Ein Angriff mit gewähltem Chiffretext ( Chosen-Ciphertext-Attacke , CCA ) ist ein Angriffsmodell für die Kryptoanalyse , bei dem der Kryptoanalytiker Informationen durch die Entschlüsselung gewählter Chiffretexte gewinnen kann. Aus diesen Informationen kann der Angreifer versuchen, den zur Entschlüsselung verwendeten geheimen Schlüssel zu ermitteln.

Formale Definitionen der Sicherheit gegen Angriffe mit gewähltem Chiffretext finden sich beispielsweise bei Michael Luby [ 1 ] und Mihir Bellare et al. [ 2 ].

Einführung

Eine Reihe ansonsten sicherer Systeme kann durch Angriffe mit gewähltem Geheimtext überwunden werden. Beispielsweise ist das El-Gamal -Kryptosystem semantisch sicher gegenüber Angriffen mit gewähltem Klartext , diese semantische Sicherheit kann jedoch durch einen Angriff mit gewähltem Geheimtext leicht aufgehoben werden. Frühe Versionen des im SSL- Protokoll verwendeten RSA- Paddings waren anfällig für einen ausgeklügelten adaptiven Angriff mit gewähltem Geheimtext, der SSL-Sitzungsschlüssel offenlegte. Angriffe mit gewähltem Geheimtext haben auch Auswirkungen auf einige selbstsynchronisierende Stromchiffren . Entwickler manipulationssicherer kryptografischer Smartcards müssen sich dieser Angriffe besonders bewusst sein, da diese Geräte vollständig unter der Kontrolle eines Angreifers stehen können, der eine große Anzahl von gewählten Geheimtexten ausgeben kann, um den verborgenen geheimen Schlüssel zu ermitteln.

Bis zu den bahnbrechenden Arbeiten von Moni Naor und Moti Yung im Jahr 1990 war völlig unklar, ob Public-Key-Kryptosysteme Angriffen mit gewähltem Chiffretext standhalten könnten. Sie schlugen einen Modus der dualen Verschlüsselung mit Integritätsnachweis vor (heute bekannt als das „Naor-Yung“-Verschlüsselungsparadigma). [ 3 ] Diese Arbeit trug wesentlich zu einem besseren Verständnis des Sicherheitskonzepts gegen Angriffe mit gewähltem Chiffretext bei und ebnete den Weg für die Forschung zur Entwicklung von Systemen mit verschiedenen Schutzmechanismen gegen Varianten dieses Angriffs.

Wenn ein Kryptosystem anfällig für Angriffe mit gewähltem Chiffretext ist, müssen Implementierer sorgfältig darauf achten, Situationen zu vermeiden, in denen ein Angreifer gewählte Chiffretexte entschlüsseln könnte (d. h. die Bereitstellung eines Entschlüsselungsorakels vermeiden). Dies kann schwieriger sein als es scheint, da selbst teilweise gewählte Chiffretexte subtile Angriffe ermöglichen können. Darüber hinaus bestehen weitere Probleme, und einige Kryptosysteme (wie RSA ) verwenden denselben Mechanismus zum Signieren und Entschlüsseln von Nachrichten. Dies ermöglicht Angriffe, wenn kein Hashing auf die zu signierende Nachricht angewendet wird. Ein besserer Ansatz ist die Verwendung eines Kryptosystems, dessen Sicherheit gegen Angriffe mit gewähltem Chiffretext nachweislich belegt ist, darunter (unter anderem) RSA-OAEP , das unter Verwendung der Random-Oracle-Heuristiken sicher ist, und Cramer-Shoup, das erste praktische Public-Key-System, das Sicherheit aufwies. Für symmetrische Verschlüsselungsverfahren ist bekannt, dass authentifizierte Verschlüsselung , eine auf symmetrischer Verschlüsselung basierende primitive Methode, Sicherheit gegen Angriffe mit gewähltem Chiffretext bietet, wie Jonathan Katz und Moti Yung erstmals zeigten . [ 4 ]

Sorten

Angriffe mit gewähltem Geheimtext können, wie andere Angriffe auch, adaptiv oder nicht-adaptiv sein. Bei einem adaptiven Angriff kann der Angreifer die Ergebnisse vorheriger Entschlüsselungen nutzen, um die zu entschlüsselnden Geheimtexte auszuwählen. Bei einem nicht-adaptiven Angriff wählt der Angreifer die zu entschlüsselnden Geheimtexte aus, ohne die resultierenden Klartexte zu kennen. Sobald er die Klartexte gesehen hat, kann er keine weiteren Geheimtexte mehr entschlüsseln.

