Sstemas de cfrado e flujo. Itroduccó. La dfereca fudametal etre el cfrado e bloque y el cfrado e flujo es que e el prmero la formacó se cfra e bloques de u determado tamaño, metras que e el segudo el cfrado se realza bt a bt, sedo e geeral mucho más rápdo. Los sstemas de cfrado e flujo hace u uso muy elevado de los sstemas geeradores de úmeros pseudoaleatoros. E estos sstemas u determado algortmo geera u cojuto de bts co ua apareca totalmete aleatora. Estos se comba co el texto fuete medate u cojuto de operacoes para obteer el texto cfrado. Los sstemas de cfrado e flujo pretede acercarse lo más posble al teórco secreto perfecto defdo por Shao y cuya expresó es el deomado oe-tme pad. El problema vee dado por el hecho de que e el oe-tme pad o cfrado de u solo uso el tamaño de la clave debe ser como mímo gual al del mesaje e claro a trasmtr, lo que lo valda para aplcacoes de comucacoes. E lugar de utlzar claves de u tamaño muy elevado, se pretede geerarlas medate u cojuto de fucoes deomadas geeradores de úmeros pseudoaleatoros, ya que los ordeadores al ser dspostvos estrctamete secuecales so capaces de geerar úmeros aleatoros puros. Por otra parte e alguos casos las secuecas aleatoras geeradas debe poder ser reproducbles, es decr, debe poder geerarse el msmo cojuto de úmeros aleatoros e dos putos dsttos, cosa que es mpractcable co la utlzacó de geeradores aleatoros puros. Alguos autores [FOS97] cosdera, s embargo, que el tamaño de la clave o es problema porque exste métodos de geeracó de úmeros aleatoros e el mudo físco y dspostvos de almaceameto de bajo coste que permte el almaceameto de claves aleatoras puras lo sufcetemete largas. A pesar de ello creemos que tales métodos o so aplcables a sstemas de comucacoes y preseta la msma desvetaja que los lbros de códgos, es decr, la exsteca físca de u medo que almacea la clave, susceptble de ser duplcado, perddo o robado. Los sstemas de cfrado e flujo preseta ua sere de vetajas co respecto a los cfradores e bloque. E prmer lugar so mucho más rápdos, geeralmete mucho más smples y fáclmete mplemetables e hardware. U esquema de u sstema de cfrado e flujo es el mostrado e la mage sguete. La operacó a la que se hace refereca puede ser cualquer cojuto de operacoes, auque geeralmete se suele utlzar el OR exclusvo como operacó. Como vemos e el dagrama sguete, el puto problemátco es la geeracó de úmeros aleatoros. U ataque a u sstema de este tpo solo puede ser realzado e base a poder predecr la secueca de úmeros que geerará el sstema. E este caso puede ocurrr tres cosas: a) Se cooce el algortmo de geeracó de úmeros aleatoros. Esta stuacó, auque parezca lo cotraro es bastate posble, la mayoría de los sstemas de geeracó de úmeros aleatoros so utlzados para geerar úmeros e aplcacoes comercales típcas, por ejemplo para protocolos e avegadores. Al ser el producto e geeral de fácl obtecó, sempre es posble utlzar téccas de geería versa que permta la obtecó del algortmo. E este caso la segurdad depede de la caldad de la semlla. U ataque de este tpo es el que realzaro uos estudates fraceses al protocolo del avegador de Netscape. S be el geerador de úmeros pseudoaleatoros era de gra caldad, la geeracó de la semlla cal era pobre y permtía hacer cojeturas sobre el valor cal e u cojuto reducdo de valores. Obtedo de la web de Crptohstora (www.crptohstora.es)
b) No se cooce el algortmo de geeracó de úmeros pseudoaleatoros la semlla que la geera. E este caso la úca esperaza del crptoaalsta es la de que el sstema tega u perodo corto e tetar deducrlo. c) Se cooce la semlla, pero o el tpo de geerador. Es posble realzar cojeturas sobre el tpo de geerador utlzado, y s se motorza la salda del sstema, es posble obteer la formacó deseada. Coceptos báscos. La mayoría de los geeradores de úmeros aleatoros, e partcular todos los obtedos por métodos matemátcos, puede geerar ua secueca fta de úmeros, s embargo, auque esta secueca pueda ser fta, será co toda probabldad peródca. Es decr, a partr de u determado mometo la secueca se repetrá. Al úmero de elemetos etre repetcoes se le deoma el perodo de la secueca y al cojuto de elemetos que forma u perodo se le deoma u cclo. Evdetemete se pretede obteer geeradores que tega u perodo máxmo, dealmete fto, para smular el oe-tme pad. E realdad, y tal como se platea e [BEK8], el cocepto de pseudoaleatoredad y su aplcacó es dferete e crptografía de lo que pueda serlo e otras dscplas cetífcas. E otras dscplas se pretede obteer geeradores de úmeros aleatoros que sga ua determada dstrbucó estadístca acorde co el expermeto que se pretede smular. E crptografía, más que la propa aleatoredad, prcpal cualdad debe ser la mpredcbldad de la secueca. Esta mpredcbldad es la que da la fortaleza al sstema. Obtedo de la web de Crptohstora (www.crptohstora.es)
