RSA : Théorie et attaque

Transcription

1 RSA : Théore et attaque La cryptographe, c est à dre l étude des systèmes de chffremet et de sécursato, est ue scece qu évolue vte Nous e voulos pour preuve la multtude de documets datat de cette aée (parus essetellemet das les coféreces Crypto 98, EuroCrypt 98, AusCrypt 98) S elle exste depus la ut des temps (César avat so propre algorthme de cryptage, toutes les dplomates du mode e utlset u), elle a cou u essor fulgurat ces derères aées avec l expaso d Iteret As, certaes dscples mathématques (comme l arthmétque, et e partculer la factorsato des ombres (courbes ellptques, crble algébrque), qu datet de mos de 20 as), ot-elles cou u reouveau par leur utlté das la cryptographe Le but de la présete étude est de motrer la corrélato très étrote qu dot exster etre cryptographe et cryptaalyse, c est à dre la scece de l attaque des systèmes cryptographque Pour ce fare, o étudera le RSA (du om de ses créateurs, Rvet, Shamr, et Adlema) u système cryptographque à clef publque, redu possble par l exstece d ue focto à ses uque I Codage RSA A Théore des ombres Déftos : O ote pgcd ( a, b) le plus grad ombre qu dvse a et b O ote le sous aeau des restes modulo As o a la surjecto caoque de das à qu z assoce z mod O dspose de l algorthme d Euclde qu calcule le pgcd de deux ombres De plus, l esemble des ombres versbles de est { z < / z = 1} et o possède l algorthme d Euclde étedu qu calcule l verse d u ombre versble O ote le cardal de cet esemble Φ() Le pett théorème de Fermat : pour tout b o ul, pour p premer, b p-1 mod p = 1 O a égalemet Φ(p) = p - 1 pour p premer, Φ() = (p-1) (q-1) s p, q premer et = p * q De plus, u théorème des restes chos doe : pour p et q premers etre eux, ϕ : Z x mod Z p Z ( x mod p, x mod q) q est u somorphsme d aeaux Ef, le théorème de Lavallée Pouss doe la raréfacto des ombres premers : la probablté pour que (p tré aléatoremet sot premer) équvaut à 1/log(p) B Applcato : ue focto à trappe Supposos doés p et q premers dstcts O pose = p q, Φ() = (p-1) (q-1) O pred alors c < Φ() tel que pgcd( c, Φ()) = 1 Doc c versble das Φ(), et o ote d so verse, calculé grâce à l algorthme d Euclde étedu : c d = t Φ() + 1 Pour x, o a (x c ) d = x c d = x * (x t ) Φ() O applque le théorème chos aux quattés : a 1 = (x mod p)et a 2 = (x mod q) x covet, doc c est l uque soluto modulo t Φ( ) t ( q 1) p 1 Or x ( x ) x( x ) x (mod p) d après Fermat t( q 1) p 1 x, alors o a be x( x ) 0 x (mod p) E effet, s 0 (mod p) ( 1) x, comme p est u corps, ( x t q ) 0 (mod p) S 0 (mod p) t( q 1) p 1 t( q 1) p 1 Doc d après Fermat, ( x ) 1(mod p), e x( x ) x (mod p) t Φ ( ) t ( p 1) q 1 De même, x ( x ) x( x ) x (mod q) Doc x (x t ) Φ() t Φ ( ) covet auss, d où x ( x ) x (mod ) c d t Φ( ) O a doc ( x ) x ( x ) x (mod ) O a alors trouvé ue focto à trappe, c est à dre ue focto bjectve dot la focto récproque est presque mpossble à trouver à partr de la seule coassace de la focto O peut doc défr u système à clef publque

