Dolgu (kriptografi) - Padding (cryptography)

İçinde kriptografi, dolgu malzemesi şifrelemeden önce bir mesajın başına, ortasına veya sonuna veri eklemeyi içeren bir dizi farklı uygulamadan herhangi biridir. Klasik kriptografide dolgu, birçok mesajın öngörülebilir şekillerde sona erdiği gerçeğini gizlemek için bir mesaja anlamsız ifadeler eklemeyi içerebilir, örn. saygılarımla.

Klasik kriptografi

Resmi mesajlar genellikle tahmin edilebilir şekillerde başlar ve biter: Sevgili büyükelçim, Hava durumu raporu, Saygılarımla, vb. ile doldurmanın birincil kullanımı klasik şifreler kriptanalistin bulabilmek için bu öngörülebilirliği kullanmasını önlemektir. bilinen düz metin^[1] şifrelemenin kırılmasına yardımcı olur. Rastgele uzunlukta dolgu, bir saldırganın düz metin mesajının tam uzunluğunu bilmesini de engeller.

Büyük bir yanlış anlamaya neden olan ünlü bir klasik dolgu örneği "dünya harikaları "İkinci Dünya Savaşında neredeyse bir Müttefik kaybına neden olan olay Samar kapalı savaş, daha büyüğün parçası Leyte Körfezi Muharebesi. Bu örnekte, Amiral Chester Nimitz, Başkomutan, ABD Pasifik Filosu II.Dünya Savaşı'nda, aşağıdaki mesajı Amiral Bull Halsey, 25 Ekim 1944'te Leyte Körfezi Muharebesi'nde Görev Gücü Otuz Dört (ana Müttefik filosu) komutanı:^[2]

Nerede, tekrar ediyorum, Görev Gücü Otuz Dört nerede?^[3]

Dolgulu (kalın) ve meta veriler eklendi, mesaj şu oldu:

TÜRKİYE SUYA GİTTİ CINCPAC ACTION COM'DAN GG ÜÇÜNCÜ FİLO BİLGİSİ COMINCH CTF SEVENTY-SEVEN X NEREDE RPT NEREDE GÖREV GÜCÜ OTUZ DÖRT RR DÜNYA HARİKALARI^[3]

Halsey'nin telsiz operatörü mesajın bir kısmını yanlış anladı, bu yüzden Amiral Halsey aşağıdaki mesajı okudu:

Nerede, tekrar ediyorum, Görev Gücü Otuz Dört nerede? Dünya harikalar^[3]

Amiral Halsey, "dünya harikalar" ı doldurma cümlesini alaycı bir kınama olarak yorumlayarak, duygusal bir patlama yaşamasına ve ardından kendisini köprüsüne kilitlemesine ve Samar'daki Savaşa yardım etmek için kuvvetlerini hareket ettirmeden önce bir saat boyunca somurtmasına neden oldu.^[2] Halsey'in telsiz operatörü mektuplardan haberdar olmalıydı. RR "dünya harikaları" doluydu; Amiral Nimitz'in mesajını alan diğer tüm radyo operatörleri, her iki dolgu ifadesini de doğru bir şekilde kaldırdı.^[2]

Birçok klasik şifreleme düz metni belirli kalıplar (örneğin, kareler, dikdörtgenler vb.) Halinde düzenler ve düz metin tam olarak uymuyorsa, kalıbı doldurmak için genellikle ek harfler sağlamak gerekir. Bu amaçla saçma harflerin kullanılması, bazı kriptanaliz türlerini daha zor hale getirmenin bir yan faydasına sahiptir.

Simetrik kriptografi

Hash fonksiyonları

En modern kriptografik hash fonksiyonları mesajları sabit uzunlukta bloklar halinde işlemek; ilk karma işlevler hariç tümü bir tür dolgu şeması içerir. Kriptografik karma işlevlerinin, karmanın zarar görmesini önleyen sonlandırma şemaları kullanması kritik önem taşır. uzunluk uzatma saldırıları.

