Matematica e crittografia

Transcript

1 Mateatica e crittografia Giovanni Cutolo L esigenza di scabiare essaggi privati, incoprensibili per un estraneo non autorizzato che in un odo o nell altro ne venga in possesso, sebra essere antica quanto la scrittura. Esepi di testi volutaente cifrati, cioè trasforati in odo da non essere intellegibili se non dopo un operazione di decifrazione (la trasforazione inversa, dal testo cifrato al testo, coe si dice, in chiaro ), sono giunti a noi dalle più antiche civiltà dotate di lingua scritta. La crittografia può essere definita coe la disciplina che studia le diverse possibili tecniche di cifratura, allo scopo di valutarne l effettiva sicurezza e di introdurne di più efficaci. Se per secoli, e forse tuttora nelle percezione di olti, la pratica della crittografia è stata strettaente associata ad aspetti lontani dalla vita ordinaria, coe lo spionaggio (ilitare, diploatico, industriale), al giorno d oggi, nell era della teleatica, ciascuno di noi ne fa uso quotidianaente e probabilente inconsapevolente ogni volta che utilizza servizi coe il bancoat, la posta elettronica o il coercio on-line, o agari quando assiste a prograi televisivi a pagaento. Diversi ateatici di diverse epoche si sono cientati sul versante della crittoanalisi (cioè nel trovare etodi per decifrare essaggi pur senza conoscere, aleno in partenza, le chiavi di decifrazione): è faoso il caso della violazione della cifratura Eniga, il sistea crittografico usato dall esercito nazista durante la II guerra ondiale, dovuta, in una pria fase, al ateatico polacco Marian Rejewski e copletata poi da un gruppo di scienziati inglesi, tra i quali ruolo proinente ebbe il celeberrio logico Alan Turing. È però a partire dagli anni 70 del novecento che l utilizzo sisteatico di idee ateatiche, spesso nate in abiti del tutto indipendenti, ha rivoluzionato teoria e tecnica della crittografia, con l introduzione della crittografia a chiave pubblica e di altri siili protocolli. I etodi crittografici più tradizionali, quelli a chiave privata, gli unici in uso sino a tepi olto recenti, (vedi schea) si possono descrivere coe il proteggere un essaggio chiudendolo in un cofanetto unito di una serratura; il ittente ed il destinatario (e nessun altro) sono in possesso di???? A f k f 1 k B chiave k Crittografia a chiave privata: A e B concordano una chiave segreta coune, k. Questa chiave serve per descrivere una funzione di cifratura f k e la sua inversa, la funzione di decifrazione f 1 k. Per inviare un essaggio a B, A provvede innanzitutto a trasforare nel essaggio cifrato, traite la funzione f k, e trasette poi a B, anche per un canale non sicuro (quindi si aette la possibilità che venga letto da terzi). B provvederà infine a decifrare, ritrasforandolo in grazie alla funzione f 1 k. 1

2 una chiave che perette di chiudere (cifrare) ed aprire (decifrare) il cofanetto. Uno dei punti deboli di questo tipo di crittografia è che in una certa fase iniziale, ittente e destinatario hanno dovuto scabiarsi la chiave (segreta) di cifratura, cosa che non è sepre possibile realizzare in odo del tutto sicuro. Inoltre, in un sistea con olti utenti, ciascuno dei quali voglia poter counicare in odo riservato con ciascun altro (cosa spesso necessaria in tante oderne applicazioni), è necessario un altissio nuero di chiavi: il calcolo cobinatorio ostra che servono t(t 1)/2 chiavi distinte per un sistea con t utenti (ad esepio, quasi due ilioni di chiavi per 2000 utenti). Produrre e gestire tante chiavi può creare grandi, talvolta insuperabili, difficoltà pratiche. Per risolvere questo genere di problei si è fatto ricorso a due strategie. La pria consiste nel sostituire lo scabio della chiave con una procedura in cui una chiave, agari di uso teporaneo, possa essere concordata pur senza ai essere trasessa. La seconda strategia, quella della crittografia a chiave pubblica, perette, coe vedreo, di eliinare il problea alla radice, facendo del tutto a eno di chiavi segrete condivise. La aggior parte degli attuali protocolli crittografici fa infine ricorso a una strategia ibrida: viene usata la crittografia a chiave pubblica per effettuare la trasissione di una chiave usa e getta, che viene poi utilizzata per trasettere il essaggio con un etodo di crittografia a chiave privata. Questo perché, generalente, i protocolli crittografici a chiave privata sono più veloci e richiedono eno risorse di calcolo dei protocolli a chiave pubblica. 