Criptoanálisis de Cifrado en Flujo

Transcripción

1 Criptoanálisis de Cifrado en Flujo Amparo Fúster Sabater Instituto de Física Aplicada C.S.I.C.

2 realmente dudo que la inteligencia humana pueda concebir un enigma que la inteligencia de otro humano no sea capaz de resolver El escarabajo de oro Edgar Allan Poe

3 Ejemplos prácticos de Criptoanálisis (Criptosistemas de cifrado en flujo) Telefonía móvil GSM Algoritmo de cifrado A5/ (2000) Algoritmo de cifrado A5/2 (200) TOYOCRYPT-HS stream cipher (2002) Ataques por correlación

4 Seguridad de los criptosistema actuales Cuándo un criptosistema es seguro? En sentido estricto: NUNCA!!!!! No hay un criterio general que determine la seguridad/no seguridad de un criptosistema Se les asigna una seguridad probable Un criptosistema se considera roto cuando el usuario deja de utilizarlo

5 Procedimiento de Cifrado en Flujo Clave Clave Algoritmo determinístico z i z i Algoritmo determinístico y i EMISOR RECEPTOR x i x i z i = y i y i z i = x i x i

6 Criptosistemas de cifrado en flujo Generadores de secuencia binaria Basados en Registros (LFSR) Clave: contenido inicial de estos registros Long. Clave = No. etapas en los LFSRs Hipótesis de partida: Conocimiento del esquema de generación Conocimiento de una cantidad de la secuencia de salida

7 Búsqueda exhaustiva Probar una a una todas las posibles claves Algunos números: 2 30 operaciones con un PC en unos minutos 2 55 pruebas de clave con el DES en una red de cientos de PCs tarda 0 días 2 70 operaciones por día con toda la potencia computacional de Internet Claves de 28 bits 2 28 posibles claves

8 Algoritmos de cifrado A5 A B Algoritmo A5: generador de secuencia pseudoaleatoria Uso: cifrado del enlace entre el teléfono móvil y la estación base (Telefonía G.S.M.) Doble versión: A5/ (países europeos) A5/2 (fuera de Europa)

9 Telefonía G.S.M. (Global System for Mobile Communications) Conversación G.S.M. = secuencia de tramas Trama = 228 bits enviada cada 4,6 milisegundos Cifrado de la conversación: texto claro (conversación digitalizada) sec. cifrante (producida por algoritmo A5) sec. cifrada (conversación cifrada) Algoritmos criptográficos G.S.M. : A5/, A5/2 (cifrado) Estos algoritmos nunca fueron publicados oficialmente M. Briceno esquemas funcionales del A5/ y A5/2 (ingeniería inversa) (

10 emisor (texto claro) (sec. cifrante) (texto cifrado) receptor Cifrado/Descifrado en A5/ (texto cifrado) (sec. cifrante) (texto claro) A5/ es un generador de secuencia cifrante controlado por 64 bits de clave

11 Algoritmo A5/ 9 4 c 0 R 22 0 c2 R2 23 c R3 Estado interno: = 64 bits Función mayoría (c,c2,c3) = (0,,0), R y R3 desplazan

12 9 Algoritmo A5/ (Inicialización) 4 c 0 K F n 22 c2 0 0 K F n 23 c3 0 8 K F n K clave de 64 bits F n no. trama de 22 bits 00 ciclos con reloj activado 228 ciclos para sec. cifrante

13 Criptoanálisis A5/ Requerimientos: 2 minutos de sec. de salida del generador (2 5 tramas 7,47 x 0 6 bits) una tabla pre-computada un PC Criptoanalistas: A. Biryukov & A. Shamir, Weizmann Institute, Rehovot, Israel. Objetivo: Determinar la clave K (64 bits).

14 Criptoanálisis A5/ Idea general: Identificar un estado intermedio de alguna trama para llegar al estado inicial de dicha trama. A partir del estado inicial determinar los bits de la clave.

15 Características A5/ Identificación de estado con prefijo Sucesión de estados A i Estado interno A5/ (configuración 64 bits) A i-3 A * i-3 A i-2 A * i-2 A i+ A i- A i- * A i+2 A i

16 Criptoanálisis del A5/ N = {2 64 estados del A5/} A, B subconjuntos de N Card(A) capacidad discos duros comerciales A N B Card(B) salida conocida longitud de la sec. de Paradoja del cumpleaños: Card ( A)* Card ( B) Card ( N)

17 Criptoanálisis A5/ Estado bits de la sec. salida La sec. de salida se divide en prefijos superpuestos Prefijos Estados Estados Prefijos 000 A B A 2 B A i- B j Trama de 228 bits 000 A i A i estados conocidos Bj estados desconocidos

18 Criptoanálisis previo J. Golic, Cryptanalysis of Alleged A5 Stream Cipher, LNCS 233, pp , 997. Card(A) 64 terabytes de disco duro Card(B) 3 horas de conversación A N B Card ( A)* Card ( B) Card ( N) Pero si N N Card( A')* Card( B') Card( N ') A N B

