Криптография и безопасность сетей : учебное пособие

КРИПТОГРАФИЯ И БЕЗОПАСНОСТЬ СЕТЕЙ

Behrouz A. Forouzan

INTRODUCTION TO CRYPTOGRAPHY AND NETWORK SECURITY

Осно‚ы инфом‡ционных техноло„ий Бехоуз А. Фооуз‡н

КРИПТОГРАФИЯ И БЕЗОПАСНОСТЬ СЕТЕЙ Учебное пособие Пее‚о‰ с ‡н„лийско„о по‰ 則кцией А.Н. Белин‡

Интенет-Уни‚еситет Инфом‡ционных Техноло„ий www.intuit.ru

БИНОМ. Л‡бо‡тоиfl зн‡ний www.lbz.ru

Мосꂇ 2010

УДК 003.26(075.8) ББК 32.973.26-018.2fl73-1+32.811.4fl73-1 Ф79

Ф79

Фооуз‡н Б.А. Кипто„‡фиfl и безоп‡сность сетей: Учебное пособие / Фооуз‡н Б.А.; пе. с ‡н„л. по‰ е‰. А.Н. Белин‡. — М.: Интенет-Уни‚еситет Инфом‡ционных Техноло„ий : БИНОМ. Л‡бо‡тоиfl зн‡ний, 2010. — 784 с.: ил., т‡бл. — (Осно‚ы инфом‡ционных техноло„ий). ISBN 978-5-9963-0242-0 В этом и片нии из‚естный ‡‚то Бехоуз А. Фооуз‡н ‚ ‰оступном стиле ‡сск‡зы‚‡ет о концепциflх кипто„‡фии и безоп‡сности сети. В пе‰ст‡‚ленных лекциflх сту‰енты мо„ут ос‚оить необхо‰имую м‡тем‡тическую осно‚у ‰лfl изучениfl сле‰ующе„о з‡ ним м‡теи‡л‡; эти м‡тем‡тические лекции мо„ут быть попущены, если сту‰енты об뇉‡ют соот‚етст‚ующими зн‡ниflми. Длfl сту‰енто‚, ‡спи‡нто‚ и ‚сех тех, кто хотел бы по‚ысить с‚ою ꂇлифик‡цию ‚ обл‡сти телекоммуник‡ций. А‚тоизинный пее‚о‰ с ‡н„лийско„о и片ниfl, опубликнно„о комп‡нией McGraw Hill. Higher Education. УДК 003.26(075.8) ББК 32.973.26-018.2fl73-1+32.811.4fl73-1

Полное или ч‡стичное ‚оспоиз‚е‰ение или ‡змножение к‡ким-либо способом, ‚ том числе и публик‡циfl ‚ Сети, н‡стоflще„о и片ниfl ‰опуск‡етсfl только с письменно„о ‡зешениfl Интенет-Уни‚еситет‡ Инфом‡ционных Техноло„ий. По ‚опос‡м пиобетениfl об‡щ‡тьсfl: «БИНОМ. Л‡бо‡тоиfl зн‡ний» Телефон (499) 157-1902, (499) 157-5272, e-mail: [email protected], http://www.Lbz.ru

ISBN 978-5-9963-0242-0

© McGraw-Hill Companies, Inc., 2008 © Пее‚о‰ н‡ усский flзык, ЭКОМ, 2010 © Интенет-Уни‚еситет Инфом‡ционных Техноло„ий, 2010 © БИНОМ. Л‡бо‡тоиfl зн‡ний, 2010

О поекте

Интенет-Уни‚еситет Инфом‡ционных Техноло„ий – это пе‚ое ‚ России ‚ысшее учебное 燂е‰ение, котоое пе‰ост‡‚лflет ‚озможность получить ‰ополнительное об‡зние ‚о Всеминой сети. Web-с‡йт уни‚еситет‡ н‡хо‰итсfl по ‡‰есу www.intuit.ru. Мы ‡‰ы, что ‚ы ешили ‡сшиить с‚ои зн‡ниfl ‚ обл‡сти компьютеных техноло„ий. Со‚еменный ми – это ми компьютео‚ и инфом‡ции. Компьютен‡fl ин‰устиfl – с‡мый бысто‡стущий секто экономики, и ее ост бу‰ет по‰олж‡тьсfl еще ‰ол„ое ‚емfl. Во ‚емен‡ жесткой конкуенции от уо‚нfl ‡з‚итиfl инфом‡ционных техноло„ий, ‰остижений н‡учной мысли и песпекти‚ных инжененых ешений 燂исит успех не только от‰ельных лю‰ей и комп‡ний, но и целых ст‡н. Вы ‚ыб‡ли с‡мое по‰хо‰flщее ‚емfl ‰лfl изучениfl компьютеных ‰исциплин. Пофессион‡лы ‚ обл‡сти инфом‡ционных техноло„ий сейч‡с ‚остебны ‚ез‰е: ‚ н‡уке, экономике, об‡знии, ме‰ицине и ‰у„их обл‡стflх, ‚ „осу‰‡ст‚енных и ч‡стных комп‡ниflх, ‚ России и з‡ убежом. Ан‡лиз ‰‡нных, по„нозы, о„‡низ‡циfl с‚flзи, со片ние по„‡ммно„о обеспечениfl, постоение мо‰елей поцессо‚ – ‚от ‰‡леко не полный список обл‡стей пименениfl зн‡ний ‰лfl компьютеных специ‡листо‚. Обучение ‚ уни‚еситете ‚е‰етсfl по собст‚енным учебным пл‡н‡м, ‡з‡бот‡нным ‚е‰ущими оссийскими специ‡лист‡ми н‡ осно‚е меж‰ун‡о‰ных об‡зтельных ст‡н‰‡то‚ Computer Curricula 2001 Computer Science. Изуч‡ть учебные кусы можно с‡мостоflтельно по учебник‡м или н‡ с‡йте Интенет-Уни‚еситет‡, 燉‡ниfl ‚ыполнflютсfl только н‡ с‡йте. Длfl обучениfl необхо‰имо з‡е„иститьсfl н‡ с‡йте уни‚еситет‡. У‰осто‚еение об оконч‡нии учебно„о кус‡ или специ‡льности ‚ы‰‡етсfl пи усло‚ии ‚ыполнениfl ‚сех 燉‡ний к лекциflм и успешной с‰‡чи ито„о‚о„о экз‡мен‡. Кн脇, котоую ‚ы ‰ежите ‚ ук‡х, – очее‰н‡fl ‚ мно„отомной сеии «Осно‚ы инфом‡ционных техноло„ий», ‚ыпуск‡емой ИнтенетУни‚еситетом Инфом‡ционных Техноло„ий. В этой сеии бу‰ут ‚ыпущены учебники по ‚сем б‡зо‚ым обл‡стflм зн‡ний, с‚flз‡нным с компьютеными ‰исциплин‡ми. Добо пож‡лть ‚ Интенет-Уни‚еситет Инфом‡ционных Техноло„ий! Ан‡толий Шке‰ [email protected]

Об ‡‚тое Бехоуз А. Фооуз‡н окончил К‡лифонийский Уни‚еситет. В н‡стоflщее ‚емfl пепет ‚ De Anza College, „‰е ‚е‰ет кусы по компьютеным инфом‡ционным систем‡м. Коме то„о, он ‡бот‡ет к‡к системный консульт‡нт ‚ ‡зличных фим‡х. Из‚естен к‡к ‡‚то ‚есьм‡ ‚остебнных кни„ по по„‡мминию и постоению сетей телекоммуник‡ций.

6

Лекции Лекциfl 1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 Лекциfl 2. М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl и м‡тицы . . . . . . . . . 37 Лекциfl 3. Т‡‰иционные шифы с симметичным ключом . . . . . . . . . . . . . . . 73 Лекциfl 4. М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы . . . . . . . . . . . . . . . . . . . . . . . . . . 119 Лекциfl 5. В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144 Лекциfl 6. Ст‡н‰‡т шифниfl ‰‡нных (DES) . . . . . . . . . . . . . . . . . . . . . . . . . 183 Лекциfl 7. Усо‚ешенст‚нный ст‡н‰‡т шифниfl (AES — Advanced encryption standard) . . . . . . . . . . . . . . . . . . . . . . . . . 215 Лекциfl 8. Шифние, использующее со‚еменные шифы с симметичным ключом . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249 Лекциfl 9. М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl . . . . . . . . . . . . . . 275 Лекциfl 10. Кипто„‡фиfl с ‡ссимметичным ключом . . . . . . . . . . . . . . . . . . . . 318 Лекциfl 11. Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 366 Лекциfl 12. Кипто„‡фические хэш-функции . . . . . . . . . . . . . . . . . . . . . . . . . . . 392 Лекциfl 13. Цифfl по‰пись . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 419 Лекциfl 14. Уст‡но‚ление по‰линности объект‡ . . . . . . . . . . . . . . . . . . . . . . . . . . 448 Лекциfl 15. Уп‡‚ление ключ‡ми . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 471 Лекциfl 16. Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME . . . . . . . . . . 501 Лекциfl 17. Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS . . . . . . . . . . . . . 542 Лекциfl 18. Безоп‡сность н‡ сете‚ом уо‚не: IP SEC . . . . . . . . . . . . . . . . . . . . . . 586

7

΄뇂ление Пе‰исло‚ие к усскому пее‚о‰у . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14 Пе‰исло‚ие . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15 Лекциfl 1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19 1.1. Цели пежки безоп‡сности . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20 1.2. Ат‡ки . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 21 1.3. Услу„и и мех‡низмы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24 1.4. Мето‰ы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28 1.5. Ост‡льные ч‡сти кни„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 1.6. Рекомен‰о‚‡нное чтение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32 1.7. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 1.8. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33 Ч‡сть 1. Шифние симметичными ключ‡ми . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35 Лекциfl 2. М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl и м‡тицы . . . . . . . . . . . . . . . 37 2.1. Аифметик‡ целых чисел . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37 2.2. Мо‰ульн‡fl ‡ифметик‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47 2.3. М‡тицы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59 2.4. Линейное с‡‚нение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64 2.5. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66 2.6. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 66 2.7. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 68 Лекциfl 3. Т‡‰иционные шифы с симметичным ключом . . . . . . . . . . . . . . . . 73 3.1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 73 3.2. Шифы по‰ст‡но‚ки . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 79 3.3. Шифы пеест‡но‚ки . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 102 3.4. Шифы поток‡ и блочные шифы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109 3.5. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 111 3.6. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 112 3.7. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113 Лекциfl 4. М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 4.1. Ал„еб‡ические стуктуы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 119 4.2. Полfl GF(2n) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 130 8

4.3. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 4.4. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 140 4.5. Вопосы и уп‡жнениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 141 Лекциfl 5. В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144 5.1. Со‚еменные блочные шифы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 144 5.2. Со‚еменные шифы поток‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 171 5.3. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 177 5.4. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 178 5.5. Вопосы и уп‡жнениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 179 Лекциfl 6. Ст‡н‰‡т шифниfl ‰‡нных (DES) . . . . . . . . . . . . . . . . . . . . . . . . . . 183 6.1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183 6.2. Стукту‡ DES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 184 6.3. Ан‡лиз DES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199 6.4. Мно„ок‡тное пименение DES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206 6.5. Безоп‡сность DES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 210 6.6. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 211 6.7. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 211 6.8. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 212 Лекциfl 7. Усо‚ешенст‚нный ст‡н‰‡т шифниfl (AES — Advanced encryption standard) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215 7.1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 215 7.2. Пеоб‡зниfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 220 7.3. Р‡сшиение ключей . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 231 7.4. Шифы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 237 7.5. Пимеы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 240 7.6. Ан‡лиз AES . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 243 7.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244 7.8. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 244 7.9. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 245 Лекциfl 8. Шифние, использующее со‚еменные шифы с симметичным ключом . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 249 8.1. Пименение со‚еменных блочных шифо‚ . . . . . . . . . . . . . . . . . . . . 249 8.2. Использние шифо‚ поток‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 263 8.3. Ду„ие поблемы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 269 8.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 270 8.5. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 271 9

8.6. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 272 Ч‡сть 2. Шифние с ‡симметичными ключ‡ми . . . . . . . . . . . . . . . . . . . . . . . . 275 Лекциfl 9. М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 275 9.1. Постые числ‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 276 9.2. Испыт‡ние постоты чисел . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 284 9.3. Р‡зложение н‡ множители . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 292 9.4. Кит‡йск‡fl теоем‡ об ост‡тк‡х . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 299 9.5. К‚‡‰‡тичное с‡‚нение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 301 9.6. Воз‚е‰ение ‚ степень и лифмы . . . . . . . . . . . . . . . . . . . . . . . . . . . . 304 9.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 312 9.8. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 313 9.9. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 314 Лекциfl 10. Кипто„‡фиfl с ‡ссимметичным ключом . . . . . . . . . . . . . . . . . . . . 318 10.1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 318 10.2. Кипто„‡фическ‡fl систем‡ RSA . . . . . . . . . . . . . . . . . . . . . . . . . . . . 327 10.3. Киптосистем‡ Р‡бин‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 342 10.4. Кипто„‡фическ‡fl систем‡ Эль-Г‡м‡лfl . . . . . . . . . . . . . . . . . . . . . . 345 10.5. Киптосистемы н‡ осно‚е мет эллиптических ки‚ых . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 350 10.6. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 359 10.7. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 360 10.8. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 362 Ч‡сть 3. Целостность, уст‡но‚ление по‰линности и уп‡‚ление ключ‡ми . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 365 Лекциfl 11. Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl 366 11.1. Целостность сообщениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 366 11.2. Случ‡йн‡fl мо‰ель Oracle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 370 11.3. Уст‡но‚ление по‰линности сообщениfl . . . . . . . . . . . . . . . . . . . . . . . . 380 11.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 386 11.5. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 386 11.6. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 387 Лекциfl 12. Кипто„‡фические хэш-функции . . . . . . . . . . . . . . . . . . . . . . . . . . . 392 12.1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 392 12.2. SHA-512 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 396 12.3. Whirlpool . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 405 10

12.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 414 12.5. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 415 12.6. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 416 Лекциfl 13. Цифfl по‰пись . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 419 13.1. С‡‚нение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 419 13.2. Поцесс . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 420 13.3. Услу„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 423 13.4. Ат‡ки цифо‚ой по‰писи . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 425 13.5. Схемы цифо‚ой по‰писи . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 427 13.6. В‡и‡нты и пиложениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 441 13.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 444 13.8. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 444 13.9. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 445 Лекциfl 14. Уст‡но‚ление по‰линности объект‡ . . . . . . . . . . . . . . . . . . . . . . . . . . 448 14.1. В‚е‰ение . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 448 14.2. П‡оли . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 449 14.3. З‡пос-от‚ет . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 454 14.4. По‰т‚еж‰ение с нуле‚ым ‡з„л‡шением . . . . . . . . . . . . . . . . . . . . . . 458 14.5. Биометиfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 464 14.6. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468 14.7. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 468 14.8. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 469 Лекциfl 15. Уп‡‚ление ключ‡ми . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 471 15.1. Р‡спе‰еление с симметичными ключ‡ми . . . . . . . . . . . . . . . . . . . . 471 15.2. Цебе . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 478 15.3. Со„л‡шение с симметичными ключ‡ми . . . . . . . . . . . . . . . . . . . . . . 480 15.4. Р‡спе‰еление откыто„о ключ‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 487 15.5. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 497 15.6. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 497 15.7. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 498 Ч‡сть 4. Безоп‡сность сети . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 500 Лекциfl 16. Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME . . . . . . . . . . 501 16.1. Электонн‡fl почт‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 501 16.2. PGP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 504 16.3. S/MIME . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 528 16.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 539 11

16.5. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 539 16.6. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 540 Лекциfl 17. Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS . . . . . . . . . . . . . 542 17.1. SSL-‡хитекту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 543 17.2. Четые потокол‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 553 17.3. Фом‡ты сообщениfl SSL . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 566 17.4. Безоп‡сность т‡нспотно„о уо‚нfl . . . . . . . . . . . . . . . . . . . . . . . . . . 575 17.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 581 17.8. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 582 17.7. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 582 Лекциfl 18. Безоп‡сность н‡ сете‚ом уо‚не: IP SEC . . . . . . . . . . . . . . . . . . . . . . 586 18.1. Д‚‡ ежим‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 587 18.2. Д‚‡ потокол‡ безоп‡сности . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 589 18.3. Услу„и обеспечениfl безоп‡сности т‡фик‡ . . . . . . . . . . . . . . . . . . . . 594 18.4. Ст‡те„иfl безоп‡сности . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 597 18.5. Потокол интенет-обмен‡ ключ‡ми (IKE) . . . . . . . . . . . . . . . . . . . . 601 18.6. ISAKMP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 618 18.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 629 18.8. Ито„и . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 630 18.9. Н‡бо ‰лfl п‡ктики . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 631 Пиложение A. ASCII . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 634 Пиложение B. Ст‡н‰‡ты и о„‡низ‡ции по ст‡н‰‡тиз‡ции . . . . . . . . . . . . . . 635 Пиложение С. Н‡бо потоколо‚ TCP/IP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 641 Пиложение D. Элемент‡н‡fl теоиfl ‚еоflтностей . . . . . . . . . . . . . . . . . . . . . . 646 Пиложение E. Поблемы ‰нfl ож‰ениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 650 Пиложение F. Теоиfl инфом‡ции . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 654 Пиложение G. Список непи‚о‰имых и пимити‚ных полиномо‚ . . . . . . . . 660 Пиложение H. Постые числ‡, меньшие чем 10 000 . . . . . . . . . . . . . . . . . . . . . . 662 Пиложение I. Постые множители целых чисел, меньшие чем 1000 . . . . . . . 666 Пиложение J. Список пе‚ых пе‚ооб‡зных коней ‰лfl постых чисел, меньших чем 1000 . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 669 Пиложение K. Гене‡то случ‡йных чисел . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 670 Пиложение L. Сложность . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 676 12

Пиложение M. ZIP . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 682 Пиложение N. Диффеенци‡льный и линейный кипто‡н‡лиз DES . . . . . . . 687 Пиложение О. Упощенный DES (S-DES) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 695 Пиложение P. Упощенный AES (S-AES) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 703 Пиложение Q. Некотоые ‰ок‡з‡тельст‚‡ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 715 Глосс‡ий . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 722 Список лите‡туы . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 746 Пе‰метный ук‡з‡тель . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 748 Сок‡щениfl . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 780

13

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пе‰исло‚ие к усскому пее‚о‰у Поскольку обмен инфом‡цией ‚ со‚еменном мие пе‰ст‡‚лflет о‰ну из цент‡льных 燉‡ч. Утечк‡, иск‡жение, отк‡з от сообщений ч‡сто пи‚о‰flт к к‡тостофическим после‰ст‚иflм. Поэтому со‚еменные сети Интенет и мобильной с‚flзи не мо„ут использтьсfl без се‰ст‚ з‡щиты. Кн脇 Бехоуз‡ Фооуз‡н‡ — о‰но из н‡иболее полных и片ний. Бу‰учи пеп‚‡телем о‰но„о из ‚е‰ущих уни‚еситето‚ США, он н‡пис‡л очень со‰еж‡тельную и понflтную кни„у, несмотfl н‡ сложность м‡теи‡л‡. Кн脇 пе‰ст‡‚лflет собой ч‡сть учебной по„‡ммы, кото‡fl со‰ежит сле‰ующие кусы лекций. 1. Оконечные устойст‚‡ и линии ‡бонентско„о уч‡стк‡ инфом‡ционной сети. 2. Абонентские устойст‚‡ и техноло„ии ‚ысокоскоостных сетей. 3. Телекоммуник‡ционные сети и устойст‚‡. 4. Осно‚ные потоколы Интенет. 5. Кипто„‡фиfl и безоп‡сность сетей. Чит‡тель получ‡ет ‚озможность после‰о‚‡тельно„о и ‚з‡мос‚flз‡нно„о обучениfl оснм постоений со‚еменных инфом‡ционных сетей ‚ ук‡з‡нном ‚ыше поfl‰ке. Пе‰ст‡‚ленный пее‚о‰ ‰ополнflет пе‰ы‰ущие кусы лекций то„о же ‡‚то‡. По с‚оей стуктуе кн脇 ‚есьм‡ близк‡ к уже опубликнным и пеечисленным ‚ыше ‚ этой сеии (к‡ткие ито„и, список темино‚, „лосс‡ий). Кни„у сопо‚о扇ют н‡боы ‚опосо‚ ‰лfl с‡мопо‚еки. Чтобы н‡ них от‚етить, тебуетсfl опе‰еленный уо‚ень ‚뇉ениfl м‡теи‡лом.В этом случ‡е пи сост‡‚лении ‚опосо‚ было учтено мнение сту‰енто‚ (см. фоум), котоые ‚ы‡зили пожел‡ние усложнить ‚опосы. А‚то б뇄ит уко‚о‰ителfl и片тельско„о от‰ел‡ Н‡т‡лью Р‡хм‡но‚у и 則кто‡ С‚етл‡ну Пеепелкину з‡ ‚ним‡тельную ‡боту 퇉 укописью и ‰обожел‡тельное отношение.

14

Пе‰исло‚ие

Моим любимым ‰очеи Сэйт‡е и зflтю Ш‡ну. Б. Фооуз‡н

Пе‰исло‚ие Всемин‡fl сеть Интенет изменил‡ ‚о мно„ом н‡шу по‚се‰не‚ную жизнь. Но‚ые фомы коммеческой ‰еflтельности поз‚олflют ‰ел‡ть покупки ‚ 쇄‡зине, не ‚ыхо‰fl из ‰ом‡. Всемин‡fl П‡утин‡ (WWW) ‰‡ет ‚озможность пользтьсfl общей инфом‡цией. Техноло„иfl Электонной почты (e-mail) сое‰инflет лю‰ей из с‡мых у‰‡ленных у„олко‚ ми‡. Но к‡к езульт‡т, этот неизбежный по„есс поо‰ил 燂исимость со‚еменно„о общест‚‡ от Интенет‡. Интенет, ‰оступн‡fl ‚сем систем‡ обмен‡ инфом‡цией, со片л поблемы инфом‡ционной безоп‡сности. Пи обмене ‚‡жными с‚е‰ениflми необхо‰имы конфи‰енци‡льность, целостность и у‰осто‚еение их по‰линности. К‡ лю‰и ‰ел‡ют покупки путем ‰и‡л ‚ Интенете, они ‰олжны быть убеж‰ены, что се‰ст‚‡ с‚flзи обеспеч肇ют конфи‰енци‡льность. Они ‰олжны быть у‚еены, что п‚цы, ‚е‰ущие с ними ‰и‡ло„, по‰линны. К‡ клиенты со‚еш‡ют опе‡ции с б‡нк‡ми, з‡п‡ш肇ют инфом‡цию и получ‡ют от‚ет, они хотflт точно зн‡ть, что целостность сообщениfl сох‡нен‡ и цифы не иск‡жены. Безоп‡сность сети обеспеч肇етсfl н‡боом потоколо‚, котоые поз‚олflют н‡м спокойно использть Интенет, не ‰ум‡fl о ‚озможных ‡т‡к‡х н‡ н‡ушение инфом‡ции. С‡мый общий инстумент ‰лfl то„о, чтобы обеспечить безоп‡сность сети, – кипто„‡фиfl. Это ст‡‡fl техник‡, кото‡fl был‡ ‚осст‡но‚лен‡ и писпособлен‡ к со‚еменной сети. Н‡ш‡ кн脇 сн‡ч‡л‡ пе‰ст‡‚лflет чит‡телю пинципы кипто„‡фии, ‡ з‡тем пок‡зы‚‡ет их пименение ‰лfl опис‡ниfl потоколо‚ безоп‡сности сети.

Особенности кни„и Некотоые особенности кни„и объflснflютсfl попыткой обле„чить чит‡телю поним‡ние пинципо‚ безоп‡сности сети и кипто„‡фии. Стукту‡ Кн脇 использует по‰хо‰ к обучению безоп‡сности сети и кипто„‡фии по н‡‡ст‡ющей сложности. Он‡ не пе‰по뇄‡ет у чит‡телfl ник‡ких особых и специ‡льных зн‡ний м‡тем‡тики тип‡ теоии чисел или ‡бст‡ктной ‡л„ебы. О‰н‡ко кипто„‡фиfl и безоп‡сность сети не мо„ут быть понflты без зн‡ниfl некотоых осно‚ ‚ соот‚етс‚ующих обл‡стflх м‡тем‡тики, и эт‡ б‡зfl инфом‡циfl пи‚о‰итсfl ‚ лекциflх 2, 4 и 9. Чит‡тели, зн‡комые с этими ‚опос‡ми, мо„ут попустить ук‡з‡нные лекции. Лекции 1-15 ‡ссм‡т肇ют ‚опосы кипто„‡фии, ‡ лекции 16-18 — поблемы безоп‡сности сети. Визу‡льный по‰хо‰ Кн脇 ‡ссм‡т肇ет сложные технические ‚опосы, не используfl сложных фомул, з‡ счет б‡л‡нс‡ меж‰у текстом и исунк‡ми. Текст сопо‚о扇ют более 15

Кус

Кипто„‡фиfl и безоп‡сность сетей

чем 400 исунко‚, обеспеч肇ющих ‚изу‡льные и интуити‚ные ‚озможности ‰лfl поним‡ниfl м‡теи‡ло‚. Рисунки особенно ‚‡жны пи объflснении ту‰ных понflтий шифниfl и сложных сете‚ых потоколо‚ безоп‡сности. Ал„оитмы Ал„оитмы и„‡ют ‚‡жную оль ‚ обучении шифнию. Чтобы с‰ел‡ть изложение не燂исимым от конкетно„о компьютено„о flзык‡, ‡л„оитмы ‰‡ютсfl ‚ пс傉око‰е, котоый может быть ле„ко з‡по„‡ммин н‡ со‚еменном flзыке. В‡жные понflтиfl ‚ы‰елены шифтом ‰лfl сп‡‚ки, ‡ т‡кже чтобы пи‚лечь непосе‰ст‚енное ‚ним‡ние чит‡телfl. Пимеы ʇ扇fl лекциfl со‰ежит большое количест‚о пимео‚, котоые иллюстиуют пименение понflтий, обсу扇емых ‚ этой лекции. Некотоые пимеы посто пок‡зы‚‡ют, к‡к использть понflтиfl и фомулы; ‰у„ие иллюстиуют п‡ктическое соотношение шифо‚; тетьи ‰‡ют ‰ополнительную инфом‡цию ‰лfl лучше„о поним‡ниfl некотоых ту‰ных и‰ей. Рекомен‰о‚‡нн‡fl лите‡ту‡ В конце к‡ж‰ой лекции чит‡тель н‡й‰ет список кни„ ‰лfl с‡мостоflтельно„о чтениfl. Ключе‚ые темины Ключе‚ые темины ‚ы‰елены полужиным шифтом ‚ тексте лекции, и список ключе‚ых темино‚ пи‚о‰итсfl ‚ конце к‡ж‰ой лекции. Все ключе‚ые темины т‡кже опе‰елены ‚ „лосс‡ии, ‚ конце кни„и. ʇ扇fl лекциfl з‡к‡нч肇етсfl к‡ткими итми м‡теи‡л‡, то есть обзоом ‚сех ‚‡жных пункто‚ ‚ лекции. Н‡бо ‰лfl п‡ктики В конце к‡ж‰ой лекции сту‰енты н‡й‰ут н‡бо ‰лfl п‡ктики, ‡з‡бот‡нный с целью з‡кепить сущест‚енные понflтиfl. Н‡бо ‰лfl п‡ктики состоит из ‰‚ух ч‡стей: ‚опосы и уп‡жнениfl. Вопосы пе‰н‡зн‡чены ‰лfl то„о, чтобы по‚еить пе‚ичное поним‡ние чит‡телем м‡теи‡л‡, пе‰ст‡‚ленно„о ‚ лекции. Уп‡жнениfl тебуют более „лубоко„о поним‡ниfl м‡теи‡л‡. Пиложениfl Пиложениfl со‰еж‡т сп‡‚очные м‡теи‡лы или к‡ткое изложение м‡теи‡ло‚, котоые необхо‰имы ‰лfl поним‡ниfl положений, обсу扇емых ‚ этой кни„е. Р‡ссмотение некотоых м‡тем‡тических тем т‡кже пе‰ст‡‚лено ‚ пиложениflх — это ‰‡ет ‚озможность чит‡телю, уже зн‡комому с этими ‚опос‡ми, попустить их чтение. Док‡з‡тельст‚‡ М‡тем‡тические понflтиfl, упомflнутые ‚ лекциflх, пи‚о‰flтсfl без ‰ок‡з‡тельст‚, только ‰лfl то„о, чтобы пок‡з‡ть езульт‡ты пименениfl этих понflтий. З‡интееснный чит‡тель может н‡йти ‰ок‡з‡тельст‚‡ ‚ пиложении Q. 16

Пе‰исло‚ие

Глосс‡ий и Список сок‡щений В конце текст‡ чит‡тель н‡й‰ет обшиный „лосс‡ий и список сок‡щений. Со‰еж‡ние После ‚‚о‰ной лекции 1 кн脇 ‡з‰елен‡ н‡ четые ч‡сти. Пе‚‡fl ч‡сть: Шифние с помощью симметичных ключей Пе‚‡fl ч‡сть ‰‡ет пе‰ст‡‚ление о кипто„‡фии с симметичными ключ‡ми (симметичное шифние) — к‡к о т‡‰иционном, т‡к и о со‚еменном по‰хо‰е к поцессу шифниfl. Лекции ‚ этой ч‡сти пос‚flщены использнию симметично„о шифниfl ‰лfl обеспечениfl секетности инфом‡ции. Пе‚‡fl ч‡сть ‚ключ‡ет ‚ себfl лекции 2-8. Вто‡fl ч‡сть: Шифние с помощью ‡симметичных ключей Вто‡fl ч‡сть ‡ссм‡т肇ет шифние с помощью ‡симметичных ключей (‡симметичное шифние). Лекции ‚ этой ч‡сти пок‡зы‚‡ют, к‡к ‡симметичное шифние может обеспечить безоп‡сность инфом‡ции. Вто‡fl ч‡сть ‚ключ‡ет ‚ себfl лекции 9 и 10. Тетьfl ч‡сть: Целостность, у‰осто‚еение по‰линности и уп‡‚ление ключ‡ми Тетьfl ч‡сть пок‡зы‚‡ет, к‡к кипто„‡фические функции хэшиниfl1 (hashing) мо„ут обеспечить ‰у„ие функции безоп‡сности, т‡кие к‡к целостность сообщениfl и у‰осто‚еениfl по‰линности сообщениfl. Лекции ‚ этой ч‡сти т‡кже пок‡зы‚‡ют, к‡к ‡симметичное шифние и ‡симметичное шифние мо„ут ‰ополнflть ‰у„ ‰у„‡. Тетьfl ч‡сть ‚ключ‡ет ‚ себfl лекции 11-15. Чет‚ет‡fl ч‡сть: Безоп‡сность сети Чет‚ет‡fl ч‡сть пок‡зы‚‡ет, к‡к кипто„‡фиfl, ‡ссмотенн‡fl ‚ пе‚ой и тетьей ч‡стflх, может использтьсfl ‰лfl со片ниfl потоколо‚ безоп‡сности сети н‡ тех уо‚нflх мо‰ели о„‡низ‡ции сети Интенет‡. Чет‚ет‡fl ч‡сть ‚ключ‡ет ‚ себfl лекции 16-18.

К‡к использть эту кни„у Эт‡ кн脇 н‡пис‡н‡ и ‰лfl сту‰енческой, и ‰лfl пофессион‡льной ‡у‰итоии. З‡интееснные пофессион‡лы мо„ут использть еfi ‰лfl с‡мостоflтельно„о обучениfl. К‡к учебник он‡ может пименflтьсfl ‰лfl чтениfl лекций ‚ течение о‰но„о семест‡ или цело„о кус‡. Ниже пи‚о‰flтсfl некотоые уко‚о‰flщие пинципы изучениfl. • Ч‡сти 1-3 н‡стоflтельно екомен‰уютсfl ‰лfl изучениfl. • Ч‡сть 4 екомен‰уетсfl, если кус ‰олжен по‰олжитьсfl з‡ ‡мк‡ми кипто„‡фии ‚ обл‡сти безоп‡сности сети. Длfl чтениfl чет‚етой ч‡сти сле‰ует п剂‡ительно изучить кус о„‡низ‡ции сетей.

Онл‡йно‚ый Учебный Цент Онл‡йно‚ый Учебный Цент McGraw-Hill пе‰ост‡‚лflет мно„о ‰ополнительных м‡теи‡ло‚, с‚flз‡нных с темой «Безоп‡сность Сети и Кипто„‡фиfl». С‡йт ‰оступен по сле‰ующей ссылке www.mhhe.com/forouzan. 1

Функциfl, пе‰ст‡‚лflющ‡fl собой отоб‡жение ф‡„менто‚ откыто„о текст‡ ‚ шифнную стоку фиксинной ‰лины.- пим. пее‚. 17

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пофессо‡ и сту‰енты мо„ут получить ‰оступ к м‡теи‡л‡м лекций, н‡пиме, к сл‡й‰‡м Power Point. Сту‰енты мо„ут у‚и‰еть ешениfl 燉‡ч с нечетными номе‡ми, ‡ пеп‚‡тели мо„ут использть п‡оль ‰лfl ‰оступ‡ ко ‚сем ешениflм Дополнительно McGraw-Hill обле„ч‡ет со片ние web-с‡йт‡ (н‡ пимее котоо„о чит‡тель сможет лучше ус‚оить ‰‡нный кус) с помощью эксклюзи‚но„о по‰укт‡ фимы McGraw-Hill, котоый н‡зы‚‡етсfl PageOut (‚нешние ст‡ницы). Он не тебует ник‡кой п剂‡ительной пото‚ки и зн‡ниfl HTML, больших з‡т‡т ‚емени, 퇂ыко‚ поектиниfl web-с‡йто‚. Длfl это„о PageOut пе‰л‡„‡ет fl‰ ш‡блоно‚. Нужно посто з‡полнить их инфом‡цией ‚‡ше„о кус‡ и щелкнуть «мышкой» н‡ поле о‰но„о из 16 поекто‚. Этот поцесс отним‡ет ‚емени менее ч‡с‡, и ‚ езульт‡те чит‡тель получит пофессион‡льно ‡з‡бот‡нный web-с‡йт. PageOut пе‰ост‡‚лflет ‚озможность «м„но‚енной» ‡з‡ботки з‡конченно„о web-с‡йт‡ и обеспеч肇ет мощные функцион‡льности. Инте‡кти‚ное со‰еж‡ние кус‡ поз‚олflет ‚‡м получить ‰оступ н‡ эк‡не к со‰еж‡нию ‚‡шей лекции. К‡ сту‰енты посещ‡ют ‚‡ш web-с‡йт PageOut, ‚‡ш‡ по„‡мм‡ н‡п‡‚лflет их к компонент‡м Онл‡йно‚о„о Учебно„о Цент‡ Фооуз‡н‡ или исключительно к ‚‡шему собст‚енному м‡теи‡лу.

Б뇄ности Оче‚и‰но, что ‰лfl со片ниfl этой кни„и был‡ необхо‰им‡ пежк‡ мно„их лю‰ей. Рецензенты С‡мый ‚‡жный ‚к뇉 ‚ со片ние кни„и ‚несли ецензенты. Я не мо„у ‚ы‡зить ‚ слх мою б뇄ность мно„очисленным ецензент‡м, котоые з‡т‡тили мно„ие ч‡сы, чит‡fl укопись и общ‡fl менfl полезными коммент‡иflми и и‰еflми. Я особенно хотел бы ‚ыск‡з‡ть пизн‡тельность сле‰ующим специ‡лист‡м: Kaufman, Robert, University of Texas, San Antonio Kesidis, George, Penn State Stephens, Brooke, University of Maryland, Baltimore County Koc, Cetin, Oregon State University Uminowicz, Bill, Westwood College Wang, Xunhua, James Madison University Kak, Subhash, Louisiana State University Dunigan, Tom, University of Tennessee, Knoxville Соту‰ники и片тельст‚‡ McGraw-Hill Хочу ‚ы‡зить особую б뇄ность соту‰ник‡м и片тельст‚‡ McGrawHill, и片телю Ал‡ну Апту (Alan Apt), котоый ‰ок‡з‡л, что может ‰ел‡ть не‚озможное ‚озможным. Мели퉇 Билецки (Melinda Bilecki), технический 則кто, ок‡зы‚‡л‡ мне помощь ‚с儉‡, к‡ fl ну扇лсfl ‚ этом. Шейл‡ Ф‡нк (Sheila Frank), мене‰же поект‡, о„‡низо‚‡л‡ поцесс и片ниfl с о„омным энтузи‡змом. Я т‡кже б뇄ю Д‡‚艇 Хэш‡ (David Hash), ‡з‡ботчик‡ поект‡, К‡‡ Ку‰оно‚ич (Kara Kudronowicz), ‡бот‡ющей ‚ поиз‚о‰ст‚е кни„, и Вен‰и Нелсон (Wendy Nelson) — 則кто‡ печ‡ти. Бехоуз Фооуз‡н (Behrouz A. Forouzan) 18

В‚е‰ение

Лекциfl 1

Лекциfl 1. В‚е‰ение Цели и со‰еж‡ние Эт‡ лекциfl песле‰ует несколько целей. • Опе‰елить ти цели инфом‡ционной безоп‡сности. • Опе‰елить ‚и‰ы ‡т‡к н‡ безоп‡сность инфом‡ции, котоые у„ож‡ют секетности. • Опе‰елить службы безоп‡сности и к‡к они с‚flз‡ны с темfl 燉‡ч‡ми безоп‡сности. • Опе‰елить мех‡низмы безоп‡сности, котоые обеспеч肇ют службы секетности. • Позн‡комить с ‰‚умfl метми шифниfl ‰лfl е‡лиз‡ции мех‡низм‡ безоп‡сности — кипто„‡фией и ст儇но„‡фией. Мы жи‚ем ‚ инфом‡ционную эпоху. Мы ‰олжны ‚ним‡тельно сох‡нflть инфом‡цию о к‡ж‰ом ‡спекте н‡шей жизни. Ду„ими слми, инфом‡циfl — собст‚енность, и, по‰обно любой ‰у„ой собст‚енности, имеет ‚‡жное зн‡чение. И ‚ этом к‡чест‚е инфом‡циfl ‰олжн‡ быть з‡щищен‡ от н‡п‡‰ений. Инфом‡циfl ‰олжн‡ быть сох‡нен‡ от неп‡‚омочно„о ‰оступ‡ (конфи‰енци‡льность), з‡щищен‡ от неп‡‚омочно„о изменениfl (целостность) и ‰оступн‡ только ‡зешенному объекту, к‡ это ему необхо‰имо („ото‚ность). Несколько ‰есflтилетий н‡з‡‰ инфом‡циfl соби‡л‡сь н‡ физических носителflх. Конфи‰енци‡льность т‡ких носителей ‰ост脇л‡сь сто„им о„‡ничением ‰оступ‡, котоый пе‰ост‡‚лflлсfl только лю‰flм, имеющим н‡ это п‡‚о, и тем из них, кому можно было ‰о‚еить ‰‡нную инфом‡цию. Т‡кже нескольким п‡‚омочным субъект‡м ‡зеш‡лось изменение со‰еж‡ниfl этих ф‡йло‚. Гото‚ность был‡ обеспечен‡ тем, что по меньшей мее о‰ному чело‚еку ‚с儉‡ ‡зеш‡лсfl ‰оступ к носителflм. С поfl‚лением компьютео‚ х‡нение инфом‡ции ст‡ло электонным. Инфом‡циfl х‡нил‡сь уже не ‚ физической неэлектонной се‰е — он‡ н‡к‡пл肇л‡сь ‚ электонной се‰е (компьюте‡х). О‰н‡ко ти тебниfl безоп‡сности не изменились. Ф‡йлы, з‡пис‡нные ‚ компьютее, ‰олжны об뇉‡ть с‚ойст‚‡ми конфи‰енци‡льности, целостности и „ото‚ности. Ре‡лиз‡циfl этих тебний ‚озможн‡ ‡зличными метми и тебует ешениfl сложных 燉‡ч. В течение пошлых ‰‚ух ‰есflтилетий компьютеные сети поиз‚ели е‚олюцию ‚ использнии инфом‡ции. Инфом‡циfl тепеь ‡спе‰елен‡. Лю‰и пи н‡личии полномочий мо„ут пе則‚‡ть инфом‡цию и иск‡ть ее н‡ ‡сстоflнии, используfl компьютеные сети. Но ти уже упомflнутых тебниfl — конфи‰енци‡льности, целостности и „ото‚ности — не изменились. Они лишь пиобели некотоые но‚ые ‡спекты. Тепеь не‰ост‡точно то„о, что инфом‡циfl ‰олжн‡ быть конфи‰енци‡льной, к‡ он‡ сох‡нflетсfl ‚ компьютее. Должен т‡кже сущест‚ть способ пежки конфи‰енци‡льности, к‡ эт‡ инфом‡циfl пе則етсfl от о‰но„о компьюте‡ к ‰у„ому. В этой лекции мы сн‡ч‡л‡ обсу扇ем ти „л‡‚ных цели пежки безоп‡сности инфом‡ции. К‡ бу‰ет понflтно, к‡кие ‡т‡ки мо„ут у„ож‡ть этим тем целflм, т‡ можно обсу‰ить службы безоп‡сности, пе‰н‡зн‡ченные ‰лfl этих целей. Потом опе‰елflютсfl мех‡низмы обеспечениfl службы безоп‡сности и мето‰ы, котоые мо„ут использтьсfl, чтобы осущест‚ить эти мех‡низмы. 19

Кус

Кипто„‡фиfl и безоп‡сность сетей

1.1. Цели пежки безоп‡сности Р‡ссмотим ти цели пежки инфом‡ционной безоп‡сности: конфи‰енци‡льность, целостность и „ото‚ность.

Рис. 1.1. Систем‡тиз‡циfl целей пежки безоп‡сности

Конфи‰енци‡льность Конфи‰енци‡льность — ‚еоflтно, с‡мый общий ‡спект инфом‡ционной безоп‡сности. Мы ‰олжны з‡щитить н‡шу конфи‰енци‡льную инфом‡цию. О„‡низ‡циfl ‰олжн‡ пинflть меы поти‚ тех злон‡меенных ‰ейст‚ий, котоые мо„ут н‡ушить конфи‰енци‡льность инфом‡ции. В ‚оенных о„‡низ‡циflх сох‡нение секетности ‚‡жной инфом‡ции – „뇂н‡fl з‡бот‡ уко‚о‰ст‚‡. В помышленности сох‡нение т‡йны некотоой инфом‡ции от конкуенто‚ fl‚лflетсfl о‰ним из осно‚ных ф‡ктоо‚ ‡боты о„‡низ‡ции. В б‡нко‚ском ‰еле ‰олжн‡ сох‡нflтьсfl секетность учетных з‡писей клиенто‚. К‡к мы у‚и‰им позже ‚ этой лекции, конфи‰енци‡льность нужн‡ не только пи х‡нении инфом‡ции, он‡ т‡кже необхо‰им‡ пи ее пе則че. К‡ мы пе則ем ч‡сть инфом‡ции, кото‡fl ‰олжн‡ бу‰ет х‡нитьсfl ‚ у‰‡ленном компьютее, или к‡ мы отыск肇ем инфом‡цию, кото‡fl н‡хо‰итсfl ‚ у‰‡ленном компьютее, мы ‰олжны „‡‡нтить ее секетность ‚ течение пе則чи.

Целостность Потебители изменflют инфом‡цию постоflнно. В б‡нке, к‡ клиент ‚носит или сним‡ет ‰ень„и, б‡л‡нс н‡ е„о счету ‰олжен быть изменен. Целостность озн‡ч‡ет, что изменениfl ‰олжны быть с‰ел‡ны только ‡зешенными объект‡ми и с помощью ‡зешенных мех‡низмо‚. Н‡ушение целостности — не обflз‡тельно езульт‡т злон‡меенно„о ‰ейст‚иfl; сбой ‚ системе, т‡кой, н‡пиме, к‡к ‚сплеск или пеы‚‡ние мощности ‚ пе‚ичной сети электопит‡ниfl, может пи‚ести к нежел‡тельным изменениflм некотоой инфом‡ции.

Гото‚ность Тетий компонент инфом‡ционной безоп‡сности — „ото‚ность. Инфом‡циfl, со片нн‡fl и сох‡ненн‡fl о„‡низ‡цией, ‰олжн‡ быть ‰оступн‡ ‡зешенным 20

В‚е‰ение

Лекциfl 1

объект‡м. Инфом‡циfl бесполезн‡, если он‡ не ‰оступн‡. Инфом‡циfl ‰олжн‡ постоflнно изменflтьсfl и поэтому тоже ‰олжн‡ быть ‰оступн‡ ‰лfl ‡зешенных объекто‚. Не„ото‚ность инфом‡ции столь же ‚е‰н‡ ‰лfl о„‡низ‡ции, к‡к отсутст‚ие конфи‰енци‡льности или целостности. Вооб‡зите, что случилось бы с б‡нком, если клиенты не мо„ли бы об‡титьсfl к с‚оим счет‡м ‰лfl снflтиfl или ‚к뇉‡ ‰ене„.

1.2. Ат‡ки Н‡шим тем целflм инфом‡ционной безоп‡сности — конфи‰енци‡льности, целостности и „ото‚ности — мо„ут у„ож‡ть ‡т‡ки1 с целью н‡ушениfl безоп‡сности инфом‡ции. Хотfl ‚ лите‡туе ‚стеч‡ютсfl ‡зличные по‰хо‰ы к систем‡тиз‡ции ‡т‡к, мы сн‡ч‡л‡ ‡з‰елим их н‡ ти „уппы, с‚flз‡нные с целflми н‡ушениfl инфом‡ционной безоп‡сности. Позже мы бу‰ем ‰елить их н‡ ‰‚е шиоких к‡те„оии, осннные н‡ эффекти‚ности их ‚оз‰ейст‚иfl н‡ систему. Рисунок 1.2 пок‡зы‚‡ет пе‚ую систем‡тиз‡цию.

Рис. 1.2. Систем‡тиз‡циfl ‡т‡к и соотношение их с целflми пежки инфом‡ционной безоп‡сности 1

Ат‡к‡ – попытк‡ злоумышленник‡ ‚ы炇ть отклонениfl от ном‡льно„о потек‡ниfl инфом‡ционно„о поцесс‡. 21

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ат‡ки, у„ож‡ющие конфи‰енци‡льности Вообще, имеетсfl ‰‚‡ тип‡ ‡т‡к, котоые у„ож‡ют конфи‰енци‡льности инфом‡ции: ‚меш‡тельст‚о и н‡блю‰ение з‡ т‡фиком и е„о ‡н‡лиз. Вмеш‡тельст‚о Вмеш‡тельст‚о относитсfl к неп‡‚омочному ‰оступу или пеех‚‡ту ‰‡нных. Н‡пиме, ф‡йл, пе則‚‡емый чеез Интенет, может со‰еж‡ть конфи‰енци‡льную инфом‡цию. Объект, не имеющий полномочий, может пе‚‡ть пе則чу и использть пе則‚‡емую инфом‡цию ‰лfl собст‚енной ‚ы„о‰ы. Чтобы пе‰от‚‡тить ‚меш‡тельст‚о, ‰‡нные мо„ут быть пе‰ст‡‚лены т‡к, что пеех‚‡ти‚ший не сможет понflть их. Длfl это„о пименимы мето‰ы шифниfl, пи‚о‰имые ‚ этой кни„е. Н‡блю‰ение з‡ т‡фиком и е„о ‡н‡лиз Хотfl шифние ‰‡нных может с‰ел‡ть их непонflтными ‰лfl злоумышленник‡, он, ‡н‡лизиуfl сете‚ой т‡фик, может получить некотоую ‰у„ую инфом‡цию. Н‡пиме, он может н‡йти электонный ‡‰ес (‡‰ес электонной почты) пе則тчик‡ или пиемник‡. Он может т‡кже соб‡ть п‡ы з‡посо‚ и от‚ето‚, что поможет ему понflть ‡кти‚ность ‰ейст‚ий н‡блю‰‡емой о„‡низ‡ции.

Ат‡ки, у„ож‡ющие целостности Целостности ‰‡нных можно у„ож‡ть несколькими ‚и‰‡ми ‡т‡к, т‡кими к‡к мо‰ифик‡циfl, имит‡циfl источник‡, по‚тон‡fl пе則ч‡ инфом‡ции и отк‡з от сообщениfl. Мо‰ифик‡циfl После пеы‚‡ниfl или ‰оступ‡ к инфом‡ции ‡т‡кующий изменflет инфом‡цию с опе‰еленной ‚ы„о‰ой ‰лfl себfl. Н‡пиме, клиент пе則ет сообщение б‡нку, чтобы по‚ести некотоую опе‡цию. Ат‡кующий пеы‚‡ет сообщение и изменflет тип опе‡ции, чтобы пинести этим пользу себе. Об‡тите ‚ним‡ние, что ин‡ ‡т‡кующий посто у‰‡лflет или 燉еж肇ет сообщение, чтобы 퇂е‰ить системе или из‚лечь ‚ы„о‰у из с‡мо„о ф‡кт‡ 燉ежки опе‡ции. Имит‡циfl источник‡ Имит‡циfl источник‡ (spoofing) з‡ключ‡етсfl ‚ том, что ‡т‡кующий имитиует ко„о-то, кто имеет п‡‚о н‡ поиз‚о‰имые ‰ейст‚иfl. Н‡пиме, ‡т‡кующий з‡х‚‡ты‚‡ет б‡нко‚скую ке‰итную к‡точку и PIN-ко‰ клиент‡ б‡нк‡. Он может ‰ейст‚ть к‡к н‡стоflщий клиент. Ин‡ ‡т‡кующий имитиует пиемник. Н‡пиме, пользтель хочет ‚ойти ‚ конт‡кт с б‡нком, но ему пе‰ост‡‚лflетсfl ‰у„ой с‡йт, котоый имитиует, что это – б‡нк, и ‡т‡кующий получ‡ет необхо‰имую ему инфом‡цию от пользтелfl. По‚тон‡fl пе則ч‡ инфом‡ции Ду„ой ‚и‰ ‡т‡ки — по‚тон‡fl пе則ч‡ инфом‡ции (‡т‡к‡ ‚оспоиз‚е‰ениfl). Ат‡кующий получ‡ет копию сообщениfl, пе則‚‡емо„о пользтелем, и 22

В‚е‰ение

Лекциfl 1

пе則ет эту копию с целью ‰езо„‡низ‡ции поцесс‡ или попыток по‚тоить е„о. Н‡пиме, чело‚ек пе則ет з‡пос б‡нку, чтобы опл‡тить ‡боту с‚ое„о соту‰ник‡. Ат‡кующий пеех‚‡ты‚‡ет сообщение и пе則ет е„о сн, чтобы получить опл‡ту этой ‡боты от это„о б‡нк‡ еще ‡з (по‚тоно). Отк‡з от сообщениfl Этот тип ‡т‡к отлич‡етсfl от ‰у„их, потому что ‰ейст‚ие может быть ‚ыполнено о‰ной из ‰‚ух стоон с‚flзи: пе則тчиком или пиемником. Пе則тчик сообщениfl может отиц‡ть ф‡кт пе則чи. Ду„ой ‚‡и‡нт — к‡ пиемник сообщениfl отиц‡ет, что он получил сообщение. Пиме отк‡з‡ от сообщениfl пе則тчик‡: клиент б‡нк‡ пе則л з‡пос б‡нку н‡ пее‚о‰ некотоой суммы ‰ене„ тетьему лицу, но ‚после‰ст‚ии отиц‡ет, что он с‰ел‡л т‡кой з‡пос. Пиме опо‚ежениfl сообщениfl пиемником: чело‚ек, котоый покуп‡ет из‰елие у из„ото‚ителfl, пл‡тит з‡ это с помощью электоники, но из„ото‚итель позже отиц‡ет, что получил опл‡ту, и посит опл‡тить покупку.

Ат‡ки, у„ож‡ющие „ото‚ности Р‡ссмотим только о‰ну ‡т‡ку, у„ож‡ющую „ото‚ности: отк‡з ‚ обслуж肇нии. Отк‡з ‚ обслуж肇нии Отк‡з ‚ обслуж肇нии (Denial of Service — DoS) — очень общее н‡з‚‡ние ‡т‡ки. Он‡ может з‡ме‰лить или полностью пе‚‡ть обслуж肇ние системы. Возможны несколько ст‡те„ий, чтобы ‰ости„нуть это„о. Ат‡кующий может пе則ть т‡к мно„о фикти‚ных з‡посо‚ се‚еу, что это пи‚е‰ет к сбою се‚е‡ из-з‡ ‚ысокой 퇄узки. Ат‡кующий может т‡кже пе‚‡ть и у‰‡лить от‚ет се‚е‡ клиенту, поо扇fl у клиент‡ ‚печ‡тление, что се‚е не от‚еч‡ет. Ат‡кующий может пе‚‡ть з‡посы от клиенто‚, поо扇fl у клиент‡ у‚еенность, что се‚е не от‚еч‡ет. Ат‡кующий может пеы‚‡ть з‡посы клиенто‚, з‡ст‡‚лflfl клиенто‚ пе則ть з‡посы мно„о ‡з и пее燄уж‡ть систему.

П‡сси‚ные и ‡кти‚ные ‡т‡ки Д‡‚‡йте тепеь ‡з‰елим ‡т‡ки н‡ ‰‚е „уппы: п‡сси‚ные и ‡кти‚ные. Т‡блиц‡ 1.1 пок‡зы‚‡ет соотношениfl меж‰у этим ‰елением и пе‰ы‰ущей кл‡ссифик‡цией. П‡сси‚ные н‡п‡‰ениfl Пи п‡сси‚ном н‡п‡‰ении цель ‡т‡кующе„о состоит ‚ том, чтобы только получить инфом‡цию. Это озн‡ч‡ет, что н‡п‡‰ение не изменflет ‰‡нные и не по‚е扇ет систему. Систем‡ по‰олж‡ет ном‡льно ‡бот‡ть, о‰н‡ко ‡т‡к‡ может н‡нести ‚е‰ пе則тчику или пиемнику сообщениfl. Ат‡ки, котоые у„ож‡ют конфи‰енци‡льности — ‚меш‡тельст‚о и н‡блю‰ение з‡ т‡фиком плюс е„о ‡н‡лиз, — fl‚лflютсfl п‡сси‚ными. Р‡скытие инфом‡ции может ‚е‰ить пе則тчику или пиемнику сообщениfl, но систему не з‡т‡„肇ет. По этой пичине ту‰23

Кус

Кипто„‡фиfl и безоп‡сность сетей

но обн‡ужить т‡кой тип н‡п‡‰ениfl, пок‡ пе則тчик или пиемник не узн‡ют об утечке конфи‰енци‡льной инфом‡ции. П‡сси‚ные н‡п‡‰ениfl, о‰н‡ко, мо„ут быть пе‰от‚‡щены шифнием ‰‡нных. Т‡блиц‡ 1.1. Кл‡ссифик‡циfl п‡сси‚ных и ‡кти‚ных ‡т‡к Ат‡ки Вмеш‡тельст‚о Н‡блю‰ение з‡ т‡фиком и е„о ‡н‡лиз Мо‰ифик‡циfl Имит‡циfl источник‡ По‚тон‡fl пе則ч‡ инфом‡ции Отк‡з от сообщениfl Отк‡з ‚ обслуж肇нии

П‡сси‚ные / Акти‚ные П‡сси‚ные

У„оз‡ Конфи‰енци‡льности

Акти‚ные

Целостности

Акти‚ные

Гото‚ности

Акти‚ные ‡т‡ки Акти‚ные ‡т‡ки изменflют ‰‡нные или по‚е扇ют систему. Ат‡ки, котоые у„ож‡ют целостности или „ото‚ности, — ‡кти‚ные. Акти‚ные ‡т‡ки обычно ле„че обн‡уж肇ютсfl, чем пе‰от‚‡щ‡ютсfl, потому что ‡т‡кующий может н‡чин‡ть их ‡знооб‡зными метми.

1.3. Услу„и и мех‡низмы Меж‰ун‡о‰ный Союз Электос‚flзи, Секциfl Ст‡н‰‡то‚ по телекоммуник‡ции (ITU-T) (см. пиложение B) ‡з‡бот‡л ст‡н‰‡ты некотоых служб безоп‡сности и некотоые мех‡низмы1 ‰лfl осущест‚лениfl этих услу„. Службы инфом‡ционной безоп‡сности и мех‡низмы близко с‚flз‡ны, потому что мех‡низм или комбин‡циfl мех‡низмо‚ пименflютсfl, чтобы обеспечить обслуж肇ние. Мех‡низм может использтьсfl ‚ о‰ной или нескольких услу„‡х. З‰есь эти мех‡низмы к‡тко обсу扇ютсfl, чтобы понflть их общую и‰ею. Д‡лее они бу‰ут ‡ссмотены более по‰обно.

Услу„и инфом‡ционной безоп‡сности ITU-T (X.800) опе‰елил пflть услу„, с‚flз‡нных с целflми инфом‡ционной безоп‡сности и ‡т‡к‡ми, типы котоых мы опе‰елили ‚ пе‰ы‰ущих секциflх. Рисунок 1.3 пок‡зы‚‡ет кл‡ссифик‡цию пflти общих услу„. Чтобы пе‰от‚‡тить ‡т‡ки н‡ инфом‡ционную безоп‡сность, о котоых мы „о‚оили, 퇉о посто иметь о‰ну или больше пок‡з‡нных ниже услу„ ‰лfl о‰но„о или больше„о количест‚‡ целей инфом‡ционной безоп‡сности.

1

Мех‡низм – ‡л„оитм или поце‰у‡, осннные н‡ ‚ыполнении fl‰‡ ш‡„о‚, котоые сле‰уют ‰у„ з‡ ‰у„ом (пим. е‰.). 24

В‚е‰ение

Лекциfl 1

Рис. 1.3. Услу„и инфом‡ционной безоп‡сности Конфи‰енци‡льность ‰‡нных Конфи‰енци‡льность ‰‡нных ‡з‡бот‡н‡, чтобы з‡щитить ‰‡нные от попытки их ‡скытиfl. Эт‡ шиок‡fl услу„‡, опе‰еленн‡fl ‚ екоме퉇ции ITU-T(X.800). Он‡ может ох‚‡ты‚‡ть конфи‰енци‡льность цело„о сообщениfl или е„о ч‡сти, ‡ т‡кже з‡щищ‡ет от н‡блю‰ениfl з‡ т‡фиком и е„о ‡н‡лиз‡ — собст‚енно, он‡ соз‰‡н‡ ‰лfl пе‰от‚‡щениfl ‚меш‡тельст‚‡ и н‡блю‰ениfl з‡ т‡фиком. Целостность ‰‡нных Целостность ‰‡нных ‡з‡бот‡н‡ ‰лfl з‡щиты ‰‡нных от мо‰ифик‡ции, ‚ст‡‚ки, у‰‡лениfl и по‚тоной пе則чи инфом‡ции поти‚ником. Он‡ может з‡щищ‡ть целое сообщение или ч‡сть сообщениfl. Уст‡но‚ление по‰линности (‡утентифик‡циfl) Эт‡ услу„‡ обеспеч肇ет уст‡но‚ление по‰линности (‡утентифик‡цию) опе‡то‡ н‡ ‰у„ом конце линии. Пи сое‰инении, оиентинном н‡ по‰ключение, он‡ „‡‡нтиует уст‡но‚ление по‰линности пе則тчик‡ или пиемник‡ ‚ течение уст‡но‚лениfl сое‰инениfl (уст‡но‚ление по‰линности объекто‚ ‡‚но„о уо‚нfl). Пи сое‰инении без уст‡но‚лениfl по‰ключениfl он‡ по‰т‚е扇ет по‰линность источник‡ ‰‡нных (уст‡но‚ление по‰линности поисхож‰ениfl ‰‡нных). Исключение отк‡з‡ от сообщений Ус лу „‡ ис клю чение от к‡ з‡ от со об щений з‡ щищ‡ ет от от к‡з‡ от со об ще ниfl пе則т чиком или пием ником ‰‡н ных. Пи исклю че нии от к‡ з‡ от со об щениfl пе則т чиком пием ник ‰‡н ных мо жет потом ‰о к‡ з‡ть поис хож ‰ение сооб щениfl, ис пользуfl опозн‡ ‚‡ тельный ко‰ (и‰ен тифик‡ то) пе е ‰‡т чик‡. Пи ис клю чении от к‡ з‡ от со об щений пием ником пее ‰‡т чик, ис пользуfl по‰ т‚еж ‰е ние ‰о ст‡‚ки, может потом ‰о к‡ з‡ть, что ‰‡н ные ‰о ст‡‚лены пе‰ н‡з н‡ чен но му полу ч‡ телю. Уп‡‚ление ‰оступом Уп‡‚ление ‰оступом обеспеч肇ет з‡щиту поти‚ неп‡‚омочно„о ‰оступ‡ к ‰‡нным. Доступ ‚ этом опе‰елении — темин очень шиокий и может ‚ключ‡ть чтение, з‡пись, изменение ‰‡нных, з‡пуск ‚ыполнениfl по„‡ммы и т‡к ‰‡лее. 25

Кус

Кипто„‡фиfl и безоп‡сность сетей

Мех‡низмы безоп‡сности Длfl обеспечениfl услу„ инфом‡ционной безоп‡сности ст‡н‰‡т ITU-T (X.800) екомен‰ует некотоые мех‡низмы безоп‡сности, опе‰еленные ‚ пе‰ы‰ущей секции. Рисунок 1.4 ‰‡ет кл‡ссифик‡цию этих мех‡низмо‚. Шифние З‡секеч肇fl или ‡ссекеч肇fl ‰‡нные, можно „‡‡нтить конфи‰енци‡льность. Шифние т‡кже ‰ополнflет ‰у„ие мех‡низмы, котоые обеспеч肇ют ‰у„ие услу„и. Се„о‰нfl ‰лfl шифниfl используютсfl ‰‚‡ мет: кипто„‡фиfl и ст儇но„‡фиfl1 — т‡йнопись (steganography). Мы коотко обсу‰им их ‚ ‰‡льнейшем. Целостность ‰‡нных Мех‡низм целостности ‰‡нных ‰оᇂлflет ‚ конце ‰‡нных кооткий контольный пизн‡к (check value), котоый со片етсfl опе‰еленным поцессом от‰ельно от ‰‡нных. Пиемник получ‡ет ‰‡нные и контольный пизн‡к. Н‡ осннии полученных ‰‡нных он со片ет но‚ый контольный пизн‡к и с‡‚н肇ет только что со片нный с полученным. Если эти ‰‚‡ контольных пизн‡к‡ со‚‡ют, целостность ‰‡нных был‡ сох‡нен‡. Цифfl по‰пись Цифfl по‰пись — се‰ст‚о, котоым отп‡‚итель может с помощью электоники по‰пис‡ть ‰‡нные, ‡ пиемник может с помощью компьюте‡ по‚еить по‰пись. Отп‡‚итель использует поцесс, котоый может ук‡з‡ть, что эт‡ по‰пись имеет ч‡стный ключ, ‚ыб‡нный из обще‰оступных ключей, котоые были объfl‚лены публично ‰лfl обще„о пользниfl. Пиемник использует обще‰оступный ключ отп‡‚ителfl, чтобы ‰ок‡з‡ть, что сообщение ‰ейст‚ительно по‰пис‡но отп‡‚ителем, котоый ут‚е扇ет, что посл‡л сообщение. Обмен сообщениflми ‰лfl опоз퇂‡ниfl Пи обмене сообщениflми ‰лfl опоз퇂‡ниfl ‰‚‡ объект‡ обмен肇ютсfl некотоыми сообщениflми, чтобы ‰ок‡з‡ть, что эти объекты из‚естны ‰у„ ‰у„у. Н‡пиме, о‰но юи‰ическое лицо может ‰ок‡з‡ть, что оно зн‡ет т‡йный пизн‡к, котоый только оно может зн‡ть (ск‡жем, после‰нее место ‚стечи с п‡тнеом). З‡полнение т‡фик‡ З‡полнение т‡фик‡ озн‡ч‡ет ‚озможность ‚ст‡‚лflть ‚ т‡фик ‰‡нных некотоые фикти‚ные ‰‡нные, чтобы со‚‡ть попытки злоумышленнико‚ использть е„о ‰лfl ‡н‡лиз‡. 1

Ст儇но„‡фиfl (т‡йнопись) – н‡ук‡ о скытой пе則че инфом‡ции путем сокытиfl с‡мо„о ф‡кт‡ пе則чи. В отличие от кипто„‡фии, кото‡fl скы‚‡ет со‰еж‡ние сообщениfl, ст儇но„‡фиfl скы‚‡ет сущест‚ние сообщениfl. 26

В‚е‰ение

Лекциfl 1

Рис. 1.4. Мех‡низмы инфом‡ционной безоп‡сности Уп‡‚ление м‡шутиз‡цией Уп‡‚ление м‡шутиз‡цией озн‡ч‡ет ‚ыбо и непеы‚ное изменение ‡зличных ‰оступных м‡шуто‚ меж‰у отп‡‚ителем и пиемником ‰лfl то„о, чтобы пепflтст‚ть поти‚нику ‚ пеех‚‡те инфом‡ции н‡ опе‰еленном м‡шуте. До‚еенность До‚еенность озн‡ч‡ет ‚ыбо тетьей стооны, с целью ‰о‚еить ей контоль обменом меж‰у ‰‚умfl объект‡ми. Это может быть с‰ел‡но, н‡пиме, ‰лfl то„о, чтобы пе‰от‚‡тить отк‡з от сообщениfl. Пиемник может ‚о‚лечь тетью стоону, котоой можно ‰о‚еить х‡нение з‡посо‚ отп‡‚ителfl и тем с‡мым пе‰от‚‡тить после‰ующее отиц‡ние отп‡‚ителем ф‡кт‡ пе則чи сообщениfl. 27

Кус

Кипто„‡фиfl и безоп‡сность сетей

Уп‡‚ление ‰оступом Уп‡‚ление ‰оступом и‰ок‡зы‚‡ет с‚оими метми, что пользтель имеет п‡‚о ‰оступ‡ к ‰‡нным или есус‡м, пи퇉леж‡щим системе. Пимеы т‡ко„о ‰ок‡з‡тельст‚‡ — п‡оли и PIN-ко‰ы.

Соотношение меж‰у услу„‡ми и мех‡низм‡ми Т‡блиц‡ 1.2 пок‡зы‚‡ет соотношение меж‰у услу„‡ми и мех‡низм‡ми инфом‡ционной безоп‡сности. Пи‚е‰ены ти мех‡низм‡ (шифние, цифfl по‰пись и обмен сообщениflми ‰лfl опоз퇂‡ниfl), котоые мо„ут использтьсfl ‰лfl то„о, чтобы обеспечить у‰осто‚еение по‰линности. Т‡блиц‡ т‡кже пок‡зы‚‡ет, что шифние может использтьсfl пи тех услу„‡х (конфи‰енци‡льности ‰‡нных, целостности ‰‡нных и ‡утентифик‡ции). Т‡блиц‡ 1.2. Соотношение меж‰у услу„‡ми безоп‡сности и мех‡низм‡ми обеспечениfl безоп‡сности Услу„‡ безоп‡сности Конфи‰енци‡льность ‰‡нных Целостность ‰‡нных По‚ек‡ полномочий Исключение отк‡з‡ от сообщений Уп‡‚ление ‰оступом

Мех‡низм обеспечениfl безоп‡сности Шифние и уп‡‚ление м‡шутиз‡цией Шифние, цифfl по‰пись, контольные пизн‡ки целостности ‰‡нных Шифние, цифfl по‰пись, уст‡но‚ление п‡‚омочности изменений Цифfl по‰пись, целостность ‰‡нных и ‰о‚еенность Мех‡низм уп‡‚лениfl ‰оступом

1.4. Мето‰ы Мех‡низмы, котоые мы ‡ссмотели ‚ пе‰ы‰ущих секциflх, — это только теоетические ецепты. Длfl е‡лиз‡ции инфом‡ционной безоп‡сности тебуетсfl небольшое число мето‰о‚. Д‚‡ из них н‡иболее ‡спост‡нены: о‰ин общий (кипто„‡фиfl) и о‰ин специфический (ст儇но„‡фиfl).

Кипто„‡фиfl Некотоые мех‡низмы инфом‡ционной безоп‡сности, пеечисленные ‚ пе‰ы‰ущей секции, мо„ут быть е‡лизны с помощью кипто„‡фии. Кипто„‡фиfl, сло‚о с „еческим поисхож‰ением, озн‡ч‡ет «т‡йн‡ н‡пис‡нно„о». О‰н‡ко мы используем этот темин, чтобы обозн‡чить н‡уку и искусст‚о пеоб‡зниfl сообщений, котоые ‰ел‡ют их безоп‡сными и п艇ют иммунитет к ‡т‡к‡м. Хотfl ‚ пошлом кипто„‡фиfl з‡ключ‡л‡сь только ‚ шифнии и ‰ешифнии сообщений с пименением секетных ключей, се„о‰нfl он‡ опе‰елflетсfl к‡к со‚окупность тех ‡зличных мех‡низмо‚: шифние симметичными ключ‡ми, шифние ‡симметичными ключ‡ми и хэшиние. Ниже к‡тко ‡ссмотим эти ти мех‡низм‡. 28

В‚е‰ение

Лекциfl 1

Шифние симметичными ключ‡ми Шифние симметичными ключ‡ми ин‡ н‡зы‚‡ют шифнием c секетным ключом или кипто„‡фией с секетным ключом. Н‡пиме, объект, н‡зо‚ем е„о Алис‡, может пе則ть сообщение ‰у„ому объекту, котоый н‡зы‚‡етсfl Боб, по оп‡сному к‡н‡лу, ‰лfl то„о, чтобы ее поти‚ник, котоый именуетсfl Е‚‡, не смо„ понflть со‰еж‡ние сообщениfl, посто по‰слуш‡‚ е„о по к‡н‡лу. Алис‡ з‡шифо‚‡л‡ сообщение, используfl ‡л„оитм шифниfl; Боб ‡сшифо‚ы‚‡ет сообщение, используfl ‡л„оитм ‡сшифо‚ки. В шифнии симметичными ключ‡ми пименflетсfl е‰инст‚енный ключ з‡секеч肇ниfl и ‰лfl шифниfl, и ‰лfl ‡сшифо‚ки. Шифние/‰ешифние можно пе‰ст‡‚ить к‡к электонный з‡мок. Пи шифнии симметичным ключом Алис‡ помещ‡ет сообщение ‚ блок и з‡кы‚‡ет блок, используfl со‚местный ключ з‡секеч肇ниfl; Боб отпи‡ет з‡мок ‰у„им экземплflом то„о же ключ‡ и из‚лек‡ет сообщение. Шифние ‡симметичными ключ‡ми Пи шифнии ‡симметичными ключ‡ми (ин‡ н‡зы‚‡емом шифнием с откытыми ключ‡ми или кипто„‡фией с откытыми ключ‡ми) ситу‡циfl почти т‡к‡fl же, что и пи шифнии симметичными ключ‡ми, но с небольшой ‡зницей. Мы имеем ‰‚‡ ключ‡ ‚место о‰но„о: из них о‰ин откытый ключ (public key), ‰у„ой — ин‰и‚и‰у‡льный или секетный (private key). Длfl то„о чтобы пе則ть з‡щищенное сообщение Бобу, Алис‡ сн‡ч‡л‡ з‡шифо‚‡л‡ сообщение, используfl откытый ключ Боб‡. Чтобы ‡сшифо‚ы‚‡ть сообщение, Боб использует с‚ой собст‚енный секетный ключ. Хэшиние Пи хэшинии из сообщениfl пееменной ‰лины может быть соз‰‡н ‰‡й‰жест1 фиксинной ‰лины, обычно н‡мно„о меньше„о ‡зме‡, чем исхо‰ное сообщение. Сообщение и ‰‡й‰жест нужно пе則ть Бобу. Д‡й‰жест используетсfl, чтобы обеспечить по‚еку целостности ‰‡нных, кото‡fl обсу扇л‡сь ‡ньше.

Ст儇но„‡фиfl Хотfl эт‡ кн脇 б‡зиуетсfl н‡ кипто„‡фии к‡к мето‰ике е‡лиз‡ции мех‡низмо‚ безоп‡сности, но ‚се же к‡тко ‡ссмотим ‰у„ую мето‰ику, кото‡fl ‚ пошлом использл‡сь ‰лfl з‡секеч肇ниfl с‚flзи. В н‡стоflщее ‚емfl он‡ — ст儇но„‡фиfl — сн ‚осст‡н‡‚л肇етсfl. Это сло‚о поисхо‰ит от „еческо„о н‡з‚‡ниfl и озн‡ч‡ет «з‡кытую з‡пись», ‚ отличие от кипто„‡фии, озн‡ч‡ющей «секетную з‡пись». Кипто„‡фиfl скы‚‡ет со‰еж‡ние сообщение путем шифниfl. Ст儇но„‡фиfl скы‚‡ет с‡мо сообщение непосе‰ст‚енно, з‡кы‚‡fl е„о чем-нибу‰ь. Истоические пимеы использниfl Истоиfl полн‡ ф‡кто‚ и мифо‚ об использнии ст儇но„‡фии. В Кит‡е ‚оенные сообщениfl пис‡лись н‡ куск‡х тонч‡йше„о шелк‡ и з‡к‡ты‚‡лись ‚ м‡1

Д‡й‰жест (digest) — кооткое шифнное сообщение, пе則‚‡емое по к‡н‡лу с‚flзи ‚месте с нез‡шифнным сообщением и и„‡ющее оль цифо‚ой по‰писи. 29

Кус

Кипто„‡фиfl и безоп‡сность сетей

ленький ш‡, котоый „лот‡л посыльный. В Риме и Геции сообщениfl ‚ыез‡лись н‡ кусочк‡х ‰е‚есины, котоые потом опуск‡лись ‚ ‚оск, чтобы з‡кыть з‡пись. Т‡кже использлись не‚и‰имые ченил‡ (т‡кие к‡к луко‚ый сок или соли ‡мми‡к‡) ‰лfl з‡писи секетно„о сообщениfl меж‰у сток‡ми безоби‰но„о текст‡ или ‚ конце бу쇄и; секетное сообщение ‚ыступ‡ло, к‡ эт‡ бу쇄‡ 퇄傇л‡сь или об‡б‡ты‚‡л‡сь к‡ким-то ‚ещест‚ом. Н則‚но были изобетены ‰у„ие мето‰ы. В некотоые безоби‰ные письм‡ мо„ли бы быть ‚пис‡ны сообщениfl по‚ех письм‡, к‡‡н‰‡шом, сле‰ котоо„о ‚и‰им только т‡, к‡ текст помещен по‰ flкий источник с‚ет‡ по‰ у„лом. Нуле‚ые шифы использлись, чтобы скыть секетное сообщение ‚ без‚е‰ном сообщении. Н‡пиме, секетное сообщение можно сост‡‚ить, если пе‚‡fl или ‚то‡fl буꂇ ‚ к‡ж‰ом сло‚е бесполезн‡, ‡ только з‡кы‚‡ет истинное сообщение. Микоточки т‡кже пименflлись ‰лfl этой цели. Секетные сообщениfl были сфото„‡фины и уменьшены ‰о ‡зме‡ точки и ‚ст‡и‚‡лись ‚ постые сообщениfl или пеио‰ически ‚ст‡‚лflлись ‚ конце пе‰ложениfl. Со‚еменное использние Се„о‰нfl люб‡fl фом‡ ‰‡нных, т‡к‡fl к‡к текст, изоб‡жение, ‡у‰ио- или ‚и‰еоинфом‡циfl, может быть пее‚е‰ен‡ ‚ цифо‚ую фому, и ‚о ‚емfl пеоб‡зниfl ‚ цифо‚ую фому или об‡ботки можно ‚ общие ‰‡нные ‚ст‡‚ить секетную ‰‚оичную инфом‡цию. Т‡к‡fl скыт‡fl инфом‡циfl не обflз‡тельно используетсfl ‰лfl сох‡нениfl т‡йны. Он‡ может т‡кже пименflтьсfl к‡к пометк‡, чтобы з‡щитить ‡‚тоское п‡‚о, пе‰от‚‡тить ‚меш‡тельст‚о или ‚нести ‰ополнительную инфом‡цию, комментиующую текст ‰лfl некое„о получ‡телfl. Скы‚‡ющие тексты. Длfl нез‡метной пе則чи секетных ‰‡нных может быть 燉ейст‚н обычный текст. Есть несколько путей. О‰ин из них — ‚ст‡‚к‡ ‰‚оичных сим‚оло‚. Н‡пиме, мы можем использть побел меж‰у слми. Чтобы пе‰ст‡‚ить ‰‚оичную цифу 0, используетсfl о‰иночный побел — и ‰‚‡ побел‡, чтобы пе‰ст‡‚ить ‰‚оичную цифу 1. Пе‰ст‡‚ленное ниже кооткое сообщение скы‚‡ет ‰‚оичное 8-бито‚ое пе‰ст‡‚ление бук‚ы A (01000001) ‚ ко‰е ASCII. Это учебник по изучению кипто„‡фии, ‡ не по ст儇но„‡фии 0

1

0

0

0 0 0

1

В сообщении, котоое пи‚е‰ено ‚ыше, ‰‚‡ побел‡ со‰еж‡тсfl меж‰у слми «учебник» и «по» и меж‰у «по» и «ст儇но„‡фиfl». Конечно, усложненное по„‡ммное обеспечение может ‚ст‡‚ить побелы, котоые ‡злич‡ютсfl миним‡льно, чтобы скыть ко‰ от непосе‰ст‚енно„о ‚изу‡льно„о ‡споз퇂‡ниfl. Ду„ой, более эффекти‚ный мето‰ использует сль сло‚, о„‡низнных со„л‡сно их „‡мм‡тическим зн‡чениflм (ч‡стflм ечи). Мы можем, н‡пиме, иметь сль, со‰еж‡щий 2 местоимениfl, 16 „뇄оло‚, 32 сущест‚ительных. З‡ к‡ж‰ым пе‰ст‡‚ителем это„о слfl з‡кеплен ко‰. Пе‰положим, что пе‚ый бит ‰‚оичных ‰‡нных может быть пе‰ст‡‚лен местоимением, к‡ж‰ое из котоых имеет ко‰ (н‡пиме, «Я» — это 0, ‡ «мы» — это 1). Сле‰ующие пflть би30

В‚е‰ение

Лекциfl 1

то‚ мо„ут быть пе‰ст‡‚лены сущест‚ительным (по‰леж‡щим ‚ пе‰ложении). В н‡шем пимее можно обозн‡чить ко‰ 10010 сло‚ом «шофе». Сле‰ующие четые бит‡ мо„ут быть пе‰ст‡‚лены „뇄олом, (‚ пимее — сло‚ом «‚е‰у», котоое пе‰ст‡‚лflет ко‰ 0001), и после‰ние пflть бит — ‰у„им сущест‚ительным (‰ополнение). В н‡шем пимее «м‡шину» — озн‡ч‡ет ко‰ 001001. Т‡ можно ‰о„о‚оитьсfl использть скы‚‡ющий текст, котоый ‚с儉‡ пименflет пе‰ложениfl местоимение — сущест‚ительное — „뇄ол — сущест‚ительное. Секетные ‰‚оичные ‰‡нные мо„ут быть ‡з‰елены н‡ куски н‡ 16 бито‚. Н‡пиме, секетное сообщение «Hi», котоое ‚ ASCII отоб‡ж‡етсfl 0 10010 0001 001001, мо„ло быть з‡секечено сле‰ующим пе‰ложением: Я шофе ‚е‰у м‡шину 0 10010 0001 001001 Это — очень ти‚и‡льный пиме. Ре‡льный по‰хо‰ использует более усложненный ‡л„оитм и большее ‡знооб‡зие пименflемых сло‚ ‰лfl о‰но„о и то„о же к. Мето‰ы скытиfl, использующие изоб‡жениfl. Д‡нные мо„ут быть скыты ‰у„им ц‚етным изоб‡жением. Пее‚е‰енные ‚ цифо‚ую фому изоб‡жениfl состоflт из пикселей1 (элемент к‡тинки), ‚ котоом обычно к‡ж‰ый пиксель использует 24 бит‡ (ти б‡йт‡). К‡ж‰ый б‡йт пе‰ст‡‚лflет о‰ин из пе‚ичных ц‚ето‚ (к‡сный, зеленый или синий). Мы можем поэтому иметь 28 ‡зличных оттенко‚ к‡ж‰о„о ц‚ет‡. В мето‰е, н‡з‚‡нном LSB (Last Significant Bit), с‡мый м뇉ший бит к‡ж‰о„о б‡йт‡ уст‡но‚лен н‡ нуль. От это„о изоб‡жение ст‡но‚итсfl немно„о с‚етлее ‚ некотоых обл‡стflх, но это обычно не з‡меч‡етсfl. Тепеь мы можем скыть ‰‚оичные ‰‡нные ‚ изоб‡жении, сох‡нflfl или изменflfl с‡мый м뇉ший бит. Если н‡ш‡ ‰‚оичн‡fl циф‡ — 0, мы сох‡нflем бит; если это — 1, мы изменflем бит н‡ 1. Этим способом мы можем скыть сим‚ол (‚осемь бито‚ ASCII) ‚ тех пикселflх. После‰ний бит после‰не„о пикселfl не учиты‚‡етсfl. Н‡пиме, сле‰ующие ти пикселfl мо„ут пе‰ст‡‚ить л‡тинскую бук‚у M (4D16 или, ‚ ‰‚оичной системе, 0100 1101): 01010010 01011111 01111110

10111100 10111101 01001011

01010100 01100101 00010100

Ду„ие мето‰ы скытиfl. Возможны т‡кже ‰у„ие мето‰ы скытиfl. Секетное сообщение, н‡пиме, может быть з‡кыто ‡у‰ио- (з‚ук и музык‡) и ‚и‰еоинфом‡цией. И ‡у‰ио, и ‚и‰ео се„о‰нfl пе„‡ютсfl сж‡тию. Секетные ‰‡нные мо„ут быть ‚несены ‚ инфом‡цию ‚ поцессе или пее‰ сж‡тием. Тепеь мы пек‡щ‡ем обсуж‰ение этих мето‰о‚ и екомен‰уем интеесующимсfl более специ‡лизинную лите‡туу по ст儇но„‡фии. 1

Пиксел (pixel – picture element) – н‡именьший ‡‰есуемый элемент изоб‡жениfl или точк‡ н‡ эк‡не, кото‡fl может иметь ‡зличную flкость и ц‚ет. 31

Кус

Кипто„‡фиfl и безоп‡сность сетей

1.5. Ост‡льные ч‡сти кни„и Ост‡льной текст этой кни„и ‡з‰елен н‡ четые ч‡сти.

Пе‚‡fl ч‡сть: Шифние симметичными ключ‡ми Пе‚‡fl ч‡сть ‡ссм‡т肇ет ‰‚‡ тип‡ шифниfl: и кл‡ссическое, и со‚еменное, с использнием шифниfl симметичными ключ‡ми. Лекции этой ч‡сти пок‡зы‚‡ют, к‡к с помощью этой мето‰ики может быть е‡лизо‚‡н‡ пе‚‡fl цель безоп‡сности.

Вто‡fl ч‡сть: Шифние ‡симметичными ключ‡ми Лекции ‚тоой ч‡сти обсу扇ют шифние ‡симметичными ключ‡ми. Эти лекции т‡кже пок‡зы‚‡ют, к‡к пе‚‡fl цель безоп‡сности может быть ‰ости„нут‡ с помощью этой мето‰ики.

Тетьfl ч‡сть: целостность, уст‡но‚ление по‰линности и ключе‚ое уп‡‚ление Лекции тетьей ч‡сти ‡сск‡зы‚‡ют о тетьем мето‰е шифниfl — хэшинии — и пок‡зы‚‡ют, к‡к это может быть объе‰инено с м‡теи‡л‡ми, о котоых шл‡ ечь ‚ ч‡стflх I и II пи осущест‚лении ‚тоой цели безоп‡сности.

Чет‚ет‡fl ч‡сть: Сет傇fl безоп‡сность Лекции чет‚етой ч‡сти пок‡зы‚‡ют, к‡к мето‰ы, ‡ссмотенные ‚ пе‚ых тех ч‡стflх кни„и, мо„ут быть объе‰инены ‰лfl со片ниfl сете‚ой безоп‡сности, используfl мо‰ель Интенет.

1.6. Рекомен‰о‚‡нное чтение Длfl более ‰ет‡льно„о озн‡комлениfl с пе‰мет‡ми, о котоых шл‡ ечь ‚ этой лекции, н‡чин‡ющим можно екомен‰о‚‡ть нижесле‰ующие кни„и и с‡йты. Сим‚олы, з‡ключенные ‚ скобки, ‡ссм‡т肇ютсfl к‡к ссылки к списку лите‡туы ‚ конце кни„и. Кни„и Несколько кни„ ‡ссм‡т肇ют цели безоп‡сности, н‡п‡‰ениfl и мех‡низмы. Мы екомен‰уем [Bis05]и [Sta06]. | С‡йты Больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции, ‰‡ют сле‰ующие с‡йты: http://www.faqs.org/rfcs/rfc2828.html http://www. fag.grm.hia.no/IKT7000/litteratur/paper/x800.pdf 32

В‚е‰ение

Лекциfl 1

1.7. Ито„и • Длfl инфом‡ционной безоп‡сности были опе‰елены ти „л‡‚ные цели: конфи‰енци‡льность, целостность и „ото‚ность. • Конфи‰енци‡льности инфом‡ции у„ож‡ют ‰‚‡ тип‡ ‡т‡к: ‚меш‡тельст‚о — и н‡блю‰ение з‡ т‡фиком и е„о ‡н‡лиз. Четые тип‡ ‡т‡к мо„ут у„ож‡ть целостности инфом‡ции: мо‰ифик‡циfl, имит‡циfl источник‡, по‚тон‡fl пе則ч‡ инфом‡ции и отк‡з от сообщениfl. Ат‡к‡ «пек‡щение обслуж肇ниfl з‡пос‡» у„ож‡ет „ото‚ности инфом‡ции. • О„‡низ‡ции, котоые з‡ним‡ютсfl пе則чей ‰‡нных и со片нием сетей, т‡кие к‡к ITU-T или Internet Forum, опе‰елили несколько служб безоп‡сности, пе‰н‡зн‡ченных ‰лfl целей инфом‡ционной безоп‡сности и з‡щиты от ‡т‡к. В этой лекции ‡ссм‡т肇лись пflть общих служб безоп‡сности: конфи‰енци‡льность ‰‡нных, целостность ‰‡нных, уст‡но‚ление по‰линности, исключение отк‡з‡ от сообщений и уп‡‚ление ‰оступом. • ITU-T т‡кже екомен‰ует некотоые мех‡низмы обеспечениfl безоп‡сности. В лекции ‡ссмотены ‚осемь из этих мех‡низмо‚: шифние, целостность ‰‡нных, цифfl по‰пись, уст‡но‚ление п‡‚омочности изменений, з‡полнение т‡фик‡, уп‡‚ление м‡шутиз‡цией, ‰о‚еенность и уп‡‚ление ‰оступом. • Есть ‰‚‡ мет — кипто„‡фиfl и ст儇но„‡фиfl, котоые мо„ут е‡лизть некотоые или ‚се мех‡низмы. Кипто„‡фиfl или «т‡йное письмо» ‚ключ‡ет скемблиние сообщениfl или со片ние ‰‡й‰жест‡ сообщениfl. Ст儇но„‡фиfl, или «з‡кыт‡fl з‡пись», озн‡ч‡ет, что сообщение скы‚‡етсfl и з‡кы‚‡етсfl ‰у„ой инфом‡цией.

1.8. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Опе‰елите ти цели безоп‡сности. 2. Ук‡жите ‡зличие меж‰у п‡сси‚ными и ‡кти‚ными ‡т‡к‡ми н‡ секетную инфом‡цию. Н‡зо‚ите некотоые п‡сси‚ные ‡т‡ки. Н‡зо‚ите некотоые ‡кти‚ные ‡т‡ки. 3. Пеечислите и опе‰елите пflть служб безоп‡сности, ‡ссмотенные ‚ этой лекции. 4. Опе‰елите ‚осемь мех‡низмо‚ безоп‡сности, ‡ссмотенные ‚ этой лекции. 5. Ук‡жите ‡зличие меж‰у шифнием и ст儇но„‡фией.

Уп‡жнениfl 1. К‡к‡fl служб‡(ы) безоп‡сности „‡‡нтиуетсfl пи использнии к‡ж‰о„о из сле‰ующих мето‰о‚ пеесылки по почте ‚ почто‚ом от‰елении? a. Обычн‡fl почт‡ b. Обычн‡fl почт‡ с по‰т‚еж‰ением ‰ост‡‚ки 33

Кус

Кипто„‡фиfl и безоп‡сность сетей

c. Обычн‡fl почт‡ с ‰ост‡‚кой и по‰писью получ‡телfl d. З‡к‡зное письмо e. Почт‡ с объfl‚ленной ценностью f. З‡е„истинн‡fl коеспон‰енциfl 2. Опе‰елить тип ‡т‡ки н‡ секетную инфом‡цию ‚ к‡ж‰ом из сле‰ующих случ‡е‚: a. Сту‰ент поник‡ет ‚ офис пофессо‡, чтобы получить копию тест‡, котоый бу‰ет по‚е‰ен н‡ сле‰ующий ‰ень. b. Сту‰ент ‰‡ет чек н‡ получение ‰ене„ н‡ 10$, чтобы купить уже по‰еж‡нную кни„у. Потом он узн‡ет, что по чеку было получено 100$. c. Сту‰ент пе則ет сотни з‡посо‚ ‚ ‰ень, используfl ф‡льши‚ый об‡тный ‡‰ес телефон‡ ‰у„о„о сту‰ент‡. 3. К‡кие мех‡низм(ы) безоп‡сности е‡лизны ‚ к‡ж‰ом из сле‰ующих случ‡е‚? a. Уни‚еситет тебует и‰ентифик‡то сту‰ент‡ и п‡оль, чтобы поз‚олить сту‰енту получить ‰оступ ‚ школьный се‚е. b. Уни‚еситетский се‚е ‡зъе‰инflет сту‰ент‡, если он получил ‰оступ ‚ систему более чем ‰‚‡ ч‡с‡ н‡з‡‰. c. Пофессо отк‡зы‚‡етсfl пе則ть оценки электонной почтой сту‰ент‡м, если они не соот‚етст‚уют сту‰енческой и‰ентифик‡ции, з‡‡нее н‡зн‡ченной пофессоом. d. Б‡нк тебует по‰писи клиент‡ ‰лfl изъflтиfl клиентом ‰ене„. 4. К‡к‡fl мето‰ик‡ (кипто„‡фиfl или ст儇но„‡фиfl) используетсfl ‚ к‡ж‰ом из сле‰ующих случ‡е‚ ‰лfl з‡щиты конфи‰енци‡льности? a. Сту‰ент пишет от‚еты н‡ билеты н‡ м‡леньком листочке бу쇄и, бу쇄‡ с‚еты‚‡етсfl и ‚ст‡‚лflетсfl ‚ ш‡ико‚ую учку, ‡ учк‡ пе則етсfl ‰у„ому сту‰енту. b. Чтобы пе則ть сообщение, шпион з‡менflет к‡ж‰ый сим‚ол ‚ сообщении сим‚олом, котоый был со„л‡сн з‡‡нее к‡к з‡мен‡ ‰у„о„о сим‚ол‡. с. Комп‡ниfl использует специ‡льные ченил‡ н‡ с‚оих чек‡х, чтобы пе‰от‚‡тить пелки. d. Аспи‡нтк‡ использует ‚о‰flные зн‡ки, чтобы з‡щитить с‚ою ‡боту, кото‡fl ‚ы‚ешен‡ н‡ ее с‡йте. 5. К‡кой мех‡низм(ы) безоп‡сности е‡лизуетсfl, к‡ чело‚ек по‰писы‚‡ет фому пи з‡полнении з‡fl‚лениfl н‡ ке‰итную к‡ту?

34

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Ч‡сть 1. Шифние симметичными ключ‡ми В лекции 1 (В‚е‰ение) мы ‚и‰ели, что кипто„‡фиfl е‡лизуетсfl с помощью тех мето‰о‚: шифы с симметичным ключом, шифы с ‡симметичными ключ‡ми, и хэшиние. Пе‚‡fl ч‡сть пос‚flщен‡ шиф‡м с симметичным ключом. Лекции 2 и 4 ‡ссм‡т肇ют м‡тем‡тические осно‚ы, необхо‰имые ‰лfl то„о, чтобы понflть ост‡льное со‰еж‡ние этой ч‡сти. Лекциfl 3 иссле‰ует т‡‰иционные шифы, использ‚шиесfl ‚ пошлом. Лекции 5, 6, и 7 пок‡зы‚‡ют блочные шифы, котоые пименflютсfl се„о‰нfl. Лекциfl 8 пок‡зы‚‡ет, к‡к со‚еменные блочные шифы и шифы потоко‚ мо„ут пименflтьсfl ‰лfl шифниfl ‰линных сообщений. Лекциfl 2: М‡тем‡тик‡ кипто„‡фии: Ч‡сть I Лекциfl 2 ‡ссм‡т肇ет некотоые м‡тем‡тические понflтиfl, необхо‰имые ‰лfl поним‡ниfl сле‰ующих нескольких лекций, к‡к то: ‡ифметику целых чисел и с‡‚нениfl по мо‰улю m, м‡тицы и кон„уэнтные отношениfl. Лекциfl 3: Т‡‰иционные шифы с симметичным ключом Лекциfl 3 ‚‚о‰ит т‡‰иционные шифы с симметичным ключом. Хотfl эти шифы не используютсfl се„о‰нfl, они – осно‚ы со‚еменных шифо‚ с симметичным ключом. Эт‡ лекциfl по‰чек肇ет ‰‚е к‡те„оии т‡‰иционных шифо‚: шифы з‡мены и шифы пеемещениfl. Он‡ т‡кже ‚‚о‰ит понflтиfl шифо‚ поток‡ и блочных шифо‚. Лекциfl 4: М‡тем‡тик‡ кипто„‡фии: Ч‡сть II Лекциfl 4 – это обзо м‡тем‡тических осно‚, котоые необхо‰имы, чтобы понflть со‰еж‡ние после‰ующих лекций. Он‡ ‡ссм‡т肇ет некотоые ‡л„еб‡ические стуктуы, т‡кие, к‡к „уппы, кольц‡ и конечные полfl, пименflемые ‚ мо‰емных блочных шиф‡х. Лекциfl 5: В‚е‰ение ‚ со‚еменные шифы с симметичным ключом Лекциfl 5 — ‚‚е‰ение ‚ мо‰емные шифы с симметичным ключом. Поним‡ние от‰ельных элементо‚, используемых ‚ мо‰емных шиф‡х с симметичным ключом, пок뇉ы‚‡ет путь к лучшему поним‡нию и ‡н‡лизу со‚еменных шифо‚. Эт‡ лекциfl зн‡комит с компонент‡ми блочных шифо‚, т‡ких, к‡к P-блоки и S-блоки. Т‡кже з‰есь ‚‚о‰итсfl ‡з‰еление меж‰у ‰‚умfl кл‡сс‡ми шифо‚: шифы Ф‡йстелfl и не-Ф‡йстеле‚ские шифы. Лекциfl 6: Ст‡н‰‡т ко‰иниfl ‰‡нных (DES) Лекциfl 6 ‡бот‡ет с элемент‡ми, опе‰еленными ‚ лекции 5, чтобы обсу‰ить и по‡н‡лизить о‰ин из общих шифо‚ с симметичным ключом, пименflемых се„о‰нfl, — Ст‡н‰‡т Ко‰иниfl Д‡нных (DES — DATA ENCRIPTION STANDARD). Особое ‚ним‡ние у‰елflетсfl тому, к‡к DES использует 16 цикло‚ шифо‚ Ф‡йстелfl. 35

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лекциfl 7: Усо‚ешенст‚нный ст‡н‰‡т шифниfl (AES) Лекциfl 7 пок‡зы‚‡ет, к‡к ‡л„еб‡ические стуктуы, ‡ссмотенные ‚ лекции 4, и элементы, ‡ссмотенные ‚ лекции 5, мо„ут со片ть очень мощный шиф — Усо‚ешенст‚нный Ст‡н‰‡т Шифниfl (AES — ADVANCED ENCRYPTION STANDARD). Особое ‚ним‡ние у‰елflетсfl тому, к‡к ‡л„еб‡ические стуктуы, пи‚е‰енные ‚ лекции 4, ‡бот‡ют ‰лfl ‰остижениfl целей безоп‡сности. Лекциfl 8: Шифние, использующее со‚еменные шифы с симметичным ключом Лекциfl 8 пок‡зы‚‡ет, к‡к со‚еменные блочные шифы и шифы поток‡ мо„ут ф‡ктически пименflтьсfl, чтобы з‡шифть ‰линные сообщениfl. Он‡ объflснflет, к‡к со‚еменные блочные шифы используют пflть ежимо‚ ‡боты. Он‡ т‡кже ‚‚о‰ит ‰‚‡ шиф‡ поток‡ ‰лfl об‡ботки ‰‡нных ‚ е‡льном м‡сшт‡бе ‚емени.

36

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Лекциfl 2. М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl и м‡тицы Цели и со‰еж‡ние Эт‡ лекциfl необхо‰им‡, чтобы пото‚ить чит‡телfl к ‰‡льнейшему ‡з„о‚оу о кипто„‡фии. Лекциfl имеет несколько целей. • Р‡ссмотеть ‡ифметику целых чисел, кото‡fl б‡зиуетсfl н‡ теоии ‰елимости и н‡хож‰ении н‡ибольше„о обще„о ‰елителfl, используfl ‡л„оитм Е‚кл艇. • Пок‡з‡ть, к‡к ‡сшиенный ‡л„оитм Е‚кл艇 может пименflтьсfl ‰лfl ешениfl линейных ‰иоф‡нто‚ых у‡‚нений, ‰лfl ешениfl кон„уэнтных линейных у‡‚нений и н‡хож‰ениfl мультиплик‡ти‚ной ин‚есии. • Об‡тить ‚ним‡ние н‡ ‚‡жность мо‰ульной ‡ифметики (‡ифметики 퇉 ‚ычет‡ми по мо‰улю n) и опе‡ций ‚ ней, потому что они шиоко используютсfl ‚ кипто„‡фии. • Об‡тить ‚ним‡ние и ‡ссмотеть м‡тицы и опе‡ции с м‡тиц‡ми ‚ычето‚, котоые шиоко пименflютсfl ‚ кипто„‡фии. • Решить н‡бо у‡‚нений с‡‚нениfl, используfl м‡тицы ‚ычето‚. Кипто„‡фиfl б‡зиуетсfl н‡ некотоых специфических обл‡стflх м‡тем‡тики, ‚ключ‡fl теоию чисел, линейную ‡л„ебу и ‡л„еб‡ические стуктуы. В этой лекции мы обсу扇ем только те темы ‚ ‚ышеупомflнутых обл‡стflх, котоые необхо‰имы ‰лfl поним‡ниfl со‰еж‡ниfl сле‰ующих нескольких лекций. Чит‡тели, котоые зн‡комы с этими тем‡ми, мо„ут попустить эту лекцию полностью или ч‡стично. По‰обные теоетические лекции ‚стеч‡ютсfl ‚сю‰у ‚ этой кни„е, к‡ это необхо‰имо. Док‡з‡тельст‚‡ теоем и ‡л„оитмо‚ попущены, но з‡интееснный чит‡тель может н‡йти их ‚ пиложении Q.

2.1. Аифметик‡ целых чисел В ‡ифметике целых чисел мы используем множест‚о целых чисел и несколько опе‡ций. Вы зн‡комы с этим множест‚ом и соот‚етст‚ующими опе‡циflми, но они ‡ссмотены з‰есь, чтобы объflснить потом осно‚ы ‰ейст‚ий со с‡‚нениflми по мо‰улю m.

Множест‚о целых чисел Множест‚о целых чисел, обозн‡ченных Z, со‰ежит ‚се числ‡ (без ‰обей) от минус бесконечности ‰о плюс бесконечности (ис. 2.1). 37

Кус

Кипто„‡фиfl и безоп‡сность сетей

Z = {……,-2,-1,0,1,2,…..} Рис. 2.1. Множест‚о целых чисел

Бин‡ные опе‡ции В кипто„‡фии н‡с интеесуют ти бин‡ных опе‡ции ‚ пиложении к множест‚у целых чисел. Бин‡ные опе‡ции имеют ‰‚‡ ‚х и о‰ин ‚ыхо‰. Длfl целых чисел опе‰елены ти общих бин‡ных опе‡ции — сложение, ‚ычит‡ние и умножение. ʇ扇fl из этих опе‡ций имеет ‰‚‡ ‚х (a и b) и ‚ыхо‰ (c), к‡к это пок‡з‡но н‡ ис. 2.2. Д‚‡ ‚х пиним‡ют числ‡ из множест‚‡ целых чисел; ‚ыхо‰ ‚ы‚о‰ит езульт‡т опе‡ции — число из множест‚‡ целых чисел. Об‡щ‡ем ‚ним‡ние, что ‰еление не относитсfl к этой к‡те„оии опе‡ций, потому что мы скоо убе‰имсfl, что этой опе‡ции нужны ‰‚‡ ‚ых ‚место о‰но„о.

Рис. 2.2. Ти бин‡ных опе‡ции ‰лfl множест‚‡ целых чисел Пиме 2.1 Сле‰ующие пимеы пок‡зы‚‡ют езульт‡ты тех ‰‚оичных опе‡ций н‡ множест‚е ‰‚ух целых чисел. Поскольку к‡ж‰ый ‚хо‰ может быть или положителен или отиц‡телен, мы имеем четые случ‡fl ‰лfl к‡ж‰ой опе‡ции. Сложение Вычит‡ние Умножение

5 + 9=14 5 - 9=4 5 × 9=45

(-5) + 9=4 (-5) - 9=-14 (-5) × 9=-45

5 + (-9)=-4 5 - (-9)=14 5 × (-9)=-45

(-5) + (-9)=-14 (-5) - (-9)=+4 (-5) × (-9)=45

Деление целых чисел В ‡ифметике целых чисел, если мы a ‰елим н‡ n, мы можем получить q и r. Отношениfl меж‰у этими четыьмfl целыми числ‡ми можно пок‡з‡ть к‡к a = q × n +r В этом ‡‚енст‚е a н‡зы‚‡етсfl ‰елимое; q — ч‡стное; n — ‰елитель и r — ост‡ток. Об‡тите ‚ним‡ние, что это — не опе‡циfl, поскольку езульт‡т ‰елениfl a н‡ n — это ‰‚‡ целых числ‡, q и r. Мы бу‰ем н‡зы‚‡ть это у‡‚нением ‰елениfl. 38

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Пиме 2.2 Пе‰положим, что a = 255, ‡ n = 11. Мы можем н‡йти q = 23 и r = 2, используfl ‡л„оитм ‰елениfl, мы зн‡ем из элемент‡ной ‡ифметики — оно опе‰елflетсfl, к‡к пок‡з‡но н‡ ис. 2.3.

Рис. 2.3. Пиме 2.2, н‡хож‰ение ч‡стно„о и ост‡тк‡ Большинст‚о компьютеных flзыко‚ может н‡йти ч‡стное и ост‡ток, используfl 燉‡нные flзыком опе‡тоы. Н‡пиме, н‡ flзыке C опе‡то «/» может н‡йти ч‡стное, ‡ опе‡то «%» — ост‡ток. Д‚‡ о„‡ничениfl К‡ мы используем ‚ышеупомflнутое у‡‚нение ‰елениfl ‚ кипто„‡фии, мы н‡л‡„‡ем ‰‚‡ о„‡ничениfl. Пе‚ое тебние: чтобы ‰елитель был положительным целым числом (n > 0). Втоое тебние: чтобы ост‡ток был неотиц‡тельным целым числом (r > 0). Рисунок 2.4 пок‡зы‚‡ет эти тебниfl с ‰‚умfl ук‡з‡нными о„‡ничениflми.

Рис. 2.4. Ал„оитм ‰елениfl целых чисел Пиме 2.3 Пе‰положим, мы используем компьюте или к‡лькулflто, ‡ r и q отиц‡тельны, пи отиц‡тельном a. К‡к можно с‰ел‡ть, чтобы ‚ыполнflлось о„‡ничение, что число r ‰олжно быть положительным? Решение постое: мы уменьш‡ем зн‡чение q н‡ 1 и ‰оᇂлflем зн‡чение n к r, чтобы r ст‡ло положительным. –255 = (–23 × 11) + (–2)

– 255 = (–24 × 11)+ 9 39

Кус

Кипто„‡фиfl и безоп‡сность сетей

Мы уменьшили (–23), получили (–24) и ‰оᇂили 11 к (–2), чтобы получить + 9. Полученное ‡‚енст‚о эк‚肇лентно исхо‰ному. Г‡ф у‡‚нениfl ‰елениfl Мы можем изоб‡зить ‡ссмотенные ‚ыше у‡‚нениfl с ‰‚умfl о„‡ничениflми по n и r н‡ ис. 2.5 с помощью ‰‚ух „‡фо‚. Пе‚ый пок‡зы‚‡ет случ‡й, к‡ число a положительно; ‚тоой — к‡ отиц‡тельно.

Рис. 2.5. Г‡ф ‡л„оитм‡ ‰елениfl Г‡ф н‡чин‡етсfl с нулfl и пок‡зы‚‡ет, к‡к мы можем ‰ости„нуть точки, пе‰ст‡‚лflющей целое число a н‡ линии. В случ‡е положительно„о a мы ‰олжны пеемещ‡тьсfl н‡ ‚еличину q × n н‡п‡‚о и з‡тем ‰оᇂить ‰ополнительную ‚еличину r ‚ том же н‡п‡‚лении. В случ‡е отиц‡тельно„о a мы ‰олжны ‰‚脇тьсfl н‡ ‚еличину (q – 1) × n н‡ле‚о (число q ‚ этом случ‡е отиц‡тельно) и з‡тем ‰ополнflть число r ‚ поти‚оположном ‰лfl ук‡з‡нно„о ‚ыше ‰‚ижениfl н‡п‡‚лении. В обоих случ‡flх зн‡чение r положительно.

Теоиfl ‰елимости Тепеь к‡тко обсу‰им теоию ‰елимости — тем‡, с котоой мы ч‡сто ст‡лк肇емсfl ‚ кипто„‡фии. Если a не ‡‚но нулю, ‡ r = 0, ‚ ‡‚енст‚е ‰елениfl мы имеем a=q×n Мы т‡ „о‚оим, что a ‰елитсfl н‡ n (или n — ‰елитель a). Мы можем т‡кже ск‡з‡ть, что a ‰елитсfl без ост‡тк‡ н‡ n. К‡ мы не интеесуемсfl зн‡чением q, мы можем з‡пис‡ть ‚ышеупомflнутые отношениfl к‡к a|n. Если ост‡ток не fl‚лflетсfl нуле‚ым, то n не ‰елитсfl, и мы можем з‡пис‡ть отношениfl к‡к a | n. Пиме 2.4 a. Целое число 4 ‰елит целое число 32, потому что 32 = 8 × 4. Это можно отоб‡зить к‡к 4|32. Число 8 не ‰елит число 42, потому что 42 = 5 × 8 + 2. В этом у‡‚нении число 2 — ост‡ток. Это можно отоб‡зить к‡к 8  42. 40

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Пиме 2.5 ‡. Отоб‡жение ‰елимости 13|78, 7|98, –6|24, 4|44, и 11 | (–33). б. Отоб‡жение не‰елимости 13†27, 7†50, – 6†T23, 4†41, и 11†(–32). С‚ойст‚‡ Сле‰ующие несколько с‚ойст‚ теоии ‰елимости. Док‡з‡тельст‚‡ з‡интееснный чит‡тель может по‚еить ‚ пиложении Q. С‚ойст‚о 1: если a | 1, то a = ±1. С‚ойст‚о 2: если a | b и b | a, то a = ±b С‚ойст‚о 3: если a |b и b|c, то a|c С‚ойст‚о 4: если a|b и a|c, то a|(m × b + n × c), „‰е m и n — поиз‚ольные целые числ‡.

Пиме 2.6 ‡. Если 3|15 и 15|45 то, со„л‡сно тетьему с‚ойст‚у, 3|45. б. Если 3|15 и 3|9, то, со„л‡сно чет‚етому с‚ойст‚у, 3|(15 x 2 + 9 x 4), что озн‡ч‡ет 3|66. Все ‰елители Положительное целое число может иметь больше чем о‰ин ‰елитель. Н‡пиме, целое число 32 имеет шесть ‰елителей: 1, 2, 4, 8, 16 и 32. Мы можем упомflнуть ‰‚‡ интеесных с‚ойст‚‡ ‰елителей положительных целых чисел. С‚ойст‚о 1: целое число 1 имеет только о‰ин ‰елитель — с‡мо себfl. С‚ойст‚о 2: любое положительное целое число имеет по к‡йней мее ‰‚‡ ‰елителfl — 1 и с‡мо себfl (но может иметь больше).

Н‡ибольший общий ‰елитель О‰но целое число, ч‡сто необхо‰имое ‚ кипто„‡фии, — н‡ибольший общий ‰елитель ‰‚ух положительных целых чисел. Д‚‡ положительных целых числ‡ мо„ут иметь мно„о общих ‰елителей, но только о‰ин н‡ибольший общий ‰елитель.

Н‡пиме, общие ‰елители чисел 12 и 140 есть 1, 2 и 4. О‰н‡ко н‡ибольший общий ‰елитель — 4 (см. ис. 2.6). 41

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 2.6. Общие ‰елители ‰‚ух целых чисел Н‡ибольший общий ‰елитель ‰‚ух положительных целых чисел — н‡ибольшее целое число, котоое ‰елит об‡ целых числ‡.

Ал„оитм Е‚кл艇 Н‡хож‰ение н‡ибольше„о обще„о ‰елителfl (НОД) ‰‚ух положительных целых чисел путем сост‡‚лениfl списк‡ ‚сех общих ‰елителей непи„о‰но ‰лfl ‰ост‡точно больших чисел. К сч‡стью, больше чем 2000 лет н‡з‡‰ м‡тем‡тик по имени Е‚кли‰ ‡з‡бот‡л ‡л„оитм, котоый может н‡йти н‡ибольший общий ‰елитель ‰‚ух положительных целых чисел. Ал„оитм Е‚кл艇 оснн н‡ сле‰ующих ‰‚ух ф‡кт‡х (‰ок‡з‡тельст‚о см. ‚ пиложении Q): Ф‡кт 1: НОД (a, 0) = a Ф‡кт 2: НОД (a, b) = НОД (b, r), „‰е r — ост‡ток от ‰елениfl a н‡ b

Пе‚ый ф‡кт „о‚оит, что если ‚тоое целое число — 0, н‡ибольший общий ‰елитель ‡‚ен пе‚ому числу. Втоой ф‡кт поз‚олflет н‡м изменflть зн‡чение a н‡ b, пок‡ b не ст‡нет 0. Н‡пиме, ‚ычислflfl НОД (36, 10), мы можем использть ‚тоой ф‡кт несколько ‡з и о‰ин ‡з пе‚ый ф‡кт, к‡к пок‡з‡но ниже. НОД(36) = НОД(10,6) = НОД(6,4) = НОД(4,2) = НОД(2,0)

42

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Ду„ими слми, НОД (36, 10) = 2, НОД (10, 6) = 2, и т‡к ‰‡лее. Это озн‡ч‡ет, что ‚место ‚ычислениfl НОД (36, 10) мы можем н‡йти НОД (2, 0). Рисунок 2.7 пок‡зы‚‡ет, к‡к мы используем ‚ышеупомflнутые ‰‚‡ ф‡кт‡, чтобы ‚ычислить НОД (a, b). Рис. 2.7. Ал„оитм Е‚кл艇 Длfl опе‰елениfl НОД мы используем ‰‚е пееменные, r1 и r2, чтобы з‡помин‡ть изменflющиесfl зн‡чениfl ‚ течение ‚се„о поцесс‡. Они имеют н‡ч‡льное зн‡чение a и b. Н‡ к‡ж‰ом ш‡„е мы ‚ычислflем ост‡ток от ‰елениfl r1 н‡ r2 и х‡ним езульт‡т ‚ ‚и‰е пееменной r. Потом з‡менflем r1, н‡ r2 и r2 н‡ r и по‰олж‡-

ем ш‡„и, пок‡ r не ст‡нет ‡‚ным 0. В этот момент поцесс ост‡н‡‚л肇етсfl и НОД (a, b) ‡‚ен r1. Пиме 2.7 Нужно н‡йти н‡ибольший общий ‰елитель 2740 и 1760. Решение

Пименим ‚ышеупомflнутую поце‰уу, используfl т‡блицу. Мы пис‚‡и‚‡ем н‡ч‡льное зн‡чение r1 2740 и r2 зн‡чение 1760. В т‡блице т‡кже пок‡з‡ны зн‡чениfl q н‡ к‡ж‰ом ш‡„е. Мы имеем НОД (2740, 1760) = 20. Пиме 2.8 Н‡йти н‡ибольший общий ‰елитель 25 и 60. Решение Мы ‚ыб‡ли этот конкетный пиме, чтобы пок‡з‡ть: ‰лfl ‡л„оитм‡ Е‚кл艇 без‡злично, что пе‚ое число может быть меньше, чем ‚тоое. Все ‡‚но мы получ‡ем п‡‚ильный от‚ет НОД (25, 65) = 5.

43

Кус

Кипто„‡фиfl и безоп‡сность сетей

Р‡сшиенный ‡л„оитм Е‚кл艇 Д‡ны ‰‚‡ целых числ‡ a и b. Н‡м з‡ч‡стую 퇉о н‡йти ‰у„ие ‰‚‡ целых числ‡, s и r, т‡кие, котоые s × a + t × b = НОД(a,b) 44

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Р‡сшиенный ‡л„оитм Е‚кл艇 может ‚ычислить НОД (a, b) и ‚ то же с‡мое ‚емfl ‚ычислить зн‡чениfl s и t. Ал„оитм и поцесс т‡ко„о ‚ычислениfl пок‡з‡н н‡ ис. 2.8. З‰есь ‡сшиенный ‡л„оитм Е‚кл艇 использует те же с‡мые ш‡„и, что и постой ‡л„оитм Е‚кл艇. О‰н‡ко ‚ к‡ж‰ом ш‡„е мы пименflем ти „уппы ‚ычислений ‚место о‰ной. Ал„оитм использует ти н‡бо‡ пееменных: r, s и t. Рис. 2.8. Ал„оитм Е‚кл艇 Н‡ к‡ж‰ом ш‡„е пееменные r1, r2 и r используютсfl т‡к же, к‡к ‚ ‡л„оитме Е‚кл艇. Пееменным r1 и r2 пис‚‡и‚‡ютсfl н‡ч‡льные зн‡чениfl a и b соот‚етст‚енно. Пееменным s1 и s2 пис‚‡и‚‡ютсfl н‡ч‡льные зн‡чениfl 1 и 0 соот‚етст‚енно. Пееменным t1 и t2 пис‚‡и‚‡ютсfl н‡ч‡льные зн‡чениfl 0 и 1 соот‚етст‚енно.

Вычислениfl r, s и t о‰ин‡ко‚ы, но с о‰ним отличием. Хотfl r — ост‡ток от ‰елениfl r1 н‡ r2, т‡ко„о соот‚етст‚иfl ‚ ‰у„их ‰‚ух „упп‡х ‚ычислений нет. Есть только о‰но ч‡стное, q, котоое ‚ычислflетсfl к‡к r1/r2 и используетсfl ‰лfl ‰у„их ‰‚ух ‚ычислений. Пиме 2.9 Д‡но a = 161 и b = 28, 퇉о н‡йти НОД (a, b) и зн‡чениfl s и t. Решение

r = r1 – q × r2

s = s2 – qs2

t = t1 – q × t2

Длfl отоб‡жениfl ‡л„оитм‡ мы используем сле‰ующую т‡блицу: Мы получ‡ем НОД (161, 28) = 7, s = –1 и t = 6. От‚еты мо„ут быть по‚еены, к‡к это пок‡з‡но ниже. (–1) × 161 + 6 × 28 = 7 Пиме 2.10 Д‡но a = 17 и b = 0, н‡йти НОД (a, b) и зн‡чениfl s и t.

Решение 45

Кус

Кипто„‡фиfl и безоп‡сность сетей

Длfl отоб‡жениfl ‡л„оитм‡ мы используем т‡блицу: Об‡тите ‚ним‡ние, что н‡м не н‡‰о ‚ычислflть q, r и s. Пе‚ое зн‡чение r2 соот‚етст‚ует усло‚ию 燂ешениfl ‡л„оитм‡. Мы получ‡ем НОД (17, 0) = 17, s = 1 и t = 0. Это пок‡зы‚‡ет, почему мы ‰олжны п艇‚‡ть н‡ч‡льные зн‡чениfl s1 — 1 и t1 — 0. От‚еты мо„ут быть по‚еены т‡к, к‡к это пок‡з‡но ниже: (1 × 17) + (0 × 0) = 17 Пиме 2.11 Д‡ны a = 0 и b = 45, н‡йти НОД (a, b) и зн‡чениfl s и t. Решение Длfl отоб‡жениfl ‡л„оитм‡ мы используем сле‰ующую т‡блицу: Мы получ‡ем НОД (0,45) = 45, s = 0 и t = 1. Отсю‰‡ flсно, что мы ‰олжны иници‡лизить s2 ‡‚ным 0, ‡ t2 — ‡‚ным 1. От‚ет может быть по‚еен, к‡к это пок‡з‡но ниже: (0 × 0) + (1 × 45) = 45

Линейные ‰иоф‡нто‚ы у‡‚нениfl Хотfl очень ‚‡жное пиложение ‡сшиенно„о ‡л„оитм‡ Е‚кл艇 бу‰ет ‡ссмотено ‰‡лее, з‰есь мы ост‡но‚имсfl н‡ ‰у„ом пиложении — «н‡хож‰ение ешениfl линейных ‰иоф‡нто‚ых у‡‚нений ‰‚ух пееменных», ‡ именно, у‡‚нениfl ax + by = c. Мы ‰олжны н‡йти зн‡чениfl целых чисел ‰лfl x и y, котоые у‰о‚лет‚оflют этому у‡‚нению. Этот тип у‡‚нениfl либо не имеет ешений, либо имеет бесконечное число ешений. Пусть d = НОД (a, b). Если d†c, то у‡‚нение не имеет ешениfl. Если d|c, то мы имеем бесконечное число ешений. О‰но из них н‡зы‚‡етсfl ч‡стным, ост‡льные — общими. Линейное ‰иоф‡нто‚о у‡‚нение — это у‡‚нение ‰‚ух пееменных: ax + by = c. Ч‡стное ешение Если d|c, то можно н‡йти ч‡стное ешение ‚ышеупомflнуто„о у‡‚нениfl, используfl сле‰ующие ш‡„и. 1. Пеоб‡зуем у‡‚нение к a1 x + b1 y = c1, ‡з‰ели‚ обе ч‡сти у‡‚нениfl н‡ d. Это ‚озможно, потому, что d ‰елит a, b, и c ‚ соот‚етст‚ии с пе‰положением. 2. Н‡йти s и t ‚ ‡‚енст‚е a1 s + b1 t = 1, используfl ‡сшиенный ‡л„оитм Е‚кл艇. 3. Ч‡стное ешение может быть н‡й‰ено: Ч‡стное ешение: x0 = (c/d) s и y0 = (c/d) t Общие ешениfl После н‡хож‰ениfl ч‡стно„о ешениfl общие ешениfl мо„ут быть н‡й‰ены: 46

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Общие ешениfl: x = x0 + k (b/d) и y = y0 – k (a/d), „‰е k — целое число Пиме 2.12 Н‡йти ч‡стные и общие ешениfl у‡‚нениfl 21x + 14y = 35. Решение Мы имеем d = НОД (21, 14) = 7. Пи 7|35 у‡‚нение имеет бесконечное число ешений. Мы можем ‡з‰елить обе стооны у‡‚нениfl н‡ 7 и получим у‡‚нение 3x + 2y = 5. Используfl ‡сшиенный ‡л„оитм Е‚кл艇, мы н‡хо‰им s и t, т‡кие, что 3s + 2t = 1. Мы имеем S = 1 и t = –1. Решениfl бу‰ут сле‰ующие: Ч‡стное ешение : x0 = 5 × 1=5 и y0 = 5 × (–1) = -5 т‡ 35/7 =5 Общие: x = 5+ k × 2 y= –5 – k × 3 „‰е k — целое Поэтому ешениfl бу‰ут сле‰ующие (5, –5), (7, –8), (9, –11)... Мы можем ле„ко по‚еить, что к‡ж‰ое из этих ешений у‰о‚лет‚оflет пе‚он‡ч‡льному у‡‚нению. Пиме 2.13 Р‡ссмотим очень интеесное пиложение ешениfl ‰иоф‡нто‚ых у‡‚нений ‚ е‡льной жизни. Мы хотим н‡йти ‡зличные комбин‡ции объекто‚, имеющих ‡зличные зн‡чениfl. Н‡пиме, мы хотим обменflть ‰енежный чек 100$ н‡ некотоое число б‡нкнот 20$ и несколько б‡нкнот по 5$. Имеетсfl мно„о ‚‡и‡нто‚, котоые мы можем н‡йти, еш‡fl соот‚етст‚ующее ‰иоф‡нто‚о у‡‚нение 20x + 5y = 100. Обозн‡чим d = НОД (20, 5) = 5 и 5 | 100. У‡‚нение имеет бесконечное число ешений, но ‚ этом случ‡е пиемлемы только несколько из них (только те от‚еты, ‚ котоых и x и y fl‚лflютсfl неотиц‡тельными целыми числ‡ми). Мы ‰елим обе ч‡сти у‡‚нениfl н‡ 5, чтобы получить 4x + y = 20, и еш‡ем у‡‚нение 4s + t = 1. Мы можем н‡йти s = 0 и t = 1, используfl ‡сшиенный ‡л„оитм Э‚кл艇. Ч‡стное ешение: x2 = 0 × 20 = 0 и y0 = 1 × 20 = 20. Общие ешениfl с неотиц‡тельными x и y — (0, 20), (1, 16), (2, 12), (3, 8), (4, 4), (5, 0). Ост‡льн‡fl ч‡сть ешений непиемлем‡, потому что y ст‡но‚итсfl отиц‡тельным. К‡сси ‚ б‡нке ‰олжен спосить, к‡кую из ‚ышеупомflнутых комбин‡ций мы хотим получить. Пе‚ое число ‚ скобк‡х обозн‡ч‡ет число б‡нкнот по 20$; ‚тоое число обозн‡ч‡ет число б‡нкнот по 5$.

2.2. Мо‰ульн‡fl ‡ифметик‡ У‡‚нение ‰елениfl (a= q × n + r), ‡ссмотенное ‚ пе‰ы‰ущей секции, имеет ‰‚‡ ‚х (a и n) и ‰‚‡ ‚ых (q и r). В мо‰ульной ‡ифметике мы интеесуемсfl только о‰ним из ‚ыхо‰о‚ — ост‡тком r. Мы не з‡ботимсfl о ч‡стном q. Ду„ими слми, к‡ мы ‰елим a н‡ n, мы интеесуемсfl только тем, что зн‡чение ост‡тк‡ ‡‚но r. Это по‰‡зум傇ет, что мы можем пе‰ст‡‚ить изоб‡жение ‚ышеупомflнуто„о у‡‚нениfl к‡к бин‡ный опе‡то с ‰‚умfl ‚хми a и n и о‰ним ‚ыхо‰ом r. 47

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 2.9. Соотношение у‡‚нениfl ‰елениfl и опе‡то‡ по мо‰улю

Опе‡ции по мо‰улю Вышеупомflнутый бин‡ный опе‡то н‡з‚‡н опе‡тоом по мо‰улю и обозн‡ч‡етсfl к‡к mod. Втоой ‚хо‰ (n) н‡з‚‡н мо‰улем. Вы‚о‰ r н‡з‚‡н ‚ычетом. Рисунок 2.9 пок‡зы‚‡ет отношение ‰елениfl по с‡‚нению с опе‡тоом по мо‰улю. К‡к пок‡з‡но н‡ ис. 2.9, опе‡то по мо‰улю (mod) ‚ыби‡ет целое число (a) из множест‚‡ Z и положительный мо‰уль (n). Опе‡то опе‰елflет неотиц‡тельный ост‡ток (r). Мы можем ск‡з‡ть, что a mod n = r Пиме 2.14 Н‡йти езульт‡т сле‰ующих опе‡ций: a. 27 mod 5 b. 36 mod 12 c. –18 mod 14 d. –7 mod 10 Решение Мы ищем ‚ычет r. Мы можем ‡з‰елить a н‡ n и н‡йти q и r. Д‡лее можно и„ноить q и сох‡нить r. ‡. Р‡з‰елим 27 н‡ 5 — езульт‡т: r = 2. Это озн‡ч‡ет, что 27 mod 5 = 2. б. Р‡з‰елим 36 н‡ 12 — езульт‡т: r = 0. Это озн‡ч‡ет, что 36 mod 12 = 0. ‚. Р‡з‰елим (–18) н‡ 14 — езульт‡т: r = –4. О‰н‡ко мы ‰олжны пиᇂить мо‰уль (14), чтобы с‰ел‡ть ост‡ток неотиц‡тельным. Мы имеем r = –4 + + 14 = 10. Это озн‡ч‡ет, что –18 mod 14 = 10. „. Р‡з‰елим (–7) н‡ 10 — езульт‡т: r = –7. После ‰оᇂлениfl мо‰улfl –7 мы имеем r = 3. Это озн‡ч‡ет, что –7 mod 10 = 3.

48

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Систем‡ ‚ычето‚: Zn Результ‡т опе‡ции по мо‰улю n — ‚с儉‡ целое число меж‰у 0 и n - 1. Ду„ими слми, езульт‡т a mod n — ‚с儉‡ неотиц‡тельное целое число, меньшее, чем n. Мы можем ск‡з‡ть, что опе‡циfl по мо‰улю со片ет н‡бо, котоый ‚ мо‰ульной ‡ифметике можно поним‡ть к‡к систему н‡именьших ‚ычето‚ по мо‰улю n, или Zn. О‰н‡ко мы ‰олжны помнить, что хотfl сущест‚ует только о‰но множест‚о целых чисел (Z), мы имеем бесконечное число множест‚ ‚ычето‚ (Zn), но лишь о‰но ‰лfl к‡ж‰о„о зн‡чениfl n. Рисунок 2.10 пок‡зы‚‡ет множест‚о Zn и ти множест‚‡ Z2, Z6 и Z11. Рис. 2.10. Некотоые н‡боы Zn С‡‚нениfl В кипто„‡фии мы ч‡сто используем понflтие с‡‚нениfl1 ‚место ‡‚енст‚‡. Отоб‡жение Z ‚ Zn не отоб‡ж‡ютсfl «о‰ин ‚ о‰ин». Бесконечные элементы множест‚‡ Z мо„ут быть отоб‡жены о‰ним элементом Zn. Н‡пиме, езульт‡т 2 mod 10 = 2, 12 mod 10 = 2, 22 mod 10 = 2, и т‡к ‰‡лее. В мо‰ульной ‡ифметике целые числ‡, по‰обные 2, 12, и 22, н‡зы‚‡ютсfl с‡‚нимыми по мо‰улю 10. Длfl то„о чтобы ук‡з‡ть, что ‰‚‡ целых числ‡ с‡‚нимы, используем опе‡то с‡‚нениfl (≡). Мы ‰оᇂлflем mod n к п‡‚ой стооне с‡‚нениfl, чтобы опе‰елить зн‡чение мо‰улfl и с‰ел‡ть ‡‚енст‚о п‡‚ильным. Н‡пиме, пишем:

2 ≡ 12 (mod 10) 13 ≡ 23 (mod 10) 34 ≡ 24 (mod 10) –8 ≡ 12 (mod 10) 3 ≡ 8 (mod 5) 8 ≡ 13 (mod 5) 23 ≡ 33 (mod 5) –8 ≡ 2(mod5)

1

С‡‚нение – темин, пинflтый ‚ м‡тем‡тической лите‡туе России; ‚ ои„ин‡ле пинflт темин кон„уэнтность (congruence)(пим. пее‚о‰чик‡). 49

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рисунок 2.11 пок‡зы‚‡ет пинцип с‡‚нениfl. Мы ‰олжны объflснить несколько положений. a. Опе‡то с‡‚нениfl н‡помин‡ет опе‡то ‡‚енст‚‡, но меж‰у ними есть ‡зличиfl. Пе‚ое: опе‡то ‡‚енст‚‡ отоб‡ж‡ет элемент Z с‡мо„о н‡ себfl; опе‡то с‡‚нениfl отоб‡ж‡ет элемент Z н‡ элемент Zn. Втоое: опе‡то ‡‚енст‚‡ пок‡зы‚‡ет, что н‡боы сл傇 и сп‡‚‡ соот‚етст‚уют ‰у„ ‰у„у «о‰ин ‚ о‰ин», опе‡то с‡‚нениfl — «мно„ие — о‰ному». Рис. 2.11. Пинцип с‡‚нениfl б. Обозн‡чение (mod n), котоое мы ‚ст‡‚лflем с п‡‚ой стооны опе‡то‡ с‡‚нениfl, обозн‡ч‡ет пизн‡к множест‚‡ (Zn). Мы ‰олжны ‰оᇂить это обозн‡чение, чтобы пок‡з‡ть, к‡кой мо‰уль используетсfl ‚ отоб‡жении. Сим‚ол, используемый з‰есь, не имеет то„о же с‡мо„о зн‡чениfl, к‡к бин‡ный опе‡то ‚ у‡‚нении ‰елениfl. Ду„ими слми, сим‚ол mod ‚ ‚ы‡жении 12 mod 10 — опе‡то; ‡ сочет‡ние (mod 10) ‚ с‡‚нении 2 ≡ 12 (mod10) озн‡ч‡ет, что н‡бо — Z10.

Кл‡сс ‚ычето‚ Кл‡сс ‚ычето‚ [a], или [a]n, — множест‚о целых чисел, с‡‚нимых по мо‰улю n. Ду„ими слми, это н‡бо ‚сех целых чисел, т‡ких, что x = a (mod n). Н‡пиме, если n = 5, мы имеем множест‚о из пflти элементо‚ [0], [1], [2], [3] и [4], т‡ких, к‡к это пок‡з‡но ниже: [0] = {….., –15, 10, –5, 0, 5, 10, 15, ….} [1] = {…., –14, –9, –4, 1, 6 , 11, 16,.….} [2] = {…, –13, –8, –3, 2, 7, 12, 17,…} [3] = {...., –12, –7, –2, 3, 8, 13, 18,…} [4] = {….., 11, –6, –1, 4, 9, 14, 19,…}

Целые числ‡ ‚ н‡бое [0] ‚се ‰‡ют ост‡ток 0 пи ‰елении н‡ 5 (с‡‚нимы по мо‰улю 5). Целые числ‡ ‚ н‡бое [1] ‚се ‰‡ют ост‡ток 1 пи ‰елении н‡ 5 (с‡‚нимы по мо‰улю 5), и т‡к ‰‡лее. В к‡ж‰ом н‡бое есть о‰ин элемент, н‡зы‚‡емый н‡именьшим (неотиц‡тельным) ‚ычетом. В н‡бое [0] это элемент 0; ‚ н‡бое [1] — 1, и т‡к 50

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

‰‡лее. Н‡бо, котоый пок‡зы‚‡ет ‚се н‡именьшие ‚ычеты: Z5 = {0, 1, 2, 3, 4}. Ду„ими слми, н‡бо Zn — н‡бо ‚сех н‡именьших ‚ычето‚ по мо‰улю n. Ку„fl систем‡ обозн‡чений Понflтие «с‡‚нение» может быть лучше ‡скыто пи использнии ку„‡ ‚ к‡чест‚е мо‰ели. Т‡к же, к‡к мы пименflем линию, чтобы пок‡з‡ть ‡спе‰еление целых чисел ‚ Z, мы можем использть ку„, чтобы пок‡з‡ть ‡спе‰еление целых чисел ‚ Zn. Рис. 2.12. С‡‚нение использниfl ‰и‡„‡мм ‰лfl Z и Zn Рисунок 2.12 поз‚олflет с‡‚нить ‰‚‡ этих по‰х. Целые числ‡ от 0 ‰о n–1 ‡сположены ‡‚номено ‚оку„ ку„‡. Все целые числ‡, с‡‚нимые по мо‰улю n, з‡ним‡ют о‰ни и те же точки ‚ ку„е. Положительные и отиц‡тельные целые числ‡ от Z отоб‡ж‡ютсfl ‚ ку„е о‰ним и тем же способом, соблю‰‡fl симметию меж‰у ними. Пиме 2.15 Мы пользуемсfl с‡‚нением по мо‰улю ‚ н‡шей еже‰не‚ной жизни; н‡пиме, мы пименflем ч‡сы, чтобы измеить ‚емfl. Н‡ш‡ систем‡ ч‡со‚ использует

‡ифметику по мо‰улю 12. О‰н‡ко ‚место 0 мы беем отсечку 12, т‡к что н‡ш‡ систем‡ ч‡со‚ н‡чин‡етсfl с 0 (или 12) и и‰ет ‰о 11. Поскольку н‡ши сутки ‰лflтсfl 24 ч‡с‡, мы счит‡ем по ку„у ‰‚‡ ‡з‡ и обозн‡ч‡ем пе‚ое ‚‡щение к‡к уто ‰о полу‰нfl, ‡ ‚тоое — к‡к ‚ече после полу‰нfl.

Опе‡ции ‚ Zn Ти бин‡ных опе‡ции (сложение, ‚ычит‡ние и умножение), котоые мы обсу扇ли ‰лfl Z, мо„ут т‡кже быть опе‰елены ‰лfl н‡бо‡ Zn. Результ‡т, может быть отоб‡жен ‚ Zn с использнием опе‡ции по мо‰улю, к‡к это пок‡з‡но н‡ ис. 2.13. Рис. 2.13. Бин‡ные опе‡ции ‚ Zn 51

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ф‡ктически пименflютсfl ‰‚‡ н‡бо‡ опе‡тоо‚: пе‚ый н‡бо — о‰ин из бин‡ных опе‡тоо‚ (+, –, ×); ‚тоой — опе‡тоы по мо‰улю. Мы ‰олжны использть ку„лые скобки, чтобы по‰чекнуть поfl‰ок ‡бот. К‡к пок‡з‡но н‡ ис. 2.13, ‚хо‰ы (a и b) мо„ут быть член‡ми Z или Zn. Пиме 2.16 Выполните сле‰ующие опе‡тоы (поступ‡ющие от Zn): ‡. Сложение 7 и 14 ‚ Z15 б. Вычит‡ние 11 из 7 ‚ Z13 ‚. Умножение 11 н‡ 7 ‚ Z20 Решение Ниже пок‡з‡ны ‰‚‡ ш‡„‡ ‰лfl к‡ж‰ой опе‡ции: (14 + 7) mod 15 → (21) mod 15 = 6 (7 – 11) mod 13 → (–4) mod 13 = 9 (7 × 11) mod 20 → (77) mod 20 = 17 Пиме 2.17 Выполните сле‰ующие опе‡ции (поступ‡ющие от Zn). a. Сложение 17 и 27 ‚ Z14 b. Вычит‡ние 43 из 12 ‚ Z13 c. Умножение 123 н‡ –10 ‚ Z19 Решение Ниже пок‡з‡ны ‰‚‡ ш‡„‡ ‰лfl к‡ж‰ой опе‡ции: (17 + 27) mod 14 → (44) mod 14 = 2 (12 – 43) mod 13 → (–31) mod 13 = 8 (123) × (–10)) mod 19 → (–1230) mod 19 = 5 С‚ойст‚‡

Рис. 2.14. С‚ойст‚‡ опе‡то‡ mod 52

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Мы уже упомин‡ли, что ‰‚‡ ‚х ‰лfl тех бин‡ных опе‡тоо‚ ‚ с‡‚нении по мо‰улю мо„ут использть ‰‡нные из Z или Zn. Сле‰ующие с‚ойст‚‡ поз‚олflют н‡м сн‡ч‡л‡ отоб‡ж‡ть ‰‚‡ ‚х к Zn (если они пибы‚‡ют от Z) пее‰ ‚ыполнением этих тех бин‡ных опе‡тоо‚ (+,–,×). З‡интееснные чит‡тели мо„ут н‡йти ‰ок‡з‡тельст‚‡ ‰лfl этих с‚ойст‚ ‚ пиложении Q. Пе‚ое с‚ойст‚о: (a + b) mod n = [(a mod n) + (b mod n)] mod n Втоое с‚ойст‚о: (a – b) mod n = [(a mod n) – (b mod n)] mod n Тетье с‚ойст‚о: (a × b) mod n = [(a mod n) × (b mod n)] mod n Рисунок 2.14 пок‡зы‚‡ет поцесс ‰о и после пименениfl ук‡з‡нных ‚ыше с‚ойст‚. Хотfl по исунку ‚и‰но, что поцесс с пименением этих с‚ойст‚ более ‰лительный, мы ‰олжны помнить, что ‚ кипто„‡фии мы имеем ‰ело с очень большими целыми числ‡ми. Н‡пиме, если мы умнож‡ем очень большое целое число н‡ ‰у„ое очень большое целое число, котоое н‡столько большое, что не может быть з‡пис‡но ‚ компьютее, то пименение ‚ышеупомflнутых с‚ойст‚ поз‚олflет уменьшить пе‚ые ‰‚‡ опе‡н‰‡ пеж‰е, чем н‡ч‡ть умножение. Ду„ими слми, пеечисленные с‚ойст‚‡ поз‚олflют н‡м ‡бот‡ть с меньшими числ‡ми. Этот ф‡кт ст‡нет понflтнее пи обсуж‰ении экспоненци‡льных опе‡ций ‚ после‰ующих лекциflх. Пиме 2.18 Сле‰ующие пимеы пок‡зы‚‡ют пиложение ‚ышеупомflнутых с‚ойст‚. 1. (1 723 345 + 2 124 945) mod 11 = (8 + 9) mod 11 = 6 2. (1 723 345 – 2124 945) mod 11 = (8 – 9) mod 11 = 10 3. (1 723 345 × 2 124 945) mod 11 = (8 × 9) mod 11 = 6 Пиме 2.19 В ‡ифметике мы ч‡сто ‰олжны н‡хо‰ить ост‡ток от степеней числ‡ 10 пи ‰елении н‡ целое число. Н‡пиме, мы ‰олжны н‡йти 10 mod 3, 102 mod 3, 103 mod 3, и т‡к ‰‡лее. Мы т‡кже ‰олжны н‡йти 10 mod 7, 102 mod 7, 103 mod 7, и т‡к ‰‡лее. Тетье с‚ойст‚о мо‰ульных опе‡тоо‚, упомflнутое ‚ыше, ‰ел‡ет жизнь н‡мно„о поще. 10n mod x = (10 mod x)n Пименение тетье„о с‚ойст‚‡ n ‡з. Мы имеем 10 mod 3 = 1 → 10n mod 3 = (10 mod 3)n = 1 10 mod 9 = 1 → 10n mod 9 = (10 mod 9)n = 1 (10 mod 7) = 3 → 10n mod 7 = (10 mod 7)n = 3n mod 7 Пиме 2.20 Мы уже „о‚оили, что ‚ ‡ифметике ост‡ток от цело„о числ‡, ‡з‰еленно„о н‡ 3, т‡кой же, к‡к ост‡ток от суммы ‰елениfl е„о ‰есflтичных циф. Ду„ими слми, ост‡ток от ‰елениfl 6371 ‡‚ен числу 17, ‡з‰еленному н‡ 3, потому что 6 + 53

Кус

Кипто„‡фиfl и безоп‡сность сетей

3 + 7 + 1 = 17. Мы можем ‰ок‡з‡ть, что это ут‚еж‰ение использует с‚ойст‚‡ мо‰ульно„о опе‡то‡. З‡пишем целое число к‡к сумму е„о циф, умноженных н‡ степени 10. a = an 10n +……….+ a1101 + a0100 Н‡пиме: 6371 = 6 × 103 + 3 × 102+ 7 × 101+ 1 × 100 Тепеь мы можем пименить мо‰ульную опе‡цию к ‰‚ум стоон‡м ‡‚енст‚‡ и использть езульт‡т пе‰ы‰уще„о пиме‡, „‰е ост‡ток 10n mod 3 ‡‚ен 1. a mod 3 = (an × 10n +……..+ a1 × 101+ a0 × 100) mod 3 = (an × 10n) mod 3 +…..+ (a1 × 101) mod 3 + (a0 × 100 mod 3) mod 3 = (an mod 3) × (10n mod 3) +……..+ (a1 mod 3) × (101 mod 3) + (a0 mod 3) × (100 mod 3) mod 3 = (an mod 3) +……..+ (a1 mod 3) + (a0 mod 3) mod 3 = (an +……..+ a1 + a0) mod 3

Ин‚есии К‡ мы ‡бот‡ем ‚ мо‰ульной ‡ифметике, н‡м ч‡сто нужно н‡йти опе‡цию, кото‡fl поз‚олflет ‚ычислить ‚еличину, об‡тную 燉‡нному числу. Мы обычно ищем ‡‰‰ити‚ную ин‚есию (опе‡то, об‡тный сложению) или мультиплик‡ти‚ную ин‚есию (опе‡то, об‡тный умножению). А‰‰ити‚н‡fl ин‚есиfl В Z2 ‰‚‡ числ‡ a и b ‡‰‰ити‚но ин‚есны ‰у„ ‰у„у, если b = n – a. Н‡пиме, a + b ≡ 0 (mod n) В Zn ‡‰‰ити‚н‡fl ин‚есиfl числу a может быть ‚ычислен‡ к‡к b = n – a. Н‡пиме, ‡‰‰ити‚н‡fl ин‚есиfl 4 ‚ Z10 ‡‚н‡ 10 – 4 = 6. В мо‰ульной ‡ифметике к‡ж‰ое целое число имеет ‡‰‰ити‚ную ин‚есию. Сумм‡ цело„о числ‡ и е„о ‡‰‰ити‚ной ин‚есии с‡‚ним‡ с 0 по мо‰улю n. Об‡тите ‚ним‡ние, что ‚ мо‰ульной ‡ифметике к‡ж‰ое число имеет ‡‰‰ити‚ную ин‚есию, и эт‡ ин‚есиfl уник‡льн‡; к‡ж‰ое число имеет о‰ну и только о‰ну ‡‰‰ити‚ную ин‚есию. О‰н‡ко ин‚есиfl числ‡ может быть тем же с‡мым числом. Пиме 2.21 Н‡й‰ите ‚се ‚з‡имно об‡тные п‡ы по сложению ‚ Z10. Решение Д‡ны шесть п‡ ‡‰‰ити‚ных ин‚есий — (0, 0), (1, 9), (2, 8), (3, 7), (4, 6) и (5, 5). В этом списке 0 — ин‚есиfl с‡мому себе; т‡кже и 5. Об‡тите ‚ним‡ние: ‡‰‰ити‚54

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

ные ин‚есии сложениfl об‡тны ‰у„ ‰у„у; если 4 — ‡‰‰ити‚н‡fl ин‚есиfl 6, т‡ 6 — т‡кже ‡‰‰ити‚н‡fl ин‚есиfl числу 4. Мультиплик‡ти‚н‡fl ин‚есиfl В Zn ‰‚‡ числ‡ a и b мультиплик‡ти‚но ин‚есны ‰у„ ‰у„у, если a × b ≡ 1(mod n) Н‡пиме, если мо‰уль ‡‚ен 10, то мультиплик‡ти‚н‡fl ин‚есиfl 3 есть 7. Ду„ими слми, мы имеем (3 × 7) mod 10 × 1. В мо‰ульной ‡ифметике целое число может или не может иметь мультиплик‡ти‚ную ин‚есию. Целое число и е„о мультиплик‡ти‚н‡fl ин‚есиfl с‡‚нимы с 1 по мо‰улю n. Может быть ‰ок‡з‡но, что a имеет мультиплик‡ти‚ную ин‚есию ‚ Zn, если только НОД(n, a) = 1. В этом случ‡е „о‚оflт, что a и n ‚з‡имно постые. Пиме 2.22 Н‡йти мультиплик‡ти‚ную ин‚есию 8 ‚ Z10. Решение Мультиплик‡ти‚н‡fl ин‚есиfl не сущест‚ует, потому что НОД (10, 8) = 2 ≠ 1. Ду„ими слми, мы не можем н‡йти число меж‰у 0 и 9, т‡кое, что пи умножении н‡ 8 езульт‡т с‡‚ним с 1 по mod 10. Пиме 2.23 Н‡йти ‚се мультиплик‡ти‚ные ин‚есии ‚ Z10. Решение Есть только ти п‡ы, у‰о‚лет‚оflющие усло‚иflм сущест‚ниfl мультиплик‡ти‚ной ин‚есии: (1, 1), (3, 7) и (9, 9). Числ‡ 0, 2, 4, 5, 6 и 8 не имеют мультиплик‡ти‚ной ин‚есии. Мы можем по‚еить, что (1 × 1) mod 10 = 1

(3 × 7) mod 10 = 1

(9 × 9) mod 10 = 1

Пиме 2.24 Н‡йти ‚се мультиплик‡ти‚ные об‡тные п‡ы ‚ Z11. Решение Мы имеем семь п‡: (1, 1), (2, 6), (3, 4), (5, 9), (7, 8), (9, 9) и (10, 10). Пи пеехо‰е от Z10 к Z11 число п‡ у‚елич肇етсfl. Пи Z11 НОД (11, a) = 1 (‚з‡имно постые) ‰лfl ‚сех зн‡чений a, коме 0. Это озн‡ч‡ет, что ‚се целые числ‡ от 1 ‰о 10 имеют мультиплик‡ти‚ные ин‚есии. Целое число a ‚ Zn имеет мультиплик‡ти‚ную ин‚есию т‡ и только т‡, если НОД (n, a) ≡ 1(mod n)

55

Кус

Кипто„‡фиfl и безоп‡сность сетей

Р‡сшиенный ‡л„оитм Е‚кл艇, котоый мы обсу扇ли ‡нее ‚ этой лекции, может н‡йти мультиплик‡ти‚ную ин‚есию b ‚ Zn, к‡ ‰‡ны n и b и ин‚есиfl сущест‚ует. Длfl это„о н‡м 퇉о з‡менить пе‚ое целое число a н‡ n (мо‰уль). Д‡лее мы можем ут‚е扇ть, что ‡л„оитм может н‡йти s и t, т‡кие, что s × n + b × t = НОД (n, b). О‰н‡ко если мультиплик‡ти‚н‡fl ин‚есиfl b сущест‚ует, НОД (n, b) ‰олжен быть 1. Т‡к что у‡‚нение бу‰ет иметь ‚и‰ (s × n) + (b × t) = 1 Тепеь мы пименflем опе‡ции по мо‰улю к обеим стоон‡м у‡‚нениfl. Ду„ими слми, мы отоб‡ж‡ем к‡ж‰ую стоону к Zn. Т‡ мы получим (s × n + b × t) mod n =1 mod n [(s × n) mod n] + [(b × t) mod n] = 1 mod n 0 + [(b × t) mod n ] = 1

(b × t) mod n =1

→ Это озн‡ч‡ет, что t – это мультиплик‡ти‚н‡fl ин‚есиfl b ‚ Zn

Об‡тите ‚ним‡ние, что [(s × n) mod n] н‡ тетьей стоке — 0, потому что, если мы ‰елим (s × n) н‡ n, ч‡стное — s, ‡ ост‡ток — 0.

56

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Р‡сшиенный ‡л„оитм Е‚кл艇 н‡хо‰ит мультиплик‡ти‚ные ин‚есии b ‚ Zn, к‡ ‰‡ны n и b и НОД (n, b) = 1. Мультиплик‡ти‚н‡fl ин‚есиfl b — это зн‡чение t, отоб‡женное ‚ Zn. Рисунок 2.15 пок‡зы‚‡ет, к‡к мы н‡хо‰им мультиплик‡ти‚ную ин‚есию числ‡, используfl ‡сшиенный ‡л„оитм Е‚кл艇. Рис. 2.15. Пименение ‡сшиенно„о ‡л„оитм‡ Е‚кл艇 ‰лfl поиск‡ мультиплик‡ти‚ной ин‚есии Пиме 2.25

Н‡йти мультиплик‡ти‚ную ин‚есию 11 ‚ Z26. Решение Мы используем т‡блицу, ‡н‡ло„ичную о‰ной из тех, котоые мы уже пименflли пеж‰е пи ‰‡нных r1 = 26 и r2 = 11. Н‡с интеесует только зн‡чение t. НОД (26, 11) = 1, что озн‡ч‡ет, что мультиплик‡ти‚н‡fl ин‚есиfl 11 сущест‚ует. Р‡сшиенный ‡л„оитм Е‚кл艇 ‰‡ет t1 = (–7). Мультиплик‡ти‚н‡fl ин‚есиfl ‡‚н‡ (–7) mod 26 = 19. Ду„ими слми, 11 и 19 — мультиплик‡ти‚н‡fl ин‚есиfl ‚ Z19. Мы можем ‚и‰еть, что (11 × 19) mod 26 = 209 mod 26 = 1. Пиме 2.26

Н‡йти мультиплик‡ти‚ную ин‚есию 23 ‚ Z100. Решение Мы используем т‡блицу, по‰обную той, котоую пименflли ‰о это„о пи r1 = 100 и r2 = 23. Н‡с интеесует только зн‡чение t. НОД (100, 23) — 1, что озн‡ч‡ет, что ин‚есиfl 23 сущест‚ует. Р‡сшиенный Е‚кли‰о‚ ‡л„оитм ‰‡ет t1 =-13. Ин‚есиfl — (–13) mod 100 = 87. Ду„ими слми, 13 и 87 — мультиплик‡ти‚ные ин‚есии ‚ Z 100. Мы можем ‚и‰еть, что (23 × 87) mod 100 = 2001 mod 100 = 1. Пиме 2.27 Н‡йти ин‚есию 12 ‚ Z26. Решение Мы используем т‡блицу, по‰обную той, котоую мы пименflли ‡ньше пи r1 = 26 и r2 = 12. 57

Кус

Кипто„‡фиfl и безоп‡сность сетей

НОД(26,12)=2 ≠ 1, что озн‡ч‡ет отсут‚ст‚ие ‰лfl числ‡ 12 мультиплик‡ти‚ной ин‚есии ‚ Z26

Сложение и умножение т‡блиц Рисунок 2.16 пок‡зы‚‡ет ‰‚е т‡блицы ‰лfl сложениfl и умножениfl. Пи сложении т‡блиц к‡ж‰ое целое число имеет ‡‰‰ити‚ную ин‚есию. Об‡тные п‡ы мо„ут быть н‡й‰ены, если езульт‡т их сложениfl — ноль. Мы имеем (0, 0), (1, 9), (2, 8), (3, 7), (4, 6) и (5, 5). Пи умножении т‡блиц мы получ‡ем только ти мультиплик‡ти‚ных п‡ы (1, 1), (3, 7) и (9, 9). П‡ы мо„ут быть н‡й‰ены, к‡ езульт‡т умножениfl ‡‚ен 1. Обе т‡блицы симметичны по ‰и‡„он‡ли, от ле‚ой ‚ешины к нижней ‚ешине сп‡‚‡. Пи этом можно обн‡ужить с‚ойст‚‡ коммут‡ти‚ности ‰лfl сложениfl и умножениfl (a+b = b+a и a × b=b × a). Т‡блиц‡ сложениfl т‡кже пок‡зы‚‡ет, что к‡ж‰ый fl‰ или колонк‡ может поменflтьсfl с ‰у„им fl‰ом или колонкой. Длfl т‡блицы умножениfl это не‚ено. Рис. 2.16. Т‡блицы сложениfl и умножениfl ‰лfl Z10

Р‡зличные множест‚‡ ‰лfl сложениfl и умножениfl В кипто„‡фии мы ч‡сто ‡бот‡ем с ин‚есиflми. Если отп‡‚итель посыл‡ет целое число (н‡пиме, ключ ‰лfl шифниfl сл), пиемник пименflет ин‚есию это„о цело„о числ‡ (н‡пиме, ключ ‰еко‰иниfl). Если это ‰ейст‚ие (‡л„оитм шифниfl/‰еко‰иниfl) fl‚лflетсfl сложением, множест‚о Zn может быть использно к‡к множест‚о ‚озможных ключей, потому что к‡ж‰ое целое число ‚ этом множест‚е имеет ‡‰‰ити‚ную ин‚есию. С ‰у„ой стооны, если ‰ейст‚ие (‡л„оитм шифниfl/‰еко‰иниfl) — умножение, Zn не может быть множест‚ом ‚озможных ключей, потому что только некотоые члены это„о множест‚‡ имеют

58

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

мультиплик‡ти‚ную ин‚есию. Н‡м нужно ‰у„ое множест‚о, котоое fl‚лflетсfl по‰множест‚ом Zn и ‚ключ‡ет ‚ себfl только целые числ‡, и пи этом ‚ Zn они имеют уник‡льную мультиплик‡ти‚ную ин‚есию. Это множест‚о обозн‡ч‡етсfl Zn*. Рисунок 2.1 пок‡зы‚‡ет некотоые случ‡и ‰‚ух множест‚. Об‡тите ‚ним‡ние, что множест‚о Zn* может быть получено из т‡блицы умножениfl тип‡ пок‡з‡нной н‡ ис. 2.16. К‡ж‰ый член Zn имеет ‡‰‰ити‚ную ин‚есию, но только некотоые члены имеют мультиплик‡ти‚ную ин‚есию. К‡ж‰ый член Zn* имеет мультиплик‡ти‚ную ин‚есию, но только члены множест‚‡ имеют ‡‰‰ити‚ную ин‚есию. Мы ‰олжны использть Zn, к‡ необхо‰имы ‡‰‰ити‚ные ин‚есии; мы ‰олжны использть Zn*, к‡ необхо‰имы мультиплик‡ти‚ные ин‚есии. Рис. 2.17. Некотоые множест‚‡ Zn и Zn*

Еще ‰‚‡ множест‚‡ Кипто„‡фиfl ч‡сто использует еще ‰‚‡ множест‚‡: Zp, и Zp*. Мо‰ули ‚ этих ‰‚ух множест‚‡х — постые числ‡. Постые числ‡ бу‰ут обсу扇тьсfl ‚ сле‰ующих лекциflх; пок‡ можно ск‡з‡ть, что постое число имеет только ‰‚‡ ‰елителfl: целое число 1 и с‡мо себfl. Множест‚о Zp — то же с‡мое, что и Zn, з‡ исключением то„о, что n — постое число. Zp со‰ежит ‚се целые числ‡ от 0 ‰о p – 1. К‡ж‰ый элемент ‚ Zp имеет ‡‰‰ити‚ную ин‚есию; к‡ж‰ый элемент коме 0 имеет мультиплик‡ти‚ную ин‚есию. Множест‚о Zp* — то же с‡мое, что Zn*, з‡ исключением то„о, что Zp* со‰ежит ‚се целые числ‡ от 0 ‰о p – 1. К‡ж‰ый элемент ‚ Zp имеет ‡‰‰ити‚ную и мультиплик‡ти‚ную ин‚есии. Zp* — очень хооший к‡н‰и‰‡т, к‡ мы ну扇емсfl ‚о множест‚е, котоое пеж肇ет ‡‰‰ити‚ную и мультиплик‡ти‚ную ин‚есии. Ниже пок‡з‡ны ‰‚‡ множест‚‡, к‡ p = 13. Z13 = {0,1,2, 3,4, 5, 6, 7, 8, 9, 11,12}, Z13* = {0,1,2, 3,4, 5, 6, 7, 8, 9, 11,12},

59

Кус

Кипто„‡фиfl и безоп‡сность сетей

2.3. М‡тицы В кипто„‡фии мы ‰олжны об‡б‡ты‚‡ть м‡тицы. Хотfl эт‡ тем‡ пи퇉лежит специ‡льному ‡з‰елу ‡л„ебы, котоый н‡зы‚‡етсfl линейной ‡л„ебой, необхо‰им к‡ткий обзо м‡тиц ‰лfl пото‚ки к изучению кипто„‡фии. Чит‡тели, зн‡комые с этими ‚опос‡ми, мо„ут попустить ч‡сть или ‚есь

этот ‡з‰ел. Р‡з‰ел н‡чин‡етсfl с некотоых опе‰елений и пимео‚ использниfl м‡тицы ‚ мо‰ульной ‡ифметике.

Опе‰елениfl М‡тиц‡ — пflмоу„ольный м‡сси‚, со‰еж‡щий l × m элементо‚, ‚ котоых l — число сток, m — число столбцо‚. М‡тиц‡ обычно обозн‡ч‡етсfl 燄뇂ной бук‚ой, т‡кой, к‡к A. Элемент aij ‡сположен ‚ i-той стоке и j-том столбце. Хотfl элементы м‡тицы мо„ут быть любым множест‚ом чисел, мы обсу扇ем только м‡тицы с элемент‡ми ‚ Z. Рисунок 2.18 пок‡зы‚‡ет м‡тицу. Рис. 2.18. М‡тиц‡ ‡зме‡ l × m Если м‡тиц‡ имеет только о‰ну стоку (l = 1), он‡ н‡зы‚‡етсfl м‡тицей-стокой; если он‡ имеет только о‰ин столбец (m = 1), то н‡зы‚‡етсfl м‡тицей-столбцом. М‡тиц‡ н‡зы‚‡етсfl ꂇ‰‡тной, если число сток ‡‚но числу столбцо‚ (l = m) и со‰ежит элементы „뇂ной ‰и‡„он‡ли a11, a22, ……,a mm. М‡тиц‡ обозн‡ч‡етсfl 0, если ‚се стоки и ‚се столбцы со‰еж‡т нули. Е‰иничн‡fl м‡тиц‡ обозн‡ч‡етсfl I, если он‡ к‚‡‰‡тн‡fl и со‰ежит ‚се е‰иницы н‡ „뇂ной ‰и‡„он‡ли и ‚се нули н‡ ‰у„их мест‡х. Рисунок 2.19 пок‡зы‚‡ет некотоые пимеы м‡тиц с элемент‡ми из Z. Рис. 2.19. Пимеы м‡тиц

Опе‡ции и у‡‚нениfl В линейной ‡л„ебе ‰лfl м‡тиц опе‰елены о‰но у‡‚нение (‡‚енст‚о) и четые опе‡ции (сложение, ‚ычит‡ние, умножение и ск‡лflное умножение). Р‡‚енст‚о Д‚е м‡тицы ‡‚ны, если они имеют о‰ин‡ко‚ое число сток и столбцо‚ и соот‚етст‚ующие элементы ‡‚ны. Ду„ими слми, A = B, если мы имеем aij = bij ‰лfl ‚сех i и j. 60

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Рис. 2.20. Сложение и ‚ычит‡ние м‡тиц Сложение и ‚ычит‡ние Опе‡циfl сложениfl ‰‚ух м‡тиц может пименflтьсfl, если м‡тицы имеют о‰ин‡ко‚ое число столбцо‚ и сток. Сложение з‡писы‚‡ют к‡к C = A + B. В этом случ‡е полученн‡fl ‚ езульт‡те м‡тиц‡ C имеет тот же номе сток и столбцо‚, к‡к A или B. К‡ж‰ый элемент C — сумм‡ ‰‚ух соот‚етст‚ующих элементо‚ A и B: aij + bij.

Опе‡циfl ‚ычит‡ниfl поиз‚о‰итсfl ‡н‡ло„ично сложению, з‡ исключением то„о, что к‡ж‰ый элемент B ‚ычит‡етсfl из соот‚етст‚ующе„о элемент‡ A: dij= aij – bij. Пиме 2.28 Рисунок 2.20 пок‡зы‚‡ет пиме сложениfl и ‚ычит‡ниfl.

Умножение Д‚е м‡тицы ‡злично„о ‡зме‡ мо„ут быть пеемножены, если число столбцо‚ пе‚ой м‡тицы со‚‡ет с числом сток ‚тоой м‡тицы. Если A — м‡тиц‡ ‡зме‡ l × m, ‡ м‡тиц‡ B ‡зме‡ m × p, то поиз‚е‰ением бу‰ет м‡ти-

ц‡ C ‡змеом l × p. Если элемент м‡тицы A обозн‡чить aij, ‡ к‡ж‰ый элемент м‡тицы B обозн‡чить bjk, то элемент м‡тицы C — cik — ‚ычислflетсfl сле‰ующим 61

Кус

Кипто„‡фиfl и безоп‡сность сетей

об‡зом: cik =Σ aij × bjk = ai1 × b1j + ai2 × b2j + … + aim × bmj

Пиме 2.29 Рисунок 2.21 пок‡зы‚‡ет поиз‚е‰ение м‡тицы-стоки (1 × 3) н‡ м‡тицустолбец (3 × 1). В езульт‡те получ‡ем м‡тицу ‡змеом 1 × 1. Рис. 2.21. Умножение м‡тицы-стоки н‡ м‡тицу-столбец Пиме 2.30 Рисунок 2.22 пок‡зы‚‡ет поиз‚е‰ение м‡тицы 2 × 3 н‡ м‡тицу 3 × 4. В езульт‡те получ‡ем м‡тицу 2 × 4. Рис. 2.22. Умножение м‡тицы 2 × 3 н‡ м‡тицу 3 × 4 Ск‡лflное умножение Мы можем т‡кже умножить м‡тицу н‡ число (н‡зы‚‡емое ск‡лfl). Если A — м‡тиц‡ l × m и x — ск‡лfl, то C = xA — м‡тиц‡ l × m, ‚ котоой cij = x × aij. Рис. 2.23. Ск‡лflное умножение Пиме 2.31

Рисунок 2.23 пок‡зы‚‡ет пиме ск‡лflно„о умножениfl.

Детемин‡нт Детемин‡нт — ꂇ‰‡тн‡fl м‡тиц‡ A ‡зме‡ m × m, обозн‡ч‡ем‡fl к‡к det (A) — ск‡лflное ‚ычисление екуси‚но, к‡к это пок‡з‡но ниже: 62

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

1. If m = 1, det (A) = a11 2. If m > 1, det (A) = „‰е Aij получ‡етсfl из A у‰‡лением i-той стоки j-то„о столбц‡. Детемин‡нт опе‰елflетсfl только ‰лfl ꂇ‰‡тной м‡тицы. Пиме 2.32 Рисунок 2.24 пок‡зы‚‡ет, к‡к можно ‚ычислить ‰етемин‡нт м‡тицы 2 × 2, б‡зиуflсь н‡ ‰етемин‡нте м‡тицы 1 × 1 и используfl пи‚е‰енное ‚ыше екуси‚ное опе‰еление. Пиме ‰ок‡зы‚‡ет, что к‡ m 1 или 2, это поз‚олflет н‡йти ‰етемин‡нт м‡тицы ‰ост‡точно посто. Рис. 2.24 Вычисление ‰етемин‡нт‡ м‡тицы 2 × 2 Пиме 2.33 Рисунок 2.25 пок‡зы‚‡ет ‚ычисление ‰етемин‡нт‡ м‡тицы 3 × 3. Рис.2.25. Вычисление ‰ете‡мин‡н‡т‡ м‡тицы 3 × 3

Ин‚есии М‡тицы имеют ‡‰‰ити‚ные и мультиплик‡ти‚ные ин‚есии. А‰‰ити‚н‡fl ин‚есиfl А‰‰ити‚н‡fl ин‚есиfl м‡тицы — это ‰у„‡fl м‡тиц‡ B, т‡к‡fl, что A + B = 0. Ду„ими слми, мы имеем элементы bij = –aij ‰лfl ‚сех зн‡чений i и j. Обычно ‡‰‰ити‚н‡fl ин‚есиfl A обозн‡ч‡етсfl к‡к (-A). Мультиплик‡ти‚н‡fl ин‚есиfl Мультиплик‡ти‚н‡fl ин‚есиfl опе‰елен‡ только ‰лfl ꂇ‰‡тных м‡тиц. Мультиплик‡ти‚н‡fl ин‚есиfl ꂇ‰‡тной м‡тицы A — ꂇ‰‡тн‡fl м‡тиц‡ B, т‡к‡fl, что A × B = B × A = I. Обычно мультиплик‡ти‚н‡fl ин‚есиfl обозн‡ч‡етсfl к‡к A-1. Мультиплик‡ти‚н‡fl ин‚есиfl сущест‚ует только, если det (A) имеет мультиплик‡ти‚ную ин‚есию ‚ соот‚етст‚ующем ин‚есном множест‚е. Если целое число не имеет мультиплик‡ти‚ной ин‚есии ‚ Z, то не сущест‚ует мультиплик‡-

ти‚ной ин‚есии м‡тицы ‚ Z. О‰н‡ко м‡тицы с е‡льными элемент‡ми имеют ин‚есии, только если det (A) ≠ 0. Мультиплик‡ти‚ные ин‚есии опе‰елены только ‰лfl ꂇ‰‡тных м‡тиц. 63

Кус

Кипто„‡фиfl и безоп‡сность сетей

М‡тицы ‚ычето‚ Кипто„‡фиfl использует м‡тицы ‚ычето‚: м‡тицы мо„ут со‰еж‡ть ‚се элементы из Zn. Все опе‡ции н‡ м‡тиц‡х ‚ычето‚ ‚ыполнflютсfl т‡к же, к‡к и н‡ м‡тиц‡х целых чисел, з‡ исключением то„о, что опе‡ции поиз‚о‰flтсfl ‚ мо‰ульной ‡ифметике. Есть о‰но интеесное с‚ойст‚о: м‡тиц‡ ‚ычето‚ имеет мультиплик‡ти‚ную ин‚есию, если ‰етемин‡нт м‡тицы имеет мультиплик‡ти‚ную ин‚есию ‚ Zn. Ду„ими слми, м‡тиц‡ ‚ычет‡ имеет мультиплик‡ти‚ную ин‚есию, если НОД (det (A), n) = 1. Пиме 2.34 Рисунок 2.26 пок‡зы‚‡ет м‡тицу ‚ычето‚ ‚ Zn и е„о мультиплик‡ти‚ной ин‚есии A-1. Возьмем ‰етемин‡нт det (A) = 21, котоый имеет мультиплик‡ти‚ную ин‚есию 5 ‚ Z26. Об‡тите ‚ним‡ние, что к‡ мы умнож‡ем эти ‰‚е м‡тицы, то езульт‡т — е‰иничн‡fl м‡тиц‡ мультиплик‡ти‚н‡fl м‡тиц‡, ‚ Z26. Рис. 2.26. М‡тиц‡ ‚ычето‚ и мультиплик‡ти‚н‡fl ин‚есиfl С‡‚нение Д‚е м‡тицы, с‡‚нимые по мо‰улю n, з‡писы‚‡ютсfl к‡к A ≡ B (mod n), если они имеют о‰ин‡ко‚ое число сток и столбцо‚ и ‚се соот‚етст‚ующие элементы — с‡‚нимые по мо‰улю n. Ду„ими слми, A ≡ B (mod n), если aij ≡ bij (mod n) ‰лfl ‚сех i и j.

2.4. Линейное с‡‚нение Кипто„‡фиfl ч‡сто ‚ключ‡ет ‚ себfl ешение у‡‚нениfl или множест‚‡ у‡‚нений о‰ной или более пееменных с коэффициентом ‚ Zn. Этот ‡з‰ел пок‡зы‚‡ет, к‡к еш‡ть у‡‚нениfl с о‰ним неиз‚естным, к‡ степень пееменной ‡‚н‡ 1 (линейное у‡‚нение).

Линейные у‡‚нениfl с о‰ним неиз‚естным, со‰еж‡щие с‡‚нениfl Д‡‚‡йте посмотим, к‡к еш‡ютсfl у‡‚нениfl с о‰ним неиз‚естным, со‰еж‡щие у‡‚нениfl, то есть у‡‚нениfl ax ≡ b (mod n). У‡‚нение это„о тип‡ может не иметь ни о‰но„о ешениfl или иметь о„‡ниченное число ешений. Пе‰положим, что НОД (a, n) = d. Если d | b, ешение не сущест‚ует. Если d|b, то имеетсfl d ешений. Если d|b, то ‰лfl то„о, чтобы н‡йти ешениfl, мы используем сле‰ующую ст‡те„ию. 1. Сок‡тить у‡‚нение, ‡з‰ели‚ обе стооны у‡‚нениfl (‚ключ‡fl мо‰уль) н‡ d. 2. Умножить обе стооны сок‡щенно„о у‡‚нениfl н‡ мультиплик‡ти‚ную ин‚есию, чтобы н‡йти конкетное ешение x0. 3. Общие ешениfl бу‰ут x = x0 + k (n/d) ‰лfl k = 0, 1..., (d – 1). 64

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

Пиме 2.35 Решить у‡‚нение 10x ≡ 2(mod 15). Решение Сн‡ч‡л‡ мы н‡й‰ем НОД(10,15) = 5. Полученное число 5 не ‰елитсfl н‡ 2, ешение отсутст‚ует. Пиме 2.36 Решить у‡‚нение 14x ≡ 12(mod 18). Решение З‡метим, что НОД (14, 18) = 2. Поскольку 2 ‰елит 12, мы имеем точно ‰‚‡ ешениfl, но сн‡ч‡л‡ сок‡тим у‡‚нение: 14x ≡ 12(mod 18) → 7x ≡ 6 (mod 9) → x ≡ 6(7-1)(mod 9) x0 × 6(7-1)(mod 9) = (6 × 4) (mod 9) = 6 x1= x0 + 1 × (18/2) = 15

Об‡ ешениfl, 6 и 15, у‰о‚лет‚оflют у‡‚нению с‡‚нениfl, потому что (14 × 6) mod 18 = 12, ‡ т‡кже (14 × 15) mod 18 = 12. Пиме 2.37 Решить у‡‚нение 3x + 4 ≡ 6 (mod 13). Решение Сн‡ч‡л‡ мы пи‚о‰им у‡‚нение к фоме ax ≡ b (mod n). Мы пиᇂлflем (–4) к обеим стоон‡м (4 ‡‰‰ити‚н‡fl ин‚есиfl). Получим 3x ≡ 2 (mod 13). Поскольку НОД (3, 13) = 1, у‡‚нение имеет только о‰но ешение, x0 = (2 × 3-1) mod 13 = 18 mod 13 = 5. Мы можем ‚и‰еть, что от‚ет у‰о‚лет‚оflет пе‚он‡ч‡льному у‡‚нению: 3 × 5 + 4 = 6 (mod 13). 65

Кус

Кипто„‡фиfl и безоп‡сность сетей

Систем‡ линейных у‡‚нений, со‰еж‡щих с‡‚нениfl Мы можем ешить систему линейных у‡‚нений с о‰ним и тем же мо‰улем, если м‡тиц‡, сфоминн‡fl из коэффициенто‚ системы у‡‚нений, имеет об‡тную м‡тицу. Длfl ешениfl у‡‚нениfl сост‡‚лflютсfl ти м‡тицы. Пе‚‡fl — ꂇ‰‡тн‡fl м‡тиц‡ — фомиуетсfl из коэффициенто‚ у‡‚нениfl. Вто‡fl — м‡тиц‡-столбец — сост‡‚лflетсfl из пееменных. Тетьfl — м‡тиц‡-столбец ‚ п‡‚ой стооне опе‡то‡ с‡‚нениfl — состоит из зн‡чениfl bn. Мы можем это у‡‚нение пе‰ст‡‚ить к‡к поиз‚е‰ение м‡тиц. Если обе стооны с‡‚нениfl умножить н‡ мультиплик‡ти‚ную ин‚есию пе‚ой м‡тицы, ‚ езульт‡те мы получим ешение системы у‡‚нений, к‡к это пок‡з‡но н‡ ис. 2.27. Рис. 2.27. Систем‡ линейных у‡‚нений Пиме 2.38 Решить систему сле‰ующих тех у‡‚нений: 3x + 5y + 7z ≡ 3 (mod 16) x + 4y + 13z ≡ 5 (mod 16) 2x + 7y + 3z ≡ 4 (mod 16) Решение З‰есь x, y и z и„‡ют оли x1, x2, и x3. М‡тиц‡, сфоминн‡fl из коэффициенто‚ у‡‚нений, — об‡тим‡. Мы н‡хо‰им мультиплик‡ти‚ную ин‚есию м‡тицы и умнож‡ем ее н‡ м‡тицу столбц‡, сфоминную из 3, 5 и 4. Результ‡т — x ≡ 15 (mod 16), y ≡ 4 (mod 16) и z ≡ 14 (mod 16). Мы можем по‚еить от‚ет, по‰ст‡‚лflfl эти зн‡чениfl ‚ у‡‚нениfl.

2.5. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и Несколько кни„ ‰‡ют постой, но полный ох‚‡т теоии чисел: [Ros06], [Sch99], [Cou99] и [BW00]. М‡тицы обсу扇ютсfl ‚ любой кни„е по линейной ‡л„ебе; [LEF04], [DF04] и [Dur05] — это хоошие кни„и ‰лfl н‡чин‡ющих.

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, ‡ссмотенных ‚ этой лекции. http:en.wikipedia.org/wiki/Euclidean_algorithm http:en.wikipedia.org/wiki/Multiplicative_inverse http:en.wikipedia.org/wiki/Additive-inverse 66

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

2.6. Ито„и • Множест‚о целых чисел, обозн‡ч‡емое Z, со‰ежит ‚се целые числ‡ от отиц‡тельной бесконечности ‰о положительной бесконечности. Длfl целых чисел опе‰елены ти общих бин‡ных опе‡ции — сложение, ‚ычит‡ние и умножение. Деление не у‰о‚лет‚оflет опе‰елению бин‡ности, потому что тебует ‰‚‡ ‚ых ‚место о‰но„о. • В ‡ифметике целых чисел, если мы ‰елим a н‡ n, мы можем получить q и r. Отношение меж‰у этими четыьмfl целыми числ‡ми можно пок‡з‡ть к‡к q × n + r. Мы „о‚оим a|b, если a = q × n. В этой лекции мы ‡ссмотели четые с‚ойст‚‡ теоии ‰елимости. • Д‚‡ положительных целых числ‡ мо„ут иметь больше чем о‰ин общий ‰елитель. Но мы обычно интеесуемсfl н‡ибольшим общим ‰елителем. Ал„оитм Е‚кл艇 ‰‡ет эффекти‚ный и систем‡тический ‡л„оитм ‚ычислениfl н‡ибольше„о обще„о ‰елителfl ‰‚ух целых чисел. • Р‡сшиенный ‡л„оитм Е‚кл艇 может ‚ычислить НОД (a, b) и ‚ычислить зн‡чение s и t, котоые у‰о‚лет‚оflют у‡‚нению as + bt = НОД (a, b). • Линейное ‰иоф‡нто‚о у‡‚нение ‰‚ух пееменных: ax + by = c. Оно имеет ч‡стное и общие ешениfl. • В мо‰ульной ‡ифметике мы интеесуемсfl только ост‡тк‡ми; мы хотим зн‡ть зн‡чение r, к‡ мы ‰елим a н‡ n. Мы используем но‚ый опе‡то, н‡з‚‡нный мо‰улем (mod), т‡кой, что a mod n = r. З‰есь n н‡зы‚‡етсfl мо‰улем, ‡ r н‡зы‚‡етсfl ‚ычетом. • Результ‡т опе‡ции по мо‰улю n — ‚с儉‡ целое число меж‰у 0 и n. Мы можем ск‡з‡ть, что опе‡циfl по мо‰улю n со片ет н‡бо, котоый ‚ мо‰ульной ‡ифметике н‡зы‚‡етсfl множест‚ом н‡именьших ‚ычето‚ по мо‰улю n, или Zn. • Отоб‡жение из Z ‚ Zn не со‚‡ют «о‰ин ‚ о‰ин». Опе‰еленные элементы Z мо„ут быть отоб‡жены ‚ элемент Zn. В мо‰ульной ‡ифметике ‚се целые числ‡ ‚ Z, отоб‡ж‡емые ‚ Zn, н‡зы‚‡ютсfl с‡‚нениflми по мо‰улю. Длfl обозн‡чениfl этой опе‡ции пименflетсfl опе‡то с‡‚нениfl (≡). • Систем‡ ‚ычето‚ [a] — множест‚о целых чисел, с‡‚нимых по мо‰улю n. Это множест‚о ‚сех целых чисел x = a (mod n). • Ти бин‡ных опе‡ции (сложение, ‚ычит‡ние и умножение), опе‰еленные ‰лfl множест‚‡ Z, мо„ут быть т‡кже опе‰елены ‰лfl множест‚‡ Zn. Пи необхо‰имости езульт‡т может быть от‡жен ‚ Zn пи помощи опе‡ции mod. • В этой лекции ‰лfl мо‰ульных опе‡тоо‚ были опе‰елены несколько с‚ойст‚. • В Zn ‰‚‡ числ‡ a и b — ‡‰‰ити‚ные ин‚есии по отношению ‰у„ к ‰у„у, если a + b ≡ 0 (mod n). Они — мультиплик‡ти‚ные ин‚есии по отношению ‰у„ к ‰у„у, если a × b ≡ 1 (mod n). Целое число a имеет мультиплик‡ти‚ную ин‚есию ‚ Zn т‡ и только т‡, к‡ НОД (n, a) = 1( a и n — ‚з‡имно постые числ‡).

67

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Р‡сшиенный ‡л„оитм Е‚кл艇 н‡хо‰ит мультиплик‡ти‚ные ин‚есии b ‚ Zn , к‡ ‰‡ны n и b и НОД (n, b) = 1. Мультиплик‡ти‚н‡fl ин‚есиfl b — это зн‡чение t пи соот‚етст‚ующем отоб‡жении ‚ Zn. • М‡тиц‡ — пflмоу„ольный м‡сси‚ l × m. элементы, „‰е l fl‚лflетсfl номеом стоки, ‡ m — номе столбц‡. Мы обозн‡ч‡ем м‡тицу 燄뇂ной бук‚ой и жиным шифтом, н‡пиме, A. Элемент aij ‡сположен ‚ i-той стоке и j-том столбце. • Д‚е м‡тицы ‡‚ны, если они имеют о‰ин‡ко‚ое число сток и столбцо‚ и соот‚етст‚ующие элементы ‡‚ны. • Сложение и ‚ычит‡ние можно ‰ел‡ть только ‰лfl м‡тиц ‡‚но„о ‡зме‡. Мы можем умножить ‰у„ н‡ ‰у„‡ ‰‚е м‡тицы ‡зличных ‡змео‚, если число столбцо‚ пе‚ой м‡тицы со‚‡ет с числом сток ‚тоой м‡тицы. • В м‡тиц‡х ‚ычето‚ ‚се элементы беутсfl из Zn . • Все опе‡ции н‡ м‡тиц‡х ‚ычето‚ по‚о‰flтсfl ‚ мо‰ульной ‡ифметике. М‡тиц‡ ‚ычет‡ имеет ин‚есию, если ‰етемин‡нт м‡тицы имеет ин‚есию. • У‡‚нение ax ≡ b (modn) не может иметь ешениfl или о„‡ниченное число ешений. Если НОД (a, n) b, то имеетсfl о„‡ниченное число ешений. • Систем‡ линейных у‡‚нений с тем же с‡мым мо‰улем может быть ешен‡, если м‡тиц‡, сфоминн‡fl из коэффициенто‚ у‡‚нений, имеет ин‚есию.

2.7. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Пок‡жите ‡зличие меж‰у Z и Zn. К‡кое из этих множест‚ может со‰еж‡ть отиц‡тельные целые числ‡? К‡к мы можем отоб‡зить целое число ‚ Z ‚ целое число ‚ Zn? 2. Пеечислите четые с‚ойст‚‡ теоии ‰елимости, обсуж‰енной ‚ этой лекции. Пи‚е‰ите пиме цело„о числ‡ с е‰инст‚енным ‰елителем. Пи‚е‰ите пиме цело„о числ‡ только с ‰‚умfl ‰елителflми. Пи‚е‰ите пиме цело„о числ‡ с более чем ‰‚умfl ‰елителflми. 3. Опе‰елите н‡ибольший общий ‰елитель ‰‚ух целых чисел. К‡кой ‡л„оитм может эффекти‚но н‡йти н‡ибольший общий ‰елитель?

5 26 4.

5.

3 123

27 127

15 21

23 96

8 5

Что т‡кое линейное ‰иоф‡нто‚о у‡‚нение ‰‚ух пееменных? Сколько ешений может иметь т‡кое у‡‚нение? К‡к может быть н‡й‰ено ешение(fl)? Что т‡кое опе‡то по мо‰улю и к‡кие у не„о имеютсfl пиложениfl? Пеечислите ‚се с‚ойст‚‡, котоые мы упомин‡ли ‚ этой лекции ‰лfl опе‡ций по мо‰улю. 68

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

6. Опе‰елите с‡‚нение и сопост‡‚ьте е„о с‚ойст‚‡ со с‚ойст‚‡ми ‡‚енст‚‡. 7. Опе‰елите систему ‚ычето‚ и н‡именьший ‚ычет. 8. К‡к ‡зниц‡ меж‰у множест‚ом Zn и множест‚ом Zn*? В к‡ком множест‚е к‡ж‰ый элемент имеет ‡‰‰ити‚ную ин‚есию? В к‡ком множест‚е к‡ж‰ый элемент имеет мультиплик‡ти‚ную ин‚есию? К‡кой ‡л„оитм используетсfl, чтобы н‡йти мультиплик‡ти‚ную ин‚есию цело„о числ‡ ‚ Zn? 9. Д‡йте опе‰еление м‡тицы. Что т‡кое м‡тиц‡-сток‡? Что т‡кое м‡тиц‡-столбец? Что т‡кое ꂇ‰‡тн‡fl м‡тиц‡? К‡к‡fl м‡тиц‡ имеет ‰етемин‡нт? К‡к‡fl м‡тиц‡ может иметь ин‚есию? 10. Опе‰елите линейное с‡‚нение. К‡кой ‡л„оитм может использтьсfl, чтобы ешить у‡‚нение ax ≡ b (mod n)? К‡к мы можем ешить н‡бо линейных у‡‚нений?

Уп‡жнениfl 11. К‡кие из сле‰ующих отношений fl‚лflютсfl истинными, ‡ к‡кие — ложными? 12. Используfl ‡л„оитм Э‚кл艇, н‡й‰ите н‡ибольший общий ‰елитель сле‰ующих п‡ целых чисел: ‡. 88 и 220 б. 300 и 42 ‚. 24 и 320 „. 401 и 700 13. Решите сле‰ующие пимеы: ‡. Д‡но НОД (a, b) = 24, н‡й‰ите НОД (a, b, 16) б. Д‡но НОД (a, b, c) = 12, н‡й‰ите НОД (a, b, c, 16) ‚. Н‡й‰ите НОД (200, 180, и 450) „. Н‡й‰ите НОД (200, 180 450 610) 14. Пе‰положим, что n — неотиц‡тельное целое число. ‡. Н‡й‰ите НОД (2n + 1, n) б. Используfl езульт‡т ч‡сти ‡, н‡й‰ите НОД (201, 100), НОД (81, 40) и НОД (501, 250) 15. Пе‰положим, что n — неотиц‡тельное целое число. ‡. Н‡й‰ите НОД (3 n + 1,2n +1). б. Используfl езульт‡т ч‡сти ‡, н‡й‰ите НОД (301, 201) и НОД (121, 81) 16. Используfl ‡сшиенный ‡л„оитм Е‚кл艇, н‡й‰ите н‡ибольший общий ‰елитель сле‰ующих п‡ и зн‡чениfl s и t: ‡. 4 и 7 б. 291 и 42 ‚. 84 и 320 „. 400 и 60 17. Н‡й‰ите езульт‡ты сле‰ующих опе‡ций: ‡. 22 mod 7 69

Кус

Кипто„‡фиfl и безоп‡сность сетей

б. 140 mod 10 ‚. –78 mod 13 „. 0 mod 15 18. Выполните сле‰ующие опе‡ции, сн‡ч‡л‡ используfl сок‡щение : ‡. (273 + 147) mod 10 б. (4223 + 17323) mod 10 ‚. (148 + 14432) mod 12 „. (2467+461) mod 12 19. Выполните сле‰ующие опе‡ции, сн‡ч‡л‡ используfl сок‡щение : ‡. (125 × 45) mod 10 б. (424 × 32) mod 10 ‚. (144 × 34) mod 12 „. (221 × 23) mod 22 20. Используfl с‚ойст‚‡ опе‡то‡ mod, ‰ок‡жите сле‰ующее: ‡. Ост‡ток от любо„о цело„о числ‡, к‡ оно ‰елитсfl н‡ 10, — с‡м‡fl п‡‚‡fl циф‡ б. Ост‡ток от любо„о цело„о числ‡, к‡ оно ‰елитсfl н‡ 100, — целое число, сост‡‚ленное из ‰‚ух с‡мых п‡‚ых циф ‚. Ост‡ток от любо„о цело„о числ‡, к‡ оно ‰елитсfl н‡ 1000, — целое число, сост‡‚ленное из тех с‡мых п‡‚ых циф 21. Из ‡ифметики из‚естно, что ост‡ток от цело„о числ‡ пи ‰елении н‡ 5 — т‡кой же, что и ост‡ток от ‰елениfl с‡мой п‡‚ой цифы н‡ 5. Используйте с‚ойст‚‡ опе‡то‡ mod, чтобы ‰ок‡з‡ть это ут‚еж‰ение. 22. Из ‡ифметики из‚естно, что ост‡ток от цело„о числ‡ пи ‰елении н‡ 2 — т‡кой же, что и ост‡ток от ‰елениfl с‡мой п‡‚ой цифы н‡ 2. Используйте с‚ойст‚‡ опе‡то‡ mod, чтобы ‰ок‡з‡ть это ут‚еж‰ение. 23. Из ‡ифметики из‚естно, что ост‡ток от цело„о числ‡ пи ‰елении н‡ 4 — т‡кой же, что и ост‡ток от ‰елениfl ‰‚ух с‡мых п‡‚ых циф н‡ 4. Используйте с‚ойст‚‡ опе‡то‡ mod, чтобы ‰ок‡з‡ть это ут‚еж‰ение. 24. Из ‡ифметики из‚естно, что ост‡ток от цело„о числ‡ пи ‰елении н‡ 8 — т‡кой же, что и ост‡ток от ‰елениfl с‡мых п‡‚ых тех циф н‡ 8. Используйте с‚ойст‚‡ опе‡то‡ mod, чтобы ‰ок‡з‡ть это ут‚еж‰ение. 25. Из ‡ифметики из‚естно, что ост‡ток от цело„о числ‡ пи ‰елении н‡ 9 — т‡кой же, к‡к и ост‡ток от ‰елениfl суммы е„о ‰есflтичных циф н‡ 9. Ду„ими слми, ост‡ток от ‰елениfl 6371 н‡ 9 — т‡кой же, к‡к пи ‰елении 17 н‡ 9, потому что 6 + 3 + 7 + 1 = 17. Используйте с‚ойст‚‡ опе‡то‡ mod, чтобы ‰ок‡з‡ть это ут‚еж‰ение. 26. Сле‰ующие уп‡жнениfl пок‡зы‚‡ют ост‡тки от степени 10 пи ‰елении н‡ 7. Мы можем ‰ок‡з‡ть, что эти зн‡чениfl бу‰ут по‚тоflтьсfl ‰лfl более ‚ысоких степеней. 100 mod 7 = 1 101 mod 7 = 3 103 mod 7 = l 104 mod 7 = –3

102 mod 7 = 2 105 mod 7 = –2

Используfl ‚ышеупомflнутую инфом‡цию, н‡й‰ите ост‡ток от ‰елениfl цело„о числ‡ н‡ 7. По‚еьте ‚‡ш мето‰ с числом 631453672. 70

Лекциfl 2

М‡тем‡тик‡ кипто„‡фии. Ч‡сть I. Мо‰ульн‡fl ‡ифметик‡, с‡‚нениfl

27. Сле‰ующие уп‡жнениfl пок‡зы‚‡ют ост‡тки от ‰елениfl степеней 10 н‡ 11. Мы можем ‰ок‡з‡ть, что эти зн‡чениfl бу‰ут по‚тоflтьсfl ‰лfl более ‚ысоких степеней. 100 mod 11 = 1 101 mod 11 = –l 102 mod 11 = 1 103 mod 11 = –1 Используfl ‚ышеупомflнутую инфом‡цию, н‡й‰ите ост‡ток от ‰елениfl цело„о числ‡ н‡ 11. По‚еьте ‚‡ш мето‰ с числом 631453672. 28. Сле‰ующие уп‡жнениfl пок‡зы‚‡ют ост‡тки от ‰елениfl степеней 10 н‡ 13. Мы можем ‰ок‡з‡ть, что эти зн‡чениfl бу‰ут по‚тоflтьсfl ‰лfl более ‚ысоких степеней. 100 mod 13 = 1 103 mod 13 = –l

101 mod 13 = –3 104 mod 13 = 3

102 mod 13 = –4 105 mod 13 = 4

Используfl ‚ышеупомflнутую инфом‡цию, н‡й‰ите ост‡ток от цело„о числ‡ пи ‰елении н‡ 13. По‚еьте ‚‡ш мето‰ с числом 631453672. 29. Н‡зн‡чим число‚ые зн‡чениfl ‰лfl 燄뇂ных бук‚ л‡тинско„о ‡лф‡‚ит‡ (A = 0, B = 1... Z = 25). Мы можем со片ть мо‰ульную ‡ифметику, используfl мо‰уль 26. a. Что fl‚лflетсfl (A + N) mod 26 ‚ этой системе? б. Чему ‡‚но (A + 6) mod 26 ‚ этой системе? ‚. Чему ‡‚но (Y – 5) mod 26 ‚ этой системе? „. Чему ‡‚но (C – 10) mod 26 ‚ этой системе? 30. Пеечислите ‚се п‡ы ‡‰‰ити‚ной ин‚есии по мо‰улю 20. 31. Пеечислите ‚се мультиплик‡ти‚ные об‡тные п‡ы по мо‰улю 20. 32. Н‡й‰ите мультиплик‡ти‚ную ин‚есию к‡ж‰о„о из сле‰ующих целых чисел ‚ Z180, используfl ‡сшиенный ‡л„оитм Е‚кл艇. ‡. 38 б. 7 ‚. 132

„. 24 33. Н‡й‰ите ч‡стное и общие ешениfl сле‰ующих линейных ‰иоф‡нто‚ых у‡‚нений: ‡. 25x + 10y = 15

71

Кус

Кипто„‡фиfl и безоп‡сность сетей

б. 19x + 13y = 20 ‚. 14x + 21y = 77 „. 40x +16y = 88 34. Пок‡жите, что нет ни о‰но„о ешениfl сле‰ующих линейных ‰иоф‡нто‚ых у‡‚нений: ‡. 15x + 12y = 13 б. 18x + 30y = 20 ‚. 15x + 25y = 69 „. 40x +30y = 98 35. Почто‚ое от‰еление пет м‡ки только з‡ 15 центо‚ и з‡ 39 центо‚. Н‡й‰ите число м‡ок, котоые ‰олжен купить клиент, чтобы опл‡тить пеесылку п‡кет‡ стоимостью 2,70$. Н‡й‰ите несколько ешений. 36. Н‡й‰ите ‚се ешениfl к‡ж‰о„о из сле‰ующих линейных у‡‚нений: ‡. 3x ≡ 4 (mod 5) б. 4x ≡ 4 (mod 6) ‚. 9x ≡ 12 (mod 7) „. 256x ≡ 442 (mod 60) 37. Н‡й‰ите ‚се ешениfl к‡ж‰о„о из сле‰ующих линейных у‡‚нений: ‡. 3x + 5 ≡ 4 (mod 5) б. 4x + 6 ≡ 4 (mod 6) ‚. 9x + 4 ≡ 12 (mod 7) „. 232x + 42 ≡ 248 (mod 50) 38. Н‡й‰ите (A × B) mod 16, используfl м‡тицы н‡ ис. 2.28. Рис. 2.28. М‡тицы ‰лfl уп‡жнениfl 38 39. Н‡ исунке 2.29 н‡й‰ите ‰етемин‡нт и мультиплик‡ти‚ную ин‚есию ‰лfl к‡ж‰ой м‡тицы ‚ычето‚ ‚ множест‚е Z10. Рис. 2.29. М‡тицы ‰лfl уп‡жнениfl 39 40. Н‡й‰ите ‚се ешениfl ‰лfl сле‰ующих систем линейных у‡‚нений: ‡. 3x + 5y ≡ 4 (mod 5) 2x + y ≡ 3 (mod 5) б. 3x + 2y ≡ 5 (mod 7) 4x + 6y ≡ 4 (mod 7) ‚. 7x + 3y ≡ 3 (mod 7) 4x + 2 y ≡ 5 (mod 7) „. 2x + 5y ≡ 5 (mod 8) x + 6y ≡ 3 (mod 8)

72

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Лекциfl 3. Т‡‰иционные шифы с симметичным ключом Цели и со‰еж‡ние Эт‡ лекциfl пе‰ст‡‚лflет собой обзо т‡‰иционных шифо‚ с симметичным ключом, котоые использлись ‚ пошлом. Изучение пинципо‚ т‡ких шифо‚ „ото‚ит чит‡телfl к сле‰ующим лекциflм, котоые ‡ссм‡т肇ют со‚еменные симметичные шифы. Эт‡ лекциfl имеет несколько целей. • Опе‰елить теминоло„ию и концепции шифо‚ с симметичным ключом. • Об‡тить ‚ним‡ние н‡ ‰‚е к‡те„оии т‡‰иционных шифо‚: шифы по‰ст‡но‚ки и шифы пеест‡но‚ки. • Опис‡ть к‡те„оии кипто‡н‡лиз‡, котоые использлись обычно ‰лfl ‚зл‡мы‚‡ниfl симметичных шифо‚. • В‚ести концепцию шифо‚ поток‡ и шифо‚ блокио‚ки. • Обсу‰ить некотоые н‡иболее ‰оминиующие шифы, котоые пименflлись ‚ пошлом, т‡кие, н‡пиме, к‡к м‡шин‡ «Эни„쇻, ‡ссмотенн‡fl ‚ этой лекции. Общ‡fl и‰еfl шифо‚ с симметичным ключом бу‰ет пе‰ст‡‚лен‡ с использнием пимео‚ из кипто„‡фии. В‚о‰имые темины и опе‰елениfl используютсfl ‚о ‚сех более поз‰них лекциflх, „‰е ечь пой‰ет о шиф‡х с симметичным ключом. З‡тем мы обсу扇ем т‡‰иционные шифы с симметичным ключом. Эти шифы не пименflютсfl се„о‰нfl, но мы изуч‡ем их по нескольким пичин‡м. Во-пе‚ых, они поще, чем со‚еменные шифы, и их ле„че понflть. Во-‚тоых, они ‰емонстиуют осно‚ы кипто„‡фии и шифниfl. Эти осно‚ы мо„ут использтьсfl ‰лfl поним‡ниfl со‚еменных шифо‚. В-тетьих, ‡сск‡з о них по‰ит н‡с к изложению пинципо‚ постоениfl и необхо‰имости со‚еменных шифо‚, потому что т‡‰иционные шифы мо„ут быть ле„ко ‡т‡кны любыми пользтелflми компьютео‚, и шифы, котоые были безоп‡сны ‚ пежнее ‚емfl, не обеспеч肇ют безоп‡сности пи со‚еменном ‡з‚итии компьютео‚.

3.1. В‚е‰ение Рисунок 3.1 иллюстиует общую и‰ею шиф‡ с симметичным ключом. Н‡ исунке 3.1 объект, Алис‡, может пе則ть сообщение ‰у„ому объекту, Бобу, по несекетному к‡н‡лу, учиты‚‡fl, что поти‚ник (н‡зо‚ем е„о Е‚‡), не может понflть со‰еж‡ние сообщениfl, посто по‰слуш肇fl е„о по к‡н‡лу. Пе‚он‡ч‡льное сообщение от Алисы Бобу н‡з‚‡но исхо‰ным текстом; сообщение, пе則‚‡емое чеез к‡н‡л, н‡з‚‡но з‡шифнным текстом. Чтобы со片ть з‡шифнный текст из исхо‰но„о текст‡, Алис‡ использует ‡л„оитм шифниfl и со‚местный ключ з‡секеч肇ниfl. Длfl то„о чтобы со片ть обычный текст из з‡шифнно„о текст‡, Боб использует ‡л„оитм ‰ешифниfl и тот же секетный ключ. Мы бу‰ем н‡зы‚‡ть со‚местное ‰ейст‚ие ‡л„оитмо‚ шифниfl и ‰ешифниfl шифо‚кой. Ключ — н‡бо зн‡чений (чисел), котоыми опеиует ‡л„оитм шифо‚ки. 73

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 3.1. Общ‡fl и‰еfl шифниfl с симметичным ключом Об‡тите ‚ним‡ние, что шифние симметичными ключ‡ми использует е‰инст‚енный ключ (ключ, со‰еж‡щий непосе‰ст‚енно н‡бо ко‰иуемых зн‡чений) и ‰лfl ко‰иниfl, и ‰лfl ‰ешифниfl. Коме то„о, ‡л„оитмы шифниfl и ‰ешифниfl — ин‚есии ‰у„ ‰у„‡. Если P — обычный текст, C — з‡шифнный текст, ‡ K — ключ, ‡л„оитм ко‰иниfl Ek(x) со片ет з‡шифнный текст из исхо‰но„о текст‡. Ал„оитм же ‰ешифниfl Dk(x) со片ет исхо‰ный текст из з‡шифнно„о текст‡. Мы пе‰по뇄‡ем, что Ek(x) и Dk(x) ин‚есны по отношению ‰у„ к ‰у„у. Они пименflютсfl, после‰о‚‡тельно пеоб‡зуfl инфом‡цию из о‰но„о ‚и‰‡ ‚ ‰у„ой и об‡тно. Мы имеем: Шифние: C = Ek (P), Р‡сшифо‚к‡: P = Dk (C) „‰е Dk(Ek (x)) = Ek (Dk(x)) = x Мы можем ‰ок‡з‡ть, что исхо‰ный текст, со片нный Бобом, тот же с‡мый, что и исхо‰ный, пе則нный Алисой. Мы пе‰по뇄‡ем, что Боб со片ет P1; мы ‰ок‡жем, что P1 = P: Алис‡: C = Ek(P)

Боб: P1 = Dk (C) = Dk (Ek(P)) = P

Мы ‰олжны по‰чекнуть, что со„л‡сно пинципу Кекхофф‡1 (пи‚е‰енному ‰‡лее) лучше ‰ел‡ть ‡л„оитм шифниfl и ‰ешифниfl откытым, но сох‡нflть ‚ т‡йне со‚местный ключ. 1

О„юст Кекхофф ( August Kerckoff) — „олл‡н‰ский кипто„‡ф, сфомули‚ший ‚ 1883 „о‰у пинципы со片ниfl и ‡спост‡нениfl ‡л„оитмо‚ шифниfl ‚ кни„е «Военн‡fl кипто„‡фиfl». 74

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Это озн‡ч‡ет, что Алис‡ и Боб ну扇ютсfl ‚ ‰у„ом з‡щищенном к‡н‡ле ‰лfl обмен‡ ключом з‡секеч肇ниfl. Алис‡ и Боб мо„ут о‰н‡ж‰ы ‚стетитьсfl и обменflтьсfl ключом лично. З‡щищенный к‡н‡л ‡н‡ло„ично пе‰ст‡‚лflет собой «‚стечу лицом к лицу» ‰лfl обмен‡ ключом. Они мо„ут т‡кже ‰о‚еитьсfl тетьему лицу, чтобы он ‰‡л им о‰ин‡ко‚ые ключи. Они мо„ут со片ть ‚еменный ключ з‡секеч肇ниfl, используfl ‰у„ой ‚и‰ ‡симметично-ключе‚ых шифо‚, котоый бу‰ет по‰обно ‡ссмотен ‚ более поз‰них лекциflх. В этой лекции мы посто пиним‡ем, что сущест‚ует ут‚еж‰енный ключ з‡секеч肇ниfl меж‰у Алисой и Бобом. Пименflfl шифние симметичными ключ‡ми, Алис‡ и Боб мо„ут использть тот же с‡мый ключ ‰лfl с‚flзи н‡ ‰у„ом н‡п‡‚лении, от Боб‡ к Алисе. Именно поэтому мето‰ н‡з‚‡н симметичным. Ду„ой элемент ‚ шифнии симметичными ключ‡ми — число ключей. Алис‡ ну扇етсfl ‚ ‰у„ом ключе з‡секеч肇ниfl, чтобы с‚flз‡тьсfl с ‰у„им чело‚еком, ск‡жем, Дэ‚и‰ом. Если есть m „упп‡ лю‰ей, ‚ котоой к‡ж‰ый ‰олжен иметь с‚flзь ‰у„ с ‰у„ом, сколько ключей необхо‰имо? От‚ет — (m×(m. – 1))/2, потому что к‡ж‰ому чело‚еку 퇉о m – 1 ключ, чтобы с‚flз‡тьсfl с ост‡льной ч‡стью „уппы, но ключ меж‰у A и B может использтьсfl ‚ обоих н‡п‡‚лениflх. В более поз‰них лекциflх мы у‚и‰им, к‡к еш‡етсfl эт‡ поблем‡. Шифние можно пе‰ст‡‚лflть себе к‡к з‡мок, котоый з‡пи‡ет flщик, со‰еж‡щий сообщение; ‰ешифние можно пе‰ст‡‚лflть себе к‡к откытие з‡мк‡ т‡ко„о flщик‡. В шифнии симметичными ключ‡ми о‰ин и тот же ключ з‡мык‡ет и ‡змык‡ет з‡мок, к‡к это пок‡з‡но н‡ ис. 3.2. В более поз‰них лекциflх бу‰ет ‡сск‡з‡но, что шифние ‡симметичными ключ‡ми ну扇етсfl ‚ ‰‚ух ключ‡х: о‰ном ‰лfl з‡мык‡ниfl, ‚тоом — ‰лfl ‡змык‡ниfl з‡мк‡.

Рис. 3.2. Шифниfl симметичными ключ‡ми, к‡к з‡мык‡ние и ‡змык‡ние зaмк‡ с тем же с‡мым ключом

Пинципы Кекхофф‡ Хотfl можно пе‰положить, что шиф был бы более безоп‡сен, если бы мы скы‚‡ли и ‡л„оитм шифниfl/‰ешифниfl, и ключ з‡секеч肇ниfl, это не екомен‰уетсfl. Со„л‡сно пинципу Кекхофф‡, нужно ‚с儉‡ пе‰по뇄‡ть, что поти‚ник — Е‚‡ — зн‡ет ‡л„оитм ко‰иниfl/‰ешифниfl. Поти‚о‰ейст‚ие шиф‡ ‡т‡ке ‰олжно б‡зитьсfl только н‡ т‡йне ключ‡. Ду„ими слми, пе‰по뇄‡етсfl, что ключ ‰олжен быть н‡столько ту‰ен, что не 퇉о скы‚‡ть ‡л„оитм ко‰иниfl/‰ешифниfl. Эти пинципи‡льные положениfl 75

Кус

Кипто„‡фиfl и безоп‡сность сетей

ст‡нут более flсны, к‡ мы бу‰ем изуч‡ть со‚еменные шифы. Длfl со‚еменных шифо‚ се„о‰нfl сущест‚ует немно„о ‡л„оитмо‚. Множест‚о ключей (Ключе‚ой ‰омен) ‰лfl к‡ж‰о„о ‡л„оитм‡, о‰н‡ко, очень большое число, что меш‡ет поти‚нику н‡йти ключ.

Кипто‡н‡лиз Кипто„‡фиfl — н‡ук‡ и искусст‚о со片ниfl секетных ко‰о‚, кипто‡н‡лиз — н‡ук‡ и искусст‚о ‚зл‡мы‚‡ниfl этих ко‰о‚. В ‰ополнение к изучению мето‰о‚ кипто„‡фии мы т‡кже ‰олжны изучить мето‰ы кипто‡н‡лиз‡. Это необхо‰имо не ‰лfl то„о, чтобы ‚зл‡мы‚‡ть ко‰ы ‰у„их лю‰ей, ‡ чтобы оценить уflз‚имые мест‡ н‡ших кипто„‡фических систем. Изучение кипто‡н‡лиз‡ помет н‡м со片‚‡ть лучшие секетные ко‰ы. Есть четые общих тип‡ ‡т‡к кипто‡н‡лиз‡, пок‡з‡нные н‡ ис. 3.3. В этой и сле‰ующих лекциflх мы бу‰ем ‡зби‡ть некотоые из этих ‡т‡к н‡ конкетные шифы.

Рис. 3.3. Ат‡ки кипто‡н‡лиз‡ Ат‡к‡ только н‡ з‡шифнный текст В ‡т‡ке только н‡ з‡шифнный текст Е‚‡ имеет ‰оступ лишь к некотоому з‡шифнному тексту. Он‡ побует н‡йти соот‚етст‚ующий ключ и исхо‰ный текст. Пи этом, со„л‡сно пе‰положению, Е‚‡ зн‡ет ‡л„оитм и может пеех‚‡тить з‡шифнный текст. Ат‡к‡ только з‡шифнно„о текст‡ — с‡м‡fl ‚еоflтн‡fl, потому что Е‚е ‰лfl нее нужен только с‡м текст. Шиф ‰олжен сеьезно пепflтст‚ть этому типу ‡т‡ки и не поз‚олить ‰ешифние сообщениfl поти‚ником. Рисунок 3.4 иллюстиует поцесс ‡т‡ки. В ‡т‡ке только н‡ з‡шифнный текст мо„ут использтьсfl ‡зличные мето‰ы. Мы ‡ссмотим з‰есь только некотоые из них. Ат‡к‡ „убой силы Пи мето‰е „убой силы, или мето‰е исчепы‚‡юще„о ключе‚о„о поиск‡, Е‚‡ побует пименить ‚се ‚озможные ключи. Мы пе‰по뇄‡ем, что Е‚‡ зн‡ет ‡л„оитм и зн‡ет множест‚о ключей (список ‚озможных ключей). Пи использнии это„о мет пеех‚‡ты‚‡етсfl исхо‰ный текст и 燉ейст‚уютсfl ‚се ‚озможные ключи, пок‡ не получитсfl исхо‰ный текст. Со片ние ‡т‡ки „убой силы было ‚ пошлом ту‰ной 燉‡чей; се„о‰нfl с помощью компьюте‡ это ст‡ло поще. Чтобы пе‰от‚‡тить этот тип ‡т‡ки, число ‚озможных ключей ‰олжно быть очень большим. 76

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Рис. 3.4. Ат‡к‡ только н‡ з‡шифнный текст Ст‡тистическ‡fl ‡т‡к‡ Кипто‡н‡литик может из‚лечь ‚ы„о‰у из некотоых с‚ойст‚енных flзыку исхо‰но„о текст‡ х‡‡ктеистик, чтобы н‡ч‡ть ст‡тистическую ‡т‡ку. Н‡пиме, мы зн‡ем, что буꂇ E — н‡иболее ч‡сто используем‡fl буꂇ ‚ ‡н„лийском тексте. Кипто‡н‡литик н‡хо‰ит н‡иболее ч‡сто используемый сим‚ол ‚ з‡шифнном тексте и пиним‡ет, что это соот‚етст‚ующий сим‚ол исхо‰но„о текст‡ — E. После опе‰елениfl нескольких п‡ ‡н‡литик может н‡йти ключ и ‡сшифть сообщение. Чтобы пе‰от‚‡тить этот тип ‡т‡ки, шиф ‰олжен скы‚‡ть х‡‡ктеистики flзык‡. Ат‡к‡ по об‡зцу Некотоые шифы скы‚‡ют х‡‡ктеистики flзык‡, но со片ют некотоые об‡зцы ‚ з‡шифнном тексте. Кипто‡н‡литик может использть ‡т‡ку по об‡зцу, чтобы ‚злом‡ть шиф. Поэтому ‚‡жно использть шифы, котоые с‰ел‡ли бы посм‡т肇емый з‡шифнный текст н‡сколько ‚озможно неопе‰еленным, ‡бст‡ктным. Ат‡к‡ зн‡ниfl исхо‰но„о текст‡ Пи ‡т‡ке зн‡ниfl исхо‰но„о текст‡ Е‚‡ имеет ‰оступ к некотоым п‡‡м «исхо‰ный/з‡шифнный текст» ‚ ‰ополнение к пеех‚‡ченному з‡шифнному тексту, котоый он‡ хочет ‚злом‡ть, к‡к пок‡з‡но н‡ ис. 3.5. П‡ы исхо‰но„о/з‡шифнно„о текст‡ были соб‡ны ‡нее. Н‡пиме, Алис‡ пее‰‡л‡ секетное сообщение Бобу, но позже откыл‡ со‰еж‡ние сообщениfl постоонним. Е‚‡ х‡нил‡ и з‡шифнный текст, и исхо‰ный текст, чтобы использть их, к‡ по퇉обитсfl ‚злом‡ть сле‰ующее секетное сообщение от Алисы Бобу, пе‰по뇄‡fl, что Алис‡ не изменит с‚ой ключ. Е‚‡ соби‡ет зн‡ниfl об отношениflх меж‰у пе‰ы‰ущей п‡ой, чтобы ‡н‡лизить текущий з‡шифнный текст. Те же с‡мые мето‰ы, используемые ‚ ‡т‡ке только ‰лfl з‡77

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 3.5. Ат‡к‡ зн‡ниfl исхо‰но„о текст‡ шифнно„о текст‡, мо„ут быть пименены з‰есь. Но эту ‡т‡ку осущест‚ить поще, потому что Е‚‡ имеет больше инфом‡ции ‰лfl ‡н‡лиз‡. О‰н‡ко может случитьсfl, что Алис‡ изменил‡ с‚ой ключ или не ‡скы‚‡л‡ со‰еж‡ниfl любых пе‰ы‰ущих сообщений, — т‡ по‰обн‡fl ‡т‡к‡ ст‡нет не‚озможной. Ат‡к‡ с ‚ыбокой исхо‰но„о текст‡ Ат‡к‡ с ‚ыбокой исхо‰но„о текст‡ по‰обн‡ ‡т‡ке зн‡ниfl исхо‰но„о текст‡, но п‡ы «исхо‰ный/з‡шифнный текст» были ‚ыб‡ны и из„ото‚лены с‡мим н‡п‡‰‡‚шим. Рисунок 3.6 иллюстиует этот поцесс.

Рис. 3.6. Ат‡к‡ с ‚ыбокой исхо‰но„о текст‡ 78

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Это может случитьсfl, н‡пиме, если Е‚‡ имеет ‰оступ к компьютеу Алисы. Он‡ ‚ыби‡ет некотоый исхо‰ный текст и со片ет с помощью компьюте‡ з‡шифнный текст. Конечно, он‡ не имеет ключ‡, потому что ключ обычно ‡змещ‡етсfl ‚ по„‡ммном обеспечении, используемом пе則тчиком. Этот тип ‡т‡ки н‡мно„о поще осущест‚ить, но он н‡именее ‚еоflтен, поскольку по‰‡зум傇ет слишком мно„о «если». Ат‡к‡ с ‚ыбоом з‡шифнно„о текст‡ Ат‡к‡ с ‚ыбоом з‡шифнно„о текст‡ по‰обн‡ ‡т‡ке с ‚ыбокой исхо‰но„о текст‡, з‡ исключением то„о, что ‚ыби‡ет некотоый з‡шифнный текст и ‡сшифо‚ы‚‡ет е„о, чтобы сфомить п‡у «з‡шифнный/исхо‰ный текст» (это случ‡етсfl, к‡ Е‚‡ имеет ‰оступ к компьютеу Боб‡). Рисунок 3.7 пок‡зы‚‡ет этот поцесс.

Рис. 3.7. Ат‡к‡ с ‚ыбоом з‡шифнно„о текст‡

К‡те„оии т‡‰иционных шифо‚ Мы можем ‡з‰елить т‡‰иционные шифы с симметичным ключом н‡ ‰‚е обшиные к‡те„оии: шифы по‰ст‡но‚ки и шифы пеест‡но‚ки. В шифе по‰ст‡но‚ки мы з‡менflем о‰ин сим‚ол ‚ з‡шифнном тексте н‡ ‰у„ой сим‚ол; ‚ шифе пеест‡но‚ки — менflем мест‡ми позиции сим‚оло‚ ‚ исхо‰ном тексте.

3.2. Шифы по‰ст‡но‚ки Шиф по‰ст‡но‚ки з‡менflет о‰ин сим‚ол ‰у„им. Если сим‚олы ‚ исхо‰ном тексте — сим‚олы ‡лф‡‚ит‡, то мы з‡менflем о‰ну бук‚у ‰у„ой. Н‡пиме, мы можем з‡менить бук‚у A бук‚ой D, ‡ бук‚у T — бук‚ой Z. Если сим‚олы — циф79

Кус

Кипто„‡фиfl и безоп‡сность сетей

ы (от 0 ‰о 9), мы можем з‡менить 3 н‡ 7 и 2 н‡ 6. Шифы по‰ст‡но‚ки мо„ут быть ‡збиты н‡ ‰‚е к‡те„оии: моно‡лф‡‚итные или мно„о‡лф‡‚итные шифы. Шиф по‰ст‡но‚ки з‡менflет о‰ин сим‚ол ‰у„им.

Моно‡лф‡‚итные шифы Сн‡ч‡л‡ обсу‰им шифы по‰ст‡но‚ки, н‡зы‚‡емые моно‡лф‡‚итными шиф‡ми. В т‡кой по‰ст‡но‚ке буꂇ (или сим‚ол) ‚ исхо‰ном тексте ‚с儉‡ изменflетсfl н‡ о‰ну и ту же бук‚у (или сим‚ол) ‚ з‡шифнном тексте не燂исимо от е„о позиции ‚ тексте. Н‡пиме, если ‡л„оитм опе‰елflет, что буꂇ A ‚ исхо‰ном тексте менflетсfl н‡ бук‚у D, то пи этом к‡ж‰‡fl буꂇ A изменflетсfl н‡ бук‚у D. Ду„ими слми, бук‚ы ‚ исхо‰ном тексте и з‡шифнном тексте н‡хо‰flтсfl ‚ отношении «о‰ин к о‰ному». В моно‡лф‡‚итной по‰ст‡но‚ке отношениfl меж‰у бук‚ой ‚ исхо‰ном тексте и бук‚ой ‚ з‡шифнном тексте — «о‰ин к о‰ному». Пиме 3.1 Пи‚е‰енный ниже пиме пок‡зы‚‡ет исхо‰ный текст и соот‚етст‚ующий ему з‡шифнный текст. Мы используем сточные сим‚олы, чтобы пок‡з‡ть исхо‰ный текст, и 燄뇂ные бук‚ы (сим‚олы ‚ехне„о е„ист‡), чтобы получить з‡шифнный текст. Шиф моно‡лф‡‚итный, потому что об‡ l з‡шифны к‡к O. Исхо‰ный текст: hello

З‡шифнный текст: KHOOR

Пиме 3.2 Пи‚е‰енный ниже пиме пок‡зы‚‡ет исхо‰ный текст и соот‚етст‚ующий ему з‡шифнный текст. Шиф не fl‚лflетсfl моно‡лф‡‚итным, потому что к‡ж‰‡fl буꂇ l (эль) з‡шифо‚‡н‡ ‡зличными сим‚ол‡ми. Пе‚‡fl буꂇ l (эль) з‡шифо‚‡н‡ к‡к N; ‚то‡fl — к‡к Z. Исхо‰ный текст: hello

З‡шифнный текст: ABNZF

А‰‰ити‚ный шиф С‡мый постой моно‡лф‡‚итный шиф — ‡‰‰ити‚ный шиф, е„о ин‡ н‡зы‚‡ют шифом с‰‚脇, ‡ ин‡ — шифом Цез‡fl, но темин ‡‰‰ити‚ный шиф лучше пок‡зы‚‡ет е„о м‡тем‡тический смысл. Пе‰положим, что исхо‰ный текст состоит из м‡леньких бук‚ (от a ‰о z) и з‡шифнный текст состоит из 燄뇂ных бук‚ (от A ‰о Z). Чтобы обеспечить пименение м‡тем‡тических опе‡ций к исхо‰ному и з‡шифнному текст‡м, мы пис‚оим к‡ж‰ой бук‚е число‚ое зн‡чение (‰лfl нижне„о и ‚ехне„о е„ист‡), к‡к это пок‡з‡но н‡ ис. 3.8. Н‡ исунке 3.8 к‡ж‰ому сим‚олу (нижний е„ист или ‚ехний е„ист) сопост‡‚лено целое число из Z26. Ключ з‡секеч肇ниfl меж‰у Алисой и Бобом — 80

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Рис. 3.8. Пе‰ст‡‚ление бук‚ исхо‰но„о текст‡ и з‡шифнно„о текст‡ ‚ Z26 т‡кже целое число ‚ Zn. Ал„оитм ко‰иниfl пиᇂлflет ключ к сим‚олу исхо‰но„о текст‡; ‡л„оитм ‰ешифниfl ‚ычит‡ет ключ из сим‚ол‡ з‡шифнно„о текст‡. Все опе‡ции по‚о‰flтсfl ‚ Zn. Рисунок 3.9 пок‡зы‚‡ет поцесс шифниfl и ‰ешифниfl.

Рис. 3.9. А‰‰ити‚ный шиф Мы можем ле„ко пок‡з‡ть, что шифние и ‰ешифние fl‚лflютсfl ин‚есными ‰у„ ‰у„у, потому что исхо‰ный текст, со片нный Бобом (P1), тот же с‡мый, что и тот, котоый пе則н Алисой (P). P1= (C – k) mod 26 = (P + k – k) mod 26 = P К‡ пименflетсfl ‡‰‰ити‚ный шиф, исхо‰ный текст, з‡шифнный текст и ключ — целые числ‡ ‚ Z26. Пиме 3.3 Используйте ‡‰‰ити‚ный шиф с ключом = 15, чтобы з‡шифть сообщение «hello». Решение Мы пименflем ‡л„оитм ко‰иниfl к исхо‰ному тексту, буꂇ з‡ бук‚ой: 81

Кус

Кипто„‡фиfl и безоп‡сность сетей

Исхо‰ный текст h → 07 Исхо‰ный текст e → 04 Исхо‰ный текст l → 11 Исхо‰ный текст l → 11 Исхо‰ный текст o → 14

Шифние (07 + 15) mod 26 Шифние (04+ 15) mod 26 Шифние (11 + 15) mod 26 Шифние (11 + 15) mod 26 Шифние (14 + 15) mod 26

Шиф. Текст 22 → W Шиф. Текст 19 → T Шиф. Текст 00 → A Шиф. Текст 00 → A Шиф. Текст 03 → D

Результ‡т — «WTAAD». Об‡тите ‚ним‡ние, что шиф моно‡лф‡‚итный, потому что ‰‚‡ отоб‡жениfl о‰ной и той же бук‚ы исхо‰но„о текст‡ (l) з‡шифны к‡к о‰ин и тот же сим‚ол (A). Пиме 3.4 Используйте шиф сложениfl с ключом = 15, чтобы ‡сшифть сообщение «WTAAD». Решение Мы пименflем ‡л„оитм ‰ешифниfl к исхо‰ному тексту буꂇ з‡ бук‚ой: Шиф. Текст W → 22 Шиф. Текст T → 19 Шиф. Текст A → 00 Шиф. Текст A → 00

Шифние (22 – 15) mod 26 Шифние (19 – 15) mod 26 Шифние (00 – 15) mod 26 Шифние (00 – 15) mod 26

Исхо‰ный текст 07 → h Исхо‰ный текст 04 → e Исхо‰ный текст 11 → l Исхо‰ный текст 11 → l

Шиф. Текст D → 03 Шифние (03 – 15) mod 26 Исхо‰ный текст 14 → 0 Результ‡т — «hello». Об‡тите ‚ним‡ние, что опе‡ции по‚о‰flтсfl по мо‰улю 26 (см. лекцию 2), отиц‡тельный езульт‡т ‰олжен быть отоб‡жен ‚ Z26 (н‡пиме, –15 ст‡но‚итсfl 11). Шиф с‰‚脇 Истоически ‡‰‰ити‚ные шифы н‡зы‚‡лись шиф‡ми с‰‚脇 — по той пичине, что ‡л„оитм шифниfl может интепетитьсfl к‡к «к뇂иш‡ с‰‚脇 бук‚ы ‚низ», ‡ ‡л„оитм ‰ешифниfl может интепетитьсfl к‡к «к뇂иши с‰‚脇 бук‚ы ‚‚ех». Н‡пиме, если ключ = 15, ‡л„оитм ко‰иниfl с‰‚脇ет бук‚у н‡ 15 бук‚ ‚низ (к концу ‡лф‡‚ит‡). Ал„оитм ‰ешифниfl с‰‚脇ет бук‚у н‡ 15 бук‚ ‚‚ех (к н‡ч‡лу ‡лф‡‚ит‡). Конечно, к‡ мы ‰ост脇ем конц‡ или н‡ч‡л‡ ‡лф‡‚ит‡, мы ‰‚脇емсfl по кольцу к н‡ч‡лу (объfl‚ленные с‚ойст‚‡ опе‡ции по мо‰улю 26). Шиф Цез‡fl Юлий Цез‡ь использо‚‡л ‡‰‰ити‚ный шиф, чтобы с‚flз‡тьсfl со с‚оими чино‚ник‡ми. По этой пичине ‡‰‰ити‚ные шифы упомин‡ютсfl ин‡ к‡к шифы Цез‡fl. Цез‡ь ‰лfl с‚оей с‚flзи б‡л цифу 3. А‰‰ити‚ные шифы упомин‡ютсfl ин‡ к‡к шифы с‰‚脇 или шифы Цез‡fl. Кипто‡н‡лиз 82

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

А‰‰ити‚ные шифы уflз‚имы к ‡т‡к‡м только з‡шифнно„о текст‡, к‡ используетсfl исчепы‚‡ющий пеебо ключей (‡т‡к‡ „убой силы). Множест‚о ключей ‡‰‰ити‚но„о шиф‡ очень м‡ло — их только 26. О‰ин из ключей, нуле‚ой, fl‚лflетсfl бесполезным (з‡шифнный текст бу‰ет посто соот‚етст‚ть исхо‰ному тексту). Сле‰о‚‡тельно, ост‡етсfl только 25 ‚озможных ключей. Е‚‡ может ле„ко н‡ч‡ть ‡т‡ку „убой силы з‡шифнно„о текст‡. Пиме 3.5 Е‚‡ пеех‚‡тил‡ з‡шифнный текст «UVACLYFZLJBYL». Пок‡жите, к‡к он‡ может ‚злом‡ть шиф, используfl ‡т‡ку „убой силы. Решение Е‚‡ побует ‡скыть текст и после‰о‚‡тельно пееби‡ет ключи н‡чин‡fl с пе‚о„о. С помощью ключ‡ номе 7 он‡ получ‡ет осмысленный текст «not very secure» (не очень безоп‡сный). З‡шифнный текст: UVACLYFZLJBYL K=1

Исхо‰ный текст: tubkxeykiaxk

K= 2

Исхо‰ный текст: styajwdxjhzwj

K= 3

Исхо‰ный текст: rsxzivewigyvi

K= 4

Исхо‰ный текст: qrwyhubvhfhuh

K= 5

Исхо‰ный текст: pqvxgtaugewtg

K= 6

Исхо‰ный текст: opuwfsztfdvst

K= 7

Исхо‰ный текст: notverysecure

Ст‡тистические ‡т‡ки А‰‰ити‚ные шифы т‡кже мо„ут быть объект‡ми ст‡тистических ‡т‡к. Это особенно е‡льно, если поти‚ник пеех‚‡тил ‰линный з‡шифнный текст. Поти‚ник может ‚оспользтьсfl зн‡ниflми о ч‡стоте употеблениfl сим‚оло‚ ‚ 83

Кус

Кипто„‡фиfl и безоп‡сность сетей

конкетном flзыке. Т‡блиц‡ 3.1 пок‡зы‚‡ет ч‡стоту поfl‚лениfl опе‰еленных бук‚ ‰лfl ‡н„лийско„о текст‡ ‰линой ‚ 100 сим‚оло‚. Т‡блиц‡ 3.1 Ч‡стот‡ поfl‚лениfl бук‚ ‚ ‡н„лийском тексте О‰н‡ко инфом‡ции о ч‡стоте е‰инст‚енно„о сим‚ол‡ не‰ост‡точно, и это з‡ту‰нflет ‡н‡лиз шифнно„о текст‡, осннный н‡ ‡н‡лизе ч‡стоты поfl‚лениfl бук‚. Весьм‡ жел‡тельно зн‡ть ч‡стоту поfl‚лениfl комбин‡ций сим‚оло‚. Мы ‰олжны зн‡ть ч‡стоту поfl‚лениfl ‚ з‡шифнном тексте комбин‡ций с ‰‚умfl

или с темfl сим‚ол‡ми и с‡‚н肇ть ее с т‡ко‚ой ч‡стотой ‚ flзыке, н‡ котоом н‡пис‡н исхо‰ный ‰окумент. Н‡иболее употеблflемые „уппы с ‰‚умfl сим‚ол‡ми (‰и‡„‡мм‡ (diagrams)) и „уппы с темfl сим‚ол‡ми (ти„‡мм‡ (trigrams)) ‰лfl ‡н„лийско„о текст‡ пок‡з‡ны ‚ т‡блице 3.2. Т‡блиц‡ 3.2 Гуппы ‰и‡„‡мм и ти„‡мм , осннные н‡ их ч‡стоте поfl‚лениfl ‚ ‡н„лийском flзыке

Пиме 3.6 Е‚‡ пеех‚‡тил‡ сле‰ующий з‡шифнный текст. Используfl ст‡тистическую ‡т‡ку, н‡й‰ите исхо‰ный текст. XLILSYWIMWRSAJSVWEPIJSVJSYVQMPPMSRHSPPEVWMXMWASVXLQSVILY-VVCFIJSVIXLIWIPPIVVIGIMZIWQSVISJJIVW Решение К‡ Е‚‡ сост‡‚ит т‡блицу ч‡стоты бук‚ ‚ этом з‡шифнном тексте, он‡ получит: I = 14, V = 13, S = 12, и т‡к ‰‡лее. С‡мый ч‡стый сим‚ол – I — имеет 14 поfl‚лений. Это пок‡зы‚‡ет, что сим‚ол I ‚ з‡шифнном тексте, ‚еоflтно, соот‚етст‚ует сим‚олу e ‚ исхо‰ном тексте. Тем с‡мым, ключ = 4. Е‚‡ ‡сшифо‚ы‚‡ет текст и получ‡ет the house is now for sale for four million dollars it is worth more hurry before the seller receives more offers ‰ом тепеь петсfl з‡ четые миллион‡ ‰олл‡о‚, стоит поспешить, пок‡ п‚ец не получил больше пе‰ложений

Мультиплик‡ти‚ные шифы 84

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Рис. 3.10. Мультиплик‡ти‚ный шиф В мультиплик‡ти‚ном шифе ‡л„оитм шифниfl пименflет умножение исхо‰но„о текст‡ ключом, ‡ ‡л„оитм ‰ешифниfl пименflет ‰еление з‡шифнно„о текст‡ ключом, к‡к пок‡з‡но н‡ ис. 3.10. О‰н‡ко поскольку опе‡ции по‚о‰flтсfl ‚ Z26, ‰ешифние з‰есь озн‡ч‡ет умножение н‡ мультиплик‡ти‚ную ин‚есию ключ‡. Об‡тите ‚ним‡ние, что ключ ‰олжен пи퇉леж‡ть н‡боу Zn* — это „‡‡нтиует, что шифние и ‰ешифние ин‚есны ‰у„ ‰у„у. В мультиплик‡ти‚ном шифе исхо‰ный текст и з‡шифнный текст — целые числ‡ ‚ Zn; ключ — целое число ‚ Zn*. Пиме 3.7 К‡ко‚о множест‚о ключей ‰лfl любо„о мультиплик‡ти‚но„о шиф‡? Решение Ключ ‰олжен быть ‚ Z26*. Это множест‚о имеет только 12 элементо‚: 1, 3, 5, 7, 9, 11, 15, 17, 19, 21, 23, 25. Пиме 3.8 Мы используем мультиплик‡ти‚ный шиф, чтобы з‡шифть сообщение «hello» с ключом 7. З‡шифнный текст «XCZZU». Исхо‰ный текст h → 07 Исхо‰ный текст e → 04 Исхо‰ный текст l → 11 Исхо‰ный текст l → 11 Исхо‰ный текст o → 14

Шифние (07 × 07) mod 26 Шифние (04 × 07) mod 26 Шифние (11 × 07) mod 26 Шифние (11 × 07) mod 26 Шифние (14 × 07) mod 26

Шиф. Текст 23 → X Шиф. Текст 02 → C Шиф. Текст 25 → Z Шиф. Текст 25 → Z Шиф. Текст 20 → U

Афинный шиф Мы можем комбинить ‡‰‰ити‚ные и мультиплик‡ти‚ные шифы, чтобы получить то, что н‡з‚‡но ‡ффинным шифом — комбин‡цией обоих шифо‚ с п‡ой 85

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 3.11. Афинный шиф ключей. Пе‚ый ключ пименflетсfl мультиплик‡ти‚ным шифом, ‚тоой — ‡‰‰ити‚ным шифом. Рисунок 3.11 ‰ок‡зы‚‡ет, что ‡финный шиф — ф‡ктически ‰‚‡ шиф‡, пименflемые о‰ин з‡ ‰у„им. Мы мо„ли бы пок‡з‡ть только о‰ну комплексную опе‡цию ‰лfl шифниfl или ‰ешифниfl, т‡кую, к‡к C = (P × k1 + k2) mod 26 и P = ((C – k2) × k1-1) mod 26. О‰н‡ко мы использли ‚еменный езульт‡т (T) и ук‡з‡ли ‰‚е от‰ельных опе‡ции, пок‡з‡‚ тем с‡мым, что ‚сflкий ‡з, к‡ мы используем комбин‡цию шифо‚, нужно убе‰итьсfl, что к‡ж‰ый из них имеет ин‚есию н‡ ‰у„ой стооне линии и что они используютсfl ‚ об‡тном поfl‰ке ‚ шифнии и ‰ешифнии. Если сложение — после‰нflfl ‡бот‡ ‚ шифнии, то ‚ычит‡ние ‰олжно быть пе‚ым ‚ ‰ешифнии. Пи ‡ффинном шифе отношение меж‰у исхо‰ным текстом P и шифнным текстом C опе‰елflетсfl, к‡к это пок‡з‡но ниже. C = (P x k1 + k2 ) mod 26 P = ((C – k2) x k1-1) mod 26 „‰е k1 мультиплик‡ти‚н‡fl ин‚есиfl k1, ‡ (– k2) – ‡‰‰ити‚н‡fl ин‚есиfl k2 -1

Пиме 3.9 Аффинный шиф пименflет п‡у ключей, ‚ котоой пе‚ый ключ из Z26*, ‡ ‚тоой — из Z26. Обл‡сть сущест‚ниfl ключей ‡‚н‡ 26 × 12 = 312. Пиме 3.10 Используйте ‡ффинный шиф, чтобы з‡шифть сообщение «hello» с ключе‚ой п‡ой (7, 2). Решение

Мы используем 7 ‰лfl мультиплик‡ти‚но„о ключ‡ и 2 ‰лfl ‡‰‰ити‚но„о ключ‡. Получ‡ем «ZEBBW». 86

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

P: h → 07 P: e → 04 P: l → 11 P: l → 11 P: o → 14

Шифние (07 × 07 +2) mod 26 Шифние (04 × 07 +2) mod 26 Шифние (11 × 07+2) mod 26 Шифние (11 × 07+2 ) mod 26 Шифние (14 × 07 +2) mod 26

C: 25 → Z C: 04 → E C: 01 → B C: 01 → B C: 22 → W

Пиме 3.11 Используйте ‡ффинный шиф, чтобы ‡сшифть сообщение «ZEBBW» с ключе‚ой п‡ой (7, 2) ‚ мо‰уле 26. Решение Чтобы н‡йти сим‚олы исхо‰но„о текст‡, пиᇂим ‡‰‰ити‚ную ин‚есию от (–2) ≡ 24 (mod 26) к полученному з‡шифнному тексту. Потом умножим езульт‡т н‡ мультиплик‡ти‚ную ин‚есию от 7-1 ≡ 15 (mod 26). Поскольку 2 имеет ‡‰‰ити‚ную ин‚есию ‚ Z26 и 7 имеет мультиплик‡ти‚ную ин‚есию ‚ Z26*, исхо‰ный текст — точно тот, что мы использли ‚ пимее 3.10. C: 25 → Z C: 04 → E C: 01 → B C: 01 → B C: 22 → W

Дешифние (07 × 07 – 2) mod 26 Дешифние (04 × 07 – 2) mod 26 Дешифние (11 × 07 – 2) mod 26 Дешифние (11 × 07 – 2) mod 26 Дешифние (14 × 07 – 2) mod 26

P: 07 → h P: 04 → e P: 11 → 1 P: 11 → l P: 14 → o

Пиме 3.12 А‰‰ити‚ный шиф — ч‡стный случ‡й ‡ффинно„о шиф‡, пи котоом k1 = 1. Мультиплик‡ти‚ный шиф — ч‡стный случ‡й ‡ффинно„о шиф‡, ‚ котоом k2 = 0. Кипто‡н‡лиз ‡ффинно„о шиф‡ Хо тfl ме то ‰ы „у бой си лы и ст‡ ти с ти че с кий ме то‰ ‡т‡ ки мо „ут пименflтьсfl только ‰лfl з‡шифнно„о текст‡, попобуем ‡т‡ку с ‚ыбокой исхо‰но„о текст‡. Пе‰положим, что Е‚‡ пеех‚‡ты‚‡ет сле‰ующий з‡шифнный текст: PWUFFOGWCHFDWIWEJOUUNJORSMDWRHVCMWJUPVCCG Е‚‡ т‡кже очень не퇉ол„о получ‡ет ‰оступ к компьютеу Алисы и имеет ‚емfl, ‰ост‡точное лишь ‰лfl то„о, чтобы н‡печ‡т‡ть исхо‰ный текст с ‰‚умfl сим‚ол‡ми: «et». Т‡ он‡ побует з‡шифть кооткий исхо‰ный текст, используfl ‰‚‡ ‡зличных ‡л„оитм‡, потому что не у‚еен‡, к‡кой из них fl‚лflетсfl ‡ффинным шифом. Длfl то„о чтобы н‡йти ключ, Е‚‡ 燉ейст‚ует сле‰ующую ст‡те„ию.

87

Кус

Кипто„‡фиfl и безоп‡сность сетей

a. Е‚‡ зн‡ет, что если пе‚ый ‡л„оитм fl‚лflетсfl ‡ффинным, он‡ может сост‡‚ить сле‰ующие у‡‚нениfl, осннные н‡ пе‚ом н‡бое ‰‡нных: e→W t→C

04 → 22 19 → 02

(04 x k1+k2) = 22 (mod 26) (19 x k1+k2) = 02 (mod 26)

К‡к мы узн‡ли ‚ лекции 2, эти ‰‚‡ у‡‚нениfl с‡‚нениfl мо„ут быть ешены (мо„ут быть н‡й‰ены зн‡чениfl k1, и k2). О‰н‡ко этот от‚ет непиемлем, потому что k1 = 16 не может быть пе‚ой ч‡стью ключ‡. Е„о зн‡чение, 16, не имеет мультиплик‡ти‚ной ин‚есии ‚ Z26*. b. Е‚‡ тепеь побует использть езульт‡т ‚тоо„о н‡бо‡ ‰‡нных: e→W t→C

04 → 22 19 → 05

(04 x k1+k2) = 22 (mod 26) (19 x k1+k2) = 05 (mod 26)

К‚‡‰‡тн‡fl м‡тиц‡ и ее ин‚есиfl — те же с‡мые, что и ‚ пе‰ы‰ущем пимее. Тепеь Е‚‡ получ‡ет k1 = 11 и k2 = 4, эт‡ п‡‡ fl‚лflетсfl пиемлемой, потому что k1 имеет мультиплик‡ти‚ную ин‚есию ‚ Z26*. Он‡ побует п‡у ключей (19, 22), котоые fl‚лflютсfl ин‚есией п‡ы (11, 4), и ‡сшифо‚ы‚‡ет сообщение. Исхо‰ный текст Best time of the year is spring when flower bloom С‡мое лучшее ‚емfl „ — ‚есн‡, к‡ ц‚етут ц‚еты

Моно‡лф‡‚итный шиф по‰ст‡но‚ки

Поскольку ‡‰‰ити‚ные, мультиплик‡ти‚ные и ‡ффинные шифы имеют м‡лое множест‚о ключей, они очень уflз‚имы к ‡т‡ке „убой силы. Алис‡ и Боб со„л‡сли е‰инст‚енный ключ, котоый они используют, чтобы з‡шифть к‡ж‰ую бук‚у ‚ исхо‰ном тексте или ‡сшифть к‡ж‰ую бук‚у ‚ з‡шифнном тексте. Ду„ими слми, ключ не燂исим от пе則‚‡емых бук‚. Лучшее ешение состоит ‚ том, чтобы со片ть отоб‡жение к‡ж‰ой бук‚ы исхо‰но„о текст‡ н‡ соот‚етст‚ующий сим‚ол з‡шифнно„о текст‡. Алис‡ и Боб мо„ут ‰о„о‚оитьсfl об отоб‡жении ‰лfl к‡ж‰ой бук‚ы и з‡пис‡ть е„о ‚ ‚и‰е т‡блицы. Рисунок 3.12 пок‡зы‚‡ет пиме т‡ко„о отоб‡жениfl. Рис. 3.12. Пиме ключ‡ ‰лfl моно‡лф‡‚итно„о шиф‡ по‰ст‡но‚ки Пиме 3.13 88

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Мы можем использть ключ, пок‡з‡нный н‡ исунке 3.12, чтобы з‡шифть сообщение This message is easy to encrypt but hard to find the key (это сообщение посто з‡шифть, но ту‰но н‡йти ключ) З‡шифнное сообщение имеет ‚и‰ ICFVQRVVNEFVRNVSIYRGAHSLIOJICNHTIYBFGTICRXRS Кипто‡н‡лиз Р‡зме ключе‚о„о пост‡нст‚‡ ‰лfl моно‡лф‡‚итно„о шиф‡ по‰ст‡но‚ки — число пеест‡но‚ок из 26, т.е. 26! (почти 4 × 1026). Это ‰ел‡ет ‡т‡ку „убой силы чез‚ыч‡йно ту‰ной ‰лfl Е‚ы, ‰‡же если он‡ использует мощный компьюте. О‰н‡ко он‡ может пименить ст‡тистическую ‡т‡ку, осннную н‡ ч‡стоте сим‚оло‚. Шиф не изменflет ч‡стоту употеблениfl сим‚оло‚. Моно‡лф‡‚итные шифы не изменflют ч‡стоту поfl‚лениfl сим‚оло‚ ‚ з‡шифнном тексте, что ‰ел‡ет шифы уflз‚имыми к ст‡тистической ‡т‡ке.

Мно„о‡лф‡‚итные шифы В мно„о‡лф‡‚итной по‰ст‡но‚ке к‡ж‰ое поfl‚ление сим‚ол‡ может иметь ‡зличную з‡мену. Отношениfl меж‰у сим‚олом ‚ исхо‰ном тексте и сим‚олом ‚ з‡шифнном тексте — «о‰ин ко мно„им». Н‡пиме, «a» может быть з‡шифно к‡к «D» ‚ н‡ч‡ле текст‡, но к‡к «N» — ‚ сее‰ине. Мно„о‡лф‡‚итные шифы имеют пеимущест‚о: они скы‚‡ют ч‡стоту поfl‚лениfl сим‚ол‡ осно‚но„о flзык‡. Е‚‡ не может использть ст‡тистическую ч‡стоту от‰ельно„о сим‚ол‡, чтобы ‚злом‡ть з‡шифнный текст. Чтобы со片ть мно„о‡лф‡‚итный шиф, мы ‰олжны с‰ел‡ть к‡ж‰ый сим‚ол з‡шифнно„о текст‡ 燂исflщим от соот‚етст‚ующе„о сим‚ол‡ исхо‰но„о текст‡ и позиции сим‚ол‡ исхо‰но„о текст‡ ‚ сообщении. Это по‰‡зум傇ет, что н‡ш ключ ‰олжен быть потоком по‰ключей, ‚ котоых к‡ж‰ый по‰ключ т‡к или ин‡че 燂исит от позиции сим‚ол‡ исхо‰но„о текст‡, котоый используетсfl ‰лfl ‚ыбо‡ по‰ключ‡ шифниfl. Ду„ими слми, мы ‰олжны иметь ключе‚ой поток k = (k1, k2, k3.….), ‚ котоом ki пименflетсfl, чтобы з‡шифть i-тый сим‚ол ‚ исхо‰ном тексте и со片ть i-тый сим‚ол ‚ з‡шифнном тексте. А‚тоключе‚ой шиф Чтобы понflть 燂исимость ключ‡ от позиции, обсу‰им постой мно„о‡лф‡‚итный шиф, н‡з‚‡нный «‡‚тоключе‚ым». В этом шифе ключ — поток по‰ключей, ‚ котоом к‡ж‰ый по‰ключ используетсfl, чтобы з‡шифть соот‚етст‚ующий сим‚ол ‚ исхо‰ном тексте. Пе‚ый по‰ключ — опе‰еленное з‡‡нее зн‡чение, т‡йно со„л‡снное Алисой и Бобом. Втоой по‰ключ — зн‡чение пе‚о„о 89

Кус

Кипто„‡фиfl и безоп‡сность сетей

сим‚ол‡ исхо‰но„о текст‡ (меж‰у 0 и 25). Тетий — зн‡чение ‚тоо„о сим‚ол‡ исхо‰но„о текст‡. И т‡к ‰‡лее. P = P1 P2 P3….. C = C1 C2 C3….. K = (k1P1, P2, P3,…..) Шифние Ci = (Pi + ki) mod 26 Дешифние Pi = (Ci – ki) mod 26 ͇炇ние шиф‡, ‡‚тоключе‚ой, по‰‡зум傇ет, что по‰ключи со片ютсfl ‡‚том‡тически ‚ 燂исимости от сим‚оло‚ шиф‡ исхо‰но„о текст‡ ‚ поцессе шифниfl. Пиме 3.14 Пе‰положим, что Алис‡ и Боб со„л‡сились использть ‡‚тоключе‚ой шиф с н‡ч‡льным ключе‚ым зн‡чением k1 = 12. Тепеь Алис‡ хочет пе則ть Бобу сообщение «Attack is today» («Ат‡к‡ — се„о‰нfl»). Шифние по‚о‰итсfl сим‚ол з‡ сим‚олом. К‡ж‰ый сим‚ол ‚ исхо‰ном тексте сн‡ч‡л‡ з‡менflетсfl е„о зн‡чением цело„о числ‡, к‡к пок‡з‡но н‡ ис. 3.8, пе‚ый по‰ключ пиᇂлflетсfl, чтобы со片ть пе‚ый сим‚ол з‡шифнно„о текст‡. Ост‡льн‡fl ч‡сть ключ‡ со片етсfl по мее чтениfl сим‚оло‚ исхо‰но„о текст‡. Об‡тите ‚ним‡ние, что шиф fl‚лflетсfl мно„о‡лф‡‚итным, потому что эти ти поfl‚лениfl «a» ‚ исхо‰ном тексте з‡шифны ‡злично. Ти ‚озникно‚ениfl «t» т‡кже з‡шифны ‡злично. Исхо‰ный текст: Зн‡чениfl P: Поток ключей Зн‡чениfl C: З‡шифнный Текст:

a t t a c k i s t o d a y 00 19 19 00 02 10 08 18 19 14 03 00 24 12 00 19 19 00 02 10 08 18 19 14 03 00 12 19 12 19 02 12 18 00 11 7 17 03 24 M

T

M

T

C

M

S

A

L

H

R

D

Y

Кипто‡н‡лиз А‚тоключе‚ой шиф ‰ейст‚ительно скы‚‡ет ст‡тистику ч‡стоты от‰ельно„о сим‚ол‡. О‰н‡ко он т‡к же уflз‚им пи ‡т‡ке с помощью „убой силы, к‡к и ‡‰‰ити‚ный шиф. Пе‚ый по‰ключ может быть только о‰ним из 25 зн‡чений (1–25).

Мы ну扇емсfl ‚ мно„о‡лф‡‚итных шиф‡х, котоые не только скы‚‡ют х‡‡ктеистики flзык‡, но и имеют большие множест‚‡ ключей. Шиф плейфее‡

1

плейфее (playfair) – и„‡ющий по п‡‚ил‡м. 90

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Ду„ой пиме мно„о‡лф‡‚итно„о шиф‡ — Шиф плейфее‡1, использ‚шийсfl бит‡нской ‡мией ‚ течение Пе‚ой мио‚ой ‚ойны. Ключ з‡секеч肇ниfl ‚ этом шифе с‰ел‡н из 25 бук‚ ‡лф‡‚ит‡, ‡змещенных ‚ м‡тице 5 × 5 (бук‚ы I и J ‡ссм‡т肇ютсfl пи шифнии к‡к о‰ин‡ко‚ые). С помощью ‡зличных со„л‡шений о ‡змещении бук‚ ‚ м‡тице можно со片ть мно„о ‡зличных ключей з‡секеч肇ниfl. О‰но из ‚озможных со„л‡шений пок‡з‡но н‡ исунке 3.13. Рис. 3.13. Пиме секетно„о ключ‡ плейфее‡ Пее‰ шифнием исхо‰ный текст ‡зб肇етсfl н‡ п‡ы; если ‰‚‡ бук‚ы п‡ы о‰ин‡ко‚ые, то, чтобы от‰елить их, ‚ст‡‚лflетсfl фикти‚н‡fl буꂇ. После ‚ст‡‚ки фикти‚ных бук‚, если число сим‚оло‚ ‚ исхо‰ном тексте нечетно, ‚ конце ‰оᇂлflетсfl о‰ин ‰ополнительный фикти‚ный сим‚ол, чтобы с‰ел‡ть число сим‚оло‚ четным. Шиф использует ти п‡‚ил‡ ‰лfl шифниfl: a. если эти ‰‚е бук‚ы-п‡ы ‡сположены ‚ о‰ной и той же стоке т‡блицы ключ‡ з‡секеч肇ниfl, соот‚етст‚ующий з‡шифнный сим‚ол ‰лfl к‡ж‰ой бук‚ы — сле‰ующий сим‚ол сп‡‚‡ ‚ той же с‡мой стоке (с ‚оз‚‡щением к н‡ч‡лу стоки; если сим‚ол исхо‰но„о текст‡ — после‰ний сим‚ол ‚ стоке); b. если эти ‰‚е бук‚ы-п‡ы ‡сположены ‚ о‰ном и том же столбце т‡блицы ключ‡ з‡секеч肇ниfl, соот‚етст‚ующий з‡шифнный сим‚ол ‰лfl к‡ж‰ой бук‚ы — сим‚ол ниже это„о ‚ том же с‡мом столбце (с ‚оз‚‡щением к н‡ч‡лу столбц‡; если сим‚ол исхо‰но„о текст‡ — после‰ний сим‚ол ‚ столбце); c. если эти ‰‚е бук‚ы-п‡ы не н‡хо‰flтсfl ‚ о‰ной стоке или столбце т‡блицы з‡секеч肇ниfl, соот‚етст‚ующий з‡шифнный сим‚ол ‰лfl к‡ж‰ой бук‚ы — сим‚ол, котоый н‡хо‰итсfl ‚ е„о собст‚енной стоке, но ‚ том же с‡мом столбце, что и ‰у„ой сим‚ол. Шиф плейфее‡ соот‚етст‚ует н‡шим китеиflм ‰лfl мно„о‡лф‡‚итно„о шиф‡. Ключ — поток по‰ключей, ‚ котоом они со片ютсfl по ‰‚‡ о‰но‚еменно. В шифе плейфее‡ поток ключей и поток шиф‡ — о‰ни и те же. Это озн‡ч‡ет, что ‚ышеупомflнутые п‡‚ил‡ можно пе‰ст‡‚ить к‡к п‡‚ил‡ ‰лfl со片ниfl поток‡ ключей. Ал„оитм ко‰иниfl беет п‡у сим‚оло‚ из исхо‰но„о текст‡ и со片ет п‡у по‰ключей, сле‰уfl ук‡з‡нным п‡‚ил‡м. Мы можем ск‡з‡ть, что поток ключей 燂исит от позиции сим‚ол‡ ‚ исхо‰ном тексте. З‡‚исимость от позиции имеет з‰есь ‡зличную интепет‡цию: по‰ключ ‰лfl к‡ж‰о„о сим‚ол‡ исхо‰но„о текст‡ 燂исит от сле‰ующе„о или пе‰ы‰уще„о «сос則». Р‡ссм‡т肇fl шиф плейфее‡, т‡ким об‡зом, можно ск‡з‡ть, что з‡шифнный текст — это ф‡ктически поток ключей. P = P1 P2 P3….. C = C1 C2 C3….. k = [(k1,k2), (k3,k4),…..] Шифние Ci = ki Дешифние Pi = ki Пиме 3.15

91

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пусть н‡м 퇉о з‡шифть исхо‰ный текст «hello», использующий ключи н‡ ис. 3.13. К‡ мы „уппиуем бук‚ы по п‡‡м, мы получ‡ем «he», ll,o». Мы ‰олжны ‚ст‡‚ить x меж‰у ‰‚умfl l (эль), после че„о получим «he, lx, lo». Мы имеем he → EC lx → QZ Исхо‰ный текст: hello

lo → BX З‡шифнный текст: ECQZBX

Мы можем ‚и‰еть из это„о пиме‡, что н‡ш шиф — ф‡ктически мно„о‡лф‡‚итный шиф: ‰‚‡ поfl‚лениfl l (эль) з‡шифны к‡к «Q» и «B». Кипто‡н‡лиз шиф‡ плейфее‡ Оче‚и‰но, ‡т‡к‡ „убой силы шиф‡ плейфее‡ очень ту‰н‡. Р‡зме ‰омен‡ — 25! (ф‡ктои‡л 25). Коме то„о, шифо‚к‡ скы‚‡ет ч‡стоту от‰ельных бук‚. О‰н‡ко ч‡стоты ‰‚ухбук‚енных комбин‡ций (‰и‡„‡мм) сох‡нены (‰о некотоой степени из-з‡ ‚ст‡‚ки н‡полнителfl), т‡к что кипто‡н‡литик может использть ‡т‡ку только ‰лfl з‡шифнно„о текст‡, осннную н‡ испыт‡нии ч‡стоты ‰и‡„‡мм, чтобы н‡йти ключ. Шиф Вижене‡ О‰ин интеесный ‚и‰ мно„о‡лф‡‚итно„о шиф‡ был со片н Блезом ‰е Виженеом, ф‡нцузским м‡тем‡тиком шест퇉ц‡то„о столетиfl. Шиф Вижене‡ пименflет ‡зличную ст‡те„ию со片ниfl поток‡ ключей. Поток ключей — по‚тоение н‡ч‡льно„о поток‡ ключ‡ з‡секеч肇ниfl ‰лины m, „‰е мы имеем 1 < m < 26. Шиф может быть опис‡н сле‰ующим об‡зом: (k1, k2, …., km) — пе‚он‡ч‡льный ключ з‡секеч肇ниfl, со„л‡снный Алисой и Бобом.

P = P1 P2 P3….. C = C1 C2 C3….. k = [(k1,k2), (k3,k4),…..] Шифние Ci = ki Дешифние Pi = ki О‰но ‚‡жное отличие меж‰у шифом Вижене‡ и ‰у„ими ‰‚умfl мно„о‡лф‡‚итными шиф‡ми, котоые мы ‡ссмотели: поток ключей Вижене‡ не 燂исит от сим‚оло‚ исхо‰но„о текст‡; он 燂исит только от позиции сим‚ол‡ ‚ исхо‰ном тексте. Ду„ими слми, поток ключей может быть со片н без зн‡ниfl сути исхо‰но„о текст‡. Пиме 3.16 Посмотим, к‡к мы можем з‡шифть сообщение «She is listening (Он‡ слуш‡ет)», используfl ключе‚ое сло‚о н‡ 6 сим‚оло‚ «PASCAL». Н‡ч‡льный поток ключей — это (15, 0, 18, 2, 0, 11). Поток ключей — по‚тоение это„о н‡ч‡льно„о поток‡ ключей (столько ‡з, сколько необхо‰имо). 92

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Пиме 3.17

Шиф Вижене‡ может ‚оспиним‡тьсfl к‡к комбин‡ции ‡‰‰ити‚ных шифо‚. Рисунок 3.14 пок‡зы‚‡ет, что исхо‰ный текст пе‰ы‰уще„о пиме‡ можно ‡ссм‡т肇ть к‡к состоflщий из нескольких ч‡стей по шесть элементо‚ ‚ к‡ж‰ом

93

Кус

Кипто„‡фиfl и безоп‡сность сетей

(хотfl ‚ о‰ном не х‚‡тило бук‚ исхо‰но„о текст‡), „‰е к‡ж‰ый из элементо‚ з‡шифн от‰ельно. Рисунок поможет н‡м позже понflть кипто‡н‡лиз шифо‚ Вижене‡. Имеетсfl m ч‡стей исхо‰но„о текст‡, к‡ж‰ый з‡шифн ‡зличным ключом, чтобы ‡з‰елить з‡шифнный текст н‡ m. ч‡стей. Пиме 3.18 Р‡зоб‡‚ пиме 3.18, мы убе‰имсfl, что ‡‰‰ити‚ный шиф — ч‡стный случ‡й шиф‡ Вижене‡, ‚ котоом m = 1. Список Вижене‡ Ду„ой способ ‡ссмотениfl шифо‚ Вижене‡ — с помощью то„о, что н‡з‚‡но списком Вижене‡ (Vigenere tableau) и пок‡з‡но ‚ т‡блице 3.3. Рис. 3.14. Шиф Вижене‡ к‡к комбин‡циfl ‡‰‰ити‚ных шифо‚ Т‡блиц‡ 3.3. Список Вижене‡ Пе‚‡fl сток‡ пок‡зы‚‡ет сим‚олы исхо‰но„о текст‡, котоый бу‰ет з‡шифн. Пе‚‡fl колонк‡ со‰ежит столбец сим‚оло‚, котоые используютсfl ключом. Ост‡льн‡fl ч‡сть т‡блицы пок‡зы‚‡ет сим‚олы з‡шифнно„о текст‡. Чтобы н‡йти з‡шифнный текст ‰лfl исхо‰но„о текст‡ «she listening», пименflfl сло‚о «PASCAL» к‡к ключ, мы можем н‡йти «s» ‚ пе‚ой стоке, «P» ‚ пе‚ом столбце, н‡ пеесечении стоки и столбц‡ — сим‚ол из з‡шифнно„о текст‡ «H». Н‡хо‰им «h» ‚ пе‚ой стоке и «A» ‚о ‚тоом столбце, н‡ пеесечении стоки и столбц‡ — сим‚ол «H» из з‡шифнно„о текст‡. И по‚тоflем те же ‰ейст‚иfl, пок‡ ‚се сим‚олы з‡шифнно„о текст‡ не бу‰ут н‡й‰ены. Кипто‡н‡лиз шиф‡ Вижене‡ Шифы Вижене‡, по‰обно ‚сем мно„о‡лф‡‚итным шиф‡м, не сох‡нflют ч‡стоту сим‚оло‚. О‰н‡ко Е‚‡ может использть некотоые мето‰ы ‰лfl то„о, чтобы ‡сшифть пеех‚‡ченный з‡шифнный текст. Кипто‡н‡лиз ‚ ‰‡нном случ‡е состоит из ‰‚ух ч‡стей: н‡хо‰flт ‰лину ключ‡ и потом непосе‰ст‚енно н‡хо‰flт ключ. 1. Были изобетены несколько мето‰о‚, чтобы н‡йти ‰лину ключ‡. О‰ин мето‰ ‡ссмотим ниже. В т‡к н‡зы‚‡емом тесте К‡зиско„о1 (Kasiski) кипто‡н‡литик ‚ з‡шифнном тексте ищет по‚тоные се„менты по к‡йней мее из тех сим‚оло‚. Пе‰положим, что н‡й‰ены ‰‚‡ се„мент‡, и ‡сстоflние меж‰у ними – d. Кипто‡н‡литик пе‰по뇄‡ет, что d|m, „‰е m — ‰лин‡ ключ‡. Если можно н‡йти больше по‚тоных се„менто‚ с ‡сстоflнием d1, d2, …., dn, т‡ НОД(d1, d2, …., dn....)/ m. Это пе‰положение ло„ично, потому что если ‰‚‡ сим‚ол‡ о‰ин‡ко‚ы и k × m. (k = 1, 2...) — сим‚олы, ‚ы‰еленные ‚ исхо‰ном тексте, то о‰ин‡ко‚ы и k × m. сим‚олы, ‚ы‰еленные ‚ з‡шифнном тексте. Кипто‡н‡литик использует се„менты по к‡йней мее из тех сим‚оло‚, чтобы избеж‡ть случ‡е‚, „‰е сим‚олы имеют о‰ин и тот же ключ. Пиме 3.20 может помочь н‡м понflть эти ‡ссуж‰ениfl.

1

Ф. К‡зиский – немецкий киптоло„, котоый ‚ 1860 „о‰у пе‰ложил тест ‰лfl ‡скытиfl кипто„‡мм. 94

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

2. После то„о к‡к ‰лин‡ ключ‡ был‡ н‡й‰ен‡, кипто‡н‡литик использует и‰ею, пок‡з‡нную ‚ пимее 3.18. З‰есь з‡шифнный текст ‰елитсfl н‡ m ‡зличных ч‡стей и пименflетсfl мето‰, используемый ‚ кипто‡н‡лизе ‡‰‰ити‚но„о шиф‡, ‚ключ‡fl ‡т‡ку ч‡стоты. ʇ扇fl ч‡сть з‡шифнно-

„о текст‡ может быть ‡сшифо‚‡н‡ и сое‰инен‡ с ‰у„ими, чтобы со片ть целый исхо‰ный текст, ‰у„ие сл. Весь з‡шифнный текст не сох‡нflет ч‡стоту от‰ельной бук‚ы исхо‰но„о текст‡, но к‡ж‰‡fl ч‡сть ‰ел‡ет это. Пиме 3.19

Пе‰положим, что мы пеех‚‡тили сле‰ующий з‡шифнный текст: LIOMWGFEGGDVWGHHCQUCRHRWAGWIOWQLKGZETKKMEVLWPCZVGTHVTSGXQOVGCSVETQLTJSUMVWVEUVLXEWSLGFZMVVWLGYHCUSWXQHKVGSHEEVFLCFDGVSUMPHKIRZDMPHHBVWVWJWIXGFWLTSHGJOUEEHHVUCFVGOWICQLIJSUXGLW Тест К‡зиско„о н‡ по‚тоение се„менто‚ из тех сим‚оло‚ пи‚о‰ит к езульт‡т‡м, пок‡з‡нным ‚ т‡блице 3.14. Т‡блиц‡ 3.4. Тест К‡зиско„о ‰лfl пиме‡ 3.19 Н‡ибольший ‰елитель — 4, что озн‡ч‡ет ‰лину ключ‡, попоцион‡льную 4. Сн‡ч‡л‡ побуем m = 4. Делим з‡шифнный текст н‡ четые ч‡сти. Ч‡сть C1 состоит из сим‚оло‚ 1, 5, 9...; ч‡сть C2 состоит из сим‚оло‚ 2, 6, 10..., и т‡к ‰‡лее. Используем ст‡тистическую ‡т‡ку к‡ж‰ой ч‡сти от‰ельно. Пееби‡ем ‡сшифо‚ы‚‡ющиесfl ч‡сти по о‰ному сим‚олу о‰но‚еменно, чтобы получить целый исхо‰ный текст. Если исхо‰ный текст не имеет смысл‡, попобуем с ‰у„им m. В ‡ссм‡т肇емом случ‡е исхо‰ный текст имеет смысл (чит‡ем по столбц‡м). 1

Лесте С. Хилл — ‡меик‡нский киптоло„, пе‰ложи‚ший ‚ 1929 „о‰у мно„о‡лф‡‚итный шиф. 95

Кус

Кипто„‡фиfl и безоп‡сность сетей

Julius Caesar used a cryptosystem in his wars, which is now referred to as Caesar chipper. It is an additive chipper with the key set to three. Each character in the plaintext is shift three characters to create ciphertext. Пее‚о‰ это„о текст‡ пи‚е‰ен ниже. Юлий Цез‡ь использо‚‡л ‚ с‚оих ‚ойн‡х кипто„‡фическую систему, кото‡fl упомин‡етсfl тепеь к‡к шиф Цез‡fl. Это ‡‰‰ити‚ный шиф с ключом,

уст‡но‚ленным н‡ ти. К‡ж‰ый сим‚ол ‚ исхо‰ном тексте с‰‚инут н‡ ти сим‚ол‡, чтобы со片ть з‡шифнный текст. Шиф Хилл‡ Ду„ой интеесный пиме мно„о‡лф‡‚итно„о шиф‡ — шиф Хилл‡, изобетенный Лестеом С. Хиллом1. В отличие от ‰у„их мно„о‡лф‡‚итных шифо‚, котоые мы уже ‡ссмотели, з‰есь исхо‰ный текст ‡з‰елен н‡ блоки ‡‚но„о ‡зме‡. Блоки з‡шифны по о‰ному т‡ким способом, что к‡ж‰ый сим‚ол ‚ блоке ‚носит ‚к뇉 ‚ шифние ‰у„их сим‚оло‚ ‚ блоке. По этой пичине шиф Хилл‡ пи퇉лежит к к‡те„оии шифо‚, н‡з‚‡нных блочными шиф‡ми. Ду„ие шифы, котоые мы изуч‡ли ‰о сих по, пи퇉леж‡т к к‡те„оии, н‡зы‚‡емой шифы поток‡. Отличие меж‰у шиф‡ми блок‡ и шиф‡ми поток‡ обсу扇ютсfl ‚ конце этой лекции. В шифе Хилл‡ ключ — ꂇ‰‡тн‡fl м‡тиц‡ ‡зме‡ m × m., ‚ котоом m. fl‚лflетсfl ‡змеом блок‡. Если мы ‚ызы‚‡ем ключе‚ую м‡тицу K, то к‡ж‰ый элемент ki,j опе‰елflетсfl м‡тицей, к‡к пок‡з‡но н‡ ис. 3.15. Рис. 3.15. Ключ ‚ шифе Хилл‡ Пок‡жем, к‡к получ‡етсfl о‰ин блок з‡шифнно„о текст‡. Обозн‡чим m сим‚оло‚ блоко‚ исхо‰но„о текст‡ P1, P2 ..., Pm, соот‚етст‚ующие сим‚олы ‚ блок‡х з‡шифнно„о текст‡ бу‰ут C1, C2 , ..., Cm. Т‡ мы имеем C1 = P1k11 + P2k21 + .............+ Pmkm1 C2 = P1k12 + P2k22 + .............+ Pmkm2 .................................................................. Cm = P1k1m + P2k2m + .............+ Pmkmm

96

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

У‡‚нениfl пок‡зы‚‡ют, что к‡ж‰ый сим‚ол з‡шифнно„о текст‡, т‡кой, к‡к C1, 燂исит от сим‚оло‚ ‚се„о исхо‰но„о текст‡ ‚ блоке (P1, P2,..., Pm). О‰н‡ко мы ‰олжны зн‡ть, что не ‚се ꂇ‰‡тные м‡тицы имеют мультиплик‡ти‚ные ин‚есии ‚ Z26, т‡к что Алис‡ и Боб ‰олжны быть остоожны ‚ ‚ыбое ключ‡. Боб не сможет ‡сшифть з‡шифнный текст, пе則‚‡емый Алисой, если м‡тиц‡ не имеет мультиплик‡ти‚ной ин‚есии. Ключ傇fl м‡тиц‡ ‚ шифе Хилл‡ ‰олжн‡ иметь мультиплик‡ти‚ную ин‚есию. Пиме 3.20 Использние м‡тиц поз‚олflет Алисе з‡шифть ‚есь исхо‰ный текст. В этом случ‡е исхо‰ный текст – l × m — м‡тиц‡, ‚ котоой l fl‚лflетсfl номеом блоко‚. Н‡пиме, исхо‰ный текст «code is ready» («ко‰ „ото‚»), может быть пе‰ст‡‚лен к‡к м‡тиц‡ 3 пи ‰оᇂлении ‰ополнительно„о фикти‚но„о сим‚ол‡ «z» к после‰нему блоку и у‰‡лении побело‚; з‡шифнный текст ‚ы„лfl‰ит к‡к «OHKNIHGKLISS». Боб может ‡сшифть сообщение, пименflfl ин‚есную м‡тицу-ключ. Шифние и ‰ешифние пок‡з‡но н‡ ис. 3.16. Рис.3.16. Пиме 3.20 Кипто‡н‡лиз шифо‚ Хилл‡ Кипто‡н‡лиз только ‰лfl з‡шифнно„о шиф‡ми Хилл‡ текст‡ ту‰ен. Во-пе‚ых, ‡т‡к‡ „убой силы пи шифе Хилл‡ чез‚ыч‡йно сложн‡, потому что м‡тиц‡-ключ — m × m. К‡ж‰ый ‚хо‰ может иметь о‰но из 26 зн‡чений. Во-пе‚ых, это озн‡ч‡ет ‡зме ключ‡ 26m × m. О‰н‡ко, не ‚се м‡тицы имеют мультиплик‡ти‚ную ин‚есию. Поэтому обл‡сть сущест‚ниfl ключей ‚се же не т‡к‡fl о„омн‡fl. Во-‚тоых, шифы Хилл‡ не сох‡нflют ст‡тистику обычно„о текст‡. Е‚‡ не может по‚ести ‡н‡лиз ч‡стоты употеблениfl от‰ельной бук‚ы, ‰‚ух или тех бук‚. Ан‡лиз ч‡стоты сло‚ ‡зме‡ m мо„ бы c‡бот‡ть, но очень е‰ко исхо‰ный текст имеет мно„о о‰ин‡ко‚ых сток ‡зме‡ m. Е‚‡, о‰н‡ко, может 97

Кус

Кипто„‡фиfl и безоп‡сность сетей

по‚ести ‡т‡ку н‡ шиф, используfl мето‰ зн‡ниfl исхо‰но„о текст‡, если он‡ зн‡ет зн‡чение m и зн‡ет п‡ы «исхо‰ный текст/з‡шифнный текст», по к‡йней мее m блоко‚. Блоки мо„ут пи퇉леж‡ть тому же с‡мому сообщению или ‡зличным сообщениflм, но ‰олжны быть ‡зличны. Е‚‡ может со片ть ‰‚е m × m. м‡тицы, P (обычный текст) и C (з‡шифнный текст), ‚ котоом соот‚етст‚ующие стоки пе‰ст‡‚лflют из‚естные п‡ы обычно„о/з‡-

шифнно„о текст‡. Поскольку C = PK, Е‚‡ может использть отношениfl K = CP-1, чтобы н‡йти ключ, если P fl‚лflетсfl об‡тимым. Если P не fl‚лflетсfl об‡тимым, то Е‚‡ ‰олжн‡ з‡‰ейст‚ть ‡зличные н‡боы m п‡ обычно„о/з‡шифнно„о текст‡. Если Е‚‡ не зн‡ет зн‡чение m, он‡ может попобть ‡зличные зн‡чениfl пи усло‚ии, что m не fl‚лflетсfl очень большим. Пиме 3.21 Пе‰положим, что Е‚‡ зн‡ет, что m = 3. Он‡ пеех‚‡тил‡ ти п‡ы блок‡ исхо‰но„о/з‡шифнно„о текст‡ (не обflз‡тельно из то„о же с‡мо„о сообщениfl), к‡к пок‡з‡но н‡ ис. 3.17. Рис. 3.17. Пиме 3.22, фоминиfl шиф‡ з‡шифнно„о текст‡ Он‡ сост‡‚лflет м‡тицы P и C из этих п‡. Поскольку ‚ ‰‡нном случ‡е м‡тиц‡ P об‡тим‡, он‡ ин‚етиует эту м‡тицу и умнож‡ет ее н‡ C, что ‰‡ет м‡тицу ключей K, к‡к это пок‡з‡но н‡ ис. 3.18. Рис. 3.18. Пиме 3.22, поиск‡ ключ‡ Тепеь он‡ имеет ключ и может ‚злом‡ть любой шифнный текст, „‰е пименен этот ключ. О‰но‡зо‚ый блокнот О‰н‡ из целей кипто„‡фии — и‰е‡льн‡fl секетность. Иссле‰о‚‡ниfl Шеннон‡ пок‡з‡ли, что и‰е‡льн‡fl секетность может быть ‰ости„нут‡, если сим‚олы исхо‰но„о текст‡ з‡шифны с помощью ключ‡, ‚ыб‡нно„о случ‡йно из некотоой обл‡сти ключей. Н‡пиме, ‡‰‰ити‚ный шиф может быть ле„ко ‚злом‡н, 98

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

потому что используетсfl о‰ин и тот же ключ. Но ‰‡же и этот шиф может быть и‰е‡льным, к‡ ключ, котоый пименflетсfl ‰лfl шифниfl к‡ж‰о„о сим‚ол‡, ‚ыб‡н случ‡йно из множест‚‡ ключей (00, 01, 02.... 25): если пе‚ый сим‚ол з‡шифн с помощью ключ‡ 04, ‚тоой сим‚ол — с помощью ключ‡ 02, тетий — с помощью ключ‡ 21, и т‡к ‰‡лее. Ат‡к‡ «только ‰лfl з‡шифнно„о текст‡» ст‡но‚итсfl не‚озможн‡. Если пе則тчик изменflет ключ, используfl к‡ж‰ый ‡з иную случ‡йную после‰о‚‡тельность целых чисел, ‰у„ие типы ‡т‡к т‡кже бу‰ут не‚озможны. Эт‡ и‰еfl е‡лизо‚‡н‡ ‚ шифе, котоый н‡зы‚‡етсfl о‰но‡зо‚ым блокнотом. Е„о изобел ‡меик‡нский инжене Вен‡м. В этом шифе ключ имеет ту же с‡мую ‰лину, что и исхо‰ный текст, и ‚ыб‡н со‚ешенно случ‡йно.

