TÓM TẮT TIÊU CHUẨN QUỐC GIA TCVN 11367-2:2016 (ISO/IEC 18033-2:2006) VỀ CÔNG NGHỆ THÔNG TIN – CÁC KỸ THUẬT AN TOÀN – THUẬT TOÁN MẬT MÃ – PHẦN 2: MẬT MÃ PHI ĐỐI XỨNG

Tiêu chuẩn quốc gia TCVN 11367-2:2016 hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 18033-2:2006. Tiêu chuẩn này quy định các khía cạnh kỹ thuật, thuật toán và phân tích tính an toàn đối với hệ thống mật mã phi đối xứng, cơ chế bọc khóa (KEM), cơ chế bọc dữ liệu (DEM) và mật mã lai ghép (HC). Dưới đây là nội dung tóm tắt chi tiết và chuyên sâu về các quy định cốt lõi và phân tích an toàn mật mã được nêu trong văn bản.

1. Mô hình an toàn của các thuật toán mật mã đối xứng và phi đối xứng

• Mã khối (BC): Được định nghĩa là một hoán vị giả ngẫu nhiên nếu kẻ tấn công có truy cập tiên tri không thể phân biệt được hoán vị ngẫu nhiên của xâu bộ tám với hoán vị được tạo ra bởi mã khối dưới một khóa bí mật ngẫu nhiên. Ưu thế đoán thành công của kẻ tấn công hiệu quả phải gần bằng 1/2 với sai số không đáng kể. Tiêu chuẩn cho phép sử dụng các mã khối được mô tả trong ISO/IEC 18033-3.
• Mã đối xứng (MC): Tiêu chuẩn xem xét mô hình tấn công "đơn bản rõ" (đủ cho cơ chế bọc dữ liệu an toàn) và các mô hình mạnh hơn như tấn công "chọn bản rõ" (đa bản rõ) và tấn công "chọn bản mã" (kẻ tấn công có được kết quả giải mã các bản mã đã lựa chọn).
• An toàn của SC1 và SC2:
  • SC1: Sử dụng chế độ móc xích mã khối (CBC) với giá trị khởi đầu (IV) cố định, được chứng minh là an toàn chống lại tấn công "đơn bản rõ". Lược đồ bộ đệm (padding) đóng vai trò an toàn trong mã hóa CBC chỉ khi xem xét các tấn công chọn bản mã.
  • SC2: Hiện chưa có phép quy dẫn hình thức nào quy tính an toàn của SC2 về các cơ chế khác, nhưng có thể coi là an toàn nếu mô hình hóa hàm dẫn xuất khóa (KDF) như một tiên tri ngẫu nhiên.
• Mật mã phi đối xứng (AC): Định nghĩa an toàn dựa trên kịch bản tấn công "chọn bản mã phù hợp" (adaptive chosen ciphertext attack) qua 5 bước tương tác giữa kẻ tấn công, tiên tri giải mã và tiên tri mã hóa. Tính an toàn yêu cầu ưu thế của mọi kẻ tấn công hiệu quả là không đáng kể. Khái niệm này kéo theo đặc tính "không dễ uốn" (non-malleability), tức là khó biến đổi một cặp nhãn/bản mã thành một cặp khác có liên quan đến bản rõ ban đầu.
• Che giấu độ dài bản rõ: Đối với một số hệ mật, độ dài bản rõ có thể bị lộ qua độ dài bản mã. Tiêu chuẩn lưu ý việc thiết kế ứng dụng cần đảm bảo độ dài bản rõ không để lộ thông tin nhạy cảm.
• Tính dễ bị uốn nhẹ (Benign Malleability): Là khái niệm an toàn yếu hơn một ít, cho phép tạo ra các bản mã khác nhau của cùng một bản rõ nhưng các bản mã này dễ dàng bị nhận dạng là bản thay thế của nhau thông qua một thuộc tính tương đương (equivalence predicate).

2. Các cơ chế bọc khóa (KEM) và bọc dữ liệu (DEM)

• Cơ chế bọc khóa (KEM): Đảm bảo an toàn chống lại tấn công chọn bản mã thích hợp. Kẻ tấn công phải phân biệt được khóa thực sự được bọc trong bản mã với một khóa ngẫu nhiên. Tiêu chuẩn cũng định nghĩa tính dễ uốn nhẹ cho KEM tương tự như đối với mật mã phi đối xứng.
• Cơ chế bọc dữ liệu (DEM): Đảm bảo an toàn dựa trên việc kết hợp mã đối xứng (SC) và thuật toán xác thực thông báo (MA).
• An toàn của DEM1, DEM2 và DEM3:
  • DEM1: Được tham số hóa bởi mã đối xứng SC và thuật toán xác thực thông báo MA. Độ an toàn được bảo đảm nếu SC và MA đều an toàn. Ưu thế tấn công DEM1 được giới hạn bởi tổng ưu thế tấn công SC và ưu thế tấn công MA.
  • DEM2: Tương tự DEM1 nhưng có tính đến độ dài nhãn (LabelLen).
  • DEM3: Độ an toàn phụ thuộc trực tiếp vào tính an toàn của thuật toán xác thực thông báo MA.
• Mật mã lai ghép (HC): Kết hợp cơ chế bọc khóa KEM và cơ chế bọc dữ liệu DEM. Nếu KEM và DEM an toàn thì hệ mật lai ghép HC cũng an toàn. Nếu KEM dễ uốn nhẹ thì HC cũng dễ uốn nhẹ với cùng giới hạn an toàn.

