Optimal asymmetrisk krypteringspolstring

Optimal asymmetrisk kryptering , på tysk om optimal asymmetrisk kryptering , ofte også forkortet OAEP , er en kryptografisk polstringsmetode . Det er en spesiell form for et Feistel-nettverk som, i den tilfeldige orakelmodellen , en krypteringsmetode som er semantisk sikker mot utvalgte klartekstangrep kan bygges fra hvilken som helst feldørpermutasjon . Hvis OAEP brukes med felleportpermutasjonen RSA, er metoden som nå heter RSA-OAEP til og med sikker mot oppringte krypteringsangrep ( IND-CCA ). Prosedyren ble lansert i 1994 avMihir Bellare og Phillip Rogaway publisert.

Fremgangsmåte (grunnleggende variant)

Prosess med OAEP-skjemaet i CCA-varianten (se avsnitt Varianter ). I den grunnleggende versjonen av metoden er k ₁ = 0 , dvs. det vil si at ingen nuller er lagt til.
Utgangen X, Y fungerer som inngangsverdi for permutasjon av felle døren f .

Det er en sikkerhetsparameter, og så stor at en angriper bare kan utføre betydelig færre aritmetiske trinn. ${\ displaystyle n}$${\ displaystyle k_ {0}}$${\ displaystyle 2 ^ {k_ {0}}}$

Deretter er det en familie med felle dørpermutasjoner på meldinger med biter , og lengden på meldingene som skal overføres. ${\ displaystyle F}$${\ displaystyle f: \ {0.1 \} ^ {n} \ mapsto \ {0.1 \} ^ {n}}$${\ displaystyle n}$ ${\ displaystyle k = n-k_ {0}}$

Til slutt, la og være kryptografiske hashfunksjoner . Krypteringsmetoden -OAEP er nå definert som følger. Nøkkelgenerasjonen består i valget av . ${\ displaystyle G: \ {0.1 \} ^ {k_ {0}} \ mapsto \ {0.1 \} ^ {k}}$${\ displaystyle H: \ {0.1 \} ^ {k} \ mapsto \ {0.1 \} ^ {k_ {0}}}$ ${\ displaystyle F}$${\ displaystyle f, f ^ {- 1}}$

Kryptering

For å kryptere en -bit-melding , gjør du slik: ${\ displaystyle k}$${\ displaystyle m}$

• Man velger som en tilfeldig sekvens av biter.${\ displaystyle r \ in \ {0.1 \} ^ {k_ {0}}}$${\ displaystyle k_ {0}}$
• Så beregner man

${\ displaystyle X = m \ oplus G (r)}$og .${\ displaystyle Y = r \ oplus H (m \ oplus G (r))}$

• Nøkkelteksten blir deretter gitt som:${\ displaystyle c}$

${\ displaystyle c = f (X || Y)}$,

hvor står for sammenføyning .${\ displaystyle ||}$

Dekryptering

For å rekonstruere meldingen , utfør følgende trinn: ${\ displaystyle m}$

• Først bruker du felle døren til

${\ displaystyle Z = (X || Y) = f ^ {- 1} (c)}$

å beregne.

• Den tilfeldige verdien er nå rekonstruert som${\ displaystyle r}$

${\ displaystyle r = Y \ oplus H (X)}$.

• Endelig får du meldingen igjen som${\ displaystyle m}$

${\ displaystyle m = X \ oplus G (r)}$.

varianter

En enkel modifisering av ovennevnte protokoll kan også oppnå IND-CCA1-sikkerhet, dvs. sikkerhet mot utvalgte ciphertext- angrep . For å gjøre dette reduseres lengden på meldingen til biter og sammenkobles med nuller. Når du dekoder, sjekker du om den rekonstruerte verdien har riktig form, og ellers avbryter. ${\ displaystyle m}$${\ displaystyle k-k_ {1}}$${\ displaystyle k_ {1}}$

Victor Shoup presenterte en utvidelse av prosessen som IND-CCA2 sikkerhet også kan oppnås for enhver permutasjon av dør.

