125 Кібербезпека / 4 Курс / 4.2_Управління інформаційною безпекою / Лiтература / V_P_Babak_A_A_Kliuchnykov-Teoreticheskye_osnovy_zashchity_informat

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

610

Глава 8. Шифрование и дешифрование информации

2. Невозможность подписать бит t, если неизвестен ключ подписи.

Действительно, для выполнения этого злоумышленнику пришлось бы развязать уравнение ES ( Xt ) Ct относительно s, что эквивалентно определе-

нию ключа для известных блоков шифрованного и соответствующего ему открытого текста, что вычислительно невозможно в результате использования стойкого шифра.

3. Невозможность подобрать другое значение бита t, что подходило бы под заданную подпись. Возможных значений бита всего два, а вероятности выполнения двух приведенных дальше условий одновременно очень малые, учитывая использование криптостойкого алгоритма

ES (X0 ) C0 ,

ES ( X1 ) C1.

Предложенная Диффи и Хеллманом схема ЭЦП на основе классического блочного шифра имеет такую же стойкость, как и блочный шифр, и при этом достаточно простая. Однако она имеет два существенных недостатка.

Первый недостаток заключается в том, что эта схема дает возможность подписать лишь один бит информации. В блоке большего размера придется отдельно подписывать каждый бит, потому даже с учетом хеширования сообщения все компоненты подписи - секретный ключ, проверяющая комбинация и подпись - выходят достаточно большими по размеру и более чем на два порядка превышают размер блока, который подписывается. Предположим, что в схеме используется криптографический алгоритм EK с размером блока

и ключа соответственно n и nK . Предполагая также, что используется функция хэширования с размером исходного блока nH . Тогда размеры основных рабочих блоков таковы:

размер ключа подписи: nkS 2nH nK . размер ключа проверки подписи: nC 2nH n.

размер подписи: nS nH nK .

Второй недостаток этой схемы заключается в том, что пары ключей генерирования подписи и проверки подписи можно использовать только один раз. Действительно, выполнение процедуры подписи бита сообщения приводит к раскрытию половины секретного ключа, после чего он уже не является полностью секретным, а следовательно, его нельзя использовать повторно. Поэтому для каждого сообщения, которое подписывается, необходим свой комплект ключей подписи и проверки. Это практически делает невозможным использование рассмотренной схемы Диффи - Хеллмана в предложенном варианте в реальных системах ЭЦП.

Березин и Дорошкевич предложили модификацию схемы Диффи - Хеллмана, что фактически устраняет ее недостатки.

611

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

Пример. Алгоритм ЭЦП на основе классического блочного шифра Березина и Дорошкевича.

Центральным в этом подходе является алгоритм «одностороннего криптографического прокручивания», которое в известной мере может рассматриваться как аналог операции подъема к степени. Предположим, что в нашем распоряжении есть криптографический алгоритм EK с размером блока дан-

ных и ключа соответственно n и nK бит, причем n nK .

Пусть у нас также есть некоторая функция отображения битовых блоков

функцию Rk «одностороннего прокручивания» блока данных T размером n бит k раз k 0 с помощью такой формулы:

T , k 0,

Rk (T ) EPn nK ( Rk 1 (T )) ( X ), k 0,

где X - произвольный несекретный n-битовый блок данных, являющихся параметром процедуры прокручивания.

Идея функции одностороннего прокручивания чрезвычайно проста: достаточно всего лишь нужное количество раз k выполнить такие действия: расширить n-битовый блок данных T к размеру nK ключа использованного алгоритма шифрования; на полученном расширенном блоке как

только некоторое значение функции Rk (T ), то численными методами невозможно найти значение Rk (T ) для любого k k . Если бы это было возможно, то в нашем распоряжении был бы способ определить ключ шифрования по известным входным и исходным блокам алгоритма EK , что противоречит

предположению о стойкости шифра.

Теперь покажем, как отмеченную операцию можно использовать для подписи блока T , состоящего из nT битов.

