Атака по выбранному зашифрованному тексту - Chosen-ciphertext attack

А атака по выбранному зашифрованному тексту (CCA) является модель атаки за криптоанализ где криптоаналитик может собирать информацию, получая расшифровки выбранных шифртексты. На основе этой информации злоумышленник может попытаться восстановить скрытый секретный ключ, использованный для дешифрования.

Формальные определения защиты от атак с выбранным зашифрованным текстом см., Например: Майкл Луби[1] и Михир Белларе и другие.[2]

Вступление

При атаке с выбранным зашифрованным текстом можно обойти ряд безопасных схем. Например, Эль-Гамаль криптосистема семантически безопасный под атака по выбранному открытому тексту, но эту семантическую безопасность можно тривиально обойти с помощью атаки с выбранным зашифрованным текстом. Ранние версии ЮАР заполнение, используемое в SSL протокол были уязвимы для сложных адаптивная атака по выбранному зашифрованному тексту который показал ключи сеанса SSL. Атаки с выбранным зашифрованным текстом имеют последствия для некоторой самосинхронизации потоковые шифры также. Разработчики защищенных от взлома криптографических смарт-карты должны быть особенно осведомлены об этих атаках, так как эти устройства могут быть полностью под контролем злоумышленника, который может выдать большое количество выбранных шифрованных текстов в попытке восстановить скрытый секретный ключ.

Совершенно не было ясно, смогут ли криптосистемы с открытым ключом противостоять выбранной атаке зашифрованного текста до тех пор, пока не была начата революционная работа Мони Наор и Моти Юнг в 1990 году, который предлагал режим двойного шифрования с честность доказательство (теперь известное как парадигма шифрования "Наор-Юнг").[3] Эта работа сделала понимание понятия защиты от атаки по выбранному зашифрованному тексту намного яснее, чем прежде, и открыла направление исследований построения систем с различными видами защиты от вариантов атаки.

Когда криптосистема уязвима для атаки с выбранным зашифрованным текстом, разработчики должны быть осторожны, чтобы избежать ситуаций, в которых злоумышленник может расшифровать выбранный зашифрованный текст (т. Е. Избежать предоставления оракула дешифрования). Это может быть сложнее, чем кажется, поскольку даже частично выбранные шифртексты могут допускать тонкие атаки. Кроме того, существуют другие проблемы и некоторые криптосистемы (например, ЮАР ) используют один и тот же механизм для подписи сообщений и их расшифровки. Это позволяет атаковать, когда хеширование не используется в подписываемом сообщении. Лучше использовать криптосистему, которая доказуемо безопасный при атаке с выбранным зашифрованным текстом, в том числе (среди прочего) ЮАР-ОАЭП безопасность с помощью случайной эвристики оракула, Крамер-Шуп который был первой практичной системой с открытым ключом, которая была защищена. Для схем симметричного шифрования известно, что аутентифицированное шифрование который является примитивом на основе симметричное шифрование обеспечивает защиту от атак с выбранным зашифрованным текстом, как было впервые показано Джонатан Кац и Моти Юнг.[4]

Разновидности

Атаки с выбранным зашифрованным текстом, как и другие атаки, могут быть адаптивный или неадаптивный. В адаптивной атаке с выбранным зашифрованным текстом злоумышленник может использовать результаты предшествующих расшифровок, чтобы сообщить свой выбор о том, какие зашифрованные тексты следует расшифровать. При неадаптивной атаке злоумышленник выбирает шифрованные тексты для дешифрования, не видя ни одного из результирующих открытых текстов. Увидев открытые тексты, злоумышленник больше не может получить расшифровку дополнительных зашифрованных текстов.

Обеденные приступы

Особо отмеченным вариантом атаки с выбранным зашифрованным текстом является атака «в обеденное время», «полночь» или «безразлично», при которой злоумышленник может выполнять адаптивные запросы с выбранным зашифрованным текстом, но только до определенного момента, после которого злоумышленник должен продемонстрировать улучшенную способность атаковать систему.[5] Термин «атака в обеденный перерыв» относится к идее, что компьютер пользователя с возможностью дешифрования доступен злоумышленнику, пока пользователь отсутствует на обед. Эта форма атаки была первой из широко обсуждаемых: очевидно, что если злоумышленник имеет возможность делать адаптивные запросы с выбранным зашифрованным текстом, никакое зашифрованное сообщение не будет безопасным, по крайней мере, до тех пор, пока эта способность не будет лишена. Эту атаку иногда называют «неадаптивной атакой по выбранному зашифрованному тексту»;[6] здесь «неадаптивный» относится к тому факту, что злоумышленник не может адаптировать свои запросы в ответ на вызов, который дается после того, как истек срок действия выбранных запросов с зашифрованным текстом.

