La mia analisi della sicurezza della curva ECC e selezione

La maggior utilizzo crypto moderna crittografia a curva ellittica (ECC), che, con una chiave più piccola e ridurre la potenza di calcolo, dare forza di sicurezza equivalente del sistema crittografico tradizionale conosciuto come DH (Diffie-Hellman) o RSA (Rivest, Shamir e Adleman).

Non tutti sanno che la crittografia ECC è selezionato per tutte le future applicazioni di crittografia e che anche TLS / SSL (crittografia utilizzato per fissare il web) si sta muovendo per ECC.

Ho trovato un sacco di cosiddetti "prodotti di crittografia proprietari", che abbandonate RSA e DH a va con alternative ECC, che tendono a uso arbitrario bit ECC dimensione della chiave senza nemmeno specificare quale tipo di ECC Crypto abituarsi.

Tuttavia c'è un sacco di confusione attorno a curve ellittiche, con un sacco di nomi diversi e dimensione della chiave rendendo difficile per un-esperienza-utente non-crittografia per rendere la propria figura nel valutare alcune cose crypto.

A causa di confusione così diffusa ho deciso di fare la mia analisi per scoprire quali sono le migliori curve di crittografia ECC ECC destra e dimensione dei tasti da utilizzare.

Questa analisi vuole offrire una scelta basata settore della sicurezza tra le varie curve e lunghezza della chiave, lasciando le considerazioni analitiche e matematiche di crittografia che è stato già stato fatto nel corso degli anni, che riassume le varie scelte adottate in diversi standard e protocolli di sicurezza.

Prima della conclusione.

Dalla mia analisi solo le seguenti curve ECC sono da considerarsi per l'uso in sistemi di crittografia, perché sono l'unico scelto tra le varie autorità (ANSI, NSA, SAG, NIST, ECC Brainpool), diversi standard di protocollo di sicurezza (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS) e l'unico corrispondente requisiti di sicurezza NSA Suite B (standard de-facto anche per l'ambiente militare della NATO):

• Ellittica Prime Curve a 256 bit - P-256
• Ellittica Prime Curve 384 bit - P-384

opzionale, solo per davvero paranoico che vogliono ottenere più po dimensione della chiave, ancora non considerati utili:

• Ellittica Prime Curve 521 bit - P-521

Vorrei precisare che le curve Köblitz deve essere evitato, in ogni dimensione della chiave (163/283/409/571), in quanto non hanno abbastanza garanzia sulla crypto attività analitica ed efficace sono:

• Non fa parte della NSA Suite B-selezione crittografia
• Non fa parte della selezione ECC Brainpool
• Non fa parte della selezione ANSI X9.62
• Non fa parte della selezione estensione OpenPGP ECC
• Non fa parte della estensione Kerberos per la selezione della curva ECC

Invito il lettore a seguire Trough mia analisi per capire i fondamenti che possono essere compresi anche senza una profonda preparazione tecnica, ma almeno con un buon background tecnologico un po 'po' di base della crittografia.

 Qui andiamo con l'analisi

Il mio obiettivo è quello di fare un'analisi su cosa / come la comunità scientifica e la sicurezza aperta scegliere il sistema di crittografia ECC per l'utilizzo in protocolli di sicurezza e gli standard definiti da IETF RFC (quelli che definiscono standard Internet in modo aperto e peer-reviewed).

Qui di seguito una serie di RFC ECC introdurre nel sistema esistente che vengono analizzati per capire cosa è meglio usare e cosa c'è di meglio da escludere:

• RFC5639 : Curve ECC Brainpool Standard & Curve Generation
• RFC4869 : NSA Suite B Suites crittografia per IPsec
• RFC5430 : NSA Suite B profilo di Transport Layer Security (TLS)
• RFC5008 : NSA Suite B in in Secure / Multipurpose Internet Mail Extensions (S / MIME)
• RFC3766 : Determinazione di forza per le chiavi pubbliche usate per lo scambio di chiavi simmetriche
• RFC5349 : crittografia a curva ellittica (ECC) Supporto per crittografia a chiave pubblica per l'autenticazione iniziale in Kerberos (PKINIT)
• RFC4492 : curva ellittica Cryptography (ECC) Cipher Suites per Transport Layer Security (TLS)
• ZRTP crittografia della voce da curva Philip Zimmermann ECC
• ECC a OpenPGP (bozza d zattera-jivsov-OpenPGP-ECC-06 )
• Curve ECC selezionati da Microsoft per Smartcard Kerberos login

