1. Introducción Cifrado de Hill RSA ElGamal Firma DSA Test de Miller-Rabin...

Transcripción

1 Índice 1. Introducción 3 2. Técnicas criptográficas Cifrado de Hill RSA ElGamal Firma DSA Test de Miller-Rabin Exponenciación Modular Rápida Implementación Introducción a Maxima Paquete Stringproc Funciones implementadas Guías prácticas Observaciones Conclusiones

2 2 ÍNDICE I Anexos 59 A. Anexo 1 61 A. Anexo 2 65 A. Anexo 3. Enlaces 81 Bibliografía 83

3 Capítulo 1 Introducción El trabajo que hemos realizado está relacionado con otros proyectos que también están dedicados a la parte de criptografía, como el de Eva García Losilla titulado Implementación de un módulo de aritmética modular para Maxima y el de María Bonet Martín titulado El criptosistema Rijndael, y contribuye a completar las herramientas a disposición de los alumnos para facilitar la comprensión de varios sistemas de cifrado impartidos en la asignatura del bloque optativo Internet: administración, aplicaciones y seguridad, utilizando el calculador simbólico Maxima. El proyecto está orientado a facilitar la comprensión y el funcionamiento de los criptosistemas cifrado de Hill, RSA y ElGamal. La implementación de estos criptosistemas está realizada en Maxima, que es un calculador simbólico de licencia pública utilizado en la asignatura de internet. Además otros calculadores simbólicos como Maple o Mathematica están relacionados con Maxima, pero estos sistemas no poseen una licencia pública. El primer capítulo de este trabajo está dedicado a dar una explicación del funcionamiento de estos criptosistemas. Para el cifrado de Hill podemos ver el proceso de cifrado y descifrado y un ejemplo de cómo se llevan a cabo. También podemos ver como se realizarían dos tipos de ataque a este sistema de cifrado. De los criptosistemas RSA y ElGamal podemos ver una explicación de los procesos de creación de las claves, cifrado, descifrado, firma y verificación y un ejemplo de estos procesos. En este capítulo también podemos encontrar una explicación, con algunos ejemplos, del test de primalidad de Miller-Rabin y de la exponenciación modular rápida. Estos dos algoritmos los hemos utilizado en los criptosistemas de clave pública RSA y ElGamal. El capítulo siguiente está dedicado a la parte de implementación. Contiene una explicación de las funciones implementadas en Maxima y de las guías realizadas con estas funciones. También hemos incluido en este capítulo una lista de las funciones que hemos utilizado del paquete stringproc, necesario para el procesamiento de cadenas. Además de estos capítulos hemos incluido unos anexos que contienen los resultados obtenidos al realizar pruebas prácticas de la factorización de números primos, enlaces útiles y el código de una guía práctica. 3

4

5 Capítulo 2 Técnicas criptográficas La criptografía es tan antigua como la escritura y es el arte o ciencia de la escritura secreta. Su principio básico es mantener la privacidad en la comunicación entre dos personas modificando el mensaje original de forma que no sea inteligible para cualquier persona que no sea el destinatario. A este proceso de modificar los datos se le llama cifrado y se lleva a cabo generalmente mediante una clave que es un conjunto de reglas preestablecidas entre los usuarios de la comunicación. En el proceso de cifrado transformamos el mensaje original o texto en claro, que es la información que deseamos proteger, en el mensaje cifrado. Al proceso inverso, que es el de obtener el mensaje original, se le llama descifrado. El criptoanálisis es el conjunto de técnicas mediante las cuales se trata de obtener la información original a partir del mensaje cifrado, sin tener acceso a la información necesaria para realizar este proceso normalmente. El conjunto de protocolos, algoritmos de cifrado y procesos de gestión de claves es lo que constituye un criptosistema, que es con lo que el usuario interactúa. Los criptosistemas pueden ser de dos tipos: simétricos y asimétricos. En un sistema de cifrado simétrico para cifrar y descifrar se utiliza la misma clave. El emisor cifra el mensaje con la clave y el receptor descifra el mensaje utilizando la misma clave. Figura 2.1: Cifrado simétrico 5

6 6 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS El sistema de cifrado asimétrico o de clave pública utiliza un par de claves para el envío de mensajes. Existe una clave pública y una privada que pertenecen al mismo propietario. El emisor utiliza la clave pública del receptor para cifrar el mensaje. Una vez cifrado sólo el receptor podrá descifrar el mensaje utilizando su clave privada asociada. Figura 2.2: Cifrado asimétrico En la historia de la criptografía podemos hacer una distinción entre criptosistemas anteriores al año 1976 que reciben el nombre de criptosistemas clásicos y los posteriores a esa fecha que reciben el nombre de criptosistemas modernos. En dicho año Whitfield Diffie y Martin Hellman propusieron un algoritmo para el intercambio de claves de forma segura. Ya no era necesario que los usuarios tuvieran un contacto previo y se podía utilizar un canal inseguro. En esta fecha también aparece un criptosistema simétrico llamado DES que codifica dividiendo el texto en bloques de 64 bits y utilizando claves de 56 bits. Actualmente DES se considera inseguro debido a la corta longitud de su clave, pero una variante de este que se llama Triple DES si se considera segura [6]. Los criptosistemas clásicos son todos simétricos y los podemos clasificar según el proceso de cifrado en: Criptosistemas de transposición: el texto cifrado es el resultado de una reordenación de los símbolos del texto original Criptosistemas de sustitución: cada símbolo del texto es sustituido por otro símbolo Monoalfabética: cada símbolo del texto se sustituye por otro símbolo que es siempre el mismo, no depende de la posición en el texto Polialfabética: cada símbolo del texto se sustituye por otro símbolo dependiendo de la posición en el texto El principal problema del cifrado simétrico no radica en su seguridad sino en el intercambio y la gestión de las claves. Una vez que el emisor y el receptor del mensaje han acordado la clave pueden usarla para comunicarse con seguridad. En un cifrado asimétrico no existe el problema del intercambio de claves ya que se basa en funciones trampa de un solo sentido (función unidireccional). Una función de un solo sentido es aquella que realizar la operación en un sentido en fácil, es decir, se puede computar de forma eficiente, pero invertir la función es sumamente difícil.

