College Cryptografie. Cursusjaar Informatietheorie. 29 januari 2003

Transcriptie

1 College Cryptografie Cursusjaar 2003 Informatietheorie 29 januari

2 Claude E. Shannon Informatiekanaal Entropie Equivocatie Markov ketens Entropie Markov keten Unicity distance Binair symmetrisch kanaal Kansberekening ud ONDERWERPEN 2

3 Claude Elwood Shannon ( ) AT&T Bell Telephones ( ) Grondslagen informatietheorie 1948 A Mathematical Theory of Communication Bell System Technical Journal Toepassing in de cryptografie 1949 Communication theory of secrecy systems Bell System Technical Journal Foto plm Claude Elwood Shannon Claude E. Shannon 3

4 ruis bron coderen kanaal decoderen bestemming probleemstellingen informatieoverdracht: volledig ondanks ruis meeluisteren verhinderen zo compact mogelijk Informatiekanaal 4

5 p i = kans op symbool s i {S} I(s i ) = informatiewaarde symbool s i S = aantal symbolen in S I(s i ) = log 2 ( 1 p i ) = log 2 p i entropie van {S} = S i=1 p i log 2 p i (bits per symbool) grenswaarden 0 H(S) log 2 S analogie met entropie in de thermodynamica (warmteleer) Entropie 5

6 p log 2 p p log 2 p p log 2 p p log 2 p A N B O C P D Q E R F S G T H U I V J W K X L Y M Z H 26 = H engels = (bits per symbool) Entropie Engels 6

7 combinatie (i, j) met j afhankelijk i en kans p ij = p i p j i entropie H(I, J) = H(I, J) = i p i log p i i } {{ } H(I) S i,j p ij log p ij p i p j i log p j i j } {{ } H(J I) als i en j onafhankelijk p ij = p i p j H(I, J) = H(I) + H(J) grenswaarden 0 H(J I) H(J) log 2 S Equivocatie 7

8 informatiekanaal met I als zender en J als ontvanger equivocatie term (kanaalverlies, noise entropy) H(J I) = p i p j i log p j i i j perfecte communicatie { 1 als j = i { H(J I) = 0 equivocatie is nul p j i = 0 als j i H(I, J) = H(I) geen verlies imperfecte communicatie 0 < p j i < 1 H(J I) > 0 H(I, J) = H(I) + H(J I) > H(I) Communicatie 8

9 definitie wederzijdse informatie W (I, J) = H(J) H(J I) (I = zender, J = b.v. cryptoanalist) perfecte waarneming (bekende sleutel) { 1 i = j p j i = H(J I) = 0 W (I, J) = H(J) = H(I) 0 i j imperfecte waarneming (cryptoanalyse) 0 < p j i < 1 0 < H(J I) < H(J) 0 < W (I, J) < H(J) geen waarneming (onbreekbaar cryptosysteem) p j i = p j H(J I) = H(J) W (I, J) = 0 Wederzijdse informatie 9

10 markov keten lengte 1 kans op QU is p(x Q) = { x = U 1 x U 0 markov keten lengte 2 kans op QUx is p(x QU) = x = A 0.37 x E, I 0.30 x = O 0.03 x A, E, I, O 0.00 markov keten lengte n kans op x 1 x 2... x n x n+1 met x n+1 = y is p(y x 1 x 2... x n ) Markov ketens 10

11 bereken entropie markov keten p x = S i...j p i...j p x i...j H(I... JX) = H(I... J) + H(X I... J) bepaal kansen uit tellingen p(j i) = lim n #ij/#i Entropie Markov keten 11

12 entropie berichten van L letters H(M L ) = H 1 (S 1 )+H 2 (S 2 S 1 )+H 3 (S 3 S 1 S 2 )+ L.H L (S L S 1... S L 1 ) engelse taal, 26 letter alfabet, in bits per symbool H 0 = 4.7 (= log 2 26) H 1 = 4.2 H 2 = 3.6 H = rate of the language H redundantie D = H 0 H Entropie van taal 12

13 Alfabet rundown L=2 L=4 L=8 AB ABIG ABIGPMZM BC BCJH BCJHQNAN CD CDKI CDKIROBO DE DELJ DELJSPCP EF EFMK EFMKTQDQ RS RSZX RSZXGDQD ST STAY STAYHERE TU TUBZ TUBZIFSF UV UVCA UVCAJGTG ZA ZAHF ZAHFOLYL H 2 = H 4 = H 8 = Entropie in Caesar systeem 13

14 known plaintext W ((M, C), K) = H(K) H(K M, C) H(M, C, K) = H(M C, K) + H(C, K) H(M, C, K) = H(K M, C) + H(M, C) H(M C, K) = 0 H(C, K) = H(C) + H(K C) H(M, C) = H(C) + H(M C) H(K M, C) = H(K C) H(M C) ciphertext only W (M, C) = H(M) H(M C) H(M) H(K) Key appearance 14

15 Ciphertext-only analyse: sleutel bekend? Als H(K C) 0 H(K C) = H(C, K) H(C) M K C H(C, K) = H(M, K) K onafhankelijk M H(M, K) = H(M) + H(K) H(K C) = H(M) + H(K) H(C) Markov model H(M) L H en H(C) L H 0 H(K C) H(K) + L H L H 0 H(K C) 0 L H(K) H 0 H L heet unicity distance Unicity distance 15

16 Unicity distance 16

17 L H(K) H 0 H L H(K) H 1 H i i H i L = 20 L = 8 8 n n = = log 2 26! L 25 letters monoalfabeet transpositie Voorbeelden unicity distance 17

18 kanaalmatrix ( ) p0 0 p 1 0 ( P 1 P ) P = p 0 1 p 1 1 = 1 P P en p = (p, 1 p) uitvoerdistributie P p = (1 p P + 2pP, p + P 2pP) Binair symmetrisch kanaal 18

19 H(ontvanger zender) = 1 = 1 p i i=0 j=0 p j i log p j i = P log P (1 P) log(1 P) Kanaalentropie 19

20 kans op een zeker aantal oplossingen M = #[k {K}: D(C, k) {M}] met M {1,..., K } kans op de goede bij meerdere oplossingen M = m p m = 1 m kans op één of meer oplossingen P = K m=1 1 p(m = m) m Kansberekening ud 20

21 kans op een oplossing p k = { 1 goede sleutel k 2 L.D willekeurige sleutel k schakel echte oplossing uit P(M ) met M = M 1 kans bij binomiale verdeling ( ) K 1 p(m = m ) = p m k (1 p k) K 1 m m stap 2 21

22 voeg echte oplossing weer toe m = m 1 P = K m=1 gebruik binomium van Newton ( 1 K 1 m m 1 ) P = 1 p k K (1 K (1 p k ) K ) p m 1 k (1 p k ) K m benadering omdat kans klein p k 1 P 1 e µ µ met µ = p k K stap 3 22

23 P = 1 e µ µ µ = p k K p k 2 L(H 0 H ) H 0 = 4.7 H = 2.0 K = ud 20 < L < 25 Sleutelkans 23