Cifrari a blocchi: RC2 RC2. Altri cifrari a blocchi RC2. Input/output round. RC2: operazioni. Corso di Sicurezza su reti Lezione del 22 marzo 2004

Transcript

1 Cifrari a blocchi: RC2, Blowfish, RC5, RC6 Altri cifrari a blocchi RC2 [1989] IDEA (International Data Encryption Algorithm) [1990] Blowfish [1993] Barbara Masucci Dipartimento di Informatica ed Applicazioni Università di Salerno masucci@dia.unisa.it SAFER (Secure And Fast Encryption Routine) SAFER K-64 [1994], SAFER K-128 [1995] cifrario bit bit testo RC5 [1994], RC6 [1998] IDEA SAFER K SAFER K Madryga, NDS, FEAL, REDOC, RC5 <256 byte 32,64,128 LOKI, Khufu, Knafre, MMB, GOST, 1 RC2 RC2 64 bit 64 bit 8,, 1024 bit Ideato da Ron Rivest nel 1989 Facile da implementare su processori bit Usato in S/MIME con 40, 64 e 128 bit RC2: operazioni Operazioni su parole di bit: a+b addizione a&b AND bit a bit a b XOR bit a bit a NOT bit a bit a «b shift a sinistra di a di b bit 2 3 RC2 Input/output round 5 iterazioni 6 iterazioni mashing round mashing round K[0] K[1] 8,, 1024 bit schedulazione K[j] K[j+1] K[j+2] K[j+3] mashing round K[R[0]&63] K[R[1]&63] K[R[2]&63] K[R[3]&63] 5 iterazioni K[63] 4 5 1

2 RC2: Mix up R[i] Mix up R[0] Mix up R[1] Mix up R[2] Mix up R[3] K[j] K[j+1] K[j+2] K[j+3] R[i] R[i] + K[j] + (R[i-1] & R[i-2]) + ( R[i-1] & R[i-3]) R[i] R[i] «s[i] 1 if i=0 2 if i=1 3 if i=2 5 if i=3 Indici R[] mod RC2: RC2: mashing round R[0] R[0] + K[j] + (R[3] & R[2]) + ( R[3] & R[1]) R[0] R[0] «1 R[1] R[1] + K[j] + (R[0] & R[3]) + ( R[0] & R[2]) R[1] R[1] «2 R[2] R[2] + K[j] + (R[1] & R[0]) + ( R[1] & R[3]) R[2] R[2] «3 R[3] R[3] + K[j] + (R[2] & R[1]) + ( R[2] & R[0]) R[3] R[3] «5 Mash R[0] Mash R[1] Mash R[2] Mash R[3] K[R[0]&63] K[R[1]&63] K[R[2]&63] K[R[3]&63] 8 9 Mash R[i] RC2: mashing round R[i] R[i] + K[ R[i-1] & 63 ] R[0] R[0] + K[ R[3] & 63 ] R[1] R[1] + K[ R[0] & 63 ] R[2] R[2] + K[ R[1] & 63 ] R[3] R[3] + K[ R[2] & 63 ] bit meno significativi

3 5 iterazioni 6 iterazioni 5 iterazioni R- R- R-mashing round R- R- R-mashing round R- R- K[0] K[1] K[63] RC2 8,, 1024 bit schedulazione 12 RC2: R- R[3], R[2], R[1], R[0] R-Mix up R[3] R-Mix up R[2] R-Mix up R[1] R-Mix up R[0] R[3], R[2], R[1], R[0] K[j+3] K[j+2] K[j+1] K[j] 13 R-Mix up R[i] RC2: R-mashing round R[3], R[2], R[1], R[0] R[i] R[i] >> s[i] R[i] R[i] - K[j] - (R[i-1] & R[i-2]) + ( R[i-1] & R[i-3]) j j-1 1 if i=0 2 if i=1 3 if i=2 5 if i=3 Indici R[] mod 4 R-Mash R[3] R-Mash R[2] R-Mash R[1] R-Mash R[0] R[3], R[2], R[1], R[0] K[R[3]&63] K[R[2]&63] K[R[1]&63] K[R[0]&63] Mash R[i] R[i] R[i] - K[ R[i-1] & 63 ] bit meno significativi RC2: espansione P [0,,127] espansione binaria π for i=t to 127 do L[i] P[ L[i-1] + L[ i-t ] ] L[128-T] P[ L[128-T] ] for i=127-t downto 0 do L[i] P[ L[i+1] L[ i+t ] ] sottochiavi nei byte L[0],, L[T-1] ovvero word bit byte L[0], L[1],, L[127] 1 T 128 K[0],, K[63] K[i] = L[2i]+256 L[2i+1] 17 3

