Kryptografia. Wykład z podstaw klasycznej kryptografii z elementami kryptografii kwantowej. dla studentów IV roku. Ryszard Tanaś

Kryptografia Wykład z podstaw klasycznej kryptografii z elementami kryptografii kwantowej dla studentów IV roku Ryszard Tanaś Zakład Optyki Nieliniowej, Instytut Fizyki UAM tanas@kielich.amu.edu.pl Serdecznie witam! Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 0

Literatura M. Kutyłowski i W. B. Strothmann Kryptografia: Teoria i praktyka zabezpieczania systemów komputerowych, Wyd. READ ME, Warszawa, 1999, drugie wydanie dostępne w księgarniach B. Schneier Kryptografia dla praktyków, WNT, Warszawa, 2002, wydanie drugie R. Wobst, Kryptologia. Budowa i łamanie zabezpieczeń, RM, Warszawa, 2002 A. J. Menezes, P. C. van Oorschot, S. A. Vanstone Kryptografia stosowana, WNT, Warszawa, 2005; Handbook of Applied Cryptography, CRC Press, 1997, New York, dostępna w Internecie W. Stein An Explicit Approach to Elementary Number Theory http://modular.fas.harvard.edu/edu/fall2001/124/lectures/ S. J. Lomonaco A quick glance at quantum cryptography, LANL quant-ph archive, quant-ph/9811056, 1998 S. J. Lomonaco A talk on quantum cryptography or how Alice outwits Eve, LANL quantum-ph archive, quantph/0102016, 2001 N. Gisin, G. Ribordy, W. Titel, H. Zbinden Quantum cryptography, LANL quant-ph archive, quant-ph/0101098, 2001 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 1

Terminologia Kryptografia dziedzina wiedzy zajmująca się zabezpieczaniem informacji (szyfrowanie) Kryptoanaliza łamanie szyfrów Kryptologia dział matematyki, który zajmuje się podstawami metod kryptograficznych (kryptografia + kryptoanaliza) Główne postacie Alicja nadawca informacji Bolek odbiorca informacji Ewa podsłuchująca kanał przesyłowy i usiłująca przechwycić informację przeznaczoną dla Bolka Ewa Alicja = Bolek Szyfrowanie i deszyfrowanie tekst jawny M szyfrowanie = E K (M) = C kryptogram C deszyfrowanie = D K (C) = M tekst jawny M Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 2

Algorytmy symetryczne klucz do szyfrowania i deszyfrowania jest ten sam (klucz tajny) DES, IDEA, AES asymetryczne klucze do szyfrowania i deszyfrowania są różne (klucz jawny albo publiczny RSA, ElGamal) Przykład kryptogramu tekst jawny Wykład z podstaw klasycznej kryptografii z elementami kryptografii kwantowej kryptogram (GnuPG) hqeoa+npwcy1l0+veap+irptozmtpwbinxv5kow5sbc86eaelztrexrzuhohenpo ohzkgiobh17rvu46hzushjehyh74ri1lv0klhbtboliclvzfdtbwfftzr4j4kdt7 n7kgmrjcxwokuzivcdmrrs9jvcbgfydyieq/jka3vvpgu4nt3aeyqiz+xkrprvse AJ59+4YDc1sbccJdu6nyRMJ2rcYH+SoS+BDgUmkopkG2KCjnQHArUWGq9N1v3ULH drfkwl4kgok2eqgtfaqxjgxqyk41ms5noozhz8nhgj4n9ve/th/catiwglqyxokt 4J4xOJ5wx6rjNIK5MRl37XxWr3D8xDwWBGtKFGLllcV/0ogBymNlqBWZB6qi/xZo cldpwr94wmivpkxwsr5hzhu06k6d7l/kgsarossdwpott6c/21epczvuvrfnq8pm lptxqvuhvszngcp599pjckgltxdqdyv0xjd8fevetx2pfhxdwmormdeg2qgfwsca z0hvf2t7b+7lfqsk+tpi3+yqmaoxk+xmaypz =vrax Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 3

Podstawowe zastosowania ochrona danych dane na dyskach przesyłanie danych poprzez linie narażone na podsłuch uwierzytelnianie dokumentów i osób ochrona prywatności korespondencji elektronicznej elektroniczny notariusz podpis cyfrowy pieniądze cyfrowe wybory elektroniczne Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 4

Jak to działa: algorytm symetryczny 1. Alicja i Bolek uzgadniają algorytm i klucz jakich będą używać 2. Alicja szyfruje tekst używając uzgodnionego algorytmu i klucza otrzymując kryptogram 3. Alicja przesyła kryptogram do Bolka 4. Bolek deszyfruje kryptogram używając tego samego algorytmu i klucza otrzymując tekst jawny Problemy: klucz musi być przekazywany w sposób tajny jeśli Ewa wejdzie w posiadanie klucza to może deszyszyfrować wszystko, a nawet podszyć się pod Alicję jeśli każda para korespondentów w sieci dysponuje własnym kluczem to liczba kluczy szybko rośnie dla kogoś kto utrzymuje kontakt z wieloma osobami Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 5

Jak to działa: algorytm asymetryczny 1. Alicja i Bolek uzgadniają kryptosystem z kluczem publicznym, którego będą używać 2. Bolek przesyła Alicji swój klucz publiczny 3. Alicja szyfruje wiadomość kluczem publicznym Bolka i przesyła kryptogram do Bolka 4. Bolek deszyfruje kryptogram używając swojego klucza prywatnego lub użytkownicy sieci uzgadniają kryptosystem i przesyłają swoje klucze publiczne do bazy na znanym serwerze i wtedy protokół wygląda jeszcze prościej 1. Alicja i Bolek pobierają klucze publiczne z serwera 2. Alicja szyfruje wiadomość kluczem publicznym Bolka i wysyła kryptogram do Bolka 3. Bolek deszyfruje wiadomość Alicji używając własnego klucza prywatnego Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 6

Kryptosystem hybrydowy 1. Bolek wysyła do Alicji swój klucz publiczny 2. Alicja generuje losowy klucz K dla obecnej sesji, szyfruje go kluczem publicznym Bolka i wysyła kryptogram klucza E B (K) do Bolka 3. Bolek deszyfruje kryptogram klucza używając swojego klucza prywatnego, D B (E B (K))=K, otrzymując klucz K dla obecnej sesji 4. oboje używają klucza K i symetrycznego algorytmu do szyfrowania i deszyfrowania informacji przesyłanych w czasie tej sesji Uwagi: algorytmy symetryczne są szybsze niż algorytmy asymetryczne, co ma znaczenie przy przesyłaniu dużej ilości danych jeśli Ewa zdobędzie klucz K, to może go użyć do deszyfrowania jedynie aktualnej sesji, potem już jest bezużyteczny Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 7

Podpis cyfrowy: kryptosystem z kluczem publicznym 1. Alicja szyfruje dokument używając swojego klucza prywatnego, podpisując w ten sposób dokument 2. Alicja przesyła tak podpisany dokument do Bolka 3. Bolek deszyfruje dokument używając klucza publicznego Alicji, weryfikując w ten sposób podpis Alicji Uwagi: podpis jest prawdziwy; Bolek weryfikuje go deszyfrując kryptogram kluczem publicznym Alicji podpis nie może być sfałszowany; tylko Alicja zna jej klucz prywatny podpis nie może być przeniesiony do innego dokumentu podpisany dokument nie może być zmieniony; zmieniony dokument nie da się rozszyfrować kluczem publicznym Alicji podpis jest niezaprzeczalny; Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 8

Jednokierunkowe funkcje hashujące (skrótu) dla każdego X łatwo jest obliczyć H(X) H(X) ma taką samą długość dla wszystkich tekstów X dla zadanego Y znalezienie takiego X, że H(X) = Y jest praktycznie niemożliwe dla zadanego X trudno znaleźć X takie, że H(X) = H(X ) Elektroniczny notariusz dla danego dokumentu X obliczamy wartość H(X) i publikujemy lub deponujemy u notariusza wartość H(X) chcąc udowodnić prawdziwość dokumentu X przedstawiamy dokument, obliczamy H(X) i porównujemy z opublikowaną wcześniej wartością Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 9

