שלי ביטחון עצמי ECC עקומת וניתוח הבחירה

המודרני ביותר האנוסים הצפנה אליפטיים שימוש Curve (ECC), עם גודל מפתח קטן יותר ולהפחית את כוח החישוב, לתת כוח אבטחה המקבילה של מערכת הצפנה המסורתי המכונה DH (Diffie-הלמן) או RSA (Rivest, שמיר אדלמן).

לא כל אחד יודע הצפנת ECC נבחרת עבור כל היישומים הצפנה בעתיד, וכי אפילו TLS / SSL (הצפנה המשמש לאבטחת אינטרנט) עוברת ECC.

מצאתי הרבה "מוצרי הצפנה קניינית" שנקרא אשר נטושים RSA ו DH ל הולך עם חלופות ECC, נוטים שרירותי גודל ECC שימוש קצת המפתח מבלי לציין איזה סוג של ECC האנוסים להתרגל.

עם זאת יש הרבה בלבול סביב עקומים אליפטיים, עם הרבה שמות שונים ואת גודל המפתח שהופך קשה שאינו מחולל למשתמש מנוסה כדי להפוך את הדמות שלכם כאשר אנו מעריכים כמה דברים האנוסים.

בגלל הבלבול מתפזרת כך החלטתי לעשות ניתוח שלי כדי לגלות אילו הם הטובים ביותר עקומות ECC הצפנה בגודל הנכון ECC המפתח להשתמש.

ניתוח זה מבקש לספק תעשיית האבטחה המבוסס על בחירה בין עקומות שונות וגדלים מפתח, עוזב את שיקולי אנליטיים מתמטיים האנוסים, כי כבר כבר נעשה במהלך השנים, מסכם את הבחירות השונות שננקטו כמה סטנדרטים ופרוטוקולים הביטחון.

המסקנה הראשונה.

מניתוח שלי רק את הקימורים הבאים ECC נחשבים לשימוש במערכות הצפנה כי הם היחיד שנבחר בין הרשויות השונות (ANSI, NSA, SAG, NIST, ECC BrainPool), אבטחה שונות תקנים פרוטוקול אינטרנט (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS) ו היחיד תואמים נ.ס.א. סוויטה ב 'דרישות הביטחון (דה פקטו רגילה גם לסביבה נאט"ו צבאית):

• ראש אליפטי Curve 256 ביט - P-256
• ראש אליפטי Curve 384 ביט - P-384

עם לא חובה, רק פרנואידים באמת רוצה לקבל קצת יותר גודל המפתח, עדיין לא נחשב יעיל:

• ראש אליפטי Curve 521 ביט - P-521

אני רוצה לציין כי עקומות Koblitz יש להימנע, בכל גודל המפתח (163/283/409/571) כפי שהם אין מספיק אחריות על הפעילות האנליטית האנוסים וביעילות הם:

• לא חלק הבחירה NSA קריפטוגרפיה Suite-B
• לא חלק הבחירה Brainpool ECC
• לא חלק הבחירה ANSI X9.62
• לא חלק הבחירה הרחבה ECC OpenPGP
• לא חלק הארכת Kerberos לבחירה עקומת ECC

אני מזמין את הקורא ללכת בעקבות שוקת הניתוח שלי להבין את יסודות שניתן להבין גם ללא רקע טכני עמוק, אבל לפחות עם רקע טכנולוגי טוב קצת קצת הבסיסית של הצפנה.

 הנה זה מתחיל עם ניתוח

המטרה שלי היא לעשות ניתוח על מה / איך המדעי פתוח אבטחה הקהילה בחירת ECC מערכת הצפנה לשימוש ב פרוטוקולי אבטחה וסטנדרטים שהוגדרו על ידי ה-IETF RFC (אלה שמגדירים תקני אינטרנט באופן פתוח ביקורת עמיתים).

להלן סדרה של RFC היכרות ECC למערכת הקיימת להתחיל לנתח להבין מה עדיף להשתמש ומה עדיף לכלול:

