И управления ключевой информацией

В этом разделе будут рассмотрены протоколы распределения ключевой информации между несколькими сторонами, используемые для этой цели криптографические методы и средства, а также механизмы управления ключевой информацией, содержащие процедуры хранения, использования и ее смены. При этом речь пойдет как о протоколах распределения ключевой информации между двумя сторонами с использованием третьей стороны и без использования таковой, так и о протоколах распределения ключей для конференц-связей. Далее рассказывается о проблемах управления ключами, рассматриваются вопросы обновления ключей в режиме online, процедуры хранения/восстановления ключей, их смена, а также вопросы управления сертификатами.

2.3.1. Протоколы распределения ключевой информации Общие сведения

Под распределением ключевой информации будем понимать процесс или протокол, с помощью которого знание секретного ключа разделяется между двумя или более сторонами для последующего использования его в криптографических механизмах.

В свою очередь распределение ключей можно разграничить на ключевой транспорт и соглашения о ключах.

Ключевой транспорт (может быть реализован в виде протокола или механизма) - способ распределения ключей, позволяющий стороне, создавшей или получившей ключ, передать его другой стороне безопасным способом.

Соглашение о ключах (может быть реализовано в виде протокола или механизма) - способ распределения ключей, позволяющий разделить знание секрета между двумя (или более) сторонами в виде значения функции от требуемой к распределению информации, и при этом ни одна из сторон не сможет предварительно вычислить результирующее значение.

Кроме непосредственно механизмов распределения ключей существуют ключевые транспорты и соглашения о ключах, реализующие различные формы их обновления.

Протоколы распределения ключей в ходе распределения ключевого материала также требуют аутентификации, которая должна гарантировать, что только проверенная сторона получит доступ к распределяемой ключевой

Протоколы распределения и управления ключевой информацией_125

информации. Существуют и другие схемы распределения ключей, требующие предварительного распределения некоторого ключевого материала. Такие системы называются схемами с предварительным распределением ключей.

Названная группа протоколов противоположна схемам динамического распределения ключей, которые в ходе выполнения протокола вырабатывают общие ключи для пары или группы пользователей. Другими словами, динамические схемы не требуют предварительной передачи какого-либо ключевого материала. Их также часто называют системами распределения сеансовых ключей.

По уровню обеспечиваемой в ходе работы безопасности различие между предварительным и динамическим распределением ключей заключается в том, что динамическое распределение является стойким к атакам с выборкой известных ключей. Общая классификация схем распределения ключей представлена в табл. 2.2.

Таблица 2.2. Обобщенная классификация схем распределения ключей

Распределение ключей

Ключевой Соглашения о ключах

транспорт

Симметричные механизмы Динамические Динамические Схемы

схемы схемы с предварительным

распределения распределения распределением

Асимметричные механизмы Динамические Динамические Схемы

схемы схемы с предварительным

распределения распределения распределением

Многие протоколы распределения ключей в ходе своей работы требуют наличия третьей (доверенной) стороны, которая обычно называется доверенная третья сторона, доверенный сервер, центр распределения ключей, аутентификационный сервер, центр трансляции ключей и т.д. Особенности различных схем организаций доверенной стороны будут рассмотрены ниже.

Среди характеристик, по которым можно классифицировать схемы распределения ключей, можно выделить следующие:

• основа аутентификации, которой может быть аутентификация пользователей, аутентификация ключей и подтверждение приема ключа;

• взаимность аутентификации. Каждый из приведенных выше типов аутентификации, используемых в схемах распределения ключей, в свою очередь может относиться к односторонней и взаимной;

62. 62.Обобщенная классификация схем распределения ключей

По уровню обеспечиваемой в ходе работы безопасности различие между предварительным и динамическим распределением ключей заключается в том, что динамическое распределение является стойким к атакам с выборкой известных ключей. Общая классификация схем распределения ключей представлена в табл. 2.2.

Таблица 2.2. Обобщенная классификация схем распределения ключей

Многие протоколы распределения ключей в ходе своей работы требуют наличия третьей (доверенной) стороны, которая обычно называется доверенная третья сторона, доверенный сервер, центр распределения ключей, аутентификационный сервер, центр трансляции ключей и т.д. Особенности различных схем организаций доверенной стороны будут рассмотрены ниже.

