Криптоанализ RSA

Данная статья описывает условия использования криптоалгоритма с открытым ключом RSA, упрощающие криптоаналитические атаки, и методы исключения таких условий.

ВведениеПравить

На 2009 год система шифрования на основе RSA считается надёжной начиная с размера $n$$n$  в 1024 бита.

Группе учёных из Швейцарии, Японии, Франции, Нидерландов, Германии и США удалось успешно вычислить данные, зашифрованные при помощи криптографического ключа стандарта RSA длиной 768 бит. По словам исследователей, после их работы в качестве надежной системы шифрования можно рассматривать только RSA-ключи длиной 1024 бита и более. Причём от шифрования ключом длиной в 1024 бит стоит отказаться в ближайшие три-четыре года.

Как следует из описания работы, вычисление значений ключа осуществлялось общим методом решета числового поля.

На первый шаг (выбор пары полиномов степени 6 и 1) было потрачено около полугода вычислений на 80 процессорах, что составило около 3 % времени, потраченного на главный этап алгоритма (просеивание), который выполнялся на сотнях компьютеров в течение почти двух лет. Если интерполировать это время на работу одного процессора AMD Opteron 2,2 ГГц с 2 Гб памяти, то получилось бы порядка 1500 лет. Обработка данных после просеивания для следующего ресурсоёмкого шага (линейной алгебры) потребовалось несколько недель на малом количестве процессоров. Заключительный шаг после нахождения нетривиальных решений ОСЛУ занял не более 12 часов.

Решение ОСЛУ проводилось с помощью метода Видемана на нескольких раздельных кластерах и длилось чуть менее 4 месяцев. При этом размер разреженной матрицы составил 192 796 550х192 795 550 при наличии 27 795 115 920 ненулевых элементов (то есть в среднем 144 ненулевых элемента на строку). Для хранения матрицы на жёстком диске понадобилось около 105 гигабайт. В то же время понадобилось около 5 терабайт сжатых данных для построения данной матрицы.

В итоге группе удалось вычислить 232-цифровой ключ, открывающий доступ к зашифрованным данным.

Исследователи уверены, что используя их метод факторизации, взломать 1024-битный RSA-ключ будет возможно в течение следующего десятилетия^{[когда?]}.

Зная разложение модуля $n$$n$  на произведение двух простых чисел, противник может легко найти секретную экспоненту $d$$d$  и тем самым взломать RSA. Однако на сегодняшний день самый быстрый алгоритм факторизации — решето обобщённого числового поля (General Number Field Sieve), скорость которого для k-битного целого числа составляет

$\exp <!--\; \; -->((c+o(1))k^{\frac{1}{3}}{\log }^{\frac{2}{3}}<!--\; \; -->k),$$\exp((c+o(1))k^{\frac {1}{3}}\log ^{\frac {2}{3}}k),$  для некоторого $c<2$ ,

не позволяет разложить большое целое за приемлемое время. Будем рассматривать возможные атаки на RSA, которые позволяют взломать эту систему, не используя прямого разложения модуля n на произведение двух простых чисел.

Элементарные атакиПравить

Рассмотрим несколько атак связанных с неправильным использованием алгоритма RSA.

Генерация простых чиселПравить

На случайные простые числа $p$$p$  и $q$$q$  накладывается следующее дополнительное ограничение:

• $p$$p$  и $q$$q$  не должны быть слишком близки друг к другу, иначе можно будет их найти, используя метод факторизации Ферма. Однако, если оба простых числа $p$$p$  и $q$$q$  были сгенерированы независимо, то это ограничение с огромной вероятностью автоматически выполняется.

Схема с общим модулем nПравить

Начальные данные: Чтобы избежать генерирования различных модулей $n=p\ast <!--\; \ast \; -->q$$n=p*q$  для каждого пользователя, защищённый сервер использует единый n для шифрования всех сообщений. Сторона $A$$A$  использует этот сервер для получения сообщения $M$$M$ 

Задача: противник хочет расшифровать сообщение стороны $A$$A$ .

