2014-05-20
Agenda
1. Podpis elektroniczny - cele
Bezpieczeństwo i ochrona
2. Klasyczne metody uwierzytelnienia
danych
użytkownika
3. Mechanizmy tworzenia podpisu elektronicznego
Podpisy elektroniczne
Grzegorz Kołaczek, Ph.D., Eng.
Podpis elektroniczny
Funkcje podpisu cyfrowego
Ustawa o podpisie elektronicznym z 18 września 2001 r. Podpis tradycyjny Podpis cyfrowy
Cechy wspólne
 Bezpieczny podpis, to podpis, który:
1. przypisany jednej osobie
- Jest przyporządkowany wyłącznie do osoby
2. niemożliwy do podrobienia
składającej ten podpis,
3. uniemożliwiający wyparcie się go przez autora
- Jest sporządzony za pomocą podlegających wyłącznej
4. łatwy do weryfikacji przez osobę niezależną
kontroli osoby składającej podpis elektroniczny
5. łatwy do wygenerowania
bezpiecznych urządzeń służących do składania podpisu
Różnice
elektronicznego i danych służących do składania
6. związany nierozłącznie z dokumentem 6. może być składowany i transmitowany
podpisu elektronicznego,
niezależnie od dokumentu
- Jest powiązany z danymi, do których został
7. taki sam dla wszystkich dokumentów 7. będący funkcją dokumentu
dołączony, w taki sposób, że jakakolwiek póz
niejsza
8. stawiany na ostatniej stronie 8. obejmuje cały dokument
zmiana tych danych jest rozpoznawalna.
dokumentu
Funkcje podpisu cyfrowego Dystrybucja klucza
" Uwierzytelnienie " Znajomość klucza publicznego -> pewność
autorstwa
" Niezaprzeczalność
" Certyfikat to klucz publiczny podpisany
" Integralność
przez osobę godną zaufania
" Identyfikacja
1
2014-05-20
STANDARD X509 STANDARD X509
" Organ certyfikujący  Certification " Struktura certyfikatu
Authority (CA)
 Certyfikat zgodny ze standardem X.509 wersji
3 składa się, najczęściej, z:
" Tematu (subject)  Jednoznacznie
identyfikującego właściciela (np. użytkownika,
komputer, urządzenie sieciowe& ) klucza
prywatnego powiązanego z danym certyfikatem,
" Dodatkowych informacji o właścicielu (np. adres,
itp.),
" Informacji o podpisującym CA,
STANDARD X509 Modele zaufania
Model ze ścisłą hierarchią centrów certyfikacji
" Struktura certyfikatu
 Certyfikat zgodny ze standardem X.509 wersji
3 składa się, najczęściej, z:
" Klucza publicznego,
" Nazw algorytmów kryptograficznych używanych
do stworzenia danego certyfikatu (np. do
wygenerowania podpisu CA),
" Listy rozszerzeń (extensions) zawartych w
certyfikacie,
" Informacji o sposobie uzyskiwania informacji o
ewentualnym odwołaniu certyfikatu (np. adres
www z którego można pobrać listę CRL).
Modele zaufania Schematy podpisu elektronicznego
Model zaufania skoncentrowany na użytkowniku " Z algorytmem symetrycznym i arbitrem
" Tradycyjne czyli z załącznikiem (ang. appendix)
 RSA, ElGamal, DSA, Shnorr,
" Jednorazowe (ang. one-time)
 Rabin, Merkle,
" Ślepe (ang. blind )
 Chaum,
" Niezaprzeczalne (ang. undeniable)
 Chaum-van Antwerpen,
" Grupowe (ang. group) i pierscieniowe (ang. ring )
 Rivest-Shamir-Tauman,
2
2014-05-20
Podpis z załącznikiem
Podpis z symetrycznym algorytmem
kryptograficznym
1.  A szyfruje wiadomość dla  B
" Podpis z załącznikiem wymaga aby w
kluczem KA (do arbitra)
2. Arbiter deszyfruje wiadomość czasie weryfikacji podpisu użyta została
KA i stwierdza, że pochodzi ona
od  A wiadomość pod którą podpis został złożony
3. Arbiter szyfruje wiadomość KB i
wysyła do  B
4.  B odszyfrowuje KB i
porównuje z informacją od  A
Informacje te same - wiadomość
została wysłana przez  A
Podpis z asymetrycznym algorytmem Podpis z asymetrycznym algorytmem
kryptograficznym (RSA) kryptograficznym (RSA)
Protokół ten spełnia następujące wymagania:
" Protokół:
 Alicja szyfruje dokument przy użyciu własnego klucza
" Podpis jest autentyczny, kiedy odbiorca weryfikuje wiadomość za
prywatnego, tym samym go podpisuje pomocą klucza publicznego nadawcy wie, że to on ją podpisał.
