Η παρουσίαση φορτώνεται. Παρακαλείστε να περιμένετε

Η παρουσίαση φορτώνεται. Παρακαλείστε να περιμένετε

Εισαγωγή στην Κρυπτογραφία Ελλειπτικές Καμπύλες και Κρυπτογραφία (Elliptic Curve Cryptography - ECC)

Παρόμοιες παρουσιάσεις


Παρουσίαση με θέμα: "Εισαγωγή στην Κρυπτογραφία Ελλειπτικές Καμπύλες και Κρυπτογραφία (Elliptic Curve Cryptography - ECC)"— Μεταγράφημα παρουσίασης:

1 Εισαγωγή στην Κρυπτογραφία Ελλειπτικές Καμπύλες και Κρυπτογραφία (Elliptic Curve Cryptography - ECC)

2 2 Γενικά χαρακτηριστικά της Κρυπτογραφίας Ελλειπτικών Καμπυλών Η Κρυπτογραφία Ελλειπτικών Καμπυλών (ECC) στηρίζεται στο ότι δεν υπάρχει γνωστός υπο- εκθετικός αλγόριθμος που να λύνει το πρόβλημα του διακριτού λογαρίθμου σε μια κατάλληλα επιλεγμένη ελλειπτική καμπύλη (ECDLP) Θα παρουσιάσουμε: Επανάληψη Βασικών εννοιών Πεπερασμένων Σωμάτων (Finite Fields) Τον ορισμό των Ελλειπτικών Καμπυλών Πρωτόκολλα κρυπτογραφίας Ελλειπτικών Καμπυλών Παραδείγματα πάνω στις ελλειπτικές καμπύλες

3 3 Αλγεβρική ομάδα (algebraic group)  Mια ομάδα είναι ένα αλγεβρικό σύστημα αποτελούμενο από ένα σύνολο G και μια πράξη  τέτοια ώστε για όλα τα στοιχεία a, b και c στο G ικανοποιούνται οι ακόλουθες συνθήκες:  Κλειστότητα (Closure): a  b πρέπει να ανήκει στο G  Προσεταιριστική ιδιότητα (Associativity): a  (b  c) = (a  b)  c  Ουδέτερο στοιχείο: a  e = e  a = a  Αντίστροφο στοιχείο: a  a' = a'  a = e  Αντιμεταθετικότητα (Commutativity): a  b = b  a (Αβελιανή ομάδα - Abelian Group)  Παραδείγματα:  Πρόσθεση: e = 0, a' = -a  Πολλαπλασιασμός: e = 1, a' = a -1

4 4 Πεπερασμένα Σώματα Finite Fields Ένα πεπερασμένο σώμα (finite field) είναι ένα αλγεβρικό σύστημα που αποτελείται από ένα πεπερασμένο σύνολο F μαζί με δύο δυαδικές πράξεις + και ·, ορισμένες στο F, και ικανοποιεί τα ακόλουθα αξιώματα :  Το F είναι μια αβελιανή ομάδα με την πράξη “+”  Το F είναι μια αβελιανή ομάδα με την πράξη “· ”  Επιμεριστική ιδιότητα Υπάρχει ένα πεπερασμένο σώμα με q στοιχεία πεδίου εάν και μόνο εάν το q είναι δύναμη ενός πρώτου, και για κάθε τέτοιο q υπάρχει ακριβώς ένα πεπερασμένο σώμα. Πεπερασμένο σώμα με q στοιχεία :F q ή GF q Θα ασχοληθούμε με δυο τύπους πεπερασμένων σωμάτων F q που χρησιμοποιούνται στην κρυπτογραφία  F p, p περιττός πρώτος prime finite fields  F 2 m για κάποιο m  1 binary finite fields (χαρακτηριστικό 2)  Λέγονται χαρακτηριστικά πεπερασμένα σώματα (characteristic finite fields).

