Đường Cong448
Curve448 là một đường cong Edward được xác định trên một số nguyên tố Solinas $p = 2^{448} â 2^{224} â 1$ với phương trình $$x^2+y^2 = 1-39081x^2y^2$$
Điểm cơ bản
điểm cơ sở $G$ của Curve448 có thứ tự nguyên tố là Curve25519. Nó có đồng sáng lập $h=4$ điều này có nghĩa là $$h = \dfrac{|\#E|}{ord(G)}$$ Lệnh của $G$ Là $$\đơn hàng nhỏ(G) = 2^{446} - 13818066809895115352007386748515426880336692474882178609894547503885$$
PTDH
Bây giờ hãy chuyển sang ECDH trong đó Alice có khóa riêng (số nguyên) $k_A$ và khóa công khai $[k_A]G$ (một điểm trên đường cong) và Bob có khóa riêng $k_B$ và khóa công khai là $[k_B]G$.
Khi Alice và Bob trao đổi khóa công khai, điều gì sẽ xảy ra (không tính đến người đàn ông ở giữa)? Dưới đây;
$$[k_A k_B]G$$
Vì vậy, miễn là điểm cơ sở là chính xác, bất kỳ giá trị 56 byte nào từ khóa chung hợp lệ. Không cần xác nhận vì chúng tôi có
$$[k_A]G = [k_A \bmod \operatorname{ord}(G)]G$$
$$[k_A k_B]G = [k_A k_B \bmod \operatorname{ord}(G)]G$$
Chúng tôi sẽ không xem xét sự kiện không bao giờ xảy ra của hai người dùng sẽ có cùng khóa riêng.
Tấn công nhóm nhỏ
Thế còn Bob thực hiện một cuộc tấn công nhóm nhỏ (Các cuộc tấn công nhóm nhỏ tích cực LimâLee)?
Trong cuộc tấn công nhóm nhỏ, kẻ tấn công Bob chọn một đơn đặt hàng nhỏ $P$ là điểm công khai mà logarit rời rạc dễ dàng.Trong giao thức, người dùng hợp pháp Alice sẽ tiết lộ $[k_A]P$ cho kẻ tấn công. Bây giờ, kẻ tấn công có thể tìm hiểu bao nhiêu thông tin về $k_A$ từ $[K_A]P$?
- Câu trả lời được đưa ra như thông tin được tiết lộ bởi $[K_A]P$ nhiều nhất là $\lceil log_2 h\rceil$ chút ít.
Vì đồng sáng lập là 4, nên một người sẽ chỉ tiết lộ tối đa hai bit của khóa riêng tư. Nếu bạn sợ mất 2 bit từ 224 là nguy hiểm thì hãy xác thực rằng $P$ không có thứ tự 2 hoặc 4 bằng cách kiểm tra $[4]P \overset{?}{=}\mathcal{O}$
Bảo mật xoắn
Vòng xoắn của Curve448 có $4$ với tư cách là đồng sáng lập, vì vậy nó có xoắn an toàn, quá.
Lưu ý: trong bài viết này Kiến trúc được tối ưu hóa cho Mật mã đường cong Elliptic trên Curve448 đề cập rằng
Hơn nữa, các khóa công khai của Curve448 khá ngắn và không yêu cầu xác thực miễn là bí mật được chia sẻ kết quả khác không
và Mike Hamburg đã biết về bài báo này trước khi xuất bản vì trong Lời cảm ơn
Ngoài ra, chúng tôi cảm ơn Mike Hamburg vì những nhận xét mang tính xây dựng của anh ấy
