ЛЕКЦИЯ 4 ОСНОВЫ КРИПТОГРАФИИ

1 ВВЕДЕНИЕ ПОНЯТИЯ КРИПТОЛОГИИ КРИПТОГРАФИИ И

КРИПТОАНАЛИЗА ОСНОВНЫЕ ОПРЕДЕЛЕНИЯ

Защита данных в ЭВМ и информационно-вычислительных сетях с помощью шиф-

рования считается одним из наиболее надежных способов решения проблемы безопасно-

сти Хотя в дальнейшем будет показано что это утверждение верно далеко не всегда

Изучением вопросов шифрования данных занимается наука - криптология вклю-

чающая криптографию и криптоанализ

Криптография изучает методы и алгоритмы шифрования данных (правила по-

строения и использования шифров) направленные на то чтобы сделать эти данные бес-

полезными для противника

Методы криптографии также используются для подтверждения подлинности ис-

точника данных и контроля целостности данных

Заметим что криптография всегда являлась обязательным элементом безопасных

информационных систем Однако особое значение криптографические методы получили с

развитием распределенных открытых сетей в которых нельзя обеспечить физическую за-

щиту каналов связи

Криптоанализ - это наука о раскрытии исходного текста зашифрованного сооб-

щения без доступа к ключу

Прежде всего поясним чем отличается шифрование от кодирования С теоретиче-

ской точки зрения не существует четкого различия между кодами и шифрами Однако в

современной практике различие между ними как правило является достаточно четким

Коды оперируют лингвистическими элементами разделяя закрываемый текст на такие

смысловые элементы как слова и слоги В шифре всегда различают два элемента алго-

ритм и ключ Алгоритм позволяет использовать сравнительно короткий ключ для шифро-

вания сколь угодно длинного текста

Определим ряд основных терминов используемых в криптографии

В соответствии с ГОСТ 28147-89 под шифром понимают совокупность обратимых

преобразований множества открытых данных на множество зашифрованных данных за-

даваемых ключом и алгоритмом криптографического преобразования

Ключ - это конкретное (секретное или открытое) состояние некоторых параметров

алгоритма криптографического преобразования данных обеспечивающее выбор только

одного варианта из всех возможных для данного алгоритма

Основной характеристикой шифра является криптостойкость которая определя-

ет его стойкость к раскрытию методами криптоанализа Обычно эта характеристика опре-

деляется интервалом времени необходимым для раскрытия шифра

Гаммирование - процесс наложения по определенному закону гаммы шифра на от-

крытые данные

Под гаммой шифра понимается псевдослучайная двоичная последовательность

вырабатываемая по заданному алгоритму для шифрования открытых данных и расшиф-

ровывания зашифрованных данных

Имиттозащита - это защита системы шифрованной связи от навязывания лож-

ных данных

- 2 -

Имитовставка - это блок из m бит который вырабатывается по определенно-

му правилу из открытых данных с использованием ключа и затем добавляется к зашифро-

ванным данным для обеспечения их имитозащиты

К шифрам используемым для криптографической защиты информации предъяв-

ляется ряд требований

достаточная криптостойкость (надежность закрытия данных)

простота процедур шифрования и расшифрования

незначительная избыточность информации за счет шифрования

нечувствительность к небольшим ошибкам шифрования и др

2 КРАТКАЯ ИСТОРИЯ ТРАДИЦИОННЫЕ СИММЕТРИЧНЫЕ

КРИПТОСИСТЕМЫ

Криптографическое закрытие информации имеет многовековую историю развития

и применения

Можно выделить следующие три периода развития криптографии Первый период

- эра донаучной криптологии являющейся ремеслом узкого круга искусных умельцев

Началом второго периода можно считать 1949 г когда появилась работа КШеннона

ldquoТеория связи в секретных системахrdquo в которой проведено фундаментальное научное ис-

следование шифров и важнейших вопросов их стойкости Благодаря этому труду крипто-

логия оформилась как прикладная математическая дисциплина И наконец начало треть-

ему периоду было положено появлением в 1976 г работы У Диффи и МХеллмана ldquoНо-

вые направления в криптографииrdquo где показано что секретная связь возможна без пред-

варительной передачи секретного ключа Так началось и продолжается до настоящего

времени бурное развитие наряду с обычной классической криптографией и криптографии

с открытым ключом

Все традиционные криптографические системы можно подразделить на

1 Шифры перестановки

11 Шифр перестановки ldquoскиталаrdquo (цилиндр + намотанная кожа)

12 Шифрующие таблицы (запись цифр алфавита в матрицу)

13 Применение магических квадратов

2 Шифры простой замены

21 Полибианский квадрат

22 Система шифрования Цезаря (сдвиг текста на определенное число позиций)

23 Аффинная система подстановок Цезаря

24 Система Цезаря с ключевым словом

25 Шифрующие таблицы Трисемуса

26 Биграммный шифр Плейфейра

27 Криптосистема Хилла

28 Система омофонов

3 Шифры сложной замены

31 Шифр Гронсфельда

32 Система шифрования Вижинера

33 Шифр ldquoдвойной квадратrdquo Уитстона

34 Одноразовая система шифрования

35 Шифрование методом Вернама

- 3 -

36 Роторные машины

4 Шифрование методом гаммирования

5 Шифрование основанное на аналитических преобразованиях шифруемых данных

Шифрование перестановкой заключается в том что символы шифруемого текста

переставляются по определенному правилу в пределах некоторого блока этого текста При

достаточной длине блока в пределах которого осуществляется перестановка и сложном

неповторяющемся порядке перестановки можно достигнуть приемлемой для простых

практических приложений стойкости шифра

Шифрование заменой (подстановкой) заключается в том что символы шифруе-

мого текста заменяются символами того же самого (простая замена) также одно или не-

скольких других алфавитов (сложная замена) в соответствии с заранее обусловленной

схемой замены

Шифрование гаммированием заключается в том что символы шифруемого тек-

ста складываются с символами некоторой случайной последовательности именуемой

гаммой шифра Стойкость шифрования определяется в основном длиной (периодом) не-

повторяющейся части гаммы шифра Данный способ является одним из основных для

шифрования информации в автоматизированных системах

Шифрование аналитическим преобразованием заключается в том что шифруе-

мый текст преобразуется по некоторому аналитическому правилу (формуле) Например

можно использовать правило умножения вектора на матрицу причем умножаемая матри-

ца является ключом шифра а символами умножаемого вектора последовательно служат

символы шифруемого текста Другим примером может служить использование так назы-

ваемых однонаправленных функций для построения криптосистем с открытым ключом

3 КЛАССИФИКАЦИЯ СОВРЕМЕННЫХ КРИПТОГРАФИЧЕСКИХ

СИСТЕМ

Классические криптографические методы и алгоритмы разделяют на два основных

типа

симметричные (с секретным ключом)

асимметричные (с открытым ключом)

В симметричных методах для шифрования и расшифровывания используется

один и тот же секретный ключ

Наиболее известным стандартом на симметричное шифрование с закрытым клю-

чом является стандарт для обработки информации в государственных учреждениях США

DES (Data Encryption Standard) Коммерческий вариант алгоритма DES использует ключ

длиной 56 бит что требует от злоумышленника перебора 72middot1012

возможных ключевых

комбинаций Более криптостойкая (но втрое менее быстродействующая) версия алгоритма

DES - Triple DES (тройной DES) позволяет задать ключ длиной 112 бит

Другим популярным алгоритмом шифрования является IDEA (International Data

Encryption Algorithm) отличающийся применением ключа длиной 128 бит Он считается

более стойким чем DES

Отечественный стандарт шифрования данных - ГОСТ 28147-89 ldquoСистемы обра-

ботки информации Защита криптографическая Алгоритм криптографического преобра-

зованияrdquo определяет алгоритм симметричного шифрования с ключом длиной до 256 бит

- 4 -

Общая технология использования симметричного метода шифрования пред-

ставлена на Рис 31

Рис 31 Использование симметричного метода шифрования с секретным ключом

К достоинствам симметричных методов относят высокое быстродействие и про-

стоту

Основным недостатком указанных методов является то что ключ должен быть из-

вестен и отправителю и получателю Это существенно усложняет процедуру назначения

и распределения ключей между пользователями По существу в открытых сетях должен

быть предусмотрен физически защищенный канал передачи ключей

Названный недостаток послужил причиной разработки методов шифрования с от-

крытым ключом ndash асимметричных методов

Асимметричные методы используют два взаимосвязанных ключа для шифрова-

ния и расшифрования Один ключ является закрытым и известным только получателю

Его используют для расшифрования Второй из ключей является открытым те он может

быть общедоступным по сети и опубликован вместе с адресом пользователя Его исполь-

зуют для выполнения шифрования

Формально асимметричный метод можно описать следующим образом Обозначим

результат шифрования текста T с помощью открытого ключа - E(T) а результат расшиф-

ровки текста с помощью закрытого ключа - D(T) Тогда асимметричный метод должен от-

вечать следующим трем требованиям

D(E(T)) = T

D практически невозможно определить по E

Е нельзя взломать

Преимущество указанного метода состоит в уменьшении количества ключей с ко-

торыми приходится оперировать Однако данный алгоритм имеет существенный недоста-

ток - требует значительной вычислительной мощности Использование асимметричного

метода шифрования представлено на Рис 32

Текст

Т

Зашифрованный текст

Е(Т)

Текст

Е-1

(Е(Т))

Шифратор Дешифратор

Секретный ключ Е

Генератор ключей Е

- 5 -

В настоящее время наиболее из- вестными и надежными являются следую-

щие асимметричные алгоритмы

алгоритм RSA (Rivest Shamir Adleman)

алгоритм Эль Гамаля

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 Алгоритм использует факт что нахождение больших