Más formalmete podemos decr que dada ua secueca p, teemos sempre que s s p, m p como peródca s exste u p> tal que s s, m p S s s.. s co perodcdad, o versamete defmos ua secueca S p. Defmos u cclo de la secueca S de período p a ua subsecueca cualquera de logtud p que cumpla la propedad ateror, defédose el prmer cclo de la secueca como el cclo geerador de la msma. E el caso de que u cojuto fto de térmos preceda a la aparcó del prmer cclo se dce que la secueca tee u retraso que vee defdo por ese cojuto de térmos. Podemos defr també la fucó de autocorrelacó de la secueca para ua traslacó t como A D ( t), sedo A el úmero de poscoes e las que las secuecas sm y s m t cocde p y D el umero de poscoes e las que o cocde. Evdetemete teemos que A+D = p y que ( t p) ( t). Postulados de Golomb. E [GOL8] se dca las propedades que debe cumplr ua secueca bara de período p. Estos postulados de Golomb como se les cooce so: ) S p es par el cclo de logtud p debe coteer la msma catdad de uos y ceros. E el caso de que p sea mpar, la dfereca etre uos y ceros o puede ser mayor que uo. ) E u cclo de logtud p, la mtad de las seres de compoetes détcos (rachas) tee logtud, ua cuarta parte tee logtud, ua octava parte tee logtud 3, y e geeral, para cada para el cual hay al meos seres de compoetes guales, tee logtud. Además se cumple que para cada ua de esas logtudes hay tatas seres de ceros como de uos. 3) La autocorrelacó de ua secueca de período p se matee costate para cada valor de t, cuado t. La fucó de autocorrelacó se defe como: C( t) p p a a p t t s t s La razó de estos postulados es clara. El prmero refleja la propedad de que las etradas tega la msma probabldad de aparcó al teer la msma catdad de elemetos de cada clase. E la seguda se pretede gualar la probabldad de aparcó de bgramas, trgramas, etc. El últmo postulado pretede evtar ataques de tpo Kassk, es decr, evtar la aparcó de secuecas baras e las cuales haya ua certa perodcdad de aparcó de patroes. Test de aleatoredad. Como ya hemos dcado aterormete, los geeradores de úmeros pseudoaleatoros so capaces de geerar secuecas que puede cofudrse co secuecas aleatoras puras, s Obtedo de la web de Crptohstora (www.crptohstora.es) 3
embargo, estas secuecas tee todas u perodo fto, e geeral bastate elevado. E 5 aplcacoes crptográfcas este perodo suele ser superor a [BEK8]. Necestamos algua herrameta que os permta determar s efectvamete las secuecas geeradas so aleatoras. Para ello se suele aplcar téccas estadístcas que co u vel de sgfcacó os permte decdr que la secueca tee u ( )% de cofaza de ser aleatora. Los test más frecuetemete utlzados so: ) Test de frecueca o. Cosste e la aplcacó del test co u vel de ( ) sgfcacó. Se calcula, dode es el úmero de ceros e la secueca y el úmero de uos, y se cotrasta co ua tabla de la dstrbucó para el vel de sgfcacó deseado, s el valor calculado es meor que el obtedo e la tabla dremos que la secueca es correcta, e caso cotraro es rechazada. ) Test de seres. Se utlza para determar que las probabldades de trascó sea correctas. Sea,, y la catdad de pares,, y e la secueca de bts e observacó. Teemos que y queremos además que, se demuestra que 4 4 ( j ) ( ) se dstrbuye aproxmadamete como ua co j dos grados de lbertad para, co lo cual se calcula el valor ateror y se procede como e el test ateror. 3) Test del poker. Se trata de calcular las frecuecas de cada tpo de seccó de m logtud m. Sea f, f,..., f m las frecuecas, teemos que f F. La m m m fucó ( f ) F se dstrbuye como ua co m grados de lbertad. F Nótese que para m = teemos el test de seres. Exste ua varate del test e el m m ( x ) que se evalúa la fucó F que se dstrbuye como ua co m F m grados de lbertad, sedo x los bloques de logtud m tales que está formados por uos y m - ceros. 4) Test de autocorrelacó. Sea a, a,.., a la secueca de bts a evaluar. Defmos d A( d) a a d co d y d u etero fjo tal que d. Obtedo de la web de Crptohstora (www.crptohstora.es) 4
d A( d) Utlzamos la expresó que sgue aproxmadamete la d dstrbucó Normal co meda y varaza cero para valores de d. 5) Test de rachas. Sea r el úmero de rachas de ceros de logtud, y su equvalete e uos r. El úmero total de rachas de ceros y uos defdos como r o y r es k k ( r e ) ( r e ) r r, y r r, la expresó co e e ( 3) e y k el mayor etero para el cual e 5, se dstrbuye como ua co.k grados de lbertad. Números aleatoros. Los úmeros aleatoros so úmeros co dos propedades estadístcas mportates: uformdad e depedeca. Se puede decr que u úmero aleatoro a es ua muestra depedete de ua dstrbucó cotua etre y. De esta maera decmos que su dstrbucó de probabldad vee dada por:, co x f ( x), e cualquer otro caso. El valor esperado de cada a vee dado por: Y la varaza vee dada por: E( a) xdx 3 x V ( a) x dx E( R) 3 3 4 Como cosecueca de las propedades de uformdad e depedeca teemos que:. S el tervalo [,] está dvddo e clases o subtervalos de gual logtud, el x úmero esperado de observacoes e cada tervalo es N, sedo N el úmero total de observacoes.. La probabldad de observas u valor e u tervalo depedete e partcular es depedete de los valores observados aterormete. Números pseudoaleatoros. Se trata de úmeros que pretede producr ua secueca de úmeros etre y que smula, ta felmete como sea posble, las propedades deales de uformdad e depedeca. S embargo, los úmeros pseudoaleatoros o so aleatoros propamete dchos y preseta alguos problemas, etre los que podemos clur :. Los úmeros geerados puede o estar uformemete dstrbudos. Obtedo de la web de Crptohstora (www.crptohstora.es) 5
