een RSA-sleutelpaar voorbeeld uit het boek twee willekeurige priemgetallen van 12 cijfers en hun product (de modulus)

Transcriptie

1 een RSA-sleutelpaar voorbeeld uit het boek p ; q ; n p q d 9587; e PowerMod d, 1, p 1 q twee willekeurige priemgetallen van 12 cijfers en hun product (de modulus) p RandomPrime 10 11, ; q RandomPrime 10 11, ; n p q een kleine prive-exponent en de bijbehorende publieke exponent d RandomPrime , 10 4 ; e PowerMod d, 1, p 1 q 1

2 versleutelen en ontsleutelen een willekeurige boodschap m ; versleuteling c PowerMod m, e, n ontsleuteling PowerMod c, d, n

3 de methode van Mike Wiener de kettingbreuk cf ContinuedFraction e n 0, 2, 1, 9, 6, 54, 5911, 1, 5, 1, 1, 3, 1, 2, 5, 3, 1, 3, 1, 1, 2, 13, 1, 4, 5, 1, 2, 3, 11, 1, 1, 1, 1, 4, 17, 26, 1, 1, 10, 4 het grootste wijzergetal en de bijbehorende convergent pos Position cf, Max cf 1, 1 cv Convergents e pos 1 n de geheimen lekken: d, r = p + q k Numerator cv ; dd Denominator cv e dd 1 r n 1 k en de priemfactoren pp r qq r r2 4 n 2 r2 4 n controle pp qq n

4 de methode van Boneh en Durfee een polynoom met een klein nulpunt f x_, y_ : x y n 1 x 1; f x, y X 10 4 ; Y ; x x y andere polynomen met hetzelfde nulpunt (mod e 2 ) ma e 2 1, 0, 0, 0, 0, 0, 0, 0, 0, e 2 0, X, 0, 0, 0, 0, 0, 0, 0, e 1, n 1 X, X Y, 0, 0, 0, 0, 0, 0, e 2 0, 0, 0, X 2, 0, 0, 0, 0, 0, e 0, X, 0, n 1 X 2, X 2 Y, 0, 0, 0, 0, 1, 2 n 1 X, 2 X Y, n 1 2 X 2, 2 n 1 X 2 Y, X 2 Y 2, 0, 0, 0, e 2 0, 0, 0, 0, 0, 0, Y, 0, 0, e 0, 0, n 1 X Y, 0, 0, 0, Y, X Y 2, 0, 0, 0, 2 n 1 X Y, 0, n 1 2 X 2 Y, 2 n 1 X 2 Y 2, Y, 2 X Y 2, X 2 Y 3 ; pol ma. 1, x X, x y X Y, x 2 X 2, x 2 y X 2 Y, x 2 y 2 X 2 Y 2, y Y, x y 2 X Y 2, x 2 y 3 X 2 Y 3 ; pol , x, x x y, x 2, x x x 2 y, x x 2 2 x y x 2 y x 2 y 2, y, y x y x y 2, y x y x 2 y 2 x y x 2 y 2 x 2 y 3

5 polynomen met kleine coefficienten met hetzelfde nulpunt (mod e 2 ) mared LatticeReduce ma ; pol pol mared. 1, x X, x y X Y, x 2 X 2, x 2 y X 2 Y, x 2 y 2 X 2 Y 2, y Y, x y 2 X Y 2, x 2 y 3 X 2 Y 3 ; x x x y x 2 y x 2 y 2, x x y, x x x y x 2 y x 2 y 2, x x 2 y x y x 2 y 2 x y x 2 y 2 x 2 y 3, x x 2 34 y x y x 2 y 68 x y x 2 y 2 34 x 2 y 3, , x x 2 40 y x y x 2 y 80 x y x 2 y 2 40 x 2 y 3, x x y x y x 2 y x y x 2 y 2 x 2 y 3, y kies er twee uit om een variable te elimineren i1 1; i2 4; polres Resultant pol i1, pol i2, x y y 2 nu weten we het geheime r = p + q r y. Solve polres 0, y

