Интегрированная схема шифрования

Интегрированная схема шифрования (IES ) представляет собой схему гибридного шифрования, которая обеспечивает семантическую защиту rity против злоумышленника, которому разрешено использовать атаки selected-plaintext и selected-ciphertext. Безопасность схемы основана на вычислительной задаче Диффи – Хеллмана. Стандартизированы два варианта IES: дискретный логарифм интегрированная схема шифрования (DLIES) и эллиптическая кривая интегрированная схема шифрования (ECIES), которая также известна как схема расширенного шифрования эллиптической кривой или просто схема шифрования эллиптической кривой. Эти два воплощения идентичны до смены основной группы, поэтому, чтобы быть конкретными, мы концентрируемся на последней.

• 1 Неформальное описание
• 2 Формальное описание
  • 2.1 Требуемая информация
  • 2.2 Шифрование
  • 2.3 Расшифровка
• 3 Ссылки

Как краткое и неформальное описание и обзор того, как работает IES, мы используем пример, основанный на схеме интегрированного шифрования с дискретным логарифмом (DLIES), фокусируясь на освещении понимания читателем, а не на точных технических деталях.

1. Алиса изучает открытый ключ Боба, $g\; x\; \{\backslash \; displaystyle\; g\; ^\; \{x\}\}$с помощью инфраструктуры открытого ключа или другого предварительно распределенного метода. Мы предполагаем, что Боб знает свой собственный закрытый ключ $x\; \{\backslash \; displaystyle\; x\}$.
2. Алиса генерирует новое эфемерное значение $y\; \{\backslash \; displaystyle\; y\}$и связанное с ним общедоступное значение, $gy\; \{\backslash \; displaystyle\; g\; ^\; \{y\}\}$.
3. Затем Алиса вычисляет симметричный ключ $k\; \{\backslash \; displaystyle\; k\}$, используя эту информацию и функцию получения ключа KDF следующим образом: $k\; =\; KDF\; (gxy)\; \{\backslash \; displaystyle\; k\; =\; \{\backslash \; mathit\; \{KDF\}\}\; (g\; ^\; \{xy\})\}$.
4. Алиса вычисляет свой зашифрованный текст $c\; \{\backslash \; displaystyle\; c\}$из ее фактического сообщения $m\; \{\backslash \; displaystyle\; m\}$, то есть симметричного шифрования $m\; \{\backslash \; displaystyle\; m\}$, зашифрованного с ключом $k\; \{\backslash \; displaystyle\; k\}$(с использованием аутентифицированной схемы шифрования ) следующим образом: $c\; =\; E\; (k;\; m)\; \{\backslash \; displaystyle\; c\; =\; E\; (k;\; m)\}$.
5. Алиса передает (в одном сообщении) как общедоступное эфемерное $gy\; \{\backslash \; displaystyle\; g\; ^\; \{y\}\}$, и зашифрованный текст $c\; \{\backslash \; displaystyle\; c\}$.
6. Боб, зная $x\; \{\backslash \; displaystyle\; x\}$an d $gy\; \{\backslash \; displaystyle\; g\; ^\; \{y\}\}$, теперь можно вычислить $k\; =\; KDF\; (gxy)\; \{\backslash \; displaystyle\; k\; =\; KDF\; (g\; ^\; \{xy\})\}$и расшифровать $m\; \{\backslash \; displaystyle\; m\}$из $c\; \{\backslash \; displaystyle\; c\}$.

Обратите внимание, что схема не дает Бобу никаких гарантий относительно того, кто действительно послал сообщение: схема ничего не делает, чтобы помешать кому-либо притвориться Алисой.

Требуемая информация

Чтобы отправить зашифрованное сообщение Бобу с помощью ECIES, Алисе нужна следующая информация:

• будет использоваться криптографический набор, включая функция создания ключа (например, ANSI-X9.63-KDF с опцией SHA-1), код аутентификации сообщения (например, HMAC-SHA-1-160 с 160-битными ключами или HMAC-SHA-1-80 с 80-битными ключами) и схема симметричного шифрования (например, TDEA в режиме CBC или схема шифрования XOR) - отмечен $E\; \{\backslash \; displaystyle\; E\}$;
• Параметры области эллиптической кривой: $(p,\; a,\; b,\; G,\; n,\; h)\; \{\backslash \; displaystyle\; (p,\; a,\; b,\; G,\; n,\; h)\; \}$для кривой над простым полем или $(m,\; f\; (x),\; a,\; b,\; G,\; n,\; h)\; \{\backslash \; displaystyle\; (m,\; f\; (x),\; a,\; b,\; G,\; n,\; h)\}$для кривой над двоичным полем;
• открытый ключ Боба: $KB\; \{\backslash \; displaystyle\; K\_\; \{B\}\}$(Боб генерирует его следующим образом: $KB\; =\; k\; BG\; \{\backslash \; displaystyle\; K\_\; \{B\}\; =\; k\_\; \{B\}\; G\}$, где $k\; B\; \{\backslash \; displaystyle\; k\_\; \{B\}\}$- частный k Эй, он выбирает случайным образом: $k\; B\; \in \; [1,\; n\; -\; 1]\; \{\backslash \; displaystyle\; k\_\; \{B\}\; \backslash \; in\; [1,\; n-1]\}$);
• необязательная общая информация: $S\; 1\; \{\backslash \; displaystyle\; S\_\; \{1\}\}$и $S\; 2\; \{\backslash \; displaystyle\; S\_\; \{2\}\}$.
• $O\; \{\backslash \; displaystyle\; O\}$обозначает точку на бесконечности

