Kryptologie (Vorlesung 6)

Skript-Anfang	Skript – Seite 20
Skript-Ende	Skript – Seite 25

Testvektoren für AES

• Suchen und für Praktikum zum Verifizieren verwenden
• Uni Oldenburg

AES

• m → m^e mod n
• c → c^d mod n
• e*d = 1 mod φ(n)
• n=p*g : φ = (p-1)(q-1)
• Siehe Beispiel 3.6

Angriff #1

• Angreifer will Ciphertext c = m^e mod n entschlüsselt
• Berechne c‘ = c*r^e mod n für irgendein r ∈ Z_n (e = öffentlicher Schlüssel)
• Schlüsselinhaber entschlüsselt c‘ = m'(c‘)^d mod n und sendet m‘ an Angreifer
• m‘ = (c‘)^d = (c*r^e)^d = (c^d *(r^e)^d) = m*r mod n → also erhält der Angreifer m
• Wie kommt es dazu: Angreifer lässt den Anderen einen Text entschlüsseln im Rahmen einer „Probeverschlüsselung“

Angriff #2

• Siehe Beispiel 3.7

Lösung

• Setze probabilistische Verfahren ein

Vorteile

• Deutliche Vergrösserung des Klartextraumes
• Die Wahrscheinlichkeitsverteilung der Eingabe wird der Gleichverteilung angenährt (erschwert statistische Angriffe)
• Zusammenhang zwischen Klartext und Chiffretext wird verschleiert
• Beide Angriffe werden dadurch nicht mehr möglich

Allgemein anerkanntes probabilistisches Verfahren

• siehe Tabelle 3.2

Hashfunktionen

• Wichtige kryptographische Primitive, z.B. für
  • Signaturverfahren
  • Schlüsselableitung
  • Zufallszahlengeneratoren
• Hashfunktion H heisst kryptopgraphisch stark, wenn gilt:
  • Preimage Resistance
  • Collision Resistance
• Praktisch unmöglich bedeutet, dass der Sicherheitsraum 100Bit hat und man muss mind. 2¹⁰⁰ Werte m wählen um eine Kollision zu finden
• Hashwert muss schnell berechenbar sein (auch bei grossen Daten)
• Sollte aus einfachen Grundfunktionen zusammengesetzt werden (Permutation, Substitution, XOR)

Funktionen

• Bilden Bitstrings beliebiger Länge auf Bitstrings fester M : {0,1}^* → {0,1}ⁿ
• Umkehrfunktion darf praktisch nicht berechenbar sein
• Solche Funktionen kennen wir schon:
  • RSA-Funktion m → m^e mod n
    • Jeder, der e kennt, kann diese Funktion berechnen
    • Ist d nicht bekannt, kann die Umkehrabbildung nicht berechnet werden
    • Viel zu langsam
  • Blockchiffren
    • E: {0,1}ⁿ x {0,1}ⁿ → {0,1}ⁿ
    • KT x Schlüssel
    • f:{0,1}ⁿ x {0,1}ⁿ → {0,1}ⁿ
    • (x,y) →E(x,y) ⊕ x

Konstruktion nach Merke-Damgard

• Kompressionsfunktion f:{0,1}ⁿ x {0,1}ⁿ → {0,1}ⁿ
• Definieren wir M wie folgt (Aufteilung einer Nachricht m∈{0,1}^* in Blöcke der Länge n):
• Siehe Abbildung 4.1
• Anforderungen an die Kompressionsfunktion
• Muss alle drei Bedingungen für sichere Hashfunktionen erfüllen
• Muss schnell berechenbar sein