125 Кібербезпека / 5 Курс / 5.2_Методи побудови і аналізу криптосистем / Література / пiдручник

модействует с М, который «пропускаег через себя» все проходящие сообщения и может их модифицировать, задерживать, менять мес­ тами и т. п. Очевидно, что в этой атаке противник должен быть ак­

тивным.

Компрометация протокола - это ситуация, когда протокол не способен достичь тех целей, для которых он был предназначен, при­ чем противник получает преимущество без непосредствен:ного

«вскрытия» нижележащих примитивов или алгоритмов, а только пу­

тем манипуляции протоколом.

Рассмотрим простой пример. Используется поточный шифр. Из­ вестно, что передаваемые в протоколе сообщения имеют специаль­ ную форму: первые 20 бит несут в зашифрованном виде информа­

цию, которая представляет сумму денег, переводимых со счета на счет. Активный противник может просто сделать побитовое сложе­ ние первых 20 бит с какой-либо произвольной величиной и изме­ нить количество денег, так и не узнав его. Другие примеры атак на протоколы и их подверженности компрометациям мы будем приво­

дить при рассмотрении конкретных классов протоколов.

При первоначальном знакомстве с финансовой и коммерческой криптографией вряд ли возможно ставить перед собой задачу научиться конструировать новые стойкие протоколы - достаточно ознакомиться с обширным арсеналом существующих протоколов, научиться грамотно их использовать. Современная криптография имеет вполне достаточно средств для решения подавляющего боль­ шинства практических задач. Тем не менее полезным будет полу­ чить общее представление о тех научных и методических принци­ пах, на которых строится такого рода конструкторская работа.

Завершая изложение основных понятий, связанных с криптогра­ фическими протоколами) отметим основные подходы к конструи­ рованию безопасных протоколов в рамках концепции доказа­ тельной безопасности.

1. Принцип редукции к вычислительно-сложным задачам. Безо­ пасность протоколов основана на сводимости их вскрытия К реше­ нию вычислительно-сложных задач. Решить задачу «вскрытия» (на­ рушения безопасности) криптографических алгоритмов (примити­ вов), используемых в протоколе, по меньшей мере так же трудно,

как «вскрыты> протокол. В то же время решить одну из вычисли-

Цель участника Р всегда заключается в том, чтобы убедить уча­ стника V в том, что S истинно, независимо от того, истинно ЛИ оно на самом деле или нет. Таким образом, Р может мошенничать в про­ токоле, так как S может быть ложно, т. е. он может быть активным противником. V должен проверять аргументы участника Р. Цель участника V заключается в том, чтобы вынести решение, является ли S истинным ИЛИ ложным. Как видим, интересы участников протоко­ ла Р и V не совпадают.

Однако участник V имеет полиномиально ограниченные вычис­ лительные возможности, а именно время его работы ограничено не­

которым полиномом от длины доказываемого утверждения:

t ~ p~wl). Это предположение является стандартным для моделиро­

вания вычислительных возможностей обычных средств вычисли­ тельной техники. В силу этого он самостоятельно, без помощи Р, не способен распознать истинность утверждения S.

Вычислительные возможности Р никак не ограничиваются, что в действительности может соответствовать ситуации, когда Р владеет какой-то трудно получаемой информацией (хотя он может и обма­ нывать, утверждая, что такая информация у него имеется).

Программа действий участника V должна быть устроена таким образом, чтобы:

1)если S истинно, Р смог бы убедить V признать это;

2)если S ложно, Р не смог бы убедить V в противном, какие бы

аргументы он ни выдвигал, т. е. вне зависимости от получаемых от Р сообщений.

V может ошибаться, но ставится условие, чтобы вероятность принятия им неправильного решения была бы пренебрежимо мала.

Рассмотрим примеры интерактивных систем доказательства.

