SEN2008 · 12. hafta · Computer and Network Security: Security Techniques (Encryption, digital signatures, message authentication, and hash functions, Use of cryptography for network security, Protection and defense mechanisms and tools

Açık anahtar, özet, MAC, imza, PKI ve TLS

RSA ve Diffie-Hellman küçük sayılarla elle, SHA-256 ve doğum günü sınırı, MAC/HMAC, dijital imza, sertifika zinciri ve TLS el sıkışması. Sınavın RSA ve DH hesap soruları bu sayfada.

public-key cryptographykey pairRSAEuler's totientmodular inverseextended Euclidean algorithmsquare-and-multiplyDiffie-Hellmandiscrete logarithmhash functionSHA-256collision resistancebirthday attackMACHMACdigital signaturenon-repudiationcertificatecertificate authorityPKIchain of trustTLS handshake

Önceki sayfa simetrik şifrelemenin büyük sorununu bıraktı: anahtarı nasıl paylaşacağız? Bu sayfa cevabı veriyor ve güvenli bir internet bağlantısını oluşturan bütün parçaları birleştiriyor. Sınavda neredeyse kesin bir RSA ya da Diffie-Hellman hesabı gelir; ayrıca “hangi anahtar kullanılır?” ve “hangi mekanizma ne sağlar?” soruları. Altın kurallar:

Gizlilik için alıcının açık anahtarı, imza için gönderenin özel anahtarı.
Modüler üs alırken her çarpımdan sonra mod al. Sayılar küçük kalır.
RSA’da $e$ , $\varphi(n)$ ile aralarında asal olmalı. Değilse $d$ yoktur.
Hash anahtarsızdır, MAC ortak anahtarlıdır, imza özel anahtarlıdır. İnkâr edilemezliği sadece imza verir.
Bir sertifikayı onu imzalayanın açık anahtarıyla doğrularsın.

Açık anahtarlı kriptografi

Açık anahtarlı (public-key, asimetrik) sistemde herkesin bir anahtar çifti vardır: açık anahtar (public key) herkese dağıtılır, özel anahtar (private key) sahibinde kalır. Biriyle yapılan işlemi sadece öbürü geri alabilir. Güvenlik, bir yönde kolay ama geri yönde çok zor olan matematik problemlerine dayanır: büyük sayıyı çarpanlarına ayırma (RSA) ve ayrık logaritma (Diffie-Hellman).

Asimetrik işlemler simetrikten yüzlerce kat yavaştır. Bu yüzden pratikte hibrit kullanılır: açık anahtarla oturum anahtarı kurulur ya da imza atılır, veri AES ile şifrelenir.

RSA

Anahtar üretimi:

İki asal seç: $p$ , $q$ .
$n = pq$ ve $\varphi(n) = (p-1)(q-1)$ .
$\gcd(e, \varphi(n)) = 1$ olan bir $e$ seç.
$d = e^{-1} \bmod \varphi(n)$ , yani $ed \equiv 1 \pmod{\varphi(n)}$ .
Açık anahtar $(e, n)$ , özel anahtar $(d, n)$ .

Şifreleme $c = m^e \bmod n$ , deşifre $m = c^d \bmod n$ ( $m < n$ ).

Çözümlü örnek. $p = 13$ , $q = 17$ .

n    = 13 × 17 = 221
φ(n) = 12 × 16 = 192
e    = 3 olmaz (3, 192'yi böler); e = 5 seç (gcd(5,192) = 1)
d    : 192 = 38·5 + 2,  5 = 2·2 + 1
       1 = 5 − 2·2 = 5 − 2·(192 − 38·5) = 77·5 − 2·192
       d = 77     kontrol: 5 × 77 = 385 = 2·192 + 1

Şifrele $m = 42$ : $c = 42^5 \bmod 221$ , adım adım:

42^1 = 42
42^2 = 1764 mod 221 = 217
42^3 = 217·42 = 9114 mod 221 = 53
42^4 = 53·42  = 2226 mod 221 = 16
42^5 = 16·42  = 672  mod 221 = 9      → c = 9

Çöz $9^{77} \bmod 221$ . 77 çarpma yapmak yerine kare-çarp (square-and-multiply) kullan: $77 = 64 + 8 + 4 + 1$ .

