Schema generico di un algoritmo crittografico
Sicurezza nei Sistemi Informativi
Crittografia a chiave simmetrica
Ing. Orazio Tomarchio
[email protected]
Dipartimento di Ingegneria Informatica e delle Telecomunicazioni
Università di Catania
O. Tomarchio
Crittografia a chiave segreta
Sicurezza nei Sistemi Informativi
Crittografia a chiave segreta (simmetrica)
chiave-1 = chiave-2
Plaintext m
2
cifratura
Ciphertext c
chiave K
Algoritmi simmetrici
(cioè la funzione di cifratura e di decifratura sono
l’una l’inversa dell’altra)
Plaintext m
Basso carico di elaborazione
Ciphertext c
decifratura
Funzione di cifratura
c = E(m,K) = EK (m)
Funzione di decifratura
m = D(c,K) = DK (c)
con funzioni di cifratura e decifratura l’una inversa dell’altra
Usata principalmente per crittografia dei dati
O. Tomarchio
Sicurezza nei Sistemi Informativi
EK (DK (c )) == c
DK (EK (m )) == m
3
O. Tomarchio
Sicurezza nei Sistemi Informativi
4
Crittografia a chiave segreta (simmetrica)
Chiave unica
Chiave comune a mittente e destinatario
O. Tomarchio
Sicurezza nei Sistemi Informativi
Crittografia simmetrica
Cifrari a blocchi (Block cipher)
5
Symmetric block cipher
Principali algoritmi ( a blocchi)
Schema generico ad alto livello
Facendo riferimento allo schema generico già introdotto:
la stessa chiave k viene usata sia per D che per E
k = stringa di bit di lunghezza l
m = stringa di bit di lunghezza b
c = stringa di bit di lunghezza b
Il block cipher Ek rappresenta una relazione biunivoca tra l’insieme delle stringhe m
(i.e., i numeri m compresi tra 0 e 2b-1) e i possibili 2b valori [0..2b-1] di c, in
maniera dipendente da k
Dk = Ek-1
O. Tomarchio
Sicurezza nei Sistemi Informativi
7
DES, triple-DES
IDEA
RC2, RC5
Blowfish
AES
O. Tomarchio
Sicurezza nei Sistemi Informativi
8
Principali algoritmi
Obiettivi fondamentali di un block cipher
O. Tomarchio
Sicurezza nei Sistemi Informativi
9
Ogni bit di c deve dipendere da tutti i bit di k e da tutti i
bit di m
Non ci deve essere alcuna relazione statistica evidente
(almeno per chi non conosce k ) tra c e m
La modifica di un bit di m deve portare ad una modifica
di ciascuno dei bit di c con probabilità 0.5
La modifica di un bit di c deve fare in modo che il
corrispondente m, ricavato con Dk(c), subisca
cambiamenti statisticamente non correlati con il
cambiamento subito da c
O. Tomarchio
Concetti introdotti da Shannon
Diffusione
La struttura statistica del testo in chiaro viene espansa
in un ampio intervallo statistico del testo cifrato
In pratica vuol dire che ogni cifra del testo cifrato deve
essere influenzata da più cifre del testo in chiaro
Confusione
Cercare di complicare la relazione fra le statistiche del
testo cifrato ed il valore della chiave di crittografia
Questi due concetti sono alla base della progettazione dei
moderni cifrari a blocchi
O. Tomarchio
Sicurezza nei Sistemi Informativi
10
La funzione XOR
Diffusione e confusione
Sicurezza nei Sistemi Informativi
11
operatore di “confusione” ideale
se l’input è casuale (probabilità 0 : 1 = 50 : 50%)
allora anche l’output sarà casuale allo stesso
modo
disponibile su tutte le CPU
tavola di verità:
O. Tomarchio
Sicurezza nei Sistemi Informativi
12
Prodotto di cifrari
Prodotto di cifrari: un possibile schema
La sostituzione e la permutazione dei simboli possono
essere viste come funzioni fondamentali per la costruzione
di una funzione più complessa, che altro non è se non un
particolare prodotto delle funzioni fondamentali
Un obiettivo importante nel design di questo tipo di
algoritmi è che essi siano facilmente reversibili,
conoscendo k
Data la Ek, deve essere il più semplice possibile ricavare la Dk
O. Tomarchio
Sicurezza nei Sistemi Informativi
13
Dimensione di m e c: b bit
b= j n
Si: cifrari a sostituzione che
operano su j bit
P: cifrario a trasposizione
che opera su b bit
Round: prodotto dei due
cifrari
Sono necessari t round, con
t > 1, perché si raggiunga
uno degli obiettivi
fondamentali
(il cambiamento di un bit di
m deve portare al
cambiamento di ciascuno
dei bit di c con probabilità
0.5)
O. Tomarchio
Prodotto di cifrari:
combinazione di funzioni elementari
(swap, bit-shift, separazioni, concatenazioni, XOR,
susbstitution-cipher, …)
Il dimensionamento ottimale del numero di round è uno
dei parametri di progetto più importanti
Come utilizzare k in ciascuno dei cifrari utilizzati nella
combinazione?
