Crittografia Simmetrica e Antisimmetrica - DES e RSA

Transcript

1 Crittografia Simmetrica e Atisimmetrica - DES e RSA Sabria De Capitai di Vimercati decapita@ig.uibs.it. DEA - Uiversità di Brescia c Sabria De Capitai di Vimercati p.1/36

2 Crittosistemi a Chiave Simmetrica Soo ache chiamati crittosistemi a chiave segreta Alice e Bob cooscoo la stessa chiave k Stream cipher: i messaggi vegoo crittati carattere per carattere Block cipher: i messaggi soo prima divisi a blocchi e poi crittati c Sabria De Capitai di Vimercati p.2/36

3 Data Ecryptio Stadard (DES) 15 Maggio 1973, richiesta di stadard della NBS oggi NIST (1974 secoda richiesta) Modifica di Lucifer, sviluppato da IBM (chiave da 128 a 56 bit) reso oto el 1975 Stadard pubblicato il 15 Geaio 1977 Riaffermato per successivi 5 ai el 1983, 1987, 1992 DES challeges (giugo 1997, luglio 1998, geaio 1999) Advaced Ecryptio Stadard (AES) c Sabria De Capitai di Vimercati p.3/36

4 Data Ecryptio Stadard messaggio i chiaro 64 bit DES messaggio cifrato 64 bit 56 bit chiave c Sabria De Capitai di Vimercati p.4/36

5 Lughezza della Chiave Nello stadard DES la chiave è luga 64 bit; 8 byte di cui l ottavo bit è di parità I bit 8, 16, 24,, 64 soo i bit di parità il cui valore coicide co lo xor dei precedeti 7 bit c Sabria De Capitai di Vimercati p.5/36

6 Struttura del DES messaggio i chiaro Permutazioe Iterazioe 1... Iterazioe bit K1 48 bit K16 chiave 56 bit schedulazioe chiave scambio 1 Permutazioe messaggio cifrato c Sabria De Capitai di Vimercati p.6/36

7 Permutazioe La permutazioe iiziale è defiita dalla seguete tabella Ad esempio, il bit 58 viee portato ella prima posizioe, il bit 50 ella secoda e così via c Sabria De Capitai di Vimercati p.7/36

8 Permutazioe Iversa La permutazioe fiale è defiita dalla seguete tabella Ad esempio, il bit 40 viee portato ella prima posizioe, il bit 8 ella secoda e così via c Sabria De Capitai di Vimercati p.8/36

9 Sigola Iterazioe La parte cetrale del DES cosiste ella esecuzioe di 16 iterazioi. INPUT: blocco di 64 bit: (parte siistra di 32 bit) e (parte destra di 32 bit) OUTPUT: uovo blocco di 64 bit: e METODO: = = c Sabria De Capitai di Vimercati p.9/36

10 La Fuzioe A 32 bit E E(A) J 48 bit 48 bit B1 B 2 B3 B4 B 5 B6 B 7 B8 S1 S2 S3 S4 S5 S6 S7 S8 C1 C2 C3 C 4 C5 C 6 C 7 C8 P 32 bit f(a,j) c Sabria De Capitai di Vimercati p.10/36

11 La fuzioe di espasioe E espade 32 bit duplicadoe Espasioe E Ad esempio, il bit 32 viee portato ella prima posizioe, il bit 1 ella secoda e così via c Sabria De Capitai di Vimercati p.11/36

12 Esempio di Fuzioameto delle S-box INPUT: ; riga=10 (primo ed ultimo bit) coloa=0111 (secodo-quito bit) Box S OUTPUT: 1011 (cifra decimale 11 i biario) c Sabria De Capitai di Vimercati p.12/36

13 Proprietà delle S-box (1) Ogi riga è ua permutazioe degli iteri Nessua S-box è ua fuzioe affie o lieare dei suoi iput Cambiado u solo bit di iput ad ua S-box variao almeo due bit ell output Per ogi S-box S e per ogi iput x a 6 bit: S(x) e S(x ) differiscoo i almeo due bit c Sabria De Capitai di Vimercati p.13/36

14 Proprietà delle S-box (2) Per ogi S-box S, iput x e bit b,c: S(x) S(x 11bc00) Per ogi S-box, se fissiamo u bit di iput ed osserviamo i valori di u fissato bit di output, il umero degli iput per i quali il bit di output vale 0 è circa uguale al umero di iput per i quali tale bit vale 1 c Sabria De Capitai di Vimercati p.14/36

