סכימת **בלום-גולדווסר** (Blum-Goldwasser) היא סכימת הצפנה אסימטרית הסתברותית שהוצעה על ידי מנואל בלום ושפי גולדווסר ב-1984. היא יעילה מבין סכימות ההצפנה ההסתברויות הידועות ויעילה יותר בהשוואה ל-RSA מהיבט של מהירות והתנפחות הצופן וכן נחשבת לבטוחה סמנטית בהנחה שבעיית פירוק לגורמים קשה. סכימת בלום גולדווסר מנצלת את רעיון המחולל הפסאודו אקראי Blum-Blum-Shub (בקיצור BBS), כדי ליצור רצף סיביות פסאודו אקראי, המשמש לאחר מכן לחיבור ב-XOR עם המסר בדומה לפנקס חד פעמי. התוצאה ביחד עם הגרעין ההתחלתי כשהוא מוצפן מועברים למקבל שמשתמש במידע הסודי המצוי ברשותו הנקרא דלת צונחת (Trapdoor), כדי לחלץ את הגרעין ההתחלתי שהוזן למחולל ומשם הדרך לשחזור המסר קלה. אפשר לראות בשיטה זו מעין שילוב של צופן זרם עם מפתח פומבי. בדומה להצפנת רבין, הצפנת בלום-גולדווסר פגיעה להתקפת טקסט מוצפן נבחר.

אלגוריתם הכנת מפתח עבור הצפנת בלום-גולדווסר
-------------------------------------------

1. בוחרים שני שלמים ראשוניים גדולים \ p ו-\ q השקולים ל-{\displaystyle \ 3} מודולו {\displaystyle \ 4}.
2. מחשבים את {\displaystyle \ n=pq}
3. בעזרת אלגוריתם אוקלידס המורחב מוצאים שלמים \ a ו-\ b המקיימים את {\displaystyle \ ap+bq=1}.
4. המפתח הפומבי הוא \ n והמפתח הפרטי הוא {\displaystyle \ (p,q,a,b)}.

תהליך הצפנת בלום-גולדווסר
-------------------------

### הצפנה

להצפנת המסר \ m המצפין משיג לידיו עותק של המפתח הפומבי ופועל כדלהלן:

1. מחלק את המסר ל-\ t לבלוקים, כל אחד בגודל \ h סיביות, כאשר {\displaystyle \ h={\mbox{lg lg }}n} (הלוגריתם בבסיס 2 של מספר סיביות המודולוס בקירוב).
2. בוחר גרעין אקראי סודי \ x\_0, שהוא שארית ריבועית מודולו \ n (אפשר להשיג זאת על ידי בחירת שלם אקראי {\displaystyle \ r\in \mathbb {Z} \_{n}^{\*}} וחישוב {\displaystyle \ x\_{0}=r^{2}{\mbox{ mod }}n}).
3. ההצפנה מבוצעת באופן רקורסיבי ב-\ t סבבים כאשר בכל סבב: א. הוא מחשב את {\displaystyle \ x\_{i}=x\_{i-1}^{2}{\mbox{ mod }}n}, ב. מצפין את בלוק המסר \ m\_i כדלהלן: {\displaystyle \ c\_{i}=p\_{i}\oplus m\_{i}}, כאשר ערכו של \ p\_{i} הוא \ h הסיביות הנמוכות של \ x\_{i}.
4. מחשב את {\displaystyle \ x\_{t+1}=x\_{t}^{2}{\mbox{ mod }}n}.
5. הטקסט המוצפן הוא {\displaystyle \ (c\_{1},c\_{2},...c\_{t},x\_{t+1})}.

