WST P DO KRYPTOGRAFII Grzegorz Szkibiel Jesie«2012/13
Spis tre±ci 1 Kryptograa a steganograa 5 1.1 Steganograa........................... 6 1.2 Szyfry przestawieniowe...................... 8 1.3 Systemy kryptograczne..................... 9 2 Klasyczne metody szyfrowania 12 2.1 Szyfry cykliczne.......................... 12 2.2 Monoalfabetyczny szyfr Beauforta................ 13 2.3 Kody aniczne jednowymiarowe................. 14 2.4 Permutacje alfabetu....................... 15 2.5 Analiza cz sto±ci wyst powania liter............... 16 2.6 Homofony i nulle......................... 17 2.7 Jednostki dwuliterowe czyli digramy............... 18 2.8 Szyfr Playfaira.......................... 19 2.9 Podwójny szyfr Playfaira..................... 20 2.10 szyfr Delastelle'a......................... 21 2.11 Jednostki wieloliterowe...................... 22 2.12 Szyfry polialfabetyczne...................... 22 2.13 Ša«cuch szyfrów i DES...................... 27 3 Maszyny szyfruj ce 33 3.1 Zasada dziaªania......................... 33 3.2 Jak zªamano szyfr ENIGMY................... 37 4 Macierze szyfruj ce 42 4.1 Algebra liniowa modulo N.................... 42 4.2 Szyfry Hill'a............................ 45 4.3 Aniczne przeksztaªcenia szyfruj ce............... 49 2
5 Pakowanie plecaka 51 5.1 Postawienie problemu....................... 51 5.2 Szybko rosn ce ci gi....................... 52 5.3 Kryptosystem oparty na problemie pakowania plecaka............. 54 6 Systemy z publicznym kluczem 57 6.1 Numeryczna funkcja jednokierunkowa.............. 58 6.2 Funkcje skrótu.......................... 59 6.3 poufno± i autentyczno±...................... 59 6.4 Wymiana kluczy......................... 61 6.5 2-1 funkcje jednokierunkowe................... 61 7 System RSA 63 7.1 Rozkªad liczb na czynniki.................... 63 7.2 Liczby wybrane losowo...................... 64 7.3 Zasada dziaªania systemu RSA................. 65 7.4 Wpadka systemowa wspólny moduª............... 66 7.5 Wpadka systemowa niski wykªadnik............... 66 8 Teorio-liczbowe podstawy RSA 68 8.1 Systemy pozycyjne........................ 68 8.2 Iterowane podnoszenie do kwadratu............... 70 8.3 Twierdzenie Eulera i Maªe Twierdzenie Fermata.................... 70 8.4 liczby pseudo-pierwsze...................... 72 8.5 Chi«skie twierdzenie o resztach................. 75 8.6 Kongruencje stopnia 2...................... 78 8.7 Gra w orªa i reszk przez telefon................. 81 9 Zastosowania arytmetyki modulo m do rozkªadu liczb 84 9.1 Wzory skróconego mno»enia................... 84 9.2 Metoda ρ rozkªadu na czynniki................. 86 9.3 Metoda faktoryzacji Fermata................... 88 9.4 Bazy rozkªadu........................... 89 3
10 Logarytm dyskretny 93 10.1 Poj cie logarytm dyskretny................... 93 10.2 System DiegoHellmana uzgadniania klucza........................ 94 10.3 System kryptograczny Masseya-Omury............ 96 10.4 System ElGamala......................... 97 11 Protokoªy o zerowej wiedzy i przekazy nierozró»nialne 98 11.1 Kolorowanie mapy........................ 98 11.2 Logarytm dyskretny....................... 100 11.3 Przekazy nierozró»nialne..................... 101 11.4 Dowód faktoryzacji........................ 103 4
