42
открытый ключ, используемый в схеме ЭЦП. Для решения этой задачи
предлагается расширение типов протоколов с нулевым разглашением,
основанное на толковании термина «нулевое разглашение», опирающегося
на статистическую эквивалентность набором случайных параметров,
генерируемых в ходе протокола, выполняемого с участием подлинного
доказывающего, и наборов случайных параметров, генерируемых в ходе
имитации процедуры аутентификации, выполняемой потенциальным
злоумышленником. При использовании такого толкования физического
смысла протоколов с нулевым разглашением становится возможным
построение значительно более разнообразных протоколов рассматриваемого
типа, в том числе и протоколов, которые могут быть преобразованы в схемы
ЭЦП, задаваемые стандартами ГОСТ Р.34.10-94, ГОСТ Р.34.10-2001, ГОСТ
Р.34.10-2012, СТБ 1176.2-99, ДСТУ 4145-2002, DSA, ECDSA и ECGDSA[9].
При этом для таких протоколов с нулевым разглашением может быть дано
формальное редукционное доказательство стойкости к подделке ответа на
случайный запрос, причем доказательство опирается на стандартное
предположение о стойкости используемой хэш-функции (такое же
предположение лежит в основе общепризнанного способа формального
доказательства стойкости схемы ЭЦП Шнорра, рассмотренного подробно в
работах [6,9]). Поскольку в схеме ЭЦП построенной путем ее вывода из
протокола с нулевым разглашением (т.е. путем преобразования последнего в
схему ЭЦП) значение одного из элементов подписи фактически является
ответом на случайный запрос, вычисляемый в зависимости от фиксатора и
значения документа. Подделка подписи означает подделку правильного
ответа в протоколе с нулевым разглашением, т.е. вычислительная сложность
подделки подписи имеет один порядок со сложностью ЗДЛ, использованной
для построения схемы ЭЦП.
3. Повышение безопасности криптосистем с открытым ключом
43
Для практического использования криптографических алгоритмов и
протоколов (криптсхем) важны различные аспекты их реализации: стойкость,
вычислительная сложность используемых процедур, аппаратная и
программная реализация и др. При этом улучшение параметров криптосхем
путем их модифицирования или построения новых алгоритмов и протоколов
имеет смысл только в случае, когда это выполняется в рамках выполнения
требования обеспечения заданного уровня стойкости. Понятие стойкости
характеризует важнейшее свойство криптографических схем выдерживать
всевозможные атаки и измеряется количеством определенных операций,
которые нужно выполнить для случая применения наиболее эффективной
известной атаки, чтобы взломать криптосхему. Принципиальным моментом
для оценки стойкости является вопрос о лучшем известном алгоритмевзлома
криптосхемы. Если для криптосхемы удается доказать формально ее
стойкость, то этот вопрос переносится на используемую для построения
криптосхемы вычислительно трудную задачу. Обычно для построения
криптосхемв качестве базовых трудных задач используются давно известные
и хорошо изученные вычислительно трудные задачи, для решения которых
маловероятно появление прорывных решений (имеющих полиномиальную
сложность), что означало бы взлом целого класса криптосхем, т.е. всех тех
криптосхем, в основу которых была положена данная задача.
Принципиальной проблемой оценки стойкости криптосхем является то, что
трудно доказать, что не существуют или хотя бы в ближайшем будущем не
будут найдены прорывные решения базовой трудной задачи, что дало бы
твердое обоснование оценки стойкости криптосхемы как вычислительной
сложности лучшего из известных в настоящее время алгоритмов указанной
задачи.
Когда говорят о том, что криптосхема является стойкой в смысле
безопасности ее использования для решения задач информационной
безопасности, то явно полагают, что значение стойкости превосходит
44
некоторое заданное достаточно большое значение, например, 280 (80-битовая
128 192 стойкость), 2128 (128-битовая стойкость) или 2192 операций (192-
битовая стойкость). В тоже время неявно предполагается, что вероятность
появления в обозримом будущем прорывных решений базовой трудной
задачи (для доказуемо стойких двухключевыхкриптосхем) или появления
прорывных атак (в общем случае) является пренебрежимо малой. Последнее
положение также является принципиально важным, когда говорится о
безопасности использования криптосхем для решения тех или иных задач
практики. Понятие стойкости отражает только одну из двух сторон понятия
безопасности криптосхем. Второй стороной является вероятность того, что в
обозримом будущем не будут получены прорывные результаты по
разработке алгоритмов решения используемых трудных
задач.Количественная оценка безопасности должна включать
количественные оценки стойкости и указанной вероятности, например,
количественную меру безопасности можно задать как отношение стойкости к
вероятности. Такая формула явно показывает, что повышение безопасности,
обеспечиваемого криптосхемами, может быть достигнуто как увеличением
размеров параметров криптосхемы, приводящим к росту значения стойкости,
так и уменьшением значения указанной вероятности.
