RSA - OAEP.

Apresentação em tema: "RSA - OAEP."— Transcrição da apresentação:

1 RSA - OAEP

2 RSA O seu algoritmo utiliza o conceito de criptografia de chave pública introduzido por Diffie & Hellman. É baseado no problema da factorização de inteiros. A segurança do algoritmo é baseada na dureza de factorial modulo das raízes de um eth composto grande do número e computar um número composto para um inteiro impar especificado E.

3 Diffie & Hellman Duas chaves distintas são utilizadas na operação de cifra Kc e de decifragem Kd. E (Kd, E (Kc (M))) = M O conhecimento de uma chave não permite retirar informação sobre a outra.

4 RSA Chave para cifrar: (n,e) Xe mod n Chave para decifrar: (n,d)
Yd mod n Cifra do texto limpo x com a chave (n,e) – chave pública Decifragem do criptograma y com a chave (n,d) – chave privada

5 RSA-OAEP Foi introduzido por Bellare e por Rogaway em 1994.
É um esquema de criptografia da chave pública que combina o algoritmo de RSA com o método Optimal Asymmetric Encryption Padding (OAEP). O esquema de criptografia de OAEP foi introduzido por Bellare e por Rogaway em 1994.

6 RSA-OAEP OAEP é usado para codificar artigos pequenos
OAEP é suportado nos padrões do ANSI X9.44, do IEEE P1363 e do JOGO OAEP é usado para codificar artigos pequenos tais como chaves. Isto significa aquele que para construir uma mensagem codificada OAEP válida, o adversário deve saber o plaintext original.

7 RSA-OAEP: segurança A segurança de RSA-OAEP depende da segurança dos primitivos subjacentes da cifra e da decifra de RSA e da segurança do método codificado de OAEP Bellare e Rogaway introduziram um conceito da segurança que se denotou por consciência do texto limpo

8 RSA-OAEP: segurança Defendem que através do método OAEP o adversário não pode produzir uma mensagem cifrada válida sem realmente saber qual a chave privada.

9 RSA-OAEP: segurança As execuções de RSA-OAEP podem ser feitas para resistir aos ataques do sincronismo e à análise do poder De modo a resistir aos ataques do sincronismo Ronald L. Rivest sugeriu usar o blinding Às análise de falhas aplica-se o Teorema chinês durante a decifragem As execuções de RSA-OAEP podem ser feitas para resistir aos ataques do sincronismo e à análise do poder assegurando-se de que todas as etapas na operação de computação de uma chave privada consome a mesma quantidade de tempo ou a mesma quantidade de poder (no entanto o ambiente do uso determinará se ou não tais ataques e tais precauções são viáveis). Uma aproximação mais elegante a fornecer a resistência aos ataques do sincronismo é usar blinding [28] como sugerida por Ronald L. Rivest. A análise de falhas é potencial aplicável a uma execução de RSAEP/RSADP que usa o teorema chinês do restante [38] durante a decifragem. Entretanto o uso do padding de OAEP significa que este ataque não pose uma ameaça a RSAES-OAEP. Teorema Chinês dos Restos: Podemos simplificar as operações modulares em n se conhecermos o resultado dessas operações nos factores primos de n

10 RSA-OAEP A segurança de RSA-OAEP não pode ser provada no modelo padrão baseado no problema de RSA. OAEP satisfaz aos seguintes dois objectivos: 1. Adicionar um elemento do randomness que possa ser usado para converter um esquema determinístico da cifragem (por exemplo, RSA tradicional) em um esquema probabilístico.

11 RSA-OAEP 2. Impedir a decifragem parcial das mensagens cifradas assegurando-se de que o adversário não possa recuperar qualquer parcela do texto limpo sem poder inverter a permutação de sentido único

12 RSA-OAEP 1. Cifra. B faz o seguinte:
1.1. Obter uma cópia autentica da chave pública do (n,e). 1.2. Seleccionar uma semente aleatória s do comprimento l octetos. 1.3. Aplicar a operação de codificar de OAEP (descrita em figura 1) com as entradas s, P e m para obter uma corda M do octeto de octetos do comprimento k. 1.4. Calcular c = Me mod n. 1.5. Emitir c para A. H é uma função de hash, em que os output são l octetos no comprimento. (Por exemplo, H pode ser SHA-1, em que o caso l = 20.) G é a seguinte máscara que gera a função: se as entradas a G forem uma string s do octeto e um inteiro positivo t 232l, então a saída de G é uma corda do octeto do comprimento t obtida perto concatenando a mistura sucessiva avalia o i do s de H, 0 t do i l 1, e suprimir extremamente octetos rightmost se necessário (i é um contador de bocado 32). P consiste em alguns parâmetros codificados (opcionais). a corda do estofamento do A consiste em uma corda de 00 octetos (vazio possível) seguidos pelo octeto 01.

13 RSA-OAEP 2. Decifra. A faz o seguinte:
2.1. Verificar se c E [o, n-1]; se não pertencer o output é “erro” e o processo pára. 2.2. Usar a chave privada d para calcular M= cd mod n. 2.3. Aplicar a operação da descodificação de OAEP (descrita em figura 2) com a entrada M para obter cordas do octeto X, Q, T, M; aqui X tem o comprimento 1 do octeto, Q consiste no primeiro l octetos do DB, T é o primeiro octeto non-zero depois de Q, e m consiste nos octetos à direita de T. 2.4. Cálculo Q Se Q Q, ou se X 00, ou se T 01, então saída “erro” e batente. 2.6. Saída M.

14 RSA-OAEP: Vantagens Eficiência - tempo - expansão da mensagem
Compatibilidade com execuções mais tradicionais do algoritmo de RSA Seguro no modelo aleatório do Oracle