(например 100-битных) простых чисел в вычислительном отношении осуществляется

легко однако разложение на множители произведения двух таких чисел в вычислитель-

ном отношении представляется невыполнимым

Другим известным методом является алгоритм Эль Гамаля положенный в осно-

ву стандарта NIST (National Institute of Standards and Technology)1 - MD 20899 Алгоритм

основан на возведении в степень по модулю большого простого числа

Следует сказать что если алгоритмы типа DES определяют длину данных и ключа

в битах то асимметричные алгоритмы могут быть реализованы при любой длине ключа

Чем ключ длиннее тем выше криптостойкость системы но больше время шифрования и

расшифровывания

Рис 32 Использование асимметричного метода шифрования с открытым ключом

Как отмечалось основным недостатком асимметричных алгоритмов является их

низкое быстродействие данные алгоритмы в несколько тысяч раз медленнее симметрич-

ных алгоритмов Поэтому для исключения данного недостатка используют технологии

сочетания симметричных и асимметричных методов шифрования В частности текст

шифруется быстродействующим симметричным алгоритмом а секретный (случайный)

ключ сопровождающий текст - асимметричным алгоритмом

1 Национальный институт стандартов и технологий США (бывший ANSI)

Текст

Т

Зашифрованный текст

Е(Т)

Текст

D(Е(Т))

Шифратор Дешифратор

Несекретный ключ Е

Генератор ключей E D

Секретный ключ D

- 6 -

4 СИММЕТРИЧНЫЕ СИСТЕМЫ С ЗАКРЫТЫМ

(СЕКРЕТНЫМ) КЛЮЧОМ

Современное проектирование алгоритмов шифрования данных основано на рацио-

нальном выборе функций преобразующих исходные (незашифрованные) сообщения в

шифртекст Идея непосредственного применения такой функции ко всему сообщению ре-

ализуется крайне редко Практически все применяемые криптографические методы связа-

ны с разбиением сообщения на большое число фрагментов (или знаков) фиксированного

размера каждый из которых шифруется отдельно Такой подход существенно упрощает

задачу шифрования так как сообщения обычно имеют различную длину

Различают три основных способа шифрования

поточные шифры

блочные шифры

блочные шифры с обратной связью

В табл 41 приведены типы криптосистем и их основные характеристики

Таблица 41

Тип

криптосистемы

Операции с

битами или

блоками

Зависимость

от предыду-

щих знаков

Позицион-

ная зависи-

мость

Симметрич-

ность функции

шифрования

Поточного

шифрования

Биты Не зависит Зависит Симметричная

Блочного

шифрования

Блоки Не зависит Не зависит Симметричная

или несиммет-

ричная

С обратной

связью от

шифртекста

Биты или

блоки

Зависит Не зависит Симметричная

Поточное шифрование состоит в том что биты открытого текста складываются

по модулю 2 с битами псевдослучайной последовательности К достоинствам поточных

шифров относятся высокая скорость шифрования относительная простота реализации и

отсутствие размножения ошибок Недостатком является необходимость передачи инфор-

мации синхронизации перед заголовком сообщения которая должна быть принята до

расшифрования любого сообщения Это обусловлено тем что если два различных сооб-

щения шифруются на одном и том же ключе то для расшифрования этих сообщений тре-

буется одна и та же псевдослучайная последовательность Такое положение может создать

угрозу криптостойкости системы Поэтому часто используют дополнительный случайно

выбираемый ключ сообщения который передается в начале сообщения и применяется для

модификации ключа шифрования В результате разные сообщения будут шифроваться с

помощью различных последовательностей

Поточные шифры широко применяются для шифрования преобразованных в циф-

ровую форму речевых сигналов и цифровых данных требующих оперативной доставки

потребителю информации До недавнего времени такие применения были преобладаю-

щими для данного метода шифрования Это обусловлено в частности относительной

простотой проектирования и реализации генераторов хороших шифрующих последова-

тельностей Но самым важным фактором конечно является отсутствие размножения

- 7 -

ошибок в поточном шифре Стандартным методом генерирования последовательно-

стей для поточного шифрования является метод применяемый в стандарте шифрования

DES в режиме обратной связи по выходу

В настоящее время подавляющее большинство применяемых на практике симмет-

ричных систем с закрытым (секретным) ключом представляют собой блочные системы

которые задают параметризованное ключом преобразование блоков исходного сообщения

(как правило длиной 64 бита) в блоки шифрограммы

При блочном шифровании открытый текст сначала разбивается на равные по

длине блоки затем применяется зависящая от ключа функция шифрования для преобра-

зования блока открытого текста длиной m бит в блок шифртекста такой же длины

Достоинством блочного шифрования является то что каждый бит блока шифртек-

ста зависит от значений всех битов соответствующего блока открытого текста и никакие

два блока открытого текста не могут быть представлены одним и тем же блоком шиф-

ртекста Поэтому в настоящее время подавляющее большинство применяемых на практи-

ке как симметричных систем с закрытым (секретным) ключом так и асимметричных си-

стем с открытым ключом представляют собой блочные системы как правило с длиной

блоков в 64 бита

Алгоритм блочного шифрования может использоваться в различных режимах Че-

тыре режима шифрования алгоритма DES практически применимы к любому блочному

шифру

Наиболее часто применяются системы блочного шифрования с обратной связью

Как и при простом блочном шифровании сообщения разбиваются на ряд блоков Для

преобразования этих блоков в блоки шифртекста используются специальные функции

шифрования Однако если в блочном шифре такая функция зависит только от ключа то в

блочных шифрах с обратной связью она зависит как от ключа так и от одного или более

предшествующих блоков шифртекста

Достоинством криптосистем с блочного шифрования с обратной связью является

возможность применения их для обнаружения манипуляций сообщениями производимых

активными перехватчиками При этом используется факт размножения ошибок в таких

шифрах а также способность этих систем легко генерировать код аутентификации сооб-

щений

Основным недостатком систем блочного шифрования с обратной связью является

размножение ошибок и сложность при разработке и реализации

41 Алгоритмы DES и Тройной DES

Алгоритм шифрования DES (Data Encryption Standard) был разработан фирмой

IBM под именем Lucifer сертифицирован с изменениями Агентством национальной без-

опасности США (NSA - National Security Agency) и в 1977 г принят в качестве федераль-

ного стандарта США

Для алгоритма DES разработаны четыре основных рабочих режима шифрования

электронная кодовая книга ECB (Electronic Code Book)

сцепление блоков шифра CBC (Cipher Block Chaining)

обратная связь по шифртексту CFB (Cipher Feed Back)

обратная связь по выходу OFB (Output Feed Back)

Применяемые в коммерческих приложениях и поставляемые на экспорт аппарат-

ные и программные реализации алгоритма DES используют ключ длиной 56 бит что тре-

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 2 -

Имитовставка - это блок из m бит который вырабатывается по определенно-

му правилу из открытых данных с использованием ключа и затем добавляется к зашифро-

ванным данным для обеспечения их имитозащиты

К шифрам используемым для криптографической защиты информации предъяв-

ляется ряд требований

достаточная криптостойкость (надежность закрытия данных)

простота процедур шифрования и расшифрования

незначительная избыточность информации за счет шифрования

нечувствительность к небольшим ошибкам шифрования и др

2 КРАТКАЯ ИСТОРИЯ ТРАДИЦИОННЫЕ СИММЕТРИЧНЫЕ

КРИПТОСИСТЕМЫ

Криптографическое закрытие информации имеет многовековую историю развития

и применения

Можно выделить следующие три периода развития криптографии Первый период

- эра донаучной криптологии являющейся ремеслом узкого круга искусных умельцев

Началом второго периода можно считать 1949 г когда появилась работа КШеннона

ldquoТеория связи в секретных системахrdquo в которой проведено фундаментальное научное ис-

следование шифров и важнейших вопросов их стойкости Благодаря этому труду крипто-

логия оформилась как прикладная математическая дисциплина И наконец начало треть-

ему периоду было положено появлением в 1976 г работы У Диффи и МХеллмана ldquoНо-

вые направления в криптографииrdquo где показано что секретная связь возможна без пред-

варительной передачи секретного ключа Так началось и продолжается до настоящего

времени бурное развитие наряду с обычной классической криптографией и криптографии

с открытым ключом

Все традиционные криптографические системы можно подразделить на

1 Шифры перестановки

11 Шифр перестановки ldquoскиталаrdquo (цилиндр + намотанная кожа)

12 Шифрующие таблицы (запись цифр алфавита в матрицу)

13 Применение магических квадратов

2 Шифры простой замены

21 Полибианский квадрат

22 Система шифрования Цезаря (сдвиг текста на определенное число позиций)

23 Аффинная система подстановок Цезаря

24 Система Цезаря с ключевым словом

25 Шифрующие таблицы Трисемуса

26 Биграммный шифр Плейфейра

27 Криптосистема Хилла

28 Система омофонов

3 Шифры сложной замены

31 Шифр Гронсфельда

32 Система шифрования Вижинера

33 Шифр ldquoдвойной квадратrdquo Уитстона

34 Одноразовая система шифрования

35 Шифрование методом Вернама

- 3 -

36 Роторные машины

4 Шифрование методом гаммирования

5 Шифрование основанное на аналитических преобразованиях шифруемых данных

Шифрование перестановкой заключается в том что символы шифруемого текста

переставляются по определенному правилу в пределах некоторого блока этого текста При

достаточной длине блока в пределах которого осуществляется перестановка и сложном

неповторяющемся порядке перестановки можно достигнуть приемлемой для простых

практических приложений стойкости шифра

Шифрование заменой (подстановкой) заключается в том что символы шифруе-

мого текста заменяются символами того же самого (простая замена) также одно или не-

скольких других алфавитов (сложная замена) в соответствии с заранее обусловленной

