Реализация EKE на базе алгоритма ElGamal проста, можно даже упростить основной протокол.

g и p служат частями открытого ключа, общими для всех пользователей . Закрытым ключом является случайное число r. Открытым - g r mod p. На этапе (1) А посылает Б следующее сообщение А, g r mod p

Этот открытый ключ не нужно шифровать с помощью P. В общем случае это неверно, но это так для алгоритма ElGamal algorithm.

Реализация EKE с помощью Diffie-Hellman При использовании протокола Diffie-Hellman K генерируется автоматически. Окончательный протокол еще проще. Значения g и n определяются для всех пользователей сети.

Он генерирует случайную строку RB, затем вычисляет и посылает А: E Р(g r B mod n),E K(RB)

(3)А расшифровывает первую половину сообщения Б, получая

g rB mod n. Затем А вычисляет K и использует его для шифрования R B. Она генерирует другую случайную строку R A,, шифрует обе строки ключом K и посылает результат Б. E K(RA, RB)

(4)Б расшифровывает сообщение, получая RA, и RB. Если полученная от А строка RB совпадает с той, которую он посылал ей на этапе (2), он шифрует RA ключом K и посылает результат А.

EK(RA)

(5)А расшифровывает сообщение, получая RA. Если полученная от

Бстрока RA совпадает с той, которую А посылала Б на этапе (3),

протокол завершается. Теперь стороны могут обмениваться сообщениями, используя K в качестве сеансового ключа. Далее были разработаны расширенный ЕКЕ.

Белловин и Мерритт предлагают использовать этот протокол для безопасной телефонной связи: Предположим, что развернута сеть шифрующих телефонных аппаратов. Если кто-нибудь хочет воспользоваться таким телефоном, то понадобится определенная ключевая информация. Общепринятые решения требуют, чтобы у звонящего был физический ключ. Во многих ситуациях это нежелательно. EKE позволяет использовать короткий, вводимый с клавиатуры пароль, обеспечивая гораздо более длинный сеансовый ключ . EKE мог бы быть полезен и для сотовой связи. Мошенничество представляет собой большую проблему сотовой телефонии, EKE может помочь защититься от него (и обеспечить закрытость звонка) за счет продажи телефонов, бесполезных без введения PIN-кода. Так как PIN-код не хранится в телефоне, его невозможно извлечь из украденного экземпляра. Главная сила EKE состоит в том, что криптография с открытыми ключами и симметричная криптография объединяются и усиливают друг друга:

В общей перспективе EKE работает как усилитель секретности. То есть, его можно использовать для усиления сравнительно слабых симметричных и асимметричных систем, используемых вместе. Рассмотрим, например, размер ключа, необходимый для обеспечения безопасности при использовании обмена ключом - показателем степени . Как показали ЛаМачча (LaMacchia) и Одлыжко (Odlyzko), даже модули с размерами, считавшимися безопасными, (а именно, 192 бита) чувствительны к вскрытию, занимающему несколько минут компьютерного времени. Но их вскрытие становится невозможным, если необходимо перед применением вскрытия угадать пароль. С другой стороны, сложность вскрытия обмена ключами - показателями степени может быть использована для срыва попыток угадать пароль. Возможность вскрытия угадыванием пароля зависит от скорости проверки каждого предположения . Если для выполнения такой проверки необходимо выполнить обмен ключами - показателями степени , то общее время эффектно возрастает.

Защищенные переговоры о ключе Эта схема также защищает переговоры о ключе от плохого выбора паролей и вскрытий "человек в середине". В ней используется хэш-функция двух переменных, обладающая особенным свойством : она часто приводит к столкновениям по первой переменной, и практически никогда - по второй . H'(x,y) = H(H(k,x) mod 2 m , x), где H(k,x) - обычная функция k и x Вот как выглядит этот протокол. А и Б используют общий секретный пароль P и уже обменялись секрет- ным ключом K, используя обмен ключом Dime-Hellman. Они используют P для проверки, что их сеансовые ключи одинаковы, не позволяя Е получить P.

(1)А посылает Б H'(P,K)

(2)Б вычисляет H'(P,K) и сравнивает результат со значением, присланным А. Если они совпадают, Б посылает А H'(H(P,K))

(3) А вычисляет H'(H(P,K)) и сравнивает результат со значением, полученным от Б. Если Е пытается выполнить вскрытие "человек в середине",Е использует один ключ, K1, общий с А, и другой, K2, общий с Б.

Чтобы обмануть Б на этапе (2), Е придется вычислить общий пароль и затем послать Б H'(P,K 2).

