Min egen ECC kurve sikkerhed og valg af analyse

De fleste moderne Crypto brug elliptisk kurve Cryptographic (ECC), der, med en mindre nøglestørrelse og reducere beregning magt, giver en tilsvarende sikkerhed styrken af traditionelle krypto-system kendt som DH (Diffie-Hellman) eller RSA (Rivest, Shamir og Adleman).

Ikke alle ved, at ECC-kryptering er valgt for eventuelle fremtidige kryptering programmer, og at selv TLS / SSL (kryptering, der anvendes til at fastgøre nettet) flytter til ECC.

Jeg fandt masser af såkaldte "beskyttede krypteringsprodukter", som forladte RSA og DH til at går med ECC alternativer, der har tendens til vilkårlig brug ECC bit nøgle størrelse uden selv at angive, hvilke slags ECC crypto vænne.

Men der er en masse forvirring omkring elliptiske kurver, med en masse forskellige navne og nøglestørrelse gør det vanskeligt for en ikke-kryptografisk-erfarne-bruger til at lave din egen figur, når de evaluerer nogle crypto ting.

På grund af så spredt forvirring jeg besluttede at lave min egen analyse for at finde ud af, hvilke er de bedste ECC kryptering kurver og højre ECC nøglestørrelse at bruge.

Denne analyse vil gerne give en sikkerhed industri baseret valg blandt forskellige kurver og nøglestørrelser, forlader de matematiske og crypto analytiske overvejelser, der allerede er gjort i løbet af de år, der opsummerer de forskellige valg, der træffes i flere standarder og sikkerhed protokoller.

Først konklusionen.

Fra min analyse kun følgende ECC kurver skal betragtes til brug i krypteringssystemer, da er den eneste udvalgt blandt forskellige myndigheder (ANSI, NSA, SAG, NIST, ECC BrainPool), forskellige sikkerhedsprotokol standarder (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS), og den eneste matchende NSA Suite B sikkerhedsmæssige krav (de-facto standard også for NATO militær miljø):

• Elliptisk Prime Curve 256 bit - P-256
• Elliptisk Prime Curve 384 bit - P-384

med valgfri, bare for virkelig paranoid, der ønsker at få mere nøglestørrelse lidt stadig ikke anset for hensigtsmæssigt:

• Elliptisk Prime Curve 521 bit - P-521

Jeg vil gerne sige, at Köblitz kurver bør undgås, i en vilkårlig tast størrelse (163/283/409/571), da de ikke har nok garanti på krypto analytisk aktivitet og effektivt de er:

• Ikke en del af NSA Suite-B kryptografi valg
• Ikke en del af ECC Brainpool valg
• Ikke en del af ANSI X9.62 valg
• Ikke en del af OpenPGP ECC forlængelse valg
• Ikke en del af Kerberos forlængelse i ECC kurve valg

Jeg vil opfordre læseren til at følge trough min analyse til at forstå de grundlæggende principper, der kan misforstås, selv uden dyb teknisk baggrund, men i det mindste med en god teknisk baggrund, en nogle grundlæggende lidt af kryptografi.

 Her går vi med analysen

Mit mål er at foretage en analyse af, hvad / hvordan den åbne videnskabelige og sikkerhed samfund vælg ECC krypto-system til brug i sikkerheds protokoller og standarder er defineret af IETF RFC (dem, der definerer Internet-standarder i en åben og peer-review måde).

Nedenfor et sæt af RFC indføring ECC i eksisterende system, der får analyseret for at forstå, hvad er bedre at bruge, og hvad er bedre at udelukke:

• RFC5639 : ECC Brainpool standardkurver & Kurvegenerering
• RFC4869 : NSA Suite B Kryptografiske Suites for IPsec
• RFC5430 : NSA Suite B profil for Transport Layer Security (TLS)
• RFC5008 : NSA Suite B in Secure / Multipurpose Internet Mail Extensions (S / MIME)
• RFC3766 : Bestemmelse Styrker om offentlige nøgler benyttes til at udveksle symmetriske nøgler
• RFC5349 : elliptisk kurve Cryptography (ECC) Støtte til Public Key Cryptography for første godkendelse i Kerberos (PKINIT)
• RFC4492 : elliptisk kurve Cryptography (ECC) kodeserier for Transport Layer Security (TLS)
• ZRTP stemme kryptering af Philip Zimmermann ECC kurve
• ECC i OpenPGP (udkast d tømmerflåde-jivsov-OpenPGP-ECC-06 )
• ECC Kurver udvalgt af Microsoft til Smartcard Kerberos login

Vi vil bruge det valg, som forsker at definere Internet Security protokoller for at gøre en del af vores vurdering.
Derudover er det skal forstås, at kurven, kommer fra forskellige myndigheder, der gjorde deres eget udvalg af Kurver for at fortælle til industrien, hvad de skal bruge og hvad man skal springe:

• US NIST (US National Institute of Standards) med 186-2 (for nylig afløst i 2009 af den nye 186-3 )
• USA ANSI (American National Standard Institute) med X9.62
• US NSA (National Security Agency) Suite-B Cryptography for TOP SECRET informationsudveksling
• International SACG (standarder for effektiv krypterings-gruppe) med Anbefalede elliptisk kurve Domæne parametre
• Tysk ECC Brainpool withECC Brainpool med deres strenge sikkerhedskrav
• ECC Interoperabilitet Forum er sammensat af Certicom, Microsoft, Redhat, Sun, NSA

Vi vil bruge det valg, som videnskabsmand fastlæggelse af sikkerhedskrav i de standardiseringsorganer til at gøre en del af vores vurdering.
Derudover noget, som de fleste mennesker ikke kender, men at det er ekstremt relevant for vores analyse, er, at der er forskellige slags ECC kurve kryptografi og deres "størrelse" det er anderledes afhængig af typen af ​​kurven:

• ECC Kurver end Prime felt (ofte omtalt som elliptisk kurve og repræsenteret ved P-keysize)
• ECC Kurver end Binary felt (ofte omtalt som Koblitz Curve og repræsenteret ved K-keysize)

Givet en sikkerhed styrke ligestilling af elliptisk kurve og Kobliz Curve har forskellig nøgle størrelse, for eksempel når vi læser ECC 571, vi henviser til Koblitz Curve med en tilsvarende styrke som ECC 521 Prime kurve.

En sammenligning af styrken mellem elliptiske kurver og Kotbliz kurver er rapporteret nedenfor (fra Mikey ECC internet Udkast til ):

 | Koblitz | ECC | DH / DSA / RSA
 | 163 | 192 | 1024
 | 283 | 256 | 3072
 | 409 | 384 | 7680
 | 571 | 521 ​​| 15360

Nedenfor er der en sammenligning af alle valgte kurver af alle de forskellige enheder og deres respektive navn (fra IETF RFC4492 for ECC brug for TLS ):

 Curve navne valgt af forskellige standardiseringsorganisationer
 ------------ + --------------- + -------------
 SECG | ANSI X9.62 | NIST
 ------------ + --------------- + -------------
 sect163k1 | | NIST K-163
 sect163r1 | |
 sect163r2 | | NIST B-163
 sect193r1 | |
 sect193r2 | |
 sect233k1 | | NIST K-233
 sect233r1 | | NIST B-233
 sect239k1 | |
 sect283k1 | | NIST K-283
 sect283r1 | | NIST B-283
 sect409k1 | | NIST K-409
 sect409r1 | | NIST B-409
 sect571k1 | | NIST K-571
 sect571r1 | | NIST B-571
 secp160k1 | |
 secp160r1 | |
 secp160r2 | |
 secp192k1 | |
 secp192r1 | prime192v1 | NIST P-192
 secp224k1 | |
 secp224r1 |​​ | NIST P-224
 secp256k1 | |
 secp256r1 | prime256v1 | NIST P-256
 secp384r1 | | NIST P-384
 secp521r1 | | NIST P-521
 ------------ + --------------- + -------------

Hvad vises med det samme er, at der kun er to kurver er udvalgt af alle myndigheder, og at der er en generel dumping af Köblitz kurver ved ANSI.The kun vedtaget i fællesskab blandt de 3 myndigheder er følgende to ECC kurve:

• secp192r1 / prime192v1 / NIST P-192
• secp256r1 / prime256v1 / NIST P-256

Af dem udvalg af ECC kurven for TLS den RFC5430 springes helt Köblitz kurver og udvalgt til brug kun:

• P-256, P-384, P-521

Den ECC Brainpool sprunget helt Köblitz kurver og udvalgt til brug følgende ECC kurver:

• P-160, P-192, P-224, P-256, P-320, P-384, P-512 (det er den eneste bl.a. fordi det ikke er P-521, men P-512, den eneste nøgle-størrelse henvist af ECC brainpool. Tnx Ian Simons fra Athena SCS )

Den OpenPGP Internettet udkast til ECC brug i PGP d tømmerflåde-jivsov-OpenPGP-ECC-06 springes helt Köblitz kurver og valgt følgende ECC kurver

• P-256, P-384, P-521

Den Kerberos-protokollen udvidelse til ECC brug, der er defineret i RFC5349 og defineret af Microsoft for chipkort logon sprunget helt Köblitz kurver og valgt de følgende ECC kurver:

• P-256, P-384, P-521

Så lyder det klart, at det rigtige valg af ECC er for P-256, P-384 og P-521, mens Koblitz kurven er sprunget over til Top Secret brug og til enhver sikkerhed følsomme protokol (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS).

Jeg har gjort denne analyse efter en diskussion jeg havde med hensyn til visse stemme krypteringsprodukter, alle baseret på brugerdefinerede og proprietære protokoller, som alle bruger elliptisk kurve Diffie Hellman 571 bit / ECDH 571/571-bit ECDH / Koblitz 571 bits.
Alle dem med K-571, der, som beskrevet før, er blevet fjernet fra alle sikkerheds-følsomme miljø og protokoller og være mig en designer af voice kryptering ting jeg mener, at deres kryptografisk valg er absolut ikke den bedste sikkerhed valg.
Sandsynligvis er det blevet gjort bare for marketing formål, fordi K-571 (Koblitz kurve) virker stærkere end P-521 (elliptisk kurve baseret på Prime-nummer). Hvis du har "mere bit" din markedsføring fyre kan hævde at være "mere sikker". Koblitz elliptisk kurve er hurtigere end det tophemmelige aktiveret prime elliptisk kurve, og så giver produktchef en chance for at give "mere bit" i sit eget produkt og samtidig holde nøgleudveksling hurtigt.

Det er et spørgsmål om filosofisk valg.

Jeg foretrækker at følge udviklingen i videnskabelige samfund med ydmyghed ikke at overveje mig en kryptografisk ekspert, vidende mere end den generelle sikkerhed og videnskabelige samfund selv.

Jeg foretrækker i stedet for kun at bruge algoritmer, der er godkendt til anvendelse i meget følsomme miljøer (tophemmelige klassifikation), der er blevet udvalgt af alle de myndigheder, og arbejdsgruppen analysere krypteringsalgoritmer eksisterende ud-der, og at repræsenterer valget af næsten alle standard sikkerhed protokoller (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS, osv.).
Jeg foretrækker at tælle mængden af ​​hjerner arbejder på Crypto jeg bruge, at check det er virkelig sikkert, at vurdere, om der er nogle svagheder.

Antallet af brais arbejder på Crypto udbredte er af størrelsesorden mere end antallet af hjerner arbejder på krypto anvendes af blot få mennesker (som Koblitz kurve).
Så jeg er ikke dæmonisere, der bruger ECDH 571 bruger Koblitz Kurve, men for sikker på, jeg kan bekræfte, at de ikke taget det bedste valg med hensyn til sikkerhed, og at eventuelle sikkerhedsmæssige professionelle gør en sikkerhed benchmarking ville overveje det faktum, at elliptisk kurve Diffie Hellman 571 bit gøres med Koblitz Curve ikke er udbredte, er det dumpet fra standardsikkerhedsprotokoller, og det er ikke godkendt til tophemmelige brug.