Die Nutzung des Internet für sicherheitskritische Anwendungen erfordert kryptographische Schutzmechanismen. IP Security (IPsec) definiert dafür geeignete Protokolle. Diese Arbeit gibt einen Überblick über IPsec. Eine IPsec-Implementierung für Linux (FreeS/WAN) wird auf Erweiterbarkeit und Praxistauglichkeit untersucht. / Using the Internet in security-critical areas requires cryptographic protection, for which IP Security (IPsec) defines suitable protocols. This paper gives an overview of IPsec. A Linux implementation of IPsec is examined under the aspects of extendability and usability.

Cryptography based on semirings can be one of the possible approaches for the post-quantum cryptography in the public-key schemes. In our work, we are interested in only one concrete semiring - tropical algebra. We are examining one concrete scheme for the key-agreement protocol - tropical Stickel's protocol. Although there was introduced an attack on it, we have implemented this attack and more importantly, stated its complexity. Further, we propose other variants of Stickel's protocol and we are investigating their potential for practical usage. During the process, we came across the theory of tropical matrix powers, thus we want to make an overview of it due to the use in cryptography based on matrices over the tropical algebra semiring. 1

Using a Key escrow agent in conjunction with Voice over IP (VoIP) communication ensures that law enforcements agencies (LEAs) can retrieve the session key used to encrypt data between two users in a VoIP session. However, the use of a single escrow agent has some drawbacks. A fraudulent request by an evil employee from the LEA can lead to improper disclosure of a session key. After the escrow agent reveals the key this evil person could fabricate data according to his/her needs and encrypt it again (using the correct session key). In this situation the persons involved in the communication session can be accused of crimes that he or she or they never committed. The problems with a single escrow agent becomes even more critical as a failure of the escrow agent can delay or even make it impossible to reveal the session key, thus the escrow agent might not be able to comply with a lawful court order or comply with their escrow agreement in the case of data being released according to this agreement (for example for disaster recovery). This thesis project focused on improving the accessibility and reliability of escrow agents, while providing good security. One such method is based on dividing the session key into M chunks and escrowing the chunks with M escrow agents. Using threshold cryptography the key can be regenerated by gathering any N-out-of-M chunks. The value of M and N may differ according to the role of the user. For a highly sophisticated session, the user might define a higher value for M and N for improved, availability, reliability, and security. For a less confidential or less important session (call), the value of M and N might be smaller. The thesis examines the increased availability and increased reliability made possible by using multiple escrow agents. / Med en nyckel förvaringsinstitut som tillsammans med Röst över IP (VoIP) kommunikation säkerställer att brottsbekämpande organ (LEAs) kan hämta sessionsnyckeln används för att kryptera data mellan två användare i en VoIP-session. Däremot har användningen av ett enda förvaringsinstitut visa nackdelar. En bedräglig begäran av en ond arbetstagare från LEA kan leda till otillbörligt röjande av en sessionsnyckel. Efter förvaringsinstitut avslöjar nyckeln detta onda person kunde fabricera uppgifter i enlighet med hans eller hennes behov och kryptera den igen (med rätt sessionsnyckel). I denna situation personer som deltar i kommunikationssession kan anklagas för brott som han eller hon eller de aldrig begått. Problemen med en enda förvaringsinstitut som blir ännu mer kritisk som ett misslyckande av förvaringsinstitut kan försena eller till och med gör det omöjligt att avslöja sessionsnyckeln, vilket förvaringsinstituten kanske inte kan följa en laglig domstolsbeslut eller uppfyller sina depositionsavtalets när det gäller data frisläppas i enlighet med detta avtal (till exempel för katastrofer). Detta examensarbete fokuserar på att förbättra tillgängligheten och tillförlitligheten i spärrade medel, samtidigt som god säkerhet. En sådan metod bygger på att dela upp sessionsnyckeln till M bitar och escrowing i bitar med M förvaringsinstituten. Använda tröskel kryptografi nyckeln kan genereras genom att samla alla N-out-of-M bitar. Värdet på M och N kan variera beroende på användarens roll. För en mycket sofistikerad session kan användaren definiera ett högre värde för M och N för förbättrad tillgänglighet, tillförlitlighet och säkerhet. För en mindre konfidentiell eller mindre viktigt session (telefonsamtal), kan värdet på M och N vara mindre. I avhandlingen analyseras den ökade tillgänglighet och ökad tillförlitlighet möjligt genom att använda flera spärrade medel.