. Los úmeros geerados puede ser dscretos e lugar de cotuos. 3. La meda de los úmeros geerados puede ser muy alta o muy baja. 4. La varaza de los úmeros geerados puede ser muy alta o muy baja. 5. Puede haber depedecas etre los úmeros. Por ejemplo: a. Autocorrelacó etre úmeros. b. Números sucesvos mucho mayores o meores que sus adyacetes. c. Varos úmeros mayores que la meda, segudos por varos úmeros meores que la meda. Para determar lo bueas que so las secuecas geeradas por u método exste varos test, que veremos más adelate. S embargo, ya que la mayoría de los úmeros so geerados medate ordeadores, es mportate que el método utlzado cumpla ua sere de codcoes. Etre ellas:. La ruta debe ser rápda.. Debe ser portable. 3. Debe teer u perodo muy largo. 4. Debe ser replcable. 5. Debe cumplr lo más felmete posble las propedades estadístcas deales de uformdad e depedeca. 6. E su uso e aplcacoes crptográfcas debe cumplr co la propedad de la mpredecbldad. Es decr, coocdos varos símbolos de salda s, s,..., s, éstos o debe aportar formacó sufcete para poder predecr el valor del sguete símbolo de salda s. Métodos de geeracó de úmeros aleatoros. Geeradores cogruecales. Se trata de uo de los métodos más usados para geerar úmeros aleatoros dada su facldad de mplemetacó y la posbldad de obteer secuecas co u perodo muy largo. Fue propuesto por Lehmer e 95 y produce ua secueca de eteros x, x,.., x etre y m sguedo la relacó: x ( ax c) mod m, co,,,.., Este caso se suele deomar geerador cogruecal afí, metras que e el caso e que c =, se suele deomar geerador cogruecal leal y vee defdo por la sguete formula. Los valores cales x, a, c y m se deoma semlla, costate multplcadora, cremeto y modulo respectvamete. Su eleccó afecta drástcamete a sus propedades estadístcas y su perodo máxmo como veremos más adelate. Su segurdad o es especalmete buea tal como demostró Jm Reeds e su día. U ejemplo ayudará a eteder el proceso. Supogamos que teemos el sguete geerador cogruecal: x (7x 37) mod99 Los prmeros úmeros geerados supoedo que empezamos co ua x 3 sería: Obtedo de la web de Crptohstora (www.crptohstora.es) 6
x (7.3 37) mod99 88 x x 3 (7.88 37) mod99 48 (7.48 37) mod99 6 Los úmeros geerados estaría e el tervalo [, m], s embargo, e muchos casos ecestamos covertr esos úmeros a úmeros decmales. E ese caso se obtee por ejemplo smplemete dvdedo por m. E uestro caso los úmeros resultates sería: x 88,88 x 48,48 x 6 3,6 Como hemos dcho la eleccó de los parámetros x, a, c y m afecta de ua forma drástca al fucoameto del geerador, e partcular a sus propedades estadístcas. El ejemplo ateror es ua muestra de ello. Los prmeros úmeros geerados so: 88,48,6,84,79,93,34,,97,3,88,48,6,84,79,93,34,,97,3,88,48,6,84,79,93,34,,97,3,88,4 8,6,84,79,93,34,,97,3,88,48,6,84,79,93,34,,97,3,88,48,6,84,79,93,34,,97,3,88,48,6,84,79,93,34,,97,3,88,48,6,84,79,93,34,,97,3,88,48,6,84,79,93,34,,97,3,88,48,6,84, 79,93,34,,97,3. Como vemos, el perodo e esta sere es de dez, co lo que a partr del oceavo elemeto la sere se repte. E el sguete gráfco podemos aprecar muy claramete esta repetcó. 8 6 Sere 4 3 4 5 6 7 8 9 Obtedo de la web de Crptohstora (www.crptohstora.es) 7
La eleccó de los valores a, c, y m es fudametal para cosegur u perodo grade, como veremos más adelate. Lo que os teresa calmete es ver cua uformes e depedetes so los valores x, x,.., x geerados. També, y o meos mportates, so la obtecó de ua máxma desdad y, evdetemete, u perodo máxmo. A pesar de que 48 los valores geerados so dscretos, s escogemos u m muy grade, por ejemplo, u valor comú e geeradores de leguajes de smulacó, podremos cosderar a veles práctcos la fucó como cotua y asumr como desdad máxma el hecho de que o haya tervalos grades e los que la fucó o tome valores. Para obteer u perodo máxmo e estos geeradores es codcó ecesara y sufcete que se cumpla las sguetes codcoes :. El mcd( m, c). q prmo tal que q m se cumple que q ( a ) 3. S 4 m etoces se cumple que 4 ( a ). E el caso de geeradores cogruecales leales el perodo máxmo se cosgue s:. mcd( x, m). a es u elemeto prmtvo modulo m. U elemeto se dce que es prmtvo modulo m cuado después de m cálculos ha geerado todos los elemetos del cojuto fto [, m-]. Para que u úmero a sea u e elemeto prmtvo modulo p se debe cumplr algua de las sguetes codcoes v : e. p y a es mpar.. p e 4 y a mod 4 3. 3. p e 8 y a mod8 3, 5 o 7. 4. p, e 4 y a mod8 3, 5. p q 5. p es mpar, e, a mod p y a mod p q prmo dvsor de p. 6. p es mpar, e, a cumple co lo establecdo e el apartado ateror y además cumple a p mod p. E [BAN] se da uas recetas más secllas para obteer geeradores cogruecales leales co perodo máxmo v :. Para ua poteca de, por ejemplo b, y co c, el perodo máxmo b se obtee s c es relatvamete prmo co b y a 4k, co k etero. b. Para ua poteca de, por ejemplo, y co c, se obtee u perodo máxmo de s x es mpar y a 3 8k o a 5 8k para algú k,,... 3. Para m, u umero prmo, y c se obtee u perodo gual a m s a k cumple la propedad de que el etero k más pequeño tal que a es dvsble por m es k m. Veamos u ejemplo utlzado la receta ateror. Escogemos k = 3, b = 7, c = 5 co lo que m 7 8 y a = 3. La formula resultate sería: x ( ax c)mod m. Los prmeros 5 valores que obteemos a partr de u valor cal x 3 so: Obtedo de la web de Crptohstora (www.crptohstora.es) 8
