Timing Attack ad RSA

Transcript

1 Tmng Aac ad RSA d Eore Mro marcola: 53/65 e-mal: eore.mro@s.com Tesna presenaa all Unversà d Salerno Laurea n Scenze dell Informazone Esame d Scurezza su Re Prof. Alfredo De Sans Salerno, Marzo 6 Pag./7

2 Index Index.... Tmng Analyss Inroduzone RSA Tmng Aac L dea Deagl dell aacco RSAREF Anals Conromsure Concluson Rfermen Appendce A Appendce B Appendce C... 7 Pag./7

3 . Tmng Analyss. Inroduzone Gl algorm crografc, spesso, eseguono de calcol n emp non cosan, a causa d omzzazon sulle presazon. Nel caso n cu al operazon manpolano de paramer segre, quese varazon su emp possono dvulgare alcune nformazon, ed un aena anals sasca conduce al loro oale recupero. Lo schema d fgura rappresena l prncpo che sa alla base del mng aac, nel quale l mplemenazone che usa da segre porebbe essere un proocollo, una smar card, ec., e l aaccane msura l empo mpegao da ale mplemenazone per rspondere ad una sua rchesa. Fg. Il prncpo del mng aac Nel Novembre del 995, Paul Kocher [3] è sao l prmo a dscuere la ecnca del mng aac; nfa Kocher presenò l suo rsulao prelmnare, arando l aenzone de crograf d uo l mondo, nclus gl nvenor del crossema RSA. I mng aac sono una forma d Sde Channel Analyss, o anals del canale collaerale dove un aaccane prende nformazon dall mplemenazone d un crossema, puoso che da debolezze presen nelle propreà maemache del ssema. Sde Channel Analyss espone nformazon su emp, consumo d almenazone, emsson eleromagneche per recuperare delle nformazon su un crossema [8]. Pag.3/7

4 Il mng aac analzza le varazon de emp durane le operazon crografche, pochè le omzzazon sulle presazon agscono sulle operazon esegue da un algormo crografco e spesso sono esegue con un dfferene ammonare d empo, dpendene dall npu e dal valore de paramer segre. Se le operazon rguardan la chave prvaa d RSA possono essere deermnae n un empo accuraamene ragonevole, n alcun cas l anals sasca può essere applcaa per recuperare la chave segrea usaa ne calcol. I prossm paragraf descrveranno l algormo crografco, nonché l algormo d frme RSA [par..] su cu s concenrerà la dscussone, e la ecnca della mng analyss. In parcolare sarà llusraa l dea che sa alla base del mng aac [.], per po essere approfonda, applcandola ad una specfca lbrera RSAREF. [par...], rlascaa dalla RSA Daa Secury per l calcolo della frma RSA. Un anals pù deaglaa, basaa su calcol probablsc [par...], spegherà come deermnare b segre, e la probablà d successo oenua su b segre che sono sa rova. Il Capolo 3 e 4 fornscono le concluson ed n parcolare nformazon rguardo alcune ecnche d conromsura.. RSA RSA è un algormo crografco a chave pubblca, ogg amplamene usao, per rasferre nformazon eleronche n modo scuro. L algormo RSA è sao nvenao dal eam d Rves, Shamr e Adleman nel 978. RSA è un cfraro a chave pubblca che permee d cfrare un messaggo araverso un procedmeno che sfrua le propreà de numer prm. RSA usa un esponene pubblco e per cfrare ed un esponene prvao d per decfrare. Esso usa un modulo N che è l prodoo d due grand numer prm p e q, ovvero N = p q. Gl esponen ee d devono essere scel n modo da soddsfare la condzone: ( p )( ) ed = mod q Pag.4/7