63.Ключевой транспорт, построенный на основе симметричного шифрования.

Существуют две основных модели построения схем распределения ключей между пользователями компьютерной сети [44]:

1. Схемы типа «точка-точка».

2. Централизованные схемы.

Распределение ключей между пользователями сети в любых моделях может быть осуществлено либо в виде ключевого транспорта, либо в виде соглашения о ключах.

Ключевой транспорт представляет собой способ распределения ключей, позволяющий стороне, создавшей или получившей ключ, передать его другой стороне безопасным способом.

Соглашение о ключах представляет собой способ распределения ключей, позволяющий разделить значение секрета между двумя и более сторонами в виде значения функции от требуемой к распределению информации, и при этом ни одна из сторон не сможет предварительно вычислить результирующее значение.

Рассмотрим примеры ключевого транспорта и соглашений о ключах, построенные на основе симметричных и асимметричных алгоритмов шифрования и реализованные в рамках схем «точка-точка» и централизованных схем.

В качестве примера ключевого транспорта, основанного на симметричном шифровании и действующего в рамках модели «точка-точка», приведем схему распределения ключей Шамира, которая позволяет распределить сеансовые ключи без предварительного распределения пользователями некоторой ключевой информации [25]. Данный ключевой транспорт, реализуемый в виде криптографического протокола, обеспечивает защиту от пассивного нарушителя, но не обеспечивает аутентификацию передаваемых сообщений.

64. Ключевой транспорт, построенный на основе симметричного шифрования и не использующий третью сторону.

Здесь рассматриваются ключевые транспорты, построенные на основе симметричных алгоритмов, которые во время работы не используют третью сторону и требуют наличия таковой

В качестве примера ключевого транспорта, основанного на симметричном шифровании и действующего в рамках модели «точка-точка», приведем схему распределения ключей Шамира, которая позволяет распределить сеансовые ключи без предварительного распределения пользователями некоторой ключевой информации [25]. Данный ключевой транспорт, реализуемый в виде криптографического протокола, обеспечивает защиту от пассивного нарушителя, но не обеспечивает аутентификацию передаваемых сообщений.

65.Ключевой транспорт, основанный на симметричном шифровании и использующий третью сторону

В качестве примера соглашения о ключах, основанного на симметричном шифровании и действующего в рамках централизованной модели, рассмотрим схему распределения ключей, предполагающую предварительное распределение некоторого ключевого материала. Такая схема распределения ключей характеризуется тем, что в процессе инициализации системы центр (доверенный сервер или специальная служба) создает и распределяет секретные данные, которые в дальнейшем могут быть использованы для генерации ключей каждой парой абонентов.

Пусть в обмене информацией участвуют пользователей . Центр выбирает для каждой пары пользователей отдельный секретный ключ и помещает эти ключи в специальную матрицу размера , диагональные элементы которой можно принять равными 0:

(2.7)

Далее каждому -му абоненту центр безопасным способом высылает группу из ключей, пронумерованных соответствующим способом и образующих -тую строку матрицы без диагонального элемента. Таким образом -тый абонент получает набор ключей вида

,

(2.8)

в котором ключ является ключом парной связи абонента с абонентом . Отметим, что такой способ распределения ключей обеспечивает совершенную безопасность в теоретико-информационном смысле, но практическое применение данного метода связано с необходимостью организационно-технического обеспечения хранения и использования носителей информации, на которых записаны данные ключи. Такими носителями могут выступать гибкие магнитные диски, смарт-карты, touch memory и т.д.

68. Управление ключевой информацией: Иерархия и время жизни ключей Управление открытыми ключами

В зависимости от практического использования ключи могут быть следующих типов:

- главные ключи - находятся на самом высоком уровне иерархии; их безопасность обеспечивается только надежным хранением на ключевых носителях. Обычно эти ключи используются для зашифрования ключей, находящихся на следующем уровне иерархии;

- ключи шифрования ключей - секретные ключи, служащие для зашифрования других ключей, на которых производится непосредственно шифрование данных. Используя эти ключи, можно организовать хранение ключей шифрования данных, например на жестком диске компьютера, или распеделить сеансовый ключ;

- ключи данных - служат непосредственно для защиты данных. Это могут быть как ключи генерации ЭЦП, так и ключи шифрования данных или выработки хэш-кода.

