WST P DO KRYPTOGRAFII. Grzegorz Szkibiel. Jesie«2012/13

Transkrypt

1 WST P DO KRYPTOGRAFII Grzegorz Szkibiel Jesie«2012/13

2 Spis tre±ci 1 Kryptograa a steganograa Steganograa Szyfry przestawieniowe Systemy kryptograczne Klasyczne metody szyfrowania Szyfry cykliczne Monoalfabetyczny szyfr Beauforta Kody aniczne jednowymiarowe Permutacje alfabetu Analiza cz sto±ci wyst powania liter Homofony i nulle Jednostki dwuliterowe czyli digramy Szyfr Playfaira Podwójny szyfr Playfaira szyfr Delastelle'a Jednostki wieloliterowe Szyfry polialfabetyczne Ša«cuch szyfrów i DES Maszyny szyfruj ce Zasada dziaªania Jak zªamano szyfr ENIGMY Macierze szyfruj ce Algebra liniowa modulo N Szyfry Hill'a Aniczne przeksztaªcenia szyfruj ce

3 5 Pakowanie plecaka Postawienie problemu Szybko rosn ce ci gi Kryptosystem oparty na problemie pakowania plecaka Systemy z publicznym kluczem Numeryczna funkcja jednokierunkowa Funkcje skrótu poufno± i autentyczno± Wymiana kluczy funkcje jednokierunkowe System RSA Rozkªad liczb na czynniki Liczby wybrane losowo Zasada dziaªania systemu RSA Wpadka systemowa wspólny moduª Wpadka systemowa niski wykªadnik Teorio-liczbowe podstawy RSA Systemy pozycyjne Iterowane podnoszenie do kwadratu Twierdzenie Eulera i Maªe Twierdzenie Fermata liczby pseudo-pierwsze Chi«skie twierdzenie o resztach Kongruencje stopnia Gra w orªa i reszk przez telefon Zastosowania arytmetyki modulo m do rozkªadu liczb Wzory skróconego mno»enia Metoda ρ rozkªadu na czynniki Metoda faktoryzacji Fermata Bazy rozkªadu

4 10 Logarytm dyskretny Poj cie logarytm dyskretny System DiegoHellmana uzgadniania klucza System kryptograczny Masseya-Omury System ElGamala Protokoªy o zerowej wiedzy i przekazy nierozró»nialne Kolorowanie mapy Logarytm dyskretny Przekazy nierozró»nialne Dowód faktoryzacji

5 Rozdziaª 4 Macierze szyfruj ce System kryptograczny, który rozwa»ymy w tym rozdziale zostaª zaproponowany przez Lester'a Hill'a w 1929 roku. System ten, jak za chwil zobaczymy staª si przeªomem w kryptograi, poniewa» jest to historycznie pierwszy system, który szyfruje wieloliterowe jednostki tekstu i nie wymaga przy tym skomplikowanego klucza. Podstawow ide jest tu algebra liniowa, a wªa±ciwie teoria moduªów nad Z N. 4.1 Algebra liniowa modulo N Przypuszczamy,»e dany jest 26-literowy (lub, ogólnie, N-literowy) alfabet, w którym uto»samiamy litery i liczby tak, jak dotychczas. Jako jednostki tekstu wybieramy n-gramy, czyli bloki n literowe. Poniewa» uogólnienie jest proste, wi c ograniczymy si do przypadków, gdy n = 2 lub n = 3. Ka»dy digram przedstawiamy jako wektor o dwóch wspóªrz dnych. Dokªadnie, blok x liter xy przedstawiamy jako. Na przykªad, digramowi ON odpowiada y 14 wektor. Podobnie uto»samiamy trigramy i wektory o trzech wspóª- 13 rz dnych, xyz, to ( x y z )T itd. Jak wiadomo, ka»demu wektorowi zaczepionemu w prostok tnym ukªadzie wspóªrz dnych odpowiada punkt ko«ca tego wektora. Zatem mo»emy tu wprowadzi prostok tny ukªad wspóªrz dnych, tyle»e nie b dzie to R n, ale Z n 26 lub ogólnie Z n N. Ka»demu n-gramowi odpowiada wi c punkt na (sko«- czonej) pªaszczy¹nie anicznej. 41

