Opgaven Discrete Logaritme en Cryptografie Security, 22 okt 2018, Werkgroep.

Transcriptie

1 Opgaven Discrete Logaritme en Cryptografie Security, 22 okt 2018, Werkgroep. Gebruik deze opgaven, naast die uit het boek, om de stof te oefenen op het werkcollege. Cijfer: Op een toets krijg je meestal zes tot acht opgaven. 1. Elgamal samenwerking: Bert en Ernie gebruiken beide Elgamal voor het ontvangen van berichten. Ze gebruiken algemeen bekende, gedeelde parameters g en p, hebben private sleutels a 1 resp. a 2, en publieke sleutels b 1 resp. b 2. (a) Om een bericht x aan Bert te sturen, kiest Aart een random k en stuurt (g k, x.b k 1 ). Hoe ontsleutelt Bert de boodschap? (b) Aart vermenigvuldigt de twee publieke sleutels: b = b 1.b 2 en versleutelt een bericht m met sleutel b. Welke waarde moet als bijpassende geheime sleutel worden gebruikt? (c) Aart versleutelt een bericht met de nieuwe sleutel b. Laat zien hoe Ernie en Bert kunnen samenwerken om het bericht te ontsleutelen, zonder hun geheime sleutel aan iemand te geven. Oplossing: (a) De decryptieformule is D a (u, v) = v/u a. (b) Vanwege de somregel voor exponenten is b = g a 1+a 2 ; de boodschap kan dus met de formule uit (a) worden ontcijferd als je de waarde a = a 1 + a 2 hebt. (c) Als Bert noch Ernie zijn a i wil vertellen, is het expliciet maken van a onmogelijk. Gelukkig is D a (u, v) = D a1 (u, D a2 (u, v)) (reken na!) zodat Ernie en Bert apart kunnen ontcijferen. Bert berekent x = D a1 (u, v), stuurt x naar Ernie, en Ernie berekent x = D a2 (u, x ). Beoordeling/Toelichting: Totaal 3pt; 1 voor (a) en (b), en 1 voor (c). Let er bij c op dat de beschreven berekening polynomiaal is en geen geheime sleutels uitwisselt. E = Expliciet maken van sleutel a = a 1 + a 2 door aan elkaar of een Trusted Third te geven: max 1/2 pt. L = Sleutel a berekenen door Logaritme uit b te nemen: is in het algemeen totaal infeasible. De toepassing van dit principe is wat serieuzer dan de namen van de hoofdpersonen doen vermoeden. Berichten die met key b zijn versleuteld, kunnen door niemand individueel worden gelezen, maar wel door samenwerking. Hiermee wordt organisatorische controle verkregen over het onsleutelen. Je kunt dit gebruiken in bv. een bedrijf waar bepaald is dat kritische berichten alleen in aanwezigheid van alle directeuren mogen worden geopend. Of voor stem-protocollen; zie het hoofdstuk over Secure Computing.