Szyfr Cezara szyfr podstawieniowy monoalfabetyczny ABCDEFGH I J KLMNOPRS T UVWXYZ DEFGH I JKLMNOPRSTUVWXY Z ABC tekst jawny= KRYP T OGRAFI A kryptogram= NUBTWS J UD I LD Szyfr Vigenère a A B C D E F G H I J K L M N O P R S T U V W X Y Z B C D E F G H I J K L M N O P R S T U V W X Y Z A C D E F G H I J K L M N O P R S T U V W X Y Z A B D E F G H I J K L M N O P R S T U V W X Y Z A B C E F G H I J K L M N O P R S T U V W X Y Z A B C D F G H I J K L M N O P R S T U V W X Y Z A B C D E G H I J K L M N O P R S T U V W X Y Z A B C D E F H I J K L M N O P R S T U V W X Y Z A B C D E F G I J K L M N O P R S T U V W X Y Z A B C D E F G H J K L M N O P R S T U V W X Y Z A B C D E F G H I K L M N O P R S T U V W X Y Z A B C D E F G H I J L M N O P R S T U V W X Y Z A B C D E F G H I J K M N O P R S T U V W X Y Z A B C D E F G H I J K L N O P R S T U V W X Y Z A B C D E F G H I J K L M O P R S T U V W X Y Z A B C D E F G H I J K L M N P R S T U V W X Y Z A B C D E F G H I J K L M N O R S T U V W X Y Z A B C D E F G H I J K L M N O P S T U V W X Y Z A B C D E F G H I J K L M N O P R T U V W X Y Z A B C D E F G H I J K L M N O P R S U V W X Y Z A B C D E F G H I J K L M N O P R S T V W X Y Z A B C D E F G H I J K L M N O P R S T U W X Y Z A B C D E F G H I J K L M N O P R S T U V X Y Z A B C D E F G H I J K L M N O P R S T U V W Y Z A B C D E F G H I J K L M N O P R S T U V W X Z A B C D E F G H I J K L M N O P R S T U V W X Y klucz = S Z Y MPANS SZYM tekst = KRY PTOGRAF I A krypt.= CPWC I OU I SEGM Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 10

Operacja xor i one-time pad szyfr Vernama 0 0 = 0 0 1 = 1 1 0 = 1 1 1 = 0 tekst jawny jest ciągiem bitów M=m 1, m 2,...,m n wybieramy losowy ciąg bitów K=k 1, k 2,...,k n, który stanowi klucz szyfrowanie polega na wykonaniu operacji xor bit po bicie; otrzymujemy w ten sposób losowy ciąg bitów stanowiących kryptogram C=c 1, c 2,..., c n, gdzie c i = m i k i operacja ta jest odwracalna; ponieważ a a = 0 i a b b = a, zatem c i k i = (m i k i ) k i = m i kryptogram jest losowym ciągiem n bitów Jeśli k i = m i to c i = 0, w przeciwnym wypadku c i = 1; prawdopodobieństwo, że c i = 0 jest równe 1 niezależnie od 2 wartości m i, zatem i-ty bit kryptogramu jest losowy szyfr ten jest nie do złamania bezpieczeństwo doskonałe nie można uzyskać żadnej informacji o tekście jawnym bez znajomości klucza Ponieważ c i = m i k i implikuje k i = m i c i, a kryptogram c 1, c 2,..., c n odpowiada każdemu możliwemu tekstowi jawnemu z takim samym prawdopodobieństwem, to na podstawie samego kryptogramu nie wiemy nic o tekście jawnym Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 11

Problemy: klucz musi być wcześniej uzgodniony przez Alicję i Bolka klucz musi być wybrany naprawdę losowo, co nie jest łatwe klucz musi być przechowywany w bezpieczny sposób klucz musi być co najmniej tak długi jak szyfrowany tekst Przykład: tekst jawny = S Z Y F R binarnie = 01010011 01011010 01011001 01000110 01010010 klucz = 01110010 01010101 11011100 10110011 00101011 kryptogram = 00100001 00001111 10000101 11110101 01111001 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 12

DES Data Encryption Standard w 1981 r. cywilnych algorytm symetryczny przyjęty w USA jako standard do celów szczegóły algorytmu zostały opublikowane (podejrzenia o tylne drzwi) szyfruje bloki 64 bitowe (8 liter ASCII z bitem parzystości) klucze są efektywnie 56 bitowe (64 bity minus 8 bitów parzystości); obecnie uważa się, że taka długość klucza jest zbyt mała wejście 64 bitowy blok permutacja początkowa Etapy DES blok zostaje podzielony na lewą i prawą połowę po 32 bity każda 16 rund identycznych operacji opisanych funkcją f, w czasie których dane prawej połowy są przekształcane z użyciem klucza w czasie każdej rundy bity klucza są przesuwane, a następnie 48 bitowy podklucz jest wybierany z 56 bitowego klucza prawa część danych jest rozszerzana do 48 bitów za pomocą permutacji rozszerzającej a następnie podlega operacji xor z 48 bitami podklucza wynik wysyłany jest do 8 S-boksów, które produkują nowe 32 bity Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 13

otrzymane 32 bity są permutowane w P-boksie wynik tych 4 operacji stanowiących funkcję f podlega operacji xor z lewą połową i staje się nową prawą połową stara prawa połowa staje się nową lewą połową, i tak 16 razy permutacja końcowa kryptogram Jeśli L i i R i są lewą i prawą połową dla i-tej rundy, K i jest podkluczem dla tej rundy, to tej rundy mamy L i = R i 1 R i = L i 1 f(r i 1, K i ) deszyfrowanie DES-em polega na przeprowadzeniu tych samych operacji co dla szyfrowania tylko podklucze występują w odwrotnej kolejności Ponieważ R i 1 = L i L i 1 = R i f(r i 1, K i ) = R i f(l i, K i ) to znając L i, R i oraz K i możemy obliczyć L i 1 i R i 1. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 14

tekst jawny 64 permutacja początkowa 64 L 0 R 0 32 48 K 1 32 32 f L 1 R 1 K 2 f L 15 R 15 K 16 f 32 32 R 16 L 16 64 permutacja końcowa 64 kryptogram Rysunek 1: Schemat działania DES Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 15

L i 1 R i 1 klucz 32 32 rotacja rotacja 28 28 permutacja rozszerzająca permutacja zwężająca 48 48 K i S-boksy (S 1, S 2,...,S 8 ) 32 permutacja 32 32 28 28 L i R i klucz Rysunek 2: Jedna runda DES Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 16

Elementy DES permutacje początkowa i końcowa nie mają znaczenia kryptograficznego (ułatwiają operowanie danymi w bajtach) IP 58 50 42 34 26 18 10 2 60 52 44 36 28 20 12 4 62 54 46 38 30 22 14 6 64 56 48 40 32 24 16 8 57 49 41 33 25 17 9 1 59 51 43 35 27 19 11 3 61 53 45 37 29 21 13 5 63 55 47 39 31 23 15 7 IP 1 40 8 48 16 56 24 64 32 39 7 47 15 55 23 63 31 38 6 46 14 54 22 62 30 37 5 45 13 53 21 61 29 36 4 44 12 52 20 60 28 35 3 43 11 51 19 59 27 34 2 42 10 50 18 58 26 33 1 41 9 49 17 57 25 Tablica 1: Permutacja początkowa IP i końcowa IP 1 (tablice te czytamy od lewej do prawej, od góry w dół odczytując kolejne bity wyniku, a numery umieszczone na kolejnych pozycjach tabeli oznaczają numer bitu na wejściu, np. bit 58 wejścia jest pierwszym bitem wyjścia, itd.) generowanie podkluczy z 64 bitowego losowego klucza otrzymuje się 56 bitowy ignorując co ósmy bit i dokonując permutacji KP KP 57 49 41 33 25 17 9 1 58 50 42 34 26 18 10 2 59 51 43 35 27 19 11 3 60 52 44 36 63 55 47 39 31 23 15 7 62 54 46 38 30 22 14 6 61 53 45 37 29 21 13 5 28 20 12 4 Tablica 2: Permutacja klucza 56 bitowy klucz dzieli się na dwie połowy po 28 bitów połowy są przesuwane cyklicznie w lewo o 1 lub 2 bity w zależności od rundy wg reguły Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 17

runda 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 przesunięcie 1 1 2 2 2 2 2 2 1 2 2 2 2 2 2 1 Tablica 3: Przesunięcia połówek klucza permutacja z kompresją CP (permutowany wybór) daje 48 bitów podklucza CP 14 17 11 24 1 5 3 28 15 6 21 10 23 19 12 4 26 8 16 7 27 20 13 2 41 52 31 37 47 55 30 40 51 45 33 48 44 49 39 56 34 53 46 42 50 36 29 32 Tablica 4: Permutacja zwężająca permutacja z rozszerzeniem rozszerza 32 bity R i do 48 bitów EP 32 1 2 3 4 5 4 5 6 7 8 9 8 9 10 11 12 13 12 13 14 15 16 17 16 17 18 19 20 21 20 21 22 23 24 25 24 25 26 27 28 29 28 29 30 31 32 1 S-boksy Tablica 5: Permutacja z rozszerzeniem wynik operacji xor na rozszerzonym R i i K i dzielony jest na 8 części po 6 bitów, z których każda przechodzi do oddzielnego S-boksu (S 1,...,S 8 ) 6 bitów wchodzących do S-boksu przekształcanych jest w 4 bity wyjściowe w specjalny sposób pierwszy i ostatni bit 6 bitów wejściowych daje liczbę dwubitową od 0 3 oznaczającą wiersz S-boksu, zaś bity 2 5 dają liczbę 4-bitową od 0 15, która odpowiada kolumnie tabeli. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 18

