期末公钥密码复习笔记--个人杂记

这篇是密码学考试复习的个人笔记，我写的目的也是想记录一下学习生活，如果有什么错误也请大家指正

问题一

公钥密码的思想：密钥协商协议的提出的背景，单向可交换函数，DH密钥交换协议及中间人攻击，有限域上的离散对数问题；公钥密码提出的背景，单向陷门函数，利用单向陷门函数设计公钥密码的方法，安全性要求。

密钥协商协议的提出的背景

关于研究如何利用公开信道共享保密的密钥的问题

单向可交换函数

单向函数：

任给定义域中的$x$,计算$y=F(x)$容易，而给定$y$求相应的$x$使$y=F(x)$​​​困难　的函数

可交换性：

$E_a(E_b(g))=E_b(E_a(g))$​​,主要保证加解密的正确性

• 有限域上的离散对数问题
• $(g^a{)}^{b}modp=(g^b{)}^{a}modp$
• $g^{a}modp,g^{b}modp\stackrel{困难}{\to }a,b$​
• $g,a,b\stackrel{容易}{\to }{g}^{a}modp,g^{b}modp$

DH密钥交换协议及中间人攻击

• DH密钥交换协议

​ 公开参数：$p(素数模数),g(生成元)$

​ $x_1$为A的私钥，$x_2$为B的私钥

​ A:随机选取$x_1\in Z_p^{\ast }$计算$y_1=g^{x_1}modp$

​ B:随机选取$x_2\in Z_p^{\ast }$,计算$y_2=g^{x_2}modp$

​ 两人交换$y_1$和$y_2$的值

​ 公钥$k=g^{x_1{x}_2}modp$

​ A计算$y_2^{x_1}=g^{x_1{x}_2}$​,B计算$y_1^{x_2}=g^{x_1{x}_2}$​​

DH密钥交换协议实现的目标：A,B之间共享了一个只有他们知道的密钥K.

• 中间人攻击：(主动攻击)

  $\alpha$冒充B和A共享了一个密钥$k_1$

  $\alpha$冒充A和B共享了一个密钥$k_2$

根本原因：缺乏消息源的认证

公钥密码提出的背景

对称密码的密钥的分配、存储与管理是非常棘手的问题

单向陷门函数

一个函数如果满足如下两个特性：

• 任给定义域中的$x$，计算$y=F(x)$​容易

• 如果不知道函数F的构造特性，则对于值域中的y，求相应的$x$，使$y=F(x)$是计算困难；若知道F的构造特性，则求满足$y=F(x)$成立的$x$容易。

则称为单向陷门函数，构造特性叫作陷门.

利用单向陷门函数设计公钥密码的方法&&安全性要求

设计公钥密码的方法

①将做为加密变换公开

②任何人均可将明文$x$经$F$加密得到密文$y=F(x)$

③合法用户利用陷门信息容易由$y$求$x$，实现脱密

④不掌握陷门信息者无法由密文求得明文。

安全性要求

①由公开密钥无法解出保密密钥。

②无解密密钥的用户无法由密文求得明文

问题二

RSA算法：RSA基于的单项陷门函数是什么？基于的数学困难问题是什么？算法原理（密钥生成，加密和解密算法）；安全性分析，包括选择明文攻击，选择密文攻击，攻击成功的原因是什么？对RSA的共模攻击。如何对RSA算法进行改进，使得其能够抵抗选择明文攻击。

RSA基于的单项陷门函数是什么？

$n$​​是一个大合数，若$(e,\phi (n))=1,f(x)=x^{e}modn$​​​是一个单向陷门函数

$y=f(x)=x^{e}modn$​其中$(e,\phi (n))=1$​

$x=f^{-1}(y)=y^{d}modn$​​​​其中$ed\equiv 1(modp)$​

解密过程：$(m^e{)}^d\equiv mmodn,ed\equiv 1mod(\phi (n))$​​​（$m$为明文，$n,e$为公开参数，$d$​为私钥）​​​​