### פענוח

1. המקבל משתמש במפתח הפרטי שבידיו כדי לחשב את {\displaystyle \ d\_{1}=((p+1)/4)^{t+1}{\mbox{ mod }}(p-1)}
2. ואת {\displaystyle \ d\_{2}=((q+1)/4)^{t+1}{\mbox{ mod }}(q-1)}
3. ואז מחשב את {\displaystyle \ u=x\_{t+1}^{d\_{1}}{\mbox{ mod }}p}
4. ואת {\displaystyle \ v=x\_{t+1}^{d\_{2}}{\mbox{ mod }}q}
5. ואז מחלץ את הגרעין ההתחלתי {\displaystyle \ x\_{0}=vap+ubq{\mbox{ mod }}n}.
6. הוא מפענח את המסר באותה הדרך בה הוצפן, עבור כל בלוק מוצפן \ c\_{i} מחשב את {\displaystyle \ x\_{i}=x\_{t-1}^{2}{\mbox{ mod }}n} ואז משתמש ב-\ h הסיביות הנמוכות כדי לחבר ב-XOR עם בלוק הטקסט המוצפן: {\displaystyle \ m\_{i}=p\_{i}\oplus c\_{i}} כדי לקבל את \ m\_i.

### הוכחה לנכונות האלגוריתם

ראשית ממשפט השאריות הסיני נובע, היות ש-{\displaystyle \ x\_{t}} הוא שארית ריבועית מודולו \ n, הוא שארית ריבועית מודולו הגורמים הראשוניים של \ n. ולפי תכונות סימן לז'נדר {\displaystyle \ x\_{t}^{(p-1)/2}\equiv 1\ ({\mbox{mod }}p)}.

שנית, ניתן לראות ש-

{\displaystyle \ x\_{t}^{(p+1)/4}\equiv (x\_{t}^{2})^{(p+1)/4}\equiv x\_{t}^{(p+1)/2}\equiv x\_{t}^{(p-1)/2}x\_{t}\equiv x\_{t}{\mbox{ mod }}p}
באופן דומה 
{\displaystyle \ x\_{t}^{(p+1)/4}\equiv x\_{t-1}\ ({\mbox{mod }}p)} וכן 
{\displaystyle \ x\_{t+1}^{((p+1)/4)^{2}}\equiv x\_{t-1}\ ({\mbox{mod }}p)} וכן הלאה.

מזה נובע ש:

{\displaystyle \ u\equiv x\_{t+1}^{d\_{1}}\equiv x\_{t+1}^{((p+1)/4)^{t+1}}\equiv x\_{0}\ ({\mbox{mod }}p)}
וגם {\displaystyle \ v\equiv x\_{t+1}^{d\_{2}}\equiv x\_{0}\ ({\mbox{mod }}q)}

ולבסוף כיוון ש-{\displaystyle \ ap+bq=1} לכן 
{\displaystyle \ vap+ubq\equiv x\_{0}\ ({\mbox{mod }}p)} כנ"ל לגבי \ q. לכן אם מחשבים את {\displaystyle \ vap+ubq{\mbox{ mod }}n} מתקבל הגרעין ההתחלתי \ x\_0. אם הגרעין ההתחלתי ידוע הפענוח טריוויאלי, כיוון שכל מה שנדרש הוא פעולת XOR חוזרת על הטקסט המוצפן בדיוק כפי שנעשה עם המקור.

### דוגמה להמחשה

לצורך הכנת מפתחות המקבל בוחר ראשוניים מתאימים נניח {\displaystyle \ p=643} ו-{\displaystyle \ q=859} ומחשב את {\displaystyle \ n=pq=552337} ואז מחשב את משוואת אוקלידס {\displaystyle \ 171\cdot 643+-128\cdot 859=1} כך ש-{\displaystyle \ a=171,b=-128}. המפתח הפומבי הוא אם כן {\displaystyle \ 552337} והמפתח הפרטי הוא {\displaystyle \ (643,859,171,-128)}. 