Rozdziaª 5 Pakowanie plecaka 5.1 Postawienie problemu Jak zauwa»yli±my, szyfry oparte na rachunku macierzowym nie s przera»aj co trudne do zªamania. Zdecydowanie trudniejszy jest kryptosystem oparty na nast puj cym problemie pakowania plecaka: Zaªó»my,»e musimy zabra ze sob na wycieczk w góry wiele,,potrzebnych przedmiotów. Jednak»e do dyspozycji mamy jedynie plecak o ograniczonej pojemno±ci S. Przedmioty maj obj to±ci a 1, a 2,..., a n, które po zsumowaniu daj obj to± wi ksz od S. Musimy zatem z czego± zrezygnowa. Jedynym kryterium jest tu tylko to, by plecak byª zapakowany optymalnie, tj. bierzemy tylko te przedmioty, których obj to±ci daj sum S. Co zatem wªo»y do plecaka? 5.1 Przykªad. Niech (a 1, a 2, a 3, a 4, a 5 ) = (2, 7, 8, 11, 12) oraz niech S = 21. Wówczas mamy a 1 + a 3 + a 4 = S oraz a 1 + a 2 + a 5 = S. Zatem zabieramy ze sob przedmioty pierwszy, trzeci i pi ty, lub pierwszy, drugi i szósty. Powy»szy problem mo»na sformuªowa nast puj co: Dla danych liczb naturalnych a 1, a 2,..., a n oraz S, znale¹ taki ci g x 1, x 2,..., x n zªo»ony z zer i jedynek,»eby zachodziªa równo± a 1 x 1 + a 2 x 2 + + a n x n = S. (5.1) Rozwa»aj c ci g z przykªadu 5.1 dostajemy dwa rozwi zania: x 1 = x 3 = x 4 = 1, x 2 = x 5 = 0 oraz 51 x 1 = x 2 = x 5 = 1, x 3 = x 4 = 0.
Aby znale¹ ci g x 1, x 2,..., x n, dla którego (5.1) zachodzi musimy wykona co najwy»ej n dodawa«, jednak»eby rozwi za problem pakowania plecaka metod prób i bª dów, musimy sprawdzi wszystkie 2 n mo»liwo±ci. Oznacza to,»e rozwi zanie powy»szego problemu zajmuje O(2 n ) czasu. Najszybszy znany algorytm dziaªa w czasie O(2 n 2 ). Je±li n = 100, to komputer wykonuj cy 2 20 (procesor 1MHz) operacji na sekund potrzebuje na rozwi - zanie problemu pakowania plecaka czas rz du 2 30, czyli okoªo miliard sekund albo ponad 30 lat! Pewne warto±ci liczb a 1, a 2,..., a n zdecydowanie przy±pieszaj rozwi - zanie problemu pakowania plecaka. Na przykªad, je±li s to pot gi dwójki, to rozwi zanie sprowadza si do znalezienia rozwini cia liczby S w systemie dwójkowym. Rozwini cie to znajdujemy w czasie logarytmicznym stosuj c tzw.,,chciwy algorytm, który opiszemy poni»ej. 5.2 Szybko rosn ce ci gi Ci g liczb naturalnych a 1, a 2,..., a n nazywamy szybko rosn cym, je±li j 1 a i < a j i=1 dla j {2, 3,..., n}. Przykªadem szybko rosn cego ci gu jest 2, 3, 7, 14, 27. Niech S = 37. Wówczas,,chciwy algorytm dziaªa nast puj co: Zawsze bierzemy najwi kszy przedmiot jaki si mie±ci. Tak wi c x 5 = 1, ale x 4 = 0 poniewa» 27 + 14 > 37. x 3 = 1 gdy» 27 + 7 < 37. Podobnie, x 2 = 1 oraz x 1 = 0. Ogólnie, je±li mamy szybko rosn cy ci g a 1, a 2,..., a n, to wyznaczamy x n, x n 1,..., x 1 korzystaj c ze wzorów { 1, je±li S a n x n = 0, je±li S < a n oraz x j = { 1, je±li S n i=j+1 x ia i a j 0, je±li S n i=j+1 x ia i < a j dla j {n 1, n 2,..., 1}. Problem pakowania plecaka dla ci gów szybko rosn cych mo»e by wi c rozwi zany bardzo szybko. Poni»szy system kryptograczny MerklegoHell- 52
