Πανεπιστήμιο Πειραιά Τμήμα Ψηφιακών Συστημάτων. Κρυπτογραφία. Διαχείριση κλειδιών. Χρήστος Ξενάκης

Πανεπιστήμιο Πειραιά Τμήμα Ψηφιακών Συστημάτων Κρυπτογραφία Διαχείριση κλειδιών Χρήστος Ξενάκης

Διαχείριση κλειδιών Η ασφάλεια ενός κρυπτοσυστήματος εξαρτάται αποκλειστικά από τα κλειδιά (αρχή του Kerchoff) Η σωστή διαχείριση των κλειδιών έχει άμεση σχέση με την ασφάλεια του κρυπτοσυστήματος Η διαχείριση κλειδιών περιλαμβάνει τη δημιουργία, διανομή, εγκατάσταση, χρήση, ανανέωση, ανάκληση, φύλαξη και καταστροφή κλειδιών Κύκλος ζωής του κλειδιού Εκτός από την καταστροφή των κλειδιών, όλες οι άλλες ενέργειες διαχείρισης μπορούν να περιλαμβάνουν κρυπτογραφικές τεχνικές. 2

Διαχείριση κλειδιών Η κρυπτοπερίοδος ενός κλειδιού είναι ο χρόνος ο οποίος περιλαμβάνει τη δημιουργία, διανομή και χρήση ενός κλειδιού και εξαρτάται: Μήκος του κλειδιού (αυξάνει με το μήκος του κλειδιού) Σχετίζεται με την αποτελεσματικότητα της εξαντλητικής αναζήτησης Ευαισθησία του απλού κειμένου ως προς την εμπιστευτικότητα Υψηλές απαιτήσεις εμπιστευτικότητας, συχνότερη αλλαγή του κλειδιού Τύπος του κλειδιού Μυστικό, ιδιωτικό, δημόσιο, συνόδου, τερματικού, κύριο κλειδί, κτλ Κρυπτοσύστημα Για δεδομένο μέγεθος κλειδιού, διαφορετικά κρυπτοσυστήματα έχουν και διαφορετική κρυπτοπερίοδο 3

Τύποι κλειδιών Τα κλειδιά ταξινομούνται ανάλογα με τον τύπο του κρυπταλγόριθμου και τη χρήση τους Τύπος του κρυπταλγόριθμου μυστικό κλειδί (συμμετρικό κρυπτοσύστημα) δημόσιο κλειδί και ιδιωτικό κλειδί (ασύμμετρο κρυπτοσύστημα) Ανάλογα με τη χρήση κλειδί συνόδου (session key) βραχυπρόθεσμο κλειδί κλειδί τερματικού (terminal key) μακροπρόθεσμο κλειδί περισσότερες από μία επικοινωνίες ενός μέλους κύριο κλειδί (master key) μακροπρόθεσμο κλειδί Χρησιμοποιείται για την κρυπτογράφηση ή τη δημιουργία των κλειδιών συνόδου ή τερματικού 4

Τύποι κλειδιών Ο κύριος στόχος ενός αντιπάλου είναι η ανακάλυψη των κλειδιών ενός κρυπτογραφικού συστήματος Του κυρίως κλειδιού Δημιουργεί τα περισσότερα και μεγαλύτερα προβλήματα. Μπορεί να ανακαλύψει όλα τα επιμέρους κλειδιά Η αντικατάσταση του κυρίως κλειδιού πολλές φορές περιλαμβάνει φυσικές διαδικασίες Του κλειδιού συνόδου Φαινομενικά, είναι ενέργεια μικρού ρίσκου Ωστόσο μπορεί να οδηγήσει στην ανακάλυψη προηγούμενων κλειδιών, ή του κυρίως κλειδιού Των παλαιών κλειδιών 5

Διαχείριση κλειδιών Η έννοια της τέλειας μυστικότητας τέλεια μυστικότητα προς τα εμπρός (perfect forward secrecy) Όταν η ανακάλυψη ενός από τα μακροπρόθεσμα κλειδιά, δεν συνεπάγεται ανακάλυψη των κλειδιών συνόδου τέλεια μυστικότητα προς τα πίσω (perfect backward secrecy), Όταν η ανακάλυψη ενός κλειδιού συνόδου, δεν συνεπάγεται ανακάλυψη των μακροπρόθεσμων κλειδιών Όταν το κρυπτογραφικό σύστημα δεν κατέχει τέλεια μυστικότητα προς τα εμπρός και προς τα πίσω τότε: Αν ο αντίπαλος ανακαλύψει ένα από τα κλειδιά συνόδου, μπορεί να ανακαλύψει και όλα τα μελλοντικά κλειδιά συνόδου. (επίθεση γνωστού κλειδιού known-key attack). 6

Εδραίωση κλειδιών Εδραίωση κλειδιών (key establishment) Το σύνολο των μηχανισμών που εκτελούνται προκειμένου να αποκτήσουν τα επικοινωνούντα μέλη τα απαιτούμενα κλειδιά αναφέρονται περισσότερο σε κλειδιά συνόδου περιλαμβάνουν τη δημιουργία, μεταφορά και εγκατάσταση κλειδιών Οι μηχανισμοί εδραίωσης κλειδιών είναι κρυπτογραφικής φύσης Αποτελούν τα πρωτόκολλα εδραίωσης κλειδιών (key establishment protocols). 7

