SIKE: Los, Stop, Schade - Revision history

Wolfm: /* Quellen: */

2023-11-01T08:36:20Z

Quellen:

← Older revision		Revision as of 08:36, 1 November 2023
Line 181:		Line 181:


	== Quellen: ==		== Quellen ==

	* https://sike.org/files/SIDH-spec.pdf		* https://sike.org/files/SIDH-spec.pdf

Wolfm: /* Mathematischer Angriff */

2023-11-01T08:35:25Z

Mathematischer Angriff

← Older revision		Revision as of 08:35, 1 November 2023
Line 47:		Line 47:
	Castryck und Decru ziehen sich Kanis Theorem zur Hilfe, was grob besagt, dass wenn wir eine Isogenie haben und zwei Kerne, die bis (bis auf das neutrale Element) disjunkt den Kern der Isogenie aufspannen, die Isogenie reduzierbar ist bzw. wir auf einem Produkt zweier Kurven landen.		Castryck und Decru ziehen sich Kanis Theorem zur Hilfe, was grob besagt, dass wenn wir eine Isogenie haben und zwei Kerne, die bis (bis auf das neutrale Element) disjunkt den Kern der Isogenie aufspannen, die Isogenie reduzierbar ist bzw. wir auf einem Produkt zweier Kurven landen.
	Die in SIKE von Alice und Bob errechnete Isogenie zusammen mit den Kernen A und B entspricht genau den Bedingungen von Kanis Theorem und bildet somit auf eine Produktkurve ab. Im Angriff betrachten wir Bobs <math>3^f</math>-Isogenie als Verkettung von f vielen 3-Isogenien, die von Alice Bildkurve auf eine Produktkurve abbilden.		Die in SIKE von Alice und Bob errechnete Isogenie zusammen mit den Kernen A und B entspricht genau den Bedingungen von Kanis Theorem und bildet somit auf eine Produktkurve ab. Im Angriff betrachten wir Bobs <math>3^f</math>-Isogenie als Verkettung von f vielen 3-Isogenien, die von Alice Bildkurve auf eine Produktkurve abbilden.
	Für die erste 3-Isogenie haben wir drei Möglichkeiten zu raten. Wir probieren eine und wissen nun, dass wenn wir richtig liegen, wir von der entstehenden Kurve mit einer <math>3^{f-1}</math> Isogenie auf unsere Produktkurve gelangen. Wir konstruieren nun eine <math>2^e-3^{f-1}</math>-Isogenie, deren Pseudoinverse zusammen mit Bobs übriger <math>3^{f-1}</math>-Isogenie eine <math>2^e</math>-Isogenie ergibt, die laut Kanis Theorem wieder reduzierbar ist. Wir erinnern uns, dass es extrem unwahrscheinlich ist, mit solch einer Isogenie, die auch nur die e-fache Verknüpfung von 2-Isogenien ist, auf einer Produktkurve zu landen. Ob wir dies tun lässt sich sehr effizient überprüfen. Wenn die nicht der Fall ist, haben wir die 3-Isogenie auf jeden Fall falsch geraten, wenn doch können wir jedoch mit hoher Sicherheit ausschließen, dass wir falsch geraten haben, da es so unwahrscheinlich ist aus Zufall auf einer Produktkurve gelandet zu sein.		Für die erste 3-Isogenie haben wir drei Möglichkeiten zu raten. Wir probieren eine und wissen nun, dass wenn wir richtig liegen, wir von der entstehenden Kurve mit einer <math>3^{f-1}</math>-Isogenie auf unsere Produktkurve gelangen. Wir konstruieren nun eine <math>2^e-3^{f-1}</math>-Isogenie, deren Pseudoinverse zusammen mit Bobs übriger <math>3^{f-1}</math>-Isogenie eine <math>2^e</math>-Isogenie ergibt, die laut Kanis Theorem wieder reduzierbar ist. Wir erinnern uns, dass es extrem unwahrscheinlich ist, mit solch einer Isogenie, die auch nur die e-fache Verknüpfung von 2-Isogenien ist, auf einer Produktkurve zu landen. Ob wir dies tun lässt sich sehr effizient überprüfen. Wenn die nicht der Fall ist, haben wir die 3-Isogenie auf jeden Fall falsch geraten, wenn doch können wir jedoch mit hoher Sicherheit ausschließen, dass wir falsch geraten haben, da es so unwahrscheinlich ist aus Zufall auf einer Produktkurve gelandet zu sein.
	So erraten wir schritt für Schritt Bobs 3^f Isogenie, indem wir immer wieder eine <math>2^e-3^{f-j}</math>-Isogenie (<math>j \in \{1,\dots,e-1\}</math>) bauen und überprüfen, ob wir mit der entstehenden <math>2^f</math> Isogenie auf einer Produktkurve landen. Kanis Theorem liefert uns hier sozusagen ein Entscheidungskriterium.		So erraten wir schritt für Schritt Bobs 3^f Isogenie, indem wir immer wieder eine <math>2^e-3^{f-j}</math>-Isogenie (<math>j \in \{1,\dots,e-1\}</math>) bauen und überprüfen, ob wir mit der entstehenden <math>2^f</math> Isogenie auf einer Produktkurve landen. Kanis Theorem liefert uns hier sozusagen ein Entscheidungskriterium.