2 C Mse e place du RSA U système cryptographque à clef publque requère ue focto à trappe : o fourt la focto f, qu servra à crypter, tout e coassat le secret (la trappe) qu permet de calculer f -1, pour décrypter Z Z Z E fat, pour le RSA la focto est f :,et sa récproque est 1 Z f : d e x x (mod ) x x (mod ) As, cocrètemet, Bob chost «aléatoremet» deux ombres premers «forts» p et q, pus l calcule Φ() = (p-1) (q-1) Il chost esute so exposat publc d, qu dot satsfare pgcd(d, Φ()) = 1 pour que d sot versble, et l e calcule l verse par l algorthme d Euclde étedu, qu l ote e = d -1 mod Φ() Il puble esute (d, ), sa clef publque, e gardat jalousemet e secret (c est sa clef secrète) Pour qu o lu evoe des formatos décryptables par lu seul, Alce dot suvre le processus de la fgure 1 D Géérato de ombres premers partculers, mplémetatos Expoetato modulare (programme 1) Pour utlser le RSA, l faut effectuer de ombreux calculs du type x d mod O utlse ue méthode dvser pour réger pour calculer ses quattés très rapdemet af que le RSA sot effcace Test probablste de Mller Rab pour la prmalté d u chffre ( programme 2) Pour mettre e place le RSA, l faut trouver des grads ombres premers, p et q, ( de 100 à 150 chffres de log) Commet les obter? O utlse c u algorthme probablste de Mote Carlo égatf pour la prmalté (doc postf pour la factorsablté), c est à dre que, s l répod qu u ombre est factorsable, ce ombre est factorsable, et s l répod que le ombre est premer, la probablté d erreur est de ε O a doc c qu ue pseudo prmalté (probablste), mas o rétère le test suffsammet de fos pour que la probablté qu u ombre aocé premer le sot de plus de (50 tératos du test de Mller Rab) Note : l exste des algorthmes démotrat de maère détermste la prmalté d u ombre, mas ls demadet ue théore poussée ou ue mplémetato s complquée qu ue erreur du programme a ue probablté d erreur de plus de Sot k et m mpar tels que -1 = 2 k m Sot a eter tel que 1 7 a < O pose b = a m mod S (b mod ) = 1 alors revoyer premer et f Fare k fos S (b mod ) = -1 alors revoe premer et f so b := b² F Fare revoyer décomposable Ue étude motrerat que la probablté d erreur de l algorthme est majorée par 1/4 D où les 50 tératos du test (4-50 = ) Pourquo faut-l des ombres premers partculers, lesquels, commet les obter? Pour préver de la méthode p-1 de pollard et p + 1 de??, l faut que ces ombres admettet au mos u grad facteur premer : c-1 admet u grad facteur premer p 1 s c - 1 mod p 1 = 0, c est à dre c=1 mod p 1 De même c+1 admet u grad facteur premer p 2 s c = -1 mod p 2 O chost doc aléatoremet deux ombres premers p1 et p2 de la talle voulue pour les facteurs premers de c+1 et c-1 O pose R = (p 2-1 mod p1 ) p 2 - (p 1-1 mod p2 ) p 1 O a R mod p 1 = (p 2-1 mod p1 ) p 2 mod p 1 = -1 par défto de l verse De même R mod p 2 = 1 As, o pred R + p 1 p 2, où est tel que ce ombre sot premer de la gradeur voulue Il est à oter que R est uque modulo p 1 p 2 d après le théorème des restes chos

