Firme digitali. Firma Digitale. Firma Digitale. Corso di Sicurezza su Reti Lezione del 17 novembre Equivalente alla firma convenzionale

Transcript

1 Firme digitali Barbara Masucci Dipartimento di Informatica ed Applicazioni Università di Salerno Firma Digitale Equivalente alla firma convenzionale 1 Firma Digitale Equivalente alla firma convenzionale Soluzione naive: incollare firma digitalizzata 2 1

2 Firma Digitale Equivalente alla firma convenzionale Soluzione naive: incollare firma digitalizzata 3 Requisiti per la Firma Digitale La firma digitale deve poter essere facilmente prodotta dal legittimo firmatario Nessun utente deve poter riprodurre la firma di altri Chiunque può facilmente verificare una firma 4 Firma digitale 5 2

3 canale insicuro Corso di Sicurezza su Reti Lezione del 17 novembre 2009 Firma digitale 6 Firma digitale Bob 7 Verifica firma digitale 8 3

4 Verifica firma digitale 9 Sicurezza Cosa si intende per sicurezza di uno schema di firme digitali? Dobbiamo definire Tipo di attacco Scopo dell attacco 10 Tipo di attacco Key-only Attack Oscar conosce solo kpub di Known Message Attack Oscar conosce una lista di messaggi e le relative firme di Chosen Message Attack Oscar sceglie dei messaggi e chiede ad di firmarli 11 4

5 Scopo dell attacco Total break Determinare kpriv di per poter firmare qualsiasi messaggio Selective forgery Dato un messaggio M, determinare la firma F tale che VERIFICA (F,M,kpub) = SI Existential forgery Determinare una coppia (M,F) tale che VERIFICA (F,M,kpub) = SI 12 Firme digitali che vedremo RSA Digital Signature Standard (DSS) 13 RSA Proposto nel 1978 da Rivest Shamir Adleman Sicurezza basata sulla difficoltà di fattorizzare 14 5

6 Chiavi RSA 15 Chiavi RSA n = pq p,q primi ed = 1 mod (p-1)(q-1) 16 Firma RSA 17 6

7 Firma RSA 18 Verifica Firma RSA 19 Verifica Firma RSA 20 7

8 Piccolo esempio: Chiavi RSA 3337 = p = 47, q = 71 ed = = 1 mod 3220 (p-1)(q-1) = = Piccolo esempio: Chiavi RSA 22 Piccolo esempio: generazione firma RSA 23 8

9 Piccolo esempio: Verifica firma RSA Verifica firma di = mod Correttezza verifica firma RSA F e mod n = (M d ) e mod n = M ed mod n = M 1+k(p-1)(q-1) mod n = M (M (p-1)(q-1) ) k = M mod n = M poichè 0 M<n ed = 1 mod (p-1)(q-1) Teorema di Eulero M Z n * M (p-1)(q-1) =1 mod n 25 Sicurezza firma RSA Voglio falsificare la firma di M da parte di A Devo calcolare M d mod n Selective forgery Key only attack Equivalente a rompere il crittosistema RSA 26 9

10 Sicurezza firma RSA Voglio generare messaggi e firme da parte di A 1. Scelgo F a caso 2. M F e mod n Existential forgery Key only attack 27 Sicurezza firma RSA Voglio generare messaggi e firme da parte di A Conosco le coppie (M 1,F 1 ) e (M 2,F 2 ) Existential forgery Known message attack Proprietà di omomorfismo F 1 = M d 1 mod n F 2 = M d 2 mod n (F 1 F 2 ) e mod n = F e 1 F e 2 mod n = M 1 M 2 mod n F 1 F 2 mod n è una firma valida per M 1 M 2 mod n 28 Sicurezza firma RSA Voglio falsificare la firma di M da parte di A Selective forgery Chosen message attack 29 10

11 Firma digitale di messaggi grandi Se M>n, come si firma? Prima soluzione M i <n Firma(M) (Firma(M 1 ), Firma(M 2 ), ) Problemi Efficienza Permutazione/composizione delle firme nuova firma 30 Funzioni Hash 31 Firma digitale con hash messaggi piccoli messaggi grandi Firma(M) (Firma(h(M)) Vantaggi Efficienza Integrità Sicurezza 32 11

