RSA (cryptografie)

Veronderstel dat Alice ervoor wil zorgen dat Bob haar een geheim bericht kan zenden over een onveilig medium (telefoon, internet, post, ...). Alice doet het volgende om een publieke sleutel en een geheime sleutel te maken:

1. Ze kiest willekeurig twee grote priemgetallen ${\displaystyle p}$ en ${\displaystyle q\neq p}$ en berekent ${\displaystyle N=pq}$.
2. Ze berekent het totiëntgetal (Eulerindicator) ${\displaystyle \varphi (N)}$ van ${\displaystyle N}$. Omdat ${\displaystyle N}$ een product is van twee priemgetallen ${\displaystyle p}$ en ${\displaystyle q}$ geldt dan ${\displaystyle \varphi (N)=\varphi (p)\varphi (q)=(p-1)(q-1)}$.
3. Ze kiest een geheel getal ${\displaystyle e}$ dat tussen 1 en ${\displaystyle \varphi }$ ligt: ${\displaystyle 1<e<\varphi (N)}$. Het getal ${\displaystyle e}$ moet verder ook relatief priem zijn ten opzichte van ${\displaystyle \varphi (N)}$. Dat wil zeggen, en ${\displaystyle e}$ en ${\displaystyle \varphi (N)}$ hebben geen gemeenschappelijke deler anders dan 1: ${\displaystyle \mathrm {ggd} (e,(p-1)(q-1))=1}$.
4. Ze berekent ${\displaystyle d}$ zodat ${\displaystyle ed\equiv 1{\bmod {\varphi }}(N)}$, dus ${\displaystyle ed=k\varphi (N)+1}$ voor zekere gehele ${\displaystyle k}$.

• (Alice kan de stappen 2 en 3 uitvoeren met het uitgebreid Euclidisch algoritme; zie modulair rekenen.)

Het getallenpaar ${\displaystyle (e,N)}$, bestaande uit de getallen ${\displaystyle e}$ en ${\displaystyle N}$, vormt de publieke sleutel. Het getallenpaar ${\displaystyle (d,N)}$ is de geheime sleutel. Daarin is alleen ${\displaystyle d}$ dus geheim, want ${\displaystyle N}$ is bekend. Alice stuurt ${\displaystyle N}$ en ${\displaystyle e}$ naar Bob via een mogelijkerwijs onveilig medium en ze houdt ${\displaystyle d}$ geheim.

Veronderstel dat Bob een bericht ${\displaystyle m}$ naar Alice wil zenden. Hij kent ${\displaystyle N}$ en ${\displaystyle e}$ (publieke sleutel), want die heeft Alice hem gezonden. Hij zet de klare tekst ${\displaystyle m}$ om in een getal ${\displaystyle n<N}$ met ${\displaystyle \mathrm {ggd} (n,N)=1}$, gebruikmakend van een eerder afgesproken, omkeerbaar en niet-geheim protocol. Bijvoorbeeld, elk teken in een bericht kan worden omgezet in zijn ASCII-code, en de codes samengevoegd tot een enkel getal. Als het nodig is kan ${\displaystyle m}$ worden opgesplitst en elk stuk afzonderlijk vercijferd. Dan berekent hij de cijfertekst (versleutelde tekst) ${\displaystyle c}$ met behulp van de vergelijking:

${\displaystyle c\equiv n^{e}{\bmod {N}}}$

Dit kan snel gedaan worden door machtsverheffing door kwadrateren. Bob verzendt dan ${\displaystyle c}$ naar Alice.

Alice ontvangt ${\displaystyle c=n^{e}}$ van Bob, en ze kent haar geheime sleutel ${\displaystyle d}$. Ze kan ${\displaystyle n}$ (de boodschap in numerieke vorm) te weten komen door ${\displaystyle c}$ tot de macht ${\displaystyle d}$ te verheffen en dan de volgende ontsleutelingsrelatie toe te passen:

${\displaystyle c^{d}\equiv n{\bmod {N}}}$

Omdat ${\displaystyle ed\equiv 1{\bmod {\varphi }}(N)}$, lijkt voor de ontsleuteling de relatie ${\displaystyle c^{d}=n^{ed}\equiv n{\bmod {\varphi }}(N)}$ voor de hand te liggen, maar merk op dat de ontsleutelingsrelatie niet modulo ${\displaystyle \varphi (N)}$ is, maar modulo ${\displaystyle N}$.

Het formele bewijs van de ontsleutelingsrelatie wordt in de volgende sectie gegeven.

Als de complexiteit die het modulo rekenen met zich meebrengt even vergeten wordt, lijkt de ontsleutelingsrelatie triviaal. Immers, omdat ${\displaystyle ed=1}$ en ${\displaystyle e}$ uit de publieke sleutel bekend is, volgt eenvoudigweg voor de geheime sleutel ${\displaystyle d=1/e}$. De corresponderende modulovergelijking voor ${\displaystyle d}$ daarentegen: ${\displaystyle ed\equiv 1{\bmod {(}}p-1)(q-1)}$, vraagt de waarden van ${\displaystyle p}$ en ${\displaystyle q}$ afzonderlijk om ${\displaystyle d}$ uit ${\displaystyle e}$ te verkrijgen. Zoals al in de inleiding is opgemerkt, zijn ${\displaystyle p}$ en ${\displaystyle q}$ zeer moeilijk uit ${\displaystyle N}$ terug te rekenen en daarom geeft de modulovergelijking een moeilijk te kraken waarde voor ${\displaystyle d}$.

