RSA

În criptografie, RSA este un algoritm criptografic cu chei publice, primul algoritm utilizat atât pentru criptare, cât şi pentru semnătura electronică. Algoritmul a fost dezvoltat în 1977 şi publicat în 1978 de Ron Rivest, Adi Shamir şi Leonard Adleman la MIT şi îşi trage numele de la iniţialele numelor celor trei autori.

Puterea sa criptografică se bazează pe dificultatea problemei factorizării numerelor întregi, problemă la care se reduce criptanaliza RSA şi pentru care toţi algoritmii de rezolvare cunoscuţi au complexitate exponenţială. Există însă câteva metode de criptanaliză care ocolesc factorizarea efectivă, exploatând maniere eronate de implementare efectivă a schemei de criptare.

Funcţionare

RSA este un algoritm de criptare pe blocuri. Aceasta înseamnă că atât textul clar cât şi cel cifrat sunt numere între 0 şi n-1, cu un n ales. Un mesaj de dimensiune mai mare decât $log\,n$ este împărţit în segmente de lungime corespunzătoare, numite blocuri, care sunt cifrate rând pe rând. De asemenea, ca algoritm criptografic cu chei publice, funcţionează pe baza unei perechi de chei legate matematic între ele: o cheie publică, cunoscută de toată lumea, şi una secretă, necunoscută decât de deţinătorul acesteia.

Generarea cheilor

Perechea de chei se generează după următorii paşi:

1. Se generează două numere prime, de preferat mari, p şi q;
2. Se calculează $n\,=\,pq$ şi $\phi \,=\,(p-1)(q-1)$
3. Se alege un întreg aleator e, $1<e<\phi$ astfel încât cmmdc(e, φ) = 1. Perechea (n, e) este cheia publică.
4. Folosind algoritmul lui Euclid extins, se calculează întregul d, unicul cu proprietatea că $de\,\equiv \,1\,mod\,\phi$. (n, d) constituie cheia secretă.

Decizia cu privire la care dintre e şi d este cheia publică şi care este cea secretă este, din punct de vedere matematic, arbitrară, oricare dintre cele două numere poate juca oricare dintre roluri. În practică însă, pentru a mări viteza de criptare, şi întrucât dintre cele două numere e este cel ales arbitrar, e este cheia publică iar valoarea sa este aleasă un număr mic, de regulă 3, 17 sau 65537 (2¹⁶+1). Aceasta conduce la un număr minim de înmulţiri, deci la o performanţă sporită, deoarece toate aceste numere au doar două cifre 1 în reprezentarea lor binară.

Criptarea şi decriptarea

Presupunând că mesajul clar este sub forma unui număr m, mai mic decât n, atunci mesajul cifrat, notat cu c este

$c\,=\,m^{e}\,{\pmod {n}}$

unde e este cheia publică a destinatarului mesajului. Pentru a decripta mesajul, destinatarul îşi foloseşte cheia sa secretă d, care are proprietatea foarte importantă că:

$de\,\equiv \,1\,mod\,\phi$

Astfel, mesajul clar este recuperat calculând:

$m\,=\,c^{d}{\pmod {n}}$

Oricine poate cripta mesaje cu cheia publică a destinatarului, dar numai acesta din urmă poate decripta, deoarece trebuie să folosească cheia sa secretă.

Algoritmul poate fi folosit şi pentru semnătura electronică, folosind cheile invers. Dacă o entitate criptează un mesaj (sau mai degrabă un hash al acestuia) cu cheia sa secretă şi ataşează rezultatul mesajului său, atunci oricine poate verifica, decriptând cu cheia publică a semnatarului şi comparând rezultatul cu mesajul clar (sau cu hash-ul acestuia), că într-adevăr acea entitate este autorul mesajului.

Demonstraţia formulei de decriptare

Formula de decriptare este valabilă, deoarece:

$c^{d}\,mod\,n\,=\,m^{ed}\,mod\,n$

$ed\equiv 1{\pmod {\phi }}$ şi, fiindcă $\phi =(p-1)(q-1)$, atunci

$ed\equiv 1{\pmod {p-1}}$ şi

$ed\equiv 1{\pmod {q-1}}$

şi deci se poate scrie:

$ed=k(p-1)+1$

$ed=h(q-1)+1$

Dar, cum p este prim, şi deci prim cu m, conform micii teoreme a lui Fermat, rezultă că

$m^{p-1}\,\equiv \,1{\pmod {p}}$

Astfel,

$m^{ed}=m^{k(p-1)+1}=(m^{p-1})^{k}m\equiv {1}^{k}m=m{\pmod {p}}\,$.

Dacă p nu este totuşi prim cu m, atunci înseamnă că m este multiplu al lui p, caz trivial în care m este congruent cu 0 modulo p, şi deci ridicat la orice putere este congruent cu 0 şi deci cu el însuşi.