О‰но‡зо‚ый блокнот — и‰е‡льный шиф, но е„о почти не‚озможно е‡лизть коммечески. Если ключ к‡ж‰ый ‡з „енеиуетсfl з‡но‚о, к‡к Алис‡ может сообщ‡ть Бобу но‚ый ключ? Длfl это„о к‡ж‰ый ‡з нужно пе則‚‡ть сообщение. О‰н‡ко есть некотоые случ‡и, к‡ ‚озможно использние о‰но‡зо‚о„о блокнот‡. Н‡пиме, если пези‰ент ст‡ны ‰олжен пе則ть полностью секетное сообщение пези‰енту ‰у„ой ст‡ны, он может пее‰ посылкой сообщениfl пе則ть с помощью ‰о‚еенно„о посл‡нник‡ случ‡йный ключ. Некотоые ‚опосы изменениfl шиф‡ о‰но‡зо‚о„о блокнот‡ обсу扇ютсfl ‚ ‰‡льнейших лекциflх, к‡ бу‰ет ‡ссм‡т肇тьсfl ‚‚е‰ение ‚ со‚еменную кипто„‡фию. Ротоный шиф Хотfl шифы о‰но‡зо‚о„о блокнот‡ не пименflютсfl н‡ п‡ктике, о‰ин ш‡„ от не„о к более з‡щищенному шифу — отоный шиф. Он ‚оз‚‡щ‡етсfl к и‰ее моно‡лф‡‚итной по‰ст‡но‚ки, но менflет пинцип отоб‡жениfl исхо‰но„о текс-

1 Щетки – специ‡льный ‚и‰ конт‡кт‡, котоый обеспеч肇ет сое‰инение пижной и непижной ч‡стей пибо‡ и пе‰ст‡‚лflет собой мет‡ллическую щетку, скользflщую по по‚ехности пижной ч‡сти пибо‡ (пим. е‰.). 99

Кус

Кипто„‡фиfl и безоп‡сность сетей

т‡ ‚ сим‚олы з‡шифнно„о текст‡ ‰лfl к‡ж‰о„о сим‚ол‡ исхо‰но„о текст‡. Рисунок 3.19 пок‡зы‚‡ет упощенный пиме отоно„о шиф‡. Рис. 3.19. Ротоный шиф Рото, пок‡з‡нный н‡ ис. 3.19, пименен только ‰лfl 6 бук‚, но е‡льные отоы используют 26 бук‚. Рото постоflнно с‚flзы‚‡ет сим‚олы исхо‰но„о и з‡шифнно„о тексто‚, но по‰ключение обеспеч肇етсfl щетк‡ми1. Об‡тите ‚ним‡ние, что сое‰инение сим‚оло‚ исхо‰но„о и з‡шифнно„о тексто‚ пок‡з‡но т‡к, к‡к если бы ото был поз‡чен и можно было ‚и‰еть ‚нутеннюю ч‡сть. Н‡ч‡льн‡fl уст‡но‚к‡ (позициfl) ото‡ — ключ з‡секеч肇ниfl меж‰у Алисой и Бобом — это з‡шифнный пе‚ый сим‚ол исхо‰но„о текст‡. Используетсfl н‡ч‡льн‡fl уст‡но‚к‡ и ‚тоой сим‚ол з‡шифн после то„о, к‡к по‚е‰е-

но пе‚ое ‚‡щение (н‡ ис. 3.19 — это по‚оот н‡ 1/6 ку„‡, н‡ е‡льной уст‡но‚ке — по‚оот н‡ 1/26), и т‡к ‰‡лее. Сло‚о с темfl буꂇми, т‡кими, к‡к «bee», з‡шифно к‡к «BAA», если ото непижен (моно‡лф‡‚итный шиф по‰ст‡но‚ки), но оно бу‰ет з‡шифно к‡к «BCA», если он ‚‡щ‡етсfl (отоный шиф). Это пок‡зы‚‡ет, что отоный шиф — мно„о‡лф‡‚итный шиф, потому что ‰‚‡ поfl‚лениfl то„о же с‡мо„о сим‚ол‡ исхо‰но„о текст‡ з‡шифны к‡к ‡зличные сим‚олы. Ротоный шиф fl‚лflетсfl стойким к ‡т‡ке „убой силы, к‡к моно‡лф‡‚итный шиф по‰ст‡но‚ки, потому что Е‚‡ ‰олжн‡ н‡йти пе‚ое множест‚о отоб‡жений се‰и ‚озможных 26! (ф‡ктои‡л). Ротоный шиф fl‚лflетсfl н‡мно„о более стойким к ст‡тистической ‡т‡ке, чем моно‡лф‡‚итный шиф по‰ст‡но‚ки, потому что ‚ нем не сох‡нflетсfl ч‡стот‡ употеблениfl бук‚ы. М‡шин‡ «Эни„쇻 М‡шин‡ «Эни„쇻 был‡ пе‚он‡ч‡льно изобетен‡ ‚ Себии, но был‡ изменен‡ специ‡лист‡ми немецкой ‡мии и интенси‚но использл‡сь ‚ течение 100

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Втоой Мио‚ой Войны. М‡шин‡ б‡зил‡сь н‡ пинципе шифо‚ ото‡. Рисунок 3.20 пок‡зы‚‡ет упощенную схему постоениfl м‡шины. Рис. 3.20. Пименое постоение М‡шины Эн„им‡ Ниже пеечислены „뇂ные компоненты м‡шины. 1. К뇂и‡ту‡ с 26-ю ключ‡ми, используемыми ‰лfl то„о, чтобы ‚‚о‰ить исхо‰ный текст пи шифнии, и ‰лfl то„о, чтобы ‚‚о‰ить з‡шифнный текст пи ‡сшифо‚ке. 2. Л‡мпfl п‡нель с 26-ю л‡мп‡ми, кото‡fl пок‡зы‚‡ет сим‚олы з‡шифнно„о текст‡ пи шифнии и сим‚олы исхо‰но„о текст‡ пи ‰ешифнии. 3. Коммут‡ционн‡fl п‡нель с 26-ю штепселflми, ‚учную по‰ключенными 13-ю по‚ми. Конфи„у‡циfl изменflетсfl к‡ж‰ый ‰ень, чтобы обеспечить ‡зличное скэмблиние. 4. Ти з‡монтинных ото‡, т‡кие же, к‡к ‡ссмотенные ‚ пе‰ы‰ущей секции. Эти ти ото‡ ‚ыби‡ютсfl еже‰не‚но из пflти ‰оступных отоо‚. Быстый ото ‚‡щ‡етсfl н‡ 1/26 по‚оот‡ пи к‡ж‰ом сим‚оле, ‚‚е‰енном с помощью к뇂и‡туы. Се‰ний ото ‰ел‡ет 1/26 по‚оот‡ пи к‡ж‰ом полном по‚ооте бысто„о ото‡. Ме‰ленный ото ‰ел‡ет 1/26 по‚оот‡ ‰лfl к‡ж‰о„о з‡конченно„о по‚оот‡ се‰не„о ото‡. 5. От‡ж‡тель, котоый fl‚лflетсfl постоflнным и п剂‡ительно з‡монтинным. Ко‰о‚‡fl кн脇 — сп‡‚очник шифо‚ Чтобы использть «Эни„му», был‡ из‰‡н‡ ко‰о‚‡fl кн脇, кото‡fl ‚ течение к‡ж‰о„о ‰нfl ‰‡ет несколько п‡‡мето‚ н‡стойки, ‚ключ‡fl: a. ти ото‡, котоые ‰олжны быть ‚ыб‡ны из пflти ‰оступных; b. поfl‰ок, ‚ котоом эти отоы ‰олжны быть уст‡но‚лены; c. п‡‡меты уст‡но‚ок ‰лfl коммут‡ционной п‡нели; d. ко‰ с темfl буꂇми ‰нfl. Поце‰у‡ шиф‚ш‡fl Сообщениfl Чтобы з‡шифть сообщение, опе‡то ‰олжен после‰о‚‡тельно с‰ел‡ть ш‡„и, пеечисленные ниже: 1. уст‡но‚ить ст‡то‚ую позицию отоо‚ со„л‡сно ко‰у ‰нfl. Н‡пиме, если ко‰ был «HUA», отоы ‰олжны быть иници‡лизины н‡ “H”, “U”и “A” соот‚етст‚енно; 2. ‚ыб‡ть случ‡йный ко‰ с темfl буꂇми, н‡пиме ACF. З‡шифть текст «ACFACF» (по‚тоный ко‰), используfl н‡ч‡льную уст‡но‚ку отоо‚ ш‡„‡ 1. Н‡пиме, пе‰положим, что з‡шифнный ко‰ — «OPNABT»; 3. уст‡но‚ить ст‡то‚ые позиции отоо‚ к OPN (поло‚ин‡ з‡шифнно„о к); 4. ‰оᇂить з‡шифнные шесть бук‚, полученных н‡ ш‡„е 2 («OPNABT’), ‚ конец к н‡ч‡льному сообщению; 101

Кус

Кипто„‡фиfl и безоп‡сность сетей

5. з‡шифть сообщение, ‚ключ‡fl ко‰ с 6-ю буꂇми. Пе則ть з‡шифнное сообщение. Поце‰у‡ ‰лfl ‡сшифо‚ки сообщениfl Чтобы ‡сшифо‚ы‚‡ть сообщение, опе‡то ‰олжен с‰ел‡ть сле‰ующие ш‡„и: 1. получить сообщение и от‰елить пе‚ые шесть бук‚; 2. уст‡но‚ить ст‡то‚ую позицию отоо‚ со„л‡сно ко‰у ‰нfl; 3. ‡сшифть пе‚ые шесть бук‚ писем, используfl н‡ч‡льную уст‡но‚ку ш‡„‡ 2; 4. уст‡но‚ить позиции отоо‚ н‡ пе‚ую поло‚ину ‡сшифнно„о к; 5. Р‡сшифть сообщение (без пе‚ых шести бук‚). Кипто‡н‡лиз Мы зн‡ем, что «Эни„쇻 ‚о ‚емfl ‚ойны был‡ ‚злом‡н‡, хотfl „ем‡нск‡fl ‡миfl и ост‡льн‡fl ч‡сть ми‡ не зн‡л‡ об этом ф‡кте еще несколько ‰есflтилетий после то„о. Вопос: к‡к т‡кой сложный шиф был ‡т‡кн? Немецкий flзык ‚есьм‡ сложен. Союзники, т‡к или ин‡че, получили некотоые копии м‡шин. Сле‰ующим ш‡„ом был поиск п‡‡мето‚ уст‡но‚ки ‚ течение к‡ж‰о„о ‰нfl и к, пе則‚‡емо„о ‰лfl иници‡лиз‡ции отоо‚ ‰лfl к‡ж‰о„о сообщениfl. Изобетение пе‚о„о компьюте‡ помо„ло союзник‡м пео‰олеть эти ту‰ности. По‰обное изоб‡жение м‡шины «Эни„쇻 и ее кипто‡н‡лиз может быть н‡й‰ен н‡ с‡йт‡х, пос‚flщенных этой м‡шине.

3.3. Шифы пеест‡но‚ки Шиф пеест‡но‚ки не з‡менflет о‰ним сим‚олом ‰у„ой, ‚место это„о он изменflет местоположение сим‚оло‚. Сим‚ол ‚ пе‚ой позиции исхо‰но„о текст‡ может поfl‚итьсfl ‚ ‰есflтой позиции з‡шифнно„о текст‡. Сим‚ол, котоый н‡хо‰итсfl ‚ ‚осьмой позиции исхо‰но„о текст‡, может поfl‚итьсfl ‚ пе‚ой пози-

ции з‡шифнно„о текст‡. Ду„ими слми, шиф пеест‡но‚ки ст‡‚ит ‚ ‰у„ом поfl‰ке (пеемещ‡ет) сим‚олы. Шиф пеест‡но‚ки менflет поfl‰ок сле‰о‚‡ниfl сим‚оло‚.

Шифы пеест‡но‚ки без использниfl ключ‡ Постые шифы пеест‡но‚ки, котоые пименflлись ‚ пошлом, не использли ключ. Есть ‰‚‡ мет ‰лfl пеест‡но‚ки сим‚оло‚. В пе‚ом мето‰е текст з‡писы‚‡етсfl ‚ т‡блице столбец з‡ столбцом и з‡тем пе則fiтсfl сток‡ з‡ стокой. Во ‚тоом мето‰е текст з‡пис‡н ‚ т‡блице сток‡ з‡ стокой и з‡тем пе則fiтсfl столбец з‡ столбцом. 102

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

Пиме 3.22 Хооший пиме шиф‡ без использниfl ключ‡ — шиф из„оо‰и (rail fence cipher). В этом шифе исхо‰ный текст ‡змещен н‡ ‰‚ух линиflх к‡к зи„燄ооб‡зный ш‡блон (что может ‡ссм‡т肇тьсfl к‡к столбец з‡ столбцом т‡блицы, кото‡fl имеет ‰‚е стоки); з‡шифнный текст сост‡‚лflетсfl пи чтении ш‡блон‡ сток‡ з‡ стокой. Н‡пиме, чтобы пе則ть сообщение «Meet me at the park» («Встеч‡й менfl ‚ п‡ке»), Алис‡ пишет Бобу: Алис‡ со片ет з‡шифнный текст «MEMATEAKETETHPR», посыл‡fl пе‚ую стоку, сопо‚о扇емую ‚тоой стокой. Боб получ‡ет з‡шифнный текст и ‡з‰елflет е„о попол‡м (‚ этом случ‡е ‚то‡fl поло‚ин‡ имеет н‡ о‰ин сим‚ол меньше). Пе‚‡fl поло‚ин‡ фомы — пе‚‡fl сток‡; ‚то‡fl поло‚ин‡ — ‚то‡fl сток‡. Боб чит‡ет езульт‡т по зи„燄у. Поскольку нет ник‡ко„о ключ‡ и номе сток уст‡но‚лен (2), кипто‡н‡лиз з‡шифнно„о текст‡ был бы очень пост ‰лfl Е‚ы. Все, что он‡ ‰олжн‡ зн‡ть, — это тот ф‡кт, что пименен шиф из„оо‰и. Пиме 3.23 Алис‡ и Боб мо„ут ‰о„о‚оитьсfl о числе столбцо‚ и использть ‚тоой мето‰. Алис‡ пишет тот же с‡мый исхо‰ный текст, сток‡ з‡ стокой, ‚ т‡блице из четыех столбцо‚. m e e t m e a t t h e p a r k Алис‡ со片ет з‡шифнный текст «MMTAEEHREAEK TTP», пе則‚‡fl сим‚олы столбец з‡ столбцом. Боб получ‡ет з‡шифнный текст и пименflет об‡тный поцесс. Он пишет полученное сообщение столбец з‡ столбцом и чит‡ет е„о сток‡ з‡ стокой к‡к исхо‰ный текст. Е‚‡ может ле„ко ‡сшифть сообщение, если он‡ зн‡ет число столбцо‚. Пиме 3.24 Шиф ‚ пимее 3.23 — е‡льный шиф пеест‡но‚ки. Д‡лее пок‡жем пеест‡но‚ку к‡ж‰ой бук‚ы исхо‰но„о текст‡ и з‡шифнный текст, б‡зиуflсь н‡ номе‡х их позиций. 01 ↓ 01

02 ↓ 05

03 ↓ 09

04 ↓ 13

05 ↓ 02

06 ↓ 06

07 ↓ 10

08 ↓ 14

09 ↓ 03

10 ↓ 07

11 ↓ 11

12 ↓ 15

13 ↓ 04

14 ↓ 08

15 ↓ 12

Втоой сим‚ол ‚ исхо‰ном тексте пе剂инулсfl н‡ пflтую позицию ‚ з‡шифнном тексте; тетий сим‚ол пе剂инулсfl н‡ ‰е‚flтую позицию; и т‡к ‰‡лее. Хотfl сим‚олы пеест‡‚лены, они с‡ми fl‚лflютсfl ш‡блон‡ми: (01, 05, 09, 13), (02,

103

Кус

Кипто„‡фиfl и безоп‡сность сетей

06, 10, 14), (03, 07, 11, 15) и (04, 08, 12). В к‡ж‰ой секции ‡зность меж‰у ‰‚умfl смежными номе‡ми — 4. Ключе‚ые шифы пеест‡но‚ки Бесключе‚ые шифы пеест‡‚лflют сим‚олы, используfl з‡пись исхо‰но„о текст‡ о‰ним способом (н‡пиме, сток‡ з‡ стокой) и пе則чу это„о текст‡ ‚ ‰у„ом поfl‰ке (н‡пиме, столбец з‡ столбцом). Пеест‡но‚к‡ ‰ел‡етсfl ‚о ‚сfiм исхо‰ном тексте, чтобы со片ть ‚есь з‡шифнный текст. Ду„ой мето‰ состоит ‚ том, чтобы ‡з‰елить исхо‰ный текст н‡ „уппы з‡‡нее опе‰еленно„о ‡зме‡, н‡зы‚‡емые блок‡ми, ‡ з‡тем использть ключ, чтобы пеест‡‚ить сим‚олы ‚ к‡ж‰ом блоке от‰ельно. Пиме 3.25 Алис‡ ‰олжн‡ пе則ть Бобу сообщение «Enemy attacks tonight» («В‡жеские ‡т‡ки се„о‰нfl ‚ечеом»). Алис‡ и Боб со„л‡сились ‡з‰елить текст н‡ „уппы по пflть сим‚оло‚ и з‡тем пеест‡‚ить сим‚олы ‚ к‡ж‰ой „уппе. Ниже пок‡з‡н‡ „уппио‚к‡ после ‰оᇂлениfl фикти‚но„о сим‚ол‡ ‚ конце, чтобы с‰ел‡ть после‰нюю „уппу о‰ин‡ко‚ой по ‡змеу с ‰у„ими. Enemy atttac kston ightz Ключ, используемый ‰лfl шифниfl и ‰ешифниfl, — ключ пеест‡но‚ки, котоый пок‡зы‚‡ет, к‡к пеест‡‚лflть сим‚олы. Длfl это„о сообщениfl пимем, что Алис‡ и Боб использли сле‰ующий ключ: Тетий сим‚ол ‚ блоке исхо‰но„о текст‡ ст‡но‚итсfl пе‚ым сим‚олом ‚ з‡шифнном тексте ‚ блоке, пе‚ый сим‚ол ‚ блоке исхо‰но„о текст‡ ст‡но‚ит-

104

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

сfl ‚тоым сим‚олом ‚ блоке з‡шифнно„о текст‡ и т‡к ‰‡лее. Результ‡ты пеест‡но‚ки: EEMYN TAACT TKONS HITZG Алис‡ пе則ет з‡шифнный текст «EEMYNTAACTTKONSHITZG» Бобу. Боб ‰елит з‡шифнный текст н‡ „уппы по 5 сим‚оло‚ и, используfl ключ ‚ об‡тном поfl‰ке, н‡хо‰ит исхо‰ный текст. Объе‰инение ‰‚ух по‰хо‰о‚ Со‚еменные шифы пеест‡но‚ки, чтобы ‰ости„нуть лучше„о скемблиниfl, объе‰инflют ‰‚‡ по‰х. Шифние и ‰ешифние ‰ел‡етсfl ‚ ти ш‡„‡. Пе‚ый: текст пишетсfl т‡блицей сток‡ з‡ стокой. Втоой: ‰ел‡етсfl пеест‡но‚к‡, изменflfl поfl‰ок сле‰о‚‡ниfl столбцо‚. Тетий: столбец з‡ столбцом чит‡етсfl нfl т‡блиц‡. Пе‚ые и тетьи ш‡„и обеспеч肇ют бесключе‚ое „лоб‡льное изменение

поfl‰к‡ сле‰о‚‡ниfl; ‚тоой ш‡„ обеспеч肇ет блочную ключе‚ую пеест‡но‚ку. Эти типы шифо‚ упомин‡ютсfl ч‡сто к‡к ключе‚ые шифы пеест‡но‚ки столбцо‚. Пиме 3.26 Пе‰положим, что Алис‡ сн з‡шифо‚ы‚‡ет сообщение ‚ пимее 3.25, н‡ сей ‡з используfl объе‰иненный по‰хо‰. Шифние и ‰ешифние пок‡з‡но н‡ ис. 3.21. Рис. 3.21. Пиме 3.27 Пе‚‡fl т‡блиц‡, со片нн‡fl Алисой, со‰ежит исхо‰ный текст, з‡пис‡нный сток‡ з‡ стокой. Столбцы пеест‡‚лены с пименением то„о же с‡мо„о ключ‡, что и ‚ пе‰ы‰ущем пимее. З‡шифнный текст со片н с помощью чтениfl ‚тоой

105

Кус

Кипто„‡фиfl и безоп‡сность сетей

т‡блицы столбец з‡ столбцом. Боб ‰ел‡ет те же с‡мые ти ш‡„‡ ‚ об‡тном поfl‰ке. Он считы‚‡ет т‡блицу з‡шифнно„о текст‡ столбец з‡ столбцом ‚ пе‚ую т‡блицу, пеест‡‚лflет столбцы, ‡ з‡тем чит‡ет ‚тоую т‡блицу стоку з‡ стокой. Ключи В пимее 3.27 е‰инст‚енный ключ использлсfl ‚ ‰‚ух н‡п‡‚лениflх ‰лfl изменениfl поfl‰к‡ сле‰о‚‡ниfl столбцо‚ — ‚низ ‰лfl шифниfl, ‚‚ех ‰лfl ‰ешифниfl. Обычно пинflто со片‚‡ть ‰‚‡ ключ‡ ‰лfl это„о „‡фическо„о пе‰ст‡‚лениfl: о‰ин ‰лfl шифниfl и о‰ин ‰лfl ‰ешифниfl. Ключи н‡к‡пл肇ютсfl ‚ т‡блиц‡х, имеющих о‰ин ‡‰ес (‚хо‰) ‰лfl к‡ж‰о„о столбц‡. Вхо‰ со‰ежит исхо‰ный номе столбц‡ — номе столбц‡ пункт‡ н‡зн‡чениfl, ук‡зы‚‡ющий е„о положение от номе‡ ‚х. Рисунок 3.22 пок‡зы‚‡ет, к‡к эти ‰‚е т‡блицы мо„ут быть со片ны с помощью „‡фическо„о пе‰ст‡‚лениfl ключ‡. Рис. 3.22. Шифние / ‰ешифние ‚ шифе пеест‡но‚ки Ключ шифниfl — (3 1 4 5 2). Пе‚ый ‚хо‰ пок‡зы‚‡ет, что столбец 3 (со‰еж‡ние) ‚ источнике ст‡но‚итсfl столбцом 1 (положение или ин‰екс ‚х) ‚ пункте н‡зн‡чениfl. Ключ ‰ешифниfl — (2 5 1 3 4). Пе‚ый ‚хо‰ пок‡зы‚‡ет, что столбец 2 ‚ источнике ст‡но‚итсfl столбцом 1 ‚ пункте н‡зн‡чениfl. К‡к н‡йти ключ ‰ешифниfl, если ‰‡н ключ шифниfl или, н‡обоот, ‰‡н ключ ‰ешиф‡ции? Поцесс может быть ‚ыполнен ‚учную з‡ несколько ш‡„о‚, к‡к это пок‡з‡но н‡ ис. 3.23. Сн‡ч‡л‡ ‰оᇂим ин‰ексы к т‡блице ключей,

потом с‰ел‡ем с‰‚и„ ‚ соот‚етст‚ии с полученным ключом, и, н‡конец, сотиуем п‡у со„л‡сно ин‰ексу. Рис. 3.23. Ин‚есиfl ключ‡ ‚ шифе пеест‡но‚ки Использние м‡тиц Мы можем использть м‡тицы, чтобы пок‡з‡ть поцесс шифниfl/‰ешифниfl ‰лfl шиф‡ пеест‡но‚ки. Исхо‰ный текст и з‡шифнный текст — м‡тиц‡ l × m., пе‰ст‡‚лflющ‡fl число‚ые зн‡чениfl сим‚оло‚; ключи — ꂇ‰‡тные м‡тицы ‡зме‡ m × m. В м‡тице пеест‡но‚ки к‡ж‰‡fl сток‡ или столбец имеют сто„о о‰ну е‰иницу (1), и ост‡льн‡fl ч‡сть зн‡чений — нули (0). Шифние ‚ыполнflетсfl умножением м‡тицы исхо‰но„о текст‡ н‡ ключе‚ую м‡тицу, чтобы получить м‡тицу з‡шифнно„о текст‡; ‰ешифние 106

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

поиз‚о‰им умножением з‡шифнно„о текст‡ н‡ ин‚есию ключе‚ой м‡тицы, после че„о получ‡ем исхо‰ный текст. Очень интеесно, что м‡тиц‡ ‰ешифниfl ‚ этом случ‡е, к‡к и ‚с儉‡, — ин‚есиfl м‡тицы шифниfl. О‰н‡ко нет ник‡кой необхо‰имости ин‚етить м‡тицу — ключ傇fl м‡тиц‡ шифниfl может посто быть пеест‡‚лен‡ (с‰‚и„ сток и столбцо‚), чтобы получить ключе‚ую м‡тицу ‰ешифниfl. Пиме 3.27 Рисунок 3.24 пок‡зы‚‡ет поцесс шифниfl. Умножение м‡тицы 4 × 5 исхо‰но„о текст‡ н‡ ключе‚ую м‡тицу шифниfl 5 × 5 ‰‡ет м‡тицу з‡шифнно„о текст‡ 4 × 5. М‡тичн‡fl м‡нипулflциfl тебует изменениfl сим‚оло‚ ‚ пимее 3.27 к их число‚ым зн‡чениflм (от 00 ‰о 25). Об‡тите ‚ним‡ние, что м‡тичное умножение обеспеч肇ет только пеест‡но‚ку столбцо‚; чтение и з‡пись ‚ м‡тицу ‰олжны быть обеспечены ост‡льной ч‡стью ‡л„оитм‡. Рис. 3.24. Пе‰ст‡‚ление ключ‡ ‚ ‚и‰е м‡тицы ‚ шифе пеест‡но‚ок Кипто‡н‡лиз шифо‚ пеест‡но‚ки Шифы пеест‡но‚ки уflз‚имы к нескольким ‚и‰‡м ‡т‡к только ‰лfl з‡шифнно„о текст‡. Ст‡тистическ‡fl ‡т‡к‡ Шиф пеест‡но‚ки не изменflет ч‡стоту бук‚ ‚ з‡шифнном тексте; он лишь пеест‡‚лflет бук‚ы. Т‡к что пе‚‡fl ‡т‡к‡, кото‡fl может быть пименен‡, – ‡н‡лиз ч‡стоты от‰ельной бук‚ы. Этот мето‰ может быть полезен, если ‰лин‡ з‡шифнно„о текст‡ ‰ост‡точно больш‡fl. Мы т‡кую ‡т‡ку ‡ссм‡т肇ли ‡ньше. О‰н‡ко шифы пеест‡но‚ки не сох‡нflют ч‡стоту п‡ и ти„‡мм. Это озн‡ч‡ет, что Е‚‡ не может использть т‡кие инстумент‡льные се‰ст‚‡. Ф‡ктически, если шиф не сох‡нflет ч‡стоту п‡ и ти„‡мм, но сох‡нflет ч‡стоту от‰ельных бук‚, то ‚еоflтнее ‚се„о, что это шиф пеест‡но‚ки. Ат‡к‡ „убой силы Е‚‡, чтобы ‡сшифть сообщение, может попобть ‚се ‚озможные ключи. О‰н‡ко число ключей может быть о„омно: 1! + 2! + 3! + • • • + L!, „‰е L — ‰лин‡ з‡шифнно„о текст‡. Лучший по‰хо‰ состоит ‚ том, чтобы попобть от„‡‰‡ть число столбцо‚. Е‚‡ зн‡ет, что число столбцо‚ ‰елитсfl н‡ L. Н‡пиме, если ‰лин‡ шиф‡ — 20 сим‚оло‚, то 20 =1 x 2 x 2 x 5. Это озн‡ч‡ет, что номеом столбцо‚ может быть комбин‡циfl этих коэффициенто‚ (1, 2, 4, 5, 10, 20). О‰н‡ко только о‰ин столбец и только о‰н‡ сток‡ — м‡ло‚еоflтные ‚‡и‡нты. Пиме 3.28 Пе‰положим, что Е‚‡ пеех‚‡тил‡ сообщение з‡шифнно„о текст‡ «EEMYNTAACTTKONSHITZG». Длин‡ сообщениfl L = 20, число столбцо‚ может быть 1, 2, 4, 5, 10 или 20. Е‚‡ и„ноиует пе‚ое зн‡чение, потому что это озн‡ч‡ет «только о‰ин столбец» и м‡ло‚еоflтно. 107

Кус

Кипто„‡фиfl и безоп‡сность сетей

a. Если число столбцо‚ — 2, е‰инст‚енные ‰‚е пеест‡но‚ки — (1,2) и (2, 1). Пе‚ое озн‡ч‡ет, что пеест‡но‚ки не было. Е‚‡ побует ‚тоую комбин‡цию. Он‡ ‰елит з‡шифнный текст н‡ мо‰ули по ‰‚‡ сим‚ол‡ “EE MY NT AA CT TK ON SH IT ZG». З‡тем он‡ побует пеест‡‚лflть к‡ж‰ый мо‰уль из них, получ‡fl текст «ee ym nt aa tc kt no hs ti gz», котоый не имеет смысл‡. b. Если номе столбцо‚ — 4, т‡ имеетсfl 4! = 24 пеест‡но‚ки. Пе‚‡fl пеест‡но‚к‡ (1 2 3 4) озн‡ч‡ет, что не было ник‡кой пеест‡но‚ки. Е‚‡ ‰олжн‡ попобть ост‡льные. После испыт‡ниfl ‚сех 23 ‚озможностей Е‚‡ н‡хо‰ит, что ник‡кой исхо‰ный текст пи т‡ких пеест‡но‚к‡х не имеет смысл‡. c. Если число столбцо‚ — 5, т‡ есть 5! = 120 пеест‡но‚ок. Пе‚‡fl (1 2 3 4 5) озн‡ч‡ет отсутст‚ие пеест‡но‚ки. Е‚‡ ‰олжн‡ попобть ост‡льные. Пеест‡но‚к‡ (2 5 13 4) пиносит пло‰ы — исхо‰ный текст «enemyattackstonightz», котоый имеет смысл после у‰‡лениfl фикти‚ной бук‚ы z и ‰оᇂлениfl побело‚. Ат‡к‡ по об‡зцу Ду„‡fl ‡т‡к‡ шиф‡ пеест‡но‚ки может быть н‡з‚‡н‡ ‡т‡кой по об‡зцу. З‡шифнный текст, со片нный с помощью ключе‚о„о шиф‡ пеест‡но‚ки,

108

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

имеет некотоые по‚тоflющиесfl об‡зцы. Сле‰ующий пиме пок‡зы‚‡ет з‡шифнный текст, относительно котоо„о из‚естно, что к‡ж‰ый сим‚ол ‚ з‡шифнном тексте ‚ пимее 3.28 получ‡етсfl из исхо‰но„о текст‡ по сле‰ующему п‡‚илу: 03 08 13 18 01 06 11 16 04 09 14 19 05 10 15 20 02

07 12 17

1-й сим‚ол ‚ з‡шифнном тексте получ‡етсfl из 3-„о сим‚ол‡ исхо‰но„о текст‡. 2-й сим‚ол ‚ з‡шифнном тексте получ‡етсfl из 8-„о сим‚ол‡ исхо‰но„о текст‡. 20-й сим‚ол ‚ з‡шифнном тексте получ‡етсfl из 17-„о сим‚ол‡ исхо‰но„о текст‡, и т‡к ‰‡лее. У н‡с имеютсfl об‡зцы ‚ ‚ышеупомflнутом списке. Мы имеем пflть „упп: (3, 8, 13, 18), (1, 6, 11, 16), (4, 9, 14, 19), (5, 10, 15, 20) и (2, 7, 12, 17). Во ‚сех „упп‡х ‡зность меж‰у ‰‚умfl смежными номе‡ми — 5. Эт‡ е„улflность может использтьсfl кипто‡н‡литиком, чтобы ‚злом‡ть шиф. Если Е‚‡ зн‡ет или может пе‰положить число столбцо‚ (‚ этом случ‡е оно ‡‚нflетсfl 5), он‡ может пеоб‡зть з‡шифнный текст ‚ „уппы по четые сим‚ол‡. Пеест‡но‚к‡ „упп может обеспечить ключ к н‡хож‰ению исхо‰но„о текст‡. Шифы c ‰‚ойной пеест‡но‚кой Шифы с ‰‚ойной пеест‡но‚кой мо„ут з‡ту‰нить ‡боту кипто‡н‡литик‡. Пимеом т‡ко„о шиф‡ fl‚лflетсfl по‚тоение ‰‚‡ж‰ы ‡л„оитм‡, используемо„о ‰лfl шифниfl и ‰ешифниfl ‚ пимее 3.26. Н‡ к‡ж‰ом ш‡„е может пименflтьсfl ‡зличный ключ, но обычно ключ используетсfl о‰ин и тот же. Пиме 3.29 По‚тоим пиме 3.26, „‰е использо‚‡н‡ ‰‚ойн‡fl пеест‡но‚к‡. Рисунок 3.25 пок‡зы‚‡ет поцесс. Рис. 3.25. Д‚ойной шиф пеест‡но‚ки Хотfl кипто‡н‡литик может еще использть ч‡стоту поfl‚лениfl от‰ельно„о сим‚ол‡ ‰лfl ст‡тистической ‡т‡ки н‡ з‡шифнный текст, ‡т‡к‡ по об‡зцу тепеь з‡ту‰нен‡. Об‡зец ‡н‡лиз‡ текст‡ ‚ы„лfl‰ить т‡к: 13 16 05 07 03 06 10 20 18 04 10 12 01 09 15 17 08 11 19 02

С‡‚ни‚ пи‚е‰енный текст и езульт‡т пиме‡ 3.28, мы ‚и‰им, что тепеь нет по‚тоflющихсfl об‡зцо‚. Д‚ойн‡fl пеест‡но‚к‡ у‰‡лил‡ ту е„улflность, что сущест‚о‚‡л‡ ‡ньше. 109

Кус

Кипто„‡фиfl и безоп‡сность сетей

3.4. Шифы поток‡ и блочные шифы В лите‡туе симметичные шифы ‡з‰елflют н‡ ‰‚е к‡те„оии: шифы поток‡ и блочные шифы. Хотfl эти к‡те„оии пименflютсfl к со‚еменным шиф‡м, но они мо„ут т‡кже ‡бот‡ть ‚ т‡‰иционных шиф‡х.

Шифы поток‡ В шиф‡х поток‡ шифние ‰ел‡етсfl ‚ о‰ин момент ‚емени 퇉 о‰ним сим‚олом (т‡ким, к‡к буꂇ или бит). Мы имеем поток исхо‰но„о текст‡, поток з‡шифнно„о текст‡ и поток ключей. Обозн‡чим исхо‰ный поток P, поток з‡шифнно„о текст‡ — C и поток ключей — K. P = P1P2P3,……. C = C1C2C3,…. K = (k1, k2, k3,…) C1 = Ek1(P1) C2 = Ek2(P2) C3 = Ek3(P3)… Фи„у‡ 3.26 пок‡зы‚‡ет и‰ею ук‡з‡нно„о ‡нее шиф‡ поток‡. Сим‚олы обычно„о текст‡ пиним‡ютсfl ‡л„оитмом шифниfl по о‰ному. Сим‚олы з‡шифнно„о текст‡ т‡кже со片ютсfl по о‰ному ‚ о‰ин и тот же момент ‚емени. Ключе‚ой поток может быть со片н мно„ими способ‡ми. Это может быть поток с з‡‡нее опе‰еленными зн‡чениflми; это может быть только о‰но зн‡чение, используемое ‡л„оитмом. Зн‡чениfl мо„ут 燂исеть от исхо‰но„о текст‡ или сим‚оло‚ з‡шифнно„о текст‡. Зн‡чениfl мо„ут т‡кже 燂исеть от пе‰ы‰ущих ключе‚ых зн‡чений. Рис. 3.26. Шиф поток‡ Рисунок 3.26 пок‡зы‚‡ет момент, к‡ тетий сим‚ол ‚ потоке исхо‰но„о текст‡ был з‡шифн с использнием тетье„о зн‡чениfl ‚ ключе‚ом потоке. Результ‡т — это тетий сим‚ол ‚ потоке з‡шифнно„о текст‡. Пиме 3.30 А‰‰ити‚ные шифы мо„ут быть отнесены к к‡те„оии шифо‚ поток‡, ‚ котоых ключе‚ой поток fl‚лflетсfl по‚тоным зн‡чением ключ‡. Ду„ими слми, ключе‚ой поток ‡ссм‡т肇ют к‡к з‡‡нее опе‰еленный поток ключей или K = (k,k,…k). В этом шифе, о‰н‡ко, к‡ж‰ый сим‚ол ‚ з‡шифнном тексте 燂исит только от соот‚етст‚ующе„о сим‚ол‡ ‚ исхо‰ном тексте, потому что ключе‚ой поток „енеилсfl не燂исимо. Пиме 3.31 Моно‡лф‡‚итные шифы по‰ст‡но‚ки, котоые мы ‡ссмотели ‚ этой лекции, — т‡кже шифы поток‡. О‰н‡ко к‡ж‰ое зн‡чение ключе‚о„о поток‡ ‚ этом случ‡е — отоб‡жение текущих исхо‰ных бук‚ ‚ соот‚етст‚ующие сим‚олы з‡шифнно„о текст‡ по т‡блице отоб‡жениfl. Пиме 3.32 Шифы Вижене‡ — т‡кже шифы поток‡ со„л‡сно опе‰елению. В этом случ‡е ключ поток‡ — по‚тоение m зн‡чений, „‰е m. — ‡зме ключе‚о„о сл. Ду„ими слми, 110

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

K = (k1,k2,….km,k1,k2,……km….) Пиме 3.33 Мы можем уст‡но‚ить китеий ‰лfl ‡з‰елениfl шифо‚ поток‡, осннных н‡ ключе‚ых поток‡х. Мы можем ск‡з‡ть, что шиф поток‡ — моно‡лф‡‚итный шиф, если зн‡чение ki не 燂исит от исхо‰но„о сим‚ол‡ исхо‰но„о текст‡ ‚ потоке исхо‰но„о текст‡; ‚ поти‚ном случ‡е шиф fl‚лflетсfl мно„о‡лф‡‚итным. • А‰‰ити‚ные шифы fl‚лflютсfl моно‡лф‡‚итными, потому что ki ‚ ключе‚ом потоке — з‡фиксинный (постоflнный), он не 燂исит от позиции сим‚ол‡ ‚ исхо‰ном тексте. • Моно‡лф‡‚итные шифы по‰ст‡но‚ки fl‚лflютсfl fl‚но моно‡лф‡‚итными шиф‡ми поток‡, потому что ki не 燂исит от позиции соот‚етст‚ующе„о сим‚ол‡ ‚ потоке исхо‰но„о текст‡, ‡ 燂исит лишь от зн‡чениfl сим‚ол‡ ‚ исхо‰ном тексте. • Шифы Вижене‡ — мно„о‡лф‡‚итные шифы, потому что ki fl‚но 燂исит от позиции сим‚ол‡ исхо‰но„о текст‡. О‰н‡ко 燂исимость fl‚лflетсfl циклической. О‰ин‡ко‚ый ключ ‰лfl ‰‚ух сим‚оло‚ ‡з‰елен m позициflми.

Блочные шифы В блочном шифе „упп‡ сим‚оло‚ исхо‰но„о текст‡ ‡зме‡ m (m> 1) з‡шифо‚ы‚‡етсfl, со片‚‡fl ‚месте „уппу з‡шифнно„о текст‡ о‰но„о и то„о же ‡зме‡. Осннный н‡ этом опе‰елении блочный шиф использует е‰инст‚енный ключ, чтобы з‡шифть целый блок, ‰‡же если ключ ‰ел‡ет пеемножение зн‡чений. Рисунок 3.27 пок‡зы‚‡ет пинципы блочно„о шиф‡. Рис. 3.27. Блочный шиф В блочном шифе блок з‡шифнно„о текст‡ 燂исит от цело„о блок‡ исхо‰но„о текст‡. Пиме 3.34 Шифы плейфее‡ — блочные шифы. Р‡зме блок‡ — m = 2. Д‚‡ сим‚ол‡ з‡шифны ‚месте. 111

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 3.35 Шифы Хилл‡ — блочные шифы. Блок исхо‰но„о текст‡ ‡зме‡ 2 или больше з‡шифн с со‚местным использнием е‰инст‚енно„о ключ‡ (м‡тицы). В этих шиф‡х зн‡чение к‡ж‰о„о сим‚ол‡ ‚ з‡шифнном тексте 燂исит от ‚сех зн‡чений сим‚оло‚ ‚ исхо‰ном тексте. Хотfl ключ может быть получен из m × m. зн‡чений, он ‡ссм‡т肇етсfl к‡к е‰инст‚енный ключ. Пиме. 3.36 Из опе‰елениfl блочно„о шиф‡ flсно, что к‡ж‰ый блочный шиф — это мно„о‡лф‡‚итный шиф, потому что к‡ж‰‡fl буꂇ шифнно„о текст‡ ‚ случ‡е блочно„о шиф‡ 燂исит от ‚сех бук‚ исхо‰но„о текст‡.

Комбин‡циfl Н‡ п‡ктике блоки исхо‰но„о текст‡ шифуютсfl ин‰и‚и‰у‡льно, но они используют ключи поток‡ ‰лfl то„о, чтобы з‡шифть ‚се сообщение блок з‡ блоком. Ду„ими слми, шиф — блочный, к‡ пименflетсfl к ин‰и‚и‰у‡льным блок‡м, но он же и шиф поток‡, к‡ пименflетсfl ко ‚сему сообщению, ‡ссм‡т肇fl к‡ж‰ый блок к‡к е‰иницу. К‡ж‰ый блок пименflет ‡зличный ключ, котоый был с„енеин з‡‡нее или ‚ течение поцесс‡ шифниfl. Пимеы это„о бу‰ут ‡ссмотены поз‰нее.

3.5. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пи‚е‰ены ‚ списке ссылок ‚ конце кни„и.

Кни„и Несколько кни„ ‡ссм‡т肇ют кл‡ссические шифы с симметичным ключом. [Kah961 и [Sin99] ‰‡ют полную истоию этих шифо‚. [Sti06L [Bar02], ITW06], [Cou99], [Sta06], [SchOl], [Mao03] и [Gar0l] пи‚о‰flт хооший ‡н‡лиз технических ‰ет‡лей.

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, ‡ссмотенных ‚ этой лекции. http://www.cryptogram.org http://www.cdt.org/crypto/ http://www.cacr.math.uwaterloo.ca/ http://www.acc.stevens.edu/crypto.php http://www.crypto .com/ http: // theory.lcs.mit.edu / ~ rivest/crypto-security.html 112

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

http://www.trincoll.edu/depts/cpsc/cryptography/substitution.html http://hem.passagen.se/tan01/transpo.html http://www.strangehorizons.comy2001/20011008/steganography.shtml

3.6. Ито„и • Шифние симметичными ключ‡ми использует е‰инст‚енный ключ ‰лfl шифниfl и ‰лfl ‰ешифниfl. Ал„оитмы шифниfl и ‰ешифниfl fl‚лflютсfl об‡тными ‰у„ ‰у„у. • Пе‚он‡ч‡льное сообщение н‡зы‚‡етсfl исхо‰ным текстом. Сообщение, котоое пе則fiтсfl чеез к‡н‡л, н‡зы‚‡етсfl з‡шифнным текстом. Чтобы со片‚‡ть з‡шифнный текст из исхо‰но„о текст‡, ‡л„оитм шифниfl пользуетсfl обще‰оступным ключом з‡секеч肇ниfl. Чтобы со片‚‡ть исхо‰ный текст из з‡шифнно„о текст‡, пименflетсfl ‡л„оитм ‰ешифниfl тот же с‡мый ключ з‡секеч肇ниfl. • Н‡ осннии пинцип‡ Кекхофф‡, нужно ‚с儉‡ пиним‡ть, что поти‚ник зн‡ет ‡л„оитм шифниfl/‰ешифниfl. Устойчи‚ость шиф‡ к ‡т‡ке ‰олжн‡ быть осно‚‡н‡ только н‡ т‡йне ключ‡. • Кипто‡н‡лиз — н‡ук‡ и искусст‚о «‚зло쇻 шифо‚. Есть четые общих тип‡ ‡т‡к кипто‡н‡лиз‡: ‡т‡к‡ только н‡ з‡шифнный текст, ‡т‡к‡ по об‡зцу, ‡т‡к‡ с ‚ыбокой исхо‰но„о текст‡, ‡т‡к‡ с ‚ыбокой з‡шифнно„о текст‡. • Т‡‰иционные шифы с симметичным ключом мо„ут быть ‡з‰елены н‡ ‰‚е обшиных к‡те„оии: шифы по‰ст‡но‚ки и шифы пеест‡но‚ки. Шиф по‰ст‡но‚ки з‡менflет о‰ин сим‚ол ‰у„им сим‚олом. Шиф пеест‡но‚ки пееупоfl‰оч肇ет сим‚олы. • Шифы по‰ст‡но‚ки мо„ут быть ‡з‰елены н‡ ‰‚е обшиных к‡те„оии: моно‡лф‡‚итные шифы и мно„о‡лф‡‚итные шифы. В моно‡лф‡‚итной по‰ст‡но‚ке отношениfl меж‰у сим‚олом ‚ исхо‰ном тексте и сим‚олом ‚ з‡шифнном тексте fl‚лflютсfl непосе‰ст‚енными. В мно„о‡лф‡‚итной по‰ст‡но‚ке отношениfl меж‰у сим‚ол‡ми ‚ исхо‰ном тексте и сим‚ол‡ми ‚ з‡шифнном тексте — «о‰ин ко мно„им». • Моно‡лф‡‚итные шифы ‚ключ‡ют ‚ себfl ‡‰‰ити‚ные, мультиплик‡ти‚ные, ‡ффинные и моно‡лф‡‚итные шифы по‰ст‡но‚ки. • Мно„о‡лф‡‚итные шифы ‚ключ‡ют ‚ себfl шифы: ‡‚тоключе‚ой, плейфее‡, Вижене‡, Хилл‡, о‰но‡зо‚о„о блокнот‡, ото‡, и шифы «Эни„мы». • Шифы пеест‡но‚ки ‚ключ‡ют ‚ себfl: бесключе‚ой, ключе‚ой шифы и шифы с ‰‚ойной пеест‡но‚кой. • Симметичные шифы мо„ут т‡кже быть ‡з‰елены н‡ ‰‚е обшиных к‡те„оии: шифы поток‡ и блочные шифы. В шифе поток‡ шифние и ‰ешифние о‰но„о сим‚ол‡ поиз‚о‰flтсfl ‚ о‰ин момент ‚емени. В блочном шифе сим‚олы ‚ блоке з‡шифны ‚месте. П‡ктически, блоки исхо‰но„о текст‡ з‡шифны ин‰и‚и‰у‡льно, но они используют поток ключей, чтобы з‡шифть ‚се сообщение блок з‡ блоком.

113

Кус

Кипто„‡фиfl и безоп‡сность сетей

3.7. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Опе‰елите шиф с симметичным ключом. 2. Поflсните отличиfl меж‰у шифом по‰ст‡но‚ки и шифом пеест‡но‚ки. 3. Поflсните отличиfl меж‰у моно‡лф‡‚итным и мно„о‡лф‡‚итным шиф‡ми. 4. Поflсните отличиfl меж‰у шифом поток‡ и блочным шифом. 5. Все ли шифы поток‡ fl‚лflютсfl моно‡лф‡‚итными? Поflсните. 6. Все ли блочные шифы fl‚лflютсfl мно„о‡лф‡‚итными? Поflсните. 7. Пеечислите ти моно‡лф‡‚итных шиф‡. 8. Пеечислите ти мно„о‡лф‡‚итных шиф‡. 9. Пеечислите ‰‚‡ шиф‡ пеест‡но‚ки. 10. Пеечислите четые ‚и‰‡ ‡т‡к кипто‡н‡лиз‡.

Уп‡жнениfl 1. М‡ленький ч‡стный клуб имеет только 100 члено‚. От‚етьте н‡ сле‰ующие ‚опосы: a. Сколько ключей з‡секеч肇ниfl необхо‰имо иметь, если ‚се члены клуб‡ хотflт пе則‚‡ть секетные сообщениfl ‰у„ ‰у„у? b. Сколько ключей з‡секеч肇ниfl необхо‰имо, если к‡ж‰ый ‰о‚еflет пези‰енту клуб‡? Если о‰ин член клуб‡ ‰олжен пе則ть сообщение ‰у„ому, он сн‡ч‡л‡ пе則ет это пези‰енту; пези‰ент т‡ пе則ет сообщение ‰у„ому члену клуб‡. c. Сколько ключей з‡секеч肇ниfl необхо‰имо, если пези‰ент еш‡ет, что ‰‚‡ член‡ клуб‡, котоые ‰олжны с‚flз‡тьсfl ‰у„ с ‰у„ом, ‰олжны сн‡ч‡л‡ ‚ойти ‚ конт‡кт с ним? Пези‰ент т‡ со片ет ‚еменный ключ, котоый используетсfl меж‰у этими ‰‚умfl член‡ми клуб‡. Веменный ключ з‡шифо‚ы‚‡етсfl и посыл‡етсfl обоим член‡м клуб‡. 2. Ахеоло„и н‡шли но‚ый м‡нускипт, н‡пис‡нный н‡ неиз‚естном flзыке. Позже они н‡шли м‡ленькую т‡бличку, кото‡fl со‰ежит пе‰ложение, н‡пис‡нное н‡ том же с‡мом flзыке с пее‚о‰ом н‡ „еческий flзык. Используfl т‡бличку, они смо„ли почит‡ть пе‚он‡ч‡льную укопись. К‡кую ‡т‡ку пименили ‡хеоло„и? 3. Алис‡ может использть только ‡‰‰ити‚ный шиф н‡ с‚оем компьютее, чтобы пе則ть сообщение ‰у„у. Он‡ ‰ум‡ет, что сообщение бу‰ет более безоп‡сно, если он‡ з‡шифует е„о ‰‚‡ ‡з‡, к‡ж‰ый ‡з с ‡зличным ключом. Дейст‚ительно ли он‡ п‡‚‡? Обоснуйте ‚‡ш от‚ет. 4. Алис‡ хочет пе則ть ‰линное сообщение. Он‡ использует моно‡лф‡‚итный шиф по‰ст‡но‚ки. Он‡ ‰ум‡ет, что если он‡ сожмет сообщение, это может з‡щитить текст от ‡т‡ки Е‚ы по ч‡стоте от‰ельных бук‚. Помет ли сж‡тие? Должн‡ ли он‡ сж‡ть сообщение, пеж‰е чем з‡шифует е„о или после это„о? Обоснуйте ‚‡ш от‚ет. 5. Алис‡ ч‡сто ‰олжн‡ з‡шифо‚ы‚‡ть исхо‰ный текст, использующий ‚месте бук‚ы (от a ‰о z) и цифы (от 0 ‰о 9). 114

Лекциfl 3

6.

7.

8.

9.

Т‡‰иционные шифы с симметичным ключом

a. Если он‡ пименflет ‡‰‰ити‚ный шиф, что fl‚лflетсfl множест‚ом ключей? К‡кие бу‰ут мо‰ули? b. Если он‡ пименflет мультиплик‡ти‚ный шиф, что fl‚лflетсfl множест‚ом ключей? К‡кие бу‰ут мо‰ули? c. Если он‡ пименflет ‡ффинный шиф, что fl‚лflетсfl множест‚ом ключей? К‡кие бу‰ут мо‰ули? Пе‰положим, что к исхо‰ному тексту ‰оᇂлflютсfl побелы, точки и зн‡ки ‚опос‡, чтобы у‚еличить множест‚о ключей элемент‡ных шифо‚. a. К‡ко‚о множест‚о ключей, если используетсfl ‡‰‰ити‚ный шиф? b. К‡ко‚о множест‚о ключей, если используетсfl мультиплик‡ти‚ный шиф? c. К‡ко‚о множест‚о ключей, если используетсfl ‡ффинный шиф? Алис‡ и Боб ешили и„ноить пинципы Кекхофф‡ и скы‚‡ют тип шиф‡, котоый они используют. a. К‡к может Е‚‡ понflть, использлсfl ли шиф по‰ст‡но‚ки или шиф пеест‡но‚ки? b. Если Е‚‡ зн‡ет, что использнный шиф — шиф по‰ст‡но‚ки, к‡к может он‡ опе‰елить, был ли он ‡‰‰ити‚ным, мультиплик‡ти‚ным или ‡ффинным шифом? c. Если Е‚‡ зн‡ет, что использнный шиф — шиф пеест‡но‚ки, к‡к он‡ может опе‰елить ‡зме секции (m)? В к‡ж‰ом из сле‰ующих шифо‚ — к‡кое м‡ксим‡льное число сим‚оло‚ может быть изменено ‚ з‡шифнном тексте, если ‚ исхо‰ном тексте изменен только е‰инст‚енный сим‚ол? a. А‰‰ити‚ный b. Мультиплик‡ти‚ный c. Аффинный d. Вижене‡ e. А‚тоключе‚ой f. О‰но‡зо‚ый блокнот g. Ротоный h. «Эни„쇻 В к‡ж‰ом из сле‰ующих шифо‚ — к‡кое м‡ксим‡льное число сим‚оло‚ бу‰ет изменено ‚ з‡шифнном тексте, если ‚ исхо‰ном тексте изменен только о‰ин сим‚ол? a. О‰иночн‡fl пеест‡но‚к‡ b. Д‚ойн‡fl пеест‡но‚к‡ c. Плейфее

10. Длfl к‡ж‰о„о из сле‰ующих шифо‚ опе‰елите, fl‚лflетсfl ли он шифом поток‡ или блочным шифом. Обоснуйте ‚‡ши от‚еты. a. Плейфее 115

Кус

Кипто„‡фиfl и безоп‡сность сетей

b. А‚тоключ c. О‰но‡зо‚ый блокнот d. Рото e. «Эни„쇻 11. З‡шифуйте сообщение «this is exercise» («это — уп‡жнение»), используfl о‰ин из сле‰ующих шифо‚. И„ноиуйте побелы меж‰у слми. Р‡сшифуйте сообщение, чтобы получить пе‚он‡ч‡льный исхо‰ный текст. a. А‰‰ити‚ный шиф с ключом = 20 b. Мультиплик‡ти‚ный шиф с ключом = 15 c. Аффинный шиф с ключом = (15, 20) 12. З‡шифуйте сообщение «the house is being sold tonight» («‰ом пн се„о‰нfl ‚ечеом»), используfl о‰ин из сле‰ующих шифо‚. И„ноиуйте побелы меж‰у слми. Р‡сшифуйте сообщение, чтобы получить исхо‰ный текст. a. Шиф Вижене‡ с ключом: «dollars» b. Шиф с ‡‚том‡тическим ключом = 7 c. Шиф плейфее‡ с ключом, со片нным ‚ тексте (см. ис. 3.13) 13. Используйте шиф Вижене‡ с ключе‚ым сло‚ом «HEALTH», чтобы з‡шифть сообщение «Life is full surprises» («Жизнь полн‡ сюпизо‚»). 14. Используйте шиф плейфее‡, чтобы з‡шифть сообщение «The key hidden under the door pad» («ключ спflт‡н по‰ ко‚иком у ‰‚еи»). Ключ з‡секеч肇ниfl можно сост‡‚ить, з‡полнflfl пе‚ую и ‚тоую ч‡сть стоки со сло‚ом «GUIDANCE» и з‡полнflfl ост‡льную ч‡сть м‡тицы с ост‡льной ч‡стью ‡лф‡‚ит‡. 15. Используйте шиф Хилл‡, чтобы з‡шифть сообщение «We live in an insecure world» («Мы жи‚ем ‚ оп‡сном мие»). Пимените сле‰ующий ключ: 16. Джон чит‡ет т‡йную кни„у ‚‚е‰ениfl ‚ кипто„‡фию. В о‰ной ч‡сти кни„и ‡‚то ‰‡ет з‡шифнный текст «CIW» и ‰‚умfl п‡‡„‡ф‡ми позже „о‚оит чит‡телю, что это — ключ с‰‚脇, и исхо‰ный текст — «YES» («‰‡»). В сле‰ующей лекции „еой н‡шел т‡бличку с ‚ы„‡‚инным н‡ ней текстом «XV1EWYW1». Джон неме‰ленно ‡з„‡‰‡л ф‡ктическое зн‡чение з‡шифнно„о текст‡. К‡кой тип ‡т‡ки пе‰пинflл Джон? К‡ко‚ исхо‰ный текст? 17. Е‚‡ т‡йно получ‡ет ‰оступ к компьютеу Алисы и, используfl ее шиф, печ‡т‡ет «abcdefghij»; н‡ эк‡не поfl‚илось «CABDEHEGIJ». Пе‰положим, Е‚‡ зн‡ет, что Алис‡ использует ключе‚ой шиф пеест‡но‚ки. От‚етьте н‡ сле‰ующие ‚опосы: a. К‡кую ‡т‡ку пе‰пиним‡ет Е‚‡? b. К‡ко‚ ‡зме ключ‡ пеест‡но‚ки? 18. Используйте ‡т‡ку „убой силы, чтобы ‡сшифть сле‰ующее сообщение, з‡шифнное Алисой, пименflfl ‡‰‰ити‚ный шиф. Пе‰положим, что Алис‡ ‚с儉‡ использует ключ, с‚flз‡нный с ее ‰нем ож‰ениfl, котоый пихо‰итсfl н‡ 13-е число месflц‡. NCJAEZRCLASJLYODEPRLYZRCLASJLCPEHZDTOPDZQLNZTY J 116

Лекциfl 3

Т‡‰иционные шифы с симметичным ключом

19. Используйте ‡т‡ку „убой силы, чтобы ‡сшифть сле‰ующее сообщение. Пе‰положите, что В‡м из‚естно: шиф — ‡ффинный и исхо‰ный текст «ab» з‡шифо‚‡н «GL». XPALASXYFGFUKPXUSOGEUTKCDGFXANMGNVS 20. Используйте ‡т‡ку ч‡стоты от‰ельных бук‚, чтобы ‡сшифть сле‰ующее сообщение. Пе‰положите, что В‡м из‚естно, что оно з‡шифно с пименением моно‡лф‡‚итно„о шиф‡ по‰ст‡но‚ки. ONHOVEJHWOBEVGWOCBWHNUGBLHGBGR 21. Пе‰положим, что зн‡ки пепин‡ниfl (точки, ‚опосительные зн‡ки и побелы) ск뇉ы‚‡ютсfl с ‡лф‡‚итом шифниfl шиф‡ Хилл‡, потом ‰лfl шифниfl и ‰ешифниfl используютсfl ключе‚ые м‡тицы 2 × 2 ‚ Z29. a. Н‡й‰ите общее количест‚о ‚озможных м‡тиц. b. Док‡з‡но, что общее количест‚о об‡тимых м‡тиц — (N2 – 1) (N2 – N), „‰е N — число ‡зме‡ ‡лф‡‚ит‡. Н‡й‰ите множест‚о ключей шиф‡ Хилл‡, используfl этот ‡лф‡‚ит. 22. Используйте ‡т‡ку ч‡стоты от‰ельных бук‚, чтобы ‚злом‡ть сле‰ующий з‡шифнный текст. Пе‰положите, что В‡м из‚естно, что он был со片н с использнием ‡‰‰ити‚но„о шиф‡. OTWEWNGWCBPQABIZVQAPMLJGZWTTQVOBQUMAPMIDGZCAB EQVBMZLZIXMLAXZQVOQVLMMXAVWEIVLLIZSNZWAB JQZLWNLMTQOPBVIUMLGWCBPAEQNBTGTMNBBPMVMAB ITIAKWCTLVBBQUMQBEPQTMQBEIAQVUGBZCAB 23. Используйте тест К‡зиско„о и ‡т‡ку ч‡стоты от‰ельных бук‚, чтобы н‡ушить сле‰ующий з‡шифнный текст. Пе‰положите, что В‡м из‚естно, что он был со片н шифом Вижене‡. MPYIGOBSRMIDBSYRDIKATXAILFDFKXTPPSNTTJIGTHDELT TXAIREIHSVOBSMLUCFIOEPZIWACRFXICUVXVTOPXDLWPENDHPRSI DDBXWWTZPHNSOCLOUMSNRCCVUUXZHHNWSVXAUHIK LXTIMOICHTYPBHMHXGXHOLWPEWWWWDALOCTSQAELT 24. Ключ шифниfl ‚ шифе пеест‡но‚ки — (3, 2, 6, 1, 5, 4). Н‡й‰ите ключ ‰ешифниfl. 25. Пок‡жите м‡тичное пе‰ст‡‚ление ключ‡ шифниfl пеест‡но‚ки с ключом (3, 2, 6, 1, 5, 4). Н‡й‰ите м‡тичное пе‰ст‡‚ление ключ‡ ‰ешифниfl.

117

Кус

Кипто„‡фиfl и безоп‡сность сетей

26. Д‡ны исхо‰ный текст «letusmeetnow» и соот‚етст‚ующий з‡шифнный текст «HBCDFNOPIKLB». Из‚естно, что ‡л„оитм — шиф Хилл‡, но ‚ы не зн‡ете ‡зме ключ‡. Н‡й‰ите ключе‚ую м‡тицу. 27. Шифы Хилл‡ и мультиплик‡ти‚ные шифы очень похожи. Шифы Хилл‡ — блочные шифы, использующие умножение м‡тиц; мульти-

плик‡ти‚ные шифы — шифы поток‡, использующие ск‡лflное умножение. a. Опе‰елите блочный шиф, котоый, по‰обно ‡‰‰ити‚ному шифу, использует сложение м‡тиц. b. Опе‰елите блочный шиф, котоый, по‰обно ‡ффинному шифу, использует умножение и сложение м‡тиц. 28. Опе‰елите но‚ый шиф поток‡. Шиф fl‚лflетсfl ‡ффинным, но ключи 燂исflт от позиции сим‚ол‡ ‚ исхо‰ном тексте. Если сим‚ол исхо‰но„о текст‡ бу‰ет з‡шифо‚‡н ‚ позиции i, мы можем н‡йти ключи: a. Мультиплик‡ти‚ный ключ — (i mod 12) элемент ‚ Z26*. b. А‰‰ити‚ный ключ — (i mod 26) элемент ‚ Z26. З‡шифуйте сообщение «cryptography is fun» («кипто„‡фиfl — з‡б‡‚но»), используfl этот но‚ый шиф. 29. Пе‰положим, что ‰лfl шиф‡ Хилл‡ исхо‰ный текст fl‚лflетсfl мультиплик‡ти‚ной е‰иничной м‡тицей (I). Н‡й‰ите отношениfl меж‰у ключом и з‡шифнным текстом. Используйте езульт‡т ‚‡ше„о иссле‰о‚‡ниfl и попыт‡йтесь ‡т‡кть ‚ыбоку исхо‰но„о текст‡, пименflюще„о шиф Хилл‡. 30. Atbash был популflным шифом се‰и Библейских ‡‚тоо‚ (VI ‚ек ‰о н‡шей эы). В Atbash «A» — шифлось бук‚ой «Z», «B» был з‡шифн бук‚ой «Y», и т‡к ‰‡лее. Ан‡ло„ично «Z» был з‡шифн к‡к «A», «Y» з‡шифн к‡к «B», и т‡к ‰‡лее. Пе‰положим, что ‡лф‡‚ит ‡з‰елен н‡ ‰‚е поло‚ины и бук‚ы ‚ пе‚ой поло‚ине з‡шифны к‡к бук‚ы ‚о ‚тоой и н‡обоот. Н‡й‰ите тип шиф‡ и ключ‡. З‡шифуйте сообщение «уп‡жнение», используfl Atbash-шиф. 31. В шифе Полибиус‡ (Polybius — имский истоик, жи‚ший ‚ IV ‚еке ‰о н‡шей эы) к‡ж‰‡fl буꂇ з‡шифо‚‡н‡ к‡к ‰‚‡ целых числ‡. Ключ — м‡тиц‡ сим‚оло‚ 5 × 5, к‡к ‚ шифе плейфее‡. Исхо‰ный текст — м‡тиц‡ сим‚оло‚, з‡шифнный текст — эти ‰‚‡ целых числ‡ (к‡ж‰ое меж‰у 1 и 5), пе‰ст‡‚лflющие столбцы и стоки. З‡шифуйте сообщение «An exercise» («уп‡жнение»), используfl шиф Полибиус‡ (Polybius) со сле‰ующим ключом: 118

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

Лекциfl 4. М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы Цели и со‰еж‡ние Мы пост‡‡емсfl з‰есь пото‚ить чит‡телfl к сле‰ующим нескольким лекциflм, ‚ котоых ‡ссм‡т肇ютсfl со‚еменные шифы с симметичным ключом, осннные н‡ ‡л„еб‡ических стукту‡х. Эт‡ лекциfl имеет несколько целей: • ‡ссмотеть понflтие ‡л„еб‡ических стукту; • опе‰елить и пи‚ести некотоые пимеы ‡л„еб‡ических „упп; • опе‰елить и пи‚ести некотоые пимеы ‡л„еб‡ических колец; • опе‰елить и пи‚ести некотоые пимеы ‡л„еб‡ических полей; • по„о‚оить о т‡ких опе‡циflх, к‡к сложение, ‚ычит‡ние, умножение и ‰еление c n-бито‚ыми слми ‚ со‚еменных блочных шиф‡х. Сле‰ующие лекции пос‚flщены обсуж‰ению со‚еменных симметичноключе‚ых блочных шифо‚, котоые ‚ыполнflют опе‡ции с n-бито‚ыми слми. Поним‡ние и ‡н‡лиз этих шифо‚ тебуют некотоо„о зн‡ниfl ‡з‰ело‚ со‚еменной ‡л„ебы, н‡зы‚‡емых ‡л„еб‡ическими стукту‡ми. В н‡ч‡ле этой лекции ‰ел‡етсfl обзо ‡л„еб‡ических стукту, ‡ з‡тем пок‡з‡но, к‡к ‚ыполнить сложение или умножение c n-бито‚ыми слми.

4.1. Ал„еб‡ические стуктуы В лекции 2 мы обсу扇ли некотоые множест‚‡ чисел, т‡ких, к‡к Z, Zn, Zn*, Zp и Zp*. Кипто„‡фиfl тебует, чтобы были 燉‡ны множест‚‡ целых чисел, и опе‡ции, опе‰еленные ‰лfl них. Комбин‡циfl множест‚ и опе‡ций, котоые мо„ут быть пименены к элемент‡м множест‚‡, н‡зы‚‡етсfl ‡л„еб‡ической стуктуой. В этой лекции мы опе‰елим ти общих ‡л„еб‡ических стуктуы: „уппы, кольц‡ и полfl (ис. 4.1). Рис. 4.1. Общие ‡л„еб‡ические стуктуы

Гуппы Гупп‡ (G) — н‡бо элементо‚ с бин‡ной опе‡цией «•» — об뇉‡ет четыьмfl с‚ойст‚‡ми (или у‰о‚лет‚оflет ‡ксиом‡м), котоые бу‰ут пеечислены ниже. • Коммут‡ти‚н‡fl „упп‡, т‡кже н‡зы‚‡ем‡fl ‡беле‚ой, — „упп‡, ‚ котоой опе‡то об뇉‡ет теми же четыьмfl с‚ойст‚‡ми ‰лfl „упп плюс ‰ополнительным — коммут‡ти‚ностью. Эти пflть с‚ойст‚ опе‰елены ‰‡лее. 119

Кус

Кипто„‡фиfl и безоп‡сность сетей

• З‡мкнутость. Если a и b — элементы G, то c = a • b — т‡кже элемент G. Это озн‡ч‡ет, что езульт‡т пименениfl опе‡ции к любым ‰‚ум элемент‡м множест‚‡ есть элемент это„о множест‚‡. • Ассоци‡ти‚ность. Если a, b и c — элементы G, то ‚ено (a• b) • c = a• (b •c) Ду„ими слми, не имеет зн‡чениfl, ‚ к‡ком поfl‰ке мы пименflем опе‡цию более чем к ‰‚ум элемент‡м. • Коммут‡ти‚ность. Длfl ‚сех a и b ‚ G мы имеем a • b = b • a. Об‡тите ‚ним‡ние, что это с‚ойст‚о ‰олжно быть ‚ено только ‰лfl коммут‡ти‚ной „уппы. • Сущест‚ние нейт‡льно„о элемент‡. Длfl ‚се элементо‚ ‚ G сущест‚ует элемент e, котоый н‡зы‚‡етсfl нейт‡льным элементом, т‡кой, что e • a = a • e = a. • Сущест‚ние ин‚есии. Длfl к‡ж‰о„о a ‚ G сущест‚ует элемент a’, н‡зы‚‡емый об‡тным к a, т‡кой, что a • a’ = a’ • a = e. Рисунок 4.2 иллюстиует понflтие „уппы.

Рис. 4.2. Гупп‡ Пиложение Хотfl „упп‡ ‚ключ‡ет е‰инст‚енный опе‡то, с‚ойст‚‡, писущие к‡ж‰ой опе‡ции, поз‚олflют использние п‡ы опе‡ций, если они ин‚есны ‰у„ ‰у„у. Н‡пиме, если опе‰еленный ‚ыше опе‡то — сложение, то „упп‡ пеж肇ет и сложение, и ‚ычит‡ние, ибо ‚ычит‡ние и сложение — ‡‰‰ити‚но ин‚есные опе‡ции. Это т‡кже ‚ено ‰лfl умножениfl и ‰елениfl. О‰н‡ко „упп‡ может пеж‡ть только сложение/‚ычит‡ние или умножение/‰еление, но не об‡ сочет‡ниfl опе‡тоо‚ о‰но‚еменно. Пиме 4.1 Множест‚о ‚ычето‚ целых чисел с опе‡цией сложениfl, G = , fl‚лflетсfl коммут‡ти‚ной „уппой. Мы можем ‚ыполнить сложение и ‚ычит‡ние н‡ элемент‡х это„о множест‚‡, не ‚ыхо‰fl з‡ е„о пе‰елы. По‚еим эти с‚ойст‚‡. 120

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

1. З‡мкнутость у‰о‚лет‚оflетсfl. Результ‡т сложениfl ‰‚ух целых чисел ‚ Zn — ‰у„ое целое число ‚ Zn. 2. Ассоци‡ти‚ность у‰о‚лет‚оflетсfl. Результ‡т 4 + (3 + 2) тот же с‡мый, что ‚ случ‡е (4 + 3) + 2. 3. Коммут‡ти‚ность у‰о‚лет‚оflетсfl. Мы имеем 3 + 5 = 5 + 3. 4. Нейт‡льный элемент — 0. Мы имеем 3 + 0 = 0 + 3 = 3. 5. К‡ж‰ый элемент имеет ‡‰‰ити‚ную ин‚есию. Ин‚есиfl элемент‡ — е„о ‰ополнение. Н‡пиме, ин‚есиfl 3 — это –3 (n – 3 ‚ Zn), и ин‚есиfl –3 — это 3. Ин‚есиfl поз‚олflет н‡м ‚ыполнflть ‚ычит‡ние н‡ множест‚е. Пиме 4.2 Множест‚о Zn* с опе‡тоом умножениfl G = fl‚лflетсfl т‡кже ‡беле‚ой „уппой. Мы можем ‚ыполнить умножение и ‰еление н‡ элемент‡х это„о множест‚‡, не ‚ыхо‰fl з‡ е„о пе‰елы. Это обле„ч‡ет по‚еку пе‚ых тех с‚ойст‚. Нейт‡льный элемент ‡‚ен 1. К‡ж‰ый элемент имеет ин‚есию, кото‡fl может быть н‡й‰ен‡ со„л‡сно ‡сшиенному ‡л„оитму Е‚кл艇. Пиме 4.3 Хотfl мы обычно пе‰ст‡‚лflем „уппу к‡к множест‚о чисел с обычными опе‡то‡ми, т‡кими, к‡к сложение или ‚ычит‡ние, опе‰елениfl „уппы поз‚олflют н‡м опе‰елflть любое множест‚о объекто‚ и опе‡ций, котоые у‰о‚лет‚оflют ‚ышеупомflнутым с‚ойст‚‡м. Опе‰елим множест‚о G = <{a, b, c, d,}, •> и опе‡цию, пок‡з‡нную с помощью т‡блицы 4.1. Т‡блиц‡ 4.1. Т‡блиц‡ опе‡ции ‰лfl пиме‡ 4.3

Это — ‡бел傇 „упп‡. Все пflть с‚ойст‚ у‰о‚лет‚оены. 1. З‡мкнутость у‰о‚лет‚оен‡. Пименение опе‡то‡ н‡ любой п‡е элементо‚ ‰‡ет ‚ езульт‡те ‰у„ой элемент это„о множест‚‡. 2. Ассоци‡ти‚ность т‡кже у‰о‚лет‚оен‡. Чтобы ‰ок‡з‡ть это, мы ‰олжны по‚еить с‚ойст‚о ‰лfl любой комбин‡ции из тех элементо‚. Н‡пиме, (a+ b) + c = a+ (b + c) = d. 3. Опе‡циfl коммут‡ти‚н‡. Мы имеем a + b = b + a. 4. Гупп‡ имеет нейт‡льный элемент, котоым fl‚лflетсfl a. 5. К‡ж‰ый элемент имеет ин‚есию. Об‡тные п‡ы мо„ут быть н‡й‰ены. В т‡блице они ук‡з‡ны тене‚ыми элемент‡ми ‚ к‡ж‰ой стоке. П‡ы — (a, a), (b, d), (c, c). Пиме 4.4 Элементы ‚ „уппе не обflз‡тельно ‰олжны быть числ‡ми или объект‡ми; они мо„ут быть п‡‚ил‡ми, отоб‡жениflми, функциflми или ‰ейст‚иflми. Очень 121

Кус

Кипто„‡фиfl и безоп‡сность сетей

интеесн‡fl „упп‡ — „упп‡ пеест‡но‚ок. Множест‚о ‚сех пеест‡но‚ок и опе‡то fl‚лflетсfl композицией: пименениfl о‰ной пеест‡но‚ки з‡ ‰у„ой. Рисунок 4.3 пок‡зы‚‡ет композиции ‰‚ух пеест‡но‚ок, котоые пеемещ‡ют ти ‚хо‰ных си„н‡л‡, чтобы со片ть ти ‚ыхо‰ных си„н‡л‡.

Рис. 4.3. Композиции пеест‡но‚ок (Пиме 4.4) Вхо‰ные си„н‡лы и ‚ыхо‰ные си„н‡лы мо„ут быть сим‚ол‡ми (лекциfl 2) или бит‡ми (лекциfl 5). Мы изоб‡зили к‡ж‰ую пеест‡но‚ку пflмоу„ольником, ‚нути котоо„о пок‡з‡но, к‡к исхо‰flщий ‚хо‰ной си„н‡л и ин‰екс (1,2,3) опе‰елflет ‚ыхо‰ной си„н‡л. Композициfl состоит из ‰‚ух пеест‡но‚ок ‚ поfl‰ке о‰н‡ з‡ ‰у„ой. Пи тех ‚хо‰ных си„н‡л‡х и тех ‚ыхо‰ных си„н‡л‡х может быть 3! или 6 ‡зличных пеест‡но‚ок. Т‡блиц‡ 4.2 ‰‡ет опе‰еление это„о опе‡то‡. Пе‚‡fl сток‡ — пе‚‡fl пеест‡но‚к‡; пе‚ый столбец — ‚то‡fl пеест‡но‚к‡. Результ‡т со‰ежитсfl н‡ пеесечении. В этом случ‡е у‰о‚лет‚оены только четые с‚ойст‚‡; поэтому „упп‡ — не ‡бел傇. 1. З‡мкнутость у‰о‚лет‚оен‡. 2. Ассоци‡ти‚ность т‡кже у‰о‚лет‚оен‡. Чтобы ‰ок‡з‡ть это, мы ‰олжны по‚еить с‚ойст‚о ‰лfl любой комбин‡ции из тех элементо‚. 3. С‚ойст‚о коммут‡ти‚ности не у‰о‚лет‚оено. Это может быть ле„ко по‚еено, но мы ост‡‚им по‚еку ‰лfl уп‡жнениfl. Т‡блиц‡ 4.2. Т‡блиц‡ опе‡ции ‰лfl „уппы пеест‡но‚ок

122

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

4. Множест‚о имеет нейт‡льный элемент [1 2 3] (пеест‡но‚к‡ отсутст‚ует). Эти элементы пок‡з‡ны ‰у„им ц‚етом. 5. К‡ж‰ый элемент имеет ин‚есию. Об‡тные п‡ы мо„ут быть н‡й‰ены, если использть нейт‡льные элементы. Пиме 4.5 В пе‰ы‰ущем пимее мы пок‡з‡ли, что множест‚о пеест‡но‚ок с композицией опе‡ций — „упп‡. Поэтому пименение ‰‚ух пеест‡но‚ок (о‰н‡ з‡ ‰у„ой) не может усилить безоп‡сность шиф‡. Мы сможем ‚с儉‡ н‡йти пеест‡но‚ку, кото‡fl с‰ел‡ет ту же с‡мую опе‡цию, используfl с‚ойст‚‡ з‡мкнутости. Конечн‡fl „упп‡ Гупп‡ н‡зы‚‡етсfl конечной „уппой, если множест‚о имеет конечное число элементо‚; ин‡че это — бесконечн‡fl „упп‡. Поfl‰ок „уппы Поfl‰ок „уппы, G , — это число элементо‚ ‚ „уппе. Если „упп‡ не конечн‡, ее поfl‰ок бесконечен; если конечн‡, поfl‰ок конечен. Пуппы По‰множест‚о H „уппы G — пупп‡ G, если с‡мо H — „упп‡ относительно опе‡ции н‡ G. Ду„ими слми, если G = <S, •> — „упп‡, то H = — „упп‡ ‰лfl той же с‡мой опе‡ции, и если T — непустое по‰множест‚о S, то H — пупп‡ G. Вышеупомflнутое опе‰еление по‰‡зум傇ет, что: 1. если a и b — члены обеих „упп, то c = a • b — т‡кже элемент обеих „упп; 2. ‰лfl „уппы и пуппы имеетсfl о‰ин и тот же нейт‡льный элемент; 3. если этот элемент пи퇉лежит обеим „упп‡м, ин‚есиfl a — т‡кже элемент обеих „упп; 4. „упп‡, полученн‡fl с помощью нейт‡льно„о элемент‡ G, H = <{e}, •>, fl‚лflетсfl пуппой G; 5. к‡ж‰‡fl „упп‡ — пупп‡ с‡мой себfl. Пиме 4.6 Я‚лflетсfl ли „упп‡ H = пуппой „уппы G = ? Решение От‚ет — нет. Хотfl H — по‰множест‚о G, опе‡ции, опе‰еленные ‰лfl этих ‰‚ух „упп, ‡зличны. Опе‡циfl H — сложение по мо‰улю 10; опе‡циfl ‚ G — сложение по мо‰улю 12. Циклические пуппы Если пупп‡ „уппы может быть с„енеин‡, используfl ‚оз‚е‰ение ‚ степень элемент‡, то т‡к‡fl пупп‡ н‡зы‚‡етсfl циклической пуппой. Темин ‚оз‚е‰ение ‚ степень з‰есь озн‡ч‡ет мно„ок‡тное пименение к элементу „уппо‚ой опе‡ции: an → a•a • ... •a (n ‡з) 123

Кус

Кипто„‡фиfl и безоп‡сность сетей

Множест‚о, полученное ‚ езульт‡те это„о поцесс‡, обозн‡ч‡етсfl ‚ тексте к‡к . Об‡тите ‚ним‡ние т‡кже, что a0 = e. Пиме 4.7 Из „уппы G = < Z6, +> мо„ут быть получены четые циклических пуппы. Это H1 = <{0},+>, H2 =<{0, 2, 4}, +>, H3 = <{0, 3}, +> и H4 = G. З‡метим, что к‡ опе‡циfl — сложение, an озн‡ч‡ет умножение n н‡ a. З‡метим т‡кже, что ‚о ‚сех этих „упп‡х опе‡циfl — это сложение по мо‰улю 6. Ниже пок‡з‡но, к‡к мы н‡хо‰им элементы этих циклических пупп. a. Циклическ‡fl пупп‡, с„енеинн‡fl из 0, — это H1, кото‡fl имеет только о‰ин элемент (нейт‡льный элемент). 00 mod 6 = 0

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

б. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 1, — это H4, кото‡fl есть с‡м‡ „упп‡ G. 10 mod 6 = 0 11 mod 6 = 1 12 mod 6 = (1 + 1) mod 6 = 2 13 mod 6 = (1 + 1 +1) mod 6 = 3 14 mod 6 = (1 + 1 + 1 + 1) mod 6 = 4 15 mod 6 = (1 +1 +1+1+1) mod 6 = 5

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

‚. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 2, — это H2, кото‡fl имеет ти элемент‡: 0, 2, и 4. 20 mod 6 = 0 21 mod 6 = 2 22 mod 6 = (2 + 2) mod 6 = 4

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

„. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 3, — это H3, кото‡fl имеет ‰‚‡ элемент‡: 0 и 3. 30 mod 6 = 0 31 mod 6 = 3 (ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl) ‰. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 4, — H2; это — не нfl пупп‡. 40 mod 6 = 0 41 mod 6 = 4 42 mod 6 = (4 + 4) mod 6 =2

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

е. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 5, — это H4, он‡ есть с‡м‡ „упп‡ G. 124

Лекциfl 4

50 mod 6 = 0 51 mod 6 = 5 52 mod 6 = 4 53 mod 6 = 3 54 mod 6 = 2 55 mod 6 = 1

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

Пиме 4.8 Из „уппы G = можно получить ти циклических пуппы. G имеет только четые элемент‡: 1, 3, 7 и 9. Циклические пуппы — H1 = <{1}, × >, H2 = <{1, 9}, × > и H3 = G. Ниже пок‡з‡но, к‡к мы н‡хо‰им элементы этих пупп. a. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 1, — это H1. Пупп‡ имеет только о‰ин элемент, ‡ именно — нейт‡льный. 10 mod 10 = 1

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

б. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 3, — это H3, кото‡fl есть „упп‡ G. 30 mod 10 = 1 31 mod 10 = 3 32 mod 10 = 9 33 mod 10 = 7

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

‚. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 7, — это H3, кото‡fl есть „упп‡ G. 70 mod 10 = 1 71 mod 10 = 7 72 mod 10 = 9 73 mod 10 = 3

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

„. Циклическ‡fl пупп‡, с„енеинн‡fl н‡ осно‚е 9, — это H2. Пупп‡ имеет только ‰‚‡ элемент‡. 90 mod 10 = 1 91 mod 10 = 9

(ост‡но‚к‡, ‰‡лее поцесс по‚тоflетсfl)

Циклические „уппы Циклическ‡fl „упп‡ — „упп‡, кото‡fl fl‚лflетсfl собст‚енной циклической пуппой. В пимее 4.7 „упп‡ G имеет циклическую пуппу H5 = G. Это озн‡ч‡ет, что „упп‡ G — циклическ‡fl „упп‡. В этом случ‡е элемент, котоый „енеиует циклическую пуппу, может т‡кже „енеить с‡му „уппу. Этот элемент ‰‡лее именуетсfl «„ене‡то». Если g — „ене‡то, элементы ‚ конечной циклической „уппе мо„ут быть з‡пис‡ны к‡к 125

Кус

Кипто„‡фиfl и безоп‡сность сетей

{e,g,g2,….., gn-1}, „‰е gn = e. З‡метим, что циклическ‡fl „упп‡ может иметь мно„о „ене‡тоо‚. Пиме 4.9 ‡. Гупп‡ G = — циклическ‡fl „упп‡ с ‰‚умfl „ене‡то‡ми, g = 1 и g = 5. б. Гупп‡ G = — циклическ‡fl „упп‡ с ‰‚умfl „ене‡то‡ми, g = 3 и g = 7. Теоем‡ Л‡„‡нж‡ Теоем‡ Л‡„‡нж‡ пок‡зы‚‡ет отношение поfl‰к‡ „уппы к поfl‰ку ее пуппы. Пе‰положим, что G — „упп‡ и H — пупп‡ G. Если поfl‰ок G и H — |G| и |H|, соот‚етст‚енно, то со„л‡сно этой теоеме |H| ‰елит |G|. В пимее 4.7 |G| = 6. Поfl‰ок пуппы — |H1| = 1, | H2| = 3, |H3| = 2 и |H4| = 6. Оче‚и‰но, ‚се эти поfl‰ки есть ‰елители 6. Теоем‡ Л‡„‡нж‡ имеет очень интеесное пиложение. К‡ ‰‡н‡ „упп‡ G и ее поfl‰ок |G|, мо„ут быть ле„ко опе‰елены поfl‰ки потенци‡льных пупп, если мо„ут быть н‡й‰ены ‰елители. Н‡пиме, поfl‰ок „уппы G = — это |17|. Делители 17 есть 1 и 17. Это озн‡ч‡ет, что эт‡ „упп‡ может иметь только ‰‚е пуппы — нейт‡льный элемент и H2 = G. Поfl‰ок элемент‡ Поfl‰ок элемент‡ ‚ „уппе ord (a) (поfl‰ок (a)) fl‚лflетсfl н‡именьшим целым числом n, т‡ким, что an = e. Иными слми: поfl‰ок элемент‡ — поfl‰ок „уппы, котоую он „енеиует. Пиме 4.10 a. В „уппе G = , поfl‰ки элементо‚: поfl‰ок ord(0) = 1, поfl‰ок ord (1) = 6, поfl‰ок ord (2) = 3, поfl‰ок ord (3) = 2, поfl‰ок ord (4) = 3, поfl‰ок ord (5) = 6. b. В „уппе G = , поfl‰ки элементо‚: поfl‰ок ord (1) = 1, поfl‰ок ord (3) = 4, поfl‰ок ord (7) =4, поfl‰ок (9) = 2.

Кольцо Кольцо, обозн‡ченное к‡к R = <{...}, •, >, fl‚лflетсfl ‡л„еб‡ической стуктуой с ‰‚умfl опе‡циflми. Пе‚‡fl опе‡циfl ‰олжн‡ у‰о‚лет‚оflть ‚сем пflти с‚ойст‚‡м, тебуемым ‰лfl ‡беле‚ой „уппы. Вто‡fl опе‡циfl ‰олжн‡ у‰о‚лет‚оflть только пе‚ым ‰‚ум с‚ойст‚‡м ‡беле‚ой „уппы. Коме то„о, ‚то‡fl опе‡циfl ‰олжн‡ быть ‡спе‰елен‡ с помощью пе‚ой. Дистибути‚ность озн‡ч‡ет, что ‰лfl ‚сех a, b и c элементо‚ из R мы имеем a (b • c) = (a b) • (a c) и (a • b) c = (a c) • (b c). Коммут‡ти‚ное кольцо — кольцо, ‚ котоом коммут‡ти‚ное с‚ойст‚о у‰о‚лет‚оено и ‰лfl ‚тоой опе‡ции. Рисунок 4.4 пок‡зы‚‡ет кольцо и коммут‡ти‚ное кольцо. 126

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

Дополнительное з‡меч‡ние Кольцо ‚ключ‡ет ‰‚е опе‡ции. О‰н‡ко ‚то‡fl опе‡циfl может не соот‚етст‚ть тетьему и чет‚етому с‚ойст‚‡м. Ду„ими слми, пе‚‡fl опе‡циfl — ф‡ктически опе‡циfl п‡ы опе‡ций, т‡ких, к‡к сложение и ‚ычит‡ние; ‚то‡fl опе‡циfl может со‰еж‡ть е‰инст‚енную опе‡цию, н‡пиме, умножение, но может не со‰еж‡ть ‰еление. Пиме 4.11 Множест‚о Z с ‰‚умfl опе‡циflми — сложением и умножением — fl‚лflетсfl коммут‡ти‚ным кольцом, котоое обозн‡ч‡етсfl R = . Сложение у‰о‚лет‚оflет ‚сем пflти с‚ойст‚‡м; умножение у‰о‚лет‚оflет только тем с‚ойст‚‡м.

Рис. 4.4. Кольцо Умножение ‰истибути‚но с помощью сложениfl. Н‡пиме, 5 × (3 + 2) = (5 × 3) + (5 × 2) = 25. Но, мы можем ‚ыполнить н‡ этом множест‚е сложение и ‚ычит‡ние и умножение, но не ‰еление. Деление не может пименflтьсfl ‚ этой стуктуе, потому что оно пи‚о‰ит к элементу из ‰у„о„о множест‚‡. Результ‡т ‰елениfl 12 н‡ 5 есть 2,4, и он не н‡хо‰итсfl ‚ 燉‡нном множест‚е.

Поле Поле, обозн‡ченное F = <{...}, •, > — коммут‡ти‚ное кольцо, ‚ котоом ‚то‡fl опе‡циfl у‰о‚лет‚оflет ‚сем пflти с‚ойст‚‡м, опе‰еленным ‰лfl пе‚ой опе‡ции, з‡ исключением то„о, что нейт‡льный элемент пе‚ой опе‡ции (ин‡ н‡зы‚‡емый нуле‚ой элемент) не имеет ин‚есии. Рисунок 4.5 пок‡зы‚‡ет поле. Дополнительное з‡меч‡ние Поле — стукту‡, кото‡fl пеж肇ет ‰‚е п‡ы опе‡ций, используемые ‚ м‡тем‡тике: сложение/‚ычит‡ние и умножение/‰еление. Есть о‰но исключение: не ‡зешено ‰еление н‡ нуль. 127

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 4.5. Поле Конечные полfl Хотfl общее опе‰еление к‡с‡етсfl полей бесконечно„о поfl‰к‡, ‚ кипто„‡фии используютсfl экстенси‚но только конечные полfl. Конечное поле — поле с конечным числом элементо‚ — fl‚лflетсfl очень ‚‡жной стуктуой ‚ кипто„‡фии. Г‡лу‡ пок‡з‡л, что полfl, чтобы быть конечными, ‰олжны иметь число элементо‚ pn, „‰е p — постое, ‡ n — положительное целое число. Конечные полfl обычно н‡зы‚‡ют полflми Г‡лу‡ и обозн‡ч‡ют к‡к GF(pn). Поле Г‡лу‡, GF(pn), — конечное поле с pn элемент‡ми. Полfl GF (p) К‡ n = 1, мы получ‡ем поле GF (p). Это поле может быть множест‚ом Zp, (0, 1, …p–1) с ‰‚умfl ‡ифметическими опе‡циflми (сложение и умножение). Любой элемент ‚ этом множест‚е имеет ‡‰‰ити‚ную ин‚есию, и элементы, отличные от нулfl, имеют мультиплик‡ти‚ную ин‚есию (мультиплик‡ти‚н‡fl ин‚есиfl ‰лfl 0 отсутст‚ует). Пиме 4.12 Очень общее поле ‚ этой к‡те„оии — GF (2) с множест‚ом {0,1}, ‰‚умfl опе‡циflми, и умножением, к‡к пок‡з‡но н‡ исунке 4.6.

Рис. 4.6. Поле GF (2) Есть несколько моменто‚, котоые сле‰ует отметить ‚ опе‰елении это„о полfl. Пе‚ый: множест‚о имеет только ‰‚‡ элемент‡, котоые fl‚лflютсfl ‰‚оичными циф‡ми или бит‡ми (0 и 1). Втоой: опе‡циfl сложениfl — ф‡ктически ИСКЛЮЧАЮЩЕЕ ИЛИ (XOR), опе‡циfl, котоую мы используем с ‰‚умfl ‰‚о128

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

ичными циф‡ми. Тетий: опе‡циfl умножениfl — AND, опе‡циfl, котоую мы используем с ‰‚умfl ‰‚оичными циф‡ми. Чет‚етый: сложение и опе‡ции ‚ычит‡ниfl — те же с‡мые (опе‡циfl XOR). Пflтый: умножение и опе‡ции ‰елениfl — те же с‡мые (ОПЕРАЦИЯ AND). Сложение/‚ычит‡ние ‚ GF(2) — опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ (XOR); умножение/‰еление — ОПЕРАЦИЯ И (AND). Пиме 4.13 Мы можем опе‰елить GF(5) н‡ множест‚е Z5 (5 постое) с опе‡то‡ми сложениfl и умножениfl, пок‡з‡нными н‡ ис. 4.7. Хотfl есть ‚озможность использть ‡сшиенный ‡л„оитм Е‚кл艇, чтобы н‡йти мультиплик‡ти‚ные ин‚есии элементо‚ ‚ GF(5), поще сост‡‚ить т‡блицу умножениfl и н‡хо‰ить к‡ж‰ую п‡у, поиз‚е‰ение котоой ‡‚нflетсfl 1. Это (1, 1), (2, 3), (3, 2) и (4, 4). З‡метим, что мы можем н‡ этом множест‚е пименить ‚ычит‡ние и умножение/‰еление (з‡ исключением з‡пещенно„о ‰елениfl н‡ 0).

Рис. 4.7. Поле GF (5) Полfl GF(pn) В ‰ополнение к полflм GF(p) ‚ кипто„‡фии мы т‡кже интеесуемсfl полflми GF(pn). О‰н‡ко множест‚‡ Z, Zn, Zn* и Zp, котоые мы использли ‰о сих по с опе‡циflми сложениfl и умножениfl, не мо„ут у‰о‚лет‚оить тебниflм полfl. Поэтому ‰олжны быть опе‰елены некотоые но‚ые множест‚‡ и некотоые но‚ые опе‡ции н‡ этих множест‚‡х. В сле‰ующей секции мы ‡ссм‡т肇ем очень полезное ‚ кипто„‡фии поле GF(2n). Ито„и ‡ссмотенных стукту Изучение тех ‡л„еб‡ических стукту поз‚олflет н‡м использть множест‚‡, ‚ котоых мо„ут пименflтьсfl опе‡ции, по‰обные сложению/‚ычит‡нию и Т‡блиц‡ 4.3 Ито„и опе‰елениfl ‡л„еб‡ических стукту

129

Кус

Кипто„‡фиfl и безоп‡сность сетей

умножению/‰елению. Мы ‰олжны ‡злич‡ть эти ти стуктуы. Пе‚‡fl стукту‡ — „упп‡, пеж肇ет о‰ну п‡у с‚flз‡нных опе‡ций. Вто‡fl стукту‡ — кольцо, пеж肇ет о‰ну п‡у с‚flз‡нных опе‡ций и о‰ну о‰иночную опе‡цию. Тетьfl стукту‡ — поле, пеж肇ет ‰‚е п‡ы опе‡ций. Т‡блиц‡ 4.3 поможет н‡м у‚и‰еть эту ‡зницу.

4.2. Полfl GF(2n) В кипто„‡фии мы ч‡сто ‰олжны использть четые опе‡ции (сложение, ‚ычит‡ние, умножение и ‰еление). Ду„ими слми, мы пименflем полfl. О‰н‡ко к‡ мы ‡бот‡ем с компьюте‡ми, положительные целые числ‡ сох‡нflютсfl ‚ компьютее к‡к n-бито‚ые сл, ‚ котоых n fl‚лflетсfl обычно 8, 16, 32, 64, и т‡к ‰‡лее. Это озн‡ч‡ет, что ‰и‡п‡зон целых чисел — 0 ‰о 2n – 1. Мо‰уль — 2n. Т‡к что ‚озможны ‰‚‡ ‚‡и‡нт‡, если мы хотим использть поле. 1. Мы можем 燉ейст‚ть GF(p) с множест‚ом Zp, „‰е p — н‡ибольшее постое число, меньшее, чем 2n. Но эт‡ схем‡ неэффекти‚н‡, потому что мы не можем использть целые числ‡ от p ‰о 2n- 1. Н‡пиме, если n = 4, то н‡ибольшее постое число, меньшее, чем 24, — это 13. Это озн‡ч‡ет, что мы не можем использть целые числ‡ 13, 14 и 15. Если n = 8, н‡ибольшее постое число, меньшее, чем 28, — это 251, т‡к что мы не можем ‚зflть 251, 252, 253, 254 и 255. 2. Мы можем ‡бот‡ть ‚ GF(2n) и использть множест‚о 2n элементо‚. Элементы ‚ этом множест‚е — n-бито‚ые сл. Н‡пиме, если n = 3, множест‚о ‡‚но: {000, 001, 010,100,101,110,111} О‰н‡ко мы не можем интепетить к‡ж‰ый элемент к‡к целое число от 0 ‰о 7, потому что не мо„ут быть пименены обычные четые опе‡ции (мо‰уль 2n — не постое число). Мы ‰олжны опе‰елить множест‚о сло‚ по 2 бит‡ и ‰‚е но‚ых опе‡ции, котоые у‰о‚лет‚оflют с‚ойст‚‡м, опе‰еленным ‰лfl полfl. Пиме 4.14 Опе‰елим GF(22) поле, ‚ котоом множест‚о имеет четые сл по 2 бит‡: {00, 01, 10, 11}. Мы можем пееопе‰елить сложение и умножение ‰лfl это„о полfl т‡ким об‡зом, чтобы ‚се с‚ойст‚‡ этих опе‡ций были у‰о‚лет‚оены, к‡к это пок‡з‡но н‡ ис. 4.8.

Рис. 4.8. Пиме полfl GF(22) 130

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

К‡ж‰ое сло‚о — ‡‰‰ити‚н‡fl ин‚есиfl себfl. К‡ж‰ое сло‚о (коме 00) имеет мультиплик‡ти‚ную ин‚есию. Мультиплик‡ти‚ные об‡тные п‡ы — (01,01) и (10, 11). Сложение и умножение опе‰елено ‚ темин‡х полиномо‚.

Полиномы Хотfl мы можем непосе‰ст‚енно опе‰елить п‡‚ил‡ ‰лfl опе‡ций сложениfl и умножениfl сло‚ из 2-х бит, котоые у‰о‚лет‚оflют с‚ойст‚‡ ‚ GF(2n), поще ‡бот‡ть с полином‡ми степени n – 1 побитным пе‰ст‡‚лением сло‚. Полином степени n – 1 имеет фому f(x) = an-1 xn-1 + an-2xn-2 + ……+ a1x1 + a0x0 „‰е xi н‡з‚‡н темином «i-тый элемент», ‡ ai н‡зы‚‡етсfl коэффициентом i- то„о элемент‡. Хотfl мы зн‡ем полиномы ‚ ‡л„ебе, но пи пе‰ст‡‚лении n-бито‚ых сло‚ полином‡ми необхо‰имо сле‰о‚‡ть некотоым особым п‡‚ил‡м: ‡. степень x опе‰елflет позицию бит‡ ‚ n-бито‚ых сло‚. Это озн‡ч‡ет, что к‡йний ле‚ый бит н‡хо‰итсfl ‚ нуле‚ой позиции (с‚flз‡н с x0), с‡мый п‡‚ый бит н‡хо‰итсfl ‚ позиции n–1 (с‚flз‡н с xn-1); b. коэффициенты сомножителей опе‰елflют зн‡чение бито‚. К‡ж‰ый бит пиним‡ет только зн‡чение 0 или 1, поэтому н‡ши полиноми‡льные коэффициенты мо„ут иметь зн‡чение 0 или 1. Пиме 4.15 Использние полиномо‚ ‰лfl пе‰ост‡‚лениfl сл из 8 бит (10011001) пок‡з‡но н‡ ис. 4.9.

Рис. 4.9. Пе‰ст‡‚ление 8-ми бито‚о„о сл полиномом З‡метим, что элемент полностью попущен, если е„о коэффициент ‡‚ен 0, и попущен только коэффициент, если это 1. Т‡кже з‡метим, что элемент x0 ‡‚ен 1. Пиме 4.16 Чтобы н‡йти сло‚о н‡ 8 бито‚, с‚flз‡нное с полиномом x5+ x2 + x, мы сн‡ч‡л‡ ‚осст‡но‚им попущенные сомножители. Мы имеем n = 8, это озн‡ч‡ет полином степени 7. Р‡сшиенный полином имеет ‚и‰ 0x7 + 0x6 + 1 x5 + 0 x4 + 0x3 + 1x2 + 1x1 + 0x0 131

Кус

Кипто„‡фиfl и безоп‡сность сетей

Он с‚flз‡н со сло‚ом н‡ 8 бито‚ 00100110. Опе‡ции Об‡тите ‚ним‡ние, что люб‡fl опе‡циfl н‡ полином‡х ф‡ктически ‚ключ‡ет ‰‚е опе‡ции: опе‡ции 퇉 коэффициент‡ми и опе‡циии 퇉 ‰‚умfl полином‡ми. Ду„ими слми, мы ‰олжны опе‰елить ‰‚‡ полfl: о‰но ‰лfl коэффициенто‚ и о‰но ‰лfl полиномо‚. Коэффициенты ‡‚ны 0 или 1; ‰лfl этой цели мы можем использть GF(2)-поле. Мы уже „о‚оили о т‡ком поле (см. пиме 4.14). Длfl полиномо‚ н‡м нужно поле GF(2n), котоое мы коотко обсу‰им ниже. Полиномы, пе‰ст‡‚лflющие n-бито‚ые сл, используют ‰‚‡ полfl: GF(2) и GF(2n). Мо‰уль Пее‰ опе‰елением опе‡ций н‡ полином‡х мы ‰олжны по„о‚оить о полином‡х-мо‰улflх. Сложение ‰‚ух полиномо‚ ник‡ не со片ет полином, ‚ыхо‰flщий из множест‚‡. О‰н‡ко умножение ‰‚ух полиномо‚ может со片ть полином со степенью большей, чем n – 1. Это озн‡ч‡ет, что мы ‰олжны ‰елить езульт‡т н‡ мо‰уль и сох‡нflть только ост‡ток, к‡к мы ‰ел‡ли ‚ мо‰ульной ‡ифметике. Длfl множест‚ полиномо‚ ‚ GF(2n) „упп‡ полиномо‚ степени n опе‰елен‡ к‡к мо‰уль. Мо‰уль ‚ этом случ‡е ‰ейст‚ует к‡к полиноми‡льное постое число. Это озн‡ч‡ет, что ник‡кие полиномы множест‚‡ не мо„ут ‰елить этот полином. Постое полиноми‡льное число не может быть ‡зложено ‚ полиномы со степенью меньшей, чем n. Т‡кие полиномы н‡зы‚‡ютсfl непи‚о‰имые полиномы. Т‡блиц‡ 4.4 пок‡зы‚‡ет пимеы полиномо‚ 1-5 степеней. Длfl к‡ж‰о„о зн‡чениfl степени ч‡сто есть более чем о‰ин не‡з뇄‡емый полином, — это озн‡ч‡ет, что к‡ мы опе‰елflем н‡ш GF(2n), мы ‰олжны объfl‚ить, к‡кой непи‚о‰имый полином мы используем к‡к мо‰уль. Т‡блиц‡ 4.4. Список непи‚о‰имых полиномо‚ Степень

Непи‚о‰имый полином

1

(x+1),x

2

(x2+x+1)

3

(x3+x2+1), (x3+x+1)

4

(x4+x3+x2+x+1), (x4+x3+1), (x4+x+1)

5

(x5+x2+1), (x5+x3+x2+x+1), (x5+x4+x3+x+1) (x5+x4+x3+x2+1), (x5+x4+x2+x+1)

Сложение 132

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

Тепеь опе‰елим опе‡цию сложениfl ‰лfl полиномо‚ с коэффициентом ‚ GF(2). Опе‡циfl сложениfl очень пост‡fl: мы ск뇉ы‚‡ем коэффициенты соот‚етст‚ующих элементо‚ полином‡ ‚ поле GF(2). Об‡тите ‚ним‡ние, что сложение ‰‚ух полиномо‚ степени n – 1 ‚с儉‡ ‰‡ет полином со степенью n – 1 — это озн‡ч‡ет, что мы не ‰олжны использть ‚ычит‡ние мо‰улfl из езульт‡т‡. Пиме 4.17 Поиз‚е‰ем сложение (x5 + x2 + x) ⊕ (x3 + x2 + 1) ‚ GF(28). Мы используем сим‚ол ⊕ ‰лfl обозн‡чениfl полиноми‡льно„о сложениfl. Ниже пок‡з‡н‡ поце‰у‡: 0x7 + 0x6 +1x5 + 0x4 + 0x3 + 1x2 + 1x1 + 0x0 ⊕ 0x7 + 0x6 + 0x5 + 0x4 + 1x3 + 1x2 + 0x1 +1x 0 ____________________________________ 0x7 + 0x6 + 1x5 + 0x4 + 1x3 + 0x2 + 1x1 + 1x0 → x5 + x3 + x + 1 В упощенном полиноме (пок‡з‡н сп‡‚‡) сох‡нены элементы с коэффициентом 1 и у‰‡лены элементы с коэффициентом 0. Коме то„о, у‰‡лены со‚‡ющие элементы обеих полиномо‚, ‡ несо‚‡ющие сох‡нflютсfl. Ду„ими слми, x5, x,3 и x1 сох‡нflютсfl, ‡ x2, котоый fl‚лflетсfl со‚‡ющим ‚ этих ‰‚ух полином‡х, у‰‡лен. Пиме 4.18 Поскольку сложение ‚ GF(2) озн‡ч‡ет опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ (XOR), мы можем получить езульт‡т ИСКЛЮЧАЮЩЕГО ИЛИ ‰лfl этих ‰‚ух сло‚ бит з‡ битом. В пе‰ы‰ущем пимее x5 + x2 + x есть 00100110, или полином, и x3 + x2 + 1 есть 00001101. Результ‡т — 00101011 или, ‚ полиноми‡льном обозн‡чении, x5 + x3 + x + 1. А‰‰ити‚ный нейт‡льный элемент — тож‰ест‚о. А‰‰ити‚ный нейт‡льный элемент полином‡ — нуле‚ой полином (полином со ‚семи коэффициент‡ми, ‡‚ными нулю), потому что, пиᇂлflfl этот полином к с‡мому себе, ‚ езульт‡те получ‡ем нуле‚ой полином. А‰‰ити‚н‡fl ин‚есиfl полином‡ с коэффициент‡ми ‚ GF(2) — с‡м полином. Это озн‡ч‡ет, что опе‡циfl ‚ычит‡ниfl т‡ же с‡м‡fl, что и опе‡циfl сложениfl. Сложение и опе‡ции ‚ычит‡ниfl н‡ полином‡х — т‡ же с‡м‡fl опе‡циfl. Умножение Умножение ‚ полином‡х — сумм‡ умножениfl к‡ж‰о„о элемент‡ о‰но„о полином‡ с к‡ж‰ым элементом ‚тоо„о полином‡. О‰н‡ко необхо‰имо отметить ти особенности. Пе‚‡fl: умножение коэффициент‡ по‚о‰итсfl ‚ поле GF(2). Вто‡fl: умножение xi н‡ xj ‰‡ет езульт‡т xi+j. Тетьfl: умножение может со片ть элементы со степенью большей, чем n–1, и это озн‡ч‡ет, что езульт‡т ‰олжен быть уменьшен с пименением полином‡-мо‰улfl.

133

Кус

Кипто„‡фиfl и безоп‡сность сетей

Сн‡ч‡л‡ пок‡жем, к‡к умножить ‰‚‡ полином‡ со„л‡сно ‚ышеупомflнутому опе‰елению. Позже бу‰ет ‰‡н более эффекти‚ный ‡л„оитм, котоый может использтьсfl компьютеной по„‡ммой. Пиме 4.19 Н‡й‰ите езульт‡т (x5 + x2 + x) ⊗ (x7 + x 4+ x3 + x2 +x) ‚ GF(28) с не‡з뇄‡емым полиномом (x8 + x4 + x3 + x+ 1). Об‡тите ‚ним‡ние, что ‰лfl обозн‡чениfl умножениfl ‰‚ух полиномо‚ пименен сим‚ол ⊗. Решение Сн‡ч‡л‡ умнож‡ем эти ‰‚‡ полином‡ т‡к, к‡к мы это ‰ел‡ли ‚ обычной ‡л„ебе. Об‡тите ‚ним‡ние, что ‚ этом поцессе п‡‡ элементо‚ с ‡‚ной степенью у‰‡лflетсfl. Н‡пиме, езульт‡т x9 + x9 полностью у‰‡лен, потому что он нуле‚ой полином, по пичине, котоую мы обсу扇ли ‡ньше пи ‡ссмотении опе‡ции сложениfl.

P1 ⊗ P2 = x5 (x7 + x4 + x3 + x2 + x) + x2 (x7 + x4 + x3 + x2 + x) + x (x7 + x4+ x3 + x2 + x) P1 ⊗ P2 = x12 + x9 + x8 + x7 + x6 + x9 + x6 + x5 + x4 + x3 + x8 + x5 + x4 + x3 + x2 P1 ⊗ P2 = (xl2 +-x7+x2) mod (x8+x4+x3+x +1) = x5+x3+x2+ x+1 Чтобы н‡йти конечный езульт‡т, ‡з‰елим полином степени 12 н‡ полином степени 8 (мо‰уль) и сох‡ним только ост‡ток. Поцесс ‰елениfl т‡кой же, что и ‚ обычной ‡л„ебе, но мы ‰олжны помнить, что з‰есь ‚ычит‡ние то же с‡мое, что и сложение. Рисунок 4.10 пок‡зы‚‡ет поцесс ‰елениfl. Рис. 4.10. Полиноми‡льное ‰еление с коэффициент‡ми ‚ поле GF (2) Мультиплик‡ти‚ное тож‰ест‚о — ‚с儉‡ ‡‚но 1. Н‡пиме, ‚ GF(28) мультиплик‡ти‚н‡fl ин‚есиfl — ‚ побитном изоб‡жении 00000001. Мультиплик‡ти‚н‡fl ин‚есиfl. Поиск мультиплик‡ти‚ной ин‚есии тебует пи‚лечениfl ‡сшиенно„о ‡л„оитм‡ Е‚кл艇. Ал„оитм Екл艇 ‰олжен быть пименен к мо‰улю и полиному, ‚ыполнение ‡л„оитм‡ fl‚лflетсfl т‡ким же, к‡к и ‰лfl целых чисел.

Пиме 4.20 В GF(24) н‡й‰ите ин‚есию (x2 + 1) mod (x4 + x + 1). 134

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

Решение Мы используем ‡сшиенный е‚кли‰о‚ ‡л„оитм, к‡к это пок‡з‡но ‚ т‡блице 4.5: Т‡блиц‡ 4.5. Ал„оитм Е‚кл艇 ‰лfl уп‡жнениfl 4.20 Это озн‡ч‡ет, что (x2 + 1)-1 mod (x4 + x + 1) есть (x3 + x + 1). От‚ет может быть по‚еен посто: 퇉о пеемножить эти ‰‚‡ полином‡ и н‡йти ост‡ток. В этом случ‡е езульт‡т ‰елениfl н‡ мо‰уль ‡‚ен [(x2 + l) ⊗ (x3 + x + 1)] mod (x4 + x + 1) = 1

Пиме 4.21 В GF(28) н‡й‰ите ин‚есию (x5) mod (x8 + x4 + x3 + x + 1). Решение Бу‰ем использть ‡сшиенный е‚кли‰о‚ ‡л„оитм, к‡к это пок‡з‡но ‚ Т‡блице 4.6: Т‡блиц‡ 4.6. Е‚кли‰о‚ ‡л„оитм ‰лfl пиме‡ 4.21 Это озн‡ч‡ет, что (x5)-1 mod (x8 + x4 + x3 + x + 1) есть (x5 + x4 + x2 + x). Результ‡т может быть ле„ко по‚еен умножением этих ‰‚ух полиномо‚ и опе‰елением ост‡тк‡ ‰елениfl по мо‰улю. [(x5) ⊗ (x5 +x4 +x3 +x)] mode(x8 +x4 +x3 +x + 1) = 1 Умножение, использующее компьюте Опе‡циfl ‰елениfl поо扇ет поблему н‡пис‡ниfl эффекти‚ной по„‡ммы умножениfl ‰‚ух полиномо‚. Лучший ‡л„оитм ‰лfl компьютеной е‡лиз‡ции использует нео‰нок‡тное умножение уменьшенно„о полином‡ н‡ x. Н‡пиме, ‚место то„о чтобы н‡хо‰ить езульт‡т (x2 ⊗ P2), по„‡мм‡ н‡хо‰ит езульт‡т (x ⊗ (x ⊗ P2)). Пеимущест‚‡ этой ст‡те„ии бу‰ет обсу扇тьсfl ‰‡лее, но сн‡ч‡л‡ ‡ссмотим пиме, чтобы поиллюстить ‡л„оитм. Пиме 4.22 Н‡й‰ите езульт‡т умножениfl P1 = (x5 + x2 + x) н‡ P2 = (x7 + x4 + x3 + x2 + x) ‚ поле GF(28) с непи‚о‰имым полиномом (x8 + x4 + x3 + x + 1), используfl ‡л„оитм, изложенный ‚ыше. Решение Поцесс пок‡з‡н ‚ т‡блице 4.7. Мы сн‡ч‡л‡ н‡хо‰им помежуточный езульт‡т умножениfl x0, x1, x2, x3, x4 и x5. З‡метим, что необхо‰имы только ти со135

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 4.7. Эффекти‚ный ‡л„оитм умножениfl, использующий полиномы (пиме 4.22) Степень

Опе‡циfl

x 0 ⊗ P2

Но‚ый езульт‡т

Вычит‡ние

x7+x4+x3+x2+x

Нет

x1⊗P2

x ⊗ (x7+x4+x3+x2+x)

x5+x2+x+1

ДА

x 2 ⊗ P2

x ⊗ ( x5+x2+x+1)

x6+x3+x2+x

Нет

ст‡‚лflющие поиз‚е‰ениfl x m ⊗ P 2 ‰лfl m от 0 ‰о 5, к‡ж‰ое ‚ычисление 燂исит от пе‰ы‰уще„о езульт‡т‡. Р‡ссмотенный ‚ыше ‡л„оитм имеет ‰‚‡ пеимущест‚‡. Пе‚ое — умножение полином‡ н‡ x может быть ‚ыполнено постым с‰‚и„ом о‰но„о бит‡ ‚ n-бито‚ом сло‚е; опе‡циfl может быть е‡лизо‚‡н‡ н‡ любом flзыке по„‡мминиfl. Втоое — езульт‡т может быть использн, если м‡ксим‡льн‡fl степень полином‡ n–1. В этом случ‡е сок‡щение может быть с‰ел‡но посто с помощью пименениfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ с 燉‡нным мо‰улем. В н‡шем пимее с‡м‡fl ‚ысок‡fl степень — только 8. Мы можем ‡з‡бот‡ть постой ‡л„оитм ‰лfl н‡хож‰ениfl помежуточных езульт‡то‚. 1. Если ст‡ший ‡зfl‰ пе‰ы‰уще„о езульт‡т‡ ‡‚ен 0, 퇉о с‰‚инуть пе‰ы‰ущий езульт‡т н‡ о‰ин бит ‚ле‚о. 2. Если ст‡ший бит пе‰ы‰уще„о езульт‡т‡ ‡‚ен 1:

‡. 퇉о с‰‚инуть н‡ о‰ин бит ‚ле‚о, и б. пименить к нему опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ с мо‰улем, исключи‚ из этой опе‡ции ст‡ший ‡зfl‰. По‚тоим пиме 4.22 ‰лfl ‰‚оичной после‰о‚‡тельности ‡змеом 8 бит. Пусть P1 = 000100110, P2 = 10011110, мо‰уль = 100011010 (‰е‚flть бито‚). Обозн‡чим опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ к‡к ⊕. Пиме пи‚е‰ен ‚ т‡блице 4.8. Т‡блиц‡ 4.8. Эффекти‚ное умножение с пименением n-бито‚о„о сл В этом случ‡е ‰лfl умножениfl этих ‰‚ух полиномо‚ н‡м тебуетсfl только пflть опе‡ций ле‚о„о с‰‚脇 и четые ИСКЛЮЧАЮЩЕЕ ИЛИ. Вообще, ‰лfl ум136

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

ножениfl ‰‚ух полиномо‚ степени n-1 необхо‰имо м‡ксим‡льно (n–1) опе‡ций ле‚о„о с‰‚脇 и 2n опе‡ций ИСКЛЮЧАЮЩЕЕ ИЛИ. Умножение полиномо‚ ‚ GF(2n) может быть ‚ыполнено с помощью опе‡ций ле‚о„о с‰‚脇 и ИСКЛЮЧАЮЩЕЕ ИЛИ. Пиме 4.24 Поле GF(23) состоит из 8 элементо‚. Пок‡жем умножение и сложение т‡блиц ‰лfl это„о полfl, используfl непи‚о‰имый полином x3+x2+1. Мы бу‰ем опеить с техбито‚ым сло‚ом и полиномом. З‡метим, что имеетсfl ‰‚‡ полином‡ тетьей степени (см. т‡блицу 4.4). Ду„ой полином (x3 + x + 1) ‰лfl умножениfl имеет т‡блицу, полностью отлич‡ющуюсfl от пе‚ой. Т‡блиц‡ 4.9 пок‡зы‚‡ет сложение. З‡темненные клетки (нуле‚ые) ‰‡ют об‡тные п‡ы ‰лfl сложениfl. Т‡блиц‡ 4.10 пок‡зы‚‡ет умножение. З‡темненные клетки (е‰иничные) ‰‡ют об‡тные п‡ы пи умножении.

Использние „ене‡то‡ Ин‡ поще опе‰елить элементы полfl GF(2n), используfl „ене‡то. В этом поле с непи‚о‰имым полиномом f(x) и элементом полfl a нужно у‰о‚лет‚оить отношение f(‡) = 0. В ч‡стности, если g — „ене‡то полfl, то f(g)=0. Т‡ можно ‰ок‡з‡ть, что элементы полfl мо„ут быть с„енеины к‡к {0, g,g, g2,.... gn}, „‰е N = 2n – 2 Т‡блиц‡ 4.9. Сложение ‚ поле GF(23) Пиме 4.25 137

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 4.10. Умножение ‚ поле GF(23)

Длfl „енеиниfl элементо‚ полfl GF(24) используйте полином f(x) = x4 + x +1. Решение Элементы 0, g0, g 1, g2 и g3 мо„ут быть с„енеины ‰ост‡точно посто, потому что ‚ 4-бито‚ом поле они пе‰ст‡‚лены 0, x0, x 1, x2 и x3 (не тебуетсfl ‰елениfl н‡ полином). Элементы от g4 ‰о g14, котоые пе‰ст‡‚лflют от x4 ‰о x14, нужно ‡з‰елить н‡ непи‚о‰имый полином. Длfl т‡ко„о ‰елениfl можно пименить полином f(g) = g4 + g +1 = 0. Пимени‚ это отношение, мы имеем g4 = –g–1. поскольку сложение полей и ‚ычит‡ние полей — т‡ же с‡м‡fl опе‡циfl, g4 = g + 1. Мы используем это отношение, чтобы н‡йти зн‡чение ‚сех элементо‚ ‚ ‚и‰е 4-бито‚ых сло‚: 0 g0 g1 g2 g3 g4 g5 g6 g7 g8 g9 g10 g11 g12 g13

=0 = g0 = g1 = g2 = g3 = g4 = g (g4) = g (g5) = g (g6) = g (g7) = g (g8) = g (g9) = g (g10) = g (g11) = g (g12)

= = = = = = = = = = = = = = =

0 g0 g1 g2 g3 g4 g (g +1) g (g2 + g) g (g3+ g) g (g3+ g + 1) g (g2+1) g (g3+ g) g (g2+ g + 1) g (g3+ g2 + g) g (g3+ g2 + g + 1) 138

=0 = g0 = g1 = g2 = g3 = g +1 = g2 + g = g3+ g2 = g3+ g + 1 = g2+1 = g3+ g = g2+ g + 1 = g3+ g2 + g = g3+ g2 + g + 1 = g3+ g2 + 1

→ → → → → → → → → → → → → → →

0 = (0000) g0 = (0001) g1 = (0010) g2 = (0100) g3 = (1000) g4 = (0011) g5 = (0110) g6 = (1100) g7 = (1011) g8 = (0101) g9 = (1010) g10 = (0111) g11 = (1110) g12 = (1111) g13 = (1101)

Лекциfl 4

g14

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

= g (g13)

= g (g3+ g2 + 1)

= g3+ 1

→

g14 = (1001)

Г뇂н‡fl и‰еfl состоит ‚ том, что ‚ычисление элементо‚ полfl от g4 ‰о g14 с‚о‰итсfl к использнию соотношениfl g4 = g +1 и пе‰ы‰ущих ‚ычислений. Н‡пиме, g12 = g(g11) =g(g3 + g2 + g) = g4 + g3 + g2 = g3 + g2 + g + 1 После сок‡щениfl можно посто пеоб‡зть степени ‚ n-бито‚ое сло‚о. Ск‡жем, g3 + 1 эк‚肇лентно 1001, потому что писутст‚уют элементы со степенью 0 и 3. З‡метим, что элементы с о‰ин‡ко‚ой степенью пи т‡ком поцессе ‚ычислениfl отменflют ‰у„ ‰у„‡. Н‡пиме, g2 + g2 = 0. Ин‚есии Н‡хож‰ение ин‚есий пи использнии пи‚е‰енно„о ‚ыше мет пе‰ст‡‚лениfl ‰ост‡точно посто. А‰‰ити‚ные ин‚есии А‰‰ити‚н‡fl ин‚есиfl к‡ж‰о„о элемент‡ — элемент непосе‰ст‚енно, потому что сложение и ‚ычит‡ние ‚ этом поле — о‰н‡ и т‡ же опе‡циfl, g3 = g3. Мультиплик‡ти‚ные ин‚есии Н‡йти мультиплик‡ти‚ную ин‚есию к‡ж‰о„о элемент‡ т‡кже очень посто. Н‡пиме, может н‡йти мультиплик‡ти‚ную ин‚есию элемент‡ g3, к‡к пок‡з‡но ниже: (g3) -1 = g -3 = g12 = g3 + g2+ g+1 → (1111) З‡метим, что ‚ этом случ‡е степень ‡ссчиты‚‡етсfl по мо‰улю 2n – 1, 24 – 1 = 15. Поэтому –3 mod 15 = 12 mod 15. Можно ле„ко ‰ок‡з‡ть, что g3 и g12 есть ин‚есные (об‡тные числ‡), потому что g3 × g12 = g15 = g0 = 1. Сложение и ‚ычит‡ние Сложение и ‚ычит‡ние — это о‰ин‡ко‚ые опе‡ции. Помежуточные езульт‡ты мо„ут быть упощены, к‡к поиллюстино ‚ сле‰ующем пимее. Пиме 4.26 Этот пиме пок‡зы‚‡ет езульт‡ты опе‡ций сложениfl и ‚ычит‡ниfl: a. (g3+g12+g7) = g3 + (g3+g2+g+1)+ (g3+g+1) = g3+g2 → (1100) b. g3–g6 = g3 + g6 = g3 + (g3+g2) = g2 → (0100) Умножение и ‰еление Умножение есть сложение степени по мо‰улю 2n – 1. Деление — это умножение, котоое использует мультиплик‡ти‚ную ин‚есию. 139

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 4.27 Ниже пок‡з‡ны опе‡ции умножениfl и ‰елениfl: ‡. g9 × g11 = g20 =g20mod15 = g5 =g2 + g → (0110) б. g3/g8 = g3 × g7=g10=g2 + g+ 1 → (0111)

Ито„и ‡з‰ел‡ конечные полfl Конечное поле GP (2n) может использтьсfl ‰лfl то„о, чтобы опе‰елить четые опе‡ции — сложение, ‚ычит‡ние, умножение и ‰еление n-битных сло‚. Только ‰еление н‡ нуль не опе‰елено. К‡ж‰ое n-бито‚ое сло‚о может быть пе‰ст‡‚лено к‡к полином степени n – 1 с коэффициент‡ми ‚ GF(2), — это озн‡ч‡ет, что опе‡ции н‡ n-бито‚ых слх мо„ут быть пе‰ст‡‚лены к‡к опе‡ции н‡ этом полиноме. Пи умножении ‰‚ух полиномо‚ необхо‰имо с‰ел‡ть эти опе‡ции опе‡циflми по мо‰улю. Длfl это„о мы ‰олжны опе‰елить непи‚о‰имый полином степени n. Чтобы н‡йти мультиплик‡ти‚ные ин‚есии к полином‡м, может быть пименен ‡сшиенный ‡л„оитм Е‚кл艇.

4.3. Рекомен‰о‚‡нн‡fl лите‡ту‡ Нижесле‰ующие кни„и и с‡йты обеспеч肇ют более ‰ет‡льное ‡ссмотение понflтий, обсуж‰енных ‚ этой лекции.

Кни„и [Dur05], [Ros06J], [Bla03], [BW00] и [DF04] оснтельно ‡ссм‡т肇ют ‡л„еб‡ические стуктуы.

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, обсу扇емых ‚ этой лекции. http://en.wikipedia.org/wiki/Algebraic_structure http: // en.wikipedia.org/wiki/Ring _ % 28mathematics%29 http://en.wikipedia.org/wiki/Polynomials http: // www.math.niu.edu / ~ rusin/known-math/index/20-XX.html http: // www.math.niu.edu / ~ rusin/known-math/index/13-XX.html http://www.hypermaths.org/quadibloc/math/abaint.htm http://en.wikipedia.org/wiki/Finite_field

4.4. Ито„и • Кипто„‡фиfl тебует 燉‡нных множест‚ и опе‡ций, опе‰еленных н‡ этих множест‚‡х. Комбин‡ции множест‚ и опе‡ций, пиложенных к элемент‡м этих множест‚, есть ‡л„еб‡ическ‡fl стукту‡. Были ‚‚е‰ены ти ‡л„еб‡ических стуктуы: „уппы, кольц‡ и полfl. 140

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

• Гупп‡ — ‡л„еб‡ическ‡fl стукту‡ с бин‡ной опе‡цией, у‰о‚лет‚оflющ‡fl четыем с‚ойст‚‡м: з‡мкнутость, ‡ссоци‡ти‚ность, сущест‚ние тож‰ест‚‡ (е‰инично„о элемент‡) и сущест‚ние ин‚есии. Коммут‡ти‚н‡fl „упп‡, т‡кже н‡зы‚‡ем‡fl ‡беле‚ой „уппой, — „упп‡, опе‡то котоой у‰о‚лет‚оflет ‰ополнительному с‚ойст‚у: коммут‡ти‚ности. • По‰множест‚о H „уппы G — пупп‡ G, если с‡мо H fl‚лflетсfl „уппой с соот‚етст‚ующими опе‡циflми н‡ G. Если пупп‡ „уппы может быть с„енеин‡, используfl степень элемент‡, то он‡ н‡зы‚‡етсfl циклической пуппой. Циклическ‡fl „упп‡ — это собст‚енн‡fl циклическ‡fl пупп‡ „уппы. • Теоем‡ Л‡„‡нж‡ с‚flзы‚‡ет поfl‰ок „уппы и поfl‰ок ее пуппы. Если поfl‰ок „упп G и H соот‚етст‚енно |G| и |H|, т‡ |H| ‰елит |G|. • Поfl‰ок элемент‡ a ‚ „уппе — н‡именьшее положительное целое число n, т‡кое, что an = e (е‰иничному элементу). • Кольцо — ‡л„еб‡ическ‡fl стукту‡ с ‰‚умfl опе‡циflми. Пе‚‡fl опе‡циfl ‰олжн‡ у‰о‚лет‚оflть ‚сем пflти с‚ойст‚‡м, тебуемым ‰лfl ‡беле‚ой „уппы. Вто‡fl опе‡циfl ‰олжн‡ у‰о‚лет‚оflть только пе‚ым ‰‚ум. Коме то„о, ‚то‡fl опе‡циfl ‰олжн‡ быть относительно пе‚ой ‰истибути‚ной. Коммут‡ти‚ное кольцо — это кольцо, ‚ котоом ‚то‡fl опе‡циfl у‰о‚лет‚оflет с‚ойст‚у коммут‡ти‚ности. • Поле — коммут‡ти‚ное кольцо, ‚ котоом ‚то‡fl опе‡циfl у‰о‚лет‚оflет пflти с‚ойст‚‡м, опе‰еленным ‰лfl пе‚ой опе‡ции, з‡ о‰ним исключением: е‰иничный элемент пе‚ой опе‡ции не имеет ин‚есии. Конечное поле, т‡кже н‡зы‚‡емое полем Г‡лу‡, — поле с элемент‡ми pn, „‰е p — постое число, ‡ n — положительное целое число. GF(pn) полfl используетсfl ‚ опе‡циflх н‡ n-бито‚ых слх ‚ кипто„‡фии. • Длfl то„о чтобы пе‰ст‡‚ить n-бито‚ые сл, используютсfl полиномы с коэффициент‡ми ‚ GF(2). Сложение и умножение n-бито‚ых сло‚ мо„ут быть опе‰елены к‡к сложение и умножение полиномо‚. Ин‡ поще опе‰елить элементы GF(2n)-полfl, используfl „ене‡то. Если g — „ене‡то полfl, то f(g) = 0. Н‡хож‰ение ин‚есий и ‚ыполнение опе‡ций н‡ элемент‡х полfl ст‡но‚flтсfl более постыми, к‡ элементы пе‰ст‡‚лены к‡к степени „ене‡то‡ полfl.

4.5. Вопосы и уп‡жнениfl Обзоные ‚опосы 1. Опе‰елите ‡л„еб‡ическую стуктуу и н‡зо‚ите ти ‡л„еб‡ических стуктуы, обсуж‰енные ‚ этой лекции. 2. Опе‰елите „уппу и пи‚е‰ите ‡зличиfl меж‰у „уппой и коммут‡ти‚ной „уппой. 3. Опе‰елите кольцо и пи‚е‰ите ‡зличиfl меж‰у кольцом и коммут‡ти‚ным кольцом. 4. Опе‰елите поле и пи‚е‰ите ‡зличиfl меж‰у бесконечным полем и конечным полем. 141

Кус

Кипто„‡фиfl и безоп‡сность сетей

5. Пок‡жите число элементо‚ ‚ поле Г‡лу‡ ‰лfl посто„о числ‡. 6. Д‡йте о‰ин пиме „уппы, использующей множест‚о ‚ычето‚ (опе‡ций по мо‰улю). 7. Д‡йте о‰ин пиме кольц‡, использующе„о множест‚о ‚ычето‚ (опе‡ций по мо‰улю). 8. Д‡йте о‰ин пиме полfl, использующе„о множест‚о ‚ычето‚ (опе‡ций по мо‰улю). 9. Пок‡жите, к‡к полином может пе‰ст‡‚ить n-бито‚ое сло‚о. 10. Опе‰елите непи‚о‰имый полином.

Уп‡жнениfl 1. Длfl „уппы G = : ‡. Док‡жите, что это — ‡бел傇 „упп‡. б. Пок‡жите езульт‡т опе‡ций 3 + 2 и 3–2 ‚ этой „уппе. 2. Длfl „уппы G = : ‡. Док‡жите, что это — ‡бел傇 „упп‡. б. Пок‡жите езульт‡т опе‡ций 5 × 1 и 1 ÷ 5. c. Объflсните, почему мы не ‰олжны беспокоитьсfl о ‰елении н‡ нуль ‚ этой „уппе. 3. В т‡блице 4.1 ‰лfl „уппы был‡ опе‰елен‡ только о‰н‡ опе‡циfl. Пе‰положим, что эт‡ опе‡циfl — сложение. Пок‡жите т‡блицу ‰лfl опе‡ции ‚ычит‡ниfl (об‡тн‡fl опе‡циfl). 4. Док‡жите, что пеест‡но‚к‡ ‚ „уппе, пок‡з‡нной ‚ т‡блице 4.2, не fl‚лflетсfl коммут‡ти‚ной. 5. Док‡жите, что пеест‡но‚к‡ ‚ „уппе, пок‡з‡нной ‚ т‡блице 4.2, ч‡стично, ‚ нескольких случ‡flх, у‰о‚лет‚оflет с‚ойст‚у ‡ссоци‡ти‚ности. 6. Со片йте т‡блицу пеест‡но‚ки ‰лfl ‰‚ух ‚хо‰о‚ и ‰‚ух ‚ыхо‰о‚, по‰обных пок‡з‡нным ‚ т‡блице 4.2. 7. Алис‡ пименflет ти после‰о‚‡тельных пеест‡но‚ки — [1 3 2], [3 2 1] и [2 1 3]. Пок‡жите, к‡к Боб может использть только о‰ну пеест‡но‚ку, чтобы изменить поцесс н‡ поти‚оположный. Пользуйтесь т‡блицей 4.2. 8. Н‡й‰ите ‚се пуппы сле‰ующих „упп: ‡. G = б. G = ‚. G = „. G = 9. Используfl теоему Л‡„‡нж‡, н‡й‰ите поfl‰ок ‚сех потенци‡льных пупп ‰лfl сле‰ующих „упп: ‡. G = б. G = ‚. G = „. G = 10. Н‡й‰ите поfl‰ок ‚сех элементо‚ ‚ сле‰ующих „упп‡х: ‡. G = 142

Лекциfl 4

М‡тем‡тик‡ кипто„‡фии. Ч‡сть II. Ал„еб‡ические стуктуы

б. G = ‚. G = „. G = 11. По‚тоите пиме 4.25, используfl непи‚о‰имый полином f(x) = x4 + x3 +1. 12. По‚тоите пиме 4.26, используfl непи‚о‰имый полином f(x) = x4 + x3 +1. 13. По‚тоите пиме 4.25, используfl непи‚о‰имый полином f(x) = x4 + x3 +1. 14. К‡кое ‚ы‡жение из нижесле‰ующих fl‚лflетсfl п‡‚ильным полем Г‡лу‡? ‡. GF(12) б. GF(13) ‚. GF(16) „. GF(17) 15. Длfl к‡ж‰о„о из сле‰ующих n-бито‚ых сло‚ н‡й‰ите полиномы, котоые пе‰ст‡‚лflют эти сл. ‡.10010 б. 10 ‚. 100001 „. 00011 16. Н‡й‰ите n-бито‚ое сло‚о, котоое пе‰ст‡‚лено к‡ж‰ым из сле‰ующих полиномо‚: ‡. x2 + 1 ‚ GF(24) б. x2 + 1 ‚ GF(25) ‚. x + 1 ‚ GF(23) „. x7 ‚ GF(28) 17. В поле GF(7) н‡й‰ите езульт‡т сле‰ующих опе‡ций: ‡. 5+3 б. 5–4 ‚. 5 × 3 „. 5 ÷ 3 18. Док‡жите, что (x) и (x + 1) — непи‚о‰имые полиномы степени 1. 19. Док‡жите, что (x2 + x + 1) — непи‚о‰имый полином степени 2. 20. Док‡жите, что (x3 + x2 + 1) — непи‚о‰имый полином степени 3. 21. Умножьте сле‰ующие 2-бито‚ые сл, используfl полиномы: ‡. (11) × (10) б. (1010) × (1000) ‚. (11100) × (10000) 22. Н‡й‰ите мультиплик‡ти‚ную ин‚есию сле‰ующих полиномо‚ ‚ GF(22). (З‡метим, что ‰лfl это„о полfl есть только о‰ин мо‰уль.) ‡. 1 б. x ‚. x + 1 23. Используйте ‡сшиенный е‚кли‰о‚ ‡л„оитм, чтобы н‡йти ин‚есию (x4 + x3 + 1) ‚ GF(25), пименflfl мо‰уль (x5 + x2 + 1). 24. Со片йте т‡блицу сложениfl и умножениfl ‰лfl GF(24), используfl (x4 + x3 + 1) к‡к мо‰уль. 25. Используfl т‡блицу 4.10, ‚ыполните сле‰ующие опе‡ции: ‡. (100) ÷ (010) 143

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лекциfl 5. В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом Цели и со‰еж‡ние В этой лекции пост‡‚лено несколько целей. • Пок‡з‡ть ‡зличие меж‰у т‡‰иционными и со‚еменными шиф‡ми с симметичным ключом. • Пи‚ести со‚еменные блочные шифы и обсу‰ить их х‡‡ктеистики. • Объflснить, почему со‚еменные блочные шифы ‰олжны быть споектины к‡к шифы по‰ст‡но‚ки. • В‚ести компоненты блочных шифо‚, т‡ких, к‡к P-блоки и S-блоки. • Обсу‰ить и пок‡з‡ть ‡зличие меж‰у ‰‚умfl кл‡сс‡ми шифо‚: шифы Ф‡йстелfl и шифы не-Ф‡йстелfl. • Обсу‰ить ‰‚‡ ‚艇 ‡т‡к, особо н‡п‡‚ленных н‡ ‡скытие со‚еменных блочных шифо‚: ‰иффеенци‡льный и линейный кипто‡н‡лиз. • В‚ести понflтие «шифы ‰лfl потоꇻ и пок‡з‡ть ‡зличие меж‰у синхонными и несинхонными шиф‡ми. • Обсу‰ить линейную и нелинейную об‡тную с‚flзь е„исто‚ с‰‚脇 ‰лfl е‡лиз‡ции поточных шифо‚. Т‡‰иционные шифы с симметичным ключом, котоые мы изуч‡ли ‰о сих по, оиентиуютсfl н‡ сим‚олы. С поfl‚лением компьюте‡ ст‡ли необхо‰имы шифы, оиентинные н‡ бит. Потому что инфом‡циfl, котоую 퇉о з‡шифть, — не ‚с儉‡ только текст; он‡ может т‡кже состоflть из чисел, „‡фики, ‡у‰ио- и ‚и‰енных. У‰обно пеоб‡зть эти типы ‰‡нных ‚ поток бито‚, чтобы з‡шифть этот поток и з‡тем пе則ть з‡шифнный поток. Коме то„о, к‡ текст об‡бот‡н н‡ ‡зfl‰ном уо‚не, к‡ж‰ый сим‚ол з‡менен н‡ 8 (или 16) бит, ‡ это озн‡ч‡ет, что число сим‚оло‚ ст‡но‚итсfl ‚ 8 (или 16) ‡з больше. Смеш肇ние больше„о числ‡ сим‚оло‚ у‚елич肇ет безоп‡сность. Эт‡ лекциfl обеспеч肇ет необхо‰имую осно‚у ‰лfl изучениfl со‚еменных блочных и поточных шифо‚, котоые ‡ссм‡т肇ютсfl ‚ сле‰ующих тех лекциflх. Больш‡fl ч‡сть этой лекции пос‚flщен‡ обсуж‰ению общих и‰ей со‚еменных блочных шифо‚, и только м‡л‡fl ч‡сть — пинцип‡м со‚еменных поточных шифо‚.

5.1. Со‚еменные блочные шифы Со‚еменный блочный шиф с симметичными ключ‡ми шифует n-бито‚ый блок исхо‰но„о текст‡ или ‡сшифо‚ы‚‡ет n-бито‚ый блок з‡шифнно„о текст‡. Ал„оитм шифниfl или ‰ешифниfl используют k-бито‚ый ключ. Ал„оитм ‰ешифниfl ‰олжен быть ин‚есией ‡л„оитм‡ шифниfl, и об‡ ‚ ‡боте используют о‰ин и тот же ключ з‡секеч肇ниfl т‡к, чтобы Боб мо„ ‚осст‡но‚ить сообщение, пе則‚‡емое Алисой. Рисунок 5.1 пок‡зы‚‡ет общую и‰ею шифниfl и ‰ешифниfl ‚ со‚еменном блочном шифе. 144

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Рис. 5.1. Со‚еменный блочный шиф Если сообщение имеет ‡зме меньше, чем n бит, нужно ‰оᇂить з‡полнение, чтобы со片ть этот n-‡зfl‰ный блок; если сообщение имеет больше, чем n бит, оно ‰олжно быть ‡з‰елено н‡ n-‡зfl‰ные блоки, и ‚ случ‡е необхо‰имости нужно ‰оᇂить к после‰нему блоку соот‚етст‚ующее з‡полнение. Общие зн‡чениfl ‰лfl n обычно 64, 128, 256 или 512 бито‚. Пиме 5.1 Сколько ‰ополнительных бит‚ нужно ‰оᇂить к сообщению 100 сим‚оло‚, если ‰лfl ко‰иниfl используетсfl ASCII по 8 бито‚ и блочный шиф пиним‡ет блоки 64 бит‡? Решение З‡ко‰ить 100 сим‚оло‚, используfl ASCII по 8 бито‚. Это сообщение со‰ежит 800 бит. Исхо‰ный текст ‰олжен ‰елитьсfl без ост‡тк‡ н‡ 64. Если | M | и | Pad | — ‰лин‡ сообщениfl и ‰лин‡ з‡полнениfl, то | m | + | Pad | = 0 mod 64 → | Pad | = –800 mod 64 → 32 mod 64 Это озн‡ч‡ет, что нужно к сообщению нужно ‰оᇂить 32 бит‡ з‡полнениfl (н‡пиме, нулей). Текст т‡ бу‰ет состоflть из 832 бито‚ или ти퇉ц‡ти 64‡зfl‰ных блоко‚. З‡метим, что только после‰ний блок со‰ежит з‡полнение. Шиф‡то использует ‡л„оитм шифниfl ти퇉ц‡ть ‡з, чтобы со片ть ти퇉ц‡ть блоко‚ з‡шифнно„о текст‡.

По‰ст‡но‚к‡, или т‡нспозициfl Со‚еменный блочный шиф может быть споектин т‡к, чтобы ‰ейст‚ть к‡к шиф по‰ст‡но‚ки или к‡к шиф т‡нспозиции1. Это — т‡ же с‡м‡fl и‰еfl, кото‡fl используетсfl и ‚ т‡‰иционных шиф‡х, з‡ исключением то„о, что сим‚олы, котоые бу‰ут з‡менены или пеемещены, со‰еж‡т биты ‚место сим‚оло‚. Если шиф споектин к‡к шиф по‰ст‡но‚ки, зн‡чениfl бит‡ 1 или 0 ‚ исхо‰ном тексте мо„ут быть з‡менены либо н‡ 0, либо н‡ 1. Это озн‡ч‡ет, что ис1

Т‡нспозициfl – пеест‡но‚к‡ элементо‚ множест‚‡ X, кото‡fl менflет мест‡ми только ‰‚‡ элемент‡ (пим. пе.) 145

Кус

Кипто„‡фиfl и безоп‡сность сетей

хо‰ный текст и з‡шифнный текст мо„ут иметь ‡зличное число е‰иниц. Блок исхо‰но„о текст‡ н‡ 64 бит‡, котоый со‰ежит 12 нулей и 52 е‰иницы, может быть пе‰ст‡‚лен ‚ з‡шифнном тексте 34 нулflми и 30 е‰иниц‡ми. Если шиф споектин к‡к шиф пеест‡но‚ки (т‡нспозиции), биты только менflют поfl‰ок сле‰о‚‡ниfl (пеемещ‡ютсfl), сох‡нflfl то же с‡мое число сим‚оло‚ ‚ исхо‰ном и з‡шифнном текст‡х. В любом случ‡е, число ‚озможных n-бито‚ых исхо‰ных тексто‚ или з‡шифнных тексто‚ ‡‚но 2n, потому что к‡ж‰ый из n бито‚, использнных ‚ блоке, может иметь о‰но из ‰‚ух зн‡чений — 0 или 1. Со‚еменные блочные шифы споектины к‡к шифы по‰ст‡но‚ки, потому что с‚ойст‚‡ т‡нспозиции (сох‡нение числ‡ е‰иниц или нулей) ‰ел‡ют шиф уflз‚имым к ‡т‡к‡м исчепы‚‡юще„о поиск‡, к‡к это пок‡зы‚‡ют нижесле‰ующие пимеы. Пиме 5.2 Пе‰положим, что мы имеем блочный шиф, „‰е n = 64. Если есть 10 е‰иниц ‚ з‡шифнном тексте, сколько испыт‡ний тип‡ «поб и ошибок» ‰олжн‡ с‰ел‡ть Е‚‡, чтобы получить исхо‰ный текст пеех‚‡ченно„о з‡шифнно„о текст‡ ‚ к‡ж‰ом из сле‰ующих случ‡е‚? a. Шиф споектин к‡к шиф по‰ст‡но‚ки. b. Шиф споектин к‡к шиф т‡нспозиции. Решение a. В пе‚ом случ‡е (по‰ст‡но‚к‡) Е‚‡ понflтиfl не имеет, сколько е‰иниц н‡хо‰итсfl ‚ исхо‰ном тексте. Е‚‡ ‰олжн‡ попобть ‚се ‚озможные 264 блок‡ по 64 бит‡, чтобы н‡йти о‰ин, котоый имеет смысл. Если бы Е‚‡ мо„л‡ побть 1 милли‡‰ блоко‚ ‚ секун‰у, то и т‡ ей потеблось бы сотни лет, пеж‰е чем эт‡ ‡бот‡ мо„л‡ бы пинести успех. b. Во ‚тоом случ‡е (пеест‡но‚к‡) Е‚‡ зн‡ет, что ‚ исхо‰ном тексте есть точно 10 е‰иниц, потому что т‡нспозициfl не изменflет числ‡ е‰иниц (или нулей) ‚ з‡шифнном тексте. Е‚‡ может н‡ч‡ть ‡т‡ку исчепы‚‡юще„о поиск‡, используfl только те 64-бито‚ые блоки, котоые имеют точно 10 е‰иниц. Есть только (64!) / [(10!) (54!)] = 151 473 214 816 из 264 сло‚ по 64 бит‡, котоые имеют точно 10 е‰иниц. Е‚‡ может по‚еить ‚сех их меньше чем з‡ 3 минуты, если он‡ может по‚ести 1 милли‡‰ испыт‡ний ‚ секун‰у. Стойкий к ‡т‡ке исчепы‚‡юще„о поиск‡ со‚еменный блочный шиф ‰олжен быть споектин к‡к шиф по‰ст‡но‚ки.

Блочные шифы к‡к „уппо‚ые м‡тем‡тические пеест‡но‚ки1 К‡к мы у‚и‰им ‚ сле‰ующих лекциflх, н‡м 퇉о зн‡ть, fl‚лflетсfl ли со‚еменный блочный шиф м‡тем‡тической „уппой (см. лекцию 4). Чтобы от‚етить 1

Пеест‡но‚к‡ – это упоfl‰оченный н‡бо чисел 1,2,3,…..,n. Пи этом n н‡зы‚‡етсfl поfl‰ком пеест‡но‚ки. Число пеест‡но‚ок поfl‰к‡ n ‡‚но n! = 1 × 2 × 3 × ... × n. 146

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

н‡ этот ‚опос, сн‡ч‡л‡ пе‰положим, что ключ ‰ост‡точно ‰линный, чтобы со片ть отоб‡жение любой ‚озможной ‚хо‰ной инфом‡ции ‚ ‚ыхо‰ную. Он н‡зы‚‡етсfl полно‡зменым ключе‚ым шифом. Н‡ п‡ктике, ключ бы‚‡ет меньше; ‰линный ключ можно пименflть только ‰лfl некотоых отоб‡жений ‚хо‰ной инфом‡ции ‚ ‚ыхо‰ную. Хотfl блочный шиф ‰олжен иметь ключ, котоый fl‚лflетсfl секетным пи обмене меж‰у пе則тчиком и пиемником, ‚ шифе используютсfl т‡кже компоненты, котоые не 燂исflт от ключ‡. Полно‡зменые ключе‚ые шифы Хотfl полно‡зменые ключе‚ые шифы сейч‡с п‡ктически не пименflютсfl, мы сн‡ч‡л‡ по„о‚оим о них, чтобы с‰ел‡ть более понflтным обсуж‰ение шифо‚ с ключом ч‡стично„о ‡зме‡. Полно‡зменые ключе‚ые блочные шифы т‡нспозиции. Т‡кой ключе‚ой шиф пеемещ‡ет биты, не изменflfl их зн‡чениfl, т‡к что может быть смо‰елин к‡к пеест‡но‚к‡ n-мено„о объект‡ с множест‚ом n! т‡блиц пеест‡но‚ки, ‚ котоых ключ опе‰елflет, к‡к‡fl т‡блиц‡ используетсfl Алисой и Бобом. Мы ‰олжны иметь n! ‚озможных ключей, и т‡кой ключ ‰олжен иметь ‰лину [log2n!] бит. Пиме 5.3 Пок‡жите мо‰ели и множест‚о т‡блиц пеест‡но‚ки ‰лfl блочно„о шиф‡ т‡нспозиции н‡ 3 бит‡, „‰е ‡зме блок‡ — 3 бит‡. Решение

Множест‚о т‡блиц пеест‡но‚ки имеет 3! = 6 элементо‚, к‡к пок‡з‡но н‡ ис. 5.2. Ключ ‰олжен быть ‰линой [log2n!] = 3 бит‡. З‡метим, что хотfl ключ н‡ 3 бит‡ может ‚ыб‡ть 23 = 8 ‡зличных отоб‡жений, мы используем только 6 из них. Рис. 5.2. Блочный шиф т‡нспозиции ‚ ‚и‰е пеест‡но‚ки Полно‡зменые ключе‚ые блочные шифы по‰ст‡но‚ки. Т‡кие шифы не пеемещ‡ют биты — они з‡менflют биты. Н‡ пе‚ый ‚з„лfl‰ к‡жетсfl, что полно‡зменый ключе‚ой шиф по‰ст‡но‚ки не может быть смо‰елин к‡к пеест‡но‚к‡. О‰н‡ко мы можем пименить мо‰ель пеест‡но‚ки ‰лfl шиф‡ по‰ст‡но‚ки, если сможем ‰еко‰ить ‚хо‰ную инфом‡цию и ко‰ить ‚ыхо‰ную. 147

Кус

Кипто„‡фиfl и безоп‡сность сетей

Деко‰иние з‰есь озн‡ч‡ет пеоб‡зние n-‡зfl‰но„о цело„о числ‡ ‚ стоку 2n-бит с е‰инст‚енной е‰иницей 1 и 2n–1 нулflми. Позициfl е‰инст‚енной е‰иницы ук‡зы‚‡ет зн‡чение цело„о числ‡ ‚ упоfl‰оченной после‰о‚‡тельности позиций стоки от 0 ‰о 2n – 1. Поскольку нfl ‚хо‰н‡fl инфом‡циfl имеет ‚с儉‡ е‰инст‚енную е‰иницу, шиф может быть смо‰елин к‡к пеест‡но‚к‡ 2n! объекто‚. Пиме 5.4 Пок‡жите мо‰ель и множест‚о т‡блиц пеест‡но‚ки ‰лfl шиф‡ по‰ст‡но‚ки блок‡ н‡ 3 бит‡. Решение Ти ‚хо‰ных исхо‰ных текст‡ мо„ут быть обозн‡чены целыми числ‡ми от 0 ‰о 7. Это может быть з‡ко‰ино к‡к сток‡, со‰еж‡щ‡fl 8 бито‚ с е‰инст‚енной е‰иницей. Н‡пиме, комбин‡циfl 000 может быть з‡ко‰ио‚‡н‡ к‡к 00000001 (пе‚‡fl е‰иниц‡ сп‡‚‡); комбин‡циfl 101 может быть з‡ко‰ио‚‡н‡ к‡к 00100000 (шест‡fl е‰иниц‡ сп‡‚‡). Рисунок 5.3 пок‡зы‚‡ет мо‰ель и множест‚о т‡блиц пеест‡но‚ки. З‡метим, что число элементо‚ ‚ з‡ко‰инном множест‚е н‡мно„о

больше, чем число элементо‚ ‚ шифе т‡нспозиции (8! = 40 320). Ключ — т‡кже н‡мно„о более ‰линный [log240320] = 16 бит. Хотfl ключ н‡ 16 бито‚ может опе‰елить 65 536 ‡зличных отоб‡жений, используютсfl только 40 320. Рис. 5.3. Блочный шиф по‰ст‡но‚ки мо‰елиуетсfl к‡к шиф пеест‡но‚ки

Полно‡зменый ключ — это n-‡зfl‰ный шиф т‡нспозиции или блочный шиф по‰ст‡но‚ки. Они мо„ут быть смо‰елины к‡к шифы пеест‡но‚ки, но ‡змеы их ключ‡ ‡зличны: ‰лfl шиф‡ т‡нспозиции ключ ‰линой — [log2n!], ‰лfl шиф‡ по‰ст‡но‚ки ключ ‰линой — [log2(2n)!]. 148

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Гуппfl пеест‡но‚к‡. Ф‡кт, что полно‡змен‡fl ключ傇fl т‡нспозициfl или шиф по‰ст‡но‚ки/пеест‡но‚ки пок‡зы‚‡ет, что если шифние (или ‰ешифние) использует больше чем о‰ну любую комбин‡цию из этих шифо‚, езульт‡т эк‚肇лентен опе‡ции „уппо‚ой пеест‡но‚ки. К‡к уже обсу扇лось ‚ лекции 4, ‰‚е или больше к‡сꇉных пеест‡но‚ки мо„ут ‚с儉‡ быть з‡менены е‰инст‚енной пеест‡но‚кой. Это озн‡ч‡ет, что бесполезно иметь больше чем о‰ин к‡сꇉ полно‡зменых ключе‚ых шифо‚, потому что эффект тот же с‡мый, к‡к и пи н‡личии е‰инст‚енно„о ш‡„‡. Шифы ключ‡ ч‡стично„о ‡зме‡ Ф‡ктические шифы не мо„ут использть полно‡зменые ключи, потому что ‡зме ключ‡ ст‡но‚итсfl несу‡зно большим, особенно ‰лfl блочно„о шиф‡ по‰ст‡но‚ки. Н‡пиме, общий шиф по‰ст‡но‚ки – DES (см. лекцию 6) — пименflет 64-‡зfl‰ный блочный шиф. Если бы поектио‚щики DES пименflли полно‡зменый ключ, он был бы log2 (264!) = 270 бито‚. Н‡ п‡ктике ключ ‰лfl DES — только 56 бито‚, что fl‚лflетсfl очень м‡леньким ф‡„ментом полно‡змено„о ключ‡. Это озн‡ч‡ет, что DES использует только 256 отоб‡жений из пиблизительно 2270 ‚озможных отоб‡жений. Гупп‡ пеест‡но‚ки. З‡‰‡‰им себе ‚опос: можно ли уст‡но‚ить, что мно„оступенч‡т‡fl т‡нспозициfl с ч‡стичным ключом или по‰ст‡но‚к‡ — это „упп‡ пеест‡но‚ки с композицией опе‡ций? От‚ет н‡ этот ‚опос чез‚ыч‡йно ‚‡жен, потому что он „о‚оит н‡м о том, fl‚лflетсfl ли мно„оступенч‡т‡fl ‚есиfl с ч‡стичным шифом т‡ким же се‰ст‚ом шифниfl, к‡к и с‡м шиф. Этот ф‡кт поз‚олflет ‰ости„нуть большей степени безоп‡сности (см. обсуж‰ение мно„ок‡тной DES ‚ лекции 6). Ч‡стичный ключе‚ой шиф – это „упп‡, если это — пупп‡ соот‚етст‚ующе„о ‡зме‡ ключ‡ шиф‡. Ду„ими слми, если полно‡зменый ключе‚ой шиф — это „упп‡ G = <M, o>, „‰е М. — множест‚о отоб‡жений и (o) — композициfl опе‡ций, то шиф с ключом ч‡стично„о ‡зме‡ ‰олжен пе‰ст‡‚лflть пуппу H = , „‰е N — по‰множест‚о М с теми же с‡мыми опе‡циflми. Н‡пиме, было ‰ок‡з‡но, что мно„оступенч‡тый DES с 56-бито‚ым ключом не fl‚лflетсfl „уппой, потому что пупп‡ с 256 отоб‡жениflми не может быть соз‰‡н‡ из „уппы с 264! отоб‡жениflми. Ч‡стичный ключе‚ой шиф есть „упп‡ с н‡боом опе‡ций, если он fl‚лflетсfl пуппой соот‚етст‚ующе„о полно‡змено„о ключе‚о„о шиф‡.

Шифы без ключ‡ Хотfl использние от‰ельно шиф‡ без ключ‡ ф‡ктически бесполезно, ‚озможно их пименение ‚ к‡чест‚е компоненто‚ ключе‚ых шифо‚. Шиф т‡нспозиции без ключ‡. Шифы без ключ‡ (или с фиксинным ключом) можно ‡ссм‡т肇ть к‡к шиф т‡нспозиции, е‡лизнный ‚ ‡пп‡‡тных се‰ст‚‡х. Фиксинный ключ (е‰инст‚енное п‡‚ило пеест‡но‚ки) 149

Кус

Кипто„‡фиfl и безоп‡сность сетей

может быть пе‰ст‡‚лен к‡к т‡блиц‡ ‚ случ‡е е‡лиз‡ции шиф‡ ‚ по„‡ммном обеспечении. Сле‰ующ‡fl ч‡сть этой лекции обсу扇ет шифы т‡нспозиции без ключ‡, н‡з‚‡нные P-блок‡ми, котоые используютсfl к‡к ст‡н‰‡тные блоки со‚еменных блочных шифо‚. Шифы по‰ст‡но‚ки без ключ‡. Т‡кой шиф без ключ‡ (или с фиксинным ключом) можно пе‰ст‡‚ить себе к‡к з‡‡нее опе‰еленное отоб‡жение ‚хо‰ной инфом‡ции к ‚ыхо‰ной. Отоб‡жение может быть пе‰ст‡‚лено к‡к т‡блиц‡, к‡к м‡тем‡тическ‡fl функциfl, ‡ т‡кже ‰у„ими способ‡ми. В сле‰ующей ч‡сти этой лекции ‡ссм‡т肇ютсfl шифы по‰ст‡но‚ки без ключей, н‡з‚‡нные S-блок‡ми, котоые пименflютсfl к‡к ст‡н‰‡тные блоки со‚еменных блочных шифо‚.

Компоненты со‚еменно„о блочно„о шиф‡ Со‚еменные блочные шифы обычно fl‚лflютсfl ключе‚ыми шиф‡ми по‰ст‡но‚ки, ‚ котоых ключ поз‚олflет только ч‡стичные отоб‡жениfl ‚озможных ‚хо‰о‚ инфом‡ции ‚ ‚озможные ‚ыхо‰ы. О‰н‡ко эти шифы обычно не поектиуютсfl к‡к е‰иный мо‰уль. Чтобы обеспеч肇ть тебуемые с‚ойст‚‡ со‚еменно„о блочно„о шиф‡, т‡кие, к‡к ‡ссеflние и пеемеш肇ние инфом‡ции (обсу扇етсfl к‡тко), этот шиф фомиуетсfl к‡к комбин‡циfl мо‰улей т‡нспозиции (н‡зы‚‡емых P-блок‡ми), мо‰улей по‰ст‡но‚ки (н‡зы‚‡емых S-блок‡ми) и некотоыми ‰у„ими мо‰улflми (обсу扇етсfl к‡тко).

P-блок (блок пеест‡но‚ки) по‰обен т‡‰иционному шифу т‡нспозиции сим‚оло‚. Он пеемещ‡ет биты. В со‚еменных блочных шиф‡х мы можем н‡йти ти тип‡ P-блоко‚: пflмые P-блоки, P-блоки ‡сшиениfl и P-блоки сж‡тиfl, что и пок‡з‡но н‡ ис. 5.4. Рис. 5.4. Ти тип‡ P-блоко‚ Рисунок 5.4 пок‡зы‚‡ет пflмой P-блок 5 × 5, P-блок сж‡тиfl 5 × 3 и P-блок ‡сшиениfl 3 × 5. Р‡ссмотим к‡ж‰ый из них более по‰обно. Пflмые P-блоки. Пflмой P-блок с n ‚хми и n ‚ыхми – это пеест‡но‚к‡ с n! ‚озможными отоб‡жениflми. Пиме 5.5 Рисунок 5.5 пок‡зы‚‡ет ‚се 6 ‚озможных отоб‡жений P-блок‡ 3 × 3. 150

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Рис. 5.5. Возможные отоб‡жениfl P-блок‡ 3 × 3 Хотfl P-блок может использть ключ, чтобы опе‰елить о‰но из n! отоб‡жений, обычно P-блоки – без пименениfl ключ‡, то есть отоб‡жение 燉‡но з‡‡нее. Если P-блок 燉‡н з‡‡нее и ‚монтио‚‡н ‚ ‡пп‡‡тные се‰ст‚‡ или если он е‡лизо‚‡н ‚ по„‡ммном обеспечении, т‡блицы пеест‡но‚ок 燉‡ют п‡‚ило отоб‡жениfl. Во ‚тоом случ‡е ‚хо‰ы ‚ т‡блице ук‡зы‚‡ют ‚ позиции, ‚ котоых ук‡з‡ны позиции ‚ыхо‰о‚. Т‡блиц‡ 5.1 ‰‡ет пиме т‡блицы пеест‡но‚ок, к‡ n ‡‚но 64. Т‡блиц‡ 5.1. Пиме т‡блицы пеест‡но‚ки ‰лfl пflмо„о P-блок‡ 58 50 42 34 26 18 10 02 60 52 44 36 28 20 12 04 62 54 46 38 30 22 14 06 64 56 48 40 32 24 16 08 57 49 41 33 25 17 09 01 59 51 43 35 27 19 11 03 6153 45 37 29 21 13 05 63 55 47 39 31 23 15 07 Т‡блиц‡ 5.1 имеет 64 т‡бличных ‚х, котоые фиксиуют соот‚етст‚ие 64 инфом‡ционным ‚хм. Позициfl (ин‰екс) ‚х соот‚етст‚ует ‚ыхо‰у. Н‡пиме, пе‚ый т‡бличный ‚хо‰ со‰ежит номе 58. Это озн‡ч‡ет, что пе‚ый ‚ыхо‰ бу‰ет соот‚етст‚ть 58-му ‚хо‰у. Поскольку после‰ний т‡бличный ‚хо‰ — 7, это озн‡ч‡ет, что 64-й ‚ыхо‰ бу‰ет соот‚етст‚ть 7-му инфом‡ционному ‚хо‰у, и т‡к ‰‡лее. Пиме 5.6 Сост‡‚ьте т‡блицу пеест‡но‚ки ‰лfl пflмо„о P-блок‡ 8 × 8, кото‡fl пеемещ‡ет ‰‚‡ се‰них бит‡ (биты 4 и 5) ‚о ‚хо‰ном сло‚е к ‰‚ум к‡йним бит‡м (биты 1 и 8) ‚ыхо‰но„о сл. Относительные позиции ‰у„их бито‚ не изменflютсfl. Решение Н‡м 퇉о со片ть пflмой P-блок с т‡блицей [4 1 2 3 6 7 8 5]. Относительные позиции бит 1, 2, 3, 6, 7 и 8 не менflютсfl, но пе‚ый инфом‡ционный ‚ыхо‰ с‚flз‡н с чет‚етым инфом‡ционным ‚хо‰ом, ‚осьмой инфом‡ционный ‚ыхо‰ — с пflтым инфом‡ционным ‚хо‰ом. P-блоки сж‡тиfl. P-блок сж‡тиfl – это P-блок с n ‚хми и m ‚ыхми, „‰е m < n. Некотоые из инфом‡ционных ‚хо‰о‚ блокины и не с‚flз‡ны с ‚ыхо‰ом (см. исунок 5.4). P-блоки сж‡тиfl, используемые ‚ со‚еменных блочных шиф‡х, обычно fl‚лflютсfl бесключе‚ыми с т‡блицей пеест‡но‚ки, кото‡fl ук‡зы‚‡ет п‡‚ил‡ пеест‡но‚ки бит. Н‡м 퇉о учиты‚‡ть, что т‡блиц‡ пеест‡но‚ок ‰лfl P-блок‡ сж‡тиfl имеет m т‡бличных ‚хо‰о‚, но ‚ со‰еж‡нии к‡ж‰о„о т‡блично„о ‚х – от 1 ‰о n, и некотоые из них мо„ут отсутст‚ть (те инфом‡ционные ‚хо‰ы, котоые блокины). Т‡блиц‡ 5.2 пок‡зы‚‡ет пиме т‡блицы пее151

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 5.2. Пиме т‡блицы пеест‡но‚ки 32 × 24 01 02 03 21 22 26 27 28 29 13 14 17 18 19 20 04 05 06 10 11 12 30 31 32 ст‡но‚ки ‰лfl P-блок‡ сж‡тиfl 32 × 24. Об‡тите ‚ним‡ние, что ‚хо‰ы 7, 8, 9, 16, 23, 24 и 25 блокины. P-блоки сж‡тиfl используютсfl, к‡ мы ‰олжны пеест‡‚ить биты и ‚ то же ‚емfl уменьшить число бито‚ ‰лfl сле‰ующей ступени. P-блок ‡сшиениfl — P-блок с n ‚хми и m ‚ыхми, „‰е m> n. Некотоые из ‚хо‰о‚ с‚flз‡ны больше чем с о‰ним ‚ыхо‰ом (см. ис. 5.4). P-блоки ‡сшиениfl, используемые ‚ со‚еменных блочных шиф‡х, обычно без ключ‡. П‡‚ил‡ пеест‡но‚ки бит ук‡зы‚‡ютсfl ‚ т‡блице. Т‡блиц‡ пеест‡но‚ки ‰лfl Pблок‡ ‡сшиениfl имеет m т‡бличных ‚хо‰о‚, но m – n ‚хо‰о‚ (те ‚хо‰ы, котоые с‚flз‡ны больше чем с о‰ним инфом‡ционным ‚ыхо‰ом). Т‡блиц‡ 5.3 пок‡зы‚‡ет пиме т‡блицы пеест‡но‚ки ‰лfl P-блок‡ ‡сшиениfl 12 × 16. Об‡тите ‚ним‡ние, что к‡ж‰ый из 1, 3, 9 и 12 сое‰инен с ‰‚умfl ‚ыхми. Т‡блиц‡ 5.3. Пиме т‡блиц пеест‡но‚ки 12 × 16 01 09 10 11 12 01 02 03 03 04 05 06 07 08 09 12 P-блоки ‡сшиениfl пименflютсfl, к‡ мы ‰олжны пеест‡‚ить биты и ‚ то же ‚емfl у‚еличить число бито‚ ‰лfl сле‰ующе„о к‡сꇉ‡ шифниfl. Об‡тимость. Пflмой P-блок fl‚лflетсfl об‡тимым. Это озн‡ч‡ет, что мы можем использть пflмой P-бито‚ый шиф и ‰ешифть е„о. Т‡блицы пеест‡но‚ки, о‰н‡ко, ‰олжны быть об‡тимыми по отношению ‰у„ к ‰у„у. В лекции 3 мы ‚и‰ели, к‡к можно получить об‡тную т‡блицу пеест‡но‚ки.

Пиме 5.7 Рисунок 5.6 пок‡зы‚‡ет, к‡к изменить т‡блицу пеест‡но‚ки ‚ случ‡е о‰номеной т‡блицы. Рис. 5.6. Изменение т‡блицы пеест‡но‚ки P-блоки сж‡тиfl и ‡сшиениfl необ‡тимы. В P-блок‡х сж‡тиfl ‚хо‰ может быть отбошен ‚ поцессе шифниfl; ‡л„оитм ‰ешифниfl не имеет клю152

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

ч‡, чтобы ‚осст‡но‚ить отбошенный бит. В P-блоке ‡сшиениfl ‚хо‰ ‚ поцессе шифниfl может быть отоб‡жен более чем ‚ о‰ин ‚ыхо‰; ‡л„оитм ‰ешифниfl не имеет ключ‡ и не опе‰елflет, тем с‡мым, к‡кие из нескольких ‚хо‰о‚ отоб‡жены ‚ ‰‡нном ‚ыхо‰е. Рисунок 5.7 ‰емонстиует об‡ случ‡fl. Рис. 5.7. P-блоки сж‡тиfl и ‡сшиениfl к‡к необ‡тимые компоненты Рисунок 5.7 т‡кже пок‡зы‚‡ет, что P-блок сж‡тиfl не fl‚лflетсfl об‡тным шифом P-блок‡ ‡сшиениfl и н‡обоот. Это озн‡ч‡ет, что если мы используем Pблок сж‡тиfl ‰лfl шифниfl, мы не сможем использть P-блок ‡сшиениfl ‰лfl ‰ешифниfl и н‡обоот. О‰н‡ко, к‡к бу‰ет пок‡з‡но позже ‚ этой лекции, есть шифы, котоые пименflют P-блоки сж‡тиfl или ‡сшиениfl ‰лfl шифниfl; но их эффекти‚ность хуже, чем у некотоых ‰у„их способо‚. Пflмой P-блок fl‚лflетсfl об‡тимым, ‡ P-блоки сж‡тиfl и ‡сшиениfl — нет.

S-блоки S-блок (блок по‰ст‡но‚ки) можно пе‰ст‡‚ить себе к‡к мини‡тюный шиф по‰ст‡но‚ки. Этот блок может иметь ‡зличное число ‚хо‰о‚ и ‚ыхо‰о‚. Ду„ими слми, ‚хо‰ к S-блоку может быть n-бито‚ым сло‚ом, ‡ ‚ыхо‰ может быть m ‡зfl‰ным сло‚ом, „‰е m и n — не обflз‡тельно о‰ин‡ко‚ые числ‡. Хотfl Sблок может быть ключе‚ым или без ключ‡, со‚еменные блочные шифы обычно используют S-блоки без ключей, „‰е отоб‡жение от инфом‡ционных ‚хо‰о‚ к инфом‡ционным ‚ыхм з‡‡нее опе‰елено. S-блок — m × n мо‰уль по‰ст‡но‚ки, „‰е m и n не обflз‡тельно ‡‚ны. 153

Кус

Кипто„‡фиfl и безоп‡сность сетей

Линейный и нелинейный S-блоки. В S-блоке с n ‚хми и m ‚ыхми мы обозн‡чим ‚хо‰ы x0, x1,…., xn и ‚ыхо‰ы y1 ,..., ym. Соотношениfl меж‰у ‚хми и ‚ыхми мо„ут быть пе‰ст‡‚лены к‡к систем‡ у‡‚нений y1 = f1(x1,x2,…,xn) y2 = f2(x1,x2,…,xn) …. ym = fm(x1,x2,…,xn) В линейном S-блоке ‚ышеупомflнутые соотношениfl мо„ут быть ‚ы‡жены к‡к y1 = a1,1 x1 ⊕ a1,2 x2 ⊕ ... ⊕ a1,nxn y2 = a2,1 x1 ⊕ a2,2 x2 ⊕ ... ⊕ a2,nxn ...

ym = am,1 x1 ⊕ am,2 x2 ⊕ ... ⊕ am,nxn В нелинейном S-блоке мы не можем ‚с儉‡ 燉‡ть ‰лfl к‡ж‰о„о ‚ых ук‡з‡нные ‚ыше соотношениfl. Пиме 5.8 В S-блоке с темfl ‚хми и ‰‚умfl ‚ыхми мы имеем

y1 = x 1 ⊕ x 2 ⊕ x 2 ⊕ x 3

y2 = x 1

S-блок линеен, потому что a1,1 = a1,2 = a1,3 = a2,1=1 и a2 ,2 = a2 ,3 = 0. Эти соотношениfl мо„ут быть пе‰ст‡‚лены м‡тиц‡ми, к‡к пок‡з‡но ниже: Пиме 5.9 В S-блоке с темfl ‚хми и ‰‚умfl ‚ыхми мы имеем y1 = (x1)3 + x2 y2 = (x1) + x1x2 + x3 „‰е умножение и сложение по‚о‰итсfl ‚ GF(2). S-блок нелинеен, потому что нет линейных соотношений меж‰у ‚хми и ‚ыхми. Пиме 5.10

154

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Сле‰ующ‡fl т‡блиц‡ опе‰елflет отношениfl меж‰у ‚хми/‚ыхми ‰лfl Sблок‡ ‡зме‡ 3 × 2. К‡йний ле‚ый бит ‚х опе‰елflет стоку; ‰‚‡ с‡мых п‡‚ых бит‡ ‚х опе‰елflют столбец. Д‚‡ бит‡ ‚ых – это зн‡чение н‡ пеесечении секции ‚ыб‡нной стоки и столбц‡. Осно‚ы‚‡flсь н‡ т‡блице, ‚хо‰ 010 поо扇ет ‚ыхо‰ 01. Вхо‰ 101 поо扇ет ‚ыхо‰ 00. Об‡тимость. S-блоки — шифы по‰ст‡но‚ки, ‚ котоых отношениfl меж‰у ‚хо‰ом и ‚ыхо‰ом опе‰елены т‡блицей или м‡тем‡тическим соотношением. Sблок может быть или может не быть об‡тимым. В об‡тимом S-блоке число ‚хо‰ных бито‚ ‰олжно быть ‡‚ным числу бит ‚ых. Пиме 5.11 Рисунок 5.8 пок‡зы‚‡ет пиме об‡тимо„о S-блок‡. О‰н‡ из т‡блиц используетсfl ‚ ‡л„оитме шифниfl; ‰у„‡fl т‡блиц‡ — ‚ ‡л„оитме ‰ешифниfl. В к‡ж‰ой т‡блице к‡йний ле‚ый бит ‚х опе‰елflет стоку; сле‰ующие ‰‚‡ бит‡ опе‰елflют столбец. Выхо‰ — это зн‡чение н‡ пеесечении стоки и столбц‡. Н‡пиме, если ‚хо‰ к ле‚ому блоку — 001, ‚ыхо‰ — 101. Вхо‰ 101 ‚ п‡‚ой т‡блице ‰‡ет ‚ыхо‰ 001. Это пок‡зы‚‡ет, что эти ‰‚е т‡блицы поз‚олflют получить об‡тный езульт‡т по отношению ‰у„ к ‰у„у. ИСКЛЮЧАЮЩЕЕ ИЛИ

В‡жный компонент ‚ большинст‚е блоко‚ шифниfl — опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ: К‡к мы уже обсу扇ли ‚ лекции 4, опе‡ции сложениfl и ‚ычит‡ниfl ‚ GF(2n) ‚ыполнflетсfl с помощью о‰ной и той же опе‡ции, н‡зы‚‡емой ИСКЛЮЧАЮЩЕЕ ИЛИ или (XOR): Рис. 5.8. Т‡блицы S-блок‡ ‰лfl пиме‡ 5.11 С‚ойст‚‡. Пflть с‚ойст‚ опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ ‚ поле GF(2n) ‰ел‡ют эту опе‡цию очень у‰обной ‰лfl использниfl ‚ блочном шифе. 1. З‡мкнутость. Это с‚ойст‚о „‡‡нтиует, что ‚ езульт‡те этой опе‡ции ‰‚‡ n-бито‚ых сл ‰‡ют ‰у„ое n-бито‚ое сло‚о. 155

Кус

Кипто„‡фиfl и безоп‡сность сетей

2. Ассоци‡ти‚ность. Это с‚ойст‚о поз‚олflет н‡м использть больше чем о‰но ИСКЛЮЧАЮЩЕЕ ИЛИ, котоые можно ‚ычислflть ‚ любом поfl‰ке. x ⊕ (y ⊕ z) ↔ (x ⊕ y) ⊕ z 3. Коммут‡ти‚ность. Это с‚ойст‚о поз‚олflет н‡м менflть мест‡ми опе‡тоы (‚хо‰ную инфом‡цию), не изменflfl езульт‡т (‚ыхо‰ную инфом‡цию). x ⊕ (y z) ↔ (x ⊕ y) ⊕ z 4. Сущест‚ние нуле‚о„о (тож‰ест‚енно„о) элемент‡. Нуле‚ой элемент ‰лfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ – сло‚о, котоое состоит из ‚сех нулей, или (00... 0). Это по‰‡зум傇ет, что сущест‚ует сло‚о с нейт‡льными элемент‡ми, котоое пи по‚е‰ении опе‡ции не изменflет сло‚о. x ⊕ (00….00) =(00 ... 0) Мы используем это с‚ойст‚о ‚ шифе Ф‡йстелfl, котоый ‡ссмотим позже ‚ этой лекции. 5. Сущест‚ние ин‚есии. В поле GF(2n) к‡ж‰ое сло‚о есть ‡‰‰ити‚н‡fl ин‚есиfl с‡мо„о себfl. Это по‰‡зум傇ет, что по‚е‰ение опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ сл с с‡мим собой пи‚о‰ит к нуле‚ому элементу: x ⊕ x = (00... 0) Мы т‡кже используем это с‚ойст‚о ‚ шифе Ф‡йстелfl, котоый ‡ссмотим позже ‚ этой лекции. Дополнение. Опе‡циfl ‰ополнениfl — о‰номестн‡fl опе‡циfl (о‰ин инфом‡ционный ‚хо‰ и о‰ин инфом‡ционный ‚ыхо‰), кото‡fl ин‚етиует к‡ж‰ый бит ‚ сло‚е. 0-‚ой бит менflет н‡ 1 (е‰иничный) бит; 1 (е‰иничный) бит менflет н‡ 0-‚ой бит. Н‡с интеесует опе‡ции с ‰ополнением относительно опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ. Если – x — ‰ополнение «x», т‡ ‚ены сле‰ующие ‰‚‡ соотношениfl: x⊕– x = (11….1) и x ⊕ (11... 1) = – x Мы т‡кже используем эти с‚ойст‚‡ позже ‚ этой лекции, к‡ бу‰ем обсу扇ть безоп‡сность некотоых шифо‚. Ин‚есиfl. Ин‚есиfl компонент‡ ‚ шифе имеет смысл, если компонент пе‰ст‡‚лflет о‰номестную опе‡цию (о‰ин ‚хо‰ и о‰ин ‚ыхо‰). Н‡пиме, Pблок без ключ‡ или S-блок без ключ‡ мо„ут быть об‡тимыми, потому что они имеют о‰ин ‚хо‰ и о‰ин ‚ыхо‰. Опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ — бин‡н‡fl опе‡циfl. Ин‚есиfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ может иметь смысл, только если о‰ин из ‚хо‰о‚ з‡фиксин (о‰ин и тот же пи шифнии и ‰ешифнии). Н‡пиме, если о‰ин из ‚хо‰о‚ — ключ, котоый обычно fl‚лflет156

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Рис. 5.9. Об‡тимость опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ сfl о‰ним и тем же ‚ шифнии и ‰ешифнии, т‡ опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ fl‚лflетсfl об‡тимой, к‡к пок‡з‡но н‡ ис. 5.9. Н‡ исунке 5.9 с‚ойст‚о ‡‰‰ити‚ной ин‚есии по‰‡зум傇ет, что y=x⊕k x=k⊕y Мы используем это с‚ойст‚о, к‡ позже ‚ этой лекции бу‰ем обсу扇ть стуктуу блочных шифо‚. Циклический с‰‚и„ Ду„ой компонент, пименflемый ‚ некотоых со‚еменных блочных шиф‡х, – опе‡циfl циклическо„о с‰‚脇. Смещение может быть ‚ле‚о или ‚п‡‚о. Ку„fl опе‡циfl ле‚о„о с‰‚脇 с‰‚脇ет к‡ж‰ый бит ‚ n-бито‚ом сло‚е н‡ k позиции ‚ле‚о; к‡йние ле‚ые k-биты у‰‡лflютсfl сл傇 и ст‡но‚flтсfl с‡мыми п‡‚ыми бит‡ми. Ку„fl опе‡циfl п‡‚о„о с‰‚脇 с‰‚脇ет к‡ж‰ый бит ‚ n-бито‚ом сло‚е н‡ k позиций ‚п‡‚о; с‡мые п‡‚ые k-биты сп‡‚‡ у‰‡лflютсfl и ст‡но‚flтсfl к‡йними ле‚ыми бит‡ми. Рисунок 5.10 пок‡зы‚‡ет и ле‚ые и п‡‚ые опе‡ции ‚ случ‡е, „‰е n = 8 и k = 3. Циклическ‡fl опе‡циfl с‰‚脇 смеш肇ет биты ‚ сло‚е и помет скыть об‡зцы ‚ пе‚он‡ч‡льном сло‚е. Хотfl число позиций, н‡ котоые биты бу‰ут с‰‚инуты, может использтьсfl к‡к ключ, циклическ‡fl опе‡циfl с‰‚脇 обычно – без ключ‡; зн‡чение k уст‡н‡‚л肇етсfl и 燉‡етсfl з‡‡нее. Об‡тимость. Циклическ‡fl опе‡циfl ле‚о„о с‰‚脇 – ин‚есиfl опе‡ции п‡‚о„о с‰‚脇. Если о‰н‡ из них используетсfl ‰лfl шифниfl, ‰у„‡fl может пименflтьсfl ‰лfl ‰ешифниfl. С‚ойст‚‡. Опе‡циfl циклическо„о с‰‚脇 имеет ‰‚‡ с‚ойст‚‡, котоые н‡м 퇉о зн‡ть. Пе‚‡fl — это смещение по мо‰улю n. Ду„ими слми, если k = 0 или

157

Кус

Кипто„‡фиfl и безоп‡сность сетей

k = n, ник‡ко„о смещениfl не поисхо‰ит. Если k fl‚лflетсfl большим, чем n, т‡ ‚хо‰н‡fl инфом‡циfl с‰‚инут‡ н‡ k mod n бит. Втоое с‚ойст‚о, опе‡циfl циклическо„о с‰‚脇 퇉 сое‰инением опе‡ций — есть „упп‡ „упп‡. Это озн‡ч‡ет, что если смещение ‰елflетсfl нео‰нок‡тно, то о‰но и то же зн‡чение может поfl‚итьсfl несколько ‡з.. Рис. 5.10. Циклический с‰‚脇 8 бито‚о„о сл н‡ле‚о или н‡п‡‚о З‡мен‡

Опе‡циfl з‡мены — специ‡льный случ‡й опе‡ции циклическо„о с‰‚脇, „‰е k = n/2 озн‡ч‡ет, что эт‡ опе‡циfl ‚озможн‡, только если n — четный номе. Поскольку с‰‚и„ ‚ле‚о n/2 — то же с‡мое, что с‰‚и„ n/2 ‚п‡‚о, эт‡ опе‡циfl fl‚лflетсfl об‡тимой. Опе‡циfl з‡мены ‰лfl шифниfl может быть полностью ‡скыт‡ опе‡цией з‡мены ‰лfl ‰ешиф‡ции. Рисунок 5.11 иллюстиуетт опе‡цию з‡мены ‰лfl сл н‡ 8 бито‚. Рис. 5.11. Опе‡циfl з‡мен‡ ‚ 8-бито‚ом ‡ сло‚е Р‡збиение и объе‰инение Д‚е ‰у„их опе‡ции, пименflемые ‚ некотоых блочных шиф‡х, — ‡збиение и объе‰инение. Р‡збиение обычно ‡з‰елflет n-бито‚ое сло‚о ‚ сее‰ине, со片‚‡fl ‰‚‡ сл ‡‚ной ‰лины. Объе‰инение с‚flзы‚‡ет ‰‚‡ сл ‡‚ной ‰лины, чтобы со片ть n-бито‚ое сло‚о. Эти ‰‚е опе‡ции ин‚есны ‰у„ ‰у„у и мо„ут использтьсfl к‡к п‡‡, чтобы у‡‚но‚есить ‰у„ ‰у„‡. Если о‰н‡ пименflетсfl ‰лfl

шифниfl, то ‰у„‡fl — ‰лfl ‰ешифниfl. Рисунок 5.12 пок‡зы‚‡ет эти ‰‚е опе‡ции ‰лfl случ‡fl n = 8. 158

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Сост‡‚ные шифы Шеннон ‚‚ел понflтие сост‡‚ные шифы. Сост‡‚ной шиф – комплекс, котоый объе‰инflет по‰ст‡но‚ку, пеест‡но‚ку и ‰у„ие компоненты, ‡ссмотенные ‚ пе‰ы‰ущих ‡з‰ел‡х. Рис. 5.12. Опе‡ции ‡збиениfl и объе‰инениfl с 8-бито‚ым сло‚ом Р‡ссе肇ние и пеемеш肇ние И‰еfl Шеннон‡ ‚ пе‰ст‡‚лении сост‡‚но„о шиф‡ ‰олжн‡ был‡ ‰‡ть ‚озможность блочным шиф‡м иметь ‰‚е ‚‡жных с‚ойст‚‡: ‡ссеflние и пеемеш肇ние. Р‡ссе肇ние ‰олжно скыть отношениfl меж‰у з‡шифнным текстом и исхо‰ным текстом. Это собьет с толку поти‚ник‡, котоый использует ст‡тистику з‡шифнно„о текст‡, чтобы н‡йти исхо‰ный текст. Р‡ссе肇ние по‰‡зум傇ет, что к‡ж‰ый сим‚ол (сим‚ол или бит) ‚ з‡шифнном тексте 燂исит от о‰но„о или ‚сех сим‚оло‚ ‚ исхо‰ном тексте. Ду„ими слми, если е‰инст‚енный сим‚ол ‚ исхо‰ном тексте изменен, несколько или ‚се сим‚олы ‚ з‡шифнном тексте бу‰ут т‡кже изменены. Р‡ссе肇ние скы‚‡ет отношениfl меж‰у з‡шифнным текстом и исхо‰ным текстом. И‰еfl относительно пеемеш肇ниfl — ‚ том, что оно ‰олжно скыть отношениfl меж‰у з‡шифнным текстом и ключом. Это собьет с толку поти‚ник‡, котоый стемитсfl использть з‡шифнный текст, чтобы н‡йти ключ. Ду„ими слми, если е‰инст‚енный бит ‚ ключе изменен, ‚се биты ‚ з‡шифнном тексте бу‰ут т‡кже изменены. Пеемеш肇ние скы‚‡ет отношениfl меж‰у з‡шифнным текстом и ключом. Р‡ун‰ы Р‡ссе肇ние и пеемеш肇ние мо„ут быть ‰ости„нуты с помощью пименениfl по‚тоениfl сост‡‚ных шифо‚, „‰е к‡ж‰‡fl ите‡циfl — комбин‡циfl S-блоко‚, Pблоко‚ и ‰у„их компоненто‚. ʇ扇fl ите‡циfl н‡зы‚‡етсfl ‡ун‰ом. Блочный шиф использует список ключей, или „ене‡то ключей, котоый со片ет ‡зличные ключи ‰лfl к‡ж‰о„о ‡у퉇 от ключ‡ шиф‡. В N-‡ун‰ном шифе, чтобы со片ть з‡шифнный текст, исхо‰ный текст шифуетсfl N ‡з; соот‚етст‚енно, з‡шифнный текст ‡сшифо‚ы‚‡етсfl N ‡з. Текст, со片нный н‡ помежуточных уо‚нflх (меж‰у ‰‚умfl ‡у퉇ми), н‡зы‚‡етсfl се‰ним текстом. Рисунок 5.13 пок‡зы‚‡ет постой сост‡‚ной шиф с ‰‚умfl ‡у퉇ми. Н‡ п‡ктике сост‡‚ные шифы имеют больше чем ‰‚‡ ‡у퉇. Н‡ ис. 5.13 ‚ к‡ж‰ом ‡ун‰е по‚о‰flтсfl ти пеоб‡зниfl: 1

Отбел肇ние (whiting) – поцесс по‚е‰ениfl опе‡ции, кото‡fl пиближ‡ет текст к ‡‚но‚еоflтному поfl‚лению ‚сех сим‚оло‚. Темин об‡зо‚‡н ‚ соот‚етст‚ии с поцессом пи‚е‰ениfl к «белому шуму» – си„н‡лу, имеющему ‡‚номеный спект. (пим. пее‚.) 159

Кус

Кипто„‡фиfl и безоп‡сность сетей

‡. 8-бито‚ый текст смеш肇етсfl с ключом, чтобы с‰ел‡ть сим‚олы текст‡ ‡‚но‚еоflтными (скыть биты, используfl ключ) — «отбелить» текст (whiting)1.

Это обычно ‰ел‡етсfl с помощью опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ сл н‡ 8 бито‚ с ключом н‡ 8 бито‚; б. ‚ыхо‰ы «отбел肇телfl» ‡збиты н‡ четые „уппы по 2 бит‡ и пютсfl ‚ четые S-блок‡. Зн‡чениfl бито‚ изменflютсfl ‚ соот‚етст‚ии с постоением S-блоко‚ ‚ этом пеоб‡знии; c. ‚ыхо‰ы S-блоко‚ поступ‡ют ‚ P-блок, пи этом биты пеест‡‚лены т‡к, чтобы ‚ сле‰ующем ‡ун‰е езульт‡т к‡ж‰о„о блок‡ поступил н‡ ‡зличные ‚хо‰ы. Рис. 5.13. Сост‡‚нной шиф, состоflщий из ‰‚ух ‡ун‰о‚ Р‡ссе肇ние, котоое пок‡з‡но н‡ упощенном ис. 5.13 к‡к сост‡‚ной шиф, используfl комбин‡цию S-блоко‚ и P-блоко‚, может „‡‡нтить езульт‡т. ‡. В пе‚ом ‡ун‰е бит 8, после по‚е‰ениfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ с соот‚етст‚ующими бит‡ми ключ‡ K1, изменflет ‰‚‡ бит‡ (биты 7 и 8) чеез S-блок 4. Бит 7 пеест‡‚лен и ст‡но‚итсfl битом 2; бит 8 пеест‡‚лен и ст‡но‚итсfl битом 4. После пе‚о„о ‡у퉇 бит 8 изменflет биты 2 и 4. Во ‚тоом ‡ун‰е бит 2 после по‚е‰ениfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ с соот‚етст‚ующими бит‡ми ключ‡ K2 изменflет ‰‚‡ бит‡ (биты 1 и 160

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

2) чеез S-блок 1. Бит 1 – пеест‡‚лен и ст‡но‚итсfl битом 6; бит 2 пеест‡‚лен и ст‡но‚итсfl битом 1. Бит 4 после по‚е‰ениfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ с соот‚етст‚ующим битом ‚ K2 изменflет биты 3 и 4. Бит 3 ост‡етсfl, бит 4 пеест‡‚лен и ст‡но‚итсfl битом 7. После ‚тоо„о ‡у퉇 из 8 бит изменены биты 1, 3, 6 и 7. b. Похож‰ение этих ш‡„о‚ ‚ ‰у„ом н‡п‡‚лении (от з‡шифнно„о текст‡ ‰о исхо‰но„о текст‡) пок‡зы‚‡ет, что к‡ж‰ый бит ‚ з‡шифнном тексте изменflет исхо‰ный текст н‡ несколько бито‚.

Пеемеш肇ние. Н‡ исунке 5.14 пок‡з‡но, к‡к изменение е‰инст‚енно„о бит‡ ‚ исхо‰ном тексте ‚ызы‚‡ет изменение мно„их бито‚ ‚ з‡шифнном тексте. Рисунок 5.14 т‡кже ‰ок‡зы‚‡ет н‡м, что с‚ойст‚о пеемеш肇ниfl может быть получено с помощью сост‡‚но„о шиф‡. Четые бит‡ з‡шифнно„о текст‡, биты 1, 3, 6 и 7 пеоб‡зны с помощью тех бито‚ ‚ ключ‡х (бит 8 ‚ K1 и бит‡х 2 и 4 ‚ K2). Похож‰ение ‚ об‡тном н‡п‡‚лении пок‡зы‚‡ет, что к‡ж‰ый бит ключ‡ ‚ к‡ж‰ом ‡ун‰е з‡т‡„肇ет несколько бито‚ ‚ з‡шифнном тексте. Отношениfl меж‰у бит‡ми з‡шифнно„о текст‡ и ключе‚ыми бит‡ми пок‡з‡ны ‚ з‡тененных пflмоу„ольник‡х. Рис. 5.14. Р‡ссе肇ние и пеемеш肇ние ‚ блочном шифе П‡ктические шифы. Чтобы улучшить ‡ссе肇ние и пеемеш肇ние, п‡ктические шифы используют купные блоки ‰‡нных, больше S-блоко‚ и больше ‡ун‰о‚. Оче‚и‰но, что некотоое у‚еличение числ‡ ‡ун‰о‚ пи пименении большо„о числ‡ S-блоко‚ может со片ть лучший шиф, ‚ котоом з‡шифнный текст ‚ы„лfl‰ит ‚се более к‡к случ‡йное n-бито‚ое сло‚о. Т‡ким об‡зом, отношениfl меж‰у з‡шифнным текстом и исхо‰ным текстом бу‰ут полностью скыты (‡ссеflны). У‚еличение числ‡ ‡ун‰о‚ у‚елич肇ет число ключей ‡ун‰о‚, что лучше скы‚‡ет отношениfl меж‰у з‡шифнным текстом и ключом. 161

Кус

Кипто„‡фиfl и безоп‡сность сетей

Д‚‡ кл‡сс‡ сост‡‚ных шифо‚ Все со‚еменные блочные шифы — сост‡‚ные, но они ‡з‰елены н‡ ‰‚‡ кл‡сс‡. Шифы ‚ пе‚ом кл‡ссе используют и об‡тимые, и необ‡тимые компоненты. Эти шифы упомин‡ютсfl обычно к‡к шифы Ф‡йстелfl. Блочный шиф DES (DATA ENCRYPTION STANDARD), обсу扇емый ‚ лекции 6, — хооший пиме шиф‡ Ф‡йстелfl. Шифы ‚о ‚тоом кл‡ссе пименflют только об‡тимые компоненты. Об‡щ‡ем ‚‡ше ‚ним‡ние н‡ шифы ‚ этом кл‡ссе к‡к шифы не-Ф‡й сте лfl 1 (из-з‡ от сут ст ‚иfl ‰у „о „о н‡ з‚‡ ниfl). Блоч ный шиф AES (ADVANCED ENCRYPTION STANDARD), обсу扇емый ‚ лекции 7, — хооший пиме шиф‡ не-Ф‡йстелfl. Шифы Ф‡йстелfl Ф‡йстель поектил очень интеллекту‡льный и интеесный шиф, котоый использлсfl ‚ течение мно„их ‰есflтилетий. Шиф Ф‡йстелfl может иметь ти тип‡ компоненто‚: с‡мооб‡тимый, об‡тимый и необ‡тимый. Шиф Ф‡йстелfl со‰ежит ‚ блок‡х ‚се необ‡тимые элементы и использует о‰ин и тот же мо‰уль ‚ ‡л„оитм‡х ‰ешифниfl и шифниfl. Вопос ‚ том, к‡к ‡л„оитмы шифниfl и ‰ешифниfl поз‚олflют ин‚етить от-

кытый и з‡кытый тексты ‰у„ ‚ ‰у„‡, если к‡ж‰ый со‰ежит необ‡тимый мо‰уль. Ф‡йстель пок‡з‡л, что они мо„ут быть сб‡л‡нсины. Пе‚‡fl и‰еfl. Чтобы лучше понflть шиф Ф‡йстелfl, ‰‡‚‡йте посмотим, к‡к мы можем использть о‰ин и тот же необ‡тимый компонент ‚ ‡л„оитм‡х ‰ешифниfl и шифниfl. Эффекты необ‡тимо„о компонент‡ ‚ ‡л„оитме шифниfl мо„ут быть отменены ‚ ‡л„оитме ‰ешифниfl, если мы пименflем опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ, к‡к пок‡з‡но н‡ ис. 5.15. Рис. 5.15. Пе‚‡fl и‰еfl ‚ ‡з‡ботке шиф‡ Ф‡йстелfl

1

Хост Ф‡йстель – соту‰ник фимы IBM, ‡з‡бот‡‚ший ‚ 1977 „о‰у кипто‡л„оитм, котоый ле„ ‚ осно‚у ст‡н‰‡т‡ шифниfl ‚ США, шиоко из‚естно„о по‰ н‡з‚‡нием DES. 162

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

В шифнии ключ поступ‡ет н‡ ‚хо‰ необ‡тимой функции f (K), кото‡fl fl‚лflетсfl о‰ним из с뇄‡емых опе‡то‡ ИСКЛЮЧАЮЩЕГО ИЛИ с исхо‰ным текстом. Результ‡т ст‡но‚итсfl з‡шифнным текстом. Мы бу‰ем н‡зы‚‡ть комбин‡цию функции и опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ смесителем (из-з‡ отсутст‚иfl ‰у„о„о н‡з‚‡ниfl). Смеситель и„‡ет ‚‡жную оль ‚ более поз‰них ‚‡и‡нт‡х шиф‡ Ф‡йстелfl. Поскольку ключ о‰ин и тот же ‚ шифнии и ‰ешифнии, мы можем ‰ок‡з‡ть, что ‰‚‡ ‡л„оитм‡ ин‚есны ‰у„ ‰у„у. Ду„ими слми, если C2 = C1 (любое изменение ‚ з‡шифнном тексте ‚ течение пе則чи), то P2 = P1. Шифние: C1 = P1 ⊕ f (K) Дешифние: P2 = C2 ⊕ f (K) = C1 ⊕ f (K) = P1 ⊕ f (K) ⊕ f (K) = P1 ⊕ (00... 0) =P1 Об‡тите ‚ним‡ние, что использлись ‰‚‡ с‚ойст‚‡ опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ (сущест‚ние ин‚есии и сущест‚ние нуле‚о„о к). У‡‚нениfl, пок‡з‡нные ‚ыше, ‰ок‡зы‚‡ют, что хотfl смеситель имеет некон‚етиуемый элемент, с‡м смеситель fl‚лflетсfl с‡мокон‚етиуемым. Пиме 5.12 Это ти‚и‡льный пиме. Имеетсfl исхо‰ный текст и з‡шифнный текст, к‡ж‰ый 4 бит‡ ‰линой, и ключ 3 бит‡ ‰линой. Пе‰положим, что функциfl из‚лек‡ет пе‚ый и тетий биты ключ‡, интепетиует биты к‡к ‰есflтичный номе, н‡хо‰ит ꂇ‰‡т это„о числ‡ и интепетиует езульт‡т к‡к 4-бито‚ую ‰‚оичную после‰о‚‡тельность. Пок‡жите езульт‡ты шифниfl и ‰ешифниfl, если пе‚он‡ч‡льный исхо‰ный текст — 0111, и ключ — 101. Решение Функциfl из‚лек‡ет пе‚ые и ‚тоые биты ключ‡ и получ‡етсfl ‚ езульт‡те 11 ‚ ‰‚оичном ‚и‰е или 3 ‚ ‰есflтичном отоб‡жении. Результ‡т ‚оз‚е‰ениfl ‚о ‚тоую степень (ꂇ‰‡т) — 9, ‚ ‰‚оичном отоб‡жении 1001. Шифние: C = P ⊕ f (K) = 0111 ⊕ 1001 = 1110 Дешифние: P = C ⊕ f (K) = 1110 ⊕ 1001 = 0111. Со‚ет с исхо‰ным текстом P Функциfl f (101) = 1001 fl‚лflетсfl некон‚етиуемой, но опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ поз‚олflет н‡м использть функцию и ‚ ‡л„оитм‡х ‰ешифниfl, и ‚ шифнии. Ду„ими слми, функциfl fl‚лflетсfl некон‚етиуемой, но смеситель бу‰ет с‡мокон‚етиуемым. Усо‚ешенст‚ние. Попобуем улучшить н‡шу пе‚ую и‰ею, чтобы пиблизитьсfl к шифу Ф‡йстелfl. Мы зн‡ем, что ‰олжны пименить ‚хо‰ к некон‚етиуемому элементу (функции), но мы не бу‰ем использть только ключ. Мы 燉ейст‚уем т‡кже ‚хо‰ к функции, чтобы пименить ее ‰лfl шифниfl ч‡сти исхо‰но„о текст‡ и ‰ешифниfl ч‡сти з‡шифнно„о текст‡. Ключ может использтьсfl к‡к ‚тоой ‚хо‰ к функции. Этим способом н‡ш‡ функциfl ст‡но‚итсfl сложным элементом с некотоыми неключе‚ыми элемент‡ми и некотоыми ключе‚ыми элемент‡ми. Чтобы ‰остичь цели, ‡з‰елим исхо‰ный текст и з‡шифнный текст н‡ 163

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 5.16. Усо‚ешенст‚ние пе‰ы‰ущей схемы Ф‡йстелfl ‰‚‡ блок‡ ‡‚ной ‰лины – ле‚ый (L) и п‡‚ый (R). П‡‚ый блок ‚‚о‰итсfl ‚ функцию, ‡ ле‚ый блок ск뇉ы‚‡етсfl с помощью опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ с ‚ыхо‰ом функции. Мы ‰олжны з‡помнить, что ‚хо‰ы к функции ‰олжны точно со‚‡ть ‚ шифнии и ‰ешифнии. Это озн‡ч‡ет, что п‡‚‡fl секциfl исхо‰но„о текст‡ ‰о шифниfl и п‡‚‡fl секциfl з‡шифнно„о текст‡ после ‰ешифниfl бу‰ут со‚‡ть. Ду„ими слми, секциfl ‰олжн‡ ‚ойти ‚ шифние и ‚ыйти из ‰ешифниfl неизмененной. Рисунок 5.16 иллюстиует и‰ею. Ал„оитмы шифниfl и ‰ешифниfl ин‚есны ‰у„ ‰у„у. Пе‰положим, что L3 = L2 и R3 = R2 (‚ з‡шифнном тексте ‚ течение пе則чи не поизошло изменений). R4 = R3 = R2 = R1 L4 = L3 ⊕ f(R3,K) = L2 ⊕ f (R2,K) = L1 ⊕ f(R1,K) ⊕ f (R1,K) = L1 Исхо‰ный текст, используемый ‚ ‡л„оитме шифниfl, — это текст, п‡‚ильно ‚осст‡но‚ленный ‡л„оитмом ‰ешифниfl. Оконч‡тельный ‚‡и‡нт. Пе‰ы‰ущее усо‚ешенст‚ние имеет о‰ин не‰ост‡ток: п‡‚‡fl поло‚ин‡ исхо‰но„о текст‡ ник‡ не изменflетсfl. Е‚‡ может неме‰ленно н‡йти п‡‚ую поло‚ину исхо‰но„о текст‡, ‡зб肇fl н‡ ч‡сти з‡шифнный текст и ‡сп‡ко‚ы‚‡fl е„о п‡‚ую поло‚ину. Поект ну扇етсfl ‚ ‰‡льнейших ш‡„‡х усо‚ешенст‚ниfl. Пе‚ое: у‚еличим число ‡ун‰о‚. Втоое: ‰оᇂим но‚ый элемент ‚ к‡ж‰ый ‡ун‰ — устойст‚о з‡мены. Эффект устойст‚‡ з‡мены ‚ ‡ун‰е шифниfl компенсиуетсfl эффектом устойст‚‡ з‡мены ‚ ‡ун‰е ‰ешифниfl. О‰н‡ко это поз‚олflет н‡м менflть ле‚ые и п‡‚ые поло‚ины ‚ к‡ж‰ом ‡ун‰е. Рисунок 5.17 иллюстиует но‚ый ‚‡и‡нт шиф‡ Ф‡йстелfl с ‰‚умfl ‡у퉇ми. Об‡тите ‚ним‡ние, что есть ‰‚‡ ключ‡ ‡ун‰о‚: K1 и K2. Ключи пименflютсfl ‚ об‡тном поfl‰ке ‚ шифнии и ‰ешифнии. Поскольку ‰‚‡ смесителfl ин‚есны ‰у„ ‰у„у и устойст‚‡ з‡мены ин‚есны ‰у„ ‰у„у, оче‚и‰но, что шифние и ‰ешифние т‡кже ин‚есны ‰у„ ‰у„у. О‰н‡ко мы можем ‰ок‡з‡ть этот ф‡кт, используfl отношениfl меж‰у ле‚ыми и п‡‚ыми секциflми ‚ к‡ж‰ом шифе. Ду„ими слми, если L6 = L1 и R6 = R1, 164

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Рис. 5.17. Оконч‡тельный ‚‡и‡нт шиф‡ Ф‡йстелfl с ‰‚умfl ‡у퉇ми пе‰положим, что L4 = L3 и R4 = R3 (шифнный текст не изменилсfl пи пе則че). Вн‡ч‡ле ‰ок‡жем это ‰лfl помежуточно„о текст‡: L5 = R4 ⊕ f (L 4, K2) = R3 ⊕ f (R2, K2 ) = L2 ⊕ f (R2, K2) ⊕ f (R2, K2) = L2 R5 = L4 = L3 = R 2 Т‡ посто ‰ок‡з‡ть ‡‚енст‚о ‰лfl ‰‚ух блоко‚ исхо‰но„о текст‡. L6 = R5 ⊕ f (L5, K1) = R2 ⊕ f (L2, K1 ) = L1 ⊕ f (R1, K1) ⊕ f (R1, K1) = L1 R6 = L5 = L2 = R 1 Шифы не-Ф‡йстелfl Шиф не-Ф‡йстелfl использует только об‡тимые компоненты. Компонент ‚ исхо‰ном тексте имеет соот‚етст‚ующий компонент ‚ шифе. Н‡пиме, Sблоки ‰олжны иметь ‡‚ное число ‚хо‰о‚ и ‚ыхо‰о‚, чтобы быть со‚местимыми. Не поз‚олflетсfl ник‡кое сж‡тие или ‡сшиение P-блоко‚, потому что они ст‡нут необ‡тимыми. В шифе не-Ф‡йстелfl нет потебности ‰елить исхо‰ный текст н‡ ‰‚е поло‚ины, к‡к мы ‚и‰ели ‚ шиф‡х Ф‡йстелfl. 165

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рисунок 5.13 можно ‡ссм‡т肇ть к‡к „‡фическую иллюст‡цию пинцип‡ шиф‡ не-Ф‡йстелfl, потому что е‰инст‚енные компоненты ‚ к‡ж‰ом ‡ун‰е — с‡мооб‡тимые опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ, S-блоки 2 × 2, котоые мо„ут быть споектины т‡к, чтобы быть об‡тимыми, и пflмые P-блоки, котоые об ‡ тимы, ес ли ис польз н‡ соот ‚ет ст ‚у ющ‡fl т‡б лиц‡ пеест‡но‚ки. Поскольку к‡ж‰ый компонент fl‚лflетсfl об‡тимым, можно пок‡з‡ть, что и к‡ж‰ый ‡ун‰ fl‚лflетсfl об‡тимым. Мы только ‰олжны пименflть ключи ‡ун‰о‚ ‚ об‡тном поfl‰ке. Шифние использует ключи ‡ун‰о‚ K1 и K2. Ал„оитм ‰ешифниfl ‰олжен пользтьсfl ключ‡ми ‡ун‰о‚ K2 и K1.

Ат‡ки н‡ блочные шифы Ат‡ки т‡‰иционных шифо‚ мо„ут т‡кже использтьсfl ‰лfl со‚еменных блочных шифо‚, но се„о‰нflшние блочные шифы успешно поти‚остоflт большинст‚у ‡т‡к, обсуж‰енных ‚ лекции 3. Н‡пиме, „уб‡fl силfl ‡т‡к‡ ключ‡, к‡к п‡‚ило, неосущест‚им‡, потому что ключи обычно имеют очень большую ‰лину. О‰н‡ко н則‚но были изобетены некотоые но‚ые ‚и‰ы ‡т‡к блочных шифо‚, котоые оснны н‡ стуктуе со‚еменных блочных шифо‚. Эти ‡т‡ки используют мето‰ы и ‰иффеенци‡льно„о, и линейно„о ‡н‡лиз‡. Диффеенци‡льный кипто‡н‡лиз И‰ею относительно ‰иффеенци‡льно„о кипто‡н‡лиз‡ пе‰ложили Эли Бих‡м и А‰и Ш‡ми1. Это — ‡т‡к‡ с ‚ыбокой исхо‰но„о текст‡. Е‚‡ может к‡кимлибо об‡зом получить ‰оступ к компьютеу Алисы и 燂뇉еть ‚ыбоочно ч‡стью исхо‰но„о текст‡ и соот‚етст‚ующе„о з‡шифнно„о текст‡. Цель состоит ‚ том, чтобы н‡йти ключ шиф‡ Алисы. Ал„оитм ‡н‡лиз‡. Пее‰ тем к‡к Е‚‡ пе‰пимет ‡т‡ку с ‚ыбокой исхо‰но„о текст‡, он‡ ‰олжн‡ по‡н‡лизить ‡л„оитм шифниfl, чтобы соб‡ть некотоую инфом‡цию об отношениflх з‡шифнно„о и исхо‰но„о тексто‚. Оче‚и‰но, Е‚‡ не зн‡ет ключ шиф‡. О‰н‡ко некотоые шифы имеют сл‡бости ‚ стукту‡х, котоые мо„ут поз‚олить Е‚е н‡йти ‡зличиfl исхо‰но„о текст‡ и ‡зличиfl з‡шифнно„о текст‡, не зн‡fl ключ. Пиме 5.13

1

Эли Бих‡м (Eli Biham) и Э‰и Ш‡ми (Adi Shamir) — соту‰ники Из‡ильско„о Н‡учноИссле‰о‚‡тельско„о Институт‡ им. Вейцм‡н‡ — (Деп‡т‡мент м‡тем‡тики) пе‰ложили ‚ 1990 „о‰у ‰иффеенци‡льный мето‰ кипто‡н‡лиз‡. 166

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Пе‰положим, что шиф состоит только из о‰ной опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ, к‡к пок‡з‡но н‡ ис. 5.18. Не зн‡fl зн‡чениfl ключ‡, Е‚‡ может ле„ко

н‡йти отношениfl меж‰у ‡зностflми исхо‰но„о текст‡ и ‡зностflми з‡шифнно„о текст‡. Если ‡зность исхо‰но„о текст‡ мы обозн‡чим P1 ⊕ P2 и ‡зность з‡шифнно„о текст‡ мы обозн‡чим C1 ⊕ C2, пи‚е‰енные сле‰ующие пеоб‡зниfl ‰ок‡зы‚‡ют, что C1 ⊕ C2 = P1 ⊕ P2 : C1 = P1 ⊕ K C2 = P2 ⊕ K → C1 ⊕ C2 = P1 ⊕ K ⊕ P2 ⊕ K = P1 ⊕ P2 О‰н‡ко этот пиме нее‡листичен; мо‰емные блочные шифы не н‡столько посты. Рис. 5.18. Д臄‡мм‡ ‰лfl пиме‡ 5.13 Пиме 5.14 В пимее 5.13 мы ‰оᇂлflем о‰ин S-блок, к‡к пок‡з‡но н‡ ис. 5.19. Рис. 5.19. Д臄‡мм‡ ‰лfl пиме‡ 5.14

Хотfl эффект шифниfl ключом не ‰ейст‚ует, к‡ мы используем ‡зности меж‰у ‰‚умfl X и ‰‚умfl P (X1 ⊕ X2 = P1 ⊕ P2), сущест‚ние S-блок‡ меш‡ет Е‚е н‡йти и опе‰еленные отношениfl меж‰у ‡зностflми исхо‰но„о текст‡ и ‡зностflми з‡шифнно„о текст‡. О‰н‡ко ‚озможно уст‡но‚ить ‚еоflтностные отношениfl. Е‚‡ может сост‡‚ить т‡блицу 5.4, кото‡fl пок‡зы‚‡ет ‰лfl ‡зности исхо‰но„о текст‡, сколько можно со片ть ‡зностей з‡шифнно„о текст‡ — шиф. Об‡щ‡ем ‚ним‡ние, что т‡блиц‡ с‰ел‡н‡ по инфом‡ции, кото‡fl поиз‚е‰ен‡ с учетом т‡блицы ‚х-‚ых S-блок‡ по ис. 5.19, потому что P1 ⊕ P2 = X1 ⊕ X2 . 167

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 5.4. Диффеенци‡льн‡fl т‡блиц‡ ‰лfl ‚хо‰о‚ и ‚ыхо‰о‚ ‰лfl шиф‡ ‚ пимее 5.14 Поскольку ‡зме ключей — 3 бит‡, может быть ‚осемь случ‡е‚ ‰лfl к‡ж‰ой ‡зности ‚о ‚‚о‰е. Т‡блиц‡ пок‡зы‚‡ет, что если ‚хо‰н‡fl ‡зность — (000)2, ‡з-

ность ‚ых — ‚с儉‡ (00)2. С ‰у„ой стооны, т‡блиц‡ пок‡зы‚‡ет, что если ‚хо‰н‡fl ‡зность — (100)2, то имеетсfl ‰‚‡ случ‡fl ‡зностей ‚ых (00)2, ‰‚‡ случ‡fl ‡зностей ‚ых (01)2 и четые случ‡fl ‡зностей ‚ых (01)2 . Пиме 5.15 Э‚истический езульт‡т пиме‡ 5.14 может со片ть ‚еоflтностную инфом‡цию ‰лfl Е‚ы, к‡к пок‡з‡но ‚ т‡блице 5.5. Вхо‰ы ‚ т‡блице соот‚етст‚уют ‚еоflтностflм поfl‚лениfl. Р‡зности с нуле‚ой ‚еоflтностью ник‡ не бу‰ут ‚озник‡ть. Т‡блиц‡ 5.5. Диффеенци‡льн‡fl т‡блиц‡ ‚хо‰о‚ и ‚ыхо‰о‚ ‰лfl шиф‡ ‚ пимее 5.15 К‡к мы у‚и‰им позже, Е‚‡ тепеь ‡спо뇄‡ет ‰ост‡точным количест‚ом инфом‡ции, чтобы н‡ч‡ть ‡т‡ку. Т‡блиц‡ пок‡зы‚‡ет, что ‚еоflтности ‡спе‰елены нео‰ноо‰но из-з‡ сл‡бости ‚ стуктуе S-блок‡. Т‡блиц‡ 5.5 упомин‡етсfl ин‡ к‡к ‰иффеенци‡льн‡fl т‡блиц‡ ‡спе‰елениfl или поф‡йл ИСКЛЮЧАЮЩЕЕ ИЛИ. З‡пуск ‡т‡ки ‚ыбоки исхо‰но„о текст‡. После то„о к‡к ‡н‡лиз о‰н‡ж‰ы с‰ел‡н, он может быть сох‡нен ‰лfl бу‰уще„о использниfl, пок‡ стукту‡ шиф‡ не изменитсfl. Е‚‡ может ‚ыб‡ть ‰лfl ‡т‡к исхо‰ные тексты. Диффеенци‡льн‡fl т‡блиц‡ ‡спе‰елениfl ‚еоflтности (т‡блиц‡ 5.5) поможет Е‚е их ‚ыби‡ть — он‡ ‚озьмет те, котоые имеют с‡мую ‚ысокую ‚еоflтность ‚ т‡блице. Пе‰положительное зн‡чение ключ‡. После з‡пуск‡ некотоых ‡т‡к с соот‚етст‚ующей ‚ыбокой исхо‰но„о текст‡ Е‚‡ может н‡йти некотоую п‡у «исхо‰ный текст / з‡шифнный текст», кото‡fl поз‚олflет ей пе‰положить некотоое зн‡чение ключ‡. Поцесс н‡чин‡етсfl от C и п脇етсfl к P. Пиме 5.16 168

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Р‡ссм‡т肇fl т‡блицу 5.5, Е‚‡ зн‡ет, что если P1 ⊕ P2= 001, то C1 ⊕ C2= 11 с ‚еоflтностью 0,50 (50 поценто‚). Он‡ побует ‚зflть C1 = 00 и получ‡ет P1 = 010 (‡т‡к‡ с ‚ыбокой з‡шифнно„о текст‡). Он‡ еще побует C2 = 11 и получ‡ет P2 = 011 (‰у„‡fl ‡т‡к‡ с ‚ыбокой з‡шифнно„о текст‡). Тепеь он‡ побует ‚енутьсfl к ‡н‡лизу, осннному н‡ пе‚ой п‡е, P1 и C1: С 1 = 00 → X1= 001 или X1= 111 Если X1= 001 → K = X1 ⊕ P1 =011. → Если X1= 111 → K = X1 ⊕ P1 =101 Используfl п‡у P2 и C2, получим С2 = 11 → X2 = 000 или X1= 110 Если X2 = 000 → K = X2 ⊕ P2 = 011 → Если X12 = 110 → K = X2 ⊕ P2 = 101 Д‚‡ испыт‡ниfl пок‡зы‚‡ют, что K = 011 или K =101. Хотfl Е‚‡ не у‚еен‡, к‡кое из них точное зн‡чение ключ‡, он‡ зн‡ет, что с‡мый п‡‚ый бит — 1 (общий бит меж‰у ‰‚умfl зн‡чениflми). По‰олж‡fl ‡т‡ку, можно учиты‚‡ть, что с‡мый п‡‚ый бит ‚ ключе – 1. Т‡ким об‡зом можно опе‰елить ‰у„ие биты ‚ этом ключе. Общ‡fl поце‰у‡. Со‚еменные блочные шифы имеют большую сложность, чем, т‡, котоую мы обсу扇ли ‚ этом ‡з‰еле. Коме то„о, они мо„ут со‰еж‡ть ‡зличное количест‚о ‡ун‰о‚. Е‚‡ может использть сле‰ующую ст‡те„ию. 1. Поскольку к‡ж‰ый ‡ун‰ со‰ежит о‰ни и те же опе‡ции, Е‚‡ может со片ть т‡блицу ‰иффеенци‡льных ‡спе‰елений (поф‡йл ИСКЛЮЧАЮЩЕГО ИЛИ) ‰лfl к‡ж‰о„о S-блок‡ и комбинить их, чтобы со片ть ‡спе‰еление ‰лfl к‡ж‰о„о ‡у퉇. 2. Пе‰положим, что к‡ж‰ый ‡ун‰ не燂исим (сп‡‚е‰ли‚ое пе‰положение). Е‚‡ может со片ть т‡блицу ‡спе‰елениfl ‰лfl ‚се„о шиф‡, умнож‡fl соот‚етст‚ующие ‚еоflтности. 3. Е‚‡ может тепеь с‰ел‡ть список исхо‰ных тексто‚ ‰лfl ‡т‡к, осннных н‡ т‡блице ‡спе‰елений н‡ ‚тоом ш‡„е. З‡метим, что т‡блиц‡ ‚ ш‡„е 2 только помет Е‚е ‚ыби‡ть меньшее количест‚о п‡ «исхо‰ный текст / з‡шифнный текст» 4. Е‚‡ ‚ыби‡ет з‡шифнный текст и н‡хо‰ит соот‚етст‚ующий исхо‰ный текст. З‡тем он‡ ‡н‡лизиует езульт‡т, чтобы н‡йти некотоые биты ‚ ключе. 5. Е‚‡ по‚тоflет ш‡„ 4, чтобы н‡йти больше бито‚ ‚ ключе. 6. После н‡хож‰ениfl ‰ост‡точно„о количест‚‡ бито‚ ‚ ключе Е‚‡ может использть ‡т‡ку „убой силы, чтобы н‡йти ‚есь ключ. Диффеенци‡льный кипто‡н‡лиз б‡зиуетсfl н‡ т‡блице нео‰ноо‰ных ‰иффеенци‡льных ‡спе‰елений, S-блоко‚ ‚ блочном шифе.

1

Митцуу М‡цуи (Mitsuru Matsui) — киптоло„, соту‰ник фимы Mitsubishi Electric Corporation (Япониfl). 169

Кус

Кипто„‡фиfl и безоп‡сность сетей

Более ‰ет‡льно ‰иффеенци‡льный кипто‡н‡лиз пи‚о‰итсfl ‚ Пиложении N.

Линейный кипто‡н‡лиз Линейный кипто‡н‡лиз был пе‰ст‡‚лен Митцуи М‡цуи (Mitsuru Matsui1) ‚ 1993 „о‰у. Ан‡лиз использует ‡т‡ки зн‡ниfl исхо‰но„о текст‡ (‚ отличии от ‡т‡к с ‚ыбокой исхо‰но„о текст‡ ‚ ‰иффеенци‡льном кипто‡н‡лизе). Полное обсуж‰ение этой ‡т‡ки б‡зиуетсfl н‡ некотоых понflтиflх теоии ‚еоflтностей, котоые н‡хо‰flтсfl з‡ ‡мк‡ми этой кни„и. Чтобы ‡ссмотеть „뇂ную и‰ею этой ‡т‡ки, пе‰положим, что шиф состоит из о‰но„о ‡у퉇, к‡к пок‡з‡но н‡ ис. 5.20, „‰е c0,с1 и c2 пе‰ст‡‚лflют ти бит‡ н‡ ‚ыхо‰е и x0, x1 и x2 пе‰ст‡‚лflют ти бит‡ н‡ ‚хо‰е S-блок‡. S-блок — линейное пеоб‡зние, ‚ котоом к‡ж‰ый ‚ы‚о‰ fl‚лflетсfl линейной функцией ‚‚, к‡к мы обсу扇ли ‡нее ‚ этой лекции. С этим линейным компонентом мы можем со片ть ти линейных у‡‚нениfl меж‰у исхо‰ным текстом и бит‡ми з‡шифнно„о текст‡, к‡к пок‡з‡но ниже: Рис. 5.20. Постой шиф с линейным S-блоком c0 = p0 ⊕ k0 ⊕ p1 ⊕ k1 c1 = p0 ⊕ k0 ⊕ p1 ⊕ k1 ⊕ p2 ⊕ k2 c2 = p1 ⊕ k1 ⊕ p2 ⊕ k2 Реш‡fl систему у‡‚нений ‰лfl тех неиз‚естных, мы получ‡ем k1= (p1) ⊕ ( c0 ⊕ c1 ⊕ c2) k2 = (p2) ⊕ ( c0 ⊕ c1) k0=(p0) ⊕ ( c1 ⊕ c2) Это озн‡ч‡ет, что ти ‡т‡ки тип‡ «зн‡ниfl исхо‰но„о текст‡» мо„ут н‡йти зн‡чениfl k1, и k2 . О‰н‡ко е‡льные блочные шифы не т‡к посты, к‡к этот; они имеют больше компоненто‚, и S-блоки не линейны. 170

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Линейн‡fl ‡ппоксим‡циfl. В некотоых со‚еменных блочных шиф‡х может случитьсfl, что некотоые S-блоки не полностью нелинейные; т‡ они мо„ут быть ‚ ‚еоflтностном смысле ‡ппоксимины некотоыми линейными функциflми. Вообще, 燉‡‚‡fl исхо‰ный и з‡шифнный текст ‚ n бит и ключ m бит, мы ищем некотоые у‡‚нениfl, имеющие ‚и‰ (k0 ⊕ k1 ⊕ ... ⊕ kx) = (p0 ⊕ p1 ⊕ ... ⊕ py) ⊕ (c0 ⊕ c1 ⊕ ... ⊕ cz) „‰е 1 ≤ x ≤ m, 1 ≤ y ≤ n и 1 ≤ z ≤ n. Биты ‚ пеех‚‡ченных исхо‰ном тексте и з‡шифнном тексте мо„ут быть использны ‰лfl то„о чтобы н‡йти биты ключ‡.

Длfl то„о, чтобы ‰ости„нуть эффекти‚ности, к‡ж‰ое у‡‚нение ‰олжно быть с‚flз‡но с ‚еоflтностью1/2 + ε, „‰е ε н‡з‚‡етсfl по„ешность. У‡‚нение, „‰е ε больше, эффекти‚нее чем у‡‚нение с м‡лым зн‡чением ε. Более ‰ет‡льно линейный кипто‡н‡лиз ‰‡н ‚ пиложении N.

5.2. Со‚еменные шифы поток‡ В лекции 3 мы к‡тко обсу扇ли ‡зницу меж‰у т‡‰иционными шиф‡ми поток‡ и т‡‰иционными блочными шиф‡ми. По‰обные отличиfl сущест‚уют т‡кже меж‰у со‚еменными шиф‡ми поток‡ и со‚еменными блочными шиф‡ми. В со‚еменном шифе поток‡ шифние и ‰ешифние r бит по‚о‰flтсfl о‰но‚еменно. Мы имеем поток бит исхо‰но„о текст‡ P = pn… p2p1 , поток бит з‡шифнно„о текст‡ C = cn ... c2 c1, и ключе‚ой поток бит K = k n ... k2k1, ‚ котоых pi ci, и ki — это r-битные сл. Шифние — ci = E (ki,pi), и ‰ешифние — pi = D (ki, ci), к‡к пок‡зы‚‡ет ис. 5.21. Рис. 5.21. Шиф поток‡ Шифы поток‡ быстее, чем блочные шифы. Апп‡‡тн‡fl е‡лиз‡циfl шиф‡ поток‡ т‡кже более пост‡. К‡ мы ‰олжны з‡шифть ‰‚оичные потоки и пе則ть их н‡ постоflнной скоости, лучший ‚ыбо — использть шиф поток‡. Шифы поток‡ об뇉‡ют большей з‡щитой поти‚ иск‡жениfl бито‚ ‚ течение пе則чи.

171

Кус

Кипто„‡фиfl и безоп‡сность сетей

В со‚еменном шифе поток‡ к‡ж‰ое r-бито‚ое сло‚о ‚ потоке исхо‰но„о текст‡ з‡шифно, используfl r-бито‚ое сло‚о ‚ ключе‚ом потоке, чтобы со片ть соот‚етст‚ующее r-бито‚ое сло‚о ‚ потоке з‡шифнно„о текст‡. Р‡ссм‡т肇fl ис. 5.21, можно пе‰положить, что „л‡‚н‡fl поблем‡ ‚ со‚еменных шиф‡х поток‡ — к‡к „енеить ключе‚ой поток K = kn….. k2k1. Со‚еменный шиф поток‡ можно ‡з‰елить н‡ ‰‚е обшиные к‡те„оии: синхонный и несинхонный.

Синхонные шифы поток‡ В синхонном шифе поток‡ ключе‚ой поток не燂исим от поток‡ з‡шифнно„о текст‡ или исхо‰но„о текст‡. Генеиуемый ключе‚ой поток не имеет

ник‡кой с‚flзи меж‰у ключе‚ыми бит‡ми и исхо‰ным текстом или бит‡ми з‡шифнно„о текст‡. В синхонном шифе поток‡ ключ не燂исим от исхо‰но„о текст‡ или з‡шифнно„о текст‡. О‰но‡зо‚ый блокнот Н‡иболее постой и с‡мый безоп‡сный тип синхонно„о шиф‡ поток‡ н‡з‚‡н шифом о‰но‡зо‚о„о блокнот‡, или, по имени изобет‡телfl, «шифом Вен‡м‡1». Шиф о‰но‡зо‚о„о блокнот‡ использует ключе‚ой поток, котоый беспоfl‰очно ‚ыб‡н ‰лfl к‡ж‰ой шифо‚ки. Ал„оитмы шифниfl и ‰ешифниfl пименflют е‰инст‚енную опе‡цию — ИСКЛЮЧАЮЩЕЕ ИЛИ. Шифы, котоые б‡зиуютсfl н‡ с‚ойст‚‡х опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ, обсу扇лись ‡нее. В них ‡л„оитмы шифниfl и ‰ешифниfl ин‚есны ‰у„ ‰у„у. В‡жно, что ‚ этом шифе опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ используетсfl только ‰лfl о‰но„о бит‡ о‰но‚еменно. Ду„ими слми, опе‡циfl поиз‚о‰итсfl 퇉 сло‚ом не более чем из о‰но„о бит‡ и полем GF (2). З‡метим, что т‡кже нужно иметь безоп‡сный к‡н‡л ‰лfl то„о, чтобы Алис‡ мо„л‡ пе則ть ключе‚ую после‰о‚‡тельность поток‡ Бобу (ис. 5.22). 1

Систем‡ симметично„о шифниfl, изобетенн‡fl ‚ 1917 „о‰у соту‰ник‡ми AT&T Гильбетом Вен‡мом и Ме‰жеом Джозефом Мобоном. 172

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Рис. 5.22. О‰но‡зо‚ый блокнот О‰но‡зо‚ый блокнот — и‰е‡льный шиф. Он со‚ешенен. Нет мет, котоый ‰‡л бы поти‚нику ‚озможность ‡спозн‡ть ключ или ст‡тистику з‡шифнно„о текст‡ и исхо‰но„о текст‡. Нет ник‡ких соотношений меж‰у исхо‰ным и з‡шифнным текст‡ми. Ду„ими слми, з‡шифнный текст – н‡стоflщий случ‡йный поток бито‚, ‰‡же если получить некотоые об‡зцы исхо‰но„о текст‡. Е‚‡ не может н‡ушить шиф, если он‡ не попобует ‚се ‚озможные случ‡йные ключе‚ые потоки, котоые были бы 2n, если ‡зме исхо‰но„о текст‡ — nбито‚ый. О‰н‡ко пи этом есть поблем‡. Пе則тчик и пиемник ‰лfl то„о, чтобы со‚местно использть о‰но‡зо‚ый блокнот ключей, ‰олжны уст‡н‡‚л肇ть сое‰инение к‡ж‰ый ‡з, к‡ они хотflт обменflтьсfl инфом‡цией. Они ‰олжны, т‡к или ин‡че, ‰о„о‚оитьсfl о случ‡йном ключе. Т‡к что этот со‚ешенный и и‰е‡льный шиф очень ту‰но е‡лизть. Пиме 5.17 К‡кой ‚и‰ имеет з‡шифнный текст пи использнии шиф‡ о‰но‡зо‚о„о блокнот‡ ‚ к‡ж‰ом из сле‰ующих случ‡е‚? ‡. Исхо‰ный текст состоит из n нулей. б. Исхо‰ный текст состоит из n е‰иниц. ‚. Исхо‰ный текст состоит из чее‰ующихсfl нулей и е‰иниц. „. Исхо‰ный текст — случ‡йн‡fl сточк‡ бит. Решение

a. Поскольку 0 ⊕ ki = k i, поток з‡шифнно„о текст‡ со‚ет с ключе‚ым потоком. Если ключ случ‡йный, з‡шифнный текст т‡кже случ‡йный. Оты‚ки исхо‰но„о текст‡ ‚ з‡шифнном тексте не сох‡нflютсfl. – – b. Поскольку 1 ⊕ ki = ki, „‰е ki fl‚лflетсfl ‰ополнением, поток з‡шифнно„о текст‡ — ‰ополнение ключе‚о„о поток‡. Если ключе‚ой поток случ‡й173

Кус

Кипто„‡фиfl и безоп‡сность сетей

ный, то з‡шифнный текст т‡кже случ‡йный, оты‚ки исхо‰но„о текст‡ не сох‡нflютсfl ‚ з‡шифнном тексте. c. В этом случ‡е к‡ж‰ый бит ‚ потоке з‡шифнно„о текст‡ fl‚лflетсfl или тем же с‡мым, что и ‚ ключе‚ом потоке, или е„о ‰ополнением. Поэтому езульт‡т — т‡кже случ‡йный, если ключе‚ой поток случ‡йный. d. В ‰‡нном случ‡е з‡шифнный текст fl‚но случ‡йный, потому что по‚е‰ение опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ ‰‚ух случ‡йных бито‚ ‚ езульт‡те ‰‡ет случ‡йный поток бит. Ре„ист с‰‚脇 с об‡тной с‚flзью Имеетсfl о‰но усо‚ешенст‚ние к о‰но‡зо‚ому блокноту — Ре„ист с‰‚脇 с об‡тной с‚flзью (FSR — Feedback Shift Register). FSR может быть е‡лизн или ‚ по„‡ммном обеспечении, или ‚ ‡пп‡‡тных се‰ст‚‡х, но ‰лfl постоты мы ‡ссмотим ‡пп‡‡тную е‡лиз‡цию. Ре„ист с‰‚脇 с об‡тной с‚flзью состоит из е„ист‡ с‰‚脇 и функции об‡тной с‚flзи, к‡к пок‡з‡но н‡ ис. 5.23. Рис. 5.23. Ре„ист с‰‚脇 с об‡тной с‚чзью (FSR) Ре„ист с‰‚脇 – после‰о‚‡тельность из m flчеек от b0 ‰о bm-1, „‰е к‡ж‰‡fl flчейк‡ пе‰н‡зн‡чен‡ ‰лfl сох‡нениfl е‰инст‚енно„о бит‡. Ячейки ‡ссм‡т肇ютсfl к‡к n-бито‚ое сло‚о, н‡зы‚‡емое ‚ н‡ч‡ле «н‡ч‡льное зн‡чение» или источник. Всflкий ‡з, к‡ необхо‰имо получить бит н‡ ‚ыхо‰е (н‡пиме, по си„н‡лу ‚ опе‰еленное ‚емfl), к‡ж‰ый бит с‰‚脇етсfl н‡ о‰ну flчейку ‚п‡‚о. Это озн‡ч‡ет, что зн‡чение к‡ж‰ой flчейки пис‚‡и‚‡етсfl п‡‚ой сосе‰ней flчейке и пиним‡ет зн‡чение ле‚ой flчейки. С‡м‡fl п‡‚‡fl flчейк‡ b0 счит‡етсfl ‚ыхо‰ом и ‰‡ет ‚ыхо‰ное зн‡чение (ki). К‡йнflfl л傇fl flчейк‡, bm-1, получ‡ет с‚ое зн‡чение со„л‡сно зн‡чению инфом‡ции функции об‡тной с‚flзи. Обозн‡ч‡ем ‚ыхо‰ функции с инфом‡цией об‡тной с‚flзи bm. Функциfl инфом‡ции об‡тной с‚flзи опе‰елflет, к‡кие зн‡чениfl имеют flчейки, чтобы ‚ычислить bm. Ре„ист с‰‚脇 инфом‡ции об‡тной с‚flзи может быть линейный или нелинейный.

Ре„ист с‰‚脇 с линейной об‡тной с‚flзью (LFSR). Пимем, что b m — это линейн‡fl функциfl b0, b1,…..., bm-1, ‰лfl котоой bm = cm-1 bm-1 + ......+c2b2 =c1b1 =c0b0 (c0 • 0) Линейный е„ист с‰‚脇 с об‡тной с‚flзью ‡бот‡ет с ‰‚оичными циф‡ми, поэтому умножение и сложение н‡хо‰flтсfl ‚ поле GF(2), т‡к что зн‡чение ci fl‚лflетсfl или 1, или 0, но c0 ‰олжно быть 1, чтобы получить инфом‡цию об‡т174

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

ной с‚flзи н‡ ‚ыхо‰е. Опе‡циfl сложениfl – это опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ. Ду„ими слми,

bm = cm-1 bm-1 ⊕ ...... ⊕ c2b2 ⊕ c1b1 ⊕ c0b0 (c0 ≠ 0) Пиме 5.18 Постоим линейный е„ист с‰‚脇 с об‡тной с‚flзью с 5-ю flчейк‡ми, ‚ котоых b5 = b4 ⊕ b2 ⊕ b0. Решение Если сi = 0, bi не и„‡ет оли ‚ ‚ычислении bm, то это озн‡ч‡ет, что bi не с‚flз‡н с функцией инфом‡ции об‡тной с‚flзи. Если c i = 1, bi ‚ключ‡етсfl ‚ ‚ычис-

ление bm. В этом пимее c1 и c3 — нули, это озн‡ч‡ет, что мы имеем только ти по‰ключениfl. Рисунок 5.24 пок‡зы‚‡ет схему линейно„о е„ист‡ с‰‚脇 с об‡т175

Кус

Кипто„‡фиfl и безоп‡сность сетей

ной с‚flзью. Рис. 5.24. Линейный е„ист с‰‚脇 с об‡тной с‚flзью Пиме 5.19 Постоим линейный е„ист с‰‚脇 с об‡тной с‚flзью с 4-мfl flчейк‡ми, ‚ котоых b4 = b1 ⊕ b0. Пок‡жите зн‡чение е„ист‡ после 20 опе‡ций (с‰‚и„о‚), если исхо‰ное зн‡чение — (0001)2. Решение Рисунок 5.25 пок‡зы‚‡ет схему и использние линейно„о е„ист‡ с‰‚脇 с об‡тной с‚flзью ‰лfl шифниfl. Рис. 5.25. Линейный е„ист с‰‚脇 с об‡тной с‚flзью ‰лfl пиме‡ 5.19 Т‡блиц‡ 5.6. пок‡зы‚‡ет зн‡чение поток‡ ключей. Длfl к‡ж‰о„о пеех сн‡ч‡л‡ ‚ычислflетсfl зн‡чение b4, ‡ з‡тем к‡ж‰ый бит с‰‚脇етсfl н‡ о‰ну flчейку ‚п‡‚о. Т‡блиц‡ 5.6. Зн‡чение и после‰о‚‡тельность ключей ‰лfl пиме‡ 5.18. З‡метим, что поток ключей — 1000100110101111 1001…… . Он ‚ы„лfl‰ит, н‡ пе‚ый ‚з„лfl‰, к‡к случ‡йн‡fl после‰о‚‡тельность, но если посмотеть большое число т‡нз‡кций (с‰‚и„о‚), мы можем у‚и‰еть, что после‰о‚‡тельности пеио‰ичны. Это по‚тоение по 15 бит пок‡з‡но ниже. 1000100110101111 000100110101111 000100110101111 000100110101111 Ключ поток‡ „енеиует с помощью линейно„о е„ист‡ с‰‚脇 с об‡тной с‚flзью пс傉ослуч‡йную после‰о‚‡тельность, ‚ котоой по‚тоflютсfl после‰о‚‡тельности ‰линою N. Поток пеио‰ичен. Он 燂исит от схемы „ене‡то‡ и н‡ч‡льной инфом‡ции и может быть не с‚ыше 2m – 1. ʇ扇fl схем‡ поо扇ет mбито‚ые после‰о‚‡тельности от со‰еж‡щих ‚се нули ‰о со‰еж‡щих ‚се е‰иницы. О‰н‡ко если н‡ч‡льн‡fl после‰о‚‡тельность состоит только из нулей, езульт‡т бесполезен — исхо‰ный текст был бы потоком из о‰них нулей. Поэтому т‡к‡fl н‡ч‡льн‡fl после‰о‚‡тельность исключен‡. М‡ксим‡льный пеио‰ после‰о‚‡тельностей, котоые „енеиуютсfl с помощью линейно„о е„ист‡ с‰‚脇 с об‡тной с‚flзью, — 2m – 1. В пе‰ы‰ущем пимее м‡ксим‡льный пеио‰ — (24 – 1 = 15). Чтобы ‰остичь этой м‡ксим‡льной пеио‰ичности (н‡илучшей ‡н‰омиз‡ции), мы ‰олжны ‚ пе‚ую очее‰ь пе‰ст‡‚ить функцию об‡тной с‚flзи к‡к х‡‡ктеистический полином с коэффициент‡ми ‚ поле GF(2). bm = cm-1bm-1 +…..+ c1b1 + c0b0 → xm = cm-1xm-1 +…..+ c1x1 + c0x0 176

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

Поскольку сложение и ‚ычит‡ние ‚ этом поле о‰ни и те же, ‚се элементы мо„ут быть пеенесены ‚ о‰ну стоону, что ‰‡ет полином степени m. (н‡зы‚‡емый х‡‡ктеистическим полиномом). xm + cm-1xm-1 +…..+ c1x1 + c0x0 = 0 Линейный е„ист с‰‚脇 с об‡тной с‚flзью имеет м‡ксим‡льный пеио‰ 2m–1, если он имеет четное число flчеек, и х‡‡ктеистический полином — пимити‚ный полином. Пимити‚ный полином — непи‚о‰имый полином, котоый fl‚лflетсfl ‰елителем xe –1, „‰е e — н‡именьшее целое число ‚ фоме e = 2k–1 и k ≥ 2. Пимити‚ный полином получить неле„ко. Полином ‚ыби‡етсfl случ‡йно, ‡ з‡тем по‚еflетсfl н‡ пимити‚ность. О‰н‡ко сущест‚уют т‡блицы по‚еенных пимити‚ных полиномо‚ (см. пиложение G). Пиме 5.20 Х‡‡ктеистический полином ‰лfl линейно„о е„ист‡ с‰‚脇 с об‡тной с‚flзью ‚ пимее 5.19 — (x4 + x + 1) — fl‚лflетсfl пимити‚ным полиномом. Т‡блиц‡ 4.4 (лекциfl 4) пок‡зы‚‡ет, что это — непи‚о‰имый полином. Этот полином т‡кже ‰елит (x7 + 1) = (x4 + x + 1) (x3 + 1), что озн‡ч‡ет e = 23 –1 = 7. Ат‡ки шифо‚, полученных с помощью линейных е„исто‚ с‰‚脇 с об‡тной с‚flзью. Линейный е„ист с‰‚脇 с об‡тной с‚flзью имеет очень постую стуктуу, но эт‡ постот‡ ‰ел‡ет шиф уflз‚имым к ‡т‡к‡м. Д‚‡ общих тип‡ ‡т‡ки пи‚е‰ены ниже. 1. Если стукту‡ линейно„о е„ист‡ с‰‚脇 с об‡тной с‚flзью из‚естн‡, то после пеех‚‡т‡ и ‡н‡лиз‡ о‰но„о n-бито‚о„о куск‡ з‡шифнно„о текст‡ Е‚‡ может пе‰ск‡з‡ть ‚се бу‰ущие з‡шифнные тексты. 2. Если стукту‡ линейно„о е„ист‡ с‰‚脇 с об‡тной с‚flзью неиз‚естн‡, Е‚‡ может использть ‡т‡ку зн‡ниfl исхо‰но„о текст‡ ‰линой 2n бит, чтобы ‚скыть шиф. Ре„ист с‰‚脇 с нелинейной об‡тной с‚flзью (NLFSR). Линейный е„ист с‰‚脇 с об‡тной с‚flзью уflз‚им „л‡‚ным об‡зом из-з‡ е„о линейности. Более устойчи‚ый шиф поток‡ может быть получен пи использнии нелинейно„о е„ист‡ с‰‚脇 с об‡тной с‚flзью. Он имеет ту же стуктуу, что и линейный е„ист с‰‚脇 с об‡тной с‚flзью, з‡ исключением то„о, что bm — нелинейн‡fl функциfl b0,b1, ….,bm. Н‡пиме, ‚ 4-битном нелинейном е„исте с‰‚脇 с об‡тной с‚flзью стукту‡ опе‰елflетсfl соотношением, пок‡з‡нным ниже, „‰е опе‡циfl AND озн‡ч‡ет по‡зfl‰ную опе‡цию И, ‡ OR озн‡ч‡ет по‡зfl‰ную опе‡цию ИЛИ. Четочк‡ н‡‰ пееменной озн‡ч‡ет ин‚есию. – b4 = (b3 AND b2) or (b1 AND b0) О‰н‡ко нелинейный е„ист с‰‚脇 с об‡тной с‚flзью не имеет обще„о х‡‡кте‡, поскольку нет м‡тем‡тическо„о обоснниfl, к‡к получить т‡кой е„ист с м‡ксим‡льным пеио‰ом. 177

Кус

Кипто„‡фиfl и безоп‡сность сетей

Можно пименить линейный е„ист с‰‚脇 с об‡тной с‚flзью с м‡ксим‡льным пеио‰ом и з‡тем скомбинить е„о об‡тную с‚flзь с помощью нелинейной функции.

Несинхонные шифы поток‡ В несинхонном шифе поток‡ к‡ж‰ый ключ ‚ ключе‚ом потоке 燂исит от пе‰ы‰уще„о исхо‰но„о текст‡ или з‡шифнно„о текст‡. В несинхонном шифе поток‡ ключ 燂исит либо от исхо‰но„о текст‡, либо от з‡шифнно„о текст‡. Д‚‡ мет, котоые используютсfl, чтобы со片ть ‡зличные ежимы ‡боты ‰лfl блочных шифо‚ (ежим об‡тной с‚flзи по ‚ыхо‰у и ежим счет‡ сцеплений блоко‚ шиф‡), ф‡ктически со片ют шифы поток‡ (см. лекцию 8).

5.3. Рекомен‰о‚‡нн‡fl лите‡ту‡ Нижесле‰ующие кни„и и с‡йты ‰‡ют более ‰ет‡льные с‚е‰ениfl по обсу扇емым ‚опос‡м, котоые ‡ссмотены ‚ этой лекции. Ссылки, помещенные ‚ скобки, пи‚е‰ены ‚ списке ‚ конце кни„и.

Кни„и [Sti06] и [PHS03] со‰еж‡т полные с‚е‰ениfl о P-блок‡х и S-блок‡х. Поточные шифы тщ‡тельно ‡ссмотены ‚ [Sch99] и [Sal03]. [Sti06], [PHS03] и [Vau06] — полный и интеесный ‡н‡лиз ‰иффеенци‡льно„о и линейно„о кипто‡н‡лиз‡.

С‡йты Нижесле‰ующие с‡йты ‰‡ют более по‰обную инфом‡цию о тем‡х, обсуж‰енных ‚ этой лекции. http://en.wikipedia.org/wiki/FeisteL_cipher http://www.quadibloc.com/crypto/co040906.htm tigger.uic.edu/~jleon/mcs425-s05/handouts/feistal-diagram.pdf

5.4. Ито„и • Т‡‰иционные шифы с симметичным ключом — шифы, оиентинные н‡ сим‚ол. С поfl‚лением компьюте‡ ст‡ли нужны шифы, оиентинные н‡ биты. • Со‚еменный симметичный ключе‚ой блочный шиф з‡шифо‚ы‚‡ет n-битный блок исхо‰но„о текст‡ или ‡сшифо‚ы‚‡ет n-бито‚ый блок з‡шифнно„о текст‡. Ал„оитмы шифниfl или ‰ешифниfl используют k-битные ключи. 178

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

• Со‚еменный блочный шиф может быть споектин т‡к, чтобы ‰ейст‚ть к‡к шиф по‰ст‡но‚ки или шиф т‡нспозиции. О‰н‡ко чтобы быть стойким к ‡т‡ке исчепы‚‡юще„о поиск‡, со‚еменный блочный шиф ‰олжен быть споектин к‡к шиф по‰ст‡но‚ки. • Со‚еменные блочные шифы — обычно ключе‚ые шифы по‰ст‡но‚ки, ‚ котоых ключ п‡ктически поз‚олflет отоб‡жение ‚сех ‚озможных ‚хо‰о‚ ‚о ‚се ‚озможные ‚ыхо‰ы. • Со‚еменный блочный шиф состоит из комбин‡ции P-блоко‚, мо‰улей по‰ст‡но‚ки, S-блоко‚ и некотоых ‰у„их мо‰улей. • P-блок (блок пеест‡но‚ки) по‰обен т‡‰иционному шифу т‡нспозиции ‰лfl сим‚оло‚. Есть ти тип‡ P-блоко‚: пflмые P-блоки, P-блоки ‡сшиениfl и P-блоки сж‡тиfl. • S-блок (блок по‰ст‡но‚ки) можно пе‰ст‡‚ить себе к‡к м‡ленький блок шиф‡ по‰ст‡но‚ки. О‰н‡ко ‚ S-блоке может быть ‡зличное число ‚хо‰о‚ и ‚ыхо‰о‚. • Опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ — ‚‡жный компонент ‚ большинст‚е блочных шифо‚: он‡ пе‰ст‡‚лflет опе‡ции сложениfl или ‚ычит‡ниfl ‚ поле GF (2). • В со‚еменных блочных шиф‡х ч‡сто пименflетсfl опе‡циfl циклическо„о с‰‚脇, ‚ котоой смещение может быть ‚ле‚о или ‚п‡‚о. Опе‡циfl пеест‡но‚ки — специ‡льный случ‡й опе‡ции циклическо„о с‰‚脇, „‰е k = n/2. Д‚е ‰у„их опе‡ции, пименflемые ‚ некотоых блочных шиф‡х, — ‡збиение и комбининие. • Шеннон ‚‚ел понflтие сост‡‚но„о шиф‡. Сост‡‚ной шиф — сложный шиф, объе‰инflющий S-блоки, P-блоки и ‰у„ие компоненты, чтобы ‰ости„нуть ‡ссе肇ниfl и пеемеш肇ниfl. Р‡ссе肇ние скы‚‡ет отношениfl меж‰у исхо‰ным текстом и з‡шифнным текстом, пеемеш肇ние скы‚‡ет отношениfl меж‰у ключом шиф‡ и з‡шифнным текстом. • Со‚еменные блочные шифы — ‚се сост‡‚ные шифы, но они ‡з‰елены н‡ ‰‚‡ кл‡сс‡: шифы не-Ф‡йстлfl и шифы Ф‡йстелfl. Шифы Ф‡йстелfl используют и об‡тимые, и необ‡тимые компоненты. Шифы неФ‡йстлfl используют только об‡тимые компоненты. • Некотоые но‚ые ‡т‡ки блочных шифо‚ б‡зиуютсfl н‡ стуктуе со‚еменных шифо‚. Эти ‡т‡ки используют ‰иффеенци‡льные и линейные мето‰ы кипто‡н‡лиз‡ • В со‚еменном шифе поток‡ к‡ж‰ое сло‚о r-бит‡ ‚ потоке исхо‰но„о текст‡ з‡шифно, ‰лfl че„о используетсfl r-бито‚ое сло‚о ‚ потоке ключей, чтобы со片ть соот‚етст‚ующее r-бито‚ое сло‚о ‚ потоке з‡шифнно„о текст‡. Со‚еменные шифы поток‡ мо„ут быть ‡з‰елены н‡ ‰‚е обшиные к‡те„оии: синхонные шифы поток‡ и несинхонный шиф поток‡ ‚ синхонном шифе поток‡. В пе‚ом случ‡е ключе‚ой поток не燂исим от поток‡ з‡шифнно„о текст‡ или исхо‰но„о текст‡. В несинхонном шифе поток‡ ключе‚ой поток 燂исит от исхо‰но„о текст‡ или поток‡ з‡шифнно„о текст‡. 179

Кус

Кипто„‡фиfl и безоп‡сность сетей

• С‡мый постой и с‡мый безоп‡сный тип синхонно„о шиф‡ поток‡ н‡з‚‡н о‰но‡зо‚ым блокнотом. Шиф о‰но‡зо‚о„о блокнот‡ использует ключе‚ой поток ключей, котоый ‚ыб‡н беспоfl‰очно ‰лfl к‡ж‰о„о шифниfl. Ал„оитмы шифниfl и ‰ешифниfl пименflют опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ. Шиф о‰но‡зо‚о„о блокнот‡ неу‰обен н‡ п‡ктике, потому что ключ ‰олжен быть ин‰и‚и‰у‡льным ‰лfl к‡ж‰о„о се‡нс‡ с‚flзи. О‰ин из компомиссных ‚‡и‡нто‚ о‰но‡зо‚о„о блокнот‡ — е„ист с‰‚脇 с об‡тной с‚flзью (FSR), котоый может быть е‡лизо‚‡н ‚ ‡пп‡‡тных се‰ст‚‡х или по„‡ммном обеспечении.

5.5. Вопосы и уп‡жнениfl Обзоные ‚опосы 1. Ук‡жите ‡зличиfl меж‰у со‚еменным и т‡‰иционным шиф‡ми с симметичным ключом. 2. Объflсните, почему со‚еменные блочные шифы споектины к‡к шифы по‰ст‡но‚ки ‚место то„о, чтобы пименflть шифы т‡нспозиции. 3. Объflсните, почему шиф по‰ст‡но‚ки можно пе‰ст‡‚ить себе к‡к шиф т‡нспозиции. 4. Пеечислите некотоые компоненты со‚еменно„о блочно„о шиф‡. 5. Опе‰елите P-блок и пеечислите е„о ти ‚‡и‡нт‡. К‡кой ‚‡и‡нт fl‚лflетсfl об‡тимым? 6. Опе‰елите S-блок и пок‡жите необхо‰имое усло‚ие об‡тимости Sблок‡. 7. Опе‰елите сост‡‚ной шиф и пеечислите ‰‚‡ кл‡сс‡ сост‡‚ных шифо‚. 8. Ук‡жите ‡зличие меж‰у ‡ссе肇нием и пеемеш肇нием 9. Ук‡жите ‡зличие меж‰у блочным шифом Ф‡йстелfl и не-Ф‡йстелfl. 10. Ук‡жите ‡зличие меж‰у ‰иффеенци‡льным и линейным кипто‡н‡лизом. К‡кой из них использует ‡т‡ку ‚ыбоки исхо‰но„о текст‡? К‡кой из них использует т‡кже ‡т‡ку зн‡ниfl исхо‰но„о текст‡? 11. Ук‡жите ‡зличие меж‰у синхонным и несинхонным шиф‡ми поток‡. 12. Опе‰елите е„ист с‰‚脇 с об‡тной с‚flзью и пеечислите ‰‚‡ ‚‡и‡нт‡, используемые ‚ шифе поток‡.

Уп‡жнениfl 1. Блок т‡нспозиции имеет 10 ‚хо‰о‚ и 10 ‚ыхо‰о‚. К‡ко‚ поfl‰ок „уппы пеест‡но‚ки? К‡ко‚ ‡зме ключе‚ой после‰о‚‡тельности? 2. Блок по‰ст‡но‚ки имеет 10 ‚хо‰о‚ и 10 ‚ыхо‰о‚. К‡ко‚ поfl‰ок „уппы пеест‡но‚ки? К‡ко‚ ‡зме ключе‚ой после‰о‚‡тельности? 3. a. Пок‡жите езульт‡т цикулflно„о ле‚о„о с‰‚脇 н‡ 3 бит‡ н‡ сло‚е (1001101l) 2. 180

Лекциfl 5

В‚е‰ение ‚ осно‚ы со‚еменных шифо‚ с симметичным ключом

б. Пок‡жите езульт‡т цикулflно„о п‡‚о„о с‰‚脇 н‡ 3 бит‡ н‡ сло‚е, полученном ‚ пункте a. ‚. С‡‚ните езульт‡т пункт‡ б с пе‚он‡ч‡льным сло‚ом пункт‡ a. 4. a. Измените сло‚о (10011011)2 с помощью пеест‡но‚ки. б. Измените сло‚о, полученное по пункту a, с помощью пеест‡но‚ки. ‚. С‡‚ните езульт‡ты пункт‡ a и пункт‡ b, чтобы пок‡з‡ть, что пеест‡но‚к‡ — с‡мооб‡тим‡fl опе‡циfl. 5. Н‡й‰ите езульт‡т сле‰ующих опе‡ций: a. (01001101) ⊕ (01001101) б. (01001101) ⊕ (10110010) ‚. (01001101) ⊕ (00000000) „. (01001101) ⊕ (11111111) 6. a. Р‡сшифуйте сло‚о 010, используfl ‰еко‰е 3 × 8. б. З‡шифуйте сло‚о 00100000, используfl ко‰иующее устойст‚о 8 × 3.

7. Сообщение имеет 2000 сим‚оло‚. Оно бу‰ет з‡шифно с использнием блочно„о шиф‡ 64 бито‚. Н‡й‰ите ‡зме ‰ополнениfl и номе‡ блоко‚. 8. Пок‡жите т‡блицу пеест‡но‚ки ‰лfl пflмо„о P-блок‡ н‡ ис. 5.4 9. Пок‡жите т‡блицу пеест‡но‚ки ‰лfl P-блок‡ сж‡тиfl н‡ ис. 5.4.

10. Пок‡жите т‡блицу пеест‡но‚ки ‰лfl P-блок‡ ‡сшиениfl н‡ ис. 5.4. 11. Пок‡жите P-блок, опе‰еленный сле‰ующей т‡блицей: 8 1 2 3 4 5 6 7 12. Опе‰елите, fl‚лflетсfl ли P-блок со сле‰ующей т‡блицей пеест‡но‚ки пflмым P-блоком, P-блоком сж‡тиfl или P-блоком ‡сшиениfl. 1

1

2

3

4

4

13. Опе‰елите, fl‚лflетсfl ли P-блок со сле‰ующей т‡блицей пеест‡но‚ки пflмым P-блоком, P-блоком сж‡тиfl или P-блоком ‡сшиениfl. 1

3

181

5

6

7

Кус

Кипто„‡фиfl и безоп‡сность сетей

14. Опе‰елите, fl‚лflетсfl ли P-блок со сле‰ующей т‡блицей пеест‡но‚ки пflмым P-блоком, P-блоком сж‡тиfl или P-блоком ‡сшиениfl. 1

2

3

4

5

6

15. Отношение ‚хо‰-‚ыхо‰ ‚ 2 × 2 S-блок‡ пок‡з‡ны ‚ сле‰ующей т‡блице ‰лfl S-блок‡. Пок‡жите т‡блицу ‰лfl ин‚есно„о блок‡. 16. Пок‡жите LFSR с х‡‡ктеистическим полиномом x5 + x2 + 1. К‡ко‚ пеио‰ получ‡емой после‰о‚‡тельности? 17. К‡ко‚ х‡‡ктеистический полином сле‰ующе„о LFSR? К‡ко‚ м‡ксим‡льный пеио‰? 18. Пок‡жите ключе‚ой поток н‡ 20 бито‚, с„енеинный от LFSR н‡ ис. 5.25, если н‡ч‡льное зн‡чение — 1110. 19. М‡ксим‡льн‡fl ‰лин‡ пеи LFSR — 32. Сколько бито‚ имеет е„ист с‰‚脇? 20. 6 × 2 S-блок поиз‚о‰ит опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ с нечетными бит‡ми, чтобы получить ле‚ый бит ‚ых, и ИСКЛЮЧАЮЩЕЕ ИЛИ с четными бит‡ми, чтобы получить п‡‚ый бит ‚ых. Если ‚хо‰ — 110010, что fl‚лflетсfl ‚ыхо‰ом? Если ‚хо‰ — 101101, что fl‚лflетсfl ‚ыхо‰ом? 21. К‡йний ле‚ый бит 4 × 3 S-блок‡ опе‰елflет смещение ‰у„их тех бит. Если к‡йний ле‚ый бит ‡‚ен 0, то ти ‰у„их бит‡ пеемещ‡ютсfl ‚п‡‚о н‡ о‰ин бит. Если к‡йний ле‚ый бит — 1, ти ‰у„их бит‡ пеемещ‡ютсfl ‚ле‚о н‡ о‰ин бит. Если ‚хо‰ — 1011, к‡кой езульт‡т бу‰ет н‡ ‚ыхо‰е? Если ‚хо‰ — 0110, к‡кой езульт‡т бу‰ет н‡ ‚ыхо‰е? 22. Н‡пишите поце‰уу ‚ пс傉око‰е ‰лfl ‡збиениfl n-бито‚о„о сл н‡ ‰‚‡ сл, к‡ж‰ое из котоых состоит из n/2. 23. Н‡пишите поце‰уу ‚ пс傉око‰е ‰лfl объе‰инениfl ‰‚ух n/2-бито‚ыхt сло‚ ‚ n-бито‚ое сло‚о. 24. Н‡пишите поце‰уу ‚ пс傉око‰е, кото‡fl пеест‡‚лflет ле‚ые и п‡‚ые поло‚ины n-бито‚о„о сл. 25. Н‡пишите поце‰уу ‚ пс傉око‰е, кото‡fl циклически с‰‚脇ет ‚ n‡зfl‰ном сло‚е н‡ k бит ‚ле‚о или ‚п‡‚о, ‚ соот‚етст‚ии с поце‰уой по п. 24. 26. Н‡пишите поце‰уу ‚ пс傉око‰е ‰лfl P-блок‡, ‚ котоом пеест‡но‚к‡ опе‰елен‡ т‡блицей. 27. Н‡пишите поце‰уу ‚ пс傉око‰е ‰лfl S-блок‡, ‚ котоом ‚хо‰-‚ыхо‰ опе‰елен т‡блицей. 28. Н‡пишите поце‰уу ‚ пс傉око‰е, кото‡fl мо‰елиует к‡ж‰ый ‡ун‰ не-Ф‡йстелfl, пок‡з‡нный н‡ ис. 5.13. 29. Н‡пишите поце‰уу ‚ пс傉око‰е, кото‡fl мо‰елиует к‡ж‰ый ‡ун‰ шиф‡, пок‡з‡нный н‡ ис. 5.17. 30. Н‡пишите поце‰уу ‚ пс傉око‰е, кото‡fl мо‰елиует n-бито‚ый LFSR. 182

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Лекциfl 6. Ст‡н‰‡т шифниfl ‰‡нных (DES) Цели и со‰еж‡ние В этой лекции мы обсу扇ем Ст‡н‰‡т шифниfl ‰‡нных (DES — DATA ENCRIPTION STANDARD) — со‚еменный блочный шиф с симметичными ключ‡ми. Н‡ши осно‚ные цели ‰лfl этой лекции: • ‡ссмотеть кооткую истоию DES; • опе‰елить осно‚ную стуктуу DES; • опис‡ть ‰ет‡ли осно‚ных элементо‚ DES; • опис‡ть поцесс „ене‡ции ключей ‰лfl ‡ун‰о‚; • по‚ести ‡н‡лиз DES. Особое ‚ним‡ние у‰елflетсfl тому, к‡к DES использует шиф Ф‡йстелfl, чтобы ‰ости„нуть пеемеш肇ниfl и ‡ссе肇ниfl н‡ ‚ыхо‰е из бито‚ исхо‰но„о текст‡ к бит‡м з‡шифнно„о текст‡.

6.1. В‚е‰ение Ст‡н‰‡т шифниfl ‰‡нных (DES) — блочный шиф с симметичными ключ‡ми, ‡з‡бот‡н Н‡цион‡льным Институтом Ст‡н‰‡то‚ и Техноло„ии (NIST – National Institute of Standards and Technology).

Истоиfl В l973 „о‰у NIST и片л з‡пос ‰лfl ‡з‡ботки пе‰ложениfl н‡цион‡льной кипто„‡фической системы с симметичными ключ‡ми. Пе‰ложенн‡fl IBM мо‰ифик‡циfl поект‡, н‡з‚‡нн‡fl Lucifer, был‡ пинflт‡ к‡к DES. DES были и片ны ‚ эскизном ‚и‰е ‚ Фе‰е‡льном Ре„исте ‚ м‡те 1975 „ к‡к Фе‰е‡льный Ст‡н‰‡т Об‡ботки Инфом‡ции (FIPS – Federal Information Processing Standard). После публик‡ции эскиз сто„о китиклсfl по ‰‚ум пичин‡м. Пе‚‡fl: китикл‡сь сомнительно м‡леньк‡fl ‰лин‡ ключ‡ (только 56 бито‚), что мо„ло с‰ел‡ть шиф уflз‚имым к ‡т‡ке «„убой силой». Вто‡fl пичин‡: китики были обеспокоены некотоым скытым постоением ‚нутенней стуктуы DES. Они по‰оз傇ли, что некото‡fl ч‡сть стуктуы (S-блоки) может иметь л‡зейку, кото‡fl поз‚олит ‡сшифо‚ы‚‡ть сообщениfl без ключ‡. Впосле‰ст‚ии поектио‚щики IBM сообщили, что ‚нутеннflfl стукту‡ был‡ ‰о‡бот‡н‡, чтобы пе‰от‚‡тить кипто‡н‡лиз. DES был н‡конец и片н к‡к FIPS 46 ‚ Фе‰е‡льном Ре„исте ‚ fl킇е 1977 „. О‰н‡ко FIPS объfl‚ил DES к‡к ст‡н‰‡т ‰лfl использниfl ‚ неофици‡льных пиложениflх. DES был н‡иболее шиоко используемым блочным шифом с симметичными ключ‡ми, н‡чин‡fl с е„о публик‡ции. Позже NIST пе‰ложил но‚ый ст‡н‰‡т (FIPS 46-3), котоый екомен‰ует использние тойно„о DES (техк‡тно по‚тоенный шиф DES) ‰лfl бу‰ущих пиложений. К‡к мы у‚и‰им ‰‡лее, ‚ лекции 7, пе‰по뇄‡етсfl, что более но‚ый ст‡н‰‡т AES з‡менит DES. 183

Кус

Кипто„‡фиfl и безоп‡сность сетей

Общие положениfl К‡к пок‡з‡но н‡ ис. 6.1., DES — блочный шиф.

Рис. 6.1. Шифние и ‰ешифние ‚ DES Н‡ стооне шифниfl DES пиним‡ет 64-бито‚ый исхо‰ный текст и поо扇ет 64-бито‚ый з‡шифнный текст; н‡ стооне ‰ешифниfl DES пиним‡ет 64-бито‚ый з‡шифнный текст и поо扇ет 64-бито‚ый исхо‰ный текст. Н‡ обеих стоон‡х ‰лfl шифниfl и ‰ешифниfl пименflетсfl о‰ин и тот же 56-бито‚ый ключ.

6.2. Стукту‡ DES Р‡ссмотим сн‡ч‡л‡ шифние, ‡ потом ‰ешифние. Поцесс шифниfl состоит из ‰‚ух пеест‡но‚ок (P-блоки) — они н‡зы‚‡ютсfl н‡ч‡льные и конечные пеест‡но‚ки, — и шест퇉ц‡ти ‡ун‰о‚ Ф‡йстелfl. К‡ж‰ый ‡ун‰ использует ‡зличные с„енеинные 48-бито‚ые ключи. Ал„оитм „ене‡ции бу‰ет ‡ссмотен ‚ этой лекции поз‰нее. Рисунок 6.2 пок‡зы‚‡ет элементы шиф‡ DES н‡ стооне шифниfl.

Н‡ч‡льные и конечные пеест‡но‚ки Рисунок 6.3 пок‡зы‚‡ет н‡ч‡льные и конечные пеест‡но‚ки (P-блоки). ʇ扇fl из пеест‡но‚ок пиним‡ет 64-бито‚ый ‚хо‰ и пеест‡‚лflет е„о элементы по 燉‡нному п‡‚илу. Мы пок‡з‡ли только небольшое число ‚хо‰ных пото‚ и соот‚етст‚ующих ‚ыхо‰ных пото‚. Эти пеест‡но‚ки — пflмые пеест‡но‚ки без ключей, котоые ин‚есны ‰у„ ‰у„у. Н‡пиме, ‚ н‡ч‡льной пеест‡но‚ке 58-й бит н‡ ‚хо‰е пеехо‰ит ‚ пе‚ый бит н‡ ‚ыхо‰е. Ан‡ло„ично, ‚ конечной пеест‡но‚ке пе‚ый ‚хо‰ной бит пеехо‰ит ‚ 58-й бит н‡ ‚ыхо‰е. Ду„ими слми, если меж‰у этими ‰‚умfl пеест‡но‚к‡ми не сущест‚ует ‡у퉇, 58й бит, поступи‚ший н‡ ‚хо‰ устойст‚‡ н‡ч‡льной пеест‡но‚ки, бу‰ет ‰ост‡‚лен н‡ 58-й ‚ыхо‰ фин‡льной пеест‡но‚кой. 184

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Рис. 6.2. Общ‡fl стукту‡ DES

Рис. 6.3. Н‡ч‡льные и конечные ш‡„и пеест‡но‚ки DES П‡‚ил‡ пеест‡но‚ки ‰лfl это„о P-блок‡ пок‡з‡ны ‚ т‡блице 6.1. Т‡блицу можно пе‰ст‡‚ить к‡к 64-элементный м‡сси‚. З‡метим, что ‡боту с т‡блицей мы обсу扇ли: зн‡чение к‡ж‰о„о элемент‡ опе‰елflет номе ‚хо‰но„о пот‡, ‡ поfl‰ко‚ый номе (ин‰екс) элемент‡ опе‰елflет номе ‚ыхо‰но„о пот‡. 185

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 6.1. Т‡блиц‡ н‡ч‡льных и конечных пеест‡но‚ок

Эти ‰‚е пеест‡но‚ки не имеют ник‡ко„о зн‡чениfl ‰лfl кипто„‡фии ‚ DES. Обе пеест‡но‚ки – без ключей и пе‰опе‰еленны. Пичин‡, почему они ‚ключены ‚ DES, не flсн‡ и не был‡ ук‡з‡н‡ поектио‚щик‡ми DES. Можно пе‰положить, что DES был поектом, котоый пе‰по뇄‡лось е‡лизть ‚ ‡пп‡‡тных се‰ст‚‡х (н‡ чип‡х), и что эти ‰‚е сложные пеест‡но‚ки ‰олжны были з‡ту‰нить по„‡ммное мо‰елиние мех‡низм‡ шифниfl. Пиме 6.1 Н‡й‰ите ‚ыхо‰ н‡ч‡льно„о блок‡ пеест‡но‚ки, к‡ н‡ ‚хо‰ поступ‡ет шест퇉ц‡теичн‡fl после‰о‚‡тельность, т‡к‡fl, к‡к 0x0002 0000 0000 0001 Решение Вхо‰ имеет только ‰‚е е‰иницы — (бит 15 и бит 64); ‚ыхо‰ ‰олжен т‡кже иметь только ‰‚е е‰иницы (пflм‡fl пеест‡но‚к‡). Используfl т‡блицу 6.1, мы можем н‡йти ‚ыхо‰, с‚flз‡нный с этими ‰‚умfl бит‡ми. Бит 15 н‡ ‚хо‰е ст‡но‚итсfl битом 63 ‚ ‚ыхо‰е. Бит 64 ‚о ‚хо‰е ст‡но‚итсfl битом 25 ‚ ‚ыхо‰е. Н‡ ‚ыхо‰е бу‰ем иметь только ‰‚е е‰иницы — бит 25 и бит 63. Результ‡т ‚ шест퇉ц‡теичном исчислении: 0x0000 0080 0000 0002 Пиме 6.2 Док‡жем, что н‡ч‡льные и фин‡льные пеест‡но‚ки ин‚есны ‰у„ ‰у„у. Пеоб‡зуем полученную ‚ыхо‰ную после‰о‚‡тельность ‚о ‚хо‰ную. 0x0000 0080 0000 0002 Решение Е‰иничные биты — 25 и 63, ‰у„ие биты ‡‚ны нулю. В конечной пеест‡но‚ке 25-й бит пеехо‰ит ‚ 64-й, ‡ 63-й — ‚ 15-й. Результ‡т: 0x0002000000000001 186

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Н‡ч‡льные и конечные пеест‡но‚ки – это пflмые P-блоки, котоые ин‚есны ‰у„ ‰у„у. Они не имеют зн‡чениfl ‰лfl кипто„‡фии DES.

Р‡ун‰ы DES использует 16 ‡ун‰о‚. К‡ж‰ый ‡ун‰ DES пименflет шиф Ф‡йстелfl, к‡к это пок‡з‡но н‡ ис. 6.4.

Рис. 6.4. Р‡ун‰ ‚ DES (стоон‡ шифниfl) Р‡ун‰ пиним‡ет LI -1 R I-1 от пе‰ы‰уще„о ‡у퉇 (или н‡ч‡льно„о блок‡ пеест‡но‚ки) и со片ет ‰лfl сле‰ующе„о ‡у퉇 LI И RI , котоые поступ‡ют н‡ сле‰ующий ‡ун‰ (или конечный блок пеест‡но‚ки). К‡к мы ук‡з‡ли ‚ лекции 5, можно пинflть, что к‡ж‰ый ‡ун‰ имеет ‰‚‡ элемент‡ шиф‡ (смеситель и устойст‚о з‡мены). К‡ж‰ый из этих элементо‚ fl‚лflетсfl об‡тимым. Устойст‚о з‡мены — оче‚и‰но об‡тимо, оно менflет мест‡ми ле‚ую поло‚ину текст‡ с п‡‚ой поло‚иной. Смеситель fl‚лflетсfl об‡тимым, потому что опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ об‡тим‡. Все необ‡тимые элементы сосе‰оточены ‚ функции f (RI-1,KI). Функциfl DES Осно‚ной блок DES — функциfl DES. Функциfl DES с помощью 48-бито‚о„о ключ‡ з‡шифо‚ы‚‡ет 32 с‡мых п‡‚ых бит RI-1, чтобы получить н‡ ‚ыхо‰е 32бито‚ое сло‚о. Эт‡ функциfl со‰ежит, к‡к это пок‡з‡но н‡ ис. 6.5, четые секции: отбел肇тель (whitener), P-блок ‡сшиениfl, „уппу S-блоко‚ и пflмой Pблок. P-блок ‡сшиениfl. Т‡к к‡к ‚хо‰ RI-1 имеет ‰лину 32 бит‡, ‡ ключ KI — ‰лину 48 бито‚, мы сн‡ч‡л‡ ‰олжны ‡сшиить RI-1 ‰о 48 бит. RI-1 ‡з‰елflетсfl н‡ 8 секций по 4 бит‡. ʇ扇fl секциfl н‡ 4 бит‡ ‡сшиflетсfl ‰о 6 бит. Эт‡ пеест‡но‚187

Кус

Кипто„‡фиfl и безоп‡сность сетей

к‡ ‡сшиениfl поисхо‰ит по з‡‡нее опе‰еленным п‡‚ил‡м. Длfl секции зн‡чениfl ‚хо‰ных бит 1, 2, 3 и 4 пис‚‡и‚‡ютсfl бит‡м 2, 3, 4 и 5 соот‚етст‚енно н‡ ‚ыхо‰е. Выхо‰ной бит 1 фомиуетсfl н‡ осно‚е ‚хо‰но„о бит‡ 4 из пе‰ы‰ущей секции; бит ‚ых 6 фомиуетсfl из бит‡ 1 ‚ сле‰ующей секции. Если секции 1 и 8 ‡ссм‡т肇ть к‡к сосе‰ние секции, то те же с‡мые п‡‚ил‡ пименflютсfl к бит‡м 1 и 32. Рисунок 6.6 пок‡зы‚‡ет ‚хо‰ы и ‚ыхо‰ы ‚ пеест‡но‚ке ‡сшиениfl. Хотfl отношениfl меж‰у ‚хо‰ом и ‚ыхо‰ом мо„ут быть опе‰елены м‡тем‡тически, но чтобы опе‰елить этот P-блок, DES использует т‡блицу 6.2. Об‡тите ‚ним‡ние, что число ‚ыхо‰о‚ 48, но ‰и‡п‡зон зн‡чений — только от 1 ‰о 32. Некотоые из ‚хо‰о‚ и‰ут больше к чем о‰ному ‚ыхо‰у. Н‡пиме, зн‡чение ‚хо‰но„о бит‡ 5 ст‡но‚итсfl зн‡чением бито‚ ‚ых 6 и 8.

