【密码学】第四章、公钥密码

基本概念

对称密钥缺陷

• 密钥分配
  • 很难实现秘密的安全信道协商加密密钥。
• 密钥管理
  • 任何两个用户之间都需要有共享的密钥。
  • 用户量很大时，系统开销很大。
• 没有签名功能
  • 当主体A收到主体B的电子文档时，无法向第三方证明此文档来自B。
  • 单钥加密无法实现抗抵赖的需求。

公钥密码作用

• 公钥加密
  • 用于加密任何消息。
  • 任何人可以使用公钥加密消息，只有私钥拥有者可以解密。
• 数字签名
  • 生成对某消息的数字签名。
  • 私钥的拥有者生成数字签名，任何人可用公钥验证签名。
• 密钥分配
  • 用于交换秘密信息，常用于协商对称密钥。
  • 采用公钥加密的算法实现密钥分配。
  • 可使用单独设计的密钥交换算法（DH密钥交换协议）。
• 理论基础
  • 陷门单向函数

**单向函数：**已知x易求y=f(x)；已知y难求对应的x。
**陷门单向函数：**在单向函数基础上，若知道陷门t，易求y对应的x。

公钥密码体制

• 生成密钥对
  • 公钥在系统被公开。
  • 私钥由本人保管。

满足要求

• 接收方产生密钥对在计算上是容易的。
• 发送方对消息加密产生密文在计算上是容易的。
• 接收方用自己的私钥解密在计算上是容易的。
• 敌方由公钥求私钥在计算上是不可行的。
• 敌方由密文和公钥恢复明文在计算上是不可行的。

设计关键就是要找出合适的陷门单向函数。

困难问题

• 大整数分解问题
  • 已知两个大素数p和q，求n=pq是容易的；
  • 而由n求p和q是困难的。
• 离散对数问题
  • 大素数p，其中p-1包含另一个大素数因子q，可构造一个乘法群，它为p-1阶循环群；
  • g是一个生成元（1<g<p-1）；
  • 已知x，求y=g^x mod p是容易的；
  • 已知y、g、p，求x是困难的。
• 多项式求根问题
  • 已知系数序列{a}、p、x，求y是容易的；
  • 已知系数序列{a}、y，求x是困难的。
    $$y=f(x)=x^n+a_{n-1}{x}^{n-1}+...+a_{1}x+a_0(\mathrm{m}\mathrm{o}\mathrm{d}p)$$
• 二次剩余问题
  • 已知合数n和整数a，判断a是否为mod n的二次剩余。
    $$是否存在x，使得x^2\equiv a(\mathrm{m}\mathrm{o}\mathrm{d}n)$$

RSA

密钥产生

• 选取大素数p和q（100-200位十进制数字）；
• 计算n=pq，其欧拉函数为：
  $$\varphi (n)=(p-1)(q-1)$$
• 随机选取一整数e，保证：
  $$1\le e<\varphi (n)，gcd(\varphi (n),e)=1$$
• 计算e的逆元d：
  $$d=e^{-1}(\mathrm{m}\mathrm{o}\mathrm{d}\varphi )(n)$$
• 以n、e为公钥，d为私钥。

加解密

• 加密
  $$c=m^e(\mathrm{m}\mathrm{o}\mathrm{d}n)$$
• 解密
  $$m=c^d(\mathrm{m}\mathrm{o}\mathrm{d}n)$$
• 解密正确性
  $$c^d(\mathrm{m}\mathrm{o}\mathrm{d}n)\equiv m^{ed}(\mathrm{m}\mathrm{o}\mathrm{d}n)\equiv m^{k\varphi (n)+1}(\mathrm{m}\mathrm{o}\mathrm{d}n)$$
  1.m与n互素，由欧拉定理得：
  $$\begin{gathered} m^{\varphi (n)}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ {m}^{k\varphi (n)}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ {m}^{k\varphi (n)+1}\equiv m(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ \therefore c^d(\mathrm{m}\mathrm{o}\mathrm{d}n)\equiv m \end{gathered}$$
  2.m与n不互素：
  $$\begin{gathered} Letm=cp，1\le m\le n，1\le c\le q \\ \because gcd(m,q)=1andEulertheorem \\ {m}^{\varphi (q)}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}q) \\ [m^{k\varphi (q)}{]}^{\varphi (p)}\equiv (\mathrm{m}\mathrm{o}\mathrm{d}q) \\ {m}^{k\varphi (n)}\equiv 1(\mathrm{m}\mathrm{o}\mathrm{d}q) \\ Thereisanintegerr，let{m}^{k\varphi (n)}=1+rq \\ Multiplybothsidesbym=cp \\ {m}^{k\varphi (n)+1}=m+rcpq=m+rcn \\ {m}^{k\varphi (n)+1}=m(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ \therefore c^d(\mathrm{m}\mathrm{o}\mathrm{d}n)\equiv m \end{gathered}$$

