Bevisbar sikkerhet. Kristian Gjøsteen. 2. mars 2005

Transkript

1 Bevisbar sikkerhet Kristian Gjøsteen 2. mars 2005

2 Oversikt Hvorfor bevisbar sikkerhet? Hva er bevisbar sikkerhet? Eksempel

3 Hvorfor bevisbar sikkerhet? Mål Vi ønsker å lage kryptosystemer hvis sikkerhet vi kan ha berettiget tiltro til.

4 Hvorfor bevisbar sikkerhet? Hvorfor bevisbar sikkerhet? Tradisjonelt konstruerte man kryptosystemer ved at man sørget for å beskytte seg mot alle kjente angrep. For enkle systemer kan dette fungere rimelig godt, selv om det er veldig ressurskrevende. Men en rekke praktiske angrep på kryptosystemer og protokoller viser at dette ikke er noen god metode for å lage selv moderat kompliserte systemer. Vi trenger en metode for å konstruere kryptosystemer som tar høyde for ennå ukjente angrepsmåter.

5 Hva er bevisbar sikkerhet? Hva handler bevisbar sikkerhet om? Bevisbar sikkerhet handler om å overføre tiltro fra enkle problemer til store og kompliserte problemer.

6 Hva er bevisbar sikkerhet? Hva handler bevisbar sikkerhet om? Bevisbar sikkerhet handler om å overføre tiltro fra enkle problemer til store og kompliserte problemer. Den grunnleggende observasjonen er at enkle problemer kan være lette å analysere. Vi kan derfor ha tiltro til at visse enkle problemer som har blitt grundig analysert virkelig er vanskelige.

7 Hva er bevisbar sikkerhet? Hva handler bevisbar sikkerhet om? Bevisbar sikkerhet handler om å overføre tiltro fra enkle problemer til store og kompliserte problemer. Den grunnleggende observasjonen er at enkle problemer kan være lette å analysere. Vi kan derfor ha tiltro til at visse enkle problemer som har blitt grundig analysert virkelig er vanskelige. Store og kompliserte problemer er vanskelige å analysere. Tiltro til store og kompliserte problemer er ikke uten videre lett å opparbeide.

8 Hva er bevisbar sikkerhet? Reduksjoner En av kompleksitetsteoriens hovedidéer er reduksjoner. En algoritme som bruker svar på spørsmål A til å svare på spørsmål B kalles en reduksjon.

9 Hva er bevisbar sikkerhet? Reduksjoner En av kompleksitetsteoriens hovedidéer er reduksjoner. En algoritme som bruker svar på spørsmål A til å svare på spørsmål B kalles en reduksjon. Hvor svarene på spørsmål A kommer fra spiller ingen rolle for reduksjonen! Den bryr seg bare om svarene.

10 Hva er bevisbar sikkerhet? Reduksjoner En av kompleksitetsteoriens hovedidéer er reduksjoner. En algoritme som bruker svar på spørsmål A til å svare på spørsmål B kalles en reduksjon. Hvor svarene på spørsmål A kommer fra spiller ingen rolle for reduksjonen! Den bryr seg bare om svarene. En algoritme som svarer på spørsmål A vil sammen med reduksjonen utgjøre en algoritme som svarer på spørsmål B.

11 Hva er bevisbar sikkerhet? Bevisbar sikkerhet Idéen er nå å konstruere kryptosystemet på en slik måte at en angriper som bryter sikkerheten til kryptosystemet ved hjelp av en reduksjon kan brukes til å løse et underliggende problem. Hvis det er lett å bryte sikkerheten, da viser reduksjonen at det underliggende problemet er lett å løse.

12 Hva er bevisbar sikkerhet? Bevisbar sikkerhet Idéen er nå å konstruere kryptosystemet på en slik måte at en angriper som bryter sikkerheten til kryptosystemet ved hjelp av en reduksjon kan brukes til å løse et underliggende problem. Hvis det er lett å bryte sikkerheten, da viser reduksjonen at det underliggende problemet er lett å løse. Det følger logisk at dersom vi tror det underliggende problemet er vanskelig, da må vi også tro at kryptosystemet er sikkert.

13 Hva er bevisbar sikkerhet? Bevisbar sikkerhet Idéen er nå å konstruere kryptosystemet på en slik måte at en angriper som bryter sikkerheten til kryptosystemet ved hjelp av en reduksjon kan brukes til å løse et underliggende problem. Hvis det er lett å bryte sikkerheten, da viser reduksjonen at det underliggende problemet er lett å løse. Det følger logisk at dersom vi tror det underliggende problemet er vanskelig, da må vi også tro at kryptosystemet er sikkert. Den tiltroen vi har til det underliggende problemet overføres til tiltro til kryptosystemet.

