О современной криптографии

В. М. Сидельников,
д. ф.-м. н., профессор, академик Академии криптографии РФ,
зав. лабораторией МГУ по математическим проблемам криптографии

Криптография (cryptography) -- наука о способах преобразования (шифрования) информации с целью защиты ее от незаконного или нежелательного использования. Одним из видов такого преобразования является шифрование информации, которое призвано обеспечивать практическую невозможность ее прочтения или изменения незаконными пользователями. Кроме того, шифрование должно также обеспечивать возможность легкого получения исходной информации из зашифрованной легитимными пользователями, которым доступен ключ алгоритма расшифрования. Следует сказать, что в последние годы круг задач криптографии существенно расширился. Некоторые из новых направлений будут рассмотрены ниже.

Обычно предполагается, что зашифрованная информация передается по общедоступному каналу связи так, что все пользователи (законные и незаконные) имеют к ней свободный доступ.

В прикладной криптографии слова "практическая невозможность вскрытия (взламывания) шифра" означают, что незаконный пользователь будет вынужден привлекать для проведения необходимого объема вычислений или других работ по вскрытию шифра неприемлемые для него ресурсы (оборудование, время, пространство, энергию, деньги и т. п.). Обсуждение проблем соотношения цены информации и приемлемости затрат для ее получения выходит за пределы данной статьи.

В математической или теоретической криптографии стремятся показать, что задача взламывания шифра является задачей со строго доказуемыми свойствами, в частности, ее решение имеет определенную "сложность" в рамках той или иной математической модели, например, в рамках теоретико-информационного или теоретико-сложностного подхода.

Мы далее рассматриваем только математические преобразования информации, представленной в дискретном виде, т. е. в виде последовательности элементов конечного алфавита .

Известны два вида шифрования -- традиционное (оно же симметрическое) и "открытое шифрование" (асимметрическое). При традиционном шифровании законный пользователь с помощью некоторого конечного автомата (шифратора) преобразует последовательность , называемую открытой информацией, в шифрованную информацию . Шифратор зависит от параметра (ключа), известного пользователю . Законные пользователи, которым предназначена информации , осуществляют расшифрование информации также с помощью некоторого конечного автомата, зависящего от параметра , связанного с . Обычно . В рассматриваемом случае каждый законный пользователь изначально обладает как преобразованием , так и преобразованием -- обратным к , в то время как незаконный пользователь не имеет ключа , т. е. не полностью знает преобразования и . В качестве ключа обычно используется начальное состояние автомата либо его функция перехода.

В традиционном варианте шифрования законные пользователи (абоненты), которые в совокупности образуют сеть засекреченной связи, снабжаются ключами (в простейшем случае все абоненты снабжаются одинаковыми ключами ), с помощью которых они осуществляют шифрование открытой информации и расшифрование шифрованной информации. Канал, по которому происходит предварительная рассылка ключей, считается абсолютно надежным и поэтому всегда подразумевается, что незаконным пользователям ключ неизвестен, в то время как информация, зашифрованная на нем, как уже отмечалось, предполагается общеизвестной. Создание такого надежного канала распределения ключей всегда приводит к значительным затратам, а иногда и не является практически возможным.

Второй вид шифрования (возникший в 70-х годах XX столетия), для которого нет необходимости в дополнительном секретном канале распределения ключей, носит название "открытого шифрования". При открытом шифровании каждый абонент сети связи строит (или доверяет кому-либо построить) "одностороннюю" функцию , которая, так же как и в первом случае, определяется некоторым секретным параметром , известным только абоненту . Функция строится таким образом, чтобы ее значения без знания секретного параметра можно было вычислить достаточно "быстро". Обычно это алгоритм или программа, в которые ключ явно не входит. Помимо этого требуется, чтобы ее обратная функция при известном секретном параметре также вычислялась достаточно "просто", т. е. абонент вычисляет "легко". Вместе с тем задача вычисления значения обратного преобразования без знания секретного параметра должна быть достаточно сложной. Вопрос о существовании такой функции со строго доказанными свойствами является очень непростым. К настоящему времени его решение является открытым. Имеются только "кандидаты" на роль таких функций. Некоторые из них приведены ниже.

Алгоритм для вычисления значений "односторонней функции" делается общедоступным, например, он помещается в общедоступном справочнике, содержащем информацию о подобных алгоритмах всех абонентов сети секретной связи.

