delle funzioni di verifica V = {ver: Pä Aä K Ø {vero,falso}} è l insieme Alberto Leporati Corso di Crittografia 2 Firme Digitali e Funzioni di Hash

Transcript

1 Crttografa Corso d Laurea Specalstca n Informatca Frme Dgtal e Funzon d Hash Alberto Leporat Dpartmento d Informatca, Sstemstca e Comuncazone Unverstà degl Stud d Mlano Bcocca e-mal: alberto.leporat@unmb.t leporat@dsco.unmb.t Frme dgtal come per le funzon d cfratura e decfratura, fssando una chave k œ K s selezonano due funzon: sg k : P Ø A ver k : P ä A Ø {vero,falso} tal che " x œ P e " y œ A ver k x, y vero ñ y sg k x una coppa x, y sffatta vene detta un messaggo frmato Alberto Leporat Corso d Crttografa 3 Frme dgtal Uno schema per le frme dgtal è una untupla P,A,K,S,V dove: P è l nseme de possbl messagg da frmare A è l nseme delle possbl frme K è l nseme delle possbl chav S {sg: Pä K Ø A} è l nseme delle funzon d frma V {ver: Pä Aä K Ø {vero,falso}} è l nseme delle funzon d verfca Alberto Leporat Corso d Crttografa 2 Frme dgtal dfferenze rspetto alle frme autografe: la frma y è separata dal documento x la frma non è sempre uguale: camba al varare del documento la frma dgtale autentca l mttente del messaggo: solo ch conosce una certa nformazone segreta può aver prodotto la frma del messaggo Alberto Leporat Corso d Crttografa 4

2 Frme dgtal supponamo che Alce vogla frmare un messaggo m: scegle una coppa sg k, ver k d algortm tene segreto sg k, e rende pubblco ver k calcola σ sg k m supponamo ora che Bob vogla verfcare la frma calcolata da Alce: consdera la coppa m, σ preleva l algortmo ver k accetta la frma come valda se e solo se ver k m,σ vero Alberto Leporat Corso d Crttografa 5 Frme dgtal ogn crttosstema a chave pubblca può essere usato come schema per le frme dgtal: s frma usando la chave prvata s verfca usando la chave pubblca und, solo ch possede la chave prvata è n grado d frmare chunue può verfcare la frma n uesto modo, s resce ad autentcare l mttente d un messaggo usando solo un crttosstema a chave pubblca vedere prossme slde Alberto Leporat Corso d Crttografa 7 Frme dgtal possbl obettv d Eve: rottura totale dello schema: n ualche modo, Eve resce a determnare la chave segreta k e und la funzone d frma sg k d Alce exstental forgery: avendo osservato alcune coppe x, y,, x, y d messagg con le relatve frme, uando arrva un nuovo messaggo Eve resce a produrre una frma valda solo per uel messaggo, o per una classe d messagg sml tra loro Alberto Leporat Corso d Crttografa 6 Frme dgtal supponamo che Alce vogla nvare a Bob l messaggo m Alce possede una coppa E A, D A d funzon d cfratura e decfratura tene segreta D A rende pubblca E A Bob possede la coppa d funzon E B, D B tene segreta D B rende pubblca E B Alberto Leporat Corso d Crttografa 8

3 Frme dgtal Alce cfra l messaggo m per Bob, e po lo frma, calcolando D A E B m e nva l rsultato a Bob Bob verfca la frma d Alce applcando E A, e po decfra: D B E A D A E B m m problema: anche Eve conosce E A! può applcare E A, e po usare D E per sostturs ad Alce soluzone corretta: Alce frma l messaggo m e po lo cfra per Bob: E B D A m Alberto Leporat Corso d Crttografa 9 Schema d frma d El Gamal supponamo che Alce vogla frmare un messaggo m œ p *; anztutto genera la propra coppa d chav: scegle una chave segreta a, con 0 < a < p- calcola β g a mod p la chave pubblca è la terna p, g, β per frmare m : scegle a caso k œ p- * calcola γ g k mod p e δ m aγ k - mod p- la coppa γ, δ è la frma d m Alberto Leporat Corso d Crttografa Schema d frma d El Gamal pubblcato nel 985 una versone modfcata è stata adottata come standard DSA Dgtal Sgnature Algorthm dal NIST è non determnstco Ø c sono molte frme valde per ogn messaggo sa p un numero prmo sa g un generatore d p * messagg da frmare sono element d p * le frme sono coppe γ, δ, con γ œ p * e δœ p- Alberto Leporat Corso d Crttografa 0 Schema d frma d El Gamal Bob accetta la frma come valda se e solo se β γ γ δ ª g m mod p supponamo che la frma sa stata prodotta correttamente; allora: β γ γ δ ª g aγ ÿ g kδ ª g m mod p la congruenza g aγ + kδ ª g m mod p vale se e solo se aγ + kδ ª m mod p-, ovvero se e solo se γ e δ sono stat calcolat come nella slde precedente Ø Bob accetta e rfuta correttamente Alberto Leporat Corso d Crttografa 2