14 Hva er bevisbar sikkerhet? Bevisbar sikkerhet Idéen er nå å konstruere kryptosystemet på en slik måte at en angriper som bryter sikkerheten til kryptosystemet ved hjelp av en reduksjon kan brukes til å løse et underliggende problem. Hvis det er lett å bryte sikkerheten, da viser reduksjonen at det underliggende problemet er lett å løse. Det følger logisk at dersom vi tror det underliggende problemet er vanskelig, da må vi også tro at kryptosystemet er sikkert. Den tiltroen vi har til det underliggende problemet overføres til tiltro til kryptosystemet. Det som skjer er at reduksjonen begrenser antall måter systemet kan angripes på.

15 Hva er bevisbar sikkerhet? If it s provably secure it probably ain t. Teoremer i bevisbar sikkerhet sier typisk: En angriper mot sikkerheten i kryptosystemet kan brukes til å løse det underliggende problemet.

16 Hva er bevisbar sikkerhet? If it s provably secure it probably ain t. Teoremer i bevisbar sikkerhet sier typisk: En angriper mot sikkerheten i kryptosystemet kan brukes til å løse det underliggende problemet. Hvis det underliggende problemet ikke er vanskelig, da er teoremet fortsatt sant, men uinteressant.

17 Hva er bevisbar sikkerhet? If it s provably secure it probably ain t. Teoremer i bevisbar sikkerhet sier typisk: En angriper mot sikkerheten i kryptosystemet kan brukes til å løse det underliggende problemet. Hvis det underliggende problemet ikke er vanskelig, da er teoremet fortsatt sant, men uinteressant. Vi får betinget sikkerhet. Vi klarer (ennå) ikke å bevise ubetinget sikkerhet for praktiske kryptosystemer!

18 Hva er bevisbar sikkerhet? Men hva oppnår vi? Bevisbar sikkerhet gir oss ikke ubetinget sikkerhet. Gode resultater i praksis Historien så langt viser at bevisbar sikkerhet gir kryptosystemer som er vanskelige å knekke i praksis. Effektivitet Mange kryptosystemer kan være basert på samme problem. En konsentrert analyseinnsats rundt noen få problemer kan gi oss stor tiltro til mange kryptosystemer. Presisjon En vesentlig fordel med bevisbar sikkerhet er at vi tvinges til å spesifisere hva vi mener med sikkerhet for kryptosystemet.

19 Eksempel Eksempel Sikkerheten i kryptosystemer defineres gjerne ved hjelp av spill mellom en simulator og en angriper. Spillet definerer hvilke muligheter angriperen har, og hva han må gjøre for å vinne spillet (altså bryte sikkerheten). Sannsynligheten for at angriperens vinner spillet må være liten for at kryptosystemet skal være sikkert. Vi kan si at et slikt spill definerer sikkerheten til kryptosystemet.

20 Eksempel Sikker diskkryptering Det er i dag vanlig å lagre sensitiv informasjon på bærbare datamaskiner eller minnepinner som man tar med seg f.eks. på reiser. Det er vanlig at disse mistes eller blir stjålet. Slik kommer sensitiv informasjon på avveie. Når disken blir stjålet ønsker vi at en tyv (som kanskje vet mye om hva som ligger på disken), ikke skal kunne hente ut ny informasjon fra disken. Diskkryptering er en brukervennlig måte å beskytte seg mot slike problemer. Alt som skrives til disken er kryptert, men det gjøres uten at brukeren ser det.

21 Eksempel Sikker diskkryptering II Vi spiller følgende spill: 1. Angriperen bestemmer et antall mulige tekster som kan lagres på disken, og klassifiserer halvparten av tekstene som A-tekster, og den andre halvparten som B-tekster. 2. Simulatoren velger en tilfeldig tekst og skriver den kryptert til disken. 3. Angriperen får så tilgang til disken og skal bestemme om det var en A-tekst eller en B-tekst som ble skrevet. Enhver angriper kan gjette riktig med sannsynlighet 1/2, så angriperens vinnersannsynlighet er sannsynligheten for at han gjetter riktig minus 1/2.

22 Eksempel Blokkchiffer Et blokkchiffer på et antall bits er en mengde med permutasjoner {σ k } indeksert ved en nøkkel. To eksempler er Data Encryption Standard (DES) og Advanced Encryption Standard (AES). Målet for et blokkchiffer er at en algoritme som får se virkningen av en permutasjon på et stort antall verdier, ikke kan avgjøre om permutasjonen kommer fra blokkchifferet, eller om det er en tilfeldig permutasjon. Det skal altså være vanskelig å gjenkjenne blokkchifferet. Dette er et veldefinert problem som er mulig å analysere. Vi kan ha tiltro til at et blokkchiffer oppnår dette målet.