Секретный ключ подписи kS выбирается как произвольная пара блоков k0 , k1 , которые имеют размер блока данных используемого блочного шифра, т.е. размер ключа генерирования подписи равняется удвоенному размеру блока данных использованного блочного шифра kS 2n.

612

Глава 8. Шифрование и дешифрование информации

Ключ проверки подписи вычисляется как пара блоков, которые имеют размер блоков данных использованного алгоритма за такими формулами:

Вэтих вычислениях также используются несекретные блоки данных X 0

иX1 , которые являются параметрами функции «одностороннего прокручи-

вания», они непременно должны быть разными. Таким образом, размер ключа проверки подписи также равняется удвоенному размеру блока данных ис-

пользованного блочного шифра kS 2n.

Вычисление и проверку ЭЦП выполняют таким образом.

Алгоритм SIGNT получения ЭЦП для n-битового блока T заключается в исполнении «одностороннего прокручивания» обеих половин ключа подписи

соответственно T и 2nT 1 T раз:

R2nТ 1 T (s0 ) R2nТ 1 T (RT (k0 )) R2nТ 1 T T (k0 ) R2nТ 1 (k0 ) C0 ,

RT (s1 ) RT (R2nТ 1 T (k1 )) RT 2nT 1 T (k1 ) R2nТ 1 (k1 ) C1.

Таким образом, функция проверки подписи приобретает вид

Покажем, что для этой схемы выполняются необходимые условия работоспособности схемы подписи. Допустимо, что в распоряжении злоумыш-

даже не имея ключа подписи

613

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

ственно в случае 1 и 2 ему необходимо выполнить прокручивание в противоположном направлении, т.е. найти Rk ( X ), имея только значение для большего k, что численными методами невозможно. Таким образом, злоумышленник не может подработать подпись под сообщением, если не имеет в своем распоряжении секретный ключ подписи.

Второе требование также выполняется: вероятность подобрать блок данных T , отличающийся от блока T , имея такую же цифровую подпись, настолько мала, что ею можно пренебречь. Действительно, пусть цифровая подпись блоков T и T одна и та же. Тогда подписи обоих блоков таковы

Возьмем для определенности T T , тогда выполняются такие равенства:

RT T (k0 ) k0 , RT T (k1 ) k1 , где k0 RT (k0 ),

Последнее условие значит, что прокручивание двух разных блоков данных одинаковое число раз оставляет их значения неизменными. Вероятность такого события чрезвычайно мала, и ее можно не принимать во внимание.

Таким способом только что рассмотренная модификация схемы Диф- фи—Хеллмана делает возможной подпись не одного бита, а целой битовой группы. Это дает возможность в несколько раз уменьшить размер подписи и ключей подписи/проверки отмеченной схемы.

Однако нужно понимать, что увеличение размера подписываемых битовых групп приводит к экспоненциальному увеличению объема необходимых вычислений, а следовательно, начиная с некоторого значения робота схемы становится неэффективной. Предел «умного размера» подписываемой группы составляет около 10 бит, а блоки большего размера одинаково необходимо подписывать «вразнобой».

614

Глава 8. Шифрование и дешифрование информации

615

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

групп блока, достаточно хранить значение хэшфункции этого массива. При этом алгоритм генерирования ключа подписи и алгоритм проверки подписи будут дополнены еще одним шагом - вычислением проверяющих комбинаций отдельных битовых групп.

Таким образом, проблема размера ключей и подписи решена, однако второго недостатка схемы - одноразовости ключей - не устранено, поскольку это невозможно в рамках подхода Диффи - Хеллмана.

Для практического использования такой схемы, рассчитанной на подпись N сообщений, отправителю необходимо хранить N ключей подписи, а получателю - N ключей проверки, что достаточно неудобно. Эту проблему можно решить так же, как была решена проблема ключей для множественных битовых групп - генерацией ключей подписи для всех N сообщений из одного мастерского ключа и свертыванием всех проверяющих комбинаций в одну контрольную комбинацию с помощью алгоритма вычисления хэшфункции.

