Engangsblokk (One-Time Pad, OTP)

OTP er det eneste kryptosystemet med bevist perfekt sikkerhet (Shannon, 1949). Nøkkelen er en ekte tilfeldig bitstreng med samme lengde som meldingen:

$$C = P \oplus K, \quad P = C \oplus K$$

Betingelser for perfekt sikkerhet:

Nøkkelen er ekte tilfeldig (ikke pseudo-tilfeldig)
Nøkkelen er like lang som meldingen
Nøkkelen brukes kun én gang
Nøkkelen holdes hemmelig

Ulemper: OTP er upraktisk fordi nøkkel-distribusjonsproblem er like vanskelig som å distribuere meldingen selv. Brukes i situasjoner der absolutt sikkerhet er nødvendig (f.eks. diplomatisk kommunikasjon).

Angrep ved gjenbruk: Hvis samme nøkkel $K$ brukes på $P_1$ og $P_2$: $C_1 \oplus C_2 = P_1 \oplus P_2$. Statistiske egenskaper i naturlig tekst gjør at angriperen kan gjette begge (crib-dragging).

Pseudotilfeldige tallgeneratorer (PRNG)

En PRNG tar et kort «seed» og utvider det til en lang pseudotilfeldig bitstreng. For kryptografi kreves en kryptografisk sikker PRNG (CSPRNG):

Uforutsigbarhet fremover: Gitt $k$ output-bit, er det beregningsmessig ugjørlig å forutsi bit nummer $k+1$.
Bakover-sikkerhet: Gitt output, kan man ikke rekonstruere tidligere output.

Eksempler på CSPRNG: HMAC-DRBG (brukt i OpenSSL), CTR-DRBG (NIST SP 800-90A).

Usikre PRNG: Standard $\text{rand()}$ i C og $\text{Math.random()}$ i Java er ikke kryptografisk sikre og skal aldri brukes i kryptografiske sammenhenger.

Strømchiffer

Et strømchiffer genererer en keystream fra nøkkel og nonce via CSPRNG, og XOR-er denne med klarteksten byte for byte:

$$C_i = P_i \oplus \text{keystream}_i$$

Dette er i essens OTP med en PRNG i stedet for ekte tilfeldig nøkkel.

RC4: Historisk mye brukt (WEP, SSL/TLS). Har multiple svakheter: de første bytene i keystreamen er statistisk skjevfordelt. Forbud i TLS siden RFC 7465 (2015).

ChaCha20: Moderne strømchiffer av D. J. Bernstein. Basert på ARX-operasjoner (add-rotate-XOR). Brukes i TLS 1.3 og WireGuard. Resistent mot timing-angrep fordi ingen S-boks-oppslag (ingen cache-timing-lekkasje).

Eksempel 1 — OTP nøkkelgjenbruk-angrep

Angriperen observerer $C_1 = \texttt{0xAF3D}$ og $C_2 = \texttt{0xBC2A}$, begge kryptert med samme nøkkel $K$. Hva avslører dette?

$C_1 \oplus C_2 = \texttt{0xAF3D} \oplus \texttt{0xBC2A} = \texttt{0x1317}$

Dette er $P_1 \oplus P_2$. Angriperen vet ikke $P_1$ isolert, men statistiske egenskaper i (engelsk/norsk) tekst gjør at crib-dragging kan gjette begge.

Eksempel 2 — Kjent-klartekst gir keystream (synkront strømchiffer)

Et utsnitt av chifferteksten fra et binært synkront strømchiffer er $01000$. Angriperen vet at klarteksten var $00101$. Hva er det tilsvarende utsnittet av keystreamen, og hva avslører dette?

Siden $C = P \oplus KS$, er $KS = P \oplus C = 00101 \oplus 01000 = 01101$.

Kjent-klartekst-angrep avslører nøyaktig de keystream-bitene som dekker den kjente delen — men INGENTING om resten av keystreamen (den er uavhengig). Dette er essensen i hvorfor OTP/synkront strømchiffer kun lekker «en del av keystreamen» ved kjent-klartekst, ikke hele.

Studieguide: Strømchiffer, PRNG og engangsblokk