S 1 14 4 13 1 2 15 11 8 3 10 6 12 5 9 0 7 0 15 7 4 14 2 13 1 10 6 12 11 9 5 3 8 4 1 14 8 13 6 2 11 15 12 9 7 3 10 5 0 15 12 8 2 4 9 1 7 5 11 3 14 10 0 6 13 S 2 15 1 8 14 6 11 3 4 9 7 2 13 12 0 5 10 3 13 4 7 15 2 8 14 12 0 1 10 6 9 11 5 0 14 7 11 10 4 13 1 5 8 12 6 9 3 2 15 13 8 10 1 3 15 4 2 11 6 7 12 0 5 14 9 S 3 10 0 9 14 6 3 15 5 1 13 12 7 11 4 2 8 13 7 0 9 3 4 6 10 2 8 5 14 12 11 15 1 13 6 4 9 8 15 3 0 11 1 2 12 5 10 14 7 1 10 13 0 6 9 8 7 4 15 14 3 11 5 2 12 S 4 7 13 14 3 0 6 9 10 1 2 8 5 11 12 4 15 13 8 11 5 6 15 0 3 4 7 2 12 1 10 14 9 10 6 9 0 12 11 7 13 15 1 3 14 5 2 8 4 3 15 0 6 10 1 13 8 9 4 5 11 12 7 2 14 S 5 2 12 4 1 7 10 11 6 8 5 3 15 13 0 14 9 14 11 2 12 4 7 13 1 5 0 15 10 3 9 8 6 4 2 1 11 10 13 7 8 15 9 12 5 6 3 0 14 11 8 12 7 1 14 2 13 6 15 0 9 10 4 5 3 S 6 12 1 10 15 9 2 6 8 0 13 3 4 14 7 5 11 10 15 4 2 7 12 9 5 6 1 13 14 0 11 3 8 9 14 15 5 2 8 12 3 7 0 4 10 1 13 11 6 4 3 2 12 9 5 15 10 11 14 1 7 6 0 8 13 S 7 4 11 2 14 15 0 8 13 3 12 9 7 5 10 6 1 13 0 11 7 4 9 1 10 14 3 5 12 2 15 8 6 1 4 11 13 12 3 7 14 10 15 6 8 0 5 9 2 6 11 13 8 1 4 10 7 9 5 0 15 14 2 3 12 S 8 13 2 8 4 6 15 11 1 10 9 3 14 5 0 12 7 1 15 13 8 10 3 7 4 12 5 6 11 0 14 9 2 7 11 4 1 9 12 14 2 0 6 10 13 15 3 5 8 2 1 14 7 4 10 8 13 15 12 9 0 3 5 6 11 Tablica 6: S-boksy Np. dla 110011 na wejściu, 1 i 6 bit dają 11 2 = 3 10, Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 19

zaś bity 2 4 dają 1001 2 = 9 10, na przecięciu wiersza 3 i kolumny 9 S 1 mamy liczbę 11 10 = 1011 2 (wiersze i kolumny liczymy od zera). W wyniku otrzymujemy 1011. wyniki z 8 S-boksów są łączone w 32 bitową liczbę na tych 32 bitach dokonuje się permutacji wg Tablicy 7 oraz operacji xor z 32 bitami lewej połowy otrzymując nową prawą połowę, która przekazywana jest do następnej rundy 16 7 20 21 29 12 28 17 1 15 23 26 5 18 31 10 2 8 24 14 32 27 3 9 19 13 30 6 22 11 4 25 Tablica 7: Pertmutacja (P-boks) Trzykrotny DES Rozszerzenie algorytmu DES, w którym stosuje się dwa klucze K 1 i K 2 Szyfrowanie 1. wiadomość szyfrowana jest kluczem K 1 2. wynik kroku 1. deszyfrowany jest kluczem K 2 3. wynik kroku 2. jest ponownie szyfrowany kluczem K 1 Deszyfrowanie 1. kryptogram deszyfrowany jest kluczem K 1 2. wynik kroku 1. szyfrowany jest kluczem K 2 3. wynik kroku 2. jest powtórnie deszyfrowany kluczem K 1 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 20

Tryby szyfrowania: szyfrowanie blokowe ECB Electronic Codebook (Elektroniczna książka kodowa) Tekst jawny dzielony jest na bloki o długości 64 bity i każdy blok jest oddzielnie szyfrowany tym samym kluczem zaleta utrata lub uszkodzenie pojedynczych bloków nie ma wpływu na możliwość deszyfrowania pozostałych; nadaje się do szyfrowania baz danych wada możliwa jest modyfikacja kryptogramu bez znajomości klucza CBC Cipher Block Chaining (Wiązanie bloków) Szyfrowanie kolejnego bloku zależy od wyniku szyfrowania poprzedniego bloku; taki sam blok tekstu jawnego jest w różnych miejscach szyfrowany inaczej kolejny blok tekstu jawnego jest poddawany operacji xor z kryptogramem poprzedniego bloku. Matematycznie wygląda to następująco: C 1 = E K (M 1 I) C i = E K (M i C i 1 ) M 1 = D K (C 1 I) M i = D K (C i ) C i 1 gdzie M i jest i-tym blokiem wiadomości, C i i-tym blokiem kryptogramu, zaś I jest losowym ciągiem bitów, który jest przesyłany bez szyfrowania zalety takie same bloki tekstu jawnego mają różne kryptogramy; zmiana bitu (przekłamanie) wewnątrz jednego bloku prowadzi do zmiany tekstu po deszyfrowaniu tylko w danym bloku i następnym Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 21

wady nie można usunąć żadnego bloku z kryptogramu; nie nadaje się do szyfrowania baz danych; nieodporny na zakłócenia (dodatkowy bit lub utrata jednego bitu psują dalszy przekaz) CFB Cipher Feedback (Szyfrowanie ze sprzężeniem zwrotnym) Szyfrowaniu podlegają jednostki mniejsze niż blok (64 bity), np. jeden znak ASCII (1 bajt = 8 bitów). Schemat działania przedstawiony jest na Rys. 3. Tryb ważny w zastosowaniach sieciowych, np. komunikacja pomiędzy klawiaturą i serwerem. Istotnym elementem CFB jest rejestr przesuwający. Działanie CFB 1. na początku rejestr przesuwający zawiera losowy ciąg 64 bitów 2. zawartość rejestru przesuwającego jest szyfrowana za pomocą klucza K np. algorytmem DES 3. 8 pierwszych bitów kryptogramu jest dodawane modulo 2 z 8 bitami reprezentującymi literę wiadomości (M i ) dając kryptogram C i przesyłany do odbiorcy 4. C i jednocześnie przesyłane jest do rejestru przesuwającego zajmując ostatnie 8 bitów i przesuwając pozostałe bity o 8 pozycji w lewo; przesunięcie to nie jest cykliczne, tzn. pierwszych 8 bitów jest usuwanych 5. przy deszyfrowaniu rola wejścia i wyjścia zostaje zamieniona Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 22

Rejestr przesuwający 64 K Szyfrowanie (DES) 64 Kryptogram 8 M i 8 8 C i 8 (a) Szyfrowanie Rejestr przesuwający 64 K Szyfrowanie (DES) 64 Kryptogram 8 M i 8 8 C i (b) Deszyfrowanie Rysunek 3: Schemat działania CFB Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 23

