1 / 24

Аутентификация сообщений

Аутентификация сообщений. Евтифеева Ольга 18 октября 2005. План доклада. Постановка задачи Отличие задачи аутентификации от задачи секртености Основные подходы ее решения Аутентификационное шифрование Схема аутентификации сообщений Код аутентификации сообщений ( MAC)

gelsey
Download Presentation

Аутентификация сообщений

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript


  1. Аутентификация сообщений Евтифеева Ольга 18 октября 2005

  2. План доклада • Постановка задачи • Отличие задачи аутентификации от задачи секртености • Основные подходы ее решения • Аутентификационное шифрование • Схема аутентификации сообщений • Код аутентификации сообщений (MAC) • Надежность для алгоритмов аутентификации • Наиболее известные схемы аутентификации

  3. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство

  4. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство • Обозначения:противник AполучательRзаконный отправительSсообщениеM

  5. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство • Обозначения:противник AполучательRзаконный отправительSсообщениеM • Важно! Мы будем всегда считать, что Sи R уже имеют общий секретный ключ K

  6. Постановка задачи • Задачи аутентификации:1. Целостность2. Авторство • Обозначения:противник AполучательRзаконный отправительSсообщениеM • Важно! Мы будем всегда считать, что Sи R уже имеют общий секретный ключ K • Считаем, что у противника есть возможность изменять сообщения и вводить новые в канал связи.

  7. Секретность не обеспечивает целостность данных • Условия: • Фиксируем симметричную криптосистему SE = (K, E, D) • M100 = “перевести 100$на счет A” • S посылает С100 = EK(M100) • Rполучает С100, дешифрует его: M100 = DK(C100) • Пусть теперь А – в роли противника. Хочет, чтобы S получил M900 = “перевести на счет А 900$”. Может ли он это сделать? • Нет, так как не знает ключа К, поэтому не может ни расшифровать и модифицировать С100, ни самостоятельно зашифровать C900.

  8. Секретность не обеспечивает целостность данных • Условия: • Фиксируем симметричную криптосистему SE = (K, E, D) • M100 = “перевести 100$на счет A” • S посылает С100 = EK(M100) • Rполучает С100, дешифрует его: M100 = DK(C100) • Пусть теперь А – в роли противника. Хочет, чтобы S получил M900 = “перевести на счет А 900$”. Может ли он это сделать? • Нет, так как не знает ключа К, поэтому не может ни расшифровать и модифицировать С100, ни самостоятельно зашифровать C900. Неверный ответ! • Да. Возьмем например схему one-time pad (EK(M) = K xor M, DK(C) = K xor C). Тогда все, что нужно сделать A – С100xor M100xor M900.

  9. Основные подходы - 1 • Аутентификационное шифрование.Аутентификация с использованием схемы шифрования. Sender Receiver C C’ M E D M’ or 0 K K A K

  10. Основные подходы - 2 • Схема аутентификации сообщенийMA = (K, TG, VF)K – случайный алгоритм генерации ключейTG – алгоритм генерации тагов: σ ← TGK(M)VF – алгоритм проверки тагов: d ← VFK(M, σ), d – бит. Sender Receiver M M’ M’ TG T T’ VF M 0 or 1 K K A K

  11. Основные подходы - 2 • Подробнее о схеме аутентификации • Со схемой также связано пространство сообщений Plaintext, из которого берут M. Ясно, для MPlaintext VFK(M,TGK(M)) = ???

  12. Основные подходы - 2 • Подробнее о схеме аутентификации • Со схемой также связано пространство сообщений Plaintext, из которого берут M. Ясно, для MPlaintext VFK(M,TGK(M)) = 1. • Алгоритм TG может быть случайным и использующим состояния.

  13. Основные подходы - 3 • Код аутентификации сообщений (MAC) Случай, когда алгоритм TGдетерменированный и без состояний. В этом случае алгоритм VF: σ′ ← TGK(M)if σ = σ′ then return 1 else return 0 Sender Receiver M M’ M’ MAC T T’ MAC M T* = 0 or 1 K K A K

  14. Надежность - нефомально • Пара (M, T),созданная противником, такая что VFK(M,T) = 1, но M не происходит от отправителя S называется подделкой. • Виды атак: no-message, chosen-message, replay. • Дадим противнику 2 возможности: • Получить таг любого сообщения по его выбору – “запрос тага”. Противник делает q таких запросов. • Узнать, корректна ли конкретная пара (M, T) – “запрос проверки”. Противник делает v таких запросов. • Противник достиг цели, если создал запрос проверки (M, T), который вернул значение 1 (accept), но не создавал запроса тага M.