Адаптивная атака по выбранному зашифрованному тексту

Основная статья: Адаптивная атака по выбранному зашифрованному тексту

(Полная) адаптивная атака с выбранным зашифрованным текстом - это атака, при которой шифротексты могут выбираться адаптивно до и после того, как шифрованный текст запроса передается злоумышленнику, с только условием, что сам шифрованный текст запроса не может быть запрошен. Это более сильное понятие атаки, чем атака в обеденное время, и ее обычно называют атакой CCA2 по сравнению с атакой CCA1 (атакой во время обеда).[6] Несколько практических атак имеют такую ​​форму. Скорее, эта модель важна для ее использования в доказательствах защиты от атак с выбранным зашифрованным текстом. Доказательство того, что атаки в этой модели невозможны, означает, что никакая реалистичная атака с выбранным зашифрованным текстом не может быть выполнена.

Практическая адаптивная атака с выбранным зашифрованным текстом - это атака Блейхенбахера против PKCS # 1.[7]

Многочисленные криптосистемы доказали свою безопасность против атак с адаптивным выбранным шифротекстом, некоторые доказывают это свойство безопасности, основываясь только на алгебраических предположениях, некоторые дополнительно требуют идеализированного случайного предположения оракула. Например, Система Крамера-Шупа[5] безопасен на основе предположений теории чисел и отсутствия идеализации, и после ряда тонких исследований было также установлено, что практическая схема ЮАР-ОАЭП безопасен в предположении RSA в идеализированной случайной модели оракула.[8]

Смотрите также

Рекомендации

  1. ^ Луби, Майкл (1996). Псевдослучайность и криптографические приложения. Издательство Принстонского университета.
  2. ^ Bellare, M .; Desai, A .; Jokipii, E .; Rogaway, P. (1997). «Конкретная защита симметричного шифрования». Труды 38-го ежегодного симпозиума по основам компьютерных наук: 394–403. Дои:10.1109 / SFCS.1997.646128. ISBN  0-8186-8197-7. S2CID  42604387.
  3. ^ «Мони Наор и Моти Юнг, криптосистемы с открытым ключом доказуемо защищены от атак с выбранным зашифрованным текстом». Материалы 21-го ежегодного симпозиума ACM по теории вычислений: 427–437. 1990.
  4. ^ «Джонатан Кац и Моти Юнг, Неподдельное шифрование и безопасные режимы работы с выбранным зашифрованным текстом. FSE 2000: 284-299». Цитировать журнал требует | журнал = (помощь)
  5. ^ а б Рональд Крамер и Виктор Шуп, "Практическая криптосистема с открытым ключом, обеспечивающая надежную защиту от атаки с использованием адаптивного выбранного зашифрованного текста ", в достижениях в криптологии - КРИПТО '98 разбирательства, Санта-Барбара, Калифорния, 1998, с. 13-25. (статья )
  6. ^ а б Михир Белларе, Ананд Десаи, Дэвид Пойнтшеваль, и Филип Рогавей, Отношения между понятиями безопасности для схем шифрования с открытым ключом[мертвая ссылка ], in Advances in Cryptology - CRYPTO '98, Santa Barbara, California, pp. 549-570.
  7. ^ Д. Блейхенбахер. Атаки на выбранный зашифрованный текст против протоколов, основанных на стандарте шифрования RSA PKCS # 1 В архиве 2012-02-04 в Wayback Machine. В достижениях криптологии - CRYPTO'98, LNCS vol. 1462, страницы: 1–12, 1998 г.
  8. ^ М. Белларе, П. Рогавей Оптимальное асимметричное шифрование - как зашифровать с помощью RSA расширенная аннотация в достижениях в криптологии - Еврокрипт '94 Proceedings, Lecture Notes in Computer Science Vol. 950, изд. A. De Santis, Springer-Verlag, 1995. полная версия (pdf)