Потоковый шифр Rivest Cipher 4. Особенности алгоритма

Министерство  образования и науки Российской Федерации

Федеральное бюджетное образовательное учреждение

высшего профессионального образования

Новосибирский государственный технический университет

Факультет автоматики и вычислительной техники

Кафедра защиты информации

 
 
 
 
 

Индивидуальная  работа по дисциплине «Теоретические основы компьютерной безопасности»

Потоковый шифр Rivest Cipher 4. Особенности алгоритма

 
 
 
 
 
 
 

Факультет: АВТ

Группа: АБ-920                    

Выполнил: Клюев  В.Е.       Проверил: Абденов А.Ж.

 
 
 
 
 
 
 
 

Новосибирск 
2011

Содержание

Введение 3

Описание  алгоритма 5

Безопасность 7

Манипуляция байтами 7

Исследования  Руза и восстановление ключа из перестановки 7

Атака Кляйна 8

Атака Флурера, Мантина и Шамира (ФМШ) 8

Комбинаторная проблема 8

Программная реализация 9

  Блок-схема программы 10

   Модули  и функции программы 11

Инструкция  пользователя 12

Главное окно программы 12

Файл 13

Помощь 15

Поле “Ключ” 16

Окно процесса шифрования 16

Последовательность  действий 16

Заключение 17

Список  литературы 17

Листинг программы 18

 
 
 
 
 
 
 
 

 

Введение

     Целью данной работы является изучение алгоритма RC4, рассмотрение его слабых и сильных сторон, определение в каких продуктах и каким образом он используется, а так же программная реализация на языке C++, с использованием программного обеспечения Borland C++ Builder 6.

     RC4 (англ. Rivest Cipher 4 или англ. Ron’s Code, также  известен как ARCFOUR или ARC4 (англ. Alleged RC4)) — это потоковый шифр, широко применяющийся в различных  системах защиты информации в  компьютерных сетях (например, в протоколах SSL и TLS, алгоритме безопасности беспроводных сетей WEP, для шифрования паролей в Windows NT).

     Шифр  разработан компанией RSA Security, и для его использования требуется лицензия.

     Алгоритм RC4 строится, как и любой потоковый шифр на основе параметризованного ключом генератора псевдослучайных битов с равномерным распределением. Длина ключа обычно составляет от 5 до 64 байт. Максимальная длина ключа 256 байт.

     Основные  преимущества шифра — высокая  скорость работы и переменный размер ключа. RC4 довольно уязвим, если используются не случайные или связанные ключи, один ключевой поток используется дважды. Эти факторы, а также способ использования могут сделать криптосистему небезопасной (например, WEP).

     Алгоритм является симметричным, соответственно, для шифрования и расшифровки используется один и тот же ключ, который передается по защищенным каналам связи. При расшифровке данных автоматически выполняется аутентификация, так как предполагается, что ключ известен лишь двум лицам: отправителю и получателю. Плюсом такого подхода является скорость, минусом - низкая криптостойкость. Симметричные алгоритмы особо уязвимы к атакам типа Mаn-in-the-Middle. В протоколе WEP используется шифрование с помощью 40- или 104-битного ключа, который является статической частью шифра. Как правило, пользователю предлагается два метода введения ключа: HEX-числа и ASCII-символы (для 40-битного ключа - 10-значное HEX-число или пять символов ASCII; для 104-битного - 26 и 13 соответственно). К статической части добавляется динамическая составляющая, которая носит имя вектора инициализации (Initialisation Vector - IV) и весит 24 бита. Таким образом, полная длина ключа равна 64 или 128 битам. В последнее время все чаще встречаются продукты, в которых реализована поддержка ключей с длиной до 256 бит, однако это не сильно повышает стойкость алгоритма, поскольку увеличение длины ключа происходит за счет статической части.