Come assicurare la reversibilità?
O. Tomarchio
Sicurezza nei Sistemi Informativi
14
DES
Prodotto di cifrari: note
Sicurezza nei Sistemi Informativi
15
Data Encryption Standard
standard FIPS 46/2 (pubblicato nel 1977)
modalità di applicazione standard FIPS 81
chiave a 56 bit (+ 8 bit di parità = 64 bit)
blocco dati da 64 bit
Oggi è ormai obsoleto (sostituito dal 3DES nel 1999)
pensato per essere efficiente in hardware perché richiede:
permutazioni
shift
XOR
In pratica il più vecchio e il più usato cifrario a blocchi commerciale
(conosciuto) ancora in uso oggi, seppure con metodologie di
applicazione più complesse rispetto a quanto si facesse tempo fa
O. Tomarchio
Sicurezza nei Sistemi Informativi
16
Triple DES (3DES)
Doppio DES ?
applicazione ripetuta di DES
usa due o tre chiavi a 56 bit
solitamente usato in modo EDE
(compatibilità con DES se K1 = K2 = K3)
encrypt(K1) + decrypt(K2) + encrypt(K1)
equivale a K di 56 bit se si hanno 2**59B, altrimenti
equivale a K di 112 bit
encrypt(K1) + decrypt(K2) + encrypt(K3)
equivale ad avere K di 112 bit
standard FIPS 46/3 e ANSI X9.52
O. Tomarchio
Sicurezza nei Sistemi Informativi
17
l’applicazione doppia di algoritmi di cifratura è
soggetta ad un attacco di tipo known-plaintext
chiamato meet-in-the-middle che permette di
decifrare i dati con al più 2N+1 tentativi
quindi solitamente non si usa mai la versione
doppia degli algoritmi di cifratura
Nota: se l’algoritmo simmetrico di base fosse un
gruppo allora esisterebbe K3 tale che
enc (K2 , enc (K1 , P) ) = enc (K3 , P)
O. Tomarchio
Attacco meet-in-the-middle
IDEA
ipotesi:
chiavi da N bit
sono noti P e C tali che C = enc (K2, enc (K1, P) )
nota:
esiste M tale che M = enc(K1,P) e C = enc(K2,M)
azioni:
calcolo 2N valori Xi = enc (Ki, P)
calcolo 2N valori Yj = dec (Kj, C)
cerco quei valori Ki e Kj tali che Xi = Yj
“falsi positivi” eliminabili se ho più coppie P,C
O. Tomarchio
Sicurezza nei Sistemi Informativi
Sicurezza nei Sistemi Informativi
Introdotto nel1991
brevettato ma con basse royalty (solo per uso commerciale)
chiave a 128 bit
blocco dati da 64 bit
operazioni usate:
19
International Data Encryption Algorithm
18
XOR
addizione modulo 16
moltiplicazione modulo 216+1
Ampiamente analizzato dalla comunità, senza che fosse trovato alcun
problema: nessuno ha pubblicato alcun metodo pratico (al di là degli
attacchi a forza bruta) per penetrare IDEA
Utilizzato in diversi prodotti e sistemi: PGP, S/MIME, …
O. Tomarchio
Sicurezza nei Sistemi Informativi
20
RC2
RC5
sviluppati da Ron Rivest
RC = Ron’s Code
algoritmi proprietari di RSA ma non brevettati
3 e 10 volte più veloci di DES
chiave a lunghezza variabile
RC2:
pubblicato come RFC-2268 (mar 1998)
chiave da 8 a 1024 bit (solitamente 64 bit)
blocchi da 64 bit
O. Tomarchio
Sicurezza nei Sistemi Informativi
RFC-2040
blocco dati da B bit (0 < B < 257)
chiave (fissa/variabile) da b byte
(0 <= b < 256) ossia tra 0 e 2048 bit
lavora al meglio con B = 2 W
operazioni usate:
21
shift, rotate
addizione modulare
usato nel WAP
O. Tomarchio
Blowfish
22
AES (Advanced Encryption Standard)
Algoritmo a blocchi, introdotto nel 1994, royalty free
b = 64 bit
l = variabile, da 32 a 448 bit
Uno dei primi algoritmi ancora in uso ad introdurre il concetto di sicurezza
variabile, legato alla variabilità della dimensione della chiave
Progettato per essere estremamente efficiente in implementazioni SW su
processori general-purpose
È molto meno efficace in implementazioni HW: problemi con l’algoritmo di
generazione delle sotto-chiavi (estremamente complesso, e richiede “molta”
memoria)
Utilizza funzioni elementari combinate in maniera semplice, il che lo rende
relativamente semplice sia da analizzare che da implementare