Analog şi pentru q, $m^{ed}\equiv m{\pmod {q}}$

De aici, conform teoremei chinezeşti a resturilor, deoarece p şi q sunt numere prime, rezultă că

$m^{ed}\equiv m{\pmod {pq}}$

Performanţe în implementări

În general, deoarece se bazează pe o operaţie destul de costisitoare din punct de vedere al timpului de calcul şi al resurselor folosite, şi anume exponenţierea modulo n, viteza RSA este mult mai mică decât a algoritmilor de criptare cu cheie secretă. Bruce Schneier estima, pe baza unor calcule efectuate în anii 1990, că o implementare hardware de RSA este de 1000 de ori mai lentă decât o implementare DES, iar în software, RSA este de 100 de ori mai lent.

Există anumite modificări care pot aduce performanţe sporite, precum alegerea unui exponent de criptare mic, care astfel reduce calculele necesare criptării, rezolvând în acelaşi timp şi unele probleme de securitate. De asemenea, operaţiile cu cheia secretă pot fi accelerate pe baza teoremei chinezeşti a resturilor, dacă se stochează p, q şi unele rezultate intermediare, folosite des. Cu toate acestea, îmbunătăţirile nu sunt mari, iar ordinul de mărime al diferenţelor de performanţă faţă de implementările algoritmilor cu cheie secretă rămân aceleaşi. De aceea, în sistemele de comunicaţie în timp real, în care viteza de criptare şi decriptare este esenţială (cum ar fi, de exemplu, aplicaţiile de streaming video sau audio securizate), RSA se foloseşte doar la începutul comunicaţiei, pentru a transmite cheia secretă de comunicaţie, care ulterior este folosită într-un algoritm cu cheie secretă, cum ar fi 3DES sau AES.

Securitatea

Problema decriptării unui mesaj criptat cu RSA este denumită problema RSA. Aceasta constă în obţinerea radicalului de ordin e modulo n, unde e şi n au proprietatea că n este produsul a două numere prime mari p şi q, iar e este prim cu produsul dintre p-1 şi q-1. În acest moment, cea mai eficientă metodă de a realiza aceasta este descompunerea în factori primi a lui n, şi obţinerea astfel a cheii secrete d pe baza lui e. Astfel, este demonstrat că dificultatea spargerii unui mesaj criptat cu RSA nu este mai dificilă decât problema factorizării. Nu a fost descoperită încă o altă soluţie generală a problemei RSA, dar nici nu s-a demonstrat matematic că nu există o altă soluţie.

Graficul complexităţii celei mai bune metode de factorizare a întregilor în funcţie de lungimea reprezentării binare a numărului factorizat (pe abscisă, log n, adică numărul de cifre al numărului de factorizat; pe ordonată, ordinul de mărime al duratei de factorizare). Se observă că această complexitate este exponenţială, crescând foarte mult pentru numere mari

Factorizarea întregilor prin metodele comune ajută la găsirea soluţiilor în timp util doar pentru numere mici. Pentru numere mari, algoritmii de factorizare, cu complexitate exponenţială, dau soluţia după foarte mult timp. Cea mai rapidă metodă de factorizare a întregilor, algoritmul general al ciurului câmpurilor de numere, are o complexitate de $o\left(e^{c((\log {n})^{\frac {1}{3}}(\log {\log {n}})^{\frac {2}{3}}}\right)$ Aici, c este un număr ce ia valori în jur de 1,9 pentru numere de tipul lui n, adică numere cu doi factori primi. Cel mai mare număr factorizat vreodată prin acest algoritm, rulat în anul 2005, de către specialişti de la Agenţia Federală Germană pentru Securitatea Tehnologiei Informaţiei, are 200 de cifre zecimale, iar reprezentarea binară a factorilor primi obţinuţi ocupă 663 de biţi. Cheile de criptare RSA cele mai sigure au lungimi de peste 1024 de biţi.

Atacul RSA prin metoda forţei brute, adică încercarea fiecărei chei secrete posibile, consumă chiar mai mult timp decât factorizarea.

Atacuri împotriva RSA

Deşi securitatea algoritmului RSA constă în legătura dintre acesta şi factorizarea întregilor, el trebuie folosit cu grijă în implementări, deoarece, în caz de folosire eronată, sistemele bazate pe RSA pot fi atacate în anumite maniere care ocolesc factorizarea efectivă a modulului, atacatorul ajungând să obţină mesajul clar sau cheia secretă.