1 La crittografia a chiave pubblica Se abbiao paragonato la crittografia a chiave privata ad una coune serratura, la crittografia a chiave pubblica funziona invece coe un lucchetto a scatto: chiunque lo può chiudere, a solo il proprietario, in possesso della chiave, lo può aprire. Il etodo si può scheatizzare coe nella figura in alto: ogni utente del sistea crittografico ha una personale coppia di chiavi, una pubblica ed una segreta; un ittente A che voglia inviare un essaggio riservato a B provvederà innanzitutto a cifrarlo, utilizzando a questo scopo la chiave pubblica di B, il quale B potrà poi usare la sua chiave segreta per decifrarlo. Affinché il sistea possa funzionare, è necessario che chiunque sia in grado di effettuare la cifratura, a che la decifrazione sia praticaente ipossibile da eseguirsi a eno di non conoscere la chiave segreta di B. Questa frase nasconde un problea ateatico tutt altro che banale. In fora un po seplificata si tratta di questo: per realizzare un sistea del genere bisogna trovare una funzione invertibile f (da usare per la cifratura e descritta dalla chiave pubblica, f c nello schea) tale che, dato un qualunque essaggio, sia seplice il calcolo di = f() (il essaggio cifrato) a, viceversa, qualunque algorito che peretta di ricavare da senza disporre di una inforazione extra (la chiave segreta) richieda troppe risorse e troppo tepo di esecuzione per essere effettivaente utilizzabile. È proprio in questo che consiste la sottigliezza, infatti, poiché f è nota è certaente nota anche la funzione inversa f 1 (f d nello schea), quindi un ficcanaso che volesse???? A f c f 1 c = f d B chiavi di B { pubblica: c segreta: d Crittografia a chiave pubblica 2

3 decifrare il essaggio senza autorizzazione si troverebbe nella situazione di conoscere (in astratto) la funzione necessaria, a ciononostante non saperne calcolare i valori! Il prio sistea di crittografia ad essere apparso, e tuttora uno dei P vs. NP più utilizzati, è il crittosistea RSA (dai noi, Rivest, Shair e Adlean, di coloro che lo proposero nel 1977), descritto in dettaglio più avanti. Esso è basato sul fatto che non sono noti efficienti etodi che perettano di calcolare i fattori prii di un nuero olto grande, quindi entre, assegnati due nueri prii p e q, non presenta alcuna difficoltà il calcolo del prodotto n = pq, il calcolo inverso ricavare i fattori p e q da n può essere di estrea difficoltà, praticaente ipossibile anche per i più veloci coputer attualente a disposizione se i nueri coinvolti sono olto grandi (e accortaente scelti). Esistono diversi crittosistei a chiave pubblica, quasi tutti basati sulla ateatica del ondo discreto: strutture algebriche (cioè abienti di calcolo ) o geoetriche costruite su insiei finiti. Ad esepio, l abiente di calcolo per RSA è quello dell aritetica odulare, di cui si parlerà più avanti, a sono olto usati anche sistei in cui l abiente è costituito da particolari curve, chiaate curve ellittiche, costruite in piani che, a differenza di quelli della tradizionale geoetria euclidea, hanno Il tipo di difficoltà incontrata per la definizione di un crittosistea a chiave pubblica è connesso con uno dei più faosi problei irrisolti della ateatica conteporanea, il cosiddetto problea P vs. NP. Per dirla nel odo più seplice possibile, il problea è: esiste una doanda alla quale, in generale, una risposta esista a sia estreaente difficile da calcolare, entre sia invece sepre facile verificare se una risposta proposta è o eno corretta? Un possibile