Implementato in vari meccanismi di sicurezza (esempio: OpenSSH, PGPfone,
…)
Ha ricevuto ancora meno attenzione (temporale) di IDEA, ma finora non sono
stati trovati problemi
O. Tomarchio
Sicurezza nei Sistemi Informativi
Sicurezza nei Sistemi Informativi
23
Algoritmo a blocchi, standardizzato come successore di DES nel 2001
Processo di standardizzazione completamente aperto (processo di
selezione pubblica, con regole dettate dal NIST)
Basato sulla teoria matematica dei campi finiti di Galois
Progettato, oltre che per i “soliti” obiettivi, per essere semplice da
implementare sia in HW che in SW:
in entrambi i casi si ottiene un algoritmo molto più veloce di DES
b = 128 bit
l = variabile, 128, 192, 256 bit
(AES-128, AES-192, AES-256)
Non si conoscono attacchi crittanalitici pratici più efficienti della forza
bruta
O. Tomarchio
Sicurezza nei Sistemi Informativi
24
Applicazione degli algoritmi a blocchi
Crittografia simmetrica
Modalità d’uso dei block cipher
Come si applica un algoritmo a blocchi a dati in quantità diversa da
quella del blocco base?
Diversi modi d’uso portano a meccanismi ce possiedono diversi
vantaggi e svantaggi, e sono più o meno adatti ad applicazioni diverse
per cifrare dati in quantità superiore
ECB (Electronic Code Book)
CBC (Cipher Block Chaining)
per cifrare dati in quantità inferiore
padding
CFB (Cipher FeedBack)
OFB (Output FeedBack)
O. Tomarchio
ECB (Electronic Code Book)
m2
formula per il blocco i-esimo:
-1 (c , k)
mi = E
i
m1
mn
k
k
E
k
E
…
k
E
D
c1
c1
O. Tomarchio
c2
Sicurezza nei Sistemi Informativi
26
ECB (decifratura)
Il messaggio viene suddiviso in blocchi indipendenti
Ciascun blocco viene cifrato indipendentemente dagli altri
blocchi
Formula per il blocco i-esimo
ci = E (mi, k)
m1
Sicurezza nei Sistemi Informativi
m2
k
D
mn
…
k
c2
D
cn
cn
27
O. Tomarchio
Sicurezza nei Sistemi Informativi
28
CBC (Cipher Block Chaining)
ECB: proprietà
Vantaggi
Semplicissimo da implementare
Non propagazione degli errori, per errori di tipo “cambio di valore
di bit” (bit error)
Il messaggio viene suddiviso in blocchi…
che però vengono legati assieme nelle operazioni di cifratura
formula per il blocco i-esimo:
Svantaggi
Si presta ad attacchi (passivi) che analizzano la frequenza dei
simboli
ci = E (mi ⊕ ci-1, k)
richiede c0 = IV (Initialization Vector)
non attaccabile banalmente
Propagazione degli errori, per errori del tipo “inserimento o
cancellazione di bit” (lost/inserted bit)
k
A causa di questi svantaggi, è bene non usare mai ECB
Sicurezza nei Sistemi Informativi
29
O. Tomarchio
m1
m2
k
D
c1
O. Tomarchio
mn
…
k
D
…
c2
Sicurezza nei Sistemi Informativi
E
c1
k
E
…
c2
Sicurezza nei Sistemi Informativi
Cn-1
k
E
cn
30
CBC: proprietà
formula per il blocco i-esimo:
-1 (c , k) ⊕ c
mi = E
i
i-1
richiede che c0 (ossia l’ IV) sia noto anche al ricevente del
messaggio
IV
mn
…
CBC (decifratura)
m2
Si presta ad attacchi (attivi) che manipolano l’ordine dei blocchi, o
ne modificano il valore (violazione dell’integrità e autenticità)
O. Tomarchio
m1
IV
Cn-1
k
D
cn
31
Vantaggi
Non propagazione degli errori per gli errori bit error (un singolo errore di questo
tipo nel ciphertext agisce sul blocco di <c,m> in esame, e su un bit dell’m
successivo)
Stessi valori di m in posizioni diverse producono diversi c: molto più resistente di
ECB all’analisi della frequenza dei simboli
Più resistente di ECB ad attacchi attivi che manipolano l’ordine dei blocchi, o che ne
cambiano il valore (ma non immune)
Svantaggi
Si presta ad attacchi attivi che aggiungono blocchi, o che modificano il valore di
un blocco c per modificare in maniera prevedibile il corrispondente m (violazione di
integrità e autenticità)
Propagazione degli errori, per lost/inserted bit (a meno che non si perda/inserisca
