Cursus Cryptografie STROOMCIJFER

Transcriptie

1 Cursus Cryptografie STROOMCIJFER

2 Onderwerpen Principe Schuifregister Lineair schuifregister Periode en kwaliteit Niet-lineaire systemen Lineaire complexiteit Filtering LFSR-combinaties Correlatieaanval Kloksturing 2

3 Stroomvercijfering 3

4 Vernam vercijfering Gilbert S. Vernam, 1917 telexcode + sleuteltape Baudot-code voor telex WW-II Führer-Hauptkwartier Wehrmacht-centra Lorenz Schlüßelzusatz SZ40/42 (Bletchley Park Tunny ) Siemens Geheimschreiber T52-a/e (Zweden, Arne Beurling) 4

5 SZ42 T52 T52 5

6 Stroomvercijferen vercijfering ASCII H a l l o klaar sleutel cijfer ontcijfering cijfer sleutel klaar ASCII H a l l o reconstructie sleutelstroom cijfer klaar sleutel

7 Kwaliteit Golomb criteria (Shift Register Sequences, 1967) aantal 1 en en 0 en zo goed mogelijk gelijk run = rij gelijke bits blok = rij 1 en gat = rij 0 en evenveel blokken als gaten van elke lengte aantal gaten en blokken kleiner naarmate langer uitfase-autocorrelatie is een constante p is de periode δ is de verschuiving 0,1...p -1 C = p px i= s i s i+ 7

8 Schuifregister S S S S S S S S s t registertoestand is S7S6S5S4S3S2S1S0 opeenvolging S7S6S5S4S3S2S1S0 (t -1) S7S6S5S4S3S2S1S0 (t) opbouw bituitvoer op tijdstip t...st-2 st-1 st-2 st-1 st st = S0(t), S0(t) = S1(t)... S7(t) = f(s0...s7)(t) 8

9 Terugkoppelfunctie voorbeeld f = 1 + S0 + S1S3 +S2S4 + S1S2S3S4 algebraïsche normaalvorm f = 1 + S Sn + S0S Sn-2Sn-1 + S0...Sn-1 n-traps register heeft 2 2n terugkoppelfuncties terugkoppelfunctie is te bepalen uit registertoestanden reeks opeenvolgende registertoestanden - losse cyclussen - vertakkingen maximale periode 2 n (De Bruin-rij, aantal 2 2n-1 -n ) 9

10 Voorbeelden f = + S + S S S S f = + S + S + S S S S 10

11 Vertakkingspunten S S S t! S S S t + S S S t + S 0 S0 S0 t S 6= S 0,i6=! S i = Si 0 f S,S,S = S + f S,S 11

12 Functie berekenen 12

13 Lineair schuifregister C C C C C C C C S S S S S S S S s t f S = C S C S C n S n = X n i= C i S i C i 2{,} s t = C n s t C s t n nx = C n i s t i i= 13

14 Terugkoppelfunctie omdat f = S0 + S1 + + Sn-1 geen vertakkingen C C C C C C C C S S S S S S S S s t als C0 = C1 = 0 verkorting tot vertraagd 6-traps register dus als regel C0 = 1 Als S0 = S1 = = Sn-1 = 0 dan st = 0 voor alle t er zijn daarom 2 n -1 registertoestanden 0 0 dus maximaal mogelijke periode = 2 n -1 maximaalrij 14

15 Werking LFSR C7 C4 C2 C S7 S6 S5 S4 S3 S2 S1 S0 LFSR = Lineair Feedback Shift Register 15

16 maximaalrij t S S S s t p p C C C C C C C C C C C C 16 C C C C C C C C C C C C

17 niet-maximaalrij t S S S s t p p p p C C C C C C C C C C C C 17 C C C C C C C C C C C C

18 Alternatieve nummering C C C C C C C C S S S S S S S S s t f S = nx C i S i s t = nx C n i s t i i= i= C C C C C C C C S S S S S S S S s t nx nx f S = i= C i S n i s t = i= C i s t i 18

19 Periode LFSR 19

20 Periode LFSR P ni= C n i x i {s i x i + +s x } Gx = P ni= C n i x i Gx = sx S = Gx = f x f x teller hoogstens van graad n -1 en noemer van graad n teller representeert begintoestand van het register noemer onafhankelijk begintoestand = karakteristieke functie in alternatieve nummering karakteristieke functie is het reciprook polynoom f *(x) = x n f (x -1 ) 20

21 Periode LFSR 21

22 Periode LFSR maximaal 22

23 Karakteristieke functie C C C C S S S S S S S S f x = x + x + x + x + = n n 23

24 Golomb #1 Golomb #1: aantal enen en nullen zo gelijk mogelijk kijk in maximaalrij naar het bit in S0 elk bit komt erlangs er zijn in totaal 2 n bitcombinaties van n bits alle bitcombinaties behalve worden doorlopen hiervan 2 n-1 met bit 1 in S0 hiervan 2 n-1-1 met bit 0 in S0 verschil 1 is best mogelijke bij oneven aantal conclusie LFSR voldoet aan Golomb #1 24

