Кодирование и шифрование информации в системах связи. Часть 2. Шифрование

242

При mode = 0 большие значения статистики указывают на то, что в начальной части последовательности либо слишком много единиц, либо слишком много нулей. При mode = 1

большие значения статистики указывают на то, что в конечной части последовательности либо слишком много единиц, либо слишком много нулей. Маленькие значения статистики будут указывать на то, что единицы и нули перемешаны слишком равномерно.

Тест случайных отклонений

Цель теста случайных отклонений (the random excursions test) – определить отклоняется ли число визитов в случайном маршруте отдельного состояния от аналогичного числа в случайной последовательности.

Из тестируемой двоичной последовательности длиной n бит формируется последовательность X = x1, x2, …, xn, где xi = +1, если i-й элемент исходной последовательности равен 1 и xi = –1, если i-й элемент равен 0.

Последовательно вычисляются частичные суммы Si увеличивающихся подпоследовательностей, каждая из которых начинается с x1,т.е. S1 = x1, S2 = x1 + x2, ….

Таким образом формируется набор S = {Si}. К полученному набору S добавляется ноль в начало и конец для формирования нового набора S’: S = 0, S1, S2, …, Sn, 0. Этот набор S’ и

будет являться случайным маршрутом.

Определяется число нулевых узлов J – количество нулевых значений в наборе S’, за исключением первого нуля. Определяется число циклов в наборе S’. Цикл – это подпоследовательность в наборе S’, начинающаяся в одном нулевом узле и заканчивающаяся в следующем нулевом узле, включая первый нуль. Количество циклов в наборе S’ равно количеству нулевых узлов J.

Полагая, что набор S’ содержит значения x: –4, –3, –2, –1 и +1, +2, +3, +4, определяется частота каждого x в каждом цикле. Затем вычисляется vk(x) – количество циклов, в которых состояние x встретилось k раз, k = 0, …, 5. Для случая k = 5, считаются циклы, в которых состояние x встретилось 5 и более раз. При этом получается, что

5

vk x J .

k 0

Для каждого из восьми состояний x вычисляется тестовая статистика

243

где k(x) – вероятность того, что в случайном распределении состояние x встретится k

раз. Значения для i можно найти в [47_NIST_STS].

В результате будет вычислено 8 значений тестовой статистики.

Затем для каждого из восьми состояний x вычисляется значение P-value

В результате будет получено 8 значений P-value.

Вариант теста случайных отклонений

Цель варианта теста случайных отклонений (The Random Excursions Variant Test) –

определить отклоняется ли общее число визитов в случайном маршруте отдельного

состояния от аналогичного числа в случайной последовательности.

Из тестируемой двоичной последовательности длиной n бит формируется

подпоследовательностей, каждая из которых начинается с x1,т.е. S1 = x1, S2 = x1 + x2, ….

Таким образом формируется набор S = {Si}. К полученному набору S добавляется ноль в начало и конец для формирования нового набора S’: S = 0, S1, S2, …, Sn, 0. Этот набор S’ и

будет являться случайным маршрутом.

Определяется число нулевых узлов J – количество нулевых значений в наборе S’, за исключением первого нуля. Определяется число циклов в наборе S’. Цикл – это подпоследовательность в наборе S’, начинающаяся в одном нулевом узле и заканчивающаяся в следующем нулевом узле, включая первый нуль. Количество циклов в наборе S’ равно

количеству нулевых узлов J.

Для каждого из 18 ненулевых состояний x: – 9, – 8, …, – 1 и +1, +2, …, +9, вычисляются значения (x). (x) равно общему числу появлений состояния x во всех J циклах.

Затем для каждого из восьми состояний x вычисляется значение P-value

В результате будет получено 18 значений P-value.

244

Исследование алгоритмов поточного шифрования

Криптоанализ шифров

Статистический анализ гаммы шифров

Для анализа прохождения псевдослучайными последовательностями статистического теста используются различные подходы. Пусть дана двоичная последовательность s.

Необходимо установить проходит данная последовательность статистический тест или нет.

Возможны следующие подходы: 1. Пороговый уровень.

Этот подход заключается в вычислении для последовательности s тестовой статистики c(s) и сравнение ее с пороговым уровнем. Правило принятия решения в данном случае формулируется следующим образом: двоичная последовательность s не проходит статистический тест всякий раз, когда вычисленное значение тестовой статистики c(s)

оказывается ниже порогового значения. 2. Доверительный интервал.

В данном подходе для последовательности s также вычисляется тестовая статистика c(s),

но при этом правило принятия решения формулируется следующим образом: двоичная последовательность s не проходит статистический тест, если вычисленное значение тестовой статистики c(s) оказывается вне пределов доверительного интервала, вычисленного для заданного уровня значимости . Уровень значимости определяет степень недостоверности исхода эксперимента.

3. Значение вероятности.