схемой замены

Шифрование гаммированием заключается в том что символы шифруемого тек-

ста складываются с символами некоторой случайной последовательности именуемой

гаммой шифра Стойкость шифрования определяется в основном длиной (периодом) не-

повторяющейся части гаммы шифра Данный способ является одним из основных для

шифрования информации в автоматизированных системах

Шифрование аналитическим преобразованием заключается в том что шифруе-

мый текст преобразуется по некоторому аналитическому правилу (формуле) Например

можно использовать правило умножения вектора на матрицу причем умножаемая матри-

ца является ключом шифра а символами умножаемого вектора последовательно служат

символы шифруемого текста Другим примером может служить использование так назы-

ваемых однонаправленных функций для построения криптосистем с открытым ключом

3 КЛАССИФИКАЦИЯ СОВРЕМЕННЫХ КРИПТОГРАФИЧЕСКИХ

СИСТЕМ

Классические криптографические методы и алгоритмы разделяют на два основных

типа

симметричные (с секретным ключом)

асимметричные (с открытым ключом)

В симметричных методах для шифрования и расшифровывания используется

один и тот же секретный ключ

Наиболее известным стандартом на симметричное шифрование с закрытым клю-

чом является стандарт для обработки информации в государственных учреждениях США

DES (Data Encryption Standard) Коммерческий вариант алгоритма DES использует ключ

длиной 56 бит что требует от злоумышленника перебора 72middot1012

возможных ключевых

комбинаций Более криптостойкая (но втрое менее быстродействующая) версия алгоритма

DES - Triple DES (тройной DES) позволяет задать ключ длиной 112 бит

Другим популярным алгоритмом шифрования является IDEA (International Data

Encryption Algorithm) отличающийся применением ключа длиной 128 бит Он считается

более стойким чем DES

Отечественный стандарт шифрования данных - ГОСТ 28147-89 ldquoСистемы обра-

ботки информации Защита криптографическая Алгоритм криптографического преобра-

зованияrdquo определяет алгоритм симметричного шифрования с ключом длиной до 256 бит

- 4 -

Общая технология использования симметричного метода шифрования пред-

ставлена на Рис 31

Рис 31 Использование симметричного метода шифрования с секретным ключом

К достоинствам симметричных методов относят высокое быстродействие и про-

стоту

Основным недостатком указанных методов является то что ключ должен быть из-

вестен и отправителю и получателю Это существенно усложняет процедуру назначения

и распределения ключей между пользователями По существу в открытых сетях должен

быть предусмотрен физически защищенный канал передачи ключей

Названный недостаток послужил причиной разработки методов шифрования с от-

крытым ключом ndash асимметричных методов

Асимметричные методы используют два взаимосвязанных ключа для шифрова-

ния и расшифрования Один ключ является закрытым и известным только получателю

Его используют для расшифрования Второй из ключей является открытым те он может

быть общедоступным по сети и опубликован вместе с адресом пользователя Его исполь-

зуют для выполнения шифрования

Формально асимметричный метод можно описать следующим образом Обозначим

результат шифрования текста T с помощью открытого ключа - E(T) а результат расшиф-

ровки текста с помощью закрытого ключа - D(T) Тогда асимметричный метод должен от-

вечать следующим трем требованиям

D(E(T)) = T

D практически невозможно определить по E

Е нельзя взломать

Преимущество указанного метода состоит в уменьшении количества ключей с ко-

торыми приходится оперировать Однако данный алгоритм имеет существенный недоста-

ток - требует значительной вычислительной мощности Использование асимметричного

метода шифрования представлено на Рис 32

Текст

Т

Зашифрованный текст

Е(Т)

Текст

Е-1

(Е(Т))

Шифратор Дешифратор

Секретный ключ Е

Генератор ключей Е

- 5 -

В настоящее время наиболее из- вестными и надежными являются следую-

щие асимметричные алгоритмы

алгоритм RSA (Rivest Shamir Adleman)

алгоритм Эль Гамаля

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 Алгоритм использует факт что нахождение больших

(например 100-битных) простых чисел в вычислительном отношении осуществляется

легко однако разложение на множители произведения двух таких чисел в вычислитель-

ном отношении представляется невыполнимым

Другим известным методом является алгоритм Эль Гамаля положенный в осно-

ву стандарта NIST (National Institute of Standards and Technology)1 - MD 20899 Алгоритм

основан на возведении в степень по модулю большого простого числа

Следует сказать что если алгоритмы типа DES определяют длину данных и ключа

в битах то асимметричные алгоритмы могут быть реализованы при любой длине ключа

Чем ключ длиннее тем выше криптостойкость системы но больше время шифрования и

расшифровывания

Рис 32 Использование асимметричного метода шифрования с открытым ключом

Как отмечалось основным недостатком асимметричных алгоритмов является их

низкое быстродействие данные алгоритмы в несколько тысяч раз медленнее симметрич-

ных алгоритмов Поэтому для исключения данного недостатка используют технологии

сочетания симметричных и асимметричных методов шифрования В частности текст

шифруется быстродействующим симметричным алгоритмом а секретный (случайный)

ключ сопровождающий текст - асимметричным алгоритмом

1 Национальный институт стандартов и технологий США (бывший ANSI)

Текст

Т

Зашифрованный текст

Е(Т)

Текст

D(Е(Т))

Шифратор Дешифратор

Несекретный ключ Е

Генератор ключей E D

Секретный ключ D

- 6 -

4 СИММЕТРИЧНЫЕ СИСТЕМЫ С ЗАКРЫТЫМ

(СЕКРЕТНЫМ) КЛЮЧОМ

Современное проектирование алгоритмов шифрования данных основано на рацио-

нальном выборе функций преобразующих исходные (незашифрованные) сообщения в

шифртекст Идея непосредственного применения такой функции ко всему сообщению ре-

ализуется крайне редко Практически все применяемые криптографические методы связа-

ны с разбиением сообщения на большое число фрагментов (или знаков) фиксированного

размера каждый из которых шифруется отдельно Такой подход существенно упрощает

задачу шифрования так как сообщения обычно имеют различную длину

Различают три основных способа шифрования

поточные шифры

блочные шифры

блочные шифры с обратной связью

В табл 41 приведены типы криптосистем и их основные характеристики

Таблица 41

Тип

криптосистемы

Операции с

битами или

блоками

Зависимость

от предыду-

щих знаков

Позицион-

ная зависи-

мость

Симметрич-

ность функции

шифрования

Поточного

шифрования

Биты Не зависит Зависит Симметричная

Блочного

шифрования

Блоки Не зависит Не зависит Симметричная

или несиммет-

ричная

С обратной

связью от

шифртекста

Биты или

блоки

Зависит Не зависит Симметричная

Поточное шифрование состоит в том что биты открытого текста складываются

по модулю 2 с битами псевдослучайной последовательности К достоинствам поточных

шифров относятся высокая скорость шифрования относительная простота реализации и

отсутствие размножения ошибок Недостатком является необходимость передачи инфор-

мации синхронизации перед заголовком сообщения которая должна быть принята до

расшифрования любого сообщения Это обусловлено тем что если два различных сооб-

щения шифруются на одном и том же ключе то для расшифрования этих сообщений тре-

буется одна и та же псевдослучайная последовательность Такое положение может создать

угрозу криптостойкости системы Поэтому часто используют дополнительный случайно

выбираемый ключ сообщения который передается в начале сообщения и применяется для

модификации ключа шифрования В результате разные сообщения будут шифроваться с

помощью различных последовательностей

Поточные шифры широко применяются для шифрования преобразованных в циф-

ровую форму речевых сигналов и цифровых данных требующих оперативной доставки

потребителю информации До недавнего времени такие применения были преобладаю-

щими для данного метода шифрования Это обусловлено в частности относительной

простотой проектирования и реализации генераторов хороших шифрующих последова-

тельностей Но самым важным фактором конечно является отсутствие размножения

- 7 -

ошибок в поточном шифре Стандартным методом генерирования последовательно-

стей для поточного шифрования является метод применяемый в стандарте шифрования

DES в режиме обратной связи по выходу

В настоящее время подавляющее большинство применяемых на практике симмет-

ричных систем с закрытым (секретным) ключом представляют собой блочные системы

которые задают параметризованное ключом преобразование блоков исходного сообщения

(как правило длиной 64 бита) в блоки шифрограммы

При блочном шифровании открытый текст сначала разбивается на равные по

длине блоки затем применяется зависящая от ключа функция шифрования для преобра-

зования блока открытого текста длиной m бит в блок шифртекста такой же длины

Достоинством блочного шифрования является то что каждый бит блока шифртек-

ста зависит от значений всех битов соответствующего блока открытого текста и никакие

два блока открытого текста не могут быть представлены одним и тем же блоком шиф-

ртекста Поэтому в настоящее время подавляющее большинство применяемых на практи-

ке как симметричных систем с закрытым (секретным) ключом так и асимметричных си-

стем с открытым ключом представляют собой блочные системы как правило с длиной

блоков в 64 бита

Алгоритм блочного шифрования может использоваться в различных режимах Че-

тыре режима шифрования алгоритма DES практически применимы к любому блочному

шифру

Наиболее часто применяются системы блочного шифрования с обратной связью

Как и при простом блочном шифровании сообщения разбиваются на ряд блоков Для

преобразования этих блоков в блоки шифртекста используются специальные функции

шифрования Однако если в блочном шифре такая функция зависит только от ключа то в

блочных шифрах с обратной связью она зависит как от ключа так и от одного или более

предшествующих блоков шифртекста

Достоинством криптосистем с блочного шифрования с обратной связью является

возможность применения их для обнаружения манипуляций сообщениями производимых

активными перехватчиками При этом используется факт размножения ошибок в таких

шифрах а также способность этих систем легко генерировать код аутентификации сооб-