9^1  = 9         9^2  = 81        9^4  = 81^2 mod 221 = 152
9^8  = 152^2 mod 221 = 120        9^16 = 35     9^32 = 120    9^64 = 35
9^77 = 9^1 · 9^4 · 9^8 · 9^64
     = 9 · 152 = 1368 mod 221 = 42
       42 · 120 = 5040 mod 221 = 178
       178 · 35 = 6230 mod 221 = 42      → m = 42

Mesaj geri geldi. Saldırgan $n = 221$ ‘i çarpanlarına ayırabilirse $\varphi(n)$ ‘yi ve $d$ ‘yi bulur. Gerçek RSA’da $n$ 2048 bit ve üstüdür; çarpanlarına ayırmak bugünkü bilgisayarlarla pratikte imkânsızdır.

TUZAK · $d$ ‘yi $n$ ‘ye göre hesaplamak. Ters, $\varphi(n)$ ‘ye göre alınır: $ed \equiv 1 \pmod{\varphi(n)}$ . $\bmod\ n$ ile hesaplanan $d$ yanlış çıkar. Şifreleme ve deşifre ise $\bmod\ n$ ile yapılır.

Diffie-Hellman anahtar değişimi

İki taraf, hiç gizli bilgi paylaşmadan, açık bir kanal üzerinden ortak bir gizli anahtar üretir. Herkese açık: bir asal $p$ ve bir üreteç $g$ . Alice gizli $a$ , Bob gizli $b$ seçer.

$A = g^a \bmod p, \quad B = g^b \bmod p, \quad K = B^a \bmod p = A^b \bmod p = g^{ab} \bmod p$

Çözümlü örnek. $p = 29$ , $g = 2$ , $a = 6$ , $b = 11$ .

A = 2^6  mod 29 = 64 mod 29   = 6
B = 2^11 mod 29 = 2048 mod 29 = 18
Alice: K = 18^6 mod 29.  18^2 = 324 mod 29 = 5,  18^4 = 25,  18^6 = 25·5 = 125 mod 29 = 9
Bob:   K = 6^11 mod 29.  6^2 = 7,  6^4 = 20,  6^8 = 23,  6^11 = 23·7·6 = 966 mod 29 = 9

İkisi de $K = 9$ buldu. Dinleyen sadece 29, 2, 6 ve 18’i görür; $a$ ‘yı $A$ ‘dan bulmak ayrık logaritma problemidir.

TUZAK · DH kimlik doğrulamaz. Ortadaki adam her iki tarafla ayrı bir DH yapar. Bu yüzden gerçek protokollerde DH değerleri imzalanır (TLS’te sunucu sertifikası ve CertificateVerify).

Özet (hash) fonksiyonları

Kriptografik özet fonksiyonu (hash function) her boyda girdiyi sabit boylu bir çıktıya çevirir. SHA-256 256 bit, yani 64 onaltılık karakter üretir. Üç güvenlik özelliği:

Özellik	Anlamı
Ön görüntü direnci (preimage resistance)	$h$ verilince $H(x) = h$ olan $x$ bulunamaz
İkinci ön görüntü direnci	$x$ verilince $H(x') = H(x)$ olan başka $x'$ bulunamaz
Çakışma direnci (collision resistance)	$H(x) = H(x')$ olan herhangi bir çift bulunamaz

SHA-256("abc")     = ba7816bf8f01cfea414140de5dae2223 b00361a396177a9cb410ff61f20015ad
SHA-256("SEN2008") = 7f0f2c908360e1f1...
SHA-256("SEN2009") = 8ef7e4e5e6c5c0bd...   (256 bitin 127'si farklı)

Tek karakter değişince bitlerin yaklaşık yarısı değişir (avalanche). Doğum günü saldırısı: $n$ bitlik özette çakışma yaklaşık $2^{n/2}$ denemede bulunur. SHA-256 için $2^{128}$ . MD5 ve SHA-1’de pratik çakışmalar bulundu, yeni sistemlerde kullanılmaz.

