Kryptografia II stopień

Twój punkt odniesienia:

Budujesz własne działania algebraiczne, sprawdzasz przypadki wyjątkowe i uzgadniasz reprezentację danych przed implementacją schematu.

1. Ciało i reprezentacja wielomianowa

   Wykład · pojęcie i mechanizmW6Odwrotność i EuklidesW6Wielomiany i nierozkładalnośćW6Bity i redukcjaW6Szybkie potęgowanie

   Ćwiczenia · rachunek i argumentC0A.1Ciało o 25 elementachC0A.2Rachunek na bitach

   Laboratorium · wykonanie i testL0A.1Arytmetyka modularnaL0A.2RozszerzeniaL0A.3Ciała binarne

   Rezultat: Rozróżnienie ciała rozszerzonego i pierścienia modulo potęgi.

2. Punkty i przypadki wyjątkowe

   Wykład · pojęcie i mechanizmW6Dodawanie i podwajanieW6Osobne prawo w charakterystyce 2

   Ćwiczenia · rachunek i argumentC0A.3Mała krzywa nad ciałem pierwszymC0A.4Charakterystyka 2

   Laboratorium · wykonanie i testL0A.4Działania na punktachL0A.5Opcjonalna krzywa binarna

   Rezultat: Własne prawo grupowe oraz kontrola typu parametrów.

3. Jednoznaczne bajty

   Wykład · pojęcie i mechanizmW6Kodowanie i kontrola punktów

   Ćwiczenia · rachunek i argumentC0A.5Niejednoznaczna krotka

   Laboratorium · wykonanie i testL0A.6Wspólny format i testy

   Rezultat: Niezależne programy zgadzają się co do danych i działań.

   Prowadzący wybiera zakres algebraiczny. Nie trzeba implementować wszystkich ciał i krzywych. Zastosowania wymagają dodatkowo odpowiednich rozdziałów o szyfrach, podpisach lub DH.

Twój punkt odniesienia:

Opisujesz schemat przez jego algorytmy. Odróżniasz poprawność od bezpieczeństwa i określasz cel przeciwnika.

1. Język przykładów

   Wykład · pojęcie i mechanizmZapis, losowanie i rachunek na bitachZapis przed pierwszym eksperymentem

   Ćwiczenia · rachunek i argumentC0Model i interpretacja zapytań

   Laboratorium · wykonanie i testL0Tabela odpowiedzi

   Rezultat: Bity, XOR, losowanie i prawdopodobieństwo warunkowe.

   XOR

   exclusive OR. Alternatywa wykluczająca. Wynik to 1 dokładnie wtedy, gdy dwa bity są różne.

2. Od algorytmów do gwarancji

   Wykład · pojęcie i mechanizmAlgorytmyFunkcjonalność przed konstrukcją

   Ćwiczenia · rachunek i argumentC0.6Połącz Sign z VerifyC0.7Poprawność bez bezpieczeństwa

   Laboratorium · wykonanie i testL0.5Sekret wewnątrz usługi, wynik na zewnątrz

   Rezultat: Wejścia i wyjścia, poprawne złożenie oraz osobny warunek nowego fałszerstwa.

3. Od zagrożenia do eksperymentu

   Wykład · pojęcie i mechanizmWstępGranice ochronyModeleGra i dozwolone zapytania

   Ćwiczenia · rachunek i argumentC0.1Usługa podpisującaC0.2Zapytania adaptacyjneC0.4Rozszerzony modelC0.5Zdarzenie sukcesu

   Laboratorium · wykonanie i testL0.5Oddzielny interfejs podpisywania

   Rezultat: Model, cel przeciwnika i warunek wygranej.

4. Jedna funkcja, pamiętane odpowiedzi

   Wykład · pojęcie i mechanizmModelePamięć wyroczni losowej

   Ćwiczenia · rachunek i argumentC0.3Cztery pytania, trzy wejścia

   Laboratorium · wykonanie i testL0.1Pierwsze zapytanieL0.2Powtórzenie zapytaniaL0.3Nowe wejście i możliwa kolizjaL0.4Dokładne bajty wejścia

   Rezultat: Tabela, która rozróżnia nowe i powtórzone wejście.

Twój punkt odniesienia:

Oddzielasz poprawne odszyfrowanie od tajności i potrafisz wskazać skutki ponownego użycia maski.

1. Od szyfrów historycznych do OTP

   Wykład · pojęcie i mechanizmW1Historia i definicjeW3OTP i szyfr strumieniowy

   Ćwiczenia · rachunek i argumentC1.1Tajność doskonałaC1.2Obciążony kluczC1.3Dwa użycia OTPC1.4Liczba możliwych kluczy

   Laboratorium · wykonanie i testL2.1XOR dwóch szyfrogramówL2.2Odzyskanie drugiej wiadomości

   Rezultat: Rachunek rozkładów i jawny atak po ponownym użyciu maski.

