RSA

Ο RSA είναι κρυπταλγόριθμος ασύμμετρου κλειδιού, το όνομα του οποίου προέρχεται από τους δημιουργούς του, Ρον Ρίβεστ, Άντι Σαμίρ και Λεν Άντλμαν. Επιτρέπει όχι μόνο την κωδικοποίηση μηνυμάτων αλλά μπορεί επίσης να χρησιμοποιηθεί και ως ψηφιακή υπογραφή.

 Ο RSA βασίζεται στη δυσκολία παραγοντοποίησης μεγάλων αριθμών (σήμερα, συνήθως της τάξης των 1024 με 2048 μπιτς). Χρησιμοποιούνται δυο κλειδιά, ένα δημόσιο κατά τη διάρκεια της κρυπτογράφησης και ένα ιδιωτικό για την αποκρυπτογράφηση. Επιλογή δυο τυχαίων (μεγάλων) πρώτων αριθμών p {\displaystyle p\,} και q {\displaystyle q\,} έτσι ώστε p ≠ q {\displaystyle p\neq q\,} Υπολογίζουμε n = p . q {\displaystyle n=p.q\,} Υπολογίζουμε την συνάρτηση του Όιλερ, ϕ ( n ) = ( p − 1 ) ( q − 1 ) {\displaystyle \phi (n)=(p-1)(q-1)\,} . Επιλογή ενός αριθμού e > 1 {\displaystyle e>1\,} έτσι ώστε e ϕ ( n ) ≡ 1 ( mod n ) {\displaystyle e^{\phi (n)}\equiv 1{\pmod {n}}} . Υπολογίζουμε τον αριθμό d {\displaystyle d} έτσι ώστε d ≡ e − 1 ( mod φ ( n ) ) {\displaystyle d\equiv e^{-1}{\pmod {\varphi (n)}}} .Για την εύρεση πρώτων αριθμών χρησιμοποιούνται πιθανολογικοί αλγόριθμοι. Συνηθισμένες επιλογές για το e {\displaystyle e\,} είναι το 3, 7 και 216 + 1. Μικροί αριθμοί οδηγούν σε ταχύτερους υπολογισμούς αλλά και σε πιο αδύνατη ασφάλεια.Τα κλειδιά είναι τα εξής: δημόσιο: ( n , e ) {\displaystyle (n,e)\,} ιδιωτικό: ( n , d ) {\displaystyle (n,d)\,} Μπορούμε τώρα να δημοσιεύσουμε το πρώτο κλειδί, δίνοντας έτσι τη δυνατότητα σε οποιονδήποτε να μας στείλει κρυπτογραφημένα μηνύματα που μόνο εμείς (χάρη στο ιδιωτικό κλειδί) μπορούμε να αποκρυπτογραφήσουμε. Το μήνυμα μπορεί να αντιπροσωπευθεί από έναν αριθμό m {\displaystyle m\,} (π.χ. "RSA" → 0x525341, όπου 0x52 είναι ο δεκαεξαδικός κωδικός ASCII του χαρακτήρα R, 0x53 του S και τέλος 0x41 του A). Το κρυπτογραφημένο μήνυμα c {\displaystyle c\,} υπολογίζεται με τον εξής τρόπο: c = m e mod n {\displaystyle c=m^{e}\mod {n}} Αφού ληφθεί ένα κρυπτογραφημένο μήνυμα c {\displaystyle c\,} , για να διαβάσουμε το αρχικό μήνυμα προβαίνουμε στον ακόλουθο υπολογισμό: m = c d mod n ≡ ( m e ) d mod n ≡ m e . d mod n {\displaystyle m=c^{d}\mod {n}\equiv (m^{e})^{d}\mod {n}\equiv m^{e.d}\mod {n}} Ξέρουμε πως e.d ≡ 1 (mod p-1) και e.d ≡ 1 (mod q-1), όποτε με το μικρό θεώρημα του Φερμά, έχουμε: m e . d ≡ m 1 ≡ m mod p − 1 {\displaystyle m^{e.d}\equiv m^{1}\equiv m\mod {p-1}} και m e . d ≡ m 1 ≡ m mod q − 1 {\displaystyle m^{e.d}\equiv m^{1}\equiv