WikiDer > Адаптивная атака по выбранному зашифрованному тексту

Adaptive chosen-ciphertext attack

An адаптивная атака по выбранному зашифрованному тексту (сокращенно CCA2) является интерактивной формой атака по выбранному зашифрованному тексту в котором злоумышленник сначала отправляет несколько шифртексты для дешифрования выбирается адаптивно, затем использует результаты для различения целевого зашифрованного текста, не обращаясь к оракулу по зашифрованному тексту запроса, в адаптивной атаке злоумышленнику также разрешается запрашивать адаптивные запросы после того, как цель обнаружена (но целевой запрос запрещен ). Это расширяет индифферентная (неадаптивная) атака по выбранному зашифрованному тексту (CCA1), где второй этап адаптивных запросов не разрешен. Чарльз Ракофф и Дэн Саймон определили CCA2 и предложили систему, основанную на неадаптивном определении CCA1 и системе Мони Наор и Моти Юнг (что было первой обработкой выбранного иммунитета к атакам зашифрованного текста систем с открытым ключом).

В определенных практических условиях цель этой атаки состоит в постепенном раскрытии информации о зашифрованном сообщении или о самом ключе дешифрования. За открытый ключ системы, адаптивно-выбранные шифртексты обычно применимы только тогда, когда они обладают свойством податливость зашифрованного текста - то есть зашифрованный текст может быть изменен определенным образом, что будет иметь предсказуемый эффект на расшифровку этого сообщения.

Практические атаки

Атаки с адаптивным выбранным шифротекстом, возможно, считались теоретической проблемой, но не проявлялись на практике до 1998 года, когда Даниэль Блейхенбахер из Bell Laboratories (в то время) продемонстрировали практическую атаку на системы, использующие шифрование RSA в сочетании с PKCS # 1 v1 функция кодирования, включая версию Уровень защищенных сокетов (SSL) протокол, используемый тысячами веб-серверы в то время.[1]

Атаки Блейхенбахера, также известные как атака миллиона сообщений, использовали недостатки функции PKCS # 1 для постепенного раскрытия содержимого сообщения, зашифрованного RSA. Для этого требуется отправить несколько миллионов тестовых шифрованных текстов на устройство дешифрования (например, на веб-сервер с SSL). На практике это означает, что сеансовый ключ SSL может быть раскрыт в течение разумного периода времени, возможно, за день или меньше.

С небольшими вариациями эта уязвимость все еще существует на многих современных серверах под новым названием «Return Of Bleichenbacher's Oracle Threat» (ROBOT).[2]

Предотвращение атак

Чтобы предотвратить атаки с использованием адаптивного выбранного зашифрованного текста, необходимо использовать схему шифрования или кодирования, которая ограничивает зашифрованный текст. пластичность и доказательство безопасности системы. После разработки на теоретическом и базовом уровне безопасных систем CCA, ряд систем был предложен в модели Random Oracle: наиболее распространенным стандартом для шифрования RSA является Оптимальное заполнение асимметричным шифрованием (OAEP). В отличие от импровизированных схем, таких как заполнение, используемое в ранних версиях PKCS # 1, безопасность OAEP доказана в случайная модель оракула, [3] OAEP был включен в PKCS # 1 начиная с версии 2.0, опубликованной в 1998 году, как рекомендованная сейчас схема кодирования, при этом старая схема все еще поддерживается, но не рекомендуется для новых приложений.[4] Однако золотой стандарт безопасности - показать безопасность системы, не полагаясь на идеализацию случайного Oracle.[5]

Математическая модель

В теоретико-сложной криптографии защита от атак с адаптивным выбранным зашифрованным текстом обычно моделируется с использованием неразличимость зашифрованного текста (IND-CCA2).

Рекомендации

  1. ^ Блейхенбахер, Даниэль (23–27 августа 1998 г.). Атаки на выбранный зашифрованный текст против протоколов на основе стандарта шифрования RSA PKCS # 1 (PDF). КРИПТО '98. Санта-Барбара, Калифорния: Springer Berlin Heidelberg. С. 1–12. Дои:10.1007 / BFb0055716. ISBN 978-3-540-64892-5.
  2. ^ Ханно Бёк; Юрай Соморовский; Крейг Янг. «РОБОТ-атака». Получено 27 февраля, 2018.
  3. ^ Фудзисаки, Эйитиро; Окамото, Тацуаки; Поинтшеваль, Дэвид; Стерн, Жак (2004). «RSA-OAEP безопасен в соответствии с предположением RSA» (PDF). Журнал криптологии. 17 (2): 81–104. CiteSeerX 10.1.1.11.7519. Дои:10.1007 / s00145-002-0204-y. Получено 2009-01-12.
  4. ^ Калиски, Б .; Стаддон, Дж. (Октябрь 1998 г.). PKCS # 1: Спецификации криптографии RSA, версия 2.0. IETF. Дои:10.17487 / RFC2437. RFC 2437. Получено 20 февраля, 2019.
  5. ^ Кац, Джонатан; Линделл, Иегуда (2015). Введение в современную криптографию (2-е изд.). Бока-Ратон: Чепмен и Холл / CRC. С. 174–175, 179–181. ISBN 978-1-4665-7027-6.