125 Кібербезпека / 5 Курс / 5.2_Методи побудови і аналізу криптосистем / Література / пiдручник

секретный ключ SKo. Отрезок времени, в течение которого откры­ тый ключ РК предполагается сделать действительным для санкцио­ нированного использования в системе, делится на периоды, обозна­ чаемые 1,2, ..., Т. Открытый ключ остается всегда фиксированным, тогда как секретный ключ «эволюционирует» с течением времени. Так, в каждом из этих периодов участник системы генерирует под­ пись, используя различные секретные ключи: SK1 в l-M периоде, SK2

во 2-м периоде и т. д. Секретный ключ i-ro периода вырабатывается как функция ключа (i-l)-ro периода,а именнос началомi-ro перио­

да участниксхемы применяетк SKj.1 однонаправленную функцию h, чтобы получить в результате SKj • Сразу после этого он удаляет SKi-1• Теперь злоумышленник, атаковавший участника в течение пе­

риода, сможетзавладетьключомSKj , но не ключами SKo"",SKi-1, так как они уже были удалены. Более того, злоумышленник не сможет

получить и прежние ключи из SKj , поскольку они получаются из предыдущих с помощью однонаправленной функции.

Подпись всегда включает в себя номер периода j, в течение ко­ торого она была сгенерирована,так что она рассматриваетсякак па­ ра U,~). Алгоритмпроверкиподписиберет фиксированныйоткры-

тый ключ РК, сообщениеи подпись, подлежащуюпроверке, и про­ веряет, что подпись является действительной в том смысле, что была сгенерированалегальным участником системы в период вре­ мени, указанныйв подписи. Заметим,что, хотя секретныйключ уча­ стника эволюционируетс течением времени, открытый ключ оста­

ется неизменным, так что и процесс проверки подписи всегда оди­

наков. Также остаются постоянными и процессы управления

открытымиключами.

Число периодов и длина каждого периода - параметры, выбор которых зависит от каждого конкретного случая. Например, мы мо­ жем пожелать использовать схему цифровой подписи с одним и тем же открытым ключом в течение года, с ежедневными обновлениями секретного ключа. В таком случае Т = 365, а каждый период имеет

длину в одни сутки.

Схемой цифровой подписи с эволюцией ключа KE-SIG = (KG, Upd, Sgn, Vf) называется совокупность четырех алгоритмов:

1. Алгоритм генерации ключей KG берет в качестве входного па­ раметра безопасности число k Е N , суммарное количество перио-

дов Т, В течение которых будет функционировать схема, а также, возможно, некоторые другие параметры (алгоритм является вероят­ ностным), и возвращает базовый открытый ключ РК и соответст­ вующий ему базовый секретный ключ SKo;

2. Алгоритм обновления секретного ключа Upd берет в качестве входной величины секретный ключ подписи предыдущего периода SKi-1 и возвращает секретный ключ подписи текущего периода SKj (алгоритм обычно детерминированный).

3. Алгоритм подписи 5gn берет секретный ключ подписи теку­ щего периода SKj и подписываемое сообщение М и возвращает под­ пись М для периода j, что записывается следующим образом:

(j,() ~SgnsKJ (м). Алгоритм может быть вероятностным, а

подпись всегда состоит из номера текущего периодаj и тега ~.

4. Алгоритм проверки подписи Vf берет открытый ключ РК, со­ общение Ми проверяемую подпись (j,~), чтобы возвратить бит, ко-

торый означает принятие подписи в случае равенства единице и ОТ­

клонение ее в случае равенства нулю, что записывается следующим

образом: Ь f-- VjpK(M ,(j,~}). Этот алгоритм обычно является де­

терминированным.

Пара (j,~) считается действительной подписью сообщения М

для периода j, если VfPK (М,(j,())= 1. Требуется, чтобы подпись сообщения М, сгенерированная алгоритмом SgnsKJ (М), была дей-

ствительной подписью Мдля периода j. Предполагается,что секрет- ный ключ SKj для периода jE {1,2~....г} уже содержит в себе вели­ чину j и суммарное количество периодов Т. Наконец, договоримся, что SKT+ ! - пустая строка и что Upds K 1" возвращает SKT+ 1•

В табл. 1.25 в качестве примера приведена схема цифровой под­ писи с опережающей безопасностью Беllarе - Мiner, полностью

удовлетворяющая приведенному выше определению.

