Quelques propriétés de Rijndael

Dimension: px

Commencer à balayer dès la page:

Download "Quelques propriétés de Rijndael"

Ernest Coutu
il y a 8 ans
Total affichages :

1 Quelques propriétés de Rijndael Marine Minier Laboratoire CITI INSA de Lyon séminaire Verimag - 24 mars 29 1

2 Plan de la présentation Description de l AES et de ses frères Propriété intégrale de l AES Propriétés intégrales des Rijndaels Distingueurs déduits A clés inconnus A clés connus LANE Conclusion séminaire Verimag - 24 mars 29 2

intégrales des Rijndaels Distingueurs déduits A clés

3 L AES et ses frères séminaire Verimag - 24 mars 29 3

4 L AES et Rijndael (1/3) Rijndael, créé par V. Rijmen et J. Daemen, choisi comme AES en octobre 2. Algorithme de chiffrement par blocs utilisant une structure parallèle. K K 1 Texte clair (128, 192, 256 bits) Matrice d octets 4x4, 4x6, 4x8 initial Key addition Byte Sub Shift Row Mix Column Key Addition tour 1 Taille des blocs : 128, 192 ou 256 bits. Longueurs des clés : 128, 192, ou 256 bits. Le nombre de tours varie entre 1 et 14 selon la taille des blocs et la longueur des clés. K 9 Byte Sub Shift Row Mix Column Key Addition tour 9, 11 ou 13 Dernier Byte Sub Shift Row tour K Key Addition 1 Texte chiffré (128, 192, 256 bits) Matrice d octets 4x4, 4x6, 4x8 séminaire Verimag - 24 mars 29 4

256 bits. Longueurs des clés : 128, 192, ou 256 bits. Le nombre de tours varie entre 1 et 14 selon la taille des blocs et la longueur des clés.

5 L AES (2/3) : : La Fonction Étage 1/2 Byte Substitution Shift Row a a 1 a 2 a 3 a 1 a 11 a 12 a 13 a 2 a 21 a 22 a 23 a 3 a 31 a 32 a 33 (8x8 S-box S) a a 1 a 2 a 3 a 1 a 11 a 12 a 13 a 2 a 21 a 22 a 23 a 3 a 31 a 32 a S(a ) S(a 1 ) S(a 1 ) S(a ) S(a 13 ) S(a 12 ) S(a 11 ) S(a 1 ) S(a 23 ) S(a 22 ) S(a 21 ) S(a 2 ) S(a 33 ) S(a 32 ) S(a 31 ) S(a 3 ) a a 1 a 2 a 3 a 11 a 12 a 13 a 1 a 22 a 23 a 2 a 21 a 32 a 3 a 33 a 31 séminaire Verimag - 24 mars 29 5

S(a ) S(a 1 ) S(a 1 ) S(a ) S(a 13 ) S(a 12 ) S(a 11 ) S(a 1 ) S(a 23 ) S(a 22 ) S(a 21 ) S(a 2 ) S(a 33 ) S(a 32 )

6 L AES (3/3) : : La Fonction Étage 2/2 Mix Column Key Addition a a 1 a 2 a 3 a 1 a 11 a 12 a 13 a a 1 a 2 a 3 a 2 a 21 a 22 a 23 a 1 a 11 a 12 a 13 a 3 a 31 a 32 a 33 a 2 a 21 a 22 a 23 a 3 a 31 a 32 a 33 K i (128 bits) b b 1 b 2 b 3 b b 1 b 2 b 3 b 1 b 11 b 12 b 13 b 1 b 2 b 11 b 21 b 12 b 22 b 13 b 23 b 2 b 21 b 22 b 23 b 3 b 31 b 32 b 33 b 3 b 31 b 32 b 33 séminaire Verimag - 24 mars 29 6

32 a 33 K i (128 bits) b b 1 b 2 b 3 b b 1 b 2 b 3 b 1 b 11 b 12 b 13 b 1 b 2 b 11 b 21 b 12 b 22

7 Rijndael : les différences Change : Le nb de tours Les ShiftRows AES (4 col.) Rijndael-16 (5 col.) Rijndael-192 (6 col.) Rijndael-224 (7 col.) Rijndael-256 (8 col.) séminaire Verimag - 24 mars 29 7

8 Principe Général de la Cryptanalyse X [n bits] Étages initiaux Étages intermédiaires f f f f.. K X x = Ψ(X,K X ) x [ n bits] R(x,y ) Distingueur A : recherche d une relation R(x,y ) sur les étages intermédiaires qui ait une probabilité p de se produire aussi éloignée que possible de la probabilité uniforme p* : Étages finaux K r. f y [ n bits] Y K Y y = Φ(Y,K Y ) Pr[A]=Adv(A)= p-p* Test de clés sur (K X, K Y ) séminaire Verimag - 24 mars 29 8

intermédiaires qui ait une probabilité p de se produire aussi éloignée que possible de la probabilité uniforme

