Протоколы информационного обмена

Однако существует способ быстрого умножения точки на число, который требует O(log k log3 p) количества операций для умножения точки P E , определенной в конечном поле Fp на некоторое число k [19]. Этот метод

аналогичен алгоритму быстрого возведения в степень для элементов конечного поля, действительно: 100P = 2(2(P + 2(2(2(P + 2P))))) .

В группе точек, принадлежащих эллиптической кривой существует задача, имеющая экспоненциальный уровень сложности и получившая название задачи дискретного логарифмирования на эллиптической кривой. Суть ее заключается в том, что при известных точках P,Q E , вычисли-

тельно трудно найти такое число x (если оно существует), что Q = xP .

Стойкость криптографических систем на эллиптических кривых основана на сложности решения этой задачи. Приведем оценки необходимой вычислительной мощности для нахождения дискретного логарифма в группе точек эллиптической кривой [18] (табл.5.1).

Задача дискретного логарифмирования в группе точек эллиптической кривой является более трудной, чем задача дискретного логарифмирования в конечном поле. В этом заключается основная причина преимущества использования криптосистем на эллиптических кривых, которые обеспечивают такой же уровень стойкости при использовании чисел существенно меньшего размера по сравнению с более традиционными криптосистемами, стойкость которых заключается в сложности задачи факторизации или дискретного логарифмирования в конечном поле. Соответственно при использовании чисел одинаковой размерности уровень стойкости криптосистем на эллиптических кривых значительно выше. На сегодняшний день лучший из известных алгоритмов – ρ-метод Полларда, дает

следующую оценку для решения задачи дискретного логарифмирования в группе точек эллиптической кривой: ( πn / 2) / m , где m – количество

процессоров для параллельных вычислений, а n – порядок группы точек эллиптической кривой [17]. С помощью этого метода в 2000 г. была решена задача дискретного логарифмирования в группе точек эллиптиче-

49

7. Осуществить преобразование выбранного ранее открытого текста, представленного в виде массива точек Pi1 , путем умножения каждой из них на число e2 , полученное от другого абонента.

Qi1 = e2 Pi1 .

8. Отослать другому абоненту полученные результаты (точки Qi1 , по-

лученные в результате преобразования) и выбранный вами открытый текст M1 .

9. Осуществить обратное преобразование полученного массива точек Qi2 с использованием числа d1 :

Pi2 = d1Qi2 .

10. Перевести полученный массив точек Pi2 в открытый текст M 2′ . Сравнить полученный результат с изначальным открытым текстом M 2 , который был выбран другим абонентом. Текст M 2 должен совпадать с

текстом M 2′ .

11. Оформить и сдать отчет о выполнении лабораторной работы. Форма отчета приведена в приложении 1 для работы 5.

ПРАКТИЧЕСКОЕ РУКОВОДСТВО

Работа 5 выполняется группами по два человека. Работа происходит по протоколу «Операции над точками ЭК». Возможные роли: 1-й абонент и 2-й абонент. Выберите роль для работы по протоколу. Договоритесь о том, кто создает сессию для работы по протоколу, и о времени начала работы. Пользователь, выбравший роль 1-го абонента, выбирает параметры кривой и пересылает их своему партнеру.

Перевод открытого текста в точки, принадлежащие эллиптической кривой и обратно, осуществляется автоматически с использование соответствующих возможностей специализированного вычислителя. Более детальное описание работы со специализированным вычислителем приведено в разделе описания программного комплекса.

51

точку K BA = kb K A . Нетрудно увидеть, что точки K AB и K BA совпадают, действительно:

K AB = ka K B = ka (kbQ) = kb (kaQ) = kb K A = K BA .

Общим секретом для абонентов А и B является точка KAB. Для передачи секретных сообщений можно, например, воспользоваться значением координаты x этой точки. Если известен ранг эллиптической кривой, то возможно непосредственное применение x в качестве секретного ключа зашифрования в криптосистеме на эллиптических кривых. В противном случае можно использовать значение x в качестве ключа в классических криптосистемах.

По открытым каналам связи передаются только параметры кривой E , точки Q, KA и KB. Этой информации злоумышленнику не хватит для того, чтобы вычислить значение общего для абонентов А и B секрета – точки KAB . Для вычисления общего секрета необходимо знать числа ka или kb .

Нахождение их на основе знания точек Q, K A и K B эквивалентно реше-

нию задачи дискретного логарифмирования на эллиптической кривой. Как уже отмечалось, эта проблема имеет экспоненциальный уровень сложности и не поддается эффективному решению при имеющемся уровне развития вычислительной техники и математических алгоритмов. В этом смысле схема Диффи-Хеллмана является безопасной.