Эта трактовка понятия безопасности лежит в основе одного из
направлений исследований в криптографии, связанном с построением
криптосхем, взлом которых требует одновременного решения двух
независимых трудных вычислительных задач. При построении таких
криптосхем полагается, что вычислительная сложность каждой из
используемых задач имеет значение, равное или превосходящее заданный
уровень стойкости, а достижение повышения значения безопасности
достигается за счет перемножения малых вероятностей, относящихся к
событиям появления прорывных решений двух используемых трудных задач.
В этом направлении наиболее часто использовано комбинировании задачи
45
факторизации (ЗФ) целых чисел специального вида и ЗДЛ по простому
модулю. Первоначально были разработаны протоколы ЭЦП данного типа
[10-13]. Последние результаты этого направления исследований относятся к
разработке общего подхода к построению криптосхем на основе трудности
ЗФ и ЗДЛ по простому модулю [14,15]. Общий подход позволяет разработать
алгоритмы и протоколы открытого согласования ключа, открытого
шифрования, коммутативного шифрования, ЭЦП и др. Суть подхода состоит
в использовании ЗДЛ по трудно разложимому модулю и основан на том, что
субъэкспоненциальное решение последней задачи требует решения ЗФ
составного модуля и решения ЗДЛ по модулю, равному каждому из простых
делителей модуля. При этом для случая реализации протоколов ЭЦП
достигается повышение производительности и уменьшение размера подписи
при заданном уровне стойкости.
Для эффективного выбора или построения системы информационной
защиты, а также поддержания ее функционирования следует выполнять
некоторые условия:
- выявить и рассмотреть все вероятные угрозы информации,
требующей защиты;
- отчетливо сформулировать политику безопасности не только вы-
числительной системы, но и организации в целом;
- проработать комплексность структуры защиты, содержащую все
необходимые и совместимые друг с другом механизмы информационной
защиты;
- отслеживать работу системы, проводя систематические проверки
ее функционирования.
Лишь соблюдение перечисленных условий позволит обеспечить опре-
деленный уровень информационной безопасности, которая так необходима
нам в век информационных технологий.
46
Возможность использования процедур формирования и проверки ЭЦП,
специфицируемых рядом официальных стандартов ЭЦП в протоколах слепой
и коллективной подписи показывает, что последние могут найти более
широкое применение по сравнению с их первоначальным предназначением.
Это показывает, что используемая в них схема ЭЦП предпочтительнее, чем
схема ЭЦП американских стандартов DSA и ECDSA, для которых указанное
расширение функциональности не может быть осуществлено.
Предложенный подход к формальному доказательству стойкости
стандартов ЭЦП является существенным вкладом в обоснование их
стойкости и ставит их в один ряд с доказуемо стойкими алгоритмами ЭЦП.
Рассмотренная концепция реализации процедуры ОШ как процедуры
криптографического преобразования вычислительно неотличимого от
вероятностного шифрования представляет интерес для построения
алгоритмов ОШ по открытому ключу, что, видимо, позволит решить
проблему обеспечения высокой скорости таких алгоритмов и расширить
области их потенциального применения.
Классификация криптографических систем строится на основе
следующих трех характеристик:
1) Число применяемых ключей.
2) Тип операций по преобразованию открытого текста в шифрованный.
3) Метод обработки открытого текста.
1) По числу применяемых ключей.
Различают:
1) Симметричные криптосистемы;
2) Асимметричные криптосистемы.
Если отправитель и получатель используют один и тот же ключ,
система шифрования называется симметричной, системой с одним ключом,
системой с секретным ключом, схемой традиционного шифрования.
(Например, DES, CAST, RC5, IDEA, Blowfish, классические шифры);
47
Если отправитель и получатель используют разные ключи, система
называется асимметричной, системой с двумя ключами, схемой шифрования
с открытым ключом. (RSA, Эль-Гамаля).
