Непростая загогулина. Краткий путеводитель по эллиптическим кривым — «Хакер»

Гост 6533-78 днища эллиптические отбортованные стальные для сосудов, аппаратов и котлов. основные размеры (с изменениями n 1, 2) от 26 октября 1978 –

(односторонние функции (с потайным входом))

По определению, односторонней функцией является такая функция, которую легко подсчитать для любого входа, но трудно инвертировать, то есть получить оригинальный вход имея только результат. «Легко» и «трудно» относятся к теории сложности вычислений, упомянутой выше.

Интересно, что существование односторонних функций (математически) не доказано, так как строгое доказательство их существования доказало бы и неравенство классов P и NP — одной из задач тысячелетия и актуальной открытой проблемы, чье решение сулит алгоритмический прорыв. Поэтому необходимо держать в уме то, что почти вся современная криптография опирается на недоказанные гипотезы.

В своей оригинальной публикации Диффи и Хеллман вводят новое поколение односторонних функций, называя их «односторонними функциями с потайным входом» — по английски trapdoor function. Как они отличаются от просто односторонних функций?

Давайте посмотрим на их оригинальное объяснение:

В криптосистеме с публичным ключом шифрование и дешифрование осуществляется различными ключами — E и D соответственно, такими, что вычисление D от E практически неосуществимо (например, требующее инструкций). Шифрующий ключ E может быть разглашен публично без компрометации ключа D. Это позволяет любому пользователю системы отправить сообщение любому другому пользователю, зашифрованное таким способом, что только ожидаемый получатель сможет расшифровать его. <…> Задача аутентификации, пожалуй, представляет собой более серьезную проблему телекоммуникаций для бизнес-транзакций, по сравнению с распределением ключей, так как именно она (аутентификация) лежит в сердце любой системы работающей с контрактами и выставлением счетов к оплате.

Обычно для объяснения принципов работы криптосистемы используют криптографических персонажей Алису и Боба (они стремятся к защищенной коммуникации). Алиса и Боб договорились выбрать большие простые числа

, такие что

. Этот выбор влияет на безопасность всей схемы. Число

, называемое модулем, должно быть простым; более того, число

тоже должно быть простым, а

должно быть первообразным корнем в группе вычетов по модулю

; кроме того,

должно быть достаточно большими — не менее 512 бит в двоичном представлении. Далее, протокол Диффи — Хеллмана может быть описан в пять простых шагов:

1. Алиса выбирает (большое простое) и вычисляет
2. Боб выбирает (тоже большое простое) и вычисляет
3. Алиса отправляет Бобу, Боб отправляет Алисе ( и остаются у каждого из них в секрете)
4. Алиса вычисляет
5. Боб вычисляет

В результате Алиса и Боб получают одинаковый по построению результат

— общий секрет.

Итак, односторонняя функция с потайным входом это такая односторонняя функция, которую можно обратить имея кусочек специальной информации, называемой «потайным входом». Звучит просто, однако на практике найти такую функцию оказалось нетривиальной задачей — первый достойный метод оказался прародителем целого семейства алгоритмов на основе публичного ключа, названного RSA по фамилиям его создателей: Рон Ривеста, Ади Шамира и Леонарда Адлемана.

Elliptic curve digital signature algorithms

В поисках более надежных функций с потайным входом, в середине 80-х годов криптографы пришли к задействованию ветви математики, посвященной эллиптическим кривым.

Было бы слишком сложно описать все детали криптографии на основе эллиптических кривых в одном тексте, поэтому мы не станем этого делать. Вместо этого, давайте посмотрим на одностороннюю функцию с потайным входом, построенную на основе эллиптических кривых и задаче о дискретном логарифме.

Существует большое количество обзорных материалов и более детальных введений в данную область криптографии. Мы бы хотели особенно отметить “ECC: a gentle introduction” за авторством Андреа Корбеллини, особенно если вам интересен матаппарат.