esepio potrebbe essere quello della fattorizzazione in prii dei nueri interi: verificare se un nuero intero n sia o non sia il prodotto di alcuni, assegnati, nueri prii è copito agevole (basta eseguire il prodotto di questi prii e confrontare il risultato con n), trovare la fattorizzazione in prii di n invece non sebra affatto essere un problea banale, nel senso che i etodi noti richiedono calcoli la cui lunghezza può crescere enoreente al crescere di n (il che non esclude che esistano dei etodi di fattorizzazione olto più efficienti, ancora in attesa di essere scoperti). Un iportante risultato degli ultii anni (2002) è stata la diostrazione del fatto che un caso particolare del problea della fattorizzazione, quello di decidere se un assegnato nuero intero n sia o non sia prio, rientra tra quelli definiti coe facili nella forulazione precisa del problea P vs. NP. Un altra doanda che potrebbe essere del tipo richiesto nella forulazione del problea P vs. NP è quella nota coe problea della zaino: dati un nuero intero n ed una lista finita di interi, è possibile selezionare dalla lista alcuni terini che abbiano coe soa n? (una versione tridiensionale del problea rende ragione del noe: avendo un certo nuero di oggetti a disposizione, è possibile riepire copletaente un assegnato contenitore con alcuni di essi?). È stato diostrato che chi riuscisse a calcolare il livello di difficoltà del problea dello zaino risolverebbe anche il problea P vs. NP, nel senso che se una qualche doanda del tipo richiesto esiste, allora il problea dello zaino è una di esse. Dunque, se il problea dello zaino è difficile allora P vs. NP ha risposta positiva, se esso è facile P vs. NP ha risposta certaente negativa! P vs. NP fa parte di una lista di sette problei ritenuti di grande iportanza per lo sviluppo della ateatica nel XXI secolo, per la risoluzione di ciascuno dei quali il Clay Institute ( ha esso in palio la bella cifra di un ilione di dollari. Va infine detto che l analogia tra il problea P vs. NP e quelli legati alla crittografia a chiave pubblica ha precisi liiti. In particolare, non coincidono nei due contesti le nozioni che qui abbiao seplificato con gli aggettivi facile e difficile. solo un nuero finito di punti. Le curve ellittiche, in queste ed in altre geoetrie, sono tra gli oggetti più ubiqui della ateatica conteporanea; tra l altro, hanno avuto un iportantissio ruolo nella recente (1994) diostrazione dell ultio teorea di Ferat. Molta ricerca ateatica è attualente ipegnata nel cercare di diostrare (o sentire) la sicurezza di crittosistei a chiave pubblica (non è diostrato che, ad esepio, RSA sia inviolabile), 3

4 nel renderli più efficienti, nell inventarne di totalente nuovi. Non è solo la ateatica ad intervenire in questi sviluppi: sono stati ad esepio proposti e sperientati con successo crittosistei basati sulla eccanica quantistica, la cui sicurezza dipende in ultia analisi dal principio di indeterinazione di Heisenberg, quindi dall intrinseca iprevedibilità dell esito di singoli esperienti nella fisica delle particelle. 2 Aritetica odulare L aritetica odulare (chiaata talvolta aritetica dell orologio) si può descrivere coe un aritetica in cui i calcoli (addizioni, sottrazioni, oltiplicazioni) si eseguono a eno di ultipli di un prefissato intero positivo n. Ad esepio l aritetica odulo 2 è quella in cui risultano identificati tra loro tutti i nueri che differiscano per un nuero pari (quindi tutti i pari da una parte, tutti i dispari dall altra), dunque una aritetica in cui l unica distinzione possibile è quella tra nuero pari e nuero dispari, a non, per esepio, quella tra due particolari nueri dispari, coe 5 e 41. La nozione chiave alla base dell aritetica odulare è quella di congruenza odulo un assegnato intero positivo n. Due interi a e b si dicono congrui odulo n (in siboli, a n b) se e solo se a b è ultiplo di n. Si ha che ogni intero è congruo (odulo n) ad esattaente un intero copreso tra 0 e n 1, precisaente al suo