Используя на практике иерархическую структуру ключевой информации, можно оптимальным образом организовать хранение и применение ключей. Например, при использовании в качестве носителей ключевой информации touch memory, учитывая ограниченный объем внутренней памяти данного типа устройств, на нем можно хранить только главный ключ и/или ключи шифрования ключей, а ключи работы с данными могут быть расположены в зашифрованном виде на жестком диске. Кроме того, ключи могут быть классифицированы по кккриптопериоду. Криптопериод ключа - это время, в течение которого данный ключ используется легальным образом.

Период применимости (applicability-period) личного ключа ЦСК – это период, в

котором личный ключ ЦСК является действительным и может применяться для определенных

целей. Период применимости личного ключа равен периоду действительности его

сертификата.

Период минимальной пригодности (availability-period) личного ключа ЦСК – это

период, в котором ЦСК может выполнять операции сертификации этим актуальным личным

ключом; но по истечении этого периода применимости ЦСК может только обслуживать списки

отзыва и другие дополнительные службы, не связанные с выдачей новых сертификатов.

Требование 1 (действительный ключ сертификации): Каждая инстанция иерархии

сертификации должна быть способна

ключом подписи/сертификации.

Требование2(сертификаты«прямого»действия):

Инфраструктурасертификации должна быть сконструирована таким образом, чтобы при нормальных\штатных обстоятельствах не может действительная подпись на определенное времяпроверки оказаться недействительной, и наоборот. ЦСК не должен выдавать

сертификаты «обратного действия», т.е. когда начало действия сертификата

установлено на дату более раннюю, чем дата создания сертификата.

Требование 3 (надежность ключа сертификации): Срок жизни ключа ЦСК и его

сертификата должен быть криптографически обоснован стойкостью ключа, с учетом

возможной его компрометации в процессе эксплуатации, в том числе из-за возможных

недостатков и рисков в организационных мерах безопасности.

69. Сертификаты открытых ключей. Аннулирование сертификатов.

Механизмы контроля использования ключей.

Подтверждение подлинности ключей

Сертификат открытого ключа (сертификат ЭЦП, сертификат ключа подписи, сертификат ключа проверки электронной подписи (согласно ст. 2 Федерального Закона от 06.04.2011 «Об электронной подписи» № 63-ФЗ)) — цифровой или бумажный документ, подтверждающий соответствие между открытым ключом и информацией, идентифицирующей владельца ключа. Содержит информацию о владельце ключа, сведения об открытом ключе, его назначении и области применения, название центра сертификации и т. д.

Открытый ключ может быть использован для организации защищённого канала связи с владельцем двумя способами:

для проверки подписи владельца (аутентификация)

для шифрования посылаемых ему данных (конфиденциальность)

Существует две модели организации инфраструктуры сертификатов: централизованная (PKI) и децентрализованная (реализуемая на основе т. н. сетей доверия), получившая наибольшее распространение в сетях PGP.

Принцип работы(прочитать для ознакомления)

Сертификаты, как правило, используются для обмена зашифрованными данными в больших сетях. Криптосистема с открытым ключом решает проблему обмена секретными ключами между участниками безопасного обмена, однако не решает проблему доверия к открытым ключам. Предположим, что Алиса, желая получать зашифрованные сообщения, генерирует пару ключей, один из которых (открытый) она публикует каким-либо образом. Любой, кто желает отправить ей конфиденциальное сообщение, имеет возможность зашифровать его этим ключом, и быть уверенным, что только она (так как только она обладает соответствующим секретным ключом) сможет это сообщение прочесть. Однако описанная схема ничем не может помешать злоумышленнику Давиду создать пару ключей, и опубликовать свой открытый ключ, выдав его за ключ Алисы. В таком случае Давид сможет расшифровывать и читать, по крайней мере, ту часть сообщений, предназначенных Алисе, которые были по ошибке зашифрованы его открытым ключом.

