Tweede Toets Security 9 november 2016, , Educ-α.

Transcriptie

1 Tweede Toets Security 9 november 2016, , Educ-α. Motiveer je antwoorden kort! Zet je mobiel uit. Stel geen vragen over deze toets; als je een vraag niet duidelijk vindt, schrijf dan op hoe je de vraag interpreteert en beantwoord de vraag zoals je hem begrijpt. Cijfer: Punten: Vraag 1 en 6 zijn is 2pt, de andere 3pt. T2 is totaal+1/2, gedeeld door 1,6. Pagina s: Maak vraag 1 en 2 op pagina 1, vraag 3 en 4 op pagina 2, en vraag 5 en 6 op pagina Gegeven fractie als φ: Noem vijf getallen m waarvoor geldt φ(m) = 1 2 m. Noem vijf getallen m waarvoor geldt φ(m) = 1 3 m. Oplossing: Als m een tweemacht is, bevat Z m precies de oneven getallen en dit is (in een eindige verzameling) precies de helft. Dus 2, 4, 8, 16, 1024 en zijn mogelijke antwoorden. De fractie 1 3 is precies , dus φ(m) = 1 3 m = m geldt wanneer m de priemfactoren 2 en 3 heeft (en geen andere). Dan zijn bv. 6, 12, 36, 48, 144 mogelijke antwoorden. Beoordeling/Toelichting: Per deelvraag 1 pt, totaal 2 te halen. Omdat er alleen naar voorbeelden werd gevraagd, kon je hier met onvolledig begrip nog lekker scoren. Bv als je dacht dat voor de eerste vraag alleen 4-machten, of voor de tweede alleen 6-machten zouden kunnen, dan zou je hier nog volledige punten halen. D = Een Driemacht m heeft φ(m) = 2 3 m, dus niet goed. E = Eén voorbeeld is niet genoeg, het moesten er vijf zijn. Z = Niet alle Zesvouden zijn goed, bv m = 30 is fout.

2 2. Signature en Hash: Een veelgebruikte manier om berichten te ondertekenen is SHA2RSA, wat wil zeggen dat van het bericht eerst een SHA2 hash wordt berekend, en dat die hash wordt gesigned met RSA. Oscar wil Alice s handtekening vervalsen onder bericht M, door eerst een existentiële vervalsing (F, S) te produceren, en dan M zo te veranderen dat SHA2(M) = F. (a) Is het mogelijk een existentiële vervalsing te maken? Zoja hoe, zonee waarom niet? (b) Is het mogelijk om M zo te veranderen dat de hash F is? Zoja hoe, zonee waarom niet? (c) Is voor SHA2RSA het Signen of het Verifiëren het duurst? Maakt het hierbij verschil of het bericht lang of kort is? Leg uit. Oplossing: (a) EF (Existential Forgery) is voor RSA heel makkelijk. Neem een random getal S en bereken (met de public key) de bijbehorende F als F = S e. Het paar (F, S) is een geldig getekend RSA paar. (b) SHA2 is One Way, dat betekent dat het voor gegeven F, onmogelijk is een bericht te vinden dat op F hasht. De extra wens van Oscar dat het bericht lijkt op M maakt het zeker niet makkelijker, dus nee, dit kan niet. (c) Voor Signen moet je het bericht hashen en de private RSA-functie aanroepen op de hash. Voor Verifiëren moet je ook het bericht hashen en dan de publieke functie aanroepen op de handtekening. Hashen is duurder voor een lang bericht, maar omdat dit voor beide handelingen nodig is, maakt dat voor het antwoord niet uit. De RSA publieke functie is heel goedkoop en de private functie is duur (kwadratisch versus kubisch), dus ondertekenen is flink duurder dan controleren, ongeacht de berichtlengte. Beoordeling/Toelichting: Per deelvraag 1pt dus totaal te halen 3. Hashing is een manier om existentiële vervalsing van je complete schema onmogelijk te maken. De EV waar Oscar mee wil beginnen is een paar (F, S), dus alleen een EV van het RSA-deel. B = Het overnemen van een Bestaand bericht geldt niet als vervalsing. C = Zelfs met de CRT blijft signen veruit het duurst. H = Het Hashen kost wel tijd (afhankelijk van de lengte) en dit gebeurt ook bij verifieren! M = Geen of onjuiste Motivatie. P = Oscar zoekt een Pre-image van F, geen botsing! S = Redeneren met Sterk botsingsvrij is niet goed, want Oscar zoekt geen botsnig. V = Als je bij (a) Vast het antwoord voor (b) geeft telt dat voor (b). Z = Redeneren met Zwak botsingsvrij is niet goed, omdat de hash van het gewijzigde bericht juist verschilt van die waar Oscar mee begint.