щений

Основным недостатком систем блочного шифрования с обратной связью является

размножение ошибок и сложность при разработке и реализации

41 Алгоритмы DES и Тройной DES

Алгоритм шифрования DES (Data Encryption Standard) был разработан фирмой

IBM под именем Lucifer сертифицирован с изменениями Агентством национальной без-

опасности США (NSA - National Security Agency) и в 1977 г принят в качестве федераль-

ного стандарта США

Для алгоритма DES разработаны четыре основных рабочих режима шифрования

электронная кодовая книга ECB (Electronic Code Book)

сцепление блоков шифра CBC (Cipher Block Chaining)

обратная связь по шифртексту CFB (Cipher Feed Back)

обратная связь по выходу OFB (Output Feed Back)

Применяемые в коммерческих приложениях и поставляемые на экспорт аппарат-

ные и программные реализации алгоритма DES используют ключ длиной 56 бит что тре-

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 3 -

36 Роторные машины

4 Шифрование методом гаммирования

5 Шифрование основанное на аналитических преобразованиях шифруемых данных

Шифрование перестановкой заключается в том что символы шифруемого текста

переставляются по определенному правилу в пределах некоторого блока этого текста При

достаточной длине блока в пределах которого осуществляется перестановка и сложном

неповторяющемся порядке перестановки можно достигнуть приемлемой для простых

практических приложений стойкости шифра

Шифрование заменой (подстановкой) заключается в том что символы шифруе-

мого текста заменяются символами того же самого (простая замена) также одно или не-

скольких других алфавитов (сложная замена) в соответствии с заранее обусловленной

схемой замены

Шифрование гаммированием заключается в том что символы шифруемого тек-

ста складываются с символами некоторой случайной последовательности именуемой

гаммой шифра Стойкость шифрования определяется в основном длиной (периодом) не-

повторяющейся части гаммы шифра Данный способ является одним из основных для

шифрования информации в автоматизированных системах

Шифрование аналитическим преобразованием заключается в том что шифруе-

мый текст преобразуется по некоторому аналитическому правилу (формуле) Например

можно использовать правило умножения вектора на матрицу причем умножаемая матри-

ца является ключом шифра а символами умножаемого вектора последовательно служат

символы шифруемого текста Другим примером может служить использование так назы-

ваемых однонаправленных функций для построения криптосистем с открытым ключом

3 КЛАССИФИКАЦИЯ СОВРЕМЕННЫХ КРИПТОГРАФИЧЕСКИХ

СИСТЕМ

Классические криптографические методы и алгоритмы разделяют на два основных

типа

симметричные (с секретным ключом)

асимметричные (с открытым ключом)

В симметричных методах для шифрования и расшифровывания используется

один и тот же секретный ключ

Наиболее известным стандартом на симметричное шифрование с закрытым клю-

чом является стандарт для обработки информации в государственных учреждениях США

DES (Data Encryption Standard) Коммерческий вариант алгоритма DES использует ключ

длиной 56 бит что требует от злоумышленника перебора 72middot1012

возможных ключевых

комбинаций Более криптостойкая (но втрое менее быстродействующая) версия алгоритма

DES - Triple DES (тройной DES) позволяет задать ключ длиной 112 бит

Другим популярным алгоритмом шифрования является IDEA (International Data

Encryption Algorithm) отличающийся применением ключа длиной 128 бит Он считается

более стойким чем DES

Отечественный стандарт шифрования данных - ГОСТ 28147-89 ldquoСистемы обра-

ботки информации Защита криптографическая Алгоритм криптографического преобра-

зованияrdquo определяет алгоритм симметричного шифрования с ключом длиной до 256 бит

- 4 -

Общая технология использования симметричного метода шифрования пред-

ставлена на Рис 31

Рис 31 Использование симметричного метода шифрования с секретным ключом

К достоинствам симметричных методов относят высокое быстродействие и про-

стоту

Основным недостатком указанных методов является то что ключ должен быть из-

вестен и отправителю и получателю Это существенно усложняет процедуру назначения

и распределения ключей между пользователями По существу в открытых сетях должен

быть предусмотрен физически защищенный канал передачи ключей

Названный недостаток послужил причиной разработки методов шифрования с от-

крытым ключом ndash асимметричных методов

Асимметричные методы используют два взаимосвязанных ключа для шифрова-

ния и расшифрования Один ключ является закрытым и известным только получателю

Его используют для расшифрования Второй из ключей является открытым те он может

быть общедоступным по сети и опубликован вместе с адресом пользователя Его исполь-

зуют для выполнения шифрования

Формально асимметричный метод можно описать следующим образом Обозначим

результат шифрования текста T с помощью открытого ключа - E(T) а результат расшиф-

ровки текста с помощью закрытого ключа - D(T) Тогда асимметричный метод должен от-

вечать следующим трем требованиям

D(E(T)) = T

D практически невозможно определить по E

Е нельзя взломать

Преимущество указанного метода состоит в уменьшении количества ключей с ко-

торыми приходится оперировать Однако данный алгоритм имеет существенный недоста-

ток - требует значительной вычислительной мощности Использование асимметричного

метода шифрования представлено на Рис 32

Текст

Т

Зашифрованный текст

Е(Т)

Текст

Е-1

(Е(Т))

Шифратор Дешифратор

Секретный ключ Е

Генератор ключей Е

- 5 -

В настоящее время наиболее из- вестными и надежными являются следую-

щие асимметричные алгоритмы

алгоритм RSA (Rivest Shamir Adleman)

алгоритм Эль Гамаля

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 Алгоритм использует факт что нахождение больших

(например 100-битных) простых чисел в вычислительном отношении осуществляется

легко однако разложение на множители произведения двух таких чисел в вычислитель-

ном отношении представляется невыполнимым

Другим известным методом является алгоритм Эль Гамаля положенный в осно-

ву стандарта NIST (National Institute of Standards and Technology)1 - MD 20899 Алгоритм

основан на возведении в степень по модулю большого простого числа

Следует сказать что если алгоритмы типа DES определяют длину данных и ключа

в битах то асимметричные алгоритмы могут быть реализованы при любой длине ключа

Чем ключ длиннее тем выше криптостойкость системы но больше время шифрования и

расшифровывания

Рис 32 Использование асимметричного метода шифрования с открытым ключом

Как отмечалось основным недостатком асимметричных алгоритмов является их

низкое быстродействие данные алгоритмы в несколько тысяч раз медленнее симметрич-

ных алгоритмов Поэтому для исключения данного недостатка используют технологии

сочетания симметричных и асимметричных методов шифрования В частности текст

шифруется быстродействующим симметричным алгоритмом а секретный (случайный)

ключ сопровождающий текст - асимметричным алгоритмом

1 Национальный институт стандартов и технологий США (бывший ANSI)

Текст

Т

Зашифрованный текст

Е(Т)

Текст

D(Е(Т))

Шифратор Дешифратор

Несекретный ключ Е

Генератор ключей E D

Секретный ключ D

- 6 -

4 СИММЕТРИЧНЫЕ СИСТЕМЫ С ЗАКРЫТЫМ

(СЕКРЕТНЫМ) КЛЮЧОМ

Современное проектирование алгоритмов шифрования данных основано на рацио-

нальном выборе функций преобразующих исходные (незашифрованные) сообщения в

шифртекст Идея непосредственного применения такой функции ко всему сообщению ре-

ализуется крайне редко Практически все применяемые криптографические методы связа-

ны с разбиением сообщения на большое число фрагментов (или знаков) фиксированного

размера каждый из которых шифруется отдельно Такой подход существенно упрощает

задачу шифрования так как сообщения обычно имеют различную длину

Различают три основных способа шифрования

поточные шифры

блочные шифры

блочные шифры с обратной связью

В табл 41 приведены типы криптосистем и их основные характеристики

Таблица 41

Тип

криптосистемы

Операции с

битами или

блоками

Зависимость

от предыду-

щих знаков

Позицион-

ная зависи-

мость

Симметрич-

ность функции

шифрования

Поточного

шифрования

Биты Не зависит Зависит Симметричная

Блочного

шифрования

Блоки Не зависит Не зависит Симметричная

или несиммет-

ричная

С обратной

связью от

шифртекста

Биты или

блоки

Зависит Не зависит Симметричная

Поточное шифрование состоит в том что биты открытого текста складываются

по модулю 2 с битами псевдослучайной последовательности К достоинствам поточных

шифров относятся высокая скорость шифрования относительная простота реализации и

отсутствие размножения ошибок Недостатком является необходимость передачи инфор-

мации синхронизации перед заголовком сообщения которая должна быть принята до

расшифрования любого сообщения Это обусловлено тем что если два различных сооб-

щения шифруются на одном и том же ключе то для расшифрования этих сообщений тре-

буется одна и та же псевдослучайная последовательность Такое положение может создать

угрозу криптостойкости системы Поэтому часто используют дополнительный случайно

выбираемый ключ сообщения который передается в начале сообщения и применяется для

модификации ключа шифрования В результате разные сообщения будут шифроваться с

помощью различных последовательностей

Поточные шифры широко применяются для шифрования преобразованных в циф-

ровую форму речевых сигналов и цифровых данных требующих оперативной доставки

потребителю информации До недавнего времени такие применения были преобладаю-

щими для данного метода шифрования Это обусловлено в частности относительной

простотой проектирования и реализации генераторов хороших шифрующих последова-

тельностей Но самым важным фактором конечно является отсутствие размножения

- 7 -

ошибок в поточном шифре Стандартным методом генерирования последовательно-

стей для поточного шифрования является метод применяемый в стандарте шифрования

DES в режиме обратной связи по выходу

В настоящее время подавляющее большинство применяемых на практике симмет-

ричных систем с закрытым (секретным) ключом представляют собой блочные системы

которые задают параметризованное ключом преобразование блоков исходного сообщения

