Angriffe und Sicherheitsmodelle

Bemerkungen

S _undV sind effiziente Verfahren (z.B. Programme).

S _undV d ¨urfen probabilistisch sein (d ¨urfen den Zufall verwenden).

S kann mehrdeutig sein ( ).

Im allgemeinen wird nur ein HashwertH(M)und nichtMselbt signiert (”Hash-then-Sign“):

•Effizienter, daH(M)viel k ¨urzer alsMist.

•Beweisbare Sicherheit von in der Praxis relevanten Verfahren (allerdings im Zufallsorakelmodell, RO).

Offenbar mußH kollisionsfrei sein, man kann keine zwei Nachrichten M₁,M₂mitH(M₁) =H(M₂)berechnen.

3 1. Juli 2004

Angriffe und Sicherheitsmodelle

Ziele des Angreifers:

•Existentielle F ¨alschung. Der Angreifer berechnet eine Signatur f ¨ur eine Nachricht.

•Universelle F ¨alschung: Der Angreifer kann Signaturen f ¨ur jede beliebige Nachricht berechnen.

•Total break: Der Angreifer berechnet den geheimen Schl ¨ussel des Signierers.

Orientierung

Haben bisher im Public-Key Bereich nur Verschl ¨usselung betrachtet.

Haben daf ¨ur geeignete mathematische Strukturen und ihre Eigenschaften diskutiert.

•RSA, Rabin: Restklassenringe modulon, Potenzieren als Einwegfunktionen mit Fallt ¨ur (x7→x^e).

•Zyklische Gruppen von Primzahlordnung, Exponieren als Einwegfunktion ohne Fallt ¨ur (x7→g^x).

Diese Strukturen und Einwegfunktionen k ¨onnen nun auch f ¨ur weitere kryptographische Aufgabenstellungen verwendet werden.

•Digitale Unterschriften.

•Schl ¨usselaustausch (von symmetrischen Schl ¨usseln).

•...

1 1. Juli 2004

Digitale Unterschriften

Auch digitale Signaturen genannt.

Nachrichten aus Nachrichtenraum:M∈M_. Signaturen aus Signaturenraum:σ∈S.

Schl ¨ussel sind aus Schl ¨usselr ¨aumen:d∈K₁,e∈K₂. SignierungsverfahrenS _:K1×M _S.

VerifizierungsverfahrenV _:K2×M_{×S→ {0,1}.}

Signatur von Nachrichtmmit Schl ¨usseld: σ←S_(d,M).

Verifizierung vonM,σmit Schl ¨ussele: f ←V_(e,M,σ).

e ¨offentlicher Schl ¨ussel,dprivater Schl ¨ussel.

RSA Signatur

Wie auf voriger Folie mit RSA Funktion.

Prinzipielle Probleme (existenzielle F ¨alschungen):

•Homomorphie, Produkt von Signaturen ist Signatur des Produkts der Nachrichten.

•Elemente aus dem Signaturraum leicht hinschreibbar, Verschl ¨usseln liefert passende Nachricht.

•Abhilfe in beiden F ¨allen durch

”Hash-then-Sign“. Hash Funktion soll auch Einwegfunktion sein ...

Gemeinsame Verwendung mit RSA Verschl ¨usselung:

•Es sollten unterschiedliche Paare(d,e)verwendet werden.

•Sonst Angriff: Erhalte Chiffretextc=m^emodn, berechnecr^emodn f ¨urrzuf ¨allig, erfrage Signaturσ= (cr^e)^d modnvoncr^emodn, berechnem=σ/r.

7 1. Juli 2004

RSA Signatur

In PKCS # 1 Version 2.1 werden zwei RSA Signaturverfahren definiert:

•PSS (probabilistisch, keine eindeutigen Signaturen)

•PKCS #1 Version 1.5

Hier geht es im wesentlichen um die Codierung der Nachricht, auf die dann die inverse RSA Funktion angewendet wird.

PSS und die Variante zwei Folien zuvor (mit surjektiver Hash Funktion, Full Domain Hash) sind sicher bez ¨uglich existenzieller F ¨alschung unter einem adaptiven chosen-message Angriff (im Zufallsorakelmodell).

PSS hat eine bessere Sicherheitsreduktion als FDH.

Angriffe und Sicherheitsmodelle

Informationen (F ¨ahigkeiten) des Angreifers in aufsteigender Reihenfolge:

•Key-only Angriff: Der Angreifer kennt nur den ¨offentlichen Schl ¨ussel des Signierers.

•Known-Signature Angriff: Der Angreifer erh ¨alt Nachrichten und die zugeh ¨origen Signaturen.

