1. 1 Криптографическиехэш-функции Илья Миронов Екатеринбург16-17 апреля, 2011

2. О докладчике 1993-99 мат-мех СПбГУ 1999-2003 Ph.D., Стэнфорд, США Анализ RC4 как тасование колоды карт 2003- Microsoft Research, Silicon Valley криптография privacy 2

3. Microsoft Research Более 800 человек Активная программа стажеров! 3

4. Почему хэш-функции? Один из основных примитивов Обманчивая простота Увлекательная теория Международный конкурс! 4

5. План Определение, применения Конструкция: Davies-Meyer Merkle-Damgård Общие атаки демонстрация Конкретные хэш-функции Соревнование SHA-3 Заключение 5

6. План Определение, применения Конструкция: Davies-Meyer Merkle-Damgård Общие атаки демонстрация Конкретные хэш-функции Соревнование SHA-3 Заключение 6

7. Мир хэш-функций 7

8. Мир хэш-функций 8 Стандарт SHA-3

9. 9 Что такое хэш-функция? H: {0,1}*->{0,1}n сообщение хэш H x M

10. 10 Что такое хэш-функция? Hk: {0,1}*->{0,1}n k — ключ или индекс сообщение хэш H x M

11. Что такое криптографическая хэш-функция? Устойчивость к нахождению: прообраза коллизии второго прообраза   M ? ? ? ? = x ? x ? x 11

12. Применение: Таблицы паролей 12 Алиса Боб пароль H(пароль) ?=H(пароль1) пароль ?= пароль1 принять или отказать 12

13. Требование к безопасности? 13 Дано:x=H(пароль)Найти: любую строку M, удовлетворяющуюH(M) = x H — устойчива к нахождению прообраза (односторонняя функция)

16. Применение: SSL/TLS 16 Алиса Сервер http://amazon.com открытый ключ сертификат 16

17. Требования к безопасности? 17 Дано:C— подпись M, то естьC = H(M)d mod NНайти: строку M′, удовлетворяющуюH(M) = H(M′) H — устойчива к нахождению второго прообраза

18. Переговоры 18 переговоры Алиса Боб договор договор+подпись 18

19. Переговоры 19 переговоры Алиса Боб договор′ договор договор+подпись договор′+подпись 19

20. Требования к безопасности? 20 Найти: любые две строки Mи M′, так чтоH(M) = H(M′) H — устойчива к нахождению коллизий

21. Стойкость идеальной хэш-функции Устойчивость к нахождению: 21 прообраза второго прообраза коллизии   M ? ? ? ? = x ? x ? x 2n 2nвычислений 2n/2

22. Парадокс дня рождения 22 23 ≈365⋅1.2

23. 23 Теория Коллизии Обязательно существуют Парадокс дня рождения: 2n/2 Второй прообраз 2n Односторонность 2n Dan Simon’98

24. План Определение, применения Конструкция: Davies-Meyer Merkle-Damgård Общие атаки демонстрация Конкретные хэш-функции Соревнование SHA-3 Заключение 24

25. 25 Конструкции Две основных компоненты Сжимающая функция Итератор

26. 26 Сжимающая функция 512 бит 160 бит

27. 27 Сжимающая функция 512 бит 160 бит

28. 28 Сжимающая функция «ключ» M «сообщение» H  Конструкция Davies-Meyer (~1979)

29. 29 Итератор M0 M1 M2 M3 H0 H1 H2 H3 IV Конструкция Merkle-Damgård (1989)

30. 30 Доказательство? длина M0 M1 M2 M3 H3 H4 H0 H1 H2 IV

31. 31 Обзор конструкции M H(M)

32. 32 Обзор конструкции длина M0 M1 M2 M3 H3 H4 H0 H1 H2 IV

33. 33 M    Обзор конструкции

34. 34 Обзор конструкции a1 a2 a3 a48    b1 b2 b3 b48 …  c1 c2 c3 c48 d1 d2 d3 d48

35. 35 IV  Черный ящик Не M H(M)  

36. 36 Аутентификация k M1 M2 M3 H0 H1 H2 H3 IV MAC: Hk(M) = H(k || M) Hk(M || M3) = C(Hk(M), M3)

37. HMAC MAC: Hk1,k2(M) = H(k2 || H(k1|| M)) Доказательство основывается на устойчивости к коллизиям 37

38. 38 Каскадные хэш-функции F(M) = G1(M)|| G2(M) – каскадная функция «ЕслиG1 иG2независимы, то для поиска коллизии дляFнеобходимо найти коллизии для обеих функций одновременно.Это требует произведения усилий, необходимых для атак на G1 иG2по отдельности.» Handbook of Applied Cryptography

