Modos de operação: chave de muitos tempo (CBC) (16 min)

Agora que entendemos segurança texto escolhido simples, permite construir sistemas de criptografias

que são escolhidos de texto simples seguro. E o esquema de criptografia primeiro tal vai

ser chamado cifra encadeamento bock. Então aqui está como o encadeamento de bloco cifra funciona.

encadeamento de blocos de codificação é uma maneira de usar uma cifra de bloco a ter escolhido texto simples

segurança. Em particular, estamos indo olhar um modo chamado encadeamento bloco cifra

com uma IV aleatória. CBC representa chaning bloco cifrado. Assim, suponha que temos um bloco

cifra, assim EB é uma cifra de bloco. Então, agora vamos definir CBC para ser o seguinte

esquema de criptografia. Assim, o algoritmo de criptografia quando é solicitado para criptografar uma

mensagem M, a primeira coisa que vai fazer é que vai escolher um IV aleatório que é

exatamente um bloco da cifra de bloco. Então IV é um bloco de cifra.

Assim, no caso de AES a IV seria de 16 bytes. E então nós estamos

vai correr através do algoritmo aqui, o IV, basicamente, que nós escolhemos vai ser XOR

para o bloco primeiro texto simples. E então o resultado vai ser

criptografada usando a cifra de bloco e de saída do primeiro bloco do texto cifrado.

E agora vem a parte encadeamento onde nós realmente usar o primeiro bloco de

texto a cifra Para tipo de máscara o segundo bloco do texto simples. Então, nós XOR

os dois juntos ea criptografia de que se torna o segundo bloco de texto cifrado.

E assim por diante, e assim por diante, e assim por diante. Portanto, este é o encadeamento cifra bloco que você pode

ver que cada bloco de cifra é acorrentado e XOR para o próximo texto simples

bloco. E o texto cifrado final é vai ser, essencialmente, a IV do IV inicial

que nós escolhemos, juntamente com todos os blocos de texto cifrado. Devo dizer que está IV

para vetor de inicialização. E nós vamos estar vendo esse termo usado um pouco,

cada vez que precisamos escolher algo aleatoriamente no início da criptografia

esquema tipicamente vamos chamar isso de um IV para vetor de inicialização. Então você percebe

que o texto cifra é um pouco maior do que o texto simples, porque tínhamos

para incluir este IV nos textos cifrados que, basicamente, capta a aleatoriedade

que foi usado durante a criptografia. Assim, a primeira pergunta é como nós decifrar o

resultados de criptografia CBC e então deixe-me lembrá-lo mais uma vez que se nós, quando

criptografar o bloco primeira mensagem que XOR com o encrypt IV do

resultado e que se torna o primeiro bloco de texto cifrado. Então deixe-me perguntar-lhe como é que

você descriptografar isso? Portanto, dado o bloco de texto primeiro cifra como você recuperar

do bloco de texto original primeiro planície? Assim descodificação é na verdade muito semelhante à

criptografia, aqui escrevi o circuito de decodificação, você pode ver, basicamente,

é quase a mesma coisa, exceto o XOR é no fundo, em vez de na parte superior e

novamente você percebe que, essencialmente, que cortou o IV como parte do

processo de descriptografia e só emitir a mensagem original de volta, o IV é descartado

pela tomada de descriptografia ok então o seguinte teorema vai mostrar que em

fato de criptografia modo CBC com um IV aleatório é, de fato semanticamente seguro sob um

escolhido texto simples, e por isso vamos levar isso mais precisamente, basicamente, se

início com um PRP, em outras palavras seu e cifra do bloco, que é definido por um

X espaço, então nós vamos acabar com uma criptografia de uma ECBC que leva

mensagens de comprimento L e mensagens cifradas saídas de comprimento L, mais um. E, em seguida

supor que temos um adversário que faz Q escolhidos querries texto plano. Então, podemos

estado o fato de segurança a seguir, que, para cada adversário de tal forma que está atacando

ECBC de existir um adversário que está atacando o PRP a cifra de bloco com

a seguinte relação entre o algoritmo de dois, por outras palavras, a vantagem

do algoritmo A contra esquema de encriptação é menor do que a vantagem de B algoritmo

contra o PRP original mais algum termo de ruído. Então deixe-me interpretar este teorema para

você como de costume, então o que isto significa é que, essencialmente, uma vez que E é um PRP segura este

quantidade aqui é insignificante, e nosso objetivo é dizer que uma vantagem do adversário é

também desprezível, no entanto aqui estamos impedidos de dizer que porque temos

este termo de erro extra. Isso é muitas vezes chamado de um termo de erro e argumentar que CBC

