ANÁLISE DE STREAM CIPHERS. Daniel Massaki Yamamoto (IC) - yamamoto@h8.ita.br. Tania Nunes Rabello (PQ) - tania@ief.ita.br

Transcrição

1 ANÁLISE DE STREAM CIPHERS Daniel Massaki Yamamoto (IC) - yamamoto@h8.ita.br Tania Nunes Rabello (PQ) - tania@ief.ita.br Instituto Tecnológico de Aeronáutica Divisão de Ensino Fundamental Praça Mal. Eduardo Gomes, nº 50, Vila das Acácias CEP: , São José dos Campos SP RESUMO Esse projeto consiste em um estudo sobre os algoritmos criptográficos de chave simétrica, mais especificamente os denominados Stream Ciphers. Nesta classe de algoritmo, a mensagem é codificada caractere por caractere através de uma seqüência (keystream) gerada, a partir de uma chave inicial, por uma função que varia com o tempo. ABSTRACT This project is a study of the symmetrical-key cryptographic algorithms, more specifically, those known as Stream Cipher. In this class of algorithm, each character of the plain-text is ciphered through the combination with a sequence (keystream) generated from an initial key, by a time-varying function. 1. INTRODUÇÃO Os algoritmos criptográficos de chave simétrica são classificados em block ciphers e stream ciphers. Essa divisão é devido à maneira que cada um atua sobre a mensagem a ser codificada. Apesar de existir uma grande diversidade de algoritmos de stream ciphers, Rueppel [6] desenvolveu uma metodologia bastante abrangente para a análise deles. Esta abordagem é feita baseando-se fortemente na teoria dos LFSR. Estes são o componente básico de vários algoritmos de stream ciphers, devido à sua estrutura linear que permite ser analisada algebricamente e também por serem extremamente eficientes em sua implementação. Foram vistas algumas maneiras de se quantificar a segurança de seqüências a serem usadas como keystream, em função de seu período, propriedades estatísticas e principalmente da sua complexidade linear. 2. STREAM CIPHERS 2.1. One-Time Pad Existe apenas uma forma de criptografia considerada totalmente segura. É o chamado onetime pad, também conhecido como Vernam Cipher. Seu princípio de funcionamento é simplesmente a aplicação da operação OU exclusivo (XOR) na mensagem original com uma seqüência (k i ) de bits gerados independentemente e aleatoriamente, a qual denominamos seqüência-chave (keystream). A decodificação é feita fazendo de novo a operação XOR no texto cifrado com a mesma seqüência-chave. Fig 1 - Princípio do One-time pad

2 Shannon provou que esse sistema é incondicionalmente seguro, ou seja, não é possível encontrar qualquer informação sobre a mensagem original a partir do texto cifrado, mesmo com tempo computacional infinito. Porém o tamanho da chave é o grande problema que dificulta sua utilização, pois ela deve ser da mesma extensão da mensagem, o que o torna basicamente impraticável. A motivação do estudo de stream ciphers é a possibilidade de se utilizar um sistema que possua as características do one-time pad, mas que o tamanho da chave seja aceitável. Para isso, a keystream é substituída por uma seqüência pseudo-aleatória gerada de forma determinística. Como conseqüência, não é mais possível atingir segurança incondicional, apenas computacional. Isto é, supondo que o algoritmo já tenha sido muito bem estudado, o tempo necessário para quebrá-lo utilizando as melhores técnicas é muito maior do que o quanto o adversário possa dispor Stream Cipher e Block Cipher Existe uma classificação dos sistemas criptográficos em stream ciphers e block ciphers. No primeiro, a mensagem é codificada a cada bit ou a cada byte, enquanto no segundo a codificação é feita em blocos. A função de codificação do block cipher depende apenas da chave inicial e atua sobre os blocos sempre da mesma forma. Portanto ele pode ser visto como um simples cifrador de substituição e com isso dizemos que ele não possui memória. Com esse tipo de algoritmo, se um mesmo bloco aparecer em locais diferentes da mensagem, eles corresponderão necessariamente a textos cifrados iguais. Já no stream cipher isso não ocorre, pois a sua função de codificação muda segundo o seu estado interno. Uma vantagem do stream cipher é que ele é normalmente mais rápido que os block ciphers. Além disso, ele é indispensável em aplicações em que há pouca memória de buffer e é necessário processar e enviar os caracteres individualmente. Apesar de existirem estudos teóricos bem aprofundados a respeito dos stream ciphers, atualmente os algoritmos de block cipher constituem a maioria dos protocolos de criptografia bem estabelecidos. Um dos motivos é que muitos dos algoritmos de stream ciphers utilizados são proprietários e não são divulgados. 3. LFSR Como foi visto anteriormente, o estudo de geradores de números aleatórios é de grande interesse para a construção de um Stream Cipher. Especial atenção será dada aos que funcionam pela realimentação por uma recursão linear de grau M definida da seguinte forma: M b = ab, n> M n i n i i= 1 O LFSR (linear-feedback shift register) é a implementação desse gerador usando registradores de deslocamento. O mecanismo mostrado na figura também é conhecido como gerador de Fibonacci. Essa classe de geradores foi escolhida pelo fato de sua estrutura poder ser modelada com a teoria da álgebra de corpos finitos, e também por ser extremamente eficiente quando implementado em hardware. Fig 2. Gerador de Fibonacci. Os coeficientes a i e os termos da seqüência b i pertencem a um mesmo corpo finito GF(q) e a M não é nulo. Para nosso estudo, estaremos interessados no GF(2), já que a implementação é feita usando bits e operações XOR e AND.