Çoğu doldurma şeması, tahmin edilebilir verilerin son bloğa eklenmesine dayanır. Örneğin, ped, mesajın toplam uzunluğundan türetilebilir. Bu tür bir dolgu şeması, yaygın olarak şunu kullanan karma algoritmalara uygulanır. Merkle-Damgård inşaatı.

Şifreleme işlem modunu engelle

Elektronik kod kitabı ve şifre bloğu zincirleme (CBC) modu örnekleridir şifreleme işlem modunu engelle. İçin şifreleme modlarını engelle simetrik anahtar şifreleme algoritmaları blok boyutunun katı olan düz metin girişi gerektirdiğinden, mesajların bu uzunluğa getirilmesi için doldurulması gerekebilir.

Bu bölüm gerçek doğruluk tartışmalı. İlgili tartışma şurada bulunabilir: Konuşma: Dolgu (kriptografi). Lütfen tartışmalı ifadelerin güvenilir kaynaklı. (Ocak 2016) (Bu şablon mesajını nasıl ve ne zaman kaldıracağınızı öğrenin)

Şu anda var^{[ne zaman? ]} blok çalışma modu yerine akış çalışma modunu kullanmak için bir geçiş.^{[kaynak belirtilmeli ]} Akış modu şifrelemesine bir örnek, sayaç çalışma modu.^[4] Akış işlem modları, herhangi bir boyuttaki mesajları şifreleyebilir ve şifresini çözebilir ve bu nedenle dolgu gerektirmez. Bir mesajı sonlandırmanın daha karmaşık yolları: şifreli metin çalma veya artık blok sonlandırma dolgu ihtiyacını ortadan kaldırır.

Dolgu yapmanın bir dezavantajı, mesajın düz metnini şunlara duyarlı hale getirmesidir: oracle saldırıları dolgu. Dolgu oracle saldırıları, saldırganın blok şifreleme ilkelinin kendisine saldırmadan düz metin hakkında bilgi edinmesini sağlar. Dolgu oracle saldırıları, bir saldırganın dolgu baytlarının kaldırılması hakkında bilgi edinememesini sağlayarak önlenebilir. Bu, bir mesaj doğrulama kodu (MAC) veya elektronik imza önce doldurma baytlarının kaldırılması veya bir akış işlem moduna geçilmesi.

Bit dolgusu

Bit dolgusu, her boyuttaki iletilere uygulanabilir.

Mesaja tek bir set ('1') biti eklenir ve ardından gerektiği kadar sıfırlama ('0') biti (muhtemelen hiçbiri) eklenir. Eklenen sıfırlama ('0') bitlerinin sayısı, mesajın genişletilmesi gereken blok sınırına bağlı olacaktır. Bit cinsinden bu "1000 ... 0000" dir.

Bu yöntem, herhangi bir sayıda bit uzunluğunda olan mesajları doldurmak için kullanılabilir, tam olarak bayt uzunluğunda olması gerekmez. Örneğin, 32 bitlik bir bloğu doldurmak için 9 bit ile doldurulmuş 23 bitlik bir mesaj:

... | 1011 1001 1101 0100 0010 0111 0000 0000 |

Bu dolgu, birçok uygulamada kullanılan iki adımlı bir dolgu şemasının ilk adımıdır. karma işlevler dahil olmak üzere MD5 ve SHA. Bu bağlamda, RFC1321 adım 3.1.

Bu dolgu şeması şu şekilde tanımlanır: ISO / IEC 9797-1 Dolgu Yöntemi olarak 2.

Bayt dolgusu

Bayt dolgusu, tümleşik bir sayı olarak kodlanabilen mesajlara uygulanabilir. bayt.