19 Criptoanálisis A5/ (Biryukov-Shamir) Estados especiales prefijo de 5 bits (con 6 bits fijos) Buscar en cada trama la configuración de 6 bits fijos Prefijos Estados A A A i A i A i Trama de 228 bits

20 Criptoanálisis A5/ Paso : Tabla precomputada de pares (Prefijos, estados) Estados especiales Cada prefijo empieza con una muestra fija Alfa = 6 bits fijos Prefijo = bits

21 Criptoanálisis A5/ Paso 2: Buscar prefijo con alfa en sec. de salida para la identificación de un estado intermedio. 00 ciclos B 0 77

22 Criptoanálisis A5/ Paso 3: Para cada uno de los posibles estados candidatos Proceder en sentido contrario al proceso de inicialización. Calcular los 64 bits de clave (K i, i=,..,64). Comprobar la clave con cualquier trama de secuencia conocida.

23 Determinación de estados especiales: Alfa = x x2 x3 x4 y y2 y3 y4 x y x + y = 0, x + y = c(, 0, ) R, R R R2 R x x2 x3 x4 y2 y3 y4 y5. x y x + y2 =, x + y2 = c(, 0, ) R, R R R2 R3 R: 0 0 R: 0 0 R2: R2: 0 R3: 0 0 R3: Probar: = 2 4 estados parciales

24 Criptoanálisis A5/ Referencia: A. Biryukov & A. Shamir, Real-Time Cryptanalysis of A5/ on a PC, LNCS No. 978, Tiempo procesado: seg. (previo procesado de la tabla) Características: Comparación entre prefijos almacenados e interceptados Posibilidad de calcular los estados especiales Frecuentes resincronizaciones (distancia corta entre estados)

25 Criptoanálisis A5/2 Algoritmo A5/2: generador de secuencia pseudoaleatoria Uso: cifrado del enlace entre el teléfono móvil y la estación base (Telefonía G.S.M.) Criptoanálisis: S. Petrovic, A. Fúster. Cryptanalysis of the A5/2 Algorithm. Cryptology eprint Archive, Report 2000/052,

26 Esquema general A5/2 (componentes) 9 R 22 R2 23 R3 7 R4 Función mayoría F(x,x 2,x 3 ) = x x 2 + x x 3 + x 2 x F 0

27 Algoritmo A5/2: Esquema General F R C F R C2 F F R3 C3 8 4 R4

28 Algoritmo A5/2 (Inicialización) R 9 K F n R2 22 K F n R3 23 K R4 7 K K clave de 64 bits F n no. trama de 22 bits F n F n 00 ciclos con desplaza. activados 228 ciclos para sec. cifrante

29 Criptoanálisis del algoritmo A5/2 Requerimientos: conocimiento de 4 tramas de secuencia cifrante (92 bits) ( z, i,,92) Tras la introducción de los bits de clave x x x ,,, x x x 8, 40, Planteamiento inicial del ataque: 63, x x x 64 incógnitas Determinar las 64 incógnitas A partir de las x i calcular los 64 bits de clave Generar la secuencia cifrante x i i (, i,,64) k i k i

30 Criptoanálisis del algoritmo A5/2 R 4 controla el desplazamiento de R i (i =, 2, 3), con 7 etapas da lugar a: Para cada estado: = 307 posibles estados Generar las secuencias de desplazamiento de R i (i =, 2, 3) C i ci,, ci,2, ci,3, ci, n ( i, 2, 3) Plantear un sistema no lineal de 2º orden (términos x i x j ) con 64 ecuaciones booleanas y 64 incógnitas Resolver el sistema en las x i

31 Para un estado inicial de R 4 : x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x3x4 x3x7 x4x5 x4x6 x5x7 x6x7 x3 2 x 36 x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x x z

32 Resolución del sistema Linealizar el sistema: n variables lineales ( yk ) A cada golpe de reloj se plantea una nueva ecuación A partir de m 620 las ecuaciones son linealmente dependientes

33 Dependencia lineal a y a y a y a y a y z 2 2 m m m m n 79 a y a y a y a y a y z m m 2m m 2n 79 2 a y a y a y a y a y z m m 3m m 3n 79 3 a y a y a y a y a y z m m2 2 mm m mm m mn 79 m am,y am,2 y2 am, mym am, ny79 zm Dependencia lineal: Expresar la nueva ecuación como c. l. de las otras Expresar el bit de salida como c. l. de los otros bits z m p z m i i i

34 Reconstrucción de la secuencia cifrante (+2) a y a y a y 2 2 n 79 a y a y a y n 79 a y a y a y n 79 a y a y a y m m2 2 mn 79 am,y am, n y : 0 92 bits de salida conocidos (+2+3) am 2,y am 2, n y79 0 Si no hay discrepancias nueva ecuación Si hay discrepancia nuevo estado de R 4

35 Algoritmo de Criptoanálisis Input: 4 tramas de secuencia del generador A5/2 Output: la mayoría de los bits de la secuencia cifrante salvo bits Casos degenerados Ecuaciones linealmente independientes

36 No. rachas Bits de salida no reconstruídos Los bits degenerados son raros I600 I tramas I >30 Long. racha No afectan a la inteligibilidad de la conversación

37 Implementación práctica Implementación con PC (800 MHz, 256 Mb RAM) Puede evitarse el cálculo del rango del sistema para las primeras L ecuaciones L=620, el programa tarda 0,6 seg. en evaluar cada estado ( 0 horas en total) Precomputación: Para cada estado de R 4 almacenar el sistema de ecuaciones antes de la aparición de la primera dependencia lineal ( 20 Gbytes) Dividir el espacio de soluciones y asociarlo a ordenadores independientes dentro de una red La solución en tiempo real!!!