Казалось бы, шифротекст $C=M^{e_a}\mathrm{mod}n$$C=M^{e_{a}}\mod n$ , отправленный стороне $A$$A$ , не может быть расшифрован стороной $B$$B$ , если она не обладает секретным ключом $d_a$$d_{a}$ . Однако сторона $B$$B$  может использовать свои экспоненты $e_b,d_b$$e_{b},d_{b}$ , чтобы разложить модуль $n$$n$ , и после этого, зная $e_a$$e_{a}$ , вычислить секретную экспоненту $d_a$$d_{a}$ .

Защита: для каждого пользователя должен использоваться свой модуль $n$$n$ .

Атака на подпись RSA в схеме с нотариусомПравить

Начальные данные: $(n,e)$$(n,e)$  — открытый ключ нотариуса. Противник получает отказ при попытке подписания нотариусом сообщения $M\in <!--\; \in \; -->{\mathbb{Z}}_n$$M\in \mathbb {Z} _{n}$ 

Задача: противник хочет получить подпись нотариуса на сообщении $M\in <!--\; \in \; -->{\mathbb{Z}}_n$$M\in \mathbb {Z} _{n}$ .

Противник выбирает произвольное $r\in <!--\; \in \; -->{\mathbb{Z}}_n$$r\in \mathbb {Z} _{n}$ , вычисляет $M^{\prime }=r^{e}M\mathrm{mod}n$$M'=r^{e}M\mod n$  и отправляет это сообщение на подпись нотариусу.

Если нотариус подписывает это сообщение:

$S^{\prime }=(M^{\prime }{)}^d\mathrm{mod}n$$S'=(M')^{d}\mod n$ 

то противник, вычислив $S=S^{\prime }/r\mathrm{mod}n$$S=S'/r\mod n$ , получает подпись сообщения $M$$M$ .

Действительно, $S^e=(S^{\prime }{)}^e/r^e=(M^{\prime }{)}^{ed}/r^e\equiv <!--\; \equiv \; -->M^{\prime }/r^e=M(\mathrm{mod}n)$$S^{e}=(S')^{e}/r^{e}=(M')^{ed}/r^{e}\equiv M'/r^{e}=M(\mod n)$ 

Защита: при подписи добавлять в сообщение некоторое случайное число (например, время).

Малые значения секретной экспонентыПравить

Начальные данные: Чтобы увеличить скорость расшифрования (или создания цифровой подписи) было уменьшено число ненулевых битов двоичного представления секретной экспоненты $d$$d$  (см. скорость алгоритма RSA).

Задача: вычислить секретную экспоненту $d$$d$ .

В 1990 году Михаэль Винер (Michael J. Wiener) показал, что в случае малого значения $d$$d$  возможен взлом системы RSA, а именно:

Теорема Винера:

  Пусть 
         $n=pq$$n=pq$ , где $q<p<2q$ 
         $d<{\frac  {1}{3}}n^{{{\frac  {1}{4}}}}$ 
  Тогда, если известно $(n,e)$$(n,e)$ , где $ed=1\mathrm{mod}\mathrm{\phi <!--\; \phi \; -->}(n)$$ed=1\mod \varphi (n)$ ,
  то существует эффективный способ вычислить $d$$d$ .

Защита: Таким образом если $n$$n$  имеет размер 1024 бита, необходимо чтобы $d$$d$  был не менее 256 бит длиной.

Малые значения открытой экспонентыПравить

Чтобы увеличить скорость шифрования и проверки цифровой подписи, используют малые значения открытой экспоненты $e$$e$ . Наименьшее из них $e=3$$e=3$ . Однако, чтобы повысить криптоустойчивость алгоритма RSA, рекомендовано использовать

$e=2^{16}+1=65537$$e=2^{16}+1=65537$ .

Атака ХастадаПравить

Начальные условия: Сторона $B$$B$  отсылает зашифрованное сообщение $M$$M$  пользователям $P_1,P_2,...P_k$$P_{1},P_{2},...P_{k}$ . Каждый пользователь имеет свой открытый ключ $(n_i,e_i)$$(n_{i},e_{i})$ , причём $M<n_{i},\forall i$ . Сторона $B$$B$  зашифровывает сообщение, используя поочерёдно открытый ключ каждого пользователя, и отсылает его соответствующему адресату. Противник прослушивает канал передачи и собирает $k$$k$  переданных шифротекстов.