4 Schema d frma d El Gamal: scurezza supponamo che Eve vogla produrre una frma per m, senza conoscere a se Eve scegleγ e vuole calcolare l δ corrspondente, deve calcolare l logartmo dscreto log γ g m β -γ se Eve scegleδe vuole calcolare γ, deve rsolvere l euazoneβ γ ÿγ δ ª g m mod p, rspetto a γ problema dverso dal logartmo dscreto non s conosce un metodo d rsoluzone polnomale problema poco studato Alberto Leporat Corso d Crttografa 3 Schema d frma d El Gamal: scurezza se mponamo m δª0 mod p- e γ + jδª0 mod p- allora uesta congruenza vale dat e j, se MCDj, p- è facle trovare m, δ e γ che verfcano ueste due congruenze: γ g ÿβ j mod p δ -γÿj - mod p- m -γÿÿ j - mod p- s verfca faclmente che valor γ, δ sono una frma valda per m Alberto Leporat Corso d Crttografa 5 Schema d frma d El Gamal: scurezza se Eve scegleγ e δ, e vuole calcolare un m corrspondente, deve calcolare l logartmo dscreto log g β γ ÿγ δ tuttava, Eve può calcolare γ, δ e m nseme: supponamo d scrvere γ g ÿβ j mod p, con 0, j p-2 la condzone d verfca è: g m ªβ γ ÿ g ÿβ j δ mod p che euvale a: g m - δ ªβ γ + jδ mod p Alberto Leporat Corso d Crttografa 4 Frme dgtal problema: usando un crttosstema a chave pubblca per frmare, le frme hanno la stessa dmensone del messaggo! es: frma dgtale dell mmagne ISO d un CD con El Gamal le frme hanno dmensone doppa! c vorrebbe una funzone che: prende n ngresso un messaggo d dmensone arbtrara produce un output pccolo sa one-way soluzone: le funzon d hash prevengono anche l attacco allo schema d El Gamal Alberto Leporat Corso d Crttografa 6

5 Funzon d hash calcolano un mpronta o message dgest de dat d nput l mpronta è pccola, e soltamente d lunghezza prefssata es: 28 bt per MD5, 60 bt per SHA- possono essere usate per verfcare l ntegrtà de dat coè come MAC Message Authentcaton Codes vengono usate nelle frme dgtal: anzché frmare tutto m, s frma la sua mpronta hm Ø la frma è pccola, e sempre della stessa lunghezza Alberto Leporat Corso d Crttografa 7 Funzon d hash l nseme X può essere fnto es: {0,} n oppure nfnto l nseme Y è sempre fnto se X è fnto, s assume X Y ; anz, spesso, s assume X 2 Y n tal caso, h: X Ø Y vene detta anche funzone d compressone da non confondere con format d compressone zp, arj, ecc. Alberto Leporat Corso d Crttografa 9 Funzon d hash come per crttosstem, le funzon d hash possono essere selezonate da una famgla, sceglendo una chave defnzone: una famgla hash è una uadrupla X, Y, K, H dove: X è l nseme de possbl messagg Y è l nseme delle possbl mpronte K è l nseme delle chav H {h k : X Ø Y k œ K} è l nseme delle funzon d hash Alberto Leporat Corso d Crttografa 8 Funzon d hash deve essere dffcle rsolvere seguent problem premage: nput: h: X Ø Y e y œ Y output: x œ X tale che hx y Ø h deve essere una funzone one-way second premage: nput: h: X Ø Y e x œ X output: x œ X tale che x x e hx hx collson: nput: h: X Ø Y output: x, x œx tale che x x e hx hx Alberto Leporat Corso d Crttografa 20

