Poziom: ocena 5.0 - zaawansowana kryptoanaliza rekonstrukcyjna, ataki na procedury i modele matematyczne

Zestaw 10 wysoce specjalistycznych zadań laboratoryjnych do wykonania w trakcie zajęć (90–100 minut).
Kierunek: Informatyka, semestr 7, przedmiot: Kryptologia.
Podstawa materiałowa: wykład część 3 (kryptografia symetryczna - nowoczesne algorytmy i funkcje skrótu).

1. 01.Kryptoanaliza ataku Meet-in-the-Middle na podwójny szyfr blokowy w Pythonie
2. 02.Pełny atak wyroczni dopełnienia na tryb CBC szyfru blokowego w Pythonie
3. 03.Kryptoanaliza korelacji klucza i wektora IV w szyfrze RC4 w Pythonie
4. 04.Rekonstrukcja arytmetyki ciała Galois w warstwie MixColumns AES i kryptoanaliza MDS
5. 05.Eksploracja par kolizyjnych MD5 oraz pary kolizyjnej SHA-1 na poziomie binarnym
6. 06.Implementacja konstrukcji gąbki i permutacji Keccak w SHA-3 w Pythonie
7. 07.Matematyczna weryfikacja funkcji MAC Poly1305 w ciele liczb pierwszych
8. 08.Atak fałszowania wiadomości przy braku tagu MAC na protokół z szyfrem ChaCha20
9. 09.Kryptoanaliza nieliniowości S-boksów DES i badanie podatności na kryptoanalizę różnicową
10. 10.Kryptoanaliza funkcji derywacji klucza Argon2id i scrypt – modelowanie ataku ASIC

Cel

Celem zadania jest matematyczna i programistyczna rekonstrukcja klasycznego ataku Meet-in-the-Middle na podwójny szyfr blokowy (2DES). Student implementuje w języku Python zredukowany model szyfru blokowego, buduje w pamięci RAM tablicę haszującą stanów pośrednich i przeprowadza atak zderzeniowy ze znanym tekstem jawnym w czasie O(2^k) zamiast O(2^(2k)), udowadniając dlaczego standard 3DES musiał wykorzystywać schemat z trzema operacjami.

Scenariusz – opis

Gdy na początku lat 90. przestrzeń 56 bitów klucza DES stała się zbyt mała, naturalną propozycją było podwójne zaszyfrowanie danych dwoma niezależnymi kluczami K1 i K2 (2DES): C = E_K2(E_K1(P)). Wydawało się, że 112-bitowy łączny klucz zapewni bezpieczeństwo rzędu 2^112 operacji, co uniemożliwiłoby jakikolwiek atak siłowy. Jednak Witfield Diffie i Martin Hellman wykazali, że dysponując jedną lub dwiema znanymi parami (tekst jawny P, szyfrogram C), szyfr 2DES można złamać atakiem Meet-in-the-Middle kosztem zaledwie 2^57 operacji. Atak polega na szyfrowaniu P wszystkimi możliwymi kluczami K1 i zapisaniu stanów pośrednich X = E_K1(P) w tablicy haszującej w pamięci RAM. Następnie atakujący deszyfruje C wszystkimi możliwymi kluczami K2: Y = D_K2(C) i szuka kolizji X == Y w tablicy. W tym zadaniu zaimplementujesz w Pythonie w JSLinux ten atak na zredukowanym modelu blokowym i dokonasz analizy złożoności czasowo-pamięciowej.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Utwórz plik programu: nano mitm_attack.py.
3. Zaimportuj moduły time, os, sys.
4. Zaimplementuj uproszczony szyfr blokowy SPN (lub zredukowany DES) na słowach 32-bitowych.
5. Zdefiniuj przestrzeń klucza N_BITS = 20 (zakres 0 do 1 048 575).
6. Zaimplementuj funkcję double_encrypt(p, k1, k2).
7. Wylosuj klucze docelowe K1, K2 i wygeneruj pary znane (P1, C1) oraz (P2, C2).
8. Zaimplementuj fazę 1 ataku: budowę słownika stanów pośrednich {E_k1(P1): k1}.
9. Zarejestruj czas trwania fazy 1 i rozmiar słownika w pamięci RAM.
10. Zaimplementuj fazę 2: przeszukiwanie k2 i testowanie obecności D_k2(C1) w słowniku.
11. Zaimplementuj filtr eliminacji fałszywych alarmów przy użyciu pary (P2, C2).
12. Wypisz odnaleziony klucz K1 i K2 oraz czas wykonania fazy 2.
13. Potwierdź zgodność odzyskanych kluczy z tajnymi kluczami generującymi.
14. Sporządź tabelę: Przestrzeń klucza k, Złożoność brute force 2^(2k), Złożoność MitM 2^(k+1), Pamięć O(2^k).
15. Trzy liczby do raportu (osobna ramka): czas naiwny 2^(2k), czas MitM 2^(k+1) ≈ 2·2^k, pamięć MitM 2^k stanów pośrednich - oraz jedno zdanie: trzecie szyfrowanie w 3DES łamie symetrię ataku, bo środkowe deszyfrowanie D_K2 nie daje już wspólnego stanu pośredniego spotykanego z obu stron naraz, więc MitM nie składa się w parę (K1,K2) jednym zderzeniem.
16. Wykonaj zrzuty ekranu konsoli JSLinux z wynikami działania ataku.
17. Sformułuj techniczne uzasadnienie, dlaczego standard Triple DES musiał zastosować 3 rundy (EDE: K1, K2, K3) i przestrzeń 168 bitów.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób atak Meet-in-the-Middle zamienia złożoność czasową O(2^(2k)) na złożoność pamięciową O(2^k).
• Dlaczego podwójne szyfrowanie blokowe 2DES nie podwaja efektywnej siły kryptograficznej szyfru (57 bitów zamiast 112 bitów).
• Rola potrójnego szyfrowania 3DES w schemacie EDE jako minimalnej konstrukcji gwarantującej odporność na atak MitM (złożoność 2^112 operacji).
• Student potrafi zaimplementować atak Meet-in-the-Middle w Pythonie i dokonać rygorystycznej oceny kompromisu czasowo-pamięciowego.