6 Teraz, gdy przedstawili±my ju» nasze n-gramy jako wektory b d¹ punkty na pªaszczy¹nie anicznej, mo»emy wykorzysta przeksztaªcenia ró»nowarto±ciowe pªaszczyzny jako funkcje szyfruj ce. W szczególno±ci mo»emy tu wykorzysta wiadomo±ci z algebry liniowej i anicznej. Przypomnijmy wi c,»e dowolne przeksztaªcenie liniowe (homomorzm) f ma swoj reprezentacj macierzow, czyli tak macierz A,»e dla dowolnego wektora X mamy f(x) równe AX. Macierz A otrzymujemy ((w) przypadku, gdy n = 2) przeksztaªcaj c przez f generatory oraz a nast pnie ukªadaj c macierz z obrazów. Je±li f jest ró»nowarto±ciowe (jest monomorzmem), to odwzorowanie odwrotne do f jest reprezentowane przez macierz odwrotn do A. Podamy teraz prosty algorytm na obliczenie macierzy odwrotnej do A. Jest to znany algorytm eliminacji Gaussa. Jest on te» podstaw kryptoanalizy systemów opartych na macierzach. W celu obliczenia macierzy odwrotnej do A, ukªadamy najpierw macierz (A I), gdzie I jest macierz jednostkow. Nast pnie stosujemy elementarne przeksztaªcenia wierszy: 1. pomno»enie wiersza przez liczb odwracaln modulo N, 2. zamiana dwóch wierszy, 3. dodanie do jednego wiersza kombinacji liniowej pozostaªych, Macierz A tak aby dosta macierz jednostkow I. Oczywi±cie, w tym samym czasie jest przeksztaªcana druga cz ± macierzy (A I). Gdy ju» to osi gniemy, macierz po prawej stronie I b dzie macierz odwrotna do A. Opisany algorytm mo»na te» stosowa dla macierzy nieodwracalnej. Wtedy nie b dziemy jednak w stanie doprowadzi lewej strony do postaci macierzy jednostkowej. Dla przykªadu, obliczymy macierz odwrotn do ), gdzie wspóªczynniki s z Z ( formujemy macierz (A I) mno»ymy pierwszy wiersz przez 3 = razy odejmujemy pierwszy wiersz od drugiego 42

7 mno»ymy drugi wiersz przez 5 1 = razy odejmujemy drugi wiersz od pierwszego Zatem A 1 =. Zastosujemy teraz eliminacj Gaussa, aby znale¹ macierz odwrotn do B = Otrzymujemy

8 Ostatecznie mamy B 1 = By nie robi nic,,na darmo warto jest wiedzie, kiedy dana macierz jest odwracalna. Mówi o tym nast puj ce twierdzenie. 4.2.Twierdzenie. Dla dowolnej macierzy A o wspóªczynnikach w Z N nast puj ce warunki s równowa»ne: (i) NWD(det A, N) = 1; (ii) A ma macierz odwrotn ; (iii) je±li x i y nie s jednocze±nie równe zeru, to A x y 0 ; 0 (iv) A okre±la odwzorowanie wzajemnie jednoznaczne. 4.2 Szyfry Hill'a Przedstawimy tu dokªadnie metod szyfrowania, deszyfrowania oraz kryptoanalizy systemu Hill'a dla macierzy 2 2. Szyfrowanie wygl da nast puj co: 1. Wybieramy macierz A o wspóªczynnikach caªkowitych odwracaln modulo Grupujemy tekst jawny w digramy. Je±li liczba liter w tek±cie nie jest podzielna przez 2, dodajemy na ko«cu tekstu cokolwiek. x 3. Ka»dy utworzony wektor p = tekstu jawnego mno»ymy przez y macierz A i wektory Ap ustawiamy po kolei w tekst zaszyfrowany. 4.3.Przykªad. Macierz szyfruj c jest WAMY Zaszyfrujemy tekst UKRY- 0 3