6 Collson osservazone: collson è pù facle d second premage algortmo per collson s suppone d poter valutare h per volte FndCollson h, scegl X 0 Œ X, con X 0 for each x œ X 0 do y x hx f y x y x per ualche x x then return x, x else return fallmento Alberto Leporat Corso d Crttografa 2 Collson allora, la probabltà d non avere collson è: 2 L M M M M se x è un numero reale pccolo, allora - x º e -x und, Pr[no collson] pertanto, Pr[almeno una e M collsone] e M e 2 M e 2 ε M Alberto Leporat Corso d Crttografa 23 Collson teorema: posto M Y, la probabltà d successo d FndCollson è: ε M M 2 M + L M M M dmostrazone: sa X 0 {x,, x } per, sa E l evento hx {hx,, hx - } allora Pr[E ], e M M 2 Pr[ E E 2 L E ] L M M M + M da cu segue l rsultato. É Alberto Leporat Corso d Crttografa 22 Collson da cu: 2 M e 2 2 M 2 M 2 M ln ε ln ln ε ε ε uesto termne lo gnoramo Alberto Leporat Corso d Crttografa 24

7 Collson se ε ½, allora º.7 M ovvero: calcolando l hash d crca M element scelt a caso abbamo una collsone con probabltà ½ und: Y {0,} 40 Ø M 2 40 Ø M nscura! Y {0,} 28 Ø M 2 28 Ø M 2 64 scura per poco tempo! soltamente s rchede: Y {0,} 60 Ø M 2 60 Ø M 2 80 Alberto Leporat Corso d Crttografa 25 Funzon hash terate data una funzone d compressone compress: {0,} m+t Ø {0,} m, con t mostramo come usarla per costrure una funzone d hash h, usando la tecnca delle funzon hash terate la tecnca consste d tre fas: pre-elaborazone elaborazone trasformazone dell output opzonale pre-elaborazone: data una strnga d nput x, d lunghezza x m+t+, s costrusce una strnga y tale che y ª 0 mod t Alberto Leporat Corso d Crttografa 27 Collson esempo: paradosso del compleanno Quante persone occorre avere n una stanza n modo che abba un probabltà uguale a ½ d trovare due persone con lo stesso compleanno? M nonostante l nome, non è un paradosso, è solo un rsultato controntutvo Alberto Leporat Corso d Crttografa 26 Funzon hash terate soltamente s usa una funzone d paddng padx che ncorpora l valore x e pone ad esempo bt rmanent a zero; s pone und: y x padx s dvde y n r blocch d t bt cascuno: y y y 2 y r la fase d pre-elaborazone deve asscurare che la funzone f: x Ø y da essa calcolata sa nettva, coè: x x fl fx fx altrment s potrebbero generare collson n h è possble asscurare l nettvtà, dato che y rt x Alberto Leporat Corso d Crttografa 28

8 Funzon hash terate elaborazone: sa IV una strnga pubblca d m bt valore d nzalzzazone s calcola: z 0 IV z compressz 0 y z 2 compressz y 2 z r compressz r- y r Alberto Leporat Corso d Crttografa 29 Costruzone d Merkle-Damgård utlzza la tecnca delle funzon d hash terate s resce a dmostrare che se compress è resstente alle collson allora anche la funzone hash h rsultante è resstente alle collson supponamo che x n m+t+ e che t 2 se dvdamo x n k blocch d t- bt cascuno: x x x 2 µ x k allora x k t d, con 0 d t 2 e l valore d hx è dato dall output del seguente algortmo k t n Alberto Leporat Corso d Crttografa 3 Funzon hash terate trasformazone dell output opzonale: sa g : {0,} m Ø {0,} l una funzone pubblca s pone hx gz r la funzone d hash terata costruta n uesto modo è: h : {0,} {0, } U m + t + l und, prende n nput una strnga x d lunghezza arbtrara m+t+, e produce n output una strnga hx d lunghezza fssata l Alberto Leporat Corso d Crttografa 30 Costruzone d Merkle-Damgård compress: {0,} m+t Ø {0,} m, con t 2 n x ; k n/t- ; d n kt- for to k- do y x y k x k 0 paddng y k+ rappresentazone bnara d t- bt d d z 0 m+ y g compressz for to k do z + g y + g + compressz + return g hx g k+ Alberto Leporat Corso d Crttografa 32