   OTP

   one-time pad. Szyfr z jednorazowym, losowym kluczem długości wiadomości.

2. Od generatora do redukcji

   Wykład · pojęcie i mechanizmW2Definicje PRG i PRFW3OTP, następnie pierwsza redukcjaW3aW3a: pełny dowód metodą gierPogłębienie APogłębienie A: uwierzytelnione szyfrowanie

   Ćwiczenia · rachunek i argumentC3.1Przewidywalny generatorC3.2Algorytm redukcjiC3.3Powtórzenie argumentu PRFC3.4Suma strat

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Rozróżniacz, gry i koszt przejścia między nimi.

   Najpierw W2–W3 i zadania C3.1–2, następnie W3a. Pełne pogłębienie A wymaga również W4–W5. Test generatora nie zastępuje redukcji.

   PRG

   pseudorandom generator. Generator pseudolosowy.

   PRF

   pseudorandom function. Funkcja pseudolosowa.

Twój punkt odniesienia:

Wyjaśniasz rolę rundy, trybu pracy i znacznika oraz poprawnie obsługujesz odrzucenie danych.

1. Własna arytmetyka w AES i GCM

   Wykład · pojęcie i mechanizmW4AES i AEADW6Mnożenie bajtówW6GHASH i budowa znacznika

   Ćwiczenia · rachunek i argumentC2.5Macierz MixColumnsC4.6Wielomian GHASH

   Laboratorium · wykonanie i testL1.6GHASH i znacznik GCML1.7MixColumns

   Rezultat: Dwa różne ciała binarne, dwa różne zastosowania.

   Przed tą opcjonalną ścieżką wykonaj wybrane zadania C0a i L0a o ciałach binarnych. Nie jest ona warunkiem użycia bibliotecznego AES-GCM w L1.1–5.

   GCM

   Galois/Counter Mode. Tryb Galois/licznikowy, łączący szyfrowanie ze sprawdzaniem integralności.

   AEAD

   Authenticated Encryption with Associated Data. Uwierzytelnione szyfrowanie z danymi dodatkowymi.

   AES-GCM

   Advanced Encryption Standard in Galois/Counter Mode. Szyfr AES w trybie Galois/licznikowym. AESGCM jest nazwą klasy w bibliotece, a 256 oznacza długość klucza.

2. Runda nie jest całym szyfrem

   Wykład · pojęcie i mechanizmW4Runda AES i tryby pracy

   Ćwiczenia · rachunek i argumentC2.1Atak na ECBC2.2Modyfikacja CBCC2.3Powtórzony licznik CTRC2.4PRP a PRF

   Laboratorium · wykonanie i testL0 · AES.1Stany po operacjach rundyL0 · AES.2Propagacja różnicyL0 · AES.3Liczba różniących się bitówL0 · AES.4Wektor końcowy AESL0 · AES.5Kontrola wejścia i poprzednich wyników

   Rezultat: Stany AES i atak na niewłaściwy sposób użycia szyfru.

   ECB

   Electronic Codebook. Tryb niezależnego szyfrowania bloków, tradycyjnie nazywany elektroniczną książką kodową.

   CBC

   Cipher Block Chaining. Tryb wiązania bloków szyfrogramu.

   CTR

   Counter mode. Tryb licznikowy.

   PRP

   pseudorandom permutation. Permutacja pseudolosowa.

3. Skrót nie uwierzytelnia nadawcy

   Wykład · pojęcie i mechanizmW5Hasze i HMACW5Przedłużanie skrótu

   Ćwiczenia · rachunek i argumentC4.1Trzy własności haszaC4.2Fałszowanie jawnego znacznika

   Laboratorium · wykonanie i testL1.1Klucz, nonce i AADL1.2OdszyfrowanieL1.3Kontrolowane modyfikacje

   Rezultat: Rozróżnienie hasza, MAC i poufności.

   HMAC

   Hash-based Message Authentication Code. Kod uwierzytelnienia wiadomości oparty na funkcji haszującej. Przyrostek SHA-256 wskazuje użyty hasz.

   AAD

   Additional Authenticated Data. Dodatkowe dane uwierzytelniane, ale nieszyfrowane.

   MAC

   Message Authentication Code. Kod uwierzytelnienia wiadomości, sprawdzany przy użyciu klucza.

4. Nowa wiadomość a nowy znacznik

   Wykład · pojęcie i mechanizmW5Dowód MAC z PRFPogłębienie ASilna niepodrabialność w kompozycji

   Ćwiczenia · rachunek i argumentC4.5Definicja świeżego fałszerstwa

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Różnica między zwykłą i silną niepodrabialnością.