B-SPORT+ är ett projekt som var intresserat av att utveckla en applikation för tips och vägledning inom fysisk träning anpassad till personer med funktionsnedsättningar. B-SPORT+ identifieradebehovet av en decentraliserad ledger i applikationen. En ledger innebär en digital huvudbok som lagrar data över transaktioner utförda i en applikation. I ett tidigare arbete lyftes Blockkedja fram som en möjlig lösning för applikationen. B-SPORT+ upplevde dock att denna teknik innehöll nackdelar som hög energiförbrukning och dyr implementation. Därför skulle detta arbete undersöka,utveckla och utvärdera ett alternativ till Blockkedja med hjälp av relationsdatabaser. Resultatet blev två prototyper. Den första prototypen efterliknade Blockkedja-teknik genom att horisontellt fragmentera en relationsdatabas som innehöll en tabell för utförda transaktioner. Sedan användes hasning för att validera transaktioner mellan databas fragment. Det utvecklades även en prototyp med hjälp av Blockkedja-teknik, denna prototyp användes för att utvärdera den första prototypen. Utvärderingen visade att SQL-prototypens struktur minskade minnesutnyttjandet i användardatorer samt minskade den transaktioners energikonsumtionen och tid. Denna struktur tillät även moderering utav data i ledgern vilket var vitalt för den applikation B-SPORT+ ville utveckla / B-SPORT+ is a project that was interested in developing an application for advice and guidance in regards to physical exercise adapted for people with disabilities. B-SPORT+ identified the need for a decentralized ledger in the application. A decentralized ledger is a register that stores data on transactions performed in an application. In previous work on the application, a Blockchain was highlighted as a possible solution. However, B-SPORT+ experienced that this technology contained disadvantages such as high energy consumption and expensive implementation. Therefore, this work investigated, developed and evaluated an alternative to Blockchain using relational databases. The result was two prototypes. The first prototype mimicked Blockchain technology by horizontally fragmenting a relational database that stored a table of performed transactions. Then, cryptographic hashing was used to validate transactions between database fragments. A prototype was also developed using Blockchain technology, this prototype was used to evaluate the first prototype. The evaluation showed that the structure of the SQL prototype reduced memory utilization in user computers it also reduced energy consumption and time when performing transactions. This structure also allowed moderation of data in the ledger, which was vital for the application BSPORT + wanted to develop.

This workshop aims to share the success of the Millennium Mathematics Project (MMP) in bringing mathematics to life for students and teachers. A range of interactive enrichment programmes and their innovative ideas and resources will be shared. Two MMP outreach projects will be explained in detail as the main focus of the workshop: (1) The Enigma Project, (2) The Risk Roadshow. Both projects travel to primary and secondary schools as well as universities, organisations, science festivals and residential camps, both nationally and internationally.

Die fortschreitende Entwicklung immer leistungsstärkerer Quantencomputer bedroht die Informationssicherheit kryptographischer Anwendungen, die auf dem Faktorisierungsproblem oder dem Problem des diskreten Logarithmus beruhen. Die US-amerikanische Standardisierungsbehörde NIST startete 2017 ein Projekt mit dem Ziel, Kryptographiestandards zu entwickeln, die gegen Angriffe von Quantenrechnern resistent sind. Einer der Kandidaten ist SIKE (Supersingular Isogeny Key Encapsulation), der einzige Vertreter isogeniebasierter Kryptographie im Standardisierungsverfahren. Diese Diplomarbeit enthält eine weitgehend in sich abgeschlossene Beschreibung der SIKE-Protokolle, Sicherheitsbetrachtungen sowie eine einfache Implementierung des Kryptosystems.:1. Einleitung 2. Grundlegende Definitionen 2.1. Elliptische Kurven 2.2. Punktaddition 2.3. Montgomery-Kurven 2.4. Isogenien 2.5. Der Diffie-Hellman-Schlüsselaustausch 2.6. Das Elgamal-Kryptosystem 3. Supersingular Isogeny Key Encapsulation 3.1. Supersingular Isogeny Diffie-Hellman Key Exchange 3.2. Erzeugung der Systemparameter 3.3. Erzeugung der Schlüsselpaare 3.4. Berechnung der gemeinsamen Kurve 3.5. Vom Schlüsselaustausch zum Kryptosystem 3.6. Schlüsseleinschluss (Key Encapsulation) 3.7. Implementierungen 4. Sicherheitsbetrachtungen 4.1. Ciphertext indistinguishability 4.2. Größe der Parameter 4.3. Weitere Aspekte 5. Zusammenfassung A. Implementierung