9 Costruzone d Merkle-Damgård teorema [Stnson, pag. 29]: se compress è resstente alle collson, lo è anche h se t, occorre una costruzone dversa supponamo und che x n m+2, e che compress: {0,} m+ Ø {0,} m codfchamo x con fx, dove f è defnta su {0,} come segue: f00 f 0 l valore d hx è dato dall output del seguente algortmo Alberto Leporat Corso d Crttografa 33 Costruzone d Merkle-Damgård s ottene una funzone d hash: h : {0,} {0, } U m + 2 l teorema [Stnson, pag. 32]: se compress è resstente alle collson, lo è anche h Alberto Leporat Corso d Crttografa 35 Costruzone d Merkle-Damgård Merkle-Damgård2x n x y fx fx 2 µ fx n sa y, y 2,, y k la seuenza d bt d y g compress 0 m y for k- do g + compress g y + return g hx g k Alberto Leporat Corso d Crttografa 34 Funzon d hash la prma funzone d hash, MD4, è stata proposta da Rvest nel 990 MD5 è una modfca d MD4 costant dverse, pù terazon pù resstente agl attacch sono stat trovat metod per generare collson nelle funzon d compressone d MD4 e d MD5 ma non nella versone completa d MD4 e d MD5 SHA è stata proposta come standard dal NIST nel 993, ed è stata adottata nel documento FIPS 80 s conosce una tecnca per generare collson n SHA con 2 6 tentatv Ø pù effcente del brthday attack, che ne rchede 2 80 SHA- descrtto n FIPS 80- è una pccola modfca d SHA che non rende possble uesto attacco Alberto Leporat Corso d Crttografa 36

10 Funzon d hash nel 200 l NIST ha annuncato la proposta per le nuove funzon SHA-256, SHA-354 e SHA-52 numer s rferscono alla dmensone del message dgest s basano sempre sulla tecnca delle funzon hash terate la loro descrzone è pù complcata d uelle d MD5 e SHA- vedamo ora le funzon hash attualmente pù utlzzate: SHA- e MD5 Alberto Leporat Corso d Crttografa 37 SHA-: paddng prma operazone: paddng d m SHA--PADm d m mod 52 l rappresentazone bnara d m, con l se l < 64 s aggungono zer a snstra fnché l 64 y m 0 d l osservazon: l s aggunge sempre, anche se m 0 m 0 d ha lunghezza ª 448 mod 52 y ha lunghezza ª 0 mod 52 Alberto Leporat Corso d Crttografa 39 SHA- message dgest da 60 bt tutte le operazon sono basate su word da 32 bt operazon usate:,,.,, Ÿ bt a bt + addzone ntera modulo 2 32 rotl s X rotazone a snstra d X d s poszon, con 0 s 3 ndchamo con m l messaggo s assume che m 2 64 Ø l rappresentazone bnara d m è lunga al massmo 64 bt Alberto Leporat Corso d Crttografa 38 SHA- dopo l paddng, y può essere suddvsa n blocch y M M 2 µ M n dove ogn blocco M è d 52 bt defnamo le funzon f 0,, f 79 come segue: B, C, D sono word da 32 bt l output è una word f B, C, D B C B D se 0 B C D se 20 B C B D C D se 40 B C D se Alberto Leporat Corso d Crttografa 40

