Teoria dell Informazione e Crittografia

Transcript

1 Teoria dell Informazione e Crittografia di Francesco Napoli Claude Shannon C. Shannon è considerato "il padre della teoria dell'informazione. A Mathematical Theory of Communication (1948 Communication Theory of Secrecy Systems (1949 (Bell Systems Technical Journal

2 Shannon a moderna teoria dell informazione è stata originariamente sviluppata da Shannon per lo studio teorico del problema generale della comunicazione efficiente ed affidabile su di un canale reale inaffidabile (rumoroso. Shannon si rende conto che la Crittografia fornisce interessanti applicazioni della sua MTC. Sistema di Comunicazione sorgente canale destinazione rumore

3 Modello dettagliato Sorgente Destinazione Acquisizione Codifica sorgente cifratura Codifica canale Canale discreto distorsione (rumore Ricostruzione Decodifica sorgente decifratura Decodifica canale modulazione Canale continuo demodulazione Crittosistema - Modello Generale Sorgente del messaggio intrusione Destinazione M testo in chiaro cifratura k i C testo cifrato C C' Canale insicuro C' testo cifrato M testo in chiaro decifrazione Sorgente della chiave Canale sicuro k i

4 Struttura Crittosistema Quintupla (P,C,K,E,D: P Sorgente Aleatoria v.a. X K v.a. K v.a. indip. C v.a. Y E : D : y = e k x = d i k i (x (y dk ( ek ( x = i i x Ipotesi Assunzioni: il nemico (il crittoanalista conosce il CS utilizzato. Il nemico è in grado di intercettare il testo cifrato (chipertext attack e dispone di capacità computazionali illimitate. Ipotesi pessimistiche Sicurezza matematicamente trattabile Realistiche con il passare del tempo

5 Informazioni Diverse il decifratore è colui che è autorizzato a leggere il messaggio e quindi conosce la chiave utilizzata. il crittoanalista, invece, conosce solo le probabilità a priori con cui verranno utilizzate le chiavi nel crittosistema e i messaggi nel testo in chiaro. Segretezza Perfetta (1 Definizione: un CS ha segretezza perfetta se la probabilità a posteriori che il testo in chiaro sia x, avendo osservato il testo cifrato y, è identica alla probabilità a priori che il testo in chiaro sia x, cioè: per ogni x in P, y in C. Pr[X=x Y=y] = Pr[X=x] Quando il CS utilizzato ha segretezza perfetta il crittoanalista non può ottenere nessuna informazione sul testo in chiaro osservando il testo cifrato.

6 Segretezza Perfetta ( Grazie al teorema di Bayes si ottiene immediatamente il seguente teorema: Teorema: in un CS perfetto Pr[y] = Pr[y x], per ogni x in P e per ogni y in C. Cioè, in un CS perfetto, il testo in chiaro e il testo cifrato sono descrivibili da due variabili aleatorie (X e Y statisticamente indipendenti. Teorema: in un CS perfetto K P the number of different keys is at least as great as the number of messages Teorema: il cifrario di Vernam è un CS perfetto se la chiave è scelta con probabilità uniforme Pr[k] = 1 / K (One-time-Pad è la versione binaria del CS di Vernam. Questo ovviamente quando ogni nuova chiave è generata casualmente per cifrare ogni nuova stringa di testo in chiaro. Riutilizzo della Chiave Siccome nel caso del CS di Vernam la chiave che bisognerebbe spedire su un canale sicuro è lunga almeno quanto il messaggio, l utilizzo di tale CS diventa non conveniente. Allora non rimane altro che riutilizzare la stessa chiave per cifrare più di un testo in chiaro. Per cifrare un lungo messaggio M = x1 x... xn (M è l intero messaggio e le xi sono gli elementi dell insieme dei testi in chiaro P (caratteri o stringhe di caratteri si cifra ciascun elemento xi in yi = ek(xi con la stessa chiave k e si concatenano i risultati nel messaggio cifrato C = y1 y... yn. Un CS che riutilizza la chiave non è perfetto poiché ci sarà sempre un N per cui il numero di chiavi sarà inferiore al numero di messaggi di lunghezza N ( M > K. In questo modo il crittoanalista può guadagnare informazioni sulla chiave o sul messaggio osservando il testo cifrato. Tuttavia un CS che è giudicato insicuro dal punto di vista della teoria dell informazione può tuttavia essere computazionalmente sicuro e quindi fornire ancora un elevata protezione nei confronti di eventuali chipertext attacks considerando che un opponente reale può disporre solo di una quantità finita di risorse computazionali.