2 2. Elgamal kosten: Hoe luiden de encryptie en decryptieformules van Elgamal? Is de Elgamal private functie duurder of goedkoper dan de publieke, en wat is de kostenverhouding? Oplossing: De publieke functie kiest een random getal k en berekent b k.x en g k, met twee exponentiaties. De private functie berekent v/u a met één exponentiatie. De kosten voor het randomiseren, vermenigvuldigen en delen zijn van lagere orde, daarom is de publieke functie ongeveer tweemaal zo duur. (Als je niet 1,2,3 gelooft dat het delen in kwadratische tijd kan: bereken z = u q a en x = v.z.) Beoordeling/Toelichting: Beoordeling: max 2pt. Met de encryptie en decryptiefunctie krijg je 1pt; voor de verhouding 2 met uitleg ook 1pt. D = Publieke is Duurder: Zonder verhouding of uitleg net te vaag voor puntentoekenning. E = Pub en priv zijn Even duur asymptotisch: Mits onderbouwd en O wordt genoemd 1/2pt. K = Kleine publieke exponent zoals bij RSA kan hier niet. K = Delen kost (omdat het exponentiatie met 1 is) Kubisch: Dit is onjuist, delen kan in kwadratische tijd al heb ik niet uitgelegd hoe. Maar sowieso kun je vermenigvuldigen met u a ipv. delen. S = Modulus is Samengesteld, kost 1/2pt. T = Publieke is Tweemaal zo duur: Zonder verdere uitleg 1/2pt. V = Bij (a) wordt de TI84-code Verbatim vermeld zonder uitleg: 0pt. 9 = p is altijd 95917: Nee, dat is juist nooit zo omdat dit een veel te kleine modulus is. Alleen in piepkleine demo-programmaatjes kun je een zo kleine modulus gebruiken. Tot mijn verbazing waren er meerdere personen die schreven dat er bij decryptie driemaal wordt geëxponentieerd. Kan iemand me vertellen waarop deze massale dwaling gebaseerd is? Dan kan ik dit misschien volgend jaar voorkomen. 3. Elgamal encryptie: Het Elgamal encryptiesysteem gebruikt een modulus p, generator g, en een orde q. De ElGamal-encryptie van x is het paar (u, v) = (g k, b k.x). (a) Welke relatie geldt tussen p, g, en q? (b) Welke relatie geldt tussen de secret key a en de bijbehorende public key b? (c) Bob stuurt Alice een bericht x, versleuteld met Elgamal. Schurk Oscar vervangt het bericht (u, v) door (u 2, v 2 ). Bewijs dat na ontsleuteling, Alice het bericht x = x 2 leest. Oplossing: (a) g q = 1 in Z p. (b) g a = b. (c) Dit kun je vrij gemakkelijk doen met de Elgamal decryptieformule, maar het kan ook met de encryptieformule en ook met een combinatie ervan. De decryptie is D(u, v) = v/u a, en van de oorspronkelijke boodschap weten we dat daar Bob z n x weer uitrolt: v/u a = x. Door Oscars ingrijpen past Alice de decryptieformule toe op (u, v ) = (u 2, v 2 ) en ze vindt dan: D(u, v ) = v /u a (vanwege Decryptieformule) = v 2 /(u 2 ) a (door Oscars kwadratische ingrijpen) = (v/u a ) 2 (met omschrijven haakjes) = x 2 (gebruik uitkomst correcte decryptie). Beoordeling/Toelichting: Voor (a) en (b) en (c) elk 1pt.

3 4. Elgamal is Multiplicatief: Het Elgamal encryptiesysteem gebruikt een modulus p, generator g, en een orde q. De ElGamal-encryptie van x is het paar (u, v) = (g k, b k.x). (a) Welke relatie geldt tussen p, g, en q en welke tussen de secret key a en de public b? (b) Bob stuurt Alice een bericht x, versleuteld met Elgamal. Met welke formule ontsleutelt Alice dit? (c) Schurk Oscar kan aan het bericht niet de x aflezen, maar wenst dat Alice bij ontsleuteling een f maal zo grote waarde leest als Bob heeft verstuurd. Hij vervangt het bericht (u, v) door (u u f, v v f ), waar (u f, v f ) een encryptie van f is. Slaagt Oscar in zijn opzet? Oplossing: (a) g q = 1 in Z p en g a = b. (b) D a (u, v) = v/u a geeft weer antwoord x. (c) Dit kun je vrij gemakkelijk doen met de Elgamal decryptieformule, maar het kan ook met de encryptieformule en ook met een combinatie ervan. De decryptie is D(u, v) = v/u a, en van de oorspronkelijke boodschap weten we dat daar Bob z n x weer uitrolt: v/u a = x. Door Oscars ingrijpen past Alice de decryptieformule toe op (u, v ) = (u u f, v v f ) en ze vindt dan: D(u, v ) = (v )/(u ) a (vanwege Decryptieformule) = (v v f )/(u u f ) a (door Oscars ingrijpen) = (v/u a ) (v f /u a f ) (met omschrijven haakjes) = x x f (gebruik uitkomst correcte decryptie). Beoordeling/Toelichting: Voor (a) en (b) en (c) elk 1pt. A = Waar staat nou het Antwoord op mijn vraag? K = Alice Kent k niet, zelfs niet met behulp van haar geheime sleutel! V = Per encryptie wordt een Verschillende k gebruikt, dus (als je met de k rekent) moet je in je bewijs een k van Bob en een k f apart houden. 5. Elgamal: Bob en Alice gebruiken Elgamal-versleuteling met p = en g = Bob s public key is (a) Wat is de relatie tussen g en p? Welke andere waarden voor g had men kunnen kiezen? (b) Alice wil aan Bob de intensiteit van haar liefde voor hem laten weten: Hoe versleutelt zij dit bericht? (c) Eve heeft een bericht (24672, 54607) naar Bob onderschept. Wat is de geheime mededeling? Oplossing: (a) g moet een generator zijn van Zp of als orde een groot priemgetal q hebben. (b) Alice kiest eerst een random getal k (wij kiezen hier volgens RFC het random getal 4). Dan berekent zij u = g k en z = b k (N.B. alle berekeningen zijn modulo p). In dit voorbeeld is (met als random getal k = 4) u = en z = De encryptie is dan het paar (u, 9001 z) = (31691, 27826). (c) Om dit voor elkaar te krijgen moet je de public key van Bob vinden, het getal a zodat b = g a. Je hebt hiervoor een rekenmachine met discrete-logaritmeknop nodig. Bepaal Dlog 5738 (9612), je vindt a = Je kunt nu z = u a berekenen, dit is Het originele bericht is nu Pak weer je modulaire rekenmachine (of Euclides) erbij, je vindt het originele bericht: Beoordeling/Toelichting: 1pt voor (a), 1pt voor (b), 1,5pt voor (c). Totaal 3,5pt.

4 6. Elgamal: Elgamal encryptie werkt met een generator g van Z p. (a) Waarom zou je willen dat g een generator is? (b) Bewijs dat de decryptie van een encryptie in het Elgamal-algoritme de originele tekst teruggeeft. (c) Wat is de looptijd van encryptie en decryptie in het Elgamal-algoritme (grote O-notatie)? Welk van beide is sneller? Oplossing: (a) Omdat zo elke k Z p als publieke sleutel of blinder kan voorkomen. (b) Toon aan: D(E(x)) = x. Tijdens encryptie geldt dat v = z x, de decryptie geeft de tekst x = v z 1. Substitutie van v in de tweede formule geeft x = z x z 1. Nu geldt dat z = z, want z = u a = (g k ) a = (g a ) k = b k = z. Dus x = z z 1 x = 1 x. Nu geldt dat x = x, de decryptie van een encryptie geeft dus de originele tekst. (c) Voor zowel encryptie als decryptie blijkt dat de exponentiatie de zwaarste operatie is. Deze operatie kost O(k 3 ) tijd. Omdat encryptie 2 en decryptie 1 exponentiatie kent, is decryptie ongeveer 2x zo snel als encryptie. Beoordeling/Toelichting: 0,5pnt voor (a), 1pt voor (b), 1pnt voor (0.5 voor complexiteit, 0.5 voor snelste)(c) Totaal 2.5pt. 7. Blinde Logaritme: De NSA heeft een kolossale machine gebouwd waarmee ze, voor een bepaalde publieke modulus p en generator g, de discrete logaritme kunnen berekenen. Om hun ontwikkelkosten terug te verdienen, bieden ze de service commercieel aan. Als je ze een y Z p stuurt en een Bitcoin, krijg je een x < p 1 terug, waarvoor geldt g x = y (in Z p ). Simon heeft wel een Bc over voor de log van zeker getal y, maar hij wil niet dat de NSA weet in welk getal hij geïnteresseerd is. (a) Simon kiest een random b Z p en stuurt y = b.y naar de NSA. Welke informatie geeft dit de NSA over y? (b) Simon vreest dat de NSA hem bedriegt en een fout antwoord stuurt. Wat kan Simon doen om zekerheid te krijgen over de juistheid van het gekochte getal? (c) Hoe kan Simon uit het gekochte antwoord de log van y berekenen? Oplossing: (a) Geen, want deze blindering is perfect verhullend. Inderdaad is er, bij gegeven waarde y, voor elke waarde van y, een getal b (namelijk b = y /y), waarvoor y = y.b. Ook als b gekozen wordt als random g-macht (zie c) gaat dit verhaal op wanneer g een generator is, dus elke b is ook een g-macht. (b) Na ontvangst van x checkt hij dat g x = y. Als dit niet klopt kan hij zelfs bij een onafhankelijke rechter gaan klagen want iedereen kan dit narekenen. (c) Simon zorgt dat hij de log van b weet, door deze te kiezen als g r voor random r. Omdat y = y.b is log(y ) = log(y) + log(b), dus x = x r (reken hier modulo φ(p)). Beoordeling/Toelichting: Een punt per deelvraag, max 3.

