Funzioni Hash. Impronta Digitale. L impronta digitale viene utilizzata per

Transcript

1 Funzioni Hash Impronta Digitale Impronta digitale di un messaggio L impronta digitale deve essere facile da calcolare difficile da invertire unica L impronta digitale viene utilizzata per garantire l integrità del messaggio evitare di lavorare sul messaggio intero se questo è troppo grande (ad esempio: cifratura/firma a chiave pubblica) L impronta digitale viene detta anche digest, fingerprint, hash 27 novembre 2001 Funzioni Hash 1

2 Esempio Nel Nel mezzo mezzo del delcammin di di nostra nostra vita vita mi mi ritrovai per per una una selva selva oscura oscura che' che' la la diritta diritta via via era era smarrita. Ahi Ahi quanto a dir dir qual qual era era e` e` cosa cosa dura dura esta estaselva selva selvaggia e aspra aspra e forte forte che che nel nelpensier rinova rinovala la paura! paura! d94f d5abef e94 nota: h = MD5 128 bit La dimensione della hash è fissa (generalmente, minore di quella del messaggio) 27 novembre 2001 Funzioni Hash 2 Manipulation Integrity Code MIC garantisce l integrità di un messaggio Digest OK?! 27 novembre 2001 Funzioni Hash 3

3 Sistema insicuro con componenti insicure 27 novembre 2001 Funzioni Hash 4 Applicazione: Hash e Firma Digitale È più efficiente firmare l impronta di un messaggio piuttosto che il messaggio stesso d=h(m) s = S(PRIV A, d) Alice, M, s d = h(m) V(PUB A, d, s) VERO? 27 novembre 2001 Funzioni Hash 5

4 Esempio di Applicazione Alice vuol poter provare che ad un determinato istante t possedeva un certo documento m senza però rivelarlo d = h(m) Alice, d Notaio t = clock() s = S(PRIV N, (d, t)) Alice può esibire m, t, s Notaio, t, s La firma s lega d a t indissolubilmente 27 novembre 2001 Funzioni Hash 6 Attacchi ATTACCO I Dato m, l avversario determina un messaggio m tale che h(m ) = h(m). ESEMPIO: Alice ha firmato h(m) Tuttavia l avversario può sostenere che Alice ha firmato m ATTACCO II L avversario determina una coppia di messaggi m ed m tali che h(m) = h(m ) ESEMPIO: Mallet prepara due versioni di un contratto, m ed m, rispettivamente favorevole e sfavorevole per Alice Mallet fa firmare h(m) a Alice e poi sostituisce m con m L attacco II è più facile dell attacco I 27 novembre 2001 Funzioni Hash 7

5 Il Paradosso del Compleanno Si consideri una stanza con N persone. PROBLEMA I Qual è il valore di N per cui probabilità che almeno una persona abbia una predeterminata data di nascita sia 0.5? SOLUZIONE: N = 253 PROBLEMA II Qual è il valore di N per cui la probabilità che almeno una coppia di persone abbia la stessa data di nascita sia 0.5? SOLUZIONE: N = 23 L Attacco I può essere ricondotto al Problema I mentre l Attacco II può essere ricondotto al Problema II 27 novembre 2001 Funzioni Hash 8 Proprietà Una funzione hash h: X Y deve avere le seguenti proprietà: I. Dato x è facile calcolare y = h(x) II. III. IV. trasforma un input x di lunghezza arbitraria in un output y = h(x) di lunghezza fissa (m bit) (One-way) Dato y è difficile trovare x tale che y = h(x) (Weak Collision Resistance) Dati x ed h(x), è difficile trovare x, x x, tale che h(x ) = h(x) V. (Strong Collision Resistance) È difficile trovare una coppia di input x ed x, x x, tali che h(x) = h(x ) 27 novembre 2001 Funzioni Hash 9

6 Forza di una Funzione Hash Se soddisfa le cinque proprietà, allora l unico attacco possibile è quello a forza bruta, quindi se m è il numero di bit dell output, si può dimostrare che: Violare Weak Collision Resistance richiede O(2 m ) operazioni Violare Strong Collision Resistance richiede O(2 m/2 ) operazioni Esempio: m = 64, un elaboratore che produce 10 6 hash al secondo impiega circa anni per violare Weak Collision Resistance circa un ora per violare Strong Collision Resistance 27 novembre 2001 Funzioni Hash 10 Funzione hash: struttura generale x 0 x 1 x 2 x n-1 d 0 f f f f: funzione di compressione d 0 : valore iniziale (costante, non segreto) padding su x n-1 se necessario d: digest f d 27 novembre 2001 Funzioni Hash 11

7 Algoritmi Nome Blocco (bit) Hash (bit) Definizione Note MD RFC-1319 obsoleto MD RFC-1320 obsoleto MD RFC-1321 buono SHA FIPS ottimo RIPEMD ISO/IEC ottimo 27 novembre 2001 Funzioni Hash 12 Message Integrity Code MIC garantisce l integrità ma non l autenticità m Digest OK?! PROBLEMA Alice vuole prove che il messaggio m proviene proprio da Bob 27 novembre 2001 Funzioni Hash 13

8 Message Authentication Code MAC garantisce sia l integrità sia la provenienza di un messaggio aggiungendo una chiave/password alla hash d = HMAC(m, k) = h(m k p), dove operazione di concatenazione p padding MAC viene anche detta funzione hash con chiave (keyed hash function) 27 novembre 2001 Funzioni Hash 14 Message Authentication Code Alice e Bob condividono una chiave segreta k m, d HMAC HMAC = OK!? K K K 27 novembre 2001 Funzioni Hash 15

9 Message Authentication Code m, d, c, s Bob seleziona una chiave simmetrica k a random calcola il digest d di m: d = HMAC(m, k) cifra k con PUB A : c = E(PUB A, k) firma c con PRIV B : s = S(PRIV B, c) trasmette ad Alice il messaggio: m, d, c, s 27 novembre 2001 Funzioni Hash 16 Mac: Un Applicazione Diversa COMUNICAZIONE CONFIDENZIALE USANDO MAC? Alice vuole spedire a Bob il messaggio m = Ci vediamo alle 19:00 in forma confidenziale ma... Alice e Bob non possono usare la cifratura, ma... hanno a disposizione solo una funzione MAC e condividono un segreto s 27 novembre 2001 Funzioni Hash 17

10 Mac: Un Applicazione Diversa Alice costruisce n messaggi di cui uno solo buono (m j = m) ed n 1 di disturbo (es. m i j = Ci vediamo alle 8:00 ) calcola un MAC buono d j = HMAC(k, m j ) (n 1) d i (i j) di disturbo, cioè d i HMAC(K, m i ) invia a Bob tutte le coppie m i, d i, 1 i n Bob scarta le coppie con di disturbo e rimane con m j 27 novembre 2001 Funzioni Hash 18 Mac: Un Applicazione Diversa Un qualunque avversario non può determinare qual è il messaggio buono m i perché non può determinare il digest buono d i perché non conosce il segreto s 27 novembre 2001 Funzioni Hash 19