é seguro, temos de ter certeza de que o termo de erro também é insignificante. Porque se

ambos os termos à direita são desprezíveis, não há sinal é insignificante e

, portanto, a vantagem de um contra ECBC também seria negligenciável. Portanto, este diz

que, na verdade para ECBC para ser seguro era ser o fato de que Q L quadrado quadrado é

muito, muito, muito menor que o valor de X, então deixe-me lembrá-lo que Q e L são, por assim

L é simplesmente o comprimento das mensagens que estamos criptografia. Ok, então L pode ser

como dizer que um 1000, o que significa que estamos a criptografia de mensagens que são no máximo 1000

blocos AES. Q é o número de textos de codificação que o adversário consegue ver sob a

ataque CPA, mas na vida real que Q é, é basicamente o número de vezes que temos

usou o K-chave para criptografar mensagens, em outras palavras, se usar uma chave AES particular

criptografar 100 mensagens, Q seria de 100. É porque o adversário, então, ver

maioria das 100 mensagens criptografadas nos termos do presente K chave Ok, então vamos ver o que isto significa no real

mundo. Então aqui eu reescrevi o equilíbrio seta no teorema. E só para lembrar

que você use as mensagens cifradas com a K e L com os comprimentos das mensagens e

suponha que queremos vantagem do adversário para ser inferior a um sobre dois para o 30

dois. Isto significa que o termo seta melhor que seja inferior a um sobre dois à

32. Ok, vamos olhar para AES e ver o que isso significa. Para AES, AES, naturalmente, utiliza

bloco de 128 bits para X vai ser dois para o 128, o

tamanho de X vai ser 2 a 128, e se

ligue-a a expressão que você vê que, basicamente, o produto é Q vezes teve L

melhor ser inferior a duas vezes quarenta e oito. Isto significa que, depois de se usar um especial

chave para criptografar 2 para o bloco 48 AES temos de mudar a chave. Ok então

essencialmente CBC deixa de ser seguro depois que a chave é usada para criptografar 2 à 48 diferentes AS blocos.

Então, seu tipo de bom que o teorema de segurança diz

você exatamente quanto tempo a chave pode ser usada e, em seguida, a freqüência como a chave precisa

de ser substituído. Agora é interessante se você aplicar a mesma analogia para o que 3DES

realmente tem um bloco muito mais curto, talvez apenas 64 bits, você vê a chave tem de ser

mudado mais freqüentemente talvez depois a cada 65 mil blocos DES você precisa de uma nova chave. Assim

esta é uma das razões que AES tem um tamanho maior do bloco de modo que nos modos de facto

como CBC seria mais seguro e pode-se usar as chaves por um longo período antes de ter

para substituí-lo. O que isto significa é ter que substituir dois a 60, em blocos,

cada bloco do curso é de 8 bytes, por isso depois de criptografar cerca de metade de um megabyte de

cada bloco do curso é de 8 bytes, por isso depois de criptografar cerca de metade de um megabyte de

aviso com AES você pode criptografar um monte de dados antes de ter que mudar o

chave. Então eu quero avisá-lo sobre um erro muito comum que as pessoas fizeram quando

usando CBC com um IV aleatório. Isso é que minuto o que o atacante pode prever

a IV que você está indo usar para criptografar uma mensagem especial decifrar

ECBC isso não é mais seguro CPA. Então, quando usando CBC com um IV aleatório, como nós temos

apenas mostrado É crucial que a IV não é previsível. Mas vamos ver um ataque. Assim

suponho que assim acontece que, dada uma codificação em particular em uma mensagem que

atacante pode realmente prever que IV, que será utilizado para a próxima mensagem. Bem

permite mostrar que de fato o sistema resultante não é CPA seguro. Então a primeira coisa que a