11 SHA- noltre, defnamo le word costant K 0,, K 79 come segue espresse n esadecmale: K 5A ED9EBA 8FBBCDC CA62CD6 se se se se s usano 5 regstr H 0, H, H 2, H 3, H 4 da 32 bt che alla fne conterranno l rsultato, pù 5 regstr A, B, C, D, E d 32 bt d appoggo Alberto Leporat Corso d Crttografa 4 SHA-: pseudocodce for to n do sa M w 0 w µ w 5, dove ogn w è una word for t 6 to 79 do w t rotl w t-3 w t-8 w t-4 w t-6 A H 0 ; B H ; C H 2 ; D H 3 ; E H 4 for t 0 to 79 do temp rotl 5 A + f t B, C, D + E + w t + K t E D; D C; C rotl 30 B; B A A temp Alberto Leporat Corso d Crttografa 43 SHA-: pseudocodce SHA-m y SHA--PADm sa y M M 2 µ M n, dove ogn M è un blocco d 52 bt H H EFCDAB89 H 2 98BADCFE H H 4 nzalzzazone de regstr Alberto Leporat Corso d Crttografa 42 SHA-: ndentato sotto for t 0 to 79 H 0 H 0 + A H H + B H 2 H 2 + C H 3 H 3 + D H 4 H 4 + E return H 0 H H 2 H 3 H 4 come s vede, SHA- segue l modello delle funzon hash terate Alberto Leporat Corso d Crttografa 44

12 MD5 message dgest da 28 bt è dventato uno standard de facto effcente su macchne a 32 bt pù lento ma pù scuro d MD4 operazon usate le stesse d SHA-:,,.,, Ÿ bt a bt + addzone ntera modulo 2 32 rotl s X rotazone a snstra d X d s poszon, con 0 s 3 ndchamo con mœ {0,} b l messaggo Alberto Leporat Corso d Crttografa 45 MD5: paddng l paddng è uguale a uello d SHA- unca dfferenza: la doppa word che contene la rappresentazone bnara d b vene attaccata al contraro prma la word meno sgnfcatva analogamente, n MD5 all nterno d ogn word compare prma l byte meno sgnfcatvo ne byte, nvece, compare prma l bt pù sgnfcatvo ueste ncongruenze sono state corrette con SHA- valgono le stesse osservazon fatte per SHA-: l s aggunge sempre, anche se m 0 m 0 d ha lunghezza ª 448 mod 52 y ha lunghezza ª 0 mod 52 Alberto Leporat Corso d Crttografa 47 MD5: paddng la lunghezza b d m è arbtrara, nel caso n cu b 2 64 crca 2.5 mlard d GB, s consdera la rappresentazone bnara solo de 64 bt meno sgnfcatv d b prma operazone: paddng d m MD5-PADm d m mod 52 l rappresentazone bnara d b, con l se l < 64 s aggungono zer a snstra fnché l 64 y m 0 d l Alberto Leporat Corso d Crttografa 46 MD5 la lunghezza d y è anche un multplo d 6 word 6 x 4 byte 6 x 4 x 8 bt 52 bt und, dopo l paddng, y può essere suddvsa n word: dove è un multplo d 6 y M 0 M µ M - defnamo le funzon F, G, H, I come segue: F G H X X X,,, Y Y Y,,, Z Z Z I X, Y, Z Y X Z X X X Y Z Y Z X Y Z Z Alberto Leporat Corso d Crttografa 48

13 MD5: pseudocodce X, Y, Z sono word da 32 bt l output è una word s usano 4 regstr A, B, C, D da 32 bt che alla fne conterranno l rsultato pù 4 regstr AA, BB, CC, DD d 32 bt d appoggo noltre, s usa un array T[..64] d 64 word l valore d T[] è dato dalla parte ntera d: ÿ sn dove è espresso n radant l elaborazone avvene un blocco d 6 word alla volta; l blocco attuale è contenuto n un buffer X[0..5] d 6 word Alberto Leporat Corso d Crttografa 49 MD5: pseudocodce for 0 to N/6 do for j 0 to 5 do X[j] M[*6 + j] AA A BB B CC C DD per ogn blocco da 6 copa l blocco n salva l contenuto de ne regstr d seguono uattro per modfcare l valore de A, B, C e D Alberto Leporat Corso d Crttografa 5 MD5: pseudocodce MD5m y MD5-PADm sa y M 0 M µ M N-, dove ogn M è una word d 32 bt, ed N è un multplo d 6 A B 89ABCDEF C FEDCBA98 D sono gl stess usat per H0, H, H2, n SHA- Alberto Leporat Corso d Crttografa 50 MD5: prmo [abcd k s ] è un abbrevazone a b + rotl s a + Fb,c,d + X[k] + T[] [ABCD 0 7 ] [DABC 2 2] [CDAB 2 7 3] [BCDA ] [ABCD 4 7 5] [DABC 5 2 6] [CDAB 6 7 7] [BCDA ] [ABCD 8 7 9] [DABC 9 2 0] [CDAB 0 7 ] [BCDA 22 2] [ABCD 2 7 3] [DABC 3 2 4] [CDAB 4 7 5] [BCDA ] Alberto Leporat Corso d Crttografa 52

