Untersuchung des NTRU – Algorithmus für die Tauglichkeit

Präsentation zum Thema: "Untersuchung des NTRU – Algorithmus für die Tauglichkeit"—  Präsentation transkript:

1 Untersuchung des NTRU – Algorithmus für die Tauglichkeit
zur Hardwareakzeleration von Kryptoverfahren im Bereich skalierbarer Sicherheit Danijel Vollstädt

2 Fachbereich Informatik, Arbeitsbereich TAMS
0. zugrundeliegende Arbeiten / 38 Fachbereich Informatik, Arbeitsbereich TAMS M. Böttger Komplexitätsabschätzung von hardwareakzelerierten Attacken auf ECC-Kryptoverfahren, Universität Hamburg, 2002 S. Witt, P. Hartmann (Studienarbeit) Vergleichende Analyse und VHDL-basierte Implementation von Zufallsgeneratoren auf Chipkarten, Universität Hamburg, 2001 S. Gorr Konzeption, Evaluierung und Implementation eines Akzelerators für Elliptische Kurven, Universität Hamburg, 2000 F. Bohnsack Untersuchung von Elliptischen Kurven für die Tauglichkeit zur Hardwareakzeleration von Kryptoverfahren, Universität Hamburg,1997

3 2. mathematische Grundlagen
1. Motivation / 38 Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

4 2. mathematische Grundlagen
1. Motivation / 38 Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

5 Anwendungsgebiete Chipkarten z.B. Schipaß, Fahrkarten, Parkhauskarten
1. Motivation / 38 Anwendungsgebiete Chipkarten z.B. Schipaß, Fahrkarten, Parkhauskarten Dongle z.B. Softwareschutz, Internetzugang Handy z.B. Authentifizierung, Gesprächsverschlüsselung

6 Prinzip des Diffie-Hellman-Schlüsselaustauschs
1. Motivation / 38 Prinzip des Diffie-Hellman-Schlüsselaustauschs Schickt den Koffer zum Empfänger zum Absender Entfernt das eigene Schloß Absender Empfänger

7 Schlüssellängenvergleich von RSA, ECC und NTRU
1. Motivation / 38 Schlüssellängenvergleich von RSA, ECC und NTRU RSA – Rivest Shamir Adleman ECC – Elliptic Curve Cryptography NTRU – Number Theory Research Unit

8 Die Verschlüsselungszeiten
1. Motivation / 38 Die Verschlüsselungszeiten im Vergleich

9 Die Entschlüsselungszeiten
1. Motivation / 38 Die Entschlüsselungszeiten im Vergleich

10 2. mathematische Grundlagen
Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

11 Arithmetik in Polynomringen: Addition
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Addition maximaler Polynomgrad: N-1 maximaler Koeffizientengrad: q-1 (mod q)

12 Arithmetik in Polynomringen: Multiplikation
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Multiplikation (mod q)

13 Arithmetik in Polynomringen: Multiplikation
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Multiplikation (mod q)

14 Arithmetik in Polynomringen: Multiplikation
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Multiplikation (mod q)

15 Arithmetik in Polynomringen: Multiplikation
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Multiplikation (mod q)

16 Arithmetik in Polynomringen: Multiplikation
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Multiplikation (mod q) (mod q)

17 Arithmetik in Polynomringen: Multiplikation
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Multiplikation (mod q)

18 Arithmetik in Polynomringen: Inversion
2. mathematische Grundlagen / 38 Arithmetik in Polynomringen: Inversion (mod q) Die Inverse zu a(x) ist A(x), bzw. A(x) ist invers zu a(x).

19 Ring, endlicher Körper, irreduzibles Polynom
2. mathematische Grundlagen / 38 Ring, endlicher Körper, irreduzibles Polynom Definition (Ring) Ein Ring ist ein Tripel für das folgende Regeln gelten: (R,+) ist ein kommutative Gruppe ist ein Halbgruppe die Distributivgesetze gelten Definition (Körper) Ein Körper ist ein Tripel mit folgenden Regeln: ist ein Ring ist eine kommutative Gruppe Ein Polynom mit Das Polynom f(x) heißt irreduzibel über F, Wenn es nicht als Produkt zweier Polynome aus F[x] mit positivem Grad dargestellt werden kann. Definition (irreduzibles Polynom) Sei F ein endlicher Körper. Sei Hast Du die Abkürzung NTRU schon erklärt ?? Satz F[x]/(f(x)) ist ein Körper, wenn f(x) ein irreduzibles Polynom über F[x] ist. In diesem Fall kann das multiplikative Inverse mit dem erweiterten Euklidischen Algorithmus bestimmt werden.