Этот подход заключается в вычислении для последовательности s тестовой статистики c(s) и соответствующего ей значения вероятности (P-value). Здесь тестовая статистика рассматривается как реализация случайной величины, которая подчиняется известному закону распределения. Обычно статистические тесты строятся таким образом, чтобы большие значения тестовой статистики указывали на неслучайность тестируемой последовательности. Следовательно, маленькие значения P-value рассматриваются как доказательство того, что тестируемая последовательность неслучайна. Правило принятия решения в данном случае формулируется следующим образом: для фиксированного уровня значимости двоичная последовательность s не проходит статистический тест, если P-value

< .

Подход, основанный на использовании порогового уровня, является не достаточно строгим. Подход, основанный на использовании доверительного интервала, является более надежным по сравнению с первым. Однако, необходимо помнить о том, что различным

245

уровням значимости соответствуют различные доверительные интервалы. Третий подход,

основанный на использовании значения вероятности P-value, имеет дополнительное преимущество по сравнению с предыдущим – не требуется конкретизации уровня значимости . То есть однажды вычисленное значение вероятности P-value может сравниваться с любым уровнем значимости без дополнительных расчетов.

Большинство наборов статистического тестирования генераторов ПСП, например, такие как Diehard, Crypt-X и набор статистических тестов НИСТ, используют третий подход.

На практике существует много различных стратегий, используемых для статистического анализа генераторов случайных последовательностей. В [47_NIST_STS] предлагается стратегия, состоящая из нескольких этапов:

1.Выбор генератора.

Выберите для тестирования программный или аппаратный генератор. Генератор должен производить двоичную последовательность нулей и единиц длиной n.

2.Генерация двоичной последовательности.

Для фиксированной последовательности длиной n и выбранного ранее генератора сконструируйте набор из m двоичных последовательностей.

3.Выполнение набора статистических тестов.

Примените статистические тесты к сконструированному на втором этапе набору последовательностей.

4.Проверка значений P-value.

Врезультате выполнения статистических тестов будут получены соответствующие промежуточные значения (тестовая статистика и P-value). На основе этих P-value может быть сделано заключение, касающееся качества последовательности.

5.Оценка.

Для каждого статистического теста вычисляется набор значений P-value,

соответствующий набору последовательностей. Для фиксированного уровня значимости ожидается конечный процент P-value, указывающий на провал. Например, если выбран уровень значимости равный 0,01, т.е. = 0,01, то ожидается, что около 1%

последовательностей тестирование провалит.

Последовательности проходят статистические тесты всякий раз, когда P-value , и не проходят во всех остальных случаях. Для каждого статистического теста вычисляется и анализируется пропорция последовательностей, успешно прошедших тестирование.

Врезультате тестирования может произойти три типичных исхода:

1.Анализ P-value не указывает на отклонение от случайности.

246

2.Анализ ясно указывает на отклонение от случайности.

3.Анализ является недостаточным.

Впредлагается два способа интерпретации результатов:

1.Исследование доли последовательностей, прошедших статистические

тесты.

2.Исследование распределения значений P-value, чтобы проверить равномерность их распределения.

Вслучае, когда любой из этих подходов терпит неудачу, т.е. соответствующая нулевая гипотеза должна быть отклонена, должны быть проведены дополнительные численные эксперименты на других образцах генератора, чтобы определить было ли это событие статистическим отклонением или это было доказательством неслучайности.

Рассмотрим первый способ интерпретации результатов – анализ доли

последовательностей, проходящих тест.

Пусть даны экспериментальные результаты для какого-то отдельного статистического

теста. Вычислите долю последовательностей, которые проходят этот тест.

Например, если была протестирована 1000 двоичных последовательностей, т.е. m = 1000,= 0,01 (уровень значимости) и при этом для 996 последовательностей P-value 0,01, то доля последовательностей, которые проходят этот тест, равна 996/1000 = 0,996. Диапазон приемлемых значений этой доли определяется с использованием доверительного интервала,

определенного как:

где p’=1 – , m – размер образца.

Если доля выходит за пределы этого интервала, то это свидетельствует, что данные неслучайны.

Для примера, приведенного выше, доверительный интервал равен:

т.е. доля должна лежать выше 0,9805607.

Рассмотрим второй способ интерпретации результатов – анализ равномерности распределения значений P-value.

Интервал [0; 1] делится на 10 подинтервалов. Подсчитывается количество значения P- value, лежащие в каждом из подинтервалов. Затем применяется тест 2 (хи-квадрат) и

определяется значение P-value, соответствующее распределению теста критерия согласия для P-value.

247

Вычисляется статистика

где Fi – количество значений P-value в i-м подинтервале, s – размер образца.

Затем вычисляется P-value:

a e t t a 1dt – гамма-функция [53_Корн].

0

Если P-value 0,0001, то последовательности могут считаться равномерно распределенными.

