Crittosistema di ElGamal - Dipartimento di Informatica ed Applicazioni

Crittosistema ElGamal 

Alfredo De Santis 

Dipartimento di Informatica ed Applicazioni 

Università di Salerno 

ads@dia.unisa.it 

http://www.dia.unisa.it/professori/ads 

Alice 

chiave privata 

kpriv 

Cifratura 

file pubblico 

utente chiave pubblica 

Alice kpub 

… … 

canale insicuro 

Devo cifrare il messaggio 

M ed inviarlo ad Alice 

Marzo 2012 

Bob 

2 

Alice 

Alice 

Cifrari asimmetrici 


kpriv 


kpriv 

file pubblico 


Alice kpub 

… … 

Cifratura 

file pubblico 


Alice kpub 

… … 

canale insicuro 

C 

Cifratura di M per Alice 

C ← CIFRA (kpub, M) 

Bob 

1 

3

Devo decifrare il 

messaggio cifrato C 

Alice 

Decifratura 

file pubblico 


Alice kpub 

… … 

Crittosistema di ElGamal 

! Taher Elgamal 

! Sicurezza basata 

sull’intrattabilità del 

problema del logaritmo 

discreto 

?? 

C? 

Taher El Gamal, 

A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms 

IEEE Transactions and Information Theory, vol. IT-31, No. 4, Jul. 1985. 

4 

6 


kpriv 

Alice 

Decifratura 

file pubblico 


Alice kpub 

… … 

Decifratura di C 

M ← DECIFRA (kpriv, C) 

C 

Crittosistema di ElGamal 

! Utilizza il concetto di generatore di Z p * 

! p primo 

! g è generatore di Z p* se {g i |1≤i≤ p-1} = Z p* 

5 

7


α ∈ Z p 

Alice 

Chiavi ElGamal 

file pubblico 


A (p, g, β) 

… … 

p primo 

g generatore di Zp* (comuni a tutti) 

β =g α mod p 

Cifratura ElGamal 

C 


y 1 ← g k mod p 

y 2 ← M β k mod p 

C ← (y 1,y 2) 


A (p, g, β=g α ) 

… … 

Bob 

k ∈ Z p 

8 

10 


Devo cifrare il messaggio M 

ed inviarlo ad Alice 

file pubblico 


A (p, g, β=g α ) 

… … 

Bob 

Decifratura ElGamal 

Devo decifrare il 

messaggio cifrato C 

Alice 


A (p, g, β=g α ) 

… … 

C 

?? 

C? 

9 

11



α 


A (p, g, β=g α ) 

… … 

Decifratura di C = (y 1,y 2) 

z"←"y 1 α mod p 

M ← z -1 · y 2 mod p 

Alice Cifratura di M per Alice 

y1 ← g 

12 

k mod p 

y2 ← M βk mod p 

C ← (y1 ,y2 ) 

(435, 2396) 

“Piccolo” esempio: 


Cifratura di M = 1299 per A 

y 1 ← 2 853 mod 2579 = 435 

y 2 ← 1299·949 853 mod 2579 = 2396 

C ← (435, 2396) 


A (p=2579,g=2, β=949) 

… … 

Bob 

853 

14 


α=765 

Alice 


α=765 

Alice 


Chiavi ElGamal 


A (p=2579,g=2, β=949) 

… … 

β = 2 765 mod 2579 = 949 




A (p=2579,g=2, β=949) 

… 

Decifratura di C = (435, 2396) 

1299 ← 2396(435 –765 ) mod 2579 

(435, 2396) 

13 

15

Correttezza 

z -1 · y 2 


= (y 1 α ) -1 y2 z=y 1 α 

= (g kα ) -1 y 2 y 1 =g α 

= (g kα ) -1 M β k y 2 =M β k 


A (p, g, β=g α ) 