5 5 Πεπερασμένα σώματα - F p Πολλοί τρόποι αναπαράστασης των στοιχείων του F p. σύνολο από ακεραίους {0, 1, 2, …, p-1} με :  Πρόσθεσηπρόσθεση modulo p  Πολλαπλασιασμόςπολλαπλασιασμός modulo p Βολικό να οριστούν  Αφαίρεσηπροσθετικός αντίστροφος (additive inverse) (αρνητικό στοιχείο)  Διαίρεση πολλαπλασιαστικός αντίστροφος (multiplicative inverse) των στοιχείων του σώματος

6 6 Πολλαπλασιασμός c = ab στο GF a b c  Βρες τα x με x 2 = 5 mod 11 Λύση: x 1 = 4, x 2 = 7 Βρες το 2/8 Λύση: 8/2=4=86 Βρες το 8/2 Λύση: 2/8= 27=3

7 7 Πεπερασμένα σώματα - F 2 m χαρακτηριστικό 2, περιέχει 2 m elements. Πολλοί τρόποι αναπαράστασης των στοιχείων του F 2 m. Δυαδικά πολυώνυμα, βαθμού  m-1 Οι πράξεις πρόσθεσης και πολλαπλασιασμού ορίζονται για την πολυωνυμική αναπαράσταση modulo ανάγωγο πολυώνυμο f(x) (ιrreducible polynomial ) Βολικό και εδώ να οριστούν  Αφαίρεσηπροσθετικός αντίστροφος (additive inverse) (αρνητικό στοιχείο)  Διαίρεση πολλαπλασιαστικός αντίστροφος (multiplicative inverse  m  {113,131,163,193,233,239,283,409,571}

8 8 Πεπερασμένα Σώματα (Galois Fields) (I) Κάθε πεπερασμένο σώμα έχει p n στοιχεία (GF(p n )), όπου p πρώτος αριθμός (η πιο συνηθισμένη περίπτωση: p=2). Σε κάθε σώμα GF(2 n ) υπάρχει τουλάχιστον ένα πολυώνυμο f(x) με συντελεστές στο GF(2) το οποίο έχει τις εξής ιδιότητες:  Είναι ανάγωγο (irreducible)  Ο μικρότερος αριθμός k που έχει την ιδιότητα το f(x) να διαιρεί το x k +1 είναι ο 2 n -1. Τότε το f(x) ονομάζεται πρωταρχικό πολυώνυμο (primitive).

9 9 Πεπερασμένα Σώματα (Galois Fields) (IΙ) Ένα στοιχείο που είναι ρίζα πρωταρχικού πολυωνύμου ονομάζεται πρωταρχικό. Παράδειγμα: στο GF(2 4 ), το πολυώνυμο f(x)=x 4 +x+1 είναι πρωταρχικό. Άρα, αν a το πρωταρχικό στοιχείο, τότε ισχύει a 4 =a+1 Αυτή η σχέση καθορίζει όλα τα στοιχεία του σώματος. Έτσι, a 5 =a · a 4 = a 2 + a κ.ο.κ Με βάση το παραπάνω, όλα τα στοιχεία του σώματος μπορούν να γραφτούν στη μορφή c 0 + c 1 a + c 2 a 2 + c 3 a 3 όπου τα c i, i=0,1,2,3 είναι είτε 0 είτε 1. Η παραπάνω αναπαράσταση λέγεται πολυωνυμική αναπαράσταση. Η τετράδα [c 0 c 1 c 2 c 3 ] συνιστά τη διανυσματική αναπαράσταση του πεδίου.

10 10 Ελλειπτικές καμπύλες Οι ελλειπτικές καμπύλες ορίζονται γενικά πάνω σε σώματα F. Για κρυπτογραφία θεωρούμε ελλειπτικές καμπύλες που ορίζονται πάνω σε πεπερασμένα ή Galois σώματα (F q ή GF q ), δηλ., οι πράξεις είναι mod q Η μορφή της εξίσωσης που ορίζει μια ελλειπτική καμπύλη πάνω στο F q εξαρτάται από το εάν το σώμα είναι prime finite field ή characteristic 2 finite field.

