Πρόσφατες κατευθύνσεις

Η Παρούσα Κατάσταση σε θέµατα ΚΡΥΠΤΟΓΡΑΦΙΑΣ Κων/νος Χαλάτσης, Τµ. Π&Τ, ΕΚΠΑ Παρούσα κατάσταση - Προβλήµατα Cryptography (σχόλια για κρυπτοσυστήµατα) http://axion.physics.ubc.ca/crypt.html Snake Oil Warning Sings: Encryption Software to Avoid http://www.interhack.net/people/cmcurtin/snake-oil-faq.html Πρόσφατες κατευθύνσεις Κρυπτογραφία πλέγµατος (lattice) http://www-cse.ucsd.edu/~daniele/papers/book.html Κβαντική κρυπτογραφία http://www.research.att.com/~shor/papers/ http://www.cs.mcgill.ca/~crepeau/crypto/biblio-qc.html

Κρυπτογραφία Στόχος της κρυπτογραφίας είναι να κατασκευάσει συναρτήσεις που είναι δύσκολο υπολογιστικά να σπάσουν (δηλ., να αντιστραφούν) Στρατηγική: Βρες ένα υπολογιστικά σκληρό πρόβληµα Π Βρες ένα τρόπο να εκµεταλλευτείς αυτή τη σκληρότητα για να κατασκευάσεις συναρτήσεις που η αντιστροφή τους είναι σκληρή όσο και το πρόβληµα Π Π.χ. το πρόβληµα της παραγοντοποίησης ( δοθέντος Ν βρες p,q µε Ν = pq) Π.χ. Rabin x -> x*x mod N H κρυπτογραφία απαιτεί πρόσθετες ιδιότητες, π.χ., µια καταπακτή (trapdoor) για την αντιστροφή της συνάρτησης Π.χ. Rabin: εάν τα p,q είναι γνωστά τότε είναι εφικτός ο υπολογισµός του x δοθέντος του x*x mod (N=pq) 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 2

ΚΡΥΠΤΟΓΡΑΦΙΑ ΗΜΟΣΙΟΥ ΚΛΕΙ ΙΟΥ Επιτρέπει σε δύο ενδιαφερόµενους Α και Β να επικοινωνήσουν χωρίς να έχουν κάποιο κοινό κλειδί (µυστικό). Συµφωνούν µόνο σε δύο αλγόριθµους Ε και D, κρυπτογράφησης και αποκρυπτογράφησης, αντίστοιχα. Πώς; Στην αρχή ο Α διαλέγει δυο τυχαία "κλειδιά" ένα δηµόσιο e και ένα ιδιωτικό d. ηµοσιεύει το κλειδί e. Όταν ο Β θέλει να στείλει ένα µήνυµα m στον Α, το κωδικοποιεί χρησιµοποιώντας το δηµόσιο κλειδί e, στέλνει δηλαδή το m'=ε(m,e). Ο Α λαµβάνει το µήνυµα m' και ΥΠΟΛΟΓΙΖΕΙ το αρχικό µήνυµα, µε τη χρήση του ιδιωτικού του κλειδιού d, σαν m=d(m', d)=d(e(m, e), d). Το πρωτόκολλο αυτό είναι ασφαλές µόνο εάν είναι ΥΠΟΛΟΓΙΣΤΙΚΑ Α ΥΝΑΤΟΝ να βρεθεί το m. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 3