5 8. Elgamal rekentijd: Voor Elgamal encryptie worden gedeelde parameters, een modulus en een generator g gebruikt. De private key is een getal a en de public key is b = g a. Je hoort geruchten dat bij Elgamal, de encryptie tweemaal zo duur is als de decryptie, maar dat je de berekening kunt versnellen door een Chinese stelling te gebruiken. (a) Klopt het dat encryptie zoveel duurder is, en waarom? (b) Hoeveel kun je de berekening versnellen met die Chinese stelling? Oplossing: (a) Ja, dat klopt. De rekentijd wordt gedomineerd door machtsverheffen. Voor encryptie moet dat twee keer (Rnd k, u = b k, v = g k x) en voor decryptie maar een keer (x = v/u a ). (b) De modulus p is een priemgetal, daarvoor is splitsen van de berekening in twee delen met de CRT niet mogelijk. Het tweede gerucht is onjuist, de triviale speedup factor is dus 1. Beoordeling/Toelichting: Tot 2pt, 1 voor a en 1 voor b. C = De CRT is een Rest Stelling, geen Rijst-stelling. F = Je kunt CRT niet gebruiken omdat je de factorisatie van de modulus niet kent is onjuist! K = De berekening van b = g a is deel van de Key generation en telt niet mee bij de decryptie. M = Het is niet Machtsverheft maar machtsverheven. V = Je kunt u = b k wel Voorberekenen, maar je moet dit wel voor elk bericht weer doen, dus telt wel mee voor encryptietijd.

6 9. Elgamal Kopie maken: Alice gebruikt voor het ontvangen van berichten een Elgamal keypair waarvan het publieke getal b (en modulus p en generator g) op haar website staat. (a) Bob wil Alice getal x sturen; beschrijf de encryptie en het codebericht. (b) Oscar ziet het bericht Y dat Bob aan Alice stuurt en wil, zonder dat hij x kent, Alice ook bericht x sturen. Maar Alice filtert haar berichten op herhalingen van de ciphertekst, dus zelf Y ook sturen kan Oscar niet. Beschrijf hoe Oscar een bericht Y kan berekenen dat verschilt van Y, maar dezelfde waarde oplevert bij decryptie. (c) Zijn de Elgamal-berekeningen duurder of goedkoper dan de berekeningen van het RSAsysteem? Oplossing: (a) Elgamal encryptie kiest een random k, berekent u = g k en v = x b k, en stuurt het bericht Y = (u, v). (b) Omdat Elgamal multiplicatief is, kun je het bericht vermenigvuldigen met een encryptie van 1 en blijft de plaintext hetzelfde. Qua uitvoering ziet dit er zo uit: Oscar neemt een random l, berekent g l en b l, en vervangt Y = (u, v) door Y = (u g l, v b l ). Dat hier bij decryptie hetzelfde uitkomt kun je bewijzen met de decryptieformule, maar je kunt ook inzien dat Y een encryptie van x is met random getal k + l ipv k. (c) Encryptie is voor Elgamal veel duurder want kost twee exponentiaties en RSA een constant aantal vermenigvuldigingen. Decryptie is vergelijkbaar want kost zowel bij RSA als Elgamal een exponentiatie (de exponent kan bij subgroup Elgamal iets kleiner zijn). (Key generation is voor RSA veel duurder want je moet priemgetallen zoeken, terwijl je voor Elgamal alleen een random getal kiest en 1 exponentiatie doet. Maar je krijgt hier volle punten voor alleen en- en decryptie.) Beoordeling/Toelichting: Per deelvraag 1pt. A = Oscar kan natuurlijk geen berekening doen waar a bij nodig is. N = Encrypten met een Nieuwe k kan niet want dan moet hij eerst x weten. P = Modulus p erbij optellen is niet goed, want geeft hetzelfde getal in Z p. V = Verhef u en v tot dezelfde macht, geeft andere uitkomst. Z = Vermenigvuldig u en v met Zelfde getal klopt niet. 10. Quantum Cryptografie: Is het gebruik van Quantum Cryptografie zoals in van het dictaat kwetsbaar voor Man-In-The-Middle attacks? Leg uit! Oplossing: Ja, want Oscar kan zich voordoen als Alice tegenover Bob en vice versa. Oscar heeft dus twee onafhankelijke verbindingen... Beoordeling/Toelichting: 1 punt voor de goede uitleg. 0 voor alleen ja/nee. 11. Diffie-Hellman key agreement: In het Diffie-Hellman protocol heeft elke partij een private (x) en een publieke (y) sleutel. (a) Welke relatie geldt tussen deze twee getallen? (b) Beschrijf hoe Alice en Bob een symmetrische sleutel kunnen overeenkomen. Oplossing: Zie dictaat sectie Er is afgesproken in welke groep (modulus p) er wordt gerekend en een getal g Z p is aan iedereen bekend. (a) De relatie is y = g x ; vanwege de moeilijkheid van het logaritmeprobleem is het onmogelijk om x uit y te bepalen. (b) Beide partijen verheffen de public van de andere tot de eigen geheime macht; de resultaten zijn gelijk, dus y x A B = K = y x B A. De gemeenschappelijke sleutel sleutel wordt afgeleid van K. Beoordeling/Toelichting: Samen 2, voor elke deelvraag 1.