7 7 El parámetro de seguridad de los criptosistemas viene dado por el tamaño de la clave ya que con una clave grande se consigue una gran seguridad pero como contra a mayor tamaño de clave menor será la velocidad de cifrado, sobre todo en los sistemas de cifrado asimétricos donde el tamaño de la clave influye en gran medida en la velocidad de cifrado. Debido a esto es necesario que el tamaño de la clave sea el adecuado para garantizar una velocidad adecuada y que la seguridad no se vea comprometida. Los cifrados simétricos son normalmente de cien a mil veces más rápidos que un cifrado asimétrico. En la práctica se utilizan cifrados asimétricos para transmitir las claves y una vez que los usuarios ya disponen de la misma clave se utiliza un cifrado simétrico para llevar a cabo la comunicación. Un tamaño de clave seguro es distinto para un sistema de cifrado simétrico de otro asimétrico (RSA, ElGamal). Por ejemplo, para el primero se considera seguro un tamaño de clave de 128 bits mientras que para el segundo es necesaria una clave de 1024 bits para una seguridad moderada, siendo recomendable utilizar una clave de 2048 bits para obtener una seguridad buena [7, 10]. En la siguiente tabla [8] podemos ver las equivalencias computacionales (ver anexo 1) entre distintos tamaños de claves para un cifrado simétrico como puede ser DES y para un cifrado asimétrico como RSA o ElGamal. Simétrico Asimétrico (RSA/ElGamal) Tabla 2.1: Equivalencias computacionales entre cifrado simétrico y asimétrico Una gran diferencia entre el cifrado simétrico y asimétrico es que en el cifrado asimétrico existe la firma digital. Las firmas digitales son procedimientos mediante los cuales el autor de un mensaje puede firmarlo con las mismas propiedades de un documento firmado en papel. Para poder realizar la firma digital cada usuario dispone de dos claves: una clave pública y una clave privada. El proceso de firma consiste en que el autor firma el mensaje utilizando su clave privada de manera que cualquier otro usuario con la clave pública puede verificar el origen del mensaje. De esta forma el receptor del mensaje tiene la seguridad del origen del mensaje y no puede rechazarlo (no repudio) ya que sólo el firmante posee la clave privada para producir la firma. Una diferencia fundamental entre una firma digital y una convencional es que una copia de una firma digital es idéntica a la original. Además una firma convencional en papel se verifica comparándola con otra, siendo está relativamente fácil de falsificar. Las características de una firma digital son las siguientes:

8 8 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS Unicidad. Sólo el autor del mensaje es capaz de crear la firma. Imposible de falsificar. Para alguien que no sea el autor es computacionalmente muy difícil crear la firma. Facilidad de identificación. El procedimiento de firmado y el de verificado han de ser rápidos de calcular. Ha de ser una secuencia de bits que dependa del mensaje. Por consiguiente, no se puede copiar la firma para su utilización en la firma de otro mensaje. En este capítulo vamos a ver con detalle y con ejemplos el proceso de cifrado de un criptosistema clásico como es el cifrado de Hill y el proceso de cifrado y firma de los criptosistemas modernos de clave pública o asimétricos como son RSA y ElGamal. También hemos incluido dos algoritmos. El primero es un test de primalidad como es el test de Miller-Rabin que nos facilitará la búsqueda de números primos grandes y el segundo es una manera más rápida de realizar la exponenciación modular Cifrado de Hill Este sistema fue inventado por Lester S. Hill en 1929 y esta basado en álgebra lineal [9]. El cifrado de Hill es un criptosistema de substitución poligráfica que cifra bloques de texto de longitud d utilizando como clave una matriz. Esta matriz ha de ser cuadrada de orden d y también invertible (imprescindible para poder descifrar). Para llevar a cabo una comunicación mediante este sistema de cifrado el emisor y el receptor se deben poner de acuerdo en el tamaño de los bloques del texto (d), la matriz que utilizarán como clave y el alfabeto de símbolos que utilizarán. Sea m el mensaje a cifrar, entonces el emisor divide m en bloques de longitud d: m = m 1 m 2... m k. Los elementos de cada bloque m i en los que hemos dividido el mensaje los convertimos a sus números equivalentes módulo 256 ó 27. El alfabeto utilizado para el módulo 256 es el código ASCII mientras que el alfabeto utilizado para el módulo 27 es el siguiente: Alfabeto a b c d e f g h i j k l m n Z Alfabeto o p q r s t u v w x y z Z

9 2.1. CIFRADO DE HILL 9 En este alfabeto de 27 caracteres el espacio en blanco ( ) corresponde al número 26. Una vez hemos convertido los caracteres a sus números equivalentes creamos las matrices M i de una columna y d filas formadas por los elementos de cada bloque m i. Para cifrar sólo necesitamos una matriz que utilizaremos como clave. No todas las matrices pueden ser utilizadas como clave, para ello se deben emplear matrices invertibles. Una matriz es invertible si: En R K es invertible det(k) 0 K 1 1 = (Adj K)T K det (K) En Z n K es invertible det(k) es invertible módulo n es invertible det(k) y p coprimos K 1 = (det K) 1 (Adj K) T En este criptosistema, K debe estar formada por coeficientes en Z n, siendo n el número de elementos del alfabeto. En nuestro caso n puede ser 27 ó 256. El proceso de cifrado es el siguiente: K M i = C i Es decir, si la matriz K (clave) es una matriz cuadrada de orden 3, entonces M 1 es una matriz de 3 filas y 1 columna que contiene los tres primeros elementos del mensaje original y C 1 es una matriz de 3 filas y 1 columna que contiene los tres primeros elementos del mensaje cifrado. El proceso de descifrado es el siguiente: M i = K 1 C i donde K 1 es la matriz inversa de K que es la clave. Desciframos multiplicando la matriz inversa de la clave por C i obteniendo M i. Para descifrar el bloque C 1 que contiene los tres primeros elementos del mensaje cifrado tenemos que multiplicar K 1 por C 1 obteniendo así M 1 que contiene los tres primeros elementos del mensaje original. Realizando el descifrado de todos los bloques obtenemos el mensaje original que hemos cifrado. Por ejemplo vamos a cifrar el mensaje me gusta la criptografia utilizando un alfabeto de 27 caracteres donde cada carácter corresponde a un número. Vamos a utilizar la siguiente matriz cuadrada de orden 3 y con coeficientes en Z 27 como clave K y vamos a comprobar que es invertible.