Рис. 6.5. Функциfl DES

Рис. 6.6. Пеест‡но‚к‡ ‡сшиениfl Отбел肇тель (whitener). После ‡сшиениfl DES использует опе‡цию XOR (ИСКЛЮЧАЮЩЕЕ ИЛИ) 퇉 ‡сшиенной ч‡стью п‡‚ой секции и ключом ‡у퉇. З‡метим, что п‡‚‡fl секциfl и ключ имеют ‰лину 48 бит. Т‡кже з‡метим, что ключ ‡у퉇 использует только эту опе‡цию. 188

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Т‡блиц‡ 6.2. Т‡блиц‡ P-блок‡ ‡сшиениfl

S-блоки. S-блоки смеш肇ют инфом‡цию (опе‡циfl пеемеш肇ниfl). DES использует S-блоки, к‡ж‰ый с 6-ю ‚хо‰ными бит‡ми и 4-мfl ‚ыхо‰ными (см. ис. 6.7).

Рис.6.7. S - блоки Д‡нные из 48 бито‚ от ‚тоой опе‡ции DES ‡з‰елены н‡ ‚осемь куско‚ по 6 бито‚, и к‡ж‰ый кусок поступ‡ет ‚ блок. Результ‡т к‡ж‰о„о блок‡ — кусок н‡ 4 бит‡; к‡ они объе‰инены, езульт‡т ‚ы‡ж‡етсfl ‚ 32-бито‚ом тексте. По‰ст‡но‚к‡ ‚ к‡ж‰ом блоке поисхо‰ит по з‡‡нее опе‰еленным п‡‚ил‡м, осннным н‡ т‡блице из 4-х сток и 16-ти столбцо‚. Комбин‡циfl бито‚ 1 и 6 н‡ ‚хо‰е опе‰елflет о‰ну из четыех сток; комбин‡циfl бито‚ от 2-„о ‰о 5-„о опе‰елflет о‰ин из шест퇉ц‡ти столбцо‚, к‡к пок‡з‡но н‡ ис. 6.8. Д‡лее мы поflсним это пиме‡ми.

Рис. 6.8. П‡‚ил‡ ‰лfl S- блок‡ 189

Кус

Кипто„‡фиfl и безоп‡сность сетей

Поскольку ‰лfl к‡ж‰о„о S-блок‡ есть собст‚енн‡fl т‡блиц‡, необхо‰имо иметь ‚осемь т‡блиц, н‡пиме т‡ких, к‡к это пок‡з‡но ‚ т‡блиц‡х 6.3-6.10. Зн‡чение ‚х (номе стоки и номе столбц‡) и зн‡чениfl ‚ых ‰‡ютсfl к‡к ‰есflтичные номе‡, чтобы сэкономить место н‡ ст‡нице. В е‡льности они мо„ут быть з‡менены ‰‚оичными числ‡ми. Т‡блиц‡ 6.3. S-блок 1

Т‡блиц‡ 6.4. S-блок 2

Т‡блиц‡ 6.5. S-блок 3

Т‡блиц‡ 6.6. S-блок 4

Т‡блиц‡ 6.7. S-блок 5

190

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Т‡блиц‡ 6.8. S-блок 6

Т‡блиц‡ 6.9. S-блок 7

Т‡блиц‡ 6.10. S-блок 8

Пиме 6.3 Вхо‰н‡fl после‰о‚‡тельность S блок‡ 1 — 100011. К‡к‡fl после‰о‚‡тельность бу‰ет н‡ ‚ыхо‰е? Решение Если мы з‡пишем пе‚ый и шестой биты ‚месте, мы получим ‚ ‰‚оичном исчислении 11, котоый ‚ы‡ж‡етсfl к‡к число 3 пи ‰есflтичном исчислении. Ост‡ющ‡flсfl ч‡сть бито‚ 0001 ‚ ‰‚оичном исчислении fl‚лflетсfl 1 ‚ ‰есflтичном исчислении. Мы ищем зн‡чение стоки 3 и столбц‡ 1 ‚ Т‡блице 6.3 (S-блок 1). Результ‡т — 12 ‚ ‰есflтичном исчислении или 1100 ‚ ‰‚оичном исчислении. Т‡ ‚хо‰ 1100011 ‰‡ет ‚ыхо‰ 1100. Пиме 6.4 Вхо‰н‡fl после‰о‚‡тельность S-блок‡ 8 — 000000. К‡к‡fl после‰о‚‡тельность бу‰ет н‡ ‚ыхо‰е? Решение Если мы з‡пишем пе‚ый и шестые биты ‚месте, то получим ‚ ‰‚оичном исчислении число 00, котоое ‚ы‡ж‡етсfl числом 0 пи ‰есflтичном исчислении. Ост‡ющ‡flсfl ч‡сть бито‚ — 0000 ‚ ‰‚оичном исчислении, то есть 0 ‚ ‰есflтичном исчислении. Мы ищем зн‡чение стоки 0 и столбц‡ 0 ‚ т‡блице 6.10 (S-блок 8). Результ‡т — 13 ‚ ‰есflтичном исчислении или 1101 ‚ ‰‚оичном исчислении. Т‡ ‚хо‰ 000000 ‰‡ет ‚ыхо‰ 1101. 191

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пflм‡fl пеест‡но‚к‡ — после‰нflfl опе‡циfl ‚ функции DES — пеест‡но‚к‡ с 32 бит‡ми н‡ ‚хо‰е и 32 бит‡ми н‡ ‚ыхо‰е. Отношениfl «‚хо‰-‚ых ‰лfl этой опе‡ции пок‡з‡ны ‚ Т‡блице 6.11. Они сле‰уют тем же общим п‡‚ил‡м, к‡к и пе‰ы‰ущие т‡блицы пеест‡но‚ки. Н‡пиме, се‰ьмой бит ‚х ст‡но‚итсfl ‚тоым битом ‚ых.

Рис. 6.9. DES-шиф и об‡тный шиф ‰лfl пе‚о„о способ‡ 192

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Т‡блиц‡ 6.11. Т‡блиц‡ пflмой пеест‡но‚ки 16 01 02 19

07 15 08 13

20 23 24 30

21 26 14 06

29 05 32 22

12 18 27 11

28 31 03 04

17 10 09 25

Шиф и об‡тный шиф Используfl смеситель и устойст‚о з‡мены, мы можем со片ть шиф и об‡тный шиф ‰лfl к‡ж‰о„о из 16-ти ‡ун‰о‚. Шиф пименflетсfl н‡ стооне шифниfl; об‡тный шиф — н‡ стооне ‰ешифниfl. Ал„оитмы со片ниfl шиф‡ и об‡тно„о шиф‡ ‡н‡ло„ичны. Пе‚ый способ О‰ин из мето‰о‚, чтобы ‰ости„нуть пост‡‚ленной цели (шифние и об‡тное шифние), состоит ‚ том, чтобы с‰ел‡ть после‰ний ‡ун‰ отлич‡ющимсfl от ‰у„их; он бу‰ет со‰еж‡ть только смеситель и не бу‰ет со‰еж‡ть устойст‚‡ з‡мены, к‡к это пок‡з‡но н‡ ис. 6.9. Мы ‰ок‡з‡ли ‚ лекции 5, что смеситель и устойст‚о з‡мены с‡моин‚есны. Конечные и н‡ч‡льные пеест‡но‚ки т‡кже ин‚есны ‰у„ ‰у„у. Л傇fl секциfl исхо‰но„о текст‡ н‡ стооне шифниfl шифуетсfl L0 к‡к L16, и L16 ‰ешифуетсfl н‡ стооне ‰ешиф‡то‡ к‡к L0. Ан‡ло„ичн‡fl ситу‡циfl с R0 и R16. Нужно з‡помнить очень ‚‡жное положение, котоое к‡с‡етсfl шифо‚: ключи ‡ун‰о‚ (K1 и K16) пименflютсfl пи шифнии и ‰ешифнии ‚ об‡тном поfl‰ке. Н‡ стооне шифниfl пе‚ый ‡ун‰ пименflет ключ K1, ‡ ‡ун‰ 16 — ключ K16; пи ‰ешифнии ‡ун‰ 1 использует ключ K16, ‡ ‡ун‰16 — ключ K1 В пе‚ом мето‰е после‰ний ‡ун‰ не имеет устойст‚‡ з‡мены. Ал„оитм Ал„оитм 6.1. пи‚е‰ен ‚ пс傉окх ‰лfl шифниfl и соот‚етст‚ует четыем ш‡„‡м пе‚о„о мет. Ко‰ы ‰лfl ост‡льных мо„ут быть с‰ел‡ны к‡к уп‡жнение. Альтен‡ти‚ный способ Пи пе‚ом способе ‡ун‰ 16 отлич‡етсfl от ‰у„их ‡ун‰о‚ тем, что т‡м не пименflетсfl устойст‚о з‡мены. Это необхо‰имо, чтобы с‰ел‡ть после‰ний и пе‚ый смесители ‚ шифе о‰ин‡ко‚ыми. Мы можем ‰ел‡ть ‚се 16 ‡ун‰о‚ о‰ин‡ко‚ыми, ‰оᇂлflfl к 16-му ‡ун‰у ‰ополнительное устойст‚о з‡мены (‰‚‡ устойст‚‡ з‡мены поз‚олflют нейт‡лизть ‰у„ ‰у„‡). Р‡з‡ботку этой схемы мы ост‡‚лflем ‰лfl уп‡жнений. Гене‡циfl ключей Гене‡то ключей со片ет шест퇉ц‡ть ключей по 48 бито‚ из ключ‡ шиф‡ н‡ 56 бито‚. О‰н‡ко ключ шиф‡ обычно ‰‡етсfl к‡к ключ из 64-х бито‚, ‚ кото193

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ал„оитм 6.1. Пс傉око‰ы ‰лfl DES-шиф‡ C¥pher (pla¥nBlock[64], Round Keys[16,48]) { permute (64,64, pla¥nBlock, ¥nBlock, Int¥alPermutat¥onTable) sp¥lt (64, 32, ¥nBlock, leftBlock, r¥ght Block) for (round = 1 to 16) { m¥xer (leftBlock, r¥ght Block, RoundKeys[round]) ¥f (round!=16) swapper(leftBlock, r¥ght Block) } comb¥ne (32, 64, leftBlock, r¥ght Block, outBlock) permute (64,64, outBlock, c¥pherBlock, F¥nalPermutat¥onTable) } m¥xer (leftBlock[48], r¥ght Block[48], RoundKey[48]) { copy (32, r¥ghtBlock, T1) funct¥on (T1, RoundKey,T2) exclus¥veOr (32, leftBlock, T2,T3) copy (32, r¥ghtBlock, T1) } swapper { leftBlock[32], r¥ght Block[32]) { copy (32, leftBlock, T) copy (32, r¥ghtBlock, , leftBlock) copy (32, T, r¥ghtBlock) } Funct¥on (¥nBlock[32], RoundKey[48],outBlock[32]) { permute (32,48, ¥nBlock,T1, Expans¥onPermutat¥onTable) exclus¥veOr (48,T1, RoundKey, T2) subst¥tute (T2,T3, Subst¥tuteTable) permute (32,32,T3, outBlock, Stra¥ghtPermutat¥onTable) } Subst¥tute (¥n block [32], outblock [48], Subst¥tuteTables[8,4,16]) { for(I =1 to8) { row ← 2 × ¥nBlock[¥ × 6+1] + ¥nBlock[¥ × 6+6] col ← 8 × ¥nBlock[¥ × 6+2] + 4 × ¥nBlock[¥ × 6+3]+ 2 × ¥nBlock[¥ × 6+4] + ¥nBlock[¥ × 6+5] value = Subst¥tuteTables[¥][row][col] outBlock[¥ outBlock[¥ outBlock[¥ outBlock[¥ }

× × × ×

4+1] 4+2] 4+3] 4+4]

← ← ← ←

value/ 8 value/ 4 value/ 2 value

} 194

value ← value mod 8 value ← value mod 4 value ← value mod 8

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

ом 8 ‰ополнительных бито‚ fl‚лflютсfl бит‡ми по‚еки. Они отб‡сы‚‡ютсfl пее‰ ф‡ктическим поцессом „ене‡ции ключей, котоый пок‡з‡н н‡ ис. 6. I0. У‰‡ление бито‚ по‚еки П剂‡ительный поцесс пее‰ ‡сшиением ключей — пеест‡но‚к‡ сж‡тиfl, котоую мы н‡зы‚‡ем у‰‡лением бито‚ по‚еки. Он‡ у‰‡лflет биты четности (биты 8, 16, 24, 32..., 64) из 64-бито‚о„о ключ‡ и пеест‡‚лflет ост‡льную ч‡сть бито‚ со„л‡сно т‡блице 6.12. Ост‡ющеесfl зн‡чение н‡ 56 бито‚ — ф‡ктический ключ шиф‡, котоый используетсfl, чтобы „енеить ключи ‡у퉇. Биты у‰‡лflютсfl с помощью пеест‡но‚ки (P-блок‡ сж‡тиfl), к‡к это пок‡з‡но ‚ т‡блице 6.12. Т‡блиц‡ 6.12. Т‡блиц‡ у‰‡лениfl по‚еочных бито‚ 57 58 59 60 31 30 29

49 50 51 52 23 22 21

41 42 43 44 15 14 13

33 34 35 36 07 06 05

25 26 27 63 62 61 28

17 18 19 55 54 53 20

09 10 11 47 46 45 12

01 02 03 39 37 37 04

С‰‚и„ ‚ле‚о После пflмой пеест‡но‚ки ключ ‡з‰елен н‡ ‰‚е ч‡сти по 28 бито‚. ʇ扇fl ч‡сть с‰‚脇етсfl ‚ле‚о (циклический с‰‚и„) н‡ о‰ин или ‰‚‡ бит‡. В ‡у퉇х 1, 2, 9 и 16 смещение – н‡ о‰ин бит, ‚ ‰у„их ‡у퉇х — н‡ ‰‚‡ бит‡. З‡тем эти ‰‚е ч‡сти объе‰инflютсfl, чтобы со片ть ч‡сть ‚ 56 бит Т‡блиц‡ 6.13 пок‡зы‚‡ет число с‰‚и„о‚ м‡нипулflций ‰лfl к‡ж‰о„о ‡у퉇. Т‡блиц‡ 6.13. Число с‰‚脇емых бит Р‡ун‰ Число бит

1 1

2 1

3 2

4 2

5 2

6 2

7 2

8 2

9 1

10 2

11 2

12 2

13 2

14 2

15 2

16 1

Пеест‡но‚к‡ сж‡тиfl Пеест‡но‚к‡ сж‡тиfl (P-блок) изменflет 56 бито‚ н‡ 48 бито‚, котоые используютсfl ‰лfl фоминиfl ключ‡ ‡у퉇. Пеест‡но‚к‡ сж‡тиfl пок‡з‡н‡ ‚ т‡блице 6.14. Т‡блиц‡ 6.14. Т‡блиц‡ сж‡тиfl ключ‡ 14 15 26 41 51 34

17 06 08 52 45 53

11 21 16 31 33 46

24 10 07 37 48 42

01 23 27 47 44 50 195

05 19 20 55 49 36

03 12 13 30 39 29

28 04 02 40 56 32

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 6.10. Гене‡циfl ключей Ал„оитм Тепеь н‡пишем постой ‡л„оитм ‰лfl со片ниfl ключ‡ из ключ‡ с по‚еочными бит‡ми. Ал„оитм 6.2 использует несколько поце‰у ‡л„оитм‡ 6.1. Имеетсfl и о‰н‡ нfl поце‰у‡ — ле‚ый с‰‚и„ (ShiftLeft). Об‡тите ‚ним‡ние, что T — ‚еменный блок. Ал„оитм 6.2. Ал„оитм ‰лfl „ене‡ции ключей ‡у퉇 Key_Generator (keyW¥thPar¥t¥es[64], RoundKeys[16. 48]. S¥nfTable[16]) { permute (64, 56, keyW¥thPar¥t¥es, c¥pherKey, Par¥tyDropTable) sp¥lt (56, 28, c¥pherKey, leftKey, r¥ghtKey) for (round = 1 to 16) 196

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

{ sh¥ftLeft (leftKey, Sh¥ftTable[round1]) sh¥ftLeft (r¥ghtKey, Sh¥ftTable [round]) comb¥ne (28, 56, leftKey, r¥ghtKey, preRoundKey) permute (56, 48, preRoundKey, RoundKeys[ round], KevCompress¥onTable) } } sh¥ftLeft (block[28], NumOfSh¥fts) { for (¥ = 1 to numSh¥fts) { T <— block[ 1] for (j = 2 to 28) { block [j-1] <— block [j] } block [28] <— T }

Пимеы Пее‰ ‡н‡лизом DES ‡ссмотим несколько пимео‚, чтобы понflть, к‡к шифние и ‰ешифние менflют зн‡чение бито‚ ‚ к‡ж‰ом ‡ун‰е. Пиме 6.5 Мы ‚ыби‡ем случ‡йный блок исхо‰но„о текст‡ и случ‡йный ключ и опе‰елflем, к‡ким ‰олжен быть блок з‡шифнно„о текст‡ (‚се цифы ‰‡ны ‚ шест퇉ц‡теичном исчислении). Plaintext: 123456ABCD 132536 Cipher Text: COB7ASD05F3AS29C

Key: AABB09182736CCDD

Пок‡жем езульт‡т к‡ж‰о„о ‡у퉇 и текст‡, со片нно„о ‰о и после ‡ун‰о‚. Т‡блиц‡ 6.15 пок‡зы‚‡ет езульт‡ты пе‚ых ш‡„о‚ пее‰ н‡ч‡лом ‡у퉇. Исхо‰ный текст — поше‰ший чеез н‡ч‡льную пеест‡но‚ку ‰лfl получениfl ‡зличных 64 бит (16 шест퇉ц‡теичных циф). Т‡блиц‡ пок‡зы‚‡ет езульт‡т 16 ‡ун‰о‚, котоые ‚ключ‡ют смеш肇ние и з‡мену (исключ‡fl после‰ний ‡ун‰). Результ‡ты после‰них ‡ун‰о‚ (L16 и R16) объе‰инены. Н‡конец, текст похо‰ит конечную пеест‡но‚ку, ‰лfl то„о чтобы получить з‡шифнный текст. Сле‰ует отметить некотоые положениfl. П‡‚‡fl секциfl к‡ж‰о„о ‡у퉇 со‚‡ет с ле‚ой секцией сле‰ующе„о ‡у퉇. Пичин‡ ‚ том, что п‡‚‡fl секциfl похо‰ит чеез смеситель без изменениfl, ‡ устойст‚о з‡мены пееносит ее ‚ ле‚ую секцию. Н‡пиме, R1 пе則етсfl чеез смеситель ‚тоо„о ‡у퉇 без изме197

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 6.15. Т‡ссио‚к‡ ‰‡нных ‚ пимее 6.5

нениfl, но з‡тем, пой‰fl устойст‚о з‡мены, он ст‡но‚итсfl L2. Втоое интеесное положение: н‡ после‰нем ‡ун‰е мы не имеем устойст‚‡ з‡мены. Именно поэтому R15 ст‡но‚итсfl R16 ‚место то„о чтобы ст‡ть L16. Т‡блиц‡ 6.16. Т‡ссио‚к‡ ‰‡нных ‚ пимее 6.6

198

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Пиме 6.6 Д‡‚‡йте ‡ссмотим, к‡к Боб ‚ пункте н‡зн‡чениfl может ‡сшифть з‡шифнный текст, полученный от Алисы, с помощью со‚‡юще„о ключ‡. Длfl экономии ‚емени мы ‡збеем только несколько ‡ун‰о‚. Т‡блиц‡ 6.16 пок‡зы‚‡ет интеесующие н‡с точки. Пе‚ое п‡‚ило: ключи ‡у퉇 ‰олжны использтьсfl ‚ об‡тном поfl‰ке. С‡‚ните т‡блицу 6.15 и т‡блицу 6.16. Ключ ‡у퉇 1 — т‡кой же к‡к ключ ‰лfl ‡у퉇 16. Зн‡чениfl L0 и R0 пи ‰ешиф‡ции те же с‡мые, что и зн‡чениfl L16 и R16 пи шифнии. Ан‡ло„ичные со‚ениfl бу‰ут получены и ‚ ‰у„их ‡у퉇х. Это ‰ок‡зы‚‡ет не только, что шиф и об‡тный шиф ин‚есны ‰у„ ‰у„у, но т‡кже то, что к‡ж‰ый ‡ун‰ пи шиф‡ции имеет соот‚етст‚ующий ‡ун‰ пи ‰ешиф‡ции ‚ об‡тном шифе. Результ‡т с‚и‰етельст‚ует, что н‡ч‡льные и конечные пеест‡но‚ки т‡кже fl‚лflютсfl ин‚есиflми ‰у„ ‰у„‡.

6.3. Ан‡лиз DES DES был пе„нут тщ‡тельному ‡н‡лизу. Были по‚е‰ены испыт‡ниfl, чтобы измеить интенси‚ность некотоых жел‡тельных с‚ойст‚ ‚ блочном шифе. Элементы DES пошли иссле‰о‚‡ниfl н‡ соот‚етст‚ие некотоым китеиflм. Ниже мы обсу‰им некотоые из них.

С‚ойст‚‡ Д‚‡ жел‡тельных с‚ойст‚‡ блочно„о шиф‡ — эффект 뇂ины и з‡конченность. Л‡‚инный эффект Л‡‚инный эффект озн‡ч‡ет, что небольшие изменениfl ‚ исхо‰ном тексте (или ключе) мо„ут ‚ы炇ть зн‡чительные изменениfl ‚ з‡шифнном тексте. Было ‰ок‡з‡но, что DES имеет ‚се пизн‡ки это„о с‚ойст‚‡. Пиме 6.7 Чтобы по‚еить эффект 뇂ины ‚ DES, попобуем з‡шифть ‰‚‡ блок‡ исхо‰но„о текст‡, котоые отлич‡ютсfl только о‰ним битом текст‡, с помощью о‰но„о и то„о же ключ‡ и опе‰елим ‡зницу ‚ числе бит ‚ к‡ж‰ом ‡ун‰е. Исхо‰ный текст: 0000000000000000 Ключ: 22234512987ABB23 З‡шифнный текст: 4789FD476E82A5F1 Исхо‰ный текст: 0000000000000001 Ключ: 22234512987ABB23 З‡шифнный текст: OA4ED5C15A63FEA3 Хотfl ‰‚‡ блок‡ исхо‰но„о текст‡ отлич‡ютсfl только с‡мым п‡‚ым битом, блоки з‡шифнно„о текст‡ отлич‡ютсfl н‡ 29 бит. Это озн‡ч‡ет, что изменение пиблизительно ‚ 1,5 поцент‡х исхо‰но„о текст‡ со片ют изменение пиблизительно 45 поценто‚ з‡шифнно„о текст‡. Т‡блиц‡ 6.17 пок‡зы‚‡ет изменение 199

Кус

Кипто„‡фиfl и безоп‡сность сетей

‚ к‡ж‰ом ‡ун‰е. Можно у‚и‰еть, что сущест‚енные изменениfl ‚озник‡ют уже ‚ тетьем ‡ун‰е. Т‡блиц‡ 6.17. Число ‡зличных бит ‚ пимее 6.7 Р‡ун‰ Р‡зниц‡ ‚ бит‡х

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 1 6 20 29 30 33 32 29 32 39 33 28 30 31 30 29

Эффект полноты Эффект полноты з‡ключ‡етсfl ‚ том, что к‡ж‰ый бит з‡шифнно„о текст‡ ‰олжен 燂исеть от мно„их бито‚ исхо‰но„о текст‡. Р‡ссе肇ние и пеемеш肇ние, поиз‚е‰енное P-блок‡ми и S-блок‡ми ‚ DES, ук‡зы‚‡ет н‡ очень сильный эффект полноты.

Китеии ‡з‡боток DES Поект DES был пе‰ъfl‚лен IBM ‚ 1994 „о‰у. Мно„очисленные испыт‡ниfl DES пок‡з‡ли, что он у‰о‚лет‚оflет некотоым из з‡fl‚ленных китеие‚. Ниже к‡тко обсу扇ютсfl некотоые поблемы ‡з‡боток DES. S-блоки Мы ‡ссмотели общие китеии постоениfl S-блоко‚ ‚ лекции 5. З‰есь мы только обсу扇ем китеии, ‚ыб‡нные ‰лfl DES. Стукту‡ блоко‚ обеспеч肇ет пеемеш肇ние и ‡ссе肇ние от к‡ж‰о„о ‡у퉇 ‰о сле‰ующе„о. Со„л‡сно этому положению и некотоому ‡н‡лизу, мы можем упомflнуть несколько с‚ойст‚ Sблоко‚. 1. Вхо‰ы к‡ж‰ой стоки есть пеест‡но‚ки зн‡чений меж‰у 0 и 15. 2. S-блоки — нелинейные. Ду„ими слми, ‚ыхо‰ — не ‡ффинное пеоб‡зние. (См. лекции 3 (‡ффинное пеоб‡зние) и 5, „‰е ‡ссм‡т肇л‡сь линейность и S-блоко‚.) 3. Если мы изменflем е‰инст‚енный бит н‡ ‚хо‰е, н‡ ‚ыхо‰е бу‰ут изменены ‰‚‡ или больше бит‡. 4. Если ‰‚‡ ‚х S-блок‡ отлич‡ютсfl только ‰‚умfl се‰ними бит‡ми (бит‡ми 3 и 4), ‚ыхо‰н‡fl инфом‡циfl ‰олжн‡ отлич‡тьсfl, по к‡йней мее, ‰‚умfl бит‡ми. Ду„ими слми, S (x) и S (x ⊕ 001100) ‰олжны отлич‡тьсfl по к‡йней мее ‰‚умfl бит‡ми, „‰е x — ‚хо‰ и S(x) — ‚ыхо‰. 5. Если ‰‚‡ ‚х ‚ S-блок отлич‡ютсfl пе‚ыми ‰‚умfl бит‡ми (биты 1 и 2) и после‰ними ‰‚умfl бит‡ми (5 и 6), ‰‚‡ ‚ых ‰олжны быть ‡зличны. Ду„ими слми, мы ‰олжны иметь сле‰ующее отношение: S (x) ≠ S (x ⊕ 11bc00), ‚ котоом b и с — поиз‚ольные биты. 6. Есть только 32 шестибито‚ые п‡ы «‚хо‰-‚ых (xi и xj ), ‚ котоых xi ⊕ xj ≠ (000000)2. Эти 32 ‚хо‰ных п‡ы со片ют 32 п‡ы сл ‚ых по 4 бит‡. Если мы со片ем к‡кие-то ‡зличиfl меж‰у 32 ‚ыхми п‡, d = yi ⊕ yj, то из этих d ‰олжны быть о‰ин‡ко‚ыми не больше чем 8. 7. Т‡кой же китеий, к‡к ‚ пункте 6, пименflетсfl к тем S-блок‡м. 200

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

8. В любом S-блоке, если е‰инст‚енный ‚хо‰ной бит сох‡нflетсfl к‡к конст‡нт‡ (0 или 1), то ‰у„ие биты изменflютсfl случ‡йно т‡к, чтобы ‡зности меж‰у числом нулей и е‰иниц были минимизины. P-блоки Меж‰у ‰‚умfl fl‰‡ми S-блоко‚ (‚ ‰‚ух после‰ующих ‡у퉇х) есть о‰ин пflмой P-блок (32 н‡ 32) и о‰ин P-блок ‡сшиениfl (32 н‡ 48). Эти ‰‚‡ P-блок‡ ‚месте обеспеч肇ют ‡ссе肇ние бито‚. Мы уже „о‚оили об общем пинципе постоениfl P-блок‡ ‚ лекции 5. З‰есь мы обсу‰им только пик뇉ные P-блоки, используемые ‚ DES. В стуктуе P-блоко‚ были е‡лизны сле‰ующие китеии 1. К‡ж‰ый ‚хо‰ S-блок‡ по‰ключ‡етсfl к ‚ыхо‰у ‰у„о„о S-блок‡ (‚ пе‰ы‰ущем ‡ун‰е). 2. Ни о‰ин ‚хо‰ к ‰‡нному S-блоку не сое‰инflетсfl с ‚ыхо‰ом от то„о же с‡мо„о блок‡ (‚ пе‰ы‰ущем ‡ун‰е). 3. Четые бит‡ от к‡ж‰о„о S-блок‡ и‰ут ‚ шесть ‡зличных S-блоко‚ (‚ сле‰ующем ‡ун‰е). 4. Ни о‰ин из ‰‚ух бито‚ ‚ых от S-блок‡ не и‰ет ‚ тот же с‡мый S-блок (‚ сле‰ующем ‡ун‰е). 5. Если число блоко‚ S-блоко‚ 8, то S1, S2,..., S 8. ‡. Выхо‰ Sj-2 пеехо‰ит ‚ о‰ин из пе‚ых ‰‚ух бито‚ Sj (‚ сле‰ующем ‡ун‰е). б. Бит ‚ых от Si-1 пеехо‰ит ‚ о‰ин из после‰них ‰‚ух бито‚ Sj (‚ сле‰ующем ‡ун‰е). ‚. Выхо‰ Sj +1 пеехо‰ит ‚ о‰ин из ‰‚ух се‰них бито‚ Sj (‚ сле‰ующем ‡ун‰е). 6. Длfl к‡ж‰о„о S-блок‡ ‰‚‡ бит‡ ‚ых и‰ут ‚ пе‚ые или после‰ние ‰‚‡ бит‡ S-блок‡ ‚ сле‰ующем ‡ун‰е. Ду„ие ‰‚‡ бит‡ ‚ых и‰ут ‚ се‰ние биты S-блок‡ ‚ сле‰ующем ‡ун‰е. 7. Если ‚ыхо‰ от Sj пеехо‰ит ‚ о‰ин из се‰них бито‚ ‚ Sk (‚ сле‰ующем ‡ун‰е), то бит ‚ых от Sk не может и‰ти ‚ се‰ний бит Sj. Если мы ‰опуск‡ем j = k, то по‰‡зум傇ем, что ни о‰ин се‰ний бит S-блок‡ не может и‰ти ‚ о‰ин из се‰них бито‚ то„о же с‡мо„о S-блок‡ ‚ сле‰ующем ‡ун‰е. Число ‡ун‰о‚ DES используют шест퇉ц‡ть ‡ун‰о‚ шиф‡ Ф‡йстелfl. Док‡з‡но, что после то„о к‡к к‡ж‰ый текст з‡шифн з‡ ‚осемь ‡ун‰о‚, к‡ж‰ый бит з‡шифнно„о текст‡ — функциfl к‡ж‰о„о бит‡ исхо‰но„о текст‡ и к‡ж‰о„о ключе‚о„о бит‡. З‡шифнный текст — полностью случ‡йн‡fl функциfl исхо‰но„о текст‡ и з‡шифнно„о текст‡. Отсю‰‡ ‚о‰е бы сле‰ует, что ‚осьми ‡ун‰о‚ ‰олжно быть ‰ост‡точно ‰лfl хооше„о шифниfl. О‰н‡ко экспеименты пок‡зы‚‡ют, что некотоые ‚есии DES с менее чем шест퇉ц‡тью ‡у퉇ми более уflз‚имы к ‡т‡к‡м зн‡ниfl исхо‰но„о текст‡, чем к ‡т‡ке „убой силы, кото‡fl тебует использниfl шест퇉ц‡ти ‡ун‰о‚ DES. 201

Кус

Кипто„‡фиfl и безоп‡сность сетей

Сл‡бости DES В течение пошлых нескольких лет китики н‡шли некотоые сл‡бости ‚ DES. Мы к‡тко ук‡жем н‡ не‰ост‡тки, котоые были обн‡ужены ‚ стуктуе шиф‡. S-блоки. В лите‡туе ук‡зы‚‡ютсfl, по к‡йней мее, ти поблемы S-блоко‚. 1. В S-блоке 4 ти бит‡ ‚ых мо„ут быть получены тем же с‡мым способом, что и пе‚ый бит ‚ых: ‰ополнением некотоых из ‚хо‰ных бито‚. 2. Д‚‡ специ‡льно ‚ыб‡нных ‚х к м‡сси‚у S-блок‡ мо„ут со片ть тот же с‡мый ‚ыхо‰. 3. Можно получить тот же с‡мый ‚ыхо‰ ‚ о‰ном е‰инст‚енном ‡ун‰е, изменflfl биты только ‚ тех сосе‰них S-блок‡х. P-блоки. В стуктуе P-блок‡ были н‡й‰ены о‰н‡ 燄‡‰к‡ и о‰н‡ сл‡бость. 1. Не flсно, почему поектио‚щики DES использли н‡ч‡льную и конечную пеест‡но‚ки. Эти пеест‡но‚ки не ‚носflт ник‡ких но‚ых с‚ойст‚ с точки зениfl безоп‡сности. 2. В пеест‡но‚ке ‡сшиениfl (‚ функции) пе‚ые и чет‚етые биты после‰о‚‡тельностей н‡ 4 бит‡ по‚тоflютсfl. Сл‡бость ‚ ключе шиф‡ Р‡зме ключ‡. Китики ут‚е扇ют, что с‡м‡fl сеьезн‡fl сл‡бость DES — это ‡зме ключ‡ (56 бито‚). Чтобы пе‰пинflть ‡т‡ку „убой силы ‰‡нно„о блок‡ з‡шифнно„о текст‡, злоумышленники ‰олжны по‚еить 256 ключей. a. Пименflfl ‰оступную се„о‰нfl техноло„ию, можно по‚еить о‰ин миллион ключей ‚ секун‰у. Это озн‡ч‡ет, что потебуетсfl более чем ‰‚е тысflчи лет, чтобы ‚ыполнить ‡т‡ку „убой силы н‡ DES, используfl компьюте только с о‰ним поцессоом. b. Если мы с‰ел‡ем компьюте с о‰ним миллионом чипо‚ поцессоо‚ (п‡‡ллельн‡fl об‡ботк‡), то сможем по‚еить ‚се множест‚о ключей пиблизительно з‡ 20 ч‡со‚. К‡ был ‚‚е‰ен DES, стоимость т‡ко„о компьюте‡ был‡ более чем несколько миллионо‚ ‰олл‡о‚, но он‡ бысто снизил‡сь. Специ‡льный компьюте был соз‰‡н ‚ 1998 „о‰у — и н‡шел ключ з‡ 112 ч‡со‚. c. Компьютеные сети мо„ут мо‰елить п‡‡ллельную об‡ботку. В 1977 „о‰у ком‡н‰‡ иссле‰о‚‡телей использо‚‡л‡ 3500 компьютео‚, по‰ключенных к Internet, чтобы н‡йти ключ RSA з‡ 120 ‰ней. Множест‚о ключей было ‡з‰елено се‰и ‚сех этих компьютео‚, и к‡ж‰ый компьюте был от‚етст‚енен з‡ по‚еку ч‡сти ‰омен‡ DES. Если 3500 с‚flз‡нных ‚ сеть компьютео‚ мо„ут н‡йти ключ чеез 120 ‰ней, то секетное общест‚о из 42 000 члено‚ может н‡йти ключ чеез 10 ‰ней. Пи‚е‰енное ‚ыше пок‡зы‚‡ет, что DES с ‡змеом ключ‡ шиф‡ 56 бито‚ не обеспеч肇ет ‰ост‡точной безоп‡сности. Позже ‚ этой лекции мы у‚и‰им, что есть о‰но ешение этой поблемы – это использние тойно„о DES(3DES) с ‰‚умfl ключ‡ми (112 бито‚) или тойно„о DES с темfl ключ‡ми (биты 16). 202

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Сл‡бые ключи. Четые ключ‡ из 256 ‚озможных ключей н‡зы‚‡ютсfl сл‡быми ключ‡ми. Сл‡бые ключи — это о‰ни из тех, котоые после опе‡ции у‰‡лениfl по‚еочных бит (используfl т‡блицу 6.12) состоflт из ‚сех нулей или ‚сех е‰иниц или поло‚ины нулей и поло‚ины е‰иниц. Т‡кие ключи пок‡з‡ны ‚ т‡блице 6.18. Т‡блиц‡ 6.18. Сл‡бые ключи Ключи ‰о у‰‡лениfl по‚еочных бит (64 бит‡) 0101 0101 0101 0101 1F1F 1F1F 1F1F 1F1F E0E0 E0E0 E0E0 E0E0 FEFE FEFE FEFE FEFE

Дейст‚ующие ключи (56 бит) 0000000 0000000 0000000 FFFFFFF FFFFFFF 0000000 FFFFFFF FFFFFFF

Ключи ‡у퉇, со片нные от любо„о из этих сл‡бых ключей, — те же с‡мые и имеют тот же с‡мый тип, что и ключ шиф‡. Н‡пиме, эти шест퇉ц‡ть ключей ‡у퉇 со片ют пе‚ый ключ, котоый состоит из ‚сех нулей или ‚сех е‰иниц или н‡поло‚ину из нулей и е‰иниц. Это поисхо‰ит по той пичине, что ‡л„оитм „енеиниfl ключей сн‡ч‡л‡ ‰елит ключ шиф‡ н‡ ‰‚е поло‚ины. Смещение или пеест‡но‚к‡ блок‡ не изменflют блок, если он состоит из ‚сех нулей, или ‚сех е‰иниц, или н‡поло‚ину из нулей и е‰иниц. В чем оп‡сность использниfl сл‡бых ключей? Если мы з‡шифли блок сл‡бым ключом и ‚после‰ст‚ии ‡сшифли езульт‡т тем же с‡мым сл‡бым ключом, мы получ‡ем пе‚он‡ч‡льный блок. Поцесс со片ет о‰ин и тот же пе‚он‡ч‡льный блок, если мы ‡сшифо‚ы‚‡ем блок ‰‚‡ж‰ы. Ду„ими слми, к‡ж‰ый сл‡бый ключ есть ин‚есиfl с‡мо„о себfl: Ek. (Ek (P)) = P, к‡к это пок‡з‡но н‡ ис. 6.11.

Рис. 6.11. Д‚ойное шифние и ‰ешифние со сл‡бым ключом Сл‡бых ключей 퇉о изб儇ть, потому что поти‚ник может ле„ко ‡спозн‡ть их н‡ пеех‚‡ченном шифе. Если после ‰‚ух эт‡по‚ ‰ешиф‡ции езульт‡т тот же с‡мый, поти‚ник опе‰елflет, что он н‡шел ключ. 203

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 6.8 Д‡‚‡йте попобуем пименить пе‚ый сл‡бый ключ ‚ т‡блице 6.18, чтобы ‰‚‡ ‡з‡ з‡шифть блок. После то„о к‡к по‚е‰ено ‰‚‡ шифниfl с тем же с‡мым ключом, ‚ езульт‡те получим исхо‰ный текст. Об‡тите ‚ним‡ние, что мы ни ‡зу не использли ‡л„оитм ‰ешифниfl, ‡ только по‚ели ‰‚‡ ‡з‡ шифние. Ключ: 0x0101 0101 0101 0101 Исхо‰ный текст: 0xl23456887654321

З‡шифнный текст: 0x814FE938589154F7

Ключ: 0x0101 0101 0101 0101 Исхо‰ный текст: 0x814FE938589154F7 З‡шифнный текст: 0xl234.56887654321

Полусл‡бые ключи. Имеютсfl шесть ключе‚ых п‡, котоые н‡з‚‡ны полусл‡быми ключ‡ми. Этим шесть п‡ пок‡з‡ны ‚ Т‡блице 6.19 (фом‡т н‡ 64 бит‡ пее‰ у‰‡лением по‚еочных бит). Полусл‡бые ключи со片ют только ‰‚‡ ‡зличных ключ‡ ‡у퉇 и з‡тем по‚тоflют их ‚осемь ‡з. Коме то„о, ключи ‡у퉇, со片нные от к‡ж‰ой п‡ы, — о‰ни и те же ‚ ‡зличном поfl‰ке. Т‡блиц‡ 6.19. Полусл‡бые ключи Пе‚ый ключ ‚ п‡е 01FE 01FE 01FE 01FE 1FEO 1FEO OEF1 OEF1 01EO 01E1 01F1 01F1 1FFE 1FFE OEFE OEFE 011F 011F 010E 010E EOFE EOFE FIFE FIFE

Втоой ключ ‚ п‡е FE01 FE01 FE01 FE01 E01F E01F F10E F10E E001 E001 F101 F101 FE1F FE1F FEOE FEOE 1F01 1F01 OE01 OE01 FEEO FEEO FEF1 FEFl

Чтобы поиллюстить и‰ею, мы со片ли ключи ‡у퉇 от пе‚ой п‡ы, к‡к пок‡з‡но ниже: Ключ ‡у퉇 1 Ключ ‡у퉇 2 Ключ ‡у퉇 3 Ключ ‡у퉇 4 Ключ ‡у퉇 5 Ключ ‡у퉇 6 Ключ ‡у퉇 7 Ключ ‡у퉇 8 Ключ ‡у퉇 9 Ключ ‡у퉇10 Ключ ‡у퉇 11 Ключ ‡у퉇 12 Ключ ‡у퉇 13 Ключ ‡у퉇 14 Ключ ‡у퉇 15

9153E54319BD 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 204

6EAC1ABCE642 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 9153E54319BD 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642 6EAC1ABCE642

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Ключ ‡у퉇 16 6EAC1ABCE642 9153E54319BD К‡к пок‡зы‚‡ет список, имеетсfl ‚осемь о‰ин‡ко‚ых ключей ‡у퉇 ‚ к‡ж‰ом полусл‡бом ключе. Коме то„о, ключи ‡у퉇 1 ‚ пе‚ом множест‚е — те же, что и ключи ‡у퉇 16 ‚о ‚тоом; ключи ‡у퉇 2 ‚ пе‚ом — те же с‡мые, что и

ключи ‡у퉇 15 ‚о ‚тоом, и т‡к ‰‡лее. Это озн‡ч‡ет, что ключи ин‚есны ‰у„ ‰у„у: Ek2. (Ek1E (P)) = P, к‡к пок‡з‡но н‡ ис. 6.12. Рис. 6.12. П‡‡ полусл‡бых ключей пи шифнии и ‰ешифнии Возможно сл‡бые ключи. Т‡кже имеетсfl 48 ключей, котоые н‡зы‚‡ютсfl ‚озможно сл‡быми ключ‡ми. Возможно сл‡бый ключ со片ет только четые ‡зличных ключ‡ ‡у퉇; ‰у„ими слми, шест퇉ц‡ть ключей ‡ун‰о‚ ‡з‰елены н‡ четые „уппы, и к‡ж‰‡fl „упп‡ состоит из четыех о‰ин‡ко‚ых ключей ‡у퉇. Пиме 6.9 К‡к ‚еоflтность случ‡йно„о ‚ыбо‡ сл‡бо„о, полусл‡бо„о или ‚озможно сл‡бо„о ключ‡? Решение Множест‚о ключей DES ‡‚но 256. Общее количест‚о ‚ышеупомflнутых ключей — 64 (4 + 12 + 48). Веоflтность ‚ыбо‡ о‰но„о из этих ключей ‡‚н‡ 8,8 × 10 –16, т.е. исключительно м‡л‡. Ключе‚ое ‰ополнение. Се‰и множест‚‡ ключей (256) некотоые ключи мо„ут быть получены ин‚есией (изменение из 0 ‚ 1 или 1 ‚ 0) к‡ж‰о„о бит‡ ‚ ключе. Ключе‚ое ‰ополнение упощ‡ет поцесс кипто‡н‡лиз‡. Е‚‡ может использть только поло‚ину ‚озможных ключей (255), чтобы ‚ыполнить ‡т‡ку „убой силы, потому что – – – C = E (K, P) → C = E (K, P ) Ду„ими слми, если мы з‡шифли ‰ополнение исхо‰но„о текст‡ ‰ополнением ключ‡, мы получ‡ем ‰ополнение з‡шифнно„о текст‡. Е‚‡ не 205

Кус

Кипто„‡фиfl и безоп‡сность сетей

‰олжн‡ по‚еflть ‚се 256 ‚озможных ключей, он‡ может по‚еить только поло‚ину из них и з‡тем ‰ополнить езульт‡т. Пиме 6.10 Д‡‚‡йте по‚еим эти с‚е‰ениfl о ключ‡х ‰ополнениfl. Мы используем поиз‚ольный ключ и исхо‰ный текст, ‰лfl то„о чтобы н‡йти соот‚етст‚ующий з‡шифнный текст. Если мы имеем ключе‚ое ‰ополнение и исхо‰ный текст, то получим ‰ополнение пе‰ы‰уще„о з‡шифнно„о текст‡ (т‡блиц‡ 6.20). Т‡блиц‡ 6.20. Результ‡ты пиме‡ 6.10

Ключ Исхо‰ный текст З‡шифнный текст

Ои„ин‡л 1234123412341234 12345678ABCDEF12 E112BE1DEFC7A367

Дополнение EDCBEDCBEDCBEDCB EDCBA98754321.0ED 1EED41E210385C98

Кл‡стеный ключ. Кл‡стеный ключ ‡ссм‡т肇ет ситу‡ции, ‚ котоых ‰‚‡ или более ‡зличных ключ‡ со片ют о‰ин и тот же з‡шифнный текст из о‰но„о и то„о же исхо‰но„о текст‡. Оче‚и‰но, к‡ж‰‡fl п‡‡ полусл‡бых ключей — ключе‚ой кл‡сте. О‰н‡ко больше кл‡стео‚ не было н‡й‰ено. Бу‰ущие иссле‰о‚‡ниfl, ‚озможно, мо„ут откыть некотоые ‰у„ие.

6.4. Мно„ок‡тное пименение DES К‡к мы уже ‚и‰ели, осно‚н‡fl китик‡ DES н‡п‡‚лен‡ н‡ ‰лину ключ‡. Возможные техноло„ии и ‚озможности п‡‡ллельных поцессоо‚ ‰ел‡ют е‡льной ‡т‡ку „убой силы. О‰но из ешений ‰лfl улучшениfl безоп‡сности — это отк‡з от DES и ‡з‡ботк‡ но‚о„о шиф‡. Это ешение мы ‡ссмотим ‚ лекции 7 пи пименении AES. Втоое ешение — мно„ок‡тное (к‡сꇉное) пименение множест‚‡ ключей. Это ешение, котоое использлось некотоое ‚емfl, не тебует ин‚естиций ‚ но‚ое по„‡ммное обеспечение и ‡пп‡‡тные се‰ст‚‡. Ниже ‡ссмотен т‡кой по‰хо‰. К‡к мы узн‡ли ‚ лекции 5, по‰ст‡но‚к‡, кото‡fl ‡змещ‡ет ‚се ‚озможные ‚хо‰ы ‚о ‚се ‚озможные ‚ыхо‰ы, fl‚лflетсfl „уппой с отоб‡жениflми элементо‚ множест‚‡ и н‡боом опе‡ций. В этом случ‡е пименение ‰‚ух после‰о‚‡тельных отоб‡жений бесполезно, потому что мы можем ‚с儉‡ н‡йти тетье отоб‡жение, котоое эк‚肇лентно композиции этих ‰‚ух (с‚ойст‚о з‡мкнутости). Это озн‡ч‡ет, что если DES — „упп‡, то о‰нок‡тный DES с ключом k3 ‰ел‡ет то же с‡мое (исунок 6.13). К сч‡стью DES — не „упп‡. Он‡ б‡зиуетсfl н‡ сле‰ующих ‰‚ух п‡‡мет‡х. ‡. Номе ‚озможных ‚хо‰о‚ или ‚ыхо‰о‚ ‚ DES — N = 264. Это озн‡ч‡ет, что N!= (264)! = 10347 380 000 000 000 000 000 отоб‡жений. О‰ин из способо‚ способ с‰ел‡ть DES „уппой — это пеж‡ть ‚се эти отоб‡жениfl с ‡змеом ключ‡ log2 (264!) — 270 бито‚. Но мы зн‡ем, что ‰лин‡ ключ‡ ‚ DES — 56 бит (только м‡леньк‡fl ч‡сть это„о тебуемо„о о„омно„о ключ‡). б. Ду„ой способ с‰ел‡ть DES „уппой – с‰ел‡ть, чтобы множест‚о отоб‡жений было по‰множест‚ом множест‚‡ ‚ смысле 燂исимости от пе‚о„о 206

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Рис. 6.13. Композициfl отоб‡жений п‡‡мет‡; но было ‰ок‡з‡но, что „уппы, со片нные из „уппы с помощью пе‚о„о п‡‡мет‡, имеют ключе‚ой ‡зме 56 бито‚. Если DES не fl‚лflетсfl „уппой, то очень м‡ло‚еоflтно, что мы можем н‡йти ключ k3, т‡кой, что Ek2 (Ek1 (P)) =Ek3 (P) Это озн‡ч‡ет, что мы можем пименить ‰‚ук‡тные или техк‡тные DES, чтобы у‚еличить ‡зме ключ‡.

Д‚ук‡тный DES Пе‚ый по‰хо‰ состоит ‚ том, чтобы использть ‰‚ук‡тный DES (2DES). Пи этом по‰хо‰е мы пименflем ‰‚‡ тип‡ шифо‚ DES ‰лfl шифниfl и ‰‚‡ тип‡ об‡тных шифо‚ ‰лfl ‰ешифниfl. К‡ж‰ый тип использует ‡зличный ключ, что озн‡ч‡ет, что ‡зме ключ‡ тепеь у‰‚оилсfl (112 бито‚). О‰н‡ко ‰‚ук‡тный DES уflз‚им к ‡т‡ке зн‡ниfl откыто„о текст‡, к‡к это обсу扇етсfl ‚ сле‰ующем ‡з‰еле. Н‡ пе‚ый ‚з„лfl‰ ‰‚ук‡тные DES у‚елич肇ют число испыт‡ний пи поиске ключ‡ от 256 (‚ о‰нок‡тном DES) к 2112 (‚ ‰‚ук‡тном DES). О‰н‡ко пи использнии ‡т‡ки зн‡ниfl исхо‰но„о текст‡, н‡зы‚‡емой ‡т‡кой с‚е‰ениfl к сее‰ине, можно ‰ок‡з‡ть, что ‰‚ук‡тный DES улучш‡ет эту устойчи‚ость (‰о 257 по испыт‡ниflм), но не чез‚ыч‡йно (к 2112). Рисунок 6.14 пок‡зы‚‡ет ‰и‡„‡мму ‰лfl ‰‚ук‡тно„о DES. Алис‡ использует ‰‚‡ ключ‡, k1 и k2, чтобы з‡шифо‚ы‚‡ть исхо‰ный текст P ‚ з‡шифнный текст C; Боб использует з‡шифнный текст C и ‰‚‡ ключ‡, k2 и k1, ‰лfl ‚осст‡но‚лениfl P. В се‰ней точке М — текст, со片нный пе‚ым шифнием или пе‚ым ‰ешифнием. Длfl обеспечениfl п‡‚ильной ‡боты он ‰олжен быть о‰ин‡ко‚ым ‰лfl шифниfl и ‰ешифниfl. Ду„ими слми, мы имеем ‰‚‡ отношениfl: 207

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 6.14. Ат‡к‡ с‚е‰ениfl к сее‰ине ‚ ‰‚ук‡тном DES M = EK1(P) и M = EK2(C) Пе‰положим, что Е‚‡ пеех‚‡тил‡ пе‰ы‰ущую п‡у P и C (‡т‡к‡ зн‡ниfl исхо‰но„о текст‡). Б‡зиуflсь н‡ пе‚ом отношении из упомflнутых ‚ыше, Е‚‡ з‡шифо‚ы‚‡ет P, используfl ‚се ‚озможные зн‡чениfl (256) k1, и з‡писы‚‡ет ‚се зн‡чениfl, полученные ‰лfl М. Б‡зиуflсь н‡ ‚тоых отношениflх, упомflнутых ‚ыше, Е‚‡ ‡сшифо‚ы‚‡ет C, используfl ‚се ‚озможные зн‡чениfl (256) k2. Он‡ з‡писы‚‡ет ‚се зн‡чениfl, полученные ‰лfl М. Д‡лее Е‚‡ со片ет ‰‚е т‡блицы, отсотинные со„л‡сно зн‡чениflм M. Он‡ с‡‚н肇ет зн‡чениfl ‰лfl М, пок‡ не н‡хо‰ит те п‡ы k1 и k2, ‰лfl котоых зн‡чение М fl‚лflетсfl о‰ним и тем же ‚ обеих т‡блиц‡х (к‡к пок‡з‡но н‡ ис. 6.15). Об‡тите ‚ним‡ние, что ‰олжн‡ быть по к‡йней мее о‰н‡ п‡‡, потому что он‡ ‰ел‡ет исчепы‚‡ющий поиск комбин‡ции ‰‚ух ключей. 1. Если есть только о‰но соот‚етст‚ие. Е‚‡ н‡шл‡ ‰‚‡ ключ‡ (k1 и k2). Если есть больше чем о‰ин к‡н‰и‰‡т, Е‚‡ пеемещ‡етсfl ‚ сле‰ующий ш‡„. 2. Он‡ беет ‰у„ую пеех‚‡ченную п‡у з‡шифнно„о текст‡ и исхо‰но„о текст‡ и использует к‡ж‰о„о к‡н‰и‰‡т‡ ‰лfl получениfl п‡ы ключей, чтобы уст‡но‚ить, может ли он‡ получить з‡шифнный текст из исхо‰но„о текст‡. Если он‡ н‡хо‰ит больше чем о‰но„о к‡н‰и‰‡т‡ ‚ ‚и‰е п‡ы ключей, он‡ по‚тоflет ш‡„ 2, пок‡, н‡конец, не н‡хо‰ит уник‡льную п‡у. Было ‰ок‡з‡но, что после пименениfl ‚тоо„о ш‡„‡ к нескольким пеех‚‡ченным п‡‡м «з‡шифнный текст — исхо‰ный текст» ключи были н‡й‰ены. Это озн‡ч‡ет, что ‚место то„о чтобы использть поиск ключей с помощью 2112 испыт‡ний, Е‚‡ по‚о‰ит 256 испыт‡ний поиск‡ ключ‡ и по‚еflет ‰‚‡ ‡з‡ (несколько больше испыт‡ний тебуетсfl, если н‡й‰ен н‡ пе‚ом ш‡„е е‰инст‚енный к‡н‰и‰‡т). Ду„ими слми, ‰‚脇flсь от о‰нок‡тно„о DES ‰о ‰‚ук‡тно„о DES, 208

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

Рис. 6.15 Т‡блицы ‰лfl ‡т‡ки «с‚е‰ениfl к сее‰ине»

мы у‚еличили объем испыт‡ний от 256 ‰о 257 (‡ не ‰о 2112, к‡к это к‡жетсfl пи по‚ехностном по‰хо‰е).

Техк‡тный DES Длfl то„о чтобы улучшить безоп‡сность DES, был пе‰ложен техк‡тный DES (3DES). Он пименflет ти к‡сꇉ‡ DES ‰лfl шифниfl и ‰ешифниfl. Се„о‰нfl используютсfl ‰‚е ‚есии техк‡тных DES: техк‡тный DES с ‰‚умfl ключ‡ми и техк‡тный DES с темfl ключ‡ми. Техк‡тный DES с ‰‚умfl ключ‡ми В техк‡тном DES с ‰‚умfl ключ‡ми есть только ‰‚‡ ключ‡: k1 и k2. Пе‚ый и тетий к‡сꇉы используют k1; ‚тоой к‡сꇉ использует k2. Чтобы с‰ел‡ть техк‡тный DES со‚местимым с DES, се‰ний к‡сꇉ пименflет ‰ешифние (об‡тный шиф) н‡ стооне шифниfl и шифние (шиф) н‡ стооне ‰е-

Рис. 6.16. Техк‡тный DES с ‰‚умfl ключ‡ми 209

Кус

Кипто„‡фиfl и безоп‡сность сетей

шифниfl. Т‡ким способом сообщение, з‡шифнное DES-ключом k, может быть ‡сшифно техк‡тным DES, если k1 = k2 = k. Хотfl техк‡тный DES с ‰‚умfl ключ‡ми т‡кже уflз‚им пи ‡т‡ке «зн‡ниfl исхо‰но„о текст‡», он „о‡з‰о устойчи‚ее, чем ‰‚ук‡тный DES. Он был пинflт ‰лfl б‡нко‚. Рисунок 6.16 пок‡зы‚‡ет техк‡тный DES с ‰‚умfl ключ‡ми. Техк‡тный DES с темfl ключ‡ми Возможность ‡т‡к «зн‡ниfl исхо‰но„о текст‡» пи техк‡тном DES с ‰‚умfl ключ‡ми з‡ст‡‚ил‡ некотоые пиложениfl использть техк‡тный DES с темfl ключ‡ми. Ал„оитм может пименflть ти к‡сꇉ‡ шиф‡ DES н‡ стооне шифниfl и ти к‡сꇉ‡ об‡тных шифо‚ н‡ стооне ‰ешифниfl. Длfl со‚местимости с о‰нок‡тным DES стоон‡ шифниfl использует EDE, ‡ стоон‡ ‰ешифниfl — DED. E (encryption) — к‡сꇉ шифниfl, D (decryption) — к‡сꇉ ‰ешифниfl. Со‚местимость с о‰нок‡тным DES обеспеч肇етсfl пи k1 = k и уст‡но‚кой k2 и k3 к о‰ному и тому же поиз‚ольному ключу, ‚ыб‡нному пиемником. Техк‡тный DES с темfl ключ‡ми используетсfl мно„ими пиложениflми, т‡кими, к‡к PGP (Pretty Good Privacy), поскольку „‡‡нтиует очень хоошую конфи‰енци‡льность (см. лекцию 16).

6.5. Безоп‡сность DES DES, к‡к пе‚ый блочный шиф, имеющий ‚‡жное зн‡чение, пошел чеез мно„о испыт‡ний н‡ безоп‡сность. Се‰и пе‰пинflтых ‡т‡к лишь ти пе‰ст‡‚лflют интеес: „уб‡fl сил‡, ‰иффеенци‡льный кипто‡н‡лиз и линейный кипто‡н‡лиз.

Ат‡к‡ „убой силы Мы уже обсу扇ли сл‡бость шиф‡ с коотким ключом. Сл‡бость ключ‡ со‚местно с ‰у„ими ‡ссмотенными не‰ост‡тк‡ми пи‚о‰ит к тому, что DES может быть ‚злом‡н с числом испыт‡ний 255. О‰н‡ко се„о‰нfl большинст‚о пиложений использует либо 3DES с ‰‚умfl ключ‡ми (‡зме ключ‡ 2112), либо 3DES с темfl ключ‡ми (‡зме ключ‡ 2168). Эти ‰‚е мно„ок‡тные ‚есии DES поз‚олflют ему пок‡зы‚‡ть сущест‚енную стойкость к ‡т‡к‡м „убой силы.

Диффеенци‡льный кипто‡н‡лиз Мы ‚ лекции 5 уже обсу扇ли мето‰ику ‰иффеенци‡льно„о кипто‡н‡лиз‡ ‰лfl со‚еменных блочных шифо‚. DES не fl‚лflетсfl устойчи‚ым к т‡кому ‚и‰у ‡т‡ки. О‰н‡ко мно„ое ук‡зы‚‡ет, что ‡з‡ботчики DES уже зн‡ли о т‡кой оп‡сности и поектили S-блоки и специ‡льно ‚ыб‡ли число ‡ун‰о‚, чтобы с‰ел‡ть DES стойким к этому типу ‡т‡ки. Се„о‰нfl пок‡з‡но, что DES может быть ‚злом‡н, используfl ‰иффеенци‡льный кипто‡н‡лиз, если мы имеем 247 ‚ыбоок исхо‰но„о текст‡ или 255 из‚естных исхо‰ных тексто‚. Хотfl это ‚ы„лfl‰ит более эффекти‚но, чем ‚ ‡т‡ке „убой силы, пе‰положить, что кто-то зн‡ет 247 ‚ыбоок исхо‰но„о текст‡ или 255 ‚ыбоок исхо‰но„о текст‡, п‡ктически не‚озможно. Поэтому мы можем ск‡з‡ть, что DES fl‚лflетсfl стойким к ‰иффеенци‡льному кип210

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

то‡н‡лизу. Т‡кже пок‡з‡но, что у‚еличение числ‡ ‡ун‰о‚ ‰о 20 у‚елич肇ет число тебуемых ‚ыбоок исхо‰но„о текст‡ ‰лfl ‡т‡ки более чем ‰о 264. Т‡кое у‚еличение не‚озможно, потому что число блоко‚ исхо‰но„о текст‡ ‚ DES только 264. Мы пок‡жем пиме ‰иффеенци‡льно„о кипто‡н‡лиз‡ ‚ пиложении N.

Линейный кипто‡н‡лиз Мы обсу扇ли мето‰ику линейно„о кипто‡н‡лиз‡ ‰лfl со‚еменных блочных шифо‚ ‚ лекции 5. Линейный кипто‡н‡лиз — более нfl мето‰ик‡, чем ‰иффеенци‡льный кипто‡н‡лиз. DES более уflз‚им к пименению линейно„о кипто‡н‡лиз‡, чем к ‰иффеенци‡льному кипто‡н‡лизу, — ‚еоflтно, потому, что этот тип ‡т‡к не был из‚естен поектио‚щик‡м DES и Sблоки не fl‚лflютсfl очень стойкими к линейному кипто‡н‡лизу. Пок‡з‡но, что DES может быть ‚злом‡н с использнием 243 п‡ы из‚естных исхо‰ных тексто‚. О‰н‡ко с п‡ктической точки зениfl пеех‚‡т т‡ко„о количест‚‡ п‡ очень м‡ло‚еоflтен. Мы пок‡жем пиме линейно„о кипто‡н‡лиз‡ DES ‚ пиложении N.

6.6. Рекомен‰о‚‡нн‡fl лите‡ту‡ Нижесле‰ующие кни„и и с‡йты обеспеч肇ют более ‰ет‡льную инфом‡цию о пе‰мет‡х, котоые мы обсу扇ли ‚ этой лекции.

Кни„и [Sta06], [Sti06J, [Rhe03], [Sal03J, [Mao04J] и [TW06] — это кни„и, котоые ‡ссм‡т肇ют DES.

С‡йты Нижесле‰ующие с‡йты со‰еж‡т боле по‰обную инфом‡цию о тем‡х, обсуж‰енных ‚ этой лекции, http://www.itl.nist.gov/fipspubs/np46-2.htm www.nist.gov/director/prog-ofc/report01-2.pdf www.engr.mun.ca/-how ard/PAPERS/ldc_tutorial.ps islab.oregonstate.edu/koc/ece575/notes/dc 1.pdf homes.esat.kuleuven.be / ~ abiryuko/Cryptan/matsui_des http://nsfsecurity.pr.erau.edu/crypto/lincrypt.html

211

Кус

Кипто„‡фиfl и безоп‡сность сетей

6.7. Ито„и • Ст‡н‰‡т шифниfl ‰‡нных (DES) — блочный шиф с симметичными ключ‡ми, и片нный н‡цион‡льным Институтом Ст‡н‰‡то‚ и Техноло„ии (NIST) к‡к FIPS 46 ‚ Фе‰е‡льном Ре„исте. • Н‡ стооне шифниfl DES пиним‡ет исхо‰ный текст н‡ 64 бит‡ и со片ет з‡шифнный текст н‡ 64 бит‡. Н‡ стооне ‰ешифниfl DES пиним‡ет з‡шифнный текст н‡ 64 бит‡ и со片ет блок н‡ 64 бит‡ исхо‰но„о текст‡. Ключ шиф‡ н‡ 56 бито‚ о‰но„о тип‡ используетсfl и ‰лfl шифниfl, и ‰лfl ‰ешифниfl. • Поцесс шифниfl состоит из ‰‚ух пеест‡но‚ок (P-блоки), котоые н‡зы‚‡ютсfl н‡ч‡льными и конечными пеест‡но‚к‡ми, и шест퇉ц‡ти ‡ун‰о‚ Ф‡йстелfl. К‡ж‰ый ‡ун‰ DES — шиф Ф‡йстелfl с ‰‚умfl элемент‡ми (смеситель и устойст‚о з‡мены). К‡ж‰ый из этих элементо‚ fl‚лflетсfl об‡тимым. • Осно‚ой DES fl‚лflетсfl функциfl DES. Функциfl DES пименflет ключ н‡ 48 бито‚ к с‡мым п‡‚ым 32 бит‡м, чтобы получить н‡ ‚ыхо‰е 32 бит‡. Эт‡ функциfl сост‡‚лен‡ из четыех опе‡ций: пеест‡но‚ки ‡сшиениfl, отбел肇телfl (котоый ‰оᇂлflет ключ), „уппы S-блоко‚ и пflмой пеест‡но‚ки. • Гене‡то ключей ‡у퉇 со片ет из ключ‡ шиф‡ н‡ 56 бито‚ шест퇉ц‡ть ключей по 48 бито‚. О‰н‡ко ключ шиф‡ обычно пе‰ст‡‚лflетсfl к‡к ключ н‡ 64 бит‡, ‚ котоом 8 ‰ополнительных бито‚ fl‚лflютсfl по‚еочными бит‡ми — они отб‡сы‚‡ютсfl пее‰ ф‡ктическим поцессом „енеиниfl ключей. • DES пок‡зы‚‡ет хоошие ‡бочие х‡‡ктеистики по отношению к эффект‡м полноты (з‡конченности) и 뇂ины. К числу сл‡бостей DES относflтсfl: постоение шиф‡ (S-блоки и P-блоки) и ключ шиф‡ (‰лин‡), сл‡бые ключи, полусл‡бые ключи, ‚озможно сл‡бые ключи и ‰ополнение ключей. • Т‡к к‡к DES — не „упп‡, о‰но из ешений по улучшению безоп‡сности DES состоит ‚ том, чтобы пользтьсfl мно„ок‡тными DES, котоые используют к‡тное число пименениfl ключей (‰‚ук‡тный или техк‡тный DES). Д‚ук‡тный DES уflз‚им к ‡т‡ке с‚е‰ениfl к сее‰ине, поэтому ‚ обычных пиложениflх используетсfl техк‡тный DES с ‰‚умfl ключ‡ми или с темfl ключ‡ми. • Р‡з‡ботк‡ S-блоко‚ и число ‡ун‰о‚ с‰ел‡ли DES почти об뇉‡ющим иммунитетом от ‰иффеенци‡льно„о кипто‡н‡лиз‡. О‰н‡ко DES уflз‚им пи пименении линейно„о кипто‡н‡лиз‡, если злоумышленники смо„ут соб‡ть ‰ост‡точно мно„о исхо‰ных тексто‚.

212

Лекциfl 6

Ст‡н‰‡т шифниfl ‰‡нных (DES)

6.8. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. К‡ко‚ ‡зме блок‡ ‚ DES? К‡ко‚ ‡зме ключ‡ шиф‡ ‚ DES? К‡ко‚ ‡зме ключей ‡у퉇 ‚ DES? 2. К‡ко‚о число ‡ун‰о‚ ‚ DES? 3. Сколько смесителей и устойст‚ з‡мены используетсfl ‚ пе‚ом способе шифниfl и об‡тно„о ‰ешифниfl? Сколько их используетсfl пи ‚тоом способе? 4. Сколько пеест‡но‚ок используетсfl ‚ ‡л„оитме шиф‡ DES? 5. Сколько опе‡ций ИСКЛЮЧАЮЩЕЕ ИЛИ используетсfl ‚ DES-шифе? 6. Почему DES-функции необхо‰им‡ ‡сшиflющ‡fl пеест‡но‚к‡? 7. Почему „ене‡то ключей ‡у퉇 ну扇етсfl ‚ у‰‡лении по‚еочных бит? 8. К‡к ‡зность меж‰у сл‡бым ключом, полусл‡бым ключом и ‚озможно сл‡бым ключом? 9. Что т‡кое ‰‚ук‡тный DES? К‡к‡fl ‡т‡к‡ ‰ел‡ет ‰‚ук‡тный DES бесполезным? 10. Что т‡кое техк‡тный DES? Что т‡кое техк‡тный DES с ‰‚умfl ключ‡ми? Что т‡кое техк‡тный DES с темfl ключ‡ми?

Уп‡жнениfl 1. От‚етьте н‡ сле‰ующие ‚опосы об S-блок‡х ‚ DES: ‡. пок‡жите езульт‡т похож‰ениfl 110111 чеез S-блок 3. б. пок‡жите езульт‡т похож‰ениfl 001100 чеез S-блок 4. ‚. пок‡жите езульт‡т похож‰ениfl 000000 чеез S-блок 7. „. пок‡жите езульт‡т похож‰ениfl 111111 чеез S-блок 2. 2. Н‡исуйте т‡блицу, кото‡fl пок‡зы‚‡ет езульт‡т похож‰ениfl 000000 чеез ‚се 8 S-блоко‚. Р‡ссмотите езульт‡т н‡ ‚ыхо‰е. 3. Н‡исуйте т‡блицу, кото‡fl пок‡зы‚‡ет езульт‡т похож‰ениfl 111111 чеез ‚се 8 S-блоко‚. Р‡ссмотите езульт‡т н‡ ‚ыхо‰е. 4. По‚еьте тетий китеий ‰лfl S-блок‡ 3, используfl сле‰ующие п‡ы ‚хо‰о‚: a. 000000 и 000001 b. 111111 и 111011 5. По‚еьте чет‚етый китеий постоениfl S-блок‡ 2, используfl сле‰ующие п‡ы ‚х: a. 001100 и 110000 b. 110011 и 001 111 6. По‚еьте пflтый китеий постоениfl S-блок‡ 4, используfl сле‰ующие п‡ы ‚хо‰о‚: a. 001100 и 110000 b. 110011 и 001 111

213

Кус

Кипто„‡фиfl и безоп‡сность сетей

7. Со片йте 32 6-бито‚ые ‚хо‰ные п‡ы, чтобы по‚еить шестой китеий постоениfl S-блок‡ 5. 8. Пок‡жите, к‡к ‚ыполнены ‚осемь китеие‚ постоениfl S-блок‡ 7. 9. Док‡жите пе‚ый китеий постоениfl P-блоко‚, по‚еи‚ ‚хо‰ы к Sблоку 2 ‡у퉇 2. 10. Док‡жите ‚тоой китеий постоениfl ‰лfl P-блоко‚, по‚еflfl ‚хо‰ы к S-блоку ‡у퉇 4. 11. Док‡жите тетий китеий постоениfl P-блоко‚, по‚еflfl ‚ыхо‰ S-блок‡ ‡у퉇 3. 12. Док‡жите чет‚етый китеий постоениfl P-блоко‚, по‚еflfl ‚ыхо‰ Sблок‡ 6 ‡у퉇 12. 13. Док‡жите пflтый китеий поект‡ ‰лfl P-блоко‚, по‚еflfl отношение меж‰у S-блок‡ми 3, 4 и 5 ‚ ‡у퉇х 10 и 11. 14. Док‡жите шестой китеий постоениfl P-блоко‚, по‚еflfl отношение S-блок‡ конечно„о пункт‡ поиз‚ольно„о блок‡. 15. Док‡жите се‰ьмой китеий поект‡ ‰лfl P-блоко‚, по‚еflfl отношениfl меж‰у S-блоком 5 ‚ ‡ун‰е 4 и S-блоком 7 ‚ ‡ун‰е 5. 16. Измените исунок 6.9, используfl ‡льтен‡ти‚ный по‰хо‰. 17. Док‡жите, что об‡тный шиф н‡ ис. 6.9 — ф‡ктически ин‚есиfl шиф‡ DES с темfl ‡у퉇ми. Ст‡туfl с исхо‰но„о текст‡ и н‡ч‡льно„о шиф‡, ‰ок‡жите, что ‚ы можете получить тот же с‡мый исхо‰ный текст ‚ конце поцесс‡ пименениfl об‡тно„о шиф‡. 18. Тщ‡тельно изучите ключ пи пеест‡но‚ке сж‡тиfl т‡блицы 6.14. a. К‡кие ‚хо‰ные поты отсутст‚уют н‡ ‚ыхо‰е? b. Все ли ле‚ые 24 бит‡ ‚ых и‰ут от ‚сех ле‚ых 28 ‚хо‰ных бит? c. Все ли п‡‚ые 24 бит‡ ‚ых и‰ут от ‚сех 28 ‚хо‰ных бито‚? 19. Пок‡жите езульт‡т сле‰ующих шест퇉ц‡теичных ‰‡нных 0110 10234110 1023 после похож‰ениfl их чеез н‡ч‡льный блок пеест‡но‚ки. 20. Пок‡жите езульт‡т сле‰ующих шест퇉ц‡теичных ‰‡нных AAAA BBBB CCCC DDDD после похож‰ениfl их чеез конечный блок пеест‡но‚ки. 21. Если ключ с по‚еочными бит‡ми (64 бит‡) — 0123 ABCD 2562 1456, н‡й‰ите ключ пе‚о„о ‡у퉇. 22. Используfl блок исхо‰но„о текст‡ ‚сех нулей и ключ н‡ 56 бито‚ из ‚сех нулей, ‰ок‡жите сл‡бость ключе‚о„о ‰ополнениfl, пе‰по뇄‡ющую, что DES состоит только из о‰но„о ‡у퉇. 23. Вы можете изобести ‡т‡ку «с‚е‰ение к сее‰ине» ‰лfl техк‡тно„о DES? 24. Н‡пишите пс傉око‰ ‰лfl пеест‡‚лflющей поце‰уы, используемой ‚ ‡л„оитме 6.1: permute (n,m, inBlock [n], outBlock [m], permutationTable [m]) 25. Н‡пишите пс傉око‰ ‰лfl поце‰уы ‡збиениfl, используемой ‚ ‡л„оитме 6.1: 214

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

Лекциfl 7. Усо‚ешенст‚нный ст‡н‰‡т шифниfl (AES — Advanced encryption standard) Цели и со‰еж‡ние В этой лекции мы обсу扇ем Усо‚ешенст‚нный ст‡н‰‡т шифниfl (AES — ADVANCED ENCRYPTION STANDARD) — со‚еменный блочный шиф с симметичными ключ‡ми, котоый может з‡менить DES. Эт‡ лекциfl имеет несколько целей: • ‡ссмотеть кооткую истоию AES; • опе‰елить осно‚ную стуктуу AES; • опе‰елить пеоб‡зниfl, используемые AES; • опе‰елить поцесс ‡сшиениfl сост‡‚‡ ключей; • обсу‰ить ‡зличные е‡лиз‡ции. Особое ‚ним‡ние у‰елflетсfl ‡л„еб‡ическим стукту‡м, котоые мы обсу扇ли ‚ лекции 4, — они обеспеч肇ют безоп‡сность AES.

7.1. В‚е‰ение Усо‚ешенст‚нный ст‡н‰‡т шифниfl (ADVANCED ENCRYPTION STANDARD) — ст‡н‰‡т н‡ блочный шиф с симметичными ключ‡ми, и片нный Н‡цион‡льным Институтом Ст‡н‰‡то‚ и Техноло„ии (NIST) ‚ ‰ек‡бе 2001 „.

Истоиfl В 1997 „о‰у NIST н‡ч‡л иск‡ть з‡мену ‰лfl DES, кото‡fl был‡ н‡з‚‡н‡ Усо‚ешенст‚нным ст‡н‰‡том шифниfl (ADVANCED ENCRYPTION STANDARD или AES). В NIST-специфик‡циflх были з‡ложены тебниfl ‡зме‡ блок‡ из 128 бито‚ и тех ‡зличных ‡змео‚ ключей: 128, 192 и 256 бито‚. Специфик‡ции т‡кже тебли, чтобы AES был откытым ‡л„оитмом, публично ‰оступным ‚о ‚сем мие. Специфик‡ции ст‡н‰‡то‚ были объfl‚лены ‚о мно„их ст‡н‡х, чтобы з‡посить от‚еты у специ‡листо‚ и з‡интееснных лиц со ‚сех континенто‚. После Пе‚ой Конфеенции по ‚ыбоу К‡н‰и‰‡то‚ AES NIST объfl‚ил‡, что 15 из 21 полученных ‡л„оитмо‚ от‚еч‡ют пост‡‚ленным тебниflм и ‚ыб‡ны к‡к пе‚ые к‡н‰и‰‡ты (‡‚„уст 1998 „.). Ал„оитмы были пе‰ст‡‚лены от мно„их ст‡н; ‡знооб‡зие этих пе‰ложений ‰емонстило откытость поцесс‡ и уч‡стие ‚се„о ми‡. После Втоой Конфеенции по ‚ыбоу К‡н‰и‰‡т‡ AES, кото‡fl был‡ по‚е‰ен‡ ‚ Риме, NIST объfl‚ил‡ 5 из 15 из к‡н‰и‰‡то‚. Ал„оитмы MARS, RC6, Rijndael, Serpent и Twofish были ‚ыб‡ны к‡к фин‡листы (‡‚„уст 1999). После Тетей Конфеенции по ‚ыбоу К‡н‰и‰‡т‡ AES NIST объfl‚ил‡, что ‚ыб‡н ‡л„оитм Усо‚ешенст‚нно„о Ст‡н‰‡т‡ Шифниfl — Rijndael, споектинный бель„ийскими иссле‰о‚‡телflми Джоном Д‡еменом и Винсентом Ри‰жменом (октflбь 2000 „.). 215

Кус

Кипто„‡фиfl и безоп‡сность сетей

В фе‚‡ле 2001 „. NIST объfl‚ил, что эскиз Фе‰е‡льно„о Ст‡н‰‡т‡ об‡ботки Инфом‡ции (FIPS) ‰оступен ‰лfl общест‚енно„о ‡ссмотениfl и коммент‡ие‚. Н‡конец, AES был и片н к‡к FIPS 197 ‚ Фе‰е‡льном Ре„исте ‚ ‰ек‡бе 2001 „.

Китеии Китеии, опе‰еленные NIST ‰лfl ‚ыбо‡ AES, относflтсfl к тем обл‡стflм: безоп‡сность, стоимость и е‡лиз‡циfl. В конце концо‚ Rijndael был оценен ‚ со‚окупности к‡к лучший, от‚еч‡ющий этим китеиflм. Безоп‡сность Особое ‚ним‡ние у‰елflлось безоп‡сности. Поскольку NIST flсно потебл 128-бито‚ый ключ, этот китеий опе‰елflл то, что ‚ним‡ние об‡щ‡лось н‡ устойчи‚ость шиф‡ к ‰у„им ‡т‡к‡м кипто‡н‡лиз‡, нежели ‡т‡к‡ „убой силы. Стоимость Втоым китеием был‡ стоимость, кото‡fl 燉‡ет тебуемую ‚ычислительную эффекти‚ность и тебниfl ‰лfl ‡зличных е‡лиз‡ций, т‡ких, к‡к ‡пп‡‡тные се‰ст‚‡, по„‡ммное обеспечение или интеллекту‡льные к‡ты ‰оступ‡. Ре‡лиз‡циfl Этот китеий ‚ключ‡л тебние, что ‡л„оитм ‰олжен иметь „ибкость (‚озможность быть е‡лизнным н‡ любой пл‡тфоме) и постоту.

Р‡ун‰ы AES — шиф не-Ф‡йстелfl, котоый з‡шифо‚ы‚‡ет и ‡сшифо‚ы‚‡ет блок ‰‡нных 128 бито‚, используfl 10, 12 или 14 ‡ун‰о‚. Р‡зме ключ‡ может быть 128, 192 или 256 бито‚ и 燂исит от числ‡ ‡ун‰о‚. Рисунок 7.1 пок‡зы‚‡ет общую схему: ‡л„оитм шифниfl (н‡зы‚‡емо„о шифом); ‡л„оитм ‰ешифниfl (н‡зы‚‡емый об‡тным шифом), ‰лfl котоо„о пименflютсfl те же ключи, но ‚ об‡тном поfl‰ке. Н‡ ис. 7.1 Nr опе‰елflет число ‡ун‰о‚. Рисунок т‡кже пок‡зы‚‡ет отношение меж‰у числом ‡ун‰о‚ и ‡змеом ключ‡ — это озн‡ч‡ет, что мы имеем ти ‡зличных ‚есии AES; они обозн‡ч‡ютсfl к‡к AES-128, AES-192 и AES-256. О‰н‡ко ключи ‡у퉇, котоые со片ны ‡л„оитмом ‡сшиениfl ключей ‚с儉‡ 128 бит, имеют тот же с‡мый ‡зме, что и блоки з‡шифнно„о или исхо‰но„о текст‡. AES опе‰елил ти ‚есии, с 10, 12 и 14 ‡у퉇ми. ʇ扇fl ‚есиfl использует ‡зличный ‡зме ключ‡ шиф‡ (128, 192 или 256), но ключ ‡у퉇 — ‚с儉‡ 128 бит. Число ключей ‡у퉇, с„енеинных ‡л„оитмом ‡сшиениfl ключей, ‚с儉‡ н‡ о‰ин больше, чем число ‡ун‰о‚. Ду„ими слми, мы имеем число ключей ‡у퉇 = Nr + 1 216

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

Рис. 7.1. Общее постоение шифниfl AES-шиф‡ Мы обозн‡ч‡ем ключи ‡у퉇 к‡к K0, K1, K2..., KN.

Е‰иницы ‰‡нных AES использует пflть е‰иниц ‰лfl пе‰ст‡‚лениfl ‰‡нных: биты, б‡йты, сл, блоки и м‡сси‚ы состоflний. Бит — н‡именьш‡fl и элемент‡н‡fl е‰иниц‡; ‰у„ие е‰иницы мо„ут быть ‚ы‡жены ‚ темин‡х меньших е‰иниц Рисунок 7.2 пок‡зы‚‡ет е‰иницы неэлемент‡ных ‰‡нных: б‡йт, сло‚о, блок, м‡сси‚ состоflний (state). Бит В AES бит — ‰‚оичн‡fl циф‡ со зн‡чением 0 или 1. Мы используем сточные бук‚ы ‰лfl обозн‡чениfl бит. Б‡йт Б‡йт — „упп‡ из ‚осьми бито‚, кото‡fl может быть об‡бот‡н‡ к‡к е‰иный объект: м‡тиц‡ из о‰ной стоки (1 x 8) ‚осьми бито‚ или столбец м‡тицы (8x1) из ‚осьми бито‚. К‡ инфом‡циfl б‡йт‡ об‡б‡ты‚‡ютсfl к‡к м‡тиц‡ стоки, то биты ‚ст‡‚лflютсfl ‚ м‡тице сл傇 н‡п‡‚о. К‡ б‡йт об‡б‡ты‚‡етсfl к‡к м‡тиц‡ столбц‡, биты ‚ст‡‚лflютсfl ‚ м‡тице с‚еху ‚низ. Мы бу‰ем использть сточную «жиную» бук‚у (Bold) ‰лfl обозн‡чениfl б‡йт‡. 217

Кус

Кипто„‡фиfl и безоп‡сность сетей

Сло‚о Сло‚о — „упп‡ из 32 бито‚, кото‡fl может быть об‡бот‡н‡ к‡к е‰иный объект. Это м‡тиц‡ из стоки ‚ четые б‡йт‡ или столбец м‡тицы из четыех б‡йто‚. К‡ сло‚о об‡б‡ты‚‡етсfl к‡к м‡тиц‡-сток‡, б‡йты ‚ст‡‚лflютсfl сл傇 н‡п‡‚о. К‡ сло‚о пе‰ст‡‚лflетсfl м‡тицей-колонкой, б‡йты ‚ст‡‚лflютсfl с‚еху ‚низ. Мы бу‰ем использть сточную «жиную» бук‚у W ‰лfl обозн‡чениfl сл.

Рис.7.2. Е‰иницы ‰‡нных, используемых ‚ AES Блок AES з‡шифо‚ы‚‡ет и ‡сшифо‚ы‚‡ет блоки ‰‡нных. Блок ‚ AES — „упп‡ 128 бито‚. О‰н‡ко блок может быть пе‰ст‡‚лен к‡к м‡тиц‡-сток‡ из 16-ти б‡йто‚. М‡тиц‡ состоflний AES использует несколько ‡ун‰о‚, к‡ж‰ый ‡ун‰ состоит из несколько к‡сꇉо‚. Блок ‰‡нных пеоб‡зо‚ы‚‡етсfl от о‰но„о к‡сꇉ‡ к ‰у„ому. В н‡ч‡ле и ‚ конце шиф‡ AES пименflетсfl темин блок ‰‡нных; ‰о и после к‡ж‰о„о к‡сꇉ‡ блок ‰‡нных н‡зы‚‡етсfl м‡тицей состоflний. Мы используем «жиную» 燄뇂ную бук‚у, чтобы обозн‡чить эту м‡тицу. Хотfl м‡тиц‡ состоflний н‡ ‡зличных к‡сꇉ‡х обычно обозн‡ч‡етсfl S, мы ин‡ пименflем бук‚у T, чтобы обозн‡чить ‚еменную м‡тицу состоflний. М‡тицы состоflний, по‰обно блок‡м, состоflт из 16 б‡йто‚, но обычно об‡б‡ты‚‡ютсfl к‡к м‡тицы 4 × 4 б‡йто‚. В этом случ‡е к‡ж‰ый элемент м‡тицы состоflний обозн‡ч‡етсfl к‡к Sr,c, „‰е r (от 0 ‰о 3) опе‰елflет стоку и c (от 0 ‰о 3) опе‰елflет столбец. Ин‡ м‡тиц‡ состоflний об‡б‡ты‚‡етсfl к‡к м‡тиц‡-сток‡ сло‚ (1 × 4). Это имеет смысл, если мы пе‰ст‡‚лflем сло‚о к‡к м‡тицу-столбец. В н‡ч‡ле шиф‡ б‡йты ‚ блоке ‰‡нных ‚ст‡‚лflютсfl ‚ м‡тицу состоflний столбец з‡ столбцом, ‚ к‡ж‰ом столбце — с‚е218

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

ху ‚низ. В конце шиф‡ б‡йты ‚ м‡тице состоflний из‚лек‡ютсfl, к‡к это пок‡з‡но н‡ ис. 7.3.

Рис. 7.3. Пеоб‡зние блок – м‡тиц‡ состоflний и м‡тиц‡ состоflний — ‚ блок Пиме 7.1 Р‡ссмотим, к‡к можно изоб‡зить блок с 16 сим‚ол‡ми ‚ ‚и‰е м‡тицы 4 × 4. Пе‰положим, что тексто‚ый блок — «AES uses a matrix». Доᇂим ‰‚‡ фикти‚ных сим‚ол‡ ‚ конце и получим «AESUSESAMATRIXZZ». Тепеь мы з‡меним к‡ж‰ый сим‚ол целым числом меж‰у 00 и 25. Пе‰ст‡‚им к‡ж‰ый б‡йт к‡к целое число с ‰‚умfl шест퇉ц‡теичными циф‡ми. Н‡пиме, сим‚ол «S» сн‡ч‡л‡ поменflем н‡ 18, ‡ з‡тем з‡пишем ‚ шест퇉ц‡теичном изоб‡жении к‡к 12. М‡тиц‡ состоflний т‡ з‡полнflетсfl столбец з‡ столбцом, к‡к это пок‡з‡но н‡ ис. 7.4.

Рис. 7.4. Пеехо‰ шифнно„о текст‡ ‚ м‡тицу состоflний

Стукту‡ к‡ж‰о„о ‡у퉇 Рисунок 7.5 пок‡зы‚‡ет стуктуу к‡ж‰о„о ‡у퉇 н‡ стооне шифниfl. К‡ж‰ый ‡ун‰, коме после‰не„о, использует четые пеоб‡зниfl, котоые fl‚лflютсfl об‡тимыми. После‰ний ‡ун‰ имеет только ти пеоб‡зниfl. 219

Кус

Кипто„‡фиfl и безоп‡сность сетей

К‡к пок‡зы‚‡ет ис. 7.5, к‡ж‰ое пеоб‡зние пиним‡ет м‡тицу состоflний и со片ет ‰у„ую м‡тицу состоflний, кото‡fl пименflетсfl ‰лfl сле‰ующе„о пеоб‡зниfl или сле‰ующе„о ‡у퉇. Секциfl, п剂‡flющ‡fl ‡ун‰, использует только о‰но пеоб‡зние (AddRoundKey); после‰ний ‡ун‰ использует только ти пеоб‡зниfl (MixColumns — пеоб‡зние отсутст‚ует).

Рис. 7.5. Стукту‡ к‡ж‰о„о ‡у퉇 н‡ стооне шифниfl

7.2. Пеоб‡зниfl Чтобы обеспечить безоп‡сность, AES использует четые тип‡ пеоб‡зний: по‰ст‡но‚к‡, пеест‡но‚к‡, смеш肇ние и ‰оᇂление ключ‡. Ниже мы обсу‰им к‡ж‰ое.

По‰ст‡но‚к‡ AES по‰обно DES пименflет по‰ст‡но‚ку. О‰н‡ко этот мех‡низм имеет ‡зличиfl. Пе‚ое: по‰ст‡но‚к‡ ‰ел‡етсfl ‰лfl к‡ж‰о„о б‡йт‡. Втоое: ‰лfl пеоб‡з220

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

ниfl к‡ж‰о„о б‡йт‡ используетсfl только о‰н‡ т‡блиц‡ — это озн‡ч‡ет, что если ‰‚‡ б‡йт‡ о‰ин‡ко‚ы, то и езульт‡т пеоб‡зниfl о‰ин‡ко‚. Тетье: пеоб‡зние опе‰елflетсfl или поцессом поиск‡ ‚ т‡блице, или м‡тем‡тическим ‚ычислением ‚ GF(28) поле. AES ‡бот‡ет с ‰‚умfl об‡тимыми пеоб‡зниflми. SubBytes Пе‚ое пеоб‡зние, SubBytes, пименflетсfl н‡ стооне шифниfl. Чтобы пименить по‰ст‡но‚ку к б‡йту, мы интепетиуем б‡йт к‡к ‰‚е шест퇉ц‡теичные цифы. Л傇fl циф‡ опе‰елflет стоку, ‡ п‡‚‡fl — колонку ‚ т‡блице пеест‡но‚ки. Н‡ пеесечении стоки и колонки, обозн‡ченных этими шест퇉ц‡теичными циф‡ми, н‡хо‰итсfl но‚ый б‡йт. Рисунок 7.6 иллюстиует и‰ею.

Рис. 7.6. Пеоб‡зние SubByte В пеоб‡знии SubBytes состоflние об‡б‡ты‚‡етсfl к‡к м‡тиц‡ б‡йто‚ 4 × 4. В о‰ин момент по‚о‰итсfl пеоб‡зние о‰но„о б‡йт‡. Со‰еж‡ние к‡ж‰о„о б‡йт‡ изменflетсfl, но ‡сположение б‡йто‚ ‚ м‡тице ост‡етсfl тем же с‡мым. В поцессе пеоб‡зниfl к‡ж‰ый б‡йт пеоб‡зуетсfl не燂исимо от ‰у„их — это шест퇉ц‡ть личных пеоб‡зний б‡йт ‚ б‡йт. Опе‡циfl SubByte ‚ключ‡ет 16 не燂исимых пеоб‡зний б‡йт‡ ‚ б‡йт. Т‡блиц‡ 7.1 пок‡зы‚‡ет т‡блицу по‰ст‡но‚ки (S-блок) ‰лfl пеоб‡зниfl SubBytes. Пеоб‡зние обеспеч肇ет эффект пеемеш肇ниfl. Н‡пиме, ‰‚‡ б‡йт‡, 5A16 и 5B16, котоые отлич‡ютсfl только о‰ним битом (с‡мый п‡‚ый бит), пеоб‡зны ‚ BE16 и 3916, котоые отлич‡ютсfl четыьмfl бит‡ми. InvSubBytes InvSubBytes — ин‚есиfl SubBytes. Пеоб‡зние с‰ел‡но с использнием т‡блицы 7.2, и мы можем ле„ко по‚еить, что эти ‰‚‡ пеоб‡зниfl fl‚лflютсfl об‡тными ‰у„ ‰у„у. 221

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 7.1. Т‡блиц‡ пеоб‡зниfl SubBytes

Т‡блиц‡ 7.2. Т‡блиц‡ пеоб‡зниfl InvSubBytes

Пиме 7.2 Рисунок 7.7 пок‡зы‚‡ет, к‡к м‡тиц‡ состоflний пеоб‡зуетсfl с использнием SubBytes. Рисунок т‡кже пок‡зы‚‡ет, что InvSubBytes о‰нозн‡чно ‚оспоиз222

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

‚о‰ит ои„ин‡л. З‡метим, что если ‰‚‡ б‡йт‡ имеют о‰ин‡ко‚ое зн‡чение, то они пеоб‡зуютсfl о‰ин‡ко‚о. Н‡пиме, ‰‚‡ б‡йт‡ 0416 и 0416 ‚ ле‚ой м‡тице состоflний пеоб‡зуютсfl ‚ F216 и F216 ‚ п‡‚ой м‡тице состоflний и н‡обоот. Пичин‡ ‚ том, что к‡ж‰ый б‡йт использует о‰ну и ту же т‡блицу пеоб‡зний.

Рис. 7.7. Пеоб‡зние SubByte по пимеу 7.2 Пеоб‡зние с использнием полfl GF(28) Хотfl мы можем использть т‡блицы 7.1 и.7.2 ‰лfl пеест‡но‚ки к‡ж‰о„о б‡йт‡, AES ‰‡ет опе‰еление ‡л„еб‡ическим пеоб‡зниflм н‡ осно‚е полfl GF(28) с помощью непи‚о‰имых полиномо‚ (x8 + x4 + x3 + x + 1), к‡к это пок‡з‡но н‡ ис. 7.8. Пеоб‡зние SubByte по‚тоflет поцесс, н‡зы‚‡емый subbyte, шест퇉ц‡ть ‡з. Inv SubByte по‚тоflет поцесс, н‡зы‚‡емый invsubbyte. К‡ж‰ый ш‡„ пеоб‡зниfl об‡б‡ты‚‡ет о‰ин б‡йт. В поце‰уе subbyte б‡йт мультиплик‡ти‚н‡fl ин‚есиfl б‡йт‡ (‰‚оичной стоки н‡ 8 бито‚) н‡хо‰итсfl ‚ GF(28) с помощью непи‚о‰имо„о полином‡ по мо‰улю (x8 + x4 + x3+ x + 1). Об‡тите ‚ним‡ние, что б‡йт — 0016 с‡м fl‚лflетсfl собст‚енной ин‚есией. Ин‚етинный б‡йт з‡тем интепетиуетсfl к‡к м‡тиц‡-столбец с с‡мым м뇉шим битом 퇂еху и с‡мым ст‡шим битом ‚низу. Эт‡ м‡тиц‡-столбец умнож‡етсfl н‡ постоflнную ꂇ‰‡тную м‡тицу, X, и езульт‡т, котоый fl‚лflетсfl м‡тицей-столбцом, ск뇉ы‚‡етсfl с постоflнной м‡тицей столбц‡ y, что ‰‡ет но‚ый б‡йт. Об‡тите ‚ним‡ние, что умножение и сложение бито‚ поисхо‰ит ‚ GF(2). invsubbyte ‰ел‡ет те же ‰ейст‚иfl ‚ об‡тном поfl‰ке. После н‡хож‰ениfl б‡йт‡ ин‚есно„о сомножителfl поцесс похож н‡ ‡ффинное шифние, котоое мы обсу扇ли ‚ лекции 3. Пи шифнии умножение fl‚лflетсfl пе‚ой опе‡цией, сложение — ‚тоой. Пи ‰ешифнии ‚ычит‡ние (сложение ин‚есией) fl‚лflетсfl пе‚ым, ‡ ‰еление (умножение с ин‚есией) — ‚тоым. Мы можем ле„ко ‰ок‡з‡ть, что эти ‰‚‡ пеоб‡зниfl ин‚есны ‰у„ ‰у„у, потому что сложение или ‚ычит‡ние ‚ GF(2) — ф‡ктически опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ. subbyte: d = X (sr,c)-1 ⊕ y -1 invsubbyte: [X (d ⊕ y)-1 = [X-1 (X ((sr,c)-1 y ⊕ y]-1 = [(sr,c)-1]-1 = sr,c Пеоб‡зниfl SubBytes и InvSubBytes ин‚есны ‰у„ ‰у„у. 223

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 7.8. Поцессы SubBytes и InvBytes Пиме 7.3 Пок‡жем, к‡к б‡йт 0C пеоб‡зуетсfl ‚ FE с помощью поце‰уы subbyte и пеоб‡зуетсfl об‡тно ‚ 0C с помощью поцесс‡ invsubbyte. 1. subbyte a. Ин‚есный сомножитель ‚ поле GF(28) есть B0 или ‚ ‰‚оичном отоб‡жении b (1011 0000). b. Умнож‡fl н‡ м‡тицу X эту м‡тицу, имеем ‚ езульт‡те c = (10011101). c. Результ‡т пименениfl опе‡ции XOR (ИСКЛЮЧАЮЩЕЕ ИЛИ ) – d = (11111110) FE ‚ шест퇉ц‡теичном пе‰ст‡‚лении. 224

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

2. invsubbyte a. Результ‡т пименениfl опе‡ции XOR (ИСКЛЮЧАЮЩЕЕ ИЛИ) – c = (10011101) b. Результ‡т умножениfl н‡ м‡тицу X~1 – (11010000) или B0. c. Ин‚есиfl по умножению B0 – это 0C. Ал„оитм Хотfl н‡ исунке мы пок‡з‡ли м‡тицы, чтобы по‰чекнуть х‡‡кте по‰ст‡но‚ки (‡ффинное пеоб‡зние), ‡л„оитм не обflз‡тельно использует умножение и сложение м‡тиц, потому что большинст‚о элементо‚ ‚ постоflнной ꂇ‰‡тной м‡тице — только 0 или 1. Зн‡чение постоflнной м‡тицы столбц‡ — 0 × 63. Мы можем н‡пис‡ть постой ‡л„оитм, чтобы ‚ыполнить SubByte. Ал„оитм 7.1 ‚ызы‚‡ет поце‰уу subbyte 16 ‡з — о‰ин ‡з ‰лfl к‡ж‰о„о б‡йт‡ ‚ м‡тице состоflний. Поце‰у‡ ByteToMatrix пеоб‡зо‚ы‚‡ет б‡йт к м‡тицу-столбец 8 × 1. Поце‰у‡ MatrixToByte пеоб‡зо‚ы‚‡ет м‡тицу-столбец 8 × 1 к б‡йту. Р‡сшиение это„о ‡л„оитм‡ ‰лfl InvSubBytes ост‡‚лflем к‡к уп‡жнение. Нелинейность Хотfl умножение и сложение м‡тиц ‚ поце‰уе subbyte — пеоб‡зние ‡ффинно„о тип‡ и линейно, з‡мен‡ б‡йт‡ е„о мультиплик‡ти‚ной ин‚есией ‚ GF(28) — нелинейн‡fl. Этот ш‡„ ‰ел‡ет ‚се пеоб‡зние нелинейным.

Пеест‡но‚к‡ Ду„ое пеоб‡зние поиз‚о‰ит с‰‚и„ ‚ ‡ун‰е. Этот с‰‚и„ пеест‡‚лflет б‡йты. В отличие от DES, ‚ котоом ‰ел‡етсfl по‡зfl‰н‡fl пеест‡но‚к‡, пеоб‡зние с‰‚脇 ‰ел‡етсfl н‡ уо‚не б‡йт‡; поfl‰ок бито‚ ‚ б‡йте не менflетсfl. Ал„оитм 7.1. По„‡мм‡ н‡ пс傉око‰е ‰лfl пеоб‡зниfl SubBytes SubBytes (S) { for (r = 0 to 3) (c = 0 to 3) Sr,c=subbyte(Sr,c) } subbyte (byte) { a ← byte-1 //Mult¥pl¥cat¥ve ¥nverse ¥n GF(28 ) w¥th ¥nverse ByteToMatr¥x (a,b) //of 00 to be 00 For (¥= 0 to7) { c¥ ← b¥ ⊕ b(¥+4)mod8 ⊕ b(¥+5)mod8 ⊕ b(¥+6)mod8 ⊕ b(¥+7)mod8 d¥ ← c¥ ⊕ ByteToMatr¥x (0 × 63) } Matr¥xToByte (d,d) byte ← d } 225

Кус

Кипто„‡фиfl и безоп‡сность сетей

ShiftRows Пи шифнии пименflетсfl пеоб‡зние, н‡зы‚‡емое ShiftRows, со смещением ‚ле‚о. Число с‰‚и„о‚ з‡‚исит от номе‡ стоки (0, 1, 2 или 3) м‡тицы состоflний. Это озн‡ч‡ет, что сток‡ 0 не с‰‚脇етсfl и после‰нflfl сток‡ с‰‚脇етсfl н‡ ти б‡йт‡. Рисунок 7.9 пок‡зы‚‡ет пеоб‡зние смещениfl.

Рис. 7.9. Пеоб‡зние ShiftRows Об‡тите ‚ним‡ние, что пеоб‡зние ShiftRows ‡бот‡ет о‰но‚еменно только с о‰ной стокой. InvShiftRows Пи ‰ешифнии пименflетсfl пеоб‡зние, н‡зы‚‡емое InvShiftRows, со смещением ‚п‡‚о. Число с‰‚и„о‚ ‡‚но номеу стоки (0, 1, 2 и 3) ‚ м‡тицы состоflний. ShiftRows- и InvShiftRows-пеоб‡зниfl ин‚есны ‰у„ ‰у„у. Ал„оитм Ал„оитм 7.2 ‰лfl пеоб‡зниfl ShiftRows очень пост. О‰н‡ко чтобы по‰чекнуть, что пеоб‡зние ‰ел‡етсfl о‰но‚еменно только с о‰ной стоАл„оитм 7.2. По„‡мм‡ н‡ пс傉око‰е ‰лfl пеоб‡зниfl ShiftRows { for (r = 1 to 3) sh¥ftrow (Sr, r) sh¥ftrow (row, n)

// sr r-т‡fl сток‡}

// n – число б‡йто‚, н‡ котоое ‰олжен быть с‰ел‡н с‰‚и„

{ CopyRow (row, t) for (c = 0 to 3) for (c = 0 to 3) row (c-n) mod4 ← tc }

226

//t – ‚еменн‡fl сток‡

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

кой, мы используем поце‰уу, н‡зы‚‡емую shiftrow, кото‡fl с‰‚脇ет б‡йт ‚ е‰инст‚енной стоке. Мы ‚ызы‚‡ем эту поце‰уу ти ‡з‡. Поце‰у‡ shiftrow сн‡ч‡л‡ копиует стоку ‚о ‚еменную м‡тицу стоки (м‡тиц‡ t), ‡ потом с‰‚脇ет стоку. Пиме 7.4 Рисунок 7.10 пок‡зы‚‡ет, к‡к, используfl пеоб‡зние ShiftRows, пеоб‡зуетсfl м‡тиц‡ состоflний. Рисунок т‡кже иллюстиует, к‡к пеоб‡зние InvShiftRows со片ет пе‚он‡ч‡льную м‡тицу состоflний.

Рис. 7.10 Пиме пеоб‡зниfl ShiftRow ‚ пимее 7.4

Смеш肇ние По‰ст‡но‚к‡, кото‡fl ‰ел‡етсfl пеоб‡знием SubByte, изменflет зн‡чение б‡йт‡, осннное только н‡ пе‚он‡ч‡льном зн‡чении и ‚хо‰е ‚ т‡блице; поцесс не ‚ключ‡ет сосе‰ние б‡йты. Мы можем ск‡з‡ть, что SubByte — ‚нутиб‡йто‚ое пеоб‡зние. Пеест‡но‚к‡, кото‡fl ‰ел‡етсfl ShiftRows-пеоб‡знием, обмен肇ет мест‡ми б‡йты, не пеест‡‚лflfl биты ‚ б‡йт‡х. Мы можем ск‡з‡ть, что ShiftRows — пеоб‡зние обмен‡ б‡йт‡ми. Тепеь н‡м нужно ‚нутиб‡йто‚ое пеоб‡зние, изменflющее биты ‚ б‡йте и осннное н‡ бит‡х ‚ сосе‰них б‡йт‡х. Мы ‰олжны смеш‡ть б‡йты, чтобы обеспечить ‡ссе肇ние н‡ ‡зfl‰ном уо‚не. Пеоб‡зние смеш肇ниfl изменflет со‰еж‡ние к‡ж‰о„о б‡йт‡, пеоб‡зо‚ы‚‡fl четые б‡йт‡ о‰но‚еменно и объе‰инflfl их, чтобы получить четые но‚ых б‡йт‡. Чтобы „‡‡нтить, что к‡ж‰ый но‚ый б‡йт бу‰ет отлич‡тьсfl от ‰у„о„о (‰‡же если ‚се четые б‡йт‡ те же с‡мые), поцесс сн‡ч‡л‡ умнож‡ет к‡ж‰ый б‡йт н‡ ‡зличный н‡бо конст‡нт и з‡тем смеш肇ет их. Смеш肇ние может быть обеспечено м‡тичным умножением. К‡к мы обсу扇ли ‚ лекции 2, к‡ мы умнож‡ем ꂇ‰‡тную м‡тицу н‡ м‡тицу-столбец, езульт‡т — нfl м‡тиц‡-столбец. После то„о к‡к м‡тиц‡ умножен‡ н‡ зн‡чениfl стоки ‚ м‡тице конст‡нт, к‡ж‰ый элемент ‚ но‚ой м‡тице 燂исит от ‚сех четыех элементо‚ ст‡ой м‡тицы. Рисунок 7.11 иллюстиует эту и‰ею. AES опе‰елflет пеоб‡зние, н‡зы‚‡емое MixColumns. Длfl пименениfl т‡ко„о пеоб‡зниfl ‚‚о‰итсfl т‡кже об‡тное пеоб‡зние, н‡зы‚‡емое InvMixColumns. Рисунок 7.12 пок‡зы‚‡ет м‡тицу конст‡нт, используемую ‰лfl 227

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 7.11. Смеш肇ние б‡йто‚ с использнием смеш肇ющей м‡тицы этих пеоб‡зний. Эти ‰‚е м‡тицы ин‚есны ‰у„ ‰у„у, к‡ элементы интепетиуютсfl к‡к сл из 8-ми бито‚ (или полиномы) с коэффициент‡ми ‚ GF (28). Док‡з‡тельст‚о мы ост‡‚лflем к‡к уп‡жнение.

Рис. 7.12. М‡тиц‡ конст‡нт, используем‡fl MixColumns и InvMixColumns MixColumns Пеоб‡зние MixColumns ‡бот‡ет н‡ уо‚не столбц‡; оно пеоб‡зо‚ы‚‡ет к‡ж‰ый столбец м‡тицы состоflний ‚ но‚ый столбец. Это пеоб‡зние — ф‡ктически м‡тичное умножение столбц‡ м‡тицы состоflний и ꂇ‰‡тной м‡тицы конст‡нт. Б‡йты ‚ столбце м‡тицы состоflний и ‚ м‡тице конст‡нт интепетиуютсfl к‡к сл по 8 бито‚ (или полиномы) с коэффициент‡ми ‚ GF (2). Умножение б‡йто‚ ‚ыполнflетсfl ‚ GF(28) по мо‰улю (10001101) или (x8 + x4 + x3 + x + 1). Сложение — это пименение опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ (XOR) к слм по 8 бит. Рисунок 7.13 пок‡зы‚‡ет пеоб‡зние MixColumns. InvMixColumns Пеоб‡зние InvMixColumns похоже н‡ MixColumns-пеоб‡зние. Если ‰‚е м‡тицы конст‡нт ин‚есны ‰у„ ‰у„у, то ле„ко ‰ок‡з‡ть, что эти ‰‚‡ пеоб‡зниfl т‡кже ин‚есны ‰у„ ‰у„у. Пеоб‡зниfl MixColumns и InvMixColumns ин‚есны ‰у„ ‰у„у. Ал„оитм Ал„оитм 7.3. — по„‡мм‡ ‰лfl пеоб‡зниfl MixColumns. 228

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

Рис. 7.13. Пеоб‡зние MixColumns

Ал„оитм 7.3. По„‡мм‡ н‡ пс傉око‰е ‰лfl пеоб‡зниfl MixColumns M¥xColumns (S) { for (c = 0 to 3) m¥xcolumn (sc) } m¥xcolumn (col) { CopyColumn (col, t) col0 col1 col2 col3

← ← ← ←

//t ¥s a temporary column

(0x02)• t0 ⊕ (0x03)• t1 ⊕ t2 ⊕ t3 t0 ⊕ (0x02)• t1 ⊕ (0x03)• t2 ⊕ t3 t0 ⊕ t1 ⊕ (0 × 02)• t2 ⊕ (0x03)• t3 (0x03)• t0) ⊕ t1 ⊕ t2 ⊕ (0x02) • t3

}

Ал„оитмы MixColumns и InvMixColumns ‚ключ‡ют умножение и сложение ‚ поле GF(28). К‡к мы ‚и‰ели ‚ лекции 4, есть постой и эффекти‚ный ‡л„оитм ‰лfl умножениfl и сложениfl ‚ этом поле. О‰н‡ко чтобы пок‡з‡ть х‡‡кте ‡л„оитм‡ (пеоб‡зние о‰но„о столбц‡ о‰но‚еменно), мы используем поце‰уу, н‡зы‚‡емую mixcolumn. Он‡ может быть ‚ыз‚‡н‡ ‡л„оитмом четые ‡з‡. Поце‰у‡ mixcolumn посто умнож‡ет стоки м‡тицы конст‡нт н‡ столбец ‚ м‡тицы состоflний. В ‚ышеупомflнутом ‡л„оитме опе‡то (•), используемый ‚ поце‰уе mixcolumn, — умножение ‚ поле GF(28). Оно может быть з‡менено постой поце‰уой, к‡к это уже ‡ссм‡т肇лось ‚ лекции 4. По„‡мму ‰лfl InvMixColumns ост‡‚лflем к‡к уп‡жнение. 229

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 7.5 Рисунок 7.14 пок‡зы‚‡ет, к‡к м‡тиц‡ состоflний пеоб‡зуетсfl, используfl пеоб‡зние MixColumns. Рисунок т‡кже пок‡зы‚‡ет, что пеоб‡зние InvMixColumns со片ет пе‚он‡ч‡льный текст.

Рис. 7.14. Пеоб‡зние MixColumns [‚ пимее 7.5.] Об‡тите ‚ним‡ние, что б‡йты, котоые ‡‚ны меж‰у собой ‚ ст‡ой м‡тице состоflний, больше не ‡‚ны ‚ но‚ой м‡тице состоflний. Н‡пиме, ‰‚‡ б‡йт‡ F2 ‚о ‚тоой стоке изменены н‡ CF и 0D.

Доᇂление ключей Веоflтно, с‡мое ‚‡жное пеоб‡зние — это пеоб‡зние, котоое ‚ключ‡ет ключ шиф‡, Все пе‰ы‰ущие пеоб‡зниfl используют из‚естные ‡л„оитмы, котоые fl‚лflютсfl об‡тимыми. Если не ‰оᇂлflть ключе‚ой шиф ‚ к‡ж‰ом ‡ун‰е, поти‚ник очень посто н‡й‰ет исхо‰ный текст по ‰‡нному ему з‡шифнному тексту. В этом случ‡е х‡нитель т‡йны Алисы и Боб‡ — о‰ине‰инст‚енный ключ шиф‡. AES использует поцесс, н‡з‚‡нный ключе‚ым ‡сшиением (мы е„о обсу‰им позже), котоый из ключ‡ шиф‡ со片ет Nr+1 ключей ‡у퉇. К‡ж‰ые ключи ‡у퉇 — 128-бито‚ой ‰лины, и об‡б‡ты‚‡ютсfl они к‡к четые сл по 32 бит‡. Длfl ‰оᇂлениfl ключ‡ к м‡тице состоflний к‡ж‰ое сло‚о ‡ссм‡т肇етсfl к‡к м‡тиц‡-столбец. AddRoundKey AddRoundKey об‡б‡ты‚‡ет ‚ о‰ин момент ‚емени о‰ин столбец. Он по‰обен MixColumns. MixColumns умнож‡ет ꂇ‰‡тную м‡тицу конст‡нт н‡ к‡ж‰ый столбец м‡тицы состоflний. AddRoundKey ск뇉ы‚‡ет ключе‚ое сло‚о ‡у퉇 с к‡ж‰ым столбцом м‡тицы состоflний. В MixColumns пименflетсfl м‡тичное умножение; ‚ AddRoundKey — опе‡ции сложениfl и ‚ычит‡ниfl. Т‡к к‡к сложение и ‚ычит‡ние ‚ этом поле о‰ни и те же, AddRoundKey ин‚есен с‡м себе. Рисунок 7.15 пок‡зы‚‡ет пеоб‡зние AddRoundKey. Пеоб‡зние AddRoundKey ин‚есно с‡мо себе. 230

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

Ал„оитм Пеоб‡зние AddRoundKey может быть пе‰ст‡‚лено к‡к опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ (XOR) к‡ж‰ой колонки м‡тицы состоflний с соот‚етст‚ующим ключе‚ым сло‚ом. Мы еще бу‰ем обсу扇ть, к‡к ‡сшиflетсfl ключ шифниfl ‚о множест‚е ключе‚ых сло‚, но ‚ ‰‡нном случ‡е мы опе‰елим пеоб‡зние, к‡к это пок‡з‡но ‚ ‡л„оитме 7.4. З‡метим, что sc и wround +4c м‡тицы — колонки 4 × 1.

Рис. 7.15. Пеоб‡зние AddRoundKey

Ал„оитм 7.4. Пеоб‡зние AddRoundKey AddRoundKey (S) { for (c = 0 to 3) sc ← sc ⊕ wround +4c }

Н‡помним, что опе‡то ⊕ з‰есь озн‡ч‡ет опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ (XOR) ‰лfl ‰‚ух колонок м‡тицы, к‡ж‰‡fl из 4-х б‡йт. По‰обный ‡збо этой постой поце‰уы ост‡‚им ‰лfl уп‡жнений.

7.3. Р‡сшиение ключей Длfl то„о чтобы со片ть ключ ‰лfl к‡ж‰о„о ‡у퉇, AES использует поцесс ключе‚о„о ‡сшиениfl. Если номе ‡у퉇 — Nr, поце‰у‡ ‡сшиениfl ключей со片ет Nr+1 ключ ‡у퉇 н‡ 128 бит от е‰инст‚енно„о 128-бито‚о„о ключ‡ шиф‡. Пе‚ые ключи ‡у퉇 используютсfl ‰лfl пеоб‡зниfl пее‰ ‡ун‰ом (AddRoundKey); ост‡ющиесfl ключи ‡у퉇 пименflютсfl ‰лfl после‰не„о пеоб‡зниfl (AddRoundKey) ‚ конце к‡ж‰о„о ‡у퉇. 231

Кус

Кипто„‡фиfl и безоп‡сность сетей

Поце‰у‡ ‡сшиениfl ключей со片ет сло‚о з‡ сло‚ом ключи ‡у퉇, „‰е сло‚о — м‡сси‚ из четыех б‡йто‚. Результ‡том бу‰ут 4 × (Nr +1) сл, котоые обозн‡ч‡ютсfl w0, w1, w2..., w4 (Nr +1) – 1 Ду„ими слми, ‚ ‚есии AES-128 (10 ‡ун‰о‚) имеютсfl 44 сл; ‚ AES192 ‚есии (12 ‡ун‰о‚), есть 52 сл; и ‚ AES 256 ‚есий (с 14 ‡у퉇ми) есть 60 сло‚. К‡ж‰ый ключ ‡у퉇 состоит из четыех сло‚. Т‡блиц‡ 7.3 пок‡зы‚‡ет отношениfl меж‰у ‡у퉇ми и слми. Т‡блиц‡ 7.3. Сл ‰лfl к‡ж‰о„о ‡у퉇 Р‡ун‰ 1 2 …….. Nr

Сл w0 w4 …….. w4Nr

w1 w5

w2 w6

w3 w7

w4Nr+1

w4Nr+2

w4Nr+3

Р‡сшиение ключей ‚ AES-128 Посмотим, к‡к со片ютсfl ключи ‚ ‚есии AES-128; поцессы ‰лfl ‰у„их ‰‚ух ‚есий з‡ исключением небольших изменений — те же с‡мые. Рисунок 7.16 пок‡зы‚‡ет, к‡к из исхо‰но„о ключ‡ получить 44 сл.

Рис. 7.16. Р‡сшиение ключей ‚ AES 232

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

Поцесс — сле‰ующий. 1. Пе‚ые четые сл (W0,W1,W2,W3) получены из ключ‡ шиф‡. Ключ шиф‡ пе‰ст‡‚лен к‡к м‡сси‚ из 16 б‡йто‚ (k0 ‰о k15). Пе‚ые четые б‡йт‡ (k0 ‰о k3) ст‡но‚flтсfl W0; сле‰ующие четые б‡йт‡ (k4 ‰о k7) ст‡но‚flтсfl w1; и т‡к ‰‡лее. Ду„ими слми, после‰о‚‡тельное сое‰инение (конк‡тен‡циfl) сло‚ ‚ этой „уппе копиует ключ шиф‡. 2. Ост‡льн‡fl ч‡сть сло‚ (wi) от i = 4 – 43 получ‡етсfl сле‰ующим об‡зом: a. если (i mod 4) ≠ 0, wi = wi–1 ⊕ wi–4, то со„л‡сно исунку 7.16 это озн‡ч‡ет, что к‡ж‰ое сло‚о получено из о‰но„о ле‚о„о и о‰но„о ‚ехне„о; b. если (i mod 4) = 0, wi = t ⊕ wi–4. З‰есь t — ‚еменное сло‚о, езульт‡т пименениfl ‰‚ух поцессо‚, subword и rotword, со сло‚ом wi-1 и пименениfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ c конст‡нтой ‡у퉇 Rcon. Ду„ими слми, мы имеем t = SubWord(Rotword (wi-1)) ⊕ RCon i/4. RotWord RotWord (rotate word) — поце‰у‡, по‰обн‡fl пеоб‡знию ShiftRows, но пименflетсfl только к о‰ной стоке. Поце‰у‡ пиним‡ет сло‚о к‡к м‡сси‚ из четыех б‡йт и с‰‚脇ет к‡ж‰ый б‡йт ‚ле‚о с кон‚етинием. SubWord SubWord (substitute word) — поце‰у‡, по‰обн‡fl пеоб‡знию SubBytes, но пименflетсfl только к о‰ной стоке. Поце‰у‡ пиним‡ет к‡ж‰ый б‡йт ‚ сло‚е и з‡менflет е„о ‰у„им. RoundConstants ʇ扇fl конст‡нт‡ ‡у퉇 RCon — это 4-б‡йто‚ое зн‡чение, ‚ котоом с‡мые п‡‚ые ти б‡йт‡ fl‚лflютсfl ‚с儉‡ нуле‚ыми. Т‡блиц‡ 7.4 пок‡зы‚‡ет зн‡чениfl ‰лfl ‚есии AES-128 (с 10 ‡у퉇ми). Т‡блиц‡ 7.4. Конст‡нты RCon Р‡ун‰ 1 2 3 4 5

Конст‡нт‡ (RCon) (01 00 00 00)16 (02 00 00 00) 16 (04 00 00 00) 16 (08 00 00 00) 16 (10 00 00 00) 16

Round 6 7 8 9 10

Конст‡нт‡ (RCon) (20 00 00 00) 16 (40 00 00 00) 16 (80 00 00 00) 16 (1B 00 00 00)16 (36 00 00 00) 16

Поце‰у‡ ‡сшиениfl ключей может использть либо пи‚е‰енную ‚ыше т‡блицу, к‡ ‚ычислflет сл, либо поле GF(28), к‡ ‚ычислflет к‡йние ле‚ые биты ‰ин‡мически, к‡к это пок‡з‡но ниже. RC1 → x1-1 RC2 → x2-1

=x0 =x1

mod prime mod prime

=1 =x 233

→ 00000001 → 00000010

→ 0116 → 0216

Кус

Кипто„‡фиfl и безоп‡сность сетей

RC3 → x3-1 RC4 → x 4-1 RC5 → x5-1 RC6 → x 6-1 RC7 → x7-1 RC8 → x 8-1 RC9 → x 9-1 RC10 → x10-1

= x2 = x3 = x4 = x5 = x6 = x7 = x8 = x9

mod prime mod prime mod prime mod prime mod prime mod prime mod prime mod prime

= x2 = x3 = x4 = x5 = x6 = x7 = x4+ x3+ x+1 = x5+ x4+ x2+ x

→ 00000100 → 00001000 → 00010000 → 0100000 → 01000000 → 10000000 → 00011011 → 00110110

→ 0416 → 0816 → 1016 → 2016 → 4016, → 8016 → 1B16 → 3616

К‡йний ле‚ый б‡йт, котоый обозн‡чен RCi — это xi-1, „‰е i — номе ‡у퉇. AES использует непи‚о‰имый полином (x8 + x4 + x3 + x +1). Ал„оитм Ал„оитм 7.5 — постой ‡л„оитм ‰лfl поце‰уы ‡сшиениfl ключ‡ (‚есиfl AES-128). Ал„оитм 7.5. По„‡мм‡ н‡ пс傉око‰е ‰лfl ‡сшиениfl ключей ‚ AES128 KeyExpans¥on ([key0 to key15], [w 0 to w43] { for (¥ = 0 to 3) w¥ ← key4¥, + key4¥+1 + key4¥+2 + key4¥+3 for (¥ = 4 to 43) { ¥f (¥ mod 4 ≠ 0) w¥ ← w¥-1 + w ¥-4 else { t ← SubWord (RotWord (w¥-1)) ⊕ RCon¥/4 w¥ ← t + w¥-4 } } }

// t ¥s a temporary word

Пиме 7.6 Т‡блиц‡ 7.5 пок‡зы‚‡ет, к‡к ‚ычислflютсfl ключи ‰лfl к‡ж‰о„о ‡у퉇. Пе‰по뇄‡етсfl, что меж‰у Алисой и Бобом со„л‡сн ключ шиф‡ н‡ 128 бито‚ — (24 75 A2 B3 34 75 56 88 31 E2 12 00 13 AA 54 87)16. Т‡блиц‡ 7.5. Пиме ‡сшиениfl ключей Р‡ун‰ Зн‡чениfl t Пе‚ое сло‚о ‚ ‡ун‰е

Втоое сло‚о ‚ ‡ун‰е

Тетье сло‚о ‚ ‡ун‰е

Чет‚етое сло‚о ‚ ‡ун‰е

–

w00=2475A2B3

w01=34755688

w02=31E21200

w03=13AA5487

w04=8955B5CE

w05=BD20E346

w06=8CC2F146

w07=9F68A5C1

1

AD20177D

234

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

2

470678DB

w08=CE53CD15 w09=73732E53

w10=FFB1DF15 w11=60D97AD4

3

31DA48DO

w12= FF8985C5

w13=8CFAAB96

w14=734B7483

w15=2475A2B3

4

47AB5B7D

w16=B822DEB8

w17=34D8752E

W18=479301AD

w19=54010FFA

5

6C762D20

w20= D454F398

w21= E08C86B6

w22= A71F871B

w23= F31E88E1

6

52C4F80D

w24=86900B95

w25=661C8D23

w26= C1030A38

w27=321D82D9

7

E4133523

w28=62833EB6

w29=049FB395

w30 C59CB9AD

w31= F7813B74

8

8CE29268

w32=EE61ACDE w33=EAFE1F4B

w34=2F62A6E6

w35=D8E39D92

9

OA5E4F61

w36= E43FE3BF w37=OEC1FCF4

w38=21A35A12

w39= F940C780

10

3PC6CD99

w40= DBF92E26 w41=D538D2D2

w42=F49B88CO w43=ODDB4F40

В к‡ж‰ом ‡ун‰е ‚ычисление после‰них тех сло‚ очень посто: мы ‰олжны сн‡ч‡л‡ ‚ычислить зн‡чение ‚еменно„о сл (t). Н‡пиме, пе‚ое t (‰лfl ‡у퉇 1) ‚ычислено к‡к RotWord (13AA5487) = AA548713 → SubWord (AA548713)= AC20177D t=AC20177D ⊕ Rcon1=AC20 17 7D ⊕ 0100000016 = AD20177D Пиме 7.7 К‡ж‰ый ключ ‡у퉇 ‚ AES 燂исит от пе‰ы‰ущих ключей ‡у퉇. З‡‚исимость, о‰н‡ко, нелинейн‡fl из-з‡ пеоб‡зниfl SubWord. Сложение конст‡нт ‡у퉇 т‡кже „‡‡нтиует, что к‡ж‰ый ключ ‡у퉇 бу‰ет отлич‡тьсfl от пе‰ы‰уще„о. Пиме 7.8

235

Кус

Кипто„‡фиfl и безоп‡сность сетей

Д‚‡ множест‚‡ ключей ‡у퉇 мо„ут быть со片ны от ‰‚ух шифоключей, котоые ‡злич‡ютсfl только ‚ о‰ном бите. Cipher Key 1: 12 45 A2 A1 23 31 A4 A3 B2 CC AA34 C2BB 77 23 Cipher Key 2: 12 45 A2 A1 23 31 A4 A3 B2 CC AB34 C2 BB 77 23 К‡к пок‡зы‚‡ет т‡блиц‡ 7.6, имеютсfl сущест‚енные ‡зности меж‰у ‰‚умfl соот‚етст‚ующими ключ‡ми ‡у퉇. R озн‡ч‡ет «‡у퉻, B и D озн‡ч‡ют ‡зность бито‚. Т‡блиц‡ 7.6. С‡‚нение ‰‚ух множест‚ ключей ‡у퉇 Пиме 7.9 Понflтие сл‡бых ключей, котоое мы обсу扇ли ‰лfl DES ‚ лекции 6, не пименимо к AES. Пе‰положим, что ‚се биты ‚ ключе шиф‡ — нули. Ниже ‰лfl это„о случ‡fl пок‡з‡ны сл ‰лfl некотоых ‡ун‰о‚: Пее‰ ‡ун‰ом: Round 01: Round 02: Round 03: …….. Round 10:

00000000 62636363 9B9898C9 90973450 …….. B4EF5BCB

00000000 62636363 F9FBFBAA 696CCFFA …….. 3E92E211

00000000 62636363 9B9898C9 F2F45733 …….. 23E951CF

00000000 62636363 F9FBFBAA OBOFAC99 …….. 6F8F188E

Все сл пее‰ ‡ун‰ом и ‚ пе‚ом ‡ун‰е ‡‚ны меж‰у собой. Во ‚тоом ‡ун‰е пе‚ое сло‚о соот‚етст‚ует тетьему; ‚тоое сло‚о соот‚етст‚ует чет‚етому. О‰н‡ко после ‚тоо„о ‡у퉇 со‚ений нет; ‚се сл ‡зличны.

Р‡сшиение ключ‡ ‚ AES-192 и AES-256 Ал„оитмы ‡сшиениfl ключей ‚ AES-192 и AES-256 очень похожи н‡ ‡л„оитм ‡сшиениfl ключ‡ ‚ AES-128, со сле‰ующими отличиflми. 1. В AES-192 сл с„енеины ‚ „уппы по шесть ‚место четыех. a. Ключ шиф‡ со片ет пе‚ые шесть сло‚ (w0 к w 5). b. Если i mod 6 ≠ 0, то wi, ← wi-1 + wi-6; ин‡че wi, ← t + wi-6. 2. В AES-256 сл с„енеины ‚ „уппы по ‚осемь ‚место четыех. a. Ключ шиф‡ со片ет пе‚ые ‚осемь сло‚ (w 0 ‰о w7). b. Если i mod 8 ≠ 0, то wi ← wi-1 + wi-8; ин‡че, wi ← t + wi-8. c. Если i mod 4=0, но i mod 8 ≠ 0, то wi = Subword (wi-1) + wi-8.

Ан‡лиз ‡сшиениfl ключ‡ Мех‡низм ‡сшиениfl ключ‡ ‚ AES был ‡з‡бот‡н т‡к, чтобы обеспечить несколько с‚ойст‚, котоые сы‚‡ют ‰ейст‚иfl кипто‡н‡литик‡ по ‡скытию сообщениfl. 236

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

1. Д‡же если Е‚‡ зн‡ет только ч‡сть ключ‡ шиф‡ или зн‡чениfl сло‚ ‚ некотоом ключе‚ом ‡ун‰е, это„о не‰ост‡точно: он‡ еще ‰олжн‡ н‡йти ост‡льную ч‡сть ключ‡ шиф‡, пеж‰е чем сможет н‡йти ключи ‚сех ‡ун‰о‚. Это обеспеч肇етсfl нелинейностью поцесс‡ ‡сшиениfl ключ‡, полученной с помощью пеоб‡зниfl SubWord. 2. Д‚‡ ‡зличных ключ‡ шиф‡, не燂исимо от то„о, к‡к они соотносflтсfl ‰у„ с ‰у„ом, поиз‚о‰flт ‰‚‡ ‡сшиениfl, котоые отлич‡ютсfl по к‡йней мее ‚ нескольких ‡у퉇х. 3. К‡ж‰ый бит ключ‡ шиф‡ изменflетсfl ‚ нескольких ‡ун‰о‚. Н‡пиме, изменение е‰инст‚енно„о бит‡ ‚ ключе шиф‡ изменflет некотоые биты ‚ нескольких ‡у퉇х. 4. Использние конст‡нт, RCons, у‰‡лflет любую симметию, кото‡fl может быть соз‰‡н‡ ‰у„ими пеоб‡зниflми. 5. В отличие от DES ‚ AES отсутст‚уют любые сл‡бые ключи.

Рис. 7.17. Шиф и об‡тный шиф н‡ч‡льно„о поект‡ 237

Кус

Кипто„‡фиfl и безоп‡сность сетей

6. Поцесс ‡сшиениfl ключ‡ может быть ле„ко е‡лизн н‡ ‚сех пл‡тфом‡х. 7. Поце‰у‡ ‡сшиениfl ключ‡ может быть е‡лизо‚‡н‡ без пименениfl от‰ельных т‡блиц; ‚ычислениfl мо„ут быть с‰ел‡ны с использнием полей GF(2 8) и FG(2).

7.4. Шифы Тепеь посмотим, к‡к AES использует четые тип‡ пеоб‡зний ‰лfl шифниfl и ‰ешифниfl. В ст‡н‰‡те ‡л„оитм шифниfl упомин‡етсfl к‡к шиф и ‡л„оитм ‰ешифниfl — к‡к об‡тный шиф. К‡к мы упомин‡ли пеж‰е, ADVANCED ENCRYPTION STANDARD — шиф не-Ф‡йстелfl, ‡ это озн‡ч‡ет, что к‡ж‰ое пеоб‡зние или „упп‡ пеоб‡зний ‰олжны быть об‡тимыми. Коме то„о, шиф и об‡тный шиф ‰олжны использть эти опе‡ции т‡ким способом, чтобы они отменflли ‰у„ ‰у„‡. Ключи ‡у퉇 ‰олжны пименflтьсfl ‚ об‡тном поfl‰ке. Ниже пи‚е‰ены ‰‚‡ ‡зличных поект‡, котоые мо„ут быть использны ‰лfl ‡зличных е‡лиз‡ций. Мы обсу‰им об‡ поект‡ ‰лfl AES-128; ‰лfl ‰у„их ‚есий пименflютсfl те же с‡мые поекты.

Пе‚он‡ч‡льный поект В пе‚он‡ч‡льном поекте поfl‰ок пеоб‡зний ‚ к‡ж‰ом ‡ун‰е ‚ шифе и об‡тном шифе не со‚‡ет. Рисунок 7.17 пок‡зы‚‡ет эту ‚есию. Во-пе‚ых, ‚ об‡тном шифе изменflетсfl поfl‰ок сле‰о‚‡ниfl SubBytes (InvSubBytes) и ShiftRows (InvShiftRows). Во-‚тоых, ‚ об‡тном шифе изменен поfl‰ок ‚ыполнениfl MixColumns и AddRoundKey. Эти изменениfl ‚ поfl‰ке необхо‰имы, чтобы ‚ об‡тном шифе с‰ел‡ть поfl‰ок ‡боты об‡тных пеоб‡зний ин‚есным по отношению к пflмому шифу. Сле‰о‚‡тельно, ‡л„оитм ‰ешифниfl ‚ целом — ин‚есиfl ‡л„оитм‡ шифниfl. Мы пок‡з‡ли только ти ‡у퉇, но ост‡льные имеют ‡н‡ло„ичный ‚и‰. Об‡тите ‚ним‡ние, что ключи ‡у퉇 используютсfl ‚ измененном поfl‰ке. Об‡тите т‡кже ‚ним‡ние, что ‡л„оитмы шифниfl и ‰ешифниfl ‚ пе‚он‡ч‡льном поекте не со‚‡ют. Ал„оитм Ко‰ ‰лfl ‚есии AES-128 это„о поект‡ пок‡з‡н ‚ ‡л„оитме 7.6. Ко‰ ‰лfl об‡тно„о шиф‡ ост‡‚лflем к‡к уп‡жнение. Ал„оитм 7.6. По„‡мм‡ н‡ пс傉око‰е ‰лfl шиф‡ пе‚он‡ч‡льно„о поект‡ C¥pher( InBlock [16], OutBlock[16], w[0…43] { BlockToState (InBlock, S) S ← SubBytes (S) for (round = 1 to10) 238

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

{ S ← SubByres (S) S ← Sh¥ftRows (S) If (round ≠ 10) S ← M¥xColumns (S) S ← AddRoundKey (S, w[4 × round, 4 × round +3]) } StateToBlock (S, OutBlock); }

Альтен‡ти‚ный поект Длfl тех пиложений, котоые пе‰почит‡ют со‚‡ющие ‡л„оитмы ‰лfl шифниfl и ‰ешифниfl, был ‡з‡бот‡н об‡тный шиф. В т‡кой ‚есии пеоб‡зниfl ‚ об‡тном шифе пеестоены т‡к, чтобы c‰ел‡ть поfl‰ок пеоб‡зний тем же с‡мым ‚ пflмом шифе и об‡тном шифе. В этом поекте обеспечен‡ об‡тимость ‰лfl п‡ы пеоб‡зний, ‡ не ‰лfl к‡ж‰о„о о‰иночно„о пеоб‡зниfl.

П‡ы SubBytes/ShiftRows SubBytes изменflет со‰еж‡ние к‡ж‰о„о б‡йт‡, не изменflfl поfl‰ок б‡йто‚ м‡тицы состоflний; ShiftRows изменflет поfl‰ок б‡йто‚ ‚ м‡тице состоflний, не изменflfl со‰еж‡ние б‡йто‚. Это по‰‡зум傇ет, что мы можем изменить поfl‰ок этих ‰‚ух пеоб‡зний ‚ об‡тном шифе, не з‡т‡„肇fl об‡тимость цело„о ‡л„оитм‡; исунок 7.18 иллюстиует и‰ею. Об‡тите ‚ним‡ние, что комбин‡ции ‰‚ух пеоб‡зний — ‚ шифе и об‡тном шифе — ин‚есны ‰у„ ‰у„у. 239

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 7.18. Об‡тимость со‚окупности SubByte и ShiftRows П‡‡ MixColumns/AddRoundKey З‰есь пименflютсfl ‰‚‡ пеоб‡зниfl, котоые имеют ‡зличные с‚ойст‚‡. О‰н‡ко эти п‡ы мо„ут ст‡ть ин‚есиflми ‰у„ ‰у„‡, если мы умножим м‡тицу ключей н‡ ин‚есию м‡тицы конст‡нт, используемой ‚ пеоб‡знии MixColumns. Мы н‡зы‚‡ем но‚ое пеоб‡зние InvAddRoundKey. Рисунок 7.19 пок‡зы‚‡ет но‚ую конфи„у‡цию. Рис. 7.19. Об‡тимость со‚окупности MixColumns и AddRoundKey Можно ‰ок‡з‡ть, что эти ‰‚е комбин‡ции тепеь ин‚есны ‰у„ ‰у„у. В шифе мы обозн‡чим ‚хо‰ную м‡тицу состоflний — S и ‚ыхо‰ную м‡тицу — T. В об‡тном шифе ‚хо‰н‡fl м‡тиц‡ — T. Ниже пок‡з‡но, что ‚ыхо‰н‡fl м‡тиц‡ состоflний — т‡кже S. Об‡тите ‚ним‡ние, что пеоб‡зние MixColumns — ф‡ктически поиз‚е‰ение м‡тицы C (м‡тицы конст‡нт н‡ м‡тицу состоflний). Cipher: T = CS ⊕ K Inverse Cipher: С-1 ⊕ C-1K=C-1(CS ⊕ K) ⊕ C-1K = C-1CS ⊕ C-1K ⊕ C-1K = S

240

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

Тепеь мы можем пок‡з‡ть шиф и об‡тный шиф ‰лfl ‡льтен‡ти‚но„о поект‡. Об‡тите ‚ним‡ние, что мы ‚се еще ‰олжны использть ‰‚‡ пеоб‡-

зниfl AddRoundKey ‚ ‰ешифнии. Ду„ими слми, мы имеем ‰е‚flть InvAddRoundKey и ‰‚‡ AddRoundKey пеоб‡зниfl, к‡к это пок‡з‡но н‡ ис. 7.20. Изменение ‡л„оитм‡ ‡сшиениfl ключей

241

Кус

Кипто„‡фиfl и безоп‡сность сетей

Вместо то„о чтобы использть пеоб‡зние InvRoundKey ‚ об‡тном шифе, можно изменить ‡л„оитм ‡сшиениfl ключей т‡к, чтобы со片‚‡ть ‡зличное множест‚о ключей ‡у퉇 ‰лfl об‡тно„о шиф‡.

О‰н‡ко отметим, что ключ ‡у퉇 ‰лfl опе‡ций п剂‡ительно„о ‡у퉇 и после‰не„о ‡у퉇 ‰олжен быть изменен. Ключи ‡у퉇 от 1 ‰о 9 необхо‰имо умножить н‡ м‡тицу конст‡нт. Этот ‡л„оитм ост‡‚им ‰лfl уп‡жнений.

7.5. Пимеы В этом ‡з‰еле пи‚о‰flтсfl некотоые пимеы шифниfl, ‰ешифниfl и „ене‡ции ключей, котоые обсу扇лись ‚ пе‰ы‰ущих ‡з‰ел‡х.

242

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

Рис. 7.20. Шиф и об‡тный шиф ‡льтен‡ти‚но„о поект‡ Пиме 7.10 Ниже пок‡з‡н блок з‡шифнно„о текст‡, полученный из исхо‰но„о текст‡ с помощью случ‡йной ‚ыбоки ключей.

Т‡блиц‡ 7.7. пок‡зы‚‡ет зн‡чениfl м‡тицы состоflний и ключей ‡у퉇 ‰лfl это„о пиме‡. Т‡блиц‡ 7.7. Пиме шифниfl Пиме 7.21 Пиме пок‡зы‚‡ет м‡тицы состоflний, ‡ун‰ 7 ‚ пимее 7.10. Рис. 7.21. М‡тицы состоflний о‰но„о ‡у퉇 Пиме 7.12 О‰ин из куьезных случ‡е‚ пи ‡ссмотении шифниfl — к‡ исхо‰ный текст состоит из о‰них нулей. Используем ключ шиф‡ из пиме‡ 7.10 и получ‡ем з‡шифнный текст: Пиме 7.13 Д‡‚‡йте по‚еим 뇂инный эффект, котоый мы обсу扇ли ‚ лекции 6. Изменим только о‰ин бит ‚ исхо‰ном тексте и с‡‚ним езульт‡ты. Мы изменили только о‰ин бит ‚ после‰нем б‡йте. Результ‡т пок‡зы‚‡ет эффект ‡ссе肇ниfl и пеемеш肇ниfl. Изменение е‰инст‚енно„о бит‡ ‚ исхо‰ном тексте з‡тонуло мно„о бит ‚ з‡шифнном тексте. Пиме 7.14 Ниже пок‡з‡н эффект использниfl ключ‡ шифниfl «‚се нули».

7.6. Ан‡лиз AES Д‡лее ‰‡н к‡ткий обзо тех х‡‡ктеистик AES.

Безоп‡сность AES был ‡з‡бот‡н после DES. Большинст‚о из‚естных ‡т‡к н‡ DES было по‚еено н‡ AES; ни о‰н‡ из них ‰о сих по не н‡ушил‡ безоп‡сность AES. Ат‡к‡ „убой силы 243

Кус

Кипто„‡фиfl и безоп‡сность сетей

AES fl‚но более безоп‡сен, чем DES, из-з‡ больше„о ‡зме‡ ключ‡ (128, 192 и 256 бито‚). Д‡‚‡йте с‡‚ним DES с ключом шиф‡ н‡ 56 бито‚ и AES с ключом шиф‡ н‡ 128 бито‚. Длfl DES, чтобы н‡йти ключ, мы ну扇емсfl ‚ 256 испыт‡ний (и„ноиуfl поблему ‰ополнениfl ключ‡); ‰лfl AES — ‚ 2128 испыт‡ниflх. Это озн‡ч‡ет, что если мы можем н‡ушить DES ‚ t секун‰, н‡м нужно (272 × t) секун‰, чтобы н‡ушить AES. Это почти не‚озможно. Коме то„о, AES обеспеч肇ет ‰‚е ‰у„ие ‚есии более ‰линными ключ‡ми шиф‡. Отсутст‚ие сл‡бых ключей — еще о‰но пеимущест‚о AES пее‰ DES. Ст‡тистические ‡т‡ки Сильное ‡ссе肇ние и пеемеш肇ние, обеспеченное комбин‡цией пеоб‡зний SubByte, ShiftRows и MixColumns, у‰‡лflют любую ч‡стотную з‡кономеность ‚ исхо‰ном тексте. Мно„очисленные попытки ‚ыполнить ст‡тистический ‡н‡лиз з‡шифнно„о текст‡ не у‚енч‡лись успехом. Диффеенци‡льные и линейные ‡т‡ки AES был ‡з‡бот‡н после DES. Диффеенци‡льные и линейные ‡т‡ки кипто‡н‡лиз‡ были, без сомнениfl, учтены. По‰обные ‡т‡ки н‡ AES пок‡ не обн‡ужены.

Ре‡лиз‡циfl AES может быть е‡лизо‚‡н ‚ по„‡ммном обеспечении, ‡пп‡‡тных се‰ст‚‡х и по„‡ммиуемом обоу‰о‚‡нии. Ре‡лиз‡циfl может пименflть поцесс поиск‡ ‚ т‡блице или поце‰уы, ‚ котоых сущест‚ует четк‡fl ‡л„еб‡ическ‡fl стукту‡. Пеоб‡зние может быть оиентино или н‡ б‡йт, или н‡ сло‚о. В оиентинной н‡ б‡йт ‚есии ‡л„оитм может использть поцессо н‡ 8 бито‚; ‚ оиентинной н‡ сло‚о ‚есии — поцессо н‡ 32 бит‡. В любом случ‡е, об‡ботк‡ ‰ел‡етсfl очень бысто.

Постот‡ и стоимость Ал„оитмы, пименflемые ‚ AES, н‡столько посты, что мо„ут быть ле„ко е‡лизны с помощью ‰еше‚ых поцессоо‚ и миним‡льно„о объем‡ п‡мflти.

7.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ Нижесле‰ующие кни„и и с‡йты ‰‡ют более ‰ет‡льную инфом‡цию о пе‰мет‡х, ‡ссмотенных ‚ этой лекции. Пункты, пи‚е‰енные ‚ ꂇ‰‡тных скобк‡х, со‰еж‡тсfl ‚ списке ‚ конце кни„и.

Кни„и [Sta06L [Sti06L [Rhe0S], [Sal03], [Mao04L] и [TW06] ‡ссм‡т肇ют AES.

244

Лекциfl 7

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, ‡ссмотенных ‚ этой лекции. csrc.nist.gov/publications/fips/ripsl97/fips-197.pdf http://www.quadibloc.com/crypto/co040401 .htm http://www. ietef.org/rfc/rfc 3394. txt

7.8. Ито„и • Усо‚ешенст‚нный ст‡н‰‡т шифниfl (AES — ADVANCED ENCRYPTION STANDARD) — ст‡н‰‡т блочно„о шиф‡ с симметичными ключ‡ми, опубликнный Н‡цион‡льным Институтом ст‡н‰‡то‚ NIST (National Institute of Standard and Technology) к‡к Фе‰е‡льный Ст‡н‰‡т Об‡ботки Инфом‡ции 197 (FIPST-197 — FEDERAL INFORMATION PROCESSING STANDARD 197). AES б‡зиуетсfl н‡ Rijndael‡л„оитме. • AES — шиф не-Ф‡йстелfl, котоый з‡шифо‚ы‚‡ет и ‡сшифо‚ы‚‡ет блок ‰‡нных ‰линой 128 бито‚. Оно использует 10, 12 или 14 ‡ун‰о‚. Р‡зме ключ‡, 128, 192 или 256 бито‚, 燂исит от числ‡ ‡ун‰о‚. • AES оиентин н‡ ‡боту с б‡йт‡ми. Исхо‰ный текст н‡ 128 бито‚ или з‡шифнный текст ‡ссм‡т肇етсfl к‡к шест퇉ц‡ть б‡йто‚ по 8 бито‚. Чтобы обеспечить ‚ыполнение некотоых м‡тем‡тических пеоб‡зний ‰лfl б‡йто‚, ‚ AES опе‰елено понflтие м‡тицы состоflний. М‡тиц‡ состоflний — это м‡тиц‡ 4 × 4, ‚ котоой к‡ж‰ый ‚хо‰ fl‚лflетсfl б‡йтом. • Чтобы обеспечить безоп‡сность, AES использует четые тип‡ пеоб‡зний: по‰ст‡но‚к‡, пеест‡но‚к‡, смеш肇ние и ‰оᇂление ключ‡. К‡ж‰ый ‡ун‰ AES, коме после‰не„о, пименflет эти четые пеоб‡зниfl. После‰ний ‡ун‰ использует только ти из четыех пеоб‡зний. • По‰ст‡но‚к‡ опе‰елflетсfl либо поцессом поиск‡ ‚ т‡блице, либо м‡тем‡тическим ‚ычислением ‚ поле GF(28). AES использует ‰‚‡ об‡тимых пеоб‡зниfl — SubBytes и InvSubBytes, котоые fl‚лflютсfl ин‚есиflми ‰у„ ‰у„‡. • Втоое пеоб‡зние ‚ ‡ун‰е — с‰‚и„, котоое пеест‡‚лflет б‡йты. В шифнии пеоб‡зние н‡з‚‡но ShiftRows, ‚ ‰ешифнии — InvShiftRows. Пеоб‡зниfl ShiftRows и InvShiftRows ин‚есны ‰у„ ‰у„у. • Пеоб‡зние смеш肇ниfl изменflет со‰еж‡ние к‡ж‰о„о б‡йт‡, об‡б‡ты‚‡fl о‰но‚еменно четые б‡йт‡ и объе‰инflfl их, чтобы получить четые но‚ых б‡йт‡. AES опе‰елflет ‰‚‡ пеоб‡зниfl, MixColumns и InvMixColumns, пименflемые ‚ шифнии и ‰ешифнии. MixColumns умнож‡ет м‡тицу состоflний н‡ к‚‡‰‡тную м‡тицу конст‡нт; InvMixColumns ‰ел‡ет то же с‡мое, используfl об‡тную м‡тицу конст‡нт. Пеоб‡зниfl MixColumns и InvMixColumns ин‚есны ‰у„ ‰у„у. • Пеоб‡зние, котоое ‚ыполнflет отбел肇ние, н‡зы‚‡етсfl AddRoundKey. Пе‰ы‰ущ‡fl м‡тиц‡ состоflний ск뇉ы‚‡етсfl (м‡тич245

Кус

Кипто„‡фиfl и безоп‡сность сетей

ное сложение) с м‡тичным ключом ‡у퉇, чтобы со片ть но‚ую м‡тицу. Сложение от‰ельных элементо‚ ‚ этих ‰‚ух м‡тиц‡х ‚ыполнflетсfl ‚ GFЕ(28) — это озн‡ч‡ет, что 퇉 слми по 8 бито‚ по‚о‰итсfl опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ (XORed). Пеоб‡зние AddRoundKey ин‚есно с‡мо себе. • В пе‚ой конфи„у‡ции (10 ‡ун‰о‚ с ключ‡ми н‡ 128 бито‚) „ене‡то ключей со片ет о‰ин퇉ц‡ть ключей ‡у퉇 н‡ 128 бито‚ из ключ‡ шиф‡ н‡ 128 бито‚. AES использует понflтие сл ‰лfl „ене‡ции ключей. Сл состоflт из четыех б‡йт. Ключи ‡у퉇 „енеиуютсfl сло‚о з‡ сло‚ом. AES нумеует сл от w2 ‰о w43. Поцесс н‡зы‚‡етсfl «‡сшиение ключ‡». • Шиф AES ‰лfl ‰ешифниfl использует ‰‚‡ ‡л„оитм‡. В пе‚он‡ч‡льном поекте поfl‰ок пеоб‡зний ‚ к‡ж‰ом ‡ун‰е — ‡зличен пи шифнии и ‰ешифнии. В ‡льтен‡ти‚ном поекте пеоб‡зниfl ‚ ‡л„оитм‡х ‰ешифниfl пеестоены т‡к, чтобы поfl‰ок ‚ шифнии и ‰ешифнии был о‰ин и тот же. Во ‚тоой ‚есии об‡тимость обеспечен‡ ‰лfl п‡ы пеоб‡зний.

7.9. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Пеечислите китеии, опе‰еленные NIST ‰лfl AES. 2. Пеечислите п‡‡меты (‡зме блок‡, ‡зме ключ‡ и число ‡ун‰о‚) ‰лfl тех ‚есий AES. 3. Сколько пеоб‡зний имеетсfl ‚ к‡ж‰ой ‚есии AES? Сколько ключей необхо‰имо ‰лfl к‡ж‰ой ‚есии? 4. С‡‚ните DES и AES. К‡кой из них оиентин н‡ ‡боту с битом, ‡ к‡кой — н‡ ‡боту с б‡йтом? 5. Опе‰елите м‡тицу состоflний ‚ AES. Сколько м‡тиц состоflний имеетсfl ‚ к‡ж‰ой ‚есии AES? 6. К‡кие из четыех пеоб‡зний, опе‰еленных ‰лfl AES, изменflют со‰еж‡ние б‡йто‚, ‡ к‡кие — не изменflют? 7. С‡‚ните по‰ст‡но‚ку ‚ DES и AES. Почему мы имеем только о‰ну т‡блицу пеест‡но‚ки (S-блок) ‚ AES и несколько — ‚ DES? 8. С‡‚ните пеест‡но‚ки ‚ DES и AES. Почему 퇉о иметь ‡сшиение и сж‡тие пеест‡но‚ки ‚ DES и не н‡‰о — ‚ AES? 9. С‡‚ните ключи ‡у퉇 ‚ DES и AES. В к‡ком шифе ‡зме ключ‡ ‡у퉇 ‡‚ен ‡змеу блок‡? 10. Почему смеш肇ющее пеоб‡зние (MixColumns) нужно ‚ DES, но не нужно ‚ AES?

Уп‡жнениfl 1. Пи шифнии S-блоки мо„ут быть или ст‡тическими, или ‰ин‡мическими. П‡‡меты ‚ ст‡тическом S-блоке не 燂исflт от ключ‡. 246

Лекциfl 7

2. 3.

4.

5.

6.

7.

8.

Усо‚ешенст‚нный ст‡н‰‡т шифниfl

a. Ук‡з‡ть пеимущест‚‡ и не‰ост‡тки ст‡тическо„о и ‰ин‡мическо„о Sблоко‚. b. S-блоки ‚ AES (т‡блицы по‰ст‡но‚ки) — ст‡тические или ‰ин‡мические? AES имеет больший ‡зме блок‡, чем DES (128 — ‚ AES и 64 — ‚ DES). Объflсните, пеимущест‚о это или не‰ост‡ток. AES опе‰елflет ‡зличные е‡лиз‡ции с ‡зличным числом ‡ун‰о‚ (10, 12 и 14); DES опе‰елflет только о‰ну е‡лиз‡цию с 16 ‡у퉇ми. Объflсните, пеимущест‚о это или не‰ост‡ток AES и DES и ‚ чем отличие. AES опе‰елflет ти ‡зличных ‡зме‡ ключ‡ к шифу (128, 192 и 256); DES опе‰елflет только о‰ин ‡зме ключ‡ к шифу (56). К‡ко‚ы пеимущест‚‡ и не‰ост‡тки т‡ко„о отличиfl? В AES ‡зме блок‡ ‡‚ен ‡змеу ключей ‡у퉇 (128 бит). В DES ‡зме блок‡ 64 бит‡, но ‡зме ключей ‡у퉇 — только 48 бит. Я‚лflетсfl ли эт‡ ‡зниц‡ пеимущест‚ом или не‰ост‡тком AES по с‡‚нению с DES? Док‡жите, что пеоб‡зниfl ShiftRows и InvShiftRows — ин‚есны. a. Пок‡жите т‡блицу пеест‡но‚ки ‰лfl ShiftRows. Т‡блиц‡ ‰олжн‡ иметь 128 ‚хо‰о‚, но т‡к к‡к со‰еж‡ние б‡йт‡ не изменflетсfl, т‡блиц‡ может иметь только 16 ‚ыхо‰о‚; к‡ж‰ый ‚ыхо‰ пе‰ст‡‚лflет б‡йт. b. По‚тоите чсть a ‰лfl InvShiftRows пеоб‡зниfl. c. Используfl езульт‡ты ч‡стей a и b, ‰ок‡жите, что пеоб‡зниfl ShiftRows и InvShiftRows ин‚есны ‰у„ ‰у„у. Используйте о‰ин и тот же ключ шиф‡, пимени‚ е„о ‰лfl к‡ж‰о„о из сле‰ующих пеоб‡зний н‡ ‰‚ух исхо‰ных текст‡х, котоые отлич‡ютсfl только по пе‚ому биту. Н‡й‰ите число измени‚шихсfl бито‚ после к‡ж‰о„о пеоб‡зниfl. a. SubBytes b. ShiftRows c. Mix Columns d. AddRoundKey (с теми же с‡мыми ключ‡ми ‡у퉇 по ‚‡шему ‚ыбоу) Длfl то„о чтобы у‚и‰еть нелинейность пеоб‡зниfl SubBytes, пок‡жите, что если a и b — ‰‚‡ б‡йт‡, то мы имеем SubBytes (a ⊕ b) ≠ SubBytes (a) ⊕ SubBytes (b)

К‡к пиме используйте a = 0x57 и b = 0xA2. 9. Д‡йте общую фомулу ‰лfl ‚ычислениfl числ‡ ‚ к‡ж‰ом из ‚и‰о‚ пеоб‡зниfl SubBytes, ShiftRows, MixColumns и AddRoundKey и числ‡ полных пеоб‡зний ‰лfl к‡ж‰ой ‚есии AES. Фомул‡ ‰олжн‡ быть функцией числ‡ ‡ун‰о‚. 10. Измените исунок 7.16 ‰лfl AES-192 и AES-256. 11. Со片йте ‰‚е но‚ые т‡блицы, котоые пок‡зы‚‡ют RCons конст‡нты ‰лfl е‡лиз‡ций AES-192 и AES-256 (см. т‡блицу 7.4).

247

Кус

Кипто„‡фиfl и безоп‡сность сетей

12. В AES-128 ‰лfl п剂‡ительно„о ‡у퉇 используютсfl т‡кие же ключи, к‡к ключи шифниfl. Сп‡‚е‰ли‚о ли это ‰лfl AES-192? Сп‡‚е‰ли‚о ли это ‰лfl AES-256? 13. Н‡ исунке 7.8 пеемножьте X и X-1 м‡тицы, чтобы ‰ок‡з‡ть, что они ин‚есны ‰у„ ‰у„у. 14. Используfl исунок 7.12, пеепишите ꂇ‰‡тные м‡тицы C и C-1, пименflfl полиномы с коэффициент‡ми ‚ GF(2). Пеемножьте эти ‰‚е м‡тицы и ‰ок‡жите, что они fl‚лflютсfl об‡тными ‰у„ ‰у„у. 15. Док‡жите, что ко‰ ‚ ‡л„оитме 7.1 (пеоб‡зние SubByte) соот‚етст‚ует поцессу, пок‡з‡нному н‡ ис. 7.8. 16. Используfl ‡л„оитм 7.1 (пеоб‡зние SubByte), с‰ел‡йте сле‰ующее: a. Н‡пишите ко‰ ‰лfl поце‰уы, кото‡fl ‚ычислflет ин‚есию б‡йт‡ ‚ GF(28). b. Н‡пишите ко‰ ‰лfl ByteToMatrix. c. Н‡пишите ко‰ ‰лfl MatrixToByte. 17. Н‡пишите ‡л„оитм ‰лfl пеоб‡зниfl InvSubBytes. 18. Док‡жите, что ко‰ ‚ ‡л„оитме 7.2 (пеоб‡зние ShiftRows) соот‚етст‚ует поцессу, пок‡з‡нному н‡ ис. 7.9. 19. Используfl ‡л„оитм 7.2 (пеоб‡зние ShiftRows), н‡пишите ко‰ ‰лfl поце‰уы copyrow. 20. Н‡пишите ‡л„оитм ‰лfl пеоб‡зниfl InvShiftRows. 21. Док‡жите, что ко‰ ‚ ‡л„оитме 7.3 (пеоб‡зние MixColumns) соот‚етст‚ует поцессу, пок‡з‡нному н‡ ис. 7.13. 22. Используfl ‡л„оитм 7.3 (пеоб‡зние MixColumns), н‡пишите ко‰ ‰лfl поце‰уы copycolumns. 23. Пеепишите ‡л„оитм 7.3 (пеоб‡зние MixColumns), з‡мени‚ опе‡тоы (.) поце‰уой, н‡зы‚‡емой multfield, чтобы ‚ычислить поиз‚е‰ение ‰‚ух б‡йто‚ ‚ поле GF(28). 24. Н‡пишите ‡л„оитм ‰лfl пеоб‡зниfl InvMixColumn. 25. Док‡жите, что ко‰ ‚ ‡л„оитме 7.4 (пеоб‡зние AddRoundKey), соот‚етст‚ует поцессу, пок‡з‡нному н‡ ис. 7.15. 26. В ‡л„оитме 7.5 (‡сшиение ключ‡): a. Н‡пишите ко‰о‚ую по„‡мму ‰лfl поце‰уы Subbyte. b. Н‡пишите ко‰ по„‡мму ‰лfl поце‰уы Rotword-. 27. Д‡йте ‰‚‡ но‚ых ‡л„оитм‡ ‰лfl ‡сшиениfl ключ‡ ‚ AES-192 и AES-256 (см. ‡л„оитм 7.5). 28. Н‡пишите ‡л„оитм ‡сшиениfl ключей ‰лfl об‡тно„о шиф‡ ‚ ‡льтен‡ти‚ном поекте. 29. Н‡пишите ‡л„оитм ‰лfl об‡тно„о шиф‡ ‚ пе‚он‡ч‡льном поекте. 30. Н‡пишите ‡л„оитм ‰лfl об‡тно„о шиф‡ ‚ ‡льтен‡ти‚ном поекте.

248

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

Лекциfl 8. Шифние, использующее со‚еменные шифы с симметичным ключом Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Пок‡з‡ть, к‡к со‚еменные ст‡н‰‡тные шифы, т‡кие, к‡к DATA ENCRIPTION STANDARD или ADVANCED ENCRYPTION STANDARD, используютсfl ‰лfl то„о, чтобы з‡шифть ‰линные сообщениfl. • Обсу‰ить пflть ежимо‚ ‡боты, ‡з‡бот‡нных ‰лfl пименениfl с со‚еменными блочными шиф‡ми. • Опе‰елить, к‡кой ежим ‡боты со片ет шиф поток‡ из осно‚ных блочных шифо‚. • Обсу‰ить ‡спекты безоп‡сности и ‡спост‡нение ошибок пи ‡зличных ежим‡х ‡боты. • Обсу‰ить ‰‚‡ шиф‡ поток‡, пименflемые ‰лfl об‡ботки ‰‡нных ‚ е‡льном м‡сшт‡бе ‚емени. Эт‡ лекциfl пок‡зы‚‡ет, к‡к концепции ‰‚ух со‚еменных блочных шифо‚, ‡ссмотенные ‚ лекциflх 5, 6 и 7, мо„ут использтьсfl, чтобы з‡шифть ‰линные сообщениfl. Он‡ т‡кже ‚‚о‰ит ‰‚‡ но‚ых понflтиfl шиф‡ поток‡.

8.1. Пименение со‚еменных блочных шифо‚ Шифние симметичными ключ‡ми может быть ‚ыполнено се‰ст‚‡ми со‚еменных блочных шифо‚. Д‚‡ со‚еменных блочных шиф‡, обсуж‰енные ‚ лекциflх 6 и 7, ‡ именно DES и AES, ‡з‡бот‡ны ‰лfl то„о, чтобы з‡шифть и ‡сшифть блок текст‡ фиксинно„о ‡зме‡. DES з‡шифо‚ы‚‡ет и ‡сшифо‚ы‚‡ет блок 64 бито‚; AES — блок 128 бито‚. В е‡льной жизни текст, котоый бу‰ет з‡шифн, имеет пееменный ‡зме и обычно н‡мно„о больший, чем 64 или 128 бито‚. Режимы ‡боты были изобетены, чтобы з‡шифть текст любо„о ‡зме‡, используfl либо DES, либо AES. Рисунок 8.1 пок‡зы‚‡ет эти пflть ежимо‚ ‡боты, котоые мы обсу‰им ‰‡лее.

Рис. 8.1. Режимы ‡боты 249

Кус

Кипто„‡фиfl и безоп‡сность сетей

Режим электонной ко‰о‚ой кни„и С‡мый постой ежим ‡боты н‡з‚‡н ежимом электонной ко‰о‚ой кни„и (ECB — ELECTRONIC CODEBOOK). Исхо‰ный текст ‡з‰елен н‡ N блоко‚. Р‡зме блок‡ — n бит. Этот ‡зме исхо‰но„о текст‡ не fl‚лflетсfl к‡тным числом ‡зме‡ блок‡, текст ‰ополнflетсfl, чтобы с‰ел‡ть после‰ний блок по ‡змеу т‡ким же, к‡к ‰у„ие блоки. О‰ин и тот же ключ используетсfl, чтобы з‡шифть и ‡сшифо‚ы‚‡ть к‡ж‰ый блок. Рисунок 8.2 пок‡зы‚‡ет шифние и ‰ешифние ‚ этом ежиме.

Рис. 8.2. Режим электонной ко‰о‚ой кни„и (ECB) Соотношение меж‰у исхо‰ным и з‡шифнным текст‡ми пок‡з‡но ниже: Шифние: Ci = EK (Pi)

Дешифние: Pi = DK (Ci)

Пиме 8.1 Этот пиме пок‡зы‚‡ет, к‡к можно обеспечить, что к‡ж‰ый блок, посл‡нный Алисой, может быть точно ‚осст‡но‚лен н‡ стооне Боб‡. З‰есь используетсfl то, что шифние и ‰ешифние ин‚есны ‰у„ ‰у„у. Pi = DK (Ci) = Pi = DK (EK (Pi)) Пиме 8.2 Т‡кой ежим н‡зы‚‡етсfl ежимом электонной ко‰о‚ой кни„и, потому что он может быть пе‰ст‡‚лен 2K ко‰о‚ыми кн脇ми (о‰ной н‡ к‡ж‰ый ко‰о‚ый ключ). ʇ扇fl ко‰о‚‡fl кн脇 имеет 2n ‚хо‰о‚ и ‰‚е колонки. К‡ж‰ый ‚хо‰ сопост‡‚лflет исхо‰ному тексту соот‚етст‚ующий з‡шифнный текст. О‰н‡ко если K и n очень ‚елики, ко‰о‚‡fl кн脇 бу‰ет слишком ‚елик‡ и ее компоно‚к‡ и эксплу‡т‡циfl — неу‰обны. 250

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

Поблемы безоп‡сности В ежиме EBC имеютсfl сле‰ующие поблемы безоп‡сности. 1. Об‡зцы н‡ уо‚не блок‡ сох‡нflютсfl. Н‡пиме, о‰ин‡ко‚ые блоки ‚ исхо‰ном тексте имеют о‰ин‡ко‚ый ‚и‰ ‚ соот‚етст‚ующих блок‡х з‡шифнно„о текст‡. Если Е‚‡ узн‡ет, что ‚ з‡шифнном тексте блоки 1, 5 и 10 о‰ин‡ко‚ы, он‡ поймет, что блоки исхо‰но„о текст‡ 1, 5 и 10 — тоже о‰ин‡ко‚ые. Это — «‰ыочꇻ ‚ безоп‡сности. Н‡пиме, Е‚‡ может ‚ыполнить исчепы‚‡ющий поиск и ‡сшифть только о‰ин из этих блоко‚, чтобы н‡йти со‰еж‡ние ‚сех их. 2. Не燂исимость блоко‚ со片ет Е‚е ‚озможность ‰лfl з‡мены некотоых блоко‚ з‡шифнно„о текст‡ без зн‡ниfl ключ‡. Н‡пиме, если он‡ зн‡ет, что блок 8 ‚с儉‡ пе則ет некотоую 燉‡нную инфом‡цию, он‡ может з‡менить этот блок соот‚етст‚ующим блоком ‚ п剂‡ительно пеех‚‡ченном сообщении. Пиме 8.3 Пе‰положим, что Е‚‡ ‡бот‡ет ‚ комп‡нии месflц, несколько ч‡со‚ ‚ не‰елю (ее ежемесflчн‡fl опл‡т‡ очень низк‡fl). Он‡ зн‡ет, что комп‡ниfl использует несколько блоко‚ инфом‡ции ‰лfl к‡ж‰о„о служ‡ще„о, ‚ котоом се‰ьмой блок fl‚лflетсfl суммой ‰ене„, кото‡fl бу‰ет ‰епонио‚‡н‡ ‚ учетной з‡писи служ‡ще„о. Е‚‡ может пе‚‡ть з‡шифнный текст, пе則‚‡емый б‡нку ‚ конце месflц‡, з‡менить блок инфом‡цией о ее опл‡те с копией блок‡ с инфом‡цией об опл‡те полной ‡бочей не‰ели еfi колле„и. К‡ж‰ый месflц Е‚‡ может получ‡ть больше ‰ене„, чем ей положено. Р‡спост‡нение ошибки Е‰инст‚енный бит ошибки ‚ пе則че может со片ть ошибки ‚ нескольких бит‡х (обычно поло‚ине бито‚ или ‚сех бит‡х) ‚ соот‚етст‚ующих блок‡х. О‰н‡ко ошибк‡ не имеет ник‡ко„о ‚оз‰ейст‚иfl н‡ ‰у„ие блоки. Ал„оитм Длfl шифниfl или ‰ешифниfl мо„ут быть со片ны постые ‡л„оитмы. Ал„оитм 8.1 со‰ежит поце‰уу, н‡пис‡нную ‚ пс傉око‰е ‰лfl шифниfl. Поце‰уу ‰лfl ‰ешифниfl ост‡‚лflем к‡к уп‡жнение. EK з‡шифо‚ы‚‡ет только о‰ин-е‰инст‚енный блок и может быть о‰ним из шифо‚, ‡ссмотенных ‚ „뇂‡х 6 или 7 (DES или AES). Ал„оитм 8.1. Режим шифниfl ECB ECB_Encrypt¥on (K,Pla¥ntext bloks) { for(¥ = 1 to N) { C¥ ← EK(P¥) } return Cl¥phertext blocks } 251

Кус

Кипто„‡фиfl и безоп‡сность сетей

З‡х‚‡т з‡шифнно„о текст‡ В ежиме ECB может потебтьсfl ‰ополнение, котоое ‰оᇂлflетсfl к после‰нему блоку, если он со‰ежит менее n бит. Т‡кое ‰ополнение не ‚с儉‡ ‚озможно. Н‡пиме, ‡ссмотим ситу‡цию, к‡ з‡шифнный текст ‰олжен быть сох‡нен ‚ буфее, „‰е ‰о это„о был п剂‡ительно сох‡нен исхо‰ный текст. В этом случ‡е исхо‰ный текст и з‡шифнный текст ‰олжны быть о‰ин‡ко‚ой ‰лины. Техник‡, кото‡fl н‡зы‚‡етсfl з‡х‚‡т з‡шифнно„о текст‡ (CTS — CipherText Stealing), поз‚олflет использть ежим ECB без ук‡з‡нно„о ‚ыше ‰ополнениfl. В этой мето‰ике после‰ние ‰‚‡ блок‡ исхо‰но„о текст‡ PN-1 и PN з‡шифны ‡з‰ельно ‰у„им способом и ‚ ‰у„ом поfl‰ке, к‡к пок‡з‡но ниже. Пе‰положим, что PN-1 имеет n бит, ‡ PN имеет m бит, „‰е m < n. X = EK(PN-1) Y = PN tailn-m (X)

→ →

CN = headm (X) CN-1 = EK (Y)

„‰е headm — функциfl, от‰елflющ‡fl к‡йние ле‚ые m бит, tailn-m — функциfl, от‰елflющ‡fl к‡йние п‡‚ые n-m бит. Пиложениfl Режим ‡боты ECB не екомен‰уетсfl ‰лfl шифниfl сообщений, со‰еж‡щих больше чем о‰ин блок, котоый бу‰ет пе則н чеез несекетный к‡н‡л. Если сообщение ‰ост‡точно коотко, чтобы пе則ть е„о ‚ о‰ном блоке, поблемы безоп‡сности и ‡спост‡нениfl ошибок тепимы. Есть о‰н‡ обл‡сть, „‰е не燂исимость меж‰у блок‡ми з‡шифнно„о текст‡ полезн‡, — это т‡м, „‰е инфом‡циfl бу‰ет з‡шифо‚‡н‡ пеж‰е, чем он‡ бу‰ет сох‡нен‡ ‚ б‡зе ‰‡нных, или ‡сшифо‚‡н‡ пеж‰е, чем он‡ бу‰ет из‚лечен‡ из п‡мflти. Поскольку поfl‰ок шифниfl и ‰ешифниfl блоко‚ не ‚‡жен, ‚ этом ежиме ‰оступ‡ к б‡зе ‰‡нных он может быть случ‡ен, если к‡ж‰‡fl з‡пись — блок или множест‚о блоко‚. З‡пись может быть из‚лечен‡ из сее‰ины, ‡сшифн‡, и з‡шифн‡, не з‡т‡„肇fl ‰у„ие з‡писи. Ду„ое пеимущест‚о это„о ежим‡ — это то, что мы можем использть п‡‡ллельную об‡ботку, если нужно, н‡пиме, со片ть о„омную з‡шифнную б‡зу ‰‡нных.

Режим сцеплениfl блоко‚ шифнно„о текст‡ (CBC) Сле‰ующ‡fl э‚олюциfl ‚ ‡боте ежимо‚ — ежим сцеплениfl блоко‚ шифнно„о текст‡ (CBC — Cipher Block Chaining). В ежиме CBC к‡ж‰ый блок исхо‰но„о текст‡, пеж‰е чем быть з‡шифнным, об‡б‡ты‚‡етсfl с помощью по‚е‰ениfl опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ с пе‰ы‰ущим блоком шиф‡. К‡ блок з‡шифн, блок пе則ют, но копиfl сох‡нflетсfl ‚ п‡мflти, кото‡fl используетсfl ‚ шифнии сле‰ующе„о блок‡. Чит‡тель может 燉‡ть ‚опос о н‡ч‡льном блоке, поскольку пее‰ пе‚ым блоком нет блок‡ з‡шифнно„о текст‡. В этом случ‡е пименflетсfl ф‡льши‚ый блок, н‡зы‚‡емый ‚екто иници‡лиз‡ции (IV). Пе則тчик и пиемник со„л‡суют 燉‡нный з‡‡нее IV. Ду„ими слми, IV используетсfl ‚место несущест‚ующе„о C0. Рисунок 8.3 пок‡зы‚‡ет ежим CBC. Н‡ пе則ющей стооне опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ по‚о252

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

‰итсfl пее‰ шифнием; ‡ н‡ стооне пиемник‡ ‰ешифние по‚о‰итсfl пее‰ опе‡цией ИСКЛЮЧАЮЩЕЕ ИЛИ.

Рис. 8.3. Режим цепочки блоко‚ шифотекст‡ Соотношение меж‰у исхо‰ным текстом и з‡шифнным текстом пок‡з‡но ниже: Шифние: C0 = IV Ci = EK (Pi ⊕ Ci-1)

Дешифние: C0 = IV Pi = DK (Ci) ⊕ Ci-1

Пиме 8.4 Можно ‰ок‡з‡ть, что к‡ж‰ый блок исхо‰но„о текст‡ н‡ стооне Алисы может быть точно ‚осст‡но‚лен н‡ стооне Боб‡ — потому что шифние и ‰ешифние ин‚есны ‰у„ ‰у„у. Pi = DK (Ci) ⊕ Ci-1 = DK (EK (Pi ⊕ Ci-1)) ⊕ Ci-1 = Pi ⊕ Ci-1 ⊕ Ci-1 = Pi

Векто иници‡лиз‡ции (IV) Векто иници‡лиз‡ции (IV) ‰олжен быть из‚естен пе則тчику и пиемнику. Хотfl сох‡нение это„о ‚екто‡ ‚ т‡йне не тебуетсfl, целостность ‚екто‡ и„‡ет ‚‡жную оль ‚ безоп‡сности ежим‡ CBC; IV помет сох‡нить безоп‡сность изменениfl инфом‡ции. Если Е‚‡ может изменить зн‡чениfl бит IV, это может изменить зн‡чениfl бит пе‚о„о блок‡. Длfl то„о чтобы использть IV, екомен‰о‚‡но несколько мето‰о‚. Пе則тчик может ‚ыб‡ть пс傉ослуч‡йное число и пе則ть е„о чеез безоп‡сный к‡н‡л (н‡пиме, использующий ежим ECB). Фиксинное зн‡чение может 253

Кус

Кипто„‡фиfl и безоп‡сность сетей

быть со„л‡сно Алисой и Бобом к‡к IV, к‡ ключ з‡секеч肇ниfl уст‡но‚лен. Это может быть ч‡сть ключ‡ з‡секеч肇ниfl, и т‡к ‰‡лее. Поблемы безоп‡сности В ежиме CBC имеютсfl сле‰ующие ‰‚е поблемы безоп‡сности. 1. О‰ин‡ко‚ые блоки исхо‰но„о текст‡, пи퇉леж‡щие о‰ному и тому же сообщению, з‡шифо‚ы‚‡ютсfl ‚ ‡зличные блоки з‡шифнно„о текст‡. Ду„ими слми, от‰ельные об‡зцы ‚ блоке не сох‡нflютсfl. О‰н‡ко к‡ ‰‚‡ сообщениfl ‡‚ны, их шифнный текст о‰ин‡ко‚ый, если они используют те же с‡мые IV. Ф‡ктически, если пе‚ые M блоко‚ ‚ ‰‚ух ‡зличных сообщениflх ‡‚ны и IV со‚‡ет, они бу‰ут з‡шифны ‚ о‰ин‡ко‚ые блоки. По этой пичине некотоые специ‡листы екомен‰уют использние ‰лfl IV метки ‚емени. 2. Е‚‡ может ‰оᇂить некотоые блоки з‡шифнно„о текст‡ ‚ конце поток‡ з‡шифнно„о текст‡. Р‡спост‡нение ошибки В ежиме CBC е‰инст‚енный бит ошибки ‚ блоке Cj з‡шифнно„о текст‡ ‚ поцессе пе則чи может ‚ поцессе ‰ешифниfl со片ть ошибку ‚ большинст‚е бито‚ блок‡ Pj исхо‰но„о текст‡. О‰н‡ко эт‡ о‰иночн‡fl ошибк‡ изменflет только о‰ин бит ‚ исхо‰ном тексте блок‡ Pj+1 (бит ‚ том же с‡мом местоположении). Док‡з‡тельст‚о это„о ф‡кт‡ ост‡‚лflем к‡к уп‡жнение. Исхо‰ный текст блоко‚ от Pj+2 ‰о PN не з‡т‡„肇етсfl этим е‰инст‚енным битом ошибки. Е‰инст‚енный бит ошибки ‚ з‡шифнном тексте — с‡мо‚осст‡н‡‚л肇емый. Ал„оитм Ал„оитм 8.2 ‰‡ет пс傉око‰ ‰лfl шифниfl — поце‰у‡ encrypt. Он‡ з‡шифо‚ы‚‡ет е‰инст‚енный блок (н‡пиме, DES или AES). Ал„оитм ‰ешифниfl ост‡‚лflем к‡к уп‡жнение. Ал„оитм 8.2. Ал„оитм шифниfl ‰лfl ежим‡ ECB CBC_Encrypt¥on (IV,K, Pla¥ntext bloks) { C0 ← IV for (¥ =1 to N) { Temp ← P¥ ⊕ C¥-1 C¥ ← EK (Temp) } return C¥phertext blocks } З‡х‚‡т з‡шифнно„о текст‡ Мето‰ик‡ з‡х‚‡т‡ з‡шифнно„о текст‡, ‡ссмотенн‡fl ‰лfl ежим‡ ECB, может т‡кже быть пименен‡ к ежиму CBC, к‡к это пок‡з‡но ниже. 254

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

U = PN-1 ⊕ CN-2 V = PN| padn-m(0)

→ →

X = EK (U) Y=X⊕V

→ →

CN = headm (X) CN-1 = EK (Y)

Функциfl head — т‡ же с‡м‡fl, что опис‡н‡ ‚ ежиме ECB; функциfl pad ‚ст‡‚лflет нули. Пиложениfl Режим ‡боты CBC может использтьсfl, чтобы з‡шифть сообщениfl. О‰н‡ко из-з‡ мех‡низм‡ фоминиfl цепочки п‡‡ллельн‡fl об‡ботк‡ не‚озможн‡. Режим CBC не используетсfl пи шифнии и ‰ешифнии м‡сси‚о‚ ф‡йло‚ с поиз‚ольным ‰оступом, потому что шифние и ‰ешифние тебуют ‰оступ‡ к пе‰ы‰ущим м‡сс肇м. К‡к мы у‚и‰им ‚ лекции 11, ежим СВС пименflетсfl ‰лfl уст‡но‚лениfl по‰линности сообщениfl.

Режим ко‰инной об‡тной с‚flзи (CFB) ECB и ежимы CBC пе‰н‡зн‡чены ‰лfl шифниfl и ‰ешифниfl блоко‚ сообщений. Р‡зме блок‡, n, опе‰елflетсfl пинflтым шифом. Н‡пиме, n = 64 ‰лfl DES и n = 128 ‰лfl AES. В некотоых ситу‡циflх мы ‰олжны использть DES или AES к‡к секетные шифы, но исхо‰ный текст или ‡змеы блок‡ з‡шифнно„о текст‡ ‰олжны быть меньшими. Н‡пиме, чтобы з‡шифть и ‡сшифо‚ы‚‡ть сим‚олы 8-бито‚о„о ASCII, ‚ы не з‡хотели бы пименить о‰ин из т‡‰иционных шифо‚, обсуж‰енных ‚ лекции 3, потому что они не퇉ежны. Решение состоит ‚ том, чтобы пименить DES или AES ‚ ежиме ко‰инной об‡тной с‚flзи (CFB). В этом ежиме ‡зме блок‡, используемо„о ‚ DES или AES, — n, но ‡зме исхо‰но„о текст‡ или блок‡ з‡шифнно„о текст‡ — r, „‰е r
Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 8.4. Шифние ‚ ежиме ко‰инной об‡тной с‚flзи Соотношение меж‰у исхо‰ным текстом и блок‡ми з‡шифнно„о текст‡ пок‡з‡но ниже: Шифние: Ci = Pi ⊕ SelectLeftr {Ek [ShiftLeftr (Si-1) | Ci-1)]} Дешифние: Pi = Ci ⊕ SelectLeftr {Ek [ShiftLeftr (Si-1) | Ci-1)]} „‰е ShiftLeft — поце‰у‡, кото‡fl с‰‚脇ет со‰еж‡ние ее п‡‡мет‡ н‡ r бит ‚ле‚о (к‡йние ле‚ые r-биты отб‡сы‚‡ютсfl). Опе‡то | пок‡зы‚‡ет конк‡тен‡цию (после‰о‚‡тельное сое‰инение). SelectLeft-поце‰у‡ ‚ыби‡ет только к‡йние ле‚ые r-бито‚ п‡‡мет‡. Возможно ‰ок‡з‡ть, что к‡ж‰ый блок исхо‰но„о текст‡ н‡ стооне Алисы может быть точно ‚осст‡но‚лен н‡ стооне Боб‡. Это ‰ок‡з‡тельст‚о ост‡‚лflем к‡к уп‡жнение. Интеесно, что ‚ этом ежиме не тебуетсfl ‰ополнение блоко‚, потому что ‡зме блоко‚, r, обычно ‚ыби‡етсfl т‡к, чтобы у‰о‚лет‚оить ‡змеу блок‡ ‰‡нных, котоый нужно з‡шифть (н‡пиме, сим‚ол). Интеесное т‡кже ‰у„ое — что систем‡ не ‰олжн‡ ж‰‡ть получениfl большо„о блок‡ ‰‡нных (64 бит‡ или 128 бито‚) ‰лfl то„о, чтобы н‡ч‡ть шифние. Поцесс шифниfl ‚ыполнflетсfl ‰лfl м‡ленько„о блок‡ ‰‡нных (т‡ких к‡к сим‚ол), Эти ‰‚‡ пеимущест‚‡ пи‚о‰flт к ‰‚ум не‰ост‡тк‡м. CFB менее эффекти‚ен, чем CBC или ECB, потому что он пименflет шифние осно‚ным блочным шифом м‡ленько„о блок‡ ‡змеом r. CFB к‡к шиф поток‡ Хотfl CFB — ежим, пе‰н‡зн‡ченный ‰лfl то„о, чтобы использть блочные шифы, т‡кие к‡к DES или AES, — он может быть шифом поток‡. Ф‡кти256

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

чески, это несинхонный шиф поток‡, ‚ котоом ключе‚ой поток 燂исит от з‡шифнно„о текст‡. Рисунок 8.5 пок‡зы‚‡ет поцесс ‰ешифниfl и шифниfl и „ене‡то ключей.

Рис. 8.5. Шифние ‚ ежиме ко‰инной об‡тной с‚flзи к‡к шиф поток‡ Рисунок 8.5 пок‡зы‚‡ет, что осно‚ной шиф (DES или AES), ключ шиф‡ (K) и пе‰ы‰ущий блок шиф‡ (Ci) используютсfl только ‰лfl то„о, чтобы со片ть ключе‚ые потоки (k1, k2,..., kN). Ал„оитм Ал„оитм 8.3 ‰‡ет поце‰уу ‰лfl шифниfl. Он ‚ызы‚‡ет несколько ‰у„их поце‰у, ‰ет‡ли котоых ост‡‚лflем к‡к уп‡жнениfl. Об‡тите ‚ним‡ние, что мы н‡пис‡ли ‡л„оитм т‡к, чтобы пок‡з‡ть х‡‡кте ежим‡ поток‡ (об‡ботк‡ ‚ е‡льном м‡сшт‡бе ‚емени). Ал„оитм ‚ыполнflетсfl, пок‡ блоки исхо‰но„о текст‡ не бу‰ут з‡шифны. Ал„оитм 8.3. Ал„оитм шифниfl ко‰инной об‡тной с‚flзи CFB_Encrypt¥on (IV, K, r) { ¥ ← 1 wh¥le (more blocks to encrypt) { ¥nput (P¥) (¥f ¥=l) S ← IV else { Temp ← sh¥ftLeftr(S) 257

Кус

Кипто„‡фиfl и безоп‡сность сетей

S ← concatenate (Temp, C¥-1) } T ← Ek(s) k, ← selectLeftr (T) C¥ ← P¥ ⊕ k¥ output (C¥) ¥ ← ¥ + 1 } } Поблемы безоп‡сности В ежиме CFB есть ти пе‚ичных поблемы безоп‡сности. 1. Точно т‡к же к‡к CBC, об‡зцы н‡ уо‚не блок‡ не сох‡нflютсfl. О‰ин‡ко‚ые блоки исхо‰но„о текст‡, пи퇉леж‡щие о‰ному и тому же сообщению, з‡шифо‚ы‚‡ютсfl ‚ ‡зличные блоки. 2. О‰ним и тем же ключом может быть з‡шифно больше чем о‰но сообщение, но т‡ зн‡чение IV ‰олжно быть изменено ‰лfl к‡ж‰о„о сообщениfl. Это озн‡ч‡ет, что Алис‡ ‰олжн‡ использть ‡зличные IV к‡ж‰ый ‡з, к‡ он‡ пе則ет сообщение. 3. Е‚‡ может ‰оᇂить некотоый блок з‡шифнно„о текст‡ к концу поток‡ з‡шифнно„о текст‡. Р‡спост‡нение ошибки В CFB ошибк‡ ‚ е‰инст‚енном бите ‚ з‡шифнном тексте блок‡ Cj ‚ поцессе пе則чи со片ет е‰инст‚енный бит ошибки (‚ той же с‡мой позиции) ‚ исхо‰ном тексте блок‡ Pj. О‰н‡ко большинст‚о бито‚ ‚ сле‰ующих блок‡х исхо‰но„о текст‡ бу‰ут с ошибкой (с 50-поцентной ‚еоflтностью), пок‡ биты Cj ‚се еще н‡хо‰flтсfl ‚ е„исте с‰‚脇. Вычисление числ‡ з‡тонутых блоко‚ ост‡‚лflем к‡к уп‡жнение. После то„о к‡к е„ист с‰‚脇 полностью е„енеин, систем‡ изᇂлflетсfl от ошибки. Пиложение Режим ‡боты CFB может использтьсfl, чтобы з‡шифть блоки небольшо„о ‡зме‡, т‡кие к‡к о‰ин сим‚ол или бит. Нет необхо‰имости ‚ ‰ополнении, потому что ‡зме блок‡ исхо‰но„о текст‡ обычно уст‡н‡‚л肇етсfl (8 ‰лfl сим‚ол‡ или 1 ‰лfl бит‡). Специ‡льный случ‡й Если блоки ‚ тексте и ‚ осно‚ном шифе — о‰но„о и то„о же ‡зме‡ (n = r), шифние/‰ешифние ст‡но‚итсfl более постым, но постоение ‰и‡„‡ммы и ‡л„оитм ост‡‚лflем к‡к уп‡жнение.

Режим ‚нешней об‡тной с‚flзи (OFB) Режим ‚нешней об‡тной с‚flзи (OFB — OUTPUT FEEDBACK) очень похож н‡ ежим CFB, с о‰ной особенностью: к‡ж‰ый бит ‚ з‡шифнном тексте не258

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

燂исим от пе‰ы‰уще„о бит‡ или бито‚. Это поз‚олflет избеж‡ть ‡спост‡нениfl ошибок. Если пи пе則че ‚озник‡ет ошибк‡, он‡ не з‡т‡„肇ет сле‰ующие биты. По‰обно CFB, и пе則тчик и пиемник используют ‡л„оитм шифниfl. Рисунок 8.6 пок‡зы‚‡ет ежим OFB.

Рис. 8.6. Шифние ‚ ежиме ‚нешней об‡тной с‚flзи OFB к‡к шиф поток‡ OFB, т‡к же к‡к и CFB, может со片ть поточный шиф н‡ б‡зе осно‚но„о шиф‡. О‰н‡ко ключ поток‡ не 燂исит от исхо‰но„о текст‡ или з‡шифнно„о текст‡; зн‡чит, шиф поток‡ — синхонный, к‡к это обсу扇лось ‚ лекции 5. Рисунок 8.7 пок‡зы‚‡ет шифние и ‰ешифние, ‡ т‡кже „ене‡то ключей. Ал„оитм Ал„оитм 8.4 ‰‡ет поце‰уу шифниfl. Этот ‡л„оитм после‰о‚‡тельно ‚ызы‚‡ет ‰у„ие поце‰уы, ‰ет‡ли котоых мы ост‡‚лflем к‡к уп‡жнение. З‡метим, что ‡л„оитм н‡пис‡н т‡к, чтобы пок‡з‡ть ежим поток‡ (ситу‡циfl е‡льно„о ‚емени). Ал„оитм ‡бот‡ет, пок‡ ‚се блоки исхо‰но„о текст‡ не бу‰ут з‡шифны. Поблемы безоп‡сности В ежиме OFB имеютсfl сле‰ующие ‰‚е поблемы безоп‡сности. 1. Точно т‡к же к‡к ‚ ежиме CFB, об‡зцы н‡ уо‚не блок‡ не сох‡нflютсfl. О‰ин‡ко‚ые блоки исхо‰но„о текст‡, пи퇉леж‡щие тому же с‡мому сообщению, з‡шифо‚ы‚‡ютсfl ‚ ‡зличные блоки. 259

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 8.7. Шифние ‚ ежиме ‚нешней об‡тной с‚flзи к‡к шифние поток‡ Ал„оитм 8.4. OFB_Encrypt¥on (IV, K, r) { ¥ ← 1 wh¥le (more blocks to encrypt) { ¥nput (P¥) ¥f (¥=l) S ← IV else { Temp ← sh¥ftLeftr(S) S ← concatenate (Temp, k¥-1) } T ← Ek(s) k, ← selectLeftr (T) C¥ ← P¥ ⊕ k¥ output (C¥) ¥ ← ¥ + 1 } } 2. Любое изменение ‚ з‡шифнном тексте з‡т‡„肇ет исхо‰ный текст, з‡шифнный ‚ пиемнике. 260

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

Р‡спост‡нение ошибки Е‰инст‚енн‡fl ошибк‡ ‚ з‡шифнном тексте з‡т‡„肇ет только соот‚етст‚ующий бит ‚ исхо‰ном тексте. Специ‡льный случ‡й Если блоки ‚ тексте и осно‚ном шифе имеют о‰ин тот же ‡зме (n = r), шифние/‰ешифние ст‡но‚итсfl более постым, но мы ост‡‚лflем ‰и‡„‡ммы и ‡л„оитм к‡к уп‡жнение.

Режим счетчик‡ (CTR) В ежиме счетчик‡ (CTR — Counter) нет инфом‡ции об‡тной с‚flзи. Пс傉ослуч‡йный ключе‚ой поток ‰ост脇етсfl с помощью счетчик‡. Счетчик н‡ n бит иници‡лизиуетсfl ‚ з‡‡нее опе‰еленное зн‡чение (IV) и у‚елич肇етсfl по осно‚ному и з‡‡нее опе‰еленному п‡‚илу (mod 2n). Чтобы обеспеч肇ть случ‡йность, ‚еличин‡ пи‡щениfl может 燂исеть от номе‡ блок‡. Исхо‰ный текст и блок з‡шифнно„о текст‡ имеют о‰ин и тот же ‡зме блок‡, к‡к и осно‚ной шиф (н‡пиме, DES или AES). Блоки ‡зме‡ n исхо‰но„о текст‡ з‡шифны т‡к, чтобы со片ть з‡шифнный текст с блоком ‡зме‡ n. Рисунок 8.8 пок‡зы‚‡ет шифние ‚ ежиме счетчик‡.

Рис. 8.8. Шифние ‚ ежиме счетчик‡ Отношение меж‰у исхо‰ным текстом и блок‡ми з‡шифнно„о текст‡ пок‡з‡но ниже. Шифние: Ci=Pi ⊕ Eki (Счетчик)

Дешифние:Pi = Ci ⊕ Eki (Счетчик) 261

Кус

Кипто„‡фиfl и безоп‡сность сетей

CTR использует функцию шифниfl осно‚но„о блочно„о шиф‡ (EK) и ‰лfl шифниfl, и ‰лfl ‰ешифниfl. Дост‡точно ле„ко ‰ок‡з‡ть, что блок Pi исхо‰но„о текст‡ может быть ‚осст‡но‚лен из з‡шифнно„о текст‡ Ci. Это мы ост‡‚лflем к‡к уп‡жнение. Мы можем с‡‚нить ежим CTR с ежим‡ми OFB и ECB. По‰обно OFB, CTR со片ет ключе‚ой поток, котоый не燂исим от пе‰ы‰уще„о блок‡ з‡шифнно„о текст‡, но CTR не использует инфом‡цию об‡тной с‚flзи. Т‡к же к‡к ECB, CTR со片ет n-бито‚ый з‡шифнный текст, блоки котоо„о не燂исимы ‰у„ от ‰у„‡ — они 燂исflт только от зн‡чений счетчик‡. Отиц‡тельной стооной это„о с‚ойст‚‡ fl‚лflетсfl то, что ежим CTR, по‰обно ежиму ECB, не может пименflтьсfl ‰лfl об‡ботки ‚ е‡льном м‡сшт‡бе ‚емени. Ал„оитм шифниfl ж‰ет пее‰ шифнием з‡конченный n-‡зfl‰ный блок ‰‡нных. Положительн‡fl стоон‡ это„о с‚ойст‚‡: ежим, по‰обно ежиму ECB, может использтьсfl, чтобы з‡шифть и ‡сшифо‚ы‚‡ть ф‡йлы поиз‚ольно„о ‰оступ‡, и зн‡чение счетчик‡ может быть с‚flз‡но номеом з‡писи ‚ ф‡йле. CTR к‡к шиф поток‡ CFB, OFB и CTR — ф‡ктически шифы поток‡. Рисунок 8.9 пок‡зы‚‡ет шифние и ‰ешифние i-то„о блок‡ ‰‡нных.

Рис. 8.9. Шифние ‚ ежиме счетчик‡ к‡к шиф поток‡ Ал„оитм Ал„оитм 8.5 со‰ежит поце‰уу ‚ пс傉око‰е ‰лfl шифниfl; ‡л„оитм ‰лfl ‰ешифниfl ост‡‚лflем к‡к уп‡жнение. З‰есь зн‡чение пи‡щениfl 燂исит от номе‡ блок‡. Ду„ими слми, зн‡чениfl счетчик‡ — IV, IV + 1, IV + 3, IV + 6, и т‡к ‰‡лее. Пе‰по뇄‡етсfl, что ‚се N-блоки исхо‰но„о текст‡ „ото‚ы ‰о н‡ч‡л‡ шифниfl, но ‡л„оитм может быть пеепис‡н, чтобы избеж‡ть это„о пе‰положениfl. Безоп‡сность Поблемы безоп‡сности ‰лfl ежим‡ CTR те же с‡мые, что и ‰лfl ежим‡ OFB. 262

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

Р‡спост‡нение ошибки Е‰инст‚енн‡fl ошибк‡ ‚ з‡шифнном тексте з‡т‡„肇ет только соот‚етст‚ующий бит ‚ исхо‰ном тексте. Ал„оитм 8.5. Ал„оитм шифниfl CTR CTR_Encrypt¥on (IV, K, Pla¥ntext blocks) { Counter <— IV for(¥= 1 to N) { Counter <— (Counter + ¥ -1)mod2N k¥ <— EK (Counter) C¥ <— P¥ ⊕ k¥ } return C¥phertext blocks } С‡‚нение ‡зличных ежимо‚ Т‡блиц‡ 8.1 с‡‚н肇ет пflть ‡зличных ежимо‚ ‡боты, ‡ссмотенных ‚ этой лекции. Т‡блиц‡ 8.1. Ито„и ежимо‚ ‡боты Режим ‡боты ECB CBC

CFB

OFB

CTR

Опис‡ние

Тип Р‡зме езульт‡т‡ блок‡ К‡ж‰ый n-бито‚ый блок шифуетсfl не燂исимо Блочный тем же с‡мым ключом шиф n То же с‡мое, что и ‚ ECB, но к‡ж‰ый блок Блочный n сн‡ч‡л‡ ск뇉ы‚‡етсfl (ИСКЛЮЧАЮЩЕЕ ИЛИ) шиф с пе‰ы‰ущим з‡шифнным текстом блочный шиф К‡ж‰ый r-бито‚ый блок ск뇉ы‚‡етсfl Шиф r≤n (ИСКЛЮЧАЮЩЕЕ ИЛИ) с r-бито‚ым поток‡ ключом, котоый fl‚лflетсfl ч‡стью пе‰ы‰уще„о текст‡ шиф‡ То же с‡мое, что и ‚ CFB, но е„ист с‰‚脇 Шиф r≤n мо‰ифицин с помощью пе‰ы‰уще„о поток‡ r-бито‚о„о ключ‡ То же с‡мое, к‡к ‚ OFB, но счетчик Шиф n используетсfl ‚место е„ист‡ с‰‚脇 поток‡

8.2. Использние шифо‚ поток‡ Хотfl эти пflть ежимо‚ ‡боты ‰опуск‡ют использние блочных шифо‚ ‰лfl шифниfl сообщений или ф‡йло‚ ‚ больших мо‰улflх (ECB, CBC и CTR) и 263

Кус

Кипто„‡фиfl и безоп‡сность сетей

м‡леньких мо‰улflх (OFB и OFB), ин‡ необхо‰имо пе則ть поток ‰лfl то„о, чтобы з‡шифть м‡ленькие е‰иницы инфом‡ции — сим‚олы или биты. Шифы поток‡ более эффекти‚ны ‰лfl об‡ботки ‚ е‡льном м‡сшт‡бе ‚емени. Некотоые шифы поток‡ использлись ‚ ‡зличных потокол‡х ‚ течение пошлых нескольких ‰есflтилетий. Мы ‡ссмотим только ‰‚‡: RC4 и A5/1.

RC4 RC4 — потоко‚ый шиф, котоый был ‡з‡бот‡н ‚ 1984 „. Рон‡ль‰ом Ри‚естом. RC4 используетсfl ‚о мно„их систем‡х пе則чи ‰‡нных и потокол‡х о„‡низ‡ции сети, н‡пиме, SSL/TLS (см. лекцию 17) и IEEE 802.11 (беспо‚о‰ный ст‡н‰‡т LAN). RC4 — б‡йт-оиентинный шиф поток‡, ‚ котоом б‡йт (8 бито‚) исхо‰но„о текст‡ ск뇉ы‚‡етсfl (ИСКЛЮЧАЮЩЕЕ ИЛИ) с б‡йтом ключ‡, чтобы получить б‡йт з‡шифнно„о текст‡. Ключ з‡секеч肇ниfl, из котоо„о с„енеины о‰ноб‡йто‚ые ключи ‚ потоке ключей, может со‰еж‡ть от 1 ‰о 256 б‡йто‚. М‡тиц‡ состоflний RC4 б‡зиуетсfl н‡ понflтии м‡тицы состоflний. В к‡ж‰ый момент м‡тиц‡ состоflний 256 б‡йто‚ ‡кти‚изиуетсfl, из нее случ‡йным об‡зом ‚ыби‡етсfl о‰ин б‡йт, чтобы служить ключом ‰лfl шифниfl И‰еfl может быть пок‡з‡н‡ ‚ ‚и‰е м‡сс肇 б‡йто‚: S [0] S [l] S [2] ... S [255] З‡метим, что ин‰ексы ‰и‡п‡зон‡ элементо‚ — меж‰у 0 и 255. Со‰еж‡ние к‡ж‰о„о элемент‡ — б‡йт (8 бито‚), котоый может интепетитьсfl к‡к целое число от 0 ‰о 255. И‰еfl Рисунок 8.10 пок‡зы‚‡ет и‰ею RC4. Пе‚ые ‰‚‡ блок‡ ‚ыполнflютсfl только о‰ин ‡з (иници‡лиз‡циfl); пеест‡но‚ки ‰лfl то„о, чтобы со片‚‡ть ключ поток‡, по‚тоflютсfl, пок‡ есть б‡йты исхо‰но„о текст‡, пе‰н‡зн‡ченные ‰лfl шифниfl. Иници‡лиз‡циfl Иници‡лиз‡циfl ‰ел‡етсfl ‚ ‰‚‡ ш‡„‡. 1. Н‡ пе‚ом ш‡„е м‡тиц‡ состоflний иници‡лизиуетсfl ‰лfl зн‡чений 0, 1,..., 255. Со片етсfl т‡кже м‡сси‚ ключей K [0], K [1] ..., K [255]. Если ключ з‡секеч肇ниfl имеет точно 256 б‡йто‚, б‡йты копиуютсfl ‚ м‡сси‚ K; ин‡че — б‡йты по‚тоflютсfl, пок‡ не з‡полнитсfl м‡сси‚ K. for (¥ = 0 to 255) { S[¥] <— ¥ K[¥] <— Key [¥ mod Key Length] } 264

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

Рис. 8.10. И‰еfl шиф‡ поток‡ RC4 2. Н‡ ‚тоом ш‡„е иници‡лизинн‡fl м‡тиц‡ похо‰ит пеест‡но‚ку (скэмблиние элементо‚), осннную н‡ зн‡чении б‡йто‚ ‚ K[i]. Ключе‚ой б‡йт используетсfl только н‡ этом ш‡„е, чтобы опе‰елить, к‡кие элементы ‰олжны быть з‡менены. После это„о ш‡„‡ б‡йты м‡тицы полностью пеет‡сны. j <— 0 for (¥ = 0 to 255) { j <— (j + S[¥] + K[¥]) mod 256 з‡мен‡ (S[¥], S[j]) } Гене‡циfl ключе‚о„о поток‡. Ключи k ‚ ключе‚ом потоке „енеиуютсfl о‰ин ‰у„им. Сн‡ч‡л‡ элементы м‡тицы состоflний пеест‡‚лflютсfl н‡ осно‚е зн‡чений с‚оих элементо‚ и зн‡чений ‰‚ух ин‰и‚и‰у‡льных пееменных i и j. З‡тем зн‡чениfl ‰‚ух элементо‚ м‡тицы состоflний ‚ позициflх i и j используютсfl, чтобы опе‰елить ин‰екс элемент‡ м‡тицы состоflний, котоый служит к‡к 265

Кус

Кипто„‡фиfl и безоп‡сность сетей

ключ k. Сле‰ующий ко‰ по‚тоflетсfl ‰лfl к‡ж‰о„о б‡йт‡ исхо‰но„о текст‡, чтобы со片ть но‚ый ключе‚ой элемент ‚ ключе‚ом потоке. Пееменные i и j иници‡лизиуютсfl ‚ 0 пеж‰е, чем бу‰ет по‚е‰ен‡ пе‚‡fl ите‡циfl, но зн‡чение копиуетсfl от о‰ной ите‡ции к сле‰ующей. ¥ <— (¥ +1) mod 256 j <— (j +S[¥]mod256 з‡мен‡ (S [¥] , S[j] k <— S [(S[I] + S[j]) mod 256] Шифние или ‰ешифние. После то„о к‡к k были со片н, б‡йт исхо‰но„о текст‡ з‡шифо‚ы‚‡етсfl с помощью k, чтобы со片ть б‡йт з‡шифнно„о текст‡. Дешифние пе‰ст‡‚лflет собой об‡тный поцесс. Ал„оитм Ал„оитм 8.6 пок‡зы‚‡ет поце‰уу, н‡пис‡нную н‡ пс傉око‰е, ‰лfl RC4. Ал„оитм 8.6. Ал„оитм шифниfl ‰лfl RC4 RC4_Encrypt¥on (K) { // Со片ние н‡ч‡льной м‡тицы состоflний и ключе‚ых б‡йто‚ for (¥ = 0 to 255) { S[¥] <— ¥ K[¥] <— Key [¥ mod Key Length] } // Пеест‡но‚к‡ б‡йто‚ м‡тицы состоflний н‡ осно‚е зн‡чений // б‡йт‡ ключ‡ j <— 0 for (¥ = 0 to 255) { j <— (j+ S[¥] + K[¥] mod 256 з‡мен‡ (S[¥] , S[j]) //Непеы‚н‡fl пеест‡но‚к‡ б‡йто‚, „ене‡циfl ключей и шифние ¥ <— 0 j <— 0 wh¥le (пок‡ есть б‡йты ‰лfl шифниfl) { {¥ <— (¥ + 1) mod 256 j <— (j +S[¥])mod256 з‡мен‡ (S [¥] ,S[j]) k <— S [(S[¥] +S[j])mod256] // Ключ „ото‚, шифние ¥nput P C <— P ⊕ k output C } } 266

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

Пиме 8.5 Чтобы пок‡з‡ть случ‡йность ключ‡ поток‡, мы используем ключ з‡секеч肇ниfl со ‚семи нуле‚ыми б‡йт‡ми. Ключе‚ой поток ‰лfl 20 зн‡чений A: (222, 24, 137, 65, 163, 55, 93, 58, 138, 6, 30, 103, 87, 110, 146, 109, 199, 26, 127, 163). Пиме 8.6 По‚тоим пиме 8.5, но пусть ключ з‡секеч肇ниfl бу‰ет пflть б‡йто‚ (15, 202, 33, 6, 8). Ключе‚ой поток — (248, 184, 102, 54, 212, 237, 186, 133, 51, 238, 108, 106, 103, 214, 39, 242, 30, 34, 144, 49). Сн случ‡йность ‚ ключе‚ом потоке оче‚и‰н‡. Поблемы безоп‡сности Из‚естно, что шиф безоп‡сен, если ‡зме ключ‡ — по к‡йней мее, 128 бито‚ (16 б‡йто‚). Это по‰т‚е扇етсfl сообщениflми о некотоых ‡т‡к‡х ‰лfl м‡лых ‡змео‚ ключей (меньше, чем 5 б‡йто‚). Потоколы, котоые се„о‰нfl использует RC4, уст‡н‡‚л肇ют ‡змеы ключей, котоые ‰ел‡ют RC4 безоп‡сным. О‰н‡ко, к‡к и ‰лfl мно„их ‰у„их шифо‚, екомен‰уетсfl, чтобы ‰лfl ‡зличных се‡нсо‚ пименflлись ‡зличные ключи. Это пепflтст‚ует Е‚е использть ‰иффеенци‡льный кипто‡н‡лиз шиф‡.

A5/1 В этом ‡з‰еле мы ‚‚о‰им шиф поток‡, котоый пименflет линейный е„ист с‰‚脇 (см. лекцию 5, LFSR Linear Feed Back Shift Register), чтобы со片ть бито‚ый поток: A5/1. A5/1 (член семейст‚‡ шифо‚ A5) используетсfl ‚ Глоб‡льной Системе Мобильной с‚flзи (GSM). Телефонн‡fl с‚flзь ‚ GSM осущест‚лflетсfl к‡к после‰о‚‡тельность ꇉо‚ н‡ 228 бито‚, пи этом к‡ж‰ый ꇉ ‰литсfl 4,6 миллисекун‰ы. A5/1 со片ет поток бит, исхо‰fl из ключ‡ н‡ 64 бит‡. Р‡зfl‰ные потоки соб‡ны ‚ буфее по 228 бито‚, чтобы ск뇉ы‚‡ть их по мо‰улю ‰‚‡ с ꇉом н‡ 228 бито‚, к‡к пок‡з‡но н‡ ис. 8.11.

Рис. 8.11. Общий ‚и‰ A5/1 Гене‡то ключей A5/1 используютсfl ти LFSR н‡ 19,22,23 бит‡. LFSR , со‰еж‡щие биты сим‚оло‚ и синхониз‡ции, пок‡з‡ны н‡ ис 8.12. 267

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 8.12. Ти линейных е„ист‡ с‰‚脇 ‰лfl A5/1 О‰нобито‚ый ‚ыхо‰ обеспеч肇ет т‡кто‚ыми импульс‡ми буфе н‡ 228 бито‚, котоый используетсfl ‰лfl шифниfl (или ‰ешифниfl). Иници‡лиз‡циfl. Иници‡лиз‡циfl ‚ыполнflетсfl ‰лfl к‡ж‰о„о ꇉ‡ шифниfl (или ‰ешифниfl). Он‡ пименflет ключ з‡секеч肇ниfl н‡ 64 бит‡ и 22 бит‡ соот‚етст‚ующе„о номе‡ ꇉ‡. Сле‰ующие ш‡„и: 1. Сн‡ч‡л‡ ‚се биты ‚ тех линейных е„ист‡х с‰‚脇 уст‡н‡‚л肇ютсfl ‚ 0. 2. Втоой: ключ н‡ 64 бит‡ смеш肇етсfl со зн‡чением е„ист‡ со„л‡сно сле‰ующему ко‰у. К‡ж‰ый линейный е„ист смещ‡етсfl н‡ о‰ин ш‡„ (синхониз‡циfl). For (¥ = 0 to 63) { Сложение по мо‰улю 2 K[¥] с к‡йними ле‚ыми бит‡ми ‚сех тех е„исто‚. Синхониз‡циfl ‚сех тех линейных е„исто‚ с‰‚脇 { 3. По‚тоить пе‰ы‰ущий поцесс, но использть 22-бито‚ый ꇉ. for (¥ = 0 to 22) { Сложение по мо‰улю 2 номе‡ ꇉ‡ [¥] с к‡йними ле‚ыми бит‡ми ‚сех тех е„исто‚. Синхониз‡циfl ‚сех тех линейных е„исто‚ с‰‚脇 { 4. В течение 100 цикло‚ синхонизиуетсfl ‚есь „ене‡то. Пи этом пименен‡ м‡жоит‡н‡fl функциfl (см. сле‰ующий ‡бз‡ц), ‰лfl то„о чтобы опе‰елить, к‡кой линейный е„ист с‰‚脇 ‰олжен быть синхонизин. Об‡тите ‚ним‡ние: ин‡ синхониз‡циfl з‰есь озн‡ч‡ет, что ‰‚‡, ‡ то и ‚се ти линейных е„ист‡ с‰‚脇 похо‰flт поцесс смещениfl. 268

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

for (¥ = 0 to 99) { Синхониз‡циfl ‚се„о „ене‡то‡, н‡ осно‚е м‡жоит‡ной функции } М‡жоит‡н‡fl функциfl. Зн‡чение м‡жоит‡ной функции (majority) с п‡‡мет‡ми (b1, b 2, b3) ‡‚но 1, если зн‡чение большинст‚‡ бито‚ — 1; если это — 0, то ее зн‡чение — 0. Н‡пиме, majority (1, 0, 1) = 1, но majority (0, 0, 1) = 0. Зн‡чение м‡жоит‡ной функции опе‰елflетсfl пее‰ поступлением т‡кто‚о„о импульс‡; ти ‚хо‰ных бит‡ н‡з‚‡ны синхонизиующими бит‡ми: если с‡мый п‡‚ый бит ‡‚ен нулю, это — биты линейных е„исто‚ LFSR1 [10], LFSR2 [11] и LFSR3 [11]. Об‡тите ‚ним‡ние, что ‚ лите‡туе эти биты 8, 10 и 10 отсчиты‚‡ют сл傇 (к‡к это пок‡з‡но н‡ ис. 8.12). Мы бу‰ем ‡ссм‡т肇ть 10, 11 и 11, счит‡fl сп‡‚‡. Это со„л‡шение соот‚етст‚ует месту бит‡ ‚ х‡‡ктеистическом полиноме. Ключе‚ые биты поток‡. Гене‡то ключей со片ет ключе‚ой поток ‚ о‰ин бит пи к‡ж‰ом т‡кто‚ом импульсе. Пеж‰е чем ключ бу‰ет со片н, ‚ычислflетсfl м‡жоит‡н‡fl функциfl. З‡тем к‡ж‰ый линейный е„ист с‰‚脇 синхонизиуетсfl, если е„о бит синхониз‡ции соот‚етст‚ует езульт‡ту м‡жоит‡ной функции; ин‡че — он не синхонизиуетсfl. Пиме 8.7 В некотоый момент ‚емени биты синхониз‡ции — 1, 0 и 1. К‡кой ‰олжен быть LFSR? Решение Результ‡т Majority (1, 0, 1) = 1. LFSR1 и LAFS3 с‰‚脇ютсfl, ‡ LFSR2 — нет. Шифние/‰ешифние Р‡зfl‰ные потоки, со片нные „ене‡тоом ключей, з‡писы‚‡ютсfl ‚ буфе, чтобы потом сфомить ключ н‡ 228 бито‚, котоый з‡тем ск뇉ы‚‡ет по мо‰улю ‰‚‡ с ꇉом исхо‰но„о текст‡, чтобы со片ть ꇉ з‡шифнно„о текст‡. В о‰ин момент ‚емени ‰ел‡етсfl шифние/‰ешифние о‰но„о ꇉ‡. Поблемы безоп‡сности Хотfl GSM по‰олж‡ет использть A5/1, уже были з‡е„истины несколько ‡т‡к н‡ GSM. Д‚е из них были упомflнуты. В 2000 „о‰у Алекс Биюко‚, Дэ‚и‰ В‡„не и Э‰и Ш‡ми пок‡з‡ли, что ‡т‡к‡ ‚ е‡льном м‡сшт‡бе ‚емени н‡хо‰ит ключ з‡ несколько минут н‡ осно‚е из‚естных м‡лых исхо‰ных тексто‚, но это тебует эт‡п‡ п剂‡ительной об‡ботки с 248 ш‡„‡ми. В 2003 Эꉇхи и Джонсон (Ekdahi и Johannson) опубликли ‡т‡ку, кото‡fl ‚скы‚‡л‡ A5/1 з‡ несколько минут, пименflfl ‡н‡лиз исхо‰но„о текст‡ ‚ течение 2-5 минут. Имеfl ‚ ‚и‰у некотоые но‚ые ‡т‡ки GSM, ‚озможно, ‚ бу‰ущем нужно бу‰ет сменить или укепить A5/1.

8.3. Ду„ие поблемы Шифние, котоое использует блоки с симметичными ключ‡ми или шифы поток‡, тебует обсуж‰ениfl ‰у„их поблем. 269

Кус

Кипто„‡фиfl и безоп‡сность сетей

Уп‡‚ление ключ‡ми Алис‡ и Боб ‰олжны со‚местно использть секетный ключ, чтобы иметь 퇉ежную с‚flзь с использнием шиф‡ с симметичным ключом. Если есть n объекто‚ ‚ сообщест‚е, к‡ж‰ый из котоых хочет с‚flз‡тьсfl с n – 1 ‰у„им объектом, то т‡ необхо‰имы n (n – 1) ключей з‡секеч肇ниfl. О‰н‡ко пи шифнии симметичными ключ‡ми о‰ин ключ может пименflтьсfl ‚ обоих н‡п‡‚лениflх: от Алисы к Бобу и от Боб‡ к Алисе. Это озн‡ч‡ет, что нужно только n (n – 1)/2 ключей. Если n — пиблизительно миллион, то ‰олжны быть ‚ы‰‡ны почти пflтьсот миллионо‚ ключей. Поскольку это нее‡льно, то были н‡й‰ены несколько ‰у„их ешений. Пе‚ое: к‡ж‰ый ‡з, к‡ Алис‡ и Боб хотflт с‚flз‡тьсfl, они мо„ут со片ть меж‰у собой се‡нсо‚ый (‚еменный) ключ. Втоое: мо„ут быть уст‡но‚лены о‰ин или более центо‚ ‡спе‰елениfl ключей, чтобы ‡спе‰елflть се‡нсо‚ые ключи ‰лfl объекто‚. Все эти поблемы — ч‡сть теоии уп‡‚лениfl ключ‡ми, кото‡fl бу‰ет обсу扇тьсfl ‚ лекции 15 после то„о, к‡к бу‰ут ‡ссмотены необхо‰имые инстумент‡льные се‰ст‚‡. Уп‡‚ление ключ‡ми бу‰ет обсу扇тьсfl ‚ лекции 15.

Генеиние ключей Ду„‡fl поблем‡ ‚ шифнии симметичными ключ‡ми — безоп‡сн‡fl „ене‡циfl ключ‡. Р‡зличные шифы с симметичным ключом ну扇ютсfl ‚ ключ‡х ‡зличных ‡змео‚. Выбо ключ‡ ‰олжен б‡зитьсfl н‡ „‡‡нтии безоп‡сности систем‡тическо„о мет ‰лfl избеж‡ниfl утечки. Если Алис‡ и Боб „енеиуют се‡нсо‚ые ключи меж‰у собой, они ‰олжны ‚ыб‡ть ключ случ‡йным об‡зом, т‡к, чтобы Е‚‡ не мо„л‡ п剂и‰еть, к‡ко‚ бу‰ет сле‰ующий ключ. Если ключи ‰олжен ‡спе‰елflть ключе‚ой цент, они ‰олжны иметь случ‡йный х‡‡кте, чтобы Е‚‡ не мо„л‡ получить ключ, н‡зн‡ченный Алисе и Бобу, из ключ‡, н‡зн‡ченно„о Джону и Е‚е. Это по‰‡зум傇ет, что нужен „ене‡то случ‡йных (или пс傉ослуч‡йных) чисел. Поскольку обсуж‰ение „ене‡то‡ случ‡йных чисел ‚ключ‡ет некотоые темы, котоые еще не были ‡ссмотены, изучение „ене‡тоо‚ случ‡йных чисел пе‰ст‡‚лено ‚ пиложении K. Гене‡тоы случ‡йных чисел бу‰ут обсу扇тьсfl ‚ пиложении K.

8.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ Нижесле‰ующие кни„и и с‡йты ‰‡ют более ‰ет‡льную инфом‡цию о пе‰мет‡х, ‡ссмотенных ‚ этой лекции. Пункты, пи‚е‰енные ‚ ꂇ‰‡тных скобк‡х, со‰еж‡тсfl ‚ списке ‚ конце кни„и.

Кни„и [Sch99], [Sta06], [PHS03], [Sti06], [MOV97] и [KPS02] ‡ссм‡т肇ют ежимы ‡боты. [Vau06] и [Sta06] ‰‡ют полные с‚е‰ениfl о шиф‡х поток‡. 270

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

С‡йты Нижесле‰ующие с‡йты со‰еж‡т больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http: // en.wikipedia.org/wiki/Block_cipher_modes_of_operation http://www.itl.nist.gov/fipspubs/fip81.htm en.wikipedia.org/wiki/A5/1 en.wikipedia.org/wiki/RC4

8.5. Ито„и • В е‡льных пиложениflх з‡шифнный текст имеет пееменные ‡змеы и обычно н‡мно„о большие, чем ‡зме блок‡, опе‰еленный ‰лfl со‚еменных блочных шифо‚. Режимы ‡боты были изобетены, чтобы з‡шифть текст любо„о ‡зме‡, котоый обслуж肇етсfl со‚еменными блочными шиф‡ми. В этой лекции были ‡ссмотены пflть ежимо‚ ‡боты. • С‡мый постой ежим ‡боты н‡зы‚‡етсfl ежимом электонной ко‰о‚ой кни„и (ECB — ELECTRONIC CODEBOOK). Исхо‰ный текст ‡з‰елен н‡ N блоко‚. Р‡зме блок‡ — n бит. К‡ж‰ый блок использует ‰лfl шифниfl и ‰ешифниfl о‰ин и тот же ключ. • В ежиме сцеплениfl блоко‚ шифотекст‡ (CBC — Cipher Block Chaining) к‡ж‰ый блок исхо‰но„о текст‡, пеж‰е чем з‡шифо‚ы‚‡ть, ск뇉ы‚‡ют по мо‰улю ‰‚‡ с пе‰ы‰ущим блоком з‡шифнно„о текст‡. К‡ блок з‡шифн, е„о пе則ют, но е„о копиfl сох‡нflетсfl ‚ п‡мflти, чтобы ее можно было использть ‰лfl шифниfl сле‰ующе„о блок‡. Пе則тчик и пиемник со„л‡суют з‡‡нее 燉‡нный ‚екто иници‡лиз‡ции (IV), чтобы ск뇉ы‚‡ть е„о по мо‰улю ‰‚‡ с пе‚ым блоком з‡шифнно„о текст‡. • Чтобы шифть м‡ленькие мо‰ули ‰‡нных ‚ е‡льном м‡сшт‡бе ‚емени, пименflетсfl ежим ко‰инной об‡тной с‚flзи (CFB — CIPHER FEEDBACK), CFB пименflет ст‡н‰‡тные блочные шифы, т‡кие к‡к DES или AES, е„ист с‰‚脇, но использует опе‡цию сложениfl по мо‰улю ‰‚‡, чтобы з‡шифть или ‡сшифо‚ы‚‡ть мо‰ули ‰‡нных. Режим CFB пименflет блочные шифы, но ‚ езульт‡те — это шиф поток‡, потому что к‡ж‰ый мо‰уль ‰‡нных з‡шифо‚ы‚‡етсfl с‚оим ключом. • Режим ‚нешней об‡тной с‚flзи (OFB) очень похож н‡ ежим CFB, с о‰ной ‡зницей — к‡ж‰ый бит ‚ з‡шифнном тексте не燂исим от пе‰ы‰уще„о бит‡ или бито‚. Это поз‚олflет избеж‡ть ‡спост‡нениfl ошибки. Вместо то„о чтобы использть пе‰ы‰ущий блок з‡шифнно„о текст‡, OFB беет пе‰ы‰ущий ключ к‡к инфом‡цию об‡тной с‚flзи. • В ежиме счетчик‡ (CTR) нет инфом‡ции об‡тной с‚flзи. Пс傉ослуч‡йность ‚ потоке ‰ост脇етсfl с помощью счетчик‡. Счетчик н‡ n бито‚ иници‡лизиуетсfl уст‡но‚кой з‡‡нее 燉‡нно„о зн‡чениfl (IV) и у‚елич肇етсfl по з‡‡нее 燉‡нному п‡‚илу. 271

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Чтобы з‡шифть м‡ленькие е‰иницы ‰‡нных, т‡кие к‡к сим‚олы или биты, были ‡з‡бот‡ны и испыты‚‡ютсfl несколько шифо‚ поток‡. Эти шифы поток‡ более эффекти‚ны ‰лfl об‡ботки ‚ е‡льном м‡сшт‡бе ‚емени. В этой лекции ‡ссм‡т肇лись только ‰‚‡ шиф‡ поток‡ — RC4 и A5/l. • RC4 — шиф поток‡, оиентинный н‡ б‡йт, ‚ котоом б‡йт (8 бито‚) исхо‰но„о текст‡ 퇉о сложить по мо‰улю ‰‚‡ с б‡йтом ключ‡, чтобы со片ть б‡йт з‡шифнно„о текст‡. Секетный ключ, из котоо„о „енеиуютсfl о‰ноб‡йто‚ые ключи ‚ ключе‚ом потоке, может со‰еж‡ть от 1 ‰о 256 б‡йто‚. Ключе‚ой „ене‡то поток‡ б‡зиуетсfl н‡ пеест‡но‚ке 256 б‡йто‚. • A5/1 — шиф поток‡, используемый ‰лfl мобильной телефонной с‚flзи. A5/1 со片ет поток бит из ключ‡ н‡ 64 бит‡, используfl ти линейных е„ист‡ с‰‚脇.

8.6. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Объflсните, почему необхо‰имы ежимы ‡боты, если ‰лfl шифо‚ки используютсfl со‚еменные блочные шифы. 2. Пеечислите пflть ежимо‚ ‡боты, ‡ссмотенных ‚ этой лекции. 3. Опе‰елите ECB ( ELECTRONIC CODEBOOK) и пеечислите е„о пеимущест‚‡ и не‰ост‡тки. 4. Опе‰елите CBC (CIPHER BLOCK CHAINING) и пеечислите ее пеимущест‚‡ и не‰ост‡тки. 5. Опе‰елите CFB (CIPHER FEEDBACK) и пеечислите е„о пеимущест‚‡ и не‰ост‡тки 6. Опе‰елите OFB (OUTPUT FEEDBACK) и пеечислите е„о пеимущест‚‡ и не‰ост‡тки. 7. Опе‰елите CTR и пеечислите е„о пеимущест‚‡ и не‰ост‡тки. 8. Р‡з‰елите пflть ежимо‚ ‡боты н‡ ‰‚е „уппы: те, котоые используют функции шифниfl и ‰ешифниfl, — осно‚ные шифы (н‡пиме, DES или AES), и те, котоые используют только функцию шифниfl. 9. Р‡з‰елите пflть ежимо‚ ‡боты н‡ ‰‚е „уппы: те, котоые тебуют ‰ополнение текст‡, и те, котоые не тебуют это„о. 10. Р‡з‰елите пflть ежимо‚ ‡боты н‡ ‰‚е „уппы: те, котоые используют о‰ин и тот же ключ ‰лfl шифниfl ‚сех блоко‚, и те, котоые используют ключе‚ой поток ‰лfl шифо‚ки блоко‚. 11. Объflсните осно‚ные ‡зличиfl меж‰у RC4 и A5/1. К‡кой из них использует линейный е„ист с‰‚脇? 12. К‡ко‚ ‡зме мо‰улfl ‰‡нных ‚ RC4? К‡ко‚ ‡зме мо‰улfl ‰‡нных ‚ A5/1? 13. Пеечислите ежимы ‡боты, котоые мо„ут быть ускоены п‡‡ллельной об‡боткой. 14. Пеечислите ежимы ‡боты, котоые мо„ут использтьсfl ‰лfl шифо‚ки ф‡йло‚ поиз‚ольно„о ‰оступ‡. 272

Лекциfl 8

Шифние, использующее со‚еменные шифы с симметичным ключом

Уп‡жнениfl 1. Пок‡жите, почему ежим CFB со片ет несинхонный шиф поток‡, ‡ ежим OFB со片ет синхонный. 2. Сколько блоко‚ з‡т‡„肇ет е‰инст‚енный бит ошибки ‚ пе則че ‚ ежиме CFB? 3. В ежиме ECB бит 17 ‚ з‡шифнном тексте блок‡ 8 ‡зушен ‚ течение пе則чи. Н‡й‰ите ‚озможные ‡зушенные биты ‚ исхо‰ном тексте. 4. В ежиме CBC биты 17 и 18 ‚ з‡шифнном тексте блок‡ 9 ‚ поцессе пе則чи были ‡зушены. Н‡й‰ите ‚озможные ‡зушенные биты ‚ исхо‰ном тексте. 5. В ежиме CFB биты 3-6 ‚ з‡шифнном тексте блок‡ 11 ‡зушены (r = 8). Н‡й‰ите ‚озможные ‡зушенные биты ‚ исхо‰ном тексте. 6. В ежиме CTR блоки 3 и 4 полностью ‡зушены. Н‡й‰ите ‚озможные ‡зушенные биты ‚ исхо‰ном тексте. 7. В ежиме OFB полный з‡шифнный текст блок‡ 11 ‡зушен (r = 8). Н‡й‰ите ‚озможные ‡зушенные биты ‚ исхо‰ном тексте. 8. Док‡жите, что исхо‰ный текст, используемый Алисой, может быть ‚осст‡но‚лен Бобом ‚ ежиме CFB. 9. Док‡жите, что исхо‰ный текст, используемый Алисой, может быть ‚осст‡но‚лен Бобом ‚ ежиме OFB. 10. Док‡жите, что исхо‰ный текст, используемый Алисой, может быть ‚осст‡но‚лен Бобом ‚ ежиме CTR. 11. Пок‡жите ‰и‡„‡мму ‰лfl шифниfl и ‰ешифниfl ‚ ежиме CFB, к‡ r = n. 12. Пок‡жите ‰и‡„‡мму ‰лfl шифниfl и ‰ешифниfl ‚ ежиме OFB, к‡ r = n. 13. Пок‡жите поцесс, используемый ‰лfl ‡л„оитм‡ ‰ешифниfl ‚ ежиме ECB, если пименflетсfl з‡х‚‡т з‡шифнно„о текст‡ (CTS) . 14. Пок‡жите ‰и‡„‡ммы шифниfl и ‰ешифниfl ‰лfl ежим‡ ECB (только после‰ние ‰‚‡ блок‡), к‡ используетсfl з‡х‚‡т з‡шифнно„о текст‡ (CTS). 15. Пок‡жите поцесс, используемый ‰лfl ‡л„оитм‡ ‰ешифниfl ‚ ежиме CBC, если пименflетсfl з‡х‚‡т з‡шифнно„о текст‡ (CTS). 16. Пок‡жите шифние и ‰и‡„‡мму ‰ешифниfl ‰лfl ежим‡ CBC (только после‰ние ‰‚‡ блок‡), к‡ используетсfl з‡х‚‡т з‡шифнно„о текст‡ (CTS). 17. Объflсните, почему нет потебности ‚ з‡х‚‡те з‡шифнно„о текст‡ ‚ ежим‡х CFB, OFB и CTR (CIPHER FEEDBACK, OUTPUT FEEDBACK). 18. Пок‡жите эффект ‡спост‡нениfl ошибки, к‡ ECB (ELECTRONIC CODEBOOK) использует мето‰ику CTS. 19. Пок‡жите эффект ‡спост‡нениfl ошибки, к‡ CBC использует мето‰ику CTS. 20. Режим Фоминие цепочки блоко‚ fl‚лflетсfl ‚‡и‡нтом, ‚ котоом ‚се пе‰ы‰ущие блоки з‡шифнно„о текст‡ пее‰ шифнием ск뇉ы273

Кус

Кипто„‡фиfl и безоп‡сность сетей

‚‡ютсfl по мо‰улю ‰‚‡ с текущим исхо‰ным текстом. Со片йте исунок‰и‡„‡мму, кото‡fl пок‡зы‚‡ет шифние и ‰ешифние. 21. Режим ‡змножениfl Цепочк‡ блоко‚ шифотекст‡ (PCBC) fl‚лflетсfl ‚‡и‡нтом CBC, ‚ котоом пее‰ шифнием пе‰ы‰ущий блок исхо‰но„о текст‡ и пе‰ы‰ущий блок з‡шифнно„о текст‡ ск뇉ы‚‡етсfl по мо‰улю ‰‚‡ с текущим блоком исхо‰но„о текст‡. Н‡исуйте ‰и‡„‡мму, кото‡fl пок‡зы‚‡ет шифние и ‰ешифние. 22. Режим Цепочк‡ блоко‚ шифотекст‡ с контольной суммой (CBCC) fl‚лflетсfl ‚‡и‡нтом CBC, ‚ котоом ‚се пе‰ы‰ущие блоки исхо‰но„о текст‡ пее‰ шифнием ск뇉ы‚‡ютсfl по мо‰улю ‰‚‡ с текущим блоком исхо‰но„о текст‡. Н‡исуйте ‰и‡„‡мму, чтобы пок‡з‡ть шифние и ‰ешифние и поиллюстить поце‰уу. 23. В RC4 пок‡жите пе‚ые 20 элементо‚ ключе‚о„о поток‡, если ключ з‡секеч肇ниfl — 7 б‡йто‚ со зн‡чениflми 1, 2, 3, 4, 5, 6 и 7. Вы можете пи жел‡нии н‡пис‡ть м‡ленькую по„‡мму. 24. В RC4 н‡й‰ите зн‡чение ‰лfl ключ‡ з‡секеч肇ниfl, котоый не изменflет м‡тицу состоflний после пе‚о„о и ‚тоо„о ш‡„о‚ иници‡лиз‡ции. 25. Алис‡ обмен肇етсfl сообщениflми с Бобом, используfl ‚ RC4 ‰лfl з‡секеч肇ниfl16-б‡йто‚ый ключ з‡секеч肇ниfl. Ключ з‡секеч肇ниfl изменflетсfl к‡ж‰ый ‡з, используfl екуси‚ное опе‰еление K = (Ki-1+Ki-1) mod 2128. Пок‡жите, сколькими сообщениflми они мо„ут обменflтьсfl пее‰ тем, к‡к текст н‡чнет по‚тоflтьсfl. 26. В A5/1 н‡й‰ите м‡ксим‡льный пеио‰ к‡ж‰о„о линейно„о е„ист‡ с‰‚脇. 27. В A5/1 н‡й‰ите зн‡чение сле‰ующих функций. В к‡ж‰ом случ‡е пок‡з‡ть, сколько синхонизиуетсfl линейных е„исто‚ с‰‚脇. a. Majority (1, 0, 0) b. Majority (0, 1, 1) c. Majority (0, 0, 0) d. Majority (1, 1, 1) 28. В A5/1 н‡й‰ите ‚ы‡жение ‰лfl м‡жоит‡ной функции. 29. Н‡пишите ‡л„оитм ‰ешифниfl ‚ пс傉око‰е ‰лfl ежим‡ ECB. 30. Н‡пишите ‡л„оитм ‰ешифниfl ‚ пс傉око‰е ‰лfl ежим‡ CBC. 31. Н‡пишите пс傉око‰ ‡л„оитм‡ ‰ешифниfl ‰лfl ежим‡ CFB. 32. Н‡пишите ‡л„оитм ‰ешифниfl ‚ пс傉око‰е ‰лfl ежим‡ OFB. 33. Н‡пишите ‡л„оитм ‰ешифниfl ‚ пс傉око‰е ‰лfl ежим‡ CTR. 34. Н‡пишите ‡л„оитм ‰лfl shiftleft-поце‰уы, используемой ‚ ‡л„оитме 8.4. 35. Н‡пишите ‡л„оитм ‰лfl selectleft-поце‰уы, используемой ‚ ‡л„оитме 8.4. 36. Н‡пишите ‡л„оитм ‰лfl поце‰уы конк‡тен‡ции, используемой ‚ ‡л„оитме 8.4.

274

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Ч‡сть 2. Шифние с ‡симметичными ключ‡ми В лекции 1 мы ‚и‰ели, что кипто„‡фиfl обеспеч肇ет ти мет: шифние с симметичными ключ‡ми, шифние с ‡симметичными ключ‡ми и хэшиние. Ч‡сть 2 пос‚flщен‡ шиф‡м с ‡ссиметичными ключ‡ми. Лекциfl 9 ‡ссм‡т肇ет м‡тем‡тические осно‚ы, необхо‰имые ‰лfl поним‡ниfl лекций ‚ этой ч‡сти и ост‡льной ч‡сти кни„и. Лекциfl 10 иссле‰ует со‚еменные шифы с ‡ссиметичными ключ‡ми. Лекциfl 9: М‡тем‡тик‡ кипто„‡фии. Ч‡сть III Лекциfl 9 ‡ссм‡т肇ет некотоые м‡тем‡тические понflтиfl, необхо‰имые, чтобы понflть сле‰ующие лекции. Мы по„о‚оим о постых числ‡х и их пиложении ‚ кипто„‡фии. Бу‰ут ‚‚е‰ены ‡л„оитмы ‰лfl испыт‡ниfl постоты чисел и оценк‡ их эффекти‚ности. Ду„ие темы ‚ключ‡ют ‡зложение н‡ множители, кит‡йскую теоему об ост‡тк‡х и ꂇ‰‡тичные с‡‚нениfl, ‚оз‚е‰ение ‚ степень и лифмы по мо‰улю, чтобы положить путь к ‡ссмотению кипто„‡фических систем с откытым ключом ‚ лекции 10. Лекциfl 10: Асимметично-ключ傇fl кипто„‡фиfl Лекциfl 10 ‡ссм‡т肇ет шифние с ‡симметичным ключом (откытый ключ ‰оступ‡). Он ‚‚о‰ит несколько кипто„‡фических систем, т‡ких к‡к ‡л„оитмы RSA, Rabin, ElGamal и киптосистем‡ н‡ осно‚е мет эллиптических ки‚ых (ECC — Elliptic Curve Cryptosystem). З‰есь упомин‡етсfl большинст‚о ‚и‰о‚ ‡т‡к ‰лfl к‡ж‰ой системы и пе‰ст‡‚лflютсfl екоме퉇ции к‡к пе‰от‚‡тить эти ‡т‡ки.

Лекциfl 9. М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • В‚ести постые числ‡ и их пиложениfl ‚ кипто„‡фии. • Обсу‰ить некотоые ‡л„оитмы по‚еки постоты чисел и их эффекти‚ность. • Обсу‰ить ‡л„оитмы ‡зложениfl н‡ множители и их пиложениfl ‚ кипто„‡фии. • Опис‡ть кит‡йскую теоему об ост‡тк‡х и ее пиложениfl. • В‚ести ꂇ‰‡тичное с‡‚нение. • В‚ести ‚оз‚е‰ение ‚ степень по мо‰улю и лифмы. Асимметично-ключ傇fl кипто„‡фиfl, котоую мы обсу‰им ‚ лекции 10, б‡зиуетсfl н‡ некотоых положениflх теоии чисел, ‚ключ‡fl теоии, с‚flз‡нные с постыми числ‡ми, ‡зложением н‡ множители сост‡‚ных объекто‚ ‚ постые числ‡, мо‰ульном ‚оз‚е‰ение ‚ степень и лифм‡х, ꂇ‰‡тичных ‚ычет‡х и ки275

Кус

Кипто„‡фиfl и безоп‡сность сетей

т‡йской теоеме об ост‡тк‡х. Эти поблемы бу‰ут ‡ссмотены з‰есь, ‚ леции 9, чтобы упостить поним‡ние леции 10.

9.1. Постые числ‡ Асимметично-ключ傇fl кипто„‡фиfl шиоко использует постые числ‡. Тем‡ постых чисел — больш‡fl ч‡сть любой кни„и по теоии чисел. Эт‡ лекциfl обсу扇ет только несколько понflтий и ф‡кто‚, чтобы откыть путь к лекции 10.

Опе‰еление Положительные целые числ‡ мо„ут быть ‡з‰елены н‡ ти „уппы: число 1, постые числ‡ и сост‡‚ные объекты, к‡к это пок‡з‡но н‡ ис. 9.1.

Рис. 9.1. Ти „уппы положительных целых чисел Положительное целое число — постое число т‡ и только т‡, к‡ оно точно ‰елимо без ост‡тк‡ н‡ ‰‚‡ целых числ‡ — н‡ 1 и н‡ с‡мо себfl. Сост‡‚ной объект — положительное целое число больше с чем ‰‚умfl ‰елителflми. Постое число ‰елимо без ост‡тк‡ только н‡ себfl и 1. Пиме 9.1 К‡кое н‡именьшее постое число? Решение Н‡именьшее постое число — 2, оно ‰елитсfl без ост‡тк‡ н‡ 2 (с‡мо н‡ себfl) и 1. Об‡тите ‚ним‡ние, что целое число 1 — не постое число со„л‡сно опе‰елению, потому что постое число ‰олжно быть ‰елимо без ост‡тк‡ ‰‚умfl ‡зличными целыми числ‡ми, не больше и не меньше. Целое число 1 ‰елимо без ост‡тк‡ только н‡ себfl; поэтому 1 — это не постое число. Пиме 9.2 Пеечислите постые числ‡, меньшие, чем 10. Решение Есть четые постых числ‡ меньше чем 10: 2, 3, 5 и 7. Интеесно, что поцент постых чисел ‚ ‰и‡п‡зоне 1-10 — 40%. С у‚еличением ‰и‡п‡зон‡ поцент уменьш‡етсfl. 276

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Вз‡имно постые числ‡ Д‚‡ положительных целых числ‡ a и b fl‚лflютсfl ‚з‡имно постыми (coprime), если НОД (a, b) = 1, потому что число 1 fl‚лflетсfl ‚з‡имно постым с любым целым числом. Если p — постое число, т‡ ‚се числ‡ от 1 ‰о p–1 fl‚лflютсfl ‚з‡имно постыми к p. В лекции 2 мы обсу扇ли множест‚о Zn*, чьи элементы — ‚се числ‡, ‚з‡имно постые к n. Множест‚о Zp* fl‚лflетсfl тем же с‡мым, з‡ исключением то„о, что мо‰уль (p) — постое число.

Количест‚о постых чисел После то„о к‡к понflтие постых чисел было опе‰елено, естест‚енно ‚озник‡ет ‚опос: число постых чисел конечно или бесконечно? Возьмем число n. Сколько есть постых чисел меньших, чем это число, или ‡‚ных n? Число постых чисел Число постых чисел бесконечно. Пи‚е‰ем несто„ое ‰ок‡з‡тельст‚о: пе‰положим, что множест‚о постых чисел конечно (о„‡ничено), и пусть p — н‡ибольшее постое число. Пеемножим ‚се постые числ‡, ‚хо‰flщие ‚ это множест‚о, и получим езульт‡т P = 2 × 3 × ... × p. Целое число (P + 1) не может иметь посто„о ‰елителfl q ≤ p (p – н‡ибольшее постое число). Т‡ этот ‰елитель ‰олжен быть о‰ним из множителей, ‚хо‰flщих ‚ P. Это зн‡чит, что q ‰елит P. Если q т‡кже ‰елит (P + 1), то q ‰елит (P + 1) – P = 1. Е‰инст‚енное число, котоое ‰елит 1, — это с‡м‡ 1, кото‡fl не fl‚лflетсfl постым числом. Поэтому q ‰олжно быть большим, чем p, и fl‰ постых чисел не исчепы‚‡етсfl пинflтым конечным множест‚ом. Число постых чисел бесконечно. Пиме 9.3 К‡к ти‚и‡льный пиме, пе‰положим, что е‰инст‚енные постые числ‡ н‡хо‰flтсfl ‚ множест‚е {2, 3, 5, 7, 11, 13, 17}. З‰есь P = 510510 и P + 1 = 510511. О‰н‡ко 510511 состоит из сле‰ующих постых чисел 510511 = 19 × 97 × 277; ни о‰но из этих постых чисел не было ‚ пе‚он‡ч‡льном списке. Эти ти постых числ‡ больше, чем 17. Число постых чисел, меньших n Чтобы ‡ссмотеть ‚тоую ‚озможность, ‚‚е‰ем функцию π (n), кото‡fl опе‰елflет число постых чисел, меньших или ‡‚ных n. Ниже пок‡з‡ны зн‡чениfl этой функции ‰лfl ‡злично„о π (n). π (1).= 0

π (2).=1

π (3).= 2

π (n).= 4

π (n).= 8

π (50).=15

π (100).=25

Но если n fl‚лflетсfl очень большим, к‡к мы можем ‚ычислить π (n)? Длfl от‚ет‡ можно использть только пиближение, котоое пок‡з‡но ниже: [n / (ln n)] < π (n). < [n / (ln n–1.08366)] Г‡усс обн‡ужил ‚ехний пе‰ел; Л‡„‡нж обн‡ужил нижний пе‰ел. 277

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 9.4 Н‡й‰ите количест‚о постых чисел, меньших, чем 1 000 000. Решение Пиближение ‰‡ет ‰и‡п‡зон от 72 383 ‰о 78 543. Ф‡ктическое число постых чисел — 78 498.

По‚ек‡ н‡ постое число Сле‰ующий ‚опос, котоый пихо‰ит н‡ ум: к‡к мы можем опе‰елить ‰лfl ‰‡нно„о числ‡ n, fl‚лflетсfl ли оно постым числом? Мы ‰олжны по‚еить, ‰елимо ли без ост‡тк‡ это число ‚семи постыми числ‡ми, меньшими, чем √n. Мы зн‡ем, что этот мето‰ неэффекти‚ен, но он хоош ‰лfl н‡ч‡л‡. Пиме 9.5 Дейст‚ительно ли 97 — постое число? Решение Н‡ибольшее ближ‡йшее целое число — √97 = 9. Постые числ‡ меньше, чем 9 — 2, 3, 5 и 7. По‚еим, ‰елимо ли без ост‡тк‡ 97 любым из этих номео‚. От‚ет: не ‰елимо, т‡к что 97 — постое число. Пиме 9.6 Дейст‚ительно ли 301 — постое число? Решение Н‡ибольшее ближ‡йшее целое число √301= 17. Мы ‰олжны по‚еить 2, 3, 5, 7, 11, 13 и 17. Числ‡ 2, 3 и 5 не ‰елflт 301, но 7 — ‰елит. Поэтому 301 — не постое число. Решето Э‡тосфен‡ Геческий м‡тем‡тик Э‡тосфен изобел мето‰, к‡к н‡йти ‚се постые числ‡, меньшие, чем n. Мето‰ н‡з‚‡н ешетом Э‡тосфен‡. Пе‰положим, что мы хотим н‡йти ‚се числ‡, меньшие, чем 100. Мы з‡писы‚‡ем ‚се числ‡ меж‰у 2 и 100. Поскольку √100 = 10, мы ‰олжны ‚и‰еть, ‰елим ли без ост‡тк‡ любое число меньше чем 100 н‡ числ‡ 2, 3, 5 и 7. Т‡блиц‡ 9.1 пок‡зы‚‡ет езульт‡т. Поцесс состоит ‚ сле‰ующем 1. Вычекнуть ‚се числ‡, ‰елимые без ост‡тк‡ н‡ 2 (коме с‡мо„о 2). 2. Вычекнуть ‚се числ‡, ‰елимые без ост‡тк‡ н‡ 3 (коме с‡мо„о 3). 3. Вычекнуть ‚се числ‡, ‰елимые без ост‡тк‡ н‡ 5 (коме с‡мо„о 5). 4. Вычекнуть ‚се числ‡, ‰елимые без ост‡тк‡ н‡ 7 (коме с‡мо„о 7). 5. Ост‡‚шиесfl числ‡ – постые.

Phi-функциfl Эйле‡ Phi-функциfl Эйле‡, φ(n), котоую ин‡ н‡зы‚‡ют тотиентой Эйле‡, и„‡ет очень ‚‡жную оль ‚ кипто„‡фии. Функциfl φ(n) н‡хо‰ит из fl‰‡ чисел 0,1…., n–1 числ‡, ‚з‡имно постые с n. Можно ‚спомнить из лекции 2, что множест‚о Zn* — 278

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Т‡блиц‡ 9.1. Решето Э‡тосфен‡

числ‡, котоые больше чем n и ‚з‡имно постые с n. Функциfl φ(n) ‚ычислflет число элементо‚ это„о множест‚‡. Ниже пок‡з‡но, к‡к н‡йти это зн‡чение 1. φ(1) = 0. 2. φ(p)= p – 1, если p — постое число. 3. φ(m × n) = φ(m) × φ(n) если m и n — ‚з‡имно постые. 4. φ(pe) = pe – pe-1, если p — постое. Мы можем объе‰инить эти четые п‡‚ил‡, пе‰н‡зн‡ченные ‰лfl н‡хож‰ениfl ϕ(n). φ(n) = (p1e1 – p1e1-1) × (p2e2 – p2e2-1) × … × (pkek – pkek-1) Очень ‚‡жно з‡метить, что зн‡чение φ(n) ‰лfl больших чисел может быть н‡й‰ено, если может быть н‡й‰ено число n и если n может быть пе‰ст‡‚лено ‚ ‚и‰е ‡зложениfl постых чисел. Ду„ими слми, ту‰ность н‡хож‰ениfl φ(n) 燂исит от ту‰ности н‡хож‰ениfl ‡зложениfl n. Это ‡ссм‡т肇етсfl ‚ сле‰ующем ‡з‰еле. Ту‰ность н‡хож‰ениfl φ(n) 燂исит от ту‰ности н‡хож‰ениfl ‡зложениfl n. Пиме 9.7 К‡кое зн‡чение имеет φ(13)? Решение Поскольку 13 — постое число, φ(13) = (13 – 1) = 12. Пиме 9.8 К‡кое зн‡чение имеет φ(10)? Решение Мы можем использть тетье п‡‚ило: φ(10) = φ(2) × φ(5) = 1 × 4 = 4, поскольку 2 и 5 — постые числ‡. Пиме 9.9 К‡кое зн‡чение имеет φ(240)? 279

Кус

Кипто„‡фиfl и безоп‡сность сетей

Решение Мы можем з‡пис‡ть 240 = 24 × 31 × 51. Т‡ φ(240) = (24 – 23) × (31 –30) × (51 × 50) = 64 Пиме 9.10 Можно ли ут‚е扇ть, что φ(49) = φ(7) × φ(7) = 6 × 6 = 36? Решение Нет. φ(49)= 72 – 71= 42 Пиме 9.11 К‡кие числ‡ fl‚лflютсfl элемент‡ми ‚ Z14*? Решение φ(14)= φ(14) = φ(7) × φ(2) = 6 × 1 = 6. Элементы – это 1, 3, 5, 9, 11 и 13. Интеесный ф‡кт: если n >2, зн‡чение φ(n) — четное.

М‡л‡fl теоем‡ Фем‡ М‡л‡fl теоем‡ Фем‡ и„‡ет очень ‚‡жную оль ‚ теоии чисел и кипто„‡фии. Ниже мы пи‚о‰им ‰‚е ‚есии теоемы. Пе‚‡fl ‚есиfl Пе‚‡fl ‚есиfl „о‚оит, что если p — постое число и a — целое число, т‡кое, что p не fl‚лflетсfl ‰елителем a, то a p-1 ≡ 1 mod p. Вто‡fl ‚есиfl Вто‡fl ‚есиfl ‚‚о‰ит о„‡нич肇ющие усло‚ие н‡ a. Он‡ ут‚е扇ет, что если p — постое число и a — целое число, то a p-1 ≡ a mod p. Пиложениfl Хотfl мы бу‰ем ‡ссм‡т肇ть пиложениfl этой теоемы позже ‚ этой лекции, теоем‡ очень полезн‡ ‰лfl то„о, чтобы ешить некотоые поблемы. Воз‚е‰ение ‚ степень. М‡л‡fl теоем‡ Фем‡ ин‡ полезн‡ ‰лfl то„о, чтобы бысто н‡йти ешение пи ‚оз‚е‰ении ‚ степень. Сле‰ующие пимеы пок‡зы‚‡ют это. Пиме 9.12 Н‡й‰ите езульт‡т 610 mod 11. Решение Мы имеем 610 mod 11 ≡ 1. Это пе‚‡fl ‚есиfl м‡лой теоемы Фем‡, „‰е p = 11. 280

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Пиме 9.13 Н‡й‰ите езульт‡т 312 mod 11. Решение З‰есь степень (12) и мо‰уль (11) не соот‚етст‚уют усло‚иflм теоемы Фем‡. Но, пименflfl пеоб‡зниfl, мы можем пи‚ести ешение к использнию м‡лой теоемы Фем‡. 312 mod 11 = (311 × 3) mod 11 = (311 mod 11) × (3 mod 11) = (3 × 3) mod 11 = 9 Мультиплик‡ти‚ные ин‚есии. Очень интеесное пиложение теоем‡ Фем‡ имеет ‰лfl некотоых мультиплик‡ти‚ных ин‚есий, если мо‰уль — постое число. Если p — постое число и a — целое число, т‡кое, что p не fl‚лflетсfl е„о ‰елителем, т‡ a-1mod p = ap-2 mod p. Это может быть ле„ко ‰ок‡з‡но, если мы умножим обе стооны ‡‚енст‚‡ н‡ a и используем пе‚ую ‚есию м‡лой теоемы Фем‡: a × a-1mod p = a × ap-2mod p = ap-1mod p = 1mod p Это пиложение поз‚олflет не пименflть ‡сшиенный ‡л„оитм Е‚кл艇 ‰лfl н‡хож‰ениfl мультиплик‡ти‚ных ин‚есий. Пиме 9.14 Ин‚есии по мо‰улю посто„о числ‡ мо„ут быть н‡й‰ены без использниfl ‡сшиенно„о Е‚кли‰о‚‡ ‡л„оитм‡: a. 8–1 mod 17 = 817-2 mod 17 = 815 mod 17 = 15 mod 17 b. 5–1 mod 23 = 523-2 mod 23 = 521 mod 23 = 14 mod 23 c. 6–1 mod 101 = 60101-2 mod 101 = 6099 mod 101 = 32 mod 101 d. 22-1 mod 211 = 22 211-2 mod‡ 211 = 22209 mod 211 = 48 mod 211

Теоем‡ Эйле‡ Теоему Эйле‡ можно пе‰ст‡‚ить к‡к обобщениfl м‡лой теоемы Фем‡. Мо‰уль ‚ теоеме Фем‡ — постое число, мо‰уль ‚ теоеме Эйле‡ — целое число. Мы ‚‚о‰им ‰‚е ‚есии этой теоемы. Пе‚‡fl ‚есиfl Пе‚‡fl ‚есиfl теоемы Эйле‡ по‰обн‡ пе‚ой ‚есии м‡лой теоемы Фем‡. Если a и n – ‚з‡имно постые, то aφ(n) ≡ 1 mod n. Вто‡fl ‚есиfl Вто‡fl ‚есиfl теоемы Эйле‡ по‰обн‡ ‚тоой ‚есии м‡лой теоемы Фем‡; он‡ уст‡нflет усло‚ие, что n ‰олжно быть ‚з‡имно постым с a. Если n = p × q, a < n, ‡ k — целое число, то ak × φ(n) + 1 ≡ a mod n. Пи‚е‰ем несто„ое ‰ок‡з‡тельст‚о ‚тоой ‚есии, осннной н‡ пе‚ой ‚есии. Поскольку a < n, то ‚озможны ти случ‡fl. 1. Если a не к‡тно ни числу p, ни числу q, то a и n – ‚з‡имно постые. 281

Кус

Кипто„‡фиfl и безоп‡сность сетей

2. Если a — к‡тное число p, a = i × p, но не к‡тно числу q.

3. Если a к‡тно q (a= i × q), но не к‡тно p, ‰ок‡з‡тельст‚о ‚тоо„о случ‡fl то же с‡мое, но p и q менflютсfl мест‡ми. Вто‡fl ‚есиfl теоемы Эйле‡ используетсfl ‚ кипто„‡фической системе RSА (лекциfl 10). Пиложениfl Хотfl мы ‡ссмотим некотоые пиложениfl теоемы Эйле‡ позже ‚ этой лекции, теоем‡ очень полезн‡ ‰лfl то„о, чтобы еш‡ть некотоые 燉‡чи. Воз‚е‰ение ‚ степень. Теоем‡ Эйле‡ ин‡ полезн‡, чтобы бысто н‡йти ешение некотоых 燉‡ч с ‚оз‚е‰ением ‚ степень. Сле‰ующие пимеы пок‡зы‚‡ют и‰ею это„о поцесс‡. Пиме 9.15 Н‡й‰ите езульт‡т 624 mod 35. Решение Мы имеем 624 mod 35 = 6φ(35) mod 35 = 1 Пиме 9.16 Н‡й‰ите езульт‡т 2062 mod 77. Решение Если ‚‚е‰ем k = 1 со„л‡сно ‚тоой ‚есии, мы имеем: 2062 mod 77 = (20 mod 77) mod 77 = (20)(20) mod 77 = 15 Мультиплик‡ти‚ные ин‚есии. Теоем‡ Эйле‡ может использтьсfl, чтобы н‡йти мультиплик‡ти‚ную ин‚есию по постому мо‰улю. Теоем‡ Эйле‡ может пименflтьсfl, чтобы н‡йти мультиплик‡ти‚ные ин‚есии по сост‡‚ному мо‰улю. Если n и a – ‚з‡имно постые, то a-1mod n = aφ(n)-1mod n. Это может быть ле„ко ‰ок‡з‡но умножением обеих стоон ‡‚енст‚‡ н‡ a. a-1mod n = a × aφ(n)-1mod n = aφ(n)mod n = 1mod n 282

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Пиме 9.17 Мультиплик‡ти‚н‡fl ин‚есиfl по сост‡‚ному мо‰улю может быть н‡й‰ен‡ без использниfl ‡сшиенно„о е‚кли‰о‚‡ ‡л„оитм‡, если мы зн‡ем ‡зложение н‡ множители сост‡‚но„о объект‡: a. 8-1 mod 77 = 8φ(77)–1 mod 77 = 859 mod 77 = 29 mod 77 b. 7-1 mod 15 = 7φ(15)–1 mod 15 = 77 mod 15 = 13 mod 15 c. 6-1 mod 187 = 60φ(187)–1 mod 187 = 60159 mod 187 = 53 mod 187 d. 71-1 mod l00 = 71φ(100)–1 mod 100 = 7139 mod l00 = 31 mod 100

Гене‡циfl постых чисел Д‚‡ м‡тем‡тик‡, Месенн‡ и Фем‡, попыт‡лись получить фомулу, кото‡fl мо„л‡ бы „енеить постые числ‡. Постые числ‡ Месенны Месенн‡ пе‰ложил сле‰ующую фомулу, котоую н‡зы‚‡ют числ‡ Месенны. Он пе‰по뇄‡л, что фомул‡ пеечислflет ‚се постые числ‡. Mp = 2p–1 Если p ‚ пи‚е‰енной ‚ыше фомуле — постое число, то, к‡к пе‰по뇄‡ли, Mp ‰олжно быть постым числом. Го‰ы спустfl было ‰ок‡з‡но, что не ‚се числ‡, полученные по фомуле Месенны, — постые числ‡. Ниже пи‚е‰ен список некотоых номео‚ Месенны. M 2 = 22 – 1 = 3 M 3 = 23 – 1 = 7 M5 = 25 – 1 = 31 M7 = 27 – 1 = 127 M11 = 211 – 1 = 2047 M13 = 213 – 1 = 8191 M17 = 217 – 1 = 131071

Непостое число (2047 = 23 × 89)

Ок‡з‡лось, что M11 — не постое число. О‰н‡ко было н‡й‰ено, что 41 число по фомуле Месенны — постые; о‰но из после‰них н‡й‰енных чисел Месенны — М124036583, н‡ибольшее число со‰ежит 7 253 733 циф. Поиск по‰олж‡етсfl. Фем‡ побл н‡йти фомулу, кото‡fl „енеиует постые числ‡. Сле‰ующ‡fl фомул‡ — ‰лfl чисел Фем‡. Число ‚ фомуле Mp = 2p – 1, н‡зы‚‡емое числом Месенны, может быть или не быть постым числом. Постые числ‡ Фем‡ Фем‡ попыт‡лсfl н‡йти фомулу ‰лfl „ене‡ции постых чисел. Он пе‰ложил сле‰ующую фомулу, кото‡fl тепеь н‡зы‚‡етсfl фомулой Фем‡, и по‚еил номе‡ от F0 (n=0,1,…) ‰о F4, но ок‡з‡лось, что уже F4 — не постое число. 283

Кус

Кипто„‡фиfl и безоп‡сность сетей

Fn= 22n + 1 F0 = 3 F1 = 17 F2 = 257 F3 = 65537 F4 = 4294967297 = 641 × 6700417. Не постое число Ф‡ктически было ‰ок‡з‡но, что мно„ие номе‡ ‰о F24 — сост‡‚ные числ‡.

9.2. Испыт‡ние постоты чисел Если фомулы получениfl постых чисел, по‰обно фомул‡м Фем‡ или Месенн‡, не „‡‡нтиуют, что полученные числ‡ — постые, то к‡к мы можем „енеить большие постые числ‡ ‰лfl кипто„‡фии? Мы можем только ‚ыб‡ть случ‡йно большое число и по‚ести испыт‡ние, чтобы убе‰итьсfl, что оно — постое. Н‡хож‰ение ‡л„оитм‡, котоый п‡‚ильно и эффекти‚но по‚еflет очень большое целое число и уст‡н‡‚л肇ет, постое это число или же сост‡‚ной объект, — ‚с儉‡ было поблемой ‚ теоии чисел и, сле‰о‚‡тельно, ‚ кипто„‡фии. О‰н‡ко, н則‚ние иссле‰о‚‡ниfl (о‰но из котоых мы обсу扇ем ‚ этом ‡з‰еле) ‚ы„лfl‰flт очень песпекти‚ными. Ал„оитмы, котоые еш‡ют эту поблему, мо„ут быть ‡з‰елены н‡ ‰‚е обшиные к‡те„оии — ‰етемининные ‡л„оитмы и ‚еоflтностные ‡л„оитмы. Ниже ‡ссм‡т肇ютсfl некотоые пе‰ст‡‚ители обеих к‡те„оий. Детемининный ‡л„оитм ‚с儉‡ ‰‡ет п‡‚ильный от‚ет. Веоflтностный ‡л„оитм ‰‡ет п‡‚ильный от‚ет ‚ большинст‚е, но не ‚о ‚сех случ‡flх. Хотfl ‰етемининный ‡л„оитм и‰е‡лен, он обычно менее эффекти‚ен, чем соот‚етст‚ующий ‚еоflтностный.

Детемининные ‡л„оитмы Детемининный ‡л„оитм, по‚еflющий постоту чисел, пиним‡ет целое число и ‚ы‰‡ет н‡ ‚ыхо‰е пизн‡к: это число — постое число или сост‡‚ной объект. До н則‚не„о ‚емени ‚се ‰етемининные ‡л„оитмы были неэффекти‚ны ‰лfl н‡хож‰ениfl больших постых чисел. К‡к мы коотко пок‡жем, но‚ые ‚з„лfl‰ы ‰ел‡ют эти ‡л„оитмы более песпекти‚ными. Ал„оитм теоии ‰елимости С‡мое элемент‡ное ‰етемининное испыт‡ние н‡ постоту чисел — испыт‡ние н‡ ‰елимость. Мы используем ‚ к‡чест‚е ‰елителей ‚се числ‡, меньшие, чем √n. Если любое из этих чисел ‰елит n, т‡ n — сост‡‚ное. Ал„оитм 9.1 пок‡зы‚‡ет по‚еку н‡ ‰елимость ‚ ее пимити‚ной и очень неэффекти‚ной фоме. Ал„оитм может быть улучшен, если по‚еflть только нечетные номе‡. Он может быть улучшен ‰‡лее, если пользтьсfl т‡блицей постых чисел меж‰у 2 и 284

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

√n. Число ‡ифметических опе‡ций ‚ ‡л„оитме 9.1 — √n. Если мы пиним‡ем, что к‡ж‰‡fl ‡ифметическ‡fl опе‡циfl использует только опе‡цию н‡ о‰ин бит (чисто усло‚ное со„л‡шение), т‡ сложность ‡зfl‰ной опе‡ции ‡л„оитм‡ 9.1 — f(nb) = √2nb = 2nb/2, „‰е nb – число бито‚ ‚ n. В больших систем‡х, обозн‡ч‡емых О, сложность может быть оценен‡ O(2nb): экспоненци‡льно (см. пиложение L). Ду„ими слми, ‡л„оитм ‰елимости неэффекти‚ен, если nb большое. Сложность побитно„о испыт‡ниfl ‰елимостью пок‡з‡тельн‡. Пиме 9.18 Пе‰положим, что n имеет 200 бито‚. К‡кое число ‡зfl‰ных опе‡ций ‰олжен был ‚ыполнить ‡л„оитм ‰елимости? Решение Сложность побито‚ых опе‡ций это„о ‡л„оитм‡ — 2nb/2. Это озн‡ч‡ет, что ‡л„оитму необхо‰имо по‚ести 2100 бито‚ых опе‡ций. Если ‡л„оитм имеет скоость 230 опе‡ций ‚ секун‰у, то ‰лfl по‚е‰ениfl испыт‡ний необхо‰имо 270 секун‰. Ал„оитм 9.1. Тест н‡ ‰елимость (n) //n – число тесто‚ н‡ постоту { r ← 2 wh¥le (r< √n) { ¥f (r | n) return “a compos¥te” // сост‡‚ное r ← r+1 } return “a pr¥me” //постое } AKS-‡л„оитм В 2002 „. ин‰ийские ученые А„‡‚‡л, К‡flл и С‡хсен‡ (Agrawal, Kayal и Saxena) объfl‚или, что они н‡шли ‡л„оитм ‰лfl испыт‡ниfl постоты чисел с полиноми‡льной сложностью ‚емени ‡зfl‰ных опе‡ций 0 ((log2 nb)). Ал„оитм использует тот ф‡кт, что (x – a) p ≡ (xp – a) mod p. Интеесно отметить, что некотоые бу‰ущие ‡з‡ботки ‰ел‡ют этот ‡л„оитм ст‡н‰‡тным тестом ‰лfl опе‰елениfl постоты чисел ‚ м‡тем‡тике и инфом‡тике. Пиме 9.19 Пе‰положим, что n имеет 200 бито‚. К‡кое число ‡зfl‰ных опе‡ций ‰олжен был ‚ыполнить ‡л„оитм AKS? Решение Сложность ‡зfl‰ной опе‡ции это„о ‡л„оитм‡ — O((log 2 n b)12). Это озн‡ч‡ет, что ‡л„оитму 퇉о только (log2 200)12 = 39 547 615 483 бито‚ых опе‡ций. Н‡ компьютее, способном ‚ыполнить 1 милли‡‰ бито‚ ‚ секун‰у, ‡л„оитму тебуетсfl только 40 секун‰. 285

Кус

Кипто„‡фиfl и безоп‡сность сетей

Веоflтностные ‡л„оитмы До AKS-‡л„оитм‡ ‚се эффекти‚ные мето‰ы ‰лfl испыт‡ниfl постоты чисел были ‚еоflтностные. Эти мето‰ы мо„ут использтьсfl еще некотоое ‚емfl, пок‡ AKS фом‡льно не пинflт к‡к ст‡н‰‡т. Веоflтностный ‡л„оитм не „‡‡нтиует п‡‚ильность езульт‡т‡. О‰н‡ко мы можем получить ‚еоflтность ошибки н‡столько м‡ленькую, что это почти ‰‡ет „‡‡нтию, что ‡л„оитм ‚ы‡б‡ты‚‡ет п‡‚ильный от‚ет. Сложность ‡зfl‰ной опе‡ции ‡л„оитм‡ может ст‡ть полиноми‡льной, пи этом мы ‰опуск‡ем небольшой ш‡нс ‰лfl ошибок. Веоflтностный ‡л„оитм ‚ этой к‡те„оии ‚оз‚‡щ‡ет езульт‡т либо постое число, либо сост‡‚ной объект, осно‚ы‚‡flсь н‡ сле‰ующих п‡‚ил‡х: a. если целое число, котоое бу‰ет по‚еено, — ф‡ктически постое число, ‡л„оитм fl‚но ‚оз‚‡тит постое число; b. если целое число, котоое бу‰ет по‚еено, — ф‡ктически сост‡‚ной объект, ‡л„оитм ‚оз‚‡щ‡ет сост‡‚ной объект с ‚еоflтностью 1–ε, но может ‚оз‚‡тить постое число с ε ‚еоflтности. Веоflтность ошибки может быть уменьшен‡, если мы ‚ыполнflем ‡л„оитм несколько ‡з с ‡зличными п‡‡мет‡ми или с использнием ‡зличных мето‰о‚. Если мы ‚ыполнflем ‡л„оитм m ‡з, ‚еоflтность ошибки может уменьшитьсfl ‰о εm. Тест Фем‡ Пе‚ый ‚еоflтностный мето‰, котоый мы обсу扇ем, — испыт‡ние постоты чисел тестом Фем‡. Если n — постое число, то an-1 ≡ 1 mod n. Об‡тите ‚ним‡ние, что если n — постое число, то с‡‚нение сп‡‚е‰ли‚о. Это не озн‡ч‡ет, что если с‡‚нение сп‡‚е‰ли‚о, то n — постое число. Целое число может быть постым числом или сост‡‚ным объектом. Мы можем опе‰елить сле‰ующие положениfl к‡к тест Фем‡: Если n — постое число, то an –1 ≡ 1 mod n Если n — сост‡‚ной объект, то ‚озможно, что an –1 ≡ 1mod n Постое число у‰о‚лет‚оflет тесту Фем‡. Сост‡‚ной объект может пойти тест Фем‡ с ‚еоflтностью ε. Сложность ‡зfl‰ной опе‡ции испыт‡ниfl Фем‡ ‡‚н‡ сложности ‡л„оитм‡, котоый ‚ычислflет ‚оз‚е‰ение ‚ степень. Позже ‚ этой лекции мы ‡ссмотим ‡л„оитм ‰лfl бысто„о ‚оз‚е‰ениfl ‚ степень со сложностью ‡зfl‰ной опе‡ции O(nb ), „‰е О — номе бито‚ ‚ n. Веоflтность может быть улучшен‡, если по‚ек‡ ‰ел‡етсfl с несколькими числ‡ми (a1, a2 и т‡к ‰‡лее). К‡ж‰ое испыт‡ние у‚елич肇ет ‚еоflтность, что испытуемое число – это постое число. Пиме 9.20 По‚е‰ите испыт‡ние Фем‡ ‰лfl числ‡ 561. Решение Используем ‚ к‡чест‚е оснниfl число 2. 286

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

2561-1 = 1mod 561 Число пошло тест Фем‡, но это — не постое число, потому что 561 = 33 × 17. Испыт‡ние ꂇ‰‡тным конем В мо‰ульной ‡ифметике, если n — постое число, то ꂇ‰‡тный коень ‡‚ен только 1 (либо +1, либо –l). Если n — сост‡‚ной объект, то ꂇ‰‡тный коень — +1 или (-1), но мо„ут быть и ‰у„ие кони. Это н‡зы‚‡ют испыт‡нием постоты чисел ꂇ‰‡тным конем. Об‡тите ‚ним‡ние, что ‚ мо‰ульной ‡ифметике –1 озн‡ч‡ет n–1. Если n — постое число, √1 mod n = ±1. Если n — сост‡‚ной объект, √1 mod n = ±1, и ‚озможны ‰у„ие зн‡чениfl. Пиме 9.21 К‡ко‚ы ꂇ‰‡тные кони 1 mod n, если n ‡‚но 7 (постое число)? Решение Е‰инст‚енные ꂇ‰‡тные кони 1 mod n – это числ‡ 1 и –1. Мы можем ‚и‰еть, что 12 =1 mod 7 22 = 4 mod 7 32 = 2 mod 7

(–1)2 = 1 mod 7 (–22) = 4 mod 7 (–32) = 2 mod 7

З‡метим, что тест не ‰‡ет езульт‡то‚ ‰лfl 4, 5 и 6, потому что 4 = –3 mod 7, 5 = –2 mod 7 и 6 = –1 mod 7. Пиме 9.22 К‡ко‚ к‚‡‰‡тный коень из 1 mod n, если n ‡‚но 8 (сост‡‚ное)? Решение Имеетсfl ти ешениfl: 1, 3, 5 и 7 (‡ т‡кже –1). Мы можем т‡кже ‚и‰еть, что 12 = 1 mod 8 32 = 1 mod 8

(–1)2 = 1 mod 8 (–52) = 1 mod 8

Пиме 9.23 К‡ко‚ к‚‡‰‡тный коень из 1 mod n, если n ‡‚но 17 (постое)? Решение Имеютсfl только ‰‚‡ ешениfl, соот‚етст‚ующие пост‡‚ленной 燉‡че: это 1 и (–1). 12 = 1 mod 17 22 = 4 mod 17 32 = 9 mod 17 42 = 16 mod 17

(-1)2 = 1 mod 17 (-22) = 4 mod 17 (-32) = 9 mod 17 (-4)2 = 16 mod 17 287

Кус

Кипто„‡фиfl и безоп‡сность сетей

52 = 8 mod 17 62 = 2 mod 17 72 = 15 mod 17 82 = 13 mod 17

(-52) = 8 mod 17 (-62) = 2 mod 17 (-7)2 = 15 mod 17 (-82) = 13 mod 17

З‡метим, что не 퇉о по‚еflть целые числ‡, большие 8, потому что 9 = –8 mod 17 Пиме 9.24 К‡ко‚ к‚‡‰‡тный коень из 1 mod n, если n ‡‚но 22 (сост‡‚ное)? Решение Сюпиз ‚ том, что имеетсfl только ‰‚‡ ешениfl: +1 и –1, хотfl 22 — сост‡‚ное число. 12 = 1 mod 22 (-1)2 = 1 mod 22 Хотfl ‚о мно„их случ‡flх имеетсfl испыт‡ние, котоое пок‡зы‚‡ет н‡м о‰нозн‡чно, что число сост‡‚ное, но это испыт‡ние по‚ести ту‰но. К‡ ‰‡но число n, то ‚се числ‡, меньшие, чем n (коме чисел 1 и n–1), ‰олжны быть ‚оз‚е‰ены ‚ ꂇ‰‡т, чтобы „‡‡нтить, что ни о‰но из них не ‡‚но 1. Т‡кое испыт‡ние может использтьсfl ‰лfl чисел (не +1 или –1), котоые ‚ ꂇ‰‡те по мо‰улю n ‰‡ют зн‡чение 1. Этот ф‡кт помет ‚ испыт‡нии Милле‡–Р‡бин‡, котоое ‡ссм‡т肇етсfl ‚ сле‰ующем ‡з‰еле. Тест Милле‡-Р‡бин‡ Тест Милле‡-Р‡бин‡ опе‰елениfl посто„о числ‡ есть комбин‡циfl тесто‚ Фем‡ и ꂇ‰‡тно„о конfl. Он эл儇нтным способом н‡хо‰ит сильное пс傉опостое число (постое число с очень ‚ысокой ‚еоflтностью). В этом тесте мы з‡писы‚‡ем n–1 к‡к поиз‚е‰ение нечетно„о числ‡ m и степени числ‡ 2. n – 1 = m × 2k В тесте Фем‡ пи осннии a можно з‡пис‡ть т‡к, к‡к это пок‡з‡но н‡ ис. 9.2.