5. Od ochrony rekordu do jej granic

   Wykład · pojęcie i mechanizmW4AEADPogłębienie AEncrypt-then-MAC

   Ćwiczenia · rachunek i argumentC4.3Niepodrabialność MACC4.4Symulator deszyfrowania

   Laboratorium · wykonanie i testL1.4Bajty, UTF-8 i puste wejścieL1.5Projekt formatu rekordu

   Rezultat: Format danych i uzasadniona reguła unikalności nonce.

   Laboratorium używa AES-GCM. Dowód Encrypt-then-MAC dotyczy osobnej konstrukcji, nie jest dowodem GCM.

   UTF-8

   Unicode Transformation Format, 8-bit. Kodowanie znaków Unicode za pomocą jednostek 8-bitowych. Jeden znak może wymagać kilku bajtów.

Twój punkt odniesienia:

Kontrolujesz typy algebraiczne, role sekretu i klucza publicznego oraz problemy DL, CDH i DDH.

DL

discrete logarithm / discrete logarithm problem. Logarytm dyskretny / problem logarytmu dyskretnego.

CDH

Computational Diffie–Hellman. Obliczeniowy problem Diffiego–Hellmana.

DDH

Decisional Diffie–Hellman. Decyzyjny problem Diffiego–Hellmana.

1. Grupa, skalar i parowanie

   Wykład · pojęcie i mechanizmW6Most algebraiczny i problemy trudneW7Przed zadaniami: przebieg Schnorra

   Ćwiczenia · rachunek i argumentC5.1Typy w równaniu Schnorra

   Laboratorium · wykonanie i testL3.1Sekret, punkt i odpowiedźL3.2Publiczna weryfikacjaL3.3Kodowanie i kontrola typów

   Rezultat: To samo równanie w notacji addytywnej i potęgowej.

   W6 wprowadza działania. C5.1 i L3.1–3 wykorzystują dodatkowo protokół z W7.

Twój punkt odniesienia:

Rozróżniasz przekonanie uczestniczącego weryfikatora, symulację zapisu i dowód dla osoby trzeciej.

1. Schnorr: poprawność i symulator

   Wykład · pojęcie i mechanizmW7Symulacja i ekstrakcja

   Ćwiczenia · rachunek i argumentC5.1PoprawnośćC5.4Symulator HVZK

   Laboratorium · wykonanie i testL3.2Test równaniaL10.2Uczciwy przebieg i symulacja

   Rezultat: Akceptacja transkryptu oraz osobny argument o rozkładzie.

   HVZK

   honest-verifier zero knowledge. Zerowa wiedza wobec uczciwego weryfikatora.

2. Kolejność komunikatów ma znaczenie

   Wykład · pojęcie i mechanizmW8aSchnorr i Stinson–Wu

   Ćwiczenia · rachunek i argumentC10.5Weryfikator zna odpowiedźC10.6Ujawnienie losowości weryfikatoraC10.7Co zmienia Fiat–Shamir

   Laboratorium · wykonanie i testL10.1Dwie kolejności komunikatówL10.3Równanie a wyzwanie z haszaL10.4Błędny skrót i ujawnienie

   Rezultat: Wiedza weryfikatora, zaprzeczalność i granice Fiat–Shamira.

Twój punkt odniesienia:

Zapisujesz uprawnienia napastnika, odzyskujesz sekret w podatnym wariancie i wskazujesz granicę chronionej operacji.

1. Ten sam nonce, dwa wyzwania

   Wykład · pojęcie i mechanizmW7Dwa równaniaW8Ujawnienie, ustawienie i reset

   Ćwiczenia · rachunek i argumentC5.2Znany nonceC5.3Reset bez znajomości nonce

   Laboratorium · wykonanie i testL2.3Ekstrakcja w PythonieL2.4Niezależne nonceL2.5Ujawnienie a reset

   Rezultat: Dwa zachowane transkrypty, ekstrakcja i test kontrolny.

2. Odpowiedź przeniesiona do grupy

   Wykład · pojęcie i mechanizmW8Granica chronionego modułu

   Ćwiczenia · rachunek i argumentC5.5Punkt nie jest skalarem klucza

   Laboratorium · wykonanie i testL3.4Pairing zamiast odpowiedzi skalarnejL3.5Podział obliczeń

   Rezultat: Równanie pairingowe i jawne założenia modelu urządzenia.

3. Atak a narzędzie dowodu

   Wykład · pojęcie i mechanizmW9Najpierw podpis i cel fałszerzaPogłębienie BPogłębienie B: forkingOkamotoRedukcja Okamoto

   Ćwiczenia · rachunek i argumentC6.2Dwa fałszerstwaC6.5Strata forkingu

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Rozróżnienie fizycznego resetu od rewindingu redukcji.

