0

Alguém pode me ajudar a interpretar essa parte? de MTProto

Antes de uma mensagem (ou uma mensagem concatenada) que estão sendo transmitidos em uma rede usando um protocolo de transporte, que é criptografada de uma certa maneira, e um cabeçalho externo é adicionado na parte superior da mensagem que é: um identificador de chave de 64 bits ( que identifica de forma única uma chave de autorização para o servidor, bem como o utilizador) e uma chave de mensagem de 128 bits.

Uma chave de usuário junto com a chave da mensagem definir uma real chave de 256 bits e um vetor de inicialização de 256 bits, que é o que criptografa a mensagem usando criptografia AES-256, com extensão garble infinito (IGE). Note-se que a parte inicial da mensagem seja criptografado contém dados variáveis ​​(sessão, ID da mensagem, número de seqüência, sal servidor) que obviamente influencia a chave da mensagem (e, portanto, a chave AES e iv). A chave da mensagem é definido como os 128 bits de ordem inferior do SHA1 do corpo da mensagem (incluindo sessão, mensagem de ID, etc.) mensagens de várias partes são criptografadas como uma única mensagem.

Estou tentando entender essas partes em negrito, para poder entender como eles conseguem variar as chaves de encriptação, segue as duvidas na ordem respectiva.

  • Ok, imagino que esse cabeçalho nao seja criptografado (), esse identificador é como se fosse uma chave única entre servidor e usuario para realizar a autenticaçao (), o que é essa chave de mensagem?

  • ele junta essas duas chaves? tipo A + B = AB? Essa chave de usuario é o identificador de chave?

  • Sim, ele varia por causa dos "sessão, ID da mensagem, número de seqüência, sal servidor" (*)

  • ESSA É A PARTE QUE REALMENTE NAO ENTENDO, alguém me explica? ordem inferiro do sha1 do corpo da mensagem? Oi?

(*) = Me corrijam se eu estiver errado.

1 Resposta 1

2

Disclaimer: o texto a que você se refere é uma descrição do que o protocolo faz, sem indicar a motivação por trás do mesmo. Essa resposta segue na mesma linha.

Segundo este diagrama na documentação oficial:

Diagrama do fluxo da criptografia

Cada mensagem não usa a chave persistente diretamente, e sim uma nova chave derivada da mesma. Ambos os participantes possuem essa chave, mas há um outro parâmetro, variável, que é usado no processo de derivação, e que a outra parte (o destinatário) não tem acesso. Sendo assim, para que o destinatário seja capaz de decifrar a mensagem, é necessário passar para ele os parâmetros usados na encriptação, para que ele possa derivar a mesma chave e então usá-la. Isso é feito usando-se um cabeçalho externo, não criptografado:

Antes de uma mensagem (ou uma mensagem concatenada) que estão sendo transmitidos em uma rede usando um protocolo de transporte, que é criptografada de uma certa maneira, e um cabeçalho externo é adicionado na parte superior da mensagem que é: um identificador de chave de 64 bits ( que identifica de forma única uma chave de autorização para o servidor, bem como o utilizador) e uma chave de mensagem de 128 bits.

Assim, o destinatário recebe a informação de qual chave secreta deve ser usada, e que parâmetro não secreto (a "chave de mensagem", que não deveria ser chamada de "chave", mas enfim...) deve ser usado junto a ela para derivar a chave verdadeira. Com isso ele pode refazer a chave usada para decifrar os dados encriptados.

Uma chave de usuário junto com a chave da mensagem definem uma real chave de 256 bits e um vetor de inicialização de 256 bits, que é o que criptografa a mensagem usando criptografia AES-256, com extensão garble infinito (IGE).

O KDF ("função derivadora de chaves") usado então na chave secreta e "chave" de mensagem deriva a chave de descriptografia. Entretanto, em vez de se usar um IV ("vetor de inicialização") aleatório - o mais usual - ele usa o próprio KDF para derivar o IV também. Não tenho conhecimento suficiente para opinar sobre isso, mas segundo essa resposta a uma pergunta antiga minha no security.SE, a saída de um KDF é boa o suficiente para produzir duas chaves distintas - o que me leva a concluir que ela também é boa o suficiente para derivar um IV (já que este possui características de segurança mais "relaxadas" que as de uma chave - apenas tem de ser único, não secreto).