MAC ve HMAC

Düz hash bütünlüğü korumaz: saldırgan mesajı değiştirip özeti yeniden hesaplar. Mesaj kimlik doğrulama kodu (message authentication code, MAC) ortak bir gizli anahtar kullanır: $t = \text{MAC}_K(m)$ . Anahtarı bilmeyen geçerli etiket üretemez. En yaygın yapı HMAC:

$\text{HMAC}_K(m) = H\big((K \oplus opad) \,\|\, H((K \oplus ipad) \,\|\, m)\big)$

HMAC-SHA256("bau-key", "pay 100") = 0bf39f2a443f4059...
HMAC-SHA256("bau-key", "pay 900") = 5ab3cabd5e34bc43...

MAC bütünlük ve kaynak doğrulama sağlar, ama inkâr edilemezlik sağlamaz: anahtar iki tarafta da var.

Dijital imza

Gönderen mesajın özetini özel anahtarıyla imzalar; herkes açık anahtarla doğrular. RSA ile: $s = h^d \bmod n$ , doğrulama $s^e \bmod n \stackrel{?}{=} h$ .

Oyuncak örnek ( $n = 221$ , $d = 77$ , $e = 5$ ), özet $h = 30$ :

s = 30^77 mod 221 = 166
doğrula: 166^2 = 152, 166^3 = 38, 166^4 = 120, 166^5 = 30 (mod 221)  → 30 = h, geçerli

	Hash	MAC	Dijital imza
Anahtar	yok	ortak gizli	özel / açık
Bütünlük	kazaya karşı	evet	evet
Kaynak doğrulama	hayır	evet	evet
İnkâr edilemezlik	hayır	hayır	evet

Sertifikalar ve PKI

Açık anahtarın gerçekten iddia edilen kişiye ait olduğunu nereden bileceksin? Sertifika (X.509 certificate) bir kimliği (alan adı) bir açık anahtara bağlar ve bir sertifika otoritesi (certificate authority, CA) tarafından imzalanır. İçinde: konu (subject), açık anahtar, düzenleyen (issuer), geçerlilik tarihleri, seri numarası ve CA’nın imzası.

Güven zinciri (chain of trust): kök CA (tarayıcının güven deposunda) → ara CA → sunucu (yaprak) sertifikası. Her sertifika, kendisini düzenleyenin açık anahtarıyla doğrulanır; zincir güvenilen bir köke ulaşmalıdır. Bütün bu yapıya açık anahtar altyapısı (public key infrastructure, PKI) denir. Özel anahtarı çalınan sertifika iptal edilir (CRL, OCSP).

TLS el sıkışması

TLS, TCP üzerinde gizlilik, bütünlük ve sunucu kimlik doğrulaması sağlar (HTTPS = HTTP + TLS). TLS 1.3 el sıkışması bir tur gidiş-dönüşte biter:

İstemci → ClientHello: desteklenen sürümler, şifre takımları, rastgele değer, (EC)DHE key share
Sunucu  → ServerHello: seçilen takım, kendi key share
          (bundan sonrası el sıkışma anahtarlarıyla şifreli)
          Certificate          sunucu sertifika zinciri
          CertificateVerify    el sıkışma özetinin sunucu özel anahtarıyla imzası
          Finished             el sıkışmanın tamamı üzerine MAC
İstemci → Finished
Her iki yön: uygulama verisi AES-GCM (ya da ChaCha20-Poly1305) ile

Parçaların görevi: (EC)DHE ortak anahtarı üretir, sertifika ve CertificateVerify sunucunun kimliğini kanıtlar ve MITM’i engeller, Finished mesajları el sıkışmanın değiştirilmediğini doğrular, AES-GCM veriyi şifreler ve bütünlüğünü korur. Her oturumda yeni DH anahtarı kullanıldığı için sunucunun özel anahtarı ileride çalınsa bile eski kayıtlar çözülemez (forward secrecy). TLS 1.2’de RSA ile anahtar taşıma seçeneği vardı ve bu özellik yoktu; 1.3 bunu kaldırdı.