RSA: Το πιο διαδεδοµένο κρυπτοσύστηµαδηµόσιου κλειδιού Τί είναι το RSA; Ο Α διαλέγει δυο µεγάλους (τυχαίους) πρώτους αριθµούς p και q, και έναν αριθµό εκθέτη e πρώτο ως προς (p-1) (q-1). Υπολογίζει το n=pq και το d=1/e mod (p-1) (q-1). Το δηµόσιο κλειδί είναι το (n,e). Το ιδιωτικό κλειδί είναι το (p,q,d). ηµοσιεύει το κλειδί (n,e). Όταν ο Β θέλει να στείλει ένα µήνυµα m στον Α, στέλνει το m'=m e mod n O A το αποκωδικοποιεί ως εξής: m=(m') d mod n Το RSA βασίζεται στο ότι δεν ξέρουµε κανένα γρήγορο αλγόριθµο που να µπορεί να υπολογίζει το d εάν δοθούν το n και το e. Αντίθετα είναι εύκολο να βρεθεί το d εάν δοθούν τα p, q, και e. ηλαδή το RSA είναι ασφαλές µόνο εάν το πρόβληµα παραγοντοποίησης ακεραίων αριθµών (δηλαδή: δίνεται n, υπολόγισε τους πρώτους παράγοντες του p,q) είναι υπολογιστικά δύσκολο. (t ~ Ο(exp(1.9(log n)^1/3(log log n)^2/3)), t(150bits)~ο(µήνας), t(400bits)~10 10 χρόνια!). 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 4

Πλεονεκτήµατα της κρυπτογραφίας δηµόσιου κλειδιού εν απαιτεί προηγούµενη συµφωνία για κλειδιά και δεν χρειάζεται µεταφορά κλειδιών. Νέες µονάδες/µέλη µπορούν να αρχίσουν να επικοινωνούν αµέσως (ιδιαίτερα χρήσιµο στο ιαδίκτυο). Επιτρέπει πολλά επιπλέον επιθυµητά πρωτόκολλα (authentication, secret sharing, signature, etc). Έχει δοκιµαστεί επαρκώς στην πράξη µε ικανοποιητικά αποτελέσµατα. Βασίζεται στην σοβαρή και αυστηρή θεωρία της Υπολογιστικής Πολυπλοκότητας. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 5

Μειονεκτήµατα της κρυπτογραφίας δηµόσιου κλειδιού εν προσφέρει απόλυτη ασφάλεια αλλά µόνο ασφάλεια που βασίζεται στη δυσκολία υπολογισµού της απάντησης. Οποιοδήποτε τέτοιο σύστηµα "σπάει" εάν έχουµε πολύ ισχυρούς υπολογιστές. Βασίζεται σε εικασίες. Τίποτα δεν έχει αποδειχτεί από την «σοβαρή και αυστηρή θεωρία της Υπολογιστικής Πολυπλοκότητας". εν έχει καν αποδειχτεί ότι κρυπτογραφία δηµόσιου κλειδιού είναι δυνατή. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 6

Τι λεει η Θεωρία Πολυπλοκότητας Εικασίες περιέχεσται κλάσεων πολυπλοκότητας PSPACE Μονόδροµες Συναρτήσεις NP QP BPP P 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 7

Τί λέει η Θεωρία Πολυπλοκότητας Η συνάρτηση f: Σ* -> Σ* καλείται µονόδροµη εάν Η f είναι ένα-προς-ένα και διατηρεί τα µήκη, δηλ., για κάθε x in Σ* ισχύει x 1/k f(x) x k, k>0 Η f in P, δηλ., υπολογίζεται σε πολυωνυµικό χρόνο Η αντίστροφή της f 1 δεν ανήκει στην κλάση Ρ αλλά στην κλάση ΝΡ-Ρ, δηλ., δεν υπάρχει πολυωνυµικός αλγόριθµος που δοθέντος του y ή να υπολογίζει ένα x τέτοιο ώστε f(x)=y ή να απαντά ΟΧΙ εάν δεν υπάρχει τέτοιο x. Το x µπορεί µονοσήµαντα να ανακτηθεί από το y=f(x) δοκιµάζοντας όλα τα x µε κατάλληλο µήκος, όχι όµως σε πολυωνυµικό χρόνο! Ακόµη και να ισχύει Ρ ΝΡ δεν υπάρχει απόδειξη ότι υπάρχουν πράγµατι µονόδροµες συναρτήσεις! 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 8