安全性

1. |p-q|要足够大。
2. p和q的长度应该差不多。
3. p-1和q-1应有大素因子。
4. gcd(p-1,q-1)应该很小。

攻击

• 共模攻击
  • 设两个用户公钥为e1和e2，且它俩互素。
  • 敌手截获密文之后，利用扩展欧几里得算法求出满足re1+se2=1的整数r和s（其中r为负数）。
    $$\begin{gathered} c_1=m^{e_1}(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ {c}_2=m^{e_2}(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ {c}_1^r{c}_2^s=(c_1^{-1}{)}^{-r}{c}_2^s\equiv m(\mathrm{m}\mathrm{o}\mathrm{d}n) \end{gathered}$$
• 低指数攻击
  • 每个用户的加密指数很小，且两两互素；
  • 利用中国剩余定理可以求出m^3(mod n1n2n3)。
    $$\begin{gathered} c_1\equiv m^3(\mathrm{m}\mathrm{o}\mathrm{d}{n}_1) \\ {c}_2\equiv m^3(\mathrm{m}\mathrm{o}\mathrm{d}{n}_2) \\ {c}_3\equiv m^3(\mathrm{m}\mathrm{o}\mathrm{d}{n}_3) \end{gathered}$$
• 选择密文攻击
  • RSA是确定性的加密算法，不能抵御*选择密文攻击。
    $$\begin{gathered} Get：c_1=m_1^e(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ Make：c_2=c_1{m}^e(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ Solve：c_2=m_2^e(\mathrm{m}\mathrm{o}\mathrm{d}n) \\ Calculate：m_1=m_2{m}^{-1}(\mathrm{m}\mathrm{o}\mathrm{d}n) \end{gathered}$$

ElGamal

密钥生成

• 选择一素数p以及小于p的随机数x；
• g是p的原根，计算：
  $$y\equiv g^x(\mathrm{m}\mathrm{o}\mathrm{d}p)$$

(y,g,p)为公钥，x为私钥。

加解密

• 加密
  • 随机选取一个整数k<p-1，计算：
    $$\begin{gathered} c_1\equiv g^k(\mathrm{m}\mathrm{o}\mathrm{d}p) \\ {c}_2\equiv y^{k}M(\mathrm{m}\mathrm{o}\mathrm{d}p) \end{gathered}$$
• 解密
  $$M=c_2(c_1^x{)}^{-1}(\mathrm{m}\mathrm{o}\mathrm{d}n)$$

特点

1. 安全性基于有限域上的离散对数的难解性。
2. 加密算法是概率算法。
3. 不能抵御选择密文攻击。
4. 存在密文扩张。

安全性

• 参数要求
  • p应为150位以上的十进制数/500位以上的二进制数，p-1应该有大素因子。
• 密钥要求
  • 密钥必须保密，且一次性。
• 选择密文攻击
  $$\begin{gathered} Forplaintextm,gotC=(c_1,c_2) \\ Selectmandcalculatec’=(c_1,m{c}_2) \\ Decryptc’，gotM’=mM \\ CaculateM=M’/m \end{gathered}$$

ECC

算法概述

• 采用有限域上的椭圆曲线，即所有系数都是某一有限域GF(p)中的元素。
• 方程Ep(a,b)：
  $$\begin{gathered} y^2\equiv x^3+ax+b(\mathrm{m}\mathrm{o}\mathrm{d}p) \\ a,b\in GF(p),4a^3+27b^2\ne 0(\mathrm{m}\mathrm{o}\mathrm{d}p) \end{gathered}$$

加法运算

$$\begin{gathered} P=(x_1,y_1),Q=(x_2,y_2),P\ne -Q,P+Q=(x_3,y_3) \\ {x}_3={\lambda }^2-x_1-x_2 \\ {y}_3=\lambda (x_1-x_3)-y_1 \\ \lambda =\{\begin{array}{r}\frac{y_2-y_1}{x_2-x_1},P\ne Q\\ \frac{3x_1^2+a}{2y_1},P=Q\end{array} \end{gathered}$$
​

椭圆曲线上的离散对数问题

$$\begin{gathered} P\in E_p(a,b) \\ Q=kP \end{gathered}$$

• P的阶n是一个大素数；

P的阶是满足nP=O的最小正整数。

1. 已知k和P求Q容易。
2. 已知P和Q求k是困难的。

Diffie-Hellman密钥交换和ElGamal密码体制可推广到椭圆曲线来实现。

SM2

基本参数

• SM2基于素数域Fp，其特征为m比特长（通常为160比特）的素数p。
• 长度不小于192比特的比特串SEED。
• Fp上的2个元素a和b，满足：
  $$\begin{gathered} 4a^3+27b^2\ne 0 \\ E(F_p):y^2=x^3+ax+b(\mathrm{m}\mathrm{o}\mathrm{d}p) \end{gathered}$$
• 基点G：
  $$G=(x_G,y_G)\in E(F_p),G\ne O$$
• G的阶n为m长比特的素数，且满足：
  $$n>2^{191}且n>4\sqrt{p}$$
• 余因子
  $$\begin{gathered} h=\frac{|E(F_p)|}{n} \\ |E(F_p)|是曲线E(F_p)上点的个数 \end{gathered}$$

加密算法

$$\begin{gathered} Randomnumberk \\ {C}_1=kG=(x_1,y_1) \\ S=k{P}_B,P_{B}ispublickeyofB \\ (x_2,y_2)=k{P}_B \\ t=KDF(x_2||y_2,l)，listhelengthoftheplaintextmtosend \\ {C}_2=M\oplus t \\ {C}_3=Hash(x_2||M||y_2) \\ OutputC=(C_1,C_2,C_3) \end{gathered}$$

SM2用到的哈希函数都是SM3。

解密算法

$$\begin{gathered} Validation{C}_{1}whethertheellipticcurve \\ equationissatisfied,otherwiseexit \\ S=h{C}_1 \\ {d}_B{C}_1=(x_2,y_2),d_{B}isprivatekeyofB \\ t=KDF(x_2||y_2,l) \\ M’=C_2\oplus t \\ u=Hash(x_2||M’||y_2) \\ Ifu==C_3，thenM’=M \end{gathered}$$

• 正确性
  $$\begin{gathered} P_B=d_{B}G，C_1=kG=(x_2,y_2) \\ {d}_B{C}_1=d_{B}kG=k(d_{B}G)=k{P}_B=(x_2,y_2) \end{gathered}$$
  ​