resto nella divisione per n. Ciò che rende particolarente utili le congruenze è che esse rispettano le consuete operazioni tra i nueri interi; infatti se a n b e c n d allora a + c n b + d e ac n bd, qualsiasi siano gli interi a, b, c e d coinvolti. Supponiao, dunque, di dover eseguire dei calcoli tra nueri interi, a di essere interessati a conoscere solo il resto del risultato nella divisione per n; allora potreo etodicaente sostituire gli operandi con nueri che siano congrui ad essi odulo n senza che questo resto cabi. È proprio su questo trucco che sono basati i criteri di divisibilità che vengono insegnati sin dalla scuola eleentare, o anche la cosiddetta prova del nove. Ad un livello appena aggiore di astrazione (e di chiarezza), tutto ciò si foralizza in questi terini: le proprietà enzionate sopra perettono di definire correttaente operazioni tra classi di resto (la classe di resto di a odulo n è l insiee di tutti gli interi congrui ad a odulo n): la soa e il prodotto tra la classe di a e quella di b sono le classi di resto di a + b e di ab. In questo odo definiao una aritetica tra le classi di resto odulo n (che sono in tutto n), è questa l aritetica odulo n. Ad esepio, se n = 2, coe accennato sopra le classi di resto sono due: l insiee P dei nueri pari, e l insiee D dei nueri dispari, e valgono (ovvie) regole di calcolo coe P + P = P = D + D = P D o P + D = DD = D. Alcuni calcoli sono notevolente seplificati in aritetica odulare rispetto all aritetica ordinaria, ciò è particolaente vero per il calcolo delle potenze; ad esepio, poiché e quindi , si ha (4 3 ) ( 1) Per contro, i logariti in aritetica odulare sono spesso olto difficili da calcolare (ad esepio, per arrivare a stabilire che, odulo 4567 il logarito in base 10 di 2 è 2916, nel senso che , non si conoscono etodi essenzialente igliori che quello di procedere per tentativi, calcolando varie potenze di 10 sino a trovare quella giusta). Per questo otivo le funzioni esponenziali in aritetica odulare (facili da calcolare, a con inversa difficile ) sono utilizzate spessissio nei protocolli crittografici. 3 Descrizione del protocollo RSA Coe per ogni crittosistea a chiave pubblica, descrivere RSA significa spiegare in che odo ogni utente effettua la scelta delle sue chiavi (pubblica e segreta) e in che odo queste chiavi perettano la cifratura e la decifrazione. Per definire le sue chiavi, l utente B sceglie due prii distinti (olto grandi) p e q e ne calcola il prodotto n; sceglie poi un intero positivo c che sia inore di n e coprio con ϕ := (p 1)(q 1) (due nueri interi sono coprii se non hanno divisori couni aggiori di 1). La coppia (n, c) costituisce la chiave pubblica di B. Utilizzando un vecchio e notissio algorito che nella sue 4

5 essenza risale ad Euclide, B può infine calcolare un intero d tale che cd ϕ 1. A questo punto egli può cancellare ogni traccia di p, q e ϕ e conservare (gelosaente) d coe sua chiave segreta. La cifratura di un essaggio per B avviene coe segue: se, coe quasi sepre accade, il essaggio è in fora digitale, allora esso è già in qualche odo rappresentato coe un nuero, altri- Il teorea di Ferat-Eulero Il protocollo RSA è basato sul seguente teorea di aritetica odulare, dovuto in un enti esso viene trasforato in un nuero intero positivo con una qualsiasi procedura di codifica caso particolare a Pierre de Ferat ed esteso poi da Leonhard Euler (due grandissii (del tutto trasparente e agari anche universalente nota, la cosa non ha alcuna iportanza). ateatici dei secoli XVII e XVIII, francese il prio, svizzero il secondo). Per ogni Serve anche che il nuero che rappresenta il essaggio sia inore di n; se ciò non è possibile perché il essaggio è troppo lungo, quest ulti- intero positivo n si indica con ϕ(n) il nuero degli interi copresi tra 1 e n e coprii o andrà preliinarente suddiviso in blocchi da con n. Il teorea di Eulero si enuncia abitualente dicendo che, per ogni intero a, trasettere uno per volta. Il ittente A calcola il resto