9 Grupujemy najpierw nasz tekst w jednostki dwuliterowe i otrzymujemy pi wektorów 20, 10 17, 24 22, (4.1) 24 Po pomno»eniu tych wektorów przez nasz macierz szyfruj c otrzymujemy ,,, co po podstawieniu odpowiedników literowych daje kryptotekst oenuwaiu. Poniewa» w opisanej powy»ej metodzie szyfrowania wykorzystali±my digramy jako jednostki tekstu, powy»sza metoda szyfrowania nazywa si 2 szyfrem Hill'a. Je±li nasz tekst podzielimy na jednostki n-literowe i do szyfrowania u»yjemy macierzy n n, to otrzymamy nszyfr Hill'a. Uwagi. 1) Nasza macierz szyfruj ca A wcale nie musi mie wspóªczynników z Z 26. Wystarczy,»e po otrzymaniu wektorów zaszyfrowanego tekstu we¹miemy ich wspóªczynniki modulo 26. Macierz A musi jednak by odwracalna modulo 26. 2) Zamiast mno»y ka»dy wektor z (4.1) przez macierz A mo»emy od razu pomno»y A przez macierz ,,zªo»on z tych wektorów. Otrzymana macierz b dzie macierz, której kolumnami s wektory tekstu zaszyfrowanego. Deszyfrowanie. eby rozszyfrowa szyfr Hill'a, u»ywamy macierzy odwrotnej do macierzy szyfruj cej. Dokªadnie, je±li c = jest c1 digramem tekstu zaszyfrowanego, to A 1 c jest odpowiadaj cym mu digramem tekstu jawnego. 4.4.Przykªad. Rozkodujemy 2szyfr Hilla qilyfsnnpajguw zaszyfrowany za pomoc macierzy 9 15 A = c 2

10 Stosuj c opisany w 4.1 algorytm na znalezienie macierzy odwrotnej do A znajdujemy A 1 = Nast pnie mno» c A 1 przez macierz digramów zaszyfrowanego tekstu otrzymujemy =, co daje nam tekst UWAZAJ NA SLONIA. Šamanie. Okazuje si,»e gdy znajdziemy n odpowiadaj cych sobie n gramów, to b dziemy te» w stanie znale¹ i macierz deszyfruj c. By to zrobi mo»na wykorzysta podobny do opisanego w 4.1 algorytm znajdywania macierzy odwrotnej. Opiszemy go, trzymaj c si naszej dotychczasowej zasady, dla digramów. Dokªadnie, je±li mamy wektory tekstu jawnego ( p 1 oraz ) c T p 2 oraz odpowiadaj ce im wektory c 1 i c 2, to tworzymy macierz 1 p T 1 c T 2 p T, 2 której wierszami s wspóªrz dne wektorów tekstu zaszyfrowanego, po których nast puj wspóªrz dne odpowiadaj cych im wektorów tekstu jawnego. Nast pnie przeksztaªcamy otrzyman macierz stosuj c elementarne operacje na wierszach tak, aby po lewej stronie otrzyma macierz jednostkow. To co pojawi si po prawej stronie jest transponowan macierz deszyfruj c. 4.5.Przykªad. Rozszyfrujemy wiadomo± hmrzsewcrnwfnncc wiedz c,»e zaczyna si ona od sªowa DEAR Wiemy,»e wektorom tekstu zaszyfrowanego i odpowiadaj wektory oraz. Zastosujemy teraz opisany algorytm do znalezienia 4 17 macierzy deszyfruj cej A tworzymy macierz ( c T 1 p T 1 c T 2 p T 2 mno»ymy pierwszy wiersz przez 15 = 7 1, 9 razy dodajemy pierwszy wiersz do drugiego, ), 46