3 II Problème de sécurté A U Protocole de trasmsso : Le PKCS #1 v2 E pratque, o rajoute devat le message à coder (ou les parcelles de message), quelques octets : EM = 02 PS 00 M Où PS est ue sute d octets o uls prs au hasard, de logueur k 3 M et dot être au mos de hut Au total, EM est de logueur k-1, où k est la logueur de e octets Utlté de rajouter le premer octet : Pour tester l tégrté du message : s au décryptage o e trouve pas 02 au départ, c est que le message a pas été trasms correctemet Utlté de PS (Paddg Strg) : S o evoe deux fos le même message, u observateur e pourra pas le savor car EM sera dfféret B Sgature Focto de Hachage : o trodut ue sute de caractères d ue logueur quelcoque et la focto de hachage revoe ue sute de logueur prédéfe De plus, l faut que cette focto satsfasse à l axome de ses uque (oe way) et celu de o collso (collso free), c est à dre que coassat le résultat, l est mpossble de trouver u texte coveat, et qu l est mpossble de trouver deux textes doat le même résultat par cette focto de hachage Elle doe la dgtal fgerprt d u texte, c est à dre so emprete électroque S Bob veut sger u message, l dot suvre le procédé décrt fgure 2 O peut évdemmet cumuler sgature et cryptage (o réalse d abord la sgature, pus o crypte le message) O peut, e outre, pour évter qu u veux message e sot evoyé e fasat crore à ue ouvelle, recourr au «Tmestampg», c est à dre à la datato du message, assurée par u orgasme extéreur e qu tout le mode à coface C Factorsato Preuve de la sûreté de RSA? E fat, o a pas de sûreté théorque pusque pour u texte y chffré, o peut tester a d mod pour a < jusqu à ce que l o trouve y, où a est uque car la focto de chffremet est bjectve La seule sûreté dot o dot se préoccuper est doc la sûreté calculatore, c est à dre vérfer qu l est mpossble de trouver la clef secrète de RSA e u temps coveable (l âge de l uvers par exemple) E fat, c est ecore u problème ouvert La seule chose que l o sat est que casser le RSA est au mos auss facle que de factorser E effet, s o coaît la factorsato de, o e dédut φ() et doc o peut calculer faclemet la clef secrète, verse de la clef publque modulo φ() (de la même maère que Bob a calculé sa clef secrète) Et même e supposat que le cassage de RSA est polyomalemet équvalet à celu de factorser, o e sat pas s l est mpossble de factorser de faço rapde Le melleur algorthme à ce jour peut factorser des ombres de 150 bts, et est e O(exp(192+o(1))(log ) 1/3 (log log ) 2/3 (crble algébrque), mas sa complexté est telle qu o e l exposera pas c (cet algorthme est fodé sur la recherche de x, y tel que x e sot pas cogru à y ou - y modulo, mas que x² sot cogru à y² modulo ) Et re e dt qu l exste pas de melleur algorthme O expose c ue méthode capable de factorser u ombre pourvu qu u de ses facteurs premers p sot tel que p-1 admette que des petts facteurs pussace de ombres premers, c est à dre sot fortemet B-frable, pour B pett ( Pour tout k dvsat (p-1) où premer, k 7 B) C est la méthode p-1 de pollard ( programme 3) Sot B et g < O pose a = (g B! mod ) o pose d = pgcd(a-1,) revoyer d facteur de E effet, d = pgcd(a-1,), doc d dvse Itéressos ous au cas où l exste p dvseur premer de tel que p-1 sot fortemet B-frable S p e dvse pas g, comme (p-1) dvse B!, g B! mod p = 1 par Fermat Or a g B! mod, d où a g B! mod p car p dvse, e a 1 mod p : p dvse (a-1) Or p dvse, doc p dvse pgcd (, a-1) = d : d= k p, k eter k o ul s et seulemet s a-1 o ul As, s p - 1 B-frable et g B! p I {1 + I}, o obtet u facteur o trval

4 Complexté : Pour calculer g B! mod, o réalse g Χ (g mod ) pour de 1 à B Or ces expoetatos modulares sot e O(log ), doc au total O(B log B) Le calcul du pgcd est e O(log ) 3 S l o pred B = 1/2, l algorthme réussra forcémet, mas o aura pas u algorthme polyomalemet équvalet à la réalsato du code: s l o pred u grad ombre, casser le RSA avec cette méthode est expoetellemet plus complqué que réalser la clef et le codage, doc rréalsable e pratque S l o pred B = (log ), o aura u algorthme polyomalemet équvalet à la réalsato du code (qu requère le calcul d u pgcd, doc e O(log ) 3 ), doc utlsable e pratque, mas qu e foctoera que s admet u dvseur p premer tel que p -1 sot B-frable III L attaque de blechebacher de PKCS #1 O explque c ue attaque fodée sur ue falle das le protocole de commucato PKCS #1, ce qu e fat l orgalté Il s agt d ue attaque formatque, réalsable das la pratque, ce qu la dfférete des attaques plus mathématques, s appuyat sur des présupposés dffclemet réalsables das la pratque C est ue attaque adaptatve à texte chffré chos A Descrpto de l attaque O ote k la logueur de e octet D après le protocole PKCS, le ombre à trasmettre est, avat d être crypté, comprs das [2 2 8(k-2) ; 3 2 8(k-2) [ Nous supposos tout d abord e otre possesso u «oracle» qu ous dt s u texte chffré, ue fos décrypté, est PKCS coforme, doc s e partculer so résdu modulo est das [2 B; 3 B 1], où B = 2 8(k-2) E pratque, o evoe le message au serveur et o regarde s l revoe u message d erreur ou o Supposos que l o veulle coaître la sgfcato du message crypté c, c est à dre c e où e est l exposat prvé O otera M u esemble d tervalles de I auquel o sat que (c e mod ) appartet à l étape, et o otera c = ( d c mod ) le «message crypté» que l o va tester à cette étape L dée de l algorthme est que chaque ouvelle acceptato d u message va ous fourr des formatos, doc va permettre de dmuer les tervalles de plus e plus O rétère le test jusqu à ce qu l e reste plus qu ue uque possblté Italsato : O pred c 0 = c, qu satsfat c 0 e est PKCS-coforme S l o veut que le destatare e sache pas quel message o a décodé («bldg»), o peut predre c 0 = 0 d c, où 0 est chost pour que 0 c e sot PKCScoforme O se placera das le premer cas, doc M 0 = [2 B ; 3 B 1] Recherche de message PKCS-coforme : (c e mod ) dot être supéreur à 2 B pour avor des chaces d être PKCS-coforme Or (c e mod ) < 3B, doc dot être supéreur à /3B Tat que M dffèret de {[a,a]}, fare α S M -1 cotet au mos deux tervalles ou = 1, chercher le plus pett eter à partr de max( -1, /3B) tel que c e sot PKCS-coforme (o pred c = c d mod ) O a alors c e mod 0 [2 B; 3 B 1] α So, M -1 = {[a, b]} Chercher (ρ, ) tels que : bε ρ 2 2B + ρ ε b 1 2B 3B + ρ < a et c e sot coforme 2B + r 3B 1+ r aε 3B + 1 bε 2B Réducto : M = [ a, b] [, ], avec r [ a, b] M 1 r ε ε F du Tat que Soluto : (c e mod ) appartet à u tervalle de M = {[a,a]} Doc c e a (mod )