mana, który do roku 1982 byª uwa»any za najlepszy system o tzw. kluczu publicznym opiera si na,,zamianie problemu trudnego na problem ªatwy. Zaªó»my,»e a 1, a 2,..., a n jest szybko rosn cym ci giem liczb naturalnych. Niech m b dzie liczb naturaln wi ksz od 2a n. We¹my dowoln liczb caªkowit nieujemn w wzgl dnie pierwsz z m i utwórzmy ci g b 1, b 2,..., b n bior c wa 1, wa 2,..., wa n modulo m. Je»eli b 1, b 2,..., b n nie jest ci giem szybko rosn cym, to»eby rozwi za problem pakowania plecaka n i=1 x ib i = S, nie mo»emy u»y chciwego algorytmu. Jednak»e, je±li znamy w 1, to mo»emy rozwi za problem pakowania plecaka n x i a i = S 0, (5.2) i=1 gdzie S 0 Sw 1 (mod m). Kiedy mamy ju» rozwi zany problem (5.2), to wiemy,»e n n w 1 S = w 1 x i b i x i a i (mod m). i=1 i=1 Powy»sz procedur opiszemy na przykªadzie. 5.2 Przykªad. Rozwa»my szybko rosn cy ci g (a 1, a 2, a 3, a 4, a 5 ) = (3, 5, 9, 20, 44), m = 89 oraz w = 67. Zauwa»my,»e w 1 = 4. Wówczas (b 1, b 2, b 3, b 4, b 5 ) = (23, 68, 69, 5, 11). eby rozwi za problem pakowania plecaka 23x 1 + 68x 2 + 69x 3 + 5x 4 + 11x 5 = 84, mno»ymy obie strony powy»szego równania przez 4 i redukujemy modulo 89 otrzymuj c 3x 1 + 5x 2 + 9x 3 + 20x 4 + 44x 5 = 69. Teraz rozwi zujemy ªatwo powy»szy problem pakowania plecaka otrzymuj c x 1 = x 3 = 0; x 2 = x 4 = x 5 = 1. Zatem nasz pierwotny problem ma rozwi zanie 68 + 5 + 11 = 84. 53
5.3 Kryptosystem oparty na problemie pakowania plecaka System kryptograczny oparty na problemie pakowania plecaka dziaªa nast puj co. Wybieramy szybko rosn cy ci g a 1, a 2,..., a n, liczb m > 2a n oraz liczb w wzgl dnie pierwsz z m. Nast pnie obliczamy wyrazy ci gu b 1, b 2,..., b n, który jest kluczem szyfruj cym. W celu zaszyfrowania wiadomo±ci, zamieniamy j najpierw na ci g bitów, zgodnie z poni»sz tabelk. Nast pnie otrzymany ci g zer i jedynek dzielimy na bloki dªugo±ci n. Dla ka»dego bloku x 1, x 2,..., x n, obliczamy sum n i=1 x ib i i otrzymany ci g sum wysyªamy jako tekst zaszyfrowany, lub w omówiony wcze±niej z adresatem sposób, zamieniamy liczby na bloki liter i nast pnie wysyªamy. litera odpowiednik litera odpowiednik A 00000 N 01101 B 00001 O 01110 C 00010 P 01111 D 00011 Q 10000 E 00100 R 10001 F 00101 S 10010 G 00110 T 10011 H 00111 U 10100 I 01000 V 10101 J 01001 W 10110 K 01010 X 10111 L 01011 Y 11000 M 01100 Z 11001 Dla przykªadu zaszyfrujemy wiadomo± REPLY IMMEDIATELY u»ywaj c ci gu C = (2002, 3337, 2503, 2170, 503, 172, 3347, 855). Najpierw zamieniamy litery na bity i otrzymany ci g dzielimy na bloki 8-bitowe. Jak zwykle, ostatni blok uzupeªniamy dowolnie, aby tak jak pozostaªe miaª 8 bitów. 10001001 00011110 10111100 00100001 10001100 00100000 11010000 00001001 10010001 01111000 54