3 Um fato a ser observado é que qualquer seqüência periódica pode ser descrita por uma infinidade de recursões lineares. Um exemplo é a recursão bn+ M= bn, n, cujo gerador é denominado LFSR cíclico. Na maioria das vezes, esta não é a recursão de menor grau que gera a seqüência. A partir da teoria da álgebra de corpos finitos, pode-se encontrar o LFSR de menor grau que gera a seqüência. O valor desse grau é definido como a complexidade linear da seqüência, e seu significado será visto mais adiante. É de grande interesse encontrar o LFSR de grau mínimo que gera a seqüência, já que isso significa que ele poderá ser implementado com a menor utilização de memória. Pode-se mostrar que, para resolver este problema, é necessário apenas 2L termos da seqüência, onde L é a sua complexidade linear. Uma solução bastante eficiente é o algoritmo de Berlekamp-Massey [3], que tem complexidade O(n 2 ) em termos de operações aritméticas em GF(q) M-Seqüências Estamos interessados em encontrar LFSR que geram seqüências de período máximo para um certo grau. Um limitante superior para o período da seqüência gerada por ela é 2 n, pois esse é o número de estados internos da LFSR. Como não queremos contar a seqüência nula, o período máximo é 2 n -1. Seqüências que atingem esse período máximo são denominadas m-seqüências. Ao definir o polinômio de conexão do LFSR como A(z) = a 0 z M + a 1 z M a M-1 z + a M, podemos mostrar que a condição necessária para que ele produza uma m-seqüência é que eleseja primitivo. Uma das conseqüências de o LFSR ter período máximo é que ele vai passar por todos os estados não-nulos quando é observado um ciclo completo. Além disso, pode-se provar que a seqüência goza de propriedades estatísticas muito boas. 4. ANÁLISE DA KEYSTREAM Vemos alguns mecanismos para quantificar a imprevisibilidade da keystream Período A geração da keystream é usualmente feita baseando-se no modelo de máquina de estados finitos. Como a sucessão dos estados é feita de forma determinística, onde o estado atual depende apenas do anterior, fatalmente obteremos seqüências periódicas. Se o período da keystream for muito pequeno, uma mesma seqüência será utilizada na cifragem de pedaços diferentes da mensagem. Isso é uma falha grave, pois o sistema estará vulnerável ao ataque known-plaintext. Por isso, desejamos idealmente que uma seqüência possua um período tal que uma parte dela nunca seja usada mais de uma vez na codificação Propriedades Estatísticas Estamos procurando seqüências que simulem um gerador verdadeiramente aleatório, então um requisito é que ele se pareça com uma. Matematicamente, isso quer dizer que elas devem possuir algumas propriedades estatísticas tais como a distribuição uniforme de dígitos. Um critério bastante citado na literatura, por razões históricas, são os postulados de aleatoriedade de Golomb. Segundo ele, uma seqüência binária (s n ) de período N é denominada seqüência-pn (pseudo-noise sequence) se ela satisfizer três condições referentes à distribuição de caracteres, de subseqüências constantes e à sua função auto-correlação. Essa é apenas uma forma de caracterização da aleatoriedade de seqüências. Uma abordagem mais geral é feita por Knuth [1] utilizando o método chi-square, que é uma análise que retorna a probabilidade de uma seqüência ser aleatória segundo alguma propriedade escolhida. Os teste de aleatoriedade garantem apenas que uma seqüência não é aleatória segundo algum critério. Por isso, as seqüências de interesse devem ser submetidas a uma bateria de testes antes de serem usadas na prática. Um conjunto de testes muito recomendado nesta área é o Diehard, proposto por Marsaglia [8]. Outro conjunto bastante completo são os testes usados pela NIST [9] para escolher o novo algoritmo do padrão AES.

