Đang tải... (xem toàn văn)
Các hệ mật hóa công khai khác
Chơng 5Các hệ mật khoá công khai khácTrong chơng này ta sẽ xem xét một số hệ mật khoá công khai khác. Hệ mật Elgamal dựa trên bài toán logarithm rời rạc là bài toán đợc dùng nhiều trong nhiều thủ tục mật mã. Bởi vậy ta sẽ dành nhiều thời gian để thảo luận về bài toán quan trọng này. ở các phần sau sẽ xem xét sơ lợc một số hệ mật khoá công khai quan trọng khác bao gồm các hệ thoóng loại Elgamal dựa trên các trờng hữu hạn và các đờng cong elliptic, hệ mật xếp ba lô Merkle-Helman và hệ mật McElice.5.1. Hệ mật Elgamal và các logarithm rời rạc.Hệ mật Elgamal đợc xây dựng trên bài toán logảithm rời rạc . Chúng ta sẽ bắt đầu băng việc mô tả bài toán bài khi thiết lập môi trờng hữu hạn Zp, p là số nguyên tố ( hình 5.1) ( Nhớ lại rằng nhóm nhân Zp* là nhóm cyclic và phần tử sinh của Zp* đợc gọi là phần tử nguyên thuỷ).Bài toán logarithm rời rạc trong Zp là đối tợng trong nhiều công trình nghiên cứu và đợc xem là bài toán khó nếu p đợc chọn cẩn thận. Cụ thể không có một thuật toán thời gian đa thức nào cho bài toán logarithm rời rạc. Để gây khó khăn cho các phơng pháp tấn công đã biết p phải có ít nhất 150 chữ số và (p-1) phải có ít nhất một thừa số nguyên tố lớn. Lợi thế của bài toán logarithm rời rạc trong xây dợng hệ mật là khó tìm đợc các logarithm rời rạc ,song bài toán ngợc lấy luỹ thừa lại có thể tính toán hiệu quả theo thuật toán "bình ph-ơng và nhân". Nói cách khác , luỹ thừa theo modulo p là hàm một chiều với các số nguyên tố p thích hợp. Elgamal đã phát triển một hệ mật khoá công khai dựa trên bài toán logarithm rời rạc. Hệ thống này đợc trình bày trên hình 5.2. Hệ mật này là một hệ không tất định vì bản mã phụ thuộc vào cả bản rõ x lẫn giá trị ngẫu nhiên k do Alice chọn. Bởi vậy, sẽ có nhiều bản mã đợc mã từ cùng bản rõ. Hình 2.6 Bài toán logarithm rời rạc trong Zp Hình 2.7 Hệ mật khoá công khai Elgamal trong Zp*Sau đây sẽ nmô tả sơ lợc cách làm việc của hệ mật Elgamal .Bản rõ x đ-ợc "che dấu" bằng cách nhân nó với k để tạo y2 . Giá trị k cũng đợc gửi đi nh một phần của bản mã. Bob -ngời biết số mũ bí mật a có thể tính đợc k từ k . Sau đó anh ta sẽ "tháo mặt nạ" bằng cách chia y2 cho k để thu đợc x.Ví dụ 5.1Đặc trơng của bài toán: I = (p,,) trong đó p là số nguyên tố, Zp là phần tử nguyên thuỷ , Zp*Mục tiêu:Hãy tìm một số nguyên duy nhất a, 0 a p-2 sao cho: a (mod p) Ta sẽ xác định số nguyên a bằng log Cho p là số nguyên tố sao cho bài toán logarithm rời rạc trong Zp là khó giải. Cho Zp* là phần tử nguyên thuỷ.Giả sử P = Zp* ,C = Zp* ì Zp* . Ta định