Атаки на криптосистему RSА. Атаки исходного текста

Атака короткого сообщения. В атаке короткого сообщения, если Ева знает множество возможных исходных текстов, то ей известна еще одна информация и дополнительный факт, что зашифрованный текст — перестановка исходного текста. Ева может зашифровать все возможные сообщения, пока результат не будет совпадать с перехваченным зашифрованным текстом. Например, если известно, что Алиса посылает число с четырьмя цифрами Бобу, Ева может легко испытать числа исходного текста 0000 к 9999, чтобы найти исходный текст. По этой причине короткие сообщения должны быть дополнены случайными битами в начале и конце, чтобы сорвать этот тип атаки. Настоятельно рекомендуется заполнять исходный текст случайными битами прежде начала шифрования. Атака циклического повторения Построена на факте, что если переставлять зашифрованный текст (перестановка исходного текста), то непрерывное шифрование зашифрованного текста в конечном счете кончится исходным текстом. Другими словами, если Ева непрерывно шифрует перехваченный зашифрованный текст C, она в итоге получит исходный текст. Однако сама Ева не знает, каков исходный текст, так что ей неизвестно, когда пора остановиться. Она должна пройти один шаг далее. Когда она получает зашифрованный текст C снова, она возвращается на один шаг, чтобы найти исходный текст. Перехваченный зашифрованный текст C C₁ = C^e mod nC₂ = C₁^e mod nC_k = C_k-1^e mod n ->, если C_k = C, исходный текст – P = C_k-1

1. Атаки на криптосистему RSА. Атаки реализации

Атака анализом времени. Пауль Кочер (Paul Kocher) демонстрировал атаку только зашифрованного текста, называемую атака анализом времени. Алгоритм использует только возведение во вторую степень, если соответствующий бит в секретном показателе степени d есть 0; он используется и при возведении во вторую степень и умножении, если соответствующий бит — 1. Другими словами, синхронизация требует сделать каждую итерацию более длинной, если соответствующий бит — 1. Эта разность синхронизации позволяет Еве находить значение битов в d, один за другим. Предположим, что Ева перехватила большое количество зашифрованных текстов от C₁ до C_m. Также предположим, что Ева наблюдала, какое количество времени требуется для Боба, чтобы расшифровать каждый зашифрованный текст, от T₁ до T₂. Ева знает, сколько времени требуется для основных аппаратных средств, чтобы выполнить операцию умножения от t₁ до t_m, где t₁ — время, требуемое для выполнения умножения.Если принятое предположение верно, то каждый D_i является вероятно меньшим, чем соответствующее время передачи T_i. Однако алгоритм использует дисперсию (или другие критерии корреляции), чтобы рассмотреть все варианты D_i и T_i. Если разность дисперсии положительная, алгоритм принимает предположение, что следующий бит равен 1 в противном случае предполагает, что следующий бит — 0. Алгоритм тогда вычисляет новые T_i,используя для этого оставшиеся биты. Есть два метода сорвать атаку анализом времени:1. добавить случайные задержки к возведению в степень, чтобы каждое возведение в степень занимало одно и то же время;2. Ривест рекомендовал "ослепление". По этой идее зашифрованный текст умножается на случайное число перед дешифрованием. Процедура содержит следующие шаги:a. Выбрать секретное случайное число r между 1 и (n – 1). b. Вычислить C₁=C*r^e mod(n). c. Вычислить M₁ = C₁^d mod n. d. Вычислить M=M₁*r^-1 mod(n). Атака анализом мощности. Если Ева может точно измерить мощность, использованную в течение дешифрования, она может начать атаку анализа мощности на основании принципов, рассмотренных для атаки анализом времени. Итеративное умножение и возведение в квадрат потребляют больше мощности, чем только итеративное возведение в квадрат. Та же самая группа методов, которая предотвращает атаки анализом времени, может сорвать атаки анализа мощности.

65.Атаки на криптосистему RSА. Атака безключевого чтения RSA.

Противнику известны открытый ключ (e,n) и шифротекст С. Противник подбирает число j, для которого выполняется следующее соотношение: С^ej(mod n)=C. Т.е. противник просто проводит j раз зашифрование на открытом ключе перехваченного шифротекста (это выглядит следующим образом:

(С^e)^e)^e..)^e(mod n)=С^ej(mod n)). Найдя такое j, противник вычисляет C^ej-1(mod n) (т.е. j-1 раз повторяет операцию зашифрования) – это значение и есть открытый текст M! Это следует из того, что

С^ej(mod n)=(C^ej-1(mod n))^e=C. Т.е некоторое число C^ej-1(mod n) в степени e дает шифротекст С, а это и есть открытый текст M.

---

Дата добавления: 2015-12-01