情報セキュリティ特論（ 6 ）

1. 情報セキュリティ特論（6） 黒澤　馨 （茨城大学） kurosawa@mx.ibaraki.ac.jp confidential

2. RSA暗号 　　 素因数分解の困難さ • ElGamal暗号 　　 離散対数問題の困難さ confidential

3. RSA暗号 　　 素因数分解の困難さ • ElGamal暗号 　　 離散対数問題の困難さ 　　答えは、x=3 confidential

4. 離散対数問題 • y=ax mod p (=素数） 　となるxを求めよ、という問題。 • p=1024ビットのとき、10億年 confidential

5. mod 5 において フェルマーの定理 confidential

6. 2の位数は4 • mod 5 において フェルマーの定理 4の位数は2 3の位数は4 confidential

7. 2の位数は4: p-1(=4)を割り切る • mod 5 において 4の位数は2: p-1(=4)を割り切る 3の位数は4: p-1(=4)を割り切る confidential

8. aの位数 　　 となる最小のn • 定理 　　 任意の元aの位数は、p-1を割り切る。 confidential

9. Diffie-Hellmanの鍵共有法 • p = 大きな素数, q = p-1を割り切る大きな素数 g = 位数が大きな素数qの元 gq=1 mod p confidential

10. Diffie-Hellmanの鍵共有法 confidential

11. Diffie-Hellmanの鍵共有法 confidential

12. Diffie-Hellmanの鍵共有法 敵 盗聴 confidential

13. DH問題 1億年(DH仮定) 敵のゴール p, q, confidential

14. DLOG 10億年(離散対数仮定) 離散対数問題 DH問題 1億年(DH仮定) 離散対数問題との関係 ? confidential

15. （定理） DLOGを解くアルゴリズムAが存在するなら DHを解くアルゴリズムBが存在する （証明） B A confidential

16. （定理） DLOGを解くアルゴリズムAが存在するなら DHを解くアルゴリズムBが存在する （証明） B A confidential

17. PPT : Probabilistic Polynomial Time 確率的　　　　 多項式　　　 時間 PPTアルゴリズム A 乱数テープ R confidential

18. PPTアルゴリズム A 乱数テープ R R Aがaを 出力 この面積 Pr(Aが解く) = 全面積 a confidential

19. 離散対数仮定 　　 確率ε以上でDLOGを解くような PPTアルゴリズムは存在しない • DH仮定 確率ε以上でDH問題を解くような PPTアルゴリズムは存在しない confidential

20. 定理 • 離散対数仮定が成り立てば、 DH仮定が成り立つ。 confidential

21. ElGamal暗号 • 公開鍵： p= 大きな素数 q= p-1を割り切る大きな素数 g=位数がqとなる元 y (=gx mod p) • 秘密鍵: x confidential

22. ElGamal暗号 • 公開鍵： p, q, g, y(=gx mod p) • 秘密鍵: x • 平文： m • 暗号化： r ← zp-1 E(m)=(gr, myr) confidential

23. ElGamal暗号 • 公開鍵：p, q, g, y(=gx mod p) • 秘密鍵: x • 平文： m • 暗号化：E(m)=(gr, myr) • 復号： myr / (gr)x=m(gx)r/grx=m mod p confidential

24. 敵への入力 • 公開鍵：p,q,g,y • 暗号文: (gr, m・yr) mod p confidential

25. 巡回群 • <g>={1, g, g2, …, gq-1} は、 　　　（生成元）gで生成される巡回群 confidential

26. DDH仮定 • (g, gr, y, yr) と (g, gr, y, z)は 　多項式時間で区別できない。 • ただし、 zは<g> からランダムに選ばれた要素 confidential

27. DDH仮定より • 平文： m∈{1, g, g2, …, gq-1} とする。 • 暗号文： E(m) = (gr, myr) ～(gr, m z ) ただし、 zは<g>からランダムに選ばれた要素。 confidential

28. DDH仮定より • 平文： m∈{1, g, g2, …, gq-1} とする。 • 暗号文： E(m) = (gr, myr) ～(gr, m z ) ただし、 zは<g>からランダムに選ばれた要素。 mz=m×乱数 → one-time pad confidential

29. DDH仮定より • 平文： m∈{1, g, g2, …, gq-1} とする。 • 暗号文： E(m) = (gr, myr) ～(gr, m z ) ただし、 zは<g>からランダムに選ばれた要素。 mz=m×乱数 → one-time pad mに関する情報は、もれていない confidential

30. ElGamal暗号の安全性 • DDH仮定の下、 • 平文mに関する情報は、何ももれていない。 confidential

31. A B なりすまし攻撃 オレオレ confidential

32. A B Aの公開鍵 v (=g-s mod p) s s v =g-s mod p をチェック confidential

33. A B C Bが、なりすませてしまう s s s オレはAだ confidential

34. A B Schnorrの認証法 v =g-s mod p s r←ランダム x=gr mod p x c c←ランダム y=r+sc mod q y gy=gr+sc=gr(gs)c=xv-c x =gyvc mod p confidential

35. A B Schnorrの認証法 v =g-s mod p s r←ランダム x=gr mod p x c c←ランダム y=r+sc mod q y x =gyvc mod p をチェック confidential

36. 零知識性 • Bには、sに関する情報が一切漏れていない。 confidential

37. 零知識性 • Bには、sに関する情報が一切漏れていない if Bは、自分自身で通信系列(x,c,y)を 生成できる。 confidential

38. 定理 • Bは、自分自身で通信系列(x,c,y)を 生成できる。 confidential

39. A B 証明 v =g-s mod p s r←ランダム x=gr mod p x c c←ランダム y=r+sc mod q y x =gyvc mod p をチェック confidential

40. B B 証明 x 1. c←ランダム c 2. y←ランダム y 3. x =gyvc mod p confidential

41. B B 証明 4. x 1. c←ランダム c 2. y←ランダム y 3. x =gyvc mod p confidential

42. 健全性 • Bをacceptさせられるなら、Aはsを知っている。 confidential

43. 健全性 • Bをacceptさせられるなら、Aはsを知っている。 • Aをサブルーチンとして使って、sを求めることができる confidential

44. 定理 • AがBをacceptさせられる • Aをサブルーチンとして使って、 sを求めることができる confidential

45. A B 証明 x c c←ランダム y x =gyvc mod p confidential

46. A B Aを初期状態にリセット confidential

47. A B もう一度、Aを走らせる x confidential

48. A B 証明 x c’ c’←ランダム confidential

49. A B 証明 x c’ c’←ランダム y’ x =gy’vc’ mod p confidential

50. A B 証明 x c, c’ x =gyvc mod p y, y’ x =gy’vc’ mod p confidential