Идея сертификата — это наличие третьей стороны, которой доверяют две другие стороны информационного обмена. Предполагается, что таких третьих сторон не много, и их открытые ключи всем известны каким-либо способом, например, хранятся в операционной системе или публикуются в журналах. Таким образом, подлог открытого ключа третьей стороны легко выявляется.

Если Алиса сформирует сертификат со своим публичным ключом, и этот сертификат будет подписан третьей стороной (например, Трентом), любой, доверяющий Тренту, сможет удостовериться в подлинности открытого ключа Алисы. В централизованной инфраструктуре в роли Трента выступает удостоверяющий центр. В сетях доверия Трент может быть любым пользователем, и следует ли доверять этому пользователю, удостоверившему ключ Алисы, решает сам отправитель сообщения.

Центр сертификации или Удостоверяющий центр (англ. Certificationauthority, CA) — это организация или подразделение организации, которая выпускает сертификаты ключей электронной цифровой подписи, это компонент глобальной службы каталогов, отвечающий за управление криптографическими ключами пользователей. Открытые ключи и другая информация о пользователях хранится удостоверяющими центрами в виде цифровых сертификатов.

Структура сертификата

уникальный регистрационный номер сертификата

даты и время начала и окончания срока действия сертификата

фамилия, имя и отчество владельца сертификата ключа подписи или псевдоним владельца

открытый ключ

наименование и реквизиты ЦС

наименование криптографического алгоритма

информацию об ограничении использования подписи

указание на страну выпуска сертификата

70. Теорема Кука, вычислительная сложность алгоритмов, сравнение задач по сложности, NP-полнота.

Эта теорема (S.A.Cook, 1971г.) – тот самый первый шаг, о котором говорилось выше: доказательство NP-полноты одной конкретной задачи.

Как вообще можно доказать сводимость всех NP-задач к данной задаче? Можно воспользоваться определением NP-задачи: для нее имеется НМТ, принимающая индивидуальные задачи за полиномиальное время. А каждую НМТ можно описать, закодировав ее правила перехода. Тогда любую NP-задачу можно сформулировать следующим образом. Дано описание НМТ для данной массовой задачи Z и дано описание индивидуальной задачи z Î Z в виде записи с длиной l на ленте этой НМТ. Верно ли, что существует допустимое вычисление этой НМТ при этом исходном состоянии ленты, которое не более, чем за P(l) тактов приводит в состояние qy? Заметьте, что специфика конкретной задачи Z здесь исчезла, или вернее – она закодирована в правилах НМТ. Назовем такую «универсальную» NP-задачу Z0.

Теперь нам нужно сделать следующее. Нужно выбрать некоторую задачу распознавания Z1 и предложить алгоритм, который за полиномиальное (относительно l) время будет переводить описание индивидуальной задачи z0 Î Z0 в описание эквивалентной индивидуальной задачи z1 Î Z1. Тогда ясно, что задача Z1 является NP-трудной, поскольку мы фактически умеем полиномиально сводить к ней любую NP-задачу.

Рассмотрим задачу о выполнимости КНФ.

Даны переменные X = {xi, i=1...N} и конъюнктивная нормальная форма (КНФ) G(X). Существует ли такой план X, для которого G(X) = 1?

Теорема Кука. Задача о выполнимости КНФ NP-полна.

Приведем эскиз доказательства (т.е. не будем добиваться полной строгости рассуждений, но покажем их общий ход).

Пусть n – число состояний НМТ, m – число букв ленточного алфавита, l – длина описания некоторой индивидуальной NP-задачи z Î Z на ленте НМТ, P(l) – полином из определения NP-задачи (т.е. это верхняя оценка числа тактов, за которые НМТ принимает любую индивидуальную задачу z Î Z, имеющую длину l и ответ «Да».) Введем три набора булевых переменных, которые в совокупности описывают функционирование заданной НМТ.

1) {Qik, 0£i£P(l), 0£k£n}; Qik = 1, если на такте i НМТ находится в состоянии k.

2) {Hij, 0£i£P(l), -P(l)£j£P(l)}; Hij = 1, если на такте i текущей ячейкой ленты является ячейка j.