基于的数学困难问题是什么？

大整数分解问题的困难性,$\phi (n)$​​的求解是困难的

若已知的整数$n$​分解形式，则容易求出$d$，若的整数$n$分解形式是未知的，则求解$d$​是困难的。

$n=pq$​（p,q均为大素数）$\phi (n)=(p-1)(q-1)$​

*知道公钥$e$​求出$d$​必须有$\phi (n)$*​

算法原理（密钥生成，加密和解密算法）

密钥生成

首先选取两个大素数 $p$ 和$q$​,计算出$N=pq,\phi (pq)=(p-1)(q-1)$

选取加密密钥$e$​​​满足$1<e<\phi (N)$​​​且$(e,\phi (N))=1$​​​**（加密密钥$e$​​​的取值最多有$\phi (\phi (N))$​​​个，对于$RSA$​​​变形算法，$e$​​​的取值最多有$\phi (\lambda (N))$​​​个）,$\lambda (N)=lcm(p-1,q-1))$​​**

由$ed\equiv 1mod(\phi (N))$​​​求出$e$​​的唯一逆元$d$​​,作为脱密密钥​​

加密

使用公钥$e$加密明文$m$​，计算$E(m)\equiv m^e\equiv cmodN$​,得到密文$c$

解密

使用私钥$d$脱密计算$D©\equiv c^d\equiv m:mod:N $,得到明文$m$

安全性分析:选择明文攻击，选择密文攻击，攻击成功的原因是什么？对RSA的共模攻击。

选择明文攻击（小明提前获取考试成绩）

攻击者建立一个字典，字典包含各个明文对应的密文

成功原因:在一个RSA中密文和明文一一对应

选择密文攻击

成功原因:RSA的乘法同态性

$c=E(m)=m^{e}modN$

$(m_1{m}_2{)}^{e}modN=((m_1^{e}modN)(m_2^{e}modN))modN$

$E(m_1{m}_2)=E(m_1)E(m_2)$

攻击者能够查询A的解密机！则攻击者可以得到特定密文对应的明文

对RSA的共模攻击

共模$RSA$体制：系统中用户使用相同的$N$

• 共模RSA系统中任一用户均可破译系统中其他用户的加密消息。

  $(e_A,d_A)\to 分解N$​(此处证明复杂，略我也不会)​​

  $(N,e_B)\to d_B$​

• 共模RSA系统中广播信息是不安全的

  $c_1=m^{e_1},c_2=m^{e_2}$

  若$gcd(e_i,e_j)=1$,存在$s,t$使得$s{e}_i+t{e}_j=1$

  $m=m^{s{e}_i+t{e}_j}modN=m^{e_{i}s}{m}^{e_{j}t}modN=c_i^s{c}_j^{t}modN$

  已知$(c_1,c_2,e_1,e_2,N)$可求出$m$

对小加密指数e的攻击

主要是利用孙子定理求解明文$m$​先鸽了

问题三

$EIGamal$算法：算法的设计思想的来源是什么？算法原理（密钥生成，加密和解密算法）。在实际应用中，若需要加密的消息是全0比特，该怎么处理？对$EIGamal$​​的选择密文攻击过程是什么？借鉴SM2加密算法的设计思想，如何将其改成一个选择密文安全的算法。

