アカウント名:
パスワード:
論文斜め読みした。
まず前提として、4096 bitのRSAの処理には数十ミリ秒かかる。それで、排気口から音を記録すると巨大な数の累乗を計算するルーチンが2回呼ばれているのがはっきりわかる。
鍵(である2つの巨大素数の片方。以下鍵と表記)の上位iビットまでがわかってるとして、次のような暗号文を復号させる。
・i-1ビットまでは鍵と同じ。・iビット目は0。・iビット目以下は全て1。
すると、ループの前にこの暗号文を鍵で割った余りを計算してループに渡すので、鍵のiビット目が1の場合は下位ビットが全て1であるような大きな値でかけ算を2048回繰り返し、0の場合は1と0が混ざった比較的小さい値でかけ算を2048回繰り返す。
この違いが音として現れるとのこと。
それで上位半分のビットがわかれば他の攻撃を使って下位の半分のビットもわかるらしい。
原理としては以上で、実際のGnuPGでやるにはいろいろ細かい工夫が必要らしいけどその辺は読んでない。
対策としては、ループに渡す前に乱数rから作った値(rのe乗。eはRSAの公開鍵の一部)を暗号文にかけておいて、復号後にrで割って戻すらしい。
訳してくれたのはありがたいけど自分のような下っ端で奴隷のコンデンサーの嘆きはそこまで上には伝わらないし
より多くのコメントがこの議論にあるかもしれませんが、JavaScriptが有効ではない環境を使用している場合、クラシックなコメントシステム(D1)に設定を変更する必要があります。
アレゲは一日にしてならず -- アレゲ見習い
論文斜め読み + α (スコア:5, 興味深い)
論文斜め読みした。
まず前提として、4096 bitのRSAの処理には数十ミリ秒かかる。
それで、排気口から音を記録すると巨大な数の累乗を計算するルーチンが2回呼ばれているのがはっきりわかる。
鍵(である2つの巨大素数の片方。以下鍵と表記)の上位iビットまでがわかってるとして、次のような暗号文を復号させる。
・i-1ビットまでは鍵と同じ。
・iビット目は0。
・iビット目以下は全て1。
すると、ループの前にこの暗号文を鍵で割った余りを計算してループに渡すので、鍵のiビット目が1の場合は下位ビットが全て1であるような大きな値でかけ算を2048回繰り返し、0の場合は1と0が混ざった比較的小さい値でかけ算を2048回繰り返す。
この違いが音として現れるとのこと。
それで上位半分のビットがわかれば他の攻撃を使って下位の半分のビットもわかるらしい。
原理としては以上で、実際のGnuPGでやるにはいろいろ細かい工夫が必要らしいけどその辺は読んでない。
対策としては、ループに渡す前に乱数rから作った値(rのe乗。eはRSAの公開鍵の一部)を暗号文にかけておいて、復号後にrで割って戻すらしい。
Re: (スコア:0)
訳してくれたのはありがたいけど
自分のような下っ端で奴隷のコンデンサーの嘆きはそこまで上には伝わらないし