" Podpis jest niepodrabialny, gdyż jedynie nadawca zna odpowiedni
 Alicja przesyła podpisany dokument Bobowi
klucz prywatny.
 W celu sprawdzenia podpisu Bob deszyfruje dokument
" Podpis nie jest ponownie używany; podpis funkcjonuje razem z
dokumentem i nie może być przeniesiony do dowolnego innego
za pomocą klucza publicznego Alicji
dokumentu.
" Podpisany dokument jest niezmienialny; jeśli wystąpi najmniejsza
modyfikacja dokumentu, to nie może on być nadal sprawdzany przy
użyciu klucza publicznego nadawcy.
" Nie można wyprzeć się podpisu.
Odbiorca nie potrzebuje pomocy ze strony nadawcy, aby sprawdzić
jego podpis.
Tworzenie podpisu cyfrowego
Tworzenie podpisu cyfrowego
" Jednokierunkowa funkcja skrótu
 Bardzo łatwo obliczyć skrót na podstawie
ciągu wejściowego,
 Bardzo trudno wygenerować ciąg wejściowy
znając funkcję skrótu
 MD-5, SHA, MD-2 128-160 bitów
3
2014-05-20
Weryfikacja podpisu cyfrowego Podpis Shnorra
" Podmiot A podpisuje binarną wiadomość m o
dowolnej długości.
" Dowolny podmiot B może zweryfikować podpis
podmiotu A, stosując jego klucz publiczny
" Jego bezpieczeństwo opiera się na trudności w
rozwiązaniu logarytmu dyskretnego.
" Algorytm jest wydajny i tworzy krótkie podpisy.
Podpis Shnorra Podpis Shnorra
" Klucz publiczny
" Podpisywanie (podmiot A)
 (p,q,g,y)
 wybierz losowe (tajne) k,
 q  liczba pierwsza (e" 2^160)
" 1Ł�k Ł� q -1,
 p  liczba pierwsza taka, że q dzieli (p-1) (H" 2^1024)
 oblicz:
 g - generator
" r = gk mod p
 y=ga mod p
" e = h(m||r ),
" s = (ae + k) mod q,
" Klucz prywatny
 podpisem pod m jest para (e,s).
 losowa liczba a, taka że 1 Ł�a Ł�p-2
Podpis Nyber-Rueppel
Podpis Shnorra
z odtwarzaniem wiadomości
" Weryfikacja " Podmiot A podpisuje binarną wiadomość
m��M.
 sprawdz
czy 0 < s < q,
" jeśli nie, to odrzuć podpis,
 oblicz v1 = gsy-e mod p,
" Dowolny podmiot B może zweryfikować
 oblicz v2 = h(m|| v1),
podpis podmiotu A i odtworzyć z podpisu
 sprawdz
czy v2 = e
wiadomość m
 jeśli tak, to podpis jest poprawny.
