003-ch03 公钥加密

Public Key Algorithms
• RSA (Rivest, Shamir, Adleman)
▫ developed in 1977 ▫ only widely accepted public-key encryption alg ▫ given tech advances need 1024+ bit keys
RSA Algorithm
RSA Example
Attacks on RSA
• brute force
▫ trying all possible private keys ▫ use larger key, but then slower
• mathematical attacks (factoring n)
因此明文为“help”。
质数分解的记录
充分而非必要条件
年份 1964 1974 1983 1989 1994 1996 1999 十进制的位数 备注 20 45 69 2251－1用二次筛法 106 129 130 155 用二次筛法 RSA-129用二次筛法 RSA-130用代数数体筛法 RSA-155用代数数体筛法
▫ 数字签名和认证。
• 密码体制上的突破
▫ Diffie & Hellman, “New Direction in Cryptography”, 1976。 ▫ 首次公开提出了“公开密钥密码编码学”的概念。 ▫ 这是一个与对称密码编码截然不同的方案。 ▫ 提出公开密钥的理论时，其实用性并没有又得到证 明：
对任意两个素数 p、q，则对 n = pq 有：
φ(n) = φ(pq) = φ(p)φ(q) = (p–1)(q–1)
欧拉定理
如a 和 n 是互素的整数，则有：
a
f( n )
1 mod n a mod n
等价形式：
a
f (n)+1
RSA算法加解密证明
• • • • • • • D(E(m))=med mod n = m 首先证明med = m mod p 若p|m, med = 0 mod p 若gcd(m,p)=1, mp-1 = 1 mod p 从而, med = m*(mp-1)v(q-1) = m mod p 同理得med = m mod q 所以，med mod n = m
▫ see improving algorithms (QS, GNFS, SNFS) ▫ currently 1024-2048-bit keys seem secure
• timing attacks (on implementation)
▫ use - constant time, random delays, blinding
Computer Security: Principles and Practice
Chapter 3 – Public-Key Cryptography
He Lu helu@.nc
背景
• 对称密钥编码所面临的难题
▫ 密钥分配。
通信密钥太多，管理和分发困难。
▫ public key PU = {e, n} & private key PR = {d, n}.
欧拉函数
• Euler’s totient function
▫ 欧拉函数φ(n)：表示小于 n 且与 n 互素的正整数的个数； ▫ 欧拉函数的性质： 对任意素数 p，有 φ(p) = p – 1；
• chosen ciphertext attacks (on RSA props)
RSA安全性分析
影响RSA算法安全性的因素主要有 ：
▫ 密码分析者若能计算 f (n) ，由定义知 p 2 (n f (n) 1) p n 0 的两个 根为p和q，即能分解n。实际上知道 f (n) 就可以依据Euclidean算 法从公钥e计算得出私钥d。 ▫ 在构造n时应选择p和q，使得p-1 和q-1 有大的素因子。一般选择p 和 (p-1)/2均是素数的p。 ▫ 通过截获来自不同用户的密文，密码分析者能够有机会计算出密文， 因此，不同用户之间不要共享整数 n。 ▫ RSA算法具有同态的特点 ，在具体应用中，经常在加密之前对明 文进行杂凑处理或者单向变换，以此破坏RSA算法的同态性质。
同等强度的 DES 与 RSA 比较
Summary&Further readings
• discussed technical detail concerning:
▫ RSA
Assignments
• • • • • 20.6 20.7 20.8 20.9 20.11 C C C B C
c c1x1n 2 n3 + c2 x 2 n1n3 + c3 x3n1n 2 (mod n1n 2 n3 ) 2002138753532653
m 3 2002138753532653 126037 (7, 4,11,15) 26 'help ' 。
循环攻击
循环攻击，Cycling Attack
d = 71 223135 (mod f(n) 780972)
所以明文代码为
144310223135 126037 (mod 782741) 126037
而
126037 = 4847 26 + 15 = (186 26 + 11) 26 + 15 = ((7 26 + 4) 26 + 11) 26 + 15 = (7, 4, 11, 15)26 。
RSA密码系统使用的注意事项
通用模数协议错误，Common Modulus Protocol Failure
令m为明文，假设Alice欲将此明文分别利用RSA加密传讯给Bob以及Carl， 她取得的公开密钥分别是(n,eB)以及(n,eC)，当中两组RSA模数n是相同的。
解密
首先两把加密密钥eB与eC以极高的概率是互质的，即gcd(eB ,eC ) 1， 不互质的概率微乎其微。此时Eve只需要使用广义辗转相除法或程 序xeuclidean()，便可求出整数s、t使得：
因子分解算法
• RSA算法安全性以对大整数进行素数分解的困难 性为基础，即无法在多项式时间内对一个足够大 的整数进行分解。 • 常用的因子分解算法： ▫ 二次筛法； ▫ 因子分解方法； ▫ 数域筛法。
RSA-129挑战与因数分解
例：Bob的RSA公开密钥为(n,e)=(782741,7)。攻击者Eve截收到
• Diffie-Hellman key exchange algorithm
▫ only allows exchange of a secret key
• Digital Signature Standard (DSS)
▫ provides only a digital signature function with SHA-1
由中国余式定理，只需要计算x1、x2、x3满足
x1n 2 n 3 1 mod n 1 x 2 n1n 3 1 mod n 2 x n n 1 mod n 3 3 1 2 (x1 , x 2 , x3 ) (217560, 51086, 363662)
解得 令 因此：
eBs eC t 1
如此
eC t eB s eBseC t t cs c (m ) (m ) m m (mod n) B C B C
低幂次e攻击
低幂次e攻击
(n1 ,e) (443929, 3) , C1 217560 (n 2 ,e) (346781, 3) , C2 51086 (n ,e) (779917, 3) , C 363662 3 3
定理 Wiener攻击
令RSA密码系统中各参数满足下列条件： n pq q p 2q ed 1 (mod f(n) (p 1)(q 1))
d
则存在多项式时间算法可因数分解RSA模数n。
14 n 3
RSA 的性能
• 硬件实现：比 DES 慢 1000 倍。 • 软件实现：比 DES 慢 100 倍。 • 安全强度：
循环攻击就是将密文c多次用加密函数作用，直至
k次Βιβλιοθήκη ee (( (ee )e
k
)e )e c
此时
k 1 e me
广义循环攻击，则是将密文c多次用加密函数作用，直至
gcd( n ,ce c) 1
u
Wiener低幂次d攻击
定理
c 令 （且 gcd(c,d) 1）为实数x的某项连分数的收敛值 d x c 12 d 2d
Alice传给Bob的密文144310，并知道Alice与Bob的通信代 码为： a=0、b=1、c=2、…、z=25。
计算 [log26 n] = [log26 782741] = 4 ，知道每4个字母为一组代码。如 果Eve知道n的质因数分解，即知道是何质数p、q 使得pq=782741，就 可计算 f(n) (p 1)(q 1) ，再以广义辗转相除法或xeuclidean()程序计算 得解密密钥 d 71 mod f(n)
d 便可还原明文的代码 m 144310 mod f(782741)
RSA-129挑战与因数分解
如何找到质因数p、q使得抛弃＝782741？Eve试着从2到小于等于 的质数试除，（共计有153个质数）在第150个质数时发现
782741/863 = 907 = q 因此， f(n) (p 1)(q 1) 862 906 780972 。以广义辗转相除法得
当时还未发现满足公开密钥编码理论的算法； 直到 1978 年，RSA 算法的提出。