4 Tabella P Blowfish a b c d e f 00: d9 78 f9 c4 19 dd b5 ed 28 e9 fd 79 4a a0 d8 9d 10: c6 7e b e 62 4c b fb a2 20: 17 9a 59 f5 87 b3 4f d 8d d 32 30: bd 8f 40 eb 86 b7 7b 0b f c 6b 4e 82 40: 54 d ce 60 b2 1c c0 14 a7 8c f1 dc 50: ca 1f 3b be e4 d1 42 3d d4 30 a3 3c b : 6f bf 0e da f2 1d 9b bc : f8 11 c7 f6 90 ef 3e e7 06 c3 d5 2f c8 66 1e d7 80: 08 e8 ea de ee f7 84 aa 72 ac 35 4d 6a 2a 90: 96 1a d2 71 5a b 9f d0 5e a4 ec a0: c2 e0 41 6e 0f 51 cb cc af 50 a1 f b0: 99 7c 3a b8 b4 7a fc b c0: 2d 5d fa 98 e3 8a 92 ae 05 df c ba c9 d0: d3 00 e6 cf e1 9e a8 2c f 58 e2 89 a9 e0: 0d b ab 33 ff b0 bb 48 0c 5f b9 b1 cd 2e Barbara f0: Masucci c5 f3 db - DIA 47 e5 Università a5 9c 77 di Salerno 0a a fe 7f c1 ad 18 Ideato da Bruce Schneier nel 93 Cifrario di Feistel Dimensione dei blocchi: 64 bit Numero di round: Dimensione della : da 1 a 14 word a 32 bit Altre caratteristiche: Veloce (su microprocessori a 32 bit opera a 18 cicli di clock per byte) Compatto (bastano meno di 5Kb di memoria) Semplice da implementare e da analizzare Implementato in numerosi prodotti software 19 Espansione Espansione : Inizializzazione Converte una di al più 14 word a 32 bit (K-array) in un array di 18 sottochiavi a 32 bit (P-array) Genera 4 8x32, ognuna con 256 word a 32 bit P 1,,P 18 P-array K 1,,K j 1 j S 1,0,S 1,1,,S 1,255 S 2,0,S 2,1,,S 2,255 S 3,0,S 3,1,,S 3,255 S 4,0,S 4,1,,S 4, Inizializza in sequenza il P-array e le con i valori della parte frazionaria di π P 1 =243F6A88 P 2 =85A308D3 S 4,254 =578FDFE3 S 4,255 =3AC372E6 Esegue lo XOR tra il P-array e il K-array P 1 =P 1 K 1 P 14 =P 14 K 14 P 15 =P 15 K 1 P 18 =P 18 K 4 21 Espansione : Inizializzazione Sia E P,S [Y] la cifratura di Y con il P-array e le. Calcola P 1,P 2 =E P,S [0] P 3,P 4 =E P,S [P 1 P 2 ] P 17,P 18 =E P,S [P 15 P ] S 1,0,S 1,1, =E P,S [P 17 P 18 ] S 4,254,S 4,255 =E P,S [S 4,252 S 4,253 ] Sono necessarie 521 cifrature per generare gli array finali P e S Blowfish non adatto per applicazioni in cui la cambia frequentemente Cifratura Blowfish utilizza due operazioni: + per la somma di word (modulo 2 32 ) per lo XOR Testo in chiaro: L 0 R 0 Testo cifrato: L 17 R 17 For i=1 to do R i =L i-1 P i ; L i =F[R i ] R i-1 ; L 17 =R P 18 ; R 17 =L P 17 ;