Cel

Celem zadania jest zaimplementowanie w języku Python pełnego ataku wyroczni dopełnienia (Padding Oracle Attack) na szyfrogram zabezpieczony w trybie CBC ze standaryzowanym dopełnieniem PKCS#7. Student odzyskuje bajt po bajcie cały tekst jawny bez jakiejkolwiek znajomości klucza tajnego, wysyłając spreparowane wektory do podatnej wyroczni deszyfrującej.

Scenariusz – opis

Atak wyroczni dopełnienia (ang. Padding Oracle Attack), opublikowany przez Serge'a Vaudenaya w 2002 roku, jest jednym z najbardziej niszczycielskich ataków na tryb CBC. Występuje on w systemach, w których serwer po odszyfrowaniu wiadomości zwraca informację, czy dopełnienie PKCS#7 było poprawne (kod 200/poprawny padding vs błąd 500/bad padding). W trybie CBC deszyfrowanie bloku C_1 daje stan pośredni I_1 = D_K(C_1), po czym tekst jawny wyliczany jest jako P_1 = I_1 XOR C_0 (gdzie C_0 to wektor IV). Modyfikując ostatni bajt wektora C_0 i testując reakcję wyroczni na 256 możliwych wartości, atakujący może wymusić, aby ostatni bajt tekstu jawnego przyjął poprawny padding 0x01. Gdy wyrocznia zaakceptuje padding, atakujący poznaje stan pośredni I_1[15] = C'_0[15] XOR 0x01, co pozwala na natychmiastowe obliczenie oryginalnego tekstu jawnego P_1[15] = I_1[15] XOR C_0[15]! W tym zadaniu zaimplementujesz w Pythonie w JSLinux zarówno podatną wyrocznię, jak i zautomatyzowanego klienta kryptoanalitycznego.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę wirtualną JSLinux Alpine.
2. Utwórz plik programu: nano padding_oracle.py.
3. Zaimplementuj bezpieczną procedurę weryfikacji paddingu PKCS#7: check_pkcs7_padding( plaintext).
4. Zaimplementuj wyrocznię: padding_oracle(iv, ciphertext) zwracającą True/False.
5. Zaszyfruj tajną wiadomość AES-128-CBC i uzyskaj parę (IV, Ciphertext).
6. Zaimplementuj funkcję attack_byte(target_block, prev_block, byte_index, intermediate_known) według szkieletu: (a) zbuduj IV_mod kopiując prev_block i wstawiając znane bajty intermediate_known[j] XOR pad dla j > byte_index; (b) iteruj v od 0 do 255 jako kandydata IV_mod[byte_index]; (c) pierwsze True z wyroczni kończy pętlę. Zanim zaatakujesz pełny blok, zalicz test minimalny: odszyfruj 1-bajtowe dopełnienie (blok, którego jawny tekst kończy się poprawnym 0x01) - ten test rozstrzyga, czy wyrocznia i pętla działają, zanim zaczniesz nocne debugowanie całości.
7. Zaimplementuj pętlę ataku odzyskującą stan pośredni intermediate dla bajtów od 15 do 0.
8. Zastosuj regułę XOR stanu pośredniego z oryginalnym blokiem poprzedzającym, odzyskując tekst jawny.
9. Zaimplementuj obsługę odszyfrowywania wielu bloków szyfrogramu.
10. Uruchom atak i obserwuj pojawiające się litery odszyfrowywanego tekstu w czasie rzeczywistym.
11. Wypisz w konsoli końcowy odzyskany tekst jawny.
12. Policz łączną liczbę zapytań HTTP/funkcyjnych wysłanych do wyroczni.
13. Porównaj złożoność ataku wyroczni (O(256 * B)) ze złożonością ataku siłowego (O(2^(8*B))).
14. Wykonaj zrzuty ekranu z konsoli prezentujące odzyskiwanie tekstu bajt po bajcie.
15. Opisz mechanizm mitygacji: dlaczego odpowiedź serwera na błąd deszyfrowania musi być generyczna i wykonywana w stałym czasie.
16. Sformułuj wnioski podsumowujące wyższość schematów AEAD (AES-GCM, ChaCha20-Poly1305) nad CBC.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób wyciek informacji o poprawności paddingu tworzy kanał boczny umożliwiający deszyfrowanie bez klucza.
• Liniowość zależności P = D_K(C) XOR IV i możliwość precyzyjnego kontrolowania tekstu jawnego przez manipulację wektorem IV.
• Radykalna redukcja złożoności obliczeniowej: odzyskanie bajtu wymaga maksymalnie 256 prób zamiast przeszukania przestrzeni klucza.
• Student potrafi od podstaw zaprogramować i przeprowadzić skuteczny atak wyroczni dopełnienia w środowisku Linux.

Cel

Celem zadania jest zrekonstruowanie w języku Python klasycznego ataku FMS (Fluhrer-Mantin-Shamir) na algorytm RC4, który doprowadził do załamania protokołu WEP w sieciach bezprzewodowych. Student bada zjawisko korelacji pomiędzy stanem tablicy S po fazie KSA a pierwszym bajtem strumienia PRGA dla tzw. słabych wektorów IV i odzyskuje bajt tajnego klucza metodą statystyczną.