•Chosen-Message Angriff: Der Angreifer kann sich die Nachrichten aussuchen und erh ¨alt die zugeh ¨origen Signaturen.

Den letzte Variante gibt es auch in adaptiver Form.

St ¨arkstes Sicherheitsmodell: Sicherheit bez ¨uglich existenzieller F ¨alschung unter adaptiven Chosen-Message Angriffen.

5 1. Juli 2004

Signatur mit Einwegfunktion mit Fallt ¨ur

Seien f,h:{0,1}ⁿ× {0,1}^m→ {0,1}^mderart, daß es f ¨ur jedes (zuf ¨allige)e∈ {0,1}ⁿeind∈ {0,1}ⁿgibt, so daß die Funktion f(e,·) eine Einwegfunktion mit Fallt ¨urdund inverser Funktionh(d,·)ist.

Beispiel: RSA Funktionenx7→x^e,y7→y^d. Dann f ¨urM∈ {0,1}^m:

•Signieren:σ=S_{(d,M) =h(d,}M), Signatur ist(M,σ).

•Verifizieren:V_(e,M,σ) = 1genau dann, wenn f(e,σ) =M.

”Sicherheit“ basiert informell also darauf, daß niemandσ=h(d,M) ausrechnen kann, ohnedzu kennen.

Signierer beweist, daß er die geheime Information kennt.

Signatur mit Einwegfkt ohne Fallt ¨ur

Vereinfachter Ansatz: Authentifizierungsgerade.

•F ¨ur diei-te Signatur hat man zwei Schl ¨usselpaare. Das erste Paar dient zum Signieren deri-ten Nachricht, das zweite Paar zum Signieren der neuen,(i+ 1)-ten Schl ¨usselpaare.

•Die nullten Schl ¨usselpaare werden

”geglaubt“ oder durch ein Trustcenter authentifiziert.

•Der Verifizierer ¨uberpr ¨uft die Authentizit ¨at der Schl ¨ussel f ¨ur i,i−1, . . . ,0.

Problem:

•Aufwand linear ini.

•Daher einen balancierten Bin ¨arbaum verwenden, so daß Strecke bis zum nullten Schl ¨ussel nurO(log(i))lang ist.

11 1. Juli 2004

Schnorr Signatur (Variation)

Benutzt Einwegmonomorphismus (beispielsweise Exponieren in zyklischer Gruppe) als Einwegfunktion ohne Fallt ¨ur.

Seip: (G,+)→(V,·)ein Einwegmonomorphismus zyklischer Gruppen (z.B.Z/`Z→V,x7→g<sup>x</sup>) undH eine Hashfunktion nachZ/`Z,#G=`.

Schl ¨usselerzeugung:

•W ¨ahlex∈Gzuf ¨allig und setzey=p(x). Der ¨offentliche Schl ¨ussel isty, der geheimex.

Signieren vonM:

•W ¨ahlek∈Gzuf ¨allig und setzer=p(k),h=H(M||r),u=hx+k, σ= (u,r). Die Unterschrift ist(M,σ).

Verifizieren von(M,σ):

•Unterschrift ok⇔p(u) =y^H(M||r)r.

Signatur mit Einwegfkt ohne Fallt ¨ur

One-time Signatur Verfahren von Lamport (man kann mit einem Schl ¨usselpaar nur einmal unterschreiben, Nutzen nur theoretisch):

Sei f :{0,1}ⁿ→ {0,1}ⁿ eine Einwegfunktion.

Schl ¨usselerzeugung:

•x_i,j∈ {0,1}ⁿ zuf ¨allig, f ¨ur1≤i≤mund j∈ {0,1}. Setzey_i,j= f(x_i,j).

Der ¨offentliche Schl ¨ussel sind diey_i,j, der geheime diex_i,j. Signieren vonM∈ {0,1}^m:

•IstM=M1||. . .||MmmitMi∈ {0,1}, so setzeσ=x1,M₁||. . .||xm,Mm. Die Signatur ist(M,σ).

Verifizieren von(M,σ):

•Unterschrift ok⇔ f(σ_i) =y_i,Mif ¨urσ=σ₁||. . .||σ_mmitσ_i∈ {0,1}ⁿund allei.

9 1. Juli 2004

Signatur mit Einwegfkt ohne Fallt ¨ur

Dieses Signaturverfahren ist f ¨ur eine bijektive Funktion f sicher bez ¨uglich existenzieller F ¨alschung unter einem key-only Angriff.

Allerdings nicht praktikabel, da Signaturenn-mal so lang sind wie die Nachrichten.

Will man mehrmals signieren, ben ¨otigt man f ¨ur jede Signatur ein eigenes Schl ¨usselpaar. In dieser Situation stellt sich besonders die Frage nach der Authentizit ¨at der ¨offentlichen Schl ¨ussel.

