Reconstrução da Chave Secreta do RSA Multi-primo. Reynaldo Cáceres Villena

Transcrição

1 Recostrução da Chave Secreta do RSA Multi-primo Reyaldo Cáceres Villea Dissertação Apresetada ao Istituto de Matemática e Estatística da Uiversidade de São Paulo para obteção do título de Mestre em Ciêcias Programa: Ciêcias da Computação Orietador: Prof. Dr. Routo Terada Durate o desevolvimeto deste trabalho o autor recebeu auxílio aceiro da CAPES São Paulo, Agosto de 2013

2 Recostrução da Chave Secreta do RSA Multi-primo Este texto de qualicação trata-se da versão origial do aluo Reyaldo Cáceres Villea.

3 Resumo Em 2009, N. Heiger e H. Shacham apresetaram um algoritmo de recostrução que permite recuperar a chave secreta sk do criptossistema RSA básico em tempo poliomial tedo em forma aleatória 27 % dos seus bits. Sabemos que podemos obter uma versão com erros (bits modicados) da chave secreta RSA graças aos ataques cold boot. O algoritmo apresetado por Heiger-Shacham corrige esses erros fazedo uso das relações matemáticas que existe etre as chaves pública e secreta do criptossistema RSA básico. O objetivo deste trabalho é estudar esse algoritmo para implemetar e aalisar seu aálogo para o criptossistema RSA multi-primo. Os resultados obtidos mostram que para recostruir a chave secreta sk do criptossistema RSA u-primos é preciso ter uma porcetagem de bits corretos maior a 2 2 u+2 2u+1, mostrado assim que a seguraça oferecida pelo criptossistema RSA multi-primo (u 3) é maior com relação ao criptossistema RSA básico (u = 2). Palavras-chave: Recostrução da chave secreta, criptossistema RSA multi-primo, Ataques Cold- Boot. iii

4 iv

5 Abstract I 2009, N. Heiger ad H. Shacham preseted a algoritm for recostructig the secret key sk of the básic RSA cryptosystem i polyomial time with a fractio of radom bits greater or equal to 0.27 of its bits. We kow that secret key with errors sk ca be obtaied from DRAM usig cold-boot attacks. The Heiger ad Shacham's algorithm xes these errors usig the redudacy of secret ad public key of basic RSA cryptosystem. I this work, the topic is to study this algoritm to implemet ad aalyze its aalogous for the multi-prime RSA cryptosystem. Keywords: Secret key recostructig, Cryptosystem multi-prime RSA, Cold boot attacks. v

6 vi

7 Sumário Lista de Abreviaturas Notação e Lista de Símbolos ix xi 1 Itrodução Objetivos Resultados Orgaização do Trabalho Coceitos Criptograa e Criptograa de Chave Pública Criptograa de Chave Pública Criptossistema RSA Método de Quisquater-Couvreur Correção do RSA Seguraça do RSA Public Key Criptography Stadard - PKCS PKCS # Ataques Side-Chael Ataques Cold-boot Ideticação de Chaves RSA a Memória Algoritmo de Recostrução da Chave Secreta do Criptossistema RSA Cálculo de Variáveis Auxiliares Caso Caso Correção de Algus Bits Lema de Hesel - Geração das equações Algoritmo e seu comportameto Complexidade do Algoritmo Algus Resultados Implemetação e Resultados Implemetação Resultados para Chaves de 2048 Bits Resultados dos Experimetos do Criptossistema RSA Básico vii

8 viii SUMÁRIO Resultados dos Experimetos do Criptossistema RSA 3-primos Resultados dos Experimetos do Criptossistema RSA 4-primos Comparações Experimetos Extras Experimetos para chaves de 3072 bits Experimetos para chaves de 4096 bits Coclusões Coclusões Recomedações Trabalhos Futuros e Problemas Abertos A Teoria de Números 63 A.1 Divisibilidade e Cogruêcias A.1.1 Divisibilidade A.1.2 Cogruêcia A.1.3 Iversa Multiplicativa Módulo A.1.4 Grupo e Ael A.1.5 A Fução Euler e o Teorema de Euler-Fermat A.1.6 Poliômios A.2 Equações Módulo m A.2.1 Equações Lieares Módulo m A.2.2 Cogruêcias de Grau A.3 Coceitos Extras B Probabilidade 69 B.1 Experimetos Aleatórios B.1.1 Itrodução B.1.2 Espaço Amostral e Evetos B.1.3 Probabilidades C Estatística 73 C.1 Variável Aleatória C.1.1 Variável Aleatória C.2 Fução de Probabilidade de uma Variável Aleatória C.3 Distribuição de Probabilidade C.3.1 Valor Esperado C.3.2 Variâcia C.3.3 Desigualdade de Chebyshev C.3.4 Mometos C.4 Distribuição Cojuta de Duas V.A C.4.1 Covariâcia C.5 Coeciete de Correlação de Pearso C.6 Fuções Geratrizes C.6.1 Fuções Geratrizes de Probabilidade