Wolfm: /* Attack */

2023-11-01T08:34:21Z

Attack

Show changes

Marvey: /* Attack */

2023-10-31T21:38:09Z

Attack

← Older revision		Revision as of 21:38, 31 October 2023
Line 132:		Line 132:
	Die ersten bet1-Ziffern werden für den Angriff berechnet, indem geprüft wird, ob einer der Werte korrekt ist und die Bedingung für das Glue- und Split-Orakel erfüllt. Dies geschieht, um einen bekannten Ausgangspunkt für den Angriff festzulegen und zu beweisen, dass der Angriff Schritte in die richtige Richtung unternimmt.		Die ersten bet1-Ziffern werden für den Angriff berechnet, indem geprüft wird, ob einer der Werte korrekt ist und die Bedingung für das Glue- und Split-Orakel erfüllt. Dies geschieht, um einen bekannten Ausgangspunkt für den Angriff festzulegen und zu beweisen, dass der Angriff Schritte in die richtige Richtung unternimmt.

	Das Klebe- und Teilungsorakel wird verwendet, um zu prüfen, ob ein Schritt in die richtige Richtung gemacht wird, indem die gegebenen Kurven geklebt und geteilt werden: die erste Kurve C und die zweite Kurve EB. Die Kurve C wird durch eine Reihe von Transformationen erzeugt, die auf die Ausgangskurve E_start angewandt werden, geleitet von tauhatkernel_distort, und die Funktion Pushing3Chain spielt eine entscheidende Rolle bei diesem Kurvenerzeugungsprozess. Während EB am Anfang des Codes initialisiert wird. Indem man auch die Punkte der Kurven der Ordnung <math>2^a</math> und <math>3^b/math> verwendet, kann die Funktion genutzt werden. Die Funktion nutzt die Eigenschaften von Richelot-Isogenien (kein Hinweis), wobei geprüft wird, ob die aus C und der Richelot-Isogenie abgeleitete Kurve in ein Produkt aus sipersingulären elliptischen Kurven zerlegt werden kann.		Das Klebe- und Teilungsorakel wird verwendet, um zu prüfen, ob ein Schritt in die richtige Richtung gemacht wird, indem die gegebenen Kurven geklebt und geteilt werden: die erste Kurve C und die zweite Kurve EB. Die Kurve C wird durch eine Reihe von Transformationen erzeugt, die auf die Ausgangskurve E_start angewandt werden, geleitet von tauhatkernel_distort, und die Funktion Pushing3Chain spielt eine entscheidende Rolle bei diesem Kurvenerzeugungsprozess. Während EB am Anfang des Codes initialisiert wird. Indem man auch die Punkte der Kurven der Ordnung <math>2^a</math> und <math>3^b</math> verwendet, kann die Funktion genutzt werden. Die Funktion nutzt die Eigenschaften von Richelot-Isogenien (kein Hinweis), wobei geprüft wird, ob die aus C und der Richelot-Isogenie abgeleitete Kurve in ein Produkt aus sipersingulären elliptischen Kurven zerlegt werden kann.
	Durch Kleben wird eine neue Isogenie erzeugt, und von dieser Klebekarte werden eine Kurve und ein Paar neuer Punkte durch eine Kette von Isogenien abgebildet.		Durch Kleben wird eine neue Isogenie erzeugt, und von dieser Klebekarte werden eine Kurve und ein Paar neuer Punkte durch eine Kette von Isogenien abgebildet.

Marvey: /* Attack */

2023-10-31T21:37:44Z

Attack

← Older revision		Revision as of 21:37, 31 October 2023
Line 112:		Line 112:
	Nehmen wir die Parameter <math>a=216 </math> und <math>b=137 </math>		Nehmen wir die Parameter <math>a=216 </math> und <math>b=137 </math>