5 Allora, la coppa d chav RSA ha come chave pubblca la coppa ( N, e) e come chave prvaa la coppa ( N, d ). Ad esempo, se selezonamo due numer prm p = e q = 3, allora N = 3 = 33. Ora calcolamo ( p ) ( q ) = = e sceglamo un valore prmo su, dcamo 3. Po d è scelo n modo che ed = mod. Allora l valore d d è 7, poché 3 7 = = mod (Appendce A). Così prendamo la chave pubblca ( = 33, e = 3) prvaa d = 7. Scaramo l faore orgnale p, q. Per cfrare l messaggo M, calcolamo N e la corrspondene chave C = M e mod N, dove C sarà l messaggo cfrao. Per decfrare l eso cfrao C, usamo la formula M = C d mod N, che conerrà l messaggo orgnale M. Connuando con l nosro esempo, supponamo d voler spedre un messaggo M = 9. La codfca genera un messaggo codfcao e C = M mod N = 9 3 mod33 = 8. Il mene spedrà l messaggo cfrao C = 8. Per decfrare l messaggo C, l desnaaro usa la chave prvaa d e calcola d 7 M = C mod N = 8 mod33 = 9, che corrsponde al messaggo orgnale. Un alro uso dell algormo RSA è la generazone d una frma dgale l cu scopo è quello d verfcare la sorgene del messaggo. Durane la frma s usa la chave prvaa d e s esegue l operazone maemaca F = d M mod N per creare la frma. Il mene nva al desnaaro messaggo e frma, così l rcevene, per verfcare la frma, ovvero che quel messaggo è sao spedo effevamene dal mene, usa la chave pubblca e del mene ed esegue l operazone M e mod N del messaggo., la cu frma va confronaa con quella rcevua per verfcare la valdà Pag.5/7

6 . Tmng Aac.. L dea Un operazone fondamenale usaa nel crossema RSA è l esponenzazone modulare. Essa è usaa sa per cfrare sa per decfrare oppure per frmare blocch d messaggo. Quando RSA è saa nrodoa, gl nvenor hanno suggero un algormo basao su operazon rpeve d elevazone al quadrao e d molplcazone (fg ) INPUT: M, N, d = (dn dn... dd) OUTPUT: S = M d mod N S for = n... do 3 S S mod N 4 f d = hen 5 S S M mod N 6 reurn S Fgura : algormo lef-o-rgh La fgura descrve l algormo lef-o-rgh per l calcolo dell esponenzazone modulare. In npu abbamo l messaggo M, l modulo RSA, ovvero N, e l esponene prvao d, espresso n forma bnara (pedce ). L esponene prvao d è rappresenao usando al pù n b, dove n è la lunghezza de b del modulo RSA, ovvero N, che abbamo usao nel paragrafo precedene, menre l oupu S rappresena la frma dgale del messaggo M. Inolre dobbamo consderare, che queso algormo è usao pozzando che l messaggo M è mnore del modulo N. Pag.6/7

7 Kocher ha fao alcune mporan osservazon sull algormo rappresenao n fgura, nfa la condzone espressa alla lnea 4 causa l esecuzone del percorso d ques algormo n base al valore dell esponene. In ogn cclo d erazone, se l b rlevane d d è, allora sono esegu enramb l modulo del quadrao e della molplcazone (lnea 3 e 5 rspevamene); se l b rlevane è è eseguo solo l modulo del quadrao (lnea 3). In queso modo, l ammonare d calcolo rcheso, e qund l empo d esecuzone, per compleare gl n ccl erav è nfluenzao dal valore dell esponene. Se un aaccane osserva e confrona l empo d esecuzone d dvers ccl erav nell algormo lef-o-rgh, è n grado d dedurre l valore de corrsponden b dell esponene. Quesa ecnca, quando è applcaa conro un operazone d frme RSA, rleverà b della chave segrea del frmaaro. Il mng aac d Kocher descrve come un aaccane può usare l empo oale d esecuzone dell algormo per dedurre b dell esponene prvao. Quesa nformazone sul empo può essere faclmene osservaa da un aaccane passvo. Supponamo che un uene malnenzonao, Oscar, spedsce una sere d rchese d frme ad un PC che mplemena l algormo RSA, usando l algormo rpeuo lef-o-rgh. Oscar memorzza emp T,..., frma su ognuno de messagg conoscu, T T che l PC mpega al rorno d una procede n modo che Oscar recupera b d d, uno alla vola. Poché M, M,..., M Z N. L aacco, po, d < N ed n è la lunghezza de b d N, la rappresenazone bnara d d può conenere degl zero preceden, ma per semplfcare la nosra dscussone assumeremo che d = n. Passando araverso l pseudocodce della fgura, Oscar conosce che all nzo del cclo eravo S = M mod N e po, dopo l passo del quadrao, S = M mod N. Se d, l PC calcola l prodoo M * M mod N, alrmen non lo esegue. n = Pag.7/7