Задача: противник хочет восстановить сообщение $M$$M$ .

Положим $e_i=3,\mathrm{\forall <!--\; \forall \; -->}i$$e_{i}=3,\forall i$ , тогда противник может восстановить $M$$M$  если $k⩾<!--\; ⩾\; -->3$$k \geqslant 3$ .

Доказательство

Действительно, если противник получил $C_1,C_2,C_3$$C_{1},C_{2},C_{3}$ , где

$C_1=M^3\mathrm{mod}{n}_1$$C_{1}=M^{3}\mod n_{1}$ 

$C_2=M^3\mathrm{mod}{n}_2$$C_{2}=M^{3}\mod n_{2}$ 

$C_3=M^3\mathrm{mod}{n}_3$$C_{3}=M^{3}\mod n_{3}$ 

Мы предполагаем, что $n_1,n_2,n_3$$n_{1},n_{2},n_{3}$  взаимно просты, иначе наибольший общий делитель отличный от единицы означал нахождение делителя одного из $n$$n$ . Применяя китайскую теорему об остатках к $C_1,C_2,C_3$$C_{1},C_{2},C_{3}$ , получим $C^{\prime }\in <!--\; \in \; -->{\mathbb{Z}}_{n_1{n}_2{n}_3}$$C'\in \mathbb {Z} _{n_{1}n_{2}n_{3}}$ ,

$C^{\prime }=M^3\mathrm{mod}{n}_1{n}_2{n}_3$$C'=M^{3}\mod n_{1}n_{2}n_{3}$ 

Поскольку $M<n_{i},\forall i$ ,то $M^{3}<n_{1}n_{2}n_{3},\forall i$  и

$C^{\prime }=M^3$$C'=M^{3}$ 

Т.е противник может восстановить сообщение $M$$M$  вычислив корень кубический из $C^{\prime }$$C'$ .

В общем случае, если все открытые экспоненты равны $e$$e$ , противник может восстановить $M$$M$  при $k⩾<!--\; ⩾\; -->e$$k\geqslant e$ .

Рассмотрим простейшую защиту от этой атаки. Пусть сообщение $M_i$$M_{i}$  для каждого пользователя является некоторой фиксированной перестановкой исходного сообщения $M$$M$ .К примеру

$M_i=i{2}^m+M$$M_{i}=i2^{m}+M$  — сообщение для i-го пользователя.

Хастад (Johan Hastad) показал, что даже в этом случае, противник может восстановить сообщение $M$$M$  при достаточном количестве пользователей.

Защита: Эта атака возможна только при малом значении открытой экспоненты $e$$e$ , в этом случае криптостойкость системы RSA можно достигнуть, используя произвольную перестановку, а не фиксированную, пример которой был приведён выше.

Атака Франклина-РейтераПравить

Начальные условия:

Имеются два сообщения $M_1,M_2\in <!--\; \in \; -->{\mathbb{Z}}_n$$M_{1},M_{2}\in \mathbb {Z} _{n}$ , причём

$M_1=f(M_2)\mathrm{mod}n,$$M_{1}=f(M_{2})\mod n,$  где $f\in <!--\; \in \; -->{\mathbb{Z}}_n[x]$$f\in \mathbb {Z} _{n}[x]$  некоторый открытый многочлен.

Сторона $A$$A$  с открытым ключом $(n,e)$$(n,e)$  получает эти сообщения от стороны $B$$B$ , которая просто зашифровывает сообщения$M_1,M_2$$M_{1},M_{2}$  и передаёт полученные шифротексты $C_1,C_2$$C_{1},C_{2}$ .

Задача: Противник, зная $(n,e,C_1,C_2,f)$$(n,e,C_{1},C_{2},f)$ , хочет восстановить $M_1,M_2$$M_{1},M_{2}$ .