m\mod {q-1}} Οι αριθμοί p και q είναι πρώτοι μεταξύ τους, χρησιμοπιοιώντας λοιπόν το Κινέζικο Θεώρημα Υπολοίπων, έχουμε: m e . d ≡ m mod n {\displaystyle m^{e.d}\equiv m\mod {n}} Ο RSA επιτρέπει την ψηφιακή υπογραφή μηνυμάτων. Αν θέλουμε να αποστείλουμε ένα υπογεγραμμένο μήνυμα, μπορούμε να το κάνουμε με τον εξής τρόπο (χρησιμοποιώντας το ιδιωτικό κλειδί (n, d): s = m d mod n {\displaystyle s=m^{d}\mod {n}} Ο παραλήπτης του μηνύματος m και της υπογραφής s, υπολογίζει την τιμή se χάρη στο δημόσιο κλειδί (n, e) και τη συγκρίνει με το m. Αυτή η λύση, αν και λειτουργεί, δεν χρησιμοιποιείται ποτέ, για λόγους ασφαλείας. Αντί να υπογραφεί το μήνυμα ως έχει, προτιμάται η χρήση μιας συνάρτησης κατακερματοποίησης (hash function) Η: s = H ( m ) d mod n {\displaystyle s=H(m)^{d}\mod {n}} Ο παραλήπτης προβαίνει στη ίδια μέθοδο, αρκεί να γνωρίζει και ποία συνάρτηση κατακερματοποίησης χρησιμοποιήθηκε. Αν και ο αλγόριθμος θεωρείται ασφαλής όταν χρησιμοποιούνται πολύ μεγάλες παράμετροι, η κακή του χρήση μπορεί να οδηγήσει σε μεγάλες αδυναμίες ασφάλειας.Εκτός από αυτό, μέχρι σήμερα κανένας δεν έχει αποδείξει ότι η ασφάλεια του εξαρτάται αποκλειστικά από την παραγοντοποίηση των ακεραίων.Επίσης, υπάρχει πάντα η πιθανότητα να ανακαλύψει κάποιος έναν αλγόριθμο (ή να έχει ήδη ανακαλύψει) ο οποίος μπορεί να παραγοντοποιεί αριθμούς σε πολυωνυμικό χρόνο. Επίθεση επαναληπτικής κρυπτογράφησης Αφού ο αλγόριθμος χρησιμοποιεί επαναληπτική συνάρτηση είναι δυνατός ένας τρόπος επίθεσης με τη χρήση επαναλαμβανόμενων κρυπτογραφήσεων. Αν έχουμε στην κατοχή μας το κρυπτογραφημένο μήνυμα και το δημόσιο κλειδί με το οποίο κρυπτογραφήθηκε τότε μπορούμε να ακολουθήσουμε την εξής διαδικασία: Κρυπτογραφούμε το ήδη κρυπτογραφημένο μήνυμα με το δημόσιο κλειδί. Επαναλαμβάνουμε τη διαδικασία κρυπτογράφησης του αποτελέσματος μέχρι να πάρουμε κείμενο ίδιο με το πρώτο κρυπτογραφημένο μήνυμα. Η αμέσως προηγούμενη κρυπτογράφηση περιέχει το αποκρυπτογραφημένο κείμενο. Κοινό n Αν υποθέσουμε πως έχουμε στην κατοχή μας δυο κλειδιά του τύπου ( n , e 1 ) {\displaystyle (n,e_{1})\,} και ( n , e 2 ) {\displaystyle (n,e_{2})\,} (το ίδιο n), και δυο κρυπτογραφήσεις ( c 1 , c 2 ) {\displaystyle (c_{1},c_{2})\,} του ιδίου μηνύματος m με τα κλειδιά αυτά (π.