(как правило длиной 64 бита) в блоки шифрограммы

При блочном шифровании открытый текст сначала разбивается на равные по

длине блоки затем применяется зависящая от ключа функция шифрования для преобра-

зования блока открытого текста длиной m бит в блок шифртекста такой же длины

Достоинством блочного шифрования является то что каждый бит блока шифртек-

ста зависит от значений всех битов соответствующего блока открытого текста и никакие

два блока открытого текста не могут быть представлены одним и тем же блоком шиф-

ртекста Поэтому в настоящее время подавляющее большинство применяемых на практи-

ке как симметричных систем с закрытым (секретным) ключом так и асимметричных си-

стем с открытым ключом представляют собой блочные системы как правило с длиной

блоков в 64 бита

Алгоритм блочного шифрования может использоваться в различных режимах Че-

тыре режима шифрования алгоритма DES практически применимы к любому блочному

шифру

Наиболее часто применяются системы блочного шифрования с обратной связью

Как и при простом блочном шифровании сообщения разбиваются на ряд блоков Для

преобразования этих блоков в блоки шифртекста используются специальные функции

шифрования Однако если в блочном шифре такая функция зависит только от ключа то в

блочных шифрах с обратной связью она зависит как от ключа так и от одного или более

предшествующих блоков шифртекста

Достоинством криптосистем с блочного шифрования с обратной связью является

возможность применения их для обнаружения манипуляций сообщениями производимых

активными перехватчиками При этом используется факт размножения ошибок в таких

шифрах а также способность этих систем легко генерировать код аутентификации сооб-

щений

Основным недостатком систем блочного шифрования с обратной связью является

размножение ошибок и сложность при разработке и реализации

41 Алгоритмы DES и Тройной DES

Алгоритм шифрования DES (Data Encryption Standard) был разработан фирмой

IBM под именем Lucifer сертифицирован с изменениями Агентством национальной без-

опасности США (NSA - National Security Agency) и в 1977 г принят в качестве федераль-

ного стандарта США

Для алгоритма DES разработаны четыре основных рабочих режима шифрования

электронная кодовая книга ECB (Electronic Code Book)

сцепление блоков шифра CBC (Cipher Block Chaining)

обратная связь по шифртексту CFB (Cipher Feed Back)

обратная связь по выходу OFB (Output Feed Back)

Применяемые в коммерческих приложениях и поставляемые на экспорт аппарат-

ные и программные реализации алгоритма DES используют ключ длиной 56 бит что тре-

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 4 -

Общая технология использования симметричного метода шифрования пред-

ставлена на Рис 31

Рис 31 Использование симметричного метода шифрования с секретным ключом

К достоинствам симметричных методов относят высокое быстродействие и про-

стоту

Основным недостатком указанных методов является то что ключ должен быть из-

вестен и отправителю и получателю Это существенно усложняет процедуру назначения

и распределения ключей между пользователями По существу в открытых сетях должен

быть предусмотрен физически защищенный канал передачи ключей

Названный недостаток послужил причиной разработки методов шифрования с от-

крытым ключом ndash асимметричных методов

Асимметричные методы используют два взаимосвязанных ключа для шифрова-

ния и расшифрования Один ключ является закрытым и известным только получателю

Его используют для расшифрования Второй из ключей является открытым те он может

быть общедоступным по сети и опубликован вместе с адресом пользователя Его исполь-

зуют для выполнения шифрования

Формально асимметричный метод можно описать следующим образом Обозначим

результат шифрования текста T с помощью открытого ключа - E(T) а результат расшиф-

ровки текста с помощью закрытого ключа - D(T) Тогда асимметричный метод должен от-

вечать следующим трем требованиям

D(E(T)) = T

D практически невозможно определить по E

Е нельзя взломать

Преимущество указанного метода состоит в уменьшении количества ключей с ко-

торыми приходится оперировать Однако данный алгоритм имеет существенный недоста-

ток - требует значительной вычислительной мощности Использование асимметричного

метода шифрования представлено на Рис 32

Текст

Т

Зашифрованный текст

Е(Т)

Текст

Е-1

(Е(Т))

Шифратор Дешифратор

Секретный ключ Е

Генератор ключей Е

- 5 -

В настоящее время наиболее из- вестными и надежными являются следую-

щие асимметричные алгоритмы

алгоритм RSA (Rivest Shamir Adleman)

алгоритм Эль Гамаля

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 Алгоритм использует факт что нахождение больших

(например 100-битных) простых чисел в вычислительном отношении осуществляется

легко однако разложение на множители произведения двух таких чисел в вычислитель-

ном отношении представляется невыполнимым

Другим известным методом является алгоритм Эль Гамаля положенный в осно-

ву стандарта NIST (National Institute of Standards and Technology)1 - MD 20899 Алгоритм

основан на возведении в степень по модулю большого простого числа

Следует сказать что если алгоритмы типа DES определяют длину данных и ключа

в битах то асимметричные алгоритмы могут быть реализованы при любой длине ключа

Чем ключ длиннее тем выше криптостойкость системы но больше время шифрования и

расшифровывания

Рис 32 Использование асимметричного метода шифрования с открытым ключом

Как отмечалось основным недостатком асимметричных алгоритмов является их

низкое быстродействие данные алгоритмы в несколько тысяч раз медленнее симметрич-

ных алгоритмов Поэтому для исключения данного недостатка используют технологии

сочетания симметричных и асимметричных методов шифрования В частности текст

шифруется быстродействующим симметричным алгоритмом а секретный (случайный)

ключ сопровождающий текст - асимметричным алгоритмом

1 Национальный институт стандартов и технологий США (бывший ANSI)

Текст

Т

Зашифрованный текст

Е(Т)

Текст

D(Е(Т))

Шифратор Дешифратор

Несекретный ключ Е

Генератор ключей E D

Секретный ключ D

- 6 -

4 СИММЕТРИЧНЫЕ СИСТЕМЫ С ЗАКРЫТЫМ

(СЕКРЕТНЫМ) КЛЮЧОМ

Современное проектирование алгоритмов шифрования данных основано на рацио-

нальном выборе функций преобразующих исходные (незашифрованные) сообщения в

шифртекст Идея непосредственного применения такой функции ко всему сообщению ре-

ализуется крайне редко Практически все применяемые криптографические методы связа-

ны с разбиением сообщения на большое число фрагментов (или знаков) фиксированного

размера каждый из которых шифруется отдельно Такой подход существенно упрощает

задачу шифрования так как сообщения обычно имеют различную длину

Различают три основных способа шифрования

поточные шифры

блочные шифры

блочные шифры с обратной связью

В табл 41 приведены типы криптосистем и их основные характеристики

Таблица 41

Тип

криптосистемы

Операции с

битами или

блоками

Зависимость

от предыду-

щих знаков

Позицион-

ная зависи-

мость

Симметрич-

ность функции

шифрования

Поточного

шифрования

Биты Не зависит Зависит Симметричная

Блочного

шифрования

Блоки Не зависит Не зависит Симметричная

или несиммет-

ричная

С обратной

связью от

шифртекста

Биты или

блоки

Зависит Не зависит Симметричная

Поточное шифрование состоит в том что биты открытого текста складываются

по модулю 2 с битами псевдослучайной последовательности К достоинствам поточных

шифров относятся высокая скорость шифрования относительная простота реализации и

отсутствие размножения ошибок Недостатком является необходимость передачи инфор-

мации синхронизации перед заголовком сообщения которая должна быть принята до

расшифрования любого сообщения Это обусловлено тем что если два различных сооб-

щения шифруются на одном и том же ключе то для расшифрования этих сообщений тре-

буется одна и та же псевдослучайная последовательность Такое положение может создать

угрозу криптостойкости системы Поэтому часто используют дополнительный случайно

выбираемый ключ сообщения который передается в начале сообщения и применяется для

модификации ключа шифрования В результате разные сообщения будут шифроваться с

помощью различных последовательностей

Поточные шифры широко применяются для шифрования преобразованных в циф-

ровую форму речевых сигналов и цифровых данных требующих оперативной доставки

потребителю информации До недавнего времени такие применения были преобладаю-

щими для данного метода шифрования Это обусловлено в частности относительной

простотой проектирования и реализации генераторов хороших шифрующих последова-

тельностей Но самым важным фактором конечно является отсутствие размножения

- 7 -

ошибок в поточном шифре Стандартным методом генерирования последовательно-

стей для поточного шифрования является метод применяемый в стандарте шифрования

DES в режиме обратной связи по выходу

В настоящее время подавляющее большинство применяемых на практике симмет-

ричных систем с закрытым (секретным) ключом представляют собой блочные системы

которые задают параметризованное ключом преобразование блоков исходного сообщения

(как правило длиной 64 бита) в блоки шифрограммы

При блочном шифровании открытый текст сначала разбивается на равные по

длине блоки затем применяется зависящая от ключа функция шифрования для преобра-

зования блока открытого текста длиной m бит в блок шифртекста такой же длины

Достоинством блочного шифрования является то что каждый бит блока шифртек-

ста зависит от значений всех битов соответствующего блока открытого текста и никакие

два блока открытого текста не могут быть представлены одним и тем же блоком шиф-

ртекста Поэтому в настоящее время подавляющее большинство применяемых на практи-

ке как симметричных систем с закрытым (секретным) ключом так и асимметричных си-

стем с открытым ключом представляют собой блочные системы как правило с длиной

блоков в 64 бита

Алгоритм блочного шифрования может использоваться в различных режимах Че-

тыре режима шифрования алгоритма DES практически применимы к любому блочному

шифру

Наиболее часто применяются системы блочного шифрования с обратной связью

Как и при простом блочном шифровании сообщения разбиваются на ряд блоков Для

преобразования этих блоков в блоки шифртекста используются специальные функции

шифрования Однако если в блочном шифре такая функция зависит только от ключа то в

