Seminário de Criptografia Análise do Algoritmo HIEROCRYPT Roberto Rodrigues Dias.

Apresentação em tema: "Seminário de Criptografia Análise do Algoritmo HIEROCRYPT Roberto Rodrigues Dias."— Transcrição da apresentação:

1 Seminário de Criptografia Análise do Algoritmo HIEROCRYPT Roberto Rodrigues Dias

2 Introdução  Basicamente o Hierocrypt é um algoritmo de chave simétrica TextoPlano TextoCifrado Algoritmo ChaveSecreta

3 Introdução  Algoritmo desenvolvido pela equipe: Kenji Ohkuma Fumihiko Sano Hirofumi Muratani Masahiko Motoyama Shinichi Kawamura (Toshiba Corporation, Japan)

4 Introdução  A Toshiba submeteu ao Nessie duas versões do Hierocrypt Hierocrypt-3 Hierocrypt-L1

5 Hierocrypt-3  Características Cifra blocos de 128 bits O tamanho da chave influencia o total de rodadas do algoritmo:  Chave de 128 bits: 6,5 rodadas  Chave de 192 bits: 7,5 rodadas  Chave de 256 bits: 8,5 rodadas Na última rodada temos mais um passo fixo com o uso de XOR que contabiliza como 0,5 rodadas.

6 Hierocrypt-3  Passos do Algoritmo 1. Texto plano é decomposto em 4 blocos de 32 bits 2. A chave secreta é decomposta em 4 blocos de 32 bits chamados Caixas XS 3. Realizamos XOR de cada bloco da entrada com uma Caixa XS 4. Reagrupamos o resultado dos XORs (128bits) e aplicamos a uma Matriz de difusão (MDS H ) 5. Reiniciamos a rodada a partir do passo 3 6. Fim das rodadas 7. O resultado final das iterações sofre ainda mais um XOR com a chave 8. Texto Cifrado (Fim)

7 Hierocrypt-3 TEXTO PLANO XSXSXSXS MDS H enésimo XSXSXSXS.... MDS H XSXSXSXS TEXTO CIFRADO 128 bits Chave decomposta 4 x 32 bits Resultado do XOR XOR da entrada com a chave Aplicação da Matriz de difusão no resultado XOR do resultado com a chave XOR do resultado Final das iterações com a chave

8 Segurança do Hierocrypt-3 (segundo seus criadores)  É seguro contra criptoanálise diferencial e linear. Foram usadas as melhores técnicas diferenciais e lineares para testar o algoritmo no Nessie Workshop.  É seguro contra Integral Attack (square attack) a apartir de 5 rodadas no algoritmo. Menos do que 5 pode ser suscetível aos ataques.  Em 4 rodadas no Hierocrypt-3 a probabilidade de se decifrar um bloco ao acaso é de 2 96

9 Fraquezas  Barreto, Rijmen, Nakahara e Preneel durante o workshop da Nessie conseguiram fazer com sucesso um Integral Attack em apenas 3,5 rodadas.  Outra fragilidade desse tipo foi obtida pelos próprios desenvolvedores do Hierocrypt.  No segundo Workshop da Nessie, Furuya e Rijmen apresentaram fortes relações lineares entre a chave principal e muitas subchaves de rodadas posteriores. Chamaram de “O Agendamento de Chaves da Família Hierocrypt”.  Cheon, Kim e Kim obtiveram sucesso em um ataque diferencial em apenas 3 rodadas.

10 Hierocrypt-L1  Características Cifra blocos de 64 bits Chave de 128 bits: 6 rodadas

11 Hierocrypt-L1  Passos do Algoritmo 1. Texto plano é decomposto em 2 blocos de 32 bits 2. A chave secreta é decomposta em 2 blocos de 32 bits chamados Caixas XS 3. Realizamos XOR de cada bloco da entrada com uma caixa XS 4. Reagrupamos o resultado dos XORs (64bits) e aplicamos a uma Matriz de difusão (MDS H ) 5. Reiniciamos a rodada a partir do passo 3 6. Fim das rodadas 7. O resultado final das iterações sofre ainda mais um XOR com os 64 bits restantes da chave 8. Texto Cifrado (Fim)