Εδραίωση κλειδιών Εδραίωση κλειδιών σε συμμετρικά κρυπτοσυστήματα Βασικές αδυναμίες η ανάγκη ασφαλούς καναλιού για τη μεταφορά των κλειδιών, ο αυξημένος αριθμός απαιτούμενων κλειδιών, (ανάλογος του τετραγώνου των μελών) Εισαγωγή δύο νέων οντοτήτων - συγκεντρωτική διαχείρισης κλειδιών Tο Κέντρο Διανομής Κλειδιών (Key Distri-bution Centre, KDC) To Κέντρο Μετάφρασης Κλειδιών (Key Translation Centre, KTC). Δεν ανταλλάσσονται n 2 κλειδιά Αλλά n κλειδιά, μεταξύ του έμπιστου μέλους (KDC, KTC) με τα υπόλοιπα μέλη. 8

Εδραίωση κλειδιών Κέντρο Διανομής Κλειδιών, KDC Δύο εναλλακτικές λύσεις (α) κ (β) 9

Εδραίωση κλειδιών Κέντρο Μετάφρασης Κλειδιών, KTC Δύο εναλλακτικές λύσεις (α) κ (β) 10

Εδραίωση κλειδιών Ανάλυση των KDC και KTC Bασικό πλεονέκτημα από τη χρήση των Κέντρων η αποθήκευση περιορισμένου αριθμού μακροπρόθεσμων κλειδιών κάθε μέλος αποθηκεύει μόνο το κλειδί που μοιράζεται με το Κέντρο, Το Κέντρο αποθηκεύει n κλειδιά Η εξάρτηση της ασφάλειας του συστήματος από το Κέντρο επιφυλάσσει κινδύνους Το κέντρο πρέπει να είναι έμπιστη οντότητα Ένα ορθά σχεδιασμένο μοντέλο σύστημα θα πρέπει να ελαχιστοποιεί τον απαιτούμενο αριθμό των έμπιστων οντοτήτων Επίθεση στην έμπιστη οντότητα κατάρρευση του συστήματος 11

Εδραίωση κλειδιών Χαρακτηριστικά πρωτοκόλλων εδραίωσης κλειδιού Ποσότητες πληροφορίας οι οποίες συνεισφέρουν στην αντιμετώπιση ενεργών επιθέσεων του αντιπάλου χρονοσφραγίδα (timestamp) Κάποια (κρυπτογραφική) πράξη ή μετάδοση πληροφορίας Απαιτεί έναν έμπιστο εξυπηρετητή (server) χρονοσφραγίδας Εξυπηρετεί τις αιτήσεις δημιουργίας χρονοσφραγίδων. μοναδικός αριθμός (nonce): αντικαθιστά τη χρονοσφραγίδα Ένας τυχαίος αριθμός ο οποίος προσδίδει μοναδικότητα στα μηνύματα που ανταλλάσσονται Συνυπολογίζεται στις κρυπτογραφικές πράξεις δεσμεύεται κρυπτογραφικά με τα αντίστοιχα μηνύματα Αποτέλεσμα: μειώνονται οι βαθμοί ελευθερίας δράσης του αντιπάλου 12

Εδραίωση κλειδιών Τα πρωτόκολλα εδραίωσης κλειδιών χωρίζονται σε δύο βασικές κατηγορίες πρωτόκολλα μίας φοράς (one pass) Χαμηλή πολυπλοκότητα σε ανταλλαγή μηνυμάτων Μονόδρομη επικοινωνία μεταξύ των μελών. Π.χ., τα μοντέλα KDC και KTC πρωτόκολλα πρόκλησης-απόκρισης (challengeresponse) Υψηλή σχετικά πολυπλοκότητα στην ανταλλαγή μηνυμάτων Ισχυρότερη αυθεντικοποίηση 13

Εδραίωση κλειδιών Πρωτόκολλο μίας φοράς (one pass) ID Α, ID B οι ταυτότητες της Αλίκης και του Βύρωνα n A ένας μοναδικός αριθμός (nonce) Το πρώτο βήμα δεν απαιτεί κρυπτογράφηση Η ταυτότητα της Αλίκης δεν πρέπει να κρυπτογραφηθεί Μπορεί να κρυπτογραφηθούν μόνο ID B και n A Το n A προστατεύει από την επαναχρησιμοποίηση του μηνύματος Προϋπόθεση Το n A να μην επαναληφθεί στο μέλλον ο αντίπαλος μην μπορεί να προβλέψει τους επόμενους μοναδικούς αριθμούς 14

Εδραίωση κλειδιών Πρωτόκολλο μίας φοράς (one pass) Το δεύτερο βήμα είναι κρυπτογραφημένο Η Αλίκη μπορεί να ελέγξει την αυθεντικότητα του μηνύματος (κρυπτογράφηση) την επικαιρότητα του μηνύματος (nonce) Ο συνδυασμός της κρυπτογραφημένης απάντησης του Κέντρου με το μοναδικό αριθμό καθιστά σχεδόν αδύνατη την απόπειρα να προσποιηθεί ο αντίπαλος ότι είναι το Κέντρο Έλεγχος της αυθεντικότητας του Κέντρου από την Αλίκη Το αντίθετο δεν είναι υποχρεωτικό 15