Sık yapılan hatalar

Yanlış düşünce	Doğrusu
İmza, alıcının açık anahtarıyla atılır	Gönderenin özel anahtarıyla atılır
Gizli mesaj, gönderenin özel anahtarıyla şifrelenir	Alıcının açık anahtarıyla
$d = e^{-1} \bmod n$	$d = e^{-1} \bmod \varphi(n)$
Her $e$ geçerli	$\gcd(e, \varphi(n)) = 1$ şart
Önce $m^e$ ‘yi tam hesapla, sonra mod al	Her çarpımdan sonra mod al
DH ortadaki adama dayanıklı	Kimlik doğrulamasız DH, MITM’e açık
Hash mesajı korur	Anahtarsız hash yeniden hesaplanır; MAC ya da imza gerekir
MAC inkâr edilemezlik sağlar	Ortak anahtar yüzünden sağlamaz
128 bit özette çakışma $2^{128}$ deneme ister	Doğum günü: yaklaşık $2^{64}$
Sertifika, sunucunun kendi anahtarıyla doğrulanır	Düzenleyen CA’nın açık anahtarıyla

Kendini test et

Sınavdaki gibi İngilizce sorular. Önce kâğıt kalemle çöz, sonra cevabı aç.

Soru 1orta

RSA key generation with p = 7, q = 19 and public exponent e = 5. Find n, φ(n) and the private exponent d.

Cevabı göster

n = 133, φ(n) = 108, d = 65

$n = p q = 7 \cdot 19 = 133$ .

$\varphi(n) = (p-1)(q-1) = 6 \cdot 18 = 108$ .

$d$ , $5d \equiv 1 \pmod{108}$ olan sayı. Genişletilmiş Öklid: $108 = 21 \cdot 5 + 3$ , $5 = 1 \cdot 3 + 2$ , $3 = 1 \cdot 2 + 1$ . Geri yerleştirince $1 = 2 \cdot 108 - 43 \cdot 5$ , yani $d \equiv -43 \equiv 65$ .

Kontrol: $5 \cdot 65 = 325 = 3 \cdot 108 + 1$ .

Soru 2orta

Using the RSA public key (e, n) = (5, 133), encrypt the message m = 10.

Cevabı göster

117

$c = m^e \bmod n = 10^5 \bmod 133$ . Her adımda mod al, sayı büyümesin:

$10^1 = 10$ , $10^2 = 100$ , $10^3 = 1000 \bmod 133 = 69$ , $10^4 = 690 \bmod 133 = 25$ , $10^5 = 250 \bmod 133 = 117$ .

$c = 117$ . Deşifre $117^{65} \bmod 133 = 10$ verir (node ile doğrulandı).

Soru 3zor

RSA with p = 11, q = 23 and e = 3. Compute the private exponent d.

Cevabı göster

147

$\varphi(n) = 10 \cdot 22 = 220$ . $\gcd(3, 220) = 1$ , yani $e$ geçerli.

$3d \equiv 1 \pmod{220}$ . $220 = 73 \cdot 3 + 1$ olduğundan $1 = 220 - 73 \cdot 3$ , yani $d \equiv -73 \equiv 220 - 73 = 147$ .

Kontrol: $3 \cdot 147 = 441 = 2 \cdot 220 + 1$ .

Soru 4orta

For RSA with p = 13 and q = 17, why can e = 3 NOT be used as the public exponent?

3 is larger than p − 1
3 divides φ(n) = 192, so e has no inverse mod φ(n)
3 is not prime
e must always equal 65537

Cevabı göster

B) 3 divides φ(n) = 192, so e has no inverse mod φ(n)

$\varphi(n) = 12 \cdot 16 = 192 = 3 \cdot 64$ . $\gcd(3, 192) = 3 \ne 1$ olduğu için $3d \equiv 1 \pmod{192}$ denkleminin çözümü yoktur; $d$ bulunamaz. Kural: $e$ , $\varphi(n)$ ile aralarında asal olmalı. Bu yüzden bu örnekte $e = 5$ seçilir ( $d = 77$ ).