	Da <math>b</math> 137 ist, wird 'expdata' eine Liste mit <math>134</math> Unterlisten sein, die jeweils drei Nullen enthalten. Schleife von <math>i</math> im Bereich von <math> 1 </math> bis <math> b-2 </math>, der von <math> 1 </math> bis <math> 135 </math> reicht. Prüfe, ob <math> (b - i) % 2 == 1 </math> für jedes <math> i </math>. Diese Bedingung prüft, ob <math> b-i </math> eine ungerade Zahl ist. Wenn <math> b-i </math> ungerade ist, wird der `Index` als <math> b-i/2 </math> berechnet. Dieser Index wird für den Zugriff auf Elemente der `uvtable` verwendet.		Da <math>b</math> <math>137</math> ist, wird 'expdata' eine Liste mit <math>134</math> Unterlisten sein, die jeweils drei Nullen enthalten. Schleife von <math>i</math> im Bereich von <math> 1 </math> bis <math> b-2 </math>, der von <math> 1 </math> bis <math> 135 </math> reicht. Prüfe, ob <math> (b - i) % 2 == 1 </math> für jedes <math> i </math>. Diese Bedingung prüft, ob <math> b-i </math> eine ungerade Zahl ist. Wenn <math> b-i </math> ungerade ist, wird der `Index` als <math> b-i/2 </math> berechnet. Dieser Index wird für den Zugriff auf Elemente der `uvtable` verwendet.

	<math> b=137 </math>, also ist expdata eine Liste mit <math> 134 </math> Unterlisten, gefüllt mit `[0, 0, 0]`.		<math> b=137 </math>, also ist expdata eine Liste mit <math> 134 </math> Unterlisten, gefüllt mit `[0, 0, 0]`.
Line 132:		Line 132:
	Die ersten bet1-Ziffern werden für den Angriff berechnet, indem geprüft wird, ob einer der Werte korrekt ist und die Bedingung für das Glue- und Split-Orakel erfüllt. Dies geschieht, um einen bekannten Ausgangspunkt für den Angriff festzulegen und zu beweisen, dass der Angriff Schritte in die richtige Richtung unternimmt.		Die ersten bet1-Ziffern werden für den Angriff berechnet, indem geprüft wird, ob einer der Werte korrekt ist und die Bedingung für das Glue- und Split-Orakel erfüllt. Dies geschieht, um einen bekannten Ausgangspunkt für den Angriff festzulegen und zu beweisen, dass der Angriff Schritte in die richtige Richtung unternimmt.

	Das Klebe- und Teilungsorakel wird verwendet, um zu prüfen, ob ein Schritt in die richtige Richtung gemacht wird, indem die gegebenen Kurven geklebt und geteilt werden: die erste Kurve C und die zweite Kurve EB. Die Kurve C wird durch eine Reihe von Transformationen erzeugt, die auf die Ausgangskurve E_start angewandt werden, geleitet von tauhatkernel_distort, und die Funktion Pushing3Chain spielt eine entscheidende Rolle bei diesem Kurvenerzeugungsprozess. Während EB am Anfang des Codes initialisiert wird. Indem man auch die Punkte der Kurven der Ordnung 2^a und 3^b verwendet, kann die Funktion genutzt werden. Die Funktion nutzt die Eigenschaften von Richelot-Isogenien (kein Hinweis), wobei geprüft wird, ob die aus C und der Richelot-Isogenie abgeleitete Kurve in ein Produkt aus sipersingulären elliptischen Kurven zerlegt werden kann.		Das Klebe- und Teilungsorakel wird verwendet, um zu prüfen, ob ein Schritt in die richtige Richtung gemacht wird, indem die gegebenen Kurven geklebt und geteilt werden: die erste Kurve C und die zweite Kurve EB. Die Kurve C wird durch eine Reihe von Transformationen erzeugt, die auf die Ausgangskurve E_start angewandt werden, geleitet von tauhatkernel_distort, und die Funktion Pushing3Chain spielt eine entscheidende Rolle bei diesem Kurvenerzeugungsprozess. Während EB am Anfang des Codes initialisiert wird. Indem man auch die Punkte der Kurven der Ordnung <math>2^a</math> und <math>3^b/math> verwendet, kann die Funktion genutzt werden. Die Funktion nutzt die Eigenschaften von Richelot-Isogenien (kein Hinweis), wobei geprüft wird, ob die aus C und der Richelot-Isogenie abgeleitete Kurve in ein Produkt aus sipersingulären elliptischen Kurven zerlegt werden kann.
	Durch Kleben wird eine neue Isogenie erzeugt, und von dieser Klebekarte werden eine Kurve und ein Paar neuer Punkte durch eine Kette von Isogenien abgebildet.		Durch Kleben wird eine neue Isogenie erzeugt, und von dieser Klebekarte werden eine Kurve und ein Paar neuer Punkte durch eine Kette von Isogenien abgebildet.

Marvey: /* Attack */

2023-10-31T21:35:22Z

Attack

← Older revision		Revision as of 21:35, 31 October 2023
Line 104:		Line 104:
	skB ist als leere Liste definiert, in die die Werte von Bobs geheimem Schlüssel während des Angriffs nacheinander eingefügt werden.		skB ist als leere Liste definiert, in die die Werte von Bobs geheimem Schlüssel während des Angriffs nacheinander eingefügt werden.