блочных шифрах с обратной связью она зависит как от ключа так и от одного или более

предшествующих блоков шифртекста

Достоинством криптосистем с блочного шифрования с обратной связью является

возможность применения их для обнаружения манипуляций сообщениями производимых

активными перехватчиками При этом используется факт размножения ошибок в таких

шифрах а также способность этих систем легко генерировать код аутентификации сооб-

щений

Основным недостатком систем блочного шифрования с обратной связью является

размножение ошибок и сложность при разработке и реализации

41 Алгоритмы DES и Тройной DES

Алгоритм шифрования DES (Data Encryption Standard) был разработан фирмой

IBM под именем Lucifer сертифицирован с изменениями Агентством национальной без-

опасности США (NSA - National Security Agency) и в 1977 г принят в качестве федераль-

ного стандарта США

Для алгоритма DES разработаны четыре основных рабочих режима шифрования

электронная кодовая книга ECB (Electronic Code Book)

сцепление блоков шифра CBC (Cipher Block Chaining)

обратная связь по шифртексту CFB (Cipher Feed Back)

обратная связь по выходу OFB (Output Feed Back)

Применяемые в коммерческих приложениях и поставляемые на экспорт аппарат-

ные и программные реализации алгоритма DES используют ключ длиной 56 бит что тре-

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 5 -

В настоящее время наиболее из- вестными и надежными являются следую-

щие асимметричные алгоритмы

алгоритм RSA (Rivest Shamir Adleman)

алгоритм Эль Гамаля

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 Алгоритм использует факт что нахождение больших

(например 100-битных) простых чисел в вычислительном отношении осуществляется

легко однако разложение на множители произведения двух таких чисел в вычислитель-

ном отношении представляется невыполнимым

Другим известным методом является алгоритм Эль Гамаля положенный в осно-

ву стандарта NIST (National Institute of Standards and Technology)1 - MD 20899 Алгоритм

основан на возведении в степень по модулю большого простого числа

Следует сказать что если алгоритмы типа DES определяют длину данных и ключа

в битах то асимметричные алгоритмы могут быть реализованы при любой длине ключа

Чем ключ длиннее тем выше криптостойкость системы но больше время шифрования и

расшифровывания

Рис 32 Использование асимметричного метода шифрования с открытым ключом

Как отмечалось основным недостатком асимметричных алгоритмов является их

низкое быстродействие данные алгоритмы в несколько тысяч раз медленнее симметрич-

ных алгоритмов Поэтому для исключения данного недостатка используют технологии

сочетания симметричных и асимметричных методов шифрования В частности текст

шифруется быстродействующим симметричным алгоритмом а секретный (случайный)

ключ сопровождающий текст - асимметричным алгоритмом

1 Национальный институт стандартов и технологий США (бывший ANSI)

Текст

Т

Зашифрованный текст

Е(Т)

Текст

D(Е(Т))

Шифратор Дешифратор

Несекретный ключ Е

Генератор ключей E D

Секретный ключ D

- 6 -

4 СИММЕТРИЧНЫЕ СИСТЕМЫ С ЗАКРЫТЫМ

(СЕКРЕТНЫМ) КЛЮЧОМ

Современное проектирование алгоритмов шифрования данных основано на рацио-

нальном выборе функций преобразующих исходные (незашифрованные) сообщения в

шифртекст Идея непосредственного применения такой функции ко всему сообщению ре-

ализуется крайне редко Практически все применяемые криптографические методы связа-

ны с разбиением сообщения на большое число фрагментов (или знаков) фиксированного

размера каждый из которых шифруется отдельно Такой подход существенно упрощает

задачу шифрования так как сообщения обычно имеют различную длину

Различают три основных способа шифрования

поточные шифры

блочные шифры

блочные шифры с обратной связью

В табл 41 приведены типы криптосистем и их основные характеристики

Таблица 41

Тип

криптосистемы

Операции с

битами или

блоками

Зависимость

от предыду-

щих знаков

Позицион-

ная зависи-

мость

Симметрич-

ность функции

шифрования

Поточного

шифрования

Биты Не зависит Зависит Симметричная

Блочного

шифрования

Блоки Не зависит Не зависит Симметричная

или несиммет-

ричная

С обратной

связью от

шифртекста

Биты или

блоки

Зависит Не зависит Симметричная

Поточное шифрование состоит в том что биты открытого текста складываются

по модулю 2 с битами псевдослучайной последовательности К достоинствам поточных

шифров относятся высокая скорость шифрования относительная простота реализации и

отсутствие размножения ошибок Недостатком является необходимость передачи инфор-

мации синхронизации перед заголовком сообщения которая должна быть принята до

расшифрования любого сообщения Это обусловлено тем что если два различных сооб-

щения шифруются на одном и том же ключе то для расшифрования этих сообщений тре-

буется одна и та же псевдослучайная последовательность Такое положение может создать

угрозу криптостойкости системы Поэтому часто используют дополнительный случайно

выбираемый ключ сообщения который передается в начале сообщения и применяется для

модификации ключа шифрования В результате разные сообщения будут шифроваться с

помощью различных последовательностей

Поточные шифры широко применяются для шифрования преобразованных в циф-

ровую форму речевых сигналов и цифровых данных требующих оперативной доставки

потребителю информации До недавнего времени такие применения были преобладаю-

щими для данного метода шифрования Это обусловлено в частности относительной

простотой проектирования и реализации генераторов хороших шифрующих последова-

тельностей Но самым важным фактором конечно является отсутствие размножения

- 7 -

ошибок в поточном шифре Стандартным методом генерирования последовательно-

стей для поточного шифрования является метод применяемый в стандарте шифрования

DES в режиме обратной связи по выходу

В настоящее время подавляющее большинство применяемых на практике симмет-

ричных систем с закрытым (секретным) ключом представляют собой блочные системы

которые задают параметризованное ключом преобразование блоков исходного сообщения

(как правило длиной 64 бита) в блоки шифрограммы

При блочном шифровании открытый текст сначала разбивается на равные по

длине блоки затем применяется зависящая от ключа функция шифрования для преобра-

зования блока открытого текста длиной m бит в блок шифртекста такой же длины

Достоинством блочного шифрования является то что каждый бит блока шифртек-

ста зависит от значений всех битов соответствующего блока открытого текста и никакие

два блока открытого текста не могут быть представлены одним и тем же блоком шиф-

ртекста Поэтому в настоящее время подавляющее большинство применяемых на практи-

ке как симметричных систем с закрытым (секретным) ключом так и асимметричных си-

стем с открытым ключом представляют собой блочные системы как правило с длиной

блоков в 64 бита

Алгоритм блочного шифрования может использоваться в различных режимах Че-

тыре режима шифрования алгоритма DES практически применимы к любому блочному

шифру

Наиболее часто применяются системы блочного шифрования с обратной связью

Как и при простом блочном шифровании сообщения разбиваются на ряд блоков Для

преобразования этих блоков в блоки шифртекста используются специальные функции

шифрования Однако если в блочном шифре такая функция зависит только от ключа то в

блочных шифрах с обратной связью она зависит как от ключа так и от одного или более

предшествующих блоков шифртекста

Достоинством криптосистем с блочного шифрования с обратной связью является

возможность применения их для обнаружения манипуляций сообщениями производимых

активными перехватчиками При этом используется факт размножения ошибок в таких

шифрах а также способность этих систем легко генерировать код аутентификации сооб-

щений

Основным недостатком систем блочного шифрования с обратной связью является

размножение ошибок и сложность при разработке и реализации

41 Алгоритмы DES и Тройной DES

Алгоритм шифрования DES (Data Encryption Standard) был разработан фирмой

IBM под именем Lucifer сертифицирован с изменениями Агентством национальной без-

опасности США (NSA - National Security Agency) и в 1977 г принят в качестве федераль-

ного стандарта США

Для алгоритма DES разработаны четыре основных рабочих режима шифрования

электронная кодовая книга ECB (Electronic Code Book)

сцепление блоков шифра CBC (Cipher Block Chaining)

обратная связь по шифртексту CFB (Cipher Feed Back)

обратная связь по выходу OFB (Output Feed Back)

Применяемые в коммерческих приложениях и поставляемые на экспорт аппарат-

ные и программные реализации алгоритма DES используют ключ длиной 56 бит что тре-

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 6 -

4 СИММЕТРИЧНЫЕ СИСТЕМЫ С ЗАКРЫТЫМ

(СЕКРЕТНЫМ) КЛЮЧОМ

Современное проектирование алгоритмов шифрования данных основано на рацио-

нальном выборе функций преобразующих исходные (незашифрованные) сообщения в

шифртекст Идея непосредственного применения такой функции ко всему сообщению ре-

ализуется крайне редко Практически все применяемые криптографические методы связа-

ны с разбиением сообщения на большое число фрагментов (или знаков) фиксированного

размера каждый из которых шифруется отдельно Такой подход существенно упрощает

задачу шифрования так как сообщения обычно имеют различную длину

Различают три основных способа шифрования

поточные шифры

блочные шифры

блочные шифры с обратной связью

В табл 41 приведены типы криптосистем и их основные характеристики

Таблица 41

Тип

криптосистемы

Операции с

битами или

блоками

Зависимость

от предыду-

щих знаков

Позицион-

ная зависи-

мость

Симметрич-

ность функции

шифрования

Поточного

шифрования

Биты Не зависит Зависит Симметричная

Блочного

шифрования

Блоки Не зависит Не зависит Симметричная

или несиммет-

ричная

С обратной

связью от

шифртекста

Биты или

блоки

Зависит Не зависит Симметричная

Поточное шифрование состоит в том что биты открытого текста складываются

по модулю 2 с битами псевдослучайной последовательности К достоинствам поточных

шифров относятся высокая скорость шифрования относительная простота реализации и

отсутствие размножения ошибок Недостатком является необходимость передачи инфор-

мации синхронизации перед заголовком сообщения которая должна быть принята до

расшифрования любого сообщения Это обусловлено тем что если два различных сооб-

щения шифруются на одном и том же ключе то для расшифрования этих сообщений тре-

буется одна и та же псевдослучайная последовательность Такое положение может создать

