Аутентификация сообщений

1. Аутентификация сообщений Евтифеева Ольга 18 октября 2005

2. План доклада • Постановка задачи • Отличие задачи аутентификации от задачи секртености • Основные подходы ее решения • Аутентификационное шифрование • Схема аутентификации сообщений • Код аутентификации сообщений (MAC) • Надежность для алгоритмов аутентификации • Наиболее известные схемы аутентификации

3. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство

4. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство • Обозначения:противник AполучательRзаконный отправительSсообщениеM

5. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство • Обозначения:противник AполучательRзаконный отправительSсообщениеM • Важно! Мы будем всегда считать, что Sи R уже имеют общий секретный ключ K

6. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство • Обозначения:противник AполучательRзаконный отправительSсообщениеM • Важно! Мы будем всегда считать, что Sи R уже имеют общий секретный ключ K • Считаем, что у противника есть возможность изменять сообщения и вводить новые в канал связи.

7. Секретность не обеспечивает целостность данных • Условия: • Фиксируем симметричную криптосистему SE = (K, E, D) • M100 = “перевести 100$на счет A” • S посылает С100 = EK(M100) • Rполучает С100, дешифрует его: M100 = DK(C100) • Пусть теперь А – в роли противника. Хочет, чтобы S получил M900 = “перевести на счет А 900$”. Может ли он это сделать? • Нет, так как не знает ключа К, поэтому не может ни расшифровать и модифицировать С100, ни самостоятельно зашифровать C900.

8. Секретность не обеспечивает целостность данных • Условия: • Фиксируем симметричную криптосистему SE = (K, E, D) • M100 = “перевести 100$на счет A” • S посылает С100 = EK(M100) • Rполучает С100, дешифрует его: M100 = DK(C100) • Пусть теперь А – в роли противника. Хочет, чтобы S получил M900 = “перевести на счет А 900$”. Может ли он это сделать? • Нет, так как не знает ключа К, поэтому не может ни расшифровать и модифицировать С100, ни самостоятельно зашифровать C900. Неверный ответ! • Да. Возьмем например схему one-time pad (EK(M) = K xor M, DK(C) = K xor C). Тогда все, что нужно сделать A – С100xor M100xor M900.

9. Основные подходы - 1 • Аутентификационное шифрование.Аутентификация с использованием схемы шифрования. Sender Receiver C C’ M E D M’ or 0 K K A K

10. Основные подходы - 2 • Схема аутентификации сообщенийMA = (K, TG, VF)K – случайный алгоритм генерации ключейTG – алгоритм генерации тагов: σ ← TGK(M)VF – алгоритм проверки тагов: d ← VFK(M, σ), d – бит. Sender Receiver M M’ M’ TG T T’ VF M 0 or 1 K K A K

11. Основные подходы - 2 • Подробнее о схеме аутентификации • Со схемой также связано пространство сообщений Plaintext, из которого берут M. Ясно, для MPlaintext VFK(M,TGK(M)) = ???

12. Основные подходы - 2 • Подробнее о схеме аутентификации • Со схемой также связано пространство сообщений Plaintext, из которого берут M. Ясно, для MPlaintext VFK(M,TGK(M)) = 1. • Алгоритм TG может быть случайным и использующим состояния.

13. Основные подходы - 3 • Код аутентификации сообщений (MAC) Случай, когда алгоритм TGдетерменированный и без состояний. В этом случае алгоритм VF: σ′ ← TGK(M)if σ = σ′ then return 1 else return 0 Sender Receiver M M’ M’ MAC T T’ MAC M T* = 0 or 1 K K A K

14. Надежность - нефомально • Пара (M, T),созданная противником, такая что VFK(M,T) = 1, но M не происходит от отправителя S называется подделкой. • Виды атак: no-message, chosen-message, replay. • Дадим противнику 2 возможности: • Получить таг любого сообщения по его выбору – “запрос тага”. Противник делает q таких запросов. • Узнать, корректна ли конкретная пара (M, T) – “запрос проверки”. Противник делает v таких запросов. • Противник достиг цели, если создал запрос проверки (M, T), который вернул значение 1 (accept), но не создавал запроса тага M.