Такой подход решил бы проблему размера сохраненных ключей, но привел бы к необходимости вместе с подписью каждого сообщения высылать отсутствующие N проверяющих комбинаций, необходимых для вычисления хеш-функции массива всех контрольных комбинаций отдельных сообщений. Понятно, что такой вариант не имеет преимущества по сравнению с выходным.

Упоминавшиеся уже авторы предложили механизм, который дает возможность значительно снизить остроту проблемы. Его основная идея — вычислять контрольную комбинацию (ключ проверки подписи) не как хешфункцию от линейного массива проверяющих комбинаций всех сообщений, а попарно — с помощью бинарного дерева. На каждом уровне проверяющая комбинация вычисляется как хеш-функция от конкатенации двух проверяющих комбинаций младшего уровня. Чем высший уровень комбинации, тем больше отдельных ключей проверки «учитывается» в ней.

Допустим, что наша схема рассчитана на 2L сообщений. Обозначим через Ci(l ) і-ю комбинацию l-го уровня. Если нумерацию комбинаций и уровней начинать с нуля, то выполняется такое условие: 0 i 2L l , а і-я проверяющая комбинация l-го уровня рассчитана на 2l сообщений с номерами от i 2l к (i 1) 2l 1 включительно. Комбинаций нижнего, нулевого, уровня будет

2L , а последнего, верхнего, L-го уровня — одна, которая и является контрольной комбинацией всех сообщений, на которые рассчитана схема.

На каждом уровне, начиная с первого, проверяющие комбинации рассчитываются по формуле

Ci(l 1) H (C2(li) || C2(li) 1 ) ,

616

Глава 8. Шифрование и дешифрование информации

где через A || B обозначен результат конкатенации двух блоков данных A и B, а через H ( X ) - процедура вычисления хэш-функции блока данных X .

При использовании отмеченного подхода вместе с подписью сообщения необходимо передать не как в исходном варианте, а только log2 N контроль-

ных комбинаций. Передаваться должны комбинации, которые отвечают смежным отраслям дерева на пути от конечной вершины, которая отвечает номеру использованной подписи, к корню.

Пример. Организация проверяющих комбинаций.

Организацию проверяющих комбинаций в виде двоичного дерева в схеме на восемь сообщений иллюстрирует рис. 8.22.

Рис. 8.22. Организация проверочных комбинаций в виде двоичного дерева

Так, при передаче сообщения № 5 (контрольная комбинация выделена рамкой) вместе с его подписью должна быть передана контрольная комбинация сообщения № 4 C4(0) , общая для сообщений № 6-7 C3(1) и общая для сооб-

щений № 0-3 C0(2) , все они выделены на рисунке другим фоном. При проверке подписи значение C5(0) будет вычислено из сообщения и его подписи, а

итоговую контрольную комбинацию, которая подлежит сравнению с эталонной, по формуле

Необходимость отправлять вместе с подписью сообщения дополнительную информацию, нужную для проверки подписи, в действительности не очень обременительная. Действительно, в системе на 1024 = 210 подписей вместе с сообщением и его подписью необходимо дополнительно передавать 10 контрольных комбинаций, а в системе на 1048576 = 220 подписей - всего 20 комбинаций. Однако в случае большого количества подписей, на которые рассчитана система, появляется другая проблема - хранение дополнительных ком-

617

ТЕОРЕТИЧЕСКИЕ ОСНОВЫ ЗАЩИТЫ ИНФОРМАЦИИ

бинаций, если они рассчитаны предварительно, или их генерирование в момент формирования подписи.

Дополнительные контрольные комбинации, которые передаются вместе с подписью и используются при его проверке, производятся при формировании ключа проверки за ключом подписи и могут сохраняться в системе и использоваться в момент формирования подписи или вычисляться заново в этот момент.