	Der Code durchläuft eine Schleife über i von 1 bis b-2. Für jedes i wird geprüft, ob (b-i) ungerade ist, indem die Bedingung (b-i) % 2 == 1 verwendet wird. Ist dies der Fall, wird ein Index berechnet und Daten aus der uvtable auf der Grundlage dieses Index gesammelt.		Der Code durchläuft eine Schleife über <math>i</math> von <math> 1 </math> bis <math> (b-2) </math>. Für jedes <math>i</math> wird geprüft, ob <math>b-i</math> ungerade ist, indem die Bedingung <math>(b-i) % 2 == 1</math> verwendet wird. Ist dies der Fall, wird ein Index berechnet und Daten aus der uvtable auf der Grundlage dieses Index gesammelt.
	index wird berechnet als (b - i + 1) // 2.		index wird berechnet als <math> (b - i + 1) // 2 </math>.
	exp wird aus uvtable[index-1][1] extrahiert.		exp wird aus 'uvtable[index-1][1]' extrahiert.
	Wenn exp kleiner oder gleich a ist, werden auch u und v aus uvtable[index-1][2] bzw. uvtable[index-1][3] abgerufen.		Wenn 'exp' kleiner oder gleich <math>a</math> ist, werden auch u und v aus 'uvtable[index-1][2]' bzw. 'uvtable[index-1][3]' abgerufen.
	Diese Daten werden in der Liste expdata an der (i-1)-ten Position als [exp, u, v] gespeichert.		Diese Daten werden in der Liste expdata an der <math> i-1 </math>-ten Position als '[exp, u, v]' gespeichert.

	Nehmen wir die Parameter a=216 und b=137		Nehmen wir die Parameter <math>a=216 </math> und <math>b=137 </math>

	Da `b` 137 ist, wird `expdata` eine Liste mit 134 Unterlisten sein, die jeweils drei Nullen enthalten. Schleife von `i` im Bereich von 1 bis `b - 2`, der von 1 bis 135 reicht. Prüfe, ob `(b - i) % 2 == 1 für jedes i. Diese Bedingung prüft, ob b - i eine ungerade Zahl ist. Wenn `(b - ~~i)`~~ ungerade ist, wird der `Index` als `(b - i ~~+ 1)~~ /~~/ 2`~~ berechnet. Dieser Index wird für den Zugriff auf Elemente der `uvtable` verwendet.		Da <math>b</math> 137 ist, wird 'expdata' eine Liste mit <math>134</math> Unterlisten sein, die jeweils drei Nullen enthalten. Schleife von <math>i</math> im Bereich von <math> 1 </math> bis <math> b-2 </math>, der von <math> 1 </math> bis <math> 135 </math> reicht. Prüfe, ob <math> (b - i) % 2 == 1 </math> für jedes <math> i </math>. Diese Bedingung prüft, ob <math> b-i </math> eine ungerade Zahl ist. Wenn <math> b-i </math> ungerade ist, wird der `Index` als <math> b-i/2 </math> berechnet. Dieser Index wird für den Zugriff auf Elemente der `uvtable` verwendet.

	b = 137, also ist expdata eine Liste mit 134 Unterlisten, gefüllt mit `[0, 0, 0]`.		<math> b=137 </math>, also ist expdata eine Liste mit <math> 134 </math> Unterlisten, gefüllt mit `[0, 0, 0]`.
	Die Schleife läuft von i = 1 bis i = 135.		Die Schleife läuft von i = 1 bis i = 135.
	Wenn i = 1 ist, ist (b - i) % 2 == 0, also passiert nichts.		Wenn <math> i = 1 </math> ist, ist <math>(b - i) % 2 == 0</math>, also passiert nichts.
	Wenn i = 2 ist, ist (b - i) % 2 == 1, so dass der Index als (137 - 2 + 1) // 2 = 68 berechnet wird. Dann holt es exp = 135, u = 68402650496677101758628224525965 und v = 491073477706829402358064079515557 aus uvtable[68] und aktualisiert expdata[1] mit [135, 68402650496677101758628224525965, 491073477706829402358064079515557].		Wenn <math> i = 2 </math> ist, ist <math>(b - i) % 2 == 1</math>, so dass der Index als <math>(137 - 2 + 1) / 2 = 68 </math>berechnet wird. Dann holt es <math>exp = 135, u = 68402650496677101758628224525965</math> und <math>v = 491073477706829402358064079515557</math> aus uvtable[68] und aktualisiert expdata[1] mit <math>[135, 68402650496677101758628224525965, 491073477706829402358064079515557]</math>.
	Dieser Vorgang wird für alle Werte von `i` fortgesetzt, bis die Schleife beendet ist.		Dieser Vorgang wird für alle Werte von `i` fortgesetzt, bis die Schleife beendet ist.
	Nach der Schleife wird bet1 inkrementiert, bis es den Wert 2 erreicht (da expdata[2][0] der erste Nicht-Null-Wert ist).		Nach der Schleife wird bet1 inkrementiert, bis es den Wert <math>2</math> erreicht (da expdata[2][0] der erste Nicht-Null-Wert ist).