Als laatste stap verkrijgt Alice de boodschap ${\displaystyle m}$ in tekstvorm door op de numerieke vorm ${\displaystyle n}$ van de boodschap het afgesproken, niet-geheime, protocol in omgekeerde richting toe te passen.

Het bewijs gebruikt Fermats kleine stelling. Die stelt dat voor ${\displaystyle p}$ priem, ${\displaystyle n}$ geheel en ${\displaystyle \mathrm {ggd} (p,n)=1}$ geldt dat:

${\displaystyle n^{p-1}\equiv 1{\bmod {p}}}$

Gegeven is:

${\displaystyle ed\equiv 1{\bmod {(}}p-1)(q-1)}$

Dus

${\displaystyle ed-1=k(p-1)(q-1)}$

voor zekere gehele ${\displaystyle k}$. Neemt men aan dat ${\displaystyle \mathrm {ggd} (p,n)=1}$, dan volgt:

${\displaystyle n^{ed}=n^{ed-1}n=n^{k(p-1)(q-1)}n=(n^{p-1})^{k(q-1)}n\equiv 1^{k(q-1)}n=n{\bmod {p}}}$

Als ${\displaystyle \mathrm {ggd} (p,n)\neq 1}$ en omdat ${\displaystyle p}$ priem is, geldt ${\displaystyle n\equiv 0{\bmod {p}}}$, en in totaal

${\displaystyle n^{ed}\equiv n{\bmod {p}}\Longrightarrow n^{ed}-n\equiv 0{\bmod {p}}}$

Analoog:

${\displaystyle n^{ed}\equiv n{\bmod {q}}\Longrightarrow n^{ed}-n\equiv 0{\bmod {q}}}$

Dus is voor zekere gehele ${\displaystyle s}$:

${\displaystyle n^{ed}-n=sp}$

en is dit ook een veelvoud van ${\displaystyle q}$. Omdat ${\displaystyle p}$ geen veelvoud van ${\displaystyle q}$ is moet ${\displaystyle s}$ dit wel zijn, ${\displaystyle s=tq}$ voor zekere gehele ${\displaystyle t}$. Dus geldt

${\displaystyle n^{ed}-n=tpq\Longrightarrow n^{ed}\equiv n{\bmod {p}}q,}$,

en omdat ${\displaystyle N=pq}$ en ${\displaystyle n^{ed}=c^{d}}$, is de ontsleutelingsrelatie bewezen.

Als voorbeeld kiest Alice de priemgetallen ${\displaystyle p=11}$ en ${\displaystyle q=29}$. Dan is ${\displaystyle N=pq=11\times 29=319}$. Voor de publieke sleutel neemt ze ${\displaystyle e=3}$. Het getal 3 is relatief priem ten opzichte van ${\displaystyle \varphi (319)=(p-1)(q-1)=10\times 28=280}$. Alice stuurt Bob haar publieke sleutel 3 en 319. Zij berekent haar geheime sleutel ${\displaystyle d}$ zo, dat

${\displaystyle ed=3d=k\cdot 280+1}$

Voor ${\displaystyle k=2}$ volgt ${\displaystyle d=187}$.

Als Bob de letter 'Y', met ASCII-code 89, naar Alice wil sturen, versleutelt hij deze, en berekent de code:

${\displaystyle 89^{3}{\bmod {3}}19=298}$

Bob stuurt de codetekst voor de letter 'Y', het getal 298, naar Alice. Om de tekst te decoderen met de geheime sleutel, berekent Alice:[1]

${\displaystyle 298^{187}{\bmod {3}}19=89}$,

wat inderdaad weer de ASCII-code van de letter 'Y' is.

RSA kan ook worden gebruikt om een bericht te ondertekenen. Veronderstel dat Alice een ondertekend bericht wil zenden naar Bob. Ze berekent dan een hashwaarde uit het bericht, vercijfert die met haar geheime sleutel, en voegt dat als een "handtekening" bij het bericht. Deze handtekening kan alleen worden ontcijferd met haar publieke sleutel. Wanneer Bob het ondertekende bericht ontvangt, ontcijfert hij de handtekening met Alices publieke sleutel, en vergelijkt de aldus bekomen hashwaarde met de eigenlijke hashwaarde van het bericht. Als die gelijk zijn, weet hij dat de auteur van het bericht de geheime sleutel van Alice bezit (dus normaal gezien Alice is), en dat het bericht na verzending niet meer veranderd is.