ANSI X9.23

ANSI X9.23'te, 1 ile 8 bayt arası her zaman dolgu olarak eklenir. Blok rastgele baytlarla doldurulur (birçok uygulama 00'ı kullanmasına rağmen) ve bloğun son baytı eklenen bayt sayısına ayarlanır.^[5]

Örnek: Aşağıdaki örnekte blok boyutu 8 bayttır ve 4 bayt için doldurma gereklidir (onaltılık biçimde)

... | DD DD DD DD DD DD DD DD | DD DD DD DD 00 00 00 04 |

ISO 10126

ISO 10126 (geri çekilmiş, 2007^[6][7]) doldurma işleminin son bloğun sonunda rastgele baytlarla yapılması gerektiğini ve dolgu sınırının son bayt ile belirtilmesi gerektiğini belirtir.

Örnek: Aşağıdaki örnekte blok boyutu 8 bayttır ve 4 bayt için doldurma gereklidir

... | DD DD DD DD DD DD DD DD | DD DD DD DD 81 A6 23 04 |

PKCS # 5 ve PKCS # 7

PKCS # 7 tarif edilmektedir RFC 5652.

Dolgu, tam bayt cinsindendir. Eklenen her baytın değeri, eklenen bayt sayısıdır, yani N bayt, her değer N eklendi. Eklenen bayt sayısı, mesajın genişletilmesi gereken blok sınırına bağlı olacaktır.

Dolgu şunlardan biri olacaktır:

0102 0203 03 0304 04 04 0405 05 05 05 0506 06 06 06 06 06etc.

Bu doldurma yöntemi (önceki ikisinin yanı sıra), ancak ve ancak N 256'dan az.

Örnek: Aşağıdaki örnekte blok boyutu 8 bayttır ve 4 bayt için doldurma gereklidir

... | DD DD DD DD DD DD DD DD | DD DD DD DD 04 04 04 04 |

Orijinal verinin uzunluğu blok boyutunun tam sayı katı ise B, sonra değeri olan fazladan bir bayt bloğu B eklendi. Bu, şifre çözme algoritmasının, son bloğun son baytının eklenen doldurma baytlarının sayısını gösteren bir ped baytı mı yoksa düz metin mesajının bir parçası mı olduğunu kesin olarak belirleyebilmesi için gereklidir. Tam sayı katı olan bir düz metin mesajı düşünün. B düz metnin son baytı olan baytlar 01. Ek bilgi olmadan deşifre algoritması, son baytın düz metin baytı mı yoksa ped baytı mı olduğunu belirleyemeyecektir. Ancak ekleyerek B her bir değer bayt B sonra 01 şifresiz metin baytı, şifre çözme algoritması her zaman son baytı bir ped baytı olarak değerlendirebilir ve şifreli metnin sonundan uygun sayıda pad baytı çıkarabilir; son baytın değerine göre sıyrılacak bayt sayısı.

PKCS # 5 dolgusu, yalnızca 64 bitlik (8 bayt) blok boyutu kullanan blok şifreleri için tanımlanmış olması dışında PKCS # 7 dolgusu ile aynıdır. Pratikte ikisi birbirinin yerine kullanılabilir.

ISO / IEC 7816-4

ISO / IEC 7816 -4:2005^[8] düz metnine uygulanan bit doldurma şemasıyla aynıdır N bayt. Bu, pratikte, ilk baytın '80' (Onaltılık) değerinde zorunlu bir bayt olduğu ve ardından gerekirse 0 ila N - Bloğun sonuna ulaşılana kadar 1 bayt '00' olarak ayarlanır. ISO / IEC 7816-4'ün kendisi, bir dosya sistemi içeren akıllı kartlar için bir iletişim standardıdır ve kendi içinde herhangi bir şifreleme özelliği içermez.