Ιστορικό της κρυπτογραφίας δηµόσιου κλειδιού Η κρυπτογραφία δηµόσιου κλειδιού προτάθηκε το 1976 απο τους Diffie και Hellman. Το RSA εφευρέθηκε από τους Rivest, Shamir, και Adelman το 1977. Άλλα συστήµατα που προτάθηκαν την ίδια εποχή. Το πρωτόκολλο του Rabin που βασίζεται στη δυσκολία υπολογισµού της τετραγωνικής ρίζας (x^2=y mod pq, δίνεται το y, βρες το x). Πρωτόκολλα βασισµένα στο πρόβληµα του διακριτού λογαρίθµου ( π.χ., το κρυπτοσύστηµα ElGamal, α^a=β mod p, δίνονται τα α,β, βρες το a) Πολλά άλλα πρωτόκολλα που προτάθηκαν τότε αποδείχτηκαν ανασφαλή στη δεκαετία του 80. Την τελευταία δεκαετία εµφανίστηκε η κβαντική κρυπτογραφία. Επίσης τα τρία τελευταία χρόνια προτάθηκαν νέα κρυπτογραφικά συστήµατα βασισµένα σε καλύτερες θεωρητικές βάσεις, όπως σε προβλήµατα πλέγµατος σηµείων. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 9

Η κατάσταση σήµερα H κρυπτογραφία δηµόσιου κλειδιού χρησιµοποιείται ευρύτατα σήµερα στο ιαδίκτυο. Η τεράστια άνθηση των ηλεκτρονικών εφαρµογών που απαιτούν ασφάλεια (χρήση πιστωτικών καρτών, electronic banking, e-commerce) θα ήταν πρακτικά αδύνατη εάν υπήρχε µόνο κρυπτογραφία ιδιωτικού κλειδιού κυρίως λόγω της δυσκολίας διανοµής και συντήρησης κλειδιών. Το RSA είναι το πιο διαδεδοµένο σύστηµα κυρίως λόγω της χρήσης του από τους πιο δηµοφιλείς browsers (Νetscape και Εxplorer). Σήµερα το µέγεθος των κλειδιών είναι >128 bits. Αυτό το µέγεθος φαίνεται να προσφέρει ασφάλεια για συνήθεις οικονοµικές συναλλαγές. Τα 40 bits που χρησιµοποιούσαν πριν λίγα χρόνια δεν είναι πια ασφαλή. Για δεδοµένα υψίστης ασφάλειας συνιστάται η χρήση κλειδιών µήκους 1024 bits. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 10

Κρατικά Πρότυπα Στις ΗΠΑ, η κυβέρνηση διαµόρφωσε ήδη απο τη δεκαετία του 50 το Data Encryption Standard (DES). Τα 56 bits του DES αν και ήταν αρκετά στα τέλη της δεκαετίας του '70 δεν θεωρούνται πια ασφαλή. Νέα standards αναζητούνται τόσο στις ΗΠΑ όσο και στην ΕΕ. Χρειαζόµαστε άραγε standards ειδικά για την Ελλάδα; Η κυβέρνηση των ΗΠΑ απαγορεύει την εξαγωγή κρυπτογραφικών πακέτων (εκτός από αυτά που είναι παλιάς τεχνολογίας). Υπήρχαν όµως επιτυχηµένες προσπάθειες από την κοινότητα του ελεύθερου software που παρέκαµψαν τη σχετική νοµοθεσία (π.χ. το Pretty- Good-Privacy, PGP). Ήταν φανερό ότι υπό την πίεση των ενδιαφερόµενων εταιρειών και οµάδων ότι η νοµοθεσία έτεινε να γίνει πιο ελαστική. Τα γεγονότα της 11ης Σεπτεµβρίου άλλαξαν δραµατικά τα δεδοµένα. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 11

