Εισαγωγή στην Κρυπτογραφία Ελλειπτικές Καμπύλες και Κρυπτογραφία (Elliptic Curve Cryptography - ECC)

Γενικά χαρακτηριστικά της Κρυπτογραφίας Ελλειπτικών Καμπυλών Η Κρυπτογραφία Ελλειπτικών Καμπυλών (ECC) στηρίζεται στο ότι δεν υπάρχει γνωστός υπο-εκθετικός αλγόριθμος που να λύνει το πρόβλημα του διακριτού λογαρίθμου σε μια κατάλληλα επιλεγμένη ελλειπτική καμπύλη (ECDLP) Θα παρουσιάσουμε: Επανάληψη Βασικών εννοιών Πεπερασμένων Σωμάτων (Finite Fields) Τον ορισμό των Ελλειπτικών Καμπυλών Πρωτόκολλα κρυπτογραφίας Ελλειπτικών Καμπυλών Παραδείγματα πάνω στις ελλειπτικές καμπύλες

Αλγεβρική ομάδα (algebraic group) Mια ομάδα είναι ένα αλγεβρικό σύστημα αποτελούμενο από ένα σύνολο G και μια πράξη  τέτοια ώστε για όλα τα στοιχεία a, b και c στο G ικανοποιούνται οι ακόλουθες συνθήκες: Κλειστότητα (Closure): a  b πρέπει να ανήκει στο G Προσεταιριστική ιδιότητα (Associativity): a  (b  c) = (a  b)  c Ουδέτερο στοιχείο: a  e = e  a = a Αντίστροφο στοιχείο: a  a' = a'  a = e Αντιμεταθετικότητα (Commutativity): a  b = b  a (Αβελιανή ομάδα - Abelian Group) Παραδείγματα: Πρόσθεση: <R, +> e = 0 , a' = -a Πολλαπλασιασμός: <R-{0}, · > e = 1 , a' = a-1

Πεπερασμένα Σώματα Finite Fields Ένα πεπερασμένο σώμα (finite field) είναι ένα αλγεβρικό σύστημα που αποτελείται από ένα πεπερασμένο σύνολο F μαζί με δύο δυαδικές πράξεις + και · , ορισμένες στο F, και ικανοποιεί τα ακόλουθα αξιώματα : Το F είναι μια αβελιανή ομάδα με την πράξη “+” Το F είναι μια αβελιανή ομάδα με την πράξη “· ” Επιμεριστική ιδιότητα Υπάρχει ένα πεπερασμένο σώμα με q στοιχεία πεδίου εάν και μόνο εάν το q είναι δύναμη ενός πρώτου, και για κάθε τέτοιο q υπάρχει ακριβώς ένα πεπερασμένο σώμα. Πεπερασμένο σώμα με q στοιχεία :Fq ή GFq Θα ασχοληθούμε με δυο τύπους πεπερασμένων σωμάτων Fq που χρησιμοποιούνται στην κρυπτογραφία Fp, p περιττός πρώτος prime finite fields F2m για κάποιο m  1 binary finite fields (χαρακτηριστικό 2) Λέγονται χαρακτηριστικά πεπερασμένα σώματα (characteristic finite fields).

Πεπερασμένα σώματα - Fp Πρόσθεση πρόσθεση modulo p Πολλαπλασιασμός πολλαπλασιασμός modulo p Βολικό να οριστούν Αφαίρεση προσθετικός αντίστροφος (additive inverse) (αρνητικό στοιχείο) Διαίρεση πολλαπλασιαστικός αντίστροφος (multiplicative inverse) των στοιχείων του σώματος