3 3. RSA Rekentijd: Leo gebruikt RSA software op zijn PC, heeft een public key van 2048 bits en gebruikt de standaardwaarde e = (a) Leo doet wat metingen aan de encryptie en ziet dat een RSA encryptie hem ongeveer 4,3ms (dus 0,0043 seconde) kost. Geef een schatting van de tijd voor een RSA decryptie. (b) Leo is bang dat, bij een heel kleine input x, de encryptie berekend wordt zonder dat daadwerkelijk reducties plaatsvinden. Dan zou x heel makkelijk uit y terug te rekenen zijn. Kun je Leo geruststellen? (c) Tot hoeveel milliseconde kun je encryptie en decryptie versnellen door gebruik van de CRT? Oplossing: (a) Een encryptie met deze e kost 17 vermenigvuldigingen, en een decryptie met 2048b keys kost ongeveer 3070 verm., dus 180 keer zoveel. Dus 180 keer 4,3ms ofwel 777ms is een aardige schatting. (b) Twee argumenten: het kan niet, en padding! Als je een heel kleine exponent gebruikt zoals 3, 5 of 257, dan kan het in theorie wel voorkomen. Maar omdat hier e groter is dan de lengte k van de getallen, zal zelfs bij het allerkleinste getal dat groter is dan 1, namelijk 2, al gelden dat x e >> m, dus vindt er reductie plaats. Verder zorgt Padding er in de praktijk voor dat de x waarmee gerekend wordt, een min of meer random getal uit Z m is. De kans dat x in het begin van de range zit, dus kleiner dan m 1/e is, is dan astronomisch klein. (c) Bij encryptie ken je meestal de factoren van m niet en kun je de CRT niet gebruiken, het blijft dus 4,3ms. Bij decryptie ken je de factoren, en kun je de exponentiatie splitsen in twee half-sized exponentiaties zodat de rekentijd tot een kwart daalt, dus naar circa 194ms. Hier komt het heen-en-weer rekenen naar de subgroepen bij, wat ongeveer zoveel kost als twee vermenigvuldigingen, dat is minder dan 1ms dus je blijft in de buurt van 194 á 195ms. Beoordeling/Toelichting: Per deelvraag 1pt. C = De CRT kun je bij encryptie meestal niet toepassen. Niet omdat de exponent e een priemgetal is, maar omdat de factoren van de modulus niet bekend zijn. T = Zelfs als je bij encryptie de factoren van m zou kennen, en dus kunt gaan Chinezen, is je versnelling maar een factor Twee. V = Met CRT gaat het wel Viermaal zo snel, maar niet omdat het aantal vermenigvuldigingen viermaal zo klein wordt! In plaats van 3070 vermenigvuldigingen van 2048 bits, krijg je nu tweemaal 1535 vermenigvuldigingen van 1024 bits. Dus totaal een evengroot aantal vermenigvuldigingen van een kwart van de kosten. Z = Oscar kan niet Zien of er een reductie is geweest is onjuist, want de verzameling van e-de machten in Z is goed herkenbaar.

4 4. Getalberekeningen: (a) Bereken met Euclides de grootste gemene deler van 2358 en 1599; laat de tussenstappen zien. (b) Modulo hebben 1000 en 8379 hetzelfde kwadraat. Wat is dat kwadraat? Laat zien hoe je hieruit met een polynomiale berekening de factoren van kunt vinden. (c) Hoeveel vermenigvuldigingen kost het om a 213 te berekenen? Oplossing: (a) De ggd is 3. De resten bij deling zijn 759, 81, 30, 21, 9, 3 en 0. (b) Kwadrateren en mod levert 6504 voor beide. Uit de kwadraatstructuur die we kennen uit de CRT volgt dat som of verschil van deze getallen, een factor gemeen hebben met de modulus. Bereken ggd(17741, 9379) geeft 113, dit is een factor. Bereken / 113 is 157 is de andere factor. (c) De exponent is binair , dus het kost 7 (lengte min 1) plus 4 (enen min 1) is 11 vermenigvuldigingen. De achtereenvolgens berekende machten zijn (na 1): 2, 3, 6, 12, 13, 26, 52, 53, 106, 212, 213. Beoordeling/Toelichting: Tot 3pt, eentje per deelvraag. A = Anderhalf maal de lengte (of lg(213)), max 1/2. E = Eerste 1 toch meegeteld, 1/2. F = Wat zijn nou de Factoren? Die moet ik wel zien voor volle punten. K = Alleen het Kwadraat geeft nog geen punt. P = Exponent als Product 3x71 en dan (a 3 ) 71 kost ook 11. Er is geen enkele Power-methode die zoiets doet!