Первый подход допускает расходы дисковой памяти, поскольку необходимо хранить значения хэш-функции всех уровней, а второй нуждается в большом объеме вычислений в момент формирования подписи. Можно использовать и компромиссный подход - хранить все хэш-комбинации начиная

с некоторого уровня l , а комбинации меньшего уровня вычислять при формировании подписи.

В рассмотренной схеме подписи на 8 сообщений можно хранить все 14 контрольных комбинаций, используемых при проверке (всего их 15, но последняя верхняя не используется), тогда при проверке подписи их не придется вычислять заново. Можно хранить 6 комбинаций, начиная с уровня 1

C0(1) , C1(1) , C2(1) , C3(1) , C0(2) , C1(2) , тогда при проверке подписи сообщения 5

необходимо будет заново вычислить комбинацию C4(0) , а другие C0(2) , C3(1)

взять из таблицы и т.д. Отмеченный подход дает возможность достичь компромисс между быстродействием и требованиями к занятому количеству дискового пространства.

Отметим, что отказ от хранения комбинаций одного уровня дает возможность экономить память, но вычислительные расходы при этом растут почти вдвое, т.е. зависимость имеет экспоненциальный характер.

Функции хэширования. Функция хеширования может использоваться для выявления модификации сообщения. Т.е. она может служить криптографической контрольной суммой (ее называют также кодом выявления измене-

ний, или кодом аутентификации сообщения).

Хэш-функция H (функция хэширования; функция расстановки) — функция, которая используется для математического преобразования сообщения переменной длины M в блок данных фиксированной длины H (M )

(значение функции) и однозначно отображает произвольно выбранный открытый текст (аргумент функции).

Значение хэш-функции - множество значений целых чисел, которые принадлежат заданному диапазону и образованы в результате вычисления хеш-функции (рис. 8.23).

Теоретически возможно, что два разных сообщения могут быть сжаты в ту же свертку (так называемая ситуация «столкновения»). Поэтому для обеспечения стойкости функции хеширования необходимо предусмотреть способ избежать столкновения. Полностью столкновений избежать нельзя, поскольку в

618

Глава 8. Шифрование и дешифрование информации

общем случае количество возможных сообщений превышает количество возможных исходных значений функции хеширования. Однако вероятность столкновения должна быть низкой.

Сообщение

Хэш -функция

Хэш

0ВD667A

Рис. 8.23. Схематическое изображение хэш-функции

Для того чтобы функция хэширования могла быть должным образом использована в процессе аутентификации, она должна иметь такие свойства:

1)хэш-функцию H можно применить к аргументу любого размера;

2)исходное значение H является фиксированным;

3)значение H (x) достаточно просто вычислить для любого x. Скорость

вычисления хэш-функции должна быть такой, чтобы скорость генерирования и проверки ЭЦП при использовании хэш-функции была значительно больше, чем при использовании самого сообщения;

4)для любого y с вычислительной точки зрения невозможно найти x, такое что H (x) y ;

5)для любого фиксированного x с вычислительной точки зрения невозможно найти x x, где H x H x .

Свойство 5 гарантирует, что нельзя найти другое сообщение, которое дает ту же свертку. Это предотвращает подделку и также позволяет использовать H в качестве криптографической контрольной суммы для проверки целостности.

Свойство 4 эквивалентно потому, что H является односторонней функцией. Стойкость систем с открытыми ключами зависит от того, что открытое криптопреобразование является односторонней функцией-ловушкой. Напротив, функции хэширования явлюется односторонними функциями, которые не имеют ловушки.

Пример. Функция безопасного хеширования (SHA).

Алгоритм безопасного хеширования SHA (Secure Hash Algorithm), принятый как стандарт США 1992 г. предназначен для использования вместе с алгоритмом цифровой подписи, определенным в стандарте DSS. При введении сообщения M алгоритм производит 160-битовое исходное сообщение,

619