Poziom: ocena 4.0 - programistyczna i statystyczna analiza w środowisku Linux / Python

Zestaw 10 zaawansowanych zadań laboratoryjnych do wykonania w trakcie zajęć (90–100 minut).
Kierunek: Informatyka, semestr 7, przedmiot: Kryptologia.
Podstawa materiałowa: wykład część 3 (kryptografia symetryczna - nowoczesne algorytmy i funkcje skrótu).

1. 01.Skryptowa analiza propagacji błędów w trybach blokowych CBC, CFB i CTR w Pythonie
2. 02.Kryptoanalityczny atak bit-flipping na nieautoryzowany szyfrogram w trybie CTR
3. 03.Modelowanie czterech transformacji rundy AES w Pythonie na oficjalnych wektorach FIPS 197
4. 04.Implementacja procedury rozszerzania klucza AES i badanie generacji podkluczy rundowych
5. 05.Konstrukcja i analiza operacji Quarter Round szyfru ChaCha20 w oparciu o architekturę ARX
6. 06.Statystyczny pomiar współczynnika dyfuzji i spełnienia kryterium SAC dla MD5, SHA-1 i SHA-256 w Pythonie
7. 07.Praktyczna demonstracja podatności ataku dołączenia długości na SHA-256
8. 08.Empiryczne badanie kolizji skrótów w przestrzeniach zredukowanych w Pythonie
9. 09.Benchmark wydajnościowy algorytmów symetrycznych i funkcji skrótu w narzędziu OpenSSL Speed
10. 10.Implementacja ataku słownikowego z solą na skróty haseł i analiza kosztu obliczeniowego w Pythonie

Cel

Celem zadania jest zbadanie mechanizmu propagacji błędów w trybach pracy szyfrów blokowych przy użyciu skryptu w języku Python w środowisku konsolowym Linux. Student analizuje, w jaki sposób przekłamanie pojedynczego bitu w szyfrogramie niszczy dane w trybie CBC, jak propaguje się w trybie CFB oraz dlaczego tryb CTR wykazuje całkowity brak propagacji błędu.

Scenariusz – opis

W rzeczywistych kanałach telekomunikacyjnych transmitowane dane są narażone na zakłócenia, w wyniku których pojedyncze bity szyfrogramu ulegają przekłamaniu. Wpływ takiego błędu na odszyfrowany tekst jawny zależy fundamentalnie od wybranego trybu pracy szyfru blokowego. W trybie CBC odwrócenie jednego bitu w bloku C_n powoduje całkowite zniszczenie (losowy szum) bloku P_n oraz przekłamanie dokładnie odpowiadającego bitu w bloku P_(n+1). W trybie strumieniowym CTR odwrócenie bitu w szyfrogramie powoduje przekłamanie wyłącznie jednego, odpowiadającego mu bitu tekstu jawnego. W tym ćwiczeniu przygotujesz program w języku Python w terminalu JSLinux Alpine, który dokona automatycznej analizy propagacji błędów na spreparowanych danych. Jako podstawowy algorytm szyfrujący wykorzystasz AES-128 z biblioteki standardowej lub modułu kryptograficznego.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine (bellard.org/jslinux/vm.html?cpu=x86_64&url=alpine-x86_64.cfg&mem=256).
2. Uruchom edytor tekstu (nano lub vi) i utwórz plik skryptu: nano error_prop.py.
3. Zaimplementuj w Pythonie prostą obsługę szyfrowania AES lub wykorzystaj moduł openssl przez subprocess.
4. Zdefiniuj wiadomość o długości 48 bajtów podzieloną na trzy czytelne bloki po 16 bajtów.
5. Zaszyfruj wiadomość w trybie CBC przy użyciu stałego klucza i wektora IV.
6. Wprowadź funkcję modyfikującą k-ty bit w zadanym bajcie szyfrogramu: data[idx] ^= (1 << bit).
7. Zmodyfikuj bit w bloku drugim (bajt 20, bit 3) i odszyfruj zmodyfikowany szyfrogram.
8. Oblicz odległość Hamminga między oryginalnym a zdeszyfrowanym tekstem dla każdego z trzech bloków z osobna.
9. Wypisz w konsoli zdeszyfrowane bloki w formacie hex oraz ascii, uwypuklając uszkodzenia.
10. Zaimplementuj analogiczne szyfrowanie i modyfikację bitu dla trybu CTR.
11. Odszyfruj dane w trybie CTR i wykaż, że błąd ograniczył się wyłącznie do jednego bitu.
12. Zbadaj zachowanie trybu CFB-128 i odnotuj propagację błędu na kolejny blok.
13. Przetestuj skutki usunięcia jednego bajtu ze środka szyfrogramu (desynchronizacja blokowa).
14. Zapisz wyniki pomiarów do tabeli: Tryb, Blok uszkodzony, Blok następny, Łączna liczba błędnych bitów.
15. Wykonaj zrzuty ekranu z działania programu w konsoli JSLinux.
16. Sformułuj techniczne wnioski podsumowujące przydatność poszczególnych trybów w kanałach o różnej stopie błędów (BER).
17. Dopisz do wniosków obowiązkowe zdanie rozbrajające pułapkę: „Brak propagacji błędu w CTR nie jest zaletą bezpieczeństwa - ten sam brak propagacji umożliwia cichy atak bit-flipping bez wykrycia (dowód: Zadanie 2)". Sam pomiar BER bez tego zdania jest niezaliczony.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób zależność matematyczna P_n = D_K(C_n) XOR C_(n-1) w CBC tłumaczy całkowite zniszczenie bloku n i pojedynczy błąd w bloku n+1.
• Dlaczego brak sprzężenia zwrotnego szyfrogramu w trybie CTR ogranicza błąd ściśle do pozycji przekłamanego bitu.
• Jak zjawisko propagacji błędu wpływa na projektowanie sum kontrolnych i kodów korekcyjnych (FEC) w warstwie łącza danych.
• Student potrafi napisać program w Pythonie modelujący uszkodzenia bitowe i zinterpretować mapę błędów dla różnych trybów pracy.

