Адаптивная атака по выбранному зашифрованному тексту

Эта статья включает в себя список общих ссылок , но он остается в значительной степени непроверенным, поскольку в нем отсутствует достаточное количество соответствующих встроенных ссылок . Пожалуйста, помогите улучшить эту статью, добавив более точные цитаты. ( Январь 2011 г. ) ( Узнайте, как и когда удалить этот шаблон сообщения )

Адаптивная выбранного шифротекста (сокращенно CCA2 ) представляет собой интерактивную форму выбранного шифротекста , в которой злоумышленник сначала посылает ряд шифртекстов быть расшифрованы выбранных адаптивно, а затем использует результаты , чтобы отличить целевой шифротекста без консультации с оракулом на шифрованный текст вызова, при адаптивной атаке злоумышленнику дополнительно разрешается запрашивать адаптивные запросы после того, как цель обнаружена (но целевой запрос запрещен). Он расширяет безразличную (неадаптивную) атаку с выбранным зашифрованным текстом (CCA1), где второй этап адаптивных запросов не разрешен. Чарльз Ракоффи Дэн Саймон дал определение CCA2 и предложил систему, основанную на неадаптивном определении CCA1 и системе Мони Наора и Моти Юнга (которая была первой обработкой выбранного иммунитета к атакам шифротекста систем с открытым ключом).

В определенных практических условиях цель этой атаки состоит в постепенном раскрытии информации о зашифрованном сообщении или о самом ключе дешифрования. Для систем с открытым ключом адаптивные выбранные шифротексты обычно применимы только тогда, когда они обладают свойством податливости зашифрованного текста, то есть зашифрованный текст может быть изменен определенными способами, которые будут иметь предсказуемый эффект на дешифрование этого сообщения.

Практические атаки

Атаки с адаптивным выбранным зашифрованным текстом, возможно, считались теоретической проблемой, но не проявлялись на практике до 1998 года, когда Даниэль Блейхенбахер из Bell Laboratories (в то время) продемонстрировал практическую атаку против систем, использующих шифрование RSA совместно с PKCS # 1 v1 , включая версию протокола Secure Sockets Layer (SSL), используемого в то время тысячами веб-серверов . ^[1]

Атаки Блейхенбахера, также известные как атака миллиона сообщений, использовали недостатки функции PKCS # 1 для постепенного раскрытия содержимого зашифрованного сообщения RSA. Для этого требуется отправить несколько миллионов тестовых шифрованных текстов на устройство дешифрования (например, на веб-сервер, оснащенный SSL). На практике это означает, что сеансовый ключ SSL может быть раскрыт в течение разумного периода времени, возможно, за день или меньше.

С небольшими вариациями эта уязвимость все еще существует на многих современных серверах под новым названием «Return Of Bleichenbacher's Oracle Threat» (ROBOT). ^[2]

Предотвращение атак

Чтобы предотвратить атаки с адаптивным выбранным зашифрованным текстом, необходимо использовать схему шифрования или кодирования, которая ограничивает податливость зашифрованного текста и является доказательством безопасности системы. После теоретического и базового уровня разработки систем безопасности CCA был предложен ряд систем в модели Random Oracle: наиболее распространенным стандартом для шифрования RSA является оптимальное асимметричное заполнение шифрования (OAEP). В отличие от самодельных схем , таких как обивка , используемой в ранних версиях PKCS # 1, OAEP было доказано в безопасности в модели случайного оракула , ^[3] OAEP был включен в PKCS # 1 начиная с версии 2.0, опубликованной в 1998 году, как рекомендованная в настоящее время схема кодирования, при этом старая схема все еще поддерживается, но не рекомендуется для новых приложений. ^[4] Однако золотой стандарт безопасности - показать безопасность системы, не полагаясь на идеализацию случайного Oracle. ^[5]

Математическая модель

В криптографии, основанной на теории сложности, защита от атак с адаптивным выбранным зашифрованным текстом обычно моделируется с использованием неразличимости зашифрованного текста (IND-CCA2).

использованная литература

^ Bleichenbacher, Daniel (23-27 августа 1998). Атаки с выбранным зашифрованным текстом на протоколы на основе стандарта шифрования RSA PKCS # 1 (PDF) . CRYPTO '98 . Санта-Барбара, Калифорния: Springer Berlin Heidelberg. С. 1–12. DOI : 10.1007 / BFb0055716 . ISBN 978-3-540-64892-5.
^ Ханно Бёк; Юрай Соморовский; Крейг Янг. «РОБОТ-атака» . Проверено 27 февраля 2018 года .
↑ Fujisaki, Eiichiro; Окамото, Тацуаки; Поинтшеваль, Дэвид; Стерн, Жак (2004). «RSA-OAEP безопасен в соответствии с предположением RSA» (PDF) . Журнал криптологии . 17 (2): 81–104. CiteSeerX 10.1.1.11.7519 . DOI : 10.1007 / s00145-002-0204-у . Проверено 12 января 2009 .
^ Калиски, Б .; Стаддон, Дж. (Октябрь 1998 г.). PKCS # 1: Спецификации криптографии RSA, версия 2.0 . IETF . DOI : 10,17487 / RFC2437 . RFC 2437 . Проверено 20 февраля 2019 года .
^ Кац, Джонатан; Линделл, Иегуда (2015). Введение в современную криптографию (2-е изд.). Бока-Ратон: Chapman & Hall / CRC. С. 174–175, 179–181. ISBN 978-1-4665-7027-6.

[1] Bleichenbacher, Daniel (23-27 августа 1998). Атаки с выбранным зашифрованным текстом на протоколы на основе стандарта шифрования RSA PKCS # 1 (PDF) . CRYPTO '98 . Санта-Барбара, Калифорния: Springer Berlin Heidelberg. С. 1–12. DOI : 10.1007 / BFb0055716 . ISBN 978-3-540-64892-5.

[2] Ханно Бёк; Юрай Соморовский; Крейг Янг. «РОБОТ-атака» . Проверено 27 февраля 2018 года .

[3] Fujisaki, Eiichiro; Окамото, Тацуаки; Поинтшеваль, Дэвид; Стерн, Жак (2004). «RSA-OAEP безопасен в соответствии с предположением RSA» (PDF) . Журнал криптологии . 17 (2): 81–104. CiteSeerX 10.1.1.11.7519 . DOI : 10.1007 / s00145-002-0204-у . Проверено 12 января 2009 .

[4] Калиски, Б .; Стаддон, Дж. (Октябрь 1998 г.). PKCS # 1: Спецификации криптографии RSA, версия 2.0 . IETF . DOI : 10,17487 / RFC2437 . RFC 2437 . Проверено 20 февраля 2019 года .

[katz-5] Кац, Джонатан; Линделл, Иегуда (2015). Введение в современную криптографию (2-е изд.). Бока-Ратон: Chapman & Hall / CRC. С. 174–175, 179–181. ISBN 978-1-4665-7027-6.

[1]