Dies kann mit einem Authentifizierungsbaum gel ¨ost werden.

Schnorr Signatur

Das Schnorr Signaturverfahren ist im Zufallsorakelmodell sicher bez ¨uglich existenzieller F ¨alschung unter adaptivem chosen-message Angriff. Ein erfolgreicher Angreifer k ¨onnte hierbei benutzt werden, um pzu invertieren bzw. ein DLP zu l ¨osen.

Die Idee des Sicherheitsbeweises ist wie folgt:

Gegebeny∈V. Zu finden istx∈Gmity=p(x).

Die Signierungsanfragen des Angreifers werden simuliert. Sei

h∈Z/`Zundu∈Gzuf ¨allig und setzer=p(u)y^−h,H(M||r) =h. Dann ist σ= (u,r)eine g ¨ultige Unterschrift.

Der Angreifer liefert uns eine F ¨alschung(M,σ₁)mitσ₁= (u₁,r), f ¨ur die er nicht die Signatur, aber den HashwertH(M||r)erfragt hat.

15 1. Juli 2004

Schnorr Signatur

Wir lassen den Angreifer noch einmal rechnen mit genau denselben Eingaben, denselben Hashwerten und demselben Zufallsband. Bei der AnfrageH(M₁||r)liefern wir jetzt einen anderen Zufallswert zur ¨uck.

Man kann zeigen (

”Forking Lemma“), daß der Angreifer nach Voraussetzung auch in diesem Fall mit signifikanter

Wahrscheinlichkeit eine F ¨alschung(M,σ₂)mitσ₂= (u2,r)produziert.

Dann giltp(u_i) =y^hirmith_idem jeweiligen HashwertH(M||r).

Es folgtp(u₁−u₂) =y^h1−h2. Da dieh_izuf ¨allig sind, gilth₁−h₂= 0 mod` mit insignifikanter Wahrscheinlichkeit.

Folglich p((u1−u2)/(h1−h2)) =yund mitx= (u1−u2)/(h1−h2)haben wir ein Urbild vonyunterpberechnet. Dies zeigt im ¨ubrigen auch, daßknicht doppelt verwendet werden oder vorhersehbar sein sollte.

Schnorr Signatur

Bei der

”echten“ Schnorr Signatur ersetzt manrdurchhinσ: Signieren vonM:

•W ¨ahlek∈Gzuf ¨allig und setzer=p(k),h=H(M||r),u=hx+k, σ= (u,h). Die Unterschrift ist(M,σ).

Verifizieren von(M,σ):

•Unterschrift ok⇔h=H(M||p(u)y^−h).

Da manhausr, aber auchraushund den anderen Werten ausrechnen kann, sind beide Verfahren logisch ¨aquivalent.

13 1. Juli 2004

Schnorr Signatur

Die echte Variante hat im allgemeinen k ¨urzere Signaturen, dahaus log₂(`), aberrauslog₂(q)Bits besteht, wennV⊆F^×q.

F ¨urG=Z/`Zwerden insgesamt2 log<sub>2</sub>(`)Bits Signatur produziert, V kann aber inF^×_q beliebiger Gr ¨oße eingebettet sein.

Daher kann man die Gruppengr ¨oße`und K ¨orpergr ¨oßeqso aufeinander abstimmen, dass Indexcalculus inF^×q genauso lange (oder l ¨anger) braucht wie Pollard rho inV.

Blinde Signaturen

Blinde Signaturen stellen ein Zwei-Pateien Protokoll dar.

•B schickt A Information. A erstellt eine Vorunterschrift.

•B modifiziert diese Vorunterschrift in eine regul ¨are Unterschrift (M,σ)von A der NachrichtM.

•A kennt wederMnochσund kann keine Verbindung von(M,σ)zu B herstellen. B kann keine weiteren Unterschriften produzieren.

Realisierung zum Beispiel mit RSA durch Verwendung einer

”blinding“

Funktion.

•B berechnetM⁰=Mk^emodnf ¨ur zuf ¨alligeskund schicktM⁰an A.

•A signiertM⁰, berechnet alsoσ⁰=M^0dmodnund schicktσ⁰an B.

•B berechnetσ=σ⁰k⁻¹modn. Dies ist eine Unterschrift vonM.

Blinde Unterschriften finden bei elektronischem Geld Anwendung.

19 1. Juli 2004

Undeniable Signature Schemes

Verifikation ben ¨otigt Mitarbeit des Signierers. Dieser darf aber nicht schummeln k ¨onnen (echte Signatur als unecht darstellen).

