口令密钥生成密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过公钥获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2

Size: px

Start display at page:

Download "口令密钥生成密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过公钥获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2"

竿封
5 years ago
Views:

1 密钥分配密钥分割裴士辉 QQ:

2 口令密钥生成密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过公钥获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2

3 口令 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 3

4 口令的使用现在有很多地方的安全性依赖于口令 : 银行 ATM 的口令 ; 服务器注册口令 ;Web 服务口令等我们很少拥有密码学上的密钥, 但是我们有很多口令, 多到几乎记不住的程度口令使用方便, 而且历史悠久防止字典攻击是取口令应该注意的地方 4

5 对口令的字典攻击攻击者并不按照数字顺序去试所有可能的密钥, 首先尝试可能的密钥, 例如英文单词名字等 (Daniel Klein 使用此法可破译 40% 的计算机口令 ), 方法如下 : (1) 用户的姓名首字母帐户名等个人信息 (2) 从各种数据库得到的单词 (3) 数据库单词的置换 (4) 数据库单词的大写置换 (5) 对外国人从外国文字试起 (6) 尝试词组 5

6 口令的选择与密钥空间 6

7 口令的选取方法想出一个可记忆的短语, 如 : "over the river and through the woods, to grandmother's house we go." 然后只引用第一个字母而把它变成简写 ( 包括标点 ) otrattw,tghwg. 把简写中的字母替换成数字和符号来增加其复杂性例如, 用 7 来替换 t, 来替换 a: o7r@77w,7ghwg. 至少把一个字母变成大写来增加其复杂性, 如 H o7r@77w,7ghwg. 7

8 密钥的生成 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 8

9 ANSI X9.17 PRG k n n 令 E :{ 0, 1} { 0, 1} { 0, 1} 表示一个分组密码, 定义算法 : algorithm G( St) ( K, S) St X E ( S) ; S E ( X ) K K return ( X,( K, S)) 状态为 ( K, S ), K 是加密的密钥, S { 0, 1} n $ k $ 初始状态为 ( K, S ), 其中 K { 0, 1}, S { 0, 1} n 9

10 其他标准 FIPS-186 定义了基于 DES 和 SHA-1 的 PRGs NIST SP 定义了基于 hash HMAC CTR ECC 的生成器 ANSI X9.31 和 ANSI X9.62 OpenSSl 定义了基于 SHA-1 的 PRG 10

11 完整的过程在实际中, 随机数生成器 (RGN: random numbergeneration) 包括两个部分 : 种子 PRG RGN 失败的例子很普遍 :Netscape, Debian Linux, 等等失败既包括种子, 也包括 PRG. 原则上, 可以设计出好的 PRG. 但是种子的选取是一个问题典型的方法 : 维护一个熵池 (entropy pool) 可选的方法 : 基于硬件的 RNG 11

12 公开密钥的分配 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 12

13 公开密钥 Alice Bob pk[ A] x D ( y) y E ( x) y sk[ A] pk[ A] Sig ( m) Ver ( m, ) m, sk[ A] pk[ A] 只要获得 Alice 的公开密钥 pk[ A ] Bob 可以 : 向 Alice 发送密文验证 Alice 的签名那么 : 如何获得 Alice 的公开密钥 pk[ A ]? Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 13

14 公开密钥的分配这样如何 : Alice Bob ( pk[ A], sk[ A]) Alice, pk[ A] x D ( y) y E ( x) Sig y sk[ A] pk[ A] sk[ A] ( m) m, Ver (, ) [ ] m pk A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 14

15 中间人攻击 Adversary E ( pk[ E], sk[ E]) Alice, pk[ E ] x D ( y) y E ( x) Sig y sk[ E ] pk[ E ] sk[ E ] ( m) m, Ver Bob (, ) [ ] m pk E Bob 传给 Alice 的密文可以被攻击者 E 得到并解密攻击者 E 同时可以伪造 Alice 的签名 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 15

16 PKI 中的权威性 Bob 需要 Alice 的公钥是来自权威的拷贝 PKI(Public Key Infrastructure) 负责保证公钥的权威性通常是通过数字证书来实现 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 16

17 数字证书的过程 Alice 生成公钥 pk, 然后传递给 CA CA 检查并核实 Alice 的身份的真实性 Alice 向 CA 证实其知道私钥 sk CA 向 Alice 颁发数字证书 Alice 将数字证书传递给 Bob Bob 验证数字证书, 并获得 Alice 的公钥 pk Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 17