8 Usando la conoscenza delle caraersche fsche del PC desnaaro, Oscar smula su un PC denco (ad esempo con sesso processore, sessa RAM cache, ec.) l empo ˆ preso per calcolare messagg conoscu. Il valore d esegure queso calcolo. Kocher noa che, quando = n M * M modn per ognuno de M nfluenza l ammonare d empo rcheso per d, nsem { } ˆ e { } T sono correla. Per esempo, se ˆ è molo pù grande d quello aeso, allora anche T deve essere pù grande d quello aeso. Se d = n, allora nsem s comporano come varabl casual ndpenden. Msurando la correlazone Oscar può decdere l valore d d n. A queso puno Oscar conosce l valore d S all nzo del 3 cclo eravo. Per prendere n 3 preso dal PC per calcolare d Oscar rcosrusce l nseme { } ˆ, smulando l empo S * M mod N, dove l valore d S è conoscuo, e compare con l nseme { T }. Oscar connua allo sesso modo per recuperare rmanen b d d... Deagl dell aacco Analzzamo l meodo d aacco d Kocher e speghamo come può essere applcao conro un esponenzazone modulare nella lbrera crografca RSAREF.... RSAREF. L RSAREF. è saa rlascaa dalla RSA Laboraores nel 994. Quesa lbrera è saa un mplemenazone d rfermeno per dvers schem comun crografc. Nella lbrera RSAREF. sono nclus gl algorm per l accordo d chav Dffe-Hellman e la frma RSA. In enramb cas, l esponenzazone modulare è raaa araverso la funzone NN-ModExp. Il pseudo-codce della funzone NN-modExp è dao dalla fgura Pag.8/7

9 INPUT: M, N, d = (dn dn... dd) OUTPUT: S = M d mod N m M mod N m m * M mod N 3 m3 m * M mod N 4 S 5 for = n... by do 6 S S mod N 7 S S mod N 8 f (dd ) hen 9 S S m(dd ) mod N reurn S Fgura 3: Meodo lef-o-rgh per l calcolo dell esponenzazone modulare nel quale è saa usaa una fnesra d b. Un dea sbaglaa molo comune sul mng aac è che esso deermna solo se è esegua o no una condzone molplcava. Se fosse sao così, allora l aacco non avrebbe successo conro l algormo d fgura 3. Conoscendo che una molplcazone è esegua n un parcolare cclo eravo, elmnerebbe solano uno de quaro possbl valor per la coppa rlevane de b dell esponene. Per deermnare l valore d una coppa de b dell esponene è necessaro conoscere qual operand sono usa nella condzone molplcava. Il mng aac è capace d esplodere la varazone de emp nelle molplcazon e nel quadrao. Pag.9/7

10 Supponamo che Alce e Oscar comuncano con un proocollo d frme usando propr PC. Quando Oscar spedsce un messaggo ad Alce, Alce usa le roune d RSAREF e la sua coppa d chav prvae (N,d) per frmare. Alce allora spedsce la sua frma a Oscar. Oscar, nano, memorzza l empo T che Alce mpega per rspondere, dopo che egl ha spedo ad Alce l messaggo M. C sono dvers faor che conrbuscono al valore d T, nfa rornando alla fgura 3, l empo rcheso per esegure le sruzon da a 4, danno una conrbuzone che denoamo con c. Inolre nel cclo della fgura 3, per un parcolare valore d, l empo rcheso per esegure le lnee 6, 7 e 9 anch esse conrbuscono a T. Denoamo quese ulme condzon con r,, s,,, rspevamene. Noamo che r, e s, sono valor sreamene posv, ma, porebbe valere zero. Alr faor, come error d msurazone e dsanza d rasmssone, conrbuscono anche a T e possono essere raa come sorgen d errore. Denoamo quese conrbuzon con e. A queso puno, possamo scrvere: T = e + c + ( r, n + s, n +, n ) + ( r, n 3 + s, n 3 +, n e + c + ( r, + s, +, ) 3 ) ( r I b dell esponene segreo d Alce nfluenza l valore d quas u componen n quesa somma. Per un parcolare valore d, gl operand usa nelle due operazon quadrache sono compleamene deermnae dal valore de b dell esponene d d,..., d, d. Gl operand usa ne pass della n, n + + molplcazone sono affe da ques sess b così come b d d. Così, gl, + s, +, ) = esponen r, s,,,, sono u nfluenza da b dell esponene. Il valore d c è nfluenzao solano dal valore d M. Consderamo l prmo cclo eravo d NN-ModExp. Usando un PC denco ad Alce, Oscar può smulare e emporzzare quaro possbl nsem d calcol che Alce esegue nel prmo cclo eravo quando frma l messaggo M. Effevamene, Oscar genera quaro candda per l valore d Pag./7