Atac cu text cifrat ales

În cazul atacului cu text cifrat ales, atacatorul dispune de cheia publică a entităţii atacate (exponentul de criptare e şi modulul n), şi interceptează mesaje cifrate trimise acestuia. Pentru a obţine mesajul clar m dintr-un mesaj cifrat c, atacatorul poate proceda, de exemplu, astfel:

1. Calculează $x=(c\times 2^{e}){\pmod {n}}$
2. Trimite entităţii atacate spre semnare pe x, obţinând $y=x^{d}{\pmod {n}}$
3. Se observă că $x=c\times 2^{e}{\pmod {n}}=m^{e}\times 2^{e}{\pmod {n}}=(2m)^{e}{\pmod {n}}$
4. Se rezolvă ecuaţia $y=(2m){\pmod {n}}$

Atacatorul obţine astfel mesajul cifrat. Există mai multe feluri de atacuri cifrate, dar sunt câteva moduri de apărare împotriva lor. Unele pot fi evitate dacă pur şi simplu entitatea protejată cu chei secrete refuză să semneze texte arbitrare trimise de terţi. Dacă acest lucru nu este posibil (ca de exemplu în cazul unui notar public care trebuie să semneze documente electronice prezentate de persoane străine), atunci atacul poate fi prevenit prin folosirea unei perechi diferite de chei pentru criptare şi pentru semnătura electronică. De asemenea, este necesar să se folosească şi un padding aleator pentru mesaj înainte de criptare sau, în cazul semnăturii, să nu se semneze mesajul clar, ci un hash al acestuia. De asemenea, atacul poate fi evitat şi dacă se impune o anumită structură predefinită mesajelor primite spre semnare.

Mesaje necriptate

Întrucât RSA se bazează pe ridicarea la putere (modulo un număr n), există anumite părţi de mesaje care nu sunt criptate, părţi rezultate în urma împărţirii mesajului pe blocuri. Astfel de mesaje sunt mesajele m cu proprietatea că m=m^x (mod n) oricare ar fi x, ca de exemplu m=0, m=1, m=n-1. Numărul exact al acestor mesaje decriptate este $(1+cmmdc(e-1,p-1))\cdot (1+cmmdc(e-1,q-1))$, şi deci este de minim 9 (deoarece e, p şi q sunt impare). Pentru a micşora numărul de astfel de părţi de mesaj, este util să se folosească un exponent public e cât mai mic.

Exponentul de criptare mic

În unele aplicaţii, se foloseşte un exponent de criptare (public) mic, de exemplu 3, pentru a mări performanţa, dar şi pentru a rezolva unele probleme de securitate. Dacă mai multe entităţi care comunică folosesc acelaşi exponent public (dar fiecare are propriul modul şi deci propria cheie secretă), atunci acelaşi mesaj trimis mai multor destinatari are următoarele valori:

$c_{1}=m^{e}{\pmod {n_{1}}}$

$c_{2}=m^{e}{\pmod {n_{2}}}$

$c_{3}=m^{e}{\pmod {n_{3}}}$

unde n_i sunt modulele celor trei destinatari, e este exponentul comun acestora iar m este mesajul trimis tuturor celor trei. Un atacator poate folosi algoritmul lui Gauss pentru a descoperi o soluţie mai mică decât n₁n₂n₃ a unui sistem compus din următoarele ecuaţii:

$x=m^{e}{\pmod {n_{1}}}$

$x=m^{e}{\pmod {n_{2}}}$

$x=m^{e}{\pmod {n_{3}}}$

Această soluţie este, conform teoremei chinezeşti a resturilor, cubul mesajului m. Soluţia pentru această problemă este cea denumită sărarea mesajului (din engleză salting), adică adăugarea unui padding format din numere pseudoaleatoare, padding diferit pentru fiecare expediere a mesajului.

Exponentul de decriptare mic

Dacă exponentul de decriptare (cel secret) este mic, pe lângă faptul că multe părţi din mesaj nu se criptează, aşa cum s-a arătat mai sus, există un algoritm rapid de găsire a lui d, cunoscând informaţiile e şi n. Acest algoritm nu este eficient dacă d este de acelaşi ordin de mărime cu n, deci dacă e este mic, acesta fiind unul din motivele pentru care se alege în general e un număr mic, pentru ca d să fie cât mai mare.

Bibliografie

• Bruce Schneier (1996). Applied Cryptography, Second Edition: Protocols, Algorithms, and Source Code in C. Wiley Computer Publishing, John Wiley & Sons, Inc. ISBN 0471128457. 
• William Stallings (2005). Cryptography and Network Security, 4th edition. Prentice Hall. ISBN 0-13-187319-3. 
• Alfred Menezes. Handbook of Applied Cryptography. Paul van Oorschot, Scott Vanstone. 
• A. W. Lenstra, H.W. Lenstra Jr. (1993). The development of the number field sieve. Springer. 
• Rivest, R.L.; Shamir, A.; Adleman, L. „A Method for Obtaining Digital Signatures and Public-Key Cryptosystems” (PDF). Accesat în 30 martie.  Mentenanță CS1: Nume multiple: lista autorilor (link)