Současné problémy hašovacích funkcí a koncepty SNMAC, DN a HDN – 1. část

Současné problémy hašovacích Současné problémy hašovacích funkcí a koncepty SNMAC, DN a funkcí a koncepty SNMAC, DN a

HDN – 1. částHDN – 1. část

Vlastimil Klíma

v.klima (at) volny.cz, http://cryptography.hyperlink.cz

MFF UK, seminář „hašovací funkce“, 15. březen 2007

V tomto semináři prezentujeme pro publikaci schválenou část výsledků projektů NBÚ „Bezpečná hašovací funkce“ a „Speciální bloková šifra“

(ST20052005017, ST20062006018)

ÚvodÚvod Prolomena řada hašovacích funkcí. Nalezeny generické slabiny u všech současných hašovacích

funkcí. Hledá se východisko, nový koncept.

PožadavkyPožadavky Jednocestnost Bezkoliznost Náhodnost A řada dalších..., z teoretického hlediska ohromná plocha k výzkumu, co vlastně po

hašovací funkci chceme a jak spolu tyto vlastnosti souvisí Závěr 1: Všechny vlastnosti splňuje pravděpodobně pouze náhodné orákulum

Bezpečná hašovací funkceBezpečná hašovací funkce Hlavní problém bezpečné hašovací funkce - žádná taková

prakticky využitelná funkce neexistuje. Bezkoliznost - nemůže být z principu

– Prof. Rivest určitě věřil, že MD5 je kvalitní. Za 14 let…– Kryptografové se snaží matematické zákony oklamat a takovou

funkci navrhnout (je potřeba pro zcela praktické věci, jakými jsou digitální podpis apod.)

Jednocestnost – všechny "důkazy" jednocestnosti všech používaných hašovacích

funkcí jsou založeny na různých matematických modelech. Ty se mohou ukázat jako neodpovídající realitě. Nakonec nám zůstane jen víra v to, že nelze invertovat nějakou složitou funkci.

Závěr 2: současný stav – víme, že BHF neexistuje, snažíme se jí ale přiblížit.

Nový konceptNový koncept NIST – připravuje mnohaletý program na hledání nového konceptu

hašovací funkce. Proběhlo několik mezinárodních kryptologických konferencí, žádný nový

hašovací standard. – Panelová diskuse, 2nd NIST Cryptographic Hash Workshop, August 2006,

USA:

– všichni panelisté souhlasili.

Závěr 3: Domníváme se, že hlavní příčinou současného stavu je: – Nebyly pojmenovány, analyzovány a zobecněny skutečné příčiny současných

útoků na hašovací funkce (lze udělat poměrně snadno)

– Chybí teoretický koncept pro novou generaci hašovacích funkcí ( to je velký problém)

– Navrhujeme řešení obou problémů

–Antoine Joux: „Nechápeme, co děláme a pořádně nevíme, co chceme…“

Hledáme příčiny.....Hledáme příčiny.....Základní model Základní model iterativní hašovací funkceiterativní hašovací funkce

f

část zprávyK

bitů

n bitůstarý kontext nový kontextn bitů

Základní model Základní model iterativní hašovací funkceiterativní hašovací funkce

f

m1

h0f

m2

h1f

mL

hL-1 hL

K bitů

n bitů

K bitů K bitů

n bitůn bitů n bitů

Základní model iterativní hašovací funkceZákladní model iterativní hašovací funkce

Vznikl v roce 1989 - klasický Merkle-Damgardův model [Mer89][Dam89].

Je přirozený Je základem všech moderních hašovacích funkcí Trpí všemi hlavními generickými útoky

– Útok prodloužením zprávy [Tsu92]– Jouxův [:žuův:] multikolizní útok [Jou04]– Kelsey-Schneierův multivzorový útok [KS05]

Závěr 4: Opustit přirozenou konstrukci nemůžeme, musíme se zřejmě smířit s tím, že hašovací funkce nové generace bude z teoretického hlediska náchylná k multikolizním a multivzorovým útokům. Možnou obranou může být výpočetní složitost.