4
2014-05-20
Idea podpisów jednorazowych Podpisy jednorazowe Rabina
" Mechanizm podpisów, który w sposób bezpieczny
" Przygotowanie
może być użyty dokładnie raz
 wybierz bezpieczny schemat szyfrowania
" Każde użycie schematu wymaga generowania
symetrycznego,
nowej pary informacji prywatna-publiczna,
 wylosuj 2n kluczy szyfrujących k1; k2; & ; k2n,
" Większość schematów może być bardzo
 oblicz yi = Eki (i) dla 1 Ł� i Ł� 2n,
efektywnie zaimplementowana.
 publicznym kluczem jest (y1; y2; & ; y2n),
 kluczem prywatnym (k1; k2; & ; k2n)
Podpisy jednorazowe Rabina Podpisy jednorazowe Rabina
" Weryfikacja podpisu
" Podpis
 wez
m, (s1; s2; & ; s2n) i klucz publiczny (y1; y2; & ; y2n).
 oblicz h(m),
 oblicz h(m),
 oblicz si = Eki (h(m)) dla 1 Ł� i Ł� 2n
 wylosuj n liczb 1 Ł� rj Ł� 2n,
 podpisem jest (s1; s2; & ; s2n).
 zażądaj od podpisującego kluczy krj dla 1 Ł� jŁ� n,
 sprawdz
czy yrj = Ek(rj)(rj) dla 1 Ł� jŁ� n,
" jeśli NIE, to odrzuć podpis,
 sprawdz
czy srj = Ek(rj) (h(m)) dla 1 Ł� jŁ� n,
" jeśli TAK, to zaakceptuj podpis.
Podpisy jednorazowe Rabina Podpisy jednorazowe Merkle
" Klucz publiczny jest zobowiązaniem podpisującego co do
" Przygotowanie
wyboru kluczy ki ,
 Aby podpisać n-bitową wiadomość:
" podpisywanie
" wylosuj t = n + ��log2 n�� + 1
 2n szyfrogramów wiadomości (h(m))z użyciem różnych kluczy,
losowych, tajnych l -bitowych liczb ki ,
" weryfikacja
" oblicz vi=h(ki), 1Ł�iŁ�t,
 losowe sprawdzenie poprawności n szyfrogramów poprzez
ujawnienie n kluczy ki ,
" publicznym kluczem jest (v1,v2,...v2n),
" Wady:
" prywatnym (k1,k2,...k2n)
 rozmiar podpisu,
 weryfikacja podpisu wymaga interakcji podpisującego i
weryfikującego.
5
2014-05-20
Podpisy jednorazowe Merkle Podpisy jednorazowe Merkle
" Podpis wiadomości  m długości  n bitów " Weryfikacja podpisu
 oblicz w,  wez
m oraz klucz publiczny(v1; v2; & ; v2n).
gdzie c jest binarną reprezentacja liczebności  0 w
 oblicz c,
liczbie m;
 wyszukaj wszystkie bity ij liczby w = m||c, takie że
w=m||c =(a1a2...at)
wij = 1,
 ustal pozycje  1
 sprawdz
czy vij = h(kij ) dla 1 Ł� jŁ� u, jeśli TAK, to
i1zaakceptuj podpis,
 Niech sj=kij, 1Ł�j Ł�u.
 Podpisem jest (s1,...su)
Podpisy jednorazowe Merkle Ślepe podpisy
" Mniejszy rozmiar podpisu  podpisujemy tylko " Protokół realizowany przez dwie strony (A i B), w których
A wysyła do B pewną informację m , która B podpisuje.
jedynki w bitowym zapisie h(m),
" Na podstawie uzyskanego podpisu A jest w stanie
" Większa efektywność  funkcja skrótu zamiast
wygenerować podpis pod wybraną wcześniej
szyfrowania,
wiadomością m, tym razem już bez udziału B.
" Kolejne wykorzystanie protokołu z tymi samymi
 B nie wie co podpisuje  nie zna m,
 B nie potrafi powiązać m z podpisem pod m,
parametrami zwiększa prawdopodobieństwo
 B widząc swój podpis pod m nie potrafi powiedzieć dla kogo ją
podrobienia podpisu (ujawnia coraz więcej
wygenerował.
sekretów).
" Potrzebne np.:
 przy elektronicznych wyborach, systemach elektronicznych
płatności
Ślepe podpisy Chauma Ślepe podpisy Chauma
" Przygotowanie " Podpisywanie
 Analogiczne jak w schemacie RSA, przy czym B  A losuje 1 < k < n-1, takie, ze NWD(k, n) = 1,
posiada swoją parę kluczy
 A oblicza m = mke mod n i wysyła do B,
" prywatny (d; n)
 B podpisuje s = (m )d mod n i odsyła s do A,
" publiczny (e; n).