	Für a = 216 und b = 137 ergeben sich mit der uv-Tabelle also folgende Ergebnisse		Für <math> a = 216 </math> und <math> b=137 </math>ergeben sich mit der uv-Tabelle also folgende Ergebnisse

			<math> ai = expdata[2-1][0] = 135 </math>
	bet1 = 2
	ai = expdata[2-1][0] = ~~135~~		<math>u = expdata[2-1][1] = 68402650496677101758628224525965 </math>
	u = expdata[2-1][1] = ~~68402650496677101758628224525965~~		<math>v = expdata[2-1][2] = 491073477706829402358064079515557 </math>
	v = expdata[2-1][2] = 491073477706829402358064079515557

Wolfm at 16:46, 31 October 2023

2023-10-31T16:46:57Z

← Older revision		Revision as of 16:46, 31 October 2023
Line 71:		Line 71:
	Die elliptische Kurve E<math>_\mathrm{start}</math> über einem endlichen Feld <math>\mathbb{F}_{p^2}</math> wird als Startpunkt für die Challenge definiert.		Die elliptische Kurve E<math>_\mathrm{start}</math> über einem endlichen Feld <math>\mathbb{F}_{p^2}</math> wird als Startpunkt für die Challenge definiert.
	Eine zufällige ganze Zahl Bobskey wird generiert und auf ternäre Ziffern eingestellt.		Eine zufällige ganze Zahl Bobskey wird generiert und auf ternäre Ziffern eingestellt.
	Zum Abschluss der Challenge wird eine neue elliptische Kurve E<math>_B</math> erstellt und von E<math>_B</math> zu E<math>_{B_\mathrm{start}}</math> eine Isogeniekette erzeugt. Die Isogeniekette wird auf der Grundlage der Punkte <syntaxhighlight ~~enclose="none"~~ lang="python">P3 + Bobskey *Q3</syntaxhighlight> erstellt, wobei <syntaxhighlight ~~enclose="none"~~ lang="python">P3</syntaxhighlight> und <syntaxhighlight ~~enclose="none"~~ lang="python">Q3</syntaxhighlight> Torsionspunkte auf E<math>_\mathrm{start}</math> sind. Die Länge der Isogeniekette ist gleich dem Parameter b.		Zum Abschluss der Challenge wird eine neue elliptische Kurve E<math>_B</math> erstellt und von E<math>_B</math> zu E<math>_{B_\mathrm{start}}</math> eine Isogeniekette erzeugt. Die Isogeniekette wird auf der Grundlage der Punkte <syntaxhighlight inline lang="python">P3 + Bobskey *Q3</syntaxhighlight> erstellt, wobei <syntaxhighlight inline lang="python">P3</syntaxhighlight> und <syntaxhighlight inline lang="python">Q3</syntaxhighlight> Torsionspunkte auf E<math>_\mathrm{start}</math> sind. Die Länge der Isogeniekette ist gleich dem Parameter b.
	Der Aufbau der Challenge besteht im Wesentlichen aus der Wahl der Parameter, der Generierung des privaten Schlüssels <syntaxhighlight ~~enclose="none"~~ lang="python">Bobskey</syntaxhighlight> und der Erstellung der Isogenese von der elliptischen Kurve E<math>_\textrm{start}</math> zur elliptischen Kurve E<math>_B</math> auf der Basis von <syntaxhighlight ~~enclose="none"~~ lang="python">Bobskey</syntaxhighlight> und den angegebenen Parametern.		Der Aufbau der Challenge besteht im Wesentlichen aus der Wahl der Parameter, der Generierung des privaten Schlüssels <syntaxhighlight inline lang="python">Bobskey</syntaxhighlight> und der Erstellung der Isogenese von der elliptischen Kurve E<math>_\textrm{start}</math> zur elliptischen Kurve E<math>_B</math> auf der Basis von <syntaxhighlight inline lang="python">Bobskey</syntaxhighlight> und den angegebenen Parametern.