IDEA International Data Encryption Algorithm IDEA jest algorytmem blokowym wprowadzonym w latach 90-tych IDEA używa kluczy 128 bitowych IDEA jest używana w pakiecie PGP IDEA jest algorytmem opatentowanym; można go używać bezpłatnie do celów niekomercyjnych IDEA działa na blokach 64 bitowych i wykorzystuje 3 różne operacje: xor ( ), dodawanie modulo 2 16 ( ) oraz mnożenie modulo 2 16 +1 ( ); schemat działania algorytmu przedstawiony jest na Rys. 4 Szyfrowanie 64 bitowy blok jest dzielony na 4 bloki po 16 bitów: X 1, X 2, X 3, X 4, które stanowią dane wejściowe dla pierwszej rundy algorytmu algorytm składa się z 8 rund w każdej rundzie wykonywane są wymienione wyżej 3 typy operacji na 16 bitowych blokach z 16 bitowymi podkluczami (każda runda wymaga 6 podkluczy) w wyniku otrzymuje się 4 bloki po 16 bitów: Y 1, Y 2, Y 3, Y 4 pomiędzy rundami blok 2 i 3 są zamieniane algorytm kończy przekształcenie końcowe, które wymaga 4 podkluczy Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 24

X 1 X 2 X 3 X 4 K (1) 00 11 1 K (1) 2 K (1) 3 00 11 K (1) 4 00 11 00 11 K (1) 5 00 11 00 11 00 11 00 11 K (1) 6 Pierwsza runda Kolejne 7 rund Transformacja końcowa K (9) 00 11 1 00 11 K (9) 2 K (9) 3 K (9) 4 00 11 00 11 Y 1 Y 2 Y 3 Y 4 Rysunek 4: Schemat działania algorytmu IDEA: operacja xor, dodawanie modulo 2 16, mnożenie modulo 2 16 + 1, K (r) i i-ty podklucz dla r-tej rundy Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 25

Generowanie podkluczy IDEA używa klucza 128 bitowego i wymaga 8 6+4=52 podklucze 1. 128 bitowy klucz jest dzielony na bloki 16 bitowe, co daje 8 podkluczy 2. na kluczu wykonuje się przesunięcie cykliczne o 25 pozycji i znowu dzieli na bloki 16 bitowe, co daje kolejne 8 podkluczy 3. operację z punktu 2 powtarza się tak długo aż wygeneruje się wszystkie podklucze Deszyfrowanie Deszyfrowanie algorytmem IDEA przebiega wg schematu przedstawionego na Rys. 4, w którym zamiast X 1, X 2, X 3, X 4 na wejściu podaje się bloki Y 1, Y 2, Y 3, Y 4 kryptogramu oraz klucz K (ten sam co przy szyfrowaniu) z klucza K generuje się podklucze K (r) i generuje się podklucze deszyfrujące K (r) i przedstawionego w Tablicy 8 Runda r = 1 2 r 8 r = 9 wg schematu K (r) 1 K (r) 2 K (r) 3 K (r) 4 K (r) 5 K (r) 6 K (10 r) 1 K (10 r) 1 K (10 r) 1 1 K (10 r) 1 K (10 r) 2 K (10 r) 3 3 K (10 r) 2 1 K (10 r) 2 K (10 r) 3 K (10 r) 4 K (10 r) 4 K (10 r) 4 1 K (9 r) 1 K (9 r) 5 K (9 r) 6 5 K (9 r) 6 1 Tablica 8: Tworzenie podkluczy deszyfrujących K (r) i na podstawie podkluczy szyfrujących K (r) i w algorytmie IDEA (dla K i = 0 przyjmuje się (K i ) 1 = 0; 2 16 1 mod 2 16 + 1) Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 26

AES Advanced Encryption Standard Rijndael Nowy standard przyjęty w 2001 r. w USA algorytm blokowy, który zaprojektowali Joan Daemen i Vincent Rijmen zarówno długość bloku jak i klucza może być wybrana jako 128, 192 lub 256 bitów Rijndael jest ogólnie dostępny liczba rund zależy od długości bloku w każdej rundzie wykonywane są 4 operacje (macierzowe): podstawienie w S-boksie, przesunięcie wierszy, mieszanie kolumn i xor z podkluczem podklucze są generowane algorytmem, który zależy od rundy Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 27

Algorytmy asymetryczne RSA Witfield Diffie i Martin Hellman idea kryptografii z kluczem publicznym, rok 1976 RSA Ron Rivest, Adi Shamir i Leonard Adleman, rok 1978 bezpieczeństwo algorytmu RSA opiera się na trudności obliczeniowej związanej z rozkładem dużych liczb na czynniki (faktoryzacja) Wybierzmy dwie duże liczby pierwsze p i q i obliczmy ich iloczyn (iloczyn łatwo obliczyć) n = pq, następnie wybierzmy losowo liczbę e < n względnie pierwszą z liczbą (p 1)(q 1). Liczba e będzie kluczem szyfrującym. Teraz znajdźmy liczbę d taką, że lub inaczej ed 1 (mod (p 1)(q 1)), d e 1 (mod (p 1)(q 1)). Liczby d i n są także względnie pierwsze. Do obliczenia d można użyć rozszerzonego algorytmu Euklidesa. Liczba d jest kluczem deszyfrującym. Liczby {e, n} stanowią klucz publiczny, który ujawniamy, zaś liczby {d, n} stanowią klucz prywatny, który powinien być ściśle chroniony (liczba d) Szyfrowanie Wiadomość dzielimy na bloki m i mniejsze niż n, które szyfrujemy używając formuły c i m e i (mod n) Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 28

Deszyfrowanie Tekst jawny z kryptogramu otrzymujemy obliczając m i c d i (mod n) Uzasadnienie Ponieważ ed 1 (mod (p 1)(q 1)), to istnieje liczba całkowita k taka, że ed = 1 + k(p 1)(q 1). Z małego twierdzenia Fermata, dla NWD(m, p) = 1, mamy m p 1 1 (mod p) podnosząc obie strony tej kongruencji do potęgi k(q 1) oraz mnożąc przez m otrzymujemy m 1+k(p 1)(q 1) m (mod p) Kongruencja ta jest także prawdziwa dla NWD(m, p) = p, ponieważ wtedy obie strony przystają do 0 (mod p). Zatem, zawsze mamy Podobnie, m ed m (mod p). m ed m (mod q), a ponieważ p i q są różnymi liczbami pierwszymi, to z chińskiego twierdzenia o resztach otrzymujemy m ed m (mod n) Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 29

Przykład (trywialny): Znajdowanie klucza: p = 1123 q = 1237 n = pq = 1389151 φ = (p 1)(q 1) = 1386792 e = 834781 d e 1 (mod φ) = 1087477 Szyfrowanie: m = 983415 c m e (mod n) 983415 834781 (mod 1389151) = 190498 Deszyfrowanie: m c d (mod n) 190498 1087477 (mod 1389151) = 983415 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 30

Trochę matematyki Podzielność liczb Dla danych liczb całkowitych a i b mówimy, że liczba b jest podzielna przez a lub, że liczba a dzieli liczbę b, jeżeli istnieje taka liczba całkowita d, że b = ad. Liczbę a nazywamy dzielnikiem liczby b, a fakt ten zapisujemy a b. Każda liczba b > 1 ma co najmniej dwa dzielniki dodatnie: 1 i b. Dzielnikiem nietrywialnym liczby b nazywamy dzielnik dodatni różny od 1 i b. Liczba pierwsza to liczba większa od 1 nie mająca innych dzielników dodatnich niż 1 i ona sama. Liczba mająca co najmniej jeden nietrywialny dzielnik jest liczbą złożoną. Twierdzenie o rozkładzie na czynniki pierwsze Każda liczba naturalna n może być przedstawiona jednoznacznie (z dokładnością do kolejności czynników) jako iloczyn liczb pierwszych. Zwykle taki rozkład zapisujemy jako iloczyn odpowiednich potęg różnych liczb pierwszych, np. 6600 = 2 3 3 5 2 11. Własności relacji podzielności 1. Jeśli a b i c jest dowolną liczbą całkowitą, to a bc. 2. Jeśli a b i b c, to a c 3. Jeśli a b i a c, to a b ± c 4. Jeśli liczba pierwsza p dzieli ab, to p a lub p b 5. Jeśli m a i n a oraz m i n nie mają wspólnych dzielników większych od 1, to mn a Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 31