Εδραίωση κλειδιών Πρωτόκολλο πρόκλησης-απόκρισης Επικοινωνία μεταξύ Αλίκης Βύρωνα Κάθε μέλος διασφαλίζει οτι τα μηνύματα που ανταλλάσσονται δεν προέρχονται από επαναληπτικές μεταδόσεις παλαιών μηνυμάτων Η Αλίκη εκμεταλλεύεται τη γνώση των κλειδιών αυθεντικοποίησης του Βύρωνα (1) η Αλίκη επιλέγει έναν μοναδικό αριθμό και τον στέλνει μαζί με το κρυπτογραφημένο κλειδί συνόδου που έλαβε από το Κέντρο για τον Βύρωνα. 16

Εδραίωση κλειδιών Πρωτόκολλο πρόκλησης-απόκρισης ο Βύρων γνωρίζει το κλειδί k B, έτσι αποκρυπτογραφεί το κλειδί συνόδου και τον μοναδικό αριθμό «πρόκληση» n A Κρυπτογραφεί το n A και το στλελνει μαζί με το n Β στην Αλίκη Η κρυπτογράφηση του n A αποδεικνύει ότι ο Βύρων γνωρίζει το k B Στο βήμα (2), η Αλίκη διαβεβαιώνεται ότι επικοινωνεί με τον Βύρωνα Βήμα (3), η Αλίκη ανταποδίδει τη διαβεβαίωση στον Βύρωνα ότι γνωρίζει το σωστό κλειδί συνόδου 17

Εδραίωση κλειδιών Πρωτόκολλο πρόκλησης-απόκρισης Αν το βήμα (3) είχε παραληφθεί τότε το βήμα (1) θα μπορούσε να είχε εκτελεσθεί από τον αντίπαλο, οποίος θα μετέδιδε κάποιο κλειδί από προηγούμενη επικοινωνία της Αλίκης με τον Βύρωνα Ο Βύρων δε θα ήταν σε θέση να ανιχνεύσει την επέμβαση του αντιπάλου Η ασφάλεια του πρωτοκόλλου βασίζεται στο βραχυπρόθεσμο κλειδί συνόδου ks. Στην περίπτωση που ο αντίπαλος ανακτήσει το ks, το πρωτόκολλο δεν θα έχει τη δυνατότητα να προσφέρει την απαραίτητη προστασία 18

Εδραίωση κλειδιών Το πρωτόκολλο των Denning και Sacco Χρησιμοποιεί χρονοσφραγίδες οι οποίες συνδέονται κρυπτογραφικά με το κλειδί k B του Βύρωνα t K είναι η χρονοσφραγίδα η οποία δημιουργήθηκε από το Κέντρο Ακολουθεί το πρωτόκολλο πρόκλησης-απόκρισης μεταξύ Αλίκης και Βύρωνα. Ισχυρότερο καθώς η Αλίκη δεν είναι σε θέση να στείλει παλιό κλειδί συνόδου στον Βύρωνα Η χρονοσφραγίδα είναι κρυπτογραφημένη με το κλειδί του Βύρωνα η Αλίκη δεν έχει πρόσβαση σε αυτή. 19

Εδραίωση κλειδιών Το πρωτόκολλο των Denning και Sacco Η χρονοσφραγίδα θωρακίζει τις επικοινωνίες από απειλές επανάληψης παλαιότερων μηνυμάτων Απαιτείται συγχρονισμός των ρολογιών των διαφορετικών συστημάτων, Το γεγονός αυτό ανοίγει νέα μονοπάτια επίθεσης 20

Πρωτόκολλα παραγωγής κλειδιών (key derivation protocols) Χρησιμοποιούν ένα αρχικό μυστικό κλειδί για να δημιουργήσουν επιπλέον κλειδιά Τα κλειδιά που παράγονται δεν απαιτούν ασφαλές κανάλι επικοινωνίας (όπως τα πρωτόκολλα εδραίωση κλειδιών) Ενημέρωση κλειδιού με δείκτη Η Αλίκη και ο Βύρων μοιράζονται ένα μυστικό κλειδί k Η ενημέρωση κλειδιού (key update) με δείκτη επιτυγχάνεται με ένα και μόνο βήμα όπου r A ένας τυχαίος αριθμός που ονομάζεται δείκτης 21

Πρωτόκολλα παραγωγής κλειδιών (key derivation protocols) Ενημέρωση κλειδιού με δείκτη Ο δείκτης χρησιμοποιείται για να επιλεγεί το κλειδί από ένα σύνολο κλειδιών Ορίζεται από μια κρυπτογραφική συνάρτηση η οποία μπορεί να είναι Κρυπτογραφική πράξη κρυπτογράφησης ή αποκρυπτογράφησης συμμετρικού κρυπτοσυστήματος Μονόδρομη συνάρτηση hash με κλειδί Μόνον η Αλίκη και ο Βύρων μπορούν να εκτελέσουν το βήμα το οποίο παράγει το κλειδί συνόδου ks 22

Πρωτόκολλα παραγωγής κλειδιών (key derivation protocols) Ενημέρωση κλειδιού με δείκτη Η ασφάλεια του κλειδιού εξαρτάται από την ασφάλεια που παρέχει η κρυπτογραφική πράξη τη μυστικότητα του κλειδιού k Παρέχει μυστικότητα προς τα πίσω, εάν ανακαλυφθεί το κλειδί ks δεν μπορεί να ανακαλυφθεί το μακροπρόθεσμο κλειδί k. Δεν παρέχει μυστικότητα προς τα εμπρός η ανακάλυψη του μακροπρόθεσμου κλειδιού δίνει τη δυνατότητα στον αντίπαλο να ανακτήσει όλα τα κλειδιά συνόδου που προήλθαν από το κλειδί k. 23