44, 65, 8, 47, 4, 77,, 7,, 5, 74, 7, 3, 37,, 5, 8, 3, 66, 95, 88, 5, 94, 75, 84, 73, 58, 9, 6, 85, 86, 99,, 33, 5, 5, 7, 45, 78, 3, 68,, 4, 39,, 5, 7, 9, 4, 8, 34, 63, 56, 93, 6, 43, 5, 4, 6, 87,, 53, 54, 67, 8,, 8,, 4, 3, 46, 9, 36, 89,, 7, 96,, 38, 5, 9, 49,, 3, 4, 6, 3,,, 9,, 55, 8,,, 35, 76, 97, 4, 79, 8, 9, 4, 59, 4, 57, 6, 3, 64, 69, 6, 83, 6, 7, 98, 7,, 9, 6, 7, 6, 5, 9, 3, 48, 7, 8, 3, 44, 65, 8, 47, 4, 77,, 7,, 5, 74, 7, 3, 37,, 5, 8, 3, 66, 95, 88, 5. Como vemos, e este caso el perodo es máxmo (8) y s observamos el gráfco sguete podemos observar que los resultados obtedos so, a prmera vsta, aleatoros. 4 8 6 Sere 4 4 6 8 4 6 Uso de los úmeros pseudoaleatoros e crptografía. Es evdete que la utlzacó de estos úmeros e crptografía, partedo del cumplmeto de las codcoes aterormete expuestas, es de ua gra utldad. Su utlzacó es seclla. S los vamos a utlzar como u geerador pseudoaleatoro de bts smplemete debemos covertr el úmero obtedo por el método que queramos e u bt o grupo de bts. Por ejemplo, podemos hacer ua susttucó del úmero por u baro e el caso de que el úmero resultate sea mpar y por u e caso cotraro. També podemos hacer lo msmo co los dos úmeros cetrales, o co el prmer y últmo dígto del úmero obtedo. Por ejemplo, co los úmeros obtedos e el ejemplo ateror (44, 65, 8, 47, 4, 77,, 7,, 5) obtedríamos la sguete tra de bts e el prmer caso:, y la sguete e el caso de utlzar el prmer y últmo úmero para geerar bts:. Otra posbldad, e el caso de cfrar úmeros drectamete, es sumar s acarreo al úmero resultate de codfcar la letra. Este método es amplamete utlzado e ambetes dplomátcos y mltares e combacó co lbros de códgos. Supogamos que utlzamos ua tabla como la sguete para codfcar las letras del alfabeto: A B C D E F G H I J K L M N Ñ O P Q R S T U V W X Y Z Obtedo de la web de Crptohstora (www.crptohstora.es) 9
9 5 3 4 65 87 95 454475 5 6 39 57 3 388 7 856 7 33 55 77 9 99 Tabla. U mesaje como EL ATAQUE DE LOS TANQUES EMPEZARÁ DE MADRUGADA quedaría como: 459698874453856939887485463499979469778799 Tal como podemos ver e la tabla sguete: E L A T A Q U E D E L O S T A N Q U E S E M P E Z A R A D E M A D R U G A D A 4 5 9 6 9 88 7 4 4 5 3 85 6 9 39 88 7 4 85 4 6 3 4 99 9 7 9 4 6 9 7 7 87 9 9 Vamos a cfrarlo utlzado el sguete geerador cogruecal: x 357x 5377 mod8973 co la semlla cal x 33 Los prmeros úmeros de la sere sería: 33 533 5936 867 8449 557 48 89 8 376 38 49 5745 8494 87 967 34 54 69 4855 Iremos sumado los dígtos obtedos s acarreo co el mesaje codfcado obteedo el sguete resultado: E L A T A Q U E D E L O S T A N Q U E S E M P E Z A R A D E M A D R U G A D A 4 5 9 6 9 88 7 4 4 5 3 85 6 9 39 88 7 4 85 4 6 3 4 99 9 7 9 4 6 9 7 7 87 9 9 3 3 5 33 59 36 86 7 84 49 5 57 4 8 8 9 8 3 76 3 8 49 57 45 84 94 87 9 67 34 5 4 6 9 78 46 64 4 94 58 4 93 96 53 56 5 9 7 89 58 6 8 46 5 45 4 5 4 46 44 55 93 99 5 8 66 46 9 9 5 3 77 Para descfrar smplemete tedremos que poer debajo del mesaje cfrado los úmeros geerados co el geerador cogruecal e r restado s acarreo. Ua vez obtedo el resultado vamos a la tabla de susttucó y cambamos cada letra por su valor. 46 64 4 94 58 4 93 96 53 56 5 9 7 89 58 6 8 46 5 45 4 5 4 46 44 55 93 99 5 8 66 46 9 9 5 3 77 3 3 5 33 59 36 86 7 84 49 5 57 4 8 8 9 8 3 76 3 8 49 57 45 84 94 87 9 67 34 5 4 6 9 78 4 5 9 6 9 88 7 4 4 4 3 85 6 9 39 88 7 4 85 4 6 3 4 99 9 7 9 4 6 9 7 7 87 9 9 E L A T A Q U E D E L O S T A N Q U E S E M P E Z A R A D E M A D R U G A D A El ataque de Reeds a los geeradores cogruecales. Supogamos que uestros servcos de escucha ha captado el mesaje cfrado ateror y pasa el mesaje al equpo de crptoaálss, que lo úco que cooce, por el estudo de mesajes smlares, es que los úmeros utlzados e el geerador cogruecal so de cuatro dígtos y que la tabla de codfcacó es la tabla. Además se está esperado u ataque co taques, co lo que ua frase probable e el mesaje sería precsamete LOS TANQUES. Vamos probado el sguete esquema co todos los grupos de doce dígtos hasta que llegamos al que verdaderamete cotee la palabra buscada: La obtecó de las tablas de codfcacó báscas es muy frecuete e ambetes de guerra, be por captura, el caso más geeral, be por comparacó etre varos mesajes cfrados y su equvalete e claro. Obtedo de la web de Crptohstora (www.crptohstora.es)
Palabra probable L O S T A N Q U E S Cfrado 56 5 9 7 89 58 6 8 46 5 Valor palabra 5 3 85 6 9 39 88 7 4 85 Clave 5 57 4 8 8 9 8 3 76 Los úmeros que se geera so: 557, 48, 89, 8 y 376. Teemos por la defcó de geerador cogruecal que: 48 557x bmod M 89 48x bmod M 8 89x bmod M 376 8x b mod M Restado las ecuacoes sobre la prmera teemos que 56 86x mod M 5783 747x mod M 858 7644x mod M Itetaremos ahora elmar x. 86 y 747 so relatvamete prmos co lo que podemos multplcar la prmera ecuacó por 747 y la seguda por 86. La tercera o os es ecesara. Ua vez hecho esto tedríamos: 49539 39539x mod M 7663 39539x mod M Co lo que 3639 mod M, es decr, M dvde a éste úmero. Factorzamos pues el úmero y os dará que es u producto de 3x3x3x5x997. Cogemos todas las posbles combacoes de úmeros ferores a ya que sabemos que el geerador cogruecal da como resultado úmeros de cuatro dígtos. E uestro caso puede ser: 3 9 3 69 7 5 453 359 997 99 8973 3473 Es decr, que los caddatos para M so: 3, 9, 3, 69, 5, 7, 453, 997, 359, 99, 3473, 8973. Parece lo más lógco que el úmero sea el mayor posble, e este caso el 8973, que es la solucó correcta. Teemos que ecotrar ahora el valor de x, para ello cogemos la prmera ecuacó del grupo de 3 ( 56 86x mod8973)ya que sus factores 8973 y 86 so relatvamete prmos, lo que garatza que exste ua solucó úca. El verso multplcatvo de 86 mod 8973 es 3973, co lo que calculamos el resultado y obteemos que el valor de x es 357, lo que sabemos es correcto. Solo os falta ecotrar b que podemos calcular smplemete utlzado la prmera ecuacó cal 48 557x bmod M co lo que teemos que b 48 557 357mod 8973 48 64 mod8973 5377 mod8973. Obtedo de la web de Crptohstora (www.crptohstora.es)