Największy wspólny dzielnik NWD(a, b) Największy wspólny dzielnik, N W D(a, b), dla danych dwóch liczb całkowitych (nie będących jednocześnie zerami), to największa liczba całkowita d będąca dzielnikiem zarówno a, jak i b. Przykład: NWD(12, 18) = 6 Najmniejsza wspólna wielokrotność NWW(a, b) Najmniejsza wspólna wielokrotność, N W W(a, b), to najmniejsza dodatnia liczba całkowita, którą dzielą a i b. NWW(a, b) = a b/nwd(a, b) Przykład: NWW(12, 18) = 36 = 12 18/NWD(12, 18) Liczby względnie pierwsze Liczby a i b są względnie pierwsze jeżeli NWD(a, b) = 1, tzn. liczby a i b nie mają wspólnego dzielnika większego od 1. NWD(841, 160) = 1 zatem liczby 841 i 160 są względnie pierwsze (patrz niżej) Algorytm Euklidesa Algorytm Euklidesa pozwala znaleźć N W D(a, b) w czasie wielomianowym (dla a > b, O(ln 2 (a))) Dla a > b, dzielimy a przez b otrzymując iloraz q 1 i resztę r 1, tzn. a = q 1 b + r 1, w następnym kroku b gra rolę a, zaś r 1 gra rolę b: b = q 2 r 1 + r 2. Postępowanie to kontynuujemy dzieląc kolejne reszty, r i 2 = q i r i 1 + r i, aż do momentu kiedy otrzymamy resztę, która dzieli poprzednią resztę. Ostatnia niezerowa reszta jest NWD(a, b). Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 32

Obliczmy NWD(841, 160) 841 = 5 160 + 41 160 = 3 41 + 37 41 = 1 37 + 4 37 = 9 4 + 1 4 = 4 1 + 0 Ponieważ NWD(841, 160) = 1, to liczby 841 i 160 są względnie pierwsze. Twierdzenie Największy wspólny dzielnik dwóch liczb może być przedstawiony w postaci kombinacji liniowej tych liczb ze współczynnikami całkowitymi: NWD(a, b) = xa + yb, przy czym liczby x i y można znaleźć w czasie O(ln 2 (a)). W poprzednim przykładzie N W D(841, 160) = 1. Korzystając z ciągu równości w algorytmie Euklidesa (idąc w przeciwną stronę) otrzymujemy 1 = 37 9 4 = 37 9(41 1 37) = 10 37 9 41 = 10(160 3 41) 9 41 = 10 160 39 41 = 10 160 39 (841 5 160) = 39 841 + 205 160 Zatem x = 39 i y = 205. Rozszerzony algorytm Euklidesa Rozszerzony algorytm Euklidesa znajduje zarówno największy wspólny dzielnik NWD(a, b) liczb a i b jak i liczby x i y będące współczynnikami kombinacji liniowej NWD(a, b) = xa + yb. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 33

q r a b x x 2 x 1 y y 2 y 1 841 160 1 0 0 1 5 41 160 41 1 0 1-5 1-5 3 37 41 37-3 1-3 16-5 16 1 4 37 4 4-3 4-21 16-21 9 1 4 1-39 4-39 205-21 205 Na każdyn etapie mamy r = x 841 + y 160. Z ostatniego wiersza odczytujemy: NWD(841, 160) = 1 = 39 841 + 205 160 Przyporządkowania w algorytmie są następujące: q = a/b, r a qb, x x 2 qx 1, y y 2 qy 1 a b, b r, x 2 x 1, x 1 x, y 2 y 1, y 1 y Kongruencje Dla danych trzech liczb całkowitych a, b i m mówimy, że liczba a przystaje do liczby b modulo m i piszemy a b (mod m), gdy różnica a b jest podzielna przez m. Liczbę m nazywamy modułem kongruencji. Własności 1. a a (mod m) 2. a b (mod m) wtedy i tylko wtedy, gdy b a (mod m) 3. Jeśli a b (mod m) oraz b c (mod m), to a c (mod m) 4. Jeśli a b (mod m) i c d (mod m), to a ± c b ± d (mod m) oraz ac bd (mod m) Kongruencje względem tego samego modułu można dodawać, odejmować i mnożyć stronami. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 34

5. Jeśli a b (mod m), to a b (mod d) dla każdego dzielnika d m 6. Jeśli a b (mod m), a b (mod n), oraz m i n są względnie pierwsze, to a b (mod mn) 7. Dla ustalonej liczby m, każda liczba przystaje modulo m do jednej liczby zawartej pomiędzy 0 i m 1. Przykłady: 27 7 (mod 5) bo 27 7 = 4 5 27 2 (mod 5) bo 27 2 = 5 5 8 7 (mod 5) bo 8 7 = 3 5 Twierdzenie Liczbami a, dla których istnieje liczba b taka, że ab 1 (mod m), są dokładnie te liczby a, dla których NWD(a, m) = 1. Taka liczba odwrotna b = a 1 może być znaleziona w czasie O(ln 2 (m)). Ponieważ N W D(841, 160) = 1 (patrz poprzedni przykład), to istnieje liczba 160 1 (mod 841). Liczbę tę można obliczyć za pomocą rozszerzonego algorytmu Euklidesa. Ponieważ 1 = 39 841 + 205 160, to 205 160 1 (mod 841), a więc 160 1 (mod 841) = 205. Małe twierdzenie Fermata Niech p będzie liczbą pierwszą. Wtedy każda liczba a spełnia kongruencję a p a (mod p) i każda liczba a niepodzielna przez p spełnia kongruencję a p 1 1 (mod p). Liczba 1231 jest liczbą pierwszą i NWD(1231, 5871) = 1, więc 5871 1230 1 (mod 1231) Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 35

Chińskie twierdzenie o resztach Jeśli liczby m 1, m 2,...,m k są parami względnie pierwsze, tzn. NWD(m i, m j ) = 1 dla i j, wtedy układ kongruencji x a 1 (mod m 1 ) x a 2 (mod m 2 )...... x a k (mod m k ) ma wspólne rozwiązanie modulo m = m 1 m 2...m k. Przykład: x 1 (mod 11) x 2 (mod 12) x 3 (mod 13) Niech M i = m/m i będzie iloczynem wszystkich modułów z wyjątkiem i-tego. Wtedy NWD(m i, M i ) = 1, a więc istnieje taka liczba N i, że M i N i 1 (mod m i ), wtedy wspólnym rozwiązaniem modulo m jest x = P i a im i N i. Dla każdego i wszystkie składniki sumy poza i-tym są podzielne przez m i, gdyż m i M j dla j i zatem dla każdego i mamy x a i M i N i a i (mod m i ). W naszym przykładzie mamy: a 1 = 1, a 2 = 2, a 3 = 3, m 1 = 11, m 2 = 12, m 3 = 13, m = 1716, M 1 = 156, M 2 = 143, M 3 = 132. Aby znaleźć wspólne rozwiązanie tego układu kongruencji należy znaleźć liczby N i będące odwrotnościami liczb M i modulo m i. W tym celu możemy użyć algorytmu Euklidesa. W wyniku otrzymujemy liczby: N 1 = 6, N 2 = 11 i N 3 = 7. Zatem wspólnym rozwiązaniem jest x 6 156 + 2 11 143 + 3 7 132 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 36