9 Lista de Abreviaturas RSA MIT NP NFS PKCS TCR DRAM MSB LSB ECM MDC Sistema Criptográco desevolvido por Rivest, Shamir e Adelma. Istituto Tecológico de Massachusetts (Massachusetts Istitute of Techology). Classe de complexidade poliomial em modelo ão determiístico (No-Determiistic Polyomial time). É o algoritmo mais eciete para fatorar iteiros de mais de 100 dígitos (Number Field Sieve). Padrão de Criptograa de Chave Pública (Public Key Criptography Stadards.) Teorema Chiês do Resto. Memória de acesso aleatório diámica (Dyamic Radom-Access Memory). Bits mais sigicativos (Most Sigicat Bits). Bits meos sigicativos (Least Sigicat Bits). Método de curvas elípticas usado para calcular fatores primos de um iteiro composto. (Elliptic curve method). Máximo Divisor Comum. ix

10 x LISTA DE ABREVIATURAS

11 Notação e Lista de Símbolos N Multiplicação dos primos para o criptossistema RSA. Número de bits da variável N. u Número de fatores primos do iteiro N. sk Chave secreta do criptossistema RSA. sk sk com algus erros (bits modicados). δ Porcetagem de bits corretos em sk. Símbolo de aproximação. pk Chave pública (do criptossistema RSA). r i I-ésimo fator primo do criptossistema RSA. b Fução piso de um úmero real b. p Outra deição de r 1. q Outra deição de r 2. φ(a) Fução φ de Euler aplicado a um iteiro a. e Expoete de ecriptação do RSA. d Expoete de decifração do RSA. Z N Cojuto formado por a, ode 0 a N 1. ZN Cojuto formado por a, ode 0 a N 1 e a é co-primo a N. M Texto legível. C Criptograma do texto legível M. d i I-ésimo expoete TCR. Seu valor está dado por d mod (r i 1). d p Outra deição de d 1. d q Outra deição de d 2. r2 1 Coeciete TRC. Seu valor está dado por r2 1 mod r 1. t 1 i I-ésimo coeciete TRC. Seu valor está dado por ( i 1 j=1 r i) 1 mod r i. M i I-ésimo mesagem. seu valor está dado por M i = C d i mod r i Símbolo de cogruêcia Símbolo de ão cogruêcia. a b O iteiro a divide ao iteiro b. a b O iteiro a ão divide ao iteiro b. kow Idica o estado de um bit de ser cohecido. ukow Estado de um bit de ser descohecido. mdc(a, b) Máximo divisor comum dos iteiros a e b. mi(a, b) Míimo valor etre a e b. max(a, b) Máximo valor etre a e b. xi

12 xii NOTAÇÃO E LISTA DE SÍMBOLOS

13 Lista de Figuras 2.1 Chave secreta RSA em ASN.1 (Fote:PKCS #1) Desaparecimeto gradual de dados em um chip de memória RAM (Fote: Ceter for Iformatio Techology at Priceto Uiversity ) Propriedade de remaescêcia da memória Codicação BER da chave secreta RSA. A parte sombreada mostra a cadeia (Fote: Ceter for Iformatio Techology at Priceto Uiversity) Represetação do comportameto do algoritmo de recostrução ode as circuferêcias: simples são as raízes icorretas, as duplas são as raízes boas e por último temos a circuferêcia dupla ciza, a qual é a represetação da raiz correta Represetação dos mometos de ordem 1 e 2 da variável discreta G, ode podemos observar que ambos mometos são iguais Represetação dos mometos de ordem 1 e 2 da variável discreta B, ode podemos observar ambos mometos Comparação das médias da quatidade de raízes aalisadas para chaves de 2048 bits Comparação das médias da quatidade de raízes aalisadas para chaves de 3072 bits Comparação das médias da quatidade de raízes aalisadas para chaves de 4096 bits. 56 xiii