W kolejnym kroku obliczamy odpowiednie sumy wyrazów ci gu C otrzymuj c kryptogram (3360, 3192, 7350, 3358, 2677, 7509, 1358, 5027, 8513). (5.3) Na przykªad dodajemy 2002, 503 i 855»eby otrzyma 3360. Je±li chcemy otrzyma kryptogram zapisany alfabetycznie, mo»emy zamieni liczby z systemu dziesi tnego na pozycyjny o podstawie 26. Wtedy cyframi s pozycje liter, wi c zamiast liczb dziesi tnych mamy bloki liter. Zauwa»my,»e suma wszystkich elementów ci gu C, to 14889 i jest to liczba mniejsza od 26 3. Mo-»emy wi c ka»d liczb kryptogramu (5.3) zast pi blokiem trzech liter. Na przykªad, 7350 = 10 26 2 + 22 26 + 18, wi c zast pujemy j blokiem KWS. Ostatecznie otrzymujemy EZGJEE KWSEZE DYZDSH LCVCAG HLJMPL. Zauwa»my teraz,»e klucz szyfruj cy mo»e by podany do publicznej wiadomo±ci: Mamy tekst jawny oraz kryptogram wªa±nie otrzymany, ale czy jeste±my w stanie odczyta inny kryptogram, np. lub w postaci numerycznej, NCZKQL KENNCO LWMKEN (8865, 7187, 6877, 8854, 8020, 6877), (5.4) zaszyfrowany tym samym kluczem? W sumie, to nawet nie wiemy od razu, ile liter jest w tek±cie jawnym. Powy»sza idea prowadzi do powstania sieci korespondentów. Ka»dy u»ytkownik sieci ma swój prywatny klucz rozszyfrowuj cy, a klucze szyfruj ce mog by umieszczone w swoistej,,ksi»ce telefonicznej, która jest dostarczona ka»demu u»ytkownikowi sieci. Ide t omówimy w nast pnym rozdziale, a teraz poka»emy jak mo»na ªatwo rozszyfrowa szyfr (5.4). Do rozszyfrowania potrzebujemy oryginalnego ci gu szybko rosn cego, jakim jest (2, 11, 14, 29, 58, 119, 241, 480), liczby m = 3837 oraz w 1 = 23. Znajdujemy kolejno: 8865 23 534 (mod 3837) 7187 23 310 (mod 3837) 6877 23 854 (mod 3837) 8854 23 281 (mod 3837) 8020 23 284 (mod 3837), 55
a nast pnie 534 = 0 2 + 1 11 + 1 14 + 1 29 + 0 58 + 0 119 + 0 241 + 1 480 310 = 0 2 + 1 11 + 0 14 + 0 29 + 1 58 + 0 119 + 1 241 + 0 480 854 = 0 2 + 0 11 + 1 14 + 0 29 + 0 58 + 1 119 + 1 241 + 1 480 281 = 0 2 + 1 11 + 0 14 + 1 29 + 0 58 + 0 119 + 1 241 + 0 480 284 = 0 2 + 0 11 + 1 14 + 1 29 + 0 58 + 0 119 + 1 241 + 0 480. Zatem wiadomo± (5.4) w wersji binarnej, to 01110 00101 00101 00010 01110 10100 10001 10010 00100 111, co daje wiadomo± jawn OFF COURSE. Trzy ostatnie bity zostaªy dodane przy szyfrowaniu, aby dopeªni blok. Zauwa»my,»e je»eli dªugo± ci gu jest równa 5, to opisany szyfr jest bardziej skomplikowan wersj klasycznego szyfru permutacyjnego - litera alfabetu jest zast piona liczb w sposób wzajemnie jednoznaczny. W opisanym przykªadzie liczb, lub blokiem trzech liter zast pujemy osiem bitów tekstu jawnego, co jest niepeªnym digramem. W ten sposób istotnie zmieniamy dotychczas poznane reguªy szyfrowania, gdzie dªugo± szyfrowanego bloku liter byªa zawsze liczb naturaln. W roku 1983 A. Shamir opublikowaª prac, która zdyskwalikowaªa system kryptograczny oparty na problemie pakowania plecaka jako system bezpieczny. Otó» okazaªo si,»e szyfr ten mo»na zªama w czasie wielomianowym. Po roku 1983 starano si utrudni szyfr, ale poniewa» ka»da próba ko«czyªa si szybko podobn publikacj, szyfry oparte na problemie pakowania plecaka nie maj dzi± du»ego powodzenia, mimo»e niektóre z nich w dalszym ci gu s nie zªamane. 56