SEGURIDAD EN SISTEMAS DE INFORMACION. TEMA 2 - parte 2. Criptografia asimétrica

Transcripción

1 SEGURIDAD EN SISTEMAS DE INFORMACION TEMA 2 - parte 2. Criptografia asimétrica FJRP, FMBR. SSI, de marzo de Conceptos básicos Propuesta por Diffie y Hellman en Aproximación completamente nueva dentro del campo de la criptografía Describen los elementos básicos de este tipo de cifrado y proponen las características teóricas que deben cumplir Originalmente surge como un mecanismo para el intercambio de claves en sistemas basados en cifrado simétrico. Extensible a otras aplicaciones. Hasta el momento (cifrado simétrico): operaciones elementales de sustitución y permutación (o combinaciones de estas) una única clave para cifrado y descrifrado Criptografía asimétrica basada en el uso de funciones matemáticas utilizan dos claves: una para cifrar y otra diferente para descrifrar aplicable en : confidencialidad, distribución de claves, autentificación y firma digital. 1

2 1.1. Componentes Claves pública (KU) y clave privada (KR): pareja de claves seleccionadas por los participantes (emisor y receptor) cada algoritmo de cifrado asimétrico determina cómo son esas claves y su proceso de selección una permanece oculta y la otra se hace pública una se usa para el cifrado y otra para el descrifrado (tb. usadas para firma digital) Texto claro (X): mensaje o datos que sirven como entrada Algoritmo de cifrado (E) realiza las transformaciones (operaciones matemáticas) sobre el texto claro depende de la clave (normalmente la pública) que recibe como entrada Texto cifrado (Y ): mensaje producido como salida del cifrado depende del texto claro y de la clave de cifrado para un mensaje dado, dos claves distintas producirán dos cifrados distintos Algoritmo de descifrado (D): realiza las transformaciones (operaciones matemáticas) sobre el texto cifrado depende de la clave (la no usada por E, normalmente la privada) que recibe como entrada

3 1.2. Requisitos de los algoritmos de clave pública Las condiciones que deben verificar estos algoritmos son (según Diffie y Hellman): 1. Debe ser computacionalmente fácil para cada parte generar un par de claves(pública-privada). 2. Debe ser computacionalmente fácil para un emisor cifrar un mensaje, conociendo la clave pública del destino y el mensaje. Y = E KUB [X] 3. Debe ser computacionalmente fácil para el destino descifrar un texto cifrado conociendo la clave privada X = D KRB [Y ] = D KRB [E KUB [X]] 4. Debe ser computacionalmente impracticable para un oponente determinar la clave privada conociendo la clave publica. 5. Debe ser computacionalmente impracticable para un oponente determinar el mensaje original a partir de la clave pública y del texto cifrado. 6. OPCIONAL: Cualquiera de las 2 claves puede usarse para cifrar, y la otra para descifrar: M = D KRB [E KUB (M)] = D KUB [E KRB (M)]

4 Uso de funciones one-way (funciones un único sentido) Función que tiene una única inversa El cálculo de la función debe ser fácil, mientras que el cálculo de la inversa debe ser impracticable Y = f(x) debe ser fácil y X = f 1 (Y ) debe ser impracticable Fácil problema que puede ser resoluble en tiempo polinomial (problema de tipo P) si n es el número de bits de entrada, el tiempo de cálculo es proporcional a O(n a ), donde a es una constante Impracticable el esfuerzo para resolverlo crece más rápido que un tiempo polinomial en función del tamaño de la entrada si la entrada es de n bits, el tiempo de cálculo de la función es proporcional a O(a n ). Debe ser fácil de calcular en el otro sentido (función inversa) si se conoce información adicional Función trap-door one-way (función de único sentido con puerta trampa) Y = f k (X) debe ser fácil si X es conocido X = fk 1 (Y ) debe ser fácil si k e Y son conocidos X = fk 1 (Y ) debe ser impracticable si Y es conocido y K desconocido Todos los algoritmos/esquemas de clave pública depende del uso de una función adecuada de único sentido con puerta trampa Dicha función condiciona su funcionamiento y sus características. Ejemplos: problema de la factorización en factores primos en RSA problema del logaritmo discreto en Diffie-Helman y ElGamal problema de caracterización de curvas elípticas en algoritmos CCE (cifrado con curvas elípticas)