IGE é um modo de operação, usado para transformar um cifra de bloco (como o AES) numa cifra de fluxo. Cifras de bloco atuam em blocos simples de um tamanho fixo (128 bits no caso do AES), cifras de fluxo encriptam dados de tamanho arbitrário.

Note-se que a parte inicial da mensagem seja criptografado contém dados variáveis ​​(sessão, ID da mensagem, número de seqüência, sal servidor) que obviamente influencia a chave da mensagem (e, portanto, a chave AES e iv).

Está simplesmente dizendo que se você mexer qualquer coisa na mensagem - inclusive nos seus metadados - a "chave" de mensagem vai mudar (já que ela é um hash de tudo isso). O que é bom, pois evita replay attacks (como já explicado por Maniero na sua pergunta relacionada). Duas mensagens iguais, mas enviadas em momentos diferentes (e portanto com timestamps diferentes) serão encriptadas de modo diferente, não dando nenhuma informação útil ao atacante.

A chave da mensagem é definido como os 128 bits de ordem inferior do SHA1 do corpo da mensagem (incluindo sessão, mensagem de ID, etc.) mensagens de várias partes são criptografadas como uma única mensagem.

Como já explicado, a mensagem e seus meta-dados são hasheadas para derivar a "chave" de mensagem. O hash SHA-1 possui uma saída de 160 bits, mas apenas os 128 bits "da direita" (os de ordem inferior/ordem mais baixa) são usados (ex.: "2fd4e1c6 7a2d28fc ed849ee1 bb76e739 1b93eb12").


Respondendo às suas dúvidas específicas (que ainda não foram cobertas na explicação acima):

ele junta essas duas chaves? tipo A + B = AB?

Sim ele junta, mas não através de uma operação aritmética simples, mas sim fornecendo ambas como entrada para um KDF. Isso é para garantir o efeito avalanche - a mudança de um única bit seja em uma chave ou na outra deve fazer com que todos os bits da saída tenham 50% de chance de mudar.

Essa chave de usuario é o identificador de chave?

Se a criptografia é end-to-end, então assume-se que cada participante da comunicação possua um segredo compartilhado, desconhecido pelo(s) intermediário(s). Podem existir mais de um segredo. Então cada mensagem indica qual a chave que foi usada nessa mensagem, para que o destinatário possa decriptá-la.

11
  • Agora estou em dúvida se são os bytes da esquerda ou da direita na representação hexadecimal... Endian me confunde... :P
    – mgibsonbr
    Commented 14/02/2015 às 17:45
  • Oi, te respondo com mais perguntas haha (me desculpe), quando diz que cada mensagem não é encriptada com a chave persistente queres dizer que ele não usa a chave DH que ele criou na conversa diretamente. Certo? Poderia me dar um exemplo simples disso?
    – Elaine
    Commented 14/02/2015 às 17:50
  • @user3715916 Vou chamar a chave DH de dh. Em vez dele estabelecer um iv separado e fazer AES(dh,iv,mensagem) ele faz chave,iv = KDF(dh + msg_key) e depois AES(chave,iv,msg_key). Ou seja, ele não usa a chave DH diretamente, e sim indiretamente.
    – mgibsonbr
    Commented 14/02/2015 às 18:21
  • Mas se ele passa o parâmetro pro outro, essa proteção não pode ser considerada nula? Sendo que vai passar pela rede..
    – Elaine
    Commented 14/02/2015 às 18:56
  • 1
    "server salt" se traduz para "sal do servidor", ou seja, um sal que vem do servidor. Sobre o que é o sal, acho que isso merece uma pergunta separada, não? Mas para uma referência rápida, nessa resposta se menciona o sal e se explica brevemente sua utilidade. Não sei se Chosen-Plaintext Attack é bem isso que você falou, mas de qualquer forma essa discussão em comentários já está por demais extensa... Por que não abre uma nova pergunta, como a que você fez para Chosen-Ciphertext Attack?
    – mgibsonbr
    Commented 15/02/2015 às 4:58

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .