 5.1: Abstrakte Blockchiffren 78

6 Die Blockchiffre P 3 Seien f 1, f 2, f 3 : {0, 1} m {0, 1} m Zufallsfunktionen und L, R, S, X, Y {0, 1} m. Wir betrachten die Pseudozufallspermutation P 3 : {0, 1} 2m {0, 1} 2m : P 3 (L, R) = (X, Y ) mit S = L f 1 (R), Y = R f 2 (S) und X = S f 3 (Y ). Theorem 5 (Luby und Rackoff) P 3 ist eine Permutation und sicher gegen Chosen Plaintext Angreifer. 5.1: Abstrakte Blockchiffren 79

7 5.2: Zweiseitige Angriffe Chosen Plaintext (zweiseiteger) Angreifer auf einen PZPG: Effizienter Algorithmus mit Orakel-Zugriff auf eine Permutation E : {0, 1} m {0, 1} m und ihre Umkehrung D. Es liegt einer der beiden folgenden Fälle vor: Fall 0 : E ist eine Zufallspermutation Fall 1 : E ist eine Pseudozufallspermutation Sicher gegen Chosen Ciphertext (zweiseitige) Angreifer: Angreifer soll nicht (mit einer Erfolgswahrscheinlichkeit signifikant über 1/2) zwischen den Fällen 0 und 1 unterscheiden können. 5.2: Zweiseitige Angriffe 80

8 Zweiseitige Sicherheit von P 3 Ist P 3 sicher gegen zweiseitige Angreifer? ( Tafel) 5.2: Zweiseitige Angriffe 81

9 PZPG (Sicherheit von P 4 ) Seien f 1, f 2, f 3, f 4 : {0, 1} m {0, 1} m Zufallsfunktionen und L, R, S, T, X, Y {0, 1} m. Wir betrachten die Pseudozufallspermutation P 4 : {0, 1} 2m {0, 1} 2m : P 4 (L, R) = (X, Y ) mit S = L f 1 (R), T = R f 2 (S), X = S f 3 (T ) und Y = T f 4 (X). Theorem 6 (Luby und Rackoff) P 4 ist sicher (gegen zweiseitige Angreifer). 5.2: Zweiseitige Angriffe 82

10 Von abstrakten zu konkreten Blockchiffren Klartext Arbeits richtung Schlüssel Chiffretext Wichtige Parameter: Blockgröße n, Schlüssellänge k 5.2: Zweiseitige Angriffe 83

11 5.3: Der DES Schlüssel (56 bit) Klartext (64 bit) DES Chiffretext (64 bit) 5.3: Der DES 84

12 Geschichte des DES Zwei Ausschreibungen, ein geeigneter Kandidat ( Lucipher ) nach Überarbeitung als DES ( Data Encryption Standard ) standardisiert: 64-bit Blockchiffre mit 56-bit Schlüsseln. Ab 1977 Kritik an Schlüssellänge. Trotzdem große Akzeptanz und riesige Verbreitung. Ab 1990 Differentielle und lineare Kryptanalyse DES-Challenge (1000e von Rechnern, 4 Mon.). 5.3: Der DES 85

13 Struktur des DES ( Feistel-Netzwerk ) Rundenfunktion f K [i] : {0, 1} 32 {0, 1} Runden L (32 bit) K (48 bit) R (32 bit) 16 Rundenschlüssel K [1]..., K [16] {0, 1} 48, abgeleitet aus einem 56-bit Chiffrierschlüssel.... Diese Feistel-Chiffre ist die Verallgemeinerung der abstrakten Blockchiffren P 2, P 3 und P : Der DES 86