2) По типу операций по преобразованию открытого текста в
шифрованный.
Подстановочные шифры - шифрование основано на замещении
каждого элемента открытого текста (бита, буквы, группы битов или букв)
другим элементом. (Цезаря, Плейфейера, Хилла);
Перестановочные шифры – шифрование основано на изменении
порядка следования элементов открытого текста. (Лесенка, перестановка
столбцов);
Продукционные шифры – шифрование основано на комбинации
нескольких операций замены и перестановки. Продукционные шифры
применяются в большинстве реальных современных систем шифрования.
(DES).
3) По методу обработки открытого текста.
Блочные шифры – Блочными называются шифры, в которых
логической единицей шифрования является некоторый блок открытого
текста, после преобразования которого получается блок шифрованного
текста такой же длины. Например: DES, шифр Файстеля.
Поточные шифры – подразумевают шифрование всех элементов
открытого текста последовательно, одного за другим (бит за битом, байт за
байтом).
Примерами классических поточных шифров являются шифры
Виженера (с автоматическим выбором ключа) и Вернама.
Блочные шифры изучены гораздо лучше. Считается, что они обладают
более широкой областью применения, чем поточные. Большинство сетевых
приложений, в которых применяется схема традиционного шифрования,
используют блочные шифры.
48
Симметри
чные криптосистемы (также симметричное шифрование,
симметричные шифры) (англ. symmetric-key algorithm) — способ
шифрования, в котором для шифрования и расшифровывания применяется
один и тот же криптографический ключ. До изобретения схемы
асимметричного шифрования единственным существовавшим способом
являлось симметричное шифрование. Ключ алгоритма должен сохраняться в
секрете обеими сторонами. Алгоритм шифрования выбирается сторонами до
начала обмена сообщениями.
Криптографическая система с открытым ключом (или асимметричное
шифрование, асимметричный шифр) — система шифрования и/или
электронной подписи (ЭП), при которой открытый ключ передаётся по
открытому (то есть незащищённому, доступному для наблюдения) каналу и
используется для проверки ЭП и для шифрования сообщения. Для генерации
ЭП и для расшифровки сообщения используется закрытый ключ[1].
Криптографические системы с открытым ключом в настоящее время широко
применяются в различных сетевых протоколах, в частности, в протоколах
TLS и его предшественнике SSL (лежащих в основе HTTPS), в SSH. Также
используется в PGP, S/MIME.
Схема была предложена Тахером Эль-Гамалем в 1984г. Эль-Гамаль
разработал один из вариантов алгоритма Диффи-Хеллмана. Он
усовершенствовал систему Диффи-Хеллмана и получил два алгоритма,
которые использовались для шифрования и для обеспечения
аутентификации. В отличие от RSA алгоритм Эль-Гамаля не был
запатентован и, поэтому, стал более дешевой альтернативой, так как не
требовалась оплата взносов за лицензию. Считается, что алгоритм попадает
под действие патента Диффи-Хеллмана.
Безопасность схемы Эль-Гамаля обусловлена сложностью вычисления
дискретных логарифмов в конечном поле.
49
ГОСТ Р34.10-1994, принятый в 1994 году в Российской Федерации,
регламентировавший процедуры формирования и проверки электронной
цифровой подписи, был основан на схеме Эль-Гамаля. С 2001г. используется
новый ГОСТ Р 34.10-2001, использующий арифметику эллиптических
кривых, определенных над простыми полями Галуа. Существует большое
количество алгоритмов, основанных на схеме Эль-Гамаля: это алгоритмы
DSA, ECDSA, KCDSA, схема Шнорра.
Технология применения системы ЭЦП предполагает наличие сети
абонентов, посылающих друг другу подписанные электронные документы.
Для каждого абонента генерируется пара ключей: секретный и открытый.
Секретный ключ хранится абонентом в тайне и используется им для
формирования ЭЦП. Открытый ключ известен всем другим пользователям и
предназначен для проверки ЭЦП получателем подписанного электронного
документа. Иначе говоря, открытый ключ является необходимым
инструментом, позволяющим проверить подлинность электронного
документа и автора подписи. Открытый ключ не позволяет вычислить
секретный ключ.
RSA (аббревиатура от фамилий Rivest, Shamir и Adleman) —
криптографический алгоритм с открытым ключом, основывающийся на
вычислительной сложности задачи факторизации больших целых чисел.