14 xiv LISTA DE FIGURAS

15 Lista de Tabelas 2.1 Máximo úmero de primos permitidos em um módulo N (Fote: Compaq Computer Corporatio) Número de raízes geradas a partir de uma raiz boa Número de raízes icorretas geradas a partir de uma raiz boa Estado do bit r i [j] com relação ao estado do bit d i [j + τ(k i )] a raiz boa Número de raízes icorretas geradas a partir de uma raiz icorreta Estado do bit r i [j] com relação ao estado do bit d i [j + τ(k i )] a raiz icorreta Resultados dos experimetos da Recostrução da Chave Secreta RSA Básico (u = 2) Resultados dos experimetos da Recostrução da Chave Secreta RSA 3-primos Resultados dos experimetos da Recostrução da Chave Secreta RSA 4-primos Resultados dos experimetos da Recostrução da Chave Secreta RSA módulo Resultados dos experimetos da Recostrução da Chave Secreta RSA módulo Comparação etre os criptossistemas RSA básico, 3-primos e 4-primos Comparação etre os criptossistemas RSA multi-potêcia, básico e multi-primo Número de raízes icorretas geradas a partir de uma raiz icorreta quado temos só uma porcetagem de bits cohecidos de d xv

16 xvi LISTA DE TABELAS

17 Capítulo 1 Itrodução O RSA é um dos criptossistemas de chave pública mais usado e implemetado [Pai03], seu ome é derivado das iiciais dos seus criadores: Ro (R)ivest, Adi (S)hamir e Le (A)dlema. Este criptossistema foi criado em agosto de 1977 o MIT 1 e publicado em fevereiro de 1978 [RSA78]. Desde sua publicação, ehum ataque coseguiu quebrá-lo, portato ão foi preciso mudar sua estrutura. No etato, a literatura cietica existem pesquisas sobre casos ode o RSA é iseguro, mas isso é devido ao uso iadequado do mesmo. A seguraça do criptossistema RSA está baseada o problema de fatoração de um úmero iteiro (o qual é um problema NP) [Feo], o RSA o iteiro a fatorar é cohecido como módulo N e é o resultado da multiplicação de u primos aleatórios grades do mesmo tamaho. Quado temos o valor u = 2 é deomiado como criptossistema RSA básico e para u 3 é chamado de criptossistema RSA multi-primo. O algoritmo mais rápido até a data (2013) para a solução de fatoração de iteiros é cohecido como NFS (Number Field Sieve), o qual estabeleceu um ovo recorde em fatorar um módulo N de 768 bits (232 decimais) do criptossistema RSA básico em dezembro do 2009 [Co]. Observado a diculdade de fatorar um iteiro surgiu a ideia de dar solução a esse problema fazedo uso de algum tipo de iformação extra (este caso, bits dos fatores primos de N ou outros dados) que seria forecida por um oraculo. Em criptograa, um oráculo é um programa que respode pergutas com uma resposta booleaa (um SIM ou um NÃO). Por exemplo, podemos pergutar "qual é o i-ésimo bit do meor fator de N?". No caso trivial para o módulo N do criptosistema RSA Básico, só precisamos de /2 pergutas para fatorar N, ode = lg N é o úmero de bits de N [Mau92]. Com esse ovo coceito surgiu uma ova liha de pesquisa assistida por um oráculo que procura miimizar o úmero de pergutas feitas ao oráculo. Correspodete a essa liha de pesquisa tem-se vários resultados ecietes ode a fatoração do modulo N do criptossistema RSA básico é possível em tempo poliomial tedo: os /4 bits meos sigicativos (LSB) ou mais sigicativos (MSB) de um dos seus fatores primos p [Cop97]. os /4 LSB do expoete de decifração d [BDF98]. os /4 LSB de expoete de decifração d p [BDF98]. um máximo de log log(n) blocos descohecidos e uma porcetagem l(2) = 0.70 de bits cohecidos de p [HM08]. O algoritmo de recostrução da chave secreta sk do criptossistema RSA básico de Heiger e Shacham [HS09] está baseado em ataques assistidos por um oráculo, mas a difereça com os ataques ates mecioados é que atacate ão tem cotrole sob as posições dos bits, ou seja, o atacate só recebe bits aleatórios. Os resultados de Heiger e Shacham mostram que é possível a recostrução da chave secreta sk do criptossistema RSA básico em tempo poliomial com uma grade probabilidade tedo uma porcetagem δ maior ou igual a 0.27 de bits corretos em sk 2. 1 Istituto Tecológico de Massachusetts 2 Estrutura de dados que cotem algus bits corretos de sk 1