Scenariusz – opis

W 2001 roku Scott Fluhrer, Itsik Mantin i Adi Shamir opublikowali przełomową pracę wykazującą, że faza inicjalizacji KSA w szyfrze RC4 nie rozprasza dostatecznie szybko entropii klucza. W protokole WEP klucz szyfrujący każdy pakiet powstawał przez proste połączenie 3-bajtowego jawnego wektora IV oraz tajnego klucza stałego: Key = IV || MasterKey. Autorzy ataku wykazali, że gdy wektor IV ma postać (B + 3, 255, V), gdzie B to indeks zgadywanego bajtu klucza głównego, to z prawdopodobieństwem około 5% (zamiast losowego 1/256 ~ 0.4%) pierwszy bajt wyjściowy strumienia PRGA spełnia równość: S_output[0] = j + S[B+3] + K[B]. Oznacza to, że podsłuchując kilkaset pakietów zawierających specyficzne, słabe wektory IV, atakujący może odgadnąć kolejne bajty tajnego klucza drogą głosowania statystycznego. W tym laboratorium zaimplementujesz symulator podsłuchu pakietów WEP oraz moduł statystycznego odzyskiwania klucza w Pythonie w JSLinux. Przetestujesz atak na wygenerowanym zbiorze danych i zweryfikujesz poprawność odzyskanego sekretu.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę wirtualną JSLinux Alpine.
2. Utwórz plik programu: nano fms_attack.py.
3. Zaimplementuj w Pythonie algorytm KSA i generator PRGA dla RC4.
4. Zdefiniuj tajny klucz MasterKey o długości 5 bajtów (klucz 40-bitowy WEP).
5. Napisz funkcję generującą pakiety ze słabymi wektorami IV postaci (B+3, 255, X).
6. Zasymuluj podsłuchanie pierwszego bajtu szyfrogramu przy znanym pierwszym bajcie tekstu (nagłówek SNAP w 802.11: 0xAA).
7. Wyodrębnij pierwszy bajt strumienia PRGA: keystream_0 = ciphertext_0 XOR 0xAA.
8. Zaimplementuj częściową symulację KSA do kroku B+2 dla każdego przechwyconego pakietu.
9. Oblicz głosowaną wartość kandydata bajtu klucza k_cand dla każdego pakietu.
10. Zbuduj tablicę zliczeń (votes) o rozmiarze 256 elementów dla badanego bajtu B.
11. Zgromadź około 300 słabych pakietów dla bajtu B=0 i wypisz kandydata z maksymalną liczbą głosów. Generator przechwytów zbuduj według szkieletu (5000 pakietów na każdy bajt B): for _ in range(5000): iv = bytes([ B + 3, 255, random.randrange(256)]); keystream_0 = rc4_first_byte(iv + MASTERKEY); zapisz (iv, keystream_0). Kryterium stopu dla każdego bajtu: zwycięzca głosowania jest stabilny (ten sam kandydat wygrywa) przez kolejne 50 pakietów i ma przewagę co najmniej 2× nad drugim kandydatem; w przeciwnym razie dobieraj pakiety, nie zmieniaj wzoru FMS.
12. Zweryfikuj zgodność odzyskanego bajtu z wartością MasterKey[0].
13. Rozszerz pętlę ataku na odzyskiwanie kolejnych bajtów B=1, 2, 3, 4 z wykorzystaniem już odzyskanych wartości.
14. Wypisz kompletny odzyskany klucz w postaci szesnastkowej.
15. Wykonaj zrzuty ekranu działania skryptu w JSLinux z widocznym pikiem statystycznym w tablicy głosów.
16. Sformułuj techniczne wnioski wyjaśniające genezę narzędzi Aircrack-ng i konieczność przejścia z WEP na WPA2/WPA3.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób niepełne wymieszanie stanu tablicy S w fazie KSA zachowuje bezpośrednią korelację z początkowymi bajtami klucza.
• Dlaczego używanie stałego klucza z jawnym licznikiem IV w formacie Key = IV || Secret kompromituje bezpieczeństwo szyfrów strumieniowych.
• Mechanizm wzmocnienia statystycznego FMS: przewaga poprawnego kandydata (p ~ 5%) nad szumem losowym (p ~ 0.4%) pozwala na odzyskanie klucza.
• Student potrafi zaimplementować kryptoanalityczny atak FMS na RC4 w Pythonie i zinterpretować wyniki rozkładu statystycznego.

Cel

Celem zadania jest samodzielna implementacja pełnej arytmetyki ciała skończonego Galois GF(2^8) w języku Python oraz zbadanie matematycznych właściwości warstwy dyfuzyjnej MixColumns szyfru AES. Student programuje mnożenie wielomianowe modulo m(x), implementuje transformację MixColumns oraz InvMixColumns, dowodzi własności macierzy MDS (Maximum Distance Separable) i wyznacza współczynnik dyfuzji Branch Number.

