Современная
криптография
Введение
Проблема защиты
информации путем ее преобразования, исключающего ее прочтение посторонним лицом
волновала человеческий ум с давних времен. История криптографии – ровесница
истории человеческого языка. Более того, первоначально письменность сама по
себе была криптографической системой, так как в древних обществах ею владели
только избранные.
Священные книги
Древнего Египта, Древней Индии тому примеры.
С широким
распространением письменности криптография стала формироваться как
самостоятельная наука. Первые криптосистемы встречаются уже в начале нашей эры.
Так, Цезарь в своей переписке использовал уже более менее систематический шифр,
получивший его имя.
Бурное развитие
криптографические системы получили в годы первой и второй мировых войн. Начиная
с послевоенного времени и по нынешний день появление вычислительных средств
ускорило разработку и совершенствование
криптографических методов.
Почему проблема
использования криптографических методов в информационных системах (ИС) стала в
настоящий момент особо актуальна?
С одной
стороны, расширилось использование компьютерных сетей, в частности глобальной
сети Internet, по которым
передаются большие объемы информации государственного, военного, коммерческого
и частного характера, не допускающего возможность доступа к ней посторонних
лиц.
С другой
стороны, появление новых мощных компьютеров,
технологий сетевых и нейронных вычислений сделало возможным
дискредитацию криптографических систем еще недавно считавшихся практически не раскрываемыми.
В первой главе
данной работы можно познакомиться с основными понятиями современной
криптографии, требованиям к ним, возможностями ее практического применения.
Во второй главе
работы с протоколами распределения криптографических ключей,
понятием электронной подписи и протоколами
электронной подписи..
Третья глава
данной работы рассказывает о хэш-функциях и (методах) алгоритмах их построения.
В четвертой
главе будет рассказано о модернизации электронной подписи Эль Гамаля и задаче
дискретного логарифмирования.
Глава 1.
Основные понятия современной криптографии
Проблемой
защиты информации путем ее преобразования занимается криптология (kryptos – тайный, logos – наука). Криптология
разделяется на два направления –
криптографию и криптоанализ. Цели этих направлений прямо противоположны.
Криптография
занимается поиском и исследованием математических методов преобразования
информации.
Сфера интересов
криптоанализа – исследование
возможности расшифровывания информации без знания ключей.
В этой
работе основное внимание будет уделено
криптографическим методам.
Современная
криптография включает в себя четыре крупных раздела:
Симметричные
криптосистемы.
Криптосистемы с
открытым ключом.
Системы
электронной подписи.
Управление
ключами.
Основные
направления использования
криптографических методов – передача конфиденциальной информации по каналам
связи (например, электронная почта), установление подлинности передаваемых
сообщений, хранение информации (документов, баз данных) на носителях в
зашифрованном виде.
Криптография
дает возможность преобразовать информацию таким образом, что ее прочтение
(восстановление) возможно только при знании ключа.
В качестве
информации, подлежащей шифрованию и дешифрованию, будут рассматриваться тексты,
построенные на некотором алфавите. Под этими терминами понимается следующее.
Алфавит –
конечное множество используемых для кодирования информации знаков.
Текст –
упорядоченный набор из элементов алфавита.
В качестве
примеров алфавитов, используемых в современных ИС можно привести следующие:
алфавит Z33 – 32 буквы русского алфавита и
пробел;
алфавит Z256 – символы, входящие в
стандартные коды ASCII и КОИ-8;
бинарный алфавит – Z2 = {0,1};
восьмеричный алфавит или шестнадцатеричный алфавит;
Шифрование –
преобразовательный процесс: исходный текст, который носит также название
открытого текста, заменяется шифрованным текстом.
Дешифрование –
обратный шифрованию процесс. На основе ключа шифрованный текст преобразуется в
исходный.
Ключ – информация,
необходимая для беспрепятственного шифрования и дешифрования текстов.
Криптографическая
система представляет собой семейство T преобразований открытого текста. Члены
этого семейства индексируются, или обозначаются символом k; параметр k является
ключом. Пространство ключей K – это набор возможных значений ключа. Обычно ключ
представляет собой последовательный ряд букв алфавита.
Криптосистемы
разделяются на симметричные и с открытым ключом.
В симметричных
криптосистемах и для шифрования, и для дешифрования используется один и тот же
ключ.
В системах с
открытым ключом используются два ключа – открытый и закрытый, которые
математически связаны друг с другом. Информация шифруется с помощью открытого
ключа, который доступен всем желающим,
а расшифровывается с помощью закрытого ключа, известного только получателю
сообщения. Термины распределение ключей и управление ключами относятся к
процессам системы обработки информации, содержанием которых является
составление и распределение ключей между пользователями.