7 Entropia (1 In MTC è stato mostrato che l informazione può essere convenientemente misurata grazie all entropia. Quindi possiamo dare una caratterizzazione di un CS perfetto in termini di entropia. In un CS sono coinvolte due scelte descrivibili secondo una statistica: la scelta del messaggio e la scelta della chiave. Possiamo quindi misurare la quantità d informazione prodotta quando un messaggio è scelto: H Pr( x ( X = Pr( xlog x X essendo la sommatoria estesa a tutti i messaggi. Entropia ( Similarmente, c è un incertezza associata con la scelta della chiave: H Pr( k ( K = Pr( klog k K essendo la sommatoria estesa a tutte le chiavi. Nota: in un CS la quantità d informazione presente nel testo in chiaro è al più pari a log P (quando i testi sono tutti equiprobabili.

8 Entropia (3 Allora, in un CS perfetto ( K >= P = n se le chiavi sono tutte equiprobabili (Pr[k] = 1 / K per ogni k in K si ha: H ( K = log Κ H ( K log n Cioè l informazione portata dal testo in chiaro può essere nascosta al crittoanalista (in un CS perfetto se l incertezza sulla chiave H(K è almeno log n. the amount of uncertainty we can introduce into the solution cannot be greater than the key uncertainty log n H ( X Equivocazione Entropia condizionata o equivovazione: H ( X Y = y x P( x, ylog P( x y Nella MTC l equivocazione del canale è una stima dell informazione perduta in media nel canale rumoroso. Rappresenta l incertezza che rimane in media sul simbolo trasmesso dopo l osservazione del simbolo ricevuto.

9 Equivocazioni Equivocazione della chiave: H ( K Y P( k, y log P( k y = y k Equivocazione del messaggio: H ( X Y P( x, y log P( x y = y x Punto di vista del crittoanalista: un crittosistema è quivalente ad un sistema di comunicazione su di un canale rumoroso. Index of Secrecy Quindi l equivocazione della chiave (k o del messaggio (x misura quanta informazione sulla chiave o sul messaggio non è rivelata dal testo cifrato (y. Maggiore è l equivocazione e maggiore è l incertezza che rimane sulla chiave o sul messaggio quando si osserva il testo cifrato. Shannon propone di utilizzarla come misura della segretezza di un CS (index of secrecy.

10 Informazione Mutua Informazione mutua: I( X ; Y = H ( X H ( X Y Nella MTC è una stima dell informazione media ricevuta dalla sorgente attraverso il canale. Punto di vista del crittoanalista: l informazione mutua misura quanta informazione sul testo in chiaro è possibile dedurre dal testo cifrato. Punto di vista dell utente: rendere l informazione mutua tra X e Y la più piccola possibile. Quindi in un CS perfetto (situazione ideale: I ( X ; Y = 0 H ( X Y = H ( X Il testo cifrato non dà nessuna informazione sul testo in chiaro. unghezza del testo cifrato Più lungo è il testo cifrato, più alta è la probabilità di trovare la chiave H H (K H ( K Y X Y : Messaggio in chiaro di lunghezza : Messaggio cifrato di lunghezza H ( X Y

11 Distanza di Unicità (1 Teorema: H ( K Y H ( K D dove: D = log P H ( X la ridondanza assoluta dei messaggi di lunghezza (ridonadanza della sorgente -estesa le cui realizzazioni sono concatenazioni di realizzazioni della v.a. X dei testi in chiaro. Distanza di Unicità ( H ( X = H ( X In prima approssimazione (random chiper [ H ( X log ] H ( K Y H ( K P H ( K H ( K Y = 0 = log P H ( X H ( K D Distanza di unicità: lunghezza minima di testo cifrato necessaria allo opponente per poter calcolare la chiave univocamente. Ridondanza assoluta dei testi in chiaro (linguaggio utilizzato (ridondanza della sorgente non estesa