Scenariusz – opis

Najbardziej zaawansowaną matematycznie operacją pojedynczej rundy AES jest transformacja MixColumns, odpowiedzialna za dyfuzję wewnątrz kolumny macierzy stanu. Każdy bajt macierzy stanu jest traktowany jako element ciała skończonego Galois GF(2^8) (reprezentowany przez wielomian stopnia co najwyżej 7 o współczynnikach binarnych). Mnożenie dwóch elementów w tym ciele odbywa się modulo nierozkładalny wielomian m(x) = x^8 + x^4 + x^3 + x + 1, odpowiadający szesnastkowo wartości 0x11B. Operacja MixColumns polega na pomnożeniu 4-elementowego wektora kolumny przez stałą macierz cykliczną o współczynnikach {02, 03, 01, 01}. Macierz ta została dobrana jako macierz MDS (Maximum Distance Separable), co gwarantuje, że suma liczby niezerowych bajtów na wejściu i wyjściu wynosi co najmniej 5 (Branch Number = 5). W tym zadaniu zaimplementujesz w Pythonie pełną arytmetykę ciała GF(2^8) oraz przeprowadzisz analizę dyfuzyjną macierzy MDS.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę JSLinux Alpine.
2. Utwórz plik programu: nano gf28_mixcolumns.py.
3. Zaimplementuj funkcję dodawania w ciele GF(2^8) add_gf(a, b).
4. Zaimplementuj funkcję mnożenia xtime(a) z redukcją wielomianem 0x11B.
5. Zaimplementuj uniwersalne mnożenie mul_gf(a, b) metodą algorytmu Rosyjskich Chłopów.
6. Wygeneruj tablice tabelaryczne exp_table i log_table dla generatora 0x03 i zweryfikuj ich poprawność.
7. Zaimplementuj operację mix_column(col) z macierzą [[2,3,1,1],[1,2,3,1],[1,1,2,3],[3,1,1,2]].
8. Zaimplementuj operację inv_mix_column(col) z macierzą odwrotną [[14,11,13,9],[9,14,11,13],[13,9,14,11],[11,13,9,14]].
9. Przetestuj poprawność odwracalności na wektorze testowym FIPS 197: [0xd4, 0xbf, 0x5d, 0x30] -> [0x04, 0x66, 0x81, 0xe5].
10. Testy bramkowe arytmetyki (zaliczenie implementacji przed dowodem MDS): mul_gf(0x57, 0x13) == 0xFE (słynny przykład z FIPS 197 §4.2) oraz mul_gf(a, 0x01) == a i mul_gf(a, 0x00) == 0x00 dla losowych a. Bez tych trzech asercji dalsze wyniki (Branch Number) są niewiarygodne - teoria bez arytmetyki nie istnieje.
11. Napisz funkcję weight(col) zliczającą liczbę niezerowych bajtów w 4-elementowym wektorze.
12. Przeprowadź wyczerpujący test branch number dla wszystkich wektorów wejściowych o wadze 1.
13. Potwierdź, że minimalna wartość sumy weight(in) + weight(out) wynosi dokładnie 5.
14. Zbadaj zachowanie trybu MixColumns przy wektorze o wadze 2 i odnotuj minimalną wagę wyjściową.
15. Zestaw wyniki w tabeli: Waga wejściowa, Minimalna waga wyjściowa, Suma wag, Status MDS.
16. Wykonaj zrzuty ekranu kodu oraz wyjścia konsoli w JSLinux.
17. Sformułuj techniczne wnioski wyjaśniające, w jaki sposób własność MDS gwarantuje pełną dyfuzję w szyfrze AES już po 2 rundach (tzw. Wide Trail Strategy).

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób arytmetyka w ciele skończonym GF(2^8) eliminuje przepełnienia arytmetyczne, zachowując odwracalność przekształcenia.
• Definicja macierzy MDS (Maximum Distance Separable) i znaczenie współczynnika dyfuzji Branch Number = 5.
• Rola strategii szerokiego śladu (Wide Trail Strategy) w uodpornieniu AES na kryptoanalizę liniową i różnicową.
• Student potrafi od podstaw zaimplementować arytmetykę ciała Galois w Pythonie i dowieść właściwości MDS macierzy MixColumns.

Cel

Celem zadania jest przeprowadzenie zaawansowanej inspekcji binarnej rzeczywistych par kolizyjnych dla algorytmu MD5 (wektory ataku różnicowego Wanga) oraz pary kolizyjnej SHA-1 (projekt Google SHAttered z 2017 r.) w środowisku konsolowym Linux. Student bada układ różnic kryptoanalitycznych w blokach kompresji za pomocą hexdump i cmp, oblicza sumy kontrolne i analizuje mechanizm ataku na podpisy cyfrowe X.509.

Scenariusz – opis

W 2004 roku zespół pod kierunkiem prof. Xiaoyun Wang zaprezentował pierwsze praktyczne kolizje dla MD5, a w 2008 roku badacze wykorzystali tę technikę do sfałszowania certyfikatu nadrzędnego urzędu certyfikacji (Rogue CA). Z kolei w 2017 roku badacze z CWI Amsterdam i Google ogłosili projekt SHAttered, generując dwa różne pliki PDF o identycznym skrócie SHA-1 kosztem około 9 trylionów operacji. Kolizje te nie są przypadkowymi zbiegami okoliczności, lecz wynikiem precyzyjnie skalkulowanych zaburzeń różnicowych wprowadzanych w dwóch kolejnych 512-bitowych blokach wiadomości. W tym laboratorium zbadasz strukturę binarną tych wektorów w środowisku JSLinux Alpine. Pobierzesz lub wygenerujesz wektory kolizyjne MD5 oraz przeanalizujesz oficjalne pliki PDF z projektu SHAttered. Za pomocą narzędzi konsoli uniksowej (cmp, xxd, hexdump) zlokalizujesz dokładne pozycje różniących się bitów i sprawdzisz ich skróty w różnych algorytmach.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom emulator JSLinux Alpine.
2. Napisz w JSLinux skrypt Pythona tworzący dwa pliki kolizyjne MD5 na bazie wektorów różnicowych Wanga.
3. Wygeneruj pliki md5_block_a.bin oraz md5_block_b.bin o długości 128 bajtów.
4. Oblicz skróty MD5: md5sum md5_block_a.bin md5_block_b.bin i odnotuj kolizję.
5. Oblicz skróty SHA-256: sha256sum md5_block_a.bin md5_block_b.bin i wykaż brak podobieństwa.
6. Wykonaj szczegółowe porównanie binarne poleceniem: cmp -l md5_block_a.bin md5_block_b.bin | wc -l.
7. Wypisz zrzut heksadecymalny różnic za pomocą xxd lub od -tx1.
8. Pobierz lub wygeneruj próbki nagłówków kolizyjnych SHA-1 SHAttered (PDF 1 i PDF 2).
9. Zweryfikuj skrót SHA-1 dla obu próbek za pomocą sha1sum.
10. Limit praktyczny (obowiązkowy): pracuj wyłącznie na samych blokach kolizyjnych (MD5: 128 bajtów Wanga; SHAttered: zredukowane nagłówki po kilka KB z repozytorium materiałów, NIE pełne PDF-y po ~400 KB), a integralność pobranych próbek potwierdź sumami SHA-256 z tabeli prowadzącego. Pełne pliki SHAttered nie mieszczą się wygodnie w emulatorze JSLinux - próba ich mielenia to strata zajęć, nie ambicja.
11. Zweryfikuj skrót SHA-256 dla obu próbek za pomocą sha256sum.
12. Porównaj bloki kolizyjne SHA-1 poleceniem cmp i odnotuj liczbę zmienionych bajtów.
13. Napisz krótki skrypt w Pythonie obliczający bitowy XOR kolidujących bloków.
14. Zinterpretuj układ różnic w kontekście zaburzeń ścieżki różnicowej w 80 rundach SHA-1.
15. Zestaw w tabeli: Algorytm, Plik 1, Plik 2, Hash algorytmu badanego, Hash SHA-256, Liczba różnych bajtów.
16. Wykonaj zrzuty ekranu konsoli JSLinux dokumentujące wszystkie etapy weryfikacji.
17. Sformułuj techniczne wnioski wyjaśniające, w jaki sposób kolizje typu Chosen-Prefix uderzają w bezpieczeństwo podpisów cyfrowych w protokole TLS.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób precyzyjnie wyliczone różnice w blokach kompresji znoszą się wzajemnie pod koniec przetwarzania w MD5 i SHA-1.
• Dlaczego kolizja w starszym algorytmie (MD5/SHA-1) jest natychmiast demaskowana przez nowoczesną funkcję SHA-256.
• Konsekwencje podatności kolizyjnych dla integralności dokumentów PDF oraz legalności certyfikatów X.509 (atak Rogue CA).
• Student potrafi przeprowadzić inspekcję binarną par kolizyjnych w konsoli Linux oraz zinterpretować mechanizm kryptoanalizy różnicowej.

