Hoe veilig is RSA zonder padding?

[Verwijderd]

(Ik hoop dat dit het juiste forum is)

Ik ben RSA aan het implementeren in een nogal trage en niet-al-te-potente omgeving. Daardoor ben ik geneigd om geen padding-algoritme (zoals OAEP) mee te implementeren, omdat dit misschien nodeloos nog meer vertraging zal geven. Vandaar ook mijn vraag:

Hoe veilig is RSA zonder padding?

Merk op dat ik hier RSA slechts wil gebruiken voor verificatie van digitale signatures, en dat het eigenlijk niet superveilig hoeft te zijn, aangezien er een andere methode is die waarschijnlijk simpeler is om de beveiliging te doorbreken, namelijk gewoon mijn code decompilen en het verificatie-algoritme veranderen zodat het altijd "geverifieerd" teruggeeft.

Nog een vraag: als het niet veilig is, op welk vlak dan? Wil dit dan zeggen dat een attacker een willekeurig document kan laten verifiëren door een ongewijzigde versie van mijn programma?

[Voutloos]

Wil dit dan zeggen dat een attacker een willekeurig document kan laten verifiëren door een ongewijzigde versie van mijn programma?

Nee, want door het decompileren van de software komt de hacker nog niet de private key te weten.

In de RSA Wiki staat bij de sectie 'padding schemes' vrij duidelijk wanneer RSA zonder padding minder veilig is, namelijk bij kleinere berichten en als de berichten voorspelbaar zijn, zodat iemand een dictionary kan opbouwen.

[Verwijderd]

Voutloos schreef op zaterdag 13 januari 2007 @ 18:32:
[...]
Nee, want door het decompileren van de software komt de hacker nog niet de private key te weten.

Ik bedoel wanneer geen padding gebruikt wordt.

In de RSA Wiki staat bij de sectie 'padding schemes' vrij duidelijk wanneer RSA zonder padding minder veilig is, namelijk bij kleinere berichten en als de berichten voorspelbaar zijn, zodat iemand een dictionary kan opbouwen.

Bedankt!
In de wiki worden kleinere berichten gespecifieerd als een of twee ASCII karakters. Alhoewel mijn plaintext ook wel klein zal zijn, zal deze toch een 15-tal karakters hebben. Ik weet niet of dit ook nog als klein beschouwd wordt?

Voorspelbaar zal deze wel zijn spijtig genoeg. Dus toch maar beter padding gebruiken? Jammer, daar gaan weer een honderd milliseconden...

[Voutloos]

Het is niet zo moeilijk om je bericht iets langer te maken. Als je nu alleen '<text>hello world</text>' stuurt, kan je net zo goed '<text>hello world</text><time>$timestamphier</time>' sturen.

Dankzij die timestamp zal niet elk bericht met dezelfde text hetzelfde bericht in ciphertext opleveren, de andere partij kan weten wanneer je het bericht gesigneerd hebt en iemand anders kan geen dictionary opbouwen.
Verder is OAEP een beetje hashen en XOR'en en dat zijn niet zo dure operaties op een kleine message, dus wellicht kost dat zelfs op je 'niet-al-te-potente omgeving' geen 0,1s.

[ Voor 17% gewijzigd door Voutloos op 14-01-2007 10:58 ]