RSA Şifreleme / Şifre Çözme

İki asal ve bir kapı. Bir RSA anahtarı iki büyük rastgele asal p ve q ile başlar; çarpımları n (modül, dolayısıyla "2048 bitlik anahtar") bir e üssüyle (neredeyse her zaman 65537) birlikte genel anahtarda yayımlanır. Özel anahtar, e'nin modüler tersi olan d çiftidir — p ve q'dan hesaplanır — ayrıca özel anahtar işlemlerini 4× hızlandıran, asallardan türetilen kısayollarla birlikte.

Şifreleme ve imzalama aynı üstel işlemdir. Bir ileti bloğu m'yi şifrelemek m^e mod n hesaplamaktır; şifre çözmek c^d mod n'dir. Önceden biçimlendirilmiş bir bloğu özel üsle imzalamak ve genel üsle doğrulamak, diğer yönde aynı işlemdir. Bu sayfadaki diğer her şey — OAEP, PSS, PKCS#1 — o bloğu güvenli biçimde biçimlendirmekle ilgilidir, böylece ham üs alma hiçbir zaman açığa çıkmaz.

Neden yavaştır. 2048 bitlik bir anahtarla bir RSA işlemi, bir bloğu AES ile şifrelemeye kıyasla kabaca bir milyon kat daha fazla CPU harcar. TLS'nin RSA'yı (ya da ECC'yi) yalnızca rastgele bir AES anahtarı üzerinde anlaşmak için kullanıp sonra değiştirmesinin nedeni budur. Oluşturduğunuz her şey için aynı kural geçerlidir: anahtar için RSA, veri için AES.

Anahtar boyutu. Modül uzunluğu güvenlik kadranıdır: 1024 bit politika gereği kırılmıştır (çarpanlarına ayırma devletlerin erişimine yakındır), 2048 bit ≈ 112 bit simetrik güç, 3072 bit ≈ 128 bit, 15360 bit ise 256 bitlik bir simetrik anahtara denk gelir. Kuantum notu: Shor’un algoritması büyük bir kuantum bilgisayarda RSA'yı tamamen kırar — anahtar ömürlerini sonlu tutmak için bir neden daha.

Ham RSA'nın sorunu. Ders kitabı RSA'sı (ham ileti üzerinde m^e mod n) belirleyicidir ve değiştirilebilirdir: aynı iletiler aynı şekilde şifrelenir, bir saldırgan bir şifreli metni 2'nin şifrelemesiyle çarparak düz metni iki katına çıkarabilir ve kısa iletiler ortadan buluşma saldırısına düşer. Doğrudan asla kullanılmamalıdır.

OAEP ne yapar. OAEP (PKCS#1 v2, RFC 8017), üslemeden önce iletiyi karma tabanlı bir Feistel ağı üzerinden rastgele bir tohumla karıştırır. Sonuç: şifreleme rastgeledir (aynı düz metin her seferinde farklı bir şifreli metin verir — OAEP Örneğini iki kez çalıştırıp karşılaştırın), şifre çözmede kurcalama tespit edilir ve ileti karma için yer bırakarak modül içine sığmalıdır — yukarıda tablolanan k−2·hashLen−2 sınırı.

Etiket. Dolguya bağlanan isteğe bağlı bir genel dizgi. Her iki taraf da aynı etiketi sağlamalıdır, yoksa şifre çözme başarısız olur — AES-GCM'deki AAD gibi, şifreli metni bir bağlama (bir dosya adı, bir algoritma kimliği) bağlamanızı sağlar. Boş olması normaldir.

PKCS#1 v1.5 şifrelemesi bilerek yoktur. 1993 dönemi dolgusunda bütünlük yoktur ve şifre çözme hata davranışı yoluyla bilgi sızdırır (Bleichenbacher’in 1998 saldırısı, birkaç milyon özel hazırlanmış şifreli metinle bir dolgu oracle’ını tam şifre çözmeye dönüştürür; ROBOT olarak 2017’de hâlâ gerçek sistemleri kırıyordu). WebCrypto bunu uygulamayı reddeder; bu sayfa da uygulamaz.

İmzalamak = karmala, sonra doldur, sonra üsle. Her iki şema da iletiyi karmalar (burada SHA-256/384/512), özeti bir bloğa biçimlendirir ve özel üssü uygular. Doğrulama, bloğu genel anahtarla yeniden biçimlendirir ve karşılaştırır. Fark biçimlendirmededir:

Hangisini seçmeli. Yeni tasarımlar: PSS. Mevcut sertifikalar, JWT’ler (RS256) ya da eski eşlerle birlikte çalışma: v1.5. İkisi de imza şemaları olarak güvenlidir — v1.5 felaket hikâyesi *şifreleme* dolgusuyla ilgilidir, benzer adına rağmen farklı bir yapıdır.