Cel

Celem zadania jest dogłębne poznanie architektury najnowszego standardu NIST SHA-3 poprzez zaimplementowanie w języku Python modelu gąbki kryptograficznej (Sponge Construction) oraz zredukowanej permutacji Keccak. Student programuje fazę wchłaniania (absorb) i wyciskania (squeeze), bada rolę parametrów szybkości (rate) i pojemności (capacity) oraz wykazuje matematycznie, dlaczego konstrukcja gąbki jest całkowicie odporna na atak Length Extension Attack.

Scenariusz – opis

W 2015 roku NIST opublikował normę FIPS 202 standaryzującą algorytm SHA-3, oparty na zwycięskim projekcie Keccak stworzonym przez Bertoniego, Daemena, Peetersa i Van Assche. W przeciwieństwie do wszystkich wcześniejszych standardów (MD5, SHA-1, SHA-2) opartych na konstrukcji Merkle-Damgård, SHA-3 wykorzystuje rewolucyjną konstrukcję gąbki (ang. Sponge Construction). Stan wewnętrzny gąbki ma stały rozmiar b = r + c (w pełnym SHA-3 b = 1600 bitów), gdzie r to szybkość (rate), a c to pojemność (capacity) determinująca poziom bezpieczeństwa. W fazie wchłaniania (absorb) kolejne porcje danych o długości r bitów są sumowane bitowo XOR ze stanem i poddawane nieliniowej permutacji f. W fazie wyciskania (squeeze) ze stanu pobiera się kolejne porcje r-bitowe tworzące wynikowy skrót o dowolnej, żądanej przez użytkownika długości. W tym zadaniu zaimplementujesz model gąbki i uproszczoną permutację Keccak w Pythonie w JSLinux, badając jej unikalne właściwości.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę wirtualną JSLinux Alpine.
2. Utwórz plik programu: nano sponge_sha3.py.
3. Zaimplementuj reprezentację stanu 5x5 słów w Pythonie.
4. Zaimplementuj operację dopełnienia pad10*1: padding(msg_len, rate).
5. Zaimplementuj krok Theta (mieszanie parzystości kolumn) permutacji Keccak.
6. Zaimplementuj kroki Rho i Pi (rotacje i permutacje współrzędnych).
7. Zaimplementuj krok Chi (jedyną nieliniową operację logiczną w Keccak: a ^ ((~b) & c)).
8. Zaimplementuj krok Iota dodający stałą rundową do słowa (0,0).
9. Złóż pełną funkcję permutacji keccak_f( state, rounds).
10. Zaimplementuj fazę wchłaniania absorb( state, message_blocks, rate).
11. Zaimplementuj fazę wyciskania squeeze( state, output_len, rate).
12. Przetestuj generowanie skrótu dla krótkiej wiadomości testowej.
13. Zbadaj zachowanie gąbki przy żądaniu wyjścia o długości 64 bajtów (funkcja XOF, funkcja SHAKE).
14. Wykaż w konsoli niemożliwość odtworzenia stanu ukrytej pojemności c z samego wyjścia squeeze.
15. Słowniczek pojęć do raportu (jedno zdanie na hasło, bez niego wnioski są niezaliczone): rate r = część stanu stykająca się z danymi (wejście/wyjście); capacity c = ukryta część determinująca bezpieczeństwo; reguła: capacity 512 bitów oznacza 256 bitów bezpieczeństwa (połowa c). Podpisz pod tabelą FIPS 202, która wartość c odpowiada SHA3-256 (c = 512) i dlaczego.
16. Wykonaj zrzuty ekranu z działania skryptu w JSLinux.
17. Sformułuj techniczne wnioski podsumowujące architektoniczną wyższość konstrukcji gąbki nad Merkle-Damgård.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób podział stanu na szybkość (rate) i ukrytą pojemność (capacity) uniemożliwia ataki dołączenia długości.
• Uniwersalność konstrukcji gąbki: możliwość generowania wyjścia o dowolnej długości (funkcje XOF, np. SHAKE128 i SHAKE256).
• Elegancja permutacji Keccak opartej na prostych operacjach logicznych bez konieczności odwracania funkcji kompresji.
• Student potrafi zaimplementować model gąbki w Pythonie i uzasadnić wybór Keccak jako standardu SHA-3 przez NIST.

Cel

Celem zadania jest zaimplementowanie w języku Python algorytmu uwierzytelniania wiadomości Poly1305 w ciele Galois liczb pierwszych Z_(2^130 - 5). Student bada procedurę clampingu klucza r (zerowanie specyficznych bitów), ewaluację wielomianu Hornera w arytmetyce modularnej, dodanie klucza maskującego s oraz weryfikuje poprawność na oficjalnym wektorze testowym ze standardu IETF RFC 8439.

Scenariusz – opis

Funkcja Poly1305, zaprojektowana przez Daniela J. Bernsteina, jest wysoce wydajnym kodem uwierzytelniania wiadomości (MAC) o bezwarunkowym bezpieczeństwie informacyjnym w modelu klucza jednorazowego. Algorytm przetwarza wiadomość podzieloną na 16-bajtowe bloki jako współczynniki wielomianu stopnia k w ciele liczb pierwszych modulo p = 2^130 - 5. Wybór liczby pierwszej p = 2^130 - 5 jest matematycznym majstersztykiem: reszta modulo p może być obliczana błyskawicznie bez kosztownego dzielenia wielkich liczb, wykorzystując zależność 2^130 = 5 mod p. Klucz Poly1305 składa się z dwóch 16-bajtowych liczb: r (klucza ewaluacji wielomianu) oraz s (klucza maskującego). Przed rozpoczęciem obliczeń klucz r musi zostać poddany procesowi obcięcia bitów (ang. clamping), w którym określone bity są zerowane, aby zapobiec atakom na przeniesienia bitowe. W tym laboratorium zaimplementujesz algorytm Poly1305 od podstaw w Pythonie w JSLinux i zweryfikujesz go z dokumentem RFC 8439.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę JSLinux Alpine z interpreterem Python 3.
2. Utwórz plik programu: nano poly1305_verify.py.
3. Zdefiniuj stałą modularną P = (1 << 130) - 5.
4. Napisz funkcję clamp_r(r_bytes) realizującą maskowanie bitowe z sekcji 2.5 RFC 8439.
5. Clamping bez magii - tabela do raportu (indeksy bajtów r od 0): bajty 3, 7, 11, 15 maskuj 0x0F (zerowanie 4 górnych bitów - eliminacja ataków na małe podgrupy rzędu); bajty 4, 8, 12 maskuj 0xFC (zerowanie 2 dolnych bitów - wymuszenie podzielności rzez 4, stabilizacja Hornera). Test negatywny: uruchom wektor RFC 8439 z r BEZ clampingu i udokumentuj rozjazd tagu - ten jeden FAIL dowodzi, że clamping nie jest ozdobnikiem.
6. Zaimplementuj konwersję bajtów na liczby little-endian: int.from_bytes( data, 'little').
7. Napisz funkcję dzielącą wiadomość na bloki dopełniane wartością 0x01.
8. Zaimplementuj pętlę akumulacji modularnej wielomianu Hornera modulo P.
9. Zaimplementuj dodawanie klucza maskującego modulo 2^128.
10. Zaimplementuj formatowanie wyjściowego tagu 128-bitowego.
11. Wprowadź wektor testowy RFC 8439 sekcja 2.5.2.
12. Uruchom skrypt i porównaj wygenerowany tag szesnastkowy z wartością oczekiwaną.
13. Wypisz w konsoli komunikat weryfikacyjny SUCCESS / FAIL.
14. Przetestuj zachowanie algorytmu przy zmianie jednego bitu w wiadomości i odnotuj całkowitą zmianę tagu.
15. Zbadaj matematyczny mechanizm ataku przy powtórzeniu klucza r (odejmowanie równań w ciele Z_p).
16. Wykonaj zrzuty ekranu konsoli JSLinux z pomyślnym wykonaniem testu RFC.
17. Sformułuj techniczne wnioski podsumowujące rolę Poly1305 w pakietach TLS 1.3 i WireGuard.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• Dlaczego arytmetyka w ciele liczb pierwszych modulo 2^130 - 5 zapewnia niezwykłą wydajność obliczeniową na rejestrach procesora.
• Rola procedury clampingu w zapobieganiu propagacji niekontrolowanych przeniesień bitowych.
• Krytyczny wymóg jednorazowości pary kluczy (r, s): dlaczego powtórzenie klucza prowadzi do kompromitacji autentyczności.
• Student potrafi w pełni zaimplementować i zweryfikować algorytm Poly1305 w Pythonie w oparciu o specyfikację RFC 8439.

Cel

Celem zadania jest zasymulowanie ataku Man-in-the-Middle na podatny protokół tunelujący pakiety sieciowe szyfrowane czystym szyfrem strumieniowym ChaCha20 bez tagu uwierzytelniającego Poly1305. Student manipuluje polami nagłówka IP i portu docelowego w przelocie bez znajomości klucza, przekierowując zaszyfrowany ruch na serwer atakującego, a następnie wdraża mechanizm AEAD ChaCha20-Poly1305 całkowicie blokujący atak.

