Bouncy Castle Generazione di chiavi in ​​mano RSA con Lightweight API

Question

Sorprendentemente, sul Web sono disponibili pochissime informazioni sull'utilizzo dell'API leggera di Bouncy Castle. Dopo aver cercato per un po 'sono stato in grado di mettere insieme un esempio di base:

RSAKeyPairGenerator generator = new RSAKeyPairGenerator(); 
generator.init(new RSAKeyGenerationParameters 
    (
     new BigInteger("10001", 16),//publicExponent 
     SecureRandom.getInstance("SHA1PRNG"),//prng 
     1024,//strength 
     80//certainty 
    )); 

AsymmetricCipherKeyPair keyPair = generator.generateKeyPair(); 

ho una conoscenza di base della RSA e la matematica che succede dietro le quinte, così ho capito che cosa publicExponent e strength sono. Presumo che lo publicExponent si riferisca ad un coprime di phi(pq) e da quello che ho raccolto può essere piccolo (come 3) purché venga usato il padding appropriato. Tuttavia, non ho idea di cosa si riferisca a certainty (qualche posto menzionato potrebbe riferirsi a una percentuale ma voglio essere sicuro). L'uso di SecureRandom è auto-esplicativo. Il numero documentation of RSAKeyGenerationParameters è completamente privo di valore (nessuna sorpresa). La mia unica ipotesi è che abbia qualcosa a che fare con la precisione dei tasti generati, ma di nuovo voglio essere sicuro. Quindi la mia domanda è quali sono i valori appropriati per certainty e publicExponent?

P.S. Si prega di non rispondere con "dipende dal contesto - quanto sicuro si desidera che l'informazione sia". E 'abbastanza sicuro assumere il più alto grado di sicurezza (es. Chiave RSA 4096-bit o superiore) se non diversamente specificato ... Gradirei anche collegamenti a fonti che danno un buon esempio dell'uso dell'API Lightweight di Bouncy Castle (non sono a tutti interessati all'implementazione della JCA o ad alcuni esempi che lo riguardano).

Answer 1

Si stanno utilizzando valori corretti per entrambi.

Il publicExponent deve essere un Fermat Number. 0x10001 (F4) è il valore consigliato corrente. 3 (F1) è noto per essere sicuro anche.

La generazione della chiave RSA richiede numeri primi. Tuttavia, è impossibile generare numeri primi assoluti. Come ogni altra biblioteca crittografica, BC usa probabili numeri primi. La certezza indica in che misura vuoi che il numero sia primo. Qualunque cosa al di sopra degli 80 rallenterà considerevolmente la generazione di chiavi.

Si noti che l'algoritmo RSA funziona ancora nell'improbabile caso in cui il numero primo non sia vero primo perché BC verifica la primità relativa.

Answer 2

avrei dovuto approfondire il loro codice sorgente di essere "certo", ma credo che il parametro certainty viene passata al BigInteger costruttore, che dice: "La probabilità che il nuovo BigInteger rappresenta un numero primo si eccedere (1 - 1/2 ^certezza). Il tempo di esecuzione di questo costruttore è proporzionale al valore di questo parametro. "

Quindi, con un valore di 80, c'è meno di 1 possibilità in 2 che il numero non sia primo. Il commento suggerisce che il tempo di generazione del numero primo è lineare rispetto a questo parametro, ma è necessario verificarlo per accertarsi che si scelga di aumentarlo. Potrebbe essere sensato utilizzare un valore coerente con la dimensione della chiave che si sta utilizzando. Ad esempio, il NIST dice che una chiave RSA a 1024 bit è forte come una chiave simmetrica a 80 bit. Per una chiave RSA a 2048 bit, è possibile utilizzare una certezza di 112 bit (la dimensione simmetrica della forza equivalente) e così via.

Sembra che tu sia a conoscenza della vulnerabilità dell'utilizzo di 3 come esponente pubblico in casi particolari. Il valore 65537 è usato quasi universalmente ora.

Answer 3

Una buona referenza è FIPS PUB 186-3. In particolare, l'appendice B, sezione 3, ha molti parametri di sicurezza, così come algoritmi di prime generazione.certainty è il numero di iterazioni del test di primalità di Miller-Rabin.

Answer 4

See this answer on crypto.stackexchange.com per ulteriori informazioni su come calcolare il valore della certezza.

Anteprima della risposta di Paolo Ebermann:

Certezza di x bit significa che la probabilità che qualcosa (in questo caso p essere primo) non conformi è più piccola di 2-x. Questa è la stessa probabilità di indovinare correttamente un valore di x bit casuale sul primo tentativo di , da cui il nome.

Come selezionare x? Vogliamo che la probabilità di p (e q) di non essere primo sia sufficientemente piccola che una probabilità di errore in questo punto non è più grande di altri modi in cui il sistema potrebbe essere rotto - come indovinare una chiave simmetrica , factoring del modulo ecc.

Quindi qui una tabella di corrispondenza delle dimensioni della chiave simmetrica e asimmetrica dovrebbe aiutare. http://www.keylength.com/ Scegli la stessa certezza principale di come sceglieresti una dimensione della chiave simmetrica che accompagni l'utilizzo della chiave pubblica.