14 Zwei verschiedene Darstellungweisen 5.3: Der DES 87

15 DES: Insgesamt 16 Runden 5.3: Der DES 88

16 Zusätzlich zur Rundenfunktion Anwendung einer schlüsselunabhängigen Initial Permutation IP: {1,..., 64} {1,..., 64} ( wire crossing ) am Anfang. Anwendung von IP 1 am Ende. Beide stellen einfache Bit-Vertauschungen dar. In Hardware ist das praktisch kostenlos, in Software typischerweise etliche Rechenschritte bzw. Takte. Der Sinn von IP und IP 1 ist unklar. Für die Sicherheit des DES sind beide irrelevant. (Warum?) Im Folgenden werden diese Transformationen ignoriert. 5.3: Der DES 89

17 Wie Entschlüsselt man? ( Tafel) 5.3: Der DES 90

18 Der DES Key-Schedule Der Key-Schedule nimmt 56 Schlüsselbits als Eingabe und produziert 16 Rundenschlüssel zu jeweils 48 bit. zykl. rot. (28 bit) (28 bit) (24 bit) (56 bit) (48 bit) (28 bit) zykl. rot. (28 bit) (24 bit) 5.3: Der DES 91

19 Der DES Key-Schedule (2) Es bezeichnen NULL, EINS {0, 1} 28 die Konstanten und Ist eine Hälfte von k entweder gleich NULL oder gleich EINS, dann verändert sie sich im Verlauf des Key-Schedules nicht. Sinde beide Hälften gleich NULL oder gleich EINS... d.h., ist der Schlüssel k in {(NULL, NULL), (NULL, EINS), (EINS, NULL), (EINS, EINS)}, dann ist k = k [1] = k [2] = = k [16], also k[1] = k[2] = = k[16]. 5.3: Der DES 92

20 Der DES Key-Schedule (3) Für diese vier Schlüssel k gilt: E k = D k. Derartige Schlüssel bezeichnet man als schwach. Man kennt keine weiteren schwachen Schlüssel. Außerdem kennt man 6 Paare semi-schwacher Schlüssel. Dies sind Paare (k, l) mit E k = D l. 5.3: Der DES 93

21 Die f -Funktion des DES Runden schlüssel Die f Funktion des DES (48 bit) X (32 bit) f(x) (32 bit) 5.3: Der DES 94

22 Die f -Funktion im Detail Runden schlüssel Die f Funktion des DES (48 bit) (6 bit) (6 bit) S1 S2 (4 bit) (4 bit) X (32 bit) E (48 bit) P f(x) (32 bit) (6 bit) (6 bit) S7 S8 (4 bit) (4 bit) 5.3: Der DES 95

23 Expansion und Permutation E-Expansion 32 bit 48 bit (Ausgabe der E-Expansion = Eingabe der S-Boxen) P-Permutation 32 bit 32 bit (Ausgabe der S-Boxen = Eingabe der E-Expansion) Z.B. für S1 und S2: S1 S2 S3 S4 S5 S6 S7 S S1 S2 S3 S4 S5 S6 S7 S : Der DES 96

24 Complementation Property Es bez. s das Inverse des Bit-Strings s. Theorem 7 (Complementation Property) Für alle Schlüssel k und alle Klartexte x gilt DES k (x) = DES k (x). Beweis: ( Übung) 5.3: Der DES 97

25 Der Lawineneffekt Für je zwei Klartexte X 1 und X 2 können wir die Differenz X = X 1 X 2 angeben. Man kann leicht Klartextdifferenzen angeben, die in der ersten bzw. zweiten Runde nur den Input einer S-box verändern. Das Design der S-Boxen und vor allem die Permutation P stellen sicher, daß Differenzen sich danach schnell auf die Inputs für die anderen S-Boxen ausbreiten ( Lawineneffekt ). Ein entsprechender Lawineneffekt tritt auch bei einer Änderung des Schlüssels ein. 5.3: Der DES 98

26 Linearität Es gibt die folgenden linearen Operationen: Unäre Operationen (E, P, IP): E(X 1 ) E(X 2 ) = E(X 1 X 2 ) (entspr. für P und IP). Einmischen des Rundenschlüssels (X 1 k[i]) (X 2 k[i]) = X 1 X 2 = X Bis auf die S-Boxen sind alle Operationen linear. Sind die S-Boxen auch linear? Nein das wäre auch furchtbar! 5.3: Der DES 99