12 Distanza di Unicità (3 CS ideale: se D = 0 un attaccante non può identificare il messaggio univocamente. In questo caso ideale, infatti, la distanza di unicità è infinita e l equivocazione della chiave e del messaggio non va a zero all aumentare della lunghezza del testo cifrato osservato. In pratica è possibile comprimere il messaggio, riducendone la ridondanza, e quindi avvicinarsi il più possibile al caso ideale. Si può rendere la distanza di unicità grande a piacere applicando una codifica (Huffman ai testi in chiaro prima della cifratura. Tuttavia i CS che cercano di avvicinarsi molto al caso ideale hanno i seguenti inconvenienti: Maggiore complessità : sono sensibilmente più complesse le operazioni di cifratura e decifratura Propagazione degli errori distruttiva : c è un elevata sensibilità agli errori di cifratura e di trasmissione i quali possono essere amplificati dall operazione di decifrazione e quindi possono portare ad un gran numero di errori nel testo decifrato causando spesso una grave perdita d informazione. Entropia del inguaggio (1 Definiamo entropia del linguaggio H la misura dell informazione media per carattere portata da una stringa del testo in chiaro dotata di significato nel linguaggio considerato. Possiamo considerare come approssimazione del primo ordine di H l entropia H(X dove P = Zm e la distribuzione delle lettere segue la distribuzione delle probabilità del linguaggio considerato. Siccome in un linguaggio le lettere successive sono correlate, sarà necessario considerare approssimazioni di ordine successivo; ciò ovviamente riduce la stima dell entropia. Definiamo quindi la v.a. n-estesa X^n come la v.a. le cui realizzazioni sono stringhe di n caratteri la cui distribuzione di probabilità è quella degli n- grammi della linguaggio considerato.

13 Entropia del inguaggio ( Quindi l entropia del linguaggio è definita come: H = lim n H ( X n n e la ridondanza relativa del linguaggio è definita come: D r = 1 H log P Stima dell entropia (1 Frequenze caratteri P("A" Testo: Amleto (Atto I P("Z" M Amleto Atto I : caratteri Hamlet Act I : 964 caratteri H (testo = "Z" σ = "A" P( σ log 1 P( σ

14 Stima dell entropia ( D r = 1 η η = H ( X log P Ridondanza relativa Efficienza di codifica H ( it = 3,985 H ( en = 4,165 bit / car bit / car η r D D r r ( it = 0.10 ( en = 0.11 =1.01 η( it = 0.90 η( en = Testo italiano 1 Testo inglese frequenze 6 frequenze lettere lettere

15 I caratteri più frequenti Stima dell entropia (3 Frequenze caratteri P("A" Testo: Amleto (Atto I P("Z" M P (" Frequenze digrammi A" " A" P (" B" " A" M P (" Z" " Z" Amleto Atto I : 735 digr Hamlet Act I : 495 digr H ( testo = " ZZ" σ = " AA" P( σ log 1 P( σ

16 Stima dell entropia (4 D r = 1 η η = H ( X log P Ridondanza relativa Efficienza di codifica H ( it = 3,574 H ( en = 3,659 D D r r ( it = 0.18 ( en = 0. η( it = 0.8 η( en = 0.78 η r =1.05 Testo italiano 4 Testo inglese frequenze frequenze lettere lettere

17 Stima dell entropia (5 Frequenze caratteri Frequenze digrammi Frequenze trigrammi Testo: Amleto (Atto I P("A" M P("Z" P (" A" " A" P (" B" " A" M P (" Z" " Z" P (" A" " AA" P (" B" " AA" M P (" Z" " ZZ" Amleto Atto I : 039 trigr Hamlet Act I : trigr H ( testo = " ZZZ" σ = " AAA" P( σ log 1 P( σ Stima dell entropia (6 D r = 1 η η = H ( X log P Ridondanza relativa Efficienza di codifica H ( it = 3,188 H ( en = 3,185 D D r r ( it = 0.7 ( en = 0.3 η( it = 0.73 η( en = 0.68 η r =1.07