14 MD5: secondo [abcd k s ] è un abbrevazone a b + rotl s a + Gb,c,d + X[k] + T[] [ABCD 5 7] [DABC 6 9 8] [CDAB 4 9] [BCDA ] [ABCD 5 5 2] [DABC ] [CDAB ] [BCDA ] [ABCD ] [DABC ] [CDAB ] [BCDA ] [ABCD ] [DABC ] [CDAB 7 4 3] [BCDA ] Alberto Leporat Corso d Crttografa 53 MD5: uarto [abcd k s ] è un abbrevazone a b + rotl s a + Ib,c,d + X[k] + T[] [ABCD ] [DABC ] [CDAB 4 5 5] [BCDA ] [ABCD ] [DABC ] [CDAB ] [BCDA 2 56] [ABCD ] [DABC ] [CDAB ] [BCDA ] [ABCD 4 6 6] [DABC 0 62] [CDAB ] [BCDA ] Alberto Leporat Corso d Crttografa 55 MD5: terzo [abcd k s ] è un abbrevazone a b + rotl s a + Hb,c,d + X[k] + T[] [ABCD ] [DABC 8 34] [CDAB 6 35] [BCDA ] [ABCD 4 37] [DABC 4 38] [CDAB ] [BCDA ] [ABCD 3 4 4] [DABC 0 42] [CDAB ] [BCDA ] [ABCD ] [DABC 2 46] [CDAB ] [BCDA ] Alberto Leporat Corso d Crttografa 54 MD5: pseudocodce A A + AA B B + BB C C + CC D D + DD return A B C D osservazone: byte d A, B, C e D vanno stampat dal meno sgnfcatvo al pù sgnfcatvo Alberto Leporat Corso d Crttografa 56

15 Uso delle funzon d hash supponamo che Alce vogla frmare un messaggo m, usando un crttosstema a chave pubblca calcola hm, dove h è una funzone d hash calcola D A hm spedsce a Bob l messaggo frmato m, D A hm Bob, per verfcare la frma: calcola x hm calcola y E A D A hm accetta la frma come valda se e solo se x y come MAC: Alce spedsce a Bob la coppa m, hm x, y Bob accetta m come genuno solo se y hx Alberto Leporat Corso d Crttografa 57 Dgtal Sgnature Algorthm DSA lo spazo delle frme è A p *µ p * Ø ogn frma è lunga 320 bt lo spazo delle chav è: K {p,, α, β : β ªα a mod p} con 0 a - chave pubblca: p,, α, β chave prvata: a per frmare m œ P, Alce scegle a caso r, con r -, e calcola: sg k m, r γ, δ Alberto Leporat Corso d Crttografa 59 Dgtal Sgnature Algorthm DSA sano: p un prmo da L bt tale che l logartmo dscreto sa ntrattable n p *, dove L ª 0 mod 64 e 52 L 024 un prmo da 60 bt che dvde p- α œ p * una radce -esma d modulo p α ha ordne, coèα ª mod p basta prendere un generatore g d p *, e porre α g p-/ mod p lo spazo de messagg è P {0,}* Alberto Leporat Corso d Crttografa 58 Dgtal Sgnature Algorthm DSA dove: γ α r mod p mod δ SHA-m + aγ ÿ r - mod se vene γ 0 oppure δ 0 s scegle un nuovo valore r per verfcare che γ, δ œ *µ * è una frma per m œ {0,}*, s calcola: e SHA-m ÿδ - mod e 2 γÿδ - mod Alberto Leporat Corso d Crttografa 60