RSA-OAEP

Årsaken til å utvikle OAEP var å finne en måte å kryptere med RSA sikkert (i betydningen IND-CCA2-sikkerhet). Hvis RSA brukes som permutasjon av låseporter i OAEP, blir prosedyren referert til som RSA-OAEP. Selv om OAEP generelt ikke oppnår IND-CCA2-sikkerhet, er dette tilfelle for RSA-OAEP i den tilfeldige orakelmodellen og under RSA-antagelsen.

Siden resultatet av OAEP-kodingen er et tall mellom 0 og , men RSA-modul -bit er mindre enn , kan det skje at resultatet av OAEP-kodingen har en større numerisk verdi enn RSA-modulen. Dette må imidlertid ikke skje fordi dekrypteringen i dette tilfellet ikke lenger er unik. Derfor, i et slikt tilfelle, må OAEP-kodingen gjentas med en ny tilfeldig . ${\ displaystyle 2 ^ {n}}$${\ displaystyle n}$${\ displaystyle N}$${\ displaystyle 2 ^ {n}}$${\ displaystyle r}$

RSA-OAEP ble standardisert i PKCS # 1 og RFC 3447 , hvorved hashfunksjonen som brukes er en parameter for prosedyren, dvs. den ble ikke spesifisert. Under disse omstendighetene, dvs. uten et tilfeldig orakel, er RSA-OAEP sikker under phi-hiding-antagelsen IND-CPA hvis hashfunksjonen som brukes er t-uavhengig . I standardiseringen ble det imidlertid gjort en endring, gjennom hvilken prosedyren ikke lenger er verifiserbar sikker: For å unngå repetisjon av OAEP-kodingen nevnt ovenfor, ble det spesifisert at resultatet av OAEP må være 8 bits kortere enn RSA modul; de første 8 bitene er fylt med 0. Ved dekryptering må mottakeren sjekke om de første 8 bitene har verdien 0 og avbryte hvis ikke. Hvis en angriper kan skille om en dekryptering ble avbrutt av en eller annen grunn, er det et angrep som gjenoppretter hele ren tekst uten den hemmelige nøkkelen. For å gjøre dette trenger han bare ca. 1000 spørsmål til et feilorakel, som bare gir ut om og av hvilken grunn et forsøk på dekryptering mislyktes. Slike orakler kan for eksempel forekomme med TLS / SSL- tilkoblinger, der angrepet også ble utført i praksis.

legitimasjon

1. ↑ Mihir Bellare og Phillip Rogaway : Optimal asymmetrisk kryptering - Hvordan kryptere med RSA . I: EUROCRYPT 94 (=  Forelesningsnotater innen informatikk ). vol. 950. Springer, 1994, s. 92-111 ( ucsd.edu [PDF]). 
2. ^ Victor Shoup: OAEP revurdert . I: CRYPTO 2001 (=  Forelesningsnotater innen informatikk ). vol. 2139. Springer, 2001, s. 239-259 ( shoup.net [PDF]). 
3. ↑ Eiichiro Fujisaki, Tatsuaki Okamoto, David Pointcheval, Jacques Stern: RSA-OAEP er sikker under RSA-antagelsen . I: Journal of Cryptology . teip 17 , nr. 2 . Springer, 2004, s. 81-104 ( ens.fr [PDF]). 
4. ↑ Eike Kiltz, Adam O'Neill, Adam Smith: Instantiabilitet av RSA-OAEP under Chosen-Plaintext Attack . I: CRYPTO 2010 (=  Forelesningsnotater innen informatikk ). vol. 6223. Springer, 2010, s. 295-313 ( iacr.org [PDF]). 
5. ↑ James Manger: A Chosen Ciphertext Attack on RSA Optimal Asymmetric Encryption Padding (OAEP) som standardisert i PKCS # 1 v2.0 . I: CRYPTO 2001 (=  Forelesningsnotater innen informatikk ). vol. 2139. Springer, 2001, s. 260-274 ( ethz.ch [PDF]).