27 5.4: Angriffe auf den DES Die wichtigten Angriffe auf den DES: Differentielle Kryptanalyse Lineare Kryptanalyse (werden wir nicht betrachten) Angriffe, die die kurze Schlüssellänge ausnutzen 5.4: Angriffe auf den DES 100

28 Differentielle Kryptanalyse Ansatz: Trotz der Nichtlinearität der S-Boxen, Aussagen über Eingabe-Ausgabedifferenzen Beispiel: S1: {0, 1} 6 {0, 1} 4. Für jeden Wert x {0, 1} 6 gibt es 64 Paare x, x {0, 1} 6 mit x x = x. Idealfall : Für jedes y {0, 1} 4 gibt es genau 4 derartige Paare x, x mit S1(x) S1(x ) = y. 5.4: Angriffe auf den DES 101

29 Differentielle Kryptanalyse (2) Sei x = (110100). Wir erhalten die folgende Tabelle: y Anzahl y Anzahl Wenn wir ein zufälliges Paar von Inputs x, x mit x x = (110100) wählen, dann gilt: ( Tafel) 5.4: Angriffe auf den DES 102

30 Differentielle Kryptanalyse (3) Entsprechend kann man mit den 32-bit Input-Differenzen und Output-Differenzen X und Y für die ganze f -Funktion umgehen. Idee: Sei die Differenz zweier Klartexte bekannt. Input-Differenz für die erste f -Funktion wahrscheinlichste Output-Differenz der ersten f -Funktion wahrscheinlichste Input-Differenz für die zweite f -Funktion : Angriffe auf den DES 103

31 Differentielle Kryptanalyse (4) Eine r-runden Charakteristik beschreibt die auftretenden Differenzen von Runde zu Runde. Die Klartext-Differenzen sind bekannt (bzw. sogar von Angreifer gewählt). Eine Charakteristik besitzt eine bestimmte Wahrscheinlichkeit. Bei deren Berechnung geht man vereinfachend davon aus, dass die Rundenschlüssel k[i] zufällig und voneinander unabhängig sind. Bsp.: 3-Runden Charakteristik mit der WS 1/16. ( Tafel) Bsp.: Angriff auf 5 Runden des DES. ( Tafel) 5.4: Angriffe auf den DES 104

32 Differentielle Kryptanalyse (5) Bester bekannter differentieller Angriff auf DES (16 Runden): 2 47 gewählte oder 2 55 zufällige Klartexte vergleichsweise geringer Rechenaufwand 13-Runden Charakteristik Varianten des DES mit weniger Runden oder veränderten S-Boxen sind erheblich verwundbarer! DES wurde optimiert mit Blick auf die differentielle Kryptanalyse. 5.4: Angriffe auf den DES 105

33 Angriffe über die Schlüssellänge Da DES-Schlüssel aus nur 56 bit bestehen, sind Brute-Force Angriffe mit der Rechenzeit N = O(2 56 ) durchaus praktikabel. Vollst. Suche known plaintext, known ciphertext Zeit O(N), Platz O(1) Tabellensuche chosen plaintext, known plaintext Vorbereitungszeit O(N), Platz O(N), Ausführungszeit O(1) Time-Memory-Tradeoff (Hellman, 1980) chosen plaintext, prinzipiell known plaintext Vorbereitungszeit O(N), Platz: O(N 2/3 ), Ausführungszeit O(N 2/3 ) 5.4: Angriffe auf den DES 106

34 Geschichte: 1980 Hellman time-memory-tradeoff (Spezialrechner + Massenspeicher): 4 Mio. $, 2 Jahre Vorbereitungszeit, 100 Schlüssel/Tag Wiener (Spezialrechner): 1 Mio. $, 7 Schlüssel/Tag Erste DES-CHALLENGE (Internet und idle time tausender Rechner): keine Kosten, 4 Monate/Schlüssel DES-Cracker der EFF (Spezialrechner): 0.25 Mio. $, einige Tage/Schlüssel. Vergleich: 1 Spionagesatelit Mio. $ bis Mio. $ (geschätzt). 5.4: Angriffe auf den DES 107