4 4.3. Complexidade Linear A maneira mais usada para medir essa imprevisibilidade é baseada na teoria do LFSR. Definimos a complexidade linear de uma seqüência finita ou infinita periódica como sendo o grau da menor recorrência linear que a gera, para algum estado inicial. Essa abordagem é interessante por existir um algoritmo eficiente para calcular a complexidade linear, o algoritmo de Berlekamp-Massey. Pode ser mostrado que uma seqüência periódica escolhida aleatoriamente possui uma complexidade linear esperada muito próxima do seu período. Porém uma alta complexidade linear não é o suficiente para garantir as boas propriedades de uma keystream. Portanto, Rueppel [6] definiu o chamado perfil de complexidade linear de uma seqüência. Com esse conceito, é analisado a forma como a complexidade linear cresce quando se considera os n primeiros termos da seqüência. Foi demonstrado que um perfil típico é aquele que segue de forma aproximada a reta n/2. Complexidade linear Perfil de complexidade linear Seqüência Linha n/ Termos considerados (n) Fig 3. Perfil de complexidade linear típica de uma seqüência aleatória. 5. TEORIA NÃO-LINEAR DE SEQÜÊNCIAS PERIÓDICAS Transformações não-lineares podem ser empregadas para aumentar a imprevisibilidade, ou seja, a complexidade linear de uma seqüência gerada através de um ou mais LFSR. A função não-linear mais simples é a multiplicação binária, que corresponde à operação booleana AND. A partir dela, existe uma forma bastante conveniente de se expressar qualquer função f :{0,1} n {0,1} em termos da multiplicação e soma binária, denominada forma normal algébrica: f( x1, x2,, xn) = a0 + a1x1+ a2x2 + + anxn + ( a12x1x2 + a13x1x3 + + an 1, nxn 1xn) + + a nx1 x2 xn Um produto envolvendo n variáveis é de ordem n e a ordem de uma função na forma normal algébrica é igual à ordem máxima de seus termos. Se essa função é aplicada aos estados internos de uma mesma LFSR, denominamos filtro nãolinear. Outra forma é aplicá-la à saída de LFSR distintas, o que chamamos de combinador não-linear. Fig 4. Modelos de filtro não-linear (esquerda) e combinador não-linear (direita) Para o caso dos filtros não-lineares, pode ser mostrada uma relação intrínseca entre a ordem da função utilizada e a complexidade linear da seqüência resultante. Porém, essa relação não é fácil de se determinar. Rueppel conseguiu garantir uma complexidade linear mínima para uma classe relativamente abrangente de funções não lineares quando é utilizado LFSR de período máximo.

5 Os combinadores não-lineares também podem ser utilizados para obtermos uma seqüência resultante com alta complexidade linear. Uma simples multiplicação de seqüências pode, sob certas condições, multiplicar a complexidade linear das seqüências originais. Para o caso de m-seqüências, a condição necessária é apenas que eles sejam gerados por LFSR de tamanhos distintos. Desta forma, com uma função que na forma algébrica normal possui vários termos, podemos obter uma seqüência com alta complexidade linear. 6. ALGORITMOS DE STREAM CIPHER Foram vistos alguns algoritmos de Stream Ciphers disponíveis ao domínio público. Foi feita apenas uma pequena seleção deles, já que existe uma imensa quantidade de Stream Ciphers propostos A5 O A5 foi o padrão de criptografia utilizado originalmente no sistema GSM de telefonia celular. Ele consiste de 3 LFSR de comprimentos 19, 22 e 23 cujas saídas são multiplicadas para se obter o bit da keystream. Os clocks dos LFSR são controlados pelos bits do meio de cada LFSR. Esse algoritmo é considerado criptograficamente fraco, por causa do curto comprimento dos polinômios de conexão e por seus coeficientes estarem esparsos. Porém, ele é bastante eficiente em hardware e possui boas características estatísticas, sendo que sua idéia pode ser melhorada com uma escolha mais adequada dos LFSR s Shrinking Generator Este esquema emprega dois LFSR s funcionando de forma síncrona. Quando a saída do primeiro é 1, a saída do segundo é utilizada na keystream. Caso contrário, descarta-se as saídas dos LFSR s e passa-se para o próximo ciclo. O algoritmo é bem simples e até o momento, não foi descoberta nenhuma falha de segurança. O problema desse esquema é que não há um fluxo constante de bits na saída do gerador. Uma forma proposta para contornar esse problema é utilizar uma memória de buffer para armazenar alguns bits da saída RC4 O algoritmo RC4 é um algoritmo proprietário da RSA Data Security, Inc e é um dos Stream Ciphers mais utilizados atualmente. Ele foi mantido como um segredo comercial até 1994, quando uma mensagem anônima foi enviada a uma lista de discussão contendo o código-fonte do algoritmo. Desde então, apesar de ainda ser propriedade da RSA Data Security, o algoritmo já foi discutido em vários grupos de estudos de criptografia. O princípio de funcionamento se baseia em uma S-box 16x16 inicializada com uma permutação dos números 0, 1,..., 255, gerada pela chave inicial. Em cada passo é feita uma troca de elementos da S-box e um de seus termos é escolhido para a saída O algoritmo é rápido, sendo fácil de implementar em software. Até agora não foi encontrado nenhum ataque prático ao algoritmo de geração da seqüência pseudo-aleatória, porém a forma que é feita a inicialização da S-box a partir da chave inicial é considerada insegura SEAL O SEAL (Software-optimized Encryption Algorithm) é um algoritmo proposto por Don Coppersmith em 1993, e foi concebido especialmente para implementação em software. Este algoritmo é bastante rápido, gastando em média apenas 5 ciclos de processador por byte gerado. Uma diferença fundamental em relação aos outros Stream Ciphers é que o SEAL é uma família de funções pseudo-aleatórias. Isto é, dado uma chave k de 160 bits, ela expande um número n de 32 bits em uma seqüência k(n) de até 64kbytes bits. A propriedade que se espera obter é que k(n) seja indistinguível (ao menos computacionalmente) em relação a uma função de L bits aleatória.