Πρωτόκολλα παραγωγής κλειδιών (key derivation protocols) Ενημέρωση κλειδιού με δείκτη - τενχικές βελτίωσης Χρήση χρονοσφραγίδας αντί του τυχαίου αριθμού. Απαιτούνται συγχρονισμένα ρολόγια Ενημέρωση του κλειδιού συνόδου σε συγκεκριμένα χρονικά διαστήματα Μειονέκτημα: αν το κανάλι επικοινωνίας έχει καθυστερήσεις, τα κρυπτοκείμενα που θα φθάνουν στην Αλίκη και στον Βύρωνα και βρίσκονται κοντά στους χρόνους ενημέρωσης των κλειδιών, μπορεί να αποκρυπτογραφηθούν με το επόμενο κλειδί, ενώ έχουν κρυπτογραφηθεί με το προηγούμενο κλειδί. 24

Πρωτόκολλα παραγωγής κλειδιών (key derivation proto-cols) Ενημέρωση κλειδιού με δείκτη - τενχικές βελτίωσης Έστω ότι η κρυπτογραφική συνάρτηση που χρησιμοποιείται είναι η κρυπτογράφηση με κάποιον κρυπταλγόριθμο Η Αλίκη μπορεί να επιλέξει μια χρονοσφραγίδα και να την αποκρυπτογραφήσει τυχαίος αριθμός r A Ο Βύρων κρυπτογραφεί το r A ώρα της Αλίκης Εκτελείται και αυθεντικοποίηση του μηνύματος. Δεν απαιτούνται συγχρονισμένα ρολόγια (Αλίκης & Βύρωνα ) Δεύτερη κρυπτογράφηση της χρονοσφραγίδας νέο κλειδί 25

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος Ο Κέρβερος είναι ένα σύστημα αυθεντικοποίησης μελών ενός δικτύου υπολογιστών Αναπτύχθηκε στο MIT Επίσης, προσφέρει πληροφορίες ελέγχου πρόσβασης ενός χρήστη στους κατανεμημένους πόρους ενός δικτύου. Έχει υλοποιηθεί σε περιβάλλον Unix Εκτελεί τις βασικές υπηρεσίες ασφάλειας των Windows 2000 της Microsoft Για την εδραίωση κλειδιών περιλαμβάνει ένα KDC, Αποτελεί την έμπιστη οντότητα στην αυθεντικοποίηση των χρηστών. 26

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος Στον Κέρβερο ορίζονται οι εξής έννοιες πληροφοριών που διακινούνται μεταξύ των μελών «Εισιτήριο», το οποίο το ζητά η Αλίκη μετά από αίτηση στο Κέντρο για επικοινωνία με τον Βύρωνα L: χρόνος ζωής του εισιτηρίου. Ουσιαστικά η παράμετρος αυτή αποτελείται από την ημερομηνία λήξης του κλειδιού συνόδου και προαιρετικά από μια ημερομηνία έναρξης. Δεδομένα αυθεντικοποίησης της Αλίκης στον Βύρωνα. Το ks είναι, προαιρετικά, ένα επιπλέον κλειδί συνόδου το οποίο δημιουργήθηκε από την Αλίκη 27

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος O Κέρβερος έχει τα εξής βήματα: Βήμα (1) Η Αλίκη δημιουργεί έναν αριθμό n A και τον στέλνει μαζί με την ταυτότητά της και την ταυτότητα του Βύρωνα στο Κέντρο Το Κέντρο δημιουργεί ένα κλειδί συνόδου ks, επιλέγει το χρόνο ζωής L του εισιτηρίου και δημιουργεί το εισιτήριο του Βύρωνα Ο χρόνου ζωής του εισιτηρίου εξαρτάται από την πολιτική ασφάλειας Το εισιτήριο συνδέει κρυπτογραφικά το κλειδί συνόδου, την Αλίκη και τον Βύρωνα για μια χρονική περίοδο, 28

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος O Κέρβερος έχει τα εξής βήματα: Βήμα (2) Το κέντρο στέλνει το εισιτήριο, το κλειδί συνόδου, το n A, τη διάρκεια ζωής L και την ταυτότητα του βύρωνα στην Αλίκη Κ Α το κλειδί που μοιράζεται το κέντρο με την Αλίκη Η Αλίκη δεν μπορεί να δεί το εισητήριο Το n A χρησιμεύει ως στοιχείο ταξινόμησης των αιτήσεων της Αλίκης στο Κέντρο 29

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος O Κέρβερος έχει τα εξής βήματα: Βήμα (3) Η Αλίκη υπολογίζει τα δεδομένα αυθεντικοποίησης Ks δεύτερο προερετικό κλειδί συνόδου Αποστέλλει τα δεδομένα αυθεντικοποίησης μαζί με το εισιτήριο στον Βύρωνα 30