Soru 5orta

Diffie-Hellman with public p = 31 and g = 3. Alice picks a = 5, Bob picks b = 8. Compute A, B and the shared key K.

Cevabı göster

A = 26, B = 20, K = 25

$A = g^a \bmod p = 3^5 \bmod 31 = 243 \bmod 31 = 26$ .

$B = 3^8 \bmod 31$ : $3^5 = 26$ , $3^8 = 26 \cdot 27 = 702 \bmod 31 = 20$ .

Alice: $K = B^a = 20^5 \bmod 31$ . $20^2 = 400 \bmod 31 = 28$ , $20^4 = 28^2 = 784 \bmod 31 = 9$ , $20^5 = 9 \cdot 20 = 180 \bmod 31 = 25$ .

Bob $A^b = 26^8 \bmod 31$ hesaplar ve aynı 25'i bulur. Ağda sadece 31, 3, 26 ve 20 görünür; 25 hiç gönderilmez.

Soru 6orta

Plain (unauthenticated) Diffie-Hellman is vulnerable mainly to which attack?

Brute-forcing the prime p
A man-in-the-middle who runs a separate exchange with each side
Frequency analysis
Replay of the shared key

Cevabı göster

B) A man-in-the-middle who runs a separate exchange with each side

DH, karşı tarafın kim olduğunu doğrulamaz. Mallory, Alice ile bir anahtar, Bob ile başka bir anahtar kurar ve aradaki trafiği çözüp yeniden şifreler. İki taraf da güvenli sandığı bir kanal görür. Çözüm: DH değerlerini imzalamak ya da sertifikayla doğrulamak. TLS'te sunucu, el sıkışmayı sertifikasındaki anahtarla imzalar.

Soru 7orta

A hash function produces 64-bit outputs. Roughly how many random inputs must be hashed before a collision becomes likely (birthday bound)?

Cevabı göster

about 2^32 (about 4.3 × 10^9)

Doğum günü sınırı: $n$ bitlik çıktıda çakışma yaklaşık $2^{n/2}$ denemede beklenir. $2^{64/2} = 2^{32} \approx 4.29 \times 10^9$ .

Bu, günümüz donanımında kolay; 64 bit özet güvensizdir. SHA-256 için sınır $2^{128}$ olur. Ön görüntü (preimage) bulmak ise $2^n$ ister; çakışma her zaman daha ucuzdur.

Soru 8kolay

Alice signs a message with her digital signature. Which key does Bob use to verify the signature?

Bob's private key
Bob's public key
Alice's private key
Alice's public key

Cevabı göster

D) Alice's public key

İmza gönderenin özel anahtarıyla atılır, herkesin bildiği açık anahtarıyla doğrulanır. Şifrelemede tersi: Bob'a gizli mesaj yollamak için Bob'un açık anahtarıyla şifrelenir, Bob kendi özel anahtarıyla çözer. Kısaca: gizlilik alıcının anahtarıyla, imza gönderenin anahtarıyla.

Soru 9zor

Toy RSA signature with n = 133, private d = 65, public e = 5. The message hash is h = 12. Compute the signature s and show that it verifies.

Cevabı göster

s = 122; 122^5 mod 133 = 12

İmza: $s = h^d \bmod n = 12^{65} \bmod 133 = 122$ (kare-çarp ile, node ile doğrulandı).

Doğrulama: $s^e \bmod n$ hesaplanır ve özetle karşılaştırılır.

$122^2 \bmod 133 = 121$ , $122^3 = 121 \cdot 122 \bmod 133 = 132$ , $122^4 = 132 \cdot 122 \bmod 133 = 11$ , $122^5 = 11 \cdot 122 = 1342 \bmod 133 = 12$ .

$12 = h$ : imza geçerli. Bir bit değişen mesajın özeti farklı olur ve doğrulama başarısız olur.

Soru 10orta

Which mechanism provides non-repudiation, so that the sender cannot later deny having sent the message?

