Бабаш А.В., Шанкин Г.П. Криптография (распознано не всё)

382,

вания ложной информации (предполагается случайный выбор ключей при ка­ ждой попытке).

Противник может ужесточить свои действия: пусть х(0)€Х - сообщение, которое наносит максимальный ущерб абоненту В; противник может попы­ таться навязывать такое сообщение уеУ, при котором вероятность РОс'у^СО)) максимальна. Такой способ навязывания можно назвать целевым (прицель­ ным).

Имитация при передаваемом сообщении. Аналогичные ситуации возни­

кают и при навязывании путем подмены передаваемого сообщения уеУ на

у'еУ ,у*у\ Имитация при знании открытого текста. Противник может обладать и

дополнительной информацией (не отраженной выше в перечне его возможнос­ тей). Например, может знать открытый текст хеХ, который скрывается за кри­ птограммой у в канале связи. В этой ситуации аналогично вводится величина шах Р ( х ~ 1у ' е XI Х> х = У) ’ хаРактеРизУЮ1цая стремление противника макси-

У* € У, у' Ф у

мизировать условную вероятность навязывания, а защищающаяся сторона стремится минимизировать этот максимум.

Общая задача защищающийся стороны состоит в выборе такого шифра, который минимизирует ущерб от имитационных действий противника во всех реально возможных ситуациях.

Замечание. К имитации в широком смысле относятся и некоторые дру­

гие действия противника . Во-первых, противник может переадресовать сооб­ щение у, идущее от А к В, другому абоненту С. Такая переадресация (со сры­ вом сообщения абоненту В или без срыва) может привести к негативным по­ следствиям для защищающейся стороны. Следовательно, абонент С, получив шифрованное сообщение уеУ, должен быть уверен в том, что это сообщение предназначено именно ему. Во-вторых, противник может изменить «подпись» абонента А, передающего «у» абоненту В (заменив каким-либо способом в от­ крытом тексте адрес отправителя сообщения А на адрес другого абонента А'). Поэтому абонент В, приняв сообщение, должен быть уверен, что это сообще­ ние передано ему именно абонентом А. В-третьих, противник, перехватив уеУ, может задержать это сообщение и вставить его в канал связи в другое время. Следовательно, абонент В, получая у, должен быть уверен в том, что сообще­ ние он получил вовремя.

Рассмотрим один из вопросов, связанных с возможностью подмены со­ общения, зашифрованного шифром поточной замены, при условии, что проти­ вник может заменять любую букву шифрованного сообщения по своему усмо­ трению. Пусть буквы открытого сообщения шифруются с помощью последова­ тельности подстановок, взятых из некоторого множества О. Пусть некоторая

384

Р.(У)= 1X1 , У|

при любом уеУ.

2) Для выполнения условия Рн(у)<е, о<е<1 достаточно, чтобы шифр был наи­ лучшим по имитозащите в пустом канале и удовлетворял условию

|Х|<8|У|.

3) Для наилучшего по имитозащите в пустом канале шифра из условия Р„(у)<е, о<е<1 вытекает |К|>1/е.

Утверждение пункта 3 следует из определения шифра (сюрьективность функции !), из которого следует неравенство |Х||К|^|У|.

Неравенство Рн(у)<Е, о<е<1 говорит об уровне имитозащиты в пустом канале при наилучшем шифре.

Для наилучшего шифра по имитозащите в пустом канале коэффициент

|Х | тивника «наугад» (случайно и равновероятно) навязывания уеУ до получения

«успеха» - навязывания ложной информации (предполагается, что при каждой попытке ключ наилучшего по имитозащите в пустом канале шифра выбирается случайно и равновероятно).

ЗАМЕЧАНИЕ. Пусть задано некоторое вероятностное распределение на множестве ключей К шифра (Х,К,У,Г). Обозначим через ДУД) - взаимную ин­ формацию между У и К, то есть 1(У,К)=Н(У)-Н(У/К). Имеет место достижимая оценка

1оё (шах Рн(у))>-1(У,К).

уеУ

Имитация при передаваемом сообщении (имитация путем подме­ ны). Пусть по каналу связи передается уеУ. Противник заменяет его на у',

У*У-

Положим К(у,у')=К(у,Х) п К(у',Х)={%еК: х"*У> X У еХ }. Заметим, что 2 К(У .У ')= |К (у ,Х )|(|Х |-1 ).

причем равенство достигается в том и только в том случае, если для любого

У'еУ, у'*у

386

много больше 1), то длина ключа шифра Ш(2) почти, вдвое больше длины клю­ ча шифра Ш(2).

Имитация при наличии открытого и шифрованного текстов. Пред­

положим, что противник знает открытый текст хеХ, соответствующий пере­ хваченной криптограмме уеУ. Он навязывает в канал у', заменяя у. Положим, К(У,*МхеК:хх=у}, К(у,у',х)={хеК(у,х):х'у'еХ}. Вероятностью Р„(у',у,х) навязывания путем замены при наличии открытого текста можно назвать вели­ чину

|К (у ,х )|

Заметим, что

^|К (у,у',х)=(|Х |-1)||К (у,х)|. у',у'*у

Таким образом, максимальная (по у') вероятность навязывания минимальна в том и только в том случае, если для шифра выполняется условие

|К(у,у\х)|=(|Х|-1)|К(у,х)|/(|У|—1).

Аналогично предыдущим случаям вводится понятие наилучшего шиф­ ра по эмитозащите путем навязывания с известным открытым текстом. Из приведенных формул вытекает

УТВЕРЖДЕНИЕ. Шифр обеспечивает наилучшую имитозащиту путем навязывания с известным открытым текстом в том и только в том случае, если для любых хеХ, у,у' еУ, уУу выполняется равенство

|К(у,у\х)|=(|Х|-1)|К(у,х)|/(|У|-1).

В этом случае для любого у' еУ, у'Фу вероятность навязывания Р„(у,у'х) есть Рн(у,у'х)=(|Х|-1)/(|У|-1).

Покажем, что для шифра, обеспечивающего наилучшую имитозащиту путем навязывания с известным открытым текстом выполняется неравенство

|К|>|У|(|У|-1)/(|Х|-1). Действительно, из неравенства К(у,у', х)>1 следует

|К(у,х)| >(|У|-1)/(|Х|-1),

Поскольку

XI К(у,х) |=|1С|,

У

то |К|>|У|(|У|-1)/(|Х|-1), То есть длина ключа возрастает по сравнению с клю­ чами шифра Ш(2).

УТВЕРЖДЕНИЕ. Шифр Ш(3), обеспечивающий наилучшую имитоза­ щиту путем навязывания с известным открытым текстом, является шифром, обеспечивающим наилучшую имитозащиту путем замены.

388

СЛЕДСТВИЕ. Если шифр является наилучшим по имитозащите при це­ левом навязывании в пустом канале, то он является наилучшим и при общем навязывании в пустом канале.

Параграф 7.2 Примеры имитации и способы имитозащиты

Обозначим через А множество информационных сообщений, передава­ емых по каналу связи от передающего устройства к приемному устройству. Предполагается, что противник «контролирует» канал связи и может заменить передаваемое сообщение ае А (истинное сообщение) на сообщение а' е А (лож­ ное сообщение). Под обеспечением имитостойкости приемного устройства

понимается его защита от навязывания информации, поступающей в результате воздействия противника на передаваемую по каналу связи информацию, а так­ же и на «пустой канал». Ложная информация считается навязанной, если она принята приемным устройством к исполнению (то есть принята также как при­ нимается истинное сообщение). Воздействие помех в канале связи на передава­ емую информацию также трактуется как попытка навязывания ложной инфор­ мации.

Для узнавания факта навязывания информации и предусмотрена имитозащита. Существуют много способов имитозащиты, позволяющих устано­ вить приемному устройству вмешательство противника (или помех) в процесс передачи по каналу связи истинного сообщения аеА. Как правило, такие спо­ собы имитозащиты основаны на использовании шифров и не обеспечивают стопроцентную гарантию защиты от навязывания ложной информации, (см. предыдущий параграф).

Рассмотрим некоторые варианты навязывания информации и способы имитозащиты от них.

1. Пусть А=У и передаются шифрованные сообщения уеУ. Противник пере­ хватывает передаваемое сообщение «у» и через определенный промежуток времени посылает его в канал связи. Если за этот промежуток времени не ме­ нялся ключ на приемном и передающем устройстве, то приемное устройство повторно воспримет ранее переданную информацию. Для защиты от таких действий противника используют метки времени (проставляя время отправле­ ния в открытом сообщении хеХ). В случае, когда отмеченное время отличается от времени принятия сообщения у на величину, превышающую некоторый до­ пустимый предел, приемное устройство делает вывод о принятии ложного соо­ бщения. В некоторых случаях используют секретный алгоритм изменения

389

I.

ключа шифра через короткие промежутки времени. Если задержка в приеме превышает величину этого промежутка, то приемник не расшифрует навязыва­ емое сообщение.

2. Пусть множество возможных сообщений А является множеством Р2 дво­

ичных наборов длины к. Противник посылает сообщение а' в канал связи и приемное устройство принимает его. Для обеспечения защиты от навязывания

сообщения а' применяют кодирование векторов Р2 двоичными векторами

длины п>к. В этом случае множеством передаваемых сообщений становится некоторое неизвестное противнику подмножество М мощности 2Квекторов из

Ру. При случайном и равновероятном выборе противником вектора а' из Р }

иего передачи по каналу связи вероятность принятия ложного сообщения а'

2К

совпадает с вероятностью Р события: а' еМ, очевидно, Р=—— = 2К".

3. Противник знает передаваемое сообщение «а» и может заменить его на а' еА.

Для обеспечения имитостойкости в этом случае используют имитовставки. Предполагается, что приемное и передающее устройства снабжены ши­ фром зашифрования, позволяющим им на ключах шифра вырабатывать одина­ ковые гаммы . Через Г обозначим множество всех возможных гамм шифра. На АхГ определяется функция Р: АхГ—>2, где 2 - некоторое множество называе­ мое множеством проверочных символов (кодов имитозащиты). Для передачи сообщения аеА (на передающем устройстве) вырабатывают гамму Т€Г и по каналу связи передают пару (а,г), где г=Р(а,Т). На приемном устройстве с по­ мощью шифра вырабатывается та же самая гамма Т и проверяется для приня­ той из канала пары (а',г') совпадение значения Р(а',Т) со значением 2 . При

совпадении значений делается вывод о приеме истинного сообщения. В проти­ вном случае, делается вывод о приеме ложного сообщения. Предполагается, что на приемное устройство противник может послать произвольную пару (а',г') из Ах2, для которой а*а\ В предположении, что выбор гамм Те Г про­ водится случайно и равновероятно, из Г вероятность Р((а',г'),(а,2)) навязывания приемному устройству сообщения а' совпадает с вероятностью Р(2'=Р(а',Т), 2=Р(а, Т)) события:

2'=Р(а',Т),2=Р(а,Т).

Численное значение имитостойкости в рассматриваемом случае можно охарак­ теризовать величиной:

Р(имит)= шах Р((а',ъ ),(а,2))=шах Р(г'=Р(а' ,х), 2=Р(а,х)),

где максимум берется по всем наборам (а' ,ъ , а,г), а^а'.