Шемякин лекции 2023 / Алфёров А.П., Зубов А.Ю., Кузьмин А.С., Черемушкин А.В. Основы криптографии

НаОежность шифров

Второе равенство в (34) следует из того, что если

Р(к) ■р(у / к) ф 0, то 5(у,к) = 1.

Теперь мы можем получить границу Симмонса для ве­ роятности р ИК. Для этого введем функцию

Р(к ) - 8 (у, к)

р( у - доп)

Легко видеть, что ()у (к) — неотрицательная функция от

Прологарифмировав (36) и умножив получившееся ра­ венство на р ( у ), получим выражение

191

Здесь мы воспользовались определением (35), а также тем,

Теперь, суммируя (37) по у и пользуясь оценкой (38) для второго слагаемого, получаем неравенство

192

Надежность шифров

- Н(У) < ^ [р ( у )1о§р( у - доп)] - Н ( Г / К ),

^ ^ Р(У) • 1°§ Р(У - Доп) > -1(У , К).

уеУ

Утверждение 3 доказано.

Из приведенных рассуждений следует, что равенство в (32) достигается в том и только в том случае, когда одновре­ менно выполняются следующие два условия:

1. Вероятность р (у —доп) не зависит от у (поэтому

левые части в (32) и (39) равны); 2. Для каждой криптограммы у е У вероятность р(у/к)

одинакова при всех к , для которых 8(у,к) = 1 .

Из утверждения 3 следует оценка для логарифма вероят­

причем необходимыми (но уже не достаточными) условиями достижения равенства в (40) являются условия 1 и 2.

Согласно [Сим88], совершенная имитостожость опре­ деляется как равенство в (40). Следует, однако, отметить, что даже при достижении совершенной имитостойкости вероят­ ность навязывания мала лишь при большой величине

193

/лава 7

1(У,К), то есть в том случае, когда криптограмма дает зна­

чительную информацию о ключе. Информация, которую дает У относительно К , есть мера того, в какой степени ключ используется для обеспечения имитостойкости.

В общем случае не известно, при каких условиях сущест­ вуют шифры, обеспечивающие совершенную имитостойкость, хотя и имеются соответствующие примеры [Сим88]. Любопытно отметить, что эти примеры свидетельствуют о том, что криптостойкость и имитостойкость шифра являются независимыми свойствами шифра.

§ 7.5. Шифры, не распространяющие искажений

Помимо целенаправленных искажений передаваемой шифрованной информации возможны также искажения, про­ исходящие за счет наличия помех в канале связи. Такие поме­ хи могут привести к искажениям или даже потере отдельных знаков используемого алфавита. Если искаженный знак не является знаком того же алфавита, то на приеме факт искаже­ ния легко установить. В противном случае факт искажения может быть установлен лишь при расшифровании, когда ис­ кажение в шифртексте приводит к потере части или даже все­ го открытого текста. Так же проявляется и потеря знаков шифртекста. Последствия искажений шифртекста при переда­ че могут быть различными для разных типов шифров. Нас будет интересовать вопрос о свойствах самого шифра, позво­ ляющих не распространять искажений при расшифровании. При этом мы ограничимся рассмотрением лишь эндоморфных шифров и искажений, которые либо заменяют знаки алфавита знаками того же алфавита (искажения типа “замена знаков”), либо приводят к потере знаков или появлению дополнитель­ ных знаков алфавита (искажения типа “пропуск-вставка зна­ ков”).

194

Надежность шифров

Шифры, не распространяющие искажений типа “ замена знаков”

Будем рассматривать шифры, для которых открытые и шифрованные тексты являются словами в некотором алфави­ те А и которые не изменяют длины сообщений при шифро­ вании. В терминологии, введенной в гл. 2, речь пойдет о шифрах, описываемых моделью = ( Х , К , У , Е , В ) , в кото-

I.

рой X = У = 1 М ' , причем для любых х € X и к е К длина

/=1

у = Ек(х) совпадает с длиной х .

Естественной мерой значительности последствий иска­ жений типа “замена знаков” является метрика на множестве сообщений X = У . По-видимому, простейшей является мет­ рика Хэмминга /л , определяемая формулой

В силу этого часто бывает удобно пользоваться подстановоч­ ной моделью шифра — Еп = ( Х , Е ) , в которой множество

в виду наличие взаимно однозначного соответствия между правилами Ек и подстановками е .

195

(лава 7

Далее в этом параграфе мы будем рассматривать именно подстановочную модель шифра.

Определение 1 . Будем говорить, что шифр Е п = ( Х 9Е)

не распространяет искажений типа замены знаков, если для

любых х 9у е Л л, 1 < Я < Ь9 и любого е е Е выполняется не­

равенство

Данное определение естественным образом формализу­ ет понятие “не распространения искажений”. Неравенство (42) означает, что число искажений в расшифрованном тексте не превышает числа искажений в передаваемом шифрованном тексте. Иногда говорят также, что шифр, удовлетворяющий условию (42), является помехоустойчивым (или помехостой­ ким) к искажениям рассматриваемого типа.

Утверждение 1 . Шифр не распространяет искаже­

ний типа замены знаков тогда и только тогда, когда для лю­

^ ^ ( е - ' х , е ~ 1у ) = ^ ц ( х , у )

ИЛИ

196

Набежностьшифров

Если шифр не распространяет искажений, то, в силу (42), каждое слагаемое в (44) неотрицательно. Поэтому равенство (44) может выполняться лишь в случае, когда имеет место ус­ ловие (43), что и требуется.

Определение 2. Подстановки е € Е , удовлетворяющие условию (43), называются изометриями на X .

Утверждение 1 показывает, что для шифров, не распро­ страняющих искажений типа замены знаков, множество Е состоит из изометрий. Критерий того, что подстановка е е Е является изометрией на X , получен А. А. Марковым (см. [Баб97]). Для его формулировки введем следующие два пре­ образования множества X :

для подходящих преобразований, определенных формулами

(45), (46).

изометриями и произведение изометрий также является изо­ метрией. Обратимся поэтому к доказательству необходимости условия теоремы.

197

ной позиции. Если бы равенство (47) не выполнялось, то на-

шлись бы х,у е е(А;) такие, что //(*,у) > 2. Это противоре­

чит условию о том, что е — изометрия на X . Итак, (47) име­ ет место.

В (47) е осуществляет биекцию по соответствующим ко­ ординатам:

198

Для этого введем в рассмотрение “окрестность радиуса Г точки (а|,...,ад):

О, (в!,..., ад) = 0 4 *

/=1

Эта окрестность представляет собой множество точек из

отстоящих (по метрике Хэмминга) от данной точки не более чем на единицу. Аналогично можно ввести и окрестно­ сти От(«1 ,..., а^) большего радиуса.

Заметим вначале, что (50) выполняется на Ох(ах,...,ах) .

Это следует из (47) и (48). То же самое можно выразить в дру­ гой форме:

где Ш х — тождественное преобразование множества А л .

Докажем, что равенство (51) выполняется на всем А Л . Для этого рассмотрим произвольную точку (6],...,6д ) е А А и

систему окрестностей В1, / = 0,Л :

199

[ лава 7

В0 = 0 \(а \9...9а^)9 В\ =0\(Ъ\9а2 ад

Вл = °\

ииндукцией по г покажем, что <р =Ш % на каждом из них.

200