Geeradores cogruecales leales combados. El problema de los geeradores cogruecales leales es el perodo, que e geeral es pequeño para las ecesdades actuales, s cotar co la poca segurdad que preseta. Es ecesaro pues ecotrar geeradores co perodos más largos. Ua aproxmacó que ha fucoado be desde el puto de vsta de la logtud de perodo es la combacó de dos o más geeradores cogruecales, s embargo, como veremos, e la mayoría de los casos o se cosgue u aumeto sgfcatvo de la segurdad. Método de L Ecuyer. Este método fue presetado por L Ecuyer e 988 [ECU88]. La dea cosste e utlzar la suma de varos geeradores cogruecales depedetes para obteer u resultado cuyo perodo sea fucó de los perodos de dchos geeradores. Para ver como podemos combar los geeradores os basamos e el sguete resultado: Sea X,, X,,..., X, k varables aleatoras dscretas, o ecesaramete gualmete dstrbudas, pero ua de ellas sí forzosamete dstrbuda uformemete e el tervalo k [, m ]. Teemos etoces que X X, j esta uformemete dstrbuda e dcho j tervalo. Basádoos e este resultado, s teemos el cojuto X,, X,,..., X, k de las - ésmas saldas de k dferetes geeradores cogruecales multplcatvos, dode el j-ésmo geerador tee u módulo prmo mj y el multplcador aj se escoge de maera que el perodo sea máxmo, es decr, m j. De esta maera el cojuto geerado por el j-ésmo geerador está aproxmadamete uformemete dstrbudo e, j y cosecuetemete X, j está uformemete dstrbudo e [, j ], co lo que se le aplca el resultado ateror. L Ecuyer sugere la utlzacó de u geerador de la forma: k j X X, j mod m j X co X m co R m co X m El perodo máxmo e u geerador de este estlo sería: P m m.. Para u ordeador de 3 bts L Ecuyer recomeda u geerador co k, m 4783563, a 44, m 47483399 y a 469. Este geerador tee u perodo de m m. k m k Obtedo de la web de Crptohstora (www.crptohstora.es)
Ejemplo: Programa para calcular ua catdad determada de úmeros aleatoros co u geerador cogruecal. El resultado se graba e el fchero af.txt detro de la carpeta crpto e el dsco duro c. #clude <stdo.h> // bbloteca de etrada/salda ma() { log t x, c, m, teracoes,, a; FILE *pfchero; pfchero=fope("c:/crpto/af.txt","w"); //El resultado se graba e el fchero af.txt e la carpeta crpto// prtf ("Itroduce la costate: "); scaf ("%d", &c); prtf("\");// escrbe 'salto de lea' prtf("itroduce multplcador: "); scaf ("%d", &a); prtf("\");// escrbe 'salto de lea' prtf("itroduce el modulo : "); scaf ("%d", &m); prtf("itroduce el valor cal : "); scaf ("%d", &x); prtf("\");// escrbe 'salto de lea' prtf("itroduce teracoes: "); scaf ("%d", &teracoes); prtf("\");// escrbe 'salto de lea' for ( = ; < teracoes; ++) { x=(a*x+c)%m; prtf ("%d", x); prtf (" "); fprtf(pfchero, "%d;", x); // retur ; } } //- f: af ------------------------------------------------ Fucoameto de los sstemas de cfrado e flujo. Los sstemas de cfrado e flujo preseta dos modos de fucoameto, cfrado sícroo y autoscrozate. E el cfrado sícroo el geerador de úmeros aleatoros o depede del mesaje a cfrar, co lo que el emsor y el receptor debe scrozar la clave ates de empezar la trasmsó y e el caso de pérdda de u bt se perde el scrosmo. La propedades más relevates de los sstemas sícroos so[sor99]: ) No exste depedeca co el mesaje a cfrar. ) Los errores e trasmsó o se propaga. 3) La secueca cfrate es peródca. Obtedo de la web de Crptohstora (www.crptohstora.es) 3
4) La pérdda o sercó de u bt e el mesaje produce la pérdda del scrosmo. CIFRADO SINCRONO CIFRADO DESCIFRADO M C M K GENERADOR K GENERADOR E los cfrados autoscrozates, la geeracó de la clave es fucó del mesaje utlzado aterormete, esto tee la vetaja de permtr la scrozacó automátca e stuacoes de pérdda de scrosmo. Las propedades más destacadas de los sstemas autoscrozates so: ) El estado sguete depede de los últmos caracteres del mesaje. ) E caso de u error de trasmsó, éste se propaga bts. 3) La pérdda o sercó de u bt e el mesaje provoca la perdda de scrosmo durate bts. 4) La secueca cfrate es aperódca. CIFRADO AUTOSINCRONIZANTE CIFRADO DESCIFRADO M C M K GENERADOR K GENERADOR Métodos de geeracó de úmeros pseudoaleatoros. Exste varos métodos de geeracó de úmeros aleatoros, sedo alguo de ellos adecuado para la utlzacó e crptografía por su falta de segurdad, utlzádose amplamete e otros campos como el de la smulacó. E [BAN96] se dca los errores a Obtedo de la web de Crptohstora (www.crptohstora.es) 4