5 1.3. Criptoanálisis de los métodos asimétricos Cifrado de clave pública es vulnerable a los ataques por fuerza bruta (como el simétrico) Solución: uso de claves largas (512, 1024,...) Problema adicional: al estar basado en funciones inversibles, la clave debe ser: grande para evitar los ataques de fuerza bruta, suficientemente pequeña como para permitir cifrado y descrifrado eficiente. Otro ataque posible: encontrar (calcular) la clave privada a partir de la clave pública. no se ha probado matemáticamente que este tipo de ataque sea inviable pero los algoritmos se han diseñado para que sea un problema computacionalmente muy costoso Ataque de mensaje probable (exclusivo de métodos asimétricos): Dado un mensaje cifrado de pocos bits (p.ej.: 56 bits). Oponente podría cifrar todos los posibles mensajes utilizando la clave pública del destino, Podría descifrar el mensaje original encontrando aquel que coincida con el texto cifrado transmitido. no importa la longitud de la clave sería un ataque de fuerza bruta de 56 bits. Se puede evitar añadiendo bits aleatorios a mensajes simples.

6 2. Aplicaciones del cifrado asimétrico Tres categorías de aplicaciones del cifrado de clave pública. Cifrado/Descifrado: El origen cifra el mensaje con la clave pública del destino. Firma digital/autentificación: El origen firma el mensaje mediante su clave privada. Intercambio de claves: Se utiliza el cifrado para negociar una clave de sesión entre dos partes. Algunos algoritmos se pueden utilizar para los tres tipos de aplicación, mientras que otros solo para algunos de ellos. Esquema general de cifrado/descrifrado 1. Cada usuario (A y B) genera un par de claves (KU y KR) 2. Cada usario publica su clave pública, KU, y mantiene secreta la otra clave del par (clave privada (KR)). 3. Si A desea enviar un mensaje a B, cifra su mensaje utilizando la clave pública de B. 4. B recibe el mensaje y lo descifra utilizando su clave privada. Características: Nadie más puede descrifrar mensaje, sólo B conoce su clave privada. Todos los participantes tienen acceso a las claves públicas Todos ellos mantienen su clave privada sin distribuir. Mientras no se revelen las claves secretas, la transmisión es segura.

7 (a) Como mecanismo de confidencialidad de la comunicación: Esquema: 1. A tiene un mensaje de texto plano X destinado a B 2. B ha generado un par de claves: clave pública, KU B y clave privada KR B (solo conocida por B). 3. A genera el mensaje cifrado Y usando la clave pública de B (KU B ) Cifrado: Y = E KUb (X). 4. El receptor, B, usa su clave privada (KR B ) e invierte la transformación Descrifrado: X = D KRb (Y ). El oponente observa Y y tiene acceso a la clave pública de B (KU B ), debe intentar recuperar X y/o KR B. También se supone que el oponente conoce el algoritmo de cifrado y el de descrifrado

8 (b) Como mecanismo de autentificación y firma digital Algunos algoritmos asimétricos permiten cifrar con cualquiera de las dos claves (ej.: alg. RSA). Permiten el uso de criptografía asimétrica como mecanismo de autentificación.y firma digital. Esquema: 1. A prepara un mensaje X para B lo cifra utilizando su propia clave privada(k Y = E KRA (X) 2. B puede desencriptar el mensaje Y utilizando la clave pública de A (KU A ). X = D KUa (Y ) Conclusiones: El mensaje Y ha sido cifrado con la clave privada de A solo A pudo haberlo creado el mensaje cifrado con la clave privada de A sirve de firma digital. El mensaje Y no se pudo/puede alterar sin conocer la clave privada de A el mensaje queda autentificado en términos del origen y de la integridad de los datos. En la práctica, para autentificar no es necesario cifrar todo el mensaje. el cifrado asimétrico es costoso computacionalmente en ocasiones puede interesar que el mensaje original X sea visible