5 B Idée de la preuve de l attaque Motros que, c e 0 M Il exste [a, b] 0 M -1 tel que c e 0 [a, b] Or l exste r tel que 2B (c e -r ) < 3B 2B + r 3B 1+ r c e 0 M = [ a, b] [, ] De plus, s r > (b 2 B)/ ou [ a, b] M 1 r ε ε aε 3B + 1 bε 2B r <(a 3 B +1) /, l tersecto avec [a,b] est vde Doc r c e M Explcato des codtos pour le cas M -1 = {[a, b]} S o trouve pour la coformté, l exste ρ tel que 2B B 2B (c e - ρ ) < 3B Doc écessaremet + ρ ρ ε + < 3 b a bε De plus o mpose 1 2B 2 ρ pour rédure M : Pour tout r (b 2B)/, r 2ρ Doc (3B-1+r )/ b (3B-1+r )/(2B + ρ ) Or B< /256 (B très féreur à ), doc à peu près (3B-1+r )=r et (2B + ρ ) = ρ Doc (3B-1+r )/ b/2 C est à dre M [a,b/2] : o rédut l tervalle de moté au mos Das le cas où M -1 est quelcoque, o pourrat au pre l clure das u tervalle [α,β] et le rédure de moté, d où la termaso de l algorthme C Attaque effectuable e pratque, complexté? La probablté Pr(A) d avor u texte m de logueur < dot le premer octet est 2 est das [2-16 ;2-18 ] (s est u multple de 8, la probablté est la plus basse) La probablté Pr(P/A) qu u texte sot PKCS-coforme sachat A (c est à dre que les 8 premers octets après 2 soet o uls et qu l y e at au mos u ul après) est supéreur à 018 pour k>64 ( de 512 bts) Doc Pr(P), la probablté qu u texte sot PKCS coforme, est das [ ; ] O a doc approxmatvemet 1 = 1/Pr(P) et 2 = 2/Pr(P) Heurstquemet, o arrve à : le ombre d tervalles das M est 1 + /2 (2 B/), majorato décrossate avec Doc e moyee, o a 1 + 1/20 tervalles das M 2, doc sas doute u seul tervalle De même, l y a ecore plus de chace que les autres M sot costtués d u seul tervalle La talle de [2 B + ρ )/ b ; (3 B 1 + ρ )/ a] est supéreur à 1/3 (B-1)/B, doc pour à peu près 3 valeurs de ρ, l tervalle sera o vde (doc l y a suffsammet de pour e trouver u qu covee) Or o a chost pour que A sot réalsé assez faclemet : o a à peu près ue chace sur deux pour que prs das [2 B + ρ )/ b ; (3 B 1 + ρ )/ a] sot das [2 B + ρ )/ c e ; (3 B 1 + ρ )/ c e ] O a doc Pr(P) = Pr(P/A)/2 pour de tels Au total, l faut dmuer 8(k-2) fos l tervalle de M 2 (de talle 2 8 (k-2) ) e deux pour avor u tervalle de talle u, et doc obter le résultat, auquel l faut rajouter le premer découpage Nombre d essas = 3/Pr(P) + 8*(k-2) * 2/ Pr(P/A) Pour de 1024 bts, l faudra 2 20 essas Ef, les expérmetatos réalsées par l équpe de Blechebacher ot motré que sur tros serveurs testés, deux étaet attaquables, et ot été attaqués avec succès Das la pratque, le ombre de textes utlsés état féreur aux 2 20 aocés Cocluso L attaque que l o vet d exposer permet doc de trer des esegemets sur le code RSA : l faut évter le plus possble de doer des formatos à u observateur extéreur (e pas lu dre que so message est pas accepté, ou au mos e pas lu dre que c est parce qu l est pas PKCS-coforme) De plus, l vaut meux utlser u modulo RSA qu at u ombre d octets multple de 8 (de logueurs 1024 bts (300 chffres) par exemple, qu est souvet utlsé das la pratque) Cette attaque llustre doc le fat que la réalsato d u code cryptographque dove être réalsée e collaborato avec des persoes qu essayet de casser ces codes (cryptaalystes), et qu l dot évoluer selo les ouvelles attaques vetées As tout ouveau système cryptographque est exposé sur Iteret sous forme de déf : «arrvez-vous à casser ce code?» O peut auss observer l utlsato de résultats heurstques pour les preuves et les complextés e formatque

