pgp的安全性-在線瀏覽
2024-09-14 09:45本頁面
【正文】 P的原理看一個IDEA的密匙失密只會泄露一次加密的信息，對用戶最重要的密匙——RSA密匙對的保密性沒有什么影響。實際上呢？漏洞還是有的，大家知道 Netscape 的安全性風(fēng)波吧，就是因為忽視了密匙隨機生成的問題，Netscape的隨機密匙生成算法生成的密匙很有“規(guī)律”，而且遠(yuǎn)遠(yuǎn)沒有均布到整個密匙空間去，所以盡管Netscape的美國版采用128bits的密匙，還是被用很小的機時代價破掉了。 當(dāng)有人發(fā)現(xiàn)PGP實際上不是一種“純粹的”RSA加密算法時，他們擔(dān)心由于加密鏈中IDEA的弱點而被攻破。實際上密碼分析專家計算過，窮舉128bit IDEA密匙和分解3100bitRSA密匙的工作量相當(dāng)，而實際上1024bit的RSA密匙已被認(rèn)為是機密級的，而且1024bit的純粹RSA加密要比128bit的IDEA加密要慢4000多倍。當(dāng)然這只是相對而言，我們馬上會看到RSA對直接攻擊的抵御也是足夠強的。56bit的標(biāo)準(zhǔn)DES密匙已經(jīng)被證明是可以攻破的。RSA用到的是兩個非常大的質(zhì)數(shù)的乘積，用目前的計算機水平是無法分解的。這既不說明分解這個大數(shù)是攻擊RSA唯一的（或者說是最佳的）途徑，也不能證明這種分解真的那么困難。不過目前這還只是展望，甚至連發(fā)展的方向都還沒有找到。特別是第一條對RSA的威脅最大，因為只要大數(shù)分解的問題不解決，做乘法總是比分解因數(shù)快得多，計算機能力強大了盡可以加長密匙來防御，因為那時加密也會快得多的。對 n 進行因數(shù)分解來獲得 p,q 從而算出 d 是最好的RSA攻擊方法，直接窮舉 d 或 推斷 (p1)(q1) 都要慢許多。 － 二次篩法(QS)：對 10^110 以內(nèi)的數(shù)是最快的算法。 － 分區(qū)篩法(NFS)：目前對大于 10^110 的數(shù)是最快的算法。 這些算法代表了人們對大數(shù)分解（也就是對RSA攻擊）的探索歷程。 大數(shù)分解仍然是困難的，可是隨著數(shù)論和計算能力的發(fā)展，它變得容易了。在 1994 年 RSA129 被分解了，花費了 5000 MIPS1995年，Blacknet密匙被分解，用了幾十臺工作站和一臺MarPar，共用 400 MIPS隨著時間的推移，可能被分解的密匙長度還會增加。年數(shù)。年 數(shù) 512 30,000 768 200,000,000 1024 300,000,000,000 2048 300,000,000,000,000,000,000 下面一張表示用直接攻擊方法耗時相當(dāng)?shù)膶ΨQ式與非對稱式加密對應(yīng)密匙長度?！边@并不意味著有這么個組織認(rèn)為值得動用如此之大的計算能力去破譯別人的信息。專家的建議是使用加密體系實現(xiàn)所提供的最大碼長。 RSA的安全性依賴于大數(shù)分解的難度。目前還沒有一種迅捷的產(chǎn)生一個大質(zhì)數(shù)的算法。順便提一句，質(zhì)數(shù)的個數(shù)是無窮的，甚至它的分布密度也超出一般人的想象，數(shù)論給出的結(jié)論表明，n 以內(nèi)的質(zhì)數(shù)的個數(shù)趨近于 n/ln(n)。如果n是質(zhì)數(shù)，所有這些數(shù)都不能整除它。從這里也可以看出試探除法不是一條可行的RSA攻擊道路。費馬測試并不能確定它是否質(zhì)數(shù)，但通過費馬測試以后的數(shù)不是質(zhì)數(shù)的概率微乎其微。否則 n 一定是合數(shù)。一階測試誤判的概率是 10^13 ，二階后是 10^26 ，作完四階測試后是 10^52。當(dāng)然將合數(shù)誤判為質(zhì)數(shù)的可能性是存在的，這種能通過費馬測試的合數(shù)被稱為Carmichael 數(shù)，象 561,1105,1729 等等。 下面是幾種針對RSA有效的攻擊方法，它們實際上對PGP沒有效力，因為它們攻擊的是加密協(xié)議環(huán)節(jié)上的漏洞，而不是RSA本身的?！?選擇密文攻擊 由于RSA密文是通過公開渠道傳播的，攻擊者可以獲取密文。換句話說，他需要 m = c^d 。他計算： x=r^e % n （用 T 的公匙加密 r） y=x*c % n （將臨時密文x與c相乘） t=r^1 % n A 知道RSA具有下面的一個特性： 如果 x=r^e % n，那么 r=x^d % n 因此他想辦法讓T對 y 用T自己的私匙簽名（實際上就是把 y 解密了），然后將結(jié)果 u=y^d % n 寄回給A。 n = (r^1)*(x^d)(c^d) % n = (c^d) % n = m 要防止這種攻擊的辦法就是不要對外來的隨機信息簽名，或者只對信息的MD5特征值簽名。● 過小的加密指數(shù) e 看起來，e 是一個小數(shù)并不降低RSA的安全性。可是，當(dāng)明文也是一個很小的數(shù)時就會出現(xiàn)問題。這樣只要對密文開三次方就可以得到明文?！?RSA的計時攻擊法 這是一種另辟蹊徑的方法。大家可以發(fā)現(xiàn)，RSA的基本運算是乘方取模，這種運算的特點是耗費時間精確取決于乘方次數(shù)。細(xì)節(jié)我就不復(fù)述了。Rivest說，最簡單的方法就是使RSA在基本運算上花費均等的時間，而與操作數(shù)無關(guān)。至于PGP根本不用擔(dān)心計時攻擊，因為PGP采用了中國余數(shù)理論的方法加速了運算，同時也使耗時與操作數(shù)無關(guān)。在這里提出這種攻擊是因為：雖然它目前還不實用，但從理論上是一個嶄新的思路，值得注意。它是指幾個用戶公用一個模數(shù) n ，各自有自己的 e 和 d，在幾個用戶之間公用 n 會使攻擊者能夠不用分解 n 而恢復(fù)明文。最后談?wù)凴SA密匙長度的問題，多長的密匙是安全的。但是他們并不指望這個局面延續(xù)到下世紀(jì)，他們只是指出：如果RSA象有些人說的那樣脆弱，就不可能從
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1