Шемякин лекции 2023 / Алфёров А.П., Зубов А.Ю., Кузьмин А.С., Черемушкин А.В. Основы криптографии

I юточные системы шифрования

правильному расшифрованию всего текста, следующего за пропущенным знаком. Учитывая наличие помех практически во всех каналах передачи данных, в системах криптографиче­ ской защиты, использующих поточное шифрование, прихо­ дится заботиться о согласованном порядке применения пре­ образований при зашифровании и расшифровании, другими словами, решать проблему синхронизации процедур зашифро­ вания и расшифрования.

По способу решения этой проблемы поточные шифрсистемы делят на синхронные и системы с салюсинхронизацией.

Для синхронных поточных шифрсистем выбор приме­ няемых шифрующих преобразований однозначно определяет­ ся распределителем (см. гл. 3) и зависит только от номера так­ та шифрования. Каждый знак шифртекста зависит только от соответствующего знака открытого текста и номера такта шифрования и не зависит от того, какие знаки были зашифро­ ваны до или после него. Поэтому применяемое при расшиф­ ровании преобразование не зависит от последовательности принятых знаков шифртекста. В этом случае размножение ошибки полностью отсутствует: каждый знак, искаженный при передаче, приведет к появлению только одного ошибочно расшифрованного знака.

Вместе с тем при использовании синхронной системы по­ теря знака шифртекста приведет к нарушению синхронизации и невозможности расшифрования оставшейся части сообще­ ния. Поэтому для таких систем необходимо предусмотреть специальные процедуры восстановления синхронности рабо­ ты. Обычно синхронизация достигается вставкой в переда­ ваемое сообщение специальных маркеров. В результате этого знак шифртекста, пропущенный в процессе передачи, приво­ дит к неверному расшифрованию лишь до тех пор, пока не будет принят один из маркеров. Другое решение состоит в реинициализации состояний, как шифратора отправителя, так и шифратора получателя при некотором предварительно со­ гласованном условии.

241

I юточные системы шифрования

составляющие данный шифр замены. Применительно к рас­ сматриваемому случаю правило зашифрования формулирует­ ся следующим образом.

х = а]а2...а{ — произвольный открытый текст, к е К — вы­

Таким образом, задача построения рассматриваемого шифра сводится к выбору множества шифрующих преобразо­

ваний {(ра) и отображения у/, задающего распределитель.

В соответствии со сказанным выше, поточная шифрси­ стема представляется в виде двух основных блоков, отвечаю­ щих за выработку распределителя и собственно зашифрова­ ние очередного знака открытого текста. Первый блок выра­ батывает последовательность номеров шифрующих преобра­ зований, то есть фактически управляет порядком процедуры шифрования. Поэтому этот блок называют управляющим бло­ ком, а вырабатываемую им последовательность номеров пре­ образований — управляющей последовательностью (или управляющей гаммой).

243

I лава 9

Второй блок в соответствии со знаком управляющей по­ следовательности реализует собственно алгоритм зашифрова­ ния текущего знака. В связи с этим этот блок называют шиф­ рующим блоком.

Под номером преобразования следует понимать некий набор символов, достаточный для однозначной идентифика­ ции преобразования и удобный с точки зрения практической реализации шифра. Например, номером преобразования мо­ жет быть двоичный вектор заданной длины.

Достаточно, чтобы в каждом такте шифрующий блок обеспечивал возможность зашифрования лишь текущего зна­ ка а] открытого текста в соответствии с (2). При этом совсем

не обязательно строить целиком подстановочное преобразо­

вание а ^ на всем алфавите А .

Обычно управляющая гамма представляет собой псевдо­ случайную последовательность, удовлетворяющую некоторой рекуррентной зависимости. В общем случае рекуррентная по­

в которой / : А т —> А — некоторая функция от т перемен­ ных.

Для получения рекуррентных последовательностей ис­ пользуются различные датчики псевдослучайных чисел. Наи­ более известным таким датчиком с хорошо изученными свой­ ствами является линейный конгруэнтный генератор над ко­ нечным кольцом или полем. Закон его функционирования представляется в виде

х(/ + 1) = а • х(/) + Ъ, / > 0 .

244

/юточные системы шифрования

Обобщением линейного конгруэнтного генератора явля­ ются конгруэнтные генераторы, определяемые формулой вида

вычисляемое для любого аргумента. Достаточно полно иссле­ дованы свойства таких генераторов, задаваемых полиноми­ альными преобразованиями / .

Изучались также генераторы, определяемые неполиноми­ альной рекуррентной зависимостью. Примером является це­ лочисленный генератор, основанный на 44методе середины квадратов”, для которого вычисление х(/ + 1) с помощью (3) сводится к отбрасыванию определенного числа знаков из де­ сятичной (или двоичной) записи числа х(/)2.

Исследования подобных, а также других генераторов, определяемых некими алгоритмическими правилами, показы­ вают, что они уступают по своим (необходимым в криптогра­ фических приложениях) аналитическим и статистическим ка­ чествам рекуррентным последовательностям. Дело в том, что аналитическое представление преобразований позволяет про­ водить более глубокие исследования и строить последова­ тельности с лучшими криптографическими качествами. В на­ стоящее время большинство датчиков псевдослучайных чи­ сел, в том числе реализованных в программных продуктах ведущих фирм, построены на основе регистров сдвига с ли­ нейными функциями обратной связи, или коротко — линей­ ных регистров сдвига (ЛРС).

Вид алгоритмов, реализуемых шифрующими блоками по­ точных шифрсистем, может изменяться в широких пределах. При этом требования к свойствам шифрующего блока в зна­ чительной степени зависят от качества управляющей после­ довательности.

С целью усложнения задачи восстановления управляю­ щей последовательности по виду применяемого шифрующего

245

( лава 9

преобразования может быть использован способ построения шифрующего блока, при котором многим различным знакам управляющих последовательностей отвечают одинаковые шифрующие преобразования. В таком случае, даже если пол­ ностью известно шифрующее преобразование, криптоанали­ тик не сможет однозначно определить управляющую после­ довательность и тем самым упростить задачу нахождения ключей криптографического алгоритма.

Если множество шифрующих преобразований {(ра) дос­

таточно велико7, то можно обеспечить стойкость шифрования даже при повторном использовании ключей. Для этого доста­ точно, чтобы в множестве {<ра} содержались преобразования,

переводящие любую пару букв открытого текста в любую па­ ру букв шифрованного текста. Тогда по паре текстов, зашиф­ рованных на одном и том же ключе, нельзя получить инфор­ мацию об открытых текстах, поскольку любой паре букв шифртекстов может соответствовать произвольная пара букв открытых текстов.

Следует отметить, что указанные качества шифрующего блока повышают криптографическую стойкость, но достига­ ются за счет избыточности числа простых замен, составляю­ щих данный шифр замены. Действительно, если исключить возможность повторного использования ключей и обеспечить необходимые свойства управляющей последовательности, то

можно ограничиться множеством из |Д| подстановок {<ра} 9

нижние строки которых образуют латинский квадрат. В этом случае мы приходим к введенному ранее шифру табличного гаммирования.

Сформулируем ряд требований, обычно предъявляемых к блокам поточной шифрсистемы, нарушение которых приво­

7 Как мы уже знаем, такое множество может совпадать с сим метрической группой подстановок на данном алфавите А .

246

/юточные системы шифрования

дит к появлению аналитических или статистических слабо­ стей алгоритма шифрования, снижающих его стойкость.

Требования к управляющему блоку:

—период управляющей гаммы должен превышать мак­ симально возможную длину открытых сообщений, подлежа­ щих шифрованию;

—статистические свойства управляющей гаммы должны приближаться к свойствам случайной равновероятной после­ довательности;

—в управляющей гамме должны отсутствовать простые аналитические зависимости между близко расположенными знаками;

—криптографический алгоритм получения знаков управ­ ляющей гаммы должен обеспечивать высокую сложность оп­ ределения секретного ключа.