10 10 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS K = K = = (mod 27) = m.c.d(11, 27) = 1 Como el determinante de K y el módulo de Z n son coprimos entonces la matriz es invertible. Como la matriz que utilizamos de clave es de orden 3 los bloques del texto que queremos codificar tendrán 3 caracteres, los cuales corresponden a un número del alfabeto de 27 caracteres. El mensaje me gusta la criptografia quedaría de la siguiente manera: me (12, 4, 26) = M 1 cri (2, 17, 8) = M 5 gus (6, 20, 26) = M 2 pto (15, 19, 14) = M 6 ta (19, 0, 26) = M 3 gra (6, 17, 0) = M 7 la (11, 0, 26) = M 4 fia (5, 8, 0) = M 8 El proceso de cifrado se haría de la siguiente forma: K M 1 = C 1 K M 2 = C 2. K M 8 = C 8 K M 1 = = = (20, 11, 8) = uli Todos los bloques del mensaje cifrados quedarían así: M 1 = me (12, 4, 26) = (20, 11, 8) uli = C 1 M 2 = gus (6, 20, 18) = (15, 11, 18) pls = C 2 M 3 = ta (19, 0, 26) = (23, 15, 21) xpv = C 3 M 4 = la (11, 0, 26) = (20, 14, 7) uoh = C 4 M 5 = cri (2, 17, 8) = (8, 10, 19) ikt = C 5 M 6 = pto (15, 19, 14) = (17, 17, 17) rrr = C 6 M 7 = gra (6, 17, 0) = (15, 17, 19) prj = C 7 M 8 = fia (5, 8, 0) = (18, 18, 14) sso = C 8

11 2.1. CIFRADO DE HILL 11 El mensaje completo cifrado quedaría de la siguiente manera: texto en claro: me gusta la criptografia texto cifrado: uliplsxpvuohiktrrrprjsso Para hacer el proceso de descifrado tenemos que calcular la matriz inversa de la clave K. La matriz inversa se calcula mediante la fórmula K 1 = (det K) 1 (Adj K) T. Calculamos el inverso del determinante (det K) 1 det K = (mod 27) Entonces resolviendo 11x 1 (mod 27) obtenemos que x = 5 = (det K) 1 =5 La matriz Adj(K) se calcula sustituyendo cada elemento de K por sus respectivos adjuntos. El adjunto de un elemento k ij es el resultante de multiplicar ( 1) i+j por el determinante de la matriz que se obtiene al quitar de la matriz K la fila y columna que contiene el elemento k ij. La matriz transpuesta de K se obtiene al intercambiar filas por columnas. Adj (K) = = (Adj K) T Para hacer la matriz inversa de K sólo nos queda por hacer lo siguiente: K 1 = (det K) 1 (Adj K) T = = = Para recuperar el mensaje el proceso de descifrado sería: M 1 = K 1 C 1 M 2 = K 1 C 2. M 8 = K 1 C 8 K 1 C 1 = = = (12, 4, 26) = me Todos los mensajes descifrados quedarían así:

12 12 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS C 1 = uli (20, 11, 8) = (12, 4, 26) me = M 1 C 2 = pls (15, 11, 18) = (6, 20, 18) gus = M 2 C 3 = xpv (23, 15, 21) = (19, 0, 26) ta = M 3 C 4 = uoh (20, 14, 7) = (11, 0, 26) la = M 4 C 5 = ikt (8, 10, 19) = (2, 17, 8) cri = M 5 C 6 = rrr (17, 17, 17) = (15, 19, 14) pto = M 6 C 7 = prj (15, 17, 19) = (6, 17, 0) gra = M 7 C 8 = sso (18, 18, 14) = (5, 8, 0) fia = M 8 El mensaje completo descifrado sería quedaría así: texto cifrado: uliplsxpvuohiktrrrprjsso texto descifrado: me gusta la criptografia Ataques al cifrado de Hill Vamos a analizar dos tipos de ataques al cifrado de Hill como son el ataque por fuerza bruta y el ataque con texto en claro y texto cifrado conocido. Con estos dos tipos de ataques lo que se pretende es obtener la clave pero no todos los tipos de ataques están encaminados a obtener la clave. En otros tipos de ataques el criptoanalista lo que pretende es obtener cierta información del texto cifrado, obtener una parte del texto original, etc. Un primer ataque y el más básico es el ataque por fuerza bruta que consiste en lo siguiente. Conociendo sólo el texto cifrado probar todas las posibles claves para descifrar el texto obteniendo así la clave utilizada en el cifrado. Vamos a ver unos ejemplos de este tipo de ataque utilizando varios tamaños de clave y los dos alfabetos que hemos implementado. Sabiendo que la clave es de tamaño 3, es decir, una matriz cuadrada de orden 3 y utilizando un alfabeto de 27 símbolos, tendríamos que probar en el peor de los casos 27 9 = posibles claves distintas. Sea n el número de símbolos del alfabeto que estamos utilizando, para un tamaño de clave d hay n d2 matrices distintas entre las que podemos escoger una clave, aunque hay que descartar aquellas que no son invertibles. Podríamos calcular el coste en tiempo que tardaría una maquina en probar todas las claves posibles, obteniendo de esta manera la clave utilizado en el cifrado de un mensaje. Asumiendo que probar cada clave tiene un coste de una operación básica por segundo y utilizando una capacidad computacional de MIPS [15] (Millions of Instructions Per Second o millones de instrucciones por segundo) = operaciones por segundo