Πολλαπλασιασμός c = ab στο GF11 0 0 0 0 0 0 0 0 0 0 0 0 1 2 3 4 5 6 7 8 9 10 0 2 4 6 8 10 1 3 5 7 9 0 3 6 9 1 4 7 10 2 5 8 0 4 8 1 5 9 2 6 10 4 7 0 5 10 4 9 3 8 2 7 1 6 0 6 1 7 2 8 3 9 4 10 5 0 7 3 10 6 2 9 5 1 8 4 0 8 5 2 10 7 4 1 9 6 3 0 9 7 5 3 1 10 8 6 4 2 0 10 9 8 7 6 5 4 3 2 1 1 2 3 4 5 6 7 8 9 10 a b c  Βρες τα x με x2 = 5 mod 11 Λύση: x1 = 4, x2 = 7 Βρες το 8/2 Λύση: 8/2=4=8•6 Βρες το 2/8 Λύση: 2/8= 2•7=3

Πεπερασμένα σώματα - F2m χαρακτηριστικό 2, περιέχει 2m elements. Πολλοί τρόποι αναπαράστασης των στοιχείων του F2m. Δυαδικά πολυώνυμα, βαθμού  m-1 Οι πράξεις πρόσθεσης και πολλαπλασιασμού ορίζονται για την πολυωνυμική αναπαράσταση modulo ανάγωγο πολυώνυμο f(x) (ιrreducible polynomial ) Βολικό και εδώ να οριστούν Αφαίρεση προσθετικός αντίστροφος (additive inverse) (αρνητικό στοιχείο) Διαίρεση πολλαπλασιαστικός αντίστροφος (multiplicative inverse m  {113,131,163,193,233,239,283,409,571}

Πεπερασμένα Σώματα (Galois Fields) (I) Κάθε πεπερασμένο σώμα έχει pn στοιχεία (GF(pn)), όπου p πρώτος αριθμός (η πιο συνηθισμένη περίπτωση: p=2). Σε κάθε σώμα GF(2n) υπάρχει τουλάχιστον ένα πολυώνυμο f(x) με συντελεστές στο GF(2) το οποίο έχει τις εξής ιδιότητες: Είναι ανάγωγο (irreducible) Ο μικρότερος αριθμός k που έχει την ιδιότητα το f(x) να διαιρεί το xk+1 είναι ο 2n-1. Τότε το f(x) ονομάζεται πρωταρχικό πολυώνυμο (primitive).

Πεπερασμένα Σώματα (Galois Fields) (IΙ) Ένα στοιχείο που είναι ρίζα πρωταρχικού πολυωνύμου ονομάζεται πρωταρχικό. Παράδειγμα: στο GF(24), το πολυώνυμο f(x)=x4+x+1 είναι πρωταρχικό. Άρα, αν a το πρωταρχικό στοιχείο, τότε ισχύει a4=a+1 Αυτή η σχέση καθορίζει όλα τα στοιχεία του σώματος. Έτσι, a5=a · a4 = a2 + a κ.ο.κ Με βάση το παραπάνω, όλα τα στοιχεία του σώματος μπορούν να γραφτούν στη μορφή c0 + c1a + c2a2 + c3a3 όπου τα ci, i=0,1,2,3 είναι είτε 0 είτε 1. Η παραπάνω αναπαράσταση λέγεται πολυωνυμική αναπαράσταση. Η τετράδα [c0c1c2c3] συνιστά τη διανυσματική αναπαράσταση του πεδίου.

Ελλειπτικές καμπύλες Οι ελλειπτικές καμπύλες ορίζονται γενικά πάνω σε σώματα F. Για κρυπτογραφία θεωρούμε ελλειπτικές καμπύλες που ορίζονται πάνω σε πεπερασμένα ή Galois σώματα (Fq ή GFq), δηλ., οι πράξεις είναι mod q Η μορφή της εξίσωσης που ορίζει μια ελλειπτική καμπύλη πάνω στο Fq εξαρτάται από το εάν το σώμα είναι prime finite field ή characteristic 2 finite field.