   Tę część rozpocznij po W9. Rewinding jest operacją symulatora w określonym dowodzie. Nie oznacza dodatkowego interfejsu rzeczywistego urządzenia.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.

Twój punkt odniesienia:

Łączysz podpis z wiadomością i kontekstem, a test równania odróżniasz od argumentu niepodrabialności.

1. Od własnej grupy do dwóch formatów podpisu

   Wykład · pojęcie i mechanizmW9Dwa formaty SchnorraW6Jednoznaczne kodowanie

   Ćwiczenia · rachunek i argumentC6.6Odzyskiwane zobowiązanie

   Laboratorium · wykonanie i testL4.6Własna arytmetykaL4.7Porównanie formatów

   Rezultat: To samo równanie Schnorra i jawny format danych.

   Wariant dla osób realizujących L0a. Kodowanie i hasz muszą być uzgodnione, zanim porównasz implementacje.

2. Od identyfikacji do podpisu

   Wykład · pojęcie i mechanizmW9Fiat–Shamir i cel podpisu

   Ćwiczenia · rachunek i argumentC6.1Generowanie, podpis i weryfikacja

   Laboratorium · wykonanie i testL4.1Podpis Schnorra i kodowanie

   Rezultat: Jednoznaczny transkrypt i świeże fałszerstwo.

3. Hash do punktu nie jest jawnym skalarem

   Wykład · pojęcie i mechanizmW9BLS i poprawne haszowanieW6Typy grup i parowanieW6Hash do skalaru a hash do punktu

   Ćwiczenia · rachunek i argumentC6.4Atak na błędny hasz

   Laboratorium · wykonanie i testL4.2Podpis BLSL4.3Negatywne przypadkiL4.4Dwa klucze z tym samym skalaremL4.5Osobny podatny wariant

   Rezultat: Dodatnie i ujemne testy BLS oraz atak na błędny hasz.

   BLS

   Boneh–Lynn–Shacham. Nazwiska autorów schematu krótkich podpisów z pairingiem.

4. Redukcja musi obsłużyć zapytania

   Wykład · pojęcie i mechanizmPogłębienie BProgramowanie wyroczni i fork

   Ćwiczenia · rachunek i argumentC6.3Symulacja bez sekretuC6.5Granica sukcesu

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Symulator podpisów, zdarzenie przerwania i koszt ekstrakcji.

   Dowód analizuje wszystkie dozwolone zapytania. Skończony zestaw testów implementacji pełni inną rolę.

Twój punkt odniesienia:

Wyjaśniasz rolę podpisu, MAC i kontekstu oraz zapisujesz dopuszczalne ujawnienia stanu sesji.

1. Podstawowy DH i współpraca programów

   Wykład · pojęcie i mechanizmW10DH przed uwierzytelnianiem

   Ćwiczenia · rachunek i argumentC7.6Niepoprawny wkład i założenie DDH

   Laboratorium · wykonanie i testL5.6DH na własnej arytmetyceL5.7Lokalny test w parze

   Rezultat: Poprawność grupowa, kontrola parametrów i testy związania sesji.

   Najpierw L0a i rachunek DH. Podpisy oraz MAC są potrzebne dopiero do zadania L5.7. Testy nie zastępują dowodu AKE.

   AKE

   Authenticated Key Exchange. Uwierzytelniona wymiana klucza.

2. Zgodny klucz to za mało

   Wykład · pojęcie i mechanizmW10DH, SIGMA i NAXOS

   Ćwiczenia · rachunek i argumentC7.1Dwie rozmowy MITMC7.2Różne role podpisu i MAC

   Laboratorium · wykonanie i testL5.3Kontekst HKDFL5.4Potwierdzenie HMAC

   Rezultat: Atak pośrednika i związanie tożsamości.

   SIGMA

   SIGn-and-MAc. Podejście łączące podpis cyfrowy i kod uwierzytelnienia wiadomości.

   NAXOS

   NAXOS. Nazwa własna protokołu uwierzytelnionej wymiany klucza, nie skrót rozwijany do angielskich słów.

   MITM

   man-in-the-middle attack. Atak pośrednika, który ingeruje w komunikację między stronami.

   HKDF

   HMAC-based Extract-and-Expand Key Derivation Function. Funkcja wyprowadzania kluczy oparta na HMAC, z etapami ekstrakcji i rozszerzania.

