185

Шифрование программ, данных и сообщений

К началу 70-х годов большинство крупных компаний, правительственных учреждений и научно-исследовательских институтов уже использовали компьютеры; распространялись и компьютерные сети. Обычно

вучреждении была одна или несколько больших ЭВМ, так называемых "мэйнфрэймов" с многочисленными телетайпами, а впоследствии с графическими терминалами, подключенными к ним с помощью телефонных линий. Многие из этих организаций использовали компьютеры, размещенные как в "головном офисе", так и в отдаленных местах. И чтобы различные пользователи могли безопасно связаться друг с другом, требовалась некоторая общая форма шифрования. Алгоритм шифрования пришлось бы сделать общедоступным, поскольку всем пользователям необходимо было знать, как именно должно производиться шифрование, а индивидуальным пользователям необходимо было бы иметь свои собственные секретные ключи, без которых невозможно было бы расшифровать их послания. В свою очередь, отсюда следовало, что метод шифрования должен быть исключительно стойким.

Споявлением компьютерных сетей , в дополнение к уже упомянутым проблемам возникли новые аспекты безопасности. Вот два примера:

(1) "Проблема проверки подлинности документа". Допустим, что пользователь X получает по электронной почте письмо, которое, судя по всему, прислал ему Y. Как может X проверить, что письмо действительно послал Y, и (даже если это так), что оно не подвергнуто изменениям? То, что

вписьме есть электронный адрес Y, ничего не гарантирует, поскольку некто мог воспользоваться компьютером Y в отсутствие хозяина. Даже если Y пользуется паролем, вполне возможно, что после входа в связь он, оставив компьютер включенным, вышел на несколько минут из комнаты - такая вредная привычка провоцирует несанкционированный доступ. Это могло позволить третьему лицу, Z, воспользоваться компьютером Y в его отсутствие, чтобы послать сообщение для X. Если X - это банк, а Y - его клиент, а сообщение уполномочивает X перевести большую сумму денег со счета Y на заокеанский счет, то банк нуждается в способе проверки подлинности сообщения, иначе совершить мошенничество будет очень легко. Кроме того, возможно ли, что Y действительно послал X сообщение, а Z каким-то образом перехватил его и частично изменил ради собственной выгоды?

(2) "Проблема удостоверения подлинности подписи". Допустим, пользователь X послал пользователю Y сообщение, в котором уполномочил его на какие-либо действия. Впоследствии X отрицает, что он посылал сообщение для Y. Спорящие обращаются к третьему лицу (возможно, к судье), которому необходимо решить, посылал ли в действительности X это

187

пользователь Y случайно выбирает секретное число y. Числа x и y лежат в диапазоне от 1 до (p-1), и ни одно их них не должно иметь общих делителей с (p-1). В частности, поскольку (p-1) четно, то ни x, ни y не могут быть четными. Ни X, ни Y не сообщают свои секретные числа ни друг другу, ни кому-либо еще.

(3)Пользователь X вычисляет выражение kx = mx(mod p)

и посылает его пользователю Y, который возводит его в степень y, при этом получается число (kx)y.

Пользователь Y вычисляет выражение

ky = my(mod p)

и посылает его пользователю X, который возводит его в степень x, при этом получается число (ky)x.

(4) Поскольку (kx)y = (ky)x mxy(mod p), то получившееся число K = mxy(mod p) может быть использовано как пользователем X, так и пользователем Y в качестве общего ключа, хотя ни один из них не знает секретного ключа другого.

Чтобы использовать систему Диффи-Хеллмана, сначала необходимо уметь найти очень большое простое число, а это задача нетривиальная. С такой же задачей мы снова встретимся при рассмотрении системы шифрования RSA (там требуются два больших простых числа), там же можно найти ссылки на литературу, в которой описан интересный подход к решению этой задачи.

В реальных условиях простое число p должно быть очень большим, но суть метода можно проиллюстрировать с помощью простого числа средней величины.

Пример 12.1

Пусть для системы Диффи-Хеллмана p=59, m=3, x=7 и y=11. Каковы будут значения kx, ky и K?

Решение

(1)Во-первых, заметим, что (p-1)=58=2 29, и это число не имеет общих делителей ни с x, ни с y.

(2)Пользователь X вычисляет значение 37(mod 59), а пользователь Y вычисляет значение 311(mod 59). Эти вычисления можно производить по-разному, некоторые способы эффективнее других (см. приложение М22). В нашем случае числа достаточно маленькие, и возведение в

189

заинтересованное третье лицо, Z, может узнать значения m, p, kx и ky, но не знает чисел x и y. Стойкость, таким образом, зависит от того, насколько сложно для него, скажем, вычислить x по значению kx(=mx(mod p)). Известно, что это крайне трудная задача (она называется задачей дискретного логарифмирования), если только простое число p не принадлежит некоторому специальному классу. В общем случае эта задача считается невыполнимой для значений p, больших 10200. Как мы увидим далее, схожая задача возникает для метода шифрования RSA.

Однако существует и альтернативный способ атаки, который Z может применить, если он в состоянии перехватывать сообщения в пути между X и Y и слегка задерживать их. Поскольку ему известны значения m и p, то он может, запомнив значения kx и ky, заменить их на свое собственное значение kz=mz, которое он посылает как абоненту X, так и абоненту Y. Ничего не подозревающие X и Y начинают использовать значение kz для шифрования, а Z получает возможность читать их сообщения. Затем он перешифровывает их, используя исходный ключ (соответственно, kx или ky), так что ни X, ни Y не догадаются о том, что их сообщения читают.

Способы предотвращения атак, подобных этой, представляют значительный интерес (см., например, [12.7]).

Несмотря на эту потенциальную слабость, система Диффи-Хеллмана представляет собой метод ключевого обмена, способный устоять против любого, кроме самого целеустремленного и хорошо оснащенного противника. В частности, она может быть применена в качестве начального этапа при использовании таких систем шифрования, как DES-алгоритм, который мы рассмотрим ниже.