HMAC with a shared secret key
SHA-256 hash of the message
Digital signature with the sender's private key
AES encryption in CTR mode

Cevabı göster

C) Digital signature with the sender's private key

HMAC anahtarı iki tarafta da var; alıcı da aynı etiketi üretebilir, bu yüzden üçüncü kişiye "bunu o gönderdi" kanıtlanamaz. Düz hash anahtarsızdır, herkes yeniden hesaplar. AES gizlilik sağlar, kimlik kanıtlamaz. Özel anahtar sadece gönderende olduğu için imza inkâr edilemezlik sağlar.

Soru 11orta

A browser trusts root CA R. The server sends its certificate S, signed by intermediate CA I, and I's certificate, signed by R. To check the signature on S, which public key does the browser use?

The server's own public key in S
The public key of intermediate CA I
The public key of root CA R
The browser's private key

Cevabı göster

B) The public key of intermediate CA I

Bir sertifikanın imzası onu düzenleyenin (issuer) özel anahtarıyla atılır, bu yüzden düzenleyenin açık anahtarıyla doğrulanır. S'yi I imzaladı: I'nin açık anahtarı kullanılır. Sonra I'nin sertifikası R'nin açık anahtarıyla doğrulanır. R tarayıcının güven deposunda olduğu için zincir güvenilir köke bağlanır. Ayrıca alan adı, geçerlilik tarihi ve iptal durumu da kontrol edilir.

Soru 12orta

In a TLS 1.3 handshake, what is the main purpose of the server's CertificateVerify message?

To send the session key encrypted with RSA
To prove the server holds the private key matching its certificate by signing the handshake transcript
To compress the application data
To choose the TCP port

Cevabı göster

B) To prove the server holds the private key matching its certificate by signing the handshake transcript

Sertifika herkese açıktır, bir saldırgan da aynı sertifikayı gönderebilir. CertificateVerify'da sunucu, o ana kadarki el sıkışma mesajlarının özetini özel anahtarıyla imzalar. Bu hem sunucunun gerçekten anahtar sahibi olduğunu kanıtlar hem de (EC)DHE değerlerini doğrular, MITM'i engeller. TLS 1.3'te oturum anahtarı RSA ile gönderilmez, (EC)DHE ile türetilir.

Doğrulama: RSA anahtarları (modüler ters genişletilmiş Öklid ile), şifreleme/deşifre, kare-çarp izi, oyuncak imzalar ve Diffie-Hellman değerleri BigInt modüler üs ile; g'nin mod p mertebesi döngüyle; SHA-256 ve HMAC-SHA256 değerleri node:crypto ile hesaplandı (verify/SEN2008/12.mjs). PKI ve TLS soruları kavramsal.

Deftere not kartı

Açık anahtar: herkes açık anahtarı bilir, özel anahtar sadece sahibinde Gizlilik: ALICININ açığıyla şifrele. İmza: GÖNDERENİN özeliyle imzala, açığıyla doğrula RSA: n = pq, φ = (p−1)(q−1), gcd(e, φ) = 1, d = e^(−1) mod φ c = m^e mod n m = c^d mod n (her adımda mod al, kare-çarp) Örnek: p=13 q=17 → n=221 φ=192 e=5 d=77; m=42 → c=9 DH: A = g^a mod p, B = g^b mod p, K = B^a = A^b = g^(ab) mod p DH kimlik doğrulamaz → MITM. Çözüm: imzalı/sertifikalı DH Hash: sabit boy, tek yönlü, çakışmaya dayanıklı. SHA-256 = 256 bit = 64 hex Doğum günü: çakışma ≈ 2^(n/2); ön görüntü ≈ 2^n. MD5, SHA-1 kırık MAC = ortak anahtarla etiket (bütünlük + kimlik), inkâr edilemezlik YOK HMAC = H((K ⊕ opad) || H((K ⊕ ipad) || m)) İmza: s = h^d mod n, doğrula s^e mod n = h → bütünlük + kimlik + inkâr edilemezlik Sertifika = (kimlik + açık anahtar) CA tarafından imzalı. Zincir: yaprak → ara → kök TLS 1.3: ClientHello(key share) → ServerHello(key share), Certificate, CertificateVerify, Finished → AES-GCM veri