13 2.1. CIFRADO DE HILL 13 n d2 = coste en segundos empleado en probar todas las claves En la siguiente tabla podemos ver el tiempo utilizado en probar todas las claves posibles (todas las matrices posibles) y para los dos alfabetos que hemos utilizado. Tamaño de clave Tiempo para n = 27 Tiempo para n = min 21 seg 7487 años años 5, años 5 9, años 2, años 6 5, años 7, años 7 2, años 1, años Tabla 2.2: Costes para distintos tamaños de claves en el ataque por fuerza bruta Como resultado de este análisis podemos observar que el cifrado de Hill tiene una complejidad de orden exponencial. El coste es de O(n d2 ), donde n está determinado, sólo puede ser 27 ó 256, y d es el parámetro variable, por lo tanto tiene un coste exponencial. Ahora bien, existe otro tipo de ataque que es el ataque con el texto cifrado y el texto original conocido. Para este tipo de ataque además de conocer el texto cifrado el criptoanalista conoce también el texto original siendo mucho más fácil y rápido obtener la clave. Cuando ciframos realizamos la siguiente operación de matrices: K M 1 = C 1 = K m 1 m 2 m 3 = c 1 c 2 c 3 El atacante que conoce el mensaje original y el mensaje cifrado y sabiendo que la clave es de orden d puede generar la matriz P, que estará formada por d bloques de tamaño d con los elementos del mensaje original. Es decir, P será una matriz cuadrada de orden d formada por los elementos del mensaje original. P = m 1 m 4 m 7 m 2 m 5 m 8 m 3 m 6 m 9 También puede generar la matriz C que estará formada igual que la matriz P pero con los correspondientes bloques cifrados. C = c 1 c 4 c 7 c 2 c 5 c 8 c 3 c 6 c 9

14 14 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS Por lo tanto para obtener la clave a partir del texto cifrado y del texto original sólo hay que realizar la siguiente operación de matrices: K = C P 1 Para poder llevar a cabo esta operación es necesario que la matriz del texto original P tenga inversa P 1. La matriz P tendrá inversa si el m.c.d entre el determinante de P y el módulo del alfabeto que estamos utilizando (por ejemplo el alfabeto módulo 27) es igual a 1. En el caso de que la matriz P no tenga inversa no se podrá obtener la clave con esa matriz P del texto original. Pero podemos generar otra matriz con el siguiente bloque del mensaje original que sí tenga inversa, siempre que el mensaje original sea lo suficiente extenso. Vamos a ver un ejemplo de este tipo de ataque. Texto original = el cifrado de hill Texto cifrado = kknwmobwnvejbplzilqj Sabemos que la clave es de tamaño 4 Texto que vamos a utilizar para obtener la clave: Texto original [ e, l,, c ] [ i, f, r, a ] [ d, o,, d ] [ e,, h, i ] Números correspondientes a los caracteres del texto original [ 4, 11, 26, 2 ] [ 8, 5, 17, 0 ] [ 3, 14, 26, 3 ] [ 4, 26, 7, 8 ] Texto cifrado [ k, k, n, w ] [ m, o, b, w ] [ n, v, e, j ] [ b, p, l, z ] Números correspondientes a los caracteres del texto original [ 10, 10, 13, 22 ] [ 12, 14, 1, 22 ] [ 13, 21, 4, 9 ] [ 1, 15, 11, 25 ] Construimos la matriz del texto original (P ) con los números de sus caracteres: P = Construimos la matriz del texto cifrado (C) con los números de sus caracteres:

15 2.1. CIFRADO DE HILL 15 C = Determinante de P = 398 m.c.d(398, 27) = 1 Matriz inversa de P : P 1 = Realizamos la operación de matrices K = C P 1 y obtenemos la clave K: K = C P 1 = Una vez hemos obtenido la clave realizamos una comprobación. Vamos a cifrar el primer bloque del mensaje original con la clave que hemos obtenido. [ e, l,, c ] [ 4, 11, 26, 2 ] K M 1 = = [ 10, 10, 13, 22 ] [ k, k, n, w ] Como podemos observar el resultado de cifrar el primer bloque con la clave obtenida es igual a los primeros cuatro primeros caracteres del texto cifrado.

16 16 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS 2.2. RSA El algoritmo fue descrito en 1977 por Ron Rivest, Adi Shamir y Leonard Adleman en el MIT (Instituto Tecnológico de Massachusetts). Las letras RSA son las iniciales de sus apellidos [3, 10]. Se basa en criptografía de clave pública y se fundamenta en la dificultad de factorizar en un tiempo razonable cantidades que son producto de dos números primos grandes. Generación de claves Escogemos dos números primos p y q y calculamos N = p q Calculamos Φ(N) = Φ(p q) = (p 1) (q 1) = n Escogemos una e tal que m.c.d(e, n) = 1, es decir e Z n. Calculamos d = e 1 (mod n) Clave Pública e N Clave Privada d Cifrado RSA Tenemos que tener en cuenta que m (mensaje) tiene que ser menor que N e invertible (m Z N ). El cifrado se realiza de la siguiente forma: c = m e (mod N) Descifrado RSA El descifrado se realiza de la siguiente forma: m = c d (mod N) ya que

17 2.2. RSA 17 c d (m e ) d m ed (mod N) m Φ(N)k+1 (m Φ(N) ) k m m (mod N) }{{} =1 La congruencia a x b (mod m) es equivalente a estudiar la ecuación diofántica siguiente: a x = m q + b Entonces podemos deducir e d 1 (mod Φ(N)) e d = Φ(N) k + 1 Teorema de Euler: a Φ(N) 1 (mod N) a Z N m Φ(N) k m (m Φ(N) ) k m 1 k m m mod (N) Ejemplo de cifrar con RSA Realizamos la elección de las claves. p = y q = N = p q = = Φ(N) = Φ(p q) = (p 1) (q 1) = ( ) ( ) = n = Buscamos e tal que m.c.d(e, n) = 1 e = m.c.d( , ) = 1 Calculamos d tal que e d 1 (mod ) d = Como el mensaje m tiene que ser menor que N (m Z N ) el número mayor de caracteres que podemos codificar es 5 ya que si en el código ASCII el mayor carácter es el 255 entonces = que es menor que N = De esta forma el número resultante al convertir los caracteres a su equivalente en código ASCII será menor que N. Si utilizáramos 6 caracteres el número del mensaje podría ser que al ser mayor que N no podríamos volver a recuperar el mensaje. Si en lugar de trabajar con el alfabeto que corresponde al código ASCII utilizamos el alfabeto Z 27 entonces el número mayor de caracteres que podemos codificar es 9.

