2015年7月9日に行われたPh/shh/bin CTF勉強会のLTでPARI/GPについて二本立てでお話しました．

1. 1
PARI/GPの話
ytoku
2015-07-09 @ Ph/shh/bin CTF勉強会 LT1

2. 2
Speaker
徳重佑樹 a.k.a. ytoku
● 電気通信大学 M2
● 研究分野: Cryptography
● Team: MMA, Tokyo Westerns
●
Twitter: __ytoku
MMA
Tokyo Westerns
= MMA + tuat_mcc
+ CureSecure

3. 3
PARI/GP?
●
計算機代数システム
●
整数論に強い
– 因数分解
– 代数的数論
– 楕円曲線
– ...
● PARI: 計算ライブラリ
● GP: スクリプト言語
※1
※1: 本当に硬い合成数の素因数分解はGMP-ECMとかに任せたほうが良い

4. 4
Many equations and algorithms...

5. 5
Wonderland
(BkP CTF 2015: Crypto 600)
Serverの挙動:
十分に大きい素数を位数に含む
→楕円曲線上の離散対数問題としては絶望的
として 上で演算

6. 6
Wonderland (解法)
サーバは
上で有効か確認していない．(右辺が平方非剰余なら解なし)
が
存在しない を与えた時に返ってくる値は，実は
上の群における演算結果になっている．
が小さい素数の積
上で離散対数問題が解ける
もし
とは言ったものの……

7. 7
解くためにやる必要のあること
1.楕円曲線上の元の位数を求める
2.位数を素因数分解
3.楕円曲線上の離散対数問題を解く
実装めんどくさい
Schoof's algorithm
Pollard's rho algorithm,
p-1 algorithm, p+1 algorithm...
Baby-step giant-step

8. 8
確かに攻撃できるね！それで、時間内に
お兄ちゃんに実装できるのかな？
司令官、私がいるじゃない！

9. 9
楕円曲線のセットアップ
p = 2^160 + 7;
A = 40638;
E = ellinit([0, -A, 0, 1, 0] * Mod(1, p));

10. 10
楕円曲線の位数
Gx = 5;
G = [Gx, ellordinate(E, Gx)[1]];
orderG = ellorder(E, G)
なる元の
点 の位数を求める
? orderG = ellorder(E, G)
%6 = 730750818665451459101842825589656562369324838380

11. 11
素因数分解
? factor(orderG)
%7 =
[ 2 2]
[ 5 1]
[ 7 1]
[ 31 1]
[ 5857 1]
[ 3280967 1]
[ 68590573243 1]
[308648791439 1]
[413879086189 1]

12. 12
楕円曲線上の離散対数
x = -サーバから帰ってきた値;
Q = [x, ellordinate(E, x)[1]];
r = elllog(E, Q, G, orderG)
ここで をサーバに送信し，
を得る．
elllogの所要時間: 10秒程度

13. 13
lift(chinese(Mod(0, 2), Mod(r, orderG)))
lift(chinese(Mod(0, 2), Mod(-r, orderG)))
フラグを得られるように調整
●
最後に次の二点を調整してフラグが得られる
– Gの位数 が E'の位数/2 だった
– y座標が±yどちらなのかわからない
● サーバからの返答にはy座標が含まれない
Modを外しているだけ Chinese Reminder Theorem

14. 14
攻撃法は知ってるけど
原理は知らないって……
ね、簡単でしょう？
ちゃんとアルゴリズムも勉強しておきましょう

15. 15
PARI/GPにだって……
できないことぐらい……

16. 16
16進数リテラル対応してねぇ！

17. 17
[本題]
PARI/GPに対する
16進数リテラルの実装
ytoku
2015-07-09 @ Ph/shh/bin CTF勉強会 LT1

18. 18
やったこと
● yylex:
– 0xで始まるトークンをKHEXに
● parse.y:
– KHEXトークンを構文木でCSThexに
● compile.c, anal.c:
– CSThexから多倍長整数に読み取り
●
ようするに
– 10進数の処理をコピペして16進数に対応させただけ

19. 19
16進数 入力できます！
? p = 0x100000000
%1 = 4294967296
? p = 0xfffffffffffffffff
%2 = 295147905179352825855
? p = 0 x f f f f
%3 = 65535
実はGPの仕様上変なところにスペースが
入っても大丈夫(10進数も同じ)

20. 20
パッチの入手はこちらから
https://goo.gl/Qab0N0
URLは後でTwitterにでも
PARI/GPで素敵な暗号解読ライフを．
ご清聴ありがとうございました．
逆引き辞典「CTFと現代暗号のためのPARI/GP」もよろしく
https://wiki.mma.club.uec.ac.jp/CTF/Toolkit/PariGP