16 Dgtal Sgnature Algorthm DSA e s accetta la frma come valda coè ver k x, γ, δ vero se e solo se: α e β e 2 mod p mod γ la verfca della valdtà del crtero d accettazone rchede alcun cont delcat modulo p e modulo DSA è stato proposto nel 99 dalla NSA, ed è dventato uno standard del NIST a causa del progresso degl algortm per l calcolo del logartmo dscreto, nell ottobre 200 l NIST ha proposto d fssare L 024 Alberto Leporat Corso d Crttografa 6 PKI Publc Key Infrastructures Alce manda E E D A m a Eve Eve calcola E A D E E E D A m e rcava m Eve spedsce a Bob E B D A m Alce e Bob non s accorgono d nulla le frme dgtal asscurano che m è stato prodotto da Alce, non che è stato spedto da Alce! l problema è: uando ad Alce arrva una chave pubblca, come fa a essere certa che è uella d Bob? Alberto Leporat Corso d Crttografa 63 PKI Publc Key Infrastructures problema della crttografa a chave pubblca: l canale non è autentcato ch rceve un messaggo non può essere certo del mttente ch spedsce un messaggo, non può essere certo del destnataro le frme dgtal prma frmo, po cfro rsolvono l problema? Alce deve mandare un messaggo m a Bob chede a Bob la chave pubblca uando Bob spedsce E B, Eve la ntercetta e la sosttusce con E E Alberto Leporat Corso d Crttografa 62 PKI Publc Key Infrastructures soluzone: Certfcaton Authortes CA Alce e Bob s scrvono presso la CA per scrvers devono mostrare de document d denttà la CA fornsce a cascuno una coppa chave pubblca, chave prvata la CA mette le chav pubblche n un elenco, ad es. dsponble su Internet uando Alce vuole la chave pubblca d Bob, la preleva dall elenco Alberto Leporat Corso d Crttografa 64

17 PKI Publc Key Infrastructures così facendo, però, la CA dventa un collo d bottgla per le comuncazon! prma soluzone: la CA delega e autorzza altre CA CA s forma una gerarcha d CA PKI Infrastruttura a chave pubblca problema: mantenere aggornate le nformazon uando vene fatta una modfca n una CA, uesta s deve propagare velocemente alle altre CA CA Alberto Leporat Corso d Crttografa 65 PKI Publc Key Infrastructures l certfcato è frmato dalla CA la chave segreta della CA deve essere molto dffcle da falsfcare la chave pubblca della CA deve essere faclssma da trovare uotdan, rvste, rado, televsone, telefono, Internet, SMS, Ø uando la CA camba chav, bsogna aggornarle dappertutto uando Alce vuole la chave d Bob, Bob le dà l propro certfcato fornto dalla CA Alberto Leporat Corso d Crttografa 67 PKI Publc Key Infrastructures seconda soluzone: all atto dell scrzone, ogn utente rceve un certfcato: sg CA Bob, E B, data nzale, data fnale che ndca: ual è la chave pubblca a ch s rfersce l ntervallo temporale n cu l certfcato è valdo volendo, s possono aggungere altre nformazon utl Alberto Leporat Corso d Crttografa 66 PKI Publc Key Infrastructures per mbroglare, Eve dovrebbe costrure un certfcato del tpo: sg CA Bob, E E, data nzale, data fnale se Bob pensa che la propra chave segreta sa compromessa, può revocare le chav e und l certfcato uando Bob revoca le chav, la CA mette l certfcato corrspondente n una lsta, che s chama Certfcate Revocaton Lst CRL uando Alce rceve l certfcato da Bob, deve controllare che non sa nella CRL Alberto Leporat Corso d Crttografa 68

18 PKI Publc Key Infrastructures la CRL può essere pubblcata dalla CA oppure dstrbuta a tutt gl utent problema: dstrbuzone rapda delle modfche problema a monte: bsogna fdars della CA le persone possono essere corrotte, e comunue non rescono a svolgere l lavoro a mano computer hanno un sacco d problem d scurezza altro modello: Web of Trust adottato da PGP non rchede alcuna autortà centrale Alberto Leporat Corso d Crttografa 69 Web of Trust dea: cascuno assegna un punteggo alle persone con cu comunca l punteggo può essere dato drettamente oppure calcolato l calcolo del punteggo s basa su regole del tpo: se m fdo d A punteggo alto e A s fda d B, l punteggo d B sale se m fdo d A e A non s fda d B, l punteggo d B scende und, l punteggo d B è calcolato come combnazone lneare su tutte le persone che lo conoscono e che o conosco Alberto Leporat Corso d Crttografa 70