Эта схема цифровой подписи может быть достаточно просто преобразована в схему аутентификации, сохраняющую свойство опережающей безопасности.

1.7. Схемы разделения секрета

Предположим, есть важная секретная информация, которую можно потерять. Ее опасно доверять кому-то одному. Возникает во­ прос, как повысить надежность и безопасность ее хранения.

Первый путь - сделать несколько копий этих данных и хранить их в разных местах. Резервирование обеспечивает высокую надеж­ ность хранения, но если скомпрометирована хотя бы одна копия, то секретность всей информация будет потеряна.

Второй путь - разделить секрет на несколько частей и хранить их в разных местах, при необходимости собирая вместе. Самый простой способ разделить секрет s на п частей - выбрать n-1 случайное число SI'S2""'S/I_] ' а л-ю часть определить так:

S/I :::: S EiЭ SI EiЭ S2 Ее о•• ЕВ S/I_l' Каждое число sp i ::::: 1,11 носит название доли секрета (share). Доли создает носитель секрета з, Иногда это

один из п участников, получающих доли, иногда - постороннее ли­

цо, которое в этом случае называется дилером. Каждая доля з, долж­ на быть передана соответствующему участнику конфиденциально. Если эту долю видят и другие участники протокола, эта схема уже не работает. Для восстановления секрета s необходимо присутствие

всех п сторон, имеющих доли секрета, которые должны выполнить

операцию сложения: S = S] Ее S2 Ее ...ЕВ S'I .Так приходим к идее СХеА-l

разделения секрета (secret sharing scheme) - сокращенно ерс. Такая схема обеспечивает высокую конфиденциальность (чтобы восстано­ вить секрет, надо получить все его доли), но низкую надежность (если потеряна хотя бы одна доля, восстановить секрет уже будет невозможно).

Мы хотим построить более гибкую схему. Пусть есть п участни­ ков криптосистемы. Мы хотим, чтобы любые t из них могли восста­ новить секрет, но никакие (-1 из них не смогли бы получить ин­ формацию о секрете. Число t (t<n) - параметр схемы, называемый порогом. Схема, обладающая такими свойствами, называется (t,n)-

74 Запечников С. В. Криптографическиепротоколы и LLX применеиие

и легко обобщается для многочленов над конечными полями. Пусть F - конечное поле, f (;() = ай +а\х+.,. анхН, а; Е F - многочлен над полем Р, т. е. f (х)Е F [х]. Известно, что такой многочлен обладает

следующими свойствами:

1. Интерполируемость. По данным t точкам многочлена: (X1' yl )'···.(x" y,) , где все XI, ...,X, различны, У; =/(Х;), можно найти

его коэффициенты ао,а1" ••• , ан . Алгоритм, делающий это, называется

алгоритмом интерполяции.

2. Секретность. По данным любым t-1 точкам полинома: (-'1' У! ), .... (Хн.Ун) , где 'У; =f (Х;), никто не может ничего предпола­

гать об ай - свободном членеf(х).

Эти свойства делают многочлены над конечными полями инст­

рументом для построения пороговых криптосистем.

Рассмотрим (t,n)-nороzоауlО ере Шамира над полем Zp, где р­ большое простое число. Схема включает несколько протоколов.

Фаза инициализации. Дилер D выбирает п различных ненулевых элементов поля Zp, которые обозначаются Х;, 1~ i ~ н, р ~ n + 1; это

точки, к которым «привязаны» участники. Часто выбирают Х; := i,

т. е. просто всем участникам схемы присваиваются порядковые но­

мера. D передает Х; участнику Р; Распределение долей:

1) D хочет разделить секретный ключ К Е Zp ; D секретно, слу-

чайно и независимо друг от друга выбирает t-1 элемент поля al' ...,Qt-l' где а; Е Zp'

2) D конструирует многочлен степени, меньшей либо равной t-1,

1-/

и вычисляетдля i =l.n: Yi =а(х;), где а(х)= К + Iamx ln (modp).

m=!

т. е. К = а(О). Коэффициенты многочлена дилер хранит в секрете.

3) Дилер по секретному и аутентичному каналу рассылает каж­

дую из долей У; соответствующему участнику Р; ДЛЯ всех i;;:;1,n .