(Útoku prodloužením zprávy lze zabránit.)

Současná stavba kompresní funkceSoučasná stavba kompresní funkce

Vycházíme z Merkle-Damgardova modelu Konstruujeme kompresní funkci f Při hašování jednoho bloku odpovídá f celé hašovací funkci,

takže f by měla být jednosměrná a bezkolizní, nejlépe náhodné orákulum.

Závěr 5: hledáme náhodné orákulum na místě kompresní funkce f

f

m1

h0f

m2

h1f

mL

hL-1 hL

f

mi

hi-1 hi

~


Místo funkce f se využívá klasická bloková šifra, ale s úpravami tak, aby vzniklé zobrazení bylo náhodné orákulum (zabraňuje hledání kolizí a vzoru). Nejčastěji Davies-Meyerova a Miyaguchi-Preneelova úprava.

mi

hi-1

E

fhi

hi-1 hi

mi

=

klíč

Ehi-1 hi

klíč

mi


Další varianty navrhli Black a kol. [BRS02] v r. 2002 (na obrázku je výběr)

Lze je všechny charakterizovat výrazem

ELin(Lin) xor Lin, kde Lin jsou jakékoliv (různé) lineární kombinace původních jednoduchých vstupů (hi-1, mi)

klíč

ELin hi

Lin

Lin


Další variantu navrhl Hirose v roce 2004 [Hir04]

Lze ho charakterizovat jako dvojici

( ELin(Lin) xor Lin, ELin (Lin) xor Lin )

kde Lin jsou opět nějaké lineární kombinace původních jednoduchých vstupů


Všechny hlavní současné hašovací funkce mají tuto stavbu: ELin(Lin) xor Lin Zdála se být vyhovující Dokud nepřišly útoky na MD, SHA a jiné Ukázaly, že tato stavba je špatná

klíč

ELin hi

Lin

Lin

Skutečné příčiny současných útoků na Skutečné příčiny současných útoků na hašovací funkcehašovací funkce

Útoky na MD5, SHA-0, SHA-1 aj.využily toho, že při konstantním otevřeném textu lze změnami v klíči řídit změny na výstupu použité blokové šifry (pro klasické blokové šifry je to nesmysl, ale o tom až za chvíli)

Při dvou otevřených textech, které mají určitou diferenci, se tyto změny dají řídit současně až do vzájemného vynulování (nebo docílení předem

dané diference na výstupu) (pro klasické blokové šifry je to dvojitý nesmysl, ale o tom až za chvíli)

f

mi

hi-1 hi

klíčklíč

Ehi-1 hi

mi

Ehi-1 hi

miEOT

Klíč

ŠT


Útoky lze zobecnit z diferencí v (hi-1, mi) na diference v lineárních kombinacích původních jednoduchých vstupů

Principiálně lze stejně útočit na všechna schémata typu ELin (Lin) xor Lin, což jsou všechna současná schémata

i zdánlivě komplikované

schéma

Hirose

klíčklíč

ELin hi

Lin

ELin hi

Lin

mi

mi

hi-1

hi-1

LinLin

Lin

Lin

Lin

Závěr 6: Pokud bloková šifra umožní propagaci změn v otevřeném textu a/nebo v klíči do šifrového textu, není vhodná pro konstrukci typu ELin(Lin) xor Lin

Ale klasické blokové šifry nebyly konstruovány proto, aby a priori tomuto zabránily

Protože …. u moderních blokových šifer se klíč volí náhodně (RNG, KDF, haš) a předpokládá se, že ho útočník nezná

Klasické blokové šifry nebyly a nejsou připraveny na to, – že by útočník při konstantním otevřeném textu mohl volit klíč a manipulovat s

ním (klíč není jeho vlastnictvím, nezná ho, teprve později se vyskytly chybové kanály, které připustily možnost znalosti diference v klíči, ale nikoli znalost vlastní hodnoty klíče)