39. 39 Атака Жу (Joux) M0, N0 M1, N1 M2, N2 M3, N3 H0 H1 H2 H3 IV k 2n/2 усилия для нахождения 2k коллизий

40. 40 Атака Жу Проделав k·2n/2вычислений, находим 2kколлизий для G1 Положив k = n/2, мы найдем среди них коллизиюM, Nдля G2 G1(M) = G1(N) и G2(M) = G2(N)

41. 41 «Отравленный блок» M0 M3 M1 M2, N2 H0 H1 H2 H3 IV

42. 42 if (R1 == R1) then print(“Dr. Jekyll”) else print(“Mr. Hyde”) if (R2== R1) then print(“Dr. Jekyll”) else print(“Mr. Hyde”) Атакуем Postscript

43. План Определение, применения Конструкция: Davies-Meyer Merkle-Damgård Общие атаки демонстрация Конкретные хэш-функции Соревнование SHA-3 Заключение 43

44. Краткая история 44 SHA-2 SHA-3 256 256 SHA-0 SHA-1 160 MD5 512 128 MD4 512 128 1990 1995 2010 2000 2005

45. 45 Хэш-функции 90-х

46. 46 Хэш-функции 2000-х

47. 47 Attacks onMD4-MD5

48. 48 Attacks onMD4-MD5

49. 49 Attack onSHA-0,1

50. Развитие атак 50 Первое поколение атак на MD4,MD5, SHA-0,1: M1 M2 1-3×64 байт

51. Развитие атак 51 Произвольный префикс: M1 M2 1-3×64 байт

52. Sotirov et al.’08 52 Self-signed MD5 Collisions RapidSSL user1 user2 user3

53. Два сертификата 53 префиксы коллизия идентичные биты

54. План Определение, применения Конструкция: Davies-Meyer Merkle-Damgård Общие атаки демонстрация Конкретные хэш-функции Соревнование SHA-3 Заключение 54

55. Соревнование SHA-3 В 2005 году принято решение о выработке нового стандарта в рамках соревнования Модель – стандарт AES Формальное объявление – 2 ноября 2007 Начало соревнования: конец 2008 года Первый раунд: 15 кандидатов Второй раунд: 5 кандидатов Выбор финалиста – 2012 год 55

56. Соревнование SHA-3 64 51 14 5 1 2008 2009 2010 2011 2012 56

57. Соревнование SHA-3 64 51 23 14=15-1 MD6 снят авторами? 5 2008 2009 2010 2011 2012 57

58. Финалисты BLAKE Grøstl JH Keccak Skein 58

59. BLAKE Интересная внутренняя структура Непрозрачный дизайн: много произвольно выбранных констант нет доказательств хорошая скорость 59

60. Grøstl Основан на AES: может использовать AES-NI много статей, один из медленных rebound attack 60

61. Keccak Не Merkle-Damgård! Перестановка – быстрая и компактная в хардвере Не работают стандартные методы криптанализа 61

62. Keccak “Трехмерный AES” 62

63. Keccak: операция θ 63

64. Keccak: операция ρ 64

65. Keccak: операция π 65

66. Keccak: операция χ 66

67. JH Не Merkle-Damgård 4-битовые S-Box Относительно малоизучен 67

68. Skein Самый простой Традиционные компоненты: Davies-Meyer Merkle-Damgård Три операции: +, ≪, ⊕ 68

69. Структура 8- битовый S-Box: Grøstl 4-битовый S-Box: Keccak, JH +, ≪, ⊕: BLAKE, Skein 69

70. Скорость на Intel Core i7 70 Источник: http://bench.cr.yp.to/web-impl/amd64-ellprecisio-crypto_hash.html

71. 256 vs 512 71

72. Производительность на хадвере 72

73. План Определение, применения Конструкция: Davies-Meyer Merkle-Damgård Общие атаки демонстрация Конкретные хэш-функции Соревнование SHA-3 Заключение 73

74. Что дальше? Не использовать MD4, MD5, SHA-1 Готовиться к новому стандарту Режимы использования хэш-функций: рандомизация переход с HMAC на другие виды MAC’ов 74

75. Анонс: Лекции завтра Лекция 1: Поиск коллизий без использования памяти параллельный для инкрементальных хэш-функций Размен память/время Лекция 2: Модель случайного оракула Неразличимость конструкций 75

76. 76 Аутентификация UMAC John Black, ShaiHalevi, Hugo Krawczyk, Ted Krovetz, and Phillip Rogaway, 1999 на длинных сообщения ~1.5 такта/байт

77. 77 Target-collision resistance Hk(M) Враг: Алиса x k y Hk(x)=Hk(y)

78. 78 TCR хэш Hk(M) – TCR Для подписи M: Генерируем случайное k Подписываем k || Hk(M) Атака? Найти M′,так что k || Hk(M) = k || Hk(M′)