При использовании обычной хэш-функции Е может перебирать часто встречающиеся пароли, пока не угадает правильный, и затем успешно проникнуть в протокол . Но при использовании предлагаемой хэш-функции, многие пароли дают одно и то же значение при хэшировании с ключом K1. Поэтому, когда Е находит совпадение, то скорее всего это неправильный пароль, и в этом случае Б обмануть не удастся.

Распределение ключа для конференции и секретная широковещательная передача А хочет передать сообщение M сразу нескольким получателям, но не хочет, чтобы кто угодно смог прочесть его. В действительности, А нужно, чтобы только получатели из определенного подмножества могли правильно раскрыть M. У всех остальных должна получиться чепуха. А может использовать для каждого получателя отличный ключ (секретный или открытый) . А шифрует сообщение каким-нибудь случайным ключом K.

Затем А шифрует копию K каждым из ключей выбранных получателей сообщения. Наконец, А широковещательно посылает зашифрованное сообщение, а затем все зашифрованные K. Слушающий передачу Б либо пытается расшифровать все K своим секретным ключом, пытаясь найти правильный, либо, если А не забыла перечислить получателей своего сообщения, он ищет свое имя, сопровождаемое зашифрованным ключом. Также будет работать и ранее рассмотренная криптография с несколькими ключами.

Другой способ - сначала каждый из получателей договаривается с А об общем для них двоих ключе, который длиннее любого возможного шифрованного сообщения. Все эти ключи должны быть взаимно простыми. А шифрует сообщение случайным ключом K. Затем А вычисляет одно целое число R, которое по модулю секретного ключа конгруэнтно K, если этот секретный ключ предполагается использовать для расшифровки сообщения, и конгруэнтно нулю в противном случае.

Еще один, третий, путь, использующий пороговую схему Как и в других способах каждый потенциальный получатель получает секретный ключ . Этот ключ является тенью в еще не созданной пороговой схеме. А сохраняет ряд секретных ключей для себя, внося некоторую непредсказуемость в систему.

Распределение ключей для конференции Этот протокол позволяет группе из n пользователей договориться о секретном ключе, используя только несекретные каналы. Группа использует два общих больших простых числа p и q, а также генератор g той же длины, что и q.

(1)Пользователь i, где i от 1 до n, выбирает случайное число ri, меньшее q, и широковещательно отправляет z i = g r i mod p

(2) Каждый пользователь проверяет, что zi q ≡ 1 (mod p) для всех i от 1 до n.

(3) i-ый пользователь широковещательно передает

xi = (zi+1/zi-1) r i mod p

(4) i-ый пользователь вычисляет

K = (z i-1) nr i *xi n-1 *x i+1 n-2 * . . . *x i-2 mod p

Все вычисления индексов в приведенном протоколе - i-1, i-2 и i+1 - проводятся mod n. По окончании протокола у всех честных пользователей окажется один и тот же K. А все остальные ничего не получат. Однако этот протокол не может устоять перед вскрытием "человек в середине“

Tateboyashi-Matsuzaki-Newman. Этот протокол распределения ключей подходит для использования в сетях

Специальные алгоритмы для протоколов.

1 Криптография с несколькими открытыми ключами Это обобщение RSA.

Модуль n является произведением двух простых чисел p и q. Однако вместо e и d, для которых ed ≡ 1 mod ((p-1)(q-1)), выбирается t ключей Ki, для которых выполняется

K 1* K 2*. . . *K t ≡ 1 mod ((p-1)(q-1)) Так как M K*K2*… K t = M

то эта схема оказывается схемой с несколькими ключами, описанная ранее.

Если, например, используется пять ключей, то сообщение, зашифрованное ключами K 3 и K 5, может быть расшифровано с помощью K 1, K 2 и K 4.

C = M K3*K5 mod n

M = C K1*K2*K4 mod n

Одним из применений этой схемы является подписание документа несколькими людьми . Представим ситуацию, когда для того, чтобы документ был действителен, он должен быть подписан и А, и Б. Используются три ключа: K 1, K 2 и K 3. А и Б получают по одному ключу из первых двух , а третий опубликовывается.

(1)Сначала А подписывает M и посылает его Б. M' = M K1 mod n

(2)Б может восстановить M по M'. M = M ' K3*K5 mod n

(3)Он может также добавить свою подпись. M'' = M' K2 mod n

(4)Проверить подписи можно при помощи открытого ключа K3. M = M '' K 3 mod n

Для работоспособности этой системы нужна заслуживающая доверия сторона, которая установила бы систему и выдала ключи А и Б. Усилия, предпринимаемые для проверки, пропорциональ-

ны количеству подписывающих.