	Die Codezeile <syntaxhighlight ~~enclose="none"~~ lang="python">EB, chain = Pushing3Chain(E_start, P3 + Bobskey * Q3, b)</syntaxhighlight> beinhaltet elliptische Kurvenoperationen und ist Teil des Challenge-Setups im Code.		Die Codezeile <syntaxhighlight inline lang="python">EB, chain = Pushing3Chain(E_start, P3 + Bobskey * Q3, b)</syntaxhighlight> beinhaltet elliptische Kurvenoperationen und ist Teil des Challenge-Setups im Code.
	<syntaxhighlight ~~enclose="none"~~ lang="python">P3</syntaxhighlight> und <syntaxhighlight ~~enclose="none"~~ lang="python">Q3</syntaxhighlight> sind Punkte auf einer elliptischen Kurve E<math>_\mathrm{start}</math>. Diese Punkte sind Teil des Challenge-Setups.		<syntaxhighlight inline lang="python">P3</syntaxhighlight> und <syntaxhighlight inline lang="python">Q3</syntaxhighlight> sind Punkte auf einer elliptischen Kurve E<math>_\mathrm{start}</math>. Diese Punkte sind Teil des Challenge-Setups.
	<syntaxhighlight ~~enclose="none"~~ lang="python">Bobskey</syntaxhighlight> ist eine zufällige ganze Zahl aus dem Bereich <math>[0, 3^b)</math>. Diese ganze Zahl ist Bobs privater Schlüssel in ternärer Darstellung.		<syntaxhighlight inline lang="python">Bobskey</syntaxhighlight> ist eine zufällige ganze Zahl aus dem Bereich <math>[0, 3^b)</math>. Diese ganze Zahl ist Bobs privater Schlüssel in ternärer Darstellung.
	<syntaxhighlight ~~enclose="none"~~ lang="python">Bobskey * Q3</syntaxhighlight> bedeutet eine skalare Multiplikation des Punktes <syntaxhighlight ~~enclose="none"~~ lang="python">Q3</syntaxhighlight> mit der ganzen Zahl <syntaxhighlight ~~enclose="none"~~ lang="python">Bobskey</syntaxhighlight>. Diese Operation berechnet <syntaxhighlight ~~enclose="none"~~ lang="python">Bobskey</syntaxhighlight> mal den Punkt <syntaxhighlight ~~enclose="none"~~ lang="python">Q3</syntaxhighlight> auf der elliptischen Kurve.		<syntaxhighlight inline lang="python">Bobskey * Q3</syntaxhighlight> bedeutet eine skalare Multiplikation des Punktes <syntaxhighlight inline lang="python">Q3</syntaxhighlight> mit der ganzen Zahl <syntaxhighlight inline lang="python">Bobskey</syntaxhighlight>. Diese Operation berechnet <syntaxhighlight inline lang="python">Bobskey</syntaxhighlight> mal den Punkt <syntaxhighlight inline lang="python">Q3</syntaxhighlight> auf der elliptischen Kurve.
	<syntaxhighlight ~~enclose="none"~~ lang="python">P3 + Bobskey * Q3</syntaxhighlight> addiert das Ergebnis der skalaren Multiplikation <syntaxhighlight ~~enclose="none"~~ lang="python">(Bobskey * Q3)</syntaxhighlight> zu dem Punkt <syntaxhighlight ~~enclose="none"~~ lang="python">P3</syntaxhighlight>. Dies ist eine Punktaddition auf der elliptischen Kurve. Das Ergebnis ist ein neuer Punkt auf der Kurve.		<syntaxhighlight inline lang="python">P3 + Bobskey * Q3</syntaxhighlight> addiert das Ergebnis der skalaren Multiplikation <syntaxhighlight inline lang="python">(Bobskey * Q3)</syntaxhighlight> zu dem Punkt <syntaxhighlight inline lang="python">P3</syntaxhighlight>. Dies ist eine Punktaddition auf der elliptischen Kurve. Das Ergebnis ist ein neuer Punkt auf der Kurve.
	<syntaxhighlight ~~enclose="none"~~ lang="python">Pushing3Chain(E_start, P3 + Bobskey * Q3, b)</syntaxhighlight> erzeugt eine Isogeniekette (Kette) von der elliptischen Kurve E<math>_\mathrm{start}</math> zu einer neuen elliptischen Kurve E<math>_B</math>, die auf den Punkten <syntaxhighlight ~~enclose="none"~~ lang="python">P3 + Bobskey * Q3</syntaxhighlight> basiert. Der Parameter <math>b</math> gibt die Länge der Kette an.		<syntaxhighlight inline lang="python">Pushing3Chain(E_start, P3 + Bobskey * Q3, b)</syntaxhighlight> erzeugt eine Isogeniekette (Kette) von der elliptischen Kurve E<math>_\mathrm{start}</math> zu einer neuen elliptischen Kurve E<math>_B</math>, die auf den Punkten <syntaxhighlight inline lang="python">P3 + Bobskey * Q3</syntaxhighlight> basiert. Der Parameter <math>b</math> gibt die Länge der Kette an.