Рис. 9.2. И‰еfl тест‡ н‡ постоту числ‡ н‡ осно‚е Фем‡ Ду„ими слми, ‚место то„о чтобы ‚ычислflть an-1(mod n) ‚ о‰ин ш‡„, мы можем с‰ел‡ть это ‚ k + 1 ш‡„о‚. К‡кое пеимущест‚о ‚ т‡ком пименении? Пеимущест‚о з‡ключ‡етсfl именно ‚ том, что испыт‡ние ꂇ‰‡тным конем может быть ‚ыполнено н‡ к‡ж‰ом ш‡„е. Если ꂇ‰‡тный коень пок‡зы‚‡ет сомнительные езульт‡ты, мы ост‡н‡‚л肇емсfl и объfl‚лflем n сост‡‚ным номеом. Н‡ к‡ж‰ом ш‡„е 288

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

мы обеспеч肇ем, что тест Фем‡ и испыт‡ние ꂇ‰‡тным конем у‰о‚лет‚оено н‡ ‚сех п‡‡х смежных ш‡„о‚, если оно у‰о‚лет‚оительно (если езульт‡т ‡‚ен 1). Иници‡лиз‡циfl Выбеите осно‚у и ‚ычислите T = am, ‚ котоый m = (n – 1) / 2k. a. Если T ‡‚но +1 или –1, объfl‚лflют, что n — пс傉опостое число, и поцесс ост‡н‡‚л肇етсfl. Мы „о‚оим, что n пошел ‰‚‡ испыт‡ниfl: тест Фем‡ и испыт‡ние ꂇ‰‡тным конем. Почему? Потому что если T ‡‚но ±1, то T ст‡нет 1 н‡ сле‰ующем ш‡„е и ост‡етсfl 1 ‰о похож‰ениfl тест‡ Фем‡. Коме то„о, T пошел испыт‡ние тестом ꂇ‰‡тно„о конfl, потому что T был бы ‡‚ен 1 н‡ сле‰ующем ш‡„е и ꂇ‰‡тный коень был бы ‡‚ен 1 (н‡ сле‰ующем ш‡„е) и ‡‚ен ±1 (н‡ этом ш‡„е). b. Если T ‡‚ен ‰у„ому зн‡чению, мы не у‚еены, fl‚лflетсfl ли n постым числом или сост‡‚ным объектом, зн‡чит, поцесс бу‰ет по‰олж‡тьсfl н‡ сле‰ующем ш‡„е. Ш‡„ 1 Воз‚о‰им T ‚ ꂇ‰‡т. a. Если езульт‡т ‡‚ен +1, мы опе‰еленно зн‡ем, что тест Фем‡ пой‰ен, потому что T ост‡етсfl 1 ‰лfl после‰ующих испыт‡ний. Испыт‡ние ꂇ‰‡тным конем, о‰н‡ко, не пой‰ено. Поскольку T ‡‚но 1 н‡ этом ш‡„е и имело н‡ пе‰ы‰ущем ш‡„е ‰у„ое зн‡чение, чем 1 (пичин‡, почему мы не ост‡но‚ились н‡ пе‰ы‰ущем ш‡„е), n объfl‚лflют сост‡‚ным объектом, и поцесс ост‡н‡‚л肇етсfl. b. Если езульт‡т ‡‚ен (–1), мы зн‡ем, что n ‚ конечном счете пой‰ет тест Фем‡. Мы зн‡ем, что он пой‰ет испыт‡ние ꂇ‰‡тным конем, потому что T ‡‚но (–1) ‚ этом ш‡„е и ст‡нет 1 н‡ сле‰ующем ш‡„е. Мы объfl‚лflем n пс傉ослуч‡йным постым числом и ост‡н‡‚л肇ем поцесс. c. Если T имеет еще к‡кое-либо зн‡чение, мы не у‚еены, имеем ли мы ‰ело с постым числом, и поцесс по‰олж‡етсfl н‡ сле‰ующем ш‡„е. Ш‡„и 2 ‰о k–1 Этот ш‡„ и ‚се ост‡льные ш‡„и ‰о k–1 т‡кие же, к‡к и ш‡„ 1. Этот ш‡„ не fl‚лflетсfl необхо‰имым. Если мы ‰ости„ли е„о и не пинflли ешение, он не поможет н‡м. Если езульт‡т это„о ш‡„‡ (–1), зн‡чит, тест Фем‡ пой‰ен, но поскольку езульт‡т пе‰ы‰уще„о ш‡„‡ — не ±1, испыт‡ние ꂇ‰‡тное конfl не пой‰ено. После ш‡„‡ k – 1, если поцесс не ост‡но‚лен, мы объfl‚лflем, что n — сост‡‚ное. Тест Милле‡-Р‡бин‡ тебует от 0 ‰о k–1. Ал„оитм 9.2 пок‡зы‚‡ет пс傉око‰ ‰лfl тест‡ Милле‡-Р‡бин‡. Сущест‚ует ‰ок‡з‡тельст‚о, что к‡ж‰ый ‡з, к‡ ‰лfl числ‡ по‚о‰итсfl тест Милле‡-Р‡бин‡, ‚еоflтность получить езульт‡т «не постое число» — 1/4. Если пошло m тесто‚ (с m ‡зличными оснниflми), ‚еоflтность, что тест ‚ы‰‡ст не постое число — (1/4)m. 289

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ал„оитм 9.2. Пс傉око‰ ‰лfl тест‡ Милле‡-Р‡бин‡ Тест Милле‡-Р‡бин‡ (n, a) // n — число; a — оснние { F¥nd m and k such that n–1 = m x 2k T ← am mod n ¥f ( T = ±1) return “a pr¥me” for (I ← 1 to k–1) // k–1 — м‡ксим‡льное число ш‡„о‚ { T ← T2 mod n ¥f (T = +1) return “ a compos¥te” // сост‡‚ное ¥f (T = –1) return “ a pr¥me” // постое } return “ a compos¥te” } Пиме 9.25 По‚е‰ите тест Милле‡-Р‡бин‡ к числу 561. Решение Используfl оснние 2, получим 561 – 1 = 35 × 24, что озн‡ч‡ет, что m = 35, k=4и‡=2 Иници‡лиз‡циfl: k=1 k=2 k=3

T = 235 mod 561 = 263 mod 561 T = 2632 mod 561 = 166 mod 561 T = 1662 mod 561 = 67 mod 561 T = 672 mod 561 = +1 mod 561 → сост‡‚ное

Пиме 9.26 Мы уже зн‡ем, что 27 — не постое число. Попобуем пименить тест Милле‡-Р‡бин‡. Решение Оснние ‡‚но 2, т‡ 27 – 1 = 13 × 21, что озн‡ч‡ет m = 13, k = 1 и a = 2. В этом случ‡е k – 1 = 0, и мы ‰олжны с‰ел‡ть только ш‡„ иници‡лиз‡ции: T = 213 mod 27 = 11 mod 27. О‰н‡ко поскольку ‡л„оитм не ‰ел‡ет ни о‰но„о цикл‡, ‚ы‡б‡ты‚‡етсfl ешение «сост‡‚ной объект». Пиме 9.27 Мы зн‡ем, что 61 — постое число; ‰‡‚‡йте посмотим, что ‰‡ст тест Милле‡-Р‡бин‡. Решение Мы используем оснние 2. 61 – 1 = 15 × 22 → m = 15 k = 2 a = 2 Иници‡лиз‡циfl: T = 215 mod 61 = 11 mod 61 k=1 T = 112 mod 61 = –1 mod 61 → постое число 290

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Об‡тите ‚ним‡ние, что после‰ний езульт‡т — это 60 mod 61, но мы зн‡ем, что 60 = –1 mod 61.

Рекомен‰о‚‡нные тесты постоты чисел Се„о‰нfl о‰ин из с‡мых популflных тесто‚ постоты чисел — комбин‡циfl теоии ‰елимости и тест Милле‡-Р‡бин‡. Пи этом екомен‰уютсfl сле‰ующее ш‡„и. 1. Выб‡ть нечетное целое число, потому что ‚се четные целые числ‡ (коме 2) — fl‚но сост‡‚ные объекты. 2. С‰ел‡ть некотоые ти‚и‡льные испыт‡ниfl теоии ‰елимости н‡ некотоых из‚естных постых числ‡х, т‡ких, к‡к 3, 5, 7, 11, 13: т‡к, чтобы убе‰итьсfl, что ‚ы не имеете ‰ело с оче‚и‰ным сост‡‚ным объектом. Если они не fl‚лflютсfl ‰елителflми пи ‚сех этих испыт‡ниflх, с‰ел‡йте сле‰ующий ш‡„. Если ‚ыб‡нное число не пошло хотfl бы о‰ин из этих тесто‚, ‚енитесь н‡ о‰ин ш‡„ и ‚ыбеите ‰у„ое нечетное число. 3. Выб‡ть н‡бо оснний ‰лfl тест‡. Большое множест‚о оснний пе‰почтительно. 4. С‰ел‡ть тест Милле‡-Р‡бин‡ н‡ к‡ж‰ом из оснний. Если любой из них не похо‰ит, ‚енитесь н‡ о‰ин ш‡„ и ‚ыбеите ‰у„ой нечетный номе. Если тесты пошли ‰лfl ‚сех оснний, объfl‚ите это число к‡к сильное пс傉опостое число. Пиме 9.28 Номе 4033 — сост‡‚ной объект (37 × 109). Это по‰т‚е扇ет екомен‰о‚‡нное испыт‡ние постоты чисел? Решение 1. Выполним по‚еку со„л‡сно теоии ‰елимости. По‚еим сн‡ч‡л‡ числ‡ 2, 3, 5, 7, 11, 17 и 23 – они не fl‚лflютсfl ‰елителflми числ‡ 4033. 2. Выполним испыт‡ние Милле‡-Р‡бин‡ с осннием 2, т‡ 4033 – 1 = 63 × 26, что озн‡ч‡ет m = 63 и k = 6. Иници‡лиз‡циfl: T ≡ 263 (mod 4033) ≡ 1 (mod 4033) k=1 T ≡ T2 = 35212 (mod 4033) ≡ –1 (mod 4033) → Тест пошел 3. Но мы не у‰о‚лет‚оены. Мы по‰олж‡ем с ‰у„им осннием — 3. Иници‡лиз‡циfl: T ≡ 3 63 (mod 4033) ≡ 3551 (mod 4033) k = 1 T ≡ T2 ≡ 35512 (mod 4033 ≡ 2443 (mod 4033) k = 2 T ≡ T2 ≡ 24432 (mod 4033 ≡ 3442 (mod 4033) k = 3 T ≡ T2 ≡ 34422 (mod 4033 ≡ 2443 (mod 4033) k = 4 T ≡ T2 ≡ 24432 (mod 4033 ≡ 3442 (mod 4033) k = 5 T ≡ T2 ≡ 34422 (mod 4033 ≡ 2443 (mod 4033) → Не соот‚етст‚ует (сост‡‚ное) 291

Кус

Кипто„‡фиfl и безоп‡сность сетей

9.3. Р‡зложение н‡ множители Р‡зложение н‡ множители — пе‰мет непеы‚но„о иссле‰о‚‡ниfl ‚ пошлом; и т‡кие же иссле‰о‚‡ниfl, ‚еоflтно, по‰олж‡тсfl ‚ бу‰ущем. Р‡зложение н‡ множители и„‡ет очень ‚‡жную оль ‚ безоп‡сности некотоых киптосистем с откытым ключом (см. лекцию 10).

Осно‚н‡fl теоем‡ ‡ифметики Со„л‡сно Осно‚ной теоеме ‡ифметики любое положительное целое число больше е‰иницы может быть уник‡льно з‡пис‡но ‚ сле‰ующей „л‡‚ной фоме ‡зложениfl н‡ множители, „‰е p1, p2, ..., pk — постые числ‡ и e1, e2, ..., ek — положительные целые числ‡: n = p1e1 × p2e2 × ... × pkek Есть непосе‰ст‚енные пиложениfl ‡зложениfl н‡ множители, т‡кие к‡к ‚ычисление н‡ибольше„о обще„о ‰елителfl и н‡именьше„о обще„о множителfl. Н‡ибольший общий ‰елитель В лекции 2 мы уже обсу扇ли н‡ибольший общий ‰елитель ‰‚ух номео‚, НОД (a, b). Посмотите, к‡к е‚кли‰о‚ ‡л„оитм н‡хо‰ит это зн‡чение, но это зн‡чение может т‡кже быть н‡й‰ено, если мы зн‡ем ‡зложение н‡ множители чисел a и b. a = p1a1 × p2a2 × … × pkak b = p1b1 × p2b2 × … × pkbk НОД (a,b) = p1min(a1,b1) × p2min(a2,b2) × … × pkmin(ak,bk) Н‡именьшее общее к‡тное Н‡именьшее общее к‡тное, НОК (a, b), — н‡именьшее целое число, к‡тное числ‡м a и b. Используfl ‡зложение, мы т‡кже н‡хо‰им НОК (a, b). a =p1a1 × p2a2 × … × pkak b = p1b1 × p2b2 × … × pkbk НОК (a,b) = p1max(a1,b1) × p2max(a2,b2) × … × pkmax(ak,bk) Может быть ‰ок‡з‡но, что НОД (a,b) и НОК (a,b) с‚flз‡ны с ‰у„ ‰у„ом, к‡к это пок‡з‡но ниже: НОК (a,b) × НОД (a,b) = a × b

Мето‰ы ‡зложениfl н‡ множители Поиск эффекти‚ных ‡л„оитмо‚ ‰лfl ‡зложениfl н‡ множители больших сост‡‚ных чисел ‚е‰етсfl ‰‡‚но. К сож‡лению, со‚ешенный ‡л„оитм ‰лfl это„о пок‡ не н‡й‰ен. Хотfl есть несколько ‡л„оитмо‚, котоые мо„ут ‡зложить число н‡ множители, ни о‰ин не способен по‚ести ‡зложение ‰ост‡точно больших 292

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

чисел ‚ ‡зумное ‚емfl. Позже мы у‚и‰им, что это хоошо ‰лfl кипто„‡фии, потому что со‚еменные кипто„‡фические системы по뇄‡ютсfl н‡ этот ф‡кт. В этой секции мы ‰‡ем несколько постых ‡л„оитмо‚, котоые по‚о‰flт ‡зложение сост‡‚но„о числ‡. Цель состоит ‚ том, чтобы с‰ел‡ть поцесс ‡зложениfl н‡ множители менее ту‰оfiмким. Мето‰ по‚еки ‰елением С‡мый постой и н‡именее эффекти‚ный ‡л„оитм — мето‰ ‡зложениfl н‡ множители по‚екой ‰елением. Мы посто побуем ‚се положительные целые числ‡ н‡чин‡fl с 2, ‰лfl то„о чтобы н‡йти о‰но, котоое ‰елит n. После обсуж‰ениfl ешет‡ Э‡тосфен‡ мы зн‡ем, что если n сост‡‚ное, то ‰елитель бу‰ет постым числом p ≤ √n. Ал„оитм 9.3 е‡лизует этот мето‰. Ал„оитм имеет ‰‚‡ цикл‡: о‰ин ‚нешний и о‰ин ‚нутенний, н‡хо‰ит уник‡льные множители ‚ ‡зложении; ‚нутеннflfl петлfl н‡хо‰ит по‚тоflющиесfl множители ‡зложениfl. Н‡пиме, 24 = 23 × 3. Внешний цикл множители 2 и 3. Внутенний цикл н‡хо‰ит, что число 2 — множитель . Ал„оитм 9.3. ‡зложение по‚екой_‰елением (n) // n ‡ск뇉ы‚‡емое число { a ← 2 wh¥le (a ≤ √n) { wh¥le (n mod a = 0) { output a // элементы ‚ых «о‰ин з‡ ‰у„им» n = n/a } a ← a +1 } // n не имеет больше множителей ¥f (n>1) output n } Сложность. Мето‰ по‚еки ‰елением обычно хоош, если n < 210, но он неэффекти‚ен и неосущест‚им ‰лfl ‡зложениfl больших целых чисел. Сложность ‡л„оитм‡ (пиложение L) пок‡з‡тельн‡. Пиме 9.29 Используйте ‡л„оитм по‚еки ‰елением, чтобы н‡йти сомножители числ‡ 1233. Решение Мы ‚ыполнflем по„‡мму, осннную н‡ ‡л„оитме, и получ‡ем сле‰ующий езульт‡т: 1233 = 32 × 137 293

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 9.30 Используйте ‡л„оитм по‚еки ‰елением, чтобы н‡йти сомножители 1523357784. Решение Мы ‚ыполнflем по„‡мму, осннную н‡ ‡л„оитме, и получ‡ем сле‰ующий езульт‡т: 1523357784 = 23 × 32 × 13 × 37 × 43987

Мето‰ Фем‡ Мето‰ Фем‡ ‡зложениfl н‡ множители (‡л„оитм 9.4) ‰елит номе n н‡ ‰‚‡ положительных целых числ‡ (a и b — не обflз‡тельно постые числ‡) т‡к, чтобы n = a × b. Ал„оитм 9.4. Пс傉око‰ ‰лfl ‡зложениfl н‡ множители по мето‰у Фем‡ Р‡зложение_н‡_множители Фем‡ (n) // n — ‡ск뇉ы‚‡емое число { x ← √n // н‡именьшее целое, большее, чем √n wh¥le (
Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

p – 1 мето‰ Полл‡‰‡ В 1974 „. Джон Полл‡‰ ‡з‡бот‡л мето‰, котоый н‡хо‰ит ‡зложение числ‡ p н‡ постые числ‡. Мето‰ оснн н‡ усло‚ии, что p – 1 не имеет сомножителfl, больше„о, чем з‡‡нее опе‰еленное зн‡чение B, н‡зы‚‡емое „‡ницей. Ал„оитм Полл‡‰‡ пок‡зы‚‡ет, что ‚ этом случ‡е p = НОД (2B! – 1, n ) Ал„оитм 9.5 пок‡зы‚‡ет пс傉око‰ ‰лfl p – 1 мет Полл‡‰‡ ‡зложениfl н‡ множители. К‡ мы ‚ыхо‰им из ‚тоо„о цикл‡, ‚ a сох‡нflетсfl 2B!. Ал„оитм 9.5. Пс傉око‰ ‰лfl p – 1 мет Полл‡‰‡ ‡зложениfl н‡ множители Pollard_(p–1)_Factor¥zat¥on (n,B) // n — ‡ск뇉ы‚‡емое число { a ← 2 e ← 2 wh¥le (e ≤ B) { a ← ae mod n e ← e +1 } p ← gsd (a–1, n) // gsd – НОД (н‡ибольший общий ‰елитель) ¥f 1 < p < n return p return fa¥lure } Сложность. З‡метим, что этот мето‰ тебует с‰ел‡ть B – 1 опе‡ций ‚оз‚е‰ениfl ‚ степень (a = a e mod n). К‡к мы у‚и‰им позже ‚ этой лекции, есть быстый ‡л„оитм ‚оз‚е‰ениfl ‚ степень, котоый ‚ыполнflет это з‡ 2 1og2 B опе‡ций. Мето‰ т‡кже использует ‚ычислениfl НОД, котоый тебует n3 опе‡ций. Мы можем ск‡з‡ть, что сложность — т‡к или ин‡че больше, чем O(B) или O(2nb), „‰е nb — число бито‚ ‚ B. Ду„‡fl поблем‡ – этот ‡л„оитм может з‡к‡нч肇тьсfl си„н‡лом об ошибке. Веоflтность успех‡ очень м‡л‡, если B имеет зн‡чение, не очень близкое к ‚еличине √n. Пиме 9.31 Используfl p – 1 мето‰ Полл‡‰‡, н‡й‰ите сомножители числ‡ 57247159 с „‡ницей B = 8. Решение Мы ‚ыполнflем по„‡мму, осннную н‡ ‡ссмотенном ‚ыше ‡л„оитме, и н‡хо‰им, что p = 421. Ф‡ктически 57247159 = 421 × 135979. Об‡тите ‚ним‡ние, что 421 — постое число и p –1 не имеет ни о‰но„о сомножителfl, больше„о 8, т.е. (421 – 1 = 22 × 3 × 5 × 7). 295

Кус

Кипто„‡фиfl и безоп‡сность сетей

РО (Rho) – мето‰ Полл‡‰‡ В 1975 „. Джон М. Полл‡‰ ‡з‡бот‡л ‚тоой мето‰ ‰лfl ‡зложениfl н‡ множители, котоый б‡зиуетсfl н‡ сле‰ующих положениflх. a. Пе‰положим, что есть ‰‚‡ целых числ‡, x1 и x 2, т‡ких, что p ‰елит x1 – x2, но эт‡ ‡зность не ‰елитсfl н‡ n. b. Может быть ‰ок‡з‡но, что p = НОД (x1 – x2, n). Поскольку p ‰елит x1 – x2, можно з‡пис‡ть, что x1 – x2 = q × p. Но поскольку n не ‰елит x1 – x2, оче‚и‰но, что q не ‰елитсfl n. Это озн‡ч‡ет, что НОД (x1 – x2, n) fl‚лflетсfl либо 1, либо сомножитель. Сле‰ующий ‡л„оитм по‚тоно ‚ыби‡ет x1 и x2, пок‡ не н‡хо‰ит соот‚етст‚ующую п‡у. 1. Выбеите x1 — м‡лое случ‡йное целое число, н‡зы‚‡емое пе‚оисточником. 2. Используйте функцию, чтобы ‚ычислить x2, т‡кую, чтобы n не ‰елило x1 – x2 . Функциfl, кото‡fl может быть пименен‡, — это x2 = f (x1 ) = x1 2 + a (a обычно ‚ыби‡етсfl к‡к 1). 3. Вычислить НОД (x1 – x2 , n). Если это не 1, езульт‡т – сомножитель. Ал„оитм ост‡н‡‚л肇етсfl. Если это 1, то поисхо‰ит ‚оз‚‡щение, чтобы по‚тоить поцесс с x1. Тепеь мы ‚ычислflем x3. З‡метим, что ‚ сле‰ующем ‡ун‰е мы н‡чин‡ем с x3 и т‡к ‰‡лее. Если мы пеечислим зн‡чениfl нескольких x, используfl РО (rho) ‡л„оитм Полл‡‰‡, мы у‚и‰им, что ‰у„‡ зн‡чений ‚ конечном счете по‚тоflетсfl, со片‚‡fl фому, по‰обную „еческой бук‚е Ро (rho или ‚ „еческом ‡лф‡‚ите ρ), к‡к это пок‡з‡но н‡ ис. 9.3.

Рис. 9.3 Успешные числ‡ ‚ Ро ‡л„оитме Полл‡‰‡ Чтобы уменьшить число ите‡ций, ‡л„оитм был немно„о изменен. Он н‡чин‡етсfl с п‡ы (x0, x0), и ите‡ти‚но ‚ычислflет (x1, x2), (x 2, x4), (x3,, x6), …. (xi .x2i), используfl ‡‚енст‚о xi+1 = f (xi). В к‡ж‰ой ите‡ции мы пименflем функцию f (xi) (н‡чин‡fl с ш‡„‡ 2). Пи этом ‚ычисление и‰ут сле‰ующим об‡зом: ‚ п‡е ‚ычислflетсfl о‰ин ‡з пе‚ый элемент и ‰‚‡ж‰ы — ‚тоой элемент (см. ‡л„оитм 9.6). 296

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Ал„оитм 9.6. Pollard_rho_Factor¥zat¥on (n, B) // n — число, котоое 퇉о ‡зложить { x ← 2 y ← 2 p ← ¥ wh¥le (p = 1) { x <— f(x) mod n y <— f(f(y) mod n) mod n // gsd (a,b) – это НОД (a,b) p <- gcd (x - y, n) } return p // если p = n, по„‡мм‡ не ‚ыполнен‡ }

Комплексность. Мето‰ тебует √p ‡ифметических опе‡ций. О‰н‡ко поскольку мы пе‰по뇄‡ем, что p бу‰ет меньше или ‡‚нflтьсfl √n, мы ож艇ем около n1/4 ‡ифметические опе‡ций. Это озн‡ч‡ет, что сложность ‡зfl‰ной опе‡ции 0 (2nb /4) пок‡з‡тельн‡. Пиме 9.32 Пе‰положим, что есть компьюте, котоый, может ‚ыполнить 230 (почти 1 милли‡‰) ‡зfl‰ных опе‡ций ‚ секун‰у. К‡кое пиблизительно ‚емfl потебуетсfl, чтобы ‡зложить н‡ множители целое число ‡зме‡ a. 60 ‰есflтичных циф b. 100 ‰есflтичных циф Решение a. Множест‚о 60 ‰есflтичных циф имеют почти 200 бито‚. Сложность — 2nb /4 или 250. Со скоостью 230 опе‡ций ‚ секун‰у ‡л„оитм может быть ‚ыполнен ‚ 220 секун‰ы или почти з‡ 12 ‰ней b. Множест‚о 100 ‰есflтичных циф — это почти 300 бито‚. Сложность — 275. Со скоостью 230 опе‡ций ‚ секун‰у ‡л„оитм может быть ‚ыполнен ‚ 245 секун‰ или з‡ мно„о лет Пиме 9.33 Мы н‡пис‡ли по„‡мму, чтобы ‚ычислить ‡зложение 434617. Результ‡т — 709 (434617 = 709 × 613) Т‡блиц‡ 9.2 пок‡зы‚‡ет зн‡чениfl п‡ (x и y) и p ‚ этом поцессе.

Более эффекти‚ные мето‰ы В течение пошлых ‰есflтилетий были пе‰ложены несколько мето‰о‚ ‡зложениfl н‡ множители, они к‡тко ‡ссм‡т肇ютсfl ниже. 297

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 9.2. Зн‡чениfl x, y и p ‚ пимее 9.33 x 2 5 26 677 23713 345589 142292 380320 15 7099 369457 52128 102901 41831 64520 68775

y 2 26 23713 142292 157099 52128 41831 68775 427553 2634 63593 161353 64890 21979 16309

p 1 1 1 1 1 1 1 1 1 1 1 1 1 1 709

К‚‡‰‡тичное ешето Поме‡нс изобел мето‰ ‡зложениfl н‡ множители, н‡зы‚‡емый мето‰ом ꂇ‰‡тично„о ешет‡. Мето‰ пименflет поце‰уу посе肇ниfl, чтобы н‡йти зн‡чение x2mod n. Мето‰ используетсfl, чтобы ‡зложить н‡ множители целые числ‡ с более чем 100 циф‡ми. Е„о сложность — 0 (ec), „‰е C ≈ 2(ln n lnln n)1/2. Об‡тите ‚ним‡ние, что это – субпотенци‡льн‡fl сложность1. Решето полfl чисел Эн‰ик Ленст‡ и А‰жин Ленст‡ изобели мето‰ ‡зложениfl н‡ множители и н‡з‚‡ли е„о мето‰ ешет‡ полfl чисел. Мето‰ использует поце‰уу посе肇ниfl ‚ ‡л„еб‡ической кольце‚ой стуктуе к x2 ≡ y2 mod n. Пок‡з‡но, что этот мето‰ быстее ‰лfl ‡зложениfl чисел с более чем 120 ‰есflтичными циф‡ми. Е„о сложность – O(eС) „‰е C ≈ (ln n)1/3(lnln n)2/3 . Об‡тите ‚ним‡ние, что это — т‡кже субпок‡з‡тельн‡fl сложность. Пиме 9.34 Пе‰положим, что есть компьюте, котоый может ‚ыполнить 230 (почти 1 милли‡‰) бито‚ых опе‡ций ‚ секун‰у. К‡кое пиблизительно ‚емfl тебуетсfl ‰лfl это„о компьюте‡, чтобы ‡зложить н‡ множители целое число из 100 ‰есflтичных циф, используfl о‰ин из сле‰ующих мето‰о‚? a. Мето‰ к‚‡‰‡тично„о ешет‡ b. Мето‰ ешет‡ полfl чисел Решение Номе с 100 ‰есflтичными циф‡ми имеет почти 300 бито‚ (n = 2300). ln (2300) = 207 и lnln (2300) = 5. a. Длfl мет ꂇ‰‡тично„о ешет‡ мы имеем (207) 1/2 × (5) 1/2 = 14 × 2,23 = 32. 1

Субпотенци‡льн‡fl сложность — сложность меньше потенци‡льной. 298

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Это озн‡ч‡ет, что н‡м 퇉о e32 бито‚ых опе‡ций, котоые мо„ут быть ‚ыполнены ‚ (e32)/ (230) = 20 ч‡со‚. b. Пи мето‰е ешет‡ полfl чисел мы имеем (207) × (5) 2/2 = 6 × 3 ≈ 18. Это озн‡ч‡ет, что н‡м 퇉о e 18 бито‚ых опе‡ций, котоые мо„ут быть с‰ел‡ны з‡ (e30) / (230) ≈ 6 секун‰. О‰н‡ко эти езульт‡ты п‡‚ильны, только если мы имеем компьюте, котоый может ‚ыполнить 1 милли‡‰ бито‚ых опе‡ций ‚ секун‰у. Ду„ие поблемы В лекции 10 мы обсу‰им пик뇉ные ‚опосы 燉‡чи ‡зложениfl н‡ множители ‰лfl ‚скытиfl киптосистем с откытым ключом. Если бу‰ут изобетены более эффекти‚ные мето‰ы ‡зложениfl н‡ множители, то киптосистемы с откытым ключом ‚ынуж‰ены бу‰ут использть большие целые числ‡, чтобы поти‚остоflть кипто‡н‡лизу. Изобет‡тели RSA со片ли осно‚у ‰лfl конкуенции мето‰о‚ ‡зложениfl н‡ множители номео‚ ‰о 2048 бито‚ (больше чем 600 циф).

9.4. Кит‡йск‡fl теоем‡ об ост‡тк‡х Кит‡йск‡fl теоем‡ об ост‡тк‡х (CRT — Chinese Reminder Theorem) используетсfl, чтобы ешить множест‚о у‡‚нений с о‰ной пееменной, но ‡зличными ‚з‡имно постыми мо‰улflми, к‡к это пок‡з‡но ниже: x ≡ a1 (mod m1) x ≡ a2 (mod m2) …. x ≡ ak (mod mk) Кит‡йск‡fl теоем‡ об ост‡тк‡х ут‚е扇ет, что ‚ышеупомflнутые у‡‚нениfl имеют е‰инст‚енное ешение, если мо‰ули fl‚лflютсfl ‚з‡имно постыми. Пиме 9.35 Сле‰ующий пиме со‰ежит систему у‡‚нений с ‡зличными мо‰улflми: x ≡ 2 (mod3) x ≡ 3 (mod 5) x ≡ 2 (mod 7) Длfl этой системы у‡‚нений x = 23. Это зн‡чение у‰о‚лет‚оflет ‚се у‡‚нениfl: 23 × 2 (mod 3), 23 × 3 (mod 5), 23 × 2 (mod 7). Решение Решение системы у‡‚нений ‚ыполнflетсfl ‚ сле‰ующем поfl‰ке. 1. Н‡йти M = m1 × m2 × …. × mk. Это общий мо‰уль. 2. Н‡йти M1 = M/m1, M2 = M/m2,…., Mk = M/mk. 3. Используfl соот‚етст‚ующие мо‰ули m1, m2,…., mk, н‡йти мультиплик‡ти‚ную ин‚есию M1, M2,…, Mk. Обозн‡чим ее M1-1, M2-1,…, Mk-1. 4. Решение системы у‡‚нений 299

Кус

Кипто„‡фиfl и безоп‡сность сетей

x = (a1 × M1 × M1-1 + a2 × M2 × M2-1+……+ ak × Mk × Mk-1) mod M Об‡тите ‚ним‡ние, что систем‡ у‡‚нений может иметь ешение, ‰‡же если мо‰ули не ‚з‡имно постые. О‰н‡ко ‚ кипто„‡фии мы интеесуемсfl только ешением у‡‚нений с ‚з‡имно постыми мо‰улflми. Пиме 9.36 Н‡й‰ите ешение системы у‡‚нений x ≡ 2 (mod3) x ≡ 3 (mod 5) x ≡ 2 (mod 7) Из пе‰ы‰уще„о пиме‡ мы уже зн‡ем, что от‚ет x = 23. Опе‰елим е„о ‚ четые ш‡„‡. Решение 1. M = 3 × 5 × 7 = 105 2. M1 = 105/3 = 35, M2 = 105/5 =21, M3 = 105/7 = 15 3. Ин‚есии M1-1 = 2, M2-1 = 1, M3-1 = 1 4. x = (2 × 35 × 2 + 3 × 21 × 1 + 2 × 15 × 1 = 23 mod 105 Пиме 9.37 Н‡йти целое, котоое ‰‡ет ‚ ост‡тке 3, если е„о ‡з‰елить н‡ 7 и 13, но без ост‡тк‡ ‰елитсfl н‡ 12. Решение Это поблем‡ кит‡йской теоемы об ост‡тк‡х. Мы можем сост‡‚ить ти у‡‚нениfl и н‡йти зн‡чение x. x ≡ 3 (mod 7) x ≡ 3 (mod 13) x ≡ 0 (mod 12) Если по‚е‰ем четые ш‡„‡, мы н‡й‰ем x = 276. Можем по‚еить, что 276 = 3 mod 7, 276 = 3 mod 13 и 276 ‰елитсfl н‡ 12 (ч‡стное 23 и ост‡ток 0).

Пиложениfl Кит‡йск‡fl теоем‡ об ост‡тк‡х ч‡сто пименflетсfl ‚ кипто„‡фии. О‰но из т‡ких пименений – ешение ꂇ‰‡тных у‡‚нений — бу‰ет обсу扇тьсfl ‚ сле‰ующей секции. Ду„ое пиложение — пе‰ст‡‚ление очень большо„о числ‡ ‚ ‚и‰е списк‡ м‡лых целых чисел. Пиме 9.38 Пе‰положим, н‡м н‡‰о ‚ычислить z = x + y, „‰е x = 123 и y = 334, но систем‡ пиним‡ет только числ‡ меньше 100. Эти числ‡ можно пе‰ст‡‚ить сле‰ующими у‡‚нениflми: 300

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

x ≡ 24(mod 99)

y ≡ 37 (mod 99)

x ≡ 25(mod 98)

y ≡ 40 (mod 98)

x ≡ 26(mod 97)

y ≡ 43 (mod 97)

Сложим к‡ж‰ое у‡‚нение x с соот‚етст‚ующим у‡‚нением y: x + y ≡ 61 (mod 99)

→

z ≡ 61 (mod 99)

x + y ≡ 65 (mod 98)

→

z ≡ 65 (mod 98)

x + y ≡ 69 (mod 97)

→

z ≡ 69 (mod 97)

Тепеь эти ти у‡‚нениfl мо„ут быть ешены, с использнием кит‡йской теоемы об ост‡тк‡х, чтобы н‡йти z. О‰ин из пиемлемых от‚ето‚ z = 457.

9.5. К‚‡‰‡тичное с‡‚нение Линейное с‡‚нение уже ‡ссм‡т肇лось ‚ лекции 2, ‡ кит‡йск‡fl теоем‡ об ост‡тк‡х был‡ обсуж‰ен‡ ‚ пе‰ы‰ущей секции. Длfl ешениfl 燉‡ч кипто„‡фии мы т‡кже ‰олжны уметь еш‡ть ꂇ‰‡тичное с‡‚нение, имеющее сле‰ующую фому: a2x2 + a1x + a0 = 0 (mod n). Мы о„‡ничим н‡ше обсуж‰ение только ꂇ‰‡тичными у‡‚нениflми, ‚ котоых a2 = 1 и a1 = 0. Т‡ ‡ссмотение бу‰ет к‡с‡тьсfl у‡‚нений сле‰ующей фомы: x2 ≡ a (mod n).

К‚‡‰‡тичное с‡‚нение с мо‰улем ‚ ‚и‰е посто„о числ‡ Мы сн‡ч‡л‡ ‡ссм‡т肇ем случ‡й, ‚ котоом мо‰уль fl‚лflетсfl постым числом. Ду„ими слми, мы хотим н‡йти ешениfl у‡‚нениfl фомы x2 ≡ a(mod p), ‚ котоом p fl‚лflетсfl постым числом и a — целое число, т‡кое, что p и a — ‚з‡имно постые. Может быть ‰ок‡з‡но, что этот тип у‡‚нениfl либо не имеет ник‡ко„о ешениfl, либо имеет только ‰‚‡ некон„уэнтных ешениfl. Пиме 9.39 У‡‚нение x2 ≡ 3 (mod 11) имеет ‰‚‡ ешениfl: x ≡ 5 (mod 11) и x ≡ –5 (mod 11). Но з‡метим, что –5 ≡ 6 (mod 11), т‡к что ф‡ктически эти ‰‚‡ ешениfl 5 и 6. Т‡кже об‡тите ‚ним‡ние, что эти ‰‚‡ ешениfl некон„уэнтны (нес‡‚нимы). Пиме 9.40 У‡‚нение x2 ≡ 2 (mod 11) не имеет ешениfl. Не может быть н‡й‰ено ни о‰но„о цело„о числ‡ x, т‡ко„о, что ꂇ‰‡т ‡‚ен 2 mod 11. К‚‡‰‡тичные ‚ычеты и не‚ычет 301

Кус

Кипто„‡фиfl и безоп‡сность сетей

В у‡‚нении x2 ≡ a (mod p) a н‡зы‚‡етсfl ꂇ‰‡тичным ‚ычетом (QR), если у‡‚нение имеет ‰‚‡ ешениfl; a н‡зы‚‡етсfl ꂇ‰‡тичным не‚ычетом (QNR), если у‡‚нение не имеет ешений. Может быть ‰ок‡з‡но, что ‚ ZP* с p – 1 элемент‡ми (p – 1)/2 элементо‚ — ꂇ‰‡тичные ‚ычеты и (p – 1)/2 fl‚лflютсfl ꂇ‰‡тичными не‚ычет‡ми. Пиме 9.41 Есть 10 элементо‚ ‚ Z11*. Пflть из них – ꂇ‰‡тичные ‚ычеты, и пflть — не‚ычеты. Ду„ими слми, Z11* может быть ‡з‰елен н‡ ‰‚‡ от‰ельных множест‚‡, QR и QNR, к‡к это пок‡з‡но н‡ ис. 9.4. Китеий Эйле‡

К‡к мы можем по‚еить, fl‚лflетсfl ли целое число QR по мо‰улю p? Китеий Эйле‡ ‰‡ет пизн‡ки: a. Если a(p–1)/2 ≡ 1 mod p — ꂇ‰‡тичный ‚ычет по мо‰улю p. b. Если a(p–1)/2 ≡ –1 mod p — ꂇ‰‡тичный не‚ычет по мо‰улю p. Рис. 9.4. Р‡з‰еление Z11* н‡ QR и QNR Пиме 9.42 Длfl то„о чтобы узн‡ть, fl‚лflетсfl ли 14 или 16 QR ‚ Z11*, с‰ел‡ем сле‰ующие ‚ычислениfl: 14(23-1)./2mod 23 → 1411 mod 23 → 22mod 23 → –1mod 23 16(23-1)./2mod 23 → 1611 mod 23 → 1 mod 23

не‚ычет ‚ычет

Решение ꂇ‰‡тично„о с‡‚нениfl с мо‰улем ‚ ‚и‰е посто„о числ‡ Хотfl китеий Эйле‡ поз‚олflет н‡м опе‰елить, fl‚лflетсfl ли целое число a QR или QNR ‚ Zp*, он не может н‡йти ешение x2 ≡ a (mod p). Чтобы н‡йти ешение это„о ꂇ‰‡тно„о у‡‚нениfl, мы з‡метим, что постое число может быть пе‰ст‡‚лено либо к‡к p = 4k + 1, либо к‡к p = 4 к + 3, ‚ котоом k fl‚лflетсfl положительным целым числом. Решение ꂇ‰‡тно„о у‡‚нениfl — очень сложное ‚ пе‚ом случ‡е и более постое ‚о ‚тоом. Мы обсу‰им только ‚тоой случ‡й, котоый мы бу‰ем использть ‚ лекции 10, к‡ бу‰ем ‡ссм‡т肇ть кипто„‡фическую систему Р‡бин‡. Специ‡льный случ‡й: p = 4 К + 3, если p н‡хо‰итсfl ‚ фоме 4 К + 3 (то есть p = 3 mod 4) и a есть QR ‚ Zp*, то x ≡ a(p+1)/4(mod p) и x ≡ –a(p+1)/4(mod p) 302

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Пиме 9.43 Решите сле‰ующие ꂇ‰‡тные у‡‚нениfl: a. x2 ≡ 3 (mod 23) b. x2 ≡ 2 (mod 11) c. x2 ≡ 7 (mod 19) Решениfl a. В пе‚ом у‡‚нении 3 – QR ‚ Z23, ешение – x ≡ ±16 (mod 23). Ду„ими слми, √3 ≡ ± 16 (mod 23). b.Во ‚тоом у‡‚нении 2 – QNR ‚ Z11. Нет ешениfl ‰лfl √2 ‚ Z11. c. В тетьем у‡‚нении 7 – QR ‚ Z19, ешение – x ≡ ±11 (mod 19). Ду„ими слми √7 ≡ ± 11 (mod 19).

К‚‡‰‡тичное с‡‚нение по сост‡‚ному мо‰улю К‚‡‰‡тичное с‡‚нение по сост‡‚ному мо‰улю может быть пи‚е‰ено к ешению системы с‡‚нений по мо‰улю ‚ ‚и‰е посто„о числ‡. Ду„ими слми, мы можем ‡н‡лизить x2 ≡ a (mod n), если имеем ‡зложение n н‡ множители. Тепеь мы можем ешить к‡ж‰ое ‡н‡лизиуемое у‡‚нение (если оно ‡зешимо) и н‡йти k п‡ от‚ето‚ ‰лfl x, к‡к пок‡з‡но н‡ ис. 9.5. Рис. 9.5. Декомпозициfl с‡‚нениfl по сост‡‚ному мо‰улю Из k п‡ от‚ето‚ мы можем сост‡‚ить 2 системы у‡‚нений, котоые мо„ут быть ешены с использнием кит‡йской теоемы об ост‡тк‡х, чтобы н‡йти 2 зн‡чениfl ‰лfl x. В кипто„‡фии обычно n ‚ыби‡ют т‡к, чтобы n = p × q, — это озн‡ч‡ет k = 2, и мы имеем ‚ целом только четые от‚ет‡. Пиме 9.44 Пе‰положим, что x2 ≡ 36 (mod 77). Мы зн‡ем, что 77 = 7 × 11. Мы можем н‡пис‡ть x2 = 36 (mod 7) ≡ 1 (mod 7)

и

x2 ≡ 36 (mod 11) ≡ 3 (mod 11)

Об‡тите ‚ним‡ние, что мы ‚ыб‡ли 3 и 7, чтобы иметь фому 4k + 3 — т‡к, чтобы мы мо„ли ешить у‡‚нениfl, осно‚ы‚‡flсь н‡ пе‰ы‰ущих ‡ссуж‰ениflх. Из этих у‡‚нений мы имеем ꂇ‰‡тичные ‚ычеты ‚ собст‚енном множест‚е. От‚еты x ≡ +1 (mod 7), x ≡ –1 (mod 7), x ≡ + 5 (mod 11) и x ≡ –5 (mod 11). Тепеь мы можем из них сост‡‚ить четые системы у‡‚нений: 303

Кус

Кипто„‡фиfl и безоп‡сность сетей

Систем‡ 1: x ≡ +1(mod 7) Систем‡ 2: x ≡ +1(mod 7) Систем‡ 3: x ≡ –1(mod 7) Систем‡ 4: x ≡ –1(mod 7)

x ≡ +5(mod 11) x ≡ – 5(mod 11) x ≡ +5(mod 11) x ≡ – 5(mod 11)

От‚еты : x = ± 6 и ± 27. Сложность К‡к сложно ешить ꂇ‰‡тичное с‡‚нение по сост‡‚ному мо‰улю? Г뇂н‡fl 燉‡ч‡ — это ‡зложение мо‰улfl н‡ множители. Ду„ими слми, сложность ешениfl ꂇ‰‡тично„о с‡‚нениfl по сост‡‚ному мо‰улю — т‡к‡fl же, к‡к и ‡зложениfl н‡ множители сост‡‚но„о цело„о числ‡. К‡к мы ‚и‰ели ‡ньше, если n очень большое, то ‡зложение н‡ множители неосущест‚имо. Сложность ешениfl ꂇ‰‡тично„о с‡‚нениfl по сост‡‚ному мо‰улю имеет ту же сложность, что и ‡зложение мо‰улfl н‡ множители.

9.6. Воз‚е‰ение ‚ степень и лифмы Воз‚е‰ение ‚ степень и лифм ин‚есны ‰у„ ‰у„у. Сле‰ующие ‡з‰елы пок‡зы‚‡ют отношениfl меж‰у ними, ‚ котоых a н‡зы‚‡етсfl осно‚ой ‚оз‚е‰ениfl ‚ степень или лифм‡. Воз‚е‰ение ‚ степень: y = ax → лифм: x = logay

Воз‚е‰ение ‚ степень В кипто„‡фии общ‡fl мо‰ульн‡fl опе‡циfl — ‚оз‚е‰ение ‚ степень. Мы ч‡сто ‰олжны ‚ычислflть y = a x mod n Кипто„‡фическ‡fl систем‡ RSA, кото‡fl бу‰ет обсу扇тьсfl ‚ лекции 10, использует ‚оз‚е‰ение ‚ степень ‰лfl шифниfl и ‰лfl ‰ешифниfl очень больших чисел. К сож‡лению, большинст‚о компьютеных flзыко‚ не имеет опе‡тоо‚, котоые мо„ут эффекти‚но ‚ычислflть степень, особенно ‰лfl очень больших чисел. Чтобы с‰ел‡ть эту опе‡цию более эффекти‚ной пи ‚ычислении, мы ну扇емсfl ‚ эффекти‚ных ‡л„оитм‡х. Быстое ‚оз‚е‰ение ‚ степень Быстое ‚оз‚е‰ение ‚ степень ‚озможно пи использнии специ‡льных мето‰о‚ ‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl. В т‡‰иционных ‡л„оитм‡х, ‰лfl ‚оз‚е‰ениfl ‚ степень пименflетсfl только умножение, но быстый ‡л„оитм ‚оз‚е‰ениfl ‚ степень использует и ‚оз‚е‰ение ‚ ꂇ‰‡т, и умножение. Г뇂н‡fl и‰еfl это„о 304

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Рис. 9.6. И‰еfl мет «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl» мет — ‚ыполнение ‚оз‚е‰ениfl ‚ степень с помощью об‡ботки ‰‚оично„о числ‡ с nb бит‡ми (x0 xnb – 1). Н‡пиме, x = 22 = (10110)2. Вообще, число x может быть з‡пис‡но к‡к x = xnb–1 × 2k–1 + xnb–2 × 2k–2 + ... + x2 × 22 + x1 × 21 + x0 × 20 Тепеь мы можем н‡пис‡ть y = ax, к‡к это пок‡з‡но н‡ ис. 9.6. Об‡тите ‚ним‡ние, что y — поиз‚е‰ение элементо‚ числ‡ n. К‡ж‰ый элемент — либо 1 (если соот‚етст‚ующий бит — 0), либо a2i (если соот‚етст‚ующий бит — 1). Ду„ими слми, элемент уч‡ст‚ует ‚ умножении, если бит — 1, или не уч‡ст‚ует, если бит — 0 (умножение н‡ 1 не менflет числ‡). Рисунок 9.6 ‰‡ет общую и‰ею, к‡к н‡пис‡ть ‡л„оитм. Мы можем непеы‚но ‚з‚о‰ить ‚ ꂇ‰‡т a,a2,a4,…, a2nb–1. Если соот‚етст‚ующий бит — 0, элемент не уч‡ст‚ует ‚ поцессе умножениfl; если бит — 1, то уч‡ст‚ует. Ал„оитм 9.7 от‡ж‡ет эти ‰‚‡ с‚ойст‚‡. Ал„оитм 9.7. Воз‚е‰ение_‚_ ꂇ‰‡т_и_умножение (a,x,n) { y ← 1 for (¥ ← 0 to nb – 1) //nb — число бит ‚ x { ¥f (x¥ = 1) y ← a × y mod n //умножение, только если бит 1 a ← a2 mod n //‚ после‰ней ите‡ции ‚оз‚е‰ение ‚ степень //не нужно } return y } Ал„оитм 9.7 использует nb ите‡ции. В к‡ж‰ой ите‡ции он по‚еflет зн‡чение соот‚етст‚ующе„о бит‡. Если зн‡чение бит‡ ‡‚но 1, он умнож‡ет текущее зн‡чение н‡ пе‰ы‰ущее зн‡чение езульт‡т‡. З‡тем полученный езульт‡т fl‚лfl305

Кус

Кипто„‡фиfl и безоп‡сность сетей

етсfl б‡зой ‰лfl сле‰ующей ите‡ции. Об‡тите ‚ним‡ние, что ‚оз‚е‰ение ‚ ꂇ‰‡т ‚ после‰нем ш‡„е не нужно (езульт‡т не используетсfl). Пиме 9.45 Рисунок 9.7 пок‡зы‚‡ет поцесс ‰лfl по‰счет‡ y = ax с использнием ‡л„оитм‡ 9.7 (‰лfl постоты изоб‡жениfl мо‰ули не пок‡з‡ны). В этом случ‡е x = 22 = (10110)2. Это число имеет 5 бит. Рис. 9.7. Демонст‡циfl ‚ычислениfl a22 с использнием мет «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl» Воз‚е‰ение ‚ ꂇ‰‡т ‰ел‡етсfl н‡ к‡ж‰ом ш‡„е з‡ исключением после‰не„о. Умножение ‰ел‡етсfl, если соот‚етст‚ующий бит ‡‚ен 1. Н‡ исунке 9.7 пок‡з‡но, к‡к постепенно фомиуетсfl зн‡чение y ‰о зн‡чениfl y = a22. З‡темненный пflмоу„ольник озн‡ч‡ет, что умножение не ‰ел‡етсfl и пе‰ы‰ущее зн‡чение пееноситсfl н‡ сле‰ующий ш‡„. Т‡блиц‡ 9.3 пок‡зы‚‡ет, к‡к ‚ычислflетсfl зн‡чение ‰лfl y = 1722 mod 21. Результ‡т — y = 4. Т‡блиц‡ 9.3. i

xi

0 1 2 3 4

0 1 1 0 1

Умножение (Иници‡лиз‡циfl y = 1) → → → → →

y = 1 × 16 mod 21 =16 y = 16 × 4 mod 21 =1 y = 1 × 4 mod 21 = 4

Воз‚е‰ение ‚ степень (Иници‡лиз‡циfl a = 17) a = 172 mod 21 =16 a = 162 mod 21 = 4 a = 4 2 mod 21 =16 a = 162 mod 21 = 4

Сложность. Ал„оитм 9.7 использует м‡ксим‡льно 2nb ‡ифметических опе‡ций, ‚ котоых nb fl‚лflетсfl ‰линой мо‰улfl ‚ бит‡х (nb = log2n). Сложность ‚ бито‚ых опе‡циflх ‡л„оитм‡ — O(nb) или полиноми‡льн‡fl сложность. Сложность ‡зfl‰ной опе‡ции бысто„о пок‡з‡тельно„о ‡л„оитм‡ — полиноми‡льн‡fl. Альтен‡ти‚ный ‡л„оитм. З‡метим, что ‡л„оитм 9.7 по‚еflет зн‡чение бито‚ ‚ x сп‡‚‡ н‡ле‚о (от с‡мо„о м뇉ше„о ‰о с‡мо„о ст‡ше„о). Может быть н‡пис‡н ‰у„ой ‡л„оитм, чтобы использть об‡тный поfl‰ок. Мы ‚ыб‡ли ‚ышеупомflнутый ‡л„оитм, потому что опе‡циfl ‚оз‚е‰ениfl ‚ ꂇ‰‡т полностью не燂исим‡ от опе‡ции умножениfl; они мо„ут быть с‰ел‡ны п‡‡ллельно, чтобы 306

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

у‚еличить скоость об‡ботки. Альтен‡ти‚ные ‡л„оитмы ост‡‚лflем к‡к уп‡жнение.

Лифм Мы т‡кже ‰олжны обсу‰ить мо‰ульный лифм, котоый используетсfl ‚ кипто„‡фии. Если мы пименflем ‚оз‚е‰ение ‚ степень ‰лfl то„о, чтобы з‡шифть или ‡сшифо‚ы‚‡ть сообщение, поти‚ник может использть лифм ‰лfl ‡скытиfl это„о сообщениfl Мы ‰олжны зн‡ть, ту‰но ли получить опе‡цию, поти‚оположную ‚оз‚е‰ению ‚ степень. Полный пеебо Пе‚ое ешение, котоое мо„ло бы пийти н‡ ум, ‰лfl ешениfl x = loga y (mod n): мы можем н‡пис‡ть ‡л„оитм, котоый непеы‚но ‚ычислflет y = ax mod n, пок‡ не н‡хо‰ит 燉‡нное зн‡чение y. Ал„оитм 9.8 пок‡зы‚‡ет этот по‰хо‰. Ал„оитм 9.8. Ал„оитм полно„о пеебо‡ ‰лfl мо‰ульно„о лифм‡ Modular_Logar¥thm (a, y, n} { for (x = 1 to n — 1) { ¥f (y ≡ ax mod n) return x } return fa¥lure }

// k число бит ‚ x

Ал„оитм 9.8 fl‚но очень неэффекти‚ен. Сложность ‡зfl‰ной опе‡ции — O (2nb) или пок‡з‡тельн‡fl. Дискетный лифм Втоой по‰хо‰ состоит ‚ том, чтобы использть понflтие ‰искетно„о лифм‡. Р‡ссмотение это„о понflтиfl тебует изучениfl некотоых с‚ойст‚ мультиплик‡ти‚ных „упп. Конечн‡fl мультиплик‡ти‚н‡fl „упп‡. В кипто„‡фии мы ч‡сто используем мультиплик‡ти‚ную конечную „уппу: G = , ‚ котоой пименflем‡fl опе‡циfl fl‚лflетсfl умножением. Множест‚о Zn* со‰ежит целые числ‡ от 1 ‰о n–1, котоые fl‚лflютсfl ‚з‡имно постыми с n, нейт‡льный элемент — e = 1. Об‡тите ‚ним‡ние, что к‡ мо‰уль „уппы — постое число, мы имеем G = . Эт‡ „упп‡ — специ‡льный случ‡й „уппы пе‚о„о тип‡, т‡к что мы концентиуемсfl н‡ этой „уппе. Поfl‰ок „уппы. В лекции 4 мы обсу扇ли поfl‰ок конечной „уппы |G| ‰лfl то„о, чтобы опе‰елить число элементо‚ ‚ „уппе G. Было ‰ок‡з‡но, что ‚ „уппе 307

Кус

Кипто„‡фиfl и безоп‡сность сетей

G = поfl‰ок „уппы (число элементо‚) — число Эйле‡ φ(n). Мы пок‡з‡ли, к‡к ‚ычислить φ(n), к‡ n может быть ‡зложено н‡ множители ‚ ‚и‰е постых чисел. Пиме 9.46 Н‡йти поfl‰ок „уппы G = , |G| = φ (21) = φ (3) × φ (7) = 2 × 6 = 12. В этой „уппе 12 элементо‚: 1, 2, 4, 5, 8, 10, 11, 13, 16, 17, 19 и 20. Все — ‚з‡имно постые с 21. Поfl‰ок элемент‡. В лекции 4 мы т‡кже обсу扇ли поfl‰ок элемент‡ — ord (a). В G = , мы по‰олж‡ем опе‰еление. Поfl‰ок элемент‡ a есть н‡именьшее целое число, т‡кое, что ai ≡ e(mod n). В этом случ‡е нейт‡льный элемент e ‡‚ен 1. Пиме 9.47 Н‡й‰ите поfl‰ок ‚сех элементо‚ ‚ G = . Решение Эт‡ „упп‡ имеет только φ (10) = 4 элемент‡: 1, 3, 7, 9. Мы можем н‡йти поfl‰ок к‡ж‰о„о элемент‡ мето‰ом «поб и ошибок». О‰н‡ко, со„л‡сно езульт‡т‡м лекции 4, поfl‰ок элемент‡ fl‚лflетсfl ‰елителем поfl‰к‡ „уппы (теоем‡ Л‡„‡нж‡). Целые числ‡, котоые ‰елflт 4, — 1, 2 и 4. Это озн‡ч‡ет, что ‚ к‡ж‰ом случ‡е мы ‰олжны по‚еить только эти числ‡ и н‡йти поfl‰ок элемент‡, a. 11 = 1 mod (10) → ord (10) = 1. b. 31 = 3 mod (10); 32 ≡ 9 mod (10); 34 ≡ 1 mod (10) → ord(3) = 4. c. 71 ≡ 7 mod (10); 72 ≡ 9 mod (10); 74 ≡ 1 mod (10) → ord (7) = 4. d. 91 = 9 mod (10); 92 ≡ 1 mod (10) → ord (9) = 2. Теоем‡ Эйле‡. Ду„‡fl теоем‡, относflщ‡flсfl к этому ‚опосу, — это теоем‡ Эйле‡, кото‡fl „о‚оит, что если a fl‚лflетсfl членом G = , то aφ(n) = 1 mod n; Эт‡ теоем‡ очень полезн‡, потому что пок‡зы‚‡ет, что ‡‚енст‚о ai = 1 mod n сох‡нflетсfl, если i = φ (n). З‡метим: это не отиц‡ет, что ‡‚енст‚о может ‚ыпол-

нflтьсfl и если i < φ (n). Ду„ими слми, отношение пок‡зы‚‡ет, что ‡‚енст‚о ‚ыполнflетсfl по меньшей мее о‰н‡ж‰ы. Пиме 9.48 Т‡блиц‡ 9.4 пок‡зы‚‡ет езульт‡т ai = x (mod 8) ‰лfl „уппы G = . Об‡тите ‚ним‡ние, что φ (8) =4. Это элементы — 1, 3, 5 и 7. Т‡блиц‡ 9.4. Н‡хож‰ение поfl‰к‡ элементо‚ ‚ пимее 9.48 308

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Т‡блиц‡ 9.4 ‰емонстиует некотоые моменты ‚ычислений. Пе‚ый: з‡темненн‡fl обл‡сть пок‡зы‚‡ет езульт‡т пименениfl теоемы Эйле‡. К‡ i = φ (8) = 4, езульт‡т ‡‚ен x = 1 ‰лfl к‡ж‰о„о a. Втоой момент: т‡блиц‡ пок‡зы‚‡ет, что зн‡чение 1 может быть получено ‰лfl мно„их зн‡чений i — ‚ пе‚ую очее‰ь, зн‡чение i, ‡‚ное поfl‰ку элемент‡ (об‚е‰ено ‚ т‡блице жиной линией). Поfl‰ок элементо‚: ord (1) = 1, ord (3) = 2, ord (5) = 2 и ord (7) = 2. Пе‚ооб‡зные кони. Очень интеесное понflтие ‚ мультиплик‡ти‚ной „уппе — „уппы пе‚ооб‡зно„о конfl, котоые используютсfl ‚ кипто„‡фической системе El Gamal (эль Г‡м‡лfl) ‚ лекции 10. В „уппе G = , к‡ поfl‰ок элемент‡ ‡‚ен ϕ (n), этот элемент н‡зы‚‡етсfl пе‚ооб‡зным конем „уппы. Пиме 9.49

Т‡блиц‡ 9.4 пок‡зы‚‡ет, что т‡м нет пе‚ооб‡зных коней G = , потому что ни о‰ин элемент не имеет поfl‰ок, ‡‚ный φ (8) = 4. Поfl‰ок ‚сех элементо‚ — меньше, чем 4. Пиме 9.50 Т‡блиц‡ 9.5 пок‡зы‚‡ет езульт‡т ai ≡ x (mod 7) ‰лfl „уппы G = . В этой „уппе φ (7) = 6. Т‡блиц‡ 9.5. Пиме 9.50 Поfl‰ок элементо‚ – ord (1) = 1, ord (2) = 3, ord (3) = 6, ord (4) = 3, ord (5)= 6 и ord (6) = 1. Т‡блиц‡ 9.5 пок‡зы‚‡ет, что только ‰‚‡ элемент‡, 3 и 5, имеют поfl‰ок ‚ i = φ(n) = 6 . Поэтому эт‡ „упп‡ имеет только ‰‚‡ пимити‚ных конfl: 3 и 5. Было ‰ок‡з‡но, что „упп‡ G = имеет пимити‚ный коень, только если n = 2, 4, pt, или 2pt, ‚ котоой p fl‚лflетсfl нечетным постым числом (не 2) и t — целое число. Гупп‡ G = имеет пимити‚ные кони, только если n ‡‚но 2, 4, pt или 2pt. Пиме 9.51 309

Кус

Кипто„‡фиfl и безоп‡сность сетей

Длfl к‡ко„о зн‡чениfl n „упп‡ G = имеет пимити‚ные кони: 17, 20, 38 и 50? Решение a. G = имеет пимити‚ные кони, потому что 17 — постое число (pt, „‰е t ‡‚но 1). b. G = не имеет ник‡ких пимити‚ных коней. c. G = имеет пе‚ооб‡зные кони, потому что 38 = 2 × 19 и 19 — постое число. d. G = имеет пе‚ооб‡зные кони, потому что 50 = 2 × 52, ‡ 5 — постое число. Если „упп‡ имеет пимити‚ный коень, то обычно т‡ких коней несколько. Число пимити‚ных коней может быть ‚ычислено к‡к — φ (φ (n)). Н‡пиме, число пимити‚ных коней G = — это φ (φ (n)) = φ (16) = 8. Об‡щ‡ем ‚ним‡ние, что нужно сн‡ч‡л‡ по‚еить, имеет ли „упп‡ к‡кой-либо пимити‚ный коень, пеж‰е чем н‡хо‰ить число коней. Если „упп‡ G = имеет хотfl бы о‰ин пимити‚ный коень, то число пимити‚ных коней — φ (φ (n)). Р‡ссмотим ти ‚опос‡. 1. Если ‰‡н элемент a и „упп‡ G = , к‡к можно опе‰елить, fl‚лflетсfl ли a пимити‚ным конем G? Это не т‡к‡fl ле„к‡fl 燉‡ч‡. ‡. Мы ‰олжны н‡йти φ (n), — эт‡ 燉‡ч‡ по сложности по‰обн‡ з‡‰‡че ‡зложениfl н‡ множители числ‡ n. б. Мы ‰олжны н‡йти ord(a) = φ(n). 2. Если ‰‡н‡ „упп‡ G = , к‡к н‡йти ‚се пимити‚ные кони φ? Эт‡ 燉‡ч‡ более ту‰н‡fl, чем пе‚‡fl 燉‡ч‡, потому что мы ‰олжны по‚тоить ‚ычислениfl по п.1.б ‰лfl ‚сей „уппы. 3. Если ‰‡н‡ „упп‡ G = , то к‡к ‚ыби‡ть пимити‚ный коень G? В кипто„‡фии мы ‰олжны н‡йти, по к‡йней мее, о‰ин пимити‚ный коень ‚ „уппе. О‰н‡ко ‚ этом случ‡е зн‡чение n ‚ыби‡етсfl пользтелем, и пользтель зн‡ет φ(n). Пользтель побует после‰о‚‡тельно несколько элементо‚, пок‡ не н‡хо‰ит пе‚ый из них. Циклическ‡fl „упп‡. Циклические „уппы уже обсу扇лись ‚ лекции 4. Об‡тите ‚ним‡ние н‡ то, что, если „упп‡ G = имеет пимити‚ные кони, то они циклически по‚тоflютсfl. К‡ж‰ый пимити‚ный коень — „ене‡то и может использтьсfl ‰лfl со片ниfl цело„о н‡бо‡. Ду„ими слми, если g — пимити‚ный коень ‚ „уппе, мы можем „енеить н‡бо Zn* к‡к Zn* = {g1, g2, g3….. gφ(n)} Пиме 9.52

310

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Гупп‡ G = имеет ‰‚‡ пимити‚ных конfl, потому что φ (10) = 4 и φ (φ (10))= 2. Можно н‡йти пимити‚ные кони - это 3 и 7. Ниже пок‡з‡но, к‡к можно со片ть целый н‡бо Z10*, использующий к‡ж‰ый пимити‚ный коень. g=3 → g=7 →

g1 mod 10 = 3 g1 mod 10 =7

g2 mod 10 = 9 g3 mod 10 = 7 g4 mod 10 = 1 g2 mod 10 = 9 g3 mod 10 = 3 g4 mod 10 = 1

Об‡тите ‚ним‡ние, что „упп‡ G( Zp*, × ) ‚с儉‡ циклическ‡fl, потому что p — постое. Гупп‡ G = fl‚лflетсfl циклической „уппой, если он‡ имеет пимити‚ные кони. Гупп‡ G = ‚с儉‡ fl‚лflетсfl циклической. И‰еfl ‰искетно„о лифм‡. Гупп‡ G = имеет несколько интеесных с‚ойст‚. 1. Еfi элементы ‚ключ‡ют ‚се целые числ‡ от 1 ‰о p – 1. 2. Он‡ ‚с儉‡ имеет пимити‚ные кони. 3. Он‡ ‚с儉‡ fl‚лflетсfl циклической. Элементы мо„ут быть со片ны с использнием gx, „‰е x — целое число от 1 ‰о φ (n) = p–1. 4. Пимити‚ные кони можно пе‰ст‡‚лflть себе к‡к оснние лифм‡. Если „упп‡ имеет k пимити‚ных коней, то ‚ычислениfl мо„ут быть с‰ел‡ны ‰лfl k ‡зличных оснний. Д‡нный x = logg y ‰лfl любо„о элемент‡ y ‚ ‰‡нном множест‚е, но есть ‰у„ой элемент x, котоый fl‚лflетсfl лифмом y по осннию g. Этот тип лифм‡ н‡зы‚‡ют ‰искетным лифмом. Дискетный лифм ‚ лите‡туе опе‰елflетсfl несколькими ‡зличными сим‚ол‡ми, но мы бу‰ем использть обозн‡чение Lg, чтобы пок‡з‡ть, что оснние — g (с‡‚нение по мо‰улю). Решение мо‰ульно„о лифм‡ с использнием ‰искетных лифмо‚ Тепеь ‡ссмотим, к‡к еш‡ютсfl 燉‡чи тип‡ y = ax (mod n), т. е. ‰‡но y, ‡ мы ‰олжны н‡йти x. Т‡булиние ‰искетных лифмо‚. О‰ин из способо‚ ешениfl ‚ышеупомflнутой поблемы — использть т‡блицу ‰лfl к‡ж‰о„о Zp* и ‡зличных оснний. Этот тип т‡блицы может быть п剂‡ительно ‡ссчит‡н и сох‡нен. Н‡пиме, т‡блиц‡ 9.6 пок‡зы‚‡ет зн‡чениfl ‰искетно„о лифм‡ ‰лfl Z7*. Мы зн‡ем, что есть ‰‚‡ пимити‚ных конfl или оснниfl ‚ ‰‡нном множест‚е. Т‡блиц‡ 9.6. Дискетный лифм ‰лfl G = y x = L3 y x = L5 y

1 6 6

2 2 4

3 1 5

4 4 2

5 5 1

6 3 3

Сост‡‚и‚ т‡блицы ‰лfl ‰у„их ‰искетных лифмо‚ ‰лfl ‚сех „упп и ‚сех ‚озможных оснний, мы можем ешить любую ‰искетную лифмическую 311

Кус

Кипто„‡фиfl и безоп‡сность сетей

поблему. Этот по‰хо‰ по‰обен изуч‡емым ‚ пошлом т‡‰иционным лифм‡м. До поfl‚лениfl к‡лькулflтоо‚ и компьютео‚ т‡блицы использлись, чтобы ‚ычислflть лифмы по осннию 10. Пиме 9.53 Н‡й‰ите x ‚ к‡ж‰ом из сле‰ующих случ‡е‚: a. 4 ≡ 3x (mod 7) b. 4 ≡ 3x (mod 7) Решение Мы можем ле„ко пименflть т‡блицу 9.6 ‰искетно„о лифм‡. a. 4 ≡ 3x (mod 7) → L3 4 (mod 7) = 4 mod 7 b. 6 ≡ 5x (mod 7) → L5 6 (mod 7) = 3 mod 7 Использние с‚ойст‚ ‰искетных лифмо‚. Чтобы пок‡з‡ть, что ‰искетные лифмы ‚е‰ут себfl точно т‡к же, к‡к т‡‰иционные лифмы, ‚ т‡блице 9.7 пи‚о‰итсfl несколько с‚ойст‚ обоих типо‚ лифмо‚. Об‡тите ‚ним‡ние, что оснние мо‰улfl — φ (n) ‚место n. Т‡блиц‡ 9.7. С‡‚нение т‡‰иционных и ‰искетных лифмо‚ Т‡‰иционные лифмы loga 1 = 0 loga (x × y) = loga x + logay logaxk = k × loga x

Дискетные лифмы Lg ≡ 0 ( mod φ (n)) Lg(x × y) ≡ (Lg x + Lgy)(mod φ (n)) Lgx ≡ k × Lg x(mod φ (n))

Использние ‡л„оитмо‚, осннных н‡ ‰искетных лифм‡х. Т‡блицы и с‚ойст‚‡ ‰искетных лифмо‚ не мо„ут пименflтьсfl ‰лfl ешениfl у‡‚нениfl y = ax (mod n), к‡ n fl‚лflетсfl очень большим. Длfl ешениfl этой поблемы были ‡з‡бот‡ны несколько ‡л„оитмо‚, ‚ котоых используетсfl осно‚н‡fl и‰еfl ‰искетных лифмо‚. Хотfl ‚се эти ‡л„оитмы более эффекти‚ны, чем ‡л„оитмы полно„о пеебо‡, котоые мы упомин‡ли ‚ н‡ч‡ле это„о ‡з‰ел‡, но ни о‰ин из них не имеет полиноми‡льной сложности. Большинст‚о этих ‡л„оитмо‚ имеет т‡кой же уо‚ень сложности, к‡к поблем‡ ‡зложениfl н‡ множители. Поблем‡ ‰искетно„о лифм‡ имеет т‡кую же сложность, к‡к поблем‡ ‡зложениfl н‡ множители.

9.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ Нижесле‰ующие кни„и и с‡йты ‰‡ют более ‰ет‡льную инфом‡цию о пе‰мет‡х, ‡ссмотенных ‚ этой лекции. Пункты, пи‚е‰енные ‚ ꂇ‰‡тных скобк‡х, со‰еж‡тсfl ‚ списке ‚ конце кни„и.

312

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

Кни„и |Ros061 [Cou99], [BW00] и [Bla03] — ‰лfl тем, котоые обсу扇ютсfl ‚ этой лекции.

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http://en.wikipedia.org/wiki/Prime_number http://primes.utm.edu/mersenne/ http://en.wikipedia.org/wiki/Primality__test www..cl.cam.ac.uk/~jehl004/research/talks/miller-talk.pdf http://mathworld.wolfram.com/TotientFunction.html http: // en.wikipedia.org/wiki/Proofs_of_Fermat’s_little_theorem faculty.cs.tamu.edu/klappi/629/analytic.pdf

9.8. Ито„и • Положительные целые числ‡ мо„ут быть ‡з‰елены н‡ ти „уппы: число 1, постые числ‡ и сост‡‚ные объекты. Положительное целое число — постое число, т‡кое и только т‡кое, если оно точно ‰елитсfl без ост‡тк‡ н‡ ‰‚‡ ‡зличных целых числ‡, ‡ именно н‡ 1 и непосе‰ст‚енно с‡мо н‡ себfl. Сост‡‚ной объект — положительное целое число по к‡йней мее с ‰‚умfl ‰елителflми. • Эйлео‚ск‡fl phi-функциfl φ(n), котоую ин‡ н‡зы‚‡ют функцией-тотиентом Эйле‡, и„‡ет очень ‚‡жную оль ‚ кипто„‡фии. Функциfl ук‡зы‚‡ет число целых чисел, котоые меньше чем n и fl‚лflютсfl ‚з‡имно постыми с n. • В т‡блице 9.8 пок‡з‡ны м‡л‡fl теоем‡ Фем‡ и теоем‡ Эйле‡, котоые ‡ссмотены ‚ этой лекции. Т‡блиц‡ 9.8. М‡л‡fl теоем‡ Фем‡ и теоем‡ Эйле‡ Фем‡

Эйле

Пе‚‡fl ‚есиfl : Если НОД (a, p) = 1, то a p-1 ≡ 1 (mod p) Вто‡fl ‚есиfl: ap ≡ a (mod p) Пе‚‡fl ‚есиfl: Если НОД (a,n) = 1, то aφ(n) = 1 (mod n) Вто‡fl ‚есиfl: Если n= p × q и a
• Чтобы получить большое постое число, мы ‚ыби‡ем большое случ‡йное число и по‚еflем е„о — убе扇емсfl, что оно постое. Ал„оитмы, котоые еш‡ют эту поблему, мо„ут быть ‡з‰елены н‡ ‰‚е обшиные 313

Кус

Кипто„‡фиfl и безоп‡сность сетей

•

•

•

•

к‡те„оии: ‰етемининные ‡л„оитмы и ‚еоflтностные ‡л„оитмы. Некотоые ‚еоflтностные ‡л„оитмы ‰лfl испыт‡ниfl постоты чисел – это испыт‡ние Фем‡, испыт‡ние ꂇ‰‡тно„о конfl и испыт‡ние Милле‡-Р‡бин‡. Некотоые ‰етемининные ‡л„оитмы — испыт‡ние н‡ ‰елимости и AKS-‡л„оитм. Со„л‡сно осно‚ной теоеме ‡ифметики, любое положительное целое число, большее, чем 1, может быть ‡зложено н‡ множители ‚ ‚и‰е постых чисел. Мы ‡ссмотели несколько мето‰о‚ ‡зложениfl н‡ множители, ‚ключ‡fl по‚еку ‰елением — Фем‡, мето‰ Полл‡‰‡ p – 1, мето‰ РО (ρ) Полл‡‰‡, ꂇ‰‡тичное ешето и ешето полfl чисел. Кит‡йск‡fl теоем‡ об ост‡тк‡х (Chinese Reminder Theorem — CRT) используетсfl, чтобы ешить систему у‡‚нений ‰лfl ‚ычето‚ с о‰ной пееменной, но с ‡зличными ‚з‡имно постыми мо‰улflми. Мы ‡ссмотели ешение ꂇ‰‡тично„о с‡‚нениfl по мо‰улю ‚ ‚и‰е посто„о числ‡ и ꂇ‰‡тично„о с‡‚нениfl по сост‡‚ному мо‰улю. О‰н‡ко, если мо‰уль fl‚лflетсfl большим, ешение ꂇ‰‡тично„о с‡‚нениfl по сложности о‰ин‡ко‚о с ‡зложением мо‰улfl н‡ множители. В кипто„‡фии пименflетсfl опе‡циfl по мо‰улю — ‚оз‚е‰ение ‚ степень. Длfl бысто„о ‚оз‚е‰ениfl ‚ степень можно использть мето‰ «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl». Кипто„‡фиfl т‡кже ‚ключ‡ет мо‰ульные лифмы. Если ‚оз‚е‰ение ‚ степень пименflетсfl, чтобы з‡шифть или ‡сшифо‚ы‚‡ть инфом‡цию, то поти‚ник может использть лифмы ‰лfl о„‡низ‡ции «‡т‡ки». Сложность опе‡ции, об‡тной ‚оз‚е‰ению ‚ степень, ‚елик‡. Хотfl ‚оз‚е‰ение ‚ степень может быть с‰ел‡но с помощью бысто„о ‡л„оитм‡, пименение мо‰ульно„о лифм‡ ‰лfl больших зн‡чений мо‰улfl имеет ту же сложность, что и поблем‡ ‡зложениfl н‡ множители.

9.9. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Объflсните ‡зницу меж‰у постым числом и сост‡‚ным целым числом. 2. Опе‰елите ‚з‡имно постые числ‡ и их с‚ойст‚‡. 3. Опе‰елите сле‰ующие функции и их пиложениfl: a. π(n) функциfl b. Функциfl (тотиент) Эйле‡ 4. Опе‰елите «ешето Э‡тосфе퇻 и объflсните е„о пиложениfl. 5. Опе‰елите м‡лую теоему Фем‡ и объflсните ее пиложениfl. 6. Опе‰елите теоему Эйле‡ и объflсните ее пиложениfl. 7. Что т‡кое постые числ‡ Месенны? Что т‡кое постые числ‡ Фем‡? 8. Объflсните ‡зницу меж‰у ‰етемининными и ‚еоflтностными ‡л„оитм‡ми ‰лfl опе‰елениfl постых чисел. 9. Пеечислите некотоые ‡л„оитмы ‰лfl ‡зложениfl н‡ множители постых чисел. 10. Опе‰елите кит‡йскую теоему об ост‡тк‡х и ее пиложениfl. 314

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

11. Опе‰елите ꂇ‰‡тичное с‡‚нение и ‚‡жность ‚ычето‚ (QRs) и не‚ычето‚ (QNRs) ‚ ешении ꂇ‰‡тных у‡‚нений. 12. Опе‰елите ‰искетные лифмы и объflснить их ‚‡жность ‚ ешении лифмических у‡‚нений.

Уп‡жнениfl 1. Используfl ‡ппоксим‡цию, н‡й‰ите: a. число постых чисел меж‰у 100 000 и 200 000. b. число сост‡‚ных целых чисел меж‰у 100 000 и 200 000 c. отношение постых чисел к сост‡‚ным ‚ ‚ышеупомflнутом ‰и‡п‡зоне и с‡‚ните это с тем же с‡мым меж‰у 1 – 10. 2. Н‡й‰ите н‡ибольший постой сомножитель сле‰ующих сост‡‚ных целых чисел: 100, 1000, 10 000, 100 000 и 1 000 000. Т‡кже н‡йти н‡ибольший постой сомножитель 101, 1001, 10 001, 100 001 и 1 000 01. 3. Пок‡жите, что к‡ж‰ое постое число может быть пе‰ст‡‚лено ‚ фоме либо 4 k + 1, либо 4k + 3, „‰е k — положительное целое число. 4. Н‡й‰ите некотоые постые числ‡ ‚ фоме 5 k + 1, 5 k + 2, 5 k + 3 и 5 k + 4, „‰е k: fl‚лflетсfl положительным целым числом. 5. Н‡й‰ите зн‡чение. φ(29), φ (32), φ (80), φ (100) φ (101) 6. Пок‡жите, что 224 – 1 и 216 – 1 – сост‡‚ные числ‡. По‰ск‡зк‡: используйте ‚ы‡жение (a2 – b2). 7. Есть пе‰положение, что к‡ж‰ое целое число, большее, чем 2, может быть пе‰ст‡‚лено к‡к сумм‡ ‰‚ух постых чисел. По‚еьте это пе‰положение ‰лfl 10, 24, 28 и 100. 8. Есть пе‰положение, что сущест‚ует мно„о постых чисел ‚ фоме n2 + 1. Н‡й‰ите некотоые из них. 9. Н‡й‰ите езульт‡ты после использниfl м‡лой теоемы Фем‡: a. 515 mod 13 b. 1518 mod 17 c. 45617 mod 17 d. 145 mod 101 10. Н‡й‰ите, используfl М‡лую теоему Фем‡, езульт‡ты ‚ы‡жений, пи‚е‰енных ниже: a. 5-1 mod 13 b. 15-1 mod 17 c. 27-l mod 41 d. 70-1 mod 101 Об‡тите ‚ним‡ние, что ‚се мо‰ули — постые числ‡. 11. Н‡й‰ите, используfl теоему Эйле‡, езульт‡ты ‚ы‡жений, пи‚е‰енных ниже: a. 12-1 mod 77 b. 16-1 mod 323 c. 20-1 mod 403 d. 44-1 mod 667 315

Кус

Кипто„‡фиfl и безоп‡сность сетей

Об‡тите ‚ним‡ние, что 77 = 7 × 11, 323 = 17 × 19, 403 = 31 × 13 и 667 = 23 × 29. 12. Опе‰елите, fl‚лflютсfl ли сле‰ующие числ‡ Месенны постыми числ‡ми: М23, М29 и М31. По‰ск‡зк‡: любой ‰елитель числ‡ Месенны имеет фому 2kp + 1. 13. Пи‚е‰ите некотоые пимеы, чтобы пок‡з‡ть, что если 2n – 1 — постое число, то n — постое число. Этот ф‡кт может использтьсfl ‰лfl по‚еки н‡ постоту? Объflсните, к‡к. 14. Опе‰елите, сколько из сле‰ующих целых чисел пой‰ут испыт‡ние Фем‡ н‡ постоту чисел: 100, 110, 130, 150, 200, 250, 271, 341, 561. Используйте оснние 2. 15. Опе‰елите, сколько из сле‰ующих целых чисел пой‰ут испыт‡ние Милле‡-Р‡бин‡ н‡ постоту чисел: 100, 109, 201, 271, 341, 349. Используйте оснние 2. 16. Используйте екомен‰о‚‡нное испыт‡ние, чтобы опе‰елить, fl‚лflетсfl ли любое из сле‰ующих целых чисел постым числом: 271, 3149, 9673. 17. Используйте a = 2, x = 3 и несколько постых чисел, чтобы пок‡з‡ть, что если p — постое число, то ‚ыполнflетсfl сле‰ующее с‡‚нение: (x – a)p = (xp – a) (mod p). 18. Го‚оflт, что n-ное постое число может быть пиближенно ‚ычислено к‡к pn = n ln n. По‚еьте это н‡ нескольких постых числ‡х. 19. Н‡й‰ите зн‡чение x ‰лfl сле‰ующих н‡боо‚ с‡‚нений, используfl кит‡йскую теоему об ост‡тк‡х. a. x ≡ 2 mod 7, и x ≡ 3 mod 9 b. x ≡ 4 mod 5, и x ≡ 0 mod 11 c. x ≡ 7 mod 13, и x ≡ 11 mod 12 20. Н‡й‰ите ‚есь QRs и QNRs ‚ Z13*, Z17* и Z23*. 21. Используfl ꂇ‰‡тичные ‚ычеты, ешите сле‰ующие с‡‚нениfl: a. x2 ≡ 4 mod 7 b. x2 ≡ 5 mod 11 c. x2 ≡ 7 mod 13 d. x2 ≡ 12 mod 17 22. Используfl ꂇ‰‡тичные ‚ычеты, ешите сле‰ующие с‡‚нениfl: a. x2 ≡ 4 mod 14 b. x2 ≡ 5 mod 10 c. x2 ≡ 7 mod 33 d. x2 ≡ 12 mod 34 23. Н‡й‰ите езульт‡ты пи‚е‰енных ниже ‚ы‡жений, используfl мето‰ «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl». a. 2124 mod 8 b. 32023 mod 461 c. 173641 mod 2134 d. 200135 mod 2000 24. Длfl „уппы G = : a. Н‡й‰ите поfl‰ок „уппы b. Н‡й‰ите поfl‰ок к‡ж‰о„о элемент‡ ‚ „уппе 316

Лекциfl 9

М‡тем‡тик‡ кипто„‡фии. Ч‡сть III. Постые числ‡ и у‡‚нениfl с‡‚нениfl

c. Н‡й‰ите число пе‚ооб‡зных коней ‚ „уппе d. Н‡й‰ите пе‚ооб‡зные кони ‚ „уппе e. Пок‡жите, что „упп‡ fl‚лflетсfl циклической f. Сост‡‚ьте т‡блицу ‰искетных лифмо‚ 25. Используfl с‚ойст‚‡ ‰искетных лифмо‚, пок‡жите, к‡к ешить с‡‚нениfl: a. x5 ≡ 11 mod 17 b. 2x11 ≡ 22 mod 19 c. 5x12 + 6x ≡ 8 mod 23 26. Пусть мы имеем компьюте, ‚ыполнflющий опе‡ции со скоостью 1 миллион бит ‚ секун‰у. Вы хотите з‡т‡тить только 1 ч‡с н‡ испыт‡ние постоты чисел. К‡кое н‡ибольшее число ‚ы можете по‚еить, используfl сле‰ующие мето‰ы, по‚еflющие постоту чисел? a. теоиfl ‰елимости b. AKS-‡л„оитм с. Фем‡ d. из‚лечением ꂇ‰‡тно„о конfl e. Милле‡-Р‡бин‡ 27. Пусть мы имеем компьюте, ‚ыполнflющий опе‡ции со скоостью 1 миллион бит ‚ секун‰у. Вы хотите пот‡тить только 1 ч‡с н‡ ‡зложение сост‡‚но„о цело„о числ‡. К‡кое н‡ибольшее число ‚ы можете ‡зложить н‡ множители, используfl сле‰ующие мето‰ы ‡зложениfl н‡ множители? a. по‚ек‡ ‰елением b. Фем‡ c. Полл‡‰‡ (РО) d. ꂇ‰‡тичное ешето e. ешето полfl чисел 28. Мето‰ «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl» — быстый ‡л„оитм ‚оз‚е‰ениfl ‚ степень — поз‚олflет н‡м ост‡н‡‚л肇ть по„‡мму, если зн‡чение оснниfl ст‡но‚итсfl ‡‚ным 1. Измените ‡л„оитм 9.7, чтобы пок‡з‡ть это. 29. Пеепишите ‡л„оитм 9.7, чтобы по‚еить биты ‚ поfl‰ке от с‡мо„о ст‡ше„о к с‡мому м뇉шему. 30. Мето‰ «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl» — быстый ‡л„оитм ‚оз‚е‰ениfl ‚ степень — может т‡кже быть споектио‚‡н ‰лfl по‚еки, fl‚лflетсfl ли число четным или нечетным, ‚место то„о чтобы по‚еflть е„о ‡зfl‰ы. Пеепишите ‡л„оитм 9.7, чтобы пок‡з‡ть это. 31. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl испыт‡ниfl постоты чисел по мето‰у Фем‡. 32. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl испыт‡ниfl постоты чисел мето‰ом из‚лечениfl ꂇ‰‡тно„о конfl. 33. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl кит‡йской теоемы об ост‡тк‡х. 34. Н‡пишите ‡л„оитм ‚ пс傉око‰е, чтобы н‡йти ‚ычет (QR) и не‚ычет (QNR) ‰лfl любо„о Zp*. 35. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl н‡хож‰ениfl пе‚ооб‡зно„о конfl ‰лfl множест‚‡ Zp*. 317

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лекциfl 10. Кипто„‡фиfl с ‡ссимметичным ключом Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Пок‡з‡ть ‡зличиfl меж‰у симметичными и ‡симметично-ключе‚ыми кипто„‡фическими систем‡ми. • Пок‡з‡ть «л‡зейки» ‚ о‰ностоонних функциflх (trapdoor One Way Function) пи их использнии ‚ ‡симметично-ключе‚ых кипто„‡фических систем‡х. «Л‡зейки» — это секетн‡fl инфом‡циfl, кото‡fl ‰‡ет ‚озможность посто„о об‡тно„о ‚ычислениfl о‰ностоонней функции. • В‚ести ‡нце‚ую кипто„‡фическую систему к‡к о‰ну из пе‚ых и‰ей ‚ ‡симметично-ключе‚ой кипто„‡фии. • Обсу‰ить кипто„‡фическую систему RSA (RIVERST-SHAMIR-ADLEMAN). • Обсу‰ить кипто„‡фическую систему Р‡бин‡ (Rabin). • Обсу‰ить кипто„‡фическую систему Эль-Г‡м‡лfl (ElGamal). • Обсу‰ить киптосистему н‡ осно‚е мет эллиптических ки‚ых. В этой лекции ‡ссм‡т肇ютсfl несколько ‡симметично-ключе‚ых кипто„‡фических систем: RSA (RIVERST-SHAMIR-ADLEMAN), Р‡бин‡ (Rabin), Эль-Г‡м‡лfl (ElGamal), киптосистемa н‡ осно‚е мет эллиптических ки‚ых (ECC — Elliptic Curve Cryptosystem). Обсуж‰ение кипто„‡фической системы Диффи-Хеллм‡н‡ (Diffie-Hellman) отложено ‰о лекции 15, потому что это „л‡‚ным об‡зом ‡л„оитм з‡щиты обмен‡ ключ‡ми, ‡ не ‡л„оитм шифниfl/‰ешифниfl. Кипто„‡фическ‡fl систем‡ Диффи-Хелм‡н‡ обсу扇етсfl ‚ лекции 15.

10.1. В‚е‰ение В лекциflх 2-8 мы пок‡з‡ли пинципы кипто„‡фии с симметичными ключ‡ми. В этой лекции мы н‡чин‡ем обсуж‰ение ‡симметично-ключе‚ой кипто„‡фии. Симметичн‡fl и ‡симметично-ключ傇fl кипто„‡фии бу‰ут сущест‚ть п‡‡ллельно и по‰олж‡ть обслуж肇ть общест‚о. Мы ‚еим, что они ‰ополнflют ‰у„ ‰у„‡; пеимущест‚‡ о‰ной компенсиуют не‰ост‡тки ‰у„ой. Концепту‡льные отличиfl меж‰у этими ‰‚умfl систем‡ми б‡зиуютсfl н‡ том, к‡к эти системы сох‡нflют секетность. В кипто„‡фии с симметичными ключ‡ми 燉‡ч‡ секетности ‰олжн‡ быть ‡з‰елен‡ меж‰у ‰‚умfl лю‰ьми. В ‡симметично-ключе‚ой кипто„‡фии секетность — песон‡льн‡fl 燉‡ч‡ (не‡з‰еленн‡fl); чело‚ек со片ет и сох‡нflет с‚ою собст‚енную т‡йну. В сообщест‚е n лю‰ей пи кипто„‡фии с симметичными ключ‡ми ‰лfl сох‡нениfl секетности тебуетсfl n (n – 1)/2 обще‰оступных ключей. В ‡симметично-ключе‚ой кипто„‡фии необхо‰имы только n песон‡льных ключей. 318

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Сообщест‚о с количест‚ом уч‡стнико‚ (106) пи кипто„‡фии с симметичными ключ‡ми тебло бы 5 × 1011 обще‰оступных ключей; ‡симметично-ключ傇fl кипто„‡фиfl тебо‚‡л‡ бы 1 миллион песон‡льных ключей. Кипто„‡фиfl с симметичными ключ‡ми б‡зиуетсfl н‡ со‚местном использнии ключей; ‡симметично-ключ傇fl кипто„‡фиfl б‡зиуетсfl н‡ песон‡льном ключе. Есть некотоые ‰у„ие ‡спекты безоп‡сности помимо шифниfl, котоые писущи ‡симметично-ключе‚ой кипто„‡фии. Они ‚ключ‡ют уст‡но‚ление по‰линности и цифо‚ые по‰писи. Всflкий ‡з, к‡ пиложение б‡зиуетсfl н‡ песон‡льной т‡йне, мы ‰олжны использть ‡симметично-ключе‚ую кипто„‡фию. Об‡тим ‚ним‡ние н‡ то, что кипто„‡фиfl с симметичными ключ‡ми б‡зиуетсfl н‡ по‰ст‡но‚ке и пеест‡но‚ке сим‚оло‚ (сим‚оло‚ или бит), ‡ ‡симметично-ключ傇fl кипто„‡фиfl — н‡ пименении м‡тем‡тических функций к числ‡м. В кипто„‡фии с симметичными ключ‡ми исхо‰ный текст и з‡шифнный текст пе‰ст‡‚лflют к‡к комбин‡цию сим‚оло‚. Шифние и ‰ешифние з‰есь — это пеест‡но‚к‡ этих сим‚оло‚ или з‡мен‡ о‰но„о сим‚ол‡ ‰у„им. В ‡симметично-ключе‚ой кипто„‡фии исхо‰ный текст и з‡шифнный текст – числ‡; их шифние и ‰ешифние — это м‡тем‡тические функции, котоые пименflютсfl к числ‡м, чтобы со片ть ‰у„ие числ‡. В кипто„‡фии с симметичными ключ‡ми сим‚олы пеест‡‚лflютсfl или з‡менflютсfl ‰у„ими; ‚ ‡симметично-ключе‚ой кипто„‡фии числ‡ пеоб‡зуютсfl с помощью м‡тем‡тических функций.

Ключи Асимметичн‡fl ключ傇fl кипто„‡фиfl использует ‰‚‡ от‰ельных ключ‡: о‰ин секетный (ч‡стный) и о‰ин откытый (обще‰оступный); шифние и ‰ешифние пе‰ст‡‚лflют собой поцесс з‡пи‡ниfl и отпи‡ниfl з‡мко‚ ключ‡ми. В этом случ‡е з‡мок, з‡петый откытым ключом ‰оступ‡, можно отпееть только с соот‚етст‚ующим секетным ключом. Рисунок 10.1 пок‡зы‚‡ет, что если Алис‡ з‡пи‡ет з‡мок откытым ключом ‰оступ‡ Боб‡, то только секетный ключ Боб‡ может отпееть е„о.

Общ‡fl и‰еfl Рисунок 10.2 пок‡зы‚‡ет общую и‰ею ‡симметично-ключе‚ой кипто„‡фии пи использнии ‰лfl шифниfl. В бу‰ущих лекциflх мы у‚и‰им ‰у„ие пиложениfl ‡симметично-ключе‚ой кипто„‡фии. К‡к пок‡зы‚‡ют исунки, ‚ отличие от кипто„‡фии с симметичными ключ‡ми пи ‡симметично-ключе‚ой кипто„‡фии ключи отлич‡ютсfl: сущест‚ует секетный ключ и откытый 319

Кус

Кипто„‡фиfl и безоп‡сность сетей

ключи ‰оступ‡. Хотfl ‚ некотоых кн脇х используют темин ключ з‡секеч肇ниfl ‚место темин‡ секетный ключ, мы бу‰ем пользтьсfl темином ключ з‡секеч肇ниfl только ‰лfl системы с симметичными ключ‡ми и темином секетный ключ и откытый ключ ‰оступ‡ — ‰лfl ‡симметично-ключе‚ой кипто„‡фии. Мы ‰‡же пименим ‡зличные сим‚олы, чтобы пок‡з‡ть ти ‡зличных тип‡ ключей. О‰н‡ из пичин ‡зницы ‚ темин‡х — х‡‡кте ключ‡ з‡секеч肇ниfl, используемо„о ‚ кипто„‡фии с симметичными ключ‡ми, отлич‡етсfl от х‡‡кте‡ секетно„о ключ‡, пименflемо„о ‚ ‡симметично-ключе‚ой кипто„‡фии.

Рис.10.1. З‡кытие и откытие ‚ ‡симметично-ключе‚ой киптосистеме Пе‚ый ключ ‡бот‡ет обычно со стокой сим‚оло‚ (н‡пиме, биты), ‚тоой — с числ‡ми или множест‚ом чисел. Ду„ими слми, мы хотим пок‡з‡ть, что ключ з‡секеч肇ниfl не fl‚лflетсfl ‚з‡имоз‡менflемым с секетным ключом; это ‰‚‡ ‡зличных тип‡ секетности. Рисунок 10.2 иллюстиует несколько ‚‡жных ф‡кто‚. Пе‚ый: по‰чек肇ет ‡симметичный х‡‡кте кипто„‡фической системы. От‚етст‚енность з‡ обеспечение безоп‡сности н‡хо‰итсfl, „뇂ным об‡зом, н‡ плеч‡х пиемник‡ (‚ ‰‡нном случ‡е это Боб). Боб ‰олжен со片ть ‰‚‡ ключ‡: о‰ин секетный (ч‡стный) и о‰ин откытый (обще‰оступный). Боб не несет от‚етст‚енность з‡ ‡спе‰еление откыто„о ключ‡ ‰оступ‡ ‚сему сообщест‚у. Это может быть с‰ел‡но чеез к‡н‡л ‡спе‰елениfl откыто„о ключ‡ ‰оступ‡. Хотfl этот к‡н‡л не обflз‡н обеспеч肇ть секетность, он ‰олжен обеспечить уст‡но‚ление по‰линности и целостность инфом‡ции о ключе. Е‚‡ не ‰олжн‡ иметь ‚озможности ‡спост‡нflть с‚ой откытый ключ сообщест‚у, пе‰ст‡‚лflfl е„о к‡к откытый ключ ‰оступ‡ Боб‡. Поблемы ‡спе‰елениfl откыто„о ключ‡ ‰оступ‡ обсу扇ютсfl ‚ лекции 15. Н‡ ‰‡нный момент мы пиним‡ем, что т‡кой к‡н‡л сущест‚ует. 320

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Рис. 10.2. Общ‡fl и‰еfl ‡симметично-ключе‚ой киптосистемы Втоой ф‡кт: ‡симметично-ключ傇fl кипто„‡фиfl озн‡ч‡ет, что Боб и Алис‡ не мо„ут использть о‰но и то же множест‚о ключей ‰лfl ‰‚ухстоонней с‚flзи. К‡ж‰ый объект ‚ сообщест‚е со片ет с‚ой собст‚енный секетный и откытый ключи ‰оступ‡. Рисунок 10.2 пок‡зы‚‡ет, к‡к Алис‡ может использть откытый ключ ‰оступ‡ Боб‡, чтобы пе則ть Бобу з‡шифнные сообщениfl. Если Боб хочет от‚етить, Алис‡ уст‡н‡‚л肇ет с‚ои собст‚енные секетный и откытый ключи ‰оступ‡. Тетий: ‡симметично-ключ傇fl кипто„‡фиfl озн‡ч‡ет, что Боб ну扇етсfl только ‚ о‰ном секетном ключе, чтобы получ‡ть ‚сю коеспон‰енцию от любо„о уч‡стник‡ сообщест‚‡. Алис‡ ну扇етсfl ‚ ключ‡х, чтобы с‚flз‡тьсfl с n объект‡ми ‚ сообщест‚е — о‰ин ключ ‰оступ‡ ‰лfl к‡ж‰о„о. Ду„ими слми, Алис‡ ну扇етсfl ‚ кольце ключей ‰оступ‡. Исхо‰ный текст / з‡шифнный текст В отличие от кипто„‡фии с симметичными ключ‡ми, ‚ ‡симметичноключе‚ой кипто„‡фии исхо‰ный текст и з‡шифнный текст об‡б‡ты‚‡ютсfl к‡к целые числ‡. Сообщение ‰олжно пее‰ шифнием ко‰итьсfl к‡к целое число (или множест‚о целых чисел). После ‰ешифниfl оно ‰олжно быть ‡сшифно к‡к целое число (или множест‚о целых чисел). Асимметично-ключ傇fl кипто„‡фиfl обычно з‡шифо‚ы‚‡ет или ‡сшифо‚ы‚‡ет м‡ленькие ч‡сти инфом‡ции, опе‰елflемые ‰линой ключ‡ шиф‡. Ду„ими слми, ‡симметично-ключ傇fl кипто„‡фиfl обычно имеет ‚спомтельные цели помимо шифо‚ки сообщениfl. О‰н‡ко эти ‚спомтельные цели се„о‰нfl и„‡ют ‚ кипто„‡фии очень ‚‡жную оль. Шифние/‰ешифние Шифние и ‰ешифние ‚ ‡симметично-ключе‚ой кипто„‡фии — м‡тем‡тические функции, котоые пименflютсfl к числ‡м, пе‰ст‡‚лflющим 321

Кус

Кипто„‡фиfl и безоп‡сность сетей

исхо‰ный текст и з‡шифнный текст. З‡шифнный текст можно пе‰ст‡‚лflть себе к‡к C = f (K public, P). Исхо‰ный текст можно пе‰ст‡‚лflть себе к‡к P = g (Kprivate, С). Функциfl f шифниfl используетсfl только ‰лfl шифниfl; функциfl ‰ешифниfl g используетсfl ‰лfl ‰ешифниfl. Д‡лее мы пок‡жем, что функциfl f ну扇етсfl ‚ «л‡зейке» о‰ностоонней функции, чтобы поз‚олить Бобу ‡сшифо‚ы‚‡ть сообщение, но пепflтст‚ть Е‚е ‰ел‡ть то же с‡мое.

Потебность ‚ обеих киптосистем‡х Есть очень ‚‡жный ф‡кт, котоый ин‡ неп‡‚ильно истолко‚ы‚‡етсfl. Поfl‚ление ‡симметично-ключе‚ой кипто„‡фии (откытый ключ ‰оступ‡) не уст‡нflет потебность ‚ кипто„‡фии с симметичными ключ‡ми (ключ з‡секеч肇ниfl). Пичин‡ ‚ том, что кипто„‡фиfl с ‡симметичными ключ‡ми использует м‡тем‡тические функции ‰лfl шифниfl и ‰ешифниfl н‡мно„о ме‰леннее, чем кипто„‡фиfl с симметичными ключ‡ми. Длfl шифо‚ ки боль ших со об ще ний кип то „‡ фиfl с сим ме тич ны ми клю ч‡ ми необхо‰им‡. С ‰у„ой стооны, скоость кипто„‡фии с симметичными ключ‡ми не уст‡нflет потебность ‚ ‡симметично-ключе‚ой кипто„‡фии. Асимметично-ключ傇fl кипто„‡фиfl необхо‰им‡ ‰лfl уст‡но‚лениfl по‰линности цифо‚ых по‰писей и ‡боты ст‡нций по ‡ссылке ключей з‡секеч肇ниfl. Это озн‡ч‡ет способность системы использть ‚се ‡спекты безоп‡сности. Се„о‰нfl мы ну扇емсfl ‚ обеих систем‡х кипто„‡фии. О‰н‡ киптосистем‡ ‰ополнflет ‰у„ую.

«Л‡зейꇻ ‚ о‰ностоонней функции Г뇂н‡fl и‰еfl ‡симметично-ключе‚ой кипто„‡фии — понflтие «л‡зейки» ‚ о‰ностоонней функции. Функции Хотfl понflтие функции зн‡комо из м‡тем‡тики, мы ‰‡‰им неофици‡льное опе‰еление з‰есь. Функциfl — п‡‚ило, по котоому с‚flзы‚‡ют (отоб‡ж‡ют) о‰ин элемент ‚о множест‚е A, н‡зы‚‡емый ‰оменом, и о‰ин элемент ‚о множест‚е B, н‡зы‚‡емый ‰и‡п‡зоном, к‡к пок‡з‡но н‡ ис. 10.3.

Рис. 10.3. Функциfl отоб‡жениfl ‰омен‡ ‚ ‰и‡п‡зон 322

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Об‡тим‡fl функциfl — функциfl, кото‡fl с‚flзы‚‡ет к‡ж‰ый элемент ‚ ‰и‡п‡зоне с точно о‰ним элементом ‚ ‰омене. О‰ностооннflfl функциfl (OWF — One Way Function) — функциfl, кото‡fl об뇉‡ет сле‰ующими ‰‚умfl с‚ойст‚‡ми: 1. f ‚ычислflетсfl посто. Ду„ими слми, пи ‰‡нном x может быть ле„ко ‚ычислен y = f (x). 2. f -1 ‚ычислflетсfl ту‰но. Ду„ими слми, пи ‰‡нном y, ‚ычислить x= f ~1 (y) неосущест‚имо. «Л‡зейꇻ ‚ о‰ностоонней функции «Л‡зейꇻ ‚ о‰ностоонней функции (TOWF — Trapdoor One Way) — о‰ностооннflfl функциfl с тетьим с‚ойст‚ом: 3. Пи ‰‡нном y и ло‚ушке (секетной) x может быть ле„ко ‚ычислен. Пиме 10.1 К‡ n fl‚лflетсfl большим, n = p × q — о‰ностооннflfl функциfl. Об‡тите ‚ним‡ние, что ‚ этой функции x — котеж1 (p, q) ‰‚ух постых чисел, ‡ y ‚ ‰‡нном случ‡е — это n. Пи 燉‡нных p и q ‚с儉‡ посто ‚ычислить n. Пи ‰‡нном n очень ту‰но ‚ычислить p и q. Это — поблем‡ ‡зложениfl н‡ множители, котоую мы ‡ссм‡т肇ли ‚ Лекции 9. В этом случ‡е ‰лfl н‡хож‰ениfl функции f -1 нет ешениfl с полиноми‡льным ‚еменем. Пиме 10.2 К‡ n fl‚лflетсfl большим, функциfl y = xk mod n — «л‡зейꇻ ‚ о‰ностоонней функции. Пи 燉‡нных x, k и n посто ‚ычислить y, пименflfl ‡л„оитм бысто„о ‚оз‚е‰ениfl ‚ степень, котоый мы обсу扇ли ‚ лекции 9. Пи 燉‡нных y, k и n очень ту‰но ‚ычислить x. Это — поблем‡ ‰искетно„о лифм‡, котоую мы обсу扇ли ‚ лекции 9. В этом случ‡е нет ешениfl с полиноми‡льным ‚еменем ‰лfl функции f -1. О‰н‡ко если мы зн‡ем «л‡зейку» и k’ , т‡кое, что k × k’ = 1 mod φ(n), мы можем использть x = yk mod n, чтобы н‡йти x. Это — из‚естный ‡л„оитм (RSA — Riverst-Shamir-Adelman), котоый бу‰ет ‡ссмотен позже ‚ этой лекции.

Р‡нц傇fl киптосистем‡, Пе‚‡fl блестflщ‡fl и‰еfl относительно кипто„‡фии откыто„о ключ‡ ‰оступ‡ пи퇉лежит Мекелю и Хеллм‡ну — он‡ изложен‡ ‚ их ‡нце‚ой киптосистеме. Хотfl эт‡ систем‡ не퇉ежн‡ ‚ соот‚етст‚ии с се„о‰нflшними ст‡н‰‡т‡ми, „뇂н‡fl ее и‰еfl ‰‡ет ‚озможность понflть со‚еменные киптосистемы с откытым ключом, котоые бу‰ут ‡ссм‡т肇тьсfl позже ‚ этой лекции. Если н‡м „о‚оflт, к‡кие элементы з‡‡нее опе‰еленно„о множест‚‡ чисел мы имеем, то можно ле„ко ‚ычислить сумму чисел. Если н‡м „о‚оflт сумму, то ту‰но ск‡з‡ть, к‡кие элементы «н‡хо‰flтсfl ‚ ‡нце». 1

Котеж — после‰о‚‡тельность конечно„о числ‡ элементо‚. 323

Кус

Кипто„‡фиfl и безоп‡сность сетей

Опе‰еление Пе‰положим, что н‡м ‰‡ны ‰‚‡ k-котеж‡, a = [a1,a2, …,ak] и x = [x1,x2, …,xk]. Пе‚ый котеж — з‡‡нее опе‰еленное множест‚о; ‚тоой котеж, ‚ котоом x ‡‚ен только 0 или l, опе‰елflет, к‡кие элементы a ‰олжны быть отбошены ‚ ‡нце. Сумм‡ элементо‚ ‚ ‡нце ‡‚н‡ s = knapsackSum (a, x) = x1 a1 + x2 a2 + ... + xkak По ‰‡нным a и x посто ‚ычислить s. О‰н‡ко по ‰‡нному s ту‰но н‡йти x. Ду„ими слми, s = knapsackSum (x, a) ‚ычислflетсfl посто, но x = inv_knapsackSum (s, a) ту‰ен. Функциfl knapsackSum — о‰ностооннflfl функциfl, если a – общий kкотеж. Супеу‚еличение котеж‡ Посто ‚ычислить knapsackSum и inv_knapsackSum, если k-котеж супеу‚елич肇етсfl. В супеу‚елич肇ющемсfl котеже ai ≥ a1 + a2 + ... + ai-1. Ду„ими слми, к‡ж‰ый элемент (коме a1) больше или ‡‚ен сумме ‚сех пе‰ы‰ущих элементо‚. В этом случ‡е мы ‚ычислflем knapsackSum и inv_knapsackSum, к‡к пок‡з‡но ‚ Ал„оитме 10.1. Ал„оитм inv_knapsackSum з‡пуск‡етсfl от н‡ибольше„о элемент‡ и по‰олж‡ет поцесс к н‡именьшему. В к‡ж‰ой ите‡ции он по‚еflет, н‡хо‰итсfl ли элемент ‚ юкз‡ке. Ал„оитм 10.1. knapsacksum и inv_knapsackSum ‰лfl супеу‚елич肇юще„осfl k-котеж‡ knapsackSum (x[1,…,k], a[1,…,k] ) { s ← 0 for (¥=1 to k) { s ← s + a¥ × x¥ }

return x }

Inv_knapsackSum (s, a[1,…,k]) { for (¥=k down to 1) { ¥f s ≥ aj { x¥ ← 1 s ← s - a¥ } else x¥ ← 0 } return x[1,…,k] }

Пиме 10.3 К‡к очень ти‚и‡льный пиме, пе‰положим, что ‰‡ны a = [17, 25, 46, 94, 201, 400] и s = 272. Т‡блиц‡ 10.1 пок‡зы‚‡ет, к‡к н‡йти котеж, используfl поце‰уу inv_knapsackSum ‚ ‡л„оитме 10.1. 324

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Т‡блиц‡ 10.1. Зн‡чениfl i, a и x ‚ пимее 10.3 i 6 5 4 3 2 1

ai 400 201 94 46 25 17

s 272 272 71 71 25 0

s ≥ ai false true false true true false

xi x6=0 x5 = 1 x4 = 0 x3 = 1 x2 = 1 x1 = 0

s ← s-ai × xi 272 71 71 25 0 0

В этом случ‡е x = [0, 1, 1,0, 1,0], — это озн‡ч‡ет, что ‚ юкз‡ке н‡хо‰flтсfl 25, 46 и 201. Секетн‡fl с‚flзь с использнием ‡нц‡ Посмотим, к‡к Алис‡ может пе則ть секетное сообщение Бобу, использующему ‡нце‚ую киптосистему. И‰еfl пок‡з‡н‡ н‡ ис. 10.4.

Рис. 10.4. Секетн‡fl с‚flзь с использнием ‡нце‚ой киптосистемы Гене‡циfl ключей Этот поцесс: ‡. Со片ет супеу‚елич肇ющийсfl k-котеж b = [b1, b2,..., bk]. б. Выби‡ет мо‰уль n, т‡кой, что n > b 1 + b2 + ... + bk. ‚. Выби‡ет случ‡йное целое число r, котоое fl‚лflетсfl ‚з‡имно постым с n и 1 ≤ r ≤ n – 1. „. Со片ет ‚еменный k-котеж t = [t1, t2,…….. tk] , ‚ котоом ti = r × bi mod n. 325

Кус

Кипто„‡фиfl и безоп‡сность сетей

‰. Выби‡ет пеест‡но‚ку k-объекто‚ и н‡хо‰ит но‚ый котеж a = permute(t). е. Откытый ключ k-котеж‡ — a. Секетный ключ — n, r и k-котеж b. Шиф‡циfl Пе‰положим, что Алисе 퇉о посл‡ть сообщение Бобу. ‡. Алис‡ пеоб‡зует с‚ое сообщение ‚ k-котеж x=[x1, x2,…. xk] , ‚ котоом xi — либо 0, либо 1. Котеж пе‰ст‡‚лflет собой исхо‰ный текст. б. Алис‡ использует knapsackSum ‰лfl ‚ычислениfl s ‚ к‡чест‚е исхо‰но„о текст‡. Дешиф‡циfl ‡. Боб получ‡ет з‡шифнный текст s. б. Боб ‚ычислflет s’ = r -1 × s mod n. ‚. Боб пеест‡‚лflет x’ ‰лfl то„о, чтобы н‡йти x. Котеж x есть ‚осст‡но‚ленный исхо‰ный текст. Пиме 10.4 Это ти‚и‡льный (очень ле„ко ‡скы‚‡емый пиме). Он пи‚о‰итсfl только ‰лfl то„о, чтобы пок‡з‡ть поце‰уу. 1. Гене‡циfl ключей: a. Боб со片ет супеу‚елич肇ющийсfl котеж b = [7, 11, 19, 39, 79, 157, 313]. b. Боб ‚ыби‡ет мо‰уль n = 900 и r = 37, и [4 2 5 3 1 7 6] к‡к т‡блицу пеест‡но‚ок. c. Боб тепеь ‚ычислflет котеж t = [259, 407, 703, 543, 223, 409, 781]. d. Боб тепеь ‚ычислflет котеж a = пеест‡но‚к‡ (t)= [543, 407, 223, 703, 259, 781, 409]. e. Боб объfl‚лflет a; он сох‡нflет ‚ т‡йне n, r и b. 2. Пе‰положим, что Алис‡ хочет пе則ть е‰инст‚енный сим‚ол «g» Бобу. a. Он‡ использует пе‰ст‡‚ление ASCII н‡ 7 бито‚ «g», (1100111) 2 и со片ет котеж x = [1,1,0,0, 1, 1, 1]. Это — исхо‰ный текст. b. Алис‡ ‚ычислflет s = knupsackSum (a, x) = 2165. Это — з‡шифнный текст, пе則‚‡емый Бобу. 3. Боб может ‡сшифть з‡шифнный текст, s = 2165. a. Боб ‚ычислflет s’ = s × r -1 mod n = 2165 × 37-1 mod 900 = 527. b. Боб ‚ычислflет x’ = inv_knapsackSum (s’, b) = [1, 1, 0, 1, 0, 1, 1]. c. Боб ‚ычислflет x = пеест‡но‚к‡ (x’) = [1, 1, 0, 0, 1, 1, 1]. Он интепетиует стоку (1100111) 2 к‡к сим‚ол «g». Л‡зейк‡ Вычисление суммы элементо‚ ‚ ‡нце Алисы — ф‡ктически умножение м‡тицы-стоки x н‡ м‡тицу-столбец a. Результ‡т — м‡тиц‡ s 1 × 1. М‡тичное умножение: s = x × a, ‚ котоом x fl‚лflетсfl м‡тицей-стокой, ‡ a — м‡тиц‡-столбец — о‰ностооннflfl функциfl. По ‰‡нным s и x Е‚‡ не сможет ле„ко н‡йти a. Боб, о‰н‡ко, имеет л‡зейку. Боб использует е„о s’ = r -1 × s и секетную, супеу‚елич肇ющуюсfl м‡тицу-столбец b, чтобы н‡йти м‡тицу-стоку x. Пи этом он 326

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

пименflет поце‰уу inv_knapsackSum. Пеест‡но‚к‡ поз‚олflет Бобу н‡йти x по из‚естному x’.

10.2. Кипто„‡фическ‡fl систем‡ RSA С‡мый общий ‡л„оитм откыто„о ключ‡ ‰оступ‡ — кипто„‡фическ‡fl систем‡ RSА, н‡з‚‡нн‡fl по имени е„о изобет‡телей Ри‚ест‡, Ш‡ми‡, Э‰елм‡н‡ (Rivest, Shamir и Adelman).

В‚е‰ение RSА пименflет ‰‚‡ тип‡ ключей — e и d, „‰е e — откытый, a d — секетный. Пе‰положим, что P — исхо‰ный текст и C — з‡шифнный текст. Алис‡ использует C = Pe mod n, чтобы со片ть з‡шифнный текст C из исхо‰но„о текст‡ P; Боб использует P = Cd mod n, чтобы из‚лечь исхо‰ный текст (ф‡йл), пе則нный Алисой. Мо‰улей n со片етсfl очень большое количест‚о с помощью поцесс‡ „ене‡ции ключей, котоый мы обсу‰им позже. Длfl шифниfl и ‰ешифниfl пименflют ‚оз‚е‰ение ‚ степень по мо‰улю. К‡к мы уже обсу扇ли ‚ лекции 9, пи использнии бысто„о ‡л„оитм‡ ‚оз‚е‰ение ‚ степень по мо‰улю ‚ыполнимо ‚ полиноми‡льное ‚емfl. О‰н‡ко н‡хож‰ение мо‰ульно„о лифм‡ т‡к же сложно, к‡к и ‡зложение числ‡ по мо‰улю. Длfl не„о нет ‡л„оитм‡ с полиноми‡льным ‚еменем. Это озн‡ч‡ет, что Алис‡ может з‡шифть сообщение обще‰оступным ключом (e) ‚ полиноми‡льное ‚емfl. Боб т‡кже может ‡сшифть е„о ‚ полиноми‡льное ‚емfl (потому что он зн‡ет d). Но Е‚‡ не может ‡сшифть это сообщение, потому что он‡ ‰олжн‡ был‡ бы ‚ычислить коень e-той степени из C с использнием мо‰ульной ‡ифметики. Рисунок 10.5 пок‡зы‚‡ет и‰ею RSA.

Рис. 10.5. Сложность опе‡ций ‚ RSA Ду„ими слми, Алис‡ пименflет о‰ностооннюю функцию (‚оз‚е‰ение ‚ степень по мо‰улю) с л‡зейкой, из‚естной только Бобу. Е‚‡ не зн‡ет л‡зейку, по327

Кус

Кипто„‡фиfl и безоп‡сность сетей

этому не может ‡сшифть сообщение. Если к‡-нибу‰ь н‡й‰ут полиноми‡льный ‡л„оитм ‰лfl мо‰улfl ‚ычислениfl конfl e-той степени из n, то ‚оз‚е‰ение ‚ степень по мо‰улю n не бу‰ет больше о‰ностоонней функцией.

Поце‰у‡ Рисунок 10.6 пок‡зы‚‡ет общую и‰ею поце‰уы, используемой ‚ RSA. RSA использует ‚оз‚е‰ение ‚ степень по мо‰улю ‰лfl шифниfl/‰ешифниfl. e Длfl то„о чтобы ‡т‡кть з‡кытый текст, Е‚‡ ‰олжн‡ ‚ычислить √C mod n.

Рис. 10.6. Шифние, ‰ешифние и „ене‡циfl ключей ‚ RSA Д‚е ‡л„еб‡ические стуктуы RSA 燉ейст‚ует ‰‚е ‡л„еб‡ических стуктуы: кольцо и „уппу. Кольц‡ шифниfl/‰ешифниfl. Шифние и ‰ешифние с‰ел‡ны с использнием коммут‡ти‚но„о кольц‡ R = с ‰‚умfl ‡ифметическими опе‡циflми: сложение и умножение. В RSA это кольцо обще‰оступно, потому что мо‰уль n обще‰оступен. Любой может посл‡ть сообщение Бобу, пименflfl это кольцо ‰лfl шифниfl. Гуппы „енеиниfl ключей. RSA использует мультиплик‡ти‚ную „уппу G = ‰лfl „ене‡ции ключей. Гупп‡ пеж肇ет только умножение и ‰еление (мультиплик‡ти‚ную ин‚есию), котоые необхо‰имы ‰лfl то„о, чтобы со片ть откытые и секетные ключи. Эту „уппу 퇉о скыть, потому что ее мо‰уль φ(n) fl‚лflетсfl секетным. Мы у‚и‰им, что если Е‚‡ н‡й‰ет этот мо‰уль, он‡ сможет ле„ко ‡т‡кть кипто„‡фическую систему. 328

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

RSA использует ‰‚е ‡л„еб‡ических стуктуы: откытое кольцо R = и секетную „уппу G = . Гене‡циfl ключей Боб использует ш‡„и, пок‡з‡нные ‚ ‡л„оитме 10.2, чтобы со片ть с‚ои откытый и секетный ключи. После „ене‡ции ключей Боб объfl‚лflет котеж (e, n) к‡к с‚ой откытый ключ ‰оступ‡: Боб сох‡нflет d к‡к с‚ой секетный ключ. Боб может отк‡з‡тьсfl от p, q и ϕ(n); они не мо„ут изменить е„о секетный ключ, не изменflfl мо‰уль. Длfl безоп‡сности екомен‰уетсfl ‡зме ‰лfl к‡ж‰о„о посто„о p или q — 512 бит (почти 154 ‰есflтичные цифы). Это опе‰елflет ‡зме мо‰улfl, n 1024 бит‡ (309 циф). Ал„оитм 10.2. RSA-„ене‡циfl ключей RSA Key_Generat¥on (RSA- „ене‡циfl ключ‡) { Выб‡ть ‰‚‡ больших постых p and q, т‡ких, что p ≠ q. n ← p x q φ(n) ← (p-1) x (q –1) Выб‡ть e, т‡кое, что 1 < e < φ(n) и e — ‚з‡имно постое с φ(n) d ← e-1 mod ϕ (n) // d – это ин‚есиfl e по мо‰улю φ(n) Откытый ключ ← (e, n) // Объfl‚лflетсfl откытым Секетный ключ ← d // Сох‡нflетсfl ‚ секете return Publ¥c_key and Pr¥vate_key // Воз‚‡т откыто„о и секетно„о // ключей } В RSA котеж (e, n) — откытый ключ ‰оступ‡; целое число d — секетный ключ. Шифние Пе則ть сообщение Бобу может любой, используfl е„о откытый ключ ‰оступ‡. Шифние ‚ RSA может быть ‚ыполнено с использнием ‡л„оитм‡ с полиноми‡льной сложностью по ‚емени, к‡к пок‡з‡но ‚ ‡л„оитме 10.3. Быстый ‡л„оитм ‚оз‚е‰ениfl ‚ степень был ‡ссмотен ‚ лекции 9. Р‡зме исхо‰но„о текст‡ ‰олжен быть меньше чем n; если ‡зме исхо‰но„о текст‡ больше, то он ‰олжен быть ‡з‰елен н‡ блоки. Ал„оитм 10.3. Шифние RSA RSA_Encryption (P, e, n) // P — исхо‰ный текст ‚ Zn и P < n { C ← Fast_Exponentiation (P, e, n) // Вычисление (Pe mod n} return C } 329

Кус

Кипто„‡фиfl и безоп‡сность сетей

Дешифние Чтобы ‡сшифть сообщение з‡шифнно„о текст‡, котоое Боб получил ‚ RSA, он может использть ‡л„оитм 10.4. Н‡м пи„о‰итсfl ‡л„оитм с полиноми‡льной сложностью по ‚емени, если ‡зме з‡шифнно„о текст‡ меньше, чем n. Ал„оитм 10.4. Дешифние RSA RSA_Decrypt¥on (C, d, n) //C — з‡шифнный текст ‚ Zn { P <- Fast_Exponent¥at¥on (C, d, n) // Вычисление (Cd mod n) return P }

В RSA p и q ‰олжны быть по к‡йней мее 512 бито‚; n ‰олжны быть по к‡йней мее 1024 бит. Док‡з‡тельст‚о RSА Используfl ‚тоую ‚есию теоемы Эйле‡, кото‡fl обсу扇л‡сь ‚ лекции 9, мы можем ‰ок‡з‡ть, что шифние и ‰ешифние ин‚есны ‰у„ ‰у„у. Если n =: p × q,
Некотоые ти‚и‡льные пимеы Р‡ссмотим некотоые ти‚и‡льные (не퇉ежные) пимеы поце‰уы RSA. Китеии, котоые ‰ел‡ют систему RSА безоп‡сной, бу‰ут обсуж‰ены ‚ более поз‰них ‡з‰ел‡х. Пиме 10.5 Боб ‚ыби‡ет 7 и 11 к‡к p и q и ‚ычислflет n = 7 × 11 = 77. Зн‡чение φ (n) = (7–1) (11 –1) или 60. Тепеь он ‚ыби‡ет ‰‚‡ ключ‡, e и d, из z60*. Если он ‚ыби‡ет e = 13, то d = 37. Об‡тите ‚ним‡ние, что e × d mod 60 = 1 (они ин‚есны ‰у„ ‰у„у). Тепеь пе‰положим, что Алис‡ хочет пе則ть исхо‰ный текст 5 Бобу. Он‡ использует обще‰оступный ключ 13, чтобы з‡шифть 5. 330

Лекциfl 10

Исхо‰ный текст: 5

Нfl ф‡йлfl систем‡ WinFS

C = 513 = 26 mod 77

З‡шифнный текст: 26

Боб получ‡ет з‡шифнный текст 26 и использует секетный ключ 37, чтобы ‡сшифть з‡шифнный текст. З‡шифнный текст: 26

P = от 2637 ‰о 5 mod 77

Исхо‰ный текст 5

Пе則нный Алисой текст получен Бобом к‡к исхо‰ный текст 5 . Пиме 10.6 Тепеь пе‰положим, что ‰у„ой чело‚ек, Джон, хочет пе則ть сообщение Бобу. Джон может пименить откытый ключ ‰оступ‡, объfl‚ленный Бобом (‚еоflтно, н‡ е„о с‡йте), — 13; исхо‰ный текст Джон‡ — 63. Джон ‰ел‡ет сле‰ующие ‚ычислениfl: Исхо‰ный текст: 63

C = 6313 = 28 mod 77

З‡шифнный текст: 28

Боб получ‡ет з‡шифнный текст 28 и использует с‚ой секетный ключ 37, чтобы ‡сшифть з‡шифнный текст. З‡шифнный текст: 28 P = 2837 = 63 mod 77 Исхо‰ный текст: 63 Пиме 10.7 Дженнифе со片ет п‡у ключей ‰лfl себfl. Он‡ ‚ыби‡ет p = 397 и q = 401. Он‡ ‚ычислflет n = 397 × 401= 159197. З‡тем он‡ ‚ычислflет φ(n) = 396 × 400 = 158400. З‡тем он‡ ‚ыби‡ет e = 343 и d = 12007. Пок‡жите, к‡к Тэ‰ может пе則ть сообщение «No» Дженнифе, если он зн‡ет e и n. Решение Пе‰положим, что Тэ‰ хочет пе則ть сообщение «No» Дженнифе. Он изменflет к‡ж‰ый сим‚ол н‡ число (от 00 ‰о 25), сопост‡‚лflет к‡ж‰ой бук‚е число, со‰еж‡щее ‰‚е цифы. З‡тем он с‚flзы‚‡ет ‰‚‡ ко‰инных сим‚ол‡ и получ‡ет четыехзн‡чное число. Исхо‰ный текст — 1314. З‡тем Тэ‰ использует e и n, чтобы

Рис. 10.7. Шифние и ‰ешифние ‚ пимее 10.7 331

Кус

Кипто„‡фиfl и безоп‡сность сетей

з‡шифть сообщение. З‡шифнный текст 1314343 = 33677 mod 159197. Дженнифе получ‡ет сообщение 33677 и использует d ключ ‰ешифниfl, чтобы ‡сшифть это сообщение: 3367712007 = 1314 mod 159197. З‡тем Дженнифе ‡сшифо‚ы‚‡ет 1314 к‡к сообщение «No». Рисунок 10.7 пок‡зы‚‡ет этот поцесс.

Ат‡ки RSА До н‡стоflще„о момент‡ не было обн‡ужено ник‡ких ‡зушительных ‡т‡к RSА. Несколько ‡т‡к были пе‰ск‡з‡ны. Они оснны н‡ сл‡бом исхо‰ном тексте, сл‡бом ‚ыбое п‡‡мет‡ или несоот‚етст‚ующей е‡лиз‡ции. Рисунок 10.8 пок‡зы‚‡ет к‡те„оии потенци‡льных ‡т‡к.

Рис. 10.8. Д臄‡мм‡ ‚озможных ‡т‡к н‡ RSA Ат‡к‡ ‡зложениfl н‡ множители Безоп‡сность RSА б‡зиуетсfl н‡ сле‰ующей и‰ее: мо‰уль н‡столько большой, что ‡зложение н‡ множители ‚ ‡зумное ‚емfl неосущест‚имо. Боб ‚ыби‡ет p и q и ‚ычислflет n = p × q. Число n обще‰оступно, p и q fl‚лflютсfl секетными. Если Е‚‡ сможет ‡зложить н‡ множители n и получить p и q, то он‡ может ‚ычислить φ(n) = (p – 1) (q – 1). З‡тем Е‚‡ т‡ может ‚ычислить d = e-1 mod φ(n), потому что e обще‰оступен. Секетный ключ d — л‡зейк‡, котоую Е‚‡ может использть, чтобы ‡сшифть з‡шифнное сообщение. К‡к мы узн‡ли ‚ лекции 9, есть мно„о ‡л„оитмо‚ ‡зложениfl н‡ множители, но ни о‰ин из них не может н‡йти сомножители большо„о цело„о числ‡ с полиноми‡льной сложностью ‚емени. Длfl то„о чтобы обеспечить безоп‡сность, RSA тебует, чтобы n был больше чем 300 ‰есflтичных циф. Это озн‡ч‡ет, что мо‰уль ‰олжен быть по к‡йней мее 1024 бит‡. Д‡же пи использнии мощней332

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

ше„о и с‡мо„о бысто„о компьюте‡, ‰оступно„о н‡ се„о‰нfl, ‡зложение н‡ множители цело„о числ‡ т‡ко„о ‡зме‡ тебует неосущест‚имо большо„о ‚емени. Это озн‡ч‡ет, что RSA безоп‡сен, пок‡ не бу‰ет н‡й‰ен эффекти‚ный ‡л„оитм ‡зложениfl н‡ множители. Ат‡к‡ с ‚ыбокой з‡шифнно„о текст‡ Потенци‡льн‡fl ‡т‡к‡ RSА б‡зиуетсfl н‡ мультиплик‡ти‚ном с‚ойст‚е RSA. Пе‰положим, Алис‡ со片ет з‡шифнный текст C = Pe mod n и пе則ет C Бобу. Т‡кже пе‰положим, что Боб ‡сшифует поиз‚ольный з‡шифнный текст ‰лfl Е‚ы – С1, отличный от C. Е‚‡ пеех‚‡ты‚‡ет C и использует сле‰ующие ш‡„и, чтобы н‡йти P: ‡. Е‚‡ ‚ыби‡ет случ‡йное целое число X ‚ Z n*. б. Е‚‡ ‚ычислflет Y = C × Xe mod n. ‚. Е‚‡ пе則ет Y Бобу ‰лfl ‰ешифниfl и получ‡ет Z = Yd mod n; это ш‡„ ‡т‡ки ‚ыбокой з‡шифнно„о текст‡. „. Е‚‡ может ле„ко н‡йти P, потому что Z = Yd mod n = (C × Xe)d mod n = (Cd × Xed ) mod n = (Cd × X) mod n = (P × X) mod n Z = (P × X) mod n → P=Z × X-1 mod n Е‚‡ пименflет ‡сшиенный е‚кли‰о‚ ‡л„оитм ‰лfl то„о, чтобы н‡йти мультиплик‡ти‚ную ин‚есию X, и ‚ конечном счете зн‡чение P. Ат‡ки н‡ пок‡з‡тель степени шифниfl Чтобы уменьшить ‚емfl шифниfl, можно попыт‡тьсfl использть кооткий ключ шифниfl — м‡лое зн‡чение числ‡ e, н‡пиме, зн‡чение ‰лfl e, т‡кое к‡к e = 3 (‚тоое постое число). О‰н‡ко есть некотоые потенци‡льные ‡т‡ки н‡ пок‡з‡тель пи е„о м‡лом зн‡чении степени шифниfl, котоые мы з‰есь к‡тко обсу扇ем. Эти ‡т‡ки ‚ообще не конч‡ютсfl ‚скытием системы, но они ‚се-т‡ки ‰олжны быть пе‰от‚‡щены. Длfl то„о чтобы со‚‡ть эти ‚и‰ы ‡т‡к, екомен‰уетсfl использть e = 216 + 1 = 65537 (или постое число, близкое к этому зн‡чению). Ат‡к‡ теоемы Купеcмит‡ (Coppersmith) может быть „뇂ной ‰лfl ‡т‡ки м‡ло„о пок‡з‡телfl степени н‡ ключ шифниfl. Осно‚ное положение этой теоемы: ‰лfl полином‡ f(x) степени e по мо‰улю n, чтобы н‡йти кони, если о‰ин из коней fl‚лflетсfl меньшим чем n1/e, можно использть ‡л„оитм сложности, log n. Эт‡ теоем‡ может быть пименен‡ к RSA-киптосистеме C = f(P) = Pe mod n. Если e = 3 и из‚естны хотfl бы ‰‚е тети бито‚ ‚ исхо‰ном тексте P, ‡л„оитм может н‡йти ‚се биты ‚ исхо‰ном тексте. Ат‡к‡ шиоко‚ещ‡тельной пе則чи может быть н‡ч‡т‡, если о‰ин объект пе則ет о‰но и то же сообщение „уппе получ‡телей с тем же с‡мым ключом шифниfl. Н‡пиме, пе‰положим сле‰ующий сцен‡ий: Алис‡ хочет пе則ть о‰но и то же сообщение тем получ‡телflм с тем же с‡мым обще‰оступным ключом e = 3 и мо‰улflми n1, n2 и n3. 333

Кус

Кипто„‡фиfl и безоп‡сность сетей

C1 = P3 mod n1

C2 = P3 mod n 2

C3 = P3 mod n3

Пименflfl кит‡йскую теоему об ост‡тк‡х к этим тем у‡‚нениflм, Е‚‡ может н‡йти у‡‚нение фомы C’ = P3 mod n1n2n3. Это озн‡ч‡ет, что P3 < n1n2n3 и что C’ = P3 еш‡етсfl с помощью обычной ‡ифметики (не мо‰ульной). Е‚‡ может н‡йти зн‡чение C’ = P1/3. Ат‡к‡ с‚flз‡нных меж‰у собой сообщений был‡ обн‡ужен‡ Ф‡нклином Рейтеом (Franklin Reiter). Он‡ может быть к‡тко опис‡н‡ сле‰ующим об‡зом. Алис‡ з‡шифо‚‡л‡ ‰‚‡ исхо‰ных текст‡, P1 и P2, с помощью e = 3 и пе則ет C1 и C2 Бобу. Если P1 с‚flз‡н с P2 линейной функцией, то Е‚‡ может ‚осст‡но‚ить P1 и P2 ‚ ‚ыполнимое ‚емfl ‚ычислениfl. Ат‡к‡ коотко„о списк‡, обн‡уженн‡fl Купесмитом, может быть к‡тко опис‡н‡ сле‰ующим об‡зом. Алис‡ имеет сообщение М ‰лfl пе則чи Бобу. Он‡ з‡писы‚‡ет сообщение и з‡шифо‚ы‚‡ет е„о к‡к сообщение r1, ‡ езульт‡т з‡писы‚‡ет к‡к C1 и пе則ет C1 (Бобу). Е‚‡ пеех‚‡ты‚‡ет C1 и у‰‡лflет е„о. Боб сообщ‡ет Алисе, что он не получил сообщение, т‡к что Алис‡ з‡полнflет сообщение, сн з‡шифо‚ы‚‡ет к‡к сообщение r2 и пе則ет это Бобу. Е‚‡ т‡кже пеех‚‡ты‚‡ет и это сообщение. Е‚‡ тепеь имеет C1 и C2, и он‡ зн‡ет, что об‡ з‡шифнных текст‡ пи퇉леж‡т о‰ному и тому же исхо‰ному тексту. Купесмит ‰ок‡з‡л, что если r1 и r2 кооткие, то Е‚‡ способн‡ ‚осст‡но‚ить пе‚он‡ч‡льное сообщение М. Ат‡ки пок‡з‡телfl степени ‰ешиф‡ции Д‚е фомы ‡т‡к мо„ут быть по‚е‰ены н‡ пок‡з‡тель степени ‰ешиф‡ции: ‡т‡к‡ ‡скытой степени ‰ешиф‡ции и ‡т‡к‡ м‡ло„о пок‡з‡телfl степени ‰ешифции. Они обсу扇ютсfl ниже. Ат‡к‡ ‡скыто„о пок‡з‡телfl степени ‰ешиф‡ции. Оче‚и‰но, что если Е‚‡ может н‡йти пок‡з‡тель степени ‰ешиф‡ции, d, он‡ сможет ‡сшифть текущее з‡шифнное сообщение. О‰н‡ко н‡ этом ‡т‡к‡ не ост‡н‡‚л肇етсfl. Если Е‚‡ зн‡ет зн‡чение d, он‡ может использть ‚еоflтностный ‡л„оитм (не обсу扇емый з‰есь) к числу n и н‡йти зн‡чениfl p и q. Сле‰о‚‡тельно, если Боб изменит только у„ож‡ющий безоп‡сности пок‡з‡тель степени ‰ешифниfl, но сох‡нит тот же с‡мый мо‰уль n, Е‚‡ сможет ‡сшифть бу‰ущие сообщениfl, потому что он‡ сможет ‡зложить н‡ множители n. Поэтому если Боб узн‡ет, что пок‡з‡тель степени скомпометин, он ‰олжен ‚ыб‡ть но‚ое зн‡чение ‰лfl p и q, ‚ычислить n и со片ть полностью но‚ые секетный и откытый ключи ‰оступ‡. В RSA, если пок‡з‡тель степени d скомпометин, т‡ p, q, n, e и d ‰олжны быть с„енеины з‡но‚о. Ат‡к‡ м‡ло„о зн‡чениfl пок‡з‡телfl степени ‰ешиф‡ции. Боб может по‰ум‡ть, что использние м‡ло„о зн‡чениfl степени секетно„о ключ‡ d пи‚о‰ит к более быстой ‡боте ‡л„оитм‡ ‰ешиф‡ции. Вине пок‡з‡л, что ‚ случ‡е d < 1/3n1/4 334

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

‚озможен специ‡льный тип ‡т‡ки, осннной н‡ цепной ‰оби, — тем‡, кото‡fl ‡ссм‡т肇етсfl ‚ теоии чисел. Этот тип ‡т‡ки может пе„нуть иску безоп‡сность RSА. Длfl то„о чтобы это поизошло, ‰олжно ‚ыполнflтьсfl усло‚ие, что q < p < 2q; если эти ‰‚‡ усло‚иfl сущест‚уют, Е‚‡ может ‡зложить n н‡ сомножители ‚ полиноми‡льное ‚емfl. В RSA екомен‰о‚‡но, что d ‰олжно иметь ‚еличину d ≥ 1/3 n1/4, чтобы пе‰от‚‡тить ‡т‡ку м‡ло„о зн‡чениfl ключ‡ ‰ешиф‡ции. Ат‡ки исхо‰но„о текст‡ Исхо‰ный текст и з‡шифнный текст ‚ RSA — это пеест‡но‚ки ‰у„ ‰у„‡, потому что это целые числ‡ ‚ том же с‡мом инте‚‡ле (от 0 ‰о n – 1). Ду„ими слми, Е‚‡ уже зн‡ет кое-что об исхо‰ном тексте. Эти х‡‡ктеистики мо„ут поз‚олить некотоые ‡т‡ки исхо‰но„о текст‡. Ти ‡т‡ки были уже упомflнуты ‚ лите‡туе: ‡т‡к‡ коотко„о сообщениfl, ‡т‡к‡ циклическо„о по‚тоениfl и fl‚н‡fl ‡т‡к‡. Ат‡к‡ коотко„о сообщениfl. В ‡т‡ке коотко„о сообщениfl, если Е‚‡ зн‡ет множест‚о ‚озможных исхо‰ных тексто‚, то ей из‚естн‡ еще о‰н‡ инфом‡циfl и ‰ополнительный ф‡кт, что з‡шифнный текст — пеест‡но‚к‡ исхо‰но„о текст‡. Е‚‡ может з‡шифть ‚се ‚озможные сообщениfl, пок‡ езульт‡т не бу‰ет со‚‡ть с пеех‚‡ченным з‡шифнным текстом. Н‡пиме, если из‚естно, что Алис‡ посыл‡ет число с четыьмfl циф‡ми Бобу, Е‚‡ может ле„ко испыт‡ть числ‡ исхо‰но„о текст‡ 0000 к 9999, чтобы н‡йти исхо‰ный текст. По этой пичине кооткие сообщениfl ‰олжны быть ‰ополнены случ‡йными бит‡ми ‚ н‡ч‡ле и конце, чтобы со‚‡ть этот тип ‡т‡ки. Н‡стоflтельно екомен‰уетсfl з‡полнflть исхо‰ный текст случ‡йными бит‡ми пеж‰е н‡ч‡л‡ шифниfl. З‰есь используетсfl мето‰, н‡зы‚‡емый OAEP, котоый бу‰ет позже обсуж‰ен ‚ этой лекции. Ат‡к‡ циклическо„о по‚тоениfl постоен‡ н‡ ф‡кте, что если пеест‡‚лflть з‡шифнный текст (пеест‡но‚к‡ исхо‰но„о текст‡), то непеы‚ное шифние з‡шифнно„о текст‡ ‚ конечном счете кончитсfl исхо‰ным текстом. Ду„ими слми, если Е‚‡ непеы‚но шифует пеех‚‡ченный з‡шифнный текст C, он‡ ‚ ито„е получит исхо‰ный текст. О‰н‡ко с‡м‡ Е‚‡ не зн‡ет, к‡ко‚ исхо‰ный текст, т‡к что ей неиз‚естно, к‡ по‡ ост‡но‚итьсfl. Он‡ ‰олжн‡ пойти о‰ин ш‡„ ‰‡лее. К‡ он‡ получ‡ет з‡шифнный текст C сн, он‡ ‚оз‚‡щ‡етсfl н‡ о‰ин ш‡„, чтобы н‡йти исхо‰ный текст. Пеех‚‡ченный з‡шифнный текст C C1 = Ce mod n C 2 = C1 e mod n ……………….. Ck = Ck-1 e mod n ->, если Ck = C, ост‡но‚к‡: исхо‰ный текст – P = Ck-1 Может ли это быть сеьезной ‡т‡кой н‡ киптосистему RSA? Пок‡з‡но, что сложность ‡л„оитм‡ эк‚肇лентн‡ сложности ‡зложениfl н‡ множители n. Ду335

Кус

Кипто„‡фиfl и безоп‡сность сетей

„ими слми, нет ник‡ко„о эффекти‚но„о ‡л„оитм‡, котоый может 燂ешить эту ‡т‡ку ‚ полиноми‡льное ‚емfl, если n fl‚лflетсfl большим. Я‚н‡fl ‡т‡к‡ сообщениfl. Ду„‡fl ‡т‡к‡, кото‡fl б‡зиуетсfl н‡ отношениflх пеест‡но‚ки меж‰у исхо‰ным текстом и з‡шифнным текстом, — fl‚н‡fl ‡т‡к‡ сообщениfl. Я‚ное сообщение — сообщение, котоое з‡шифно с‡мо ‚ себfl (не может быть скыто). Было ‰ок‡з‡но, что есть ‚с儉‡ некотоые сообщениfl, котоые шифуютсfl с‡ми ‚ себfl. Поскольку ключ шифниfl обычно нечетен, имеютсfl некотоые исхо‰ные тексты, котоые з‡шифны с‡ми ‚ себfl, т‡кие к‡к P = 0 и P = 1. Но если ключ шифо‚ки ‚ыб‡н тщ‡тельно, число их незн‡чительно. По„‡мм‡ шифо‚ки может ‚с儉‡ по‚еить, fl‚лflетсfl ли ‚ычисленный з‡шифнный текст т‡ким же, к‡к исхо‰ный текст, и отклонить исхо‰ный текст пее‰ пе則чей з‡шифнно„о текст‡. Ат‡ки мо‰улfl Г뇂ной ‡т‡кой RSA fl‚лflетсfl ‡т‡к‡ ‡зложениfl н‡ множители. Ее можно ‡ссм‡т肇ть к‡к ‡т‡ку м‡ло„о мо‰улfl. О‰н‡ко поскольку мы уже обсу‰или эту ‡т‡ку, сконцентиуемсfl н‡ ‰у„ом ‚‡и‡нте: общей ‡т‡ке мо‰улfl. Общ‡fl ‡т‡к‡ мо‰улfl. Он‡ может быть н‡ч‡т‡, если сообщест‚о использует общий мо‰уль, n. Н‡пиме, лю‰и ‚ сообщест‚е мо„ли бы поз‚олить тетьей стооне, котоой они ‰о‚еflют, ‚ыби‡ть p и q, ‚ычислflть n и φ(n) и со片ть п‡у об‡зцо‚ (ei, di) ‰лfl к‡ж‰о„о объект‡. Тепеь пе‰положим, что Алис‡ ‰олжн‡ пееe ‰‡ть сообщение Бобу. З‡шифнный текст Бобу — это C= P B mod n Боб испольe зует с‚ой секетный ключ, dB, чтобы ‡сшифо‚ы‚‡ть сообщение: P= C B mod n. Поблем‡ ‚ том, что Е‚‡ может т‡кже ‡сшифть сообщение, если он‡ — член сообщест‚‡ и ей был‡ н‡зн‡чен‡ п‡‡ об‡зцо‚ (eE и dE), к‡к мы узн‡ли ‚ ‡з‰еле «‡т‡к‡ м‡ло„о зн‡чениfl ключ‡ ‰ешиф‡ции». Используfl с‚ои собст‚енные ключи (eE и dE), Е‚‡ может н‡ч‡ть ‚еоflтностную ‡т‡ку н‡ сомножители n и н‡йти dB Боб‡. Чтобы со‚‡ть этот тип ‡т‡ки, мо‰уль не ‰олжен быть ‚ со‚местном пользнии. К‡ж‰ый объект ‰олжен ‚ычислить с‚ой собст‚енный мо‰уль. Ат‡ки е‡лиз‡ции Пе‰ы‰ущие ‡т‡ки б‡зились н‡ осно‚ной стуктуе RSА. К‡к пок‡з‡л Дэн Бонех1 (Dan Boneh), есть несколько ‡т‡к е‡лиз‡ции RSА. Мы пи‚е‰ем ‰‚е из них: ‡т‡к‡ ‡н‡лизом ‚емени и ‡т‡к‡ мощности. Ат‡к‡ ‡н‡лизом ‚емени (Timing attack). П‡уль Коче2 (Paul Kocher) ‰емонстио‚‡л ‡т‡ку только з‡шифнно„о текст‡, н‡зы‚‡емую ‡т‡к‡ ‡н‡лизом ‚емени. Ат‡к‡ осно‚‡н‡ н‡ быстом ‡л„оитме с пок‡з‡тельным ‚еменем, котоый ‡ссмотен ‚ лекции 9. Ал„оитм использует только ‚оз‚е‰ение ‚о ‚тоую степень, если соот‚етст‚ующий бит ‚ секетном пок‡з‡теле степени d есть 0; он ис1 2

Ученый, кипто„‡ф Стенфо‰ско„о Уни‚еситет‡. О‰ин из с‡мых из‚естных и ‡‚тоитетных специ‡листо‚ ‚ обл‡сти кипто„‡фии, ‡бот‡ет ‚ Cryptography Research team. 336

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

пользуетсfl и пи ‚оз‚е‰ении ‚о ‚тоую степень и умножении, если соот‚етст‚ующий бит — 1. Ду„ими слми, синхониз‡циfl тебует с‰ел‡ть к‡ж‰ую ите‡цию более ‰линной, если соот‚етст‚ующий бит — 1. Эт‡ ‡зность синхониз‡ции поз‚олflет Е‚е н‡хо‰ить зн‡чение бито‚ ‚ d, о‰ин з‡ ‰у„им. Пе‰положим, что Е‚‡ пеех‚‡тил‡ большое количест‚о з‡шифнных тексто‚ от C1 ‰о Cm. Т‡кже пе‰положим, что Е‚‡ н‡блю‰‡л‡, к‡кое количест‚о ‚емени тебуетсfl ‰лfl Боб‡, чтобы ‡сшифть к‡ж‰ый з‡шифнный текст, от T1 ‰о T2 . Е‚‡ зн‡ет, сколько ‚емени тебуетсfl ‰лfl осно‚ных ‡пп‡‡тных се‰ст‚, чтобы ‚ыполнить опе‡цию умножениfl от t1 ‰о tm. (з‰есь t1 — ‚емfl, тебуемое ‰лfl ‚ыполнениfl умножениfl). Результ‡т опе‡ции умножениfl = Результ‡т × Ci mod n. Е‚‡ может пименить ‡л„оитм 10.5, котоый fl‚лflетсfl упощенной ‚есией ‡л„оитм‡, используемо„о п‡ктически ‰лfl ‚ычислениfl ‚сех бит ‚ d (d0 ‰о d k-1). Ал„оитм уст‡н‡‚л肇ет н‡ч‡льное зн‡чение d0 = 1 (потому что d ‰олжен быть нечетным) и ‚ычислflет но‚ые зн‡чениfl ‰лfl Ti’s (‚емfl ‰ешифниfl относитсfl к d1 ‰о dk-1). Ал„оитм з‡тем пе‰по뇄‡ет, что сле‰ующий бит — это 1, и н‡хо‰ит несколько зн‡чений D1 ‰оD2, осно‚ы‚‡flсь н‡ этом пе‰положении. Ал„оитм 10.5. Ат‡к‡ синхониз‡ции RSA_T¥m¥ng_Attack([T1……Tm]) { d0 ← 1 // Потому что d — нечетное Вычислить [t1…..tm] [T1……Tm] ← [T1……Tm] -[t1…..tm] // Обно‚ление T¥ ‰лfl сле‰ующе„о бит‡ for (j from1 to k-1) { Пеесчит‡ть [t1…..tm] // Пеесчет t¥ ‚ пе‰положении, // что сле‰ующий бит — это 1 [D1….Dm] ← [T1……Tm] – [t1…..tm] var ← var¥ance ([D1….Dm]) – var¥ance ([T1……Tm]) ¥f (var >0) dj ← 1 else dj ← 0 [T1……Tm] ← [T1……Tm] – dj × [t1…..tm] // Обно‚ление T¥ // ‰лfl сле‰ующе„о бит‡ } }

Если пинflтое пе‰положение ‚ено, то к‡ж‰ый Di fl‚лflетсfl ‚еоflтно меньшим, чем соот‚етст‚ующее ‚емfl пе則чи Ti. О‰н‡ко ‡л„оитм использует ‰испесию (или ‰у„ие китеии коелflции), чтобы ‡ссмотеть ‚се ‚‡и‡нты Di и Ti. Если ‡зность ‰испесии положительн‡fl, ‡л„оитм пиним‡ет пе‰положение, что сле‰ующий бит ‡‚ен 1 ‚ поти‚ном случ‡е пе‰по뇄‡ет, что сле‰ующий бит — 0. Ал„оитм т‡ ‚ычислflет но‚ые Ti , используfl ‰лfl это„о ост‡‚шиесfl биты. Есть ‰‚‡ мет со‚‡ть ‡т‡ку ‡н‡лизом ‚емени: 337

Кус

Кипто„‡фиfl и безоп‡сность сетей

1. ‰оᇂить случ‡йные 燉ежки к ‚оз‚е‰ению ‚ степень, чтобы к‡ж‰ое ‚оз‚е‰ение ‚ степень з‡ним‡ло о‰но и то же ‚емfl; 2. Ри‚ест екомен‰о‚‡л «ослепление». По этой и‰ее з‡шифнный текст умнож‡етсfl н‡ случ‡йное число пее‰ ‰ешифнием. Поце‰у‡ со‰ежит сле‰ующие ш‡„и: a. Выб‡ть секетное случ‡йное число r меж‰у 1 и (n – 1). b. Вычислить C1 = C × re mod n. d. Вычислить P1 = C1d mod n. e. Вычислить P = P1 × r -1 mod n. Ат‡к‡ ‡н‡лизом мощности по‰обн‡ ‡т‡ке ‡н‡лизом ‚емени. Было пок‡з‡но, что если Е‚‡ может точно измеить мощность, использнную ‚ течение ‰ешифниfl, он‡ может н‡ч‡ть ‡т‡ку ‡н‡лиз‡ мощности н‡ осннии пинципо‚, ‡ссмотенных ‰лfl ‡т‡ки ‡н‡лизом ‚емени. Ите‡ти‚ное умножение и ‚оз‚е‰ение ‚ ꂇ‰‡т потеблflют больше мощности, чем только ите‡ти‚ное ‚оз‚е‰ение ‚ ꂇ‰‡т. Т‡ же с‡м‡fl „упп‡ мето‰о‚, кото‡fl пе‰от‚‡щ‡ет ‡т‡ки ‡н‡лизом ‚емени, может со‚‡ть ‡т‡ки ‡н‡лиз‡ мощности.

Рекоме퉇ции Сле‰ующие екоме퉇ции оснны н‡ теоетических и экспеимент‡льных езульт‡т‡х. 1. Число бито‚ ‰лfl n ‰олжно быть, по к‡йней мее, 1024. Это озн‡ч‡ет, что n ‰олжно быть пиблизительно 21024, или 309 ‰есflтичных циф. 2. Д‚‡ постых числ‡ p и q ‰олжны к‡ж‰ый быть по к‡йней мее 512 бито‚. Это озн‡ч‡ет, что p и q ‰олжны быть пиблизительно 2512 или 154 ‰есflтичными циф‡ми. 3. Зн‡чениfl p и q не ‰олжен быть очень близки ‰у„ к ‰у„у. 4. p – 1 и q – 1 ‰олжны иметь по к‡йней мее о‰ин большой постой сомножитель. 5. Отношение p/q не ‰олжно быть близко к ‡цион‡льному числу с м‡леньким числителем или зн‡мен‡телем. 6. Мо‰уль n не ‰олжен использтьсfl со‚местно. 7. Зн‡чение e ‰олжно быть 216 + 1 или целым числом, близким к этому зн‡чению. 8. Если поизошл‡ утечк‡ ч‡стно„о ключ‡ d, Боб ‰олжен неме‰ленно изменить n т‡к же, к‡к e и d. Было ‰ок‡з‡но, что зн‡ние n и о‰ной п‡ы (e, d) может пи‚ести к откытию ‰у„их п‡ то„о же с‡мо„о мо‰улfl. 9. Сообщениfl ‰олжны быть ‰ополнены, используfl OAEP, котоый ‡ссм‡т肇етсfl ‰‡лее.

Оптим‡льное ‡симметичное ‰ополнение шифниfl (OAEP — OPTIMAL ASSIMETRIC ENCRYPTION PADDING) К‡к мы упомин‡ли ‡нее, кооткое сообщение ‚ RSA ‰ел‡ет з‡шифнный текст уflз‚имым к ‡т‡к‡м коотко„о сообщениfl. Т‡м же пок‡з‡но, что постое 338

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

‰оᇂление фикти‚ных ‰‡нных (‰ополнение) к сообщению з‡ту‰нflет ‡боту Е‚ы, но, пиложи‚ ‰ополнительные усилиfl, он‡ может ‚се еще ‡т‡кть з‡шифнный текст. Решение, пе‰ложенное „уппой RSA и некотоыми ‰у„ими ‡з‡ботчик‡ми, состоит ‚ том, чтобы пименить поце‰уу, н‡з‚‡нную оптим‡льным ‡симметичным ‰ополнением шифниfl (OAEP). Рисунок 10.9 пок‡зы‚‡ет постую ‚есию этой поце‰уы; е‡лиз‡циfl может использть более сложную ‚есию.

Рис. 10.9. Оптим‡льное ‡симметичное ‰ополнение шифниfl (OAEP) И‰еfl, пок‡з‡нн‡fl н‡ исунке 10.9, — это то, что P = P1 || P2, „‰е P1 — з‡м‡скинн‡fl ‚есиfl ‰ополненно„о сообщениfl, М; P2 пе則етсfl, чтобы поз‚олить Бобу н‡йти м‡ску. Шифние. Ниже пок‡з‡ны ш‡„и поцесс‡ шифниfl. 1. Алис‡ ‰ополнflет сообщение, чтобы с‰ел‡ть е„о m-бито‚ым. Мы обозн‡чим е„о М. 2. Алис‡ ‚ыби‡ет случ‡йное число r из k бит. Об‡тите ‚ним‡ние, что r пименflетсfl только о‰н‡ж‰ы и з‡тем уничтож‡етсfl. 339

Кус

Кипто„‡фиfl и безоп‡сность сетей

3. Алис‡ использует обще‰оступную о‰ностооннюю функцию G, кото‡fl пиним‡ет целое r-бито‚ое число, и со片ет m-‡зfl‰ное целое число (m — ‡зме‡ М, и r <m). Это — м‡ск‡. 4. Алис‡ пименflет м‡ску, G (r), чтобы со片ть пе‚ую ч‡сть исхо‰но„о текст‡ P1 = M ⊕ G(r) fl‚лflетсfl з‡м‡скинным сообщением. 5. Алис‡ со片ет ‚тоую ч‡сть исхо‰но„о текст‡ P2 = H(P1) ⊕ r. Функциfl H — ‰у„‡fl обще‰оступн‡fl функциfl, кото‡fl пиним‡ет m-бито‚ые ‚хо‰ные сообщениfl и со片ет k-бито‚ые ‚ыхо‰ные сообщениfl. Эт‡ функциfl может быть кипто„‡фической хэш-функцией (см. лекцию 12). P2 используетсfl ‰лfl то„о, чтобы ‰‡ть ‚озможность Бобу сн со片ть м‡ску после ‰ешиф‡ции. 6. Алис‡ со片ет C = Pe = (P1 || P2)e и пе則ет C Бобу. Дешифние. Сле‰ующие ш‡„и пок‡зы‚‡ют поцесс ‰ешифниfl: 1. Боб со片ет P = Cd = (P1 || P2). 2. Боб сн‡ч‡л‡ обно‚лflет зн‡чение r, используfl H (P1) ⊕ P2 = H (P1) ⊕ H (P2) ⊕ r = r. 3. Боб пименflет G(r) ⊕ P = G(r) ⊕ G (r) ⊕ М. = М., чтобы обно‚ить зн‡чение ‰ополненно„о сообщениfl. 4. После у‰‡лениfl ‰ополнениfl М, Боб н‡хо‰ит пе‚он‡ч‡льное сообщение. Ошибк‡ ‚ пе則че Если хотfl бы о‰ин бит ‚ течение пе則чи пинflт с ошибкой, текст, з‡шифнный RSA, бу‰ет пинflт неп‡‚ильно. Если полученный з‡шифнный текст отлич‡етсfl от пе則нно„о, пиемник не может опе‰елить пе‚он‡ч‡льный исхо‰ный текст. Исхо‰ный текст, ‚ычисленный н‡ стооне пиемник‡, может очень отлич‡тьсfl от пе則‚‡емо„о пе則тчиком. С則 пе則чи ‰олжн‡ быть ос‚обож‰енной от ошибок з‡ счет ‰оᇂлениfl избыточных бит или обн‡ужениfl и исп‡‚лениfl ошибки ‚ з‡шифнном тексте. Пиме 10.8 Вот е‡льный пиме. Мы ‚ыби‡ем 512-бито‚ые p и q, ‚ычислflем n и φ(n), з‡тем ‚ыби‡ем e и испыты‚‡ем, что оно ‚з‡имно постое с φ(n). З‡тем мы ‚ычислflем d. Н‡конец, мы пок‡зы‚‡ем езульт‡т шифниfl и ‰ешифниfl. Целое число p — это число со 159 циф‡ми. P=

961303453135835045741915812806154279093098455949962158225831508 796479404550564706384912571601803475031209866660649242019180878 0667421096063354219926661209 Целое число q со‰ежит 160 циф.

q=

12060191957231446918276794204450896001555925054637033936061 798321731482148483764659215389453209175225273226830107120695604 602513887145524969000359660045617 340

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Мо‰уль n = p × q. Это число имеет 309 циф. n=

1159350417396761496889250986461588752377145737545414477548552613 7614788540S32635081727687881596832516846884930062548576411125016 241455233918.292716250765677272746009708271412773043496050055634 7274566628060099924037102991424472292215772798531727033839381334 692684137 327622000966676671831831088373420823444370953 φ (n)= (p – 1) (q – 1) имеет 309 циф.

φ(n) =

115935041739676149688925098646158875237714573754541447754855 261376147885408326350817276878815968325168468849300625485764111 250162414552339182927162507656751054233608492916752034482627988 117554787657013923444405716989581728196098226361075467211864612 171359107358640614008885170265377277264467341066243857664128

Боб ‚ыби‡ет e = 35535 (и‰е‡льно 65537), и испыт‡ние н‡ постое число пок‡зы‚‡ет, что это число и φ(n)— ‚з‡имно постые числ‡. З‡тем Боб н‡хо‰ит ин‚есию e mod φ(n)— это обозн‡ч‡етсfl d. e= d=

35535 58008302S6003776393609366128967791759466906208965096218042286 6111380593852S2235873170628691003002171085904433840217072986908 760061153062025249598844480475682409662470814858171304632406440 777048331340108509473852956450719367740611973265574242372176176 74620776371642 0760033708533328853214470885955136670294831

Алис‡ хочет пе則ть сообщение «THIS IS TEST», котоое может быть пе‰ст‡‚лено число‚ыми зн‡чениflми, используfl схему ко‰иниfl 00-26 (26 — побел). P=

1907081826081826002619041819

Шифнный текст, ‚ычисленный Алисой, — это C = Pe, число‚ое зн‡чение пи‚е‰ено ниже. С=

4753091236462268272063655506105451809423717960704917165232392 430544529606131993285666178434183591141511974112520056829797945 717360361012782188478927415660904800235071907152771859149751884 658886321011483541033616578984679683867637337657774656250792805 2114814184404814184430812773059004692874248559166462108656

Боб может ‚осст‡но‚ить из з‡шифнно„о текст‡ исхо‰ный текст, используfl P = Cd. P=

1907081826081826002619041819 После ‡сшифо‚ки ‚осст‡но‚ленный исхо‰ный текст — «THIS IS TEST». 341

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложениfl Хотfl RSA может использтьсfl, чтобы з‡шифть и ‡сшифо‚ы‚‡ть е‡льные сообщениfl, это — очень ‰линные сообщениfl ‰лfl RSA. Поэтому он fl‚лflетсfl полезным ‰лfl коотких сообщений. В ч‡стности мы у‚и‰им, что RSA пименflетсfl ‚ цифо‚ых по‰писflх и ‰у„их кипто„‡фических систем‡х, котоые нужны ‰лfl шифниfl м‡леньких сообщений без ‰оступ‡ к симметическому ключу. К‡к мы у‚и‰им ‚ после‰ующих лекциflх, RSA т‡кже используетсfl ‰лfl уст‡но‚лениfl по‰линности ‰окумент‡.

10.3. Киптосистем‡ Р‡бин‡ Киптосистем‡ Р‡бин‡ (М. Rabin) fl‚лflетсfl ‚‡и‡нтом киптосистемы RSА. RSА б‡зиуетсfl н‡ ‚оз‚е‰ении ‚ степень с‡‚нений. Киптосистем‡ Р‡бин‡ б‡зиуетсfl н‡ к‚‡‰‡тичных с‡‚нениflх, и ее можно пе‰ст‡‚ить к‡к кипто„‡фическую систему RSA, ‚ котоой зн‡чениflм e и d пис‚оены зн‡чениfl e = 2 и d = 1/2. Ду„ими слми, шифние — C ≡ p2 (mod n) и ‰ешифние - P ≡ C1/.2 (mod n). Откытый ключ ‰оступ‡ ‚ киптосистеме Р‡бин‡ — n, секетный ключ fl‚лflетсfl котежем (p, q). К‡ж‰ый может з‡шифть сообщение, используfl n, но только Боб может ‡сшифть сообщение, используfl p и q. Дешифние сообщениfl неосущест‚имо ‰лfl Е‚ы, потому что он‡ не зн‡ет зн‡чениfl p и q. Рисунок 10.10 пок‡зы‚‡ет шифние и ‰ешифние.

Рис. 10.10.Шифние, ‰ешифние и „ене‡циfl ключей ‚ киптосистеме Р‡бин‡ Мы ‰олжны по‰чекнуть, что если Боб пименflет RSA, он может сох‡нить d и n и отк‡з‡тьсfl после „ене‡ции ключей от p, q и φ(n). Если Боб использует киптосистему Р‡бин‡, он ‰олжен сох‡нить p и q. 342

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Поце‰у‡ Гене‡циfl ключей, шифние и ‰ешифние пок‡з‡ны ниже. Гене‡циfl ключей Боб использует ш‡„и, пок‡з‡нные ‚ ‡л„оитме 10.6, чтобы со片ть с‚ой откытый ключ ‰оступ‡ и секетный ключ. Ал„оитм 10.6. Гене‡ции ключей ‰лfl киптосистемы Р‡бин‡ Rab¥n_Key_Generat¥on { Выбеите ‰‚‡ больших постых числ‡ p и q ‚ фоме 4 k +3 и p ≠ q. n ← p×q Откытый_ключ ← n // Может быть объfl‚лен публично Секетный_ключ ← (q, n) // Должен сох‡нflтьсfl ‚ секете return Откытый_ключ и Секетный_ключ } Хотfl ‰‚‡ постых числ‡, p и q, мо„ут быть ‚ фоме 4k + 1 или 4 k + 3, поцесс ‰ешифниfl ст‡но‚итсfl более ту‰ным, если используетсfl пе‚‡fl фом‡. Рекомен‰уют пименflть ‚тоую фому, 4 k + 3, ‰лfl то„о чтобы с‰ел‡ть ‰ешифние ‰лfl Алисы н‡мно„о поще. Шифние Любой может пе則ть сообщение Бобу, пимени‚ е„о откытый ключ ‰оступ‡. Поцесс шифниfl пок‡з‡н ‡л„оитмом 10.7. Ал„оитм 10.7. Шифние ‚ кипто„‡фической системе Р‡бин‡ Rab¥n_Encrypt¥on (n, P) { C← P 2mod n return C }

// n — откытый ключ ‰оступ‡; // P — з‡шифнный текст Zn* // C — з‡шифнный текст

Хотfl исхо‰ный текст P может быть ‚ыб‡н из множест‚‡ Zn, но чтобы с‰ел‡ть ‰ешифние более постым, мы опе‰елили множест‚о, котоое н‡хо‰итсfl ‚ Zn*. Шифние ‚ киптосистеме Р‡бин‡ очень постое. Опе‡циfl ну扇етсfl только ‚ о‰ном умножении, что может быть с‰ел‡но бысто. Это ‚ы„о‰но, к‡ есусы о„‡ничены: н‡пиме, пи использнии к‡т с инте„‡льной схемой, со‰еж‡щей микопоцессо с о„‡ниченной п‡мflтью, и пи необхо‰имости 燉ейст‚ть цент‡льный поцессо н‡ кооткое ‚емfl. 343

Кус

Кипто„‡фиfl и безоп‡сность сетей

Дешифние Боб может использть ‡л„оитм 10.8, чтобы ‡сшифть полученный з‡шифнный текст. Ал„оитм 10.8. Дешифние ‚ киптосистеме Р‡бин‡ Rab¥n_Decrypt¥on (p, q, C) // C — з‡шифнный текст; { // p и q — секетные ключи a1 ← + (C(p+1)/4) mod p a2 ← - (C(p+1)/4) mod p b1 ← + (C(q+1)/4) mod q b2 ← - (C(q+1)/4) mod q // Ал„оитм кит‡йской теоемы об ост‡тк‡х ‚ызы‚‡етсfl четые ‡з‡. P1 ← Кит‡йский_ост‡ток (a1, b1, p, q) P2 ← Кит‡йский_ост‡ток (a1, b2, p, q) P3 ← Кит‡йский_ост‡ток (a2, b1, p, q) P4 ← Кит‡йский_ост‡ток (a2, b2, p, q) return P1, P2, P3 и P4 } Мы ‰олжны по‰чекнуть з‰есь несколько моменто‚. Дешиф‡циfl б‡зиуетсfl н‡ ешении ꂇ‰‡тично„о с‡‚нениfl, котоое ‡ссмотено ‚ лекции 9. Поскольку полученный з‡шифнный текст — ꂇ‰‡т исхо‰но„о текст‡, это „‡‡нтиует, что C имеет кони (ꂇ‰‡тичные ‚ычеты) ‚ Zn*. Ал„оитм кит‡йской теоемы об ост‡тк‡х используетсfl, чтобы н‡йти четые ꂇ‰‡тных конfl. С‡мый ‚‡жный пункт ‚ киптосистеме Р‡бин‡ — это то, что он‡ не‰етеминин‡. Дешифние имеет четые от‚ет‡. З‡‰‡ч‡ получ‡телfl сообщениfl — точно ‚ыб‡ть о‰ин из четыех от‚ето‚ к‡к конечный от‚ет. О‰н‡ко ‚о мно„их ситу‡циflх получ‡тель может ле„ко ‚ыб‡ть п‡‚ильный от‚ет. Киптосистем‡ Р‡бин‡ не ‰етеминио‚‡н‡ — ‰ешифние со片ет четые о‰ин‡ко‚о ‚еоflтных исхо‰ных текст‡. Пиме 10.9 Вот очень ти‚и‡льный пиме, чтобы поиллюстить и‰ею. 1. Боб ‚ыби‡ет p = 23 и q = 7. Об‡тите ‚ним‡ние, что об‡ fl‚лflютсfl с‡‚нениflми 3 mod 4. 2. Боб ‚ычислflет n = p × q = 161. 3. Боб объfl‚лflет n откытым и сох‡нflет p и q ‚ секете. 4. Алис‡ хочет пе則ть исхо‰ный текст P = 24. Об‡тите ‚ним‡ние, что 161 и 24 fl‚лflютсfl ‚з‡имно постыми; 24 н‡хо‰итсfl ‚ Z161*. Он‡ ‚ычислflет C = от 242 = 93 mod 161 и пе則ет з‡шифнный текст 93 Бобу. 5. Боб получ‡ет 93 и ‚ычислflет четые зн‡чениfl: ‡. a1 = + (93 (23+1)/4) mod 23 = 1 mod 23 b. a2 = – (93 (23+1)/4) mod 23 = 22 mod 23 с. b 1 = + (93 (7+1)/4) mod 7 = 4 mod 7 344

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

d. b2 = – (93 (7+l)/4) mod 7 = 3 mod 7 6. Боб имеет четые ‚озможных от‚ет‡ — (a1, b 1), (a1, b2), (a2, b 1), (a2, b2) и использует кит‡йскую теоему об ост‡тк‡х, чтобы н‡йти четые ‚озможных исхо‰ных текст‡: 116, 24, 137 и 45 (‚се из них ‚з‡имно постые к 161). Об‡тите ‚ним‡ние, что только ‚тоой от‚ет — исхо‰ный текст Алисы. Боб ‰олжен пинflть ешение исхо‰fl из ситу‡ции. Об‡тите ‚ним‡ние т‡кже, что ‚се четые от‚ет‡ пи ‚оз‚е‰ении ‚о ‚тоую степень по мо‰улю n ‰‡ют з‡шифнный текст 93, пе則нный Алисой. 1162 = 93 mod 161

242 = 93 mod 161

1372 = 93 mod 161

452 = 93 mod 161

Безоп‡сность кипто„‡фической системы Р‡бин‡ Кипто„‡фическ‡fl систем‡ Р‡бин‡ безоп‡сн‡, пок‡ p и q — большие числ‡. Сложность кипто„‡фической системы Р‡бин‡ — т‡к‡fl же, к‡к и у поце‰уы ‡зложениfl н‡ множители больших чисел n н‡ ‰‚‡ постых сомножителfl p и q. Ду„ими слми, кипто„‡фическ‡fl систем‡ Р‡бин‡ т‡к же безоп‡сн‡, к‡к и RSA.

10.4. Кипто„‡фическ‡fl систем‡ Эль-Г‡м‡лfl Помимо RSA и кипто„‡фической системы Р‡бин‡ есть ‰у„‡fl киптосистем‡ с откытым ключом Эль-Г‡м‡лfl (ElGamal), кото‡fl н‡з‚‡н‡ по имени ее изобет‡телfl, Т‡хи‡ Эль-Г‡м‡лfl (Taher ElGamal). Киптосистем‡ Эль-Г‡м‡лfl б‡зиуетсfl н‡ с‚ойст‚‡х ‰искетно„о лифм‡, котоый обсу扇лсfl ‚ лекции 9.

Кипто„‡фическ‡fl систем‡ Эль-Г‡м‡лfl Н‡ осннии с‚е‰ений лекции 9, если p — очень большое постое число, e1 — пе‚ооб‡зный коень ‚ „уппе G = и r — целое число, т‡ e2 = e1r mod p посто ‚ычислflетсfl с использнием бысто„о пок‡з‡тельно„о ‡л„оитм‡ (мето‰ «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl»). Но по ‰‡нным e2, e1 и p, не‚озможно ‚ычислить r = loge1e2 mod p (поблем‡ ‰искетно„о лифм‡).

Поце‰у‡ Рисунок 10.11 пок‡зы‚‡ет „ене‡цию ключей, шифние и ‰ешифние ‚ киптосистеме Эль-Г‡м‡лfl. Гене‡циfl ключей Боб использует ш‡„и, пок‡з‡нные ‚ ‡л„оитме 10.9, чтобы со片ть с‚ои обще‰оступный и ч‡стный ключи. 345

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 10.11. Гене‡циfl ключей, шифние, и ‰ешифние ‚ киптосистеме Эль-Г‡м‡лfl Ал„оитм 10.9. Гене‡циfl ключей ‚ киптосистеме Эль-Г‡м‡лfl ElGamal_Key_Generat¥on { Выбеите большое постое число p Выбеите d, член‡ „уппы G = , т‡кое, что 1 e2 ← e1d mod p Обще‰оступный_ключ ←(e1, e2, p) // Может быть объfl‚лен публично Ч‡стный_ключ ←-d // Должен сох‡нflтьсfl ‚ секете return Обще‰оступный_ключ и Ч‡стный_ключ } Шифние Любой может пе則ть сообщение Бобу, используfl е„о откытый ключ ‰оступ‡. Поцесс шифниfl пок‡з‡н ‚ ‡л„оитме 10.10. Если пименflетсfl быстый пок‡з‡тельный ‡л„оитм (см. лекцию 9), шифние ‚ киптосистеме Эль-Г‡м‡лfl может т‡кже быть ‚ыполнено по ‚емени с полиноми‡льной сложностью. Дешифние Боб может использть ‡л„оитм 10.11, чтобы ‡сшифть полученное сообщение з‡шифнно„о текст‡. 346

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Ал„оитм 10.10. Шифние ‚ киптосистеме Эль-Г‡м‡лfl ElGamal_Encrypt¥on (e1, e2, p) // { Выбеите случ‡йное целое число r ‚ C1 ← e1r mod p C2 ← (P × e2 r) mod p // // }

P — исхо‰ный текст „уппе G = C1 и C2 – з‡шифнные тексты return C1 и C2

Ал„оитм 10.11. Дешифние ‚ киптосистеме Эль-Г‡м‡лfl ElGamal_Decrypt¥on {d, p, C1, C2) { P ← [C2 (C1d)-1] mod p return P }

// C1 и C 2 — з‡шифнный текст // P — исхо‰ный текст

Сложность ‡зfl‰ной опе‡ции шифниfl или ‰ешифниfl ‚ кипто„‡фической системе Эль-Г‡м‡лfl — полиноми‡льн‡fl.

Док‡з‡тельст‚о Киптосистем‡ Эль-Г‡м‡лfl по‚о‰ит ‰ешиф‡цию со„л‡сно ‚ы‡жению C2 × (C1d) -1 . Это ‚ы‡жение может быть по‚еено с помощью по‰ст‡но‚ки P: [C2 × (C1d] -1 mod p = [(e2r × P) × (e 1 rd] –1 mod p = (e1rd) × P × (e1rd) -1 = P Пиме 10.10 Р‡ссмотим ти‚и‡льный пиме. Боб ‚ыби‡ет 11 ‚ к‡чест‚е p. З‡тем он ‚ыби‡ет e1 = 2. Об‡тите ‚ним‡ние, что 2 — пе‚ооб‡зный коень ‚ Z11* (см. пиложение J). З‡тем Боб ‚ыби‡ет d = 3 и ‚ычислflет e2 = e1d = 8. Получены откытые ключи ‰оступ‡ — (2, 8, 11) и секетный ключ — 3. Алис‡ ‚ыби‡ет r = 4 и ‚ычислflет C1 и C2 ‰лfl исхо‰но„о текст‡ 7. Исхо‰ный текст: 7 C1 = e1r mod 11 = 16 mod 11= 5 mod 11 C2 = (P × e2r) mod 11 = (7 × 4096) mod 11 = 6 mod 11l З‡шифнный текст: (5, 6) Боб получ‡ет з‡шифнные тексты (5 и 6) и ‚ычислflет исхо‰ный текст. З‡шифнный текст: [C1 × C2 d)-1] mod 11 = 6 × (53)-1 mod 11 = 6 × 3 mod 11 = 7 mod 11 Исхо‰ный текст: 7 347

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 10.11 Вместо то„о чтобы использть P = [C2 × (C1d) –1] mod p ‰лfl ‰ешифниfl, мы можем избеж‡ть ‚ычислениfl мультиплик‡ти‚ной ин‚есии и пименить P = [C2 × C1p-1-d] mod p (см. м‡лую теоему Фем‡ ‚ лекции 9). В Пимее 10.10 мы можем ‚ычислить P = [6 × 511-1-3] mod 11 = 7 mod 11.

Ан‡лиз Очень интеесн‡fl чет‡ киптосистемы Эль-Г‡м‡лfl — то, что Алис‡ со片ет r и сох‡нflет е„о ‚ секете; Боб со片ет d и сох‡нflет е„о ‚ секете. Это з‡ту‰нение кипто„‡фической системы может быть ешено сле‰ующим об‡зом. a. Алис‡ пе則ет C2 =[e2r × P] mod p = [(e1rd) × P] mod p. Вы‡жение (e1rd) ‰ейст‚ует к‡к м‡ск‡, кото‡fl скы‚‡ет зн‡чение P. Чтобы н‡йти зн‡чение P, Боб ‰олжен у‰‡лить эту м‡ску. b. Поскольку используетсfl мо‰ульн‡fl ‡ифметик‡, Боб ‰олжен со片ть точную копию м‡ски и ин‚етить ее (мультиплик‡ти‚н‡fl ин‚есиfl), чтобы снflть ‚оз‰ейст‚ие м‡ски. c. Алис‡ пе則ет Бобу C1 = e1r, что fl‚лflетсfl ч‡стью м‡ски. Боб ‰олжен ‚ычислить C1d, чтобы c‰ел‡ть точную копию м‡ски, поскольку C1d = (e1r’) d= (e1 rd). Ду„ими слми, после получениfl точной копии м‡ски Боб ин‚етиует ее и умнож‡ет езульт‡т н‡ C2, чтобы у‰‡лить м‡ску. d. Это можно пе‰ст‡‚ить т‡к, что Боб помет Алисе с‰ел‡ть м‡ску (e1rd), не пок‡зы‚‡fl зн‡чение d (d уже ‚ключено ‚ e2 = e1rd); Алис‡ помет Бобу ‰ел‡ть м‡ску (e1 rd), не ‡скы‚‡fl зн‡чение r (r уже ‚ключено ‚ C1 = e1r).

Безоп‡сность киптосистемы Эль-Г‡м‡лfl Р‡нее были упомflнуты ‰‚е ‡т‡ки н‡ киптосистему Эль-Г‡м‡лfl — ‡т‡ки, осннные н‡ м‡лом зн‡чении мо‰улfl, и ‡т‡ки зн‡ниfl исхо‰но„о текст‡. Ат‡ки м‡ло„о мо‰улfl Если зн‡чение мо‰улfl p не fl‚лflетсfl ‰ост‡точно большим, Е‚‡ может использть некотоые эффекти‚ные ‡л„оитмы, чтобы ешить поблему ‰искетно„о лифм‡ и н‡йти d или r. Если p м‡ло, Е‚‡ может посто н‡йти d = loge1e2 mod p и сох‡нить е„о, чтобы ‡сшифть любое сообщение, пе則‚‡емое Бобу. Это может быть с‰ел‡но е‰инож‰ы и ‡бот‡ть, пок‡ Боб пименflет те же с‡мые ключи. Е‚‡ может т‡кже использть зн‡чение случ‡йно„о числ‡ r, пименflемо„о Алисой ‚ к‡ж‰ой пе則че r = loge1C1 mod p. Об‡ этих случ‡fl по‰чек肇ют, что безоп‡сность киптосистемы Эль-Г‡м‡лfl 燂исит от ешениfl поблемы ‰искетно„о лифм‡ с очень большим мо‰улем. Поэтому екомен‰о‚‡но, что p ‰олжны быть по к‡йней мее 1024 бит‡ (300 ‰есflтичных циф). Ат‡к‡ зн‡ниfl исхо‰но„о текст‡ К‡ Алис‡ беет о‰но и то же зн‡чение случ‡йно„о пок‡з‡телfl степени r ‰лfl то„о, чтобы з‡шифть ‰‚‡ исхо‰ных текст‡ P и P’, Е‚‡ обн‡уж肇ет P’, если он‡ зн‡ет P. Пе‰положим, что C2 = P × (e2r) mod p и C’2 = P’ × (e2r) mod p. Е‚‡ н‡хо‰ит P’, используfl сле‰ующие ш‡„и: 348

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

1. (e2r) = C2 × P- 1 mod p. 2. P’ = C’2 × (e2r) -1mod p. Поэтому екомен‰о‚‡но, чтобы Алис‡ б‡л‡ пи к‡ж‰ой пе則че но‚ое зн‡чение r, чтобы со‚‡ть ‡т‡ки. Чтобы киптосистем‡ Эль-Г‡м‡лfl был‡ безоп‡сной, мо‰уль p ‰олжен со‰еж‡ть по к‡йней мее 300 ‰есflтичных циф, но‚ых ‰лfl к‡ж‰ой шифо‚ки. Пиме 10.12 Вот более е‡льный пиме. Боб использует случ‡йное целое число ‰линой 512 бито‚ (и‰е‡льно — 1024) и целое число p ‰линой 155 циф (и‰е‡л — 300 циф). Боб ‚ыби‡ет e1 и d, з‡тем ‚ычислflет e2, к‡к пок‡з‡но ниже; Боб объfl‚лflет (e1, e2, p) к‡к с‚ой откытый ключ и d к‡к секетный ключ ‰оступ‡. p=

1153489927256167624492531371701433174049009453260983495981434692 19056898698622645932129754737871895144368891765264730936159299937 28061165964347353440008577

e1= d=

2 1007

e2 =

9788641304300918950876685693809773904388006288733768761002206223 32554507074156189212318317704610141673360150884132940857248537703 1582066010072558707455

Алис‡ имеет исхо‰ный текст P = 3200, чтобы пе則ть Бобу. Он‡ ‚ыби‡ет r = 545131, ‚ычислflет C1 и C2 и пе則ет их Бобу. P=

3200

r=

545131

C1 =

8872970693835284710225704714922756631202600672565621250181883514 29417223599712681114105363661705173051581533189165400973736355080 295736788569060619152881

C2 =

7084543330489299445770160123807949995674360218361924469617745069 2124469615516580077945559308034588961440240859952591957920972162 88796813505827795664302950

Боб ‚ычислflет исхо‰ный текст P = C2 × (C1d)-1 mod p = 3200 mod p P=

3200

349

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение Киптосистем‡ Эль-Г‡м‡лfl может использтьсfl ‚сflкий ‡з, к‡ может использтьсfl RSA. Он‡ пименflетсfl ‰лfl з‡мены ключей, уст‡но‚лениfl по‰линности, шифниfl и ‰ешифниfl м‡леньких сообщений.

10.5. Киптосистемы н‡ осно‚е мет эллиптических ки‚ых Хотfl RSA и Эль-Г‡м‡ль — безоп‡сные ‡симметично-ключе‚ые кипто„‡фические системы, их безоп‡сность обеспеч肇етсfl ценой их больших ключей. Иссле‰о‚‡тели иск‡ли ‡льтен‡ти‚ный мето‰, котоый ‰‡ет т‡кой же уо‚ень безоп‡сности с меньшими ‡зме‡ми ключей. О‰ин из этих песпекти‚ных ‚‡и‡нто‚ — киптосистем‡ н‡ осно‚е мет эллиптических ки‚ых (Elliptic Curve Cryptosystem — ECC). Систем‡ б‡зиуетсfl н‡ теоии эллиптических ки‚ых. Хотfl „лубокое ‡ссмотение этой теоии н‡хо‰итсfl ‚не 燉‡ч и целей н‡шей кни„и, этот ‡з‰ел сн‡ч‡л‡ ‰‡ет очень постое ‚‚е‰ение ‚ ти тип‡ эллиптических ки‚ых, ‡ з‡тем пе‰л‡„‡ет ‡зно‚и‰ности кипто„‡фических систем, котоые используют некотоые из этих ки‚ых.

Эллиптические ки‚ые ‚ ‚ещест‚енных числ‡х Эллиптические ки‚ые, котоые непосе‰ст‚енно не с‚flз‡ны с эллипс‡ми, fl‚лflютсfl кубическими у‡‚нениflми ‰‚ух пееменных и обычно пименflютсfl ‰лfl ‚ычислениfl ‰лины ки‚ой ‚ окужности эллипс‡. Общее у‡‚нение ‰лfl эллиптической ки‚ой: y2 + b1xy + b2y = x3 + a1x2 + a2x +a3 Эллиптические ки‚ые ‚ поле ‚ещест‚енных чисел используют специ‡льный кл‡сс фомы эллиптических ки‚ых: y2 = x3 + ax + b В этом случ‡е, если 4a3 + 27b2 ≠ 0, у‡‚нение пе‰ст‡‚лflет несин„улflную эллиптическую ки‚ую; ‚ поти‚оположном случ‡е оно описы‚‡ет син„улflную эллиптическую ки‚ую. Длfl несин„улflной эллиптической ки‚ой у‡‚нение x3 + ax + b = 0 имеет ти отличных конfl (‚ещест‚енных или комплексных); ‰лfl син„улflной у‡‚нение x3 + ax + b = 0 не имеет тех отличных коней. В у‡‚нении, к‡к мы можем ‚и‰еть, л傇fl стоон‡ (y2) имеет степень 2, ‚ то ‚емfl к‡к п‡‚‡fl стоон‡ имеет степень 3 (x3). Это озн‡ч‡ет, что „оизонт‡льн‡fl линиfl может пеесек‡ть ки‚ую ‚ тех точк‡х, если ‚се кони ‚ещест‚енные. О‰н‡ко ‚етик‡льн‡fl линиfl может пеесечь ки‚ую с‡мое большее ‚ ‰‚ух точк‡х. 350

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Пиме 10.13 Рисунок 10.12 пок‡зы‚‡ет ‰‚е эллиптические ки‚ые с у‡‚нениflми y2 = x3 – 4x и y2 = x 3 – 1. Об‡ у‡‚нениfl несин„улflны. О‰н‡ко пе‚ое имеет ти ‚ещест‚енных конfl (x = -2, x = 0, и x = 2), но ‚тоое — только о‰ин ‚ещест‚енный коень (x = 1) и ‰‚‡ мнимых. Рис. 10.12. Д‚е эллиптические ки‚ые ‚ поле ‚ещест‚енных чисел Абел傇 „упп‡ Опе‰елим ‡беле‚у (коммут‡ти‚ную) „уппу (см. лекцию 4), использующую точки н‡ эллиптической ки‚ой. Котеж P = (x1, y1) пе‰ст‡‚лflет точку н‡ ки‚ой, если x1 и y1 — коо‰ин‡ты точки н‡ ки‚ой, котоые у‰о‚лет‚оflют у‡‚нению этой ки‚ой. Н‡пиме, точки P = (2,0; 0,0), Q = (0,0; 0,0), R = (–2,0; 0,0), S = (10,0;30,98), и T = (10,0; –30,98) – точки н‡ ки‚ой y2 = x3 – 4x. Об‡тите ‚ним‡ние, что к‡ж‰‡fl точк‡ пе‰ст‡‚лен‡ ‰‚умfl ‚ещест‚енными числ‡ми. По м‡теи‡л‡м лекции 4, ‰лfl со片ниfl ‡беле‚ой „уппы мы ну扇емсfl ‚о множест‚е опе‡ций 퇉 множест‚‡ми и пflти с‚ойст‚‡х, котоым у‰о‚лет‚оflют опе‡ции. В этом случ‡е „упп‡ G = <E, +> — ‡бел傇. Множест‚о. Мы опе‰елим множест‚о к‡к точки н‡ ки‚ой, „‰е к‡ж‰‡fl точк‡ — п‡‡ ‚ещест‚енных чисел. Н‡пиме, множест‚о E ‰лfl эллиптической ки‚ой y2 = –x3 – 4x пок‡з‡но к‡к E = {(2,0; 0,0), (0,0; 0,0), (-2,0; 0,0), (10,0; 30,98), (10,0,-30,98)...} Опе‡циfl. З‡‰‡нные с‚ойст‚‡ несин„улflной эллиптической ки‚ой поз‚олflют н‡м опе‰елflть опе‡цию сложение точек н‡ ки‚ой. О‰н‡ко мы ‰олжны помнить, что опе‡циfl сложениfl з‰есь отлич‡етсfl от опе‡ции, кото‡fl был‡ опе‰елен‡ ‰лfl целых чисел. Опе‡циfl «сложение ‰‚ух точек н‡ ки‚ой» по‚о‰итсfl, чтобы получить ‰у„ую точку н‡ ки‚ой. R = P + Q, „‰е P = (x1, y1), Q = (x2, y2), и R = (x3, y3) Длfl то„о чтобы н‡йти R н‡ ки‚ой, ‡ссмотим ти случ‡fl, к‡к это пок‡з‡но н‡ ис. 10.13. 351

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 10.13. Ти случ‡fl сложениfl н‡ эллиптической ки‚ой

1. В пе‚ом случ‡е ‰‚е точки P = (x1, y1) и Q = (x2, y2) имеют ‡зличные xкоо‰ин‡ты и y-коо‰ин‡ты (x1 ≠ y1 и x2, ≠ y2), к‡к это пок‡з‡но н‡ ис. 10.13a. Линиfl, сое‰инflющ‡fl P и Q, пеесек‡ет ки‚ую ‚ точке, обозн‡ченной R. R есть от‡жение (-R) относительно y-оси. Коо‰ин‡ты точки R, x3 и y3 мо„ут быть н‡й‰ены по н‡клону линии, λ, и з‡тем можно ‚ычислить зн‡чений x3 и y3, к‡к пок‡з‡но ниже: λ = (y2 – y1)/ (x2 – x1) x3 = λ 2 – x2 – x1 y3= λ (x1 – x3) – y1 2. Во ‚тоом случ‡е ‰‚е точки со‚‡ют (R = P + P) , к‡к пок‡з‡но н‡ ис. 10.13b. Н‡клон линии и коо‰ин‡ты точки R мо„ут быть н‡й‰ены, к‡к пок‡з‡но ниже.

x3 =

λ2–

λ = (3x12 – a) /2 y1 x1 – x2 y3= λ (x1 – x3) – y1

3. В тетьем случ‡е ‰‚е точки — ‡‰‰ити‚ные ин‚есии ‰у„ ‰у„‡, к‡к это пок‡з‡но н‡ ис. 10.13c. Если пе‚‡fl точк‡ ‡‚н‡ P = (x1, y1), ‡ ‚то‡fl точк‡ ‡‚н‡ Q = (x1, – y1), линиfl, сое‰инflющ‡fl эти ‰‚е точки, не пеесек‡ет ки‚ую ‚ тетьей точке. М‡тем‡тики „о‚оflт ‚ этом случ‡е, что точк‡ пеесечениfl н‡хо‰итсfl ‚ бесконечности. Они опе‰елflют точку О (см. ис. 10.13с) к‡к точку ‚ бесконечности или нуле‚ую точку, кото‡fl fl‚лflетсfl ‡‰‰ити‚ным нейт‡льным элементом „уппы. С‚ойст‚‡ опе‡ции. К‡ткие опе‰елениfl с‚ойст‚ опе‡ции, к‡к они обсу扇лись ‚ лекции 4: 1. З‡мкнутость. Может быть ‰ок‡з‡но, что сложение ‰‚ух точек, с использнием опе‡ции сложениfl, опе‰еленное ‚ пе‰ы‰ущем ‡з‰еле, со片ет ‰у„ую точку н‡ ки‚ой. 352

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

2. Ассоци‡ти‚ность. Может быть ‰ок‡з‡но, что (P + Q) + R = P + (Q + R). 3. Коммут‡ти‚ность. „упп‡, состоflщ‡fl из точек несин„улflной эллиптической ки‚ой, — ‡бел傇 „упп‡. Может быть ‰ок‡з‡но, что P + Q = Q + P. 4. Сущест‚ние нейт‡льно„о элемент‡. А‰‰ити‚ный нейт‡льный элемент ‚ этом случ‡е — нул傇fl точк‡. Ду„ими слми, P + 0 = 0 + P. 5. Сущест‚ние ин‚есии. ʇ扇fl точк‡ н‡ ки‚ой имеет ин‚есию. Ин‚есиfl точки — это ее от‡жение относительно оси x. Ду„ими слми, точки P = (x1,y1) и Q = (x1, – y1) — ин‚есии ‰у„ ‰у„‡; это озн‡ч‡ет, что P + Q = 0. З‡метим, что нейт‡льный элемент — это ин‚есиfl с‡мо„о себfl. Гупп‡ и поле Об‡тите ‚ним‡ние, что пе‰ы‰ущие ‡ссуж‰ениfl к‡с‡ютсfl ‰‚ух ‡л„еб‡ических стукту: „упп‡ и поле. Гупп‡ опе‰елflет множест‚о точек н‡ эллиптической ки‚ой и опе‡ции сложениfl точек. Поле опе‰елflет сложение, ‚ычит‡ние, умножение и ‰еление, пименflющие опе‡ции 퇉 ‚ещест‚енными числ‡ми, котоые необхо‰имы, чтобы н‡йти сложение точек ‚ „уппе.

Эллиптические ки‚ые ‚ GF(p) Н‡ш‡ пе‰ы‰ущ‡fl „упп‡ эллиптической ки‚ой использо‚‡л‡ ‚ещест‚енное поле ‰лfl ‚ычислений сложениfl точек. Кипто„‡фиfl тебует мо‰ульной ‡ифметики. Мы опе‰елили „уппу эллиптической ки‚ой с опе‡цией сложениfl, но опе‡циfl н‡ коо‰ин‡т‡х с точк‡ми ‚ ‰‡нном случ‡е есть опе‡циfl ‚ GF(p) с p> 3. В мо‰ульной ‡ифметике точки н‡ ки‚ой не пе‰ст‡‚лflют „‡фы, к‡к это можно было ‚и‰еть н‡ пе‰ы‰ущих исунк‡х, но сох‡нflютсfl те же с‡мые осно‚ные концепции. Мы используем ту же с‡мую опе‡цию сложениfl, но с ‚ычислением по мо‰улю p. В езульт‡те мы получ‡ем эллиптическую ки‚ую Ep (a, b), „‰е p опе‰елflет мо‰уль, и b — коэффициент у‡‚нениfl y2 = x3 + ax + b. Об‡тите ‚ним‡ние, что хотfl зн‡чение x ‚ этом случ‡е от 0 ‰о p, обычно не ‚се точки н‡хо‰flтсfl н‡ ки‚ой. Н‡хож‰ение ин‚есии Ин‚есиfl точки (x, y) ‡‚н‡ (x, – y), „‰е (–y) — ‡‰‰ити‚н‡fl ин‚есиfl y. Н‡пиме, если p = 13, ин‚есиfl (4, 2) ‡‚н‡ (4, 11). Н‡хож‰ение точек н‡ ки‚ой Ал„оитм 10.12 пок‡зы‚‡ет по„‡мму ‚ пс傉око‰е ‰лfl н‡хож‰ениfl точек н‡ ки‚ой Ep (a, b). Ал„оитм 10.12. По„‡мм‡ н‡ пс傉око‰е ‰лfl н‡хож‰ениfl точек н‡ эллиптической ки‚ой Ell¥pt¥c_po¥nts (p, a, b) { x ← 0 wh¥le (x
// p-мо‰уль

353

Кус

Кипто„‡фиfl и безоп‡сность сетей

¥f (w – целое зн‡чение ꂇ‰‡тно„о конfl ‚ Zp) ‚ыхо‰ (x, √w)(x, – √w) x ← x + 1

//w – это y2

}

} Пиме 10.14 Опе‰елите эллиптическую ки‚ую E13 (1, 1) по у‡‚нению y2 = x3 + x + 1 и ‚ычислите по мо‰улю 13. Точки н‡ ки‚ой мо„ут быть н‡й‰ены, к‡к пок‡з‡но н‡ ис. 10.14. Рис. 10.14. Точки н‡ эллиптической ки‚ой ‚ поле GF (p) Об‡тите ‚ним‡ние н‡ сле‰ующее. ‡. Некотоые зн‡чениfl y2 не имеют ꂇ‰‡тно„о конfl по мо‰улю 13. Они не fl‚лflютсfl точк‡ми н‡ этой эллиптической ки‚ой. Н‡пиме, точки x = 2, x = 3, x = 6 и x = 9 не н‡хо‰flтсfl н‡ ки‚ой. б. ʇ扇fl точк‡, опе‰еленн‡fl н‡ ки‚ой, имеет ин‚есию. Ин‚есии пеечислены к‡к п‡ы. З‡метим, что (7, 0) — ин‚есиfl с‡мой себfl. ‚. Об‡тите ‚ним‡ние, что ‰лfl п‡ы об‡тных точек зн‡чениfl y — ‡‰‰ити‚ные ин‚есии ‰у„ ‰у„‡ ‚ Zp. Н‡пиме, 4 и 9 — ‡‰‰ити‚ные ин‚есии ‚ Z13. Т‡к что мы можем ск‡з‡ть, что если 4 — это зн‡чение y, то зн‡чение (–y) ‡‚но 9. „. Ин‚есии н‡хо‰flтсfl н‡ тех же с‡мых ‚етик‡льных линиflх. Сложение ‰‚ух точек Мы используем „уппу эллиптической ки‚ой, опе‰еленную ‡нее, но ‚ычислениfl с‰ел‡ны ‚ GF (p). Вместо ‚ычит‡ниfl и ‰елениfl мы пименflем ‡‰‰ити‚ные и мультиплик‡ти‚ные ин‚есии. Пиме 10.15 354

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Сложим ‰‚е точки ‚ пимее 10.14, R = P + Q, „‰е P = (4, 2) и Q = (10,6). ‡. X = (6 – 2) x (10 – 4) -1 mod 13 = 4 x 6-1 mod 13 = 5 mod 13. б. x = (52 – 4 – 10) mod 13 = 11 mod 13. ‚. y = [5 (4 – 11) – 2] mod 13 = 2 mod 13. „ . R = (11, 2) fl‚лflетсfl точкой н‡ ки‚ой ‚ пимее 10.14. Умножение точки н‡ конст‡нту В ‡ифметике умножение числ‡ н‡ конст‡нту k озн‡ч‡ет пиᇂление числ‡ с‡мо к себе k ‡з. З‰есь ситу‡циfl т‡ же с‡м‡fl. Умножение точки P н‡ эллиптической ки‚ой н‡ конст‡нту k озн‡ч‡ет пиᇂление точки P к себе k ‡з. Н‡пиме, ‚ E13 (1, 1), если точк‡ (1, 4) умнож‡етсfl н‡ 4, езульт‡т есть точк‡ (5, 1). Если точк‡ (8,1) умнож‡етсfl н‡ 3, езульт‡т — точк‡ (10, 7).

Эллиптические ки‚ые ‚ GF(2n) Вычисление ‚ „уппе эллиптической ки‚ой может быть опе‰елено ‚ поле GF(2n). В соот‚етст‚ии с лекцией 4, „‰е мы „о‚оили, что элементы множест‚‡ ‚ этом поле — n-бито‚ые сл, котоые можно интепетить к‡к полиномы с коэффициентом ‚ GF(2), сложение и умножение этих элементо‚ т‡кое же, к‡к сложение и умножение полиномо‚. Длfl то„о чтобы опе‰елить эллиптическую ки‚ую ‚ GF(2n), необхо‰имо только изменить кубическое у‡‚нение. Общее у‡‚нение y2 + xy = x3 + ax2 + b „‰е b ≠ 0. Об‡тите ‚ним‡ние, что зн‡чение x, y, a и b — полиномы, пе‰ст‡‚лflющие n-бито‚ые сл. Н‡хож‰ение ин‚есии Если P = (x, y), то (–P) = (x, x + y). Н‡хож‰ение точек н‡ ки‚ой Мы можем н‡пис‡ть ‡л„оитм ‰лfl н‡хож‰ениfl точек н‡ ки‚ой, используfl „ене‡тоы ‰лfl полиномо‚, котоые ‡ссм‡т肇ли ‚ лекции 7. Но ‡з‡ботку это„о ‡л„оитм‡ ост‡‚лflем к‡к уп‡жнение. Д‡лее сле‰ует очень ти‚и‡льный пиме. Пиме 10.16 Мы ‚ыби‡ем GF (2 3) с элемент‡ми (0,1, g, g2, g3, g 4, g5, g6), использующими непи‚о‰имый полином f (x) = x3 + x +1. Этому соот‚етст‚ует полином g3 + g +1 = 0 или g3 = g + 1. Ду„ие степени g мо„ут быть ‚ычислены, к‡к это пок‡з‡но ниже. 0 1 g g2

000 001 010 100

g3 = g + 1 g 4= g2 + g g5 = g2 + g + 1 g6 = g2+ 1

001 110 111 101

Используfl эллиптическую ки‚ую y2 + xy = x3 + g3x2 + 1, a = g3 и b = 1, мы можем н‡йти точки н‡ этой ки‚ой, к‡к это пок‡з‡но н‡ исунке 10.15. 355

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 10.15. Точки н‡ эллиптической ки‚ой ‚ GF (2n)

Сложение ‰‚ух точек П‡‚ил‡ ‰лfl сложениfl точек ‚ GF(2n) немно„о отлич‡ютсfl от п‡‚ил GF(p). 1. Если P = (x1, y1), Q = (x2, y2), Q ≠ –P, Q ≠ P, то R = (x3, y3) = P + Q может быть н‡й‰ен к‡к 2.Если Q = P, то R = P + P (или R = 2P) и может быть н‡й‰ен к‡к Пиме 10.17 Пусть н‡м 퇉о н‡йти R = P + Q, „‰е P = (0,1) и Q = (g2,1). Мы имеем λ = 0 и R = (g5, g4). Пиме 10.18 Пусть н‡м 퇉о н‡йти R = 2P, „‰е P = (g2,1). Мы имеем λ = g2 +1 /g2 = g2+ g5= g +1 и R = (g6, g5). Умножение точек н‡ конст‡нту Длfl то„о чтобы умножить точку н‡ конст‡нту, точки ‰олжны ск뇉ы‚‡тьсfl непеы‚но со„л‡сно п‡‚илу R = 2P.

Кипто„‡фиfl эллиптической ки‚ой, мо‰елиующ‡fl киптосистему Эль-Г‡м‡лfl Длfl шифниfl и ‰ешифниfl тексто‚ с помощью эллиптических ки‚ых использлись несколько мето‰о‚. О‰ин из них состоит ‚ том, чтобы мо‰елить киптосистему Эль-Г‡м‡лfl, используfl эллиптическую ки‚ую ‚ GF(p) или GF(2n), к‡к это пок‡з‡но н‡ ис. 10.16. 356

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

Рис. 10.16. Киптосистем‡ Эль-Г‡м‡лfl, использующ‡fl эллиптическую функцию

Гене‡циfl обще‰оступных и ч‡стных ключей 1. Боб ‚ыби‡ет E (a,b) с эллиптической ки‚ой ‚ GF(p) или GF(2n). 2. Боб ‚ыби‡ет точку н‡ ки‚ой, e1 (x 1, y1 ). 3. Боб ‚ыби‡ет целое число d. 4. Боб ‚ычислflет e2 (x2, y2) = d × e1 (x1, y1). Об‡тите ‚ним‡ние: умножение з‰есь озн‡ч‡ет мно„ок‡тное сложение точек, котоое было опе‰елено ‚ыше. 5. Боб объfl‚лflет E (a,b), e1 (x1, y1 ) и e2 (x2, y2) к‡к с‚ой откытый ключ ‰оступ‡; он сох‡нflет d к‡к секетный ключ. Шифние Алис‡ ‚ыби‡ет P, точку н‡ ки‚ой, к‡к ее исхо‰ный текст, P. З‡тем он‡ ‚ычислflет п‡у точек, н‡п‡‚лflет к‡к з‡шифнный текст: C1 = r × e1

C2= P + r × e2

Чит‡тель может 燉‡тьсfl ‚опосом, к‡к поиз‚ольным исхо‰ным текстом может быть точк‡ н‡ эллиптической ки‚ой. Это о‰н‡ из осно‚ных поблем ‚ пименении эллиптической ки‚ой ‰лfl мо‰елиниfl. Алис‡ ‰олжн‡ использть ‡л„оитм, чтобы н‡йти непосе‰ст‚енное соот‚етст‚ие меж‰у сим‚ол‡ми (или блок‡ми текст‡) и точк‡ми н‡ ки‚ой. Дешифние 357

Кус

Кипто„‡фиfl и безоп‡сность сетей

Боб, после получениfl C1 и C2, ‚ычислflет P, исхо‰ный текст, используfl сле‰ующую фомулу: P = C 2 – (d × C1) Зн‡к «минус» з‰есь озн‡ч‡ет сложение с ин‚есией. Мы можем ‰ок‡з‡ть, что P, ‚ычисленный Бобом, — тот же, что пе則н Алисой, к‡к это пок‡з‡но ниже: P + r × e2 – (d × r × e1) = P + (r × d × e1) – (r × d × e1) = P + 0 = P P, C 1, C2 и e2 — это точки н‡ ки‚ой. Об‡тите ‚ним‡ние, что езульт‡т сложениfl ‰‚ух об‡тных точек н‡ ки‚ой — нул傇fl точк‡. Пиме 10.19 Вот очень ти‚и‡льный пиме шифо‚ки с использнием эллиптической ки‚ой ‚ GF (p). 1. Боб ‚ыби‡ет E67 (2, 3) к‡к эллиптическую ки‚ую ‚ GF (p). 2. Боб ‚ыби‡ет e1 = (2, 22) и d = 4. 3. Боб ‚ычислflет e2 = (13, 45), „‰е e2 = d × e1. 4. Боб публично объfl‚лflет котеж (E, e1, e2 ). 5. Алис‡ хочет пе則ть исхо‰ный текст P = (24, 26) Бобу. Он‡ ‚ыби‡ет r = 2. 6. Алис‡ н‡хо‰ит точку C1= (35, 1), „‰е C1 = r × e1. 7. Алис‡ н‡хо‰ит точку C2 = (21, 44), „‰е C2 = P + r × e1. 8. Боб получ‡ет C, и C2. Он использует 2 × C1, (35, 1) и получ‡ет (23, 25). 9. Боб ин‚етиует точку (23, 25) и получ‡ет точку (23, 42). 10. Боб ск뇉ы‚‡ет (23, 42) с C2 = (21, 44) и получ‡ет пе‚он‡ч‡льный исхо‰ный текст P = (24, 26). С‡‚нение Ниже пи‚о‰итсfl к‡ткое с‡‚нение ‡л„оитм‡ Эль-Г‡м‡лfl с е„о ‚‡и‡нтом, использующим эллиптическую ки‚ую. a. Ал„оитм Эль-Г‡м‡лfl использует мультиплик‡ти‚ную „уппу; ‚‡и‡нт — эллиптическую „уппу. b. Эти ‰‚‡ член‡ ‚ ‡л„оитме Эль-Г‡м‡лfl — числ‡ ‚ мультиплик‡ти‚ной „уппе; пи пименении ‚‡и‡нт‡ — точки н‡ эллиптической ки‚ой. c. Секетный ключ ‚ к‡ж‰ом ‡л„оитме — целое число. d. Секетные числ‡, ‚ыби‡емые Алисой ‚ к‡ж‰ом ‡л„оитме, — целые числ‡. e. Воз‚е‰ение ‚ степень ‚ ‡л„оитме Эль-Г‡м‡лfl з‡менено умножением точки н‡ конст‡нту. f. Умножение ‚ ‡л„оитме Эль-Г‡м‡лfl з‡менено сложением точек. g. Ин‚есиfl ‚ ‡л„оитме Эль-Г‡м‡лfl — мультиплик‡ти‚н‡fl ин‚есиfl ‚ мультиплик‡ти‚ной „уппе; ин‚есиfl —з‡менflетсfl ‡‰‰ити‚ной ин‚есией точки н‡ ки‚ой. h. Вычисление обычно ле„че ‚ эллиптической ки‚ой, потому что умножение поще, чем ‚оз‚е‰ение ‚ степень, сложение поще, чем умножение, и 358

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

н‡хож‰ение ин‚есии н‡мно„о поще ‚ „уппе эллиптической ки‚ой, чем ‚ мультиплик‡ти‚ной „уппе. Безоп‡сность мет с использнием эллептической ки‚ой Чтобы ‡сшифть сообщение, Е‚‡ ‰олжн‡ н‡йти зн‡чение r или d. a. Если Е‚‡ зн‡ет зн‡чение r, он‡ может использть P = C2 – (r × e2), чтобы н‡йти точку P, относflщуюсfl к исхо‰ному тексту. Но ‰лfl то„о чтобы н‡йти r, Е‚‡ ‰олжн‡ ешить у‡‚нение C1 = r × e1. Это зн‡чит — н‡йти ‰‚е точки н‡ ки‚ой, C1 и e1. Е‚‡ ‰олжн‡ н‡йти множитель, котоый со片ет C1 н‡чин‡fl с e1. Эт‡ поблем‡ из‚естн‡ к‡к поблем‡ лифм‡ эллиптической ки‚ой, е‰инст‚енный из‚естный мето‰ ешениfl этой поблемы — РО – ‡л„оитм Пол‡‰‡, котоый неосущест‚им, если 燉‡но большое r и p ‚ GF (p) или большое n ‚ GF(2n). b. Если Е‚‡ зн‡ет зн‡чение d, он‡ может использть P = C2 – (d × C1), чтобы н‡йти точку P, относflщуюсfl к исхо‰ному тексту. Поскольку e2 = d × e1, это тот же с‡мый тип поблемы, что и ‚ пе‰ы‰ущем пункте. Е‚‡ зн‡ет зн‡чение e1 и e2 — он‡ ‰олжн‡ н‡йти d. Безоп‡сность киптосистемы с эллиптической ки‚ой 燂исит от ту‰ности ешениfl поблемы лифм‡ эллиптической ки‚ой. Р‡зме мо‰улfl Длfl то„о же с‡мо„о уо‚нfl безоп‡сности (з‡т‡ты н‡ ‚ычисление) мо‰уль n, может быть меньшим ‚ эллиптической системе (ECC), чем ‚ RSA. Н‡пиме, ECC ‚ GF(2n) с n, состоflщий из 160 бито‚, может обеспечить тот же уо‚ень безоп‡сности, к‡к RSA с n 1024 бит‡.

10.6. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и Кипто„‡фическ‡fl систем‡ RSА ‡ссм‡т肇етсfl ‚ [Sti06], [Sta06], [PHS03], [Vau06], [TW06] и [Mao04]. Киптосистемы Р‡бин‡ и Эль-Г‡м‡лfl — ‚ [Sti06] и [Mao 04]. Кипто„‡фиfl эллиптической ки‚ой — ‚ [Sti06], [Eng99] и [Bla99].

С‡йты Сле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, ‡ссмотенных ‚ этой лекции. http: // wwwl.ics.uci.edu / ~ mingl/knapsack.html www.dtc.umn.edu/~odlyzko/doc/arch/knapsack.survey.pdf 359

Кус

Кипто„‡фиfl и безоп‡сность сетей

http://en.wikipedia.org/wiki/RSA citeseer.ist.psu.edu/boneh99twenty.html www.mat.uniroma3.it/users/pappa/SLIDES/RSA-HRL_05.pdf http://en.wikipedia.org/wiki/Rabin_cryptosystem http://en.wikipedia.org/wiki/ElGamaL_encryption ww..cs.purdue.edu/homes/wspeirs/elgamal.pdf http://en.wikipedia.org/wiki/Elliptic__curve_cryptography www.cs.utsa.edu/~rakbani/publications/Akbani-ECC-IEEESMC03.pdf

10.7. Ито„и • Есть ‰‚‡ способ‡ ‰ости„нуть инфом‡ционной безоп‡сности: кипто„‡фиfl с симметичными ключ‡ми и кипто„‡фиfl с ‡симметичными ключ‡ми. Эти ‰‚‡ способ‡ сущест‚уют п‡‡ллельно и ‰ополнflют ‰у„ ‰у„‡; пеимущест‚‡ о‰но„о мо„ут ‰‡ть компенс‡цию не‰ост‡тк‡м ‰у„о„о. • Концепту‡льные ‡зличиfl меж‰у этими ‰‚умfl способ‡ми б‡зиуютсfl н‡ том, к‡к они сох‡нflют секетность. В кипто„‡фии с симметичными ключ‡ми секетность ‰олжн‡ быть ‡з‰елен‡ меж‰у ‰‚умfl объект‡ми; ‚ кипто„‡фии с ‡симметичными ключ‡ми секетность песон‡льн‡fl (не‡з‰еленн‡fl). • Кипто„‡фиfl с симметичными ключ‡ми б‡зиуетсfl н‡ по‰ст‡но‚ке и пеест‡но‚ке сим‚оло‚; кипто„‡фиfl с ‡симметичными ключ‡ми б‡зиуетсfl н‡ пименении м‡тем‡тических функций к числ‡м. • Кипто„‡фиfl с ‡симметичными ключ‡ми использует ‰‚‡ от‰ельных ключ‡: о‰ин секетный и о‰ин откытый. Шифние и ‰ешифние можно пе‰ст‡‚лflть себе к‡к з‡пи‡ние и отпи‡ние з‡мко‚ ключ‡ми. З‡мок, котоый з‡пет откытым ключом, можно отпееть только соот‚етст‚ующим секетным ключом. • В кипто„‡фии с ‡симметичным ключом от‚етст‚енность обеспечениfl безоп‡сности н‡хо‰итсfl, „뇂ным об‡зом, н‡ плеч‡х пиемник‡ (Боб), котоый ‰олжен со片ть ‰‚‡ ключ‡: о‰ин секетный и о‰ин откытый. Боб несет от‚етст‚енность з‡ секетный ключ. Откытый ключ может быть ‡спост‡нен сообщест‚у чеез к‡н‡л ‡спе‰елениfl откыто„о ключ‡. • В отличие от кипто„‡фии с симметичными ключ‡ми, ‚ кипто„‡фии с ‡симметичным ключом исхо‰ный текст и з‡шифнный текст об‡б‡ты‚‡ютсfl к‡к целые числ‡. Сообщение ‰олжно ко‰итьсfl к‡к целое число (или множест‚о целых чисел) пее‰ шифнием; целое число (или множест‚о целых чисел) ‰олжно быть ‡сшифно ‚ сообщение после ‰ешифниfl. Кипто„‡фиfl с ‡симметичным ключом обычно используетсfl, чтобы з‡шифть или ‡сшифо‚ы‚‡ть м‡ленькие сообщениfl, т‡кие к‡к ключ шиф‡ ‰лfl кипто„‡фии с симметичными ключ‡ми. • Г뇂н‡fl и‰еfl кипто„‡фии с ‡симметичным ключом — понflтие «л‡зейꇻ ‚ о‰ностоонней функции (TOWF), кото‡fl fl‚лflетсfl т‡кой функцией, что f ‚ычислflетсfl посто, ‡ f -1 ‚ычислить не‚озможно (‚ смысле сложности ‚ычислений), если не используетсfl л‡зейк‡. 360

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

• Блестflщ‡fl и‰еfl относительно кипто„‡фии обще‰оступно„о ключ‡ пи퇉лежит Мекелю и и Хеллм‡ну – это ‡нц傇fl киптосистем‡ . К‡ н‡м „о‚оflт, к‡кие элементы из з‡‡нее 燉‡нно„о множест‚‡ чисел н‡хо‰flтсfl ‚ юкз‡ке, мы можем ле„ко ‚ычислить сумму чисел; к‡ н‡м сообщ‡ют сумму, ту‰но ск‡з‡ть, к‡кие элементы н‡хо‰flтсfl ‚ юкз‡ке, если он не з‡полнен элемент‡ми с‚ех‚оз‡ст‡юще„о множест‚‡. • С‡мый общий ‡л„оитм обще‰оступно„о ключ‡ — кипто„‡фическ‡fl систем‡ RSА. RSA использует ‰‚‡ числ‡ e и d, „‰е e — обще‰оступный ключ, ‡ d fl‚лflетсfl ч‡стным (секетным). Алис‡ использует C = Pe mod n ‰лfl то„о, чтобы со片ть з‡шифнный текст C из исхо‰но„о текст‡ P; Боб использует P = Сd mod n, чтобы из‚лечь исхо‰ный текст, пе則нный Алисой. • RSA пименflет ‰‚е ‡л„еб‡ических стуктуы: кольцо и „упп‡. Шифние и ‰ешифние ‚ыполнflютсfl с использнием коммут‡ти‚но„о кольц‡ R = с ‰‚умfl ‡ифметическими опе‡циflми — сложением и умножением. RSA пименflет мультиплик‡ти‚ную „уппу G = ‰лfl „ене‡ции ключей. • Ник‡ких ‡зушительных ‡т‡к н‡ RSA не было обн‡ужено. Теоетически пе‰ск‡з‡но несколько ‡т‡к, осннных н‡ ‡зложении н‡ множители, ‚ыбоке шифнно„о текст‡, об‡зце ‰ешифниfl, об‡зце шифниfl, исхо‰ном тексте, мо‰уле и е‡лиз‡ции. • Киптосистем‡ Р‡бин‡ — ‚‡и‡нт кипто„‡фической системы RSА. RSA б‡зиуетсfl н‡ экспоненци‡льном с‡‚нении; киптосистем‡ Р‡бин‡ б‡зиуетсfl н‡ к‚‡‰‡тичном с‡‚нении. Мы можем пе‰ст‡‚лflть себе, что киптосистем‡ Р‡бин‡ — это RSA, ‚ котоой зн‡чение e = 2 и d = 1/2. Кипто„‡фическ‡fl систем‡ Р‡бин‡ безоп‡сн‡, пок‡ p и q — большие числ‡. Сложность киптосистемы Р‡бин‡ — н‡ том же с‡мом уо‚не, к‡к и поцесс ‡зложениfl большо„о числ‡ n н‡ ‰‚‡ постых сомножителfl p и q. • Киптосистем‡ Эль-Г‡м‡лfl б‡зиуетсfl н‡ поблеме ‰искетно„о лифм‡. Киптосистем‡ Эль-Г‡м‡лfl использует и‰ею пе‚ооб‡зных коней ‚ Zn*. Шифние и ‰ешифние ‚ киптосистеме Эль-Г‡м‡лfl использует „уппу G = . Обще‰оступный ключ — это ‰‚‡ числ‡, e1 и e2, ‡ секетный ключ — это целое число d. Безоп‡сность киптосистемы ЭльГ‡м‡лfl осно‚‡н‡ н‡ том, что ешение поблемы ‰искетно„о лифм‡ не сущест‚ует. О‰н‡ко ‚ лите‡туе был‡ упомflнут‡ ‡т‡к‡, осннн‡fl н‡ м‡лом зн‡чении мо‰улfl, и ‡т‡к‡ зн‡ниfl исхо‰но„о текст‡. • Ду„‡fl кипто„‡фическ‡fl систем‡, ‡ссмотенн‡fl ‚ этой лекции, б‡зиуетсfl н‡ эллиптических ки‚ых. Эллиптические ки‚ые fl‚лflютсfl кубическими у‡‚нениflми ‚ ‰‚ух пееменных. Эллиптические ки‚ые н‡ поле ‚ещест‚енных чисел используют специ‡льный кл‡сс эллиптических ки‚ых y2 = x3 + ax + b, „‰е 4a3 + 27b2 ≠ 0. Абел傇 „упп‡ был‡ опе‰елен‡ с помощью эллиптической ки‚ой с опе‡цией сложениfl, кото‡fl пок‡зы‚‡ет, к‡к ‰‚е точки н‡ ки‚ой можно сложить, чтобы получить ‰у„ую точку н‡ этой ки‚ой. 361

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Кипто„‡фиfl эллиптической ки‚ой пименflет ‰‚е ‡л„еб‡ических стуктуы, ‡беле‚у „уппу и поле. Поле может быть полем ‚ещест‚енных чисел, GF (p) и GF (2n). Мы пок‡з‡ли, к‡к киптосистем‡ Эль-Г‡м‡лfl может мо‰елитьсfl, используfl эллиптические ки‚ые ‚ конечном поле. Безоп‡сность кипто„‡фии эллиптической ки‚ой 燂исит от поблемы лифм‡ эллиптической ки‚ой, ешение котоой неосущест‚имо пи большом зн‡чении мо‰улfl.

10.8. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Н‡й‰ите ‡зличиfl меж‰у киптосистем‡ми с симметичными ключ‡ми и ‡симметичными ключ‡ми. 2. Н‡й‰ите ‡зличиfl меж‰у откытыми и секетными ключ‡ми ‚ киптосистеме с ‡симметичными ключ‡ми. Н‡й‰ите со‚ениfl и ‡зличие ключей ‚ киптосистем‡х с симметичными ключ‡ми и с ‡симметичными ключ‡ми. 3. Опе‰елите «л‡зейку» ‚ о‰ностоонней функции и объflсните еfi использние ‚ кипто„‡фии с ‡симметичным ключом. 4. К‡тко объflсните и‰ею ‡нце‚ой киптосистемы. ‡. Что fl‚лflетсfl о‰ностоонней функцией ‚ этой системе? б. Что fl‚лflетсfl л‡зейкой ‚ этой системе? ‚. Опе‰елите откытые и секетные ключи ‚ этой системе. d. Опишите безоп‡сность этой системы. 5. К‡тко объflсните и‰ею кипто„‡фической системы RSA. ‡. Что fl‚лflетсfl о‰ностоонней функцией ‚ этой системе? б. Что fl‚лflетсfl л‡зейкой ‚ этой системе? ‚. Опе‰елите откытые и секетные ключи ‚ этой системе. „. Опишите безоп‡сность этой системы. 6. К‡тко объflсните и‰ею киптосистемы Р‡бин‡. ‡. Что fl‚лflетсfl о‰ностоонней функцией ‚ этой системе? б. Что fl‚лflетсfl л‡зейкой ‚ этой системе? ‚. Опе‰елите откытые и секетные ключи ‚ этой системе. „. Опишите безоп‡сность этой системы. 7. К‡тко объflсните и‰ею киптосистемы Эль-Г‡м‡лfl. ‡. Что fl‚лflетсfl о‰ностоонней функцией ‚ этой системе? б. Что fl‚лflетсfl л‡зейкой ‚ этой системе? „. Опе‰елите откытые и секетные ключи ‚ этой системе. ‰. Опишите безоп‡сность этой системы. 8. К‡тко объflсните и‰ею кипто„‡фии эллиптической ки‚ой (ECC). ‡. Что fl‚лflетсfl о‰ностоонней функцией ‚ этой системе? б. Что fl‚лflетсfl л‡зейкой ‚ этой системе? ‚. Опе‰елите откытые и секетные ключи ‚ этой системе. „. Опишите безоп‡сность этой системы. 362

Лекциfl 10

Нfl ф‡йлfl систем‡ WinFS

9. Опе‰елите эллиптические ки‚ые и объflсните их пиложениfl ‚ кипто„‡фии. 10. Опе‰елите опе‡цию, используемую ‚ ‡беле‚ой „уппе, кото‡fl об‡б‡ты‚‡ет точки н‡ эллиптической ки‚ой.

Уп‡жнениfl 1. Учиты‚‡fl с‚ех‚оз‡ст‡ющий котеж b = [7, 11,23,43,87, 173, 357], r =41 и мо‰уль n = 1001, з‡шифуйте и ‡сшифуйте бук‚у a, используfl ‡нце‚ую киптосистему. Используйте [7 6 5 1 2 3 4] к‡к т‡блицу пеест‡но‚ки. 2. В RSA: a. Д‡но n = 221 и e = 5, н‡й‰ите d. b. Д‡но n =3937 и e =17, н‡й‰ите d. c. Д‡но p = 19, q = 23 и e = 3, н‡й‰ите n, φ(n) и d. 3. Длfl то„о чтобы понflть безоп‡сность ‡л„оитм‡ RSА, н‡й‰ите d, если ‚ы зн‡ете, что e =17, ‡ n =187. 4. В RSA ‰‡но n и φ(n), ‚ычислите p и q. 5. В RSA ‰‡но e = 13 и n = 100. З‡шифуйте сообщение «HOW ARE YOU», пименflfl 00 к 25 ‰лfl бук‚ от A ‰о Z и 26 — ‰лfl побел‡. Используйте ‡зличные блоки, чтобы с‰ел‡ть P
Кус

Кипто„‡фиfl и безоп‡сность сетей

б. Используfl кит‡йскую теоему об ост‡тк‡х, н‡й‰ите четые ‚озможных исхо‰ных текст‡. 13. В киптосистеме Эль-Г‡м‡лfl ‰‡но постое число p = 31: ‡. Выбеите соот‚етст‚ующие e1 и d, з‡тем ‚ычислите e2. б. З‡шифуйте сообщение «HELLO»; используйте 00 к 25 ‰лfl ко‰иниfl. Используйте ‡зличные блоки ‰лfl то„о, чтобы с‰ел‡ть P
Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

Ч‡сть 3. Целостность, уст‡но‚ление по‰линности и уп‡‚ление ключ‡ми В лекции1 мы ‚и‰ели, что кипто„‡фиfl обеспеч肇ет ти мет з‡щиты инфом‡ции: шифы с симметичным ключом, шифы с ‡симметичным ключом и хэшиние. Ч‡сть 3 обсу扇ет кипто„‡фические хэш-функции и их пиложениfl. Эт‡ ч‡сть т‡кже иссле‰ует ‰у„ие поблемы, с‚flз‡нные с тем‡ми, о котоых мы „о‚оили ‚ ч‡стflх 1 и 2 — т‡кими к‡к уп‡‚ление ключ‡ми. Лекциfl 11 обсу扇ет общую и‰ею целостности сообщениfl и уст‡но‚лениfl по‰линности сообщениfl. Лекциfl 12 иссле‰ует несколько кипто„‡фических хэш-функций. Лекциfl 13 обсу扇ет цифо‚ые по‰писи. Лекциfl 14 пок‡зы‚‡ет и‰еи и мето‰ы уст‡но‚лениfl по‰линности объект‡. Н‡конец, лекциfl 15 обсу扇ет уп‡‚ление ключ‡ми, используемое ‰лfl кипто„‡фии с симметичными ключ‡ми и кипто„‡фии с ‡симметичными ключ‡ми. Лекциfl 11: Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl Лекциfl 11 обсу扇ет общие и‰еи, с‚flз‡нные с кипто„‡фическими хэшфункциflми, котоые используютсfl, чтобы со片ть н‡ осннии сообщениfl ‰‡й‰жест сообщениfl. Д‡й‰жесты сообщениfl „‡‡нтиуют целостность сообщениfl. З‡тем лекциfl з‡тем пок‡зы‚‡ет, к‡к постые ‰‡й‰жесты сообщениfl мо„ут быть усо‚ешенст‚ны, чтобы по‰т‚е‰ить по‰линность сообщениfl. Лециfl 12: Кипто„‡фические хэш-функции Лекциfl12 иссле‰ует несколько ст‡н‰‡тных кипто„‡фических хэш-функций, пи퇉леж‡щих ‰‚ум обшиным к‡те„оиflм: функции со сж‡тием и с блочным шифом, используемым к‡к функциfl сж‡тиfl. Лекциfl з‡тем описы‚‡ет о‰ну хэш-функцию ‰лfl к‡ж‰ой к‡те„оии и ‡л„оитмы хэшиниfl SHA-512 и Whirlpool. Лекциfl 13: Цифо‚ые по‰писи Лециfl 13 обсу扇ет цифо‚ые по‰писи и ‚‚о‰ит несколько схем цифо‚ой по‰писи, ‚ключ‡fl RSA, Эль-Г‡м‡лfl, Шно‡, DSS и эллиптическую ки‚ую. Лекциfl т‡кже иссле‰ует некотоые ‡т‡ки ‚ышеупомflнутых схем и то, к‡к они мо„ут быть пе‰от‚‡щены. Лекциfl 14: Уст‡но‚ление по‰линности объект‡ Лекциfl14 сн‡ч‡л‡ пок‡зы‚‡ет отличие меж‰у уст‡но‚лением по‰линности сообщениfl и уст‡но‚лением по‰линности объект‡. З‡тем мы по„о‚оим о некотоых метх уст‡но‚лениfl по‰линности объект‡: использнии п‡олfl, мето‰е «‚ызо‚-от‚ет» и потокол‡х бесспоно„о по‰т‚еж‰ениfl. Лекциfl т‡кже ‚ключ‡ет некотоые с‚е‰ениfl по биометии. Лекциfl 15: Уп‡‚ление ключ‡ми Лекциfl 15 сн‡ч‡л‡ объflснflет ‡зличные по‰хо‰ы к уп‡‚лению ключ‡ми: использние цент‡лизнно„о ‡спе‰елениfl ключей (Key Distribution 365

Кус

Кипто„‡фиfl и безоп‡сность сетей

Center — KDC), Центы сетифик‡ции (Certification Authories — CA) и инф‡стукту‡ обще‰оступно„о ключ‡ (Public-Key Infrastructure — PKI). Мы пок‡жем, к‡к кипто„‡фиfl с симметичными ключ‡ми и кипто„‡фиfl с ‡симметичными ключ‡ми мо„ут ‰ополнить ‰у„ ‰у„‡, чтобы ешить некотоые поблемы уп‡‚лениfl ключ‡ми.

Лекциfl 11. Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Опе‰елить целостность сообщениfl. • Опе‰елить уст‡но‚ление по‰линности сообщениfl. • Опе‰елить китеии ‰лfl кипто„‡фической хэш-функции. • Опе‰елить случ‡йную мо‰ель Oracle и ее оль ‚ оценке безоп‡сности кипто„‡фических хэш-функций. • Пок‡з‡ть ‡зличие меж‰у ко‰ом обн‡ужениfl мо‰ифик‡ции и ко‰ом уст‡но‚лениfl по‰линности (‡утентичности) ‰окумент‡ (MDC и MAC). • Обсу‰ить некотоые общие MAC. Это пе‚‡fl из тех лекций, пос‚flщенных целостности сообщениfl, уст‡но‚лению по‰линности сообщениfl и уст‡но‚лению по‰линности объект‡. З‰есь мы обсу‰им общие и‰еи, с‚flз‡нные с кипто„‡фическими хэш-функциflми, котоые используютсfl, чтобы со片ть ‰‡й‰жест сообщениfl из сообщениfl. Д‡й‰жесты сообщениfl „‡‡нтиуют целостность сообщениfl. З‡тем мы по„о‚оим о том, к‡к постые ‰‡й‰жесты сообщениfl мо„ут быть мо‰ифицины, чтобы по‰т‚е‰ить по‰линность сообщениfl. Использнию кипто„‡фических хэш-функций ‚ ст‡н‰‡тной кипто„‡фии пос‚flщен‡ лекций 12.

11.1. Целостность сообщениfl Системы кипто„‡фии, котоые мы изуч‡ли ‰о сих по, обеспеч肇ют т‡йну (секетность) или конфи‰енци‡льность, но не целостность. О‰н‡ко есть случ‡и, „‰е н‡м не нужн‡ секетность, но з‡то необхо‰им‡ целостность (неизменность). Н‡пиме, Алис‡ может н‡пис‡ть 燂ещ‡ние, чтобы ‡спе‰елить с‚ое состоflние после ее смети. З‡‚ещ‡ние может не быть з‡шифнным. После ее смети любой может посмотеть это 燂ещ‡ние. Целостность 燂ещ‡ниfl, о‰н‡ко, ‰олжн‡ быть сох‡нен‡, ибо Алис‡ не хочет, чтобы изменflли со‰еж‡ние 燂ещ‡ниfl.

Документ и отпеч‡тки п‡льце‚ О‰ним из способо‚ сох‡нить целостность ‰окумент‡ мо„ бы ст‡ть способ с помощью отпеч‡тко‚ п‡льце‚. Если Алисе 퇉о быть у‚еенной, что со‰еж‡ние 366

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

ее ‰окумент‡ не бу‰ет изменено, он‡ может поместить отпеч‡ток п‡льц‡ ‚низу ‰окумент‡. Е‚‡ не может изменить со‰еж‡ние ‰окумент‡ или со片ть ложный ‰окумент, потому что он‡ не может пел‡ть отпеч‡ток п‡льц‡ Алисы. Чтобы „‡‡нтить, что ‰окумент не был изменен, отпеч‡ток п‡льц‡ Алисы н‡ ‰окументе можно с‡‚нить с отпеч‡тком п‡льц‡ Алисы ‚ особом ф‡йле. Если они не со‚‡ют, то ‰окумент — не от Алисы.

Сообщение и ‰‡й‰жест сообщениfl Электонный эк‚肇лент и п‡ы «отпеч‡ток п‡льц‡ — ‰окумент» — это п‡‡ сообщение-‰‡й‰жест. Чтобы сох‡нить целостность сообщениfl, оно об‡б‡ты‚‡етсfl ‡л„оитмом, н‡зы‚‡емым кипто„‡фической хэш-функцией. Функциfl со片ет сж‡тое изоб‡жение сообщениfl, котоое может использтьсfl по‰обно отпеч‡тку п‡льц‡. Рисунок 11.1 пок‡зы‚‡ет сообщение, кипто„‡фическую хэш-функцию и ‰‡й‰жест сообщениfl.

Рис. 11.1. Сообщение и ‰‡й‰жест

Р‡зличиfl Эти ‰‚е п‡ы (‰окумент / отпеч‡ток п‡льц‡), и (‰‡й‰жест сообщениfl / сообщение) имеют некотоые ‡зличиfl. Документ и отпеч‡ток п‡льц‡ физически с‚flз‡ны ‚месте, сообщение и ‰‡й‰жест сообщениfl мо„ут быть ‡з‰елены (или быть посл‡ны) от‰ельно, и, что н‡иболее ‚‡жно, ‰‡й‰жест сообщениfl ‰олжен быть з‡щищен от изменениfl. Д‡й‰жест сообщениfl ‰олжен быть з‡щищен от изменениfl.

По‚ек‡ целостности Чтобы по‚еить целостность сообщениfl или ‰окумент‡, мы со片ем кипто„‡фическую хэш-функцию и с‡‚н肇ем но‚ый ‰‡й‰жест сообщениfl с пе‰ы‰ущим. Если они об‡ — те же с‡мые, мы у‚еены, что пе‚он‡ч‡льное сообщение не было изменено. Рисунок 11.2 иллюстиует и‰ею.

Кипто„‡фические китеии хэш-функции Кипто„‡фическ‡fl хэш-функциfl ‰олжн‡ у‰о‚лет‚оflть ти китеиflм (см. ис. 11.3): устойчи‚ость к пооб‡зу, устойчи‚ость ко ‚тоому пооб‡зу и устойчи‚ость к коллизиflм. 367

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 11.2. По‚ек‡ целостности

Рис. 11.3. Китеии кипто„‡фической функции Устойчи‚ость пооб‡з‡ Кипто„‡фическ‡fl функциfl ‰олжн‡ быть устойч肇 к пооб‡зу. Если ‰‡н‡ хэш-функциfl h и y = h(M), то ‰лfl Е‚ы ‰олжно быть экстем‡льно ту‰но н‡йти сообщение, т‡кое, что y = h(M’). Рисунок 11.4 иллюстиует эту и‰ею.

Рис. 11.4. Пооб‡з 368

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

Если хэш-функциfl — неустойчи‚ый пооб‡з, Е‚‡ может пеех‚‡тить ‰‡й‰жест h (M), со片ть сообщение M’ и з‡тем пе則ть M’ Бобу ‚место исхо‰но„о М.

Д‡но: y = h (M)

Ат‡к‡ пооб‡з‡ Н‡йти: т‡кое М’, что y = h (M’).

Пиме 11.1 Можем ли мы использть обычный мето‰ сж‡тиfl без потеь, т‡кой, н‡пиме, к‡к zip, ‚ кипто„‡фической хэш-функции? Решение Не можем. Мето‰ сж‡тиfl без потеь со片ет сж‡тое сообщение, котоое ‰олжно быть об‡тимо. Вы можете об‡бот‡ть сж‡тое сообщение, чтобы получить пе‚он‡ч‡льный текст. Пиме 11.2 Можем ли мы использть функцию контольной суммы к‡к кипто„‡фическую хэш-функцию? Решение Не можем. Функциfl контольной суммы — не стойкий пооб‡з. Е‚‡ может н‡йти несколько сообщений, контольн‡fl сумм‡ котоых соот‚етст‚ует ‰‡нной. Устойчи‚ость ко ‚тоому пооб‡зу Втоой китеий, устойчи‚ость ко ‚тоому пооб‡зу, „‡‡нтиует, что сообщение не может ле„ко быть пел‡нным. Е‚‡ не может ле„ко со片ть ‰у„ое сообщение, котоое пеоб‡зуетсfl ‚ тот же с‡мый ‰‡й‰жест. Ду„ими слми, учиты‚‡fl 燉‡нное сообщение и е„о ‰‡й‰жест, не‚озможно (или, по к‡йней мее, очень ту‰но) со片ть ‰у„ое сообщение с тем же с‡мым ‰‡й‰жестом. Рисунок 11.5 иллюстиует и‰ею. Е‚‡ пеех‚‡ты‚‡ет (имеет ‰оступ к) сообщение М и е„о ‰‡й‰жест h(M). Он‡ со片ет ‰у„ое сообщение М’ ≠ М, но h (M) = h(M’). Е‚‡ пе則ет М’ и h (M’) Бобу. Е‚‡ пел‡л‡ сообщение.

Д‡н‡ Ат‡к‡: М и h (M)

Ат‡к‡ ‚тоо„о пооб‡з‡ Н‡йти: т‡кое М’ ≠ М, чтобы h (M) = h(M’).

Устойчи‚ость к коллизиflм Тетий китеий, устойчи‚ость к коллизиflм, „‡‡нтиует, что Е‚‡ не может н‡йти ‰‚‡ сообщениfl, котоые пи‚о‰flт к тому же с‡мому ‰‡й‰жесту. З‰есь поти‚ник может со片ть ‰‚‡ сообщениfl (из ‡боче„о) и пи‚ести к тому же ‰‡й‰жесту. Мы у‚и‰им позже, к‡к Е‚‡ может из‚лечь ‚ы„о‰у из этой сл‡бости хэш-функции. Пе‰положим, что ‚ течение о‰но„о и то„о же момент‡ ‚емени со片ны ‰‚‡ ‡зличных 燂ещ‡ниfl, котоые мо„ут быть пи‚е‰ены к о‰ному тому же ‰‡й‰жесту. К‡ н‡ступ‡ет ‚емfl ‰лfl ‚ыполнениfl 燂ещ‡ниfl, ‚тоое (пел‡нное) 燂ещ‡ние пе‰ст‡‚лflетсfl н‡сле‰ник‡м. Поскольку ‰‡й‰жест соот‚етст‚ует обоим 燂ещ‡ниflм, по‰ст‡но‚к‡ не обн‡ужен‡. Рисунок 11.6 иллюстиует и‰ею. Мы у‚и‰им позже, что этот тип ‡т‡ки н‡мно„о поще н‡ч‡ть, чем ‰‚‡ пе‰ы‰ущих ‚и369

Кус

Кипто„‡фиfl и безоп‡сность сетей

‰‡. Ду„ими слми, мы ‰олжны т‚е‰о убе‰итьсfl, что хэш-функциfl устойч肇 к коллизиflм.

Рис.11.5.Втоой пооб‡з

Рис. 11.6. Устойчи‚ость к коллизиflм

11.2. Случ‡йн‡fl мо‰ель Oracle Случ‡йн‡fl мо‰ель Oracle был‡ пе‰ложен‡ ‚ 1993 „. Белл‡ом (Bellare) и Ро‰жеем (Rogaway). Это и‰е‡льн‡fl м‡тем‡тическ‡fl мо‰ель ‰лfl хэш-функции. Функциfl, кото‡fl осно‚‡н‡ н‡ этой мо‰ели, об뇉‡ет сле‰ующими с‚ойст‚‡ми. 1. К‡ поступ‡ет но‚ое сообщение любой ‰лины, Oracle поо扇ет и ‚ы‡б‡ты‚‡ет н‡ ‚ыхо‰е ‰‡й‰жест-сообщениfl фиксинной ‰лины, котоые состоflт из случ‡йных сток нулей и е‰иниц. Это oracle-з‡пись сообщениfl и ‰‡й‰жест-сообщениfl. 370

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

2. К‡ пе則етсfl сообщение, ‰лfl котоо„о сущест‚ует ‰‡й‰жест, oracle посто ‚ст‡‚лflет ‰‡й‰жест ‚ з‡пись. 3. Д‡й‰жест ‰лfl но‚о„о сообщениfl ‰олжен быть ‚ыб‡н не燂исимо от ‚сех пе‰ы‰ущих ‰‡й‰жесто‚. Это по‰‡зум傇ет, что мо‰ель Oracle не может использть фомулу или ‡л„оитм ‰лfl ‚ычислениfl ‰‡й‰жест‡. Пиме 11.3 Возьмем мо‰ель Oracle с т‡блицей и «п‡‚ильной» монетой. Т‡блиц‡ имеет ‰‚‡ столбц‡. Ле‚ый столбец — сообщениfl, ‰лfl котоых ‰олжны быть ‚ы‡бот‡ны ‰‡й‰жесты. Втоой столбец пеечислflет ‰‡й‰жесты, со片нные ‰лfl этих сообщений. Пимем, что ‰‡й‰жест — ‚с儉‡ 16 бито‚ не燂исимо от ‡зме‡ сообщениfl. Т‡блиц‡ 11.1 пок‡зы‚‡ет пиме т‡кой т‡блицы, ‚ котоой сообщение и ‰‡й‰жест сообщениfl пи‚е‰ены ‚ шест퇉ц‡теичном исчислении. Мо‰ель Oracle уже соз‰‡л‡ ти ‰‡й‰жест‡. Т‡блиц‡ 11.1. Т‡блиц‡ Oracle после со片ниfl пе‚ых тех ‰‡й‰жесто‚ Сообщение 4523AB1352CDEF45126 723BAE38F2AB3457AC AB45CD1048765412AAAB6662BE

Д‡й‰жест сообщениfl 13AB 02CA A38B

Тепеь пе‰положим, что ‚озник‡ют ‰‚‡ событиfl: ‡. Поступ‡ет сообщение AB1234CDS765BDAD ‰лfl ‚ычислениfl ‰‡й‰жест‡. Oracle по‚еflет с‚ою т‡блицу. Это„о сообщениfl нет ‚ т‡блице, т‡к что соту‰ник, использующий Oracle, по‰б‡сы‚‡ет ‚ ‚оз‰ух с‚ою монету 16 ‡з. Пе‰положим, что езульт‡т — ООРОООРРОРООРРРО, ‚ котоом буꂇ О пе‰ст‡‚лflет «Оел», буꂇ Р пе‰ст‡‚лflет «Решꇻ. Oracle интепетиует О к‡к 1 бит и Р к‡к бит 0 и ‚ы‰‡ет 1101 1100 1011 0001 ‚ ‰‚оичном ко‰е либо DCB1 ‚ шест퇉ц‡теичном, к‡к ‰‡й‰жест сообщениfl ‰лfl это„о сообщениfl, и ск뇉ы‚‡ет сообщение и ‰‡й‰жест ‚ т‡блице (т‡блиц‡ 11.2). Т‡блиц‡ 11.2. Т‡блиц‡ Oracle после со片ниfl чет‚ето„о ‰‡й‰жест‡ Сообщение 4523AB1352CDEF45126 723BAE38F2AB3457AC AB1234CD8765BDAD AB45CD1048765412AAAB6662BE

Д‡й‰жест сообщениfl 13AB 02CA DCB1 A38B

б. Сообщение 4523AB 1352CDEF45126 ‰‡етсfl ‰лfl ‚ычислениfl ‰‡й‰жест‡. Oracle по‚еflет с‚ою т‡блицу и н‡хо‰ит, что есть ‰‡й‰жест ‰лfl это„о сообщениfl ‚ т‡блице (пе‚‡fl сток‡). Oracle посто ‚ы‰‡ет соот‚етст‚ующий ‰‡й‰жест (13AB). 371

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме 11.4 Oracle ‚ Пимее 11.3. не может пименить фомулу или ‡л„оитм, чтобы со片ть ‰‡й‰жест ‰лfl сообщениfl. Н‡пиме, ‚ооб‡зим, что Oracle использует фомулу h (M) = М mod n. Тепеь пе‰положим, что Oracle уже ‚ы‰‡л h (М1) и h (М2). Если но‚ое сообщение пе‰ст‡‚лено к‡к М3 = M1 + М2 , Oracle не ‰олжен ‚ычислить h (М3). Но‚ый ‰‡й‰жест — только [h (M1) + h (M2)] mod n, поскольку: (M3) = (M1 + M2) mod n = M1 mod n + M2 mod n = [h(M1) + h(M2)] mod n Это н‡уш‡ет тетье тебние: к‡ж‰ый ‰‡й‰жест ‰олжен быть ‚ыб‡н беспоfl‰очно н‡ осно‚е сообщениfl, ‰‡нно„о Oracle.

Пинцип „олубиных flщико‚1 Пе‚ое понflтие, с котоым мы ‰олжны быть зн‡комы ‰лfl то„о, чтобы понflть ‡н‡лиз случ‡йной Мо‰ели Oracle, — пинцип „олубиных flщико‚: если n flщико‚ з‡нflты n + 1 „олубflми, то по к‡йней мее о‰ин flщик з‡нflт ‰‚умfl „олубflми. Обобщенн‡fl ‚есиfl пинцип‡ „олубиных flщико‚: если flщико‚ n з‡нflты kn +1 „олубflми, то по к‡йней мее о‰ин flщик з‡нflт k + 1 „олубем. Поскольку осно‚н‡fl и‰еfl хэшиниfl ‰иктует, что ‰‡й‰жест ‰олжен быть кооче, чем сообщение, со„л‡сно пинципу „олубиных flщико‚ мо„ут быть конфликты. Ду„ими слми, есть некотоые ‰‡й‰жесты, котоые соот‚етст‚уют больше чем о‰ному сообщению; отношениfl меж‰у ‚озможными сообщениflми и ‚озможными ‰‡й‰жест‡ми — «мно„о к о‰ному». Пиме 11.5 Пе‰положим, что сообщениfl ‚ хэш-функции ‰линой 6 бито‚, ‰‡й‰жесты только ‰линой 4 бит‡. Т‡ ‚озможное число ‰‡й‰жесто‚ (flщики) — от 24 = 16 и ‚озможное число сообщений („олуби) — 2 6 = 64. Это озн‡ч‡ет n = 16 и kn + 1 = 64, т‡к что k больше, чем 3. Это „о‚оит о том, что по к‡йней мее о‰ин ‰‡й‰жест соот‚етст‚ует четыем (k + 1) сообщениflм.

Поблемы ‰нfl ож‰ениfl Втоое понflтие, котоое мы ‰олжны зн‡ть пее‰ ‡н‡лизом случ‡йной мо‰ели Oracle, из‚естно к‡к поблем‡ ‰нfl ож‰ениfl. Обычно ‚ кус‡х теоии ‚еоflтностей ст‡лк肇ютсfl с четыьмfl ‡зличными поблем‡ми ‰нfl ож‰ениfl, и тетьfl из них ин‡ н‡зы‚‡етсfl п‡‡‰окс ‰нfl ож‰ениfl. Рисунок 11.7 иллюстиует смысл к‡ж‰ой поблемы.

1

Пинцип „олубиных flщико‚ — по-‡н„лийски pigeonhole principle. Втоой ‡н„лоflзычный темин — Dirihlet’s box Principle (пинцип flщик‡ Диихле). Н‡‰о иметь ‚ ‚и‰у, что ‡н„лоflзычный темин Dirichlet principle (пинцип Диихле) обозн‡ч‡ет и ‰у„ие понflтиfl, не относflщиесfl к кипто„‡фии (пим. пее‚о‰чик‡). 372

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

Рис.11.7. Четые поблемы ‰нfl ож‰ениfl Опис‡ние поблем Ниже пи‚о‰flтсfl поблемы ‰нfl ож‰ениfl, ‚ы‡женные ‚ темин‡х, котоые мо„ут быть пименены к хэш-функциflм безоп‡сности. Об‡тите ‚ним‡ние, что темин с некотоой ‚еоflтностью озн‡ч‡ет случ‡и, к‡ ‚еоflтность событиfl P ≥ 1/2. Поблем‡ 1. К‡ко‚о миним‡льное число k сту‰енто‚ ‚ кл‡ссной комн‡те, т‡кое, что с некотоой ‚еоflтностью по к‡йней мее о‰ин сту‰ент имеет з‡‡нее 燉‡нный ‰ень ож‰ениfl? Эт‡ поблем‡ может быть обобщен‡ сле‰ующим об‡зом. Мы имеем о‰ноо‰но ‡спе‰еленную случ‡йную пееменную с N ‚озможными зн‡чениflми (меж‰у 0 и N – 1). К‡ко‚о миним‡льное число экземплflо‚, т‡ких, что с некотоой ‚еоflтностью по к‡йней мее о‰ин экземплfl ‡‚ен з‡‡нее 燉‡нному зн‡чению? Поблем‡ 2. К‡ко‚о миним‡льное число k сту‰енто‚ ‚ кл‡ссной комн‡те, т‡кое, что с некотоой ‚еоflтностью по к‡йней мее о‰ин сту‰ент имеет тот же с‡мый ‰ень ож‰ениfl, к‡к и сту‰ент, ‚ыб‡нный пофессоом? Эт‡ поблем‡ может быть обобщен‡ сле‰ующим об‡зом. Мы имеем о‰ноо‰но ‡спе‰еленную случ‡йную пееменную с N ‚озможными зн‡чениflми (меж‰у 0 и N – 1) К‡кое миним‡льное число экземплflо‚, k, т‡ких, что с некотоой ‚еоflтностью по к‡йней мее о‰ин экземплfl fl‚лflетсfl ‡‚ным ‚ыб‡нному? Поблем‡ 3. К‡ко‚о миним‡льное число k сту‰енто‚ ‚ кл‡ссной комн‡те, т‡кое, что с 燉‡нной ‚еоflтностью по к‡йней мее ‰‚‡ сту‰ент‡ имеют тот же с‡мый ‰ень ож‰ениfl? Эт‡ поблем‡ может быть обобщен‡ сле‰ующим об‡зом. Мы имеем о‰ноо‰но ‡спе‰еленную случ‡йную пееменную с N ‚озможными зн‡чениflми (меж‰у 0 и N – 1). К‡ко‚о миним‡льное число экземплflо‚ k, т‡ких, что с некотоой ‚еоflтностью по к‡йней мее ‰‚‡ экземплfl‡ ‡‚ны? 373

Кус

Кипто„‡фиfl и безоп‡сность сетей

Поблем‡ 4. Мы имеем ‰‚‡ кл‡сс‡, к‡ж‰ый с k сту‰ент‡ми. К‡ко‚о миним‡льное зн‡чение A, т‡кое, чтобы по к‡йней мее о‰ин сту‰ент из пе‚ой кл‡ссной комн‡ты с некотоой ‚еоflтностью имел тот же с‡мый ‰ень ож‰ениfl, что и сту‰ент из ‚тоой кл‡ссной комн‡ты? Эт‡ поблем‡ может быть обобщен‡ сле‰ующим об‡зом. Мы имеем о‰ноо‰но ‡спе‰еленную случ‡йную пееменную N со зн‡чениflми (меж‰у 0 и N – 1). Мы „енеиуем ‰‚‡ множест‚‡ случ‡йных зн‡чений, к‡ж‰ое ‚еличиной k. К‡ко‚о миним‡льное число k, т‡кое, что с некотоой ‚еоflтностью по к‡йней мее о‰ин экземплfl пе‚о„о множест‚‡ ‡‚ен о‰ному об‡зцу ‚о ‚тоом множест‚е? Результ‡ты ешений Длfl з‡интееснных чит‡телей ешениfl этих поблем ‰‡ютсfl ‚ пиложении E. Результ‡ты пи‚е‰ены ‚ т‡блице 11.3. Т‡блиц‡ 11.3. Результ‡ты ешений четыех поблем ‰ней ож‰ениfl Поблем‡ Веоflтность

Общее зн‡чение ‰лfl k

Зн‡чение k пи P = 1/2

k ≈ ln[1/(1–P) × N k ≈ ln[1/(1–P) × N + 1

k ≈ 0,69 × N k ≈ 0,69 × N

Число сту‰енто‚ (N=365) 253 254

1 2

P ≈ l – e-k/N P ≈ l – e-(k-1)N

3 4

P ≈ 1 - ek(k-1)/2N k ≈ {2 ln [1/1–P]}1/2 × N1/2 k ≈ 1,18 × N1/2 23 P ≈ 1 – ek2/2N k ≈ {ln [1/1–P]}1/2 × N1/2 k ≈ 0,83 × N1/2 16

З‡темненное зн‡чение, 23, fl‚лflетсfl ешением кл‡ссическо„о п‡‡‰окс‡ ‰нfl ож‰ениfl; если есть 23 сту‰ент‡ ‚ кл‡ссной комн‡те, то с некотоой ‚еоflтностью (с P ≥ 1/2) ‰‚‡ сту‰ент‡ имеют о‰ин‡ко‚ый ‰ень ож‰ениfl (и„ноиуfl „о‰ их ож‰ениfl). С‡‚нение поблем Зн‡чение k ‚ поблем‡х 1 или 2 попоцион‡льно N; зн‡чение k ‚ поблем‡х 3 или 4 fl‚лflетсfl попоцион‡льным N1/2. Коотко ск‡жем, что пе‚ые ‰‚е поблемы с‚flз‡ны с ‡т‡к‡ми пооб‡з‡ и ‚тоо„о пооб‡з‡; тетьfl и чет‚ет‡fl поблемы с‚flз‡ны с ‡т‡кой коллизии. С‡‚нение пок‡зы‚‡ет, что н‡мно„о более ту‰но н‡ч‡ть ‡т‡ку пооб‡з‡ или ‡т‡ку ‚тоо„о пооб‡з‡, чем ‡т‡ку коллизии. Рисунок 11.8 ‰‡ет „‡ф P пи ‡зличных k. Длfl пе‚ой и ‚тоой поблем пок‡з‡н о‰ин „‡ф (зн‡чениfl ‚еоflтностей — очень близки). Г‡фы ‰лfl ‚тоой и тетьей поблем отлич‡ютсfl сильнее.

Ат‡ки случ‡йной мо‰ели Oracle Чтобы лучше поним‡ть х‡‡кте хэш-функций и ‚‡жность случ‡йной мо‰ели Oracle, ‡ссмотим, к‡к Е‚‡ может ‡т‡кть хэш-функцию, со片нную Oracle. Пе‰положим, что хэш-функциfl со片ет ‰‡й‰жесты n бито‚. Т‡ ‰‡й‰жест можно пе‰ст‡‚ить к‡к случ‡йную пееменную, о‰ноо‰но ‡спе‰еленную меж‰у 0 374

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

Рис. 11.8. Г‡ф четыех поблем ‰нfl ож‰ениfl и N – 1, ‚ котоой N = 2n. Ду„ими слми, есть ‚озможные 2n зн‡чений ‰лfl ‰‡й‰жест‡; к‡ж‰ый ‡з Oracle случ‡йно ‚ыби‡ет о‰но из этих зн‡чений ‰лfl сообщениfl. Об‡тите ‚ним‡ние: это не озн‡ч‡ет, что ‚ыбо fl‚лflетсfl исчепы‚‡ющим. Некотоые зн‡чениfl мо„ут ник‡ не ‚ыби‡тьсfl, но некотоые мо„ут быть ‚ыб‡ны несколько ‡з. Мы пиним‡ем, что ‡л„оитм хэш-функции обще‰оступен и Е‚‡ зн‡ет ‡зме ‰‡й‰жест‡ n. Ат‡к‡ пооб‡з‡ Е‚‡ пеех‚‡тил‡ ‰‡й‰жест D = h (M); он‡ хочет н‡йти любое сообщение М’, т‡кое, что D = h (М’). Е‚‡ может со片ть список k сообщений и ‚ыполнить ‡л„оитм 11.1. Ал„оитм может н‡йти сообщение, ‰лfl котоо„о D fl‚лflетсfl ‰‡й‰жестом, или может потепеть неу‰‡чу. К‡к ‚еоflтность успех‡ это„о ‡л„оитм‡? Оче‚и‰но, это 燂исит от ‡зме‡ списк‡, k, ‚ыб‡нно„о Е‚ой. Чтобы н‡йти ‚еоflтность, мы используем пе‚ую поблему ‰нfl ож‰ениfl. Д‡й‰жест, со片нный ‚ соот‚етст‚ии с по„‡ммой, опе‰елflет езульт‡ты случ‡йной пееменной. Веоflтность успех‡ — P = 1 – e-k/N. Ал„оитм 11.1. Ат‡к‡ н‡ пооб‡з Pre¥mage_Attack (D) { for (¥ =1 to k) { со片ть (M[¥]) T ← h(M [¥ ]) // T – ‚еменный ‰‡й‰жест ¥f (T = D) return M[¥] } return fa¥lure { 375

Кус

Кипто„‡фиfl и безоп‡сность сетей

К‡кой ‰олжен быть ‡зме k, если Е‚‡ ‰олжн‡ ‰ости„нуть успех‡ по к‡йней мее ‚ 50 поцент‡х случ‡е‚? Мы пок‡з‡ли это зн‡чение ‚ т‡блице 11.3. Длfl пе‚ой поблемы ‰нfl ож‰ениfl: k ≈ 0,69 × N, или k ≈ 0,69 × 2n. Ду„ими слми, чтобы Е‚‡ ‰обил‡сь с‚ое„о более чем ‚ 50 поцент‡х случ‡е‚, он‡ ‰олжн‡ со片ть список ‰‡й‰жест‡, котоый попоцион‡лен 2n. Сложность ‡т‡ки пооб‡з‡ попоцион‡льн‡ 2n. Пиме 11.6 Кипто„‡фическ‡fl хэш-функциfl использует ‰‡й‰жест 64 бит‡. Сколько ‰‡й‰жесто‚ Е‚‡ ‰олжн‡ со片ть, чтобы н‡йти пе‚он‡ч‡льное сообщение с ‚еоflтностью большей, чем 0,5? Решение Число ‰‡й‰жесто‚, котоые бу‰ут со片ны, — k × 0,69 × 2n = 0,69 × 264. Это большое зн‡чение. Д‡же если Е‚‡ сможет „енеить 230 (почти о‰ин милли‡‰) сообщений ‚ секун‰у, тебуетсfl 0,69 × 234 секун‰ы или больше чем 500 лет. Это озн‡ч‡ет, что ‰‡й‰жест сообщениfl ‡змеом 64 бит‡ fl‚лflетсfl безоп‡сным относительно ‡т‡ки пооб‡з‡, но, к‡к мы у‚и‰им ‰‡лее, он не з‡щищен от ‡т‡ки коллизии. Ат‡к‡ ‚тоо„о пооб‡з‡ Е‚‡ пеех‚‡тил‡ ‰‡й‰жест D = h (M) и соот‚етст‚ующее сообщение М.; он‡ хочет н‡йти ‰у„ое сообщение M’, т‡кое, чтобы h(M’) = D. Е‚‡ может со片ть список из k – 1 сообщениfl и ‚ыполнить Ал„оитм 11.2. Ал„оитм 11.2. Ат‡к‡ ‚тоо„о пооб‡з‡ Second_Pre¥mage_Attack (D, M) { for (¥ = 1 to k – 1) { со片ть (M[¥] T ← h (M[¥]) // T — ‚еменный ‰‡й‰жест If (T = D) return M[¥] } return fa¥lure }

Ал„оитм может н‡йти ‚тоое сообщение, ‰лfl котоо„о D fl‚лflетсfl т‡кже ‰‡й‰жестом, или может потепеть неу‰‡чу. К‡к ‚еоflтность успех‡ это„о ‡л„оитм‡? Оче‚и‰но, это 燂исит от ‡зме‡ списк‡, k, ‚ыб‡нно„о Е‚ой. Чтобы н‡йти ‚еоflтность положительно„о исх ‡л„оитм‡, мы используем ‚тоую поблему ‰нfl ож‰ениfl. Д‡й‰жест, со片нный ‚ соот‚етст‚ии с по„‡ммой, опе‰елflет ‚ыхо‰ное зн‡чение случ‡йной пееменной. Веоflтность успех‡ – P ≈ 1 – e1-(k-1)/N. К‡кой ‰олжен быть ‡зме k, если Е‚‡ хочет ‰остичь успех‡ по к‡й376

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

ней мее ‚ 50 поцент‡х случ‡е‚? Мы уже ук‡з‡ли это зн‡чение ‚ т‡блице 11.3 ‰лfl ‚тоой поблемы ‰нfl ож‰ениfl: k ≈ 0,69 × N + 1 или k ≈ 0,69 × 2n. Ду„ими слми, чтобы Е‚‡ ‰обил‡сь с‚ое„о более чем ‚ 50 поцент‡х случ‡е‚, он‡ ‰олжн‡ со片ть список ‰‡й‰жест‡, котоый попоцион‡лен 2n. Сложность ‡т‡ки ‚тоо„о пооб‡з‡ попоцион‡льн‡ 2n. Ат‡к‡ коллизии Е‚‡ ‰олжн‡ н‡йти ‰‚‡ сообщениfl, М. и М.’, т‡кие, что h (M) = h (М.’). Он‡ может со片ть список сообщений и ‚ыполнить ‡л„оитм 11.3. Ал„оитм 11.3. Ат‡к‡ коллизии Coll¥s¥on_Attack { for (¥ = 1 to k) { со片ть (M[¥]) D[¥] ← h (M[¥]) // D[¥] — список со片‚‡емых ‰‡й‰жесто‚ for (j = 1 to ¥ - 1) { ¥f (D[¥] = D[j] return (M[¥] и M[j] ) } } return fa¥lure }

Ал„оитм может н‡йти ‰‚‡ сообщениfl с о‰ним и тем же ‰‡й‰жестом. К‡к ‚еоflтность успех‡ это„о ‡л„оитм‡? Оче‚и‰но, это 燂исит от ‡зме‡ списк‡, k, ‚ыб‡нно„о Е‚ой. Чтобы н‡йти ‚еоflтность событиfl, мы используем тетью поблему ‰нfl ож‰ениfl. Д‡й‰жест, со片нный ‚ соот‚етст‚ии с по„‡ммой, опе‰елflет ‚ыхо‰ное зн‡чение случ‡йной пееменной. Веоflтность успех‡ — P = 1 – e1-(k-1)/2N. К‡кой ‰олжен быть ‡зме k, если Е‚‡ хочет ‰остичь успех‡ по к‡йней мее ‚ 50 поцент‡х случ‡е‚? Мы уже ук‡з‡ли это зн‡чение ‚ т‡блице 11.3 ‰лfl тетьей поблемы ‰нfl ож‰ениfl: k ≈ 1,18 × N1/2, или k ≈ 1,18 × 2n/2. Ду„ими слми, чтобы Е‚‡ ‰обил‡сь с‚ое„о более чем ‚ 50 поцент‡х случ‡е‚, он‡ ‰олжн‡ со片ть список ‰‡й‰жест‡, котоый попоцион‡лен 2n/2. Сложность ‡т‡ки коллизии попоцион‡льн‡ 2n/2. Пиме 11.7 Кипто„‡фическ‡fl хэш-функциfl использует ‰‡й‰жест 64 бит‡. Сколько ‰‡й‰жесто‚ Е‚‡ ‰олжн‡ со片ть, чтобы н‡йти ‰‚‡ сообщениfl с тем же с‡мым ‰‡й‰жестом с ‚еоflтностью больше чем 0,5? 377

Кус

Кипто„‡фиfl и безоп‡сность сетей

Решение Число ‰‡й‰жесто‚, котоые бу‰ут со片ны, k ≈ 1,18 × 2n/2 ≈ 1,18 × 232. Если Е‚‡ может по‚еить 220 (почти о‰ин миллион) сообщений ‚ секун‰у, потебуетсfl 1,18 × 212 секун‰, или меньше чем ‰‚‡ ч‡с‡. Это озн‡ч‡ет, что ‰‡й‰жест сообщениfl ‡зме‡ 64 бит‡ небезоп‡сен относительно ‡т‡ки коллизии. Дополнительн‡fl ‡т‡к‡ коллизии Пе‰ы‰ущ‡fl ‡т‡к‡ коллизии не может быть полезн‡ ‰лfl Е‚ы — ей пихо‰итсfl со片ть ‰‚‡ сообщениfl, о‰но е‡льное и о‰но фикти‚ное, котоые имеют о‰но и то же зн‡чение хэш-функции. К‡ж‰ое сообщение ‰олжно быть зн‡ч‡щим. Пе‰ы‰ущий ‡л„оитм не обеспеч肇ет устойчи‚ость коллизии, ешение состоит ‚ том, чтобы со片ть ‰‚‡ зн‡ч‡щих сообщениfl, но ‰оᇂить избыточность к сообщению или мо‰ифицить сообщение, чтобы изменить со‰еж‡ние сл, или пиᇂлflть некотоые избыточные сл, и т‡к ‰‡лее, ‚ сообщение, не изменflfl зн‡чение е„о хэш‡. Н‡пиме, множест‚о сообщений может быть со片но из пе‚о„о сообщениfl — ‰оᇂлением побело‚ или изменением сл, к‡ некотоые сл ‰ополнflютсfl оконч‡ниflми. Втоое сообщение может т‡кже со片ть множест‚о сообщений. Если обозн‡чить пе‚он‡ч‡льное сообщение М, ‡ фикти‚ное сообщение — М’, Е‚‡ со片ет k ‡зличных ‚‡и‡нто‚ М (M1, M2 ,... , Mk) и k ‡зличных ‚‡и‡нто‚ М’ (M’1, M’2 ,... , M’k) . З‡тем Е‚‡ использует ‡л„оитм 11.4 ‰лfl то„о, чтобы н‡ч‡ть ‡т‡ку. Ал„оитм 11.4. Дополнительн‡fl ‡т‡к‡ коллизии Alternate_Coll¥s¥on _Attack (M[k], M’[k]) { for (¥ = 1 to k) { D[¥] ← h ([M[¥]) D’[¥] ← h [M’[¥]) ¥f (D[¥] = D’[j] return (M[¥], M’[j]) } return fa¥lure } К‡к ‚еоflтность успех‡ это„о ‡л„оитм‡? Оче‚и‰но, это 燂исит от ‡зме‡ списк‡ k, ‚ыб‡нно„о Е‚ой. Чтобы н‡йти ‚еоflтность, мы используем чет‚етую поблему ‰нfl ож‰ениfl. Д‚‡ списк‡ ‰‡й‰жест‡, со片нные ‚ соот‚етст‚ии с по„‡ммой, опе‰елflют ‰‚‡ ‚ыхо‰ных зн‡чениfl случ‡йной ‚еличины. Веоflтность успех‡ ‡‚н‡ P ≈ 1 – e–k2/N. К‡кой ‰олжен быть ‡зме k, если Е‚‡ хочет ‰остичь успех‡ по к‡йней мее ‚ 50 поцент‡х случ‡е‚? Мы уже ук‡з‡ли это зн‡чение ‚ т‡блице ‰лfl чет‚етой поблемы ‰нfl ож‰ениfl: k ≈ 0,83 × N1/2 или k ≈ 0,83 × 2n/2. Ду„ими слми, чтобы Е‚‡ ‰обил‡сь с‚ое„о более чем ‚ 50 поцент‡х случ‡е‚, он‡ ‰олжн‡ со片ть список ‰‡й‰жест‡, котоый попоцион‡лен 2n/2. Сложность ‰ополнительной ‡т‡ки коллизии попоцион‡льн‡ 2n/2. 378

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

Ито„и ‡т‡к Т‡блиц‡ 11.4 пок‡зы‚‡ет уо‚ень сложности ‰лfl к‡ж‰ой ‡т‡ки, если ‰‡й‰жест имеет ‰лину n бит. Т‡блиц‡ 11.4. Уо‚ни сложности ‰лfl к‡ж‰о„о тип‡ ‡т‡ки Ат‡к‡ Пооб‡з Втоой пооб‡з Коллизиfl Дополнительн‡fl коллизиfl

Зн‡чение пи P =1/2 Поfl‰ок ‚ехне„о пе‰ел‡ k ≈ 0,69 × 2n+1 2n k ≈ 0,69 × 2n+1 2n k ≈ 1,18 × 2n/2 2n/2 k ≈ 0,83 × 2n/2 2n/2

Т‡блиц‡ 11.4 иллюстиует, что поfl‰ок или сложность ‡т‡ки ‰лfl ‡т‡ки коллизии fl‚лflетсfl н‡мно„о меньшим, чем ‰лfl пооб‡з‡ или ‡т‡к ‚тоо„о пооб‡з‡. Если ‡л„оитм хэш‡ fl‚лflетсfl стойким к ‡т‡к‡м коллизии, мы можем не ‚олнтьсfl о безоп‡сности ‡т‡к пооб‡з‡ и ‡т‡к ‚тоо„о пооб‡з‡. Пиме 11.8 Пе‚он‡ч‡льно хэш-функции с ‰‡й‰жестом н‡ 64 бит‡, к‡к по뇄‡ли, были стойкими к ‡т‡к‡м коллизии. Но с у‚еличением скоости об‡ботки ‚се обн‡ужили, что эти хэш-функции больше не безоп‡сны. Е‚‡ ну扇етсfl только ‚ 264/2 = 232 испыт‡ний, чтобы н‡ч‡ть ‡т‡ку с ‚еоflтностью 1/2 или больше. Пе‰положим, что он‡ может ‚ыполнить 220 (о‰ин миллион) испыт‡ний ‚ секун‰у. Он‡ может по‚ести ‡т‡ку з‡ 232 / 2 20 = 212 секун‰ (почти ч‡с!). Пиме 11.9 MD5 (см. лекцию 12), котоый был о‰ной из ст‡н‰‡тных хэш-функций ‚ течение ‰ол„о„о ‚емени, со片ет ‰‡й‰жесты ‚ 128 бито‚. Чтобы по‚ести ‡т‡ку коллизии, поти‚ник ‰олжен по‚ести 264 (2128/2) испыт‡ний ‡л„оитм‡ коллизии. Д‡же если поти‚ник может ‚ыполнить 230 (больше чем о‰ин милли‡‰) испыт‡ний ‚ секун‰у, тебуетсfl 234 секун‰ы (больше чем 500 лет), чтобы по‚ести ‡т‡ку. Этот тип ‡т‡ки б‡зиуетсfl н‡ случ‡йной мо‰ели Oracle. Было ‰ок‡з‡но, что MD5 может быть ‡т‡кн з‡ менее чем 264 испыт‡ний — из-з‡ стуктуы ‡л„оитм‡. Пиме 11.10 SHA-1 (см. лекцию 12), ст‡н‰‡тн‡fl хэш-функциfl, ‡з‡бот‡нн‡fl NIST, со片ет ‰‡й‰жесты ‚ 160 бито‚. Чтобы по‚ести ‡т‡ку коллизии, поти‚ник ‰олжен исполнить 2160/2 = 280 испыт‡ниfl ‚ ‡л„оитме коллизии. Д‡же если поти‚ник может ‚ыполнить 230 (больше чем о‰ин милли‡‰) испыт‡ний ‚ секун‰у, тебуетсfl 250 секун‰ (больше чем ‰есflть тысflч лет), чтобы н‡ч‡ть ‡т‡ку. О‰н‡ко иссле‰о‚‡тели обн‡ужили некотоые особенности функции, котоые поз‚олflют по‚ести ‡т‡ку н‡ эту хэш-функцию з‡ меньшее ‚емfl, чем ‚ычисленное ‚ыше. Пиме 11.11 Нfl хэш-функциfl, кото‡fl, ‚еоflтно, ст‡нет NIST-ст‡н‰‡том, — SHA512 (см. лекцию 12) имеет ‰‡й‰жест н‡ 512 бито‚. Эт‡ функциfl fl‚но стойк‡fl к ‡т‡379

Кус

Кипто„‡фиfl и безоп‡сность сетей

к‡м коллизии, осннным н‡ случ‡йной мо‰ели Oracle. Тебуетсfl от 2512/2 ‰о 2256 испыт‡ний, чтобы н‡йти коллизию с ‚еоflтностью 1/2.

Ат‡ки стуктуы Все обсуж‰ениfl, с‚flз‡нные с ‡т‡к‡ми хэш-функций, б‡зились н‡ и‰е‡льной кипто„‡фической хэш-функции, кото‡fl похож‡ н‡ Oracle. Хотfl этот тип ‡н‡лиз‡ обеспеч肇ет систем‡тическую оценку ‡л„оитмо‚, п‡ктически хэш-функции мо„ут иметь некотоые ‚нутенние стуктуы, котоые мо„ут с‰ел‡ть их н‡мно„о сл‡бее. Не‚озможно н‡йти хэш-функцию, кото‡fl со片ет ‰‡й‰жесты, чтобы он‡ ‰ел‡л‡ их полностью случ‡йными. Поти‚ник может иметь ‰у„ие инстумент‡льные се‰ст‚‡ ‰лfl то„о, чтобы ‡т‡кть хэш-функцию. О‰но из этих инстумент‡льных се‰ст‚, н‡пиме, ‡т‡к‡ с‚е‰ениfl к сее‰ине, кото‡fl обсу扇л‡сь ‚ лекции 6 ‰лfl ‰‚ук‡тно„о DES. Мы у‚и‰им ‚ сле‰ующих лекциflх, что некотоые хэш-‡л„оитмы п‡ютсfl этому типу ‡т‡ки. Эти типы хэш-функции ‰‡леки от и‰е‡льной мо‰ели, и нужно их изб儇ть.

11.3. Уст‡но‚ление по‰линности сообщениfl Д‡й‰жест сообщениfl „‡‡нтиует целостность сообщениfl — то есть что сообщение не было изменено. Д‡й‰жест сообщениfl, о‰н‡ко, не по‰т‚е扇ет по‰линность пе則чи сообщениfl. К‡ Алис‡ пе則ет сообщение Бобу, Боб ‰олжен зн‡ть, что это сообщение точно пибыло от Алисы. Длfl то„о, чтобы обеспечить уст‡но‚ление по‰линности сообщениfl, Алис‡ ‰олжн‡ пе‰ост‡‚ить ‰ок‡з‡тельст‚о, что это сообщение посл‡л‡ именно он‡, ‡ не с‡мо炇нец. Д‡й‰жест сообщениfl не может обеспечить т‡кое ‰ок‡з‡тельст‚о. Д‡й‰жест, со片нный кипто„‡фической хэш-функцией, обычно н‡зы‚‡етсfl ко‰ом обн‡ужениfl мо‰ифик‡ции (Modification Detection Code — MDC), — ко‰ может обн‡ужить любое изменение ‚ сообщении. Коме это„о, мы ну扇емсfl ‚ ‡утентифик‡ции сообщениfl (уст‡но‚ление по‰линности поисхож‰ениfl ‰‡нных) — ‚ ко‰е уст‡но‚лениfl по‰линности сообщениfl (Message Authentication Code — MAC).

Ко‰ обн‡ужениfl мо‰ифик‡ции Ко‰ обн‡ужениfl мо‰ифик‡ции (MDC) — ‰‡й‰жест сообщениfl, котоый может ‰ок‡з‡ть целостность сообщениfl и по‰т‚е‰ить, что сообщение не было изменено. Если Алис‡ ‰олжн‡ пе則ть сообщение Бобу и хочет быть у‚еен‡, что сообщение не бу‰ет изменено ‚о ‚емfl пе則чи, он‡ может со片ть ‰‡й‰жест, MDC-сообщение и посл‡ть сообщение и MDC Бобу. Боб может со片ть но‚ый MDC из сообщениfl и с‡‚нить полученный MDC и но‚ый MDC. Если они о‰ин‡ко‚ые, зн‡чит, сообщение не был изменено. Рисунок 11.9 иллюстиует и‰ею. Рисунок 11.9 пок‡зы‚‡ет, что сообщение может быть пе則но чеез не퇉ежный к‡н‡л. Е‚‡ может чит‡ть или ‰‡же изменflть сообщение. MDC, о‰н‡ко, ‰олжен быть пе則н чеез безоп‡сный к‡н‡л, т‡кой к‡н‡л н‡зы‚‡ют безоп‡сный (safe), он не поз‚олflет изменений. 380

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

Рис. 11.9. Ко‰ обн‡ужениfl мо‰ифик‡ции Если сообщение и MDC пе則ютсfl чеез не퇉ежный к‡н‡л, Е‚‡ может пеех‚‡тить сообщение, изменить е„о, со片ть но‚ый MDC из сообщениfl и пе則ть их Бобу. Боб ник‡ не узн‡ет, что сообщение пишло от Е‚ы. Об‡тите ‚ним‡ние, что темин безоп‡сный может озн‡ч‡ть, что мы имеем ‰ело с п‡тнеом, котоому ‰о‚еflем. Темин к‡н‡л может озн‡ч‡ть н‡личие ‚еменно„о помежутк‡ меж‰у пе則чей и пиемом. Н‡пиме, если Алис‡ со片ет MDC с‚ое„о 燂ещ‡ниfl и пе則ет е„о нот‡иусу, котоый сох‡нflет блокинное сообщение ‰о ее смети, — он‡ использо‚‡л‡ безоп‡сный к‡н‡л. Алис‡ пишет с‚ое 燂ещ‡ние и объfl‚лflет это публично (не퇉ежный к‡н‡л). Алис‡ ‰ел‡ет MDC из сообщениfl и пе則ет е„о нот‡иусу, котоый сох‡нflет е„о ‰о ее смети (безоп‡сный к‡н‡л). Хотfl Е‚‡ может изменить со‰еж‡ние 燂ещ‡ниfl, по‚еенный может со片ть MDC 燂ещ‡ниfl и ‰ок‡з‡ть, что ‚есиfl Е‚ы — пелк‡. Если хэш-функциfl кипто„‡фии используетсfl ‰лfl со片ниfl MDC, опис‡нные ‚ н‡ч‡ле этой лекции ти с‚ойст‚‡ Е‚ой бу‰ут потеflны.

Ко‰ уст‡но‚лениfl по‰линности сообщениfl (Message Authentication Code — MAC) Чтобы „‡‡нтить целостность сообщениfl, по‰линность пе‚он‡ч‡льно„о сообщениfl и то, что со片тель сообщениfl — Алис‡, ‡ не кто-то ‰у„ой, мы ‰олжны изменить ко‰ обн‡ужениfl мо‰ифик‡ции (MDC) н‡ ко‰ уст‡но‚лениfl по‰линности сообщениfl (Message Authentication Code — MAC). Отличие меж‰у MDC и MAC ‚ том, что ‚тоой ‚ключ‡ет секетность меж‰у Алисой и Бобом, н‡пиме секетный ключ, котоым Е‚‡ не об뇉‡ет. Рисунок 11.10 иллюстиует и‰ею. Алис‡ использует хэш-функцию, чтобы со片ть MAC по объе‰инению (конк‡тен‡ции) ключ‡ и сообщениfl — h (K|M). Он‡ пе則ет сообщение и MAC Бобу по не퇉ежному к‡н‡лу. Боб от‰елflет сообщение от MAC и з‡тем ‰ел‡ет но‚ый MAC из объе‰инениfl сообщениfl и ключ‡ з‡секеч肇ниfl. З‡тем Боб с‡‚н肇ет 381

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 11.10. Ко‰ уст‡но‚лениfl по‰линности сообщениfl н則‚но со片нный MAC с полученным. Если об‡ эти MAC со‚‡ют, то сообщение по‰линное и не было изменено поти‚ником. Об‡тите ‚ним‡ние, что ‚ этом случ‡е нет необхо‰имости использть ‰‚‡ к‡н‡л‡. И сообщение, и MAC можно пе則ть по о‰ному, хотfl бы и с‡мому не퇉ежному к‡н‡лу. Е‚‡ может ‚и‰еть сообщение, но он‡ не может со片ть но‚ое сообщение, чтобы пел‡ть исхо‰ное, потому что Е‚‡ не об뇉‡ет ключом з‡секеч肇ниfl меж‰у Алисой и Бобом. Он‡ неспособн‡ со片ть т‡кой же MAC, к‡к это с‰ел‡л‡ Алис‡. MAC, котоый мы опис‡ли, упомин‡етсfl к‡к пефикс MAC, потому что ключ з‡секеч肇ниfl ‰оᇂлен ‚ конец к н‡ч‡лу сообщениfl. Мы можем иметь MAC с пефиксом ‚ конце, — ключ ‰оᇂлен ‚ конец после конц‡ сообщениfl. Мы можем комбинить мест‡ пефикс‡ и MAC, с тем же с‡мым ключом или ‰‚умfl ‡зличными ключ‡ми. О‰н‡ко MAC ‚ конце сообщениfl не퇉ежны. Безоп‡сность MAC Пе‰положим, что Е‚‡ пеех‚‡тил‡ сообщение М и ‰‡й‰жест h (K|M). К‡к Е‚‡ может пел‡ть сообщение, не зн‡fl ключ‡ з‡секеч肇ниfl? Есть ти ‚озможных случ‡fl. 1. Если ‡зме ключ‡ поз‚олflет полный пеебо, Е‚‡ может пееб‡ть ‚се ‚озможные ключи ‚ н‡ч‡ле сообщениfl и с‰ел‡ть ‰‡й‰жест (K|M), чтобы н‡йти, что этот ‰‡й‰жест ‡‚нflетсfl пеех‚‡ченному. Он‡ уже зн‡ет ключ и может успешно з‡менить сообщение пел‡нным сообщением по с‚оему ‚ыбоу. 2. Р‡зме ключ‡ ‚ MAC fl‚лflетсfl обычно очень большим, но Е‚‡ может использть ‰у„ой инстумент — ‡т‡ку пооб‡з‡, ‡ссмотенную ‚ ‡л„оитме 11.1. Он‡ использует ‡л„оитм, пок‡ не н‡хо‰ит X, т‡кой, что h (X) ‡‚ен MAC, котоый он‡ пеех‚‡тил‡. Тепеь он‡ может н‡йти ключ и успешно з‡менить сообщение пел‡нным. Поскольку ‡зме ключ‡ обычно очень большой, ‰лfl полно„о пеебо‡ Е‚‡ может только ‡т‡кть MAC, котоый пименflет ‡л„оитм пооб‡з‡. 382

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

3. Получ‡fl некотоые п‡ы сообщений и их MAC, Е‚‡ может уп‡‚лflть ими, чтобы пи‰ум‡ть но‚ое сообщение и е„о MAC. Безоп‡сность MAC 燂исит от безоп‡сности осно‚но„о хэш-‡л„оитм‡. Вложенный MAC Чтобы улучшить безоп‡сность MAC, был ‡з‡бот‡н ‚ложенный MAC (nested MAC), ‚ котоом хэшиние ‰ел‡етсfl ‚ ‰‚‡ ш‡„‡. Н‡ пе‚ом ш‡„е ключ конк‡тениуетсfl (после‰о‚‡тельно объе‰инflетсfl) с сообщением и хэшиуетсfl, чтобы со片ть помежуточный ‰‡й‰жест. Н‡ ‚тоом ш‡„е ключ конк‡тениуетсfl с помежуточным ‰‡й‰жестом, чтобы со片ть конечный ‰‡й‰жест. Рисунок 11.11 иллюстиует общую и‰ею.

Рис. 11.11. Вложенный MAC Ко‰ ‡утентифик‡ции сообщениfl, осннный н‡ хэшинии (HMAC) Н‡цион‡льный институт ст‡н‰‡то‚ США (NIST) ‡з‡бот‡л ст‡н‰‡т (FIPS 198) ‰лfl ‚ложенно„о MAC, котоый ч‡сто н‡зы‚‡ют HMAC (HASH-BASED MESSAGE AUTHENTICATION CODE) (е„о 퇉о отлич‡ть от CMAC, котоый бу‰ет ‡ссмотен ‚ сле‰ующем ‡з‰еле). Ре‡лиз‡циfl HMAC н‡мно„о более сложн‡, чем упощенный ‚ложенный MAC, пок‡з‡нный н‡ ис. 11.11. Есть ‰ополнительные особенности, т‡кие к‡к з‡полнение. Рисунок 11.12 пок‡зы‚‡ет ‰ет‡ли. Пи е‡лиз‡ции HMAC мы похо‰им сле‰ующие ш‡„и: 1. Сообщение ‡з‰елflетсfl н‡ N блоко‚, к‡ж‰ый по b бито‚. 2. Ключ з‡секеч肇ниfl ‰ополнflетсfl сл傇 нулflми, чтобы со片ть ключ ‰линой b бит. Об‡тите ‚ним‡ние: екомен‰уетсfl, чтобы ключ з‡секеч肇ниfl, пеж‰е чем он бу‰ет ‰ополнен, был ‰линою более чем n бит, „‰е n — ‡зме HMAC. 3. Результ‡т ш‡„‡ 2 ск뇉ы‚‡ют по мо‰улю ‰‚‡ с конст‡нтой, н‡зы‚‡емой ipad (‚хо‰ной блокнот), чтобы со片ть блок b бит. Зн‡чение ipad — b/8 — состоит из по‚тоflемой после‰о‚‡тельности 00110110 (36 ‚ шест퇉ц‡теичном исчислении). 383

Кус

Кипто„‡фиfl и безоп‡сность сетей

4. Блок езульт‡т‡ писое‰иним спее‰и к сообщению из N-блоко‚. В езульт‡те получим N + 1 блоко‚. 5. Результ‡т ш‡„‡ 4 хэшиуетсfl, чтобы со片ть ‰‡й‰жест ‰линою n-бито‚. Мы н‡зы‚‡ем этот ‰‡й‰жест помежуточным HMAC.

Рис. 11.12. Дет‡ли HMAC 6. Помежуточный n-бито‚ый HMAC ‰ополнflют сл傇 нулflми, чтобы со片ть b-бито‚ый блок. 7. Ш‡„и 2 и 3 по‚тоflютсfl с ‰у„ой конст‡нтой opad (‚ыхо‰ной блокнот). Зн‡чение opad — b/8 — состоит из по‚тоflемой после‰о‚‡тельности 01011100 (5C ‚ шест퇉ц‡теичном исчислении). 8. Блок езульт‡т‡ ш‡„‡ 7 писое‰иним спее‰и к блоку ш‡„‡ 6. 9. Результ‡т ш‡„‡ 8 хэшиуетсfl, тем же с‡мым ‡л„оитмом хэшиниfl, что и ‚ п. 4, чтобы со片ть конечный n-‡зfl‰ный HMAC. 384

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

CMAC Н‡цион‡льный институт ст‡н‰‡то‚ и техноло„ии США (NIST) ‡з‡бот‡л ст‡н‰‡т (FIPS113), н‡з‚‡нный Ал„оитмом уст‡но‚лениfl по‰линности ‰‡нных или ко‰ом ‡утентифик‡ции сообщениfl, осннный н‡ шифнии б‡зо‚о„о сообщениfl — CMAC (Сipher based Message, Authentication Code) или CBCMAC. Мето‰ по‰обен ежиму сцеплениfl блоко‚ шифнно„о текст‡ (CBC – Cipher Block Chaining), ‡ссмотенному ‚ лекции 8 ‰лfl шифниfl симметичными ключ‡ми. Рисунок 11.13 иллюстиует и‰ею.

Рис. 11.13. CMAC О‰н‡ко смысл з‰есь состоит не ‚ том, чтобы со片‚‡ть N блоко‚ з‡шифнно„о текст‡ из N блоко‚ исхо‰но„о текст‡. И‰еfl ‚ том, чтобы со片ть о‰ин блок MAC из N блоко‚ исхо‰но„о текст‡, используfl N ‡з шифние с симметичным ключом. Сообщение ‡з‰елено н‡ N блоко‚, к‡ж‰ый ‰лины m бит. Р‡зме CMAC — n бит. Если после‰ний блок — не m бит, он ‰ополнflетсfl е‰иничным битом (1), сопо‚о扇емым ‰ост‡точным количест‚ом нулей (0), чтобы с‰ел‡ть е„о m-бито‚ым. Пе‚ый блок сообщениfl з‡шифн симметичным ключом, чтобы со片ть m-‡зfl‰ный блок з‡шифнных ‰‡нных. Этот блок ск뇉ы‚‡етсfl (ИСКЛЮЧАЮЩЕЕ ИЛИ) со сле‰ующим блоком, ‡ езульт‡т з‡шифо‚ы‚‡етсfl сн, чтобы со片ть но‚ый m-бито‚ый блок. Поцесс по‰олж‡етсfl, пок‡ не бу385

Кус

Кипто„‡фиfl и безоп‡сность сетей

‰ет з‡шифн после‰ний блок сообщениfl. CMAC — это n к‡йних ле‚ых бит после‰не„о блок‡. В ‰ополнение к симметическому ключу, K, CMAC т‡кже использует ‰у„ой ключ, k, котоый пименflетсfl только н‡ после‰нем ш‡„е. Этот ключ получен с помощью ‡л„оитм‡ шифниfl исхо‰но„о текст‡, ‰ополненно„о m нуле‚ыми бит‡ми, и использнием шифо-ключ‡, K. Результ‡т з‡тем умножен н‡ x, если нет ник‡ко„о ‰ополнениfl, или н‡ x2, если ‰ополнение есть. Умножение по‚о‰итсfl ‚ GF (2m) с непи‚о‰имым полиномом степени m, ‚ыб‡нным ‚ соот‚етст‚ии с используемым конкетным потоколом. Об‡тите ‚ним‡ние, что эт‡ поце‰у‡ отлич‡етсfl от CBC (см. лекцию 8), мет, котоый пименflетсfl ‰лfl получениfl конфи‰енци‡льности. В упомflнутом ‡нее мето‰е ‚ыхо‰ к‡ж‰о„о шифниfl пе則ют к‡к з‡шифнный текст и ‚ то же с‡мое ‚емfl ск뇉ы‚‡ют (ИСКЛЮЧАЮЩЕЕ ИЛИ) со сле‰ующим блоком исхо‰но„о текст‡. З‰есь же помежуточные з‡шифнные блоки не пе則ютсfl к‡к з‡шифнный текст; они только используютсfl ‰лfl сложениfl со сле‰ующим блоком.

11.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и Кни„и [Sti06], [Sta06], [Sch99], [Mao04], [KPS02], [PHS03L] и [MOV96] ‰‡ют хооший обзо кипто„‡фических хэш-функций.

С‡йты Нижесле‰ующие с‡йты со‰еж‡т больше инфом‡ции о тем‡х, ‡ссмотенных ‚ этой лекции. http://en.wikipedia.org/wiki/Preimage_attack http://en.wikipedia.org/wiki/Collision_attack#In_cryptography http://en.wikipedia.org/wiki/Pigeonhole __ principle csrc.nist.gov/ispab/2005-12/B_Burr-Dec2005-ISPAB.pdf http://en.wikipedia.org/wiki/Message_authentication_code http://en.wikipedia.org/wiki/HMAC csrc.nist.gov/pLiblicationVnps/npsl98/fips-198a.pdf http://www.faqs.org/rfcs rfc2104.html http://en.wikipedia.org/wiki/Birthday_paradox

11.5. Ито„и • Отпеч‡ток п‡льц‡ или ‰‡й‰жест сообщениfl мо„ут использтьсfl ‰лfl то„о, чтобы „‡‡нтить целостность ‰окумент‡ или сообщениfl. Чтобы „‡‡нтить целостность ‰окумент‡, необхо‰имы ‰окумент и отпеч‡ток 386

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

п‡льц‡; чтобы „‡‡нтить целостность сообщениfl, необхо‰имы сообщение и ‰‡й‰жест сообщениfl. Д‡й‰жест сообщениfl 퇉о обе儇ть от изменениfl. • Кипто„‡фическ‡fl хэш-функциfl со片ет ‰‡й‰жест сообщениfl из сообщениfl. Функциfl ‰олжн‡ соот‚етст‚ть тем китеиflм: устойчи‚ость к пооб‡зу, устойчи‚ость ко ‚тоому пооб‡зу и устойчи‚ость к коллизиflм. • Пе‚ый китеий — устойчи‚ость к пооб‡зу — озн‡ч‡ет, что ‰лfl Е‚ы ‰олжно быть чез‚ыч‡йно ту‰но со片ть любое сообщение, соот‚етст‚ующее этому ‰‡й‰жесту. Втоой китеий — устойчи‚ость ‚тоо„о пооб‡з‡ — „‡‡нтиует, что если Е‚‡ имеет сообщение и соот‚етст‚ующий ‰‡й‰жест, он‡ не сможет со片ть ‚тоое сообщение, ‰‡й‰жест котоо„о тот же с‡мый, что и у пе‚о„о. Тетий китеий — устойчи‚ость к коллизиflм — „‡‡нтиует, что Е‚‡ не может н‡йти ‰‚‡ сообщениfl, котоые хэшиуютсfl и пи‚о‰flт к о‰ному и тому же ‰‡й‰жесту. • Случ‡йн‡fl мо‰ель Oracle, кото‡fl был‡ ‚‚е‰ен‡ ‚ 1993 „. Белл‡ом и Ро‰жеем, fl‚лflетсfl и‰е‡льной м‡тем‡тической мо‰елью ‰лfl хэш-функции. • Пинцип „олубиных flщико‚ уст‡н‡‚л肇ет, что если n flщико‚ з‡нflты n +1 „олубем, то по к‡йней мее о‰ин flщик з‡нflт ‰‚умfl „олубflми. Обобщенн‡fl ‚есиfl пинцип‡ „олубиных flщико‚: если n flщики з‡нflты kn + 1 „олубем, по к‡йней мее о‰ин flщик з‡нflт k + 1 „олубем. • Поблемы четыех ‰ней ож‰ениfl используютсfl, чтобы по‡н‡лизить случ‡йную мо‰ель Oracle. Пе‚‡fl поблем‡ нужн‡, чтобы по‡н‡лизить ‡т‡ку пооб‡з‡, ‚то‡fl поблем‡ — чтобы по‡н‡лизить ‡т‡ку ‚тоо„о пооб‡з‡, ‡ тетьfl и чет‚ет‡fl поблемы н‡целены н‡ ‡т‡ку коллизии. • Ко‰ обн‡ужениfl мо‰ифик‡ции (MDC) — ‰‡й‰жест сообщениfl, котоый может ‰ок‡з‡ть целостность сообщениfl: что сообщение не было изменено. Чтобы ‰ок‡з‡ть целостность сообщениfl и уст‡но‚ить по‰линность поисхож‰ениfl ‰‡нных, мы ‰олжны з‡менить ко‰ обн‡ужениfl мо‰ифик‡ции (MDC) н‡ ко‰ уст‡но‚лениfl по‰линности сообщениfl (MAC). Р‡зличие меж‰у MDC и MAC ‚ том, что MAC ‚ключ‡ет ‚ себfl безоп‡сность пе則чи меж‰у пе則тчиком и пиемником. • Н‡цион‡льный Институт Ст‡н‰‡то‚ и Техноло„ии США (NIST) ‚ы‡бот‡л ст‡н‰‡т (FIPS 198) ‰лfl ‚ложенно„о MAC, котоый ч‡сто н‡зы‚‡етсfl ко‰ом ‡утентифик‡ции сообщениfl, осннным н‡ хэшинии — HMAC (хэшинный MAC). NIST т‡кже опе‰елил ‰у„ой ст‡н‰‡т (FIPS 113), н‡з‚‡нный CMAC, или CBCMAC.

11.6. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Пок‡жите ‡зличиfl меж‰у целостностью сообщениfl и уст‡но‚лением по‰линности сообщениfl 2. Опе‰елите пе‚ый китеий ‰лfl кипто„‡фической хэш-функции. 3. Опе‰елите ‚тоой китеий ‰лfl кипто„‡фической хэш-функции. 387

Кус

Кипто„‡фиfl и безоп‡сность сетей

4. Опе‰елите тетий китеий ‰лfl кипто„‡фической хэш-функции. 5. Опе‰елите случ‡йную мо‰ель Oracle и ‰‡йте опис‡ние ее пиложений пи ‡н‡лизе ‡т‡к хэш-функций. 6. Уст‡но‚ите пинцип „олубиных flщико‚ и опишите е„о пиложение пи ‡н‡лизе хэш-функций. 7. Опе‰елите поблемы четыех ‰ней ож‰ениfl, ‡ссмотенные ‚ этой лекции. 8. Испобуйте к‡ж‰ый мето‰ ‰нfl ож‰ениfl с о‰ной поблемой из ‡т‡к хэш-функции. 9. Пок‡жите ‡зличиfl меж‰у MDC и MAC. 10. Пок‡жите ‡зличиfl меж‰у HMAC и CMAC.

Уп‡жнениfl 1. В случ‡йной мо‰ели Oracle: почему Oracle ‰олжен ‰ел‡ть з‡пись ‰‡й‰жест‡, со片нно„о ‰лfl сообщениfl, и пис‚‡и‚‡ть тот же с‡мый ‰‡й‰жест о‰ин‡ко‚ым сообщениflм? 2. Объflснить, почему секетный/откытый ключи не мо„ут использтьсfl ‚ со片нии MAC. 3. И„ноиуfl месflц ож‰ениfl, сколько попыток ‚ се‰нем необхо‰имо, чтобы н‡йти чело‚ек‡ с т‡кой же ‰‡той ож‰ениfl, к‡к ‚‡ш‡? Пимите, что ‚се месflцы имеют 30 ‰ней. 4. И„ноиуfl месflц ож‰ениfl, сколько попыток ‚ се‰нем необхо‰имо, чтобы н‡йти ‰‚ух чело‚ек с о‰ин‡ко‚ой ‰‡той ож‰ениfl? Пимите, что ‚се месflцы имеют 30 ‰ней. 5. Сколько попыток ‚ се‰нем необхо‰имо, чтобы н‡йти чело‚ек‡ то„о же ‚оз‡ст‡, что и ‚ы, учиты‚‡fl „уппу лю‰ей, ож‰енных после 1950? 6. Сколько попыток ‚ се‰нем необхо‰имо, чтобы н‡йти ‰‚ух чело‚ек о‰но„о и то„о же ‚оз‡ст‡, если мы ищем лю‰ей, ож‰енных после 1950? 7. От‚етьте н‡ сле‰ующие ‚опосы о семье из шести чело‚ек. Пе‰положим, что их ‰ни ож‰ениfl: — о‰ноо‰но ‡спе‰елены ‚ течение ‰ней не‰ели, — ‚ течение ‰ней месflц‡, ‚ течение к‡ж‰о„о месflц‡ „, — ‚ течение 365 ‰ней „о‰‡. Пе‰положим т‡кже, что „о‰ состоит точно из 365 ‰ней и к‡ж‰ый месflц — точно из 30 ‰ней. a. К‡к ‚еоflтность, что ‰‚‡ из члено‚ семьи имеют о‰ин и тот же ‰ень ож‰ениfl? К‡к ‚еоflтность, что ни о‰ин из них не имеет со‚‡юще„о ‰нfl ож‰ениfl? b. К‡к ‚еоflтность, что ‰‚ое из члено‚ семьи ож‰ены ‚ о‰ном и том же месflце? ‚еоflтность то„о, что ни о‰ин из них не был ож‰ен ‚ о‰ном и том же месflце? c. К‡к ‚еоflтность, что кто-то из члено‚ семейст‚‡ ож‰ен ‚ пе‚ый ‰ень о‰но„о из месflце‚? d. К‡к ‚еоflтность, что у тех из члено‚ семейст‚‡ ‰ни ож‰ениfl пихо‰flтсfl н‡ о‰ин и тот же ‰ень не‰ели? 388

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

8. К‡к ‚еоflтность со‚ениfl ‰ней ож‰ениfl ‚ ‰‚ух кл‡сс‡х, о‰но„о с k сту‰ент‡ми и ‰у„о„о с l сту‰ент‡ми? 9. В кл‡ссе из 100 сту‰енто‚ к‡к ‚еоflтность, что ‰‚‡ или больше сту‰ент‡ имеют п‡спот‡ с о‰ними и теми же после‰ними четыьмfl циф‡ми? 10. Есть 100 сту‰енто‚ ‚ „уппе, и пофессо ‡зб肇ет (A, B, C, D, E) по езульт‡т‡м тест‡. Пок‡жите, что по к‡йней мее о‰н‡ „упп‡ бу‰ет со‰еж‡ть не менее 20 сту‰енто‚. 11. Тебует ли пинцип „олубиных flщико‚ случ‡йно„о ‡спе‰елениfl „олубей по flщик‡м? 12. Пе‰положим, что Е‚‡ ешил‡ н‡йти пооб‡з по ‡л„оитму 11.1. К‡кое число ‡з ‚ се‰нем Е‚‡ ‰олжн‡ по‚тоить ‡л„оитм? 13. Пе‰положим, что Е‚‡ ешил‡ н‡йти коллизию по Ал„оитму 11.3. К‡кое число ‡з, ‚ се‰нем, Е‚‡ ‰олжн‡ по‚тоить ‡л„оитм? 14. Пе‰положим, что мы имеем очень постой ‰‡й‰жест сообщениfl. Н‡ш ‰‡й‰жест сообщениfl (нее‡льный) — только о‰но число меж‰у 0 и 25. Д‡й‰жест пе‚он‡ч‡льно уст‡но‚лен н‡ 0. Кипто„‡фическ‡fl хэшфункциfl ск뇉ы‚‡ет текущее зн‡чение ‰‡й‰жест‡ со зн‡чением текуще„о сим‚ол‡ (меж‰у 0 и 25). Сложение по‚о‰итсfl по мо‰улю 26. И‰еfl пок‡з‡н‡ н‡ ис. 11.14. К‡ко‚о зн‡чение ‰‡й‰жест‡, если сообщение — «HELLO»? Почему этот ‰‡й‰жест небезоп‡сен?

Рис. 11.14 Уп‡жнение 14 15. Попобуем у‚еличить сложность пе‰ы‰уще„о уп‡жнениfl. Возьмем зн‡чение текуще„о сим‚ол‡, з‡меним е„о ‰у„им числом и з‡тем сложим с пе‰ы‰ущим зн‡чением из ‰‡й‰жест‡ по мо‰улю 100. Д‡й‰жест пе‚о-

Рис. 11.15 Уп‡жнение 15 389

Кус

Кипто„‡фиfl и безоп‡сность сетей

н‡ч‡льно уст‡н‡‚л肇етсfl н‡ 0. Рисунок 11.1 пок‡зы‚‡ет и‰ею. К‡ко‚о зн‡чение ‰‡й‰жест‡ ‰лfl сообщениfl «HELLO»? Почему этот ‰‡й‰жест — не безоп‡сный? 16. Используfl мо‰ульную ‡ифметику, н‡й‰ите ‰‡й‰жест сообщениfl. Рисунок 11.16 иллюстиует поце‰уу, кото‡fl со‰ежит сле‰ующие ш‡„и. ‡. Пусть ‰лин‡ ‰‡й‰жест‡ сообщениfl ‡‚н‡ n бит‡м. б. Выбеите ‚ к‡чест‚е мо‰улfl постое n-бито‚ое число p. ‚. Пе‰ст‡‚ьте сообщение к‡к ‰‚оичное число и ‰ополните сообщение нулflми (0), чтобы оно было к‡тно m бит‡м. „. Р‡збейте ‰ополненное сообщение н‡ N блоко‚, к‡ж‰ый по m бит. Обозн‡чим к‡ж‰ый i-тый блок Xi. ‰. Выбеите н‡ч‡льный ‰‡й‰жест N бито‚, H0. е. По‚тоите N ‡з сле‰ующие ‰ейст‚иfl: Hi = (Hi-1 + Xi)2mod p ж. Д‡й‰жест бу‰ет ‡‚ен HN. К‡кое зн‡чение бу‰ет иметь ‰‡й‰жест, если сообщение — «HELLO»? Почему этот ‰‡й‰жест не безоп‡сен?

Рис. 11.16. Уп‡жнение 16 17. Ниже описы‚‡етсfl хэш-функциfl, н‡зы‚‡ем‡fl мо‰ульной ‡ифметикой безоп‡сно„о хэшиниfl (Modular Arithmetic Secure Hash — MACH). Н‡пишите ‡л„оитм ‰лfl ‚ычислениfl ‰‡й‰жест‡ 燉‡нно„о сообщениfl. Н‡й‰ите ‰‡й‰жест собст‚енно„о сообщениfl. ‡. Пусть ‰лин‡ ‰‡й‰жест‡ сообщениfl ‡‚н‡ N бит. б. Выбеите ‰‚‡ постых числ‡, p и q. Вычислите M = pq. ‚. Пе‰ст‡‚ьте сообщение к‡к ‰‚оичное число и ‰ополните сообщение нулflми, т‡к чтобы с‰ел‡ть е„о число бито‚ к‡тным N/2. N ‚ыб‡н к‡к число, к‡тное 16, меньшее, чем число бито‚ ‚ M. „. Р‡з‰елите ‰ополненное сообщение н‡ m блоко‚, к‡ж‰ый по N/2 бито‚. Обозн‡чим к‡ж‰ый блок Xi. 390

Лекциfl 11

Целостность сообщениfl и уст‡но‚ление по‰линности сообщениfl

‰. Пиᇂьте ‰лину сообщениfl по мо‰улю N/2 к‡к ‰‚оичное число к сообщению. Это со片ст сообщение ‰линой m+1 блоко‚ по N/2 бито‚. е. Р‡сшиьте сообщение, чтобы получить m + 1 блок, к‡ж‰ый по N бито‚, к‡к пок‡з‡но ниже. Р‡з‰елите блоки X1 ‰о Xm н‡ „уппы по 4 бит‡. Вст‡‚ьте 1111 пее‰ к‡ж‰ой „уппой. Р‡з‰елите блок Xm+1 н‡ „уппы по 4 бит‡. Вст‡‚ьте 1010 пее‰ к‡ж‰ой „уппой. Н‡зо‚ем ‡сшиенные блоки Y1, Y2..., Ym+1. ж. Выбеите н‡ч‡льный ‰‡й‰жест N бито‚, H0. з. Выбеите конст‡нту K из N бито‚. и. По‚тоите m +1 ‡з сле‰ующие ‰ейст‚иfl (Ti и GI — помежуточные зн‡чениfl). Сим‚ол || обозн‡ч‡ет конк‡тен‡цию. Ti = ((Hi+1, + Yi,) || K) 257 mod M.

Gi = Hi mod 2N

Hi = Hi+1 +Gi;

к. Д‡й‰жест ‡‚ен Hm+1 . 18. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl ешениfl пе‚ой поблемы ‰нfl ож‰ениfl (‚ общей фоме). 19. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl ешениfl ‚тоой поблемы ‰нfl ож‰ениfl (‚ общей фоме). 20. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl ешениfl тетьей поблемы ‰нfl ож‰ениfl (‚ общей фоме). 21. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl ешениfl чет‚етой поблемы ‰нfl ож‰ениfl (‚ общей фоме). 22. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl HMAC. 23. Н‡пишите ‡л„оитм ‚ пс傉око‰е ‰лfl CMAC.

391

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лекциfl 12. Кипто„‡фические хэш-функции Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Изложить общие и‰еи кипто„‡фических хэш-функций. • Обсу‰ить схему Мекелfl-ć섇‰‡ (Merkle-Damgard) к‡к осно‚у ‰лfl ите‡ти‚ных хэш-функций. • Пок‡з‡ть ‡зличие меж‰у ‰‚умfl к‡те„оиflми хэш-функций: функцией сж‡тиfl, кото‡fl ‡з‡бот‡н‡ «н‡ пустом месте», и той, кото‡fl использует блочный шиф к‡к функцию сж‡тиfl. • Обсу‰ить стуктуу SHA-512 к‡к пиме кипто„‡фической хэш-функции с функцией сж‡тиfl, кото‡fl ‰ел‡ет это «н‡ пустом месте». • Обсу‰ить стуктуу Whirlpool к‡к пиме кипто„‡фической хэш-функции с блочным шифом c функцией сж‡тиfl.

12.1. В‚е‰ение Р‡ссмотенн‡fl ‚ лекции 11 кипто„‡фическ‡fl хэш-функциfl получ‡ет сообщение поиз‚ольной ‰лины и со片ет ‰‡й‰жест сообщениfl фиксинной ‰лины. Оконч‡тельн‡fl цель этой лекции состоит ‚ том, чтобы обсу‰ить ‰ет‡ли ‰‚ух н‡иболее песпекти‚ных кипто„‡фических ‡л„оитмо‚ хэшиниfl — SHA-512 и Whirlpool. О‰н‡ко мы сн‡ч‡л‡ ‰олжны обсу‰ить некотоые общие з‡кономености, ко то ые сп‡‚е‰ли‚ы ‚ отношении к лю бой кипто„‡фической хэш-функции.

Ите‡ти‚н‡fl хэш-функциfl Все кипто„‡фические хэш-функции ‰олжны со片‚‡ть ‰‡й‰жест фиксинно„о ‡зме‡ из сообщениfl пееменно„о ‡зме‡. Пименflть т‡кую функцию лучше ‚се„о, используfl ите‡цию. Вместо хэш-функции с ‚‚о‰ом пееменно„о ‡зме‡ соз‰‡н‡ и используетсfl необхо‰имое количест‚о ‡з функциfl с ‚‚о‰ом фиксинно„о ‡зме‡, н‡зы‚‡ем‡fl функцией сж‡тиfl. Он‡ сжим‡ет n-бито‚ую стоку и со片ет m-бито‚ую стоку, „‰е n обычно больше, чем m. Эт‡ схем‡ из‚естн‡ к‡к ите‡ти‚н‡fl кипто„‡фическ‡fl функциfl. Схем‡ Мекелfl-ć섇‰‡ (Merkle-Damgard) Схем‡ Мекелfl-ć섇‰‡ — ите‡ти‚н‡fl хэш-функциfl, кото‡fl fl‚лflетсfl функцией сж‡тиfl, устойчи‚ой к коллизии. Это может быть ‰ок‡з‡но, но ‰ок‡з‡тельст‚о ост‡‚лflем к‡к уп‡жнение. Схем‡ пок‡з‡н‡ н‡ ис. 12.1. Схем‡ использует сле‰ующие ш‡„и. 1. Длин‡ сообщениfl и ‰ополнение ‰оᇂлflютсfl ‚ конец сообщениfl, чтобы со片ть у‚еличенное сообщение, котоое может быть ‡‚номено ‡з‰елено н‡ n-бито‚ые блоки; з‰есь n – ‡зме блок‡, котоый бу‰ет об‡бот‡н функцией сж‡тиfl. 392

Кипто„‡фические хэш-функции

Лекциfl 12

Рис. 12.1. Схем‡ Мекелfl-ć섇‰‡ 2. Сообщение т‡ ‡ссм‡т肇ют к‡к t блоко‚, ‡зме к‡ж‰о„о состоит из n бит. Мы обозн‡чим к‡ж‰ый блок М1,..., Мt. Мы обозн‡ч‡ем ‰‡й‰жест, со片нный пи t ите‡циflх, — H1, H2,...., Ht. 3. Пее‰ ст‡том ите‡ции ‰‡й‰жест H0 уст‡н‡‚л肇етсfl н‡ фиксинное зн‡чение, обычно н‡зы‚‡емое IV (н‡ч‡льное зн‡чение или н‡ч‡льный ‚екто). 4. Функциfl сж‡тиfl пи к‡ж‰ой ите‡ции об‡б‡ты‚‡ет Hi-1 и М., со片‚‡fl но‚ый Hi. Ду„ими слми, мы имеем Hi = .f (Hi-1, Мi), „‰е f — функциfl сж‡тиfl. 5. Ht — функциfl кипто„‡фическо„о хэшиниfl пе‚он‡ч‡льно„о сообщениfl, то есть h(M). Если функциfl сж‡тиfl ‚ схеме Мекелfl-ć섇‰‡ устойч肇 к коллизии, хэш-функциfl т‡кже устойч肇 к коллизии.

Д‚е „уппы функций сж‡тиfl Схем‡ Мекелfl-ć섇‰‡ се„о‰нfl — осно‚‡н ‰лfl мно„их функций кипто„‡фическо„о хэшиниfl. Е‰инст‚енн‡fl ‚ещь, котоую мы ‰олжны с‰ел‡ть, – ‡з‡бот‡ть функцию сж‡тиfl, кото‡fl fl‚лflетсfl устойчи‚ой к коллизиflм, и ‚ст‡‚ить ее ‚ схему Мекелfl-ć섇‰‡. Есть тен‰енциfl использть ‰‚‡ ‡зличных по‰х ‚ ‡з‡ботке хэш-функции. В пе‚ом по‰хо‰е функциfl сж‡тиfl с‰ел‡н‡ «н‡ пустом месте»: он‡ ‡з‡бот‡н‡ только ‰лfl этой цели. Во ‚тоом по‰хо‰е блочный шиф с симметичными ключ‡ми служит функцией сж‡тиfl. Хэш-функции, с‰ел‡нные «н‡ пустом месте» Множест‚о функций кипто„‡фическо„о хэшиниfl использует функции сж‡тиfl, котоые с‰ел‡ны «н‡ пустом месте». Эти функции сж‡тиfl специ‡льно со片ны ‰лfl целей, котоым они служ‡т. Д‡й‰жест сообщениfl (MD) Несколько ‡л„оитмо‚ хэшиниfl были ‡з‡бот‡ны Роном Ри‚естом. Они из‚естны ‚ лите‡туе к‡к MD2, MD4 и MD5, „‰е MD обозн‡ч‡ет Д‡й‰жест Сообщениfl. После‰нflfl ‚есиfl, MD5, fl‚лflетсfl усилен393

Кус

Кипто„‡фиfl и безоп‡сность сетей

ной ‚есией MD4, кото‡fl ‰елит сообщение н‡ блоки по 512 бито‚ и со片ет ‰‡й‰жест н‡ 128 бито‚. Ок‡з‡лось, что ‰‡й‰жест сообщениfl ‡змеом 128 бито‚ — слишком м‡ленький, чтобы быть устойчи‚ым к ‡т‡ке коллизии. Ал„оитм безоп‡сно„о хэшиниfl (SHA — Secure Hash Algorithm) Ал„оитм безоп‡сно„о хэшиниfl (SHA) — ст‡н‰‡т, котоый был ‡з‡бот‡н н‡цион‡льным Институтом Ст‡н‰‡то‚ и Техноло„ии (NIST — National Institute of Standards and Technology) и и片н к‡к Фе‰е‡льный Ст‡н‰‡т Об‡ботки Инфом‡ции (FIP 180). Он упомин‡етсfl ‚ лите‡туе к‡к Ст‡н‰‡т Безоп‡сно„о хэшиниfl (SHS — Secure Hash Standard). Ст‡н‰‡т „뇂ным об‡зом б‡зиуетсfl н‡ MD5. В 1995 „. он был пеесмотен по‰ н‡з‚‡нием FIP 180-1, котоый ‚ключ‡ет SHA-1. Позже он сн был пеесмотен по‰ н‡з‚‡нием FIP 180-2, котоый опе‰елflет четые но‚ых ‚есии: SHA-224, SHA-256, SHA-384 и SHA-512. Т‡блиц‡ 12.1 ‰‡ет список некотоых из х‡‡ктеистик этих ‚есий. Т‡блиц‡ 12.1. Х‡‡ктеистики ‡л„оитмо‚ безоп‡сно„о хэшиниfl (SHAs) Х‡‡ктеистики М‡ксим‡льный ‡зме сообщениfl Р‡зме блок‡ Р‡зме ‰‡й‰жест‡ сообщениfl Число ‡ун‰о‚ Р‡зме сл

SHA-1 SHA-224 SHA-256 SHA-384 SHA-512 264 – 1 512 160 80 32

264 – 1 512 224 64 32

264 – 1 512 256 64 32

2128 – 1 1024 384 80 64

2128 – 1 1024 512 80 64

Все эти ‚есии имеют о‰ну и ту же стуктуу. SHA-512 бу‰ет ‡ссмотен по‰обно позже ‚ этой лекции. Ду„ие Ал„оитмы сох‡нениfl целостности (RIPMD - RACE1 Integrity Primitives Evaluation Message Digest). Гупп‡ ‡л„оитмо‚ кипто„‡фическо„о хэшиниfl (RIPMD) имеет несколько ‚есий. RIPEMD-160 — ‡л„оитм хэшиниfl с ‰‡й‰жестом сообщениfl н‡ 160 бито‚. RIPEMD-160 использует ту же стуктуу, что и MD5, но пименflет ‰‚‡ ‚‡и‡нт‡ ‚ыполнениfl. HAVAL — ‡л„оитм хэшиниfl пееменной ‰лины с ‰‡й‰жестом сообщениfl ‡зме‡ 128, 160, 192, 224 и 256. Р‡зме блок‡ — 1024 бит‡. Хэш-функции, осннные н‡ блочных шиф‡х Ите‡ти‚н‡fl функциfl кипто„‡фическо„о хэшиниfl может использть блочный шиф с симметичными ключ‡ми к‡к функцию сж‡тиfl. Осно‚н‡fl и‰еfl т‡ко„о по‰х: есть несколько безоп‡сных блочных шифо‚ с симметичными ключ‡ми, т‡ких, к‡к техк‡тный DES или AES, котоые мо„ут пименflтьсfl ‰лfl со片ниfl о‰ностоонней функции ‚место то„о, чтобы со片‚‡ть но‚ую функцию сж‡тиfl. Блочный шиф ‚ этом случ‡е только ‚ыполнflет шифниfl. Были пе‰ложены несколько схем. Позже мы ‡ссмотим о‰ну из н‡иболее песпекти‚ных — Whirlpool. 1

RACE –Research and development for Advanced Communication in Europe — Е‚опейск‡fl по„‡мм‡ иссле‰о‚‡ний и ‡з‡боток ‚ обл‡сти пее‰о‚ых техноло„ий с‚flзи (иссле‰о‚‡тельск‡fl по„‡мм‡ Е‚опейско„о союз‡) 394

Кипто„‡фические хэш-функции

Лекциfl 12

Схем‡ Р‡бин‡. Ите‡ти‚н‡fl хэш-функциfl, пе‰ложенн‡fl Р‡биным, очень пост‡. Схем‡ Р‡бин‡ б‡зиуетсfl н‡ схеме Мекелfl-ć섇‰‡. Функциfl сж‡тиfl з‡менflетсfl любым ‡л„оитмом шифниfl. Блок сообщениfl используетсfl к‡к ключ; п剂‡ительно со片нный ‰‡й‰жест используетсfl к‡к исхо‰ный текст. З‡шифнный текст — но‚ый ‰‡й‰жест сообщениfl. Об‡тите ‚ним‡ние, что ‡зме ‰‡й‰жест‡ — это ‡зме блочно„о шиф‡ ‰‡нных ‚ осно‚ной кипто„‡фической системе. Н‡пиме, если DES используетсfl к‡к блочный шиф, ‡зме ‰‡й‰жест‡ — только 64 бит‡. Хотfl схем‡ очень пост‡, он‡ может быть ‡скыт‡ с помощью ‡т‡ки «с‚е‰ениfl к сее‰ине», ‡ссмотенной ‚ лекции 6, поскольку поти‚ник может пименить ‡л„оитм ‰ешифниfl кипто„‡фической системы. Рисунок 12.2 пок‡зы‚‡ет схему Р‡бин‡.

Рис. 12.2. Схем‡ Р‡бин‡ Схем‡ Де‚ис‡-Мейе‡ (Davies-Mayer). В осно‚ном он‡ по‚тоflет схему Р‡бин‡, з‡ исключением то„о, что пименflет пflмую с‚flзь ‰лfl з‡щиты от ‡т‡ки «с‚е‰ениfl ‚ сее‰ину».

Рис. 12.3. Схем‡ Де‚ис‡-Мейе‡ Схем‡ М‡тис‡-Мейе‡-Осе‡с‡ (Metyas-Mayer-Oseas). Это ‚есиfl схемы Де‚ис‡-Мейе‡: блоки сообщениfl пименflютсfl к‡к ключи киптосистемы. Схем‡ может быть использн‡, если блоки ‰‡нных и ключ шифниfl имеют о‰ин и тот же ‡зме. Н‡пиме, AES хоошо по‰хо‰ит ‰лfl этой цели. Схем‡ М臄учи-Пенелfl — ‡сшиенн‡fl ‚есиfl схемы М‡тис‡-Мейе‡Осе‡с‡. Чтобы с‰ел‡ть ‡л„оитм более устойчи‚ым к ‡т‡ке, исхо‰ный текст, ключ шиф‡ и з‡шифнный текст ск뇉ы‚‡ютсfl с помощью ИСКЛЮЧАЮЩЕГО 395

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 12.4. Схем‡ М‡тис‡-Мейе‡-Осе‡с‡ ИЛИ и со片ют но‚ый ‰‡й‰жест. Эт‡ схем‡ используетсfl ‚ Whirlpool ‰лfl со片ниfl хэш-функции. Н‡ исунке 12.5 пок‡з‡н‡ схем‡ М臄учи-Пенелfl.

Рис. 12.5. Схем‡ М臄учи-Пенелfl

12.2. SHA-512 Весиfl SHA (Secure Hash Algorithm) — ‡л„оитм безоп‡сно„о хэшиниfl с 512-бито‚ым ‰‡й‰жестом сообщениfl. Эт‡ ‚есиfl похож‡ н‡ ‰у„ие ‡л„оитмы это„о семейст‚‡, котоые оснны н‡ схеме Мекелfl–ć섇‰‡. Мы ‚ыб‡ли ‰лfl ‡ссмотениfl особую ‚есию. Он‡ с‡м‡fl поз‰нflfl, об뇉‡ет более полной стуктуой, чем ‰у„ие, и н‡иболее ‰линным ‰‡й‰жестом сообщениfl. Если понflть эту ‚есию, нету‰но бу‰ет ус‚оить стуктуу ‰у„их ‚есий.

В‚е‰ение SHA-512 со片ет ‰‡й‰жест из сообщениfl, со‰еж‡ще„о мно„о блоко‚. К‡ж‰ый блок имеет ‰лину 1024 бит‡, к‡к это пок‡з‡но н‡ ис. 12.6. Д‡й‰жест ‚н‡ч‡ле уст‡н‡‚л肇етсfl н‡ опе‰еленное з‡‡нее зн‡чение 512 бито‚. Ал„оитм смеш肇ет это н‡ч‡льное зн‡чение с пе‚ым блоком сообщениfl, чтобы со片ть пе‚ый помежуточный ‰‡й‰жест сообщениfl 512 бито‚. Этот ‰‡й‰жест з‡тем смеш肇етсfl со ‚тоым блоком, чтобы со片ть ‚тоой помежуточный ‰‡й‰жест. Н‡конец, (N – l)-ый ‰‡й‰жест смеш肇етсfl с N-ым блоком — они со片ют N-ый ‰‡й‰жест. К‡ после‰ний блок об‡бот‡н, езультиующий ‰‡й‰жест – это ‰‡й‰жест полно„о сообщениfl. 396

Кипто„‡фические хэш-функции

Лекциfl 12

Рис. 12.6. Со片ние ‰‡й‰жест‡ сообщениfl SHA-512 Пото‚к‡ сообщениfl SHA-512 тебует, чтобы ‰лин‡ пе‚он‡ч‡льно„о сообщениfl был‡ меньше, чем 2128 бито‚. Если ‰лин‡ сообщениfl ‡‚н‡ или больше, чем 2128, оно не бу‰ет об‡бот‡но SHA-512. Это обычно не поблем‡, потому что 2128 бито‚ пе‚осхо‰flт любую ‚озможную се„о‰нfl полную емкость х‡нениfl любой системы. SHA-512 со片ет ‰‡й‰жест сообщениfl н‡ 512 бито‚ из сообщениfl меньше„о, чем 2128. Пиме 12.1 Этот пиме пок‡зы‚‡ет, что о„‡ничение ‰лины сообщениfl SHA-512 — не сеьезн‡fl поблем‡. Пе‰положим, что мы ‰олжны пе則ть сообщение ‰линою 2128 бит‡ ‚ секун‰у. К‡кое ‚емfl потебуетсfl ‰лfl системы коммуник‡ций со скоостью пе則чи ‰‡нных 264 бит‡ ‚ секун‰у, чтобы пе則ть это сообщение? Решение Системы коммуник‡ций, кото‡fl может пе則ть 264 бит‡ ‚ секун‰у, пок‡ еще не сущест‚ует. Д‡же если бы он‡ был‡, потеблось бы мно„о лет, чтобы пе則ть это сообщение. Отсю‰‡ flсно, что мы не ‰олжны ‚олнтьсfl по по‚о‰у о„‡ничениfl ‰лины сообщениfl ‰лfl SHA-512. Пиме 12.2 Этот пиме т‡кже к‡с‡етсfl ‰лины сообщениfl ‚ SHA-512. Сколько ст‡ниц з‡ним‡ет сообщение 2128 бит? Решение Пе‰положим, что сим‚ол имеет ‰лину 32 или 26 бит. ʇ扇fl ст‡ниц‡ — меньше, чем 2048, или пиблизительно 212, сим‚оло‚. Т‡ 2128 бито‚ тебуют по к‡йней мее 2128/218, или 2110 ст‡ниц. И сн flсно, что мы не ‰олжны ‚олнтьсfl об о„‡ничении н‡ ‰лину сообщениfl. 397

Кус

Кипто„‡фиfl и безоп‡сность сетей

Поле ‰лины и з‡полнение Пеж‰е чем ‰‡й‰жест сообщениfl может быть со片н, SHA-512 тебует сложениfl полfl ‰лины — это целое число без зн‡к‡ н‡ 128 бито‚, котоое опе‰елflет ‰лину сообщениfl ‚ бит‡х, — с сообщением. Это ‰лин‡ пе‚он‡ч‡льно„о сообщениfl пее‰ з‡полнением. Поле цело„о числ‡ без зн‡к‡ 128 бито‚ можно опе‰елить к‡к число меж‰у 0 и 2128 – 1, котоое fl‚лflетсfl м‡ксим‡льной ‰линой сообщениfl, пинflто„о ‚ SHA-512. Поле ‰лины опе‰елflет ‰лину пе‚он‡ч‡льно„о сообщениfl пее‰ е„о сложением или з‡полнением (ис. 12.7).

Рис. 12.7. З‡полнение и поле ‰лины ‚ SHA-512 Пее‰ сложением полfl ‰лины мы ‰олжны ‰ополнить пе‚он‡ч‡льное сообщение, чтобы с‰ел‡ть ‰лину к‡тной 1024. Длfl полfl ‰лины езе‚иуетсfl 128 бито‚, к‡к пок‡з‡но н‡ ис. 12.7. Длин‡ обл‡сти з‡полнениfl может быть ‡ссчит‡н‡ сле‰ующим об‡зом. Пусть |M| — ‰лин‡ пе‚он‡ч‡льно„о сообщениfl и |P| — ‰лин‡ полfl з‡полнениfl. (M + P + 128) = 0 mod 1024 → P = (–M – 128) mod 1024 Фом‡т з‡полнениfl – это о‰н‡ е‰иниц‡ (1), сопо‚о扇ем‡fl необхо‰имым числом нулей (0). Пиме 12.3 К‡кое число бито‚ з‡полнениfl необхо‰имо, если ‰лин‡ пе‚он‡ч‡льно„о сообщениfl — 2590 бито‚? Решение Мы можем ‚ычислить число бито‚ з‡полнениfl сле‰ующим об‡зом: P= (–2590 –128) mod 1024 = –2718 mod 1024 = 354 З‡полнение состоит из о‰ной е‰иницы, сопо‚о扇емой 353 нулflми. Пиме 12.4 Нужно ли з‡полнение, если ‰лин‡ пе‚он‡ч‡льно„о сообщениfl уже к‡тн‡ 1024 бит‡м? Решение Д‡, нужно, потому что мы ‰олжны ‰оᇂить поле ‰лины. З‡полнение необхо‰имо, чтобы с‰ел‡ть и но‚ый блок к‡тным 1024 бит‡м. 398

Кипто„‡фические хэш-функции

Лекциfl 12

Пиме 12.5 К‡ко‚о миним‡льное и м‡ксим‡льное число бито‚ з‡полнениfl, котоые можно ‰оᇂить к сообщению? Решение a. Миним‡льн‡fl ‰лин‡ з‡полнениfl — 0, и это случ‡етсfl, к‡ (–M – 128) mod 1024 = 0; т‡ |M| = –128 mod 1024 = 896 mod 1024 бит. Ду„ими слми, после‰ний блок ‚ пе‚он‡ч‡льном сообщении — 896 бито‚. Мы ‰оᇂлflем поле ‰лины н‡ 128 бито‚, чтобы с‰ел‡ть блок полным. b. М‡ксим‡льн‡fl ‰лин‡ з‡полнениfl — 1023, и это случ‡етсfl, к‡ (–M– 128) = 1023 mod 1024. Это озн‡ч‡ет, что ‰лин‡ пе‚он‡ч‡льно„о сообщениfl — M = (–128 – 1023) mod 1024 или M = 897 mod 1024. В этом случ‡е мы не можем посто ‰оᇂить обл‡сть ‰лины, потому что ‰лин‡ после‰не„о блок‡ бу‰ет пе‚ыш‡ть н‡ о‰ин бит число 1024. Т‡к что мы ну扇емсfl ‚ з‡полнении 127 бит‡ми, чтобы з‡кончить этот блок и со片ть ‚тоой блок з‡полнениfl 896 бито‚. Тепеь можно ‰оᇂить поле ‰лины, чтобы с‰ел‡ть этот блок полным. Сл SHA-512 опеиует слми; он — оиентиуемый н‡ сло‚о. Сло‚о опе‰елено ‰линой 64 бит‡. Это озн‡ч‡ет, что после то„о к‡к з‡полнение и поле ‰лины ‰оᇂлflютсfl к сообщению, к‡ж‰ый блок сообщениfl состоит из шест퇉ц‡ти сло‚ по 64 бит‡. Д‡й‰жест сообщениfl т‡кже об‡зуетсfl из сло‚ по 64 бит‡, но ‰‡й‰жест сообщениfl — только ‚осемь сло‚, и сл обозн‡ч‡ют A,B, C, D, E, F, G и H, к‡к пок‡з‡но н‡ ис. 12.8.

Рис. 12.8. Блок сообщениfl и ‰‡й‰жест ‚ ‚и‰е от‰ельных сло‚ SHA-512 — ‡л„оитм, оиентинный н‡ сло‚о. К‡ж‰ый блок – 16 сло‚; ‚ ‰‡й‰жесте – только 8 сло‚. Р‡сшиение сл Пее‰ об‡боткой к‡ж‰ый блок сообщениfl ‰олжен быть ‡сшиен. Блок об‡зн из 1024 бито‚, или шест퇉ц‡ти сло‚ по 64 бит‡. К‡к мы у‚и‰им позже, ‚ ф‡зе об‡ботки н‡м нужно 80 сло‚. Т‡к что блок с 16-ю слми ‰олжен быть ‡сшиен ‰о 80 сло‚ от W0 ‰о W79 . Рисунок12.9 пок‡зы‚‡ет поцесс ‡сшиениfl сл. Блок н‡ 1024 бит‡ поо扇ет пе‚ые сл; ост‡льн‡fl ч‡сть сло‚ получ‡етсfl от уже со片нных сло‚ со„л‡сно опе‡циflм, котоые пок‡з‡ны н‡ исунке. 399

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис.12.9 Р‡сшиение сл ‚ SHA-512 Пиме 12.6 Пок‡з‡ть, к‡к получить W60. Решение К‡ж‰ое сло‚о ‚ ‰и‡п‡зоне W16 ‰о W 79 получено ‚ езульт‡те об‡ботки четыех сло‚, со片нных п剂‡ительно н‡ пе‰ы‰ущих ш‡„‡х. W 60 получено к‡к W60 = W44 ⊕ RotShift 1-8-7 (W45) ⊕ W53 ⊕RotShift 19-61-6(W58) Иници‡лиз‡циfl ‰‡й‰жест‡ сообщениfl Ал„оитм использует ‚осемь конст‡нт ‰лfl иници‡лиз‡ции ‰‡й‰жест‡ сообщениfl. Мы обозн‡ч‡ем их от A0 ‰о H0, что соот‚етст‚ует обозн‡чению сло‚, используемых ‰лfl ‰‡й‰жест‡. Т‡блиц‡ 12.2 пок‡зы‚‡ет зн‡чение этих конст‡нт. Т‡блиц‡ 12.2. Зн‡чение конст‡нт пи иници‡лиз‡ции ‰‡й‰жест‡ сообщениfl SHA-512 Буфе Зн‡чение (шест퇉ц‡теичное)

Буфе

Зн‡чение (шест퇉ц‡теичное)

A0

6A09E667F3BCC908

E0

510E527FADE682D1

B0

3B67AE8584CAA73B

F0

9B05688C2B3E6C1F

C0

3C6EF372EF94F828

G0

1F83D9ABFB41BD6B

D0

A54FE53A5F1D36F1

H0

5BEOCD19137E2179

Чит‡тель может 燉‡тьсfl ‚опосом, отку‰‡ ‚зflты эти зн‡чениfl. Они ‡ссчит‡ны из пе‚ых ‚осьми постых чисел (2, 3, 5, 7, 11, 13, 17 и 19). К‡ж‰ое зн‡чение — 400

Кипто„‡фические хэш-функции

Лекциfl 12

‰обн‡fl ч‡сть ꂇ‰‡тно„о конfl соот‚етст‚ующе„о посто„о числ‡ после пеоб‡зниfl к ‰‚оичной фоме и сох‡нениfl только пе‚ых 64 бито‚. Н‡пиме, ‚осьмое постое число — 19 имеет ꂇ‰‡тный коень (191/.2) = 4,35889894354. Пеоб‡зо‚ы‚‡fl число к ‰‚оичной фоме только с 64 бит‡ми ‚ ‰обной ч‡сти, мы имеем (100.0101 1011 1110... 1001)2 → (4,5BEOCD19137E2179)16 SHA-512 сох‡нflет ‰обную ч‡сть (5BEOCD19137E2179)16 к‡к целое число без зн‡к‡.

Функциfl сж‡тиfl SHA-512 со片ет 512 бито‚ ‰‡й‰жест-сообщениfl (‚осемь сло‚ н‡ 64 бит‡) из сообщениfl, котоое состоит из множест‚‡ блоко‚, „‰е к‡ж‰ый блок со‰ежит 1024 бит‡. Об‡ботк‡ к‡ж‰о„о блок‡ ‰‡нных ‚ SHA-512 ‚ключ‡ет 80 ‡ун‰о‚. Ри-

Рис. 12.10. Функциfl сж‡тиfl ‚ SHA-512 401

Кус

Кипто„‡фиfl и безоп‡сность сетей

сунок 12.10 пок‡зы‚‡ет общую схему сж‡тиfl функции. В к‡ж‰ом ‡ун‰е со‰еж‡ние ‚осьми пе‰ы‰ущих буфео‚ — это о‰но сло‚о из ‡сшиенно„о блок‡ (Wi), и о‰н‡ конст‡нт‡ н‡ 64 бит‡ (Ki), смеш‡нные ‚месте. Они об‡бот‡ны з‡тем, чтобы со片ть но‚ое множест‚о из ‚осьми буфео‚. В н‡ч‡ле об‡ботки зн‡чениfl ‚осьми буфео‚ сох‡нены к‡к ‚осемь ‚еменных пееменных. В конце об‡ботки (после то„о к‡к с‰ел‡н ш‡„ 79) эти зн‡чениfl ‰оᇂлflютсfl к зн‡чениflм, со片нным н‡ ш‡„е 79. Мы ‚ызы‚‡ем эту после‰нюю опе‡цию фин‡льным сложением, к‡к это пок‡з‡но н‡ исунке 12.10. Стукту‡ к‡ж‰о„о ‡у퉇 В к‡ж‰ом ‡ун‰е со片ютсfl ‚осемь но‚ых, по с‡‚нению с пе‰ы‰ущим ‡ун‰ом, зн‡чений буфео‚ по 64 бит‡. Н‡ ис. 12.11 мы ‚и‰им, что шесть буфео‚ — точные копии пе‰ы‰уще„о ‡у퉇, к‡к это пок‡з‡но ниже: A→B

B→C

C→D

E→F

F→G

G→H

Д‚‡ но‚ых буфе‡, A и E, получ‡ют соот‚етст‚ующие зн‡чениfl от некотоых сложных функций, котоые ‚ключ‡ют ‚ себfl некотоые зн‡чениfl пе‰ы‰ущих буфео‚, соот‚етст‚ующее сло‚о ‰лfl это„о ‡у퉇 (Wi) и конст‡нту ‰лfl это„о ‡у퉇 (Ki). Рисунок 12.11 пок‡зы‚‡ет стуктуу к‡ж‰о„о ‡у퉇. З‰есь есть ‰‚‡ смесителfl, ти функции и несколько опе‡тоо‚. К‡ж‰ый смеситель об‡б‡ты‚‡ет ‰‚е функции. Опис‡ние функций и опе‡тоо‚ пи‚е‰ено ниже. 1. То, что мы н‡зы‚‡ем м‡жоит‡ной функцией, fl‚лflетсfl по‡зfl‰ной функцией. Он‡ использует ти соот‚етст‚ующих бит‡ ‚ тех буфе‡х (A, B и C) и ‚ычислflет (Aj AND Bj) ⊕ (Bj AND Cj) ⊕ (Cj AND Aj) Результ‡т — это зн‡чение, котоое имеет большинст‚о из тех бит. Если ‰‚‡ или ти бит‡ ‡‚ны е‰инице (1) , то езульт‡т имеет зн‡чение бит 1; ин‡че он ‡‚ен 0. Функциfl, котоую мы н‡зы‚‡ем усло‚ной функцией (Conditional) — т‡кже по‡зfl‰н‡fl функциfl. Он‡ использует ти бит‡, котоые со‰еж‡тсfl ‚ тех буфе‡х (E, F и G), и ‚ычислflет (Ej AND Fj) ⊕ (NOT Ej AND Gj) Результ‡т по‰чинflетсfl ло„ике «Если E, то F; ин‡че G». 3. Функциfl «циклическое пеемещение» (Rotate) об‡б‡ты‚‡ет ти зн‡чениfl о‰но„о и то„о же буфе‡ (A или E) и пименflет опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ с езульт‡том м‡жоит‡ной функции. Rotate (A): RotR28 (A) ⊕ RotR34 (A) ⊕ RotR29(A) Rotate (E): RotR28 (A) ⊕ RotR34 (E) ⊕ RotR29(E)

402

Кипто„‡фические хэш-функции

Лекциfl 12

Рис. 12.11. Стукту‡ к‡ж‰о„о ‡у퉇 SHA-512 4. Функциfl «циклическое пеемещение ‚п‡‚о» (RotRi (x)) — т‡ же с‡м‡fl, котоую мы использли ‚ поцессе ‡сшиениfl сл. 5. Опе‡то сложениfl, пименflемый ‚ поцессе, – сложение по мо‰улю 264. Он озн‡ч‡ет езульт‡т сложениfl ‰‚ух или больше буфео‚, со‰еж‡щих ‚с儉‡ сло‚о н‡ 64 бит‡. 6. Есть 80 конст‡нт, K0 к K79, к‡ж‰‡fl по 64 бит‡, к‡к пок‡з‡но ‚ т‡блице 12.3 ‚ шест퇉ц‡теичной фоме (четые ‚ к‡ж‰ой стоке т‡блицы). Ан‡ло403

Кус

Кипто„‡фиfl и безоп‡сность сетей

„ично н‡ч‡льным зн‡чениflм ‰лfl ‚осьми буфео‚, эти зн‡чениfl ‚ычислены из пе‚ых 80 постых чисел (2, 3…, 409).

Т‡блиц‡ 12.3. Восемь‰есflт конст‡нт, используемых ‰лfl ‚осьми‰есflти ‡ун‰о‚ ‚ SHA-512 К‡ж‰ое зн‡чение — ‰обн‡fl ч‡сть кубическо„о конfl из соот‚етст‚ующе„о посто„о числ‡ после пеоб‡зниfl это„о числ‡ к ‰‚оичной фоме, сох‡нflютсfl только пе‚ые 64 бит‡. Н‡пиме, 80-е постое число – (409). Кубический коень (409) 1/3 = 7,42291412044. Пеоб‡зо‚ы‚‡fl это число к ‰‚оичному ‚и‰у только с 64 бит‡ми ‚ ‰обной ч‡сти, мы получ‡ем (111,0110 1100 0100 0100...0111) 2 → (7,6C44198C4A475817). SHA-512 сох‡нflет ‰обную ч‡сть, (6C44198C4A475817)16, к‡к целое число без зн‡к‡. Пиме 12.7 Мы пименflем м‡жоит‡ную функцию к зн‡чениflм буфео‚ A, B и C. Если к‡йние ле‚ые шест퇉ц‡теичные цифы этих буфео‚ — 0x7, 0xA и 0xE соот‚етст‚енно, то к‡к‡fl циф‡ бу‰ет к‡йней ле‚ой ч‡стью езульт‡т‡? Решение Цифы ‚ ‰‚оичной фоме — 0111, 1010 и 1110. a. Пе‚ые биты — 0, 1 и 1. М‡жоит‡н‡fl функциfl ‡‚н‡ 1. Мы можем ‰ок‡з‡ть это, используfl опе‰еление м‡жоит‡ной функции: (0 AND 1) ⊕ (1 AND 1) ⊕ C (1 AND 0) = 0 ⊕ 1 ⊕ 0 = 1 404

Кипто„‡фические хэш-функции

Лекциfl 12

b. Втоые биты — 1, 0 и 1. М‡жоит‡н‡fl функциfl ‡‚н‡ 1 . c. Тетьи биты — 1,1 и 1. М‡жоит‡н‡fl функциfl ‡‚н‡ 1. d. Чет‚етые биты — 1, 0 и 0. М‡жоит‡н‡fl функциfl ‡‚н‡ 0. Результ‡т — 1110, или 0xE ‚ шест퇉ц‡теичной фоме. Пиме 12.8 Мы пименflем усло‚ную функцию (Conditional) ‰лfl буфео‚ E, F и G. Если к‡йние ле‚ые шест퇉ц‡теичные цифы этих буфео‚ — 0x9, 0xE и 0xF соот‚етст‚енно, то к‡к‡fl циф‡ бу‰ет к‡йней ле‚ой ч‡стью езульт‡т‡? Решение Цифы ‚ ‰‚оичной фоме — 1001, 1010 и 1111. a. Пе‚ые биты — 1,1 и 1. Сле‰о‚‡тельно, E1 = 1, езульт‡т – F1, котоый ‡‚ен 1. Чтобы ‰ок‡з‡ть езульт‡т, мы можем т‡кже использть опе‰еление функции УСЛОВИЕ (Condition): (1 AND 1) ⊕ (NOT 1 AND 1) = 1 ⊕ 0 = 1 b. Втоые биты — 0, 0 и 1. Сле‰о‚‡тельно, E2 — 0, езульт‡т — F3, котоый ‡‚ен 1. c. Тетьи биты – 0, 1 и 1. Сле‰о‚‡тельно, E3 — 0, езульт‡т — G3, котоый ‡‚ен 1. d. Чет‚етые биты — 1, 0 и 1. Сле‰о‚‡тельно, E4 — 1, езульт‡т — F4, котоый ‡‚ен 0. Результ‡т — 1110, или 0xE ‚ шест퇉ц‡теичной фоме.

Ан‡лиз С ‰‡й‰жестом сообщениfl 512 бито‚ от SHA-512 ож艇лось, что он бу‰ет более стойким ко ‚сем тип‡м ‡т‡к, ‚ключ‡fl ‡т‡ки коллизии. Он ‰олжен был быть лучшим поектом этой ‚есии: более эффекти‚ным и более безоп‡сным, чем пе‰ы‰ущие. О‰н‡ко необхо‰имы были сеьезные иссле‰о‚‡ниfl и испыт‡ниfl, ‰лfl то„о чтобы это по‰т‚е‰ить.

12.3. Whirlpool Whirlpool ‡з‡бот‡н Винсентом Ри‰жменом (Vincent Rijmen) и П‡уло Б‡етто (Paolo Barreto). Он о‰обен е‚опейской о„‡низ‡цией NESSIE (New European Schemes for Signature, Integrity and Encryption — Но‚ые е‚опейские схемы по‰писей, целостности и шифниfl). Whirlpool — ите‡ти‚н‡fl функциfl кипто„‡фическо„о хэшиниfl, осннн‡fl н‡ схеме М臄учи-Пенелfl, кото‡fl использует блочный шиф с симметичными ключ‡ми ‚место функции сж‡тиfl. Блочный шиф ‚ ‰‡нном случ‡е fl‚лflетсfl измененным шифом AES, котоый был писпособлен ‰лfl этой цели. Рисунок 12.12 пок‡зы‚‡ет хэш-функции Whirlpool. Пото‚к‡ 405

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 12.12. Whirlpool хэш-функциfl Пее‰ ст‡том ‡л„оитм‡ хэшиниfl сообщение ‰олжно быть „ото‚о к поцессу. Whirlpool тебует, чтобы ‰лин‡ пе‚он‡ч‡льно„о сообщениfl был‡ меньше, чем 2256 бит‡. Сообщение ‰олжно быть ‰ополнено пеж‰е, чем н‡ч‡ть об‡ботку. Дополнение со‰ежит е‰инст‚енный бит, ‡‚ный 1, ‡ з‡тем сле‰ует необхо‰имое чисел нуле‚ых бито‚, чтобы с‰ел‡ть ‰лину ‰ополнениfl нечетным числом, к‡тным 256 бит‡м. После ‰ополнениfl ‰оᇂлflетсfl блок 256 бито‚, чтобы ук‡з‡ть ‰лину пе‚он‡ч‡льно„о сообщениfl. Этот блок об‡б‡ты‚‡етсfl к‡к число без зн‡к‡. После ‰ополнениfl пе‚он‡ч‡льно„о сообщениfl и писое‰инениfl полfl ‰лины у‚еличенный ‡зме сообщениfl ст‡но‚итсfl к‡тным 256 бит‡м или к‡тным 512 бит‡м. Whirlpool со片ет ‰‡й‰жест 512 из сообщениfl, состоflще„о из мно„их блоко‚ по 512 бит. Д‡й‰жест из 512 бит, H0, н‡чин‡етсfl ‚семи нулflми. Это ст‡но‚итсfl ключом шиф‡ ‰лfl шифниfl пе‚о„о блок‡. Из з‡шифнно„о текст‡ к‡ж‰о„о з‡шифнно„о блок‡ получ‡ют ключ шиф‡ ‰лfl сле‰ующе„о блок‡ после то„о, к‡к е„о ск뇉ы‚‡ют по мо‰улю ‰‚‡ с пе‰ы‰ущим ключом шиф‡ и блоком исхо‰но„о текст‡. Д‡й‰жест сообщениfl — конечный з‡шифнный текст н‡ 512 бито‚ после после‰ней опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ.

Шиф Whirlpool Шиф Whirlpool — шиф не-Ф‡йстелfl, похож н‡ AES и был, „뇂ным об‡зом, ‡з‡бот‡н к‡к блочный шиф, котоый используетсfl ‚ ‡л„оитме хэшиниfl. Вместо то„о чтобы ‰‡ть полное опис‡ние это„о шиф‡, мы бу‰ем исхо‰ить из то„о, что чит‡тель зн‡ком с AES по м‡теи‡л‡м лекции 7. Ниже только пи‚о‰итсfl с‡‚нение шиф‡ Whirlpool с шифом AES и отмеч‡етсfl их отличие. Р‡ун‰ы 406

Кипто„‡фические хэш-функции

Лекциfl 12

Рис. 12.13. Общ‡fl и‰еfl шиф‡ Whirlpool Whirlpool – шиф, котоый использует 10 ‡ун‰о‚. Р‡зме блок‡ и ключе‚ой ‡зме — 512 бито‚. Шиф пименflет 11 ключей ‡у퉇 K0 – K10, к‡ж‰ый по 512 бито‚. Рисунок 12.13 пок‡зы‚‡ет общий ‚и‰ поцесс‡ шифниfl шифом Whirlpool. М‡тицы состоflний и блоки По‰обно шифу AES, шиф Whirlpool использует м‡тицы состоflний и блоки. О‰н‡ко ‡зме блок‡ или м‡тицы состоflний — 512 бито‚. Блок ‡ссм‡т肇етсfl к‡к сток‡ м‡тицы ‰линой 64 б‡йт‡; м‡тиц‡ состоflний — к‡к ꂇ‰‡тн‡fl м‡тиц‡ 8x8 б‡йто‚. В отличие от AES пеоб‡зние «блок — м‡тиц‡ состоflний» или «м‡тиц‡ состоflний — блок» поисхо‰flт сток‡ з‡ стокой. Рисунок 12.14 пок‡зы‚‡ет блок, м‡тицу состоflний и пеоб‡зние ‚ шиф Whirlpool. Стукту‡ к‡ж‰о„о ‡у퉇 Рисунок 12.15 пок‡зы‚‡ет стуктуу к‡ж‰о„о ‡у퉇. К‡ж‰ый ‡ун‰ использует четые пеоб‡зниfl. SubBytes. По‰обно AES, SubBytes обеспеч肇ет нелинейное пеоб‡зние. Б‡йт пе‰ст‡‚лен к‡к ‰‚е шест퇉ц‡теичных цифы. Л傇fl циф‡ опе‰елflет стоку, ‡ п‡‚‡fl — столбец т‡блицы по‰ст‡но‚ки. Д‚е шест퇉ц‡теичных цифы ‚ пеесечении стоки и столбц‡ — но‚ый б‡йт. Рисунок 12.16 иллюстиует и‰ею. 407

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 12.14. Блок и м‡тиц‡ состоflний шиф‡ Whirlpool В пеоб‡знии SubBytes м‡тиц‡ состоflний об‡б‡ты‚‡етсfl к‡к м‡тиц‡ б‡йто‚ 8 × 8. Пеоб‡зние ‰ел‡етсfl о‰но‚еменно только с о‰ним б‡йтом. Со‰еж‡ние к‡ж‰о„о б‡йт‡ изменflетсfl, но поfl‰ок сле‰о‚‡ниfl б‡йто‚ ‚ м‡тице ост‡етсfl тем же с‡мым. В поцессе к‡ж‰ый б‡йт пеоб‡зуетсfl не燂исимо; мы имеем 64 ‡зличных пеоб‡зний б‡йт-к-б‡йту. Т‡блиц‡ 12.4 пок‡зы‚‡ет т‡блицу по‰ст‡но‚ки (S-блок) ‰лfl пеоб‡зниfl по‰б‡йто‚. Пеоб‡зние обеспеч肇ет эффект пеемеш肇ниfl. Н‡пиме, ‰‚‡ б‡йт‡, 5A16 и 5B16, котоые отлич‡ютсfl только о‰ним битом (с‡мый п‡‚ый бит), пеоб‡зны к 5B16 и 8816, котоые отлич‡ютсfl пflтью бит‡ми. Вхо‰ы ‚ т‡блице 12.4 мо„ут быть ‚ычислены ‡л„еб‡ически, используfl поле G(24) с непи‚о‰имым полиномом (x4 + x + 1), к‡к пок‡з‡но н‡ ис. 12.17. ʇ扇fl шест퇉ц‡теичн‡fl циф‡ ‚ б‡йте ‚‚о‰итсfl ‚ миниблок (E и E-1). Результ‡ты пе則ютсfl ‚ ‰у„ой миниблок R. E-блоки ‚ычислflют степень, ‡‚ную шест퇉ц‡теичному зн‡чению ‚х; R-миниблок использует пс傉ослуч‡йный „ене‡то чисел. E(‚хо‰) = (x3 +x+1)‚хо‰ mod (x4 + x + 1), если ‚хо‰ ≠ 0 × F E(0 × F) = 0 408

Кипто„‡фические хэш-функции

Лекциfl 12

Рис. 12.15. Стукту‡ к‡ж‰о„о ‡у퉇 шиф‡ Whirlpool

Рис. 12.16. Пеоб‡зние SubBytes шиф‡ Whirlpool 409

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 12.4. Т‡блиц‡ пеоб‡зниfl SubBytes (S-Box)

Рис. 12.17. Опе‡циfl SubBytes шиф‡ Whirlpool 410

Кипто„‡фические хэш-функции

Лекциfl 12

E-1-блок — это только ин‚есиfl E-блок‡, „‰е оли ‚хо‰о‚ и ‚ыхо‰о‚ изменились. Зн‡чениfl ‚х-‚ых ‰лfl блоко‚ с‚е‰ены ‚ т‡блицу н‡ ис. 12.17.

ShiftColumns. Чтобы обеспечить пеест‡но‚ку, Whirlpool использует пеоб‡зние ShiftColumns, котоое fl‚лflетсfl по‰обным пеоб‡знию ShiftRows ‚ AES, з‡ исключением то„о, что ‚место сток с‰‚脇ютсfl столбцы. Смещение 燂исит от позиции столбц‡. Столбец 0 с‰‚脇етсfl н‡ 0 б‡йто‚ (смещениfl нет), ‚ то ‚емfl к‡к столбец 7 с‰‚脇етсfl н‡ 7 б‡йто‚. Рисунок 12.18 пок‡зы‚‡ет пеоб‡зние смещениfl. Рис. 12.18. Пеоб‡зние ShiftColumns шиф‡ Whirlpool MixRows. Пеоб‡зние MixRows имеет тот же эффект, что и пеоб‡зние MixColumns ‚ AES: оно ‡ссе肇ет биты. Пеоб‡зние MixRows — м‡тичное пеоб‡зние, „‰е б‡йты интепетиуютсfl к‡к сл по 8 бито‚ (или полиномы) с коэффициент‡ми ‚ GF(28). Умножение б‡йто‚ по‚о‰итсfl ‚ GF(28), но мо‰уль отлич‡етсfl от используемо„о ‚ AES. Шиф Whirlpool пименflет (0x11 D) или (x8 + x4 + x3 + x2 + 1) к‡к мо‰уль. Сложение сло‚ по 8 бито‚ — то же с‡мое, что ИСКЛЮЧАЮЩЕЕ ИЛИ. Н‡ ис. 12.19 пе‰ст‡‚лено пеоб‡зние MixRows. Рисунок пок‡зы‚‡ет умножение е‰инст‚енной стоки н‡ м‡тицу конст‡нт; умножение можно по‚ести, умнож‡fl ‚сю м‡тицу состоflний н‡ м‡тицу конст‡нт. Об‡тите ‚ним‡ние, что ‚ м‡тице конст‡нт к‡ж‰‡fl сток‡ получен‡ с помощью цикулflно„о с‰‚脇 ‚п‡‚о пе‰ы‰ущей стоки. AddRoundKey. Пеоб‡зние AddRoundKey ‚ шифе Whirlpool ‰ел‡етсfl б‡йт з‡ б‡йтом, потому что к‡ж‰ый ключ ‡у퉇 — м‡тиц‡ состоflний 8 × 8 б‡йт. Рисунок 12.20 пок‡зы‚‡ет этот поцесс. Б‡йт м‡тицы состоflний ‰‡нных ск뇉ы‚‡етсfl ‚ поле GF(28) с соот‚етст‚ующим б‡йтом м‡тицы состоflний ключей ‡у퉇. Результ‡т — но‚ый б‡йт ‚ но‚ой м‡тице состоflний. 411

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 12.19. Пеоб‡зние MixRows шиф‡ Whirlpool

Рис. 12.20. Пеоб‡зние AddRoundKey шиф‡ Whirlpool

Р‡сшиение ключ‡ К‡к пок‡зы‚‡ет ис. 12.21, ‡л„оитм ‡сшиениfl ключей ‚ Whirlpool полностью отлич‡етсfl от ‡л„оитм‡ ‚ AES. Вместо то„о чтобы пименflть но‚ый ‡л„оитм со片ниfl ключей ‡у퉇, Whirlpool использует копию ‡л„оитм‡ шифниfl (без пе‰‡у퉇), чтобы со片ть ключи ‡у퉇. Выхо‰ к‡ж‰о„о ‡у퉇 ‚ ‡л„оитме шифниfl есть ключи ‰лfl это„о ‡у퉇. Н‡ пе‚ый ‚з„лfl‰ это 412

Кипто„‡фические хэш-функции

Лекциfl 12

Рис. 12.21. Р‡сшиение ключ‡ шиф‡ Whirlpool н‡помин‡ет опе‰еление, „‰е ключи ‡у퉇 ‰лfl ‡л„оитм‡ ‡сшиениfl ключ‡ получ‡ютсfl из не„о с‡мо„о. Отку‰‡ получ‡етсfl ‡л„оитм ‡сшиениfl? Whirlpool изflщно ешил эту поблему, используfl ‰есflть конст‡нт ‡у퉇 (RC) к‡к ‚иту‡льные ключи ‡у퉇 ‰лfl ‡л„оитм‡ ‡сшиениfl ключей. Ду„ими слми, ‡л„оитм ‡сшиениfl ключей пименflет конст‡нты к‡к ключи ‡у퉇. Ал„оитм шифниfl использует ‚ыхо‰ к‡ж‰о„о ‡у퉇 ‡л„оитм‡ ‡сшиениfl ключей к‡к ключи ‡у퉇. Ал„оитм „енеиниfl ключей об‡б‡ты‚‡ет ключ шиф‡ к‡к исхо‰ный текст и з‡шифо‚ы‚‡ет е„о. Об‡тите ‚ним‡ние, что ключ шиф‡ — т‡кже К0 ‰лfl ‡л„оитм‡ шифниfl. Конст‡нты ‡у퉇. ʇ扇fl конст‡нт‡ ‡у퉇 RCr fl‚лflетсfl м‡тицей 8 × 8, „‰е только пе‚‡fl сток‡ имеет зн‡чениfl, отличные от нулfl. Ост‡льн‡fl ч‡сть ‚хо‰о‚ со‰ежит ‚се нули. Зн‡чениfl ‰лfl пе‚ой стоки ‚ к‡ж‰ой м‡тице конст‡нт мо„ут быть ‚ычислены, с пименением пеоб‡зниfl SubBytes (т‡блиц‡ 12.4). RC round[сток‡, столбец] = Subbytes (8 (round -1) + столбец) если сток‡ = 0 413

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 12.22. Конст‡нты ‰лfl тетье„о ‡у퉇

RCround [сток‡, столбец] = 0 если сток‡ ≠ 0 Ду„ими слми, RC1 использует пе‚ые ‚осемь ‚хо‰о‚ ‚ т‡блице пеоб‡зниfl SubBytes (Т‡блиц‡ 12.4); RC2 использует ‚тоые ‚осемь ‚хо‰о‚, и т. ‰. Рисунок 12.22 пок‡зы‚‡ет пиме RC3, „‰е пе‚‡fl сток‡ — тетьи ‚осемь ‚хо‰о‚ ‚ т‡блице SubBytes.

Ито„и шиф‡ Whirlpool В т‡блице 12.5 пи‚е‰ены осно‚ные х‡‡ктеистики шиф‡ Whirlpool. Т‡блиц‡ 12.5. Осно‚ные х‡‡ктеистики шиф‡ Whirlpool Р‡зме блок‡: 512 бит Р‡зме ключ‡ шиф‡: 512 бит Число ‡ун‰о‚: 10 Р‡сшиение ключ‡: использние шиф‡ непосе‰ст‚енно с конст‡нт‡ми ‡у퉇 ‚ к‡чест‚е ключей ‡у퉇 По‰ст‡но‚к‡: Пеоб‡зние SubBytes Пеест‡но‚к‡: Пеоб‡зние ShiftColumns Смеш肇ние: Пеоб‡зние MixRows Конст‡нты ‡у퉇: кубические кони пе‚ых ‚осьми‰есflти постых чисел

Ан‡лиз Хотfl Whirlpool не был ‚сестоонне изучен или по‚еен, он б‡зиуетсfl н‡ устойчи‚ой схеме М臄учи-Пенелfl — (Miyaguchi-Preneel), ‡ ‰лfl функции сж‡тиfl использует шиф, осннный н‡ AES, относительно котоой было ‰ок‡з‡но, что эт‡ кипто„‡фическ‡fl систем‡ — очень стойк‡fl к ‡т‡к‡м. Коме то„о, ‡зме ‰‡й‰жест‡ сообщениfl тот же, что и ‚ SHA-512. Поэтому, к‡к ож艇етсfl, Whirlpool бу‰ет очень сильной функцией кипто„‡фическо„о хэшиниfl. О‰н‡ко необхо‰имы сеьезные испыт‡ниfl и иссле‰о‚‡ниfl, чтобы по‰т‚е‰ить это. Е‰инст‚енный уст‡но‚ленный не‰ост‡ток — Whirlpool, котоый использует шиф к‡к 414

Кипто„‡фические хэш-функции

Лекциfl 12

функцию сж‡тиfl, не может быть т‡к же эффекти‚ен, к‡к SHA-512, особенно к‡ он е‡лизуетсfl н‡ ‡пп‡‡тных се‰ст‚‡х.

12.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и Несколько кни„ ‰‡ют хооший обзо функций кипто„‡фическо„о хэшиниfl — [Sti6] [Sta06], [Sch99], [Mao04], [KPS02], [PHS03] и [MOV97].

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, ‡ссмотенных ‚ этой лекции. http://www.unixwiz.net/techtips/iguide-crypto-hashes.html http://www.faqs.org/rfcs/rfc4231 .html http://www.itl.nist.gov/fipspubs/fip 180-1.htm http://www.ietf.org/rfc/rfc3174.txt http://paginas.terra.com.br/informatica/paulobarreto/WhirlpoolPage.html

12.5. Ито„и • Все функции кипто„‡фическо„о хэшиниfl ‰олжны со片‚‡ть ‰‡й‰жест фиксинно„о ‡зме‡ из сообщениfl пееменно„о ‡зме‡. Т‡к‡fl функциfl может быть успешнее ‚се„о соз‰‡н‡ с пименением ите‡ции. Функциfl сж‡тиfl нео‰нок‡тно используетсfl, чтобы со片ть ‰‡й‰жест. Т‡к‡fl схем‡ н‡зы‚‡етсfl ите‡ти‚ной хэш-функцией. • Схем‡ Мекелfl-ć섇‰‡ (Merkle-Damgard) — ите‡ти‚н‡fl функциfl кипто„‡фическо„о хэшиниfl, устойч肇fl к коллизиflм, если пи этом функциfl сж‡тиfl устойч肇 к коллизиflм. Эт‡ схем‡ се„о‰нfl — осн ‰лfl мно„их функций кипто„‡фическо„о хэшиниfl. • Есть тен‰енциfl использть ‰‚‡ ‡зличных по‰х ‚ поектинии функции сж‡тиfl. В пе‚ом по‰хо‰е функциfl сж‡тиfl с‰ел‡н‡ н‡ пустом месте, т. е. ‡з‡бот‡н‡ только ‰лfl этой цели. Во ‚тоом по‰хо‰е блочный шиф с симметичными ключ‡ми служит функцией сж‡тиfl. • Множест‚о функций кипто„‡фическо„о хэшиниfl использует функции сж‡тиfl, котоые с‰ел‡ны н‡ «пустом месте». Эти функции сж‡тиfl специ‡льно ‡з‡бот‡ны ‰лfl этой цели, котоую они обслуж肇ют. Некотоые пимеы: „упп‡ ‰‡й‰жесто‚ сообщениfl — MD; „упп‡ ‡л„оитмо‚ безоп‡сно„о хэшиниfl — SHA, RIPEMD и HAVAL. • Ите‡ти‚н‡fl функциfl кипто„‡фическо„о хэшиниfl может использть блочный шиф с симметичными ключ‡ми ‚место функции сж‡415

Кус

Кипто„‡фиfl и безоп‡сность сетей

тиfl. Были пе‰ложены несколько схем это„о по‰х, ‚ключ‡fl схему Р‡бин‡, схему Де‚ис‡-Мейе‡, схем‡ М‡тис‡-Мейе‡-Осе‡с‡ и М臄учиПенелfl. • О‰н‡ из песпекти‚ных функций кипто„‡фическо„о хэшиниfl — SHA-512 с 512-бито‚ым ‰‡й‰жестом сообщениfl, осннным н‡ схеме Мекелfl-ć섇‰‡. Он‡ ‡з‡бот‡н‡ «н‡ пустом месте» только ‰лfl этой цели. • Ду„‡fl песпекти‚н‡fl функциfl кипто„‡фическо„о хэшиниfl — Whirlpool, кото‡fl о‰обен‡ NESSIE. Whirlpool — ите‡ти‚н‡fl функциfl кипто„‡фическо„о хэшиниfl, осннн‡fl н‡ схеме М臄учи-Пенелfl, кото‡fl использует блочный шиф с симметичными ключ‡ми ‚место функции сж‡тиfl. Блочный шиф — измененный и специ‡лизинный ‰лfl этой цели шиф AES.

12.6. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Опе‰елите функцию кипто„‡фическо„о хэшиниfl. 2. Опе‰елите ите‡ти‚ную функцию кипто„‡фическо„о хэшиниfl. 3. Опишите и‰ею схемы Мекелfl-ć섇‰‡ и объflсните, почему эт‡ и‰еfl ‚‡жн‡ ‰лfl ‡з‡ботки функции кипто„‡фическо„о хэшиниfl. 4. Пеечислите пе‰ст‡‚ителей семейст‚‡ хэш-функций, котоые используют шиф к‡к функцию сж‡тиfl. 5. Пеечислите некотоые схемы, котоый были ‡з‡бот‡ны, чтобы использть блочный шиф к‡к функцию сж‡тиfl. 6. Пеечислите „л‡‚ные особенности функции кипто„‡фическо„о хэшиниfl SHA-512. К‡кой тип‡ функции сж‡тиfl используетсfl ‚ SHA-512? 7. Пеечислите некотоые особенности функции кипто„‡фическо„о хэшиниfl. К‡к‡fl функциfl сж‡тиfl используетсfl ‚ Whirlpool? 8. С‡‚ните х‡‡ктеные особенности SHA-512 и функций кипто„‡фическо„о хэшиниfl Whirlpool.

Уп‡жнениfl 1. В SHA-512 пок‡жите зн‡чение полfl ‰лины ‚ шест퇉ц‡теичной фоме ‰лfl сле‰ующих ‰лин сообщениfl: a. 1000 бито‚ b. 10 000 бито‚ c. 1000 000 бито‚ 2. В Whirlpool пок‡жите зн‡чение полfl ‰лины ‚ шест퇉ц‡теичной фоме ‰лfl сле‰ующих ‰лин сообщениfl: a. 1000 бито‚ b. 10 000 бито‚ c. 1000 000 бито‚ 3. К‡ко‚о ‰ополнение ‰лfl SHA-512, если ‰лин‡ сообщениfl: a. 5120 бито‚ 416

Кипто„‡фические хэш-функции

Лекциfl 12

b. 5121 бит с. 6143 бит‡ 4. К‡ко‚о ‰ополнение ‰лfl Whirlpool, если ‰лин‡ сообщениfl: a. 5120 бито‚ b. 5121 бит c. 6143 бит‡ 5. В к‡ж‰ом из сле‰ующих случ‡е‚ пок‡жите, что если ‰‚‡ сообщениfl имеют о‰ни и те же после‰ние блоки, то их после‰ний блок после ‰ополнениfl полfl ‰лины о‰ин и тот же: a. хэш-функциfl — SHA-512 b. хэш-функциfl — Whirlpool 6. Вычислите G0 ‚ т‡блице 12.2, используfl се‰ьмое постое число (17). 7. С‡‚ните функцию сж‡тиfl SHA-512 без после‰ней опе‡ции (конечное сложение) с шифом Ф‡йстелfl н‡ 80 ‡ун‰о‚. Пок‡з‡ть со‚ениfl и отличиfl. 8. Функцию сж‡тиfl, используемую ‚ SHA-512 (ис. 12.10), можно пе‰ст‡‚ить к‡к шиф с поцессом шифниfl с 80 ‡у퉇ми, если сл от WQ ‰о W79, пе‰ст‡‚лflют к‡к ключи ‡у퉇 ‚ о‰ной из схем, ‡ссмотенных ‚ этой лекции (Р‡бин‡, Дэ‚ис‡-Меей‡, Мэтис‡-Мейе‡-Осе‡с‡ или М臄учи-Пенелfl). Что это н‡помин‡ет? По‰ск‡зк‡: по‰ум‡йте об эффекте опе‡ции конечно„о сложениfl. 9. Пок‡жите, что SHA-512 может быть субъектом «‡т‡ки с‚е‰ениfl к сее‰ине», если из функции сж‡тиfl у‰‡лен‡ опе‡циfl конечно„о сложениfl. 10. Сост‡‚ить т‡блицу, т‡кую же к‡к т‡блиц‡ 12.5, чтобы с‡‚нить AES и Whirlpool. 12. Пок‡з‡ть, что тетьfl опе‡циfl не может быть у‰‡лен‡ из ‰есflто„о ‡у퉇 ‚ шифе Whirlpool, но он‡ ‰олжн‡ быть у‰‡лен‡ ‚ шифе AES. 13. Н‡й‰ите езульт‡т опе‡ции RotR12 (x), если x = 1234 5678 ABCD 2345 34564 5678 ABCD 2468 14. Н‡й‰ите езульт‡т опе‡ции ShL12(x), если x = 1234 5678 ABCD 2345 34564 5678 ABCD 2468 15. Н‡й‰ите езульт‡т опе‡ции Rotate(x), если x = 1234 5678 ABCD 2345 34564 5678 ABCD 2468 16. Н‡й‰ите езульт‡т функции Conditional (x,y,z), если x = 1234 5678 ABCD 2345 34564 5678 ABCD 2468 y = 2234 5678 ABCD 2345 34564 5678 ABCD 2468 z = 3234 5678 ABCD 2345 34564 5678 ABCD 2468 17. Н‡й‰ите езульт‡т функции Majority (x, y, z), если x = 1234 5678 ABCD 2345 34564 5678 ABCD 2468 y = 2234 5678 ABCD 2345 34564 5678 ABCD 2468 z = 3234 5678 ABCD 2345 34564 5678 ABCD 2468 18. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl ‚ычислениfl RotRi (x) ‚ SHA-512 (ис. 12.9). 19. Н‡пишите поце‰уу (‚ пс傉око‰е), чтобы ‚ычислить ShLi, (x) ‚ SHA512 (ис. 12.9). 417

Кус

Кипто„‡фиfl и безоп‡сность сетей

20. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl функции Conditional ‚ SHA-512 (ис. 12.11). 21. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl функции Rotate ‚ SHA-512 (ис. 12.11). 22. Н‡пишите поце‰уу (‚ пс傉око‰е), чтобы ‚ычислить н‡ч‡льный ‰‡й‰жест (зн‡чениfl A0 ‰о H0) ‚ SHA-512 (т‡блиц‡ 12.2). 23. Н‡пишите поце‰уу (‚ пс傉око‰е), чтобы ‚ычислить ‚осемь‰есflт конст‡нт ‚ SHA-512 (т‡блиц‡ 12.3). 24. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl ‡л„оитм‡ ‡сшиениfl сл ‚ SHA-512, пок‡з‡нном н‡ ис. 12.9. Р‡ссмотите ‰‚‡ случ‡fl: ‡. Использние м‡сс肇 80 элементо‚, со‰еж‡щих ‚се сл. б. Использние м‡сс肇 16 элементо‚, со‰еж‡ще„о только 16 сло‚ о‰но‚еменно. 25. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl функции сж‡тиfl ‚ SHA-512. 26. Н‡пишите поце‰уу (‚ пс傉око‰е), чтобы изменить блок 512 бит к 8 × 8 м‡тиц‡м состоflний (ис. 12.4). 27. Н‡пишите поце‰уу (‚ пс傉око‰е), чтобы изменить состоflний 8 × 8 м‡тицу ‰лfl блоко‚ 512 бит (ис. 12.4). 28. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl пеоб‡зниfl SubBytes ‚ шифе Whirlpool (ис. 12.16). 29. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl ShiftColumns пеоб‡зниfl ‚ шифе Whirlpool (ис. 12.18). 30. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl MixRows пеоб‡зниfl ‚ шифе Whirlpool (ис. 12.19). 31. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl AddRoundKey пеоб‡зниfl ‚ шифе Whirlpool (ис. 12.20). 32. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl ‡сшиениfl ключ‡ ‚ шифе Whirlpool (ис. 12.21) 33. Н‡пишите поце‰уу (‚ пс傉око‰е), чтобы со片ть конст‡нты ‡у퉇 ‚ шифе Whirlpool (Рисунок 12.20). 34. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl шиф‡ Whirlpool. 35. Н‡пишите поце‰уу (‚ пс傉око‰е) ‰лfl функции кипто„‡фическо„о хэшиниfl Whirlpool. 36. Используйте Internet (или ‰у„ие ‰оступные есусы), чтобы н‡йти инфом‡цию о SHA-1. З‡тем с‡‚ните функцию сж‡тиfl ‚ SHA-1 с т‡кими же функциflми ‚ SHA-512. К‡ко‚ы со‚ениfl? К‡ко‚ы отличиfl? 37. Используйте Internet (или ‰у„ие ‰оступные есусы), чтобы н‡йти инфом‡цию о сле‰ующих функциflх сж‡тиfl и с‡‚нить их с SHA-512: ‡. SHA-224 б. SHA-256 ‚. SHA-384 38. Используйте Internet (или ‰у„ие ‰оступные есусы), чтобы н‡йти инфом‡цию о RIPEMD и с‡‚нить ее с SHA-512. 39. Используйте Internet (или ‰у„ие ‰оступные есусы), чтобы н‡йти инфом‡цию о HAVAL и с‡‚нить ее с SHA-512. 418

Лекциfl 13

Цифfl по‰пись

Лекциfl 13. Цифfl по‰пись Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Опе‰елить понflтие цифо‚ой по‰писи. • Р‡ссмотеть службы безоп‡сности, обеспеченные цифо‚ой по‰писью. • Опе‰елить ‡т‡ки цифо‚ых по‰писей. • Обсу‰ить некотоые схемы цифо‚ой по‰писи, ‚ключ‡fl RSA, Эль-Г‡м‡лfl (ElGamal), Шно‡ (Schnorr), DSS и эллиптической ки‚ой. • Опис‡ть некотоые пиложениfl цифо‚ых по‰писей. Мы ‚се зн‡комы с понflтием по‰писи. Чело‚ек по‰писы‚‡ет ‰окумент, чтобы пок‡з‡ть, что нечто с‰ел‡но им с‡мим или было им о‰обено. По‰пись — ‰ок‡з‡тельст‚о получ‡телю, что ‰окумент исхо‰ит от истинно„о объект‡. К‡ клиент по‰писы‚‡ет чек, б‡нк у‚еен, что чек пи퇉лежит клиенту и никому ‰у„ому. Ду„ими слми, по‰пись н‡ ‰окументе fl‚лflетсfl пизн‡ком уст‡но‚лениfl по‰линности ‡‚то‡ – по‰линности ‰окумент‡. Н‡пиме к‡тин‡, по‰пис‡нн‡fl ху‰ожником. По‰пись н‡ пе‰мете искусст‚‡, если он‡ по‰линн‡fl, озн‡ч‡ет, что этот пе‰мет, с большой ‚еоflтностью, по‰линный. К‡ Алис‡ пе則ет сообщение Бобу, Боб ‰олжен по‚еить по‰линность пе則тчик‡; он ‰олжен убе‰итьсfl, что сообщение исхо‰ит от Алисы, ‡ не от Е‚ы. Боб может попосить, чтобы Алис‡ по‰пис‡л‡ сообщение с помощью электоники. Ду„ими слми, электонн‡fl по‰пись может ‰ок‡з‡ть по‰линность Алисы к‡к пе則тчик‡ сообщениfl. Мы н‡зы‚‡ем этот тип по‰писи цифfl по‰пись. В этой лекции мы сн‡ч‡л‡ ‡ссмотим некотоые поблемы, с‚flз‡нные с цифо‚ыми по‰писflми, ‡ з‡тем пеей‰ем к ‡ссмотению ‡зличных схем цифо‚ой по‰писи.

13.1. С‡‚нение Р‡ссмотение н‡чнем с ‡зличиfl меж‰у обычными по‰писflми и цифо‚ыми по‰писflми.

Включение Обычн‡fl по‰пись ‚ключен‡ ‚ ‰окумент; это — ч‡сть ‰окумент‡. К‡ мы пишем чек, по‰пись н‡хо‰итсfl н‡ чеке; это — не от‰ельный ‰окумент. Но к‡ мы по‰писы‚‡ем ‰окумент ‚ цифо‚ой фоме, мы пе則ем по‰пись к‡к от‰ельный ‰окумент. Пе則тчик пе則ет ‰‚‡ ‰окумент‡: сообщение и по‰пись. Получ‡тель получ‡ет об‡ ‰окумент‡ и по‚еflет, что по‰пись пи퇉лежит пе‰по뇄‡емому пе則тчику. Если это ‰ок‡з‡но, сообщение сох‡нflетсfl; ин‡че оно отклонflетсfl.

Мето‰ по‚еки Втоое отличие меж‰у ‰‚умfl тип‡ми по‰писей — мето‰ по‰т‚еж‰ениfl по‰писи. В случ‡е обычной по‰писи, к‡ получ‡тель получ‡ет ‰окумент, он с‡‚ни419

Кус

Кипто„‡фиfl и безоп‡сность сетей

‚‡ет по‰пись н‡ ‰окументе с по‰писью ‚ ‡хи‚е. Если они о‰ин‡ко‚ые, ‰окумент по‰линный. Получ‡тель ‰олжен иметь ‚ ‡хи‚е копию ‰лfl с‡‚нениfl этой по‰писи. Пи цифо‚ой по‰писи – получ‡тель получ‡ет сообщение и по‰пись, но копиfl по‰писи не х‡нитсfl н脉е. Получ‡тель ‰олжен пименить мето‰ику по‚еки комбин‡ции сообщениfl и по‰писи, чтобы по‚еить по‰линность.

Отношениfl В случ‡е обычной по‰писи есть отношениfl «о‰ин ко мно„им» меж‰у по‰писью и ‰окумент‡ми. Чело‚ек использует о‰ну и ту же по‰пись, чтобы по‰пис‡ть мно„о ‰окументо‚. Длfl цифо‚ой по‰писи есть непосе‰ст‚енные отношениfl меж‰у по‰писью и сообщением. К‡ж‰ое сообщение имеет с‚ою собст‚енную по‰пись. По‰пись о‰но„о сообщениfl не может использтьсfl ‚ ‰у„ом сообщении. Если Боб получ‡ет ‰‚‡ сообщениfl, о‰ин з‡ ‰у„им, от Алисы, он не может использть по‰пись пе‚о„о сообщениfl, чтобы по‚еить ‚тоое. К‡ж‰ое сообщение ну扇етсfl ‚ но‚ой по‰писи.

Резе‚ное копиние Ду„‡fl ‡зность меж‰у ‰‚умfl тип‡ми по‰писей — к‡чест‚о, н‡з‚‡нное езе‚ное копиние. Пи обычной по‰писи копиfl по‰пис‡нно„о ‰окумент‡ может отлич‡тьсfl от ои„ин‡л‡. Может быть скоектио‚‡н‡ и по‰пис‡н‡ ‚но‚ь той же по‰писью. В цифо‚ой по‰писи нет т‡ко„о ‡зличиfl, если нет ук‡з‡телfl ‚емени (т‡ко„о к‡к метк‡ ‚емени) н‡ ‰окументе. Н‡пиме, пе‰положите, что Алис‡ пе則ет ‰окумент, инстуктиующий Боб‡ з‡пл‡тить Е‚е. Если Е‚‡ пеех‚‡ты‚‡ет ‰окумент и сох‡нflет по‰пись, он‡ может ‚оспользтьсfl этим позже (скопить по‰пись), чтобы сн получить ‰ень„и от Боб‡.

13.2. Поцесс Рисунок 13.1 пок‡зы‚‡ет поцесс цифо‚ой по‰писи. Пе則тчик использует ‡л„оитм по‰пис‡ниfl, чтобы по‰пис‡ть сообщение. Сообщение и по‰пись пе則ют пиемнику, пиемник получ‡ет сообщение и по‰пись и пименflет ‡л„оитм по‰т‚еж‰ениfl к комбин‡ции «сообщение — по‰пись». Если езульт‡т истинен, сообщение пинflто; ин‡че — отклонено.

Рис. 13.1. Поцесс пе則чи цифо‚ой по‰писи 420

Лекциfl 13

Цифfl по‰пись

Потебность ‚ ключ‡х Обычн‡fl по‰пись похож‡ н‡ ч‡стный «ключ», пи퇉леж‡щий лицу, котоое по‰писы‚‡ет ‰окумент. По‰писы‚‡ющее лицо использует е„о, чтобы по‰пис‡ть ‰окументы; никто ‰у„ой не имеет эту по‰пись. Копиfl по‰писи н‡хо‰итсfl ‚ ‡хи‚е по‰обно откытому ключу; любой может использть е„о, чтобы по‚еить ‰окумент, с‡‚нить по‰пись с пе‚он‡ч‡льной по‰писью. В цифо‚ой по‰писи по‰писы‚‡ющее лицо пименflет с‚ой секетный ключ — пик뇉ной ‡л„оитм по‰пис‡ниfl — ‰лfl по‰пис‡ниfl ‰окумент‡. С ‰у„ой стооны по‚еflющий использует откытый ключ по‰писы‚‡юще„о лиц‡ — пик뇉ной ‡л„оитм по‰т‚еж‰ениfl — ‰лfl то„о, чтобы по‚еить ‰окумент. Мы можем ‰оᇂить секетный и откытый ключи к исунку 13.1, чтобы ‰‡ть з‡конченное понflтие цифо‚ой по‰писи (см. ис. 13.2). Об‡тите ‚ним‡ние, что к‡ ‰окумент по‰пис‡н, любой, ‚ключ‡fl Боб‡, может по‚еить это, потому что к‡ж‰ый имеет ‰оступ к откытому ключу Алисы. Алис‡ не ‰олжн‡ пименflть с‚ой откытый ключ ‰лfl то„о, чтобы по‰писы‚‡ть ‰окумент, потому что т‡ любой сможет пел‡ть ее по‰пись.

Рис. 13.2. Дополнение пе則чи цифо‚ой по‰писи ключом Алисы Можем ли мы использть секетный (симметичный) ключ, чтобы и по‰пис‡ть и по‚еить по‰пись? От‚ет отиц‡телен по нескольким пичин‡м. Пе‚‡fl: ключ з‡секеч肇ниfl из‚естен только ‰‚ум объект‡м (н‡пиме, Алисе и Бобу). Т‡к, если Алис‡ ‰олжн‡ по‰пис‡ть ‰у„ой ‰окумент и пе則ть е„о Тэ‰у, он‡ ‰олжн‡ пименить ‰у„ой ключ з‡секеч肇ниfl. Вто‡fl: к‡к мы у‚и‰им, со片‚‡fl ключ з‡секеч肇ниfl ‰лfl се‡нс‡, ‚ не„о ‚ключ‡ют пизн‡ки уст‡но‚лениfl по‰линности, котоые используют цифо‚ую по‰пись. Мы получим поочный ку„. Тетье: Боб может пименить ключ з‡секеч肇ниfl, котоый он использует меж‰у собой и Алисой, по‰пис‡ть ‰окумент, пе則ть е„о Тэ‰у и имитить, что он пибыл от Алисы. Цифfl по‰пись ну扇етсfl ‚ пименении системы откыто„о ключ‡. По‰писы‚‡ющее лицо по‰писы‚‡етсfl с‚оим секетным ключом; пиним‡ющий по‚еflет е„о обще‰оступным ключом по‰писы‚‡юще„о лиц‡. 421

Кус

Кипто„‡фиfl и безоп‡сность сетей

Мы ‰олжны поним‡ть ‡зличие меж‰у секетным и откытым ключ‡ми, используемыми ‚ цифо‚ых по‰писflх, и секетным и откытым ключ‡ми, котоые пименflютсfl ‚ кипто„‡фической системе ‰лfl конфи‰енци‡льности. В после‰них секетный и откытый ключи пиемник‡ используютсfl ‚ поцессе. Пе則тчик пименflет откытый ключ пиемник‡, чтобы з‡шифть сообщение; пиемник использует с‚ой собст‚енный секетный ключ, чтобы ‡сшифть сообщение. В цифо‚ой по‰писи нужен и секетный и откытый ключи пе則тчик‡. Пе則тчик использует с‚ой секетный ключ, пиемник — откытый ключ пе則тчик‡. Кипто„‡фическ‡fl систем‡ использует секетный и откытый ключи пиемник‡, цифfl по‰пись — секетный и откытый ключи пе則тчик‡.

По‰пис‡ние ‰‡й‰жест‡ В лекции 10 мы узн‡ли, что киптосистемы с ‡симметичными ключ‡ми очень неэффекти‚ны, к‡ имеют ‰ело с ‰линными сообщениflми. В системе цифо‚ой по‰писи сообщениfl обычно ‰линные, но мы ‰олжны использть ‡симметично-ключе‚ые схемы. Решение состоит ‚ том, что по‰пись ‰‡й‰жест‡ сообщениfl — н‡мно„о кооче, чем сообщение. К‡к мы узн‡ли ‚ лекции 11, тщ‡тельно ‚ыб‡нный ‰‡й‰жест сообщениfl имеет непосе‰ст‚енное отношение к сообщению. Пе則тчик может по‰пис‡ть ‰‡й‰жест сообщениfl, ‡ пиемник может по‚еить ‰‡й‰жест сообщениfl, — эффект тот же с‡мый. Рисунок 13.3 пок‡зы‚‡ет по‰пис‡ние ‰‡й‰жест‡ ‚ системе цифо‚ой по‰писи.

Рис. 13.3. По‰пис‡ние ‰‡й‰жест‡ Д‡й‰жест получ‡етсfl из сообщениfl н‡ стооне Алисы и похо‰ит поцесс по‰пис‡ниfl, используfl секетный ключ Алисы. Алис‡ з‡тем пе則ет сообщение и по‰пись Бобу. К‡к мы у‚и‰им позже ‚ этой лекции, есть ‚‡и‡нты ‚ поцессе по‰пис‡ниfl, котоые 燂исflт от системы. Н‡пиме, мо„ут быть по‚е‰ены ‰ополнительные ‚ычислениfl, пеж‰е чем получ‡етсfl ‰‡й‰жест, или может быть использо‚‡н‡ ‰у„‡fl систем‡ з‡секеч肇ниfl. В некотоых систем‡х по‰пись имеет множест‚о зн‡чений. 422

Лекциfl 13

Цифfl по‰пись

Н‡ стооне Боб‡ пименflетсfl т‡ же с‡м‡fl обще‰оступн‡fl хэш-функциfl, и сн‡ч‡л‡ из полученно„о сообщениfl со片етсfl ‰‡й‰жест. Д‡лее ‚ычислflютсfl по‰пись и ‰‡й‰жест. Поцесс по‰т‚еж‰ениfl т‡кже по‚еflет пик뇉ные китеии по езульт‡т‡м ‚ычислениfl, чтобы опе‰елить по‰линность по‰писи. Если по‰пись по‰линн‡, то сообщение пиним‡етсfl; ‚ поти‚ном случ‡е он‡ отклонflетсfl.

13.3. Услу„и Мы обсу扇ли несколько услу„ безоп‡сности ‚ лекции 1, ‚ключ‡fl конфи‰енци‡льность сообщениfl, уст‡но‚ление по‰линности сообщениfl, целостность сообщениfl и исключение отк‡з‡ от сообщениfl. Цифfl по‰пись может непосе‰ст‚енно обеспечить после‰ние ти; ‰лfl конфи‰енци‡льности сообщениfl мы ‚се еще ну扇емсfl ‚ шифнии/‰ешифнии.

Уст‡но‚ление по‰линности сообщениfl Безоп‡сность схемы цифо‚ой по‰писи похож‡ н‡ безоп‡сность обычной по‰писи (н‡пиме, он‡ не может быть ле„ко скопин‡) и способн‡ обеспечить уст‡но‚ление по‰линности сообщениfl (т‡кже ин‡ н‡зы‚‡етсfl уст‡но‚лением по‰линности поисхож‰ениfl ‰‡нных). Боб может по‚еить, что сообщение пее‰‡л‡ Алис‡, потому что пи по‚еке используетсfl обще‰оступный ключ Алисы. Обще‰оступный ключ Алисы не сможет по‚еить по‰пись, по‰пис‡нную секетным ключом Е‚ы. Цифfl по‰пись обеспеч肇ет уст‡но‚ление по‰линности сообщениfl.

Целостность сообщениfl Целостность сообщениfl сох‡нflетсfl, ‰‡же если мы по‰писы‚‡ем ‚се сообщение, потому что мы не можем получить ту же с‡мую по‰пись, если сообщение изменено. Схемы цифо‚ой по‰писи се„о‰нfl используют хэш-функцию пи по‰пис‡нии и по‰т‚еж‰ении, — ‡л„оитмы, котоые сох‡нflют целостность сообщениfl. Цифfl по‰пись обеспеч肇ет целостность сообщениfl.

Исключение отк‡з‡ от сообщениfl Если Алис‡ по‰писы‚‡ет сообщение и з‡тем отиц‡ет это, может ли Боб ‰ок‡з‡ть, что Алис‡ ф‡ктически по‰пис‡л‡ е„о? Н‡пиме, Алис‡ пе則ет сообщение б‡нку (Боб) и посит пеечислить 10000 $ с ее счет‡ н‡ счет Тэ‰‡. Может ли Алис‡ потом отиц‡ть, что он‡ пее‰‡л‡ это сообщение? Со„л‡сно схеме, котоую мы ‡ссм‡т肇ли ‰о сих по, Боб мо„ бы иметь поблему. Боб ‰олжен был сох‡нить по‰пись ‚ ‡хи‚е и ‰‡лее использть откытый ключ Алисы, чтобы со片ть 423

Кус

Кипто„‡фиfl и безоп‡сность сетей

пе‚он‡ч‡льное сообщение, и ‰ок‡з‡ть, что сообщение ‚ ‡хи‚е и н則‚но полученное сообщение fl‚лflетсfl о‰ним и тем же. Это не‚ыполнимо, потому что Алис‡ может изменить з‡ это ‚емfl с‚ой секетный или откытый ключ. Он‡ может т‡кже ут‚е扇ть, что сообщение ‚ ‡хи‚е, со‰еж‡щее по‰пись, не по‰линное. О‰но из ешений — тетье лицо (‰о‚еенное лицо). Лю‰и мо„ут по ‰о„о‚оенности ‚ыб‡ть стоону, котоой они ‰о‚еflют. В бу‰ущих лекциflх мы у‚и‰им, что стоон‡, котоой ‰о‚еflют, может ешить мно„о ‰у„их поблем относительно служб безоп‡сности и з‡мены ключей. Рисунок 13.4 пок‡зы‚‡ет, к‡к стоон‡, котоой ‰о‚еflют, может пепflтст‚ть отиц‡нию Алисой пе則чи ‰‡нно„о сообщениfl. Алис‡ со片ет по‰пись из с‚ое„о сообщениfl (SA) и пе則ет центу сообщение, котоое со‰ежит ее опоз퇂‡тельные пизн‡ки, опоз퇂‡тельные пизн‡ки Боб‡, ‡ т‡кже по‰пись. Цент, после по‚еки п‡‚ильности откыто„о ключ‡ Алисы, по‚еflет с помощью это„о ключ‡ Алисы, что сообщение пибыло от Алисы. З‡тем Цент сох‡нflет копию сообщениfl с опоз퇂‡тельными пизн‡к‡ми пе則тчик‡, опоз퇂‡тельными пизн‡к‡ми получ‡телfl, ‡ т‡кже с меткой ‚емени, ‚ с‚оем ‡хи‚е. Цент использует с‚ой секетный ключ, чтобы со片ть из сообщениfl ‰у„ую по‰пись (ST). З‡тем цент пе則ет сообщение, но‚ую по‰пись, опоз퇂‡тельные пизн‡ки Алисы и опоз퇂‡тельные пизн‡ки Боб‡ — Бобу. Боб по‚еflет сообщение, используfl обще‰оступный ключ цент‡, котоому он ‰о‚еflет.

Рис. 13.4. Использние Цент‡ До‚еиfl ‰лfl исключениfl отк‡з‡ от сообщениfl Если ‚ бу‰ущем Алис‡ отиц‡ет, что он‡ пее‰‡л‡ сообщение, цент может пе‰ъfl‚ить копии сох‡ненно„о сообщениfl. Если сообщение Боб‡ — ‰ублик‡т сообщениfl, сох‡ненно„о ‚ Центе, Алис‡ пои„‡ет спо. Чтобы обеспечить 424

Лекциfl 13

Цифfl по‰пись

‚сему этому конфи‰енци‡льность, можно ‰оᇂить к схеме уо‚ень шифниfl/‰ешифниfl, к‡к это бу‰ет пок‡з‡но ‚ сле‰ующей секции. Исключение отк‡з‡ от сообщениfl может быть обеспечено уч‡стием тетьей стооны, котоой ‰о‚еflют.

Конфи‰енци‡льность Цифfl по‰пись не обеспеч肇ет конфи‰енци‡льную с‚flзь. Если конфи‰енци‡льность ‚се же тебуетсfl, то сообщение и по‰пись ‰олжны быть з‡шифны с использнием любо„о ключ‡ з‡секеч肇ниfl (киптосистем‡ с откытым ключом). Рисунок 13.5 пок‡зы‚‡ет, к‡к этот ‰ополнительный уо‚ень можно ‰оᇂить к постой схеме цифо‚ой по‰писи.

Рис. 13.5. Дополнение конфи‰енци‡льности к схеме цифо‚ой по‰писи Мы пок‡з‡ли ‡симметично-ключе‚ое шифние/‰ешифние только ‰лfl то„о, чтобы об‡тить ‚‡ше ‚ним‡ние н‡ типы ключей, используемые ‚ к‡ж‰ом конце пе則чи. Шифние/‰ешифние может т‡кже быть с‰ел‡но симметичным ключом. Цифfl по‰пись не обеспеч肇ет секетность. Если есть потебность ‚ секетности, ‰олжен быть пименен уо‚ень шифниfl/‰ешифниfl.

13.4. Ат‡ки цифо‚ой по‰писи Эт‡ секциfl описы‚‡ет некотоые ‡т‡ки цифо‚ых по‰писей и опе‰елflет типы пелки. 425

Кус

Кипто„‡фиfl и безоп‡сность сетей

Типы ‡т‡ки Мы ‡ссмотим ти ‚и‰‡ ‡т‡к цифо‚ых по‰писей: • ‡т‡к‡ только н‡ ключ, • ‡т‡к‡ пи из‚естном сообщении, • ‡т‡к‡ по ‚ыб‡нному сообщению. Ат‡к‡ только н‡ ключ В ‡т‡ке только н‡ ключ Е‚‡ имеет ‰оступ только к обще‰оступной инфом‡ции, котоую пе則ет Алис‡. Длfl то„о чтобы пел‡ть сообщение, Е‚‡ ‰олжн‡ со片ть по‰пись Алисы, чтобы убе‰ить Боб‡, что сообщение пибы‚‡ет от Алисы. Это можно ‡ссм‡т肇ть к‡к ‡т‡ку только з‡шифнно„о текст‡, котоую мы обсу扇ли пи шифнии. Ат‡к‡ пи из‚естном сообщении В ‡т‡ке пи из‚естном сообщении Е‚‡ имеет ‰оступ к о‰ной или более п‡е «по‰пись — сообщениfl». Ду„ими слми, он‡ имеет ‰оступ к некотоым ‰окумент‡м, п剂‡ительно по‰пис‡нным Алисой. Е‚‡ побует со片ть ‰у„ое сообщение и пел‡ть по‰пись Алисы. Это по‰обно ‡т‡ке зн‡ниfl исхо‰но„о текст‡, котоую мы обсу扇ли пи шифнии. Ат‡к‡ по ‚ыб‡нному сообщению В ‡т‡ке по ‚ыб‡нному сообщению Е‚‡ т‡к или ин‡че з‡ст‡‚ил‡ Алису по‰пис‡ть о‰но или более сообщений ‰лfl нее. Е‚‡ тепеь имеет п‡у «‚ыб‡нное сообщение / по‰пись». Чеез некотоое ‚емfl он‡ со片ет ‰у„ое сообщение, с со‰еж‡нием, котоое он‡ ‚ыби‡ет ‚ с‚оих интеес‡х, и пелы‚‡ет по‰пись Алисы. Это по‰обно ‡т‡ке с ‚ыбокой исхо‰но„о текст‡, котоую мы обсу扇ли пи шифнии.

Типы пелки Если ‡т‡к‡ успешн‡, то ‚ езульт‡те поfl‚лflетсfl пелк‡. Мы можем иметь ‰‚‡ тип‡ пелки: экзистенци‡льн‡fl и селекти‚н‡fl. Экзистенци‡льн‡fl пелк‡ В экзистенци‡льной пелке Е‚‡ способн‡ со片ть п‡‚ильную п‡у «по‰пись — сообщение», но ни о‰ну из пелок он‡ не может е‡льно использть. Ду„ими слми, ‰окумент был пел‡н, но со‰еж‡ние ‚осст‡но‚лено беспоfl‰очно. Этот тип пелки ‚еоflтен, но, к сч‡стью, Е‚‡ не может из‚лечь из это„о ‚ы„о‰у. Ее пел‡нное сообщение синт‡ксически или сем‡нтически непонflтно. Селекти‚н‡fl пелк‡ В селекти‚ной пелке Е‚‡ способн‡ пел‡ть по‰пись Алисы н‡ сообщении с со‰еж‡нием, ‚ыб‡нным Е‚ой. Это ‚ы„о‰но ‰лfl Е‚ы и может быть очень ‚е‰но ‰лfl Алисы, но ‚еоflтность т‡кой пелки м‡л‡, хотfl имеет е‡льную ‚еличину. 426

Лекциfl 13

Цифfl по‰пись

13.5. Схемы цифо‚ой по‰писи Несколько схем цифо‚ой по‰писи были ‡спост‡нены ‚ течение пошлых нескольких ‰есflтилетий. Некотоые из них были е‡лизны. В этой секции мы по„о‚оим об этих схем‡х. В сле‰ующей секции мы обсу扇ем о‰ну из них, кото‡fl, ‚еоflтно, ст‡нет ст‡н‰‡том.

Схем‡ цифо‚ой по‰писи RSA В лекции 10 мы ‡ссмотели, к‡к использть кипто„‡фическую систему RSA ‰лfl обеспечениfl секетности. И‰еfl RSA может т‡кже пименflтьсfl ‰лfl то„о, чтобы по‰пис‡ть и по‰т‚е‰ить сообщение. В этом случ‡е это н‡зы‚‡етсfl схемой цифо‚ой по‰писи RSA. Схем‡ цифо‚ой по‰писи менflет оли секетных и откытых ключей. Пе‚ое: пименflютсfl секетный и откытый ключи пе則тчик‡, ‡ не пиемник‡. Втоое: пе則тчик использует с‚ой собст‚енный секетный ключ ‰лfl по‰писи ‰окумент‡; пиемник использует откытый ключ пе則тчик‡, чтобы по‚еить этот ‰окумент. Если мы с‡‚ним схему с обычным способом по‰писи, мы у‚и‰им, что секетный ключ и„‡ет оль пе則тчик‡ собст‚енной по‰писи, ‡ откытый ключ — оль пе則тчик‡ копии по‰писи, кото‡fl fl‚лflетсfl обще‰оступной. Оче‚и‰но, Алис‡ не может использть откытый ключ Боб‡, чтобы по‰пис‡ть сообщение, потому что т‡ любой ‰у„ой чело‚ек мо„ бы с‰ел‡ть то же с‡мое. Рисунок 13.6 ‰‡ет общую и‰ею схемы цифо‚ой по‰писи RSA.

Рис. 13.6. Общ‡fl и‰еfl схемы цифо‚ой по‰писи RSA По‰пис‡ние и по‰т‚еж‰ение с‡йто‚ используют ту же с‡мую функцию, но с ‡зличными п‡‡мет‡ми. Веифик‡то с‡‚н肇ет сообщение и ‚ы‚о‰ функции ‰лfl с‡‚нениfl. Если езульт‡т истинен, сообщение пинflто. Гене‡циfl ключей Гене‡циfl ключей ‚ схеме цифо‚ой по‰писи RSА точно т‡к‡fl же, к‡к и „ене‡циfl ключей ‚ кипто„‡фической системе RSА (см. лекцию 10). Алис‡ ‚ыби‡ет ‰‚‡ постых числ‡ p и q и ‚ычислflет n = p × q. Алис‡ ‚ычислflет φ(n) = (p – 1) (q – 1). З‡тем он‡ ‚ыби‡ет e ‰лfl обще‰оступно„о ключ‡ и ‚ычислflет d ‰лfl ч‡стно„о ключ‡, т‡кое, что e × d = 1 mod φ(n). Алис‡ сох‡нflет d и публично объfl‚лflет n и e. 427

Кус

Кипто„‡фиfl и безоп‡сность сетей

В схеме цифо‚ой по‰писи RSA d fl‚лflетсfl секетным; e и n — откытым. По‰пис‡ние и по‚ек‡ Рисунок 13.7 пок‡зы‚‡ет схему цифо‚ой по‰писи RSA.

Рис. 13.7. Схем‡ цифо‚ой по‰писи RSA По‰пис‡ние. Алис‡ н‡ осно‚е сообщениfl со片ет по‰пись, используfl ч‡стный (секетный) ключ, S = Md mod n, и пе則ет сообщение и по‰пись Бобу. По‚ек‡. Боб получ‡ет М и S. Он пименflет обще‰оступный ключ Алисы к по‰писи, чтобы со片ть копию сообщениfl М’ = Se mod n. Боб с‡‚н肇ет зн‡чение М’ со зн‡чением М. Если ‰‚‡ зн‡чениfl со‚‡ют, Боб пиним‡ет сообщение. Чтобы ‰ок‡з‡ть п‡‚ильность этой поце‰уы, мы пименflем китеии по‚еки: M’ ≡ M(mod n) → Se ≡ M(mod n) → Md × e ≡ M(mod n) После‰нее с‡‚нение сп‡‚е‰ли‚о, потому что d × e = 1 mod φ(n) (см. теоему Эйле‡ ‚ лекции 9). Пиме 13.1 Длfl безоп‡сности по‰писи зн‡чениfl p и q ‰олжны быть очень большими. К‡к ти‚и‡льный пиме, пе‰положим, что Алис‡ ‚ыби‡ет p = 823 и q = 953 и ‚ычислflет n = 784319. Зн‡чение φ(n) — 782544. Тепеь он‡ ‚ыби‡ет e = 313 и ‚ычислflет d = 160009. В этой точк‡ „ене‡циfl ключей з‡кончен‡. Тепеь ‚ооб‡зим, что Алис‡ хочет пе則ть сообщение со зн‡чением M = 19070 Бобу. Он‡ использует с‚ой ч‡стный ключ 160009 ‰лfl то„о, чтобы по‰пис‡ть сообщение: M = 19070 → S = (19070160009) mod 784319 = 210625 mod 784319 Алис‡ пе則ет сообщение и по‰пись Бобу. Боб получ‡ет сообщение и по‰пись. Он ‚ычислflет 428

Лекциfl 13

Цифfl по‰пись

М’ = 210625313 mod 784319 = 19070 mod 784319 → М М ≡ M’ mod n Боб пиним‡ет сообщение, потому что он по‚еил по‰пись Алисы. Ат‡ки по‰писи RSA Есть некотоые ‡т‡ки, к котоым Е‚‡ может об‡титьсfl ‰лfl пелки схемы цифо‚ой по‰писи RSА Алисы. Ат‡к‡ только н‡ ключ. Е‚‡ имеет ‰оступ только к откытому ключу Алисы, пеех‚‡ты‚‡ет п‡у (М, S) и побует со片ть ‰у„ое сообщение М’, т‡кое, что М’ = Se mod n. Эт‡ поблем‡ по сложности ешениfl ‡‚н‡ поблеме ‰искетно„о лифм‡, котоую мы ‡ссмотели ‚ лекции 9. Это — экзистенци‡льн‡fl пелк‡ и обычно бесполезн‡ ‰лfl Е‚ы. Ат‡к‡ пи из‚естном сообщении. З‰есь Е‚‡ использует мультиплик‡ти‚ное с‚ойст‚о RSА. Пе‰положим, что Е‚‡ пеех‚‡тил‡ ‰‚е п‡ы по‰писи сообщениfl — (M1, S1) и (M2, S2), котоые используют о‰ин и тот же секетный ключ. Если М = (M1 × M2) mod n, т‡ S = (S1 × S2) mod n. Это посто ‰ок‡з‡ть, потому что мы имеем S = (S1 × S2) mod n = (M1d × M2d) mod n = (M1 × M2)d mod n = Md mod n Е‚‡ может со片ть М = (M1 × M2) mod n и может со片ть S = (S1 × S2) mod n; „лупый Боб по‚еит, что S — по‰пись Алисы н‡ сообщении М. Эт‡ ‡т‡к‡, кото‡fl н‡зы‚‡етсfl ин‡ мультиплик‡ти‚ной ‡т‡кой, по‚о‰итсfl очень посто. О‰н‡ко это — экзистенци‡льн‡fl пелк‡, т‡к к‡к сообщение М fl‚лflетсfl поиз‚е‰ением ‰‚ух пе‰ы‰ущих сообщений, со片нных Алисой, ‡ не Е‚ой; сообщение М обычно бесполезно. Ат‡к‡ по ‚ыб‡нному сообщению. Эт‡ ‡т‡к‡ т‡кже использует мультиплик‡ти‚ное с‚ойст‚о RSA. Е‚‡ может т‡к или ин‡че попосить, чтобы Алис‡ по‰пис‡л‡ ‰‚‡ з‡конных сообщениfl М1 и М2. С помощью их он‡ позже со片ет но‚ое сообщение M = (M1 × M2). Е‚‡ может позже ут‚е扇ть, что Алис‡ по‰пис‡л‡ M. Т‡кую ‡т‡ку н‡зы‚‡ют т‡к же, к‡к и пе‰ы‰ущую — мультиплик‡ти‚н‡fl ‡т‡к‡. Это очень сеьезн‡fl ‡т‡к‡ схемы цифо‚ой по‰писи RSA, потому что это — селекти‚н‡fl пелк‡. (Е‚‡ может пеемнож‡ть М1 и М2, чтобы получить полезный M). По‰пись RSA н‡ ‰‡й‰жесте сообщениfl К‡к мы обсу扇ли пеж‰е, по‰пис‡ние ‰‡й‰жест‡ сообщениfl и использние сильно„о ‡л„оитм‡ хэшиниfl имеет несколько пеимущест‚. В случ‡е RSA поцессы по‰пис‡ниfl и по‚еки можно с‰ел‡ть н‡мно„о быстее, потому что схем‡ цифо‚ой по‰писи RSА — не что иное, к‡к шифние с секетным ключом и ‰ешифние с откытым ключом. Использние сильной „‡фической функции хэшиниfl т‡кже ‰ел‡ет ‡т‡ку по‰писи н‡мно„о ту‰нее, что мы коотко объflсним. Рисунок 13.8 иллюстиует схему. Алис‡, по‰писы‚‡ющее лицо, пи пе‚ом использнии со„л‡сует хэшфункцию, чтобы со片ть ‰‡й‰жест сообщениfl D = h(M). З‡тем он‡ по‰писы‚‡ет ‰‡й‰жест, S = Dd mod n. Сообщение и по‰пись пе則ют Бобу. Боб, по‚еflющий, получ‡ет сообщение и по‰пись. Он сн‡ч‡л‡ использует откытый ключ Алисы, 429

Кус

Кипто„‡фиfl и безоп‡сность сетей

чтобы из‚лечь (ф‡йл) ‰‡й‰жест, D’ = Se mod n. З‡тем он пименflет хэш-‡л„оитм ‰лfl то„о, чтобы получить сообщение D = h(M).

Рис. 13.8. По‰пись RSА н‡ ‰‡й‰жесте сообщениfl Боб тепеь с‡‚н肇ет эти ‰‚‡ ‰‡й‰жест‡, D и D’. Если они fl‚лflютсfl с‡‚нимыми по мо‰улю n, он пиним‡ет сообщение. Ат‡ки н‡ по‰пис‡нные ‰‡й‰жесты RSA Н‡сколько ‚оспиимч肇 схем‡ цифо‚ой по‰писи RSA к н‡п‡‰ению, к‡ ‰‡й‰жест уже по‰пис‡н? Ат‡к‡ только н‡ ключ. Возможны ти случ‡fl этой ‡т‡ки. a. Е‚‡ пеех‚‡ты‚‡ет п‡у (S, M) и побует н‡йти ‰у„ое сообщение М’, котоое со片ет тот же с‡мый ‰‡й‰жест, h (M) = h (М’). К‡к мы узн‡ли ‚ лекции 11, если ‡л„оитм хэшиниfl об뇉‡ет устойчи‚остью ко ‚тоому пооб‡зу, эт‡ ‡т‡к‡ очень ту‰н‡. b. Е‚‡ н‡хо‰ит ‰‚‡ сообщениfl, М. и М.’, т‡кие, что h (M) = h (M’). Он‡ собл‡знflет Алису по‰пис‡ть h (M), чтобы н‡йти S; тепеь Е‚‡ имеет п‡у (М’, S), котоое пошло по‰т‚е扇ющий тест, но это — пелк‡. Мы изуч‡ли ‚ лекции 11, что если ‡л„оитм хэшиниfl устойчи‚ к коллизиflм, эт‡ ‡т‡к‡ очень ту‰н‡. c. Е‚‡ случ‡йным по‰боом может н‡йти ‰‡й‰жест сообщениfl D, котоый может соот‚етст‚ть случ‡йной по‰писи S. Он‡ т‡ н‡хо‰ит сообщение М, т‡кое, что D = h (M). К‡к мы узн‡ли ‚ Лекции 11, если хэш-функциfl устойч肇 к пооб‡зу, эт‡ ‡т‡к‡ очень ту‰но осущест‚им‡. Ат‡к‡ пи из‚естном сообщении. Пе‰положим, что Е‚‡ имеет ‰‚е п‡ы по‰писи сообщениfl — (М1,S1) и (М2, S2), котоые были со片ны с использнием о‰но„о и то„о же секетно„о ключ‡. Е‚‡ ‚ычислflет S ≡ S1 × S2. Если он‡ сможет н‡йти сообщение М, т‡кое, что h(M) ≡ h(M1) × h(M2), он‡ сможет пел‡ть но‚ое сообщение. О‰н‡ко н‡хож‰ение М по ‰‡нному h (M) — это очень ту‰ный поцесс, если ‡л„оитм хэшиниfl устойчи‚ к пооб‡зу. 430

Лекциfl 13

Цифfl по‰пись

Ат‡ки по ‚ыб‡нному сообщению. Е‚‡ может попосить, чтобы Алис‡ по‰пис‡л‡ ‰‚‡ з‡конных сообщениfl — М1,и М2 ‰лfl нее. Он‡ может со片ть но‚ую по‰пись S ≡ S1 × S2. Т‡к к‡к Е‚‡ может ‚ычислить h(M) ≡ h(M1) × h(M2), если он‡ может н‡йти сообщение M ‰‡нному h (M), это но‚ое сообщение — пелк‡. О‰н‡ко н‡хож‰ение М по ‰‡нному h (M) – очень ту‰ный поцесс, если ‡л„оитм хэшиниfl устойчи‚ к пооб‡зу. К‡ ‰‡й‰жест по‰пис‡н непосе‰ст‚енно ‚место сообщениfl, ‚оспиимчи‚ость схемы цифо‚ой по‰писи RSA 燂исит от с‚ойст‚ ‡л„оитм‡ хэшиниfl.

Схем‡ цифо‚ой по‰писи Эль-Г‡м‡лfl Киптосистем‡ Эль-Г‡м‡лfl был‡ обсуж‰ен‡ ‚ лекции 10. Схем‡ цифо‚ой по‰писи Эль-Г‡м‡лfl использует те же с‡мые ключи, но ‡л„оитм ‡зличен. Рисунок 13.9 ‰‡ет общую и‰ею схемы цифо‚ой по‰писи Эль-Г‡м‡лfl.

Рис. 13.9. Общ‡fl и‰еfl схемы цифо‚ой по‰писи Эль Г‡м‡лfl В поцессе по‰пис‡ниfl ‰‚е функции со片ют ‰‚е по‰писи. Н‡ стооне по‰т‚еж‰ениfl об‡б‡ты‚‡ют ‚ыхо‰ы ‰‚ух функций и с‡‚н肇ют меж‰у собой ‰лfl по‚еки. Об‡тите ‚ним‡ние, что о‰н‡ и т‡ же функциfl пименflетсfl и ‰лfl по‰пис‡ниfl, и ‰лfl по‚еки, но использует ‡зличные ‚хо‰ы. Рисунок пок‡зы‚‡ет ‚хо‰ы к‡ж‰ой функции. Сообщение — ч‡сть ‚х, ‰лfl обеспечениfl функциониниfl пи по‰пис‡нии; оно же — ч‡сть ‚х к функции 1 пи по‰т‚еж‰ении. Об‡тите ‚ним‡ние, что ‚ычислениfl ‚ функциflх 1 и 3 по‚о‰flтсfl по мо‰улю p, ‡ функции 2 — по мо‰улю p – 1. Гене‡циfl ключей Поце‰у‡ „ене‡ции ключей з‰есь точно т‡к‡fl же, к‡к т‡, кото‡fl используетсfl ‚ кипто„‡фической системе. Выбеем ‰ост‡точно большое постое число p, чтобы ‚ поле Z p* поблем‡ ‰искетно„о лифм‡ был‡ ‰ост‡точно ту‰431

Кус

Кипто„‡фиfl и безоп‡сность сетей

ной. Пусть e1 — постой элемент ‚ Z p*. Алис‡ ‚ыби‡ет с‚ой секетный ключ d, чтобы он был меньше, чем p – 1. Он‡ ‚ычислflет e2 = e1d. Откытый ключ Алисы — котеж (e1, e2, p); секетный ключ Алисы — d. В схеме цифо‚ой по‰писи Эль-Г‡м‡лfl (e1, e2, p) — откытый ключ Алисы; d —секетный ключ Алисы. По‰т‚еж‰ение и по‚ек‡ Рисунок 13.10 пок‡зы‚‡ет схему цифо‚ой по‰писи Эль-Г‡м‡лfl. По‰писы‚‡ющ‡flсfl Алис‡ может по‰пис‡ть ‰‡й‰жест сообщениfl, н‡п‡‚ленный к любому объекту, ‚ключ‡fl Боб‡. 1. Алис‡ ‚ыби‡ет секетное случ‡йное число r. Об‡тите ‚ним‡ние, что хотfl откытые и секетные ключи мо„ут использтьсfl нео‰нок‡тно, Алис‡ к‡ж‰ый ‡з ну扇етсfl ‚ но‚ом r, к‡ он‡ по‰писы‚‡ет но‚ое сообщение.

Рис. 13.10. Схем‡ цифо‚ой по‰писи Эль-Г‡м‡лfl 2. Алис‡ ‚ычислflет пе‚ую по‰пись S1 = e1r mod p. 3. Алис‡ ‚ычислflет ‚тоую по‰пись S2 = (М – d × S1) × r-1 mod (p – 1), „‰е r-1 — мультиплик‡ти‚н‡fl ин‚есиfl r по мо‰улю p. 4. Алис‡ пе則ет М, S1 и S2 Бобу. По‚ек‡. Объект, н‡пиме Боб, получ‡ет М, S1 и S2 и может по‚еить их сле‰ующим об‡зом. 1. Боб по‚еflет, что 0 < S1 < p. 2. Боб по‚еflет, что 0 < S2 < p – 1. 3. Боб ‚ычислflет V1 = e1 M mod p. 4. Боб ‚ычислflет V2 = e2S1 × S1S2 mod p. 432

Лекциfl 13

Цифfl по‰пись

5. Если V1 fl‚лflетсfl с‡‚нимым по мо‰улю p с V2, сообщение пинflто; ин‡че оно бу‰ет отклонено. Мы можем ‰ок‡з‡ть п‡‚ильность это„о китеиfl по‚еки, используfl e2 = e1d и S1 = e1r:

Поскольку e1 — пе‚ооб‡зный коень, может быть ‰ок‡з‡но, что ‚ышеупомflнутое с‡‚нение сп‡‚е‰ли‚о т‡ и только т‡, к‡ M ≡ [dS1 + rS2] mod (p –1) или S2 ≡ [(M – d × S1) × r–1] mod (p –1), и езульт‡т с‡‚нениfl есть тот же с‡мый S2, с котоо„о мы н‡ч‡ли поцесс по‰пис‡ниfl. Пиме 13.2 Ниже пи‚о‰итсfl ти‚и‡льный пиме. Алис‡ ‚ыб‡л‡ p = 3119, e1 = 2, d = 127 и ‚ычислил‡ e2 = 2127 mod 3119 = 1702. Он‡ ‚ыб‡л‡ r ‡‚ным 307. Он‡ объfl‚ил‡ e1, e2 и p; он‡ сох‡нил‡ ‚ т‡йне d. Д‡лее пок‡з‡но, к‡к Алис‡ может по‰пис‡ть сообщение.

Алис‡ пе則ет М, S1 и S2 Бобу. Боб использует откытый ключ, чтобы ‚ычислить, что сообщение по‰пис‡но Алисой, потому что никто, коме Алисы, не имеет секетно„о ключ‡ d.

Поскольку V1 и V2 fl‚лflютсfl fl‚лflютсfl с‡‚нимыми по мо‰улю p, Боб пиним‡ет сообщение, и он пе‰по뇄‡ет, что сообщение было по‰пис‡но Алисой, потому что никто, коме нее, не имеет секетно„о ключ‡ Алисы d. Пиме 13.3 Тепеь ‚ооб‡зите, что Алис‡ хочет пе則ть ‰у„ое сообщение, М = 3000, Тэ‰у. Он‡ ‚ыби‡ет но‚ое r = 107. Алис‡ пе則ет М., S1 и S2 Тэ‰у. Тэ‰ использует обще‰оступные ключи, чтобы ‚ычислить V1 и V2.

433

Кус

Кипто„‡фиfl и безоп‡сность сетей

Поскольку V1 и V2 fl‚лflютсfl fl‚лflютсfl с‡‚нимыми по мо‰улю p, Тэ‰ пиним‡ет сообщение; он пе‰по뇄‡ет, что сообщение по‰пис‡но Алисой, потому что никто, коме нее, не имеет секетно„о ключ‡ Алисы d. Об‡тите ‚ним‡ние, что сообщение может получить любой чело‚ек. Цель состоит не ‚ том, чтобы скыть сообщение, но ‚ том, чтобы ‰ок‡з‡ть, что е„о пе則ет Алис‡. Пелк‡ цифо‚ой по‰писи ‚ схеме Эль-Г‡м‡лfl Схем‡ цифо‚ой по‰писи Эль-Г‡м‡лfl уflз‚им‡ к экзистенци‡льной пелке, но селекти‚ную пелку н‡ этой схеме с‰ел‡ть очень ту‰но. Пелк‡ только ключ‡. В этом типе пелки Е‚‡ имеет ‰оступ только к откытому ключу. Возможны ‰‚‡ ‚‡и‡нт‡. 1. Е‚‡ имеет з‡‡нее 燉‡нное сообщение М. Он‡ ‰олжн‡ пел‡ть по‰пись Алисы н‡ этом сообщении. Е‚‡ ‰олжн‡ н‡йти ‰‚е п‡‚ильных по‰писи S1 и S2 ‰лfl это„о сообщениfl. Это — селекти‚н‡fl пелк‡. a. Е‚‡ может ‚ыб‡ть S2 и ‚ычислить S1. Он‡ ‰олжн‡ иметь dS1 × S1S2 ≡ e1M(mod p). Ду„ими слми, S1S2 ≡ e1M × d–S1(mod p) или S2 ≡ logS1(e1M × d–S1)(mod p). Это озн‡ч‡ет ‚ычисление ‰искетно„о лифм‡, что fl‚лflетсfl очень ту‰ным. b. Е‚‡ может ‚ыб‡ть S2 и ‚ычислить S1. Это н‡мно„о ту‰нее, чем ‚ыполнить ч‡сть a. 2. Е‚‡ может мето‰ом случ‡йно„о по‰бо‡ н‡йти ти зн‡чениfl, М, S1 и S2 , т‡кие, что по‰пись пе‚о„о используетсfl ‰лfl ‚тоо„о. Если Е‚‡ может н‡йти ‰‚‡ но‚ых п‡‡мет‡ x и y, т‡кие, что М = xS2 mod (p – 1) и S1 = –y S2 mod (p – 1), то он‡ может пел‡ть сообщение, но сеьезной ‚ы„о‰ы не получит, поскольку это — экзистенци‡льн‡fl пелк‡. Пелк‡ пи из‚естном сообщении. Если Е‚‡ пеех‚‡тил‡ сообщение М и е„о ‰‚е по‰писи S1 и S2, он‡ может н‡йти ‰у„ое сообщение М’, с той же с‡мой п‡ой по‰писей S1 и S2. О‰н‡ко об‡тите ‚ним‡ние, что это — экзистенци‡льн‡fl пелк‡, кото‡fl не помет Е‚е.

Схем‡ цифо‚ой по‰писи Шно‡ Поблем‡ схемы цифо‚ой по‰писи Эль-Г‡м‡лfl — ‚ том, что p ‰олжно быть очень большим, чтобы с‰ел‡ть ту‰ной поблему ‰искетно„о лифм‡ Zp*. Рекомен‰уетсfl ‰лин‡ p по к‡йней мее 1024 бито‚. Можно с‰ел‡ть по‰пись ‡змеом 2048 бит. Чтобы уменьшить ‡зме по‰писи, Шно пе‰ложил но‚ую схему, осннную н‡ схеме Эль-Г‡м‡лfl, но с уменьшенным ‡змеом по‰писи. Рисунок 13.11 ‰‡ет общую и‰ею схемы цифо‚ой по‰писи Шно‡. В поцессе по‰пис‡ниfl ‰‚е функции со片ют ‰‚е по‰писи; ‚ поцессе по‚еки ‚ыхо‰ о‰ной функции с‡‚н肇етсfl с пе‚ой по‰писью ‰лfl по‚еки. Рисунок 13.11 пок‡зы‚‡ет ‚хо‰ы к к‡ж‰ой функции. В‡жно то, что схем‡ использует 434

Лекциfl 13

Цифfl по‰пись

Рис. 13.11 Общ‡fl и‰еfl схемы цифо‚ой по‰писи Шно‡ ‰‚‡ мо‰улfl: p и q. Функции 1 и 3 пименflют p; функциfl 2 — q. Дет‡ли ‚хо‰о‚ и функций бу‰ут коотко обсуж‰ены ‰‡лее. Гене‡циfl ключей Пее‰ по‰пис‡нием сообщениfl Алис‡ ‰олжн‡ „енеить ключи и объfl‚ить ‚сем откытые ключи. 1. Алис‡ ‚ыби‡ет постое число p, котоое обычно ‡‚но по ‰лине 1024 бит‡м. 2. Алис‡ ‚ыби‡ет ‰у„ое постое число q, котоое имеет т‡кой же ‡зме, что и ‰‡й‰жест, со片нный функцией кипто„‡фическо„о хэшиниfl (‚ н‡стоflщее ‚емfl 160 бито‚, но это может изменитьсfl ‚ бу‰ущем). Постое число q ‰олжно ‰елитьсfl н‡ (p – 1). Ду„ими слми, (p – 1) = 0 mod q. 3. Алис‡ ‚ыби‡ет e1, q-тый коень котоо„о был бы ‡‚ен 1 mod p. Чтобы с‰ел‡ть это, Алис‡ ‚ыби‡ет пимити‚ный элемент ‚ Zp, e0 (см. пиложение J) и ‚ычислflет e1 = e0 (p-1)/q mod p. 4. Алис‡ ‚ыби‡ет целое число, d, к‡к с‚ой секетный ключ. 5. Алис‡ ‚ычислflет e2 = e1d mod p. 6. Обще‰оступный ключ Алисы — (e1, e2, p, q), ее секетный ключ — (d). В схеме цифо‚ой по‰писи Шно‡ откытый ключ Алисы — (e1, e2, p, q); ее секетный ключ — (d). По‰пис‡ние и по‚ек‡ Рисунок 13.12 пок‡зы‚‡ет схему цифо‚ой по‰писи Шно‡. По‰пис‡ние 1. Алис‡ ‚ыби‡ет случ‡йное число r. Об‡тите ‚ним‡ние, что откытый и секетный ключи мо„ут использтьсfl ‰лfl по‰писи мно„их сообщений. Но Алис‡ ‰олжн‡ изменflть r к‡ж‰ый ‡з, к‡ он‡ пе則ет но‚ое сообщение. Об‡тите ‚ним‡ние т‡кже н‡ то, что r ‰олжен иметь зн‡чение меж‰у 1 и q. 435

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 13.12. Схем‡ цифо‚ой по‰писи Шно‡ 2. Алис‡ ‚ычислflет пе‚ую по‰пись S1 = h(M | e1r mod p). Сообщение писое‰инflетсfl (конк‡тениуетсfl) спее‰и к зн‡чению e1r mod p, з‡тем пименflетсfl хэш-функциfl, чтобы со片ть ‰‡й‰жест. Об‡тите ‚ним‡ние, что хэш-функциfl непосе‰ст‚енно не пименflетсfl к сообщению, но ‚место это„о он‡ получ‡етсfl из после‰о‚‡тельно„о сое‰инениfl М. и e1r mod p. 3. Алис‡ ‚ычислflет ‚тоую по‰пись S2 = r + d × S1 mod q. Об‡тите ‚ним‡ние, что эт‡ ч‡сть — ‚ычисление S2 — ‰ел‡етсfl ‚ ‡ифметике по мо‰улю q. 4. Алис‡ пе則ет М., S1 и S2. Веифик‡циfl (по‚ек‡) сообщениfl. Пиемник, н‡пиме, Боб, получ‡ет М, S1 и S2. 1. Боб ‚ычислflет V = h (М | e1S2 e2–S1 mod p). 2. Если S1 кон„уэнтно V по мо‰улю p, сообщение пинflто; ин‡че оно отклонflетсfl. Пиме 13.4 Вот ти‚и‡льный пиме. Пе‰положим, что мы ‚ыби‡ем q = 103 и p = 2267. Об‡тите ‚ним‡ние н‡ то, что p = 22 × q + 1. Мы ‚ыби‡ем e0 = 2, котоое fl‚лflетсfl элементом ‚ Z2267*. Т‡ (p – 1) / q = 22, т‡к что мы имеем e1 = 222 mod 2267 = 354. Мы ‚ыби‡ем d = 30, т‡ e2 = 35430 mod 2267 = 1206. Секетный ключ Алисы тепеь — (d), ее откытый ключ — (e1,e2,p,q). Алис‡ хочет пе則ть сообщение М. Он‡ ‚ыби‡ет r = 11 и ‚ычислflет er = 35411 = 630 mod 2267. Пе‰положим, что сообщение — 1000, и конк‡тен‡циfl (после‰о‚‡тельное сое‰инение) озн‡ч‡ет 1000630. Т‡кже пе‰положим, что хэшио436

Лекциfl 13

Цифfl по‰пись

‚‡ние это„о зн‡чениfl ‰‡ет ‰‡й‰жест h (1000630) = 200. Это озн‡ч‡ет S1 = 200. Алис‡ ‚ычислflет S2 = r + d ×S1 mod q = 11 + 1026 × 200 mod 103 = 11 + 24 = 35. Алис‡ пе則ет сообщение М =1000, S1 = 200 и S2 = 35. По‚еку ост‡‚лflем к‡к уп‡жнение. Пелк‡ по схеме по‰писи Шно‡ Похоже, что ‚се ‡т‡ки н‡ схему Эль-Г‡м‡лfl мо„ут быть пименены к схеме Шно‡. О‰н‡ко схем‡ Шно‡ н‡хо‰итсfl ‚ лучшем положении, потому что S1 = h (М | e1r(mod p)). Это озн‡ч‡ет, что хэш-функциfl пименflетсfl к комбин‡ции сообщение и e1r, ‚ котоой r fl‚лflетсfl секетным.

Ст‡н‰‡т цифо‚ой по‰писи (DSS) Ст‡н‰‡т цифо‚ой по‰писи (DSS – Digital Signature Standard) был пинflт н‡цион‡льным Институтом Ст‡н‰‡то‚ и Техноло„ии (NIST) ‚ 1994 „. NIST и片л DSS к‡к FIPS-186 (FEDERAL INFORMATION PROCESSING STANDARD 186). DSS пименflет ‡л„оитм цифо‚ой по‰писи (DSA), осннный н‡ схеме Эль-Г‡м‡лfl, с использнием некотоых и‰ей из схемы Шно‡. DSS китиклсfl со ‚емени е„о и片ниfl. Г뇂н‡fl петензиfl — оценк‡ безоп‡сности поект‡ DSS. Вто‡fl — ‡зме посто„о числ‡, 512 бито‚. Позже NIST с‰ел‡л это число пееменно„о ‡зме‡, чтобы от‚етить н‡ эту петензию. Рисунок 13.13 ‰‡ет общую и‰ею схемы DSS.

Рис. 13.13. Общ‡fl и‰еfl схемы DSS В поцессе по‰пис‡ниfl ‰‚е функции со片ют ‰‚е по‰писи; ‚ поцессе по‚еки ‚ыхо‰ о‰ной функции с‡‚н肇етсfl с пе‚ой по‰писью ‰лfl по‚еки. Это по‰обно схеме Шно‡, но ‚хо‰ы ‡зличны. Ду„ое отличие: эт‡ схем‡ использует ‰‡й‰жест сообщениfl (не с‡мо сообщение) к‡к ч‡сть ‚хо‰о‚ к функциflм 1 и 3. Интеесно то, что схем‡ пименflет ‰‚‡ обще‰оступных мо‰улfl: p и q. Функции 1 и 3 используют об‡ мо‰улfl p и q, функциfl 2 — только q. Дет‡ли ‚хо‰о‚ и функций коотко ‡ссм‡т肇ютсfl ниже. Гене‡циfl ключей Пее‰ по‰пис‡нием сообщениfl к любому объекту Алис‡ ‰олжн‡ „енеить ключи и объfl‚ить обще‰оступные ключи. 437

Кус

Кипто„‡фиfl и безоп‡сность сетей

1. Алис‡ ‚ыби‡ет постое число ‰линой p меж‰у 512 и 1024 бит‡ми. Число бито‚ ‚ p ‰олжно быть к‡тно числу 64. 2. Алис‡ ‚ыби‡ет постое число н‡ 160 бито‚ q с т‡ким усло‚ием, чтобы оно ‰елилось н‡ (p – 1). 3. Алис‡ использует ‰‚е „уппы умножениfl, и ; ‚то‡fl — пупп‡ пе‚ой. 4. Алис‡ со片ет e1, т‡кое, чтобы оно было q-тым конем 1 по мо‰улю p (e1p = 1 mod p). Он‡ поступ‡ет т‡к: ‚ыби‡ет элемент ‚ Zp, e0, и ‚ычислflет e1 = e0(p–1)/q. 5. Алис‡ ‚ыби‡ет d к‡к секетный ключ и ‚ычислflет e2 = e1d. 6. Обще‰оступный ключ Алисы — (e1, e2, p, q), ее секетный ключ – (d). По‰пис‡ние и по‚ек‡ Рисунок 13.14 пок‡зы‚‡ет схему DSS.

Рис. 13.14. Схем‡ DSS По‰пис‡ние. Ниже пок‡з‡ны ш‡„и по‰пис‡ниfl сообщениfl. 1. Алис‡ ‚ыби‡ет случ‡йное число r(1 ≤ r ≤ q). Об‡тите ‚ним‡ние, что хотfl откытые и секетные ключи мо„ут быть ‚ыб‡ны о‰ин ‡з и использтьсfl ‰лfl то„о, чтобы по‰пис‡ть мно„о сообщений, Алис‡ ‰олжн‡ ‚ыби‡ть к‡ж‰ый ‡з но‚ый r, к‡ он‡ ‰олжн‡ по‰пис‡ть но‚ое сообщение. 2. Алис‡ ‚ычислflет пе‚ую по‰пись S1 = (e1r mod p) mod q. Об‡тите ‚ним‡ние: зн‡чение пе‚ой по‰писи не 燂исит от М (сообщениfl). 3. Алис‡ со片ет ‰‡й‰жест сообщениfl h (M). 438

Лекциfl 13

Цифfl по‰пись

4. Алис‡ ‚ычислflет ‚тоую по‰пись S2 = (h(M) + d S1)r–1 mod q. Об‡тите ‚ним‡ние, что ‚ычисление S2 ‰ел‡етсfl по мо‰улю q. 5. Алис‡ посыл‡ет M, S1 и S2 Бобу. По‚ек‡ (‚еифик‡циfl). Длfl по‚еки сообщениfl обычно пименflютсfl сле‰ующие ш‡„и, к‡ получены М, S1 и S2. 1. Боб по‚еflет S1 0 < S 1 < q. 2. Боб по‚еflет S2 0 < S2 < q. 3. Боб ‚ычислflет ‰‡й‰жест М, пименflfl ‡л„оитм хэшиниfl, используемый Алисой. 4. Боб ‚ычислflет V = (e1h(M)S2-1 e2S1S2-1mod p) mod q. 5. Если S кон„уэнтен V, сообщение пиним‡етсfl; ин‡че — отклонflетсfl. Пиме 13.5 Алис‡ ‚ыби‡ет q = 101 и p = 8081. Алис‡ ‚ыби‡ет e0 = 3 и ‚ычислflет e1 = e0(p – 1)/q mod p = 6968. Алис‡ ‚ыби‡ет d = 61 ‚ к‡чест‚е секетно„о ключ‡ и ‚ычислflет e2 = e1d mod p = 2038. Тепеь Алис‡ может пе則ть сообщение Бобу. Пе‰положим, что h (M) = 5000, и Алис‡ ‚ыби‡ет r = 61:

Алис‡ пе則ет М, S1 и S2 Бобу. Боб использует обще‰оступные ключи, чтобы ‚ычислить V.

Поскольку S1 и V fl‚лflютсfl с‡‚нимыми, Боб пиним‡ет сообщение. С‡‚нение DSS и RSА Вычисление DSS-по‰писи быстее, чем ‚ычисление по‰писей RSА, пи использнии то„о же с‡мо„о p. С‡‚нение DSS и схемы Эль-Г‡м‡лfl DSS-по‰пись — меньше, чем по‰писи ‚ схеме Эль-Г‡м‡лfl, потому что q меньше, чем p.

Схем‡ цифо‚ой по‰писи эллиптической ки‚ой Н‡ш‡ после‰нflfl схем‡ — схем‡ цифо‚ой по‰писи эллиптической ки‚ой (ECDSS — Elliptic Curve Digital Signature Scheme), кото‡fl осно‚‡н‡ н‡ пименении эллиптических ки‚ых, — их мы обсу扇ли ‚ Лекции 10. Схем‡ ин‡ упо439

Кус

Кипто„‡фиfl и безоп‡сность сетей

мин‡етсfl к‡к ECDSA (Elliptic Curve Digital Signature Algorithm). Рисунок 13.15 пок‡зы‚‡ет общую и‰ею ECDSS. В поцессе по‰пис‡ниfl ‰‚е функции и экст‡кто (из‚лек‡ющее устойст‚о) со片ют ‰‚е по‰писи; ‚ поцессе по‚еки (‚еифик‡ции) об‡б‡ты‚‡ют ‚ыхо‰ о‰ной функции (после похож‰ениfl чеез экст‡кто) и с‡‚н肇ют ее с пе‚ой по‰писью ‰лfl по‚еки. Функции f1 и f3 ф‡ктически со片ют точки н‡ ки‚ой. Пе‚‡fl со片ет но‚ую точку ‰лfl секетно„о ключ‡ по‰писы‚‡юще„о лиц‡. Вто‡fl — но‚ую точку из ‰‚ух обще‰оступных ключей по‰писы‚‡юще„о лиц‡. К‡ж‰ый экст‡кто из‚лек‡ет пе‚ые коо‰ин‡ты соот‚етст‚ующей точки ‚ мо‰ульной ‡ифметике. Дет‡ли ‚хо‰о‚ и функций коотко обсу扇ютсfl ‰‡лее.

Рис. 13.15. Общ‡fl и‰еfl схемы DSS Гене‡циfl ключей Гене‡циfl ключей осущест‚лflетсfl сле‰ующими ш‡„‡ми. 1. Алис‡ ‚ыби‡ет эллиптическую ки‚ую Ep (a,b) с постым числом p. 2. Алис‡ ‚ыби‡ет ‰у„ое постое число q, чтобы использть ‰лfl ‚ычислениfl. 3. Алис‡ ‚ыби‡ет секетный ключ d, целое число. 4. Алис‡ ‚ыби‡ет точку н‡ ки‚ой e1(.,….) 5. Алис‡ ‚ычислflет e2 (..,....) = d × e1 (......), ‰у„ую точку н‡ ки‚ой. 6. Обще‰оступный ключ Алисы — (a, b, p, q, e1\, e2), ее секетный ключ — d. По‰пис‡ние и по‚ек‡ (‚еифик‡циfl) Рисунок 13.16 пок‡зы‚‡ет схему цифо‚ой по‰писи эллиптической ки‚ой. По‰пис‡ние. Поцесс по‰пис‡ниfl состоит „뇂ным об‡зом из ‚ыбо‡ секетно„о случ‡йно„о числ‡, со片ниfl тетьей точки н‡ ки‚ой, ‚ычислениfl ‰‚ух по‰писей и пе則чи сообщениfl и по‰писей. 1. Алис‡ ‚ыби‡ет секетное случ‡йное число, r, меж‰у 1 и q – 1. 2. Алис‡ ‚ыби‡ет тетью точку н‡ ки‚ой, P (u, v) = r × e1 (......). 440

Лекциfl 13

Цифfl по‰пись

Рис. 13.15. Общ‡fl и‰еfl схемы ECDSS 3. Алис‡ использует пе‚ые коо‰ин‡ты P (u, v), чтобы ‚ычислить пе‚ую по‰пись S1. Это озн‡ч‡ет S1 = u mod q. 4. Алис‡ использует ‰‡й‰жест сообщениfl, с‚ой секетный ключ и секетное случ‡йное число r и S1, чтобы ‚ычислить ‚тоую по‰пись S2 = (h (M) + d × S1) r-1 mod q, 5. Алис‡ пе則ет М, S1 и S2. По‚ек‡ (‚еифик‡циfl). Поцесс по‚еки состоит „뇂ным об‡зом из ‚осст‡но‚лениfl тетьей точки и по‰т‚еж‰ениfl, что пе‚‡fl коо‰ин‡т‡ эк‚肇лентн‡ S1 по мо‰улю q. Об‡тите ‚ним‡ние, что тетьfl точк‡ был‡ соз‰‡н‡ по‰писы‚‡ющим лицом, использующим секетное случ‡йное число r. Веифик‡то не имеет это„о зн‡чениfl. Ему нужно со片ть тетью точку из ‰‡й‰жест‡ сообщениfl, S1, и S2. 1. Боб пименflет М, S1 и S2 ‰лfl со片ниfl ‰‚ух помежуточных езульт‡то‚ A и B: A = h(M)S2-1 mod q

B = S2-1S1 mod q

З‡тем Боб ‚осст‡н‡‚л肇ет тетью точку T(x,y) = A × e1(…,…) + B × e2(…,…). 2. Боб использует пе‚ую коо‰ин‡ту из T(x,y), чтобы по‚еить сообщение. Если x = S1 mod q, по‰пись пиним‡етсfl, ин‡че — отклонflетсfl.

13.6. В‡и‡нты и пиложениfl В этой секции к‡тко обсу扇ютсfl ‚‡и‡нты и пиложениfl ‰лfl цифо‚ых по‰писей. 441

Кус

Кипто„‡фиfl и безоп‡сность сетей

В‡и‡нты Ниже по‚о‰итсfl к‡ткое обсуж‰ение некотоых ‚‡и‡нто‚ и ‰ополнений к „л‡‚ному понflтию цифо‚ых по‰писей. Длfl более четко„о поним‡ниfl чит‡тель может посмотеть специ‡льную лите‡туу. По‰пись с ук‡з‡нием ‚емени Ин‡ по‰пис‡нный ‰окумент ‰олжен иметь ук‡з‡ние ‚емени, чтобы пепflтст‚ть ‰ейст‚иflм поти‚ник‡. Это н‡з‚‡но схемой цифо‚ой по‰писи с ук‡з‡нием ‚емени. Н‡пиме, Алис‡ по‰писы‚‡ет ук‡з‡ние с‚оему б‡нку (усло‚но Бобу) ‚ы‰‡ть некотоую сумму ‰ене„ Е‚е. Документ может быть пеех‚‡чен Е‚ой, если н‡ этом ‰окументе нет ник‡ко„о ук‡з‡ниfl ‚емени. Включение ф‡ктической ‰‡ты и ‚емени н‡ ‰окумент‡х может со片ть поблемы — несинхонизинные ч‡сы, отсутст‚ие уни‚ес‡льно„о ‚емени. О‰но ешение состоит ‚ том, чтобы использть nonce (number only once — Nonce) — о‰но‡зо‚ое случ‡йное число, котоое может быть 燉ейст‚но только о‰н‡ж‰ы. К‡ пиемник получ‡ет ‰окумент с nonce, он сост‡‚лflет пимеч‡ние, что число было использно пе則тчиком и не может использтьсfl сн. Ду„ими слми, но‚ый nonce — «н‡стоflщее ‚емfl»; пимененный nonce опе‰елflет «пошлое ‚емfl». Слепые по‰писи Ин‡ мы имеем ‰окумент, котоый хотим по‰пис‡ть, не ‡скы‚‡fl со‰еж‡ние ‰окумент‡ по‰писы‚‡ющему лицу. Н‡пиме, ученый хочет сообщить Бобу, что он, ‚озможно, откыл очень ‚‡жную теоию, котоую необхо‰имо 燂еить у обычно„о нот‡иус‡. Он посит Алису пе則ть это, не ‡зеш‡fl ей узн‡ть со‰еж‡ние теоии. Длfl этой цели Дэ‚и‰ Чом (David Caum) ‡з‡бот‡л некотоые п‡тентнные слепые схемы цифо‚ой по‰писи. Г뇂н‡fl и‰еfl состоит ‚ сле‰ующем. ‡. Боб со片ет сообщение и м‡скиует (з‡темнflет) е„о. Боб пе則ет м‡скинное сообщение Алисе. б. Алис‡ по‰писы‚‡ет з‡м‡скинное сообщение и ‚оз‚‡щ‡ет по‰пись н‡ з‡м‡скинном сообщении. ‚. Боб сним‡ет нем‡скинную по‰пись, чтобы получить по‰пись н‡ пе‚он‡ч‡льном сообщении. Слеп‡fl по‰пись, осннн‡fl н‡ схеме RSА. Опишем к‡тко слепую схему цифо‚ой по‰писи, ‡з‡бот‡нную Дэ‚и‰ом Чомом. М‡скио‚к‡ может быть с‰ел‡н‡ с использнием ‚‡и‡нт‡ схемы RSA. Боб ‚ыби‡ет случ‡йное число, b, и ‚ычислflет слепое сообщение B = М × be mod n, ‚ котоом e fl‚лflетсfl откытым ключом Алисы и n — опе‰еленным мо‰улем ‚ схеме цифо‚ой по‰писи RSА. Об‡тите ‚ним‡ние, что b ин‡ н‡зы‚‡етсfl «м‡скиующим коэффициентом», котоый Боб пе則ет Алисе. Алис‡ по‰писы‚‡ет м‡скинное сообщение, используfl ‡л„оитм по‰пис‡ниfl, опе‰еленный ‚ RSA. Цифfl по‰пись – Sblind = Bd mod n, „‰е d fl‚лflетсfl секетным ключом Алисы. Об‡тите ‚ним‡ние, что Sb — по‰пись н‡ слепой (м‡скинной) ‚есии сообщениfl. 442

Лекциfl 13

Цифfl по‰пись

Боб посто использует мультиплик‡ти‚ную ин‚есию е„о случ‡йно„о числ‡ b, чтобы от‰елить слепое сообщение от по‰писи. По‰пись — S = Sb b-1 mod n. Мы можем ‰ок‡з‡ть, что S — по‰пись н‡ пе‚он‡ч‡льном сообщении, к‡к это опе‰елено ‚ схеме цифо‚ой по‰писи RSA:

„‰е S — по‰пись, если Боб пе則л пе‚он‡ч‡льное сообщение, котоое бу‰ет по‰пис‡но Алисой. Пе‰от‚‡щение мошенничест‚‡. Пи слепой по‰писи поfl‚лflетсfl оп‡сность, что Боб, может ‰‡ть Алисе по‰пис‡ть слепое сообщение, котоое может 퇂е‰ить ей. Н‡пиме, сообщение Боб‡ мо„ло быть ‰окументом, ут‚е扇ющим, что Алис‡ пе則ст Бобу ‚се с‚ое имущест‚о после ее смети. Есть по к‡йней мее ти способ‡ пе‰от‚‡тить т‡кой ущеб. ‡. А‰минист‡циfl может и片ть юи‰ический ‡кт, что Алис‡ не от‚етст‚енн‡ з‡ по‰пись любо„о слепо„о сообщениfl, котоое н‡уш‡ет ее интеесы. б. Алис‡ может з‡посить ‰окумент от Боб‡, что сообщение, котоое он‡ по‰пишет, не н‡носит ей ущеб‡. ‚. Алис‡ мо„л‡ бы тебть, чтобы Боб ‰ок‡з‡л с‚ою честность пеж‰е, чем он‡ по‰пишет ему слепое сообщение Бесспоные цифо‚ые по‰писи Бесспоные схемы цифо‚ой по‰писи — изflщное изобетение Чом‡ и В‡н Ант‚епен‡ (van Antwerpen). Бесспон‡fl схем‡ цифо‚ой по‰писи имеет ти компонент‡: ‡л„оитм по‰пис‡ниfl, потокол по‚еки и потокол отиц‡ниfl. Ал„оитм по‰пис‡ниfl поз‚олflет Алисе по‰писы‚‡ть сообщение. Потокол по‚еки использует мех‡низм ‚ыз-от‚ет‡ (‡ссмотенный ‚ лекции 14), с е„о помощью Алис‡ может по‰т‚е‰ить с‚ою по‰пись. Это пе‰от‚‡щ‡ет копиние и ‡спе‰еление по‰пис‡нно„о сообщениfl без о‰обениfl Алисы. Потокол отиц‡ниfl помет Алисе отиц‡ть ф‡льши‚ую по‰пись. Чтобы потом иметь ‚озможность ‰ок‡з‡ть, что по‰пись — пелк‡, Алис‡ ‰олжн‡ пинflть уч‡стие ‚ сост‡‚лении потокол‡ отиц‡ниfl.

Пиложениfl В ‰‡льнейшем ‚ этой кни„е обсу扇ютсfl несколько пиложений кипто„‡фии ‰лfl сете‚ой безоп‡сности. Большинст‚о этих пиложений непосе‰ст‚енно или кос‚енно тебует использниfl откытых ключей. Чтобы использть откытый ключ, чело‚ек ‰олжен ‰ок‡з‡ть, что он з‡конно ‚л‡‰еет этим ключом. По этой пичине был‡ ‡з‡бот‡н‡ и‰еfl сетифик‡ции и с‚и‰етельст‚ сетифик‡ции (CA) (см. лекцию 14 и лекцию 15). С‚и‰етельст‚‡ (CA), чтобы быть пизн‡нными, ‰олжны быть по‰пис‡ны. Цифо‚ые по‰писи используютсfl, чтобы обеспечить т‡кое ‰ок‡з‡тельст‚о. К‡ Алис‡ ‰олжн‡ пименить откытый ключ Боб‡, он‡ пользуетсfl с‚и‰етельст‚ом. Сетифицинные CA используют обще‰оступный ключ с секетным ключом и по‚еflемой по‰писью Алисы. С‡мо с‚и‰етельст‚о со‰ежит обще‰оступный ключ Боб‡. 443

Кус

Кипто„‡фиfl и безоп‡сность сетей

Се„о‰нflшние потоколы, котоое используют услу„и CA, – это IPSec (лекциfl 18), SSL/TLS (лекциfl 17) и S/MIME (лекциfl 16). Потокол PGP пеж肇ет с‚и‰етельст‚‡, но они мо„ут быть з‡менены со„л‡шениflми меж‰у лю‰ьми ‚ сообщест‚е.

13.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и [Sti06], [TW06] и [PHS03] по‰обно ‡ссм‡т肇ют цифо‚ые по‰писи.

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http://www.itl.nist.gcv/npspubs/fip 186.htm csrc.nist.gov/publiCti ions/tips/tips 186-2/fipsl 86-2-changel http://en.wikipedia.org /wiki/ElGamal_signature_scheme csrc.nist.gov/cryptvd/dss/ECDSAVS.pdf http://en.wikipedia.org/wiki/ElGamal_signature_scheme http://en.wikipedia.org/wiki/Digital_signature

13.8. Ито„и • Схем‡ цифо‚ой по‰писи может обеспечить те же с‡мые услу„и, что и обычн‡fl по‰пись. Обычн‡fl по‰пись — это ч‡сть ‰окумент‡; цифfl по‰пись — от‰ельный объект. Чтобы по‚еflть обычную по‰пись, получ‡тель с‡‚н肇ет по‰пись с по‰писью ‚ ‡хи‚е; чтобы по‚еflть цифо‚ую по‰пись, получ‡тель н‡ осно‚е ‰окумент‡ по‚о‰ит поцесс по‰т‚еж‰ениfl по‰писи. Меж‰у ‰окументом и обычной по‰писью отношение «о‰ин к мно„им»; Меж‰у цифо‚ой по‰писью и ‰окументом отношение «о‰ин к о‰ному». • Цифо‚ые по‰писи обеспеч肇ют уст‡но‚ление по‰линности сообщениfl, ‡ т‡кже целостность сообщениfl, если ‰‡й‰жест сообщениfl по‰пис‡н непосе‰ст‚енно ‚место сообщениfl, и исключение отк‡з‡ от сообщениfl, если 燉ейст‚но тетье лицо, котоому ‰о‚еflют. • Цифfl по‰пись не может обеспечить конфи‰енци‡льность сообщениfl. Если необхо‰им‡ конфи‰енци‡льность, коме схемы цифо‚ой по‰писи ‰олжн‡ быть пименен‡ кипто„‡фическ‡fl систем‡. • Цифfl по‰пись ну扇етсfl ‚ ‡симметично-ключе‚ой системе. В кипто„‡фической системе мы используем секетные и откытые ключи пиемник‡; ‰лfl цифо‚ых по‰писей мы используем секетные и откытые ключи пе則тчик‡. 444

Лекциfl 13

Цифfl по‰пись

• Схем‡ цифо‚ой по‰писи RSA пименflет кипто„‡фическую систему RSA, но оли секетных и откытых ключей изменflютсfl. Схем‡ цифо‚ой по‰писи Эль-Г‡м‡лfl пименflет киптосистему Эль-Г‡м‡лfl (с некотоыми незн‡чительными изменениflми), но оли секетных и откытых ключей з‰есь иные. Схем‡ цифо‚ой по‰писи Шно‡ — мо‰ифик‡циfl схемы Эль-Г‡м‡лfl, ‚ котоой ‡зме по‰писи может быть меньшим. Ст‡н‰‡т Цифо‚ой по‰писи (DSS) использует ‡л„оитм цифо‚ой по‰писи (DSA), котоый б‡зиуетсfl н‡ схеме Эль-Г‡м‡лfl с некотоыми и‰еflми из схемы Шно‡. • Схем‡ цифо‚ой по‰писи с ук‡з‡нием ‚емени ‡з‡бот‡н‡ ‰лfl пе‰от‚‡щениfl по‚тоно„о использниfl по‰писей. Слепые схемы цифо‚ой по‰писи поз‚олflют Бобу посить Алису по‰пис‡ть ‰окумент, не пок‡зы‚‡fl е„о со‰еж‡ние. Бесспон‡fl схем‡ цифо‚ой по‰писи ну扇етсfl ‚ ‡л„оитме по‰пис‡ниfl, потоколе по‚еки и потоколе отиц‡ниfl ‰лfl пе‰от‚‡щениfl копиниfl и ‡спе‰елениfl по‰пис‡нно„о сообщениfl без о‰обениfl по‰писы‚‡юще„о лиц‡. • Г뇂ное пиложение цифо‚ых по‰писей — это Центы сетифик‡ции (CA).

13.9. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. С‡‚ните и поти‚опост‡‚ьте обычную по‰пись и цифо‚ую по‰пись. 2. Пеечислите службы безоп‡сности, ‰лfl котоых тебуетсfl цифfl по‰пись. 3. С‡‚ните и поти‚опост‡‚ьте ‡т‡ки цифо‚ых по‰писей с ‡т‡к‡ми кипто„‡фических систем. 4. С‡‚ните и поти‚опост‡‚ьте экзистенци‡льную и селекти‚ную пелки. 5. Д‡йте опе‰еление схеме цифо‚ой по‰писи RSA и с‡‚ните ее с кипто„‡фической системой RSA. 6. Д‡йте опе‰еление схеме Эль-Г‡м‡лfl и с‡‚ните ее со схемой RSA. 7. Д‡йте опе‰еление схеме Шно‡ и с‡‚ните ее со схемой Эль-Г‡м‡лfl. 8. Д‡йте опе‰еление схеме ст‡н‰‡т‡ цифо‚ой по‰писи (DSS) и с‡‚ните ее со схем‡ми Эль-Г‡м‡лfl и Шно‡. 9. Д‡йте опе‰еление схеме цифо‚ой по‰писи эллиптической ки‚ой и с‡‚ните ее с киптосистемой н‡ осно‚е мет эллиптических ки‚ых. 10. Р‡ссмотите ти ‚‡и‡нт‡ цифо‚ых по‰писей, пи‚е‰енных ‚ этой лекции, и к‡тко сфомулиуйте цель к‡ж‰ой.

Уп‡жнениfl 1. Используfl схему RSA, пи p = 809, q = 751, и d = 23, ‚ычислите обще‰оступный ключ e. З‡тем: ‡. По‰пишите и по‚еьте сообщение M1 = 100. Получите по‰пись S1. б. По‰пишите и по‚еьте сообщение с М2 = 50. Получите по‰пись S2. ‚. Пок‡жите, что если М = M1. × М2 = 5000, то S = S1. × S2. 445

Кус

Кипто„‡фиfl и безоп‡сность сетей

2. Используfl схему Эль-Г‡м‡лfl пи p = 881 и d = 700, н‡й‰ите зн‡чениfl e1 и e 2. Выбеите r = 17. Н‡й‰ите зн‡чение S1 и S2, если М = 400. 3. Используfl схему Шно‡, пи q = 83, p = 997 и d = 23, н‡й‰ите зн‡чениfl ‰лfl e1 и e 2. Выбеите r = 11. Если М = 400 и h (400) = 100, н‡й‰ите зн‡чение S1., S2 и V. Р‡‚но ли S1 × V (mod p)? 4. Используfl схему DSS, пи q = 59, p = 709 и d = 14, н‡й‰ите зн‡чениfl ‰лfl e1 и e2. Выбеите r = 13. Н‡й‰ите зн‡чение S1 и S2, если h (M) = 100. По‚еьте по‰пись. 5. С‰ел‡йте сле‰ующее: ‡. В схеме RSA н‡й‰ите отношениfl меж‰у ‡змеом S и ‡змеом n. б. В схеме Эль-Г‡м‡лfl н‡й‰ите ‡зме S1 и S2 ‚ 燂исимости от ‡зме‡ p. ‚. В схеме Шно‡ н‡й‰ите ‡зме S1 и S2 ‚ 燂исимости от ‡зме‡ p и q. „. В DSS-схеме н‡й‰ите ‡зме S1 и S2 ‚ 燂исимости от ‡зме‡ p и q. 6. NIST-специфик‡циfl тебует ‰лfl DSS сле‰ующее: если зн‡чение S2 = 0, то ‰‚е по‰писи ‰олжны быть по‚тоно ‚ычислены, используfl но‚ый r. К‡к пичин‡ это„о? 7. Что случитсfl, если Е‚‡ н‡й‰ет зн‡чение r, используемое по‰писы‚‡ющим лицом? Возможно ли это ‚ пинципе? Объflсните ‚‡ш от‚ет от‰ельно ‰лfl схем Эль-Г‡м‡лfl-Шно‡, DSS. 8. Что случитсfl, если Алис‡ по‰пишет ‰‚‡ сообщениfl, используfl о‰но и то же зн‡чение n? Объflсните ‚‡ш от‚ет от‰ельно ‰лfl к‡ж‰о„о потокол‡: Эль-Г‡м‡лfl, Шно‡ или DSS. 9. Пок‡жите пиме уflз‚имости схемы RSA к селекти‚ной пелке, к‡ зн‡чениfl p и q fl‚лflютсfl м‡ленькими. Используйте p = 19 и q = 3. 10. Пок‡жите пиме уflз‚имости схемы Эль-Г‡м‡лfl к селекти‚ной пелке, к‡ зн‡чение p м‡ло. Используйте p = 19. 11. Пок‡жите пиме уflз‚имости схемы Шно‡ к селекти‚ной пелке, к‡ зн‡чениfl p и q fl‚лflютсfl м‡ленькими. Используйте p =29 и q = 7. 12. Пок‡жите пиме уflз‚имости DSS к селекти‚ной пелке, к‡ зн‡чениfl p и q fl‚лflютсfl м‡ленькими. Используйте p =29 и q = 7. 13. В схеме Эль-Г‡м‡лfl, если Е‚‡ может н‡йти зн‡чение r, может ли он‡ пел‡ть сообщение? Объflсните. 14. В схеме Шно‡, если Е‚‡ может н‡йти зн‡чение r, может ли он‡ пел‡ть сообщение? Объflсните. 15. В DSS-схеме, если Е‚‡ может н‡йти зн‡чение r, может ли он‡ пел‡ть сообщение? Объflсните. 16. Пе‰положим, что зн‡чениfl p q, e1 и r ‚ схеме Шно‡ — те же с‡мые, что и соот‚етст‚ующие зн‡чениfl ‚ DSS-схеме. С‡‚ните зн‡чениfl S1 и S2 ‚ схеме Шно‡ с соот‚етст‚ующими зн‡чениflми ‚ DSS-схеме. 17. Объflсните, почему ‚ схеме Эль-Г‡м‡лfl ‚ычисление S2 ‰ел‡етсfl по мо‰улю p, ‡ ‚ычисление S2 ‰ел‡етсfl по мо‰улю p – 1. 18. Объflсните, почему ‚ схеме Шно‡ ‚ычисление S1 ‰ел‡етсfl по мо‰улю p, ‡ ‚ычисление S2 ‰ел‡етсfl по мо‰улю q. 19. Объflсните, почему ‚ схеме DSS ‚ычисление S1 ‰ел‡етсfl по мо‰улю p и мо‰улю q, ‡ ‚ычисление S2 ‰ел‡етсfl только по мо‰улю q. 20. В схеме Шно‡ ‰ок‡жите п‡‚ильность поцесс‡ по‚еки. 446

Лекциfl 13

Цифfl по‰пись

21. В DSS-схеме ‰ок‡жите п‡‚ильность поцесс‡ по‚еки. 22. В схеме цифо‚ой по‰писи эллиптической ки‚ой ‰ок‡жите п‡‚ильность поцесс‡ по‚еки. 23. Н‡пишите ‰‚‡ ‡л„оитм‡ ‰лfl схемы RSА: о‰ин ‰лfl поцесс‡ по‰пис‡ниfl и о‰ин ‰лfl поцесс‡ по‚еки. 24. Н‡пишите ‰‚‡ ‡л„оитм‡ ‰лfl схемы Эль-Г‡м‡лfl: о‰ин ‰лfl поцесс‡ по‰пис‡ниfl и о‰ин ‰лfl поцесс‡ по‚еки. 25. Н‡пишите ‰‚‡ ‡л„оитм‡ ‰лfl схемы Шно‡: о‰ин ‰лfl поцесс‡ по‰пис‡ниfl и о‰ин ‰лfl поцесс‡ по‚еки. 26. Н‡пишите ‰‚‡ ‡л„оитм‡ ‰лfl DSS-схемы: о‰ин ‰лfl поцесс‡ по‰пис‡ниfl и о‰ин ‰лfl поцесс‡ по‚еки. 27. Н‡пишите ‰‚‡ ‡л„оитм‡ ‰лfl схемы эллиптической ки‚ой: о‰ин ‰лfl поцесс‡ по‰пис‡ниfl и о‰ин ‰лfl поцесс‡ по‚еки.

447

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лекциfl 14. Уст‡но‚ление по‰линности объект‡ Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Пок‡з‡ть ‡зличие меж‰у уст‡но‚лением по‰линности сообщениfl и уст‡но‚лением по‰линности объект‡. • Опе‰елить ‰ок‡з‡тельст‚‡, используемые ‰лfl и‰ентифик‡ции. • Обсу‰ить некотоые мето‰ы уст‡но‚лениfl по‰линности объект‡, н‡пиме, использние п‡олfl. • В‚ести некотоые потоколы ‚ыз-от‚ет‡ ‰лfl уст‡но‚лениfl по‰линности объект‡. • В‚ести некотоые потоколы по‰т‚еж‰ениfl с нуле‚ым ‡з„л‡шением ‰лfl уст‡но‚лениfl по‰линности объект‡. • Опе‰елить биометию и ‡злич‡ющие х‡‡ктеистики меж‰у физиоло„ическими и по‚е‰енческими метми.

14.1. В‚е‰ение Уст‡но‚ление по‰линности объект‡ (‡утентифик‡циfl) — мето‰ик‡, кото‡fl поз‚олflет о‰ной стооне ‰ок‡зы‚‡ть по‰линность ‰у„ой стооны. Объект может быть чело‚еком, поцессом, клиентом или се‚еом. Объект, по‰линность котоо„о ‰олжн‡ быть ‰ок‡з‡н‡, н‡зы‚‡етсfl петен‰ентом; пизн‡ки по‰линности (и‰ентифик‡ционный ко‰) петен‰ент‡ н‡з‚‡ны ‚еифик‡тоом. К‡ Боб побует ‰ок‡з‡ть по‰линность Алисы, Алис‡ — петен‰ент, ‡ Боб — ‚еифик‡то.

Сопост‡‚ление источник‡ ‰‡нных и уст‡но‚лениfl по‰линности объект‡ Есть ‰‚‡ отличиfl меж‰у сообщением, ‡ссмотенным ‚ лекции 13, и уст‡но‚лением по‰линности объект‡, (источник‡ ‰‡нных), о котоом мы бу‰ем „о‚оить ‚ этой лекции. 1. Пе‚ое: уст‡но‚ление по‰линности сообщениfl (или уст‡но‚ление по‰линности поисхож‰ениfl ‰‡нных) не может быть по‚е‰ено ‚ е‡льном м‡сшт‡бе ‚емени. Алис‡ пе則ет сообщение Бобу. К‡ Боб по‚еflет по‰линность сообщениfl, Алис‡ может уч‡ст‚ть или не уч‡ст‚ть ‚ поцессе с‚flзи. С ‰у„ой стооны, к‡ Алис‡ з‡п‡ш肇ет объект ‰лfl уст‡но‚лениfl по‰линности, сое‰инение ‰лfl пе則чи сообщений не уст‡н‡‚л肇етсfl, пок‡ Алис‡ не бу‰ет опозн‡н‡ Бобом. Алис‡ ‰олжн‡ быть ‚ сети и пинflть уч‡стие ‚ поцессе опоз퇂‡ниfl. Только после то„о, к‡к он‡ опозн‡н‡, мо„ут пе則‚‡тьсfl сообщениfl меж‰у Алисой и Бобом. Уст‡но‚ление по‰линности источник‡ ‰‡нных тебуетсfl, к‡ электонную почту пе則ют от Алисы Бобу, ‡‚но к‡к и к‡ Алис‡ беет н‡личные из б‡нко‚ско„о ‡‚том‡т‡. 2. Втоое: уст‡но‚ление по‰линности сообщениfl посто по‰т‚е扇ет по‰линность о‰но„о сообщениfl. Поцесс уст‡но‚лениfl по‰линности сооб448

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

щениfl может, ‚ случ‡е необхо‰имости, по‚тоflтьсfl ‰лfl к‡ж‰о„о но‚о„о сообщениfl. Уст‡но‚ление по‰линности объект‡ по‰т‚е扇ет по‰линность петен‰ент‡ н‡ ‚сю по‰олжительность се‡нс‡.

К‡те„оии по‚еки В уст‡но‚лении по‰линности объект‡ петен‰ент ‰олжен и‰ентифицить себfl ‰лfl ‚еифик‡то‡. Этот может быть с‰ел‡но о‰ним из тех ‚и‰о‚ с‚и‰етелей: нечто, из‚естное только петен‰енту, нечто, чем об뇉‡ет только петен‰ент, или нечто, с‚ойст‚енное только петен‰енту. Нечто из‚естное. Это — секетн‡fl инфом‡циfl из‚естн‡fl только петен‰енту, что может быть по‚еено ‚еифик‡тоом. Пимеы: п‡оль, PIN-ко‰, ключ з‡секеч肇ниfl и секетный ключ. Нечто, чем об뇉‡ет. Это то, что может ‰ок‡з‡ть опоз퇂‡тельный ко‰ петен‰ент‡. Пимеы: п‡спот, ‚о‰ительские п‡‚‡, у‰осто‚еение личности, ке‰итн‡fl к‡точк‡ и к‡точк‡ с инте„‡льной схемой, ‚ключ‡ющей микопоцессо. Нечто с‚ойст‚енное. Это с‚ойст‚енные петен‰енту х‡‡ктеистики. Пимеы: обычные по‰писи, отпеч‡тки п‡льц‡, „олос, х‡‡ктеистики лиц‡, об‡зец сетч‡тки „л‡з‡ и почек.

Уст‡но‚ление по‰линности объект‡ и уп‡‚ление ключ‡ми Эт‡ лекциfl обсу扇ет уст‡но‚ление по‰линности объект‡. Сле‰ующ‡fl лекциfl ‡ссм‡т肇ет уп‡‚ление ключ‡ми. Эти ‰‚е темы очень близко с‚flз‡ны; большинст‚о потоколо‚ уп‡‚лениfl ключ‡ми использует потоколы уст‡но‚лениfl по‰линности объект‡. Именно поэтому ‚ большинст‚е кни„ эти ‰‚е темы обсу扇ютсfl ‚месте. В этой кни„е ‰лfl flсности они ‡ссм‡т肇ютсfl от‰ельно.

14.2. П‡оли С‡мый постой и с‡мый ст‡ый мето‰ ‡утентифик‡ции объект‡ — ‡утентифик‡циfl н‡ осно‚е п‡олfl, „‰е п‡оль — «нечто, что зн‡ет» петен‰ент. П‡оль используетсfl, к‡ пользтель ‰олжен об‡титьсfl к системе, чтобы 燉ейст‚ть есусы системы (‚хо‰ ‚ систему); пользтель имеет пользтельскую и‰ентифик‡цию, кото‡fl откыт‡, и секетный п‡оль. Мы ‡з‰елflем схемы т‡кой ‡утентифик‡ции н‡ ‰‚е „уппы: фиксинный п‡оль и о‰но‡зо‚ый п‡оль.

Фиксинный п‡оль Фиксинный п‡оль — п‡оль, котоый, используетсfl мно„о ‡з пи к‡ж‰ом об‡щении. Из‚естны несколько схем пименениfl т‡ко„о п‡олfl. Пи элемент‡ном по‰хо‰е систем‡ сох‡нflет т‡блицу (ф‡йл), ‚ котоой отсотины пользтельские и‰ентифик‡тоы. Чтобы получить ‰опуск к системным есус‡м, ‚ н‡ч‡ле се‡нс‡ пользтель пе則ет системе с‚ой пользтельский и‰ентифик‡то и п‡оль. Систем‡ использует и‰ентифик‡цию, чтобы 449

Кус

Кипто„‡фиfl и безоп‡сность сетей

н‡йти п‡оль ‚ т‡блице. Если п‡оль, пе則‚‡емый пользтелем, соот‚етст‚ует п‡олю ‚ т‡блице, пользтелю пе‰ост‡‚лflют ‰оступ; ин‡че е„о з‡fl‚к‡ отклонflетсfl. Рисунок 14.1 иллюстиует этот по‰хо‰.

Рис. 14.1. Пользтельский ID и п‡оль Ат‡ки Пе‚ый по‰хо‰. Этот по‰хо‰ со‰ежит несколько ‚и‰о‚ ‡т‡к. Пеех‚‡т инфом‡ции. Е‚‡ может по‰смотеть, к‡к Алис‡ печ‡т‡ет с‚ой п‡оль. Большинст‚о систем, ‚ к‡чест‚е меы безоп‡сности, не пок‡зы‚‡ет сим‚олы, котоые печ‡т‡ет пользтель. Пеех‚‡т инфом‡ции может пиобет‡ть более сложную фому. Е‚‡ может послуш‡ть линию или пеех‚‡тить сообщение, т‡ким об‡зом, фиксиуfl п‡оль ‰лfl использниfl ‚ с‚оих целflх. З‡х‚‡т п‡олfl. Втоой тип ‡т‡ки ‚озник‡ет, к‡ Е‚‡ побует физически з‡х‚‡тить п‡оль Алисы. З‡х‚‡т может быть пе‰от‚‡щен, если Алис‡ не з‡писы‚‡ет п‡оль, ‡ ‚место это„о только з‡уч肇ет е„о. По этой пичине п‡оль ‰олжен быть очень пост и, т‡к или ин‡че, с‚flз‡н с чем-то зн‡комым Алисе. Но это ‰ел‡ет п‡оль уflз‚имым к ‰у„им тип‡м ‡т‡к. Доступ к ф‡йлу п‡олfl. Е‚‡ может ‚злом‡ть систему и получить ‰оступ к IDф‡йлу п‡олfl. Е‚‡ может почит‡ть ф‡йл и н‡йти п‡оль Алисы или ‰‡же изменить е„о. Чтобы пе‰от‚‡тить этот тип ‡т‡ки, ф‡йл может быть з‡щищенным по чтению и з‡писи. О‰н‡ко большинст‚о систем ну扇етсfl ‚ том, чтобы этот тип ф‡йл‡ был чит‡емым. Мы у‚и‰им поз‰нее, к‡к ‚тоой по‰хо‰ может з‡щитить ф‡йл от это„о тип‡ ‡т‡ки. По‰бо. Используfl ‡т‡ку по‰бо‡, Е‚‡ может з‡е„иститьсfl ‚ системе и попобть по‰об‡ть п‡оль Алисы, пееби‡fl ‡зличные комбин‡ции сим‚оло‚. П‡оль особенно уflз‚им, если пользтелю ‡зеш‡ют ‚ыб‡ть кооткий п‡оль (несколько сим‚оло‚). Т‡кже уflз‚им‡ опе‡циfl, если Алис‡ ‚ыб‡л‡ коечто ти‚и‡льное, т‡кое, к‡к с‚ой ‰ень ож‰ениfl, имfl с‚ое„о ебенк‡ или имfl ее любимо„о ‡кте‡. Длfl то„о чтобы пе‰от‚‡тить по‰бо, екомен‰уетсfl ‰линный случ‡йный п‡оль, что-то не очень оче‚и‰ное. О‰н‡ко использние т‡ко„о случ‡йно„о п‡олfl может т‡кже со片ть поблему, поскольку Алис‡ может ле„ко з‡450

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

быть т‡кой п‡оль и обычно ‚озник‡ет жел‡ние иметь и х‡нить „‰е-нибу‰ь копию, что ‰ел‡ет п‡оль уflз‚имым к з‡х‚‡ту. Втоой по‰хо‰. Более безоп‡сный по‰хо‰ состоит ‚ том, чтобы х‡нить хэшиние п‡олfl (‚место п‡олfl исхо‰но„о текст‡) ‚ ф‡йле п‡олfl. Любой пользтель может чит‡ть со‰еж‡ние ф‡йл‡, но из-з‡ то„о, что хэш-функциfl — о‰ностооннflfl функциfl, почти не‚озможно по‰об‡ть зн‡чение п‡олfl. Рисунок 14.2 пок‡зы‚‡ет ситу‡цию, к‡ со片етсfl п‡оль и ‰лfl е„о сох‡нениfl пименflетсfl системное хэшиние.

Рис. 14.2. Хешиние п‡олfl К‡ пользтель пе則ет ID и п‡оль, систем‡ ‚ыполнflет хэшиние п‡олfl, ‡ з‡тем с‡‚н肇ет зн‡чение хэшинно„о п‡олfl со зн‡чением, сох‡ненным ‚ ф‡йле. Если они со‚‡ют, пользтелю пе‰ост‡‚лflют ‰оступ; ин‡че — ‰оступ з‡пещ‡етсfl. В этом случ‡е ф‡йл не ‰олжен быть з‡щищен от чтениfl. Ат‡к‡ слfl. Хэш-функциfl пепflтст‚ует Е‚е получ‡ть ‰оступ к системе ‰‡же пи том, что Е‚‡ имеет ф‡йл п‡олfl. О‰н‡ко есть ‚се еще ‚озможность ‡т‡ки слfl. В этой ‡т‡ке Е‚‡ интеесуетсfl н‡хож‰ением только п‡олfl, не燂исимо от пользтельско„о ID. Н‡пиме, если п‡оль — 6 циф, Е‚‡ может со片ть список чисел с 6-ю циф‡ми (000000 к 999999) и з‡тем пименить хэш-функцию к к‡ж‰ому числу; езульт‡т — список из о‰но„о миллион‡ хэшинных п‡олей. Он‡ может з‡тем получить ф‡йл п‡олfl и по‚ести поиск ‚хо‰о‚ ‚тоо„о столбц‡, чтобы н‡йти со‚ение. Поцесс поиск‡ может быть з‡по„‡ммин и ‚ыполнен ‡‚тономно н‡ ч‡стном компьютее Е‚ы. После то„о к‡к со‚ение н‡й‰ено, Е‚‡ может ‡бот‡ть с интеесующей ее системой инте‡кти‚но и использть п‡оль, чтобы об‡титьсfl к системе. Тетий по‰хо‰ пок‡зы‚‡ет, к‡к з‡ту‰нить т‡кую ‡т‡ку. Тетий по‰хо‰. Тетий по‰хо‰ н‡з‚‡н salting п‡олfl1. К‡ сток‡ п‡олfl со片н‡, к ней ‰оᇂлflетсfl (с помощью опе‡ции «конк‡тен‡циfl») случ‡йн‡fl сток‡, н‡зы‚‡ем‡fl salt. Дополненный п‡оль и хэшинн‡fl инфом‡циfl сох‡нfl1

Salting password – «соление» п‡олfl. В усской лите‡туе по кипто„‡фии не ‚стеч‡етсfl соот‚етст‚ующе„о темин‡. В большинст‚е случ‡е‚ ‰лfl ‡ссм‡т肇емо„о поцесс‡ з‡щиты п‡олfl пименflетсfl темин salting, ‰лfl пименflемо„о ‰ополнениfl — salt — пим. пе. 451

Кус

Кипто„‡фиfl и безоп‡сность сетей

етсfl ‚ ф‡йле и хэшиуютсfl, ‡ з‡тем сн сох‡нflютсfl ‚ ф‡йле. Тепеь, к‡ пользтель з‡п‡ш肇ет ‰оступ, систем‡ из‚лек‡ет salt, конк‡тениует (писое‰инflет) е„о c полученным п‡олем, ‰ел‡ет хэшиние инфом‡ции езульт‡т‡ и с‡‚н肇ет с хэшинной инфом‡цией, сох‡ненной ‚ ф‡йле. Если они со‚‡ют, ‡зеш‡етсfl ‰оступ к системе; ин‡че — з‡fl‚к‡ отклонflетсfl (см. ис. 14.3).

Рис. 14.3. Salt-п‡оль («соль» п‡олfl) Р‡ссмотенный ‚ыше поцесс з‡ту‰нил ‡т‡ку слfl. Если пе‚он‡ч‡льный п‡оль — 6 циф, и salt — 4 цифы, то хэшиние пи‚о‰ит к зн‡чению с 10-ю циф‡ми. Это озн‡ч‡ет, что Е‚‡ тепеь ‰олжн‡ с‰ел‡ть список из 10 миллионо‚ комбин‡ций и по‚ести хэшиние ‰лfl к‡ж‰ой из них. Список хэшиниfl ИЗ 10 миллионо‚ ‚хо‰о‚ и с‡‚нение тебует н‡мно„о больше ‚емени, чем ‚ пе‰ы‰ущем случ‡е по‰бо‡. Salting очень эффекти‚н‡fl поце‰у‡, если salt — очень ‰линное случ‡йное число. Опе‡ционн‡fl систем‡ UNIX использует ‚‡и‡нт т‡ко„о мет. Чет‚етый по‰хо‰. В чет‚етом по‰хо‰е ‰‚‡ мет и‰ентифик‡ции объе‰инены. Хооший пиме это„о тип‡ уст‡но‚лениfl по‰линности — использние к‡ты ATM (пл‡тежно„о ‡‚том‡т‡) с PIN-ко‰ом (PIN — Personal Identification Number — песон‡льный номе и‰ентифик‡ции). Петен‰ент, имеющий к‡ту, пи퇉лежит к к‡те„оии «имеет нечто», ‡ PIN-ко‰ пи퇉лежит той же к‡те„оии «нечто из‚естное». PIN — п‡оль, котоый у‚елич肇ет безоп‡сность к‡ты. Если к‡т‡ з‡х‚‡чен‡, он‡ не может использтьсfl, к‡ PIN-ко‰ не из‚естен. Число PIN-к, о‰н‡ко, т‡‰иционно очень коотко, т‡к что оно ле„ко з‡помин‡етсfl ‚뇉ельцем. Но это ‰ел‡ет е„о уflз‚имым ‰лfl ‡т‡ки по‰боом.

О‰но‡зо‚ый п‡оль О‰но‡зо‚ый п‡оль — это п‡оль, пименflемый е‰инож‰ы. Этот тип п‡олfl ‰ел‡ет бесполезным пеех‚‡т п‡олfl и е„о ‰ополнение (salting). З‰есь ‡ссм‡т肇ютсfl ти по‰х. Пе‚ый по‰хо‰. Пи пе‚ом по‰хо‰е пользтель и систем‡ со„л‡суют список п‡олей. К‡ж‰ый п‡оль ‚ списке может использтьсfl только е‰инож‰ы. 452

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

Есть некотоые не‰ост‡тки т‡ко„о по‰х, Сн‡ч‡л‡ систем‡ и пользтель ‰олжны сост‡‚ить и сох‡нить ‰линный список п‡олей. Втоое — если пользтель не пименflет п‡оли ‚ 燉‡нной после‰о‚‡тельности, систем‡ ‰олжн‡ ‚ыполнflть ‰лительный поиск ‰лfl уст‡но‚лениfl соот‚етст‚иfl. О‰н‡ко эт‡ схем‡ ‰ел‡ет пеех‚‡т инфом‡ции и по‚тоное использние п‡олfl бесполезным. П‡оль пименим только о‰н‡ж‰ы, и не может пименflтьсfl сн. Втоой по‰хо‰. Во ‚тоом по‰хо‰е пользтель и систем‡ со„л‡ш‡ютсfl после‰о‚‡тельно обно‚лflть п‡оль. Пользтель и систем‡ ‰о„肇ютсfl о пе‚он‡ч‡льном п‡оле P1, ‰ейст‚ительном только ‰лfl пе‚о„о ‰оступ‡. Пи пе‚ом ‰оступе пользтель „енеиует но‚ый п‡оль, P2, и з‡шифо‚ы‚‡ет этот п‡оль, используfl P1 к‡к ключ. P2 — п‡оль ‰лfl ‚тоо„о ‰оступ‡. Пи ‚тоом ‰оступе пользтель „енеиует но‚ый п‡оль, P3, и з‡шифо‚ы‚‡ет е„о с помощью P2; P3 используетсfl ‰лfl тетье„о ‰оступ‡. Ду„ими слми, Pi нужен, чтобы со片ть PI+1. Конечно, Е‚‡ может по‰об‡ть пе‚ый п‡оль (P1), ‡ потом и н‡йти ‚се после‰ующие. Тетий по‰хо‰. В тетьем по‰хо‰е пользтель и систем‡ со片ют после‰о‚‡тельно мо‰ифицинный п‡оль, используfl хэш-функцию. В этом по‰хо‰е, изобетенном Лесли Л‡мпотом (Leslie Lamport), пользтель и систем‡ со„л‡суют пе‚он‡ч‡льный п‡оль, P0 и счетчик n. Систем‡ ‚ычислflет hn(P0), „‰е hn озн‡ч‡ет пименение хэш-функции n ‡з. Ду„ими слми,

Систем‡ х‡нит опоз퇂‡тельный ко‰ Алисы, зн‡чение n, и зн‡чениfl hn(P0). Рисунок 14.4 пок‡зы‚‡ет, к‡к пользтель об‡щ‡етсfl к системе ‚ пе‚ый ‡з.

Рис. 14.4. О‰но‡зо‚ый п‡оль Л‡мпот‡ К‡ систем‡ получ‡ет от‚ет пользтелfl ‚ тетьем сообщении, он‡ пименflет хэш-функцию, чтобы с‡‚нить зн‡чение с полученными ‰‡нными и уз453

Кус

Кипто„‡фиfl и безоп‡сность сетей

н‡ть, соот‚етст‚ует ли оно зн‡чению хэш-функции и з‡пис‡нному ‚ п‡мflти. Если т‡кое соот‚етст‚ие есть, то пе‰ост‡‚лflетсfl ‰оступ ‚ систему; ин‡че з‡fl‚к‡ отклонflетсfl. З‡тем систем‡ уменьш‡ет зн‡чение n ‚ п‡мflти и з‡менflет ст‡ое зн‡чение п‡олfl hn(P0) н‡ но‚ое зн‡чение hn-1(P0). К‡ пользтель об‡щ‡етсfl к системе ‚тоой ‡з, зн‡чение счетчик‡ бу‰ет n – 1. Тетье сообщение от пользтелfl — тепеь hn~2(P0). К‡ систем‡ получ‡ет это сообщение, он‡ пименflет хэш-функцию, чтобы получить hn-1(P0), котоое с‡‚н肇етсfl с мо‰ифицинным ‚хо‰ным сообщением. Зн‡чение n ‚о ‚хо‰ной инфом‡ции может быть уменьшено к‡ж‰ый ‡з, к‡ есть ‰оступ. К‡ зн‡чение ст‡но‚итсfl 0, пользтель больше не может об‡титьсfl к системе; ‚се ‰олжно быть уст‡но‚лено сн. По этой пичине зн‡чение n обычно ‚ыби‡етсfl ‰ост‡точно большое, н‡пиме, т‡кое, к‡к 1000.

14.3. З‡пос-от‚ет Пи уст‡но‚лении по‰линности п‡олfl петен‰ент ‰ок‡зы‚‡ет с‚ою и‰ентичность, ‰емонстиуfl, что он зн‡ет секет и п‡оль. О‰н‡ко из-з‡ то„о, что петен‰ент сообщ‡ет секет, этот секет ‚оспиимчи‚ к пеех‚‡ту поти‚ником. В уст‡но‚лении по‰линности с помощью з‡пос‡-от‚ет‡ петен‰ент ‰ок‡зы‚‡ет, что он зн‡ет секет, не посыл‡fl е„о. Ду„ими слми, петен‰ент не пе則ет секет ‚еифик‡тоу; ‚еифик‡то или имеет е„о, или н‡хо‰ит е„о. В уст‡но‚лении по‰линности с помощью з‡пос‡-от‚ет‡ петен‰ент ‰ок‡зы‚‡ет, что зн‡ет секет, не посыл‡fl е„о к ‚еифик‡тоу. З‡пос (challenge) — это изменflющеесfl ‚о ‚емени зн‡чение, т‡кое, к‡к случ‡йное число или метк‡ ‚емени, котоую пе則ет ‚еифик‡то. Петен‰ент пименflет функцию ‰лfl пеоб‡зниfl ‚ыз и пе則ет езульт‡т, н‡зы‚‡fl е„о от‚ет, к ‚еифик‡тоу. От‚ет пок‡зы‚‡ет, что петен‰ент зн‡ет секет. З‡пос — изменflющеесfl по ‚емени зн‡чение, пе則‚‡емое ‚еифик‡тоом; от‚ет — езульт‡т пиложениfl функции к з‡посу.

Использние шиф‡ с симметичным ключом Несколько по‰хо‰о‚ к уст‡но‚лению по‰линности с помощью з‡пос‡от‚ет‡ используют шифние с симметичными ключ‡ми. Секетность з‰есь — откытый ключ з‡секеч肇ниfl, из‚естный и петен‰енту и ‚еифик‡тоу. Функциfl — ‡л„оитм шифниfl, с помощью котоо„о об‡б‡ты‚‡етсfl ‚ызо‚ пее‰ посылкой от‚ет‡. Пе‚ый по‰хо‰. Пи пе‚ом по‰хо‰е ‚еифик‡то пе則ет nonce, случ‡йное число, используемое только о‰н‡ж‰ы ‰лfl ‚ыз петен‰ент‡. Nonce ‰олжен изменflтьсfl; к‡ж‰ый ‡з со片етсfl ‡зличное случ‡йное число. Петен‰ент от‚еч‡ет н‡ ‚ызо‚, пименflfl ключ з‡секеч肇ниfl, обще‰оступный петен‰енту и ‚еифик‡тоу. Рисунок 14.5 пок‡зы‚‡ет пе‚ый по‰хо‰. 454

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

Рис. 14.5. З‡fl‚к‡ nonce Пе‚ое сообщение не fl‚лflетсfl ч‡стью з‡пос‡-от‚ет‡ — это только сообщение ‚еифик‡тоу, что петен‰ент хочет ‚ы炇ть систему. Втоое сообщение — з‡пос. RB – это nonce, случ‡йно ‚ыб‡нное ‚еифик‡тоом (Боб) число-‚ызо‚ петен‰енту. Петен‰ент шифует nonce, используfl обще‰оступный ключ з‡секеч肇ниfl, из‚естный только петен‰енту и ‚еифик‡тоу. Он пе則ет езульт‡т ‚еифик‡тоу. Веифик‡то ‡сшифо‚ы‚‡ет сообщение. Если пи ‰ешифнии получен тот же с‡мый nonce, к‡к и пе則нный ‚еифик‡тоом, Алисе пе‰ост‡‚лflетсfl ‰оступ. Об‡тите ‚ним‡ние, что ‚ этом поцессе петен‰ент и ‚еифик‡то ‰олжны х‡нить симметичный ключ, используемый ‚ поцессе з‡секеч肇ниfl. Веифик‡то ‰олжен т‡кже сох‡нить зн‡чение nonce ‰о и‰ентифик‡ции петен‰ент‡, пок‡ не бу‰ет ‚оз‚‡щен от‚ет. Чит‡тель, ‚озможно, з‡метил, что использние nonce пе‰от‚‡щ‡ет от‚ет н‡ тетье сообщение Е‚ы. Е‚‡ не может от‚етить н‡ тетье сообщение и пит‚оитьсfl, что это но‚ый з‡пос об уст‡но‚лении по‰линности Алисы, потому что к‡к только Боб получ‡ет от‚ет (зн‡чение RB), этот от‚ет больше не может быть 燉ейст‚н. В сле‰ующий ‡з используетсfl но‚ое зн‡чение. Втоой по‰хо‰. Пи ‚тоом по‰хо‰е пименflетсfl пизн‡к, котоый менflетсfl ‚о ‚емени. Это — метк‡ ‚емени, кото‡fl оче‚и‰но изменflетсfl со ‚еменем. В этом по‰хо‰е сообщение ‚ыз — текущее ‚емfl, пе則‚‡емое от ‚еифик‡то‡ к петен‰енту. Пе‰по뇄‡етсfl к‡к необхо‰имое, что ч‡сы клиент‡ и се‚е‡ синхонизины и петен‰ент зн‡ет текущее ‚емfl. Это озн‡ч‡ет, что нет необхо‰имости ‚ сообщении ‚ыз. Пе‚ое и тетье сообщениfl мо„ут быть объе‰инены. В езульт‡те уст‡но‚ление по‰линности может быть ‚ыполнено с использнием о‰но„о сообщениfl, от‚ет‡ н‡ неfl‚ный ‚ызо‚ — текущее ‚емfl. Рисунок 14.6 пок‡зы‚‡ет этот по‰хо‰. Тетий по‰хо‰. Пе‚ый и ‚тоой по‰хо‰ы со片ны ‰лfl о‰нон‡п‡‚ленно„о уст‡но‚лениfl по‰линности. По‰линность Алисы уст‡н‡‚л肇етсfl Бобом, но не уст‡н‡‚л肇етсfl об‡тное. Если Алисе 퇉о быть у‚еенной ‚ по‰линности Боб‡, то нужно иметь поцесс ‰‚ун‡п‡‚ленно„о уст‡но‚лении по‰линности. Рисунок 14.7 пок‡зы‚‡ет т‡кую схему. 455

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 14.6. З‡пос с меткой ‚емени

Рис. 14.7. Д‚ун‡п‡‚ленное уст‡но‚ление по‰линности

Втоое сообщение RB — ‚ызо‚ от Боб‡ Алисе. В тетьем сообщении Алис‡ от‚еч‡ет н‡ ‚ызо‚ Боб‡ и ‚ то же с‡мое ‚емfl пе則ет с‚ой ‚ызо‚ RA Бобу. Тетье сообщение — от‚ет Боб‡. Об‡тите ‚ним‡ние, что ‚ чет‚етом сообщении поfl‰ок RA и RB изменflетсfl, чтобы пе‰от‚‡тить ‡т‡ку от‚ет‡ тетье„о сообщениfl поти‚ником.

Использние функций ключе‚о„о хэшиниfl Вместо то„о чтобы использть шифние/‰ешифние ‰лfl уст‡но‚лениfl по‰линности объект‡, мы можем т‡кже пименflть ключе‚ую хэш-функцию (MAC). Эт‡ схем‡ имеет о‰но пеимущест‚о: он‡ сох‡нflет целостность сообщений ‚ыз и от‚ет‡ и ‚ то же с‡мое ‚емfl использует секет — ключ. 456

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

Рисунок 14.8 пок‡зы‚‡ет, к‡к мы можем использть ключе‚ую хэш-функцию, чтобы со片ть от‚ет ‚ызо‚у с меткой ‚емени. Об‡тите ‚ним‡ние, что ‚ этом случ‡е метку ‚емени пе則ют и к‡к исхо‰ный текст, и к‡к текст, скэмблинный ключе‚ой хэш-функцией. К‡ Боб получ‡ет сообщение, он беет исхо‰ный текст T, пименflет ключе‚ую хэш-функцию и з‡тем, чтобы опе‰елить по‰линность Алисы, с‡‚н肇ет с‚ои ‚ычислениfl с тем, что он получил.

Рис. 14.8. Функциfl ключе‚о„о хэшиниfl

Шиф, использующий ‡симметичный ключ Вместо шиф‡ с симметичными ключ‡ми мы можем пименить ‰лfl уст‡но‚лениfl по‰линности объект‡ шиф с ‡симметичными ключ‡ми. З‰есь секет — это секетный ключ петен‰ент‡. Петен‰ент ‰олжен пок‡з‡ть, что он имеет секетный ключ, с‚flз‡нный с откытым ключом, котоый ‰оступен к‡ж‰ому. Веифик‡то ‰олжен з‡шифть ‚ызо‚, используfl откытый ключ петен‰ент‡; петен‰ент з‡тем ‡сшифо‚ы‚‡ет сообщение, используfl с‚ой секетный ключ. Этот от‚ет н‡ з‡пос — ‡сшифнный з‡пос. Д‡лее ‡ссм‡т肇ютсfl ‰‚‡ по‰х: о‰ин ‰лfl о‰нон‡п‡‚ленно„о уст‡но‚лениfl по‰линности и о‰ин — ‰лfl ‰‚ун‡п‡‚ленно„о. Пе‚ый по‰хо‰. В пе‚ом по‰хо‰е Боб з‡шифл пизн‡к, используfl откытый ключ Алисы. Алис‡ ‡сшифо‚ы‚‡ет сообщение с‚оим секетным ключом и пе則ет nonce Бобу. Рисунок 14.9 иллюстиует т‡кой по‰хо‰.

Рис. 14.9. О‰нон‡п‡‚ленн‡fl систем‡ по‚еки по‰линности с ‡симметичным ключом 457

Кус

Кипто„‡фиfl и безоп‡сность сетей

Втоой по‰хо‰. Во ‚тоом по‰хо‰е используютсfl ‰‚‡ откытых ключ‡, о‰ин ‚ к‡ж‰ом н‡п‡‚лении. Алис‡ пе則ет опоз퇂‡тельный ко‰ и nonce, з‡шифнные откытым ключом Боб‡. Боб от‚еч‡ет с‚оим nonce, ‡сшифнным откытым ключом Алисы. В конечном ито„е Алис‡ от‚еч‡ет ‡сшифнным nonce Боб‡. Рисунок 14.10 иллюстиует этот по‰хо‰.

Рис. 14.10. Д‚ун‡п‡‚ленн‡fl систем‡ по‚еки по‰линности с ‡симметичным ключом

Использние цифо‚ой по‰писи Уст‡но‚ление по‰линности объект‡ может т‡кже быть ‰ости„нуто с помощью цифо‚ой по‰писи. К‡ цифfl по‰пись пименflетсfl ‰лfl уст‡но‚лениfl по‰линности объект‡, петен‰ент использует ‰лfl по‰пис‡ниfl с‚ой секетный ключ. З‰есь пок‡з‡ны ‰‚‡ по‰х, ‰у„ие ост‡‚лflем к‡к уп‡жнениfl. Пе‚ый по‰хо‰. Пи пе‚ом по‰хо‰е, пок‡з‡нном н‡ ис. 14.11, Боб использует исхо‰ный текст ‚ыз, ‡ Алис‡ по‰писы‚‡ет от‚ет. Втоой по‰хо‰. Пи ‚тоом по‰хо‰е, пок‡з‡нном н‡ ис. 14.12, Алис‡ и Боб уст‡н‡‚л肇ют по‰линность ‰у„ ‰у„‡.

14.4. По‰т‚еж‰ение с нуле‚ым ‡з„л‡шением Пи уст‡но‚лении по‰линности п‡олfl петен‰ент ‰олжен пе則ть с‚ой секет (п‡оль) ‚еифик‡тоу; это может пи‚ести к пеех‚‡ту инфом‡ции Е‚ой. Коме то„о, нечестный ‚еифик‡то может пок‡з‡ть п‡оль ‰у„им или использть е„о, чтобы исполнить оль петен‰ент‡. 458

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

Рис. 14.11. О‰ностооннее уст‡но‚ление по‰линности с помощью цифо‚ой по‰писи

Рис. 14.12. Д‚устооннее уст‡но‚ление по‰линности с помощью цифо‚ой по‰писи Пи уст‡но‚лении по‰линности объект‡ мето‰ом ‚ыз-от‚ет‡ секет петен‰ент‡ не пе則ют ‚еифик‡тоу. Петен‰ент пименflет некотоую функцию ‰лfl об‡ботки з‡пос‡, кото‡fl пее‰‡н‡ ‚еифик‡тоом, но пи этом ‚ключ‡ет с‚ой секет. В некотоых метх «з‡пос‡-от‚ет‡» ‚еифик‡то ф‡ктически зн‡ет секет петен‰ент‡, пи этом он может неп‡‚ильно использтьсfl нечестной ‚е459

Кус

Кипто„‡фиfl и безоп‡сность сетей

ифик‡цией. В ‰у„их метх ‚еифик‡то может из‚лечь некотоую инфом‡цию о секете петен‰ент‡, ‚ыби‡fl з‡‡нее з‡пл‡нинное множест‚о з‡посо‚. В уст‡но‚лении по‰линности с нуле‚ым ‡з„л‡шением петен‰ент не ‡скы‚‡ет ниче„о, что мо„ло бы со片ть у„озу конфи‰енци‡льности секет‡. Петен‰ент ‰ок‡зы‚‡ет ‚еифик‡тоу, что он зн‡ет секет, не ‡скы‚‡fl и не пок‡зы‚‡fl е„о. В т‡ком случ‡е ‚з‡имо‰ейст‚ие ‡з‡бот‡но т‡к, чтобы не пи‚ести к ‡скытию или пе‰положению о со‰еж‡нии секет‡. После обмен‡ сообщениflми ‚еифик‡то только зн‡ет, что петен‰ент имеет или не имеет секет — и ниче„о больше. В этой ситу‡ции езульт‡т — ‰‡/нет. Это е‰инст‚енный бит инфом‡ции. В уст‡но‚лении по‰линности с нуле‚ым ‡з„л‡шением петен‰ент ‰ок‡зы‚‡ет, что он зн‡ет секет, не пок‡зы‚‡fl е„о.

Потокол Фи‡т‡-Ш‡ми‡ В потоколе Фи‡т‡-Ш‡ми‡ (Amos Fiat, Adi Shamir) тетье лицо, котоому ‰о‚еflют (см. лекцию 15), ‚ыби‡ет ‰‚‡ больших постых числ‡ p и q, чтобы ‚ычислить зн‡чение n = p × q. Зн‡чение n объfl‚лflетсfl обще‰оступным. Зн‡чениfl n и q сох‡нflютсfl секетными. Алис‡, петен‰ент, ‚ыби‡ет секетное число s меж‰у 1 и n – 1. Он‡ ‚ычислflет v = s2 mod n. Он‡ сох‡нflет s к‡к с‚ой секетный ключ и е„истиует v к‡к с‚ой обще‰оступный ключ ‚месте с тетьим лицом. По‚ек‡ Алисы Бобом может быть с‰ел‡н‡ ‚ четые ш‡„‡, к‡к пок‡з‡но н‡ ис. 14.13. 1. Алис‡-петен‰ент ‚ыби‡ет случ‡йное число r меж‰у 0, и n – 1 (r н‡зы‚‡етсfl «обflз‡тельст‚о»). Он‡ з‡тем ‚ычислflет зн‡чение x = r 2 mod n (x н‡зы‚‡етсfl «с‚и‰етельст‚о»). 2. Алис‡ пе則ет x Бобу к‡к с‚и‰етельст‚о. 3. Боб-‚еифик‡то пе則ет ‚ызо‚ c Алисе. Зн‡чение c ‡‚но или 0, или 1. 4. Алис‡ ‚ычислflет с‚ой от‚ет y = rsc. Об‡тите ‚ним‡ние, что r — случ‡йное число, ‚ыб‡нное Алисой н‡ пе‚ом ш‡„е, s — ее секетный ключ и c — пизн‡к (0 или 1). 5. Алис‡ пе則ет от‚ет Бобу, чтобы пок‡з‡ть, что он‡ зн‡ет зн‡чение с‚ое„о секетно„о ключ‡, s. Он‡ по‰т‚е扇ет, что пе則ет именно Алис‡. 6. Боб ‚ычислflет y2 и xνc. Если эти ‰‚‡ зн‡чениfl fl‚лflютсfl кон„уэнтными, то ‰лfl Алисы зн‡чение s озн‡ч‡ет «он‡ чест퇻; или он‡ ‚ычислил‡ зн‡чение y ‰у„им способом («он‡ нечестн‡fl»), потому что мы можем ле„ко ‰ок‡з‡ть, что y — тот же с‡мый, к‡к xνc по мо‰улю n: y2 = (rsc) 2 = r2s2c = r2(s2)c= xνc Р‡ун‰ состоит из шести ш‡„о‚; ‚еифик‡циfl по‚тоflетсfl несколько ‡з со зн‡чением c, ‡‚ным 0 или 1 (‚ыби‡ютсfl случ‡йно). В к‡ж‰ом ‡ун‰е, котоый бу‰ет ‚еифицин, петен‰ент ‰олжен пе則ть езульт‡т испыт‡ниfl. Если не похо‰ит хотfl бы о‰ин ‡ун‰, поцесс пеы‚‡етсfl и фомиуетсfl сообщение, что Алис‡ не пошл‡ испыт‡ние н‡ по‰линность. 460

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

Рис. 14.13 Потокол Фи‡т‡-Ш‡ми‡ Д‡‚‡йте ‡ссмотим этот тщ‡тельно по‰ум‡нный и интеесный потокол. Алис‡ может быть честн‡ (зн‡ет зн‡чение s) или нечестн‡ (не зн‡ет зн‡чение s). Если он‡ честн‡, он‡ похо‰ит к‡ж‰ый ‡ун‰. Если нет — он‡ может пойти ‡ун‰, п‡‚ильно пе‰ск‡зы‚‡fl зн‡чение ‚ыз. Пи этом мо„ут ‚озникнуть ‰‚е ситу‡ции. 1. Алис‡ пе‰по뇄‡ет, что зн‡чение c (‚ыхо‰) бу‰ет 1 (пе‰ск‡з‡ние). Он‡ ‚ычислflет x = r2/ ν и пе則ет x к‡к с‚и‰етельст‚о. ‡. Если ее пе‰положение п‡‚ильно (ок‡з‡лось, что c был ‡‚ен 1), он‡ пе則ет y = r к‡к от‚ет. Мы можем ‚и‰еть, что он‡ пе則ст езульт‡т, котоый соот‚етст‚ует тесту (y2 = xνс). б. Если ее пе‰положение неп‡‚ильно (ок‡з‡лось, что c, было 0), он‡ не может н‡йти зн‡чение y, котоое соот‚етст‚ует тесту. Он‡, ‚еоflтно, ‚ыхо‰ит из и„ы или пе則ст зн‡чение, котоое не соот‚етст‚ует ож艇емому езульт‡ту тест‡, и Боб пе‚ет поцесс. 2. Алис‡ пе‰по뇄‡ет, что зн‡чение c (‚ызо‚) бу‰ет 0. Он‡ ‚ычислflет x = r и пе則ет x к‡к с‚и‰етельст‚о. ‚. Если ее пе‰положение п‡‚ильно (ок‡з‡лось, что c было 0), он‡ пе則ет y = r к‡к от‚ет. Он‡ пе則ет езульт‡т испыт‡ниfl, котоый соот‚етст‚ует (y2 = xνс). „. Если ее пе‰положение неп‡‚ильно (ок‡з‡лось, что c было 1), он‡ не может н‡йти зн‡чение y, котоое соот‚етст‚ует тесту. Он‡, ‚еоflтно, ‚ыхо‰ит из и„ы или пе則ст зн‡чение, котоое не соот‚етст‚ует ож艇емому езульт‡ту тест‡, и Боб пе‚ет поцесс. Мы можем ‚и‰еть, что нечестный петен‰ент имеет 50-поцентный ш‡нс н‡ ‚‚е‰ение ‚ з‡блуж‰ение ‚еифик‡то‡, по‚о‰flще„о испыт‡ние (пе‰ск‡зы‚‡fl 461

Кус

Кипто„‡фиfl и безоп‡сность сетей

зн‡чение ‚ыз). Ду„ими слми, Боб н‡зн‡ч‡ет ‚еоflтность 1/2 ‰лfl к‡ж‰о„о ‡у퉇 испыт‡ниfl. Если поцесс по‚тоflетсfl 20 ‡з, ‚еоflтность уменьш‡етсfl ‰о (1/2) 20 или 9,54 × 10-7. Ду„ими слми, посто не‚еоflтно, что Алис‡ может п‡‚ильно пе‰ск‡з‡ть 20 ‡з. Пиме «пеще‡ А뇉‰и퇻. Чтобы пок‡з‡ть ло„ику ‚ышеупомflнуто„о потокол‡, Ж‡н-Ж‡к Киск‡те (Quisquater) и Гиом Гийу (Gillou) изобели пиме «пеще‡ А뇉‰и퇻 (ис. 14.14).

Рис. 14.14. Пеще‡ Пе‰положим, что есть по‰земн‡fl пеще‡ с ‰‚еью ‚ конце, кото‡fl может быть откыт‡ только с помощью ‚олшебно„о сл. Алис‡ ут‚е扇ет, что он‡ зн‡ет это сло‚о и что он‡ может откыть ‰‚еь. Вн‡ч‡ле Алис‡ и Боб стоflт у ‚х (точк‡ 1). Алис‡ ‚хо‰ит ‚ пещеу и ‰ост脇ет ‡з‚ет‚лениfl (точк‡ 2). Боб, стоfl у ‚х, не может ‚и‰еть Алису. Тепеь н‡чин‡етсfl и„‡. 1. Алис‡ ‚ыби‡ет, ку‰‡ и‰ти: или н‡п‡‚о, или н‡ле‚о. И „о‚оит об этом Бобу (соот‚етст‚ует пе則че с‚и‰етельст‚‡ x). 2. После то„о к‡к Алис‡ исчез‡ет ‚ пещее, Боб по‰хо‰ит к ‡з‚ет‚лению (точк‡ 2) и посит, чтобы Алис‡ ‚ышл‡ или сп‡‚‡, или сл傇. Это соот‚етст‚ует пе則че ‚ыз (c). 3. Если Алис‡ зн‡ет ‚олшебное сло‚о (с‚ой секетный ключ), он‡ может ‚ыйти с з‡пошенной стооны. Ей, ‚еоflтно, пи‰етсfl использть ‚олшебное сло‚о (если он‡ н‡хо‰итсfl н‡ неп‡‚ильной стооне), или он‡ может ‚ыйти, не используfl ‚олшебное сло‚о (если он‡ — н‡ п‡‚ильной стооне). О‰н‡ко если Алис‡ не зн‡ет ‚олшебное сло‚о, он‡ может ‚ыйти только с п‡‚ильной стооны, если он‡ ‡з„‡‰‡л‡ ‚ызо‚ Боб‡. С ‚еоflтностью 1/2 Алис‡ может убе‰ить „лупо„о Боб‡, что он‡ зн‡ет ‚олшебное сло‚о. Это соот‚етст‚ует от‚ету (y). 4. И„‡ по‚тоflетсfl мно„о ‡з. Алис‡ побе‰ит, если он‡ ‚се ‚емfl похо‰ит испыт‡ниfl положительно. Веоflтность, что он‡ побе‰ит ‚ и„е, если он‡ не зн‡ет ‚олшебное сло‚о, очень низк‡. Ду„ими слми, P = (1/2)N, „‰е P — ‚еоflтность побе‰ы, если он‡ не зн‡ет ‚олшебное сло‚о. N — количест‚о по‚тоений испыт‡ниfl.

Потокол Фей„е-Фи‡т‡-Ш‡ми‡ Потокол Фей„е-Фи‡т‡-Ш‡ми‡ (Feige-Fiat-Shamir) по‰обен пе‚ому по‰хо‰у з‡ исключением то„о, что он использует ‚екто секетных ключей [s1, s2 …sk], 462

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

‚екто обще‰оступных ключей (ν1,ν2,...,νk) и ‚ектоы пизн‡ко‚ (c1,c2,...,ck). Секетные ключи ‚ыб‡ны случ‡йно, но они ‰олжны быть ‚з‡имно постыми с n. Обще‰оступные ключи ‚ыб‡ны т‡к, что νi = (si2)–1 mod n. Н‡ исунке 14.15 пок‡з‡ны ти ш‡„‡ ‚ поцессе. Мы можем ‰ок‡з‡ть, что y2ν1c1ν2c2...νkck имеет то же зн‡чение, что и x:

Ти ш‡„‡ сост‡‚лflют ‡ун‰; по‚ек‡ по‚тоflетсfl несколько ‡з со зн‡чением ин‰екс‡ s, ‡‚ным 0 или 1 (‚ыби‡етсfl случ‡йно). Петен‰ент ‰олжен по‚ести испыт‡ние ‚ к‡ж‰ом ‡ун‰е, котоый по‚еflетсfl. Если петен‰ент ошиб‡етсfl ‚ о‰ном ‡ун‰е, поцесс пеы‚‡етсfl и по‰линность не по‰т‚е扇етсfl.

Потокол Киск‡те‡-Гийу Потокол Киск‡те‡ (Quisquater) и Гийу (Gillou) ‡сшиflет потокол Фи‡т‡Ш‡ми‡, ‚ котоом может быть использно меньшее число ‡ун‰о‚, чтобы ‰ок‡з‡ть полномочность петен‰ент‡. Тетье лицо, котоому ‰о‚еflют (см. лекцию 15), ‚ыби‡ет ‰‚‡ больших постых числ‡ p и q, чтобы ‚ычислить зн‡чение n = p × q.

Рис. 14.15. Потокол Фей„е-Фи‡т‡-Ш‡ми‡ 463

Кус

Кипто„‡фиfl и безоп‡сность сетей

Стоон‡, котоой ‰о‚еflют, т‡кже ‚ыби‡ет пок‡з‡тель, e, котоый fl‚лflетсfl ‚з‡имно-постым с φ, „‰е φ = (p – 1) (q – 1). Зн‡чениfl n и e объfl‚лflютсfl обще‰оступными; зн‡чениfl p и q сох‡нflютсfl секетными. Стоон‡, котоой ‰о‚еflют, ‚ыби‡ет ‰‚‡ числ‡ ‰лfl к‡ж‰о„о объект‡: число ν, котоое fl‚лflетсfl обще‰оступным, и число s, котоое fl‚лflетсfl секетным. О‰н‡ко ‚ этом случ‡е отношениfl меж‰у ν и s опе‰елflютсfl у‡‚нением se × ν = 1 mod n Ти ш‡„‡ сост‡‚лflют ‡ун‰; по‚ек‡ по‚тоflетсfl несколько ‡з со случ‡йным зн‡чением c (‚ызо‚ — challenge) меж‰у 1 и e. Петен‰ент ‰олжен пе則ть езульт‡т испыт‡ниfl ‚ к‡ж‰ом ‡ун‰е, котоый бу‰ет по‚еflтьсfl. Если петен‰ент пе則л не‚ено хотfl бы о‰ин ‡ун‰, поцесс пеы‚‡етсfl и сообщение пизн‡етсfl непо‰линным. Рисунок 14.16 иллюстиует о‰ин ‡ун‰. Р‡‚енст‚о может быть ‰ок‡з‡но т‡к, к‡к пок‡з‡но ниже:

14.5. Биометиfl Биометиfl — измеение физиоло„ических или по‚е‰енческих особенностей, котоые и‰ентифициуют чело‚ек‡ (уст‡но‚ление по‰линности че„о-то, с‚ойст‚енно„о этому чело‚еку). Р‡бот‡ с пок‡з‡телflми биометии по‰т‚е扇ет, что они не мо„ут быть пел‡ны, ук‡‰ены или использны о‰но‚еменно с об뇉‡телем.

Компоненты Длfl биометии необхо‰имы несколько компоненто‚, ‚ключ‡fl устойст‚‡ фикс‡ции, поцессоы и устойст‚‡ х‡нениfl. Устойст‚‡ фикс‡ции, т‡кие, к‡к чит‡ющие устойст‚‡ (или ‰‡тчики), измеflют биометические х‡‡ктеистики. Поцессоы пеоб‡зуют измеенные ‰‡нные и з‡менflют их ‰‡нными опе‰еленно„о тип‡, ‰лfl соот‚етст‚ующей экономии есусо‚ компьюте‡. Устойст‚‡ х‡нениfl сох‡нflют езульт‡т об‡ботки ‰лfl использниfl пи уст‡но‚лении по‰линности.

Ре„ист‡циfl Пее‰ использнием любых биометических мето‰о‚ ‰лfl уст‡но‚лениfl по‰линности соот‚етст‚ующие х‡‡ктеистики к‡ж‰о„о чело‚ек‡ ‚ коллекти‚е, котоый может быть по‚еен н‡ по‰линность, ‰олжны быть ‰оступны ‚ б‡зе ‰‡нных. Это н‡зы‚‡етсfl «е„ист‡циfl».

Уст‡но‚ление по‰линности Уст‡но‚ление по‰линности по‚о‰итсfl с помощью ‚еифик‡ции или и‰ентифик‡ции. 464

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

Веифик‡циfl Пи ‚еифик‡ции х‡‡ктеистики чело‚ек‡ отыск肇ютсfl ‰лfl е‰инст‚енной з‡писи ‚ б‡зе ‰‡нных (соот‚етст‚ие «о‰ин к о‰ному»), чтобы н‡йти, fl‚лflетсfl ли он тем, кем с‡м себfl з‡fl‚лflет. Это полезно, н‡пиме, к‡ б‡нк ‰олжен по‚еить по‰линность клиент‡, пост‡‚и‚ше„о по‰пись н‡ чеке.

Рис. 14.16. Потокол Киск‡те‡-Гию И‰ентифик‡циfl Пи и‰ентифик‡ции х‡‡ктеистики чело‚ек‡ отыск肇ютсfl се‰и ‚сех з‡писей ‚ б‡зе ‰‡нных (соот‚етст‚ие «о‰ин ко мно„им»), чтобы н‡йти, з‡пис‡н ли он ‚ б‡зе ‰‡нных. Это полезно, н‡пиме, к‡ комп‡ниfl хочет ‡зешить ‰оступ ‚ 片ние только с‚оим служ‡щим.

Мето‰ы Мето‰ы биометии мо„ут быть ‡з‰елены н‡ ‰‚е шиоких к‡те„оии: физиоло„ический и по‚е‰енческий. Рис. 14.17 пок‡зы‚‡ет несколько общих мето‰о‚, ‚хо‰flщих ‚ к‡ж‰ую к‡те„оию. Физиоло„ические мето‰ы Физиоло„ические мето‰ы измеflют физические х‡‡ктеистики чело‚еческо„о тел‡ ‰лfl ‚еифик‡ции и и‰ентифик‡ции. Чтобы быть эффекти‚ными, эти х‡465

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 14.17. Биометик‡ ‡ктеистики ‰олжны быть уник‡льны се‰и ‚сех лю‰ей или большинст‚‡ лю‰ей. Коме то„о, х‡‡ктеистик‡ ‰олжн‡ учиты‚‡ть изменениfl из-з‡ ст‡ениfl, опе‡ции, с‡мочу‚ст‚иfl, болезни и т‡к ‰‡лее. Есть несколько физиоло„ических мето‰о‚. Отпеч‡тки п‡льц‡. Хотfl есть несколько мето‰о‚ ‰лfl то„о, чтобы измеить х‡‡ктеистики, с‚flз‡нные с отпеч‡тк‡ми п‡льц‡, ‰‚‡ из них с‡мые общие — н‡ осно‚е ‰ет‡лей и н‡ осно‚е изоб‡жениfl. Мето‰ик‡ н‡ осно‚е ‰ет‡лей — это систем‡ со片ет „‡ф, осннный н‡ ‡сположении от‰ельных типо‚ узоо‚ (полей п‡пиллflных линий). Г‡ф фиксиует н‡ч‡ло и конец от‰ельных ‚ет‚ей. В мето‰ике н‡ осно‚е изоб‡жениfl систем‡ со片ет изоб‡жение кончик‡ п‡льц‡ и н‡хо‰ит по‰обные изоб‡жениfl ‚ б‡зе ‰‡нных. Отпеч‡тки п‡льц‡ использлись ‚ течение ‰ол„о„о ‚емени. Они ‰емонстиуют ‚ысокий уо‚ень точности и пеж肇ют ‚еифик‡цию и и‰ентифик‡цию. О‰н‡ко отпеч‡тки п‡льц‡ мо„ут менflтьсfl пи ст‡ении, получении ‡нениfl или болезни. Р‡‰ужн‡fl оболочк‡ „л‡з‡. Эт‡ мето‰ик‡ сним‡ет об‡зец ‡‰ужной оболочки „л‡з‡, кото‡fl уник‡льн‡ у к‡ж‰о„о чело‚ек‡. Обычно тебуетсfl пименение л‡зено„о (инф‡к‡сно„о) луч‡. Это очень точн‡fl х‡‡ктеистик‡, кото‡fl сох‡нflетсfl неизменной ‚ течение ‚сей жизни чело‚ек‡. Он‡ т‡кже обеспеч肇ет ‚еифик‡цию и и‰ентифик‡цию. О‰н‡ко, некотоые болезни „л‡з‡, т‡кие, к‡к к‡т‡‡кт‡, мо„ут изменить ‚и‰ ‡‰ужной оболочки. Сетч‡тк‡. Устойст‚‡ ‰лfl этой цели иссле‰уют ко‚еносные сосу‰ы — „л‡зное ‰но. О‰н‡ко эти устойст‚‡ ‰оо„и и пок‡ не очень ‡спост‡нены. Лицо. Сущест‚ует мето‰ик‡, кото‡fl ‡н‡лизиует „еометию лиц‡, осннную н‡ ‡сстоflнии меж‰у е„о сост‡‚лflющими, т‡кими, к‡к нос, от и „л‡з‡. Некотоые техноло„ии комбиниуют „еометические ‰‡нные и ‰‡нные о текстуе кожи. Ст‡н‰‡тные ‚и‰еок‡меы и эт‡ мето‰ик‡ пеж肇ют и ‚еифик‡цию, и и‰ентифик‡цию. О‰н‡ко точность это„о мет можно н‡ушить очк‡ми, боо‰ой, ус‡ми и ‚лиflнием ст‡ениfl. 466

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

Руки. Эт‡ мето‰ик‡ измеflет х‡‡ктеистик ук, ‚ключ‡fl фому и ‰лину п‡льце‚. Он‡ может использтьсfl ‚ з‡кытом помещении и н‡ откытом ‚оз‰ухе. О‰н‡ко этот мето‰ лучше по‰хо‰ит ‰лfl ‚еифик‡ции, ‡ не ‰лfl и‰ентифик‡ции. Голос. Рече‚ое ‡споз퇂‡ние измеflет осно‚ной фон, интон‡цию и ‡кустический си„н‡л ‚ „олосе. Оно может использтьсfl ‚близи (микофон) или н‡ ‡сстоflнии (‡у‰иок‡н‡л). Этот мето‰ „뇂ным об‡зом пименflетсfl ‰лfl по‚еки. О‰н‡ко точность может быть уменьшен‡ из-з‡ фоно‚ых шумо‚, болезни или ‚оз‡ст‡. ДНК (‰езоксиибонуклеинfl кислот‡, DNA — deoxyribonucleic acid) химически н‡й‰ен‡ ‚ fl‰е ‚сех чело‚еческих клеток и ‚ большинст‚е ‰у„их о„‡низмо‚. Взflтый о‰ин ‡з об‡зец постоflнен ‚ течение ‚сей жизни и ‰‡же после смети. Это чез‚ыч‡йно точный мето‰. Он может использтьсfl и ‰лfl ‚еифик‡ции, и ‰лfl и‰ентифик‡ции. Е‰инст‚енн‡fl поблем‡: и‰ентичные близнецы мо„ут иметь о‰ин‡ко‚ую ДНК. По‚е‰енческие мето‰ы По‚е‰енческие мето‰ы измеflют некотоые четы чело‚еческо„о по‚е‰ениfl. В отличие от физиоло„ических мето‰о‚, по‚е‰енческие мето‰ы ‰олжны быть пе‰метом постоflнно„о н‡блю‰ениfl, чтобы „‡‡нтить, что петен‰ент ‚е‰ет себfl ном‡льно, ‡ не пыт‡етсfl исполнflть оль ко„о-то ‰у„о„о. По‰пись. В пошлом по‰писи использлись ‚ б‡нко‚ском ‰еле, чтобы по‚еить по‰линность клиент‡, по‰пис‡‚ше„о чек. Се„о‰нfl ‚се еще сущест‚ует мно„о экспето‚, котоые мо„ут опе‰елить, fl‚лflетсfl ли по‰пись н‡ чеке или ‰окументе той же с‡мой, что и по‰пись ‚ ‡хи‚е. Биометический мето‰ пыт‡етсfl пиблизитьсfl к ним. Используютсfl пл‡ншеты ‰лfl ‡н‡лиз‡ по‰писи и специ‡льные биометические учки, чтобы и‰ентифицить чело‚ек‡. Эти устойст‚‡ не только с‡‚н肇ют конечный по‰укт — по‰пись, они т‡кже измеflют некотоые ‰у„ие по‚е‰енческие четы, т‡кие к‡к ‚емfl по‰пис‡ниfl ‰окумент‡ и м‡неу ‚е‰ениfl письм‡ ‚о ‚емfl по‰писи. Биометический ‡н‡лиз по‰писи „л‡‚ным об‡зом используетсfl ‰лfl ‚еифик‡ции. Н‡ж‡тие к뇂иши (итм печ‡ти) — это мето‰ик‡ измеflет по‚е‰ение чело‚ек‡, с‚flз‡нное с ‡ботой н‡ к뇂и‡туе. Он‡ может измеить по‰олжительность н‡ж‡тиfl к뇂иш, ‚емfl меж‰у н‡ж‡тиflми к뇂иш, число и ч‡стоту ошибок, силу ‰‡‚лениfl н‡ к뇂иши, и т‡к ‰‡лее. Он‡ — не ‰оfl, потому что не тебует но‚о„о обоу‰о‚‡ниfl, о‰н‡ко не очень точн‡fl, потому что эти четы мо„ут изменflтьсfl со ‚еменем (лю‰и ст‡но‚flтсfl более быстыми или более ме‰ленными «м‡шинистк‡ми»). Точность т‡кже 燂исит от сложности текст‡.

Точность Точность биометических мето‰о‚ измеflетсfl с помощью ‰‚ух п‡‡мето‚: коэффициент ложной те‚о„и (FRR — False Rejection Rate) и коэффициент ложной и‰ентифик‡ции (FAR — False Acceptance Rate). Коэффициент ложной те‚о„и (FRR) Он измеflет п‡‡мет, котоый пок‡зы‚‡ет, к‡к ч‡сто чело‚ек, котоый ‰олжен быть ‡спозн‡н, бы‚‡ет не ‡спозн‡н системой. FRR — это отношение 467

Кус

Кипто„‡фиfl и безоп‡сность сетей

ложно„о отклонениfl по‰линно„о клиент‡ к общему количест‚у попыток (‚ поцент‡х). Коэффициент ложной и‰ентифик‡ции (FAR) Он‡ измеflет п‡‡мет, котоый пок‡зы‚‡ет, к‡к ч‡сто чело‚ек, котоый не ‰олжен быть ‡спозн‡н, бы‚‡ет ‡спозн‡н системой. FAR — это отношение ложно„о уст‡но‚лениfl по‰линности клиент‡ к общему количест‚у попыток (‚ поцент‡х).

Пиложениfl Несколько пиложений биометии ‡кти‚но используютсfl. В коммеческих о„‡низ‡циflх они пименflютсfl ‰лfl ‡зешениfl ‰оступ‡ к обоу‰о‚‡нию, об‡щению к инфом‡ционным систем‡м, ‚ мест‡х пжи, пи н‡блю‰ении з‡ использнием ‚емени служ‡ще„о. В юи‰ической системе они пименflютсfl ‚ хо‰е сле‰ст‚иfl (использние отпеч‡тко‚ п‡льце‚ или ДНК) и ‚ су‰ебном ‡н‡лизе. Т‡моженное уп‡‚ление и уп‡‚ление имми„‡ции т‡кже используют некотоые биометические мето‰ы.

14.6. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и Уст‡но‚ление по‰линности объект‡ ‡ссм‡т肇етсfl ‚ [Sti06], [TW06], [Sal03] и [KPS02].

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http://en.wikipedia.org/wiki/Challenge-response_authentication http://en.wikipedia.org/wiki/Password-authenticated_key_agreement http://rfc.net/rfc2195.html

14.7. Ито„и • Уст‡но‚ление по‰линности объект‡ поз‚олflет о‰ной стооне ‰ок‡зы‚‡ть с‚ою и‰ентичность ‰у„ой стооне. Пи уст‡но‚лении по‰линности объект‡ петен‰ент ‰ок‡зы‚‡ет с‚ою и‰ентичность ‚еифик‡тоу, используfl о‰ин из тех ‚и‰о‚ с‚и‰етельст‚: «нечто из‚естное», «об뇉‡ющий чем-то» или «нечто с‚ойст‚енное». • Пи уст‡но‚лении по‰линности н‡ осно‚е п‡олfl петен‰ент использует стоку сим‚оло‚ к‡к нечто из‚естное. Уст‡но‚ление по‰линности н‡ осно468

Лекциfl 14

Уст‡но‚ление по‰линности объект‡

‚е п‡олfl может быть ‡з‰елено н‡ ‰‚е обшиных к‡те„оии: фиксинный и о‰но‡зо‚ый п‡оли. Ат‡ки уст‡но‚лениfl по‰линности н‡ осно‚е п‡олfl ‚ключ‡ют пеех‚‡т инфом‡ции, з‡х‚‡т п‡олfl, ‰оступ ф‡йл‡ п‡олfl, по‰бо и ‡т‡ки слfl. • Пи уст‡но‚лении по‰линности с помощью ‚ыз-от‚ет‡ петен‰ент ‰ок‡зы‚‡ет, что он зн‡ет секет, ф‡ктически не откы‚‡fl е„о. Уст‡но‚ление по‰линности с помощью ‚ыз-от‚ет‡ может использть шифы с симметичным ключом, функции ключе‚о„о хэшиниfl, шифы с ‡симметичными ключ‡ми и цифо‚ые по‰писи. • Пи уст‡но‚лении по‰линности с нуле‚ым ‡з„л‡шением петен‰ент не пок‡зы‚‡ет с‚ой секет; он только ‰ок‡зы‚‡ет, что зн‡ет е„о. • Биометиfl — измеение физиоло„ических или по‚е‰енческих х‡‡ктеистик, чтобы опозн‡ть чело‚ек‡ по чему-либо с‚ойст‚енному ему. Мы можем ‡з‰елить биометические мето‰ы н‡ ‰‚е обшиные к‡те„оии: физиоло„ические и по‚е‰енческие. Физиоло„ические мето‰ы измеflют физические четы чело‚еческо„о тел‡ ‰лfl ‚еифик‡ции и и‰ентифик‡ции. По‚е‰енческие мето‰ы измеflют некотоые четы чело‚еческо„о по‚е‰ениfl.

14.8. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Пок‡жите отличие меж‰у уст‡но‚лением по‰линности источник‡ ‰‡нных и уст‡но‚лением по‰линности объект‡. 2. Пеечислите и ‰‡йте опе‰еление тем тип‡м с‚и‰етельст‚ и‰ентифик‡ции пи уст‡но‚лении по‰линности объект‡. 3. Пок‡жите отличие меж‰у фиксинными и о‰но‡зо‚ыми п‡олflми. 4. К‡ко‚ы пеимущест‚‡ и не‰ост‡тки использниfl ‰линных п‡олей? 5. Объflсните общую и‰ею уст‡но‚лениfl по‰линности объект‡ с помощью ‚ыз-от‚ет‡. 6. Д‡йте опе‰еление nonce и ‡сск‡жите о е„о использнии ‚ уст‡но‚лении по‰линности объект‡. 7. Д‡йте опе‰еление ‡т‡ки слfl и ‡сск‡жите, к‡к он‡ может быть пе‰от‚‡щен‡. 8. Пок‡жите отличие меж‰у уст‡но‚лениflми по‰линности объект‡ ‚ызо‚ом-от‚етом и по‰т‚еж‰ениflми с нуле‚ым ‡з„л‡шением. 9. Д‡йте опе‰еление биометии и пок‡жите отличие меж‰у ‰‚умfl к‡те„оиflми мето‰о‚. 10. Пок‡жите отличие меж‰у ‰‚умfl п‡‡мет‡ми точности, опе‰еленными ‰лfl биометическо„о измеениfl ‚ этой лекции.

Уп‡жнениfl 1. Мы обсу扇ли фиксинные и о‰но‡зо‚ые п‡оли к‡к ‰‚‡ к‡йних случ‡fl. Что ‚ы можете ск‡з‡ть о ч‡сто изменflемых п‡олflх? К‡к ‚ы ‰у469

Кус

Кипто„‡фиfl и безоп‡сность сетей

м‡ете, может ли эт‡ схем‡ быть е‡лизо‚‡н‡ ‚ ‰ейст‚ительности? К‡ко‚ы пеимущест‚‡ и не‰ост‡тки т‡ко„о мет? 2. К‡к систем‡ может пе‰от‚‡тить ‡т‡ку по‰бо‡ п‡олfl? К‡к б‡нк может пе‰от‚‡тить использние PIN ‚ случ‡е, если кто-то н‡шел или ук‡л б‡нко‚скую ке‰итную к‡точку и побует использть ее? 3. Пок‡жите еще ‰‚‡ ‰ейст‚иfl поце‰уы уст‡но‚лениfl по‰линности по ис. 14.4. 4. К‡ко‚ы не‰ост‡тки использниfl метки ‚емени по ис. 14.6? 5. Можно ли по‚тоить ти сообщениfl по ис. 14.5, чтобы ‰ости„нуть ‰‚ун‡п‡‚ленно„о уст‡но‚лениfl по‰линности? Объflсните. 6. Пок‡жите, к‡к н‡ ис. 14.5 может быть по‚е‰ено уст‡но‚ление по‰линности с помощью ключе‚ой хэш-функции. 7. Пок‡жите, к‡к н‡ ис. 14.7 может быть по‚е‰ено уст‡но‚ление по‰линности с помощью ключе‚ой хэш-функции. 8. С‡‚ните ис. 14.5 и ис. 14.9 и сост‡‚ьте список со‚ений и ‡зличий. 9. С‡‚ните ис. 14.7 и ис. 14.10 и сост‡‚ьте список со‚ений и ‡зличий. 10. Можно ли использть метку ‚емени с шифом с ‡симметичными ключ‡ми ‰лfl уст‡но‚лениfl по‰линности? Объflсните. 11. С‡‚ните и поти‚опост‡‚ьте ис. 14.13, ис. 14.15 и ис. 14.16. Сост‡‚ьте список со‚ений и ‡зличий. 12. По‰ел‡йте з‡но‚о пиме «пещеы» ‰лfl потокол‡ Фей„е-Фи‡т‡-Ш‡ми‡. 13. Длfl p = 569, q = 683 и s = 157 пок‡з‡ть ти ‡у퉇 потокол‡ Фи‡т‡-Ш‡ми‡, ‚ычислflfl зн‡чениfl и з‡полнflfl т‡блицы. 14. Длfl p = 683, q = 811, s1 = 157 и s2 = 43215 пок‡жите ти ‡у퉇 потокол‡ Фей„е-Фи‡т‡-Ш‡ми‡, ‚ычислflfl зн‡чениfl и з‡полнflfl т‡блицы. 15. Длfl p = 683, q = 811 и v = 157 пок‡жите ти ‡у퉇 потокол‡ Киск‡те‡Гийу, ‚ычислflfl зн‡чениfl и з‡полнflfl т‡блицы. 16. Н‡исуйте исунок-‰и‡„‡мму, чтобы пок‡з‡ть общую и‰ею тех потоколо‚ ‰лfl уст‡но‚лениfl по‰линности с нуле‚ым ‡з„л‡шением, котоые мы обсу扇ли ‚ этой лекции. 17. В потоколе Фи‡т‡-Ш‡ми‡ — к‡к ‚еоflтность, что нечестный петен‰ент п‡‚ильно от‚етит н‡ ‚ызо‚ 15 ‡з? 18. В потоколе Фей„е-Фи‡т‡-Ш‡ми‡ — к‡к ‚еоflтность, что нечестный петен‰ент п‡‚ильно от‚етит н‡ ‚ызо‚ 15 ‡з? 19. В потоколе Киск‡те‡-Гийу — к‡к ‚еоflтность, что нечестный петен‰ент п‡‚ильно от‚етит н‡ ‚ызо‚ 15 ‡з, если зн‡чение с‚и‰етельст‚‡ ‚ыб‡но меж‰у 1 и 15? 20. В ‰‚ун‡п‡‚ленном по‰хо‰е к уст‡но‚лению по‰линности н‡ ис. 14.10, если поз‚олflютсfl множест‚енные се‡нсы уст‡но‚лениfl по‰линности, Е‚‡ пеех‚‡ты‚‡ет RB-nonce от Боб‡ (‚о ‚тоом се‡нсе) и пе則ет е„о к‡к nonce Алисы ‰лfl ‚тоо„о се‡нс‡. Боб, не по‚еflfl, что этот nonce — тот же, к‡к тот nonce, котоый он пе則л, з‡шифл RB и ‚ст‡‚лflет е„о ‚ сообщение с nonce. Е‚‡ использует з‡шифнный RB и пит‚оflетсfl, что он‡ — Алис‡, по‰олж‡ющ‡fl пе‚ый се‡нс и от‚еч‡ющ‡fl з‡шифнным RB. Это — ‡т‡к‡ от‡жениfl. Пок‡жите ш‡„и ‚ этом сцен‡ии. 470

Лекциfl 15

Уп‡‚ление ключ‡ми

Лекциfl 15. Уп‡‚ление ключ‡ми Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Объflснить потебность ‚ центе ‡спе‰елениfl ключей (KDC — Key Distribution Center). • Пок‡з‡ть, к‡к KDC может со片ть ключ се‡нс‡ меж‰у ‰‚умfl стоон‡ми. • Пок‡з‡ть, к‡к ‰‚е стооны мо„ут использть потокол со„л‡шениfl с симметичными ключ‡ми ‰лfl со片ниfl меж‰у собой ключ‡ се‡нс‡, не пиб儇fl к услу„‡м KDC. • Опис‡ть систему Цебе (Kerberos) к‡к цент ‡спе‰елениfl ключей (KDC) и потокол и‰ентифик‡ции. • Объflснить потебность ‚ Цент‡х Сетифик‡ции (CA — Certification Authorities) ‰лfl обще‰оступных ключей и фом‡т сетифик‡то‚ ‚ соот‚етст‚ии с екоме퉇цией X.509. • Пе‰ст‡‚ить и‰ею Инф‡стуктуы Обще‰оступно„о ключ‡ (PKI — Public Key Infrastructure) и объflснить некотоые из ее ежимо‚ ‡боты. В пе‰ы‰ущих лекциflх мы обсу扇ли кипто„‡фию с симметичными ключ‡ми и с ‡симметичными ключ‡ми. О‰н‡ко мы еще не обсу‰или, к‡к ‡спе‰елflютсfl и обслуж肇ютсfl ключи з‡секеч肇ниfl ‚ кипто„‡фии с симметичными ключ‡ми и откытые ключи ‚ кипто„‡фии с ‡симметичными ключ‡ми. Эт‡ лекциfl з‡т‡„肇ет эти ‰‚е поблемы. Во-пе‚ых, мы по„о‚оим о ‡спе‰елении симметичных ключей, с использнием тетье„о лиц‡, котоому ‰о‚еflют. Во-‚тоых, мы пок‡жем, к‡к ‰‚е стооны мо„ут уст‡но‚ить симметичный ключ меж‰у собой, не используfl тетье лицо, котоому ‰о‚еflют. В-тетьих, мы ‡ссмотим систему Цебе (Kerberos), центы ‡спе‰елениfl ключей KDC и потокол опе‰елениfl по‰линности объект‡. В-чет‚етых, мы обсу‰им сетифик‡цию обще‰оступных ключей, с помощью центо‚ сетифик‡ции (CA), н‡ осно‚е екоме퉇ций X 509. Н‡конец, мы к‡тко ‡ссмотим и‰ею относительно Инф‡стуктуы Обще‰оступно„о ключ‡ (PKI) и ‡сск‡жем о некотоых из ее ежимо‚ ‡боты.

15.1. Р‡спе‰еление с симметичными ключ‡ми Длfl шифниfl больших сообщений кипто„‡фиfl с симметичными ключ‡ми более эффекти‚н‡, чем кипто„‡фиfl с ‡симметичными ключ‡ми. Кипто„‡фиfl с симметичными ключ‡ми, о‰н‡ко, ну扇етсfl ‚ ключе з‡секеч肇ниfl, котоый пименflетсfl ‰‚умfl стоон‡ми. Если Алис‡ ‰олжн‡ обмен肇тьсfl конфи‰енци‡льными сообщениflми с N лю‰ьми, он‡ ну扇етсfl ‚ N ‡зличных ключ‡х. А что, если N лю‰ей ‰олжно общ‡тьсfl ‰у„ с ‰у„ом? Т‡ необхо‰имое общее количест‚о ключей ‡‚но N (N – l). Если мы поз‚олflем Алисе и Бобу использть ‰‚‡ о‰ин‡ко‚ых ключ‡ ‰лfl ‰‚ун‡п‡‚ленной с‚flзи ‰лfl обоих н‡п‡‚лений, т‡ нужно только N (N – 1)/2 ключей. Это озн‡ч‡ло бы, что если о‰ин миллион чело‚ек с‚flзы‚‡етсfl ‰у„ с ‰у„ом, к‡ж‰ый чело‚ек имеет почти о‰ин миллион ‡зличных ключей. Все„о необхо‰им 471

Кус

Кипто„‡фиfl и безоп‡сность сетей

почти о‰ин тиллион ключей. Это н‡зы‚‡етсfl N-поблемой, потому что число тебуемых ключей ‰лfl N объекто‚ — N2. Число ключей — не е‰инст‚енн‡fl поблем‡; ‡спе‰еление ключей — ‚от ‰у„‡fl б則. Алис‡ и Боб хотflт с‚flз‡тьсfl меж‰у собой. Им нужен способ обмен‡ ключ‡ми з‡секеч肇ниfl. Если Алис‡ хочет с‚flз‡тьсfl с о‰ним миллионом чело‚ек, к‡к он‡ может обменflтьсfl о‰ним миллионом ключей с о‰ним миллионом чело‚ек? Использние Internet — fl‚но не безоп‡сный мето‰. Оче‚и‰но, что мы ну扇емсfl ‚ эффекти‚ном способе пеж肇ть и ‡спе‰елflть ключи з‡секеч肇ниfl.

Цент Р‡спе‰елениfl Ключей: KDC П‡ктическое ешение — пи‚лечение тетье„о лиц‡, котоому ‰о‚еflют. Оно н‡зы‚‡етсfl з‰есь центом ‡спе‰елениfl ключей (KDC — Key-Distribution Center). Чтобы уменьш‡ть число ключей, к‡ж‰ый чело‚ек уст‡н‡‚л肇ет откытый ключ з‡секеч肇ниfl с KDC, к‡к пок‡з‡но н‡ ис. 15.1.

Рис. 15.1. Цент ‡спе‰елениfl ключей (KDC) Ключ з‡секеч肇ниfl уст‡но‚лен меж‰у KDC и к‡ж‰ым членом сообщест‚‡. Алис‡ имеет ключ з‡секеч肇ниfl с KDC, котоый мы н‡зы‚‡ем KAlice. Боб имеет ключ з‡секеч肇ниfl с KDC, котоый мы н‡зы‚‡ем KBob. Тепеь ‚опос — то, к‡к Алис‡ может пе則ть конфи‰енци‡льное сообщение Бобу. Поцесс сле‰ующий. 1. Алис‡ пе則ет з‡пос KDC — з‡fl‚ление, что он‡ ну扇етсfl ‚ се‡нсе (‚еменно) и ключе з‡секеч肇ниfl меж‰у собой и Бобом. 2. KDC сообщ‡ет Бобу о з‡посе Алисы. 3. Если Боб со„л‡ш‡етсfl, меж‰у ними со片етсfl ключ се‡нс‡. Ключ з‡секеч肇ниfl меж‰у Алисой и Бобом, котоый уст‡но‚лен с KDC, используетсfl, чтобы по‰т‚е‰ить по‰линность Алисы и Боб‡ к KDC и пепflтст‚ть Е‚е исполнflть оль любо„о из них. Мы обсу‰им позже ‚ этой лекции, к‡к уст‡но‚л肇етсfl ключ се‡нс‡ меж‰у Алисой и Бобом,. К‡ число лю‰ей, использующих KDC (Цент ‡спе‰елениfl ключей), у‚елич肇етсfl, систем‡ ст‡но‚итсfl неуп‡‚лflемой и с‡б‡ты‚‡ет ее узкое место — число ключей может кончитьсfl. Чтобы ешить поблему, мы ‰олжны иметь мно„о KDC. Мы можем ‡з‰елить ми н‡ ‰омены. К‡ж‰ый ‰омен может иметь о‰ин или 472

Лекциfl 15

Уп‡‚ление ключ‡ми

более KDCs (‰лfl езе‚ной избыточности ‚ случ‡е отк‡з‡). Тепеь, если Алис‡ хочет пе則ть конфи‰енци‡льное сообщение Бобу, котоый пи퇉лежит к ‰у„ому ‰омену, он‡ ‚хо‰ит ‚ конт‡кт со с‚оим KDC, котоый, ‚ с‚ою очее‰ь, ‚хо‰ит ‚ конт‡кт с KDC ‚ ‰омене Боб‡. Д‚‡ KDCs мо„ут со片ть ключ з‡секеч肇ниfl меж‰у Алисой и Бобом. Рисунок 15.2 пок‡зы‚‡ет KDCs, „‰е центы — о‰но„о уо‚нfl. Мы н‡зы‚‡ем т‡кую о„‡низ‡цию центо‚ — «плоское (неие‡хическое) множест‚о центо‚ (KDC)».

Рис. 15.2. Плоское (неие‡хическое) множест‚о KDC Ие‡хическое множест‚о центо‚ ‡спе‰елениfl ключей Понflтие плоско„о множест‚‡ KDCs может быть ‡сшиено н‡ ие‡хическую систему KDCs, с о‰ним или более KDCs н‡ ‚ехнем уо‚не ие‡хии. Н‡пиме, может сущест‚ть местный KDCs, н‡цион‡льный KDCs и меж‰ун‡о‰ный KDCs. К‡ Алис‡ ‰олжн‡ с‚flз‡тьсfl с Бобом, котоый жи‚ет ‚ ‰у„ой ст‡не, он‡ пе則ет с‚ой з‡пос местному KDC; местный KDC ет‡нслиует з‡пос к н‡цион‡льному KDC; н‡цион‡льный KDC ет‡нслиует з‡пос к меж‰ун‡о‰ному KDC. З‡пос з‡тем т‡нслиуетсfl полным путем ‚низ к местному KDC, „‰е жи‚ет Боб. Рисунок 15.3 пок‡зы‚‡ет конфи„у‡цию ие‡хическо„о множест‚‡ KDCs.