Метью Франклин (Matthew K. Franklin) и Михаэль Рейтер (Michael K. Reiter) доказали, следующее утверждение:

Пусть    
     1)$(n,e)$$(n,e)$  - открытый ключ системы RSA, причём $e=3$$e=3$ 
     2)$M_1\ne <!--\; \ne \; -->M_2\in <!--\; \in \; -->{\mathbb{Z}}_n$$M_{1}\neq M_{2}\in \mathbb {Z} _{n}$  и $M_1=f(M_2)\mathrm{mod}N$$M_{1}=f(M_{2})\mod N$ ,
       для некоторого линейного многочлена $f=ax+b\in <!--\; \in \; -->{\mathbb{Z}}_n[x]$$f=ax+b\in \mathbb {Z} _{n}[x]$ , $b\ne <!--\; \ne \; -->0$$b\neq 0$ 
Тогда, зная $(n,e,C_1,C_2,f)$$(n,e,C_{1},C_{2},f)$ , противник может восстановить $M_1,M_2$$M_{1},M_{2}$  

Доказательство

Действительно, для произвольного $e$$e$ :

$C_1={M^e}_1\mathrm{mod}n\to <!--\; \to \; -->M_2$$C_{1}={M^{e}}_{1}\mod n~~~~\rightarrow ~~~~M_{2}$ , является корнем многочлена

$g_1(x)=f(x{)}^e-<!--\; -\; -->C_1\in <!--\; \in \; -->{\mathbb{Z}}_n[x]$$g_{1}(x)=f(x)^{e}-C_{1}\in \mathbb {Z} _{n}[x]$ 

но, $M_2$$M_{2}$  является также корнем многочлена

$g_2(x)=x^e-<!--\; -\; -->C_2\in <!--\; \in \; -->{\mathbb{Z}}_n[x]$$g_{2}(x)=x^{e}-C_{2}\in \mathbb {Z} _{n}[x]$ .

Таким образом $(x-<!--\; -\; -->M_2)$$(x-M_{2})$  делит оба многочлена. И противник может использовать алгоритм Евклида, чтобы вычислить НОД $(g_1,g_2)$$(g_{1},g_{2})$ . Если результат окажется линейным многочленом, то $M_2$$M_{2}$  будет найдено.

Когда $e=3$$e=3$ , НОД $(g_1,g_2)$$(g_{1},g_{2})$  является линейным многочленом, и следовательно противник может эффективно вычислить сообщения $M_1,M_2$$M_{1},M_{2}$ .

Защита: при $e>3$$e>3$  время взлома системы RSA пропорционально $e^2$$e^{2}$ , поэтому данная атака может быть использована только при малых значениях открытой экспоненты.

Атака по частично известной секретной экспонентеПравить

Начальные условия:

Противник знает часть двоичного представления секретной экспоненты $d$$d$ .

Задача: восстановить $d$$d$ .

Оказывается, что:

Пусть $(n,d)$$(n,d)$  — секретный ключ системы RSA, где $n=pq$$n=pq$  имеет размер $\mathrm{\eta <!--\; \eta \; -->}$$\eta$  битов.

Тогда, зная $\mathrm{\eta <!--\; \eta \; -->}/4$$\eta /4$  младших битов числа $d$$d$ , противник может восстановить $d$$d$  за время, пропорциональное $e{\log }_2<!--\; \; -->e$$e\log _{2}e$ 

Возможность взлома системы RSA в случае, когда открытая экспонента $e$$e$  мала, так же очевидна из следующих рассуждений:

из определения $e$$e$  и $d$$d$ :

$ed-<!--\; -\; -->k\mathrm{\phi <!--\; \phi \; -->}(n)=ed-<!--\; -\; -->k(n-<!--\; -\; -->p-<!--\; -\; -->q+1)=1$$ed-k\varphi (n)=ed-k(n-p-q+1)=1$ 

Поскольку $d<\varphi (n)$ , то очевидно $0<k\leqslant e$ .

