Sicherheit von ElGamal

Sicherheit von ElGamal

SatzCPA-Sicherheit ElGamal

ElGamalΠist CPA-sicher unter der DDH-Annahme.

Beweis:

SeiAein Angreifer auf ElGamalΠmit Erfolgsws (n) :=Ws[PubK_A,Π^cpa(n) =1].

Wir konstruieren mittelsAeinen UnterscheiderDzum Unterscheiden von DDH-Instanzen

(q,g,g^x,g^y,g⁰)mitg⁰ =g^xy oderg⁰=g^z.

Unterscheider für DDH durch A

Algorithmus DDH-UnterscheiderD EINGABE:(q,g,g^x,g^y,g⁰)

1 Setzepk = (G,q,g,g^x).

2 (m₀,m₁)← A(pk).

3 Wähleb∈_R {0,1}und berechneb⁰ ← A(g^y,g⁰·m_b).

4 Fallsb⁰ =bAusgabe 1, sonst Ausgabe 0.

AUSGABE:

(1 wird interpretiert alsg⁰ =g^xy 0 wird interpretiert alsg⁰ =g^z .

DDH-Unterscheider mit Angreifer A

(1ⁿ, q, g, g^x, g^y, g⁰)

1 bedeutetg⁰=g^xy 0 bedeutetg⁰=g^z

UnterscheiderD

pk= (q, g, g^x) (1ⁿ, pk) b∈R{0,1}

c= (g^y, g⁰·mb) c Ausgabe:

(1fallsb=b⁰ 0sonst

A

m₀, m₁ ∈ M (m0, m1)

b⁰∈ {0,1}

b⁰

Analyse von D

Fall 1:DDH-Tupel, d.h.g⁰=g^xy.

c = (g^y,g^xy ·m_b)ist identisch zu ElGamal-Chiffretexten verteilt.

D.h.Ws[D(q,g,g^x,g^y,g^xy) =1] =Ws[PubKA,Π(n) =1] =(n).

Fall 2:kein DDH-Tupel, d.h.g⁰ =g^z fürz ∈_R Zq.

Chiffretextc= (c₁,c₂)ist von der Form(g^y,g^z·m_b).

c₂ist identisch verteilt zu ONETIMEELEMENT. Die erste Komponentec₁ist unabhängig vonc₂, d.h.

Ws[PrivKA,Π(n) =1] = ¹₂.

Es folgtWs[D(G,q,g,g^x,g^y,g^z) =1] =Ws[PubKA,Π(n) =1] = ¹₂. Aus der DDH-Annahme folgt

negl(n) ≥ |Ws[D(G,q,g,g^x,g^y,g^z) =1]−Ws[D(G,q,g,g^x,g^y,g^xy) =1]|

= 1 2−(n)

.

Damit gilt(n)≤ ¹₂+negl(n).

Parameterwahl bei ElGamal

Einbetten von Nachrichten m⁰ ∈ {0,1}^∗

Beliebte Parameterwahl:Z^∗p,p=2q+1 mitp,qprim.

D.h.pist eine sogenannte starke Primzahl.

Ziel:Konstruktion einer UntergruppeGmit Ordnungq.

QuadrierenZ^∗p→Z^∗p,x 7→x²ist eine(2:1)-Abbildung.

Urbilderx,p−x kollidieren, genau eines ist in[^p−1₂ ] = [q].

Wir bezeichnen den Bildraum mitQRp. QRpist Untergruppe vonZ^∗pmit Ordnungq.

Wähleng als Generator vonQR_p. Sei|q|=n.

Interpretierenm⁰ ∈ {0,1}ⁿ⁻¹als natürliche Zahl kleinerq.

Es giltm⁰+1∈[q]. Einbettung vonm⁰ istm= (m⁰+1)²modp.

Umkehren der Einbettung ist effizient berechenbar.

CPA-Sicherheit ist ungenügend

DefinitionCCA (informal)

CCA (=Chosen Ciphertext Attack)ist ein Angriff, bei dem der Angreifer sich Chiffretext seiner Wahl entschlüsseln lassen kann.

Beispielein denen CPA-Sicherheit nicht genügt:

Eve fängt verschlüsselte Emailc=Enc(m)an Bob ab.

Eve verschicktc selbst an Bob.

Bob antwortet Eve und hängt dabeiman die Antwort an.

D.h. Bob fungiert als Entschlüsselungsorakel.

Alice und Eve nehmen als Bieter an einer Auktion von Bob teil.

Alice sendet ihr Gebotc=Enc(m)verschlüsselt an Bob.

Encsoll CPA-sicher sein, d.h. Eve erhält keine Information überm.

Frage:Ist es Eve möglich,c⁰ =Enc(2m)ausc zu berechnen, ohnemzu kennen, und damit Alice zu überbieten? (Malleability) Es gilt: CCA-Sicherheit impliziert Non-Malleability. (ohne Beweis)

CCA Ununterscheidbarkeit

SpielCCA Ununterscheidbarkeit von ChiffretextenPubK_A,Π^cca(n) SeiΠein PK-Verschlüsselungsverfahren mit AngreiferA.

1 (pk,sk)←Gen(1ⁿ)

2 (m₀,m₁)← A^Decsk(·)(pk), wobeiDec_sk(·)ein Entschlüsselungs- orakel fürAfür beliebige Chiffretexte ist.