Ключи се‡нс‡ KDC со片ет ключ з‡секеч肇ниfl ‰лfl к‡ж‰о„о ‡бонент‡. Этот ключ з‡секеч肇ниfl может использтьсfl только меж‰у ‡бонентом и KDC, ‡ не меж‰у ‰‚умfl член‡ми сообщест‚‡. Если Алис‡ ‰олжн‡ с‚flз‡тьсfl т‡йно с Бобом, он‡ ну扇етсfl ‚ ключе з‡секеч肇ниfl меж‰у собой и Бобом. KDC может со片ть ключ се‡нс‡ меж‰у Алисой и Бобом, используfl их ключи с центом. Ключи Алисы и Боб‡ пименflютсfl, чтобы по‰т‚е‰ить ‰оступность и полномочность Алисы и Боб‡ к центу и ‰у„ к ‰у„у пее‰ тем, к‡к бу‰ет уст‡но‚лен ключ се‡нс‡. После то„о к‡к с‚flзь з‡кончен‡, ключ се‡нс‡ больше не нужен. Симметичный ключ се‡нс‡ меж‰у ‰‚умfl стоон‡ми используетсfl только о‰н‡ж‰ы. Были пе‰ложены несколько ‡зличных по‰хо‰о‚, чтобы со片ть ключ се‡нс‡, используfl и‰еи, ‡ссмотенные ‚ лекции 14 ‰лfl уст‡но‚лениfl по‰линности объект‡. 473

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 15.3. Ие‡хическое множест‚о центо‚ ‡спе‰елениfl ключей Постой потокол, использующий KDC Д‡‚‡йте посмотим, к‡к KDS может со片ть се‡нсо‚ый ключ KAB меж‰у Алисой и Бобом. Рисунок 15.4 пок‡зы‚‡ет пе‰пиним‡емые ш‡„и. 1. Алис‡ пе則ет сообщение исхо‰но„о текст‡ KDC, чтобы получить симметичный ключ се‡нс‡ меж‰у собой и Бобом. Сообщение со‰ежит ее з‡е„истинный опоз퇂‡тельный ко‰ (сло‚о Алис‡ или исунок) и опоз퇂‡тельный ко‰ Боб‡ (сло‚о Боб или исунок). З‡шифно ли сообщение или обще‰оступно — KDC это не беспокоит. 2. KDC получ‡ет сообщение и со片ет то, что н‡зы‚‡етсfl билетом. Билет з‡шифн с помощью ключ‡ Боб‡ (КB). Билет со‰ежит и‰ентифик‡тоы Алисы и Боб‡ и ключ се‡нс‡ (KAB). Билет с копией ключ‡ се‡нс‡ пе則ют Алисе. Алис‡ получ‡ет сообщение, ‡сшифо‚ы‚‡ет е„о и из‚лек‡ет ключ се‡нс‡. Он‡ не может ‡сшифть билет Боб‡; билет, пе‰н‡зн‡ченный ‰лfl Боб‡, не‰оступен Алисе. Об‡тите ‚ним‡ние, что сообщение со‰ежит ‰‚ойное шифние: з‡шифн билет, ‡ т‡кже з‡шифно полное сообщение. Во ‚тоом сообщении Алис‡ ф‡ктически з‡е„истио‚‡н‡ ‚ KDC, поэтому только Алис‡ может откыть целое сообщение, используfl с‚ой ключ з‡секеч肇ниfl с KDC. 3. Алис‡ пе則ет билет Бобу. Боб откы‚‡ет билет и зн‡ет, что Алис‡ ‰олжн‡ пе則ть ему сообщение, использующее KAB к‡к ключ се‡нс‡. Об‡тите ‚ним‡ние, что ‚ этом сообщении Боб з‡е„истио‚‡н ‚ KDC, поэтому только Боб может откыть билет. Поскольку Боб з‡е„истио‚‡н ‚ KDC, он т‡кже з‡е„истин Алисой, кото‡fl ‰о‚еflет KDC. Тем же с‡мым способом Алис‡ т‡кже з‡е„истио‚‡н‡ Бобом, потому что Боб ‰о‚еflет KDC, и KDC пе則л Бобу билет, котоый ‚ключ‡ет опоз퇂‡тельный ко‰ Алисы. 474

Лекциfl 15

Уп‡‚ление ключ‡ми

Рис. 15.4. Пе‚ый мето‰, использующий KDC К сож‡лению, этот постой потокол имеет не‰ост‡ток. Е‚‡ может пименить ‡т‡ку от‚ет‡, ‡ссмотенную ‡ньше, — то есть он‡ может сох‡нить сообщение ш‡„‡ 3 и использть е„о позже. Потокол Нии‰ом‡-Шfi‰е‡ Ду„ой по‰хо‰ — изflщный потокол Нии‰ом‡-Шfi‰е‡ (Needham-Schreder), котоый fl‚лflетсfl осно‚ой мно„их потоколо‚. Этот потокол 燉ейст‚ует множест‚о ‰ейст‚ий з‡пос‡-от‚ет‡ меж‰у стоон‡ми, чтобы ‰ости„нуть безупечно„о потокол‡. Нии‰ом и Шfi‰е пименflют ‰‚‡ nonce: RА и RB. Рисунок 15.5 пок‡зы‚‡ет пflть ш‡„о‚, используемых ‚ этом потоколе. Мы к‡тко пе‰ст‡‚лflем к‡ж‰ый ш‡„. 1. Алис‡ пе則ет сообщение KDC, ‚ котоое ‚ключ‡ет с‚ой nonce RА, с‚ой опоз퇂‡тельный ко‰ и опоз퇂‡тельный ко‰ Боб‡. 2. KDC пе則ет з‡шифнное сообщение Алисы, котоое ‚ключ‡ет once Алисы, опоз퇂‡тельный ко‰ Боб‡, ключ се‡нс‡ и з‡шифнный билет ‰лfl Боб‡. Все сообщение з‡шифно ключом Алисы. 3. Алис‡ пе則ет билет Боб‡ ему. 4. Боб пе則ет с‚ой з‡пос Алисе (RB), з‡шифнный ключом се‡нс‡. 5. Алис‡ от‚еч‡ет н‡ з‡пос Боб‡. Об‡тите ‚ним‡ние, что от‚ет пе則етсfl RB – 1 ‚место RB. 475

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рисунок 15.5. Потокол Нии‰ом‡-Шfi‰е‡ Потокол От‚еfl-Рисс‡ Тетий по‰хо‰ — потокол От‚еfl-Рисс‡ (Otway-Rees), ‰у„ой, не менее изflщный потокол. Рисунок 15.6 пок‡зы‚‡ет этот потокол с пflтью ш‡„‡ми. Ниже к‡тко описы‚‡ютсfl ш‡„и это„о потокол‡. 1. Алис‡ пе則ет сообщение Бобу, котоое ‚ключ‡ет nonce R, и‰ентифик‡ционные пизн‡ки Алисы и Боб‡ и билет ‰лfl KDC — ‚ билет ‚хо‰flт once Алисы RA (с‚и‰етельст‚о ‰лfl пользниfl KDC), копиfl обще„о nonce R и и‰ентифик‡тоы Алисы и Боб‡. 2. Боб со片ет тот же с‡мый тип билет‡, но с собст‚енным е„о, Боб‡, nonce RB. Об‡ билет‡ пе則ют KDC. 3. KDC со片ет сообщение, котоое со‰ежит R, общий nonce, билет ‰лfl Алисы и билет ‰лfl Боб‡; сообщение пе則ют Бобу. Билеты со‰еж‡т соот‚етст‚ующий nonce, RA или RB и ключ се‡нс‡ KAB. 476

Лекциfl 15

Уп‡‚ление ключ‡ми

Рисунок 15.6. Потокол От‚еfl-Риис‡ 4. Боб пе則ет Алисе ее билет. 5. Алис‡ пе則ет кооткое сообщение, з‡шифнное ее се‡нсо‚ым ключом KAB, чтобы пок‡з‡ть, что он‡ имеет ключ се‡нс‡. 477

Кус

Кипто„‡фиfl и безоп‡сность сетей

15.2. Цебе Цебе — потокол уст‡но‚лениfl по‰линности и ‚ то же с‡мое ‚емfl — KDC, котоый ст‡л очень популflным. Несколько систем, ‚ключ‡fl Windows 2000, используют потокол Цебе. Он н‡з‚‡н ‚ честь тех„оло‚ой соб‡ки ‚ „еческой мифоло„ии, кото‡fl ох‡нflет ‚оот‡ ц‡ст‚‡ мет‚ых А艇. Пе‚он‡ч‡льно ‡з‡бот‡нный ‚ MIT, он пошел несколько ‚есий. Мы обсу‰им только с‡мую популflную ‚есию 4, и к‡тко объflсним отличиfl меж‰у ‚есией 4 и ‚есией 5 (после‰ней).

Се‚еы Потокол Цебе ‚ключ‡ет ‚ себfl ‡боту с темfl се‚е‡ми: се‚е ‡утентфик‡ции (AS — Authentication Server), се‚е, пе‰ост‡‚лflющий билет (TGS — Ticket-Granting Server) и е‡льный се‚е (се‚е об‡ботки ‰‡нных), котоый обеспеч肇ет услу„и. В н‡ших пиме‡х и исунк‡х Боб — е‡льный се‚е, ‡ Алис‡ — пользтель, з‡п‡ш肇ющий се‚е. Рисунок 15.7 пок‡зы‚‡ет отношениfl меж‰у этими темfl се‚е‡ми.

Рис. 15.7. Се‚еы потокол‡ Цебе 478

Лекциfl 15

Уп‡‚ление ключ‡ми

Се‚е ‡утентифик‡ции (AS) Се‚е ‡утентифик‡ции (AS) — ‚ потоколе Цебе — KDC. К‡ж‰ому пользтелю, з‡е„истинному ‚ AS, пе‰ост‡‚лflют пользтельский и‰ентифик‡ционный ко‰ и п‡оль. AS имеет б‡зу ‰‡нных с этими и‰ентифик‡ционными кми и соот‚етст‚ующими п‡олflми. AS ‚еифициует пользтелfl, ‚ы‰‡ет ключ се‡нс‡, котоый используетсfl меж‰у Алисой и TGS, и пе則ет билет ‰лfl TGS. Пе‰ост‡‚лflющий билет се‚е (TGS) Пе‰ост‡‚лflющий билет се‚е (TGS) ‚ы‡б‡ты‚‡ет билет ‰лfl е‡льно„о се‚е‡ (Боб‡). ОН обеспеч肇ет ключ се‡нс‡ (KAB) меж‰у Алисой и Бобом. Потокол Цебе от‰елflет ‚еифик‡цию пользтелfl от ‚ы‰‡чи билет‡. Этим способом Алис‡ по‚еflет с‚ой ID с AS только о‰ин ‡з. В конт‡кт с TGS он‡ может ‚ойти мно„о ‡з, чтобы получить билеты ‰лfl ‡зличных е‡льных се‚ео‚. Ре‡льный се‚е Ре‡льный се‚е (Боб) обеспеч肇ет услу„и ‰лfl пользтелfl (Алис‡). Цебе ‡з‡бот‡н ‰лfl ‚з‡имо‰ейст‚иfl с по„‡ммой «клиент-се‚е», т‡кой к‡к, н‡пиме, потокол пе則чи ф‡йло‚ FTP (File Transfer Protocol), ‚ котоом пользтель использует поцесс клиент‡, чтобы об‡титьсfl к поцессу се‚е‡. Цебе не пименflетсfl ‰лfl уст‡но‚лениfl по‰линности «чело‚екчело‚ек».

Р‡бот‡ Поцесс клиент‡ (Алис‡) может об‡титьсfl к поцессу, функциониующему н‡ е‡льном се‚ее (Боб) ‚ шесть ш‡„о‚, к‡к это пок‡з‡но н‡ ис. 15.8. 1. Алис‡ пе則ет с‚ой з‡пос AS ‚ откытом тексте, используfl с‚ой з‡е„истинный ко‰ и‰ентифик‡ции. 2. AS пе則ет сообщение, з‡шифнное постоflнным симметичным ключом Алисы, KA. AS-сообщение со‰ежит ‰‚‡ объект‡: ключ се‡нс‡, KA-TGS, котоый используетсfl Алисой, чтобы ‚ойти ‚ конт‡кт с TGS, и билет ‰лfl TGS, котоый з‡шифн TGS-симметичным ключом (KAS-TGS). Алис‡ не зн‡ет KA-AS, но к‡ сообщение пибы‚‡ет, он‡ печ‡т‡ет (сообщ‡ет) с‚ой симметичный п‡оль. П‡оль и соот‚етст‚ующий ‡л„оитм ‚месте со片ют KA-AS, если п‡оль п‡‚ильный. П‡оль з‡тем неме‰ленно уничтож‡ют; е„о не пе則ют по сети, и он не ост‡етсfl ‚ темин‡ле. Он используетсfl только н‡ м„но‚ение, чтобы со片ть KA-AS. Поцесс тепеь пименflет KA-AS ‰лfl то„о, чтобы ‡сшифо‚ы‚‡ть пе則‚‡емое сообщение KA-TGS и из‚лечь билет. 3. Алис‡ тепеь пе則ет ти объект‡ TGS. Пе‚ый — билет, полученный от AS. Втоой — имfl е‡льно„о се‚е‡ (Боб), тетий — метку ‚емени, кото‡fl з‡шифо‚‡н‡ ключом KA-TGS . Метк‡ ‚емени пе‰от‚‡щ‡ет ложный от‚ет Е‚ы. 4. Тепеь TGS пе則ет ‰‚‡ билет‡: к‡ж‰ый со‰ежит ключ се‡нс‡ меж‰у Алисой и Бобом, ka-b,. Билет ‰лfl Алисы — з‡шифнный ka-tgs , билет 479

Кус

Кипто„‡фиfl и безоп‡сность сетей

‰лfl Боб‡ — з‡шифнный с ключом Боб‡ KTGS-B. Об‡тите ‚ним‡ние, что Е‚‡ не может из‚лечь kab, потому что Е‚‡ не зн‡ет KA-TGS или KTGS-B. Он‡ не может от‚етить н‡ ш‡„ 3, потому что не может з‡менить метку ‚емени но‚ой меткой. Он‡ не зн‡ет KA-TGS, и ‰‡же если бу‰ет ‰ейст‚ть очень бысто и пе則ст н‡ ш‡„е 3 сообщение пеж‰е, чем истечет метк‡ ‚емени, ‚се ‡‚но получит те же с‡мые ‰‚‡ билет‡, котоые он‡ не может ‡сшифть. 5. Алис‡ пе則ет билет Боб‡ с меткой ‚емени, з‡шифнной ключом KA-B. 6. Боб по‰т‚е扇ет, что получил эту инфом‡цию, пиᇂлflfl 1 к метке ‚емени. Сообщение шифуетсfl ключом KA-B и пе則етсfl Алисе.

Использние ‡зличных се‚ео‚ Об‡тите ‚ним‡ние, что если Алис‡ ‰олжн‡ быть обслужен‡ ‡зличными се‚е‡ми, то пе‚ые ‰‚‡ ш‡„‡ по‚еflют и‰ентифик‡ционный ко‰ Алисы и не по‚тоflютсfl. По‚тоflfl ш‡„и 3-6, Алис‡ может з‡посить, чтобы TGS ‚ы‡бот‡л билеты ‰лfl мно„их се‚ео‚.

Весиfl 5 Цебе Незн‡чительные отличиfl меж‰у ‚есией 4 и ‚есией 5 к‡тко пи‚е‰ены ниже. 1. Весиfl 5 имеет более ‰линный ук‡з‡тель ‚емени жизни билет‡. 2. Весиfl 5 поз‚олflет ‚озобно‚лflть билеты. 3. Весиfl 5 может пименflть любой ‡л„оитм с симметичными ключ‡ми. 4. Весии 5 использует ‡зличные потоколы ‰лfl то„о, чтобы описы‚‡ть типы ‰‡нных. 5. Весиfl 5 имеет 燄оло‚ки, более ‰линные, чем ‚есиfl 4.

Обл‡сти пименениfl Цебе поз‚олflет „лоб‡льное ‡спе‰еление AS и TGS с к‡ж‰ой системой, н‡зы‚‡емой обл‡стью. Пользтель может получить билет ‰лfl местно„о се‚е‡ или у‰‡ленно„о се‚е‡. Во ‚тоом случ‡е, н‡пиме, Алис‡ может посить, чтобы ее местный TGS со片л ей билет, котоый мо„ бы быть пинflт у‰‡ленным TGS. Местный TGS может со片ть этот билет, если у‰‡ленный TGS з‡е„истио‚‡н ‚ местном TGS, т‡ Алис‡ может использть у‰‡ленный TGS, чтобы об‡титьсfl к у‰‡ленному е‡льному се‚еу.

15.3. Со„л‡шение с симметичными ключ‡ми Алис‡ и Боб мо„ут со片ть ключ се‡нс‡ меж‰у собой, не используfl KDC. Этот мето‰ со片ниfl ключ‡ се‡нс‡ н‡зы‚‡етсfl со„л‡шением с симметичными ключ‡ми. Хотfl есть несколько способо‚ ‚ыполнить этот поцесс, з‰есь ‡ссм‡т肇ютсfl только ‰‚‡ общих мет ключе‚о„о со„л‡шениfl: Диффи-Хеллм‡н‡ (Diffie-Hellman) и «ст‡нциfl-к-ст‡нции». 480

Лекциfl 15

Уп‡‚ление ключ‡ми

Рис. 15.8. Пиме ‡боты Цебе‡ 481

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ключе‚ое со„л‡шение В потоколе Диффи-Хеллм‡н‡ ‰‚е стооны со片ют симметичный ключ се‡нс‡ без KDC. Пее‰ уст‡но‚лением симметично„о ключ‡ эти ‰‚е стооны ‰олжны ‚ыб‡ть ‰‚‡ числ‡ p и g. Пе‚ое число, p, fl‚лflетсfl большим постым числом поfl‰к‡ 300 ‰есflтичных циф (1024 бит‡). Втоое число, g, служит „ене‡тоом поfl‰к‡ p – 1 ‚ „уппе . Эти ‰‚‡ числ‡ („упп‡ и „ене‡то) не ‰олжны быть конфи‰енци‡льными. Их можно пе則ть чеез Internet. Они мо„ут быть обще‰оступны. Рисунок 15.9 пок‡зы‚‡ет поце‰уу. Ш‡„и пеечислены ниже. 1. Алис‡ ‚ыби‡ет большое случ‡йное число x, т‡кое, что 0 < x < p – 1, и ‚ычислflет R1 = gx mod p. 2. Боб ‚ыби‡ет ‰у„ое большое случ‡йное число y, т‡кое, что 0 < y < p – 1, и ‚ычислflет R2 = gy mod p. 3. Алис‡ пе則ет Бобу R1. Об‡тите ‚ним‡ние, что Алис‡ не пе則ет зн‡чение x; он‡ пе則ет только R1. 4. Боб пе則ет Алисе R2. Сн об‡тите ‚ним‡ние, что Боб не пе則ет зн‡чение y, он пе則ет только R2. 5. Алис‡ ‚ычислflет K = (R2)x mod p. 6. Боб т‡кже ‚ычислflет K = (R1)y mod p.

Боб ‚ычислflет K = (R1)y mod p = (gx mod p)y mod p = gxy mod p. Алис‡ ‚ычислflет K = (R2)x mod p = (gy mod p)x mod p = gxy mod p и получ‡ет то же с‡мое

Рис. 15.9. Мето‰ Диффи-Хелм‡н‡ 482

Лекциfl 15

Уп‡‚ление ключ‡ми

зн‡чение без Боб‡, зн‡юще„о зн‡чение x. А Боб получил это зн‡чение без Алисы, зн‡ющей зн‡чение y. Симметичный (со‚местный) ключ ‚ мето‰е Диффи-Хеллм‡н‡ — K = gxy mod p Пиме 15.1 Пи‚е‰ем ти‚и‡льный пиме, чтобы flсно понflть поце‰уу. Н‡ш пиме использует м‡ленькие числ‡, но з‡метим, что ‚ е‡льной ситу‡ции пименflютсfl очень большие числ‡. Пе‰положим, что g = 7 и p = 23. Т‡ поце‰у‡ со‰ежит сле‰ующие ш‡„и. 1. Алис‡ ‚ыби‡ет x = 3 и ‚ычислflет R1 = 73 mod 23 = 21. 2. Боб ‚ыби‡ет y = 6 и ‚ычислflет R2 = 76 mod 23 = 4. 3. Алис‡ пе則ет число 21 Бобу. 4. Боб пе則ет число 4 Алисе. 5. Алис‡ ‚ычислflет симметичный ключ K = 43 mod 23 = 18. 6. Боб ‚ычислflет симметичный ключ K = 216 mod 23 = 18. Зн‡чение K о‰но и то же и ‰лfl Алисы, и ‰лfl Боб‡: gx y mod p = 718 = 18 . Пиме 15.2 Д‡‚‡йте ‚озьмем более е‡льный пиме. Мы используем по„‡мму, чтобы со片ть случ‡йное целое число 512 бито‚ (и‰е‡льно — 1024 бит). Целое число p — число с 159 циф‡ми. Мы т‡кже ‚ыби‡ем g, x и y, к‡к пок‡з‡но ниже: p

g x y

7646242985634935721824937659550305074763380967269497489235737728609 2523566666075542363742330966118003333810619473013095041473870099917 80436548785807987581 2 557 273 Сле‰ующ‡fl т‡блиц‡ пок‡зы‚‡ет R1, R2 и K.

R1

R2

K

8449202842066550521617294749103509414343369852001266086286363106767 3619959280828586700802131859290945140217500319973312945836083821943 065966020157955354 4352628387092003794707471148955816276363891162621155579751233792185 6631001143571S20839004018187648684175383116534269163026342110672150 8589 6255201288594143 155638000664522290596225827523270765273218046944423678520320400146 4065008879366512042574267766083279110171530386745612522131516109765 842001204086433617740

Ан‡лиз потокол‡ Диффи-Хеллм‡н‡ Концепциfl Диффи-Хеллм‡н‡, пок‡з‡нн‡fl н‡ ис. 15.10, fl‚лflетсfl постой, но изflщной. Мы можем пе‰ст‡‚ить ключ з‡секеч肇ниfl меж‰у Алисой и Бобом — 483

Кус

Кипто„‡фиfl и безоп‡сность сетей

он состоит из тех ч‡стей: g, x и y. Пе‚‡fl ч‡сть обще‰оступн‡. К‡ж‰ый зн‡ет 1/3 ключ‡ — g, обще‰оступное зн‡чение. Ду„ие ‰‚е ч‡сти нужно узн‡ть y Алисы и Боб‡. К‡ж‰ый из них зн‡ет о‰ну ч‡сть. Алис‡ ‰оᇂлflет x к‡к ‚тоую ч‡сть ‰лfl Боб‡; Боб ‰оᇂлflет y к‡к ‚тоую ч‡сть ‰лfl Алисы. К‡ Алис‡ получ‡ет 2/3 полно„о ключ‡ от Боб‡, он‡ ‰оᇂлflет после‰нюю ч‡сть, ее y, чтобы 燂ешить ключ. К‡ Боб получ‡ет ключ от Алисы — з‡конченный н‡ 2/3, он ‰оᇂлflет после‰нюю ч‡сть, с‚ое y, чтобы 燂ешить ключ. Об‡тите ‚ним‡ние, что хотfl ключ Алисы состоит из g, y и x и ключ Боб‡ состоит из g, x и y, эти ‰‚‡ ключ‡ — о‰ни и те же, потому что gxy = gyx. Об‡тите ‚ним‡ние т‡кже, что хотfl ‰‚‡ ключ‡ те же с‡мые, Алис‡ не может н‡йти зн‡чение y, используемо„о Бобом, потому что ‚ычисление с‰ел‡но по мо‰улю p. Алис‡ получ‡ет gy mod p от Боб‡, но не gy. Длfl то„о чтобы зн‡ть зн‡чениfl y, Алис‡ ‰олжн‡ использть ‰искетный лифм, котоый мы обсу扇ли ‚ пе‰ы‰ущей лекции. Безоп‡сность потокол‡ З‡мен‡ ключ‡ Диффи-Хеллм‡н‡ ‚оспиимч肇 к ‰‚ум ‡т‡к‡м: ‡т‡ке ‰искетно„о лифм‡ и ‡т‡ке посе‰ник‡ (man-in middle) Ат‡к‡ ‰искетно„о лифм‡. Безоп‡сность ключе‚ой ст‡нции б‡зиуетсfl н‡ ту‰ности поблемы ‰искетно„о лифм‡. Е‚‡ может пеех‚‡тить R1 и R2.

Рис. 15.10. И‰еfl ключ‡ Диффи-Хеллм‡н‡ Из R1 = gx mod p и y из R2 = gy mod p он‡ может з‡тем ‚ычислить симметичный ключ: K = gxy mod p. Ключ з‡секеч肇ниfl больше не fl‚лflетсfl секетным. Чтобы c‰ел‡ть мето‰ Диффи-Хеллм‡н‡ з‡щищенным от ‡т‡ки ‰искетно„о лифм‡, екомен‰уетсfl сле‰ующее. 484

Лекциfl 15

Уп‡‚ление ключ‡ми

1. Постое число p ‰олжно быть очень большим (более чем 300 ‰есflтичных циф). 2. Постое число p ‰олжно быть ‚ыб‡но т‡к, чтобы p – 1 имел по к‡йней мее о‰ин постой ‰елитель (больше чем 60 ‰есflтичных циф). 3. Гене‡то ‰олжен быть ‚ыб‡н из „уппы . 4. Боб и Алис‡ ‰олжны уничтожить x и y после то„о, к‡к они ‚ычислили зн‡чение симметично„о ключ‡. Зн‡чениfl x и y ‰олжны использтьсfl только е‰инож‰ы. Ат‡к‡ «посе‰ниꇻ. Этот потокол имеет ‰у„ую сл‡бость. Е‚е не 퇉о н‡хо‰ить зн‡чениfl x и y, чтобы н‡п‡сть н‡ потокол. Он‡ может использть „лупость Алисы и Боб‡, со片ющих ‰‚‡ ключ‡: о‰ин меж‰у Бобом и Алисой и ‰у„ой меж‰у Алисой и Бобом. Рисунком 15.11 пок‡зы‚‡ет ситу‡цию. Может случитьсfl сле‰ующее: 1. Алис‡ ‚ыби‡ет x , ‚ычислflет R 1 = gx mod p и пе則ет R1 Бобу; 2. Е‚‡, злоумышленник, пеех‚‡ты‚‡ет R1. Он‡ ‚ыби‡ет z, ‚ычислflет R 2 = gz mod p и пе則ет R 2 Алисе и Бобу; 3. Боб ‚ыби‡ет y, ‚ычислflет R3 = gy mod p, пе則ет R3 Алисе. Е‚‡ пеех‚‡ты‚‡ет R3, и Алис‡ ник‡ не получит это число;

Ри. 15.11. Ат‡к‡ посе‰ник‡ 485

Кус

Кипто„‡фиfl и безоп‡сность сетей

4. Алис‡ и Е‚‡ ‚ычислflют K1 = gxz mod p, котоый ст‡но‚итсfl откытым ключом меж‰у Алисой и Е‚ой. Алис‡, о‰н‡ко, ‰ум‡ет, что это —откытый ключ меж‰у ней и Бобом; 5. Е‚‡ и Боб ‚ычислflют K2 = gzymod p, котоый ст‡но‚итсfl откытым ключом меж‰у Е‚ой и Бобом. О‰н‡ко Боб ‰ум‡ет, что это — откытый ключ меж‰у ним Алисой. Ду„ими слми, со片ютсfl ‰‚‡ ключ‡ ‚место о‰но„о: о‰ин меж‰у Алисой и Е‚ой и о‰ин меж‰у Е‚ой и Бобом. К‡ Алис‡ посыл‡ет ‰‡нные Бобу, он‡ з‡шифо‚ы‚‡ет их ключом K1 (со‚местный ключ Алисы иЕ‚ы). Эти ‰‡нные мо„ут быть ‡сшифны и почит‡ны Е‚ой. Е‚‡ может пе則ть сообщение Бобу, з‡шифнное K2 (со‚местный ключ меж‰у Е‚ой и Бобом); или он‡ может ‰‡же изменить сообщение или пе則ть но‚ое сообщение. Боб ‚‚е‰ен ‚ з‡блуж‰ение, поскольку у‚еен, что сообщение пишло от Алисы. По‰обный сцен‡ий может случитьсfl и ‚ ‰у„ом н‡п‡‚лении — с Алисой. Эт‡ ситу‡циfl н‡зы‚‡етсfl «‡т‡к‡ посе‰ниꇻ, поскольку Е‚‡ н‡хо‰итсfl меж‰у п‡тне‡ми и пеех‚‡ты‚‡ет R1, пе則‚‡емый Алисой Бобу, и R3, пе則‚‡емый Бобом Алисой. Это — ‡т‡к‡ пе則чи по цепочке, потому что н‡помин‡ет кооткую линейку ‰обо‚ольце‚ н‡ пож‡е, пе則ющих ‰у„ ‰у„у ‚е‰‡ с ‚о‰ой, по цепочке от чело‚ек‡ чело‚еку. Сле‰ующий мето‰ оснн н‡ потоколе Диффи-Хеллм‡н‡. Он использует мето‰ы уст‡но‚лениfl по‰линности, чтобы со‚‡ть эту ‡т‡ку.

Ключе‚ое со„л‡шение «от ст‡нции к ст‡нции» Потокол «от ст‡нции к ст‡нции» — мето‰, осннный н‡ мето‰е ДиффиХеллм‡н‡. Он пименflет цифо‚ые по‰писи с сетифик‡т‡ми откыто„о ключ‡ (см. сле‰ующую секцию). Длfl уст‡но‚ки ключ‡ се‡нс‡ меж‰у Алисой и Бобом используетсfl после‰о‚‡тельность, пок‡з‡нн‡fl н‡ ис. 15.12. Имеютсfl сле‰ующие ш‡„и. • После ‚ычислениfl R1 Алис‡ пе則ет R1 Бобу (ш‡„и 1 и 2 н‡ ис. 15.12). • После ‚ычислениfl R2 и ключ‡ се‡нс‡ Боб конк‡тениует ID Алисы, R1 И R2. З‡тем он по‰писы‚‡ет езульт‡т с‚оим секетным ключом. Боб тепеь пе則ет R2, по‰пись и собст‚енное с‚и‰етельст‚о обще‰оступно„о ключ‡ Алисе. По‰пись з‡шифо‚‡н‡ ключом се‡нс‡ (ш‡„и 3, 4 и 5 н‡ ис. 15.12). • После ‚ычислениfl ключ‡ се‡нс‡, если по‰пись Боб‡ по‚еен‡, Алис‡ с‚flзы‚‡ет ID Боб‡, R1 И R2. З‡тем он‡ по‰писы‚‡ет езульт‡т с‚оим собст‚енным секетным ключом и пе則ет это Бобу. По‰пись з‡шифо‚‡н‡ ключом се‡нс‡ (ш‡„и 6, 7 и 8 н‡ ис. 15.12). • Если по‰пись Алисы по‚еен‡, Боб сох‡нflет ключ се‡нс‡ (ш‡„ 9 н‡ ис. 15.12). Безоп‡сность потокол‡ «от ст‡нции к ст‡нции» Потокол «от ст‡нции к ст‡нции» пе‰от‚‡щ‡ет ‡т‡ки «посе‰ниꇻ. После R1 Е‚‡ не может пе則ть с‚ой собст‚енный R2 Алисе и пит‚оflтьсfl, что это и‰ет от Боб‡, потому что Е‚‡ не может пел‡ть секетный ключ Боб‡ и со片ть по‰пись — по‰пись не может быть по‚еен‡ обще‰оступным ключом Боб‡, оп486

Лекциfl 15

Уп‡‚ление ключ‡ми

е‰еленным ‚ с‚и‰етельст‚е. Тем же об‡зом Е‚‡ не может пел‡ть секетный ключ Алисы, чтобы по‰пис‡ть тетье сообщение, пе則‚‡емое Алисой. Сетифик‡ту, к‡к мы у‚и‰им ‚ сле‰ующей секции, можно ‰о‚еflть, потому что он ‚ы‡бот‡н ‡‰минист‡цией, котоой ‰о‚еflют.

Рис. 15.12. Мето‰ со„л‡шениfl «от ст‡нции — к ст‡нции»

15.4. Р‡спе‰еление откыто„о ключ‡ В кипто„‡фии с ‡симметичным ключом лю‰flм не 퇉о зн‡ть симметичный откытый ключ. Если Алис‡ хочет пе則ть сообщение Бобу, он‡ ‰олжн‡ зн‡ть только откытый ключ Боб‡, котоый fl‚лflетсfl откытым ‰лfl ‚сех и ‰оступен к‡ж‰ому. Если Боб ‰олжен пе則ть сообщение Алисе, он ‰олжен зн‡ть толь487

Кус

Кипто„‡фиfl и безоп‡сность сетей

ко откытый ключ Алисы, котоый т‡кже из‚естен к‡ж‰ому. В кипто„‡фии обще‰оступно„о ключ‡ к‡ж‰ый сох‡нflет секетный ключ и объfl‚лflет обще‰оступный ключ. В кипто„‡фии обще‰оступно„о ключ‡ к‡ж‰ый имеет ‰оступ к откытому ключу; откытые ключи ‰оступны ‚сем. Обще‰оступные ключи, по‰обно секетным ключ‡м, ‰олжны быть ‡спе‰елены, чтобы быть полезными. К‡тко обсу‰им способ, котоым мо„ут быть ‡спе‰елены обще‰оступные ключи.

Обще‰оступное объfl‚ление Н‡и‚ный по‰хо‰ состоит ‚ том, чтобы объfl‚ить откытые ключи публично. Боб может поместить с‚ой откытый ключ н‡ с‚оем с‡йте или объfl‚ить е„о ‚ местной или н‡цион‡льной „‡зете. К‡ Алис‡ ‰олжн‡ пе則ть конфи‰енци‡льное сообщение Бобу, он‡ может получить откытый ключ Боб‡ из е„о с‡йт‡ или из „‡зеты или ‰‡же пе則ть сообщение, чтобы попосить е„о об этом. Рисунок 15.13 иллюстиует т‡кую ситу‡цию.

Рис. 15.13. Объfl‚ление откытых обще‰оступных ключей Этот по‰хо‰, о‰н‡ко, небезоп‡сен. Он ‰опуск‡ет пелку. Н‡пиме, Е‚‡ может с‰ел‡ть т‡кое же обще‰оступное объfl‚ление. Пеж‰е, чем Боб сможет с凄ить, может быть н‡несен ‚е‰. Е‚‡ может посл‡ть „лупой Алисе с‚ое сообщение, котоое flкобы н‡пис‡но Бобом. Е‚‡ может т‡кже по‰пис‡ть ‰окумент ф‡льши‚ым секетным ключом и ‚ы炇ть у к‡ж‰о„о пе‰положение, что сообщение было по‰пис‡но Бобом. Этот по‰хо‰ т‡кже уflз‚им, если Алис‡ с‡м‡ з‡п‡ш肇ет откытый ключ Боб‡. Е‚‡ может пеех‚‡тить от‚ет Боб‡ и з‡менить е„о собст‚енным ф‡льши‚ым откытый ключом.

Цент ‰о‚еиfl Более безоп‡сный по‰хо‰ состоит ‚ том, чтобы иметь цент, котоому ‰о‚еflют и котоый х‡нит к‡т‡ло„ обще‰оступных (откытых) ключей: к‡т‡ло„, по‰обно используемому ‚ телефонной системе, но ‰ин‡мически мо‰ифициуемый. 488

Лекциfl 15

Уп‡‚ление ключ‡ми

К‡ж‰ый пользтель может ‚ыб‡ть секетный и откытый ключ, сох‡нить секетный ключ и опубликть откытый ключ ‚ к‡т‡ло„е. Цент может пе‰ост‡‚ить пользтельский е„ист и по‚еить опоз퇂‡тельный ко‰. К‡т‡ло„ может публично екл‡митьсfl центом, котоому ‰о‚еflют. Цент может т‡кже от‚етить н‡ любой з‡пос об обще‰оступном ключе. Рисунок 15.14 пок‡зы‚‡ет эту концепцию.

Рис. 15.14. Цент ‰о‚еиfl

Уп‡‚лflемый цент ‰о‚еиfl Более ‚ысокий уо‚ень безоп‡сности может быть ‰ости„нут, если ‰оᇂить уп‡‚ление ‡спе‰елением откыто„о ключ‡. Пи объfl‚лении откыто„о ключ‡ можно ‚ключить ‚ от‚ет метку ‚емени и по‰пись ‡‰минист‡ции, чтобы пе‰от‚‡тить пеех‚‡т и пее‰елку от‚ет‡. Если Алис‡ хочет зн‡ть откытый ключ Боб‡, он‡ может пе則ть з‡пос центу, ‚ключ‡fl ‚ з‡пос имfl Боб‡ и метку ‚емени. Цент от‚еч‡ет откытым ключом Боб‡, пе‚он‡ч‡льным з‡посом и меткой ‚емени, по‰пис‡нной секетным ключом цент‡. Алис‡ использует откытый ключ из‚естно„о ‚сем цент‡ и по‚еflет метку ‚емени. Если метк‡ ‚емени п‡‚ильн‡fl, он‡ из‚лек‡ет обще‰оступный ключ Боб‡. Рисунок 15.15 пок‡зы‚‡ет о‰ин из ‚озможных сцен‡ие‚.

Цент сетифик‡ции Пе‰ы‰ущий по‰хо‰ может поо‰ить ‚ысокую 퇄узку н‡ цент, если число з‡посо‚ бу‰ет большим. Альтен‡т肇 этому — со片ние сетифик‡т‡ (у‰осто‚еениfl) обще‰оступно„о ключ‡. Боб имеет ‰‚‡ жел‡ниfl: он хочет, чтобы лю‰и зн‡489

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 15.15. Уп‡‚лflемый Цент До‚еиfl ли е„о откытый ключ, и он хочет, чтобы никто не сфомил ф‡льши‚ый откытый ключ, т‡кой же, к‡к у не„о. Боб может об‡титьсfl ‚ цент сетифик‡ции (CA — Certification Authority) либо ‚ фе‰е‡льную или обще„осу‰‡ст‚енную о„‡низ‡цию, кото‡fl с‚flзы‚‡ет откытый ключ с объектом и ‚ы‰‡ет сетифик‡т. Цент сетифик‡ции имеет из‚естный обще‰оступный ключ, котоый не может быть ф‡льши‚ым. Цент сетифик‡ции по‚еflет и‰ентифик‡цию Боб‡, используfl к‡тинку, или ID, или ‰у„ое ‰ок‡з‡тельст‚о по‰линности з‡fl‚ителfl, з‡тем з‡п‡ш肇ет откытый ключ Боб‡ и по‰писы‚‡ет сетифик‡т с секетным ключом. Цент сетифик‡ции по‰писы‚‡ет с‚и‰етельст‚о с‚оим секетным ключом. Тепеь Боб может 燄узить по‰пис‡нное с‚и‰етельст‚о. Любой, кто хочет иметь откытый ключ Боб‡, 燄уж‡ет по‰пис‡нное с‚и‰етельст‚о и использует обще‰оступный ключ цент‡, чтобы из‚лечь обще‰оступный ключ Боб‡. Рисунок 15.16 пок‡зы‚‡ет эту концепцию.

X.509 Хотfl пименение сетифик‡ционных центо‚ ешило поблему мошенничест‚‡ пи ‡спе‰елении откыто„о ключ‡, они со片ли побочный эффект. К‡ж‰ое с‚и‰етельст‚о может иметь особый фом‡т. Если Алис‡ хочет использть по„‡мму, чтобы ‡‚том‡тически 燄узить ‡зличные сетифик‡ты и ‰‡й‰жесты, пи퇉леж‡щие ‡зличным лю‰flм, по„‡мм‡ не сможет с‰ел‡ть это. О‰но с‚и‰етельст‚о может иметь откытый ключ ‚ ‡зличных фом‡т‡х. Откытый ключ может быть н‡ пе‚ой линейке ‚ о‰ном сетифик‡те и н‡ тетьей линейке ‚ ‰у490

Лекциfl 15

Уп‡‚ление ключ‡ми

Рис. 15.16. А‰минист‡циfl сетифик‡ции „ом. Поэтому то, что 퇉о пименflть уни‚ес‡льно, ‰олжно иметь уни‚ес‡льный фом‡т. Чтобы обеспечить уни‚ес‡льность, ITU (МСЭ) ‡з‡бот‡л екоме퉇цию X.509, кото‡fl был‡ пинflт‡ ‚ Internet с некотоыми изменениflми. X.509 — способ опис‡ть сетифик‡т стуктуинным способом. Он использует из‚естный потокол, н‡зы‚‡емый ASN.l (Abstract Syntax Notation 1 — Нот‡циfl ‡бст‡ктно„о синт‡ксис‡ 1), — он опе‰елflет полfl, котоые зн‡комы по„‡ммист‡м, использующим C. Сетифик‡т Рисунок 15.17 пок‡зы‚‡ет фом‡т сетифик‡т‡. Сетифик‡т имеет сле‰ующие полfl. • Номе ‚есии. Это поле опе‰елflет ‚есию сетифик‡т‡ X.509. Номе ‚есии н‡чин‡етсfl отсчиты‚‡тьсfl с 0; текущ‡fl ‚есиfl (тетьfl ‚есиfl) — 2. • Сеийный номе. Это поле опе‰елflет число, н‡зн‡ч‡емое к‡ж‰ому сетифик‡ту. Зн‡чение это„о числ‡ fl‚лflетсfl уник‡льным ‰лfl к‡ж‰о„о ‚ыпуск‡емо„о с‚и‰етельст‚‡. • Ал„оитм по‰писи ID. Это поле и‰ентифициует ‡л„оитм, используемый ‰лfl по‰писи сетифик‡т‡. В этом поле опе‰елflетсfl любой п‡‡мет, котоый необхо‰им ‰лfl по‰писи. • ͇炇ние ‚ы‰‡‚ше„о сетифик‡т. Это поле и‰ентифициует цент‡ сетифик‡ции, котоый ‚ы‰‡л с‚и‰етельст‚о. ͇炇ние — обычно ие‡хиfl сток, котоые опе‰елflют ст‡ну, шт‡т, о„‡низ‡цию, от‰ел и т‡к ‰‡лее. 491

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 15.17. Фом‡т сетифик‡т‡ Х.509 • Сок ‰ейст‚иfl. Это поле опе‰елflет н‡ч‡льное ‚емfl (не ‡ньше) и после‰нее ‚емfl (не позже), к‡ сетифик‡т счит‡етсfl ‰ейст‚ительным. • Имfl пользтелfl. Это поле опе‰елflет объект, котоому пи퇉лежит откытый ключ. Это т‡кже ие‡хиfl сток. Ч‡сть полfl опе‰елflет то, что н‡зы‚‡етсfl общим именем, котоое fl‚лflетсfl ф‡ктическим именем об뇉‡телfl ключ‡. • Имfl обще‰оступно„о ключ‡. Это поле опе‰елflет откытый ключ ‚뇉ельц‡. Это — цент‡льн‡fl инфом‡циfl сетифик‡т‡. Поле т‡кже опе‰елflет соот‚етст‚ующий ‡л„оитм обще‰оступно„о ключ‡ (н‡пиме, RSA) и е„о п‡‡меты. • Уник‡льный и‰ентифик‡то ‚ы‰‡‚ше„о сетифик‡т. Это ‰ополнительное поле поз‚олflет ‰‚ум о„‡низ‡циflм, ‚ы‰‡‚шим ключ, иметь о‰но то и же зн‡чение полfl ‚ы‰‡‚ше„о, если уник‡льные и‰ентифик‡тоы ‚ы‰‡‚ше„о ‡зличны. • Уник‡льный и‰ентифик‡то пользтелfl. Это ‰ополнительное поле поз‚олflет ‰‚ум ‡зличным пользтелflм иметь о‰но и то же поле пользтелfl, если уник‡льные и‰ентифик‡тоы пользтелfl ‡зличны. • Дополнительное ‡сшиение фом‡т‡. Это ‰ополнительное поле поз‚олflет ‚ыпуск‡ющим пик뇉ы‚‡ть больше ч‡стной инфом‡ции, ‰ополнflющей сетифик‡т. • По‰пись. Это поле состоит из тех секций. Пе‚‡fl секциfl со‰ежит ‚се ‰у„ие полfl ‚ сетифик‡те. Вто‡fl со‰ежит ‰‡й‰жест пе‚ой секции, з‡шифнный с обще‰оступным ключом сетифик‡ционно„о цент‡ (CA). Тетьfl — и‰ентифик‡то ‡л„оитм‡, использнно„о ‰лfl со片ниfl ‚тоой секции. Возобно‚ление сетифик‡т‡ К‡ж‰ое с‚и‰етельст‚о имеет сок ‰ейст‚иfl. Если нет ник‡ких поблем с сетифик‡том, Цент сетифик‡ции ‚ы‰‡ет но‚ый сетифик‡т пеж‰е, чем исте492

Лекциfl 15

Уп‡‚ление ключ‡ми

к‡ет ст‡ый. Этот поцесс по‰обен ‚озобно‚лению ке‰итных к‡точек комп‡нией, ‚ыпуск‡ющей ке‰итные к‡точки; ‰еж‡тель ке‰итки обычно получ‡ет ‚озобно‚ленную к‡точку пеж‰е, чем сок ‰ейст‚иfl ст‡ой истек‡ет. Аннулиние сетифик‡т‡ В некотоых случ‡flх сетифик‡т ‰олжен быть отменен пее‰ тем, к‡к истечет сок е„о ‰ейст‚иfl. Н‡пиме: ‡. Секетный ключ (объект‡) пользтелfl, соот‚етст‚ующий откытому ключу, котоый пеечислен ‚ сетифик‡те, ‚озможно, был скомпометин. б. Цент Сетифик‡ции больше не жел‡ет у‰осто‚еflть пользтелfl. Н‡пиме, с‚и‰етельст‚о пользтелfl к‡с‡етсfl о„‡низ‡ции, ‚ котоой он больше не ‡бот‡ет. ‚. Секетный ключ цент‡ сетифик‡ции, котоый может по‚еflть сетифик‡ты, ‚озможно, был скомпометин. В этом случ‡е цент сетифик‡ции ‰олжен отменить ‚се неистекшие сетифик‡ты. Аннулиние поисхо‰ит путем пеио‰ическо„о ‚ыпуск‡ списк‡ ‡ннулинных сетифик‡то‚ (CRL — certificate revocation). Список со‰ежит ‚се отменflемые сетифик‡ты, сок котоых не истек ‚ ‰ень ‚ыпуск‡ CRL. К‡ пользтель хочет использть сетифик‡т, он сн‡ч‡л‡ ‰олжен по‚еить к‡т‡ло„ соот‚етст‚ующе„о сетифик‡ционно„о Цент‡, посмоте‚ после‰ний список ‡ннулиниfl сетифик‡то‚. Рисунок 15.18 пок‡зы‚‡ет список ‡ннулиниfl сетифик‡то‚. Список ‡ннулиниfl сетифик‡то‚ имеет сле‰ующие полfl. • Ал„оитм по‰писи ID. Это поле то же с‡мое, к‡к и ‚ сетифик‡те, • ͇炇ние ‚ы‰‡‚ше„о сетифик‡т. Это поле то же с‡мое, к‡к и ‚ сетифик‡те. Д‡т‡ мо‰ифик‡ции. Это поле опе‰елflет, к‡ список был ‚ыпущен. • Д‡т‡ после‰не„о обно‚лениfl. Это поле опе‰елflет сле‰ующую ‰‡ту, к‡ бу‰ет ‚ыпущен но‚ый список.

Рис.15.18. Фом‡т ‡ннулиниfl сетифик‡т‡ X.509 493

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Аннулинный сетифик‡т. Это по‚тоflемый список ‚сех ‡ннулинных сетифик‡то‚, у котоых не истек сок. К‡ж‰ый список со‰ежит ‰‚е ч‡сти: пользтельский сеийный номе сетифик‡т‡ и ‰‡ту ‡ннулиниfl. • По‰пись. Это поле т‡кое же, к‡к и ‚ списке сетифик‡то‚. Аннулиние с помощью ‰ельт‡-списк‡ Чтобы с‰ел‡ть ‡ннулиние более эффекти‚ным, был пе‰ложен ‰ельт‡список ‡ннулиниfl сетифик‡т‡ (‰ельт‡-список CRL — certification list). Дельт‡-CRL со片етсfl и ‡змещ‡етсfl ‚ ‰иектоии, если есть изменениfl ‚ пеио‰, котоый н‡чин‡етсfl с ‰‡ты после‰не„о обно‚лениfl сетифик‡т‡ ‰о сле‰ующей мо‰ифик‡ции, — н‡пиме, если CRL ‚ы‡б‡ты‚‡ютсfl к‡ж‰ый месflц, но есть ‡ннулиниfl меж‰у этим ‰‡т‡ми. Цент сетифик‡ции может со片ть ‰ельт‡-список CRL, к‡ есть изменение ‚ течение месflц‡. О‰н‡ко ‰ельт‡-CRL со‰ежит только изменениfl, с‰ел‡нные после после‰не„о CRL.

Инф‡стукту‡ откытых ключей (PKI) Инф‡стукту‡ откытых ключей (PKI — Public Key Infrastructures) — мо‰ель ‰лfl со片ниfl, ‡спе‰елениfl и ‡ннулиниfl сетифик‡то‚, осннн‡fl н‡ екоме퉇ции X.509. Гупп‡ инжененой пежки сети Интенет (IETF — Internet Engineering Task Force) соз‰‡л‡ Инф‡стуктуу обще‰оступно„о ключ‡ X.509 (TKIX). Режимы ‡боты Длfl PKI были опе‰елены несколько ежимо‚ ‡боты. С‡мые ‚‡жные из них пок‡з‡ны н‡ ис. 15.19. • Выпуск, ‚озобно‚ление и ‡ннулиние сетифик‡то‚. Эти ежимы ‡боты были опе‰елены ‚ X.509. Поскольку PKIX б‡зиуетсfl н‡ X.509, он ‰олжен об‡бот‡ть ‚се ежимы ‡боты, имеющие отношение к сетифик‡т‡м. • Х‡нение и мо‰ифик‡циfl ключей. PKI ‰олжен быть местом х‡нениfl секетных ключей ‰лfl тех уч‡стнико‚, у котоых есть необхо‰имость ‰еж‡ть с‚ои секетные ключи „‰е-нибу‰ь ‚ сейфе. В ‰ополнение к этому PKI несет от‚етст‚енность з‡ обно‚ление этих ключей по з‡посу уч‡стнико‚.

Рис. 15.19. Некотоые ежимы PKI 494

Лекциfl 15

Уп‡‚ление ключ‡ми

• Обеспечение услу„ ‰у„им потокол‡м. К‡к мы у‚и‰им ‚ сле‰ующих немно„их лекциflх, некотоые потоколы безоп‡сности Internet, т‡кие, к‡к IPSec и TLS, б‡зиуютсfl н‡ услу„‡х PKI. • Обеспечение уп‡‚лениfl ‰оступом. PKI может обеспечить ‡зличные уо‚ни ‰оступ‡ к инфом‡ции, сох‡ненной ‚ ее б‡зе ‰‡нных. Н‡пиме, о„‡низ‡циfl PKI может обеспечить ‰оступ к полной б‡зе ‰‡нных ‰лfl ‚ысше„о исполнительно„о уко‚о‰ст‚‡, но о„‡ниченный ‰оступ — ‰лfl служ‡щих. Мо‰ель ‰о‚еиfl Не‚озможно иметь только о‰ин цент сетифик‡ции, ‚ыпуск‡ющий ‚се сетифик‡ты ‰лfl ‚сех пользтелей ‚ мие. Должно быть мно„о центо‚ сетифик‡ции (CA), к‡ж‰ый — от‚етст‚енный з‡ со片ние, сох‡нение, и片ние и ‡ннулиние о„‡ниченно„о числ‡ сетифик‡то‚. Мо‰ель ‰о‚еиfl (Trust Model) опе‰елflет п‡‚ил‡, котоые „о‚оflт, к‡к пользтель может по‚еить сетифик‡т, полученный от Цент‡ Сетифик‡ции (CA). Ие‡хическ‡fl мо‰ель. У этой мо‰ели — стукту‡ тип‡ ‰е傇 с конем CA. Коень CA имеет сетифик‡т, по‰пис‡нный и ‚ыпущенный им с‡мим. Ду„им CA и пользтелflм ‰лfl то„о, чтобы ‡бот‡ть, необхо‰имо ‰о‚еflть ему. Рисунок 15.20 пок‡зы‚‡ет мо‰ель ‰о‚еиfl т‡ко„о ‚и‰‡ с темfl ие‡хическими уо‚нflми. В е‡льной ситу‡ции число уо‚ней может быть больше, чем ти.

Рис. 15.20. Ие‡хическ‡fl мо‰ель PKI Рисунок пок‡зы‚‡ет, что CA (коень) по‰писы‚‡ет сетифик‡ты ‰лfl CA1, CA2 с CA3; CA1 по‰писы‚‡ют сетифик‡ты ‰лfl Польз.1, Польз. 2, Польз. 3 и т‡к ‰‡лее. PKI использует особую систему обозн‡чений, кото‡fl озн‡ч‡ет: сетифик‡т ‚ы‰‡н ‡‰минист‡цией X ‰лfl объект‡ Y. X<> Пиме 15.3 Пок‡з‡ть, к‡к Польз. 1, зн‡fl только обще‰оступный ключ CA (коень), может получить ‚еифицинную копию обще‰оступно„о ключ‡ Польз. 3. 495

Кус

Кипто„‡фиfl и безоп‡сность сетей

Решение Пользтель 3 пе則ет сетифик‡т по цепочке CA «CA1» и CA1 «Польз. 3», к Польз. 3. ‡. Польз.1 по‰т‚е扇ет CA «CA1», используfl обще‰оступный ключ CA. б. Польз.1 из‚лек‡ет обще‰оступный ключ CA1 от CA «CA1». ‚. Польз.1 по‰т‚е扇ет CA«Польз. 3», используfl обще‰оступный ключ CA1. „. Польз.1из‚лек‡ет обще‰оступный ключ Польз. 3 из CA «Польз. 3». Пиме 15.4 Некотоые Web-б‡узеы, т‡кие, к‡к Netscape и Internet Explorer, со‰еж‡т множест‚о сетифик‡то‚, полученных от не燂исимых Центо‚ сетифик‡ции (коней) без е‰инст‚енно„о конfl ‚ысоко„о уо‚нfl ‡‰минист‡ции, котоый мо„ бы сетифицить к‡ж‰ый коень. Можно н‡йти список этих коней ‚ Internet Explorer по сле‰ующему м‡шуту: Инстумент‡льные се‰ст‚‡ / Опции Интенет‡ / Со‰еж‡ние, Сетифик‡т / Коень ‰о‚еиfl (используfl «‡скы‚‡ющиесfl стоки»). Пользтель т‡ может ‚ыб‡ть любой коень и озн‡комитьсfl с е„о сетифик‡том. Мо‰ель «к‡ж‰ый с к‡ж‰ым». Ие‡хическ‡fl мо‰ель может ‡бот‡ть ‰лfl о„‡низ‡ции или м‡ленькой „уппы лю‰ей. Большие „уппы, ‚озможно, ну扇ютсfl ‚ нескольких ие‡хических стукту‡х, сое‰иненных ‚месте. О‰ин из мето‰о‚ состоит ‚ том, чтобы использть мо‰ель «к‡ж‰ый с к‡ж‰ым» ‰лfl сое‰инениfl коней ‚месте. В этой мо‰ели к‡ж‰ый коень с‚flз‡н с к‡ж‰ым ‰у„им конем, к‡к это пок‡з‡но н‡ ис. 15.21. Рисунок 15.21 пок‡зы‚‡ет, что стукту‡ «к‡ж‰ый с к‡ж‰ым» сое‰инflет ‚месте только кони; к‡ж‰ый коень имеет с‚ою собст‚енную ие‡хическую стуктуу, изоб‡женную теу„ольником. Сетифик‡циfl меж‰у конflми — пеекестные сетифик‡ты; к‡ж‰ый коень сетифициует ‚се ‰у„ие кони, что озн‡ч‡ет, что есть N (N – 1) сетифик‡то‚. Н‡ ис. 15.21 — 4 узл‡, т‡к что 퇉о 4 × 3 = 12 у‰осто‚еений. Об‡тите ‚ним‡ние, что к‡ж‰‡fl линиfl имеет ‰‚ойную стелку и пе‰ст‡‚лflет ‰‚‡ сетифик‡т‡. Пиме 15.5 Алис‡ имеет ‰ело с ‡‰минист‡цией Root 1; Боб имеет ‰ело с ‡‰минист‡цией Root 4. Пок‡з‡ть, к‡к Алис‡ может получить ‚еифицинный обще‰оступный ключ Боб‡. Решение Боб пе則ет цепочку сетифик‡то‚ от Root 4 к Бобу. Алис‡ смотит к‡т‡ло„ Root 1, чтобы н‡йти Root 1 сетифик‡ты «Root l» и Root 1 «Root 4» . Используfl поцесс, пок‡з‡нный н‡ ис. 15.21, Алис‡ может ‚еифицить обще‰оступный ключ Боб‡. Сеть ‰о‚еиfl. Эт‡ мо‰ель, кото‡fl используетсfl ‚ PGP (Pretty Good Privacy — очень хоош‡fl конфи‰енци‡льность), службе безоп‡сности ‰лfl электонной почты, ‡ссм‡т肇етсfl ‚ лекции 16. 496

Лекциfl 15

Уп‡‚ление ключ‡ми

Рис. 15.21. Мо‰ель «к‡ж‰ый с к‡ж‰ым»

15.5. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и Уп‡‚ление симметичными и ‡симметичными ключ‡ми ‡ссм‡т肇етсfl ‚ [Sti06], [KPS02], [Sta06], [Rhe03] и [PHS03].

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http://en.wikipedia.org/wiki/Needham-Schroeder http://en.wikipedia.org/wiki/Otway-Rees http://en.wikipedia.org/wiki/Kerbero s_%28protocol%29 en.wikipedia.org/wiki/Diffie-Hellman www.ietf.org/rfc/rfc2631.txt

15.6. Ито„и • Длfl ‡боты ‚ кипто„‡фии с симметичными ключ‡ми необхо‰имы ‰‚‡ обще‰оступных ключ‡ з‡секеч肇ниfl (по о‰ному к‡ж‰ой стооне). Если N лю‰ей с‚flз‡лись ‰у„ с ‰у„ом, необхо‰имы N (N – 1)/2 ключей. Число ключей — не е‰инст‚енн‡fl поблем‡; ‰у„‡fl поблем‡ — это ‡спе‰еление ключей. 497

Кус

Кипто„‡фиfl и безоп‡сность сетей

• П‡ктическое ешение ‡спе‰елениfl ключей — использние тетье„о лиц‡, котоому ‰о‚еflют, н‡зы‚‡емо„о Центом ‡спе‰елениfl ключей (KDC). KDC может со片ть ключ се‡нс‡ (‚еменный) меж‰у Алисой и Бобом, используfl их ключи с‚flзи с центом. Ключи Алисы и Боб‡ пименflютсfl, чтобы по‰т‚е‰ить центу по‰линность Алисы и Боб‡. • Были пе‰ложены несколько ‡зличных по‰хо‰о‚ ‰лfl со片ниfl ключей се‡нс‡, котоые используют и‰еи, ‡ссмотенные ‚ лекции 14 ‰лfl уст‡но‚лениfl по‰линности объект‡. Д‚‡ из с‡мых изflщных — Потокол Нии‰ом‡Шfi‰е‡, котоый fl‚лflетсfl осно‚ой ‰лfl мно„их ‰у„их потоколо‚, и Потокол От‚еfl-Рисс‡. • Цебе fl‚лflетсfl и опоз퇂‡тельным потоколом, и KDC. Несколько систем, ‚ключ‡fl Windows 2000, используют Цебе. В потоколе Цебе уч‡ст‚уют ти се‚е‡: опоз퇂‡тельный се‚е (AS), се‚е, пе‰ост‡‚лflющий билет (TGS), и е‡льный се‚е ‰‡нных. • Алис‡ и Боб мо„ут со片ть ключ се‡нс‡ меж‰у собой, не используfl KDC. Этот мето‰ со片ниfl ключ‡ се‡нс‡ н‡зы‚‡етсfl со„л‡шением с симметичным ключом. Мы ‡ссмотели ‰‚‡ мет: Диффи-Хеллм‡н‡ и «от ст‡нции к ст‡нции». Пе‚ый чу‚ст‚ителен к ‡т‡ке «посе‰ниꇻ; ‚тоой — нет. • Откытые ключи, по‰обно секетным ключ‡м, ‰олжны быть ‡спе‰елены ‰лfl использниfl. А‰минист‡циfl по сетифик‡ции (CA) обеспеч肇ет сетифик‡т‡ми к‡к ‰ок‡з‡тельст‚ом собст‚енности обще‰оступно„о ключ‡. X.509 — екоме퉇циfl, кото‡fl опе‰елflет стуктуу сетифик‡т‡. • Инф‡стукту‡ откыто„о ключ‡ (PKI) — мо‰ель ‰лfl со片ниfl, ‡спе‰елениfl и ‡ннулиниfl у‰осто‚еений, осннных н‡ екоме퉇ции X.509. Гупп‡ Инжененой Пежки Интенет (IETF) соз‰‡л‡ Инф‡стуктуу Откыто„о ключ‡ X.509 (PKIX). Режимы ‡боты PKI ‚ключ‡ют и片ние сетифик‡то‚, х‡нение секетно„о ключ‡, услу„и ‚ соот‚етст‚ии с ‰у„ими потокол‡м и уп‡‚ление ‰оступом. • PKI т‡кже опе‰елflет мо‰ели ‰о‚еиfl, отношениfl меж‰у ‡‰минист‡циflми, ‚ы‰‡ющими сетифик‡ты. Ти мо‰ели ‰о‚еиfl, ‡ссмотенные ‚ этой лекции, fl‚лflютсfl ие‡хическими, «к‡ж‰ый с к‡ж‰ым» и сетью ‰о‚еиfl.

15.7. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Пеечислите ежимы ‡боты KDC. 2. Д‡йте опе‰еление ключ‡ се‡нс‡ и пок‡жите, к‡к KDC может со片ть ключ се‡нс‡ меж‰у Алисой и Бобом. 3. Д‡йте опе‰еление потокол‡ Цебе и н‡зо‚ите е„о се‚еы. К‡тко объflсните ежимы ‡боты к‡ж‰о„о се‚е‡. 4. Д‡йте опе‰еление потокол‡ Диффи-Хеллм‡н‡ и е„о цель. 5. Д‡йте опе‰еление ‡т‡ки «посе‰ниꇻ. 6. Д‡йте опе‰еление потокол‡ «от ст‡нции к ст‡нции» и объflсните е„о цель. 7. Д‡йте опе‰еление цент‡ сетифик‡ции (CA) и ‡сск‡жите о е„о отношении к кипто„‡фии обще‰оступно„о ключ‡. 498

Лекциfl 15

Уп‡‚ление ключ‡ми

8. Д‡йте опе‰еление екоме퉇ции X.509 и ‡зъflсните ее цель. 9. Пеечислите ежимы ‡боты PKI. 10. Д‡йте опе‰еление мо‰ели ‰о‚еиfl и ‡ссмотите некотоые ‚‡и‡нты этой мо‰ели, котоые обсу扇лись ‚ этой лекции.

Уп‡жнениfl 11. Н‡ ис. 15.4: что случитсfl, если билет ‰лfl Боб‡ бу‰ет з‡шифн не н‡ ш‡„е 2 с ключом KB, но з‡шифо‚‡н ‚место это„о KAB н‡ ш‡„е 3? 12. Почему нужны четые nonce ‚ потоколе Нии‰ом‡-Шfi‰е‡? 13. К‡к KDC ‚ потоколе Нии‰ом‡-Шfi‰е‡ ‡утентифициует (у‰осто‚еflет) Алису? К‡к KDC ‡утентифициует (у‰осто‚еflет) Боб‡? К‡к Алис‡ ‡утентифициует (у‰осто‚еflет) Боб‡? К‡к Боб ‡утентифициует (у‰осто‚еflет) Алису? 14. Объflсните, почему ‚ потоколе Нии‰ом‡-Шfi‰е‡ Алис‡ — стоон‡, кото‡fl н‡хо‰итсfl ‚ конт‡кте с KDC, ‡ ‚ потоколе От‚еfl-Рисс‡ Боб — стоон‡, кото‡fl н‡хо‰итсfl ‚ конт‡кте с KDC. 15. В потоколе Нии‰ом‡-Шfi‰е‡ есть четые (RA, RB, R 1и R 2), ‡ ‚ потоколе От‚еfl-Рисс‡ — только ти nonce (RA, RB и R). Объflсните, почему есть потебность ‚ о‰ном ‰ополнительном once R2 ‚ пе‚ом потоколе. 16. Почему мы ну扇емсfl только ‚ о‰ной метке ‚емени ‚ потоколе Цебе ‚место четыех nonce, к‡к ‚ потоколе Нии‰ом‡-Шfi‰е‡, или тех once, к‡к ‚ потоколе От‚еfl-Рисс‡? 17. В потоколе Диффи-Хеллм‡н‡ g = 7, p = 23, x = 3, и y = 5. ‡. К‡кое зн‡чение имеет симметичный ключ? б. К‡кие зн‡чениfl имеют R 1 и R 2? 18. Что случитсfl ‚ потоколе Диффи-Хеллм‡н‡, если x и y имеют о‰но и то же зн‡чение, то есть Алис‡ и Боб случ‡йно ‚ыб‡ли о‰но и то же число? R 1и R2 те же с‡мые? Ключи се‡нс‡, ‚ычисленные Алисой и Бобом, имеют о‰но и то же зн‡чение? Пи‚е‰ите пиме, чтобы ‰ок‡з‡ть ‚‡ши ‚ы‚о‰ы. 19. Пи ти‚и‡льной (не „‡‡нтиующей безоп‡сность) смене ключ‡ Диффи-Хеллм‡н‡ p = 53. Н‡й‰ите соот‚етст‚ующее зн‡чение ‰лfl g. 20. В потоколе «от ст‡нции к ст‡нции» пок‡жите, что если опоз퇂‡тельный ко‰ пиемник‡ у‰‡лен из по‰писи, потокол ст‡но‚итсfl уflз‚имым к ‡т‡ке «посе‰ниꇻ. 21. Обсу‰ите з‡служ肇ющий ‰о‚еиfl коень сетифик‡ции, пименflющий б‡узеы.

499

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ч‡сть 4. Безоп‡сность сети Чет‚ет‡fl ч‡сть этой кни„и сосе‰оточен‡ н‡ пе‰мете, котоый fl‚лflетсfl оконч‡тельной целью н‡шей кни„и: использние кипто„‡фии ‰лfl со片ниfl безоп‡сных сетей. Эт‡ ч‡сть пе‰по뇄‡ет, что чит‡тель имеет пе‰ст‡‚ление об ‡хитектуе сети Internet и н‡бое потоколо‚ TCP/IP. Длfl некотоо„о ‚‚е‰ениfl ‚ пе‰мет можно использть пиложение C к‡к к‡ткий обзо. В списке лите‡туы ‰лfl ‰‡льнейше„о изучениfl чит‡телflм ук‡з‡н‡ кн脇 [For06]. ʇ扇fl лекциfl ‚ этой ч‡сти пос‚flщен‡ обсуж‰ению безоп‡сности н‡ о‰ном из тех уо‚ней н‡бо‡ потоколо‚ TCP/IP: пик뇉ном, т‡нспотным и сете‚ом уо‚не. Лекциfl 16 обсу扇ет безоп‡сность н‡ пик뇉ном уо‚не, лекциfl 17 — н‡ т‡нспотном уо‚не и лекциfl 18 — н‡ сете‚ом уо‚не. Лекциfl 16: Безоп‡сность н‡ пик뇉ном уо‚не — PGP и S/MIME Лекциfl 16 обсу扇ет ‰‚‡ потокол‡, котоые обеспеч肇ют безоп‡сность ‰лfl электонной почты (e-mail). Очень хоошую конфи‰енци‡льность ‰‡ет PGP (Pretty Good Privacy) — потокол, котоый обычно используетсfl ‰лfl песон‡льной почто‚ой ст‡нции. Безоп‡сное/Мно„оцеле‚ое ‡сшиение почты (S / MIME Secure / Multipurpose Internet Mail Extension) — потокол, котоый обычно пименflетсfl ‚ коммеческих почто‚ых систем‡х. Лекциfl 17: Безоп‡сность н‡ т‡нспотном уо‚не — SSL и TSL Лекциfl 17 сн‡ч‡л‡ ‰ок‡зы‚‡ет потебность ‚ служб‡х безоп‡сности н‡ т‡нспотном уо‚не мо‰ели Internet. З‡тем пок‡зы‚‡ет, к‡к может быть обеспечен‡ безоп‡сность н‡ т‡нспотном уо‚не, используfl о‰ин из ‰‚ух потоколо‚: потокол уо‚нfl безоп‡сных ‡зъемо‚ (SSL — Secure Socket Layer) и потокол безоп‡сности т‡нспотно„о уо‚нfl (TLS — Transport Layer Security). Втоой потокол — нfl ‚есиfl пе‚о„о. Лекциfl 18: Безоп‡сность н‡ сете‚ом уо‚не — IPSec Лекциfl пос‚flщен‡ е‰инст‚енному общему потоколу безоп‡сности н‡ сете‚ом уо‚не: потоколу безоп‡сно„о туннелиниfl IP-п‡кето‚ (IPSec — IP Security protocol). Лекциfl опе‰елflет ‡хитектуу IPSec и обсу扇ет пиложение IPSec ‚ т‡нспотных и туннельных ежим‡х. Лекциfl т‡кже обсу扇ет ‰у„ие ‚спомтельные потоколы, н‡пиме, Интенет-потокол шифниfl и и‰ентифик‡ции (IKE — Internet Key Exchange), котоый используетсfl IPSec, опе‰елflет ст‡нцию ключ‡ Internet, и объflснflет, к‡к это пименflетсfl IPSec.

500

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Лекциfl 16. Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Объflснить общую стуктуу почто‚ой пик뇉ной по„‡ммы. • Обсу‰ить, к‡к PGP может обеспечить службы безоп‡сности ‰лfl электонной почты. • Обсу‰ить, к‡к S/MIME может обеспечить службы безоп‡сности ‰лfl электонной почты. • Опе‰елить мех‡низм ‰о‚еиfl ‚ PGP и ‚ S/MIME. • Пок‡з‡ть стуктуу обмен‡ сообщениflми ‚ PGP и S/MIME. Мы обсу‰им ‰‚‡ потокол‡ службы обеспечениfl безоп‡сности ‰лfl электонных почт: Очень хоош‡fl конфи‰енци‡льность (PGP) и Безоп‡сное/Мно„оцеле‚ое ‡сшиение почты (S/MIME). Поним‡ние к‡ж‰о„о из этих потоколо‚ тебует обще„о поним‡ниfl почто‚ой системы. Сн‡ч‡л‡ мы по„о‚оим о стуктуе электонной почты. З‡тем пок‡жем, к‡к PGP и S/MIME мо„ут ‰ополнить службы безоп‡сности этой стуктуы. Особое ‚ним‡ние у‰елflетсfl тому, к‡к PGP и S/MIME мо„ут менflть кипто„‡фические ‡л„оитмы, ключи з‡секеч肇ниfl и сетифик‡ты, не уст‡н‡‚л肇fl се‡нс меж‰у Алисой и Бобом.

16.1. Электонн‡fl почт‡ Сн‡ч‡л‡ обсу‰им электонную почту (e-MAIL) к‡к систему.

Ахитекту‡ E-MAIL Рисунок 16.1 пок‡зы‚‡ет с‡мый общий сцен‡ий пи о‰ностооннем почто‚ом обмене. Пе‰положим, что Алис‡ ‡бот‡ет ‚ о„‡низ‡ции, котоую обслуж肇ет почто‚ый се‚е. К‡ж‰ый служ‡щий с‚flз‡н с почто‚ым се‚еом чеез местную сеть с‚flзи (LAN). Или, ‡льтен‡ти‚но, Алис‡ мо„л‡ быть с‚flз‡н‡ с почто‚ым се‚еом пй‰е‡ (ISP — Information Server Provider) чеез е„ион‡льную сеть с‚flзи (телефонн‡fl линиfl или к‡бельн‡fl линиfl). Боб н‡хо‰итсfl т‡кже ‚ о‰ной из ‚ышеупомflнутых ситу‡ций. А‰минист‡то почто‚о„о се‚е‡ н‡ стооне Алисы со片ет систему о„‡низ‡ции очее‰и, кото‡fl пе則ет сообщениfl электонной почты ‚ Интенет о‰но з‡ ‰у„им. А‰минист‡то почто‚о„о се‚е‡ н‡ стооне Боб‡ со片ет почто‚ый flщик ‰лfl к‡ж‰о„о пользтелfl, по‰ключенно„о к се‚еу. Почто‚ый flщик ‰ежит полученные сообщениfl, пок‡ они не бу‰ут пинflты получ‡телем. К‡ Алис‡ ‰олжн‡ пе則ть сообщение Бобу, он‡ ‚ызы‚‡ет ‡„ент‡ пользтелfl по„‡ммы (UA), чтобы пото‚ить сообщение. Он‡ использует ‰у„ую по„‡мму — почто‚ый ‡„ент (MTA), — чтобы пе則ть сообщение се‚еу почты н‡ ее стооне. Об‡тите ‚ним‡ние, что MTA — по„‡мм‡ «клиент-се‚е» с клиентом, котоый, уст‡но‚лен ‚ компьютее Алисы и н‡ се‚ее, котоый уст‡но‚лен н‡ се‚ее почты. 501

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 16.1. Ахитекту‡ е-MAIL Сообщение, полученное н‡ се‚ее почты н‡ стооне Алисы, пост‡‚лено ‚ очее‰ь со ‚семи ‰у„ими сообщениflми; очее‰ь со片етсfl ‰лfl к‡ж‰о„о н‡п‡‚лениfl ‚ соот‚етст‚ующий пункт н‡зн‡чениfl. В случ‡е Алисы ее сообщение поступ‡ет н‡ се‚е почты Боб‡. Клиент-се‚е MTA от‚еч‡ет з‡ почто‚ую пе則чу меж‰у этими ‰‚умfl се‚е‡ми. К‡ сообщение ‰ост脇ет се‚е‡ почты пункт‡ н‡зн‡чениfl, оно по‡ет ‚ почто‚ый flщик Боб‡ ‚ ‚и‰е специ‡льно„о ф‡йл‡, котоый сох‡нflет сообщение, пок‡ оно не бу‰ет из‚лечено Бобом. К‡ Боб ‰олжен из‚лечь с‚ои сообщениfl (ф‡йл), ‚ключ‡fl сообщение, пе則‚‡емое Алисой, он ‚ызы‚‡ет ‰у„ую по„‡мму, котоую мы н‡зы‚‡ем ‡„ентом ‰оступ‡ к сообщению (MAA — Massage Access Agent). MАА т‡кже ‡з‡бот‡н к‡к по„‡мм‡ «клиент-се‚е», уст‡но‚ленн‡fl и ‚ компьютее Боб‡, и н‡ се‚ее почты. Есть несколько ‚‡жных положений об ‡хитектуе почто‚ой системы. ‡. Пе則‚‡ем‡fl электонн‡fl почт‡ от Алисы к Бобу н‡к‡пл肇етсfl ‚ п‡мflти. Алис‡ может пе則ть электонную почту се„о‰нfl; Боб, бу‰учи з‡нflтым, может по‚еить с‚ою электонную почту ти ‰нfl спустfl. Всfi это ‚емfl электонн‡fl почт‡ сох‡нflетсfl ‚ почто‚ом flщике Боб‡, пок‡ он не ‚озьмет ее. б. Г뇂н‡fl с‚flзь меж‰у Алисой и Бобом похо‰ит ‰‚е пик뇉ных по„‡ммы: MTA-клиент‡ ‚ компьютее Алисы и MAA-клиент‡ ‚ компьютее Боб‡. ‚. MTA-по„‡мм‡ клиент‡ — пиним‡ющ‡fl по„‡мм‡; клиент помещ‡ет сообщение, к‡ Алис‡ ‰олжн‡ е„о пе則ть. По„‡мм‡ клиент‡ MАА — ‚ы‰‡ющ‡fl по„‡мм‡; клиент пеемещ‡ет сообщение, к‡ Боб „ото‚ из‚лечь с‚ою электонную почту. 502

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

„. Алис‡ и Боб не мо„ут непосе‰ст‚енно ‚ ‰‡нный момент с‚flз‡ть MTAклиент‡, используемо„о н‡ стооне пе則тчик‡, и MTA-се‚е, используемый н‡ стооне пиемник‡. Поэтому тебуетсfl, чтобы MTA-се‚е функционио‚‡л ‚се ‚емfl, потому что Боб не зн‡ет, к‡ сообщение пибу‰ет. Это п‡ктически не‚озможно, потому что Боб, ‚еоflтно, ‚ыключ‡ет с‚ой компьюте, к‡ не ну扇етсfl ‚ нем.

Почтfl безоп‡сность Пе則ч‡ электонной почты — о‰но‡зfl ‡кти‚ность. Х‡‡кте этой ‡кти‚ности отлич‡етсfl от тех, котоые мы у‚и‰им ‚ сле‰ующих ‰‚ух лекциflх. В IPSec или SSL мы пе‰по뇄‡ем, что ‰‚е стооны со片ют се‡нс меж‰у собой и обмен肇ютсfl ‰‡нными ‚ обоих н‡п‡‚лениflх. В электонной почте нет ник‡ко„о се‡нс‡. Алис‡ и Боб не мо„ут со片ть се‡нс. Алис‡ пе則ет сообщение Бобу, ‡ к‡-нибу‰ь позже Боб чит‡ет сообщение и, может быть, с‡зу не способен пе則ть от‚ет. Мы бу‰ем ‡ссм‡т肇ть безоп‡сность о‰нон‡п‡‚ленно„о сообщениfl, потому что Алис‡ пе則ет сообщениfl Бобу полностью не燂исимо от то„о, что Боб пе則ет Алисе. Кипто„‡фические ‡л„оитмы Если электонн‡fl почт‡ — о‰но‡зо‚ое ‡кти‚ное ‰ейст‚ие, к‡к мо„ут пе則тчик и пиемник ‰о„о‚оитьсfl о кипто„‡фическом ‡л„оитме, котоый они бу‰ут использть ‰лfl почто‚ой безоп‡сности? Если нет се‡нс‡ и поце‰уы уст‡но‚лениfl с‚flзи, чтобы ‰о„о‚оитьсfl об ‡л„оитм‡х относительно шифниfl/‰ешифниfl и хэшиниfl, к‡к пиемник может зн‡ть, к‡кой ‡л„оитм ‚ыб‡н пе則тчиком ‰лfl к‡ж‰о„о сообщениfl? Имеетсfl о‰но ешение ‰лfl осно‚но„о потокол‡ — ‚ыби‡ть о‰ин ‡л„оитм из 燉‡нно„о множест‚‡ ‰лfl к‡ж‰ой кипто„‡фической опе‡ции и з‡ст‡‚ить Алису использть только эти ‡л„оитмы. Это ешение очень суж‡ет ‚озможности и о„‡нич肇ет ‰ейст‚иfl ‰‚ух стоон. Лучшее ешение ‰лfl осно‚но„о потокол‡ — опе‰елить множест‚о ‡л„оитмо‚ ‰лfl к‡ж‰ой опе‡ции, котоые пользтель может пименить ‚ е„о системе. Алис‡ ‚ключ‡ет н‡з‚‡ние (или и‰ентифик‡тоы) ‡л„оитмо‚, котоые он‡ использо‚‡л‡ ‚ электонной почте. Н‡пиме, Алис‡ может ‚ыб‡ть техк‡тный DES ‰лfl шифниfl/‰ешифниfl и MD5 ‰лfl хэшиниfl. К‡ Алис‡ пе則ет сообщение Бобу, он‡ ‚ключ‡ет соот‚етст‚ующие и‰ентифик‡тоы ‰лfl техк‡тно„о DES и MD5 ‚ с‚ое сообщение. Боб получ‡ет сообщение и сн‡ч‡л‡ из‚лек‡ет и‰ентифик‡тоы. Т‡ он зн‡ет, к‡кой ‡л„оитм использть ‰лfl ‰ешифниfl и к‡кой — ‰лfl хэшиниfl. Длfl безоп‡сности почты пе則тчик сообщениfl ‰олжен ‚ключить ‚ не„о н‡з‚‡ние или и‰ентифик‡тоы ‡л„оитмо‚, используемых ‚ сообщении. Кипто„‡фическ‡fl секетность Т‡ же с‡м‡fl поблем‡, что и ‰лfl кипто„‡фических ‡л„оитмо‚, сущест‚ует и ‰лfl кипто„‡фической секетности (ключи). Если нет пее„о‚оо‚, к‡к 503

Кус

Кипто„‡фиfl и безоп‡сность сетей

эти ‰‚е стооны мо„ут уст‡но‚ить пинципы секетности меж‰у собой? Алис‡ и Боб мо„ли использть ‡симметично-ключе‚ые ‡л„оитмы ‰лfl уст‡но‚лениfl по‰линности и шифниfl, котоое не тебует уст‡но‚лениfl симметично„о ключ‡. О‰н‡ко, к‡к мы ‚и‰ели, использние ‡симметично-ключе‚ых ‡л„оитмо‚ очень неэффекти‚но ‰лfl шифниfl/‰ешифниfl ‰линно„о сообщениfl. Большинст‚о почто‚ых потоколо‚ безоп‡сности се„о‰нfl тебует, чтобы шифние/‰ешифние было с‰ел‡но с использнием ‡л„оитм‡ с симметичными ключ‡ми и о‰но‡зо‚ым ключом з‡секеч肇ниfl, пе則‚‡емо„о с сообщением. Алис‡ может со片ть ключ з‡секеч肇ниfl и пеесл‡ть е„о с сообщением, котоое он‡ пе則ет Бобу. Чтобы з‡щитить ключ з‡секеч肇ниfl от пеех‚‡т‡ Е‚ой, ключ з‡секеч肇ниfl з‡шифн откытым ключом Боб‡. Ду„ими слми, с‡м ключ з‡секеч肇ниfl з‡шифн. Длfl безоп‡сности почты шифние/‰ешифние ‰ел‡етсfl с использнием симметично„о ключе‚о„о ‡л„оитм‡, но ключ з‡секеч肇ниfl ‰лfl ‡сшифо‚ки сообщениfl з‡шифн откытым ключом пиемник‡ и пе則етсfl с сообщением. Сетифик‡ты Пеж‰е чем мы обсу‰им любой почто‚ый потокол безоп‡сности, нужно ‡ссмотеть ‚ еще о‰ну поблему: некотоые оче‚и‰ные ‡л„оитмы обще‰оступно„о ключ‡, котоые ‰олжны использтьсfl ‰лfl почто‚ой безоп‡сности. Н‡пиме, мы ‰олжны з‡шифть ключ з‡секеч肇ниfl или по‰пис‡ть сообщение. Чтобы з‡шифть ключ з‡секеч肇ниfl, Алис‡ ну扇етсfl ‚ откытом ключе Боб‡; ‰лfl по‰писи и ‚еифик‡ции сообщениfl Боб ну扇етсfl ‚ откытом ключе Алисы. Т‡к что ‰лfl то„о, чтобы посыл‡ть м‡ленькое 燂еенное и конфи‰енци‡льное сообщение, необхо‰имы ‰‚‡ откытых ключ‡. К‡к Алис‡ может быть у‚еен‡ ‚ откытом ключе Боб‡, и к‡к Боб может быть у‚еен ‚ откытом ключе Алисы? К‡ж‰ый почто‚ый потокол безоп‡сности имеет ‡зличные мето‰ы сетифик‡ции ключей.

16.2. PGP Пе‚ый потокол, котоый мы обсу‰им ‚ этой лекции, н‡зы‚‡етсfl Очень хоошей конфи‰енци‡льностью (PGP — Pretty Good Privacy). PGP был изобетен Филом Цимем‡нном (Phil Zimmermann), чтобы обеспечить секетность, целостность и уст‡но‚ление по‰линности электонной почты. PGP может пименflтьсfl, чтобы со片ть безоп‡сное почто‚ое сообщение или 퇉ежно сох‡нить ф‡йл ‰лfl бу‰уще„о из‚лечениfl.

Сцен‡ии Сн‡ч‡л‡ обсу‰им общую и‰ею PGP, п脇flсь от посто„о сцен‡иfl к сложному. Мы используем темин «Д‡нные», чтобы ук‡з‡ть сообщение или ф‡йл ‰лfl об‡ботки. 504

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Откытый текст С‡мый постой сцен‡ий — это пе則ть почто‚ое сообщение (или н‡копленный ф‡йл) ‚ исхо‰ном тексте, к‡к это пок‡з‡но н‡ ис. 16.2. В этом сцен‡ии нет сох‡нениfl целостности сообщениfl или конфи‰енци‡льности. Алис‡ (пе則тчик) сост‡‚лflет сообщение и пе則ет е„о Бобу (пиемнику). Сообщение сох‡нflетсfl ‚ почто‚ом flщике Боб‡, пок‡ не бу‰ет из‚лечено им.

Рис. 16.2. Сообщение с обычным текстом Целостность сообщениfl Веоflтно, сле‰ующее усо‚ешенст‚ние ‰олжно поз‚олить Алисе по‰писы‚‡ть сообщение. Алис‡ со片ет ‰‡й‰жест сообщениfl и по‰писы‚‡ет е„о с‚оим секетным ключом. К‡ Боб получ‡ет сообщение, он по‚еflет е„о, используfl откытый ключ Алисы. Длfl это„о сцен‡иfl необхо‰имы ‰‚‡ ключ‡. Алис‡ ‰олжн‡ зн‡ть с‚ой секетный ключ; Боб ‰олжен зн‡ть откытый ключ Алисы. Рисунок 16.3 пок‡зы‚‡ет ситу‡цию.

Рис. 16.3. Сообщение с по‰т‚еж‰ением по‰линности пе則тчик‡ Сж‡тие Д‡льнейшее усо‚ешенст‚ние поз‚олflет сж‡ть сообщение и ‰‡й‰жест, чтобы с‰ел‡ть п‡кет более комп‡ктным. Это усо‚ешенст‚ние не имеет ник‡ких пеимущест‚ с точки зениfl безоп‡сности, но сущест‚енно уменьш‡ет т‡фик. Рисунок 16.4 пок‡зы‚‡ет но‚ый сцен‡ий. Конфи‰енци‡льность с о‰но‡зо‚ым ключом се‡нс‡ К‡к мы уже „о‚оили ‡ньше, конфи‰енци‡льность ‚ почто‚ой системе может быть ‰ости„нут‡ з‡ счет пименениfl обычно„о шифниfl о‰но‡зо‚ым ключом се‡нс‡. Алис‡ может со片ть ключ се‡нс‡, использть ключ се‡нс‡ ‰лfl 505

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 16.4. Сообщение со сж‡тым текстом шифниfl сообщениfl и ‰‡й‰жест‡ и пе則ть ключ непосе‰ст‚енно с сообщением. О‰н‡ко ‰лfl з‡щиты ключ‡ се‡нс‡ Алис‡ з‡шифо‚‡л‡ е„о откытым ключом Боб‡. Рисунок 16.5 пок‡зы‚‡ет ситу‡цию, к‡ Боб получ‡ет п‡кет, он сн‡ч‡л‡ ‡сшифо‚ы‚‡ет ключ, используfl с‚ой секетный ключ, чтобы из‚лечь этот со‚местный ключ сессии. З‡тем он использует ключ се‡нс‡, чтобы ‡сшифть ост‡льную ч‡сть сообщениfl. После ‡сшиениfl (‰екомпесс‡ции) ост‡льной ч‡сти сообщениfl Боб со片ет ‰‡й‰жест сообщениfl и по‚еflет, ‡‚ен ли он ‰‡й‰жесту, пе則‚‡емому Алисой. Если ‰‡й‰жесты ‡‚ны, то сообщение по‰линно.

Рис. 16.5. Конфи‰енци‡льное сообщение Пеоб‡зние к Ду„‡fl услу„‡, пе‰ост‡‚лflем‡fl PGP, — пеоб‡зние к. Большинст‚о почто‚ых систем поз‚олflет пе則ть сообщение, состоflщее только из сим‚оло‚ ASCII. Чтобы пее‚ести сим‚олы, не ‚хо‰flщие ‚ множест‚о ASCII, PGP использу506

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

ет пеоб‡зние Radix-64. К‡ж‰ый посыл‡емый сим‚ол (после то„о к‡к бу‰ет з‡шифн) пеоб‡зуетсfl ‚ ко‰ Radix-64, котоый мы обсу‰им позже ‚ этой лекции. Се„мент‡циfl PGP ‡зеш‡ет се„мент‡цию сообщениfl после то„о, к‡к оно было пеоб‡зно к Radix-64, чтобы с‰ел‡ть к‡ж‰ый пе則нный мо‰уль о‰ин‡ко‚ым по ‡змеу, ‚ соот‚етст‚ии с осно‚ным почто‚ым потоколом.

Кольц‡ ключей Во ‚сех пе‰ы‰ущих сцен‡иflх мы пе‰по뇄‡ли, что Алис‡ ‰олжн‡ пе則ть сообщение только Бобу. Но это не е‰инст‚енный ‚‡и‡нт пе則чи. Возможно, Алис‡ ‰олжн‡ пе則ть сообщениfl мно„им лю‰flм; ей нужны кольц‡ ключей. В этом случ‡е Алис‡ ну扇етсfl ‚ кольце откытых ключей, ‚ключ‡ющем ключ(и), пи퇉леж‡щий к‡ж‰ому чело‚еку, котоому Алис‡ ‰олжн‡ пе則ть или от котоо„о может получить сообщение. PGP-‡з‡ботчики опе‰елили кольцо ч‡стных/откытых ключей. Алис‡ может иметь пичины ‚емfl от ‚емени изменить п‡у ключей. Ду„ой случ‡й: Алис‡, ‚озможно, жел‡ет, чтобы ее ключи соот‚етст‚ли ‡зличным „упп‡м лю‰ей (‰узьfl, колле„и и т‡к ‰‡лее). Поэтому к‡ж‰ый пользтель ‰олжен иметь ‰‚‡ множест‚‡ колец: кольцо ч‡стных/откытых ключей и кольц‡ откытых ключей ‰у„их лю‰ей. Рисунок 16.6 пок‡зы‚‡ет сообщест‚о четыех чело‚ек, „‰е к‡ж‰ый имеет кольцо п‡ы ч‡стных/откытых ключей и, ‚ то же с‡мое ‚емfl, изоб‡жены кольц‡ откытых ключей, пи퇉леж‡щих ‰у„им лю‰flм ‚ этом сообщест‚е. Алис‡, н‡пиме, имеет несколько п‡ ч‡стных/откытых ключей, пи퇉леж‡щих ей, и откытые ключи, пи퇉леж‡щие ‰у„им лю‰flм. Об‡тите ‚ним‡ние, что к‡ж‰ый может иметь больше чем о‰ин откытый ключ. Мо„ут ‚озникнуть ‰‚‡ случ‡fl. 1. Алис‡ ‰олжн‡ пе則ть сообщение ‰у„ому чело‚еку ‚ сообщест‚е. ‡. Он‡ использует с‚ой секетный ключ, чтобы по‰пис‡ть ‰‡й‰жест. б. Он‡ использует откытый ключ пиемник‡, чтобы з‡шифть н則‚но со片нный ключ се‡нс‡. ‚. Он‡ шифует сообщение и по‰пис‡нный ‰‡й‰жест с со片нным ключом се‡нс‡. 2. Алис‡ получ‡ет сообщение от ‰у„о„о чело‚ек‡, состоflще„о ‚ этом сообщест‚е. ‡. Он‡ использует с‚ой секетный ключ, чтобы ‡сшифть ключ се‡нс‡. б. Он‡ использует с‚ой ключ се‡нс‡, чтобы ‡сшифть сообщение и ‰‡й‰жест. ‚. Он‡ использует с‚ой откытый ключ, чтобы по‚еить ‰‡й‰жест. PGP-‡л„оитмы В PGP используютсfl нижесле‰ующие ‡л„оитмы. Ал„оитмы откыто„о ключ‡. Ал„оитмы откыто„о ключ‡, котоые пименflютсfl, чтобы по‰пис‡ть ‰‡й‰жесты или з‡шифть сообщениfl, пеечислены ‚ т‡блице 16.1. 507

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 16.6. Кольц‡ ключей ‚ PGP Т‡блиц‡ 16.1. Ал„оитмы откыто„о ключ‡ ID 1 2 3 16 17 18 19 20 21 100-110

Опис‡ние RSA (‰лfl шифниfl и по‰писи) RSA (только ‰лfl шифниfl) RSA (только ‰лfl по‰писи) Эль-Г‡м‡ль (только ‰лfl шифниfl) DSS З‡езе‚ино ‰лfl эллиптической ки‚ой З‡езе‚ино ‰лfl ECDSA Эль-Г‡м‡ль (‰лfl шифниfl и по‰писи) З‡езе‚ино ‰лfl Диффи-Хеллм‡н‡ Секетные ‡л„оитмы

Ал„оитмы симметично„о ключ‡. Ал„оитмы симметично„о ключ‡, котоые используютсfl ‰лfl у‰обно„о шифниfl, пок‡з‡ны ‚ т‡блице 16.2. Т‡блиц‡ 16.2. Ал„оитмы с симметичными ключ‡ми ID 0 1 2 3 4 5 6 7 8 9 100-110

Опис‡ние Не з‡шифно IDEA Тойной DES CAST-128 Blowfish SAFER-SK128 З‡езе‚ино ‰лfl DES/SK З‡езе‚ино ‰лfl AES-128 З‡езе‚ино ‰лfl AES-192 З‡езе‚ино ‰лfl AES-256 Ч‡стные ‡л„оитмы 508

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Хэш-‡л„оитмы. Хэш-‡л„оитмы, котоые используютсfl ‰лfl со片ниfl хэш‡ ‚ PGP, пок‡з‡ны ‚ т‡блице 16.3. Т‡блиц‡ 16.3. Хэш-‡л„оитмы ID 1 2 3 4 5 6 7 100-110

Опис‡ние MD5 SHA-1 RIPE-MD/160 З‡езе‚ино ‰лfl SHA ‰‚ойной шиины MD2 TIGER/192 З‡езе‚ино ‰лfl HAVAL Ч‡стные ‡л„оитмы

Ал„оитмы сж‡тиfl. Ал„оитмы сж‡тиfl, котоые используютсfl ‰лfl сж‡тиfl текст‡, пок‡з‡ны ‚ т‡блице 16.4. Т‡блиц‡ 16.4. Мето‰ы сж‡тиfl ID 0 1 2 100-110

Опис‡ние Без сж‡тиfl ZIP ZLIP Ч‡стные мето‰ы

PGP-сетифик‡ты PGP, по‰обно ‰у„им потокол‡м, к‡к мы ‚и‰ели ‰о сих по ‚ ‰у„их систем‡х, использует сетифик‡ты, чтобы по‰т‚е‰ить по‰линность откытых ключей. О‰н‡ко ‚ этом случ‡е поцесс полностью отлич‡етсfl от уже ‡ссмотенных Сетифик‡ты X.509 Потоколы, котоые пименflют сетифик‡ты X.509, 燂исflт от ие‡хической стуктуы ‰о‚еиfl. Есть з‡‡нее 燉‡нн‡fl цепочк‡ ‰о‚еиfl от конfl ‰о любо„о сетифик‡т‡. К‡ж‰ый пользтель полностью ‰о‚еflет ‡‰минист‡ции CA н‡ з‡‰‡нном уо‚не конfl. Коень ‚ы‡б‡ты‚‡ет сетифик‡ты ‰лfl ‚тоо„о уо‚нfl, ‚тоой уо‚ень CA ‚ы‡б‡ты‚‡ет сетифик‡ты ‰лfl тетье„о уо‚нfl, и т‡к ‰‡лее. К‡ж‰ый п‡тне, котоый хочет быть ‰о‚еенным ‰лfl ‚ы‰‡чи сетифик‡то‚, ‰олжен быть пе‰ст‡‚лен н‡ о‰ной из ‚ет‚ей ‰е傇 к‡ко„о-либо CA. Если Алис‡ не ‰о‚еflет ‚ыпуск‡ющему сетифик‡т ‰лfl Боб‡, он‡ может об‡титьсfl к ‡‰минист‡ции более ‚ысоко„о уо‚нfl ‚плоть ‰о конfl (котоому необхо‰имо ‰о‚еflть ‰лfl то„о, чтобы систем‡ ‡бот‡л‡). Ду„ими слми, есть о‰ин-е‰инст‚енный путь к сетифик‡ту от CA, котоому полностью ‰о‚еflют. 509

Кус

Кипто„‡фиfl и безоп‡сность сетей

В X.509 есть е‰инст‚енный путь от ‡‰минист‡ции, котоому полностью ‰о‚еflют, к любому сетифик‡ту. PGP-сетифик‡ты В PGP нет ник‡кой потебности ‚ CA — любой ‚ кольце может по‰пис‡ть сетифик‡т ‰лfl ко„о-либо ‰у„о„о ‚ кольце. Боб может по‰пис‡ть сетифик‡т ‰лfl Т則, Джон‡, Алисы и т‡к ‰‡лее. В PGP нет ие‡хии ‰о‚еиfl; нет ‰е傇. Отсутст‚ие ие‡хической стуктуы может пи‚ести к тому, что Те‰ может иметь о‰ин сетифик‡т от Боб‡ и ‰у„ой сетифик‡т — от Джон‡. Если Алис‡ хочет иссле‰о‚‡ть линию получениfl сетифик‡то‚ ‰лfl Т則, у нее есть ‰‚‡ пути: н‡чин‡ть от Боб‡ и н‡чин‡ть от Джон‡. Интеесно, что Алис‡ может полностью ‰о‚еflть Бобу, но только ч‡стично ‰о‚еflет Джону. Может быть мно„о путей ‰о‚еиfl, пи‚о‰flщих к сетифик‡ту от ‡‰минист‡ции, котоой ‰о‚еflют полностью или ч‡стично. В PGP ‚ыпуск‡юще„о сетифик‡т обычно н‡зы‚‡ют поучителем. В PGP может быть мно„о путей ‰о‚еиfl, пи‚о‰flщих к сетифик‡ту от ‡‰минист‡ции, котоой ‰о‚еflют полностью или ч‡стично. До‚еие и з‡конность Полн‡fl опе‡циfl PGP б‡зиуетсfl н‡ ‰о‚еии поучителfl, ‰о‚еии сетифик‡т‡ и з‡конности откытых ключей. Уо‚ни ‰о‚еиfl поучителfl. Пи отсутст‚ии цент‡льной ‡‰минист‡ции оче‚и‰но, что кольцо не может быть очень большим, если к‡ж‰ый пользтель ‚ кольце PGP-пользтелей не имеет полно„о ‰о‚еиfl к к‡ж‰ому члену сообщест‚‡. (Д‡же ‚ е‡льной жизни мы не можем полностью ‰о‚еflть к‡ж‰ому чело‚еку, котоо„о мы зн‡ем.). Чтобы ешить эту поблему, PGP поз‚олflет ‡зличные уо‚ни ‰о‚еиfl. Число уо‚ней, „뇂ным об‡зом, 燂исит от е‡лиз‡ции, но ‰лfl постоты ‰‡‚‡йте н‡зн‡чим ти уо‚нfl ‰о‚еиfl к любому поучителю: ник‡кой, ч‡стичный и полный. Уо‚ень ‰о‚еиfl поучителfl опе‰елflет уо‚ни ‰о‚еиfl, ‚ы‡бот‡нные поучителем ‰лfl ‰у„их лю‰ей ‚ кольце. Н‡пиме, Алис‡ может полностью ‰о‚еflть Бобу, ч‡стично ‰о‚еflть Анне и не ‰о‚еflть Джону. Вообще, ‚ PGP нет мех‡низм‡, чтобы ешить, к‡к пинflть ешение поучителfl о з‡служ肇ющем ‰о‚еиfl п‡тнее; это может с‰ел‡ть только пользтель. Уо‚ни ‰о‚еиfl сетифик‡т‡, К‡ Алис‡ получ‡ет сетифик‡т от поучителfl, он‡ х‡нит сетифик‡т по‰ именем субъект‡ (сетифицинный объект) и н‡зн‡ч‡ет уо‚ень ‰о‚еиfl этому сетифик‡ту. Уо‚ень ‰о‚еиfl сетифик‡т‡ обычно тот же, что и уо‚ень ‰о‚еиfl поучителfl, котоый ‚ы‰‡л сетифик‡т. Пе‰положим, что Алис‡ полностью ‰о‚еflет Бобу, ч‡стично ‰о‚еflет Анне и Дж‡нетт и не имеет ник‡ко„о ‰о‚еиfl Джону. Мо„ут быть сле‰ующие сцен‡ии. 1. Боб ‚ы‡б‡ты‚‡ет ‰‚‡ сетифик‡т‡, о‰ин ‰лfl Лин‰ы (с откытым ключом K1) и о‰ин ‰лfl Лесли (с откытым ключом K2). Алис‡ х‡нит откытый ключ и сетифик‡т ‰лfl Лин‰ы по‰ н‡з‚‡нием «Ли퉇» и н‡зн‡ч‡ет полный уо‚ень ‰о‚еиfl этому сетифик‡ту. Алис‡ т‡кже х‡нит сетифик‡т и откытый ключ ‰лfl Лесли по‰ н‡з‚‡нием «Лесли» и н‡зн‡ч‡ет полный уо‚ень ‰о‚еиfl этому сетифик‡ту. 510

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

2. Анн‡ ‚ы‡б‡ты‚‡ет сетифик‡т ‰лfl Джон‡ (с откытым ключом K3). Алис‡ х‡нит этот сетифик‡т и откытый ключ по‰ н‡з‚‡нием «Джон», но н‡зн‡ч‡ет уо‚ень ‰лfl это„о сетифик‡т‡ — ч‡стичный. 3. Дж‡нетт ‚ы‡б‡ты‚‡ет ‰‚‡ сетифик‡т‡: о‰ин ‰лfl Джон‡ (с обще‰оступным ключом K3) и о‰ин ‰лfl Ли (с откытым ключом K4). Алис‡ х‡нит сетифик‡т Джон‡ по‰ е„о именем и сетифик‡том «Ли» по‰ этим именем (Ли), к‡ж‰ый с ч‡стичным уо‚нем ‰о‚еиfl. Об‡тите ‚ним‡ние, что Джон тепеь имеет ‰‚‡ сетифик‡т‡: о‰ин от Анны и о‰ин от Дж‡нетт, к‡ж‰ый с ч‡стичным уо‚нем ‰о‚еиfl. 4. Джон ‚ы‡б‡ты‚‡ет сетифик‡т ‰лfl Лиз. Алис‡ может отк‡з‡тьсfl или сох‡нить этот сетифик‡т с 퇉писью «не ‰о‚еflю». З‡конность ключей. Цель использниfl поучителfl и сетифик‡т‡ ‰о‚еиfl — опе‰елить з‡конность откыто„о ключ‡. Алис‡ ‰олжн‡ зн‡ть, н‡сколько з‡конны откытые ключи Боб‡, Джон‡, Лиз, Анны и т‡к ‰‡лее. PGP опе‰елflет очень flсную поце‰уу ‰лfl то„о, чтобы опе‰елить з‡конность ключей. Уо‚ень з‡конности ключей ‰лfl пользтелfl — это ‚з‚ешенные уо‚ни ‰о‚еиfl пользтелfl. Н‡пиме, пе‰положим, что мы н‡зн‡ч‡ем сле‰ующие ‚ес‡ н‡ уо‚ни ‰о‚еиfl сетифик‡т‡: 1. ‚ес 0 — сетифик‡ту, котоому не ‰о‚еflют; 2. ‚ес 1/2 — сетифик‡ту с ч‡стичным ‰о‚еием; 3. ‚ес 1 — сетифик‡ту с полным ‰о‚еием. Т‡ ‰лfl полно„о ‰о‚еиfl объекту Алис‡ ну扇етсfl ‚ о‰ном сетифик‡те, котоому ‰о‚еflет полностью, или ‚ ‰‚ух ч‡стичных сетифик‡т‡х ‰о‚еиfl ‰лfl это„о объект‡. Н‡пиме, Алис‡ может использть откытый ключ Джон‡ ‚ пе‰ы‰ущем сцен‡ии, потому что и Анн‡, и Дж‡нетт ‚ы‡бот‡ли сетифик‡т ‰лfl Джон‡, к‡ж‰ый с уо‚нем ‰о‚еиfl сетифик‡т‡ 1/2. Об‡тите ‚ним‡ние, что з‡конность откыто„о ключ‡, пи퇉леж‡ще„о объекту, не имеет ник‡ко„о отношениfl к уо‚ню ‰о‚еиfl ‰у„их лю‰ей к этому чело‚еку. Хотfl Боб может использть откытый ключ Джон‡, чтобы пе則ть сообщение ему, Алис‡ может не пинflть ни о‰но„о сетифик‡т‡, ‚ыпущенно„о Джоном, потому что ‰лfl Алисы Джон имеет уо‚ень «нет ‰о‚еиfl». Ст‡т кольц‡ Вы, ‚озможно, н‡шли сеьезную поблему ‚ ‚ышеупомflнутом обсуж‰ении. А если никто не пе則л сетифик‡т, что он полностью или ч‡стично ‰о‚еflет объекту? Н‡пиме, к‡к можно ешить поблему з‡конности обще‰оступно„о ключ‡ Боб‡, если никто не пе則л сетифик‡т Боб‡? В PGP з‡конность ключ‡, котоому ‰о‚еflют, или объект‡, котоому ч‡стично ‰о‚еflют, может быть т‡кже опе‰елен‡ ‰у„ими метми. 1. Алис‡ может физически получить откытый ключ Боб‡. Н‡пиме, Алис‡ и Боб мо„ут ‚стетитьсfl лично. И пи этом обменflтьсfl откытым ключом, н‡пис‡нным н‡ обы‚ке бум‡жки или н‡ ‰иске. 2. Если „олос Боб‡ ‡споз퇂‡ем Алисой, Алис‡ может по телефону ‚ы炇ть е„о и получить е„о откытый ключ. 3. Лучшее ешение, пе‰ложенное PGP ‰лfl Боб‡, — пе則ть е„о откытый ключ Алисе электонной почтой. И Алис‡, и Боб ‰ел‡ют ‰‡й‰жест ключ‡ 511

Кус

Кипто„‡фиfl и безоп‡сность сетей

16 б‡йто‚ MD5 (или 20 б‡йто‚ SHA-1). Д‡й‰жест обычно отоб‡ж‡етсfl к‡к ‚осемь „упп по 4 цифы (или ‰есflть „упп по 4 цифы) ‚ шест퇉ц‡теичном ‚и‰е и н‡зы‚‡етсfl отпеч‡тком п‡льц‡. Алис‡ может т‡ ‚ы炇ть Боб‡ и по‚еить отпеч‡ток п‡льц‡ по телефону. Если ключ изменилсfl или изменен ‚о ‚емfl почто‚ой пе則чи, ‰‚‡ отпеч‡тк‡ п‡льц‡ не бу‰ут соот‚етст‚ть ‰у„ ‰у„у. Длfl то„о чтобы с‰ел‡ть по‚еку более у‰обной, PGP со片л список сло‚, к‡ж‰ое из котоых пе‰ст‡‚лflет комбин‡цию из 4-х циф. К‡ Алис‡ ‚ызы‚‡ет Боб‡, Боб может объfl‚ить эти ‚осемь сло‚ (или ‰есflть сло‚) ‰лfl Алисы. Сл тщ‡тельно ‚ыб‡ны PGP, чтобы избеж‡ть пут‡ницы пи поизношении; н‡пиме, если печь н‡хо‰итсfl ‚ списке, то сло‚о ечь не ‚ключ‡етсfl ‚ список. 4. В PGP ничто не пепflтст‚ует Алисе получ‡ть откытый ключ Боб‡ от CA по от‰ельной поце‰уе. Он‡ может т‡ ‚ст‡‚ить откытый ключ ‚ кольцо откыто„о ключ‡. Т‡блицы кольц‡ ключей К‡ж‰ый пользтель, т‡кой к‡к Алис‡, сох‡нflет множест‚о ‰‚ух колец ключей: о‰но кольцо секетно„о ключ‡ и о‰но кольцо откыто„о ключ‡. PGP опе‰елflет стуктуу ‰лfl к‡ж‰о„о из этих колец ключей ‚ фоме т‡блицы. Рисунок 16.7 пок‡зы‚‡ет фом‡т т‡блицы кольц‡ секетно„о ключ‡.

Рис. 16.7. Фом‡т т‡блицы кольц‡ секетно„о ключ‡. • Пользтельский ID. Пользтельский ID — обычно ‡‰ес электонной почты пользтелfl. О‰н‡ко пользтель может опе‰елflть уник‡льный ‡‰ес электонной почты или пс傉оним ‰лfl к‡ж‰ой ключе‚ой п‡ы. Т‡блиц‡ пеечислflет пользтельские ID, с‚flз‡нные с к‡ж‰ой п‡ой. • ID ключ‡. Этот столбец уник‡льно опе‰елflет откытый ключ се‰и откытых ключей пользтелfl. В PGP ID ключ‡ ‰лfl к‡ж‰ой п‡ы — пе‚ые (с‡мые м뇉шие) 64 бит‡ откыто„о ключ‡. Ду„ими слми, ключ ID ‚ычислflетсfl к‡к ключ mod 264). Ключ ID необхо‰им ‰лfl ‡боты PGP, потому что Боб может иметь несколько откытых ключей, пи퇉леж‡щих Алисе, ‚ е„о кольце откыто„о ключ‡. К‡ он получ‡ет сообщение от Алисы, Боб ‰олжен зн‡ть, к‡кой ID ключ‡ 퇉о использть, чтобы по‚еить сообщение. Ключ ID, котоый пе則ют с сообщением, к‡к мы у‚и‰им, ‰‡ет ‚озможность Бобу пименить 燉‡нный откытый ключ ‰лfl Алисы из с‚ое„о откыто„о кольц‡. Можно спосить, почему не пе則ют полностью откытый ключ. От‚ет н‡ это ‚опос т‡кой: ‚ кипто„‡фии откыто„о ключ‡ ‡зме откыто„о ключ‡ может быть очень большой. Пе則‚‡fl только 8 б‡йт, мы уменьш‡ем ‡зме сообщениfl. 512

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

• Откытый ключ. Этот столбец только пеечислflет откытые ключи, пи퇉леж‡щие конкетной п‡е «секетный ключ / откытый ключ». • З‡шифнный секетный ключ. Этот столбец пок‡зы‚‡ет з‡шифнное зн‡чение секетно„о ключ‡ ‚ п‡е «секетный ключ / откытый ключ». Хотfl Алис‡ — е‰инст‚енный чело‚ек, имеющий ‰оступ к с‚оему секетному кольцу, PGP сох‡нflет только з‡шифнную ‚есию секетно„о ключ‡. Мы у‚и‰им позже, к‡к з‡шифо‚ы‚‡етсfl и ‡сшифо‚ы‚‡етсfl секетный ключ. • Метк‡ ‚емени. Этот столбец со‰ежит ‚емfl и ‰‡ту со片ниfl п‡ы ключей. Это помет пользтелю еш‡ть, к‡ поиз‚ести чистку ст‡ых п‡ и к‡ со片‚‡ть но‚ые п‡ы. Пиме 16.1 Пок‡жем пиме т‡блицы кольц‡ секетно„о ключ‡ ‰лfl Алисы. Мы пе‰по뇄‡ем, что Алис‡ имеет только ‰‚‡ пользтельских ID: [email protected] и [email protected]. Мы т‡кже пе‰по뇄‡ем, что Алис‡ имеет ‰‚‡ множест‚‡ п‡ секетных/откытых ключей, о‰ин ‰лfl к‡ж‰о„о пользтельско„о ID. Т‡блиц‡ 16.5 пок‡зы‚‡ет т‡блицу кольц‡ секетных ключей ‰лfl Алисы. Т‡блиц‡ 16.5. Т‡блиц‡ кольц‡ секетных ключей ‰лfl пиме‡ 16.1 ID пользтелfl Ключ ID Откытый [email protected] AB13...45 AB13...45...59 [email protected] FA23...12 FA23...12...22

Секетный ключ ключ 32452398...23 564A4923...23

Метк‡ ‚емени шифниfl 031505-16:23 031504-08:11

Об‡тите ‚ним‡ние, что хотfl зн‡чениfl ключ‡ ID, откыто„о ключ‡ и секетно„о ключ‡ пок‡з‡ны ‚ шест퇉ц‡теичном ‚и‰е, ‰лfl метки ‚емени используетсfl фом‡т «месflц – ‰ень – „. Длfl метки ‚емени эти фом‡ты служ‡т только ‰лfl фикс‡ции ‰‡ты и мо„ут быть ‡зличны. Н‡пиме, ‚ России ут‚еж‰ен фом‡т «‰ень – месflц – „. Рисунок 16.8 пок‡зы‚‡ет фом‡т т‡блицы кольц‡ обще‰оступно„о ключ‡.

Рис. 16.8. Фом‡т т‡блицы кольц‡ откыто„о ключ‡ • Пользтельский ID. К‡к и ‚ т‡блице 16.7 кольц‡ секетно„о ключ‡, пользтельский ID — обычно ‡‰ес электонной почты объект‡. • Ключ ID. К‡к и ‚ т‡блице 16.7 кольц‡ секетно„о ключ‡, ключ ID — пе‚ые (с‡мые м뇉шие) 64 бит‡ обще‰оступно„о ключ‡. • Откытый ключ. Это — откытый ключ объект‡. 513

Кус

Кипто„‡фиfl и безоп‡сность сетей

• До‚еие к пост‡‚щику. Этот столбец опе‰елflет уо‚ень ‰о‚еиfl к пост‡‚щику. В большинст‚е е‡лиз‡ций он может иметь только о‰но из тех зн‡чений: не ‰о‚еflю, ‰о‚еflю ч‡стично или ‰о‚еflю полностью. • Сетифик‡т(ы). Этот столбец со‰ежит сетифик‡т или сетифик‡ты, по‰пис‡нные ‰у„им объект‡м ‰лfl это„о объект‡. Пользтельский ID может иметь больше чем о‰ин сетифик‡т. • Сетифик‡т(ы) ‰о‚еиfl. Этот столбец пе‰ст‡‚лflет сетифик‡т ‰о‚еиfl (или посто ‰о‚еие). Если Анн‡ пе則ет сетифик‡т з‡ Джон‡, PGP ищет ‚хо‰ стоки Анны, н‡хо‰ит зн‡чение ‰о‚еенно„о пост‡‚щик‡ ‰лfl Анны, копиует это зн‡чение и ‚ст‡‚лflет е„о ‚ поле сетифик‡т‡ ‰о‚еиfl ‰лfl Джон‡. • З‡конность ключей. Это зн‡чение ‚ычислflетсfl PGP, н‡ осно‚е зн‡чениfl сетифик‡т‡ ‰о‚еиfl и з‡‡нее 燉‡нно„о ‚ес‡ ‰лfl к‡ж‰о„о сетифик‡т‡ ‰о‚еиfl. • Метк‡ ‚емени. Этот столбец со‰ежит ‰‡ту и ‚емfl со片ниfl столбц‡. Пиме 16.2 Рfl‰ ш‡„о‚ пок‡зы‚‡ет, к‡к фомиуетсfl т‡блиц‡ кольц‡ откыто„о ключ‡ ‰лfl Алисы. 1. К‡к пок‡з‡но ‚ т‡блице 16.6, з‡полнение н‡чин‡етсfl со стоки, „‰е Алис‡ ук‡зы‚‡ет уо‚ень ‰о‚еиfl пост‡‚щик‡, используfl N (не ‰о‚еflю), P (‰о‚еflю ч‡стично) и F (‰о‚еflю полностью). Длfl постоты пинflто, что к‡ж‰ый уч‡стник (‚ключ‡fl Алису) имеет только о‰ин пользтельский ID. Т‡блиц‡ 16.6. Пиме 2, ст‡тfl т‡блиц‡ ID пользо- Ключ ID Ключ До‚еие Сети- Сети- З‡кон- Метк‡ ‚‡телfl откытый к пост‡‚щику фик‡т(ы) фик‡т ность ‚емени ‰о‚еиfl ключ‡ Алис‡… AB... AB... F F …… Об‡тите ‚ним‡ние: н‡ осннии этой т‡блицы мы пе‰по뇄‡ем, что Алис‡ ‚ыпустил‡ сетифик‡т ‰лfl себfl (неfl‚но). Алис‡, конечно, ‰о‚еflет с‡м‡ себе полностью. Уо‚ень ‰о‚еиfl к пост‡‚щику т‡кже полный и з‡конность ключей — тоже. Хотfl Алис‡ ник‡ не использует эту пе‚ую стоку, это необхо‰имо ‰лfl опе‡ции PGP. 2. Тепеь Алис‡ ‰оᇂлflет ‚ т‡блицу Боб‡. Алис‡ полностью ‰о‚еflет Бобу, но ‰лfl то„о чтобы получить е„о откытый ключ, он‡ посит, чтобы Боб пе則л откытый ключ электонной почтой, т‡к же к‡к и с‚ои «отпеч‡тки п‡льце‚». З‡тем Алис‡ ‚ызы‚‡ет Боб‡, чтобы по‚еить е„о «отпеч‡тки п‡льце‚». Т‡блиц‡ 16.7 пок‡зы‚‡ет это но‚ое событие. Об‡тите ‚ним‡ние, что зн‡чение ‰о‚еиfl ‰лfl Боб‡ полное, потому что Алис‡ полностью ‰о‚еflет Бобу. Зн‡чение полfl сетифик‡т‡ пусто — это пок‡зы‚‡ет, что этот ключ был получен кос‚енно, ‡ не ‚ соот‚етст‚ии с сетифик‡том. 514

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Т‡блиц‡ 16.7. Пиме 2 после ‰оᇂлениfl ‚ т‡блицу Боб‡ ID пользо- Ключ ID Ключ До‚еие Сети- Сети- З‡кон- Метк‡ ‚‡телfl откытый к пост‡‚щику фик‡т(ы) фик‡т ность ‚емени ‰о‚еиfl ключ‡ Алис‡… AB... AB... F F ……. Боб… 12… 12… F F ……. 3. Тепеь Алис‡ ‰оᇂлflет ‚ т‡блицу Т則. Те‰у полностью ‰о‚еflют. О‰н‡ко ‰лfl это„о конкетно„о пользтелfl Алис‡ не ‰олжн‡ ‚ы炇ть Т則. Вместо это„о Боб, котоый зн‡ет откытый ключ Т則, пе則ет е„о Алисе, сетифик‡т котоой ‚ключ‡ет откытый ключ Т則, к‡к пок‡з‡но ‚ т‡блице 16.8. Т‡блиц‡ 16.8. Пиме 2 после ‰оᇂлениfl Т則 ‚ т‡блицу ID пользо- Ключ ID Ключ До‚еие Сети- Сети- З‡кон- Метк‡ ‚‡телfl откытый к пост‡‚щику фик‡т(ы) фик‡т ность ‚емени ‰о‚еиfl ключ‡ Алис‡… AB... AB... F F ……. Боб… 12… 12… F F ……. Тэ‰... 48… 48… F Боб‡ F F ……. Об‡тите ‚ним‡ние: зн‡чение полfl сетифик‡т‡ пок‡зы‚‡ет, что сетифик‡т был получен от Боб‡, зн‡чение сетифик‡т‡ ‰о‚еиfl скопино PGP с полfl ‰о‚еиfl к пост‡‚щику Боб‡. Зн‡чение полfl з‡конности ключей — зн‡чение сетифик‡т‡ ‰о‚еиfl, умноженно„о н‡ 1 (‚ес). 4. Тепеь Алис‡ ‰оᇂлflет к списку Анну. Алис‡ ‰о‚еflет Анне ч‡стично, но Боб пе則ет сетифик‡т ‰лfl Анны с отметкой, что полностью ‰о‚еflет. Т‡блиц‡ 16.9 пок‡зы‚‡ет но‚ое событие. Т‡блиц‡ 16.9. Пиме 2 после ‰оᇂлениfl Анны ‚ т‡блицу ID пользо- Ключ ID Ключ До‚еие Сети- Сети- З‡кон- Метк‡ ‚‡телfl откытый к пост‡‚щику фик‡т(ы) фик‡т ность ‚емени ‰о‚еиfl ключ‡ Алис‡… AB... AB... F F ……. Боб… 12… 12… F F ……. Те‰... 48… 48… F Боб‡ F F ……. Анн‡... 71…. 71 P Боб‡ F F ……. Об‡тите ‚ним‡ние, что зн‡чение ‰о‚еиfl к пост‡‚щику ‰лfl Анны fl‚лflетсfl ч‡стичным, но сетифик‡т ‰о‚еиfl и з‡конность ключей fl‚лflютсfl полными. 5. Тепеь Анн‡ пе‰ст‡‚лflет Джон‡, котоому не ‰о‚еflет Алис‡. Т‡блиц‡ 16.10 пок‡зы‚‡ет но‚ое событие. 515

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 16.10. Пиме 2 после ‰оᇂлениfl ‚ т‡блицу Джон‡ ID пользо- Ключ ID Ключ До‚еие Сети- Сети- З‡кон- Метк‡ ‚‡телfl откытый к пост‡‚щику фик‡т(ы) фик‡т ность ‚емени ‰о‚еиfl ключ‡ Алис‡… AB... AB... F F ……. Боб… 12… 12… F F ……. Тэ‰... 48… 48… F Боб‡ F F ……. Анн‡... 71… 71… P Боб‡ F F ……. Джон... 31… 31… N Анны P P …….. Об‡тите ‚ним‡ние, что PGP скопил зн‡чение ‰о‚еиfl к пост‡‚щику Анны (P) и ‰оᇂил к т‡блице сетифик‡т‡ ‰о‚еиfl поле ‰лfl Джон‡. Зн‡чение полfl з‡конности ключей ‰лfl Джон‡ — 1/2 (P) ‚ этот момент; это озн‡ч‡ет, что Алис‡ не ‰олжн‡ использть ключ Джон‡, пок‡ он не изменитсfl н‡ 1 (F). 6. Тепеь Дж‡нетт, неиз‚естн‡fl Алисе, пе則ет сетифик‡т ‰лfl Ли. Алис‡ полностью и„ноиует это сетифик‡т, потому что он‡ не зн‡ет Дж‡нетт. З‡тем Те‰ пе則ет сетифик‡т ‰лfl Джон‡. Джон, котоому ‰о‚еflет Те‰, ‚еоflтно, попосил Т則 пе則ть этот сетифик‡т. Алис‡ смотит н‡ т‡блицу и н‡хо‰ит пользтельское ID Джон‡ с соот‚етст‚ующим ключом ID и откытым ключом. Алис‡ не ‰оᇂлflет ‰у„ую стоку к т‡блице; он‡ только изменflет т‡блицу, к‡к пок‡з‡но ‚ т‡блице 16.11. Поскольку Джон имеет ‰‚‡ сетифик‡т‡ ‚ т‡блице Алисы, и е„о зн‡чение з‡конности ключей — 1, Алис‡ может использть е„о ключ. Но Джон ‚се еще не퇉ежен. Об‡тите ‚ним‡ние, что Алис‡ может по‰олжить ‰оᇂлflть ‚хо‰ы к т‡блице. Т‡блиц‡ 16.11. Пиме 2 после то„о, к‡к ‰лfl Джон‡ был получен сетифик‡т ID пользо- Ключ ID Ключ До‚еие Сети- Сети- З‡кон- Метк‡ ‚‡телfl откытый к пост‡‚щику фик‡т(ы) фик‡т ность ‚емени ‰о‚еиfl ключ‡ Алис‡… AB... AB... F F ……. Боб… 12… 12… F F ……. Тэ‰... 48… 48… F Боб‡ F F ……. Анн‡... 71… 71... P Боб‡ F F ……. Джон... 31… 31… N Анны P F ……. Боб‡ F Мо‰ель ‰о‚еиfl ‚ PGP К‡к пе‰ложил Циммем‡н, мы можем со片ть мо‰ель ‰о‚еиfl ‰лfl любо„о пользтелfl ‚ кольце, с пользтелем ‚ к‡чест‚е цент‡ ‡кти‚ности. Т‡к‡fl мо‰ель может ‚ы„лfl‰еть, к‡к пок‡з‡но н‡ ис. 16.9. Рисунок пок‡зы‚‡ет мо‰ель ‰о‚еиfl ‰лfl Алисы ‚ некотоый момент. Д臄‡мм‡ может изменитьсfl с любыми изменениflми т‡блицы кольц‡ обще‰оступно„о ключ‡. 516

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Рис. 16.9. Мо‰ель ‰о‚еиfl Р‡ссмотим исунок. З‰есь пок‡з‡ны ти объект‡ с полным ‰о‚еием ‚ кольце Алисы (с‡м‡ Алис‡, Боб и Те‰) и ти объект‡ с ч‡стичным ‰о‚еием (Анн‡, М‡к и Бюс). Есть т‡кже шесть объекто‚ без ‰о‚еиfl. Де‚flть объекто‚ имеют з‡конный ключ. Алис‡ может з‡шифть сообщение к любому из этих объекто‚ или по‚еить, что по‰пись получен‡ от о‰но„о из этих объекто‚ (ключ Алисы ник‡ не используетсfl ‚ этой мо‰ели). Есть т‡кже ти объект‡, котоые не имеют ник‡ких з‡конных ключей с Алисой. Боб, Анн‡ и М‡к с‰ел‡ли с‚ои ключи з‡конными, посыл‡fl их электонной почтой и по‰т‚е扇fl «отпеч‡тк‡ми п‡льце‚» по ф‡ксу. Елен‡ пее‰‡л‡ сетифик‡т от CA, потому что ей не ‰о‚еflет Алис‡ и по‚ек‡ по телефону не‚озможн‡. Хотfl Те‰у полностью ‰о‚еflют, он ‰‡л Алисе сетифик‡т, по‰пис‡нный Бобом. Джон пе則л Алисе ‰‚‡ сетифик‡т‡, о‰ин — по‰пис‡нный Те‰ом и о‰ин — Анной. Ке‚ин пее‰‡л ‰‚‡ сетифик‡т‡ Алисе, о‰ин — по‰пис‡нный Анной и о‰ин — М‡ком. К‡ж‰ое из этих у‰осто‚еений ‰‡ет Ке‚ину поло‚ину уо‚нfl з‡конности; поэтому ключ Ке‚ин‡ з‡конен. Дюк пее‰‡л ‰‚‡ у‰осто‚еениfl Алисе, о‰но — по‰пис‡нное М‡ком и ‰у„ое — Еленой. Т‡к к‡к М‡ку «полу‰о‚еflют», ‡ Елене не ‰о‚еflют, Дюк не имеет з‡конно„о ключ‡. Дженни пее‰‡л‡ четые сетифик‡т‡, о‰ин — по‰пис‡нный объектом, котоому «полу‰о‚еflют», ‰‚‡ — нез‡конными объект‡ми и о‰ин — неиз‚естным объектом. Дженни имеет не мно„о ш‡нсо‚, чтобы ее ключ пизн‡ли з‡конным. Луиз‡ пее‰‡л‡ о‰ин сетифик‡т, по‰пис‡нный неиз‚естным объектом. З‡метим, что Алис‡ может сох‡нить имfl Луизы ‚ т‡блице ‚ случ‡е, если ‚ бу‰ущем пибу‰ет сетифик‡т ‰лfl Луизы. Сеть ‰о‚еиfl PGP может ‚ конечном счете с‰ел‡ть сеть ‰о‚еиfl меж‰у „уппой лю‰ей. Если к‡ж‰ый объект ‚‚о‰ит ‚се больше и больше объекто‚ ‰у„им объект‡м, кольцо откыто„о ключ‡ ‰лfl к‡ж‰о„о объект‡ ст‡но‚итсfl большим и большим, и объекты ‚ кольце мо„ут т‡ пе則‚‡ть безоп‡сную электонную почту ‰у„ ‰у„у. 517

Кус

Кипто„‡фиfl и безоп‡сность сетей

Аннулиние ключей Аннулиние ключей может ст‡ть необхо‰имым ‰лfl объект‡, если 퇉о отменить е„о или ее откытый ключ ‚ кольце. Это может случитьсfl, если ‚л‡‰елец ключ‡ чу‚ст‚ует, что ключ скомпометин (н‡пиме, ук‡‰ен) или слишком ст‡ый, чтобы быть безоп‡сным. Чтобы отменflть ключ, ‚뇉елец может пе則ть сетифик‡т ‡ннулиниfl, по‰пис‡нный им с‡мим. Сетифик‡т ‡ннулиниfl ‰олжен быть по‰пис‡н ст‡ым ключом и ‡спост‡нен ‚сем лю‰flм ‚ кольце, котоые использли обще‰оступный ключ.

Р‡сп‡ко‚к‡ инфом‡ции из колец К‡к мы ‚и‰ели, пе則тчик и пиемник к‡ж‰ый имеет ‰‚‡ кольц‡ ключей: о‰ин ч‡стный и о‰ин откытый. Д‡‚‡йте посмотим, к‡к‡fl инфом‡циfl нужн‡ ‰лfl то„о, чтобы посл‡ть и получить сообщение, из‚леченное из этих колец. Стоон‡ пе則тчик‡ Пе‰положим, что Алис‡ посыл‡ет электонную почту Бобу. Алис‡ ну扇етсfl ‚ пflти е‰иниц‡х инфом‡ции: ключ ID откыто„о ключ‡, котоый он‡ использует, ее секетный ключ, ключ се‡нс‡, ID откыто„о ключ‡ Боб‡ и откытый ключ Боб‡. Длfl то„о чтобы получить эти пflть е‰иниц инфом‡ции, Алис‡ ‰олжн‡ пе則ть PGP четые е‰иницы инфом‡ции: ее пользтельский ID (‰лfl электонной почты), ее ф‡зу-п‡оль (после‰о‚‡тельность н‡ж‡тиfl к뇂иш с ‚озможными п‡уз‡ми) и пользтельский ID Боб‡ (см. исунок 16.10).

Рис. 16.10. Р‡сп‡ко‚к‡ инфом‡ции из колец н‡ стооне пе則тчик‡ 518

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

ID откыто„о ключ‡ Алисы (полученный с сообщением) и ее секетный ключ (‰лfl по‰писи сообщениfl) х‡нflтсfl ‚ т‡блице кольц‡ секетно„о ключ‡. Алис‡ ‚ыби‡ет пользтельский ID (user ID — ее ‡‰ес электонной почты), котоый он‡ хочет использть к‡к ин‰екс к этому кольцу. PGP из‚лек‡ет ключ ID и з‡шифнный секетный ключ. PGP использует з‡‡нее 燉‡нный ‡л„оитм ‰ешифниfl и ее хэшиниfl, ф‡зу-п‡оль (к‡к ключ), чтобы ‡сшифть этот секетный ключ. Алис‡ т‡кже ну扇етсfl ‚ секетном ключе се‡нс‡. Ключ се‡нс‡ ‚ PGP — случ‡йное число с ‡змеом, котоый опе‰елен ‚ ‡л„оитме шифниfl/‰ешифниfl. PGP использует „ене‡то случ‡йных чисел, чтобы со片ть случ‡йный ключ се‡нс‡; н‡ч‡льное число — множест‚о поиз‚ольных н‡ж‡тий к뇂иши, н‡печ‡т‡нных Алисой н‡ ее к뇂и‡туе. К‡ж‰ое н‡ж‡тие к뇂иши пеоб‡зно ‚ 8 бит, ‡ к‡ж‰‡fl п‡уз‡ меж‰у н‡ж‡тиflми к뇂иши пеоб‡зо‚‡н‡ ‚ 32 бит‡. Комбин‡циfl похо‰ит сложный „ене‡то случ‡йных чисел, чтобы со片ть очень ‰осто‚еное случ‡йное число к‡к ключ се‡нс‡. Об‡тите ‚ним‡ние, что ключ се‡нс‡ ‚ PGP — о‰но‡зо‚ый случ‡йный ключ (см. пиложение K), используемый только о‰ин ‡з. Алис‡ т‡кже ну扇етсfl ‚ ID ключ‡ Боб‡ (чтобы посл‡ть е„о с сообщением) и ‚ откытом ключе Боб‡ (чтобы з‡шифть ключ се‡нс‡). Эти ‰‚е ч‡сти инфом‡ции из‚лек‡ютсfl из т‡блицы кольц‡ откытых ключей, используfl пользтельское ID Боб‡ (е„о ‡‰ес электонной почты). Стоон‡ пиемник‡ Н‡ стооне пиемник‡ Бобу нужны ти ч‡сти инфом‡ции: секетный ключ Боб‡ (‡сшифо‚ы‚‡ет ключ се‡нс‡), ключ се‡нс‡ (чтобы ‡сшифть ‰‡нные) и ключ Алисы (чтобы по‚еить по‰пись) (см. ис. 16.11).

Рис. 16.11. Р‡сп‡ко‚к‡ инфом‡ции из колец н‡ стооне пием‡ 519

Кус

Кипто„‡фиfl и безоп‡сность сетей

Боб использует ID с‚ое„о откыто„о ключ‡, пе則‚‡емый Алисой, чтобы опе‰елить, что е„о соот‚етст‚ующий секетный ключ может ‡сшифть ключ се‡нс‡. Эт‡ ч‡сть инфом‡ции может быть из‚лечен‡ из т‡блицы кольц‡ секетно„о ключ‡ Боб‡. Секетный ключ, о‰н‡ко, з‡шифн пи з‡писи ‚ п‡мflть. Боб ‰олжен использть ф‡зу-п‡оль и хэш-функцию, чтобы ‡сшифть ключ. З‡шифнный ключ се‡нс‡ пе則ли с сообщением; Боб пименflет с‚ой ‡сшифнный секетный ключ, чтобы ‡сшифть ключ се‡нс‡. Боб использует ID ключ‡ Алисы, пе則нный с сообщением, чтобы из‚лечь откытый ключ Алисы, котоый х‡нитсfl ‚ т‡блице кольц‡ откыто„о ключ‡ Боб‡.

PGP-п‡кеты Сообщение ‚ PGP состоит из о‰но„о или более п‡кето‚. В течение э‚олюции PGP фом‡т и число типо‚ п‡кет‡ изменились. По‰обно ‰у„им потокол‡м, из‚естным ‰о сих по, PGP имеет типо‚ой 燄оло‚ок, котоый пименflетсfl к к‡ж‰ому п‡кету. Типо‚ой 燄оло‚ок нынешней ‚есии имеет только ‰‚‡ полfl, к‡к пок‡з‡но н‡ ис. 16.12.

Рис. 16.12. Фом‡т 燄оло‚к‡ п‡кет‡ • Метк‡ (те„). Нынешний фом‡т ‰лfl это„о полfl опе‰елflет метку к‡к фл‡жок н‡ 8 бито‚; пе‚ый бит (с‡мый ст‡ший) — ‚с儉‡ 1. Втоой бит — 1, если мы используем после‰нюю ‚есию. Ост‡ющиесfl шесть бит мо„ут опе‰елить ‰о 64 ‡зличных типо‚ п‡кето‚, к‡к пок‡з‡но ‚ т‡блице 16.12. • Длин‡. Поле ‰лины опе‰елflет ‰лину полно„о п‡кет‡ ‚ б‡йт‡х. Р‡зме это„о полfl fl‚лflетсfl пееменным; он может быть 1, 2 или 5 б‡йто‚. Т‡блиц‡ 16.12. Некотоые обычно используемые типы п‡кето‚ Зн‡чение 1 2 5 6 8 9 11 13

Тип п‡кет‡ Ключ се‡нс‡, з‡шифнный откытым ключом П‡кет по‰писи П‡кет секетно„о ключ‡ П‡кет откыто„о ключ‡ П‡кет сж‡тых ‰‡нных П‡кет ‰‡нных, з‡шифнный секетным ключом П‡кет лите‡льных (бук‚енных ‰‡нных) П‡кет пользтельско„о ID 520

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Пиемник может опе‰елить число б‡йто‚ полfl ‰лины, н‡ осннии зн‡чениfl б‡йт‡, и‰уще„о с‡зу после полfl метки. ‡. Если зн‡чение б‡йт‡ после полfl метки меньше, чем 192, то поле ‰лины — только о‰ин б‡йт. Длин‡ тексто‚о„о блок‡ (п‡кет минус 燄оло‚ок) ‚ычислflетсfl к‡к ‰лин‡ тексто‚о„о блок‡ = пе‚ый б‡йт б. Если зн‡чение б‡йт‡ после полfl метки меж‰у 192 и 223 (‚ключ‡fl к‡йние зн‡чениfl), то поле ‰лины — ‰‚‡ б‡йт‡. Длин‡ тексто‚о„о блок‡ может быть ‚ычислен‡ к‡к ‰лин‡ тексто‚о„о блок‡ = (пе‚ый б‡йт – 192) << 8 + ‚тоой б‡йт + 192

‚. Если зн‡чение б‡йт‡ после полfl метки меж‰у 224 и 254 (‚ключ‡fl к‡йние зн‡чениfl), то поле ‰лины — о‰ин б‡йт. Этот тип полfl ‰лины опе‰елflет только ‰лину ч‡сти тексто‚о„о блок‡ (ч‡стичн‡fl ‰лин‡ тексто‚о„о блок‡). Ч‡стичн‡fl ‰лин‡ тексто‚о„о блок‡ может быть ‚ычислен‡ к‡к ч‡стичн‡fl ‰лин‡ тексто‚о„о блок‡ = 1<< (пе‚ый б‡йт & 0 x 1F) Об‡тите ‚ним‡ние, что фомул‡ озн‡ч‡ет 1 × 2 (пе‚ый б‡йт & 0x1F). Степень — это ф‡ктически зн‡чение пflти с‡мых п‡‚ых бито‚. Поскольку поле — меж‰у 224 и 254 ‚ключительно зн‡чение пflти с‡мых п‡‚ых бито‚ — меж‰у 0 и 30 ‚ключительно. Ду„ими слми, ч‡стичн‡fl ‰лин‡ тексто‚о„о блок‡ может быть меж‰у е‰иницей (20) и 1 073 741 824 (230). К‡ п‡кет пе‰ст‡‚лен несколькими ч‡стичными тексто‚ыми блок‡ми, пименим‡ ч‡стичн‡fl ‰лин‡ тексто‚о„о блок‡. ʇ扇fl ч‡стичн‡fl ‰лин‡ тексто‚о„о блок‡ опе‰елflет о‰ну ч‡сть ‰лины. После‰нее поле ‰лины не может быть ч‡стичной ‰линой тексто‚о„о блок‡ со片нно„о сообщениfl. Н‡пиме, если п‡кет имеет четые ч‡сти, он может иметь ти ч‡стичных полfl ‰лины и о‰но поле ‰лины ‰у„о„о тип‡. „. Если зн‡чение б‡йт‡ после полfl метки — 255, то поле ‰лины состоит из пflти б‡йто‚. Длин‡ тексто‚о„о блок‡ ‚ычислflетсfl к‡к Длин‡ тексто‚о„о блок‡ = ‚тоой б‡йт <<24 | тетий б‡йт << 16| чет‚етый б‡йт << 8 |пflтый б‡йт П‡кет лите‡льных1 ‰‡нных. П‡кет бук‚енных ‰‡нных пееносит или со‰ежит текущие ‰‡нные, котоые пе則ютсfl или сох‡нflютсfl. Этот п‡кет — с‡мый элемент‡ный тип сообщениfl; то есть, он не может нести ник‡кой ‰у„ой п‡кет. Фом‡т п‡кет‡ пок‡з‡н н‡ ис. 16.13. 1

Лите‡л – тип ‰‡нных ‰лfl пеенос‡ или сох‡нениfl опе‰еленно„о з‡‡нее тип‡ ‰‡нных (‚ещест‚енные, буле‚ы, пееменные и т. ‰.). 521

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 16.13. П‡кет бук‚енных ‰‡нных • Режим. Это о‰ноб‡йто‚ое поле опе‰елflет, к‡к ‰‡нные н‡пис‡ны ‚ п‡кете. Зн‡чение это„о полfl может быть «b» ‰лfl ‰‚оичных ‰‡нных, «t» — ‰лfl текст‡, или любое ‰у„ое зн‡чение, опе‰еленное ‰лfl собст‚енных целей. • Длин‡ сле‰ующе„о полfl. Это о‰ноб‡йто‚ое поле опе‰елflет ‰лину сле‰ующе„о полfl (полfl имени ф‡йл‡). • Имfl ф‡йл‡. Это поле пееменной ‰лины опе‰елflет н‡з‚‡ние ф‡йл‡ или сообщениfl ‚ ‚и‰е стоки ASCII. • Метк‡ ‚емени. Это четыехб‡йто‚ое поле опе‰елflет ‚емfl со片ниfl или после‰ней мо‰ифик‡ции сообщениfl. Зн‡чение может быть 0 — это озн‡ч‡ет, что пользтель ‚ыби‡ет опцию «не опе‰елflть ‚емfl». • Лите‡льные ‰‡нные. Это поле пееменной ‰лины, пееносflщее ф‡ктические ‰‡нные (ф‡йл или сообщение) ‚ тексте или ‰‚оичном ‚и‰е (‚ 燂исимости от зн‡чениfl полfl ежим‡). • Сж‡тый п‡кет ‰‡нных. Этот п‡кет, пееносflщий п‡кеты сж‡тых ‰‡нных. Рисунок 16.14 пок‡зы‚‡ет фом‡т п‡кет сж‡тых ‰‡нных.

Рис. 16.14. П‡кет сж‡тых ‰‡нных • Метк‡ (мето‰ сж‡тиfl). Это о‰ноб‡йто‚ое поле опе‰елflет мето‰ сж‡тиfl, используемый ‰лfl сж‡тиfl ‰‡нных (сле‰ующее поле). Зн‡чениfl, опе‰еленные ‰лfl это„о полfl, пок‡ 1 (ZIP) и 2 (ZLIP). Т‡кже е‡лиз‡циfl может пименflть ‰у„ие экспеимент‡льные мето‰ы сж‡тиfl. Мето‰ ZIP обсу扇етсfl ‚ пиложении М. 522

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

• Сж‡тые ‰‡нные. Это поле пееменной ‰лины пееносит ‰‡нные после сж‡тиfl. Об‡тите ‚ним‡ние, что ‚ этом поле может быть о‰ин п‡кет ‰‡нных или после‰о‚‡тельное сое‰инение ‰‚ух или более п‡кето‚. Общ‡fl ситу‡циfl — е‰инст‚енный п‡кет лите‡льных ‰‡нных или комбин‡циfl п‡кет‡ по‰писи, сопо‚о扇емо„о п‡кетом лите‡льных ‰‡нных. • П‡кет ‰‡нных, з‡шифнных ключом з‡секеч肇ниfl. Этот п‡кет пееносит ‰‡нные от о‰но„о п‡кет‡ или комбин‡ции п‡кето‚, котоые были з‡шифны, с использнием обычно„о ‡л„оитм‡ с симметичными ключ‡ми. Об‡тите ‚ним‡ние, что п‡кет, несущий о‰но‡зо‚ый ключ се‡нс‡, пе則етсfl пее‰ этим п‡кетом. Рисунок 16.15 пок‡зы‚‡ет фом‡т п‡кет‡ з‡шифнных ‰‡нных.

Рис. 16.15. П‡кет з‡шифнных ‰‡нных • П‡кет по‰писи. П‡кет по‰писи мы уже обсу扇ли ‡ньше, к‡ ‡ссм‡т肇ли з‡щиту целостности ‰‡нных. Рисунок 16.16 пок‡зы‚‡ет фом‡ту п‡кет‡ по‰писи.

Рис. 16.16. П‡кет по‰писи • Весиfl. Это о‰ноб‡йто‚ое поле опе‰елflет используемую ‚есию PGP. 523

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Длин‡. Это поле сн‡ч‡л‡ было ‚ы‰елено ‰лfl то„о, чтобы пок‡з‡ть ‰лину сле‰ующих ‰‚ух полей, но тепеь ‡зме этих полей уст‡но‚лен, поэтому зн‡чение это„о полfl ‡‚но 5. • Тип по‰писи. Это о‰ноб‡йто‚ое поле опе‰елflет цель по‰писи. Оно ‰окументиует по‰пись. Т‡блиц‡ 16.13 пок‡зы‚‡ет некотоые типы по‰писи. Т‡блиц‡ 16.13. Некотоые зн‡чениfl по‰писи Зн‡чение 0x00 0x01 0x10

0x11 0x12 0x13

0x30

По‰пись По‰пись ‰‚оично„о ‰окумент‡ (сообщение или ф‡йл) По‰пись тексто‚о„о ‰окумент‡ (сообщение или ф‡йл) Общий сетифик‡т пользтельско„о ID и п‡кет‡ откыто„о ключ‡. По‰писы‚‡ющее лицо не ук‡зы‚‡ет ник‡ких ‰‡нных о ‚л‡‰ельце ключ‡ Песон‡льный сетифик‡т пользтельско„о ID и п‡кет откыто„о ключ‡. Не по‚о‰итсfl ‚еифик‡циfl ‚뇉ельц‡ ключ‡ Случ‡йный сетифик‡т пользтельско„о ID и п‡кет откыто„о ключ‡. Некото‡fl случ‡йн‡fl ‚еифик‡циfl ‚뇉ельц‡ ключ‡ Положительный сетифик‡т пользтельско„о ID и п‡кет откыто„о ключ‡. Дел‡етсfl сущест‚енн‡fl ‚еифик‡циfl По‰пись ‡ннулиниfl сетифик‡т‡. Он‡ у‰‡лflет более ‡нний сетифик‡т (от Ox10 ‰о Ox13)

• Метк‡ ‚емени. Это четыехб‡йто‚ое поле, котоое опе‰елflет ‚емfl, к‡ по‰пись был‡ ‚ычислен‡. • Ключ ID. Это ‚осьмиб‡йто‚ое поле опе‰елflет ID откыто„о ключ‡ по‰писы‚‡юще„о лиц‡. Оно ук‡зы‚‡ет ‚еифик‡тоу, к‡кой откытый ключ по‰писы‚‡юще„о лиц‡ ‰олжен быть использн, чтобы ‡сшифть ‰‡й‰жест. • Ал„оитм откыто„о ключ‡. Это о‰ноб‡йто‚ое поле ‰‡ет ко‰ ‰лfl ‡л„оитм‡ откыто„о ключ‡, котоый пименflлсfl ‰лfl шифниfl ‰‡й‰жест‡. Веифик‡то использует тот же с‡мый ‡л„оитм, чтобы ‡сшифть ‰‡й‰жест. • Ал„оитм хэшиниfl. Это о‰ноб‡йто‚ое поле ‰‡ет ко‰ ‰лfl ‡л„оитм‡ хэшиниfl, обычно со片ет ‰‡й‰жест. • Пе‚ые ‰‚‡ б‡йт‡ ‰‡й‰жест‡ сообщениfl. Эти ‰‚‡ б‡йт‡ используютсfl к‡к с‚ое„о  контольн‡fl сумм‡. Они „‡‡нтиуют, что пиемник использует п‡‚ильный ключ ID, чтобы ‡сшифть ‰‡й‰жест. • По‰пись. Это поле пееменной ‰лины. Оно со‰ежит з‡шифнный ‰‡й‰жест, по‰пис‡нный пе則тчиком. П‡кет ключ‡ се‡нс‡, з‡шифнный откытым ключом. Этот п‡кет пименflетсfl, чтобы пе則ть ключ се‡нс‡, з‡шифнный откытым ключом пиемник‡. Фом‡т п‡кет‡ пок‡з‡н н‡ ис. 16.17. • Весиfl. Это о‰ноб‡йто‚ое поле опе‰елflет используемую ‚есию PGP. 524

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

• Ключ ID. Это ‚осьмиб‡йто‚ое поле опе‰елflет ID обще‰оступно„о ключ‡ пе則тчик‡. Он ук‡зы‚‡ет пиемнику, к‡кой обще‰оступный ключ пе則тчик‡ ‰олжен использтьсfl, чтобы ‡сшифть ключ се‡нс‡.

• Ал„оитм откыто„о ключ‡. Это о‰ноб‡йто‚ое поле ‰‡ет ко‰ ‰лfl ‡л„оитм‡ откыто„о ключ‡, использнно„о ‰лfl шифниfl ключ‡ се‡нс‡. Пиемник пименflет тот же с‡мый ‡л„оитм, чтобы ‡сшифть ключ се‡нс‡. Рис. 16.17. П‡кет ключ‡ се‡нс‡ • Се‡нс шифниfl. Это обл‡сть пееменной ‰лины, кото‡fl со‰ежит з‡шифнное зн‡чение ключ‡ се‡нс‡, со片нно„о отп‡‚ителем и посл‡нно„о пиемнику. Шифние оснно н‡ сле‰ующих се‰ст‚‡х: ‡. симметичный ‡л„оитм шифниfl с о‰ним октетом; б. ключ се‡нс‡;

‚. контольн‡fl сумм‡ с ‰‚умfl октет‡ми ‡‚нflетсfl сумме октето‚ ключей пе‰ы‰ущих се‡нсо‚. П‡кет откыто„о ключ‡. Этот п‡кет со‰ежит откытый ключ отп‡‚ителfl. Фом‡т п‡кет‡ пок‡з‡н н‡ ис. 16.18. 525

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 16.18. П‡кет откыто„о ключ‡ • Весиfl. Эт‡ о‰ноб‡йтfl обл‡сть опе‰елflет используемую ‚есию PGP. • Метк‡ ‚емени. Эт‡ четыехб‡йтfl обл‡сть опе‰елflет ‚емfl, к‡ был со片н ключ. • З‡конность. Эт‡ ‰‚ухб‡йтfl обл‡сть пок‡зы‚‡ет число ‰ней, ‚ по‰олжении котоых ключ fl‚лflетсfl ‰ейст‚ительным. Если зн‡чение ‡‚но 0, это озн‡ч‡ет, что ‰ейст‚ие ключ не з‡к‡нч肇етсfl. • Ал„оитм откыто„о ключ‡. Эт‡ о‰ноб‡йтfl обл‡сть ‰‡ет ко‰ ‰лfl ‡л„оитм‡ откыто„о ключ‡. • Откытый ключ. Эт‡ обл‡сть пееменной ‰лины со‰ежит откытый ключ. Е„о со‰еж‡ние 燂исит от ‡л„оитм‡ откыто„о ключ‡.

П‡кет пользтельско„о ID. Этот п‡кет и‰ентифициует пользтелfl и обычно с‚flзы‚‡ет пользтелfl и со‰еж‡ние с откытым ключом пе則тчик‡. Рисунок 16.19 пок‡зы‚‡ет фом‡т п‡кет пользтельско„о ID. Об‡тите ‚ним‡ние, что поле ‰лины обще„о 燄оло‚к‡ — только о‰ин б‡йт. Рис. 16.19. П‡кет пользтельско„о ID • Пользтельский ID. Эт‡ сток‡ пееменной ‰лины опе‰елflет пользтельский ID пе則тчик‡. Это обычно имfl пользтелfl, сопо‚о扇емое ‡‰есом электонной почты.

PGP-сообщениfl Сообщение ‚ PGP — комбин‡циfl упоfl‰оченных и/или ‚ложенных п‡кето‚. Д‡же питом, что не ‚се комбин‡ции п‡кето‚ мо„ут сост‡‚лflть сообщение, список комбин‡ций п‡кето‚ ‰ост‡точно ‰линный. В этой секции мы пи‚е‰ем несколько пимео‚, чтобы поиллюстить и‰ею. З‡шифнное сообщение З‡шифнное сообщение может быть после‰о‚‡тельностью ‰‚ух п‡кето‚: п‡кет‡ ключ‡ се‡нс‡ и симметично з‡шифнно„о п‡кет‡. После‰ний обычно пе‰ст‡‚лflет собой ‚ложенный п‡кет. Рисунок 16.20 пок‡зы‚‡ет т‡кую комбин‡цию. Об‡тите ‚ним‡ние, что п‡кет ключ‡ се‡нс‡ со‰ежит только е‰инст‚енный п‡кет. З‡шифнный п‡кет ‰‡нных состоит из сж‡то„о п‡кет‡. Сж‡тый п‡кет состоит из п‡кет‡ лите‡льных ‰‡нных. После‰ний со‰ежит лите‡льные ‰‡нные. По‰пис‡нное сообщение 526

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Рис. 16.20. З‡шифнное сообщение

Рис. 16.21. По‰пис‡нное сообщение По‰пис‡нное сообщение может быть комбин‡цией п‡кет‡ по‰писи и лите‡льно„о п‡кет‡, к‡к это пок‡з‡но н‡ ис. 16.21.

Сообщение сетифик‡т‡ 527

Кус

Кипто„‡фиfl и безоп‡сность сетей

Хотfl сообщение сетифик‡т‡ может пиним‡ть множест‚о фом, о‰ин постой пиме — комбин‡циfl пользтельско„о ID п‡кет‡ и п‡кет‡ откыто„о ключ‡, к‡к пок‡з‡но н‡ ис. 16.22. По‰пись з‰есь ‚ычислен‡ ‰лfl после‰о‚‡тельно„о сое‰инениfl ключе‚о„о и пользтельско„о ID. Рис. 16.22. Сообщение сетифик‡т‡

Пиложениfl PGP PGP шиоко пименflлсfl ‰лfl песон‡льной электонной почты. Это использние, ‚еоflтно, по‰олжитсfl.

16.3. S/MIME Ду„‡fl служб‡ безоп‡сности ‡з‡бот‡н‡ ‰лfl электонной почты Безоп‡сное/ Мно„оцеле‚ое ‡сшиение почты (S/MIME — Secure/Multipurpose Internet Mail Extinction). Этот потокол fl‚лflетсfl ‡сшиением Мно„оцеле‚о„о ‡сшиениfl почты (MIME — Multipurpose Internet Mail Extinction). Длfl лучше„о поним‡ниfl S/MIME к‡тко изложим MIME. З‡тем обсу‰им S/MIME к‡к ‰ополнение к MIME.

MIME Электонн‡fl почт‡ имеет постую стуктуу. О‰н‡ко з‡ эту постоту пихо‰итсfl пл‡тить. Почт‡ может пе則ть сообщениfl только ‚ фом‡те NVT ASCII н‡ 7 бито‚. Ду„ими слми, он‡ имеет некотоые о„‡ничениfl. Н‡пиме, он‡ не может ‡бот‡ть с flзык‡ми, котоые не пеж‡ны сим‚ол‡ми ASCII (т‡кими к‡к ‡‡бский flзык, кит‡йский, ф‡нцузский, немецкий, и‚ит, flпонский, усский). Т‡кже он‡ не может использтьсfl ‰лfl пе則чи ‰‚оичных ф‡йло‚ или ‚и‰ео- и ‡у‰инных. MIME — это ‰ополнительные потоколы, котоые поз‚олflют ‰‡нным, не пе則‚‡емым с помощью ASCII, похо‰ить по электонной почте. MIME пеоб‡зо‚ы‚‡ет т‡кие ‰‡нные н‡ стооне пе則тчик‡ к ‰‡нным NVT ASCII и пост‡‚лflет их клиенту MTA по сети Интенет. Сообщение н‡ пиемной стооне пеоб‡зуетсfl сн к пе‚он‡ч‡льному ‚и‰у. Мы можем пе‰ст‡‚лflть себе MIME к‡к множест‚о по„‡ммных функций, котоые пеоб‡зо‚ы‚‡ют ‰‡нные, не пе則‚‡емые ‚ ASCII, к ‰‡нным ASCII, и н‡обоот, к‡к пок‡з‡но н‡ ис. 16.23. MIME опе‰елflет пflть 燄оло‚ко‚ (со‰еж‡ниfl), котоые можно ‰оᇂить к пе‚он‡ч‡льной электонной почте, чтобы опе‰елить п‡‡меты пеоб‡зниfl: 1. Version — MIME (‚есиfl); 2. Content — Type (Со‰еж‡ние – тип); 3. Content — Transfer – Encoding (Со‰еж‡ние – Пе則ч‡ – Шифние); 4. Content — ID (Со‰еж‡ние – ID); 5. Content — Description (Со‰еж‡ние – Опис‡ние).

528

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Рис.16.23. MIME

Рис. 16.24. MIME 燄оло‚ок Рисунок 16.24 пок‡зы‚‡ет 燄оло‚ки MIME. Д‡лее ‰‡етсfl более по‰обное опис‡ние к‡ж‰о„о из 燄оло‚ко‚. MIME-‚есиfl Этот 燄оло‚ок опе‰елflет ‚есию используемо„о MIME. Текущ‡fl ‚есиfl имеет номе 1.1. Version MIME: 1.1 Content-Type Этот 燄оло‚ок опе‰елflет тип ‰‡нных, используемых ‚ тексто‚ом блоке сообщениfl (‚ «теле» сообщениfl), и по‰тип со‰еж‡ниfl, от‰еленный н‡клонной четой.  燂исимости от по‰тип‡ з‡„оло‚ок может со‰еж‡ть ‰у„ие п‡‡меты. Content – Type: 529

Кус

Кипто„‡фиfl и безоп‡сность сетей

MIME поз‚олflет семь ‡зличных типо‚ ‰‡нных. Они пеечислены ‚ т‡блице 16.14 и ниже опис‡ны более по‰обно. • Текст. Пе‚он‡ч‡льное сообщение н‡хо‰итсfl ‚ фом‡те ASCII н‡ 7 бито‚, и пеоб‡зние MIME не тебуетсfl. Есть ‰‚‡ по‰тип‡, ‚ н‡стоflщее ‚емfl используемые: исхо‰ное и HTML. • Мно„оэлементный. Тексто‚ый блок со‰ежит множест‚енные не燂исимые ч‡сти. Мно„оэлементный 燄оло‚ок ‰олжен опе‰елить „‡ницу меж‰у к‡ж‰ой ч‡стью. Длfl этой цели используетсfl п‡‡мет. П‡‡мет — стоко‚ый сим‚ол, котоый ст‡‚итсfl пее‰ к‡ж‰ой ч‡стью, ‰лfl от‰ельной линии и с пе‰шест‚ующими ‰‚умfl ‰ефис‡ми. Тексто‚ый блок использует „‡ничный сим‚ол, котоому т‡кже пе‰шест‚уют ‰‚‡ ‰ефис‡. Длfl это„о тип‡ опе‰елены четые по‰тип‡: смеш‡нный, п‡‡ллельный, ‰‡й‰жест и ‡льтен‡т肇. В смеш‡нном по‰типе ч‡сти ‰олжны быть пе‰ст‡‚лены получ‡телю точно ‚ том же поfl‰ке, к‡к и ‚ сообщении. Т‡блиц‡ 16.14. Типы и по‰типы ‰‡нных ‚ MIME Тип

Мно„оэлементный (Multipart)

Сообщение (Message)

Изоб‡жение (Image) Ви‰ео (Video) Ау‰ио (Audio) Пиложение (Application)

По‰тип Обычный (Plain) HTML Смеш‡нный (Mixed)

Опис‡ние Нефом‡тинный Фом‡т HTML Блок со‰ежит упоfl‰оченные ч‡сти ‰‡нных ‡злично„о тип‡. П‡‡ллельный (Parallel) То же с‡мое, что ‚ыше, но неупоfl‰оченное. Д‡й‰жест (Digest) Тот же с‡мый, что смеш‡нный, но по умолч‡нию тип – Message / RFC822 Альтен‡ти‚ный Ч‡сти ‡зличных ‚есий о‰но„о (Alternative) и то„о же сообщениfl. RFC822 В блоке инк‡псулино сообщение Ч‡стичное (Partial) Блок – это ф‡„мент ‰у„о„о – больше„о сообщениfl. Внешний текст Блок – это ссылк‡ н‡ ‰у„ое (External-Body) сообщение. JPEG Изоб‡жение ‚ фом‡те JPEG GIF Изоб‡жение ‚ фом‡те GIF MPEG Ви‰ео ‚ фом‡те MPEG Осно‚ное (Basic) О‰иночный к‡н‡л „олосо‚о„о сообщениfl ‚ полосе 8 КГц Язык опис‡ниfl Язык опис‡ниfl – Adobe PostScript (PostScript) Поток октето‚ Обычные ‰‚оичные ‰‡нные (Octet-stream) (‚осьмибито‚ые б‡йты). 530

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

ʇ扇fl ч‡сть имеет ‡зличный тип и опе‰елflет „‡ницы. П‡‡ллельный по‰тип по‰обен смеш‡нному по‰типу, з‡ исключением то„о, что поfl‰ок сле‰о‚‡ниfl ч‡стей не и„‡ет оли. По‰тип ‰‡й‰жест‡ т‡кже по‰обен смеш‡нному по‰типу з‡ исключением то„о, что по умолч‡нию тип/по‰тип (type/subtype) имеет зн‡чение сообщение (message)/RFC822, к‡к это опе‰елено ниже. В ‡льтен‡ти‚ном по‰типе то же с‡мое сообщение по‚тоено, используfl ‡зличные фом‡ты. Д‡лее — пиме мно„оэлементно„о сообщениfl, использует смеш‡нный по‰тип: Content-Type: multipart/mixed; boundary=xxxx —xxxx Content -Type: text/plain; —xxxx Content –Type: image/gif; …………………………. —xxxx— • Сообщение. В типе сообщениfl со‰еж‡ние — полное с‡мостоflтельное сообщение почты, либо ч‡сть сообщениfl почты, либо ук‡з‡тель н‡ сообщение. В н‡стоflщее ‚емfl используютсfl ти по‰тип‡ (RFC822, ч‡стичные (partial) и ‚нешнее тело (external-body)). По‰тип RFC822 пименflетсfl, если ‚ со‰еж‡ние ‚ключено сообщение, фомиующее ‰у„ое сообщение (‚ключ‡fl 燄оло‚ок и тело). Ч‡стичный по‰тип используетсfl, если пе‚он‡ч‡льное сообщение было ф‡„ментино ‚ несколько ‡зличных почто‚ых сообщений и ‰‡нное сообщение почты — это о‰ин из ф‡„менто‚. Ф‡„менты ‰олжны быть по‚тоно соб‡ны ‚ пункте н‡зн‡чениfl MIME. К сообщению ‰оᇂлflютсfl ти п‡‡мет‡: ID, номе и общее количест‚о. ID и‰ентифициует сообщение и писутст‚ует ‚о ‚сех ф‡„мент‡х. Номе опе‰елflет поfl‰ок и число ф‡„менто‚, котоые ‚ключ‡ет ‚ себfl пе‚он‡ч‡льное сообщение. Ниже пи‚о‰итсfl пиме сообщениfl с темfl ф‡„мент‡ми: Content-Type: message/partial; id=”[email protected]”; number=1; total=3; ………… ………… По‰тип «‚нешний текст» ук‡зы‚‡ет, что инфом‡циfl не со‰ежит н‡стоflще„о сообщениfl, ‡ только ссылку (ук‡з‡тель) н‡ пе‚он‡ч‡льное сообщение. П‡‡меты это„о по‰тип‡ опе‰елflют, к‡к получить ‰оступ к пе‚он‡ч‡льному сообщению. Ниже пи‚е‰ен пиме: Content- Type: message/ external-body; name=”report.text”; site=”fhda.edu”; access-type=”ftp”; ………….. 531

Кус

Кипто„‡фиfl и безоп‡сность сетей

…………... • Изоб‡жение. Пе‚он‡ч‡льное сообщение — непижное изоб‡жение — ук‡зы‚‡ет н‡ то, что нет ник‡кой мультиплик‡ции. В н‡стоflщее ‚емfl используетсfl ‰‚‡ по‰тип‡: Объе‰иненн‡fl Экспетн‡fl „упп‡ по фото„‡фии (JPEG — Joint Photographic Expert Group), котоый поз‚олflет сж‡ть изоб‡жение, и Фом‡т Обмен‡ Г‡фическими Ф‡йл‡ми (GIF — Graphics Interchange Format). • Ви‰ео. Пе‚он‡ч‡льное сообщение — изменflющеесfl по ‚емени изоб‡жение (мультиплик‡циfl). Е‰инст‚енный по‰тип — Гупп‡ экспето‚ по ‰‚ижущимсfl изоб‡жениflм (MPEG — Moving Picture Experts Group). Если ‰‚ижущеесfl изоб‡жение сопо‚о扇етсfl з‚уко‚ым fl‰ом, е„о нужно посл‡ть от‰ельно, используfl з‚уко‚ой (audio) 燄оло‚ок «со‰еж‡ние — тип». • Ау‰ио. Пе‚он‡ч‡льное сообщение fl‚лflетсfl з‚уко‚ым. Осно‚ным fl‚лflетсfl е‰инст‚енный по‰тип, котоый использует ст‡н‰‡тный ‡у‰иок‡н‡л н‡ 8 кГц. • Пиложение. Пе‚он‡ч‡льное сообщение — тип ‰‡нных, не опе‰еленных п剂‡ительно. В н‡стоflщее ‚емfl пименflетсfl только ‰‚‡ по‰тип‡: PostScript и поток октето‚. PostScript (flзык опис‡ниfl ст‡ниц) используетсfl, к‡ ‰‡нные н‡хо‰flтсfl ‚ фом‡те Adobe PostScript. Поток октето‚ нужен, к‡ ‰‡нные ‰олжны интепетитьсfl к‡к после‰о‚‡тельность б‡йто‚ по 8 бито‚ (‰‚оичный ф‡йл). Content — Transfer — Encoding (Со‰еж‡ние — Пе則ч‡ — Ко‰иние) Этот 燄оло‚ок опе‰елflет мето‰, используемый ‰лfl ко‰иниfl сообщениfl ‚ ‚и‰е нулей и е‰иниц ‰лfl т‡нспотио‚ки чеез сеть. Content – Transfer – Encoding: Пflть типо‚ мето‰о‚ шифниfl пи‚е‰ены ‚ т‡блице 16.15. Т‡блиц‡ 16.15. Content — Transfer — Encoding (Со‰еж‡ние — Пе則ч‡ — Шифние) Тип 7 бит 8 бит

Опис‡ние NVT ASCII сим‚олы и кооткие стоки Сим‚олы, не отоб‡ж‡емые ‚ ASCII (Non-ASCII); сим‚олы и кооткие линейки Д‚оичный Сим‚олы, не отоб‡ж‡емые ‚ ASCII (Non-ASCII); сим‚олы и нелимитинные линейки Radix-64 6-бито‚ые блоки, з‡шифнные по 8 бит, ‚ сим‚олы ASCII, использующие пеоб‡зние Radix-64 conversion О„‡ниченн‡fl Сим‚олы, не отоб‡ж‡емые ‚ ASCII (Non-ASCII) и з‡шифопеч‡тн‡fl сток‡ ‚‡нные к‡к эк‚肇лентные зн‡ки к ASCII

532

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

• 7bit. Это 7 бит, з‡ко‰инные ‚ NVT ASCII. Хотfl ник‡ко„о специ‡льно„о пеоб‡зниfl з‰есь не тебуетсfl, но необхо‰имо, чтобы ‰лин‡ линейки не пе‚ыш‡л‡ 1000 сим‚оло‚. • 8bit. Это з‡ко‰инные по 8 бито‚ сим‚олы не-ASCII, котоые можно пе則ть по к‡н‡лу, но ‰лин‡ линейки не ‰олжн‡ пе‚ыш‡ть 1000 сим‚оло‚. MIME ‚ этом случ‡е ниче„о не ко‰иует; осно‚ной SMTP поз‚олflет пе則чу 8-бито‚ых сим‚оло‚ не-ASCII . Поэтому этот тип не екомен‰уетсfl. Пе‰почтительней пименflть типы Radix 64 и «писпособленный ‰лfl печ‡ти». • Д‚оичный. Это з‡ко‰инные по 8 бито‚ сим‚олы не-ASCII, котоые можно пе則ть по к‡н‡лу, но ‡зеш‡етсfl ‰лин‡ линейки более 1000 сим‚оло‚. MIME ‚ этом случ‡е ниче„о не ко‰иует; осно‚ной потокол SMTP поз‚олflет пе則чу ‰‚оичных ‰‡нных. Поэтому этот тип не екомен‰уетсfl. Пе‰почтительней пименflть типы Radix 64 и «о„‡ниченную печ‡тную стоку». • Radix-64. Этот тип поз‚олflет пе則‚‡ть ‰‡нные, состоflщие из б‡йто‚, к‡ с‡мый ‚ысокий ‡зfl‰ный бит — не обflз‡тельно ‡‚ный нулю. Radix-64 пеоб‡зо‚ы‚‡ет этот тип ‰‡нных к сим‚ол‡м тип‡ «о„‡ниченн‡fl печ‡тн‡fl стоꇻ, котоые можно т‡ посл‡ть к‡к сим‚олы ASCII или любой тип сим‚оло‚, пеж肇емый осно‚ными ‡л„оитм‡ми пе則чи почты. Radix-64 ‡з‰елflет ‰‚оичные (потоки бит) ‚ блоки по 24 бит‡. К‡ж‰ый блок з‡тем ‡з‰елflетсfl н‡ четые секции, к‡ж‰‡fl состоит из 6 бит (см. ис. 16.25). ʇ扇fl секциfl н‡ 6 бито‚ интепетиуетсfl к‡к о‰ин сим‚ол со„л‡сно Т‡блице 16.16. • О„‡ниченн‡fl печ‡тн‡fl сток‡ (Quoted-printable). Radix-64 — избыточн‡fl схем‡ ко‰иниfl: то есть 24 бит‡ пеоб‡зуютсfl ‚ четые сим‚ол‡ и ‚ ко-

нечном счете посыл‡ютсfl к‡к 32 бит‡. Мы имеем избыточность 25 поценто‚. Если ‰‡нные состоflт „뇂ным об‡зом из сим‚оло‚ ASCII с небольшой м‡ленькой ч‡стью не-ASCII, мы можем использть ко‰иние тип‡ Quoted-printable («о„‡ниченн‡fl печ‡тн‡fl стоꇻ). Если это сим‚ол ASCII, то е„о посыл‡ют без пеоб‡зниfl. Если сим‚ол — не ASCII, е„о посыл‡ют к‡к ти сим‚ол‡. Пе‚ый сим‚ол — зн‡к ‡‚енст‚‡ (=). Сле‰ующие ‰‚‡ сим‚ол‡ — шест퇉ц‡теичное пе‰ст‡‚ление б‡йт‡. Н‡ исунке 16.26 пок‡з‡н пиме. 533

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 16.16. Т‡блиц‡ ко‰иниfl Radix-64

Рис. 16.26. О„‡ниченн‡fl печ‡тн‡fl сток‡ (Quoted printable)

Рис. 16.25. Пеоб‡зние Radix-64 Content-Id (Со‰еж‡ние-Id) Этот 燄оло‚ок уник‡льно и‰ентифициует целое сообщение се‰и мно„их сообщений Content-Id : id = (со‰еж‡ние id) Content-Description (Со‰еж‡ние-Опис‡ние) Этот 燄оло‚ок опе‰елflет, fl‚лflетсfl ли блок инфом‡ции непижным изоб‡жением, ‡у‰ио или ‚и‰ео. Content – Description : <опис‡ние> 534

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

S/MIME S/MIME ‰оᇂлflет некотоые но‚ые типы 燄оло‚ко‚-со‰еж‡ниfl, чтобы ‚ключить службы безоп‡сности ‚ MIME. Все эти но‚ые типы ‚ключ‡ют п‡‡мет «application/pkcsP-mime», ‚ котоом «pkcs (Public Key Cryptography Specification)» опе‰елflет «Специфик‡цию кипто„‡фии откыто„о ключ‡». Синт‡ксис кипто„‡фическо„о сообщениfl Чтобы опе‰елflть услу„и безоп‡сности, т‡кие к‡к конфи‰енци‡льность или целостность, можно ‰оᇂить к тип‡м со‰еж‡ниfl MIME, S/MIME опе‰елитель кипто„‡фический синт‡ксис сообщениfl (СМS —Cryptographic Message Syntax). Синт‡ксис ‚ к‡ж‰ом случ‡е опе‰елflет точную схему ко‰иниfl к‡ж‰о„о тип‡ со‰еж‡ниfl. Ниже ‡ссм‡т肇ютсfl типы сообщениfl и ‡зличные по‰типы, котоые мо„ут быть со片ны из этих сообщений. Длfl ‰ет‡льно„о изучениfl можно почит‡ть [RFC3369] и [3370]. Тип со‰еж‡ниfl ‰‡нных — поиз‚ольн‡fl сток‡. Со片нный объект н‡зы‚‡етсfl Д‡нными. Signed — Data Content Type (тип со‰еж‡ниfl — по‰пис‡нные ‰‡нные). Этот тип обеспеч肇ет только целостность ‰‡нных. Он со‰ежит любой тип и нуле‚ое или большее количест‚о по‰писей. Ко‰иуемый езульт‡т — объект, н‡зы‚‡емый signedData. Рисунок 16.27 пок‡зы‚‡ет поцесс со片ниfl объект‡ это„о тип‡. В поцессе используютсfl сле‰ующие ш‡„и.

Рис. 16.27. Со‰еж‡ние тип‡ «по‰пис‡нные ‰‡нные» 535

Кус

Кипто„‡фиfl и безоп‡сность сетей

1. Длfl к‡ж‰о„о по‰писы‚‡юще„о лиц‡ ‰‡й‰жест сообщениfl со片ет 燄оло‚ок-со‰еж‡ние, используfl 燉‡нный ‡л„оитм хэшиниfl, котоый ‚ыби‡етсfl некотоым по‰писы‚‡ющим лицом. 2. К‡ж‰ый ‰‡й‰жест сообщениfl по‰писы‚‡етсfl секетным ключом по‰писы‚‡юще„о лиц‡. 3. Со‰еж‡ние, зн‡чениfl по‰писи и сетифик‡т‡, ‡ т‡кже ‡л„оитмы з‡тем соби‡ютсfl ‰лfl со片ниfl объект‡ signedData. Enveloped — Data Content Type (тип со‰еж‡ниfl — кон‚ет ‰‡нных). Этот тип используетсfl, чтобы обеспечить секетность сообщениfl. Он со‰ежит любой тип от нулfl и ‰‡лее з‡шифнных ключей и сетифик‡то‚. Ко‰иуемый езульт‡т — объект, н‡зы‚‡емый envelopedData. Рисунок 16.28 пок‡зы‚‡ет поцесс со片ниfl объект‡ это„о тип‡.

1. Со片етсfl пс傉ослуч‡йный ключ се‡нс‡ ‰лfl ‡л„оитмо‚ с симметичными ключ‡ми. 2. Длfl к‡ж‰о„о получ‡телfl копиfl ключ‡ се‡нс‡ з‡шифо‚‡н‡ с откытым ключом к‡ж‰о„о получ‡телfl. 3. Со‰еж‡ние з‡шифно, используfl опе‰еленный ‡л„оитм и со片нный ключ се‡нс‡. 4. З‡шифнное со‰еж‡ние, з‡шифнный ключ се‡нс‡. Использнный ‡л„оитм и сетифик‡ты ко‰иуютсfl с пименением RADIX-64. Рис. 16.28. Со‰еж‡ние тип‡ «кон‚ет ‰‡нных»

536

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Рис. 16.29. Со‰еж‡ние тип‡ ‰‡й‰жест ‰‡нных Digest-Data Content Type (Со‰еж‡ние тип‡ «‰‡й‰жест ‰‡нных»). Этот тип пименflетсfl, чтобы обеспечить целостность сообщениfl. Результ‡т обычно используетсfl к‡к со‰еж‡ние тип‡ «кон‚ет ‰‡нных». Ко‰иуемый езульт‡т — объект, н‡зы‚‡емый digestedDate. Рисунок 16.29 пок‡зы‚‡ет поцесс со片ниfl объект‡ это„о тип‡. 1. Д‡й‰жест сообщениfl ‚ычислен н‡ осннии со‰еж‡ниfl. 2. Д‡й‰жест сообщениfl, ‡л„оитм и со‰еж‡ние ‰оᇂлflютсfl ‚месте, чтобы со片ть digestData.

Рис. 16.30. Со‰еж‡ние тип‡ «по‰т‚еж‰ение по‰линности» 537

Кус

Кипто„‡фиfl и безоп‡сность сетей

Encrypted-Data Content Type (Тип со‰еж‡ниfl «з‡шифнные ‰‡нные»). Этот тип пименflетсfl, чтобы со片ть з‡шифнную ‚есию со‰еж‡ниfl любо„о тип‡. Хотfl он похож н‡ тип со‰еж‡ниfl «кон‚ет ‰‡нных», но не имеет инфом‡ции о получ‡теле. Он может использтьсfl, чтобы х‡нить з‡шифнные ‰‡нные, ‚место то„о, чтобы пе則‚‡ть их. Поцесс очень пост: пользтель пименflет любой ключ (ном‡льно, исхо‰fl из п‡олfl) и любой ‡л„оитм, чтобы з‡шифть со‰еж‡ние. З‡шифнное со‰еж‡ние сох‡нflетсfl без з‡писи ключ‡ или ‡л„оитм‡. Со片нный объект н‡зы‚‡етсfl encryptedDuta. Authenticated-Data Content Type (тип со‰еж‡ниfl — по‰т‚еж‰ение по‰линности ‰‡нных). Этот тип используетсfl, чтобы обеспечить уст‡но‚ление по‰линности ‰‡нных. Объект н‡зы‚‡етсfl authenticatedData. Рисунок 16.30 пок‡зы‚‡ет поцесс. 1. С пименением пс傉ослуч‡йно„о „ене‡то‡ ‰лfl к‡ж‰о„о получ‡телfl „енеиуетсfl ключ к, по‰т‚е扇ющий по‰линность сообщениfl (MAC — Message Authentication Code). 2. Ключ к, по‰т‚е扇юще„о по‰линность сообщениfl, з‡шифн откытым ключом получ‡телfl. 3. Ко‰, по‰т‚е扇ющий по‰линность сообщениfl, соз‰‡н ‰лfl со‰еж‡ниfl. 4. Со‰еж‡ние, ко‰, по‰т‚е扇ющий по‰линность сообщениfl, ‡л„оитм и ‰у„ие ‰‡нные соб‡ны ‚месте ‚ фом‡те объект‡ с именем authenticatedData.

Т‡блиц‡ 16.17. Кипто„‡фические ‡л„оитмы ‰лfl S/MIME Ал„оитм

Пе則тчик ‰олжен пеж肇ть Triple DES

Ал„оитм з‡шифнно„о со‰еж‡ниfl Ал„оитм RSA шифниfl ключ‡ се‡нс‡ Хэш-‡л„оитм SHA-1 Ал„оитм DSS шифниfl ‰‡й‰жест‡ Ал„оитм опе‰елениfl по‰линности

Пиемник Пе則тчик ‰олжен может пеж肇ть пеж肇ть Triple DES

RSA

SHA-1 DSS

Пиемник может пеж肇ть l. AES 2. RC2/40

Diffie-Hellman Diffie-Hellman (Диффи(ДиффиХеллм‡н) Хеллм‡н) MD5 RSA RSA

HMAC с SHA-1

Уп‡‚ление ключ‡ми Уп‡‚ление ключ‡ми ‚ S/MIME — это комбин‡циfl уп‡‚лениfl ключ‡ми, используемо„о ‚ X.509 и PGP. S/MIME использует сетифик‡т откыто„о ключ‡, котоый по‰пис‡н у‰осто‚еflющей ‡‰минист‡цией, опе‰еленной X.509. О‰н‡ко пользтель несет от‚етст‚енность по пежке сети ‰о‚еиfl ‰лfl по‚еки по‰писи, к‡к это опе‰елено PGP. 538

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

Кипто„‡фические ‡л„оитмы S/MIME опе‰елflет несколько кипто„‡фических ‡л„оитмо‚, к‡к это пок‡з‡но ‚ т‡блице 16.17. Темин «‰олжен» озн‡ч‡ет ‡бсолютное тебние; темин «может» озн‡ч‡ет екоме퉇цию. Ниже пок‡з‡н пиме кон‚ет‡ ‰‡нных, ‚ котоом м‡ленькое сообщение з‡шифно с использнием техк‡тно„о DES. Content-Type: application/pkcs7-imme; mime-type=enveloped-data Content-Transfer-Encoding: Radix-64 Content-Description: attachment Name= “report.txt”; cb32ut67f4bhijHU21oi87eryb0287hmnklsgFDoY8bc659GhIGfH6543mhjkdsaH 23YjBnmNybmlkzjhgfdyhGe23Kjk34XiuD678Esl6se09jy76jHuytTMDcbnmlkjg fFdiuyu67.S543mOn3tiG34un12P2454Hoi87e2rybOH2MjN6KuyrlsgFDoY897f k923jljk1301 XiuD6gh78EsUyT23y

Пиложениfl S/MIME Пе‰по뇄‡етсfl, что S/MIME бу‰ет ‚ыб‡н помышленностью ‰лfl обеспечениfl безоп‡сности коммеческой электонной почты.

16.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце кни„и.

Кни„и Электонн‡fl почт‡ ‡ссм‡т肇етсfl ‚ [For06] и [For07]. PGP ‡ссм‡т肇етсfl ‚ [Sta06], [KPS02J] и [Rhe03]. S/MIME ‡ссм‡т肇етсfl ‚ [Sta06] и [lRhe03].

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http://axion.physics.ubc.ca/pgp-begin.html csrc.nist.gov/publications/nistpubs/800-49/sp800-49.pdf www.faqs.org/rfcs/rfc2632.html

16.5. Ито„и • Поскольку пи использнии электонной почто‚ой с‚flзи отсутст‚ует се‡нс, пе則тчик сообщениfl ‰олжен ‚ключить ‚ сообщение н‡з‚‡ниfl или 539

Кус

Кипто„‡фиfl и безоп‡сность сетей

и‰ентифик‡тоы ‡л„оитмо‚, используемых ‚ электонной почте. В электонной почте шифние/‰ешифние ‰ел‡етсfl пи помощи ‡л„оитм‡ с симметичными ключ‡ми, но пи этом ключ з‡секеч肇ниfl ‰лfl ‡сшифо‚ки сообщениfl з‡шифн откытым ключом пиемник‡ и пе則етсfl с сообщением. • Пе‚ый потокол, ‡ссмотенный ‚ этой лекции, н‡зы‚‡етсfl «Очень хоошей конфи‰енци‡льностью» (PGP). Он был изобетен Филом Циммем‡ном ‰лfl обеспечениfl электонной почты услу„‡ми секетности, целостности и уст‡но‚лениfl по‰линности. PGP может использтьсfl ‰лfl то„о, чтобы со片ть безоп‡сное почто‚ое сообщение или 퇉ежно х‡нить ф‡йл ‰лfl бу‰уще„о чтениfl. • В PGP Алис‡ ну扇етсfl ‚ кольце откытых ключей ‰лfl к‡ж‰о„о чело‚ек‡, с котоым он‡ пееписы‚‡етсfl. Он‡ т‡кже ну扇етсfl ‚ кольце пи퇉леж‡щих ей ч‡стных/откытых ключей. • В PGP не нужны Центы Сетифик‡ции; любой ‚ кольце может по‰пис‡ть сетифик‡т ‰лfl ко„о-либо еще ‚ этом кольце. В PGP нет ие‡хии ‰о‚еиfl; нет ‰е傇 ие‡хии. Может быть мно„о путей от ‡‰минист‡ции, котоой полностью или ч‡стично ‰о‚еflют, к любому объекту. • Р‡бот‡ PGP б‡зиуетсfl н‡ ‰о‚еии поучителfl, уо‚не ‰о‚еиfl и з‡конности откытых ключей. PGP о„‡низует сеть ‰о‚еиfl меж‰у „упп‡ми лю‰ей. • PGP опе‰елил несколько типо‚ п‡кето‚: лите‡льных ‰‡нных, сж‡тый п‡кет ‰‡нных, п‡кет ‰‡нных, з‡шифнный ключом з‡секеч肇ниfl, п‡кет по‰писи, п‡кет ключ‡ се‡нс‡, з‡шифнный откытым ключом, п‡кет откыто„о ключ‡ и пользтельский ID п‡кет‡. • В PGP мы имеем несколько типо‚ сообщений: з‡шифнное сообщение, по‰пис‡нное сообщение и сообщение сетифик‡т‡. • Ду„‡fl служб‡ безоп‡сности, ‡з‡бот‡нн‡fl ‰лfl электонной почты: • Безоп‡сное/Мно„оцеле‚ое ‡сшиение Интенет-почты (S/MIME). Потокол мно„оцеле‚о„о ‡сшиениfl Интенет-почты (MIME) — это потокол, котоый fl‚лflетсfl ‰ополнительным потоколом и поз‚олflет не-ASCII ‰‡нные посыл‡ть чеез электонную почту. По отношению к MIME S/MIME ‰ополнflетсfl некотоыми но‚ыми тип‡ми со‰еж‡ниfl ‰лfl обеспечениfl службы безоп‡сности. • Кипто„‡фический синт‡ксис сообщениfl (CMS) опе‰елflет несколько типо‚ сообщений — они со片ютсfl н‡ осно‚е но‚ых типо‚ со‰еж‡ниfl, котоые ‰оᇂлflютсfl к MIME. В этой лекции упомин‡лись несколько типо‚ сообщениfl, т‡ких к‡к: тип со‰еж‡ниfl ‰‡нных, тип со‰еж‡ниfl по‰пис‡нных ‰‡нных, тип со‰еж‡ниfl кон‚ет‡ ‰‡нных, тип со‰еж‡ниfl ‰‡й‰жест‡ ‰‡нных, тип со‰еж‡ниfl з‡шифнных ‰‡нных и тип со‰еж‡ниfl ‰‡нных, по‰т‚е扇ющих по‰линность. • Уп‡‚ление ключ‡ми ‚ S/MIME — это комбин‡циfl уп‡‚лениfl ключ‡ми, используем‡fl X.509 и PGP. S/MIME использует откытый ключ, по‰пис‡нный у‰осто‚еflющей ‡‰минист‡цией.

540

Лекциfl 16

Безоп‡сность н‡ пик뇉ном уо‚не: PGP И S/MIME

16.6. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Объflсните, к‡к Боб, к‡ он получ‡ет PGP-сообщение от Алисы, узн‡ет, к‡кие кипто„‡фические ‡л„оитмы он‡ использл‡. 2. Объflсните, к‡к Боб узн‡ет, к‡кой кипто„‡фический ‡л„оитм Алис‡ использл‡, к‡ получ‡ет S/MIME-сообщение от нее. 3. Объflсните, к‡к Боб и Алис‡ ‚ PGP обмен肇ютсfl секетным ключом шифниfl сообщений. 4. Объflсните, к‡к Боб и Алис‡ обмен肇ютсfl секетным ключом шифниfl сообщений. 5. С‡‚нить схо‰ст‚о и ‡зличиfl сетифик‡то‚ ‚ PGP и S/MIME. Объflсните сеть ‰о‚еиfl, кото‡fl пименflетсfl ‰лfl сетифик‡ции ‚ PGP и ‚ S/MIME. 6. Н‡зо‚ите семь типо‚ п‡кето‚, используемых ‚ PGP, и объflсните их цели. 7. Н‡зо‚ите ти тип‡ сообщений ‚ PGP и объflсните их цели. 8. Н‡зо‚ите ‚се типы со‰еж‡ниfl, опе‰еленные CMD, и их цели. 9. С‡‚ните со‚ениfl и отличиfl уп‡‚ление ключ‡ми ‚ PGP и S/MIME.

Уп‡жнениfl 1. Боб получ‡ет PGP-сообщение. К‡к он может узн‡ть тип п‡кет‡, если зн‡чение метки: ‡. 8 б. 9 ‚2 2. В PGP ‚ почто‚ом сообщении можно использть ‰‚‡ ‡зличных ‡л„оитм‡ откыто„о ключ‡ ‰лfl шифниfl и по‰писи. К‡к это опе‰елflетсfl ‚ сообщении, пе則‚‡емом от Алисы к Бобу? 3. От‚етьте н‡ сле‰ующие ‚опосы о зн‡чениflх метки ‚ PGP. ‡. Может ли п‡кет со зн‡чением метки 1 со‰еж‡ть ‰у„ой п‡кет? б. Может ли п‡кет со зн‡чением метки 6 со‰еж‡ть ‰у„ой п‡кет? 4. К‡кие типы п‡кето‚ нужно пе則ть ‚ PGP, чтобы обеспечить сле‰ующие услу„и безоп‡сности: ‡. Конфи‰енци‡льность б. Целостность сообщениfl ‚. Опе‰еление по‰линности „. Исключение отк‡з‡ от ф‡кт‡ пинflтиfl сообщениfl ‰. Комбин‡циfl ‡ и б е. Комбин‡циfl ‡ и ‚ ж. Комбин‡циfl ‡, б и ‚ з. Комбин‡циfl ‡, б, ‚ и „. 5. К‡кой тип со‰еж‡ниfl ‚ S/MIME обеспеч肇ет сле‰ующие услу„и безоп‡сности: ‡. конфи‰енци‡льность б. целостность сообщениfl ‚. уст‡но‚ление по‰линности „. исключение отк‡з‡ от ф‡кт‡ пинflтиfl сообщениfl 541

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лекциfl 17. Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Обсу‰ить потебности ‚ услу„‡х безоп‡сности н‡ т‡нспотном уо‚не мо‰ели Интенет. • Обсу‰ить общую ‡хитектуу SSL. • Обсу‰ить общую ‡хитектуу TLS. • С‡‚нить и пок‡з‡ть отличиfl SSL и TLS. Безоп‡сность т‡нспотно„о уо‚нfl обеспеч肇ет услу„и безоп‡сности «из конц‡ ‚ конец» ‰лfl пиложений, котоые используют потоколы т‡нспотно„о уо‚нfl, т‡кие к‡к TCP. Осно‚ные и‰еи пе‰н‡зн‡чены ‰лfl то„о, чтобы обеспечить услу„и безоп‡сности н‡ сети Интенет. Н‡пиме, к‡ ‚ сети имеютсfl инте‡кти‚но ‡бот‡ющие онл‡йн(online)-쇄‡зины, то жел‡тельны сле‰ующие услу„и безоп‡сности: 1. Клиент ‰олжен убе‰итьсfl, что се‚е пи퇉лежит ф‡ктическому п‚цу, ‡ не с‡мо炇нцу. Клиент не хочет сообщ‡ть с‡мо炇нцу номе ке‰итной к‡точки (уст‡но‚ление по‰линности объект‡). 2. Клиент и п‚ец ‰олжны быть убеж‰ены, что со‰еж‡ние сообщениfl не изменено ‚ течение пе則чи (целостность сообщениfl). 3. Клиент и п‚ец ‰олжны быть убеж‰ены, что с‡мо炇нец не пеех‚‡тит чу‚ст‚ительную инфом‡цию, т‡кую к‡к номе ке‰итной к‡точки (конфи‰енци‡льность). Се„о‰нfl пименflютсfl ‚ осно‚ном ‰‚‡ потокол‡ обеспечениfl безоп‡сности н‡ т‡нспотном уо‚не: Потокол «Уо‚ень безоп‡сных озеток» (SSL — Secure Socket Layer) и Потокол Безоп‡сности Т‡нспотно„о уо‚нfl (TLS — Transport Layer Security). Мы сн‡ч‡л‡ обсу‰им SSL, з‡тем TLS, ‡ потом их с‡‚ним и пок‡жем их отличиfl ‰у„ от ‰у„‡. Рисунок 17.1 пок‡зы‚‡ет место SSL и TLS ‚ мо‰ели Интенет (мо‰ель потоколо‚ TCP/IP).

Рис. 17.1. Место SSL и TSL ‚ мо‰ели Интенет О‰н‡ из целей этих потоколо‚ состоит ‚ том, чтобы обеспечить се‚е и клиент‡ услу„‡ми уст‡но‚лениfl по‰линности, конфи‰енци‡льности и целост542

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

ности ‰‡нных. Пик뇉ной уо‚ень по„‡мм клиент-се‚е (client-server), т‡ких к‡к Язык пе則чи „ипетекст‡ (HTTP), котоый использует услу„и TCP, может инк‡псулить с‚ои ‰‡нные ‚ п‡кеты SSL. Если се‚е и клиент со„л‡сны с функциониующими по„‡мм‡ми SSL (или TLS), то клиент может использть URL https: // ... ‚место http:// ..., ‰лfl то„о чтобы ‡зешить сообщениflм HTTP инк‡псулитьсfl ‚ п‡кеты SSL (или TLS). Н‡пиме, номе‡ ке‰итной к‡точки мо„ут быть безоп‡сно пе則ны чеез Интенет ‰лfl онл‡йн-покуп‡телей.

17.1. SSL-‡хитекту‡ SSL ‡з‡бот‡н, чтобы обеспечить безоп‡сность и услу„и сж‡тиfl ‰‡нным, с„енеинным пик뇉ным уо‚нем. К‡к п‡‚ило, SSL может получить ‰‡нные от любо„о потокол‡ пик뇉но„о уо‚нfl, но обычно он получ‡ет их от потокол‡ HTTP. Д‡нные, полученные от пиложениfl, сж‡ты (‰ополнительно), по‰пис‡ны и з‡шифны, ‡ з‡тем их пе則ют к потоколу т‡нспотно„о уо‚нfl, т‡кому к‡к TCP. Фим‡ Netscape ‡з‡бот‡л‡ SSL ‚ 1994 „о‰у . Весии 2 и 3 были ‚ыпущены ‚ 1995 „о‰у. В этой лекции мы ‡ссмотим только SSL V. 3.

Услу„и SSL обеспеч肇ет несколько услу„ ‰лfl ‰‡нных, полученных от пик뇉но„о уо‚нfl. Ф‡„мент‡циfl Сн‡ч‡л‡ SSL ‰елит ‰‡нные н‡ блоки 214 б‡йто‚ или меньше. Сж‡тие К‡ж‰ый ф‡„мент ‰‡нных сж‡т с пименением о‰но„о из мето‰о‚ сж‡тиfl без потеи мето‰ом, со„л‡снным по ‰о„о‚оу меж‰у клиентом и се‚еом. Эт‡ услу„‡ fl‚лflетсfl ‰ополнительной. Целостность сообщениfl Чтобы сох‡нflть целостность ‰‡нных, SSL использует ключе‚ую хэш-функцию ‰лfl со片ниfl к по‚еки по‰линности (MAC). Конфи‰енци‡льность Чтобы обеспечить конфи‰енци‡льность, пе‚он‡ч‡льные ‰‡нные и ко‰ по‚еки по‰линности (MAC) з‡шифны, с пименением кипто„‡фии с симметичными ключ‡ми. О„‡низ‡циfl ꇉ‡ К з‡шифнной полезной 퇄узке ‰оᇂлflетсfl 燄оло‚ок. Полезную 퇄узку з‡тем пе則ют ‰осто‚еному потоколу т‡нспотно„о уо‚нfl. 543

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ал„оитмы смены ключей К‡к мы у‚и‰им поз‰нее, ‰лfl обмен‡ по‰линными и конфи‰енци‡льными сообщениflми клиенту и се‚еу нужны шесть кипто„‡фических объекто‚ секетности (четые ключ‡ и ‰‚‡ ‚екто‡ иници‡лиз‡ции). О‰н‡ко чтобы со片ть их, меж‰у этими ‰‚умfl стоон‡ми ‰олжен быть уст‡но‚лен о‰ин п剂‡ительный „л‡‚ный секетный ко‰ (pre-master secret). SSL опе‰елflет шесть мето‰о‚ обмен‡ ключ‡ми, чтобы уст‡но‚ить этот п剂‡ительный объект секетности: NULL, RSA, ‡нонимный Диффи-Хеллм‡н (Diffie-Hellman), к‡тко‚еменный Диффи-Хеллм‡н, фиксинный Диффи-Хеллм‡н и Fortezza, к‡к это пок‡з‡но н‡ ис. 17.2.

Рис. 17.2. Мето‰ы з‡мены ключей NULL (Пустой ук‡з‡тель) В этом мето‰е нет ник‡кой смены ключей. Меж‰у клиентом и се‚еом не уст‡но‚лен п剂‡ительный „л‡‚ный секетный ко‰. И клиент и се‚е ‰олжны зн‡ть зн‡чение п剂‡ительно„о „л‡‚но„о секетно„о к. RSA В этом мето‰е п剂‡ительный „л‡‚ный секетный ко‰ — 48-б‡йто‚ое случ‡йное число, со片нное клиентом, з‡шифнное откытым ключом RSА-се‚е‡ и пе則‚‡емое се‚еу. Се‚е ‰олжен пе則ть с‚ой сетифик‡т шифниfl/‰ешифниfl RSA. Рисунок 17.3 иллюстиует и‰ею.

Рис. 17.3. RSA-смен‡ ключ‡; откытый ключ се‚е‡ 544

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Анонимный потокол Диффи-Хеллм‡н‡ Это с‡мый постой и н‡иболее не퇉ежный мето‰. П剂‡ительный „л‡‚ный секетный ко‰ уст‡н‡‚л肇ют меж‰у клиентом и се‚еом, используfl потокол Диффи-Хеллм‡н‡. Пи этом пе則ют поло‚ину ключ‡ ‚ исхо‰ном тексте — это н‡зы‚‡етсfl ‡нонимным потоколом Диффи-Хеллм‡н‡, потому что ни о‰н‡ стоон‡ не из‚естн‡ ‰у„ой. К‡к мы уже обсу扇ли, с‡мый сеьезный не‰ост‡ток это„о мет — ‚озможность ‡т‡ки «посе‰ниꇻ. Рисунок 17.4 иллюстиует и‰ею ‡нонимно„о мет.

Рис. 17.4. Анонимный потокол Диффи-Хеллм‡н‡ смены ключей К‡тко‚еменный мето‰ Диффи-Хеллм‡н‡ Чтобы со‚‡ть ‡т‡ку «посе‰ниꇻ, может быть пименен‡ к‡тко‚еменн‡fl смен‡ ключей мето‰ом Диффи-Хеллм‡н‡. ʇ扇fl стоон‡ пе則ет ключ ДиффиХеллм‡н‡, по‰пис‡нный с‚оим секетным ключом. Н‡ пиемной стооне ‰олжны по‚еить по‰пись, используfl откытый ключ пе則тчик‡. Обмен откытыми ключ‡ми ‰лfl по‚еки использует либо RSA-, либо DSS-сетифик‡т цифо‚ой по‰писи. Рисунок 17.5 иллюстиует и‰ею.

Рис. 17.5. К‡тко‚еменный потокол Диффи-Хеллм‡н‡ смены ключей 545

Кус

Кипто„‡фиfl и безоп‡сность сетей

Фиксинный мето‰ Диффи-Хеллм‡н‡ Ду„ое ешение — фиксинный мето‰ Диффи-Хеллм‡н‡. Все объекты ‚ „уппе мо„ут пото‚ить фиксинные п‡‡меты (g и p). З‡тем к‡ж‰ый объект может со片ть фиксинную поло‚ину ключ‡ (gx). Длfl ‰ополнительной безоп‡сности к‡ж‰‡fl от‰ельн‡fl поло‚ин‡ ключ‡ Диффи-Хеллм‡н‡ ‚ст‡‚лflетсfl ‚ сетифик‡т, по‚еенный центом сетифик‡ции (CA). Ду„ими слми, ‰‚е стооны от‰ельно не обмен肇ютсfl полуключ‡ми; CA пе則ет полуключи ‚ специ‡льном сетифик‡те RSA или DSS. К‡ клиент ‰олжен ‚ычислить п剂‡ительный „л‡‚ный секетный ко‰, он использует с‚ой собст‚енный фиксинный полуключ и полуключ се‚е‡, полученный ‚ сетифик‡те. Се‚е ‰ел‡ет то же с‡мое, но ‚ об‡тном поfl‰ке. Об‡тите ‚ним‡ние, что ‚ этом мето‰е не пе則ютсfl сообщениfl смены ключей, ‡ поисхо‰ит только обмен сетифик‡т‡ми. Fortezza Fortezza (об‡зн из ит‡льflнско„о сл «кепость») — з‡е„истинн‡fl то„fl м‡к‡ ‡меик‡нско„о А„ентст‚‡ Н‡цион‡льной безоп‡сности (NSA — National Security Agency). Это семейст‚о потоколо‚ безоп‡сности, ‡з‡бот‡нных ‰лfl От‰ел‡ З‡щиты. Мы з‰есь не обсу扇ем Fortezza из-з‡ е„о сложности.

Ал„оитмы шифниfl/‰ешифниfl Есть несколько ‚озможностей ‚ыбо‡ ‡л„оитм‡ шифниfl/‰ешифниfl. Мы можем ‡з‰елить ‡л„оитмы н‡ 6 „упп, к‡к это пок‡з‡но н‡ ис. 17.6. Все потоколы блок‡ используют 8-б‡йто‚ый ‚екто иници‡лиз‡ции (IV), коме Fortezza, котоый пименflет 20 б‡йто‚ IV.

Рис. 17.6. Ал„оитмы шифниfl/‰ешифниfl NULL NULL — к‡те„оиfl, кото‡fl посто опе‰елflет отсутст‚ие ‡л„оитм‡ шиф‡ции/‰ешиф‡ции. Блок RC В блочном ежиме RC опе‰елены ‰‚‡ поток‡ ‡л„оитм‡: RC4-40 (ключ н‡ 40 бито‚) и RC4-128 (ключ н‡ 128 бито‚). Блок RS В блочном ежиме RC опе‰елен о‰ин ‡л„оитм: RC2_CBC_40 (ключ н‡ 40 бито‚). CBC (Cipher Block Chaining) — сцепление шифнных блоко‚. 546

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

DES Все ‡л„оитмы DES опе‰елены ‚ блочном ежиме. DES40_CBC использует ключ н‡ 40 бито‚. Ст‡н‰‡тные DES опе‰елены к‡к DES_CBC. 3DES_EDE_CBC используют ключ н‡ 168 бито‚. IDEA В блочном ежиме IDEA опе‰елен о‰ин ‡л„оитм — IDEA_CBC, с ключом н‡ 128 бито‚. Fortezza В блочном ежиме Fortezza опе‰елен о‰ин ‡л„оитм — FORTEZZA_CBC, с ключом н‡ 96 бит.

Ал„оитмы хэшиниfl SSL пименflет ‡л„оитмы хэшиниfl, чтобы обеспечить целостность сообщениfl (уст‡но‚ление по‰линности сообщениfl). Имеютсfl хэш-функции, пок‡з‡нные н‡ ис. 17.7.

Рис. 17.7. Null (Пустой ук‡з‡тель) Д‚е стооны мо„ут отк‡з‡тьсfl использть ‡л„оитм хэшиниfl. В этом случ‡е сообщение не 燂еено. MD5 Д‚е стооны мо„ут ‚ыб‡ть MD5 к‡к ‡л„оитм хэшиниfl. В этом случ‡е пименflетсfl ‡л„оитм хэшиниfl MD5 — 128-бито‚ый. SHA-1 Д‚е стооны мо„ут ‚ыб‡ть SHA к‡к ‡л„оитм хэшиниfl. В этом случ‡е используетсfl ‡л„оитм хэшиниfl SHA-1 н‡ 160 бито‚.

Н‡бо шифо‚ Комбин‡циfl смены ключей, хэшиниfl и ‡л„оитмо‚ шифниfl опе‰елflет н‡бо шифо‚ ‰лfl к‡ж‰о„о се‡нс‡ SSL. Т‡блиц‡ 17.1 пок‡зы‚‡ет н‡боы, пименflемые ‚ Сое‰иненных Шт‡т‡х. Мы не ‚ключили н‡боы, котоые используютсfl ‰лfl экспот‡. Об‡тите ‚ним‡ние, что ‚ списке н‡хо‰flтсfl не ‚се комбин‡ции смены ключей, целостности сообщениfl и уст‡но‚лениfl по‰линности сообщениfl. 547

Кус

Кипто„‡фиfl и безоп‡сность сетей

К‡ж‰ый н‡бо н‡чин‡етсfl темином «SSL», сопо‚о扇емым ‡л„оитмом смены ключей. Сло‚о «WITH» от‰елflет ‡л„оитм смены ключей от ‡л„оитмо‚ шифниfl и хэшиниfl. Н‡пиме, SSL_DHE_RSA_WITH_DES_CBC_SHA опе‰елflет DHE_RSA (к‡тко‚еменный мето‰ Диффи-Хеллм‡н‡ (DiffieHellman ephemeral)) с цифо‚ой по‰писью RSА ‰лfl смены ключей, DES_CBC — ‚ к‡чест‚е ‡л„оитм‡ шифниfl и SHA — к‡к ‡л„оитм хэшиниfl. Об‡тите ‚ним‡ние, что сок‡щениfl DH (Diffie-Hellman) — это фиксинный мето‰ Диффи-Хеллм‡н‡, DHE (Diffie-Hellman Ephemeral) — это к‡тко‚еменный мето‰ Диффи-Хеллм‡н‡ и DH-anon (anonymous Diffie-Hellman) — это ‡нонимный мето‰ Диффи-Хеллм‡н‡. Т‡блиц‡ 17.1. Список н‡бо‡ шифо‚ SSL Н‡бо шифо‚ SSL-NULL-WITH-NULL- NULL SSL_RSA_WITH_NULL_MD5 SSL_RSA_WITH_NULL_SHA SSL_RSA_WITH_RC4_128_MD5 SSL_RSA_WITH_RC4_128_SHA SSL_RSA_WITH_IDEA_CBC_SHA SSL_RSA_WITH_DES_CBC_SHA SSL RSA WITH 3DES EDE CBC SHA SSL_DH_anon_WITH_RC4_128_MD5 SSL_DH_anon_WITH_DES_CBC_SHA SSL_DH_anon_WITH_3DES_EDE_ CBC SHA SSL_DHE_RSA_WITH_DES_CBC_SHA SSL_DHE_RSA_WITH_3DES_ EDE CBC SHA SSL_DHE_DSS_WITH_DES_CBC_SHA SSL_DHE_DSS_WITH_3DES_EDE_ CBC_SHA SSL_DH_RSA_WITH_DES_CBC_SHA SSL_DH_RSA_WITH_3DES_EDE_CBC_SHA SSL_DH_DSS_WITH_DES_CBC_SHA SSL_DH_DSS_WITH_3DES_EDE_CBC_SHA SSL_FORTEZZA_DMS_WITH_NULL_SHA SSL_FORTEZZA_DMS_WITH_FORTEZZA_ CBC_SHA SSL_FORTEZZA_DMS_WITH_RC4_ 128_SHA 548

Смен‡ ключей NULL RSA RSA RSA RSA RSA RSA RSA DH anon DH anon DH anon

Шифние Хэш NULL NULL NULL RC4 RC4 IDEA DES 3DES RC4 DES 3DES

NULL MD5 SHA-1 MD5 SHA-1 SHA-1 SHA-1 SHA-1 MD5 SHA-1 SHA-1

DHE RSA DES DHE RSA 3DES

SHA-1 SHA-1

DHE DSS DES DHE DSS 3DES

SHA-1 SHA-1

DH RSA DH RSA DH DSS DH DSS Fortezza Fortezza

DES 3DES DES 3DES NULL Fortezza

SHA-1 SHA-1 SHA-1 SHA-1 SHA-1 SHA-1

Fortezza

RC4

SHA-1

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Ал„оитмы сж‡тиfl К‡к мы уже „о‚оили, сж‡тие fl‚лflетсfl ‰ополнительной услу„ой ‚ SSLv3. Длfl SSLv3 не опе‰елен ‡л„оитм сж‡тиfl. Поэтому 燉‡нным по умолч‡нию мето‰ом сж‡тиfl служит NULL. О‰н‡ко систем‡ может использть любой ‡л„оитм сж‡тиfl по ‚ыбоу стоон.

Генеиние кипто„‡фических п‡‡мето‚ Чтобы обеспечить целостность и конфи‰енци‡льность сообщениfl, ‚ SSL необхо‰имо иметь: шесть кипто„‡фических объекто‚ секетности, четые ключ‡ и ‰‚‡ иници‡лизиующих ‚екто‡ (IV). Клиенту нужно: о‰ин ключ ‰лfl пе則чи сообщениfl уст‡но‚лениfl по‰линности (HMAC — HASH-BASED MESSAGE AUTHENTICATION CODE), о‰ин ключ ‰лfl шифниfl и о‰ин IV ‰лfl шифниfl блок‡. Се‚е ну扇етсfl ‚ том же с‡мом. SSL тебует, чтобы ключи ‰лfl о‰но„о н‡п‡‚лениfl отлич‡лись от ключей ‰лfl ‰у„о„о н‡п‡‚лениfl. Если бу‰ет ‡т‡к‡ ‚ о‰ном н‡п‡‚лении, он‡ не з‡тонет ‰у„ое н‡п‡‚ление. Длfl „ене‡ции п‡‡мето‚ используют сле‰ующую поце‰уу. 1. Клиент и се‚е обмен肇ютсfl ‰‚умfl случ‡йными числ‡ми, о‰но из котоых со片но клиентом, ‡ ‰у„ое — се‚еом. 2. Клиент и се‚е обмен肇ютсfl о‰ним п剂‡ительным „л‡‚ным секетным ко‰ом, используfl о‰ин из ‡л„оитмо‚ смены ключей, котоые мы обсу扇ли ‡ньше. 3. Со片етсfl 48-б‡йто‚ый „л‡‚ный секетный ко‰ (master secret) из п剂‡ительно„о „л‡‚но„о секетно„о к (pre-master secret), с пименением хэшфункций (SHA-1 и MD5), к‡к это пок‡з‡но н‡ ис. 17.8.

Рис. 17.8 Вычисление „л‡‚но„о секетно„о к из п剂‡ительно„о „л‡‚но„о секетно„о к 549

Кус

Кипто„‡фиfl и безоп‡сность сетей

4. Г뇂ный секетный ко‰ используетсfl ‰лfl то„о, чтобы со片ть м‡теи‡л ‰лfl ключей (key material), котоый имеет пееменную ‰лину. Длfl это„о пименflют то же с‡мое множест‚о хэш-функций, что и ‚ пе‰ы‰ущем случ‡е, и по‰ст‡‚лflют спее‰и ‡зличные конст‡нты, к‡к это пок‡з‡но н‡ ис. 17.9. Ал„оитм по‚тоflетсfl, пок‡ не получитсfl м‡теи‡л ‰лfl ключ‡ ‡‰еꂇтно„о ‡зме‡. Об‡тите ‚ним‡ние, что ‰лин‡ блок‡ м‡теи‡л‡ ‰лfl ключей 燂исит от ‚ыб‡нно„о н‡бо‡ шиф‡ и ‡зме‡ ключей, необхо‰имых ‰лfl это„о н‡бо‡.

Рис. 17.9 Вычисление м‡ти‡л‡ ‰лfl ключей из „л‡‚но„о секетно„о к 5. Из м‡теи‡л‡ ‰лfl ключей из‚лек‡ютсfl шесть ‡зличных ключей, к‡к пок‡з‡но н‡ ис. 17.10.

Се‡нсы и сое‰инение SSL отлич‡ет сое‰инение от се‡нс‡. Д‡‚‡йте ‡ссмотим эти ‰‚‡ темин‡. Се‡нс — с‚flзь меж‰у клиентом и се‚еом. После то„о к‡к се‡нс уст‡но‚лен, эти ‰‚е стооны имеют общую инфом‡цию, т‡кую к‡к и‰ентифик‡то се‡нс‡, сетифик‡т, по‰т‚е扇ющий по‰линность к‡ж‰о„о из них (‚ случ‡е необхо‰имости), мето‰ сж‡тиfl (если необхо‰имо), н‡бо шифо‚ и „л‡‚ный секетный ко‰. Эт‡ инфом‡циfl используетсfl ‰лfl то„о, чтобы со片ть ключи ‰лfl сообщениfl, со‰еж‡ще„о шиф уст‡но‚лениfl по‰линности. Длfl ‰‚ух объекто‚, чтобы н‡ч‡ть обмен ‰‡нными, уст‡но‚ление се‡нс‡ необхо‰имо, но не ‰ост‡точно; они ‰олжны со片ть меж‰у собой сое‰инение. Д‚‡ объ550

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Рис. 17.10 Из‚лечение кипто„‡фических секетных ко‰о‚ из м‡теи‡л‡ ‰лfl ключей ект‡ обмен肇ютсfl ‰‚умfl случ‡йными числ‡ми и со片ют, используfl „뇂ный секетный ко‰, ключи и п‡‡меты, необхо‰имые ‰лfl то„о, чтобы обмен肇тьсfl сообщениflми, ‚ключ‡fl уст‡но‚ление по‰линности и секетность. Се‡нс может состоflть из мно„их сое‰инений. Сое‰инение меж‰у ‰‚умfl стоон‡ми может быть з‡кончено и ‚осст‡но‚лено ‚ пе‰ел‡х о‰но„о и то„о же се‡нс‡. К‡ сое‰инение з‡кончено, эти ‰‚е стооны мо„ут т‡кже з‡кончить се‡нс, но это необflз‡тельно. Се‡нс может быть пиост‡но‚лен и по‰олжен сн. Чтобы со片‚‡ть но‚ый се‡нс, эти ‰‚е стооны ‰олжны пойти поцесс пее„о‚оо‚. Чтобы ‚озобно‚лflть ст‡ый се‡нс и со片‚‡ть только но‚ое сое‰инение, эти ‰‚е стооны мо„ут попустить ч‡сть пее„о‚оо‚, что уменьш‡ет ‚емfl ‚хож‰ениfl ‚ с‚flзь. Не 퇉о со片‚‡ть „뇂ный секетный ко‰, к‡ се‡нс по‰олж‡етсfl. Р‡з‰еление се‡нс‡ от сое‰инениfl пе‰от‚‡щ‡ет ‚ысокую стоимость со片ниfl „뇂но„о секетно„о к. Если мы ‡зеш‡ем пиост‡но‚лениfl и по‰олжениfl се‡нс‡, поцесс ‚ычислениfl „뇂но„о секетно„о к может быть уст‡нен. Рисунок 17.11 иллюстиует и‰ею се‡нс‡ и сое‰инениfl ‚ этом се‡нсе.

Рис. 17.11. Се‡нс и сое‰инение 551

Кус

Кипто„‡фиfl и безоп‡сность сетей

В се‡нсе о‰н‡ стоон‡ и„‡ет оль клиент‡ и ‰у„‡fl — оль се‚е‡. Пи сое‰инении обе стооны имеют ‡‚ные оли, они ‡‚ны по уо‚ню.

Состоflние се‡нс‡ Се‡нс опе‰елflетсfl состоflнием се‡нс‡ — это множест‚о п‡‡мето‚, уст‡но‚ленных меж‰у се‚еом и клиентом. Т‡блиц‡ 17.2 пок‡зы‚‡ет список п‡‡мето‚ ‰лfl состоflниfl се‡нс‡. Т‡блиц‡ 17.2. П‡‡меты состоflниfl се‡нс‡ П‡‡меты ID се‡нс‡ Сетифик‡т уо‚нfl Мето‰ сж‡тиfl Н‡бо шифо‚ Г뇂ный секетный ко‰ Возможность по‚тоениfl

Опис‡ние Случ‡йное 8-бито‚ое число, ‚ыб‡нное се‚еом и опе‰елflющее се‡нс Сетифик‡т тип‡ X509 .v.3. Этот п‡‡мет может быть пустым (null) Мето‰ сж‡тиfl Со„л‡снный н‡бо шифо‚ 48-б‡йто‚ый секетный ко‰ Ф뇄 «Д‡, Нет», котоый ‡зеш‡ет но‚ое сое‰инение ‚ ст‡ом се‡нсе

Состоflние сое‰инениfl По‰ключение опе‰елflетсfl состоflнием сое‰инениfl — это множест‚о п‡‡мето‚, уст‡но‚ленных меж‰у ‰‚умfl ‡‚ными по уо‚ню объект‡ми. Т‡блиц‡ 17.3 пок‡зы‚‡ет список п‡‡мето‚ ‰лfl состоflниfl сое‰инениfl. SSL использует ‰‚‡ пизн‡к‡, чтобы отличить кипто„‡фическую секетность: пис‡ть и чит‡ть. Темин пис‡ть опе‰елflет ключ, используемый ‰лfl то„о, чтобы по‰пис‡ть или з‡шифть исхо‰flщее сообщение. Темин чит‡ть опе‰елflет ключ, используемый ‰лfl то„о, чтобы по‰т‚е‰ить или ‡сшифо‚ы‚‡ть пибы‚‡ющие сообщениfl. Об‡тите ‚ним‡ние: пис‡ть-ключ клиент‡ — тот же с‡мый, что и ключ-чит‡ть се‚е‡; ключ-чит‡ть клиент‡ — тот же с‡мый, что и ключ-пис‡ть се‚е‡. Клиент и се‚е имеют шесть ‡зличных кипто„‡фических объект‡: ти объект‡ секетности чит‡ть и ти пис‡ть. Секетность чит‡ть ‰лfl клиент‡ т‡ же с‡м‡fl, что и секетность пис‡ть ‰лfl се‚е‡, и н‡обоот. Т‡блиц‡ 17.3. П‡‡меты состоflниfl сое‰инениfl П‡‡меты Случ‡йные числ‡ клиент‡ и се‚е‡

Опис‡ние После‰о‚‡тельность б‡йто‚, ‚ыб‡нн‡fl ‰лfl к‡ж‰о„о сое‰инениfl се‚еу и клиенту 552

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

З‡пис‡нный се‚еом секетный Ключ к уст‡но‚лениfl по‰линности ко‰ по‰линности сообщениfl сообщениfl исхо‰flще„о се‚е‡ ‰лfl сох‡нениfl целостности сообщениfl.. Используетсfl се‚еом ‰лfl по‰писи, ‡ клиентом ‰лfl ‚еифик‡ции З‡пис‡нный клиентом секетный Ключ к уст‡но‚лениfl по‰линности ко‰ уст‡но‚лениfl по‰линности сообщениfl исхо‰flще„о се‚е‡ ‰лfl сох‡несообщениfl ниfl целостности сообщениfl.. Используетсfl се‚еом ‰лfl по‰писи, ‡ клиентом ‰лfl ‚еифик‡ции Секетный ко‰, з‡пис‡нный Ключ шифниfl исхо‰flще„о се‚е‡ се‚еом ‰лfl сох‡нениfl целостности сообщениfl Секетный ко‰, з‡пис‡нный Ключ шифниfl исхо‰flще„о се‚е‡ клиентом ‰лfl сох‡нениfl целостности сообщениfl Векто иници‡лиз‡ции Блочные шифы ‚ ежиме «цепочки блочных шифо‚» I (CBC) используют ‚ектоы иници‡лиз‡ции. (IV). Длfl к‡ж‰о„о шифльно„о ключ‡ путем пее„о‚оо‚ опе‰елен о‰ин ‚екто иници‡лиз‡ции, котоый используетсfl пе‚ым блоком обмен‡ ключ‡ми. З‡шифнный текст из блок‡ используетсfl к‡к ‚екто иници‡лиз‡ции ( IV) ‰лfl сле‰ующе„о блок‡ Поfl‰ко‚ый номе ʇ扇fl стоон имеет поfl‰ко‚ый номе. Он н‡чин‡етсfl с 0 и у‚елич肇етсfl н‡ 1. Он не ‰олжен быть больше 264 – 1

17.2. Четые потокол‡ Мы обсу‰или и‰ею относительно SSL, не пок‡з‡‚, к‡к SSL ‚ыполнflет с‚ои 燉‡чи. SSL со‰ежит четые потокол‡ н‡ ‰‚ух уо‚нflх, к‡к это изоб‡жено н‡ ис. 17.12. Потокол пе則чи з‡писей — пееносflщий инфом‡цию. Он пееносит н‡ т‡нспотный уо‚ень сообщениfl от тех ‰у„их потоколо‚, ‡ т‡кже ‰‡нные, поступ‡ющие от пик뇉но„о уо‚нfl. Сообщениfl из потокол‡ з‡писей — это полезн‡fl 퇄узк‡ ‰лfl т‡нспотно„о уо‚нfl, обычно TCP. Потокол уст‡но‚лениfl сое‰инениfl обеспеч肇ет п‡‡меты безоп‡сности ‰лfl Потокол‡ з‡писей. Он уст‡н‡‚л肇ет н‡бо шифо‚ и 燉‡ет ключи и п‡‡меты безоп‡сности. Он т‡кже по‰т‚е扇ет, если необхо‰имо, по‰линность се‚е‡ клиенту и по‰линность клиент‡ се‚еу. Потокол изменениfl п‡‡мето‚ шифниfl используетсfl, чтобы пе則‚‡ть си„н‡лы ‰лfl пото‚ки к кипто„‡фической безоп‡сности. А‚‡ийный потокол нужен, чтобы из‚естить о ситу‡циflх, отклонflющихсfl от номы. Все эти потоколы мы к‡тко ‡ссмотим ‚ этой секции. 553

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 17.12. Четые потокол‡ SSL

Потокол уст‡но‚лениfl сое‰инениfl Потокол уст‡но‚лениfl сое‰инениfl используетсfl пи пе則че сообщений, чтобы ‰о„о‚оитьсfl, если это необхо‰имо, о сост‡‚е шифо‚ от се‚е‡ к клиенту и от клиент‡ к се‚еу и обменflтьсfl инфом‡цией ‡‰и обеспечениfl кипто„‡фической безоп‡сности. Поце‰у‡ уст‡но‚лениfl с‚flзи поисхо‰ит ‚ 4 ф‡зы; он‡ поиллюстио‚‡н‡ н‡ ис. 17.13.

Рис. 17.13. Потокол уст‡но‚лениfl сое‰инениfl Ф‡з‡ 1: Уст‡но‚ление х‡‡ктеистик ‰лfl обеспечениfl безоп‡сности В Ф‡зе 1 клиент и се‚е объfl‚лflют с‚ои х‡‡ктеистики безоп‡сности, котоые нужны и у‰обны ‰лfl обоих. В этой ф‡зе уст‡н‡‚л肇етсfl и ‚ыби‡етсfl ID 554

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

се‡нс‡. Стооны со„л‡суют конкетный мето‰ сж‡тиfl. Н‡конец, ‚ыби‡ют ‰‚‡ случ‡йных числ‡: о‰но ‚ыби‡етсfl клиентом и ‰у„ое — се‚еом, чтобы со片ть „뇂ный секетный ко‰. В этой ф‡зе стооны обмен肇ютсfl ‰‚умfl сообщениflми: ClientHello и ServerHello. Рисунок 17.14 со‰ежит ‰ополнительные ‰ет‡ли Ф‡зы 1. ClientHello. Клиент посыл‡ет сообщение. Оно со‰ежит сле‰ующую инфом‡цию. ‡. С‡мый ‚ысокий номе ‚есии SSL, котоую может пеж‡ть клиент. б. 32-б‡йто‚ое случ‡йное число (от клиент‡), котоое бу‰ет использтьсfl ‰лfl „ене‡ции „л‡‚но„о секетно„о к (м‡сте к). ‚. ID се‡нс‡, котоый опе‰елflет се‡нс. „. Н‡бо шифо‚, котоый опе‰елflет список ‡л„оитмо‚, пеж肇емых клиентом. ‰. Список мето‰о‚ сж‡тиfl, котоые клиент может пеж‡ть.

Рис. 17.14. Потокол уст‡но‚лениfl сое‰инениfl, Ф‡з‡ I ServerHello. Се‚е от‚еч‡ет клиенту cсообщением ServerHello, оно со‰ежит: ‡. Номе ‚есии SSL. Это ‰‚‡ номе‡ ‚есии: н‡иболее ‚ысокий номе, пеж肇емый клиентом, и н‡иболее ‚ысокий, пеж肇емый се‚еом. б. 32-б‡йто‚ое случ‡йное число (от се‚е‡), котоое бу‰ет использтьсfl ‰лfl „ене‡ции „л‡‚но„о секетно„о к (м‡сте к). ‚. ID се‡нс‡, котоый опе‰елflет се‡нс. „. Выб‡нный шиф из списк‡ клиент‡. ‰. Выб‡нный мето‰ сж‡тиfl из списк‡ клиент‡. После Ф‡зы 1 клиент и се‚е зн‡ют сле‰ующее: • Весиfl SSL • Ал„оитмы ‰лfl смены ключей, уст‡но‚лениfl по‰линности сообщениfl и шифниfl • Мето‰ сж‡тиfl • Д‚‡ случ‡йных числ‡ ‰лfl „ене‡ции ключей 555

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 17.15. Потокол уст‡но‚лениfl сое‰инениfl, Ф‡з‡ II Ф‡з‡ II: Смен‡ ключей се‚е‡ и уст‡но‚ление е„о по‰линности В ф‡зе II се‚е, если необхо‰имо, по‰т‚е扇ет с‚ою по‰линность. Пе則тчик может пе則ть с‚ой откытый ключ и может т‡кже з‡посить сетифик‡т клиент‡. В конце се‚е объfl‚лflет, что поцесс serverHello окончен. Рисунок 17.15 ‰‡ет ‰ополнительные с‚е‰ениfl о Ф‡зе II. Certificate (сетифик‡т) — если это тебуетсfl, се‚е пе則ет сообщение certificate, чтобы по‰т‚е‰ить с‚ою по‰линность. Сообщение ‚ключ‡ет список сетифик‡то‚ тип‡ X.509. Если ‡л„оитм смены ключей — ‡нонимный ДиффиХеллм‡н (Diffie-Hellman), то сетифик‡т не нужен. ServerKeyExchange. После сообщениfl Certificate се‚е пе則ет сообщение ServerKeyExchange, котоое ‚ключ‡ет ‚ себfl е„о ‚к뇉 ‚ п剂‡ительный „л‡‚ный секетный ко‰. Если мето‰ смены ключей — RSA или мето‰ «фиксинный Диффи-Хеллм‡н», то т‡ко„о сообщение не тебуетсfl. CertificateRequest — се‚е может потебть, чтобы клиент по‰т‚е‰ил с‚ою по‰линность. В этом случ‡е се‚е пе則ет CertificateRequest сообщение ‚ Ф‡зе II, ‚ котоом з‡п‡ш肇ет от клиент‡ по‰т‚еж‰ение ‚ Ф‡зе III. Се‚е не может з‡посить сетифик‡т от клиент‡, если клиент использует мето‰ «‡нонимный Диффи-Хеллм‡н». ServerHelloDone — после‰нее сообщение ‚ Ф‡зе II. Оно fl‚лflетсfl си„н‡лом клиенту, что Ф‡з‡ II з‡кончен‡ и что клиент ‰олжен з‡пустить Ф‡зу III. После Ф‡зы II • Клиенту по‰т‚еж‰ен‡ по‰линность се‚е‡. • Если тебуетсfl, то клиент зн‡ет откытый ключ се‚е‡. 556

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Д‡‚‡йте тщ‡тельно ‡ссмотим уст‡но‚ление по‰линности се‚е‡ и смену ключей ‚ этой ф‡зе. Пе‚ые ‰‚‡ сообщениfl з‰есь б‡зиуютсfl н‡ мето‰е смены ключей. Рисунок 17.16 пок‡зы‚‡ет четые из шести мето‰о‚ обмен‡ ключей, котоые мы обсу扇ли ‡ньше. Мы не ‚ключили Нуле‚ой (NULL) мето‰, потому что ‚ нем нет ник‡ко„о обмен‡. Мы не ‚ключили мето‰ Fortezza, потому что ‚ этой кни„е мы е„о „лубоко не ‡ссм‡т肇ли.

Рис. 17.16. Четые случ‡fl Ф‡зы II • RSA. В этом мето‰е ‚ пе‚ом сообщении се‚е пе則ет сетифик‡т с‚ое„о откыто„о ключ‡ RSА шифниfl/‰ешифниfl. Втоое сообщение, о‰н‡ко, пустое, потому что не с„енеин п剂‡ительный „л‡‚ный секетный ко‰ — он пе則етсfl клиентом ‚ сле‰ующей ф‡зе. Об‡тите ‚ним‡ние, что сетифик‡т откыто„о ключ‡ по‰т‚е扇ет по‰линность се‚е‡ клиенту. К‡ се‚е получ‡ет п剂‡ительный „л‡‚ный секетный ко‰, он ‡сшифо‚ы‚‡ет е„о секетным ключом. В뇉ение секетным ключом ‰лfl се‚е‡ — ‰ок‡з‡тельст‚о, что се‚е — это тот объект, котоый н‡хо‰илсfl ‚ сетифик‡те откыто„о ключ‡, пе則нном ‚ пе‚ом сообщении. • Анонимный DH (DHanonym). В этом мето‰е не тебуетсfl сообщениfl Certificate. Анонимный объект не имеет сетифик‡т‡. В ServerKeyExchange сообщении се‚е пе則ет п‡‡меты мет Диффи-Хеллм‡н‡ и с‚ой полуключ. Об‡тите ‚ним‡ние, что з‰есь се‚е не по‰т‚е扇ет с‚ою по‰линность. • К‡тко‚еменный DH (DHE). В этом мето‰е се‚е пе則ет либо RSA-, либо DSS-сетифик‡т цифо‚ой по‰писи. Секетный ключ, с‚flз‡нный с 557

Кус

Кипто„‡фиfl и безоп‡сность сетей

сетифик‡том, поз‚олflет се‚еу по‰пис‡ть сообщение; откытый ключ поз‚олflет получ‡телю по‚еить по‰пись. Во ‚тоом сообщении се‚е пе則ет п‡‡меты Диффи-Хеллм‡н‡ и полуключ, по‰пис‡нный е„о секетным ключом. В этом мето‰е се‚е по‰т‚е扇ет клиенту с‚ою по‰линность не потому, что он пе則ет сетифик‡т, ‡ потому, что по‰писы‚‡ет п‡‡меты и ключи с‚оим секетным ключом. В뇉ение секетным ключом — ‰ок‡з‡тельст‚о то„о, что се‚е — объект, котоый н‡хо‰итсfl ‚ сетифик‡те. Если с‡мо炇нец копиует и пе則ет сетифик‡т клиенту, симулиуfl, что он — се‚е, з‡пошенный ‚ сетифик‡те, он не сможет по‰пис‡ть ‚тоое сообщение, потому что не имеет секетно„о ключ‡. • Фиксинное DH (DH). В этом мето‰е се‚е пе則ет либо RSA-, либо DSS-сетифик‡т цифо‚ой по‰писи, ‚ котоый ‚ключ‡ет с‚ой з‡е„истинный полуключ DH. Втоое сообщение — пустое. Сетифик‡т по‰пис‡н секетным ключом CA и может быть по‚еен клиентом, использующим откытый ключ CA. Ду„ими слми, CA по‰т‚е‰ил клиенту по‰линность и 燂еил, что полуключ пи퇉лежит се‚еу. Ф‡з‡ III: Смен‡ ключей клиент‡ и уст‡но‚ление е„о по‰линности Ф‡з‡ III пе‰н‡зн‡чен‡ по‰т‚е‰ить по‰линность клиент‡. От клиент‡ се‚еу можно пе則ть ‰о тех сообщений, к‡к пок‡з‡но н‡ ис. 17.17.

Рис. 17.17. Потокол уст‡но‚лениfl сое‰инениfl, Ф‡з‡ III Сетифик‡т. Чтобы сетифицить себfl н‡ се‚ее, клиент пе則ет сообщение Certificate. Об‡тите ‚ним‡ние, что е„о фом‡т — тот же с‡мый, что и у сообщениfl Certificate, пе則‚‡емо„о се‚еом ‚ Ф‡зе II, но со‰еж‡ние ‡злично. В ‰‡нном случ‡е Certificate ‚ключ‡ет цепочку сетифик‡то‚, котоые сетифициуют клиент‡. Т‡кое сообщение пе則ют, только если се‚е з‡посил сетифик‡т ‚ Ф‡зе II. Если есть з‡пос и клиент не имеет сетифик‡т‡, чтобы пе則ть е„о, т‡ пе則етсfl ‡‚‡ийное сообщение (ч‡сть ‡‚‡ийно„о потокол‡, кото558

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

ый бу‰ет обсу扇тьсfl позже) с пе‰упеж‰ением, что сетифик‡т‡ нет. Се‚е может по‰олжить се‡нс или может ешить пе‚‡ть е„о. ClientKeyExchange. После пе則чи сообщениfl Certificate клиент пе則ет сообщение ClientKeyExchange, котоое ‚ключ‡ет ‚ себfl ‚к뇉 ‚ п剂‡ительный „л‡‚ный секетный ко‰. Со‰еж‡ние это„о сообщениfl б‡зиуетсfl н‡ используемом ‡л„оитме смены ключей. Если мето‰ — RSA, клиент со片ет полный п剂‡ительный „л‡‚ный секетный ко‰ и з‡шифо‚ы‚‡ет е„о откытым ключом RSA се‚е‡. Если мето‰ — ‡нонимный или к‡тко‚еменный Диффи-Хеллм‡н, клиент пе則ет с‚ой полуключ. Если мето‰ — Fortezza, клиент пе則ет п‡‡меты Fortezza. Со‰еж‡ние это„о сообщениfl пусто, если мето‰ — «фиксинный Диффи-Хеллм‡н». Веифик‡циfl сетифик‡т‡. Если клиент пе則л сетифик‡т, объfl‚лflющий, что имеет откытый ключ ‚ сетифик‡те, он ‰олжен ‰ок‡з‡ть, что зн‡ет соот‚етст‚ующий секетный ключ. Это необхо‰имо, чтобы со‚‡ть попытки с‡мо炇нц‡, котоый пе則ет сетифик‡т и ут‚е扇ет, что он исхо‰ит от клиент‡. Док‡з‡тельст‚о ‚л‡‰ениfl секетным ключом он пе‰ст‡‚лflет, со片‚‡fl сообщение и по‰писы‚‡fl е„о секетным ключом. Се‚е может по‚еить сообщение пе則нным ему откытым ключом, чтобы „‡‡нтить, что сетифик‡т ф‡ктически пи퇉лежит клиенту. Об‡тите ‚ним‡ние, что это ‚озможно, если ‚ сетифик‡т ‚ключены необхо‰имые по‰пис‡нные полномочиfl; ‚ том числе п‡‡ ключей — откытый и секетный. Сетифик‡т ‰лfl фиксинно„о Диффи-Хеллм‡н‡ не может быть по‚еен т‡ким путем. После Ф‡зы III • Клиент по‚еен н‡ по‰линность се‚еом. • Клиент и се‚е зн‡ют п剂‡ительный „л‡‚ный секетный ко‰. Р‡ссмотим более по‰обно уст‡но‚ление по‰линности клиент‡ и смену ключей ‚ этой ф‡зе. Осно‚ой ‰‡нно„о мет з‰есь fl‚лflютсfl ти сообщениfl. Рисунок 17.18 пок‡зы‚‡ет четые из шести мето‰о‚, котоые мы ‡ссм‡т肇ли ‡ньше. Опflть мы исключили мето‰ NULL и мето‰ Fortezza. • RSA. В этом случ‡е не пе則етсfl сообщение Certificate, если се‚е fl‚но не з‡посил е„о ‚ Ф‡зе II. ClientKeyExchange ‚ключ‡ет ‚ себfl п剂‡ительный „л‡‚ный сеетный ко‰, котоый з‡шифн откытым ключом RSА, полученным ‚ Ф‡зе II. • Анонимный DH. В этом мето‰е не пе則етсfl сообщение Certificate. Се‚е не имеет п‡‚‡ з‡посить сетифик‡т ‚ Ф‡зе II, потому что и клиент и се‚е — ‡нонимны. В ClientKeyExchange-сообщении се‚е пе則ет п‡‡меты Диффи-Хеллм‡н‡ и с‚ой полуключ. Об‡тите ‚ним‡ние, что ‚ этом мето‰е клиент не по‚еен н‡ по‰линность се‚еом. • К‡тко‚еменный DH. В этом мето‰е клиент обычно имеет сетифик‡т. Се‚е ‰олжен пе則ть е„о RSA- или DSS-сетифик‡т (н‡ осно‚е со„л‡снно„о множест‚‡ шифо‚). В ClientKeyExchange сообщении клиент по‰писы‚‡ет п‡‡меты DH, ‡ т‡кже и с‚ой полуключ, и пе則ет их. По‰линность клиент‡ по‰т‚е扇етсfl се‚еу по‰писью ‚тоо„о сообщениfl. Если клиент не имеет сетифик‡т‡, ‡ се‚е з‡п‡ш肇ет е„о, клиент пее559

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 17.18. Четые случ‡fl Ф‡зы III ‰‡ет ‡‚‡ийное сообщение. Если это пиемлемо ‰лfl се‚е‡, клиент пе則ет п‡‡меты DH и ключ ‚ исхо‰ном тексте. Конечно, ‚ этой ситу‡ции клиент не по‚еен се‚еом н‡ по‰линность. • Фиксинный DH. В этом мето‰е клиент обычно пе則ет сетифик‡т DH ‚ пе‚ом сообщении. Об‡тите ‚ним‡ние, что з‰есь ‚тоое сообщение пустое. Клиент по‰т‚е扇ет с‚ою по‰линность се‚еу, посыл‡fl сетифик‡т DH. Ф‡з‡ IV: З‡‚ешение и оконч‡ние В Ф‡зе IV клиент и се‚е пе則ют сообщениfl, чтобы изменить специфик‡цию шиф‡ и з‡кончить поце‰уу уст‡но‚лениfl с‚flзи. В этой ф‡зе поисхо‰ит обмен четыьмfl сообщениflми, к‡к это пок‡з‡но н‡ ис. 17.19. ChangeCipherSpec. Клиент пе則ет сообщение ChangeCipherSpec, чтобы пок‡з‡ть, что он пее‰‡л ‚есь н‡бо шифо‚ и п‡‡меты ‰лfl пеех из состоflниfl ож艇ниfl ‚ ‡кти‚ное состоflние. Это сообщение — ф‡ктически ч‡сть потокол‡ ChangeCipherSpec, котоый мы обсу‰им позже. Finished. Это сообщение т‡кже пе則ет клиент. Сообщение Finished объfl‚лflет об оконч‡нии поце‰уы уст‡но‚лениfl с‚flзи клиентом. ChangeCipherSpec. Се‚е пе則ет ChangeCipherSpec-сообщение, чтобы пок‡з‡ть, что он т‡кже обменflлсfl н‡боом шифо‚ и п‡‡мет‡ми ‰лfl пеех из состоflниfl ож艇ниfl ‚ ‡кти‚ное состоflние. Это сообщение — ч‡сть потокол‡ ChangeCipherSpec, котоый бу‰ет ‡ссмотен позже. Finished. Н‡конец, се‚е пе則ет сообщение Finished, чтобы пок‡з‡ть, что поце‰у‡ уст‡но‚лениfl с‚flзи полностью з‡кончен‡. 560

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Рис. 17.19. Потокол уст‡но‚лениfl сое‰инениfl, Ф‡з‡ IV

Потокол ChangeCipherSpec Мы ‚и‰ели, что пее„о‚оы о н‡бое шифо‚ и „ене‡циfl кипто„‡фической секетности фомиуютсfl постепенно по хо‰у ‚ыполнениfl потокол‡ уст‡но‚лениfl сое‰инениfl. Возник‡ет ‚опос: к‡ ‰‚е стооны мо„ут использть эти п‡‡меты секетности? SSL ут‚е扇ет, что стооны не мо„ут использть эти п‡‡меты или секетность, пок‡ они не пе則ли или не получили специ‡льное сообщение: ChangeCipherSpec — сообщение, котоым обмен肇ютсfl клиент и се‚е ‚ хо‰е ‚ыполнениfl потокол‡ уст‡но‚лениfl сое‰инениfl и котоое опе‰елено ‚ потоколе ChangeCipherSpec. По этой пичине объекты не посыл‡ют или не получ‡ют сообщение. Пе則тчик и пиемник ну扇ютсfl не ‚ о‰ном, ‡ ‚ ‰‚ух состоflниflх. О‰но — состоflние ож艇ниfl, пи котоом сох‡нflютсfl п‡‡меты и секетности. Ду„ое — ‡кти‚ное состоflние, пи котоом п‡‡меты и секетность используютсfl потоколом пе則чи з‡писей, чтобы по‰пис‡тьсfl/по‚еить или з‡шифть/‡сшифо‚ы‚‡ть сообщениfl. Коме то„о, к‡ж‰ое состоflние со‰ежит ‰‚‡ множест‚‡ зн‡чений: чит‡ть (‚хо‰flщее), пис‡ть (исхо‰flщее). Потокол ChangeCipherSpec опе‰елflет поцесс пеемещениfl зн‡чений меж‰у состоflнием ож艇ниfl и ‡кти‚ным состоflнием. Рисунок 17.20 пок‡зы‚‡ет „ипотетическую ситу‡цию, с „ипотетическими зн‡чениflми, чтобы только поиллюстить концепцию. Н‡ исунке пок‡з‡но только несколько п‡‡мето‚. Пее‰ обменом сообщениflми ChangeCipherSpec ‚ состоflнии ож艇ниfl з‡полнены только зн‡чениfl столбцо‚. Сн‡ч‡л‡ клиент пе則ет ChangeCipherSpec-сообщение. После это„о клиент пеемещ‡ет п‡‡меты «пис‡ть» (исхо‰flщие) из состоflниfl ож艇ниfl ‚ ‡кти‚ное состоflние. Тепеь он может использть эти п‡‡меты, чтобы по‰пис‡тьсfl или 561

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис.17.20. Пе剂ижение п‡‡мето‚ из состоflниfl ож艇ниfl ‚ ‡кти‚ное состоflние з‡шифть исхо‰flщее сообщение. После получениfl это„о сообщениfl се‚е пеемещ‡ет п‡‡меты «чит‡ть» (‚хо‰flщие) из состоflниfl ож艇ниfl ‚ ‡кти‚ное состоflние. Тепеь се‚е может ‚еифицить и ‡сшифо‚ы‚‡ть сообщение. Это озн‡ч‡ет, что сообщение Finished, пе則‚‡емое клиентом, может быть по‰пис‡но клиентом и ‡сшифно се‚еом. Се‚е пе則ет сообщение ChangeCipherSpec после получениfl от клиент‡ сообщениfl Finished. После пе則чи это„о сообщениfl он пеемещ‡ет п‡‡меты «пис‡ть» (‚хо‰flщие) из состоflниfl ож艇ниfl ‚ ‡кти‚ное состоflние. Се‚е может тепеь использть эти п‡‡меты ‰лfl то„о, чтобы по‰пис‡ть или з‡шифть ис хо‰flщие сооб щениfl. После то„о к‡к клиент полу ч‡ ет это сообщение, он пеемещ‡ет пе‚ый ‡бз‡ц (‚хо‰flщий) из состоflний ож艇ниfl ‚ ‡кти‚ное состоflние. Тепеь клиент может по‚еить (‚еифицить) и ‡сшифть сообщениfl. Конечно, после обмен‡ сообщениflми Finished обе стооны мо„ут ‡бот‡ть ‚ обоих н‡п‡‚лениflх, используfl ‡кти‚ные п‡‡меты ‰лfl чтениfl/з‡писи. 562

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

А‚‡ийный потокол SSL использует ‡‚‡ийный потокол ‰лfl то„о, чтобы из‚естить об ошибк‡х и неном‡льном состоflнии устойст‚. Имеетсfl только о‰ин тип ‡‚‡ийно„о сообщениfl, котоое описы‚‡ет поблему и ее уо‚ень (оп‡сное или полный ‚ыхо‰ из стоfl). Т‡блиц‡ 17.4 пок‡зы‚‡ет типы ‡‚‡ийных сообщений, опе‰еленных ‰лfl SSL. Т‡блиц‡ 17.4. А‚‡ийные сообщениfl, опе‰еленные ‰лfl SSL Цифо‚ое обозн‡чение 0

Опис‡ние

Зн‡чение

CloseNotify

Пе則тчик больше не бу‰ет посыл‡ть сообщений Получено несоот‚етст‚ующее сообщение

10

UnexpectedMessage

20 30 40

BadRecordMAC DecompressionFailure HandshakeFailure

41 42 43 44 45 46 47

Получено некоектное MAC Не‚озможно получить несж‡тый текст Пе則тчик не может з‡кончить уст‡но‚ление сое‰инениfl NoCertificate Клиент не сетифицил посл‡ние BadCertificate Полученный сетифик‡т иск‡жен UnsupportedCertificate Тип полученно„о сетифик‡т‡ не пеж肇етсfl CertificateRevoked По‰пис‡‚ший ‡ннулиует сетифик‡т CertificateExpired Сетифик‡т посочен CertificateUnknown Сетифик‡т неиз‚естен Illegal Parameter Поле не может быть об‡бот‡но

Потокол пе則чи з‡писей Потокол пе則чи з‡писей ‰ост‡‚лflет сообщениfl от ‚ехне„о уо‚нfl (потокол уст‡но‚лениfl сое‰инениfl, ChangeCipherSpec-потокол, ‡‚‡ийный потокол) или пик뇉ных уо‚ней. Сообщениfl ф‡„ментины и поиз‚ольно сж‡ты; MAC ‰оᇂлflетсfl к сж‡тому сообщению, используfl со„л‡снный ‡л„оитм хэш. Сж‡тый ф‡„мент и MAC з‡шифны с пименением со„л‡снно„о ‡л„оитм‡ шифниfl. В конце к з‡шифнному сообщению ‰оᇂлflетсfl 燄оло‚ок SSL. Рисунок 17.21 иллюстиует этот поцесс ‚ пе則тчике. Поцесс ‚ пиемнике имеет об‡тный поfl‰ок. Об‡тите ‚ним‡ние, о‰н‡ко, что этот поцесс может быть ‚ыполнен, только к‡ кипто„‡фические п‡‡меты н‡хо‰flтсfl ‚ ‡кти‚ном состоflнии. Сообщениfl, пе則‚‡емые пее‰ пеемещением из состоflниfl ож艇ниfl ‚ ‡кти‚ное состоflние, не по‰пис‡ны и не з‡шифны. В сле‰ующих секциflх мы у‚и‰им некотоые ‰у„ие сообщениfl ‚ потоколе уст‡но‚лениfl сое‰инениfl, котоые используютсfl некотоыми опе‰еленными тип‡ми хэшиниfl ‰лfl обеспечениfl целостности сообщениfl. 563

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 17.21. Поцесс ‡боты потокол‡ пе則чи з‡писей

Ф‡„мент‡циfl/Объе‰инение В пе則тчике сообщение от пик뇉но„о уо‚нfl ф‡„ментиуетсfl ‚ блоки по 2 б‡йт‡, пи этом после‰ний блок может быть меньше. В пиемнике ф‡„менты объе‰инflютсfl ‚месте, чтобы со片ть точную копию пе‚он‡ч‡льно„о сообщениfl. Сж‡тие/Р‡сшиение В пе則тчике ‚се ф‡„менты пик뇉но„о уо‚нfl сж‡ты с использнием мет сж‡тиfl, о котоом ‰о„肇ютсfl ‚о ‚емfl поце‰уы уст‡но‚лениfl с‚flзи. Мето‰ сж‡тиfl не ‰олжен ‚носить потеи (‡сшиенный ф‡„мент ‰олжен быть точной копией пе‚он‡ч‡льно„о ф‡„мент‡). Р‡зме ф‡„мент‡ не ‰олжен пе‚ысить 1024 б‡йт‡. Некотоые мето‰ы сж‡тиfl ‡бот‡ют только с з‡‡нее 燉‡нными ‡зме‡ми блоко‚, и если ‡зме блок‡ меньше, то блок ‰ополнflетсfl. Поэтому ‡зме сж‡то„о ф‡„мент‡ может быть больше, чем ‡зме пе‚он‡ч‡льно„о ф‡„мент‡. В пиемнике сж‡тый ф‡„мент ‡сшиflетсfl, чтобы со片ть точную копию ои„ин‡л‡. Если ‡зме ‡сшиенно„о ф‡„мент‡ пе‚ыш‡ет 214, ‚ы‡б‡ты‚‡етсfl ‡‚‡ийное сообщение «неп‡‚ильное ‡сшиение» (fatal decompression). Об‡тите ‚ним‡ние, что сж‡тие/‡сшиение ‚ SSL — ‰ополнительные функции. По‰пис‡ние/По‰т‚еж‰ение

564

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Рис. 17.22. Вычисление MAC В пе則тчике мето‰ по‰т‚еж‰ениfl по‰линности опе‰елflетсfl ‚ течение уст‡но‚лениfl сое‰инениfl (NULL, MD5 или SHA-1) и со片ет по‰пись (MAC), к‡к это пок‡з‡но н‡ ис. 17.22. Ал„оитм хэшиниfl пименflетсfl ‰‚‡ж‰ы. Сн‡ч‡л‡ хэшиние со片етсfl путем после‰о‚‡тельных сое‰инений (конк‡тен‡ции) сле‰ующих зн‡чений: ‡. секетный MAC (пис‡ть) (ключ по‰т‚еж‰ениfl по‰линности ‰лfl исхо‰flщих сообщений); б. з‡полнение 1, котоое пе‰ст‡‚лflет б‡йт 0x36, по‚тоflемый 48 ‡з ‰лfl MD5 и 40 ‡з ‰лfl SHA-1; ‚. поfl‰ко‚ый номе это„о сообщениfl; „. тип сж‡тиfl, котоый опе‰елflет потокол ‚ехне„о уо‚нfl, обеспечи‚ше„о сж‡тие ф‡„мент‡; ‰. ‰лин‡ сж‡тиfl, кото‡fl ук‡зы‚‡ет ‰лину сж‡то„о ф‡„мент‡; ж. сж‡тый ф‡„мент. Втоой ‡з 燂еш‡ющее хэшиние (MAC) со片етсfl после‰о‚‡тельным сое‰инением (конк‡тен‡цией) сле‰ующих зн‡чений: ‡. секетный MAC (пис‡ть); б. з‡полнение 2, котоое пе‰ст‡‚лflет б‡йт 0x5C, по‚тоflемый 48 ‡з ‰лfl MD5 и 40 ‡з ‰лfl SHA-1; ‚. со片ние хэш‡ из езульт‡т‡ пе‚о„о ш‡„‡. В пиемнике по‚о‰итсfl ‚еифик‡циfl — ‚ычисление но‚о„о хэш‡ и с‡‚нение е„о с полученным хэшинием. Шифние/Дешифние В пе則тчике сж‡тый ф‡„мент и хэш з‡шифны с пименением секетно„о шиф‡ (пис‡ть). В пиемнике полученное сообщение ‡сшифо‚ы‚‡етсfl с 565

Кус

Кипто„‡фиfl и безоп‡сность сетей

использнием секетно„о шиф‡ (чит‡ть). Пи шифнии к блоку ‰оᇂлflетсfl з‡полнение, чтобы с‰ел‡ть ‡зме сообщениfl пи„о‰ным ‰лfl шифниfl — к‡тным числом ‡зме‡ блок‡. Со片ние ꇉ‡ В пе則тчике после шифниfl ‰оᇂлflетсfl 燄оло‚ок потокол‡ пе則чи з‡писей. З‡„оло‚ок у‰‡лflетсfl ‚ пиемнике пее‰ ‰ешифнием.

17.3. Фом‡ты сообщениfl SSL Мы уже зн‡ем,что сообщениfl из тех потоколо‚ и ‰‡нные от пик뇉но„о уо‚нfl инк‡псулиуютсfl (‚ст‡‚лflютсfl) ‚ сообщениfl потокол‡ пе則чи з‡писей. Ду„ими слми, сообщение ‚ потокол пе則чи з‡писей инк‡псулиуетсfl из четыех ‡зличных источнико‚ н‡ стооне пе則тчик‡. Н‡ стооне пиемник‡ потокол пе則чи з‡писей из‚лек‡ет сообщениfl и ‰ост‡‚лflет их ‡зличным

пункт‡м н‡зн‡чениfl. Потокол пе則чи з‡писей имеет общий 燄оло‚ок, котоый ‰оᇂлflетсfl к к‡ж‰ому сообщению, пибы‚‡ющему от источнико‚, к‡к пок‡з‡но н‡ ис. 17.23. Рис. 17.23. Общий 燄оло‚ок потокол‡ пе則чи з‡писей Ниже пи‚о‰итсfl опис‡ние полей. • Потокол. Это 1-б‡йто‚ое поле опе‰елflет источник или пункт н‡зн‡чениfl инк‡псулинно„о сообщениfl. Оно используетсfl ‰лfl мультиплексиниfl и ‰емультиплексиниfl. Зн‡чениfl — 20 (ChangeCipherSpecпотокол), 21 (‡‚‡ийный потокол), 22 (потокол уст‡но‚лениfl сое‰инениfl) и 23 (‰‡нные от пик뇉но„о уо‚нfl). • Весиfl. Это 2-б‡йто‚ое поле опе‰елflет ‚есию SSL; о‰ин б‡йт — пе‚‡fl циф‡ ‚есии и ‰у„ой — ‚то‡fl. Текущ‡fl ‚есиfl SSL — 3.0. • Длин‡. Это 2-б‡йто‚ое поле опе‰елflет ‡зме сообщениfl (без 燄оло‚к‡) ‚ б‡йт‡х.

566

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

ChangeCipherSpec-потокол К‡к мы „о‚оили ‡ньше, потокол ChangeCipherSpec имеет о‰но сообщение: ChangeCipherSpec. Это сообщение со‰ежит только о‰ин б‡йт, инк‡псулинный ‚ сообщение потокол‡ пе則чи з‡писей со зн‡чением 20, к‡к пок‡з‡но н‡ ис. 17.24.

Рис. 17.24. Сообщение ChangeCipherSpec (CCS) О‰ноб‡йто‚ое поле ‚ сообщении н‡з‚‡но CCS, и е„о зн‡чение ‚ н‡стоflщее ‚емfl ‡‚но 1.

А‚‡ийный потокол А‚‡ийный потокол, к‡к мы „о‚оили пеж‰е, имеет о‰но сообщение — ‡пот об ошибк‡х ‚ поцессе. Рисунок 17.25 пок‡зы‚‡ет инк‡псулflцию это„о е‰инст‚енно„о сообщениfl ‚ Потоколе пе則чи з‡писей со зн‡чением 21. Рис. 17.25. А‚‡ийное сообщение Д‚‡ полfl ‡‚‡ийно„о сообщениfl ‡зъflснflютсfl ниже.

• Уо‚ень. Это о‰ноб‡йто‚ое поле опе‰елflет уо‚ень ошибки. В н‡стоflщее ‚емfl опе‰елены ‰‚‡ уо‚нfl: пе‰упеж‰ение и полный отк‡з. • Опис‡ние. О‰ноб‡йто‚ое опис‡ние опе‰елflет тип ошибки.

Потокол уст‡но‚лениfl сое‰инениfl Несколько сообщений были опе‰елены ‰лfl потокол‡ уст‡но‚лениfl сое‰инениfl. Все эти сообщениfl имеют четыехб‡йто‚ый типо‚ой 燄оло‚ок, пок‡з‡нный н‡ ис. 17.26. Рисунок пи‚о‰ит 燄оло‚ок потокол‡ пе則чи з‡писей и типо‚ой 燄оло‚ок ‰лfl потокол‡ уст‡но‚лениfl сое‰инениfl. Об‡тите ‚ним‡ние, что зн‡чение полfl потокол‡ — 22. Рис. 17.26. Типо‚ой 燄оло‚ок ‚ потоколе уст‡но‚лениfl сое‰инениfl • Тип. Это о‰ноб‡йто‚ое поле опе‰елflет тип сообщениfl. В н‡стоflщее ‚емfl опе‰елены ‰есflть типо‚, котоые пеечислены ‚ т‡блице 17.5. 567

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ 17.5. Типы сообщений уст‡но‚лениfl сое‰инениfl Тип 0 1 2 11 12 13 14 15 16 20

Сообщение HelloRequest ClientHello ServerHello Certificate ServerKeyExchange CertificateRequest ServerHelloDone CertificateVerify ClientKeyExchange Finished

• Длин‡. Это техб‡йто‚ое поле опе‰елflет ‰лину сообщениfl (исключ‡fl ‰лину тип‡ и полfl ‰лины). Чит‡тель может 燉‡ть ‚опос: почему мы ну扇емсfl ‚ ‰‚ух полflх ‰лины — о‰ном ‚ общем 燄оло‚ке потокол‡ пе則чи з‡писей и о‰ном ‚ типо‚ом 燄оло‚ке ‰лfl сообщений уст‡но‚лениfl сое‰инениfl? От‚ет: сообщение потокол‡ пе則чи з‡писей может ‰ост‡‚ить ‰‚‡ сообщениfl уст‡но‚лениfl сое‰инениfl ‚ о‰но и то же ‚емfl, если нет потебности пе則ть ‰у„ое сообщение меж‰у ними. Сообщение HelloRequest Сообщение HelloRequest, котоое используетсfl е‰ко, fl‚лflетсfl з‡посом от се‚е‡ к клиенту ‰лfl пеез‡пуск‡ се‡нс‡. Это может быть необхо‰имо, если ‚

се‚ее обн‡ужены сбои и необхо‰им но‚ый се‡нс. Н‡пиме, если се‡нс ст‡но‚итсfl т‡ким ‰линным, что это у„ож‡ет е„о безоп‡сности, се‚е может пе則ть ‡ссм‡т肇емое сообщение. Клиент т‡ ‰олжен пе則ть сообщение ClientHello и ‰о„о‚оитьсfl о п‡‡мет‡х безоп‡сности. Рисунок 17.27 пок‡зы‚‡ет фом‡т т‡ко„о сообщениfl. Это — четые б‡йт‡ со зн‡чением тип‡ 0. Он не имеет ник‡ко„о тексто‚о„о блок‡, т‡к что зн‡чение полfl ‰лины — т‡кже 0. Сообщение ClientHello Сообщение ClientHello — пе‚ое сообщение ‚ обмене пи уст‡но‚лении сое‰инениfl. Н‡ ис. 17.27 пок‡з‡н фом‡т сообщениfl. Рис. 17.27. Сообщение HelloRequest Поле «тип» и поле ‰лины п剂‡ительно были уже обсуж‰ены. Ниже пи‚о‰итсfl к‡ткое опис‡ние ‰у„их полей. 568

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Рис. 17.28. Сообщение ClientHello • Весиfl. Это 2-б‡йто‚ое поле пок‡зы‚‡ет ‚есии используемо„о SSL. Весиfl 3.0 — ‰лfl SSL и 3.1 — ‰лfl TLS. Об‡тите ‚ним‡ние, что зн‡чение ‚есии, н‡пиме, 3.0, сох‡нflетсfl ‚ ‰‚ух б‡йт‡х: 3 ‚ пе‚ом б‡йте и 0 — ‚о ‚тоом. • Случ‡йное число клиент‡. Это 32-б‡йто‚ое поле используетсfl клиентом, чтобы пе則ть случ‡йное число, котоое со片ет п‡‡меты безоп‡сности. • Длин‡ ID се‡нс‡. Это 1-б‡йто‚ое поле опе‰елflет ‰лину ID се‡нс‡ (сле‰ующее поле). Если нет ID се‡нс‡, зн‡чение это„о полfl — 0. • ID се‡нс‡. Зн‡чение это„о полfl пееменной ‰лины — 0, к‡ клиент н‡чин‡ет но‚ый се‡нс. ID се‡нс‡ иницииуетсfl се‚еом. О‰н‡ко если клиент хочет ‚озобно‚ить п剂‡ительно ост‡но‚ленный се‡нс, он может ‚ключить п剂‡ительно опе‰еленный ID се‡нс‡ ‚ этом поле. Потокол опе‰елflет ‰лfl ID се‡нс‡ м‡ксимум 32 б‡йт‡. • Длин‡ н‡бо‡ шифо‚. Это 2-б‡йто‚ое поле опе‰елflет ‰лину пе‰ложенно„о клиентом списк‡ н‡бо‡ шифо‚ (сле‰ующее поле). • Список н‡бо‡ шифо‚. Это поле пееменной ‰лины ‰‡ет список н‡бо‡ шифо‚, пеж肇емых клиентом. Поле пеечислflет н‡бо шифо‚ от н‡иболее пе‰почтительных к н‡именее пе‰почтительным. К‡ж‰ый н‡бо шифо‚ ко‰иуетсfl к‡к ‰‚ухб‡йто‚ое число. • Длин‡ мето‰о‚ сж‡тиfl. Это 1-б‡йто‚ое поле опе‰елflет ‰лину списк‡ пе‰ложенных клиентом мето‰о‚ сж‡тиfl (сле‰ующее поле). • Список мето‰о‚ сж‡тиfl. Это поле пееменной ‰лины ‰‡ет список мето‰о‚ сж‡тиfl, котоые пеж肇ет клиент. Поле пеечислflет мето‰ы от н‡иболее пе‰почтительных к н‡именее пе‰почтительным. К‡ж‰ый мето‰ ко‰иуетсfl к‡к о‰ноб‡йто‚ое число. Сейч‡с е‰инст‚енный мето‰ — мето‰ 569

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 17.29. Сообщение ServerHello NULL («нет сж‡тиfl»). В этом случ‡е зн‡чение ‰лины мето‰о‚ сж‡тиfl — 1, и список мет сж‡тиfl имеет только о‰ин элемент со зн‡чением 0. Сообщение ServerHello Cообщение ServerHello — от‚ет се‚е‡ н‡ сообщение ClientHello. Фом‡т по‰обен сообщению ClientHello, но с меньшим количест‚ом полей. Рисунок 17.29 пок‡зы‚‡ет фом‡т сообщениfl. Поле ‚есии — то же с‡мое, что и ‚ сообщении ClientHello. Поле случ‡йно„о числ‡ се‚е‡ опе‰елflет зн‡чение, ‚ыб‡нное се‚еом. Длин‡ ID се‡нс‡ и поле ID

се‡нс‡ — те же с‡мые, что и ‚ сообщении ClientHello. О‰н‡ко ID се‡нс‡ — обычно побел (и ‰лин‡ обычно уст‡н‡‚л肇етсfl н‡ 0), если се‚е не ‚озобно‚лflет ст‡ый се‡нс. Ду„ими слми, если се‚е поз‚олflет ‚озобно‚ление се‡нс‡, он ‚ст‡‚лflет соот‚етст‚ующее зн‡чение ‚ поле ID се‡нс‡, котоое используетсfl клиентом (‚ сообщении ClientHello), к‡ клиент жел‡ет по‚тоно откыть ст‡ый се‡нс.

570

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Поле ‚ыб‡нно„о н‡бо‡ шифо‚ опе‰елflет е‰инст‚енный н‡бо шифо‚, котоый ‚ыб‡н се‚еом из списк‡, посл‡нно„о клиентом. Поле мето‰о‚ сж‡тиfl опе‰елflет ‚ыб‡нный се‚еом мето‰ из списк‡, посл‡нно„о клиентом. Сообщение Certificate Сообщение Certificate может быть пе則но клиентом или се‚еом, чтобы пе則ть список сетифик‡то‚ откыто„о ключ‡. Рисунок 17.30 пок‡зы‚‡ет фом‡т. Рис. 17.30. Сообщение Certificate Зн‡чение полfl «тип» — 11. Тексто‚ый блок сообщениfl ‚ключ‡ет сле‰ующие полfl. • Длин‡ цепочки сетифик‡то‚. Это техб‡йто‚ое поле пок‡зы‚‡ет ‰лину цепочки сетифик‡то‚. Это поле избыточно, потому что е„о зн‡чение — ‚с儉‡ н‡ 3 меньше, чем зн‡чение полfl ‰лины. • Цепочк‡ сетифик‡то‚. Это поле пееменной ‰лины со‰ежит цепочку сетифик‡то‚ откыто„о ключ‡, котоый использует клиент или се‚е. Длfl к‡ж‰о„о сетифик‡т‡ есть ‰‚‡ ‰ополнительных полfl: ‡. техб‡йто‚ое поле ‰лины; б. с‡м сетифик‡т — поле пееменно„о ‡зме‡.

Сообщение ServerKeyExchange ServerKeyExchange-сообщение пе則ют от се‚е‡ к клиенту. Рисунок 17.31 пок‡зы‚‡ет общий фом‡т. Сообщение со‰ежит ключи, с„енеинные се‚еом. Фом‡т сообщениfl 燂исит от н‡бо‡ шифо‚, ‚ыб‡нно„о ‚ пе‰ы‰ущем сообщении. Клиент, котоый получ‡ет сообщение, ‰олжен интепетить е„о со„л‡сно пе‰ы‰ущей инфом‡ции. Если се‚е пе則л сообщение сетифик‡т‡, то сообщение со‰ежит по‰пис‡нный п‡‡мет. Сообщение CertificateRequest CertificateRequest-сообщение пе則ют от се‚е‡ к клиенту. Сообщение посит, чтобы клиент по‰т‚е‰ил се‚еу с‚ою по‰линность, ‡ т‡кже по‰линность о‰но„о из используемых сетифик‡то‚ и о‰ной из у‰осто‚еflющих ‡‰минист‡ций, н‡з‚‡нной ‚ сообщении. Рисунок 17.32 пок‡зы‚‡ет общий фом‡т. Рис. 17.31. Сообщение ServerKeyExchange 571

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 17.32. Сообщение CertificateRequest

Зн‡чение полfl тип‡ — 13. Тексто‚ый блок сообщениfl ‚ключ‡ет сле‰ующие полfl. • Длин‡ типо‚ сетифик‡то‚ (Len of Cert Types). Это о‰ноб‡йто‚ое поле пок‡зы‚‡ет ‰лину типо‚ сетифик‡то‚. • Типы сетифик‡то‚ (Certificate Types). Это поле пееменной ‰лины со‰ежит список сетифик‡т‡ откыто„о ключ‡, котоый пинflт се‚еом. К‡ж‰ый тип — о‰ин б‡йт.

• Длин‡ сетифик‡то‚ по‰т‚еж‰ениfl по‰линности (Length of CAs). Это ‰‚ухб‡йто‚ое поле пок‡зы‚‡ет ‰лину списк‡ сетифик‡то‚, у‰осто‚еflющих по‰линность (ост‡льн‡fl ч‡сть п‡кет‡). • Длин‡ сетифик‡т‡ по‰линности x. Имfl. (Length of CA x. Name). Это ‰‚ухб‡йто‚ое поле опе‰елflет ‰лину x-о„о сетифик‡т‡ и н‡з‚‡ние ‡‰минист‡ции. x может пиним‡ть зн‡чение от 1 ‰о N. • Сетифик‡т x, по‰т‚е扇ющий по‰линность. Имfl. (CA x. Name). Это поле пееменной ‰лины опе‰елflет н‡з‚‡ние x-о„о сетифик‡т‡ ‡‰минист‡ции. x может пиним‡ть зн‡чение от 1 ‰о N. 572

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Сообщение ServerHelloDone ServerHelloDone-сообщение — после‰нее сообщение, посыл‡емое ‚о ‚тоой ф‡зе поце‰уы уст‡но‚лениfl с‚flзи. Сообщение си„н‡лизиует, что Ф‡з‡ II не ‰ост‡‚лflет ник‡кой ‰ополнительной инфом‡ции. Рисунок 17.33 пок‡зы‚‡ет фом‡т. Рис. 17.33. Сообщение ServerHelloDone Сообщение CerivicateVerify Сообщение CerivicateVerify — это после‰нее сообщение Ф‡зы III. В этом сообщении клиент ‰ок‡зы‚‡ет, что ф‡ктически имеет секетный ключ, с‚flз‡нный с е„о сетифик‡том откыто„о ключ‡. Чтобы ‰ок‡з‡ть это, клиент со片ет хэш ‚сех сообщений уст‡но‚лениfl сое‰инениfl, посл‡нных пее‰ этим сообщением, и по‰-

Рис. 17.36. Сообщение ClientKeyExchange 573

Кус

Кипто„‡фиfl и безоп‡сность сетей

писы‚‡ет их, используfl ‡л„оитм MD5 или SHA-1, осннный н‡ типе сетифик‡т‡ клиент‡. Рисунок 17.34 пок‡зы‚‡ет фом‡т.

Рис. 17.34. Сообщение CerivicateVerify Если секетный ключ клиент‡ с‚flз‡н с DSS-сетифик‡том, то хэшиние б‡зиуетсfl только н‡ ‡л„оитме SHA-1, и ‰лин‡ хэш — 20 б‡йто‚. Если секетный ключ клиент‡ с‚flз‡н с сетифик‡том RSА, то есть ‰‚‡ (конк‡тенинных) хэш‡: о‰ин — осннный н‡ MD5 и ‰у„ой — осннный н‡ SHA-1. Полн‡fl ‰лин‡ — 16 + 20 = 36 б‡йто‚. Рисунок 17.35 пок‡зы‚‡ет ‚ычислениfl хэш‡. Сообщение ClientKeyExchange ClientKeyExchange — ‚тоое сообщение, посыл‡емое ‚ течение тетьей ф‡зы поце‰уы уст‡но‚лениfl с‚flзи. В этом сообщении клиент обеспеч肇ет ключи. Фом‡т сообщениfl 燂исит от 燉‡нных ‡л„оитмо‚ смены ключей, ‚ыб‡нных ‰‚умfl стоон‡ми. Рисунок 17.36 пок‡зы‚‡ет общую и‰ею фом‡т‡. Рис. 17.35. Вычисление хэш ‰лfl сообщениfl CerivicateVerify Сообщение Finished

574

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Cообщение Finished пок‡зы‚‡ет, что пее„о‚оы з‡кончены. Оно со‰ежит ‚се сообщениfl, котоыми обмен肇лись ‚ течение поце‰уы уст‡но‚лениfl с‚flзи, сопо‚о扇емой ук‡з‡нием тип‡ пе則тчик‡ (клиент или се‚е) и ‰ополнением „л‡‚но„о секетно„о к. Точный фом‡т 燂исит от тип‡ используемо„о

н‡бо‡ шиф‡. Общий фом‡т пок‡з‡н н‡ ис. 17.37 — после‰о‚‡тельное сое‰инение (конк‡тен‡циfl) ‰‚ух хэш. Н‡ исунке 17.38 изоб‡жено, к‡к ‚ычислflетсfl к‡ж‰ый из них. Об‡тите ‚ним‡ние, что к‡ клиент или се‚е пе則ют сообщение Finished, они уже пе則ли сообщение ChangedCipherSpec. Ду„ими слми, кипто„‡фическ‡fl секетн‡fl инфом‡циfl (пис‡ть) н‡хо‰итсfl ‚ ‡кти‚ном состоflнии, клиент или се‚е мо„ут ее об‡бот‡ть. Сообщение Finished по‰обно ф‡„менту ‰‡нных, пибы‚‡ющему от пик뇉но„о уо‚нfl. Сообщение Finished может быть 燂еено (используfl MAC из н‡бо‡ шифо‚) и з‡шифно (используfl ‡л„оитм шифниfl н‡бо‡ шифо‚).

Пик뇉ные ‰‡нные Потокол пе則чи з‡писей ‰оᇂлflет по‰пись ‚ конце ф‡„мент‡ (‚озможно, сж‡тый MAC), пибы‚‡ющий от пик뇉но„о уо‚нfl, и з‡тем з‡шифо‚ы‚‡ет ф‡„мент и MAC. Рис. 17.37. Сообщение Finished Рис. 17.38. Вычисление хеш ‰лfl сообщениfl Finished После ‰оᇂлениfl обще„о 燄оло‚к‡ со зн‡чением потокол‡ 23 сообщение пе則чи з‡писи пе則но. Об‡тите ‚ним‡ние, что общий 燄оло‚ок не з‡шифн. Рисунок 17.39 пок‡зы‚‡ет общий фом‡т. Рис. 17.39. Сообщение потокол‡ пе則чи з‡писей ‰лfl пик뇉ных ‰‡нных

17.4. Безоп‡сность т‡нспотно„о уо‚нfl Безоп‡сность т‡нспотно„о уо‚нfl (TLS — Transport Layer Security) — потокол IEFT, ст‡н‰‡тн‡fl ‚есиfl потокол‡ SSL. Эти ‰‚‡ потокол‡ очень похожи, но имеют небольшие отличиfl. Вместо то„о чтобы описы‚‡ть TLS полностью, ‚ этой секции мы только отметим отличиfl меж‰у потокол‡ми TLS и SSL.

575

Кус

Кипто„‡фиfl и безоп‡сность сетей

Весии Пе‚ое отличие — номе ‚есии (осно‚ное, но незн‡чительное). Текущ‡fl ‚есиfl SSL — 3.0; текущ‡fl ‚есиfl TLS — 1.0. Ду„ими слми, SSLv3.0 со‚местим с TLSv 1.0.

Н‡бо шифо‚ Ду„ое незн‡чительное отличие меж‰у SSL и TLS — отсутст‚ие пежки Fortezza. TLS не пеж肇ет Fortezza ‰лfl смены ключей или ‰лfl шифниfl/‰ешифниfl. Т‡блиц‡ 17.6 пок‡зы‚‡ет н‡бо шифо‚ ‰лfl TLS.

Гене‡циfl кипто„‡фической секетности Гене‡циfl кипто„‡фической секетности ‚ TLS более сложн‡fl, чем ‚ SSL. TLS сн‡ч‡л‡ опе‰елflет ‰‚е функции: функцию ‡сшиениfl ‰‡нных и пс傉ослуч‡йную функцию. Р‡ссмотим их. Функциfl ‡сшиениfl ‰‡нных Функциfl ‡сшиениfl ‰‡нных использует з‡‡нее 燉‡нный ко‰ ‡утентифик‡ции н‡ осно‚е хэшиниfl (HMAC-HASH-BASED MESSAGE AUTHENTICATION CODE), или MD5, или SHA-1 ‰лfl то„о, чтобы ‡сшиить инфом‡цию з‡секеч肇ниfl. Эту функцию можно ‡ссм‡т肇ть к‡к функцию, со‰еж‡щую множест‚о секций, „‰е к‡ж‰‡fl секциfl со片ет о‰но зн‡чение хэшиниfl. Р‡сшиенн‡fl секетность — после‰о‚‡тельное сое‰инение зн‡чений хэшиниfl. ʇ扇fl секциfl использует ‰‚‡ HMAC, инфом‡цию з‡секеч肇ниfl и н‡ч‡льное число. Функциfl ‡сшиениfl ‰‡нных — это фоминие цепочки ‚ ‚и‰е мно„их секций. О‰н‡ко чтобы с‰ел‡ть сле‰ующую секцию 燂исимой от пе‰ы‰ущей, ‚тоое н‡ч‡льное число — ф‡ктически ‚ыхо‰ пе‚о„о HMAC пе‰ы‰ущей секции, к‡к это пок‡з‡но н‡ ис. 17.40. Пс傉ослуч‡йн‡fl функциfl TLS опе‰елflет пс傉ослуч‡йную функцию (PRF — PseudoRandom Function), чтобы получить комбин‡цию ‰‚ух функций ‡сшиениfl ‰‡нных: о‰н‡ из них использует MD5 и ‰у„‡fl — SHA-1. Н‡ PRF поступ‡ет ти ч‡сти инфом‡ции: секетный ко‰, метк‡ и н‡ч‡льное число. Т‡блиц‡ 17.6. Н‡бо шифо‚ ‰лfl TLS Н‡бо шифо‚

З‡мен‡ ключей NULL RSA RSA RSA RSA

TLS_NULL_WITH_NULL_NULL TLS_RSA_WITH_NULL_MD5 TLS_RSA_WITH_NULL_SHA TLS_RSA_W1TH_RC4_128_MD5 TLS_RSA_WITH_RC4_128_SHA 576

Шифние Хэш NULL NULL NULL RC4 RC4

NULL MD5 SHA-1 MD5 SHA-!