Cel

Celem zadania jest praktyczna demonstracja ataku manipulacji bitowej (Bit-Flipping Attack) na szyfrogram w trybie CTR bez znajomości klucza tajnego oraz wykazanie, dlaczego sama poufność bez mechanizmów autentyczności (MAC/AEAD) nie zapewnia bezpieczeństwa danych.

Scenariusz – opis

Częstym złudzeniem w projektowaniu systemów IT jest przekonanie, że silne szyfrowanie (np. AES-256) chroni dane przed jakąkolwiek manipulacją. W trybach strumieniowych, takich jak CTR, deszyfrowanie polega na wykonaniu operacji P[i] = C[i] XOR K[i]. Jeśli atakujący zna lub domyśla się treści tekstu jawnego na określonych pozycjach, może precyzyjnie zmodyfikować odszyfrowany tekst bez znajomości klucza K. Wystarczy obliczyć nowy bajt szyfrogramu według wzoru: C'[i] = C[i] XOR P_stare[i] XOR P_nowe[i]. Gdy odbiorca odszyfruje tak spreparowany szyfrogram, otrzyma żądaną przez atakującego treść P_nowe bez wywołania jakiegokolwiek błędu deszyfrowania. W tym laboratorium zaimplementujesz ten atak w Pythonie w JSLinux i porównasz go z zachowaniem trybu uwierzytelnionego AES-GCM.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine w przeglądarce.
2. Utwórz plik skryptu: nano bit_flip_attack.py.
3. Napisz funkcję szyfrującą tekst algorytmem AES w trybie CTR z użyciem narzędzia openssl lub czystego Pythona.
4. Zdefiniuj wiadomość transakcyjną z kwotą 00100_PLN i zaszyfruj ją do tablicy bajtów ciphertext.
5. Zidentyfikuj indeks początkowy podciągu '00100' w tekście jawnym.
6. Zaimplementuj funkcję ataku: zmodyfikuj bajty szyfrogramu zgodnie z regułą c_mod = c ^ ord(old_char) ^ ord(new_char).
7. Zamień cyfry '00100' na '99100' w zaszyfrowanym strumieniu.
8. Przeprowadź wariant drugi ze słabszą wiedzą: załóż, że znasz tylko format pola (5 cyfr, potem '_PLN'), ale nie jego wartość - pokaż, że ślepe przekręcenie bitów daje losową kwotę (atak działa), lecz celowana kwota '99999' wymaga pełnej znajomości pozycji i treści (granica ataku). Oba warianty (celowany i ślepy) trafiają do tabeli wyników.
9. Zasymuluj deszyfrowanie zmodyfikowanego szyfrogramu przez serwer bankowy.
10. Wypisz odszyfrowany tekst i potwierdź skuteczną modyfikację kwoty bez znajomości klucza.
11. Zaimplementuj wariant systemu wykorzystujący szyfrowanie uwierzytelnione AES-GCM.
12. Zaszyfruj oryginalny komunikat w trybie GCM, uzyskując szyfrogram oraz 16-bajtowy tag autoryzacyjny.
13. Zastosuj ten sam wektor ataku bit-flipping na szyfrogramie GCM.
14. Przekaż zmodyfikowane dane do deszyfrowania GCM i zarejestruj wyjątek odrzucenia tagu.
15. Zapisz kody źródłowe obu eksperymentów i wykonaj zrzuty ekranu wyjścia konsoli.
16. Sporządź diagram sekwencji obrazujący atak MitM na nieautoryzowany kanał CTR.
17. Sformułuj wnioski techniczne dotyczące zasady 'zawsze stosuj uwierzytelnianie przy szyfrach strumieniowych'.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• Dlaczego liniowość operacji XOR w trybie CTR czyni go w pełni plastycznym (malleable) na celowane modyfikacje.
• W jaki sposób atakujący może kontrolować wyjście deszyfratora bez jakiejkolwiek wiedzy o kluczu tajnym.
• Rola kodów uwierzytelniania wiadomości i schematów AEAD (AES-GCM) w natychmiastowym wykrywaniu ataków bit-flipping.
• Student potrafi przeprowadzić skuteczny atak manipulacji bitowej w Pythonie oraz zademonstrować mechanizm obronny w AES-GCM.

Cel

Celem zadania jest dogłębne zrozumienie wewnętrznej mechaniki szyfru AES poprzez zaimplementowanie w języku Python czterech elementarnych operacji rundy: SubBytes, ShiftRows, MixColumns oraz AddRoundKey. Student weryfikuje poprawność implementacji krok po kroku na oficjalnym wektorze testowym ze standardu NIST FIPS 197.