3. NAXOS: poprawność przed bezpieczeństwem

   Wykład · pojęcie i mechanizmW10Mieszanie sekretu i zalążkaPogłębienie CPartnerowanie, świeżość i redukcja

   Ćwiczenia · rachunek i argumentC7.3Trzy składniki kluczaC7.4ŚwieżośćC7.5Redukcja przez zapytanie

   Laboratorium · wykonanie i testL5.1Sekrety i zalążkiL5.2Porównanie krotekL5.5Model ekspozycji

   Rezultat: Zgodne krotki i mapa ujawnień eCK.

   eCK

   extended Canetti–Krawczyk. Rozszerzony model Canettiego–Krawczyka. Dopuszczalne ujawnienia określa jego definicja.

Twój punkt odniesienia:

Przechodzisz od wspólnego sekretu DH do Enc i Dec. Rozumiesz, dlaczego bezpieczeństwo CPA nie daje automatycznie bezpieczeństwa CCA.

CPA

chosen-plaintext attack. Atak z wybranym tekstem jawnym.

CCA

chosen-ciphertext attack. Atak z wybranym szyfrogramem.

1. ElGamal jako cztery algorytmy

   Wykład · pojęcie i mechanizmW10aElGamal, Cramer–Shoup i szyfrowanie hybrydowe

   Ćwiczenia · rachunek i argumentC8.1DeszyfrowanieC8.2ModyfikowalnośćC8.3Redukcja DDHC8.4KEM–DEM

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Jawny atak z wyrocznią oraz redukcja CPA.

   Przykład obliczeniowy i porównanie ataku z odrzuceniem znajdują się w W10a. Nie są odrębną listą laboratoryjną.

   KEM

   Key Encapsulation Mechanism. Mechanizm enkapsulacji klucza.

   DEM

   Data Encapsulation Mechanism. Mechanizm symetrycznej ochrony danych w szyfrowaniu hybrydowym.

RSA

Rivest–Shamir–Adleman. Nazwiska autorów kryptosystemu z kluczem publicznym.

FDH

Full Domain Hash. Haszowanie o pełnej dziedzinie wyników.

Twój punkt odniesienia:

Oddzielasz potęgowanie RSA, kodowanie standardowego schematu oraz programowanie hasza w dowodzie FDH.

1. Od arytmetyki do standardu

   Wykład · pojęcie i mechanizmW10bRSA, OAEP i PSS

   Ćwiczenia · rachunek i argumentC17.1Rachunek i CRTC17.2Ataki na surowe RSAC8.5Dlaczego kodowanie jest konieczneC17.3Bajty OAEPC17.4Kodowanie

   Laboratorium · wykonanie i testL12.1OAEP i PSSL12.2Odrzucenie zmianyL12.3Osobne klucze i parametryL12.4190 oraz 191 bajtów

   Rezultat: CRT, granica długości OAEP i testy RSA-PSS.

   OAEP

   Optimal Asymmetric Encryption Padding. Kodowanie wiadomości przed szyfrowaniem asymetrycznym.

   PSS

   Probabilistic Signature Scheme. Probabilistyczny schemat podpisu.

   CRT

   Chinese Remainder Theorem. Chińskie twierdzenie o resztach.

   RSA-PSS

   RSA Signature Scheme with Appendix, with Probabilistic Signature Scheme encoding. Podpis RSA z kodowaniem PSS. Wiadomość towarzyszy podpisowi, a nie jest z niego odzyskiwana.

2. Dwie różne redukcje

   Wykład · pojęcie i mechanizmW10cOsadzanie instancji RSAPogłębienie BForking w podpisie Schnorra

   Ćwiczenia · rachunek i argumentC17.8Porównanie redukcji

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Odwrócenie RSA i ekstrakcja logarytmu mają inne kroki.

3. Podpis najpierw, hasz później

   Wykład · pojęcie i mechanizmW10cPełna ścieżka redukcji FDH

   Ćwiczenia · rachunek i argumentC17.5Tabela zapytańC17.6Warunki sukcesuC17.7Rozkład odpowiedzi

   Laboratorium · wykonanie i testL12.5Prześledzenie symulatoraL12.6Powtarzalne odpowiedziL12.7Świadek poza redukcją

   Rezultat: Wspólna tabela, ukryta pozycja celu i ekstrakcja.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.

Twój punkt odniesienia:

Rozdzielasz weryfikację podpisu, świeżość transakcji i poprawne przypisanie tożsamości.

1. Passkey jest związany z witryną

   Wykład · pojęcie i mechanizmW10dFIDO2 i WebAuthn

   Ćwiczenia · rachunek i argumentC18.1Bajty odpowiedziC18.2Stara transakcjaC18.3Poprawność ECDSAC18.7Phishing i przechowywanie klucza

   Laboratorium · wykonanie i testL13.1Podpis a akceptacjaL13.2Format danychL13.3Dokładne bajty JSONL13.4Format podpisu

   Rezultat: Podpisane bajty i niezależne kontrole RP.