Шифрование

Чтобы зашифровать сообщение $m\; \{\backslash \; displaystyle\; m\}$Алиса делает следующее:

1. генерирует случайное число $r\; \in \; [1,\; n\; -\; 1]\; \{\backslash \; displaystyle\; r\; \backslash \; in\; [1,\; n-1]\}$и вычисляет $R\; =\; r\; G\; \{\backslash \; displaystyle\; R\; =\; rG\}$;
2. получает общий секрет: $S\; =\; П\; Икс\; \{\backslash \; Displaystyle\; S\; =\; P\_\; \{x\}\}$, где $P\; =\; (P\; x,\; P\; y)\; =\; r\; KB\; \{\backslash \; displaystyle\; P\; =\; (P\_\; \{x\},\; P\_\; \{y\; \})\; =\; rK\_\; \{B\}\}$(и $P\; \ne \; O\; \{\backslash \; displaystyle\; P\; \backslash \; neq\; O\}$);
3. использует KDF для получения ключей симметричного шифрования и MAC ключи: $k\; E\; \Vert \; k\; M\; =\; KDF\; (S\; \Vert \; S\; 1)\; \{\backslash \; displaystyle\; k\_\; \{E\}\; \backslash \; |\; k\_\; \{M\}\; =\; \{\backslash \; textrm\; \{KDF\}\}\; (S\; \backslash \; |\; S\_\; \{\; 1\})\}$;
4. шифрует сообщение: $c\; =\; E\; (k\; E;\; m)\; \{\backslash \; displaystyle\; c\; =\; E\; (k\_\; \{E\};\; m)\}$;
5. вычисляет тег зашифрованного сообщения и $S\; 2\; \{\backslash \; displaystyle\; S\_\; \{2\}\}$: $d\; =\; MAC\; (k\; M;\; с\; \Vert \; S\; 2)\; \{\backslash \; displaystyle\; d\; =\; \{\backslash \; textrm\; \{MAC\}\}\; (k\_\; \{M\};\; c\; \backslash \; |\; S\_\; \{2\})\}$;
6. выводит $R\; \Vert \; c\; \Vert \; d\; \{\backslash \; displaystyle\; R\; \backslash \; |\; c\; \backslash \; |\; d\}$.

Расшифровка

Для расшифровки зашифрованного текста $R\; \Vert \; c\; \Vert \; d\; \{\backslash \; displaystyle\; R\; \backslash \; |\; c\; \backslash \; |\; d\}$Боб делает следующее:

1. получает общий секрет: $S\; =\; P\; x\; \{\backslash \; displaystyle\; S\; =\; P\_\; \{x\}\}$, где $P\; =\; (P\; x,\; P\; y)\; =\; k\; BR\; \{\backslash \; displaystyle\; P\; =\; (P\_\; \{x\},\; P\_\; \{y\})\; =\; k\_\; \{B\}\; R\}$(он совпадает с полученным Алисой, потому что $P\; =\; k\; BR\; =\; k\; B\; r\; G\; =\; rk\; BG\; =\; r\; KB\; \{\backslash \; displaystyle\; P\; =\; k\_\; \{B\}\; R\; =\; k\_\; \{B\}\; rG\; =\; rk\_\; \{B\}\; G\; =\; rK\_\; \{B\}\}$), или выходы не удались, если $P\; =\; O\; \{\backslash \; displaystyle\; P\; =\; O\}$;
2. получает ключи так же, как это сделала Алиса: $k\; E\; \Vert \; k\; M\; =\; KDF\; (S\; \Vert \; S\; 1)\; \{\backslash \; displaystyle\; k\_\; \{E\}\; \backslash \; |\; k\_\; \{M\}\; =\; \{\backslash \; textrm\; \{KDF\}\}\; (S\; \backslash \; |\; S\_\; \{1\})\}$;
3. использует MAC для проверки тега, и выходы не удались, если $d\; \ne \; MAC\; (k\; M;\; c\; \Vert \; S\; 2)\; \{\backslash \; displaystyle\; d\; \backslash \; neq\; \{\backslash \; textrm\; \{MAC\}\}\; (k\_\; \{M\}\; ;\; c\; \backslash \; |\; S\_\; \{2\})\}$;
4. использует схему симметричного шифрования для дешифрования сообщения $m\; =\; E\; -\; 1\; (k\; E;\; c)\; \{\backslash \; displaystyle\; m\; =\; E\; ^\; \{-\; 1\}\; (k\_\; \{E\};\; c)\}$.

• Виктор Шуп, Предложение по стандарту ISO для шифрования с открытым ключом, версия 2.1, 20 декабря 2001 г.
• Certicom Research, Стандарты эффективной криптографии, SEC 1: Elliptic Curve Cryptography, Version 2.0, 21 мая 2009 г.
• Гайосо Мартинес, Эрнандес Энсинас, Санчес Авила: Обзор схемы интегрированного шифрования эллиптической кривой, Journal of Computer Science and Engineering, 2, 2 (2010), 7–13.
• Ладар Левисон: Код для использования ECIES для защиты данных (ECC + AES + SHA), список рассылки openssl-devel, 6 августа 2010 г.
• Абдалла, Мишель и Беллар, Михир и Рогавей, Филипп: DHIES: схема шифрования, основанная на проблеме Диффи-Хеллмана, IACR Cryptology ePrint Archive, 1999.