12 Hierocrypt-L1 TEXTO PLANO XSXS MDS H enésimo XSXS.... MDS H XSXS TEXTO CIFRADO 64 bits Chave decomposta 2 x 32 bits Resultado do XOR XOR da entrada com a chave Aplicação da Matriz de difusão no resultado XOR do resultado com a chave XOR do resultado Final das iterações com os 64 bits restantes da chave

13 Segurança do Hierocrypt-L1 (Segundo seus Criadores)  Os criadores do Hierocrypt-L1 deram um argumento muito bem fundamentado ao Nessie, propondo que as 6 rodadas do algoritmo seriam suficentes para manter o algoritmo seguro contra ataques diferenciais e integrais.  É seguro contra Integral Attack a partir de 5 rodadas.  Em 4 rodadas no Hierocrypt-L1 a probabilidade de se decifrar um bloco ao acaso é de 2 48

14 Fraquezas  Sucesso em Integral Attacks no Hierocrypt-L1 em apenas 3 rodadas.  Criptoanalistas participantes da concorrência no Nessie estressaram o algoritmo e conseguiram praticar ataques diferenciais (Diferencial Attacks) com sucesso em 3,5 rodadas.  No segundo Workshop da Nessie, Furuya e Rijmen apresentaram fortes relações lineares entre a chave principal e muitas subchaves de rodadas posteriores. Chamaram de “O Agendamento de Chaves da Família Hierocrypt”.

15 Criptoanálise do Hierocrypt  Análise do Ataque ao HC-3 com 2 rodadas. XSXSXSXS MDS H XSXSXSXS........ SSSS MDS L SSSS 32323232 8888 Pela estrutura da caixa S se invertermos a saída, redirecionando-a para a entrada da MDS L conseguimos adivinhar 8 bits dos 32 da sub-chave. Pela estrutura da caixa S se invertermos a saída, redirecionando-a para a entrada da MDS L conseguimos adivinhar 8 bits dos 32 da sub-chave.

16 Criptoanálise do Hierocrypt  Necessitamos de 2 32 textos planos de 128 bits, onde 3 blocos de 32 bits deverão ter sempre o mesmo valor (blocos passivos) e 1 bloco terá todas as possibilidades de valor (bloco ativo).  Usaremos sempre a mesma chave  Estes blocos se forem matematicamente balanceados após as operações do algoritmo produzirão blocos balanceados.  Os bits da chave poderão ser descobertos através da analise da probabilidade (altos índices indicam que o bit não faz parte da chave)

17 Criptoanálise do Hierocrypt  A equipe que criptoanalisou o Hierocrypt ( Paulo Barreto, Vincent Rijmen, Jorge Nakahara, Bart Preneel, Joos Vandewalle e Hae Kim ) conseguiu reduzir a complexidade do algorimto de 2 128 para aproximadamente 2 53

18 Desempenho

19 Desempenho Hierocrypt-3

20 Desempenho Hierocrypt-L1

21 Aplicação do Hierocrypt  A Toshiba documentou o seu uso em middlewares e SmartCards produzidos pela própria Toshiba (entre 2000 e 2003)  Atualmente (2007) não foram encontrados indícios de que sua aplicação tenha sido mantida.

22 Observação Final  Aprovado pela CRYPTREC (Japão)  Reprovado pelo NESSIE (Europa) Nenhum dos Algoritmo Hierocrypt submetidos a Nessie foram classificados para a segunda fase do mesmo.

23 Muito Obrigado! robertodias@gmail.com

24 Referências  Improved Square Attacks Against Reduced-Round Hierocrypt – Barreto, P.; Rijmen, V.; Nakahara, J.; Preneel, B.; Vandewalle, J.; Kim, H.  Symmetric Ciphers http://www.users.zetnet.co.uk/hopwood/crypto/scan/cs.html http://www.users.zetnet.co.uk/hopwood/crypto/scan/cs.html  PDFs contidos no site do Nessie https://www.cosic.esat.kuleuven.be/nessie/deliverables/ https://www.cosic.esat.kuleuven.be/nessie/deliverables/ Methodology for security evaluation Internal review report Year 1 Toolbox version 2 Security evaluation of NESSIE First Phase Performance evaluation of NESSIE First Phase NESSIE Phase I: Selection of primitives Workshop on security and performance evaluation of NESSIE First Phase Internal review report Year 2