Scenariusz – opis

W inżynierii bezpieczeństwa powszechnym grzechem optymalizacyjnym jest rezygnacja z tagu uwierzytelniającego MAC w celu zaoszczędzenia pasma sieciowego lub cykli procesora. Gdy protokół tunelujący (np. uproszczony VPN) przesyła pakiety szyfrowane czystym szyfrem strumieniowym ChaCha20, atakujący znający strukturę przesyłanych nagłówków może dokonać ich dowolnej modyfikacji. W strukturze pakietu IP adres docelowy oraz port znajdują się na stałych pozycjach. Atakujący podsłuchujący transmisję na routerze tranzytowym może zaaplikować przekształcenie XOR na bajtach adresu docelowego w szyfrogramie, zamieniając adres legalnego serwera bankowego na adres kontrolowanego przez siebie serwera-pułapki. Gdy odbiorca tunelu odszyfruje pakiet, router zdeszyfruje podmieniony adres IP i prześle wrażliwe dane bezpośrednio do rąk napastnika! W tym zadaniu zasymulujesz tę podatność w Pythonie w JSLinux i udowodnisz, dlaczego nowoczesne standardy bezwzględnie wymagają konstrukcji AEAD.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę wirtualną JSLinux Alpine.
2. Utwórz plik programu: nano vpn_tunnel_attack.py.
3. Zaimplementuj w Pythonie prosty generator ChaCha20 dla symulacji tunelu.
4. Zdefiniuj strukturę pakietu sieciowego z polami SRC, DST, PORT i PAYLOAD.
5. Zaszyfruj pakiet czystym algorytmem ChaCha20.
6. Zaimplementuj funkcję atakującego przechwytującą zaszyfrowany pakiet.
7. Zidentyfikuj indeksy bajtów pola DST w zaszyfrowanym strumieniu.
8. Sekcja „założenia atakującego" (obowiązkowa w raporcie): wypisz, co atakujący zna (format nagłówka, pozycje pól, długość PAYLOAD) a czego nie zna (klucz K, Nonce), i pokaż wariant, w którym atak się załamuje: przesuń pole DST o 2 bajty (nieznany offset) i udokumentuj, że ślepy flipping daje bełkot zamiast trasy - bez znajomości formatu plastyczność jest bezużyteczna.
9. Wykonaj operację bit-flipping modyfikującą bajty adresu IP w szyfrogramie.
10. Przekaż zmodyfikowany pakiet do procedury deszyfrującej serwera.
11. Wypisz w konsoli odszyfrowaną zawartość i potwierdź skuteczną zmianę trasy pakietu.
12. Zaimplementuj bezpieczną wersję tunelu w oparciu o ChaCha20-Poly1305 (RFC 8439).
13. Wygeneruj 16-bajtowy tag Poly1305 dla pakietu tunelu.
14. Powtórz modyfikację bajtów adresu IP na pakiecie zabezpieczonym Poly1305.
15. Zasymuluj weryfikację tagu po stronie serwera i zarejestruj odrzucenie pakietu.
16. Wykonaj zrzuty ekranu konsoli JSLinux obrazujące oba scenariusze.
17. Sformułuj techniczne wnioski wyjaśniające dlaczego protokoły WireGuard i TLS 1.3 bezwzględnie egzekwują weryfikację AEAD.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób plastyczność (malleability) czystych szyfrów strumieniowych umożliwia ataki manipulacji trasowaniem pakietów.
• Dlaczego szyfrowanie bez uwierzytelniania nie gwarantuje bezpieczeństwa w protokołach warstwy sieciowej.
• Rola tagu Poly1305 jako tarczy kryptoanalitycznej uniemożliwiającej nawet najmniejszą zmianę pojedynczego bitu nagłówka.
• Student potrafi zasymulować zaawansowany atak manipulacji pakietem w Pythonie i udowodnić konieczność stosowania AEAD.

Cel

Celem zadania jest zbadanie właściwości kryptoanalitycznych nieliniowych tablic podstawień (S-box) algorytmu DES w języku Python poprzez skonstruowanie pełnej tabeli rozkładu różnic (Difference Distribution Table - DDT). Student analizuje prawdopodobieństwa propagacji różnic wejściowych na różnice wyjściowe, wyznacza maksymalne prawdopodobieństwo przejścia i bada, w jaki sposób inżynierowie IBM i NSA uodpornili DES na kryptoanalizę różnicową.

Scenariusz – opis

Jedynym nieliniowym elementem całego algorytmu DES są tablice podstawień S-box, redukujące 6-bitowe wejście do 4-bitowego wyjścia. Wszystkie pozostałe operacje (permutacje IP, E, P oraz dodawanie klucza) są czysto liniowe w ciele F_2. Gdyby S-boksy były liniowe, cały algorytm DES można by zapisać jako prosty układ równań liniowych i rozwiązać w ułamku sekundy. W 1990 roku Eli Biham i Adi Shamir opublikowali metodę kryptoanalizy różnicowej, która bada propagację różnic wejściowych Delta X = X1 XOR X2 na różnice wyjściowe Delta Y = S(X1) XOR S(X2). Kluczowym narzędziem kryptoanalizy różnicowej jest tabela rozkładu różnic (DDT) o wymiarach 64 x 16, zliczająca ile par wejść o zadanej różnicy Delta X daje na wyjściu różnicę Delta Y. W tym laboratorium zaimplementujesz generator tabeli DDT dla S-boksa S1 algorytmu DES w Pythonie w JSLinux i dokonasz jego oceny bezpieczeństwa.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę wirtualną JSLinux Alpine.
2. Utwórz plik programu: nano des_sbox_ddt.py.
3. Zdefiniuj w Pythonie tablicę S-box S1 standardu DES.
4. Zaimplementuj funkcję obliczającą wyjście S-boxa z 6 bitów wejścia: lookup_s1(x).
5. Zadeklaruj macierz DDT o wymiarach 64x16 zainicjalizowaną zerami.
6. Zaimplementuj pętlę obliczającą rozkład różnic dla wszystkich par wejść według szkieletu (przepisz 1:1 dla S1, potem replikuj): for dx in range(64): for x in range(64): ddt[dx][sbox[x] ^ sbox[x ^ dx]] += 1. Kontrola: ddt[0][0] == 64 i zera w reszcie wiersza 0; dopiero zgodny szkielet wolno rozszerzyć na losowy S-boks i pozostałe porównania - połowa czasu kodowania, ten sam efekt dydaktyczny.
7. Wypisz fragment tabeli DDT w czytelnej formie macierzowej w konsoli.
8. Napisz funkcję wyszukującą maksymalną wartość w DDT z wyłączeniem wiersza delta_x = 0.
9. Oblicz maksymalne prawdopodobieństwo przejścia różnicy: P_max = max_val / 64.0.
10. Zaimplementuj generator losowego S-boksa 6-to-4 bity.
11. Wygeneruj tabelę DDT dla losowego S-boksa i porównaj wartość P_max z S-boksem DES.
12. Zbadaj liczbę komórek o wartości zero w DDT (niemożliwe przejścia różnicowe).
13. Zestaw w tabeli: Typ S-boksa, Maksymalna wartość w DDT, Maksymalne prawdopodobieństwo, Liczba przejść zerowych.
14. Wykonaj zrzuty ekranu konsoli JSLinux prezentujące działanie programu.
15. Przeanalizuj wpływ struktury DDT na złożoność ataku różnicowego Bihama-Shamira (2^47 par dla DES).
16. Sformułuj techniczne wnioski podsumowujące geniusz konstrukcyjny S-boksów DES w kontekście odporności różnicowej.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• W jaki sposób nieliniowość S-boksów determinuje całkowitą odporność algorytmu blokowego na kryptoanalizę liniową i algebraiczna.
• Definicja tabeli rozkładu różnic DDT jako fundamentalnego narzędzia kryptoanalizy różnicowej.
• Fakt, że S-boksy DES zostały celowo zoptymalizowane przez IBM/NSA w celu uodpornienia na kryptoanalizę różnicową na 15 lat przed jej jawnym odkryciem.
• Student potrafi skonstruować tabelę DDT w Pythonie i dokonać kryptoanalitycznej oceny jakości nieliniowości funkcji podstawień.