35 Effektive Schlüssellänge Eine Chiffre hat die effektive Schlüssellänge L bit, wenn es keinen Angriff gibt, der im Durchschnitt schneller ist als 2 L 1 Verschlüsselungsoperationen. (Maßstab: Brute Force.) Andere Ressourcen, insbesondere Speicherplatz und Klar-/Chiffretextpaare, können ebenfalls im Umfang bis zu 2 L 1 Einheiten beansprucht werden. Für praktikable Chiffren kennt man die effektive Schlüssellänge nicht. (!) Man kennt nur obere Schranken ( Angriffe). 5.4: Angriffe auf den DES 108

36 Folgerungen für den DES Der beste bekannte analytische Angriff (mittels linearer Kryptanalyse) braucht etwa 2 43 bekannte Klar-Chiffretext-Paare. Effektive Schlüssellänge 44 bit. Alle bekannten analytischen Angriffe sind kaum praktikabel. Brute Force Angriffe sind praktikabel. DES ist bemerkenswert stark gegen analytische Methoden, aber die Schlüssel sind zu klein. 5.4: Angriffe auf den DES 109

37 Double-DES y = doubledes K 1,K 2 (x) = DES K 2 (DES K 1 (x)) K1 K2 Klartext Zwischentext Chiffretext IDEE: Doppelte Anwendung von DES mit 2 unabhängigen Schlüsseln entspricht einem doppelt so großen Schlüssel, also 112 bit. Stimmt das? ( Tafel) 5.4: Angriffe auf den DES 110

38 Triple DES K1 K2 K3 Klartext Chiffretext Üblich: Statt der zweiten DES-Verschlüsselungsoperation eine DES-Entschlüsselungsoperation ( EDE -Modus). 5.4: Angriffe auf den DES 111

39 Angriffe auf Triple DES Variante Angriff # Paare Rechenaufwand Three-Key MITM Two-Key (K1=K3) [1] Three-Key [2] [1] Merkle, Hellman (C. ACM, 1981). ( späteres Kapitel) [2] Lucks (FSE 1998). 5.4: Angriffe auf den DES 112

40 5.5: Der DES Zusammenfassung DES: 64-bit Blockchiffre Bekannteste und bestuntersuchte Blockchiffre massive Kritik an kurzen Schlüsseln Abhilfe: Triple DES Triple DES wird noch lange Zeit weiter genutzt werden (trotz des DES-Nachfolgers AES späteres Kapitel) 5.5: Der DES Zusammenfassung 113

41 5.6: Der AES AES = Advanced Encryption Standard : 128-bit Blockchiffre. 3 Varianten: 128-bit, 192-bit und 256-bit Schlüssel. Ziele: Sicherer als Triple-DES Effizienter als Triple-DES 5.6: Der AES 114

42 Geschichte des AES, 1. Teil 1997 Ausschreibung des AES AES-Konferenz; Präsentation von 15 Kandidaten. The Demolition Derby begins AES-Konferenz; danach Auswahl der 5 Finalisten. 5.6: Der AES 115

43 15 Kandidaten Feistel-Netzwerk S.-P. Netzerk Sonstige (wie DES) (erweitert) allgemein Square-artig DEAL DFC Cast-256 SAFER+ Crypton Frog Loki97 E2 MARS Serpent Rijndael HPC Magenta RC6 Twofish Major Attacks : DEAL, Frog, HPC, Loki97, Magenta Finalisten: MARS, RC6, Rijndael, Serpent, Twofish 5.6: Der AES 116

44 Geschichte des AES, 2. Teil April AES-Konferenz, Diskussion der Finalisten Mars, RC6, Rijndael, Twofish und Serpent. Oktober 2000 Rijndael wird ( draft ) Standard. 6 Monate später AES wird endgültig als Standard bestätigt. 5.6: Der AES 117