evtar e ua fucó de geeracó de úmeros pseudoaleatoros, así como las propedades más deseables de su mplemetacó e u ordeador. Ua fucó debe cumplr que: ) Los úmeros geerados debe estar uformemete dstrbudos. ) La meda o debe ser demasado alta demasado baja. 3) La varaza o debe ser demasado alta demasado baja. 4) No debe exstr varacoes cíclcas del tpo: a) Autocorrelacó etre úmeros. b) Gra varacó etre úmeros adyacetes. c) Seres de úmeros por ecma de la meda segudas de seres por debajo de la msma (o vceversa). Ua mplemetacó e ordeador de ua fucó de geeracó de úmeros aleatoros debe cumplr: ) La ruta debe ser rápda. ) La ruta debe ser portable y debe geerar los msmos valores e todas las mplemetacoes. 3) Debe teer u cclo lo sufcetemete largo para las ecesdades de la aplcacó que se le va a dar. 4) La fucó debe ser replcable. Es decr, dados la semlla y la fucó debe poder geerarse la msma secueca de úmeros. 5) La secueca debe acercarse lo más posble a las propedades estadístcas de uformdad e depedeca. Para su utlzacó e crptografía debemos añadr tres propedades[sor99] que ya hemos cometado aterormete: ) La logtud de la clave debe ser grade para evtar la prueba exhaustva de todas las claves. ) El perodo debe ser largo, dealmete, ta largo como el mayor de los mesajes a trasmtr. 3) La secueca geerada debe ser mpredecble. Es decr, dados los - elemetos aterores, debe ser mposble predecr el valor del -ésmo. Fred Pper e [PIP8] añade ua cuarta propedad. El sstema debe parecer o leal. La mayoría de los ataques crptoaalítcos pretede obteer ua formulacó leal a u problema crptográfco. A cotuacó se expoe alguos de los métodos de geeracó de úmeros aleatoros más comues. Cogruecas leales. Se trata de geeradores de la forma X ( ax b) mod m. Partedo de u valor cal X deomado semlla, se geerará valores etre y m. A los valores a, b y m se le deoma multplcador, cremeto y módulo respectvamete. El método co la formula tal Obtedo de la web de Crptohstora (www.crptohstora.es) 5
como la hemos presetado se deoma método cogruecal mxto, e el caso de que el valor b sea gual a cero se deoma método cogruecal multplcatvo. Se trata de geeradores muy rápdos co uas propedades estadístcas muy bueas, pero cuya segurdad queda e etredcho al depeder cada valor solo del ateror. S a, b, m y X se escoge adecuadamete se puede cosegur geeradores completos o de secueca máxma. E [BAN96] se da las sguetes eleccoes de los parámetros ates dcados: x x ) S m y b, el máxmo perodo posble es y se obtee s b es relatvamete prmo co m y a 4k co k etero. x ) S m y b, el máxmo perodo posbles es x y se obtee cuado la semlla X es par y el multplcador a 3 8k o a 5 8k co k etero. 3) S m es u úmero prmo y b =, el máxmo perodo posble es m y se obtee cuado el multplcador a cumple la propedad de que el meor k que cumple que k a es dvsble por m es k = m. Se ha propuesto métodos para elmar la depedeca exclusva del últmo elemeto, la más comú es la utlzacó de geeradores cuadrátcos y cúbcos, pero todas estas mplemetacoes se ha demostrado seguras [SCH94]. Geeradores cogruecales leales combados. U sstema co u mayor perodo que el ateror es la combacó de dos o más geeradores cogruecales de forma que el geerador resultate tega u perodo mayor además de uas bueas propedades estadístcas. Estos geeradores fuero estudados por L Ecuyer que sugere la utlzacó de geeradores de la forma X k co X j ( ) m X X, j mod m co resultado R, sedo j m co X m X,,.. X, k las saldas de k dferetes geeradores cogruecales multplcatvos de forma que el j-ésmo geerador tega u modulo prmo m j y u multplcador a j escogdo de forma que el perodo sea m. El máxmo perodo obtedo e este caso es j ( m )( m )...( m ) P k. k Geeradores de Tausworthe. So geeradores de bts que tee la forma b c. b c. b... c. b ) mod. ( q q Las costates c solo puede tomar los valores y. Permte obteer secuecas muy largas co propedades estadístcas muy bueas. Geerador de Blum-Mcal. alguos autores [SOR99] prefere hablar de método cogruecal leal y afí e lugar de mxto y multplcatvo. Obtedo de la web de Crptohstora (www.crptohstora.es) 6
Se trata de u algortmo muy seguro basado e la dfcultad de calcular logartmos dscretos. Sea a y p úmeros prmos co p grade. Se escoge ua semlla cal x y se calcula los úmeros de la sguete maera: x ) Calcular x a modp ) Escoger Geerador RSA.. p s logax e cualquer otro caso El geerador RSA, basa su segurdad e la dfcultad de factorzar u úmero, al gual que su homómo para cfrado. La obtecó de úmeros aleatoros se realza de la sguete maera. Se escoge dos úmeros prmos p y q. Se calcula su producto y se escoge u úmero b tal que sea relatvamete prmo a. Al gual que e el algortmo de cfrado, y b so públcos metras que p y q so secretos. Se escoge ua semlla cal x y se obtee los de úmeros aleatoros medate aplcacó de la sguete formula: b x x mod. S el úmero obtedo es par, se escoge u como el sguete bt de la secueca, e caso cotraro se escoge u. DES e modo OFB. El DES e modo OFB puede utlzarse para la geeracó de úmeros aleatoros. La salda de 64 bts preseta uas bueas propedades estadístcas. Geerador Blum Blum Shub o de resduos cuadrátcos. Se trata quzás del algortmo más popular, o solo por la soordad de su ombre, so també por su efceca y segurdad. Segú Scheer [SCH94] se trata del algortmo más secllo y más efcete, s be es relatvamete leto comparado co otros geeradores, es excelete para aplcacoes de alta segurdad. Su fortaleza, al gual que e el caso ateror, se basa e la dfcultad de factorzar úmeros grades. Sea p y q dos úmeros prmos grades y = p.q. Se escoge u úmero etero x relatvamete prmo co. S deotamos por s a los úmeros de la secueca pseudoaleatora teemos que x mod s x s x mod x mod s Algortmos geétcos. Obtedo de la web de Crptohstora (www.crptohstora.es) 7