18 Testo italiano 3 Testo inglese frequenze 0.6 frequenze lettere lettere Stima dell Entropia con memoria crescente Entropia Memoria H = H = lim n 1 n x = n P( xlog 1 P( x

19 ingua Inglese In Inglese (P = Z6 H = 1.5 bit / car, essendo le lettere correlate (Dr = 0.7, e quindi la ridondanza assoluta sarà: D = log 6 - H = = 3. bit/car Utilizzando il CS additivo, la distanza di unicità diviene: Nel CS a sostituzione invece si ha: N = H(K / 3. = log 6 / 3. = 1.5 = caratteri N = H(K / 3. = log 6! / 3. = 7.6 = 8 caratteri In un linguaggio casuale senza memoria (caratteri successivi indipendenti in cui la distribuzione dei caratteri segue le frequenze dei caratteri della lingua inglese si ha: D = = 0.7 bit/car e le distanze di unicità sono 7 e 16 caratteri, rispettivamente. NB: un linguaggio massimamente casuale costituito da stringhe di caratteri distribuiti uniformemente avrà un entropia massima pari a log 6 = 4.70 bit/car (Dr = 0, D=0 e N=inf. 1 Volgare - Dante Inferno Canti Italiano - Dalla Terra alla una Cap frequenze 6 frequenze lettere lettere atino - De Rerum Natura iber I frequenze entropia lettere tempo

20 Teoria Algoritmica dell Informazione Kolmogorov, Solomonoff, Chaitin ( 60. Data una stringa di bit, si definisce contenuto di informazione algoritmica o Kolmogorov Complexity o complessità algoritmica o entropia algoritmica la lunghezza del programma più corto che è in grado di generare la stringa e poi fermarsi. Nasce dal tentativo di tradurre in linguaggio matematico formale il principio filosofico del rasoio di Occam ("A parità di fattori la spiegazione più semplice tende ad essere quella esatta". Misura assoluta, si concentra sulla singola stringa, non è una teoria probabilistica. TM ( y = x X oggetti (stringhe x K( x min TM ( y = x y y Y descrizioni (programmi Kolmogorov Complexity ed Entropia a Kolmogorov Complexity di una data stringa x finita non è calcolabile. Tuttavia limitando lo spazio dei programmi ammissibili diventa una quantità calcolabile nota come Minimum Description ength (MD. Inoltre è possibile approssimarla tramite l entropia informativa di Shannon. K( x n Teorema: lim = H ( X n (dove X è una v.a. a memoria 0 Cioè per n sufficientemente grande: Casualità Algoritmica (Kolgomorov randomess: una stringa è casuale se e solo se è più corta di ogni programma in grado di generarla come output. Quindi una stringa veramente casuale è incomprimibile. n K( x n n H ( X

21 Entropia Termodinamica e Informazione Entropia termodinamica secondo la Meccanica Statistica (Boltzmann: S = k log W = k log (1 / 1 / W= k log (1 / Pw Ricordando l autoinformazione di un evento casuale nella teoria dell informazione classica, l entropia di un sistema fisico è direttamente proporzionale al numero di bit richiesti per descrivere lo stato dei suoi componenti microscopici Quindi, è proporzionale al numero di bit che porta o registra un suo stato-evento miscoscopico. Un sistema fisico, potendo stare in un numero finito di stati (secondo la teoria quantistica, può quindi registrare una quantità finita di informazione. Sebbene l entropia misuri l informazione (in bit contenuta a livello miscoscopico nei movimenti atomici, in realtà, essendo questi a noi inaccessibili, è una misura dell informazione a noi indisponibile sullo stato miscoscopico del sistema: non sappiamo cosa c è in quei bit. FINE