IDEA (англ. International Data Encryption Algorithm, международный
алгоритм шифрования данных) — симметричный блочный алгоритм
шифрования данных, запатентованный швейцарской фирмой Ascom.
Известен тем, что применялся в пакете программ шифрования PGP. В ноябре
2000 года IDEA был представлен в качестве кандидата в проекте NESSIE в
рамках программы Европейской комиссии IST (англ. Information Societies
Technology, информационные общественные технологии).
Криптосистема RSA стала первой системой, пригодной и для
шифрования, и для цифровой подписи. Алгоритм используется в большом
50
числе криптографических приложений, включая PGP, S/MIME, TLS/SSL,
IPSEC/IKE и других.
Алгоритм, определяемый ГОСТ 28147-89, имеет длину ключа
шифрования 256 бит. Он шифрует информацию блоками по 64 бит (такие
алгоритмы называются блочными), которые затем разбиваются на два
субблока по 32 бит (N1 и N2). Субблок N1 обрабатывается определенным
образом, после чего его значение складывается со значением субблока N2
(сложение выполняется по модулю 2, т. е. применяется логическая операция
XOR - "исключающее или"), а затем субблоки меняются местами. Данное
преобразование выполняется определенное число раз ("раундов"): 16 или 32
в зависимости от режима работы алгоритма.
В отличие от алгоритма ГОСТ 28147-89, который долгое время
оставался секретным, американский стандарт шифрования AES, призванный
заменить DES, выбирался на открытом конкурсе, где все заинтересованные
организации и частные лица могли изучать и комментировать алгоритмы-
претенденты.
Часть асимметричных алгоритмов применяются для создания
цифровой подписи (ЦП). В данном случае ЦП является блок данных,
созданный при помощи отдельного секретного ключа. При этом благодаря
открытому ключу проверяется, что шифр был создан именно при помощи
этого секретного ключа. Алгоритм создания ЦП поддерживает
невозможность создания подписи без секретного ключа, которая по итогу
проверки оказывается корректной.
ЦП применяются для подтверждения того, что сообщение передано
точно от данного отправителя (в формате, что лишь отправитель имеет
секретный ключ). Также ЦП применяется для указания штампа времени
(timestamp) на бумагах: сторона, которой мы можем доверять, ставит подпись
со штампом времени при помощи секретного ключа и, по итогу, гарантирует,
что документ уже был создан в момент, указанный в штампе времени.
51
ЦП часто применяются для удостоверения (либо сертификации) того,
что документ относится к конкретному лицу. А делается это так: открытый
ключ и данные о том, чей он, подписываются доверительной стороной. А
доверять подписывающей стороне мы способны в рамках того, что ее ключ
подтвержден 3-ей стороной. По итогу получается доверительная «пирамида».
Конечно, отдельный ключ становится корнем иерархии (т.е. мы ему доверяем
не по факту того, что он был кем-то подписан, а просто потому что ему надо
доверять изначально). В централизованной структуре есть несколько
корневых ключей сети (к примеру, имеющие полномочия гос. компании, по-
другому названные сертификационными центрами). В разделённой
инфраструктуре нет обязательства иметь универсальные корневые ключи, и
все стороны могут доверяться набору корневых ключей (своему ключу или
ключам, подписанными этой стороной). Этот подход именуется как сети
доверия и применяется, к примеру, в PGP.
ЦП документа обычно реализована так: из документа создаётся
выборочный дайджест и к нему прибавляются данные о том, кто ставил
подпись, штамп времени и т.д. Итоговая строка в последствии шифруется
секретным ключом отправителя с применением конкретного алгоритма.
Итоговый зашифрованный набор символов и становится подписью. Также к
ней обычно дается открытый ключ отправителя. Получатель сам решает для
себя, доверяет ли он тому, что открытый ключ именно отправителя, т.е. того,
кому должен принадлежать (с использованием сети доверия или
изначального мнения), и затем открывает подпись при помощи ключа
доступа. Если подпись корректно открылась, а ее содержимое соответствует
документу, то послание становится подтвержденным.
Сейчас доступны часть методов создания и проверки ЦП. Самым
ходовым считается алгоритм RSA.
Крипто хэш-функции применяются для создания дайджеста сообщения
при разработке ЦП. Хэш-функции показывают сообщение, имеющее