Анализ результатов тестирования

С помощью набора статистических тестов НИСТ было исследовано качество последовательностей, генерируемых 9 поточными шифрами (RC4, Rabbit, Salsa20/12, SOSEMANUK, HC-128, Grain-128, Mickey-128, Trivium, F-FCSR-16) и 2 блочными шифрами в поточных режимах работы (ГОСТ 28147-89 в режиме гаммирования и AES в режимах CTR

и OFB).

Тестирование производилось для трех случаев:

1.Тестировались последовательности, сгенерированные каждым из исследуемых шифров.

2.Тестировался результат шифрования периодически повторяющегося формуляра с помощью последовательностей, тестируемых в первом случае.

3.Тестировался результат шифрования последовательности различных неповторяющихся формуляров с помощью последовательностей, тестируемых в первом случае.

Для тестирования были выбраны следующие параметры:

1.Для каждого шифра было сгенерировано m = 100 последовательностей,

n = 106 бит каждая.

2.Уровень значимости был принят равным = 0,01.

248

3. Для выбранных параметров m и границы доверительного интервала составляют: [96,016; 101,99]. То есть считается, что шифр прошел тест, если для более чем 96,016% тестируемых последовательностей P-value 0,01.

Статистические тесты из набора НИСТ генерируют различное количество значений P- value, так, например, частотный тест генерирует одно значение P-value для каждой последовательности длиной n бит, а тест серий по два значения P-value для каждой такой последовательности. В итоге для всех 15 тестов генерируется 188 значений. Таким образом для каждого исследуемого шифра было сгенерировано по 188 значений P-value для каждого из 3 рассматриваемых случаев.

Рассмотрим первый способ интерпретации результатов – анализ доли последовательностей, проходящих тест.

По результатам применения каждого конкретного теста к каждому конкретному шифру, в трех рассматриваемых случаях, была определена доля последовательностей проходящих каждый тест. Для каждого конкретного шифра, в трех рассматриваемых случаях, было подсчитано число тестов, для которых эта доля превысила порог в 96,016%. Другими словами было определено количество тестов, которые исследуемый шифр прошел в соответствии с первым способом интерпретации результатов (таблица 2.17), т.е. количество тестов не выявивших в тестируемой последовательности отклонений от случайности.

Таблица 2.17. Количество успешно пройденных тестов

распределения значений P-value.

По результатам применения каждого конкретного теста к каждому конкретному шифру,

в трех рассматриваемых случаях, было определено значение P-valueT. Для каждого конкретного шифра, в трех рассматриваемых случаях, было подсчитано число тестов, для которых P-valueT 0,0001. Другими словами было определено количество тестов, которые исследуемый шифр прошел в соответствии со вторым способом интерпретации результатов (таблица 2.18), т.е. количество тестов не выявивших в тестируемой последовательности отклонений от случайности.

249

Таблица 2.18. Количество успешно пройденных тестов

Из полученных результатов видно, что все исследуемые шифры генерируют довольно качественные последовательности (первая строка в табл.2.17 и табл.2.18), худший результаты показал шифр Mickey-128, причем при обоих способах интерпретации результатов.

Исследование результатов шифрования периодически повторяющегося формуляра показало, что подобные последовательности данных содержат неслучайность, которую можно выявить отдельными тестами. В данном случае все шифры показали примерно одинаковые результаты (вторая строка в табл.2.17 и табл.2.18).

Исследование результатов шифрования последовательностей различных неповторяющихся формуляров показало, что шифры HC-128, Grain-128, Mickey-128 и AES (в обоих режимах и CTR, и OFB) способны скрыть неслучайный характер шифруемой информации, в отличии от шифров RC4, Rabbit, Salsa20/12, SOSEMANUK (третья строка в табл.2.17 и табл.2.18).

Исследование производительности шифров

Было исследовано быстродействие 9 поточных шифров (Rabbit, Salsa20/12, SOSEMANUK, HC-128, Grain-128, Mickey-128, Trivium, F-FCSR-16) и 2 блочных шифра в поточных режимах работы (ГОСТ 28147-89 в режиме гаммирования и AES в режимах CTR и OFB).

Тестирование проводилось на четырех ЭВМ с ОС Microsoft Windows XP Professional,

версия 2002, Service Pack 2:

1.ЭВМ1 – AMD Duron 1 ГГц, 512 МБ ОЗУ;

2.ЭВМ2 – AMD Duron 1 ГГц, 256 МБ ОЗУ;

3.ЭВМ3 – AMD Duron 1 ГГц, 128 МБ ОЗУ;

4.ЭВМ4 – Intel® Celeron® M CPU 520 @ 1,6 ГГц, 0,99 ГБ ОЗУ.

250

Для каждого из перечисленных шифров было измерено время (в сек.), затраченное на генерацию 106, 220, 107, 108 и 230 бит соответственно. Полученные данные представлены в виде таблиц

Таблица 2.19. Результаты тестирования шифров на ЭВМ1