	Zusammenfassend lässt sich sagen, dass die Codezeile im Wesentlichen eine Herausforderung für den Angreifer darstellt, indem sie ein Problem der Isogenie elliptischer Kurven aufstellt. Das Ziel des Angreifers ist es, Bobs privaten Schlüssel (<syntaxhighlight ~~enclose="none"~~ lang="python">Bobskey</syntaxhighlight>) auf der Grundlage dieser Herausforderung wiederherzustellen, was die Arbeit mit den Operationen der elliptischen Kurve und den Isogenieberechnungen beinhaltet.		Zusammenfassend lässt sich sagen, dass die Codezeile im Wesentlichen eine Herausforderung für den Angreifer darstellt, indem sie ein Problem der Isogenie elliptischer Kurven aufstellt. Das Ziel des Angreifers ist es, Bobs privaten Schlüssel (<syntaxhighlight inline lang="python">Bobskey</syntaxhighlight>) auf der Grundlage dieser Herausforderung wiederherzustellen, was die Arbeit mit den Operationen der elliptischen Kurve und den Isogenieberechnungen beinhaltet.

	<syntaxhighlight lang="python">		<syntaxhighlight lang="python">

Wolfm: /* Der angewandte Angriff */

2023-10-31T16:41:54Z

Der angewandte Angriff

← Older revision		Revision as of 16:41, 31 October 2023
Line 50:		Line 50:
	So erraten wir schritt für Schritt Bobs 3^f Isogenie, indem wir immer wieder eine <math>2^e-3^{f-j}</math>-Isogenie (<math>j \in \{1,\dots,e-1\}</math>) bauen und überprüfen, ob wir mit der entstehenden <math>2^f</math> Isogenie auf einer Produktkurve landen. Kanis Theorem liefert uns hier sozusagen ein Entscheidungskriterium.		So erraten wir schritt für Schritt Bobs 3^f Isogenie, indem wir immer wieder eine <math>2^e-3^{f-j}</math>-Isogenie (<math>j \in \{1,\dots,e-1\}</math>) bauen und überprüfen, ob wir mit der entstehenden <math>2^f</math> Isogenie auf einer Produktkurve landen. Kanis Theorem liefert uns hier sozusagen ein Entscheidungskriterium.

	== ~~Der angewandte~~ Angriff ==		== Angewandter Angriff ==

	Der Angriff wurde ursprünglich von dem Duo Wouter Castryck und Thomas Decru durchgeführt. In ihrem Beitrag erklärten sie, dass der Angriff mithilfe des Computer-Algebra-Software-Systems namens Magma möglich war. Da Magma nicht quelloffen ist, stand es nicht vielen Menschen zur Verfügung, so dass nicht viele den Angriff selbst testen konnten. Um die Implementierung für die Öffentlichkeit zugänglicher zu machen, implementierten Giacomo Pope und Rémy Oudompheng den ursprünglichen Angriff erneut in einem Softwaresystem namens SageMath. SageMath ist quelloffen, und jeder kann den Angriff herunterladen und auf seinen eigenen Geräten neu implementieren, solange SageMath auf dem jeweiligen Gerät installiert ist.		Der Angriff wurde ursprünglich von dem Duo Wouter Castryck und Thomas Decru durchgeführt. In ihrem Beitrag erklärten sie, dass der Angriff mithilfe des Computer-Algebra-Software-Systems namens Magma möglich war. Da Magma nicht quelloffen ist, stand es nicht vielen Menschen zur Verfügung, so dass nicht viele den Angriff selbst testen konnten. Um die Implementierung für die Öffentlichkeit zugänglicher zu machen, implementierten Giacomo Pope und Rémy Oudompheng den ursprünglichen Angriff erneut in einem Softwaresystem namens SageMath. SageMath ist quelloffen, und jeder kann den Angriff herunterladen und auf seinen eigenen Geräten neu implementieren, solange SageMath auf dem jeweiligen Gerät installiert ist.