18 2 INTRODUÇÃO Objetivos O objetivo pricipal desse projeto é a implemetação de um algoritmo de recostrução da chave secreta para o criptossistema RSA multi-primo (u 3), baseado o algoritmo de recostrução para o criptossistema RSA básico (u = 2) proposto por Heiger e Shacham. Como objetivos especícos deste projeto estão: 1. Estudo e aálise do criptossistemas RSA básico e RSA multi-primo. 2. Estudo e Implemetação do algoritmo de recostrução da chave secreta para o criptossistema RSA básico. 3. Estudo das relações que existem etre os bits das variáveis da chave secreta sk dos criptossistemas RSA básico e RSA multi-primo. 4. Implemetação e aálise do algoritmo de recostrução da chave secreta para o criptossistema RSA multi-primo. 1.2 Resultados 1. Para o criptossistema RSA básico ou multi-primo (ode seu módulo N está dado por N = u r i para u 2) foi determiado que é preciso ter uma porcetagem δ de bits corretos maior que 2 2 u+2 2u+1 em sk para poder recostruir a chave secreta sk em tempo poliomial O( 2 ) com uma probabilidade maior que 1 1. Esse resultado os permite dizer que a recostrução de uma chave secreta 2 sk para o criptossistema: RSA básico é preciso uma porcetagem δ RSA 3-primos é preciso uma porcetagem δ RSA 4-primos é preciso uma porcetagem δ de bits corretos de sk. 2. Com o resultado acima foi comprovado que o criptossistema RSA multi-primo oferece mais seguraça com relação ao criptossistema RSA básico. δ > 2 2 u+2 2u+1 > para u 3 3. A recostrução de uma chave secreta sk do criptossistema RSA básico ou multi-primo sempre é feita em tempo poliomial quado tem se uma porcetagem δ de bits maior ou igual a Orgaização do Trabalho δ > lim 2 2 u+2 2u u No Capítulo 2, apresetamos os coceitos básicos de criptograa, criptossistema RSA, padrão de criptograa de chave pública PKCS (Public key cryptography stadart) do RSA e ataques side chael. O Capítulo 3 é descrito o algoritmo de recostrução da chave secreta sk cotedo os precálculos que devem ser feitos, o algoritmo e uma aálise da sua complexidade. No Capítulo 4 são mostrados os resultados da implemetação do algoritmo. Fialmete o Capítulo 5 ecotram-se as coclusões desse trabalho. Os coceitos básicos matemáticos, probabilísticos e estatísticos que são utilizados o percorrer do trabalho são apresetamos os Apêdices A, B e C respectivamete desse trabalho.

19 Capítulo 2 Coceitos Para iiciar osso estudo sobre o algoritmo de recostrução de chaves secretas RSA de Heiger e Shacham precisamos relembrar algumas deições e coceitos de criptograa, criptossistema RSA e ataques cold-boot e assim formar o ecessário para a compreesão desse algoritmo. Portato este capítulo serve como base para todos os algoritmos e ideias apresetadas ao logo desse documeto e deve ser cosultado assim que alguma dúvida surgir. 2.1 Criptograa e Criptograa de Chave Pública Em grego, kryptós sigica secreto ou oculto e gráphei se refere a escrita, portato podemos deir à criptograa como o estudo dos pricípios e técicas pelas quais a iformação pode ser trasformada da sua forma origial para outra ilegível, de forma que possa ser cohecida apeas por seu destiatário (detetor da chave secreta), o que a tora difícil de ser lida por alguém ão autorizado. Portato, só o receptor da mesagem pode ler a iformação com facilidade [Hoo05]. O método mais simples cosiste em substituir uma letra pela seguite o alfabeto, isto é, trasladar o alfabeto uma casa para diate de forma circular. Uma codicação semelhate a esta foi utilizada por Júlio César am de estabelecer uma comuicação com alguma seguraça com as legiões em combate pela Europa, cado assim cohecida como cifra 1 de César. Além disso, é um dos primeiros métodos de codicação de que se tem otícia. A cifra de César pertece a uma classe de algoritmos cohecidos como algoritmos de chave secreta (ou simétrica). A chave secreta o caso da cifra de César seria o úmero de posições deslocadas em relação ao iício do alfabeto (o caso acima somete uma posição). Observado este método otamos que a chave deve ser previamete combiada etre o emissor e o receptor da mesagem através de um meio sigiloso, além disso, deve ser matida em segredo para evitar que uma pessoa ão autorizada cosiga ler a mesagem Criptograa de Chave Pública A ideia de criptossistemas de chave pública ou assimétricos foi proposto por Die e Hellma em 1976 [DH76]. Em um criptossistema de chave pública cada etidade A tem uma chave pública pk (distribuída a todos) e uma chave secreta correspodete sk (só A cohece este valor). Em criptossistemas seguros, calcular sk dado pk é computacioalmete iviável. A chave pública pk dee um processo de ecriptação E pk, equato a chave secreta está associada a um processo de decifração D sk. Se qualquer etidade B deseja eviar uma mesagem M para A, B deve obter uma cópia da chave pública pk de A e aplicar o processo de ecriptação para obter o criptograma C = E pk (M), e eviá-lo para A. Para decifrar C, A aplica o processo de decifração usado sua chave secreta sk para obter a mesagem origial M = D sk (C). Como cada etidade A tem uma chave pública pk A e esta é distribuída de forma pública o problema de distribuição de chaves ão existe os criptossistemas assimétricos. Além de resolver 1 Criptossistemas elemetares são chamados de cifras 3