18 18 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS En la realidad cuando utilizamos una clave de 1024 bits (N = ) podemos codificar mensajes de un cierto tamaño k. Es decir, un mensaje de k símbolos ASCII se puede representar mediante un número menor que 256 k ya que: 256 k > a k 1 + a k a k Por lo tanto: 256 k = k log = 1024 k = 1024 log = = 27 = 128 El mensaje podrá tener hasta 128 caracteres. Para una clave de 2048 bits el mensaje podrá tener hasta 256 caracteres y para una de 4096 el mensaje podrá ser de hasta 512 caracteres. Vamos a cifrar el siguiente mensaje El criptosistema RSA, utilizando el alfabeto del código ASCII para convertir los caracteres a números, quedando los bloques que vamos a cifrar de la siguiente manera (máximo de 5 caracteres por bloque): [ E, l,, c, r ] [ i, p, t, o, s ] [ i, s, t, e, m ] [ a,, R, S, A ] m 1 m 2 m 3 m 4 Ciframos [ E, l,, c, r ] [ 69, 108, 32, 99, 114 ] m 1 = = m e 1 = = (mod ) [ i, p, t, o, s ] [ 105, 112, 116, 111, 115 ] m 2 = = m e 2 = = (mod ) [ i, s, t, e, m ] [ 105, 115, 116, 101, 109 ] m 3 = = m e 3 = = (mod )

19 2.2. RSA 19 [ a,, R, S, A ] [ 97, 32, 82, 83, 65 ] m 4 = = m e 4 = = (mod ) El mensaje cifrado sería el siguiente: ( , , , ) Desciframos bloque a bloque c d 1 = = (mod ) = [ 69, 108, 32, 99, 114 ] [ E, l,, c, r ] c d 2 = = (mod ) = [ 105, 112, 116, 111, 115 ] [ i, p, t, o, s ] c d 3 = = (mod ) = [ 105, 115, 116, 101, 109 ] [ i, s, t, e, m ] c d 4 = = (mod ) = [ 97, 32, 82, 83, 65 ] [ a,, R, S, A ] Como se puede observar, efectivamente recuperamos el mensaje original: El criptosistema RSA. Consideraciones en la elección de las claves Como la seguridad de RSA se basa en el problema de la factorización la elección de los números primos p y q es fundamental para que ésta sea lo más difícil posible. De hecho, N es

20 20 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS producto de dos números primos debido a que cuantos más factores tiene un número más fácil es de factorizar. Para dificultar la factorización de N una forma de escoger los números primos p y q es la siguiente [1, 2]: Han de tener una magnitud parecida pero no han de estar muy juntos Los enteros (p 1) y (q 1) deben tener factores primos grandes El m.c.d(p 1, q 1) ha de ser pequeño Una forma de escoger p y q para que cumplan estas condiciones es elegir un primo r grande y calcular p = 2r + 1 y q = 2p + 1 donde p y q son primos. La elección de los números primos p y q de esta manera satisface las condiciones anteriores ya que: Tienen una magnitud parecida pero q es doble de p p y q tienen factores primos grandes ya que p 1 = 2r y q 1 = 2p El m.c.d(p 1, q 1) es 2, un número pequeño ya que m.c.d(2r, 2p) = 2 Como hemos dicho la seguridad del RSA depende de p y q primos y por lo tanto del tamaño del módulo N. Cuanto mayor sea N más seguridad pero como contra la velocidad será menor cuanto mayor sea este número. Observaciones Para cifrar y descifrar solo es necesario hacer una exponenciación. El texto original y el texto cifrado tienen el mismo tamaño (tasa de expansión 1). En software el criptosistema DES es 100 veces más rápido que RSA mientras que en hardware DES es entre 1000 y veces más rápido que RSA [2]. Es un cifrado determinista porque todas las veces que cifra lo hace igual. Firma RSA Tenemos que tener en cuenta que m (mensaje) tiene que ser menor que N e invertible (m Z N ).

21 2.2. RSA 21 El proceso de firmado se se lleva a cabo según la expresión: s = m d (mod N) Verificado RSA El verificado se haría de la siguiente forma: m = s e (mod N) ya que s d (m d ) e m ed (mod N) m Φ(N)k+1 (m Φ(N) ) k m m (mod N) }{{} =1 Ejemplo de firma con RSA En este ejemplo hemos utilizado las mismas claves que en el ejemplo anterior de cifrado con RSA. p = y q = N = p q = Φ(N) = Φ(p q) = (p 1) (q 1) = n = e = d = Vamos a firmar el siguiente mensaje El criptosistema RSA quedando los bloques que vamos a firmar de la siguiente manera (máximo de 5 caracteres por bloque): [ E, l,, c, r ] [ i, p, t, o, s ] [ i, s, t, e, m ] [ a,, R, S, A ] m 1 m 2 m 3 m 4 Firmamos [ E, l,, c, r ] [ 69, 108, 32, 99, 114 ]

22 22 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS m 1 = = m d 1 = = (mod ) [ i, p, t, o, s ] [ 105, 112, 116, 111, 115 ] m 2 = = m d 2 = = (mod ) [ i, s, t, e, m ] [ 105, 115, 116, 101, 109 ] m 3 = = m d 3 = = (mod ) [ a,, R, S, A ] [ 97, 32, 82, 83, 65 ] m 4 = = m d 4 = = (mod ) El mensaje firmado sería el siguiente: ( , , , ) Verificamos s e 1 = = (mod ) = [ 69, 108, 32, 99, 114 ] [ E, l,, c, r ] s e 2 = = (mod ) = [ 105, 112, 116, 111, 115 ] [ i, p, t, o, s ] s e 3 = = (mod ) = [ 105, 115, 116, 101, 109 ] [ i, s, t, e, m ]

