Optimal asymmetrisk kryptering med polstring
OAEP ( engelsk Optimal A symmetric Encryption P adding , Optimal asymmetrisk encryption with addition) er et additionsskema , der normalt bruges sammen med en envejsfunktion med en hemmelig indgang (for eksempel RSA- eller Rabin-funktioner ) for at øge den kryptografiske styrke af sidstnævnte. OAEP blev foreslået af Mihir Bellare og Phillip Rogaway [1] , og dens anvendelse til RSA blev efterfølgende standardiseret i PKCS#1 og RFC 2437 .
Historie
Den originale version af OAEP, foreslået af Bellare og Rogaway i 1994, blev hævdet at være modstandsdygtig over for angreb baseret på valgt chiffertekst i kombination med enhver envejs hemmelig indtastningsfunktion [1] . Yderligere undersøgelser har vist, at en sådan ordning kun er modstandsdygtig over for angreb baseret på ikke-adaptiv valgt chiffertekst [2] . På trods af dette er det blevet bevist, at skemaet i den tilfældige orakelmodel , når man bruger standard RSA med chiffereksponent , også er modstandsdygtigt over for angreb baseret på adaptivt valgt chiffertekst [ 3] . Nyere arbejde har vist, at i standardmodellen (når hash-funktioner ikke er modelleret som tilfældige orakler) er det ikke muligt at bevise modstand mod adaptive chiffertekstangreb ved brug af RSA [4] .
OAEP-algoritme
Det klassiske OAEP-skema er et to -cellet Feistel -netværk , hvor data i hver celle transformeres ved hjælp af en kryptografisk hash-funktion . Som input modtager netværket en besked med kontrolnuller tilføjet og en nøgle - en tilfældig streng [5] .
Diagrammet bruger følgende notation:
- - antallet af bits i blokken forberedt til asymmetrisk kryptering .
- og er protokol-fikserede heltal.
- — almindelig tekst af meddelelsen, -bit streng.
- og er de kryptografiske hash-funktioner givet af protokollen.
Kryptering
- Meddelelsen er tilføjet nuller, på grund af hvilke den når bits i længden.
- En tilfældig -bit-streng genereres .
- udvider lidt af en streng til bits.
- .
- komprimerer lidt til lidt.
- .
- krypteret tekst .
Dekryptering
- Tilfældig streng gendannes
- Den oprindelige besked gendannes som
- De sidste tegn i den dekrypterede besked kontrolleres for nul. Hvis der er ikke-nul tegn, så er beskeden blevet forfalsket af en angriber.
Ansøgning
OAEP-algoritmen bruges til at forbehandle meddelelsen, før RSA bruges . Beskeden udfyldes først til en fast længde ved hjælp af OAEP og krypteres derefter med RSA. Samlet kaldes dette krypteringsskema RSA-OAEP og er en del af den nuværende offentlige nøglekrypteringsstandard ( RFC 3447 ). Det blev også bevist af Viktor Boyko, at visningsfunktionen i modellen af tilfældige orakler er en alt-eller-intet-type transformation[4] .
Ændringer
På grund af sådanne mangler som umuligheden af at bevise kryptografisk modstand mod angreb baseret på valgt chiffertekst , samt skemaets lave hastighed [6] , blev der efterfølgende foreslået OAEP-baserede modifikationer, der eliminerer disse mangler.
OAEP+ algoritme
Victor Shoup har , der er modstandsdygtigt over for adaptive chiffertekstangreb, når det kombineres med enhver envejs bagdørsfunktion [2] .
- - antallet af bits i blokken forberedt til asymmetrisk kryptering .
- og er protokol-fikserede heltal.
- almindelig tekstbesked, -bit streng.
- , og er kryptografiske hash-funktioner defineret af protokollen.
- En tilfældig -bit-streng genereres .
- konverteres til en længdestreng .
- konverteres til en længdestreng .
- Venstre side af beskeden er sammensat .
- konverteres til en længdestreng .
- Den højre side af beskeden er ved at blive skrevet .
- krypteret tekst .
- Den tilfældige streng gendannes .
- er opdelt i to dele og , med henholdsvis størrelser og bits.
- Den oprindelige besked gendannes som .
- Hvis den ikke er opfyldt , er meddelelsen forfalsket.
