125 Кібербезпека / 4 Курс / 4.2_Управління інформаційною безпекою / Лiтература / V_P_Babak_A_A_Kliuchnykov-Teoreticheskye_osnovy_zashchity_informat

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

мощью блочного шифра. В случае, когда последовательность случайна (например, снятая из физического датчика) и каждый ее фрагмент используется только один раз, получаем криптосистему с одноразовым ключом.

Метод простои замены. В этом режиме блоки открытого текста шифруются независимо от других блоков на одном ключе (рис. 8.10). Этот режим назван режимом электронной кодовой книги, поскольку теоретически существует возможность создать книгу, в которой каждому блоку открытого текста будет отвечать блок зашифрованного текста.

текста, а F - криптографическое преобразование, реализованное алгоритмом блочного шифрования.

Идентичные блоки открытого текста на том же ключе будут зашифрованы одинаково. С точки зрения криптоанализа этот режим является наиболее «слабым» (поскольку существует большое количество криптографических атак).

Метод усложненного гаммирования. В этом режиме алгоритм блочно-

го шифрования используется для осложнения предыдущей гаммы, выработанной одноканальной линией задержки (рис. 8.11). Ошибка во время передачи всего сообщения приводит к искажению при расшифровывании только одного блока. Таким образом, в случае использования этой методики делается невозможным распространение ошибки за счет рассинхронизации узлов вычисления предыдущей гамы на передающей и приемной стороне.

Для предотвращения этого нежелательного явления на практике применяются устройства синхронизации работы шифраторов, если шифратор реализуется аппаратно. Начальное состояние узла создания исходной гаммы задается инициализирующим вектором (синхропосылка), который передается по открытым каналам связи в зашифрованном или открытом виде. Гамма, полученная узлом генерации предыдущей гами, обрабатывается согласно алгоритму блочного шифрования, после чего результирующая гамма подытоживается по модулю с блоком открытого текста.

590

Глава 8. Шифрование и дешифрование информации

Рис. 8.11. Режим гаммирования

Шифрование можно представить как Ci Pi F(Yi ), i 1, ..., N, где Yj - созданная гамма; Yt - синхропосылка.

Метод гаммирования с самовосстановлением. Этот режим характери-

зуется тем, что шифратор в этом случае имеет свойство самосинхронизации

(рис. 8.12).

Рис. 8.12. Режим гаммирования с самовосстановлением

Начальное заполнение накопления, которое на практике обычно реализуется в виде регистра сдвига, есть синхропосылкой Yt , которая передается по открытому каналу передачи данных. Математическое представление шиф-

Алгоритм блочного шифрования Файстеля (Стандарт DES). Алгоритм шифрования данных (DES — Data Encryption Standard) 1977 года был принят в США как федеральный. В стандарт входит описание блочного шифра типа

591

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

шифра Файстеля, а также разных режимов его работы как составляющих нескольких процедур криптографического преобразования данных.

Обычно под аббревиатурой DES понимают именно блочный шифр, который в стандарте отвечает процедуре шифрования в режиме электронной кодовой книги (ECB — Elесtrоnic Соdеbооk Моdе) (рис. 8.13).

Вход

IP

Название объясняется тем, что любой блочный шифр является простым шифром подстановки и подобный кодовой книге (табл. 8.1).

592

Глава 8. Шифрование и дешифрование информации

Таблица 8.1

Сам ключ X размещается в восьмибайтовом слове, причем восемь разрядов каждого байта являются контрольными и в ключ не входят. Перед шифрованием в соответствии с процедурой выбора PC1 (табл. 8.2) из X выбираются 56 бит, которыми заполняются два регистра (C и D) длиной 28

бит каждый.

В дальнейшем при входе в дежурный цикл с номером и регистры сдвигаются циклически влево. Размер сдвига зависит от номера цикла, но является фиксированным и предварительно известным.