nghĩa:K = {(p, ,a,): a (mod p)} Các giá trị p, , đợc công khai, còn a giữ kín Với K = (p, ,a,) và một số ngẫu nhiên bí mật k Zp-1, ta xác định:ek (x,k) = (y1 ,y2 )trong đóy1 = k mod py2 = xk mod pvới y1 ,y2 Zp* ta xác định:dk(y1 ,y2 ) = y2 (y1a )-1 mod p Cho p = 2579, = 2, a = 765. Khi đó = 2765 mod 2579 = 949Bây giờ ta giả sử Alice muốn gửi thông báo x = 1299 tới Bob. Giả sử số ngẫu nhiên k mà cô chọn là k = 853. Sau đó cô ta tính y1 = 2853 mod 2579= 435 y2 = 1299 ì 949853 mod 2579 = 2396Khi đó Bob thu đợc bản mã y = (435,2396), anh ta tínhx = 2396 ì (435765)-1 mod 2579= 1299Đó chính là bản rõ mà Alice đã mã hoá.5.1.1. Các thuật toán cho bài toán logarithm rời rạc.Trong phần này ta xem rằng p là số nguyên tố, là phần tử nguyên thuỷ theo modulo p. Ta thấy rằng p và là các số cố định. Khi đó bài toán logarithm rời rạc có thể đợc phát biểu dới dạng sau: tìm một số mũ a duy nhất, 0 a p-2 sao cho a (mod p), với Zp* cho trớc.Rõ ràng là bài toán logarithm rời rạc (DL) có thể giải bằng một phép tìm kiếm vét cạn với thời gian cỡ O(p) và không gian cỡ O(1) ( bỏ qua các thừa số logarithm). Bằng cách tính toán tất cả các giá trị a có thể và sắp xếp các cặp có thứ tự (a, a mod p) có lu ý đến các tạo độ thứ hai của chúng, ta có thể giải bài toán DL với thời gian cỡ O(1) bằng O(p) phép tính toán trớc và O(p) bộ nhớ ( vẫn bỏ qua các thừa số logarithm). Thuật toán không tầm thờng đầu tiên mà chúng ta sẽ mô tả là thuật toán tối u hoá thời gian - bộ nhớ của Shanks.Thuật toán Shanks Hình 5.3. Thuật toán Shanks cho bài toán DL.1. Tính mj mod p, 0 j m-12. Sắp xếp m cặp thứ tự ( j,mj mod p) có lu ý tới các tạo độ thứ haicủa các cặp này, ta sẽ thu đợc một danh sách L1 3. Tính -i mod p, 0 i m-1 4. Sắp xếp m cặp thứ tự (i, -i mod p) có lu ý tới các toạ độ thứ hai của các cặp đợc sắp này, ta sẽ thu đợc một danh sách L2 5. Tìm một cặp (j,y) L1 và một cặp (i,y) L2 ( tức là một cặp có tạo độ thứ hai nh nhau).6. Xác định log = mj + i mod (p-1)7.- Nếu cần, các bớc 1 và 2 có thể tính toán trớc ( tuy nhiên, điều này không ảnh hởng tới thời gian chạy tiệm cận)- Tiếp theo cần để ý là nếu (j,y) L1 và (i,y) L2 thìmj = y = -iBởi vậymj+i = nh mong muốn. Ngợc lại, đối với bất kì ta có thể viếtlog = mj+itrong đó 0 j,i m-1. Vì thế phép tìm kiếm ở bớc 5 chắc chắn thành công.Có thể áp dụng thuật toán này chạy với thời gian O(m) và với bộ nhớ cỡ O(m) ( bỏ qua các thừa số logarithm). Chú ý là bớc 5 có thể thực hiện một cách ( đồng thời ) qua từng danh sách L1 và L2.Sau đây là một ví dụ nhỏ để minh hoạ.Ví dụ 5.2.Giả sử p = 809 và ta phải tìm log3525. Ta