Коди автентифікації повідомлень - мас Вимоги до мас

Нагадаємо, що забезпечення цілісності повідомлення - це неможливість зміни повідомлення так, щоб одержувач цього не виявив. Під автентифікацією розуміється підтвердження того, що інформація отримана від законного джерела, і одержувачем є той, хто потрібно. Один зі способів забезпечення цілісності - це обчислення МАС (Message Authentication Code). У цьому випадку під МАС розуміється деякий автентифікатор, що є певним способом обчисленим блоком даних, за допомогою якого можна перевірити цілісність повідомлення. До деякої міри симетричне шифрування всього повідомлення може виконувати функцію автентифікації цього повідомлення. Але в такому випадку повідомлення повинне містити достатню надмірність, що дозволяла б перевірити, що повідомлення не було змінено. Надмірність може бути у вигляді певним чином відформатованого повідомлення, тексту конкретною мовою й т.п. Якщо повідомлення допускає довільну послідовність біт (наприклад, зашифрований ключ сесії), то симетричне шифрування всього повідомлення не може забезпечувати його цілісність, так як при дешифруванні в кожному разі вийде послідовність біт, правильність якої перевірити не можна. Тому набагато частіше використовується критографічно створений невеликий блок даних фіксованого розміру, так званий автентифікатор або імітовставка, за допомогою якого перевіряється цілісність повідомлення. Цей блок даних може створюватися за допомогою секретного ключа, що розділяють відправник і одержувач. МАС обчислюється в той момент, коли відомо, що повідомлення коректно. Після цього МАС приєднується до повідомлення й передається разом з ним одержувачеві. Одержувач обчислює МАС, використовуючи той же самий секретний ключ, і порівнює обчислене значення з отриманим. Якщо ці значення збігаються, то з великою часткою ймовірності можна вважати, що при пересиланні зміни повідомлення не відбулося.

MAC = CK (M)

Розглянемо властивості, який повинна володіти функція МАС. Якщо довжина ключа, використовуваного при обчисленні МАС, дорівнює k, то за умови сильної функції МАС супротивникові буде потрібно виконати 2^k спроб для перебору всіх ключів. Якщо довжина значення, створюваного МАС, дорівнює n, то всього існує 2ⁿ різних значень МАС.

Припустимо, що конфіденційності повідомлення ні, тобто опонент має доступ до відкритого повідомлення й відповідний йому значенню МАС. Визначимо зусилля, необхідні опонентові для знаходження ключа МАС. Припустимо, що k > n, тобто довжина ключа більше довжини МАС. Тоді, знаючи М₁ і МАС₁ = С_K (M₁), опонент може обчислити МАС₁ = СK_i (M₁) для всіх можливих ключів K_i. При цьому, принаймні, для одного із ключів буде отриманий збіг MAC_i = MAC₁. Опонент обчислить 2^k значень МАС, тоді як при довжині МАС n біт існує всього 2ⁿ значень МАС. Ми припустили, що k > n, тобто 2^k > 2ⁿ. Таким чином, правильне значення МАС буде отримано для декількох значень ключів. У середньому збіг буде мати місце для 2^k / 2ⁿ = 2^{( k-n)} ключів. Тому для обчислення єдиного ключа опонентові потрібно знати декілька пар повідомлень й відповідних їм МАС.

Таким чином, простий перебір всіх ключів вимагає не менше, а більше зусиль, чим пошук ключа симетричного шифрування тої ж довжини.

Функція обчислення МАС повинна мати наступні властивості:

1. Повинне бути розрахунково важко, знаючи М и С_K (M), знайти повідомлення М′, таке, що С_K(M) = С_K(M′).

2. Значення С_K(M) повинні бути рівномірно розподіленими в тому розумінні, що для будь-яких повідомлень М и M′ імовірність того, що С_K(M) = С_K(M′), повинна бути дорівнює 2^-n, де n - довжина значення МАС.