Ελλειπτικές καμπύλες στο Fp Γενική μορφή: y2 = x3 + ax + b a,b  Fp Συνθήκη για διακριτές ρίζες: 4a3 + 27b2  0(mod p) Παράδειγμα: y2 = x3  4x = x(x 2)(x +2)

Ουδέτερο και αντίστροφο στοιχείο P' Αντίστροφο στοιχείο P' του P=(x,y): P' = (x,-y) Ισοδύναμα: P'(x,-y) = P(x,y) προβάλλεται στον x-άξονα P Πρόσθεση σημείου με το αντίστροφό του: P  P' = O (ή ) είναι το ουδέτερο στοιχείο O(x,) στο άπειρο Ουδέτερο στοιχείο: P  O = P

Σημεία P(x,y) σε μια ελλειπτική καμπύλη R' Λειτουργία: Πρόσθεση Σημείου R P Q R = P  Q

Διπλασιασμός σημείου πρόσθεση σημείου στον εαυτό του Διπλασιασμός σημείου πρόσθεση σημείου στον εαυτό του R =P  P R R' P Διπλασιασμός σημείου: Σχεδίασε την εφαπτομένη στο σημείο P(x,y) Το R= Ρ*Ρ γράφεται είτε ως P2 ή ως 2Ρ

Επανάληψη σημείου (=Πρόσθεση k-1 φορές στον εαυτό του) ή Scalar multiplication Eπανάληψη σημείου: P Pk = P  P  ...  P Επίσης γράφεται και ως kP

Παράδειγμα 1 ελλειπτικής καμπύλης στο F11 Παράδειγμα ECC y2=x3 +x+6 / Z11 Εύρεση Σημείων Για x=0,1,..,10, υπολογισμός z = x3 +x+6 mod 11. Έλεγχος αν το z είναι τετραγωνικό υπόλοιπο z(p-1)/2 mod p = z5 mod p. Εάν είναι , υπολογισμός των 2 λύσεων y:  z(p+1)/4 mod p =  z3 mod p. Τα σημεία: (2,4),(2,7), (3,5),(3,6), (5,2),(5,9), (7,2),(7,9), (8,3),(8,8), (10,2),(10,9), O.

Εύρεση ρητών σημείων (2) 6 - 8 - 5 4,7 (2,4) (2,7) 3 5,6 (3,5) (3,6) 4 2,9 (5,2) (5,9) 4 2,9 (7,2) (7,9) 9 3,8 (8,3) (8,8) 7 - 4 2,9 (10,2) (10,9) y2 y1,2 P(x,y) P'(x,y) 1 2 3 4 5 6 7 8 9 10 x y2 = x3 + x + 6 mod 11 n=13 σημεία μαζί με το Ο Το n καλείται τάξη (order) της ομάδας της ελλειπτικής καμπύλης και εξαρτάται από την επιλογή των παραμέτρων της καμπύλης a και b.

Παράδειγμα 2 ελλειπτικής καμπύλης στο Fp Παράδειγμα EC Ε: y2=x3 +x+1 / Z23 Τότε #E(F23 ) = 28, το σύνολο των σημείων E(F23 ) της E είναι κυκλικό και ένας γεννήτορας του είναι το σημείο Ρ=(0,1). Τα σημεία του E(F23 ) εκφρασμένα ως πολλαπλάσια του Ρ είναι:

Ελλειπτικές καμπύλες στο F2m Γενική μορφή με a,b  F2m , b  0 Ουδέτερο στοιχείο: P  O = P Αντίστροφο στοιχείο P' του P= (x, y) : P' = (x,x+y) P*P' = O είναι το ουδέτερο στοιχείο O(x,) στο άπειρο πρόσθεση σημείων στο F2m διπλασιασμός σημείου: R =P  P y2+xy= x3 + ax + b s y x Q P = + x s y R = + s + xP + xQ+ a = s(xP+xR) + xR + yP 2 x s y R = + s + a = xP2+(s + 1)xR 2 s y x Q P = +