Örnek: Aşağıdaki örnekte blok boyutu 8 bayttır ve 4 bayt için doldurma gereklidir

... | DD DD DD DD DD DD DD DD | DD DD DD DD 80 00 00 00 |

Sonraki örnek sadece bir baytlık bir dolguyu göstermektedir

... | DD DD DD DD DD DD DD DD | DD DD DD DD DD DD DD 80 |

Sıfır dolgu

Doldurulması gereken tüm baytlar sıfır ile doldurulur. Sıfır doldurma şeması, şifreleme için standardize edilmemiştir,^{[kaynak belirtilmeli ]} karmalar ve MAC'ler için ISO / IEC 10118-1'de Dolgu Yöntemi 1 olarak belirtilmiş olsa da^[9] ve ISO / IEC 9797-1.^[10]

Örnek: Aşağıdaki örnekte blok boyutu 8 bayttır ve 4 bayt için doldurma gereklidir

... | DD DD DD DD DD DD DD DD | DD DD DD DD 00 00 00 00 |

Orijinal dosya bir veya daha fazla sıfır bayt ile biterse sıfır doldurma geri alınamayabilir, bu da düz metin veri baytları ile dolgu baytları arasında ayrım yapmayı imkansız hale getirir. Mesajın uzunluğu türetilebildiği zaman kullanılabilir. bant dışı. Genellikle ikili olarak kodlanmış^{[açıklama gerekli ]} Teller (boş sonlu dize ) olarak boş karakter genellikle sıyrılabilir Beyaz boşluk.

Sıfır doldurma bazen "boş doldurma" veya "sıfır bayt doldurma" olarak da adlandırılır. Düz metin zaten blok boyutuna göre bölünebiliyorsa, bazı uygulamalar sıfır baytlık ek bir blok ekleyebilir.^{[kaynak belirtilmeli ]}

Genel anahtar şifreleme

İçinde açık anahtarlı kriptografi doldurma, aşağıdaki gibi bir şartname veya şema kullanarak şifreleme veya imzalama için bir mesaj hazırlama işlemidir. PKCS # 1 v1.5, OAEP, PSS, PSSR, IEEE P1363 EMSA2 ve EMSA5. Asimetrik ilkeller için modern bir dolgu biçimi OAEP uygulandı RSA algoritması, sınırlı sayıda baytı şifrelemek için kullanıldığında.

İşlem, "dolgu" olarak adlandırılır çünkü başlangıçta rastgele malzeme, ilkel için yeterince uzun olması için mesaja basitçe eklenir. Bu dolgu biçimi güvenli değildir ve bu nedenle artık uygulanmamaktadır. Modern bir dolgu şeması, saldırganın düz metni ilkel olanın matematiksel yapısını kullanmak için kullanamamasını sağlamayı amaçlamaktadır ve genellikle bir ispatla birlikte rastgele oracle modeli, dolgu düzenini bozmak, ilkelin altında yatan zor problemi çözmek kadar zor.

Dolgu yoluyla trafik analizi ve koruma

Mükemmel kriptografik rutinler kullanılsa bile, saldırgan üretilen trafik miktarı hakkında bilgi edinebilir. Saldırgan ne olduğunu bilmeyebilir Alice ve Bob hakkında konuşuyorduk, ancak onların -di konuşma ve ne kadar Onlar konuştu. Bazı durumlarda bu sızıntı son derece riskli olabilir. Örneğin, bir ordunun başka bir ulusa gizli bir saldırı düzenlediğini düşünün: diğer ulusu yalnızca orada olduğunu bilmeleri için uyarmak yeterli olabilir. dır-dir bir sürü gizli aktivite oluyor.