3) {Aijr, 0£i£P(l), -P(l)£j£P(l), 0£r£m}; Aijr = 1, если на такте i в ячейке j записана буква ar.

Любой набор значений переменных Qik, Hij, Aijr описывает некоторое вычисление НМТ, т.е. одну ветвь дерева вычислений НМТ, включая ее начальное состояние и все переходы. Но не любой набор значений описывает корректное поведение машины, некоторые наборы могут описывать такую чушь, как одновременное пребывание в нескольких состояниях, несколько букв в одной ячейке, неправильные переходы и т.п. Чтобы выделить допустимые вычисления НМТ, следует наложить еще некоторые условия на значения переменных. Таковые условия можно объединить в 6 групп. Опишем их сначала словесно.

1. На любом такте работы НМТ находится ровно в одном состоянии.

2. На любом такте работы головка НМТ находится ровно в одной позиции ленты.

3. На любом такте работы каждая ячейка ленты содержит ровно одну букву ленточного алфавита.

4. На такте i = 0 НМТ находится в состоянии q0, головка на ячейке 1, на ленте записано описание решаемой индивидуальной задачи.

5. Не позднее, чем через P(l) тактов НМТ приходит в состояние qy (принимает задачу).

6. Все изменения конфигурации НМТ между тактами i и i+1 происходят в соответствии с правилами перехода данной НМТ.

Такое подробное изложение довольно очевидных вещей нужно для того, чтобы от словесных условий перейти к формально заданным.

Для формализации условий корректности вполне подходит аппарат КНФ. Выпишем соответствующие КНФ.

1. (Qi0 Ú Qi1 Ú... Ú Qin) & (~Qi0 Ú ~Qi1) & (~Qi0 Ú ~Qi2) &... &

(~Qi,n-1 Ú ~Qi,n), 0£i£P(l) (т.е. хотя бы одна Qij истинна, но не две одновременно!).

2. Аналогичная конструкция для переменных Hij.

3. Для Aijr так же по смыслу, только индексов больше: (Aij0 Ú Aij1 Ú... Ú Aijm) & (~Aij0 Ú ~Aij1) &... & (~Ai,j,m-1 Ú ~Ai,j,m), 0£i£P(l), -P(l)£j£P(l).

4. Q00 & H01 & A0,1,v1 & A0,1,v2 &... & A0,l,vl & A0,l+1,0.

Здесь av1, av2,... avl - входное слово на ленте (описание решаемой задачи)

5. QP(l),1 (полагая, что принимающее состояние qy пронумеровано как q1).

6. Это условие следует разбить на два:

6.1. Если на такте i головка не находится в позиции j, то буква в этой ячейке не изменится при переходе к такту i+1.

~Aijr Ú Hij Ú Ai+1,j,r, 0£i£P(l), -P(l)£j£P(l), 0£r£m.

Эта дизъюнкция кажется несколько загадочной, однако заметим, что ее отрицание означало бы следующее: в ячейке j была буква ar, головки там не было, но буква изменилась! Ясно, что этого не может быть, поэтому записанная дизъюнкция истинна.

6.2. Если на такте i НМТ была в состоянии qk, головка находилась в позиции j и там была записана буква ar, то на такте i+1 НМТ должна оказаться в одной из тех конфигураций (q'k, j', a'r), которые получаются применением одного из правил перехода этой НМТ с подходящей левой частью:

~Qik Ú ~Hij Ú ~Aijr Ú (Hi+1,j'Qi+1,k'Ai+1,j,r' Ú Hi+1,j''Qi+1,k''Ai+1,j,r'' Ú …)

Здесь 0£i£P(l), -P(l)£j£P(l), 0£k£n, 0£r£m.

Индексы с разным числом штрихов относятся к правым частям различных правил перехода с одной и той же левой частью. Выражение в скобках не находится в конъюнктивной нормальной форме. В ходе приведения этого выражения к КНФ его длина может сильно возрасти, однако можно показать, что длина выражения остается ограниченной некоторым полиномом от l.

Только в условии 6.2 фигурируют правила перехода конкретной НМТ.