Wolfm: /* Der mathematische Angriff */

2023-10-31T16:41:29Z

Der mathematische Angriff

← Older revision		Revision as of 16:41, 31 October 2023
Line 40:		Line 40:
	Allerdings können sie nicht einfach die Isogenien bzw. ihre Kerne über den ungesicherten Kanal verschicken. Darum legen sie zwei (öffentliche) jeweils öffentliche Hilfspunktpaare fest, die Punkte <math>\mathrm{P}_A,\mathrm{Q}_A</math> der Ordnung <math>2^e</math> für Alice und die Punkte <math>\mathrm{P}_B,\mathrm{Q}_B</math> der Ordnung <math>3^f</math> für Bob. Alice denkt sich nun eine geheime ganze Zahl <math>a</math> aus, und erhält mit <math>A=\langle\mathrm{P}_A+a\cdot\mathrm{Q}_A\rangle</math> den Kern ihrer Isogenie <math>\varphi_A</math> der Ordnung <math>2^e</math>. Bob erhält analog eine Isogenie <math>\varphi_B</math> der Ordnung <math>3^b</math>. Nun tauschen sie über den unsicheren Kanal die Bildwerte der Hilfspunkte des jeweils anderen unter der eigenen Isogenie aus, also <math>\varphi_A(\mathrm{P}_B)</math>, <math>\varphi_A(\mathrm{Q}_B)</math> und <math>\varphi_B(\mathrm{P}_A)</math>, <math>\varphi_B(\mathrm{Q}_A)</math> aus. Somit kann der jeweils können sie mit dem eigenen Geheimnis und den Bildwerten der Isogenie des anderen auf einen gemeinsamen Kern und somit auch eine gemeinsame Isogenie kommen, die ein Angreifer ohne eines der privaten Geheimnisse <math>a</math> oder <math>b</math> nicht effizient ermitteln kann.		Allerdings können sie nicht einfach die Isogenien bzw. ihre Kerne über den ungesicherten Kanal verschicken. Darum legen sie zwei (öffentliche) jeweils öffentliche Hilfspunktpaare fest, die Punkte <math>\mathrm{P}_A,\mathrm{Q}_A</math> der Ordnung <math>2^e</math> für Alice und die Punkte <math>\mathrm{P}_B,\mathrm{Q}_B</math> der Ordnung <math>3^f</math> für Bob. Alice denkt sich nun eine geheime ganze Zahl <math>a</math> aus, und erhält mit <math>A=\langle\mathrm{P}_A+a\cdot\mathrm{Q}_A\rangle</math> den Kern ihrer Isogenie <math>\varphi_A</math> der Ordnung <math>2^e</math>. Bob erhält analog eine Isogenie <math>\varphi_B</math> der Ordnung <math>3^b</math>. Nun tauschen sie über den unsicheren Kanal die Bildwerte der Hilfspunkte des jeweils anderen unter der eigenen Isogenie aus, also <math>\varphi_A(\mathrm{P}_B)</math>, <math>\varphi_A(\mathrm{Q}_B)</math> und <math>\varphi_B(\mathrm{P}_A)</math>, <math>\varphi_B(\mathrm{Q}_A)</math> aus. Somit kann der jeweils können sie mit dem eigenen Geheimnis und den Bildwerten der Isogenie des anderen auf einen gemeinsamen Kern und somit auch eine gemeinsame Isogenie kommen, die ein Angreifer ohne eines der privaten Geheimnisse <math>a</math> oder <math>b</math> nicht effizient ermitteln kann.

	== ~~Der mathematische~~ Angriff ==		== Mathematischer Angriff ==

	Der Angriff von Castryck und Decru zeigt, wie eine bösartige Alice Bobs geheime Isogenie rekonstruieren kann. Der Grundgedanke dabei ist, dass die gemeinsame Isogenie von Alice und Bob eine besondere Isogenie ist, die wir hier, um mathematische Definitionen und Genauigkeiten zu ersparen, einfach nur reduzierbar nennen. Man kann sich das so vorstellen, dass ihr Bild das Produkt zweier elliptischer Kurven ist.		Der Angriff von Castryck und Decru zeigt, wie eine bösartige Alice Bobs geheime Isogenie rekonstruieren kann. Der Grundgedanke dabei ist, dass die gemeinsame Isogenie von Alice und Bob eine besondere Isogenie ist, die wir hier, um mathematische Definitionen und Genauigkeiten zu ersparen, einfach nur reduzierbar nennen. Man kann sich das so vorstellen, dass ihr Bild das Produkt zweier elliptischer Kurven ist.

Wolfm: /* Der SIKE Schlüsselaustausch */

2023-10-31T16:40:50Z

Der SIKE Schlüsselaustausch

← Older revision		Revision as of 16:40, 31 October 2023
Line 12:		Line 12:
	Sike würde es bis in die 4. Runde des NIST-Wettbewerbs für quantensichere Verschlüsselungsprotokolle schaffen. Leider wurde zu der Zeit, als SIKE an Popularität gewann, ein neues Papier veröffentlicht, das sicherstellte, dass SIKE nicht sicher ist und mit einem Single-core Laptop entschlüsselt werden kann. Der Angriff erforderte weder zu viel Rechenleistung noch dauerte er zu lange, um die vom NIST-Wettbewerb vorgegebenen Parameter zu entschlüsseln.		Sike würde es bis in die 4. Runde des NIST-Wettbewerbs für quantensichere Verschlüsselungsprotokolle schaffen. Leider wurde zu der Zeit, als SIKE an Popularität gewann, ein neues Papier veröffentlicht, das sicherstellte, dass SIKE nicht sicher ist und mit einem Single-core Laptop entschlüsselt werden kann. Der Angriff erforderte weder zu viel Rechenleistung noch dauerte er zu lange, um die vom NIST-Wettbewerb vorgegebenen Parameter zu entschlüsseln.

	== ~~Der~~ SIKE Schlüsselaustausch ==		==SIKE Schlüsselaustausch ==

	Im Folgenden geben wir einen zugegeben sehr groben Überblick, wie ein		Im Folgenden geben wir einen zugegeben sehr groben Überblick, wie ein