История

     Потоковый шифр RC4 был создан Роном Ривестом из RSA Security в 1987 году. Хотя официально сокращение обозначает Rivest Cipher 4, его часто считают сокращением от Ron’s Code.

     Шифр  являлся коммерческой тайной, но в  сентябре 1994 года его описание было анонимно отправлено в рассылку Cypherpunks. Вскоре описание RC4 было опубликовано в ньюс-группе sci.crypt. Именно оттуда исходный код попал на множество сайтов в сети Интернет. Опубликованный шифр давал те же шифротексты на выходе, какие давал подлинный RC4. По-видимому, данный текст был получен в результате анализа исполняемого кода. Опубликованный шифр совместим с имеющимися продуктами, использующими RC4, а некоторые участники телеконференции, имевшие, по их словам, доступ к исходному коду RC4, подтвердили идентичность алгоритмов при различиях в обозначениях и структуре программы.

     Поскольку данный алгоритм известен, он более не является коммерческой тайной. Однако, название «RC4» является торговой маркой компании RSA. Поэтому иногда шифр называют «ARCFOUR» или «ARC4» (имея ввиду Alleged RC4 — предполагаемый RC4, поскольку RSA официально не опубликовала алгоритм), чтобы избежать возможных претензий со стороны владельца торговой марки.

     Шифр RC4 применяется в некоторых широко распространённых стандартах и протоколах шифрования таких, как WEP, WPA и TLS.

     Главными  факторами, способствовавшими широкому применению RC4, были простота его аппаратной и программной реализации, а также высокая скорость работы алгоритма в обоих случаях.

     В США длина ключа для использования  внутри страны рекомендуется равной 128 битов, но соглашение, заключённое  между Software Publishers Association (SPA) и правительством США даёт RC4 специальный статус, который означает, что разрешено экспортировать шифры длиной ключа до 40 бит. 56-битные ключи разрешено использовать заграничным отделениям американских компаний.

 

 

     

Описание  алгоритма

Рис. 1. Генератор ключевого потока RC4

     Ядро  алгоритма состоит из функции  генерации ключевого потока. Эта  функция генерирует последовательность битов (k_i), которая затем объединяется с открытым текстом (m_i) посредством суммирования по модулю два. Так получается шифрограмма (c_i):

.

     Расшифровка заключается в регенерации этого  ключевого потока (k_i) и сложении его и шифрограммы (c_i) по модулю два. В силу свойств суммирования по модулю два на выходе мы получим исходный незашифрованный текст (m_i):

     

.

     Другая  главная часть алгоритма —  функция инициализации, которая  использует ключ переменной длины для  создания начального состояния генератора ключевого потока.

     RC4 — фактически класс алгоритмов, определяемых размером его блока. Этот параметр n является размером слова для алгоритма. Обычно, n = 8, но в целях анализа можно уменьшить его. Однако для повышения безопасности необходимо увеличить эту величину. Внутреннее состояние RC4 представляется в виде массива слов размером 2n и двух счетчиков, каждый размером в одно слово. Массив известен как S-бокс, и далее будет обозначаться как S. Он всегда содержит перестановку 2n возможных значений слова. Два счетчика обозначены через i и j.

     Алгоритм инициализации RC4 приведен ниже. Этот алгоритм также называется алгоритмом ключевого расписания ( Key-Scheduling Algorithm or KSA). Этот алгоритм использует ключ, сохраненный в Key, и имеющий длину l байт. Инициализация начинается с заполнения массива S, далее этот массив перемешивается путем перестановок определяемых ключом. Так как только одно действие выполняется над S, то должно выполняться утверждение, что S всегда содержит все значения кодового слова.

 

     Начальное заполнение массива:

       for i = 0 to 2n − 1

         S[i] = i

     Скремблирование:

         j = 0

       for i = 0 to 2n − 1

         j = (j + S[i] + Key[i mod l]) mod 2n

     Перестановка (S[i], S[j])

 

     Генератор ключевого потока RC4 переставляет значения, хранящиеся в S, и каждый раз выбирает различное значение из S в качестве результата. В одном цикле RC4 определяется одно n-битное слово K из ключевого потока, которое в последующем суммируется с исходным текстом для получения зашифрованного текста. Эта часть алгоритма называется генератором псевдослучайной последовательности (Pseudo-Random Generation Algorithm or PRGA).