При заданном $k$$k$  противник может легко вычислить

$\stackrel{^<!--\; ^\; -->}{d}=\mathcal{b}(kn+1)/e\mathcal{c}$${\hat {d}}={\mathcal {b}}(kn+1)/e{\mathcal {c}}$ 

Тогда при $q<p<2q$ 

$|{\hat {d}}-d|\leqslant k(p+q)/e\leqslant 3k{\sqrt {n}}/e<3{\sqrt {n}}$ 

Таким образом, $\stackrel{^<!--\; ^\; -->}{d}$${\hat {d}}$  является хорошим приближением при $d$$d$ .

Поскольку возможны только $e$$e$  различных значений $k$$k$ , противник может построить ряд, содержащий $e$$e$  членов, для которого двоичное представление одного из его элементов совпадает со старшей половиной двоичного представления секретной экспоненты $d$$d$ .

Защита: увеличение открытой экспоненты $e$$e$ .

Атака с помощью квантового компьютераПравить

С помощью квантового компьютера, если он будет построен, можно будет взломать RSA, так как квантовый алгоритм Шора позволяет осуществить факторизацию больших чисел за достаточно короткое время. Разложив модуль n на простые множители (это можно сделать за время $O({\log }^2<!--\; \; -->n{\log }^3<!--\; \; -->(\log <!--\; \; -->n))$${\textstyle {O(\log ^{2}n\log ^{3}(\log n))}}$ , используя O(log n) логических Q-битов), можно будет вычислить секретный показатель d.

Атаки, связанные с реализацией системы RSAПравить

Атака по времени выполненияПравить

Начальные условия:

Рассмотрим смарт-карту, микропроцессор которой подписывает сообщения, используя встроенный секретный ключ RSA.

Задача: противник хочет получить секретную экспоненту $d$$d$ .

Пол Кохер (Paul Kocher) предложил атаку, основанную на высокоточных замерах времени выполнения шифратором смарт-карты определенных операций. Рассмотрим эту атаку на примере системы RSA, использующей алгоритм быстрого возведения в степень:

Противник получает подписи смарт-карты для большого числа произвольных сообщений $M_1,M_2,\dots <!--\; \dots \; -->,M_k\in <!--\; \in \; -->{\mathbb{Z}}_n$$M_{1},M_{2},\dots ,M_{k}\in \mathbb {Z} _{n}$ , и измеряет время генерации их подписей $T_i$$T_{i}$ .

В ходе атаки значение секретной экспоненты $d$$d$  восстанавливается побитно, начиная с младшего бита:

• $d$$d$  нечётное, поэтому $d_0=1$$d_{0}=1$ .
• если $d_1=1$$d_{1}=1$  то микропроцессору смарт-карты необходимо произвести три умножения по модулю $n$$n$ , в отличие от двух, необходимых при $d_1=0$$d_{1}=0$ (см.алгоритм быстрого возведения в степень). Обозначим $t_i$$t_{i}$  — время вычислений процессора для сообщения $M_i$$M_{i}$ .

Кохер показал, что когда $d_1=1$$d_{1}=1$  два ансамбля $\mathcal{f}{t}_i\mathcal{g}$${\mathcal {f}}t_{i}{\mathcal {g}}$  и $\mathcal{f}{T}_i\mathcal{g}$${\mathcal {f}}T_{i}{\mathcal {g}}$  коррелируют. Однако в случае $d_1=0$$d_{1}=0$  они независимы. Таким образом, прибегая к корреляционному анализу, противник может определить $d_1$$d_{1}$ .

• аналогично можно определить $d_2,d_3,\dots <!--\; \dots \; -->$$d_{2},d_{3},\dots$ .

Заметим, что в случае малой открытой экспоненты $e$$e$  может быть применена атака по частично открытой секретной экспоненте. В этом случае достаточно восстановить половину бит секретной экспоненты $d$$d$ .

Защита: необходимо добавлять соответствующую задержку таким образом, чтобы каждый шаг алгоритма быстрого возведения в степень занимал фиксированный период времени.

Атака при сбое аппаратной реализации RSAПравить

Начальные условия:

Рассмотрим смарт-карту, микропроцессор которой подписывает сообщения, используя встроенный секретный ключ RSA. Микропроцессор карты использует китайскую теорему об остатках в целях ускорения процедуры подписи. Противник пытается вызвать сбой в вычислениях микропроцессора.