Мы же, в данном материале заинтересованы в куда более «простом» объяснении.
Эллиптическая кривая определяется уравнением, которое выглядит следующим образом: .

Вторым объектом является циклическая подгруппа над конечным полем. В алгоритме ECC используются следующие параметры:

В итоге,

набор параметров

для наших алгоритмов представляется

шестеркой .Точки эллиптической кривой принадлежат конечному полю , где это достаточно большое простое число. Итак, у нас есть множество целых чисел по модулю , где возможны такие операции как сложение, вычитание, умножение, взятие обратного. Сложение и умножение работают схожим образом с тем, как мы это описывали в части модульной арифметики раздела RSA (wrap-around).Так как кривая симметрична относительно оси х, для любой точки мы можем взять и получить точку, противоположную ей. Мы сразу оговариваем, что точка соответствует нулю, то есть будет просто .Сложение точек на кривой определено так, что, зная точки и , мы можем нарисовать прямую, проходящую через обе этих точки, а также третью — , так что и .

Давайте посмотрим на доступно иллюстрированное объяснение Марка Хьюза:

Мы видим прямую, протянутую по поверхности тора. Линия пересекает две произвольно выбранные точки на кривой.

Для того чтобы найти , мы рисуем прямую от первой выбранной точки ко второй , продолжая линию до тех пор, пока она не пересечет кривую в третьей точке .

После пересечения, отразим точку относительно оси абсцисс для того чтобы найти точку .

Умножение на скаляр определяется достаточно очевидно:

Односторонняя функция с потайным входом в данном случае опирается на задачу дискретного логарифма для эллиптических кривых, а не на факторизацию, как в случае с RSA. Проблема дискретного логарифма в данном случае формулируется так: если известны и , то как найти , такое что ?

И задача факторизации (лежащая в основе RSA), и дискретного логарифма для эллиптических кривых (являющаяся фундаментом ECDSA и ECDH) считаются трудными — другими словами, неизвестно алгоритмов для решения этих задач за полиномиальное время при заданной длине ключа.

Хотя, обычно, меня бы забросали грязными (в лучшем случае) тряпками за смешивание алгоритмов распределения ключа (ECDH) с подписью (ECDSA), мне все таки придется объяснить, как они работают вместе. Современный TLS-сертификат содержит публичный ключ, в нашем случае, от пары сгенерированной с помощью алгоритма на основе эллиптических кривых, обычно подписанный какой-то авторитетной организацией. Клиент проверяет подпись сервера и генерирует общий секрет. Этот секрет используется в симметричном алгоритме шифрования, например AES или ChaCha20. Тем не менее, базовые принципы остаются теми же: согласовать набор (шестерку) параметров, получить пару ключей, где приватный ключ — это случайно выбранное целое число (множитель от ), а публичный ключ — это точка на кривой. Алгоритмы подписи используют базовую точку , которая является генератором подгруппы порядка ( — большое простое число), так что , где 0 — это нейтральный элемент группы. Подпись доказывает, что защищенное соединение устанавливается с аутентифицированной стороной — сервером, который обладает TLS сертификатом (публичным ключем) подписанным авторитетной организацией для заданного имени сервера.

Криптоанализ

Универсальный метод вскрытия любого шифра – прямой перебор множества всех возможных ключей, позволяющий получить оценку сверху для стойкости алгоритма шифрования. Вероятность подбора ключа при таком подходе – величина, прямо пропорциональная количеству всех ключей алгоритма.

Криптоанализ ставит своей задачей в разных условиях (только по шифротексту или по известному открытому тексту) получить дополнительные сведения о ключе шифрования, чтобы значительно уменьшить диапазон вероятных ключей. В некоторых случаях существуют алгоритмы, которые позволяют настолько сузить множество возможных ключей, что перебор их почти не потребует времени.