6 Bblographe : Cryptographe : Théore et pratque de Robert Stso chez Thomso Research (Traducto Serge Vaudeay) Chose Cphertext Attacks Agast Protocols Based o the RSA Ecrypto Stadard PKCS #1 de Dael Blechebacher (préseté à Crypto 98) Presetato des Tpes 98/99 de l ENSTA Cotacts avec M Guy Chassé de l Ecole des Mes de Nates Cotacts par E-mal avec M Serge Vaudeay du GRECC Utlsatos tesves des stes Iteret : de RSA laboratores (wwwrsacom) Du GRECC (wwwesfr) De polytechque (Page persoelle de FraçosMor@lxfr) Utlsatos d ue preverso de X980 PRIME NUMBER GENERATION AND VALIDATION METHODS de l ANSI (Commtée de stadardsato des Etats-Us)

7 PROGRAMME 1 : Expoetato modulare O écrt d = d d 0 e base 2, c est à dre d d 2 = 0 = l 1 O pose z := 1 Fare pour = l -1 jusqu à 0 z := (z 2 mod ) S c = 1 alors z := (z x mod ) F Fare revoe z PROGRAMME 2 : Test probablste de Mller Sot k et m mpar tels que -1 = 2 k m Sot a eter tel que 1 7 a < O pose b = a m mod S (b mod ) = 1 alors revoyer premer et f Fare k fos S (b mod ) = -1 alors revoe premer et f so b := b² F Fare revoe décomposable Preuve : Le test revoe décomposable s (a m mod ) 1 et ( a 2 mod ) -1 pour tout < k Rasoos par l absurde : supposos premer et que le test revoe décomposable m a 1 a k 2 m 1 (mod ) d après Fermat k k 1 2 Doc ( a 2 1 m 2 m 2 m ) 1 (mod ), d où ( a 1)( a 1) 0 (mod ) Comme premer, est k 1 ± 2 m tègre : a 1 (mod ) Or o sat que cette valeur est dfférete de -1, doc c est 1 O peut doc k a 2 m applquer la même proprété à 2 as, par ue récurrece trvale, l vet 1 (mod ), qu cotredt la quatrème lge de l algorthme Nous avos doc à fare à u algorthme de Mote-Carlo égatf pour la prmalté k 1 + a m PROGRAMME 3 : Méthode p-1 de Pollard Sot B et g < O pose a = (g B! mod ) o pose d = pgcd(a-1,) revoyer d facteur de

8 Alce veut evoyer «793117» à Bob Chez Alce Caal peu sûr Chez Bob Elle va chercher la clef publque de Bob, (547, ) Bob a chost p,q = 1223,1297 qu doe = Il chost l exposat publc = 547, doat l exposat prvé = Il réalse ce calcul par expoetato rapde mod mod Elle réalse ce calcul par expoetato rapde FIGURE 1 Il pred sa clef prvée, (463243) Bob veut sger u message « » qu l evoe à Alce Chez Bob Il calcule la sgature dgtale doée par h h( ) = 2354 Il pred sa clef prvée, (463243) mod Chez Alce Elle réalse ce calcul par expoetato rapde mod vérfcato Elle calcule la sgature dgtale doée par h h( ) = 2354 Alors Alce vérfe que les deux valeurs obteues sot detques Il réalse ce calcul par expoetato rapde Elle va chercher la clef publque de Bob, (547, ) FIGURE 2 Remarque : o pourrat se passer de la focto de hachage, mas alors l faudrat trasmettre le texte eter ue deuxème fos, ce qu serat plus coûteux e temps

9 Ths documet was created wth W2PDF avalable at The uregstered verso of W2PDF s for evaluato or o-commercal use oly