χ. αν "κρυφακούμε" σε ένα δίκτυο): c 1 = m e 1 mod n {\displaystyle c_{1}=m^{e_{1}}\mod {n}} και c 2 = m e 2 mod n {\displaystyle c_{2}=m^{e_{2}}\mod {n}} μπορούμε να βρούμε το αρχικό μήνυμα m χωρίς να έχουμε πρόσβαση στα κρυφά κλειδιά. Είναι πολύ πιθανόν να έχουμε: e 1 ∧ e 2 = 1 {\displaystyle e_{1}\wedge e_{2}=1} οπότε και με το θεώρημα του Bézout: ∃ ( u , v ) , e 1 . u + e 2 . v = 1 {\displaystyle \exists \ (u,v),\ e_{1}.u+e_{2}.v=1} Για να βρούμε το αρχικό μήνυμα m, υπολογίζουμε λοιπόν: ( c 1 ) u . ( c 2 ) v ≡ ( m e 1 ) u . ( m e 2 ) v ≡ m e 1 . u + e 2 . v ≡ m 1 ≡ m mod n {\displaystyle (c_{1})^{u}.(c_{2})^{v}\equiv (m^{e_{1}})^{u}.(m^{e_{2}})^{v}\equiv m^{e_{1}.u+e_{2}.v}\equiv m^{1}\equiv m\mod {n}} Μικρό e (π.χ. e = 3) Ένα μήνυμα m κρυπτογραφείται κι αποστέλλεται από τρεις διαφορετικούς χρήστες με χρήση των δημοσίων κλειδιών ( n 1 , 3 ) {\displaystyle (n_{1},3)\,} , ( n 2 , 3 ) {\displaystyle (n_{2},3)\,} και ( n 3 , 3 ) {\displaystyle (n_{3},3)\,} . Ο κακόβουλος χρήστης έχει λοιπόν στην κατοχή του: m 3 mod n 1 {\displaystyle m^{3}\mod {n_{1}}} m 3 mod n 2 {\displaystyle m^{3}\mod {n_{2}}} m 3 mod n 3 {\displaystyle m^{3}\mod {n_{3}}} Χάρη στο Κινέζικο Θεώρημα Υπολοίπων, μπορεί να υπολογίσει: m 3 mod n 1 . n 2 . n 3 {\displaystyle m^{3}\mod {n_{1}.n_{2}.n_{3}}} και να βρει πια εύκολα το αρχικό μήνυμα m. Τυφλή υπογραφή Υποθέτουμε πως ο Γιάννης, το ιδιωτικό (αντ. δημόσιο) κλειδί του οποίου είναι (n, d) (αντ. (n, e)), υπογράφει ότι μήνυμα του δώσουμε χωρίς δεύτερη σκέψη. Αν ένας κακόβουλος χρήστης έχει ένα κρυπτογραφημένο μήνυμα c με τελικό παραλήπτη τον Γιάννη, μπορεί να μπερδέψει τον τελευταίο έτσι ώστε να του το αποκρυπτογραφήσει ο ίδιος ο Γιάννης. Αρκεί να διαλέξει έναν τυχαίο αριθμό r, πρώτο με το n και να ζητήσει από τον Γιάννη να του υπογράψει το μήνυμα m´ = re.c. Ο Γιάννης υπολογίζει: m ′ d ≡ ( r e . c ) d ≡ ( r e . m e ) ≡ r e . d . m e . d ≡ r . m mod n {\displaystyle m'^{d}\equiv (r^{e}.c)^{d}\equiv (r^{e}.m^{e})\equiv r^{e.d}.m^{e.d}\equiv r.m\mod {n}} Το μήνυμα r.m δεν είναι κατανοητό, οπότε ο Γιάννης δεν μπορεί εύκολα να καταλάβει πως πέφτει θύμα απάτης και το στέλνει στον κακόβουλο χρήστη, ο οποίος υπολογίζει τον αριθμό r-1 mod n και μπορεί πλέον να διαβάσει το μήνυμα m. Για να αποφύγει το πρόβλημα αυτό, ο Γιάννης δεν πρέπει να χρησιμοποιεί το ίδιο κλειδί για την υπογραφή και για την αποκρυπτογράφηση μηνυμάτων, ούτε όμως και να υπογράφει ό,τι του ζητούν "στα τυφλά". 65537 (αριθμός) (Αγγλικά) A Method for Obtaining Digital Signatures and Public-Key Cryptosystems: Το πρώτο άρθρο που παρουσιάζει το RSA (Αγγλικά) Καινούργιες εκδοχές (χρήση padding για ισχυρότερη ασφάλεια, κλπ.)