11 11 Ελλειπτικές καμπύλες στο F p Παράδειγμα: y 2 = x 3  4x = x(x 2)(x +2) Συνθήκη για διακριτές ρίζες: 4a b 2  0(mod p) y 2 = x 3 + ax + b a,b  F p Γενική μορφή:

12 12 Ουδέτερο και αντίστροφο στοιχείο Αντίστροφο στοιχείο P' του P=(x,y): P' = (x,-y) Ισοδύναμα: P'(x,-y) = P(x,y) προβάλλεται στον x-άξονα Πρόσθεση σημείου με το αντίστροφό του: P  P' = O (ή  ) είναι το ουδέτερο στοιχείο O(x,  ) στο άπειρο P'P' Ουδέτερο στοιχείο: P  O = P P

13 13 Σημεία P(x,y) σε μια ελλειπτική καμπύλη R = P  Q Όλα τα σημεία P(x,y) ανήκουν στην καμπύλη Λειτουργία: Πρόσθεση Σημείου R'R' R P Q

14 14 Διπλασιασμός σημείου πρόσθεση σημείου στον εαυτό του Διπλασιασμός σημείου: Σχεδίασε την εφαπτομένη στο σημείο P(x,y) R'R' R P R =P  P Το R= Ρ*Ρ γράφεται είτε ως P 2 ή ως 2Ρ

15 15 Επανάληψη σημείου (=Πρόσθεση k-1 φορές στον εαυτό του) ή Scalar multiplication P k = P  P ...  P Eπανάληψη σημείου: P3P3 P2P2 P Επίσης γράφεται και ως kP

16 16 Παράδειγμα 1 ελλειπτικής καμπύλης στο F 11 Παράδειγμα ECC y 2 =x 3 +x+6 / Z 11 Εύρεση Σημείων  Για x=0,1,..,10, υπολογισμός z = x 3 +x+6 mod 11.  Έλεγχος αν το z είναι τετραγωνικό υπόλοιπο z (p-1)/2 mod p = z 5 mod p.  Εάν είναι, υπολογισμός των 2 λύσεων y:  z (p+1)/4 mod p =  z 3 mod p.  Τα σημεία: (2,4),(2,7), (3,5),(3,6), (5,2),(5,9), (7,2),(7,9), (8,3),(8,8), (10,2),(10,9), O.

17 17 Εύρεση ρητών σημείων (2) ,7 (2,4) (2,7) 3 5,6 (3,5) (3,6) ,9 (5,2) (5,9) ,9 (7,2) (7,9) 9 3,8 (8,3) (8,8) ,9 (10,2) (10,9) y 2 y 1,2 P(x,y) P'(x,y) x n =13 σημεία μαζί με το Ο Το n καλείται τάξη (order) της ομάδας της ελλειπτικής καμπύλης και εξαρτάται από την επιλογή των παραμέτρων της καμπύλης a και b. y2 = x3 + x + 6 mod 11

18 18 Παράδειγμα 2 ελλειπτικής καμπύλης στο F p Παράδειγμα EC Ε : y 2 =x 3 +x+1 / Z 23 Τότε #E(F 23 ) = 28, το σύνολο των σημείων E(F 23 ) της E είναι κυκλικό και ένας γεννήτορας του είναι το σημείο Ρ=(0,1). Τα σημεία του E(F 23 ) εκφρασμένα ως πολλαπλάσια του Ρ είναι:

19 19 Ελλειπτικές καμπύλες στο F 2 m y 2 +xy= x 3 + ax + b Γενική μορφή με a,b  F 2 m, b  0 Ουδέτερο στοιχείο: P  O = P Αντίστροφο στοιχείο P' του P= (x, y) : P' = (x,x+y) P*P' = O είναι το ουδέτερο στοιχείο O(x,  ) στο άπειρο πρόσθεση σημείων στο F 2 m διπλασιασμός σημείου: R =P  P s y y x x Q P Q P = + + xs y R R  + s + x P + x Q + a  s(x P +x R ) + x R + y P 2 s yy x Q P P = + xs y R R =+ s + a  x P 2 +(s + 1)x R 2