כעת אם השולח מעוניין להצפין את המסר {\displaystyle \ m={\mbox{9C5B82}}} (בייצוג הקסדצימלי, בסה"כ 24 סיביות). הוא מחשב תחילה את {\displaystyle \ \left\lfloor \log \_{2}(552337)\right\rfloor =19} ואז {\displaystyle \ h=\left\lfloor \log \_{2}(19)\right\rfloor =4} ואז מחלק את סיביות המסר לשישה בלוקים בני ארבע סיביות כל אחד ומתקבל:

{\displaystyle \ m\_{1}=1001,m\_{2}=1100,m\_{3}=0101,m\_{4}=1011,m\_{5}=1000,m\_{6}=0010}
כעת בוחר גרעין התחלתי אקראי, נניח {\displaystyle \ x=201036} (שהוא {\displaystyle \ 21403^{2}{\mbox{ mod }}552337}). הצפנת המסר \ m מוצגת בטבלה הבאה, כאשר \ p\_{i} מייצג את ארבע הסיביות הנמוכות של \ x\_{i}, בכל שלב לאחר העלאת \ x\_{i} בריבוע מחשבים את {\displaystyle \ c\_{i}=p\_{i}\oplus m\_{i}}: 

| \ i | {\displaystyle \ x\_{i}=x\_{i-1}^{2}{\mbox{ mod }}n} | \ m\_i בסיביות | \ p\_{i} בסיביות | \ c\_{i} בסיביות |
| --- | --- | --- | --- | --- |
| 1 | {\displaystyle \ 422669} | {\displaystyle \ 1001=9} | {\displaystyle \ 1101={\mbox{D}}} | {\displaystyle \ 0100=4} |
| 2 | {\displaystyle \ 99607} | {\displaystyle \ 1100={\mbox{C}}} | {\displaystyle \ 0111=7} | {\displaystyle \ 1011={\mbox{B}}} |
| 3 | {\displaystyle \ 477255} | {\displaystyle \ 0101=5} | {\displaystyle \ 0111=7} | {\displaystyle \ 0010=2} |
| 4 | {\displaystyle \ 155302} | {\displaystyle \ 1011={\mbox{B}}} | {\displaystyle \ 0110=6} | {\displaystyle \ 1101={\mbox{D}}} |
| 5 | {\displaystyle \ 363762} | {\displaystyle \ 1000=8} | {\displaystyle \ 0010=2} | {\displaystyle \ 1010={\mbox{A}}} |
| 6 | {\displaystyle \ 522228} | {\displaystyle \ 0010=2} | {\displaystyle \ 0100=4} | {\displaystyle \ 0110=6} |

לסיום מחשב גם את {\displaystyle \ x\_{7}=166864} ואת הטקסט המוצפן {\displaystyle \ (c={\mbox{4B2DA6}},x\_{7}=166864)} הוא שולח למקבל.
כדי לפענח את הטקסט המוצפן המקבל מחשב תחילה את הערכים:

{\displaystyle \ d\_{1}=(644/4)^{7}{\mbox{ mod }}642=479} ואת
{\displaystyle \ d\_{2}=(860/4)^{7}{\mbox{ mod }}858=305} ואז
{\displaystyle \ v=166864^{305}{\mbox{ mod }}859=30} וכן
{\displaystyle \ u=166864^{479}{\mbox{ mod }}643=420}
ואז משחזר את הגרעין ההתחלתי כך: {\displaystyle \ x\_{0}=30\cdot 171\cdot 643+420\cdot -128\cdot 859{\mbox{ mod }}552337(=-351301)=201036}. בעזרת הגרעין ההתחלתי הוא משחזר את הרצף הפסאודו אקראי, בדיוק כפי שעשה זאת המצפין ומכאן שחזור המסר קל כיוון ש-
{\displaystyle \ m\_{i}=c\_{i}\oplus p\_{i}} לכן 
{\displaystyle \ m={\mbox{4B2DA6}}\oplus {\mbox{D77624}}={\mbox{9C5B82}}}.