11 mno»ymy drugi wiersz przez 7 1 = 15, razy dodajemy drugi wiersz do pierwszego Zatem A 1 =. Aby otrzyma tekst jawny, mno»ymy otrzyman 0 9 macierz deszyfruj c przez macierz zªo»on z digramów tekstu zaszyfrowanego. Otrzymujemy =, co nam daje tekst DEAR IKE SEND TANKS. Aby metoda ªamania szyfru podana w powy»szym przykªadzie zadziaªaªa, macierz zªo»ona z digramów tekstu zaszyfrowanego (lewa strona macierzy wyj±ciowej) musi by macierz odwracaln. Je±li tak nie jest, nasz algorytm si w pewnym momencie urywa i po lewej stronie nie mo»emy otrzyma macierzy jednostkowej. Co wtedy mo»na zrobi? Mo»emy szuka innych odpowiadaj cych sobie digramów. Je±li takiej mo»liwo±ci nie ma, staramy si uzyska jak najwi cej informacji na temat macierzy A 1 i rozwa»y kilka mo»liwo±ci. 4.6.Przykªad. Przypu± my,»e przechwycili±my wiadomo± wkncchssjh i wiemy,»e pierwszym sªowem jest GIVE. Nasz macierz wyj±ciow jest W = Nie mo»emy wykona ju» pierwszego kroku algorytmu, poniewa» ani 22 ani 13 nie s odwracalne modulo 26. Dlatego musimy zrezygnowa ze zwykªej drogi. By zebra troch informacji na temat A 1 stosujemy nasz algorytm modulo 13, czyli najpierw redukujemy wyrazy W modulo ( 13, ) a nast pnie 2 4 znajdujemy macierz deszyfruj c modulo 13. Jest ni. Zatem A 1 = + 13A 3 2 1, 47

12 gdzie macierz A 1 jest macierz zªo»on z zer i jedynek (16 mo»liwo±ci). Wiemy jednak,»e macierz A 1 jest odwracalna, wi c jej wyznacznik musi by liczb nieparzyst. To wyklucza 10 mo»liwo±ci. Nast pnie wykorzystujemy informacj,»e A 1 =, co nam pozostawia dwie mo»liwo±ci: oraz. Pierwsza macierz daje nam wiadomo± GIVE GHEMHP, co odrzucamy jako nieczyteln. Druga macierz daje nam wiadomo± GIVE THEM UP, co prawdopodobnie jest tekstem jawnym. W naszych przykªadach wykorzystali±my tylko macierze 2 2 i przy ªamaniu szyfrów zakªadali±my,»e nasz przeciwnik u»ywaª takich wªa±nie macierzy i alfabetu dwudziestosze±cioliterowego. Je»eli u»yte s macierze wy»szych rozmiarów, ªamanie szyfrów staje si trudniejsze, ale sama procedura ªamania jest identyczna. Zauwa»my,»e zbyt du»e rozmiary macierzy szyfruj cej te» nie s wskazane, poniewa» pocz tek tekstu zaszyfrowanego staje si wtedy szyfrem permutacyjnym, który mo»na zªama stosuj c analiz cz sto±ci wyst powania liter. 4.3 Aniczne przeksztaªcenia szyfruj ce Ogólniejsz form szyfrowania wektora digramu (ngramu) jest pomno»enie go najpierw przez pewn macierz A, a nast pnie dodanie staªego wektora b. Zatem, je±li przez c oznaczymy jednostk tekstu zaszyfrowanego, a przez p jednostk tekstu jawnego, to c = Ap + b. Przeksztaªcenie deszyfruj ce ma wtedy posta p = A 1 c b, gdzie b = A 1 b. Zauwa»my,»e macierz A musi by macierz odwracaln. eby zªama szyfr aniczny, wystarczy zna trzy odpowiadaj ce sobie digramy. Zaªó»my,»e digramom c 1, c 2 i c 3 tekstu zaszyfrowanego odpowiadaj digramy p 1, p 2 i p 3 tekstu jawnego. Mamy wtedy p 1 = A 1 c 1 + b p 2 = A 1 c 2 + b p 3 = A 1 c 3 + b. (4.2) 48

13 Odejmuj c trzecie równanie od pierwszego i drugiego. Otrzymujemy ukªad równa«(p 1 p 3 ) = A 1 (c 1 c 3 ) (p 2 p 3 ) = A 1 (c 2 c 3 ). Teraz traktujemy p 1 p 3 oraz p 2 p 3 jako digramy tekstu jawnego, a c 1 c 3 i c 2 c 3 jako digramy kryptogramu i stosuj c algorytm opisany w 4.2 znajdujemy A 1. Kiedy ju» znamy t macierz, z dowolnego równania ukªadu (4.2) obliczamy b. 49