PEM sadece base64 ile sarılmış DER’dir. Bir PEM dosyası bir etiket ile bir DER (ikili ASN.1) yapısının base64’üdür. Etiket hangi yapı olduğunu söyler — ve bu, bu sayfanın ürettiği dört biçim arasındaki farkın tamamıdır:

Aynı anahtar, farklı sargılar. Üret’ten sonra yukarıdaki dört kutunun hepsi aynı anahtar çiftini tutar — SPKI ve PKCS#1 genel anahtarları aynı n, e değerlerini içerir; PKCS#8 ve PKCS#1 özel anahtarları aynı özel değerleri içerir. Bu sayfa bunlar arasında tarayıcıda kayıpsız dönüştürür (öz-testi dönüşümleri gidip gelerek doğrular). Biçimleri karıştırmak, araçlar arasında anahtar yapıştırırken "geçersiz anahtar" hatalarının en yaygın tek nedenidir.

Şifrelenmiş PEM’ler (-----BEGIN ENCRYPTED PRIVATE KEY-----), parola tabanlı şifreleme katmanı olan PKCS#8’dir. Bu sayfa bunları kabul etmez — önce çevrimdışı çözün (openssl pkcs8 -in enc.pem -out plain.pem).

• RSA ile toplu veri şifrelemek. Katı OAEP boyut sınırının ötesinde, son derece yavaştır. Örüntü şudur: rastgele bir AES anahtarı üret, AES anahtarını RSA-OAEP ile şifrele, veriyi AES-GCM ile şifrele, iki parçayı da gönder.
• "Bu bir test" diye özel anahtarı paylaşmak. Bu sayfanın vektörlerine gömülü örnek anahtarlar bilerek yayımlanmıştır — yalnızca test verilerini imzalayabilirler. Sizin anahtarlarınız böyle değildir.
• Özel anahtarla doğrulamak. Genellikle matematiksel olarak "çalışır" ve bazı araçlar buna izin verir, ancak doğrulayıcılara özel anahtar dağıtmak tüm modeli bozar. Genel anahtarla doğrulayın (bu sayfa bunu zorunlu kılar).
• Kodu kontrol etmek için imzaları bayt bayt karşılaştırmak. PSS (ve OAEP) rastgeledir: iki doğru çalıştırma farklı çıktılar üretir. Eşitlikle değil, doğrulayarak karşılaştırın — yalnızca v1.5 imzaları belirleyicidir.
• "Daha hızlı oldukları için" 1024 bitlik anahtarlar. Ayrıca iyi kaynaklı çarpanlara ayırmanın erişimi içindedirler. Hız argümanı hibrit şifrelemeyle öldü: RSA oturum başına bir kez çalışır, bayt başına değil.
• PSS için karma uzunluğundan farklı bir salt uzunluğunu sabit kodlamak. Doğrulayıcının da kabul etmesi gerekir; karma uzunluğu (bu sayfanın seçimi ve OpenSSL'in -sigopt rsa_pss_saltlen:32'si) birlikte çalışabilir varsayılandır.

Şifre çözme neden "yanlış anahtar, yanlış karma ya da bozuk şifreli metin" hatasıyla başarısız oldu? OAEP şifre çözme şu durumlardan herhangi birinde başarısız olur: eşleşen özel anahtar değilse, karma şifreleme tarafından farklıysa, etiket farklıysa ya da bir şifreli metin baytı değiştiyse. Hata kasıtlı olarak tüm durumlar için aynıdır — hangi denetimin başarısız olduğunu açıklamak, kendi başına bir dolgu oracle sızıntısıdır.

Özel anahtardan genel anahtarı alabilir miyim? Evet — özel biçimler de n ve e içerir. Bu sayfa Üret'ten sonra ikisini de gösterir; OpenSSL bunu openssl pkey -in priv.pem -pubout ile yapar.

Üs olarak neden 65537? Asaldır, yalnızca iki 1 biti vardır (hızlı üs alma) ve e=3'ü vuran düşük üs saldırılarından kaçınacak kadar büyüktür. 1990'lardan beri standart seçimdir; "tuhaf" bir üs genellikle zayıf ya da standart dışı bir anahtar anlamına gelir.

Kuantum bilgisayarlar yüzünden RSA öldü mü? Henüz değil — 2048 bitlik bir modülde Shor’un algoritmasını çalıştırabilecek bir makine yok. Ancak 2030'lara kadar gizli kalması gereken veriler şimdiden taşınıyor; PQC hibrit şemaları mühendislik yanıtıdır.

openssl rsautl ne olacak? pkeyutl'ın kullanımdan kaldırılmış atasıdır. Varsayılan olarak v1.5 şifreleme dolgusunu kullanır — emekliye ayrılmasının bir nedeni daha.