Cel

Celem zadania jest przeanalizowanie mechanizmów ochrony poświadczeń tożsamości nowej generacji (memory-hard KDF) na przykładzie algorytmów scrypt i Argon2id. Student bada zależność czasu wykonania oraz alokacji pamięci RAM od parametrów konfiguracyjnych w języku Python, porównuje charakterystyki z PBKDF2 oraz konstruuje matematyczny model ekonomicznego kosztu ataku na dedykowanym klastrze układów ASIC.

Scenariusz – opis

Klasyczne funkcje KDF, takie jak PBKDF2, opierają się wyłącznie na koszcie procesora (ang. compute-hard), co czyni je bezbronnymi wobec masowo równoległych układów FPGA i dedykowanych chipów ASIC. Układ ASIC może zmieścić tysiące równoległych rdzeni SHA-256 w pojedynczej krzemowej strukturze, osiągając miliardy haszy na sekundę przy znikomym poborze prądu. Aby zniwelować tę asymetrię, Colin Percival zaproponował algorytm scrypt, a w 2015 roku konkurs Password Hashing Competition wygrał algorytm Argon2 (w wariancie hybrydowym Argon2id). Algorytmy te są funkcjami pamięciochłonnymi (ang. memory-hard): wymagają alokacji znacznych ilości pamięci RAM (np. 64 MB na jedno haszowanie), co dramatycznie podnosi koszt produkcji układów scalonych ASIC. W tym zadaniu przeprowadzisz analizę empiryczną algorytmów scrypt i Argon2id w środowisku JSLinux Alpine. Napiszesz program profilujący zużycie pamięci i czasu oraz opracujesz model matematyczny kosztu złamania bazy danych poświadczeń.

Co ma wykonać student / grupa

Przykładowe kroki do wykonania jako sugestia

1. Uruchom maszynę JSLinux Alpine z interpreterem Python 3.
2. Utwórz plik programu: nano kdf_memory_hard.py.
3. Zaimportuj moduły hashlib, time, os, sys.
4. Zaimplementuj funkcję test_scrypt( password, salt, N, r, p) z precyzyjnym pomiarem czasu time.perf_counter().
5. Uruchom pomiary dla N=1024, r=8, p=1 i zarejestruj czas w milisekundach.
6. Zwiększ parametr N kolejno do 4096, 16384 oraz 32768, rejestrując czas i obliczając zużycie RAM: 128 * N * r bajtów.
7. Zaimplementuj funkcję test_pbkdf2( password, salt, iterations) o porównywalnym czasie wykonania.
8. Porównaj zapotrzebowanie pamięciowe obu funkcji (PBKDF2: ~1 KB vs scrypt: 32 MB).
9. Napisz moduł kalkulatora kosztu ataku ASIC: model_asic_cost(kdf_type, memory_mb, target_hashes).
10. Wprowadź parametry rynkowe kosztu powierzchni krzemowej i równoległości układów scalonych.
11. Wypisz w konsoli szacowany koszt finansowy ataku siłowego na 1 miliard haseł dla obu algorytmów.
12. Zinterpretuj przewagę algorytmu Argon2id w eliminacji ataków kanałami bocznymi (połączenie Argon2d i Argon2i).
13. Zestaw w tabeli sprawozdania parametry: Algorytm, Koszt obliczeniowy, Koszt pamięciowy, Odporność na GPU/ASIC, Status standardu.
14. Pomiary w emulatorze podawaj wyłącznie względnie: każdy czas dziel przez czas PBKDF2-100k na tym samym hoście (krotności, nie milisekundy) - bezwzględne ms z JSLinux są szumne. Tabelę parametrów (t = iteracje, m = pamięć w KiB, p = równoległość) dobierz dla serwera interaktywnego według RFC 9106 (np. m = 64 MiB, t = 3, p = 4) i uzasadnij jednym zdaniem, dlaczego m nie może być małe nawet przy dużym t.
15. Wykonaj zrzuty ekranu działania programu profilującego w JSLinux.
16. Przeanalizuj oficjalne wytyczne RFC 9106 (Argon2) i OWASP Password Storage.
17. Sformułuj techniczne wnioski podsumowujące dlaczego pamięciochłonność jest jedyną skuteczną obroną przed atakami sprzętowymi.

Sugerowane wnioski i podsumowanie - co student ma osiągnąć

Sprawozdanie z realizacji zadania musi zawierać następujące kluczowe wnioski i osiągnięcia:

• Dlaczego funkcje compute-hard (PBKDF2) faworyzują atakującego dysponującego klastrami GPU i układami ASIC.
• Mechanizm działania funkcji memory-hard: wymóg natychmiastowego dostępu do dziesiątek megabajtów pamięci blokuje miniaturyzację układów łamiących.
• Przewaga algorytmu Argon2id łączącego odporność na ataki cache-timing z odpornością na ataki GPU.
• Student potrafi sparametryzować nowoczesne funkcje KDF w Pythonie oraz opracować wiarygodny model ekonomiczny kosztu ataku sprzętowego.