Modos de Operación. Alberto Escudero Pascual

Transcripción

1 Modos de Operación Alberto scudero Pascual 1

2 ncriptación de Mensajes Grandes Los algoritmos básicos encriptan bloques de un tamaño fijo Para encriptar mensajes más largos se pueden usar la técnica más fácil: lectronic Code Book (CB) = ncriptar bloque a bloque l problema es que bloques iguales de texto tambien resultan en bloques iguales de ciphertext. Los otros modos usan distintas formas de encadenación de bloques. (CBC, CFB, OFB) La encriptación garantiza la integridad de los datos? 2

3 CB lectronic Code Book M1 M2 M3 M4 k k k k C1 C2 C3 C4 3

4 Imagina Qué pasa si M1=M2? Qué pasa si sabemos que C1=C2? Si Ci=Cj, entonces Mi=Mj Se pueden reordenar los bloques Podemos reordenar los bloques encriptados para cambiar el texto desencriptado. 4

5 CB Mode of Operation ncriptar un texto P usando DS: P = P 1 P 2... P N lectronic Codebook Mode: C = K (P 1 ) K (P 2 )... K (P N ) Problemas: Bloques idénticos resultan en bloques encriptados idénticos y además: 64 bits = 8 ASCII characters Resultado: Mucho texto cifrado con la misma K 5

6 CB Mode of Operation M= Alberto 1000 SK Michael 9000 SK CB(M)= 6

7 Un posible cambio a CB M1 M2 M3 M4 r1 r2 r3 r4 C1 C2 C3 C4 Transmit M={r1, c1, r2, c2, r3, c3, r4, c4} 7

8 Problemas con la propuesta Tenemos que enviar todos los R todos los C, doblamos la cantidad de datos. Todavia podemos cambiar los bloques Si dos bloques Cj = ciphertext son iguales, sabemos que el XOR de los bloques de texto plano = XOR de los dos numeros aleatorios Rj La solución: Cipher Block Chaining (CBC), genera sus números aleatorios Rj usando el texto encriptado anterior y un bloque adicional llamado vector de inicialización ( IV, initialization vector) 8

9 CBC (Cipher Block Chaining) IV M1 M2 M3 M4 IV C1 C2 C3 C4 9

10 CBC Decryption IV C1 C2 C3 C4 D D D D IV M1 M2 M3 M4 10

11 CBC Qué ocurre si perdemos un bloque Ci? Cuanto texto plano se pierde? Puede un atacante modificar el texto cifrado para obtener un texto plano predecible? Puede el atacante sacar ventaja de alterar los bloques? 11

12 CBC Desencriptación, Perdida de C1 IV C1 C2 C3 C4 D D D D IV M1 M2 M3 M4 12

13 Modificación de C3 y C4 IV C1 C2 C1 C2 D D D D IV M1 M2 Garble M2 13

14 Privacidad e Integridad IV M1 M2 M3 CRC32 IV C1 C2 C3 C4 14

15 ncriptación doble. l doble DS C = K2 ( K1 (P)) Se puede encontrar un K3 donde C = K3 (P)? xisten 2 56 claves, para un total de 2 64! posibilidades de salida Si DS es bueno, cada clave de entrada, resulta en una salida aleatoria La probabilidad que un bloque aleatorio corresponda a una clave DS es: 2 56 / 2 64! << 1 / 2 63! ntoces, Cual es el tamaño efectivo de DS? = 2 56 * 2 56 =

16 Ataque cuando se conoce el M (MiM) K 1 K 2 M try all possible keys X K1 C try all possible keys M X K2 Y K1 Y K2 D C X K2 56 Y K2 56 One X Ki = Y Kj means K 1 = K i and K 2 = K j 16

17 Meet in the Middle (Ataque de encontrarse a mitad de camino) C = K2 ( K1 (M)) X = K1 (M) = D K2 (C) Ataque de fuerza bruta (conocida la pareja M/C): Se calculan todos los K1 (M) para todas las claves (esfuerzo 2 56 ) Se calculan todos los D K2 (C) para todas las claves (esfuerzo 2 56 ) l esfuerzo es de emparejar = 2 * 2 56 =

18 Triple DS (3DS) Objetivo: incrementar el tamaño de la clave de los 56 bits a >80 bits Por qué se descarto DS doble? encriptar con K 1 dos veces. Piensa en el esfuerzo para los buenos y para los malos encriptar con K 1 y con K 2. Cuanto es el esfuerzo para los buenos y para los malos? Memoria, Tiempo... 18

19 Triple DS (3DS) Se define como un D con K1, K2, K3, pero en general se hace K1=K3. La clave 3DS es 168 bits? No, por la misma razón. l ataque meet in the middle attack. Se considera que es equivalente a una clave de 112 bits. 112 bits se consideran suficientes. 19

20 Por qué D en lugar de? Una de las razones de menor peso es que la primera y ultima permutación se cancelan en comparación con D La razón fundamental es que D es compatible con DS si K1=K2=K3. 20

21 Usando 2 Claves K en Triple DS C = K1 (D K2 ( K1 (M))) Por qué no usamos D K2 en lugar de K2? Compatibilidad con DS Si K1 = K2: C = K1 (D K1 ( K1 (M))) = K1 (M) Tamaño real de la clave = bits = 112 bits Se puede hacer un ataque Meet in the middle? Sí, X = K1 (M) = D K1 ( K2 (C)) 2 56 y

22 Cómo de seguro es Triple DS? Un ataque de fuerza bruta implica una busqueda de: keys l mejor ataque a DS: 245 B keys/second 6.7 * años (comparado con 22 horas de DS) años = el tiempo de vida del Universo (teoría del Universo cerrado :D) l mejor de los ataques lo reduce a log 2 n n = número de parejas P C conocidas Realista? n = 2 64, el esfuerzo es de

23 3DS(D) con CBC por fuera M1 M2 M3 M4 IV D D D D C1 C2 C3 C4 23

24 3DS(D) con CBC por dentro M1 M2 M3 M4 IV D D D D C1 C2 C3 C4 24

25 Fuera vs Dentro Fuera Se puede modificar el texto cifrado Qué ocurre si modificamos un solo bit? Dentro Mejores prestaciones (paralelización pipelining) ntonces por qué se usa por fuera en la Industria? Se puede usar como un nuevo tipo de algoritmo de encriptación (block encryption) con OFB, CB, CFB, CTB 25

26 Ataques a DS y 3DS Ataques de fuerza bruta Mejor resultado para DS: 22 horas No se ha conseguido para 3DS Otros ataques: Differential Cryptanalysis Power Cryptanalysis 26