593

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

Таблица 8.2

После сдвига оба подблока совмещаются в порядке (C, D). Дальше в соответствии с функцией выбора Рс2 (табл. 8.3) из них выбираются 48 бит подключа Хи.

Таблица 8.3

Шифрование и расшифровывание отличаются направлением сдвигов

(табл. 8.4).

Таблица 8.4

Выбор бит по табл. 8.2—8.4 из соответствующих блоков выполняется таким способом. Таблица рассматривается как последовательность ее строк, записанных друг за другом, начиная с первой строки. Биты блока данных нумеруются слева и справа, начиная с единицы. Каждая ячейка s таблицы рассматривается как номер бита bs в блоке данных. Преобразование заключается

в замене всех элементов s на биты.

Циклическая функция выполняет такие действия.

594

Глава 8. Шифрование и дешифрование информации

1. Расширение блока Ri 1 до 48 бит за счет повторения битов блока с помощью функции расширения EP (табл. 8.5).

2.Поразрядное добавление результата к ключу.

3.Преобразование полученной суммы с помощью замены (с использованием так называемых S-блоков), в результате которого образуется блок длиной 32 бита.

4. Применение перестановки P (табл. 8.6), которое дает значение функции.

Таблица 8.6

Механизм действия S-блоков. Преобразование, с помощью которого 48-розрядный блок превращается в 32-разрядный, сводится к выбору восьми тетрад из семи таблиц (S-блоков) размером 4×16. Из каждого S-блока выбирается одна тетрада. Для этого 48-разрядный блок разделяется последовательно на 8 комбинаций, по 6 бит каждая.

Первая комбинация (слева) является входом в первый S-блок, вторая - во второй и т. д. При этом первый и последний биты комбинации задают номер строки, а остальные 4 бита - номер столбца S-блока, на пересечении которых содержится соответствующая тетрада.

На практике чаще всего используется тройной алгоритм шифрования Triple DES (рис. 8.15), который имеет большую криптостойкость.

595

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

Инициализирующий

вектор

Ключ 2 DEC (расшифровывание)

Закрытый

текст

Рис. 8.15. Алгоритм шифрования Triple DES

Это, в сущности, тот же DES, только шифрование происходит трижды, следовательно, можем задавать три разных ключа и вектор инициализации. Шифрование будет происходить не за 16, а за 48 тактов (рис. 8.16). То есть нам нужно установить вектор инициализации, три ключа и данные и после 48-го такта на выходе получить результат.

Рис. 8.16.Схема тройного DES

Многолетний опыт эксплуатации DES и его открытость (исходные тексты алгоритма и документацию на него можно найти в открытых источниках) привели к тому, что DES стал одним из более популярных алгоритмов с точки зрения проверки тех или других методов расшифровывания и криптоанализа. Среди основных недостатков DES, которые существенно снижают уровень его безопасности, можно выделить такие:

наличие слабых ключей, предопределенное тем, что при генерации ключевой последовательности используются два регистра сдвига, которые работают независимо друг от друга;

небольшая длина ключа 56 бит (или 64 бита с контролем парности). На современном уровне развития микропроцессорных средств данная длина

596

Глава 8. Шифрование и дешифрование информации

ключа не может обеспечивать надлежащей защиты для некоторых типов информации. Применение тройного DES (Triple DES) не дает ощутимого

избыточность ключа, которая предопределена контролем четности для каждого отдельного байта ключа;

использование статических подстановок в S-блоках, что, несмотря на большое количество раундов, дает возможность проводить атаки на этот алгоритм.

Асимметричные системы характеризуются тем, что для шифрования и дешифрации используются разные ключи, связанные между собой некоторой математической зависимостью. При этом отмеченная зависимость такая, что найти один ключ, зная другой, путем вычислений очень трудно.