算法的设计思想的来源是什么？

$Diffie-Hellman$密钥交换协议+有限域上的离散对数问题

算法原理（密钥生成，加密和解密算法）

公开参数$p(大素数),g(生成元)$​​,$A$​​和$B$​​​​通信：

$B\to A:Y=g^{y}modp$​​

$A\to B:X=g^{x}modp,c=m{Y}^{x}modp$​​

密钥生成

会话密钥：$sk=x^y=g^{xy}modp$

加密算法

$c=m{Y}^{x}modp$​,传输$(X,c)$

解密算法

$m=c\dot{}(sk{)}^{-1}$​

???在实际应用中，若需要加密的消息是全0比特，该怎么处理？

• 选取的私钥取值范围改为$[1,p-1]\to [0,p-2]$​
• 使用哈希避免明文全为0的情况
• 未知

对$EIGamal$​的选择密文攻击过程是什么？

攻击者已知$c=(c_1,c_2)$​求明文$m$​​​

$c_1=g^{k}modp,c_2=h^k\cdot (modp)$​

攻击者查询$c=(c_1,c_{2}m‘)$​​得到$\overline{m}$​

$m=\overline{m}\cdot {m‘}^{-1}$​

成功的原因:密文的可延展性：给定一份密文$c$，可以得到
与该密文相关的新密文。

???借鉴SM2加密算法的设计思想，如何将其改成一个选择密文安全的算法。

**问题四

ECC：有限域上的椭圆曲线上的特殊加法运算；基于椭圆曲线的DH密钥交换协议；MV算法原理；对MV算法的选择密文攻击过程。

问题五

**杂凑函数：杂凑函数的安全性要求，重要应用领域；**自由碰撞攻击的成功率和数据复杂度之间的关系；利用分组密码算法设计消息认证码的方法

杂凑函数的安全性要求

1. 单向性（求第一原像不可行）.

给出一个杂凑值$z$，求出一个$m$ ，使$H(m)=z$ 成立，在计算上不可行的。

2. 弱无碰撞性（求第二原像不可行）

任意给定一个报文$ m_1$，找出另一个不同的报文$ m_2$，使得$ H(m_2) = H(m_1)$​ 在计算上不可行。

3. 强无碰撞性

找出具有相同杂凑值$ H(m_1) = H(m_2)$的两份不同的报文$ m_1$和$ m_2$​​ ，在计算上是不可行的。

重要应用领域

1. 数据完整性检验
2. 伪随机数生成
3. 数字签名
4. 密钥推导(??)

???利用分组密码算法设计消息认证码的方法

。。。这是对称密码的部分

问题六

**数字签名: 具有什么特点的公钥加密可转换为数字签名？RSA数字签名原理，针对RSA数字签名方案，分析为什么不能直接对消息进行签名，而必须对消息的杂凑值进行签名？**DSA数字签名的原理。基于对称密码算法、公钥加密算法、数字签名、杂凑函数的保密通信模式。

具有什么特点的公钥加密可转换为数字签名？

并非所有的公钥加密算法都能实现数字签名，只有当加密变换和脱密变换可交换时才可以。

因为数字签名需要签名人使用自己的私钥对自己的消息进行加密得到签名，然后验证者使用公钥验证签名，相当于是对公钥加密的逆运算。

RSA数字签名原理

发送方$A$的参数：$N_A,e_A,d_A$

$A$使用私钥$d_A$签名消息$m$,计算$y\equiv m^{d_A}mod{N}_A$,发送$(y,m)$发给$B$

B使用公钥$(N_A,e_A)$验证,计算$m_1\equiv y^{e_A}mod{N}_A$

$m_1=m\iff y是A对m的签名$

针对RSA数字签名方案，分析为什么不能直接对消息进行签名，而必须对消息的杂凑值进行签名？

RSA数字签名方案的签名密钥是$(d,N)$​, 对消息$m_1$​的签名是$s_1$​，对消息$m_2$​的签名是$s_2$​，则对消息$m_1{m}_{2}modN$​的签名值是$s_1{s}_2$​，无法抵抗伪造攻击

根本原因：RSA的乘法同态性

???基于对称密码算法、公钥加密算法、数字签名、杂凑函数的保密通信模式。

问题七

身份加密方案与传统公钥加密相比，最大的不同是什么？双线性性质是什么，双线性性质的灵活运用。

身份加密方案与传统公钥加密相比，最大的不同是什么？

不需要CA(CA：证书颁发、撤销、更新等)

证书的目的：将Bob的公钥与Bob的身份进行绑定。

???双线性性质是什么，双线性性质的灵活运用。

双线性对：双线性对是定义在代数曲线上的一个可有效计算的双线性映射。