Kryptografiska mekanismer och valutor

Transkript

1 Kryptografiska mekanismer och valutor Daniel Bosk 1 Avdelningen för informations- och kommunikationssytem, Mittuniversitetet, SE Sundsvall. hashsign.tex :52:07Z danbos 1 Detta verk är tillgängliggjort under licensen Creative Commons Erkännande-DelaLika 2.5 Sverige (CC BY-SA 2.5 SE). För att se en sammanfattning och kopia av licenstexten besök URL

2 Översikt 1 Digitala signaturer Asymmetrisk kryptering 2 Hashfunktioner Introduktion till hashfunktioner Message Authentication Code (MAC) 3 Kryptografiska valutor Bitcoin Idé Överföringar Decentralisering Att dela upp mynt Personlig integritet

3 Litteratur Föreläsningen går igenom resterande delar av kapitel 5 Cryptography i [And08] och hur kryptovalutan Bitcoin fungerar och vilka grunder den bygger på [Pec12; Kam13; Nak08; Bar+12].

6 Asymmetrisk kryptering Bobs's public key ring Joy Mike Alice Ted PU a Alice's public key PR a Alice 's private key X Transmitted ciphertext X = D[PR a, Y] Y = E[PU a, X] Plaintext input Encryption algorithm (e.g., RSA) Decryption algorithm Plaintext output Bob (a) Encryption with public key Alice Alice's public key ring Joy Mike Bob Ted PR b Bob's private key PU b Bob's public key X Transmitted ciphertext Y = E[PR b, X] X = D[PU b, Y] Plaintext input Encryption algorithm (e.g., RSA) Decryption algorithm Plaintext output Bob (b) Encryption with private key Alice Figur : Översikt av asymmetrisk kryptering. Bild: [Sta11].

7 Asymmetrisk kryptering E ka (m) = c D ka (c) = E k 1(c) = m A D ka (m) = E k 1(m) = c E ka (c) = m A

10 Introduktion till hashfunktioner En hashfunktion är en funktion h : X Y, där X är en möjligen oändlig mängd och Y är en ändlig mängd. Den är således en icke-injektiv surjektiv funktion och saknar invers h 1 : Y X sådan att h 1 (h(x)) = x för alla x X. X Y X Y D B C A B C AB AC BC ABC (a) h : X Y (b) h : X Y Figur : Två icke-injektiva surjektiva funktioner h respektive h.

11 1 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Introduktion till hashfunktioner Finns många olika hashfunktioner: MD5, SHA1, SHA256, SHA512. Tillämpningsområdet är stort: verifiera integritet hos filer, snabb sökning i datastrukturer, digitala signaturer, skydda lösenord.

13 Definition En hashfamilj är en tupel (X, Y, K, H), där X är mängden av möjliga meddelanden. Y är en ändlig mängd av möjliga meddelandesammandrag. K är en ändlig mängd av möjliga nycklar. För varje nyckel k K finns en hashfunktion h k H sådan att h k : X Y.

14 4 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser X kan vara ändlig eller oändlig, men alltid X Y. Vissa hashfunktioner saknar nycklar, då är K = 1. Låt Y X beteckna mängden av alla funktioner från X till Y, då är Y X = Y X.

15 5 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Preimage resistant eller one-way Inversa bilden (preimage) 1 Given hashfunktionen h : X Y och element y Y. 2 Hitta x X sådant att h(x) = y.

16 6 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Second preimage resistant Andra inversa förbilden (second preimage) 1 Given hashfunktionen h : X Y och element x X. 2 Hitta x X sådant att x x och h(x ) = h(x).

17 Collision resistant Kollision 1 Given hashfunktionen h : X Y. 2 Hitta x, x X sådana att x x och h(x ) = h(x).

18 8 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Random Oracle Model Idealisering av en hashfunktion. Kan liknas vid ett orakel som ger slumpmässiga svar på frågor. Men vid upprepningar ska samma svar ges. En funktion h Y X väljs slumpmässigt, vi får enbart ställa frågor som vad är h(x)? Innan vi ställer frågan h(x) vet vi ingenting om h. Efter att vi ställt frågan h(x) och erhållit svaret y, då vet vi enbart att h(x) = y.