Наконец, соединим все выписанные выражения из всех 6 групп с помощью операций конъюнкции. Результатом будет КНФ G(Q, H, A), зависящая как от рассматриваемой массовой задачи Z, так и от ее индивидуального представителя z.

Предположим, эта КНФ выполнима, т.е. существует набор Qik, Hij, Aijr, выполняющий все 6 условий. Но по смыслу условий это означает, что существует принимающее вычисление НМТ, т.е. исходная задача распознавания z Î Z имеет ответ «Да». И наоборот, если существует принимающее вычисление, то его ход можно закодировать набором переменных Qik, Hij, Aijr, которые по построению будут выполнять КНФ G(Q, H, A). Тем самым мы доказали эквивалентность задачи z и задачи о выполнимости КНФ G(Q, H, A). Таким образом, задача Z была сведена к задачи о выполнимости (сокращенно – задаче ВЫП). Было ли это сведение полиномиальным по времени относительно l? Да, ибо все сведение задачи заключалось просто в выписывании логических выражений, длина и количество которых ограничены полиномом от l.

Поскольку Z – произвольная задача из NP, то доказана полиномиальная сводимость любой NP-задачи к задаче ВЫП. В то же время задача ВЫП, очевидно, проверяема за полиномиальное время (на самом деле даже за линейное: для проверки нужно просто подставить значения переменных в КНФ и убедиться, что все элементарные дизъюнкции истинны), а потому эта задача принадлежит NP. Значит, задача ВЫП является NP-полной, что и требовалось доказать.

71. Вероятностное шифрование Вероятностное шифрование на основе RSA-функций.

Вероятностное шифрование

Одной из разновидностей криптосистем с открытым ключом является вероятностное шифрование, разработанное Шафи Гольвассером и Сильвио Минелли. Его суть состоит в том, чтобы алгоритм шифрования Е подчинить вероятностным моделям. В чем же преимущества такого подхода? Для примера, в системе RSA не «маскируются» 0 и 1. Так вот, эту проблему успешно решают вероятностные алгоритмы, поскольку они ставят в соответствие открытому тексту М не просто криптотекст С, а некоторый элемент из множества криптотекстов СМ. При этом каждый элемент этого множества выбирается с некоторой вероятностью. Другими словами, для любого открытого текста М результат работы алгоритма Е будет случайной величиной. Может показаться, что в этом случае дешифровать информацию будет невозможно. Спешу обрадовать вас, это совсем не так. Для того чтобы сделать возможной дешифровку, нужно, чтобы для разных открытых текстов М1 и М2 множества СМ1 и СМ2 не пересекались. Также хочется сказать, что вероятностные алгоритмы шифрования являются более надежными, нежели детерминированные, которые описаны выше. Ну а теперь приступим к рассмотрению некоторых вероятностных криптосистем.

Вероятностное шифрование на основе RSA-функций

Генерирование ключей проводится так же, как и в криптосистеме RSA, т. е. открытым ключом будет пара чисел е и n, а тайным — число d.

Перед тем, как приступить к процессу шифрования, зашифровываемый текст нужно представить в двоичном виде. Это можно сделать аналогично тому, как это делается в криптосистеме Рабина, только вместо представлений символов в десятичной системе исчисления в данном случае нужно воспользоваться двоичной системой исчисления. Итак, двоичное сообщение М=m1m2…mk, где mi = {0, 1}, переводится в криптотекст С=с1с2…сk с помощью следующей процедуры:

• если mi = 0, то выбирается случайное четное число хi<n; если же mi = 1, то выбирается случайное нечетное число хi<n;

• считаем сi = (xi^e) mod n.

Полученные сi и будут составлять криптотекст.

Процесс дешифровки будет выглядеть так же просто. Итак, выведение битов открытого текста из элементов криптотекста производится по следующему правилу: mi = 0, если (сi^d) mod n будет четным числом; mi = 1, если (сi^d) mod n будет нечетным числом.

Надежность этой криптосистемы базируется на надежности системы RSA.

72. Гомофонические шифры

73. Шифры с простым вероятностным механизмом Преимущества вероятностной шифрации.

74. Вероятностные механизмы в двухключевых шифрах.

Поиск по сайту: