3_Analiz_stoykosti_KS_RShA
.pdf
Физические атаки на КС РША
Атака, основанная на нахождении времени выполнения
определенных операций
Такиеатакипредполагают,чтошифрование/дешифрование выполняютсяваппаратнойформе.Пустьсуществуетнекоторый невскрываемый чипдешифрования(рис. 2).
ЭМИ
Эл. питание |
Нарушитель |
Рис. 2.Дешифрованиеприпомощиневскрываемого чипа
Напомним,чтобыстроевозведениевстепеньсостоитвпоследовательном возведениикриптограммывквадратиумноженияхнакриптограммупо модулюn.
Пример. Рассмотримдешифрованиеприпомощивозведенияв степень:
|
|
|
|
|
|
|
|
|
|
|
|
2 |
|
2 |
|
2 |
|
|
|
|
|
|
|
|
|
|
|||||||
|
|
|
|
|
|
|
|
|
|
|
||||||
|
171 |
|
2 |
2 |
2 |
|
2 |
|
|
|
|
|||||
|
|
|
|
|
|
|
||||||||||
|
|
|
|
|
С |
|
|
|
|
|
|
|
|
|
||
C |
|
|
|
|
C |
|
|
C |
|
|
|
C |
C |
|||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
чтосоответствуетвыполнениюследующихоперацийвозведенияв
|
квадратиумножения:(ККУККУККУКУ) |
|
кв.кв.умнож.кв.кв.умнож.кв.кв.умнож.кв.умнож. |
|
|
Типичното,чтооперацияумножениятребуетбольшевремени,чем возведениевквадрат.Еслизлоумышленникможетопределитьвремя выполненияпоследовательностиоперацийпридешифрованиив легальномчипе,например,контролируяпотреблениеэнергииили излучениявокружающеепространство,тоонможетвосстановитьи последовательностьдействий,аследовательно,исекретныйключd.
(Защитойоттакойатакиможетбытьзашумлениеокружающего пространстваилиисточниковпитанияспециальнымишумовыми генераторамиилинормализациявременивыполнениявсехопераций.)
Атака внешним воздействием.
Этаатакавыполняетсяприпомощирадиационногоили электромагнитногоизлучения.
Внекоторыхслучаяхдлясокращениявременипроизводят вычисления M Cd mod N Cd mod pq
посоставляющиммодуляспоследующимиспользованиемкитайской
теоремыобостатках,т. е.M1 = Cd mod p, M2 = Cd mod q,азатем находятM = (M1 ∙ a + M2 ∙ b) mod n привыполненииусловий:a = 1
mod p и a = 0 mod q ; b = 0 mod p и |
b = 1 mod q .(Время |
вычисленийсокращаетсяв4раза). |
|
Предположим,чтовмоментвычисленияM1 внутричипавсе происходитправильно,апривычисленииM2 возникаетошибка
(скажем,засчетсозданногозлоумышленникомэлектромагнитного
|
|
|
|
d |
M |
|
С |
d |
mod q |
|
импульса).ТогдаM 1 = C mod p , |
2 |
|
,ирезультат |
|||||||
|
|
|
|
|||||||
вычислениясообщениябудетсодержатьошибки,т. е. |
||||||||||
~ |
|
~ |
|
mod n |
|
|
|
|
|
|
M a M |
1 |
b M |
2 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
||
Далеезлоумышленник,знаяM
M M mod p a M1 a M1
и |
~ |
,находит: |
|
M |
|||
0 mod p |
или M M mod p kp |
||
|
~ |
|
~ |
b M 2 |
~ |
|
|
|
|
|
|
||
|
M M mod q b M 2 b M 2 |
M 2 mod q |
0 mod q |
||||||||||
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
Отсюдаследует,чтонахождение |
gcd |
M |
M , n |
gcd |
kp, pq |
p |
||||||
|
|
|
|
|
|
|
|
||||||
|
даетнетривиальнуюфакторизациюn,т. е.егосомножительp, |
|
|||||||||||
|
|
~ |
|
|
|
|
|
|
|
|
|
|
|
|
M M |
делитсянаp,нонеделитсянаq,т. е. |
|
|
|||||||||
|
поскольку |
|
|
|
|||||||||
|
~ |
|
|
|
|
|
|
|
|
|
|
|
|
|
gcd(M M , n) n (еслибыделилось,тоНОД=n ифакторизациибы |
||||||||||||
небыло)
Выбор параметров для КС РША
Какбылоотмеченоранее,правильныйвыборпараметрови режимовработыможетобеспечитьстойкостьКСРШАдлялюбых существующихвычислительныхсредствкриптоанализа.
Приэтомнеобходимообратитьвниманиепреждевсегонавыбор величинымодуляn иегомножителей: 1)уместновыбратьбитовуюдлинуl(n) модуляn более768(адля обеспечениявысокойстойкости l(n) 1024 ); 2)длятогочтобыизбежатьатаксиспользованиемнекоторых специальныхалгоритмовфакторизации,числаp иq должныбыть
примерноодинаковойвеличины,т. е.порядка |
n |
(512битдля |
высокойстойкости),причемихразность (p – q) недолжнабыть малой,посколькутогдаэтуразностьможнобудетнайтиперебороми затемфакторизоватьn.
Иногдарекомендуетсяиспользоватьтакназываемыестрого простые числа p и q, которыеудовлетворяютследующимусловиям:
p – 1 и q – 1 имеютбольшойпростойделительr;
p + 1 иq + 1 имеютбольшойпростойделительx;
r – 1 имеетбольшойпростойделительy.
3)выбормалыхэкспонентшифрованияe (числоe = 3 используетсяна практике,таккакэтотребуетодноговозведениявквадратиодного умножения),вообщеговоря,допустим,нодлязащитыот соответствующейатакинеобходимотогда«подсаливать»сообщения.
Используюттакжеэкспонентушифрованияe = 216 + 1 = 65573,что требует16возведенийвквадратиодногоумножения.Данныйметод, дажебез«подсаливания»сообщений,имеетпреимуществоперед выборомэкспоненты e = 3,посколькуиспользуемаядлямалых экспонентатакабудетэффективной,еслитолькоодно и то же сообщение шифруетсяипосылаетсяодновременно 65537 пользователям(!),что,конечно,маловероятно;
4)припостроенииКСдлягруппыпользователей,использующих шифрыРША,вслучаекогдаименноцентрыраспределенияключей снабжаютихключевымиданными,необходимоизбегать распределенияобщихмодулей.