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος O Κέρβερος έχει τα εξής βήματα: Βήμα (3) Ο Βύρων αποκρυπτογραφεί το εισιτήριο και ανακτά το κλειδί συνόδου ks, το χρόνο ζωής L και την ταυτότητα της Αλίκης ID A. Ελέγχει εάν το τοπικό του ρολόι είναι εντός των ορίων που καθορίζονται από το χρόνο ζωής L. χρησιμοποιεί το κλειδί συνόδου ks για να αποκρυπτογραφήσει το κρυπτοκείμενο αυθεντικοποίησης. Ανακτά την ταυτότητα της Αλίκης ID A, τη χρονοσφραγίδα t A και το δεύτερο κλειδί συνόδου ks, εάν υπάρχει. 31

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος O Κέρβερος έχει τα εξής βήματα: Βήμα (4) Ο Βύρων κρυπτογραφεί τη χρονοσφραγίδα της Αλίκης με το κλειδί συνόδου ks Προαιρετικά, έχει τη δυνατότητα να δημιουργήσει ένα τρίτο κλειδί συνόδου ks Η κρυπτογράφηση είναι πράξη αυθεντικοποίησης του Βύρωνα στην Αλίκη. Ο Βύρων αποδεικνύει ότι γνωρίζει το σωστό κλειδί συνόδου. 32

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος Η ασφάλεια του Κέρβερου εξαρτάται κυρίως από το χειρισμό του χρόνου και τα μακροπρόθεσμα κλειδιά Ο ορισμός του χρόνου ζωής του εισιτηρίου αποβλέπει στην εξοικονόμηση μηνυμάτων από και προς το Κέντρο Η συνεχής απαίτηση επικοινωνίας με το Κέντρο προκαλεί μεγάλη κίνηση στο δίκτυο και αυξημένο φόρτο εργασίας στο Κέντρο. Η χρήση μεγάλων ορίων χρόνου ζωής καθιστά το σύστημα ευάλωτο σε επιθέσεις επαναχρησιμοποίησης. Το ρίσκο είναι αυξημένο σε υπηρεσίες όπου ο χρήστης χρησιμοποιεί πόρους του δικτύου για μικρό χρονικό διάστημα, Ο αντίπαλος έχει το πλεονέκτημα να επαναχρησιμοποιήσει το εισιτήριο Ο καθορισμός των ορίων του χρόνου ζωής του κλειδιού εξαρτάται από την πολιτική ασφάλειας 33

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος Ασφάλεια του Κέρβερου Η χρήση παραμέτρων που εξαρτώνται από το χρόνο, απαιτεί υπηρεσίες συγχρονισμού της ώρας όλων των συστημάτων που συμμετέχουν στον Κέρβερο Υπάρχουν πρωτόκολλα συγχρονισμού ώρας μεταξύ των συστημάτων, αλλά αρκετά δεν είναι κατάλληλα για χρήση σε πρωτόκολλα ασφάλειας Δεν είναι σχεδιασμένα να αντιστέκονται σε επιθέσεις θα πρέπει να χρησιμοποιούν υπηρεσίες συγχρονισμού ώρας οι οποίες προσφέρουν αυθεντικοποίηση και ακεραιότητα. 34

Το πρωτόκολλο αυθεντικοποίησης Κέρβερος Ασφάλεια του Κέρβερου Αναφορικά με τα μακροπρόθεσμα κλειδιά Μοιράζονται τα μέλη με το Κέντρο Συνήθως παράγονται από τους κωδικούς πρόσβασης των χρηστών για να συνδεθούν στο σύστημα. Η ασφάλεια του Κέρβερου εκφυλίζεται στην ασφάλεια των κωδικών πρόσβασης Οι επιθέσεις του αντιπάλου σχετίζονται με τις μεθόδους ανάκτησης των κωδικών πρόσβασης Εξαντλητική αναζήτηση και η επίθεση λεξιλογίου (dictionary attack). 35

Εδραίωση κλειδιών χωρίς την ύπαρξη Κέντρων Το πρωτόκολλο του Shamir Πρωτόκολλο εδραίωσης κλειδιών σε συμμετρικά κρυπτοσυστήματα Δεν απαιτεί τη συμμετοχή Κέντρου, την ύπαρξη ασφαλούς καναλιού την ύπαρξη μακροπρόθεσμου κλειδιού μεταξύ των μελών Χρησιμοποιεί τη modular αριθμητική που συναντάται κατά κόρον στην ασύμμετρη κρυπτογραφία 36

Εδραίωση κλειδιών χωρίς την ύπαρξη Κέντρων Το πρωτόκολλο του Shamir Αρχικά η Αλίκη και ο Βύρων επιλέγουν δημόσια έναν πρώτο αριθμό p Στη συνέχεια η Αλίκη και ο Βύρων επιλέγουν αντίστοιχα ακέραιους a και b, 0 < a, b < p 1, gcd(a, p 1) = gcd(b, p 1) = 1 Οι a και b κρατούνται μυστικοί Η Αλίκη υπολογίζει τον αντίστροφο a -1 mod p 1, O Βύρων υπολογίζει τον αντίστροφο b -1 mod p 1. 37

Εδραίωση κλειδιών χωρίς την ύπαρξη Κέντρων Το πρωτόκολλο του Shamir (1) H Αλίκη επιλέγει ένα κλειδί συνόδου k, 0 < k < p 1, το υψώνει στον μυστικό εκθέτη a και το στέλνει στον Βύρωνα (2) Ο Βύρων υψώνει το μήνυμα που έλαβε στο μυστικό εκθέτη b και στέλνει το αποτέλεσμα πίσω στην Αλίκη. (3) Η Αλίκη απομακρύνει τον μυστικό εκθέτη a, υψώνοντας το μήνυμα που έλαβε στον a -1 και στέλνει το αποτέλεσμα της πράξης στον Βύρωνα Το μήνυμα αντιστοιχεί στο κλειδί συνόδου υψωμένο στον μυστικό εκθέτη b. Έτσι ο Βύρων απομακρύνει τον εκθέτη και ανακτά το κλειδί συνόδου k, υψώνοντας το μήνυμα στο b -1 38