15 Decifratura DES messaggio i chiaro Permutazioe Iterazioe 1... Iterazioe 16 K1 48 bit 48 bit K16 chiave 56 bit schedulazioe chiave scambio 1 Permutazioe messaggio cifrato c Sabria De Capitai di Vimercati p.15/36

16 Digressioe La storia arra che IBM propose u altra tabella per le S-box Le S-box veero modificate dall NSA al mometo della certificazioe perché temeva che IBM avesse iserito ua trap-door per cotrollare le comuicazioi IBM accettò le modifiche dopo test sulla robustezza (test eseguiti co criteri rimasti segreti!) NSA itrodusse trap-door? No fu mai accertata essua frode da parte di NSA ed il DES vee accettato come stadard c Sabria De Capitai di Vimercati p.16/36

17 DES Doppio Per aumetare lo spazio delle chiave del DES si è pesato di progettare u cifrario a blocchi dove u messaggio è cifrato due volte co due chiavi diverse Cifratura: c = DES k (DESk (m)) Decifratura: m = DES k (DES k (c)) Lughezza blocco = 64 bit Chiave (k,k ) luga 112 bit c Sabria De Capitai di Vimercati p.17/36

18 Sicurezza DES Doppio Quato è sicuro il DES doppio? DES DES doppio? Algoritmo Meet i the Middle che permette di forzare il DES doppio co uo sforzo computazioale pari a quello ecessario per rompere il DES y = DES k (DESk (x)) A = DES k (x) = DES k (y) c Sabria De Capitai di Vimercati p.18/36

19 Meet i the Middle (1) Attacco kow plaitext: si coosce coppia (x,y) dove x è il msg i chiaro e y il corrispodete testo cifrato vogliamo determiare la coppia di chiavi (k,k ) 1. cifriamo x usado tutte le 2. decifriamo y usado tutte le possibili chiavi k possibili chiavi k 3. Se esiste i,j tale che DES k i(x) = DES k j(y) le due chiavi corrispodeti potrebbero formare la coppia cercata (i media ci soo chiavi che trasformao x i y coppie di c Sabria De Capitai di Vimercati p.19/36

20 Meet i the Middle (2) 4. Per ogi coppia di chiavi per cui si ha che DES k i(x) = DES j(y) si verifica se ache: k DES k i(x ) = DES k j(y Se la risposta è affermativa la probabilità che la coppia di chiavi corrispodete sia quella cercata è: ) c Sabria De Capitai di Vimercati p.20/36

21 Triplo DES (1) U messaggio viee cifrato 3 volte usado 3 chiavi diverse Applicado lo stesso attacco visto per il DES doppio si può dimostrare che: È equivalete ad u cifrario co ua chiave di 112 bit e o 168 bit c Sabria De Capitai di Vimercati p.21/36

22 Triplo DES (2) Nel 1992 si dimostra che il DES o è u gruppo k k : DES k (DESk (m)) (m) k DESk Questo risultato sembra implicare che il triplo DES icremeta la sicurezza del DES c = DES k (DES (DES k (m))) k le tre chiavi soo idipedeti k e k soo idipedeti ma k le tre chiavi soo idetiche = k c Sabria De Capitai di Vimercati p.22/36

23 Sicurezza Triplo DES Il triplo DES è spesso usato i pratica ed il suo grado di sicurezza è piuttosto elevato meo efficiete del DES sigolo di u fattore 3 Attualmete o soo oti attacchi crittoaalitici pratici al triplo DES c Sabria De Capitai di Vimercati p.23/36

24 Da chi È Stato Sostituito il DES? Dal 1998 il DES o è più certificato come stadard federale per le comuicazioi commerciali egli Stati Uiti Il triplo DES lo ha sostituito fiché il NIST o ha scelto u uovo cifrario (Advaced Ecryptio Stadard (AES)) Il primo call for algorithms risale al 12 Settembre 1997 deve poter essere reso di domiio pubblico, royalty-free deve essere simmetrico, a blocchi 128 bit le dimesioi delle chiavi devoo essere di 128, 192 e 256 bit RIJNDAEL c Sabria De Capitai di Vimercati p.24/36

25 Crittosistemi a Chiave Asimmetrica Soo ache chiamati crittosistemi a chiave pubblica defiiti da Diffie-Hellma el 1976 I messaggi soo chiusi i uo speciale tipo di cassaforte co due lucchetti co ua chiave (pubblica) viee chiusa la cassaforte co u altra chiave (privata) viee aperta la cassaforte chiave pubblica chiave privata c Sabria De Capitai di Vimercati p.25/36