7 12. Diffie-Hellman Key Exchange: Een Key Exchange protocol zorgt ervoor dat partijen Alice en Bob over dezelfde key k kunnen beschikken, zonder dat een afluisteraar die key ook te weten komt. In het protocol van Diffie en Hellman hebben de partijen elk een geheim getal x en een publiek getal y. (a) Wat is de relatie tussen x en y, en hoe bepalen Alice en Bob k? (b) Bewijs dat zij dezelfde waarde vinden. (c) Hoe groot moeten de gebruikte getallen zijn? Oplossing: (a) Er zijn gedeelde getallen p en g, en y = g x (mod p). Alice berekent de key uit een publieke en een geheime waarde: k A = y x A B en Bob k B = y x B A. (b) k A = y x A B = (g x B) x A = (g x A) x B = y x B A = k B. (c) Lang genoeg om berekenen van een discrete logaritme onmogelijk te maken. NIST heeft in 2012 al aanbevolen, van 1024b moduli over te stappen op 2048b getallen. In 2015 werd onderbouwd beweerd dat de NSA in staat kan zijn om Discrete Logaritme te berekenen voor 1024b getallen. Je kunt dus het beste een modulus van 2048b gebruiken. (Het geheime getal x is zo lang als q, de orde van de generator. Daarvoor is 200 tot 255b voorlopig genoeg.) Beoordeling/Toelichting: Te halen 3pt, 1 voor elke deelvraag. 13. Shanks Grote Stappen, Kleine Stappen: Reken modulo p = 47 met g = 2, een element van orde q = 23. (a) Shanks Log algoritme kiest w waarvoor w 2 > q. Waarom, welke w is dat in dit voorbeeld, en zijn andere keuzen ook zinvol? (b) Welke machten slaat Shanks op in de tabelfase? (c) Hoe wordt de log van x = 34 bepaald? Oplossing: (a) Volgens het dictaat kun je m machten van g t opslaan, waarbij m.t > q. Je doet dan in de tabelfase ongeveer m vermenigvuldigingen en in de opzoekfase t, dus samen m + t. Het minimum voor m + t onder restrictie mt > q ligt rond m = t q. Dus hier nemen we w = 5. Je kunt kiezen om minder punten op te slaan, dus kleinere m en grotere t, als geheugengebruik een probleem is. De keuze voor grotere m en kleinere t kan juist zinvol zijn wanneer er meerdere logaritmen uitgerekend moeten worden. Want als je k keer een log berekent, is het totale aantal vermenigvuldigingen ongeveer m + k.t (maximaal, gemiddeld m + k.t/2) en dit heeft minimale waarde rond m = qk. (b) Bereken g w = 2 5 = 32. Opgeslagen worden 32 (dit is g 5 ), 37 (dit is g 10 ), 9 (dit is g 15 ), 6 (dit is g 20 ), 4 (dit is g 25 ). (c) Het argument x wordt met g = 2 vermenigvuldigd tot we een getal uit de tabel tegenkomen. x zelf, 34, is niet opgeslagen. x.2 is 21 en komt ook niet voor is 42 en komt ook niet voor = 37 en dit komt wel voor, immers 37 is g 10. Er is driemaal met g vermenigvuldigd met resultaat g 10, dus log(34) = 7. Beoordeling/Toelichting: 14. Shanks programma: Schrijf een implementatie van Shanks Grote Stappen, Kleine Stappen methode. Oplossing: Beoordeling/Toelichting:

8 15. Pollard programma: Schrijf een implementatie van Pollards Rho-methode voor discrete logaritmen. Oplossing: Beoordeling/Toelichting: Uitprogrammeren van Pollards algoritme is moeilijker dan Shanks, maar je zult er grotere getallen mee kunnen berekenen omdat je niet de geheugen-overhead van Shanks hebt.