20 4 CONCEITOS 2.1 esse problema, a criptograa de chave pública dá solução a outros problemas como: 1. Auteticação de Destio.- Escoder iformações sigilosas das pessoas que cotrolam as lihas de comuicação e os computadores itermediários (provedores, roteadores) garatido que o verdadeiro destiatário seja a úica pessoa que cosiga ler a iformação eviada. 2. Auteticação de Origem.- Evitar que um terceiro falsique a idetidade do emissor eviado iformação para o destiatário, em outras palavras, o destiatário deve ter certeza de que foi o verdadeiro emissor que evio a iformação. 3. Itegridade da Iformação.- Evitar que um terceiro leia e altere a iformação sem ser detectado, em outras palavras, o destiatário sabe se a mesagem foi alterada a liha de comuicação Criptossistema RSA O criptossistema RSA foi ivetado por R.Rivest, A. Shamir e L.Adlema em 1987 [RSA78] e é cosiderado como us dos criptossistemas mais seguros já que ehum ataque cripto-aalítico coseguiu quebrá-lo até hoje (2013). O criptossistema RSA está dividido em três algoritmos os quais são explicados embaixo. Deotaremos o emissor ou remetete da mesagem como Beto e o receptor ou destiatário como Alice. Existe também um terceiro ator mal-itecioado chamado Carlos que deseja ler a iformação eviada a mesagem. 1. Geração de Chaves.- O algoritmo de geração de chaves tem um parâmetro de etrada, o qual idica o úmero de bits (parâmetro de seguraça) de N. Cada usuário Alice deve obter aleatoriamete u úmeros primos r 1, r 2,..., r u 1 e r u de tamaho u bits calculados por algum algoritmo determiístico ou probabilístico para calcular o iteiro N = u r i. A seguir, determiamos um úmero iteiro e co-coprimo a φ(n) = u (r i 1). Esse valor e é cohecido como o expoete de ecriptação (comumete xado com o valor de e = = 65537). A chave pública de Alice é dada por N, e e a chave secreta é dada por N, d (d pode ser calculado com o algoritmo de Euclides-Estedido) ode ambas chaves satisfazem a cogruêcia ed 1 mod φ(n). 2. Ecriptação.- Para Beto eviar uma mesagem X para Alice, ele deve formatar X segudo o padrão PKCS #1 2 [JK03] e obter um iteiro M pertecete ao grupo Z N. Em seguida Beto obtém a chave pública de Alice pk A = N, e e calcula o criptograma C fazedo para depois C ser eviada para Alice. C M e mod N (2.1) 3. Decifração.- Para Alice poder ler a mesagem ecriptada C eviada por Beto, Alice utiliza a sua chave secreta sk A = N, d para calcular M C d mod N. (2.2) A seguir, podemos aplicar o processo iverso da formatação para obter a valor da mesagem origial X a partir de M. Quado temos u = 2 etão o criptossistema é cohecido como RSA básico. Para valores u 3 é chamado de criptossistema RSA multi-primo ou u-primos. 2 Padrão de criptossistemas de chave pública especíco do criptossistema RSA

