45

(2) как сообщить такие перетасованные алфавиты адресатам, для которых они предназначены, и при этом не выдать их противнику?

Эти проблемы имеют огромное значение. Ибо, если для получения "перетасованного" алфавита используется очень простой прием, как, например, в шифре Юлия Цезаря, то криптоаналитик быстро разгадает этот прием, и тем легче станет для него дешифрование. С другой стороны, адресат должен знать, какие именно алфавиты используются, или же способ, которым их можно получить. Существует целый ряд способов решения обеих этих проблем, и некоторые из них будут позже рассмотрены. Здесь же будут описаны два возможных способа решения проблемы (2). Прежде всего введем два термина, имеющие отношение к криптографическим системам вообще.

Индикаторы

Если автору сообщения приходится выбирать значения некоторых параметров, относящихся к способу шифрования, и ему нужно сообщить о своем выборе получателю (получателям), то он может сообщить эту информацию (возможно, в зашифрованном виде) в индикаторе. Индикатор может предшествовать сообщению, следовать за ним, или же быть скрытым в самом сообщении. Так, ключ 7-5-11 из рассмотренного выше примера необходимо было бы каким-то образом сообщить получателю. Ключ можно либо послать заранее, либо зашифровать другим заранее оговоренным шифром и спрятать в определенном месте внутри сообщения. В этом примере индикатором может служить сам ключ 7-5-11, однако маловероятно, что он будет послан непосредственно в таком виде.

Одноключевые сообщения

Если два (или несколько) сообщений зашифрованы с помощью одной и той же системы шифрования с идентичными параметрами (компонентами, ключами, частями, установками и пр.), то говорят, что эти сообщения одноключевые. Так, если посылаются два сообщения, закрытые шифром Вижанэра с одним и тем же ключевым словом, то они являются одноключевыми. Однако если ключевые слова различны, пусть и одинаковой длины, то эти сообщения не будут одноключевыми. Если же у двух сообщений, закрытых шифром Вижанэра, ключевые слова одинаковой длины и к тому же содержат несколько одинаковых букв в соответствующих позициях, то эти шифрованные сообщения являются частично одноключевыми. Все это не обязательно должно быть верно для других систем шифрования, где малейшее изменение в индикаторе может сделать

46

эти сообщения неодноключевыми. Сможет ли криптоаналитик воспользоваться фактом обнаружения двух (или более) одноключевых сообщений, зависит от системы, с помощью которой они зашифрованы. В некоторых случаях, например, для шифров простой замены или шифров Вижанэра, ему наверняка удастся это сделать; однако в других случаях, например, в двухбуквенных системах шифрования, описанных в главе 5, воспользоваться этим гораздо труднее. Вообще говоря, если шифрование происходит последовательно, по принципу "буква за буквой", одноключевые сообщения могут быть выявлены и, возможно, окажутся полезными криптоаналитику. Однако, если одновременно шифруются две или более букв, то одноключевые сообщения могут оказаться почти бесполезными даже в тех случаях, когда их удается выявить.

Распознавание одноключевых сообщений

Как криптоаналитик может распознать одноключевые сообщения? Если обнаружено, что два или более сообщений, зашифрованных с помощью одной и той же системы, имеют одинаковые индикаторы, то эти сообщения, вероятно, являются одноключевыми. Мы говорим "вероятно", а не "наверняка", так как в интервал между сообщениями может попасть момент смены ключа, когда может измениться какая-нибудь часть системы шифрования. Такая ситуация, например, возникает для двух сообщений, зашифрованных на шифрмашине "Энигма" непосредственно до полуночи и непосредственно после ее наступления (см. главу 9).

Если индикаторы являются скрытыми , то внешних признаков того, что сообщения действительно являются одноключевыми, может и не быть. Как в таком случае криптоаналитик может установить этот факт? Предполагая, что в данной системе шифрование выполняется побуквенно, надо сначала подписать сообщения одно под другим, выровняв их по началам шифрованных текстов, и применить простой статистический тест. Если два шифрованных сообщения не являются одноключевыми, то вероятность того, что буква одного шифрованного текста совпадет с соответствующей буквой другого текста (то есть с той, которая стоит под ней), составляет 1 шанс из 26. Если сообщения являются одноключевыми, то вероятность того, что эти буквы шифрованных текстов совпадают, равна вероятности того, что совпадают соответствующие буквы открытых текстов. А эта вероятность, в свою очередь, примерно вдвое превосходит вероятность случайного совпадения, то есть составляет примерно 1 шанс из 13 как для английского языка, так и для большинства языков, использующих латинский алфавит. Это частный случай более общего наблюдения, которое мы рассмотрим в главе 7; подробное математическое доказательство содержится в приложении M6. Отсюда следует, что если подписать одно сообщение под другим, то для

47

пары неодноключевых сообщений на 100 знаков шифрованного текста должно встретиться примерно четыре пары одинаковых букв, а для одноключевых сообщений таких пар одинаковых букв должно быть примерно семь или восемь на сотню. Чем длиннее сообщения, тем более вескими оказываются аргументы за или против наличия общего ключа. Доводы в пользу наличия общего ключа становятся намного более вескими, если обнаружены совпадающие полиграфы, например, двух или трехбуквенные, поскольку их появление в неодноключевых сообщениях весьма маловероятно. Разумеется, и такой тест не является абсолютно надежным, так как в парах шифрованных текстов могут встречаться и случайные совпадения полиграфов. Джек Гуд (см. [3.1]) пишет, что однажды он обнаружил в паре сообщений военного времени абсолютно ложное повторение октографа. Вероятность подобного восьмизначного совпадения меньше, чем 1 шанс из 20 000 000 000. Это удивительно, даже если учесть, что были просмотрены все шифрованные сообщения военного времени. С другой стороны, Джек Гуд пишет также (см. [3.1]), что он обнаружил 22буквенное повторение, и оно было истинным!

Определить, являются ли два сообщения одноключевыми, становится легче с увеличением длины более короткого сообщения. Так, например, проще выявить общий ключ у пары сообщений длиной по 500 знаков каждое, чем у пары сообщений, если длина одного из них равно 2000 знаков, а другого - только 100 знаков. В этом случае важна именно длина общей части.

Пример 3.2 Три сообщения зашифрованы с помощью системы, в которой буквы

шифруются последовательно одна за другой. Самое короткое сообщение состоит из 500 знаков. Число совпадений знаков шифрованного текста внутри каждой пары сообщений следующее:

Сообщение 1 и сообщение 2 : 37. Сообщение 1 и сообщение 3 : 27. Сообщение 2 и сообщение 3 : 16.

Возможно ли, что какая-нибудь пара из этих трех сообщений имеет один и тот же ключ?

Решение Если общая часть имеет длину 500 знаков, то ожидаемое число

совпадений в паре шифрованных текстов для одноключевых сообщений будет около 38, а для неодноключевых сообщений - всего лишь около 19. Следовательно, на основании приведенных данных можно с уверенностью сказать, что первое и второе сообщения - одноключевые, а второе и третье - неодноключевые. Статистические данные для пары сообщений 1 и 3 являются аномальными, и, опираясь только на них, к определенному