Useremo la scelta fatta dallo scienziato definendo Internet Security protocolli a far parte della nostra valutazione.
Inoltre, si deve capire che la selezione Curve proviene da diverse autorità che hanno fatto la loro propria selezione di curve per raccontare l'industria cosa usare e cosa saltare:

• US NIST (US National Institute of Standards) con 186-2 (recentemente sostituita nel 2009 dalla nuova 186-3 )
• US ANSI (American National Standard Institute) con X9.62
• US NSA (National Security Agency) Suite-B Cryptography per TOP SECRET scambio di informazioni
• Internazionale SACG (Norme per la crittografia di gruppo efficiente) con ellittiche consigliato Curve Parametri di dominio
• Tedesco ECC Brainpool withECC Brainpool con i loro requisiti di sicurezza rigorose
• Forum Interoperabilità ECC composto da Certicom, Microsoft, RedHat, Sun, NSA

Useremo la scelta fatta dallo scienziato definizione dei requisiti di sicurezza nelle agenzie di normalizzazione a far parte della nostra valutazione.
Inoltre, qualcosa che la maggior parte della gente non lo sa, ma che è estremamente rilevante per la nostra analisi, è che ci sono diversi tipi di ECC crittografia a curva e la loro "dimensione" è diverso a seconda del tipo di curva:

• ECC Curve oltre il primo campo (spesso indicate come curva ellittica e rappresentati da P-dimensione per la chiave)
• ECC Curve oltre Binary Field (spesso indicate come Curve Koblitz e rappresentate da K-dimensione per la chiave)

Dato un punto di forza di sicurezza equivalenza della curva ellittica e la Curva Kobliz avere dimensioni chiave diversa, per esempio quando leggiamo ECC 571 ci stiamo riferendo a Koblitz Curve con una forza equivalente a 521 ECC Prime curva.

Un confronto di forza tra le curve ellittiche e curve Kotbliz è riportato qui di seguito (da Mikey ECC Internet Draft ):

 | Koblitz | ECC | DH / DSA / RSA
 | 163 | 192 | 1024
 | 283 | 256 | 3072
 | 409 | 384 | 7680
 | 571 | 521 ​​| 15360

Qui di seguito c'è un confronto tra tutte le curve selezionate da tutte le varie entità e il loro rispettivo nome (da IETF RFC4492 per l'utilizzo ECC per TLS ):

 Nomi di curva scelto da diversi organismi di normazione ------------ + --------------- + ------------- SECG | ANSI X9.62 | NIST ------------ + --------------- + ------------- sect163k1 | | NIST K-163 sect163r1 | | sect163r2 | | NIST B-163 sect193r1 | | sect193r2 | | sect233k1 | | NIST K-233 sect233r1 | | NIST B-233 sect239k1 | | sect283k1 | | NIST K-283 sect283r1 | | NIST B-283 sect409k1 | | NIST K-409 sect409r1 | | NIST B-409 sect571k1 | | NIST K-571 sect571r1 | | NIST B-571 secp160k1 | | secp160r1 | | secp160r2 | | secp192k1 | | secp192r1 | prime192v1 | NIST P 192 secp224k1 | | secp224r1 |​​ | NIST P-224 secp256k1 | | secp256r1 | prime256v1 | NIST P-256 secp384r1 | | NIST P-384 secp521r1 | | NIST P-521 ------------ + - -------------- + ------------- 

Che cosa appare immediatamente è che ci sono solo due curve selezionate da tutte le autorità, e che vi è una immersione di curve Köblitz di ANSI.The solo di comune accordo tra le 3 autorità generale sono i seguenti due curve ECC:

• secp192r1 / prime192v1 / NIST P-192
• secp256r1 / prime256v1 / NIST P-256

Di quelli selezione della curva di ECC per TLS l' RFC5430 saltata curve completamente Köblitz e selezionato per solo utilizzo:

• P-256, P-384, P-521

L' ECC Brainpool saltato completamente curve Köblitz e selezionato per l'uso dei seguenti Curve ECC:

• P-160, P-192, P-224, P-256, P-320, P-384, P-512 (che è l'unico particolare perché non è P-521, ma P-512, l'unico di dimensioni chiave di cui da ECC Brainpool. Tnx Ian Simons da Athena SCS )

Il progetto di internet OpenPGP per l'utilizzo ECC in PGP d zattera-jivsov-OpenPGP-ECC-06 saltato completamente curve Köblitz e selezionato le seguenti curve ECC

• P-256, P-384, P-521

L'estensione del protocollo Kerberos per l'uso ECC, definito in RFC5349 e definito da Microsoft per l'accesso smartcard saltato completamente curve Köblitz e selezionato le seguenti curve ECC:

• P-256, P-384, P-521

Così, suona chiaro che il diritto di selezione di ECC è per il P-256, P-384 e P-521, mentre la curva Koblitz sono stati ignorati per Top Secret utilizzare e per qualsiasi protocollo di sicurezza sensibili (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS).

Ho fatto questa analisi a seguito di una discussione che ho avuto per quanto riguarda taluni prodotti di crittografia vocale, tutti basati su protocolli personalizzati e proprietari, che sono tutti utilizzano curve ellittiche Diffie Hellman 571 bit / ECDH 571/571-bit ECDH / Koblitz 571 bit.
Tutti loro stanno usando il K-571 che, come descritto in precedenza, è stato rimosso da tutti gli ambienti e protocolli sensibile di sicurezza e di essere io stesso un designer di roba crittografia della voce penso che la loro scelta crittografica non è assolutamente la scelta migliore sicurezza.
Probabilmente è stato fatto solo per finalità di marketing, perché K-571 (curva Koblitz) sembra più forte della P-521 (curva ellittica in base al numero Prime). Se si dispone di "più bit" i tuoi ragazzi di marketing possono pretendere di essere "più sicuro". Koblitz curva ellittica sono più veloci rispetto al primo curva ellittica top secret abilitato e in modo da dare il product manager la possibilità di fornire "più bit" in un suo prodotto pur mantenendo lo scambio di chiavi veloce.

E 'una questione di scelta filosofica.

Io preferisco seguire l'andamento della comunità scientifica con l'umiltà di non considerare me stesso un esperto di crittografia, ben più che la sicurezza generale e la stessa comunità scientifica.

Io preferisco invece di utilizzare solo gli algoritmi che sono approvati per l'uso in ambienti altamente sensibili (top secret classificazione), che sono stati selezionati da tutte le autorità e gli algoritmi di crittografia di analisi del gruppo di lavoro esistenti fuori là e che rappresentano la scelta di quasi tutti gli standard di sicurezza protocolli (IPSec, OpenPGP, ZRTP, Kerberos, SSL / TLS, ecc).
Io preferisco contare la quantità di cervelli che lavorano sul crypto io uso, che verifica che è davvero sicuro, che valuta se c'è qualche debolezza.

Il numero di Brais lavorano su Crypto ampiamente diffusa sono di ordine di grandezza superiore al numero di cervelli che lavorano su crittografia utilizzato da solo poche persone (come la curva Koblitz).
Quindi non sto demonizzare chi utilizzare ECDH 571 utilizzando Koblitz curva, ma di sicuro posso affermare che non hanno preso la scelta migliore in termini di sicurezza e che eventuali professionisti della sicurezza facendo un analisi comparativa di sicurezza prenderei in considerazione il fatto che la curva ellittica Diffie Hellman 571 bit fatto con Koblitz curva non è molto diffusa, è oggetto di dumping da protocolli di sicurezza standard e non è certificato per l'uso top secret.