 A oblicza s = s k-1 mod n, które jest podpisem
 Druga strona  A, musi tylko znać klucz
B pod m.
publiczny B.
" Weryfikacja
 Analogicznie jak w przypadku RSA
6
2014-05-20
Podpisy niezaprzeczalne Schemat Chaum-van Antwerpen
" Podpis, którego użytkownik nie może się wyprzeć
" Przygotowanie
 można pokazać, że podpis został wygenerowany z
 wybierz losową liczbę pierwszą p = 2q + 1
użyciem klucza prywatnego użytkownika,
gdzie q jest pierwsze,
 weryfikacja zawsze przeprowadzana on-line,
 wybierz generator g podgrupy Zq,
 wymagają dodatkowej procedury odrzucenie podpisu,
 wybierz losowa liczbę 1 Ł� a < q,
która jest wykonywana zawsze jeśli weryfikacja
zakończyła się brakiem akceptacji podpisu
oblicz y = ga mod p,
 procedura ma za zadanie ustalić, czy oszukuje
 kluczem publicznym jest (y; g; p),
podpisujący czy rzeczywiście podpis nie jest jego,
 prywatnym a.
Schemat Chaum-van Antwerpen Schemat Chaum-van Antwerpen
" Procedura odrzucenia podpisu
" Podpis
 weryfikujący (B) wybiera losowe liczby 1 Ł� x1; x2 < q,
 oblicz s = ma mod p,
 B oblicza z = sx1yx2 mod p i wysyła do A,
 A oblicza w = za-1 mod p i odsyła w do B,
 podpisem pod m jest s.
 B sprawdza czy mx1gx2 = w, jeśli TAK to akceptuje podpis i kończy,
" Weryfikacja
 jeśli NIE, to B losuje liczby 1 Ł� x1 , x2 < q
 weryfikujący (B) wybiera losowe liczby 1 Ł� x1; x2 < q,
 B oblicza z = sx1 yx2 mod p i wysyła do A,
 B oblicza z = sx1yx2 mod p i wysyła do A,
 A oblicza w = z a-1 mod p i odsyła w do B,
 A oblicza w = za-1 mod p i odsyła w do B,
 B sprawdza czy mx1 gx2 = w ,
 B sprawdza czy mx1gx2 = w,
" jeśli TAK to akceptuje podpis i kończy,
" jeśli TAK to akceptuje podpis, " jeśli NIE to sprawdza czy: (wg-x2)x1 = (w g-x2 )x1
 jeśli TAK to s jest fałszywe,
" jeśli NIE to wykonuje procedurę odrzucenia podpisu.
 jeśli NIE to A oszukuje.
Podpisy grupowe Podpisy pierścieniowe
" Przygotowanie
" Podpis, który został złożony przez jednego
 każdy użytkownik 1Ł� i Ł� t posiada parę kluczy
z użytkowników należących do pewnej
(Pi ; Si)
grupy.
" asymetryczny algorytm szyfrowania, np: RSA,
" Weryfikujący może jedynie stwierdzić, że  każdy użytkownik zna klucze publiczne pozostałych
użytkowników,
podpis złożył członek grupy, ale nie jest w
 każdy użytkownik zna klucz K symetrycznego
stanie powiedzieć który.
algorytmu szyfrowania,
" np: AES.
7
2014-05-20
Podpisy pierścieniowe Podpisy pierścieniowe
" Podpis " Weryfikacja
 użytkownik u oblicza:  weryfikujący (B) oblicza
" v = h(m) " xi = DPi (yi ) dla 1Ł� i Ł� t,
" losuje wartości yi dla 1Ł� i Ł� t i i ą�u,
 sprawdza czy
 dla wylosowanych yi oblicza xi = DPi (yi ), " v = E(x1��E(x2��E(& xu��E(& xt��E(v)))))
 oblicza xu takie, że
" v = E(x1��E(x2��E(& xu��E(& xt��E(v)))))
 oblicza yu= ESi (xu),
 podpisem pod m jest (v; y1; y2; ..; yu;& ; yt ).
Dziękuję za uwagę
8