6 A grande vantagem desse tipo de esquema é que, ao contrário dos Stream Ciphers usuais, é possível obter uma posição qualquer da keystream sem precisar gerar todos os bits anteriores, simplificando o problema de sincronização encontrado nos Stream Ciphers. 7. CONCLUSÃO O objetivo do projeto foi fazer um estudo introdutório aos Stream Ciphers, portanto um número grande de tópicos tiveram que ser abrangidos. Desta forma, houve casos em que não foi possível abordar o tópico com a profundidade ideal. Por outro lado, este projeto pode motivar uma gama de possibilidades para futuros trabalhos. Deve-se observar que o conhecimento de álgebra abstrato é indispensável para a compreensão precisa sobre o assunto. Foi possível observar uma grande quantidade de trabalhos teóricos sobre Stream Ciphers, principalmente os relacionados com o LFSR. Podemos ressaltar a importância da Internet como fonte de pesquisa, principalmente em áreas relacionadas à computação, já que novas descobertas tornam os livros desatualizados muito rapidamente. Apesar de grande parte do material sobre Stream Ciphers estarem baseados nos LFSR, observou-se em algoritmos recentes que têm-se buscado formas alternativas de funcionamento, muitas vezes se aproximando dos métodos utilizados para a elaboração de block ciphers. Os algoritmos mais novos ainda precisam de mais tempo para realmente ser considerados confiáveis. A aplicabilidade desse tipo de algoritmo criptográfico foi vista principalmente em casos onde a eficiência em hardware é essencial. Isso ocorre, por exemplo, no caso da comunicação embarcada. AGRADECIMENTOS Agradecemos o apoio financeiro do CNPq através do Programa Institucional de Bolsas de Iniciação Científica PIBIC. REFERÊNCIAS BIBLIOGRÁFICAS [1] Knuth, D. The Art of Computer Programming, Seminumerical Algorithms, Volume 2, 3rd edition, Addison Wesley, Reading, Massachusetts, [2] Levitt, B.K, Omura, J. K., Scholtz, R.A., Simon, M.K. Spread Spectrum Communications, Computer Science Press, Inc., 1985 [3] Massey, J.L. Shift-Register Synthesis and BCH Decoding, IEEE Trans. Information Theory, 1969, IT-15, 122. [4] Menezes, A. J., Van Oorschot, P. e Vanstone, S. Handbook of applied cryptography. Boca Raton: CRC Press, [5] Robshaw, M.J.B. Stream Ciphers Technical Report TR-701, version 2.0, RSA Laboratories, [6] Rueppel, R. Analysis and Design of Stream Ciphers. Berlin, Heidelberg: Springer-Verlag, [7] Schneier, B. Applied Cryptography Second Edition: protocols, algorithms, and source code in C. John Wiley & Sons, Referências da Internet [8] Marsaglia, G. DIEHARD Statistical Tests [9] NIST, Random Number Generation and Testing