un numero di bit multiplo di b)
Nota: importanza della presenza dell’IV, e della sua casualità
Esempio: se l’IV rimane costante, la trasmissione periodica dello stesso messaggio
porterà allo stesso ciphertext, quindi un intruso potrà capire quando il messaggio è
cambiato
O. Tomarchio
Sicurezza nei Sistemi Informativi
32
CBC: proprietà
Problemi di sincronizzazione (perdita di bit o inserimento di bit spuri nel ciphertext)
OFB (Output FeedBack)
Contromisura: se si usa CBC, bisogna prevedere dei meccanismi per ri-sincronizzare
il ciphertext di tanto in tanto (per esempio, utilizzando dei marker ben riconoscibili
ogni n blocchi)
Attacco attivo: aggiunta di blocchi
Contromisura: prevedere dei meccanismi per sapere in anticipo quanto ciphertext ci
si deve aspettare, o usare dei MAC (vedi più avanti)
Attacco attivo: modifiche a ci per influenzare prevedibilmente mi+1
Contromisura: aggiungere un CRC, o, meglio ancora, un MAC (vedi più avanti) per
garantire l’integrità
Attenzione all’IV!
Il messaggio è trattato
come uno stream
L’output della cifratura viene
usato come feedback per la fase
successiva
Tale feedback è indipendente dal
messaggio
richiede un IV
(per inizializzare lo shift register)
left shift register
64
k
64
Prendi gli s bit più a sinistra
s
s
mi
Assicurarsi sempre che nella propria implementazione vengano generati IV casuali,
e che essi non si ripetano
s
In ogni caso, e questo non vale solo per CBC, ricordate che questi modi di utilizzo degli
algoritmi a blocchi servono per fornire segretezza, non garanzia di integrità o
ci
autenticazione
O. Tomarchio
Sicurezza nei Sistemi Informativi
33
O. Tomarchio
Sicurezza nei Sistemi Informativi
OFB: proprietà
Un block cipher usato in OFB diventa a tutti gli effetti uno stream cipher: in particolare, il
keystream può essere calcolato prima della trasmissione dei dati (compromesso
memoria/potenza di calcolo)
Ancora meno propagazione degli errori di CBC: non essendoci feedback dal ciphertext, un
eventuale errore di trasmissione su un blocco ci influenzerà solo il corrispondente blocco mi, non
Non è più necessario inviare i messaggi in blocchi di (almeno) b bit alla volta come con CBC: si
possono inviare i c anche in blocchi di dimensione variabile, man mano che i relativi m sono
pronti per essere trasmessi
Soliti problemi legati agli errori di bit lost/deleted, amplificati: qualunque numero di bit persi o
aggiunti (anche multipli di b) nella trasmissione del ciphertext impediscono la corretta
decifratura dall’errore in poi
Se Alice sta trasmettendo il messaggio ci=mi ⊕ oi a Bob, e Trudy scopre la
coppia <ci,mi>, Trudy può sostituire ci con ci’=ci ⊕ mi ⊕ mi’, e fare in
modo che il messaggio ricevuto da Bob sia mi’ invece di mi
Contromisura: MAC
Attacco passivo: analisi in frequenza
Svantaggi
Attacco attivo: violazione di integrità e autenticità
mi+1
Attenzione all’IV: non si deve mai riutilizzare lo stesso IV con la stessa k
per due messaggi diversi! (ergo, se la chiave rimane costante, gli IV che
vengono usati per diversi messaggi devono essere veramente casuali)
Non è self-synchronizing: non si può usare su canali di comunicazione affetti di errori, a meno di
introdurre meccanismi esterni per la ri-sincronizzazione (ad esempio, marker)
Non può essere usato con algoritmi crittografici asimmetrici (si usa solo la Ek)
O. Tomarchio
Sicurezza nei Sistemi Informativi
34
OFB: proprietà
Vantaggi
E
35
O. Tomarchio
In questo caso il keystream sarà lo stesso per due messaggi diversi, quindi un
crittanalista, semplicemente facendo lo ⊕ dei due ciphertext, si troverebbe a
dover crittanalizzare semplicemente lo ⊕ dei due plaintext originali (analisi in
frequenza, ecc.)