(mod 1716) 1706 (mod 1716). W tym przykładzie widać, że liczba 10 daje takie reszty zatem x = 10 + 1716. Funkcja Eulera Dla n 1, niech φ(n) będzie liczbą tych nieujemnych liczb b mniejszych od n, które są względnie pierwsze z n. Funkcja φ(n) nazywa się funkcją Eulera. Funkcja Eulera φ jest multiplikatywna, tzn. φ(mn) = φ(m)φ(n), jeśli tylko NWD(m, n) = 1. Twierdzenie Eulera Jeśli NWD(a, m) = 1, to a φ(m) 1 (mod m). Wniosek Jeśli NWD(a, m) = 1 i jeśli n jest resztą z dzielenia n przez φ(m), to a n a n (mod m) Potęgowanie modulo metodą iterowanego podnoszenia do kwadratu Podstawowym działaniem w kryptografii jest obliczanie a n (mod m), gdzie m i n są bardzo dużymi liczbami. Zauważmy, że rozwinięcie dwójkowe liczby n ma postać n = k 1 i=0 n i 2 i = n 0 + 2n 1 + 4n 2 + + 2 k 1 n k 1, gdzie n i {0, 1} są cyframi rozwinięcia dwójkowego. Zatem a n = k 1 i=0 a n i2 i = (a 20) n 0 (a 21) n 1... (a 2k 1) n k 1 Załóżmy, że a < m oraz przyjmijmy, że przez b będziemy oznaczali częściowe iloczyny. Na początku b = 1. Jeżeli Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 37

n 0 = 1 to zastępujemy b przez a, w przeciwnym przypadku nadal b = 1. Następnie liczymy a 1 a 2 (mod m). Jeśli n 1 = 1, to mnożymy b przez a 1 i redukujemy modulo m, zaś jeśli n 1 = 0 nie zmieniamy b. Następnie liczymy a 2 a 2 1 (mod m). Znowu, jeśli n 2 = 1, to mnożymy b przez a 2 ; w przeciwnym przypadku nie zmieniamy b. Postępując dalej w ten sposób, w j-tym kroku mamy obliczoną potęgę a j a 2j (mod m). Jeśli n j = 1 to włączamy a j do iloczynu b, jeśli n j = 0 to b się nie zmienia. Po k 1 krokach otrzymamy b a n (mod m). Przykład: Obliczmy 7 698 (mod 1234) = 287 i 0 1 2 3 4 5 6 7 8 9 n i 0 1 0 1 1 1 0 1 0 1 a i 7 49 1167 787 1135 1163 105 1153 391 1099 b 1 49 49 309 259 121 121 71 71 287 Czy wystarczy liczb pierwszych? Twierdzenie Niech π(x) oznacza liczbę liczb pierwszych x. Wtedy Dla x 17 lim x π(x) x/ lnx = 1 π(x) > x ln x Dla przykładu, dla x = 10 10, π(x) = 455052511, natomiast x/ ln x = 434294481. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 38

Testy pierwszości Istnieją probabilistyczne testy pierwszości liczb, które pozwalają z dużym prawdopodobieństwem w skończonym czasie dać odpowiedź czy dana liczba jest pierwsza. Test Fermata Testujemy czy liczba n jest pierwsza. Wybieramy losowo liczbę a < n 1, obliczamy r = a n 1 (mod n), jeśli r 1 to n jest liczbą złożoną. Test przeprowadzamy t-krotnie, t 1. Jeśli wszystkie testy wypadną pomyślnie, tzn. r = 1, to liczbę uznajemy za pierwszą, choć może tak nie być. Test Millera-Rabina Testujemy czy liczba n jest pierwsza. Piszemy n 1 = 2 s r, gdzie r jest nieparzyste. Wybieramy losowo liczbę a, 1 < a < n 1. Obliczamy b = a r (mod n). Jeśli b ±1 (mod n) to uznajemy, że n jest pierwsza. W przeciwnym przypadku obliczamy a 2jr (mod n) dla 0 < j < s. Jeśli dla pewnego j < s otrzymamy a 2jr 1 (mod n) to uznajemy, że liczba n jest pierwsza. W przeciwnym przypadku liczba n jest złożona. Test przeprowadzamy t-krotnie losując różne a. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 39

Reszty kwadratowe w Z p Oznaczmy przez Z p = {0, 1, 2,..., p 1} zbiór reszt modulo p, gdzie p > 2 jest nieparzystą liczbą pierwszą; np. Z 11 = {0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10} Przez Z p będziemy oznaczali zbiór niezerowych elementów zbioru Z p, a więc np. Z 11 = {1, 2, 3, 4, 5, 6, 7, 8, 9, 10} W zbiorze Z p szukamy takich elementów, które są kwadratami innych elementów, tzn. spełniona jest kongruencja x 2 a (mod p), dla {x, a} Z p. Liczby a, które są kwadratami nazywamy resztami kwadratowymi modulo p, zaś pozostałe elementy nazywamy nieresztami. Przykład: Weźmy Z 11 i policzmy x 2 (mod 11) dla wszystkich x, mamy wtedy x 1 2 3 4 5 6 7 8 9 10 a = x 2 (mod 11) 1 4 9 5 3 3 5 9 4 1 Resztami kwadratowymi w Z 11 są więc liczby {1, 3, 4, 5, 9}, a pozostale liczby {2, 6, 7, 8, 10} są nieresztami Symbol Legendre a Niech a będzie liczbą całkowitą zaś p > 2 liczbą pierwszą; symbol Legendre a definiujemy 8 «>< 0, jeśli p a a = 1, jeśli a jest resztą kwadratową modulo p p >: 1, jeśli a jest nieresztą modulo p Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 40

Twierdzenie ( ) a = a p 1 2 (mod p) p Własności symbolu Legendre a (1) ( ) a p zależy tylko od a modulo p (2) ( ) ( ) ( ) ab a b = p p p (3) ( ) ( ) ab 2 a =, jeśli NWD(b, p) = 1 p p (4) ( ) ( ) 1 1 = 1 oraz = ( 1) p 1 2 p p Twierdzenie ( ) 2 p = ( 1) p2 1 8 = 1, jeśli p ±1 (mod 8) 1, jeśli p ±3 (mod 8) Prawo wzajemności Niech p i q będą dwiema nieparzystymi liczbami pierwszymi. Wtedy ( ) q p = ( 1) p 1 2 = ( p q ( p q q 1 2 ( ) p q ), jeśli p q 3 (mod 4) ), w przeciwnym przypadku Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 41

Przykład: «91 = 167 «««7 13 7 13 = 167 167 167 «= ( 1) 7 1 167 1 2 2 167 ( 1) 13 1 167 1 2 2 7 ««««167 167 6 11 = = 7 13 7 13 «««««2 3 11 3 11 = = 7 7 13 7 13 ««( 1) 3 1 7 1 2 2 ( 1) 11 1 13 1 2 2 = 7 3 ««1 2 = 1 ( 1) = 1 3 11 13 11 «167 13 Pierwiastki kwadratowe modulo p Prawo wzajemności pozwala szybko stwierdzić czy a jest resztą kwadratową modulo p, a więc mówi, że istnieje rozwiązanie kongruencji x 2 a (mod p), chociaż nie daje wskazówek jak takie rozwiązanie znaleźć. Nie jest znany efektywny deterministyczny algorytm obliczania pierwiastków kwadratowych w Z p. Istnieje natomiast efektywny algorytm probabilistyczny dla obliczania takich pierwiastków jeśli p jest liczbą pierwszą. Reszty kwadratowe w Z n Oznaczmy przez Z n = {0, 1, 2,..., n 1} zbiór reszt modulo n, gdzie n jest dodatnią liczbą całkowitą; np. Z 15 = {0, 1, 2, 3, 4, 5, 6, 7, 8, 9, 10, 11, 12, 13, 14} Przez Z n będziemy oznaczali podzbiór tych elementów Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 42

zbioru Z n, które są względnie pierwsze z n, a więc np. Z 15 = {1, 2, 4, 7, 8, 11, 13, 14}. Liczba elementów zbioru jest równa wartości funkcji Eulera φ(n). Z n W zbiorze Z n szukamy takich elementów, które są kwadratami innych elementów, tzn. spełniona jest kongruencja x 2 a (mod n), dla {x, a} Z n. Symbol Jacobiego Niech a będzie liczbą całkowitą i niech n będzie dowolną dodatnią liczbą nieparzystą. Niech n = p α 1 1... p α r r będzie rozkładem liczby n na czynniki pierwsze. Wtedy definiujemy symbol Jacobiego (uogólnienie symbolu Legendre a) jako iloczyn symboli Legendre a dla dzielników pierwszych n ( ( ) α1 ( ) αr a a a =... n) p 1 Twierdzenie Dla dowolnej dodatniej liczby nieparzystej n mamy ( ) 2 = ( 1) n2 1 8 n Twierdzenie p r Dla dowolnych dodatnich liczb nieparzystych m i n mamy ( m ) ( = ( 1) m 1 n 1 n 2 2 n m) Uwaga Jeśli liczba a Z n jest resztą kwadratową to ` a n = 1. Jeśli symbol Jacobiego ` a n = 1 dla liczby złożonej n to a nie musi być resztą kwadratową! Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 43