Νέες κατευθύνσεις: Κρυπτογραφία πλέγµατος Κάνει χρήση άλλης κλάσης προβληµάτων για κρυπτογραφία Πολλά από αυτά τα προβλήµατα είναι ΝΡ-σκληρά για επακριβή λύση ή και προσεγγιστική Μερικά προβλήµατα πλέγµατος είναι αποδεδειγµένα σκληρά κατά µέσον όρο, σε σχέση µε την χειρότερη περίπτωση δυσβατότητας (intractability) κάποιου άλλου προβλήµατος πλέγµατος εν είναι γνωστός αντίστοιχος κβαντικός αλγόριθµος Μειονέκτηµα: τα κλειδιά έχουν πολύ µεγαλύτερο µήκος σε σχέση µε του RSA, Robin, κλπ 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 12

ΠΛΕΓΜΑΤΑ Σηµείων Πλέγµα n-διαστάσεων: είναι το σύνολο όλων των ακεραίων γραµµικών συνδυασµών των διανυσµάτων βάσεως {Β 1, Β 2,..., Β n } Κάθε πλέγµα έχει άπειρες βάσεις Όλες οι βάσεις έχουν την ίδια ορίζουσα 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 13

Πρόβληµα Εγγύτερου σηµείου Closest Vector Problem ίνεται κάποια βάση ενός πλέγµατος και ένα σηµείο y του n- διάστατου χώρου. Θέλουµε να υπολογίσουµε το πλησιέστερο σηµείο του πλέγµατος στο y. Το πρόβληµα αυτό πιστεύεται ότι είναι δύσκολο υπολογιστικά και µπορεί να χρησιµοποιηθεί για κρυπτογραφία. Η αποκωδικοποίηση βασίζεται στο γεγονός ότι εάν έχουµε µια κατάλληλη βάση του πλέγµατος είναι εύκολο να βρούµε το πλησιέστερο σηµείο. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 14

Κρυπτογράφηση µε πλέγµα (GGH) Ιδιωτικό κλειδί Πλέγµα Β Αποκρυπτογράφηση Χρήση της Β για να βρεις Βy=Rx πλησιέστερα στο c D(c) = c By = m Κρυπτογράφηση Επέλεξε Rx τυχαία Πρόσθεσε µικρό λάθος m E(m) = Rx + m = c ηµόσιο κλειδί Τυχαία βάση R 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 15

Κβαντικοί υπολογιστές Quantum bit (qubit) [ 0 or 1 or {01}] ή ( ψ = a 0 + b 1, a 2 + b 2 =1) Κύριο χαρακτηριστικό των κβαντικών υπολογιστών είναι το "µπλέξιµο" (διεµπλοκή -entanglement) των κβαντικών καταστάσεων. Quantum register (π.χ. Αντί 010 έχει {000, 001,..., 111} Έτσι µπορεί να έχουµε το εξής παράδοξο φαινόµενο: Η πιθανότητα ενός γεγονότος να εξαρτάται από το πότε θα παρατηρήσουµε το σύστηµα. Π.χ. Έστω Α(t,s) το γεγονός ότι το σύστηµα τη χρονική στιγµή t είναι στην καταστάση s. Η πιθανότητα του Α(t,s) δεν είναι ίδια εάν παρατηρήσουµε το σύστηµα τη στιγµή t και την στιγµή t+1. 2^-(1/2) -2^-(1/2) t t+1 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 16