Абонент , желающий передать открытую информацию абоненту , вычисляет шифрованную информацию и посылает ее по общедоступному каналу абоненту , который с помощью известного только ему алгоритма вычисляет исходную информацию . Все остальные потребители при "правильно построенной" односторонней функции не могут получить из-за того, что им для вычисления необходимо выполнить неприемлемо большой объем вычислений. В этом случае говорят, что функция осуществляет "открытое шифрование", а саму функцию называют односторонней или однонаправленной (one-way function), хотя строгое определение "односторонней функции", известное в абстрактной теории сложности вычислений, отличается от приведенного. Примеры функций , используемых на практике, см. ниже.

Открытое шифрование принципиально отличается от традиционного тем, что для него не нужен абсолютно надежный канал для рассылки секретных ключей. Это свойство в некоторых случаях дает открытому шифрованию значительные практические преимущества перед традиционным. Вместе с тем необходимо отметить, что, во-первых, сложность вычисления значений "односторонней функции" и ее обратной, т. е. сложность зашифрования и расшифрования, обычно значительно выше, чем сложность этих процедур при традиционных симметрических автоматных методах шифрования, и, во-вторых, в настоящее время неизвестны практически реализуемые односторонние функции, для которых абсолютно убедительно доказана невозможность их обращения квалифицированным незаконным пользователем. Более того, в абстрактной теории сложности пока не доказано существование односторонних функций. Стойкость открытого шифрования для всех подвергнувшихся серьезному анализу односторонних функций всегда существенно ниже, чем мощность пространства параметров , определяющих , и имеет тенденцию к постоянному снижению.

Следует также отметить, что с помощью протокола "открытого" распределения ключей (см. ниже) можно формировать секретные ключи для симметричного шифрования без использования "односторонней функции".

Обратимся к рассмотрению некоторых проблем, возникающих при построении и изучении традиционных способов шифрования.

В общедоступной литературе математические задачи криптографии на современном уровне впервые были рассмотрены К. Шенноном (см. [1]), хотя по некоторым данным в России некоторые его результаты были известны и раньше. В этой работе К. Шеннон с помощью открытого им теоретико-информационного подхода решил некоторые из важнейших проблем теоретико-информационной криптографии. В частности, им показано, что абсолютной надежностью могут обладать только те шифры, у которых объем ключа не меньше объема шифруемой информации, а также приведены примеры таких шифров. Там же были предложены и принципы построения криптографически надежных преобразований с помощью композиции некоторых разнородных отображений и т. п.

Построение стойких систем шифрования и анализ стойкости тех или иных конкретных систем шифрования являются основными задачами или проблемами практической криптографии. Под стойкостью понимается способность системы, выраженная в числе операций, противостоять попыткам ее взламывания. Под словом "взламывание" понимается определение открытой информации по известной шифрованной информации в тех или иных условиях. Обычно усилия направляются на вычисление ключа . Вместе с тем в некоторых случаях можно определить без определения ключа (бесключевое чтение). Далее под взламыванием будем понимать только задачу определения ключа.

Исследование стойкости проводится в тех или иных исходных предположениях о знании злоумышленником параметров системы шифрования. Наиболее часто предполагают, что злоумышленник знает открытый и шифрованный тексты (традиционная криптографическая атака). Другим случаем является допущение возможности для злоумышленника целенаправленного подбора удобного открытого текста (атака с выбором открытого текста). Стойкость для конкретного ключа может зависеть и от класса, к которому он принадлежит, т. е. среди ключей могут встретиться и слабые. Таким образом, стойкость криптосистемы зависит от вида криптографической атаки.

Задача обоснования стойкости обычно решается с помощью всестороннего исследования возможных путей восстановления открытой информации при известной шифрованной. В частности, обычно рассматривается возможно более широкий круг методов, позволяющих вычислить ключ системы шифрования.

Полагают, что если все рассмотренные методы не дают практически реализуемых способов восстановления ключа и не найдено других способов получения открытой информации, то система шифрования является стойкой. Естественно, что результаты анализа системы шифрования в значительной степени зависят как от от способностей и квалификации исследователей, так и от уровня развития знаний в области теоретической и практической криптографии. Поэтому понятие стойкости является весьма относительным.