Verhindert Duplizierung und Verbreitung signierter Dokumente.

Schl ¨usselgenerierung:

•Wie ¨ublichy=g^x. Signieren:

•σ=M^x.

Verifizieren (durch Beweis des Wissens eines diskreten Logarithmus):

•W ¨ahlex1,x2zuf ¨allig, schickeσ^x1y^x2zum Signierer.

•Signierer schicktw= (σ^x1y^x2)^1/xzur ¨uck.

•Signatur ok genau dann, wennw=M^x1g^x2.

DSA

DSA = Digital Signature Algorithm aus DSS.

DSS = Digital Signature Standard, NIST 1994.

Schl ¨usselerzeugung:

•W ¨ahle zuf ¨allige 160-Bit Primzahl`undn-Bit Primzahl p, wobei n= 512 + 64t,0≤t≤8, und`|(p−1). Empfohlen istn= 1024.

•W ¨ahle zuf ¨alligesh∈Fp mitg:=h^(p−1)/`6= 1.

•W ¨ahlex∈Z/`Zzuf ¨allig und setzey=g^x.

•Der ¨offentliche Schl ¨ussel isty, der private Schl ¨ussel istx.

Signieren vonM:

•W ¨ahlekmit1≤k≤`−1zuf ¨allig.

•Setzeh= (g^kmodp) mod`undu=k<sup>−1</sup>(SHA-1(M) +hx) mod`.

Wennh= 0oderu= 0, dann neuesk.

•Die Signatur ist(M,σ)mitσ= (u,h).

17 1. Juli 2004

DSA

Verifizieren von(M,σ):

•Uberpr ¨ufe¨ 1≤h≤`−1und1≤u≤`−1. Wenn nein, Signatur zur ¨uckweisen.

•Berechnev=u⁻¹mod`undw= ((g<sup>SHA-1(M)</sup>y<sup>h</sup>)<sup>v</sup>modp) mod`.

•Signatur ok genau dann, wennw=h.

DSA ist Variante des ¨alteren ElGamal Signaturverfahrens.

ECDSA: Elliptic Curve DSA.

DSA Anmerkungen:

•ksoll pseudozuf ¨allig sein, nicht doppelt verwenden.

•Ohne Verwendung von SHA-1 nicht sicher bez ¨uglich existenzieller F ¨alschung unter key-only Angriff.

•Ohne Gr ¨oßencheck vonhundunicht sicher bez ¨uglich universeller F ¨alschung, wenn nur eine Signatur gegeben ist.

Bemerkungen

Verwendung von Verschl ¨usselung und Signaturen:

•Besser erst Signieren, dann Verschl ¨usseln.

•Sonst ist ja nur der Chiffretext unterschrieben ...

Versteckte Informations ¨ubertragung:

•Man kann die zuf ¨alligen Exponentenkmit Information versehen und so Signaturverfahren auch f ¨ur die versteckte

Informations ¨ubertragung nutzen.

•Der private Schl ¨ussel muß hierf ¨ur beiden Parteien bekannt sein ...

23 1. Juli 2004

Undeniable Signature Schemes

Wenn der Signierer nicht kommuniziert, geht man davon aus, daß die Signatur ok ist.

Volle Verifikation ( ¨Uberpr ¨ufung, ob die Signatur(M,σ)ok oder eine F ¨alschung ist oder ob der Signierer schummelt):

•F ¨uhre Verifikation mitx1,x2aus, liefertw. Ist Signatur ok, dann fertig.

•F ¨uhre Verifikation mitx⁰₁,x⁰₂aus, liefertw⁰. Ist Signatur ok, dann fertig.

•Berechnec= (wg^−x2)^x01undc⁰= (w⁰g^−x02)^x1.

•Wennc=c⁰, dann istσF ¨alschung. Ansonsten schummelt der Signierer.

21 1. Juli 2004

Undeniable Signature Schemes

Wennσ6=M^xund der Signierer schummelt nicht, dann c= (σ^x1/xg^x2g^−x2)^x01=σ^x1x01/x= (σ^x01/xg^x02g^−x02)^x1=c⁰.

Wennσ6=M^xund der Signierer schummelt, so m ¨ußte er f ¨urc=c⁰die Gleichungw^0x1= (wg^−x2)^x01g^x02x1inw⁰f ¨ur unbekanntesx₁(und

unbekannte rechte Seite) l ¨osen.

Der Wertx1kann vom Signierer mit Hilfe der gegebenen Information nicht berechnet werden, es bleibt nur raten ¨ubrig.

Daher ist es f ¨ur den Signierer im wesentlichen unm ¨oglich, zu schummeln.

Ist ebenfalls Zwei-Parteien Protokoll.