Один из ключей (например, ключ шифрования) может быть общедоступным, и в этом случае проблема получения общего секретного ключа для связи отпадает. Если сделать общедоступным ключ расшифровывания, то на базе полученной системы можно построить систему аутентификации переданных сообщений. Поскольку по большей части один ключ из пары делается общедоступным, такие системы получили также название криптосистем с

открытым ключом.

Криптосистема с открытым ключом определяется тремя этапами реализации алгоритмов: генерации ключей, шифрования и расшифровывания.

Алгоритм генерации ключей открыт, любой пользователь может подать ему на вход случайную строку r надлежащей длины и получить пару ключей (k1, k2 ). Один из ключей (например, k1 ) публикуется — он называется открытым, а второй — его называют секретным — сохраняется в тайне.

Алгоритмы шифрования EK1 и расшифровывания DK2 таковы, что для любого открытого текста:

m DK2 EK1 (m) m.

Рассмотрим теперь гипотетическую атаку злоумышленника на эту систему. Злоумышленнику известен открытый ключ K1 , но неизвестен соот-

ветствующий секретный ключ K2 . Противник перехватил криптограмму d и пытается найти сообщение m, где d EK1 (m) . Поскольку алгоритм шифрова-

ния открыт, противник может просто последовательно перебрать все возможные сообщения длины n, вычислить для каждого такого сообщения mi

597

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

криптограмму di EK1 (mi ) и уравнять ее с d. То сообщение, для которого

di d, и будет открытым текстом. Если система имеет такие технические возможности, то открытый текст будет найден достаточно быстро. А в худшем случае перебор будет выполнен за время порядка 2n (n), где T (n) —

время, необходимое для шифрования сообщения длины п. Если сообщения имеют длину порядка 1000 бит, то такой перебор невыполним на практике ни на одном из мощных компьютеров.

Мы рассмотрели лишь один из возможных способов атаки на криптосистему и самый простой алгоритм поиска открытого текста, названный алгоритмом полного перебора. Используется также другое название: метод грубой силы. Другой самый простой алгоритм поиска открытого текста — угадывание. Этот очевидный алгоритм требует небольших вычислений, но срабатывает с очень малой вероятностью (при больших длинах текстов). В действительности противник может пытаться атаковать криптосистему разными способами, используя разные более утонченные алгоритмы поиска открытого текста. Кроме того, злоумышленник может попробовать возобновить секретный ключ, используя знание (в общем случае несекретные) о математической зависимости между открытым и секретным ключами. Естественно считать криптосистему стойкой, если любой такой алгоритм нуждается практически в неисполнимом объеме вычислений или срабатывает с очень малой вероятностью. (При этом противник может использовать не только детерминированные, но и вероятностные алгоритмы). Это и есть теоретически сложный подход к определению стойкости.

Для его реализации относительно того или другого типа криптографических систем необходимо выполнить такие действия:

1)дать формальное определение системы соответствующего типа;

2)дать формальное определение стойкости системы;

3)доказать стойкость конкретной конструкции системы этого типа.

Односторонние (однонаправленные функции асимметричных крип-

тографических систем. Центральным понятием в теории криптографических систем является понятие односторонней функции.

Односторонней функцией называется эффективно вычисляемая математическая функция, для обращения которой (т.е. для поиска хотя бы одного значения аргумента которой по заданному значению функции) не существует эффективных алгоритмов восстановления.

Формальное понятие односторонней функции описывается так.

Парная функция f называется односторонней, если:

1)существует алгоритм А, который для любого x вычисляет f(x);

2)для любой полиномиальной вероятности

f A f x f x 1 p n .

598

Глава 8. Шифрование и дешифрование информации

схема нестойкая.

Функцией-ловушкой называется односторонняя функция, для которой обратную функцию вычислить просто, если есть некоторая дополнительная информация, и сложно, если такой информации нет.

Криптосистемы с открытым ключом основываются на односторонних функциях-ловушках. При этом открытый ключ определяет конкретную реализацию функции, а секретный ключ подает информа-

599