Традиционные шифраторы обычно делятся на блочные и поточные. Поточный шифратор представляет собой автономный автомат, который вырабатывает псевдослучайную последовательность обычно двоичную. В качестве шифрованной информации выступает последовательность , . Обычно в качестве функции наложения используется функция сложения в каком либо конечном поле или кольце, в частности, в двоичном случае , т. е. . В последнем случае обратное преобразование (дешифрование) осуществляется точно так же: , что позволяет на обоих концах канала связи иметь шифраторы с одинаковыми ключами.

Блочный шифратор представляет собой автомат, входами и выходами которого являются последовательности и длины . Входная последовательность разбивается на блоки длины и каждый блок шифруется независимо один от другого на одном ключе . Блочный шифратор реализует перестановку элементов пространства , где -- используемый алфавит. Самым известными блочными шифраторами являются американский шифратор DES (data encryption standard) и отечественный стандарт ГОСТ 28147-89 [4], у которых длина блока равна 64 и 256 соответственно. Имеются и другие типы шифраторов, существенно отличные от рассмотренных.

Многие проблемы теоретической криптографии изучаются в рамках давно сложившихся направлений математики: теории вероятностей и статистики, теории чисел, алгебры, теории кодирования, комбинаторики, теории сложности вычислений. В качестве примера укажем на методы построения рекуррентных последовательностей с определенными свойствами, методы выявления статистических закономерностей в массивах дискретной информации, поиск эффективных способов разложения на множители больших целых чисел, свойства булевых функции и преобразований, методы дискретной оптимизации и многие другие.

Особенно большое значение для криптографии имеют результаты, связанные с построением эффективных алгоритмов решения тех или иных конкретных задач. Например, решение системы линейных уравнений, умножение матриц, вычисление значений некоторых булевых функций и преобразований, а также и многие другие, являются массовыми задачами для многих методов определения ключа. Поэтому знание эффективных оценок сложности их решения (как верхних, так и нижних) позволяют делать относительно обоснованные выводы о стойкости систем шифрования.

Ввиду того, что задача определения ключа может быть представлена как задача решения некоторой системы нелинейных уравнений в конечном поле, для криптографии представляют значительный интерес методы решения систем того или иного вида и оценки их сложности. С примерами криптографических исследований можно познакомиться по многочисленным работам, связанным с изучением свойств преобразования DES, которые опубликованы в последние 20 лет в Procedings of Crypto, Procedings of Eurocrypt, Journal of Cryptology и в [6,4].

Отметим, что в настоящее время, за исключением упомянутого результата К. Шеннона, не известны строго доказанные результаты, которые позволяют получить нетривиальные абсолютные нижние оценки стойкости реальных систем шифрования. Особенно это относится к криптографическим протоколам.

Все оценки стойкости реальных криптосистем получены только относительно известных методов анализа. Особенное удивление и недоверие вызывают часто встречающиеся утверждения типа: шифратор имеет ключей, поэтому он не может быть "расколот" в разумное время.

За последние годы получил значительное развитие раздел теоретической криптографии, занимающийся изучением вопросов существования тех или иных криптографических объектов с доказуемыми (при некоторых дополнительных предположениях) оценками стойкости. В круг интересов этого раздела криптографии входят вопросы построения и обоснования свойств таких криптографических понятий как "односторонняя функция", псевдослучайный генератор, криптографический протокол (cryptographic protocol), в частности, протокол доказательства с нулевым разглашением (zero-knowledge proof protocol) и т. п. Эти понятия изучаются с точки зрения абстрактных позиций сложности вычислений (см. [8]).

Кроме шифрования, известно значительное число алгоритмов (протоколов), предназначенных для решения иных криптографических задач. К ним относятся: имитозащита, разделение секрета, доказательства принадлежности (цифровая подпись), протоколы распределения ключей и управление ими, квантовые протоколы построения общего ключа, аутентификация, хэш-функции и т. п. Переходим к некоторым примерам.

Одной из важнейших задач криптографии является разработка методов, защищающих информацию, например, финансовую или командную, от неконтролируемого ее изменения при передаче ее по общедоступным каналам связи. Скрытие информации при этом не всегда является необходимым. Подобные задачи носят название задач имитозащиты (идентификационные коды).

Пусть необходимо передать элемент из конечного множества . В качестве часто выступает значение хэш-функции. Будем предполагать, что на обоих концах канала связи имеется секретный элемент (ключ) из множества . Пусть функция инъективна при каждом фиксированном и обладает тем свойством, что для каждых и множество решений уравнения имеет достаточно много элементов.