Παραγοντοποίηση ακεραίων µε κβαντικούς υπολογιστές Θεώρηµα [Peter Schor, 1994]: Το πρόβληµα της παραγοντοποίησης ακεραίων λύνεται σε πολυωνυµικό χρόνο σε κβαντικούς υπολογιστές (t~o[(ln n)^3], t(128bits~µήνα, t(400bits~3 χρόνια). Εάν είχαµε κβαντικούς υπολογιστές: το RSA δεν θα ήταν ασφαλές. Το ίδιο ισχύει για πολλά άλλα κρυπτογραφικά συστήµατα δηµόσιου κλειδιού. Η κρυπτογραφία δηµόσιου κλειδιού µπορεί να είναι ακόµα δυνατή αλλά µε νέα συστήµατα (ίσως κρυπτογραφία πλέγµατος). µπορεί να έχουµε κβαντική κρυπτογραφία, δηλαδή εντελώς νέα συστήµατα που εκµεταλλεύονται κβαντικά φαινόµενα. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 17

Πότε θα κατασκευάσουµε κβαντικούς υπολογιστές; Αισιόδοξη άποψη: Σε 5-10 χρόνια θα έχουµε τους πρώτους απλούς κβαντικούς υπολογιστές. Κβαντικοί υπολογιστές είναι θεωρητικά δυνατό να κατασκευάσουµε. Στην πράξη όµως δεν θα τα καταφέρουµε λόγω ανυπέρβλητων τεχνολογικών προβληµάτων (προβλήµατα αποσυντονισµούdecoherence, error-correction, κλπ). Απαισιόδοξη άποψη: Κβαντικοί υπολογιστές είναι αδύνατοι ακόµη και θεωρητικά. Η κβαντική θεωρία πρέπει να αναµορφωθεί. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 18

Κβαντική κρυπτογραφία π.χ., διανοµή κλειδιού (key distribution): µε τη χρήση ''µπλεγµένων'' ζευγών qubits (µέθοδος ΒΒ84 using EPR ζεύγη, Einstein-Podolski Rosen). Ο Α ετοιµάζει ζεύγη qubits και µετρά το ένα qubit κάθε ζεύγους, πριν στείλει το άλλο qubit στον Β, ως προς έναν άξονα που επιλέγει τυχαία µεταξύ δυο κατάλληλων αξόνων µε πιθανότητα 1/2. O B κάνει την ίδια µέτρηση στα δικά του qubits. Επικοινωνία του Α και Β (µέσω συµβατικού καναλιού) τους επιτρέπει να πουν ως προς ποιόν άξονα έκαναν κάθε µέτρηση (δεν λένε όµως τα αποτελέσµατα των µετρήσεων). Για εκείνα τα qubit που συµφωνούν οι άξονες, έχουν το ίδιο αποτέλεσµα (0 ή 1) και συνεπώς έχουν προσδιορίσει τα bits του µυστικού κλειδιού. Η υποκλοπή qubit από από κάποιον τρίτο C γίνεται αντιληπτή από τους Α και Β από το αποτέλεσµα των µετρήσεων, δεδοµένου ότι η µέτρηση από τον C του κλεµµένου qubit αλλοιώνει το αποτέλεσµα 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 19

Ασφάλεια δεν είναι κρυπτογραφία Ασφάλεια = Κρυπτογραφία; Μπορεί µια µέθοδος κρυπτογραφίας να φαίνεται ασφαλής στη θεωρία (αν και προς το παρόν δεν έχουµε καµιά τέτοια µέθοδο), αλλά η πράξη είναι εντελώς διαφορετική. Σχεδόν όλα τα κρυπτογραφικά συστήµατα που έχουν υλοποιηθεί έχουν τις αδυναµίες τους λόγω κακής υλοποίησης. Ιδιαίτερα ευαίσθητα αποδεικνύονται συστήµατα που βασίζονται σε µπερδεµένους αλγόριθµους και σε νεωτερισµούς (π.χ. χάος, fuzzy systems, κβαντικά συστήµατα;). Μια ιδέα µπορεί να είναι ασφαλής µόνο εάν περάσει από τον εξονυχιστικό έλεγχο της (διεθνούς) επιστηµονικής κοινότητας. 13 Μαΐου 2003 Κ. Χαλάτσης, Κρυπτογραφία 20