A miña propia seguridade curva ECC e análise de selección

Máis moderno Crypto uso Elliptic Curve cifrado (ECC), que, cun tamaño menor clave e reducir o poder de computación, dar forza do sistema tradicional de cifrado coñecido como DH (Diffie-Hellman) ou RSA (Rivest, Shamir e Adleman) seguridade equivalente.

Non todo o mundo sabe que o cifrado ECC é seleccionado para todas as aplicacións de cifrado de futuros e que mesmo TLS / SSL (cifrado empregado para protexer a web) está movendo ECC.

Penso moito dos chamados "produtos de cifrado de propiedade", que abandonou a RSA e DH vai con alternativas ECC, que tenden a usar ECC tamaño da clave bits arbitrario, aínda sen especificar o tipo de cifrado ECC afacerse.

Con todo, hai unha gran confusión arredor das curvas elípticas, cunha chea de nomes diferentes e tamaño da clave, facendo difícil para un non cifrada experimentado usuario para facer a súa propia figura, ao avaliar algunhas cousas Crypto.

Por mor da confusión tan difundida que decidín facer a miña propia análise para descubrir cales son as mellores curvas de cifrado e tamaño de chave ECC ECC dereito de usar.

Esta análise quere proporcionar unha selección baseada en industria de seguridade entre varias curvas e tamaños de clave, deixando os matemáticos e crypto consideracións analíticas que xa ser feito ao longo dos anos, resumindo as varias opcións tomadas en varios estándares e protocolos de seguridade.

En primeiro lugar, a conclusión.

Da miña análise só as seguintes curvas ECC deben ser considerados para o seu uso en sistemas de cifrado, por que é o único seleccionado entre diferentes autoridades (ANSI, NSA, SAG, NIST, ECC Brainpool), diferentes patróns de protocolo de seguridade (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS) eo único correspondentes requisitos de seguridade NSA Suite B (estándar de feito tamén para o ámbito militar da OTAN):

• Elliptic Curve Prime 256 bits - P-256
• Elliptic Curve Prime 384 bits - P-384

co opcional, só para realmente paranoico que desexa máis fundamental bit tamaño, aínda non considerados útiles:

• Elliptic Curve Prime 521 bits - P-521

Gustaríame afirmar que as curvas de Koblitz debe evitarse, en calquera tamaño de clave (163/283/409/571), como eles non ten garantía suficiente na actividade analítica Crypto e eficaz son:

• Non forma parte da NSA selección cifrado Suite-B
• Non forma parte do ECC selección Brainpool
• Non forma parte da selección ANSI X9.62
• Non forma parte do OpenPGP selección extensión ECC
• Non forma parte da extensión do Kerberos para a selección de cóbado ECC

Convida o lector a seguir paga a miña análise para entender os fundamentos que poderían ser entendidas, aínda sen coñecemento técnico profundo, pero polo menos cunha boa base tecnolóxica a algúns pouco básico de cifrado.

 Aquí imos nós coa análise

O meu obxectivo é facer unha análise sobre o que / como o científico aberto e elixir un sistema de cifrado de seguridade comunidade ECC para uso en protocolos de seguridade e as normas establecidas polo IETF RFC (os que definen patróns de internet dunha forma aberta e peer-reviewed).

Continuación un conxunto de RFC Introducing ECC no sistema existente que son analizadas para entender o que é mellor usar eo que é mellor para eliminar:

• RFC5639 : ECC Brainpool defecto Curves & Xeración da curva
• RFC4869 : NSA Suite B criptográficas Suite para IPsec
• RFC5430 : NSA Suite B perfil para Transport Layer Security (TLS)
• RFC5008 : NSA Suite B en en Secure / Multipurpose Internet Mail Extensions (S / MIME)
• RFC3766 : Puntos fortes determinante para chaves públicas utilizadas para o intercambio de claves simétricas
• RFC5349 : Curve Cryptography (ECC) Elliptic Soporte para cifrado de clave pública para autenticación en Kerberos (PKINIT)
• RFC4492 : Elliptic Curve Cryptography (ECC) Cipher Suite Transport Layer Security (TLS)
• ZRTP cifrado de voz por Philip Zimmermann ECC curva
• ECC en OpenPGP (draft d balsa-jivsov-OpenPGP-ECC-06 )
• ECC Curves seleccionados por Microsoft para smartcard Kerberos sesión

Usaremos a escolla feita polo científico establecer protocolos de seguridade de internet para facer parte da nosa avaliación.
Ademais, debe ser entendido que a selección Curve vén de diversas autoridades que fixeron a súa propia selección de curvas, a fin de contar coa industria o que usar eo que saltar:

• EUA NIST (National Institute of Standards EUA) con 186-2 (recentemente substituído en 2009 polo novo 186-3 )
• EUA ANSI (American National Standard Institute), con X9.62
• EUA NSA (Axencia de Seguridade Nacional) Suite B Cryptography para TOP SECRET intercambio de información
• Internacional SACG (Normas para o grupo de cifrado eficiente) con curva elíptica dominio parámetros recomendados
• Alemán ECC Brainpool withECC Brainpool coas súas esixencias de seguridade
• ECC Interoperability Foro composto por Certicom, Microsoft, Red Hat, Sun, NSA

Usaremos a escolla feita polo científico a definición de requisitos de seguridade nas oficinas de normalización para facer parte da nosa avaliación.
Ademais, algo que a maioría da xente non sabe, pero que é moi relevante para a nosa análise, é que existen diferentes tipos de ECC curva cifrado eo seu "tamaño" é diferente dependendo do tipo de curva:

• ECC Curves máis Prime de campo (moitas veces referido como Elliptic Curve e representado por P-keysize)
• ECC Curves máis Binary campo (moitas veces referido como curva de Koblitz e representado por K-keysize)

Dada a forza de seguridade equivalencia a Elliptic Curve e Curve Kobliz teñen diferentes tamaño da chave, por exemplo, cando lemos ECC 571 referímonos á Curva Koblitz cunha forza equivalente a 521 ECC Prime curva.