В рассматриваемой системе имитозащиты по общедоступному каналу связи вместо элемента из передается элемент . Законный пользователь знает ключ , поэтому он, получив элемент , решает уравнение и определяет элемент .

Представим, что элемент известен незаконному пользователю (злоумышленнику), который предполагает заменить его на другой элемент (навязать фиксированный элемент ). Для этого злоумышленник вместо должен послать такое , что уравнение имело решение ; только в этом случае законный пользователь не заметит подмены и произойдет неконтролируемое изменение информации. Стратегия поведения злоумышленника в этом случае может состоять только в переборе элементов множества с надеждой напасть на подходящий элемент . Если это множество имеет достаточно много элементов, то эта стратегия становится неэффективной.

Рассмотренная выше идея может быть реализована, например, с помощью множеств , , и аффинной функции вида , где -- конечное поле с элементами. Отметим, что при каждом из функция является перестановкой элементов поля , а функции - дважды транзитивной группой перестановок на . Несколько более сложная конструкция позволяет построить систему имитозащиты, которая практически исключает возможность навязывания не только фиксированного элемента , но и какого-либо , отличного от . Отметим, что в рассмотренном примере одновременно с имитозащитой осуществляется и шифрование сообщения .

С конца 70-ых годов после пионерской работы Диффи и Хеллмана (см. [2,4,5] и др.) было предложено значительное количество различных способов построения однонаправленных функций, предназначенных для использования в реальных системах открытого шифрования, хотя сама работа Диффи и Хеллмана была посвящена другому вопросу -- открытой генерации ключей. Основная часть этих систем открытого шифрования, построенных, до сих пор оказалась не стойкой.

Наиболее известной на настоящий момент, используемой на практике и достаточно стойкой (2001 г.) является система RSA (сокращение от фамилий авторов - Rivest, Shamir, Adleman). В этой системе законный пользователь для построения однонаправленной функции выбирает число , являющееся произведением двух достаточно больших простых чисел и , и целое число такое, что , , где -- наибольший общий делитель чисел и , -- функция Эйлера (количество натуральных чисел, не превосходящих и взаимно простых с , или порядок мультипликативной группы вычетов по взаимно простых с ). Открытая информация, представленная целым числом , , шифруется с помощью общеизвестной функции , действующей на . Числа и всех абонентов сети засекреченной связи обычно помещают в общедоступный справочник. Таким образом, любой абонент может послать секретное сообщение абоненту .

Секретная информация (ключ) законного пользователя состоит из чисел и , на которые разлагается число . Знание и позволяет вычислить значение функции Эйлера , а затем с помощью алгоритма Евклида -- число , для которого . Очевидно, обратное преобразование имеет вид и может быть реализовано абонентом достаточно быстро - за операций даже без использования "быстрых" алгоритмов умножения целых чисел.

Так как незаконный пользователь не знает разложения , то простейший для него способ вычисления функции, обратной к , состоит в разложении на множители с последующим вычислением . В общем случае сложность решения задачи разложения является достаточно большой. В течение нескольких последних десятилетий математиками было найдены несколько нетривиальных алгоритмов разложения целых чисел на множители. Обзор см. в [3]. В частности, удалось разложить 155-разрядное девятое число Ферма на три простых множителя. Множители имеют примерно одинаковое число разрядов. Считается, что система RSA имеет достаточную стойкость, если имеет более 512 двоичных разрядов.

Теория кодирования доставляет много примеров стойких систем открытого шифрования. Пусть -- линейный код над с параметрами , который имеет простое декодирование, и -- его порождающая -матрица. Пусть -- невырожденная -матрица и -- перестановочная -матрица.

Открытой информацией является -мерный вектор , шифрованной -- -мерный вектор (функция ), где -- случайный вектор веса . Секретный ключ образуют матрицы и , а общедоступным ключом является матрица . Случайный элемент генерирует отправитель. Матрицы и "маскируют" матрицу .

Получив , абонент вычисляет следующие элементы: , декодирует , т. е. представляет его в виде , , , где , и, наконец, с помощью последнего соотношения находит .