6 en dus de priemfactoren van n pp r qq r r2 4 n 2 r2 4 n controle pp qq n

7 factoriseren met een hint we weten nu (ruim) de bovenste helft van p en q p Round p 10 5 q Round q een polynoom f met een klein nulpunt, en de modulus R f x_, y_ : p0 q0 n q0 x p0 y x y; f x, y X 10 5 ; W ; R W X x y x y en een variant f1 met hetzelfde nulpunt (mod R) c PowerMod p0 q0 n, 1, R ; a Mod q0 c, R ; b Mod p0 c, R ; f1 x_, y_ : 1 a x b y c x y; f1 x, y x y x y

8 andere polynomen met hetzelfde nulpunt (mod R) ma X 4 1, a X, b X, c X 2, 0, 0, 0, 0, 0, X 4 0, 1, 0, b X, a X, 0, c X 2, 0, 0, X 4 0, 0, 1, a X, 0, b X, 0, c X 2, 0, X 2 0, 0, 0, 1, 0, 0, a X, b X, c X 2, X 2 R 0, 0, 0, 0, 1, 0, 0, 0, 0, X 2 R 0, 0, 0, 0, 0, 1, 0, 0, 0, X 3 R 0, 0, 0, 0, 0, 0, 1, 0, 0, X 3 R 0, 0, 0, 0, 0, 0, 0, 1, 0, X 4 R 0, 0, 0, 0, 0, 0, 0, 0, 1 ; pol ma. 1, x X, y X, x y X 2, x 2 X 2, y 2 X 2, x 2 y X 3, x y 2 X 3, x 2 y 2 X 4 ; pol x y x y, x x x y x 2 y, y x y y x y 2, x y x 2 y x y x 2 y 2, x 2, y 2, x 2 y, x y 2, x 2 y 2 polynomen met kleine coefficienten met hetzelfde nulpunt (mod e 2 ) mared LatticeReduce ma ; pol mared. 1, x X, y X, x y X 2, x 2 X 2, y 2 X 2, x 2 y X 3, x y 2 X 3, x 2 y 2 X 4 ; pol x y x 2 y x y 2 x 2 y 2, y x y x 2 y y x y x 2 y 2, x x x y x 2 y x y x 2 y 2, x y x y x 2 y x y x 2 y 2, , x x y x y x 2 y y x y x 2 y 2, x x y x y x 2 y y x y x 2 y 2, x x y x y x 2 y y x y x 2 y 2, x x y x y x 2 y y x y x 2 y 2

9 kies er een uit om samen met f een variable te elimineren ii 7; polres Resultant pol ii, f x, y, x y y y y 4 nu weten we het geheime r = p + q r y. Solve polres 0, y en dus de priemfactoren van n qq q0 r pp n qq

10 RSA met CRT een CRT-sleutel e RandomPrime 10 22, p 1 q 1 1 d PowerMod e, 1, p 1 q 1 ; dp Mod d, p 1 ; dq Mod d, q 1 ; u PowerMod p, 1, q ; een willekeurige boodschap m ; versleuteling c PowerMod m, e, n ontsleuteling met de CRT-sleutel mp PowerMod c, dp, p ; mq PowerMod c, dq, q ; Mod mp p u mq mp, n

11 de magnetron-aanval in de magnetron verandert in dp een willekeurig cijfer dpfout dp 10 Random Integer, 0,9 ; dpfout dp een willekeurige boodschap m ; versleuteling c PowerMod m, e, n foute ontsleuteling met de veranderde CRT-sleutel mpfout PowerMod c, dpfout, p ; mq PowerMod c, dq, q ; mfout Mod mpfout p u mq mpfout, n dit lekt de priemfactoren pp GCD mfout m, n qq n pp