угрозу криптостойкости системы Поэтому часто используют дополнительный случайно

выбираемый ключ сообщения который передается в начале сообщения и применяется для

модификации ключа шифрования В результате разные сообщения будут шифроваться с

помощью различных последовательностей

Поточные шифры широко применяются для шифрования преобразованных в циф-

ровую форму речевых сигналов и цифровых данных требующих оперативной доставки

потребителю информации До недавнего времени такие применения были преобладаю-

щими для данного метода шифрования Это обусловлено в частности относительной

простотой проектирования и реализации генераторов хороших шифрующих последова-

тельностей Но самым важным фактором конечно является отсутствие размножения

- 7 -

ошибок в поточном шифре Стандартным методом генерирования последовательно-

стей для поточного шифрования является метод применяемый в стандарте шифрования

DES в режиме обратной связи по выходу

В настоящее время подавляющее большинство применяемых на практике симмет-

ричных систем с закрытым (секретным) ключом представляют собой блочные системы

которые задают параметризованное ключом преобразование блоков исходного сообщения

(как правило длиной 64 бита) в блоки шифрограммы

При блочном шифровании открытый текст сначала разбивается на равные по

длине блоки затем применяется зависящая от ключа функция шифрования для преобра-

зования блока открытого текста длиной m бит в блок шифртекста такой же длины

Достоинством блочного шифрования является то что каждый бит блока шифртек-

ста зависит от значений всех битов соответствующего блока открытого текста и никакие

два блока открытого текста не могут быть представлены одним и тем же блоком шиф-

ртекста Поэтому в настоящее время подавляющее большинство применяемых на практи-

ке как симметричных систем с закрытым (секретным) ключом так и асимметричных си-

стем с открытым ключом представляют собой блочные системы как правило с длиной

блоков в 64 бита

Алгоритм блочного шифрования может использоваться в различных режимах Че-

тыре режима шифрования алгоритма DES практически применимы к любому блочному

шифру

Наиболее часто применяются системы блочного шифрования с обратной связью

Как и при простом блочном шифровании сообщения разбиваются на ряд блоков Для

преобразования этих блоков в блоки шифртекста используются специальные функции

шифрования Однако если в блочном шифре такая функция зависит только от ключа то в

блочных шифрах с обратной связью она зависит как от ключа так и от одного или более

предшествующих блоков шифртекста

Достоинством криптосистем с блочного шифрования с обратной связью является

возможность применения их для обнаружения манипуляций сообщениями производимых

активными перехватчиками При этом используется факт размножения ошибок в таких

шифрах а также способность этих систем легко генерировать код аутентификации сооб-

щений

Основным недостатком систем блочного шифрования с обратной связью является

размножение ошибок и сложность при разработке и реализации

41 Алгоритмы DES и Тройной DES

Алгоритм шифрования DES (Data Encryption Standard) был разработан фирмой

IBM под именем Lucifer сертифицирован с изменениями Агентством национальной без-

опасности США (NSA - National Security Agency) и в 1977 г принят в качестве федераль-

ного стандарта США

Для алгоритма DES разработаны четыре основных рабочих режима шифрования

электронная кодовая книга ECB (Electronic Code Book)

сцепление блоков шифра CBC (Cipher Block Chaining)

обратная связь по шифртексту CFB (Cipher Feed Back)

обратная связь по выходу OFB (Output Feed Back)

Применяемые в коммерческих приложениях и поставляемые на экспорт аппарат-

ные и программные реализации алгоритма DES используют ключ длиной 56 бит что тре-

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 7 -

ошибок в поточном шифре Стандартным методом генерирования последовательно-

стей для поточного шифрования является метод применяемый в стандарте шифрования

DES в режиме обратной связи по выходу

В настоящее время подавляющее большинство применяемых на практике симмет-

ричных систем с закрытым (секретным) ключом представляют собой блочные системы

которые задают параметризованное ключом преобразование блоков исходного сообщения

(как правило длиной 64 бита) в блоки шифрограммы

При блочном шифровании открытый текст сначала разбивается на равные по

длине блоки затем применяется зависящая от ключа функция шифрования для преобра-

зования блока открытого текста длиной m бит в блок шифртекста такой же длины

Достоинством блочного шифрования является то что каждый бит блока шифртек-

ста зависит от значений всех битов соответствующего блока открытого текста и никакие

два блока открытого текста не могут быть представлены одним и тем же блоком шиф-

ртекста Поэтому в настоящее время подавляющее большинство применяемых на практи-

ке как симметричных систем с закрытым (секретным) ключом так и асимметричных си-

стем с открытым ключом представляют собой блочные системы как правило с длиной

блоков в 64 бита

Алгоритм блочного шифрования может использоваться в различных режимах Че-

тыре режима шифрования алгоритма DES практически применимы к любому блочному

шифру

Наиболее часто применяются системы блочного шифрования с обратной связью

Как и при простом блочном шифровании сообщения разбиваются на ряд блоков Для

преобразования этих блоков в блоки шифртекста используются специальные функции

шифрования Однако если в блочном шифре такая функция зависит только от ключа то в

блочных шифрах с обратной связью она зависит как от ключа так и от одного или более

предшествующих блоков шифртекста

Достоинством криптосистем с блочного шифрования с обратной связью является

возможность применения их для обнаружения манипуляций сообщениями производимых

активными перехватчиками При этом используется факт размножения ошибок в таких

шифрах а также способность этих систем легко генерировать код аутентификации сооб-

щений

Основным недостатком систем блочного шифрования с обратной связью является

размножение ошибок и сложность при разработке и реализации

41 Алгоритмы DES и Тройной DES

Алгоритм шифрования DES (Data Encryption Standard) был разработан фирмой

IBM под именем Lucifer сертифицирован с изменениями Агентством национальной без-

опасности США (NSA - National Security Agency) и в 1977 г принят в качестве федераль-

ного стандарта США

Для алгоритма DES разработаны четыре основных рабочих режима шифрования

электронная кодовая книга ECB (Electronic Code Book)

сцепление блоков шифра CBC (Cipher Block Chaining)

обратная связь по шифртексту CFB (Cipher Feed Back)

обратная связь по выходу OFB (Output Feed Back)

Применяемые в коммерческих приложениях и поставляемые на экспорт аппарат-

ные и программные реализации алгоритма DES используют ключ длиной 56 бит что тре-

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 8 -

бует от злоумышленника перебора 72middot1012

возможных ключевых комбинаций Со-

временные технические средства криптоанализа позволяют взломать такой шифр за не-

сколько часов Поэтому использовать их для серьезных приложений нецелесообразно

Недостатки алгоритма DES

битовые операции в узлах замены неэффективно реализуются программным путем

короткая длина ключа (56 бит) что позволяет организовать полный перебор

обнаружена теоретическая возможность уменьшить пространство перебора с помощью

дифференциального криптоанализа (с выбором шифрограммы) и линейного крипто-

анализа (с известным сообщением) если известно достаточно много (порядка 247

) пар

сообщение-шифрограмма

независимый выбор подключей практически не увеличивает стойкость алгоритма

Более криптостойкая (но втрое менее быстродействующая) версия алгоритма DES

- Triple DES (тройной DES) предусматривающий трехкратное шифрование с двумя клю-

чами Это фактически увеличивает реальную длину ключа до 112 бит Однако с точки

зрения криптоаналитика тройное шифрование с двумя ключами все равно сводится к од-

нократному при использовании атаки с выбором сообщения

42 Алгоритм IDEA

Алгоритм шифрования IDEA (International Data Encryption Algorithm) разра-

ботан в 1989 г в Швейцарии в институте ETH Zurich Авторами его являются Ксуэйджем

Лэйем (Xuejia Lai) и Джеймсом Мэсси (James L Massey) Алгоритм IDEA запатентован в

США и Европе Он в частности используется в программе PGP применяемой в Internet

Алгоритм основан на понятии ldquoсмешения операций принадлежащих различным

алгебраическим группамrdquo В этом алгоритме применяется ключ длиной 128 бит и смеще-

ние операций разных алгебраических групп для блоков длиной 64 бита

Алгоритм шифрования IDEA может работать в любом режиме блочного шифрова-

ния предусмотренном для алгоритма DES и обладает рядом преимуществ Он значитель-

но безопаснее алгоритма DES поскольку 128-битовый ключ алгоритма IDEA вдвое

больше ключа DES Внутренняя структура алгоритма IDEA обеспечивает лучшую устой-

чивость к криптоанализу Существующие программные реализации алгоритма IDEA при-

мерно вдвое быстрее реализаций алгоритма DES

До сих пор IDEA оказывался устойчивым к криптоаналитическим атакам в боль-

шей степени чем другие алгоритмы такие как FEAL REDOC-II LOKI Snefru и Khafre

IDEA более устойчив чем DES к очень успешной кpиптогpафической атаке ЭБихама (Eli

Biham) и АШамиpа (Adi Shamir) использующей дифференциальный криптоанализ так

же как и к атакам с применением линейного кpиптоанализа Поскольку этот алгоритм

продолжает быть мишенью для атак со стороны наиболее выдающихся криптоаналитиков

мира уверенность в стойкости IDEA продолжает расти

43 Алгоритм ГОСТ 28147-89

В нашей стране установлен единый алгоритм криптографического преобразо-

вания данных для систем обработки информации в сетях ЭВМ отдельных вычислитель-

ных комплексах и ЭВМ который определяется ГОСТ 28147-89

Этот алгоритм криптографического преобразования данных предназначен для ап-

паратной и программной реализации удовлетворяет всем криптографическим требовани-