Εδραίωση κλειδιών χωρίς την ύπαρξη Κέντρων Ασφάλεια του πρωτοκόλλου του Shamir Βασίζεται στο πρόβλημα του διακριτού λογάριθμου Ο αντίπαλος για να ανακτήσει το κλειδί, πρέπει να βρει οποιοδήποτε από τα a και b τον υπολογισμό του διακριτού λογάριθμου k a mod p ή k b mod p Είναι ασφαλές σε παθητική επίθεση του αντιπάλου Είναι ευάλωτο σε ενεργητική επίθεση Ο αντίπαλος έχει τη δυνατότητα να τροποποιεί τα μηνύματα. Η επίθεση είναι γνωστή ως επίθεση του ενδιάμεσου ατόμου (man-in-the-middle attack) 39

Εδραίωση κλειδιών χωρίς την ύπαρξη Κέντρων Ασφάλεια του πρωτοκόλλου του Shamir (man-in-the-middle attack) Η καθυστέρηση της επικοινωνίας θα μπορούσε να χρησιμοποιηθεί για την ανίχνευση του αντιπάλου. Όμως είναι ελάχιστη και δεν διαφέρει από την καθυστέρηση λόγω αυξημένης κίνησης 40

Ανταλλαγή κλειδιών κατά Diffie και Hellman Είναι το πρώτο ασύμμετρο πρωτόκολλο εδραίωσης κλειδιού (1976) key exchange protocol Η ασφάλειά του συνδέεται με το πρόβλημα του διακριτού λογάριθμου Η Αλίκη και ο Βύρων επιλέγουν δημόσια έναν πρώτο αριθμό p έναν γεννήτορα a του συνόλου Z p*. Στη συνέχεια, η Αλίκη και ο Βύρων επιλέγουν χωριστά από έναν κρυφό τυχαίο ακέραιο x και y αντίστοιχα, όπου 0 < x, y < p 1 41

Ανταλλαγή κλειδιών κατά Diffie και Hellman Diffie και Hellman πρωτόκολλο Το κλειδί συνόδου είναι το a xy mod p. Για να υπολογισθεί το κλειδί Ο Βύρων υψώνει την ποσότητα που παρέλαβε από την Αλίκη στον μυστικό εκθέτη y, Η Αλίκη υψώνει την ποσότητα που παρέλαβε από τον Βύρωνα στον μυστικό εκθέτη x 42

Ανταλλαγή κλειδιών κατά Diffie και Hellman Diffie και Hellman πρωτόκολλο Ένας αντίπαλος έχει γνώση των a, p, a x, a y και καλείται να ανακαλύψει τον a xy Αυτό μπορεί να επιτευχθεί με δύο τρόπους: (1) εύρεση του διακριτού λογάριθμου του a x mod p με βάση το a, είναι υπολογιστικά αδύνατο για μεγάλο p (2) εύρεση του a xy, υψώνοντας τον a x σε διάφορους εκθέτες, έως ότου βρεθεί ο a xy. Η επίθεσης αυτή εξαρτάται από τη δυνατότητα του αντιπάλου να ελέγχει αν βρήκε το σωστό εκθέτη. Ισοδυναμεί με εξαντλητική αναζήτηση, η οποία θα πρέπει να είναι πρακτικά ανέφικτη. 43

Ανταλλαγή κλειδιών κατά Diffie και Hellman Diffie και Hellman πρωτόκολλο παράδειγμα Έστω p = 257 και a = 11. Η Αλίκη επιλέγει μυστικό εκθέτη x = 52. Ο Βύρων επιλέγει μυστικό εκθέτη y = 121. Η Αλίκη υπολογίζει: 11 52 mod 257 = 129 Ο Βύρων υπολογίζει : 11 121 mod 257 = 213 Η Αλίκη και ο Βύρων ανταλλάσσουν τα αποτελέσματα των υπολογισμών Η Αλίκη υπολογίζει: k = 213 52 mod 257 = 128 Ο Βύρων υπολογίζει: k = 129 121 mod 257 = 128 44

Ανταλλαγή κλειδιών κατά Diffie και Hellman Ασφάλεια του πρωτοκόλλου Diffie και Hellman Βασίζεται στο πρόβλημα του διακριτού λογάριθμου Αν ανακαλυφθεί αλγόριθμος ο οποίος να βρίσκει αποτελεσματικά το διακριτό αλγόριθμο ενός αριθμού ως προς κάποια βάση Τότε το πρωτόκολλο δεν θα είναι ασφαλές Το αντίστροφο όμως δεν ισχύει Η μη ύπαρξη αποτελεσματικού αλγόριθμου δεν εγγυάται την ασφάλεια του πρωτοκόλλου. θεωρείται ασφαλές για παθητική επίθεση Στην περίπτωση ενεργητικής επίθεσης, δεν είναι ασφαλές Υποπίπτει στην επίθεση του ενδιάμεσου ατόμου 45