Başka bir örnek olarak, şifrelerken IP Üzerinden Ses Değişken bit hızı kodlaması kullanan akışlar, zaman birimi başına bit sayısı gizlenmez ve bu sözlü cümleleri tahmin etmek için kullanılabilir.^[11] Benzer şekilde, yaygın video kodlayıcıların ürettiği patlama desenleri, bir kullanıcının benzersiz şekilde izlediği akışlı videoyu tanımlamak için genellikle yeterlidir.^[12] Hatta toplam boyut bir web sitesi, dosya, yazılım paketi indirme veya çevrimiçi video gibi tek başına bir nesnenin, saldırgan nesnenin geldiği bilinen bir kümeyi biliyor veya tahmin edebiliyorsa, bir nesneyi benzersiz şekilde tanımlayabilir.^[13][14][15] yan kanal şifrelenmiş içerik uzunluğu, şifreleri çıkarmak için kullanıldı HTTPS iyi bilinen iletişim SUÇ ve İHLAL saldırılar.^[16]

Şifrelenmiş bir mesajı doldurmak, trafik analizi yükünün gerçek uzunluğunu gizleyerek daha zor. Bir mesajı doldurmak için uzunluk seçimi, belirleyici veya rasgele yapılabilir; her yaklaşımın farklı bağlamlarda geçerli olan güçlü ve zayıf yönleri vardır.

Rastgele doldurma

Mesajın sonuna rastgele sayıda ek dolgu biti veya baytı eklenebilir ve sonuna ne kadar dolgu eklendiğini belirten bir gösterge eklenebilir. Dolgu miktarı, örneğin, 0 ile bazı maksimum M arasında tek tip rasgele bir sayı olarak seçilirse, o zaman bir kulak misafiri, mesajın uzunluğunu tam olarak bu aralık içinde belirleyemeyecektir. Maksimum dolgu M, mesajın toplam boyutuna kıyasla küçükse, bu dolgu fazla eklemeyecektir tepeden ancak dolgu, nesnenin toplam uzunluğunun yalnızca en önemsiz bitlerini gizleyerek, büyük nesnelerin yaklaşık uzunluğunu kolaylıkla gözlemlenebilir ve dolayısıyla potansiyel olarak uzunluklarıyla hala benzersiz bir şekilde tanımlanabilir halde bırakacaktır. Eğer maksimum dolgu M, yükün boyutuyla karşılaştırılabilirse, bunun tersine, bir dinleyicinin mesajın gerçek yük boyutu hakkındaki belirsizliği, dolgu maliyetinin% 100'e varan ek yük getirebileceği maliyetle çok daha büyüktür (${ displaystyle 2 times}$ patlama) mesaja.

Ek olarak, kulak misafiri olan kişinin görme fırsatına sahip olduğu yaygın senaryolarda birçok aynı göndericiden gelen ardışık mesajlar ve bu mesajlar saldırganın bildiği veya tahmin edebileceği şekillerde benzerdir, bu durumda kulak misafiri olan kişi, rastgele doldurma avantajını azaltmak ve hatta sonunda ortadan kaldırmak için istatistiksel teknikleri kullanabilir. Örneğin, bir kullanıcının uygulamasının düzenli olarak aynı uzunlukta mesajlar gönderdiğini ve gizlice dinleyenin örneğin kullanıcının uygulamasının parmak izini alarak gerçeği bildiğini veya tahmin edebileceğini varsayalım. Alternatif olarak, aktif bir saldırgan, teşvik etmek Kurban genel bir sunucu gibi düzenli olarak mesaj göndermek için bir uç nokta. Bu gibi durumlarda, kulak misafiri olan kişi, normal mesajın yükünün uzunluğunu belirlemek için birçok gözlem üzerinden ortalamayı basitçe hesaplayabilir.

Deterministik dolgu

Belirleyici bir dolgu şeması, belirli bir karşılık gelen çıktı uzunluğuna sahip şifrelenmiş bir mesajı oluşturmak için her zaman belirli bir uzunluktaki bir mesaj yükünü doldurur. Birçok yük uzunluğu aynı yastıklı çıktı uzunluğuyla eşleştiğinde, bir gizli dinleyici, bu uzunluklardan biri dahilinde yükün gerçek uzunluğu hakkında herhangi bir bilgiyi ayırt edemez veya öğrenemez. kovalaraynı uzunluktaki mesajların birçok gözleminden sonra bile. Bu açıdan, deterministik doldurma şemaları, aynı faydalı yük boyutuna sahip ardışık her mesajla herhangi bir ek bilgiyi sızdırmama avantajına sahiptir.

