Покажем, что для полной компрометации всей системы достаточно

скомпрометировать L базовых наборов любых пользователей системы.

Пусть скомпрометировано L базовых наборов (Si1, Si2,…, SiL)=Icp. Рассмотрим какой-либо нескомпрометированный базовый набор Sil Icp . Тогда

Выразим Pil через открытые адреса скомпрометированных пользователей

Подставляя (1.10) в (1.9), находим

Из выражения (1.11) видно, что базовый набор однозначно находится достаточно простым образом как линейная комбинация скомпрометированных базовых наборов, в которой коэффициенты находятся из уравнения (1.11).

Докажем теперь обратную теорему. Если скомпрометировано L – 1 и менее

базовых наборов каких-либо корреспондентов, то каждый из парных ключей, соответствующий нескомпрометированному корреспонденту, является равновероятным.

Пусть скомпрометированыL – 1 базовых наборов корреспондентов с номерами i1, i2,…, iL–1. Тогда можно по ним вычислить (L – 1)(М – 1) парных ключей, используя соотношение (1.6). Однако среди этого множества ключей, которое мы обозначим через

Ii1 ,i 2 ,...,iL 1 , будут содержаться как совпадающие, так и линейно зависимые ключи,

причем последние определяются как такие ключи Ksk, для которых справедливо равенство:

где λr – некоторые постоянные из GF(2n).

Рассмотрим множество Iˆi1 ,i 2 ,...,iL 1 , состоящее из (L+2)(L – 1)/2 парных ключей,

отобранных из множества Ii1 ,i 2 ,...,iL 1 следующим образом. Сначала выбирается L

произвольных парных ключей корреспондента i1, затем любые L – 1парных ключей корреспондента с номером i2 и т.д., любые два ключа корреспондента с номером iL–1.

Легко проверить, что каждый парный ключ из множества Ii1 ,i 2 ,...,iL 1 может быть

представлен как линейная комбинация ключей из множества Iˆi1 ,i 2 ,...,iL 1 . Составим систему из (L+2)(L – 1)/2 уравнений следующего вида

Выразим какой-либо из коэффициентов tskматрицы T через свободный член первого

уравнения системы (1.13) и подставим его во все остальные уравнения системы (1.13) и в (1.14). Затем какой-либо другой коэффициент матрицы T выразим через свободный член второго уравнения и подставим его во все оставшиеся уравнения (1.13) и в (1.14). Продолжая эту процедуру вплоть до использования последнего уравнения системы (1.13) и учитывая то обстоятельство, что число неизвестных в симметричной матрице T равно L(L+1)/2, т.е. на единицу меньше чем число уравнений (1.13), получим представление:

где ts0k0 – последний оставшийся не выраженный через другие коэффициент матрицы T;

A, B GF 2n и не зависят от элементов множества Iˆi1 ,i 2 ,...,iL 1 .

Из представления (1.15) видно, что при любых L – 1 скомпрометированных базовых наборах ключей Ii1 ,i 2 ,...,iL 1 , парный ключ Kij оказывается равновероятным, так как равновероятен элемент ts0k0 GF 2n . Если число скомпрометированных

ключей оказывается еще меньше, чем L – 1, то ясно, что равновероятность любого нескомпрометированного парного ключа тем более выполняется. Что и требовалось доказать.

Таким образом, при построении данной ключевой структуры особое

внимание стоит уделять выбору ее параметров. Наиболее важным является выбор открытых адресов, которые, как было показано выше, должны быть линейно независимыми в любой совокупности из L векторов.

Это условие можно выполнить, если формировать открытые адреса следующим образом:

где α – примитивный элемент поля GF(2n).

Составим матрицу из L адресов, выбранных таким образом

и покажем, что определитель этой матрицы не равен нулю. Это будет означать, что L адресов-векторов линейно независимы

Представим матрицуА в виде

где V – определитель Вандермонда.

Элемент α в определителе Вандермонда примитивен, поэтому сам определитель не равен нулю, т. е. V 0 (в силу примитивности различные

степени элемента αiприi 2n0 1не совпадают друг с другом).

При любых i1,i2,…,iL, множитель в (1.17) также неравен нулю, следовательно, определитель матрицыА отличен от нуля.

Поэтому выбор открытого адреса Pi по (1.16) обеспечивает линейную

независимость любых наборов из L или меньшего числа открытых адресов. Ясно, что любой из L+1 или большего числа адресов является линейно зависимым, так как пространство всех возможных адресов является L- мерным.