 

     Инициализация:

       i = 0

       j = 0

     Цикл  генерации:

       i = (i + 1) mod 2n

       j = (j + S[i]) mod 2n

        Перестановка (S[i], S[j])

        Результат: K = S[(S[i] + S[j]) mod 2n]

 

 

     

Безопасность

     В отличие от современных шифров (таких, как в eSTREAM), RC4 не использует отдельной оказии (nonce) наряду с ключом. Это значит, что если один ключ должен использоваться в течение долгого времени для шифрования нескольких потоков, сама криптосистема, использующая RC4, должна комбинировать оказию и долгосрочный ключ для получения потокового ключа для RC4. Один из возможных выходов — генерировать новый ключ для RC4 с помощью хэш-функции от долгосрочного ключа и оказии. Однако, многие приложения, использующие RC4, просто конкатенируют ключ и оказию. Из-за этого и слабого расписания ключей, используемого в RC4, приложение может стать уязвимым.

     Здесь будут рассмотрены некоторые  атаки на шифр и методы защиты от них.

Манипуляция битами

     Шифр RC4 крайне уязвим к манипуляции битами, если он не реализован верным образом. И поэтому он был признан устаревшим многими софтверными компаниями, такими как Microsoft. Например, в .NET Framework от Microsoft отсутствует реализация RC4.

 

Исследования  Руза и восстановление ключа из перестановки

     В 1995 году Андрю Руз (Andrew Roos) экспериментально пронаблюдал, что первый байт ключевого потока коррелирован с первыми тремя байтами ключа, а первые несколько байт перестановки после алгоритма расписания ключей (KSA) коррелированны с некоторой линейной комбинацией байт ключа. Эти смещения не были доказаны до 2007 года, когда Пол, Рафи и Мэйтрэ доказали коррелированность ключа и ключевого потока. Также Пол и Мэйтрэ доказали коррелированность перестановки и ключа. Последняя работа также использует коррелированность ключа и перестановки для того, чтобы создать первый алгоритм полного восстановления ключа из последней перестановки после KSA, не делая предположений о ключе и векторе инициализации(V or Initial Vector). Этот алгоритм имеет постоянную вероятность успеха в зависимости от времени, которая соответствует квадратному корню из сложности полного перебора. Позднее было сделано много работ о восстановлении ключа из внутреннего состояния RC4.

 
 
 
 

Атака Флурера, Мантина  и Шамира (ФМШ)

     В 2001 году, Флурер, Мантин и Шамир опубликовали работу об уязвимости ключевого расписания RC4. Они показали, что среди всех возможных ключей, первые несколько байт ключевого потока являются совсем неслучайными. Из этих байт можно с высокой вероятностью получить информацию о используемом шифром ключе. И если долговременный ключ и оказия (nonce) просто конкатенируются для создания ключа шифра RC4, то этот долговременный ключ может быть получен с помощью анализа достаточно большого количества сообщений, зашифрованных с использованием данного ключа. Эта уязвимость и некоторые связанные с ней эффекты были использованы при взломе шифрования WEP в беспроводных сетях стандарта IEEE 802.11. Это показало необходимость скорейшей замены WEP, что повлекло за собой разработку нового стандарта безопасности беспроводных сетей WPA.

     Криптосистему можно сделать невосприимчивой  к этой атаке, если отбрасывать начало ключевого потока. Таким образом, модифицированный алгоритм называется «RC4-drop[n]», где n — количество байт из начала ключевого потока, которые следует отбросить. Рекомендовано использовать n = 768, консервативная оценка составляет n = 3072.