9 (b1) Firma digital con funciones digest Se cifra un pequeño bloque (autentificador) de bits ( ) que es una función de los bits del mensaje original Generado mediante funciones digest/funciones hash criptograficas (p.ej.: algortimos MD5, SHA1) Esas funciones tienen la propiedad de que es imposible cambiar el documento sin cambiar el correspondiente bloque autentificador. Basta con cifrar con la clave privada el bloque autentificador para tener una firma que asegure origen y autenticidad e integridad del contenido. Esquema:

10 (b2) Firma digital con confidencialidad Si se desea, además, confidencialidad, se puede hacer un doble uso del esquema de cifrado de pública para proporcionar autentificación y confidencialidad. Esquema: ORIGEN: Y = E KUB [E KRA (X)]. Se cifra el mensaje (o su bloque de autentificación) con la clave privada del origen (para firmar el documento), El resultado se cifra con la clave pública del destino. DESTINO: X = D KUA [D KRB (Y )] Solo el destino puede ver el contenido del mensaje (confidencialidad) El destino sabe que solo el origen ha podido crear ese mensaje (autentificación, integridad). Problema: el algoritmo debe ser ejecutado 4 veces

11 3. Algoritmo RSA Primera propuesta que sigue el esquema de criptografía asimétrica definido por Diffie y Hellman Publicado por Ron Rivest, Adi Shamir, y Len Adleman en El esquema RSA es de los más fácilmente comprensibles e implementables. Cifrado por bloques texto plano y texto cifrado son enteros entre 0 y n 1 para algun n Descripción del Algoritmo El esquema RSA hace uso de una expresión con exponenciales. El texto plano se cifra en bloques cada bloque tiene un valor binario menor que un número n tamaño de bloque es 2 k bits, con 2 k < n 2 k+1 Funciones de cifrado y descifrado Siendo M es el bloque del texto plano y C el bloque de texto cifrado. CIFRADO: C = M e mod n DESCIFRADO: M = C d mod n = (M e ) d mod n = M ed mod n Claves pública y privada Emisor y receptor conocen el valor de n Emisor conoce el valor de e Receptor conoce el valor de d CLAVE PÚBLICA : KU = [e, n] CLAVE PRIVADA : KR = [d, n]

12 Estos valores de las claves deben verificar: 1. Es posible encontrar valores de e, d, y n tales que: M ed mod n = M para todo M < n 2. Debe ser relativamente fácil calcular M e mod n y C d mod n para todos los valores M < n. 3. Debe ser impracticable determinar d dado e y n. Existen algoritmos que aseguran que los 2 primeros requisitos se pueden cumplir fácilmente. El tercero se puede cumplir para valores grandes de e y n.

13 ALGORITMO RSA (a) Generación de claves 1 Seleccionar p y q números primos (p q). 2 Calcular n = p q (módulo usado en cifrado y descrifrado) 3 Calcular Φ(n) = (p 1) (q 1) 4 Seleccionar aleatoriamente un entero e tal que: 1 < e < Φ(n), mcd(φ(n), e) = 1. (e primo relativo de Φ(n)) 5 Seleccionar/calcular d que verifique: (d e) mod Φ(n) = 1 d = e 1 mod Φ(n) (d es el inverso módulo Φ(n) de e) 6 Clave pública: KU = {e, n} 7 Clave privada: KR = {d, n} Se puede demostrar que los valores e y d cumplen las 3 propiedades descritas anteriormente. NOTA: Φ(n) se denomina función Totient de Euler Devuelve el número de enteros menores o iguales a n que son primos relativos con n Es fácil de calcular si se conocen los factores de n y muy difícil en caso contrario. Para el caso n = a b tenemos que Φ(n) = (a 1) (b 1) (b) Cifrado Texto en claro: M < n Texto cifrado: C = M e (mod n) (c) Descifrado Texto cifrado: C Texto en claro: M = C d (mod n)