5 5. Elgamal Kopie maken: Alice gebruikt voor het ontvangen van berichten een Elgamal keypair waarvan het publieke getal b (en modulus p en generator g) op haar website staat. (a) Bob wil Alice getal x sturen; beschrijf de encryptie en het codebericht. (b) Oscar ziet het bericht Y dat Bob aan Alice stuurt en wil, zonder dat hij x kent, Alice ook bericht x sturen. Maar Alice filtert haar berichten op herhalingen van de ciphertekst, dus zelf Y ook sturen kan Oscar niet. Beschrijf hoe Oscar een bericht Y kan berekenen dat verschilt van Y, maar dezelfde waarde oplevert bij decryptie. (c) Zijn de Elgamal-berekeningen duurder of goedkoper dan de berekeningen van het RSAsysteem? Oplossing: (a) Elgamal encryptie kiest een random k, berekent u = g k en v = x b k, en stuurt het bericht Y = (u, v). (b) Omdat Elgamal multiplicatief is, kun je het bericht vermenigvuldigen met een encryptie van 1 en blijft de plaintext hetzelfde. Qua uitvoering ziet dit er zo uit: Oscar neemt een random l, berekent g l en b l, en vervangt Y = (u, v) door Y = (u g l, v b l ). Dat hier bij decryptie hetzelfde uitkomt kun je bewijzen met de decryptieformule, maar je kunt ook inzien dat Y een encryptie van x is met random getal k + l ipv k. (c) Encryptie is voor Elgamal veel duurder want kost twee exponentiaties en RSA een constant aantal vermenigvuldigingen. Decryptie is vergelijkbaar want kost zowel bij RSA als Elgamal een exponentiatie (de exponent kan bij subgroup Elgamal iets kleiner zijn). (Key generation is voor RSA veel duurder want je moet priemgetallen zoeken, terwijl je voor Elgamal alleen een random getal kiest en 1 exponentiatie doet. Maar je krijgt hier volle punten voor alleen en- en decryptie.) Beoordeling/Toelichting: Per deelvraag 1pt. A = Oscar kan natuurlijk geen berekening doen waar a bij nodig is. N = Encrypten met een Nieuwe k kan niet want dan moet hij eerst x weten. P = Modulus p erbij optellen is niet goed, want geeft hetzelfde getal in Z p. V = Verhef u en v tot dezelfde macht, geeft andere uitkomst. Z = Vermenigvuldig u en v met Zelfde getal klopt niet. 6. Zero Knowledge Wortel: Alice wil tegenover Bob bewijzen dat zij een wortel a kent van een publiek getal b in Z m. Als eerste stuurt Alice een getal s. Dan stuurt Bob een random bit c, en als c is 0, moet Alice een wortel van s sturen. (a) Hoe kent Alice de wortel van s? Welk getal moet Alice sturen als c is 1? (b) Door een virus in Alice computer kan Bob de Random Number Generator beïnvloeden. Kan Bob hierdoor het geheime getal a achterhalen? Leg uit. Oplossing: (a) Alice begint met een random getal r te kiezen en het kwadraat s daarvan op te sturen. Bij c = 0 stuurt ze dus het bekende getal r op. Als c = 1 zal Bob checken dat y 2 = s b, ze moet dus een wortel van sb sturen en die kent ze ook, nl r a. (b) Als Bob volledige controle heeft over de RNG, kan hij zelf een getal r kiezen en dat er bij Alice uit laten komen. Vervolgens geeft hij de challence c = 1, waarna Alice hem y = r a stuurt. Bob hoeft alleen maar door r (die hij immers kent) te delen om a te zien. Beoordeling/Toelichting: Tot 2pt, 1 per deelvraag. L = Inderdaad werkt Bobs bedrog ook al wanneer hij de RNG alleen kan Lezen. T = Als Bob de RNG Tweemaal hetzelfde getal kan laten geven (of het quotient uitlezen) kan hij a ook al vinden.