21 2.1 CRIPTOGRAFIA E CRIPTOGRAFIA DE CHAVE PÚBLICA 5 Exemplo Numérico de um Criptossistema RSA Básico Geração de Chaves: r 1 = 11, r 2 = 5 N = 2 r i = 55 φ(n) = 2 (r i 1) = 40 e = 3 d = e 1 mod φ(n) = 27 Chave pública N, e = 55, 3 Chave secreta N, d = 55, 27 Ecriptação: Decrifração: Para uma mesagem M ode 0 M N 1, este caso M = 4 temos C = M e mod N Algoritmo (2.1) de ecriptação C = 4 3 mod 55 C = 9 M = C d mod N Algoritmo (2.2) de decrifração M = 9 27 mod 55 M = 4 Exemplo Numérico de um Criptossistema RSA 3-primos Geração de Chaves: r 1 = 3, r 2 = 5, r 3 = 7 N = 3 r i = 105 φ(n) = 3 (r i 1) = 48 e = 5 d = e 1 mod φ(n) = 29 Chave pública N, e = 105, 5 Chave secreta N, d = 105, 29 Ecriptação: Decrifração: Para uma mesagem M ode 0 M N 1, este caso M = 4 temos C = M e mod N Algoritmo (2.1) de ecriptação C = 4 5 mod 105 C = 79 M = C d mod N Algoritmo (2.2) de decrifração M = mod 105 M = Método de Quisquater-Couvreur Em 1982 foi proposta uma ova técica de decifração para o criptossistema RSA básico por J-J. Quisquater e C. Couvreur [QC82]. Este método cosegue obter M de C a partir de M 1 = C d mod r 1 e M 2 = C d mod r 2 fazedo uso do TCR (veja o Apêdice A.2.1). No mometo que fazemos o cálculo de M 1 e M 2 podemos reduzir o expoete de decifração d módulo r 1 1 e r 2 1, ou seja,

22 6 CONCEITOS 2.1 agora podemos calcular a mesagem M com a seguite equação M = ((M 1 M 2 )r 1 2 mod r 1 )r 2 + M 2 (2.3) ode d 1 = d (mod r 1 1), d 2 = d (mod r 2 1), M 1 = C d 1 (mod r 1 ), M 2 = C d 2 (mod r 2 ) e r2 1 é r2 1 (mod r 1 ). Como podemos observar, o valor d da chave secreta RSA ão é usada mais, portato, a chave secreta muda a sk = r 1, r 2, d 1, d 2, r2 1. O tempo de execução da Fórmula (2.3) é até 4 vezes mais rápido do que a aplicação de M C d mod N, a partir disso este método cou muito popular. Esse método apresetado por J-J. Quisquater e C. Couvreur foi adaptado para o criptossistema RSA básico e multi-primo devido ao seu meor tempo o processo de decifração com respeito ao Algoritmo (2.2) de decifração. Para o uso do método de Quisquater-Couvreur o criptossistema RSA básico e multi-primo a chave secreta está deida por sk = r 1, r 2, d 1, d 2, r 1 2, r 3, d 3, t 3,.., r u, d u, t u ode as cico primeiras variáveis seguem tedo a mesma deição e as variáveis das triplas estão deidas por d i d (mod r i 1) t i R i 1 (mod r i ) ode R i = i 1 j=1 r j, para 3 i u. O ovo processo para decifrar o criptograma C baseado o método Quisquater-Couvreur está descrito o Algoritmo 1 [JK03]. Algoritmo 1: Decifração-QC Etrada: sk = r 1, r 2, d 1, d 2, r2 1, r 3, d 3, t 3,.., r u, d u, t u, C Saída: M 1 M 1 = C d 1 (mod r 1 ); 2 M 2 = C d 2 (mod r 2 ); 3 para i = 3 até u faça 4 M i = C d i mod r i ; M = ((M 1 M 2 )r2 1 mod r 1 )r 2 + M 2 ; R = r 1 ; para i = 3 até u faça R = R r i 1 ; M = (M i M)t i mod r i )R + M; retora M;

23 2.1 CRIPTOGRAFIA E CRIPTOGRAFIA DE CHAVE PÚBLICA 7 Exemplo Numérico do Método Quisquater-Couvreur para o Criptosistema RSA Básico Geração de Chaves: r 1 = 11, r 2 = 5 N = 2 r i = 55 φ(n) = 2 (r i 1) = 40 e = 3 d = e 1 mod φ(n) = 27 d 1 = d mod (r 1 1) = 27 mod 10 = 7 d 2 = d mod (r 2 1) = 27 mod 4 = 3 r2 1 = r2 1 mod r 1 = 5 1 mod 11 = 9 Chave pública N, e = 55, 3 Chave secreta r 1, r 2, d 1, d 2, r2 1 = 11, 5, 7, 3, 9 Ecriptação: Para uma mesagem M ode 0 M N 1, este caso M = 4 temos C = M e mod N Deição (2.1) de ecriptação C = 4 3 mod 55 C = 9 Decrifração (usado o Algoritmo 1): M 1 = C d 1 mod r 1 M 1 = 9 7 mod 11 M 1 = 4 M 2 = C d 2 mod r 2 M 2 = 27 3 mod 5 M 2 = 4 M = ((M 1 M 2 )r 1 2 mod r 1 )r 2 + M 2 M = ((4 4)9 mod 11) M = 4