19 9 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Det går att visa att om man kan hitta en andra invers avbildning, då kan man hitta en kollision. Det går även att visa att om man kan hitta en invers avbildning, då kan man hitta en kollision. Följaktligen, om en hashfunktion är collision resistant, då är den även preimage och second preimage resistant.

20 0 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Sats (Oberoendesatsen) Antag att h Y X väljs slumpmässigt. Låt X 0 X. Antag att värdet h(x) bestämts genom att fråga oraklet om och endast om x X 0. Då gäller att Pr(h(x) = y) = 1 Y för alla x X \ X 0 och alla y Y.

21 Algoritm (Hitta invers avbild) input h Y X, y Y, Q N output x sådant att h(x) = y Välj någon mängd X 0 X sådan att X 0 = Q. for all x X 0 do if h(x) = y then return x end if end for return misslyckande

22 Sats För någon mängd X 0 X med X 0 = Q är sannolikheten ɛ att algoritmen för att finna en inverterad avbildning lyckas ( Q. ɛ = Y )

23 3 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Bevis. Fixera y Y. Låt X 0 = {x 1,..., x Q } och låt E i beteckna händelsen att h(x i ) = y. Det följer från oberoendesatsen att E i är oberoende händelser och att Pr(E i ) = 1 Y för 1 i Q. Då får vi ( Pr(E 1 E Q ) = ) Q. Y Då sannolikheten ɛ är oberoende av y och konstant, då måste sannolikheten vara densamma för alla y Y sammantaget. Q.E.D.

24 4 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Algoritm (Hitta kollision) input h Y X, Q N output x, x X sådana att x x, h(x) = h(x ) Välj någon mängd X 0 X sådan att X 0 = Q. for all x X do Låt y x = h(x). end for if y x = y x för något x x then return (x, x ) end if return misslyckande

25 5 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Sats För någon mängd X 0 X med X 0 = Q är sannolikheten ɛ för att kollisionsalgoritmen lyckas följande: ( ) ( ) ( ) Y 1 Y 2 Y Q + 1 ɛ = 1. Y Y Y

26 6 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Bevis. Låt X 0 = {x 1,..., x Q }. För 1 i Q, låt E i beteckna händelsen h(x i ) / {h(x 1 ),..., h(x i 1 )}. Det är klart att Pr(E 1 ) = 1, då h(x 1 ) /. Vi får genom induktion från oberoendesatsen att Pr(E i E 1 E 2 E i 1 ) = 1 i 1 Y för 2 i Q. Då har vi att ( ) ( ) Y Y 1 Pr(E 1 E Q ) = Y Y = Y i + 1, Y ( Y Q + 1 Y Följaktligen blir sannolikheten för minst en kollision 1 Pr(E 1 E Q ). Q.E.D. ).

27 7 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Vi hade att sannolikheten för ingen kollision är (1 1/ Y ). Q 1 i=1 För små x gäller att 1 x e x. Då får vi Q 1 (1 1/ Y ) i=1 Q 1 i=1 e i/ Y = e Q 1 i=1 i/ Y. Följaktligen gäller e Q 1 i=1 i/ Y 1 ɛ. Med lite omskrivningar får vi Q 2 Y log 1 1 ɛ. För ɛ = 1/2 får vi då Q 1.17 Y.

28 8 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Detta kallas födelsedagsparadoxen. Detta betyder att om Y = 365, då är den 50 % sannolikhet att kollisionsalgoritmen finner en kollision då Q = 23. Om en fingeravtrycksläsare lagrar fingeravtryck som 20 bitar långa bitsträngar, då är det 50 % sannolikhet att två personer kan identifiera sig som varandra vid 1000 användare. Vi kan finna kollisioner med 50 % sannolikhet för en hashfunktion som har 256 bitars meddelandesammandrag med gissningar.

29 MD5 Fullständigt knäckt; kan finna godtyckliga kollisioner, snabb att beräkna. SHA1 Finns attacker som antyder att det går att finna kollisioner med Q = 2 69, borde vara Q = SHA256 Inga attacker som är märkbart lägre än Q = SHA512 Inga attacker som är märkbart lägre än Q =

31 1 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Message Authentication Code (MAC) Message K Transmit MAC algorithm Compare MAC algorithm MAC K Figur : En översikt av en enkel MAC.

32 2 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Message Authentication Code (MAC) Source A Destination B Message Message Message H H K K Compare E (a) Using conventional encryption D Message Message Message H H PR a PU a Compare E S (b) Using public-key encryption S D Message Message Message H H Compare (c) Using secret value Figur : Exempel på olika former av MAC.

33 3 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Message Authentication Code (MAC) K + ipad b bits b bits b bits S i Y 0 Y 1 Y L 1 Hash K + opad b bits n bits H(S i M pad to b bits S o Hash n bits HMAC(K, M) Figur : Hashbaserad MAC kallad HMAC, HMAC(K, M) = h[(k + opad) h[(k + ipad) M]].

36 6 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Idé Decentraliserat, finns ingen central entitet för pålitlighet. Använder majoritetsomröstning. Idén är att alla överföringar är publika i en gemensam överföringshistorik. Säkerheten baseras på problem som inte enkelt kan lösas. Bitcoin miners löser dessa problem för att skapa bitcoins. Nya bitcoins skapas kontinuerligt med konstant avtagande hastighet. Ett bitcoins kan delas i godtyckligt antal delar, och delar kan sedan sättas ihop till större delar. Överföringar är permanenta. Låga överföringsavgifter.

38 8 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Överföringar Figur : En överföring från Owner 1 till Owner 2 till Owner 3. Bild: [Nak08].

39 9 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Överföringar Figur : En enkel tidsstämplingsmekanism. Bild: [Nak08].

40 0 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Överföringar Behöver kunna förhindra förfalskning. Den enkla tidsstämplingsmekanismen ger h i = h(h i 1 b i ), där h är en kollisionsresistent hashfunktion. Denna är enkel att förändra.

41 1 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Överföringar Figur : En tidstämplingsmekanism för att förhindra förfalskning. Bild: [Nak08].

42 2 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Överföringar Det vill säga: h i = h(h i 1 b i n), där n är en nonce. Svårighetsgraden kontrolleras genom att justera antalet inledande nollor i hashvärdet, det vill säga h i < k är ett krav. Detta är att lösa problemet inversa avbildningen. Svårighetsgraden k justeras så att ett sådant problem kan lösas var 10:e minut.

44 Decentralisering Varje överföring sänds till alla deltagande noder. Varje nod samlar överföringar till ett block. Varje nod försöker att finna en nonce n för detta block som uppfyller att h i < k för nu gällande k. När en nod finner detta publiceras det till alla noder i nätverket. Detta accepteras av noderna om alla transaktioner i blocket inte finns med tidigare i kedjan och hashvärdena stämmer. Att ett block godtas uttrycks genom att noder utgår från detta block när de skapar nästa block i kedjan.

45 5 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Decentralisering Säkerheten kräver att ärliga noder har majoritet. Alla noder accepterar den längsta existerande kedjan vid eventuella komplikationer.

47 7 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Att dela upp mynt Figur : En bitcoinöverföring. Bild: [Nak08].

49 9 Digitala signaturer Hashfunktioner Kryptografiska valutor Bitcoin Referenser Personlig integritet Figur : Bitcoins modell för anonymitet. Bild: [Nak08].

50 Referenser I [And08] [Bar+12] [Kam13] Ross J. Anderson. Security Engineering. A guide to building dependable distributed systems. 2. utg. Indianapolis, IN: Wiley, ISBN: (hbk.) URL: Simon Barber, Xavier Boyen, Elaine Shi och Ersin Uzun. Bitter to Better How to Make Bitcoin a Better Currency. I: Financial Cryptography and Data Security. Springer, 2012, s Dan Kaminsky. Let s Cut Through the Bitcoin Hype: A Hacker Entrepreneur s Take. Wired. Maj URL:

51 Referenser II [Nak08] [Pec12] Satoshi Nakamoto. Bitcoin: A Peer-to-peer Electronic Cash System URL: Morgen E. Peck. Bitcoin: The Cryptoanarchists Answer to Cash. IEEE Spectrum. Juni URL: bitcoin-the-cryptoanarchists-answer-tocash/0. [Sta11] William Stallings. Cryptography and network security : principles and practice. 5. ed., International ed. Upper Saddle River: Prentice Hall, ISBN: X (pbk).