26 Proprietà Solo il ricevete origiale può leggere il messaggio Solo ua chiave deve essere protetta Chiuque può crittare u messaggio usado la chiave pubblica No è ecessario u caale sicuro per comuicare la chiave privata agli uteti Ogi utete geera la propria coppia di chiavi (public,private) e rede ota la chiave pubblica su u key server c Sabria De Capitai di Vimercati p.26/36

27 Problemi La chiave privata deve essere teuta privata La chiave pubblica deve realmete proveire da Bob Le chiavi pubbliche dovrebbero essere recuperate facilmete Dovrebbe essere praticamete impossibile determiare la chiave privata dalla corrispodete chiave pubblica La crittazioe e decrittazioe dei messaggi è leta c Sabria De Capitai di Vimercati p.27/36

28 Crittosistemi Ibridi I crittosistemi a chiave segreta soo più veloci di quelli a chiave pubblica Spesso viee usata ua combiazioe dei due sistemi la crittografia a chiave pubblica è usata per codividere ua chiave segreta i messaggi soo simmetricamete crittati tramite c Sabria De Capitai di Vimercati p.28/36

29 Alcue Proposte Dopo la defiizioe di Diffie-Hellma, seguiroo immediatamete due proposte ua basata sul problema NP-completo dello zaio itrodotta da Merkle ed Hellma è stato forzata ma esistoo acora variati o violate ua basata sulla difficoltà di fattorizzare gradi umeri iteri (problema i NP co-np) proposta da Rivest, Shamir e Adlema (RSA) ad oggi è rimasta iviolato (vedi richiami algebra ) c Sabria De Capitai di Vimercati p.29/36

30 RSA - Geerazioe delle Chiavi Alice geera due umeri primi molto gradi p e q Alice calcola p q e Alice sceglie u itero e primo co ) p q (quidi relativamete Alice calcola l iverso di e, cioè u itero d t.c. d e usado l algoritmo di Euclide Esteso Alice pubblica e e come sua chiave pubblica Alice coserva e d come sua chiave privata c Sabria De Capitai di Vimercati p.30/36

31 Cifratura e Decifratura Cifratura: Dato u messaggio m (ota che m corrispodete crittogramma è: c = m e ), il Decifratura: Dato u crittogramma c (ovviamete c ), il corrispodete messaggio i chiaro è: m = c d c Sabria De Capitai di Vimercati p.31/36

32 Semplice Esempio Sia p = 47 e q = 71 p q e sia e = 79, l iverso di e è u umero d tale che d d chiave pubblica = (3337,79) e chiave privata = (3337,1019) la cifratura di m = 688 è la decifratura di c = 1570 è 688 = p q c Sabria De Capitai di Vimercati p.32/36

33 Attacchi Possibili ad RSA (1) La coosceza di p e q (fattori di ) permette di rompere RSA perché co l algoritmo esteso di Euclide è possibile calcolare d fattorizzare efficietemete RSA forzare efficietemete forzare efficietemete RSA efficietemete fattorizzare Si cogettura che i due problemi siao equivaleti Dobbiamo ecessariamete cooscere p e q per rompere RSA? c Sabria De Capitai di Vimercati p.33/36

34 Attacchi Possibili ad RSA (2) Per calcolare c si può calcolare la sua radice e-esima i problema difficile tato quato la fattorizzazioe el caso di composto d può essere calcolato ache cooscedo, applicado l algoritmo di Euclide esteso su ed e cooscere vuol dire cooscere p e q p q p q p q p q p q Da e si ricava p e q fattorizzazioe di c Sabria De Capitai di Vimercati p.34/36

35 Richiami Algebra Modulare (1) deota l isieme degli iteri miori di deota l isieme degli iteri miori di e primi co (p.es., p ) se p primo) a b p se k a = b + k La fuzioe di eulero idica il umeri di iteri miori di e relativamete primi co esso dove i p k j soo i divisori primi di p se è primo; altrimeti. c Sabria De Capitai di Vimercati p.35/36

36 Richiami Algebra Modulare (2) = Teorema Fermat-Eulero: Dati due umeri iteri e m primi tra loro (m ): m L iverso di m è: m Dati due umeri iteri m e p (p è primo) co m : m p c Sabria De Capitai di Vimercati p.36/36