adversário vai fazer é, ele vai pedir para a criptografia de um bloco de um

mensagem. Em particular que um bloco vai ser zero. Então, o que o adversário

recebe de volta é a criptografia de um bloco, ou seja, que é a criptografia de

mensagem ou seja zero, o XOR IV. Ok e, claro, o adversário também recebe o

IV. Ok então agora o adversário por hipótese pode prever o que vai IV

ser utilizado para a codificação seguinte. Ok, então vamos dizer que IV é chamado, bem IV. Assim

seguinte, o adversário vai lançar seu desafio de segurança Symantec e da

mensagem M0 vai ser o predito IV XOR IV1 o qual foi utilizado na criptografia

de C1. E a, a mensagem do M1 é apenas vai ser alguma outra mensagem, ela não

importa realmente o que é. Então, agora vamos ver o que acontece quando o adversário recebe

o resultado do desafio de segurança Symantic. Bem, ele está indo para obter o

criptografia de M0 ou M1. Assim, quando o adversário recebe a criptografia de M0,

me dizer o que é que o texto real claro que é criptografada no texto cifrado C?

Bem então a resposta é que o que é realmente criptografado é a mensagem que é

IV XOR XOR IV1 o IV que é usada para criptografar a mensagem que passa a ser

IV e isso, claro, é IV1. Assim, quando o adversário recebe a criptografia de M0,

ele está realmente recebendo a criptografia cifra de bloco de IV1. E baixa e eis

você vai perceber que ele já tem o valor de sua consulta de texto escolhido simples.

E então quando ele está recebendo a criptografia da mensagem M1, ele só recebeu

uma criptografia CBC normais do M1 mensagem. Então você percebe que agora ele tem um simples

forma de quebrar o esquema, ou seja, o que ele vai fazer é que ele vai perguntar: 'É o segundo

bloco do texto cifrado C igual ao valor que recebi em minha consulta CPA? Se

então eu vou dizer que eu recebi a criptografia de M0, caso contrário eu vou dizer que eu recebi

criptografia de M1. Então, realmente o seu teste é C1 onde ele se refere ao segundo bloco

de C e C1 refere-se ao segundo bloco de C1 se os dois são iguais, ele diz zero,

caso contrário, ele diz um deles. Assim, a vantagem desta adversário vai ser 1 e como um

resultado, ele rompe completamente a segurança da CPU deste criptografia CBC. Então a lição aqui

é, se o IV é previsível, então, na verdade, não há segurança CPA e

, infelizmente, este é realmente um erro muito comum na prática. Em particular

mesmo protocolo SSL e em TLS1.1 verifica-se que para número recorde IV I é de fato

do bloco de texto última cifra recorde de I-1. Isso significa que exactamente dada

a criptografia de disco I-1, o adversário sabe exatamente o que está acontecendo IV

para ser usado como I. número recorde Muito recentemente apenas no verão passado esta era

realmente convertido em um ataque devastador em SSL. Vamos descrever

que um ataque falamos de SSL em mais detalhes, mas agora eu queria ter certeza de

você entende quando você usa criptografia CBC é absolutamente crucial que o IV ser aleatória.

Ok. Então agora eu vou te mostrar a versão nonce base de criptografia CBC

Assim, neste modo, o IV é substituído pelo nonce aleatório, mas não único

, por exemplo, o número 1,2,3,4,5. No entanto, se vai ser um contador de você

precisa fazer mais um passo. Antes de realmente CBC criptografia e em especial que você tem

para realmente criptografar as notas para se obter o IV que irá ser efectivamente utilizado para

criptografia. As anotações para CBC é semelhante a um IV aleatória, a diferença é que o

notas é primeiro codificado, e os resultados é que o IV é utilizado na CBC

criptografia Agora a beleza deste modo é que a Nance não tem necessariamente de

ser incluídos no texto codificado. Ele só precisa estar lá, se as suas incógnitas são

decrypter, mas que se o decrypter acontece que já conhecem o valor do

contra por outros meios, em seguida, na verdade, o texto cifrado é somente tão grande quanto o

texto simples. Não há valor extra transmitida no texto cifrado. E, novamente,

eu avisar que quando você está usando criptografia espaço não, é absolutamente crucial que

a chave comum Nance de reposição só é usado para uma mensagem de forma para cada mensagem,

ou Nance o que mudou ou a tecla mudou. Ok, então aqui enfatizar a

fato de que você precisa fazer esse passo extra antes de criptografia usando o real