Παράδειγμα 1 Ελλειπτικής καμπύλης στο F2m Έστω η ελλειπτική καμπύλη Ε: y2 + xy = x3 + x2 + 1 στο F23 Το F23 κατασκευάζεται με τη χρήση του ανάγωγου πρωταρχικού πολυωνύμου f(x) = x3 + x + 1 και της ρίζας α. Τότε #E(F23 ) = 14 και το σύνολο E(F23 ) των σημείων της Ε είναι κυκλικό. Ένας γεννήτορας του E(F23 ) είναι το Ρ = (α,α5) Τα σημεία της Ε εκφρασμένα ως πολλαπλάσια του Ρ είναι τα εξής:

Παράδειγμα 2 Ελλειπτικής καμπύλης στο F2m Έστω η ελλειπτική καμπύλη Ε: y2 + xy = x3 + αx2 + b στο F24 Το F24 κατασκευάζεται με τη χρήση του ανάγωγου πρωταρχικού πολυωνύμου f(x) = x4 + x + 1 το στοιχείο g=(0010) είναι ένας γεννήτορας του F24 τα στοιχεία του F24 ως δυνάμεις του g είναι: g0 = (0001) g1 = (0010) g2 = (0100) g3 = (1000) g4 = (0011) g5 = (0110) g6 = (1100) g7 = (1011) g8 = (0101) g9 = (1010) g10 = (0111) g11 = (1110) g12 = (1111) g13 = (1101) g14 = (1001) g15 = (0001) Έστω α= g4 και b= g0 = 1 Το σημείο (g5, g3) ικανοποιεί την εξίσωση στο F24. Πράγματι: y2 + xy = x3 + g4x2 + 1  (g3)2 + g5g3 = (g5)3 + g4g10 + 1 g6 + g8 = g15 + g14 + 1  (1100) + (0101) = (0001) + (1001) + (0001) Άρα (1001) = (1001) Τότε #E(F24 ) = 16 και τα σημεία είναι τα εξής: (1, g13) (g3, g13) (g5, g11) (g6, g14) (g9, g13) (g10, g8) (g12, g12) (1, g6) (g3, g8) (g5, g3) (g6, g8) (g9, g10) (g10, g) (g12, 0) (0, 1), Ο

ECDLP – Elliptic Curve Discrete Logarithm Problem ( 2,4) 3 9 ( 5,9) 9 8 ( 8,8) 8 10 (10,9) 2 0 ( 3,5) 1 2 ( 7,2) 4 7 ( 7,9) 1 2 ( 3,6) 2 0 (10,2) 8 10 ( 8,3) 9 8 ( 5,2) 3 9 ( 2,7)  - O  - Pk s y0 1 2 3 4 5 6 7 8 9 10 11 12 13 k Έστω η ελλειπτική καμπύλη: y2 = x3 + x + 6 mod 11 και ένα σημείο P(2,4), τότε θα υπολογίσουμε Q = Pk μέσω k-1 επαναλαμβανόμενων προσθέσεων σημείου. Υπάρχουν αρκετοί γρήγοροι αλγόριθμοι Ερώτηση: Πώς υπολογίζεται το k όταν είναι γνωστό το σημείο Q ? Aπάντηση: Αυτό είναι ένα δύσκολο πρόβλημα γνωστό σαν Elliptic Curve Discrete Logarithm Problem Ο αλγόριθμος Pollard-ρ απαιτεί (πn)/2 ελλειπτικές προσθέσεις.