   FIDO2

   Fast IDentity Online. Rodzina standardów uwierzytelniania. FIDO2 łączy standard przeglądarkowy WebAuthn z protokołem CTAP.

   WebAuthn

   Web Authentication. Standard uwierzytelniania w aplikacjach internetowych z użyciem klucza publicznego.

   ECDSA

   Elliptic Curve Digital Signature Algorithm. Algorytm podpisu cyfrowego na krzywych eliptycznych.

   JSON

   JavaScript Object Notation. Tekstowy format zapisu danych strukturalnych.

   RP

   Relying Party. Usługa polegająca na wyniku uwierzytelnienia.

2. Poprawny podpis nie wystarcza

   Wykład · pojęcie i mechanizmW10eKontekst i kontrole logowaniaW10dZałożenia WebAuthn

   Ćwiczenia · rachunek i argumentC18.6Atak bez fałszowania podpisu

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Bezpieczeństwo całego logowania zależy także od kanału i stanu.

3. Federacja wymaga właściwego odbiorcy

   Wykład · pojęcie i mechanizmW10eSSO i OpenID Connect

   Ćwiczenia · rachunek i argumentC18.4Kanały OIDCC18.5Odbiorca i nonceC18.8Tożsamość u dostawcy

   Laboratorium · wykonanie i testL13.5Przypadki odrzuceniaL13.6Wektor PKCEL13.7Granice wdrożenia

   Rezultat: Przepływ kodu, PKCE i kontrola tokenu.

   SSO

   Single Sign-On. Jednokrotne logowanie wykorzystywane przez wiele usług.

   PKCE

   Proof Key for Code Exchange. Powiązanie wymiany kodu autoryzacyjnego z sekretem klienta.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.

Twój punkt odniesienia:

Uzasadniasz, co podpis ukrywa, a co może ujawniać transkrypt lub metadane.

1. Wiele możliwych świadków

   Wykład · pojęcie i mechanizmW11Pierścień i anonimowość

   Ćwiczenia · rachunek i argumentC9.1Gra anonimowościC9.2Dowód ORC9.3RozkładyC9.5Hierarchie HRS

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Równania dowodu OR i porównanie rozkładów.

   C9.5 prowadzi do demonstratora HRS. W obecnym banku nie ma osobnej listy laboratoryjnej dla podpisów pierścieniowych.

   OR

   or. Lub, czyli alternatywa logiczna. To angielskie słowo, nie akronim. Dowód OR dotyczy spełnienia co najmniej jednej z podanych relacji.

   HRS

   hierarchical ring signatures. Hierarchiczne podpisy pierścieniowe.

2. Kto może odtworzyć rozmowę

   Wykład · pojęcie i mechanizmW11Odbiorca a osoba trzeciaW8aSymulowany transkrypt

   Ćwiczenia · rachunek i argumentC9.4Metadane poza podpisemC10.1MAC a podpisC10.2Zapis bez udziału podpisującegoC10.3Różne cele ochronyC10.4Zakres symulacji

   Laboratorium · wykonanie i testL10.5Role i granice modelu

   Rezultat: Rozróżnienie anonimowości, zaprzeczalności i uwierzytelnienia.

MPC

Multi-Party Computation. Obliczenia wielostronne.

OT

Oblivious Transfer. Transfer utajniony. Odbiorca poznaje wybraną wartość, a nadawca nie poznaje jego wyboru.

Twój punkt odniesienia:

Śledzisz, kto dostaje którą etykietę i co wolno ujawnić przez wynik obliczenia.

1. Funkcja jawna, wejścia prywatne

   Wykład · pojęcie i mechanizmW12MPC, OT i udziałyW12aBramka Yao i obwód

   Ćwiczenia · rachunek i argumentC12.1Wynik ujawnia informacjęC12.2Indeksy wierszyC12.3Widok wykonawcy

   Laboratorium · wykonanie i testL6.1Osiem wejść obwoduL6.2Świeże etykietyL6.5Gdzie demo zastępuje OT

   Rezultat: Kontrakt OT, tabela prawdy i zaszyfrowane etykiety.

2. Zmieniony wiersz, zatrzymane obliczenie

   Wykład · pojęcie i mechanizmW12aFree-XOR i half-gates

   Ćwiczenia · rachunek i argumentC12.4Założenia Free-XORC12.5Rozmiar tabel

   Laboratorium · wykonanie i testL6.3Uszkodzony wierszL6.4Unieważnienie starego wyniku

   Rezultat: Test integralności i osobna analiza kosztu komunikacji.

Twój punkt odniesienia:

Odtwarzasz rachunek na udziałach i odróżniasz prywatność, wykrywanie błędów oraz związanie wiadomości.

