Analyse de PRESENT avec peu de données

Transcription

1 Analyse de PREENT avec peu de données (Un tour de plus dans les attaques meet-in-the-middle) María Naya-Plasencia 1, Bastien Vayssière 2 1:INRIA Rocquencourt 2:PRIM, Université de Versailles 12 octobre 2012

2 Plan 1 Contexte de cryptanalyse 2 Meet-in-the-middle classique 3 Notre amélioration : meet-in-the-middle à travers des boîtes 4 Application au chirement par blocs PREENT 5 Bilan et perspectives

3 Contexte de cryptanalyse Une chirement par bloc sur n bits, avec une clé k. On cherche à retrouver la clé. P P k E k E C C =? C Une attaque générique : la recherche exhaustive de clé Donnée : une paire clair-chiré (P, C) par la clé inconnue. Calcul des chirements de P par toutes les clés possibles. On garde celle(s) qui produisent C. On compare la complexité des attaques aux 2 k chirements de la recherche exhaustive.

4 Meet-in-the-middle classique sur un chirement itératif à r tours Principe : séparer les bits de clé en deux ensemble distincts, intervenant sur deux parties de l'algorithme. P k i k a k b sk 1 sk ra sk ra+1 sk r tour 1 tour r a tour r a + 1 tour r C La première fois en 1977, par Die et Hellmann, sur le DE appliqué en cascade avec 2 clés, puis en 1985 par Chaum et Evertse sur des versions réduites du DE. Variantes utilisées sur l'ae, KTANTAN, XTEA, etc. et sur des fonctions de hachage pour la recherche de préimage.

5 Meet-in-the-middle classique : complexité Complexité Temps : 2 k i (2 ka + 2 k b ) chirements partiels. Mémoire : k a 2 ka bits Rapport complexité en temps recherche exhaustive / MITM : 2 ka + k b 2 ka + 2 k b

6 Meet-in-the-middle avec correspondance partielle Calcul d'une partie v du chirement/déchirement au milieu. P ka sk 1 sk ra ki kb sk ra+1 sk r C Complexité On récupère la clé en : 2 k i (2 ka + 2 k b ) chirements partiels + 2 k v chirements de clés restantes, en moyenne.

7 Meet-in-the-middle à travers des boîtes Considérons un tour de chirement contenant des boîtes de taille m. sk i tour i Jusqu'ici : calcul d'une partie des bits au milieu Amélioration : calcul d'une partie de l'entrée et la sortie de

8 Meet-in-the-middle à travers des boîtes On calcule n in bits en entrée, n out bits en sortie d'une boîte. n in n out Recherche de transition possible Probabilité p qu'il existe une transition à travers avec les valeurs des bits calculés? Pour n in bits xés, il y a au plus 2 m n in valeurs distinctes des nout bits possibles. D'où : p 2m n in 1 = 2 nout 2 n in +nout m Pour éliminer des mauvaises clés, il sut d'avoir p < 1, c'est à dire : n in + n out > m

9 Meet-in-the-middle à travers des boîtes On fait le même raisonnement sur un sous-ensemble de l boîtes. Avec P, pour chaque valeur de (k a, k i ) on calcule N in bits en entrée parmi lm. Avec C, pour chaque valeur de (k b, k i ) on calcule N out bits en sortie. Probabilité du crible La probabilité qu'une transition soit possible au milieu est majorée par : 1 2 N in +Nout lm Pour éliminer des mauvaises clés, il sut d'avoir : N in + N out > lm

10 Meet-in-the-middle à travers des boîtes P sk1 k a sk ra k i k b sk ra+1 sk r C On applique le crible sur l boîtes d'un tour au milieu, à la place de la recherche de collisions. 2 On sélectionne en moyenne au plus k 2 N in +N out lm clés.

11 Meet-in-the-middle à travers des boîtes Complexité 2 k i (2 ka + 2 k b ) chirements partiels + en moyenne 2 k 2 N in +N out lm chirements (dans le pire cas de boîtes ) Ce qui change par rapport aux meet-in-the-middle précédents : 1 la "fusion" au milieu sélection d'une fraction 2 N in +N out lm des clés au lieu de. 2 v Mais cela peut nous permettre de gagner un tour exemple d'application sur le chirement par blocs PREENT.

12 Le chirement par blocs PREENT : fonction de tour Chirement par blocs sur n = 64 bits, avec une clé de 80 ou 128 bits. Proposé par Bogdanov et al. en bits sk i Figure: Représentation du tour i de PREENT itérations d'un réseau de substitution-permutation, et un xor nal avec une sous-clé.

13 Le chirement par blocs PREENT : key scheduling 80 bits sk i >>> 19 i sk i+1 Figure: Représentation du tour i du key scheduling de PREENT bits sk i sk i+1 <<< 61 i Figure: Représentation du tour i du key scheduling de PREENT-128

14 Le chirement par blocs PREENT : cryptanalyses tours taille de clé technique données auteurs integral [Reza Z'aba et al. 2008] dierential 2 64 [Wang 2008] related keys 2 63 [Özen et al. 2009] multiple dierential 2 64 [Blondeau, Gérard 2011] multiple dierential 2 64 [Blondeau, Gérard 2011] algebraic dierential 2 62 [Albrecht, Cid 2009] linear [Ohkuma 2009] statistical saturation 2 57 [Collard, tandaert 2010] linear 2 64 [Nakahara et al. 2009] multiple linear 2 64 [Cho 2010] Table: Complexité en données des cryptanalyses de versions réduites de PREENT ur PREENT-80, > 2 57 paires clair-chiré. ur PREENT-128, > paires clair-chiré. Question Comme Bouillaguet, Derbez l'ont fait pour l'ae, on peut se demander : Avec peu de données, combien de tours de PREENT peut-on casser?

