158

группы получается шифрованный текст, который был бы послан адресату:

OPVLRáIOKJHáKLHFFáBRJDW.

Выбор установок барабана в шифрмашине "Хагелин"

Теоретически установки барабана для шифрмашины "Хагелин" без перекрытий могут представлять собой любую комбинацию шести неотрицательных чисел, дающих в сумме 27 или меньше. На практике многие такие варианты будут очень слабыми с криптографической точки зрения. В идеале барабан должен одинаково часто давать каждое из возможных значений гаммы (от 0 до 25). Этот идеал недостижим, так как всего существует

26=64

возможных комбинации из шести штифтов, и следовательно, 64 возможных значения гаммы, в силу того, что каждое из шести колес может быть в данном положении либо активным, либо неактивным. Поскольку значение гаммы приводится по модулю 26, то 26 возможных значений результата этой операции не могут появляться одинаково часто, так как 64 не делится на 26. Для хорошо подобранного барабана каждое значение гаммы должно в среднем встречаться два или три раза. Так, барабан вида (9,9,9,0,0,0), очевидно, крайне слабый, так как он дает только значения гаммы, равные 0, 1 (получается из значения 27), 9 и 18, и даже они появляются неравновероятно, а именно:

Вскрыть сообщение, зашифрованное на таком барабане, будет не очень сложно, поскольку на каждом шаге возможных значений гаммы всего четыре, и вероятность появления двух из них гораздо больше, чем двух остальных. Для такого слабого барабана, как этот, процесс дешифрования очень просто проиллюстрировать.

Пример 10.3 Ниже приведен шифрованный текст сообщения, полученный на

шифрмашине "Хагелин" с барабаном (0,0,0,9,9,9). Знак X заменяет пробелы и пунктуацию. Требуется дешифровать сообщение.

ZCTALáBRDSVáIBGDZáSMFVM.

159

Решение Для такого барабана возможны только значения гаммы, равные 0, 1, 9 и

18. Если каждую букву шифрованного текста вычесть из этих четырех значений и выписать полученные тексты в четыре строчки, то в этих четырех строчках должны содержаться буквы открытого текста. Поскольку 9 и 18 встречаются в три раза чаще, чем 0 и 1, то, скорее всего, большая часть букв открытого текста лежит в третьей и четвертой строчках. Буква X используется вместо пробелов и пунктуации, и, чтобы выделить ее, будем везде заменять ее знаком ^.

Можно избавиться от необходимости утомительного вычитания числового представления букв из знаков гаммы, если раз и навсегда построить таблицу. У таблицы есть дополнительное преимущество: в отличие от таблиц для книжных шифров главы 7, благодаря упомянутой выше симметрии процессов зашифрования-расшифрования для "Хагелина", одну и ту же таблицу можно использовать как для зашифрования, так и для расшифрования. После построения этой таблицы (см. таблицу 10.2) для получения буквы открытого (шифрованного) текста надо взять элемент, стоящий на пересечении строки, соответствующей букве шифрованного (открытого) текста, и столбца, соответствующего значению гаммы. Действуя таким образом, получаем таблицу 10.3.

160

Таблица 10.3.

Использование знаков пробела (^) оказывается полезным, и мы без труда восстанавливаем открытый текст, который в таблице 10.3 выделен жирным шрифтом:

THIS IS A BAD CAGE

Попробуйте решить задачу чуть-чуть потруднее.

Задача 10.1 С помощью шифрмашины "Хагелин" с барабаном (0,5,5,5,5,5) получен

следующий шифрованный текст:

CBZPCáCJXWYáCXSHNáIQUSR.

Дешифруйте сообщение.

Так как некоторые барабаны оказываются "плохими" (то есть слабыми с криптографичекой точки зрения), то возникают следующие вопросы:

(1)Сколько всего существует возможных барабанов?

(2)Сколько среди них "хороших"?

Число отличных друг от друга барабанов можно вычислить точно, поскольку оно задается следующим соотношением:

число различных барабанов равно количеству представлений числа 27 в виде суммы шести неотрицательных целых чисел.

И хотя простой формулы для подсчета этого числа не существует, можно воспользоваться красивым математическим тождеством и с помощью компьютера вычислить это значение: оно равно 811. Если дополнительно потребовать, чтобы напротив каждого колеса стояло хотя бы по одному выступу (так как если напротив колеса нет ни одного выступа, то оно как бы вообще отсутствует), то это число сокращается до 331. Тем же способом можно подсчитать, что если в барабане используется только 26 или 25 выступов, то число вариантов сокращается соответственно до 709 и 612 (если допускается отсутствие выступов напротив одного или более колес), и до 282

161

и 235 (если это не допускается). Однако следует помнить, что число возможных барабанов, которые необходимо рассматривать криптоаналитику, гораздо больше, так как числа внутри шестерки чисел, задающей барабан, могут быть переставлены, и в этом случае получатся разные последовательности знаков гаммы, хотя они будут иметь близкие статистические характеристики. Поэтому для случая 27 выступов получается 201376 возможных вариантов, а не 811 (подробнее см. приложение M18).

Сколько из общего количества различных барабанов (331) будут "хорошими"? Очевидно, это зависит от того, что именно мы понимает под словом "хороший". Если это значит, что

"хороший" барабан - это такой, который порождает все возможные значения гаммы в диапазоне от 0 до 25,

то можно с помощью компьютера вычислить, для скольких барабанов из этих 331 это выполняется. Ответ будет 113. Перестановка чисел внутри шестерки не изменяет качества барабана: "хороший" барабан остается "хорошим", "плохой" остается "плохим". Если разрешить отсутствие выступов, то из общего количества возможных барабанов (881) останется только 120 "хороших". Другими словами, только 7 барабанов, не имеющих выступов против какого-нибудь колеса, дают все 26 возможных значений гаммы (по модулю 26). Конечно, даже "хороший" барабан можно испортить очень несимметричной установкой штифтов (например, 90% активных, 10% неактивных).

Задача 10.2 Определить, какие из перечисленных ниже шести барабанов генерируют все

возможные значения гаммы по модулю 26, от 0 до 25. Для барабанов, которые не удовлетворяют этому условию, найти отсутствующие значения гаммы.

(a)0,2,3,4,8,10;

(b)1,2,2,3,4,15;

(c)1,2,2,4,5,13;

(d)2,3,3,3,4,12;

(e)2,3,3,3,5,11;

(f)2,3,4,4,7,7.

Теоретический объем перебора для шифрмашины "Хагелин"

Допустим, криптоаналитик имеет дело с сообщениями, подготовленными на шифрмашине "Хагелин", о которой ничего не известно. Сколько всего будет возможных вариантов ключевых установок? "Это число иногда называют объемом перебора, оно показывает, сколько случаев надо опробовать криптоаналитику, который решился на применение метода

162

"грубой силы". Для того типа шифрмашины "Хагелин", о котором до сих пор шла речь (у нее существуют еще и дополнительные возможности, которые, как мы увидим дальше, только усложняют дело), это число зависит от двух параметров:

(1)от числа возможных барабанов;

(2)от числа возможных штифтовых установок.

Предполагая, что барабан содержит 27 выступов и может не иметь выступов напротив конкретного колеса, получаем, что число возможных расположений выступов напротив шести колес превышает 200000, поэтому первый параметр положим равным 2 105. Значение второго параметра можно выписать непосредственно. Всего на колесах расположен 131 штифт, каждый из которых может быть в одном из двух положений, что дает нам 2131 возможных штифтовых установок. Так как 2131 превосходит число 2,5 1039, то произведение значений этих двух параметров превосходит число 5 1044.

Поскольку криптоаналитик не может быть уверен, что используется именно 27 выступов, он должен быть готов к тому, что придется опробовать другие барабаны, например, содержащие только 26 или 25 выступов, и поэтому объем перебора вырастет примерно в три раза. Глядя на эти числа, становится понятно, что о применении метода "грубой силы" не может быть и речи. К счастью, для дешифрования "Хагелина" криптоаналитикам не приходится прибегать к полному перебору, хотя вскрытие этой шифрмашины только по шифрованным текстам является довольно трудной задачей, для которой требуется большой объем текста.

Ситуация кардинально меняется, если криптоаналитику удалось получить отрезок гаммы. Мы увидим, что, имея около 150 знаков гаммы подряд, вскрыть установки шифрмашины относительно нетрудно. И вновь мы убедимся тогда, что оценки по методу "грубой силы" могут быть очень обманчивы при попытке определить с их помощью сложность вскрытия любой системы шифрования. Как мы видели в главе 2, существует 26! возможных шифров простой замены, и объем перебора по методу "грубой силы" составляет около 1025, но при наличии всего 200 знаков шифрованного текста такие системы вскрываются вручную менее чем за час. Многие типы шифров, в том числе "Хагелин", уязвимы по отношению к методам дешифрования, основанным на математических или статистических слабостях, присущих либо самому шифру, либо способу его применения, как это было с "Энигмой". Шифр, не имеющий заранее известных слабостей или "лазеек", позволяющих криптоаналитику дешифровать систему с помощью специальных приемов, представляет действительно трудноразрешимую задачу. Утверждают, что именно такова современная система DES (Data Encryption Standard - Стандарт шифрования данных США). Краткое описание этой системы приведено в главе 13.