1. Пример из теории чисел. Зададимся натуральным числом п. Рассмотрим мулыипликативную группу z; = { х< n;(х,n) = l}. Обо-

значим QR ={(х,n)!х<n,(x,l'l) = 1,::3y: у2 == xmodl'l}-множествоква­

дратичных вычетов числа п. Напомним, что если сравнение

у2 == х(modn) имеетрешение,то х называетсяквадратичнымвыче-

том числа п. В противномслучае х называетсяквадратичнымневы-

24 Запечников С. В. Криптографические протоколы !I их примененив

четом. Тогда L =QNR ={(х,n)Ix < n,(х,n)=l,ily: у2 =xmOdn}- мно­

жество квадратичных невычетов числа n. Р доказывает V утвержде­

ние S: (х,n)ЕQNR. Протокол,показанныйв табл. 1.2, является ин­

терактивной системой доказательства данного утверждения. Пока­ жем, что этот протокол действительно удовлетворяет требованиям,

указанным выше.

Таблица 1.2. Пример интерактивной системы доказательства, основанной на задаче теории чисел

lIу: у2 == x(modn), Р докажет VутверждениеS с вероятностью, рав­

ной единице. Для этого рассмотрим действия участника V на шаге

(1) протокола.

Когда Ь; = 1, по условию протокола 3z; : z; == wj ( mod 11). По оп- ределению вычета это означает, что (Wj>n)E QR, т. е. Wj является

квадратичнымвычетом числа п.

Когда Ь; = О, ПО условию протокола z;' Х == wi (modn) . Из дока- зываемого утверждения известно) что (х,П)Е QNR. Можетли W; быть

квадратичным вычетом числа n? Для этого должно быть

(l,n)Е QR. МЫ пришли к противоречиюс исходнымутверждением.

Следовательно,Ь; ;:: О тогда и только тогда, когда (W;.n)E QNR,

т. е. мы установили однозначную связь: Wj является квадратичным

вычетом числа 11 только при Ь; ;:: 1. Распознавая QR на шаге (2) про­ токола (эту задачу нельзя решить за полиномиальное время), дока­ зывающий Р будет отвечать битом С; = 1 тогда и только тогда, когда Ь; = 1, т. е. на шаге (3) результат проверки всегда будет положитель­ ным и V всегда примет доказательство.

Покажем теперь, что для "dx! если (х,п)е QNR, вероятность ошибки V составляет р~ш :::; 1/ з: .

Когда Ь; = 1, по условию протокола ЗZ; : z; == W; (mod n). По опре­ делению вычета это означает, что (w;,n)E QR, т. е. W; является

квадратичным вычетом числа п.

Итак, Wj - случайный квадратичный вычет числа п.

В любом случае: Ь; = О или Ь, = 1 - участник Р на шаге (2) прото­ кола всегда будет распознавать число W; как квадратичный вычет числа п. Следовательно, он может угадать, какой бит Ь; = {о,l} был

выбран, только случайно, с вероятностью Р = 1/2. Следовательно, все k бит {bl' ...,bk } он сможет угадать лишь с вероятностью

P==2-k k--'Jo:> )0.

2. Пример из теории графов. Графы Go и G1 называются изо­ морфными, т. е. Go :::::: G!, если существует взаимно-однозначное со­ ответствие между их вершинами, при котором соединенным ребром

вершинам в графе Go соответствуют соединенные вершины в графе

G! (задача проверки изоморфности графов также нерешаема за по­ линомиальное время). Не упрощая задачи, можно предполагать, что

Go и G - графы на одном и том же множестве вершин N мощности

т: IN/ 1 т. {(Go,GJ~\fGo * множество пар неизо-

= L = GNI = G1} -

морфных графов. Рдоказывает Vутверждение S = (Go,GJE GNI.

Протокол, показанныйв табл. 1.3, является интерактивной сис­ темой доказательства данного утверждения.

Таблица 1.3. Пример интерактивной. системы доказательства, основанной на задаче теории графов

Обобщим теперь рассмотренные примеры и сформулируем ряд

определений.