1. Sekret podzielony na udziały

   Wykład · pojęcie i mechanizmW13Shamir i rozgłaszanie z wykluczaniem

   Ćwiczenia · rachunek i argumentC11.1Pięć udziałówC11.2PrywatnośćC11.3Błędny udziałC11.4Drzewo wykluczeń

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Interpolacja, tajność zbyt małej liczby udziałów i wykluczenie odbiorcy.

   Demonstrator interpolacji jest na liście C11. L7 poniżej wykorzystuje udziały do innej funkcjonalności: protokołu progowego.

2. Wspólny podpis bez składania sekretu

   Wykład · pojęcie i mechanizmW13aProgowy Schnorr i BLS

   Ćwiczenia · rachunek i argumentC13.1Wagi interpolacjiC13.2Suma odpowiedziC13.3Symulator a widok koordynatoraC13.4Reset udziałuC13.5Progowy BLS

   Laboratorium · wykonanie i testL7.1Podzbiory uczestnikówL7.2Błędna odpowiedźL7.3Odzyskanie udziałuL7.4Publiczny weryfikatorL7.5Czego brakuje do FROST

   Rezultat: Odpowiedzi częściowe, wagi i granice modelu koordynatora.

   FROST

   Flexible Round-Optimized Schnorr Threshold. Elastyczny progowy protokół Schnorra ze zoptymalizowaną liczbą rund.

3. Ukrywanie to nie związanie

   Wykład · pojęcie i mechanizmW14Zobowiązania i znany logarytm

   Ćwiczenia · rachunek i argumentC11.5Dowód ukrywania i ekstrakcja

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Dwa otwarcia Pedersena i znaczenie parametrów.

   Przykład dwóch otwarć liczy demonstrator Pedersena w W14. Lista C11 zawiera również osobny eksperyment interpolacji.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.

Twój punkt odniesienia:

Rozróżniasz zmianę losowości, zmianę odbiorcy i ukrycie przyporządkowania wiadomości.

1. Nowa losowość lub nowy odbiorca

   Wykład · pojęcie i mechanizmW14aRerandomizacja i delegacja

   Ćwiczenia · rachunek i argumentC16.1Rozkład nowej losowościC16.2Klucz delegacji BBSC16.3Typy AFGHC16.4Zdolność odczytu

   Laboratorium · wykonanie i testL11.1ElGamalL11.2BBS i koluzjaL11.3AFGH i kontrola poziomu

   Rezultat: Typy ElGamala, BBS i AFGH oraz skutki koluzji.

   BBS

   Blaze–Bleumer–Strauss. Nazwiska autorów omawianej reenkrypcji. Nie chodzi o generator Blum–Blum–Shub.

   AFGH

   Ateniese–Fu–Green–Hohenberger. Nazwiska autorów omawianego schematu reenkrypcji z pairingiem.

2. Deszyfrowanie nie jest testem autentyczności

   Wykład · pojęcie i mechanizmW14aDeszyfrowanie i zakres gwarancji

   Ćwiczenia · rachunek i argument

   Bez odrębnego zadania ćwiczeniowego

   Laboratorium · wykonanie i testL11.4Nieprawidłowy sekret

   Rezultat: Błędny klucz może dać element grupy zamiast jawnego błędu.

3. Partia musi zachować wiadomości

   Wykład · pojęcie i mechanizmW14bCo ukrywa sieć miksująca

   Ćwiczenia · rachunek i argumentC16.5Śledzenie wiadomościC16.6Iloczyn nie wystarcza

   Laboratorium · wykonanie i testL11.5Trzy warianty partiiL11.6Powielenie i pominięcie

   Rezultat: Permutacja, rerandomizacja i relacja dla dowodu shuffle.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.

Twój punkt odniesienia:

Sprawdzasz zgodność typów i zakresu obliczenia bez utożsamiania poufności z poprawnym wykonaniem zadania.

1. Dwie grupy źródłowe, jeden poziom mnożenia

   Wykład · pojęcie i mechanizmW16Suma, iloczyn i dekodowanie

   Ćwiczenia · rachunek i argumentC14.1Wyrazy w wykładnikuC14.2Dodawanie w grupie docelowejC14.3Zakres wyniku

   Laboratorium · wykonanie i testL8.1Przypadki brzegoweL8.2Wejście wykonawcyL8.3Odrzucenie złych typów

   Rezultat: Rozwinięte równanie deszyfrowania i kontrolowany odczyt wyniku.

2. Zaszyfrowany wynik może dotyczyć innego zadania

   Wykład · pojęcie i mechanizmW16Granice gwarancji

   Ćwiczenia · rachunek i argumentC14.4Niebezpieczny dodatkowy kluczC14.5Poufność a weryfikacja

   Laboratorium · wykonanie i testL8.4Podstawiony szyfrogram zeraL8.5Porównanie interfejsów

   Rezultat: Osobne cele: ukrywanie wejść i poprawność usługi.