бранный D. Так как а(х) имеет степень, меньшую либо равную t-1, а(х) может быть записан в виде

а(х)=ао + a1x + ...+at_1xt - 1,

где ао,ql ,..., ан - неизвестные элементы поля Zp и ао = К .

Они получают систему t линейных уравнений с t неизвестными

ао, аl, ..., ан над полем Zp:

Если уравнения линейно независимы, система имеет единствен­ ное решение. Они могут решить систему относительно неизвестных коэффициентов и получить ао.

Утверждение. (t,n)-пороговая СРС Шамира позволяет одно­ значно восстанавливать секрет любой группе из t участников схемы и обеспечивает совершенную секретность (теоретико-информацион­ ную стойкость) против попытки вычисления секрета любой группой из j участников, обладающих. неограниченной вычислительной мощностью (j<t).

Доказательство. у каждого участника схемы есть пара точек:

(X;J1 Y;j): Yi; =а(Х/]),j::::: 1,1, где а(х):::::ао +~x+...+al_lxl-1, ао = К . По­

лучается следующая система линейных уравнений, решаемая в Zp:

В левой части системы стоит матрица коэффициентов А, имею­ щая специальный вид: каждая j-я ее строка состоит из коэффициен­

тов Xj . , последовательно возводимых во все степени от О до t-l. Это

J

так называемая матрица Вандермонда. Ее определитель вычисляет­ ся по формуле

.detA;:::; П (xit -Х;} )modp.

\~j<kS.,

Так как все Х; различны, 'ri(Xit -ХiJ) -:f; О. Произведение вычисля­

ется в поле Zp, Произведение ненулевых элементов в поле всегда от­ лично от нуля. Следовательно, det А :F о. Следовательно, система

имеет единственное решение над полем Zp" а значит, любая группа из t участников может однозначно восстановить ключ К = ао.

Пусть теперь группа из 1-1 участников ~ '.00' ~ пытается вы-

числитьК. Они получатсистемуиз t-1 уравнений с t неизвестными. Пусть Уа - какое-то предполагаемое (или случайно взятое) ими зна- чение ключа. Так как известно, что К =Уо :;;; ао ;:::; а(о), это соотно­

шение дает им t-e уравнение. Матрица коэффициентов результи­ рующей системы из t уравнений с t неизвестными снова будет мат­ рицей Вандермонда, а значит, снова будет' иметь единственное

решение.

Следовательно, для каждого предполагаемого значения кдюча

эффициенты которого получены из решения системы. Таких поли­ номов существует столько же, сколько может быть различных зна­ чений Юlюча К = Уа. Значит, никакая группа из t-l участников не может получить никакой дополнительной информации о ключе. Лучший способ узнать ключ - это попытаться угадать его, что БОЗ-

тающих эту задачу, основанные на сложности задачи дискретного

логарифмирования: СРС Фельдмана и ере Педерсена.

Схема проверяемогоразделения секрета Фельдмана. Пусть p,q-

большие простые числа, р -1 == О(mod q); g - элемент порядка q

.группы z;, т. е. gq == 1(mod р) . Для любой доли У; вычисляется от­

крытая величина г, =я" (mod р) , которая по свойству гомоморфиз­

ма функции экспоненцирования позволяет каждому Р; проверять, что его собственная доля секрета совместима с открытой информа­

цией.

D выбирает многочлен а(Х)Е Z(I [х] С коэффициентами

ао = Кга.,». а,_1 и раздает всем участникам соответствующие про­ верочные значения g(lQ, g(ll,..., я': .

Положим Х; == i, i =1,11 . Дилер D секретно передает каждому уча­ стнику схемы Р; предназначенную ему долю Yi ::;; a(i)mOdq.

Каждый участникР, проверяетсвою долю, используяпровероч­

ное уравнение

я' ~(g 110 ) . ( g111 У .(g (12 { ••• ( g анУ'-1 (mod р) .

в случае положительного результата проверки Р! передает всем остальным участникам схемы сообщение, что он принял свою долю,

ного результатаон делает вывод, что ему дилером была выданане­

верная доля.

Если все ~,! =1,11 распространили сообщения о принятии долей, фаза распределения долей завершилась успешно. Такая же проверка

может выполняться при восстановлении секрета.

Заметим, что в схеме проверяемого разделения секрета каждый может проверить только свою долю, но не чужую' - ДЛЯ этого нужны схемы публично проверяемого разделения секрета.