23 Eksempel Blokkchiffer og diskkryptering Vi skal skrive en tekst m til en disk. Vi kan bruke et blokkchiffer til diskkryptering som følger: 1. Vi trekker en tilfeldig nøkkel k som gir oss en permutasjon σ k. 2. Vi lager bit-strengen s ved å sette bitstrengene σ k (0), σ k (1), σ k (2), osv., etter hverandre, helt til s og m har samme lengde: s = σ k (0) σ k (1)... σ k (n). 3. Når vi skal skrive teksten m til disken skriver vi i stedet m s. 4. Når vi skal lese teksten tilbake, leser vi c fra disken og gir tilbake c s = m.

24 Eksempel Sikkerhetsbeviset Idéen er å gjøre en serie med små forandringer i spillet som definerer sikkerheten, helt til vi får et spill der angriperen ikke kan vinne. For hver forandring man gjør sørger man for å begrense endringen i angriperens vinnersannsynlighet. Summen av endringene i vinnersannsynlighet vil utgjøre en øvre skranke for angriperens mulighet for å vinne i det originale spillet. Hvis summen av endringer er liten, da kan ikke angriperen vinne det originale spillet og kryptosystemet er sikkert.

25 Eksempel Sikkerhetsbeviset II Spillet: 1. σ = σ k for en tilfeldig nøkkel k. 2. Simulatoren lager strengen s = σ(0) σ(1)... σ(n). 3. Angriperen spesifiserer tekster A-tekster m 1, m 2,..., m l, og B-tekster m l+1, m l+2,..., m 2l. 4. Simulatoren trekker m i tilfeldig fra {m 1, m 2,..., m 2l }. 5. Angriperen får s m i, og gjetter A- eller B-tekst.

26 Eksempel Sikkerhetsbeviset II Spillet: 1. σ er en tilfeldig permutasjon. 2. Simulatoren lager strengen s = σ(0) σ(1)... σ(n). 3. Angriperen spesifiserer tekster A-tekster m 1, m 2,..., m l, og B-tekster m l+1, m l+2,..., m 2l. 4. Simulatoren trekker m i tilfeldig fra {m 1, m 2,..., m 2l }. 5. Angriperen får s m i, og gjetter A- eller B-tekst. Dersom angriperens vinnersannsynlighet endrer seg, kan vi bruke denne angriperen til å gjenkjenne blokkchifferet. Hvis vi tror det er vanskelig å gjenkjenne blokkchifferet, da endrer vinnersannsynligheten seg lite.

27 Eksempel Sikkerhetsbeviset II Spillet: 1. σ er en tilfeldig funksjon. 2. Simulatoren lager strengen s = σ(0) σ(1)... σ(n). 3. Angriperen spesifiserer tekster A-tekster m 1, m 2,..., m l, og B-tekster m l+1, m l+2,..., m 2l. 4. Simulatoren trekker m i tilfeldig fra {m 1, m 2,..., m 2l }. 5. Angriperen får s m i, og gjetter A- eller B-tekst. Det er vanskelig å skille en tilfeldig permutasjon fra en tilfeldig funksjon, medmindre man ser den evaluert i veldig mange punkter. Derfor endrer ikke vinnersannsynligheten seg nevneverdig.

28 Eksempel Sikkerhetsbeviset II Spillet: 1. σ er en tilfeldig funksjon. 2. Simulatoren lager strengen s = σ(0) σ(1)... σ(n). 3. Angriperen spesifiserer tekster A-tekster m 1, m 2,..., m l, og B-tekster m l+1, m l+2,..., m 2l. 4. Simulatoren trekker m i tilfeldig fra {m 1, m 2,..., m 2l }. 5. Angriperen får s m i, og gjetter A- eller B-tekst. Når σ er en tilfeldig funksjon, da blir s essensielt sett en tilfeldig streng.

29 Eksempel Sikkerhetsbeviset II Spillet: 1. σ er en tilfeldig funksjon. 2. Simulatoren lager strengen s = σ(0) σ(1)... σ(n). 3. Angriperen spesifiserer tekster A-tekster m 1, m 2,..., m l, og B-tekster m l+1, m l+2,..., m 2l. 4. Simulatoren trekker m i tilfeldig fra {m 1, m 2,..., m 2l }. 5. Angriperen får s m i, og gjetter A- eller B-tekst. Det betyr at for angriperen er chifferteksten han får uavhengig av hvilken melding simulatoren valgte. Derfor har angriperen ingen vinnersjanse.

30 Eksempel Konklusjon Sikkerhetsbeviset sier at dersom blokkchifferet vi bruker tilfredsstiller kravet (og så langt ser f.eks. AES ut til å gjøre det), vil diskkrypteringen være sikker. Det er ingen «lure» måter å angripe diskkrypteringen på: Man må angripe blokkchifferet mer eller mindre direkte. Merk: Vi har bare vist sikkerhet mot tyveri. Dette systemet vil ikke nødvendigvis gi sikkerhet mot andre trusler.