12 Firma RSA con hash 33 Verifica Firma RSA con hash 34 Verifica Firma RSA 35 12

13 Sicurezza firma RSA con hash Voglio generare messaggi e firme da parte di A 1. Scelgo F a caso 2. z F e mod n 3. M h -1 (z) Come faccio ad invertire h? M h -1 (z) Existential forgery Key only attack 36 Digital Signature Standard (DSS) Proposto nell'agosto del 1991 dal NIST Digital Signature Algorithm (DSA) Digital Signature Standard (DSS) Standard rivisto nel 1993, in risposta alle critiche Modifica ingegnosa dello schema di firme El Gamal Utilizza la funzione hash SHA (message digest di 160 bit) Firme DSS sempre di 320 bit (buone per smart card) Sicurezza basata sull intrattabilità del problema del logaritmo discreto 37 Logaritmo discreto Dati a,n,b calcolare x tale che a x = b mod n Esempio: 3 x = 7 mod 13 soluzione x = 6 Se n è primo, i migliori algoritmi hanno complessità L n [a,c] = O(e (c+o(1))(ln n)a (lnln n) 1-a ) con c > 0 ed 0 < a < 1 Miglior algoritmo: Number field sieve tempo medio euristico L n [1/3, 1.923] 38 13

14 Chiavi DSA 39 Chiavi DSA p primo di L bit 512 L 1024, L multiplo di 64 β=α s mod p α in Z p * di ordine q s numero casuale, s<q q primo di 160 bit, q (p-1) α q = 1 mod p 40 Chiavi DSA ( piccolo esempio) p = 7879 primo 4567 = mod 7879 α = 170 Z 7879 * di ordine 101 q = 101 primo, p = 78q+1 s = 75 numero casuale = 1 mod

15 Firma DSA Devo firmare M 42 Firma DSA 43 Verifica firma DSA 44 15

16 Verifica firma DSA 45 Verifica firma DSA Verifica_firma_DSA(M,γ,δ,p,q,α,β) e SHA(M)δ -1 mod q e γδ -1 mod q vera se γ = (α e β e mod p) mod q ver (p,q,α,β) (M,γ,δ) = falsa altrimenti Output ver (p,q,α,β) (M,γ,δ) 46 Efficienza firma DSA Lunghezza firma = 320 bit Computazioni off-line: r, sγ, r -1 mod q Computazioni on-line: SHA(M), +, 47 16

17 Ordine di un elemento Ordine di α Z p * = il più piccolo intero positivo r tale che α r =1 mod p Sia α Z p * e sia q= ord(α) α smod q mod p = α s mod p 48 (α e β e mod p) mod q Correttezza verifica firma DSA = (α SHA(M)δ-1 mod q α sγδ-1 mod q mod p) mod q = (α SHA(M)δ-1 +sγδ -1 mod p) mod q = (α r mod p) mod q = γ e = SHA(M)δ -1 mod q e = γδ -1 mod q β = α s mod p α è di ordine q δ -1 (SHA(M)+sγ) = r mod q 49 Sicurezza firma DSA Voglio falsificare la firma di M da parte di A Devo calcolare s=log α β mod p Total break Key only attack 50 17

18 Sicurezza firma DSA Voglio falsificare la firma di M da parte di A Selective forgery Key only attack Devo calcolare δ=log γ (α SHA(M). β γ ) 51 Sicurezza firma DSA Voglio generare messaggi e firme da parte di A Existential forgery Key only attack Devo calcolare z=log α (γ δ β -γ ) M SHA -1 (z) 52 Chiavi globali ed individuali Sicurezza basata sul valore privato s I valori p,q,α possono essere gli stessi per un gruppo di utenti Un autorità sceglie p,q,α Il singolo utente sceglie solo s e calcola β 53 18

19 Confronto tempi firme RSA e DSA Implementazioni su smart card [1993] Computazioni Off Cards su a 33MHz 54 Prestazioni algoritmi Celeron 850MHz, Windows 2000, Crypto++ millisecondi/operazione bit chiave firma Firma con precomputazione verifica RSA 512 1,92 0,13 DSA 512 1,77 1,19 2,02 RSA ,29 0,30 DSA ,50 2,27 6,38 55 Pentium II 400 OpenSSL Prestazioni bit chiave firme/s verifiche/s RSA DSA RSA DSA RSA DSA

20 Cryptography and Network Security by W. Stallings (2005) cap. 13 (DSS) Tesina di Sicurezza su reti Firme digitali Stinson I ed 57 20