23 2.3. ELGAMAL 23 s e 4 = = (mod ) = [ 97, 32, 82, 83, 65 ] [ a,, R, S, A ] Verificamos recuperando el mensaje original: El criptosistema RSA. Observaciones No es necesario tener el mensaje m para verificar la firma. Sólo es necesaria una exponenciación para firmar y verificar. Es posible firmar y cifrar ElGamal El algoritmo fue descrito por Taher ElGamal en 1984 y su seguridad se basa en la intratabilidad computacional del problema del logaritmo discreto (DLP) [3, 11]. El problema del logaritmo discreto consiste en: Dados x, a, p hallar y tal que x = a y (mod p) Los mejores algoritmos para resolver este problema son de tiempo subexponencial. Elección del grupo El funcionamiento de ElGamal requiere la elección de un grupo cíclico y un elemento g de orden grande, para garantizar que el DLP resulte intratable. Una forma de realizar esta elección es la siguiente: Elegir un primo p donde p 1 sea un factor primo grande. Es decir, elegir un p tal que exista un q primo donde p 1 = f q siendo f un factor pequeño. Si f = 2 entonces Z p tendrá Φ(1) = 1 elemento de orden 1, Φ(2) = 1 elemento de orden 2, Φ(q) = q 1 elementos de orden q y Φ(p 1) = Φ(2q) = Φ(2) Φ(q) = q 1 elementos de orden 2q = p 1.

24 24 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS Escoger un elemento g Z p siendo g 2 1, es decir descartando g = 1 y g = p 1 que tendrán orden 1 y 2, entonces g tendrá orden q ó 2q. Si g q = 1 entonces g será de orden q sino será de orden 2q. Generación de claves Elegimos un grupo finito cíclico Z p donde p es primo y un elemento g de orden n grande. Escogemos un número a tal que 1 a n 1, siendo a la clave privada del usuario A. Calculamos g a (mod p), siendo g a la clave pública del usuario A. De este modo Participantes A B Clave Privada a b Clave Pública g a g b Cifrado ElGamal Tenemos que tener en cuenta que m (mensaje) tiene que ser menor que p (m Z p). Escogemos un número r tal que 1 r n 1 y calculamos g r (mod p) Calculamos (g a ) r (mod p) Calculamos m g ar (mod p) c = (g r, m g ar ) = (c 1, c 2 ) Descifrado ElGamal Sea c = (g r, m g ar ) = (c 1, c 2 ) Calculamos ( g r }{{} c 1 ) a (mod p) Calculamos (g ar ) 1 (mod p) Calculamos m = (m g ar }{{} c 2 ) (g ar ) 1 (mod p)

25 2.3. ELGAMAL 25 Ejemplo de cifrar con ElGamal Elegimos el grupo finito cíclico Z donde p = g = orden } {{} ya que g p 1 1 (mod p) p 1 Realizamos la elección de las claves. Buscamos un número a, clave privada, tal que 1 < a < }{{} p 1 a = Calculamos g a que será la clave pública g a = = (mod }{{}) p Como el mensaje m tiene que ser menor que p (m Z p) el número mayor de caracteres que podemos codificar es 5 ya que si en el código ASCII el mayor carácter es el 255 entonces = que es menor que p = De esta forma el número resultante al convertir los caracteres a su equivalente en código ASCII será menor que p. Si utilizáramos 6 caracteres el número del mensaje podría ser que al ser mayor que p no podríamos volver a recuperar el mensaje. Vamos a cifrar el siguiente mensaje El criptosistema ElGamal quedando los bloques que vamos a cifrar de la siguiente manera (máximo de 5 caracteres por bloque): [ E, l,, c, r ] [ i, p, t, o, s ] [ i, s, t, e, m ] [a,, E, l, G ] [ a, m, a, l ] m 1 m 2 m 3 m 4 m 5 Ciframos [ E, l,, c, r ] [ 69, 108, 32, 99, 114 ] m 1 = = Buscamos un número r 1 tal que 1 < r 1 < }{{} r 1 = p 1 g r 1 = = (mod } {{}) p (g a ) r 1 = = (mod } {{}) p

26 26 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS m 1 (g a ) r 1 = = (mod } {{}) p Enviamos ( g r 1, m 1 (g a ) r 1 ) = ( , ) [ i, p, t, o, s ] [ 105, 112, 116, 111, 115 ] m 2 = = r 2 = [ i, s, t, e, m ] [ 105, 115, 116, 101, 109 ] m 3 = = r 3 = [ a,, E, l, G ] [ 97, 32, 69, 108, 71 ] m 4 = = r 4 = [ a, m, a, l ] [ 97, 109, 97, 108 ] m 5 = = r 5 = En la siguiente tabla podemos ver las operaciones realizadas para cada bloque. g r 2 = (g a ) r 2 = m 2 (g a ) r 2 = g r 3 = (g a ) r 3 = m 3 (g a ) r 3 = g r 4 = (g a ) r 4 = m 4 (g a ) r 4 = g r 5 = (g a ) r 5 = m 5 (g a ) r 5 = El mensaje cifrado sería el siguiente: g r = ( , , , , ) m (g a ) r = ( , , , , ) Desciframos Recibimos ( }{{}, }{{}) g r 1 m 1 (g a ) r 1

27 2.3. ELGAMAL 27 (g r 1 ) a = = (mod } {{}) p ((g r 1 ) a ) 1 = (mod } {{}) p (m 1 (g a ) r 1 ) ((g r 1 ) a ) 1 = = (mod }{{}) p = [ 69, 108, 32, 99, 114 ] [ E, l,, c, r ] Recibimos ( }{{}, }{{}) g r 2 m 2 (g a ) r 2 Recibimos ( }{{}, }{{}) g r 3 m 3 (g a ) r 3 Recibimos ( }{{}, }{{}) g r 4 m 4 (g a ) r 4 Recibimos ( }{{}, }{{}) g r 5 m 5 (g a ) r 5 En la siguiente tabla podemos ver realizadas las operaciones necesarias para el cifrado de cada bloque. (g r 2 ) a = (g r 2 ) a ) 1 = (m 2 (g a ) r 2 ) ((g r 2 ) a ) 1 = (g r 3 ) a = (g r 3 ) a ) 1 = (m 3 (g a ) r 3 ) ((g r 3 ) a ) 1 = (g r 4 ) a = (g r 4 ) a ) 1 = (m 4 (g a ) r 4 ) ((g r 4 ) a ) 1 = (g r 5 ) a = (g r 5 ) a ) 1 = (m 5 (g a ) r 5 ) ((g r 5 ) a ) 1 = Una vez recuperados los bloques del mensaje original sólo nos queda transformar esos números al carácter correspondiente para recuperar el mensaje = [ 105, 112, 116, 111, 115 ] [ i, p, t, o, s ] = [ 105, 115, 116, 101, 109 ] [ i, s, t, e, m ] = [ 97, 32, 69, 108, 71 ] [ a,, E, l, G ] = [ 97, 109, 97, 108 ] [ a, m, a, l ]

