JAVA RSAES-OAEP 攻击

Question

我需要使用 unix 可执行 oracle 和 ASCII 格式的质询文件来实施 RSAES-OAEP PKCS#1 V2.1 攻击。挑战ASCII文件格式为

{n}
{e}
{c}

其中 N（整数）是 1024 位模数，e（整数）是公共指数，c（ octet string) 是一些未知的 RSAES-OAEP 加密对应的密文 公钥 (N, e) 下的明文 m（八位字节串）。注意明文是ASCII文本 （即，每个八位字节都是一个 ASCII 编码字符），并且 RSAES-OAEP 加密将 使用 SHA-1 作为散列函数和空标签（即，在所有情况下，标签都是八位字节 长度为零的字符串）。 可执行文件代表 RSAES-OAEP 解密预言机：当从 BASH 执行时 shell 使用命令

bash$ ./ USER < USER . challenge

它尝试使用私钥 (N, d) 解密从标准输入读取的密文。注意 N 是 从标准输入（即从挑战）读取，但 d（整数）是嵌入的私有指数 进入 oracle（即，您无权访问它）。

挑战文件如下：

99046A2DB3D185D6D2728E799D66AC44F10DDAEE1C0A1AC5D7F34F04EDE17B96A5B486D95D927AA9B58FC91865DBF3A1685141345CC31B92E13F06E8212BAB22529F7D06B503AAFEEB89800E12EABA50C3F3BBE86F5966A88CCCF5C843281F8B98DF97A3111458FCA89B8085A96AE68EAEBAE270831D41C956159B81D29503
80A3C4043F940BE6AC16B11A0A77016DBA96B0239311AF182DD70E214E07E7DF3523CE1E269B176A3AAA0BA8F02C59262F693D6A248F22F2D561ED7ECC3CB9ABD0FE7B7393FA0A16C4D07181EEF6E27D97F48B83B90C58F51FD40DCDA71EF5E3C3E97D1697DC8E26B694B5CAFE59E427B12EE82A93064C81AAB74431F3A735
57D808889DE1417235C790CB7742EB76E537F55FD49941EBC862681735733F8BB095EDBB3C0DA44AB8F1176E69A61BBD3F0D31EB997071758A5DD850730A1D171E9EC92788EBA358974CE521537EE4A809BF1607D04EFD4A407866970981B88F44D5260D25C9E8864D5FC2AFB2CB90994DD1934BCEA728B38A00D4712AE0EE

关于如何进行这次攻击的任何想法？！

谢谢 有人指导我吗？！！！！！！！！！！

Answer 1

您可以尝试的第一件事是找出是否可以通过以下方式应用攻击 J. Manger 来自论文“A Chosen Ciphertext Attack on RSA Optimal Asymmetric Encryption 在 PKCS #1 v2.0 中标准化的填充 (OAEP)。” Crypto 2001。

这意味着您必须找出可以从 oracle 获得的信息类型。 IE。选择两个任意整数 m0, m1 使得 m1 是小于 n 的 1024 位整数 m0 的长度为 1023 位或更少。如果您将 m0^e mod n 和 m1^e mod n 传递给 oracle，您会得到不同的响应吗？如果是这样，那么您也许可以在上面的论文中应用攻击。否则你将不得不在解密预言中寻找另一个漏洞。

---

另一种可行的方法是尝试修改模数 n。如果 oracle 真的从用户提供的输入中读取模数，那么看起来修改模数应该可以工作并且攻击变得非常容易。我无权访问 oracle 的实现，所以我只能猜测什么是可能的。如果你可以检查任何选择 n',c' 是否 c'^d mod n' 是一个有效的 OAEP 编码明文然后你解密原始消息并不是你所能做的，事实上你也可以恢复 d 并因此分解原始 RSA 模数。

(此外，这确实是一个非常好的谜题，所以我不想通过给予来破坏乐趣 一步一步的receipe如何解决它。）