Scenariusz – opis

Standard Advanced Encryption Standard (AES) opiera się na strukturze sieci podstawieniowo-permutacyjnej (SPN) operującej na 128-bitowej macierzy stanu State. Macierz stanu składa się z 16 bajtów ułożonych w tablicy o wymiarach 4x4, wypełnianej kolumnami. Każda runda standardowa AES składa się z czterech precyzyjnie zdefiniowanych przekształceń algebraicznych i geometrycznych. Są to: nieliniowa zamiana bajtów SubBytes za pomocą tabeli S-box, cykliczne przesunięcie wierszy ShiftRows, dyfuzja kolumnowa MixColumns w ciele Galois oraz dodanie podklucza AddRoundKey. W tym laboratorium zaimplementujesz w języku Python w konsoli JSLinux te cztery operacje od podstaw bez korzystania z gotowych bibliotek szyfrujących. Do walidacji poprawności kodu użyjesz oficjalnego wektora pośredniego z załącznika B standardu NIST FIPS 197.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę wirtualną JSLinux Alpine.
2. Utwórz plik programu: nano aes_round.py.
3. Zdefiniuj w Pythonie tablicę S-box standardu FIPS 197.
4. Zaimplementuj funkcję bytes_to_state(b) tworzącą macierz 4x4 ułożoną kolumnowo.
5. Zaimplementuj funkcję sub_bytes( state) wykonującą nieliniowe podstawienie każdego bajtu.
6. Zaimplementuj funkcję shift_rows( state) realizującą cykliczne rotacje wierszy w lewo o 0, 1, 2 i 3 pozycje.
7. Zaimplementuj pomocniczą funkcję xtime(a) dla mnożenia przez x w GF(2^8): ((a << 1) ^ 0x1B) if (a & 0x80) else (a << 1).
8. Zaimplementuj operację mix_columns( state) mnożącą każdą kolumnę przez wielomian c(x) = 03*x^3 + 01*x^2 + 01*x + 02.
9. Zaimplementuj funkcję add_round_key( state, round_key) wykonującą operację XOR z podkluczem.
10. Wprowadź stan wejściowy z Przykładu B.1 FIPS 197: 32 43 f6 a8 88 5a 30 8d 31 31 98 a2 e0 37 07 34.
11. Wykonaj wstępny AddRoundKey z kluczem głównym i wypisz macierz stanu.
12. Zaaplikuj po kolei: SubBytes, ShiftRows, MixColumns i AddRoundKey dla rundy 1.
13. Porównaj stan wyjściowy po każdej transformacji z oficjalną tabelą FIPS 197.
14. Test krzyżowy z produkcją (rozszerzenie premium, po Zadaniu 4): złóż pełny AES-128, tj. 10 rund z tych samych czterech funkcji oraz podklucze z programu aes_key_schedule.py, zaszyfruj 16-bajtowy blok i porównaj z openssl enc -aes-128-ecb -nopad -K < klucz>; zgodność co do bajta dowodzi, że implementacja nie jest zabawką.
15. Zmień 1 bit na wejściu i odnotuj liczbę zmienionych bajtów po operacji MixColumns.
16. Wykonaj zrzuty ekranu działania skryptu dokumentujące pełną zgodność z dokumentem NIST.
17. Sformułuj wnioski podsumowujące realizację postulatów konfuzji i dyfuzji w architekturze AES.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób macierz stanu 4x4 State umożliwia optymalne łączenie operacji nieliniowych i liniowych.
• Dlaczego mnożenie w ciele Galois GF(2^8) w MixColumns zapewnia maksymalną dyfuzję wewnątrz kolumny (branch number = 5).
• Rola przesunięcia wierszy ShiftRows w przenoszeniu dyfuzji pomiędzy poszczególnymi kolumnami macierzy.
• Student potrafi od podstaw zaprogramować cztery transformacje rundy AES w Pythonie i zweryfikować ich zgodność ze standardem NIST.

Cel

Celem zadania jest zaimplementowanie w języku Python procedury rozszerzania klucza (AES Key Expansion) dla wariantu AES-128. Student programuje operacje na słowach 32-bitowych (RotWord, SubWord, Rcon), generuje pełny zestaw 11 podkluczy rundowych (44 słowa) oraz bada, w jaki sposób zmiana pojedynczego bitu w kluczu głównym propaguje się na podklucze kolejnych rund.