11 c + r, n + s, n +, n. Per cosrure ogn canddao, Oscar può semplcemene frmare l messaggo M quaro vole usando gl esponen,,, 3 equvalen a,, e, espress n forma bnara. Denoamo con T ˆ, Tˆ, Tˆ, Tˆ l empo rcheso per quese quaro frme, dove prm, n,, n,, n,, n,3 due ndc ndcano l relavo messaggo e l cclo eravo, menre l ulmo ndce rappresena un poes per b d n dn. Oscar può, qund, cosrure la seguene abella: In una delle quaro colonne, Oscar ha smulao le operazon che saranno le sesse d Alce, esegue alla fne del prmo cclo eravo. In una d quese colonne, l valore canddao d Oscar sarà pù vcno a c + r, n + s, n +, n degl alr re candda. Dall anals nella seguene sezone, vedamo che, con un ala probablà, quesa produrrà che la varanza della colonna correa sa pù pccola delle alre. Confronando le quaro varanze oenue, Oscar può deermnare l valore d d n dn. La prossma coppa d b dell esponene, d n 3dn 4, possono essere dedo calcolando emp de quaro possbl nsem d calcol che Alce ha eseguo prma della fne del secondo cclo eravo. Per ogn messaggo, Oscar può msurare l empo preso per frmare M usando quaro esponen Quesa sasca è usualmene denoaa con S. Se Y, Y,..., Y è un nseme d osservazon e Y è la loro meda armeca, allora S = ( Y Y ) = Pag./7

12 d n dn, d n dn, d n dn e d n dn. Denoamo l empo rcheso per quese quaro frme con T ˆ ˆ ˆ ˆ, n 3,, T, n 3,, T, n 3,, T, n 3, 3. Oscar allora può rcosrure la sua abella n cu le rghe hanno la forma: T ˆ T, n 3, T ˆ T, n 3, T ˆ T, n 3, T ˆ T, n 3, 3 Inolre, Oscar calcola la varanza d ogn colonna per deermnare valor aual de b. Il valore delle alre coppe d b può essere decso a urno, usando una abella smle.... Anals Sa un parcolare valore d nell algormo lef-o-rgh d fgura 3, e sa g {,,,3}. Oscar procede con l mng aac rempendo le colonne della abella con valor della forma T Tˆ,, g, dove g è l poes per l valore de b d d dell esponene. Assumendo che Oscar ha deermnao correamene l valore de b d n dn... d + d +, abbamo: dove T ˆ,, g = c + ( r, + s, +, ) + ( r, + s, > ˆ,, g è un valore canddao per + ˆ,, g,. Se g = allora ˆ,, g =, alrmen ) ˆ,, g >. Qund, no abbamo: T Tˆ = e +,, g < = e + c + ( r, + s, +, ( r, ) + ( + s,, + ˆ,,, g ) c ) > ( r, + s, +, ) ( r, + s, + ˆ,, g ) = Allora s può verfcare che l valore ˆ,, g è una msura correa del empo presa da Alce per calcolare la molplcazone alla lnea 9 della fgura 3 quando =, oppure non lo è. Se è correo, allora ˆ,, g è uguale a,, e allora: Pag./7

13 T Tˆ,, g = e + ( r, < + s, +, ) Se non è correo, allora ˆ,, g solamene non è uguale a,, così non c saranno cancellazon. Oscar può usare la sasca per deermnare se quesa cancellazone avvene o no e qund verfcare l poes su g. La sorazone del ermne ˆ,, g nfluenza la varanza d una colonna de da. Per vedere cò, raamo le msure de emp come occorrenze d varabl casual. La varable casuale T descrve quano empo è necessaro per frmare un messaggo n casuale Z N, usando d, l esponene prvao d Alce. La varable T ˆ, g descrve quano empo è necessaro per esponenzare un messaggo usando gl n b pù sgnfcav d d, nel quale sono sae aggune le poes d due b (dpenden dal valore d g ). La varable casuale r ed s descrve quano empo serve per esegure l quadrao d un elemeno d Z N. La varable casuale descrve quano empo è necessaro per esegure la molplcazone d due elemen d Z N (noamo che è sreamene posvo). Infne, la varable casuale e descrve gl effe d errore. Assumendo che l empo per l calcolo del quadrao e della molplcazone ne ccl successv sono ndpenden da ognuno e dall errore, la varanza della varable casuale T Tˆ, g quando l poes d g è correa, vale: Var( T Tˆ, ) Var( e ( r s) ) g = < < d d = Var( e) + Var( r) + Var( s) + l Var( ) La varable l è un nero che è deermnao dal numero d coppe d b prese da d che non sono ugual a (per un valore casuale d d, l è approssmavamene uguale a 3 ( ) ). Rcordamo che la varabl casual r 4 ed s descrvono l empo necessaro per fare un operazone d calcolo del quadrao. Pag.3/7