5 P i Struttura del round parte sinistra parte destra 32 bit 32 bit L i-1 R i-1 F La funzione F L input a 32 bit di F viene diviso in 4 byte a,b,c,d: F[a,b,c,d]=(S 1,a +S 2,b ) S 3,c )+S 4,d Ciascuna fase include somme modulo 2 32, XOR e sostituzioni con la S-Box 1 2 S box 3 S box 4 L i R i Decifratura Caratteristiche di Blowfish Stesso algoritmo, sottochiavi in ordine inverso Testo cifrato: L 0 R 0 Testo in chiaro: L 17 R 17 For i=1 to do R i =L i-1 P 19-i ; L i =F[R i ] R i-1 ; L 17 =R P 1 ; R 17 =L P 2 ; Sia le sottochiavi che le dipendono dalla In DES le sono fissate In ogni round le operazioni coinvolgono tutto il blocco In DES, solo la parte destra Invulnerabile ad attacchi di forza bruta (se la dimensione della è 14 word): Per testare una sola sono necessarie 522 esecuzioni dell algoritmo Nel 1995, 1000 dollari di premio per la crittoanalisi Vaudenay ha definito attacchi per versioni modificate Confronto con altri sistemi RC5 Algoritmo Blowfish RC5 DES IDEA Triple-DES Cicli di clock per fase Numero di fasi 8 48 Cicli di clock per byte Ideato da Ron Rivest nel 1995 Parametri Dimensione dei blocchi: variabile (32, 64, 128 bit) Numero di round: variabile (da 0 a 255) Dimensione della : variabile (da 0 a 255 byte) Altre caratteristiche: Usa operazioni comuni dei processori e rotazioni datadependant Usa poca memoria (adatto per smart card e altre device) Semplice da implementare e da analizzare Implementato in numerosi prodotti della RSA Data Security Inc. (BSAFE, JSAFE, S/MAIL)

6 w =, 32, 64 r = 0,1,, 255 b = 0,1,, parole di w bit RC5-w/r/b b byte schedulazione r iterazioni 2 parole di w bit 2 parole di w bit RC5: operazioni Operazioni su parole di w bit: a+b somma modulo 2 w a-b sottrazione modulo 2 w a b XOR bit a bit a «b shift a sinistra di a di un numero di bit dato dai log w bit meno significativi di b a» b shift a destra di a di un numero di bit dato dai log w bit meno significativi di b RC5: cifratura RC5: decifratura Input: (A,B) Chiave schedulata: S[0,,2r+1] A A + S[0] B B + S[1] for i = 1 to r do A ((A B) «B) + S[2i] B ((B A) «A) + S[2i+1] Output: (A,B) Entrambe le metà dei dati aggiornate in ogni round A A + S[0] B B + S[1] for i = 1 to r do A ((A B) «B) + S[2i] B ((B A) «A) + S[2i+1] cifratura for i = r downto 1 do B ((B - S[2i+1])» A) A A ((A - S[2i])» B ) B B B - S[1] A A - S[0] decifratura RC5 Due differenti architetture Little-endian (INTEL) il valore di a 1 a 2 a 3 a 4 è a 1 +a a 3 2 +a Big-endian (SPARC) il valore di a 1 a 2 a 3 a 4 è a 4 +a a 2 2 +a RC5 funziona su macchine con architettura little-endian RC5: schedulazione Chiave K [0,,b-1] di b byte 0 1 c-1c Se 8b non è multiplo di w padding con 00 0 L [0,,c-1] è un array di c = 8b/w parole di w bit Mixing function 0 1 2r+1 S [0,,2r+1] schedulata