– že by bylo životně důležité zabránit řízené propagaci těchto změn v klíči do změn v šifrovém textu (klíč se volí náhodně, není znám útočníkovi, diference v klíči jsou omezeně dostupné útočníkovi)

– že by bylo životně důležité zabránit řízené propagaci změn v otevřeném textu a současně v klíči do změn v šifrovém textu (klíč se volí náhodně, není znám útočníkovi, diference v klíči jsou omezeně dostupné útočníkovi, ale při jakémkoliv útoku alespoň část z hodnot (OT, klíč) není známa útočníkovi)

Kolize v MD5, SHA-0, SHA-1 aj. využily právě nepřipravenost jejich blokových šifer na uvedené tři útoky.

Závěr 7: Klasické blokové šifry u všech současných hašovacích funkcí nejsou na uvedené tři útoky a priori připraveny a proti nim konstruovány. Všechny současné hašovací funkce jsou principiálně těmito útoky ohroženy.

f

mi

hi-1 hi

klíčklíč

Ehi-1 hi

mi

Ehi-1 hi

mi

EOT

Klíč

ŠT

Znalost, možnost manipulace všemi vstupy f (tj. i blokové šifry E)

Skutečné příčiny současných útoků na hašovací funkceSkutečné příčiny současných útoků na hašovací funkce

Závěr 8: Základní hluboký rozpor mezi klasickou blokovou šifrou a kompresní funkcí je, že u blokové šifry útočník nezná všechny vstupy a nemá možnost s nimi libovolně manipulovat, zatímco u hašovací funkce ano.

(Abychom se možnosti manipulace se všemi vstupy vyhnuli, předsadili jsme jim náhodná orákula.) Dokud tento rozpor nevyřešíme, budeme stále potvrzovat Jouxovo: „Nechápeme, co děláme a nevíme, co ve skutečnosti chceme…“ Chceme náhodné orákulum.

Pokusme se zabránit řízení diferencí v klíči a v otevřeném textu použitím nějaké nelineární funkce místo lineární, která diference v (hi-1, mi) nepropaguje na výstup

f

mi

hi-1 hi

klíčklíč

ELin hi

Lin

ELin hi

Lin

mi

mi

hi-1

hi-1

LinLin

Lin

Lin

Lin

Bude to fungovat. Potřebujeme jen kvalitní nelineární funkci, která převádí (hi-1, mi) na výstup tak, aby řízením změn na vstupech se řídily změny na výstupu, tj. potřebujeme funkci f:

Ocitli jsme se na začátku problému. Konstrukce pomocí blokové šifry nám nepomohla. Proč?

klíčklíč

EhiE

hi

mi

mi

hi-1

hi-1

Non-Lin

Non-Lin

Non-Lin


Rozpory mezi klasickou blokovou šifrou a hašovací funkcí jsou ještě hlubší

f

mi

hi-1 hi

EOT

Klíč

ŠT

Klasická bloková šifra Ek(x) Kompresní funkce f

Obsahuje prvek neznámý útočníkovi(Moderní útoky začínají zeslabovat vlastnost neznalosti klíče)

Útočník zná všechny vstupy kompresní funkce a může s nimi dokonce manipulovat

Je určena k zakrytí struktury a obsahu otevřeného textu v šifrovém textu na základě tajného prvku, neznámého útočníkovi

Je určena k zakrytí struktury a obsahu (nejen části, ale) celého vstupu ve výstupu, neopírá se o žádný utajený prvek

Při fixovaném klíči je permutací Požaduje se náhodné zobrazení

Je invertibilní Požaduje se neinvertibilita

Bezkoliznost je nezajímavou vlastnostíx2 = Dk2(Ek1(x1))

Požaduje se bezkoliznost


Klasické blokové šifry - útočník nezná šifrovací klíč - pomocí něj se utajuje způsob převodu otevřeného textu na šifrový a naopak. Stavební prvky, které spoléhají na něco utajeného.