20 20 Παράδειγμα 1 Ελλειπτικής καμπύλης στο F 2 m Έστω η ελλειπτική καμπύλη Ε : y 2 + xy = x 3 + x στο F 2 3 Το F 2 3 κατασκευάζεται με τη χρήση του ανάγωγου πρωταρχικού πολυωνύμου f(x) = x 3 + x + 1 και της ρίζας α. Τότε #E(F 2 3 ) = 14 και το σύνολο E(F 2 3 ) των σημείων της Ε είναι κυκλικό. Ένας γεννήτορας του E(F 2 3 ) είναι το Ρ = (α,α 5 ) Τα σημεία της Ε εκφρασμένα ως πολλαπλάσια του Ρ είναι τα εξής:

21 21 Παράδειγμα 2 Ελλειπτικής καμπύλης στο F 2 m Έστω η ελλειπτική καμπύλη Ε : y 2 + xy = x 3 + αx 2 + b στο F 2 4 Το F 2 4 κατασκευάζεται με τη χρήση του ανάγωγου πρωταρχικού πολυωνύμου f(x) = x 4 + x + 1 το στοιχείο g=(0010) είναι ένας γεννήτορας του F 2 4 τα στοιχεία του F 2 4 ως δυνάμεις του g είναι : g 0 = (0001) g 1 = (0010) g 2 = (0100) g 3 = (1000) g 4 = (0011) g 5 = (0110) g 6 = (1100) g 7 = (1011) g 8 = (0101) g 9 = (1010) g 10 = (0111) g 11 = (1110) g 12 = (1111) g 13 = (1101) g 14 = (1001) g 15 = (0001) Έστω α= g 4 και b= g 0 = 1 Το σημείο (g 5, g 3 ) ικανοποιεί την εξίσωση στο F 2 4. Πράγματι: y 2 + xy = x 3 + g 4 x  (g 3 ) 2 + g 5 g 3 = (g 5 ) 3 + g 4 g g 6 + g 8 = g 15 + g  (1100) + (0101) = (0001) + (1001) + (0001) Άρα (1001) = (1001) Τότε #E(F 2 4 ) = 16 και τα σημεία είναι τα εξής: (1, g 13 ) (g 3, g 13 ) (g 5, g 11 ) (g 6, g 14 ) (g 9, g 13 ) (g 10, g 8 ) (g 12, g 12 ) (1, g 6 ) (g 3, g 8 ) (g 5, g 3 ) (g 6, g 8 ) (g 9, g 10 ) (g 10, g) (g 12, 0) (0, 1), Ο

22 22 ECDLP – Elliptic Curve Discrete Logarithm Problem ( 2,4) 3 9 ( 5,9) 9 8 ( 8,8) 8 10 (10,9) 2 0 ( 3,5) 1 2 ( 7,2) 4 7 ( 7,9) 1 2 ( 3,6) 2 0 (10,2) 8 10 ( 8,3) 9 8 ( 5,2) 3 9 ( 2,7)  - O  - P k s y k Έστω η ελλειπτική καμπύλη: y 2 = x 3 + x + 6 mod 11 και ένα σημείο P(2,4), τότε θα υπολογίσουμε Q = P k μέσω k-1 επαναλαμβανόμενων προσθέσεων σημείου. Υπάρχουν αρκετοί γρήγοροι αλγόριθμοι Ερώτηση: Πώς υπολογίζεται το k όταν είναι γνωστό το σημείο Q ? Aπάντηση: Αυτό είναι ένα δύσκολο πρόβλημα γνωστό σαν Elliptic Curve Discrete Logarithm Problem Ο αλγόριθμος Pollard-ρ απαιτεί (  πn)/2 ελλειπτικές προσθέσεις.

23 23 Κρυπτογραφία Ελλειπτικών Καμπυλών (ECC)  Όπως πολλά συμβατικά συστήματα κρυπτογραφίας, η ECC βασίζεται στο ανέφικτο του υπολογισμού του διακριτού λογαρίθμου στην πολλαπλασιαστική ομάδα ενός πεπερασμένου σώματος μιας ελλειπτικής καμπύλης.  ΟΡΙΣΜΟΣ: Εάν Ε είναι μια ελλειπτική καμπύλη στο F q, και Β ένα σημείο της Ε, τότε το πρόβλημα του διακριτού αλγορίθμου στην Ε (με βάση το Β) είναι το πρόβλημα, δοθέντος ενός σημείου P  E, να βρεθεί ακέραιος x  Z τέτοιος ώστε xB = P, εάν τέτοιος ακέραιος υπάρχει.  Το ανέφικτο του προβλήματος δεν ισχύει για κάποιες καμπύλες, όπως για τις λεγόμενες supersingular ελλειπτικές καμπύλες κάτω από κάποιες συνθήκες.  Πολλά συμβατικά κρυπτοσυστήματα έχουν τα αντίστοιχά τους βασισμένα σε ελλειπτικές καμπύλες.