Ανταλλαγή κλειδιών κατά Diffie και Hellman Επίθεση ενδιάμεσου ατόμου στο πρωτόκολλο Diffie και Hellman Η διαφορά με την επίθεση του πρωτοκόλλου του Shamir είναι ότι ο αντίπαλος κατά την ολοκλήρωση δεν μπαίνει σε λειτουργία παθητικού υποκλοπέα Εδώ λειτουργεί ως αναμεταδότης των μηνυμάτων, μεταφράζοντας τα μηνύματα μεταξύ των κλειδιών k και k 46

Ανταλλαγή κλειδιών κατά Diffie και Hellman Συμμετοχή τρίτης οντότητας η οποία εκτελεί το ρόλο του δημόσιου καταλόγου (public directory). Αντιμετωπίζει την απειλή της ενεργητικής επίθεσης Σύμφωνα με το μοντέλο αυτό, όλα τα επικοινωνούντα μέλη, δημοσιεύουν τον γεννήτορα a υψωμένο στο μυστικό τους εκθέτη Ο γεννήτορας και οι μυστικοί εκθέτες, είναι μακροχρόνιες παράμετροι και παραμένουν σταθεροί σε όλες τις επικοινωνίες Αντίθετα με το αρχικό πρωτόκολλο Diffie και Hellman όπου οι εκθέτες επιλέγονται κατά την έναρξη του πρωτοκόλλου. 47

Ανταλλαγή κλειδιών κατά Diffie και Hellman Συμμετοχή τρίτης οντότητας Το κάθε μέλος έχει ασφαλή επικοινωνία με το δημόσιο κατάλογο Με κάποιο κλειδί που μοιράζεται ο κατάλογος με το κάθε μέλος χρησιμοποιείται για να ελεγχθεί η αυθεντικότητα του μηνύματος Δεν πραγματοποιείται επικοινωνία μεταξύ της Αλίκης και του Βύρωνα για τη δημιουργία του κλειδιού συνόδου. Η Αλίκη και ο Βύρων επικοινωνούν με τον κατάλογο για να προσκομίσουν το δημόσιο τμήμα του κλειδιού του ομότιμού τους προκειμένου να υπολογίσουν το κλειδί συνόδου. 48

Ανταλλαγή κλειδιών κατά Diffie και Hellman Συμμετοχή τρίτης οντότητας Η Αλίκη λαμβάνει από τον κατάλογο το δημόσιο τμήμα του κλειδιού του Βύρωνα a y για να υπολογίζει το μυστικό κλειδί συνόδου a yx mod p. Παρόμοια, ο Βύρων λαμβάνει από τον κατάλογο το δημόσιο τμήμα της Αλίκης για να υπολογίσει το μυστικό κλειδί συνόδου a yx mod p. Τα μηνύματα δεν περιλαμβάνουν μυστικές ποσότητες δεν χρειάζεται κρυπτογράφηση Απειλή είναι να πληγεί η αυθεντικότητα των μηνυμάτων Χρησιμοποιείται η συνάρτηση MAC για τη διασφάλιση της ακεραιότητας και αυθεντικοποίησης 49

Πρωτόκολλο Σταθμού-σε-Σταθμό (Station to Station protocol, STS) Χρησιμοποιεί ψηφιακές υπογραφές σε ανταλλαγή κλειδιών Diffie και Hellman Αποτρέπει την επίθεση ενδιάμεσου ατόμου Όλα τα μέλη έχουν στην κατοχή τους το δημόσιο κλειδί της τρίτης οντότητας, k ee Το πρωτόκολλο STS περιλαμβάνει 50

Πρωτόκολλο Σταθμού-σε-Σταθμό (Station to Station protocol, STS) Αρχικά, η Αλίκη και ο Βύρων ανταλλάσουν το δημόσιο κλειδί τους. Μέσω ενός καταλόγου ή με ανταλλαγή μεταξύ τους (1) η Αλίκη στέλνει το δημόσιο τμήμα του κλειδιού (Diffie και Hellman) στον Βύρωνα Ο Βύρων υπολογίζει το κλειδί συνόδου ks, υπογράφει τα δύο δημόσια τμήματα του κλειδιού και τα κρυπτογραφεί με το μυστικό κλειδί συνόδου (2) Ο Βύρων στέλνει το δικό του δημόσιο τμήμα μαζί με την κρυπτογραφημένη υπογραφή στην Αλίκη. 51

Πρωτόκολλο Σταθμού-σε-Σταθμό (Station to Station protocol, STS) Η Αλίκη υπολογίζει το συμμετρικό κλειδί συνόδου ks, Αποκρυπτογραφεί το δεύτερο τμήμα του μηνύματος του Βύρωνα Ανακτά την ψηφιακή υπογραφή του Βύρωνα στα δύο δημόσια τμήματα του κλειδιού, a y και a x. Με τη βοήθεια του δημόσιου κλειδιού του Βύρωνα k eb, απομακρύνει το ιδιωτικό κλειδί k db, και παραλαμβάνει τη σύνοψη d = h(a y a x ). Στη συνέχεια υπολογίζει ανεξάρτητα τη σύνοψη d = h(a y a x ) από τις δικές της παραμέτρους a y και a x, και ελέγχει εάν αυτές συμπίπτουν, δηλαδή d = d. 52