có = 3, = 525 và m = 808 = 29. Khi đó: 29 mod 809 = 99Trớc tiên tính các cặp đợc sắp (j,99j mod 809) với 0 j28. Ta nhận đợc danh sách sau:(0,1) (1,99) (2,93) (3,308) (4,559)(5,329) (6,211) (7,664) (8,207) (9,268)(10,644) (11,654) (12,26) (13,147) (14,800)(15,727) (16,781) (17,464) (18,314) (19,275)(20,582) (21,496) (22,564) (23,15) (24,676)(25,586) (26,575) (27,295) (28,81)Danh sách này sẽ đợc sắp xếp để tạo L1.Danh sách thứ hai chứa các cặp đợc sắp (i,525ì(3i)-1 mod 809), với 0 i 28. Danh sách này gồm:(0,525) (1,175) (2,328) (3,379) (4,396)(5,132) (6,44) (7,554) (8,724) (9,511)(10,440) (11,686) (12,768) (13,256) (14,,355)(15,388) (16,399) (17,133) (18,314) (19,644)(20,754) (21,496) (22,564) (23,15) (24,676)(25,356) (26,658) (27,489) (28,163) Sau khi sắp xếp danh sách này, ta có L2 .Bây giờ nếu xử lý đồng thời qua cả hai danh sách, ta sẽ tìm đợc ( 10,644) trong L1 và (19,644) trong L2. Bây giờ ta có thể tínhlog3525 = 29ì10+19= 309Có thể kiểm tra thấy rằng quả thực 3309 525 (mod 809).Thuật toán Pohlig - Hellman. Thuật toán tiếp theo mà ta nghiên cứu là thuật toán Pohlig - Hellman. Giả sửpi là số nguyên tố đặc biệt. Giá trị a = log đợc xác định một cách duy nhất theo modulo p-1. Trớc hết nhận xét rằng, nếu có thể tính a mod pici với mỗi i, 1 i k, thì có thể tính a mod (p-1) theo định lý phần d China. Để thực hiện diều đó ta giả sử rằng q là số nguyên tố.p-1 0 (mod qc)Ta sẽ chỉ ra cách tính giá trịx = a mod qc0 x qc-1. Ta có thể biểu diễn x theo cơ số q nh sau:trong đó 0 ai q-1 với 0 i c-1. Cũng có thể biểu diễn nh sau:a = x + qcsvới s là một số nguyên nào đó.Bớc đầu tiên của thuật toán tính a0. Kết quả chính ở đây là:(p-1)/q (p-1)a0/q(mod p)Để thấy rõ điều đó cần chú ý rằng:Điều này đủ để cho thấy:Kết quả này đúng khi và chỉ khi:Tuy nhiênp-1 0 (mod qc+1) Đó chính là điều cần chứng minh.Do đó ta sẽ bắt đầu bằng việc tính (p-1)/q mod p. Nếu(p-1)/q 1 (mod p)thì a0=0. Ngợc lại chúng ta sẽ tính liên tiếp các giá trị: = (p-1)/q mod p, 2 mod p,. . .,cho tới i (p-1)/q (mod p).với một giá trị i nào đó. Khi điều này xảy ra ta có a0 =i.Bây giờ nếu c = 1 thì ta đã thực hiện xong. Ngợc lại, nếu c > 1 thì phải tiếp tục xác định a1. Để làm điều đó ta phải xác định1 = -aovà kí hiệux1 = log1 mod qcDễ dàng thấy rằngVì thế dẫn đếnNh vậy ta sẽ tính 1(p-1)/q2 mod p và rồi tìm i sao choKhi đó a1 = i.Nếu c =2 thì công việc kết thúc; nếu không, phải lặp lại công việc này c-2 lần nữa để tìm a2,. . .,ac-1.Hình 5.4 là mô tả giải mã của thuật toán Pohlig - Hellman. Trong thuật toán này, là phần tử nguyên thuỷ theo modulo p, q là số