Om de grote priemgetallen ${\displaystyle p}$ en ${\displaystyle q}$ te vinden, worden meestal eerst willekeurige getallen van de juiste grootte gekozen. Die getallen worden dan getest met snelle methoden, die de meeste niet-priemgetallen uitsluiten. Als dan een "waarschijnlijk priemgetal" is gevonden, kan op een zekere (maar langzamere) manier worden nagegaan of het getal inderdaad priem is.

De priemgetallen ${\displaystyle p}$ en ${\displaystyle q}$ mogen niet te dicht bij elkaar liggen, want anders zou de fermatfactorisatie voor ${\displaystyle N}$ succesvol kunnen zijn. Bovendien kan, als ${\displaystyle p-1}$ of ${\displaystyle q-1}$ alleen kleine priemfactoren hebben, ${\displaystyle N}$ snel in factoren worden ontbonden, zodat deze waarden voor ${\displaystyle p}$ en ${\displaystyle q}$ ook moeten worden gemeden.

Er mag geen methode om priemfactoren te zoeken worden gebruikt die een eventuele aanvaller enige informatie geeft over de priemgetallen. Een goede toevalsgenerator moet worden gebruikt. Coppersmith heeft in 1997 aangetoond dat als iemand de helft van de cijfers van ${\displaystyle p}$ of ${\displaystyle q}$ kan raden, hij gemakkelijk de andere helft kan berekenen.

Het is belangrijk dat de geheime sleutel ${\displaystyle d}$ groot genoeg is. Wiener heeft in 1990 aangetoond dat als ${\displaystyle p}$ tussen ${\displaystyle q}$ en ${\displaystyle 2q}$ ligt (wat veel voorkomt) en ${\displaystyle d<N^{1/4}/3}$, ${\displaystyle d}$ op een efficiënte manier kan worden berekend uit ${\displaystyle N}$ en ${\displaystyle e}$.

RSA is veel trager dan DES en andere symmetrische encryptiealgoritmes. In de praktijk vercijfert Bob gewoonlijk zijn bericht met een symmetrisch algoritme en de symmetrische sleutel (kort in vergelijking met het bericht) met RSA. Het symmetrisch vercijferd bericht en de met RSA vercijferde sleutel worden dan beiden verstuurd naar Alice.

Deze methode zorgt voor bijkomende veiligheidsmoeilijkheden. De methode voor symmetrische encryptie moet veilig zijn (niet gemakkelijk te kraken zonder de sleutel) en de symmetrische sleutel moet gemaakt worden met een goede toevalsgenerator, want anders zou Charlotte om RSA heen kunnen door de symmetrische sleutel te raden.

Zoals bij alle encryptiemethoden, is het belangrijk hoe de publieke sleutels verspreid worden. We moeten ons bewust zijn van de mogelijkheid van een man-in-the-middle-aanval. Veronderstel dat Charlotte de communicatie tussen Alice en Bob kan onderscheppen. Ze ontvangt dan een publieke sleutel van Alice, maakt zelf een nieuwe publieke en geheime sleutel en stuurt haar eigen publieke sleutel naar Bob, die denkt dat hij de publieke sleutel van Alice ontvangt. Dan kan ze verdere berichten van Bob (vercijferd met haar publieke sleutel) ontvangen, ontcijferen met haar geheime sleutel, en (eventueel veranderd) weer geëncrypteerd met de eerder ontvangen publieke sleutel naar Alice sturen (Alice denkt dat het bericht rechtstreeks van Bob komt). In principe kunnen Alice en Bob niet merken dat Charlotte ertussen zit. Verdedigingen tegen zo'n aanval zijn meestal gebaseerd op digitale certificaten of andere onderdelen van een Public Key Infrastructure. Uiteraard is de beste oplossing dat Alice en Bob de sleutels (of een checksum) vergelijken tijdens een "echte" ontmoeting (als dat mogelijk is).

Kocher beschreef een ingenieuze nieuwe aanval op RSA in 1995: als Charlotte de hardware van Alice kent en de tijd nodig voor het ontcijferen van verschillende bekende cijferteksten kan meten, kan ze de geheime sleutel ${\displaystyle d}$ snel vinden[2]. Om deze aanval af te slaan, moeten de wiskundige operaties in een constante tijd gebeuren.

Vergelijkbare aanvallen zijn mogelijk door precies het stroomverbruik van implementaties te meten, deze aanvallen staan bekend als Power Analysis aanvallen.

In 1996 beschreef Daniel Bleichenbacher de eerste praktische aangepast gekozen cijfertekst aanval tegen met RSA vercijferde berichten met de PKCS #1 v1 redundantiefunctie (een redundantiefunctie voegt structuur toe aan een RSA-bericht, zodat het mogelijk is om te weten of een gedecrypteerd bericht goed is). Omwille van zwakke plekken in het PKCS #1 schema kon Bleichenbacher een aanval tegen de RSA-implementatie van het SSL protocol opzetten, en mogelijk de sessie-sleutels te weten komen. Daarom raden cryptografen nu aan om bewijsbaar veilige redundantietesten zoals OAEP te gebruiken, en RSA Laboratories heeft nieuwe versies van PKCS #1 vrijgegeven, die niet gevoelig zijn voor deze aanvallen.