18 生成公钥并传递给 CA 密钥的生成 :Alice 在本地生成她的密钥对 ( pk, sk) 发往 CA: Alice 传递给 CA 如下信息 : ( Alice, pk ) Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 18

19 身份的检查与核实在收到 ( Alice, pk ) 之后,CA 需要进行检查, 以证实 pk 确实是 Alice 的 : 和 Alice 通电话进行核实检查相关的证件上述检查是带外 (out-of-band) 进行的 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 19

20 Alice 向 CA 证实其知道私钥 CA 可以通过如下方法知道 Alice 拥有与公钥 pk 对应的私钥 sk : 验证 Alice 的签名用其公钥 pk 加密某些信息, 让 Alice 解密上述方法保证 Alice 不是拷贝他人的密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 20

21 CA 向 Alice 颁发数字证书一旦 CA 确信公钥 pk 是属于 Alice 的,CA 生成 Alice 的数字证书 : CERTA ( CERTDATA, ) 其中是 CA 对于 CERTDATA 的签名, 使用的是 CA 的私钥 sk[ CA ] CERTDATA: pk, ID( Alice ) CA 的名称证书的有效日期使用范围安全级别然后把证书 CERT 传递给 Alice A 21

22 数字证书的使用 Alice 把证书 CERT 传递给 Bob, Bob 接到证书之后 : ( CERTDATA, ) CERTA A 使用 CA 的公钥 pk[ CA ] 对签名进行验证 : Ver ( [ ] CERTDATA, ) 1 pk CA ( pk, Alice, 有效日期, ) CERDATA 检查证书是否过期上诉过程通过, 就可以使用证书了 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 22

23 Bob 如何得到 pk[ca] CA 的公钥一般嵌入到软件之中, 例如浏览器 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 23

24 证书链 CA(USA) CA(Calf) CA(Mass) CA(SD) CERT Mihir CERT[CA(USA) : CA(Calf) ] CERT[CA(Calf) : CA(SD) ] CERT[CA(SD) : CA(UCSD) ] CERT[UCSDCA) : Mihir ] CA(UCSD) Mihir CERT[ X : Y ] ( pk[ Y ], Y,, Sig ( pk[ Y ], Y, )) sk[ X ] 为了验证 CERT Mihir,Bob 只需要 pk CA[ USA] Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 24

25 为什么使用证书链对于如下工作 : 检查 Milir 的身份并向 Milir 颁发证书 CA(UCSD) 比 CA(USA) 更适合, 因为 : Milir 是 UCSD 的教授, 并且 UCSD 掌握了很多 Milir 的相关信息分布式的身份检查和证书发放可以减少单独 CA 的工作量浏览器只需要嵌入很少的公钥 ( 例如只需要根 CA 即可 ) Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 25

26 证书的撤销如果 Alice 想要撤销她的证书 CERT, 可能因为她的私钥暴露了 Alice 传递 CERT 和撤销申请给 CA A CA 确认撤销申请确实是 Alice 提出的 CA 标志 CERT 为撤消状态 A A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 26

27 证书撤销列表 CRLs: Certificate revocation lists CA 维护了一个 CRL, 其条目具有如下形式 : (CERT, 撤销日期 ) 列表随时发布, 任何人可以查询在 Bob 接受 Alice 的证书之前, 他需要检查一下 CRL Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 27

28 例如 11 月 22 日 :Alice 的私钥暴露了 11 月 24 日 :Alice 的数字证书 CERT 撤消了 11 月 25 日 :Bob 看到了 CRL 在 11 月日期间, 证书可能被使用,Bob 可能接受了攻击者的签名 ; 另外 Bob 发往 Alice 的密文可能被攻击者解密 A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 28

29 OCSP OCSP: On-line Certificate Status Protocol OCSP 支持在线查询证书是否已经撤消了 Alice Bob CA CERTA CERTA ok/not 但是在线验证违背了公钥密码的初衷 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 29

30 实际中的证书撤销问题 VeriSign 估计撤销证书的比率为 20% 实际中 CRLs 是巨大的证书撤销问题是一个大问题, 它影响了 PKI 的推广以及公钥密码的使用 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 30