Background. People use the Internet for communication, work, online banking and more. Public-key cryptography enables this use to be secure by providing confidentiality and trust online. Though these algorithms may be secure from attacks from classical computers, future quantum computers may break them using Shor’s algorithm. Post-quantum algorithms are therefore being developed to mitigate this issue. The National Institute of Standards and Technology (NIST) has started a standardization process for these algorithms. Objectives. In this work, we analyze what specialized features applicable for post-quantum algorithms are available in the mainframe architecture IBM Z. Furthermore, we study the performance of these algorithms on various hardware in order to understand what techniques may increase their performance. Methods. We apply a literature study to identify the performance characteristics of post-quantum algorithms as well as what features of IBM Z may accommodate and accelerate these. We further apply an experimental study to analyze the practical performance of the two prominent finalists NTRU and Classic McEliece on consumer, cloud and mainframe hardware. Results. IBM Z was found to be able to accelerate several key symmetric primitives such as SHA-3 and AES via the Central Processor Assist for Cryptographic Functions (CPACF). Though the available Hardware Security Modules (HSMs) did not support any of the studied algorithms, they were found to be able to accelerate them via a Field-Programmable Gate Array (FPGA). Based on our experimental study, we found that computers with support for the Advanced Vector Extensions (AVX) were able to significantly accelerate the execution of post-quantum algorithms. Lastly, we identified that vector extensions, Application-Specific Integrated Circuits (ASICs) and FPGAs are key techniques for accelerating these algorithms. Conclusions. When considering the readiness of hardware for the transition to post-quantum algorithms, we find that the proposed algorithms do not perform nearly as well as classical algorithms. Though the algorithms are likely to improve until the post-quantum transition occurs, improved hardware support via faster vector instructions, increased cache sizes and the addition of polynomial instructions may significantly help reduce the impact of the transition. / Bakgrund. Människor använder internet för bland annat kommunikation, arbete och bankärenden. Asymmetrisk kryptering möjliggör att detta sker säkert genom att erbjuda sekretess och tillit online. Även om dessa algoritmer förväntas vara säkra från attacker med klassiska datorer, riskerar framtida kvantdatorer att knäcka dem med Shors algoritm. Därför utvecklas kvantsäkra krypton för att mitigera detta problem. National Institute of Standards and Technology (NIST) har påbörjat en standardiseringsprocess för dessa algoritmer. Syfte. I detta arbete analyserar vi vilka specialiserade funktioner för kvantsäkra algoritmer som finns i stordator-arkitekturen IBM Z. Vidare studerar vi prestandan av dessa algoritmer på olika hårdvara för att förstå vilka tekniker som kan öka deras prestanda. Metod. Vi utför en litteraturstudie för att identifiera vad som är karaktäristiskt för kvantsäkra algoritmers prestanda samt vilka funktioner i IBM Z som kan möta och accelerera dessa. Vidare applicerar vi en experimentell studie för att analysera den praktiska prestandan av de två framträdande finalisterna NTRU och Classic McEliece på konsument-, moln- och stordatormiljöer. Resultat. Vi fann att IBM Z kunde accelerera flera centrala symmetriska primitiver så som SHA-3 och AES via en hjälpprocessor för kryptografiska funktioner (CPACF). Även om befintliga hårdvarusäkerhetsmoduler inte stödde några av de undersökta algoritmerna, fann vi att de kan accelerera dem via en på-plats-programmerbar grind-matris (FPGA). Baserat på vår experimentella studie, fann vi att datorer med stöd för avancerade vektorfunktioner (AVX) möjlggjorde en signifikant acceleration av kvantsäkra algoritmer. Slutligen identifierade vi att vektorfunktioner, applikationsspecifika integrerade kretsar (ASICs) och FPGAs är centrala tekniker som kan nyttjas för att accelerera dessa algortmer. Slutsatser. Gällande beredskapen hos hårdvara för en övergång till kvantsäkra krypton, finner vi att de föreslagna algoritmerna inte presterar närmelsevis lika bra som klassiska algoritmer. Trots att det är sannolikt att de kvantsäkra kryptona fortsatt förbättras innan övergången sker, kan förbättrat hårdvarustöd för snabbare vektorfunktioner, ökade cachestorlekar och tillägget av polynomoperationer signifikant bidra till att minska påverkan av övergången till kvantsäkra krypton.