Utajenost "zneužívána" k tomu, že bity klíče jsou použity velmi jednoduše (TripleDES, AES). Nebyl důvod připravovat blokovou šifru na to, že útočník zná šifrovací klíč. To by byl nesmysl.

Pokud odstraníme předpoklad utajenosti klíče, už se nejedná o klasickou blokovou šifru, ale náhodné orákulum.

Závěr 9: Nejzákladnější příčinou problémů současných hašovacích funkcí je to, že

místo náhodného orákula používají stavební prvek, který byl původně určen pro řešení problému utajení dat.

f

mi

hi-1 hi

EOT

Klíč

ŠT

HomogenitaHomogenita

Příčinou je rozdělení vstupu kompresní funkce na dvě části, z nichž každá má jiný význam

Odstraníme-li předpoklad utajení jedné části vstupu (klíče), rozdělení na dvě části s jiným významem zůstává

Závěr 10: z hlediska výstupu náhodného orákula nesmí být žádný rozdíl mezi vstupy, nabízí se konstrukce f tak, aby všechny vstupy zpracovávala homogenně (se stejnou důležitostí, významem, stejným přístupem ...)

Technologie blokových šiferTechnologie blokových šifer

Biham 2006: použijme technologii blokových šifer

Jak ji využít? Návrh:

– Zrušit rozdíl mezi otevřeným textem a klíčem, – Využít dosavadních výsledků – náhodné orákulum „už

trochu u blokových šifer máme“– Zrušení klíče – dává permutaci– Zrušení otevřeného textu – může dát náhodné orákulum

Návrh náhodného orákula - speciální blokové Návrh náhodného orákula - speciální blokové šifry (SBŠ)šifry (SBŠ)

(U ideální blokové šifry jsme museli zajistit tak jako tak, že výše uvedené zobrazení je náhodné orákulum, a to pro jakýkoliv pevný otevřený text)

Využijeme technologii blokových šifer Klíč je u SBŠ potřeba zpracovávat velmi silně, a to zhruba na stejné úrovni jako

dříve otevřený text u klasické blokové šifry Výhoda: homogenita vstupních prvků, jednocestnost, náhodnost, cílená složitost Toto náhodné orákulum nazýváme speciální bloková šifra

f

mi

hi-1 hi

ECONST

Klíč

ŠT

mi hi-1 Způsob zpracováníklíče u speciální

blokové šifry musíbýt na stejné úrovni

jako způsobzpracování

otevřeného textu uklasické blokové

šifry

x =CONST0

x =CONST1

Ek(x) Ek(CONST0)

Náhodné orákulum konstruujeme jako zobrazení f: {0, 1}K {0, 1}n : k Ek(Const0)

Jak z malého náhodného orákula udělat Jak z malého náhodného orákula udělat velké ?velké ?

Nelze to jednoduše, jak ukázaly tři generické útoky na uvedenou konstrukci

Východiskem může být výpočetní složitost nebo nemožnost odlišit naši konstrukci od náhodného orákula

Řešení přinesly konstrukce NMAC a HMAC, navržené v roce 1996 [BCK96]

Důkazy vlastností – Coron a kol. 2005 [CDMP05], Klíma 2006 [Kli06c]

f

m1

h0f

m2

h1f

mL

hL-1 hL <- f

mi

hi-1 hi

Konstrukce NMAC a HMACKonstrukce NMAC a HMAC

Konstrukce NMAC a HMAC

NMAC(m)

f

m1

h0f

m2

h1f

mL

hL-1 ghL

f HMAC(m)f

NULL m1

h0IVf

m2

h1f

mL

hL-1

doplněk(K-n)

nulovýchbitů

E

K

hi-1Ef

hi hi-1 hi

K

=

hL

hL_pad

klíč

Obrana proti útoku prodloužením zprávy

Coron a kol. [CDMP05] ukázali, že při zvyšování délek bloku do nekonečna se NMAC a HMAC stávají výpočetně neodlišitelnými od náhodných orákul (náhodná orákula to být nemohou – viz generické útoky, ale mohou být od nich obtížně odlišitelné)

Z hlediska konkrétních útoků na získání vzorů a kolizí byly získány kvantitativní důkazy [Kli06c]: k nalezení kolize nebo vzoru u konstrukcí NMAC a HMAC by případný útočník nutně potřeboval řádově tolik operací jako kdyby místo nich byla náhodná orákula.

