Zastosowania kryptografii

1
Zastosowania kryptografii

• Sebastian Lopienski
• seb_at_conowego.pl
• Systemy Rozproszone,
• 12 kwietnia 2001

2
O czym bede mówic

• co mozna przy pomocy kryptografii
• jak wygladaja istniejace rozwiazania
• jakie problemy sa nierozwiazane
• co nas jako uzytkowników komputerów czeka

3
Plan referatu

• Wstep
• Technologie
• Zastosowania
• Podsumowanie

4
Zadania, problemy

• poufnosc i integralnosc danych
• autentykacja i autoryzacja
• podpis cyfrowy
• elektroniczne pieniadze
• glosowanie przez siec
• elektroniczne zabezpieczanie wlasnosci
  intelektualnej

5
Technologie

• Szyfrowanie symetryczne
• Szyfrowanie z kluczem publicznym
• Inne algorytmy kryptograficzne
• Protokoly sieciowe
• Autentykacja przy uzyciu tokenów

6
Algorytmy szyfrujace z kluczem symetrycznym

• DES, TripleDES
• RC4, RC6 (strumieniowe)
• IDEA - dobry, ale komercyjny
• Blowfish, Twofish (counterpane.com)
• Rijndael - darmowy (AES ustanowiony przez NIST)

7
Szyfrowanie z kluczem publicznym

• dwa klucze publiczny i prywatny
• algorytmy
• DH (Diffie-Hellman)
• RSA (Rivest, Shamir, Adleman)
• DSA - do podpisów
• PKI (Public Key Infrastructure)

8
Inne algorytmy kryptograficzne

• funkcje hashujace(skrótu, message digest)
• funkcja nieodwracalna
• MD5 (RFC1321), MD2, MD4 - 16b
• SHA - 20b
• PRNG (pseudorandom number generator)
• kluczowe dla bezpieczenstwa innych algorytmów
  (np. szyfrujacych)
• Yarrow

9
Protokoly sieciowe

• SSL (https i inne)
• TLS (Transport Layer Security)
• WTLS (Wireless TLS)
• SSH i SCP
• PGP (Pretty Good Privacy)
• typowa PKI (serwery z kluczami)
• szyfrowanie oraz podpisywanie
• poczta, pliki
• GnuPG (GNU Privacy Guard)

10
Autentykacja tokenami

• hardwareowe i softwareowe
• synchroniczne i asynchroniczne(challenge-response
  )

• Vasco DigiPass 300, 500, 700
• TripleDES, serwer zna klucze

• RSA Security SecurID
• hardware (token, smartcard)
• software (np. do Nokii Comunicator)

• ActivCard
• czyta challenge z ekranu

11
Autentykacja tokenamiplusy i minusy

• plusy
• rozwiazanie kryptograficznie mocne
• cos mam i cos wiem - dobry pomysl
• wymiary
• minusy
• koszt tokenów (przy malej ilosci) oraz
  oprogramowania serwera
• bank i praca - dwa tokeny
• niewymienna bateria

12
Zastosowania

• Podpis cyfrowy
• Certyfikaty
• Elektroniczne pieniadze
• Glosowanie przez siec
• Inne

13
Podpis cyfrowy

• podpisywanie

• sprawdzanie
• standard DSS DSA SHA-1
• problem czlowiek - software
• ustawy (Czechy, Polska) nie okreslaja konkretnej
  technologii

14
Certyfikaty

• identyfikowanie ludzi, komputerów, oprogramowania
• uzywane np. w SSL
• zawartosc
• wlasciciel
• kto wystawil
• dane teleadresowe
• czas waznosci
• klucz publiczny
• fingerprint (podpis certyfikatu)

15
Sciezki certyfikatów

• architektura X.509
• hierarchiczne zaufanie
• Certificate Authorities
• Thawte (Cape Town, RPA)
• Verisign (USA)
• Centrum Certyfikacji (Szczecin)

16
Elektroniczne pieniadzerodzaje i problemy

• rodzaje
• nieanonimowe (elektronic money)
• anonimowe (digital cash)
• sposoby weryfikacji
• online (w trakcie transakcji)
• offline (przy zwracaniu do banku)
• problemy
• anonimowosc
• double-spending

17
Elektroniczne pieniadzerozwiazania

• banknot ma numer seryjny
• bank stosuje slepe podpisy na banknotach od
  klienta
• klient przekazuje worek banknotów
• przy weryfikacji offline double-spender traci
  anonimowosc
• zaufanie do oprogramowania
• NetCash (online), DigiCach (offline)

18
Glosowanie przez siec warunki

• demokracja
• glosuja tylko uprawnieni
• tylko jeden glos na osobe
• prywatnosc
• nie wiadomo, jak ktos glosowal
• nie mozna pokazac swojego glosu
• zapewnienie poprawnosc
• glosu nie mozna zmienic ani pominac
• zliczane sa tylko poprawne glosy
• mozliwosc sprawdzenia zliczania
• zliczanie po zakonczeniu glosowania

19
Glosowanie przez siec rozwiazania

• analogie do digital cash
• protokól
• zaciemniony i zaszyfrowany glos jest podpisywany
  przez weryfikatora
• glos z podpisem bez zaciemnienia przesylany jest
  do liczacego
• liczacy publikuje otrzymane glosy
• glosujacy przysylaja klucze
• ponownie problem zaufania
• optymisci i pesymisci

20
Inne zastosowania

• ochrona wlasnosci intelektualnej
• DVD
• ksiazki
• zwykle pliki

21
Podsumowanie

• Wnioski
• Uwagi
• Zródla
• Pytania

22
Wnioski

• (prawie) wszystkie problemy sa do rozwiazania
  kryptograficznie
• prawdziwy problem czesto lezy poza mozliwosciami
  kryptografii
• tworzenie bezpiecznych systemów rozproszonych
  jest trudne
• czesc z omówionych mechanizmów jest prosta i
  mozna je stosowac we wlasnych aplikacjach
• metoda kilka zamków w drzwiach

23
Uwagi

• narzedzia kryptograficzne sa mocne, ale trzeba
  umiec korzystac
• klucz dluzszy ltgt lepszy
• bezpieczenstwo powinno opierac sie na tajemnicy
  kluczy, nie technologii
• chronic 1024 bitowy klucz PINem 4-cyfrowym - bez
  sensu
• uzywac funkcji jednokierunkowych(hasla w Linux i
  Apacheu)
• problem zaufania do oprogramowania

24
Zródla

• Bruce Schneier Applied Cryptography
• www.counterpane.combiuletyn Crypto-gram
• www.cryptography.com
• www.securityfocus.com
• www.digicash.com
• www.notablesoftware/evote.html

25
Pytania
26
Koniec

• Sebastian Lopienski
• seb_at_conowego.pl