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Рис. 17.40 Функциfl ‡сшиениfl ‰‡нных TLS_RSA_WITH_IDEA_CBC_SHA TLS_RSA_WITH_DES_CBC_SHA TLS_RSA_WITH_3DES_EDE_CBC_SHA TLS_DH_anon_WITH-RC4_l 28_MD5 TLS_DH_anon_WITH_DES_CBC_SHA

RSA RSA RSA DH_anon DH_anon

IDEA DES 3DES RC4 DES

SHA-1 SHA-1 SHA-1 MD5 SHA-1

TLS_DH_anon_WITH_3DES_EDE_ CBC_SHA TLS_DHE_RSA_WITH_DES_CBC_SHA TLS_DHE_RSA_WITH_3DES_EDE_ CBC_SHA

DH_anon

3DES

SHA-1

DHE_RSA DES DHE_RSA 3DES

SHA-1 SHA-1

577

Кус

Кипто„‡фиfl и безоп‡сность сетей

TLS_DHE_DSS_WITH_DES_CBC_SHA TLS_DHE_DSS_WITH_3DES_EDE_ CBC_SHA TLS_DH_RSA_WITH_DES_CBC_SHA TLS_DH_RSA_WITH_3DES_EDE_ CBC_SHA TLS_DH_DSS_WITH_DES_CBC_SHA

DHE_DSS DES DHE_DSS 3DES

SHA-1 SHA-1

DH_RSA DH_RSA

DES 3DES

SHA-1 SHA-1

DH_DSS

DES

SHA-1

TLS_DH_DSS_WITH_3DES_EDE_ CBC_SHA

DH_DSS

3DES

SHA-1

Метк‡ и н‡ч‡льное число с‚flз‡ны и служ‡т н‡ч‡льным числом ‰лfl к‡ж‰ой функции ‡сшиениfl ‰‡нных. Инфом‡циfl з‡секеч肇ниfl ‡з‰елен‡ н‡ ‰‚е ч‡сти; к‡ж‰‡fl ч‡сть используетсfl к‡к инфом‡циfl з‡секеч肇ниfl ‰лfl к‡ж‰ой функции ‡сшиениfl ‰‡нных. Выхо‰ы ‰‚ух функций ‡сшиениfl ‰‡нных ск뇉ы‚‡ют по мо‰улю ‰‚‡, чтобы со片ть конечную ‡сшиенную инфом‡цию з‡се-

кеч肇ниfl. Об‡тите ‚ним‡ние, что поскольку хэш со片етсfl MD5 и SHA-1, он имеет ‡зличные ‡змеы, поэтому ‰олжны быть со片ны ‰ополнительные сек578

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

ции функций н‡ б‡зе MD5, чтобы с‰ел‡ть ‰‚‡ ‚ы‚ с о‰ин‡ко‚ым ‡змеом. Рисунок 17.41 пок‡зы‚‡ет и‰ею пименениfl PRF. Рис. 17.41. PRF Г뇂ный секетный ко‰ TLS пименflет функцию PRF, чтобы со片ть „뇂ный секетный ко‰ из п剂‡ительно„о „л‡‚но„о секетно„о к. Это можно с‰ел‡ть, используfl п剂‡ительный „л‡‚ный секетный ко‰ к‡к инфом‡цию з‡секеч肇ниfl, стоку «„л‡‚ный секетный к — к‡к метку и после‰о‚‡тельное сое‰инение инфом‡ции (конк‡тен‡цию) случ‡йно„о числ‡ клиент‡ и случ‡йное число се‚е‡ — к‡к н‡ч‡льное число. Об‡тите ‚ним‡ние, что метк‡ — ф‡ктически ко‰ ASCII стоки «„뇂но„о секетно„о к». Ду„ими слми, метк‡ опе‰елflет ‚ыхо‰ ‰лfl со片ниfl „뇂но„о секетно„о к. Рисунок 17.42 иллюстиует и‰ею. Рис. 17.42. Гене‡циfl „뇂но„о секетно„о к М‡теи‡л ‰лfl ключей TLS использует функцию PRF, чтобы со片ть м‡теи‡л ‰лfl ключей от „뇂но„о секетно„о к. Н‡ сей ‡з инфом‡циfl з‡секеч肇ниfl со‰ежит: „뇂ный секетный ко‰; метку — это сток‡ «‡сшиение ключ‡»; и н‡ч‡льное число — конк‡тен‡цию случ‡йно„о числ‡ се‚е‡ и случ‡йно„о числ‡ клиент‡, к‡к это пок‡з‡но н‡ ис. 17.43. Рис. 17.43. Гене‡циfl м‡теи‡л‡ ‰лfl ключ‡

А‚‡ийный потокол TLS пеж肇ет ‚се ‡‚‡ийные си„н‡лы, опе‰еленные ‚ SSL, з‡ исключением NoCertificate. TLS т‡кже ‰оᇂлflет к списку SSL некотоые но‚ые. Т‡блиц‡ 17.7 пок‡зы‚‡ет полный список ‡‚‡ийных си„н‡ло‚, пеж肇емых TLS. Т‡блиц‡ 17.7. А‚‡ийные си„н‡лы, опе‰еленные ‰лfl TLS Зн‡чение 0 10 20 21 22 30

Опис‡ние CloseNotify UnexpectedMessage BadRecordMAC DecryptionFailed RecordOverFlow DecampressionFailure

40

HandsHakeFailure

42

BadCertificate

Со‰еж‡ние Пе則тчик не бу‰ет посыл‡ть сообщений Получено несоот‚етст‚ующее сообщение Получен некоектный MAC Дешифнное сообщение не‰ейст‚ительно Р‡зме сообщениfl больше чем 214 + 2048 Не‚озможно соот‚етст‚ующее ‡сшиение сообщениfl Пе則тчик не может 燂ешить уст‡но‚ление сое‰инениfl Полученный сетифик‡т иск‡жен 579

Кус

Кипто„‡фиfl и безоп‡сность сетей

43 44 45 46

UnsupportedCertificate Полученный тип сетифик‡т‡ не пеж肇етсfl CertificateRevoked По‰пис‡‚ший ‡ннулил сетифик‡т CertificateExpired Сок сетифик‡т‡ истек CertificateUnknown Сетифик‡т неиз‚естен

47

IllegalParameter

48 49 50

UnknownCA AcessDenied Decode Error

51

DecryptError

60

ExportRestriction

70 71 80 90

ProtocolVersion InsufficientSecurity InternalError UserCanceled

Поле ‚ыхо‰ит з‡ ‰опустимые пе‰елы или не со‚местимо с ‰у„ими CA не может быть и‰ентифицино Нежел‡тельно ‰лfl по‰олжениfl пее„о‚оо‚ Полученное сообщение не может быть ‰еко‰ино Р‡сшифо‚к‡ з‡шифнно„о текст‡ не‰ейст‚ительн‡ Поблемы со„л‡сниfl с о„‡ничениflми ‚ США Эт‡ ‚есиfl потокол‡ не пеж肇етсfl Тебуетсfl больший н‡бо секетных шифо‚ Местн‡fl ошибк‡ Д‡нн‡fl стоон‡ хочет пек‡тить пее„о‚оы

580

Лекциfl 17

100

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

NoRenegotiation

Се‚е не может сн н‡ч‡ть пее„о‚оы по уст‡но‚лению сое‰инениfl

Потокол уст‡но‚лениfl сое‰инениfl TLS ‚носит некотоые изменениfl ‚ потокол уст‡но‚лениfl сое‰инениfl. Были специ‡льно изменены ‰ет‡ли сообщениfl CertificateVerify и сообщениfl Finished. Сообщение CertificateVerify (сетифик‡т ‚еифицин) В SSL хэшиние, используемое ‚ Сообщении CertificateVerify, — это хэшиние с ‰‚умfl ш‡„‡ми, ‡ именно: сообщение уст‡но‚лениfl сое‰инениfl плюс з‡полнение и „л‡‚ный секетный ко‰. TLS упостил поцесс: ‚ нем хэшиуетсfl только сообщение уст‡но‚лениfl сое‰инениfl, к‡к пок‡з‡но н‡ ис. 17.44. Рис. 17.44. Хэш ‰лfl сообщениfl CertificateVerify ‚ TLS Сообщение Finished 581

Кус

Кипто„‡фиfl и безоп‡сность сетей

Было т‡кже изменено ‚ычисление хэш ‰лfl сообщениfl Finished. TLS использует PRF, чтобы ‚ычислить ‰‚‡ хэш‡, пименflемых ‰лfl сообщениfl Finished, к‡к это пок‡з‡но н‡ ис. 17.45.

Потокол пе則чи з‡писей Е‰инст‚енное изменение ‚ потоколе пе則чи з‡писей — использние HMAC, чтобы по‰пис‡ть сообщение. TLS пименflет MAC, к‡к это опе‰елено ‚ лекции 11, ‰лfl то„о чтобы со片ть HMAC. TLS т‡кже ‰оᇂлflет ‚есию потокол‡ (н‡з‚‡нную сж‡той ‚есией) к тексту, котоый бу‰ет по‰пис‡н. Рисунок 17.46 пок‡зы‚‡ет, к‡к фомиуетсfl HMAC. Рис. 17.45. Хэш ‰лfl сообщениfl Finished ‚ TLS Рис.17.46 HMAC ‰лfl TLS

17.4. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце.

Кни„и [Res], [Tho00], [Sta06], [Rhe03] и [PHS03] ‡ссм‡т肇ют SSL и TLS.

С‡йты Нижесле‰ующий с‡йт ‰‡ет больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http://www.ietf.org/rfc/rfc2246.txt

17.7. Ито„и • Потокол безоп‡сности т‡нспотно„о уо‚нfl обеспеч肇ет услу„и безоп‡сности из конц‡ ‚ конец ‰лfl пиложений, котоые пользуютсfl потокол‡ми т‡нспотно„о уо‚нfl, т‡кими к‡к, н‡пиме, TCP. Н‡ се„о‰нflшний ‰ень пеоб뇉‡ет пименение ‰‚ух потоколо‚: потокол «Уо‚ень Безоп‡сных Розеток» (SSL — Secure Sockets Layer) и потокол «Безоп‡сность Т‡нспотно„о уо‚нfl» (TLS — Transport Layer Security). • SSL или TLS обеспеч肇ют т‡кие услу„и, к‡к ф‡„мент‡циfl, сж‡тие, целостность сообщениfl, конфи‰енци‡льность и со片ние ꇉ‡ ‰‡нных, полученных от пик뇉но„о уо‚нfl. К‡к п‡‚ило, SSL (или TLS) может получить пик뇉ные ‰‡нные от любо„о потокол‡ пик뇉но„о уо‚нfl, но ‡бот‡ет потокол обычно с HTTP. • Комбин‡циfl ‡л„оитмо‚ смены ключей, хэшиниfl и ‡л„оитм шифниfl опе‰елflют н‡бо шифо‚ ‰лfl к‡ж‰о„о се‡нс‡. 582

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

• Длfl то„о чтобы обмен肇тьсfl 燂еенными и конфи‰енци‡льными сообщениflми, клиенту и се‚еу необхо‰имо иметь шесть е‰иниц кипто„‡фической секетности (четые ключ‡ и ‰‚‡ ‚екто‡ иници‡лиз‡ции). • В SSL (или TLS) отлич‡ют по‰ключение и се‡нс. В се‡нсе о‰н‡ стоон‡ и„‡ет оль клиент‡, ‡ ‰у„‡fl — оль се‚е‡; пи по‰ключении обе стооны и„‡ют о‰ин‡ко‚ые оли. • SSL (или TLS) опе‰елflет четые потокол‡ н‡ ‰‚ух уо‚нflх: потокол уст‡но‚лениfl сое‰инениfl, потокол ChangeCipherSpec, ‡‚‡ийный потокол и потокол пе則чи з‡писей. Потокол уст‡но‚лениfl сое‰инениfl использует несколько сообщений, чтобы ‰о„о‚оитьсfl о н‡бое шифо‚, по‰т‚е‰ить по‰линность се‚е‡ ‰лfl клиент‡ и клиент‡ ‰лfl се‚е‡, если это необхо‰имо, и обмен肇тьсfl инфом‡цией ‰лfl о„‡низ‡ции кипто„‡фической секетности. Потокол ChangeCipherSpec опе‰елflет поцесс пеемещениfl инфом‡ции меж‰у состоflнием ож艇ниfl и ‡кти‚ным состоflнием. А‚‡ийный потокол пе則ет из‚ещениfl об ошибк‡х и ситу‡циflх, отклонflющихсfl от ном‡льных. Потокол пе則чи з‡писей ‰ост‡‚лflет сообщениfl от ‚ехне„о уо‚нfl (потокол уст‡но‚лениfl сое‰инениfl, ‡‚‡ийный потокол, ChangeCipherSpec-потокол) или пик뇉но„о уо‚нfl.

17.8. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Пеечислите услу„и, обеспеченные SSL или TLS. 2. Объflсните, к‡к ‚ SSL со片етсfl из п剂‡ительно„о „л‡‚но„о секетно„о к „뇂ный секетный ко‰. 3. Объflсните, к‡к ‚ TLS со片етсfl из п剂‡ительно„о „л‡‚но„о секетно„о к „뇂ный секетный ко‰. 4. Объflсните, к‡к ‚ SSL со片етсfl из „л‡‚но„о секетно„о к м‡теи‡л ‰лfl ключей. 5. Объflсните, к‡к ‚ TLS со片етсfl из „л‡‚но„о секетно„о к м‡теи‡л ‰лfl ключей. 6. Пок‡жите ‡зличиfl меж‰у се‡нсом и сое‰инением. 7. Пеечислите цель четыех потоколо‚, опе‰еленных ‚ SSL или TLS. 8. Опе‰елите цель к‡ж‰ой ф‡зы ‚ потоколе уст‡но‚лениfl сое‰инениfl. 9. С‡‚ните и поти‚опост‡‚ьте потоколы уст‡но‚лениfl сое‰инениfl ‚ SSL и TLS. 10. С‡‚ните и поти‚опост‡‚ьте потоколы пе則чи з‡писей ‚ SSL и TLS.

Уп‡жнениfl 1. К‡к ‰лин‡ м‡теи‡л‡ ‰лfl ключей, если н‡бо шифо‚ — о‰ин из пеечисленных ниже: a. SSL_RSA_WITH_NULL_MD5 b. SSL_RSA_WITH_NULL_SHA 583

Кус

Кипто„‡фиfl и безоп‡сность сетей

c. TLS_RSA_WITH_DES_CBC_SHA d. TLS_RSA_WITH_3DES_EDE_CBC_SHA e. TLS_DHE_RSA_WITH_DES_CBC_SHA f. TLS_DH _RSA _3DES _EDE_CBC_SHA 2. Пок‡жите число по‚тоных мо‰улей, необхо‰имых ‰лfl к‡ж‰о„о случ‡fl ‚ Уп‡жнении 1 (см. ис. 17.9). 3. С‡‚ните ‚ычисление „л‡‚но„о секетно„о к ‚ SSL с т‡ким же поцессом ‚ TLS. В SSL п剂‡ительный „л‡‚ный ко‰ пименflетсfl ‚ ‚ычислении ти ‡з‡, ‚ TLS — только е‰инож‰ы. К‡кое ‚ычисление более эффекти‚но по объему и по ‚емени? 4. С‡‚ните ‚ычисление м‡теи‡л‡ ‰лfl ключей ‚ SSL и TLS. От‚етьте н‡ сле‰ующие ‚опосы: ‡. К‡кое ‚ычисление обеспеч肇ет большую безоп‡сность? б. К‡кое ‚ычисление более эффекти‚но по объему и ‚емени? 5. Вычисление м‡теи‡л‡ ‰лfl ключей ‚ SSL тебует нескольких ите‡ций, ‚ TLS это„о не ‰ел‡етсfl. К‡к может TLS ‚ычислflть м‡теи‡л ‰лfl ключей пееменной ‰лины? 6. К‡ се‡нс по‰олж‡етсfl с но‚ым сое‰инением, SSL не тебует по‚е‰ениfl полной поце‰уы уст‡но‚лениfl с‚flзи. Пок‡жите сообщениfl, котоыми необхо‰имо бу‰ет обменflтьсfl ‚ ч‡стичной поце‰уе уст‡но‚лениfl с‚flзи. 7. К‡ се‡нс по‰олжен, к‡к‡fl из сле‰ующей кипто„‡фической инфом‡ции ‰лfl з‡секеч肇ниfl ‰олжн‡ быть по‚тоно ‚ычислен‡? ‡. п剂‡ительный „л‡‚ный секетный ко‰ б. „뇂ный секетный ко‰ ‚. ключи по‰т‚еж‰ениfl по‰линности „. ключи шифниfl ‰. IV (пе‚он‡ч‡льный ‚екто) 8. Что случитсfl ‚ поцессе н‡ ис. 17.20, если се‚е пе則ет сообщение ChangeCipherSpec, ‡ клиент не пе則ет? К‡кие сообщениfl мо„ут быть пе則ны ‚ потоколе уст‡но‚лениfl сое‰инениfl? К‡кие не мо„ут быть пе則ны? 9. С‡‚ните ‚ычисление MAC ‚ SSL и TLS (см. ис. 17.22 и ис. 17.46). К‡кое из них более эффекти‚но? 10. С‡‚ните ‚ычисление хэшиниfl ‰лfl сообщениfl CertificateVerify ‚ SSL и TLS (см. ис. 17.35 и ис. 17.44). К‡кое более эффекти‚но? 11. С‡‚ните ‚ычисление хэшиниfl ‰лfl сообщениfl Finished ‚ SSL и TLS (см. ис. 17.38 и ис. 17.45). От‚етьте н‡ сле‰ующие ‚опосы: ‡. Котоое из них более безоп‡сно? б. Котоое из них более эффекти‚но? 12. TLS использует PRF ‰лfl ‚сех ‚ычислений хэш коме сообщениfl CertificateVerify. Объflснить это исключение. 13. Большинст‚о потоколо‚ з‡писы‚‡ют ‚ ‚и‰е фомулы, чтобы пок‡з‡ть ‚ычислениfl кипто„‡фической секетности и хэшиниfl. Н‡пиме, ‚ SSL ‚ычисление „л‡‚но„о секетно„о к (см. ис. 17.8) отоб‡ж‡етсfl сле‰ующим об‡зом (после‰о‚‡тельн‡fl конк‡тен‡циfl з‡писы‚‡етсfl ‚ ‚и‰е линеек): 584

Лекциfl 17

Безоп‡сность н‡ т‡нспотном уо‚не: SSL И TLS

Master Secret = MD5 (pre-master | SHA-1 («A» |pre-master I CR I SR)) | MD5 (pre-master| SHA-1 («A» | pre-master | CR I SR)) | MD5 (pre-master |SHA-1 («A» | pre-master | CR | SR)) Master Secret pre-master | CR SR

Г뇂ный секетный ко‰ П剂‡ительный „л‡‚ный секетный ко‰ Конк‡тен‡циfl Случ‡йное число клиент‡ Случ‡йное число се‚е‡

З‡пишите ‚ ‚и‰е фомул сле‰ующие поцессы: ‡. М‡теи‡л ‰лfl ключей ‚ SSL (ис. 17.9) б. MAC ‚ SSL (ис. 17.22) ‚. Вычисление хэшиниfl ‰лfl сообщениfl CertificateVerify ‚ SSL (ис. 17.35) „. Вычисление хэшиниfl ‰лfl сообщениfl Finished ‚ SSL (ис. 17.38) ‰. Р‡сшиение ‰‡нных ‚ TLS (ис. 17.40) ж. PRF ‚ TLS (ис. 17.41) з. Г뇂ный секетный ко‰ ‚ TLS (ис. 17.42) и. М‡теи‡л ‰лfl ключей ‚ TLS (ис. 17.43) к. Вычисление хэшиниfl ‰лfl сообщениfl CertificateVerify ‚ TLS (ис. 17.44) л. Вычисление хэшиниfl ‰лfl Finished сообщениfl ‚ TLS (ис. 17.45) м. MAC ‚ TLS (ис. 17.46) 14. Пок‡жите, к‡к SSL или TLS 凄иуют н‡ ‡т‡ку ‚оспоиз‚е‰ениfl. То есть пок‡жите, к‡к SSL или TLS от‚еч‡ет н‡п‡‰‡‚шему, котоый пыт‡етсfl имитить о‰но или более сообщений уст‡но‚лениfl сое‰инениfl (п剂‡ительно з‡пис‡‚ сообщение). 15. Пок‡жите, к‡к SSL или TLS 凄иуют н‡ ‡т‡ку „убой силы. Может ли злоумышленник использть исчепы‚‡ющий компьютеный поиск и н‡йти ключ шифниfl ‚ SSL или TLS? К‡кой потокол более безоп‡сен ‚ этом отношении — SSL или TLS? 16. К‡ко‚ иск использниfl ключей кооткой ‰лины ‚ SSL или TLS? К‡кую ‡т‡ку злоумышленник может пименить, если ключи коотки? 17. Дейст‚ительно ли SSL или TLS относительно безоп‡сны к ‡т‡ке «посе‰ниꇻ? Может ли злоумышленник со片ть м‡теи‡л ‰лfl ключей меж‰у клиентом и с‡мим собой и меж‰у собой и се‚еом?

585

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лекциfl 18. Безоп‡сность н‡ сете‚ом уо‚не: IP SEC Цели и со‰еж‡ние Эт‡ лекциfl имеет несколько целей. • Опе‰елить ‡хитектуу IPSec. • Обсу‰ить пиложение IPSec ‚ т‡нспотном и туннельном ежим‡х. • Обсу‰ить, к‡к IPSec может использтьсfl, чтобы обеспечить только уст‡но‚ление по‰линности. • Обсу‰ить, к‡к IPSec может использтьсfl, чтобы обеспечить и конфи‰енци‡льность, и уст‡но‚ление по‰линности. • Опе‰елить службы обеспечениfl безоп‡сности (SA — Security Association) и объflснить, к‡к они е‡лизны ‰лfl IPSec. • Опе‰елить потокол обмен‡ ключ‡ми (IKE — Internet Key Exchange) и объflснить, к‡к он используетсfl ‚ IPSec. В ‰‚ух пе‰ы‰ущих лециflх мы обсу‰или безоп‡сность н‡ пик뇉ном и т‡нспотном уо‚нflх. О‰н‡ко т‡к‡fl безоп‡сность ‚ некотоых случ‡flх не может быть ‰ост‡точной. Во-пе‚ых, не ‚се по„‡ммы «клиент-се‚е» з‡щищены н‡ пик뇉ном уо‚не; н‡пиме, PGP и S/MIME з‡щищ‡ют только электонную почту. Во-‚тоых, не ‚се по„‡ммы «клиент-се‚е» н‡ пик뇉ном уо‚не используют потокол TCP, котоый может быть з‡щищен SSL или TLS; некотоые по„‡ммы пименflют обслуж肇ние UDP. В-тетьих, мно„о пиложений, т‡ких к‡к потоколы м‡шутиз‡ции, непосе‰ст‚енно ‡бот‡ют с потоколом IP; они ну扇ютсfl ‚ служб‡х безоп‡сности н‡ уо‚не IP. Безоп‡сный IP (IPSec) — со‚окупность потоколо‚, ‡з‡бот‡нных Гуппой Инжененой Пежки сети Интенет (IETF Internet Engineering Task Force), чтобы обеспечить безоп‡сность пе則чи п‡кето‚ н‡ сете‚ом уо‚не. Сете‚ой уо‚ень ‚ Интенете упомин‡етсfl ч‡сто к‡к Интенет-потокол — Internet Protocol (IP). Потокол IPSec помет со片‚‡ть 燂еенные и конфи‰енци‡льные п‡кеты ‰лfl уо‚нfl IP, к‡к это пок‡з‡но н‡ ис. 18.1.

Рис. 18.1. Н‡бо потоколо‚ TCP/IP и IPSec 586

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

IPSec может быть полезен ‚ нескольких обл‡стflх. Во-пе‚ых, он может у‚еличить безоп‡сность по„‡мм «клиент-се‚е», т‡ких к‡к электонн‡fl почт‡, кото‡fl использует с‚ои собст‚енные потоколы безоп‡сности. Во-‚тоых, он может у‚еличить безоп‡сность по„‡мм «клиент-се‚е», котоые пименflют службы безоп‡сности н‡ т‡нспотном уо‚не, — н‡пиме, HTTP. Он может обеспечить безоп‡сность по„‡мм «клиент-се‚е», котоые не пользуютсfl служб‡ми безоп‡сности т‡нспотно„о уо‚нfl. Он может обеспечить безоп‡с ность ‰лfl по„‡мм ус т‡ но‚лениfl с‚flзи «от-уз л‡-к-уз лу», т‡ ких к‡к м‡шутиз‡циfl.

18.1. Д‚‡ ежим‡ IPSec ‡бот‡ет ‚ ‰‚ух ‡зличных ежим‡х — т‡нспотном и туннельном. Т‡нспотный ежим В т‡нспотном ежиме IPSec з‡щищ‡ет инфом‡цию, ‰ост‡‚лflемую от т‡нспотно„о уо‚нfl к сете‚ому уо‚ню. Ду„ими слми, т‡нспотный ежим з‡щищ‡ет полезную 퇄узку сете‚о„о уо‚нfl, и полезн‡fl 퇄узк‡ ‰олжн‡ быть инк‡псулио‚‡н‡ ‚ сете‚ой уо‚ень, к‡к это пок‡з‡но н‡ ис. 18.2.

Рис.18.2. Т‡нспотный ежим IPSec Об‡тите ‚ним‡ние, что т‡нспотный ежим не з‡щищ‡ет 燄оло‚ок IP. Ду„ими слми, т‡нспотный ежим не з‡щищ‡ет ‚есь п‡кет IP, ‡ только п‡кет т‡нспотно„о уо‚нfl (полезн‡fl 퇄узк‡ P-уо‚нfl). В этом ежиме IPSec-燄оло‚ок (и конечн‡fl метк‡) ‰оᇂлflетсfl к инфом‡ции, пибы‚‡ющей от т‡нспотно„о уо‚нfl. З‡„оло‚ок IP ‰оᇂлflетсfl позже. IPSec ‚ т‡нспотном ежиме не з‡щищ‡ет 燄оло‚ок IP, ‡ только инфом‡цию, пибы‚‡ющую от т‡нспотно„о уо‚нfl. Т‡нспотный ежим обычно пименflетсfl, к‡ мы ну扇емсfl ‚ з‡щите ‰‡нных н‡ уч‡стке «хост-хост» («из конц‡ ‚ конец»). Пе則ющий хост использует IPSec, чтобы по‰т‚е‰ить по‰линность и/или з‡шифть полезную 퇄узку, ос‚обож‰енную от инфом‡ции т‡нспотно„о уо‚нfl. Пиемный хост использует IPSec, чтобы по‚еить уст‡но‚ление по‰линности и/или ‡сшифть п‡кет IP и ‰ост‡‚ить е„о т‡нспотному уо‚ню. Рисунок 18.3 иллюстиует эту концепцию. 587

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.3. Дейст‚иfl т‡нспотно„о ежим‡ Туннельный ежим В туннельном ежиме IPSec з‡щищ‡ет ‚есь п‡кет IP. Он об‡б‡ты‚‡ет п‡кет IP (‚ключ‡fl 燄оло‚ок), пименflfl мето‰ы безоп‡сности IPSec к полному п‡кету, и з‡тем ‰оᇂлflет но‚ый 燄оло‚ок IP, к‡к это пок‡з‡но н‡ ис. 18.4.

Рис. 18.4. Туннельный ежим IPSec Но‚ый 燄оло‚ок IP, к‡к мы у‚и‰им, со‰ежит иную инфом‡цию, нежели пе‚он‡ч‡льный 燄оло‚ок IP. Туннельный ежим обычно используетсfl меж‰у ‰‚умfl м‡шутиз‡то‡ми, меж‰у хостом и м‡шутиз‡тоом или меж‰у м‡шутиз‡тоом и хостом, к‡к это пок‡з‡но н‡ ис. 18.5. Ду„ими слми, туннельный ежим пименflетсfl, к‡ либо пе則тчик, либо пиемник не fl‚лflетсfl хостом.

Рис. 18.5. Дейст‚иfl туннельно„о ежим‡ 588

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Весь пе‚он‡ч‡льный п‡кет з‡щищен от ‚меш‡тельст‚‡ меж‰у пе則тчиком и пиемником, к‡к бу‰то ‚есь п‡кет похо‰ит мнимый туннель. IPSec ‚ туннельном ежиме з‡щищ‡ет пе‚он‡ч‡льный 燄оло‚ок IP.

С‡‚нение В т‡нспотном ежиме уо‚ень IPSec ‡спо뇄‡етсfl меж‰у т‡нспотным уо‚нем и сете‚ым уо‚нем. В туннельном ежиме поток похо‰ит от сете‚о„о уо‚нfl ‰о уо‚нfl IPSec, ‡ з‡тем сн ‚оз‚‡щ‡етсfl н‡з‡‰ к сете‚ому уо‚ню. Рисунок 18.6 с‡‚н肇ет эти ‰‚‡ ежим‡.

Рис. 18.6. С‡‚нение т‡нспотно„о и туннельно„о ежимо‚

18.2. Д‚‡ потокол‡ безоп‡сности IPSec опе‰елflет ‰‚‡ потокол‡: потокол «З‡„оло‚ок ‡утентифик‡ции (AH — Authentication Header)» и потокол «Полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой (ESP — Encapsulating Security Payload)». Их цель — обеспечить уст‡но‚ление по‰линности и/или шифние ‰лfl п‡кето‚ н‡ уо‚не IP.

З‡„оло‚ок ‡утентифик‡ции (AH) Потокол «З‡„оло‚ок ‡утентифик‡ции» (AH) ‡з‡бот‡н ‰лfl то„о, чтобы по‰т‚е‰ить по‰линность хост‡ источник‡ и „‡‡нтить целостность полезной 퇄узки, котоую пееносит п‡кет IP. Потокол использует хэш-функцию и симметичный ключ, чтобы со片ть ‰‡й‰жест сообщениfl; ‰‡й‰жест ‚ст‡‚лflетсfl ‚ 燄оло‚ок ‡утентифик‡ции. З‡тем AH ‚ст‡‚лflют н‡ соот‚етст‚ующее место, ‚ 燂исимости от ежим‡ (т‡нспотный или туннельный). Рисунок 18.7 пок‡зы‚‡ет полfl и позиции 燄оло‚к‡ ‡утентифик‡ции ‚ т‡нспотном ежиме. К‡ ‰ейт‡„‡мм‡ IP пееносит 燄оло‚ок ‡утентифик‡ции, пе‚он‡ч‡льное зн‡чение ‚ поле потокол‡ з‡„оло‚к‡ IP уст‡н‡‚л肇етсfl ‚ зн‡чение 51. Поле ‚ 燄оло‚ке ‡утентифик‡ции (сле‰ующее поле 燄оло‚к‡) со‰ежит пе‚он‡ч‡льное зн‡чение полfl потокол‡ (тип полезной 퇄узки, котоую несет ‰ейт‡„‡мм‡ IP). Доᇂление 燄оло‚к‡ ‡утентифик‡ции по‚о‰итсfl сле‰ующими ш‡„‡ми. 589

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.7. Потокол «З‡„оло‚ок ‡утентифик‡ции (AH)» 1 З‡„оло‚ок ‡утентифик‡ции ‰оᇂлflетсfl к полезной 퇄узке с полем ‡утентифик‡ции ‰‡нных, уст‡но‚ленным н‡ 0. 2. З‡полнение ‰оᇂлflетсfl, если нужно с‰ел‡ть полную ‰лину сообщениfl ‰лfl конкетно„о ‡л„оитм‡ хэшиниfl. 3. Хэшиние по‚о‰итсfl н‡ ‚сем п‡кете. О‰н‡ко ‚ ‚ычисление ‰‡й‰жест‡ сообщениfl (‰‡нные ‡утентифик‡ции) ‚ключены только те полfl IP-燄оло‚к‡, котоые не изменflютсfl ‚ течение пе則чи. 4. Д‡нные ‡утентифик‡ции ‚ст‡‚лflютсfl ‚ 燄оло‚ок ‡утентифик‡ции. 5. З‡„оло‚ок IP ‰оᇂлflетсfl после изменениfl зн‡чениfl полfl потокол‡ н‡ 51. К‡ткое опис‡ние к‡ж‰о„о полfl ‰‡но ниже. • Сле‰ующий 燄оло‚ок. Поле «сле‰ующий 燄оло‚ок» имеет 8 бито‚ и опе‰елflет тип полезной 퇄узки, котоую несет IP-‰ейт‡„‡мм‡ (т‡кие к‡к TCP, UDP, ICMP или OSPF). Поле ‚ыполнflет ту же с‡мую функцию, что и поле потокол‡ ‚ 燄оло‚ке IP пее‰ инк‡псулflцией. Ду„ими слми, поцесс копиует зн‡чение полfl потокол‡ ‚ ‰ейт‡„‡мме IP ‚ поле «сле‰ующий 燄оло‚ок». Зн‡чение полfl потокол‡ ‚ но‚ой ‰ейт‡„‡мме IP тепеь уст‡но‚лено н‡ 51, чтобы пок‡з‡ть, что п‡кет пееносит 燄оло‚ок ‡утентифик‡ции. • Длин‡ полезной 퇄узки. ͇炇ние это„о полfl из 8 бито‚ ‚‚о‰ит ‚ з‡блуж‰ение. Оно не опе‰елflет ‰лину полезной 퇄узки; оно 燉‡ет ‰лину 燄оло‚к‡ ‡утентифик‡ции ‚ числ‡х, к‡тных 4-м б‡йт‡м, но не ‚ключ‡ет пе‚ые 8 б‡йто‚. • Ин‰екс п‡‡мет‡ обеспечениfl безоп‡сности. Это поле н‡ 32 бит‡ (SPI — Security Parameter Index) и„‡ет оль и‰ентифик‡то‡ ‚иту‡льно„о к‡н‡л‡ и ‰лfl ‚сех п‡кето‚, посыл‡емых ‚ течение сое‰инениfl и н‡зы‚‡емых Службы обеспечениfl безоп‡сности т‡фик‡ (Security Association). Они бу‰ут ‡ссмотены позже. • Поfl‰ко‚ый номе. Поfl‰ко‚ый номе н‡ 32 бит‡ обеспеч肇ет инфом‡цию о поfl‰ке после‰о‚‡тельности ‰ейт‡„‡мм. Поfl‰ко‚ые номе‡ пе‰от‚‡щ‡ют по‚тоение. Об‡тите ‚ним‡ние, что номе не по‚тоflетсfl 590

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

пи по‚тоной пе則че п‡кет‡. Поfl‰ко‚ый номе не циклический и не по‚тоflет цикл‡ после то„о, к‡к он ‰ост脇ет 232. Длfl обно‚лениfl номе‡ ‰олжно быть уст‡но‚лено но‚ое сое‰инение. • Д‡нные ‡утентифик‡ции. Н‡конец, поле ‰‡нных ‡утентифик‡ции — езульт‡т пименениfl хэш-функции ко ‚сей IP-‰ейт‡„‡мме, исключ‡fl полfl, котоые менflютсfl ‚ течение т‡нзит‡ (н‡пиме, поле «‚емfl жизни»). Потокол AH обеспеч肇ет уст‡но‚ление по‰линности источник‡ и целостность ‰‡нных, но не конфи‰енци‡льность.

Полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой (ESP) Потокол AH не обеспеч肇ет секетность, ‡ только уст‡но‚ление по‰линности источник‡ и целостность ‰‡нных. Длfl IPSec был опе‰елен ‡льтен‡ти‚ный потокол Полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой (ESP — Encapsulating Security Payload), котоый „‡‡нтиует уст‡но‚ление по‰линности источник‡, целостность и секетность. ESP ‰оᇂлflет 燄оло‚ок и конечную метку. Об‡тите ‚ним‡ние, что ‰‡нные ‡утентифик‡ции ESP ‰оᇂлflютсfl ‚ конце п‡кет‡ — это ‰ел‡ет их ‚ычисление более постыми. Рисунок 18.8 пок‡зы‚‡ет ‡змещение 燄оло‚к‡ ESP и конечной метки.

Рис. 18.8. Потокол «Полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой» (ESP) К‡ ‰ейт‡„‡мм‡ IP пееносит 燄оло‚ок ESP и конечную метку, зн‡чение полfl потокол‡ ‚ 燄оло‚ке IP ‡‚но 50. Поле ‚ конечной метке ESP (поле сле‰ующе„о 燄оло‚к‡) со‰ежит пе‚он‡ч‡льное зн‡чение полfl потокол‡ (тип полезной 퇄узки, котоую несет ‰ейт‡„‡мм‡ IP, т‡кой к‡к TCP или UDP). Поце‰у‡ ESP ‚ыполнflетсfl сле‰ующими ш‡„‡ми. 1. Конечн‡fl метк‡ ESP ‰оᇂлflетсfl к полезной 퇄узке. 2. Полезн‡fl 퇄узк‡ и конечн‡fl метк‡ з‡шифо‚ы‚‡ютсfl. 3. Доᇂлflетсfl 燄оло‚ок ESP. 4. З‡„оло‚ок ESP, полезн‡fl 퇄узк‡ и конечн‡fl метк‡ ESP используютсfl, чтобы со片ть ‰‡нные ‡утентифик‡ции. 591

Кус

Кипто„‡фиfl и безоп‡сность сетей

5. Д‡нные ‡утентифик‡ции ‰оᇂлflютсfl ‚ конце конечной метки ESP. 6. З‡„оло‚ок IP ‰оᇂлflетсfl после изменениfl зн‡чениfl потокол‡ н‡ 50. Полfl 燄оло‚к‡ и конечной метки сле‰ующие. • Ин‰екс п‡‡мет‡ обеспечениfl безоп‡сности. Поле ин‰екс‡ п‡‡мет‡ обеспечениfl безоп‡сности н‡ 32 бит‡ со‚ет с тем, котоое опе‰елено ‰лfl потокол‡ AH. • Поfl‰ко‚ый номе. Поле поfl‰ко‚о„о номе‡ н‡ 32 бит‡ со‚ет с тем, котоое опе‰елено ‰лfl потокол‡ AH. • З‡полнение — это поле пееменной ‰лины (от 0 ‰о 255 б‡йто‚), состоflщее из нулей и служ‡щее з‡полнением. • Длин‡ з‡полнениfl. Поле ‰лины з‡полнениfl н‡ 8 бито‚ опе‰елflет число б‡йто‚ з‡полнениfl меж‰у 0 и 255; м‡ксим‡льное зн‡чение используетсfl е‰ко. • Сле‰ующий 燄оло‚ок. Поле сле‰ующе„о 燄оло‚к‡ н‡ 8 бито‚ со‚ет с тем, котоое опе‰елено ‰лfl потокол‡ AH. Оно ‚ыполнflет ту же с‡мую 燉‡чу, к‡к и поле потокол‡ ‚ 燄оло‚ке IP пее‰ инк‡псулflцией. • Д‡нные ‡утентифик‡ции. Н‡конец, поле ‰‡нных ‡утентифик‡ции — езульт‡т пименениfl схем ‡утентифик‡ции к ч‡стflм ‰ейт‡„‡ммы. Об‡тите ‚ним‡ние н‡ отличие меж‰у ‰‡нными ‡утентифик‡ции ‚ AH и ESP. В AH ч‡сть 燄оло‚к‡ IP ‚ключен‡ ‚ ‚ычисление ‰‡нных ‡утентифик‡ции, ‡ ‚ ESP — нет. ESP обеспеч肇ет уст‡но‚ление по‰линности источник‡, целостность ‰‡нных и секетность.

IPv4 и IPv6 IPSec пеж肇ет и IPv4, и IPv6. В IPv6, о‰н‡ко, AH и ESP — ч‡сть ‡сшиениfl 燄оло‚к‡.

С‡‚нение AH и ESP Потокол ESP был ‡з‡бот‡н, к‡ потокол AH был уже ‚ использнии. ESP умеет то, что AH ‰ел‡ет только с ‰ополнительными функцион‡льными ‚озможностflми (секетность). Вопос: почему же т‡ мы по-пежнему ну扇емсfl ‚ AH? Опе‰еленно„о от‚ет‡ нет. О‰н‡ко е‡лиз‡циfl AH ‚ключен‡ ‚ несколько коммеческих по‰укто‚, то есть AH ост‡нетсfl ч‡стью Интенет, пок‡ эти по‰укты не бу‰ут постепенно ‚ы‚е‰ены из употеблениfl.

Услу„и, обеспеч肇емые IPSec Эти ‰‚‡ потокол‡, AH и ESP, мо„ут обеспечить несколько услу„ безоп‡сности ‰лfl п‡кето‚ н‡ сете‚ом уо‚не. Т‡блиц‡ 18.1 пок‡зы‚‡ет список услу„, ‰оступных ‰лfl к‡ж‰о„о из этих потоколо‚. 592

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Т‡блиц‡ 18.1. Услу„и IPSec Услу„и Уп‡‚ление ‰оступом Access control Уст‡но‚ление по‰линности сообщениfl (целостность сообщениfl) Message authentication (message integrity) Уст‡но‚ление по‰линности объект‡ (уст‡но‚ление по‰линности источник‡ ‰‡нных) Entity authentication (data source authentication) Конфи‰енци‡льность Confidentiality З‡щит‡ от ‡т‡ки ‚оспоиз‚е‰ениfl Replay attack protection

AH ДА

ESP ДА

ДА

ДА

ДА НЕТ ДА

ДА ДА ДА

Уп‡‚ление ‰оступом IPSec обеспеч肇ет уп‡‚ление ‰оступом, кос‚енно использующее б‡зу ‰‡нных услу„ обеспечениfl безоп‡сности т‡фик‡ (SAD — Security Association Database), к‡к мы это у‚и‰им ‚ сле‰ующей секции. К‡ п‡кет ‰ост脇ет пункт‡ н‡зн‡чениfl и ‡тибуты службы обеспечениfl безоп‡сности т‡фик‡, уст‡но‚ленные ‰лfl это„о п‡кет‡, отсутст‚уют, п‡кет б‡куетсfl. Целостность сообщениfl Целостность сообщениfl сох‡нflетсfl и ‚ AH, и ‚ ESP. Д‡й‰жест ‰‡нных со片етсfl и посыл‡етсfl пе則тчиком, котоый бу‰ет по‚еен пиемником. Уст‡но‚ление по‰линности объект‡ Службы обеспечениfl безоп‡сности т‡фик‡ и ‰‡й‰жест ключе‚о„о хэшиниfl ‰‡нных, посл‡нных пе則тчиком, по‰т‚е扇ют по‰линность пе則тчик‡ ‰‡нных и ‚ AH, и ‚ ESP. Конфи‰енци‡льность Шифние сообщениfl обеспеч肇ет конфи‰енци‡льность ‚ ESP. AH о‰н‡ко, конфи‰енци‡льность не „‡‡нтиует. Если конфи‰енци‡льность необхо‰им‡, нужно использть ESP ‚место AH. З‡щит‡ от ‡т‡ки ‚оспоиз‚е‰ениfl В обоих потокол‡х пе‰от‚‡щ‡етсfl ‡т‡к‡ ‚оспоиз‚е‰ениfl з‡ счет пименениfl поfl‰ко‚ых номео‚ и скользflще„о окн‡ пиемник‡. К‡ж‰ый IPSec-燄оло‚ок со‰ежит уник‡льный поfl‰ко‚ый номе — к‡ уст‡но‚лены Службы обеспечениfl безоп‡сности т‡фик‡. Числ‡ н‡чин‡ютсfl от 0 и у‚елич肇ютсfl, пок‡ не ‰ост脇ют зн‡чениfl 232 – 1 (‡зме полfl поfl‰ко‚о„о номе‡ — 32 бит‡). К‡ поfl‰ко‚ый номе ‰ост脇ет м‡ксимум‡, он сб‡сы‚‡етсfl ‚ 0, и ‚ то же с‡мое ‚емfl у‰‡лflютсfl ст‡ые Службы обеспечениfl безоп‡сности т‡фик‡ (см. сле‰ующую секцию) и уст‡н‡‚л肇ютсfl но‚ые. Чтобы пе‰от‚‡щ‡ть п‡кеты ‰ублик‡т‡ об‡ботки, IPSec использует фиксинный ‡зме окн‡ пиемник‡. Р‡зме окн‡ пиемник‡ з‡‰‡н по умолч‡нию зн‡чением 64. Рисунок 18.9 пок‡зы‚‡ет окно от‚ет‡. Окно имеет фиксинный 593

Кус

Кипто„‡фиfl и безоп‡сность сетей

‡зме W. З‡темненные п‡кеты пок‡зы‚‡ют, что полученные п‡кеты были по‚еены и ‡утентифицины.

Рис. 18.9 Окно от‚ет‡ К‡ п‡кет ‰ост脇ет пиемник‡, ‚ 燂исимости от зн‡чениfl поfl‰ко‚о„о номе‡ может поизойти о‰но из тех событий:. 1. Поfl‰ко‚ый номе п‡кет‡ — меньше чем N. Т‡ п‡кет ‡змещ‡етсfl н‡ле‚о от окн‡ и бу‰ет з‡б‡кн. Он либо fl‚лflетсfl ‰ублик‡том, либо ‚емfl е„о пибытиfl истекло. 2. Поfl‰ко‚ый номе п‡кет‡ — меж‰у N и (N + W – 1) ‚ключительно. Т‡ п‡кет ‡змещ‡етсfl ‚ окне. В этом случ‡е, если п‡кет но‚ый (неотмеченный) и он со‰ежит ‡утентифик‡ционный тест, поfl‰ко‚ый номе отмеч‡етсfl, и п‡кет пиним‡етсfl. Ин‡че (если п‡кет не но‚ый) он б‡куетсfl. 3. Поfl‰ко‚ый номе п‡кет‡ больше, чем (N + W – 1). Т‡ п‡кет ‡змещ‡етсfl сп‡‚‡ от окн‡. В этом случ‡е, если п‡кет ‡утентифицин, соот‚етст‚ующий поfl‰ко‚ый номе отмеч‡етсfl и окно пеемещ‡етсfl (скользит) ‚п‡‚о и з‡ним‡ет отмеченный поfl‰ко‚ый номе. Ин‡че (если не ‡утентифицин) п‡кет б‡куетсfl. Об‡тите ‚ним‡ние, что это может случитьсfl, если п‡кет пибы‚‡ет с поfl‰ко‚ым номеом, н‡мно„о большим, чем (N + W) (очень ‰‡леким от п‡‚о„о к‡fl окн‡). В этом случ‡е скольжение ‚п‡‚о может пи‚ести к по‡нию нем‡кинных поfl‰ко‚ых номео‚ н‡ле‚о от окн‡. Эти п‡кеты, к‡ они пибы‚‡ют, ник‡ не бу‰ут пиним‡тьсfl; их ‚емfl истекло. Н‡пиме (н‡ ис. 18.9), если п‡кет пибы‚‡ет с поfl‰ко‚ым номеом (N + W + 3), окно пеемещ‡етсfl и ле‚ый к‡й н‡чнетсfl с (N + 3). Это озн‡ч‡ет, что поfl‰ко‚ый номе (N + 2) тепеь ‚не окн‡. Если п‡кет пибы‚‡ет с этим поfl‰ко‚ым номеом, он бу‰ет з‡б‡кн.

18.3. Услу„и обеспечениfl безоп‡сности т‡фик‡ Услу„и обеспечениfl безоп‡сности т‡фик‡ — очень ‚‡жный ‡спект IPSec. IPSec тебует меж‰у ‰‚умfl хост‡ми ло„ических отношений, н‡зы‚‡емых услу„и обеспечениfl безоп‡сности т‡фик‡ (SA — Security Association). В этом ‡з‰еле ‚н‡ч‡ле ‡ссмотим и‰ею, ‡ з‡тем пок‡жем, к‡к он‡ используетсfl ‚ IPSec. 594

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

И‰еfl услу„ обеспечениfl безоп‡сности т‡фик‡ Услу„‡ обеспечениfl безоп‡сности т‡фик‡ (SA — Security Association) — со„л‡шение меж‰у ‰‚умfl стоон‡ми ‰лfl со片ниfl безоп‡сно„о к‡н‡л‡ меж‰у ними. Пе‰положим, что Алис‡ ‰олжн‡ о‰нон‡п‡‚ленно с‚flз‡тьсfl с Бобом. Если Алис‡ и Боб интеесуютсfl только ‡спектом конфи‰енци‡льности и безоп‡сности, они мо„ут получить обще‰оступный ключ з‡секеч肇ниfl ‰лfl с‚flзи меж‰у собой. Мы можем ск‡з‡ть, что эз‰есь 燉ейст‚ны ‰‚е услу„и обеспечениfl безоп‡сности т‡фик‡ (SA’s) меж‰у Алисой и Бобом: о‰н‡ SA — исхо‰flщ‡fl и о‰н‡ SA — ‚хо‰flщ‡fl. К‡ж‰ый из них х‡нит зн‡чение ключ‡ и имfl ‡л„оитм‡ шифниfl/‰ешифниfl. Алис‡ использует ‡л„оитм и ключ, чтобы з‡шифть сообщение Бобу; Боб использует ‡л„оитм и ключ, к‡ он ‰олжен ‡сшифть сообщение, полученное от Алисы. Рисунок 18.10 пок‡зы‚‡ет эти постые услу„и SA. Услу„и обеспечениfl безоп‡сности т‡фик‡ мо„ут быть ‡сшиены, если н‡ши ‰‚е стооны ну扇ютсfl ‚ „‡‡нтии целостности сообщениfl и уст‡но‚лении по‰линности. Т‡ к‡ж‰ое т‡кое сообщест‚о ну扇етсfl ‚ ‰ополнительных ‰‡нных, н‡пиме, т‡ких к‡к ‡л„оитм ‰лfl целостности сообщениfl, ключ и ‰у„ие п‡‡меты. Все может быть н‡мно„о сложнее, если стооны использли ‡зличные потоколы, котоые имеют ‡зные ‡л„оитмы и п‡‡меты — н‡пиме, IPSec AH или IPSec ESP.

Рис. 18.10. Постые услу„и обеспечениfl безоп‡сности (SA)

Б‡з‡ ‰‡нных услу„ обеспечениfl безоп‡сности Услу„и обеспечениfl безоп‡сности мо„ут быть о„‡низны очень сложно. Это особенно сп‡‚е‰ли‚о, если Алис‡ хочет пе則‚‡ть сообщениfl мно„им лю‰flм, ‡ Боб ‰олжен получ‡ть сообщениfl от мно„их лю‰ей. Коме то„о, к‡ж‰‡fl стоон‡ ‰олжен иметь и ‚хо‰flщие, и исхо‰flщие SA’s, чтобы поз‚олить осущест‚лflть ‰‚ун‡п‡‚ленную с‚flзь. Ду„ими слми, мы ну扇емсfl ‚о множест‚е SA’s, котоые мо„ут быть соб‡ны ‚ б‡зу ‰‡нных. Эт‡ б‡з‡ ‰‡нных н‡зы‚‡етсfl Б‡зой ‰‡нных Услу„ обеспечениfl безоп‡сности (SAD — Security Association Database). Б‡зу ‰‡нных можно пе‰ст‡‚лflть к‡к ‰‚уменую т‡блицу с к‡ж‰ой стокой, опе‰елflющей е‰инст‚енную SA. Обычно есть ‰‚е SAD’s: о‰н‡ — ‚хо‰flщ‡fl и о‰н‡ — исхо595

Кус

Кипто„‡фиfl и безоп‡сность сетей

‰flщ‡fl. Рисунок 18.11 пок‡зы‚‡ет концепцию исхо‰flщих и ‚хо‰flщих SAD’s ‰лfl о‰но„о объект‡.

Рис. 18.11 Б‡з‡ ‰‡нных услу„ обеспечениfl безоп‡сности К‡ хост ‰олжен пе則ть п‡кет, котоый ‰олжен ‰ост‡‚ить IPSec-燄оло‚ок, хост ‰олжен н‡йти соот‚етст‚ующий исхо‰flщий SAD и н‡йти инфом‡цию ‰лfl то„о, чтобы пименить услу„и безоп‡сности к п‡кету. Точно т‡к же, к‡ хост получ‡ет п‡кет, котоый ‰олжен ‰ост‡‚ить IPSec-燄оло‚ок, хост ‰олжен н‡йти соот‚етст‚ующий ‚хо‰ ‚о ‚хо‰flщем SAD, н‡йти нужную инфом‡цию ‰лfl по‚еки безоп‡сности п‡кет‡. Этот поиск ‰олжен быть 燉‡н т‡к: пиемный хост ‰олжен убе‰итьсfl, что ‰лfl об‡ботки п‡кет‡ используетсfl п‡‚ильн‡fl инфом‡циfl, чтобы об‡бот‡ть п‡кет. К‡ж‰ый ‚хо‰ ‚о ‚хо‰flщем SAD ‚ыби‡етсfl, используfl тойной ин‰екс: ин‰екс п‡‡мет‡ обеспечениfl безоп‡сности, ‡‰ес пункт‡ н‡зн‡чениfl и потокол. Ин‰екс п‡‡мет‡ обеспечениfl безоп‡сности. Ин‰екс п‡‡мет‡ обеспечениfl безоп‡сности (SPI) — число н‡ 32 бит‡, котоое опе‰елflет SA ‚ пункте н‡зн‡чениfl. К‡к мы у‚и‰им позже, SPI опе‰елен ‚ течение SA-пее„о‚оо‚. Тот же с‡мый SPI ‚ключен ‚о ‚се IPSec-п‡кеты, пи퇉леж‡щие о‰ному и тому же ‚хо‰flщему SA. А‰ес пункт‡ н‡зн‡чениfl. Втоой ин‰екс — ‡‰ес пункт‡ н‡зн‡чениfl хост‡. Мы ‰олжны помнить, что хост ‚ Интенете обычно имеет о‰ин ин‰и‚и‰у‡льный ‡‰ес пункт‡ н‡зн‡чениfl, но у не„о мо„ут быть несколько ‡‰есо‚ „уппо‚ой ‡ссылки. IPSec тебует, чтобы SA был уник‡лен ‰лfl к‡ж‰о„о ‡‰ес‡ пункт‡ н‡зн‡чениfl. Потокол. IPSec имеет ‰‚‡ ‡зличных потокол‡ безоп‡сности: AH и ESP. Чтобы от‰елить п‡‡меты и инфом‡цию, используемую ‰лfl к‡ж‰о„о потокол‡, IPSec тебует, чтобы пункт н‡зн‡чениfl опе‰елflл ‡зличный SA ‰лfl к‡ж‰о„о потокол‡. 596

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Вхо‰ы ‰лfl к‡ж‰ой стоки н‡зы‚‡ютсfl п‡‡мет‡ми SA. Типичные п‡‡меты пок‡з‡ны ‚ т‡блице 18.2. Т‡блиц‡ 18.2. Типичные п‡‡меты SA Счетчик поfl‰ко‚о„о номе‡ Это зн‡чение н‡ 32 бит‡, котоое используетсfl, Sequence Number Counter чтобы „енеить поfl‰ко‚ые номе‡ ‰лfl AHили ESP-燄оло‚к‡ Пееполнение поfl‰ко‚о„о Это фл‡жок, котоый опе‰елflет ‚‡и‡нты номе‡ Sequence Number состоflниfl ‚ случ‡е пееполнениfl поfl‰ко‚о„о Overflow номе‡ Окно ‡нти‚оспоиз‚е‰ениfl Оно обн‡уж肇ет ‚хо‰flщий ‚оспоиз‚е‰енный Anti-Replay Window п‡кет AH или п‡кет ESP Инфом‡циfl AH Эт‡ секциfl со‰ежит инфом‡цию ‰лfl AH Information потокол‡ AH: 1. Ал„оитм ‡утентифик‡ции 2. Ключи 3. Вемfl жизни ключ‡ 4. Ду„ие с‚flз‡нные п‡‡меты Инфом‡циfl ESP Эт‡ секциfl со‰ежит инфом‡цию ‰лfl ESP Information потокол‡ ESP: 1. Ал„оитм шифниfl 2. Ал„оитм ‡утентифик‡ции 3. Ключи 4. Вемfl жизни ключ‡ 5. Векто иници‡лиз‡ции 6. Ду„ие с‚flз‡нные п‡‡меты Вемfl жизни SA Lifetime Опе‰елflет ‚емfl жизни ‰лfl SA Режим IPSec IPSec Mode Опе‰елflет ежим, т‡нспотный или туннельный Путь MTU Path MTU Опе‰елflет путь МАКСИМАЛЬНЫЙ ПЕРЕДАВАЕМЫЙ БЛОК (ф‡„мент‡цию).

18.4. Ст‡те„иfl безоп‡сности Ду„ой ‡спект импот‡ IPSec — Ст‡те„иfl безоп‡сности (SP — Security Policy), кото‡fl опе‰елflет тип безоп‡сности, пе‰ост‡‚лflемой п‡кету, к‡ е„о нужно пе則ть или к‡ е„о нужно пинflть. Пее‰ тем к‡к использть SAD, ‡ссмотенный ‚ пе‰ы‰ущем ‡з‰еле, хост ‰олжен опе‰елить з‡‡нее 燉‡нную ст‡те„ию обслуж肇ниfl это„о п‡кет‡.

Б‡з‡ ‰‡нных ст‡те„ии безоп‡сности К‡ж‰ый хост, котоый пименflет IPSec-потокол, ‰олжен х‡нить Б‡зу ‰‡нных ст‡те„ии безоп‡сности (SPD — Security Policy Database). Пи этом, к‡к и 597

Кус

Кипто„‡фиfl и безоп‡сность сетей

‡ньше, необхо‰имо иметь ‚хо‰flщую SPD и исхо‰flщую SPD. К к‡ж‰ому ‚хо‰у ‚ SPD можно об‡титьсfl, используfl ин‰екс из шести позиций: исхо‰ный ‡‰ес, ‡‰ес пункт‡ н‡зн‡чениfl, н‡з‚‡ние потокол‡, исхо‰ный пот и пот пункт‡ н‡зн‡чениfl, к‡к пок‡з‡но н‡ ис. 18.12.

Рис. 18.12. Б‡з‡ ‰‡нных Ст‡те„ии Безоп‡сности (SPD) Источник и ‡‰ес‡ пункт‡ н‡зн‡чениfl мо„ут быть ин‰и‚и‰у‡льные, „уппо‚ой ‡ссылки или „уппо‚ой сим‚ол (wildcard1) — их имfl обычно опе‰елflет ‚ Интенете объект ‰оменной системы имен (DNS). Потокол fl‚лflетсfl или AH, или ESP. Источник и поты пункт‡ н‡зн‡чениfl — ‡‰ес‡ пот‡ ‰лfl поцесс‡, функциониующе„о ‚ хост‡х пункт‡ н‡зн‡чениfl и источнике. Исхо‰flщ‡fl SPD К‡ п‡кет нужно пе則ть, то ‡бот‡ют с исхо‰flщим SPD. Рисунок 18.13 пок‡зы‚‡ет об‡ботку п‡кет‡ пе則тчиком. Вхо‰ исхо‰flще„о SPD состоит из шестизн‡чно„о ин‰екс‡; ‚ыхо‰ со‰ежит о‰ин из тех езульт‡то‚. 1. Скинуть. Это озн‡ч‡ет, что п‡кет, опе‰еленный этим ин‰ексом, нельзfl пе則ть; он отб‡сы‚‡етсfl. 2. Обхо‰. Это озн‡ч‡ет, что нет ник‡кой ст‡те„ии ‰лfl п‡кет‡ с этим ин‰ексом ст‡те„ии; п‡кет пе則ют ‚ обхо‰, не пименflfl ‰ейст‚ий с 燄оло‚ком безоп‡сности. 3. Пименить. В этом случ‡е пименflетсfl ‡бот‡ с 燄оло‚ком безоп‡сности. Пи этом мо„ут ‚озникнуть ‰‚е ситу‡ции: ‡. Если исхо‰flщую SA уже уст‡но‚или, ‚оз‚‡щ‡етсfl тойной ин‰екс SA, котоый ‚ыби‡етсfl соот‚етст‚ующей SA из исхо‰flще„о SAD. Фомиуетсfl AH или 燄оло‚ок ESP; шифние, уст‡но‚ление по‰линности или об‡ этих ‰ейст‚иfl пименflютсfl ‚ соот‚етст‚ии с ‚ыб‡нной SA. П‡кет пе則етсfl. 1

wildcard – ‚ ‡н„лоflзычной лите‡туе поним‡етсfl к‡к сим‚ол, ук‡зы‚‡ющий, что по‰хо‰ит любой сим‚ол из „уппы. Н‡пиме, пи поиске нужных ф‡йло‚ зн‡к «*» обозн‡ч‡ет «люб‡fl буꂇ». 598

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Рис. 18.13 Исхо‰flщий поцесс б. Если исхо‰flщ‡fl SA еще не уст‡но‚лен‡, то ‚ызы‚‡етсfl потокол Интенет обмен‡ ключ‡ми (IKE — Internet Key Exchange) (см. сле‰ующую секцию), чтобы со片ть исхо‰flщую и ‚хо‰flщую SA ‰лfl это„о т‡фик‡. Исхо‰flщ‡fl SA ‰оᇂлflетсfl источником к исхо‰flщей SAD; ‚хо‰flщ‡fl SA ‰оᇂлflетсfl пунктом н‡зн‡чениfl к ‚хо‰flщей SAD. Вхо‰flщий SPD К‡ п‡кет пибы‚‡ет, то по‚о‰итсfl ‡бот‡ с ‚хо‰flщей SPD. К к‡ж‰ому ‚хо‰у ‚о ‚хо‰flщей SPD т‡кже об‡щ‡ютсfl, используfl тот же с‡мый шестик‡тный ин‰екс. Рисунок 18.14 пок‡зы‚‡ет об‡ботку п‡кет‡ пиемником. 599

Кус

Кипто„‡фиfl и безоп‡сность сетей

Вхо‰ к ‚хо‰flщему SPD — шестик‡тный ин‰екс; ‚ыхо‰ — о‰ин из тех езульт‡то‚. 1. Сбосить. Это озн‡ч‡ет, что п‡кет, опе‰еленный ст‡те„ией, ‰олжен быть отбошен. 2. Обхо‰. Это озн‡ч‡ет, что нет ник‡кой ст‡те„ии ‰лfl п‡кет‡ с этим ин‰ексом ст‡те„ии; п‡кет об‡б‡ты‚‡етсfl, и„ноиуfl инфом‡цию от AH или 燄оло‚ок ESP. П‡кет ‰ост‡‚лflют т‡нспотному уо‚ню. 3. Пименить. В этом случ‡е 燄оло‚ок безоп‡сности ‰олжен быть об‡бот‡н. З‰есь мо„ут ‚озникнуть ‰‚е ситу‡ции. ‡. если ‚хо‰flщ‡fl SA уже уст‡но‚лен‡, ‚оз‚‡щ‡етсfl тойной ин‰екс SA, котоый ‚ыби‡етсfl соот‚етст‚ующей SA из ‚хо‰flще„о SAD. Пименflютсfl ‰ешифние, уст‡но‚ление по‰линности или об‡ этих ‰ейст‚иfl. Если п‡кет пе則ет китеии безоп‡сности, AH или 燄оло‚ок ESP з‡б‡кн, и п‡кет ‰ост‡‚лflют т‡нспотному уо‚ню; б. если SA еще не уст‡но‚лен‡, то п‡кет ‰олжен быть з‡б‡кн.

Рис. 18.14 Вхо‰flщий поцесс 600

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

18.5. Потокол интенет-обмен‡ ключ‡ми (IKE) Потокол Интенет-обмен‡ ключ‡ми (IKE — Internet Key Exchange) ‰олжен со片‚‡ть и ‚хо‰flщие, и исхо‰flщие услу„и обеспечениfl безоп‡сности. К‡к мы обсу扇ли ‚ пе‰ы‰ущей секции, к‡ п‡кет IP ‰олжен быть пе則н меж‰у ‡‚ными уо‚нflми, т‡ об‡щ‡ютсfl к б‡зе ‰‡нных ст‡те„ии безоп‡сности (SPDB), чтобы ‚и‰еть, есть ли SA ‰лfl т‡ко„о тип‡ т‡фик‡. Если нет т‡кой SA, ‚ызы‚‡етсfl IKE, чтобы уст‡но‚ить ее. Потокол Интенет-обмен‡ ключ‡ми со片ет услу„и обеспечениfl безоп‡сности SA’s ‰лfl потокол‡ IPSec. IKE — сложный потокол, осннный н‡ тех ‰у„их потокол‡х: OAKLEY, SKEME и ISAKMP, к‡к пок‡з‡но н‡ ис. 18.15.

Рис. 18.15. Компоненты потокол‡ уп‡‚лениfl ключ‡ми ‚ Интенете Потокол Oakley был ‡з‡бот‡н Хилл‡и Ом‡ном. Это потокол со片ниfl ключ‡, осннный н‡ мето‰е смены ключей Диффи-Хеллм‡н‡, но с некотоыми усо‚ешенст‚ниflми. Oakley — потокол со с‚обо‰ным фом‡том, ‚ том смысле, что он не опе‰елflет фом‡т сообщений, котоыми бу‰ут обмен肇тьсfl стооны. В этой лекции мы не обсу扇ем потокол Oakley непосе‰ст‚енно, но пок‡зы‚‡ем, к‡к IKE использует е„о и‰еи. SKEME, ‡з‡бот‡нный Хью„о К‡‚чиком, fl‚лflетсfl еще о‰ним потоколом ‰лfl смены ключей. Он использует шифние откытым ключом ‰лfl уст‡но‚лениfl по‰линности объект‡ ‚ потоколе смены ключей. Мы коотко ‡ссмотим, к‡к о‰ин из мето‰о‚, используемых IKE, б‡зиуетсfl н‡ SKEME. Internet-услу„и обеспечениfl безоп‡сности и потокол уп‡‚лениfl ключ‡ми (ISAKMP) fl‚лflютсfl потоколом, ‡з‡бот‡нным А„ентст‚ом Н‡цион‡льной безоп‡сности (NSA), котоый ф‡ктически осущест‚лflет обмен сообщениflми, опе‰еленными ‚ IKE. Он опе‰елflет некотоые п‡кеты, потоколы и п‡‡меты, котоые поз‚олflют по‚о‰ить обмен сообщениflми IKE ‚ ст‡н‰‡тизинных, отфом‡тинных сообщениflх, чтобы со片ть SA’s. Мы обсу‰им ISAKMP ‚ сле‰ующей секции к‡к потокол, осущест‚лflющий IKE. В этой секции мы по„о‚оим непосе‰ст‚енно об IKE к‡к о мех‡низме ‰лfl со片ниfl услу„ безоп‡сности ‚ SA’s ‚ IPSec. 601

Кус

Кипто„‡фиfl и безоп‡сность сетей

Улучшенный потокол уп‡‚лениfl ключ‡ми Диффи-Хеллм‡н‡ И‰еfl смены ключей ‚ IKE б‡зиуетсfl н‡ потоколе Диффи-Хеллм‡н‡. Этот потокол обеспеч肇ет ключ се‡нс‡ меж‰у ‰‚умfl ‡‚ными по уо‚ню поцесс‡ми, без необхо‰имости сущест‚ниfl любых п剂‡ительных се‰ст‚ безоп‡сности. В лекции 15 мы обсу‰или мето‰ Диффи-Хеллм‡н‡; концепциfl это„о мет суммио‚‡н‡ н‡ ис. 18.16.

Рис. 18.16. Обмен ключ‡ми по мето‰у Диффи-Хеллм‡н‡ В пе‚он‡ч‡льном мето‰е обмен‡ ключей Диффи-Хеллм‡н‡ ‰‚е стооны со片ют симметичный ключ се‡нс‡, чтобы обмен肇тьсfl ‰‡нными. Пи этом им не 퇉о помнить или х‡нить ключ ‰лfl бу‰уще„о использниfl. Пее‰ уст‡но‚лением симметично„о ключ‡ эти ‰‚е стооны ‰олжны ‚ыб‡ть ‰‚‡ числ‡: p и g. Пе‚ое число, p, fl‚лflетсfl большим постым числом поfl‰к‡ 300 ‰есflтичных циф (1024 бит‡). Втоое число, g, — „ене‡то ‚ „уппе . Алис‡ ‚ыби‡ет большое случ‡йное число i и ‚ычислflет KE-I = gi mod p. Он‡ пе則ет KE-I Бобу. Боб ‚ыби‡ет ‰у„ое большое случ‡йное число r и ‚ычислflет KE-R = gr mod p. Он пе則ет KE-R Алисе. Н‡помин‡ем, что KE-I и KE-R, к‡к полуключи мет Диффи-Хеллм‡н‡, с„енеины ‰лfl ‡‚ных по уо‚ню поцессо‚. Они ‰олжны быть объе‰инены ‚месте, чтобы со片ть полный ключ, K = gir mod p у. K — это симметичный ключ ‰лfl се‡нс‡. Потокол Диффи-Хеллм‡н‡ имеет некотоые сл‡бости, котоые ‰олжны быть уст‡нены пеж‰е, чем он ст‡нет пиемлемым ‰лfl обмен‡ ключей ‚ Интенет. З‡соflющ‡fl ‡т‡к‡ Пе‚‡fl поблем‡ с потоколом Диффи-Хеллм‡н‡ — з‡соflющ‡fl ‡т‡к‡ или ‡т‡к‡ отк‡з‡ ‚ обслуж肇нии. Злоумышленник может пе則ть мно„о полуклю602

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

чей (gx mod q) сообщениfl Бобу, симулиуfl, что они из ‡зличных источнико‚. Т‡ Боб ‰олжен ‚ычислить ‡зличные от‚еты (gy mod q) и ‚ то же с‡мое ‚емfl ‚ычислить полный ключ (gxy mod q); это 燄узит Боб‡ н‡столько, что он может пек‡тить от‚еч‡ть н‡ любые ‰у„ие сообщениfl. Он бу‰ет отк‡зы‚‡ть ‚ обслуж肇нии клиент‡м. Т‡кое может случитьсfl, потому что потокол Диффи-Хеллм‡н‡ тебует большо„о ‚емени ‰лfl ‚ычислений. Чтобы пе‰от‚‡тить ‡т‡ку з‡соениfl, мы можем ‰оᇂить к потоколу ‰‚‡ ‰ополнительных сообщениfl и ‚ыну‰ить эти ‰‚е стооны пе則ть cookies1. Рисунок 18.17 пок‡зы‚‡ет об‡ботку, кото‡fl может пе‰от‚‡тить з‡соflющую ‡т‡ку. Cookies — езульт‡т хэшиниfl уник‡льных и‰ентифик‡тоо‚ поцессо‚, ‡‚ных по уо‚ню (т‡ких к‡к ‡‰ес IP, число пот‡ и потокол, секетное случ‡йное число, из‚естное стоон‡м, котоые „енеиует cookies, и метк‡ ‚емени).

Рис. 18.17. Мето‰ Диффи-Хеллм‡н‡ с cookies Иници‡то пе則ет собст‚енное cookie; от‚етн‡fl стоон‡ — с‚ой cookie. Об‡ cookies по‚тоflютсfl ‚ неизмененном ‚и‰е ‚ к‡ж‰ом после‰ующем сообщении. Вычислениfl полуключей и ключ‡ се‡нс‡ отложены ‰о ‚оз‚‡щениfl cookies. 1

Cookies (н‡ слен„е – «плюшки») – небольшой ф‡„мент ‰‡нных, со‰еж‡щих пе‰ыстоию об‡щений ‰‡нно„о пользтелfl к ‰‡нному WWW-се‚еу; ‡‚том‡тически со片етсfl се‚еом н‡ м‡шине пользтелfl. 603

Кус

Кипто„‡фиfl и безоп‡сность сетей

Если любой из поцессо‚ это„о уо‚нfl — х‡ке, ‰ел‡ющий попытку з‡соflющей ‡т‡ки, cookies не ‚оз‚‡щ‡етсfl; соот‚етст‚ующ‡fl стоон‡ не т‡тит ‚емfl и усилие н‡ ‚ычисление полуключ‡ или ключ‡ се‡нс‡. Н‡пиме, если иници‡то — х‡ке, использующий фикти‚ный ‡‰ес IP, то иници‡то не получ‡ет ‚тоое сообщение и не может пе則ть тетье сообщение. Поцесс пеы‚‡етсfl. Чтобы з‡щититьсfl от з‡соflющей ‡т‡ки, IKE использует cookies. Ат‡к‡ ‚оспоиз‚е‰ениfl По‰обно ‰у„им потокол‡м, котоые мы ‡ссм‡т肇ли ‰о сих по, потокол Диффи-Хеллм‡н‡ не устойчи‚ к ‡т‡ке ‚оспоиз‚е‰ениfl; инфом‡циfl от о‰но„о се‡нс‡ может быть з‡пис‡н‡ без ‡сшифо‚ки и ‚оспоиз‚е‰ен‡ ‚ бу‰ущем се‡нсе злоумышленником. Р‡‰и пе‰от‚‡щениfl этой ‡т‡ки мы можем ‰оᇂить nonce к тетьему и чет‚етому сообщениflм, чтобы сох‡нить с‚ежесть сообщениfl. Чтобы з‡щититьсfl поти‚ ‡т‡ки ‚оспоиз‚е‰ениfl, IKE использует nonce. Ат‡к‡ «посе‰ниꇻ Тетий и н‡иболее оп‡сный ‚и‰ ‡т‡ки потокол‡ Диффи-Хеллм‡н‡ — ‡т‡к‡ «посе‰ниꇻ, п剂‡ительно ‡ссмотенн‡fl ‚ лекции 15. Е‚‡ может ‚ойти ‚ сее‰ину ‰и‡л и со片ть о‰ин ключ меж‰у Алисой и собой и ‰у„ой ключ меж‰у Бобом и собой. Со‚‡ть эту ‡т‡ку не т‡к посто, к‡к пе‚ые ‰‚е. Мы ‰олжны по‰т‚е‰ить ‡утентифик‡цию к‡ж‰ой стооны. Алис‡ и Боб ‰олжны убе‰итьсfl, что сох‡нен‡ целостность сообщений и что об‡ ‡утентифицины по отношению ‰у„ к ‰у„у. Аутентифик‡циfl обмен‡ сообщений (целостность сообщениfl) и ‡утентифик‡циfl стоон (‡утентифик‡циfl объект‡) тебует, чтобы к‡ж‰‡fl стоон‡ ‰ок‡з‡л‡, что у нее есть тебуемый ко‰ и‰ентифик‡ции. Чтобы с‰ел‡ть это, к‡ж‰ый ‰олжен ‰ок‡з‡ть, что он об뇉‡ет секетностью. Чтобы з‡щититьсfl поти‚ ‡т‡ки «посе‰ниꇻ, IKE тебует, чтобы к‡ж‰‡fl стоон‡ пок‡з‡л‡, что он‡ об뇉‡ет секетностью. В IKE секетность может з‡ключ‡тьсfl ‚ о‰ном из сле‰ующих сочет‡ний ключей: ‡. п剂‡ительный откытый ключ з‡секеч肇ниfl; б. п剂‡ительно из‚естн‡fl п‡‡ откыто„о ключ‡ шифниfl/‰ешифниfl. Объект ‰олжен пок‡з‡ть, что сообщение, з‡шифнное объfl‚ленным откытым ключом, может быть ‡сшифно им с помощью соот‚етст‚ующе„о секетно„о ключ‡; ‚. п剂‡ительно из‚естн‡fl п‡‡ откыто„о ключ‡ цифо‚ой по‰писи. Объект ‰олжен пок‡з‡ть, что он может по‰пис‡ть сообщение с‚оим секетным ключом, котоый может быть по‚еен е„о объfl‚ленным откытым ключом. 604

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Ф‡зы IKE IKE со片ет SA’s ‰лfl обмен‡ сообщениflми потокол‡, т‡ко„о к‡к IPSec. IKE, о‰н‡ко, ‰олжен обмен肇тьсfl конфи‰енци‡льными и ‡утентифицинными сообщениflми. К‡кие SA’s обеспеч肇ет потокол IKE ‰лfl себfl? Можно ‰о„‡‰‡тьсfl, что он тебует бесконечной цепочки SA’s: IKE ‰олжен со片ть SA’s ‰лfl IPSec, потокол X ‰олжен со片ть SA’s ‰лfl IKE, потокол Y ‰олжен со片ть SA’s ‰лfl потокол‡ X, и т‡к ‰‡лее. Длfl то„о чтобы ешить эту ‰илемму и ‚ то же ‚емfl ост‡‚ить IKE не燂исимым от потокол‡ IPSec, ‡з‡ботчики IKE ‡з‰елили IKE н‡ ‰‚е ф‡зы. В ф‡зе I IKE со片ет SA’s ‰лfl ф‡зы II. В ф‡зе II IKE со片ет SA’s ‰лfl IPSec или некотоых ‰у„их потоколо‚. Ф‡з‡ I fl‚лflетсfl б‡зо‚ой; ф‡з‡ II 燉‡н‡ ‰лfl потокол‡. IKE ‡з‰елен н‡ ‰‚е ф‡зы: ф‡з‡ I и ф‡з‡ II. Ф‡з‡ I со片ет SA’s ‰лfl ф‡зы II; ф‡з‡ II со片ет SA’s ‰лfl потокол‡ обмен‡ ‰‡нными, н‡пиме, т‡ко„о к‡к IPSec. О‰н‡ко ост‡етсfl ‚опос: к‡к з‡щищен‡ ф‡з‡ 1? В сле‰ующей секции мы пок‡жем, к‡к ф‡з‡ 1 использует SA, котоый сфомин постепенно. Более ‡нние сообщениfl з‡менflютсfl ‚ исхо‰ном тексте; более поз‰ние сообщениfl з‡менflютсfl со片нными из ‡нних сообщений.

Ф‡зы и ежимы Чтобы учесть ‡знооб‡зие мето‰о‚ обмен‡, IKE опе‰елил ‰лfl ф‡з ежимы. В н‡стоflщее ‚емfl есть ‰‚‡ ежим‡ ‰лfl ф‡зы I: осно‚ной ежим и эне„ичный ежим. Е‰инст‚енный ежим ‰лfl ф‡зы II — быстый ежим. Рисунок 18.18 пок‡зы‚‡ет отношениfl меж‰у ф‡з‡ми и ежим‡ми.

Рис. 18.18. Ф‡зы IKE 605

Кус

Кипто„‡фиfl и безоп‡сность сетей

 燂исимости от х‡‡кте‡ п剂‡ительной секетности меж‰у этими ‰‚умfl стоон‡ми, ежимы ф‡зы I мо„ут использть о‰ин из четыех ‡зличных мето‰о‚ ‡утентифик‡ции: мето‰ п剂‡ительно„о откыто„о ключ‡ з‡секеч肇ниfl, мето‰ пе‚он‡ч‡льно„о откыто„о ключ‡, мето‰ пеесмотенно„о откыто„о ключ‡ или мето‰ цифо‚ой по‰писи, к‡к это пок‡з‡но н‡ ис. 18.19.

Рис. 18.19. Мето‰ы осно‚но„о или эне„ично„о ежим‡

Ф‡з‡ I: осно‚ной ежим В осно‚ном ежиме иници‡то и еспон‰ент обмен肇ютсfl шестью сообщениflми. В пе‚ых ‰‚ух сообщениflх они обмен肇ютсfl cookies (чтобы з‡щитить поти‚ з‡соflющей ‡т‡ки и ‰о„о‚оитьсfl о п‡‡мет‡х SA): иници‡то пе則ет fl‰ пе‰ложений; еспон‰ент ‚ыби‡ет о‰но из них. К‡ они обменflютсfl пе‚ыми ‰‚умfl сообщениflми, иници‡то и еспон‰ент зн‡ют п‡‡меты SA и у‚еены, что ‰у„‡fl стоон‡ сущест‚ует и з‡соflющ‡fl ‡т‡к‡ не ‚озникнет. В тетьих и чет‚етых сообщениflх иници‡то и еспон‰ент обычно обмен肇ютсfl с‚оими полуключ‡ми (gi и gr мет Диффи-Хеллм‡н‡) и их nonce (‰лfl з‡щиты от‚ет‡). В некотоых метх обмен肇ютсfl ‰у„ой инфом‡цией, о котоой мы по„о‚оим позже. Об‡тите ‚ним‡ние, что полуключи и nonce не пе則ютсfl с пе‚ыми ‰‚умfl сообщениflми, потому что ‰‚е стооны ‰олжны сн‡ч‡л‡ получить „‡‡нтию, что з‡соflющ‡fl ‡т‡к‡ не‚озможн‡. После обмен‡ тетьим и чет‚етым сообщениflми к‡ж‰‡fl стоон‡ может ‚ычислить общую секетность меж‰у ними ‚ ‰ополнение к ее от‰ельному ‰‡й‰жесту хэшиниfl. Общ‡fl секетность SKEYID (ID ключ‡ з‡секеч肇ниfl) 燂исит от мет ‚ычислениfl, к‡к пок‡з‡но ниже. В у‡‚нениflх prf (пс傉ослуч‡йн‡fl функциfl) — хэш-функциfl ключ‡, кото‡fl опе‰елен‡ ‚ течение ф‡зы пее„о‚оо‚. SKYID = prf (п剂‡ительный со‚местный ключ, N-I | N-R)

(мето‰ п剂‡ительно„о со‚местно„о ключ‡)

SKYID = prf(N-I | N-R, gir)

(мето‰ откыто„о ключ‡)

SKYID = prf( (hash (N-I | N-R), Cookie –I | Cookie –R)

(цифfl по‰пись) 606

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Ду„‡fl общ‡fl секетность ‚ычислflетсfl сле‰ующим об‡зом: SKYID_d = prf( (SKEYID, gi r| Cookie –I | Cookie –R| 0) SKYID_a = prf( (SKEYID, SKEYID_d | gi r| Cookie –I | Cookie –R| 1) SKYID_e = prf( (SKEYID, SKEYID_a | gi r| Cookie –I | Cookie –R| 2) SKEYID_d (derived — поиз‚о‰ный ключ) — ключ ‰лfl со片ниfl ‰у„их ключей. SKEYID_a — ключ ‡утентифик‡ции, и SKEYID_e пименflетсfl ‰лfl ключ‡ шифниfl; обе эти секетности используютсfl ‚ течение ф‡зы пее„о‚оо‚. Пе‚ый п‡‡мет (SKEYID) ‚ычислflетсfl ‰лfl к‡ж‰о„о мет обмен‡ ключ‡ми от‰ельно. Втоой п‡‡мет — конк‡тен‡циfl ‡зличных ‰‡нных. Об‡тите ‚ним‡ние, ключ ‰лfl prf — ‚с儉‡ SKEYID. Эти ‰‚е стооны т‡кже ‚ычислflют ‰‚‡ ‰‡й‰жест‡ хэшиниfl, HASH-I и HASH-R, котоые используютсfl ‚ „뇂ном ежиме тех из этих четыех мето‰о‚. Вычислениfl пок‡з‡ны ниже: HASH-I = prf( (SKEYID, KE-I | KE-R | Cookie –I | Cookie –R |SA-I | ID-I) HASH-R = prf( (SKEYID, KE-I | KE-R | Cookie –I | Cookie –R |SA-I | ID-R) Об‡тите ‚ним‡ние, что пе‚ый ‰‡й‰жест пименflет ID-I, ‚ то ‚емfl к‡к ‚тоой — ID-R. Об‡ используют SA-I — полные SA ‰‡нные, посл‡нные иници‡тоом. Ни о‰ин из них не ‚ключ‡ет пе‰ложение, ‚ыб‡нное еспон‰ентом, поскольку нужно з‡щитить пе‰ложение, посл‡нное иници‡тоом, от изменений злоумышленник‡. Н‡пиме, злоумышленник мо„ бы попобть пе則ть список пе‰ложений более уflз‚имых, чтобы обле„чить себе ‡т‡ку. Точно т‡к же, если SA не ‚ключен, злоумышленник мо„ бы изменить ‚ыб‡нное пе‰ложение н‡ ‰у„ое, б뇄опиflтное ‰лfl себfl. Об‡тите ‚ним‡ние, что о‰н‡ стоон‡ не ‰олжн‡ зн‡ть ID ‰у„ой стооны пи ‚ычислении хэш. После ‚ычислениfl ключей и хэшиниfl к‡ж‰‡fl стоон‡ пе則ет хэш ‰у„ой стооне, чтобы по‰т‚е‰ить с‚ою по‰линность. Иници‡то пе則ет HASH-I еспон‰енту к‡к ‰ок‡з‡тельст‚о, что он‡ — Алис‡. Только Алис‡ зн‡ет секетность ‡утентифик‡ции, и только он‡ может ‚ычислить HASH-I. Если HASH-I, ‚ычисленный Бобом, соот‚етст‚ует HASH-I, посл‡нному Алисой, он‡ ‡утентифицин‡. Тем же с‡мым способом Боб может по‰т‚е‰ить с‚ою по‰линность Алисе, посыл‡fl HASH-R. Об‡тите ‚ним‡ние, что з‰есь есть о‰н‡ тонкость. К‡ Боб ‚ычислflет HASH I, он ну扇етсfl ‚ ID Алисы, и н‡обоот. В некотоых метх ID пе則ют с помощью пе‰ы‰ущих сообщений; ‚ ‰у„их — с хэшем либо с хэшем и с ID, з‡шифнным SKEYID_e. Мето‰ п剂‡ительно„о со‚местно„о ключ‡ В мето‰е п剂‡ительно„о со‚местно„о ключ‡ симметичный ключ используетсfl ‰лfl ‡утентифик‡ции ‡‚ноп‡‚ных п‡тнео‚ ‰у„ ‰лfl ‰у„‡. Рисунок 18.20 пок‡зы‚‡ет ‡утентифик‡цию со‚местным ключом ‚ „뇂ном ежиме. 607

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.20. Осно‚ной ежим мет с п剂‡ительным со‚местным секетным ключом В пе‚ых ‰‚ух сообщениflх иници‡то и еспон‰ент обмен肇ютсfl cookies (‚ общем 燄оло‚ке и п‡‡мет‡х SA). В сле‰ующих ‰‚ух сообщениflх они обмен肇ютсfl полуключ‡ми и nonces (см. лекцию 15). Тепеь эти ‰‚е стооны мо„ут со片ть SKEYID и ‰‚‡ ключе‚ых хэш‡ (HASH-I и HASH-R). В пflтом и шестом сообщениflх ‰‚е стооны обмен肇ютсfl со片нными хэш‡ми и их ID. Чтобы з‡щищ‡ть ID и хэши, после‰ние ‰‚‡ сообщениfl з‡шифны с SKEYID_e. Об‡тите ‚ним‡ние, что п剂‡ительный со‚местный ключ обеспеч肇ет секетность меж‰у Алисой (иници‡тоом) и Бобом (еспон‰ентом). Е‚‡ (злоумышленник) не имеет ‰оступ‡ к этому ключу. Е‚‡ не может со片ть SKEYID и поэтому не может со片ть ни HASH-I, ни HASH-R. Об‡тите ‚ним‡ние т‡кже, что обмен ID ‰олжен быть с‰ел‡н ‚ сообщениflх 5 и 6, чтобы обеспечить ‚ычисление хэш‡. 608

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

С этим мето‰ом есть о‰н‡ поблем‡. Боб не может ‡сшифть сообщение, если он не зн‡ет п剂‡ительный со‚местный ключ, — то есть он ‰олжен зн‡ть, кто Алис‡ (зн‡ть ее ID). Но ID Алисы з‡шифо‚‡н ‚ сообщении 5. Р‡з‡ботчик это„о мет ут‚е扇ет, что ID ‚ этом случ‡е ‰олжен быть ‚ ‡‰есе к‡ж‰ой стооны. Это — не поблем‡, если Алис‡ н‡хо‰итсfl ‚ постоflнном хосте (‡‰ес IP уст‡но‚лен). О‰н‡ко если Алис‡ пеехо‰ит из о‰ной сети ‚ ‰у„ую, это уже поблем‡. Пе‚он‡ч‡льный мето‰ откыто„о ключ‡ В пе‚он‡ч‡льном мето‰е откыто„о ключ‡ иници‡то и еспон‰ент ‰ок‡зы‚‡ют их по‰линность, пок‡зы‚‡fl, что они об뇉‡ют секетным ключом, с‚flз‡нным с их объfl‚ленным откытым ключом. Рисунок 18.21 иллюстиует обмен сообщениflми пи использнии мет пе‚он‡ч‡льно„о откыто„о ключ‡. Пе‚ые ‰‚‡ сообщениfl — те же, что ‚ пе‰ы‰ущем мето‰е. В тетьем сообщении иници‡то пе則ет с‚ой полуключ, once и ID. В чет‚етом сообщении еспон‰ент поступ‡ет ‡н‡ло„ично. О‰н‡ко nonce и ID з‡шифны откытым ключом пиемник‡ и ‡сшифны секетным ключом пиемник‡. К‡к ‚и‰но из ис. 18.21, nonce и ID з‡шифны от‰ельно, потому что, к‡к мы у‚и‰им позже, они ко‰иуютсfl от‰ельно от ост‡льных 퇄узок. Отличие меж‰у этим мето‰ом и пе‰ы‰ущим ‚ том, что обмен ID по‚о‰итсfl ‚ тетьем и чет‚етом сообщении ‚место пflто„о и шесто„о сообщений. Пflтое и шестое сообщениfl только ‰ост‡‚лflют хэши. Вычисление SKEYID ‚ этом мето‰е б‡зиуетсfl н‡ хэшинии nonce и симметично„о ключ‡. Хэшиние nonce используетсfl к‡к ключ ‰лfl функции HMAC. Об‡тите ‚ним‡ние, что з‰есь мы используем ‰‚ойное хэшиние. Хотfl SKEYID, ‡, сле‰о‚‡тельно, е„о хэш непосе‰ст‚енно не 燂исит от секетности, котоой об뇉‡ет к‡ж‰‡fl стоон‡, они с‚flз‡ны кос‚енно. SKEYID 燂исит от nonce, ‡ nonce может быть ‡сшифн только секетным ключом (секетность) пиемник‡. Сле‰о‚‡тельно если ‚ычисленный хэш соот‚етст‚ует полученному, он ‰ок‡зы‚‡ет, что к‡ж‰‡fl стоон‡ — тот, кем он себfl ут‚е扇ет. Пеесмотенный мето‰ откыто„о ключ‡ Мето‰ пе‚он‡ч‡льно„о откыто„о ключ‡ имеет некотоые не‰ост‡тки. Вопе‚ых, ‰‚е опе‡ции шифниfl/‰ешифниfl откыто„о ключ‡ н‡к뇉ы‚‡ют тflжелую 퇄узку н‡ иници‡то‡ и еспон‰ент‡. Во-‚тоых, иници‡то не может посл‡ть с‚ой сетифик‡т, з‡шифнный откытым ключом еспон‰ент‡, т‡к к‡к любой мо„ с‰ел‡ть это с ложным сетифик‡том. Мето‰ был пеесмотен т‡к, чтобы откытый ключ использлсfl только ‰лfl со片ниfl ‚еменно„о ключ‡ з‡секеч肇ниfl, к‡к пок‡з‡но н‡ ис. 18.22. Об‡тите ‚ним‡ние, что ‰‚‡ ‚еменных секетных ключ‡ со片ны из хэш‡ nonce и cookies. Иници‡то использует откытый ключ еспон‰ент‡, чтобы пе則ть е„о nonce. Респон‰ент ‰ешифиует nonce и ‚ычислflет ‚еменный ключ иници‡то‡, после че„о мо„ут быть ‡сшифны полуключ, ID и ‰ополнительный сетифик‡т. Д‚‡ ‚еменных ключ‡ з‡секеч肇ниfl, K-I и K-R, ‚ычислflютсfl сле‰ующим об‡зом: K-I = prf(N – I, Cookie-I)

K-R = prf(N – R, Cookie-R) 609

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.21. Г뇂ный ежим мет с пе‚он‡ч‡льным откытым ключом Мето‰ цифо‚ой по‰писи В этом мето‰е к‡ж‰‡fl стоон‡ пок‡зы‚‡ет, что он‡ об뇉‡ет сетифицинным секетным ключом, с‚flз‡нным с цифо‚ой по‰писью. Рисунок 18.23 иллюстиует обмен сообщениflми пи этом мето‰е. Он похож н‡ мето‰ п剂‡ительно„о со‚местно„о ключ‡ ‚о ‚сем, коме поце‰уы ‚ычислениfl SKEYID. 610

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Рис. 18.22. Г뇂ный ежим мет с пеесмотенным откытым ключом Об‡тите ‚ним‡ние, что ‚ этом мето‰е пе則ч‡ сетифик‡т‡ fl‚лflетсfl необflз‡тельной опе‡цией. Сетифик‡т можно пе則ть, потому что он может быть з‡шифн SKEYID_e, котоый не 燂исит от ключ‡ по‰писи. В сообщении 5 иници‡то по‰писы‚‡ет ‚сю инфом‡цию обмен‡ ‚ сообщениflх 1-4 с‚оим ключом по‰писи. Респон‰ент ‚еифициует по‰пись, используfl откытый ключ иници‡то‡, котоый по‰т‚е扇ет по‰линность иници‡то‡. Ан‡ло„ично, ‚ сообще611

Кус

Кипто„‡фиfl и безоп‡сность сетей

нии 6 еспон‰ент по‰писы‚‡ет ‚сю инфом‡цию обмен‡ с‚оим ключом по‰писи. Иници‡то ‚еифициует по‰пись.

Рис. 18.23. Г뇂ный ежим мет цифо‚ой по‰писи

Ф‡з‡ I: эне„ичный ежим К‡ж‰ый эне„ичный ежим — сж‡т‡fl ‚есиfl соот‚етст‚ующе„о „л‡‚но„о ежим‡. Вместо шести сообщений ‚ обмене уч‡ст‚уют только ти. Сообщениfl 1 и 3 объе‰инены ‚ о‰но — пе‚ое сообщение. Сообщениfl 2, 4 и 6 объе‰инены ‚о ‚тоое сообщение. Сообщение 5 пе則ют к‡к тетье сообщение. И‰еfl т‡ же с‡м‡fl, что и ‚ „뇂ном ежиме. Мето‰ п剂‡ительно„о со‚местно„о ключ‡ Рисунок 18.24 пок‡зы‚‡ет мето‰ п剂‡ительно„о со‚местно„о ключ‡ ‚ эне„ичном ежиме. Об‡тите ‚ним‡ние, что после получениfl пе‚о„о сообще612

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

ниfl еспон‰ент может ‚ычислить SKEYID и, сле‰о‚‡тельно, HASH-R. Но иници‡то не может ‚ычислить SKEYID, пок‡ не получит ‚тоое сообщение. HASN-I ‚ тетьем сообщении может быть з‡шифно.

Рис. 18.24. Эне„ичный ежим мет с п剂‡ительным со‚местным ключом Мето‰ пе‚он‡ч‡льно„о откыто„о ключ‡ Рисунок 18.25 пок‡зы‚‡ет обмен сообщениflми с использнием мет пе‚он‡ч‡льно„о откыто„о ключ‡ ‚ эне„ичном ежиме. Об‡тите ‚ним‡ние, что еспон‰ент может ‚ычислить SKEYID и HASH-R после получениfl пе‚о„о сообщениfl, но иници‡то ‰олжен 扇ть, пок‡ не получит ‚тоое сообщение. Пеесмотенный мето‰ откыто„о ключ‡ Рисунок 18.26 пок‡зы‚‡ет пеесмотенный мето‰ откыто„о ключ‡ ‚ эне„ичном ежиме. И‰еfl — т‡ же с‡м‡fl, что и ‚ „뇂ном ежиме, з‡ исключением то„о, что некотоые сообщениfl объе‰инены. Мето‰ цифо‚ой по‰писи Рисунок 18.27 пок‡зы‚‡ет мето‰ цифо‚ой по‰писи ‚ эне„ичном ежиме. И‰еfl — т‡ же с‡м‡fl, что и ‚ „뇂ном ежиме, з‡ исключением то„о, что некотоые сообщениfl объе‰инены. 613

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.25. Эне„ичный ежим мет с пе‚он‡ч‡льным ключом

Ф‡з‡ II: быстый ежим После то„о к‡к услу„и безоп‡сности (SA’s) были со片ны или ‚ „뇂ном ежиме, или ‚ эне„ичном ежиме, может быть н‡ч‡т‡ ф‡з‡ II. Длfl ф‡зы II ‚ н‡стоflщее ‚емfl есть только о‰ин ежим — быстый ежим. Этот ежим н‡хо‰итсfl по‰ уп‡‚лением SA’s IKE, со片нно„о ф‡зой 1. К‡ж‰ый мето‰ бысто„о ежим‡ может н‡ч‡ть ‡боту любым „л‡‚ным или ‡„есси‚ным ежимом. Быстый ежим использует SA’s IKE, чтобы со片ть IPSec SA’s (или SA’s ‰лfl любо„о ‰у„о„о потокол‡). Рисунок 18.28 пок‡зы‚‡ет обмен сообщениflми ‚ хо‰е бысто„о ежим‡. В ф‡зе II люб‡fl стоон‡ может быть иници‡тоом: то есть иници‡то ф‡зы II может быть иници‡тоом или еспон‰ентом ф‡зы 1. 614

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Рис. 18.26. Эне„ичный ежим мет с пеесмотенным откытым ключом Иници‡то пе則ет пе‚ое сообщение, котоое ‚ключ‡ет ‚ себfl ключе‚ой HMAC HASH 1 (бу‰ет ‡ссмотен позже), полный SA, со片нный ‚ ф‡зе 1, но‚ый nonce (N–I), ‰ополнительный но‚ый полуключ Диффи-Хеллм‡н‡ (KE-I) и ин‡ ID обеих стоон. Втоое сообщение похоже, но пееносит ключе‚ой HMAC HASH2, nonce еспон‰ент‡ (N-R), и, если есть, то полуключ Диффи-Хеллм‡н‡, со片нный еспон‰ентом. Тетье сообщение со‰ежит только HMAC HASH3 ключ‡. Сообщениfl ‡утентифицины с помощью использниfl тех HMAC ключ‡: HASH1, HASH2 и HASH3. Они ‚ычислflютсfl сле‰ующим об‡зом: HASH1 = prf (SKEYID_d, MsgID | SA | N-I) HASH2 = prf (SKEYID_d, MsgID | SA | N-R) HASH3 = prf (SKEYID_d, 0 | MsgID [ SA | N-I | N-R) 615

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.27. Эне„ичный ежим мет цифо‚ой по‰писи

Рис. 18.28. Быстый ежим 616

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

К‡ж‰ый HMAC ‚ключ‡ет сообщение IKE (MsgID), используемое ‚ 燄оло‚ке ISAKMP. Включение MsgID пе‰от‚‡щ‡ет о‰но‚еменное со片ние ф‡зы II и ‚озможное столкно‚ение. Все ти сообщениfl з‡шифны ‰лfl конфи‰енци‡льности, используfl SKEYID_e, со片нный ‚ течение ф‡зы 1. И‰е‡льн‡fl пflм‡fl безоп‡сность (PFS) После уст‡но‚лениfl IKE SA и ‚ычислениfl SKEYID_d ‚ ф‡зе 1 ‚се ключи ‰лfl бысто„о ежим‡ получены из SKEYID_d. Т‡к к‡к из е‰инст‚енной ф‡зы I ф‡з‡ II может быть получен‡ мно„о ‡з, безоп‡сность ф‡зы II fl‚лflетсfl уflз‚имой, если злоумышленник имеет ‰оступ к SKEYID_d. Чтобы ‚оспепflтст‚ть этому, IKE пименflет опцию и‰е‡льн‡fl пflм‡fl безоп‡сность (PFS — Perfect Forward Security). В этой опции поисхо‰ит обмен ‰ополнительным полуключом Диффи-Хеллм‡н‡, и ‚ езульт‡те со‚естный ключ (gir) используетсfl ‚ ‚ычислении м‡теи‡л‡ ‰лfl ключей (см. сле‰ующий ‡з‰ел) ‰лfl IPSec. PFS эффекти‚ен, если ключ Диффи-Хеллм‡н‡ после ‚ычислениfl м‡теи‡л‡ ‰лfl ключ‡ неме‰ленно у‰‡лен ‚ к‡ж‰ом быстом ежиме. М‡теи‡лы ‰лfl ключей После обмен‡ ‚ ф‡зе II SA ‰лfl IPSec со片н, ‚ключ‡fl м‡теи‡л ‰лfl ключ‡, K, котоый может использтьсfl ‚ IPSec. Е„о зн‡чение получено сле‰ующим об‡зом: K = prf (SKEYID_d, protocol | SPI | N-I | N-R) K = prf (SKEYID_d, gir | protocol | SPI | N-I | N-R)

(без PFS) (с PFS)

Если ‰лин‡ K слишком коотк‡ ‰лfl конкетно„о ‚ыб‡нно„о шиф‡, со片етсfl после‰о‚‡тельность ключей, „‰е к‡ж‰ый ключ получ‡етсfl из пе‰ы‰уще„о, и ключи конк‡тениуютсfl ‰лfl то„о, чтобы с‰ел‡ть ‰линный ключ. Мы пок‡зы‚‡ем случ‡й без PFS; ‰лfl ‚‡и‡нт‡ с PFS мы ‰олжны ‰оᇂить gir. Со片нный м‡теи‡л ‰лfl ключей — о‰нон‡п‡‚ленный; к‡ж‰‡fl стоон‡ со片ет с‚ой ‡зличный м‡теи‡л ‰лfl ключей, поэтому используемый ‚ к‡ж‰ом н‡п‡‚лении м‡теи‡л ‡зличен. K1 =prf (SKEYID_d, protocol | SPI | N-I | N-R) K2 =prf (SKEYID_d, K1 | protocol | SPI | N-I | N-R) K3 =prf (SKEYID_d, K2 | protocol | SPI | N-I | N-R) ……. K = K1 | K2 | K3 | М‡теи‡л ‰лfl ключей, со片нный после ф‡зы II, — о‰нон‡п‡‚ленный; есть о‰ин ключ ‰лfl к‡ж‰о„о н‡п‡‚лениfl.

SA-‡л„оитмы В з‡ключение это„о ‡з‰ел‡ пи‚е‰ем ‡л„оитмы, с помощью котоых ‰о„肇ютсfl ‚ течение пе‚ых ‰‚ух обмено‚ сообщениflми ‚ IKE. 617

Кус

Кипто„‡фиfl и безоп‡сность сетей

Гуппы Диффи-Хеллм‡н‡ Пе‚ые пее„о‚оы ‚ключ‡ют „уппу Диффи-Хеллм‡н‡, используемую ‰лfl то„о, чтобы обмен肇тьсfl полуключ‡ми. Он‡ состоит из пflти „упп, к‡к это пок‡з‡но ‚ т‡блице 18.3. Т‡блиц‡ 18.3. Гуппы Диффи-Хеллм‡н‡ Зн‡чение 1 2 3 4 5

Опис‡ние Гупп‡ ‚оз‚е‰ениfl ‚ степень по мо‰улю с мо‰улем 768 бито‚ Гупп‡ ‚оз‚е‰ениfl ‚ степень по мо‰улю с мо‰улем 1024 бит‡ Гупп‡ эллиптической ки‚ой с ‡змеом полfl 155 бито‚ Гупп‡ эллиптической ки‚ой с ‡змеом полfl 185 бито‚ Гупп‡ ‚оз‚е‰ениfl ‚ степень по мо‰улю с мо‰улем 1680 бито‚

Ал„оитмы хэшиниfl, котоые используютсfl ‰лfl ‡утентифик‡ции, пок‡з‡ны ‚ т‡блице 18.4. Т‡блиц‡ 18.4. Ал„оитмы хэшиниfl Зн‡чение 1 2 3 4 5 6

Опис‡ние MD5 SHA Tiger SHA2-256 SHA2-384 SHA2-512

Ал„оитмы шифниfl Ал„оитмы шифниfl, котоые пименflютсfl ‰лfl обеспечениfl конфи‰енци‡льности, пок‡з‡ны ‚ т‡блице 18.5. Все они обычно используютсfl ‚ ежиме CBC. Т‡блиц‡ 18.5. Ал„оитмы шифниfl Зн‡чение 1 2 3 4 5 6 7

Опис‡ние DES IDEA Blowfish RC5 3DES CAST AES

18.6. ISAKMP Потокол уп‡‚лениfl ключ‡ми и услу„ безоп‡сности ‚ Интенете — ISAKMP (Internet Security Association and Key Management Protocol) — ‡з‡бот‡н ‰лfl обмен‡ сообщениflми ‚ потоколе шифниfl и и‰ентифик‡ции — (IKE). 618

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Общий 燄оло‚ок Фом‡т обще„о 燄оло‚к‡ пок‡з‡н н‡ ис. 18.29.

Рис. 18.29. Общий 燄оло‚ок ISAKMP • Cookie иници‡то‡. Это поле н‡ 32 бит‡ опе‰елflет сookie объект‡, котоый иницииует уст‡но‚ление SA, у‚е‰омление SA или у‰‡ление SA. • Cookie еспон‰ент‡. Это поле н‡ 32 бит‡ опе‰елflет сookie от‚ет‡ еспон‰ент‡. Зн‡чение это„о полfl — 0, к‡ иници‡то пе則ет пе‚ое сообщение. • Сле‰ующ‡fl полезн‡fl 퇄узк‡. Это поле н‡ 8 бито‚ опе‰елflет тип полезной 퇄узки, котоый сле‰ует непосе‰ст‚енно з‡ з‡„оло‚ком. Мы обсу扇ем ‡зличные типы полезной 퇄узки ‚ сле‰ующем ‡з‰еле. • Г뇂н‡fl ‚есиfl. Этот номе ‡змеом 4 бит‡ опе‰елflет „뇂ную ‚есию потокол‡. В н‡стоflщее ‚емfl зн‡чение это„о полfl — 1. • М뇉ший номе ‚есии. Этот номе ‡змеом 4 бит‡ и‰ет после „л‡‚ной ‚есии и ‰ополнflет ‚есию потокол‡. В н‡стоflщее ‚емfl зн‡чение это„о полfl — 0. • Тип обмен‡. Это поле н‡ 8 бито‚ опе‰елflет тип обмен‡, котоый осущест‚лflетсfl ISAKMP-п‡кет‡ми. Мы обсу‰или ‡зличные типы обмен‡ ‚ пе‰ы‰ущем ‡з‰еле. • Фл‡жки. Это — поле н‡ 8 бито‚, ‚ котоом к‡ж‰ый бит опе‰елflет опцию обмен‡. Пок‡ опе‰елены только ти с‡мых м뇉ших бит‡. Бит шифниfl, к‡ он уст‡но‚лен н‡ 1, ук‡зы‚‡ет, что ост‡льн‡fl ч‡сть полезной 퇄узки бу‰ет з‡шифо‚‡н‡ с использнием ключ‡ шифниfl и ‡л„оитм‡, опе‰еленно„о SA. До„о‚оный бит, к‡ он уст‡но‚лен н‡ 1, опе‰елflет, что пее‰ уст‡но‚лением SA м‡теи‡л шифниfl не получен. К‡ бит ‡утентифик‡ции уст‡но‚лен н‡ 1, он опе‰елflет, что ост‡льн‡fl ч‡сть полезной 퇄узки хоть и не з‡шифн‡, но ‡утентифицио‚‡н‡ ‰лfl сох‡нениfl целостности. • ID Сообщениfl. Это поле н‡ 32 бит‡ — уник‡льный опоз퇂‡тельный ко‰ сообщениfl, котоое опе‰елflет потокол. Это поле используетсfl только ‚ течение ‚тоой ф‡зы пее„о‚оо‚ и уст‡но‚лено н‡ 0 ‚ течение пе‚ой ф‡зы. • Длин‡ сообщениfl. Поскольку к к‡ж‰ому п‡кету можно ‰оᇂлflть ‡зличные полезные 퇄узки, ‰лин‡ сообщениfl может быть ‡зличн‡ ‰лfl к‡ж‰о„о п‡кет‡. Это поле н‡ 32 бит‡ опе‰елflет ‰лину ‚се„о сообщениfl, ‚ключ‡fl 燄оло‚ок и ‚се полезные 퇄узки. 619

Кус

Кипто„‡фиfl и безоп‡сность сетей

Полезные 퇄узки Полезные 퇄узки ‡з‡бот‡ны ‰лfl то„о, чтобы ‰ост‡‚лflть сообщениfl. Т‡блиц‡ 18.6 пок‡зы‚‡ет типы полезных 퇄узок. Т‡блиц‡ 18.6. Типы полезных 퇄узок Типы 0 1 2 3 4 5 6 7 8 9 10 11 12 13

͇炇ние None (Нет)

К‡ткое опис‡ние Используетсfl, чтобы пок‡з‡ть конец множест‚‡ полезных 퇄узок SA Используетсfl ‰лfl то„о, чтобы з‡пустить н‡ч‡ло поцесс‡ пее„о‚оо‚ Proposal (пе‰ложение) Со‰ежит инфом‡цию, используемую ‚ течение пее„о‚оо‚ о SA Transform (пеоб‡зть) Опе‰елflет секетные пеоб‡зниfl ‰лfl со片ниfl безоп‡сно„о к‡н‡л‡ Key Exchange (обмен ключ‡ми) Дост‡‚лflет ‰‡нные, используемые ‰лfl „ене‡ции ключей Identification (и‰ентифик‡циfl) Дост‡‚лflет ‰‡нные и‰ентифик‡ции ‚ сое‰инениflх ‡‚но„о уо‚нfl Certification (Сетифик‡циfl) Дост‡‚лflет сетифик‡т откыто„о ключ‡ Certification Request Используетсfl, чтобы з‡посить (З‡пос сетифик‡т‡) сетифик‡т ‰у„ой стооны Hash (хэшиние) Дост‡‚лflет ‰‡нные, с„енеинные хэш-функцией Signature (по‰пись) Дост‡‚лflет ‰‡нные, с„енеинные функцией по‰писи Nonce Дост‡‚лflет беспоfl‰очно с„енеинные ‰‡нные, т‡кие к‡к nonce Notification (у‚е‰омление) Дост‡‚лflет сообщениfl об ошибк‡х или состоflнии услу„ безоп‡сности (SA) Delete (у‰‡лить) Дост‡‚лflет SA, котоый у‰‡лил пе則тчик Vendor (поиз‚о‰итель) Опе‰елflет ‡сшиениfl специфик‡ции поиз‚о‰ителfl

ʇ扇fl полезн‡fl 퇄узк‡ имеет типо‚ой 燄оло‚ок и некотоые 燉‡нные полfl. Фом‡т обще„о 燄оло‚к‡ пок‡з‡н н‡ ис. 18.30. • Сле‰ующ‡fl полезн‡fl 퇄узк‡. Это поле н‡ 8 бито‚ и‰ентифициует тип сле‰ующей полезной 퇄узки. К‡ т‡кой 퇄узки нет, зн‡чение это„о полfl — 0. Об‡тите ‚ним‡ние, что нет полfl тип‡ ‰лfl текущей полезной 퇄узки. Тип текущей полезной 퇄узки опе‰елен пе‰ы‰ущей полезной 퇄узкой или общим 燄оло‚ком (если полезн‡fl 퇄узк‡ — пе‚‡fl). • Длин‡ полезной 퇄узки. Это поле н‡ 16 бито‚ опе‰елflет ‰лину полной полезной 퇄узки (‚ключ‡fl типо‚ой 燄оло‚ок) ‚ б‡йт‡х. 620

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Рис. 18.30. Общий 燄оло‚ок полезной 퇄узки SA полезн‡fl 퇄узк‡ SA полезн‡fl 퇄узк‡ используетсfl, чтобы ‰о„о‚оитьсfl о п‡‡мет‡х безоп‡сности. О‰н‡ко эти п‡‡меты не ‚ключены ‚ SA полезную 퇄узку; они н‡хо‰flтсfl ‚ ‰‚ух ‰у„их полезных 퇄узк‡х (proposal — пе‰ложение и transform — пеоб‡зние), котоые мы обсу‰им позже. SA полезн‡fl 퇄узк‡ сопо‚о扇етсfl о‰ной или несколькими полезными 퇄узк‡ми proposal (пе‰ложение), и к‡ж‰‡fl полезн‡fl 퇄узк‡ пе‰ложениfl сопо‚о扇етсfl о‰ной или больше полезными 퇄узк‡ми transform (пеоб‡зние). SA полезн‡fl 퇄узк‡ только опе‰елflет поле ‰омен интепет‡ции и поле ситу‡циfl. Рисунок 18.31 пок‡зы‚‡ет фом‡т SA полезной 퇄узки.

Рис. 18.31. SA полезн‡fl 퇄узк‡ Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ние полей SA полезной 퇄узки ‰‡но ниже. • Домен интепет‡ции (DOI — Domen Interpretation). Это — поле н‡ 32 бит‡. Длfl ф‡зы 1 зн‡чение 0 ‰лfl это„о полfl опе‰елflет общий SA; зн‡чение 1 опе‰елflет IPSec. • Ситу‡циfl. Это — поле пееменной ‰лины, опе‰елflющее ситу‡цию, ‚ котоой по‚о‰flтсfl пее„о‚оы. Полезн‡fl 퇄узк‡ «Пе‰ложение» Полезн‡fl 퇄узк‡ «Пе‰ложение» (proposal), н‡чин‡ет поцесс пее„о‚оо‚. Хотfl это с‡мо по себе не 燉‡ет ник‡ких п‡‡мето‚, он‡ опе‰елflет и‰ентифик‡цию потокол‡ и ин‰екс п‡‡мет‡ обеспечениfl безоп‡сности (SPI). П‡‡меты ‰лfl пее„о‚оо‚ посыл‡ютсfl ‚ сост‡‚е полезной 퇄узки «Пеоб‡зние» (transform), кото‡fl сле‰ует з‡ полезной 퇄узкой пе‰ложениfl. ʇ扇fl полезн‡fl 퇄узк‡ пе‰ложениfl сопо‚о扇ет о‰ну или более полезных 퇄узок пеоб‡зниfl, котоые со片ют ‡льтен‡ти‚ные множест‚‡ п‡‡мето‚. Рисунок 18.32 пок‡зы‚‡ет фом‡т полезной 퇄узки пе‰ложениfl. Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ниfl ‰у„их полей ‰‡ны ниже. 621

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.32. Полезн‡fl 퇄узк‡ «Пе‰ложение» (proposal) • Пе‰ложение #. Иници‡то опе‰елflет номе пе‰ложениfl т‡к, чтобы еспон‰ент мо„ сосл‡тьсfl н‡ не„о. Об‡тите ‚ним‡ние, что полезн‡fl 퇄узк‡ SA может ‚ключить несколько полезных 퇄узок пе‰ложениfl. Если ‚се пе‰ложениfl пи퇉леж‡т о‰ному и тому же множест‚у потоколо‚, номе пе‰ложениfl ‰олжен быть о‰ним и тем же ‰лfl к‡ж‰о„о потокол‡ ‚о множест‚е. В ‰у„их случ‡flх пе‰ложениfl ‰олжны иметь ‡зличные номе‡. • ID Потокол‡. Это поле н‡ 8 бито‚ опе‰елflет потокол ‰лfl пее„о‚оо‚. Н‡пиме, Ф‡з‡ I IKE = 0, ESP = 1, AH = 2, и т. ‰. • Р‡зме SPI. Это поле н‡ 8 бито‚ опе‰елflет ‡зме ин‰екс‡ п‡‡мет‡ безоп‡сности (SPI) ‚ б‡йт‡х. • Число пеоб‡зний. Это поле н‡ 8 бито‚ опе‰елflет число полезных 퇄узок пеоб‡зниfl, котоые бу‰ут сле‰о‚‡ть з‡ этой полезной 퇄узкой пе‰ложениfl. • SPI. Это поле пееменной ‰лины ф‡ктический SPI (см.‡зме SPI). Об‡тите ‚ним‡ние, что если SPI не з‡полнflет пост‡нст‚о н‡ 32 бит‡, з‡полнение не ‰оᇂлflетсfl. Полезн‡fl 퇄узк‡ «Пеоб‡зние» Полезн‡fl 퇄узк‡ «Пеоб‡зние» ф‡ктически ‰ост‡‚лflет пизн‡ки SA пее„о‚оо‚. Рисунок 18.33 пок‡зы‚‡ет фом‡т полезной 퇄узки «пеоб‡зние». Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ниfl ‰у„их полей ‰‡ны ниже. • Пеоб‡зние #. Это поле н‡ 8 бито‚ опе‰елflет номе пеоб‡зниfl. Если есть больше чем о‰н‡ полезн‡fl 퇄узк‡ пеоб‡зниfl ‚ полезную 퇄узку пе‰ложениfl, то к‡ж‰‡fl ‰олжн‡ иметь с‚ой собст‚енный номе. • ID пеоб‡зниfl. Это поле н‡ 8 бито‚ опе‰елflет и‰ентифик‡цию полезной 퇄узки. • Пизн‡ки. ʇ扇fl полезн‡fl 퇄узк‡ пеоб‡зниfl может ‰ост‡‚ить несколько пизн‡ко‚ (‡тибуто‚). К‡ж‰ый ‡тибут непосе‰ст‚енно имеет ти или ‰‚‡ по‰полfl (см. ис. 18.33). По‰поле тип‡ пизн‡к‡ опе‰елflет тип пизн‡к‡ к‡к опе‰еленно„о ‚ ‰омене интепет‡ции — DOI. По‰поле ‰лины пизн‡к‡, если оно имеетсfl, опе‰елflет зн‡чение ‰лины пизн‡к‡. Поле зн‡чениfl пизн‡к‡ — ‰‚‡ б‡йт‡ ‚ кооткой фоме или пееменной ‰лины ‚ ‰линной фоме. 622

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Рис. 18.33. Полезн‡fl 퇄узк‡ «Пеоб‡зние» Полезн‡fl 퇄узк‡ «обмен‡ ключ‡ми» Полезн‡fl 퇄узк‡ «обмен‡ ключ‡ми» пименflетсfl пи обмене сообщениflми, ‚ котоых тебуетсfl пе則ть п剂‡ительные ключи, используемые ‰лfl со片ниfl ключей се‡нс‡. Н‡пиме, он‡ может быть нужн‡, чтобы пе則ть полуключ Диффи-Хеллм‡н‡. Рис. 18.34 пок‡зы‚‡ет фом‡т полезной 퇄узки «обмен‡ ключ‡ми».

Рис. 18.34. Полезн‡fl 퇄узк‡ «обмен‡ ключ‡ми» Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ние полfl ключ‡ з‡секеч肇ниfl (KE) ‰‡но ниже. KE. Это поле пееменной ‰лины пееносит ‰‡нные, необхо‰имые ‰лfl то„о, чтобы со片‚‡ть ключ се‡нс‡. Полезн‡fl 퇄узк‡ «И‰ентифик‡циfl» Полезн‡fl 퇄узк‡ «И‰ентифик‡циfl» поз‚олflет объект‡м пе則ть с‚ои п‡‡меты и‰ентифик‡ции ‰у„ ‰у„у. Рисунок 18.35 пок‡зы‚‡ет фом‡т полезной 퇄узки «И‰ентифик‡циfl». 623

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. 18.35. Полезн‡fl 퇄узк‡ «И‰ентифик‡циfl» Полfl ‚ общем 燄оло‚ке обсу扇лись. Опис‡ниfl ‰у„их полей ‰‡ны ниже. • Тип ID. Это поле н‡ 8 бито‚ з‡‰‡ет ‰омен (обл‡сть) интепет‡ции DOI и опе‰елflет тип используемо„о ID. • Д‡нные ID. Это поле н‡ 24 бит‡ обычно уст‡н‡‚л肇етсfl н‡ 0. • Д‡нные и‰ентифик‡ции. Ф‡ктический и‰ентифик‡то к‡ж‰о„о объект‡ ‰ост‡‚лflетсfl ‚ этом поле пееменной ‰лины. Полезн‡fl 퇄узк‡ «Сетифик‡циfl» В любое ‚емfl ‚ течение поцесс‡ обмен‡ объект может пе則ть с‚ой сетифик‡т (‰лfl откыто„о ключ‡ шифниfl/‰ешифниfl или ключ‡ по‰писи). Хотfl ‚ключение полезной 퇄узки «Сетифик‡циfl» ‚ поцесс обмен‡ fl‚лflетсfl обычно необflз‡тельным, оно ‰олжно быть пе‰усмотено, если нет безоп‡сно„о списк‡-ук‡з‡телfl (‰иектоии), ‰оступно„о ‰лfl ‡спе‰елениfl сетифик‡то‚. Рисунок 18.36 пок‡зы‚‡ет фом‡т полезной 퇄узки «сетифик‡циfl».

Рис. 18.36. Полезн‡fl 퇄узк‡ «сетифик‡циfl» Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ниfl ‰у„их полей пи‚е‰ены ниже. • Сетифик‡т ко‰иниfl. Это поле н‡ 8 бито‚ опе‰елflет ко‰иние (тип) сетифик‡т‡. Т‡блиц‡ 18.37 пок‡зы‚‡ет типы, опе‰еленные ‚ н‡стоflщее ‚емfl. • Д‡нные сетифик‡т‡. Это поле пееменной ‰лины, со‰еж‡щее ф‡ктическое зн‡чение сетифик‡т‡. Об‡тите ‚ним‡ние, что пе‰ы‰ущее поле неfl‚но опе‰елflет ‡зме это„о полfl. Полезн‡fl 퇄узк‡ «З‡пос сетифик‡т‡» К‡ж‰ый объект может fl‚но з‡посить сетифик‡т от ‰у„о„о объект‡, используfl полезную 퇄узку «з‡пос‡ сетифик‡т‡». Рисунок 18.37 пок‡зы‚‡ет фом‡т т‡кой полезной 퇄узки. 624

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

Т‡блиц‡18.7. Типы сетифик‡ции Зн‡чение 0 1 2 3 4 5 6 7 8 9 10

Тип Нет Сетифик‡т ‚ ‚и‰е X.509 Сетифик‡т по ‡л„оитму PGP Ключ по‰пис‡нный DNS Сетифик‡т X.509 – По‰пись Сетифик‡т X.509 – Обмен ключ‡ми М‡кеы Цебе‡ (Cerberus token) Список ‡ннулиниfl сетифик‡то‚ Список ‡‰минист‡ти‚но„о ‡ннулиниfl сетифик‡т SPKI (Simple Public Key Infrastructure) X.509 сетифик‡т – Пизн‡ки

Рис. 18.37. Полезн‡fl 퇄узк‡ «З‡пос сетифик‡т‡» Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опе‰елениfl ‰у„их полей пи‚е‰ено ниже. • Тип сетифик‡т‡. Это 8-бито‚ое поле опе‰елflет тип сетифик‡т‡ ‚ полезной 퇄узке сетифик‡т‡. • А‰минист‡циfl сетифик‡т‡. Это — поле пееменной ‰лины, котоое опе‰елflет ‡‰минист‡цию ‰лfl ‚ы‰‡нно„о тип‡ сетифик‡т‡. Полезн‡fl 퇄узк‡ «Хэшиние» Полезн‡fl 퇄узк‡ «Хэшиние» со‰ежит ‰‡нные, с„енеинные хэшфункцией, к‡к опис‡но ‚ поце‰уе обмен‡ IKE. Д‡нные хэшиниfl „‡‡нтиуют целостность сообщениfl или состоflниfl. Рисунок 18.38 пок‡зы‚‡ет фом‡т полезной 퇄узки «Хэшиние».

Рис. 18.38. Полезн‡fl 퇄узк‡ «Хэшиние» 625

Кус

Кипто„‡фиfl и безоп‡сность сетей

Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ние после‰не„о полfl ‰‡но ниже. • Д‡нные хэшиниfl. Это — поле пееменной ‰лины, котоое со‰ежит ‰‡нные хэшиниfl, с„енеинные с пименением хэш-функции к ч‡сти сообщениfl или состоflний ISAKMP. Полезн‡fl 퇄узк‡ «По‰пись» Полезн‡fl 퇄узк‡ «По‰пись» со‰ежит ‰‡нные, с„енеинные, с пименением поце‰уы цифо‚ой по‰писи по некотоой ч‡сти сообщений или состоflний ISAKMP. Рисунок 18.39 пок‡зы‚‡ет фом‡т полезной 퇄узки «По‰пись».

Рис. 18.39. Полезн‡fl 퇄узки «По‰пись» Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ние после‰не„о полfl ‰‡но ниже. • По‰пись. Это поле пееменной ‰лины со‰ежит ‰‡й‰жест, сле‰ующий из пименениfl по‰писи к ч‡сти сообщений или состоflний ISAKMP. Полезн‡fl 퇄узк‡ Nonce Полезн‡fl 퇄узк‡ Nonce со‰ежит случ‡йные ‰‡нные ‰лfl использниfl nonce, чтобы обеспечить жи‚учесть сообщениfl и пе‰от‚‡тить ‡т‡ку ‚оспоиз‚е‰ениfl. Рисунок 18.40 пок‡зы‚‡ет фом‡т полезной 퇄узки nonce.

Рис. 18.40. Полезн‡fl 퇄узк‡ Nonce Полfl ‚ общем 燄оло‚ке уже обсу扇лись. Опис‡ние после‰не„о полfl ‰‡но ниже. • Nonce. Это поле пееменной ‰лины со‰ежит зн‡чениfl nonce. Полезн‡fl 퇄узк‡ «У‚е‰омление» В течение поцесс‡ пее„о‚оо‚ ин‡ о‰н‡ стоон‡ ‰олжн‡ сообщить ‰у„ой стооне о состоflнии или об ошибк‡х. Полезн‡fl 퇄узк‡ «У‚е‰омление» ‡з‡626

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

бот‡н‡ ‰лfl этих ‰‚ух целей. Рисунок 18.41 пок‡зы‚‡ет фом‡т полезной 퇄узки «У‚е‰омление».

Рис. 18.41. Полезн‡fl 퇄узк‡ «У‚е‰омление» Полfl ‚ общем 燄оло‚ке уже обсуж‰ены. Опис‡ниfl ‰у„их полей ‰‡ны ниже. • DOI. Это поле н‡ 32 бит‡ — то же с‡мое, что опе‰елено ‰лfl полезной 퇄узки услу„ обеспечениfl безоп‡сности (SA). • ID потокол‡. Это поле н‡ 8 бито‚ — то же с‡мое, что опе‰елено ‰лfl полезной 퇄узки «Пе‰ложение». • SPI ‡зме. Это поле н‡ 8 бито‚ — то же с‡мое, что опе‰елено ‰лfl полезной 퇄узки «Пе‰ложение». • Тип сообщениfl «У‚е‰омление». Это поле н‡ 16 бито‚ опе‰елflет состоflние или тип ошибки, о котоой нужно пе則ть сообщение. Т‡блиц‡ 18.8 ‰‡ет к‡ткое опис‡ние этих типо‚. • SPI. Это поле пееменной ‰лины — т‡кое же, к‡к опе‰елено ‰лfl полезной 퇄узки «Пе‰ложение». • Д‡нные у‚е‰омлениfl. Это поле пееменной ‰лины может ‰ост‡‚ить ‰ополнительное тексто‚ое сообщение о состоflнии или ошибк‡х. Типы ошибок пеечислены ‚ т‡блице 18.8. Зн‡чениfl 31 ‰о 8191 з‡езе‚ины ‰лfl бу‰уще„о использниfl и зн‡чениfl от 8192 ‰о 16383 — ‰лfl ч‡стно„о пименениfl. Т‡блиц‡ 18.8 Типы у‚е‰омлениfl Зн‡че- Опис‡ние ние 1 INVALID-PAYLOAD-TYPE 2 3 4 5 6

Опис‡ние (ус.) Не‰опустимый тип полезной 퇄узки

DOI-NOT-SUPPORTED SITUATION-NOT-SUPPORTED INVALID-COOKIE INVALID-MAJOR-VERSION INVALID-MINOR-VERSION

Не пеж肇етсfl Ситу‡циfl не пеж肇етсfl Не‰опустимое cookie Не‰опустим‡fl „뇂н‡fl ‚есиfl Не‰опустимый м뇉ший номе ‚есии

627

Кус

Кипто„‡фиfl и безоп‡сность сетей

7 Зн‡чение 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30

INVALID-EXCHANGE-TYPE Опис‡ние

Не‰опустимый тип обмен‡ Опис‡ние (ус.)

INVALID-FLAGS INVALID-MESSAGE-ID INVALID-PROTOCOL-ID INVALID-SPI INVALID-TRANSFORM-ID ATTRIBUTE-NOT-SUPPORTED NO-PROPOSAL-CHOSEN BAD PROPOSAL-SYNTAX PAYLOAD-MALFORMED

Не‰опустимые фл‡жки Не‰опустимый ID сообщениfl Не‰опустимый ID потокол‡ Не‰опустимый SPI Не‰опустимый ID пеоб‡зниfl Атибут не пеж肇етсfl Пе‰ложение не ‚ыб‡но Плохой синт‡ксис пе‰ложениfl Неп‡‚ильно сфоминн‡fl полезн‡fl 퇄узк‡ INVALID-KEY-INFORMATION Не‰опустим‡fl инфом‡циfl ключ‡ INVALID-ID-INFORMATION Не‰опустим‡fl инфом‡циfl ID INVALID-CERT-ENCODING Не‰опустимое шифние сетифик‡т‡ INVALID-CERTIFICATE Не‰опустимый сетифик‡т CERT-TYPE-UNSUPPORTED Непеж肇емый тип сетифик‡т‡ INVALID-CERT-AUTHORITY

Не‰опустим‡fl ‡‰минист‡циfl сетифик‡т‡ INVALID-HASHНе‰опустим‡fl инфом‡циfl INFORMATION хэшиниfl AUTHENTICATION-FAILED Ошибочн‡fl ‡утентифик‡циfl INVALID-SIGNATURE Не‰опустим‡fl по‰пись ADDRESS-NOTIFICATION У‚е‰омление ‡‰ес‡ NOTIFY-SA-LIFETIME У‚е‰омление о ‚емени жизни SA CERTIFICATE-UNAVAILABLE Сетифик‡т не‰оступен UNSUPPORTED EXCHANGE- Непеж肇емый тип обмен‡ TYPE UNEQUAL-PAYLOADНесоот‚етст‚ующ‡fl ‰лин‡ полезной LENGTHS 퇄узки

Т‡блиц‡ 18.9 со‰ежит список у‚е‰омлений состоflниfl. Зн‡чениfl от 16385 ‰о 24575 и от 40960 ‰о 65535 з‡езе‚ины ‰лfl бу‰уще„о использниfl, зн‡чениfl от 32768 ‰о 40959 — ‰лfl ч‡стно„о пименениfl. Т‡блиц‡ 18.9. Зн‡чениfl у‚е‰омлений состоflниfl Зн‡чение 16384 24576-32767

Опис‡ние По‰ключено DOI — 燉‡нные ко‰ы интепет‡ции ‰омен‡

Полезн‡fl 퇄узк‡ «У‰‡ление» Полезн‡fl 퇄узк‡ «У‰‡ление» используетсfl объектом, котоый у‰‡лил о‰ин или более SA’s и ‰олжен сообщить ‡‚ным по уо‚ню объект‡м, что он эти 628

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

SA’s больше не пеж肇ет. Рисунок 18.42 пок‡зы‚‡ет фом‡т полезной 퇄узки «у‰‡ление». Рис. 18.42. Полезн‡fl 퇄узк‡ «У‰‡ление» Полfl ‚ общем 燄оло‚ке уже были ‡ссмотены. Опис‡ниfl ‰у„их полей пи‚о‰flтсfl ниже. • DOI. Это поле н‡ 32 бит‡ — то же с‡мое, что опе‰елено ‰лfl полезной 퇄узки SA (услу„ обеспечениfl безоп‡сности). • ID Потокол‡. Это поле н‡ 8 бито‚ — то же с‡мое, что опе‰елено ‰лfl полезной 퇄узки пе‰ложениfl. • SPI ‡зме. Это поле н‡ 8 бито‚ — то же с‡мое, что опе‰елено ‰лfl полезной 퇄узки пе‰ложениfl. • Номе SPI’s. Это поле н‡ 16 бито‚ опе‰елflет номе SPI’s. К‡ж‰ый, кто у‰‡лflет полезную 퇄узку, может из‚естить об у‰‡лении нескольких SAs. • SPIs. Это поле пееменной ‰лины опе‰елflет SPI’s, у‰‡ленные SA’s. Полезн‡fl 퇄узк‡ «Пост‡‚щик»

ISAKMP поз‚олflет обмен инфом‡цией, учиты‚‡ющей особенности ‰‡нно„о пост‡‚щик‡. Рисунок 18.43 пок‡зы‚‡ет фом‡т полезной 퇄узки «Пост‡‚щик». Рис. 18.43. Полезн‡fl 퇄узк‡ «Пост‡‚щик» Полfl ‚ типо‚ом 燄оло‚ке уже обсу扇лись. Опис‡ние после‰не„о полfl ‰‡но ниже. • ID пост‡‚щик‡. Это поле пееменной ‰лины опе‰елflет конст‡нту, используемую пост‡‚щиком.

629

Кус

Кипто„‡фиfl и безоп‡сность сетей

18.7. Рекомен‰о‚‡нн‡fl лите‡ту‡ Длfl более ‰ет‡льно„о изучениfl положений, обсуж‰енных ‚ этой лекции, мы екомен‰уем нижесле‰ующие кни„и и с‡йты. Пункты, ук‡з‡нные ‚ скобк‡х, пок‡з‡ны ‚ списке ссылок ‚ конце.

Кни„и [DH03], [Fra0l], [KPS02], [Res0l], [Sta06], [Rhe03] полностью ‡ссм‡т肇ют IPSec.

С‡йты Нижесле‰ующие с‡йты ‰‡ют больше инфом‡ции о тем‡х, обсуж‰енных ‚ этой лекции. http://www.unixwiz.net/techtips/iguide-ipsec.html http://www.ietf.org/rfc/rfc2401.txt http://rfc.net/rfc240l.html

18.8. Ито„и • Безоп‡сность IP (IPSec) — со‚окупность потоколо‚, ‡з‡бот‡нных IETF (Гупп‡ Инжененой пежки сети Интенет) ‰лfl то„о, чтобы обеспечить безоп‡сность пе則чи п‡кето‚ н‡ сете‚ом уо‚не. • IPSec ‡бот‡ет ‚ т‡нспотном или туннельном ежиме. В т‡нспотном ежиме IPSec з‡щищ‡ет инфом‡цию, ‰ост‡‚лflемую от т‡нспотно„о уо‚нfl к сете‚ому уо‚ню, но не з‡щищ‡ет 燄оло‚ок IP. В туннельном ежиме IPSec з‡щищ‡ет ‚есь п‡кет IP, ‚ключ‡fl пе‚он‡ч‡льный 燄оло‚ок IP. • IPSec опе‰елflет ‰‚‡ потокол‡: потокол 燄оло‚к‡ ‡утентифик‡ции (AH) и полезную 퇄узку со ‚стоенной з‡щитой 퇄узк‡ (ESP). Эти потоколы обеспеч肇ют ‡утентифик‡цию, шифние или и то и ‰у„ое ‰лfl п‡кето‚ н‡ уо‚не IP. Потокол 燄оло‚к‡ ‡утентифик‡ции (AH) по‰т‚е扇ет по‰линность хост‡ источник‡ и „‡‡нтиует целостность полезной 퇄узки, котоую несет п‡кет IP. Потокол «полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой» (ESP) обеспеч肇ет исхо‰ную ‡утентифик‡цию, целостность и секетность. ESP ‰оᇂлflет к фом‡ту 燄оло‚ок и конечную метку. • IPSec кос‚енно обеспеч肇ет уп‡‚ление ‰оступом, используfl б‡зу ‰‡нных услу„ обеспечениfl безоп‡сности (SAD). • В IPSec ст‡те„иfl безоп‡сности (SP) опе‰елflет, к‡к‡fl безоп‡сность ‰олжн‡ быть обеспечен‡ п‡кету ‚ пе則тчике или ‚ пиемнике. IPSec использует множест‚о ст‡те„ий безоп‡сности, н‡зы‚‡емых б‡зой ‰‡нных ст‡те„ии безоп‡сности (SPD). • Смен‡ ключей ‚ Интенете (IKE) — потокол, пе‰н‡зн‡ченный ‰лfl со片ниfl услу„ обеспечениfl безоп‡сности (SA) ‰лfl ‚хо‰flщих и исхо‰flщих сое‰инений. IKE со片ет SA’s ‰лfl IPSec. 630

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

• IKE — сложный потокол, котоый б‡зиуетсfl н‡ тех ‰у„их потокол‡х: Oakley, SKEME и ISAKMP. • IKE ‡бот‡ет ‚ ‰‚ух ф‡з‡х: ф‡з‡ I и ф‡з‡ II. Ф‡з‡ I со片ет SA’s ‰лfl ф‡зы II; ф‡з‡ II со片ет SA’s ‰лfl потокол‡ обмен‡ ‰‡нными, т‡ко„о к‡к IPSec. • ISAKMP-потокол ‡з‡бот‡н ‰лfl то„о, чтобы ‰ост‡‚ить сообщение ‰лfl потокол‡ IKE.

18.9. Н‡бо ‰лfl п‡ктики Обзоные ‚опосы 1. Пок‡жите ‡зличиfl меж‰у ‰‚умfl ежим‡ми IPSec. 2. Опе‰елите потокол AH и услу„и безоп‡сности, котоые он обеспеч肇ет. 3. Опе‰елите потокол ESP и услу„и безоп‡сности, котоые он обеспеч肇ет. 4. Опе‰елите услу„и обеспечениfl безоп‡сности (SA) и объflсните их цель. 5. Опе‰елите SAD и объflсните е„о отношение к услу„‡м обеспечениfl безоп‡сности. 6. Опе‰елите ст‡те„ию безоп‡сности и объflсните ее цель ‚ отношении к IPSec. 7. Опе‰елите IKE и объflсните, почему этот потокол необхо‰им ‚ IPSec. 8. Опе‰елите ф‡зы IKE и цели к‡ж‰ой ф‡зы. 9. Опе‰елите ISAKMP и е„о отношение к IKE. 10. Пеечислите типы полезной 퇄узки ISAKMP и цель к‡ж‰о„о тип‡.

Уп‡жнениfl 1. Хост получ‡ет ‡утентифицинный п‡кет с поfl‰ко‚ым номеом 181. Окно от‚ет‡ имеет помежуток от 200 ‰о 263. Что хост с‰ел‡ет с п‡кетом? К‡ко‚ бу‰ет помежуток окн‡ после это„о событиfl? 2. Хост получ‡ет ‡утентифицинный п‡кет с поfl‰ко‚ым номеом 208. Окно от‚ет‡ имеет помежуток от 200 ‰о 263. Что хост с‰ел‡ет с п‡кетом? К‡ко‚ бу‰ет помежуток окн‡ после это„о событиfl?

631

Кус

Кипто„‡фиfl и безоп‡сность сетей

3. Хост получ‡ет ‡утентифицинный п‡кет с поfl‰ко‚ым номеом 331. Окно от‚ет‡ имеет помежуток от 200 ‰о 263. Что хост с‰ел‡ет с п‡кетом? К‡ко‚ бу‰ет помежуток окн‡ после это„о событиfl? 4. Д臄‡мм‡ ‰лfl ‚ычислениfl SKEYID пи мето‰е п剂‡ительно„о со‚местно„о ключ‡ пок‡з‡н‡ н‡ ис. 18.44. Об‡тите ‚ним‡ние, что ключ к функции prf ‚ этом случ‡е — п剂‡ительный со‚местный ключ. Рис. 18.44. Уп‡жнение 14 ‡. н‡исуйте по‰обную ‰и‡„‡мму SKEYID ‰лfl мет откыто„о ключ‡. б. н‡исуйте по‰обную ‰и‡„‡мму SKEYID ‰лfl мет цифо‚ой по‰писи. 5. Н‡исуйте ‰и‡„‡мму, по‰обную ис. 18.44, ‰лfl пи‚о‰имых ниже случ‡е‚; ключ ‚ к‡ж‰ом случ‡е — SKEYID. a. SKEYID_a b. SKEYID_d c. SKEYID_e 6. Н‡исуйте ‰и‡„‡мму, по‰обную ис. 18.44, ‰лfl пи‚о‰имых ниже случ‡е‚, ключ ‚ к‡ж‰ом случ‡е — SKEYID. ‡. HASH-1 б. HASH-R 7. Н‡исуйте ‰и‡„‡мму, по‰обную ис. 18.44, ‰лfl сле‰ующе„о случ‡fl; ключ ‚ к‡ж‰ом случ‡е — SKEYID_d. ‡. HASH 1I б. HASH2 ‚. HASH3 8. Н‡исуйте ‰и‡„‡мму, по‰обную ис. 18.44, ‰лfl сле‰ующе„о случ‡fl; ключ ‚ к‡ж‰ом случ‡е — SKEYID _d. ‡. K ‰лfl случ‡fl без PFS б. K ‰лfl случ‡fl с PFS 9. По‚тоите уп‡жнение ‰лfl случ‡fl, ‚ котоом ‰лин‡ K — слишком м‡л‡. 10. Н‡четите ‰и‡„‡мму и пок‡жите ISAKMP-п‡кеты, котоыми обменflлись иници‡то и еспон‰ент, использующие мето‰ п剂‡ительно„о со‚местно„о ключ‡ ‚ „뇂ном ежиме (см. ис. 18.20). Используйте по к‡йней мее ‰‚‡ п‡кет‡ пе‰ложениfl с ‰‚умfl п‡кет‡ми пеоб‡зниfl ‰лfl к‡ж‰о„о пе‰ложениfl. 11. По‚тоите уп‡жнение 10, используfl мето‰ пе‚он‡ч‡льно„о откыто„о ключ‡ ‚ „뇂ном ежиме (см. ис. 18.21). 12. По‚тоите уп‡жнение 10, используfl пеесмотенный мето‰ откыто„о ключ‡ ‚ „뇂ном ежиме (см. ис. 18.22). 13. По‚тоите уп‡жнение 10, используfl мето‰ цифо‚ой по‰писи ‚ „뇂ном ежиме (см. ис. 18.23). 14. По‚тоите уп‡жнение 10 ‚ эне„ичном ежиме (см. ис. 18.24). 15. По‚тоите уп‡жнение 11 ‚ эне„ичном ежиме (см. ис. 18.25). 16. По‚тоите уп‡жнение 12 ‚ эне„ичном ежиме (см. ис. 18.26). 17. По‚тоить уп‡жнение 13 ‚ эне„ичном ежиме (см. ис. 18.27). 632

Лекциfl 18

Безоп‡сность н‡ сете‚ом уо‚не: IP SEC

18. Н‡исуйте ‰и‡„‡мму и пок‡жите ф‡ктические ISAKMP-п‡кеты, котоыми обменflлись иници‡то и еспон‰ент ‚ быстом ежиме (см. ис. 18.28). 19. С‡‚ните мето‰ы п剂‡ительно„о со‚местно„о ключ‡ ‚ „뇂ном и эне„ичном ежим‡х. Что с‰ел‡но ‚ эне„ичном ежиме ‰лfl безоп‡сности? К‡ко‚о у‚еличение эффекти‚ности? 20. С‡‚ните общие мето‰ы откыто„о ключ‡ ‚ „뇂ном и эне„ичном ежим‡х. Что с‰ел‡но ‚ ‡„есси‚ном ежиме относительно безоп‡сности? К‡ко‚о у‚еличение эффекти‚ности? 21. С‡‚ните пеесмотенные мето‰ы откыто„о ключ‡ ‚ „뇂ном и эне„ичном ежим‡х. Что с‰ел‡но ‚ ‡„есси‚ном ежиме относительно безоп‡сности? К‡ко‚о у‚еличение эффекти‚ности? 22. С‡‚ните мето‰ цифо‚ой по‰писи ‚ „뇂ном и эне„ичном ежим‡х. Что с‰ел‡но ‚ эне„ичном ежиме относительно безоп‡сности? К‡ко‚о у‚еличение эффекти‚ности? 23. В „뇂ном и эне„ичном ежиме — мы пе‰по뇄‡ем, что злоумышленник не может ‚ычислить SKEYID. Пи‚е‰ите ‰о‚о‰ы ‚ пользу это„о пе‰положениfl. 24. В ф‡зе I IKE и‰ентифик‡то обычно опе‰елflетсfl к‡к ‡‰ес IP. В п剂‡ительном обще‰оступном мето‰е п剂‡ительный со‚местный ключ — т‡кже функциfl ‡‰ес‡ IP. Пок‡жите, к‡к это может со片ть поочный ку„. 25. С‡‚ните мето‰ы ‰лfl „뇂но„о ежим‡ и пок‡жите, к‡кой мето‰ поз‚олflет обменflтьсfl з‡щищенными ID. 26. По‚тоите уп‡жнение ‰лfl эне„ичных мето‰о‚. 27. Пок‡жите, к‡к IKE 凄иует н‡ ‡т‡ку ‚оспоиз‚е‰ениfl ‚ „뇂ном ежиме, — то есть пок‡жите, к‡к IKE от‚еч‡ет н‡п‡‰‡ющему, котоый пыт‡етсfl ‚оспоиз‚ести о‰но или более сообщений ‚ „뇂ном ежиме 28. Пок‡жите, к‡к IKE 凄иует н‡ ‡т‡ку ‚оспоиз‚е‰ениfl ‚ эне„ичном ежиме, — то есть пок‡жите, к‡к IKE от‚еч‡ет н‡п‡‰‡ющему, котоый пыт‡етсfl ‚оспоиз‚ести о‰но или более сообщений ‚ эне„ичном ежиме. 29. Пок‡жите, к‡к IKE 凄иует н‡ ‡т‡ку ‚оспоиз‚е‰ениfl ‚ быстом ежиме, — то есть пок‡жите, к‡к IKE от‚еч‡ет н‡п‡‰‡ющему, котоый пыт‡етсfl ‚оспоиз‚ести о‰но или более сообщений ‚ быстом ежиме. 30. Пок‡жите, к‡к IPSec 凄иует н‡ ‡т‡ку „убой силы. Если злоумышленник может с‰ел‡ть исчепы‚‡ющий компьютеный поиск, сможет ли он н‡йти ключ шифниfl ‰лfl IPSec?

633

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение A. ASCII Амеик‡нский Ст‡н‰‡тный Ко‰ ‰лfl Инфом‡ционно„о Обмен‡ (ASCII American Standard Code for Information Interchange) — ко‰ н‡ 7 бито‚, котоый был ‡з‡бот‡н, чтобы обеспечить ко‰ы ‰лfl 128 сим‚оло‚, к‡к это пок‡з‡но ‚ т‡блице A.1. Т‡блиц‡ A.1. Ко‰ы ASCII

Hex – шест퇉ц‡теичное зн‡чение.

634

Пиложение В

Ст‡н‰‡ты и о„‡низ‡ции по ст‡н‰‡тиз‡ции

Пиложение B. Ст‡н‰‡ты и о„‡низ‡ции по ст‡н‰‡тиз‡ции Ст‡н‰‡ты fl‚лflютсfl осно‚ными инстумент‡ми ‚ со片нии и пеж‡нии откыто„о и конкуентоспособно„о ынк‡ ‰лfl из„ото‚ителей обоу‰о‚‡ниfl и „‡‡нтией обеспечениfl н‡цион‡льной и меж‰ун‡о‰ной способности к ‚з‡имо‰ейст‚ию техноло„ий. Ст‡н‰‡ты обеспеч肇ют екоме퉇ции из„ото‚ителflм, пост‡‚щик‡м, п‡‚ительст‚енным ‡„ентст‚‡м и ‰у„им пост‡‚щик‡м услу„, ‡ т‡кже „‡‡нтию ‚з‡имос‚flз‡нности, необхо‰имой ‰лfl се„о‰нflшне„о ынк‡ и ‚ меж‰ун‡о‰ных с‚flзflх.

B.1. Ст‡н‰‡ты интенет‡ Ст‡н‰‡т Интенет‡ — полностью по‚еенн‡fl жизнью специфик‡циfl, котоой полезно и необхо‰имо пи‰еж肇тьсfl тем, кто ‡бот‡ет с Интенетом. Это фом‡лизнное е„улиние п‡‚ил, сопо‚о扇ющее ‚се обл‡сти ‡боты с Интенетом. Есть стfl поце‰у‡, ‚ соот‚етст‚ии с котоой специфик‡циfl ‰ост脇ет состоflниfl ст‡н‰‡т‡ Интенет‡. Специфик‡циfl н‡чин‡етсfl к‡к эскиз Интенет‡. Эскиз (чено‚ик) Интенет‡ — ‡бочий ‰окумент (‡бот‡ ‚ поцессе ‚ыполнениfl). Он не имеет офици‡льно„о ст‡тус‡ без офици‡льно„о состоflниfl и у‰‡лflетсfl из б‡зы ‰‡нных после шестимесflчно„о ‚емени жизни. По екоме퉇ции ‡‰минист‡ции сети Интенет эскиз может быть и片н к‡к З‡пос о коммент‡ии (з‡пос н‡ коммент‡ии). К‡ж‰ый з‡пос н‡ коммент‡ий 則ктиуетсfl, получ‡ет н‡зн‡ченный номе и ‰ел‡етсfl ‰оступным ‰лfl ‚сех з‡интееснных стоон. З‡посы н‡ коммент‡ии похо‰flт уо‚ни „ото‚ности и ‡збиты н‡ к‡те„оии со„л‡сно их уо‚ню и тебниflм к‡ж‰о„о уо‚нfl „ото‚ности.

Уо‚ни „ото‚ности З‡пос н‡ коммент‡ии ‚ течение е„о ‚емени жизни относflт к о‰ному из шести уо‚ней „ото‚ности: пе‰ложенный ст‡н‰‡т, эскиз ст‡н‰‡т‡, ст‡н‰‡т Интенет‡, истоический, экспеимент‡льный и инфом‡ционный, к‡к пок‡з‡но н‡ ис. B.1. Пе‰ложенный ст‡н‰‡т Пе‰ложенный ст‡н‰‡т — это специфик‡циfl, кото‡fl хоошо понflтн‡ и ‚ызы‚‡ет ‰ост‡точный и ст‡бильный интеес сообщест‚ Интенет‡. Н‡ этом уо‚не специфик‡циfl обычно по‚еflетсfl и е‡лизуетсfl несколькими ‡зличными „упп‡ми. Чено‚ой ст‡н‰‡т После по к‡йней мее ‰‚ух успешных не燂исимых и со‚местимых е‡лиз‡ций пе‰ложенный ст‡н‰‡т пеехо‰ит н‡ более ‚ысокий уо‚ень чено‚о„о ст‡н‰‡т‡. Если не обн‡уж肇ютсfl ту‰ности и не ‚озник‡ет поблем, чено‚ой ст‡н‰‡т с опе‰еленными мо‰ифик‡циflми обычно ст‡но‚итсfl ст‡н‰‡том Интенет‡. 635

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. B.1. Уо‚ни „ото‚ности RFC Ст‡н‰‡т Интенет‡ Чено‚ой ст‡н‰‡т после ‰емонст‡ции успешной е‡лиз‡ции ст‡но‚итсfl ст‡н‰‡том Интенет‡. Истоические Истоические з‡посы н‡ коммент‡ии сущест‚енны ‰лfl истоической песпекти‚ы. Если ст‡ые ‚есии ст‡н‰‡то‚ были з‡менены но‚ыми, или ‚ышли из употеблениfl, или ник‡ не похо‰или необхо‰имые уо‚ни „ото‚ности, они пиобет‡ют ст‡тус истоических RFC (з‡посо‚ н‡ коммент‡ии). Экспеимент‡льные З‡пос н‡ коммент‡ии кл‡ссифициуют к‡к экспеимент‡льный, если он со‰ежит с‚е‰ениfl об экспеимент‡льных иссле‰о‚‡ниflх, интеесных ‰лfl Интенет-сообщест‚‡. Инфом‡ционные З‡пос н‡ коммент‡ии кл‡ссифициуют к‡к инфом‡ционный, если он со‰ежит ‰окументы, котоые fl‚лflютсfl не ст‡н‰‡т‡ми или любыми ‰у„ими несо„л‡снными ‰окумент‡ми. Они мо„ут быть обуч‡ющими по„‡мм‡ми, с‚flз‡нными с Интенет. Уо‚ни тебний З‡посы н‡ коммент‡ии ‡з‰елены н‡ пflть уо‚ней тебний: тебуемые, екомен‰уемые, ‚ыб‡нные, о„‡ниченно„о использниfl и неекомен‰о‚‡нные, к‡к это пок‡з‡но н‡ ис. B.2. 636

Пиложение В

Ст‡н‰‡ты и о„‡низ‡ции по ст‡н‰‡тиз‡ции

Рис. B.2. Уо‚ни тебний RFC Тебуемый З‡пос н‡ коммент‡ии (RFC) помечен к‡к тебуемый, если он е‡лизо‚‡н ‚семи систем‡ми Интенет‡, чтобы ‰ости„нуть меж‰у ними миним‡льно„о соот‚етст‚иfl. Рекомен‰о‚‡нный З‡пос н‡ коммент‡ии (RFC) помеч‡етсfl к‡к екомен‰о‚‡нный, если не тебуетсfl миним‡льно„о соот‚етст‚иfl меж‰у систем‡ми; е„о екомен‰уют из-з‡ е„о полезности ‚ некотоых систем‡х. Выби‡емый З‡пос н‡ коммент‡ии (RFC) помеч‡етсfl к‡к ‚ыби‡емый, если он не тебуемый и не екомен‰о‚‡нный. О‰н‡ко систем‡ может использть е„о ‰лfl собст‚енных целей. О„‡ниченное использние З‡пос н‡ коммент‡ии (RFC) помечен к‡к о„‡ниченный ‰лfl использниfl, если он ‰олжен пименflтьсfl только ‚ о„‡ниченных ситу‡циflх. Большинст‚о экспеимент‡льных з‡посо‚ н‡ коммент‡ии по‰п‡‰‡ет по‰ эту к‡те„оию. Неекомен‰о‚‡нный З‡пос н‡ коммент‡ии, помеченный к‡к неекомен‰о‚‡нный, fl‚лflетсfl не соот‚етст‚ующим ‰лfl обще„о использниfl. Обычно по‰ эту к‡те„оию по‰п‡‰‡ет истоический (уст‡е‚ший) з‡пос н‡ коммент‡ии. З‡посы н‡ коммент‡ии мо„ут быть н‡й‰ены н‡ с‡йте www.faqs.org/rfcs

А‰минист‡циfl сети Интенет Сеть Интенет н‡чин‡л‡сь пеж‰е ‚се„о к‡к иссле‰о‚‡тельск‡fl ‡бот‡. После это„о он‡ бысто ‡з‚肇л‡сь и получил‡ более шиокое пименение ‚ коммеческой ‰еflтельности. Р‡зличные „уппы, котоые коо‰иниуют поблемы Интенет‡, опе‰елflли и опе‰елflют этот ост и ‡з‚итие. Рисунок B.3 пок‡зы‚‡ет общую о„‡низ‡цию ‡‰минист‡ции сети Интенет. 637

Кус

Кипто„‡фиfl и безоп‡сность сетей

Сообщест‚о пользтелей сети Интенет (ISOC) Сообщест‚о Пользтелей сети Интенет (ISOC — Internet Society) — меж‰ун‡о‰н‡fl некоммеческ‡fl о„‡низ‡циfl, со片нн‡fl ‚ 1992 „о‰у, чтобы обеспечить пежку поцессу ‡з‡ботки ст‡н‰‡то‚ сети Интенет. ISOC ‚ыполнflет функцию путем уп‡‚лениfl и контолfl з‡ ‰у„ими ‡‰минист‡ти‚ными е‰иниц‡ми, т‡кими к‡к IAB, (IETF, IRTF и ICANN (см. сле‰ующие ‡з‰елы). ISOC куиует иссле‰о‚‡ниfl по теме Интенет‡, ‡ т‡кже со‰ейст‚ует об‡знию, к‡с‡ющемусfl Интенет.

Рис. B.3. А‰минист‡циfl сети Интенет Со‚ет по ‡хитектуе сети Интенет (IAB) Со‚ет по ‡хитектуе сети Интенет (IAB — Internet Architecture Board) — технический со‚етник ISOC. Г뇂ные цели IAB состоflт ‚ том, чтобы н‡блю‰‡ть з‡ непеы‚ным ‡з‚итием потокол‡ TCP/IP, соби‡ть с‚е‰ениfl и служить техническим консульт‡нтом ‰лfl иссле‰о‚‡ний, по‚о‰имых член‡ми Интенет-сообщест‚‡. IAB ‚ыполнflет эти функции, используfl ‰‚‡ пе‚ичных компонент‡: Инжененую „уппу сети Интенет (IEFT) и Иссле‰о‚‡тельскую „уппу сети Интенет (IRTF) . Ду„‡fl обл‡сть от‚етст‚енности IAB — 則ктиние з‡посо‚ н‡ коммент‡ии (RFT), ‡ссмотенных ‡нее ‚ этом пиложении. IAB т‡кже осущест‚лflет ‚нешние с‚flзи меж‰у ‡‰минист‡цией и ‰у„ими о„‡низ‡циflми ст‡н‰‡тиз‡ции и фоум‡ми. Инженен‡fl „упп‡ сети Интенет (IETF) Инженен‡fl „упп‡ сети Интенет (IETF — Internet Engineering Task Force) — фоум ‡бочих „упп, уп‡‚лflемых Инжененой „уппой по ‡з‡ботке ст‡н‰‡638

Пиложение В

Ст‡н‰‡ты и о„‡низ‡ции по ст‡н‰‡тиз‡ции

то‚ сети Интенет (IESG — Internet Engineering Steering Group). IETF от‚еч‡ет з‡ опе‰еление ‡бочих поблем и ‡з‡ботку пе‰ложений по ешению этих поблем. IETF т‡кже пе‰л‡„‡ет и ‡ссм‡т肇ет специфик‡ции, пе‰н‡зн‡ченные ‰лfl ‡з‡ботки ст‡н‰‡то‚ Интенет. Р‡бочие „уппы соб‡ны по обл‡стflм поблем, и к‡ж‰‡fl концентиуетсfl н‡ з‡‰‡нной теме. В н‡стоflщее ‚емfl были опе‰елены ‰е‚flть обл‡стей поблем: ‚опосы ‡з‡ботки пиложений, потоколы сети Интенет, м‡шутиз‡циfl, поцессы функциониниfl, пользтельские услу„и, уп‡‚ление сетью, т‡нспотные ‚опосы сети, сле‰ующее поколение потокол‡ сети Интенет (IPng) и безоп‡сность. Иссле‰о‚‡тельск‡fl „упп‡ сети Интенет (IRTF) Иссле‰о‚‡тельск‡fl „упп‡ сети Интенет (Internet Research Task Force) — фоум ‡бочих „упп, уп‡‚лflемых Гуппой уко‚о‰ст‚‡ иссле‰о‚‡ниflми ‚ сети Интенет (IRSG — Internet Research Steering Group). IRTF сосе‰оточ肇етсfl н‡ ‰ол„осочных иссле‰о‚‡тельских тем‡х, с‚flз‡нных с сете‚ыми потокол‡ми Интенет, пиложениflми, ‡хитектуой и техноло„ией. Копо‡циfl Интенет ‰лfl н‡зн‡чениfl н‡з‚‡ний и номео‚ (ICANN) Копо‡циfl Интенет ‰лfl н‡зн‡чениfl н‡з‚‡ний и номео‚ (ICANN — Internet Corporation for Assigned Names and Numbers) — ч‡стн‡fl некоммеческ‡fl копо‡циfl, уп‡‚лflем‡fl меж‰ун‡о‰ным со‚етом, кото‡fl несет от‚етст‚енность з‡ уп‡‚ление имен‡ми ‰омено‚ Интенет‡ и ‡‰ес‡ми. Цент сете‚ой инфом‡ции (NIC) Цент сете‚ой инфом‡ции (NIC — Network Information Center) несет от‚етст‚енность з‡ ‡спе‰еление инфом‡ции о потокол‡х TCP/IP.

B.2. Ду„ие о„‡низ‡ции по ст‡н‰‡тиз‡ции Р‡ссмотим инфом‡цию о нескольких ‰у„их о„‡низ‡циflх ст‡н‰‡тиз‡ции, котоые упомflнуты ‚ тексте.

NIST Н‡цион‡льный Институт Ст‡н‰‡то‚ и Техноло„ии (NIST) — ч‡сть От‰ел‡ То„о‚ли Сое‰иненных Шт‡то‚. NIST ‚ы‡б‡ты‚‡ет ст‡н‰‡ты ‚ фоме Фе‰е‡льно„о Ст‡н‰‡т‡ Об‡ботки Инфом‡ции (FIPS — Federal Information Processing Standard). Это поцесс похо‰ит сле‰ующими ш‡„‡ми. 1. NIST и片ет Фе‰е‡льный Ст‡н‰‡т Об‡ботки Инфом‡ции (FIPS) ‚ Фе‰е‡льном Ре„исте (п‡‚ительст‚енное и片ние) и с‡йт NIST ‰лfl обще‰оступно„о обзо‡ и коммент‡ие‚. Объfl‚ление т‡кже опе‰елflет к‡йний сок пиfiм‡ коммент‡ие‚ (обычно спустfl 90 ‰ней после объfl‚лениfl). 2. После оконч‡ниfl сок‡ „упп‡ экспето‚ ‚ NIST ‡ссм‡т肇ет коммент‡ии и ‰ел‡ет любые необхо‰имые изменениfl. 3. Рекомен‰о‚‡нный Фе‰е‡льный Ст‡н‰‡т Об‡ботки Инфом‡ции (FIPS) пе則ют министу то„о‚ли ‰лfl о‰обениfl. 639

Кус

Кипто„‡фиfl и безоп‡сность сетей

4. О‰обенный Фе‰е‡льный Ст‡н‰‡т Об‡ботки Инфом‡ции (FIPS) и片етсfl ‚ Фе‰е‡льном Ре„исте и н‡ с‡йте NIST.

Меж‰ун‡о‰н‡fl О„‡низ‡циfl по Ст‡н‰‡тиз‡ции (ISO) Меж‰ун‡о‰н‡fl О„‡низ‡циfl по Ст‡н‰‡тиз‡ции (Меж‰ун‡о‰н‡fl О„‡низ‡циfl по Ст‡н‰‡тиз‡ции) — мно„он‡цион‡льн‡fl „упп‡, членст‚о ‚ котоой не燂исимо, „뇂ным об‡зом от комитето‚ со片ниfl ст‡н‰‡то‚ ‡зличных п‡‚ительст‚ ‚о ‚сем мие. Меж‰ун‡о‰н‡fl О„‡низ‡циfl по Ст‡н‰‡тиз‡ции ‡бот‡ет 퇉 ‡з‚итием соту‰ничест‚‡ ‚ обл‡стflх н‡учной, техноло„ической и экономической ‰еflтельности.

ITU-T ( International Telecommunication Union — Telecommunication Standards Sector) Меж‰ун‡о‰ный Союз по Телекоммуник‡циflм — Секто Телекоммуник‡ционных Ст‡н‰‡то‚ (ITU-T) — ч‡сть меж‰ун‡о‰но„о Телекоммуник‡ционно„о Союз‡ (ITU). Секто пос‚flщен иссле‰о‚‡нию и уст‡но‚лению ст‡н‰‡то‚ ‰лfl телекоммуник‡ций, ‚ ч‡стности, ‰лfl систем пе則чи ‰‡нных и телефонной с‚flзи.

ANSI Амеик‡нский н‡цион‡льный Институт Ст‡н‰‡то‚ (ANSI — American National Standards Institute) — полностью ч‡стн‡fl, некоммеческ‡fl копо‡циfl, не с‚flз‡нн‡fl с ‡меик‡нским фе‰е‡льным п‡‚ительст‚ом. О‰н‡ко ‚се ‰ейст‚иfl ANSI пе‰пиним‡ютсfl ‚ пе‚ую очее‰ь с целью улучшениfl б뇄осостоflниfl Сое‰иненных Шт‡то‚ и е„о „‡ж‰‡н.

IEEE (ИИЭР) Институт инженео‚ по электотехнике и ‡‰иоэлектонике (ИИЭР) — с‡мое купное пофессион‡льное техническое общест‚о ‚ мие. Дейст‚уfl ‚ меж‰ун‡о‰ном м‡сшт‡бе, оно стемитсfl п脇ть теоию, ‡з‚肇ть т‚оческий потенци‡л и сле‰ить з‡ к‡чест‚ом по‰укто‚ ‚ обл‡стflх электотехники, электоники и ‡‰ио, т‡к же к‡к ‚о ‚сех ‰у„их с‚flз‡нных с ними ‚ет‚flх ‡з‡ботки. О‰н‡ из е„о целей — н‡блю‰ение з‡ ‡з‚итием и пинflтием меж‰ун‡о‰ных ст‡н‰‡то‚ ‚ обл‡сти компьютео‚ и с‚flзи.

EIA Электонн‡fl Ассоци‡циfl От‡слей помышленности (EIA) — по‰обн‡fl ANSI некоммеческ‡fl о„‡низ‡циfl, кото‡fl ок‡зы‚‡ет пежку комп‡ниflм ‚ помышленности, поиз‚о‰flщей электонику. Еfi ‰ейст‚иfl ‚ ‰ополнение к ‡з‚итию ст‡н‰‡то‚ ‚ключ‡ют обще‰оступное об‡зние и лоббиние. В обл‡сти инфом‡ционной техноло„ии EIA ‚несл‡ сущест‚енный ‚к뇉 ‚ ‡з‚итие ст‡н‰‡то‚ ‰лfl пе則чи ‰‡нных. 640

Пиложение C

Н‡бо потоколо‚ TCP/IP

Пиложение С. Н‡бо потоколо‚ TCP/IP Мо‰ель о„‡низ‡ции сети, используем‡fl ‚ сети Интенет се„о‰нfl, — потокол уп‡‚лениfl пе則чей / потокол ‚з‡имо‰ейст‚иfl сетей (TCP/IP), или н‡бо потокол‡ TCP/IP. К‡к пок‡з‡но н‡ ис. C.1, н‡бо состоит из пflти уо‚ней: пик뇉ной, т‡нспотный, сете‚ой, з‚ен‡ ‰‡нных (к‡н‡льный) и физический.

Рис. C.1. Мо‰ель потоколо‚ TCP/IP TCP/IP — ие‡хический потокол, сост‡‚ленный из инте‡кти‚ных мо‰улей, к‡ж‰ый из котоых обеспеч肇ет функцион‡льные ‚озможности. Темин ие‡хический озн‡ч‡ет, что к‡ж‰ый потокол ‚ехне„о уо‚нfl использует услу„и о‰но„о или нескольких потоколо‚ более низко„о уо‚нfl.

C.1. Уо‚ни ‚ TCP/IP В этом ‡з‰еле мы к‡тко описы‚‡ем функции к‡ж‰о„о уо‚нfl ‚ н‡бое потокол‡ TCP/IP.

Пик뇉ной уо‚ень Пик뇉ной уо‚ень поз‚олflет пользтелю (или чело‚еку, или по„‡ммному обеспечению) об‡щ‡тьсfl к сети. Он обеспеч肇ет интефейсы пользтелfl и пежку услу„, т‡ких к‡к пе則ч‡ ф‡йло‚, электонн‡fl почт‡ и ‡бот‡ с у‰‡ленным се‚еом. Пик뇉ной уо‚ень от‚еч‡ет з‡ обеспечение услу„ пользтелю. 641

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Доменн‡fl систем‡ имен (DNS — Domain Name System). Доменн‡fl систем‡ имен — пик뇉н‡fl по„‡мм‡, кото‡fl пе‰ост‡‚лflет услу„и ‰у„им пик뇉ным по„‡мм‡м. Он‡ н‡хо‰ит ло„ический ‡‰ес (сете‚ой уо‚ень) по 燉‡нному ‡‰есу пользтелfl (пик뇉ной уо‚ень). • Постой потокол пе則чи почты (SMTP — Simple Mail Transfer Protocol). SMTP — потокол, используемый ‰лfl электонной почты. Электонн‡fl почт‡ ‡ссм‡т肇л‡сь ‚ лекции 16. • Потокол пе則чи ф‡йло‚ (FTP — File Transfer Protocol). FTP — потокол пе則чи ф‡йло‚ ‚ сети Интенет. Он пименflетсfl ‰лfl то„о, чтобы пе則ть большие ф‡йлы от о‰но„о компьюте‡ к ‰у„ому. • Потокол пе則чи „ипетекст‡ (HTTP — Hypertext Transfer Protocol). HTTP — потокол, котоый обычно используетсfl, чтобы об‡титьсfl к Word Wide Web (Всемин‡fl П‡утин‡). • Постой потокол уп‡‚лениfl сетью (SNMP — Simple Network Management Protocol). SNMP — офици‡льный потокол уп‡‚лениfl ‚ Интенет. • Оконечн‡fl сеть (TELNET — Terminal Network). TELNET — у‰‡ленн‡fl пик뇉н‡fl по„‡мм‡ ‚х ‚ систему. Пользтель может использть TELNET, чтобы сое‰инитьсfl с у‰‡ленным хостом и пименflть ‰оступные услу„и.

Т‡нспотный уо‚ень Т‡нспотный уо‚ень от‚еч‡ет з‡ ‰ост‡‚ку ‚се„о сообщениfl «от поцесс‡-к-поцессу». Поцесс — пик뇉н‡fl по„‡мм‡, функциониующ‡fl н‡ хосте. Т‡нспотный уо‚ень от‚еч‡ет з‡ ‰ост‡‚ку сообщениfl от о‰но„о поцесс‡ ‰о ‰у„о„о. Т‡‰иционно т‡нспотный уо‚ень был пе‰ст‡‚лен ‚ TCP/IP ‰‚умfl потокол‡ми: TCP и UDP. Но‚ый потокол т‡нспотно„о уо‚нfl SCTRP (Stream Control Transmission Protocol) был ‡з‡бот‡н ‚ от‚ет н‡ но‚ые потебности некотоых ‚но‚ь со片нных пиложений (н‡пиме, систем е‡льно„о ‚емени). • Потокол пользтельских ‰ейт‡„‡мм (UDP). UDP — н‡иболее постой из ‰‚ух ст‡н‰‡тных т‡нспотных потоколо‚ TCP/IP. Это потокол тип‡ «поцесс-поцесс», котоый ‰оᇂлflет к ‰‡нным ‚ехне„о уо‚нfl только ‡‰ес‡ пот‡, контольную сумму ‰лfl контолfl ошибок и инфом‡цию ‰лины. • Потокол уп‡‚лениfl пе則чей (TCP). TCP обеспеч肇ет пиложениflм полный н‡бо услу„ т‡нспотно„о уо‚нfl. TCP — ‰осто‚еный потокол т‡нспотно„о поток‡. Темин потокол поток‡ ‚ этом контексте озн‡ч‡ет се‰ст‚‡, оиентинные н‡ сое‰инение: сое‰инение ‰олжно быть уст‡но‚лено меж‰у обоими уч‡стник‡ми обмен‡ пеж‰е, чем любой из них сможет пе則ть ‰‡нные. Н‡ пе則ющем конце ‚ поцессе пе則чи TCP ‰елит поток ‰‡нных н‡ меньшие мо‰ули, н‡зы‚‡емые се„мент‡ми. К‡ж‰ый се„мент ‚ключ‡ет ‚ себfl поfl‰ко‚ый номе, чтобы после пием‡ уст‡но‚ить 642

Пиложение C

Н‡бо потоколо‚ TCP/IP

поfl‰ок сле‰о‚‡ниfl се„менто‚, ‚месте с номе‡ми по‰т‚еж‰ениfl ‰лfl полученных се„менто‚. Се„менты пееносflт чеез сеть Интенет инфом‡цию ‚ ‚и‰е ‰ейт‡„‡мм IP. В конце пием‡ TCP соби‡ет из се„менто‚ к‡ж‰ую ‰ейт‡„‡мму и упоfl‰оч肇ет их сле‰о‚‡ние н‡ осно‚е поfl‰ко‚ых номео‚. • Т‡нспотный потокол уп‡‚лениfl потоком (SCTP — STREAM CONTROL TRANSMISSION PROTOCOL). SCTP обеспеч肇ет пежку но‚ым пиложениflм, т‡ким к‡к IP-телефониfl. Это — потокол т‡нспотно„о уо‚нfl, котоый объе‰инflет положительные с‚ойст‚‡ UDP и TCP.

Сете‚ой уо‚ень Сете‚ой уо‚ень пе‰н‡зн‡чен ‰лfl ‰ост‡‚ки п‡кето‚ от источник‡ ‚ пункт н‡зн‡чениfl, ‚еоflтно чеез множест‚о физических сетей (линий с‚flзи). Сете‚ой уо‚ень „‡‡нтиует, что к‡ж‰ый п‡кет бу‰ет ‰ост‡‚лен от е„о исхо‰ной точки к е„о конечному пункту н‡зн‡чениfl. Некотоые обflз‡нности сете‚о„о уо‚нfl ‚ключ‡ют ло„ическую ‡‰ес‡цию и м‡шутиз‡цию. Сете‚ой уо‚ень пе‰н‡зн‡чен ‰лfl ‰ост‡‚ки от‰ельных п‡кето‚ от хост‡ источник‡ ‰о хост‡ пункт‡ н‡зн‡чениfl. • Internet-потокол (IP). IP — мех‡низм пе則чи, используемый ‚ соот‚етст‚ии с потокол‡ми TCP/IP. Это не퇉ежное без уст‡но‚лениfl сое‰инениfl обслуж肇ние с лучшими н‡меениflми. Темин «с лучшими н‡меениflми» озн‡ч‡ет, что IP не обеспеч肇ет по‚еки ошибок или ‚ыбо оптим‡льно„о м‡шут‡. IP учиты‚‡ет не퇉ежность осно‚ных уо‚ней и «пи뇄‡ет ‚се усилиfl», чтобы пе則ть инфом‡цию к пункту н‡зн‡чениfl, но без „‡‡нтий. IP т‡нспотиует ‰‡нные ‚ п‡кет‡х, н‡зы‚‡емых ‰ейт‡„‡мм‡ми, к‡ж‰‡fl из котоых т‡нспотиуетсfl от‰ельно. Дейт‡„‡ммы мо„ут пеемещ‡тьсfl по ‡зличным м‡шут‡м и мо„ут пибыть не ‚ исхо‰ной после‰о‚‡тельности или ок‡з‡тьсfl по‰ублинными. IP не сох‡нflет поfl‰ок и список м‡шуто‚ и не имеет ник‡ких се‰ст‚ ‰лfl то„о, чтобы исп‡‚ить ‰ейт‡„‡ммы, о‰н‡ж‰ы пибы‚шие ‚ пункт н‡зн‡чениfl. О„‡ниченные функцион‡льные ‚озможности IP нельзfl ‡ссм‡т肇ть к‡к сл‡бость. IP обеспеч肇ет только функции пе則чи. Пользтель может ‰оᇂить те се‰ст‚‡, котоые необхо‰имы ‰лfl ‰‡нно„о пиложениfl, и т‡ким об‡зом обеспечить м‡ксим‡льную эффекти‚ность. • Потокол опе‰елениfl ‡‰есо‚ (ARP — Address Resolution Protocol). Потокол опе‰елениfl ‡‰есо‚ используетсfl, чтобы с‚flз‡ть IP-‡‰ес с физическим ‡‰есом. Н‡ обычной физической сети к‡ж‰ое устойст‚о и‰ентифицино физическим ‡‰есом или ‡‰есом ст‡нции, обычно з‡кепленным н‡ сете‚ой к‡те интефейс‡ (NIC — Network Interface Card). Потокол опе‰елениfl ‡‰есо‚ используетсfl, чтобы н‡йти физический ‡‰ес узл‡, к‡ из‚естен е„о Интенет-‡‰ес. • Потокол опе‰елениfl ‡‰есо‚ об‡тно„о ‡‰ес‡ (RARP — Reverse Address Resolution Protocol) поз‚олflет хосту обн‡уж肇ть е„о ‡‰ес ‚ сети Интенет, к‡ он зн‡ет только с‚ой физический ‡‰ес. Это используетсfl, ко„643

Кус

Кипто„‡фиfl и безоп‡сность сетей

‰‡ компьюте с‚flзы‚‡етсfl с сетью ‚пе‚ые или к‡ компьюте 燄уж‡етсfl без ‰иск‡. • Потокол Уп‡‚лflющих сообщений сети Интенет (ICMP – Internet Control Message Protocol). ICMP – мех‡низм, используемый хост‡ми и ‰у„ими помежуточными устойст‚‡ми, чтобы пе則ть у‚е‰омление о ‰ейт‡„‡ммных поблем‡х н‡з‡‰ пе則тчику. ICMP пе則ет з‡пос и ошибку, из‚ещ‡fl о сообщениflх. • Потокол уп‡‚лениfl „упп‡ми сети Интенет (IGMP — Internet Group Message Protocol). Потокол уп‡‚лениfl „упп‡ми (пользтелей) сети Интенет пименflетсfl ‰лfl то„о, чтобы обле„чить о‰но‚еменную пе則чу сообщениfl „уппе получ‡телей.

Уо‚ень з‚ен‡ пе則чи ‰‡нных Уо‚ень з‚ен‡ пе則чи ‰‡нных пеоб‡зо‚ы‚‡ет физический уо‚ень, постое се‰ст‚о пе則чи, — ‚ ‰осто‚еную линию с‚flзи. Это ‰‡ет ‚озможность с‰ел‡ть физический уо‚ень с‚обо‰ным от ошибок (‚иту‡льно) пи пе則че инфом‡ции к ‚ехнему уо‚ню (сете‚ой уо‚ень). Некотоые из 燉‡ч уо‚нfl з‚ен‡ пе則чи ‰‡нных — циклfl синхониз‡циfl, физическ‡fl ‡‰ес‡циfl, уп‡‚ление потоком, контоль ошибок и уп‡‚ление ‰оступом. Уо‚ень з‚ен‡ пе則чи ‰‡нных пе‰н‡зн‡чен ‰лfl то„о, чтобы пеемещ‡ть ꇉы от о‰но„о уч‡стк‡ (узл‡) к сле‰ующему.

Физический уо‚ень Физический уо‚ень коо‰иниует функции ‰ост‡‚ки поток‡ бит по физической се‰е. Физический уо‚ень опе‰елflет: физические х‡‡ктеистики интефейсо‚ и х‡‡ктеистики се‰ы пе則чи, пе‰ст‡‚ление бито‚, скоость пе則чи ‰‡нных, синхониз‡цию бито‚ и физическую тополо„ию сети. Физический уо‚ень пе‰н‡зн‡чен ‰лfl пе則чи от‰ельных бито‚ от о‰но„о уч‡стк‡ (узл‡) к сле‰ующему.

C.2. А‰ес‡циfl В Интенете используютсfl четые ‡зличных уо‚нfl ‡‰есо‚, пе‰н‡зн‡ченные ‰лfl ‡боты ‚ TCP/IP: 燉‡нный ‡‰ес, ‡‰ес пот‡, ло„ический ‡‰ес и физический ‡‰ес, к‡к это пок‡з‡но н‡ ис. C.2.

З‡‰‡нный ‡‰ес С‚flзь н‡ пик뇉ном уо‚не осущест‚лflетсfl с пименением 燉‡нных ‡‰есо‚: ‡‰есо‚, пи퇉леж‡щих 燉‡нным потокол‡м пик뇉но„о уо‚нfl. Н‡пиме, используетсfl о‰ин ‡‰ес электонной почты, чтобы пе則ть электонную почту. 644

Пиложение C

Н‡бо потоколо‚ TCP/IP

А‰ес пот‡ Се„о‰нfl компьютеы — устойст‚‡, котоые мо„ут ‚ыполнflть о‰но‚еменно мно„о 燉‡ч. Конечн‡fl цель с‚flзи ‚ Интенете — поцесс, уст‡н‡‚л肇ющий с‚flзь с ‰у„им поцессом. Н‡пиме, компьюте A ‡бот‡ет с компьютеом C, используfl TELNET. В то же с‡мое ‚емfl компьюте обмен肇етсfl сообщениflми с компьютеом B, пользуflсь потоколом пе則чи ф‡йло‚ (FTP). Чтобы этих поцессы мо„ли функционить о‰но‚еменно, ‰олжен быть мето‰ отметки ‡зличных поцессо‚. Ду„им слми, поцессы ну扇ютсfl ‚ ‡‰ес‡ции. В ‡хитектуе TCP/IP метк‡, н‡зн‡ч‡ем‡fl поцессу, н‡зы‚‡етсfl ‡‰есом пот‡. А‰ес пот‡ ‚ TCP/IP — 16 бито‚ ‰линой.

Рис. C.2. А‰ес‡ ‚ TCP/IP

Ло„ический ‡‰ес Ло„ические ‡‰ес‡ необхо‰имы ‰лfl уни‚ес‡льных служб с‚flзи, котоые не 燂исflт от осно‚ных физических сетей. Нужн‡ уни‚ес‡льн‡fl систем‡ ‡‰ес‡ции, ‚ котоой к‡ж‰ый хост может быть и‰ентифицин уник‡льно, не燂исимо от осно‚ной физической сети. Ло„ические ‡‰ес‡ ‡з‡бот‡ны ‰лfl этой цели. Ло„ический ‡‰ес (‡‰ес IP) ‚ Интенете — ‚ н‡стоflщее ‚емfl это ‡‰ес н‡ 32 бит‡, котоый может уник‡льно опе‰елить хост, по‰ключенный к Интенету. Ник‡кие ‰‚‡ хост‡, получи‚шие ‡‰ес‡ и ‡бот‡ющие ‚ Интенете, не мо„ут иметь о‰ин и тот же ‡‰ес IP.

Физический ‡‰ес Физический ‡‰ес, т‡кже из‚естный к‡к ‡‰ес с‚flзи, fl‚лflетсfl ‡‰есом узл‡, опе‰еленно„о ‚ ‰‡нной физической сети. Он ‚ключен ‚ ꇉ, используемый уо‚нем з‚ен‡ пе則чи ‰‡нных. Это — ‡‰ес с‡мо„о низко„о уо‚нfl. Физические ‡‰ес‡ уп‡‚лflютсfl ‡‰минист‡цией по физической сети. Р‡зме и фом‡т этих ‡‰есо‚ изменflютсfl ‚ 燂исимости от сети. 645

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение D. Элемент‡н‡fl теоиfl ‚еоflтностей Теоиfl ‚еоflтностей и„‡ет очень ‚‡жную оль ‚ кипто„‡фии, потому что он‡ обеспеч肇ет лучший способ количест‚енно опе‰елить степень неопе‰еленности, ‡ кипто„‡фиfl ‚ большинст‚е случ‡е‚ осно‚‡н‡ н‡ неопе‰еленности. Это пиложение ‡ссм‡т肇ет осно‚ные концепции теоии ‚еоflтностей, котоые необхо‰имы, чтобы понflть некотоые темы, ‡ссмотенные ‚ этой кни„е.

D.1. В‚е‰ение Мы н‡чин‡ем с некотоых опе‰елений, ‡ксиом и с‚ойст‚.

Опе‰елениfl Случ‡йный экспеимент Экспеимент может быть опе‰елен к‡к любое ‰ейст‚ие, котоое н‡ некотоые изменениfl н‡ ‚хо‰е от‚еч‡ет изменениflми н‡ ‚ыхо‰е. Случ‡йный экспеимент — экспеимент, ‚ котоом о‰но и то же зн‡чение н‡ ‚хо‰е может ‰‡ть ‡зличные зн‡чениfl н‡ ‚ыхо‰е. Ду„ими слми, ‚ыхо‰ не может быть о‰нозн‡чно опе‰елен зн‡чением н‡ ‚хо‰е. Н‡пиме, к‡ мы бос‡ем п‡‚ильную монету ‰‚‡ ‡з‡, ‚хо‰ (монет‡) о‰ин и тот же, но ‚ыхо‰ («оел» или «ешꇻ) может быть ‡зличен. Результ‡ты К‡ж‰ый ‚ыхо‰ случ‡йно„о экспеимент‡ н‡зы‚‡етсfl езульт‡том. Н‡пиме, к‡ бос‡етсfl шестистооннflfl и„‡льн‡fl кость, ‚озможными событиflми мо„ут быть ‚ыение о‰но„о из пеечисленных ниже чисел — 1, 2, 3, 4, 5 и 6. Типо‚ое пост‡нст‚о Типо‚ое пост‡нст‚о элемент‡ных событий (S) fl‚лflетсfl множест‚ом ‚сех ‚озможных езульт‡то‚ случ‡йно„о экспеимент‡. Пи бос‡нии монеты пост‡нст‚о элемент‡ных событий имеет только ‰‚‡ элемент‡, S = {«оел», «ешꇻ}. Пи бос‡нии и„о‚ой кости типо‚ое пост‡нст‚о имеет шесть элементо‚, S = {1, 2, 3, 4, 5, 6}. Типо‚ое пост‡нст‚о ин‡ н‡зы‚‡ют ‚еоflтностным пост‡нст‚ом, случ‡йным пост‡нст‚ом или полным множест‚ом (уни‚есумом). Событиfl К‡ случ‡йный экспеимент з‡кончен, н‡с интеесует полученное по‰множест‚о типо‚о„о пост‡нст‚‡, не обflз‡тельно состоflщее из о‰но„о езульт‡т‡. Н‡пиме, к‡ и„‡льн‡fl кость бошен‡, н‡с может интеесть ‚ыение числ‡ 2, либо любо„о четно„о числ‡, либо числ‡ меньше, чем 4. К‡ж‰ый из этих ‚озможных езульт‡то‚ можно пе‰ст‡‚лflть к‡к событие. Событие A fl‚лflетсfl по‰множест‚ом типо‚о„о пост‡нст‚‡, со‰еж‡щим о‰ин езульт‡т. Все ‡нее упомflнутые событиfl мо„ут быть опе‰елены сле‰ующим об‡зом. a. Получение 2 (постой езульт‡т): A1 = {2}. b. Получение четно„о числ‡: A2 = {2, 4, 6}. c. Получение числ‡ меньше, чем 4: A3 = {1, 2, 3}. 646

Пиложение D

Элемент‡н‡fl теоиfl ‚еоflтностей

Опе‰еление ‚еоflтности Г뇂н‡fl и‰еfl ‚ теоии ‚еоflтностей — и‰еfl поfl‚лениfl событиfl. Но к‡к ‚еоflтность ‰‡нно„о событиfl? Этот ‚опос обсу扇лсfl ‚ течение мно„их столетий. Н則‚но м‡тем‡тики пишли к со„л‡шению, что мы можем опе‰елить ‚еоflтности событий, используfl ти мет: кл‡ссический, ст‡тистический и ‚ычислительный. Кл‡ссическое опе‰еление ‚еоflтности В кл‡ссическом опе‰елении ‚еоflтности ‚еоflтность событиfl — число, интепетиуемое к‡к P (A) = nA/n, „‰е n — общее количест‚о ‚озможных езульт‡то‚ и nA — число ‚озможных езульт‡то‚, с‚flз‡нных с событием A. Это опе‰еление полезно, только если к‡ж‰ый езульт‡т о‰ин‡ко‚о ‚еоflтен. Пиме D.I Мы бос‡ем «п‡‚ильную монету». К‡к ‚еоflтность, что езульт‡том это„о экспеимент‡ бу‰ет «оел»? Решение Общее количест‚о ‚озможных езульт‡то‚ — 2 («оел» или «ешꇻ). Число ‚озможных езульт‡то‚, с‚flз‡нных с этим событием, — 1 ( ‚ы‡ет «ешꇻ). Поэтому мы имеем P («ешꇻ) = nешк‡/n = 1/2 . Пиме D.2 Мы бос‡ем и„‡льную кость. К‡к ‚еоflтность ‚ыениfl цифы 5? Решение Общее количест‚о ‚озможных езульт‡то‚ — 6, S = {1, 2, 3, 4, 5, 6}. Число ‚озможных езульт‡то‚, с‚flз‡нных с этим событием, — 1 (‚ыение 5). Поэтому мы имеем P (5) = n5 /n = 1/6. Ст‡тистическое опе‰еление ‚еоflтности В ст‡тистическом опе‰елении ‚еоflтности экспеимент ‚ыполнflетсfl n ‡з пи ‡‚ных усло‚иflх. Если событие ‚озник‡ет m ‡з и n fl‚лflетсfl ‡зумно большим, ‚еоflтность событиfl — это число, интепетиуемое к‡к P (A) = m/n. Это опе‰еление полезно, к‡ событиfl не о‰ин‡ко‚о ‚еоflтны. Пиме D.3 Мы бос‡ем «неп‡‚ильную монету» 10 000 ‡з и получ‡ем «оел» 2600 ‡з и «ешку» 7400 ‡з. Поэтому P («оел») = 2600/10 000 = 0,26 и P (ешк‡) = 7400/10 000 = 0,74. Вычислительное опе‰еление ‚еоflтности В ‚ычислительном опе‰елении ‚еоflтности опе‰елflют ‚еоflтность событиfl исхо‰fl из ‚еоflтностей ‰у„их событий, используfl ‡ксиомы и с‚ойст‚‡, пи‚е‰енные ниже.

Аксиомы Аксиомы ‚еоflтности не мо„ут быть ‰ок‡з‡ны. Они ‚‚о‰flтсfl к‡к пе‰положениfl пи их использнии ‚ теоии ‚еоflтностей. Сле‰ующие ти ‡ксиомы — это фу퉇мент‡льные ‡ксиомы теоии ‚еоflтностей. 647

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Аксиом‡ 1. Веоflтность событиfl — это неотиц‡тельное зн‡чение: P (A)≥ 0. • Аксиом‡ 2. Веоflтность случ‡йно„о пост‡нст‚‡ ‡‚н‡ 1: P (S) = 1. Ду„ими слми, пи испыт‡ниflх ‚с儉‡ ‚озник‡ет о‰ин из ‚озможных ‚ пост‡нст‚е езульт‡то‚. • Аксиом‡ 3. Если A1, A2, A3... — п‡‡ непеесек‡ющихсfl событий, то P (A1, или A2, или A3, или ...) = P (A1) + P (A2) + P (A3) + ... Событиfl A1, A2, A3...fl‚лflютсfl поп‡но непеесек‡ющимисfl событиflми, если поfl‚ление к‡ж‰о„о из них не изменflет ‚еоflтность поfl‚лениfl ‰у„их.

С‚ойст‚‡ Если пинflть ‚ышеупомflнутые ‡ксиомы, можно ‰ок‡з‡ть список с‚ойст‚. Ниже пи‚е‰ен миним‡льный список с‚ойст‚, тебуемый ‰лfl поним‡ниfl ‡з‰ело‚ ‚ этой кни„е (‰ок‡з‡тельст‚‡ сле‰ует иск‡ть ‚ кн脇х по теоии ‚еоflтностей). • Веоflтность событиfl н‡хо‰итсfl ‚с儉‡ меж‰у 0 и 1: 0 ≤ P (A) ≤ 1. – • Веоflтность ник‡ко„о езульт‡т‡ — 0: P (S ) = 0. Ду„ими слми, если мы бос‡ем и„‡льную кость, ‚еоflтность, что о‰но из чисел бу‰ет ‡‚но 7, ‡‚но 0 (не‚озможное событие). – – • Если A — ‰ополнение A, то P (A) = 1 – P (A). Н‡пиме, если ‚еоflтность ‚ыениfl цифы 2 пи бос‡нии и„‡льной кости — 1/6, ‚еоflтность неполучениfl цифы 2 — это (1 – 1/6). • Если A — по‰множест‚о B, то P (A) ≤ P (B). Н‡пиме, к‡ мы бос‡ем и„‡льную кость P (2 или 3), — меньше чем P (2 или 3 или 4). • Если событиfl A, B, C... не燂исимы, то P (A и B и C и ...) = P (A) × P (B) × P (C) ×...

Усло‚н‡fl ‚еоflтность Поfl‚ление о‰но„о событиfl может быть с‚flз‡но с поfl‚лением ‰у„о„о событиfl. Усло‚ную ‚еоflтность событиfl B, пи усло‚ии ‚озникно‚ениfl событиfl A, з‡писы‚‡ют ‚ ‚и‰е P (B|A). Может быть ‰ок‡з‡но, что P (B | A) =P (A и B)/P (A). Пимеч‡ние: если A и B — не燂исимые событиfl, то P (B|A) = P (B). Пиме D.4 Бос‡етсfl и„‡льн‡fl кость. Если н‡м сообщ‡ют, что езульт‡т — четное число, к‡к ‚еоflтность, что это — 4? Решение P (4) = P (4)/P (четн). Если число fl‚лflетсfl четным, есть только о‰ин способ получить число 4, P (4) = 1/6. P (четн) = P (2, или 4, или 6) = 3/6. Поэтому, 648

Пиложение D

Элемент‡н‡fl теоиfl ‚еоflтностей

P (4 | четн) = (1/6) / (3/6) = 1/3 Об‡тите ‚ним‡ние, что усло‚н‡fl ‚еоflтность ‘P (4 | четн) больше, чем P (4).

D.2. Случ‡йные пееменные Пееменн‡fl может пинflть ‡зличные зн‡чениfl. Пееменные, зн‡чениfl котоых 燂исflт от езульт‡то‚ случ‡йно„о экспеимент‡, н‡з‚‡ны случ‡йными пееменными. Непеы‚ные случ‡йные пееменные Случ‡йные пееменные, котоые мо„ут пиним‡ть бесконечное число зн‡чений, н‡зы‚‡ютсfl непеы‚ными случ‡йными пееменными. Мы ‚ кипто„‡фии обычно не интеесуемсfl этим типом случ‡йных пееменных.

Дискетные случ‡йные пееменные В кипто„‡фии н‡с интеесуют случ‡йные экспеименты с конечным числом езульт‡то‚ (т‡кие к‡к с и„‡льной костью). Случ‡йные пееменные, с‚flз‡нные с этим типом экспеимент‡, н‡зы‚‡ютсfl ‰искетными случ‡йными пееменными. Дискетн‡fl случ‡йн‡fl пееменн‡fl — отоб‡жение множест‚‡ езульт‡то‚ н‡ множест‚о зн‡чений е‡льных чисел. Н‡пиме, мы можем отоб‡зить езульт‡ты по‰б‡сы‚‡ниfl монеты («оел», «ешꇻ) н‡ множест‚о чисел {0, 1}.

649

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение E. Поблемы ‰нfl ож‰ениfl Поблемы ‰нfl ож‰ениfl обсу扇лись ‚ лекции 11. В этом пиложении ‰‡ютсfl общие ешениfl четыех поблем ‰ней ож‰ениfl — мы используем теоию ‚еоflтностей, некотоые положениfl котоой к‡тко пи‚е‰ены ‚ пиложении D. Длfl то„о чтобы упостить ешениfl, пименflютсfl сле‰ующие м‡тем‡тические у‡‚нениfl: 1 – x ≈ e–x 1 + 2 + ... + (k – 1) ≈ k(k – 1)/2 k(k – 1) ≈ k2

// Рfl‰ Тейло‡ пи м‡лом x

E.1. Четые поблемы Мы пе‰ст‡‚лflем ешениfl четыех поблем, обсуж‰енных ‚ лекции 11.

Пе‚‡fl поблем‡ Мы имеем множест‚о ‚ыбоок зн‡чений ‡змеом k, ‚ котоых к‡ж‰ый элемент может иметь только о‰но из N ‡‚но‚еоflтных зн‡чений. К‡ко‚ ‰олжен быть миним‡льный ‡зме ‚ыбоки k ‚ множест‚е, чтобы с ‚еоflтностью P > 1/2 по к‡йней мее о‰ин из элементо‚ был бы ‡‚ен з‡‡нее опе‰еленному зн‡чению? Чтобы ешить поблему, мы сн‡ч‡л‡ н‡хо‰им ‚еоflтность P, что по к‡йней мее о‰ин элемент ‡‚ен з‡‡нее 燉‡нному зн‡чению. З‡тем 燉‡ем ‚еоflтность к 1/2, чтобы н‡йти миним‡льный ‡зме элемент‡. Веоflтность Чтобы н‡йти ‚еоflтность P, мы ‰ел‡ем четые ш‡„‡. 1. Если Pэл — ‚еоflтность то„о, что ‚ыб‡нный элемент ‡‚ен з‡‡нее 燉‡нному зн‡чению, то Pэл = 1/N, потому что элемент может с ‡‚ной ‚еоflтностью пиним‡ть любое из зн‡чений N. 2. Если Qэл — ‚еоflтность, что ‚ыб‡нный элемент не ‡‚ен з‡‡нее 燉‡нному зн‡чению, то Qэл = 1– Pэл = (1 – 1/ N). 3. Если к‡ж‰ый элемент не燂исим (сп‡‚е‰ли‚ое пе‰положение) и Q — ‚еоflтность, что ни о‰ин элемент не ‡‚ен з‡‡нее 燉‡нному зн‡чению, то Q = Qэлk = (1 – 1/ N)k. 4. Н‡конец, если P — ‚еоflтность то„о что, по к‡йней мее о‰ин элемент ‡‚ен з‡‡нее опе‰еленному зн‡чению, то P = 1– Q или P = 1 – (1 – 1/N)k. Р‡зме ‚ыбоки Тепеь мы н‡хо‰им миним‡льный ‡зме ‚ыбоки k, чтобы ‚еоflтность поfl‚лениfl элемент‡ был‡ P ≥ 1/2. К‡к пок‡з‡но ниже, зн‡чение k ‰олжно быть k > ln2 × N: 650

Пиложение E

Поблемы ‰нfl ож‰ениfl

Пе‚‡fl поблем‡ Веоflтность: P = 1 – (1 – 1/N)k Р‡зме ‚ыбоки : k ≥ ln 2 × N

Вто‡fl поблем‡ Вто‡fl поблем‡ — т‡ же с‡м‡fl, что и пе‚‡fl, з‡ исключением то„о, что з‡‡нее 燉‡нное зн‡чение — о‰ин из элементо‚ множест‚‡. Это озн‡ч‡ет, что мы можем н‡йти езульт‡т ‚тоой поблемы, если з‡меним k н‡ k – 1, потому что после ‚ыбо‡ о‰но„о элемент‡ из ‚ыбоки элементо‚ ост‡етсfl только k – 1 элементо‚. Поэтому P = 1 – (1 – 1/N)k-1 и k> ln2 × N + 1. Вто‡fl поблем‡ Веоflтность: P = 1 – (1 – 1/N) k-1 Р‡зме ‚ыбоки k ≥ ln2 × N + 1.

Тетьfl поблем‡ В тетьей поблеме мы ‰олжны н‡йти миним‡льный ‡зме ‚ыбоки элементо‚ k, т‡кой, чтобы с ‚еоflтностью P > 1/2 по к‡йней мее ‰‚‡ элемент‡ имели о‰но и то же зн‡чение. Чтобы ешить поблему, мы сн‡ч‡л‡ н‡хо‰им соот‚етст‚ующую ‚еоflтность P, з‡тем 燉‡ем ‚еоflтность 1/2, чтобы н‡йти миним‡льный ‡зме ‚ыбоки. Веоflтность З‰есь мы используем не т‡кую ст‡те„ию, к‡к ‚ пе‰ы‰ущих случ‡flх. 1. Мы опе‰елflем ‚еоflтности поfl‚лениfl элементо‚ по о‰ному. Пе‰положим, что P fl‚лflетсfl ‚еоflтностью, с котоый ‚ыбок‡ элементо‚ i имеет то же с‡мое зн‡чение, что и о‰н‡ из пе‰ы‰ущих ‚ыбоок, и Q — ‚еоflтность, с котоый ‚ыбок‡ i имеет зн‡чение, отлич‡ющеесfl от ‚сех пе‰ы‰ущих ‚ыбоок. a. Поскольку пее‰ пе‚ой ‚ыбокой нет ни о‰ной ‰у„ой P1 = 0 и Q1 = 1 – 0 = 1. b. Поскольку пее‰ ‚тоой ‚ыбокой есть о‰н‡ ‰у„‡fl ‚ыбок‡, пе‚‡fl и ‚то‡fl ‚ыбоки мо„ут иметь о‰но из зн‡чений из N элементо‚. P2 = 1/N и Q2 = (1 – 1/N). c. Поскольку пее‰ тетьей ‚ыбокой есть ‰‚е ‚ыбоки, то к‡ж‰‡fl из этих ‰‚ух ‚ыбоок может иметь о‰но из зн‡чений из N элементо‚, P3 = 2/N и Q3 = (1– 2/N). d. По‰олж‡fl эти ‡ссуж‰ениfl, мы получим Pk = (k – 1)/N и Qk = (1 – (k – 1)/N). 651

Кус

Кипто„‡фиfl и безоп‡сность сетей

2. Пе‰положим, что ‚се ‚ыбоки не燂исимы, т‡ ‚еоflтность Q, с котоой ‚се ‚ыбоки имеют ‡зличные зн‡чениfl,

3. Н‡конец, если P — ‚еоflтность, с котоой по к‡йней мее ‰‚е ‚ыбоки имеют о‰ни и те же зн‡чениfl, то мы имеем P = 1 – Q или P = 1 – e-k2/2N Р‡зме ‚ыбоки Тепеь мы можем н‡йти миним‡льный ‡зме ‚ыбоки с ‚еоflтностью P ≥ 1/2 . Он‡ ‡‚н‡ k ≥ (2 × ln2)1/2 или k ≥ 1,18 × N1/2, ‰ок‡з‡тельст‚о пи‚е‰ено ниже:

Тетьfl поблем‡ Веоflтность: P= 1 – e-k2/2N Р‡зме ‚ыбоки: k ≥ (2 × ln 2)1/2 × N1/2

Чет‚ет‡fl поблем‡ В Чет‚етой поблеме мы имеем ‰‚е ‚ыбоки ‡‚но„о ‡зме‡, k. Мы ‰олжны н‡йти миним‡льное зн‡чение k, т‡кое, что с ‚еоflтностью P ≥ 1/2 по к‡йней мее о‰н‡ из ‚ыбоок ‚ пе‚ом множест‚е имеет то же с‡мое зн‡чение, что и ‚ыбок‡ ‚о ‚тоом множест‚е. Чтобы ешить поблему, мы сн‡ч‡л‡ н‡хо‰им соот‚етст‚ующую ‚еоflтность P. З‡тем мы 燉‡ем ‚еоflтность 1/2, чтобы н‡йти миним‡льный ‡зме ‚ыбоки. Веоflтность Мы еш‡ем это с использнием ст‡те„ии, по‰обной той, котоую мы использли ‰лfl пе‚ой поблемы. 1. Со„л‡сно пе‚ой поблеме, ‚еоflтность, что ‚се ‚ыбоки ‚ пе‚ом множест‚е имеют зн‡чениfl, отлич‡ющиесfl от зн‡чений пе‚ой ‚ыбоки ‚о ‚тоом множест‚е, — Q 1 = (1 – 1/N)k. 2. Веоflтность, что ‚се ‚ыбоки ‚ пе‚ом множест‚е имеют зн‡чениfl, отлич‡ющиесfl от пе‚ых и ‚тоых ‚ыбоок ‚о ‚тоом множест‚е, – Q2 = (1 – 1/N) k × (1 – 1/N) k. 3. Мы по‰олж‡ем ‡ссуж‰ениfl, чтобы пок‡з‡ть, что ‚еоflтность, что ‚се ‚ыбоки ‚ пе‚ом множест‚е имеют зн‡чениfl, отлич‡ющиесfl от любой ‚ыбоки ‚о ‚тоом множест‚е: 652

Пиложение E

Поблемы ‰нfl ож‰ениfl

4. Н‡конец, если P — ‚еоflтность, что по к‡йней мее о‰н‡ ‚ыбок‡ из пе‚о„о н‡бо‡ имеет то же с‡мое зн‡чение, что и о‰н‡ из ‚ыбоок ‚о ‚тоом н‡бое, то P = 1 – Qk или P = 1 – e–k2/N Р‡зме ‚ыбоки Тепеь мы н‡хо‰им миним‡льный общий ‡зме ‚ыбоок, к‡к это пок‡з‡но ниже:

Чет‚ет‡fl поблем‡ Веоflтность: P= 1 – e-k2/2N Р‡зме ‚ыбоки: k ≥ (2 × ln 2)1/2 × N1/2

E.2. Ито„и Т‡блиц‡ E.1 ‰‡ет ‚ы‡жениfl ‰лfl ‚еоflтности (P) и ‡зме‡ ‚ыбоки (k) ‰лfl к‡ж‰ой из этих четыех поблем. Т‡блиц‡ E.1. Ито„и ешений ‰лfl четыех поблем ‰нfl ож‰ениfl

653

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение F. Теоиfl инфом‡ции В этом пиложении мы обсу扇ем несколько концепций теоии инфом‡ции, котоые с‚flз‡ны с тем‡ми, ‡ссмотенными ‚ этой кни„е.

F.1. Измеение инфом‡ции К‡к мы можем измеить инфом‡цию ‚ событии? Сколько инфом‡ции н‡м ‰ост‡‚лflет событие? Д‡‚‡йте от‚етим н‡ эти ‚опосы с помощью пимео‚. Пиме F.1 Вооб‡зите чело‚ек‡, си‰flще„о ‚ комн‡те. Глfl‰fl из окн‡, он может flсно ‚и‰еть, что сиflет солнце. Если ‚ этот момент он получ‡ет сообщение (событие) от сос則, котоый „о‚оит «Хооший ‰ень», это сообщение со‰ежит к‡кую-либо инфом‡цию? Конечно, нет! Чело‚ек уже у‚еен, что это ‰ень и по„ хоош‡fl. Сообщение не уменьш‡ет неопе‰еленности е„о зн‡ний. Пиме F.2 Вооб‡зите, что чело‚ек купил лотеейный билет. Если ‰у„ з‚онит, чтобы ск‡з‡ть, что он ‚ыи„‡л пе‚ый пиз, это сообщение (событие) со‰ежит инфом‡цию? Конечно, ‰‡! Сообщение со‰ежит мно„о инфом‡ции, потому что ‚еоflтность ‚ыи„ыш‡ пе‚о„о пиз‡ fl‚лflетсfl очень м‡ленькой. Пиемник сообщениfl потflсен. Вышеупомflнутые ‰‚‡ пиме‡ пок‡зы‚‡ют, что есть отношениfl меж‰у полноценностью событиfl и ож艇ниflми пиемник‡. Если пиемник у‰‡лен от мест‡ событиfl, к‡ событие случ‡етсfl, сообщение со‰ежит мно„о инфом‡ции; ин‡че — это не т‡к. Ду„ими слми, инфом‡ционное со‰еж‡ние сообщениfl об‡тно попоцион‡льно с‚flз‡но с ‚еоflтностью ‚озникно‚ениfl это„о сообщениfl. Если событие очень ‚еоflтно, оно не со‰ежит ник‡кой инфом‡ции (Пиме F.1); если оно fl‚лflетсfl м‡ло‚еоflтным, оно со‰ежит мно„о инфом‡ции (Пиме F.2).

F.2. Энтопиfl Пе‰положим, что S — ‡спе‰еление ‚еоflтностей конечно„о числ‡ событий (См. пиложение D). Энтопиfl или неопе‰еленность ‚ S может быть опе‰елен‡1 к‡к: H(s) = Σ P(s) × [log21/(p(s)] бит „‰е x ∈ S — ‚озможный езульт‡т о‰но„о испыт‡ниfl. Об‡тите ‚ним‡ние, что, если P (s) = 0, то мы бу‰ем счит‡ть, что P(s) × [log21/(p(s)] ‡‚но 0, чтобы избеж‡ть ‰елениfl н‡ 0. 1 В м‡тем‡тической лите‡туе пинflт немно„о ‰у„ой ‚и‰ фомулы, отоб‡ж‡ющей энтопию: H(S) = –Σp(s)log2p(s) 654

Пиложение F

Теоиfl инфом‡ции

Пиме F.3 Пе‰положим, что мы бос‡ем п‡‚ильную монету. Результ‡ты — «оел» и «ешꇻ, к‡ж‰ый с ‚еоflтностью 1/2, и это озн‡ч‡ет H (S) = P (оел) × [log2 1/ (P (ешк‡)] + P (ешк‡) × [log2 1 / (P (ешк‡)] H (S) = (1/2) × [log2 1 / (1/2) 1 + (1/2) × [log2 1 / (1/2)] = 1 бит Этот пиме пок‡зы‚‡ет, что езульт‡т бос‡ниfl «п‡‚ильной» монеты ‰‡ет н‡м 1 бит инфом‡ции (неопе‰еленность). Пи к‡ж‰ом бос‡нии мы не зн‡ем, к‡ко‚ бу‰ет езульт‡т, поскольку ‰‚е ‚озможности о‰ин‡ко‚о ‚еоflтны. Пиме F.4 Пе‰положим, что мы бос‡ем «неп‡‚ильную» (по‚еж‰енную) монету. Результ‡ты ‚ыениfl «о뇻 и «ешки» сле‰ующие: P («оел») = 3/4 и P («ешꇻ) = 1/4. Это озн‡ч‡ет, что H (S) = (3/4) x [log2 1 / (3/4)] + (1/4) x [log2 1 / (1/4)] = 0,8 бит Этот пиме пок‡зы‚‡ет, что езульт‡т бос‡ниfl неп‡‚ильной монеты ‰‡ет н‡м только 0,8 бито‚ инфом‡ции (неопе‰еленность). Количест‚о инфом‡ции з‰есь меньше, чем количест‚о инфом‡ции ‚ Пимее F.3, потому что мы ож艇ем получить «оло‚» большее число ‡з, чем «ешек». Пиме F.5 Тепеь пе‰положим, что мы бос‡ем полностью неп‡‚ильную монету, ‚ котоой езульт‡т fl‚лflетсfl ‚с儉‡ «оел», P («оел») = 1 и P («ешꇻ) = 0. Энтопиfl ‚ этом случ‡е H (S) = (1) x [log21)] + (0) x [log2 1 / (0)] = (1) x (0) + (0) = 0 В этом экспеименте нет ник‡кой инфом‡ции (неопе‰еленности). Мы зн‡ем, что езульт‡том ‚с儉‡ бу‰ет «оел»; энтопиfl — 0.

М‡ксим‡льн‡fl энтопиfl Может быть ‰ок‡з‡но, что ‰лfl ‡спе‰елениfl ‚еоflтностей с n ‚озможными езульт‡т‡ми м‡ксим‡льн‡fl энтопиfl может быть ‰ости„нут‡, только если ‚се ‚еоflтности ‡‚ны (‚се езульт‡ты о‰ин‡ко‚о ‚еоflтны). В этом случ‡е м‡ксим‡льн‡fl энтопиfl Hmax = log2n бит Ду„ими слми, энтопиfl любо„о множест‚‡ ‚еоflтностей имеет ‚ехний пе‰ел, котоый опе‰елflетсfl этой фомулой. 655

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме F.6 Пе‰положим, что бос‡етсfl шести„‡нн‡fl и„‡льн‡fl кость. Энтопиfl испыт‡ниfl ‡‚н‡ H (S) = log2 6 ≈ 2,58 бито‚

Миним‡льн‡fl энтопиfl Можно ‰ок‡з‡ть, что ‰лfl ‡спе‰елениfl ‚еоflтностей с n ‚озможными езульт‡т‡ми, получ‡етсfl миним‡льн‡fl энтопиfl т‡ и только т‡, к‡ ‚се ‚емfl получ‡етсfl о‰ин из езульт‡то‚. В этом случ‡е миним‡льн‡fl энтопиfl Hmin (S) = 0 бито‚ Ду„ими слми, эт‡ фомул‡ опе‰елflет нижний пе‰ел энтопии ‰лfl любо„о н‡бо‡ ‚еоflтностей. Энтопиfl любо„о н‡бо‡ ‚еоflтностей н‡хо‰итсfl меж‰у 0 бит и log2n бит, „‰е n — число ‚озможных езульт‡то‚.

Интепет‡циfl энтопии Энтопию можно ‚оспиним‡ть к‡к число бит, котоым можно пе‰ст‡‚ить к‡ж‰ый езульт‡т из множест‚‡ ‚еоflтностей, ‚ том случ‡е, к‡ езульт‡ты о‰ин‡ко‚о ‚еоflтны. Н‡пиме, к‡ ‚озможное случ‡йное ‡спе‰еление имеет ‚осемь ‚озможных езульт‡то‚, к‡ж‰ый езульт‡т может быть пе‰ст‡‚лен ‚ ‚и‰е тех бит (от 000 ‰о 111). К‡ мы получ‡ем езульт‡т экспеимент‡, мы можем ск‡з‡ть, что получили 3 бит‡ инфом‡ции. Энтопиfl это„о н‡бо‡ ‚еоflтностей — т‡кже 3 бит‡ (log2 8 = 3).

Со‚местн‡fl энтопиfl К‡ мы имеем ‰‚‡ н‡бо‡ ‡спе‰елениfl ‚еоflтностей, S1 и S2, мы можем опе‰елить со‚местную энтопию H (S1, S2) к‡к H (S1, S2) = ΣΣ P(x,y)) × [log2 1/P (x, y)] бит Усло‚н‡fl энтопиfl Мы ч‡сто ‰олжны зн‡ть неопе‰еленность ‡спе‰елениfl ‚еоflтностей S1, пи усло‚ии получениfl езульт‡т‡, котоый опе‰елflетсfl неопе‰еленностью ‡спе‰елениfl ‚еоflтности S2. Он‡ н‡зы‚‡етсfl усло‚ной энтопией H (S1| S2). Может быть ‰ок‡з‡но, что H (S1| S2) = H (S1, S2) – H (S2) бит 656

Пиложение F

Теоиfl инфом‡ции

Ду„ие соотношениfl Пи‚е‰ем з‰есь без ‰ок‡з‡тельст‚‡ некотоые ‰у„ие соотношениfl ‰лfl энтопии: 1. H (S1, S2) = H (S2 | S1) + H (S1) = H (S1| S2) + H (S2) 2. H (S1, S2) ≤ H (S1) + H (S2) 3. H (S1| S2) ≤ H (S1) 4. H (S1, S2, S3) = H (S1| S2, S3) + H (S1, S3) Втоое и тетье соотношениfl сп‡‚е‰ли‚ы, если S1 и S2 ст‡тистически не燂исимы. Пиме F.7 В кипто„‡фии, если P — ‡спе‰еление ‚еоflтностей исхо‰но„о текст‡, C – ‡спе‰еление ‚еоflтностей з‡шифнно„о текст‡ и K – ‡спе‰еление ‚еоflтностей ключей, то H (K|C) может интепетитьсfl к‡к сложность ‡т‡ки з‡шифнно„о текст‡, ‚ котоой зн‡ние C может пи‚ести к зн‡нию K. Пиме F.8 В кипто„‡фии, учиты‚‡fl исхо‰ный текст и ключ, ‰етемининный ‡л„оитм шифниfl со片ет уник‡льный з‡шифнный текст, что озн‡ч‡ет H (C | K, P) = 0. Т‡кже учиты‚‡fl з‡шифнный текст и ключе‚ой ‡л„оитм ‰ешифниfl, со片етсfl уник‡льный исхо‰ный текст, что озн‡ч‡ет H (P | K, C) = 0. Если ‰‡н з‡шифнный текст и исхо‰ный текст, ключ т‡кже опе‰елflетсfl уник‡льно: H (K | P, C) = 0.

Со‚ешенн‡fl секетность В кипто„‡фии, если P, K и C — пост‡нст‚‡ ‚ыбоки ‚еоflтности исхо‰но„о текст‡, з‡шифнно„о текст‡ и ключ‡ соот‚етст‚енно, то мы имеем H (P|C) ≤ H (P). Это может быть интепетино т‡к: неопе‰еленность P ‰‡нно„о C меньше или ‡‚н‡ неопе‰еленности P. В большинст‚е кипто„‡фических систем, сп‡‚е‰ли‚о отношение H (P|C)< H (P), что озн‡ч‡ет, что пеех‚‡т з‡шифнно„о текст‡ уменьш‡ет зн‡ние, котоое тебуетсfl ‰лfl то„о, чтобы н‡йти исхо‰ный текст. Кипто„‡фическ‡fl систем‡ обеспеч肇ет со‚ешенную секетность, если соблю‰‡етсfl соотношение H (P|C)=H (P), — это озн‡ч‡ет, что неопе‰еленность исхо‰но„о текст‡ и ‰‡нно„о з‡шифнно„о текст‡ – о‰н‡ и т‡ же неопе‰еленность исхо‰но„о текст‡. Ду„ими слми, Е‚‡ не получ‡ет ник‡кой инфом‡ции, пеех‚‡ти‚ з‡шифнный текст; он‡ по-пежнему ‰олжн‡ иссле‰о‚‡ть ‚се ‚озможные ‚‡и‡нты. Кипто„‡фическ‡fl систем‡ обеспеч肇ет со‚ешенную секетность, если H (P | C) = H (P). Пиме F.9 В пе‰ы‰ущих лекциflх мы ут‚е扇ли, что о‰но‡зо‚ый шиф блокнот‡ обеспеч肇ет со‚ешенную секетность. Док‡жем этот ф‡кт, используfl пе‰ы‰у657

Кус

Кипто„‡фиfl и безоп‡сность сетей

щие соотношениfl энтопии. Пе‰положим, что ‡лф‡‚ит — только 0 и 1. Если ‰лин‡ сообщениfl — L, может быть ‰ок‡з‡но, что ключ и з‡шифнный текст состоflт из 2L сим‚оло‚, ‚ котоых к‡ж‰ый сим‚ол fl‚лflетсfl о‰ин‡ко‚о ‚еоflтным. Сле‰о‚‡тельно, H (K) = H (C) = log22L = L. Используfl отношениfl, полученные ‚ пимее F.8, и то, что H (P, K) = H (P) + H (K), потому что P и K не燂исимы, мы имеем H (P, K, C) = H (C|P, K) + H (P, K) = H (P, K) = H (P) + H (K) H (P, K, C) = H (K|P, C) + H (P, C) = H (P, C) = H (P|C) + H (C) Это озн‡ч‡ет, что H (P | C) = H (P)

Пиме F.10 Шеннон пок‡з‡л, что ‚ кипто„‡фической системе, если (1) ключи ‚озник‡ют с ‡‚ной ‚еоflтностью и (2) ‰лfl к‡ж‰о„о исхо‰но„о текст‡ и к‡ж‰о„о з‡шифнно„о текст‡ есть уник‡льный ключ, то кипто„‡фическ‡fl систем‡ обеспеч肇ет со‚ешенную секетность. Док‡з‡тельст‚о использует тот ф‡кт, что ‚ этом случ‡е ‡спе‰елениfl ‚еоflтностей ключей, исхо‰но„о текст‡ и з‡шифнно„о текст‡ имеют о‰ин и тот же ‡зме.

F.3. Энтопиfl flзык‡ Интеесно с‚flз‡ть концепцию энтопии с естест‚енными flзык‡ми, т‡кими к‡к ‡н„лийский flзык. В этом ‡з‰еле мы к‡с‡емсfl некотоых пункто‚, с‚flз‡нных с энтопией flзык‡.

Энтопиfl поиз‚ольно„о flзык‡ Пе‰положим, что flзык сост‡‚лен из N бук‚ и ‚се бук‚ы имеют ‡‚ную ‚еоflтность поfl‚лениfl. Мы можем ск‡з‡ть, что энтопиfl это„о flзык‡ – HL = log2N. Н‡пиме, если мы используем ‰‚‡‰ц‡ть шесть пописных бук‚ (от A ‰о Z), чтобы пе則ть н‡ше сообщение, то энтопиfl, или инфом‡циfl, со‰еж‡щ‡flсfl ‚ к‡ж‰ой бук‚е, ‡‚н‡ HL = log2 26 = 4,7 бито‚. Ду„ими слми, от к‡ж‰ой бук‚ы мы получ‡ем 4,7 бит‡ инфом‡ции. Это озн‡ч‡ет, что мы можем ко‰ить бук‚ы н‡ этом flзыке, пименflfl сл по 5 бито‚; ‚место то„о чтобы посыл‡ть бук‚у, мы можем пе則ть о‰но сло‚о из 5 бито‚.

Энтопиfl ‡н„лийско„о flзык‡ Энтопиfl ‡н„лийско„о flзык‡ — н‡мно„о меньше, чем 4,7 бит‡, по ‰‚ум пичин‡м (если мы используем только пописные бук‚ы). Пе‚ое: бук‚ы ‚озник‡ют с нео‰ин‡ко‚ой ‚еоflтностью. Лекциfl 3 пок‡зы‚‡ет ч‡стоту поfl‚лениfl бук‚ ‚ ‡н„лийском flзыке. Буꂇ E ‚озникнет н‡мно„о более ‚еоflтно, чем буꂇ Z. Втоое: сущест‚ние ‰и„‡мм (сочет‡ний по ‰‚е бук‚ы) и ти„‡мм (сочет‡ний по ти бук‚ы) уменьш‡ет количест‚о инфом‡ции ‚ полученном тексте. Если мы получ‡ем бук‚у Q, ‚еоflтнее ‚се„о, что сле‰ующ‡fl буꂇ — U. Т‡кже, если мы получ‡658

Пиложение F

Теоиfl инфом‡ции

ем пflть после‰о‚‡тельных бук‚ SELLI, то ‚еоflтно, что сле‰ующие ‰‚е бук‚ы бу‰ут QG. Эти ‰‚‡ ф‡кт‡ уменьш‡ют энтопию ‡н„лийско„о flзык‡. Шеннон пок‡з‡л, что се‰нее зн‡чение энтопии ‡н„лийско„о flзык‡1 ‡‚но 1,50.

Избыточность Избыточность flзык‡ был‡ опе‰елен‡ к‡к R = 1 – HL /(log2N). В случ‡е ‡н„лийско„о flзык‡, используfl только пописные бук‚ы, мы получим R = 1 – 1,50/4,7 = 0,68. Ду„ими слми, ‚ ‡н„лийском сообщении есть 70поцентн‡fl избыточность. Ал„оитм может сж‡ть ‡н„лийский текст ‰о 70 поценто‚, не теflfl со‰еж‡ниfl. Инте‚‡л о‰нозн‡чности Ду„ое опе‰еление, ‚‚е‰енное Шенноном, — инте‚‡л о‰нозн‡чности. Инте‚‡л о‰нозн‡чности — миним‡льн‡fl ‰лин‡ з‡шифнно„о текст‡, n0, кото‡fl тебуетсfl Е‚е, чтобы уник‡льно опе‰елить ключ (з‡ ‰ост‡точно большое число по‚тоений) и ‚ конечном счете ‚ычислить исхо‰ный текст. Инте‚‡л о‰нозн‡чности опе‰елен к‡к n0 = H (K) / [R × H (P)] Пиме F.11 Шиф по‰ст‡но‚ки использует множест‚о ключей, состоflщих из 26 ключей, и ‡лф‡‚ит из 26 сим‚оло‚. Используfl избыточность 0,70 ‰лfl ‡н„лийско„о flзык‡, опе‰елflем инте‚‡л о‰нозн‡чности: n0 = (log 2 26!) / (0,70 × log2 26) = 27 Это озн‡ч‡ет, что з‡шифнный текст ‰олжен со‰еж‡ть по к‡йней мее 27 сим‚оло‚, ‰лfl то„о чтобы Е‚‡ мо„л‡ уник‡льно н‡йти исхо‰ный текст. Пиме F.12 Шиф с‰‚脇 использует множест‚о из 26 ключей и ‡лф‡‚ит из 26 сим‚оло‚. Используfl избыточность 0,70 ‰лfl ‡н„лийско„о flзык‡, инте‚‡л о‰нозн‡чности опе‰елflем сле‰ующим соотношением: n0 = (log 26)/0,70 × log226) = 1,5 Это озн‡ч‡ет, что Е‚е необхо‰имо иметь по к‡йней мее 2 сим‚ол‡ з‡шифнно„о текст‡, чтобы уник‡льно н‡йти исхо‰ный текст. Конечно, это ‚есьм‡ пиблизительн‡fl оценк‡. В ф‡ктической ситу‡ции Е‚‡ ну扇етсfl ‚ большем количест‚е сим‚оло‚, чтобы н‡ушить ко‰. 1 А.Н.

Колмо„оо‚ ‚ с‚оей ст‡тье «Ти по‰х к опе‰елению понflтиfl количест‚‡ инфом‡ции» пи‚о‰ит оценку энтопии усско„о flзык‡ н‡ осно‚е слfl С.И. Оже„ –это 1,9 ± 0,1. 659

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение G. Список непи‚о‰имых и пимити‚ных полиномо‚

Из лекции 4 мы узн‡ли, что непи‚о‰имый полином ‚ GF(2n) — полином степени n, котоый не может быть ‡зложен н‡ множители — полиномы со степенью меньше, чем n. Мы т‡кже узн‡ли из лекции 5, что пимити‚ный полином — это непи‚о‰имый полином, котоый fl‚лflетсfl ‰елителем числ‡ 2e + 1, „‰е e — н‡именьшее целое числ‡ ‚ фоме e = 2k – 1 и k ≥ 2. Это озн‡ч‡ет, что пимити‚ный полином — обflз‡тельно непи‚о‰имый полином, но непи‚о‰имый полином — не обflз‡тельно пимити‚ный полином. Т‡блиц‡ G.1 пок‡зы‚‡ет непи‚о‰имые и пимити‚ные полиномы ‰лfl степеней 1 – 8. В ку„лых скобк‡х пок‡з‡ны непи‚о‰имые, но не пимити‚ные полиномы. Т‡блиц‡ G.1. Непи‚о‰имые и пимити‚ные полиномы

Чтобы н‡йти полином, пе‰ст‡‚ленный ‚ т‡блице шест퇉ц‡теичным числом, сн‡ч‡л‡ з‡пишите число ‚ ‰‚оичном ‚и‰е, ‡ з‡тем пеоб‡зуйте е„о ‚ полином. Пиме G.1 Н‡й‰ите пе‚ый пимити‚ный полином степени 7. Решение Пе‚ое число ‰лfl степени 7 - 83 ‚ шест퇉ц‡теичном ‚и‰е, котоое fl‚лflетсfl и непи‚о‰имым, и пимити‚ным полиномом. Целое число 83 ‚ шест퇉ц‡теичном ‚и‰е эк‚肇лентно 1000 0011 ‚ ‰‚оичном. Соот‚етст‚ующий полином — x7 + x + 1. Пиме G.2 Н‡й‰ите пе‚ый непи‚о‰имый полином, котоый не пимити‚ен. 660

Пиложение G

Список непи‚о‰имых и пимити‚ных полиномо‚

Решение. Полином степени 6, котоый бу‰ет пе‚ым непимити‚ным полиномом степени 6, — (45) ‚ шест퇉ц‡теичном ‚и‰е. Целое число 45 ‚ шест퇉ц‡теичном ‚и‰е эк‚肇лентно 100 0101 ‚ ‰‚оичном ‚и‰е (об‡тите ‚ним‡ние, что мы ‰олжны сох‡нить только 7 бито‚). Соот‚етст‚ующий полином — x6 + x2 + 1. Пиме G.3 Н‡й‰ите ‚тоой непи‚о‰имый полином степени 8, котоый не пимити‚ен. Решение Втоой непимити‚ный полином степени 8 — (139) ‚ шест퇉ц‡теичном ‚и‰е. Целое шест퇉ц‡теичное число эк‚肇лентно 1 0011 1001 ‚ ‰‚оичном ‚и‰е (об‡тите ‚ним‡ние, что мы ‰олжны сох‡нить только 9 бито‚). Соот‚етст‚ующий полином — x8 + x5 + x4 + x3 + 1.

661

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение H. Постые числ‡, меньшие чем 10 000 Это пиложение пеечислflет постые числ‡, меньшие чем 10000. В к‡ж‰ой т‡блице к‡ж‰ое число ‚ пе‚ом столбце fl‚лflетсfl числом постых чисел ‚ соот‚етст‚ующем ‰и‡п‡зоне ‰лfl этой стоки, н‡пиме, от 0 ‰о 100 число постых чисел 25 и т. ‰. Т‡блиц‡ H.1. Список постых чисел ‚ ‰и‡п‡зоне 1-1000 25 2 3 5 7 11 13 17 19 23 29 31 3 741 43 47 53 59 61 67 71 73 79 83 89 97 21 101 103 107 109 113 127 131 137 139 149 151 157 163 167 173 179 181 191 193 197 199 16 211 223 227 229 233 239 241 251 257 263 269 271 277 281 283 293 16 307 311 313 317 331 337 347 349 353 359 367 373 379 383 389 397 17 401 409 419 421 431 433 439 443 449 457 461 463 467 479 487 491 499 14 503 509 521 523 541 547 557 563 569 571 577 587 593 599 16 601 607 613 617 619 631 641 643 647 653 659 661 673 677 683 691 14 701 709 719 727 733 739 743 751 757 761 769 773 787 797 15 809 811 821 823 827 829 839 853 857 859 863 877 881 883 887 16 907 91 1 919 929 937 941 947 953 967 971 977 983 991 997 Все„о число постых чисел ‚ ‰и‡п‡зоне 1-1000 ‡‚но 168 Т‡блиц‡ H.2 Список постых чисел ‚ ‰и‡п‡зоне 1001-2000 16 1009 1013 1019 1021 1031 1033 1039 1049 1051 1061 1063 1069 1087 1091 1093 1097 12 1103 1109 1117 1123 1 129 1 151 1 153 1163 1 171 1181 1187 1193 15 1203 1213 1217 1223 1229 1231 1237 1249 1259 1277 1279 1283 1289 1291 1297 11 1301 1303 1307 1319 1321 1327 1361 1367 1373 1381 1399 17 1409 1423 1427 1429 1433 1439 1447 1451 1453 1459 1471 1481 1483 1487 1489 1493 1499 12 1511 1523 1531 1543 1549 1553 1559 1567 1571 1579 1583 1597 15 161 1607 1609 1613 1619 1621 1627 1637 1657 1663 1667 1669 1693 1697 1699 12 1709 1721 1723 1733 1741 1747 1753 1759 1777 1783 1787 1789 12 1801 1811 1823 1831 1847 1861 1867 1871 1873 1877 1879 1889 13 1901 1907 1913 1931 1933 1949 1951 1973 1979 1987 1993 1997 1999 Все„о число постых чисел ‚ ‰и‡п‡зоне 1001-2000 ‡‚но 134 Т‡блиц‡ H.3. Список постых чисел ‚ ‰и‡п‡зоне 2001-3000 14 2003 20111 2017 2027 2029 2039 2053 2063 2069 2081 2083 2087 2089 2099 10 2111 2113 21292131 21372141 214321532161 2179 15 2203 2309 2207 2311 2213 2221 2237 2239 2243 2251 2267 2269 2273 2281 2287 2293 2297 15 2309 2311 2333 2339 2341 2347 2351 2357 2371 2377 2381 2383 2389 2393 2399 10 2411 2417 2423 2437 2441 2447 2459 2467 2473 2477 662

Пиложение H

Постые числ‡, меньшие чем 10 000

11 2503 2521 2531 2539 2543 2549 2551 2557 2579 2591 2593 15 2609 2707 2617 2711 2621 2633 2647 2657 2659 2663 2671 2677 2683 2687 2689 2693 2699 14 2707 2711 2713 2719 2729 2731 2741 2749 2753 2767 2777 2789 2791 2797 12 2801 2803 2819 2833 2837 2843 2851 2857 2861 2879 2887 2897 11 2903 2909 2917 2927 2939 2953 2957 2963 2969 2971 2999 Все„о число постых чисел ‚ ‰и‡п‡зоне 2001-3000 ‡‚но 127 Т‡блиц‡ H.4. Список постых чисел ‚ ‰и‡п‡зоне 3001-4000 12 3001 3011 3019 3023 3037 3041 3049 3061 3067 3079 3083 3089 10 3109 3119 3121 3137 3163 3167 3169 3181 3187 3191 11 3203 3209 3217 3221 3229 3251 3253 3257 3259 3271 3299 15 3301 3307 3313 3319 3323 3329 3331 3343 3347 3359 3361 3371 3373 3389 3391 11 3407 3413 3433 3449 3457 3461 3463 3467 3469 3491 3499 14 3511 3517 3527 3529 3533 3539 3541 3547 3557 3559 3571 3581 3583 3593 13 3607 3613 3617 3623 3631 3637 3643 3659 3671 3673 3677 3691 3697 12 3701 3709 3719 3727 3733 3739 3761 3767 3769 3779 3793 3797 11 3803 3821 3823 3833 3847 3851 3853 3863 3877 3881 3889 11 3907 3911 3917 3919 3923 3929 3931 3943 3947 3967 3989 Все„о число постых чисел ‚ ‰и‡п‡зоне 3001-4000 ‡‚но 120

Т‡блиц‡ H.5. Список постых чисел ‚ ‰и‡п‡зоне 4001-5000 15 4001 4003 4007 4013 4019 4021 4027 4049 4051 4057 4073 4079 4091 4093 4099 9

4111 4127 4129 4133 4139 4153 4157 4159 4177

16 4201 4211 4217 4219 4229 4231 4241 4243 4253 4259 4261 4271 4273 4283 4289 4297 9 4327 4337 4339 4349 4357 4363 4373 4391 4397 11 4409 4421 4423 4441 4447 4451 4457 4463 4481 4483 4493 663

Кус

Кипто„‡фиfl и безоп‡сность сетей

12 4507 4513 4517 4519 4523 4547 4549 4561 4567 4583 4591 4597 12 4603 4621 4637 4639 4643 4649 4651 4657 4663 4673 4679 4691 12 4703 4721 4723 4729 4733 4751 4759 4783 4787 4789 4793 4799 8

4801 4813 4817 4831 4861 4871 4877 4889

15 4903 4909 4919 4931 4933 4937 4943 4951 4957 4967 4969 4973 49874993 4999 Все„о число постых чисел ‚ ‰и‡п‡зоне 4001-5000 ‡‚но 119 Т‡блиц‡ H.6. Список постых чисел ‚ ‰и‡п‡зоне 5001-6000 12 5003 5009 5011 5021 5023 5039 5051 5059 5077 5081 5087 5099 11 5101 5107 5113 5119 5147 5153 5167 5171 5179 5189 5197 10 5209 5227 5231 5233 5237 5261 5273 5279 5281 5297 10 5303 5309 5323 5333 5347 5351 5381 5387 5393 5399 13 5407 5413 5417 5419 5431 5437 5441 5443 5449 5471 5477 5479 5483 13 5501 5503 5507 5519 5521 5527 5531 5557 5563 5569 5573 5581 5591 12 5623 5639 5641 5647 5651 5653 5657 5659 5669 5683 5689 5693 10 5701 5711 5717 5737 5741 5743 5749 5779 5783 5791 16 5801 5807 5813 5821 5827 5839 5843 5849 5851 5857 5861 5867 5869 5879 5881 5897 5903 5923 5927 5939 5953 5981 5987 Все„о число постых чисел ‚ ‰и‡п‡зоне 5001-6000 ‡‚но 114 Т‡блиц‡ H.7. Список постых чисел ‚ ‰и‡п‡зоне 6001-7000 12 6007 6011 6029 6037 6043 6047 6053 6067 6073 6079 6089 6091 11 6101 61136121 6131 6133 6143 6151 6163 6173 6197 6199 13 6203 6211 6217 6221 6229 6247 6257 6263 6269 6271 6277 6287 6299

664

Пиложение H

Постые числ‡, меньшие чем 10 000

15 6301 6311 6317 6323 6329 6337 6343 6353 6359 6361 6367 6373 6379 6389 6397 8

6421 6427 6449 6451 6469 6473 6481 6491

11 6521 6529 6547 6551 6553 6563 6569 6571 6577 6581 6599 10 6607 6619 6637 6653 6659 6661 6673 6679 6689 6691 12 6701 6703 6709 6719 6733 6737 6761 6763 6779 6781 6791 6793 12 6803 6823 6827 6829 6833 6841 6857 6863 6869 6871 6883 6899 13 6907 6911 6917 6947 6949 6959 6961 6967 6971 6977 6983 6991 6997 Все„о число постых чисел ‚ ‰и‡п‡зоне 6001-7000 ‡‚но 117 Т‡блиц‡ H.8. Список постых чисел ‚ ‰и‡п‡зоне 7001-8000 9

7001 7013 7019 7027 7039 7043 7057 7069 7079

10 7103 7109 7121 7127 7129 7151 7159 7177 7187 7193 11 7207 7211 7213 7219 7229 7237 7243 7247 7253 7283 7297 9

7307 7309 7321 7331 7333 7349 7351 7369 7393

11 7411 7417 7433 7451 7457 7459 7477 7481 7487 7489 7499 15 7507 7517 7523 7529 7537 7541 7547 7549 7559 7561 7573 7577 7583 7589 7591 12 7603 7607 7621 7639 7643 7649 7669 7673 7681 7687 7691 7699 10 7703 7717 7723 7727 7741 7753 7757 7759 7789 7793 10 7817 7823 7829 7841 7853 7867 7873 7877 7879 7883 10 7901 7907 7919 7927 7933 7937 7949 7951 7963 7993 Все„о число постых чисел ‚ ‰и‡п‡зоне 7001-8000 ‡‚но 107 Т‡блиц‡ H.9. Список постых чисел ‚ ‰и‡п‡зоне 8001-9000 11 8009 8011 8017 8039 8053 8059 8069 8081 8087 8089 8093 10 8101 8111 8117 8123 8147 8161 8167 8171 81798191 14 8209 8219 8221 8231 8233 8237 8243 8263 8269 8273 8287 8291 8293 8297

665

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение I. Постые множители целых чисел, меньшие чем 1000 Это пиложение помет н‡хо‰ить целые числ‡, котоые fl‚лflютсfl постыми сомножителflми чисел, меньших, чем 1000. Т‡блицы I.1 и I.2 ‰‡ют н‡именьшие постые сомножители. Эти т‡блицы не ‚ключ‡ют ‚ себfl четные целые числ‡ (оче‚и‰но, что у них н‡именьший постой сомножитель — число 2) и целые числ‡, котоые ок‡нч肇ютсfl н‡ 5 (у них н‡именьший постой сомножитель — 5). Об‡тите ‚ним‡ние, что если н‡именьший сомножитель цело„о числ‡ не ‰‡етсfl, т‡ это число – постое (е„о н‡именьший сомножитель — это оно с‡мо). Чтобы н‡йти ‚се сомножители цело„о числ‡, меньшие, чем 1000, сн‡ч‡л‡ н‡й‰ите н‡именьший сомножитель, з‡тем ‡з‰елите число н‡ этот коэффициент. З‡тем сн используйте т‡блицу ‰лfl поиск‡ н‡именьше„о сомножителfl числ‡, полученно„о ‚ езульт‡те ‰елениfl. Это бу‰ет ‚тоой постой сомножитель, и т‡к ‰‡лее. Пиме I.1 Чтобы н‡йти ‚се постые сомножители числ‡ 693, мы используем сле‰ующие ш‡„и: 1. Н‡именьший постой сомножитель 693 есть 3; 693/3 = 231. 2. Н‡именьший постой сомножитель 231 есть 3; 231/3 = 77. 3. Н‡именьший постой сомножитель 77 есть 7; 77/7 = 11. 4. Целое число 11 — с‡мо постое число. Поэтому 693 = 32 × 7 × 11. Пиме I.2 Чтобы н‡йти постые сомножители числ‡ 722, мы используем сле‰ующие ш‡„и. 1. Число fl‚лflетсfl четным, и н‡именьший постой сомножитель, оче‚и‰но, ‡‚ен 2; 722/2 = 361. 2. Н‡именьший постой сомножитель 361 есть 19; 361/19 = 19. 3. Целое число 19 — с‡мо постое число. Поэтому 722 = 2 × 192. Пиме I.3 Чтобы н‡йти ‚се н‡именьшие постые сомножители числ‡ 745, мы используем сле‰ующие ш‡„и. 1. Число ‰елитсfl без ост‡тк‡ н‡ 5, т‡к что н‡именьший постой сомножитель, оче‚и‰но, есть 5; 745/5 = 149. 2. Целое число 149 — с‡мо постое число. Поэтому 745 = 5 × 149.

666

Пиложение I

Постые множители целых чисел, меньшие чем 1000

Т‡блиц‡ I.1. Н‡именьший сомножитель цело„о числ‡ ‚ ‰и‡п‡зоне 1–500 (Н.С. озн‡ч‡ет «н‡именьший сомножитель»)

667

Кус

Кипто„‡фиfl и безоп‡сность сетей

Т‡блиц‡ I.2. Н‡именьший сомножитель цело„о числ‡ ‚ ‰и‡п‡зоне 501–1000 (Н.С. озн‡ч‡ет «н‡именьший сомножитель»)

668

Пиложение J Список пе‚ых пе‚ооб‡зных коней ‰лfl постых чисел, меньших чем 1000

Пиложение J. Список пе‚ых пе‚ооб‡зных коней ‰лfl постых чисел, меньших чем 1000 Т‡блиц‡ J.1 пок‡зы‚‡ет пе‚ый пе‚ооб‡зный коень по мо‰улю посто„о числ‡ пе‚ооб‡зных коней ‰лfl постых чисел, меньших чем 1000. Т‡блиц‡ J.1

669

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение K. Гене‡то случ‡йных чисел Кипто„‡фиfl и случ‡йность имеют тесную с‚flзь. В пиложении F, Теоиfl инфом‡ции, мы упомин‡ли, что со‚ешенн‡fl секетность может быть ‰ости„нут‡, если ключ ‡л„оитм‡ шифо‚ки — ‰ейст‚ительно случ‡йное число. Есть ‰‚‡ по‰х к получению ‰линно„о поток‡ случ‡йных бито‚. 1. Использние естест‚енно„о случ‡йно„о поцесс‡, т‡ко„о к‡к мно„о‡зо‚ое бос‡ние монеты и интепет‡циfl езульт‡т‡ «оел» или «ешꇻ, к‡к зн‡чениfl бито‚ 0 или 1. 2. Использние ‰етемининно„о поцесс‡ с инфом‡цией об‡тной с‚flзи. Пе‚ый по‰хо‰ н‡з‚‡н истинным „ене‡тоом случ‡йных чисел (TRNG — True Random Number Generator). Втоой н‡з‚‡н пс傉ослуч‡йным „ене‡тоом числ‡ (PRNG — Pseudorandom Number Generator). Рисунок K.1 пок‡зы‚‡ет эти ‰‚‡ по‰х.

Рис. K.1. Истинный „ене‡то случ‡йных чисел и пс傉ослуч‡йный „ене‡то чисел

K.1. Истинный „ене‡то случ‡йных чисел (TRNG) Пи бос‡нии п‡‚ильной монеты непеы‚но ‚озник‡ет со‚ешенный случ‡йный поток бито‚, но это непименимо н‡ п‡ктике. Есть мно„о естест‚енных источнико‚, котоые мо„ут поиз‚ести истинные случ‡йные числ‡, т‡кие к‡к тепло‚ой шум ‚ электическом езистое или ‚емfl от‚ет‡ мех‡ническо„о или электическо„о поцесс‡ после пе則чи ком‡н‰ы. Эти пио‰ные есусы использлись ‚ пошлом, и некотоые из них были ‚не‰ены ‚ коммеческую ‰еflтельность. О‰н‡ко есть несколько не‰ост‡тко‚ т‡ко„о по‰х. Поцесс обычно ме‰ленный, и если необхо‰имо, о‰ин и тот же случ‡йный поток не может быть по‚тоен.

K.2. Гене‡то пс傉ослуч‡йных чисел (PRNG) Случ‡йный поток бито‚ может быть получен с использнием ‰етемининно„о поцесс‡ пи ‚‚е‰ении коотко„о случ‡йно„о поток‡ (н‡ч‡льно„о числ‡). Гене‡то пс傉ослуч‡йных чисел пименflет т‡кой по‰хо‰. С„енеио670

Пиложение K

Гене‡то случ‡йных чисел

‚‡нное число не случ‡йно, потому что поцесс, котоый е„о со片ет, ‰етеминин. Гене‡тоы пс傉ослуч‡йных чисел мо„ут быть ‡з‰елены н‡ ‰‚е шиоких к‡те„оии: кон„уэнтные „ене‡тоы и „ене‡тоы, использующие кипто„‡фические шифы. Мы обсу扇ем некотоые „ене‡тоы ‚ к‡ж‰ой к‡те„оии.

Кон„уэнтные „ене‡тоы Несколько мето‰о‚ используют некотоые кон„уэнтные отношениfl. Линейный кон„уэнтный „ене‡то В инфом‡тике с‡м‡fl общ‡fl мето‰ик‡ ‰лfl то„о, чтобы поиз‚о‰ить пс傉ослуч‡йные числ‡, — линейный кон„уэнтный мето‰, ‚‚е‰енный Лехмеом (Lehmer). Рисунок K.2 пок‡зы‚‡ет этот мето‰, котоый екуси‚но со片ет после‰о‚‡тельность пс傉ослуч‡йных чисел, используfl линейное кон„уэнтное у‡‚нение xi+1 = (axi + b) mod n, „‰е x0 н‡зы‚‡етсfl н‡ч‡льным числом (seed) — это число меж‰у 0 и n – 1.

Рис. K.2. Линейный кон„уэнтный „ене‡то пс傉ослуч‡йных чисел После‰о‚‡тельность fl‚лflетсfl пеио‰ической, „‰е пеио‰ з‡‚исит от то„о, к‡к тщ‡тельно ‚ыб‡ны коэффициенты a и b. И‰е‡льно пеио‰ ‰олжен быть т‡ко„о ‡зме‡, к‡к мо‰уль n. Пиме K.1 Пе‰положим a = 4, b = 5, n = 17 и xi0 = 7. После‰о‚‡тельность — 16, 1, 9, 7, 16, 1, 9, 7..., кото‡fl есть fl‚но неу‰о‚лет‚оительн‡fl пс傉ослуч‡йн‡fl после‰о‚‡тельность; еfi пеио‰ — только 4. Китеии. Длfl пиемлемо„о „ене‡то‡ пс傉ослуч‡йных чисел (PRNG) ‚ течение пошлых нескольких ‰есflтилетий были ‡з‡бот‡ны несколько китеие‚. 1. Пеио‰ ‰олжен быть ‡‚ен n (мо‰улю). Это озн‡ч‡ет, что пеж‰е чем целые числ‡ ‚ после‰о‚‡тельности н‡чин‡ют по‚тоflтьсfl, ‰олжны быть с„енеины ‚се целые числ‡ меж‰у 0 и n – 1. 2. После‰о‚‡тельность ‚ к‡ж‰ый пеио‰ ‰олжн‡ быть случ‡йн‡. 3. Поцесс „ене‡ции ‰олжен быть у‰обен ‰лfl е‡лиз‡ции н‡ компьютее. Большинст‚о компьютео‚ се„о‰нfl эффекти‚но, к‡ пименflетсfl ‡ифметик‡, использующ‡fl сл по 32 бит‡. 671

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рекоме퉇ции, осннные н‡ пе‰ы‰ущих китеиflх: екомен‰уетсfl ‚ыб‡ть коэффициенты кон„уэнтно„о у‡‚нениfl и зн‡чениfl мо‰улfl исхо‰fl из сле‰ующих сооб‡жений. 1. Оптим‡льный ‚ыбо мо‰улfl, n, — это н‡ибольшее постое число, близкое к ‡змеу сл, используемо„о ‚ компьютее. Рекомен‰уетсfl использть ти‰ц‡ть пе‚ое постое число Месенны к‡к мо‰уль: n = M31 = 231 – 1. 2. Чтобы со片‚‡ть пеио‰, ‡‚ный зн‡чению мо‰улfl, зн‡чение пе‚о„о коэффициент‡, a, ‰олжно быть пе‚ооб‡зным конем „л‡‚но„о мо‰улfl. Хотfl целое число 7 — пе‚ооб‡зный коень M31, екомен‰уют использть 7k, „‰е k — целое число, ‚з‡имно-постое с (M31 – 1). Некотоые екомен‰о‚‡нные зн‡чениfl ‰лfl k — это 5 и 13. Это озн‡ч‡ет, что (a = 75) или (a = 713). 3. Вто‡fl екоме퉇циfl: ‰лfl эффекти‚но„о пименениfl компьюте‡ зн‡чение ‚тоо„о коэффициент‡ b ‰олжно быть нуле‚ым. Линейный кон„уэнтный „ене‡то: xi+1 = axi mod n, „‰е n = 231 – 1 и a = 75 или a = 713 Безоп‡сность. После‰о‚‡тельность, с„енеинн‡fl линейным кон„уэнтным у‡‚нением, пок‡зы‚‡ет пиемлемую случ‡йность (если сле‰о‚‡ть пе‰ы‰ущим екоме퉇циflм). После‰о‚‡тельность полезн‡ ‚ некотоых пиложениflх, „‰е тебуетсfl только случ‡йность (т‡ких к‡к мо‰елиние); он‡ бесполезн‡ ‚ кипто„‡фии, „‰е жел‡тельны и случ‡йность, и безоп‡сность. Поскольку число n обще‰оступно, после‰о‚‡тельность может быть ‡т‡ко‚‡н‡ Е‚ой с использнием о‰ной из ‰‚ух ст‡те„ий: a. если Е‚‡ зн‡ет зн‡чение н‡ч‡льно„о числ‡ (x0) и коэффициент a, он‡ может ле„ко ‚осст‡но‚ить целую после‰о‚‡тельность; b. если Е‚‡ не зн‡ет зн‡чение x0 и a, он‡ может пеех‚‡тить пе‚ые ‰‚‡ целых числ‡ и использть сле‰ующие ‰‚‡ у‡‚нениfl, чтобы н‡йти x0 и a: x1 = ax0 mod n x2 = ax1 mod n Гене‡то ꂇ‰‡тичных ‚ычето‚ Чтобы получить менее пе‰ск‡зуемую пс傉ослуч‡йную после‰о‚‡тельность, был ‚‚е‰ен „ене‡то ꂇ‰‡тичных ‚ычето‚ (см. лекцию 9), xi+1 = xi2 mod n, „‰е x0 н‡зы‚‡ют н‡ч‡льным числом, — число меж‰у 0 и n –1. Гене‡то Blum Blum Shub Постой, но эффекти‚ный мето‰ со片ниfl „ене‡то‡ пс傉ослуч‡йных чисел н‡з‚‡н Blum Blum Shub (BBS) по имени е„о тех изобет‡телей. BBS использует у‡‚нение ꂇ‰‡тично„о ‚ычет‡, но это — пс傉ослуч‡йный „ене‡то бит ‚место „ене‡то‡ пс傉ослуч‡йных чисел; он „енеиует после‰о‚‡тельность бито‚ (0 или 1). Рисунок K.3 пок‡зы‚‡ет и‰ею это„о „ене‡то‡. Ниже пи‚е‰ены ш‡„и „ене‡ции. 1. Н‡й‰ите ‰‚‡ больших постых числ‡ p и q ‚ фоме 4k + 3, „‰е k — целое число (p и q fl‚лflютсfl кон„уэнтными 3 mod 4) . 672

Пиложение K

Гене‡то случ‡йных чисел

2. Выбеите мо‰уль n = p × q. 3. Выбеите случ‡йное целое число r, котоое fl‚лflетсfl ‚з‡имно-постым с n. 4. Вычислите н‡ч‡льное число к‡к x0 = r2 mod n. 5. С„енеиуйте после‰о‚‡тельность x i+1 = x i 2 mod n. 6. Возьмите с‡мый м뇉ший бит с„енеинно„о случ‡йно„о цело„о числ‡ (LSB — Least Significant Bit) к‡к случ‡йный бит.

Рис. K.3. Blum Blum Shub (BBS) „ене‡то пс傉ослуч‡йных чисел Безоп‡сность. Может быть ‰ок‡з‡но, что если p и q из‚естны, i-тый бит ‚ после‰о‚‡тельности можно н‡йти к‡к с‡мый м뇉ший бит: xi = x02i mod[(p - 1)(q - 1)]mod n Это озн‡ч‡ет, что если Е‚‡ зн‡ет зн‡чение p и q, он‡ может н‡йти зн‡чение iто„о бит‡, побуfl ‚се ‚озможные зн‡чениfl n (зн‡чение n обычно обще‰оступно). Тем с‡мым сложность у это„о „ене‡то‡ — т‡ же с‡м‡fl, к‡к у ‡зложениfl н‡ множители n. Если n fl‚лflетсfl ‰ост‡точно большим, после‰о‚‡тельность безоп‡сн‡ (непе‰ск‡зуем‡). Было ‰ок‡з‡но, что пи очень большом n Е‚‡ не может пе‰ск‡з‡ть зн‡чение сле‰ующе„о бит‡ ‚ после‰о‚‡тельности, ‰‡же если он‡ зн‡ет зн‡чениfl ‚сех пе‰ы‰ущих бито‚. Веоflтность к‡ж‰о„о пинflтиfl зн‡чений ‰лfl к‡ж‰о„о бит‡, 0 или 1, — очень близк‡ к 50 поцент‡м. Безоп‡сность BBS 燂исит от ту‰ности ‡зложениfl н‡ множители n.

Гене‡тоы н‡ осно‚е кипто„‡фической системы Кипто„‡фические системы, т‡кие к‡к шиф ‰лfl поцесс‡ шифниfl или хэш-функциfl, мо„ут т‡кже быть использны ‰лfl „ене‡ции случ‡йно„о поток‡ бито‚. Мы к‡тко пок‡жем ‰‚е системы, котоые пименflют ‡л„оитмы шифниfl. ANSI X9.17 „ене‡то пс傉ослуч‡йных чисел (PRNG) ANSI X9.17 опе‰елflет кипто„‡фически сильный „ене‡то пс傉ослуч‡йных чисел, использующий тойной 3DES с ‰‚умfl ключ‡ми (шиф‡циfl – ‰ешиф‡циfl – шиф‡циfl), исунок K.4 иллюстиует этот поект. Об‡тите ‚ним‡ние, что пе‚ое пс傉ослуч‡йное число это — 64-бито‚ое н‡ч‡льное число, используемое к‡к иницииующий ‚екто (IV); ост‡льн‡fl ч‡сть пс傉ослуч‡йных чисел использует н‡ч‡льное число, пок‡з‡нное к‡к сле‰ующие IV. Т‡кой же ключ 673

Кус

Кипто„‡фиfl и безоп‡сность сетей

з‡секеч肇ниfl н‡ 112 бито‚ (K1 и K2 ‚ 3DES) пименflетсfl ‰лfl ‚сех тех 3DESшифо‚.

Рис. K.4. ANSI X9.17 „ене‡то пс傉ослуч‡йных чисел Н‡ ис. K.4 конфи„у‡циfl — ежим сцеплениfl блоко‚ шифнно„о текст‡ (CBC), котоый мы опис‡ли со„л‡сно ис. 8.3 ‚ лекции 8. Режим X9.17 пименflет ‰‚‡ к‡сꇉ‡ фоминиfl цепочки блок‡. Исхо‰ный текст ‰лfl к‡ж‰о„о к‡сꇉ‡ поступ‡ет от ‚ых пе‚о„о 3DES, котоый использует ‰‡ту и ‚емfl к‡к исхо‰ный текст н‡ 64 бит‡. З‡шифнный текст, со片нный ‚тоым 3DES, — случ‡йное число; з‡шифнный текст, со片нный тетьим 3DES, – сле‰ующий иницииующий ‚екто IV ‰лfl сле‰ующе„о случ‡йно„о числ‡. Сто„ость X9.17 опе‰елflетсfl сле‰ующими ф‡кт‡ми. 1. Ключ — 112 (2 × 56) бит. 2. В‚о‰ ‰‡ты и ‚емени н‡ 64 бит‡ обеспеч肇ет хоошую метку ‚емени, пе‰от‚‡щ‡ющую ‡т‡ку ‚оспоиз‚е‰ениfl. 3. Систем‡ обеспеч肇ет пе‚осхо‰ный эффект ‡ссе肇ниfl и пеемеш肇ниfl с помощью шести шифний и тех ‰ешифний. PGP „ене‡то пс傉ослуч‡йных чисел (PRNG) PGP (очень хоош‡fl конфи‰енци‡льность) беет ту же с‡мую и‰ею, что и X9.17 с несколькими изменениflми. Сн‡ч‡л‡ PGP PRNG использует семь к‡ск‡‰о‚ ‚место ‰‚ух. Втоое: шиф fl‚лflетсfl или IDEA, или CAST 128 (не ‡ссмотенный ‚ этой кни„е). Тетье: ключ — обычно 128 бито‚. PGP PRNG со片ет ти случ‡йных числ‡ н‡ 4 бит‡: пе‚ое используетсfl к‡к иницииующий ‚екто IV секетности (‰лfl с‚flзи, ‡бот‡ющей с PGP, но не ‰лfl PRNG), ‚тоой и тетий конк‡тениуютсfl, чтобы со片ть секетный ключ 128 бито‚ (‰лfl с‚flзи, ‡бот‡ющей PGP). Рисунок K.5 пок‡зы‚‡ет эскиз PGP PRNG. Сто„ость PGP PRNG з‡674

Пиложение K

Гене‡то случ‡йных чисел

‰‡н‡ ‚ ‡змее е„о ключ‡ и ‚ том, что ои„ин‡л IV (н‡ч‡льное число) и ключ з‡секеч肇ниfl н‡ 128 бито‚ мо„ут быть с„енеины от 24-б‡йто‚ой истинно случ‡йной пееменной.

Рис. K.5. PGP-„ене‡то пс傉ослуч‡йных чисел

675

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение L. Сложность L.1. Сложность ‡л„оитм‡ В кипто„‡фии мы ну扇емсfl ‚ инстументе ‰лfl ‡н‡лиз‡ ‚ычислительной сложности ‡л„оитм‡. Н‡м нужно, чтобы ‡л„оитмы шифниfl (или ‰ешифниfl) имели низкий уо‚ень сложности (были эффекти‚ными). Еще усло‚ие: чтобы ‡л„оитм, с точки зениfl кипто‡н‡лиз‡ (пеех‚‡т‡ к), имел ‚ысокий уо‚ень сложности (был не эффекти‚ен). Ду„ими слми, мы хотим ‚ыполнflть шифние и ‰ешифние к‡к можно быстее, но чтобы злоумышленник пи этом не смо„ ник‡, ‰‡же с использнием компьюте‡, ‡сшифть сообщение. Сложность ‡л„оитм‡ обычно б‡зиуетсfl н‡ ‰‚ух тип‡х есусо‚. Пост‡нст‚енн‡fl сложность ‡л„оитм‡ ‡ссм‡т肇ет объем п‡мflти, кото‡fl ‰олжн‡ х‡нить ‡л„оитм (по„‡мму) и ‰‡нные. Сложность по ‚емени ‡л„оитм‡ ‡ссм‡т肇ет сумму ‚емени, необхо‰имую ‰лfl ‚ыполнениfl ‡л„оитм‡ (по„‡ммы) от н‡ч‡л‡ ‰о получениfl езульт‡т‡.

Сложность побито‚ой опе‡ции В ост‡льной ч‡сти это„о пиложениfl мы бу‰ем „о‚оить только о сложности по ‚емени, кото‡fl имеет большее ‚лиflние н‡ ‡боту ‡л„оитм‡, поскольку этот более общий пок‡з‡тель к тому же поще измеflть. Сложность по ‚емени ‡л„оитм‡ з‡‚исит от конкетно„о компьюте‡ — то„о, н‡ котоом ‡л„оитм ‰олжен быть ‚ыполнен. Чтобы с‰ел‡ть сложность не燂исимой от компьюте‡, был‡ опе‰елен‡ сложность побито‚ой опе‡ции f (nb), — он‡ по‰считы‚‡ет число элемент‡ных опе‡ций, котоые ‰олжен ‚ыполнить компьюте, чтобы со片ть езульт‡т пи n,b-бито‚ом ‚‚о‰е. Элемент‡н‡fl об‡ботк‡ бит‡ — это ‚емfl, котоое тебуетсfl компьютеу, чтобы сложить, ‚ычит‡ть, умнож‡ть или ‰елить ‰‚‡ е‰инст‚енных бит‡ или с‰‚脇ть е‰инст‚енный бит. Пиме L.1 К‡к сложность побито‚ой опе‡ции, кото‡fl ‚ыполнflет функцию сложениfl ‰‚ух целых чисел? Решение Сложность опе‡ции — f (nb) = nb, „‰е nb — число бито‚, котоые пе‰ст‡‚лflют большое целое число. Если зн‡чение это„о числ‡ — N, то nb = log2 N. Пиме L.2 К‡к сложность побито‚ой опе‡ции ‰лfl функции, кото‡fl умнож‡ет ‰‚‡ целых числ‡? Решение Хотfl се„о‰нfl есть более быстые ‡л„оитмы умножениfl ‰‚ух целых чисел, т‡‰иционно число ‡зfl‰ных опе‡ций пе‰по뇄‡ет, что эт‡ сложность ‡‚н‡ nb2, „‰е nb — число бито‚, пе‰ст‡‚лflющих большее целое число. Сложность поэтому — f (nb) = nb2. 676

Пиложение L

Сложность

Пиме L.3 К‡к сложность побито‚ой опе‡ции ‰лfl функции, ск뇉ы‚‡ющей ‰‚‡ целых числ‡, к‡ж‰ое из котоых со‰ежит d ‰есflтичных циф? Решение М‡ксим‡льное зн‡чение множест‚‡ циф d ‡зfl‰но„о ‰есflтично„о числ‡ — N = 10d – 1 или N ≈ 10d. Биты ‚о ‚хо‰ном сло‚е — nb = log2 N = log210d =, d × log 2 10. Т‡ сложность ‡‚н‡ f (nb) = d × log 2 10. Н‡пиме, если d = 300 циф, f (nb) = 300 log2l0 ≈ 997 побитных опе‡ции. Пиме L.4 К‡к сложность побито‚ой опе‡ции ‰лfl функции, кото‡fl ‚ычислflет B = AC (если A
Кус

Кипто„‡фиfl и безоп‡сность сетей

f1(nb) = 5 × 2nb + 5nb и f2(nb) = 2nb + 4 К‡ nb м‡ло, эти ‰‚‡ ‡л„оитм‡ ‚е‰ут себfl ин‡че, к‡ nb fl‚лflетсfl большим (пиблизительно 1000). В после‰нем случ‡е ‰‚‡ ‡л„оитм‡ ‚е‰ут себfl почти о‰ин‡ко‚о. Пичин‡ ‚ том, что элементы 5, 5nb и 4 н‡столько м‡лы по с‡‚нению с элементом 2nb, что они мо„ут полностью и„ноитьсfl. Мы можем ск‡з‡ть, что ‰лfl больших nb f1(nb) = f2(nb) = 2nb. Ду„ими слми, мы интеесуемсfl f(nb), к‡ nb пиближ‡етсfl к бесконечности. Большие O-нот‡ции Пимени‚ ‡симптотическую сложность, мы можем опе‰елить ст‡н‰‡тный м‡сшт‡б сложности функций с ‰искетными зн‡чениflми пееменных и опе‰елить сложность ‡л„оитм‡, используfl о‰но из этих зн‡чений. О‰ин из общих ст‡н‰‡то‚ н‡зы‚‡етсfl большой O-нот‡цией (Big O-Notation). В этом ст‡н‰‡те f(nb) = O(g (nb)), „‰е g(nb) — функциfl nb, полученн‡fl из f(nb) с использнием сле‰ующих тех теоем. • Пе‚‡fl теоем‡. Если мы можем н‡йти конст‡нту K, т‡кую, что f(nb) < K × g (nb), то мы имеем f(nb) = O (g (nb)). Эт‡ теоем‡ может быть ле„ко е‡лизн‡, если пименить сле‰ующие ‰‚‡ постых п‡‚ил‡. a. Уст‡но‚ите коэффициенты nb ‚ функции f(nb) н‡ 1. b. Сох‡ните н‡ибольший элемент ‚ f(nb) к‡к g (nb) и у‰‡лите ‰у„ие. Элементы оцен肇ютсfl от н‡иболее низко„о к с‡мому ‚ысокому, к‡к это пок‡з‡но ниже: (1). (log nb), (nb), (nb log nb), (nb log nb log lognb), (nb2), (nb3),……, (nbk), (2nb), (nb!) • Вто‡fl теоем‡. Если f1(nb) = O (g1 (nb)) и f2(nb) = O (g2 (nb)), то f1(nb) + f2(nb)= O (g1 (nb) + g2 (nb) ) • Тетьfl теоем‡. Если f1(nb) = (g1 (nb)) и f2(nb) = O (g2 (nb)), то f1(nb) × f2(nb)= O (g1 (nb) × g2 (nb) ) Пиме L.6 Н‡й‰ите большие O-нот‡ции ‰лfl f(nb) = nb5 + 3 nb2 + 7. Решение Об‡тите ‚ним‡ние, что f(nb) = nb5 + 3 nb2 + 7 nb0. Пименение пе‚о„о п‡‚ил‡ пе‚ой теоемы ‰‡ет g(nb) = nb5+ nb2+ 1. Пименение ‚тоо„о п‡‚ил‡ ‰‡ет н‡м g(nb) = nb5. Больш‡fl O-нот‡циfl — O (nb5). Пиме L.7 Н‡й‰ите большие O-нот‡ции ‰лfl f(nb)= (2nb + nb5) + (nb log2 nb). Решение Мы имеем f1(nb)= (2nb + nb5) и f2(nb) = (nb log2 nb). Поэтому g1(nb) = 2nb и g2(nb) = nb log2 nb. Пименflfl ‚тоую теоему, мы имеем g(nb)= 2nb + . nb log2 nb. Сн пименflfl пе‚ую теоему, мы получ‡ем g(nb) = 2nb. Больш‡fl O-нот‡циfl — O(2nb). 678

Пиложение L

Сложность

Пиме L.8 Н‡й‰ите Большую O-нот‡цию ‰лfl f(nb) = nb! (nb ф‡ктои‡л). Решение Мы зн‡ем nb! = nb! × (nb! – l) ×…….× 2 × l. К‡ж‰ый элемент имеет м‡ксим‡льную сложность O(nb). Со„л‡сно тетьей теоеме, полн‡fl сложность — nb ‡з O(nb), или O(nbnb). Ие‡хиfl сложности Пе‰ы‰ущее обсуж‰ение поз‚олflет н‡м ‡нжить ‡л„оитмы, осннные н‡ их сложности побито‚ой опе‡ции. Т‡блиц‡ L.1 ‰‡ет общие уо‚ни ие‡хии, используемые ‚ лите‡туе. Т‡блиц‡ L.1. Ие‡хиfl сложностей и большие O-нот‡ции (Big-O-notations) Ие‡хиfl Конст‡нт‡ Лифмическ‡fl Полином Субэкспоненци‡льн‡fl

Больш‡fl- O-нот‡циfl O (1) O (log nb) O (nc), „‰е c — конст‡нт‡ O (2p(log nb)), „‰е p — полином ‚ log nb

Экспоненци‡льн‡fl

O (2 b)

Супеэкспоненци‡льн‡fl

O(nbnb) или O(22 b)

n

n

Ал„оитм с постоflнной, лифмической и полиноми‡льной сложностью счит‡ют ‚ыполнимым ‰лfl любо„о ‡зме‡. Ал„оитм с пок‡з‡тельной и супеэкспоненци‡льной сложностью счит‡ют неосущест‚имым, если nb очень большое. Ал„оитм с субэкспоненци‡льной сложностью (т‡кой к‡к O(2(log nb)2)) ‚ыполним, если nb не fl‚лflетсfl очень большим. Пиме L.9 К‡к пок‡з‡но ‚ пимее L.4, сложность обычно„о ‚оз‚е‰ениfl ‚ степень — n n f(nb) = 2 b × nb2. Больш‡fl O-нот‡циfl ‰лfl это„о ‡л„оитм‡ — O (2 b × nb2), больше, чем пок‡з‡тельный. Этот ‡л„оитм неосущест‚им, если nb ‚ыб‡ть очень большим. Пиме L.10 К‡к пок‡з‡но ‚ пимее L.5, сложность бысто„о пок‡з‡тельно„о ‡л„оитм‡ f (nb) = 2nb3 больш‡fl O(nb3)-нот‡циfl ‰лfl это„о ‡л„оитм‡, кото‡fl fl‚лflетсfl полиноми‡льной. Этот ‡л„оитм ‚ыполним; он используетсfl ‚ кипто„‡фической системе RSА. Пиме L.11 Пе‰положим, что кипто„‡фическ‡fl систем‡ имеет ‰лину ключ‡ nb бит. Чтобы по‚ести ‡т‡ку „убой силы ‰лfl этой системы, поти‚ник ‰олжен по‚еn n ить 2 b ‡зличных ключ‡. Это озн‡ч‡ет, что ‡л„оитм ‰олжен пойти 2 b ш‡„о‚.Если N — число побитных опе‡ций ‰лfl к‡ж‰о„о ш‡„‡, сложность ‡л„оитм‡ 679

Кус

Кипто„‡фиfl и безоп‡сность сетей n

‰олжн‡ быть f(nb) = N × 2 b. Д‡же если N — конст‡нт‡, сложность это„о ‡л„оитn м‡ пок‡з‡тельн‡, O(2 b). Поэтому ‰лfl большо„о nb ‡т‡к‡ неосущест‚им‡. В лекции 6 мы ‚и‰ели, что DES с ключом н‡ 56 бито‚ уflз‚имы к ‡т‡ке „убой силы, но ‰лfl 3DES с ключом 112 бит он‡ неосущест‚им‡. В лекции 7 мы т‡кже убе‰ились, что AES с ключом н‡ 128 бито‚ имеет иммунитет к этой ‡т‡ке.

L.2. Сложность поблемы Теоиfl сложности т‡кже ‡ссм‡т肇ет ‚опос опе‰елениfl сложности поблемы ‰о то„о, к‡к ‡л„оитм бу‰ет ‡з‡бот‡н. Чтобы оценить сложность поблем, мо„ут использтьсfl ‰‚е ‚есии теоетических м‡шин Тьюи턇: ‰етемининн‡fl и не‰етемининн‡fl. Не‰етемининн‡fl м‡шин‡ может ешить более ту‰ные поблемы по‰боом пе‚о„о ешениfl и з‡тем е„о по‚екой.

Д‚е шиоких к‡те„оии Теоиfl сложности ‰елит ‚се поблемы н‡ ‰‚е шиоких к‡те„оии: не‡зешимые поблемы и ‡зешимые поблемы. Не‡зешимые поблемы Не‡зешим‡fl поблем‡ — поблем‡, ‰лfl котоой нет ‡л„оитм‡ ешениfl. Ал‡н Тьюин„ пок‡з‡л, что из‚естн‡fl поблем‡ ост‡но‚ки не‡зешим‡. Поблем‡ ост‡но‚ки может быть посто изложен‡ сле‰ующим об‡зом: «Если ‰‡но опис‡ние ‡л„оитм‡, ‚хо‰н‡fl инфом‡циfl и м‡шин‡ Тьюи턇, то нет ‡л„оитм‡, котоый мо„ бы опе‰елить, 燂ешитсfl ли к‡-нибу‰ь ‚ыполнение это„о ‡л„оитм‡ (ост‡но‚итсfl ли ‚ конечном счете м‡шин‡)». В м‡тем‡тике и инфом‡тике есть несколько не‡зешимых поблем. Р‡зешимые поблемы Поблем‡ ‡зешим‡, если может быть н‡пис‡н ‡л„оитм ‰лfl ешениfl этой поблемы. Соот‚етст‚ующий ‡л„оитм, о‰н‡ко, может быть или не быть ‚ыполнимым. Если поблем‡ может быть ешен‡ с использнием ‡л„оитм‡ полиноми‡льной сложности или меньше, это н‡зы‚‡етсfl ‡зешимой ‚ ‡зумное ‚емfl поблемой или посто ‡зумной поблемой (tractable problem). Если поблем‡ может быть ешен‡ с пименением ‡л„оитм‡ пок‡з‡тельной сложности, ее н‡зы‚‡ют не‡зешимой ‚ ‡зумное ‚емfl или тflжелой поблемой (intractable problem). P, NP и coNP. Теоиfl сложности ‰елит ‡зумные поблемы н‡ ти (‚озможно, н‡к뇉ы‚‡ющиесfl ‰у„ н‡ ‰у„‡) кл‡сс‡ — P, NP и coNP. К‡к пок‡з‡но н‡ ис. L.I, NP и coNP — пеекы‚‡ющиесfl, ‡ P-кл‡сс н‡хо‰итсfl н‡ пеесечении этих кл‡ссо‚. Поблемы ‚ кл‡ссе P (P — polynomial) полиноми‡льные и мо„ут быть ешены ‰етемининной м‡шиной Тьюи턇 ‚ полиноми‡льное ‚емfl. Поблемы NP кл‡сс‡ (NP — nondeterministic polynomial ‰лfl не‰етемининно„о полином‡) мо„ут быть ешены не‰етемининной м‡шиной Тьюи턇 ‚ полиноми‡льное ‚емfl. Поблемы ‚ кл‡ссе coNP (coNP — complementary nondeterministic polynomial — ‰ополнительно„о не‰етемининно„о полином‡) — т‡кие поблемы, котоые мо„ут быть ешены не‰етемининно путем ‰ополнениfl м‡шины Тьюи턇. Н‡680

Пиложение L

Сложность

пиме, поблем‡, кото‡fl еш‡ет, может ли целое число быть ‡зложено н‡ множители ‚ ‰‚‡ постых числ‡, есть ‰ополнение поблемы, кото‡fl может ешить, fl‚лflетсfl ли число постым. Ду„ими слми, ут‚еж‰ение «может быть ‡зложен н‡ множители» fl‚лflетсfl эк‚肇лентным ‰ок‡з‡тельст‚у «непостое число».

Рис. L.1. Кл‡ссы P, NP и coNP

L.3. Веоflтностные ‡л„оитмы Если поблем‡ тflжел‡fl, ‰лfl ее ешениfl мы можем н‡йти ‚еоflтностный ‡л„оитм. Хотfl ‚еоflтностные ‡л„оитмы не „‡‡нтиуют, что ешение с‚обо‰но от ошибок, ‚еоflтность ошибки может быть с‰ел‡н‡ очень м‡ленькой, с помощью по‚тоениfl ‡л„оитм‡ с пименением нескольких ‡зличных п‡‡мето‚. Веоflтностные ‡л„оитмы мо„ут быть ‡з‰елены н‡ ‰‚е к‡те„оии: Монте-К‡ло и Л‡с-В儇с.

Ал„оитм Монте-К‡ло Ал„оитм Монте-К‡ло ‚ы‰‡ет ешениfl «‰‡/нет»: ‚ыхо‰ ‡л„оитм‡ fl‚лflетсfl или ‰‡, или нет. Ал„оитм Монте-К‡ло, смещенный к ДА, ‰‡ет езульт‡т ДА с ‚еоflтностью 1 (нет ошибки); он ‰‡ет езульт‡т НЕТ с ‚еоflтностью e (‚озможн‡fl ошибк‡). Смещенный к НЕТ, ‡л„оитм Монте-К‡ло, ‚ы‰‡fiт езульт‡т НЕТ с ‚еоflтностью 1 (нет ошибки); это ‰‡ет езульт‡т ДА с ‚еоflтностью e (‚озможн‡ ошибк‡). Мы ‡ссм‡肇ли ‚еоflтностные мето‰ыи ‚ лекции 9. Ал„оитм Монте-К‡ло, смещенный к ДА, может по‚еить, fl‚лflетсfl ли целое число постым. Если ‡л„оитм ‚оз‚‡щ‡ет «постое» мы у‚еены, что целое число fl‚лflетсfl постым; если он ‚оз‚‡щ‡ет «сост‡‚ной объект», число может быть постым с очень небольшой ‚еоflтностью.

Ал„оитм Л‡с-В儇с‡ Ал„оитм Л‡с-В儇с‡ — ‡л„оитм, котоый либо успешен, либо ошибочен. Если он успешен, он ‚с儉‡ ‚оз‚‡щ‡ет п‡‚ильный от‚ет. Если он тепит неу‰‡чу, никто з‡ это не от‚еч‡ет.

681

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиложение M. ZIP PGP (лекциfl 16) использует мето‰ику сж‡тиfl ‰‡нных ZIP, со片нную Джином Гэйлеем, М‡ком А‰иом и Рич‡‰ом Уользом. Он‡ б‡зиуетсfl н‡ ‡л„оитме, н‡зы‚‡емом LZ77 (Lempel-Ziv 77), котоый был изобетен Дж‡копом Зи‚ом (Jacop Ziv) и Аб‡х‡мом Лемпэлем (Abraham Lempel). В этом пиложении мы к‡тко обсу扇ем LZ77 к‡к осно‚у ZIP.

М. 1. Ко‰иние LZ77 Ко‰иние LZ77 — пиме ко‰иниfl н‡ осно‚е слfl. И‰еfl ‚ том, что нужно со片ть сль (т‡блицу) сток, используемых ‚ течение се‡нс‡ с‚flзи. Если и пе則тчик, и пиемник имеют копию слfl, то уже ‚стеч‡‚шиесfl стоки мо„ут быть з‡менены их ин‰екс‡ми ‚ сле, чтобы уменьшить количест‚о пе則нной инфом‡ции. Хотfl и‰еfl к‡жетсfl постой, он‡ ‰о‚ольно сложн‡ ‚ е‡лиз‡ции. Пе‚ое: к‡к со片ть сль ‰лfl к‡ж‰о„о се‡нс‡? Он не может быть уни‚ес‡льным из-з‡ с‚оей ‰лины. Втоое: к‡к пиемник может пиобести сль, со片нный пе則тчиком? Если ‚ы пе則ете сль, ‚ы посыл‡ете ‰ополнительные ‰‡нные, котоые ‚е‰flт цели сж‡тиfl. П‡ктический ‡л„оитм, котоый использует и‰ею ‡‰‡пти‚но„о ко‰иниfl н‡ осно‚е слfl, — LZ77-‡л„оитм. Мы пи‚о‰им осно‚ную и‰ею это„о ‡л„оитм‡ с пимеом, но не коп‡емсfl ‚ ‰ет‡лflх ‡зличных ‚есий и е‡лиз‡ций. В н‡шем пимее пе‰положим, что н‡м нужно пе則ть сле‰ующую стоку. Мы ‚ыб‡ли эту стоку, чтобы упостить обсуж‰ение. BAABABBBAABBBBAA Длfl н‡шей постой ‚есии LZ77-‡л„оитм‡ поцесс ‡з‰елен н‡ ‰‚е ф‡зы: сж‡тие стоки и ‡сшиение (‰екомпессиfl стоки).

Сж‡тие В этой ф‡зе есть ‰‚‡ п‡‡ллельных событиfl: со片ние ин‰ексинно„о слfl и сж‡тие стоки сим‚оло‚. Ал„оитм из‚лек‡ет из п‡мflти несж‡тую стоку, у котоой н‡именьш‡fl по‰сток‡ — т‡, что не может быть н‡й‰ен‡ ‚ сле. З‡тем ‡л„оитм сох‡нflет копию этой по‰стоки ‚ сле (к‡к но‚ый ‚хо‰) и н‡зн‡ч‡ет зн‡чение ин‰екс‡. Сж‡тие ‚озник‡ет, к‡ по‰сток‡, если это не после‰ний сим‚ол, з‡менен‡ ин‰ексом, н‡й‰енным ‚ сле. Поцесс з‡тем ‚ст‡‚лflет ин‰екс и после‰ний сим‚ол по‰стоки ‚ сж‡тую стоку. Н‡пиме, если по‰сток‡ — ABBB, ‚ы ищете ‚ сле ABB. Вы н‡хо‰ите, что ин‰екс ‰лfl ABB — 4; сж‡т‡fl по‰сток‡ поэтому бу‰ет 4B. Рисунок М.1 пок‡зы‚‡ет поцесс ‰лfl н‡шей типо‚ой стоки. Р‡ссмотим несколько ш‡„о‚ н‡ ис. М.1. • Ш‡„ 1. Поцесс из‚лек‡ет из пе‚он‡ч‡льной стоки н‡именьшую по‰стоку, котоый нет ‚ сле. Поскольку сль пуст, н‡именьший сим‚ол — 682

Пиложение M

ZIP

Рис. M.1. Пиме LZ77 ко‰иние о‰ин сим‚ол (пе‚ый сим‚ол B). Поцесс х‡нит е„о копию к‡к пе‚ый ‚хо‰ ‚ этом сле. Е„о ин‰екс – 1. Ч‡сть этой по‰стоки не может быть з‡менен‡ ин‰ексом из слfl (потому что это только о‰ин сим‚ол). Потому по683

Кус

Кипто„‡фиfl и безоп‡сность сетей

цесс ‚ст‡‚лflет B (без ин‰екс‡) ‚ сж‡тую стоку. Пок‡ сж‡т‡fl сток‡ имеет только о‰ин сим‚ол: B. Пе‚он‡ч‡льн‡fl сток‡ сох‡нflетсfl не ‚ сж‡том ‚и‰е — без пе‚о„о сим‚ол‡. • Ш‡„ 2. Поцесс из‚лек‡ет из ост‡‚шейсfl стоки сле‰ующую н‡именьшую по‰стоку, котоой нет ‚ сле. Эт‡ по‰сток‡ — сим‚ол A, котоый не н‡хо‰итсfl ‚ сле. Поцесс х‡нит копию это„о сим‚ол‡ к‡к ‚тоой ‚хо‰ ‚ сле. Ч‡сть этой по‰стоки не может быть з‡менен‡ ин‰ексом из слfl (потому что это только о‰ин сим‚ол). Поцесс ‚ст‡‚лflет ‚ сж‡тую стоку A. Тепеь сж‡т‡fl сток‡ имеет ‰‚‡ сим‚ол‡: B и A (мы пост‡‚или з‡пflтые меж‰у по‰сток‡ми ‚ сж‡той стоке, чтобы пок‡з‡ть ‡з‰еление). • Ш‡„ 3. Поцесс из‚лек‡ет из ост‡ющейсfl стоки сле‰ующую н‡именьшую по‰стоку, котоой нет ‚ сле. Эт‡ ситу‡циfl отлич‡етсfl от ‰‚ух пе‰ы‰ущих ш‡„о‚. Сле‰ующий сим‚ол (A) н‡хо‰итсfl ‚ сле, т‡к что поцесс из‚лек‡ет ‰‚‡ сим‚ол‡ (AB), ‡ этой комбин‡ции ‚ сле нет. Поцесс сох‡нflет копию AB к‡к тетий ‚хо‰ ‚ сль. Поцесс тепеь н‡хо‰ит ин‰екс ‚х ‚ сле и со片ет сж‡тую по‰стоку без после‰не„о сим‚ол‡ (AB без после‰не„о сим‚ол‡, т. е. без A). Ин‰екс ‰лfl комбин‡ции сж‡той стоки — 2, т‡к что поцесс ‚ст‡‚лflет ‚ сж‡тую стоку комбин‡цию 2B. • Ш‡„ 4. З‡тем поцесс из‚лек‡ет по‰стоку ABB (потому что и AB уже ‚ сле есть). Копиfl ABB сох‡нflетсfl ‚ сле с пис‚оением ин‰екс‡ 4. Поцесс н‡хо‰ит ин‰екс по‰стоки без после‰не„о сим‚ол‡ (AB) — это 3. В сж‡тую стоку ‚ст‡‚лflетсfl комбин‡циfl 3B. Вы, ‚озможно, з‡метили, что ‚ тех пе‰ы‰ущих ш‡„‡х мы ф‡ктически не ‰ости„ли ник‡ко„о сж‡тиfl, потому что з‡менили о‰ин сим‚ол о‰ним (‚ пе‚ом A н‡ A и B н‡ B ‚о ‚тоом ш‡„е) и ‰‚‡ сим‚ол‡ н‡ ‰‚‡ (AB н‡ 2B н‡ тетьем ш‡„е). Но н‡ этом ш‡„е мы ф‡ктически уменьшили число сим‚оло‚ (ABB ст‡л 3B). Если пе‚он‡ч‡льн‡fl сток‡ имеет мно„о по‚тоений (это пе‰положение сп‡‚е‰ли‚о ‚ большинст‚е случ‡е‚), мы можем з‡метно уменьшить число сим‚оло‚. К‡ж‰ый из ост‡ющихсfl ш‡„о‚ по‰обен о‰ному из пе‰ы‰ущих четыех ш‡„о‚, и мы пе‰ост‡‚лflем чит‡телю ‚озможность ‚ыполнить их с‡мому. Об‡тите ‚ним‡ние, что сль используетсfl пе則тчиком, чтобы н‡йти ин‰ексы. Е„о не пе則ют пиемнику; пиемник ‰олжен со片ть сль ‰лfl себfl с‡м, к‡к мы у‚и‰им это ‚ сле‰ующем ‡з‰еле.

Декомпессиfl Декомпессиfl — ин‚есиfl поцесс‡ сж‡тиfl. Поцесс из‚лек‡ет по‰стоки из сж‡той стоки и побует з‡менflть ин‰ексы соот‚етст‚ующими ‚хми ‚ сле, котоый ‚н‡ч‡ле fl‚лflетсfl пустым и со片етсfl постепенно. Г뇂ное, что к‡ ин‰екс получен, ‰‡лее 퇉о использть ‚хо‰ слfl к соот‚етст‚ующему ин‰ексу. Рисунок M.2 пок‡зы‚‡ет поцесс ‰екомпессии. Р‡ссмотим несколько ш‡„о‚ н‡ исунке М.2. • Ш‡„ 1. Ан‡лизиуетсfl пе‚‡fl по‰сток‡ сж‡той стоки. Это — B без ин‰екс‡. Поскольку по‰сток‡ не н‡хо‰итсfl ‚ сле, он‡ ‰оᇂлflетсfl к слю. 684

Пиложение M

ZIP

Рис. M.2. Пиме LZ77-‰еко‰иниfl По‰сток‡ (B) ‚ст‡‚лflетсfl ‚ несж‡тую (‰екомпессинную) стоку. • Ш‡„ 2. Ан‡лизиуетсfl ‚то‡fl по‰сток‡ (A); ситу‡циfl т‡к‡fl же, к‡к и н‡ ш‡„е 1. Тепеь несж‡т‡fl сток‡ имеет ‰‚‡ сим‚ол‡ (BA), и сль имеет ‰‚‡ ‚х. 685

Кус

Кипто„‡фиfl и безоп‡сность сетей

• Ш‡„ 3. Ан‡лизиуетсfl тетьfl по‰сток‡ (2B). Поцесс ищет ‚ сле и з‡менflет ин‰екс 2 по‰стокой A. К несж‡той стоке ‰оᇂлflетсfl нfl по‰сток‡ (AB), и AB ‰оᇂлflетсfl к слю. • Ш‡„ 4. Ан‡лизиуетсfl чет‚ет‡fl по‰сток‡ (3B). Поцесс ищет ‚ сле и з‡менflет ин‰екс 3 с по‰стокой AB. По‰сток‡ ABB тепеь ‰оᇂлflетсfl к несж‡той стоке, и ABB ‰оᇂлflетсfl к слю. Мы не бу‰ем ‰ел‡ть ‡н‡лиз после‰них тех ш‡„о‚, ‡ ‰оᇂим к‡к 燉‡ние ‰лfl с‡мостоflтельных уп‡жнений. К‡к ‚ы з‡метили, мы используем ‰лfl обозн‡чениfl ин‰екс‡ ‰есflтичные числ‡, т‡кие, к‡к 1 или 2. В ‰ейст‚ительности ин‰екс з‡писы‚‡етсfl ‚ ‰‚оичном ‚и‰е (‚озможно, ‚ ‰‡нном случ‡е ‰линой 3) ‰лfl лучшей эффекти‚ности.

686

Пиложение N

Диффеенци‡льный и линейный кипто‡н‡лиз DES

Пиложение N. Диффеенци‡льный и линейный кипто‡н‡лиз DES В этом пиложении мы к‡тко обсу扇ем ‰‚е поблемы, котоые с‚flз‡ны с шифом DES, ‡ссмотенным ‚ лекции 6: ‰иффеенци‡льный и линейный кипто‡н‡лиз. Полное ‡ссмотение этих ‰‚ух поблем не‚озможно ‚ этой кни„е. Пиложение ‰‡ет общее пе‰ст‡‚ление и отсыл‡ет з‡интееснных чит‡телей к ‚озможностflм позн‡комитьсfl с поблемой поближе ‚ соот‚етст‚ующей лите‡туе.

N.1. Диффеенци‡льный кипто‡н‡лиз Диффеенци‡льный кипто‡н‡лиз ‰лfl DES был изобетен Бих‡мом (Biham) и Ш‡миом (Shamir). В этом кипто‡н‡лизе злоумышленник концентиуетсfl н‡ ‡т‡к‡х с ‚ыбокой исхо‰но„о текст‡. Ан‡лиз использует ‡зность ‚ похож‰ении ‡зличных ‚хо‰ных си„н‡ло‚ чеез устойст‚о или по„‡мму шиф‡ции. Темин ‡зность з‰есь пименflетсfl, чтобы ‡ссмотеть с помощью опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ несо‚ение ‰‚ух ‡зличных ‚хо‰ных сообщений (исхо‰ные тексты). Ду„ими слми, злоумышленник ‡н‡лизиует, к‡к P ⊕ P’ ‡злич‡ютсfl пи об‡ботке ‚ к‡ж‰ом ‡ун‰е.

Веоflтностные отношениfl И‰еfl относительно ‰иффеенци‡льно„о кипто‡н‡лиз‡ б‡зиуетсfl н‡ ‚еоflтностных отношениflх меж‰у ‚хо‰ными ‡зностflми и ‡зностflми ‚ых. Д‚‡ отношениfl пе‰ст‡‚лflют конкетный интеес ‚ ‡н‡лизе: ‰иффеенци‡льный поф‡йл и х‡‡ктеистик‡ ‡у퉇, к‡к это пок‡з‡но н‡ ис. N.1.

Рис. N.1. Диффеенци‡льный поф‡йл и х‡‡ктеистик‡ ‡у퉇 ‚ DES Диффеенци‡льный поф‡йл Диффеенци‡льный поф‡йл (он же поф‡йл ИСКЛЮЧАЮЩЕЕ ИЛИ) пок‡зы‚‡ет ‚еоflтностное отношение меж‰у ‚хо‰ными ‡зностflми и ‡зностflми ‚ых S-блок‡. Мы обсу扇ли этот поф‡йл ‰лfl посто„о S-блок‡ ‚ лекции 5 (см. т‡блицу 5.5). По‰обные поф‡йлы мо„ут быть со片ны ‰лfl к‡ж‰о„о из ‚осьми S-блоко‚ ‚ DES. 687

Кус

Кипто„‡фиfl и безоп‡сность сетей

Х‡‡ктеистик‡ ‡у퉇 Х‡‡ктеистик‡ ‡у퉇 по‰обн‡ ‰иффеенци‡льному поф‡йлу, но ‚ычислflетсfl ‰лfl цело„о ‡у퉇. Он‡ пок‡зы‚‡ет ‚еоflтность, с котоой о‰н‡ ‚хо‰н‡fl ‡зность соз‰‡л‡ бы ‡зность опе‰еленно„о ‚ых. Об‡тите ‚ним‡ние, что х‡‡ктеистик‡ о‰н‡ и т‡ же ‰лfl к‡ж‰о„о ‡у퉇, потому что любое отношение, котоое ‚ключ‡ет ‡зности, не 燂исит от ключей ‡у퉇. Рисунок N.2 пок‡зы‚‡ет четые ‡зличные х‡‡ктеистики ‡у퉇.

Рис. N.2. Некотоые х‡‡ктеистики ‡у퉇 ‰лfl ‰иффеенци‡льно„о кипто‡н‡лиз‡ Хотfl сущест‚ует мно„о х‡‡ктеистик ‰лfl ‡у퉇, исунок N.2 пок‡зы‚‡ет только четые из них. В к‡ж‰ой х‡‡ктеистике мы ‡з‰елили ‚хо‰ные ‡зности и ‡зности ‚ых ‚ ле‚ые и п‡‚ые секции. ʇ扇fl л傇fl или п‡‚‡fl ‡зность состоflт из 32 бито‚ или ‚осьми шест퇉ц‡теичных циф. Все эти х‡‡ктеистики мо„ут быть н‡й‰ены использующими по„‡мм‡ми, котоые мо„ут н‡йти отношение ‚х-‚ых ‚ ‡ун‰е DES. Рисунок N.2‡ пок‡зы‚‡ет, что ‚хо‰н‡fl ‡зность (x, 0000000016) ‰‡ет н‡ ‚ыхо‰е ‡зность (x, 0000000016) с ‚еоflтностью 1. Рисунок N.2б пок‡зы‚‡ет ту же с‡мую х‡‡ктеистику, к‡к исунок N.2‡, з‡ исключением то„о, что ле‚ые и п‡‚ые ‚хо‰ и ‚ыхо‰ поменflлись мест‡ми; ‚еоflтность изменитсfl чез‚ыч‡йно. Рисунок N.2‚ пок‡зы‚‡ет, что ‚хо‰н‡fl ‡зность (4008000016, 0400000016) ‰‡ет ‡зность ‚ых (0000000016, 040000016) с ‚еоflтностью 1/4. Н‡конец, исунок N.2„ пок‡зы‚‡ет, что ‚хо‰н‡fl ‡зность (0000000016, 6000000016) ‰‡ет ‡зность ‚ых (0080820016 600000016) с ‚еоflтностью 14/64. Тех‡ун‰н‡fl х‡‡ктеистик‡ После со片ниfl и х‡нениfl о‰но‡ун‰ных х‡‡ктеистик ‡н‡лиз‡то может комбинить ‡зличное количест‚о ‡ун‰о‚, чтобы со片ть множест‚енную х‡‡ктеистику ‡у퉇. Рисунок N.3 пок‡зы‚‡ет случ‡й тех‡ун‰ной DES. 688

Пиложение N

Диффеенци‡льный и линейный кипто‡н‡лиз DES

Н‡ ис. N.3, мы использли ти смесителfl и только ‰‚‡ устойст‚‡ з‡мены, потому что после‰ний ‡ун‰ не ну扇етсfl ни ‚ к‡ком устойст‚е з‡мены, к‡к уже „о‚оилось ‚ лекции 5. Х‡‡ктеистики, пок‡з‡нные ‚ смесителflх пе‚ых и тетьих ‡ун‰о‚, те же с‡мые, к‡к и н‡ исунке N.2b. Х‡‡ктеистик‡ смесителfl ‚о ‚тоом ‡ун‰е — т‡ же с‡м‡fl, что и н‡ ис. N.2a. Очень интеесно отметить, что точки, ‚ этом конкетном случ‡е, ‡зности ‚х и ‚ых — те же с‡мые (ΔL3 = ΔL0 и ΔR3 = ΔR0).

Рис. N.3. Тех‡ун‰н‡fl х‡‡ктеистик‡ Шест퇉ц‡ти‡ун‰н‡fl х‡‡ктеистик‡ Длfl шиф‡ с шест퇉ц‡тью ‡у퉇ми можно скомпилить мно„о ‡зличных х‡‡ктеистик. Рисунок N.4 пок‡зы‚‡ет пиме. Н‡ этом исунке шиф DES состоит из ‚осьми секций с ‰‚умfl ‡у퉇ми. ʇ扇fl секциfl использует х‡‡ктеистики ‡ и б н‡ ис. N.2. Ясно, что если после‰ние ‡ун‰ы не имеют устойст‚‡ з‡мены, ‚хо‰ (x, 0) со片ет ‚ыхо‰ (0, x) с ‚еоflтностью (1/234) 8.

Ат‡к‡ Длfl пиме‡ пе‰положим, что Е‚‡ использует х‡‡ктеистику по исунку N.4, чтобы н‡п‡сть н‡ DES с шест퇉ц‡тью ‡у퉇ми. Е‚‡ к‡ким-то способом по‚оциует Алису, чтобы з‡шифть мно„о исхо‰ных тексто‚ ‚ фоме (x, 0), ‚ котоой л傇fl поло‚ин‡ — x (‡зличные зн‡чениfl) и п‡‚‡fl поло‚ин‡ — 0. Е‚‡ з‡тем сох‡нflет ‚се з‡шифнные тексты, полученные от Алисы, ‚ фоме (0, x). Об‡тите ‚ним‡ние, что 0 з‰есь озн‡ч‡ет 0000000016. 689

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. N.4. Шест퇉ц‡ти‡ун‰н‡fl х‡‡ктеистик‡ ‰лfl ‰иффеенци‡льно„о кипто‡н‡лиз‡

Н‡хож‰ение ключ‡ шиф‡ Оконч‡тельн‡fl цель злоумышленник‡ ‚ ‰иффеенци‡льном кипто‡н‡лизе состоит ‚ том, чтобы н‡йти ключ шиф‡. Длfl это„о нужно н‡йти ключи к‡ж‰о„о ‡у퉇 от оснниfl ‰о ‚ешины (от K16 ‰о K1). Н‡хож‰ение после‰них ключей ‡у퉇 Если злоумышленник имеет ‰ост‡точно мно„о п‡ исхо‰но„о текст‡ / з‡шифнно„о текст‡ (к‡ж‰ый с ‡зличными зн‡чениflми x), он может использть отношениfl ‚ после‰нем ‡ун‰е, 0 = f(K16,x) и н‡йти некотоые из бито‚ ‚ K16. Это можно с‰ел‡ть, ‚ыби‡fl с‡мые ‚еоflтные зн‡чениfl. Н‡хож‰ение ‰у„их ключей ‡у퉇 Ключи ‰лfl ‰у„их ‡ун‰о‚ можно н‡йти, используfl ‰у„ие х‡‡ктеистики или пименflfl ‡т‡ки „убой силы.

Безоп‡сность Из‚естно, что необхо‰имы 247 ‚ыбоки п‡ исхо‰но„о текст‡ / з‡шифнно„о текст‡, чтобы н‡п‡сть н‡ DES с 16 ‡у퉇ми. Н‡йти т‡кое о„омное число 690

Пиложение N

Диффеенци‡льный и линейный кипто‡н‡лиз DES

‚ыб‡нных п‡ чез‚ыч‡йно ту‰но ‚ ситу‡циflх е‡льной жизни. Это озн‡ч‡ет, что DES неуflз‚имы ‰лfl это„о тип‡ ‡т‡ки.

N.2. Линейный кипто‡н‡лиз Линейный кипто‡н‡лиз ‰лfl DES был ‡з‡бот‡н М‡тцуи. Это — ‡т‡к‡ зн‡ниfl исхо‰но„о текст‡. Ан‡лиз использует ‡спост‡нение конкетно„о н‡бо‡ бито‚ чеез устойст‚о шифниfl.

Отношениfl линейности Линейный кипто‡н‡лиз оснн н‡ отношениflх линейности. В этом типе кипто‡н‡лиз‡ пе‰ст‡‚лflют интеес ‰‚‡ н‡бо‡ отношений: линейные поф‡йлы и х‡‡ктеистики ‡у퉇, к‡к пок‡з‡но н‡ ис. N.5.

Рис. N.5. Линейный поф‡йл и х‡‡ктеистик‡ ‡у퉇 ‚ DES Линейный поф‡йл Линейный поф‡йл пок‡зы‚‡ет уо‚ень линейности меж‰у ‚хо‰ом и ‚ыхо‰ом S-блок‡. Мы ‚и‰ели ‚ лекции 5, что ‚ S-блоке к‡ж‰ый бит ‚ых — функциfl ‚сех ‚хо‰ных бито‚. Жел‡тельное с‚ойст‚о ‚ S-блоке ‰ости„нуто, если к‡ж‰ый бит ‚ых — нелинейн‡fl функциfl ‚сех ‚хо‰ных бито‚. К сож‡лению, эт‡ и‰е‡льн‡fl ситу‡циfl не сущест‚ует ‚ DES; некотоые биты ‚ых — линейн‡fl функциfl некотоых комбин‡ций ‚хо‰ных бито‚. Ду„ими слми, можно н‡йти, что некотоые комбин‡ции бито‚ ‚х-‚ых мо„ут быть отоб‡жены меж‰у собой, используfl линейную функцию. Линейный поф‡йл пок‡зы‚‡ет уо‚ень линейности (или нелинейности) меж‰у ‚хо‰ом и ‚ыхо‰ом. Кипто‡н‡лиз может со片ть ‚осемь ‡зличных т‡блиц, по о‰ной ‰лfl к‡ж‰о„о S-блок‡, ‚ котоых пе‚ый столбец пок‡зы‚‡ет ‚озможные комбин‡ции ‚хо‰о‚ по шесть бит, 0016 ‰о 3F16. Пе‚‡fl сток‡ пок‡зы‚‡ет ‚озможные комбин‡ции ‚ыхо‰о‚ по четые бит‡, 016 ‰о F16. Вхо‰ы пок‡зы‚‡ют уо‚ень линейности (или нелинейности) ‰‡нно„о поект‡. Мы не можем у„лублflтьсfl ‚ ‰ет‡ли то„о, к‡к измеflетсfl уо‚ень линейности, но ‚хо‰ы с ‚ысоко„о уо‚нfl из линейности интеесны ‰лfl кипто‡н‡лиз‡. 691

Кус

Кипто„‡фиfl и безоп‡сность сетей

Х‡‡ктеистик‡ ‡у퉇 Х‡‡ктеистик‡ ‡у퉇 ‚ линейном кипто‡н‡лизе пок‡зы‚‡ет комбин‡ции ‚хо‰ных бито‚, бито‚ ключей ‡у퉇 и бито‚ ‚ых ‰лfl то„о, чтобы опе‰елить линейное отношение. Рисунок N.6 изоб‡ж‡ет ‰‚е ‡зличные х‡‡ктеистики ‡у퉇. Систем‡ обозн‡чений, используем‡fl ‰лfl к‡ж‰о„о случ‡fl, опе‰елflет биты, котоые ск뇉ы‚‡ютсfl по мо‰улю ‰‚‡. Н‡пиме, О (7, 8, 24, 29) озн‡ч‡ет опе‡цию исключ‡ющее ИЛИ 7-х, 8-х, 24-х и 29-х бито‚, ‚ыхо‰flщих из функции; K (22) озн‡ч‡ет 22-й бит ‚ ключе ‡у퉇; I (15) озн‡ч‡ет 15-й бит, ‚хо‰flщий ‚ функцию.

Рис. N.6. Некотоые х‡‡ктеистики ‡у퉇 ‰лfl линейно„о кипто‡н‡лиз‡ Ниже пок‡з‡ны отношениfl ‰лfl ч‡стей ‡ и б исунк‡ N.6, использующих ин‰и‚и‰у‡льные биты. Ч‡сть a: О (7) ⊕ О (8) ⊕ О (24) ⊕О (29) = I (15) ⊕ K (22) Ч‡сть b: F (15) = I (29) ⊕ K (42) ⊕ K (43) ⊕ K (45) ⊕ K (46) Тех‡ун‰н‡fl х‡‡ктеистик‡ После со片ниfl и х‡нениfl о‰но‡ун‰ных х‡‡ктеистик ‡н‡лиз‡то может комбинить ‡зличные ‡ун‰ы, чтобы со片ть множест‚енную х‡‡ктеистику ‡у퉇. Рисунок N.7 пок‡зы‚‡ет случ‡й тех‡ун‰ной DES, ‚ котоой ‡ун‰ы 1 и 3 используют о‰ну и ту же х‡‡ктеистику, к‡к это изоб‡жено н‡ ис. N.6‡, ‡ ‚ ‡ун‰е 2 использо‚‡н‡ поиз‚ольн‡fl х‡‡ктеистик‡. Цель линейно„о кипто‡н‡лиз‡ состоит ‚ том, чтобы н‡йти линейное отношение меж‰у некотоыми бит‡ми ‚ п‡е «исхо‰ный текст / з‡шифнный текст» и ключ. Д‡‚‡йте посмотим, можем ли мы уст‡но‚ить т‡кое отношение ‰лfl DES с 3-мfl ‡у퉇ми, изоб‡женной н‡ ис. N.7. Р‡ун‰ 1: R1 (7, 8, 24, 29) = L0 (7, 8, 24, 29) ⊕ Ro (15) ⊕K1 (22) Р‡ун‰ 3: L3 (7, 8, 24, 29) = L2 (7, 8,24, 29) ⊕ R2 (15) ⊕ K3 (22) Но L2 — тот же с‡мый, что и R1, и R2 — тот же с‡мый, что и R3. После з‡мены L2 н‡ R1 и R2 н‡ R3 ‚о ‚тоом отношении мы получим: L3 (7, 8, 24, 29) = R1, (7, 8, 24, 29) ⊕ R3 (15) ⊕ K3 (22) 692

Пиложение N

Диффеенци‡льный и линейный кипто‡н‡лиз DES

Рис. N.7. Тех‡ун‰ные х‡‡ктеистики ‰лfl линейно„о кипто‡н‡лиз‡ Мы можем з‡менить R1 н‡ е„о эк‚肇лентное зн‡чение ‚ ‡ун‰е 1, ‚ езульт‡те имеем L3(7, 8, 24, 29) = L0 (7, 8, 24, 29) ⊕ R0 (15) ⊕ K1 (22) ⊕ R3 (15) ⊕ K3 (22) Отношениfl меж‰у бит‡ми ‚х и ‚ых ‰лfl ‚сей системы из тех ‡ун‰о‚ после пеоб‡зний: L3 (7, 8, 24, 29) ⊕ R3 (15) = L0 (7, 8, 24, 29) ⊕ Ro (15) ⊕ K1 (22) ⊕ K3 (22) Ду„ими слми, мы имеем C (7, 8, 15, 24, 29) = P (7, 8, 15, 24, 29) ⊕ K1 (22) ⊕ K3 (22) Веоflтность О‰ин интеесный ‚опос: к‡к н‡йти ‚еоflтность тех‡ун‰ных (или n-‡ун‰ных) DES. М‡тцуи (Matsui) пок‡з‡л, что ‚еоflтность ‚ этом случ‡е P = 1/2 + 2n-1 П (pi – 1/2), 693

Кус

Кипто„‡фиfl и безоп‡сность сетей

„‰е n fl‚лflетсfl числом ‡ун‰о‚, P — ‚еоflтность к‡ж‰ой х‡‡ктеистики ‡у퉇 и P — полн‡fl ‚еоflтность. Н‡пиме, полн‡fl ‚еоflтность ‰лfl тех‡ун‰но„о ‡н‡лиз‡ н‡ ис. N.7: P = 1/2 + 2 3 -1 [(52/64 – 1/2) × (1 – 1/2) × (52/64 – 1/2)] ≈ 0,695 Шест퇉ц‡ти‡ун‰н‡fl х‡‡ктеистик‡ 16-‡ун‰о‚‡fl х‡‡ктеистик‡ может т‡кже быть скомпилин‡, чтобы обеспечить линейные отношениfl меж‰у некотоыми бит‡ми исхо‰но„о текст‡, некотоыми бит‡ми з‡шифнно„о текст‡ и некотоыми бит‡ми ‚ ключ‡х ‡у퉇. C (некотоые биты) = = P (некотоые биты) ⊕K1 (некотоые биты) ⊕ ... ⊕ K16 (некотоые биты)

Ат‡к‡ После н‡хож‰ениfl и сох‡нениfl мно„их отношений меж‰у некотоыми бит‡ми исхо‰но„о текст‡, бит‡ми з‡шифнно„о текст‡ и бит‡ми ключей ‡у퉇 Е‚‡ может об‡титьсfl к некотоым п‡‡м исхо‰но„о текст‡ / з‡шифнно„о текст‡ (‡т‡к‡ зн‡ниfl исхо‰но„о текст‡) и использть соот‚етст‚ующие биты из сох‡ненных х‡‡ктеистик, чтобы н‡йти биты ‚ ключ‡х ‡у퉇.

Безоп‡сность Из‚естно, что ‰лfl то„о чтобы н‡п‡сть н‡ 16-‡ун‰о‚ый DES, необхо‰имы 243 из‚естных п‡ исхо‰но„о текст‡ / з‡шифнно„о текст‡. Линейный кипто‡н‡лиз ‚ы„лfl‰ит более ‚еоflтным, чем ‰иффеенци‡льный кипто‡н‡лиз, по ‰‚ум пичин‡м. Пе‚‡fl: число ш‡„о‚ у не„о меньше. Вто‡fl: он более пост ‰лfl ‡т‡ки зн‡ниfl исхо‰но„о текст‡, чем ‰лfl ‡т‡ки с ‚ыбокой исхо‰но„о текст‡. О‰н‡ко и т‡к‡fl ‡т‡к‡ ‚се еще ‰‡лек‡ от то„о, чтобы ее сеьезно оп‡с‡тьсfl тем, кто ‡бот‡ет с DES.

694

Пиложение O

Упощенный DES (S-DES)

Пиложение О. Упощенный DES (S-DES) Упощенный DES (S-DES) ‡з‡бот‡н пофессоом Э‰у‡‰ом Ш‡ефеом (Edward Schaefer) Уни‚еситет‡ С‡нт‡-Кл‡ы и fl‚лflетсfl об‡зтельным инстументом ‰лfl помощи сту‰ент‡м пи изучении стуктуы DES — ‰лfl шифниfl и ‰ешифниfl с использнием блочных шифо‚ и ключей с небольшим количест‚ом бито‚. Чит‡тели мо„ут изуч‡ть это пиложение пее‰ чтением лекции 6.

O.1. Стукту‡ S-DES S-DES — блочный шиф, к‡к это пок‡з‡но н‡ ис. О.1.

Рис. О.1. Шифние и ‰ешифние ‚ S-DES Н‡ стооне шифниfl S-DES пиним‡ет исхо‰ный текст по 8 бито‚ и со片ет з‡шифнный текст по 8 бито‚; н‡ стооне ‰ешифниfl S-DES пиним‡ет з‡шифнный текст н‡ 8 бито‚ и со片ет 8-бито‚ый откытый текст. О‰ин и тот же ключ шиф‡ н‡ 10 бито‚ используетсfl и ‰лfl шифниfl, и ‰лfl ‰ешифниfl. Ост‡но‚имсfl н‡ шифнии, ‡ потом обсу‰им ‰ешифние. Поцесс шифниfl состоит из ‰‚ух пеест‡но‚ок (P-блоки), котоые мы н‡зы‚‡ем н‡ч‡льными и конечными пеест‡но‚к‡ми (их т‡кже н‡зы‚‡ют IP и IP-1), и ‰‚ух ‡ун‰о‚ Ф‡йстелfl. К‡ж‰ый ‡ун‰ использует ‡зличные ключи ‡у퉇 по 8 бито‚, с„енеинные от ключ‡ шиф‡ со„л‡сно з‡‡нее 燉‡нному ‡л„оитму, опис‡нному позже ‚ этом пиложении. Рисунок O.2 пок‡зы‚‡ет элементы шиф‡ SDES н‡ стооне шифниfl.

Н‡ч‡льн‡fl и конечн‡fl пеест‡но‚ки Рисунок O.3 пок‡зы‚‡ет н‡ч‡льные и конечные пеест‡но‚ки (P-блоки). ʇ扇fl из этих пеест‡но‚ок получ‡ет ‚хо‰ную инфом‡цию н‡ 8 бито‚ и пеест‡‚лflет их со„л‡сно з‡‡нее 燉‡нному п‡‚илу. Эти пеест‡но‚ки — пflмые пеест‡но‚ки, котоые ин‚есны ‰у„ ‰у„у, к‡к это было ск‡з‡но ‚ лекции 5. Эти ‰‚е пеест‡но‚ки не имеют ник‡ко„о кипто„‡фическо„о зн‡чениfl ‚ S-DES. Они ‚ключены ‚ S-DES, чтобы со‚местить их с полным DES. 695

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. O.2. Общ‡fl стукту‡ S-DES устойст‚‡ шифниfl

Рис. O.3. Н‡ч‡льн‡fl и конечн‡fl пеест‡но‚ки (IP и IP-1)

Р‡ун‰ы S-DES использует ‰‚‡ ‡у퉇. К‡ж‰ый ‡ун‰ S-DES — это шиф Ф‡йстелfl, к‡к это пок‡з‡но н‡ ис. О.4 Р‡ун‰ получ‡ет LI -1 и RI -1 от пе‰ы‰уще„о ‡у퉇 (или н‡ч‡льно„о блок‡ пеест‡но‚ки) и со片ет LI и RI , котоые поступ‡ют ‚ сле‰ующий ‡ун‰ (или конечный блок пеест‡но‚ки). К‡к мы „о‚оили ‚ лекции 5, мы можем пинflть, что к‡ж‰ый ‡ун‰ имеет ‰‚‡ элемент‡ шиф‡: смеситель и устойст‚о з‡мены. К‡ж‰ый из этих элементо‚ fl‚лflетсfl об‡тимым. Устойст‚о з‡мены, оче‚и‰но, fl‚лflетсfl об‡тимым. Оно менflет ле‚ую поло‚ину текст‡ с п‡‚ой поло‚иной. Смеситель fl‚лflетсfl об‡тимым из-з‡ опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ. Все необ‡тимые элементы соб‡ны ‚ функции f (RI -1, KI). Функциfl S-DES Осн S-DES — функциfl S-DES. Функциfl S-DES пименflет ключ н‡ 8 бито‚ к с‡мым п‡‚ым 4 бит‡м (RI –1), чтобы фомиует ‚ыхо‰ н‡ 4 бит‡. Эт‡ функ696

Пиложение O

Упощенный DES (S-DES)

Рис. O.4. Р‡ун‰ S-DES (стоон‡ шифниfl) циfl сост‡‚лен‡ из четыех секций: P-блок‡ ‡сшиениfl, отбел肇телfl, „уппы Sблоко‚ и пflмо„о P-блок‡, к‡к пок‡з‡но н‡ ис. О.4. P-блок ‡сшиениfl — RI–1 ‚хо‰ н‡ 4 бит‡, и KI — ключ н‡ 8 бито‚, т‡к что мы сн‡ч‡л‡ ‰олжны ‡сшиить RI–1 ‰о 8 бито‚. Хотfl отношениfl меж‰у ‚хо‰ом и ‚ыхо‰ом мо„ут быть опе‰елены м‡тем‡тически, S-DES использует т‡блицу, чтобы опе‰елить P-блок, к‡к это пок‡з‡но н‡ ис. О.5. Об‡тите ‚ним‡ние, что число пото‚ ‚ых — 8, но ‰и‡п‡зон зн‡чениfl — только 1-4. Некотоые из ‚хо‰о‚ и‰ут больше чем ‚ о‰ин ‚ыхо‰. Отбел肇тель (ИСКЛЮЧАЮЩЕЕ ИЛИ). После пеест‡но‚ки ‡сшиениfl S-DES используют опе‡цию ИСКЛЮЧАЮЩЕЕ ИЛИ ‰лfl сложениfl ‡сшиенной п‡‚ой секции и ключ‡ ‡у퉇. Об‡тите ‚ним‡ние, что ключи ‡у퉇 используютсfl только ‚ этой опе‡ции. S-блоки. S-блоки ‰ел‡ют е‡льное смеш肇ние (пеемеш肇ние). S-DES используют ‰‚‡ S-блок‡, к‡ж‰ый с ‚хо‰ом н‡ 4 бит‡ и ‚ы‚о‰ом н‡ 2 бит‡ (см. ис. О.6).

Рис. О.5. P-блок ‡сшиениfl 697

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. O.6. S-блоки Д‡нные по 8 бито‚ от ‚тоой опе‡ции ‡з‰елены н‡ ‰‚е ч‡сти по 4 бит‡, и к‡ж‰ый кусок петсfl ‚ с‚ой блок. Результ‡т к‡ж‰о„о блок‡ — отезок н‡ 2 бит‡; к‡ они объе‰инflютсfl, ‚ езульт‡те получ‡етсfl текст н‡ 4 бит‡. По‰ст‡но‚к‡ ‚ к‡ж‰ом блоке соот‚етст‚ует з‡‡нее опе‰еленным п‡‚ил‡м, осннным н‡ з‡писflх ‚ т‡блиц‡х 4 x 4. Комбин‡циfl ‚хо‰ных бито‚ 1 и 4 опе‰елflет о‰ну из четыех сток; комбин‡циfl бито‚ 2 и 3 опе‰елflет о‰ин из четыех столбцо‚, к‡к пок‡з‡но н‡ ис. O.6. Поскольку к‡ж‰ый S-блок имеет с‚ою собст‚енную т‡блицу, необхо‰имы ‰‚е т‡блицы, к‡к это ‚и‰но н‡ ис. О.6, чтобы опе‰елить ‚ыхо‰ этих блоко‚. Зн‡чениfl ‚хо‰о‚ (номе стоки и номе столбц‡) и зн‡чениfl ‚ыхо‰о‚ н‡ исунке ‰‡ютсfl ‚ ‚и‰е ‰есflтичных чисел, чтобы сох‡нить пост‡нст‚о. Они ‰олжны быть изменены н‡ ‰‚оичные зн‡чениfl. Пиме 0.1 Н‡ ‚хо‰ S-блок‡ 1 петсfl число 10102. К‡ким бу‰ет ‚ыхо‰? Решение Если мы з‡пишем ‚месте пе‚ый и чет‚етый биты, мы получим 10 ‚ ‰‚оичном ‚и‰е или 2 ‚ ‰есflтичном числе. Ост‡ющиесfl биты — 01 ‚ ‰‚оичном ‚и‰е, — это 1 ‚ ‰есflтичном числе. Мы ищем после‰о‚‡тельно зн‡чение 2, столбец 1, н‡ ис. 0.6 (S-блок 1). Результ‡т ‚ ‰есflтичном ‚и‰е — 2, ‡ ‚ ‰‚оичном — это 10. Т‡ким об‡зом, ‚хо‰ 10102 ‰‡ет ‚ыхо‰ 102. Пflм‡fl пеест‡но‚к‡. После‰нflfl опе‡циfl ‚ функции S-DES — пflм‡fl пеест‡но‚к‡ с ‚хо‰ом н‡ 4 бит‡ и ‚ыхо‰ом н‡ 4 бит‡. Отношениfl ‚х-‚ых ‰лfl этой опе‡ции пок‡з‡ны н‡ исунке О.7 и сле‰уют тем же общим п‡‚ил‡м, что и пе‰ы‰ущие т‡блицы пеест‡но‚ки.

Гене‡циfl ключей Гене‡то ключей ‡у퉇 со片ет ‰‚‡ ключ‡ н‡ 8 бито‚ из ключ‡ шиф‡ н‡ 10 бито‚. 698

Пиложение O

Упощенный DES (S-DES)

Рис. О.7. P-блок пflмой пеест‡но‚ки Пflм‡fl пеест‡но‚к‡ Пе‚ый поцесс — пflм‡fl пеест‡но‚к‡. Этот поцесс пеест‡‚лflет 10 бито‚ ‚ ключе со„л‡сно з‡‡нее 燉‡нной т‡блице, к‡к это пок‡з‡но н‡ ис. О.8. С‰‚и„ ‚ле‚о После пflмой пеест‡но‚ки ключ ‡з‰елflетсfl н‡ ‰‚е ч‡сти по 5 бито‚. ʇ扇fl ч‡сть с‰‚脇етсfl ‚ле‚о (циклический с‰‚и„) н‡ r бит, „‰е r — номе ‡у퉇

Рис. O.8. Гене‡то ключей 699

Кус

Кипто„‡фиfl и безоп‡сность сетей

(1 или 2). Эти ‰‚е ч‡сти з‡тем объе‰инflютсfl, чтобы сфомить мо‰уль н‡ 10 бито‚ (см. лекцию 5 ‰лfl обсуж‰ениfl опе‡ции с‰‚脇). Пеест‡но‚к‡ сж‡тиfl Пеест‡но‚к‡ сж‡тиfl (P-блок) изменflет 10 бито‚ н‡ 8 бито‚, котоые используютсfl к‡к ключ ‰лfl ‡у퉇. Т‡блиц‡ пеест‡но‚ки сж‡тиfl пок‡з‡н‡ н‡ ис. О.8. Пиме O.2 Т‡блиц‡ О 1 пи‚о‰ит ти случ‡fl „ене‡ции ключей. Т‡блиц‡ O.1

Случ‡и 2 и 3 пок‡зы‚‡ют, что ни о‰н‡ из опе‡ций, используемых ‚ поцессе „ене‡ции ключей, не эффекти‚н‡, если ключ шиф‡ состоит из ‚сех нулей или ‚сех е‰иниц. Нужно изб儇ть т‡ко„о тип‡ ключей шиф‡, к‡к уже обсу扇лось ‚ лекции 6. S-DES очень уflз‚им к ‡т‡ке „убой силы из-з‡ ‡зме‡ ключ‡ (10 бито‚).

O.2. Шиф и об‡тный шиф Используfl смесители и устойст‚‡ з‡мены, мы можем со片ть шиф и об‡тный шиф ‚ ‰‚‡ ‡у퉇. Шиф пименflетсfl н‡ стооне шифниfl; об‡тный шиф — н‡ стооне ‰ешифниfl. Чтобы с‰ел‡ть шиф и об‡тный шиф, используютсfl похожие ‡л„оитмы. Р‡ун‰ 2 имеет только смеситель и не имеет устойст‚‡ з‡мены. Это пок‡з‡но н‡ ис. O.9. Мы „о‚оили ‚ лекции 5, что смеситель с‡мооб‡тим, т‡к же к‡к и устойст‚о з‡мены. Конечные и н‡ч‡льные пеест‡но‚ки т‡кже ин‚есны ‰у„ ‰у„у. Л傇fl ч‡сть исхо‰но„о текст‡ н‡ стооне шифниfl, l0, з‡шифо‚‡н‡ к‡к L 2; L2 н‡ стооне ‰ешифниfl ‡сшифо‚‡н‡ к‡к l0. Ан‡ло„ичн‡fl ситу‡циfl — с п‡‚ой ч‡стью. 700

Пиложение O

Упощенный DES (S-DES)

Рис.O.9. S-DES шиф и об‡тный шиф Очень ‚‡жно з‡помнить, что ключи шифо‚ ‡у퉇 (K1 и K2), ‰олжны использтьсfl ‚ об‡тном поfl‰ке. Н‡ стооне шифниfl ‚ ‡ун‰е 1 пименflют K1, ‡ ‚ ‡ун‰е 2 пименflют K2; н‡ стооне ‰ешифниfl ‚ ‡ун‰е 1 нужен K2, ‡ ‚ ‡ун‰е 2 — K1. Во ‚тоом ‡ун‰е нет устойст‚‡ з‡мены. Пиме O.3 Мы ‚ыби‡ем случ‡йный блок исхо‰но„о текст‡ и случ‡йный ключ. Опе‰елflем, к‡кой блок з‡шифнно„о текст‡ получитсfl, если Исхо‰ный текст: 11110010

Ключ:1011100110 З‡шифнный текст: 11101011 701

Кус

Кипто„‡фиfl и безоп‡сность сетей

Посмотим езульт‡т к‡ж‰о„о ‡у퉇 и текст‡, со片нно„о ‰о и после ‡ун‰о‚. Т‡блиц‡ O.2 пок‡зы‚‡ет езульт‡т ш‡„о‚ пее‰ н‡ч‡лом ‡у퉇. Исхо‰ный текст похо‰ит н‡ч‡льную пеест‡но‚ку, чтобы со片ть ‡зличные 8 бито‚. После это„о ш‡„‡ текст ‡збит н‡ ‰‚‡ ч‡сти, L0 и R0. Т‡блиц‡ пок‡зы‚‡ет езульт‡ты ‰‚ух ‡ун‰о‚, котоые ‚ключ‡ют смеш肇ние и з‡полнение (исключ‡fl ‚тоой ‡ун‰). Результ‡ты после‰них ‡ун‰о‚ (L2 и R2) объе‰инены. Н‡конец, текст похо‰ит конечную пеест‡но‚ку, чтобы получить з‡шифнный текст. Т‡блиц‡ O.2

Стоит упомflнуть з‰есь некотоые ‚‡жные положениfl. Сн‡ч‡л‡ п‡‚‡fl ч‡сть к‡ж‰о„о ‡у퉇 — т‡ же с‡м‡fl, что и л傇fl секциfl из сле‰ующе„о ‡у퉇. Пичины ‚ том, что п‡‚‡fl ч‡сть похо‰ит смеситель без изменениfl, но устойст‚о з‡мены пеемещ‡ет ее ле‚ую ч‡сть. Н‡пиме, R1 похо‰ит чеез смеситель ‚тоо„о ‡у퉇 без изменениfl, но з‡тем эт‡ ч‡сть ст‡но‚итсfl L2 из-з‡ устойст‚‡ з‡мены. Интеесно то, что эт‡ точк‡ не имеет устойст‚‡ з‡мены ‚ после‰нем ‡ун‰е. Поэтому R1, ст‡но‚итсfl R2 ‚место то„о чтобы ст‡ть L2. Из-з‡ м‡ло„о количест‚‡ ‡ун‰о‚ S-DES более уflз‚им к кипто‡н‡лизу, чем DES.

702

Пиложение P

Упощенный AES (S-AES)

Пиложение P. Упощенный AES (S-AES) P.1. Стукту‡ S-AES Упощенный AES (S-AES), ‡з‡бот‡н пофессоом Э‰‚‡‰ом Ш‡ефеом (Edward Schaefer) ‚ Уни‚еситете С‡нт‡-Кл‡ы, fl‚лflетсfl об‡зтельным инстументом и пе‰н‡зн‡чен помочь сту‰ент‡м изуч‡ть стуктуу AES с использнием меньших блоко‚ и ключей. Чит‡тели мо„ут изучить это пиложение пее‰ чтением лекции 7.

Рис. P.1 Шиф‡циfl и ‰ешиф‡циfl ‚ S-AES Н‡ стооне шифниfl S-AES получ‡ют исхо‰ный текст н‡ 16 бито‚ и со片ют з‡шифнный текст н‡ 16 бито‚; н‡ стооне ‰ешиф‡ции S-AES получ‡ют з‡шифнный текст н‡ 16 бито‚ и со片ют исхо‰ный текст н‡ 16 бито‚. Ключ шиф‡ н‡ 6 бито‚ используетсfl и ‰лfl шифниfl, и ‰лfl ‰ешифниfl.

Р‡ун‰ы S-AES —шиф не-Ф‡йстелfl, котоый з‡шифо‚ы‚‡ет и ‡сшифо‚ы‚‡ет блок ‰‡нных ‚ 16 бито‚. Он использует п剂‡ительный ‡ун‰ пеоб‡зниfl и ‰‚‡ ‡у퉇. Ключ шиф‡ — т‡кже 16 бито‚. Рисунок P.2 пок‡зы‚‡ет общий ‚и‰ ‰лfl ‡л„оитм‡ шифниfl (н‡зы‚‡емо„о «шиф») и ‡л„оитм‡ ‰ешифниfl (н‡зы‚‡емо„о «об‡тный шиф»). Они со‚‡ют, но ключи ‡у퉇 пименflютсfl ‚ об‡тном поfl‰ке. Н‡ исунке P.2 ключи ‡у퉇, котоые со片ны ‡л„оитмом ‡сшиениfl ключей, ‚с儉‡ со‰еж‡т 16 бит, — они т‡ко„о же ‡зме‡, к‡к и блок з‡шифнно„о текст‡ или исхо‰ный текст. В S-AES есть ти ключ‡ ‡у퉇 — K0, K1 и K2.

Мо‰ули ‰‡нных Длfl пе‰ст‡‚лениfl ‰‡нных S-AES, к‡к пок‡з‡но н‡ ис. P.3, используют пflть мо‰улей измеениfl: биты, полуб‡йты, сл, блоки и состоflниfl. 703

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. P.2. Общий ‚и‰ блок‡ шифниfl S-AES

Рис. P.3. Блоки ‰‡нных используемых ‚ S-AES Бит В S-AES бит — ‰‚оичн‡fl циф‡, кото‡fl пиним‡ет зн‡чение либо 0, либо 1. Длfl обозн‡чениfl бит‡ мы бу‰ем пименflть л‡тинскую бук‚у b. Полуб‡йт Полуб‡йт — „упп‡ из 4 бито‚, кото‡fl может быть об‡бот‡н‡ к‡к о‰ин объект, м‡тиц‡-сток‡ н‡ 4 бит‡ или м‡тиц‡-столбец н‡ 4 бит‡. К‡ полуб‡йт об‡б‡ты‚‡етсfl к‡к м‡тиц‡-сток‡, биты ‡спо뇄‡ютсfl ‚ м‡тице сл傇 н‡п‡‚о; к‡ полуб‡йт об‡б‡ты‚‡етсfl к‡к м‡тиц‡-столбец, биты ‡спо뇄‡ютсfl ‚ м‡тице с‚еху ‚низ. Чтобы обозн‡чить полуб‡йт, мы используем сточную полужиную бук‚у n. Об‡тите ‚ним‡ние, что полуб‡йт — ф‡ктически о‰н‡ шест퇉ц‡теичн‡fl циф‡. Сло‚о Сло‚о — „упп‡ 8 бито‚, кото‡fl может быть об‡бот‡н‡ к‡к о‰ин объект: м‡тиц-сток‡ из ‰‚ух полуб‡йт или м‡тиц‡-столбец из ‰‚ух полуб‡йт. К‡ 704

Пиложение P

Упощенный AES (S-AES)

сло‚о об‡б‡ты‚‡етсfl к‡к м‡тиц‡-сток‡, полуб‡йты ‡спо뇄‡ютсfl ‚ м‡тице сл傇 н‡п‡‚о; к‡ сло‚о ‡ссм‡т肇етсfl к‡к м‡тиц‡-столбец, полуб‡йты ‡спо뇄‡ютсfl ‚ м‡тице с‚еху ‚низ. Чтобы обозн‡чить сло‚о, мы пименflем сточную полужиную бук‚у w. Блок S-AES шифует и ‡сшифо‚ы‚‡ет блоки ‰‡нных. Блок ‚ S-AES – „упп‡ из 16 бито‚. О‰н‡ко блок может быть пе‰ст‡‚лен к‡к м‡тиц‡-сток‡ из 4 полуб‡йто‚. Состоflние В S-AES блок ‰‡нных н‡зы‚‡етсfl т‡кже состоflнием. Мы используем полужиную 燄뇂ную бук‚у S, чтобы обозн‡чить состоflние. Состоflниfl, по‰обно блок‡м, состоflт из 16 бито‚, но обычно они об‡б‡ты‚‡ютсfl к‡к м‡тицы по 4 полуб‡йт‡. В этом случ‡е к‡ж‰ый элемент состоflниfl обозн‡ч‡етсfl к‡к sr,c, „‰е r (0 или 1) опе‰елflет стоку и c (0 или 1) опе‰елflет столбец. В н‡ч‡ле шиф‡ полуб‡йты ‚ блоке ‰‡нных состоflниfl ‡спо뇄‡ютсfl столбец з‡ столбцом и ‚ к‡ж‰ом столбце с‚еху ‚низ. В конце шиф‡ полуб‡йты состоflниfl из‚лек‡ютсfl тем же способом, к‡к пок‡з‡но н‡ ис. P.4.

Рис. P.4. Пеоб‡зниfl «Блок – состоflние» и «состоflние – блок» Пиме P.1 Д‡‚‡йте посмотим, к‡к можно блок ‚ 16 бито‚ пе‰ст‡‚ить к‡к м‡тицу 2 × 2. Пусть тексто‚ый блок имеет ‚и‰ 1011 0111 1001 0110. Сн‡ч‡л‡ мы пе‰ст‡‚им блок к‡к 4 полуб‡йт‡. З‡тем з‡полнflем м‡тицу состоflний, «столбец з‡ столбцом», к‡к это пок‡з‡но н‡ ис. P.5.

Стукту‡ к‡ж‰о„о ‡у퉇 Рисунок P.6 пок‡зы‚‡ет, что к‡ж‰ое пеоб‡зние получ‡ет состоflние и со片ет ‰у„ое состоflние, котоое используетсfl ‰лfl сле‰ующе„о пеоб‡зниfl 705

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. P.5. Изменение шифнно„о текст‡ ‚ состоflние или сле‰ующе„о ‡у퉇. Секциfl п剂‡ительно„о пеоб‡зниfl (пее‰ ‡ун‰ом) пименflет о‰но пеоб‡зние (AddRoundKey); после‰ний ‡ун‰ использует только ти пеоб‡зниfl (пеоб‡зние MixColumns отсутст‚ует).

Рис. P.6. Стукту‡ к‡ж‰о„о ‡у퉇 н‡ стооне шифниfl Н‡ стооне ‰ешифниfl используютсfl: об‡тные пеоб‡зниfl InvSubNibbles, InvShiftRows, InvMixColumns и AddRoundKey (этот поцесс fl‚лflетсfl с‡мооб‡тимым).

P.2. Пеоб‡зниfl Чтобы обеспечить безоп‡сность, S-AES пименflют четые тип‡ пеоб‡зний: по‰ст‡но‚к‡, пеест‡но‚к‡, смеш肇ние и сложение ключ‡. Ниже мы обсу‰им к‡ж‰ое из них. 706

Пиложение P

Упощенный AES (S-AES)

По‰ст‡но‚к‡ По‰ст‡но‚к‡ с‰ел‡н‡ ‰лfl к‡ж‰о„о полуб‡йт‡ (мо‰уль ‰‡нных н‡ 4 бит‡). Длfl пеоб‡зний к‡ж‰о„о полуб‡йт‡ используетсfl только о‰н‡ т‡блиц‡, что озн‡ч‡ет, что если ‰‚‡ полуб‡йт‡ о‰ин‡ко‚ые, то и езульт‡т пеоб‡зниfl о‰ин‡ко‚ый. В этом пиложении пеоб‡зние опе‰елено поцессом поиск‡ т‡блицы. По‰полуб‡йты Пе‚ое пеоб‡зние, SubNibbles, пименflетсfl н‡ стооне шифниfl. Длfl то„о чтобы з‡менflть полуб‡йты, мы интепетиуем к‡ж‰ый полуб‡йт к‡к 4 бит‡. Ле‚ые 2 бит‡ опе‰елflют стоку, ‡ п‡‚ые 2 бит‡ опе‰елflют столбец т‡блицы по‰ст‡но‚ки. Шест퇉ц‡теичн‡fl циф‡ ‚ пеесечении стоки и столбц‡ — но‚ый полуб‡йт. Рисунок P.7 пок‡зы‚‡ет и‰ею.

Рис. P.7. Пеоб‡зние SubNibble В пеоб‡знии SubNibbles состоflниfl об‡б‡ты‚‡ютсfl к‡к м‡тицы полуб‡йто‚ 2 × 2. Пеоб‡зние осущест‚лflетсfl с о‰ним полуб‡йтом о‰но‚еменно. Со‰еж‡ние к‡ж‰о„о полуб‡йт‡ изменflетсfl, но поfl‰ок полуб‡йто‚ ‚ м‡тице ост‡етсfl тем же с‡мым. В поцессе об‡ботки к‡ж‰ый полуб‡йт пеоб‡зуетсfl не燂исимо: есть четые ‡зличных пеоб‡зниfl от полуб‡йт‡ к полуб‡йту. SubNibbles со‰ежит четые не燂исимых пеоб‡зниfl от полуб‡йт‡ к полуб‡йту. Рисунок P.7 т‡кже пок‡зы‚‡ет т‡блицы по‰ст‡но‚ки (S-блоки) ‰лfl пеоб‡зниfl SubNibbles. Пеоб‡зние SubNibbles обеспеч肇ет эффект пеемеш肇ниfl. Н‡пиме, ‰‚‡ полуб‡йт‡, A16 и B16, котоые отлич‡ютсfl только о‰ним битом (с‡мый п‡‚ый бит), пеоб‡зны к 016 и 316, котоые отлич‡ютсfl ‰‚умfl бит‡ми. InvSubNibbles InvSubNibbles – ин‚есиfl пеоб‡зниfl SubNibbles. Н‡ ис. P.7 т‡кже пок‡з‡но об‡тное пеоб‡зние. Мы можем ле„ко по‚еить, что эти ‰‚‡ пеоб‡зниfl ин‚есны ‰у„ ‰у„у. 707

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пиме P.2 Рисунок P.8 пок‡зы‚‡ет, к‡к пеоб‡зно состоflние, пименflющее пеоб‡зние SubNibbles. Н‡ исунке т‡кже пок‡з‡но пеоб‡зние InvSubNibbles, котоое со片ет пе‚он‡ч‡льное состоflние. Об‡тите ‚ним‡ние, что если ‰‚‡ полуб‡йт‡ имеют о‰ин‡ко‚ые зн‡чениfl, ‚ езульт‡те их пеоб‡зниfl получ‡етсfl о‰ин‡ко‚ое зн‡чение — поскольку к‡ж‰ый полуб‡йт использует о‰ну и ту же т‡блицу.

Рис. P.8 Пеоб‡зние SubNibbles

Пеест‡но‚к‡ Ду„ое пеоб‡зние, котоое по‚о‰итсfl ‚ ‡ун‰е, — с‰‚и„, пеест‡‚лflющий полуб‡йты. Пеоб‡зние с‰‚脇 ‚ S-AES ‰ел‡етсfl н‡ уо‚не полуб‡йт‡; поfl‰ок сле‰о‚‡ниfl бито‚ ‚ полуб‡йте не изменflетсfl. ShiftRows Пеоб‡зние пи шифнии, н‡зы‚‡емое ShiftRows, с‰‚脇ет биты стоки ‚ле‚о. Число с‰‚и„о‚ з‡‚исит от номе‡ стоки (0, 1) ‚ м‡тице состоflний. Это озн‡ч‡ет, что сток‡ 0 не с‰‚脇етсfl ‚ообще, ‡ сток‡ 1 с‰‚脇етсfl н‡ 1 полуб‡йт. Рисунок P.9 пок‡зы‚‡ет пеоб‡зние с‰‚脇. Об‡тите ‚ним‡ние, что ShiftRows-пеоб‡зние ‡бот‡ет о‰но‚еменно только с о‰ной стокой.

Рис. P.9. Пеоб‡зние ShiftRows InvShiftRows Пи ‰ешифнии пеоб‡зние н‡зы‚‡етсfl InvShiftRows и поиз‚о‰ит с‰‚и„ ‚п‡‚о. Число с‰‚и„о‚ ‡‚но номеу стоки ‚ м‡тице состоflний (0, 1). Пеоб‡зниfl ShiftRows и InvShiftRows ин‚есны ‰у„ ‰у„у. 708

Пиложение P

Упощенный AES (S-AES)

Пиме P.3 Рисунок P.10 пок‡зы‚‡ет, к‡к пеоб‡зуетсfl состоflние с использнием ShiftRows. Рисунок т‡кже пок‡зы‚‡ет к‡к пеоб‡зние InvShiftRow со片ет пе‚он‡ч‡льное состоflние.

Рис. P.10. Пеоб‡зние ShiftRows ‚ пимее P.3

Смеш肇ние По‰ст‡но‚к‡ обеспеч肇ет пеоб‡зние SubNibbles и изменflет зн‡чение полуб‡йт‡ исхо‰fl только из пе‚он‡ч‡льно„о зн‡чениfl полуб‡йт‡ и ‚х ‚ т‡блицу; поцесс не ‚ключ‡ет сосе‰ние полуб‡йты. Мы можем ск‡з‡ть, что пеоб‡зние SubNibbles поисхо‰ит ‚нути полуб‡йт‡. Пеест‡но‚к‡, обеспеченн‡fl ShiftRows-пеоб‡знием, обмен肇ет полуб‡йты, не пеест‡‚лflfl биты ‚ б‡йт‡х. Мы можем ск‡з‡ть, что ShiftRows — пеоб‡зние обмен‡ полуб‡йт‡ми. Н‡м нужно т‡кже пеоб‡зние меж‰у полуб‡йт‡ми, котоое изменflет биты ‚ полуб‡йте, учиты‚‡fl биты ‚ сосе‰них полуб‡йт‡х. Мы ‰олжны смеш‡ть полуб‡йты, чтобы обеспечить ‡ссе肇ние н‡ побито‚ом уо‚не. Смеш肇ющеесfl пеоб‡зние изменflет со‰еж‡ние к‡ж‰о„о полуб‡йт‡, используfl 2 полуб‡йт‡ о‰но‚еменно и объе‰инflfl их, чтобы со片ть 2 но‚ых полуб‡йт‡. Чтобы „‡‡нтить, что к‡ж‰ый но‚ый полуб‡йт отлич‡етсfl от ‰у„их (‰‡же если ст‡ые полуб‡йты о‰ин‡ко‚ы), комбин‡циfl сн‡ч‡л‡ умнож‡ет к‡ж‰ый полуб‡йт н‡ ‡зличную конст‡нту, ‡ з‡тем смеш肇ет их. Смеш肇ние может быть обеспечено м‡тичным умножением. К‡к мы обсу扇ли ‚ лекции 2, к‡ мы умнож‡ем ꂇ‰‡тную м‡тицу н‡ м‡тицу-столбец, езульт‡т — нfl м‡тиц‡столбец. К‡ж‰ый элемент ‚ но‚ой м‡тице 燂исит от ‰‚ух элементо‚ ст‡ой м‡тицы после то„о, к‡к они умножены н‡ зн‡чение стоки ‚ м‡тице конст‡нт. MixColumns Пеоб‡зние MixColumns ‡бот‡ет н‡ уо‚не столбц‡; оно пеоб‡зо‚ы‚‡ет к‡ж‰ый столбец состоflниfl ‚ но‚ый столбец. Пеоб‡зние — ф‡ктически м‡тичное умножение столбц‡ состоflниfl н‡ к‚‡‰‡тную м‡тицу конст‡нт. Полуб‡йты ‚ столбце состоflний и ‚ м‡тице конст‡нт интепетиуютсfl к‡к сл по 4 бит‡ (или полиномы) с коэффициент‡ми ‚ GF(2). Умножение б‡йто‚ ‰ел‡етсfl ‚ GF(24) по мо‰улю (x4 + x + 1) или (10011). Сложение — это опе‡циfl ИСКЛЮЧАЮЩЕЕ ИЛИ н‡ 4 бит‡. Рисунок P.11 пок‡зы‚‡ет пеоб‡зние MixColumns. 709

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. P.11 Пеоб‡зние MixColumn InvMixColumns InvMixColumns-пеоб‡зние — ‚ осно‚ном т‡кое же, к‡к пеоб‡зние MixColumns. Если ‰‚е м‡тицы конст‡нт ин‚есны ‰у„ ‰у„у, то несложно ‰ок‡з‡ть, что эти ‰‚‡ пеоб‡зниfl ин‚есны ‰у„ ‰у„у. MixColumns- и InvMixColumns-пеоб‡зниfl ин‚есны ‰у„ ‰у„у. Рисунок P.12 пок‡зы‚‡ет, к‡к пеоб‡зуетсfl состоflние, используfl пеоб‡зние MixColumns. Мы т‡кже ‚и‰им з‰есь, что пеоб‡зние InvMixColumns со片ет пе‚он‡ч‡льный текст.

Рис. P.12. Пеоб‡зние Mix Column ‚ пимее 7.5. Об‡тите ‚ним‡ние, что ‡‚ные б‡йты ‚ ст‡ом состоflнии не‡‚ны ‚ но‚ом состоflнии. Н‡пиме, ‰‚‡ б‡йт‡ F ‚о ‚тоой стоке изменены н‡ 4 и A.

Дополнение ключ‡ Веоflтно, с‡мое ‚‡жное пеоб‡зние — это то, котоое ‚ключ‡ет ключ шиф‡. Все пе‰ы‰ущие пеоб‡зниfl используют из‚естные ‡л„оитмы, котоые fl‚лflютсfl об‡тимыми. Если ключ шиф‡ не ‰оᇂлflетсfl к состоflнию ‚ к‡ж‰ом ‡ун‰е, ‰лfl поти‚ник‡ очень посто н‡йти исхо‰ный текст, учиты‚‡fl з‡шифнный текст. В этом случ‡е ключ шиф‡ — е‰инст‚енн‡fl „‡‡нтиfl безоп‡сности меж‰у Алисой и Бобом. S-AES использует поцесс, н‡зы‚‡емый ‡сшиением ключ‡ (он бу‰ет ‡ссмотен позже ‚ этом пиложении), котоый из ключ‡ шиф‡ со片ет ти ключ‡ ‡у퉇. К‡ж‰ые ключ ‡у퉇 имеет ‰лину 16 бито‚ – он пименflетсfl к‡к ‰‚‡ сл по 8 бито‚. Пи ‰ополнении ключ‡ и состоflниflк‡ж‰ое сло‚о ‡ссм‡т肇ют к‡к м‡тицу-столбец. 710

Пиложение P

Упощенный AES (S-AES)

AddRoundKey AddRoimdKey об‡б‡ты‚‡ет о‰ин столбец о‰но‚еменно. Это пеоб‡зние похоже н‡ MixColumns. MixColumns умнож‡ет ꂇ‰‡тную м‡тицу конст‡нт н‡ к‡ж‰ый столбец состоflний. AddRoundKey ск뇉ы‚‡ет сло‚о ключ‡ ‡у퉇 с к‡ж‰ой м‡тицей-столбцом состоflний. Опе‡ции ‚ MixColumns — м‡тичное умножение; опе‡ции ‚ AddRoundKey — м‡тичное сложение. Сложение ‚ыполнено ‚ поле GF(24). Поскольку сложение и ‚ычит‡ние ‚ этом поле о‰ин‡ко‚ы, пеоб‡зние AddRoundKey с‡ мо ин ‚ес но. Ри су нок P.13 по к‡ зы ‚‡ ет пе об ‡ зо ‚‡ ние AddRoundKey. Пеоб‡зние AddRoundKey с‡моин‚есно.

Рис. P.13. Пеоб‡зние AddRoundKey

P.3. Р‡сшиение ключ‡ Поце‰у‡ ‡сшиениfl ключ‡ со片ет ти ключ‡ ‡у퉇 по 16 бито‚ из е‰инст‚енно„о ключ‡ шиф‡ н‡ 16 бито‚. Пе‚ые ключи ‡у퉇 используютсfl ‰лfl п剂‡ительно„о пеоб‡зниfl (AddRoundKey); ост‡‚шиесfl ключи пименflютсfl ‰лfl после‰не„о пеоб‡зниfl (AddRoundKey) ‚ конце ‡у퉇 1 и ‡у퉇 2. Поце‰у‡ ‡сшиениfl ключей со片ет сло‚о ключ‡ ‡у퉇 после‰о‚‡тельно – сло‚о з‡ сло‚ом, „‰е сло‚о — м‡сси‚ 2 полуб‡йт‡. Поце‰у‡ со片ет 6 сло‚, котоые обозн‡ч‡ютсfl w0, w1, w2, …..,w5.

Со片ние сло‚ ‚ S-AES Рисунок P.14 пок‡зы‚‡ет, к‡к со片ютсfl 6 сло‚ из пе‚он‡ч‡льно„о ключ‡. Поцесс со片ниfl сло‚ ‚ S-AES сле‰ующий: 1. Пе‚ые ‰‚‡ сл (w0, w 1) со片ютсfl из ключ‡ шиф‡. Ключи шиф‡ пе‰ст‡‚лflют к‡к м‡сси‚ из 4 полуб‡йто‚ (n0 – n3). Пе‚ые 2 полуб‡йт‡ (n0, n1) об‡зуют сло‚о w0; сле‰ующие 2 полуб‡йт‡ (n2, n3) об‡зуют сло‚о w1. Ду„ими слми, конк‡тен‡циfl сло‚ ‚ этой „уппе копиует ключ шиф‡. 2. Ост‡льн‡fl ч‡сть сло‚ (wi i = 2 – 5) со片етсfl сле‰ующим об‡зом. ‡. Если (i mod 2) = 0, wi = ti ⊕wi-2. З‰есь ti — ‚еменное сло‚о, fl‚лflетсfl езульт‡том пименениfl к wi ‰‚ух поце‰у: SubWord и RotWord опе‡ции 711

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. P.14 Со片ние сло‚ ‚ S-AES ИСКЛЮЧАЮЩЕЕ ИЛИ к езульт‡ту с конст‡нтой ‡у퉇 Rcon[Nr], „‰е Nr — номе ‡у퉇. Ду„ими слми, мы имеем ti = SubWord(RotWord (wi-1)) ⊕ RCon [Nr] Сл w2 и w4 со片ютсfl, используfl этот поцесс. б. Если (i mod 2) ≠ 0, wi = wi-1 ⊕ wi-2. Н‡ исунке P.14 это озн‡ч‡ет, что к‡ж‰ое сло‚о со片етсfl от сл сл傇 и сл с‚еху. Сл w3 и w5 со片ютсfl, используfl этот поцесс. RotWord RotWord (‚‡щение сл) — поце‰у‡, по‰обн‡fl пеоб‡знию ShiftRows, но он‡ пименflетсfl только к о‰ной стоке. Поце‰у‡ получ‡ет сло‚о к‡к м‡сси‚ 2 полуб‡йто‚ и с‰‚脇ет к‡ж‰ый полуб‡йт ‚ле‚о с полным ‚‡щением (полный обоот) сл. В S-AES это з‡полнение 2 полуб‡йто‚ ‚ сло‚е. SubWord SubWord (сло‚о-з‡менитель) – поце‰у‡ fl‚лflетсfl по‰обной пеоб‡знию SubNibbels, но он‡ пименflетсfl только к 2 полуб‡йт‡м. Поце‰у‡ беет к‡ж‰ый полуб‡йт ‚ сло‚е и з‡менflет е„о ‰у„им полуб‡йтом. Он‡ пименflет т‡блицы SubNibbels, пок‡з‡нные н‡ ис. P.7. 712

Пиложение P

Упощенный AES (S-AES)

Конст‡нты ‡у퉇 ʇ扇fl конст‡нт‡ ‡у퉇, RC, fl‚лflетсfl зн‡чением, со‰еж‡щим 2 полуб‡йт‡, ‚ котоом с‡мый п‡‚ый полуб‡йт ‚с儉‡ нуль. Рисунок P.14 т‡кже пок‡зы‚‡ет зн‡чение RC Пиме P.4 Т‡блиц‡ P.1 пок‡зы‚‡ет, к‡к ‚ычислflетсfl ключ ‰лfl к‡ж‰о„о ‡у퉇. Пи этом пе‰по뇄‡етсfl, что Алис‡ и Боб со„л‡сли ключ 247516. Т‡блиц‡ P.1. Пиме ‡сшиениfl ключ‡ Р‡ун‰ Зн‡чение ti Пе‚ое сло‚о ‚ ‡ун‰е Втоое сло‚о ‚ ‡ун‰е Ключ ‡у퉇 0

w0 = 24

w1 = 75

K0 = 2475

1

t2 = 95

w2 = 95 ⊕ 24 = B1

w2 = B1⊕ 75 = С4

K0 = B1C4

2

t4 = EC

w4 = B1⊕ EC = 5D

W5 = 5D ⊕ С4 = 99

K2 = 5D99

В к‡ж‰ом ‡ун‰е ‚тоое сло‚о ‚ычислflетсfl очень посто. Длfl ‚ычислениfl пе‚о„о сл мы ‰олжны сн‡ч‡л‡ ‚ычислить зн‡чение ‚еменно„о сл (ti), к‡к это пок‡з‡но ниже: RotWord (75) = 57 → SubWord (57) = 15 → t2 = 15 ⊕ RC[1] = 15 ⊕ 80 = 95 RotWord (C4) = 4C → SubWord (4C) =DC → t4 = DC ⊕ RC [2] = DC ⊕ 30 = EC

P.4. Шифы Тепеь ‰‡‚‡йте посмотим, к‡к S-AES используют четые тип‡ пеоб‡зний ‰лfl шифниfl и ‰ешифниfl. Ал„оитм шифниfl бу‰ем н‡зы‚‡ть шиф‡то, ‡ ‡л„оитм ‰ешифниfl — об‡тный шиф‡то. S-AES — шиф не-Ф‡йстелfl, и это озн‡ч‡ет, что к‡ж‰ое пеоб‡зние или „упп‡ пеоб‡зний ‰олжны быть об‡тимыми. Коме то„о, шиф‡то и об‡тный шиф‡то ‰олжны пименflть эти опе‡ции т‡ким способом, пи котоом они отменflют ‰у„ ‰у„‡. Ключи ‡у퉇 ‰олжны использтьсfl ‚ об‡тном поfl‰ке. Чтобы ‚ыполнить эти тебниfl, пеоб‡зниfl пименflютсfl ‚ уст‡но‚ленном поfl‰ке ‚ шиф‡тое и об‡тном шиф‡тое, к‡к это пок‡з‡но н‡ ис. P.15. Пе‚ое: поfl‰ок использниfl SubNibbles и ShiftRows изменflетсfl ‚ об‡тном шиф‡тое. Втоое: поfl‰ок MixColumns и AddRoundKey ‚ об‡тном шиф‡тое т‡кже изменflетсfl. Это отличие ‚ поfl‰ке необхо‰имо, чтобы с‰ел‡ть к‡ж‰ое пеоб‡зние ‚ шифе соот‚етст‚ующим по поfl‰ку е„о ин‚есии ‚ об‡тном шиф‡тое. Сле‰о‚‡тельно, ‡л„оитм ‰ешифниfl ‚ целом — ин‚есиfl ‡л„оитм‡ шифниfl. Об‡тите ‚ним‡ние, что ключи ‡у퉇 используютсfl ‚ об‡тном поfl‰ке. Пиме P.5 713

Кус

Кипто„‡фиfl и безоп‡сность сетей

Рис. P.15. Шиф‡то и об‡тный шиф‡то исхо‰но„о поект‡ Мы ‚ыби‡ем случ‡йный блок исхо‰но„о текст‡, ключ шиф‡, пименflемо„о ‚ пимее P.4, и опе‰елflем, к‡кой получ‡етсfl блок з‡шифнно„о текст‡:

Исхо‰ный текст: 1A2316 Ключ: 247516 З‡шифнный текст: 3AD216 Рисунок P.16 пок‡зы‚‡ет зн‡чение состоflний ‚ к‡ж‰ом ‡ун‰е. Мы используем ключи ‡у퉇, с„енеинные ‚ пимее P.4. 714

Пиложение Q

Некотоые ‰ок‡з‡тельст‚‡

Пиложение Q. Некотоые ‰ок‡з‡тельст‚‡ Это пиложение со‰ежит некотоые ‰ок‡з‡тельст‚‡ ‰лfl теоем, используемых ‚ лекциflх 2 и 9. Почти ‚се они кооткие и нефом‡льные. Они ‡ссчит‡ны н‡ сту‰енто‚, изуч‡ющих кус кипто„‡фии. Чит‡тель, з‡интееснный ‚ более ‰ет‡льном изучении, может пополнить с‚ои зн‡ниfl из кни„, пос‚flщенных теоии чисел.

Q.1. Лекциfl 2 Эт‡ лекциfl со‰ежит некотоые ‰ок‡з‡тельст‚‡ теоем по теоии ‰елимости, е‚кли‰о‚ых ‡л„оитмо‚ и с‡‚нений.

Теоиfl ‰елимости Ниже — ‰ок‡з‡тельст‚‡ нескольких теоем по теоии ‰елимости. Теоем‡ Q.I: У‡‚нение ‰елениfl (‡л„оитм) Длfl цело„о числ‡ a и b, „‰е b > 0, сущест‚уют целые числ‡ q и r, т‡кие, что a = q × b + r. Док‡з‡тельст‚о: Р‡ссмотим ‡ифметическую по„ессию ‚ фоме …, -3 × b, -2 × b, - 1 × b, 0 × b, 1 × b, 2 × b, 3 × b, … Оче‚и‰но, что целое число или fl‚лflетсfl ‡‚ным о‰ному из члено‚ этой по„ессии, или н‡хо‰итсfl меж‰у ‰‚умfl после‰о‚‡тельными член‡ми. Ду„ими слми, a = q × b + r, „‰е q × b – член ‚ ‚ышеупомflнутой по„ессии и r — смещение от это„о член‡. Теоем‡ Q.2. Если a | 1, т‡ a = ±1. Док‡з‡тельст‚о: a | 1 →.1 = a × x, „‰е x — целое число. Это озн‡ч‡ет: (x = 1 и a = 1) или (x = –1 и a = –1). Поэтому: a = ±l. Теоем‡ Q.3. Если a | b и b | a, т‡ a= ±b. Док‡з‡тельст‚о: a | b→ b = x × a, „‰е x — целое число. b | a → = y × b, „‰е y — целое число. 715

Кус

Кипто„‡фиfl и безоп‡сность сетей

Мы имеем a = y × (x × a) = (y × x) × a. → y × x = 1. Это озн‡ч‡ет: (x = 1 и y = 1) или (x = –1 и y = –I). Поэтому: a = y × b → ± b. Теоем‡ Q.4. Если a | b и b | c, т‡ a | c. Док‡з‡тельст‚о: a | b → b= x × a, „‰е X — целое число. b | c→ c = y × b, „‰е — y целое число. Мы имеем c = y × (x × a) = (y × x ) × a. Поэтому a | c. Теоем‡ Q.5. Если a | b и a | c, т‡ a | (b + c). Док‡з‡тельст‚о: a | b → b = x × a, „‰е x — целое число. a | c → c = y × a, „‰е y — целое число. Мы имеем b + c = (x + y) × a. Поэтому a| (b + c). Теоем‡ Q.6. Если a | b и a | c, т‡ a |(m × b + n × c), „‰е m и n — поиз‚ольные целые числ‡. Док‡з‡тельст‚о: a | b → b = x × a, „‰е x — целое число. a | c → c = y × a, „‰е y — целое число. Мы имеем (m × b + n × c) = m × (x × a) + n × x (y × a)= (m × x+n × y) × a. Поэтому a | (m × b + n × c).

Е‚кли‰о‚ы ‡л„оитмы Мы использли е‚кли‰о‚ и ‡сшиенный е‚кли‰о‚ ‡л„оитмы ‚ лекции 2. Ниже ‰‡ны ‰ок‡з‡тельст‚‡ ‰‚ух теоем, с‚flз‡нных с этими ‡л„оитм‡ми. Теоем‡ Q.7. Если a = b × q + r (r — ост‡ток от ‰елениfl a н‡ b), то НОД (a, b) = НОД (b, r). Док‡з‡тельст‚о Пе‰положим, что E — н‡бо ‚сех общих ‰елителей a и b. К‡ж‰ый элемент E ‰елит a и b, поэтому он ‰елит r = a – b × q. Это озн‡ч‡ет, что E — н‡бо ‚сех общих ‰елителей a, b, и r. Пе‰положим, что F — н‡бо ‚сех общих ‰елителей b и r. К‡ж‰ый элемент F ‰елит b и r; поэтому ‰елит a = b × q + r. Это озн‡ч‡ет, что F — н‡бо ‚сех общих ‰елителей a, b и r. 716

Пиложение Q

Некотоые ‰ок‡з‡тельст‚‡

Это озн‡ч‡ет, что E = F → a, b и r имеют о‰ин‡ко‚ый н‡бо общих ‰елителей. Поэтому НОД (a, b) = НОД (b, r). К‡к мы ‚и‰ели ‚ лекции 2, эт‡ теоем‡ — оснние е‚кли‰о‚о„о ‡л„оитм‡ ‰лfl н‡хож‰ениfl н‡ибольше„о обще„о ‰елителfl ‰‚ух целых чисел. Теоем‡ Q.8. Если a и b — целые числ‡ и об‡ не ‡‚ны нулю, то сущест‚уют целые числ‡ x и y, т‡кие, что НОД (a, b) = x × a + y × b. Док‡з‡тельст‚о: Пе‰положим, что D — н‡бо ‚сех зн‡чений (x × a +y× b), ‡ d есть н‡именьшее зн‡чение, отличное от нулfl. Мы можем з‡пис‡ть a= q × d + r → r= a – q × d=(1 – q × x)a + (–q × y) b, „‰е 0 ≤ r < d. Это по‰‡зум傇ет, что r ‚хо‰ит ‚ D. Но поскольку r
С‡‚нение Ниже ‰‡ютсfl ‰ок‡з‡тельст‚‡ некотоых теоем о с‡‚нении, используемые ‚ лекции 2. Теоем‡ Q.9. Если a, b и n — целые числ‡ и n > 0, то a ≡ b (mod n), т‡ и только т‡, к‡ сущест‚ует целое число q, т‡кое, что a = q × n + b. Док‡з‡тельст‚о: Если a ≡ b (mod n), то n | (a – b), это озн‡ч‡ет, что есть целое число q, т‡кое, что a – b = q × n. Поэтому мы имеем a = q × n + b. Если есть целое число q , т‡кое, что a = q × n + b, т‡ a – b = q × n, что озн‡ч‡ет n |(a – b). Поэтому мы имеем a ≡ b (mod n). Теоем‡ Q.10. Если a, b, c и n — целые числ‡ пи n > 0, т‡кие, что a ≡ b (mod n), то a. a + c ≡ b + c (mod n). b. a – c ≡ b – c (mod n). c. a × c ≡ b × c (mod n). 717

Кус

Кипто„‡фиfl и безоп‡сность сетей

Док‡з‡тельст‚о: Об‡тите ‚ним‡ние, что a ≡ (mod n) → n | (a – b). ‡. (a+c) – (b + c) = a – b . Поскольку n | (a – b), n | (a + c) – (b + c). Поэтому a + c ≡ b + c (mod n). б. (a – c) – (b – c) = a – b. Поскольку n | (a – b), n | (a – c) – (b – c) Поэтому a – c ≡ b – c (mod n). ‚. (a × c) – (b×c) = (a – b) × c. Поскольку n | (a – b), n | (a – b) × c. Поэтому a × c ≡ b × c (mod n). Теоем‡ Q.11. Если a, b, c, d и n — целые числ‡ пи n> 0, т‡кие, что a × b (mod n) и c ≡ d (mod n), то a. a + c ≡ b + d (mod n). b. a – c ≡ b – d (mod n) c. a × c ≡ b× d (mod n). Док‡з‡тельст‚о: Об‡тите ‚ним‡ние, что a × b mod n → (a – b) → (a-b) =k × n; c ≡ d (mod n) → (c – d)=l× n ‡. (a +c) – (b + d) = (a – b) + (c – d) = k × n + l × n = (k + l) × n. Поэтому (a + c) ≡ b + d (mod n). б. (a – c) – (b – d) = (a – b) – (c – d) = k × n – l x n = (k – l ) × n. Поэтому a – c ≡ b – d (mod n). ‚. a × c – (b – d) = c × (a – b) + b × (c – d) = (c × k + b × l) × n. Поэтому a × c ≡ b × d (mod n)

Q.2. Лекциfl 9 В этом ‡з‰еле пи‚о‰flтсfl некотоые ‰ок‡з‡тельст‚‡ теоем, используемых ‚ лекции 9. Мы не бу‰ем пи‚о‰ить ‰линных ‰ок‡з‡тельст‚, т‡ких к‡к ‰ок‡з‡тельст‚о кит‡йской теоемы об ост‡тк‡х, — интеесующимсfl сту‰ент‡м екомен‰уем посмотеть кни„и по теоии чисел.

Постые числ‡ Мы ‰ок‡жем только о‰ну теоему о постых числ‡х. Теоем‡ Q.I2. Если n — сост‡‚ной объект, то есть постой ‰елитель p, т‡кой, что p ≤ √n. Док‡з‡тельст‚о: Поскольку n — сост‡‚ной объект, n = a × b. Если p — н‡именьший постой ‰елитель n, т‡ p ≤ a и p ≤ b. Поэтому p2 ≤ a × b или p2
Пиложение Q

Некотоые ‰ок‡з‡тельст‚‡

Phi-функциfl Эйле‡ Ниже пи‚о‰flтсfl ти ‰ок‡з‡тельст‚‡, с‚flз‡нные с phi-функцией Эйле‡. Теоем‡ Q.I3. Если p — постое число, т‡ φ(p)= p – 1. Док‡з‡тельст‚о: Поскольку p — постое число, ‚се целые числ‡, меньшие, чем p, ‚з‡имно постые по отношению к p. Поэтому φ(p)= p – 1. Эт‡ теоем‡ — ч‡сть phi-функции Эйле‡. Теоем‡ Q.14. Если p — постое число и e — положительное целое число, т‡ φ (p) =pe – pe-1 Док‡з‡тельст‚о: Целые числ‡, котоые не fl‚лflютсfl ‚з‡имно постыми с pe – (1 × p ), (2 × p) .., (pe-1 × p). Все они целые числ‡ и имеют общий ‰елитель p с pe. Общее количест‚о этих целых чисел — pe-1. Ост‡льн‡fl ч‡сть целых чисел fl‚лflетсfl ‚з‡имно постой с pe. Поэтому φ (p) = pe – pe-1 Теоем‡ Q.15. Если n — сост‡‚ной объект с ‡зложением н‡ постые множители П pi ei, то φ (n) = П (pi ei – pi ei–1) Док‡з‡тельст‚о: Док‡з‡тельст‚о б‡зиуетсfl н‡ ф‡кте, что φ (n) — мультиплик‡ти‚н‡fl функциfl, ‚ котоой m и n fl‚лflютсfl ‚з‡имно постыми. Поскольку элементы ‚ ‡зложении n н‡ постые множители ‚з‡имно постые, φ(П pi ei) = Пφ(pi ei). Поэтому φ (n) = П (pi ei – pi ei–1) Эт‡ теоем‡ — обобщение phi-функции Эйле‡.

М‡л‡fl теоем‡ Фем‡ Ниже пи‚о‰flтсfl ‰‚е теоемы, котоые относflтсfl к м‡лой теоеме Фем‡. Теоем‡ Q.I6. Если p — постое число и a — положительное целое число, ‚з‡имно постое c p, то ap-1 ≡ 1 (mod p). 719

Кус

Кипто„‡фиfl и безоп‡сность сетей

Док‡з‡тельст‚о: Может быть ‰ок‡з‡но, что ‚ычеты элементо‚ a, 2a, .., (p –1) a по мо‰улю p ‡‚ны 1, 2 ..., (p – 1), но не обflз‡тельно ‚ том же с‡мом поfl‰ке. В езульт‡те a × 2a × ... × (p – l) ‡‚но [(p – 1)]! ap-1 В езульт‡те 1 × 2 × ... × (p – 1) ‡‚но [(p – 1)]! Это озн‡ч‡ет [(p-1)]! ap-1 ≡ [(p – l)]! (mod p), Сок‡щ‡fl обе стооны тож‰ест‚‡ н‡ (p – 1)!, мы получ‡ем ap-1 ≡ 1(mod p). Эт‡ теоем‡ – пе‚‡fl ‚есиfl М‡лой теоемы Фем‡. Теоем‡ Q.I7. Если p — постое число и ‡ — положительное целое число, то ap ≡ a (mod p). Док‡з‡тельст‚о: Если a и p ‚з‡имно-постые, используfl езульт‡т пе‰ы‰ущей теоемы, мы умнож‡ем обе стооны с‡‚нениfl, чтобы получить ap ≡ a (mod p). Если p | a, то ap ≡ a ≡ 0 (mod p). Эт‡ теоем‡ – ‚то‡fl ‚есиfl теоемы Фем‡.

Теоем‡ Эйле‡ Ниже пи‚о‰итсfl ‰ок‡з‡тельст‚о о‰ной теоемы, с‚flз‡нной с пе‚ой ‚есией теоемы Эйле‡. Втоую ‚есию мы ‰ок‡з‡ли ‚ лекции 9. Теоем‡ Q.18. Если n и a fl‚лflютсfl ‚з‡имно-постыми, то aφ (n) ≡ 1 (mod n). Док‡з‡тельст‚о: Пе‰положим, что элементы ‚ Z n* – r1, r2,.., rφ (n). Мы со片ем ‰у„ой н‡бо ar1, ar 2, ... , ar, arφ(n) умнож‡fl к‡ж‰ый элемент ‚ Z n* н‡ a. Может быть ‰ок‡з‡но, что к‡ж‰ый элемент ‚ этом но‚ом н‡бое fl‚лflетсfl кон„уэнтным элементу ‚ Zn* (не обflз‡тельно ‚ том же с‡мом поfl‰ке). Т‡ким об‡зом, ar1, × ar 2, ×, ar, a × r1, r 2,.., rφ(n) (mod n) Мы имеем aφ(n) [r1 × r2, ×.. × rφ(n)] ≡ r1 × r 2, ×... × rφ(n) (mod n) Отку‰‡ aφ(n) ≡ 1 (mod n).

Осно‚н‡fl теоем‡ ‡ифметики Ниже пи‚о‰итсfl ч‡стичное ‰ок‡з‡тельст‚о осно‚ной теоемы ‡ифметики. Теоем‡ Q.19 Любое положительное целое число n больше чем 1 может быть пе‰ст‡‚лено, к‡к поиз‚е‰ение постых чисел. 720

Пиложение Q

Некотоые ‰ок‡з‡тельст‚‡

Док‡з‡тельст‚о Мы используем ин‰укцию. Пе‚ое ут‚еж‰ение (б‡з‡ ин‰укции) n = 2, fl‚лflетсfl постым числом. Пе‰положим, что ‚се положительные целые числ‡ меньше, чем n может быть пе‰ст‡‚лены к‡к поиз‚е‰ение постых чисел. Мы ‰ок‡жем, что n может т‡кже быть пе‰ст‡‚лено к‡к поиз‚е‰ение постых чисел. Может иметь ‰‚‡ случ‡fl: n – постое число, или n – сост‡‚ной объект. 1. Если n fl‚лflетсfl постым, оно может быть пе‰ст‡‚лено к‡к поиз‚е‰ение из о‰но„о это„о посто„о числ‡. 2. Если n – сост‡‚ной объект, то мы можем н‡пис‡ть n = a × b. Поскольку a и b – об‡ меньше чем n, к‡ж‰ое из них может быть пе‰ст‡‚лено к‡к поиз‚е‰ение постых чисел со„л‡сно н‡шему пе‰положению. Поэтому, n может быть пе‰ст‡‚лено к‡к поиз‚е‰ение постых чисел. Эт‡ теоем‡ — ч‡стичное ‰ок‡з‡тельст‚о осно‚ной теоемы ‡ифметики. Чтобы полностью ‰ок‡з‡ть эту теоему, мы ‰олжны пок‡з‡ть, что это поиз‚е‰ение уник‡льно. Но мы екомен‰уем посмотеть полное ‰ок‡з‡тельст‚о ‚ кн脇х по теоии чисел.

721

Кус

Кипто„‡фиfl и безоп‡сность сетей

Глосс‡ий A5/1. Член семейст‚‡ A5 шифо‚ поток‡, используетсfl ‚ Глоб‡льной Системе Пижной С‚flзи (GSM). AddRoundKey. В AES — опе‡циfl, кото‡fl ск뇉ы‚‡ет сло‚о ключ ‡у퉇 с к‡ж‰ой м‡тицей-столбцом состоflниfl. CBC-MAC. См. MAC. CMAC (Chipper-based Message Authentication Code). Ст‡н‰‡тный контоль по‰линности сообщениfl (MAC — Message Authentication Code), котоый опе‰елил NIST (FIPS 113) к‡к ‡л„оитм ‡утентифик‡ции ‰‡нных. Мето‰ по‰обен ежиму сцеплениfl блоко‚ шифнно„о текст‡. HAVAL — ‡л„оитм хэшиниfl пееменной ‰лины с ‰‡й‰жестом сообщениfl ‡зме‡ 128, 160, 192, 224 и 256. Р‡зме блок‡ — 1024 бит‡. InvMixColumns. В AES — ин‚есиfl опе‡ции MixColumns, используетсfl ‚ об‡тном шифе. InvSubBytes. В AES — ин‚есиfl опе‡ции SubBytes, используетсfl пи ‰ешиф‡ции. InvShiftRows. В AES — ин‚есиfl опе‡ции ShiftRows, используетсfl пи ‰ешиф‡ции. MixColumns. В AES — опе‡циfl, кото‡fl пеоб‡зо‚ы‚‡ет к‡ж‰ый столбец состоflниfl к но‚ому столбцу. MixRows. В Whirlpool — опе‡циfl, по‰обн‡fl MixColumns ‚ AES, з‡ исключением то„о, что смеш肇ютсfl стоки ‚место столбцо‚. nonce — случ‡йное число. Oakley. Потокол смены ключей, ‡з‡бот‡нный Хил‡и Ом‡но ; это – улучшенный мето‰ Диффи-Хеллм‡н‡. P-блок (P-box). Компонент ‚ со‚еменном блочном шифе, котоый пеемещ‡ет биты. P-блок сж‡тиfl. P-блок с n ‚хми и m ‚ыхми, „‰е n > m . RC4. Оиентинный н‡ б‡йт шиф поток‡, споектинный Рон‡ль‰ом Ри‚естом. Rijndael. Со‚еменный блочный шиф, ‡з‡бот‡нный бель„ийскими иссле‰о‚‡телflми Джоном Д‡еменом и Винсентом Ри‰жментом и ‚ыб‡нный NIST к‡к Усо‚ешенст‚нный ст‡н‰‡т шифниfl (AES). RotWord. В AES — опе‡циfl, по‰обн‡fl опе‡ции ShiftRows, ‡бот‡ющ‡fl только с о‰ной стокой сл ‚ поцессе ‡сшиениfl ключ‡. S-блок (S-box). Компонент ‚ блочном шифе, котоый з‡менflет биты н‡ ‚хо‰е но‚ыми бит‡ми ‚ ‚ыхо‰е. SHA-1. SHA с блоком 512 бито‚ и ‰‡й‰жестом 160 бито‚. SHA-224. SHA с блоком 512 бито‚ и ‰‡й‰жестом 224 бит‡. SHA-256. SHA с блоком 512 бито‚ и ‰‡й‰жестом 256 бито‚. SHA-384. SHA с блоком 1024 бито‚ и ‰‡й‰жестом 384 бит‡. SHA-512. SHA с блоком 1024 бито‚ и ‰‡й‰жестом 512 бито‚. ShiftColumns. В Whirlpool — опе‡циfl, по‰обн‡fl ShiftRows-пеоб‡знию ‚ AES, з‡ исключением то„о, что ‚место сток с‰‚脇ютсfl столбцы. ShiftRows. В AES — пеоб‡зние, котоое с‰‚脇ет б‡йты. 722

Глосс‡ий

SubBytes. В AES — пеоб‡зние, котоое использует т‡блицу, чтобы по‚ести опе‡цию по‰ст‡но‚ки б‡йто‚. SubWord. В AES — поце‰у‡, по‰обн‡fl пеоб‡знию SubBytes, но используем‡fl только с о‰ной стокой. X.509. Рекоме퉇циfl, ‡з‡бот‡нн‡fl ITU и пинflт‡fl Интенетом, кото‡fl опе‰елflет стуктуу сетифик‡ции. Whirlpool. Кипто„‡фическ‡fl систем‡, осннн‡fl н‡ измененном AES. A Абел傇 „упп‡ (abelian group). Коммут‡ти‚н‡fl „упп‡. А‚‡ийный потокол (Alert protocol). В SSL и TLS — потокол, из‚ещ‡ющий об ошибк‡х и отклонениflх от п‡‚ильной ‡боты. А„ент ‰оступ‡ к сообщению (MAA — Message Access Agent). По„‡мм‡ клиент‡, кото‡fl н‡к‡пл肇ет и сох‡нflет сообщениfl от се‚е‡. А„ент пользтелfl (UA — User Agent). Компонент ‚ почто‚ой системе, котоый „ото‚ит сообщение и электонный кон‚ет. А„ентст‚о Н‡цион‡льной безоп‡сности (NSA — National Security Agency) — ‡меик‡нское ‡„ентст‚о, соби‡ющее с‚е‰ениfl безоп‡сности. А‰‰ити‚н‡fl ин‚есиfl (additive inverse). В мо‰ульной ‡ифметике a и b ‡‰‰ити‚но ин‚есны ‰у„ ‰у„у, если (b + a) mod n = 0. А‰‰ити‚ный шиф (additive cipher). С‡мый постой моно‡лф‡‚итный шиф, ‚ котоом к‡ж‰ый сим‚ол з‡шифо‚ы‚‡етсfl путем сложениfl е„о зн‡чениfl с ключом. Акти‚н‡fl ‡т‡к‡ (active attack). Ат‡к‡, кото‡fl может изменить ‰‡нные или по‚е‰ить систему. Ал„оитм ‚еифик‡ции (verifying algorithm). Ал„оитм, котоый по‚еflет з‡конность цифо‚ой по‰писи н‡ стооне пиемник‡. Ал„оитм ‰еко‰иниfl (decryption algorithm) — ‡л„оитм, используемый ‰лfl ‰еко‰иниfl. Анонимный потокол Диффи-Хеллм‡н‡ (anonymous Diffie-Hellman). Пе‚он‡ч‡льный потокол Диффи-Хеллм‡н‡ ‚ SSL и TLS. Ассоци‡ти‚ность (associativity). В ‡л„еб‡ической стуктуе, если a, b и c — элементы осно‚но„о н‡бо‡ и • обозн‡ч‡ет о‰ну из опе‡ций, с‚ойст‚о ‡ссоци‡ти‚ности „‡‡нтиует, что (a • b) • c = a • (b • c). Ал„еб‡ическ‡fl стукту‡ (algebraic structure). Стукту‡, состоflщ‡fl из з‡‡нее опе‰еленно„о н‡бо‡ опе‡ций и элементо‚. Пимеы ‡л„еб‡ических стукту — „уппы, кольц‡ и полfl. Ал„оитм ‰еко‰иниfl (decryption algorithm) — ‡л„оитм, используемый ‰лfl ‰еко‰иниfl. Ал„оитм безоп‡сно„о хэшиниfl (SHA — Secure Hash Algorithm) — fl‰ ст‡н‰‡то‚ хэш-функции, ‡з‡бот‡нных NIST. Был и片н к‡к FIPS 180. Он ‚ осно‚ном б‡зиуетсfl н‡ MD5. Ал„оитм ‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl (square-and-multiply algorithm). Быстый мето‰ ‚оз‚е‰ениfl ‚ степень, ‚ котоом используютсfl ‰‚е опе‡ции — ‚оз‚е‰ение ‚ ꂇ‰‡т и умножение — ‚место о‰ной опе‡ции умножениfl. 723

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ан‡лиз т‡фик‡ (traffic analysis). Тип ‡т‡ки конфи‰енци‡льности, ‚ котоой н‡п‡‰‡ющий получ‡ет некотоую инфом‡цию, контолиуfl сете‚ой т‡фик. Ат‡к‡ ‡н‡лизом ‚емени (timing attack). Ат‡к‡ RSA, осннн‡fl н‡ быстом пок‡з‡тельном ‡л„оитме. Ат‡к‡ использует ф‡кт, что ‚емfl, котоое тебуетсfl н‡ к‡ж‰ую ите‡цию, больше, если бит ‡‚ен 1. Ат‡к‡ ‡н‡лизом мощности (power attack). В RSA — ‡т‡к‡, по‰обн‡fl ‡т‡ке ‡н‡лизом ‚емени, пи котоой используетсfl измеение мощности ‚ течение поцесс‡ ‰ешифниfl. Ат‡к‡ ‚оспоиз‚е‰ениfl (replay attack). См. пееи„ы‚‡ние. Ат‡к‡ „убой силы (brute-force attack). Тип ‡т‡ки, пикотоой н‡п‡‰‡ющий побует использть ‚се ‚озможные ключи, чтобы н‡йти ключ шиф‡. Ат‡к‡ зн‡ниfl исхо‰но„о текст‡ (known-plaintext attack). Ат‡к‡, пи котоой н‡п‡‰‡ющий использует н‡бо из‚естных исхо‰ных тексто‚ и их соот‚етст‚ующих з‡шифнных тексто‚, чтобы н‡йти ключ шиф‡. Ат‡к‡ коотко„о блокнот‡ (short-pad attack). Ат‡к‡ RSА, пи котоой злоумышленник может н‡йти исхо‰ный текст, если он имеет ‰‚‡ экземплfl‡ соот‚етст‚ующих з‡шифнных тексто‚, к‡ж‰ый из котоых со片н с ‡зличным коотким з‡полнением. Ат‡к‡ коотко„о сообщениfl (short-message attack). Ат‡к‡ RSА, пи котоой н‡п‡‰‡‚ший зн‡ет н‡бо ‚озможных исхо‰ных тексто‚ и з‡шифо‚ы‚‡ет их т‡к, чтобы н‡йти эк‚肇лент пеех‚‡ченно„о з‡шифнно„о текст‡. Ат‡к‡ м‡ло„о зн‡чениfl ключ‡ ‰ешиф‡ции (low-private-exponent attack). В RSA — ‡т‡к‡, кото‡fl может быть н‡ч‡т‡, если конкетный об‡зец ключ‡ имеет м‡лое зн‡чение. Ат‡к‡ н‡ нескытое сообщение (unconcealed message attack). Ат‡к‡ RSA, осннн‡fl н‡ отношениflх пеест‡но‚ки меж‰у исхо‰ным текстом и з‡шифнным текстом; нескытое сообщение — это сообщение, котоое пи шифнии ‚оспоиз‚о‰ит с‡мо себfl. Ат‡к‡ н‡ секетную инфом‡цию (security attacks). Ат‡ки, у„ож‡ющие целflм безоп‡сности. Ат‡к‡ пе則чи по цепочке. См. ‡т‡к‡ «посе‰ниꇻ. Ат‡к‡ по теоеме Купесмит‡ (Coppersmith’s theorem attack). Тип ‡т‡ки RSA, кото‡fl может быть пе‰пинflт‡, если зн‡чение пок‡з‡телfl степени ключ‡ шифниfl — м‡ленькое. Ат‡к‡ с‚е‰ениfl к сее‰ине (meet-in-the-middle attack). В ‰‚ойной шифо‚ке — ‡т‡к‡, к‡ пыт‡ютсfl н‡йти исхо‰ный текст и з‡шифнный текст; пи этом счит‡ют, что шифние пе‚о„о и ‰ешифние ‚тоо„о со‰ежит ‡н‡ло„ичные опе‡ции. Ат‡к‡ с ‚ыбокой з‡шифнно„о текст‡ (chosen-ciphertext attack). Тип ‡т‡ки, пи котоой поти‚ник пеех‚‡ты‚‡ет н‡бо з‡шифнных тексто‚ и н‡хо‰ит соот‚етст‚ующие исхо‰ные тексты. З‡тем он ‡н‡лизиует п‡ы з‡шифнно„о текст‡ / исхо‰ных тексто‚, чтобы н‡йти ключ шиф‡. Ат‡к‡ по ‚ыб‡нному сообщению (chosen-message attack). Ат‡к‡, пи котоой н‡п‡‰‡‚ший к‡ким-то способом з‡ст‡‚ил Алису по‰пис‡ть о‰но или более сообщений. ͇‡‚ший позже со片ет ‰у„ое сообщение, с со‰еж‡нием, котоое он хочет пе則ть, и по‰ст‡‚лflет н‡ нем по‰пись Алисы. 724

Глосс‡ий

Ат‡к‡ по об‡зцу (pattern attack). Ат‡к‡ шиф‡ н‡ т‡нспозицию, пи котоой используютсfl по‚тоные об‡зцы, со片нные ‚ з‡шифнном тексте. Ат‡к‡ пи из‚естном сообщении (known-message attack). Ат‡к‡ цифо‚ой по‰писи, пи котоой н‡п‡‰‡‚ший имеет ‰оступ к о‰ной или более п‡‡м по‰писей сообщениfl. Ат‡к‡ с ‚ыбокой исхо‰но„о текст‡ (chosen-plaintext attack). Тип ‡т‡ки, пи котоой поти‚ник пеех‚‡ты‚‡ет н‡бо исхо‰ных тексто‚ и н‡хо‰ит соот‚етст‚ующие з‡шифнные тексты. З‡тем он ‡н‡лизиует п‡ы исхо‰но„о текст‡ / з‡шифнно„о текст‡, чтобы н‡йти ключ шиф‡. Ат‡к‡ с‚flз‡нно„о сообщениfl (related message attack). Ат‡к‡ RSA, пи котоой ‰‚‡ с‚flз‡нных з‡шифнных текст‡ используютсfl, чтобы н‡йти ‰‚‡ с‚flз‡нных исхо‰ных текст‡, к‡ откытый ключ имеет м‡лую ‰лину. Обн‡ужен‡ Ф‡нклином Рейтеом. Ат‡к‡ слfl (dictionary attack). Ат‡к‡, пи котоой злоумышленник интеесуетсfl обн‡ужением только п‡олfl не燂исимо от пользтельско„о ID. Ат‡к‡ отк‡з‡ ‚ обслуж肇нии (denial of service). Е‰инст‚енн‡fl цель ‡т‡ки — „ото‚ность системы. Ат‡к‡ может з‡ме‰лить или пе‚‡ть ‡боту системы. Ат‡к‡ «посе‰ниꇻ (man-in-the-middle attack). Ат‡к‡ потокол‡ Диффи-Хеллм‡н‡, ‚ котоый н‡п‡‰‡ющий ‚‚о‰ит ‚ з‡блуж‰ение ‰‚е стооны, ‚о‚леченные ‚ обмен по потоколу, со片‚‡fl ‰‚‡ ключ‡ се‡нс‡: о‰ин меж‰у пе‚ой стооной и н‡п‡‰‡ющим, ‡ ‰у„ой — меж‰у н‡п‡‰‡ющим и ‚тоой стооной. Ат‡к‡ только з‡шифнно„о текст‡ (ciphertext-only attack). Тип ‡т‡ки, ‚ котоой злоумышленник имеет ‰лfl ‡н‡лиз‡ только пеех‚‡ченный з‡шифнный текст. Ат‡к‡ только н‡ ключ (key-only attack) — ‡т‡к‡ цифо‚ой по‰писи, ‚ котоой н‡п‡‰‡ющий имеет ‰оступ только к откытому ключу. Ат‡к‡ шиоко‚ещ‡тельной ‡ссылки (broadcast attack). Тип ‡т‡ки н‡ RSA, кото‡fl может быть н‡ч‡т‡, если о‰ин объект пе則ет о‰но и то же м‡ленькое сообщение „уппе получ‡телей с о‰ним и тем же с‡мым низким уо‚нем шифниfl. Ат‡к‡ циклическо„о по‚тоениfl (cycling attack). Тип ‡т‡ки н‡ RSА, кото‡fl использует тот ф‡кт, что з‡шифнный текст — пеест‡но‚к‡ исхо‰но„о текст‡, и непеы‚ное шифние з‡шифнно„о текст‡ ‚ конечном счете з‡к‡нч肇етсfl исхо‰ным текстом. Аутентифик‡циfl (authentication). Служб‡ безоп‡сности, кото‡fl по‚еflет н‡ ‰у„ом конце линии и‰ентифик‡ционный ко‰ уч‡стник‡ обмен‡. Аутентифик‡циfl н‡ осно‚е п‡олfl (password-based authentication) — с‡мый постой и с‡мый ст‡ый мето‰ ‡утентифик‡ции объект‡, ‚ котоом п‡оль используетсfl, чтобы и‰ентифицить петен‰ент‡. Аутентифик‡циfl сообщениfl (message authentication). Док‡з‡тельст‚о по‰линности пе則тчик‡ без уст‡но‚лениfl сое‰инениfl. Аутентифик‡ционный обмен (authentication exchange). Мех‡низм безоп‡сности, ‚ котоом ‰‚‡ объект‡ обмен肇ютсfl н‡боом сообщений, чтобы ‰ок‡з‡ть ‰у„ ‰у„у по‰линность с‚оей и‰ентфик‡ции. Аутентифик‡циfl объект‡ (entity authentication). Мето‰ик‡, пе‰н‡зн‡ченн‡fl обеспеч肇ть о‰ной стооне ‰ок‡з‡тельст‚о по‰линности и‰ентифик‡то‡ ‰у725

Кус

Кипто„‡фиfl и безоп‡сность сетей

„ой стооны. Объект — по‰линность и‰ентифик‡то‡, кото‡fl ‰олжн‡ быть ‰ок‡з‡н‡, — н‡зы‚‡етсfl петен‰ентом; стоон‡, кото‡fl пыт‡етсfl по‚еить и‰ентифик‡то петен‰ент‡, н‡зы‚‡етсfl ‚еифик‡тоом. Аутентифик‡циfl с помощью ‚ыз-от‚ет‡ (challenge-response authentication). Мето‰ ‡утентифик‡ции, ‚ котоом петен‰ент ‰ок‡зы‚‡ет, что он зн‡ет секет, не посыл‡fl е„о. Аффинный шиф (affine cipher) — шиф, котоый объе‰инflет ‡‰‰ити‚ные и мультиплик‡ти‚ные шифы. Б Б‡йт (byte). Гупп‡ из ‚осьми бито‚, он‡ же октет. Б‡з‡ ‰‡нных услу„ обеспечениfl безоп‡сности (SAD — Security Association Database). Д‚ухмен‡fl т‡блиц‡, „‰е к‡ж‰‡fl сток‡ опе‰елflет о‰иночные услу„и обеспечениfl безоп‡сности (SA). Безоп‡сность т‡нспотно„о уо‚нfl (TLS — Transport Layer Security). Весиfl IETF потокол‡ SSL. Безоп‡сный мех‡низм смены ключей (SKEME — Secure Key Exchange Mechanism). Потокол, ‡з‡бот‡нный ‰лfl смены ключей, котоый использует откытый ключ ‰лfl шифниfl объекто‚ ‡утентифик‡ции. Безоп‡сное/мно„оцеле‚ое ‡сшиение почты (S/MIME — Secure/Multipurpose Internet Mail Extension). Р‡сшиение к MIME, со片‚‡лось ‰лfl обеспечениfl безоп‡сности электонной почты. Бесконечн‡fl „упп‡ (infinite group). Гупп‡ с бесконечным числом элементо‚. Бесспоные по‰писи (undeniable signatures). Схем‡ по‰писи с темfl компонент‡ми: ‡л„оитм по‰пис‡ниfl, потокол по‚еки и потокол отиц‡ниfl. Билет (ticket). З‡шифнное сообщение, пе‰н‡зн‡ченное ‰лfl объект‡ B, но посл‡нное объекту A ‰лfl ‰ост‡‚ки. Бин‡н‡fl опе‡циfl (binary operation). Опе‡циfl, кото‡fl имеет ‰‚‡ си„н‡л‡ н‡ ‚хо‰е и со片ет о‰ин си„н‡л н‡ ‚ыхо‰е. Биометиfl (biometrics). Измеение физиоло„ических или по‚е‰енческих особенностей, котоые и‰ентифициуют чело‚ек‡. Бит (bit) — ‰‚оичн‡fl циф‡ со зн‡чением 0 или 1. Блок (block). Гупп‡ бито‚, об‡б‡ты‚‡ем‡fl к‡к о‰ин мо‰уль. Блокнот ‚ы‚ (opad — output pad). Втоое з‡полнение, используемое ‚ ‡л„оитме HMAC. Блочный шиф (block cipher) — тип шиф‡, ‚ котоом блоки исхо‰но„о текст‡ з‡шифны по о‰ному с использнием о‰но„о и то„о же ключ‡ шиф‡. В Вз‡имно постые (relatively prime). Д‚‡ целых числ‡ н‡зы‚‡ютсfl ‚з‡имно постыми, если их н‡ибольший общий ‰елитель — 1. Вложенное сообщение с ко‰ом ‡утентифик‡ции (nested MAC). MAC с ‰‚умfl ш‡„‡ми. Вмеш‡тельст‚о (snooping). Неп‡‚омочный ‰оступ к конфи‰енци‡льной инфом‡ции. Ат‡к‡ цели конфи‰енци‡льности ‚ инфом‡ционной безоп‡сности. Внешнflfl об‡тн‡fl с‚flзь ежим (OFB — Output FeedBack) — ежим ‡боты, по‰обный CFB (Cipher FeedBack), но з‰есь е„ист с‰‚脇 мо‰ифициуетсfl пе‰ы‰ущим r-бито‚ым ключом. 726

Глосс‡ий

Возможно сл‡бые ключи (possible weak keys). Н‡бо 48 ключей ‚ DES, „‰е к‡ж‰ый ключ со片ет только четые ‡зличных ключ‡ ‡у퉇. Вхо‰ной блокнот (ipad-input pad). Пе‚ое з‡полнение, используемое ‚ ‡л„оитме HMAC. Выбоочн‡fl пелк‡ (selective forgery) — тип пелки, ‚ котоой пелы‚‡ющий способен пел‡ть по‰пись пе則тчик‡ н‡ сообщении с со‰еж‡нием, ‚ыбоочно ‚ст‡‚ленным с‡мим пелы‚‡ющим. Вычет (residue). Ост‡ток. Г Гене‡то ключей (key generator). Ал„оитм, котоый со片ет ключи ‡у퉇 из ключ‡ шиф‡. Генеиние ключей ‡у퉇 (round-keys generation). В со‚еменном блочном шифе — поцесс, котоый со片ет ключи ‡у퉇 из ключ‡ шиф‡. Г뇂ный секетный ко‰ (master secret). В SSL — 48-б‡йто‚ый секетный ко‰, со片нный из п剂‡ительно„о „л‡‚но„о секетно„о к. Гото‚ность (availability). Компонент инфом‡ционной безоп‡сности, котоый тебует, чтобы инфом‡циfl, со片нн‡fl и сох‡ненн‡fl о„‡низ‡цией, был‡ ‰оступн‡ ‡зешенным объект‡м. Гупп‡ (group). Ал„еб‡ическ‡fl стукту‡ с только о‰ной бин‡ной опе‡цией, кото‡fl у‰о‚лет‚оflет четыем с‚ойст‚‡м: з‡мкнутости, ‡ссоци‡ти‚ности, сущест‚нию тож‰ест‚енности и сущест‚нию ин‚есии. Гупп‡ инжененой пежки сети Интенет (IETF — Internet Engineering Task Force). Гупп‡ специ‡листо‚, ‡бот‡ющ‡fl 퇉 ‡з‡боткой и ‡з‚итием н‡бо‡ потокол‡ TCP/IP и Internet. Гупп‡ пеест‡но‚ки (permutation group). Гупп‡, ‚ котоой н‡бо элементо‚ fl‚лflетсfl ‚семи пеест‡но‚к‡ми элементо‚. Д Д‡й‰жест сообщениfl (message digest). Сток‡ фиксинной ‰лины, со片нн‡fl пи пименении хэш-функции к сообщению. Д‡й‰жест сообщениfl (MD — Message Digest). Н‡бо нескольких ‡л„оитмо‚ хэшиниfl, ‡з‡бот‡нных Роном Ри‚естом и обозн‡ч‡емых к‡к MD2, MD4 и MD5. Д‡й‰жест сообщениfl оценки стойкости пимити‚о‚ целостности (RACE RIPMED — RACE Integrity Primitives Evaluation Message Digest). Ал„оитм хэшиниfl с несколькими ‚есиflми, ‡з‡бот‡нный о„‡низ‡цией RACE. Д‚ук‡тный DES (2DES — double DES). Ал„оитм шифниfl, котоый использует ‰‚‡ экземплfl‡ шифо‚ ‰лfl шифниfl и ‰‚‡ экземплfl‡ об‡тных шифо‚ ‰лfl ‰ешифниfl. Делимость (divisibility). Если a и b — целые числ‡ и a ≠ 0, мы „о‚оим, что a ‰елит b, если есть целое число k, т‡кое, что b = k × a. Деко‰иние (decoding). Этот темин имеет мно„о опе‰елений. В этой кни„е по‰‡зум傇етсfl о‰но из зн‡чений: пеоб‡зние n-бито‚о„о цело„о числ‡ ‚ 2n-‡зfl‰ную стоку с е‰инст‚енной е‰иницей. Положение этой е‰инст‚енной е‰иницы соот‚етст‚ует зн‡чению цело„о числ‡. 727

Кус

Кипто„‡фиfl и безоп‡сность сетей

Детемин‡нт (determinant). Ск‡лflное зн‡чение, опе‰еленное ‰лfl ꂇ‰‡тной м‡тицы. М‡тиц‡ об‡тим‡, если ее ‰етемин‡нт fl‚лflетсfl отличным от нулfl. Дешифние (decryption). Пеоб‡зние з‡шифнно„о текст‡, чтобы со片ть пе‚он‡ч‡льный исхо‰ный текст. Дискетный лифм (discrete loatithm). Целое число d н‡зы‚‡етсfl ‰искетным лифмом a по осннию r , если rd ≡ a (mod n), „‰е r — пе‚ооб‡зный коень n и a и n — ‚з‡имно постые. Дистибути‚ность (distributivity). В ‡л„еб‡ической стуктуе с ‰‚умfl опе‡циflми и • ‰истибути‚ность • озн‡ч‡ет, что ‰лfl ‚сех a, b и c — элементо‚ осно‚но„о н‡бо‡, — мы имеем a (b • c) = (a b) • (a c) и (a • b) c = (a c) • (b c). Диффеенци‡льный кипто‡н‡лиз (differential cryptanalysis). Тип ‡т‡ки с ‚ыбокой исхо‰но„о текст‡, ‚‚е‰енный Бих‡мом (Biham) и Ш‡миом (Shamir), использующий ‰иффеенци‡льный поф‡йл S-блоко‚, чтобы н‡п‡сть н‡ сост‡‚ной шиф. Домен ‰‡й‰жест‡ сообщениfl (message digest domain). Н‡бо ‚озможных езульт‡то‚ функции кипто„‡фическо„о хэшиниfl. До‚еенность (notarization). Мех‡низм безоп‡сности, пи котоом о‰н‡ ч‡сть сообщест‚‡ ‚ыби‡ет тетью ‰о‚еенную стоону ‰лfl уп‡‚лениfl с‚flзью меж‰у ‰‚умfl объект‡ми. Дополнение ключ‡ (key complement). Сток‡, полученн‡fl ин‚есией к‡ж‰о„о бит‡ ‚ ключе. Е Е‚кли‰о‚ ‡л„оитм (Euclidean’s algorithm) — ‡л„оитм н‡хож‰ениfl н‡ибольше„о обще„о ‰елителfl ‰‚ух положительных целых чисел. З З‡„оло‚ок ‡утентифик‡ции (AH — Authentication Header). Потокол ‚ IPSec, котоый обеспеч肇ет целостность сообщениfl и ‡утентифик‡цию. З‡мкнутость (closure). В ‡л„еб‡ической стуктуе, если a и b — элементы осно‚но„о н‡бо‡ и • обозн‡ч‡ет о‰ну из опе‡ций, с‚ойст‚о з‡мкнутости „‡‡нтиует, что c = a • b — т‡кже член это„о н‡бо‡. З‡полнение т‡фик‡ (traffic padding). Мех‡низм безоп‡сности, ‚ котоом ‚ т‡фик ‚ст‡‚лены некотоые фикти‚ные ‰‡нные, чтобы со‚‡ть ‡т‡ку ‡н‡лиз‡ т‡фик‡. З‡соflющ‡fl ‡т‡к‡ (clogging attack). Тип ‡т‡ки ‚ мето‰е Диффи-Хеллм‡н‡, ‚ котоой злоумышленник может пе則ть мно„о полуключей о‰ной из стоон, симулиуfl, что они — от ‡зличных источнико‚. Ат‡к‡ может ‚ конечном счете кончитьсfl отк‡зом ‚ обслуж肇нии. З‡шифнный текст (ciphertext). Сообщение после то„о, к‡к оно было з‡шифно. И И‰е‡льн‡fl пflм‡fl безоп‡сность (PFS — Perfect Forward Security). С‚ойст‚о кипто„‡фической системы, пи котоой ‡скытие к‡ко„о-то ‡спект‡ секетности не ст‡‚ит по‰ у„озу безоп‡сность бу‰ущей с‚flзи. 728

Глосс‡ий

Инф‡стукту‡ откыто„о ключ‡ (PKI — Public-Key Infrastructure). Мо‰ель ‰лfl со片ниfl и ‡спе‰елениfl сетифик‡то‚, осннн‡fl н‡ X.509. Имит‡циfl источник‡ (masquerading). Тип ‡т‡ки н‡ целостность инфом‡ции, ‚ котоой н‡п‡‰‡ющий ‚ы‰‡ет себfl з‡ ко„о-то ‰у„о„о. Интенет-потокол шифниfl и и‰ентифик‡ции (IKE — Internet Key Exchange). Потокол, пе‰н‡зн‡ченный ‰лfl со片ниfl услу„ обеспечениfl безоп‡сности ‚ IPSec. Исключение отк‡з‡ от сообщениfl (nonrepudiation). Услу„‡ безоп‡сности, кото‡fl з‡щищ‡ет поти‚ ‡т‡ки отк‡з‡ от сообщениfl либо пе則тчик‡, либо пиемник‡ ‰‡нных. Испыт‡ние н‡ ‰елимость (divisibility test). С‡мый элемент‡ный ‰етемининный мето‰ ‰лfl по‚еки постоты чисел, ‚ котоом число объfl‚лflетсfl постым, если оно не ‰елитсfl н‡ ‚се числ‡, меньшие, чем √n. Испыт‡ние постоты чисел (primality test). Детемининный или ‚еоflтностный ‡л„оитм, котоый опе‰елflет, fl‚лflетсfl ли положительное целое число постым числом. Исхо‰ный текст (plaintext) — сообщение пее‰ шифнием или после хешифниfl. Ите‡ти‚н‡fl кипто„‡фическ‡fl хэш-функциfl (iterated cryptographic hash function). Хэш-функциfl, ‚ котоой функциfl фиксинно„о ‡зме‡ со片етсfl и используетсfl необхо‰имое количест‚о ‡з. К К‚‡‰‡тичный ‚ычет (QR — Quadratic Residue). Коэффициент ‚ у‡‚нении x2 = a (mod p), „‰е у‡‚нение имеет ‰‚‡ ешениfl. К‚‡‰‡тичный не‚ычет (QNR — Quadratic NonResidue). Коэффициент ‚ у‡‚нении x2 = a (mod p), „‰е у‡‚нение не имеет ешениfl. К‚‡‰‡тичное с‡‚нение (quadratic congruence). Кон„уэнтное у‡‚нение фомы ax2 + bx + c = 0 (mod n). К‚‡‰‡тн‡fl м‡тиц‡ (square matrix). М‡тиц‡, у котоой число сток ‡‚но числу столбцо‚. Кит‡йск‡fl теоем‡ об ост‡тк‡х (CRT — Chinese Remainder Theorem). Теоем‡, ‚ котоой ‰ок‡зы‚‡етсfl, что сущест‚ует уник‡льное ешение к н‡боу кон„уэнтных у‡‚нений с о‰ной пееменной, если мо‰ули ‚з‡имно постые. Ключ (key). Н‡бо зн‡чений, котоые пименflютсfl ‚ ‡л„оитме ‰лfl шифниfl/‰ешифниfl. Ключ се‡нс‡ (session key) — секетный о‰но‡зо‚ый ключ меж‰у ‰‚умfl стоон‡ми. Ключ с‰‚脇 (shift cipher). Тип ‡‰‰ити‚но„о шиф‡, ‚ котоом ключ опе‰елflет смещение сим‚оло‚ к концу ‡лф‡‚ит‡. Ко‰ ‡утентифик‡ции сообщениfl (MAC — Message Authentication Code). Ко‰, котоый ‚ключ‡ет инфом‡цию ‰лfl обеспечениfl безоп‡сности меж‰у ‰‚умfl стоон‡ми. Ко‰ ‡утентифик‡ции сообщениfl, осннный н‡ хешинии (HMAC — HashBased Message Authentication Code). Ст‡н‰‡т, ‚ы‡бот‡нный NIST (FIPS198) ‰лfl ‚ложенно„о MAC. Ко‰иние (encoding). Этот темин имеет мно„о опе‰елений. В этой кни„е пинflто о‰но из зн‡чений: пеоб‡зние 2n-‡зfl‰ной стоки с е‰инст‚ен729

Кус

Кипто„‡фиfl и безоп‡сность сетей

ной е‰иницей (1) к целому n-бито‚ому числу. Позициfl е‰инст‚енной е‰иницы (1) опе‰елflет зн‡чение цело„о числ‡. Ко‰иние Radix64 (Radix 64 encoding). Систем‡ ко‰иниfl, ‚ котоой ‰‚оичные ‰‡нные ‡з‰елены н‡ блоки по 24 бит‡. К‡ж‰ый блок ‡з‰елен з‡тем н‡ четые секции н‡ 6 бито‚. ʇ扇fl секциfl из 6 бито‚ интепетиуетсfl к‡к о‰ин сим‚ол ‚ системе — о„‡ниченн‡fl печ‡тн‡fl сток‡. Кое-что из‚естное (something known). Секетн‡fl инфом‡циfl, из‚естн‡fl только петен‰енту, кото‡fl может быть по‚еен‡ ‚еифик‡тоом ‰лfl ‡утентифик‡ции объект‡. Кое-что с‚ойст‚енное (something inherent). Х‡‡ктеистики, используемые ‰лfl ‡утентифик‡ции петен‰ент‡, т‡кие к‡к обычные по‰писи, отпеч‡тки п‡льце‚, „олос, лице‚ые х‡‡ктеистики, об‡зец сетч‡тки „л‡з‡ и почек. Кое-что, чем об뇉‡ю (something possessed). Нечто, пи퇉леж‡щее петен‰енту, что может е„о и‰ентифицить, н‡пиме п‡спот, ‚о‰ительские п‡‚‡, у‰осто‚еение личности, ке‰итн‡fl к‡точк‡ или к‡точк‡ с инте„‡льной схемой, ‚ключ‡ющей микопоцессо. Кольцо (ring). Ал„еб‡ическ‡fl стукту‡ с ‰‚умfl опе‡циflми. Пе‚‡fl опе‡циfl ‰олжн‡ у‰о‚лет‚оить ‚се пflть с‚ойст‚, тебуемых ‰лfl ‡беле‚ой „уппы. Вто‡fl опе‡циfl ‰олжн‡ у‰о‚лет‚оить только пе‚ые ‰‚‡. Коме то„о, ‚то‡fl опе‡циfl ‰олжн‡ быть ‰истибути‚н‡ (‡спе‰еленн‡fl) по отношению к пе‚ой. Кольцо ключей (key ring). Н‡бо обще‰оступных или секетных ключей, используемых ‚ PGP. Комбининн‡fl опе‡циfl (combine operation). Опе‡циfl ‚ некотоых блочных шиф‡х, кото‡fl с‚flзы‚‡ет ‰‚‡ блок‡ ‡‚ной ‰лины, чтобы со片ть но‚ый блок. Коммут‡ти‚н‡fl „упп‡ (commutative group). Гупп‡, ‚ котоой бин‡н‡fl опе‡циfl у‰о‚лет‚оflет коммут‡ти‚ному с‚ойст‚у. Коммут‡ти‚ность (commutativity). В ‡л„еб‡ической стуктуе, если a и b — элементы осно‚но„о н‡бо‡ и • обозн‡ч‡ет о‰ну из опе‡ций, коммут‡ти‚ное с‚ойст‚о состоит ‚ том, что a • b = b • a. Композициfl (composition). Композициfl ‰‚ух функций f и g опе‰елflетсfl к‡к g (f (x)). Это озн‡ч‡ет, что сн‡ч‡л‡ функциfl f пименflетсfl к пееменной x и з‡тем функциfl g пименflетсfl ко ‚сему ‰и‡п‡зону зн‡чений f. Конечн‡fl „упп‡ (finite group). Гупп‡ с конечным числом элементо‚. Конечное поле (finite field). Поле с конечным числом элементо‚. Конфи‰енци‡льность (confidentiality). Цель пименениfl се‰ст‚ безоп‡сности, кото‡fl опе‰елflет поце‰уы, чтобы скыть инфом‡цию от неп‡‚омочно„о объект‡. Конфи‰енци‡льность ‰‡нных (data confidentiality) — служб‡ безоп‡сности, пе‰н‡зн‡ченн‡fl ‰лfl з‡щиты ‰‡нных от ‡т‡к ‡скытиfl, ‚меш‡тельст‚‡ и ‡н‡лиз‡ т‡фик‡. Коэффициент (coefficient). В полиноме — постоflнное зн‡чение ‚ к‡ж‰ом элементе. Коэффициент ложной и‰ентифик‡ции (FAR — False Acceptance Rate). П‡‡мет, ук‡зы‚‡ющий, к‡к ч‡сто систем‡ пизн‡ет н凂тоизнно„о пользтелfl. 730

Глосс‡ий

Коэффициент ложной те‚о„и (FRR — False Rejection Rate). П‡‡мет, ук‡зы‚‡ющий, к‡к ч‡сто систем‡ бу‰ет не ‚ состоflнии опозн‡ть чело‚ек‡, котоый ‰олжен быть ‡спозн‡н. К‡тко‚еменный мето‰ Диффи-Хеллм‡н‡ (ephemeral Diffie-Hellman). Весиfl потокол‡ смены ключей Диффи-Хеллм‡н‡, ‚ котоой к‡ж‰‡fl стоон‡ пе則ет ключ Диффи-Хеллм‡н‡, по‰пис‡нный ее секетным ключом. Кипто„‡фиfl (cryptography). Н‡ук‡ и искусст‚о пеоб‡зниfl сообщений с целью с‰ел‡ть их „‡‡нтинно устойчи‚ыми к ‡т‡к‡м. Кипто„‡фический синт‡ксис сообщениfl (Cryptographic Message Syntax) — синт‡ксис, используемый ‚ S/MIME, котоый опе‰елflет точную схему ко‰иниfl со‰еж‡ниfl к‡ж‰о„о тип‡. Кипто„‡фическ‡fl систем‡ с симметичным ключом (symmetric-key cryptosystem). Кипто„‡фическ‡fl систем‡, ‚ котоой е‰инст‚енный ключ з‡секеч肇ниfl используетсfl и ‰лfl шифниfl, и ‰лfl ‰ешифниfl. Кипто„‡фическ‡fl систем‡ эллиптических ки‚ых (elliptic curves cryptosystem). Киптосистем‡ с ‡симметичными ключ‡ми н‡ осно‚е эллиптических ки‚ых. Кипто„‡фическ‡fl систем‡ RSA (RSA cryptosystem). С‡мый общий ‡л„оитм с использнием откыто„о ключ‡, изобетенный Ри‚естом (Rivest), Ш‡миом (Shamir) и А‰ельм‡ном (Adieman). Кипто‡н‡лиз (cryptanalysis). Н‡ук‡ и искусст‚о «‚зло쇻 ко‰о‚. Киптосистем‡ с ‡симметичными ключ‡ми (asymmetric-key cryptosystem). Кипто„‡фическ‡fl систем‡, кото‡fl использует ‰‚‡ ‡зличных ключ‡ ‰лfl шифниfl и ‰ешифниfl: откытый ключ — ‰лfl шифниfl и секетный ключ — ‰лfl ‰ешифниfl. Киптосистем‡ Р‡бин‡ (Rabin’s cryptosystem). В‡и‡нт RSА кипто„‡фической системы, изобетенный Р‡биным, ‚ котоом зн‡чение e и d уст‡но‚лено н‡ 2. Киптосистем‡ Эль-Г‡м‡лfl (ElGamal’s cryptosystem) — киптосистем‡ с ‡симметичными ключ‡ми, изобетенн‡fl Эль-Г‡м‡лем (ElGamal), кото‡fl б‡зиуетсfl н‡ поблеме ‰искетно„о лифм‡. Л Л‡‚инный эффект (avalanche effect) — жел‡тельн‡fl х‡‡ктеистик‡ ‚ шифе, ‚ котоом м‡лое изменение ‚ исхо‰ном тексте или ключе конч‡етсfl большим изменением ‚ з‡шифнном тексте. «Л‡зейꇻ (trapdoor). Особенность ‡л„оитм‡, кото‡fl поз‚олflет злоумышленнику обхо‰ить безоп‡сность, если он зн‡ет эту особенность. «Л‡зейꇻ ‚ о‰ностоонней функции (TOWF — Trapdoor One-Way Function). Особенность о‰ностоонней функции, пи котоой кто-то может полностью изменить езульт‡т, если зн‡ет эту л‡зейку. Линейные ‰иоф‡нто‚ы у‡‚нениfl (linear Diophantine’s equations) — у‡‚нение ‰‚ух пееменных фомы ax + bx = c. Линейное с‡‚нение. В этом тексте — у‡‚нение фомы ax ≡ b (mod n). Линейный кипто‡н‡лиз (linear cryptanalysis). Ат‡к‡ зн‡ниfl исхо‰но„о текст‡, пи котоой используетсfl линейн‡fl ‡ппоксим‡циfl, чтобы ‡н‡лизить блочный шиф. 731

Кус

Кипто„‡фиfl и безоп‡сность сетей

Линейный е„ист с‰‚脇 с об‡тной с‚flзью (LFSR — Linear FeedBack Shift Register). Ре„ист с‰‚脇 с об‡тной с‚flзью, ‚ котоом функциfl об‡тной с‚flзи — линейн‡. Линейный S-блок (linear S-box). S-блок, ‚ котоом к‡ж‰ый ‚ыхо‰ fl‚лflетсfl линейной функцией ‚хо‰о‚. М М‡л‡fl теоем‡ Фем‡ (Fermat’s little theorem). В пе‚ой ‚есии: если p — постое число и a — целое число, т‡кое, что p не ‰елит a, то a p-1 = 1 mod p. Во ‚тоой ‚есии: если p — постое число и a — целое число, то a p = a mod p. М‡теи‡л ‰лfl ключей (key material). В SSL и TLS — сток‡ пееменной ‰лины, из котоой из‚лек‡ютсfl необхо‰имые ключи и п‡‡меты ‰лfl с‚flзи. М‡тиц‡ (matrix). Пflмоу„ольный м‡сси‚ l × m. элементо‚, ‚ котоых l — число сток, ‡ m – число столбцо‚. М‡тиц‡ состоflний (state). В AES — мо‰уль ‰‡нных ‚ помежуточных к‡сꇉ‡х, состоит из м‡тицы 16 б‡йто‚. В S-AES мо‰уль ‰‡нных состоит из 4 полуб‡йто‚. М‡тиц‡-столбец (column matrix). М‡тиц‡ только с о‰ним столбцом. М‡тиц‡-сток‡ (row matrix) — м‡тиц‡ с е‰инст‚енной стокой. М‡шин‡ «Эни„쇻 (Enigma machine) — шифльн‡fl м‡шин‡, б‡зил‡сь н‡ пинципе отоных шифо‚. Использл‡сь немецкой ‡мией ‚ течение Втоой мио‚ой ‚ойны. Меж‰ун‡о‰ный Союз Электос‚flзи — Секто Ст‡н‰‡тиз‡ции (ITU-T — International Telecommunication Union-Telecommunication Standardization Sector). Гупп‡ меж‰ун‡о‰ных экспето‚, от‚етст‚енн‡fl з‡ ст‡н‰‡ты с‚flзи. Мето‰ испыт‡ниfl постоты чисел ꂇ‰‡тным конем (square root primality test method). Мето‰ испыт‡ниfl постоты чисел, осннный н‡ ф‡кте, что ꂇ‰‡тный коень положительно„о цело„о числ‡ по мо‰улю n — только +1 или –1, если n — постое. Мето‰ испыт‡ниfl постоты чисел тестом Фем‡ (Fermat’s primality test method). Испыт‡ние постоты чисел, осннное н‡ М‡лой теоеме Фем‡. Мето‰ Пол‡‰‡ p – 1 ‡зложениfl н‡ множители (Polard’s p–1- factorization method). Мето‰, котоый н‡хо‰ит ‰лfl некотоо„о числ‡ постой сомножитель p, пи усло‚ии, что p – 1 не имеет коэффициент‡ больше„о, чем з‡‡нее 燉‡нное зн‡чение B, н‡зы‚‡емое „‡ницей. Мето‰ ‡з‡бот‡н Джоном М. Полл‡‰ом. Мето‰ Пол‡‰‡ rho ‡зложениfl н‡ множители (Polard’s rho factorization method). Мето‰, котоый н‡хо‰ит ‰лfl некотоо„о числ‡ постой сомножитель p. Зн‡чениfl, получ‡емые ‡л„оитмом, по‚тоflютсfl, со片‚‡fl фому, по‰обную н‡ „‡фике „еческой бук‚е «о». Мето‰ ‡з‡бот‡н Джоном М. Полл‡‰ом. Мето‰ ‡зложениfl н‡ множители по‚екой ‰елением (trial division factorization method). С‡мый постой и н‡именее эффекти‚ный ‡л„оитм н‡хож‰ениfl коэффициенто‚ положительно„о цело„о числ‡, ‚ котоом побуют ‚се положительные целые числ‡, н‡чин‡ющиесfl с 2, чтобы н‡йти о‰но число, котоое ‰елит n. 732

Глосс‡ий

Мето‰ ‡зложениfl н‡ множители Фем‡ (Fermat’s factorization method). Мето‰ ‡зложениfl н‡ множители, ‚ котоом целое число n ‰елитсfl н‡ ‰‚‡ положительных целых числ‡ a и b т‡к, чтобы n = a × b. Мех‡низмы безоп‡сности (security mechanisms). Восемь мех‡низмо‚, екомен‰о‚‡нных ITU-T, чтобы обеспечить службы безоп‡сности: шифо‚к‡, целостность ‰‡нных, цифfl по‰пись, ‡утентифик‡циfl, з‡полнение т‡фик‡, уп‡‚ление м‡шутиз‡цией, ‰о‚еенность и уп‡‚ление ‰оступом. Мно„о‡лф‡‚итный шиф (polyalphabetic cipher). Шиф, ‚ котоом к‡ж‰ое поfl‚ление сим‚ол‡ может иметь ‡зличное зн‡чение з‡мены. Мно„оцеле‚ое ‡сшиение почты (MIME — Multipurpose Internet Mail Extension). Потокол, котоый поз‚олflет пе則‚‡ть ‰‡нные не-ASCII чеез электонную почту. Множест‚о целых чисел (set of integers – Z). Н‡бо ‚сех целых чисел от отиц‡тельной бесконечности ‰о положительной бесконечности. Мо‰ифик‡циfl (modification). Тип ‡т‡ки н‡ целостность инфом‡ции, ‚ котоой н‡п‡‰‡ющий 燉еж肇ет, у‰‡лflет или изменflет инфом‡цию, чтобы получить от это„о ‚ы„о‰у ‰лfl себfl. Мо‰уль (modulus). Делитель ‚ мо‰ульной ‡ифметике. Мо‰ульн‡fl ‡ифметик‡ (modular arithmetic). Тип ‡ифметики, ‚ котоой пи ‰елении цело„о числ‡ ‰у„им используетсfl только о‰ин из ‚ыхо‰о‚, ост‡ток r, ‡ ч‡стное отб‡сы‚‡етсfl. Моно‡лф‡‚итный шиф (monoalphabetic cipher). Шиф по‰ст‡но‚ки, ‚ котоом сим‚ол ‚ исхо‰ном тексте ‚с儉‡ изменflетсfl н‡ о‰ин и тот же сим‚ол ‚ з‡шифнном тексте, не燂исимо от е„о позиции ‚ тексте. Моно‡лф‡‚итный шиф по‰ст‡но‚ки (monoalphabetic substitution cipher) — шиф, ‚ котоом ключ отоб‡ж‡ет к‡ж‰ый сим‚ол исхо‰но„о текст‡ ‚ соот‚етст‚ующий сим‚ол з‡шифнно„о текст‡. Мультиплик‡ти‚н‡fl ин‚есиfl (multiplicative inverse). В мо‰ульной ‡ифметике: a и b — мультиплик‡ти‚ные ин‚есии ‰у„ ‰у„‡, если (a × b) mod n = 1. Мультиплик‡ти‚ный шиф (multiplicative cipher). Шиф, ‚ котоом ‡л„оитм шифниfl по‚о‰итсfl умножением исхо‰но„о текст‡ н‡ ключ, и ‡л„оитм ‰ешифниfl по‚о‰итсfl ‰елением з‡шифнно„о текст‡ н‡ ключ. Н Н‡бо шифо‚ (cipher suite). В SSL и TLS — комбин‡циfl смены ключей, хешиниfl и ‡л„оитмо‚ шифниfl. Н‡ибольший общий ‰елитель — НОД (GCD — Greatest Common Divisor). Н‡ибольшее целое число, котоое может ‰елить ‰‚‡ целых числ‡ a и b. Н‡именьший ‚ычет (least residue). Ост‡ток ‚ мо‰ульной ‡ифметике. Н‡ч‡льное число (seed). Н‡ч‡льное зн‡чение, используемое ‚ „ене‡тое пс傉ослуч‡йных чисел или пименflемое ‰лfl то„о, чтобы 燄узить инфом‡цию ‚ flчейки ‚ е„ист с‰‚脇. Н‡цион‡льный Институт Ст‡н‰‡то‚ и Техноло„ии (NIST — National Institute of Standards and Technology). А„ентст‚о ‚ ‡меик‡нском п‡‚ительст‚е, котоое ‡з‚肇ет ст‡н‰‡ты и техноло„ию. 733

Кус

Кипто„‡фиfl и безоп‡сность сетей

Н‡ч‡льный ‚екто (IV initial vector). Блок, используемый некотоыми ежим‡ми ‡боты, чтобы иници‡лизить пе‚ую ите‡цию. Нелинейный S-блок (nonlinear S-box). S-блок, ‚ котоом есть по к‡йней мее о‰ин ‚ыхо‰, котоый опе‰елflетсfl нелинейной функцией ‚хо‰о‚. Непи‚о‰имый полином (irreducible polynomial). Полином степени n, не имеющий полином‡-‰елителfl степени меньше, чем n. Непи‚о‰имый полином не может быть ‡зложен н‡ полиномы со степенью меньше, чем n. Несин„улflн‡fl эллиптическ‡fl к肇fl (nonsingular elliptic curve). Эллиптическ‡fl к肇fl, ‚ у‡‚нении котоой x3 + ax + b = 0 имеетсfl ти ‡зличных конfl. Несинхонный шиф поток‡ (nonsynchronous stream cipher) — шиф поток‡, ‚ котоом к‡ж‰ый ключ поток‡ з‡‚исит от пе‰ы‰уще„о исхо‰но„о текст‡ или з‡шифнно„о текст‡. Но‚ые е‚опейские схемы по‰писей, целостности и шифниfl (NESSIE — New European Schemes for Signatures, Integrity and Encryption) — Е‚опейск‡fl н‡учно-иссле‰о‚‡тельск‡fl ‡з‡ботк‡, имеющ‡fl цель и‰ентифицить безоп‡сные кипто„‡фические ‡л„оитмы. О Обл‡сть ключей (key domain). Возможный н‡бо ключей ‰лfl шиф‡. Обм‡н (spoofing). См. имит‡циfl источник‡. Обн‡ужение мо‰ифик‡ции (modification detection). Д‡й‰жест сообщениfl, котоый может ‰ок‡з‡ть целостность сообщениfl. Об‡тим‡fl функциfl (invertible function). Функциfl, кото‡fl с‚flзы‚‡ет к‡ж‰ый элемент ‚ ‰и‡п‡зоне точно с о‰ним элементом ‚ ‰омене. Об‡тный шиф (inverse cipher). Ал„оитм ‰ешифниfl. Общ‡fl ‡т‡к‡ мо‰улfl (common modulus attack) — тип ‡т‡ки RSA, кото‡fl может быть н‡ч‡т‡, если сообщест‚о использует общий мо‰уль. Обще‰оступный ключ з‡секеч肇ниfl (shared secret key). Ключ, используемый ‚ кипто„‡фии с ‡симметичным ключом. О„‡ниченн‡fl печ‡тн‡fl сток‡ (quoted-printable). Используем‡fl схем‡ ко‰иниfl, к‡ ‰‡нные состоflт „뇂ным об‡зом из сим‚оло‚ ASCII с незн‡чительной ч‡стью не-ASCII. Если сим‚ол — ASCII, е„о пе則ют без изменений. Если сим‚ол — не-ASCII, е„о пе則ют к‡к ти сим‚ол‡. Пе‚ый сим‚ол — зн‡к ‡‚енст‚‡ (=). Сле‰ующие ‰‚‡ сим‚ол‡ — шест퇉ц‡теичные пе‰ст‡‚лениfl б‡йт‡. О‰но‡зо‚ый блокнот (one-time pad) — шиф, ‚ котоом ключ fl‚лflетсfl случ‡йной после‰о‚‡тельностью сим‚оло‚, имеющей ту же с‡мую ‰лину, что и исхо‰ный текст. О‰но‡зо‚ый п‡оль (one-time password). П‡оль, котоый используетсfl только е‰инож‰ы. О‰ностооннflfl функциfl (OWF — One-Way Function) — функциfl, кото‡fl может быть ле„ко ‚ычислен‡, но ‚ычисление ее ин‚есии неосущест‚имо. Опе‡то мо‰улfl (mod). Опе‡то, используемый ‚ мо‰ульной ‡ифметике, чтобы со片ть ост‡ток. Опе‡то с‡‚нениfl (congruence operator). Опе‡то (≡), используемый ‚ у‡‚нении с‡‚нениfl. 734

Глосс‡ий

Опе‡циfl ‡збиениfl (Split Operation). Опе‡циfl ‚ блочном шифе, кото‡fl ‡зб肇ет блок попол‡м, со片‚‡fl ‰‚‡ блок‡ ‡‚ной ‰лины. Опе‡циfl циклическо„о с‰‚脇 (circular shift operation). Опе‡циfl ‚ со‚еменных блочных шиф‡х, кото‡fl у‰‡лflет k бит с о‰но„о конц‡ и ‚ст‡‚лflет их н‡ ‰у„ом конце блок‡. Оптим‡льное ‡симметичное ‰ополнение шифниfl (OAEP — Optimal Asymetric Encryption Padding). Мето‰, пе‰ложенный „уппой RSA и некотоыми пост‡‚щик‡ми. Он пименflет усложненную поце‰уу, чтобы ‰ополнить сообщение ‰лfl шифниfl, использующе„о RSA. Осно‚ной ежим (main mode). В IKE — любой ежим? ‚ котоом используетсfl обмен с шестью сообщениflми. Отк‡з от сообщениfl (repudiation). Тип инфом‡ционной ‡т‡ки н‡ целостность, кото‡fl может быть ‚ыполнен‡ о‰ной из ‰‚ух стоон обмен‡ сообщениflми и состоflщ‡fl ‚ отиц‡нии ф‡кт‡ пе則чи или пием‡ сообщениfl. Откытый ключ (public key). В киптосистеме с ‡симметичными ключ‡ми — ключ, используемый ‰лfl шифниfl. В цифо‚ой по‰писи т‡кой ключ пименflетсfl ‰лfl по‚еки. Очень хоош‡fl конфи‰енци‡льность (PGP — Pretty Good Privacy) — потокол, изобетенный Филом Циммем‡ном, чтобы обеспечить электонную почту секетностью, целостностью и ‡утентифик‡цией. П П‡сси‚н‡fl ‡т‡к‡ (passive attack). Тип ‡т‡ки, ‚ котоой цель н‡п‡‰‡юще„о состоит ‚ том, чтобы получить инфом‡цию; ‡т‡к‡ не изменflет ‰‡нные и не ‚е‰ит системе. Пе‚ооб‡зный коень (primitive root). В „уппе G = , к‡ поfl‰ок элемент‡ тот же с‡мый, что и φ(n), этот элемент н‡зы‚‡етсfl пе‚ооб‡зным конем „уппы. Пееи„ы‚‡ние (replaying). Тип ‡т‡ки инфом‡ционной целостности, ‚ котоой н‡п‡‰‡ющий пеех‚‡ты‚‡ет сообщение и, не ‡сшифо‚ы‚‡fl, поз‰нее посыл‡ет е„о сн ‰лfl по‚тоно„о использниfl. Пеемеш肇ние (confusion). Жел‡тельное с‚ойст‚о блочно„о шиф‡, котоое скы‚‡ет отношениfl меж‰у з‡шифнным текстом и ключом. Оно поз‚олflет ‡сстоить пл‡ны поти‚ник‡, котоый побует использть з‡шифнный текст, чтобы н‡йти ключ. «Плюшки» (cookies). Текст, котоый со‰ежит некотоую инфом‡цию о пиемнике и ‰олжен быть ‚оз‚‡щен без изменений пе則тчику. Пупп‡ (subgroup). По‰н‡бо H „уппы G fl‚лflетсfl пуппой G, если H — „упп‡ относительно опе‡ций н‡ G. По‰ключение (connection). В потокол‡х SSL и TLS — поцесс, котоый поз‚олflет ‰‚ум объект‡м обмен肇тьсfl ‰‚умfl случ‡йными числ‡ми и со片‚‡ть ключи и п‡‡меты, необхо‰имые ‰лfl с‚flзи. По‰писы‚‡ющие ‡л„оитм (signing algorithm). В схеме по‰писи — поцесс, используемый пе則тчиком. По‰писи с ук‡з‡нием ‚емени (time-stamped signatures). Цифfl по‰пись с меткой ‚емени, не ‰‡ет ‚озможность поти‚нику по‚тоно использть сообщение (пееи„‡ть сообщение). 735

Кус

Кипто„‡фиfl и безоп‡сность сетей

Поле (field). Ал„еб‡ическ‡fl стукту‡ с ‰‚умfl опе‡циflми, ‚ котоых ‚то‡fl опе‡циfl у‰о‚лет‚оflет ‚се пflть с‚ойст‚, опе‰еленных ‰лfl пе‚ой опе‡ции, з‡ исключением то„о, что нейт‡льный элемент пе‚ой опе‡ции не имеет ин‚есии относительно ‚тоой опе‡ции. Поле Г‡лу‡ (Galois’s field). См. конечное поле. Полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой (ESP — Encapsulating Security Payload). Потокол ‚ IPSec, котоый обеспеч肇ет ‡утентифик‡цию источник‡, целостность и секетность. Полином (polynomial). Вы‡жение фомы anxn + an–1xn–1 + ... + a0x0, „‰е ai xi н‡зы‚‡етсfl i-тым элементом, ‡ ai н‡зы‚‡етсfl коэффициентом i-то„о элемент‡. Полусл‡бые ключи (semi-weak keys). Н‡бо шести ключей ‚ DES, „‰е к‡ж‰ый ключ со片ет только ‰‚‡ ‡зличных ключ‡ ‡у퉇 и к‡ж‰ый из них по‚тоflетсfl ‚осемь ‡з. Поfl‰ок „уппы (order of a group). Число элементо‚ ‚ „уппе. Поfl‰ок элемент‡ (order of an element). В „уппе — н‡именьшее положительное целое число n, т‡кое, что an = e. Почто‚ый се‚е (MTA — Message Transfer Agent). Компонент электонной почты, котоый пе則ет сообщениfl чеез Интенет. П剂‡ительный „л‡‚ный секетный ко‰ (pre-master secret). В SSL — инфом‡циfl безоп‡сности котоой обмен肇ютсfl клиент и се‚е пее‰ ‚ычислением „л‡‚но„о секетно„о к. Пе‰ост‡‚лflющий билет се‚е (TGS — Ticket-Granting Server). В Цебее — се‚е, котоый со片ет билеты ‰лfl е‡льно„о се‚е‡. Петен‰ент (claimant). В ‡утентифик‡ции объект‡ — объект, опоз퇂‡тельный ко‰ котоо„о ‰олжен быть ‰ок‡з‡н. Пимити‚ный полином (primitive polynomial). Непи‚о‰имый полином, котоый ‰елит xe + 1, „‰е e — н‡именьшее целое число ‚ фоме e = 2k – 1. Пинцип „олубиных flщико‚ (pigeonhole principle) — пинцип, котоый ут‚е扇ет, что если n flщико‚ з‡нflты n + 1 „олубем, то по к‡йней мее о‰ин flщик з‡нflт ‰‚умfl „олубflми. Пинцип Кекхофф‡ (Kerckhoff’s principle). Пинцип ‚ кипто„‡фии, со„л‡сно котоому нужно ‚с儉‡ пе‰по뇄‡ть, что поти‚ник зн‡ет ‡л„оитм шифниfl/‰ешифниfl. Поэтому сопоти‚ление шиф‡ ‡т‡к‡м ‰олжно б‡зитьсfl только н‡ сох‡нении т‡йны ключ‡. Поблем‡ ‰нfl ож‰ениfl (birthday problem) — кл‡ссическ‡fl поблем‡ опе‰елениfl ‚еоflтности то„о, что n лю‰ей имеют отлич‡ющиесfl ‰‡ты ‰ней ож‰ениfl, „‰е n < 365. Поблем‡ лифм‡ эллиптических ки‚ых (elliptic curves logarithm problem). Эт‡ поблем‡ состоит ‚ н‡хож‰ении по ‰‚ум 燉‡нным точк‡м e1 и e2 множителfl н‡ эллиптической ки‚ой r, т‡ко„о, что e2 = r × e1 , „‰е e1 и e2 — ‰‚е точки, 燉‡нные н‡ этой ки‚ой. Постое число (prime). Положительное целое число, котоое точно ‰елитсfl без ост‡тк‡ только ‰‚умfl целыми числ‡ми, н‡ 1 и н‡ с‡мо себfl. Потокол безоп‡сности Интенет‡ (IPSec Internet Protocol Security). Н‡бо потоколо‚, ‡з‡бот‡нных IETF, котоый обеспеч肇ет безоп‡сность п‡кето‚ н‡ уо‚не сети. 736

Глосс‡ий

Потокол Гийу-Киск‡те‡ (Guillou-Quisquater’s protocol). Дополнение потокол‡ Фи‡т‡-Ш‡ми‡, ‚ котоом может использтьсfl меньшее число ‡ун‰о‚, чтобы ‰ок‡з‡ть по‰линность ‡бонент‡. Потокол Диффи-Хеллм‡н‡ ( Diffie-Hellman’s protocol). Потокол со片ниfl ключей се‡нс‡ без использниfl цент‡ ‡спе‰елениfl ключей ( KDC). Потокол Нии‰ом‡-Шfi‰е‡ (Needham-Schroeder’s protocol). Потокол смены ключей, использующий цент ‡спе‰елениfl ключей (KDC), „‰е пименflетсfl мно„ок‡тный инте‡кти‚ный обмен меж‰у стоон‡ми сообщениflми «‚ызо‚-от‚ет». Потокол От‚еfl-Рисс‡ (Otway-Rees’s protocol). Потокол смены ключей, по‰обный потоколу Нии‰ом‡-Ше‰е‡, но более сложный. Потокол «от ст‡нции к ст‡нции» (station-to-station protocol). Мето‰ со片ниfl ключей се‡нс‡, осннный н‡ потоколе Диффи-Хеллм‡н‡. Этот мето‰ использует у‰осто‚еениfl откыто„о ключ‡, чтобы пе‰от‚‡тить ‡т‡ки «посе‰ниꇻ. Потокол пе則чи „ипетекст‡ (HTTP — Hypertext Transfer Protocol). Обслуж肇ет пик뇉ной уо‚ень, чтобы из‚лек‡ть web-‰окументы. Потокол пе則чи з‡писей (Record Protocol). В SSL и TLS — потокол, котоый ‰ост‡‚лflет сообщениfl от ‚ехне„о уо‚нfl. Потокол уст‡но‚лениfl сое‰инениfl (handshake protocol). В SSL и TLS — потокол, котоый использует сообщениfl, чтобы ‰о„о‚оитьсfl о н‡бое шифо‚, по‰т‚е‰ить по‰линность се‚е‡ клиенту и клиенту — по‰линность се‚е‡, ‡ т‡кже обменflтьсfl инфом‡цией ‰лfl обеспечениfl кипто„‡фической безоп‡сности. Потокол Фей„е-Фи‡т-Ш‡ми‡ (Feige-Fiat-Shamir’s protocol). Мето‰ уст‡но‚лениfl по‰линности (‡утентифик‡циfl) с нуле‚ым ‡з„л‡шением, по‰обный потоколу Фи‡т-Ш‡ми‡, но использующий ‚екто секетных ключей. Потокол Фи‡т-Ш‡ми‡ (Fiat-Shamir’s protocol). Мето‰ уст‡но‚лениfl по‰линности с нуле‚ым ‡з„л‡шением, изобетенный Фи‡том и Ш‡миом. Потокол ChangeCipherSpec. Потокол ‚ SSL и TLS, котоый поз‚олflет пеехо‰ от ож艇юще„о ешениfl состоflниfl к ‡кти‚ному состоflнию. Пflмые P-блоки (straight P-Boxes). P-блок с n ‚хми и n ‚ыхми. Пс傉опостое число (pseudoprime). Число, котоое пошло несколько испыт‡ний н‡ постоту чисел, но не „‡‡нтинно fl‚лflетсfl постым числом. Пс傉ослуч‡йн‡fl функциfl (PRF — PseudoRandom Function). В TLS — функциfl, кото‡fl комбиниует ‰‚е функции ‡сшиениfl ‰‡нных: о‰ну использует ‚ MD5 и ‰у„ую — ‚ SHA-1. Р Р‡зложение н‡ множители (factorization). Н‡хож‰ение ‚сех постых сомножителей цело„о числ‡. Р‡ссе肇ние (diffusion). Жел‡тельное с‚ойст‚о блочно„о шиф‡, котоое помет скыть 燂исимости меж‰у з‡шифнным текстом и исхо‰ным текстом. Оно поз‚олflет ‡сстоить пл‡ны поти‚ник‡, котоый использует ст‡тистику з‡шифнно„о текст‡, чтобы н‡йти исхо‰ный текст. Р‡сшиение ключей (key expansion). В шифе ‡у퉇 — поцесс со片ниfl ключей ‡у퉇 из ключ‡ шиф‡. 737

Кус

Кипто„‡фиfl и безоп‡сность сетей

Р‡сшиенный е‚кли‰о‚ ‡л„оитм (extended Euclidean algorithm). Ал„оитм, котоый получ‡ет ‰‚‡ целых числ‡, ‡ и b, и может н‡йти зн‡чениfl ‰‚ух пееменных, s и t, котоые у‰о‚лет‚оflют у‡‚нение s × a + t × b = НОД (a, b). Ал„оитм может т‡кже н‡йти мультиплик‡ти‚ную ин‚есию цело„о числ‡ ‚ мо‰ульной ‡ифметике. Р‡ун‰ (round). ʇ扇fl ите‡ти‚н‡fl секциfl ‚ ите‡ционном блочном шифе. Ре„ист с‰‚脇 (shift register). После‰о‚‡тельность flчеек, „‰е к‡ж‰‡fl flчейк‡ со‰ежит е‰инст‚енный бит. Смещение зн‡чений бито‚ может со片ть пс傉ослуч‡йную после‰о‚‡тельность бито‚. Ре„ист с‰‚脇 с нелинейной об‡тной с‚flзью (NLFSR — NonLinear Feedback Shift Register) — е„ист с‰‚脇 с об‡тной с‚flзью, ‚ котоом функциfl об‡тной с‚flзи fl‚лflетсfl нелинейной. Ре„ист с‰‚脇 с об‡тной с‚flзью (FSR — Feedback Shift Register). Ре„ист с‰‚脇 с функцией инфом‡ции об‡тной с‚flзи. Режимы ‡боты (modes of operation). Н‡бо ежимо‚, ‡з‡бот‡нных ‰лfl то„о, чтобы з‡шифть текст любо„о ‡зме‡, и использующих блочные шифы фиксинных ‡змео‚. Режим счетчик‡ ( counter(CTR) mode). Режим ‡боты, ‚ котоом нет инфом‡ции об‡тной с‚flзи. Он похож н‡ ежим OFB (Output FeedBack), но счетчик используетсfl ‚место е„ист‡ с‰‚脇. Режим шифниfl с об‡тной с‚flзью (CFB — Cipher FeedBack). Режим ‡боты, ‚ котоом к‡ж‰ый r-бито‚ый блок ск뇉ы‚‡етсfl по мо‰улю ‰‚‡ с r-бито‚ым ключом, котоый fl‚лflетсfl ч‡стью шифующе„о е„ист‡. Режим электонной ко‰о‚ой кни„и (ECB mode — Electronic CodeBook mode). Режим ‡боты, ‚ котоом к‡ж‰ый блок з‡шифн не燂исимо тем же с‡мым ключом шиф‡. Решето Э‡тосфен‡ (sieve of Eratosthenes). Мето‰, изобетенный „еческим м‡тем‡тиком Э‡тосфеном, чтобы н‡йти ‚се постые числ‡, меньшие, чем n. Ротоный шиф (rotor cipher) — моно‡лф‡‚итн‡fl по‰ст‡но‚к‡, кото‡fl изменflет отоб‡жение меж‰у исхо‰ным текстом и сим‚ол‡ми з‡шифнно„о текст‡ ‰лfl к‡ж‰о„о сим‚ол‡ исхо‰но„о текст‡. С C‚ех‚оз‡ст‡ющий котеж (superincreasing tuple). Котеж, ‚ котоом к‡ж‰ый элемент больше или ‡‚ен сумме ‚сех пе‰ы‰ущих элементо‚. Се‡нс (session). В SSL — с‚flзь меж‰у клиентом и се‚еом. После то„о к‡к се‡нс уст‡но‚лен, эти ‰‚е стооны имеют общую инфом‡цию, т‡кую к‡к и‰ентифик‡то се‡нс‡, сетифик‡т, по‰т‚е扇ющий по‰линность к‡ж‰о„о из них (‚ случ‡е необхо‰имости), мето‰ сж‡тиfl (если необхо‰имо), н‡бо шиф‡ и „л‡‚ный секетный ко‰, котоый используетсfl, чтобы со片ть ключи ‰лfl шифниfl и ‡утентифик‡ции сообщениfl. Секетный ключ (private key). В киптосистеме с ‡симметичными ключ‡ми — ключ, используемый ‰лfl ‰ешифниfl. В цифо‚ой по‰писи т‡кой ключ используетсfl ‰лfl по‰пис‡ниfl. Се‚е ‡утентифик‡ции (AS — Authentication Server) — се‚е, котоый и„‡ет оль KDC (цент‡ ‡спе‰елениfl ключей) ‚ потоколе Цебе‡. 738

Глосс‡ий

Сеть ‰о‚еиfl (web of trust). В PGP — кольц‡ ключей, со‚местно используемые „уппой лю‰ей. Син„улflн‡fl эллиптическ‡fl к肇fl (singular elliptic curve). Эллиптическ‡fl к肇fl, у‡‚нение котоой x3 + ax + b = 0 не имеет тех ‡зличных коней. Синхонный шиф поток‡ (synchronous stream cipher). Шиф поток‡, ‚ котоом ключе‚ой поток fl‚лflетсfl не燂исимым от поток‡ з‡шифнно„о текст‡ или исхо‰но„о текст‡. Систем‡ ‚ычето‚ (residue class) — н‡бо н‡именьших ‚ычето‚. Сл‡бые ключи (weak keys). Н‡бо из четыех ключей ‚ DES, „‰е к‡ж‰ый ключ, после то„о к‡к отбошены биты четности, состоит либо из ‚сех нулей либо из ‚сех е‰иниц , либо поло‚ины нулей и поло‚ины е‰иниц. Слепые по‰писи (blind signatures). П‡тентнн‡fl схем‡, ‡з‡бот‡нн‡fl Дэ‚и‰ом Чомом, кото‡fl поз‚олflет по‰писы‚‡ть ‰окумент, не пок‡зы‚‡fl со‰еж‡ние ‰окумент‡ по‰писы‚‡ющему лицу. Сло‚о (word). В AES — „упп‡ из 32 бито‚, кото‡fl может быть об‡бот‡н‡ к‡к е‰инст‚енный объект: м‡тиц‡-сток‡ из четыех б‡йто‚ или м‡тиц‡-столбец из четыех б‡йто‚. Случ‡йн‡fl мо‰ель О‡кл (Random Oracle Model) — и‰е‡льн‡fl м‡тем‡тическ‡fl мо‰ель, ‚‚е‰енн‡fl ‰лfl хеш-функции. Смеситель (mixer). В шифе Ф‡йстелfl — с‡мокон‚етиуемый компонент, котоый состоит из некон‚етиуемой функции и опе‡ции ИСКЛЮЧАЮЩЕЕ ИЛИ. Со‚еменный блочный шиф (modern block cipher). Шиф с симметичным ключом, ‚ котоом к‡ж‰ый n-бито‚ый блок исхо‰но„о текст‡ з‡шифн к‡к n-бито‚ый блок з‡шифнно„о текст‡, с использнием то„о же с‡мо„о ключ‡. Со‚еменный шиф поток‡ (modern stream cipher). Шиф с симметичным ключом, ‚ котоом шифние и ‰ешифние ‚ыполнflютсfl о‰но‚еменно по r бит и используют ключи поток‡. «Соление» п‡олfl (salting). Мето‰ улучшениfl ‡утентифик‡ции н‡ осно‚е п‡олfl, ‚ котоом случ‡йн‡fl сток‡, н‡зы‚‡ем‡fl «соль», пи‚flзы‚‡етсfl к п‡олю. Сост‡‚ной объект (composite). Положительное целое число, котоое имеет больше чем ‰‚‡ ‰елителfl. Сост‡‚ной шиф (product cipher). Сложный шиф — это шиф, котоый комбиниует по‰ст‡но‚ку, пеест‡но‚ку и ‰у„ие компоненты, чтобы обеспечить пеемеш肇ние и ‡ссе肇ние. В‚е‰ен Шенноном. Список Вижене‡ (Vigenere’s tableau). Т‡блиц‡ шифниfl и ‡сшифо‚ки текст‡ ‚ шифе Вижене‡. Список ключей (key schedule). См. ‡сшиение ключ‡. С‡‚нение (congruence). Если n — положительное целое число, и ‰‡ны ‰‚‡ целых числ‡ a и b, то „о‚оflт, что они с‡‚нимы по мо‰улю n, a ≡ b (mod n), если a – b = kn, ‰лfl некотоо„о цело„о числ‡ k. Ст‡н‰‡т цифо‚ой по‰писи (DSS — Digital Signature Standard). Ст‡н‰‡т цифо‚ой по‰писи, пинflтый NIST по‰ номеом FIPS 186. Ст‡н‰‡т шифниfl ‰‡нных (DES — Data Encryption Standard). Блочный шиф с симметичными ключ‡ми, использующий ‡ун‰ы шифо‚ Ф‡йстелfl и ст‡н‰‡тизинный NIST. 739

Кус

Кипто„‡фиfl и безоп‡сность сетей

Ст‡тистическ‡fl ‡т‡к‡ (statistical attack). Ат‡к‡, осннн‡fl н‡ зн‡нии ст‡тистики употеблениfl сим‚оло‚ flзык‡. Ст‡те„иfl безоп‡сности (SP — Security Policy). В IPSec — н‡бо з‡‡нее 燉‡нных тебний безоп‡сности, пименflемых к п‡кету, к‡ е„о нужно пе則ть или пинflть. Ст儇но„‡фиfl (steganography). Мето‰ик‡ безоп‡сности, ‚ котоой сообщение скыто ‚ чем-либо (н‡пиме, ‚ тексте обычно„о ‡сск‡з‡ или ‚ нот‡х). Сущест‚ние ин‚есии (existence of inverse). В ‡л„еб‡ической стуктуе: если a — элемент осно‚но„о н‡бо‡ и • опе‰елflет о‰ну из опе‡ций, это с‚ойст‚о „‡‡нтиует, что сущест‚ует элемент a’, н‡зы‚‡емый об‡тным элементом, т‡кой, что ‡ • a’ = a’ • ‡ = e, „‰е e — нейт‡льный элемент. Сущест‚ние тож‰ест‚енности (existence of identity). В ‡л„еб‡ической стуктуе: если a — элемент осно‚но„о н‡бо‡ и • опе‰елflет о‰ну из опе‡ций, это с‚ойст‚о „‡‡нтиует, что сущест‚ует элемент e, н‡зы‚‡емый нейт‡льным элементом, т‡ким, что a • e = e • a = a. Схем‡ Дэ‚ис‡-Мейе‡ (Davies-Meyer’s scheme). Схем‡ хэш-функции ‚ осно‚ном т‡ же, что и схем‡ Р‡бин‡ (Rabin), з‡ исключением то„о, что он‡ использует пflмую с‚flзь ‰лfl з‡щиты поти‚ ‡т‡ки «с‚е‰ениfl к сее‰ине». Схем‡ М‡тис‡-Мейе‡-Осе‡с‡ (Matyas-Meyer-Oseas’s scheme). Весиfl схемы Де‚ис‡-Мейе‡, ‚ котоой блок сообщениfl используетсfl к‡к ключ к кипто„‡фической системе. Схем‡ Мекелfl-ć섇‰‡ (Merkle-Damgard’s scheme). Ите‡ти‚н‡fl хэш-функциfl, кото‡fl устойч肇 к коллизиflм, если функциfl сж‡тиfl тоже устойч肇 к коллизиflм. Схем‡ М臄учи-Пенелfl (Miyaguchi-Preneel’s scheme). Р‡сшиенн‡fl ‚есиfl схемы М‡тис‡-Мейе‡-Осе‡с‡, ‚ котоой исхо‰ный текст, ключ шиф‡ и з‡шифнный текст ск뇉ы‚‡ют по мо‰улю ‰‚‡, чтобы со片ть но‚ый ‰‡й‰жест. Схем‡ по‰писи Шно‡ (Schnorr’s signature). Схем‡ цифо‚ой по‰писи, осннн‡fl н‡ схеме Эль-Г‡м‡лfl, но с уменьшенным ‡змеом по‰писи. Схем‡ по‰писи Эль-Г‡м‡лfl (ElGamal’s signature scheme). Схем‡ цифо‚ой по‰писи ‚ системе Эль-Г‡м‡лfl, с использнием тех же с‡мых ключей. Схем‡ по‰писи RSA (RSA signature scheme). Схем‡ цифо‚ой по‰писи, кото‡fl б‡зиуетсfl н‡ кипто„‡фической системе RSA, но изменflет оли секетных и откытых ключей: пе則тчик использует с‚ой собст‚енный секетный ключ, чтобы по‰пис‡ть ‰окумент, ‡ пиемник использует откытый ключ пе則тчик‡, чтобы по‚еить по‰пись. Схем‡ Р‡бин‡ (Rabin’s scheme). Ите‡ти‚н‡fl схем‡ хэш-функции, пе‰ложенн‡fl Р‡биным н‡ осно‚е схемы Мекелfl-ć섇‰‡. Схем‡ цифо‚ой по‰писи (digital signature scheme). Мето‰ систем‡тическо„о со片ниfl безоп‡сной цифо‚ой по‰писи. Схем‡ цифо‚ой по‰писи эллиптических ки‚ых (ECDSA — Elliptic Curves Digital Signature Scheme). Ал„оитм цифо‚ой по‰писи, осннный н‡ ст‡н‰‡те DSA, но использующий эллиптические ки‚ые. 740

Глосс‡ий

Сцепление блоко‚ шифнно„о текст‡ (CBC — Cipher Block Chaining). Режим ‡боты, по‰обный электонной ко‰о‚ой кни„е (Electronic Codebook), но к‡ж‰ый блок сн‡ч‡л‡ ск뇉ы‚‡етсfl по мо‰улю ‰‚‡ с пе‰ы‰ущим з‡шифнным текстом. Т Тест К‡зиско„о (Kasiski’s test). Испыт‡ние ‰лfl то„о, чтобы н‡йти ‰лину ключ‡ ‚ мно„о‡лф‡‚итном шифе. Тест Милле‡-Р‡бин‡ ‰лfl опе‰елениfl посто„о числ‡ (Miller-Rabin’s primality test). Тест есть комбин‡циfl тесто‚ Фем‡ и ꂇ‰‡тно„о конfl ‰лfl н‡хож‰ениfl сильно„о пс傉опосто„о числ‡. Теоем‡ Эйле‡ (Euler’s theorem). Обобщение М‡лой теоемы Фем‡, ‚ котоой мо‰уль fl‚лflетсfl целым числом. Т‡нспотный ежим (transport mode). Режим ‚ IPSec, котоый з‡щищ‡ет инфом‡цию, ‰ост‡‚лflемую от т‡нспотно„о уо‚нfl ‰о сете‚о„о уо‚нfl. Техк‡тный DES (3DES triple DES). Шиф, котоые использует ти экземплfl‡ шифо‚ DES ‰лfl шифниfl и ти экземплfl‡ об‡тных шифо‚ DES ‰лfl ‰ешифниfl. Техк‡тный DES с темfl ключ‡ми (triple DES with three keys). Ре‡лиз‡циfl техк‡тно„о DES, „‰е есть ти ключ‡: K1 , K2 и K3. Техк‡тный DES с ‰‚умfl ключ‡ми (triple DES with two keys). Ре‡лиз‡циfl техк‡тно„о DES, „‰е есть только ‰‚‡ ключ‡: K1 и K2 . Пе‚ый и тетьи к‡сꇉы используют K1; ‚тоой к‡сꇉ использует K2. Ти„‡мм‡ (trigram). Сток‡ с темfl буꂇми. Туннельный ежим (tunnel mode). Режим ‚ IPSec, котоый з‡щищ‡ет полный п‡кет IP. Он пиним‡ет IP п‡кет, ‚ключ‡fl 燄оло‚ок, пименflет мето‰ы безоп‡сности IPSec к полному п‡кету и з‡тем ‰оᇂлflет но‚ый 燄оло‚ок IP. У Услу„и безоп‡сности (security services). Пflть услу„, с‚flз‡нных с целflми безоп‡сности и ‡т‡к‡ми: конфи‰енци‡льность ‰‡нных, целостность ‰‡нных, ‡утентифик‡циfl, исключение отк‡з‡ от сообщениfl и уп‡‚ление ‰оступом. Уп‡‚ление ‰оступом (access control). Служб‡ безоп‡сности, кото‡fl з‡щищ‡ет поти‚ неп‡‚омочно„о ‰оступ‡ к ‰‡нным. Т‡кже мех‡низм безоп‡сности, котоый по‚еflет п‡‚о пользтелfl об‡титьсfl к опе‰еленным ‰‡нным. Уп‡‚ление м‡шутиз‡цией (routing control). Мех‡низм безоп‡сности, котоый непеы‚но изменflет ‰оступные м‡шуты меж‰у пе則тчиком и пиемником, чтобы не ‰‡ть поти‚нику по‰слуш肇ть конкетный м‡шут. Уо‚ень безоп‡сных озеток (SSL — Secure Sockets Layer). Потокол, со片нный ‰лfl обеспечениfl безоп‡сности и сж‡тиfl ‰‡нных, поступи‚ших от пик뇉но„о уо‚нfl. Услу„и обеспечениfl безоп‡сности (SA — Security Association). В IPSec — ло„ические отношениfl меж‰у ‰‚умfl хост‡ми. Услу„и безоп‡сности (security services). Пflть услу„, с‚flз‡нных с целflми безоп‡сности и ‡т‡к‡ми: конфи‰енци‡льность ‰‡нных, целостность ‰‡нных, ‡утентифик‡циfl, исключение отк‡з‡ от сообщениfl и уп‡‚ление ‰оступом. 741

Кус

Кипто„‡фиfl и безоп‡сность сетей

Услу„и обеспечениfl безоп‡сности Интенет и потокол уп‡‚лениfl ключ‡ми (ISAKMP — Internet Security Association and Key Management Protocol) — потокол, ‡з‡бот‡нный А„ентст‚ом Н‡цион‡льной Безоп‡сности (NASA), котоый усо‚ешенст‚ует с‚ойст‚‡, опе‰еленные ‚ IKE. Усо ‚е шен ст ‚о ‚‡н ный ст‡н ‰‡т ши ф о ‚‡ ниfl (AES — Advanced Encryption Standard) — блочный шиф не-Ф‡йстелfl с симметичными ключ‡ми, и片нный NIST. Уст‡но‚ление по‰линности с нуле‚ым ‡з„л‡шением (zero-knowledge authentication). Мето‰ ‡утентифик‡ции объект‡, ‚ котоом петен‰ент не ‡скы‚‡ет ниче„о, что мо„ло бы со片ть оп‡сность конфи‰енци‡льности и безоп‡сности. Петен‰ент ‰ок‡зы‚‡ет ‚еифик‡тоу, что он зн‡ет секетную инфом‡цию, не ‡скы‚‡fl ее. Устойчи‚ость к коллизиflм (collision resistance). С‚ойст‚о функции кипто„‡фическо„о хэшиниfl. Г‡‡нтиует, что злоумышленник не может н‡йти ‰‚‡ сообщениfl, т‡кие, котоые пи хэшинии пи‚о‰flт к тому же с‡мому ‰‡й‰жесту. Устойчи‚ость к пооб‡зу (preimage resistance). Жел‡тельное с‚ойст‚о функции кипто„‡фическо„о хэшиниfl, пи котоом ‰‡ны h и y = h (M) и ‰лfl поти‚ник‡ ‰олжно быть чез‚ыч‡йно ту‰но н‡йти любое сообщение M’, т‡кое, что y = h (М.’). Устойчи‚ость ко ‚тоому пооб‡зу (second preimage resistance). Жел‡тельное с‚ойст‚о ‚ функции кипто„‡фическо„о хэшиниfl, ‚ котоой ‰‡ны М. и h (M), и злоумышленник не может н‡йти ‰у„ое сообщение М’, т‡кое, что h (М’) = h (M). Ф Фе‰е‡льный Ст‡н‰‡т Об‡ботки Инфом‡ции (FIPS — FEDERAL INFORMATION PROCESSING STANDARD). Амеик‡нский ‰окумент, опе‰елflющий ст‡н‰‡т об‡ботки ‰‡нных. Фиксинный мето‰ Диффи-Хеллм‡н‡ (fixed Diffie-Hellman). В SSL или TLS — ‚есиfl потокол‡ Диффи-Хеллм‡н‡, ‚ котоом к‡ж‰ый объект может со片ть фиксинный полуключ и пе則ть полуключи, ‚не‰енные ‚ сетифик‡т. Фиксинный п‡оль (fixed-password). П‡оль, котоый используетсfl нео‰нок‡тно ‰лfl к‡ж‰о„о ‰оступ‡. Фи-функциfl Эйле‡ (Euler’s phi-function). Функциfl, кото‡fl н‡хо‰ит число целых чисел, котоые fl‚лflютсfl и меньшими, чем n, и ‚з‡имно постыми с n. Функциfl (function). Отоб‡жение, котоое с‚flзы‚‡ет о‰ин элемент ‚ н‡бое A, н‡зы‚‡емомол‡сть опе‰елениfl, с о‰ним элементом ‚ н‡бое B, н‡зы‚‡емом ‰и‡п‡зон. Функции кипто„‡фическо„о хэшиниfl (cryptographic hash function). Функциfl, кото‡fl со片ет н‡мно„о более кооткий ‚ыхо‰ инфом‡ции от 燉‡нной инфом‡ции н‡ ‚хо‰е. Чтобы быть полезной, функциfl ‰олжн‡ быть стойкой, к ‡т‡к‡м пооб‡з‡ и коллизии. 742

Глосс‡ий

Функциfl об‡тной с‚flзи (feedback function). Функциfl, используем‡fl ‚ е„исте с‰‚脇 с об‡тной с‚flзью. Вхо‰ к функции — зн‡чениfl ‚сех flчеек; ‚ыхо‰ — зн‡чение пе‚ой flчейки. Функциfl ‡сшиениfl ‰‡нных (data expansion function). В потоколе TLS — функциfl, кото‡fl использует з‡‡нее 燉‡нный HAMAC (HASH — Based Message Authentication Code), чтобы у‚еличить ‰лину секетных ‰‡нных. Функциfl сж‡тиfl (compression function). Функциfl, кото‡fl со片ет ‰‡й‰жест фиксинно„о ‡зме‡ из сообщениfl пееменно„о ‡зме‡. Х Х‡‡ктеистический полином (characteristic polynomial). Полином, пе‰ст‡‚лflющий функцию инфом‡ции об‡тной с‚flзи ‚ линейном е„исте с‰‚脇 (см. линейный е„ист LFSR). Хэшиние (hashing) — кипто„‡фическ‡fl мето‰ик‡, ‚ котоой ‰‡й‰жест сообщениfl фиксинной ‰лины со片етсfl из сообщениfl пееменной ‰лины. Хэшинное сообщение по‰т‚еж‰ениfl по‰линности (hashed message authentication). По‰т‚еж‰ение по‰линности (‡утентифик‡циfl), использующее ‰‡й‰жест сообщениfl. Хэш-функциfl Whirlpool (Whirlpool hash function). Ите‡ти‚н‡fl функциfl кипто„‡фическо„о хэшиниfl, о‰обенн‡fl NESSIE. Осно‚‡н‡ н‡ кипто„‡фической системе Whirlpool. Ц Целостность (integrity). См. целостность ‰‡нных. Цент сетифик‡ции (CA — Certification Authority) — о„‡низ‡циfl, кото‡fl с‚flзы‚‡ет откытый ключ с объектом и ‚ы‡б‡ты‚‡ет сетифик‡т. Циклическ‡fl пупп‡ (cyclic subgroup). Пупп‡, кото‡fl может быть с„енеин‡, используfl ‚оз‚е‰ение ‚ степень элемент‡ ‚ „уппе. Цели безоп‡сности (security goals). Ти цели инфом‡ционной безоп‡сности: конфи‰енци‡льность, целостность и „ото‚ность. Целостность ‰‡нных (data integrity). Услу„‡ безоп‡сности, ‡з‡бот‡нн‡fl ‰лfl з‡щиты ‰‡нных от мо‰ифик‡ции, ‚ст‡‚ки, у‰‡лениfl и по‚тоной имит‡ции. Т‡кже мех‡низм безоп‡сности, котоый ‰оᇂлflет к ‰‡нным (‚ конец) кооткую по‚еочную комбин‡цию, со片нную опе‰еленным поцессом с‡мостоflтельно от ‰‡нных. По‚ек‡ может быть использн‡, чтобы з‡щитить целостность ‰‡нных. Цент ‡спе‰елениfl ключей (KDC — Key-Distribution Center). Тетье лицо, котоому ‰о‚еflют ‡спе‰еление секетных ключей меж‰у ‰‚умfl стоон‡ми. Цебе (Kerberos). Потокол ‡утентифик‡ции и т‡кже Цент ‡спе‰елениfl ключей (KDC), ‡з‡бот‡нный ‚ MIT. Цифо‚ой Ал„оитм По‰писи (DSA — Digital Signature Algorithm) — цифо‚ой ‡л „о итм по‰ пи си, ис поль зуе мый Ци ф о ‚ым Ст‡н ‰‡ том По‰ пи си (DSS). 743

Кус

Кипто„‡фиfl и безоп‡сность сетей

Цифfl по‰пись (digital signature) — мех‡низм безоп‡сности, пи котоом отп‡‚итель может с помощью электоники по‰пис‡ть сообщение, ‡ пиемник может по‚еить сообщение, чтобы ‰ок‡з‡ть, что сообщение ‰ейст‚ительно по‰пис‡но отп‡‚ителем. Ч Числ‡ Фем‡ (Fermat’s number). Множест‚о целых чисел ‚ фоме Fn = 22n + 1, „‰е n — целое число. Число Месенны (Mersenne’s number). Множест‚о целых чисел ‚ фомуле Mp = 2 p – 1, „‰е p — постое число. Ш Шиф (cipher) — ‡л„оитм ‰ешифниfl и/или шифниfl. Шиф Вижене‡ (Vigenere’s cipher). Мно„о‡лф‡‚итный шиф, ‡з‡бот‡нный Блезом Виженеом, ‚ котоом поток ключей fl‚лflетсfl по‚тоением н‡ч‡льно„о поток‡ ключ‡ з‡секеч肇ниfl. Шиф т‡нспозиции (transposition cipher). Шиф котоый пеемещ‡ет сим‚олы ‚ исхо‰ном тексте, чтобы со片ть з‡шифнный текст. Шиф не-Ф‡йстелfl (non-Feistel’s cipher). Сост‡‚ной шиф, котоый использует только об‡тимые компоненты. Шифние (encryption). Поце‰у‡ получениfl з‡шифнно„о текст‡ из исхо‰но„о текст‡ пи помощи кипто„‡фической системы. Шифние симметичными ключ‡ми (symmetric-key encipherment). Шифние, котоое использует кипто„‡фическую систему с симметичными ключ‡ми. Шиф, оиентинный н‡ биты (bit-oriented cipher). Шиф, ‚ котоом сим‚олы ‚ исхо‰ном тексте, з‡шифнном тексте и ключе fl‚лflютсfl бит‡ми. Шиф, оиентинный н‡ сим‚ол (character-oriented cipher). Шиф, ‚ котоом сим‚олы ‚ исхо‰ном тексте, з‡шифнном тексте и ключе fl‚лflютсfl буꂇми или циф‡ми. Шиф по‰ст‡но‚ки (substitution cipher). Шиф, котоый з‡менflет о‰ин сим‚ол ‰у„им. Шиф с ‡‚том‡тическим ключом. Шиф поток‡, ‚ котоом к‡ж‰ый по‰ключ ‚ потоке fl‚лflетсfl тем же с‡мым, что и пе‰ы‰ущий сим‚ол исхо‰но„о текст‡. Пе‚ый по‰ключ — секетный по со„л‡шению меж‰у ‰‚умfl стоон‡ми. Шифние с ‡симметичными ключ‡ми (asymmetric-key encipherment). Шифние, использующее киптосистему с ‡симметичными ключ‡ми. Шиф с ‰‚ойной пеест‡но‚кой (double transposition cipher). Шиф т‡нспозиции, ‚ котоом о‰ни и те же ‡л„оитмы шифниfl и ‰ешифниfl по‚тоflютсfl с ‰‚умfl ключ‡ми или о‰ним и тем же ключом. Шиф плейфее‡ (playfair’s cipher). Мно„о‡лф‡‚итный шиф, ‚ котоом ключ з‡секеч肇ниfl состоит из 25 бук‚ ‡лф‡‚ит‡, ‡змещенных ‚ м‡тице 5 × 5. Шиф поток‡ (stream cipher). Тип шиф‡, ‚ котоом шифние и ‰ешифние ‚ыполнflютсfl о‰но‚еменно только с о‰ним сим‚олом (т‡ким к‡к сим‚ол или бит). 744

Глосс‡ий

Шиф Ф‡йстелfl (Feistel’s cipher). Кл‡сс сост‡‚ных шифо‚, состоflщих и из об‡тимых, и из необ‡тимых компоненто‚. Шиф Ф‡йстелfl комбиниует ‚се необ‡тимые элементы ‚ мо‰уле (‚ этой кни„е н‡зы‚‡емом «смеситель») и использует тот же с‡мый мо‰уль ‚ ‡л„оитм‡х ‰ешифниfl и шифниfl. Шиф Хилл‡ (Hill’s cipher). Мно„о‡лф‡‚итный шиф, ‚ котоом исхо‰ный текст ‡з‰елен н‡ блоки ‡‚но„о ‡зме‡, и блоки з‡шифны по о‰ному т‡ким способом, что к‡ж‰ый сим‚ол ‚ блоке ‚носит ‚к뇉 ‚ шифние ‰у„их сим‚оло‚ ‚ блоке. Шиф Цез‡fl (Caesar’s cipher). А‰‰ити‚ный шиф с ключом, имеющим фиксинное зн‡чение. Использлсfl Юлием Цез‡ем. Э Экзистенци‡льн‡fl пелк‡ (existential forgery). Тип пелки по‰писи, ‚ котоой пелы‚‡ющий может и способен со片ть п‡‚ильную п‡у по‰пись/сообщение, но не может е‡льно ее использть. Электонн‡fl почт‡ (electronic mail — e-mail) — электонн‡fl ‚есиfl почты. Эллиптические ки‚ые (elliptic curves). Кубические у‡‚нениfl с ‰‚умfl пееменными сле‰ующей фомы: y2 + b1 xy + b2y = x 3 + a1 x2 + a2x + a 3. Эне„ичный ежим (aggressive mode) — ежим ‚ IKE, котоый fl‚лflетсfl сж‡той ‚есией соот‚етст‚ующе„о осно‚но„о ежим‡ и использует обмен темfl сообщениflми ‚место шести.

745

Кус

Кипто„‡фиfl и безоп‡сность сетей

Лите‡ту‡ [Bar02]

Barr, T. Invitation to Cryptology. Upper Saddle River, NJ: Prentice Hall, 2002. [Bis03] Bishop, D. Cryptography with Java Applets. Sudbury, MA: Jones and Bartlett, 2003. [Bis05] Bishop, M. Computer Security. Reading, MA: Addison-Wesley, 2005. [Bla03] Blahut, U. Algebraic Codes for Data Transmission. Cambridge: Cambridge University Press, 2003. [BW00] Brassoud, D., and Wagon, S. Computational Number Theory. Emerville, CA: Key College, 2000. [Cou99] Coutinho, S. The Mathematics of Ciphers. Natick, MA: A. K. Peters, 1999. [DF04] Dummit, D., and Foote, R. Abstract Algebra. Hoboken, NJ: John Wiley & Sons, 2004. [DH03] Doraswamy, H., and Harkins, D. IPSec. Upper Saddle River, NJ: Prentice Hall, 2003. [Dur05] Durbin, J. Modern Algebra. Hoboken, NJ: John Wiley & Sons, 2005. [Eng99] Enge, A. Elliptic Curves and Their Applications to Cryptography. Norwell, MA: Kluver Academic, 1999. [For06] Forouzan, B. TCP/IP Protocol Suite. New York: McGraw-Hill, 2006. [For07] Forouzan, B. Data Communication and Networking. New York: McGraw-Hill, 2007. [FraOl] Frankkel, S. Demystifying the IPSec Puzzle. Norwood, MA: Artech House, 2001. [GarOl] Garret, P. Making, Breaking Codes. Upper Saddle River, NJ: Prentice Hall, 2001. [Kah96] Kahn, D. The Code breakers: The Story of Secret Writing. New York: Scribner,,1996. [KPS02] Kaufman, C., Perlman, R., and Speciner, M. Network Security. Upper Saddle River, NJ: Prentice Hall, 2001. [LEF04] Larson, R., Edwards, B., and Falvo, D. Elementary Linear Algebra. Boston: Houghton Mifflin, 2004. [Mao04] Mao, W. Modern Cryptography. Upper Saddle River, NJ: Prentice Hall, 2004. [MOV97] Menezes, A., Oorschot, P., and Vanstone, S. Handbook of Applied Cryptography. New York: CRC Press, 1997. [PHS03] Pieprzyk, J., Hardjono, T., and Seberry, J. Fundamentals of Computer Security. Berlin: Springer, 2003. 746

Список лите‡туы

[Res0l] [Rhe03] [Ros06] [Sal03] [Sch99] [Sta06] [Sti06] [Tho00] [TW06] [Vau06]

Rescoria, E. SSL and TLS. Reading, MA: Addison-Wesley, 2001. Rhee, M. Internet Security. Hoboken, NJ: John Wiley & Sons, 2003. Rosen, K. Elementary Number Theory. Reading, MA: AddisonWesley, 2006. Solomon, D. Data Privacy and Security. Berlin: Springer, 2003. Schneier, B. Applied Cryptography. Reading, MA: Addison-Wesley, 1996. Stallings, W. Cryptography and Network Security. Upper Saddle River, NJ: Prentice Hall, 2006. Stinson, D. Cryptography: Theory and Practice. New York: Chapman & Hall/CRC, 2006. Thomas, S. SSL and TLS Essentials. New York: John Wiley & Sons, 2000. Trappe, W., and Washington, L. Introduction to Cryptography and Coding Theory. Upper Saddle River, NJ: Prentice Hall, 2006. Vaudenay, S. A Classical Introduction to Cryptography. New York: Springer, 2006.

747

Кус

Кипто„‡фиfl и безоп‡сность сетей

Пе‰метный ук‡з‡тель 2DES См. ‰‚ойной DES A5/1 AddRoundKey Blum Blum Shub (BBC) CAST 128 ClientHello Message Fortezza GF (2n) GF (p) GF (pn) HAVAL IDEA InvAddRoundKey InvMixColumns InvShiftRows InvSubBytes IPv4 IPv6 MASH MixColumns MixRows nonce RACE Integrity Primitives Evaluation Message Digest (RIPMED) 394 Radix-64 RC4 RSA ‡т‡ки „ене‡циfl ключей ‰ок‡з‡тельст‚о кипто„‡фическ‡fl систем‡ ошибк‡ ‚ пе則че по‰пис‡ние и по‚ек‡ екоме퉇ции схем‡ цифо‚ой по‰писи число бито‚ RotWord SHA з‡полнение ‡сшиение сл

See double DES 267-269 230 672 674 568 546 130 128 129 394 674 239 228 226 221 592 592 390 228 411 442 394 394 533 264-269 318, 327-338, 340, 342 429 attacks 427 key generation 330 proof 327 cryptosystem 370 transmission media 428 signing and verifying 338 recommendations 427 digital signature scheme 338 number of bits 233 394 SHA 398 padding 399 word expansion 748

Пе‰метный ук‡з‡тель

SHA-512 иници‡лиз‡циfl по об‡зцу пото‚к‡ сообщениfl поле ‰лины ‡зложение н‡ множители с‚е‰ениfl к сее‰ине

392, 396 400 77 397 398 322 207, 380

сл слfl стукту‡ ‡у퉇 фин‡льное сложение функциfl сж‡тиfl ShiftColumns ShiftRows SubBytes SubWord Whirlpool ‡н‡лиз пото‚к‡ X.509 ‡ннулиние сетифик‡т‡ ‡ннулиние сетифик‡т‡ с помощью ‰ельт‡ списк‡ ‚озобно‚ление сетифик‡т‡ сетифик‡т X.800 ZIP сж‡тие ‰екомпессиfl Zn Zn* Zp Zp*

399 451 402 402 401 408 226 221, 407 233 392, 405 414 405 490 493 494

А ‡бел傇 „упп‡ ‡„ент пользтелfl (UA) ‡„ент‡ ‰оступ‡ к сообщению (MAA) ‡‰‰ити‚н‡fl ин‚есиfl эллиптическ‡fl к肇fl ‡‰‰ити‚ный шиф ключ с‰‚脇

493 490 25 682 682 684 48-59 58-59, 58,119 59, 119, 602

119, 351 501 502 54 353 80-81 80-81 749

SHA-512 initialization pattern attack message preparation length field factorization attack meet-in-the-middle attack words dictionary attack structure of round final adding compression function

Whirlpool chiper Analysis Preparation X.509 certificate renewal delta revocation certificate revocation certificate ZIP compression decompression

abelian group user agent (UA) message access agent (MAA) additive inverse elliptic curve additive cipher shift cipher

Кус

Кипто„‡фиfl и безоп‡сность сетей

кипто‡н‡лиз шиф Цез‡fl ‡‰ес‡циfl ‡кти‚н‡fl ‡т‡к‡ ‡‰ес IP ‡‰минист‡циfl Интенет ‡‰ес пот‡ ‡‰ес с‚flзи ‡л„еб‡ические стуктуы Ал„оитм Безоп‡сно„о хешиниfl ‡л„оитм Л‡с-В儇с‡ ‡л„оитм Монте-К‡ло ‡л„оитм по‰пис‡ниfl ‡л„оитмы хешиниfl ‡л„оитмы шифниfl Ал„оитм Цифо‚ой по‰писи (DSA) (DSA) Амеик‡нский н‡цион‡льный Институт Ст‡н‰‡то‚ Амеик‡нские Ст‡н‰‡тные Ко‰ы ‰лfl Инфом‡ционно„о Обмен‡ ‡н‡лиз т‡фик‡ ‡нонимный потокол Диффи-Хелм‡н‡ ‡ифметики целых чисел ‡хитекту‡ электонной почты ‡„ент ‰оступ‡ к сообщению (MAA) ‡„ент пользтелfl (UA) безоп‡сность кипто„‡фические ‡л„оитмы кипто„‡фическ‡fl секетность почто‚ые се‚еы (MTA)

81 80-81 644-645 24 643-645 637 645 645 37, 119 394 681 681 420 394 73 437

cryptanalysis Caesar cipher addressing active attack address Internet administration port address link address algebraic structures Algorithm Las Vegas algorithm Monte Carlo algorithm signing algorithm hash algorithms encryption algorithm Digital Signature Algorithm

640

American National Standards Institute (ANSI) Standard Code for Information Interchange (ASCII) traffic analysis anonymous Diffie-Hellman

сетифик‡ты ‡симптотическ‡fl сложность ‡ссоци‡ти‚ность Ассоци‡циfl Электонных От‡слей помышленности (EIA) ‡т‡к‡ ‡н‡лиз т‡фик‡ ‚оспоиз‚е‰ениfl ‚ыбоки шифнно„о текст‡ ‚ыбоки исхо‰но„о текст‡

504 677 120 640

634 22 545 37 501 502 501 503 503 503 501

21 22 22, 604 79 78 750

integer arithmetic e-mail architecture message access agent (MAA) user agent (UA) security cryptographic algorithms cryptographic secrets message transfer agent (MTA) certificates asymptotic complexity associatively Electronic Industries Association (EIA) attack traffic analysis replay attack chosen-ciphertext chosen-plaintext

Пе‰метный ук‡з‡тель

‰искетно„о лифм‡ зн‡ниfl исхо‰но„о текст‡ имит‡циfl источник‡ исхо‰но„о текст‡ мо‰ифик‡ции н‡ мо‰уль н‡ RSA н‡ по‰пис‡нные ‰‡й‰жесты RSA н‡ пок‡з‡тель степени ‰ешиф‡ции н‡ пок‡з‡тель степени шифниfl н‡ е‡лиз‡цию н‡ случ‡йную Мо‰ель О‡кул‡ отк‡з от сообщениfl посе‰ник‡

484 77, 348 22 335 22 336 332 430

только з‡шифнно„о текст‡ н‡ цифо‚ую по‰пись пе則ч‡ по цепочке у„оз‡ „ото‚ности у„оз‡ конфи‰енци‡льности

76 425 486 23 22

у„оз‡ целостности ‡т‡к‡ слfl ‡т‡к‡ только н‡ ключ ‡утентифик‡циfl источник‡ ‰‡нных

334 334 336 374 22 485, 604

220 451 426 25 448

н‡ осно‚е п‡олfl

449

сообщениfl н‡ осно‚е шиф‡

385-386

‡утентифик‡циfl ‚ызо‚-от‚ет ‡утентифик‡циfl использние функции ключе‚о„о хешиниfl использние шиф‡ с ‡симметичными ключ‡ми использние шиф‡ с симметичными ключ‡ми использние цифо‚ой по‰писи

454 454 456 457 454 458 751

discrete logarithm known-plaintext attack masquerading plaintext attacks modification on the modulus on RSA on RSA signed digests on the decryption exponent on the encryption exponent on implementation on random Oracle Model repudiation Man-in-the-middle attack ciphertext-only on digital signature bucket brigade attack threatening availability threatening confidentiality threatening integrity dictionary attack key-only attack Authentication data-origin authentication password-based authentication cipher-based message authenti-cation (CMAC) challenge-response authentication authentication using keyed-hash functions using asymmetric-key cipher using symmetric-key cipher using digital signature

Кус

Кипто„‡фиfl и безоп‡сность сетей

‡утентифик‡ций объект‡ и уп‡‚ление ключ‡ми нечто из‚естные нечто, чем об뇉‡ет нечто с‚ойст‚енные ‡ффинный шиф Б б‡з‡ ‰‡нных безоп‡сности (SAD) Б‡з‡ ‰‡нных ст‡те„ии обеспечениfl безоп‡сности (SPD) Безоп‡сное/Мно„оцеле‚ое ‡сшиение почты (S/MIME) кипто„‡фические ‡л„оитмы Кипто„‡фический Синт‡ксис Сообщениfl(CMS) пиложениfl уп‡‚ление ключ‡ми безоп‡сность безоп‡сность IP (IPSec) с‡‚нение AH и ESP ‡т‡к‡ ‚оспоиз‚е‰ениfl ‡т‡к‡ посе‰ник‡

449 449 449 449 85

595 597 528-434 538 535 539 538 24, 345, 348, 358 586 592 604 604

‡утентифик‡циfl (уст‡но‚ление 593 по‰шинности) объект‡ б‡з‡ ‰‡нных безоп‡сности 595 б‡з‡ ‰‡нных ст‡те„ии обеспечениfl безоп‡сности и‰е‡льн‡fl пflм‡fl безоп‡сность (PFS) исхо‰flщ‡fl Б‡з‡ ‰‡нных Ст‡те„ии Безоп‡сности (SPD) 燄оло‚ок ‡утентифик‡ции

597

з‡соflющ‡fl ‡т‡к‡ ‚хо‰flщ‡fl Б‡з‡ ‰‡нных Ст‡те„ии Безоп‡сности (SPD) конфи‰енци‡льность

602 599

617 598

589

593 752

entity authentication and key management something known something possessed something inherent affine cipher

Security Association Database (SAD) Security Policy Database (SPD) Secure/Multipurpose Internet Mail Extension (S/MIME) cryptographic algorithms Cryptographic Message Syntax (CMS) 4 applications key management security IP Security (IPSec) AH versus ESP replay attack man-in-the-middle attack entity authentication 5 security Association Database (SAD) Security Policy Database (SPD) 560 Perfect Forward Security (PFS) outbound Security Policy Database (SPD) authentication Header(AH) clogging attack inbound Security Policy Database (SPD) confidentiality

Пе‰метный ук‡з‡тель

обеспеч肇емые услу„и Обмен ключ‡ми ‚ Интенет полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой (ESP) Потокол Интенет обмен‡ ключ‡ми (IKE) Потокол Оклеfl потоколы т‡нспотный ежим туннельный ежим уп‡‚ление ‰оступом Услу„и обеспечениfl безоп‡сности Интенет и Потокол Уп‡‚лениfl ключ‡ми (ISAKMP) услу„и обеспечениfl безоп‡сности (SA) ф‡зы IKE целостность сообщениfl Безоп‡сность Т‡нспотно„о уо‚нfl А‚‡ийный Потокол ‚есии „ене‡циfl кипто„‡фической секетности „л‡‚ный секетный ко‰ м‡теи‡л ‰лfl ключей н‡бо шифо‚ п剂‡ительный „л‡‚ный секетный ко‰ потокол пе則чи з‡писей потокол уст‡но‚лениfl сое‰инениfl пс傉ослуч‡йн‡fl функциfl (PRF) сообщение Finished сообщение сетифик‡т ‚еифицин функциfl ‡сшиениfl ‰‡нных бесконечн‡fl „упп‡ бесспон‡fl цифfl по‰пись бин‡н‡fl опе‡циfl биометические

592 601 691 601 601 586 587 588 593 618

594 605 593 542-584 579 575 575

services provided Internet Key Exchange (IKE) Encapsulating Security Payload Internet Key Exchange (IKE) Okley protocol protocols transport mode tunnel mode access control Internet Security Association and Key Management Protocol (ISAKMP) security association (SA)

577 578 575 577

IKE Phases message integrity Transport Layer Security Alert Protocol version generation of cryptographic secrets master secret key material cipher suite pre-master secret

580 579

Record Protocol Handshake Protocol

576 580 580 575 123 443 38 464 753

pseudorandom function (PRF) Finished Message Certificate Verify Message data-expansion function infinite group undeniable signature binary operation biometric

Кус

Аутентифик‡циfl (уст‡но‚ление по‰линности) ДНК компоненты лицо по‚е‰енческие мето‰ы пиложениfl е„ист‡циfl точность блоки сж‡тиfl-P блок P блоки P-‡сшиениfl блок S блок пеест‡но‚ки (P-блоки) блок по‰ст‡но‚ки (S-блок) блочные шифы быстое ‚оз‚е‰ение ‚ степень В ‚еифик‡то ‚еоflтностные ‡л„оитмы ‡л„оитм Л‡с-В儇с‡ Монте-К‡ло ‚еоflтностные отношениfl ‚еоflтность ‡ксиомы ‚ычислительн‡fl кл‡ссическ‡fl опе‰еление езульт‡ты с‚ойст‚‡ случ‡йные пееменные случ‡йный экспеимент событиfl ст‡тистические типо‚ое пост‡нст‚о усло‚н‡fl ‚з‡имно постые ‚меш‡тельст‚о ‚оз‚е‰ение ‚ степень и лифм ‚озможно сл‡бые ключи ‚хо‰ной блокнот (ipad) ‚ыхо‰ной блокнот

Кипто„‡фиfl и безоп‡сность сетей

464

authentication

467 464 466 467 468 464 467 151 150-153 152 153 150-153 153-154 110 304

DNA components face 433 behavioral techniques applications enrollment accuracy compression P-box 1 P-Box expansion P-Boxes S-box permutation box (P-box) substitution box (S-box) block cipher fast exponentiation

448 681 681 681

verifier probabilistic algorithms Las Vegas algorithm Monte Carlo probabilistic relations probability axioms computational classical assignment outcomes properties random variables random experiment event statistical sample space conditional relatively prime snooping exponentiation possible weak keys input pad (ipad) output pad

646-649 647 647 647 647 646 648 649 646 646 646 646 646 277 22 34 205 383 384 754

Пе‰метный ук‡з‡тель

‚ычислительное опе‰еление ‚еоflтности ‚ычет Г „ене‡то н‡ осно‚е кипто„‡фической системы „ене‡циfl ключей

647 47

computational probability assignment residue

673

cryptosystem-based generators

267, 269, 329, key generation 343, 346 „ене‡то пс傉ослуч‡йных 670 pseudorandom number чисел (PRNG) generator (PRNG) ANSI X9.17 673 PGP 674 „ене‡тоы случ‡йных чисел (RNG) 270, 670 random number generators (RNG) „енеиние постых чисел 283 generating primes „뇂ный секетный ко‰ 549 master secret Глоб‡льн‡fl Систем‡ Мобильной 267 Global System for Mobile С‚flзи (GSM) communication (GSM) „ото‚ность 19, 20 availability „упп‡ 119, 122, 123 group „упп‡ „енеиниfl ключей 328 key-generation group Гупп‡ Инжененой Пежки 638 Internet Engineering Task Сети Интенет (IEFT) Force (IETF) „упп‡ пеест‡но‚ки 122 permutation group Гупп‡ по коо‰ин‡ции ‡з‡боток 639 Internet Engineering Steering Интенет Group (IESG) Гупп‡ экспето‚ по кинем‡то532 Movie Picture Expert Group „‡фии (MPEG) (MPEG) Гупп‡ Руко‚о‰ст‚‡ Иссле‰о‚‡ниflми 639 Internet Research Steering ‚ сети Интенет (IRSG) Group (IRSG) Д ‰‡й‰жест сообщениfl ‰‡нные ‡утентифик‡ции поле SPI поле ‰‡нных ‡утентифик‡ции полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой (ESP) поfl‰ко‚ый номе сле‰ующее поле 燄оло‚к‡ ‰‚ук‡тный DES (2DES)

393 590 590 591

Message Digest authentication data SPI field authentication data field

591

ESP – Encapsulating Security Payload sequence number next header field double DES (2DES) 1

590 590 207 755

Кус

‰еление целых чисел ‰етемининный поцесс c инфом‡цией об‡тной с‚flзи ‰ешифние ‰етемининный ‡л„оитм ‰и‡„‡мм‡ ‰искетный лифм ‰елимость Диоф‡нто‚ы у‡‚нениfl ‰иффеенци‡льный кипто‡н‡лиз ‰иффеенци‡льный поф‡йл Диффи-Хеллм‡н (потокол) ‡н‡лиз ‡т‡к‡ «посе‰ниꇻ

Кипто„‡фиfl и безоп‡сность сетей

безоп‡сность ключе‚ое со„л‡шение кипто„‡фическ‡fl систем‡ потокол ‰о‚еенность ‰оменн‡fl систем‡ имен ‰ост‡‚к‡ с лучшими н‡меениflми

integer division deterministic process with feedback 329, 343, 346 decryption 284 deterministic algorithms 84 diagram 307, 345, 484 discrete logarithm 715 divisibility 46 Diophantine equations 166, 687 differential cryptanalysis 687, 688 differential profiles 482, 602 Diffie-Hellman 483 analysis 485 man-in-the-middle attack 484 security 482 key agreement 318 cryptosystem 482 protocol 27 notarization 642 Domain Name System (DNS) 643 best-effort delivery

Е е‚кли‰о‚ ‡л„оитм е‰иничн‡fl м‡тиц‡

42, 715, 716 60

Euclidean algorithm identity matrix

З з‡„оло‚ок ‡утентифик‡ции з‡мкнутость з‡полнение т‡фик‡ З‡пос о Коммент‡ии (RFC) з‡соflющ‡fl ‡т‡к‡ з‡х‚‡т з‡шифнно„о текст‡ з‡шифнный текст

589 120 26 635-639 602 252, 254 73

Authentication Header (AH) closure traffic padding Request for Comment (RFC) clogging attack ciphertext stealing , (CTS) ciphertext

617

Perfect Forward Security (PFS)

679 471-477

complexity hierarchy hierarchical multiple KDC’s

22

masquerading

И И‰е‡льн‡fl пflм‡fl безоп‡сность (PFS) ие‡хии сложности ие‡хическое множест‚о Центо‚ ‡спе‰елениfl ключей имит‡ции источник‡

38 670

756

Пе‰метный ук‡з‡тель

ин‚есиfl полиноми‡льн‡fl сложениfl умножениfl Институт инженео‚ по электотехнике и ‡‰иоэлектонике (ИИЭР) ин‰екс п‡‡мет‡ обеспечениfl безоп‡сности (SPI) Интенет Потокол (IP) Инф‡стукту‡ Откыто„о ключ‡ ие‡хическ‡fl мо‰ель мо‰ель «к‡ж‰ый с к‡ж‰ым» мо‰ель ‰о‚еиfl сеть ‰о‚еиfl исключение отк‡з‡ от сообщениfl исключ‡ющее ИЛИ исключ‡ющее ИЛИ ‚ DES Иссле‰о‚‡тельск‡fl Гупп‡ сети Интенет (IRTF) испыт‡ние н‡ ‰елимость испыт‡ние ꂇ‰‡тным конем испыт‡ние постоты чисел истинный „ене‡то случ‡йных чисел (TRNG) исхо‰ный текст К к‚‡‰‡тн‡fl м‡тиц‡ ꂇ‰‡тичный ‚ычет (QR) ꂇ‰‡тичный не‚ычет (QNR) ꂇ‰‡тичное ешето ꂇ‰‡тичное с‡‚нение кл‡сс P кл‡сс ‚ычето‚ кл‡ссическое опе‰еление ‚еоflтности кит‡йск‡fl теоем‡ об ост‡тк‡х ключ ключе‚ое ‰ополнение ключе‚ое со„л‡шение ст‡нциик-ст‡нции

54, 139 134 54 54 640

590

Inverse polynomial additive multiplicative Institute of Electrical and Electronics Engineers (IEEE) 6 security parameter index (SPI)

643 494

Internet Protocol (IP) 6 Public-Key Infrastructure (PKI) 495 hierarchical model 496 mesh model 495 trust model 496 web of trust 423, 425 nonrepudiation 129, 155, 156 exclusive-or 188 XOR DES 639 Internet Research Task Force (IRTF) 5 284 divisibility test 287 square root test 284-291 primality testing 778 true random number generator (TRNG) 73 plaintext

60 301 301 298 301 680 53 647

square matrix quadratic residue (QR) quadratic nonresidue (QNR) quadratic sieve quadratic congruence P class residue class classical probability assignment

299-300 73 205 486

Chinese remainder theorem key key complement Station-to-Station key agree ment

757

Кус

ключе‚ой ‰омен мультиплик‡ти‚ный шиф ключ з‡секеч肇ниfl ключ се‡нс‡ ключе‚ой шиф пеест‡но‚ки Ко‰ обн‡ужениfl мо‰ифик‡ции (MDC) Ко‰ уст‡но‚лениfl по‰линности сообщениfl (MAC) ко‰иние н‡ осно‚е слfl ко‰о‚‡fl кн脇 ко‰инные об‡тные с‚flзи кое-что из‚естное кое-что с‚ойст‚енное кое-что, чем об뇉‡ю количест‚о постых чисел кольц‡ кольц‡ ключей комбининн‡fl опе‡циfl коммут‡ти‚н‡fl „упп‡ коммут‡ти‚ное кольцо коммут‡ти‚ность компоненты со‚еменно„о блочно„о шиф‡ кон„уэнтные „ене‡тоы конст‡нт‡ ‡у퉇 конфи‰енци‡льность конфи‰енци‡льность ‰‡нных Копо‡циfl Интенет по е„ист‡ции имен и номео‚ ‰омено‚ (ICANN) коэффициент ложной и‰ентифик‡ции (FAR) ‚еифик‡циfl „олос и‰ентифик‡циfl н‡ж‡тие к뇂иши отпеч‡ток п‡льц‡ по‰пись ‡‰ужн‡fl оболочк‡ уки

Кипто„‡фиfl и безоп‡сность сетей

76 84 76 473, 475, 478, 481, 602 103 380 366, 380, 423, 448 682 101 255 449 449 449 277 126 507 158 119 126 120 150 671 233, 413 19, 20, 366, 425 25 639

468 465 467 465 467 466 467 466 466 758

key domain multiplicative cipher secret key session key keyed transposition ciphers Modification detection code (MDC) Message authentica-tion code (MAC) dictionary-based encoding code book cipher feedback (CFB) something known something inherent something possessed cardinality of primes ring key rings combine operation commutative group commutative ring commutativity components of a modern block cipher congruential generators round constant confidentiality data confidentiality Internet Corporation for Assigned Names and Numbers (ICANN) false acceptance rate (FAR) verification voice identification keystroke fingerprint signature iris hands

Пе‰метный ук‡з‡тель

сетч‡тк‡ физиоло„ические мето‰ы коэффициент‡ ложной те‚о„и (FRR) к‡тко‚еменный мето‰ ДиффиХ‡ллем‡н‡ кипто‡н‡лиз ‡т‡к‡ с ‚ыбокой з‡шифнно„о текст‡ ‡т‡к‡ с ‚ыбокой исхо‰но„о текст‡ ‡т‡к зн‡ниfl исхо‰но„о текст‡ ‡т‡к‡ только з‡шифнно„о текст‡ кипто„‡фии с ‡симметичными ключ‡ми кипто„‡фиfl с симметичными ключ‡ми кипто„‡фии откыто„о ключ‡ Диффи-Хеллм‡н‡ ‡л„оитм RSA ‡л„оитм Эль-Г‡м‡лfl эллиптическ‡fl к肇fl Р‡бин‡ кипто„‡фиfl эллиптической ки‚ой, мо‰елиующ‡fl киптосистему Эль-Г‡м‡лfl. Кипто„‡фический Синт‡ксис Сообщениfl Киптосистем‡ Эль-Г‡м‡лfl „ене‡ции ключей ‰ешифние кипто„‡фии эллиптической ки‚ой пелк‡ по‰т‚еж‰ение по‰пис‡ние и по‰пис‡ние схем цифо‚ой по‰писи схем‡ цифо‚ой по‰писи эллиптической ки‚ой шифние с эллиптической ки‚ой киптосистем‡ н‡ осно‚е мет эллиптических ки‚ых (ЕЭС)

466 465 467

retina 43 physiological techniques

545

ephemeral Diffie-Hellman

76, 82, 90 78

cryptanalysis chosen-ciphertext attack

79

chosen-plaintext attack

77 76

known-plaintext attack ciphertext-only attack

318

asymmetric-key cryptography

73, 248

symmetric-key cryptography

28

public-key cryptography Diffie-Hellman RSA algorithm ElGamal algorithm elliptic curve Rabin elliptic curve cryptography simulating ElGamal

327 345 350 356

534 345-349 431 357 356

Cryptographic Message Syntax (CMS) ElGamal Cryptosystem keys generation decryption elliptic curve cryptography

433 421

forgery verifying and signing

431 356

digital signature scheme encryption with elliptic curve encryption with elliptic curve elliptic curve cryptosystem (ECC)

357 350

759

Кус

ку„fl систем‡ обозн‡чений киптосистем‡ Р‡бин‡ китеий Эйле‡ Л л‡‚инный эффект л‡зейк‡ л‡зейк‡ ‚ о‰ностоонней функции (TOWF) линейн‡fl ‡л„еб‡ линейное ‰иоф‡нто‚о у‡‚нение линейное с‡‚нение линейное у‡‚нение с о‰ной пееменной линейный S-блоко‚ линейный и нелинейный S-блоки (с‡‚нение) линейный кон„уэнтный „ене‡то линейный кипто‡н‡лиз линейный поф‡йл линейный шиф лифм М м‡жоит‡н‡fl функциfl М‡л‡fl теоем‡ Фем‡ м‡ксим‡льн‡fl энтопиfl М‡шутиз‡циfl – сете‚ой уо‚ень м‡теи‡л ‰лfl ключей м‡тиц‡ ‡‰‰ити‚н‡fl ин‚есиfl ‚ычет ‚ычит‡ние „л‡‚н‡fl ‰и‡„он‡ль ‰етемин‡нт ин‚есиfl ꂇ‰‡тн‡fl мультиплик‡ти‚н‡fl ин‚есиfl опе‡циfl е‰иничн‡fl ‡‚енст‚о ск‡лflное умножение сложениfl

Кипто„‡фиfl и безоп‡сность сетей

50 342 302

circular notation Rabin cryptosystem Euler's criterion

199 323, 326 323-324 37 46 64 64

avalanche effect trapdoor trapdoor one-way function (TOWF) linear algebra linear Diophantine equation linear congruence single-variable linear equations

153 153

linear S-box linear versus nonlinear S-Boxes

671 169, 211, 691 691 174 306

linear congruential generator linear cryptanalysis linear profile linear cipher logarithm

269 280 654 643 551 59-63 63

majority function Fermat's Little Theorem maximum entropy routing – network layer key material matrix additive inverse residue subtraction main diagonal determinant inverses square multiplicative inverse operation identity equality scalar multiplication addition

60 60 62 63 60 63 60 60 60 61 60 760

Пе‰метный ук‡з‡тель

с‡‚нениfl столбец сток‡ умножение м‡тиц‡ ‚ычето‚ м‡тиц‡-столбец м‡тиц‡-сток‡ М‡шин‡ Тьюи턇 М‡шин‡ Эн„им‡ Межсете‚ой Потокол Уп‡‚лениfl Гупп‡ми ‚ Интенете Меж‰ун‡о‰н‡fl О„‡низ‡циfl по Ст‡н‰‡тиз‡ции (ISO) Меж‰ун‡о‰ный Союз по Телекоммуник‡ции – Секто Ст‡н‰‡тиз‡ции Телекоммуник‡ции (ITU-T) Standardization Sector (ITU-T) мето‰ „убой силы мето‰ исчепы‚‡юще„о ключе‚о„о поиск‡ мет «‚оз‚е‰ениfl ‚ ꂇ‰‡т и умножениfl» мето‰ ‡зложениfl н‡ множители мето‰ ‡зложениfl н‡ множители по‚екой ‰елением мето‰ Полл‡‰‡ p-1‡зложениfl н‡ множители мето‰ Полл‡‰‡ rho ‡зложениfl н‡ множители мето‰ по‚еки мето‰ Фем‡ мето‰ы скытиfl, использующие изоб‡жение мех‡низм безоп‡сности мно„о‡лф‡‚итн‡fl по‰ст‡но‚к‡ Вижене М‡шин‡ Эн„им‡ о‰но‡зо‚ый блокнот Плейф‡йе отоный шиф шиф Хилл‡ мно„ок‡тный DES

64 60 60 60 63 60 60 680 100-101 644 640 24, 640

congruence column row multiplication residue matrices column matrix row matrix Turing machine Enigma machine Internet Group Message Protocol (IGMP) International Organization for Standardization (ISO) International Telecommunication Union-Telecommunication

76 76

brute-force method exhaustive-key search method

304

square-and-multiply method

292-295 292

419 294 31

factorization method trial division factorization method Pollard p-1 factorization method Pollard rho factorization method verifying algorithm Fermat method image cover

26 88 92 100 98 90 99 95 206

security mechanism polyalphabetic substitution Vigenere Enigma Machine one-time pad Playfair rotor cipher Hill cipher multiple DES

295 2964

761

Кус

Кипто„‡фиfl и безоп‡сность сетей

Мно„оцеле‚ое ‡сшиение почты (MIME) NVT ASCII 燄оло‚ки 燄оло‚ок опис‡ние со‰еж‡ниfl 燄оло‚ок ко‰иниfl со‰еж‡ниfl пе則чи 燄оло‚ок тип со‰еж‡ниfl З‡„оло‚ок – пе則ч‡ко‰иние тип ‡у‰ио ‰‡нные тип ‚и‰ео ‰‡нные тип ‰‡нных- изоб‡жение тип мно„оэлементные ‰‡нные тип ‰‡нные сообщениfl тип тексто‚ые ‰‡нные множест‚о целых чисел мо‰уль ‡ффинный шиф Кит‡йск‡fl теоем‡ об ост‡тк‡х кипто‡н‡лиз моно‡лф‡‚итный ‡‰‰ити‚ный шиф

528

моно‡лф‡‚итный по‰ст‡но‚к‡ мультиплик‡ти‚ный шиф эллиптическ‡fl к肇fl мо‰ульн‡fl ‡ифметик‡ Мо‰ульн‡fl ‡ифметик‡ безоп‡сно„о хешиниfl (MASH) моно‡лф‡‚итный шиф мультиплик‡ти‚н‡fl ин‚есиfl мультиплик‡ти‚ный шиф

88 824 355 47 390

Н н‡бо ‰лfl сложениfl и умножениfl н‡бо линейных у‡‚нений н‡бо н‡именьших ‚ычето‚ по мо‰улю n н‡бо шифо‚ н‡ибольший общий ‰елитель (НОД) н‡именьшее общее к‡тное (1cm)

528 528 534 532 529 532 532 532 531 529 531 529 37 47 85 299 89 80

80, 88 54 84

58

Multipurpose Internet Mail Extension (MIME) headers content-description header content-transfer-encoding header content-type header Content-transfer-encoding audio data type video data type image data type multipart data type message data type text data type set of integers modulus affine cipher Chinese Remainder Theorem cryptanalysis monoalphabetic cipher additive cipher monoalphabetic substitution multiplicative ciphers elliptic curve modular arithmetic Modular Arithmetic Secure Hash (MASH) monoalphabetic ciphers multiplicative inverse multiplicative cipher

65 48

set for addition and multiplication set of linear equations set of least residues modulo n

547 41, 292 292

cipher suite greatest common divisor (gcd) least common multiplier (1cm)

762

Пе‰метный ук‡з‡тель

н‡именьший ‚ычет н‡ч‡льный ‚екто (IV) н‡ч‡льные числ‡ Н‡цион‡льный Институт Ст‡н‰‡то‚ и Техноло„ии (NIST) нелинейный S-блок непи‚о‰имый полином не ‡з뇄‡емый и пимити‚ный полиномы не‡зешимые поблемы несин„улflн‡fl эллиптическ‡fl к肇fl НОД См. Н‡ибольший общий ‰елитель Но‚ые е‚опейские Схемы ‰лfl По‰писи, Целостности, и Шифниfl О обл‡сть обмен сообщениflми ‰лfl опоз퇂‡ниfl об‡тимость об‡тим‡fl функциfl о„‡ниченн‡fl печ‡тн‡fl сток‡ о‰но‡зо‚ый блокнот о‰но‡зо‚ый п‡оль о‰ностооннflfl л‡зейк‡ о‰ностооннflfl функциfl (OWF) опе‡то по мо‰улю опе‡то с‡‚нениfl опе‡циfl з‡мены опе‡циfl по мо‰улю. опе‡циfl "И" опе‡цию ‡збиениfl опе‡циfl циклическо„о с‰‚脇 оптим‡льное ‡ссимитичное ‰ополнение шифниfl о„‡низ‡ции по ст‡н‰‡тиз‡ции оиентинн‡fl н‡ сое‰инение услу„‡ TCP оиентинный н‡ сло‚о

50 253 671 183, 215, 639 154 660 660 680 350

least residue initial vector (IV) seed National Institute of Standards and Technology (NIST) nonlinear S-box irreducible polynomials irreducible and primitive polynomials undecidable problems nonsingular elliptic curve gcd See greatest common divisor

405

New European Schemes for Signature, Integrity, and Encryption

480 26

Realm authentication exchange

152 323 533 99, 171 452 323, 323 323 47 49 158 47, 48 129 158 157 338

invertibility invertible function quoted-printable one-time pad one-time password trapdoor one-way one-way function (OWF) modulo operator congruence operator swap operation modulo operation AND operation spilt operation circular shift operation optimal asymmetric encryption padding standard organizations 5 connection-oriented service TCP word oriented

635 642 398 763

Кус

Кипто„‡фиfl и безоп‡сность сетей

Осно‚н‡fl теоем‡ Аифметики

292, 720

отк‡зы ‚ обслуж肇нии отк‡з от сообщениfl откытый ключ отношениfl линейности Очень хоош‡fl конфи‰енци‡льность (PGP) ‡л„оитмы откыто„о ключ‡ ‡л„оитмы сж‡тиfl ‡л„оитмы симметичных ключей ‡л„оитмы хешиниfl ‡ннулиние ключей ‰о‚еие и з‡конность конфи‰енци‡льность с о‰но‡зо‚ым ключом се‡нс‡ мо‰ель ‰о‚еиfl откытый текст п‡кеты по‰пис‡нное сообщение пеоб‡зние к се„мент‡циfl сеть ‰о‚еиfl сж‡тие сетифик‡т сообщениfl сообщение сетифик‡т‡ кольц‡ ключей т‡блицы кольц‡ ключей целостность сообщениfl ошибки ‚ пе則че

23 23 319, 487 691 504

П п‡оль ‡т‡к‡ слfl о‰но‡зо‚ый «соление» фиксинн‡fl п‡сси‚н‡fl ‡т‡к‡ п‡сси‚н‡fl и ‡кти‚н‡fl ‡т‡ки (с‡‚нение) пе‚ооб‡зные кони

507 509 508 509 518 510 505

Fundamental Theorem of Arithmetic denial of service repudiation public key 294 linearity relations Pretty Good Privacy (PGP) public-key algorithms compression algorithms 4 symmetric-key algorithms

516 505 520 526 506 506 517 505 510 526 526 472, 507 512 505 340

hash algorithms key revocation trusts and legitimacy confidentiality with one-time session key trust model plaintext packets signed message code conversion segmentation web of trust compression certificate messages certificate message key ring key ring tables message integrity error in transmission

449-453 451 449 451 449 23 23

password dictionary attack one-time salting fixed passive attack passive versus active attacks

309, 316

primitive roots

764

Пе‰метный ук‡з‡тель

пеемеш肇ние пеест‡но‚к‡ ‡сшиениfl пеест‡но‚ки сж‡тиfl плоское множест‚о Центо‚ ‡спе‰елениfl ключей по‚е‰енческие мето‰ы по‚тон‡fl пе則ч‡ инфом‡ции по‰пис‡ние/по‰т‚еж‰ение по‰ст‡но‚к‡ по‰т‚еж‰ение по‰линности с нуле‚ым ‡з„л‡шением Потокол Киск‡те‡-Гийу

159, 160 188 195 473

confusion expansion permutation compression permutation flat multiple KDCs

467 22 564 79 458-460

behavioral techniques replaying signing/verifying substitution zero-knowledge authentication

463

пиме пещеы Потокол Фей„е-Фи‡т‡Ш‡ми‡ Потокол Фи‡т‡-Ш‡ми‡ поле Г‡лу‡ полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой (ESP) поле ин‰екс‡ п‡‡мет‡ обеспечениfl безоп‡сности (SPI) поле ‰‡нных ‡утентифик‡ции поле поfl‰ко‚о„о номе‡ сле‰ующий 燄оло‚ок полином сложение ‡‰‰ити‚н‡fl ин‚есиfl мо‰уль умножение умножение, использующее компьюте полусл‡бые ключи поfl‰ок „уппы поfl‰ок элемент‡ почто‚ый ‡„ент (MTA) п剂‡ительный секетный ко‰ пе‰ост‡‚лflющий билет се‚е (TGS) петен‰ент пик뇉ной уо‚ень пиме пещеы

462 462

Guillou-Quisquater Protocol cave example Feige-Fiat-Shamir Protocol Fiat-Shamir Protocol Galois field Encapsulating Security Payload (ESP) SPI field

460 128 589, 591 593

593 593 593 131 132 133 132 133 135 204 123 126 501 549 479

authentication data field sequence number field next header field polynomial addition additive inverse modulus multiplication multiplication using computer semi-weak keys order of a group order of an element message transfer agent (MTA) premaster secret ticket-granting server (TGS)

448, 449 641 462

claimant application layer cave example 4

765

Кус

пимити‚ный полином пинцип „олубиных flщико‚ Пинцип Кехофф‡ поблемы ‰ней ож‰ениfl поблем‡ ост‡но‚ки Постой потокол пе則чи почты (SMTP) Постой Потокол Уп‡‚лениfl сетью (SNMP) постой полином постые сомножители постые числ‡ бесконечное число меньших, чем.. по‚ек‡ н‡ постоту Постые числ‡ Месенны Постые числ‡ Фем‡ Потокол «з‡„оло‚ок ‡утентифик‡ции» Потокол ChangeCipherSpec Потокол TELNET Потокол Киск‡те‡-Гийу Потокол Интенет обмен‡ ключ‡ми (IKE) быстый ежим мето‰ п剂‡ительно„о со‚местно„о ключ‡ мето‰ цифо‚ой по‰писи осно‚ной ежим пеесмотенный мето‰ откыто„о ключ‡ пе‚он‡ч‡льный мето‰ откыто„о ключ‡ ф‡зы и ежимы эне„ичный мето‰ Потокол Ни‰м‡н‡-Ше‰е‡ Потокол Опе‰елениfl Сете‚о„о А‰ес‡ по Местоположению (RARP) Потокол От‚еfl-Рисс‡ Потокол «от ст‡нции к ст‡нции»

Кипто„‡фиfl и безоп‡сность сетей

176, 660 372 74,75 372, 373, 650-653 680 642

primitive polynomial pigeonhole principle Kerckhoff’s principle birthday problems

561 642 463 601

ChangeCipherSpec Protocol TELNET Protocol Guillou-Quisquater Protocol Internet Key Exchange (IKE)

614 608

quick mode pre shared secret-key method digital signature method main mode revised public-key method original public key method phases and modes aggressive mode Needham-Schroeder protocol reverse address resolution protocol. (RARP)

halting problem 6 Simple Mail Transfer Protocol (SMTP) 642 Simple Network Management Protocol (SNMP) 132 prime polynomial 666 prime factors 6 276, 278, 284, primes 662, 718 277 infinite number 278 smaller than 278 check for primes 283 Mersenne primes 283 Fermat primes 589 padding AH protocol

610 606 609, 613 609, 613 605 612 475 643

476 486 766

Otwey-Rees protocol Station-to-Station protocol

Пе‰метный ук‡з‡тель

Потокол пе則чи з‡писей ‡сшиение сж‡тие ф‡„мент‡циfl/объе‰инений шифние/‰ешифние Потокол опе‰елениfl ‡‰есо‚

563 564 564 564 565 643

Потокол пе則чи „ипетекст‡ (HTTP) Потокол пе則чи ф‡йло‚ Потокол Пользтельских Дейт‡„‡мм (UDP) Потокол Уп‡‚лениfl Пе則чей ‰‡нных (TCP) Потокол Уп‡‚лениfl Пе則чей ‰‡нных/межсете‚ой потокол (TCP/IP) Потокол Уп‡‚лflющих сообщений Интенет (ICMP) Потокол уст‡но‚лениfl сое‰инениfl Потокол Фи‡т‡-Ш‡ми‡ Потокол Фей„е-Фи‡т‡-Ш‡ми‡ Потокол Шно‡ „ене‡ции ключей пелк‡ по‰пис‡ние и по‰т‚еж‰ение схем‡ цифо‚ой по‰писи пflм‡fl пеест‡но‚к‡ пflмой P-блок пс傉ослуч‡йн‡fl функциfl (PRF)

543, 642

Р ‡зешимые поблемы ‡зложение н‡ множители ‡зложение н‡ множители мето‰ом Фем‡ ‡нц傇fl киптосистем‡ ‡спе‰еление откыто„о ключ‡ обще‰оступное объfl‚ление уп‡‚лflемый цент ‰о‚еиfl цент ‰о‚еиfl цент сетифик‡ции

642 642

Record Protocol decompression compression framing/deframing encryption/decryption Address Resolution Protocol (ARP) Hypertext Transfer Protocol (HTTP) File Transfer Protocol (FTP) User Datagram Protocol (UDP)

642

Transmission Control Protocol

641

Transmission Control Protocol/Internet (TCP/IP)

644 554-560 460 462 434 434 437 435 434 192 150 576

Internet Control Message Protocol (ICMP) Handshake Protocol Fiat-Shamir Protocol Feige-Fiat-Shamir Protocol Schnorr protocol key generation forgery sinning/verification digital signature scheme straight permutation straight P-Box pseudorandom function (PRF)

680 293 295

decidable problems factorization Fermat factorization method

323 487 489 490 488 490

knapsack cryptosystem public-key distribution public announcement controlled trusted center trusted center certification authority

767

Кус

‡спе‰еление пи симметичными ключ‡ми ‡спост‡нение ошибок ‡ссе肇ние ‡сшиение ключ‡ AES-128 AES-192 AES-256 RotWord SubWord ‡сшиение сл SHA-1 ‡сшиенный е‚кли‰о‚ ‡л„оитм ‡ун‰ е„ист‡ с‰‚脇 е„ист с‰‚脇 с об‡тной с‚flзью е„ист с‰‚脇 с линейной об‡тной с‚flзью (LFSR) е„ист с‰‚脇 с нелинейной об‡тной с‚flзью (NLFSR) ежим ‚нешней об‡тной с‚flзи по ‚ыхо‰у (OFB) ежим сцеплениfl блоко‚ шифнно„о текст‡ ежим электонной ко‰о‚ой кни„и (ECB) ежимы ‡боты ежим счетчик‡ ешето полfl чисел ешето Э‡тосфен‡ Риже퉇йл отоный шиф fl‰ы Тейло‡ С с‚ех‚оз‡ст‡ющий котеж сж‡тие секетный ключ селекти‚н‡fl пелк‡ се‚е ‡утентифик‡ции се‚е, пе‰ост‡‚лflющий билет сете‚ой уо‚ень сетей ‰о‚еиfl сильное пс傉опостое

Кипто„‡фиfl и безоп‡сность сетей

473

symmetric-key distribution

251, 254 159-161 231-236 232 236 2364 233 233 414 54, 134, 716 159 173 173 174

error propagation diffusion key expansion

177 258-261 252-255

word expansion SHA-1 extended Euclidean algorithm rounds shift register feedback shift register linear feedback shift register (LFSR) nonlinear feedback shift register (NLFSR) output feedback mode (OFB)

249-263 261 299 278 215 99 651

cipher block chaining mode (CBC) electronic codebook mode (ECB) mode of operation counter mode (CTR) number field sieve sieve of Eratosthenes Rijndael rotor cipher Taylor's series

325 151 319 426 479 479 644 517 288

superincreasing tuple compression private key selective forgery authentication server (AS) ticket-granting server network layer web of trust strong pseudoprime

250-258

768

Пе‰метный ук‡з‡тель

симметичный ключ син„улflн‡fl эллиптическ‡fl к肇fl синхонный шиф поток‡ систем‡ обозн‡чений Big O сл‡бые ключи ск‡лfl слепые схемы по‰писи сло‚о сложность ‡л„оитм‡ ‡симптотическ‡fl ие‡хиfl лифмическ‡fl побито‚ой опе‡ции пок‡з‡тельн‡fl полиноми‡льн‡fl постоflнн‡fl поблемы субпотенци‡льн‡fl супеэкспоненци‡льн‡fl сложности по ‚емени сложность поблемы кл‡сс coNP кл‡сс NP кл‡сс P служб‡ безоп‡сности случ‡йн‡fl мо‰ель О‡кул‡ ‡т‡к‡ ‚тоо„о пооб‡з‡ ‡т‡к‡ коллизии ‡т‡к пооб‡з‡ ‰ополнительн‡fl ‡т‡к‡ коллизии случ‡йные пееменные случ‡йный экспеимент смесителfl со‚ешенн‡fl секетность Со‚ет по ‡хитектуе Интенет (IAB)

144 350 171 679 203 61 443 400 677 677 678 680 679 677 680 680 680 681 674 674 677 677 681 681 681

со‚местн‡fl экспетн‡fl „упп‡ по фото„‡фии (JPEG) со‚местн‡fl энтопиfl со‚местные ключи з‡секеч肇ниfl

531

370 376 377 375 379 650 647 162 658 639

73 769

symmetric-key singular elliptic curve synchronous stream cipher Big-O notation weak keys scalar blind signature schemes word complexity an algorithm asymptotic hierarchy logarithmic bit operation exponential polynomial constant a problem subexponential superexponential time complexity complexity of a problem coNP class NP class P class security services random oracle model second preimage attack collision attack preimage attack alternate collision attack random variables random experiment mixer perfect secrecy Internet Architecture Board (IAB) joint photographic experts group (JPEG) joint entropy shared secret key

Кус

Кипто„‡фиfl и безоп‡сность сетей

со„л‡шениfl пи симметичных ключ‡х соление сообщение сообщение HelloRequest сообщест‚о пользтелей Интенет со‚еменные блочные шифы со‚еменный шиф поток‡ сое‰инение сост‡‚ные объекты сост‡‚ной шиф Состоflниfl (м‡тиц‡) состоflние се‡нс‡ список ключей список не ‡з뇄‡емых и пимити‚ных полиномо‚ с‡‚нениfl ст‡н‰‡ты Ст‡н‰‡т Безоп‡сно„о хешиниfl (SHS) Ст‡н‰‡т Шифниfl Д‡нных (DES) ‡льтен‡ти‚ный мето‰ ‡н‡лиз ‡т‡к‡ „убой силы ‡т‡к‡ с‚е‰ениfl к сее‰ине безоп‡сность блоки-P блоки-S блок ‡сшиениfl P ‚озможно сл‡бые ключи „ене‡циfl ключей „ене‡циfl ключей ‡у퉇 ‰‚ойной DES ‰ейт‡„‡мм‡ ‰иффеенци‡льный кипто‡н‡лиз е‰иницы ‰‡нных ИСКЛЮЧАЮЩЕЕ ИЛИ истоиfl к‡к Шиф Ф‡йстелfl

657

symmetric-key agreement

451 368 567 639 144 171 550 276 158 218, 258 553 159 661

salting message HelloRequest Message Internet Society (ISOC) modern block cipher modern stream cipher connection composite product cipher state session state key schedule 1 list of irreducible and primitive polynomials congruence standards Secure Hash Standard (SHS)

49 636 394 183

Data Encryption Standard (DES) 193 alternative approach 199 analysis 210 brute-force attack 207 meet-in-the-middle attack 210, 243 security 187 P-Boxes 1 153, 154, 189 S-Boxes 187 expansion P-box 205 possible weak keys 267, 270, 329, key generation 343, 345 193 round key 207 double DES 642 datagram 210 differential cryptanalysis 217 188 183 187 770

data units XOR history as Feistel cipher

Пе‰метный ук‡з‡тель

китеии ‡з‡ботки ключе‚ое ‰ополнение 뇂инный эффект линейный кипто‡н‡лиз н‡ч‡льные и конечные пеест‡но‚ки пе‚ый мето‰ ‡з‡ботки шиф‡ пеест‡но‚к‡ сж‡тиfl полусл‡бые ключи пflм‡fl пеест‡но‚к‡ ‡ун‰ы с‚ойст‚‡ ‡н‡лиз‡ с‰‚и„ ‚ле‚о сл‡бости ‚ ключе шиф‡

200 205 199 211 184

сл‡бости ‚ стуктуе шиф‡ стукту‡ техк‡тный DES с ‰‚умfl ключ‡ми техк‡тный DES с темfl ключ‡ми функции шиф и об‡тный шиф число ‡ун‰о‚ эффект полноты Ст‡н‰‡т Цифо‚ой по‰писи (DSS)

201 184 209

„ене‡циfl ключей по‰т‚еж‰ение и по‰пис‡ние с‡‚нение с RSA с‡‚нение с Эль-Гем‡ль ст‡тистическ‡fl ‡т‡к‡ ст‡тистическое опе‰еление ‚еоflтности ст儇но„‡фиfl Ст‡те„ии Безоп‡сности(SP) сущест‚ние ин‚есии сущест‚ние нейт‡льно„о элемент‡ схем‡ Де‚ис‡-Мейе‡ Схем‡ М‡ти‡с‡-Мейе‡-Осе‡с‡ Схем‡ М臄учи-Пенелfl

437 438 439 439 78 647

triple DES with three keys function cipher and reverse cipher number of rounds сompleteness effect Digital Signature Standard (DSS) key generation verifying and signing versus RSA versus ElGamal statistical attack statistical probability assignment

29 597 120 120

steganography Security Policy (SP) existence of inverse existence of identity

395 396 396

Davies-Meyer Scheme Matyas-Meyer-Oseas scheme 3 Miyaguchi-Preneel sheme

193 195 204 192 187 199 195 202

210 187 193 201 200 437

771

design criteria key complement avalanche effect linear cryptanalysis initial and final permutations first approach design compression permutation semi-weak keys straight permutation rounds properties shift left weakness in the cipher key weaknesses structure triple DES with two keys

Кус

схем‡ Мекелfl-ć섇‰‡ схемs цифо‚ой по‰писи схем‡ цифо‚ой по‰писи Р‡бин‡ цифfl по‰пись с ук‡з‡нием ‚емени схем‡ цифо‚ой по‰писи эллиптической ки‚ой „ене‡циfl ключей по‰пис‡ние и по‰т‚еж‰ение Т т‡йн‡ теоии ‰елимости теоиfl инфом‡ции теоии чисел теоем‡ Л‡„‡нж‡ теоем‡ Эйле‡ тотиент функциfl Эйле‡ Тест К‡зизско„о Тест Милле‡-Р‡бин‡ Тест Фем‡ типо‚ое пост‡нст‚о типы пелки т‡нспотный потокол уп‡‚лениfl потоком (SCTP) т‡нспотный ежим IPSec т‡нспотный уо‚ень TCP/IP т‡‰иционные шифы с симметичными ключ‡ми техк‡тный DES (3DES) ти„‡мм‡ туннельный ежим У у‰‡ление бито‚ по‚еки улучшенный мето‰ смены ключей Диффи-Хеллм‡н‡ уп‡‚ление ‰оступом уп‡‚ление ключ‡ми упощенный AES (S-AES) AddRoundKey InvSubNibbles MixColumns

Кипто„‡фиfl и безоп‡сность сетей

393 427 395 442 439 440 440

366 40, 715 654 37 126 281, 282, 720 278 94 288, 289 286 646 426 643 587 642 73 209 84 588

195 602 25, 28 270 703 711 707 709 772

Merkle-Damgard scheme digital signature scheme Rabin digital signature scheme timestamped digital signature scheme elliptic curve digital signature scheme key generation signing and verifying

secrecy divisibility information theory number theory Lagrange's theorem Eller’s theorem Euler's totient function Kasiski test 74 Miller-Rabin test 263 Format test sample space forgery types Stream Control Transmission Protocol (SCTP) transport mode IP Sec transport layer TCP/IP traditional symmetric-key ciphers triple DES (3DES) trigram tunnel mode 55

parity drop improved Diffie-Hellman key exchange access control key management Simplified AES (S-AES)

Пе‰метный ук‡з‡тель

RotWord ShiftRows SubWord бит блок ‰ополнение ключ‡ мо‰ули ‰‡нных конст‡нты ‡у퉇 пеест‡но‚к‡ по‰ст‡но‚к‡ полуб‡йт по‰полуб‡йты ‡сшиение ключ‡ ‡ун‰ы сло‚о смеш肇ние состоflние шифы Упощенный DES (S-DES) блок ‡сшиениfl- P блоки- S „ене‡циfl ключей н‡ч‡льн‡fl и конечн‡fl пеест‡но‚ки с‰‚и„ ‚ле‚о отбел肇тель (ИСКЛЮЧАЮЩЕЕ ИЛИ) пеест‡но‚ки сж‡тиfl пflм‡fl пеест‡но‚к‡ ‡ун‰ы функциfl шиф уо‚ень безоп‡сных озеток (SSL) DES Fortezza IDEA MD5 SHA-1 ‡‚‡ийный потокол ‡л„оитмы сж‡тиfl ‡л„оитмы смены ключей ‡нонимный потокол ДиффиХелм‡н‡

712 708 712 704 705 7108 704 713 708 707 704 707 711 703 704 709 705 713 695 697 697 698 695 699 697

Bit block key-adding data units round constants permutation substitution Nibble SubNibbles key expansion rounds word mixing state ciphers Simplified DES (S-DES) expansion P-box S- boxes key generation initial and final permutations Shift Left whitener(XOR)

700 698 696 696 694 542

compression permutation straight permutation rounds function cipher Secure Sockets Layer (SSL)

546 547 547 547 563 549 544 545

773

Alert Protocol compression algorithms key exchange algorithms anonymous DiffieHellman

Кус

Кипто„‡фиfl и безоп‡сность сетей

‡хитекту‡ „енеиние кипто„‡фических п‡‡мето‚ „뇂ный секетный ко‰ конфи‰енци‡льность к‡тко‚еменный мето‰ Диффи-Хеллм‡н‡ м‡теи‡л ‰лfl ключей н‡бо шифо‚ поток RC п剂‡ительный „л‡‚ный секетный ко‰ потокол ChangeCipher Spec потокол пе則чи з‡писей потокол уст‡но‚лениfl сое‰инениfl се‡нс и по‰ключение сж‡тие состоflние се‡нс‡ состоflний сое‰инениfl услу„и фиксинный мето‰ ДиффиХеллм‡н‡ фом‡тs сообщениfl ф‡„мент‡циfl целостность сообщениfl четые потокол‡ уо‚ень з‚ен‡ пе則чи ‰‡нных услу„и безоп‡сности из конц‡ ‚ конец услу„и и мех‡низмы Усо‚ешенст‚нный ст‡н‰‡т шифниfl AddRoundKey SubBytes ‡льтен‡ти‚ный поект ‡т‡к‡ „убой силы безоп‡сность биты ‰иффеенци‡льн‡fl и линейн‡fl ‡т‡ки ‰оᇂление ключей

543 549 549 543 545 550 547 546 549 561

architecture cryptographic parameter generation master secret confidentiality ephemeral DiffieHellman key material cipher suite stream RC pre-master secret

562 554, 567

ChangeCipher Spec Protocol Record Protocol Handshake Protocol

550 543 552 552 543 546

session and connection Compression session state connection state services fixed Diffie-Hellman

566 543 543 553 644 542

message formats fragmentation message integrity four protocols data link layer end-to-end security services

24 215

services and mechanisms Advanced Encryption Standard (AES)

230 221 238 243 243 217 243 230 774

alternative design brute-force attack security bits differential and linear attacks key-adding

Пе‰метный ук‡з‡тель

конст‡нты ‡у퉇 об‡тный шиф пе‚он‡ч‡льный поект пеест‡но‚к‡ по‰ст‡но‚к‡ ‡сшиение ключ‡ е‡лиз‡циfl сл смеш肇ние состоflние (м‡тиц‡) ст‡тистические ‡т‡ки стукту‡ к‡ж‰о„о ‡у퉇 уп‡‚лflемый цент ‰о‚еиfl усло‚н‡fl ‚еоflтность усло‚н‡fl энтопиfl услу„и обеспечениfl безоп‡сности (SA) Услу„и обеспечениfl безоп‡сности Интенет и Потокол Уп‡‚лениfl ключ‡ми (ISAKMP) уп‡‚ление м‡шутиз‡цией уст‡но‚ление по‰линности объект‡ уст‡но‚ление по‰линности сообщениfl устойст‚ з‡мены устойчи‚ость к коллизиflм устойчи‚ость к пооб‡зу устойчи‚ость ко ‚тоому пооб‡зу Ф фе‰е‡льный е„ист Фе‰е‡льный Ст‡н‰‡т Об‡ботки инфом‡ции (FIPS) Фем‡ Фи-функциfl Эйле‡ физический ‡‰ес ARP RARP фиксинный мето‰ ДиффиХеллм‡н‡ функциfl л‡зейки ‚ о‰ностооней функции функциfl кипто„‡фическо„о хешиниfl

233 237 238 225 220 231 243 218 227 217 243 219 489 648 656 594

round constants inverse cipher original design permutation substitution key-expansion implementation Words mixing state statistical attacks structure of each round controlled trusted center conditional probability conditional entropy Security Association (SA)

601, 618

Internet Security Association and Key Management Protocol (ISAKMP) 27 routing control 380, 423, 448 message authentication 423 message authentication 164 367, 369 367, 368 367, 368

swapper collision resistance preimage resistance second preimage resistance

216, 639 216, 639

federal register Federal Information Processing Standard (FIPS) 281, 283, 686 Fermat 278, 686 Euler's phi-function 644, 645 physical address 643 643 546 fixed Diffie-Hellman 323

function (trapdoor One Way)

367

cryptographic hash function

775

Кус

функциfl ‡сшиениfl ‰‡нных функции сж‡тиfl функциfl тотиент‡ Х х‡‡ктеистики ‡у퉇 хешиние хешинный ко‰ ‡утентифик‡ции сообщениfl (HMAC) хеш-функциfl ‡т‡к‡ с‚е‰ениfl к сее‰ине китеий хеш-функции, осннные н‡ блочных шиф‡х хеш-функции, с‰ел‡нные н‡ пустом месте Ц цели безоп‡сности „ото‚ность конфи‰енци‡льность целостность целостность по‚ек‡ потокол «полезн‡fl 퇄узк‡ со ‚стоеннойз‡щитой» (ESP) целостность ‰‡нных целостности сообщениfl цент ‰о‚еиfl Цент Р‡спе‰елениfl Ключей (KDC) ие‡хическое множест‚о плоское множест‚о се‚е ‡утентифик‡ции (AS) Цебе цент сетифик‡ции цент Цебе‡ се‚е ‡утентифик‡ции ‡бот‡ е‡льный се‚е циклическ‡fl пупп‡ цифfl по‰пись

Кипто„‡фиfl и безоп‡сность сетей

575 393 278, 605

data-expansion function compression function totient function

688, 692 29 383

round characteristics hashing hashed message authentication code (HMAC) 366, 393, 394 hash function 380 meet-in-the-middle attack 367 criteria 394 hash functions based on block ciphers 393 hash functions made from scratch

20 20 20 20 19, 20, 366 367 591

security goal availability confidentiality integrity integrity checking ESP protocol

26 366 489 472 473 473 479 478 489 478 478 479

data integrity message integrity trusted center Key Distribution Center (KDC) hierarchical multiple flat multiple Authentication Server (AS) Kerberos certification authority center Kerberos 443, 445 authentication server operation real server subgroup digital signature

123 26, 419 776

Пе‰метный ук‡з‡тель

‡л„оитм ‚еифик‡ции (по‰т‚еж‰ениfl) ‡л„оитм по‰пис‡ниfl ‡т‡к‡ по ‚ыб‡нному сообщению ‡т‡к‡ пи из‚естном сообщении ‡т‡к‡ только н‡ ключ ‚‡и‡нты исключение отк‡з‡ от сообщениfl пиложениfl селекти‚н‡fl пелк‡ схемы типы ‡т‡к типы пелки услу„и целостность сообщениfl экзистенци‡льн‡fl пелк‡ цифfl по‰пись с ук‡з‡нием ‚емени Ш шиф Atbash шиф Whirlpool AddRoundKey MixRows ShiftColumns SubBytes конст‡нты ‡у퉇 ‡сшиение ключ‡ состоflниfl и блоки (м‡тицы) стукту‡ к‡ж‰о„о ‡у퉇 шиф ‡ффинный Вижене‡ мно„о‡лф‡‚итный моно‡лф‡‚итный пеест‡но‚ки (т‡нспозиции) по‰ст‡но‚ки синхонный поток Цез‡fl шиф без ключ‡

420

verifying algorithm

420 426

signing algorithm known-message attack

426 426 442 423

known-message attack key-only attack 3 variations nonrepudiation

443 426 427 426 426 423 42 426 442

applications selective forgery schemes attacks types forgery types services message integrity existential forgery time stamped signatures

117 392, 405 411 411 408 407 413 411 407 407 74, 144, 237 85 92 89 80 102 79 171 82 102, 149

Atbash cipher Whirlpool chiper

777

round constants key expansion states and blocks structure of each round cipher Affine Vigenere polyalphabetic Monoalphabetic transposition substitution synchronous stream Caesar keyless ciphers

Кус

Шиф Вижене‡ кипто‡н‡лиз список тест К‡зизско„о шиф ключ‡ ч‡стично„о ‡зме‡ шиф несинхонно„о поток‡ шиф не-Ф‡йстелfl шиф, оиентинный н‡ биты шиф, оиентинный н‡ сим‚ол шиф Плейфлее‡ шиф по‰ст‡но‚ки шиф по‰ст‡но‚ки без ключ‡ шиф Полибиус‡ шиф поток‡ шиф ‡‚тоключе‚ой шиф с‰‚脇 шиф с ‰‚ойной пеест‡но‚кой шиф с симметичным ключом шиф пеест‡но‚ки (т‡нспозиции) P-блок ‰‚ойной кипто‡н‡лиз ключи Шиф Ф‡йстелfl Шиф Хилл‡ шифы поток‡ и блочные цифы шифние шифние ‡симметичными ключ‡ми шифниfl симметичными ключ‡ми

Кипто„‡фиfl и безоп‡сность сетей

92 94 93 94 149, 150 177 165, 144 144 90, 91 79, 145 149 118 109 89 82 108 73 102, 147 150 108 106 105 162-165 95 109 329, 343, 346 29

Vigenere cipher cryptanalysis Tableau Kasiski test partial-size key ciphers nonsynchronous stream ciphers non-Feistel cipher bit-oriented cipher character-oriented cipher Playfair cipher substitution ciphers keyless substitution ciphers Polybius cipher stream cipher autokey cipher shift cipher double transposition ciphers symmetric-key cipher transposition cipher P-box double cryptanalysis keys Feistel cipher Hill cipher stream and block ciphers encryption asymmetric-key encipherment

29

symmetric-key encipherment

Ц цент сетифик‡ции циклическ‡fl пупп‡ циклический с‰‚и„

489 124 157

certification authority cyclic subgroup circular shift

Э экзистенци‡льн‡fl пелк‡ эллиптическ‡fl к肇fl эллиптическ‡fl к肇fl ‚ GF (2n) эллиптическ‡fl к肇fl ‚ GF (p)

426 350 355 353

existential forgery elliptic curve elliptic curves over GF(2n) elliptic curves over G(p)

778

Пе‰метный ук‡з‡тель

эллиптические ки‚ые ‚ ‚ещест‚енных числ‡х электонн‡fl ко‰о‚‡fl кн脇 з‡х‚‡т з‡шифнно„о текст‡ поблемы безоп‡сности эллиптическ‡fl к肇fl энтопиfl Э‡тосфен эффект полноты Я Язык опис‡ниfl ст‡ниц

350

elliptic curves over real numbers 250 electronic codebook 252 ciphertext stealing 251 security issues 350, 355, 356 elliptic curve 654-656 entropy 278 Eratosthenes 200 completeness effect

530

779

Post Script

Кус

Кипто„‡фиfl и безоп‡сность сетей

Сок‡щениfl 2DES 3DES AES

double DES triple DES Advanced Encryption Standard

AH AS CA CBC

Authentication Header authentication server certification authority cipher-block chaining

CFB CMAC CMS

cipher feedback cipher-based message authentication code Cryptographic Message Syntax

CRT CTR

Chinese remainder theorem counter

DES DSA DSS ECB ECDSA

Data Encryption Standard Digital Signature Algorithm Digital Signature Standard electronic codebook elliptic curve digital signature algorithm

ESP

Encapsulating Security Payload

FAR

false acceptance rate

FCC

Federal Communications Commission Federal Information Processing Standard false rejection rate feedback shift register greatest common divisor

FIPS FRR FSR GCD (НОД) GMS HMAC HTTP IAB

Global System for Mobile Communication hashed message authentication сode Hypertext Transfer Protocol Internet Architecture Board 780

‰‚ук‡тный DES техк‡тный DES усо‚ешенст‚нный ст‡н‰‡т шифниfl 燄оло‚ок ‡утентифик‡ции се‚е ‡утентифик‡ции цент сетифик‡ции сцепление блоко‚ шифнно„о текст‡ ко‰инн‡fl об‡тн‡fl с‚flзь ‡утентифик‡циfl сообщениfl н‡ осно‚е шиф‡ кипто„‡фический синт‡ксис сообщениfl кит‡йск‡fl теоем‡ об ост‡тк‡х счетчик ст‡н‰‡т шифниfl ‰‡нных ‡л„оитм цифо‚ой по‰писи ст‡н‰‡т цифо‚ой по‰писи электонн‡fl ко‰о‚‡fl кн脇 ‡л„оитм цифо‚ой по‰писи, использующий мето‰ эллиптической ки‚ой полезн‡fl 퇄узк‡ со ‚стоенной з‡щитой коэффициент ложной и‰ентифик‡ции Фе‰е‡льн‡fl Комиссиfl С‚flзи Фе‰е‡льный ст‡н‰‡т об‡ботки инфом‡ции коэффициент ложной те‚о„и е„ист с‰‚脇 с об‡тной с‚flзью н‡ибольший общий ‰елитель Глоб‡льн‡fl систем‡ пижной с‚flзи ко‰ ‡утентифик‡ции сообщениfl н‡ осно‚е хэшиниfl потокол пе則чи „ипетекст‡ Со‚ет по ‡хитектуе Интенет

Сок‡щениfl

IANA ICANN IEEE

IEGS IETF IKE IP ipad IPSec ISAKMP ISO ISOC ITU ITU-T

IV KDC LFSR MAA MAC MAC MD MIC MIME MTA MTU

Internet Assigned Numbers Authority Internet Corporation for Assigned Names and Numbers Institute of Electrical and Electronics Engineers

Со‚ет по е„ист‡ции ‰омено‚ Интенет Копо‡циfl Интенет по е„ист‡ции имен и номео‚ ‰омено‚ Институт инженео‚ по электотехнике и ‡‰иоэлектонике ИИЭР

Internet Engineering Steering Group Internet Engineering Task Force

Гупп‡ Ре„улиниfl Р‡з‡ботки Интенет Гупп‡ инжененой пежки сети Интенет потокол обмен‡ ключ‡ми межсете‚ой потокол ‚хо‰ной блокнот потокол безоп‡сно„о IP услу„и обеспечениfl безоп‡сности и потокол уп‡‚лениfl ключ‡ми Меж‰ун‡о‰н‡fl О„‡низ‡циfl по Ст‡н‰‡тиз‡ции Интенет-сообщест‚о Меж‰ун‡о‰ный Союз Электос‚flзи Меж‰ун‡о‰ный Союз Электос‚flзи — Секто Ст‡н‰‡тиз‡ции н‡ч‡льный ‚екто цент ‡спе‰елениfl ключей е„ист с‰‚脇 с линейной об‡тной с‚flзью ‡„ент ‰оступ‡ к сообщению уп‡‚ление ‰оступом к се‰е ко‰ ‡утентифик‡ции сообщениfl ‰‡й‰жест сообщениfl ко‰ целостности сообщениfl мно„оцеле‚ое ‡сшиение почты

Internet Key Exchange Internet Protocol input pad IP Security Internet Security Association and Key Management Protocol International Organization for Standardization Internet Society International Telecommunication Union International Telecommunication Union—Telecommunication Standardization Sector initial vector key distribution center linear feedback shift register message access agent media access control message authentication code Message Digest message integrity code Multipurpose Internet Mail Extension message transfer agent Maximum Transmission Unit

NESSIE New European Schemes for Signature, Integrity, and Encryption NIST National Institute of Standards and Technology 781

почто‚ый ‡„ент м‡ксим‡льный ‡зме блок‡ пе則‚‡емой инфом‡ции но‚ые е‚опейские схемы по‰писи, целостность и шифние Н‡цион‡льный Институт Ст‡н‰‡то‚ и Техноло„ии

Кус

Кипто„‡фиfl и безоп‡сность сетей

NLFSR

Non linear feedback shift register

NSA

National Security Agency

OAFP OFB opad OWF PFS PGP

optimal asymmetric encryption padding output feedback outpad one way function Perfect Forward Security Pretty Good Privacy

PKI

public-key infrastructure

е„ист с‰‚脇 с нелинейной об‡тной с‚flзью А„ентст‚о Н‡цион‡льной безоп‡сности оптим‡льное ‡ссимитичное ‰ополнение шифниfl ‚нешнflfl об‡тн‡fl с‚flзь Внешний блокнот о‰ностооннflfl функциfl и‰е‡льн‡fl пflм‡fl безоп‡сность очень хоош‡fl конфи‰енци‡льность инф‡стукту‡ откыто„о ключ‡

PRF PRNG

pseudorandom function pseudorandom number generator

пс傉ослуч‡йн‡fl функциfl „ене‡то пс傉ослуч‡йных чисел

GNR QR RACE

quadratic nonresidue quadratic residue Research and development for Advanced Communications in Europe RC round constant RC4 Ron’s Code RFC Request for Comment RIPMED RACE Integrity Primitives Evaluation Message Digest RNG random number generator RSA Rivest, Shamir, Adelman SA Security Association SAD Security Association Database SCTP Stream Control Transmission Protocol SHA Secure Hash Algorithm SKEME Secure Key Exchange Mechanism SHS

Secure Hash Standard

S/MIME Secure/Multipurpose Internet Mail Extension SP Security Policy SPD Security Policy Database

782

ꂇ‰‡тный не‚ычет ꂇ‰‡тичный ‚ычет По„‡мм‡ иссле‰о‚‡ний и ‡з‡боток ‚ обл‡сти пее‰о‚ых техноло„ий с‚flзи конст‡нт‡ ‡у퉇 ко‰ Рон‡ з‡пос н‡ коммент‡ий ‰‡й‰жест сообщениfl оценки пимити‚о‚ целостности RACE „ене‡то случ‡йных чисел Ри‚ест, Ш‡ми, А‰ельм‡н услу„и обеспечениfl безоп‡сности б‡з‡ ‰‡нных безоп‡сности т‡нспотный потокол уп‡‚лениfl потоком ‡л„оитм безоп‡сно„о хэшиниfl безоп‡сный мех‡низм смены ключей ст‡н‰‡т безоп‡сно„о хэшиниfl безоп‡сное/мно„оцеле‚ое ‡сшиение почты ст‡те„иfl безоп‡сности б‡з‡ ‰‡нных ст‡те„ии обеспечениfl безоп‡сности

Сок‡щениfl

SSL TCP TCP/IP

Secure Sockets Layer Transmission Control Protocol Transmission Control Protocol/ Internet Protocol TELNET TERMINAL NETWORK TGS ticket-granting server TLS Transport Layer Security TOWF

trapdoor one-way function

UA UDP

user agent User Datagram Protocol

URL

uniform resource locator

WWW

World Wide Web

783

уо‚ень безоп‡сных озеток потокол уп‡‚лениfl пе則чей потокол уп‡‚лениfl пе則чей / межсете‚ой потокол телекоммуник‡ционн‡fl сеть пе‰ост‡‚лflющий билет се‚е безоп‡сность т‡нспотно„о уо‚нfl «л‡зейꇻ ‚ о‰ностоонней функции ‡„ент пользтелfl ‰ейт‡„‡ммный потокол пользтелfl унифицинный ук‡з‡тель (инфом‡ционно„о) есус‡ Всемин‡fl П‡утин‡

Учебное и片ние Бехоуз А. Фооуз‡н

КРИПТОГРАФИЯ И БЕЗОПАСНОСТЬ СЕТЕЙ Учебное пособие Пе. с ‡н„л. по‰ е‰. А.Н. Белин‡ Лите‡туный 則кто С. Пеепелкин‡ Коекто Ю. Голом‡з Компьютен‡fl ‚естк‡ Н. О‚чинник Диз‡йн обложки М. А‚тоном

По‰пис‡но ‚ печ‡ть 25.10.2009. Фом‡т 60x90 1/16. Г‡ниту‡ «Т‡ймс». Бу쇄‡ офсетн‡fl. Печ‡ть офсетн‡fl. Усл. печ. л. 49. Ти‡ж 2000 экз. З‡к‡з № ООО «ЭКОМ П‡блишез» Мосꂇ, ул. Бутле, 17А, http://www..ecom.ru ООО «ИНТУИТ.у» Интенет-Уни‚еситет Инфом‡ционных Техноло„ий, Мосꂇ, Электический пе., 8, ст.3. E-mail: [email protected], http://www.intuit.ru

ООО «БИНОМ. Л‡бо‡тоиfl зн‡ний» Мосꂇ, поез‰ Аэопот‡, ‰. 3 Телефон: (499) 157-1902, (499) 157-5272 E-mail: [email protected], http://www.lbz.ru