25 Golomb #2 Golomb #2: frequentie runs neemt af met hun lengte blok van k 1 en betekent resteren n-k-2 bits dus 2 n-k-2 blokken van lengte k idem 2 n-k-2 gaten van lengte k samen 2 n-k-1 runs van lengte k bijtellen bijzondere gevallen en totaal 2 + k=1..n-2 2 n-k-1 = 2 n-1 runs fractie runs van lengte k is 2 n-k-1 /2 n-1 = 1/2 k conclusie LFSR voldoet aan Golomb #2 25

26 Golomb #3 Golomb #3: uitfase autocorrelatie is constant uitfase autocorrelatie is C = combinatie van twee verschoven rijen is weer een andere rij uit de serie omdat 0 0=1 1=0 en 0 1=1 0=1 is aantal 0 en het aantal overeenkomstige in de combinatie resultaat voor autocorrelatie -1/(2 n -1) is constant conclusie LFSR voldoet aan Golomb #3 p px i= s i s i+ 26

27 LFSR cryptoanalyse 27

28 Niet-lineaire systemen LFSR s worden benut als bouwstenen Lineaire complexiteit als maat Filtering - multiplex generator - filterfunctie Registercombinaties - Pless, Geffe, Bruer, som generator - correlatieaanval, correlatie-immuniteit Kloksturing - stop-and-go - krimpgenerator - A5/1 en A5/2 voor GSM 28

29 Lineaire complexiteit lineaire complexiteit is een equivalent LFSR Berlekamp-Massey algoritme - startregister reproduceert begin van bitrij - produceer bits zolang nieuw bit matcht - breidt register uit bij mismatch random bitrij van n bits lineaire complexiteit plm. n/2 meer hogere termen in algebraïsche normaalvorm terugkoppelfunctie verhogen lineaire complexiteit S1 en S1S4S7 lage orde, S3S4S7S9S12S17 hoge orde 29

30 Voorbeeld complexiteit 30

31 Multiplexgenerator voorbeeld cryptoanalyse zie syllabus 31

32 Filterfuncties f = S S S S S S S S S S S S f = S S S S S f = S S S S S S S f = S + S S + S S + S S S S voorbeeld cryptoanalyse zie syllabus 32

33 Registercombinatie f S = S + S S1 S2 f LFSR LFSR = f x + gx f xgx n f + n g n f, n g = f x + gx f xgx 33

34 JK-flipflop f = S + + S + S s i S1 S2 f 0 0 st st-1! s t s t s =! s =! s = 34

35 Pless generator 35

36 Geffe-generator f = S + S S + S S periode is kgv van LFSR1, LFSR2, LFSR3 lineaire complexiteit is n1 + n1n2 + n2n3 S1 S2 S3 f correlatie 75% tussen uitvoer en LFSR1/LFSR2 36

37 Bruer-generator f = S S + S S + S S periode is kgv van LFSR1, LFSR2, LFSR3 lineaire complexiteit is n1n2 + n1n3 + n2n3 S1 S2 S3 f correlatie 75% tussen uitvoer en LFSR1,LFSR2,LFSR3 37

38 Siegenthaler-aanval voor elke begintoestand LFSRi output s vergelijken met output z van totale combinatie correlatie is t=1,m st zt voor m 2 n -1 correlatie hoog als kans st=zt afwijkt van 50% correlatie-immuniteit slechter met meer hogere termen in algebraïsche normaalvorm Pless-generator LSFR19 vergt ± 350 bits als voorbeeld Geffe-generator met kleine LFSR s en correlatiesom over 100 bits 38

39 Correlatie-aanval op Geffe LFSR-1 LFSR-3 LFSR-2 39

40 Aanval op cijfertekst effect minder duidelijk dan bij sleutelstroom kans dat LFSR-bit en cijfertekstbit gelijk zijn: - p = 1 - p0 - qlfsr(1-2p0) - p0 is kans op klaartekstbit = 0 - qlfsr is correlatie tussen lfsr en generator p0 kan per bit verschillen bijvoorbeeld hoogste ASCII-bit is meestal 0 40

41 Meier-Staffelbach combineer meer outputbits in vergelijkingen voorbeeld f(x) = 1 + x + x 15 (1) outputbit is st = st-14 + st-15 (2) bit in S0 is st+14 = st + st-1 Mastersectie (3) bit in S1 is st+15 = st+1 + st vervang s (output LFSR) door z (output generator) bereken kans dat vergelijkingen nog opgaan benader iteratief st uit zt voor een reeks t vergroot aantal vergelijkingen met f(x) n zelfde uitvoer zelfde aantal taps als n = 2 k effectiviteit aanval neemt af als meer taps in f(x) 41

42 Somgenerator t s t = a t b t t t = a t b t a t b t t periode is LFSR1 x LFSR2 in eerste orde correlatie-immuun S1 S2 σ f σ anticorrelatie 75% tussen uitvoer en σ 42

43 Stop-and-go f = S S f = S S + S S stop-and-go alternerend stop-and-go periode is LFSR1 x LFSR2 x LFSR3 lineaire complexiteit is periodelfsr1 x n2 + n3 correlatie tussen twee opeenvolgende bits en LFSR3 43

44 Krimpgenerator s t = S t S t = S = + x S = + x + x s t = St + St = S = + x + x 44

45 GSM-generator f f f f1 = 1 + x + x 2 + x 5 + x 19 f2 = 1 + x + x 22 f3 = 1 + x + x 2 + x 15 + x 23 45