nguyên tố .p-1 0 (mod qc)vàp-1 0 (mod qc+1) Thuật toán tính các giá trị a0, . . ., ac-1 trong đó log mod qc Hình 5.4. Thuật toán Pohlig - Hellman để tính log mod qc.1. Tính = (p-1)/q mod p với 0 i q-12. Đặt j = 0 và j = 3. While j c-1 do4. Tính = j(p-1)/q j+1 mod p5. Tìm i sao cho = i 6. aj = i7. j+1 = j -aj qj mod p8. j = j +1Chúng ta minh hoạ thuật toán Pohlig - Hellman (P - H) qua một ví dụ nhỏ.Ví dụ 5.3Giả sử p=29; khi đón = p-1 = 28 = 22.71Giả sử = 2 và = 18. Ta phải xác định a = log218. Trớc tiên tính a mod 4 rồi tính a mod 7.Ta sẽ bắt đầu bằng việc đặt q = 2, c = 2. Trớc hết 0 = 1và 1 = 28/2 mod 29 = 214 mod 29 = 28Tiếp theo = 28/2 mod 29 = 1814 mod 29 = 28Vì a0 = 1. Tiếp theo ta tính: 1 = 0-1 mod 29 = 9và 128/4 mod 29 = 97 mod 29 = 28 Vì 1 28 mod 29Ta có a1 = 1. Bởi vậy a 3 ( mod 4).Tiếp theo đặt q = 7 và c = 1, ta có28/7 mod 29 = 184 mod 29= 25và 1 = 28/7 mod 29 = 24 mod 29 = 16.Sau đó tính: 2 = 243 = 74 = 25Bởi vậy a0 = 4 và a 4 ( mod 7)Cuối cùng giải hệ phơng trìnha 3 ( mod 4)a 4 ( mod 7)bằng định lý phần d China, ta nhận đợc a 11( mod 28). Điều này có nghĩa là đã tính đợc log218 trong Z29 là 11. Phơng pháp tính toán chỉ số.Phơng pháp tính chỉ số khá giống với nhiều thuật toán phân tích thừa số tốt nhất. Trong phần này sẽ xét tóm tắt về phơng pháp. Phơng pháp này chỉ dùng một cơ sở nhân tử là tập B chứa các số nguyên tố nhỏ. Giả sử B = {p1,p2,. . ., pB}. Bớc đầu tiên ( bớc tiền xử lý) là tìm các logarithm của B số nguyên tố trong cơ sở nhân tử. Bớc thứ hai là tính các logarithm rời rạc của phần tử bằng cách dùng các hiểu biết về các log của các phần tử trong cơ sở.Trong quá trình tiền xử lý, ta sẽ xây dựng C = B +10 đồng d thức theo modulo p nh sau:xj p1a1jp2a2j. . . pBaBj(mod p)1 j C. Cần để ý rằng, các đồng d này có thể viết tơng đơng nh sau:xj a1jlogp1+ . . . + aBjlogpB (mod p-1)1 j C. C đồng d thức đợc cho theo B giá trị logpi (1 i B) cha biết. Ta hy vọng rằng, có một nghiệm duy nhất theo modulo p-1. Nếu đúng nh vậy thì có thể tính các logarithm của các phần tử theo cơ sở nhân tử. Làm thế nào để tạo các đồng d thức có dạng mong muốn?. Một phơng pháp sơ đẳng là chọn một số ngẫu nhiên x, tính x mod p và xác định xem liệu x mod p có tất cả các thừa số của nó trong B hay không. (Ví dụ bằng cách chia thử).Bây giờ giả sử rằng đã thực hiện xong bớc tiên tính toán, ta sẽ tính giá trị mong muốn log bằng thuật toán xác suất kiểu Las Vegas. Chọn một số ngẫu nhiên s ( 1 s p-2) và tính : = s mod pBây giờ thử phân tích theo cơ sở B. Nếu làm đợc điều này thì ta tính đợc đồng d thức dạng:s = p1c1p2c2. . . pBcB (mod p)Điều đó tơng đơng với log + s c1logp1+ . . . + cBlogpB ( mod p-1)Vì mọi giá trị đều đả biết trừ giá trị log nên có thể dễ dàng tìm đợc log.Sau đây là một ví dụ minh hoạ 2 bớc của thuật toán.Ví dụ 5.4.Giả sử p =10007 và = 5 là một phần tử nguyên thuỷ đợc dùnglàm cơ sở của các logarithm theo modulo p. Giả sử lấy B = {2, 3, 5, 7} làm cơ sở. Hiển nhiên là log55 = 1 nên chỉ có 3 giá trị log của các phần tử trong cơ sở cần phải xác định. Để làm ví dụ, chọn một vài số mũ "may mắn" sau: 4063, 5136 và 985.Với x = 4063, ta tính54063 mod 10007 = 2ì3ì7ứng với đồng d thứclog52 + log53 + log57 4063 ( mod 10006).Tơng tự, vì55136 mod 10007 = 54 = 2ì33và 59865 mod 10007 = 189 = 33ì7ta tìm đợc hai đồng d thức nữa:log52 + 3log53 5136 ( mod 10006)3log53 + log57 9865 ( mod 10006) 0 nếu (p-1)/2 1( mod p)L1()= 1 trong các trường hợp còn lại [...]... hạn và các hệ thống đơng cong elliptic. Chúng ta đà dành thời gian đáng kể để xét bài toán logarithm rời rạc (DL) vào việc phân tích số. Ta sẽ còn trở lại hai bài toán này trong các loại hệ mật và các giao thức mà khác nhau. Bài toán DL đà đợc nghiên cứu trong tr- ơng hữu hạn Z p , tuy nhiên việc xét bài toán này theo các thiết lập khác nhau cũng rất có ích và là chủ đề của phần này. Hệ mật Elgamal... logarithm rời rạc trong Zp Hình 2.7 Hệ mật khoá công khai Elgamal trong Zp * Sau đây sẽ nmô tả sơ lợc cách làm việc của hệ mật Elgamal .Bản rõ x đ- ợc "che dấu" bằng cách nhân nó với k để tạo y 2 . Giá trị k cũng đợc gửi đi nh một phần của bản m·. Bob -ngêi biÕt sè mò bÝ mËt a cã thể tính đợc k từ k . Sau đó anh ta sẽ "tháo mặt nạ" bằng cách chia y 2 cho k để thu đợc... đối với các đờng cong Elliptic.Tuy nhiên, đà có một phơng pháp khai thác đẳng cấu một cách tờng minh giữa các đờng cong Elliptic trong trờng hữu hạn. Phơng pháp này dẫn đến các thuật toán hữu hiệu đối với một số lớp các đờng cong Elliptic. Kỹ thuật này do Menezes, Okamoto và Vanstone đa ra và có thể áp dụng cho một số trờng hợp riêng trong một lớp đặc biệt các đờng cong Elliptic (đợc gọi là các đờng... biến, chúng đà đợc kiến nghị sử dụng trong các hệ thống mật mÃ). Tuy nhiên, nếu tránh các đờng cong siêu biến thì lại xuất hiện mét ®êng cong Elliptic cã mét nhãm con cyclic cì 2 160 , đờng cong này sẽ cho phép thiết lập an toµn mét hƯ mËt miƠn lµ bËc cđa nhãm con phải là bội của ít nhất một thừa số nguyên tố lớn ( nhằm bảo vệ hệ mật khỏi phơng pháp tấn công của Pohlig - Hellman). Xét một ví dơ... L 1 ( a/2 ) Điều này đợc khai thác trong thuật toán đợc mô tả trong hình 5.6. ở cuối thuật toán, các giá trị x i là các bít biểu diễn nhị phân của log , nghĩa là: Dới đây là một ví dụ nhỏ để minh hoạ. Ví dụ 5.5. Giả sử p =19, = 2 và = 6. Vì trong ví dụ này, các giá trị quá nhỏ nên có thể lập bảng các giá trị của L 1 () và L 2 () với mọi mọi giá trị Z 19 * .