Проделать последнюю цепочку вычислений злоумышленнику трудно из-за того, что он не знает . Поэтому ему трудно декодировать код с порождающей матрицей , который для него является кодом "общего положения". Известно, что сложность декодирования таких кодов имеет вид , т. е. при относительно небольших и является неприемлемо большой.

Если в качестве взять код Боуза -- Чоудхури -- Хоквингема или код Рида -- Маллера [9], то при подходящем и мы получим стойкую систему открытого шифрования. Если же в качестве взять код Рида -- Соломона, то получим слабую систему [10]. Кодовые системы имеют алгоритм зашифрования информации существенно более быстрый, чем системы RSA.

Другими идейно близкими к открытому шифрованию являются методы построения "открытого ключа" (public key), т. е. методы создания общего ключа двух абонентов или большего числа абонентов, недоступного для внешнего наблюдателя, с помощью обмена между ними информацией по общедоступному каналу связи. После создания ключа пользователи могут использовать его, например, как ключ для традиционного симметричного шифрования.

Для примера рассмотрим один популярный метод построения открытого ключа в сети абонентов , , предложенный Диффи и Хеллманом. Пусть -- конечное поле с достаточно большим числом элементов и -- первообразный элемент мультипликативной группы этого поля. Каждый из абонентов и один независимо от другого выбирают по секретному числу , . Затем абоненты каким-либо образом обмениваются элементами , поля, например, помещают их в общедоступный справочник. Для образования секретной связи между и первый абонент вычисляет элемент , а второй -- . Таким образом, у каждого из абонентов образуется один и тот же элемент поля , который и является "открытым ключом".

С сохранением основной идеи метода в качестве вместо мультипликативной группы конечного поля можно использовать любую циклическую группу. В частности, в [4] рассматривалась группа, образованная -рациональными точками эллиптической кривой, заданной над некоторым подполем конечного поля . Изучались также и некоторые другие группы .

Проблема оценки стойкости для приведенного примера на первый взгляд сводится к определению сложности вычисления при известных и (задача Диффи -- Хеллмана). В настоящее время эта задача решается следующим образом: сначала вычисляются число -- индекс элемента (дискретный логарифм по основанию ), а затем находится ключ . Решение уравнения

Необходимо отметить, что сложность логарифмирования определяется не только числом разрядов, требуемых для записи -- числа элементов поля, но и некоторыми нетривиальными его теоретико-числовыми свойствами. В частности, для полей характеристики  и для полей, у которых в разложении отсутствуют большие простые сомножители, а также и для некоторых других, известны достаточно эффективные методы логарифмирования.

На основе идей "открытого шифрования" в криптографии появились методы преобразования информации, открывающие новые возможности для ее использования в деловом мире. К таким методам следует отнести алгоритмы по созданию цифровой подписи, системы идентификации, пароли, системы распределения ключей и многие другие (см., например, [4] и статьи в Proceding of Crypto, Proceding of Eurocrypt, Journal of Cryptolodgy и др.).

Цифровая подпись сообщения пользователя образуется с помощью отображения , которое характеризуются следующими свойствами:

• при известном элемент может быть относительно просто вычислен , но не может быть вычислен злоумышленником без привлечения очень значительных и потому недоступных ему вычислительных ресурсов (подпись не может быть подделана),

• существует простой алгоритм проверки соответствия (от подписи не может отказаться абонент ).

В общем случае в качестве цифровой подписи сообщения можно использовать элемент , где - односторонняя функция.

В качестве примера иного способа построения функции , который нашел достаточно широкое практическое применение, рассмотрим цифровую подпись Эль Гамаля (см., например, [4]). Используем обозначения, введенные при описании примера построения открытого ключа. Поле считаем простым, т. е. -- простое число.

Пользователь вырабатывает секретное число , , строит элемент и помещает его в общедоступный справочник. Цифровой подписью сообщения , , пользователя служат пара чисел , где . Секретное число пользователь выбирает случайно из интервала . Число определяется числами и с помощью соотношения .

Отметим, что, во-первых, пользователь может достаточно просто вычислить при известных числах , во-вторых, любое лицо может проверить выполнимость последнего соотношения, т. е. установить соответствие подписи сообщению, и в третьих, на сегодняшний день известные алгоритмы подделки подписи злоумышленником включают в себя алгоритмы логарифмирования в поле , т. е. не являются эффективными. Следует также заметить, что число не зависит от и поэтому одно и то же сообщение может быть подписано многими разными подписями.

Литература