Электронной
(цифровой) подписью называется присоединяемое к тексту его криптографическое
преобразование, которое позволяет при получении текста другим пользователем
проверить авторство и подлинность сообщения.
Криптостойкостью
называется характеристика шифра, определяющая его стойкость к дешифрованию без
знания ключа (т.е. криптоанализу). Имеется несколько показателей
криптостойкости, среди которых:
количество всех
возможных ключей;
среднее время,
необходимое для криптоанализа.
Преобразование
Tk определяется соответствующим алгоритмом и значением параметра k.
Эффективность шифрования с целью защиты информации зависит от сохранения тайны
ключа и криптостойкости шифра.
Требования к криптосистемам
Процесс
криптографического закрытия данных может осуществляться как программно, так и
аппаратно. Аппаратная реализация отличается существенно большей стоимостью,
однако ей присущи и преимущества: высокая производительность, простота,
защищенность и т.д. Программная реализация более практична, допускает известную
гибкость в использовании.
Для современных
криптографических систем защиты информации сформулированы следующие
общепринятые требования:
зашифрованное
сообщение должно поддаваться чтению только при наличии ключа;
число операций,
необходимых для определения использованного ключа шифрования по фрагменту
шифрованного сообщения и соответствующего ему открытого текста, должно быть не
меньше общего числа возможных ключей;
число операций,
необходимых для расшифровывания информации путем перебора всевозможных ключей
должно иметь строгую нижнюю оценку и выходить за пределы возможностей
современных компьютеров (с учетом возможности использования сетевых
вычислений);
знание
алгоритма шифрования не должно влиять на надежность защиты;
незначительное
изменение ключа должно приводить к существенному изменению вида зашифрованного
сообщения даже при использовании одного и того же ключа;
структурные
элементы алгоритма шифрования должны быть неизменными;
дополнительные
биты, вводимые в сообщение в процессе шифрования, должен быть полностью и
надежно скрыты в шифрованном тексте;
длина
шифрованного текста должна быть равной длине исходного текста;
не должно быть
простых и легко устанавливаемых зависимостью между ключами, последовательно
используемыми в процессе шифрования;
любой ключ из
множества возможных должен обеспечивать надежную защиту информации;
алгоритм должен
допускать как программную, так и аппаратную реализацию, при этом изменение
длины ключа не должно вести к качественному ухудшению алгоритма шифрования.
Глава 2.
Протоколы распределения криптографических ключей и протоколы электронной
подписи.
Системы
с открытым ключом
.
Как бы ни были
сложны и надежны криптографические системы – их слабое мест при практической
реализации – проблема распределения ключей. Для того, чтобы был возможен обмен
конфиденциальной информацией между двумя субъектами ИС, ключ должен быть
сгенерирован одним из них, а затем каким-то образом опять же в конфиденциальном
порядке передан другому. Т.е. в общем случае для передачи ключа опять же
требуется использование какой-то криптосистемы.
Для решения
этой проблемы на основе результатов, полученных классической и современной
алгеброй, были предложены системы с открытым ключом.
Суть их состоит
в том, что каждым адресатом ИС генерируются два ключа, связанные между собой по
определенному правилу. Один ключ объявляется открытым, а другой закрытым.
Открытый ключ публикуется и доступен любому, кто желает послать сообщение
адресату. Секретный ключ сохраняется в тайне.
Исходный текст
шифруется открытым ключом адресата и передается ему. Зашифрованный текст в
принципе не может быть расшифрован тем же открытым
ключом. Дешифрование сообщение
возможно только с использованием закрытого ключа, который известен только
самому адресату.
Криптографические
системы с открытым ключом используют так называемые необратимые или
односторонние функции, которые обладают следующим свойством: при заданном
значении x относительно просто вычислить значение f(x), однако если y=f(x), то
нет простого пути для вычисления значения x.
Множество
классов необратимых функций и порождает все разнообразие систем с открытым ключом.
Однако не всякая необратимая функция годится для использования в реальных ИС.
В самом
определении необратимости присутствует неопределенность. Под необратимостью
понимается не теоретическая необратимость, а практическая невозможность
вычислить обратное значение используя современные вычислительные средства за
обозримый интервал времени. Поэтому чтобы гарантировать надежную защиту
информации, к системам с открытым ключом (СОК) предъявляются два важных и
очевидных требования:
1.
Преобразование исходного текста должно быть необратимым и исключать его
восстановление на основе открытого ключа.
2. Определение
закрытого ключа на основе открытого также должно быть невозможным на
современном технологическом уровне. При этом желательна точная нижняя оценка
сложности (количества операций) раскрытия шифра.
Алгоритмы
шифрования с открытым ключом получили широкое распространение в современных
информационных системах. Так, алгоритм RSA стал мировым стандартом де-факто для
открытых систем и рекомендован МККТТ.
Вообще же все
предлагаемые сегодня криптосистемы с открытым ключом опираются на один из
следующих типов необратимых преобразований:
Разложение
больших чисел на простые множители.
Вычисление
логарифма в конечном поле.
Вычисление
корней алгебраических уравнений.
Алгоритм Диффи-Хеллмана.
Диффи и Хелман предложили для создания
криптографических систем с открытым ключом функцию дискретного возведения в
степень.
Необратимость преобразования в этом случае
обеспечивается тем, что достаточно легко вычислить показательную функцию в
конечном поле Галуа состоящим из p элементов. (p – либо простое число, либо
простое в любой степени). Вычисление же логарифмов в таких полях – значительно более
трудоемкая операция.
Если y=ax,, 1
Обратная задача вычисления x из y будет
достаточно сложной. Если p выбрано достаточно правильно, то извлечение
логарифма потребует вычислений, пропорциональных
L(p) =
exp { (ln p ln ln p)0.5 }
Для обмена информацией первый пользователь
выбирает случайное число x1, равновероятное из целых 1,…,p-1. Это число он
держит в секрете, а другому пользователю посылает число
y1 = ax1 mod
p
Аналогично поступает и второй
пользователь, генерируя x2 и вычислив y2, отправляя его первому пользователю.
В результате этого они могут
вычислять k12 = ax1x2 mod p.
Для того, чтобы вычислить k12, первый
пользователь возводит y2 в степень x1. То же делает и второй пользователь.
Таким образом, у обоих пользователей оказывается общий ключ k12, который можно
использовать для шифрования информации обычными алгоритмами. В отличие от
алгоритма RSA, данный алгоритм не позволяет шифровать собственно информацию.
Не зная x1 и x2, злоумышленник может попытаться вычислить k12, зная только
перехваченные y1 и y2. Эквивалентность
этой проблемы проблеме вычисления дискретного логарифма есть главный и открытый
вопрос в системах с открытым ключом. Простого решения до настоящего времени не
найдено. Так, если для прямого преобразования 1000-битных простых чисел
требуется 2000 операций, то для обратного преобразования (вычисления логарифма
в поле Галуа) – потребуется около 1030 операций.
Как видно, при всей простоте алгоритма
Диффи-Хелмана, его недостатком является отсутствие гарантированной нижней
оценки трудоемкости раскрытия ключа.
Кроме того, хотя описанный алгоритм
позволяет обойти проблему скрытой передачи ключа, необходимость аутентификации
остается. Без дополнительных средств, один из пользователей не может быть
уверен, что он обменялся ключами именно с тем пользователем, который ему нужен.
Опасность имитации в этом случае остается.
В качестве обобщения сказанного о
распределении ключей следует сказать следующее. Задача управления ключами
сводится к поиску такого протокола распределения ключей, который обеспечивал
бы:
возможность отказа от центра распределения ключей;
взаимное подтверждение подлинности участников сеанса;
подтверждение достоверности сеанса механизмом запроса-ответа,
использование для этого программных или аппаратных средств;
использование при обмене ключами минимального числа сообщений.
Иерархические схемы распределения ключей.
Рассмотрим следующую задачу.
Пусть
абоненты сети связи не равноправны между собой, а разделены на “классы
безопасности” C1,C2,…,Cn.
На множестве этих классов определен некоторый частичный порядок; если Cj
Эта задача была решена в общем виде Эклом
и Тейлором в связи с проблемой контроля доступа. В их методе каждый класс
безопасности получает, кроме секретного, также и открытый ключ, который вместе
с секретным ключом класса, доминирует данный, позволяет последнему вычислить
секретный ключ данного класса.
Для случая, когда
частичный порядок является деревом,
имеется схема Сандху [San], которая позволяет добавлять новые
классы безопасности без изменения ключей существующих классов.
Приведем описание иерархической схемы
распределения ключей, предложенной Ву и Чангом для случая, когда частичный
порядок является деревом.
Пусть p
– большое простое число, V
= Zp ´ Zp ´Zp
– множество всех трехмерных векторов над Zp
. Если i Î Zp
, X
= (x1,x2,x3),
Y
= (y1,y2,y3)
Î V,
то определим следующие векторы из V:
Предположим, что каждому классу
безопасности сопоставлен идентификатор
i Î Zp
{0}; класс с идентификатором i
мы будем обозначать через Ci . Ввиду того, что частичный порядок на
множестве классов безопасности является деревом, для описания протокола
достаточно описать процедуры выработки секретного ключа для корневого класса
безопасности (т.е. класса с наиболее высоким уровнем безопасности) и для
произвольного класса Cj
при условии, что секретный ключ для класса Ci
, непосредственно доминирующего Cj
(т.е. такого, что Cj
Для корневого класса безопасности
(например C1)
выбирается произвольный секретный ключ Ki Î V
{(0,0,0)}.
Пусть класс Ci
доминирует класс Cj
и для Ci
уже выработан секретный ключ Ki Î V.
Тогда в качестве секретного ключа для Cj
выбирается вектор
где Pj
– вектор из V,
выбранный случайно так, чтобы было определено.
После чего вектор Pj
делается общедоступным.
Таким образом, в процессе выполнения
протокола для каждого класса безопасности Ci
вырабатывается секретный ключ Ki
и открытый ключ Pj
(кроме корневого класса). Если теперь Cj
Существует цепь классов безопасности Ci
= Cro>Cr1>…>Crn
= Cj,
где Cl-1
непосредственно доминирует Cl для всех L
= 1,…,n.
Абонент Ci,
зная Ki
и Pr1,
вычисляет по формуле (**), затем, зная Kr1
и Pr2,
вычисляет Kr2
по той же формуле и т.д.; после n
шагов будет вычислен Krn = Kj.
Электронная подпись
В чем состоит
проблема аутентификации данных?
В конце
обычного письма или документа исполнитель или ответственное лицо обычно ставит
свою подпись. Подобное действие обычно преследует две цели.
Во-первых,
получатель имеет возможность убедиться в истинности письма,
сличив подпись
с имеющимся у него образцом. Во-вторых, личная подпись является юридическим
гарантом авторства документа. Последний аспект особенно важен при заключении
разного рода торговых сделок, составлении доверенностей, обязтельств и т.д.
Если подделать
подпись человека на бумаге весьма непросто, а установить авторство подписи
современными криминалистическими методами – техническая деталь, то с подписью
электронной дело обстоит иначе. Подделать цепочку битов, просто ее скопировав,
или незаметно внести нелегальные исправления в документ сможет любой
пользователь.
С широким
распространением в современном мире электронных форм документов (в том числе и
конфиденциальных) и средств их обработки особо актуальной стала проблема
установления подлинности и авторства безбумажной документации.
Итак, пусть
имеются два пользователя Александр и Борис.
От каких
нарушений и действий злоумышленника должна защищать система аутентификации.
Отказ
(ренегатство).
Александр
заявляет, что он не посылал сообщение Борису, хотя на самом деле он все-таки
посылал.
Для исключения
этого нарушения используется электронная (или цифровая) подпись.
Модификация
(переделка).
Борис изменяет
сообщение и утверждает, что данное
(измененное) сообщение послал ему Александр.
Подделка.
Борис формирует
сообщение и утверждает, что данное
(измененное) сообщение послал ему Александр.
Активный
перехват.
Владимир
перехватывает сообщения между Александром и Борисом с целью их скрытой
модификации.
Для защиты от
модификации, подделки и маскировки используются цифровые сигнатуры.
Маскировка
(имитация).
Владимир
посылает Борису сообщение от имени Александра .
В этом случае
для защиты также используется электронная подпись.
Повтор.
Владимир
повторяет ранее переданное сообщение, которое Александра посылал ранее Борису .
Несмотря на то, что принимаются всевозможные меры защиты от повторов, именно на
этот метод приходится большинство случаев незаконного снятия и траты денег в системах
электронных платежей.
Наиболее
действенным методом защиты от повтора являются
использование имитовставок,
учет входящих сообщений.
Протоколы
электронной подписи
Протоколы
(схемы) электронной подписи являются основными криптографическим средством
обеспечения целостности информации.
Схема Эль Гамаля.
Пусть обоим
участникам протокола известны некоторое простое число p, некоторой порождающей
g группы Z*p и некоторая хэш-функция h.
Подписывающий
выбирает секретный ключ x ÎR Z*p-1 и вычисляет открытый ключ y = g-x mod p. Пространством сообщений в
данной схеме является Zp-1 .
Для генерации
подписи нужно сначала выбрать uÎR Zp-1. Если uÏR Z*p-1
(что проверяется эффективно), то необходимо выбрать новое u. Если же u
ÎR
Z*p-1 , то искомой подписью для сообщения m является пара (r,s), где r = gu mod
p и
s =
u-1(h(m) +xr) mod (p-1). Параметр u должен
быть секретным и может быть уничтожен после генерации подписи.
Для проверки подписи (r,s) для сообщения m
необходимо сначала проверить условия r Î
Z*p и s Î Zp-1 . Если хотя бы
одно из них ложно, то подпись отвергается. В противном случае подпись
принимается и только тогда, когда gh(m)
º yrrs(mod p ).
Вера в стойкость схемы Эль Гамаля основана
на (гипотетической) сложности задачи дискретного логарифмирования по основанию
g.
Схема Фиата – Шамира.
Для
ее обеспечения центр обеспечения безопасности должен выбрать псевдослучайную
функцию f,
криптографическую хэш-функцию h,
а также выбрать различные большие простые числа p,
q
и вычислить n
= pq.
Число n
и функции f
и h являются общедоступными и публикуются
центром, а числа p
и q
должны быть секретными. Кроме того, схема использует два натуральных параметра l
и t.
Для каждого пользователя центр обеспечения
безопасности генерирует идентификационную информацию I,
содержащую, например, имя пользователя, его адрес, идентификационный номер и т.
п., и для каждого j
= 1,…,l
вычисляет
yi
= f(I,j),
отбирает среди них квадратичные вычеты по модулю n
(изменив обозначения, мы считаем, что yi
для всех j
= 1,…,l
являются квадратичными вычетами по млдулю n),
и вычисляет xi
– наименьший квадратичный корень по модулю n
из yi-1
mod n.
Числа yi играют роль открытого ключа, а xi
– секретного. Так как эти ключи вычисляются с использованием I,
схема Фивта – Шамира относится к схемам, основанным на идентификационной
информации (identity based).
В другом варианте схемы Фиата – Шамира сразу выбираются (псевдослучайным
образом) параметру yi.
На практике идентификационная информация I
и/или открытый ключ (y1,…,yl)
каждого пользователя помещаются в некоторый справочник, доступный всем
пользователям для чтения, но не доступный для записи. Для обеспечения
аутентичности, данные в этом справочнике заверяются подписью центра обеспечения
безопасности. Секретный ключ (x1,…,xl)
и идентификационная информация I
могут быть помещены на интеллектуальную карточку пользователя.
Для генерации подписи для обеспечения m
подписывающий
выбирает uiÎR Zn
(каждое ui
– независимо друг от друга) и вычисляет ri
= ui2
mod n
для i
= 1,…,t;
вычисляет h(m,r1,…,rt)
и полагает биты eij(i
= 1,…,t,
j
= 1,…,t)
равными первым lt
битам h(m,r1,…,rt);
вычисляет для i
= 1,…,t.
Искомой подписью для сообщения m
является набор (eij,
vi
| i
= 1,…,t,
j
= 1,…,l)
Для проверки подписи (eij,
vi
| i
= 1,…,t,
j
= 1,…,l)
для сообщения m подписывающий
вычисляет vj
= h(I,j)
для j
= 1,…,l
или берет их из общедоступного справочника и сравнивает их с имеющимися в
подписи (если обнаружено несовпадение – подпись отвергается);
вычисляет для i
= 1,…,t.
Подпись принимается тогда и только тогда,
когда первые lt
битов h(m,z1,…,zt)
равны eij.
Несомненным достоинством схемы Фмата –
Шамира является отсутствие дискретного экспонентрирования, что делает схему
весьма эффективной. Но с другой стороны, в этой схеме длины ключей и подписи
значительно больше, чем в схемах типа Эль Гамаля.
Схема стандарта электронной подписи ANSI
США (DSA)
Эта схема аналогична схеме Эль Гамаля, но
несколько эффективнее, так как в ней порядок g
меньше, чем в схеме Эль Гамаля. Пусть в открытом доступе имеются некоторые
простые числа p,q
такие, что q
| p-1,
а также элемент g
порядка q
группы Z*q
и хэш-функция h,
действующая из пространства сообщений в Z*q
.Параметры p,q,g
и хэш-функция h
могут быть выбраны центром обеспечения безопасности. Подписывающий выбирает
секрктный ключ x ÎR Zq
и вычисляет открытый ключ y
= gx mod p.
Для генерации подписи для сообщения m
нужно выбрать u ÎR Z*q
{1} и вычислить r = gu mod p mod q
и s
= u-1
(h(m)
+xr)
mod q.
Параметр u
должен быть секретным и может быть уничтожен после вычисления r
и s.
Если r
= 0 или s
= 0, то выбираются новое значение u
и процесс генерации подписи повторяется. В противном случае (r,s)
– искомая подпись для сообщения m.
Для
проверки подписи (r,s)
для сообщения m
необходимо сначала проверить условие 0