… … 

Decifratura di C = (y 1,y 2) 

z"←"y 1 α mod p 

M ← z -1 · y 2 mod p 

Alice Cifratura di M per Alice 

y1 ← g 

16 

k mod p 

y2 ← M βk = (g 

mod p 

C ← (y1 ,y2 ) 

kα ) -1 M gαk β=gα = M 

M 

k 

y 1 =g k 

y 2=M β k 

Esempio: Cifratura ElGamal 

18 

Esempio: Chiavi ElGamal 

Primo p di 155 bit 

p 

g 

α 

β=g α 

Esempio: Decifratura ElGamal 

M 

k 

y 1 =g k 

y 2=M β k 

-α 

y1 y2 

17 

19

Sicurezza di ElGamal 

Sicurezza della chiave privata 

(y 1,y 2) 

Sicurezza del testo in chiaro 

! Decifrazione 

! Indistinguibilità di due testi in chiaro 



(y 1,y 2) 




20 

22 

Sicurezza chiave privata 

Conoscendo (p, g, β) e sapendo che β = g α mod p 

vuole calcolare α 

Cioè il logaritmo discreto di 

β = g α mod p 

Sicurezza testo in chiaro 

decifrazione 

Conoscendo (p, g, β), dove β = g α mod p, 

e C=(y 1 ,y 2), dove y 1 ← g k mod p e y 2 ← M β k mod p 

vuole calcolare M 

Equivalente a risolvere il problema di 

Diffie-Hellman 

21 

23

Problema di 

Diffie-Hellman 

Input: primo p, generatore g, 

g x mod p, g y mod p 

Calcolare: g xy mod p 

Il miglior algoritmo conosciuto calcola prima 

il logaritmo discreto x ← log g,p(g x mod p) 

… ma non si sa se sono equivalenti! 


decifrazione 

Voglio 

risolvere: 

p primo, g generatore 







Posso usarlo per risolvere il problema di Diffie Hellman! 

M 

24 

26 


decifrazione 

Assumiamo che esiste un algoritmo efficiente 







decifrazione 

Voglio 

risolvere: 


β = g x mod p 

y 1 ← g y mod p 

y 2 ← M g xy mod p 





M 

M 

25 

27


decifrazione 

Voglio 

risolvere: 




y 2 ← M g xy mod p 






decifrazione 

Voglio 

risolvere: 




y 2 ← valore a caso in Z p * 




M 

y 2 / g xy mod p 

M 

28 



! Calcolo l’inverso mod p dell’output dell’algoritmo (ottengo g xy / y 2 ) 

! Moltiplico per y 2 (ottengo g xy mod p) 

30 


decifrazione 

Voglio 

risolvere: 




y 2 ← valore a caso in Z p* 







(y 1,y 2) 



M 



(sicurezza semantica) 

29 

31

Sicurezza semantica 

Generazione (PK,SK) 

b ← {0,1} 

A vince se b=b’. 

PK 

(m0,m1) A 

C=EPK (mb ) 

Il crittosistema è sicuro semanticamente se ogni efficiente A vince con 

probabilità


Il crittosistema di ElGamal è semanticamente 

sicuro, se vale la DDH. 

Prova. Se esistesse un algoritmo efficiente 

che rompe la sicurezza semantica allora lo 

posso usare per risolvere la DDH 


Il crittosistema di ElGamal è semanticamente sicuro, se 

vale la DDH. 

Prova. Se esistesse un algoritmo efficiente che rompe la 

sicurezza semantica allora lo posso usare per risolvere la 

DDH 

! Voglio risolvere il problema: dato (g, g x , g y , γ) è γ=g xy oppure γ=g c 

! Uso l’algoritmo efficiente che rompe la sic sem per risolvere DDH 

36 

38 

Sicurezza semantica ElGamal 

Generazione ( (p,g,g α ), α ) 

b ← {0,1} 


p, g, g α 

g k , m b (g α ) k 

(m 0,m 1) 

b’ 

A 

Il crittosistema è sicuro semanticamente se ogni efficiente A vince con 

probabilità


! |Prob[A’(DH)=1]-Prob[A’(rand)=1]|

Sicurezza CCA1 


PK 

b ← {0,1} 


D SK(c 1) 

D SK(c p) 