Angriffe zur Mittagszeit

Eine besonders bemerkenswerte Variante des Angriffs mit gewähltem Geheimtext ist der sogenannte „Mittags-“, „Mitternachts-“ oder „Indifferent“-Angriff. Dabei kann ein Angreifer adaptive Anfragen mit gewähltem Geheimtext stellen, jedoch nur bis zu einem bestimmten Punkt. Danach muss er eine verbesserte Fähigkeit zum Angriff auf das System nachweisen. [ 5 ] Der Begriff „Mittags-Angriff“ bezieht sich auf die Vorstellung, dass der Computer eines Benutzers mit Entschlüsselungsfunktion einem Angreifer zur Verfügung steht, während der Benutzer gerade Mittagspause macht. Diese Angriffsform wurde als erste allgemein diskutiert: Solange der Angreifer adaptive Anfragen mit gewähltem Geheimtext stellen kann, ist offensichtlich keine verschlüsselte Nachricht sicher, zumindest solange, bis ihm diese Möglichkeit genommen wird. Dieser Angriff wird manchmal auch als „nicht-adaptiver Angriff mit gewähltem Geheimtext“ bezeichnet; [ 6 ] „nicht-adaptiv“ bedeutet hier, dass der Angreifer seine Anfragen nicht an die Herausforderung anpassen kann, die erst nach Ablauf der Möglichkeit zur Durchführung von Anfragen mit gewähltem Geheimtext gestellt wird.

Adaptiver Angriff mit gewähltem Chiffretext

Ein (vollständiger) adaptiver Angriff mit gewähltem Chiffretext ist ein Angriff, bei dem Chiffretexte adaptiv vor und nach der Übermittlung eines Herausforderungs-Chiffretexts an den Angreifer gewählt werden können, wobei die einzige Bedingung ist, dass der Herausforderungs-Chiffretext selbst nicht abgefragt werden darf. Dies ist ein stärkeres Angriffskonzept als der Lunchtime-Angriff und wird üblicherweise als CCA2-Angriff bezeichnet, im Gegensatz zum CCA1-Angriff (Lunchtime-Angriff). [ 6 ] Nur wenige praktische Angriffe sind von dieser Form. Vielmehr ist dieses Modell wichtig für seine Verwendung in Sicherheitsbeweisen gegen Angriffe mit gewähltem Chiffretext. Ein Beweis dafür, dass Angriffe in diesem Modell unmöglich sind, impliziert, dass kein realistischer Angriff mit gewähltem Chiffretext durchgeführt werden kann.

Ein praktischer adaptiver Angriff mit gewähltem Chiffretext ist der Bleichenbacher-Angriff gegen PKCS#1 . [ 7 ]

Zahlreiche Kryptosysteme haben sich als sicher gegen adaptive Angriffe mit gewähltem Chiffretext erwiesen. Einige beweisen diese Sicherheit allein auf Basis algebraischer Annahmen, andere benötigen zusätzlich die Annahme eines idealisierten Zufallsorakels. Beispielsweise ist das Cramer-Shoup-System [ 5 ] allein aufgrund zahlentheoretischer Annahmen und ohne Idealisierung sicher. Nach eingehenden Untersuchungen konnte zudem gezeigt werden, dass das praktische Schema RSA-OAEP unter der RSA-Annahme im Modell des idealisierten Zufallsorakels sicher ist. [ 8 ]

Siehe auch

Referenzen

  1. ^ Luby, Michael (1996). Pseudozufälligkeit und kryptographische Anwendungen . Princeton University Press.
  2. Bellare , M.; Desai, A.; Jokipii, E.; Rogaway, P. (1997). „Eine konkrete Sicherheitsbehandlung symmetrischer Verschlüsselung“. Proceedings 38th Annual Symposium on Foundations of Computer Science . S.  394–403 . doi : 10.1109/SFCS.1997.646128 . ISBN 0-8186-8197-7. S2CID  42604387 .
  3. ^ Naor, Moni; Yung, Moti (1990). „Beweisbar sichere Public-Key-Kryptosysteme gegen Angriffe mit gewähltem Chiffretext“. Proceedings of the twenty-first annual ACM symposium on Theory of computing . S.  427–437 .
  4. ^ Katz, Jonathan; Yung, Moti (2000). Fälschungssichere Verschlüsselung und sichere Betriebsmodi mit gewähltem Chiffretext . Internationaler Workshop über schnelle Softwareverschlüsselung. Springer. S.  284–299 .
  5. ^ a b Ronald Cramer und Victor Shoup , „ Ein praktisches Public-Key-Kryptosystem, das nachweislich sicher gegen adaptive Angriffe mit gewähltem Chiffretext ist “, in: Advances in Cryptology – CRYPTO '98 Proceedings, Santa Barbara, Kalifornien , 1998, S. 13–25. ( Artikel )
  6. ^ a b Mihir Bellare , Anand Desai , David Pointcheval , und Phillip Rogaway , Relations among Notions of Security for Public-Key Encryption Schemes , in Advances in Cryptology – CRYPTO '98, Santa Barbara, Kalifornien, S. 549-570.
  7. ^ D. Bleichenbacher. Angriffe mit gewähltem Chiffretext auf Protokolle basierend auf dem RSA-Verschlüsselungsstandard PKCS #1. Archiviert am 04.02.2012 im Internet Archive . In: Advances in Cryptology – CRYPTO’98, LNCS Band 1462, Seiten 1–12, 1998.
  8. ^ M. Bellare , P. Rogaway: Optimale asymmetrische Verschlüsselung – Wie man mit RSA verschlüsselt (erweiterte Zusammenfassung in: Advances in Cryptology – Eurocrypt '94 Proceedings, Lecture Notes in Computer Science Vol. 950, A. De Santis Hrsg., Springer-Verlag , 1995 ). Vollständige Version (PDF). Archiviert am 8. Juli 2008 im Internet Archive.

Weiterführende Literatur