24 8 CONCEITOS 2.1 Exemplo Numérico do Método Quisquater-Couvreur para o Criptosistema RSA 3- primos Geração de Chaves: r 1 = 3, r 2 = 5, r 3 = 7 N = 3 r i = 105 φ(n) = 2 (r i 1) = 48 e = 5 d = e 1 mod φ(n) = 29 d 1 = d mod (r 1 1) = 29 mod 2 = 1 d 2 = d mod (r 2 1) = 29 mod 4 = 1 d 3 = d mod (r 3 1) = 29 mod 6 = 5 r2 1 = r2 1 mod r 1 = 5 1 mod 3 = 2 R 3 = r 1 r 2 = 3 5 = 15 t 3 = (R 3 ) 1 mod r 3 = 15 1 mod 7 = 1 Chave pública N, e = 105, 5 Chave secreta p, q, d p, d q, q 1, (r 3, d 3, t 3 ) = 3, 5, 1, 1, 2, 7, 5, 1 Ecriptação: Para uma mesagem M ode 0 M N 1, este caso M = 4 temos C = M e mod N Algoritmo (2.1) de ecriptação C = 4 5 mod 105 C = 79 Decifração (usado o Algoritmo 1): para u = 3 M 1 = C d 1 mod r 1 M 1 = 79 1 mod 3 M 1 = 1 M 2 = C d 2 mod r 2 M 2 = 79 1 mod 5 M 2 = 4 M 3 = C d 3 mod r 3 M 3 = 79 5 mod 7 M 3 = 4 M = ((M 1 M 2 )r 1 2 mod r 1 )r 2 + M 2 M = ((1 4)2 mod 3) M = 4 R = 3 R = r 2 R = 3 5 = 15 M = ((M 3 M)t 1 3 mod r 3 )R + M M = ((4 4)1 mod 7) M = 4

25 2.1 CRIPTOGRAFIA E CRIPTOGRAFIA DE CHAVE PÚBLICA Correção do RSA A seguir para determiar o fucioameto do criptossistema RSA vamos provar que (M e ) d = M mod N, tedo ed = 1 mod φ(n), o qual pode ser expressado como ed = 1 + kφ(n) ode k é um iteiro positivo. A prova para M Z N é descrita a seguir: (M e ) d = M 1+kφ(N) mod N Vamos lembrar pela deição de cogruêcia ed = 1 mod φ(n) é igual a ed = 1 + kφ(n). Cotiuado (M e ) d = (M φ(n) ) k M mod N = M mod N pelo Corolário 1 Provamos que o RSA fucioa para todo M Z N, mas agora devemos provar que o RSA fucioa para todo M Z N. Para isso, devemos provar que (M e ) d = M mod r i para todo 1 i u (já que N = u r i ode r 1, r 2,..., r u são primos distitos), e a seguir resolver o sistema com o TCR. Faremos a prova apeas para r 1 já que o calculo é aálogo a r i para 2 i u. Temos que ed = 1 mod φ(n) e portato ed = 1 + k(r 1 1) u i=2 (r i 1) (veja a Deição 10), portato temos que: (M e ) d = M 1+k(r 1 1) u i=2 (r i 1) = M(M (r 1 1) ) k u i=2 (r i 1) mod r 1 mod r 1 Cosiderado que o mdc(m, r 1 ) = 1, temos pelo teorema de Euler (veja o Teorema 2) que M φ(r 1) 1 mod r 1 (e como r 1 é primo temos que φ(r 1 ) = r 1 1 assim podemos mostrar que: (M e ) d = M(1) k u i=2 (r i 1) mod r 1 = M mod r 1 Da mesma forma podemos provar que (M e ) d = M mod r i para 2 i u. Em outra palavras, sabemos que (M e ) d = M mod r i para 1 i u e pela equação TCR (veja A.6) cocluímos que (M e ) d = M mod N para todo M Z N Seguraça do RSA O RSA como sistema criptográco de chave pública deve cumprir que a recuperação da chave secreta a partir da chave pública tem que ser um problema computacioalmete iviável, ou seja, o cálculo de d deve ser difícil apeas tedo os valores de e e N. A úica maeira para calcular d é aplicado o algoritmo de Euclides-Estedido aos valores e e φ(n), mas para obter o valor de φ(n) precisamos saber os valores dos primos r i (para 1 i u) ou simplesmete fatorar N. Portato, a seguraça do criptossistema RSA está baseada o problema da fatoração de iteiros o qual é computacioalmete iviável para primos grades, mas podemos propor os seguites ataques: 1. Cálculo de φ(n) sem fatorar N 2. Determiação de d sem fatorar N e sem calcular φ(n) 3. Cálculo de um d equivalete a d Como é mostrado em [Ter00], realizar esses ataques é pelo meos tão caro computacioalmete quato o melhor algoritmo para fatorar iteiros cohecido até a data em que este trabalho foi escrito (2013), portato podemos cocluir que o criptossistema RSA é seguro. Sabemos que o algoritmo de fatoração de iteiros mais rápido e geérico é o NFS [Le01], ode seu tempo esperado heurístico para calcular um fator ão-trivial do iteiro N está dado por O(e log 1 3 log 2 3 log ).