20 Gibt es immer genau eine Inverse ?
2. mathematische Grundlagen / 38 Gibt es immer genau eine Inverse ? Für jedes existiert genau eine multiplikative Inverse, wenn p prim und f(x) irreduzibel ist. hat nicht immer eine Inverse. hat immer eine Inverse. Hast Du die Abkürzung NTRU schon erklärt ?? Wo ist der Zusammenhang dieser beiden Sätze, wozu brauche ich für den unteren Satz den oberen, Beispiele richtig, Wie begründe ich, ob p prim ist

21 2. mathematische Grundlagen
3. intuitives Beispiel / 38 Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

22 Bob erzeugt einen öffentlichen Schlüssel
3. intuitives Beispiel / 38 Bob erzeugt einen öffentlichen Schlüssel öffentliche Parameter Bobs geheime Parameter Bob wählt ein Dazu die Inversen: öffentlicher Schlüssel Er wählt zufällig das Polynom: Der öffentliche Schlüssel: mod(q)

23 Susan verschlüsselt eine Nachricht
3. intuitives Beispiel / 38 Susan verschlüsselt eine Nachricht Susans Verschlüsselung öffentliche Parameter Nachricht von Susan: binär: „111“, entspricht: Sie wählt zufällig das Polynom: Der Polynomgrad ist die Blocklänge !! und berechnet den Cyphertext: mod(q) öffentlicher Schlüssel

24 Susan verschlüsselt eine Nachricht
3. intuitives Beispiel / 38 Susan verschlüsselt eine Nachricht Susans Verschlüsselung öffentliche Parameter Nachricht von Susan: binär: „111“, entspricht: Sie wählt zufällig das Polynom: und berechnet den Cyphertext: öffentlicher Schlüssel mod(q)

25 Bob entschlüsselt Susans Nachricht
3. intuitives Beispiel / 38 Bob entschlüsselt Susans Nachricht Susans Cyphertext Bobs Entschlüsselung (mod q) erste Entschlüsselungsgl.:

26 Bob entschlüsselt Susans Nachricht
3. intuitives Beispiel / 38 Bob entschlüsselt Susans Nachricht Susans Cyphertext Bobs Entschlüsselung erste Entschlüsselungsgl.: (mod q) zweite Entschlüsselungsgl.: (mod p) Susans Nachricht war „111“

27 Warum funktioniert das Verfahren NTRU ?
3. intuitives Beispiel / 38 Warum funktioniert das Verfahren NTRU ? Verschlüsselung und Schlüsselerzeugung (mod q) erste Entschlüsselungsgleichung (mod q) Hast Du die Abkürzung NTRU schon erklärt ?? Wo ist der Zusammenhang dieser beiden Sätze, wozu brauche ich für den unteren Satz den oberen, Beispiele richtig, Wie begründe ich, ob p prim ist zweite Entschlüsselungsgleichung (mod p)

28 Warum können r und g zufällig gewählt werden ?
3. intuitives Beispiel / 38 Warum können r und g zufällig gewählt werden ? Verschlüsselung und Schlüsselerzeugung (mod q) erste Entschlüsselungsgleichung (mod q) Hast Du die Abkürzung NTRU schon erklärt ?? Wo ist der Zusammenhang dieser beiden Sätze, wozu brauche ich für den unteren Satz den oberen, Beispiele richtig, Wie begründe ich, ob p prim ist zweite Entschlüsselungsgleichung (mod p) Weil dieser Term als vielfaches von p wegfällt.

29 Warum bleibt m beim Übergang von mod q zu p erhalten ?
3. intuitives Beispiel / 38 Warum bleibt m beim Übergang von mod q zu p erhalten ? Gilt die Gleichung (mod q) nicht, kann aus (mod p) kein korrektes m resultieren. Verschlüsselung und Schlüsselerzeugung (mod q) erste Entschlüsselungsgleichung (mod q) Wählt man die Werte p, r, g, f und m aus einer Menge, die relativ zu q klein ist, so daß und gilt die Gleichung. Hast Du die Abkürzung NTRU schon erklärt ?? Wo ist der Zusammenhang dieser beiden Sätze, wozu brauche ich für den unteren Satz den oberen, Beispiele richtig, Wie begründe ich, ob p prim ist zweite Entschlüsselungsgleichung (mod p)

30 Zugrundeliegendes Problem (Trapdoorfunktion)
3. intuitives Beispiel / 38 Zugrundeliegendes Problem (Trapdoorfunktion) Verschlüsselung und Schlüsselerzeugung (mod q) Polynomfaktorisierungsproblem erste Entschlüsselungsgleichung (mod q) Hast Du die Abkürzung NTRU schon erklärt ?? Wo ist der Zusammenhang dieser beiden Sätze, wozu brauche ich für den unteren Satz den oberen, Beispiele richtig, Wie begründe ich, ob p prim ist zweite Entschlüsselungsgleichung (mod p)

31 2. mathematische Grundlagen
4. binäres Beispiel / 38 Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

32 Binäres Beispiel 4. binäres Beispiel 20 / 38 öffentliche Parameter
Bobs geheime Parameter (mod q) Susan verschlüsselt Ihre Botschaft Bob entschlüsselt Susans Nachricht (mod q) (mod p) Bob generiert den Public Key (mod q)