Nance. Isso é erro muito comum que realmente esquecido na prática e

exemplo, TLS, isso não foi feito e como resultado houve um ataque significativo

contra criptografia CBC em TLS. Lembre-se da razão que isso é tão importante para

sabem é que na verdade muitas APIs de criptografia são criados para quase deliberadamente enganar o

usuário usando CBC incorretamente. Então, vamos olhar para ver como CBC implementado dentro de

SSL aberta. Então aqui estão os argumentos da função. Basicamente este é o simples

texto, este é o lugar onde o texto cifrado vai ficar gravado. Este é o

comprimento do texto simples. Esta é uma, uma tecla Sim Finalmente, há um argumento de que aqui

diz se você está crypting ou descriptografar. E o mais importante

parâmetro que eu queria salientar aqui é o IV real e, infelizmente, o

usuário é solicitado a fornecer este IV ea função usa o IV diretamente no CBC

mecanismo de criptografia. Não encriptar a IV, antes de utilizá-lo e, como resultado, se

você chamar essa função usando um IV não aleatório, o sistema de criptografia resultando

não será CPA seguro. Ok, isso é muito importante saber que ao chamar

funções como este. Criptografia SSL Cbc ou aberto ou fornecer um IV verdadeiramente aleatório

ou se você deseja que o IV para ser um contador do que você tem para criptografar um contador usando AAS

antes de realmente chamar um encrypt CBC e você tem que que você mesmo. Então, novamente, é

muito importante que o programador sabe que precisa ser feito caso contrário, a CBC

criptografia é inseguro. Um detalhe técnico última sobre CBC é o que fazer quando

a mensagem não é um múltiplo do comprimento do bloco do bloco de codificação? Isso é o que fazemos

se o bloco de mensagem último é mais curto do que o comprimento do bloco de AES, por exemplo? Assim

o bloco de mensagem é passada menos de dezasseis bytes. E a resposta é se somarmos

uma almofada para o último bloco de modo que se torna tão longo como dezasseis bytes, contanto que o AES

tamanho do bloco. E esta almofada, é claro, se vai ser removido durante a criptografia. Assim

aqui é um caminho típico, este é o caminho que é usado no TLS. Basicamente almofada um com

N bytes, em seguida, essencialmente o que você faz é escrever o número N, N vezes. Assim, para

exemplo, se você pad com cinco bytes, você almofada com a seqüência 555555. Então, cinco bytes

onde cada byte é o valor cinco. E a principal coisa sobre este tapete é basicamente quando

decrypter a receber a mensagem, o que ele faz é ele olha para o último byte de

o último bloco. Então suponho que o valor é cinco, então, ele simplesmente elimina os últimos cinco

bytes da mensagem. Agora a pergunta é o que vamos fazer se, de facto, a mensagem é um

múltiplo de dezesseis bytes então de fato não pad é necessário? Se não o fizermos pad em tudo,

bem que é um problema porque o decrypter vai olhar para o próprio

último byte do último bloco que não faz parte da mensagem real e que ele vai

para remover este número de bytes a partir do texto simples. De modo que, na verdade seria um problema.

Então a solução é, se de fato não há almofada que é necessário, no entanto, ainda

tem que adicionar um bloco de manequim. E uma vez que adicionar o bloco manequim este seria um bloco

que é basicamente contém dezesseis bytes cada um contendo o número 16.

Ok, então vamos adicionar blocos manequim essencialmente dezesseis. O decrypter, que quando ele é

descriptografar, ele olha para o último byte do último bloco, ele vê que o valor é

16, pois ele remove todo o bloco. E o que resta é a real

texto simples. Então é um pouco lamentável que na verdade se você estiver criptografando curto

mensagens com CBC e as mensagens que ser, digamos, 32 bytes, assim que são uma

múltiplo de dezesseis bytes, então você tem que adicionar mais um bloco e fazer todos estes

mensagens cifradas de 48 bytes apenas para acomodar o preenchimento CBC. Eu deveria

menção há uma variante do chamado CBC CBC com texto cifrado roubar que realmente

evita este problema, mas eu não vou descrever isso aqui. Se você está interessado

você pode olhar que até online. Ok, então isso é o fim da nossa discussão do CBC

e no segmento seguinte, verá como utilizar os modos de contador para criptografar múltipla

mensagens utilizando uma única tecla.