La utlzacó de algortmos geétcos para la obtecó de secuecas pseudoaleatoras vee defda por su msma eseca. Su prcpal vetaja es la de que los úmeros so cuas aleatoros y que su aleatoredad puede cotrolarse a través de la fucó de apttud y de la proporcó de mutacó asgada. Sus prcpales coveetes so el hecho de ecestar ua fucó geeratrz de úmeros aleatoros para los procesos de mutacó y su relatva lettud. La segurdad del sstema e este caso depede del coocmeto del valor cal de la poblacó, de los tatos por ceto asgados al cruzameto y a la mutacó, la fucó de geeracó de úmeros aleatoros y su semlla. Regstros de desplazameto. U regstro de desplazameto es u dspostvo de almaceameto de bts que deotaremos s, s,.., s, estos elemetos se va desplazado y varado su cotedo e fucó de la exsteca o o de ua fucó de realmetacó. El valor de estos elemetos e u tempo t se deoma el estado del regstro. S be exste varos tpos de regstros de desplazameto, e crptografía se utlza báscamete los dos tpos, los regstros co realmetacó leal (Lear Feedback Shft Regster) y los regstros co realmetacó o leal (No Lear Feedback Shft Regster). Las operacoes utlzadas e ambos so la O exclusva deotada por y la Y deotada por el puto. f( s, s,..., s ) s s s s s E el caso de que la fucó f ( s, s,..., s ) esté defda por u polomo sobre u campo de Galos e módulo, que deotaremos como CG(), se dce que el regstro de desplazameto es leal y los coefcetes c los deomamos coefcetes de realmetacó. E los apartados sguetes correspodetes a regstros de desplazameto, cosderamos que las operacoes se realza e CG() y utlzaremos dsttamete los símbolos + y para deotar la suma exclusva. Regstros de desplazameto co realmetacó leal(lfsr). E u regstro de desplazameto co realmetacó leal podemos represetar la fucó f como f ( s, s,..., s ) co. so c. s... c s y dado u state t, el valor de cualquer estado queda fjado para u state posteror t+ de la sguete maera: Obtedo de la web de Crptohstora (www.crptohstora.es) 8
s( t) co s ( t ) cs ( t) co Vsta la defcó de LFSR, la prmera preguta es Cual es el tamaño máxmo del perodo e u LFSR?. El tamaño máxmo del perodo es de, ya que la secueca de estados,,..., debe elmarse pues geera cotuamete la msma salda. 5.3. Polomos prmtvos. Defmos como polomo característco de cualquer LFSR el defdo por f ( x) c cx... c x x. Se dce que u polomo característco es rreducble s o exste g(x) y q(x) de grado meor o gual a tales que f(x) = g(x).q(x). La mportaca de los polomos rreducbles es que puede demostrarse que cualquer polomo de grado puede expresarse como el producto de dos polomos rreducbles. U caso especal de estos polomos so los deomados prmtvos, que tee la propedad de que todas las secuecas o ulas geeradas por él tee u perodo de. f * Se defe el polomo recíproco de u polomo ( x) a x teresates: x Obtedo de la web de Crptohstora (www.crptohstora.es) 9 f ( x) a x de grado como h. Los polomos recíprocos tee ua sere de propedades x ) El grado del polomo f * ( x ) es como máxmo, sedo exactamete s h. ) Para cualquer polomo característco se cumple sempre que el grado del polomo es el msmo que el de su recíproco. * * 3) ( f ( x)) f ( x) f (). * * * 4) ( f ( x). f ( x)) f ( x). f ( ). x Dados los polomo f(x),g(x) y h(x) s se cumple que h(x) = f(x).g(x), se dce que g(x) y f(x) dvde a h(x). U polomo cuyos úcos dvsores so el y él msmo se dce que es u polomo rreducble. Se defe el máxmo comú dvsor de dos polomos f(x), g(x), u tercer polomo h(x) tal que h(x) dvde a ambos y s otro polomo que cumpla esta propedad, també dvde a h(x). Aálogamete se defe el mímo comú múltplo de dos polomos f(x), g(x) como el mímo polomo que dvde a ambos. E el caso de que el mcd( f ( x), g( x)), se dce que ambos polomo so relatvamete prmos. Defmos la fucó geeratrz de ua secueca fta como G ( x) a x. S G(x) es la fucó geeratrz de la secueca de salda s t, G(x) quedará defdo completamete por su estado cal y su polomo característco. A cotuacó presetamos alguos teoremas relatvos a los polomos e los CG(), las demostracoes de los msmos puede cosultarse e [BEK8]. ) Sea f ( x) c cx... c x x u polomo e CG() y ( f ) el espaco de solucoes de f, supogamos además que el cojuto s ( f ). S
G ( x) s x, etoces se cumple que ( x) ( c x ( s j x j )) y j Como vemos, (x) c. represeta el estado cal, ua vez obtedo (x) teemos defda la secueca de los s. ( x) G( x), co f * ( x) queda determado completamete por f(x) y el cojuto s que podemos calcular G(x), co lo cual ) Sea f(x) y g(x) dos polomos y sea h(x) = m.c.d(f(x), g(x)), etoces se cumple f ( x) g( x) que y so relatvamete prmos. h( x) h( x) 3) Sea f(x), g(x) y h(x) polomos tales que h(x) dvde al producto de f(x) y g(x) y tales que el m.c.d.(h(x), f(x)) =, se cumple que h(x) dvde a g(x). 