Πρωτόκολλο Σταθμού-σε-Σταθμό (Station to Station protocol, STS) (3) Η Αλίκη υπογράφει τα δημόσια τμήματα των κλειδιών a x και a y και τα μεταβιβάζει στον Βύρωνα Ο Βύρων απομακρύνει την ψηφιακή υπογραφή της Αλίκης με το δημόσιό της κλειδί και εξακριβώνει την ακεραιότητα των a x και a y. Το πρωτόκολλο STS είναι ανθεκτικό σε επίθεση ενδιάμεσου ατόμου. Η κρυπτογράφηση της ψηφιακής υπογραφής με το συμμετρικό κλειδί συνόδου ks, (i) προσδίδει επικαιρότητα στο μήνυμα, και (ii) αποτρέπει απειλές επαναχρησιμοποίησης μηνυμάτων του αντιπάλου 53

Διαμοιρασμός μυστικών και τεμαχισμός κλειδιών Πρόβλημα των κληρονόμων Στη διαθήκη του κάποιος θέτει τον όρο ότι προκειμένου να αποκτήσουν την περιουσία του οι συγγενείς του, θα πρέπει να παραμερίσουν τις διαφορές τους Ανάλογη είναι και η αρχή του τεμαχισμού κλειδιών σε επιμέρους μυστικά και ο διαμοιρασμός αυτών. Το κλειδί τεμαχίζεται σε έναν αριθμό κομματιών n και μοιράζεται στα μέλη. Το κάθε μέλος δεν μπορεί να ανακαλύψει ολόκληρο το κλειδί, παρά μόνον εάν συνεργασθεί με τουλάχιστον m μέλη, όπου m n. Το σύστημα που βασίζεται στην παραπάνω αρχή ονομάζεται σχέδιο (m, n)-κατωφλίου (threshold scheme): 54

Διαμοιρασμός μυστικών και τεμαχισμός κλειδιών Οποιοσδήποτε συνδυασμός πλήθους έως και m 1 τεμαχίων δεν καθιστά δυνατή την ανασυγκρότηση του κλειδιού k, Συνδυασμός πλήθους m τεμαχίων και άνω να οδηγεί στην ανακατασκευή του κλειδιού k Πρακτικές εφαρμογές σχεδίων (m, n)-κατωφλίου σε δημοκρατικά συστήματα στα οποία η λήψη και εκτέλεση αποφάσεων εκτελείται με ψηφοφορία, ο κάθε ψηφοφόρος μπορεί να έχει ένα μερίδιο του κλειδιού. σε συστήματα όπου η ψήφος του προέδρου έχει μεγαλύτερη βαρύτητα, ο πρόεδρος μπορεί να έχει δύο ή και περισσότερα μερίδια. 55

Σχέδια (m, n)-κατωφλίου πολυωνύμου παρεμβολής Έστω το μυστικό κλειδί k, το οποίο επιθυμούμε να τεμαχίσουμε σε n μερίδια με δυνατότητα ανασυγκρότησης του k, επιλέγοντας οποιαδήποτε μερίδια πλήθους m. Το σχέδιο χρησιμοποιεί πολυώνυμο βαθμού m 1, ως εξής. Επιλέγουμε πρώτο αριθμό p, τέτοιον ώστε να είναι μεγαλύτερος από τον αριθμό των μεριδίων, n < p. Το πολυώνυμο είναι της μορφής: όπου οι συντελεστές c 1, c 2,, c m-1 είναι μυστικοί, ενώ ο p είναι δημόσιο Τα μερίδια προκύπτουν για x = 1, 2,, n 56

Σχέδια (m, n)-κατωφλίου πολυωνύμου παρεμβολής Το κάθε μερίδιο αποτελεί μια μερική λύση (i, f(i)) Οι συντελεστές και το μυστικό κλειδί k είναι άγνωστοι, υπάρχουν συνολικά m άγνωστοι. Χρειάζονται επομένως m το πλήθος λύσεις για να είναι δυνατή η λύση ως προς c 1, c 2,, c m-1 και k. Με m 1 ή και λιγότερες μερικές λύσεις, δεν είναι δυνατή η επίλυση του k. Για περισσότερες από m μερικές λύσεις, έχουμε πλεονασμό πληροφορίας και η επίλυση του k είναι δυνατή. 57

Σχέδια (m, n)-κατωφλίου πολυωνύμου παρεμβολής Παράδειγμα - Κατασκευή σχεδίου (3, 5)-κατωφλίου. Ο βαθμός του πολυωνύμου θα είναι 2. Έστω το μυστικό κλειδί k = 13. Επιλέγουμε p = 17 και το ακόλουθο πολυώνυμο: Στη συνέχεια υπολογίζουμε τα 5 μερίδια: Συνεπώς τα 5 μερίδια είναι (1, 12), (2, 8), (3, 1), (4, 8) και (5, 12). 58

Σχέδια (m, n)-κατωφλίου πολυωνύμου παρεμβολής Παράδειγμα - Κατασκευή σχεδίου (3, 5)-κατωφλίου. Οποιαδήποτε τρία από τα μερίδια αυτά μπορούν να συμβάλλουν στη λύση του συστήματος με άγνωστους τους δύο συντελεστές και το μυστικό. Έστω ότι τα μερίδια που συμβάλλουν είναι το δεύτερο, το τρίτο και το πέμπτο ((2, 8), (3, 1), (5, 12)) Προκύπτει το σύστημα τριών εξισώσεων με τρεις αγνώστους: του οποίου μοναδική λύση είναι η 59