28 28 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS Como se puede observar, efectivamente recuperamos el mensaje original: El criptosistema ElGamal. Observaciones Para cifrar es necesario hacer dos exponenciaciones pero estas no dependen del mensaje por lo que pueden ser precalculadas y en el momento de cifrar sólo hace falta realizar un producto. Para descifrar es necesario hacer una exponenciación y un producto. Tiene un coste similar a RSA. El texto cifrado es un par de enteros que ocupan el doble de bits que el texto original (tasa de expansión 2) ya que hay que enviar g r para poder descifrar. Es un cifrado probabilístico porque cada vez que cifra lo hace una forma distinta ya que r es distinto cada vez que ciframos. Firma ElGamal Tenemos que tener en cuenta que m (mensaje) tiene que ser menor que p (m Z p). Escogemos un número h tal que m.c.d(h, n) = 1 Calculamos r g h (mod p) Calculamos h 1 (mod n) Obtenemos la firma como: s = (m a r) h 1 (mod n) Envía (m, r, s) Verificado ElGamal Recibe (m, r, s) Calculamos k = [(g a ) r r s ] (mod p) Comprobamos que k = g m (mod p)

29 2.3. ELGAMAL 29 Ejemplo de firma con ElGamal En este ejemplo hemos utilizado las mismas claves que en el ejemplo anterior de cifrado con ElGamal. Z donde p = g = orden }{{} p 1 La clave pública es: a = La clave privada es: g a = = (mod } {{}) p Vamos a firmar el siguiente mensaje El criptosistema ElGamal quedando los bloques que vamos a firmar de la siguiente manera (máximo de 5 caracteres por bloque): [ E, l,, c, r ] [ i, p, t, o, s ] [ i, s, t, e, m ] [a,, E, l, G ] [ a, m, a, l ] m 1 m 2 m 3 m 4 m 5 Firmamos [ E, l,, c, r ] [ 69, 108, 32, 99, 114 ] m 1 = = Buscamos un número h 1 tal que m.c.d(h 1, }{{}) = 1 n h 1 = (mod ) h 1 1 = (mod ) r 1 = g h 1 = = (mod } {{}) p s 1 = (m 1 a r 1 ) h 1 1 = ( ) = (mod } {{}) n Enviamos (m 1, r 1, s 1 ) = ( , , ) [ i, p, t, o, s ] [ 105, 112, 116, 111, 115 ] m 2 = = [ i, s, t, e, m ] [ 105, 115, 116, 101, 109 ]

30 30 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS m 3 = = [ a,, E, l, G ] [ 97, 32, 69, 108, 71 ] m 4 = = [ a, m, a, l ] [ 97, 109, 97, 108 ] m 5 = = En la siguiente tabla podemos ver realizadas las operaciones necesarias para cada bloque que vamos a firmar. h 2 = r 2 = s 2 = h 3 = r 3 = s 3 = h 4 = r 4 = s 4 = h 5 = r 5 = s 5 = El mensaje firmado sería el siguiente: m = ( , , , , ) r = ( , , , , ) s = ( , , , , ) Verificamos Recibimos (m 1, r 1, s 1 ) = ( , , ) (g a ) r 1 = = (mod } {{}) p 1 = = (mod } {{}) r s 1 k 1 = [(g a ) r1 r s 1 1 ] = ( ) = (mod }{{}) p g m 1 = = (mod } {{}) p k 1 = g m = p

31 2.4. FIRMA DSA 31 Recibimos (m 2, r 2, s 2 ) = ( , , ) Recibimos (m 3, r 3, s 3 ) = ( , , ) Recibimos (m 4, r 4, s 4 ) = ( , , ) Recibimos (m 5, r 5, s 5 ) = ( , , ) En la siguiente tabla podemos ver realizadas las operaciones necesarias para verificar los bloques. (g a ) r 2 = r s 2 2 = k 2 = g m 2 = (g a ) r 3 = r s 3 3 = k 3 = g m 3 = (g a ) r 4 = r s 4 4 = k 4 = g m 4 = (g a ) r 5 = r s 5 5 = k 5 = g m 5 = Hemos verificado el mensaje original: El criptosistema ElGamal. Observaciones Es necesario tener el mensaje m para verificar la firma. Para firmar sólo es necesaria hacer una exponenciación pero esta no depende del mensaje con lo que puede ser precalculada y dos productos. Para verificar hay que realizar tres exponenciaciones frente a una de RSA por lo que es más lento. Esto es un gran inconveniente ya que se firma una sola vez pero se verifica varias veces. No es posible firmar y cifrar. La firma es más larga que la de RSA ya que hay que enviar g h además de la firma Firma DSA El DSA (Digital Signature Algorithm, Algoritmo de Firma digital) es un algoritmo de firma digital basado en el algoritmo de firma de ElGamal. Este algoritmo fue publicado en agosto de