31 共享密钥的分配 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 31

32 共享秘钥 Alice K C M D ( C ) C E ( M ) K Bob T MAC M Ver M T M, T K ( ) K (, ) K K Alice 和 Bob 使用共享密钥 : 互相发送加密数据验证彼此的 MACs 和公开密钥相比, 共享秘钥的优势在于计算速度但是, 如何获得共享秘钥? Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 32

33 Diffie-Hellman 密钥协商方案令 G g 表示阶为 m 的循环群, 其中 ( G, g, m ) 为公共参数 Alice x X g x Alice, X m; Bob Bob, Y m; y Y g y x K Y K X Y ( g ) g ( g ) X x y x xy x y y y 该方案可以在 Alice 和 Bob 之间建立共享秘钥该密钥之后可以用来加密消息, 生成 MAC. Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 33

34 对 DH 密钥协商方案的中间人攻击 Eve Bob x X g x Alice, X m; Bob, Y m; y Y g y x y K Y K X x D K y ( y) y E ( x) 中间人 Eve 可以假冒 Alice, 这样 : Bob 认为他与 Alice 共享秘钥 K, 实际上确是 Eve 拥有 K Bob 传给 Alice 的密文,Eve 可以解密结论 :DH 密钥交换方案在主动攻击下式不安全的 K Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 34

35 什么时候使用密钥协商方案? 如果存在中间人攻击,Alice 和 Bob 不可能做到 : 从协议开始执行到结束的整个过程通过交换信息得到攻击者不知道的共享秘钥为什么? 因为 Alice 和 Bob 没有方法区分是对方还是中间人攻击者怎么办? Alice 和 Bob 在执行密钥交换方案之前, 应该具有中间人攻击者不知道的信息即长期密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 35

36 公开密钥 :A 有公开密钥长期密钥 pk B, B 有公开密钥对称密钥 :A, B 共享一个密钥 K 三方密钥 :S 为可信的第三方服务器 A, S 共享秘钥 K A B, S 共享秘钥 K B pk A Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 36

37 会话密钥 (session keys) 在实际中,Alice 和 Bob 之间会发生多次通信会话在每次会话过程中,Alice 和 Bob 需要做如下工作 : 首先基于他们的长期密钥, 执行会话密钥分配协议, 得到一个新的会话密钥在会话过程中, 使用会话密钥, 进行通信过程中加密和消息认证 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 37

38 会话密钥分配有非常多的协议数十个安全需求很多个破解的协议会话密钥分配方案容易定义, 得到正确的却很难使用的非常多 :SSL, TLS, SSH, Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 38

39 为什么使用会话密钥在效率方面, 和长期密钥相比, 速度更快从安全方面的考虑, 不同的应用使用不同的密钥, 在一个应用中不会获得其他应用的信息 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 39

40 会话密钥基本的安全要求一方可能同时处在很多不同的通信会话之中一个会话中的会话密钥不会暴露其他会话密钥的信息 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 40

41 通过公开密钥分配会话密钥 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 41

42 通过公开密钥分配会话密钥 A pk[ B] pk[ A] B K K 在实际中这是最广泛的会话密钥交换方式, 在所有如下的安全通信协议中都使用了这种方式 :SSL,SSH,TLS,IPSEC, 等 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 42

43 KE1 方案 A pk[ B] pk[ A] A, R A R, C, B, Sig ( R, R, C ) C E ( K ) B sk[ B] A B pk[ A] A, Sig ( R, R ) sk[ A] A B B 会话密钥 K 是由 B 生成的 R, R 是随机的 nonce A B Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 43

44 绑定 (binding) 攻击 A E B A, R E, R A A RB, C, B, Sigsk[ B] ( RA, RB, C ) B sk[ B] A B R, C, B, Sig ( R, R, C) A, Sig ( R, R ) E, Sig ( R, R ) sk[ A] A B sk[ E ] A B A 认为他和 B 共享会话密钥 K ',B 认为他和 E 共享会话密钥 K ; 虽然 E 不知道会话密钥 K ', 但通常视之为一个问题虽然目前还没有该问题的危害性的恰当的例子 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 44

45 KE2 方案 A pk[ B] pk[ A] A, R A R, C, B, Sig ( A, B, R, R, C ) C E ( K ) B sk[ B] A B pk[ A] A, Sig ( A, B, R, R ) sk[ A] A B B 把身份信息也加入到签名的输入之中, 阻止了绑定攻击 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 45