33 Binäres Beispiel 4. binäres Beispiel 20 / 38 öffentliche Parameter
Bobs geheime Parameter Bob generiert den Public Key (mod q) Susan verschlüsselt Ihre Botschaft (mod q) Bob entschlüsselt Susans Nachricht (mod q) (mod p)

34 Parameterwahl (mod q) Der und der müssen sein.
4. binäres Beispiel / 38 Parameterwahl öffentliche Parameter Bobs geheime Parameter (mod q) Der und der müssen sein. Wählt man die Körper ist die Gleichung immer erfüllt. Die Nachrichtenexpansion ist

35 2. mathematische Grundlagen
5. Komponenten / 38 Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

36 Die Komponenten von NTRU
einen geeigneten Zufallsgenerator arithmetische Operationen mod 2 Verfahren zur Inversenberechnung Multiplikation Hast Du die Abkürzung NTRU schon erklärt ??

37 Wahl des Zufallsgenerators
5. Komponenten / 38 Wahl des Zufallsgenerators Rang Durchsatz Zellenbedarf Leistungsaufnahme 1 RC4 LFSR 2 BBS 3 4 EC LSFR – Linear Feedback Shift Register S. Witt, P. Hartmann Vergleichende Analyse und VHDL-basierte Implementation von Zufallsgeneratoren auf Chipkarten, Universität Hamburg

38 Wahlkriterien für LSFR
5. Komponenten / 38 Wahlkriterien für LSFR linearer, geringer Zellenbedarf Qualität der Zufallszahlen gering (Berlekamp-Massey Algorithmus)

39 Methoden zur Inversenberechnung
5. Komponenten / 38 Methoden zur Inversenberechnung Intuitive Methode Jedes Element des Körpers wird geprüft, ob es das Inverse ist Erweiterter Euklidischer Berechnet die Inverse mithilfe des Algorithmus Euklidischen Algorithmus. Almost Inverse Berechnet die Inverse mithilfe des Algorithm Euklidischen Algorithmus. Dazu werden nur Verschiebe- und Additionsfunktion verwendet.

40 modulo 2 Multiplizierer
5. Komponenten / 38 modulo 2 Multiplizierer Takte Zellen Serieller Mult. N Superserieller Mult. 1 M. Böttger Komplexitätsabschätzung von hardwareakzelerierten Attacken auf ECC-Kryptoverfahren, Universität Hamburg G. Orlando, C.Paar A Super-Serial Galois Fields Multiplier For FPGAs And Ist Application To Public-Key Algorithms, Nappa Valley/CA

41 Software oder Hardwarerealisierung ?
5. Komponenten / 38 Software oder Hardwarerealisierung ? Software Hardware Schlüsselerzeugung Invertierer Multiplizierer LSFR -- Verschlüsselung Addierer Entschlüsselung Reduzierer

42 5. Komponenten / 38 Datenflußgraph der Verschlüsselung

43 5. Komponenten / 38 Datenflußgraph der Entschlüsselung

44 2. mathematische Grundlagen
6. Syntheseergebnisse / 38 Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

45 Zellenbedarf des Zufallsgenerators
6. Syntheseergebnisse / 38 Zellenbedarf des Zufallsgenerators

46 Zellenbedarf der Verschlüsselung
6. Syntheseergebnisse / 38 Zellenbedarf der Verschlüsselung

47 Zellenbedarf der Entschlüsselung
6. Syntheseergebnisse / 38 Zellenbedarf der Entschlüsselung

48 2. mathematische Grundlagen
7. Ergebnisse und Ausblick / 38 Übersicht 1. Motivation 2. mathematische Grundlagen 3. intuitives Beispiel 4. binäres Beispiel 5. Komponenten 6. Syntheseergebnisse 7. Ergebnisse und Ausblick

49 Ergebnisse Wählt man Körper und ,f(x) und g(x) irreduzibel
7. Ergebnisse und Ausblick / 38 Ergebnisse Wählt man Körper und ,f(x) und g(x) irreduzibel mit Grad(f(x)) > 3 Grad(g(x)), erhält man ein binäres NTRU. mit Grad(g(x)) > 1 ist das binäre NTRU bitweise skalierbar.

50 Ausblick Sicherheit von NTRU und binärem NTRU zu ECC und RSA
7. Ergebnisse und Ausblick / 38 Ausblick Sicherheit von NTRU und binärem NTRU zu ECC und RSA Kann die Sicherheit duch die Verwendung von Ringen statt Körpern erhöht werden ? (Inversenberechnung durch lin. Gleichungssysteme) Welchen Einfluß haben verschiedene irred. Polynome auf die Sicherheit von NTRU ?

51 Vielen Dank für Ihre Aufmerksamkeit !
7. Ergebnisse und Ausblick / 38 Vielen Dank für Ihre Aufmerksamkeit !