( Nói chung L 1 có thể tính đợc một cách hiệu quả... ((6×8 -1 mod 11, 3×3 -1 mod 11) = (6×7 mod 11, 3ì4 mod 11) = (9,1). Hình 5.11. Bài toán tổng các tập con Đây chính là bản rõ đúng. 5.3. Hệ mật xêp ba lô merkle - Hellman Đặc trng của bài toán: I = (s 1 , s 2 , . . . ,s n , T) trong ®ã s 1 , . . ., s n và T là các số nguyên dơng. Các s i đợc gọi là các cỡ, T đợc gọi là tổng đích. Vấn đề: Liệu có một véc tơ nhị phân x = (x 1 , . . . , x n ) sao... lu ý tới các tạo độ thứ hai của các cặp này, ta sẽ thu đợc một danh sách L 1 3. Tính βα -i mod p, 0 ≤ i ≤ m-1 4. S¾p xÕp m cỈp thø tù (i, βα -i mod p) cã lu ý tới các toạ độ thứ hai của các cặp đợc sắp này, ta sẽ thu đợc một danh sách L 2 5. Tìm một cặp (j,y) L 1 và một cặp (i,y) L 2 ( tức là một cặp có tạo độ thứ hai nh nhau). 6. Xác định log = mj + i mod (p-1) 7. - Nếu cần, các bớc... Zp * . Ta ®Þnh nghÜa: K = {(p, α,a,β): β ≡ α a (mod p)} Các giá trị p, , đợc công khai, còn a giữ kín Với K = (p, ,a,) và một số ngẫu nhiên bí mật k Zp-1, ta xác định: e k (x,k) = (y 1 ,y 2 ) trong ®ã y 1 = α k mod p y 2 = xβ k mod p víi y 1 ,y 2 ∈ Zp * ta x¸c ®Þnh: d k (y 1 ,y 2 ) = y 2 (y 1 a ) -1 mod p Làm thế nào để tạo các đồng d thức có dạng mong muốn?. Một phơng pháp sơ đẳng... ta sÏ chØ ra r»ng, bÝt thÊp nhÊt của các logarithm rời rạc rất dễ tính toán. Nói cách khác, nếu i = 1 thì bài toán về bít thứ i có thể giải đợc một cách hiệu quả. Điều này rút ra từ tiêu chuẩn Euler liên quan đến thặng d bình phơng theo modulo p, với p là số nguyên tố . Xét ánh xạ f: Z p * Z p * đợc định nghĩa nh sau: f(x) = x 2 mod p Nếu kí hiệu QR(p) là tập các thặng d bình phơng theo modulo... = x 3 +x+6 mod 11 có phải là một thặng d bình ph- ơng hay không bằng cách áp dụng tiêu chuẩn Euler. Ta đà có một công thức t- Định nghĩa 5.3 Cho p >3 là số nguyên tố. Đường cong elliptic y 2 = x 3 +ax+b trên Z p là một tập các cặp (x,y) Z p ì Z p thoả mÃn đồng d thøc y 2 ≡ x 3 +ax+b (mod p) (5.1) trong ®ã a, b ∈ Z p là các hằng số sao cho 4a3+27b2 0 ( mod p) cùng với một điểm đặc biệt . Chơng 5Các hệ mật khoá công khai khácTrong chơng này ta sẽ xem xét một số hệ mật khoá công khai khác. Hệ mật Elgamal dựa trên bài toán. trọng khác bao gồm các hệ thoóng loại Elgamal dựa trên các trờng hữu hạn và các đờng cong elliptic, hệ mật xếp ba lô Merkle-Helman và hệ mật McElice.5.1. Hệ
