Современная прикладная криптография (стр. 21 )

В [115] показано, что схема Эль Гамаля допускает возможность выработки ложных сообщений и подписей к ним, удовлетворяющих соотношению (Existential forgery), но получаемые при этом сообщения являются неосмысленными. Показано, что если злоумышленник имеет истинную тройку, тo он может получить подпись () из соотношений,

,

к сообщению вида

где а, B, C выбираются произвольно, но так, чтобы существовал обратный эксперимент к (). Правильные подписи могут быть получены и без знания истинных данных , что следует при а = 0. В этом случае имеют вид

,, .

Желание устранить способ подделки приводит к тому, что схема Эль Гамаля используется только с функцией хэширования открытого сообщения.

Представление сообщения M через числа r и s подписи неоднозначно. Например [82], при р=7, k=5, x=5 и M=3 сравнению удовлетворяют пары вида (r, s) вида (2.1) и (1.2). Число возможных подписей (r, s) равно р2, а число возможных сообщений М только р. Таким образом, каждое сообщение имеет много подписей, но любая подпись подписывает только одно сообщение.

2 9. Управление ключами

Управление ключами (key management) представляет собой процесс, посредством которого ключевой материал, используемый в симметричных или асимметричных криптосистемах, предоставляется в распоряжение пользователей и подвергается обработке определенными процедурами безопасности, вплоть до его уничтожения. Управление ключами связано со следующими процедурами:

- генерация ключей (key generation);

-  распределение ключей (key distribution);

- хранение ключей (key storage);

- уничтожение ключей (key deiition);

- регистрация пользователей (user registration).

Рассмотрим последовательно некоторые из них.

Генерация. Стойкость криптографических алгоритмов, описание которых, согласно принципу Керкхоффcа может быть известно и злоумышленнику, основывается на безопасности ключей. Поэтому, как подчеркивается в [85], если вы используете слабый алгоритм для генерации ключей, то и вся система становится не безопасной. Противнику достаточно анализировать не саму криптосистему, а алгоритм генерации ключей.

Первое, от чего стоит предостеречь, это от сокращения возможных значений ключей, путем выбора в качестве них, например, осмоленных, легко запоминающихся слов и выражений, сокращения алфавита знаков ключей и т. д. Это приводит к возможности полного перебора ключей с помощью современной вычислительной техники, производительность которой постоянно растет (См. www. top500.org ). Конечно, все зависит от модели предполагаемого злоумышленника и необходимого уровня стойкости системы. Можно использовать метод преобразования (key crunching) легко запоминающихся фраз в псевдослучайный ключ с помощью каких-нибудь процедур (хэш-функций).

Хорошие ключи - это случайные равновероятные строки в некотором алфавите, поэтому для их получения используются различные генераторы случайных и псевдослучайных последовательностей. Это целая тема в криптографии, требующая отдельного рассмотрения [23,40]. В качестве примера можно привести метод генерации ключей, содержащийся в американском стандарте ANSI X.9.17.

Если обозначить через преобразование зашифрования блока открытого текста M на ключе k (в стандарте, то генерация ключей определяется по следующему правилу

, i = 0, 1,…,

, i = 0, 1,…,

где - начальный секретный вектор, а - время выработки i-го ключа в двоичном представлении.

Изложенный способ генерации ключей подходит для симметричных криптосистем. Генерация ключей асимметричных криптосистем сложнее, так как они должны удовлетворять ряду дополнительных требований.

Следует также учитывать, что некоторые криптоалгоритмы могут иметь «слабые» ключи, которые менее безопасны, чем другие. Например, алгоритм des имеет 16 таких ключей. Поэтому нужно при генерации ключей предусмотреть контроль за появлением слабых ключей.

Распределение ключей. Это центральная проблема при управлении ключами.

В случае симметричных криптосистем эта проблема решается следующими способами. Наиболее известным способом является создание секретного канала передачи ключей удаленным пользователям с помощью курьерской службы. Недостатками такого способа являются его высокая цена, невысокая скорость. Особенно это проявляется при большом числе пользователей. Например, число различных парных ключей для секретной связи n пользователей равно N(N-1)/2. К тому же передачу секретной информации с помощью курьера трудно назвать полностью безопасной. Всегда остаются сомнения, не были ли ключи украдены (списаны) или подменены во время доставки. Можно использовать при этом некоторые аппаратные средства для исключения доступа курьера к данным.

Используется иногда способ, когда ключ разбивается на несколько частей (или образуется из нескольких частей), которые доставляются пользователям по различным каналам: курьером, по телефону, по почте и другим образом. Противнику для получения ключа необходимо контролировать все эти каналы.

Существует целый ряд способов распределения ключей, использующих центр(ы) доверия (или центр распределения ключей - ЦРК). Это дает возможность сократить число необходимых ключей, так как не каждому из пользователей сети надо секретно взаимодействовать с каждым, что приводит к необходимости установления секретной связи между каждым пользователем и центром. Однако центр доверия становится основной мишенью для злоумышленника, так как имеет доступ ко всем ключам пользователей системы. Иногда на практике трудно найти третью, незаинтересованную сторону, пользующуюся доверием всех пользователей. Недостатком включения центров доверия является также то, что возникают колоссальные нагрузки на эти центры по генерации ключей и взаимодействию со многими пользователями одновременно, что снижает надежность и оперативность секретной связи.

Приведем пример протокола распределения ключей с использованием симметричной криптосистемы и центра распределения ключей из работы [56].

1. ЦРК вырабатывает и передает по защищенному каналу долговременные ключи каждому пользователю системы для связи с ЦРК.

2. Когда пользователь а желает установить секретную связь с пользователем B, он посылает запрос в ЦРК с требованием секретного сеансового ключа для связи с пользователем B.

3. ЦРК вырабатывает сеансовый ключ , зашифровывает его два раза на долговременных ключах и вместе с идентифицирующей пользователей информацией и случайно выбранными добавками, чтобы исключить совпадения обоих открытых текстов и рассылает соответствующие шифртексты пользователям A и B.

4. Пользователи A и B расшифровывают поступившие шифртексты и получают сеансовый ключ.

Для полноты приведем трехэтапный протокол Шамира с коммутативным преобразованием зашифрования, для которого

, при любом открытом тексте M.

При этом предполагается, что канал связи не позволяет осуществить злоумышленнику имитацию или подмену сообщения. В качестве шифрсистемы для реализации этого протокола Месси (Massey), и независимо Омура (Omura d.), предложил систему, где преобразование зашифрования и расшифрования имело вид

,

где p - простое число, e и d – секретные ключи зашифрования и расшифрования, положительные целые числа, такие, что , НОД(e, p-1)=1, .

Итак, если пользователь A желает послать секретную информацию M (ключ или открытое сообщение) пользователю B, то необходимо сделать следующее:

1. Пользователь A посылает пользователю B сообщение.

Это сообщение ничего не дает для B, так как он не знает ключ расшифрования пользователя A. Для нахождения злоумышленник, наблюдающий должен в лучшем для него случае определить , решая задачу нахождения дискретного логарифма в предположении, что ему известен открытый текст M. Отсюда дополнительные требования к числу p-1 , оно, например, должно содержать большой простой делитель.