3. Các giả thuyết toán học về tính khó trong các nhóm cụ thể

Tiêu chuẩn dựa trên các bài toán toán học khó sau đây trong nhóm cụ thể G để thiết lập tính an toàn cho các thuật toán:

• Bài toán tính toán Diffie-Hellman (CDH): Cho trước các phần tử xg và yg, yêu cầu tính xy.g với x, y ngẫu nhiên. Giả thuyết CDH phát biểu rằng đây là bài toán khó giải đối với mọi thuật toán hiệu quả.
• Bài toán quyết định Diffie-Hellman (DDH): Yêu cầu phân biệt giữa bộ ba ngẫu nhiên (xg, yg, zg) và bộ ba Diffie-Hellman (xg, yg, xy.g). Giả thuyết DDH phát biểu rằng ưu thế phân biệt của kẻ tấn công là không đáng kể đối với các thuật toán hiệu quả.
• Bài toán Gap-CDH: Là bài toán giải CDH khi được hỗ trợ bởi một tiên tri giải quyết bài toán DDH. Giả thuyết Gap-CDH coi bài toán này là khó.

4. Phân tích tính an toàn của các cơ chế KEM cụ thể

• ECIES-KEM: Được chứng minh là an toàn trong mô hình tiên tri ngẫu nhiên (nơi KDF được mô hình hóa như tiên tri ngẫu nhiên) dựa trên giả thuyết Gap-CDH.
  • Nếu cấu hình tham số có SingleHashMode = 0 và tổng các chế độ kiểm tra (CheckMode, CofactorMode, OldCofactorMode) lớn hơn 0, hệ thống đạt mức an toàn chống tấn công chọn bản mã.
  • Nếu SingleHashMode = 1, hệ thống chỉ đạt tính dễ uốn nhẹ và phép quy dẫn an toàn kém chặt chẽ hơn, đặc biệt là trong mô hình đa bản rõ.
  • Nếu tổng các chế độ kiểm tra bằng 0, độ an toàn bị suy giảm đáng kể và chỉ nên dùng khi tham số v rất bé.
• PSEC-KEM: Được chứng minh an toàn trong mô hình tiên tri ngẫu nhiên dựa trên giả thuyết CDH. Tính an toàn không bị suy giảm đáng kể trong mô hình đa bản rõ.
• ACE-KEM: Được chứng minh là an toàn dựa trên giả thuyết DDH mà không cần mô hình tiên tri ngẫu nhiên, thay vào đó dựa trên các giả thiết chuẩn tắc về hàm dẫn xuất khóa (KDF) và hàm băm (kháng xung đột tiền ảnh thứ hai). Tiêu chuẩn khuyến nghị việc thực thi giải mã ACE-KEM.Decrypt không được để lộ nguyên nhân sai sót để tránh làm mất giá trị của chứng minh an toàn dựa trên DDH.

5. Các thuật toán dựa trên RSA và phép bình phương modulo

• Bài toán ngược RSA: Cho trước n, e và x, yêu cầu tìm y sao cho y^e ≡ x (mod n). Giả thuyết RSA khẳng định bài toán này là khó đối với các thuật toán hiệu quả.
• RSAES (Mật mã độ dài bản rõ hạn chế): Được phân tích trong mô hình tiên tri ngẫu nhiên. RSAES đạt tính chất "nhận thức bản rõ" (plaintext awareness) nhưng chỉ tương đương mức an toàn chống tấn công thời gian ăn trưa, không tự động chống lại tấn công chọn bản mã hoàn toàn trừ khi số mũ e rất nhỏ (như e = 3). Việc thực thi giải mã (REM1.Decode) phải cực kỳ cẩn thận để không lộ nguyên nhân sai sót, tránh các tấn công thực thi thực tế.
• RSA-KEM: An toàn trong mô hình tiên tri ngẫu nhiên dựa trên độ khó của bài toán ngược RSA. Phép quy dẫn an toàn của RSA-KEM là hoàn toàn chặt chẽ (khác với RSAES) và không bị suy giảm trong mô hình đa bản rõ nhờ tính tự quy dẫn ngẫu nhiên của RSA. RSA-KEM cũng không dễ bị tổn thương trước các tấn công thực thi.
• HIME(R): An toàn chống lại tấn công chọn bản rõ phù hợp trong mô hình tiên tri ngẫu nhiên, dựa trên giả thiết về tính khó của việc phân tích số nguyên lớn được tạo ra bởi thuật toán tạo khóa HIMEKeyGen.

6. Cấu trúc phụ lục và tài liệu tham khảo của tiêu chuẩn

• Phụ lục A (Quy định): Xác định cú pháp ASN.1 cho các bộ định danh đối tượng (Object Identifiers) được sử dụng trong tiêu chuẩn.
• Phụ lục B (Tham khảo): Trình bày chi tiết các phân tích và chứng minh tính an toàn mật mã (như đã tóm tắt ở trên).
• Phụ lục C (Tham khảo) - Các véc tơ kiểm tra: Cung cấp các véc tơ kiểm tra (test vectors) cho các cơ chế bọc dữ liệu (DEM1), bọc khóa (ECIES-KEM, PSEC-KEM, ACE-KEM, RSA-KEM), mật mã phi đối xứng (RSAES, HIME(R)) và mật mã lai ghép (HC) trên các nhóm toán học khác nhau như Modp, ECModp (P192), ECGF2 (B163).
• Thư mục tài liệu tham khảo: Liệt kê 42 tài liệu khoa học và tiêu chuẩn quốc tế liên quan (như các tiêu chuẩn ISO/IEC 10116, 10118, 11770, 15946, 18031, 18032, 18033-1 và các công trình nghiên cứu mật mã kinh điển của Bellare, Rogaway, Cramer, Shoup, Okamoto, v.v.).