15 Correspondance à travers des boîtes de PREENT Appliquons l'amélioration du meet-in-the-middle sur PREENT. PREENT-80 et PREENT-128 comportent une couche de boîtes identiques de taille m = 4. x A B C D E F [x] C 5 6 B 9 0 A D 3 E F Table: Representation hexadécimale de la fonction non-linéaire de la boîte On va utiliser la probabilité d'une transition à travers entre : 3 bits de poids faibles en entrée 2 bits de poids faibles en sortie d'une boîte de PREENT. ur l boîtes on a N in + N out l m = 3l + 2l 4l = l, donc la probabilité qu'une transition soit possible est : p 1 2 l Le crible permet de sélectionner en moyenne p 2 k 2 80 l clés potentielles, dont la bonne.

16 Correspondance à travers des boîtes de PREENT x 3x 2x 1x 0 (x) 3(x) 2(x) 1(x) x 2x 1x 0 y 1y valeurs des bits x 2, x 1, x 0, y 1, y 0, parmi 32 au total, ont une transition possible par la boîte de PREENT

17 Correspondance à travers des boîtes de PREENT On calcule les mêmes 5 bits en entrée/sortie de l boîtes parmi les l transitions possibles tandis que l'espace des bits calculés est de taille (2 5 ) l. La probabilité qu'une transition soit possible au milieu est alors : p = 16l 2 5l = 1 2 l Pour ce choix de bits, la boîte de PREENT atteint la majoration générique donnée précédemment.

18 Application à PREENT-80 : description Calcul de 3 bits en sortie de 6 boîtes à partir du chiré de la paire donnée, et d'une partie des bits de clé testés. sbox perm 1 sk sbox 1 #5 perm 1 sk sbox 1 #6 perm 1 sk sbox 1 #7 perm 1 sk C

19 Application à PREENT-80 : description Calcul de 2 bits en entrée de 6 boîtes à partir du clair de la paire donnée, et d'une autre partie des bits de clé testés. sk1 P sbox perm #1 sk sbox perm #2 sk sbox perm #3 sk #4 sbox

20 Application à PREENT : résultats Répartition des bits de clé : 65 bits communs, 6 bits pour la partie haute, 9 bits pour la partie basse. Complexité Mémoire : table de 2 9 valeurs de 6 2 = 12 bits < 2 13 bits. Temps : 2 65 ( ) chirements partiels + en moyenne 2 74 chirements de 7 tours Au total : l'équivalent de moins de 2 75 chirements. Implémentation Implémentation de la partie essentielle de l'attaque en xant 48 bits communs et en retrouvant les 32 bits restants. On a obtenu autour de = 2 27 chirements. Résultats cohérents avec les complexités données. Pour PREENT-128 Avec la même méthode, on a obtenu une attaque en chirements sur 9 tours de PREENT-128, avec un crible sur la première boîte.

21 Application à PREENT : jusqu'où peut-on aller? nombre de tours longueur de clé paires chirements mémoire Table: Complexité des attaques obtenues sur 7 et 9 tours Nombre de tours maximal? Il faut pouvoir partiellement chirer à partir de P / déchirer à partir de C jusqu'au milieu sans utiliser tous les bits de clé. 1 ans xer tous les bits de clé, pour combien de tours peut-on chirer/déchirer en choisissant tous les bits de toutes les sous-clés? 2 Une fois qu'il manque un bit de sous-clé, de combien de tours peut-on encore connaître des bits en sortie?

22 Application à PREENT : jusqu'où peut-on aller? Nombre de tours de chirements partiellement faisables malgré un bit de sous-clé inconnu : x a = 2 sk i 64 bits sk i+1

23 Application à PREENT : jusqu'où peut-on aller? Nombre de tours de déchirement partiellement faisables malgré un bit de sous-clé inconnu : x b = 2 sk i 64 bits sk i+1

24 Application à PREENT : jusqu'où peut-on aller? Une borne supérieure sur les sous-clé successives calculables sans tous les bits de clé : N 80 = bits sk i >>> 19 i sk i+1 On a donc une borne supérieure sur le nombre de tours sur PREENT-80 : 2N 80 + x a + x b + 1 = = 7 On a atteint cette borne supérieure avec notre attaque.

25 Application à PREENT : jusqu'où peut-on aller? Une borne supérieure sur les sous-clé successives calculables sans tous les bits de clé : N 128 = bits sk i <<< 61 sk i+1 sk i+2 i <<< 61 i Borne supérieure sur le nombre de tours attaquable de PREENT-128 : 2N x a + x b + 1 = = 9 On a atteint cette borne supérieure.

26 Application à PREENT : jusqu'où peut-on aller? On a atteint des bornes supérieures sur le nombre de tours de PREENT-80/128 attaquable avec un meet-in-the-middle, par notre amélioration. En la combinant avec la méthode des bicliques proposée par Khovratovitch, Rechberger, avelieva en 2011, on gagne encore encore un tour.

27 Bilan et perspectives Ce qu'on a fait Amélioration générique des meet-in-the-middle : "meet-through-an-box" Travail en cours, avec Anne Canteaut Que se passe-t-il lorsque le nombre de bits contrôlés est plus petit que la taille des entrées? Avec des boîtes non-bijectives? Autres exemples d'application?

28 Merci de votre attention!