ביטחון ויעילות
--------------

 ערך מורחב – **ביטחון סמנטי**  

הצפנת בלום-גולדווסר ידועה כהצפנה אסימטרית בטוחה סמנטית בניגוד לשיטות אחרות כמו RSA ורבין. ההגדרה של ביטחון סמנטי היא שכל מה שניתן ללמוד בזמן ריצה פולינומי מהתבוננות בטקסט המוצפן בהינתן טקסט המקור, ניתן ללמוד גם ללא הטקסט המוצפן. במילים אחרות הסכימה תקרא בטוחה סמנטית אם אינה חושפת כל מידע ולו הקל ביותר אודות טקסט המקור שניתן לגלות בזמן פולינומי. למעשה זוהי גרסה חלשה של סודיות מושלמת, לפי שאנון שיטת הצפנה תקרא מושלמת אם יריב פסיבי אפילו בעל עצמת חישוב בלתי מוגבלת, לא יוכל ללמוד מאומה אודות טקסט המקור בהינתן טקסט-מוצפן בלבד, כיוון שכל טקסט יכול להיות המקור במידה שווה. ביטחון סמנטי לעומת זאת מוגבל ליריב בעל עצמת חישוב מוגבלת בזמן ומקום.

שיטת הצפנה דטרמיניסטית כמו RSA מכילה מטבעה מספר חולשות מהותיות:

1. היא אינה בטוחה עבור כל מסר במידה שווה (למשל במסרים קטנים מאוד, הצפנת הערך 0 או 1 תניב תוצאה זהה, כך שקל לזהות זאת).
2. קל לעיתים לחשב מידע חלקי אודות מקור הצופן מתוך הטקסט המוצפן. למשל ב-RSA ניתן לחשב את הסיבית הנמוכה ביותר של המסר על ידי חישוב סימן יעקובי.
3. הצפנה חוזרת של אותו המסר תניב תמיד תוצאה זהה. אפשר לזהות בקלות תעבורה של מסרים תדירים בעלי אופי מיוחד גם אם לא ניתן לקרוא את תוכנם.

אפשר להפוך כל שיטה דטרמיניסית לבטוחה סמנטית על ידי הוספת אקראיות למסר לפני תהליך ההצפנה. הכנת מסר באופן זה נהוגה למעשה כחלק מתקן מפתח פומבי של RSA ונקראת RSA-OAEP.

**מספר בלום**; המודולוס ייקרא מספר בלום אם הוא שלם פריק שהוא כפולה של שני ראשוניים שונים השקולים ל-3 מודולו 4. כלומר {\displaystyle \ p\equiv 3\ ({\mbox{mod }}4)} אם קיים שלם \ t כלשהו המקיים {\displaystyle \ p=4t+3}. אלגוריתם בלום גולדווסר מיישם גרסה מובנית של המחולל הפסאודו האקראי BBS כאשר הסיביות הנמוכות של השארית הריבועית {\displaystyle \ x\_{i}=x\_{i-1}^{2}{\mbox{ mod }}n} בכל סבב, משלימות את הרצף הפסאודו אקראי לצורך הצפנת המסר. השארית הריבועית האחרונה {\displaystyle \ x\_{t+1}=x\_{t}^{2}{\mbox{ mod }}n} נשלחת באופן גלוי כאמור אל המקבל לצורך שחזור הגרעין ההתחלתי. בהנחה שפירוק לגורמים היא בעיה קשה, ניתן להוכיח כי \ h הסיביות הנמוכות של {\displaystyle \ x\_{t}} בטוחות סימולטנית, כלומר אין דרך יעילה לחשב אותם מלבד ניחוש, מה שאומר שהמחולל נחשב לבטוח (כל עוד פירוק לגורמים היא בעיה קשה). כמובן הגדרה זו מוגבלת לביטחון חישובי בלבד.