46 A 前向安全 (forward secrecy) pk[ B] pk[ A] A, R A R, C, B, Sig ( A, B, R, R, C) C E ( K ) B sk[ B] A B pk[ A] A, Sig ( A, B, R, R ) sk[ A] A B C C E ( M ) B B K B 10 月 10 日 : 攻击者 E 记录了上述的传递过程 11 月 18 日 :A 的系统被攻破,A 的私钥 sk[ A ] 暴露 11 月 19 日 :A 撤销了他的数字证书, 进一步的危害不会发生但不会阻止攻击者 E: K E ( ) sk[ A] C ; M D ( C ) 如何获得前向安全性 : 即使 sk[ A ] 暴露了, 之前的通信安全不受影响? Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 46 K B

47 KE3 方案 A pk[ B] pk[ A] A, g g, B, Sig ( A, B, g, g ) b a b sk[ B] a b A, Sig ( A, B, g, g ) sk[ A] a B a b ab 会话密钥是 K H( A, B, g, g, g ) 即使攻击者获得 A 的私钥 sk[ A ] 也无助于得到会话密钥, 从而保证了前向安全性因为这里只有签名过程, 没有使用公钥的加密过程所有标准中的 DH 方案都具有前向安全性 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 47

48 秘密共享 ( 秘密分割密钥分割 ) 48

49 问题的提出 49

50 问题的提出假设 Coca-Cola 公司的董事会想保护可乐的配方. 该公司总裁应该能够在需要时拿到配方, 但在紧急的情况下,12 位董事会成员中的任意 3 位就可以揭开配方百度百科 50

51 (k,n) 秘密分割门限方案已知秘密 S, 将其分割成 n 个元素 S1, S2,, Sn 1. 拥有大于等于 k 个不同的 S i, 可以重构秘密 S ; 2. 拥有小于 k 个不同的 S i, 不能重构秘密 S k 称为门限值, S i 称为子密钥或影子秘密分割方案由 Adi Shamir 和 George Blakley 在 1979 分别提出 51

52 (3,n) Blakley 秘密分割门限方案 Blakley's scheme in three dimensions: each share is a plane, and the secret is the point at which three shares intersect. Two shares are insufficient to determine the secret, although they do provide enough information to narrow it down to the line where both planes intersect. 维基百科 52

53 Shamir 秘密分割门限方案依据 :2 个点可以构建直线,3 个点可以构建抛物线,4 个点可以构建 3 次曲线,k 个点可以构建 k 1多项式假设要构建 ( k, n ) 门限方案, 其中共享秘密为 S, 假设 S p, 0 k n p, S p, p 为素数随机选择 k 1个正整数 a1,, ak 1 p, 令 a0 式 : 秘密的分割 : f ( x) a a x a x a x 每个参与者分配一个点 ( i, f ( i )) 2 k k 1 S 由此构建多项 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 53

54 问题假设部队中一个班 10 个人, 其中士兵 8 个人, 副班长 1 人, 班长 1 人假设一件事情, 4 个士兵可以决定或者 2 个士兵加上副班长可以决定或者班长可以决定请问如何设计密钥共享方案? Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 54

<4D F736F F F696E74202D20BDB2D2E531372D31385FCAFDD7D6C7A9C3FBD3EBC9EDB7DDC8CFD6A42E707074>

<4D F736F F F696E74202D20BDB2D2E531372D31385FCAFDD7D6C7A9C3FBD3EBC9EDB7DDC8CFD6A42E707074> 数字签名与身份认证裴士辉 QQ:1628159305 手工签名签名印章手印 2 电子签名问题 : 电子签名很容易拷贝要求 : 电子签名是消息的一个函数, 并且只有 Alice 可以计算 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课程讲义 3 令银行和 Alice 共享密钥 K 如果 MAC

口令 密钥生成 密钥分配 内容 公开密钥的分配 共享密钥的分配 会话密钥的分配 通过公钥获得会话密钥 密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2

口令密钥生成密钥分配内容公开密钥的分配共享密钥的分配会话密钥的分配通过公钥获得会话密钥密钥分割 Mihir Bellare and Phillip Rogaway,Introduction to Modern Cryptography 课件 2