Высокая стойкость криптоалгоритма, однако не гарантирует, что спустя некоторое время не будет найден новый метод криптоанализа, который понизит первоначальную оценку стойкости алгоритма. Так, для DES первоначальная оценка стойкости равнялась числу возможных вариантов ключей и была равна 255 операций шифрования, а через полтора десятилетия был найден алгоритм, снизивший эту оценку до 247 операций.

Криптоанализу, как и криптографии, уже несколько столетий. Наиболее простые алгоритмы – статистический и аналитический – давно известны. Статистический криптоанализ использует статистические методы для получения дополнительной информации о ключе, а аналитический – занимается математическим изучением алгоритма шифрования.

Каждый новый метод криптоанализа добавляет новые требования к алгоритмам шифрования. Так, статистический метод, в котором по распределению символов в шифротексте выдвигаются гипотезы о ключе шифрования, породил требование равномерного распределения символов в шифротексте.

В число современных методов криптоанализа блочных шифров входят разностные (дифференциальные) алгоритмы. Первоначально они применялись для DES, но в силу своей универсальности стали использоваться и для других блочных шифров. Суть разностного анализа в следующем.

Берутся два варианта открытого текста, отличающиеся, скажем, только в одном разряде, и анализируется разность зашифрованных текстов. Оказалось, что в DES и некоторых других алгоритмах распределение разностей соответствующих шифротекстов было не равномерным: определенные разности встречались чаще других.

Если этот прием использовать для алгоритма DES с 15 циклами шифрования (для DES полное шифрование предусматривает 16 циклов), то, считая известными разности шифротекстов по 15 циклам, по известным шифротекстам после 16 циклов можно сделать определенные предположения о ключе, который использовался на последней, шестнадцатой итерации.

Чаще всего выводы о ключе последней итерации будут неверными, но в большом массиве вариантов истинный цикловой ключ встречается чуть чаще, чем все остальные, что позволяет его выделить. Таким способом удается установить 48 разрядов из 56 разрядов ключа, используемого на последнем цикле, после чего определение остальных 8 разрядов не составит проблемы.

Линейный анализ также первоначально был разработан для DES, а потом применен к другим блочным шифрам. Он основывается на предположении, что с определенной вероятностью существует линейная связь между некоторыми разрядами входа и выхода секретного ключа (т.е. некоторые разряды на входе, некоторые разряды на выходе и некоторые разряды ключа связаны линейным уравнением).

Вначале такую связь обнаруживают для одного цикла, а потом делают попытку «протянуть» ее по всем циклам алгоритма. Вероятность наличия такой связи оказывается достаточно малой, но не нулевой. Иногда удается составить уравнение, которое выполняется с вероятностью большей, чем вероятность подбора ключа перебором.

Есть также способы анализа блочных шифров, которые используют не только математические методы, но и определенные технические ухищрения. Одним из таких методов является анализ по ошибкам, работающий для протоколов передачи шифрованной информации с коррекцией ошибок.

Если криптоаналитику удается заставить систему ошибиться, то она попытается исправить свою ошибку и повторно зашифрует уже переданный ранее блок информации на том же ключе. В результате, аналитик получает два зашифрованных одним ключом сообщения, один из которых имеет определенную ошибку, а другой – нет.

Если предположить, что ошибка была в одном разряде, то можно воспользоваться, например, разностным методом для получения информации о ключе шифрования. Кроме того, само сообщение об ошибке представляет собой короткий и легко предсказуемый текст, поэтому, будучи зашифрованным, оно также дает определенную информацию для аналитика.

Еще один способ криптоанализа основан на анализе скачков напряжения в процессоре, который занимается шифрованием. Для его реализации нужно предварительно локализовать такты процессора, рассчитывающие очередной цикловой ключ. Затем по скачкам напряжения на выводах питания определяется количество единичных разрядов в ключе.

Эллиптические тренажеры — купить в интернет-магазине petrasport по выгодной цене