Pierwiastki kwadratowe modulo n Jeśli n = pq jest iloczynem dwóch dużych, różnych liczb pierwszych, to uważa się, że znajdowanie pierwiastków kwadratowych w Z n należy do problemów trudnych obliczeniowo! Trudność ta jest równoważna trudności z faktoryzacją liczby n. (Faktoryzując n znajdujemy liczby pierwsze p i q, znajdujemy pierwiastki kwadratowe w Z p oraz Z q, a następnie korzystając z chińskiego twierdzenia o resztach znajdujemy pierwiastki w Z n.) Logarytm dyskretny Niech p będzie liczbą pierwszą, przez Z p oznaczamy zbiór liczb {1,...,p 1} i niech g będzie generatorem Z p, tzn. takim elementem, że dla każdej liczby a Z p istnieje takie i, że a g i (mod p) (wszystkie elementy mogą być wygenerowane z g). Problem logarytmu dyskretnego polega na znalezieniu dla danej liczby 0 < b < p takiej liczby a, że g a b (mod p). Problem znajdowania logarytmu dyskretnego jest problemem trudnym obliczeniowo! Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 44

Przykład: Weźmy Z 19, czyli zbiór liczb {1,..., 18} oraz g = 2. Niech b = 2 a (mod 19), mamy wtedy a 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 b 2 4 8 16 13 7 14 9 18 17 15 11 3 6 12 5 10 1 Tak więc w Z 19, np. log 2 13 = 5 2 5 13 (mod 19) PARI/GP teoria liczb na komputerze GP/PARI CALCULATOR Version 2.1.6 (released) i386 running linux 32-bit version (readline v4.3 enabled, extended help available) Copyright (C) 2002 The PARI Group PARI/GP is free software, covered by the GNU General Public License, and comes WITHOUT ANY WARRANTY WHATSOEVER. Type? for help, \q to quit. Type?12 for how to get moral (and possibly technical) support. realprecision = 28 significant digits seriesprecision = 16 significant terms format = g0.28 parisize = 4000000, primelimit = 500000 Dzielenie z resztą? divrem(841,160) %1 = [5, 41]~? divrem(2987634211432123123,8765392) %2 = [340844335476, 5476531]~ Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 45

Algorytm Euklidesa NWD(a, b)? gcd(841,160) %2 = 1? gcd(2987634211432123123,8765392) %3 = 1? gcd(739834587231984763212876546,497563772132052) %4 = 6 Rozszerzony algorytm Euklidesa? bezout(841,160) %4 = [-39, 205, 1]? bezout(2987634211432123123,8765392) %5 = [2987931, -1018419356145006986, 1] Odwrotność modulo n? Mod(160,841)^(-1) %6 = Mod(205, 841)? lift(mod(160,841)^(-1)) %7 = 205? Mod(8765392,2987634211432123123)^(-1) %8 = Mod(1969214855287116137,2987634211432123123)? 2987634211432123123-1018419356145006986 %9 = 1969214855287116137 Małe twierdzenie Fermata? isprime(1231) %10 = 1? gcd(1231,5871) %11 = 1 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 46

? Mod(5871^1230, 1231) %12 = Mod(1, 1231)? Mod(5871,1231)^1230 %13 = Mod(1, 1231)? Mod(40547201659, 85115991299)^85115991298 %14 = Mod(1, 85115991299)? Mod(461730729350412, 2461654953439061)^2461654953439060 %15 = Mod(1, 2461654953439061) Chińskie twierdzenie o resztach? a=mod(1,11) %16 = Mod(1, 11)? b=mod(2,12) %17 = Mod(2, 12)? c=mod(3,13) %18 = Mod(3, 13)? d=chinese(a,b) %19 = Mod(122, 132)? chinese(c,d) %20 = Mod(1706, 1716) Funkcja Eulera? eulerphi(841) %21 = 812? factorint(841) %22 = [29 2]? eulerphi(1231) %23 = 1230? isprime(1231) %24 = 1? eulerphi(1000) Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 47

%25 = 400? eulerphi(1200) %26 = 320 Potęgowanie modulo n? lift(mod(7,1234)^698) %27 = 287? Mod(461730729350412,2461654953439061)^2461654953439060 %28 = Mod(1, 2461654953439061) Liczby pierwsze? primes(10) %31 = [2, 3, 5, 7, 11, 13, 17, 19, 23, 29]? prime(1000) %32 = 7919? nextprime(10^30) %34 = 1000000000000000000000000000057? nextprime(random(10^30)) %35 = 425170039833680733833237536681? isprime(%35) %36 = 1 Symbol Jacobiego? kronecker(91,167) %37 = -1? kronecker(7,167) %38 = 1? for(a=1,167,if(mod(a,167)^2==7,print1(a, " "))) 72 95? kronecker(13,167) %39 = -1? kronecker(6,7) %40 = -1 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 48

? kronecker(11,13) %41 = -1? kronecker(1298761665416551551,978698532176519876166511871) %42 = 1 Logarytm dyskretny? znprimroot(19) %43 = Mod(2, 19)? znorder(mod(2,19)) %44 = 18? znlog(13,mod(2,19)) %45 = 5? znlog(15,mod(2,19)) %46 = 11? znprimroot(966099377) %47 = Mod(3, 966099377)? znlog(124332,mod(3, 966099377) %48 = 120589994? Mod(3, 966099377)^120589994 %49 = Mod(124332, 966099377) RSA? p=1123;q=1237;n=p*q %50 = 1389151? phin=eulerphi(n) %51 = 1386792? e=834781 %52 = 834781? gcd(e,phin) %53 = 1? d=lift(mod(e,phin)^(-1)) Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 49

%54 = 1087477? m=983415 %55 = 983415? c=lift(mod(m,n)^e) %56 = 190498? lift(mod(c,n)^d) %57 = 983415? p=nextprime(random(10^25)) %60 = 6394410543977819029567513? q=nextprime(random(10^24)) %61 = 574229193973116022705411? n=p*q %62 = 3671857212601577387349834975533584930459534912843? phin=(p-1)*(q-1) %63 = 3671857212601577387349828006893846979524482639920? e=random(10^10) %64 = 6534579775? while(gcd(e,phin)!=1,e=e+1)? e %65 = 6534579779? d=lift(mod(e,phin)^(-1)) %66 = 1069086500747478961348196600845385395334981162219? m=random(10^30) %67 = 446763233106745131823069978264? c=lift(mod(m,n)^e) %68 = 3660713787402446328285407380637449653485548656400? lift(mod(c,n)^d) %69 = 446763233106745131823069978264 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 50

Algorytm ElGamala U podstaw działania algorytmu ElGamala leży matematyczny problem logarytmu dyskretnego. Wybór klucza Wybieramy odpowiednio dużą liczbę pierwszą p, taką, że obliczenie logarytmu dyskretnego jest praktycznie niewykonalne, wybieramy liczbę całkowitą 0 < a < p 1 oraz liczbę g, następnie obliczamy b g a (mod p). Liczby {b, g, p} stanowią klucz publiczny, zaś liczby {a, g, p} klucz prywatny. Szyfrowanie Aby zaszyfrować wiadomość M wybieramy losowo liczbę k względnie pierwszą z p 1, a następnie obliczamy c 1 g k (mod p) c 2 M b k (mod p) Para liczb c 1 i c 2 tworzy kryptogram, który jest dwukrotnie dłuższy od tekstu jawnego. Deszyfrowanie M = c 2 (c a 1) 1 (mod p) Uzasadnienie c 2 (c a 1) 1 M b k (g ka ) 1 Mg ka (g ka ) 1 M (mod p) Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 51

Prosty przykład Znajdowanie klucza Niech p = 229 i g = 6, wybieramy a = 70, wtedy b 6 70 (mod 229) = 97, zatem klucz publiczny stanowią liczby {97, 6, 229}, zaś klucz prywatny stanowią liczby {70, 6, 229} Szyfrowanie Niech wiadomość M = 130, wybieramy k = 127 takie, że NWD(127, 228) = 1 (liczby tej nie ujawniamy) Deszyfrowanie c 1 6 127 (mod 229) = 155 c 2 130 97 127 (mod 229) = 169 M = 169 (155 70 ) 1 (mod 229) 169 36 (mod 229) = 130 PARI/GP? p=229;a=70;? g=znprimroot(p) %1 = Mod(6, 229)? b=lift(g^a) %2 = 97? M=130;k=127;? gcd(k,p-1) %3 = 1? c1=lift(g^k) %4 = 155? c2=lift(mod(m*b^k,p)) %5 = 169? lift(mod(c2*c1^(-a),p)) %6 = 130 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 52

Jednokierunkowe funkcje hashujące (skrótu) dla każdego X łatwo jest obliczyć H(X) H(X) ma taką samą długość dla wszystkich tekstów X dla zadanego Y znalezienie takiego X, że H(X) = Y jest praktycznie niemożliwe; funkcja jednokierunkowa dla danego X trudno znaleźć X takie, że H(X) = H(X ); funkcja słabo bezkonfliktowa nie jest praktycznie możliwe znalezienie X i X takich, że X X oraz H(X) = H(X ); funkcja silnie bezkonfliktowa Typowe zastosowania Przechowywanie haseł w komputerach Ochrona integralności danych Algorytm MD5 (Message Digest) Algorytm, zaprojektowany przez Rivesta, jest modyfikacją wcześniejszego algorytmu MD4. Wiadomość dowolnej długości jest przekształcona w jej 128 bitowy odcisk palca (sumę kontrolną, skrót wiadomości). Zasadnicza procedura algorytmu działa na blokach 512 bitowych przekształcając je w 128 bitowe skróty. Etapy MD5 Krok 1 Wiadomość dowolnej długości jest uzupełniana w taki Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 53

sposób, że na końcu dodawany jest bit 1 i odpowiednia ilość zer, tak aby ostatni blok miał długość 448 bitów. Krok 2 Do ostatniego bloku dodawana jest 64 bitowa liczba reprezentująca długość wiadomości (w bitach) i w ten sposób przygotowana wiadomość ma długość będącą całkowitą wielokrotnością 512 bitów. Tym samym wiadomość jest wielokrotnością 16 słów 32-bitowych. Niech M 0, M 1,...M N 1 oznaczają kolejne słowa wiadomości, gdzie N jest jest wielokrotnością 16. Krok 3 Algorytm operuje na 32-bitowych zmiennych a, b, c, d, których wartości początkowe A, B, C, D w zapisie szesnastkowym są następujące: A =0x67452301 B =0xefcdab89 C =0x98badcfe D =0x10325476 Krok 4 Główna pętla algorytmu składa się z 4 rund, w każdej rundzie 16 razy wykonywane są operacje na 32 bitowych słowach. Operacje te zdefiniowane są przez 4 funkcje F(X, Y, Z) = (X Y ) ( X) Z G(X, Y, Z) = (X Z) Y ( X) H(X, Y, Z) = X Y Z I(X, Y, Z) = Y (X ( Z)) gdzie oznacza operację xor, operację and, operację or, zaś operację not. 0 0 = 0 0 0 = 0 0 0 = 0 0 = 1 0 1 = 1 0 1 = 0 0 1 = 1 1 = 0 1 0 = 1 1 0 = 0 1 0 = 1 1 1 = 0 1 1 = 1 1 1 = 1 Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 54

Niech X j = M i 16+j oznacza j-te słowo w i-tym bloku wiadomości M (j = 0,...,15, i = 0,...,N/16 1), s niech oznacza cykliczne przesunięcie w lewo o s bitów oraz zdefiniujmy liczby T k (k = 1,...,64) tak, że T k = 2 32 sink, gdzie k jest w radianach. Mamy wtedy: Runda 1 Niech [abcd j s k] oznacza operację a = b + ((a + F(b, c, d) + X j + T k ) s), wtedy 16 operacji tej rundy to: [abcd 0 7 1] [dabc 1 12 2] [cdab 2 17 3] [bcda 3 22 4] [abcd 4 7 5] [dabc 5 12 6] [cdab 6 17 7] [bcda 7 22 8] [abcd 8 7 9] [dabc 9 12 10] [cdab 10 17 11] [bcda 11 22 12] [abcd 12 7 13] [dabc 13 12 14] [cdab 14 17 15] [bcda 15 22 16] Runda 2 Niech [abcd j s k] oznacza operację a = b + ((a + G(b, c, d) + X j + T k ) s), wtedy 16 operacji tej rundy to: [abcd 1 5 17] [dabc 6 9 18] [cdab 11 14 19] [bcda 0 20 20] [abcd 5 5 21] [dabc 10 9 22] [cdab 15 14 23] [bcda 4 20 24] [abcd 9 5 25] [dabc 14 9 26] [cdab 3 14 27] [bcda 8 20 28] [abcd 13 5 29] [dabc 2 9 30] [cdab 7 14 31] [bcda 12 20 32] Runda 3 Niech [abcd j s k] oznacza operację a = b + ((a + H(b, c, d) + X j + T k ) s), wtedy 16 operacji tej rundy to: [abcd 5 4 33] [dabc 8 11 34] [cdab 11 16 35] [bcda 14 23 36] [abcd 1 4 37] [dabc 4 11 38] [cdab 7 16 39] [bcda 10 23 40] [abcd 13 4 41] [dabc 0 11 42] [cdab 3 16 43] [bcda 6 23 44] [abcd 9 4 45] [dabc 12 11 46] [cdab 15 16 47] [bcda 2 23 48] Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 55

Runda 4 Niech [abcd j s k] oznacza operację a = b + ((a + I(b, c, d) + X j + T k ) s), wtedy 16 operacji tej rundy to: [abcd 0 6 49] [dabc 7 10 50] [cdab 14 15 51] [bcda 5 21 52] [abcd 12 6 53] [dabc 3 10 54] [cdab 10 15 55] [bcda 1 21 56] [abcd 8 6 57] [dabc 15 10 58] [cdab 6 15 59] [bcda 13 21 60] [abcd 4 6 61] [dabc 11 10 62] [cdab 2 15 63] [bcda 9 21 64] Po tych 4 rundach wartości a, b, c, d są dodawane do wartości A, B, C, D i algorytm przechodzi do następnego bloku M. Blok wiadomości M (512 bitów) A B C D Runda 1 Runda 2 Runda 3 Runda 4 F G H I A B C D Rysunek 5: Główna pętla algorytmu MD5 Krok 5 Po przejściu wszystkich 512-bitowych bloków wiadomości M algorytm łączy rejestry a, b, c, d dając 128 bitową liczbę będącą wartością funkcji hashującej. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 56

SHA (Secure Hash Algorithm) Algorytm opracowany przez NIST przy udziale NSA opublikowany w 1993. Nowsza wersja SHA-1 opublikowana w 1995 r. Idea tego algorytmu oparta jest na MD4 i MD5. Wartość funkcji hashującej to liczba 160 bitowa i w związku z tym algorytm wymaga 5 rejestrów zamiast 4. Używa też w nieco inny sposób nieliniowych funkcji transformujących, dokonuje dodatkowych operacji na poszczególnych słowach wiadomości, w każdej rundzie wykonuje 20 operacji zamiast 16. Zasada działania jest jednak bardzo podobna do MD5. Ogólnie uważa się, że jest bezpieczniejszy niż MD5 ze względu na dłuższą wartość funkcji hashującej i pewne ulepszenia samego algorytmu. Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 57

Szyfrowanie strumieniowe i generatory ciągów pseudolosowych Synchroniczne szyfrowanie strumieniowe Ciąg bitów klucza generowany jest niezależnie od szyfrowanej wiadomości i kryptogramu. Musi być zachowana synchronizacja pomiędzy nadawcą i odbiorcą. Zmiana bitu kryptogramu (przekłamanie) nie wpływa na możliwość deszyfrowania pozostałych bitów. Dodanie lub usunięcie bitu powoduje utratę synchronizacji. Istnieje możliwość zmiany wybranych bitów kryptogramu, a co za tym idzie zmiany deszyfrowanej wiadomości. m i c i K GK k i c i K GK k i m i (a) Szyfrowanie (b) Deszyfrowanie Rysunek 6: Model synchronicznego szyfrowania strumieniowego z dodawaniem modulo 2 ( ), GK jest generatorem ciągu bitów klucza, zaś K jest kluczem inicjalizującym generator Tekst jawny szyfrowany jest bit po bicie (one-time pad). Losowo generowane bity k 1, k 2,..., k i stanowią bity klucza, które są dodawane modulo 2 (operacja xor) do bitów wiadomości m 1, m 2,..., m i w sposób ciągły dając kolejne bity kryptogramu c 1, c 2,..., c i, gdzie c i = m i k i Ryszard Tanaś, http://zon8.physd.amu.edu.pl/ tanas 58