Öte yandan, kulak misafiri olan birinin aşağıdakileri öğrenmekten fayda sağlayabileceğini varsayalım: küçük örneğin bir parola tahmin saldırısında artı veya eksi yalnızca bir bayt gibi yük boyutundaki farklılıklar. İletiyi gönderen, yük uzunlukları yalnızca bir bayt değişen birçok ileti gönderecek kadar şanssızsa ve bu uzunluk, deterministik doldurma sınıflarından ikisi arasındaki sınırda tam olarak yer alıyorsa, bu artı veya eksi bir yük uzunluğu tutarlı bir şekilde farklı olacaktır. yastıklı uzunluklar da (örneğin artı veya eksi bir blok), tam olarak saldırganın istediği ince taneli bilgileri sızdırıyor. Bu tür risklere karşı, rastgele doldurma, mesaj uzunluklarının en az önemli bitlerini bağımsız olarak gizleyerek daha fazla koruma sağlayabilir.

Yaygın deterministik doldurma yöntemleri arasında sabit bir blok boyutuna doldurma ve bir sonraki daha büyük ikinin gücüne doldurma bulunur. Küçük bir maksimum miktarla rastgele doldurulmuş dolgu gibiMbununla birlikte, belirleyici bir şekilde mesaj veri yükünden çok daha küçük bir blok boyutuna doldurma, mesajların gerçek uzunluğunun yalnızca en önemsiz bitlerini gizleyerek mesajların gerçek yaklaşık uzunluğunu büyük ölçüde korumasız bırakır. Mesajları ikiye (veya başka bir sabit tabana) doldurmak, maksimum miktarı azaltır. bilgi mesajın uzunluğu üzerinden sızabileceğini ${ displaystyle O ( log M)}$ -e ${ textstyle O ( log log M)}$. Bununla birlikte, ikiye kadar doldurma, mesaj boyutunu% 100'e kadar artırır ve daha büyük tamsayı tabanlarının güçlerine doldurma, maksimum ek yükü daha da artırır.

PADMÉ planı yastıklı tekdüze rastgele bloblar veya PURB'ler, belirleyici olarak mesajları bir kayan nokta numarası mantisi üssünden daha fazla olmayan (yani, daha fazla anlamlı bit içermeyen).^[15] Bu uzunluk kısıtlaması, bir mesajın en fazla ${ displaystyle O ( log log M)}$ uzunluğu üzerinden bilgi bitleri, iki kuvvetine kadar doldurma gibi, ancak küçük mesajlar için en fazla% 12'lik çok daha az ek yüke neden olur ve mesaj boyutuna göre kademeli olarak azalır.

Ayrıca bakınız

• Chaffing ve winnowing, göndermeden önce büyük miktarlarda saçma sapan karıştırma
• Şifreli metin çalma, blok uzunluğunun katı olmayan mesajlarla ilgilenmek için başka bir yaklaşım
• Başlatma vektörü, tuz (kriptografi), bazen dolgu ile karıştırılan
• Anahtar kapsülleme simetrik anahtarları değiştirmek için kullanılan genel anahtar sistemleri için doldurmaya bir alternatif
• PURB veya yastıklı tekdüze rasgele blob, meta verilerden veya uzunluktan sızıntıyı en aza indiren bir şifreleme disiplini
• Rus çiftleşme, beşikleri önlemek için başka bir teknik

Referanslar

daha fazla okuma

• XCBC: csrc.nist.gov/groups/ST/toolkit/BCM/documents/workshop2/presentations/xcbc.pdf