5.6. Методы анализа поточных шифров

Рассмотрим некоторые методы анализа поточных шифрсистем на примере шифров гаммирования. В первую очередь необходимо исследовать вероятностные характеристики гаммы. Как мы уже знаем, имеются подходы к получению оценок вероятностей элементов неравновероятной гаммы по шифртексту, которые можно использовать при бесключевом чтении.

Второй подход связан с попытками линеаризации уравнений гаммообразования, то есть сведения задачи нахождения ключей криптографических алгоритмов к решению некоторой системы линейных уравнений.

При таком подходе определяющую роль играет линейная сложность исследуемых последовательностей. Значение линейной сложности определяет размеры системы линейных уравнений, которую надо решить для определения ключа по известной шифрующей гамме. Поэтому линейная сложность определяет эффективность криптоатаки на основе известного открытого текста для шифров гаммирования в классе методов линеаризации. Это обусловливает актуальность разработки методов построения псевдослучайных последовательностей с высокой линейной сложностью.

К вопросу о статистических зависимостях в шифрующей гамме примыкают методы анализа, основанные на наличии у функции усложнения хороших приближений в классе линейных функций. Примером отображений, не имеющих линейных статистических аналогов хорошего качества, является класс бент-функций.

В случае наличия у функции усложнения линейного приближения криптоаналитик может заменить исследуемую схему схемой с линейной функцией усложнения. Если усложнению подвергалась линейная рекуррентная последовательность, то при такой замене результирующая гамма является суммой линейной рекурренты и некоторой случайной последовательности с "завышенной" вероятностью появления нуля. Тем самым задача сводится фактически к возможности определения ключа по "искаженному" выходу линейного регистра сдвига. Если число искажений невелико, то их появление не оказывает существенного влияния на сложность определения ключа.

Отметим, что функция усложнения может обеспечивать высокий уровень линейной сложности и хорошие статистические качества результирующей гаммы (например, равновероятность появления ее элементов), но при этом она может иметь приближение в классе линейных функций с большой вероятностью совпадения значений, что сводит на нет перечисленные положительные качества.

При оценке криптографических качеств поточных шифров, помимо алгебраических и статистических свойств шифрующей гаммы, необходимо учитывать также наличие между знаками гаммы зависимостей комбинаторного характера. Например, при использовании в качестве гаммы линейной рекуррентной последовательности с малым числом ненулевых коэффициентов в законе рекурсии может иметь место ситуация, когда значительное число знаков гаммы зависит лишь от небольшого числа знаков ключа. Если такая ситуация имеет место, то криптоаналитик получает возможность проверки гипотез о значениях части ключа, основываясь на статистических свойствах открытых сообщений, что является несомненной слабостью соответствующего алгоритма шифрования.

Таким образом, при создании криптографически стойких поточных шифрсистем необходимо учитывать возможности применения криптоаналитиком всей совокупности статистических, аналитических и комбинаторных свойств используемых преобразований. При этом дополнительные трудности создают постоянно возрастающие возможности вычислительной техники, позволяющие провести экспериментальные исследования тех характеристик поточных шифров, которые не удается изучить теоретически. В связи с этим необходимо подчеркнуть, что приведенные выше требования к поточным шифрам являются необходимыми, но далеко не достаточными для создания стойких шифров. Вывод о криптографической стойкости конкретного шифра может быть сделан только на основе его комплексных исследований, проведенных с привлечением квалифицированных специалистов-криптографов.

Контрольные вопросы

1. В чем заключаются достоинства и недостатки систем поточного шифрования?

2. Почему возникает проблема синхронизации поточных шифров?

3. Что с точки зрения криптографического алгоритма определяет управляющий блок?

4. Какой необходимый минимум функциональных возможностей должен быть заложен в шифрующем блоке?

5. За счет чего можно обеспечить стойкость алгоритма шифрования при повторном использовании ключей?

6. Какие причины обусловили широкое использование линейных регистров сдвига в качестве управляющих блоков поточных шифрсистем?

7. Какой период имеет ненулевая линейная рекуррентная последовательность над полем GF(2) с характеристическим многочленом x⁵+х²+1? Какова частота появления триграммы (0,1,1) на периоде этой последовательности?

8. Какова длина отрезка, необходимого для восстановления минимального многочлена заданной линейной рекуррентной последовательности с помощью алгоритма Берлекемпа-Месси?

9. Для каких целей применяются усложнения линейных рекуррентных последовательностей?

10. Какую минимальную степень нелинейности должна иметь булева функция от т переменных в фильтрующем генераторе, чтобы после ее применения к знакам линейной рекуррентной последовательности над полем GF(2) с примитивным характеристическим многочленом F(x) степени т линейная сложность выходной последовательности была бы больше т³?

11. Какие существуют типы генераторов Макларена-Mаpсальи?