בדומה לשיטת רבין, הצפנת בלום גולדווסר פגיעה להתקפת מוצפן-נבחר שבה תוקף מנסה לגלות את הגורמים הראשוניים של המודולוס ועל כן לגלות את המפתח הפרטי מתוך המפתח הפומבי. במודל זה ההנחה היא שלתוקף גישה למערכת המבצעת הצפנה ופענוח כקופסה שחורה, אין לו גישה למפתח הסודי עצמו אך באפשרותו לבחור מסרים אותם הוא מעוניין שהמערכת תפענח עבורו ולנתח את התוצאה. סיטואציה כזו אינה בלתי אפשרית במערכות מסוימות ולכן מהווה איום בלתי מבוטל.

הצפנת בלום גולדווסר יעילה מבחינה חישובית כיוון שהטקסט המוצפן המתקבל אינו גדול משמעותית מטקסט המקור, אלא במספר קבוע של סיביות (כגודל השלם {\displaystyle \ x\_{t+1}} בסיביות). תהליך ההצפנה יעיל ודורש רק הכפלה מודולרית (מודולו \ n) אחת כדי להצפין \ h סיביות, כלומר עבור מודולוס בגודל \ k סיביות ומסר בגודל \ l סיביות תהליך ההצפנה לוקח {\displaystyle \textstyle O({\frac {lk^{2}}{{\mbox{log}}\ k}})} פעולות בסיסיות. לעומת RSA למשל שדורשת העלאה בחזקה מודולרית מלאה במידה והמעריך נבחר אקראית. ללא אופטימיזציה העלאה בחזקה מודולרית מלאה דורשת בממוצע {\displaystyle \ 3k/2} פעולות כפל מודולריות כאשר \ k שווה ללוגריתם בבסיס 2 של המודולוס. כמו כן תהליך הפענוח של אלגוריתם בלום גולדווסר דורש (בנוסף בשלב ההכנה) רק שלוש העלאות בחזקה מודולריות ללא תלות באורך המסר, יתר הפעולות דומות להצפנה, כלומר בסה"כ {\displaystyle \textstyle O(k^{3})+O({\frac {lk^{2}}{{\mbox{log}}\ k}})}. מה שאומר שעבור מסרים גדולים, שיטת בלום גולדווסר יעילה יותר מ-RSA.

ראו גם
------

* הצפנת פייליר

קישורים חיצוניים
----------------

* הספר Handbook of Applied Cryptography.
* המאמר של מנואל בלום ושפי גולדווסר an efficient Probabilistic Public-Key Encryption Scheme which hides all partial information 1984.

| קריפטוגרפיה |
| --- |
| 

| מושגי יסוד |
| --- |
| פנקס חד-פעמי • צופן בלוקים • צופן בלוקים בר התאמה • צופן זרם • סודיות מושלמת • ביטחון סמנטי • הצפנה סימטרית • הצפנה אסימטרית • חתימה דיגיטלית • הצפנה הומומורפית • הצפנה מרובה • הצפנה מאומתת • הצפנה הסתברותית • סכמת ריפוד אסימטרית אופטימלית • אריזת מפתח הצפנה • סודיות מושלמת קדימה |

 |
| 

| הצפנה קלאסית |
| --- |
| מכונת הצפנה • צופן החלפה • צופן אתב"ש • צופן קיסר • צופן ויז'נר • צופן ורנם • צופן פלייפייר • צופן היל • אולטרה • אניגמה • ציקלומטר • קולוסוס • PURPLE • ג'ייד • מג'יק • צופן שחלוף |

 |
| 

| צופן בלוקים |
| --- |
| לוציפר • AES • 3DES • DES • Threefish • Twofish • Blowfish • FEAL • SEED • CAST • IDEA • RC2 • RC6 • MARS • RC5 • GOST • סרפנט • MISTY • KASUMI • קמליה • ARIA • SAFER • TEA • LEA • CLEFIA • SEA • Hummingbird • PRESENT • KATAN • KeeLoq • Simon & Speck • אנוביס |

 |
| 

| אופני הפעלה |
| --- |
| אופן הפעלה של צופן בלוקים • EAX • OCB • IAPM • CWC mode • GCM • CCM |