di c nella divisione per n (coe abbiao visto, questi calcoli sono facili in aritetica se a e n sono coprii allora a ϕ(n) n 1. RSA utilizza una variante di questo teorea: se n non è divisibile per il quadrato di odulare; ricordiao anche che A, coe chiunque, ha a disposizione la chiave pubblica (n, c) di nessun nuero intero aggiore di 1, allora a 1+kϕ(n) n a per ogni intero a ed ogni B); questo sarà il essaggio cifrato. La decifrazione avviene in odo siile: B calcola il resto di ( ) d odulo n, questo resto sarà intero non negativo k. proprio. Il otivo risiede nel teorea di Ferat e Eulero discusso nel box e nel fatto che risulta ϕ = ϕ(n) (cosa che qui non giustifichiao): si ha ( ) d n cd e cd ϕ 1, dunque ( ) d n. Poiché 0 < n ciò basta per provare la nostra afferazione. Su cosa si basa la sicurezza di questo sistea? Una persona, diversa da B, che sapesse fattorizzare n saprebbe anche calcolare ϕ = (p 1)(q 1), quindi ricavare d da (n, c) e decifrare il essaggio. Il punto è che, se i prii p e q sono scelti bene, fattorizzare n è (eglio: si ritiene che sia) estreaente coplesso. Si può anche (viceversa) diostrare che il problea di ricavare d da (n, c) ha lo stesso grado di coplessità di quello di fattorizzare n. Dunque ciò che salvaguarda la segretezza della chiave d è proprio l incapacità, da parte di un eventuale spione, di decoporre n in fattori prii. Questo ostra che la sicurezza di RSA verrebbe essa in crisi se fossero scoperti Un esepio di cifratura RSA Supponiao che B abbia deciso di vendere libri in rete, usando RSA per ricevere inforazioni bancarie cifrate dai clienti. Il prio passo sarà quello di definire le proprie chiavi. B sceglie due nueri prii, nel nostro esepio p = e q = , calcola n = pq = e ϕ = (p 1)(q 1) = ; copleta poi la sua chiave pubblica con il nuero c = , che è coprio con ϕ, e rende questa chiave (n, c) nota. Infine B calcola la sua chiave segreta trovando un intero d tale che cd ϕ 1, calcolo non difficile che non ostriao qui e fornisce d = Il giorno in cui A voglia acquistare un libro da B, dovrà trasettergli il nuero della sua carta di credito: Allora A calcolerà odulo n, ottenendo , il nuero (cifrato) che invierà a B. Ricevuto questo nuero, B calcolerà odulo n, ricavando così , il nuero della carta di credito di A! Va da sé che, nella realtà, il coercio elettronico (che costituisce una delle più delicate applicazioni della crittografia a chiave pubblica) utilizza procedure più sofisticate di questa appena scheatizzata. Inoltre, i nueri qui utilizzati per la definizione delle chiavi sono troppo piccoli per garantire alcuna sicurezza: n è ancora olto facile da fattorizzare per un coputer. I sistei per le counicazioni bancarie utilizzano nueri ben più grossi, di oltre trecento cifre deciali. 5

6 nuovi, veloci, etodi di fattorizzazione. Inoltre, tutto ciò non esclude che esista qualche etodo per violare la sicurezza di RSA che prescinda dalla fattorizzazione di n; al oento, per quanto se ne sa, non sono noti etodi del genere. 4 Coe accordarsi su una chiave ed altri giochetti Quasi in conteporanea al protocollo RSA venne proposto un seplice protocollo (il protocollo Diffie-Hellan) che perette ai nostri due soliti interlocutori di accordarsi su una chiave senza ai avere per questo necessità di trasettersela. Il protocollo funziona in questo odo: A e B fissano un nuero prio p ed un intero t tale che 0 < t < p. A sceglie un intero (segreto) α e trasette a B il resto a di t α odulo p; B sceglie un intero segreto β e trasette ad A il resto b di t β odulo p. A e B possono ora, ciascuno per conto suo, calcolarsi la chiave: A calcola il resto di b α e B il resto di a β (sepre odulo p), entrabi otterranno il resto di t αβ odulo p, che potranno utilizzare coe chiave privata coune. L eventuale spione che avesse intercettato le trasissioni tra A e B conoscerà sia t che p, e si sarà visto passare sotto il naso delle potenze di t odulo p, a, se p è sufficienteente grande, non saprà calcolare la chiave perché, coe