Требования к практически недешифруемым системам шифрования

В криптографии с секретным ключом обычно рассматривают следующие криптоатаки.

Атака на основе шифртекста

Атака на основе известного открытого текста

Атака на основе выбранного открытого текста

Требования:

1. Число возможных действующих ключей должно быть непереборно велико.

Это требование вытекает непосредственно из существования тривиального переборного способа криптоанализа. Непереборность ключевых данных является наиболее легко выполнимым требованием. Действительно, если, например, ключ устанавливается на двух коммутаторах 32´32 то полное число возможных ключей оказывается равным /32!/ = 6,92 ´10⁷⁰.

Если каждую секунду опробовать 10⁶ ключей (фактически нужно не только изменять ключи, но и проверять на каждом из них осмыслен­ность дешифруемого сообщения), то перебор всех ключей составит - приблизительно 2,19´10⁵⁷ лет, а среднее время перебора будет в 2 раза меньше. Очевидно, что даже увеличив быстродействие на десять порядков, получим необозримо большое время перебора. Если ключ имеет длину 256 бит, то общее число ключей равно 2²⁵⁶ = 1,16´10⁷⁷, а полное время перебора составит, при опробовании 10⁶ ключей в секунду, 3,67 * 10⁶³ лет. Прогресс в области повышения быстродействия ЭВМ например на 3 порядка, то есть переход к опробованию 10⁹ ключей в секунду, может быть скомпенсирован добавлением 10 бит ключа.

Ясно также, что задействование для криптоанализа вместо одной ЭВМ например 10⁹ комплектов, что значительно превышает число всех имеющихся на земле вычислительных машин, не повлияет на общий вывод о непереборности ключевых данных.

Помимо понятий об относительной сложности выполнения большого числа операций существуют и абсолютные пределы. Термодинамика устанавливает предел числа любых элементарных вычислений, равный 10⁷⁰ поскольку для выполнения большего числа операций не хватит энергии, заключенной во всей солнечной системе, а число бит памяти огра­ничивается величиной 10⁶⁰ - число молекул солнечной системы.

2. Статистика сообщений должна быть в значительной мере исключена из статистики криптограммы.

Поясним на простом примере как неудовлетворение этого требования может позволить просто дешифровать сообщение. Пусть используется шифр простои замены, который имеет для русского алфавита 32! = 2,63´10³⁵ возможных ключей. Однако, если вычислить частоты появле­ния различных букв в криптограмме и сопоставить их с таблицей вероятностей букв в русском языке, то можно по их совпадению определить каким буквам сообщения соответствуют буквы криптограммы, то есть произвести дешифрование криптограммы за короткое время без знания ключа.

Второе условие выполняется, как было отмечено ранее, при равновероятности и взаимонезависимости всех элементов шифрующей гаммы, однако реализовать его в точности можно только в ТНДШ. Поэтому в ПНДШ стремятся выполнить это условие хотя бы приблизительно. Например, обеспечивая примерно равную вероятность элементов в криптограмме и наличие сильной зависимости лишь в наборах элементов большой размерности.

3. Практическая недешифруемость системы шифрования должна сохраняться и в том случае, когда известны некоторые части передававшегося открытого сообщения, соответствующие принятой криптограмме.

В частности, при использовании метода импульсного гаммирования это требование сводится к невозможности предсказания последующей гаммы по известному отрезку предыдущей, при неизвестном ключе. Отказ от выполнения этого требования может привести к значительному ослаблению криптостойкости. Не следует также считать малореальной ту ситуацию, когда про­тивнику известна часть открытого сообщения. Действительно, во-пер­вых, он может использовать метод "вероятных слов", т.е. предположить, что в открытом тексте с большой вероятностью использовались слова, характерные для данного типа сообщений /например, в военной связи - "наступление", "перегруппировка", "приказ", "подразделение" и т.п./. Во-вторых, в режиме покоя, когда не передается никакой полез­ной информации, засекречиваются заранее известные служебные ком­бинации. Наконец, в-третьих, иногда имеется возможность навязать противнику для передачи по его засекреченным каналам свое заранее подготовленное сообщение.

Необходимость выполнения второго и особенно третьего требова­ния приводит к существенным изменениям в структуре шифратора.

Перечислим ряд требований, которые не относятся непосредс­твенно к определению ПНДШ, однако только при их удовлетворении аппаратура шифрования сможет в современном представлении на­зываться аппаратурой гарантированной стойкости.

4. Исключение "чтения назад".

Сущность этого требования состоит в том, что при захвате действующего комплекта аппаратуры должна быть исключена возмож­ность дешифрования криптограмм, которые были перехвачены до момен­та захвата аппаратуры но при условии, что в течении этого времени не изменялся действующий ключ.

Заметим, что речь идет не только об организационных мерах, а прежде всего о криптографической защи­те от "чтения назад". Поэтому данное требование исключает допустимость длительного хранения в любом виде /ключевые блокноты, движки коммутатора, запоминающие устройс­тва /введенных ключевых данных. Необходимо считать, что противник будет в состоянии не только исключить, например, автоматический сброс коммутаторов при попытке их извлечения, но и пытаться вычис­лить действующий ключ на основе анализа и обработки известных те­кущих состояний любых элементов шифратора.

Исключение "чтения назад" может позволить значительно увели­чить срок действия ключевых данных, поскольку не надо будет опасаться, что компрометация аппаратуры в конце длительного ключевого сеанса приведет к дешифрованию всей предшествующей информации.

1. Обеспечение специальных требований.

Под специальными требованиями к оборудованию и монтажу аппа­ратуры шифрования понимаются такие требования, которые исклю­чают утечку открытой информации по всевозможным побочным кана­лам. К побочным каналам, прежде всего, относится наводка на кабели /в том числе цепи электропитания, выходящие за пределы контролиру­емой зоны/, а также электромагнитные излучения в окружающую среду.

Удовлетворение специальных требований не относится непосредственно к криптостойкости, однако нарушение их может привести к снижению класса стойкости аппаратуры и зачастую требует значи­тельного увеличения веса и габаритов аппаратуры из-за необходи­мости экранировки, установки фильтров в цепях питания и линейных цепях.

Поиск по сайту: