143
движется только колесо R1, составляет 21/26, то есть больше, чем 0.8. Очевидно, что если бы на кольце с выемкой выемок было больше, то эта вероятность была бы ниже. Как мы увидим далее, на последних стадиях войны на некоторых кольцах было по две выемки, а на моделях "Энигмы", использовавшихся в Абвере, их было гораздо больше.
Если колеса R2 и R3 не движутся во время зашифрования шестизначного индикатора, то "Энигма" фактически превращается в машину с одним колесом, состоящую из колеса R1 и составного отражателя, включающего U, R3 и R2, так как ни одна из перечисленных частей не движется во время зашифрования. Это показано на рис. 9.3*) .
Слева показан составной отражатель, компонентами которого являются неподвижные колеса R2 и R3 и фиксированный отражатель U. Справа показано колесо R1 - единственное колесо, которое движется во время зашифрования шестерки букв. Внутренние линии - это типичный пример шифрования буквы D открытого текста в букву Q шифрованного текста. Основное, что следует подчеркнуть, состоит в следующем: если, как показано на диаграмме, колесо R1 преобразует букву D в I, а букву Q - в P, то буквы I и P являются парой в составном отражателе. Это означает, что во время зашифрования шестерки букв любая буква, поступающая на составной отражатель как I, на выходе из него превращается в P, и наоборот.
Цепочки индикаторов в "Энигме"
Как показано на Рис. 9.3, в зашифровании одной буквы участвует одна из 13 пар составного отражателя. В примере, показанном на Рис. 9.3, буква открытого текста D переходит с помощью колеса R1 в I и поступает на составной отражатель как I. После того, как эта буква (I) превратится в K, затем в B, затем в P, и затем в U, соответственно, с помощью R2, R3, U и R3, она появляется на выходе колеса R2, а следовательно, и всего составного отражателя, как P, и наконец, снова проходит через R1 и превращается в букву Q шифрованного текста, поскольку колесо ввода (на котором контакты расположены в алфавитном порядке) оставляет букву, появляющуюся на выходе колеса R1, без изменения. Поэтому, если бы мы знали номер, внутреннюю распайку и начальное угловое положение колеса R1 и, зашифровав с его помощью букву D, получили бы букву I, а зашифровав букву Q, получили бы P, то мы бы установили одну из 13 пар составного отражателя. Если бы нам было известно большое количество таких пар букв открытого и шифрованного текстов, то выясняется, что при правильном определении колеса R1 и его начальной угловой установки мы всегда получали бы на составном отражателе одну из этих 13 буквенных пар. С
*) Подписи к рисунку 9.3: Рис. 9.3. D->I I->K->B->P->U->P P->Q
144
другой стороны, если бы мы неправильно определили само колесо R1, либо (при верном R1) его начальную угловую установку, то у нас получилось бы не 13 пар, а гораздо больше, поскольку из 26 букв можно составить 325 различных пар, и мы бы получили противоречие следующего характера: "буквы IP составляют пару, также как и буквы IM". Таким способом мы бы довольно быстро нашли истинную распайку колеса и его угловую установку.
Проблема заключается в следующем: нам неизвестна исходная буква открытого текста (в нашем примере это D), хотя мы знаем результирующую букву шифрованного текста (Q). Как же нам поступить? Ответ заключается в том, что шестибуквенный индикатор обладает свойством, которое с помощью описанного ниже метода позволяет определить колесо R1 и его угловую установку, даже не зная букв открытого текста (это свойство впервые было обнаружено в 1932 году польскими криптоаналитиками). Решение опирается на два следующих наблюдения:
(i)пары букв открытого и шифрованного текста взаимно-обратны: например, если буква A при зашифровании переходит в M, то при той же угловой установке колес буква M переходит в A;
(ii)в шестибуквенном индикаторе присутствуют три случая зашифрования одинаковых букв открытого текста, отстоящих друг от друга на три буквы в тексте сообщения (в приведенном выше примере, где зашифрованный индикатор был LOCWHQ, такими парами являются (L,W), (O,H), (C,Q)); поэтому, если во время зашифрования индикатора колесо R2 неподвижно, можно надеяться определить колесо R1 и его угловую установку.
Поскольку (i) верно всегда, а (ii) выполняется примерно в 80% случаев, шансы на успех при использовании описанного метода хорошие, если имеется достаточное количество информации. Даже если колесо R2 все-таки сдвинулось, задача все равно может быть решена: допустим, если R2 сдвигается между второй и третьей буквами, то третья и шестая буквы (в нашем примере C и Q) оказываются получены зашифрованием одинаковых букв на машине, в которой движется только колесо R1. В самом худшем случае, когда колесо R2 поворачивается между третьей и четвертой буквами, данный метод не подходит. Однако сам факт того, что этот метод не привел к решению задачи, указывает криптоаналитику на то, что колесо R2, скорее всего, сдвинулось, и эта информация может оказаться полезной при попытке решить задачу другим способом.
Прежде чем описывать метод нахождения внутренней распайки и угловой установки колеса R1, полезно рассмотреть пример в малом масштабе. В этом примере индикатор состоит не из повторяющейся тройки букв, как в самой шифрмашине "Энигма", а только из одной повторяющейся буквы. В обоих случаях метод дешифрования один и тот же. Цепочки
145
формируются из пар букв шифрованного текста на 1-м и 2-м местах, а не на 1-м и 4-м (а также (2-м, 5-м) и (3-м, 6-м)) местах, как в случае настоящей "Энигмы".
Пример 9.1 ("мини-Энигма")
Следующие 12 пар букв шифрованного текста представляют собой результат зашифрования с помощью 12-буквенной шифрмашины типа "Энигма" при одной и той же базовой установке 12 подряд стоящих пар букв открытого текста AA, BB, ..., KK, LL (их порядок неизвестен):
AK, BL, CI, DD, EB, FG, GE, HH, IA, JC, KJ, LF.
Составим из этих пар "цепочки", соединяя друг с другом такие пары, в которых вторая буква первой пары равна первой буквы второй пары. Цепочка завершается, как только в ней встречается повторение какой-нибудь буквы:
AKJCI BLFGE áDD áHH
Получились две цепочки, состоящие из 5 различных букв, и две цепочки только из одной буквы. Является ли это совпадением? Нет, это не совпадение. Польские криптоаналитики обнаружили, что шифрование пар одинаковых букв, отстоящих друг от друга на одну или несколько позиций, в условиях, когда движется только колесо R1, всегда порождает цепочки, которые появляются парами. Доказать это совсем не трудно, и заинтересованный читатель может обратиться к [9.1]. В качестве дополнительного подтверждения рассмотрим часть полномасштабного примера, данные которого были получены при помощи реальной шифрмашины "Энигма". Этот пример подробно разобран в упомянутой здесь статье [9.1].
Пример 9.2 Из совокупности двухбуквенных индикаторов, состоящих из пар одинаковых
букв, зашифрованных с помощью шифрмашины "Энигма" на одинаковых базовых угловых установках, выбрано следующее множество из 26 индикаторов, упорядоченное по первой букве шифрованного индикатора:
ABáBQáCDáDKáEZáFFáGHáHCáIRáJTáKSáLPáML
NUáOOáPIáQNáRAáSJáTVáUMáVYáWXáXWáYGáZE
146
Требуется построить "цепочки".
Начиная с буквы A, получаем цепочку длины 10: ABQNUMLPIR. Поскольку буква C нам еще не встречалась, то, начиная с нее, получаем
вторую цепочку, длина которой также 10: CDKSJTVYGH.
Поскольку ни в одной из полученных цепочек буква E не встречается, начинаем с нее и получаем цепочку EZ диной 2.
Буква F нам до сих пор не попадалась. Мы видим, что она переходит сама в себя, и таким образом, получается цепочка F длины 1.
Остаются еще буквы O, W и X. Из приведенного списка вытекает, что
буква O дает нам еще одну цепочку длины 1, а именно O,
а буквы W и X переходят друг в друга, что дает нам вторую цепочку длины 2, а именно WX.
В итоге получаем:
Две цепочки длины 10: ABQNUMLPIR и CDKSJTVYGH.
Две цепочки длины 2: EZ и WX.
Две цепочки длины 1: F и O.
Если бы 26 пар одинаковых букв были зашифрованы не на одной и той же угловой установке одного и того же колеса R1, мы бы получили противоречия в шифрованных парах: с одной стороны, мы бы получили, скажем, пару AB, а с другой стороны, другую пару, скажем, AF. Само существование единственного множества из 26 не противоречащих друг другу пар подтверждает наше предположение о том, что одно и то же колесо R1 использовалось для всех пар, и кроме него, никакое колесо не двигалось.
Чтобы построить такие цепочки, необходимо иметь достаточное количество сообщений, так как необходимо иметь индикаторы, начинающиеся с каждой из 26 букв алфавита. Если индикаторы выбираются произвольно, то многие начальные буквы встретятся два или более раз. Поэтому, чтобы получить 26 индикаторов, начинающихся с 26 различных букв алфавита, сообщений нам потребуется гораздо больше 26. Сколько именно сообщений нам может понадобиться? Можно показать математически строго, что вероятнее всего, нам понадобится около 100 сообщений. По иронии судьбы оказывается, что, если шифровальщики выбирают индикаторы не случайно (например, берут все три буквы из одного ряда клавиатуры), то для построения полного множества цепочек потребуется еще большее количество сообщений (см. приложение M17). С другой стороны, тогда возрастает вероятность обнаружения одноключевых сообщений, и тогда у криптоаналитиков возникает возможность восстановить часть открытого текста, что в свою очередь, может позволить решить задачу другим способом. Вообще, любые закономерности, имеющиеся в системе шифрования и в порядке ее