Sifrat maleable

Un esquema de sifrat és maleable (en anglés malleable) si conegut un text sifrat $c_i$ es pot fàcilment crear un atre text sifrat $c_j$ tal que el resultat de dessifrar $c_i$ ($d_k(c_i)$) i el resultat de dessifrar $c_j$ ($d_k(c_j)$) tenen una relació

Este concepte va ser introduït en 1991 per D. Dolev, Dwork i J. L. Carter.

Implicacions

La maleabilidad d'un sifrat permet, sense saber la clau, alterar el text sifrat per a conseguir canviar el significat del text pla. D'esta forma podem canviar el significat. Açò és aprofitat en alguna aplicació (Ej. protocol Off-the-Record) per a que el còdic sifrat no puga ser usat com a prova de que eixe mensage ha segut enviat per un coneixedor de la clau secreta. En estes aplicacions es vol tindre la prova de que qualsevol pot generar un còdic sifrat concret. Tècnicament no és un sifrat negable, pero el seu negabilidad es referix a l'impossibilitat de que una tercera part prove l'autenticitat del mensage.

Un mensage sifrat en este tipo de sifrat no prova de cap forma l'integritat o l'autenticitat, En els sistemes de sifrat no-maleables és difícil, sense conéixer la clau, produir texts sifrats que en dessifrar produïxquen text pla en significat. Qualsevol canvi que un atacant poguera realisar en el text sifrat, en dessifrar normalment tindria com resultat un text pla en bits aleatoris en lloc de text pla en significat en el context. Açò es podria aprofitar com a tècnica d'autenticació (Ej. Protocol de Needham-Schroeder) encara que és una pràctica molt pobra, ya que hi ha atacs que poden trencar este tipo de protecció. No obstant en alguns casos és difícil aplicar este tipo d'atacs.

Eixemples

El cifrador de fluix one-clave-pad sifra el text pla fent un XOR en una clau. Per a dessifrar torna a aplicar la funció XOR. Este tipo de sifrat és maleable ya que un canvi en qualsevol bit en el text sifrat es correspondrà en un canvi en el corresponent bit del text pla. Per tant si un atacant obté o pot endevinar el text pla, llavors este atacant pot compondre el text sifrat per a qualsevol atre mensage de la mateixa llongitut sense conéixer la clau privada. Usant notació matemàtica:

Si $k$ és la clau secreta i $E(m)=m\oplus S(k)$ és el text sifrat. Un adversari pot construir un sifrat de $m\oplus t$ per a qualsevol $t$, en $E(m)\oplus t=m\oplus t\oplus S(k)=E(m\oplus t)$.

En el criptosistema RSA, un text pla $m$ és sifrat com $E(m)=m^{e}modn$ a on $(e,n)$ és la clau pública. Donat un text sifrat, un adversari pot construir un sifrat de $mt$ per a qualsevol $t$, fent $E(m)\cdot t^{e}modn=(mt{)}^{e}modn=E(mt)$. Per esta raó, RSA és comunament usat junt en un esquema de farcidura com OAEP o PKCS1.

El sifrat ElGamal, un text pla $m$ és sifrat en $E(m)=(g^b,m{A}^b)$, a on $(g,A)$ és la clau pública. Donat un text sifrat $(c_1,c_2)$, un adversari pot trobar $(c_1,t\cdot c_2)$, el qual és un sifrat vàlit de $tm$, per a qualsevol $t$.

El sifrat Cramer-Shoup (basat en el sifrat ElGamal) no és maleable.

En el sistema criptográfico Paillier, sifrat ElGamal, i RSA, és possible combinar varis texts sifrats junt de certa forma per a produir un text sifrat relacionat. En el sistema criptográfico Paillier, donada solament la clau pública i un sifrat de $m_1$ i $m_2$, es pot calcular un sifrat vàlit de la seua suma $m_1+m_2$. En el sifrat ElGamal i RSA, es poden combiar sifrat de $m_1$ i $m_2$ per a obtindre un sifrat vàlit del seu producte $m_1{m}_2$.