Интегрированная схема шифрования

Интегрированная схема шифрования ( IES ) — это гибридная схема шифрования , которая обеспечивает семантическую безопасность от злоумышленника , который может использовать атаки с выбранным открытым текстом или выбранным зашифрованным текстом . Безопасность схемы основана на вычислительной задаче Диффи–Хеллмана .
Указаны два варианта IES: интегрированная схема шифрования с дискретным логарифмом (DLIES) и интегрированная схема шифрования с эллиптической кривой (ECIES), которая также известна как схема расширенного шифрования с эллиптической кривой или просто схема шифрования с эллиптической кривой. Эти два варианта идентичны с точностью до изменения основной группы. ^{[ нужны разъяснения ]}.

Неофициальное описание DLIES

В качестве краткого и неформального описания и обзора того, как работает IES, используется схема интегрированного шифрования дискретного логарифма (DLIES), ориентированная на понимание читателем, а не на точные технические детали.

Алиса узнает Боба открытый ключ $g^{x}$ через инфраструктуру открытых ключей или какой-либо другой метод распространения.
Боб знает свой закрытый ключ $x$ .
Алиса генерирует свежее, эфемерное значение $y$ и связанная с ним общественная ценность $g^{y}$ .
Затем Алиса вычисляет симметричный ключ. $k$ используя эту информацию и функцию деривации ключей (KDF) следующим образом: $k={\textrm {KDF}}(g^{xy})$
Алиса вычисляет свой зашифрованный текст $c$ из ее настоящего сообщения $m$ (путем симметричного шифрования $m$ ) зашифровано ключом $k$ (с использованием схемы шифрования с аутентификацией ) следующим образом: $c=E(k;m)$
Алиса передает (в одном сообщении) как публичные эфемерные $g^{y}$ и зашифрованный текст $c$ .
Боб, зная $x$ и $g^{y}$ , теперь могу вычислить $k={\textrm {KDF}}(g^{xy})$ и расшифровать $m$ от $c$ .

Обратите внимание, что эта схема не дает Бобу никаких гарантий относительно того, кто на самом деле отправил сообщение: эта схема не мешает кому-либо притворяться Алисой.

Формальное описание ECIES

Необходимая информация

Чтобы отправить Бобу зашифрованное сообщение с помощью ECIES, Алисе нужна следующая информация:

Используемый набор криптографии, включая функцию получения ключа (например, ANSI-X9.63-KDF с опцией SHA-1 ), код аутентификации сообщения (например, HMAC-SHA-1-160 со 160-битными ключами или HMAC). -SHA-1-80 с 80-битными ключами ) и симметричной схемой шифрования (например, TDEA в CBC режиме или схема шифрования XOR ) — отмечено $E$ .
Параметры области эллиптической кривой: $(p,a,b,G,n,h)$ для кривой над простым полем или $(m,f(x),a,b,G,n,h)$ для кривой над бинарным полем.
Открытый ключ Боба $K_{B}$ , который Боб генерирует его следующим образом: $K_{B}=k_{B}G$ , где $k_{B}\in [1,n-1]$ — это закрытый ключ, который он выбирает случайным образом.
Некоторая дополнительная общая информация: $S_{1}$ и $S_{2}$
$O$ что обозначает точку на бесконечности .

Шифрование

Чтобы зашифровать сообщение $m$ Алиса делает следующее:

генерирует случайное число $r\in [1,n-1]$ и вычисляет $R=rG$
получает общий секрет: $S=P_{x}$ , где $P=(P_{x},P_{y})=rK_{B}$ (и $P\neq O$ )
использует KDF для получения симметричных ключей шифрования и MAC : ключей $k_{E}\|k_{M}={\textrm {KDF}}(S\|S_{1})$
шифрует сообщение: $c=E(k_{E};m)$
вычисляет тег зашифрованного сообщения и $S_{2}$ : $d={\textrm {MAC}}(k_{M};c\|S_{2})$
результаты $R\|c\|d$

Расшифровка

Чтобы расшифровать зашифрованный текст $R\|c\|d$ Боб делает следующее:

получает общий секрет: $S=P_{x}$ , где $P=(P_{x},P_{y})=k_{B}R$ (это то же самое, что получила Алиса, потому что $P=k_{B}R=k_{B}rG=rk_{B}G=rK_{B}$ ), или выходы не удались, если $P=O$
получает ключи так же, как это делала Алиса: $k_{E}\|k_{M}={\textrm {KDF}}(S\|S_{1})$
использует MAC для проверки тега, и выходные данные не удались, если $d\neq {\textrm {MAC}}(k_{M};c\|S_{2})$
использует симметричную схему шифрования для расшифровки сообщения $m=E^{-1}(k_{E};c)$