3 Wähleb∈_R {0,1}. Verschlüsselec←Enc_pk(m_b).

4 b⁰← A^Decsk(·)(c), wobeiAbeliebige Chiffretextec⁰ 6=cdurch das OrakelDec_sk(·)entschlüsseln lassen darf.

5 PubK_A,Π^cca(n) =

(1 fürb=b⁰ 0 sonst Anmerkungen:

Zusätzlich zum Verschlüsselungs-Orakel bei CPA besitztAbei CCA ein weiteres Entschlüsselungs-OrakelDec_sk(·).

FallsAin Schritt 4 auchc entschlüsseln darf, ist das Spiel trivial.

PubK^cca_A,Π(n) (pk, sk)←Gen(1ⁿ)

(1ⁿ, pk)

m⁰₁=Dec_sk(c⁰₁)

m⁰_i=Dec_sk(c⁰_i) b∈_R{0,1}

c=Enc_pk(m_b)

m⁰_i+1=Dec_sk(c⁰_i+1) m⁰_q =Dec_sk(c⁰_q) Ausgabe:

=

(1 fallsb=b⁰ 0 sonst

A c⁰₁∈ C c⁰₁

m⁰₁ ...

c⁰_i∈ C, i≤q c⁰_i

m⁰_i

m₀, m₁∈ M (m₀, m₁)

c

c⁰_i+1∈ C\{c}

c⁰_i+1 m⁰_i+1

...

c⁰_q ∈ C\{c}

c⁰_q m⁰_q

b⁰∈ {0,1}

b⁰

CCA-Sicherheit

DefinitionCCA-Sicherheit

Ein VerschlüsselungsverfahrenΠheißtCCA-sicher(bzw. besitzt ununterscheidbare Chiffretexte unter CCA), falls für alle ppt Angreifer AgiltWs[PubK_A,Π^cca(n) =1]≤ ¹₂+negl(n).

CCA Angriff und Malleability von Textbuch RSA

CCA Angriffauf Textbuch RSA

Wollenc =m^emodN entschlüsseln.

Man beachte:cdarf nicht direkt angefragt werden.

Berechnec⁰=c·r^e= (mr)^emodN fürr ∈Z^∗_N\ {1}.

Berechnemr ←Dec_sk(c⁰)mittels Entschlüsselungs-Orakel.

Berechnemr·r⁻¹=mmodN.

Malleabilityvon Textbuch RSA

Voriger Angriff zeigt: Fürc=m^emodNkann die Verschlüsselung vonmr berechnet werden, ohnemselbst zu kennen.

D.h. Textbuch RSA ist malleable.

CCA Angriff und Malleability von ElGamal

Praktischer CCA-Angriffauf Padded RSA Variante PKCS #1 v1.5 Bleichenbacher Angriff: Sende adaptiv Chiffretexte an Server.

Falls die Entschlüsselung nicht das korrekte Format besitzt, sendet der Server eine Fehlermeldung zurück.

Genügt, um einen beliebigen Chiffretextc zu entschlüsseln.

CCA Angriffauf ElGamal

Ziel: Entschlüsselec = (g^y,g^xy ·m).

Lassec⁰ = (g^y,g^xy·m·r)fürr ∈G\ {1}entschlüsseln.

Berechnemr·r⁻¹=m.

ElGamal ist malleable, dac⁰korrekte Verschlüsselung vonmr.

Cramer-Shoup Verschlüsselungsverfahren (1998)

DefinitionCramer-Shoup VerschlüsselungsverfahrenΠCS

Seinein Sicherheitsparameter.

1 Gen: (q,g₁)← G(1ⁿ), wobeig₁eine GruppeGder Ordnungq generiert. Wähleω,x₁,x₂,y₁,y₂,z₁,z₂∈_RZq,s ∈_R{0,1}ⁿund berechneg₂←g₁^ω,X =g₁^x1g₂^x2,Y =g₁^y1g₂^y2,Z =g₁^z1g₂^z2.

Schlüssel:pk = (q,g₁,g₂,X,Y,Z,s),sk = (x₁,x₂,y₁,y₂,z₁,z₂)

2 Enc:Für eine Nachrichtm∈Gwähle einr ∈_R Zqund berechne c = (c₁,c₂,c₃,c₃) = (g₁^r,g₂^r,Z^r·m,(X^tY)^r),mit t =Hs(c₁,c₂,c₃)

3 Dec:Für einen Chiffretextc = (c₁,c₂,c₃,c₄)berechne m:= ^c3

c₁^z1c^z₂², fallsc₄=c₁^x1t+y1c₂^x2t+y2 gilt.

Korrektheit: ^c3

c^z₁¹c₂^z2 = _(gr^Zr·m

1)^z1(g₂^r)^z2 = ^Zr·m

(g^z₁¹g^z₂²)^r =mund c₁^x1t+y1c₂^x2t+y2 = (c₁^x1c₂^x2)^tc₁^y1c₂^y2 = (X^tY)^r =c₄.

Cramer-Shoup

Satz(ohne Beweis) CCA-Sicherheit Cramer-Shoup

Wenn die DDH-Annahme gilt undHkollisionsresistent ist, dann istΠ_CS CCA-sicher.

Anmerkungen:

Erstes effizientes CCA-sicheres Verfahren (1998).

Chiffretexte sind 3mal so lang wie bei ElGamal.

Sicherheitsbeweis von Cramer-Shoup ist nicht-trivial.

Verbesserung: Kurosawa-Desmedt Verfahren.

Später in der Vorlesung: CCA-sichere Verfahren im sogenannten Random Oracle Modell.