A relación de forza entre curvas elípticas e Kotbliz Curves é informar por baixo (desde Mikey ECC internet Proxecto ):

 | Koblitz | ECC | DH / DSA / RSA
 | 163 | 192 | 1024
 | 283 | 256 | 3072
 | 409 | 384 | 7680
 | 571 | 521 ​​| 15360

Abaixo hai unha comparación de todas as curvas seleccionadas por todas as diversas entidades e os seus respectivos nomes (do IETF RFC4492 para o uso do ECC para TLS ):

 Curva nomes escollidos por diferentes organizacións de estándares ------------ + --------------- + ------------- SECG | ANSI X9.62 | NIST ------------ + --------------- + ------------- sect163k1 | | NIST K-163 sect163r1 | | sect163r2 | | NIST B-163 sect193r1 | | sect193r2 | | sect233k1 | | NIST K-233 sect233r1 | | NIST B-233 sect239k1 | | sect283k1 | | NIST K-283 sect283r1 | | NIST B-283 sect409k1 | | NIST K-409 sect409r1 | | NIST B-409 sect571k1 | | NIST K-571 sect571r1 | | NIST B-571 secp160k1 | | secp160r1 | | secp160r2 | | secp192k1 | | secp192r1 | prime192v1 | NIST P- 192 secp224k1 | | secp224r1 |​​ | NIST P-224 secp256k1 | | secp256r1 | prime256v1 | NIST P-256 secp384r1 | | NIST P-384 secp521r1 | | NIST P-521 ------------ + - -------------- + ------------- 

Que aparecer de inmediato é que hai só dúas curvas seleccionadas por todas as autoridades, e que hai un desaloxo xeral das curvas de Koblitz por ANSI.The só de común acordo entre as tres autoridades son os dous seguintes curva ECC:

• secp192r1 / prime192v1 / NIST P-192
• secp256r1 / prime256v1 / NIST P-256

Daqueles selección de cóbado ECC ao TLS RFC5430 ignorar completamente as curvas de Koblitz e seleccionado para só uso:

• P-256, P-384, P-521

A ECC Brainpool ignorar completamente as curvas de Koblitz e seleccionado para o uso das seguintes curvas ECC:

• P-160, P-192, P-224, P-256, P-320, P-384, P-512 (que é o único especial, porque non é P-521, pero P-512, a única chave de tamaño encamiñados por ECC Brainpool. tnx Ian Simons de Athena SCS )

O proxecto Internet OpenPGP para uso ECC en PGP d balsa-jivsov-OpenPGP-ECC-06 ignorada completamente curvas de Koblitz e seleccionou o seguinte curvas ECC

• P-256, P-384, P-521

A extensión do protocolo Kerberos para uso ECC, define no RFC5349 e definido por Microsoft para a sesión smartcard ignorar completamente as curvas de Koblitz e seleccionou os seguintes curvas ECC:

• P-256, P-384, P-521

Así, parece claro que a selección correcta do ECC é a P-256, P-384 e P-521, mentres que a curva de Koblitz foron ignorados para uso Top Secret e para calquera protocolo de seguridade sensibles (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS).

Eu teño feito esta análise tras unha discusión que tiven con respecto a determinados produtos de cifrado de voz, todos baseados en protocolos propietarios e personalizados, que están todos a usar Elliptic Curva Diffie Hellman 571 bit / ECDH 571/571 bits ECDH / Koblitz 571 bits.
Todos eles están a usar o K-571 que, segundo se describe anteriormente, foi eliminado todo o ambiente de seguridade sensibles e protocolos e sendo eu un deseñador de cousas cifrado de voz eu creo que a súa escolla de cifrado non é absolutamente a mellor opción de seguridade.
Probablemente iso foi feito só para propósitos de mercadotecnia porque K-571 (Koblitz curva) parece máis forte que o P-521 (curva elíptica con base no número Prime). Se ten "pouco máis" o seu persoal de marketing pode pretender ser "máis seguro". Koblitz curva elíptica son máis rápidos do que a ultra-secreta activado curva elíptica principal e así dar o director de produto a oportunidade de ofrecer "algo máis" no seu propio produto, mantendo a rápida cambio de claves.

É unha cuestión de liberdade filosófica.

Prefiro seguir a tendencia da comunidade científica coa humildade de non considerar un experto en criptografia, máis cualificado do que a seguridade global ea propia comunidade científica.

Prefiro, en vez de usar só algoritmos que son aprobados para o seu uso en ambientes altamente sensibles (clasificación de ultra-secreto), que foron seleccionados por todas as autoridades e grupos de traballo que analizan algoritmos de cifrado existentes alí fóra e que representan a selección de case toda seguridade por defecto protocolos (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS, etc.)
Prefiro contar a cantidade de cerebros traballando no Crypto eu uso, o cheque que é realmente seguro, que avaliará se hai algunha debilidade.

O número de Brais traballo en Crypto amplamente difundida son de orde de magnitude maior que o número de cerebros traballando Crypto utilizadas só por poucas persoas (como a curva de Koblitz).
Entón eu non estou demonizando que usan ECDH 571 usando Curve Koblitz, pero seguramente podo afirmar que non tomou a mellor opción en termos de seguridade e que todos os profesionais de seguridade facendo unha avaliación comparativa de seguridade que considerar o feito de que Elliptic Curva Diffie Hellman 571 bit feito con Koblitz Curve non é amplamente difundido, é despexado de protocolos de seguridade por defecto e non é aprobada uso secreto.