32 32 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS 1991 por el NIST (National Institute of Standards and Technology) de Estados Unidos para su uso en su Estándar de Firma Digital (DSS). La seguridad del algoritmo DSA se basa en que encontrar logaritmos discretos en el subgrupo Z p es seguro [3, 4]. Generación de claves Elegimos un número primo p tal que < p < , donde p es divisible por 64 Elegimos un número primo q tal que < q < 2 160, donde q divide a p 1 Seleccionamos un generador g de orden q del único subgrupo cíclico de Z p. Elegir un número t tal que 1 < t < p 1 y calcular g = t (p 1)/q siendo g > 1 Elegimos a tal que 1 a q 1 Calculamos y = g a (mod p) Los datos públicos son p, q, g e y. La clave privada es a. Firma con DSA Tenemos que tener en cuenta que m (mensaje) tiene que ser menor que q (m Z q). Elegimos un número aleatorio h, tal que 1 h q 1 Calculamos r = (g h mod p) mod q Calculamos h 1 mod q Calculamos s = (m + r a) h 1 (mod q) La firma es el par (r, s). Verificar que r 0 y que s 0. Si no es así se vuelve a repetir el proceso. Envía (m, r, s)

33 2.5. TEST DE MILLER-RABIN 33 Verificación con DSA Recibe (m, r, s) Calculamos w = s 1 (mod q) Calculamos u 1 = m w (mod q) Calculamos u 2 = r w (mod q) Comprobamos que r = (g u1 y u2 mod p) mod q Observaciones Una diferencia fundamental con la firma ElGamal es el cambio de a + en la expresión siguiente: s = (m + a r) h 1 mod (p 1) provocando que varíe la condición de verificación. La otra diferencia más relevante es que las operaciones se realizan módulo q. Por lo tanto el tamaño de la firma será menor que la firma ElGamal. Para poder verificar se requiere que s tenga inverso para poder calcular s 1, por lo tanto si el firmante detecta que r o s son 0 entonces se elige otro valor de h y se vuelve a crear la firma. Un inconveniente de la firma DSA es que el proceso de generar la firma es más rápido que el de verificado. Aunque la verificación es más rápida que la de ElGamal, debido a que los cálculos necesarios para verificar tienen exponentes de tamaño q (160 bits), sigue siendo más lenta que la firma RSA. Otra cosa a tener en cuenta es el tamaño los números p y q. Mientras que q tiene un tamaño fijo de 160 bits, p puede ser un número múltiplo de 64 con un tamaño comprendido entre 512 y 1024 bits Test de Miller-Rabin Los criptosistemas de clave pública como RSA o ElGamal, al igual que muchos otros sistemas criptográficos, utilizan números primos muy grandes. Al problema de cómo determinar si un número n es primo se lo conoce como problema de la primalidad. Un test de primalidad es un algoritmo que permite comprobar si un número n es primo o es

34 34 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS compuesto. Existen dos tipos de test de primalidad: Determinista: determina si el número es primo o no lo es. Probabilístico: determina si un número es compuesto o si es probablemente primo. Si determina que el número es probablemente primo no te asegura que sea primo, pero existe una elevada probabilidad de que lo sea, y esta puede ser tan grande con se desee. O dicho de otro modo, la probabilidad de que un número probablemente primo sea compuesto es insignificante. Una característica de los test probabilísticos es que son mucho más rápidos que los deterministas. El test de primalidad de Miller-Rabin [3, 4] es un test probabilístico al que se le proporciona un número y dependiendo del número de pasadas se obtiene una mayor probabilidad de que el número sea primo. Procedimiento a seguir: Sea n un número que queremos testear si es primo. Se cumple que n 1 = 2 s t siendo s un entero no negativo y t un entero positivo impar. Se dice que: b t 1 ó b t 1 (mod n) n pasa el test para la base b o b 2jt 1 (mod n), para todo j donde 1 j s 1 Las bases b para las que podemos testear el número n tienen que ser enteros donde 0 < b < n. Propiedades: Si n es primo pasa el test para cualquier base. Si n es compuesto, pasaría el test para, a lo sumo, el 25 % de las bases, y si pasa el test para una base entonces decimos que n es un pseudoprimo fuerte para esa base. Es decir, la probabilidad de que un número compuesto pase el test es de ( 1 4 )t siendo t el número de bases. Si n no pasa el test para alguna base se puede garantizar que el número n no es primo. Ejemplos:

35 2.5. TEST DE MILLER-RABIN 35 Ejemplo 1 Queremos testear el número n = 17, entonces 17 1 = Procedimiento: Por lo tanto tenemos que: s = 4 y t = 1 Se tiene que testear para distintas bases de b {1,..., }{{} 16 } n 1 b 1 1 (mod 17) b 1 1 (mod 17) b (mod 17) b (mod 17) b (mod 17) En la siguiente tabla podemos ver los resultados para todas las bases y la que podemos comprobar en negrita para que bases pasa el test. b b 1 b 2 b 4 b b b 1 b 2 b 4 b Como podemos ver en la tabla el número 17 es primo ya que pasa el test para todas las bases. Como hemos pasado el test para todas las bases entonces la probabilidad de que sea primo es del 100 %. Ejemplo 2 Queremos testear el número n = 21, entonces 21 1 = Procedimiento: Por lo tanto tenemos que: s = 2 y t = 5 Se tiene que testear para distintas bases de b {1,..., }{{} 20 } n 1 b 5 1 (mod 21) b 5 1 (mod 21) b (mod 21)

36 36 CAPÍTULO 2. TÉCNICAS CRIPTOGRÁFICAS En la siguiente tabla podemos ver los resultados para todas las bases y la que podemos comprobar en negrita para que bases pasa el test. b b 5 b 10 b b 5 b 10 b b 5 b 10 b b 5 b Como podemos ver en la tabla el número 21 no es primo ya que no pasa el test para todas las bases. Sin embargo pasa el test para las bases 1 y 20, por lo tanto podemos decir que 21 es un pseudoprimo fuerte para esas bases. Ejemplo 3 Queremos testear el número n = 24113, entonces = Procedimiento: Por lo tanto tenemos que: s = 4 y t = 1507 Se tiene que testear para distintas bases de b {1,..., }{{}} n 1 b (mod 24113) b (mod 24113) b (mod 24113) b (mod 24113) b (mod 24113) En la siguiente tabla podemos ver los resultados para algunas bases y la que podemos comprobar en negrita para que bases pasa el test. b b 1507 b 3014 b 6028 b Como el número pasa el test para las bases que hemos elegido entonces podemos decir que es probablemente primo y que la probabilidad de que no lo sea es de ( 1 4 )6 = 0,