9 Propriétés intégrales séminaire Verimag - 24 mars 29 9

10 Propriétés intégrales de l AES (1/2) octet y = 255 autres octets = constants z Y y S(y) Z R z 1 z 2 z 3 S(z ) S(z 1 ) S(z 2 ) S(z 3 ) S s séminaire Verimag - 24 mars 29 1

11 Propriétés intégrales de l AES (2/2) Pour chaque valeurs des 9 octets des sousclés : Tester : 2 32 textes clairs 3 tours Comme avant 4 octets de clé Y Trois étages S( y ) Les bonnes clés passent le test. Attention aux fausses alarmes. Dernier étage sans MixColumn 4 octets de clé 2 32 textes chiffrés séminaire Verimag - 24 mars 29 11

y ) Les bonnes clés passent le test. Attention aux fausses alarmes.

12 Complexité des attaques intégrales Avec l amélioration de Ferguson : Pour 6 tours : Nb clairs = 6*2 32, Complexité = 2 46 Pour 7 tours : Nb clairs = , Complexité = 2 12 séminaire Verimag - 24 mars 29 12

13 Pour Rijndael Le même genre de propriétés Mais en raison de la diffusion plus lente, plus d étages + meilleures extensions séminaire Verimag - 24 mars 29 13

14 Rijndael-256 : 1 ère remarque y Rappel : SR : 1, 2, 4 z z1 Nb tours : 14 (min) z2 z3 z z3 z2 z1 SubBytes ShiftRows z2 z1 a a 1 a 2 a 3 b b 1 b 2 b 3 MixColumns AddKey séminaire Verimag - 24 mars 29 14

15 Rijndael 256 Propriété Intégrale Distingueur sur 4 étages : Saturation de 3 octets => Complexité : 2 24 chiffrements y n p z z1 z2 z3 First round Second round Third round Fourth round séminaire Verimag - 24 mars 29 15

chiffrements y n p z z1 z2 z3 First round Second round

16 Rijndael 224 y p Propriété Intégrale z z1 z2 z3 First round Second round Distingueur sur 4 étages : Saturation de 2 octets => Complexité : 2 16 chiffrements Third round Fourth round séminaire Verimag - 24 mars 29 16

17 Rijndael 192 Propriété Intégrale (1) y z z1 z2 z3 p Distingueur sur 4 étages : Saturation de 2 octets => Complexité : 2 16 chiffrements = 2 = 2 = 1 = 1 séminaire Verimag - 24 mars 29 17

18 Rijndael 192 Propriété y p n Intégrale (2) z z1 z2 z3 Distingueur sur 4 étages : Saturation de 2 octets => Complexité : 2 16 chiffrements = 1 = 1 = 2 = 2 séminaire Verimag - 24 mars 29 18

19 Rijndael 16 Propriété y p n Intégrale z z1 z2 z3 Distingueur sur 4 étages : Saturation de 2 octets => Complexité : 2 16 chiffrements = 2 = 2 = 1 = 1 séminaire Verimag - 24 mars 29 19

20 Distingueurs à clés inconnues séminaire Verimag - 24 mars 29 2

21 Extension de 2 tours à la fin [Ferguson et al. -] : sommes partielles s directement déduit des c i,j À chaque chiffré c, on associe la somme partielle : Utiliser Pour déterminer k k séquentiellement => partage du calcul global en 4 étapes séminaire Verimag - 24 mars 29 21

22 Extension au début : 2 méthodes [Ferguson et al. - ] : un tour au début => Attaque sur 5 tours avec 2 32 plaintexts séminaire Verimag - 24 mars 29 22

23 The herd technique Un tour de plus au début : Naïvement plaintexts (marche, cf Nakhara et al.) Octet particulier x fixé => a herd : ensemble de 2 12 chiffrés de 2 88 structures Test sur un herd. X dépend de (p 4,,p 7 ) et de 4 octets de 4 K 1. En utilisant 2 64 compteurs m y compteurs n z 3. Filtrer les infos sur le key guess séminaire Verimag - 24 mars 29 23

24 Combiner tout cela Attaque sur 2+4+2=8 étages 1. Incrémenter les 64 bits (c,,c 3,p 4,, p 7 ) 2. Devinez les 4 octets de K, calculer x, séparer les compteurs en herds. 3. Choisir un single herd, mettre à jour n z en ajoutant (c,,c 3 ) pour chaque y correct 4. Devinez les 5 octets de K 7 et de K 6 des deux derniers tours pour déchiffrer chaque z en un seul octet. Sommer cet octet sur les 2 32 valeurs de z et regarder pour les. 5. Répéter le dernier point pour chaque valeur des octets de K. => les 4 octets (p 4,, p 7 ) et les 4 octets de K fournissent 4 octets => 2 24 herds plus petits,réduit la recherche exhaustive à plaintexts. séminaire Verimag - 24 mars 29 24