Scenariusz – opis

Każda runda algorytmu AES wymaga unikalnego podklucza rundowego o długości 128 bitów (16 bajtów). Dla algorytmu AES-128 wykonuje się 10 rund szyfrowania oraz wstępne dodanie klucza (Runda 0), co wymaga wygenerowania łącznie 11 podkluczy z klucza głównego. Procedura Key Expansion przekształca 16-bajtowy klucz początkowy w tablicę 44 słów 32-bitowych w[0..43]. Pierwsze cztery słowa w[0..3] są tożsame z kluczem głównym, a każde kolejne słowo w[i] jest wyliczane rekurencyjnie z użyciem operacji XOR z w[i-4]. Dla słów, których indeks jest wielokrotnością 4, stosuje się transformację nieliniową obejmującą cykliczną rotację bajtów RotWord, podstawienie S-box SubWord oraz dodanie stałej rundowej Rcon. W tym zadaniu oprogramujesz tę procedurę w Pythonie w JSLinux i zbadasz właściwości dyfuzyjne harmonogramu klucza.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Utwórz plik programu: nano aes_key_schedule.py.
3. Zaimplementuj tablicę S-box oraz stałe Rcon dla rund 1 do 10. Rcon to nie magia: Rcon[i] to potęga x^(i-1) w ciele GF(2^8), czyli 0x01, 0x02, 0x04, 0x08, 0x10, 0x20, 0x40, 0x80, 0x1B, 0x36 - przed dalszą pracą assert w programie sprawdza Rcon[10] == 0x36; niezgodność oznacza błąd mnożenia modularnego, nie „złą tabelę z internetu".
4. Napisz funkcję rot_word( word) realizującą cykliczne przesunięcie bajtów w słowie 32-bitowym.
5. Napisz funkcję sub_word( word) aplikującą S-box do każdego bajtu słowa.
6. Zaimplementuj algorytm rozszerzania klucza generujący 44 słowa (176 bajtów) dla AES-128.
7. Napisz funkcję formatującą słowa w 11 podkluczy 128-bitowych.
8. Wprowadź oficjalny klucz FIPS 197: 2b7e151628aed2a6abf7158809cf4f3c.
9. Wypisz wygenerowane podklucze od Rundy 0 do Rundy 10 w postaci szesnastkowej.
10. Zweryfikuj zgodność każdego podklucza z oficjalnym załącznikiem A.1 standardu NIST.
11. Wprowadź drugi klucz z odwróconym 1 bitem: 2a7e151628aed2a6abf7158809cf4f3c.
12. Wygeneruj zestaw podkluczy dla drugiego klucza.
13. Napisz pętlę obliczającą liczbę różniących się bitów (odległość Hamminga) między podkluczami dla każdej rundy.
14. Sporządź tabelę: Numer rundy, Podklucz oryginalny, Podklucz zmodyfikowany, Odległość Hamminga.
15. Wykonaj zrzuty ekranu z konsoli prezentujące działanie skryptu.
16. Sformułuj wnioski wyjaśniające znaczenie nieliniowości funkcji SubWord w odporności na ataki na powiązane klucze (Related-Key Attacks).

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób operacje RotWord i SubWord wprowadzają nieliniowość i asymetrię do harmonogramu klucza.
• Rola stałych rundowych Rcon w eliminacji symetrii i zapobieganiu atakom typu Slide Attack.
• Szybkość propagacji pojedynczego bitu klucza głównego na przestrzeń wszystkich 11 podkluczy rundowych.
• Student potrafi w pełni zaimplementować procedurę AES Key Expansion w Pythonie i zweryfikować jej poprawność z normą FIPS 197.

Cel

Celem zadania jest zaimplementowanie w języku Python elementarnej funkcji Quarter Round (QR) szyfru ChaCha20, zbadanie mechanizmu dyfuzji w architekturze ARX (Addition-Rotation-XOR) oraz zweryfikowanie poprawności działania na oficjalnych wektorach testowych ze standardu IETF RFC 8439.

Scenariusz – opis

Szyfr strumieniowy ChaCha20 opiera się na architekturze ARX, wykorzystującej wyłącznie trzy operacje na słowach 32-bitowych: dodawanie modulo 2^32, rotację bitową oraz XOR. Fundamentem całego algorytmu jest funkcja ćwierćrundowa QR(a, b, c, d), która modyfikuje cztery słowa 32-bitowe w czterech krokach obliczeniowych. W każdym kroku następuje dodanie dwóch słów, XOR wyniku z kolejnym słowem oraz cykliczna rotacja bitowa w lewo o specyficzną stałą (16, 12, 8 lub 7 bitów). Dzięki brakowi tablic S-box algorytm jest całkowicie odporny na ataki czasowe na pamięć podręczną (ang. cache-timing attacks) i działa wysoce wydajnie na dowolnym procesorze. Pełna runda ChaCha20 składa się z czterech operacji QR na kolumnach macierzy stanu oraz czterech na przekątnych (tzw. Double Round). W tym zadaniu zaimplementujesz funkcję QR oraz rundę podwójną w Pythonie w JSLinux i przetestujesz je na danych ze standardu RFC 8439.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Utwórz plik programu: nano chacha20_qr.py.
3. Zaimplementuj w Pythonie funkcję 32-bitowej rotacji bitowej w lewo rol(x, n).
4. Zaimplementuj operację dodawania 32-bitowego z obcięciem do maski 0xFFFFFFFF.
5. Zaimplementuj funkcję quarter_round(a, b, c, d) zgodnie z algorytmem RFC 8439.
6. Wprowadź oficjalne wektory testowe z sekcji 2.1.1 RFC 8439.
7. Wykonaj funkcję QR i porównaj wyjściowe wartości szesnastkowe a, b, c, d z normą.
8. Wypisz w konsoli potwierdzenie poprawności testu jednostkowego (PASS/FAIL).
9. Zaimplementuj strukturę stanu 16 słów i funkcję column_round( state).
10. Zaimplementuj funkcję diagonal_round( state) operującą na przekątnych macierzy.
11. Złóż pełną rundę podwójną (Double Round) składającą się z rundy kolumnowej i przekątniowej.
12. Przeprowadź test efektu lawinowego: odwróć 1 bit w wejściowym słowie a i przelicz QR.
13. Oblicz liczbę zmienionych bitów we wszystkich czterech słowach wyjściowych.
14. Zestaw wyniki pomiaru dyfuzji w tabeli sprawozdania.
15. Mini-pomiar motywujący dyskusję o sprzęcie: zmierz w Pythonie czas 20 pełnych rund ChaCha20 (Double Round × 10) oraz 10 rund AES z Zadania 3 na tym samym hoście i podaj krotność (nie milisekundy); wyjaśnij, dlaczego na procesorze z AES-NI relacja się odwraca - to jest właściwy wniosek inżynierski, nie same liczby.
16. Wykonaj zrzuty ekranu kodu oraz wyjścia konsoli w JSLinux.
17. Sformułuj wnioski wyjaśniające, w jaki sposób architektura ARX eliminuje luki czasowe implementacji programowych w porównaniu z AES.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób naprzemienne stosowanie dodawania arytmetycznego (nieliniowość) i XOR (liniowość) z rotacją generuje wysoką dyfuzję.
• Dlaczego brak odwołań do tablic pamięci (S-box) gwarantuje stały czas wykonania operacji i odporność na ataki cache-timing.
• Rola podziału na rundy kolumnowe i przekątniowe w zapewnieniu pełnego wymieszania wszystkich 16 słów macierzy stanu.
• Student potrafi poprawnie zaimplementować funkcję QR ChaCha20 w Pythonie i zweryfikować jej poprawność z oficjalnym dokumentem RFC 8439.

