Deformowalność (kryptografia)

Deformowalność – własność pewnych algorytmów kryptograficznych. Algorytm jest deformowalny, jeśli adwersarz ma możliwość zmiany szyfrogramu bez znajomości tekstu jawnego. Innymi słowy: mając szyfrogram komunikatu $m$ adwersarz może wygenerować inny szyfrogram, który będzie odpowiadał komunikatowi $f(m)$ dla pewnej funkcji $f,$ bez znajomości $m.$

W kryptosystemach ogólnego przeznaczenia deformowalność jest często cechą niepożądaną, ponieważ umożliwia adwersarzowi zmianę zawartości komunikatu. Załóżmy dla przykładu, że bank używa szyfru strumieniowego do ukrycia informacji finansowych. Użytkownik wysyła zaszyfrowany komunikat z informacją „PRZELEJ 0000100,00 ZŁ NA KONTO NR 199”. Jeśli adwersarz może zmodyfikować szyfrogram oraz zna format komunikatu, mógłby on zmienić kwotę oraz adresata transakcji na, dajmy na to, „PRZELEJ 0100000,00 ZŁ NA KONTO NR 227”.

Z drugiej strony istnieją kryptosystemy celowo projektowane jako deformowalne. Innymi słowy, w niektórych przypadkach, możliwość zmiany szyfrogramu komunikatu $m$ na poprawny szyfrogram $f(m)$ (dla pewnych ograniczonych klas funkcji $f$) bez znajomości $m$ może być pożądana. Takie schematy szyfrowania znane są pod nazwą szyfrowania homomorficznego.

Kryptosystem może być semantycznie bezpieczny wobec ataków z wybranym tekstem jawnym, lecz nadal deformowalny. Podatność na adaptywny atak z wybranym szyfrogramem jest natomiast jednoznaczna z niedeformowalnością.

Przykłady systemów z deformowalnością

W szyfrach strumieniowych szyfrogram jest wynikiem działania alternatywy wykluczającej na tekście jawnym $m$ oraz pseudolosowego strumienia bitów $S{:}$ $E(m)=m\oplus S(k),$ gdzie $k$ jest kluczem. Adwersarz może skonstruować szyfrogram $m\oplus t$ dla dowolnego $t,$ ponieważ $E(m)\oplus t=m\oplus t\oplus S(k)=E(m\oplus t).$

W algorytmie RSA tekst jawny $m$ jest zaszyfrowany za pomocą przekształcenia $E(m)=m^{e}{\bmod {n}},$ gdzie $(e,n)$ jest kluczem publicznym. Mając taki szyfrogram adwersarz może skonstruować szyfrogram komunikatu $mt$ dla dowolnego $t,$ ponieważ $E(m)\cdot t^{e}{\bmod {n}}=(mt)^{e}{\bmod {n}}=E(mt).$ Z tego powodu RSA jest zazwyczaj używane ze schematami OAEP lub PKCS1.

W algorytmie ElGamal tekst jawny $m$ jest zaszyfrowany funkcją $E(m)=(g^{b},mA^{b}),$ gdzie $(g,A)$ jest kluczem publicznym. Mając do dyspozycji szyfrogram $(c_{1},c_{2}),$ adwersarz może obliczyć $(c_{1},t\cdot c_{2}),$ co jest poprawnym szyfrogramem komunikatu $tm,$ dla dowolnego $t.$ Dla odmiany kryptosystem Cramera-Shoupa (oparty na ElGamalu) jest niedeformowalny.

W kryptosystemach ElGamal oraz RSA można tak połączyć szyfrogramy komunikatów $m_{1}$ oraz $m_{2},$ aby uzyskać poprawny szyfrogram komunikatu $m_{1}m_{2}.$

Całkowita niedeformowalność

W 2005 roku Fishlin zdefiniował pojęcie całkowitej niedeformowalności jako zdolność systemu do pozostania niedeformowalnym nawet w przypadku, gdy adwersarz otrzymuje możliwość wybrania nowego klucza publicznego. Oznacza to, że adwersarz nie powinien mieć możliwości wygenerowania szyfrogramu, którego odpowiadający mu tekst jawny jest związany z oryginalnym komunikatem relacją uwzględniającą klucz publiczny.