Cette thèse se situe à l'intersection de la cryptographie et de l'arithmétique des ordinateurs. Elle traite de l'amélioration de primitives cryptographiques asymétriques en termes d'accélération des calculs et de protection face aux attaques par fautes par le biais particulier de l'utilisation des systèmes de représentation des nombres par les restes (RNS). Afin de contribuer à la sécurisation de la multiplication modulaire, opération centrale en cryptographie asymétrique, un nouvel algorithme de réduction modulaire doté d'une capacité de détection de faute est présenté. Une preuve formelle garantit la détection des fautes sur un ou plusieurs résidus pouvant apparaître au cours d'une réduction. De plus, le principe de cet algorithme est généralisé au cas d'une arithmétique dans un corps fini non premier. Ensuite, les RNS sont exploités dans le domaine de la cryptographie sur les réseaux euclidiens. L'objectif est d'importer dans ce domaine certains avantages des systèmes de représentation par les restes dont l'intérêt a déjà été montré pour une arithmétique sur GF(p) notamment. Le premier résultat obtenu est une version en représentation hybride RNS-MRS de l'algorithme du « round-off » de Babai. Puis une technique d'accélération est introduite, permettant d'aboutir dans certains cas à un algorithme entièrement RNS pour le calcul d'un vecteur proche. / This thesis is at the crossroads between cryptography and computer arithmetic. It deals with enhancement of cryptographic primitives with regard to computation acceleration and protection against fault injections through the use of residue number systems (RNS) and their associated arithmetic. So as to contribute to secure the modular multiplication, which is a core operation for many asymmetric cryptographic primitives, a new modular reduction algorithm supplied with fault detection capability is presented. A formal proof guarantees that faults affecting one or more residues during a modular reduction are well detected. Furthermore, this approach is generalized to an arithmetic dedicated to non-prime finite fields Fps . Afterwards, RNS are used in lattice-based cryptography area. The aim is to exploit acceleration properties enabled by RNS, as it is widely done for finite field arithmetic. As first result, a new version of Babai’s round-off algorithm based on hybrid RNS-MRS representation is presented. Then, a new and specific acceleration technique enables to create a full RNS algorithm computing a close lattice vector.

Les travaux réalisés dans cette thèse ont pour objet l'analyse de la sécurité de chiffrements à clef secrète. Plus précisément, nous y décrivons la cryptanalyse de plusieurs chiffrements par blocs et à flot ayant pour point commun d'avoir été conçus récemment pour répondre aux nouveaux enjeux de la cryptographie symétrique. Nous mettons en avant des attaques des versions complètes de cinq chiffrements, prouvant ainsi que ces primitives cryptographiques n'apportent pas la sécurité annoncée par leurs concepteurs.La première partie de cette thèse est dédiée à l'analyse de chiffrements par blocs avec des techniques de cryptanalyse différentielle. Nous montrons comment mener une attaque par différentielles tronquées sur la famille de chiffrements à bas coût KLEIN en exploitant la faible diffusions de sa fonction de tour. Ensuite, nous nous intéressons à Zorro et à Picaro, deux chiffrements conçus de sorte à être faciles à protéger contre les attaques par canaux auxiliaires, et montrons que les choix de conception guidés par cette contrainte ont engendré des faiblesses dans leurs propriétés différentielles, pouvant ensuite être exploitées dans des attaques.La seconde partie du manuscrit porte sur la cryptanalyse de chiffrements à flot. Nous y étudions Sprout et Flip, deux chiffrements aux structures innovantes visant respectivement à limiter la taille du circuit matériel nécessaire à l'implémentation et une bonne adaptation dans un schéma de FHE. / The main subject of this thesis is the security analysis of symmetric key ciphers. Specifically, we study several recently proposed block and stream ciphers and prove that the level of security stated by their designers is overestimated. The ciphers we study were all designed in order to meet the needs of one of the new applications of symmetric cryptography, which include symmetric ciphers for very constrained environments.The first part of the thesis is dedicated to the analysis of block ciphers with techniques based on differential cryptanalysis. We start with the description of a truncated differential attack on the family of lightweight ciphers KLEIN. Next, we analyse two ciphers that were designed in such a way that they could be easily and effectively protected against side-channel attacks: Zorro and Picaro. We show that the design choices made by their designers lead to weak diffusion properties. We exploit these imperfections to devise a differential cryptanalysis of Zorro and a related key attack on Picaro.The second part of this thesis deals with stream ciphers and gives an analysis of two innovative designs: Sprout and Flip. Sprout was designed in order to limit its hardware area size and to suit very constrained environments, while Flip reaches efficient performances when used in FHE schemes. In both cases, we find flaws that lead to attacks of the particular set of parameters proposed for these ciphers.