7 Inizializzazione array S 3 passi sul più grande array più passi sul più piccolo RC5: schedulazione S[0] = P w for i = 1 to 2r+1 do S[i] S[i-1]+Q w X Y 0 i j 0 do 3 max(c,2r+1) times X S[i] (S[i]+X+Y) «3 Y L[j] (L[j]+X+Y) «(X+Y) i (i+1) mod (2r+1) j (j+1) mod c Costanti magiche P w = espansione binaria numero di Nepero e = (decimale) P w = Odd[(e-2)2 w ] Q w = espansione binaria rapporto aureo Q w = Odd[ (φ-1)2 w ] ϕ = (1 + 5)/2 = (decimale) w bit 32 bit 64 bit P w b7 e1 b7 e b7 e a ed 2a 6b Q w 9E 37 9E b9 9E b9 7f 4a 7c RC6-w/r/b RC6 w = 32 r = 20 b =, 24, 32 parametri AES 4 parole di w bit b byte schedulazione r iterazioni 2 parole di w bit 4 parole di w bit Operazioni su parole di w bit: a+b somma modulo 2 w a-b sottrazione modulo 2 w a b XOR bit a bit a b moltiplicazione modulo 2 w a «b shift a sinistra di a di un numero di bit dato dai log w bit meno significativi di b a» b shift a destra di a di un numero di bit dato dai log w bit meno significativi di b RC6: cifratura RC6: decifratura Input: (A,B,C,D) Chiave schedulata: S[0,,2r+3] B B + S[0] D D + S[1] for i 1 to r do t (B (2B+1)) «log w u (D (2D+1)) «log w A ((A t) «u) + S[2i] C ((C u) «t) + S[2i+1] (A,B,C,D) (B,C,D,A) A A + S[2r+2] C C + S[2r+3] Output: (A,B,C,D) B B + S[0] D D + S[1] for i = 1 to r do t (B (2B+1)) «log w u (D (2D+1)) «log w A ((A t) «u) + S[2i] C ((C u) «t) + S[2i+1] (A,B,C,D) (B,C,D,A) A A + S[2r+2] C C + S[2r+3] cifratura C C - S[2r+3] A A - S[2r+2] for i = r downto 1 do (A,B,C,D) (B,C,D,A) u (D (2D+1)) «log w t (B (2B+1)) «log w C ((C-S[2i+1])» t) u A ((A-S[2i])» u) t D D - S[1] B B - S[0] decifratura

8 RC6: schedulazione L [0,,c-1] è un array di c = 8b/w parole di w bit L [0,,c-1] = con padding di 0 se necessario S[0] = P w for i 1 to 2r+3 do S[i] S[i-1]+Q w A B 0 i j 0 do 3 max(c,2r+4) times A S[i] (S[i]+A+B) «3 B L[j] (L[j]+A+B) «(A+B) i (i+1) mod (2r+4) j (j+1) mod c Costanti magiche P w = espansione binaria numero di Nepero e = (decimale) P w = Odd[(e-2)2 w ] Q w = espansione binaria rapporto aureo Q w = Odd[ (φ-1)2 w ] ϕ = (1 + 5)/2 = (decimale) w bit 32 bit 64 bit P w b7 e1 b7 e b7 e a ed 2a 6b Q w 9E 37 9E b9 9E b9 7f 4a 7c RC6: Prestazioni Pentium 200 MHz cicli/ blocchi/ Mbyte/ blocchi sec sec ANSI C cifratura ,19 ANSI C decifratura ,65 JAVA (JDK) cifratura ,197 JAVA (JDK) decifratura ,194 JAVA (JIT) cifratura ,15 JAVA (JIT) decifratura ,35 assembly cifratura ,60 assembly decifratura ,60 Misurazioni della RSA 44 Caratteristiche dei moderni cifrari a blocchi Lunghezza della variabile Lunghezza del blocco variabile Numero di round variabile Uso di diversi operatori aritmetici e/o Booleani Uso di rotazioni data-dependant Uso di key-dependant Operazioni sull intero blocco 45 8