SAEP/SAEP+ algoritme
Dan Bonet har foreslået to forenklede implementeringer af OAEP, navngivet henholdsvis SAEP og SAEP+. Hovedideen med at forenkle kryptering er fraværet af det sidste trin - beskeden blev "limet" med den oprindeligt genererede tilfældige streng . Kredsløbene består således kun af én Feistel-celle , på grund af hvilken en stigning i driftshastigheden opnås [7] . Forskellen mellem algoritmerne fra hinanden kommer til udtryk i registreringen af kontrolbittene. I tilfælde af SAEP er disse nuller, mens dette for SAEP+ er en hash fra (henholdsvis som i OAEP og OAEP+) [5] . Ulempen ved algoritmerne er en kraftig reduktion af beskedens længde. Pålideligheden af skemaer i tilfælde af brug af Rabin-funktionen og RSA er kun blevet bevist med følgende begrænsning på længden af den transmitterede tekst: for SAEP + og desuden for SAEP [8] . Det er værd at bemærke, at ved omtrent samme hastighed har SAEP+ færre begrænsninger på meddelelseslængden end SAEP [8] , på grund af hvilket det er anerkendt som mere at foretrække [8] .
Diagrammet bruger følgende notation:
- - antallet af bits i blokken RSA eller Rabins kryptosystem .
- og er protokol-fikserede heltal.
- almindelig tekstbesked, -bit streng.
- og er de kryptografiske hash-funktioner givet af protokollen.
- En tilfældig -bit-streng genereres .
- konverteres til en længdestreng .
- konverteres til en længdestreng .
- Beregnet .
- krypteret tekst .
- Beregnet , hvor og er strenge af henholdsvis størrelse og .
- Ligestillingen kontrolleres . Hvis lighed er sand, så er den oprindelige besked , hvis ikke, så er beskeden forfalsket af en angriber.
Se også
Noter
- ↑ 1 2 Optimal asymmetrisk kryptering Sådan krypteres med RSA, 1995 , s. en.
- ↑ 1 2 OAEP Reconsidered, 2001 , s. en.
- ↑ RSA–OAEP er sikkert under RSA Assumption, 2001 , s. en.
- ↑ 1 2 Envejshandel mod udvalgt chiffertekstsikkerhed i faktorbaseret kryptering, 2006 , s. en.
- ↑ 1 2 Forenklet OAEP for RSA- og Rabin-funktionerne, 2001 , s. 277.
- ↑ Et billigt alternativ til OAEP, 2001 , s. en.
- ↑ Forenklet OAEP for RSA- og Rabin-funktionerne, 2001 , s. 275.
- ↑ 1 2 3 Forenklet OAEP for RSA- og Rabin-funktionerne, 2001 , s. 290.
Litteratur
- M. Bellare, P. Rogaway. Optimal asymmetrisk kryptering - Sådan krypteres med RSA . - Springer Berlin Heidelberg, 1995. - Vol. 950.-S. 92-111. - ISBN 978-3-540-60176-0 . — ISSN 0302-9743 . - doi : 10.1007/BFb0053428 .
- Eiichiro Fujisaki, Tatsuaki Okamoto, David Pointcheval og Jacques Stern. RSA–OAEP er sikkert under RSA-antagelsen . - Springer Berlin Heidelberg, 2001. - Vol. 2139. - S. 260-274. — ISBN 978-3-540-42456-7 . — ISSN 0302-9743 . - doi : 10.1007/3-540-44647-8_16 .
- P. Paillier og J. Villar. Envejshandel mod valgt kodetekstsikkerhed i faktorbaseret kryptering . - Springer Berlin Heidelberg, 2006. - Vol. 4284. - S. 252-266. - ISBN 978-3-540-49475-1 . — ISSN 0302-9743 . - doi : 10.1007/11935230_17 .
- Peter Schartner. Et billigt alternativ til OAEP . - 2001. - ISBN 978-1-4503-0882-3 . - doi : 10.1145/2349913.2349914 .
- Victor butik. OAEP genovervejet . - Springer Berlin Heidelberg, 2001. - Vol. 2139. - S. 239-259. — ISBN 978-3-540-42456-7 . — ISSN 0302-9743 . - doi : 10.1007/3-540-44647-8_15 .
- D. Boneh. Forenklet OAEP for RSA- og Rabin- funktionerne . - Springer Berlin Heidelberg, 2001. - Vol. 2139. - S. 275-291. — ISBN 978-3-540-42456-7 . — ISSN 0302-9743 . - doi : 10.1007/3-540-44647-8_17 .
- Victor Boyko. Om sikkerhedsegenskaberne for OAEP som en alt-eller-intet- transformation . - Springer Berlin Heidelberg, 1999. - Vol. 1666. - S. 503-518. — ISBN 978-3-540-66347-8 . — ISSN 0302-9743 . - doi : 10.1007/3-540-48405-1_32 .