Cel

Celem zadania jest zbadanie jakości rozproszenia informacji w popularnych funkcjach skrótu poprzez opracowanie zautomatyzowanego skryptu w języku Python mierzącego spełnienie ścisłego kryterium lawinowego (Strict Avalanche Criterion - SAC) dla algorytmów MD5, SHA-1 oraz SHA-256 na próbie statystycznej 1000 losowych wektorów.

Scenariusz – opis

Ścisłe kryterium lawinowe (SAC), sformułowane przez Webstera i Tavaresa w 1985 roku, jest fundamentalną miarą jakości kryptograficznej. Mówi ono, że funkcja spełnia kryterium SAC, jeśli przy zmianie dowolnego pojedynczego bitu wejściowego każdy bit wyjściowy zmienia się z prawdopodobieństwem dokładnie 50% (p = 0.5). Odchylenie od tej wartości oznacza istnienie korelacji statystycznych, które mogą zostać wykorzystane przez kryptoanalityków do ataków analitycznych. Chociaż algorytmy MD5 i SHA-1 zostały złamane pod kątem odporności na kolizje, ich właściwości lawinowe wciąż stanowią interesujący punkt odniesienia dla nowoczesnego standardu SHA-256. W tym laboratorium opracujesz program w Pythonie w JSLinux, który przeprowadzi zautomatyzowane badanie statystyczne SAC dla tych trzech algorytmów. Do obliczeń wykorzystasz standardowy moduł hashlib dostępny w środowisku Linux.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę JSLinux Alpine z interpreterem Python 3.
2. Utwórz plik programu: nano sac_benchmark.py.
3. Zaimportuj moduły hashlib, random i time.
4. Zaimplementuj funkcję flip_bit(byte_array, bit_index) odwracającą jeden bit w tablicy bajtów.
5. Napisz funkcję calculate_sac(hash_func_name, num_samples, input_len_bytes).
6. Zaimplementuj pętlę testową dla MD5 generującą macierz zmian bitowych.
7. Zaimplementuj pętlę testową dla SHA-1.
8. Zaimplementuj pętlę testową dla SHA-256.
9. Dla każdego algorytmu wylicz średnią odległość Hamminga oraz średnie prawdopodobieństwo zmiany bitu p_mean.
10. Oblicz odchylenie standardowe od wartości idealnej 0.5: std_dev = sqrt(sum(pow(p - 0.5, 2) for p in probs) / total_pairs).
11. Zaimplementuj prosty tekstowy wykres słupkowy prezentujący histogram rozkładu prawdopodobieństw.
12. Uruchom skrypt i zarejestruj wygenerowane raporty statystyczne dla wszystkich trzech funkcji.
13. Porównaj uzyskane odchylenia standardowe (np. SHA-256 vs MD5).
14. Sporządź tabelę porównawczą parametrów statystycznych w sprawozdaniu.
15. Wykonaj zrzuty ekranu z wynikami działania skryptu w JSLinux.
16. Sformułuj techniczne wnioski podsumowujące relację pomiędzy kryterium SAC a faktyczną odpornością na ataki kolizyjne. Obowiązkowe zdanie rozróżniające (dosłownie w raporcie): „SAC mierzy wyłącznie dyfuzję, nie odporność na kolizje - MD5 zalicza SAC z wynikiem ~0,5, a jest praktycznie złamany (dowód: pary kolizyjne Wanga, Zadanie 5 z poziomu 5.0)". Bez tego zdania pomiary są niezaliczone.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• Dlaczego wysoki stopień spełnienia kryterium SAC (p ~ 0.5) jest kluczowy dla uniemożliwienia przewidywania zmian skrótu.
• Dlaczego funkcja może doskonale spełniać kryterium SAC, a jednocześnie być całkowicie skompromitowana kryptoanalitycznie (MD5).
• Jak rosnąca liczba rund i złożoność operacji w SHA-256 zapewnia minimalne odchylenie standardowe rozkładu dyfuzji.
• Student potrafi opracować zaawansowany program weryfikacji statystycznej w Pythonie i zinterpretować macierz prawdopodobieństw SAC.

Cel

Celem zadania jest praktyczne zrozumienie i zademonstrowanie ataku dołączenia długości (Length Extension Attack) na funkcję skrótu SHA-256. Student bada, dlaczego naiwny podpis autoryzacyjny Hash(Klucz || Komunikat) jest podatny na sfałszowanie przez stronę trzecią bez znajomości klucza tajnego oraz wykazuje, dlaczego HMAC i SHA-3 są całkowicie odporne na ten atak.