abbiao accennato sopra, egli sarà incapace di calcolare i logariti (α e β) in aritetica odulo p. Coe si vede, ciò che fa funzionare questa procedura è il fatto che le funzioni di elevazione a potenza (per α e β) coutano tra loro (il risultato finale non dipende dall ordine in cui sono eseguite: (t α ) β = (t β ) α ). Il protocollo di Diffie-Hellan viene applicato anche in contesti diversi dall aritetica odulare e con altre funzioni facili con inversa difficile che coutino tra loro. Esiste anche un odo per inviare in odo sicuro un essaggio senza bisogno di alcuna chiave, è quello scheatizzato a lato. A invia a B un essaggio in un cofanetto chiuso da un lucchetto. B non ha la chiave di questo lucchetto e quindi non può apre il cofanetto, piuttosto gli applica un altro lucchetto lo restituisce ad A. Ora A può asportare il suo lucchetto (ne ha la chiave!) e spedire ancora il cofanetto a B, che non avrà difficoltà ad aprirlo con la sua chiave. L aspetto ateaticaente interessante di questa piccola storia è che, di nuovo, ciò che la fa funzionare è la proprietà coutativa: l aspetto del cofanetto dopo che siano stati applicati i due lucchetti è lo stesso indipendenteente dall ordine in cui essi siano stati applicati. Sarebbe ben diversa la storia se B avesse invece pensato di infilare il cofanetto ricevuto in un cofanetto più grande e assicurare quest ultio col suo lucchetto! Vediao direttaente con un esepio nuerico coe si può ipleentare questa procedura usando le potenze in aritetica odulare. A e B possono concordare il nuero prio 17, ciascuno decide per sé un nuero segreto che sia coprio con ϕ(17) = 17 1 = 16 (diciao 5 per A e 3 per B) ed usa coe lucchetto l elevazione a potenza di esponente questo nuero odulo 17. Supponiao che A voglia trasettere il essaggio 10. Allora A calcola e invia 6 a B, il quale calcola e restituisce 12 ad A. Ora A deve togliere il suo lucchetto. In che odo? Applicando l inversa della funzione di elevazione alla quinta potenza odulo 17. Esattaente coe per RSA utilizziao il teorea di Ferat-Eulero: poiché ϕ(17) = 16 e , si ha (a 5 ) a per ogni intero a. Dunque, per togliere il lucchetto A eleva alla tredicesia potenza: calcola e anda 14 a B. Siilente, infine, poiché , B calcola odulo 17, ottenendo così 10: il essaggio è arrivato a destinazione. 5 Conclusione Queste note hanno solo provato a dare un assaggio della ateatica che sta dietro alla oderna crittografia e non hanno, ovviaente, alcuna pretesa di copletezza. Molte altre sono le tecniche ateatiche utilizzabili e olti i protocolli crittografici che le ipiegano. Gli stessi obiettivi di 6

7 base della crittografia sono stati solo superficialente descritti ad esepio, non si è discusso dei problei legati all autenticazione dei dati: coe fa il destinatario di un essaggio ad esser sicuro che il ittente sia effettivaente chi dichiara di essere? E coe accertarsi che il essaggio non sia stato alterato, per errore o di proposito, pria di giungere a destinazione? Si è counque cercato di dare qualche inforazione su un tipo di applicazione della ateatica (e anche di vecchissia ateatica) alla quale nessuno aveva pensato sino a pochi decenni fa. Sebra olto opportuno chiudere con le parole di Godfrey H. Hardy, un iportantissio studioso inglese di teoria dei nueri. Durante il prio anno della seconda guerra ondiale egli scrisse un breve libro, Apologia di un ateatico, nel quale cercava di trarre un bilancio della sua vita e della sua attività. La teoria dei nueri era allora considerata (con ragione!) un settore della ateatica di grandissia bellezza e valore intrinseco, a di nessuna utilità esterna alla ateatica stessa. Hardy ne rivendica, per lo eno, la non nocività: C è una conclusione facile e confortante per un vero ateatico. La vera ateatica non ha alcun effetto sulla guerra. Nessuno ha ancora scoperto un uso bellico della teoria dei nueri... e sebra olto iprobabile che se ne scopra uno ancora per olti anni. Eccellente ateatico, Hardy, a pessio profeta! 7