首届“安洵杯”国际赛站-WMCTF2022 官方WP

CRYPTO

ecc

由于题目给出了$G$以及$3G$的坐标，还有$n，c，e$，可以稍微想一下是曲线$G$，$3G$，曲线应该是模一个素数n的因子。

我们就使用推导$ 2G+G=3G$的方法，$2G$是二倍点，于是我们用二倍点公式和加法公式就能表达出来a和b都是模n的情况下，我们表达出来之后用加法公式中二倍点的东西和加法的东西去表达出来$a+kp$，用$y^2 - x^3 - ax^2 = b \mod p$，我们可以用2条去表达出来$b+k1p$和$b+k2p$然后相减，去和n，GCD分解n。

然后$a+k1p$ 和 $b+k2p $ 去模p能拿到a，于是我们就可以拿到a,b。接着就是RSA直接解c，发现a_bit+b_bit+c_bit=flag_bit = 606 bits

nanoDiamond - rev

exp如下：

homo

题目实现的是gentry的同态加密方案，但是参数是随意选取的，这就导致该方案能够使用公钥直接计算出等价私钥。

首先，该方案的流程如下

密钥生成：
$$
sk = q\
pk = {p_iq + 2*ri}{i=0}^n
$$
其中，p，q，r均为素数。

加密时，要求明文仅有1bit
$$
randomly\ generate\ d \in {0,1}^n\
c =m+ \sum_{i=0}^nd[i]pk[i]
$$
解密时，计算
$$
m = (c\%sk)\%2
$$
由于$pk[i]\%sk = 2r_i$为偶数，因此模sk后，m即为结果的LSB。

由于n个pk均为q的倍数加上一个扰动(r相对于q较小)，因此可以使用求解agcdp的方法求解出私钥q

参考https://martinralbrecht.wordpress.com/2020/03/21/the-approximate-gcd-problem/中的格

INTERCEPT

本题是个开放题，有多种解题思路和解题方法，出题人提供一种做法供大家参考，如下文所示：

最近，在A New Efficient Identity-Based Encryption without Pairing, Salimi 中提出了一种基于 RSA 模 TDDH 假设的新 IBE。 虽然这个方案是不安全的。 特别是，我们表明，给定 IBE 方案中的多个私钥，可以计算出一对等效的主密钥并完全破坏 KGC。

参考上面提到的论文，我们可以发现，当遵守他们提出的要求的对手可以访问n个私钥时，Salimi 的 IBE 方案是不安全的。 也就是说，他们的计划可以完全被打破。

我们有
$$
di = (y{i_1}s1 + y{i_2}s2)^{-1}\ mod\ zq\
h{i1}\equiv y{i1}p\ mod\ zq\
h{i2}\equiv y{i_2}p\ \ mod\ zq\
dj = (y{j_1}s1 + y{j_2}s2)^{-1}\ mod\ zq\
h{j1}\equiv y{j1}p\ mod\ zq\
h{j2}\equiv y{j2}p\ mod\ zq\
$$
我们设置了一组变量 $a{k1},a{k2}$：
$$
\begin{aligned} a{k_1}&=dih{i_1}-djh{j1}\&= (y{i1}p(y{j_1}s1 + y{j_2}s2)-y{j1}p(y{i_1}s1 + y{i_2}s2))/(y{i_1}s1 + y{i_2}s2)(y{j_1}s1 + y{j_2}s_2)\&=ps2(y{i1}y{j2}-y{j1}y{i2})/(y{i_1}s1 + y{i_2}s2)(y{j_1}s1 + y{j_2}s2)
\end{aligned}
$$
同样,
$$
\begin{aligned}a{k_2}&=dih{i_2}-djh{j_2}\
&=ps1(y{i2}y{j1}-y{j2}y{i1})/(y{i_1}s1 + y{i_2}s2)(y{j_1}s1 + y{j_2}s2)
\end{aligned}
$$
很容易观察到
$$
\frac{a{k1} }{a{k_2} } \equiv -\frac{s_2}{s1}\ mod\ zq
$$
所以我们可以知道：
$$
\frac{a{k1} }{a{k2} }\equiv \frac{a{k'1} }{a{k'2} }\ mod\ zq\
a{k1}a{k'2}-a{k'1}a{k2}\equiv 0\ mod\ zq
$$
通过计算 $(a{k1}a{k'2}-a{k'1}a{k_2})$ in $\mathbb{Z}$, 我们收到隐藏阶 $zq$ 的倍数，不等于 0 的概率很高。

我们知道 $N/2zq=p+p/2q+1/z+1/2zq\in [p, p+1]$ since $N=(zp+1)(2q+1)=2zqp+zp+2q+1$, 这意味着我们可以求解一个方程来分解 N. 然后使用任何 $(h_{i1},h{i2})$我们能够得到 $(y{i1},y{i_2})$, 通过一些计算我们可以得到 $s'_1\equiv s_1,s'_2\equiv s_2\ mod\ zq$.

一旦我们得到这些秘密参数，我们就可以访问任意用户加密的任何消息。

flag: WMCTF{cracking_such_a_toy_system_is_so_easy!}

EXP：

ocococb

由于nonce可复用，利用前两次加密获取E(nonce)，然后用第三次加密获取到所有我们需要的E(message)，接着利用unpad的漏洞对secret进行爆破，最后提交即可获得flag。exp如下：

[招生]科锐逆向工程师培训46期预科班将于 2023年02月09日 正式开班