24 24 Παράμετροι Κρυπτογραφίας Ελλειπτικών Καμπυλών Περιγράφονται από μια επτάδα T = ( q, FR, a, b, G, n, h ):  q ( q=p ή q=2 m )  FR ένδειξη της μεθόδου αναπαράστασης των στοιχείων του σώματος F q (π.χ., πολυωνυμική, κανονική βάση, κλπ.)  a, b  F q καθορίζουν την εξίσωση της ελλειπτικής καμπύλης E στο F q  G = ( x G, y G ) ένα σημείο βάσης με τη μεγαλύτερη τάξη n ( nG = O )  n μεγάλος πρώτος που είναι η τάξη του G. Το πλήθος των στοιχείων #Ε(F q ) διαιρείται με το n  h μικρός ακέραιος που είναι ο λόγος #Ε(F q ) / n

25 25 Συνθήκες των παραμέτρων για την ασφάλεια της κρυπτογραφίας Ελλειπτικών Καμπυλών Για κάποιες επιθέσεις οι παράμετροι πρέπει να ικανοποιούν κάποιες συνθήκες: #Ε(F q ) πρέπει να έχει ένα επαρκώς μεγάλο πρώτο παράγοντα n για να αντιστέκεται σε παράλληλη επίθεση Pollard-ρ. #Ε(F q )  q για να αντιστέκεται επιθέσεις των Semaev, Smart&Satoh-Araki για ανώμαλες καμπύλες. N να μη διαιρεί το q k - 1 για 1  k  30, για να αντιστέκεται σε MOV επίθεση. Στην περίπτωση του F 2 m, το m πρέπει να είναι πρώτος για να αντιστέκεται σε κάποιες επιθέσεις σε ελλειπτικές καμπύλες στο F 2 m όταν το m είναι σύνθετος.

26 26 Γέννηση του Ζεύγους Κλειδιών Όλα τα κρυπτογραφικά σχήματα δημοσίου κλειδιού χρησιμοποιούν ζεύγη κλειδιών, γνωστά σαν ζεύγη κλειδιών ελλειπτικής καμπύλης. Ένα ζεύγος κλειδιών (d,Q) μιας ελλειπτικής καμπύλης συσχετισμένης με την επτάδα T, περιέχει  ένα ιδιωτικό κλειδί d της ελλειπτικής καμπύλης E, που είναι ένας τυχαίος ακέραιος στο διάστημα [1,n-1] και  ένα δημόσιο κλειδί Q=(x Q,y Q ) της ελλειπτικής καμπύλης που υπολογίζεται ως το σημείο Q=dG

27 27 Έλεγχος του Δημόσιου Κλειδιού από τον παραλήπτη αυτού 1. Έλεγξε ότι Q  Ο. 2. Έλεγξε ότι οι συντεταγμένες του σημείου Q είναι x Q ; y Q  F q. 3. Έλεγξε ότι το Q είναι πάνω στην ελλειπτική καμπύλη. 4. Έλεγξε ότι nQ = Ο (nQ = ndG = dnG = dΟ = Ο, διότι η τάξη του G είναι n). Ο έλεγχος χωρίς αυτό του βήματος 4 καλείται μερικός έλεγχος, διότι τότε υπόκειται σε επίθεση. Όμως προσεκτική επιλογή της παραμέτρου h μειώνει τον κίνδυνο.


Κατέβασμα ppt "Εισαγωγή στην Κρυπτογραφία Ελλειπτικές Καμπύλες και Κρυπτογραφία (Elliptic Curve Cryptography - ECC)"

Παρόμοιες παρουσιάσεις


Διαφημίσεις Google