38 Conclusiones Es posible criptoanalizar el algoritmo A5/2 con recursos computacionales limitados El procedimiento descubre las relaciones lineales entre los bits de salida del generador El ataque se fundamenta en: Elección del registro corto para controlar los desplazamientos Probabilidad alta de dependencia lineal entre ecuaciones

39 Para saber más Se cambia el sistema GSM completo Algoritmo KASUMI (A5/3) (cifrado en bloque)

40 Toyocrypt-HR Generador de secuencia cifrante presentado a CRYPTREC Project (Japan) Filtro no lineal con 28 bits de clave Criptoanalizado por: M. Mihaljevic and H. Imai, Cryptanalysis of TOYOCRYPT- HS Stream Cipher, IEICE Trans. on Fundamentals, Vol. E85-A, No., pp , 2002.

41 LFSR (S i ) Toyocrypt-HR z ( S, S,, S ) i i ( i 0,...,3) MLFSR F es un función lineal i Conociendo 32 bits de salida la longitud de la clave se reduce de 28 a 96 bits espacio de claves Aplican un criptoanálisis basado en la paradoja del cumpleaños z i

42 Ataques por correlación (Generador de Geffe 973) LFSR x 0 LFSR 2 x 2 F z i Leakage!!!! LFSR 3 x 3 z F( x, x, x ) x x x x x i SELECTOR

43 Ataques por correlación R R 2 R 3 x x 2 x 3 0 Estrategia: Divide and conquer 2 L L L z i Tabla de verdad 2, 2, 2 L 2 3 e. i. L L 2 por separado , 2, 2 T. Siegenthaler, Correlation-Immunity of Nonlinear Combining Functions, IEEE Trans. on IT., 30 (984), X X 2 X 3 Z i

44 Ataques por correlación (Geffe) Objetivo: Determinar el estado inicial de R, R2 y R3 Requerimientos: Conocimiento de una cierta cantidad de sec. cifrante Idea general: Identificar un subconjunto de posibles estados iniciales de R y R2. Comparar cada par con todos los posibles estados iniciales de R3. z i

45 Para un registro (no selector), p.e. R e. i. Sec. gener. Indice coinc % 2 L ei % % Medida: Distancia de Hamming (secuencias de igual longitud) Comparar: Sec. generada vs Sec.interceptada z i Obtener un subconjunto de posibles e. i. para R Actuar en paralelo para R2

46 Ataques por correlación Algunos e.i. de R Algunos e.i. de R2 Todos los e.i. de R3 Comprobar cada (,, todos los ) con la sec. interceptada hasta descubrir el estado inicial del generador

47 Método XL (extended Linearization) Breaking a cipher requires as much work as solving a system of equations in a large number of unknowns of a complex type (Shannon, 949) Se trata de resolver sistemas de ecuaciones no lineales multivariables con: m = no. ecuaciones n = no. incógnitas m n

48 Método XL (extended Linearization) N. Courtois et al., Efficient Algorithms for Solving Overdefined Systems of Multivariate Polynomial Equations, Eurocrypt 2000, 807 (2000), Aplicación: Esquemas criptográficos simétricos Cifrado en flujo Cifrado en bloque Complejidad computacional: Tiempo polinomial!!! si m n 2

49 Otros tipos de Criptoanálisis Ataques por análisis temporal Aplicables a criptosistemas en los que la operación de cifrado no tiene una duración constante p.e. la exponenciación modular en RSA Se observa el tiempo requerido para sucesivas exponenciaciones ( millón) y se tabula Se recupera la clave observando el tiempo empleado en la exponenciación realizada en el cifrado concreto D. Boneh et al., On the importance of checking cryptographic protocols for faults, Eurocrypt 97, 997, pp.37-5

50 Otros tipos de Criptoanálisis Ataques por análisis de potencia Aplicable a tarjetas inteligentes Semejante al anterior pero estudiando el consumo de energía de una tarjeta. Criptoanálisis basado en fallos hardware Aplicable a criptosistemas con operaciones modulares (clave pública) Se somete el equipo de cifrado a una perturbación física (bombardeo con partículas, falta de tensión, ) Se comparan textos cifrados obtenidos antes y después de la perturbación (se estudian diferencias) P.Kocher, Timming Attacks on implementations of Diffie-Hellman, RSA, DSS,