Score:4

ความปลอดภัยของ ECDSA สามารถถูกโจมตีโดยพารามิเตอร์ที่เลือกได้หรือไม่?

ธง de
CCS

พารามิเตอร์ที่แนะนำสำหรับเส้นโค้ง ECDSA secp256k1 คือ:

(ค่าทั้งหมดเป็นเลขฐานสิบหก)

p = FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFF 
    FFFFFFFF FFFFFFFF FFFFFFFE FFFFFC2F
ก = 00000000 00000000 00000000 00000000
    00000000 00000000 00000000 00000000 
ข = 00000000 00000000 00000000 00000000
    00000000 00000000 00000000 00000007
จี = 02
    79BE667E F9DCBBAC 55A06295 CE870B07
    029BFCDB 2DCE28D9 59F2815B 16F81798 (เวอร์ชันบีบอัด)
n = FFFFFFFF FFFFFFFF FFFFFFFF FFFFFFFE
    BAAEDCE6 AF48A03B BFD25E8C D0364141
ชั่วโมง = 01

อย่างไรก็ตาม หากฉันเปลี่ยนพารามิเตอร์เหล่านี้และใช้พารามิเตอร์เหล่านั้น ความปลอดภัยของฟังก์ชันประตูกลจะถูกลดทอนลงอย่างมากหรือไม่

ตัวอย่างเช่น ฉันสามารถใช้:

จี = 02
    B3949141 E36A5EE6 22754219 A87D849B
    DC5EA332 F2944A03 1A585112 F05673EA (เวอร์ชันบีบอัด)

เป็นค่าของ $G$ เพื่อสร้างคีย์สาธารณะแทนค่าที่แนะนำด้านบน ความปลอดภัยของฟังก์ชั่นประตูกล - และต่อมาคือกุญแจสาธารณะ - จะถูกบุกรุกอย่างมากหรือไม่?

Maarten Bodewes avatar
in flag
ไซต์นี้รองรับทั้ง MarkDown (ที่ปุ่มการจัดรูปแบบสร้างขึ้น) และ MathJax / Latexโปรดจัดรูปแบบคำถามของคุณให้ดีที่สุดเท่าที่จะทำได้ก่อนที่จะโพสต์
Score:4
ธง in

ตัวอย่างเช่น ฉันสามารถใช้:

ถ้าบันทึกแยกลับๆ แล้วกับจุดฐานมาตรฐาน $G$จากนั้นการเปลี่ยนฐานไปยังจุดอื่นบนเส้นโค้งไม่ได้ช่วยแก้ปัญหานี้

ให้คุณรู้ว่า $G$ ถูกลับๆ และคุณเปลี่ยนฐานเป็น $G' \neq G$. จากนั้นเอนทิตีที่สร้างแบ็คดอร์สามารถใช้สิ่งนี้เพื่อค้นหาคีย์ส่วนตัว

อนุญาต $P = [k]G'$ เป็นกุญแจสาธารณะกับฐานใหม่ ผู้โจมตีแก้ไข Dlog ของ $G' = [a]G$ ครั้งเดียวเท่านั้น. ใช้รูปแบบนี้ $P = [ak]G$. ซึ่งอยู่ในฐานลับๆ เพื่อให้พวกเขาสามารถแก้ปัญหา logairhtmm แยกเพื่อค้นหา $ak$. ครั้งหนึ่ง $ak$ พบแล้ว การแยกรหัสลับสามารถทำได้ด้วยเลขคณิตแบบโมดูลาร์อย่างง่าย $k = ak \cdot a^{-1} \bmod n$ ที่ไหน $a^{-1}$ เป็นสิ่งที่ตรงกันข้ามกับ $a$ ในโมดูโล $n$.

ดังนั้น เมื่อคุณมีลอการิทึมแยกแบบลับๆ แล้ว เส้นโค้งจะไม่ปลอดภัยที่จะใช้ รวมเป็นหนึ่งเดียว หากจุดฐานมีประตูกล จุดฐานทั้งหมดก็มีประตูกล!