Sicurezza nei Sistemi Informativi
36
CFB (Cipher FeedBack)
Il messaggio è trattato
come uno stream
Il testo cifrato viene usato come
feedback per la fase successiva
Lo standard permette di eseguire
il feedback con numero qualsiasi
di bit (1, 8, 64, o altro)
Denotati con CFB-1, CFB-8,
CFB-64, etc
richiede un IV
(per inizializzare lo shift register)
CFB: proprietà
left shift register
64
k
Vantaggi
Self-synchronizing: si auto-sincronizza, contrariamente a quanto
accade in OFB, se accadono errori di trasmissione (cancellazione o
aggiunta di bit) che coinvolgono un multiplo di b bit
E
64
Prendi gli s bit più a sinistra
s
mi
Svantaggi
s
Propagazione dell’errore limitata: in caso di un errore di
trasmissione su un singolo bit di un blocco ci, l’errore influenzerà la
decifratura di mi, e dei successivi b/s blocchi
s
Non si può calcolare il keystream in anticipo
Non può essere usato con algoritmi crittografici asimmetrici
(si usa solo la Ek)
ci
O. Tomarchio
Sicurezza nei Sistemi Informativi
37
O. Tomarchio
Sicurezza nei Sistemi Informativi
38
Algoritmi di tipo stream
Crittografia simmetrica
Stream cipher
operano su un flusso di dati senza richiederne la divisione
in blocchi, tipicamente su un bit o un byte alla volta
Ek è, in genere, stateful (con memoria): essa varia man
mano che trasforma il plaintext
algoritmo ideale:
one-time pad
algoritmi reali:
usano generatori pseudo-casuali di chiavi,
sincronizzati tra mittente e ricevente
esempi: RC4 e SEAL
O. Tomarchio
Sicurezza nei Sistemi Informativi
40
Stream cipher:
one-time-pad vs. pseudo-random keystream
Algoritmi di tipo stream
Abbiamo già visto le proprietà, i vantaggi (perfetta segretezza) e gli
svantaggi (chiave lunga) del one-time-pad
Il one-time-pad sarebbe il perfetto stream cipher
Un possibile metodo per creare uno stream cipher è quello di generare
un keystream lungo quanto il messaggio, ma a partire da una chiave k
di lunghezza piccola e predefinita
O. Tomarchio
Sicurezza nei Sistemi Informativi
41
Il keystream sarebbe in questo caso, non perfettamente casuale come nel
one-time-pad, bensì pseudocasuale
Quanto più il keystream generato si avvicina ad essere perfettamente
casuale, tanto più lo stream cipher si avvicina alla perfetta segretezza
In ogni caso, saremo lontani dalla perfetta segretezza,
dato che H(k) « H(m)
O. Tomarchio
Schema generico
O. Tomarchio
Sicurezza nei Sistemi Informativi
Sicurezza nei Sistemi Informativi
42
Synchronous stream cipher
43
O. Tomarchio
Sicurezza nei Sistemi Informativi
44
Self-synchronizing stream cipher
Synchronous stream cipher: proprietà principali
Se parliamo di alfabeti binari, mi e ci possono essere di qualunque dimensione, anche un
solo bit
La concatenazione dei vari zi porta ad un keystream pseudocasuale
Sorgente e destinazione devono sincronizzare il flusso di dati e il processo di
generazione e uso delle zi
Dalla mi=h-1(ci,zi) segue che la perdita o l’aggiunta anche di un solo blocco ci porta alla
decifrazione errata di tutti i successivi cj (con j>i)
Nelle implementazioni di questi cifrari bisogna quindi prevedere dei meccanismi per limitare gli
effetti di questi problemi (per esempio, marker, re-inizializzazione del processo, ecc.)