Takové kvalitativní a kvantitativní důkazy nemá žádná jiná konstrukce. Tím se problém BHF uzavírá následujícím návrhem.

4. Téma: SNMAC – Special Nested Message 4. Téma: SNMAC – Special Nested Message Authentication CodeAuthentication Code

Závěr 11: Koncept SNMAC může být kandidátem na hašovací funkce nové generace. Má dokazatelnou výpočetní odolnost proti nalezení vzoru a kolize, limitně se blíží náhodnému orákulu a umožňuje návrh různých instancí pomocí různých SBŠ.

Návrh nepředepisuje instance SBŠ, jen se říkají jejich vlastnosti. Konkrétní instance SBŠ (funkce DN) a na ní založené hašovací funkce (HDN) byly navrženy a budou brzy

publikovány [Kli06b]. Velikost hašovacího kódu HDN je 512 bitů a rychlost při použití „vojenské“ bezpečnostní rezervy je cca 3-4x

nižší než u SHA-512. V komerční verzi je možné téměř stejný výkon jako u SHA-512. (Programový kód nebyl optimalizován.)

NMAC(m)

f

m1

h0f

m2

h1f

mL

hL-1 ghL

f, g – speciální blokové šifry

f: {0, 1}K {0, 1}n : X EX(Const0)

g: {0, 1}n {0, 1}n : X EX (Const1)

ZávěrZávěr V příspěvku analyzujeme příčiny problémů hašovacích funkcí. Ukazujeme, že základní příčinou současných problémů

hašovacích funkcí je, že v kompresní funkci používají prvek, který byl původně určen pro řešení zcela jiného problému (utajení dat).

Navrhujeme nové kryptografické primitivum - speciální blokovou šifru (SBŠ).

Na bázi SBŠ navrhujeme novou třídu hašovacích funkcí SNMAC [Kli06c].– SNMAC je obecnou konstrukcí, která má tyto důkazy bezpečnosti:

Coron a kol. [CDMP05], 2005: konstrukce SNMAC se limitně stává výpočetně neodlišitelnou od náhodného orákula.

Klíma [Kli06c], 2006: funkce třídy SNMAC jsou výpočetně odolné proti nalezení vzoru a kolize.

– Takové důkazy bezpečnosti nemá žádná jiná konstrukce hašovací funkce. Byly navrženy konkrétní instance SBŠ a SNMAC

LiteraturaLiteratura [BCK96] M. Bellare, R. Canetti and H. Krawczyk. Keying hash functions for message

authentication. Advances in Cryptology – CRYPTO ’96, Lecture Notes in Computer Science Vol. 1109, pp. 1-15, Springer-Verlag, 1996.

[BCJ05] E. Biham, R. Chen, A. Joux, P. Carribault, Ch. Lemuet and W. Jalby. Collisions of SHA-0 and Reduced SHA-1. Advances in Cryptology –EUROCRYPT 2005, Lecture Notes in Computer Science Vol. 3494, pp. 36–57, Springer-Verlag, 2005.

[BDK07] E. Biham, O. Dunkelman, and N. Keller. A Simple Related-Key Attack on the Full SHACAL-1, to be published, CT-RSA 2007, RSA Conference 2007, Cryptographers' Track, February 5-9, 2007, Moscone Center, San Francisco, USA.

[Bih05] E. Biham: Recent advances in hash functions and the way to go, Conference on Hash Functions (Ecrypt Network of Excellence in Cryptology), June 23-24, 2005, Przegorzaly (Krakow), Poland, http://www.ecrypt.eu.org/stvl/hfw/Biham.ps.