Κρυπτογραφία Ελλειπτικών Καμπυλών (ECC) ΟΡΙΣΜΟΣ: Εάν Ε είναι μια ελλειπτική καμπύλη στο Fq, και Β ένα σημείο της Ε, τότε το πρόβλημα του διακριτού αλγορίθμου στην Ε (με βάση το Β) είναι το πρόβλημα, δοθέντος ενός σημείου P  E, να βρεθεί ακέραιος x  Z τέτοιος ώστε xB = P, εάν τέτοιος ακέραιος υπάρχει. Το ανέφικτο του προβλήματος δεν ισχύει για κάποιες καμπύλες, όπως για τις λεγόμενες supersingular ελλειπτικές καμπύλες κάτω από κάποιες συνθήκες. Πολλά συμβατικά κρυπτοσυστήματα έχουν τα αντίστοιχά τους βασισμένα σε ελλειπτικές καμπύλες.

Παράμετροι Κρυπτογραφίας Ελλειπτικών Καμπυλών Παράμετροι Κρυπτογραφίας Ελλειπτικών Καμπυλών Περιγράφονται από μια επτάδα T = ( q, FR, a, b, G, n, h): q (q=p ή q=2m ) FR ένδειξη της μεθόδου αναπαράστασης των στοιχείων του σώματος Fq (π.χ., πολυωνυμική, κανονική βάση, κλπ.) a, b  Fq καθορίζουν την εξίσωση της ελλειπτικής καμπύλης E στο Fq G = (xG, yG) ένα σημείο βάσης με τη μεγαλύτερη τάξη n (nG = O) n μεγάλος πρώτος που είναι η τάξη του G. Το πλήθος των στοιχείων #Ε(Fq) διαιρείται με το n h μικρός ακέραιος που είναι ο λόγος #Ε(Fq) / n

Συνθήκες των παραμέτρων για την ασφάλεια της κρυπτογραφίας Ελλειπτικών Καμπυλών Για κάποιες επιθέσεις οι παράμετροι πρέπει να ικανοποιούν κάποιες συνθήκες: #Ε(Fq) πρέπει να έχει ένα επαρκώς μεγάλο πρώτο παράγοντα n για να αντιστέκεται σε παράλληλη επίθεση Pollard-ρ. #Ε(Fq)  q για να αντιστέκεται επιθέσεις των Semaev, Smart&Satoh-Araki για ανώμαλες καμπύλες. N να μη διαιρεί το qk - 1 για 1  k  30, για να αντιστέκεται σε MOV επίθεση. Στην περίπτωση του F2m, το m πρέπει να είναι πρώτος για να αντιστέκεται σε κάποιες επιθέσεις σε ελλειπτικές καμπύλες στο F2m όταν το m είναι σύνθετος.

Γέννηση του Ζεύγους Κλειδιών Όλα τα κρυπτογραφικά σχήματα δημοσίου κλειδιού χρησιμοποιούν ζεύγη κλειδιών, γνωστά σαν ζεύγη κλειδιών ελλειπτικής καμπύλης. Ένα ζεύγος κλειδιών (d,Q) μιας ελλειπτικής καμπύλης συσχετισμένης με την επτάδα T, περιέχει ένα ιδιωτικό κλειδί d της ελλειπτικής καμπύλης E, που είναι ένας τυχαίος ακέραιος στο διάστημα [1,n-1] και ένα δημόσιο κλειδί Q=(xQ,yQ) της ελλειπτικής καμπύλης που υπολογίζεται ως το σημείο Q=dG

Έλεγχος του Δημόσιου Κλειδιού από τον παραλήπτη αυτού 1. Έλεγξε ότι Q  Ο. 2. Έλεγξε ότι οι συντεταγμένες του σημείου Q είναι xQ; yQ  Fq. 3. Έλεγξε ότι το Q είναι πάνω στην ελλειπτική καμπύλη. 4. Έλεγξε ότι nQ = Ο (nQ = ndG = dnG = dΟ = Ο, διότι η τάξη του G είναι n). Ο έλεγχος χωρίς αυτό του βήματος 4 καλείται μερικός έλεγχος, διότι τότε υπόκειται σε επίθεση. Όμως προσεκτική επιλογή της παραμέτρου h μειώνει τον κίνδυνο.