Analogamente, se ci serve lo zi, dobbiamo calcolare tutti gli z precedenti, fino a zi-1
La modifica, per esempio per errori di trasmissione, di un dato blocco ci non porta a
modifiche dei blocchi successivi o precedenti di mj (recuperati dai corrispettivi cj)
Non propagazione dell’errore: questo meccanismo si adatta bene alla trasmissione su canali
con un alto tasso d’errore
La maggior parte degli stream cipher oggi usati è di tipo binary additive, dove la
funzione h è semplicemente un XOR
O. Tomarchio
Sicurezza nei Sistemi Informativi
45
O. Tomarchio
Come nel caso precedente, se parliamo di alfabeti binari, mi e ci
possono essere di qualunque dimensione, anche un solo bit
La concatenazione dei vari zi porta ad un keystream pseudocasuale
È un synchronous stream cipher, creato da Ron Rivest (la
“R” di RSA) nel 1987
Initialization Vector (IV): serie di blocchi non segreti necessari ad
inizializzare il processo di generazione degli zi
Self-synchronizing: la cancellazione di un ci, l’inserimento di un ci
“spurio”, o gli errori di trasmissione su un certo ci porta ad errori di
ricostruzione degli m, ma tali errori si ripercuotono solo su un limitato
numero di mj che seguono l’mi corrotto
La quantità di mj corrotti dipenderà dalla grandezza di t
Sicurezza nei Sistemi Informativi
47
È rimasto protetto da segreto fino al 1994, quando il codice
sorgente di RC4 fu illegalmente inviato in rete
È ancora, in teora, un trade secret, quindi dovrebbe essere
acquistata una licenza da RSADSI (RSA Data Security
Incorporated) per poter usarlo in applicazioni commerciali
RC4 viene usato per generare, a partire da una chiave K
lunga da 1 a 256 byte (ottetti), un keystream pseudocasuale
O. Tomarchio
46
RC4
Self-synchronizing stream cipher: proprietà principali
Sicurezza nei Sistemi Informativi
La pseudo-casualità dello stream è stata verificata anche con chiavi
“banali”, come “0”
Di solito è meglio non utilizzare i primi 256 byte, in quanto essi
mostrano la correlazione maggiore tra chiave e keystream
O. Tomarchio
Sicurezza nei Sistemi Informativi
48
Crittografia simmetrica
RC4
È estremamente semplice da implementare, e porta ad
implementazioni veloci ed efficienti sia in HW che in SW
RC4 nelle implementazioni commerciali è circa 10 volte più veloce
di DES
Chiave singola e segreta
Una chiave per ogni coppia/gruppo di utenti
si è un vettore di 258 byte
zi è lungo 8 bit
h = h-1 = XOR
Sembra possedere tutte le proprietà necessarie per uno stream cipher.
Il keystream generato è:
Pseudo-casuale, indipendentemente dalla chiave scelta
Non c’è regolarità nei cicli di ripetizione del keystream
Non sembrano esserci cicli di ripetizione piccoli
O. Tomarchio
Sicurezza nei Sistemi Informativi
49
O. Tomarchio
Distribuzione delle chiavi
per crittografia simmetrica
distribuzione OOB (Out-Of-Band)
distribuzione tramite algoritmi per scambio chiavi
O. Tomarchio
Sicurezza nei Sistemi Informativi
50
Lunghezza delle chiavi segrete
Per una comunicazione privata completa tra N
persone occorrono N x (N-1) / 2 chiavi:
Sicurezza nei Sistemi Informativi
51
se l’algoritmo di crittografia è stato ben progettato
…
e le chiavi - lunghe Nbit - sono tenute segrete …
allora l’unico attacco possibile è l’attacco esaustivo
che richiede un numero di tentativi pari a 2Nbit
O. Tomarchio
Sicurezza nei Sistemi Informativi
52
Block cipher: quale usare oggi?
Criteri
Sicurezza: robustezza rispetto agli attacchi crittanalitici conosciuti,
spazio delle chiavi, dimensione del blocco
Disponibilità di implementazioni HW/SW, e loro compatibilità
Rapidità di esecuzione, efficienza, compattezza
Flessibilità d’uso (chiave di dimensione variabile, blocco di dimensione
variabile)
Ad oggi, personalmente, non vedo altra scelta se non AES
Velocità indicative di diversi
block cipher, in Mb/s,
implementati in SW in
linguaggio C++, P4 2.1 GHz
© Wei Dai
O. Tomarchio
Sicurezza nei Sistemi Informativi
53