Задача: противник хочет вычислить модуль $n$$n$ .

Использование китайской теоремы об остатках, увеличивает скорость создания цифровой подписи.

Действительно, вычислив

${\mathrm{\sigma <!--\; \sigma \; -->}}_p=M^{d_p}\mathrm{mod}p$$\sigma _{p}=M^{d_{p}}\mod p$  , где $d_p=d\mathrm{mod}(p-<!--\; -\; -->1)(a)$$d_{p}=d\mod (p-1)~~~~(a)$ 

${\mathrm{\sigma <!--\; \sigma \; -->}}_q=M^{d_q}\mathrm{mod}q$$\sigma _{q}=M^{d_{q}}\mod q$  , где $d_q=d\mathrm{mod}(q-<!--\; -\; -->1)(b)$$d_{q}=d\mod (q-1)~~~~(b)$ 

можно получить подпись

$\mathrm{\sigma <!--\; \sigma \; -->}=T_1{\mathrm{\sigma <!--\; \sigma \; -->}}_p+T_2{\mathrm{\sigma <!--\; \sigma \; -->}}_q(modn)$$\sigma =T_{1}\sigma _{p}+T_{2}\sigma _{q}({\bmod {n}})$ , где $T_1=\mathcal{f}1\mathrm{mod}p,0\mathrm{mod}q\mathcal{g}$$T_{1}={\mathcal {f}}1\mod p,0\mod q{\mathcal {g}}$ 

$T_2=\mathcal{f}0\mathrm{mod}p,1\mathrm{mod}q\mathcal{g}$$T_{2}={\mathcal {f}}0\mod p,1\mod q{\mathcal {g}}$ 

Очевидно вычисления $(a),(b)$$(a),(b)$  гораздо быстрее возведения в степень по модулю $n$$n$ .

Пусть действия противника вызвали сбой, повлёкший за собой дефект одного бита подписи. Тогда по крайней мере одна из ${\mathrm{\sigma <!--\; \sigma \; -->}}_p$$\sigma _{p}$  или ${\mathrm{\sigma <!--\; \sigma \; -->}}_q$$\sigma _{q}$  вычислена неправильно. Положим, дефект содержится в $\stackrel{^<!--\; ^\; -->}{{\mathrm{\sigma <!--\; \sigma \; -->}}_q}$${\hat {\sigma _{q}}}$ .

В этом случае

$\stackrel{^<!--\; ^\; -->}{{\mathrm{\sigma <!--\; \sigma \; -->}}^e}\ne <!--\; \ne \; -->M\mathrm{mod}n$${\hat {\sigma ^{e}}}\neq M\mod n$ 

$\stackrel{^<!--\; ^\; -->}{{\mathrm{\sigma <!--\; \sigma \; -->}}^e}\ne <!--\; \ne \; -->M\mathrm{mod}q$${\hat {\sigma ^{e}}}\neq M\mod q$ 

однако

$\stackrel{^<!--\; ^\; -->}{{\mathrm{\sigma <!--\; \sigma \; -->}}^e}=M\mathrm{mod}p$${\hat {\sigma ^{e}}}=M\mod p$ 

Таким образом противник может найти разложение $n$$n$ ,как результат поиска НОД$(n,\stackrel{^<!--\; ^\; -->}{{\mathrm{\sigma <!--\; \sigma \; -->}}_e}-<!--\; -\; -->m)$$(n,{\hat {\sigma _{e}}}-m)$ .

Защита:

• при подписи добавлять в сообщение некоторое случайное число(например, время).
• проверять подпись перед тем как её отправить.

Уязвимость в процессорах AMDПравить

В 2021 году, группа исследователей, включающая Грацский технический университет, технологический институт Джорджии и некоммерческий исследовательский центр «Lamarr Security Research», используя уязвимость SMT в процессорах AMD с архитектурами Zen, Zen 2 и Zen 3, смогла «взломать» ключ шифрования RSA-4096.