Optimal asymmetrisk kryptering med stoppning

OAEP ( engelska  Optimal A symmetric Encryption P adding , Optimal asymmetric encryption with addition) är ett tilläggsschema , vanligtvis använt i kombination med någon enkelriktad funktion med en hemlig ingång (till exempel RSA- eller Rabin-funktioner ) för att öka den kryptografiska styrkan av den senare. OAEP föreslogs av Mihir Bellare och Phillip Rogaway [1] , och dess tillämpning på RSA standardiserades därefter i PKCS#1 och RFC 2437 .

Historik

Den ursprungliga versionen av OAEP, som föreslagits av Bellare och Rogaway 1994, påstods vara resistent mot attacker baserade på vald chiffertext i kombination med valfri enkelriktad hemlig ingångsfunktion [1] . Ytterligare studier har visat att ett sådant schema endast är resistent mot attacker baserade på icke-adaptiv vald chiffertext [2] . Trots detta har det bevisats att i den slumpmässiga orakelmodellen , när man använder standard RSA med chifferexponent , är schemat också motståndskraftigt mot attacker baserade på adaptivt vald chiffertext [3] . Nyare arbete har visat att i standardmodellen (när hashfunktioner inte modelleras som slumpmässiga orakel) är det inte möjligt att bevisa motstånd mot adaptiva chiffertextattacker när man använder RSA [4] .

OAEP-algoritm

Det klassiska OAEP-schemat är ett Feistel-nätverk med två celler , där data i varje cell transformeras med hjälp av en kryptografisk hashfunktion . Som indata får nätverket ett meddelande med kontrollnollor som lagts till och en nyckel - en slumpmässig sträng [5] .

Diagrammet använder följande notation:

•  - antalet bitar i blocket förberett för asymmetrisk kryptering .
• och  är protokollfixerade heltal.
•  — vanlig text av meddelandet, -bit sträng.
• och  är de kryptografiska hashfunktionerna som ges av protokollet.

Kryptering

1. Meddelandet läggs till med nollor, vilket gör att det når bitar i längd.
2. En slumpmässig bitsträng genereras .
3. expanderar lite av en sträng till bitar.
4. .
5. komprimerar bit för bit.
6. .
7. krypterad text .

Dekryptering

1. Slumpmässig sträng återställs
2. Det ursprungliga meddelandet återställs som
3. De sista tecknen i det dekrypterade meddelandet kontrolleras för noll. Om det finns tecken som inte är noll, har meddelandet förfalskats av en angripare.

Applikation

OAEP-algoritmen används för att förbehandla meddelandet innan RSA används . Meddelandet utfylls först till en fast längd med OAEP och krypteras sedan med RSA. Tillsammans kallas detta krypteringsschema RSA-OAEP och är en del av den nuvarande krypteringsstandarden för publika nyckel ( RFC 3447 ). Det bevisades också av Viktor Boyko att synfunktionen i modellen av slumpmässiga orakel är en transformation av typ allt-eller-inget[4] .

Ändringar

På grund av sådana brister som omöjligheten att bevisa kryptografiskt motstånd mot attacker baserat på vald chiffertext , samt den låga hastigheten i schemat [6] , föreslogs därefter OAEP-baserade modifieringar som eliminerar dessa brister.

OAEP+ algoritm

Victor Shoup har som är resistent mot adaptiva chiffertextattacker när det kombineras med valfri envägsbakdörrsfunktion [2] .

•  - antalet bitar i blocket förberett för asymmetrisk kryptering .
• och  är protokollfixerade heltal.
• vanlig textmeddelande, -bit sträng.
• , och  är kryptografiska hashfunktioner som definieras av protokollet.