14 Così, r ed s sono dencamene dsrbue e la varanza d n fuuro essere semplfcaa a: Var( T Tˆ g ) = Var( e) + ( ) Var( s) + l Var( )., T Tˆ, g può Quando l valore d g pozzao è scorreo, allora c sono due possblà per la varanza d T Tˆ, g, dpendene dal valore d g. Rcordamo che, nel caso g sa scorreo, s ha:: T ˆ T,, g = e + ( r, + s, +, ) + (, ˆ,, < g ). Innanzuo, supponamo che enramb e ˆ g sono dvers da zero.,,, Allora, l valore ˆ,,, g è la dfferenza d due occorrenze (solamene non ugual) della varable casuale. Poché la varanza della varable casuale è daa da Var( ) + Var( ) = Var( ), abbamo nelle colonne della relava abella: Var T Tˆ g ) = Var( e) + ( ) Var( s) + ( l + (, ) Var( ) Po, supponamo che una ra, o ˆ,, g è zero, allora, per ogn colonna d da con quesa propreà, s ha: Var T Tˆ ) = Var( e) + ( ) Var( s) + ( l ) Var( ). (, g + In queso modo, la colonna de da basaa su una correa poes ha una varanza che è Var () oppure Var( ) pù bassa delle alre colonne d da. La varanza campone, S, è una buona sma della varanza effeva e no poremmo presenare una sma eursca della probablà che quesa sasca dsnguerà la correa colonna. Per svluppare la nosra sma, prma nroducamo alcune noe e consderamo due argomen che sono sa sabl n mol es nroduv della probablà []. Scrvamo X ~ N ( µ, σ ) per ndcare che la varable casuale X è normalmene dsrbua con la meda µ e la varanza σ. La meda d una varable casuale X è anche denoaa con E(X). Se Y è una varable casuale espressa come Y = ax + b, dove a e b sono cosan, e X ~ N ( µ, σ ), allora Pag.4/7

15 Y ~ (, σ N aµ + b a ). Se X ~ N( µ x, σ x ) e Y ~ N( µ y, σ y ), dove X e Y sono ndpenden, allora X + Y ~ N( µ x + µ y, σ x + σ y ). La colonna de da nella abella d Oscar, che corrsponde ad una correa poes, ha una varanza aesa d Var( e) + ( ) Var( s) + l Var( ). C è una seconda colonna nella abella d Oscar che ha una varanza aesa d Var ( e) + ( ) Var( s) + ( l + ) Var( ). Quese due varanze dfferscono per l valore d Var (). Supponamo che esse una erza colonna d da con varanza aesa Var ( e) + ( ) Var( s) + ( l + ) Var( ). In queso caso la varanza dffersce dalla prma colonna per un valore d Var( ). calcolare La probablà d successo del es sasco d Oscar, che consse nel S, è pù basso quando egl la calcola alla prma e seconda colonna, opposo a quando la applca alla prma e erza colonna. Qund, no dervamo una sma d quesa probablà d successo nel caso peggore. Una sma della probablà n alr cas, può essere rcavaa n modo smle. Supponamo che s r, s, sano normalmene dsrbue. Denoamo con N( µ, σ ) la dsrbuzone d r ed s, e denoamo con N( µ, σ ) la dsrbuzone s d. Enramb: ( r + s) e < < d d sono normalmene dsrbue e da nelle colonne corree e ncorree della abella sono dsrbue n accordo alle seguen somme: ( r + s) + e ( r + s) + < < d d < + < d d Enrambe le somme d quese varabl casual sono normalmene dsrbue. Denoamo la dsrbuzone del prmo con N ( µ, σ ) e noamo che σ = + l. ( ) σ s σ Pag.5/7

16 X,..., Supponamo che abbamo un oale d msure d empo accurae. Sano, X X e Y, Y,..., Y le varazon normal sandard corree ed errae rspevamene. Se gl effe d errore sono nsgnfcan, possamo modellare da n due colonne come: Per semplfcare la nosra noazone, ponamo V = σ X + µ e W = ( σ X + µ ) + ( σ Y + µ ). Voglamo smare quano segue: Pr( S w > S v ) = Pr( = ( W W ) > = ( V V ) ) = Pr( ( W W ) > = = ( V V ) ) Le varabl V e W sono normalmene dsrbue con le meda d µ e µ + µ rspevamene. Così, se è grande, allora V µ e W µ + µ. Usando quesa approssmazone c dà: Pr( S w = Pr( > S = Pr(σ v ) Pr( = ( σ X = = + σ Y ) ( σ X + σ σ X Y + σ Y ) > = = X Y + σ Y > ) > = ( σ X σ X ) ) = Ora, consderamo alcune nozon del calcolo delle probablà. L denà Var( X ) X = E( X ) E( ) vsualzza che ( X ) = ) = E e E ( Y ) =, poché X e Y sono normalmene dsrbue. A queso puno, = = = = E( Y ) E( Y ) e no useremo queso valore per approssmare Y =. Poché X e Y sono ndpenden, E ( X, Y ) E( X ) E( Y ) =. = Pag.6/7

17 Ancora, Var( X, Y ) = E( X Y ) ( E( X Y )) = E( X Y ) = E( X ) E( Y ) =. Applcando l eorema del lme cenrale, allora X Y = segue, approssmavamene, la dsrbuzone d N (, ). Se Z è una varazone sandard normale, la probablà d successo d Oscar, nel caso peggore, è approssmavamene: σ Pr( S S ) Pr( ( Z) ) Pr( Z σ ) ( W > V σ + σ > = > = Φ ) σ σ dove Φ (z) è l area suaa soo la curva normale sandard da a z. Rapplcando pass della nosra approssmazone, possamo smare la probablà d successo d Oscar n un caso alernavo, quale: caso. σ Φ ( σ Noamo che, come c aspeavamo, la probablà è pù grande del prmo Rcordamo che ( ) σ s lσ ) σ = + e pozzando che ( 3 abbamo che ) σ = (σ s + σ ). Adesso: 4 σ σ = = σ ( ) 3 σ s (σ s + σ ) ( )(( ) + 4 σ 3 ) 4 3 ( ) l =, 4 Quesa è la probablà d successo, e n ognuno de due cas, dpende da valor d σ s, σ,,. In queso modo, Oscar procede con l mng aac, facendo varare da n- a. Vengono recupera pù b dell esponene segreo, decremena, e così la probablà d successo ncremena. Ancora, consderando mole msure su emp, ncremena, così la probablà d successo ncremena anch essa. Pag.7/7

18 3. Conromsure Prma d descrvere come dfenders dal mng aac, consderamo prma due alr approcc comun verso lo svluppo d conromsure. Il prmo e l meodo pù ovvo, è asscurars che ue le operazon grno n un ammonare d empo cosane. Sforunaamene, è dffcle persegure ques obevo. Le omzzazon de complaor e della memora possono nrodurre varazon d empo non aes, qual sfuggono al conrollo delle mplemenazon. Traenere l rsulao d un operazone fno a che uno specfco ammonare d empo ermnerà, può sembrare un approcco promeene, ma la lunghezza del rardo agguno può essere deermnao, araverso l consumo d almenazone del ssema o dell uso della CPU. Inolre, usando queso meodo degraderemo l effcenza del ssema, poché ue le operazon s comporerebbero come se sessero processando degl npu nel caso peggore. Allora, s porebbe esegure la molplcazone n ogn cclo eravo dell algormo lef-o-rgh come n fgura 4, l quale non rende cosane l esecuzone del empo dell algormo. La varablà nell operazone della molplcazone e del quadrao rmarranno ancora e queso può essere scopero INPUT: M, N, d = (dn dn... dd) OUTPUT: S = M d mod N S for = n... do 3 S S mod N 4 T S M mod N 5 f d = hen 6 S T 7 reurn S Pag.8/7

19 Fgura 4: Quesa modfca dell algormo square and mulply è ancora vulnerable al mng aac Come menzonao n precedenza, l mng aac può deermnare qual operand sono usa n ogn passo dell algormo e al percorso dell esecuzone. Se l operazone d molplcazone e d elevazone al quadrao sono esegue n un empo cosane, allora l empo per un esponenzazone modulare sarebbe correlaa solano dall ampezza d Hammng dell esponene [Appendce B]. Per esponen casual, l ampezza d Hammng non rleva, n meda, mole nformazon crca l suo valore. La molplcazone d Mongomery [Appendce C] è esegua n un empo quas cosane, ma c è una pccola sorgene d varablà rsulane da una sorazone condzonale. RSA con la molplcazone d Mongomery è vulnerable al mng aac []. Il secondo meodo è aggungere rumore al empo d esecuzone delle vare operazon. L effeo desderao è quello d ncremenare l numero rcheso d msure de emp n modo ale che l aacco dven mpracable. Il precedene meodo d aacco e la successva anals ha pozzao che gl effe d rumore fossero nsgnfcan, ma queso non porebbe essere l caso. Inserendo de rard casual s produce una sorgene d rumore, ma queso rdurrà l effcenza se la meda del rardo è abbasanza larga. Per sconfggere l mng aac, gl svluppaor prevenveranno un aaccane dall apprendere gl npu per un operazone vulnerable. Nel caso d RSA, se Oscar non conoscesse l valore della base usaa nell esponenzazone modulare, allora la corrspondene nformazone d mng non può essere usaa. La sruura algebrca d essere frma. Puoso che frmare l messaggo Z N permee che messagg sano blnda [] prma d * M Z N, Alce può sceglere un Z * ' r N casuale e frmare l messaggo M = e r * M mod N. Denoamo la frma rsulane con ' S. Alce, adesso, calcola ' ed d r S = r r M d = r rm d = M mod N per oenere la sua frma sul messaggo M. Pag.9/7

20 La convenenza d quesa ecnca dpende neramene da deagl del crossema, ma mol ssem a chave pubblca hanno una sruura algebrca a rchesa. Pag./7

21 4. Concluson La nosra anals del mng aac, applcaa all esponenzazone modulare n RSAREF, è complcaa dal fao che l meodo d esponenzazone processa gl esponen usando una fnesra d b. La nosra dscussone sarebbe maggormene semplfcaa se avesse consderao un meodo con una fnesra da b. Nel documeno [3], Kocher semplfca la sua anals assumendo che s conosce ogn secondo b dell esponene. Kocher presena rsula ra da dvers espermen che sosengono la sua descrzone eorca del mng aac. Sforunaamene, n quella pubblcazone, Kocher rleva poch deagl prac d come ha eseguo suo espermen; queso rende l lavoro d rproduzone del suo espermeno come qualcosa d dffcle per l leore. Alr auor sono sa pù mmnen con deagl de loro espermen. Per esempo, esse una dscussone deaglaa nel documeno [3] che descrve come precsare le nformazon su mng che possono essere msurae su un PC. S dovrebbe noare che l mng aac d Kocher, come presenao n [3], non applca dreamene le operazon n RSAREF. alla frma RSA. Come mole mplemenazon d RSA, RSAREF. usa l Chnese Remander Theorem (CRT) per calcolare le frme. Una conseguenza d queso meodo è che gl npu a due componen d esponenzazone modulare sono effevamene blnda, così l mng aac non può essere applcao. Se un avversaro ha l ablà d sceglere qual messagg devono essere frma allora l mng aac può essere applcao alle mplemenazon CRT come vsualzzao n [4]. I mng aac sono pù mnaccos per apparecch crografc dedca (come ad esempo le smarcard) e c sono sa re dfferen aacch su OpenSSL basa su applcazon d decfraura RSA. E sao dmosrao che è possble recuperare le chav prvae RSA usae n ques ssem. Pag./7

22 La ecnca del mng aac llusra che gl aaccan non necessaramene gocano un ruolo fondamenale, ma ess sfruano ed aaccano sempre pun debol del ssema. Pag./7