14 Ejemplo: (a) Generación de claves: 1. p = 7 y q = n = 7 17 = Φ(119) = (p 1)(q 1) = e = 5 5. d e mod Φ(n) = 1 Encontrar d que verifique : d 5 mod 96 = 1 Seleccionamos d = 77, ya que 77 5 = 385 = Clave pública: KU = {5, 119} 7. Clave privada: KR = {77, 119} (b) Cifrado del mensaje M = 43: C = M e mod n = 43 5 mod 119 = mod 119 = 8 (c) Descifrado de C = 8: M = C d mod n = 8 77 mod 119 = = 3, mod 119 = mod 119 = = 43

15 3.2. Implementación de la Generación de claves Cada participante debe generar un par de claves. En RSA 2 tareas: Determinar dos números primos: p y q. Seleccionar e o d y calcular el otro. Selección de p y q n estará expuesto (forma parte de la clave pública) Para que p y q no sean descubiertos tomarlos de un conjunto sufientemente grande p y q deben ser números primos grandes el método usado para encontrarlos debe ser razonablemente eficiente. No existen técnicas útiles para calcular primos grandes arbitrariamente Procedimiento alternativo se escogen números impares aleatorios del orden de magnitud deseado se comprueba si son primos si no lo son, seguir cogiendo otros aleatoriamente Para determinar si un número enorme es primo o no Métodos basados en probabilidades (determina si un entero dado es probablemente un primo) Los tests se pueden ejecutar de tal manera que esa probabilidad esté tan cerca de 1 como se desee. Por ejemplo: algoritmo Miller-Rabin Se pasa el test muchas veces hasta que (con una probabilidad alta ) digamos que ese número es primo. Se realiza con poca frecuencia (sólo al generar un nuevo par (KU, KR)). No es trivial decidir num. de tests a usar determinar si es primo o no.

16 N ln(n) Num de primos menores que N llos primos cerca de N están distribuidos en promedio cada ln(n) enteros Habrá que testear en promedio ln(n)/2 (se excluyen los pares). para encontrar un primo del orden de ln(2 200 )/2 = 70 intentos Elección de e o d Uso del algoritmo de Euclides: cálcula el m.c.d. más grande de 2 enteros () si es 1, se calcula el inverso de uno módulo en otro Procedimiento para calcular d o e : calcular números aleatorios hasta encontrar un primo relativo a Φ(n) la probabilidad de que dos números aleatorios sean primos entre sí es de 0.6 deben hacerse un n o relativamente bajo de intentos 3.3. Ataques matemáticos al RSA Atacante conoce KU = {e, n} Siempre es posible el ataque de fuerza bruta: se evita con claves más grandes. Tres aproximaciones para atacar el RSA matemáticamente: Factorizar n en sus dos factores primos. provoca el conocimiento de Φ(n), y el cálculo de d. Determinar Φ(n) directamente. Determinar d directamente (fuerza bruta). La mayoría de las aproximaciones al criptoanálisis del RSA enfocadas en factorizar n en dos números primos

17 las otras alternativas consumen al menos el mismo tiempo y complejidad que esta para un n grande con factores primos grandes, la factorización es un problema N P (no polinomial). NOTA: No es del todo cierto que el algoritmo RSA deposite su fuerza en el problema de la factorizacion. Nadie ha demostrado que no pueda surgir un método en el futuro que permita descifrar un mensaje sin usar la clave privada y sin factorizar n La amenaza a claves grandes viene desde dos frentes: El incremento contínuo de la capacidad de computación. El diseño de nuevos algoritmos. Hoy en día claves 1024 o 2048 bit ya son normales. Otras recomendaciones: 1. p y q deben diferir en longitud en solo unos pocos dígitos. p y q serán del orden de a Tanto (p 1) como (q 1) deben contener un primo grande. 3. mcd(p 1, q 1) debe ser relativamente pequeño. Además, se ha demostrado que si e < n y d < n 1/4, entonces d puede ser fácilmente calculado.