  15. Надежность - модель • Построим такую модель: • Фиксируем схему аут. сообщений MA = (K, TG, VF) • Противник А • Заменяем отправителя «оракулом генерации тагов» – доступом типа «черный ящик» к алгоритму TGK(). • Заменяем получателя «оракулом проверки» - доступом типа «черный ящик» к алгоритму VFK(). Таким образом модель – противник, оперирующий с двумя оракулами. TG VF (M, T) M A T = TG(M) 0 or 1

  16. Надежность • Введем понятие «эксперимент»:Experiment ExpMA(A)K ← KRun ATGK(), VFK()If А делает VFK запрос (M, T) такой что:Оракул возвращает 1 А не делал таг-генерирующего запроса Mthen return 1 else return 0 • Определение:Вероятность успехаAdvMA(A) – вероятность, что ExpMA(A) вернет 1. • AdvMA(A) (t, q, m) = max {AdvMA(A)},где максимум берется по всем противникам, работающим время t, делающих q запросов оракула и таких, что сумма длин всех запросов и длины сообщения Mбыла ≤ m бит.

  17. Примеры использования определений • MA1 • Алгоритмы TGK, VFK • АлгоритмA1 • Оценка AdvMA1(A1) • Еще примеры атак • MA2 – пробуем улучшить MA1 • Алгоритмы TGK, VFK • А1 – теперь не работает • Алгоритм A2 • Оценка AdvMA2(A2)

  18. Схемы • XOR schemes • PRF-as-a-MAC • CBC MAC • Universal hash based MACs • HMAC

  19. The XOR schemes • Алгоритм XOR-Tagf(s, M) • Алгоритмы TGK(M), VFK(M) – с использованием счетчиков и случайные • Атака А2 теперь не проходит • ОценкаAdv

  20. The PRF-as-a-MAC paradigm • Суть подхода – любая псевдослучайная функция фактически MAC.Пусть F: K D  {0, 1}l – семейство функций. Сопоставим F код аутентификации сообщений MAC: K D  {0, 1}l, M  D:algorithm MACK(M) T ← FK(M)return TОбласть D сужена до строк длины ровно dдля некоторого целого d. • Теорема: AdvMAC(A) ≤ AdvF(B) + v/2l, где А – противник, атакующий MAC, В – противник, атакующий F.

  21. The CBC MAC • Пусть f: {0, 1}l {0, 1}l - функция.Пусть f(n): {0, 1}nl  {0, 1}l– функция, которая по входу x1…xnвыводит yn, где yi = f(yi-1  xi) и y0 = 0l. F – конечное семейство функций {0, 1}l {0, 1}lЗа F(n) обозначим семейство функций, в котором функции, проиндексированные ключом К – FK(n). Это семейство назывется CBCот F. • Теорема: если F – PRF семейство, то и F(n). • Algorithm MACK(M)Разбить М на блоки длины l – М1 …Мm y0← 0l for i = 1 to m do yi ← FK(yi-1 Mi) return ym • В таком виде CBC MAC не применим к строкам разной длины.

  22. Universal hash based MACs • Это самый быстрый MAC, построен на использовании «почти универсальных хэш функций» • ОпределениеПусть Н: K  M  {0, 1}n – семейство функций,  - вещественное число. H называется -AU ( почти-универсальной) если для любых различных М, М′  M, Pr [K ←K: HK(M) = HK(M′)]≤ . • Определениеесли  = 2-n, то Н называется универсальной хэш функцией. • Схема UHM = (K, TG, VF) • Оценка Adv

  23. HMAC • HMAC – MAC на основе криптографических хэш-функций (например – MD5 или SHA-1) • Пусть Н – хэш функция. Н берет входные значения произвольной длины и возвращает l-битовый результат (l = 128 для MD5 и l = 160 для SHA-1). Обозначим за M информацию, к которой применяется MAC функция, K – ключ (ровно 64 байта, если меньше – дополняем нулями).Определим 2 константы длиной 64 байта: • ipad = байт 0x36 повторенный 64 раза • opad = байт 0x5C повторенный 64 раза • Функция HMAC берет ключ K и M, и возвращает HMACK(M) = H (K opad, H ( K ipad, M)).

  24. Литература • Mihir Bellare, Philip Rogaway “Introduction to Modern Cryptography” • Shafi Goldwasser, Mihir Bellare “Lecture Notes on Cryptography” • В.Ященко “Введение в криптографию”

More Related