อย่างไรก็ตาม หากฉันเปลี่ยนพารามิเตอร์เหล่านี้และใช้พารามิเตอร์เหล่านั้น ความปลอดภัยของฟังก์ชันประตูกลจะถูกลดทอนลงอย่างมากหรือไม่

การเปลี่ยนพารามิเตอร์ $p,a$, และ $ข$ ที่กำหนด $n$ และ $h$ยกเว้นจุดฐาน เปลี่ยนเส้นโค้งและเส้นโค้งใหม่ต้องได้รับการวิเคราะห์อย่างกว้างขวาง

  1. คำสั่งเส้นโค้งมีเฉพาะหรือมีปัจจัยสำคัญมากหรือไม่?
  2. การบิดของเส้นโค้งมีลำดับเฉพาะมากหรือไม่?
  3. มีบันทึกแยกที่ปลอดภัยหรือไม่?
  4. ...

เหล่านี้เป็นพื้นฐาน ดูเพิ่มเติมเกี่ยวกับเรื่องนี้ เซฟเคิร์ฟ

CCS avatar
de flag
CCS
ดังนั้นการเปลี่ยนจุดฐาน G จะไม่มีผลใด ๆ ต่อความปลอดภัย อย่างไรก็ตาม การเปลี่ยนพารามิเตอร์อื่น ๆ จะเป็นอย่างไร
kelalaka avatar
in flag
ใช่ การเปลี่ยนแปลง $G$ ไม่มีผล การเปลี่ยนพารามิเตอร์เส้นโค้ง $(p,a,b)$ จะกำหนดเส้นโค้งใหม่และจำเป็นต้องวิเคราะห์ เส้นโค้งแบบสุ่มไม่จำเป็นต้องเป็นเส้นโค้งที่ปลอดภัย
Yehuda Lindell avatar
us flag
@kelaka คำตอบของคุณพิสูจน์ให้เห็นว่าบันทึกแยกที่เกี่ยวข้องกับตัวสร้างที่แตกต่างกันนั้นยาก ขึ้นอยู่กับการแก้บันทึกแยกเดี่ยว อย่างไรก็ตาม เนื่องจากเราไม่ได้ลด ECDSA ลงในบันทึกแยกทั้งหมด จึงเป็นไปได้ในทางทฤษฎีว่า ECDSA นั้นง่ายสำหรับบาง $G'$ ไม่ใช่สำหรับบาง ๆ นอกจากนี้ หากเลือก $G'$ ด้วยวิธีพิเศษและไม่รู้จักบันทึกแยกที่สัมพันธ์กับ $G$ ดังนั้นในทางทฤษฎีแล้ว สิ่งนี้อาจทำให้ ECDSA เสียหายได้ อาจมีข้อพิสูจน์อื่น และในทางปฏิบัติฉันเดาว่าคุณพูดถูก แต่สิ่งนี้ไม่ได้พิสูจน์
kelalaka avatar
in flag
@YehudaLindell ขอบคุณสำหรับความคิดเห็นที่กระจ่างแจ้ง

โพสต์คำตอบ

คนส่วนใหญ่ไม่เข้าใจว่าการถามคำถามมากมายจะปลดล็อกการเรียนรู้และปรับปรุงความสัมพันธ์ระหว่างบุคคล ตัวอย่างเช่น ในการศึกษาของ Alison แม้ว่าผู้คนจะจำได้อย่างแม่นยำว่ามีคำถามกี่ข้อที่ถูกถามในการสนทนา แต่พวกเขาไม่เข้าใจความเชื่อมโยงระหว่างคำถามและความชอบ จากการศึกษาทั้ง 4 เรื่องที่ผู้เข้าร่วมมีส่วนร่วมในการสนทนาด้วยตนเองหรืออ่านบันทึกการสนทนาของผู้อื่น ผู้คนมักไม่ตระหนักว่าการถามคำถามจะมีอิทธิพลหรือมีอิทธิพลต่อระดับมิตรภาพระหว่างผู้สนทนา