Twój punkt odniesienia:

Oddzielasz koszt dowodzenia, weryfikacji, komunikacji i przygotowania danych.

1. Przebieg zależny od bitów

   Wykład · pojęcie i mechanizmW6Algorytmy i dokładne licznikiW17Koszt operacji i granice pomiaru

   Ćwiczenia · rachunek i argumentC15.6Długość i waga wykładnika

   Laboratorium · wykonanie i testL9.6Square-and-multiply i drabinka

   Rezultat: Licznik działań i pomiar czasu odpowiadają na inne pytania.

   Do tego samodzielnego zadania wystarcza potęgowanie z L0a. Nie wymaga implementacji obwodów ani szyfrowania homomorficznego.

2. Funkcjonalność ma policzalny koszt

   Wykład · pojęcie i mechanizmW11Przygotowanie: równania pierścieniaW17Agregacja i rachunek kosztów

   Ćwiczenia · rachunek i argumentC15.1Koszt BLS i Schnorra

   Laboratorium · wykonanie i testL9.1Warunki pomiaruL9.2MedianyL9.3Estymacja i pełne wywołanieL9.4Bajty i rundy

   Rezultat: Operacje grupowe, rozmiary i powtarzalny pomiar.

3. Krótki argument nie usuwa pracy dowodzącego

   Wykład · pojęcie i mechanizmW14Przygotowanie: zobowiązania i otwarciaW18SNARK i granice skrótu

   Ćwiczenia · rachunek i argumentC15.2Rozmiar a czasC15.4Relacja iloczynu skalarnego

   Laboratorium · wykonanie i testL9.5Czego benchmark nie sprawdza

   Rezultat: Relacja, świadek i koszt przetworzenia wejścia.

   L9 uczy metodologii pomiaru, nie implementuje SNARK-a.

   SNARK

   Succinct Non-interactive Argument of Knowledge. Zwięzły nieinteraktywny argument wiedzy.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.

Twój punkt odniesienia:

Rozróżniasz KEM, podpis i ochronę danych oraz wskazujesz, które elementy stosu wymagają zmiany.

1. Błąd chroni, lecz nie może zniszczyć odczytu

   Wykład · pojęcie i mechanizmW15Zagrożenie kwantowe, LWE i KEM

   Ćwiczenia · rachunek i argumentC15.3Dekodowanie z błędemC15.5Migracja KEMC8.4Kontrakt KEM–DEM

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Mały rachunek LWE i zakres jego interpretacji.

   W W15 jest mały przykład liczbowy. Nie jest implementacją ML-KEM ani zestawem bezpiecznych parametrów. Osobnej listy laboratoryjnej PQC tutaj nie ma.

   LWE

   Learning With Errors. Problem uczenia z błędami, związany z równaniami zaburzonymi szumem.

   ML-KEM

   Module-Lattice-Based Key-Encapsulation Mechanism. Mechanizm enkapsulacji klucza oparty na kratach modułowych. ML oznacza tu kraty modułowe, a nie uczenie maszynowe.

   PQC

   Post-Quantum Cryptography. Kryptografia postkwantowa.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.

UC

Universal Composability. Uniwersalna kompozycyjność, czyli formalna analiza bezpieczeństwa przy składaniu protokołów.

Twój punkt odniesienia:

Budujesz funkcjonalność idealną i symulator, a następnie sprawdzasz interfejsy oraz założenia kompozycji.

1. Usługa idealna i rzeczywisty widok

   Wykład · pojęcie i mechanizmUCDefinicja UCUC 1UC 1: jednorazowy kanał

   Ćwiczenia · rachunek i argumentC0.1Przygotowanie: dozwolona usługaC1.1Przygotowanie: rozkład OTP

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Role środowiska, przeciwnika i symulatora.

   Przykład UC 1 zawiera animację porównującą oba światy. Wskazane ćwiczenia przygotowują do UC, ale same nie są zadaniami z dowodzenia UC.

2. Zastąpienie zasobu i kompozycja

   Wykład · pojęcie i mechanizmUC 2UC 2: wymiana kluczaUC 3UC 3: atomy dowodu

   Ćwiczenia · rachunek i argumentC7.1Przygotowanie: brak uwierzytelnieniaC3.4Przygotowanie: suma strat

   Laboratorium · wykonanie i test

   Bez odrębnego zadania laboratoryjnego

   Rezultat: Redukcja DDH, suma przewag i kontrola modelu.

   Warsztat UC 3 ma własne pytania kontrolne i kontrprzykłady. Nie dopisujemy go do obowiązkowego banku laboratoriów.

Dalszy krok: samodzielna analiza wybranej publikacji i jawne opisanie jej modelu bezpieczeństwa.