ДВОИЧНОМ алфавите. Если существует интерактивная система дока­ зательства для утверждений такого рода, то говорят, ЧТО язык L об­ ладает интерактивной системой доказательства. Обозначается

такая система (р,V, s) .

Протокол между участниками Р и V называется интерактивным доказательством для языка L, если V полиномиально ограничен

ивыполнены следующие два условия:

1)для \:}хЕ L p{(P,V)(X) =1}~1-l/2"(",

где С = Const; n - число раундов протокола (т. е. вероятность приня­

тия проверяющим доказательства истинного утверждения стремится

кединице);

2)для \:}ХЕ L и для \:} р' :;t. р (для любого другого участника,

который действует не так, как честный участник) вероятность при­

нятия проверяющим доказательства ложного утверждения исчезаю-

ще мала, т. е. p{(pl,V)(X) = l}=:; 1/ 2/,c

Условие 1 называется полнотой (completeness), условие 2 - кор­ ректностыо (soundness) доказательства. Класс языков, обладающих интерактивными системамидоказательства, обозначается IP.

Теорема (А. Shamir, А. Shen, 1990). /Р = PSPACE (т. е. класс за­ дач, обладающих интерактивными системами доказательства, сов­ падает с классом задач, решаемых с полиномиальным объемом па­ мяти).

1.3.2. Доказательства с нулевымразглашением знания

Пусть задана интерактивная система доказательства (Р,V,S).

в определении интерактивной системы доказательства ранее не предполагалось, что V может быть противником (предполагалась только возможность существования нечестного участника pl). Но V может оказаться ПрОТИВНИКОМ, который хочет выведать у Р какую­ либо новую полезную информацию об утверждении s. В этом слу­ чае Р может не хотеть, чтобы это случилось в результате работы

протокола интерактивной системы доказательства (Р,V, s). Таким

образом приходим к идее протокола доказательства с нулевым раз­ глашением знания (ze1"o-knowledge prooj). Нулевое разглашениезна­ ния подразумевает,что в результате работы протокола интерактив­ ной системы доказательства V не увеличит свои знания об утвер­ ждении S, или, другими словами, не сможет извлечь никакой информации о том, почему S истинно.

Как и ранее, в протоколе предварительно формулируется неко­ торое утверждение S, например о том, что некоторый объект w об­ ладает свойством L: w Е L . В ходе протокола Р и V обмениваются сообщениями. Каждый из них может генерировать случайные числа и использовать их в своих вычислениях. В конце протокола V дол­ жен вынести свое окончательное решение о том, является ли S ис­

тинным или ложным.

Цель Р всегда состоит в том, чтобы убедить V в том, что S ис­

тинно, независимо от того, истинно ли оно на самом деле или нет, т. е. Р может быть активным противником, а задача V - проверять аргументы Р. Цель участника V заключается в том, чтобы вынести решение, является ли S истинным или ложным. Как и ранее, V имеет

полиномиально ограниченные вычислительные возможности,

а именно время его работы ограничено некоторым полиномом от

длины доказываемого утверждения: t:$; p~~). в силу этого он са­

мостоятельно, без помощи Р, не способен распознать истинность высказыванияS. Вычислительные возможности Р никак не ограни­

чиваются.

Рассмотрим теперь примеры протоколов доказательства с нуле­

вым разглашением знания.

1. «Задача о пещере Али-Бабы». Имеется пещера, план которой показан на рис. 1.2. Пещера имеет дверь с секретом между точками С и D. Каждый, кто знает волшебные слова, может открыть эту дверь и пройти из С в D или наоборот. Для всех остальных оба хода

пещеры ведут в тупик.

Пусть Р знает секрет пещеры. Он хочет доказать V знание этого секрета, не разглашая волшебные слова. Вот протокол их общения:

1) V находится в точке А; .

2) Р заходит в пещеру и добирается либо до точки С, либо до

точкиD;