25 Complexité et attaques sur 9 étages Coût total : plaintexts 2 12 chiffrements => ajout d un étage en plus par recherche exhaustive complète de la clé K 9 séminaire Verimag - 24 mars 29 25

26 Résumé des attaques séminaire Verimag - 24 mars 29 26

27 Distingueurs à clés connues séminaire Verimag - 24 mars 29 27

28 [Knudsen Rijmen 7] Notion de distingueur à clés connues Principe, création d un distingueur partant du milieu du chiffrement Puis détermination d une propriété particulière liant les clairs et les chiffrés Comparaison avec la complexité nécessaire pour trouver la même propriété pour une permutation aléatoire Intérêt : cas des chiffrements par blocs utilisés comme fonction de hashage => distingueur séminaire Verimag - 24 mars 29 28

29 Modèle théorique [Africacrypt 9] Avantage des distingueurs [Vaudenay 97]: Adv E (A) Deux cas en plus : non-adaptatif, adaptatif séminaire Verimag - 24 mars 29 29

30 Cas d un distingueur SPRP adaptatif séminaire Verimag - 24 mars 29 3

31 Cas d un distingueur à clés connues séminaire Verimag - 24 mars 29 31

32 Etude de cas : l AES [Knu-Rij 7] Sens descendant Sens Montant = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = = séminaire Verimag - 24 mars 29 32

33 KK distinguisher pour l AES KK distinguisher sur 7 étages 3 dans un sens, 4 dans l autre = = = = = = = = 3 4 = = = = = = = = = = = = = = = = tours tours = = = = = = = = Nécessitant 2 56 middletexts et 2 56 chiffrements Pour une permutation aléatoire => k-sum problem, complexité : 2 58 operations => KK distinguisher pour l AES séminaire Verimag - 24 mars 29 33

34 KK distinguisher pour Rijndael Mêmes types de propriétés dans le sens montant Résumé des KK distinguishers pour Rijndael [Africacrypt 29] : séminaire Verimag - 24 mars 29 34

35 Encore une idée séminaire Verimag - 24 mars 29 35

36 LANE : fonction de hashage soumise à SHA 3 H i = h h 1 = 256 bits M i = m m 1 m 2 m 3 = 512 bits P i = 6 tours AES modifié Q i = 3 tours AES modifié séminaire Verimag - 24 mars 29 36

37 Ce qui rentre dans les P i séminaire Verimag - 24 mars 29 37

38 Les P i et les Q i (LANE 256) Les mêmes opérations que l AES en 256 bits SubBytes, ShiftRows, MixColumns, KeyAdd (with constants) En plus : AddConstants et SwapColumns séminaire Verimag - 24 mars 29 38

39 séminaire Verimag - 24 mars Propriétés intégrales de LANE tours + extension au début : y p n y p n

40 séminaire Verimag - 24 mars 29 4 Propriété intégrale de LANE-256 sens indirect Propriété intégrale sur 3 tours + extension au début : n y p

41 On combine les deux Distingueur en de la moitié de LANE 3 tours 4 tours : vue comme 2^16 ensemble de 2^96 valeurs qui nous arrange. 5 tours : 5 tours Vue comme 2^48 ensemble de 2^64 valeurs qui nous arrange. séminaire Verimag - 24 mars 29 41

42 Pourquoi la moitié? Si h =h 1 =m 2 =m 3 = cte : W = m + m1 m W1 = m m1 W2 = m + m1 m W3 = W4 = m m1 W5 = Alors : Sur messages, un certain nombre de somme Somme = Somme = Somme = Somme = Somme = Somme = valent Somme = séminaire Verimag - 24 mars 29 42

43 Conclusion Les propriétés intégrales sur Rijndael n avait pas été bien étudiées Distingueurs à clés inconnues Distingueurs à clés connues Dernier modèle prometteur et important pour la compétition SHA-3 (cf : LANE) séminaire Verimag - 24 mars 29 43

Documents pareils

Journées MATHRICE "Dijon-Besançon" DIJON 15-17 mars 2011. Projet MySafeKey Authentification par clé USB

Journées MATHRICE Dijon-Besançon DIJON 15-17 mars 2011. Projet MySafeKey Authentification par clé USB Journées MATHRICE "Dijon-Besançon" DIJON 15-17 mars 2011 1/23 Projet MySafeKey Authentification par clé USB Sommaire 2/23 Introduction Authentification au Système d'information Problématiques des mots