 |
| 

| צופן זרם |
| --- |
| RC4 • Salsa20 • SOSEMANUK • גריין • E0 • A5/1 • A5/2 • A5/3 • A5/4 • MICKEY • HC-128 • SNOW • Trivium • Rabbit • ZUC • ChaCha |

 |
| 

| הצפנה אסימטרית |
| --- |
| פרוטוקול דיפי-הלמן • חידות מרקל • חתימת למפורט • הצפנת תרמיל • RSA • הצפנת רבין • חתימה דיגיטלית רבין • צופן אל-גמאל • חתימה דיגיטלית אל-גמאל • DSA • הצפנת בלום-גולדווסר • ECC • הצפנת קריימר-שופ • הצפנת פאיי • הצפנת מקאליס • GGH • NTRU • עקום 25519 • חתימה דיגיטלית של שנור • הצפנת אוקמוטו-אושיאמה |

 |
| 

| פרוטוקולים |
| --- |
| עץ מרקל • פרוטוקול אתגר-מענה • פרוטוקול נידהאם-שרודר • פרוטוקול קרברוס • הוכחה באפס ידע • פרוטוקול פייגה-פיאט-שמיר • העברה עלומה • חלוקת סוד • TLS (SSL) • Secure Shell • MQV • X.509 • פרוטוקול שיתוף מפתח
• מיסור שלא לפרסום • פרוטוקול סיגנל |

 |
| 

| פרימיטיבים תאורטיים |
| --- |
| מחולל פסבדו-אקראי קריפטוגרפי • פונקציה חד-כיוונית • תמורה חד-כיוונית • סיבית קשה • פונקציה פסבדו-אקראית קריפטוגרפית • תמורה פסאודו-אקראית • פונקציית גיבוב קריפטוגרפית • וקטור אתחול • פונקציית ספוג • הצפנה מבוססת סריג |

 |
| 

| קריפטואנליזה |
| --- |
| ניתוח תדירויות • כוח גס • התקפת איזון זמן/זיכרון • תקיפת היפגשות באמצע • קריפטואנליזה ליניארית • קריפטואנליזה דיפרנציאלית • התקפת גלוי-ידוע • התקפת גלוי-נבחר • התקפת מוצפן-נבחר • פירוק לגורמים של מספר שלם • התקפת ערוץ צדדי • התקפת קורלציה • התקפת שיבוש • מודל אורקל אקראי • התקפת התנגשויות |

 |
| 

| בעיות מתמטיות ואלגוריתמים |
| --- |
| בעיית לוגריתם דיסקרטי • תחשיב אינדקסים • נפה ריבועית • אלגוריתם rho של פולרד • נפת שדה מספרים • אלגוריתם רו של פולרד ללוגריתמים • אלגוריתם פוליג-הלמן |

 |
| 

| פונקציות גיבוב קריפטוגרפיות |
| --- |
| SHA • MD5 • MD4 • SHA-1 • SHA-2 • SHA-3 • RIPEMD • Skein • BLAKE • Grøstl • SipHash |

 |
| 

| אימות וזיהוי |
| --- |
| אימות זהות • סיסמה • קוד אימות מסרים • Poly1305 • סיסמה חד-פעמית |

 |
| 

| נושאים נלווים |
| --- |
| מספר אקראי • מספר ראשוני • יתירות • מפתח שיחה • סטגנוגרפיה • הצפנה קוונטית • הצפנה פוסט-קוונטית • עקרון קרקהופס • אבטחת מידע • קריפטוגרפיה ויזואלית • אליס ובוב • מסיבת חתימה על מפתחות ציבוריים • שידור מוצפן • הצפנת דיסקים • הצפנת סף • חתימה דיגיטלית מבוססת פונקציית גיבוב • פונקציה זניחה • רשת פייסטל • רשת החלפה-תמורה • הלבנה • אימות מסרים • חתימה עיוורת • חישוב רב משתתפים בטוח |

 |