Scenariusz – opis

Funkcje skrótu z rodziny SHA-2 (w tym SHA-256) oparte są na klasycznej konstrukcji iteracyjnej Merkle-Damgård. W konstrukcji tej dane są dzielone na 512-bitowe bloki i przetwarzane kolejno przez funkcję kompresji aktualizującą wewnętrzny rejestr stanu H0..H7. Ostateczny skrót wyjściowy jest niczym innym jak bezpośrednim zrzutem wartości rejestrów stanu po przetworzeniu ostatniego bloku z dopełnieniem. Prowadzi to do poważnej podatności architektonicznej: znając skrót H(Sekret || Wiadomość) oraz długość całego ciągu, atakujący zna stan rejestrów po przetworzeniu tych danych. Może więc zainicjować funkcję kompresji tym stanem i dokleić do wiadomości dowolne dodatkowe dane, obliczając poprawny skrót nowego ciągu bez znajomości Sekretu! W tym laboratorium zaimplementujesz ten atak w Pythonie w JSLinux na podatnej usłudze sieciowej i udowodnisz konieczność stosowania HMAC.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Utwórz plik programu: nano length_extension_demo.py.
3. Napisz funkcję serwera generującą token autoryzacyjny: sha256(SECRET + query).hexdigest().
4. Ustal tajny klucz serwera na 16-bajtowy ciąg nieznany atakującemu.
5. Zdefiniuj oryginalne zapytanie klienta: 'user=student&role=guest'.
6. Wygeneruj oryginalny podpis token dla tego zapytania.
7. Zaimplementuj w Pythonie funkcję md_pad(msg_len_bytes) generującą dopełnienie Merkle-Damgårda (uwaga terminologiczna: to NIE jest PKCS#7 - padding SHA-256 to bajt 0x80, zera i 64-bitowa długość w bitach): def md_pad(L): pad = b'\x80'; pad += b'\x00' * ((55 - L) % 64); return pad + ((L * 8) % 2**64).to_bytes(8, 'big'). Test znanej odpowiedzi przed atakiem: md_pad(16) ma mieć długość 48 bajtów i kończyć się długością 128 bitów (0x80 na końcu); dopiero zgodny test uprawnia do kroku fałszerstwa.
8. Zaimplementuj uproszczoną funkcję kompresji SHA-256 pozwalającą na wstrzyknięcie stanu początkowego H0..H7.
9. Rozbij oryginalny 64-znakowy hex tokenu na 8 słów 32-bitowych stanu.
10. Zainicjuj SHA-256 tym stanem i skompresuj dopisywany fragment '&role=admin'.
11. Sformułuj zmanipulowaną wiadomość: original_query + padding + '&role=admin'.
12. Przekaż zmanipulowaną treść i wygenerowany podpis do funkcji weryfikującej serwera.
13. Wypisz rezultat weryfikacji i potwierdź sukces podrobienia uprawnień.
14. Zaimplementuj bezpieczną wersję serwera z HMAC-SHA256 i powtórz atak, rejestrując porażkę fałszerstwa.
15. Wykonaj zrzuty ekranu konsoli JSLinux obrazujące pomyślne przeprowadzenie ataku.
16. Sformułuj techniczne wnioski wyjaśniające odporność algorytmu SHA-3 (Keccak) oraz mechanizmu HMAC na atak Length Extension.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób iteracyjna budowa Merkle-Damgård ujawnia pełny wewnętrzny stan maszyny w wyjściowym skrócie.
• Dlaczego naiwny schemat podpisu Hash(Klucz || Dane) jest krytycznym błędem programistycznym.
• W jaki sposób HMAC neutralizuje ten atak poprzez podwójne zagnieżdżenie skrótu z kluczem i zewnętrznym padem.
• Student potrafi przeprowadzić atak Length Extension w Pythonie oraz wdrożyć bezpieczną alternatywę w oparciu o HMAC.

Cel

Celem zadania jest empiryczne zweryfikowanie paradoksu dnia urodzin w kryptografii poprzez wyszukiwanie kolizji skrótów SHA-256 obciętych do zredukowanych długości bitowych (od 16 do 32 bitów) w języku Python. Student porównuje rzeczywistą liczbę prób potrzebną do znalezienia kolizji z modelem teoretycznym O(2^(n/2)).