Требование к шифрующему блоку:

—применение алгоритма шифрования должно носить универсальный характер и не зависеть от вида шифруемой информации.

Иногда выдвигается дополнительное требование:

—способ построения шифрующего блока должен обес­ печивать криптографическую стойкость шифра при перекры­ тиях управляющей гаммы, в частности при повторном ис­ пользовании ключей.

Заметим, что выполнение перечисленных требований яв­ ляется необходимым, но не достаточным условием крипто­ графической стойкости поточного шифра.

§9.3. Примеры поточных шифрсистем

Шифрсистема А5

А5 — шифрсистема гаммирования, применяемая для шифрования телефонных сеансов в европейской системе мо­ бильной цифровой связи 08М (Огоир 8ресга1 МоЪИё). В от­ крытой печати криптосхема А5 официально не публикова­

247

I лава 9

лась. Британская телефонная компания передала всю техниче­ скую документацию Брэдфордскому университету. Через не­ которое время детали о конструкции А 5 стали просачиваться в печать и, в конце концов, появились в Пч[ТЕКЛЧЕТ.

Описание алгоритма приведем по работе [Оо197]. Крип­ тосхема А 5 приведена на рис. 34.

У! (х) = X19 + х 5 + х 2 + X 4-1, / 2(х) = х 22 + х + 1, / 3(х) = х 23 + х 15 + х 2 + х + 1 .

248

/юточные системы шифрования

г —I

Пусть 8 1(0) = (х1(0)/=о обозначает начальное заполне­ ние, а х 1 = (х ь(0 )Г=о — соответствующую последователь­ ность максимального периода 2 Г'-1, порождаемую ЛРС, за­ коном рекурсии

Другими словами, знаки управляющей движением последова­ тельности С(7) определяют, какие регистры сдвигаются в /- м такте работы схемы. Ясно, что в каждом такте сдвигаются, по меньшей мере, два регистра. Выходной бит гаммы у(1)

вычисляется как сумма

У(0 = а1,1 (0 + $2,1(0 + л3,1 (0> / 2>1.

249

I лава 9

В системах 08М алгоритм А 5 используется для защиты информации между абонентом и базовой станцией, так что фактически в сеансе связи двух абонентов шифрование про­ исходит дважды. Это дает возможность использования атаки на основе известного открытого текста. Кроме того, следует отметить, что 64-битовый секретный сеансовый ключ (кото­ рым служит совокупность начальных заполнений ЛРС ) гене­ рируется с помощью другого алгоритма, исходя из “основно­ го” (ша51ег) ключа, специфического для каждого пользовате­ ля, и открытого случайного 128-битового ключа, передавае­ мого в незащищенной форме с базовой станции абоненту. Тем самым успешное вскрытие одного или нескольких сеансовых ключей дает подходы к определению основного ключа поль­ зователя.

Шифрсистема Гиффорда

Д. Гиффорд предложил схему поточного шифра, которая использовалась с 1984 по 1988 г. агентством АззосгШес! Ргезз. Криптосхема генератора (см. рис. 35) представляет собой 8- байтовый регистр сдвига с линейной функцией обратной свя­ зи / и нелинейной функцией выхода к . Ключом являются 64 бита начального заполнения регистра. Схема реализует шифр гаммирования.

В 1994 г. Кейном и Шерманом был предложен метод оп­ ределения ключа данной криптосхемы, использующий память

объема 2 18 бит и имеющий сложность 227 элементарных опе­ раций, что существенно меньше сложности тотального пере­

бора всех 264 начальных состояний. Программа, реализующая данный метод на сети из 8 станций 8рагс, находила ключ по одному шифрованному сообщению достаточной длины в среднем за 4 часа.

250