15. Надежность - модель • Построим такую модель: • Фиксируем схему аут. сообщений MA = (K, TG, VF) • Противник А • Заменяем отправителя «оракулом генерации тагов» – доступом типа «черный ящик» к алгоритму TGK(). • Заменяем получателя «оракулом проверки» - доступом типа «черный ящик» к алгоритму VFK(). Таким образом модель – противник, оперирующий с двумя оракулами. TG VF (M, T) M A T = TG(M) 0 or 1

16. Надежность • Введем понятие «эксперимент»:Experiment ExpMA(A)K ← KRun ATGK(), VFK()If А делает VFK запрос (M, T) такой что:Оракул возвращает 1 А не делал таг-генерирующего запроса Mthen return 1 else return 0 • Определение:Вероятность успехаAdvMA(A) – вероятность, что ExpMA(A) вернет 1. • AdvMA(A) (t, q, m) = max {AdvMA(A)},где максимум берется по всем противникам, работающим время t, делающих q запросов оракула и таких, что сумма длин всех запросов и длины сообщения Mбыла ≤ m бит.

17. Примеры использования определений • MA1 • Алгоритмы TGK, VFK • АлгоритмA1 • Оценка AdvMA1(A1) • Еще примеры атак • MA2 – пробуем улучшить MA1 • Алгоритмы TGK, VFK • А1 – теперь не работает • Алгоритм A2 • Оценка AdvMA2(A2)

18. Схемы • XOR schemes • PRF-as-a-MAC • CBC MAC • Universal hash based MACs • HMAC

19. The XOR schemes • Алгоритм XOR-Tagf(s, M) • Алгоритмы TGK(M), VFK(M) – с использованием счетчиков и случайные • Атака А2 теперь не проходит • ОценкаAdv

20. The PRF-as-a-MAC paradigm • Суть подхода – любая псевдослучайная функция фактически MAC.Пусть F: K D  {0, 1}l – семейство функций. Сопоставим F код аутентификации сообщений MAC: K D  {0, 1}l, M  D:algorithm MACK(M) T ← FK(M)return TОбласть D сужена до строк длины ровно dдля некоторого целого d. • Теорема: AdvMAC(A) ≤ AdvF(B) + v/2l, где А – противник, атакующий MAC, В – противник, атакующий F.

21. The CBC MAC • Пусть f: {0, 1}l {0, 1}l - функция.Пусть f(n): {0, 1}nl  {0, 1}l– функция, которая по входу x1…xnвыводит yn, где yi = f(yi-1  xi) и y0 = 0l. F – конечное семейство функций {0, 1}l {0, 1}lЗа F(n) обозначим семейство функций, в котором функции, проиндексированные ключом К – FK(n). Это семейство назывется CBCот F. • Теорема: если F – PRF семейство, то и F(n). • Algorithm MACK(M)Разбить М на блоки длины l – М1 …Мm y0← 0l for i = 1 to m do yi ← FK(yi-1 Mi) return ym • В таком виде CBC MAC не применим к строкам разной длины.

22. Universal hash based MACs • Это самый быстрый MAC, построен на использовании «почти универсальных хэш функций» • ОпределениеПусть Н: K  M  {0, 1}n – семейство функций,  - вещественное число. H называется -AU ( почти-универсальной) если для любых различных М, М′  M, Pr [K ←K: HK(M) = HK(M′)]≤ . • Определениеесли  = 2-n, то Н называется универсальной хэш функцией. • Схема UHM = (K, TG, VF) • Оценка Adv

23. HMAC • HMAC – MAC на основе криптографических хэш-функций (например – MD5 или SHA-1) • Пусть Н – хэш функция. Н берет входные значения произвольной длины и возвращает l-битовый результат (l = 128 для MD5 и l = 160 для SHA-1). Обозначим за M информацию, к которой применяется MAC функция, K – ключ (ровно 64 байта, если меньше – дополняем нулями).Определим 2 константы длиной 64 байта: • ipad = байт 0x36 повторенный 64 раза • opad = байт 0x5C повторенный 64 раза • Функция HMAC берет ключ K и M, и возвращает HMACK(M) = H (K opad, H ( K ipad, M)).

24. Литература • Mihir Bellare, Philip Rogaway “Introduction to Modern Cryptography” • Shafi Goldwasser, Mihir Bellare “Lecture Notes on Cryptography” • В.Ященко “Введение в криптографию”