Scenariusz – opis

Odporność na kolizje (ang. collision resistance) oznacza trudność znalezienia dwóch dowolnych różnych komunikatów m1 != m2 takich, że H(m1) = H(m2). Zgodnie z zasadą szufladkową Dirichleta i paradoksem dnia urodzin, znalezienie kolizji dla n-bitowej funkcji skrótu wymaga sprawdzenia około 1.25 * 2^(n/2) prób, a nie 2^n prób. Dla pełnego skrótu SHA-256 złożoność ta wynosi 2^128 operacji, co znajduje się daleko poza zasięgiem współczesnej technologii obliczeniowej. Możemy jednak zbadać to zjawisko empirycznie, redukując rozmiar wyjściowy funkcji skrótu do małej liczby bitów (np. 16, 20, 24, 28, 32 bity). W tym laboratorium napiszesz wielopróbkowy program w Pythonie w środowisku JSLinux, który wyszukuje kolizje metodą tablicy haszującej (lub algorytmem żółwia i zająca Floyda). Zgromadzone dane posłużą do wykreślenia krzywej doświadczalnej i skonfrontowania jej z teorią prawdopodobieństwa.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Utwórz plik programu: nano birthday_attack.py.
3. Zaimportuj moduły hashlib, os, math i time.
4. Napisz funkcję get_truncated_hash( data, bits) zwracającą N-bitową liczbę całkowitą ze skrótu SHA-256.
5. Zaimplementuj funkcję find_collision( bits) zliczającą próby aż do napotkania kolizji w słowniku.
6. Przeprowadź 100 prób dla N = 16 bitów i wylicz średnią liczbę iteracji.
7. Przeprowadź 50 prób dla N = 20 bitów i wylicz średnią.
8. Przeprowadź 20 prób dla N = 24 bitów i wylicz średnią.
9. Przeprowadź 5 prób dla N = 28 bitów i zarejestruj czas wykonania.
10. Wypisz przykładową parę znalezionych wiadomości kolidujących wraz z ich identycznym obciętym skrótem hex.
11. Zaimplementuj algorytm detekcji cyklu Floyda i porównaj zużycie pamięci.
12. Zestaw w tabeli: Liczba bitów N, Rozmiar przestrzeni 2^N, Średnia empiryczna, Teoria sqrt(pi/2 * 2^N), Błąd względny (%).
13. Sporządź wykres zależności liczby prób od długości bitowej w konsoli.
14. Wykonaj zrzuty ekranu z wynikami działania programu w JSLinux.
15. Przeanalizuj wpływ paradoksu dnia urodzin na bezpieczeństwo podpisów cyfrowych X.509.
16. Sformułuj wnioski wyjaśniające, dlaczego funkcja o skrócie 128 bitów zapewnia jedynie 64 bity bezpieczeństwa przed kolizjami.
17. Obowiązkowa ekstrapolacja zamykająca zadanie: przy zmierzonej przez siebie prędkości (hashy/s) wylicz czas kolizji dla pełnych 256 bitów jako 2^128/profil i porównaj z wiekiem wszechświata (~4×10^17 s) - jeżeli iloraz nie wychodzi rzędu 10^21 lub więcej, wróć i sprawdź jednostki prędkości (najczęstszy błąd: hashy/minutę zamiast hashy/sekundę).

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób paradoks dnia urodzin redukuje złożoność ataku ze skali O(2^n) do O(2^(n/2)).
• Zgodność wyników empirycznych uzyskanych w Pythonie z modelem matematycznym rozkładu prawdopodobieństwa.
• Dlaczego w podpisach cyfrowych odporność na kolizje jest krytyczna, co wymaga stosowania skrótów o długości co najmniej 256 bitów.
• Student potrafi zaprogramować atak urodzinowy w Pythonie i dokonać rzetelnej analizy statystycznej złożoności obliczeniowej.

Cel

Celem zadania jest przeprowadzenie systematycznych testów porównawczych wydajności i przepustowości (MB/s) szyfrów symetrycznych (AES, 3DES, ChaCha20) oraz funkcji skrótu (MD5, SHA-1, SHA-256, SHA-512, SHA3-256) za pomocą uniksowego narzędzia openssl speed w środowisku Linux. Student bada wpływ wielkości bufora danych oraz obecności akceleracji sprzętowej na parametry pracy algorytmów.

Scenariusz – opis

Wybór algorytmu kryptograficznego w systemach produkcyjnych jest kompromisem pomiędzy gwarantowanym poziomem bezpieczeństwa a kosztem obliczeniowym. Standardowe narzędzie OpenSSL zawiera wbudowany moduł testów wydajnościowych openssl speed, mierzący przepustowość algorytmów dla różnych rozmiarów bufora (16B, 64B, 256B, 1024B, 8192B). Na nowoczesnych procesorach z instrukcjami AES-NI szyfr AES osiąga gigabajtowe przepustowości, jednak w środowiskach wirtualnych lub mobilnych szyfr strumieniowy ChaCha20 może okazać się znacznie szybszy. Ponadto algorytmy operujące na słowach 64-bitowych (takie jak SHA-512) wykazują zupełnie inne charakterystyki na procesorach x86_64 niż algorytmy 32-bitowe (SHA-256). W tym laboratorium przeprowadzisz pełną kampanię pomiarową w emulatorze JSLinux Alpine. Zgromadzone dane przetworzysz za pomocą skryptu w Pythonie i przedstawisz w formie ustrukturyzowanych wykresów i tabel.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Sprawdź wersję i konfigurację OpenSSL: openssl version -a.
3. Wykonaj benchmark szyfrów blokowych: openssl speed des-ede3 aes-128-cbc aes-256-cbc > ciphers.txt.
4. Wykonaj benchmark trybów AEAD: openssl speed -evp aes-128-gcm -evp chacha20-poly1305 > aead.txt.
5. Wykonaj benchmark funkcji skrótu: openssl speed md5 sha1 sha256 sha512 >hashes.txt.
6. Wykonaj benchmark SHA-3: openssl speed sha3-256 > sha3.txt.
7. Napisz w JSLinux skrypt Pythona parse_speed.py przeliczający wyniki na MB/s.
8. Uruchom skrypt i wygeneruj sformatowaną tabelę przepustowości dla bufora 16B oraz 8192B.
9. Porównaj wyniki AES-128 i AES-256 (wpływ liczby rund: 10 vs 14).
10. Porównaj wyniki SHA-256 i SHA-512 dla dużych bloków danych.
11. Porównaj przepustowość AES-GCM z ChaCha20-Poly1305 w środowisku emulowanym.
12. Zestaw w tabeli sprawozdania parametry wszystkich 9 przetestowanych algorytmów.
13. Zinterpretuj przyczyny skrajnie niskiej wydajności 3DES wynikające z 48 cykli Feistela.
14. Wykonaj zrzuty ekranu konsoli JSLinux z tabelami wynikowymi openssl speed.
15. Opracuj wykres tekstowy ASCII prezentujący ranking przepustowości algorytmów.
16. Na początku raportu odnotuj środowisko: wynik openssl version, obecność AES-NI (grep -o aes /proc/cpuinfo | head -1) oraz emulator/natywnie. Wnioski formułuj wyłącznie o krotnościach (np. „3DES ~15× wolniejszy od AES-128 na tym hoście"), nigdy o wartościach bezwzględnych MB/s - liczby z emulatora nie są porównywalne między studentami.
17. Sformułuj techniczne wnioski dotyczące optymalizacji wydajnościowej stosów kryptograficznych (TLS, VPN).

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• Dlaczego wielkość bufora danych (16B vs 8192B) ma diametralne znaczenie dla wydajności (minimalizacja narzutu wywołania funkcji).
• Wpływ architektury 64-bitowej na przewagę wydajnościową SHA-512 nad SHA-256 przy dużych blokach danych.
• Dlaczego ChaCha20-Poly1305 stanowi doskonałą alternatywę dla AES-GCM na urządzeniach pozbawionych akceleracji AES-NI.
• Student potrafi posłużyć się narzędziem openssl speed, przetworzyć surowe metryki i wyciągnąć wnioski architektoniczne.

Cel

Celem zadania jest zaimplementowanie w języku Python ataku słownikowego na skróty haseł oraz ilościowa analiza porównawcza odporności na łamanie baz haseł chronionych czystym SHA-256 z solą vs funkcją rozciągania klucza PBKDF2 z różną liczbą iteracji. Student modeluje koszt ekonomiczny ataku siłowego na klastrze obliczeniowym.

Scenariusz – opis

W systemach uwierzytelniania powszechnie stosuje się zasadę jednokierunkowego haszowania haseł z kryptograficzną solą. Sól zapobiega atakom z użyciem prekomputowanych tablic tęczowych, zmuszając atakującego do przeliczania słownika od nowa dla każdego użytkownika. Jednak przy użyciu szybkiej funkcji, takiej jak SHA-256, atak słownikowy na pojedynczą sól wciąż wykonuje się w tempie setek milionów prób na sekundę. Aby temu zapobiec, standardy bezpieczeństwa (NIST, OWASP) nakazują stosowanie funkcji KDF o celowo regulowanym koszcie obliczeniowym, takich jak PBKDF2-HMAC-SHA256. Parametr liczby iteracji (np. 10 000, 100 000, 600 000) drastycznie zwiększa koszt ataku po stronie przestępcy, pozostając niemal niezauważalnym dla logującego się użytkownika. W tym laboratorium napiszesz w Pythonie program łamiący hasła i dokonasz matematycznego oszacowania odporności systemów.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Utwórz plik programu: nano password_cracker.py.
3. Zaimportuj moduły hashlib, time i binascii.
4. Zdefiniuj bazę użytkowników z przypisanymi solami i haszami (Salt+SHA256 oraz PBKDF2).
5. Przygotuj listę słownikową haseł (wbudowaną tablicę lub plik tekstowy).
6. Zaimplementuj funkcję crack_sha256(user_db, wordlist).
7. Uruchom atak na SHA-256, zmierz czas i wylicz prędkość (haszy/sekundę).
8. Zaimplementuj funkcję crack_pbkdf2(user_db, wordlist, iterations).
9. Uruchom atak na PBKDF2 z parametrem iteracji 1000 i zarejestruj prędkość.
10. Uruchom atak na PBKDF2 z parametrem iteracji 10 000 oraz 50 000.
11. Zestaw prędkości ataku dla wszystkich wariantów w tabeli porównawczej.
12. Napisz funkcję ekstrapolującą czas ataku siłowego na przestrzeń 8-znakową (62^8).
13. Oblicz czas ataku dla hipotetycznego klastra GPU o wydajności 10 GH/s w SHA-256.
14. Wykonaj zrzuty ekranu działania skryptu w terminalu JSLinux.
15. Sporządź raport techniczny zestawiający SHA-256, PBKDF2, bcrypt i Argon2.
16. Sprawdź aktualne zalecenie OWASP Password Storage Cheat Sheet dla PBKDF2-HMAC-SHA-256 (600 000 iteracji) i dopisz do tabeli wiersz ekstrapolacji dla tej wartości: czas ataku na przestrzeń 62^8 przy zmierzonej przez siebie prędkości PBKDF2 przeskalowanej ×(600 000/100 000). Wniosek ma zawierać zdanie: przy 600 tys. iteracji sama zamiana SHA-256 na PBKDF2 mnoży koszt atakującego ~600 tys. razy - i dopiero Argon2id dokłada do tego koszt pamięci (Zadanie 10 z poziomu 5.0).
17. Sformułuj wnioski podsumowujące rolę narzutu obliczeniowego w ochronie poświadczeń tożsamości.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• Dlaczego obecność soli zmusza atakującego do indywidualnego ataku na każde konto, unieważniając tablice tęczowe.
• W jaki sposób funkcja PBKDF2 wielokrotnie zwiększa koszt czasowy sprawdzenia każdego hasła w słowniku.
• Rola modelowania kosztu ekonomicznego ataku w projektowaniu polityki haseł i doborze parametrów KDF.
• Student potrafi zaimplementować atak słownikowy w Pythonie, zmierzyć przepustowość i dokonać poprawnej ekstrapolacji matematycznej.