Современная прикладная криптография (стр. 22 )

2. Пользователь B вычисляет и посылает пользователю A. На этом этапе злоумышленник может попытаться найти как .

3. Наконец, пользователь A вычисляет (по теореме Ферма) и посылает пользователю .

4. Пользователь B находит секретную информацию M с помощью возведения . Заметим что, получив сообщение M пользователь B также может попытаться найти секретный ключ из , но это для него вычислительно трудная задача. Аналогично A не может найти .

Если канал связи не обладает приведенными выше свойствами, обеспечивающими подлинность передаваемых сообщений, то злоумышленник G может выдать себя за пользователя B и послать вместо сообщение и определить далее сообщение M из сообщения .

Распределение ключей с помощью криптосистем с открытым ключом кажется несколько простым в силу возможности использования незащищенных каналов и отсутствия необходимости в секретности при хранении и передаче открытых ключей и пользователей A и B. Но распределение открытых ключей также требует подтверждения их подлинности (аутентификации). Для этого также может использоваться центр доверия, где пользователи регистрируют свои открытые ключи, но сам центр при этом не становится активным участником протокола, и нагрузка на него невысока.

Протокол обмена сеансовых ключей между A и B может быть следующим.

1. Пользователь B получает от центра доверия или непосредственно от пользователя B его открытый ключ , генерирует сеансовый ключ , зашифровывает его с использованием , и посылает по открытому каналу пользователю B.

2. Пользователь B расшифровывает полученное от а сообщение с помощью своего секретного ключа и получает сеансовый ключ .

Ключ может быть ключом для симметричной криптосистемы, скорость работы которой выше, чем у криптосистем с открытым ключом (гибридные системы).

В этом протоколе открытый ключ должен быть защищен от подмены, иначе злоумышленник может заменить его на свой ключ , и пользователь а передает сеансовый ключ в сообщении ему (man-in-the-middle attack). В работе [114] предложен протокол, не позволяющий противнику, контролирующему открытый канал между A и B, получить доступ к ключу .

1.Пользователи A и B обмениваются своими открытыми ключами и

2. Пользователь а зашифровывает вое сообщение на открытом ключе , . Посылает половину зашифрованного сообщения (1) пользователю B.

3. Пользователь B зашифровывает свое сообщение на ключе и посылает половину (1) пользователю а.

4. A посылает другую половину (2) пользователю B.

5. Пользователь B расшифровывает обе части (1) и (2) на своем секретном ключе . В случае получения осмысленного значения он посылает другую половину своего зашифрованного сообщения (2) пользователю A.

6. а расшифровывает обе части (1) и (2) на своем секретном ключе .

Пользователи A и B не могут прочитать направленные им сообщения соответственно до шага 5 и 6. Злоумышленник может подставить свои открытые ключи на шаге I. Но теперь, получив половину сообщения (1) на шаге 2, он не может в силу этого получить с помощью своего секретного ключа и перешифровать его с помощью открытого ключа . Он вынужден создавать новое сообщение , шифровать его с помощью и посылать половину его B. Аналогично обстоит для противника дело с половиной сообщения от B. Наконец, он получает вторые половины реальных сообщений на шаге 4 и 5, но это слишком поздно, чтобы заменить новые сообщения на те, которые он желает.

Ранее был рассмотрен протокол ключевого обмена Диффи и Хеллмана, требующий также подтверждения подлинности передаваемых сообщений. Для него также справедливо все сказанное выше по поводу возможной подмены злоумышленником этих сообщений и противодействия этому [114].

В целом ряде работ [47,48] содержатся протоколы обмена ключами с подтверждением подлинности отправителя.

2.10. Криптографические хэш-функции. Аутентификация.

Термин «хэш-функция» (или функция хэширования) возник в теории сложности вычислений, где он обозначал функцию, которая сжимает строку чисел произвольного размера в строку чисел фиксированного размера. Это понятие использовалось в алгоритмах поиска данных по значениям хэш-функции от них. Рассмотрим это понятие применительно к криптографии.

Криптографические хэш-функции подразделяются на два класса: с ключом и без ключа. Значение хэш-функции с ключом может вычислить лишь тот, кто знает некоторый секретный параметр - ключ. Часто в литературе [102] они называются кодами аутентификации сообщений (MAC - Message Authentication Code), видимо, по широко известному примеру такой функции, описанному в стандарте FIPS PUB 113-1985[39]. Российским аналогом этого американского стандарта может служить режим имитовставки в стандарте ГОСТ 28147-89.

Хэш-функцией с ключом (зависящей от ключа) называется функция, имеющая следующие свойства.

1. Описание функции H(k, x) должно быть открыто, а секретная информация должна содержаться только в выборе ключа k (правило Керкхоффса).

2. Аргумент х функции H(k, x) может быть строкой чисел произвольной длины, а значение функции должно быть строкой чисел фиксированной длины.

3. При любых данных k и х вычисление H(k, x) должно быть быстрым (за полиномиальное время).

4. По любому данному х должно быть трудно угадать значение H(k, x) с вероятностью большей, чем 1/2:^n, где n - число бит в выходной строке. Должно быть трудно определить ключ k даже по большому числу известных пар при выбранных криптоаналитиком входах (adaptive chosen text attack) или вычислить по этой информации H(k, x') для любого .