• RFC5639 : ECC Brainpool רגיל Curves & הדור Curve
• RFC4869 : נ.ס.א. סוויטה ב Suites ההצפנה של IPsec
• RFC5430 : NSA סוויטה ב 'פרופיל Transport Layer Security (TLS)
• RFC5008 : NSA סוויטה ב 'בהרחבות דואר מאובטח / רב אינטרנט (S / MIME)
• RFC3766 : יתרונות הקובע מפתחות ציבוריים המשמשים להחלפת מפתחות סימטרי
• RFC5349 : Curve Cryptography אליפטיים (ECC) תמיכה קריפטוגרפיה באמצעות מפתח ציבורי לצורך אימות ראשוני ב Kerberos (PKINIT)
• RFC4492 : אליפטיים עקומה קריפטוגרפיה (ECC) צופן Suites עבור Transport Layer Security (TLS)
• ZRTP הצפנה הקול על ידי פיליפ צימרמן ECC עקומת
• ECC ב OpenPGP (טיוטה ד רפסודה-jivsov-OpenPGP-ECC-06 )
• ECC Curves שנבחרו על ידי מיקרוסופט עבור כרטיסים חכמים Kerberos התחברות

אנו נבצע את הבחירה על ידי המדען הגדרת אבטחה הפרוטוקולים באינטרנט כדי לבצע חלק ההערכה שלנו.
בנוסף יש להבין כי הבחירה עיקול מגיע רשויות שונות שגרמו הבחירה שלהם Curves כדי לספר לתעשיית מה להשתמש ומה לדלג:

• ארה"ב NIST (המכון הלאומי האמריקני לתקנים) עם 186-2 (שהוחלף לאחרונה בשנת 2009 על ידי חדש 186-3 )
• האמריקאי ANSI (American National Institute רגיל) עם X9.62
• ארה"ב NSA (הסוכנות לביטחון לאומי) Suite-B קריפטוגרפיה על סודי חילופי מידע
• הבינלאומי SACG (התקנים עבור קבוצת הצפנה יעיל) עם פרמטרים מומלצים תחום אליפטיים עקומה
• הגרמני ECC Brainpool withECC Brainpool שלהם עם דרישות קפדניות אבטחה
• ECC יכולת פעולה הדדית פורום שהלחין Certicom, מיקרוסופט, RedHat, Sun, NSA

אנו נבצע את הבחירה על ידי המדען הגדרת דרישות האבטחה של סוכנויות התקינה לעשות חלק ההערכה שלנו.
בנוסף, משהו שרוב האנשים לא יודעים, אבל שהיא רלוונטית מאוד הניתוח שלנו, היא כי יש סוג אחר של ECC עקומת קריפטוגרפיה "גודל" שלהם זה שונה בהתאם לסוג של העקומה:

• ECC Curves מעל שדה הממשלה (המכונה לעתים קרובות עקומת אליפטיים והוא מיוצג על ידי P-keysize)
• ECC Curves מעל שדה בינארי (המכונה לעתים קרובות כמו עיקול Koblitz ו מיוצג על ידי K-keysize)

לאור כוח אבטחה שקילות Curve אליפטיים ו Curve Kobliz יש גודל מפתח אחר, למשל כאשר אנו קוראים ECC 571 אנו מתייחסים Curve Koblitz עם כוח שווה ערך ל עקומת ECC ראש 521.

השוואה של כוח בין עקומים אליפטיים ועיקולים Kotbliz מדווח להלן (מ מייקי ECC האינטרנט טיוטה ):

 | Koblitz | ECC | DH / DSA / RSA
 | 163 | 192 | 1024
 | 283 | 256 | 3072
 | 409 | 384 | 7680
 | 571 | 521 ​​| 15360

למטה יש השוואה של כל עקומות שנבחרו על ידי כל הגורמים השונים ואת שם כל אחד מהם (מ IETF RFC4492 לשימוש ECC של TLS ):

 עקומת השמות שנבחרו על ידי ארגוני סטנדרטים שונים
 ------------ + --------------- + -------------
 SECG | ANSI X9.62 | NIST
 ------------ + --------------- + -------------
 sect163k1 | | NIST K-163
 sect163r1 | |
 sect163r2 | | NIST B-163
 sect193r1 | |
 sect193r2 | |
 sect233k1 | | NIST K-233
 sect233r1 | | NIST B-233
 sect239k1 | |
 sect283k1 | | NIST K-283
 sect283r1 | | NIST B-283
 sect409k1 | | NIST K-409
 sect409r1 | | NIST B-409
 sect571k1 | | NIST K-571
 sect571r1 | | NIST B-571
 secp160k1 | |
 secp160r1 | |
 secp160r2 | |
 secp192k1 | |
 secp192r1 | prime192v1 | NIST P-192
 secp224k1 | |
 secp224r1 |​​ | NIST P-224
 secp256k1 | |
 secp256r1 | prime256v1 | NIST P-256
 secp384r1 | | NIST P-384
 secp521r1 | | NIST P-521
 ------------ + --------------- + -------------

מיד נראה מה היא שיש רק שתי עקומות שנבחרו על ידי כל הרשויות, וכי יש בכלל להטלת עיקולים על ידי koblitz ANSI.The הסכים רק בדרך כלל בין 3 הרשויות הם עקומת הבאה 2 ECC:

• secp192r1 / prime192v1 / NIST P-192
• secp256r1 / prime256v1 / NIST P-256

הברירה אלה של עקומת ECC של TLS RFC5430 דילג לחלוטין עקומות koblitz נבחרים לשימוש רק:

• P-256, P-384, P-521

Brainpool ECC דילג לחלוטין עקומות Koblitz נבחרים לשימוש עקומות ECC הבאים:

• P-160, P-192, P-224, P-256, P-320, P-384, P-512 (זה במיוחד רק כי זה לא P-521 אבל P-512, רק מפתח בגודל המכונה על ידי ECC brainpool. tnx איאן סימונס מ אתנה SCS )

טיוטת האינטרנט OpenPGP לשימוש ECC ב PGP ד רפסודה-jivsov-OpenPGP-ECC-06 דילג לחלוטין עקומות Koblitz נבחרים הבאה ECC עקומות

• P-256, P-384, P-521

הארכת פרוטוקול Kerberos לשימוש ECC, המוגדר RFC5349 ומוגדר על ידי מיקרוסופט עבור הכניסה smartcard דילג לחלוטין עקומות Koblitz ובחר את הקימורים הבאים ECC:

• P-256, P-384, P-521

אז, נשמע ברור הבחירה הימני של ECC היא P-256, P-384 ו-P-521 ואילו עקומת Koblitz כבר דילג לשימוש סודי ביותר עבור כל פרוטוקול אבטחה רגיש (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS).

עשיתי את הניתוח הזה בעקבות הדיון אני לא בעניין מסוים הצפנה קול מוצרים, כולם על בסיס פרוטוקולים מותאמים אישית קניינית, כי כולם באמצעות עיקול אליפטיים Diffie הלמן 571 ביט / ECDH 571/571 סיביות ECDH / Koblitz 571 סיביות.
כל אותם משתמשים K-571, כפי שתואר קודם לכן, הוסר כל הסביבה ביטחון פרוטוקולים רגיש מלהיות אני מעצב דברים הצפנה קול אני חושב שהבחירה ההצפנה שלהם היא בהחלט לא הבחירה הטובה ביותר לביטחון.
כנראה זה נעשה רק לצורך שיווק, כי K-571 (Koblitz עקומת) נראה חזק יותר P-521 (עקומת אליפטיים מבוסס על מספר ראשוני). אם יש לך "קצת יותר" אנשי השיווק שלך יכול לטעון שהוא "בטוח יותר". עקומת Koblitz אליפטי הם מהר יותר את עקומת סודי איפשר אליפטי הממשלה כדי לתת מנהל מוצר הזדמנות להעביר "קצת יותר" במוצר זה לבדו, תוך שמירה על מהירות החלפת המפתח.

זה עניין של בחירה פילוסופית.

אני מעדיף בעקבות המגמה של הקהילה המדעית עם ענווה של לא שוקל את עצמי מומחה הצפנה, יותר מאשר knowledgable האבטחה הכוללת ואת הקהילה המדעית עצמה.

אני מעדיף במקום להשתמש באלגוריתמים היחידים המאושרים לשימוש בסביבות רגישות גבוהה (סיווג סודי ביותר), אשר נבחרו על ידי כל הרשויות קבוצת העבודה ניתוח אלגוריתמי ההצפנה הקיימות מחוץ לשם, המייצג את אפשרויות אבטחה כמעט בכל התקן פרוטוקולים (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS, וכו ').
אני מעדיף לספור את כמות המוחות עובדים על האנוסים אני משתמש, כי סימון זה בטוח באמת, להעריך אם יש חולשה מסוימת.

מספר brais עובדים על האנוסים מפוזרת באופן נרחב הם בסדר גודל יותר ממספר המוחות עובדים על האנוסים המשמשים רק מעטים (כמו עקומת Koblitz).
אז אני לא דמוניזציה המשתמשים ECDH 571 באמצעות עיקול Koblitz, אבל בוודאות אני יכול לאשר כי הם לא לקחו את הבחירה הטובה ביותר מבחינת אבטחה, כל אנשי הביטחון עושים בהשוואות הביטחון ישקול את העובדה אליפטיים Curve Diffie הלמן 571 לעשות קצת עם עקומת Koblitz אינה מתפזרת באופן נרחב, היא זרקה מ פרוטוקולי אבטחה סטנדרטיות וזה לא מאושר לשימוש סודי ביותר.