Le sujet de ma thèse s’inscrit dans le domaine des preuves formelleset de la vérification des algorithmescryptographiques. L’implémentation des algorithmes cryptographiquesest souvent une tâche assez compliquée, parce qu’ils sont optimiséspour être efficaces et sûrs en même temps. Par conséquent, il n’estpas toujours évident qu’un programme cryptographique en tant quefonction, corresponde exactement à l’algorithme mathématique,c’est-à-dire que le programme soit correct. Les erreurs dans lesprogrammes cryptographiques peuvent mettre en danger la sécurité desystèmes cryptographiques entiers et donc, des preuves de correctionsont souvent nécessaires. Les systèmes formels et les assistants depreuves comme Coq et Isabelle-HOL sont utilisés pour développer despreuves de correction des programmes. Les courbes elliptiques sontlargement utilisées en cryptographie surtout en tant que groupecryptographique très efficace. Pour le développement des preuvesformelles des algorithmes utilisant les courbes elliptiques, unethéorie formelle de celles-ci est nécessaire. Dans ce contexte, nousavons développé une théorie formelle des courbes elliptiques enutilisant l’assistant de preuves Coq. Cette théorie est par la suiteutilisée pour prouver la correction des algorithmes de multiplicationscalaire sur le groupe des points d’une courbe elliptique.Plus précisément, mes travaux de thèse peuvent être divisées en deuxparties principales. La première concerne le développement de lathéorie des courbes elliptiques en utilisant l'assistant des preuvesCoq. Notre développement de plus de 15000 lignes de code Coqcomprend la formalisation des courbes elliptiques données par uneéquation de Weierstrass, la théorie des corps des fonctionsrationnelles sur une courbe, la théorie des groupes libres et desdiviseurs des fonctions rationnelles sur une courbe. Notre résultatprincipal est la formalisation du théorème de Picard; une conséquencedirecte de ce théorème est l’associativité de l’opération du groupedes points d’une courbe elliptique qui est un résultat non trivial àprouver. La seconde partie de ma thèse concerne la vérification del'algorithme GLV pour effectuer la multiplication scalaire sur descourbes elliptiques. Pour ce développement, nous avons vérifier troisalgorithmes indépendants: la multiexponentiation dans un groupe, ladécomposition du scalaire et le calcul des endomorphismes sur unecourbe elliptique. Nous avons également développé une formalisationdu plan projectif et des courbes en coordonnées projectives et nousavons prouvé que les deux représentations (affine et projective) sontisomorphes.Notre travail est à la fois une première approche à la formalisationde la géométrie algébrique élémentaire qui est intégré dans lesbibliothèques de Ssreflect mais qui sert aussi à la certification devéritables programmes cryptographiques. / This thesis is in the domain of formalization of mathematics and ofverification of cryptographic algorithms. The implementation ofcryptographic algorithms is often a complicated task becausecryptographic programs are optimized in order to satisfy bothefficiency and security criteria. As a result it is not alwaysobvious that a cryptographique program actually corresponds to themathematical algorithm, i.e. that the program is correct. Errors incryprtographic programs may be disastrous for the security of anentire cryptosystem, hence certification of their correctness isrequired. Formal systems and proof assistants such as Coq andIsabelle-HOL are often used to provide guarantees and proofs thatcryptographic programs are correct. Elliptic curves are widely usedin cryptography, mainly as efficient groups for asymmetriccryptography. To develop formal proofs of correctness forelliptic-curve schemes, formal theory of elliptic curves is needed.Our motivation in this thesis is to formalize elliptic curve theoryusing the Coq proof assistant, which enables formal analysis ofelliptic-curve schemes and algorithms. For this purpose, we used theSsreflect extension and the mathematical libraries developed by theMathematical Components team during the formalization of the FourColor Theorem. Our central result is a formal proof of Picard’stheorem for elliptic curves: there exists an isomorphism between thePicard group of divisor classes and the group of points of an ellipticcurve. An important immediate consequence of this proposition is theassociativity of the elliptic curve group operation. Furthermore, wepresent a formal proof of correctness for the GLV algorithm for scalarmultiplication on elliptic curve groups. The GLV algorithm exploitsproperties of the elliptic curve group in order to acceleratecomputation. It is composed of three independent algorithms:multiexponentiation on a generic group, decomposition of the scalarand computing endomorphisms on algebraic curves. This developmentincludes theory about endomorphisms on elliptic curves and is morethan 5000 lines of code. An application of our formalization is alsopresented.