C=E PK(m b) 

c 1 

c p 

(m 0 ,m 1 ) 

b’ 

non-adaptive 

chosen-ciphertext 

attacks 

A 

Il crittosistema è CCA1 sicuro se ogni efficiente A vince con probabilità

Decifratura Cramer-Shoup Lite 


x,y,a,b ∈ Z p 

Alice 

file pubblico 


A (p, g1, g2, h=g x 

1 g2 

y , c=g1 ag2 b ) 

… … 

Decifratura di M per Alice 

Sia C = (u,v,w,e) 

If e≠u a v b then output invalid 

else output w/(u x u y ) 

computazioni mod p 


C ← (g 1 k , g2 k , M h k , c k ) 



PK 

b ← {0,1} 


D SK (c 1 ) 

D SK (c p ) 

C=E PK(m b) 

c 1 

c p 

(m 0,m 1) 

b’ 

48 

non-adaptive 

chosen-ciphertext 

attacks 

A 


Cramer-Shoup Lite: Sicurezza CCA1 

A’ (g, g x’ , g y’ , γ) 

Generazione ( (p, g 1 , g 2 , g 1 x g2 y , g1 a g2 b ), (x,y,a,b ) ) 

(p, g 1 , g 2 , g 1 x g2 y , g1 a g2 b ) 

D SK(c 1) 

D SK(c p) 

b ← {0,1} 

(g y’ ) k , γ k , m b (g y’ ) x γ y , (g y’ ) a γ b 

Algoritmo per decidere DDH 

c 1 

c p 

(m 0,m 1) 

If b=b’ then output “DH” else output “rand” 

Cramer-Shoup Lite: 


b’ 

A 

! |Prob[A’(DH)=1]-Prob[A’(rand)=1]|

Chiavi Cramer-Shoup 


x,y,a,b,a’,b’ ∈ Z p 

Alice 

file pubblico 


A (p, g 1, g 2, h=g 1 x g2 y ,c=g1 a g2 b ,d=g1 a’ g2 b’ ,H) 

… … 

p primo 

g 1 g 2 generatori di Z p* 

(comuni a tutti) 

h = g 1 x g2 y mod p 

c = g 1 a g2 b mod p 

d = g 1 a’ g2 b’ mod p 

H funzione 

hash 

Decifratura Cramer-Shoup 


x,y,a,b,a’,b’ ∈ Z p 

Alice 

56 

file pubblico 


A (p, g 1 , g 2 , h=g 1 x g2 y ,c=g1 a g2 b ,d=g1 a’ g2 b’ ,H) 

… … 

Decifratura di M per Alice 

Sia C = (u,v,w,e) 

If e≠u a+za’ v b+zb’ then output invalid 

else output w/(u x u y ) 



z ← H(g k 

1 , g2 

k , M hk ) 

C ← (g k 58 

1 , g2 

k , M hk , (cdz ) k ) 

Cifratura Cramer-Shoup 

C 


z ← H(g 1 k , g2 k , M h k ) 

C ← (g 1 k , g2 k , M h k , (cd z ) k ) 


file pubblico 


A (p, g 1, g 2, h=g 1 x g2 y ,c=g1 a g2 b ,d=g1 a’ g2 b’ ,H) 

… … 

Bob 



PK 

b ← {0,1} 


D SK (c 1 ) 

D SK (c p ) 

C*=E PK (m b ) 

D SK(c 1) 

D SK(c p) 

c 1 

c p 

(m 0 ,m 1 ) 

c’ 1 ≠c* 

c’ p ≠c* 

b’ 

k ∈ Z p 

A 


Bibliografia 

! Cryptography and Network Security 

by W. Stallings (2010) 

! cap. 9 (Public-Key Cryptography and RSA) 

! Cryptography: Theory and Practice (I ed.) 

by D.R. Stinson (1995) 

! cap 5 (The RSA System and Factoring) 

60 

Domande? 

61

Crittosistema di ElGamal - Dipartimento di Informatica ed Applicazioni

Trasformi i suoi PDF in rivista online e aumenti il suo fatturato!

Delete template?

Save as template ?