4) Sea f(x) u polomo co expoete e, s s ( f ), se cumple que el perodo de s dvde a e. 5) Sea f(x) u polomo rreducble co expoete e, co s ( f ) y s perodo de s es e. Como cosecueca de esta propedad, otemos que s u polomo rreducble tee grado y expoete, cualquer secueca o ula geerada por él será de perodo máxmo, es decr., el 6) Sea f(x) u polomo de grado. S s ( f ) perodo máxmo s y solo s f(x) es prmtvo. y s, etoces s es de Co las herrametas ecesaras para la costruccó de polomos de perodo máxmo, os queda por determar la catdad de polomos prmtvos de u determado grado. Para ello se utlza la fucó de Euler, que ya hemos vsto al presetar el sstema RSA. Para u determado, el úmero de polomos de ese grado sobre CG() vee ( ) defdo por la formula ( ). Por últmo dcar que cualquer secueca de perodo máxmo geerada por u LFSR, cumple los postulados de Golomb, co lo que podemos determar que calmete puede utlzarse e algortmos crptográfcos. S embargo, las secuecas crptográfcas geeradas por LFSR so relatvamete secllas de crptoaalzar, ya que dada ua secueca de dígtos, sedo el grado del polomo prmtvo podemos fáclmete obteer el estado cal y sus coefcetes. La mportaca prcpal de las LFSR es que cualquer secueca peródca puede geerarse co u LFSR o sgular, deomádose complejdad leal la logtud del mímo LFSR capaz de geerarla. Para determar el LFSR capaz de geerar ua secueca dada, se utlza el algortmo sguete. Algortmo de Massey-Berlekamp. Obtedo de la web de Crptohstora (www.crptohstora.es)
El algortmo de Massey-Berlekamp, es u algortmo capaz de determar la complejdad leal de ua secueca bara fta de logtud e O( ) operacoes de bts. El esquema parte de fjar u LFSR de ua logtud dada e r comprobado s añadedo u bt de la secueca cal el LFSR sgue sedo capaz de geerar la secueca, e caso cotraro se aumeta la logtud del LFSR y se sgue co el msmo proceso. U esquema del algortmo obtedo de [MEN98] es el sguete: /* L es la complejdad leal y C(D) el polomo característco de la msma */ Fucó Massey-Berlekamp Defr vectores C(D), B(D), T(D); C( D) ; L ; m ; B( D) ; N ; Metras N hacer d ( s N L c sn ) mod T ( D) C( D) N m S d = hacer C( D) C( D) B( D). D L N L N S L hacer m N B( D) T( D) N N devolver (N). Combadores o leales. Como hemos vsto, la lealdad es uo de los prcpales eemgos de la segurdad. Es por ello que pretedemos la elmacó de la msma e aras a obteer u sstema crptográfcamete seguro. Exste dos formas báscas de reducr la lealdad e los LFSR: ) Utlzar ua fucó de realmetacó o leal. ) Utlzar uo o varos LFSR. El problema de la prmera aproxmacó es que o exste, por el mometo, coocmetos matemátcos sufcetes para poder determar la segurdad relatva de u sstema. E el segudo caso la dea es combar varos LFSR medate ua fucó o dspostvo que permta geerar secuecas de mayor caldad desde el puto de vsta crptográfco. A cotuacó vemos alguos de los más comues. Obtedo de la web de Crptohstora (www.crptohstora.es)
Geerador de Geffe. E este geerador la dea cosste e combar tres geeradores leales de grados,, 3 cuyos polomos sea relatvamete prmos medate ua fucó o leal de forma que el perodo de la sere resultate sea el producto del perodo de los tres LFSR. La complejdad leal del geerador vee dada por 3. LFSR a ( t) a ( t) LFSR a 3 ( t) LFSR 3 b a. a a a a. a3 a. a a. 3 3 Auque estadístcamete los valores geerados so bueos, los correspodetes a la autocorrelacó so pobres. Sea s la salda del geerador, teemos que 3 p ( s a) p( a ) p( a ). p( a3 a).. El cálculo de p( s a3 ) os da 4 el msmo resultado. Este geerador es pues crptográfcamete seguro y sucumbe ate ataques por correlacó[men98]. Geerador de Beth-Pper. La dea básca e este geerador cosste e utlzar la salda de u LFSR para cotrolar la etrada de u segudo LFSR, de forma que este últmo solo cambe su estado e el caso de que la salda del prmero sea u. S defmos como,, 3 los grados de los polomos mplcados, el sstema tee ua complejdad leal de 3, pero al gual que el geerador de Geffe su segurdad es baja y puede ser atacado de la msma maera[sch94]. Obtedo de la web de Crptohstora (www.crptohstora.es)
LFSR a ( t ) LFSR a ( t) RELOJ a ( t 3 ) LFSR 3 Geerador de Gollma. Se trata de ua varate del geerador de Beth-Pper que comparte co él ua complejdad leal muy elevada, pero se dfereca e que por el mometo o se cooce gú ataque váldo cotra él. Báscamete cosste e u cojuto de LFSR coectados e sere de forma que la salda de u LFSR cotrole el reloj del sguete LFSR. S todos los LFSR tee la msma logtud l, la complejdad leal vedrá dada por l ( l ). LFSR LFSR LFSR3 RELOJ RC4. El algortmo de cfrado RC4 fue dseñado por Ro Rvest e 987 por ecargo de RSA Data Securty Ic. Se trata de u algortmo de logtud varable de clave muy rápdo y compacto, co u perodo superor a. S be era u algortmo propetaro cuyo códgo se mateía secreto por la RSA, e Septembre de 994, el códgo fuete fue troducdo aómamete e ua lsta de correo Cypherpuk. Se trata de u algortmo muy secllo. Utlza ua caja S de 56 etradas, que so ua permutacó de los úmeros del al 55 e fucó de la clave. Utlza dos cotadores y j, que calmete está a cero. Sea m u byte del mesaje, el proceso de geerar u byte cfrado c es como sgue: Obtedo de la web de Crptohstora (www.crptohstora.es) 3
( Itercambar S t ( S K S c m K t j) mod 56 j ( j S ) mod 56 j y S S ) mod 56 La calzacó de la caja S se hace relleado calmete la msma co los úmeros del al 55, de forma que S,..., S 55 55. Paralelamete se calza u vector K de claves de 56 bytes co la clave, reptédola s es ecesaro. Ua vez hecho esto se comba ambos vectores para obteer la caja S deftva de la sguete maera: j Hacer 56 veces j ( j S K ) mod 56 Itercambar S FHacer j y S [BAN, 56-57]. [REE77]. [SOR99,9] v Obtedos de [SOR99, 9], la fuete prmara es [KNU69, 9-33]. v [BAN, 59-6]. j j Obtedo de la web de Crptohstora (www.crptohstora.es) 4