Сравнивайте с английским: нажмите на абзац — оригинал откроется в окне. Кнопка EN под абзацем показывает его прямо в тексте.
Содержание
Введение
Адаптивная атака на выбранный шифротекст (сокращенно CCA2) — это интерактивная форма атаки на выбранный шифротекст, в которой злоумышленник сначала отправляет несколько шифротекстов для адаптивного расшифрования, а затем использует полученные результаты, чтобы отличить целевой шифротекст, не обращаясь к оракулу с запросом о расшифровке целевого шифротекста. В адаптивной атаке злоумышленнику также разрешено задавать адаптивные запросы после раскрытия цели (но запрос на расшифровку самой цели запрещен). Это расширение индифферентной (неадаптивной) атаки на выбранный шифротекст (CCA1), в которой второй этап адаптивных запросов не допускается. Чарльз Рэккофф и Дэн Саймон определили CCA2 и предложили систему, основанную на неадаптивном определении CCA1 и системе Мони Наора и Моти Юнга (которая стала первым рассмотрением устойчивости систем с открытым ключом к атакам на выбранный шифротекст). В определенных практических сценариях целью этой атаки является постепенное получение информации о зашифрованном сообщении или о самом ключе расшифрования. Для систем с открытым ключом адаптивные выбранные шифротексты обычно применимы только в том случае, если они обладают свойством изменяемости шифротекста, то есть шифротекст можно модифицировать определенным образом, что предсказуемо повлияет на расшифровку сообщения.
An adaptive chosen ciphertext attack (abbreviated as CCA2) is an interactive form of chosen ciphertext attack in which an attacker first sends a number of ciphertexts to be decrypted chosen adaptively, and then uses the results to distinguish a target ciphertext without consulting the oracle on the challenge ciphertext. In an adaptive attack, the attacker is further allowed adaptive queries to be asked after the target is revealed (but the target query is disallowed). It is extending the indifferent (non adaptive) chosen ciphertext attack (CCA1) where the second stage of adaptive queries is not allowed. Charles Rackoff and Dan Simon defined CCA2 and suggested a system building on the non adaptive CCA1 definition and system of Moni Naor and Moti Yung (which was the first treatment of chosen ciphertext attack immunity of public key systems). In certain practical settings, the goal of this attack is to gradually reveal information about an encrypted message, or about the decryption key itself. For public key systems, adaptive chosen ciphertexts are generally applicable only when they have the property of ciphertext malleability — that is, a ciphertext can be modified in specific ways that will have a predictable effect on the decryption of that message.
Практические атаки
Адаптированные атаки на выбранный шифротекст, возможно, рассматривались как теоретическая проблема, но не проявлялись на практике до 1998 года, когда Дэниел Блейхенбахер (в то время сотрудник Bell Laboratories) продемонстрировал практическую атаку на системы, использующие шифрование RSA в сочетании с функцией кодирования PKCS#1 v1.5, включая версию протокола Secure Sockets Layer (SSL), используемую тысячами веб-серверов в то время. Атаки Блейхенбахера, также известные как атака "миллион сообщений", использовали недостатки в функции дополнения PKCS#1 v1.5 для постепенного раскрытия содержимого зашифрованного сообщения RSA. Согласно этой функции дополнения, дополненный открытый текст должен иметь фиксированный формат. Если устройство дешифрования (например, веб-сервер с поддержкой SSL) каким-либо образом сообщает о валидности дополнения, оно также выступает в роли "оракула", раскрывающего информацию о секретном ключе. Для получения полного ключа требуется отправка нескольких миллионов тестовых шифротекстов целевой системе. На практике это означает, что ключ сеанса SSL может быть скомпрометирован за разумное время, возможно, за день или меньше. С незначительными изменениями эта уязвимость до сих пор существует на многих современных серверах под новым названием "Return Of Bleichenbacher's Oracle Threat" (ROBOT).
Adaptive chosen ciphertext attacks were perhaps considered to be a theoretical concern, but not to have been be manifested in practice, until 1998, when Daniel Bleichenbacher (then of Bell Laboratories) demonstrated a practical attack against systems using RSA encryption in concert with the PKCS#1 v1.5 encoding function, including a version of the Secure Sockets Layer (SSL) protocol used by thousands of web servers at the time. The Bleichenbacher attacks, also known as the million message attack, took advantage of flaws within the PKCS #1 v1.5 padding function to gradually reveal the content of an RSA encrypted message. Under this padding function, padded plaintexts have a fixed format that it should follow. If the decryption device (e. g. SSL equipped web server) somehow reveals whether the padding is valid, it also serves as an "oracle" that reveals information on the secret key. Finding the whole key requires sending several million test ciphertexts to the target. In practical terms, this means that an SSL session key can be exposed in a reasonable amount of time, perhaps a day or less. With slight variations, this vulnerability still exists in many modern servers, under the new name "Return Of Bleichenbacher's Oracle Threat" (ROBOT).
Предотвращение атак
Для предотвращения адаптивных атак на основе выбранного шифротекста необходимо использовать схему шифрования или кодирования, ограничивающую изменяемость шифротекста, а также доказательство безопасности системы. После теоретической разработки и создания основ систем, устойчивых к атакам CCA, в модели случайного оракула было предложено несколько систем: наиболее распространенным стандартом для шифрования RSA является схема оптимального асимметричного шифрования с дополнением (OAEP). В отличие от самодельных схем, таких как дополнение, использовавшееся в ранних версиях PKCS#1, безопасность OAEP была доказана в модели случайного оракула. OAEP была включена в PKCS#1 начиная с версии 2.0, опубликованной в 1998 году, как рекомендуемая схема кодирования, при этом более старая схема по-прежнему поддерживается, но не рекомендуется для новых приложений. Однако золотым стандартом безопасности является доказательство безопасности системы без использования идеализации случайного оракула.
In order to prevent adaptive chosen ciphertext attacks, it is necessary to use an encryption or encoding scheme that limits ciphertext malleability and a proof of security of the system. After the theoretical and foundation level development of CCA secure systems, a number of systems have been proposed in the Random Oracle model: the most common standard for RSA encryption is Optimal Asymmetric Encryption Padding (OAEP). Unlike improvised schemes such as the padding used in the early versions of PKCS#1, OAEP has been proven secure in the random oracle model, OAEP was incorporated into PKCS#1 as of version 2.0 published in 1998 as the now recommended encoding scheme, with the older scheme still supported but not recommended for new applications. However, the golden standard for security is to show the system secure without relying on the Random Oracle idealization.
Математическая модель
В теоретической криптографии сложности безопасность против атак адаптивно выбранного шифротекста обычно моделируется с помощью неразличимости шифротекстов (IND-CCA2).
In complexity theoretic cryptography, security against adaptive chosen ciphertext attacks is commonly modeled using ciphertext indistinguishability (IND CCA2).