[BRS02] J. Black, P. Rogaway, T. Shrimpton. Black-Box Analysis of the Block-Cipher-Based Hash-Function Constructions from PGV. Advances in Cryptology – CRYPTO 2002, Lecture Notes in Computer Science Vol. 2442, pp. 320-335, Springer-Verlag, 2002. Extended version: Cryptology ePrint Archive, Report 2002/066, http://eprint.iacr.org/2002/066.

[CDMP05] J. S. Coron, Y. Dodis, C. Malinaud and P. Puniya. Merkle-Damgard Revisited: how to construct a hash-function. Advances in Cryptology – CRYPTO 2005, Lecture Notes in Computer Science Vol. 3621, pp. 430 - 448, Springer-Verlag, 2005.

LiteraturaLiteratura [Dam89] I. Damgard. A Design Principle for Hash Functions. Advances in Cryptology -

CRYPTO 1989, Lecture Notes in Computer Science Vol. 435, pp. 416–427, Springer-Verlag, 1990.

[Hir04] S. Hirose: Provably secure double-block-length hash functions in a black-box model, Information Security and Cryptology - ICISC 2004, 7th International Conference, Seoul, Korea, December 2-3, 2004, Lecture Notes in Computer Science, Vol. 3506, pp. 330-342

[Jou04] A. Joux. Multicollisions in Iterated Hash Functions. Advances in Cryptology - CRYPTO 2004, Lecture Notes in Computer Science Vol. 3152, pp. 306–316, Springer-Verlag, 2004.

[Kli06a] V. Klima. Tunnels in Hash Functions: MD5 Collisions Within a Minute, Cryptology ePrint Archive, Report 2006/105, 18 March, 2006.

[Kli06b] SNMAC homepage http://cryptography.hyperlink.cz/SNMAC/SNMAC_CZ.html (in Czech), http://cryptography.hyperlink.cz/SNMAC/SNMAC_EN.html (in English).

[Kli06c] V. Klima: A New Concept of Hash Functions SNMAC Using a Special Block Cipher and NMAC/HMAC Constructions, IACR ePrint archive Report 2006/376 , October, 2006, http://cryptography.hyperlink.cz/SNMAC/SNMAC_EN.pdf (in English), Nový koncept hašovacích funkcí SNMAC s využitím speciální blokové šifry a konstrukcí NMAC/HMAC, http://cryptography.hyperlink.cz/SNMAC/SNMAC_CZ.pdf (in Czech).

[KS05] J. Kelsey and B. Schneier. Second Preimages on n-Bit Hash Functions for Much Less than 2n. Advances in Cryptology - EUROCRYPT 2005, Lecture Notes in Computer Science Vol. 3494, pp. 474–490, Springer-Verlag, 2005.

LiteraturaLiteratura [Mer89] R. C. Merkle. One Way Hash Functions and DES. Advances in

Cryptology - CRYPTO 1989, Lecture Notes in Computer Science Vol. 435, pp. 428–446, Springer-Verlag, 1990.

[MMO85] S. M. Matyas, C. H. Meyer and J. Oseas. Generating strong one-way functions with cryptographic algorithm. IBM Techn. Disclosure Bull., Vol. 27, No. 10A, 1985, pp. 5658 - 5659.

[MPRR06a] F. Mendel, N.Pramstaller, C.Rechberger, and V.Rijmen. Analysis of Step-Reduced SHA-256, to be published, FSE 2006

[PGV03] B. Preneel, R. Govaerts, and J. Vandewalle. Hash functions based on block ciphers: A synthetic approach. In Advances in Cryptology – CRYPTO ’93, Lecture Notes in Computer Science, pages 368–378. Springer-Verlag, 1994.

[Tsu92] G. Tsudik. Message authentication with one-way hash functions. ACM Computer Communications Review, 22(5):29-38, 1992.

Documents

Současné problémy hašovacích funkcí a koncepty SNMAC, DN a HDN – 1. část