26 10 CONCEITOS 2.2 Observar-se que o tempo de execução do NFS só depede do úmero de bits do iteiro N, portato ão depede do valor de u, o qual idica que o tempo de execução é o mesmo para um N = u r i ode u 2. O maior iteiro fatorado pelo algoritmo NFS foi de 232 dígitos (768 bits) realizado em 12 de dezembro do 2009 [Co]. O método de curvas elípticas ECM usado a fatoração pode calcular um fator primo do iteiro N. Seu tempo é meor em comparação ao NFS quado o fator primo a calcular tem um tamaho meor que N. A Complexidade de tempo computacioal do ECM é dada por O(log 2 1 e 2 log 2 u log 1 2 log u ) ode claramete podemos observar que sua complexidade é sub-expoecial ao tamaho do fator primo ( u ) e poliomial com relação a [Le01]. Portato podemos armar que o tempo de execução do ECM é decremetado a cada primo agregado ao módulo N. O maior fator ecotrado pelo ECM foi de 75 dígitos em 2 de agosto de 2012 [Zim]. Como já foi mecioado, a seguraça do criptossistema RSA está baseada o problema da fatoração do iteiro N. E com cada primo acrescetado a seguraça relativa dimiui, portato para mater essa seguraça, a quatidade de fatores primos de N deve ser pequea. Na Tabela 2.1 temos os máximos valores estimados para o valor de u cosiderado que o iteiro N é seguro. Esta iformação foi tomada de [Cor], e foi determiada pela aálise cojuto dos tempos de execução do NFS e ECM. Número de bits de N () Máximo úmero de primos (u) Tabela 2.1: Máximo úmero de primos permitidos em um módulo N (Fote: Compaq Computer Corporatio). 2.2 Public Key Criptography Stadard - PKCS O PKCS é um cojuto de padrões feitos pelos laboratórios RSA 3 (em cosórcio com outras compahias Apple, Microsoft, Su, Lotus, DEC, etc...) que cotém especicações para acelerar a implemetação e desevolvimeto dos algoritmos dos criptossistemas de chave pública [Lab91a]. Neste estudo vamos fazer uma aálise do PKCS #1 (padrão especíco do criptossistema RSA) já que precisamos cohecer algumas especicações que depois serão potos fracos para efetuar o ataque PKCS #1 O PKCS #1 é o primeiro da família de padrões PKCS, ele cotém deições básicas e recomedações para a implemetação do algoritmo RSA, também cotém propriedades matemáticas da chave pública e secreta, as operações para ecriptação de dados, assiatura digital e um esquema criptográco seguro [JK03]. Para este trabalho vamos fazer um estudo do padrão PKCS #1 versão 2.1 efatizado a declaração da chave secreta. Segudo o padrão temos duas represetações: 1. A primeira represetação cosiste o par N, d com os quais podemos aplicar o Algoritmo (2.2) para obter M. 2. A seguda represetação cosiste em uma quítupla r 1, r 2, d 1, d 2, r 2 1 e uma possível sequêcia de triplos r i, d i, t i, i = 3, 4,..., u, uma tripla por cada primo extra que ão está 3 Empresa dedicada à criptograa e ao desevolvimeto de software de seguraça