23 5. Rfermen. D.Brumley and D. Boneh, "Remoe mng aacs are praccal", a crypo.sanford.edu/~dabo/papers/ssl-mng.pdf. J.F. Dhem, F. Koeune, P.-A. Leroux, P. Mesré, J.-J. Qusquaer, and J.-L. Wllems, "A praccal mplemenaon of he mng aac", a 3. P.Kocher, "Tmng aacs on mplemenaons of Dffe-Hellman, RSA, DSS, and oher sysems", a 4. S.Levy, "The open secre", Wred, ssue 7.4, Aprl 999, a hp:// 5. OpenSSL Proec. hp:// 6. R. L. Rves, A. Shamr, L. Adleman, "A mehod for obanng dgal sgnaures and publc-ey cryposysems". Comm. ACM (978) no., RSA Laboraores. hp:// 8. B.Schneer, "Rss of relyng on crypography", Insde Rss, Communcaons of he ACM, vol. 4, no., Ocober 999, a 9. US-CERT Vulnerably Noe VU#99748, a hp:// Pag.3/7

24 . G.Blom. Probably and Sascs: Theory and Applcaons. Sprnger-Verlag, J.F. Dhem,F. Koeune,P.A. Leroux,P. Mesr e,j.j. Qusquaer,and J.L.Wllems. A Praccal Implemenaon of he Tmng Aac. Techncal Repor CG-998/,Unv ers e caholque de Louvan,998. Avalable from hp:// D. Chaum. Blnd Sgnaures for Unraceable Paymens. In R. Rves and A. Sherman and D. Chaum,edor, Advances n Crypology - Proceedngs of CRYPTO 8,volume,pages Plenum Press, A. Heva and M. Kw. Srengh of Two Daa Encrypon Sandard Implemenaon Under Tmng Aacs. ACM Transacons on Informaon and Sysem Secury,(4):46 437,No vember W. Schndler. A Tmng Aac agans RSA wh he Chnese Remander Theorem. In C. K. Ko c and C. Paar,edors, Crypographc Hardware and Embedded Sysems - CHES,v olume 965 of LNCS,pages 9 4. Sprnger-Verlag,Augus. Pag.4/7

25 6. Appendce A Teorema d Eulero: MCD ( a, m) =, se m è un nero posvo ed a è un nero con φ ( ) allora a m mod( m). Con MCD ( a, m) s nende l Massmo Comune Dvsore d a ed m e φ (m) è la funzone ph d Eulero, defna come l numero d ner posv mnore d m che sono relavamene prm a m. Due numer sono relavamene prm se l loro MCD è. E la cosa molo pù mporane è che se è possble faorzzare m, possamo calcolare velocemene φ (m). Pag.5/7

26 7. Appendce B Dsanza d Hammng: s chama dsanza d Hammng e s ndca come d H (s,s) la dfferenza d componen ra due veor boolean. Esempo: Da e la loro dsanza d Hammng d H (s,s) è 4. Infa le componen dverse sono la prma, erza, quna e nona; per calcolare velocemene ale dsanza s può fare l'xor de due veor, componene a componene, e conare l numero d componen oenue. Pag.6/7

27 8. Appendce C Molplcazone d Mongomery. L algormo d Mongomery permee d fare l calcolo veloce della molplcazone fra numer rappresena con un numero elevao d b. In parcolare va a sfruare alcune propreà dell algebra modulare per veloczzare al massmo quesa operazone. Il problema n quesone s rconduce al calcolo della seguene quanà: ab mod n (8.) Quesa operazone, essendo a,b,n numer molo grand (dell ordne d 4 b) è puoso dspendosa e, dao che vene esegua pù vole negl algorm d crografa a chave pubblca, s cerca d rcondurla n una forma pù snella. quanà: Ovvero l algormo d Mongomery permee l calcolo della seguene Mon Pr o( a, b) = abr mod n (8.) E necessaro sceglere un numero r maggore d n n modo ale che due numer sano prm fra loro. D conseguenza, l massmo comune dvsore deve essere uguale ad (gcd(n,r)=). La scela d queso paramero può essere faa n modo ale che s semplfchno le operazon che s dovranno compere. D conseguenza, s scegle come r l numero poenza d (r= ) ale che valga la seguene dsuguaglanza n <. In queso modo, le dvson per r dvenano semplc shf, menre modul dvenano delle semplc maschere. Infa, per quano rguarda l modulo s ha: f mod r = f ( r ) (8.3) (Es. 7 mod 8 = 3 espresso n bnaro 7= 8= per cu s vede che 7&7=&=3 7 mod 8= 7 & 7 = 3). Pag.7/7