Однако возможны активные атаки, связанные с самой схемой информационного обмена данными. Рассмотрим атаку, получившую название атаки посередине с перекодированием сообщения [9].

Злоумышленник C внедряется в процесс информационного обмена между абонентами A и B (рис.6.1), выдавая себя абоненту А за абонента B, а абоненту B – за абонента А. Таким образом он генерирует два общих секрета: один для обмена данными с пользователем A, другой для обмена данными с пользователем B. Впоследствии, когда абонент А посылает криптограмму абоненту B, он думает, что зашифровывает ее на общем для них с B секретном ключе. Однако на практике он использует секретный ключ, который известен злоумышленнику C. Злоумышленник C перехватывает и блокирует криптограмму от абонента А. Потом расшифровывает ее с использование знания общего для них с абонентом А секретного ключа. Затем заново зашифровывает с использованием общего для него с абонентом B сетного ключа и отправляет абоненту B. В случае успешного осуществления такой атаки, абоненты А и B ведут обмен секретными сообщениями, содержание которых становится известно злоумышленнику.

53

при котором xAC x*AC ≡1mod N . После этого он дешифрует криптограм-

му CAC, действительно Pm = x*AC C AC . После того, как злоумышленник С узнал содержание секретного сообщения, он перешифровывает его на секретном ключе xBC и отправляет абоненту B: CCB = xBC Pm . Абонент

В вычисляет значение такого числа x*BC , при котором xBC x*BC ≡1mod N , и расшифровывает полученную криптограмму Pm = x*BC CBC .

ЗАДАНИЕ

1. Все участники информационного обмена договариваются об используемой эллиптической кривой E, характеристике поля Fp и началь-

ной общей точке Q E .

2. Абоненты А и B действуют по схеме Диффи-Хеллмана для генерации общей секретной точки.

3. Абонент А выбирает некоторую точку Pm E , зашифровывает ее

с использованием координаты x полученной общей секретной точки и отправляет криптограмму абоненту B.

4.Абонент B расшифровывает полученную криптограмму.

5.Злоумышленник C осуществляет атаку «посередине» с перешифрованием сообщения на протокол информационного обмена между пользователями A и B.

6.Оформить и сдать отчет о выполнении лабораторной работы. Форма отчета приведена в приложении 1 для работы 6.

ПРАКТИЧЕСКОЕ РУКОВОДСТВО

Работа 6 выполняется группами по три человека. Работа происходит по протоколу «Схема Диффи-Хеллмана». Возможные роли: абонент А, абонент B и злоумышленник C. Выберите роль для работы по протоколу. Договоритесь о том, кто создает сессию для работы по протоколу, и о времени начала работы.

Для выполнения работы используйте специализированный вычислитель для эллиптических кривых. Для задания характеристики p поля Fp

используйте таблицу простых чисел. Ранг кривой N (т.е. количество точек на кривой) считается автоматически.

По предварительной договоренности, для выполнения задания и осуществления атаки «посередине», возможна отправка сообщений между абонентамиA иB черезпользователя, выбравшегорользлоумышленника C.

55

В таком случае число d можно легко вычислить, например, с помощью расширенного алгоритма Евклида из уравнения:

ed + Ny =1 .

Абонент А генерирует пару чисел (ea , da ) . Абонент B – пару чисел (eb , db ) .

Ниже приводится схема протокола информационного обмена.

А: Хочет переслать абоненту B секретное сообщение M , которому соответствует на кривой E некоторая точка Pm .

Для этого он вычисляет значение точки

Q1 = ea Pm .

Отправляет значение Q1 абоненту B.

B:Вычисляет значение точки

Q2 = ebQ1 .

Отправляет значение Q2 абоненту A.

A:Вычисляет значение точки

Q3 = daQ2 .

Отправляет значение точки Q3 абоненту B.

B:Вычисляет значение точки

Q4 = dbQ3 .

Значение Q4 равно точке Pm , соответствующей секретному со-

общению M . Действительно:

Q4 = dbQ3 = db (daQ2 ) = db (da (ebQ1)) = db (da (eb (ea Pm ))) .

Воспользовавшись свойством коммутативности операции умножения в конечном поле Fp, можно записать, что

Q4 = (ea da )(eb db )Pm = Pm .

Имея это значение, абонент B восстанавливает исходный открытый текст M .

В рассмотренном протоколе секретное сообщение передается от одного абонента другому в процессе диалога, состоящего в обмене криптограммами, при этом по открытым каналам связи передается только зашифрованная и общедоступная информация.

57