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 9 -

ям и не накладывает ограничений на сте- пень секретности защищаемой информа-

ции Он представляет собой 64-битовый блочный алгоритм с 256-битовым ключом

Алгоритм ГОСТ 28147-89 предусматривает четыре режима работы

шифрование данных в режиме простой замены

шифрование данных в режиме гаммирования

шифрование данных в режиме гаммирования с обратной связью

выработка имитовставки

Блок-схема алгоритма ГОСТ 28147-89 при шифровании данных в режиме простой

замены отличается от блок-схемы алгоритма DES лишь отсутствием начальной переста-

новки и числом циклов шифрования (32 в ГОСТе против 16 в алгоритме DES)

После многих лет существования стандартов DES и ГОСТ 28147-89 можно конста-

тировать что ГОСТ не завоевал такой большой популярности и известности как DES Это

можно объяснить следующими причинами

ГОСТ принят намного позже но идеологически повторяет DES

один из отличительных элементов ГОСТ - использование секретных таблиц

подстановок поставляемых в установленном порядке - был консервативным

изначально

при программной реализации ГОСТ скорость шифрования оказывается слиш-

ком низкой

при аппаратной реализации ГОСТ обеспечение высокой скорости приводит к

неприемлемо высокой цене шифраторов

сомнения пользователей относительно отсутствия потайных дверей подогрева-

емое секретностью используемых подстановок

Для ГОСТ 28147-89 была показана возможность раскрытия ключа и таблиц под-

становок с помощью криптоанализа на основе формирования случайных аппаратных

ошибок (САО) под которым понимается такой вид криптоанализа при котором предпола-

гаемый нарушитель имеет возможность оказать на шифратор внешнее физическое воздей-

ствие и вызвать одиночные ошибки в процессе шифрования одного блока данных По от-

ношению к этому виду криптоанализа уязвимыми являются многие блочные криптоси-

стемы (DES RC5 и др)

44 Новый американский стандарт AES

В 1997 г NIST (National Institute of Standards and Technology) анонсировал конкурс

на создание AES (Advanced Encryption Standard) - нового государственного криптогра-

фического стандарта США Тогда же были оговорены следующие первичные требования

которым должен удовлетворять AES это должен быть незасекреченный открыто опубли-

кованный алгоритм шифрования бесплатно доступный по всему миру Спустя некоторое

время было уточнено что AES должен быть блочным шифром реализующим криптогра-

фическую процедуру с симметричным ключом причем алгоритм (как минимум) должен

поддерживать 128-битную длину шифруемого блока текста и длины ключей 128 192 и

256 бит

В 1998 г были отобраны 15 алгоритмов-кандидатов которые продолжили даль-

нейшую борьбу Из них во второй раунд вышли следующие 5 алгоритмов

MARS - предложен фирмой IBM (США)

RC6 - предложен RSA Laboratories (США) компанией основанной разработчи-

ками самого известного алгоритма шифрования с открытым ключом и являю-

щийся развитием широко применяемого алгоритма RC5

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 10 -

Rijndael - предложен бельгий- скими криптоаналитиками

Джоаном Дайеменом (Joan Daemen) и Винсентом Риджеменом (Vincent Rijmen)

Serpent - предложен международной командой видных криптоаналитиков Рос-

сом Андерсоном (Ross Anderson Великобритания) Эли Бихамом (Eli Biham

Израиль) и Ларсом Кнудсеном (Lars Knudsen Норвегия)

TwoFish - предложен группой американских криптоаналитиков под руковод-

ством президента компании Counterpane Systems Брюса Шнайера (Bruce Schnei-

er) автора известного алгоритма BlowFish

В 2000 году победил Rijndael

5 АСИММЕТРИЧНЫЕ СИСТЕМЫ С ОТКРЫТЫМ КЛЮЧОМ

51 Математические основы шифрования с открытым ключом

Центральным понятием криптографии с открытым ключом является понятие ldquoод-

носторонней функцииrdquo

Односторонней называется функция F X Y обладающая двумя свойствами

a) существует полиномиальный алгоритм вычисления значений F(x)

b) не существует полиномиального алгоритма инвертирования функции F (те решения

уравнения F(x) = y относительно x

Вопрос о существовании односторонних функций пока открыт Частным случаем

односторонней функции является так называемая ldquoфункция с секретомrdquo (функция с ло-

вушкой)

Функцией с секретом K называется функция FK X Y зависящая от параметра

K и обладающая тремя свойствами

a) при любом K существует полиномиальный алгоритм вычисления значений FK (x)

b) при неизвестном K не существует полиномиального алгоритма инвертирования

FK (x)

c) при известном K существует полиномиальный алгоритм инвертирования FK (x)

Про существование функций с секретом можно сказать то же самое что сказано

про односторонние функции Для практических целей криптографии было построено не-

сколько функций которые могут оказаться функциями с секретом Для них свойство б)

пока строго не доказано но считается что задача инвертирования эквивалентна некото-

рой давно изучаемой трудной математической задаче Наиболее известной и популярной

из них является теоретико-числовая функция на основе которой построен алгоритм RSA

Применение функций с секретом в криптографии позволяет

организовать обмен шифрованными сообщениями с использованием только от-

крытых каналов связи те отказаться от секретных каналов связи для предва-

рительного обмена ключами

включить в задачу вскрытия шифра трудную математическую задачу и тем са-

мым повысить обоснованность стойкости шифра

решать новые криптографический задачи отличные от шифрования (цифровая

подпись и др)

Для реализации обмена шифрованными сообщениями используется следующая

схема

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 11 -

Пользователь А который хочет по- лучать шифрованные сообщения должен

выбрать какую-нибудь функцию FK с секретом K Он сообщает всем заинтересованным

(например публикует) описание функции FK в качестве своего алгоритма шифрования

Но при этом значение секрета K он никому не сообщает и держит в секрете Если теперь

пользователь В хочет послать пользователю А защищаемую информацию x X то он

вычисляет y = FK (x) и посылает y по открытому каналу пользователю А Поскольку А

для своего секрета K умеет инвертировать то он вычисляет x по полученному y Никто

другой не знает K и поэтому в силу свойства б) функции с секретом не сможет за полино-

миальное время по известному шифрованному сообщению FK (x) вычислить защищае-

мую информацию x

На сегодняшний день для криптоаналитиков противника нет более эффективных

алгоритмов действия при взломе систем с открытым ключом чем дискретное логарифми-

рование а это - вычислительно сложная задача Под вычислительно сложной задачей по-

нимают задачу заведомо имеющую решение но требующую для его нахождения выпол-

нения чрезвычайно большого числа операций

Несмотря на то что системы с открытым ключом хорошо зарекомендовали себя на

практике представляется маловероятным что их когда-либо станут использовать для

шифрования секретной информации на государственном уровне Дело в том что суще-

ствует метод развиваемый американским математиком Петером Шором (Peter Schoor)

позволяющий разложить сколь угодно большие величины на составляющие что является

необходимой предпосылкой для вскрытия существующих сегодня шифров с открытым

ключом например генерируемых на основе RSA-алгоритмов

Единственная загвоздка позволяющая пока еще спать спокойно тем кто несет от-

ветственность за миллиардные денежные потоки - для реализации разработок Петера

Шора неприменимы даже супермощные современные компьютеры Только принципиаль-

но новая генерация ЭВМ так называемые квантовые компьютеры воспринимающие по-

следовательность нулей и единиц не по принципу ldquoесть ток ndash нет токаrdquo а ldquoквантовое со-

стояние 1 ndash квантовое состояние 2rdquo (те различающих энергетические уровни ионов и

электронов и поляризацию фотонов) сможет справиться с колоссальным объемом вычис-

лений порождаемых алгоритмом декодирования Шора Кстати эти алгоритмы пригодны

только для вскрытия шифров ndash с их генерированием они не имеют ничего общего

Хотя появление квантовых компьютеров ndash дело относительно отдаленного буду-

щего (сам ПШор отводит на их разработку от 10 до 50 лет) резонанс вызванный работа-

ми американца уже привел к беспокойству в экономике что соответственно дало импуль-

сы развития в ldquoлагере брониrdquo ldquoШифровальщики уже трудятся над совершенствованием

методик кодированияrdquo - констатирует отец ldquoвиртуальной отмычкиrdquo получивший за свой

вклад престижную премию на Международном математическом конгрессе прошедшем в

Берлине во второй половине августа 1999 года

52 Алгоритм RSA (Rivest Shamir Adleman)

Алгоритм RSA является одним из первых алгоритмов шифрования с открытым

ключом который нашел практическое применение Он был предложен в 1978 г тремя ав-

торами Рональдом Райвестом (Ronald Rivest) Ади Шамиром (Adi Shamir) и Леонардом

Адлерманом (Leonard M Adlerman) и получил название по первым буквам их фамилий

Алгоритм RSA использует факт что нахождение больших (например 100-битных)

простых чисел в вычислительном отношении осуществляется легко однако разложение на

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 12 -

множители произведения двух таких чи- сел в вычислительном отношении пред-

ставляется невыполнимым

Алгоритм RSA принят в качестве следующих международных стандартов

ISOIECDIS 9594-8 и X509 В настоящее время Международная сеть электронного пере-

числения платежей SWIFT требует от банковских учреждений пользующихся ее услуга-

ми применения именно этого алгоритма криптографического преобразования информа-

ции

Алгоритм работает так

1 Отправитель выбирает два очень больших простых числа P и Q и вычисляет два про-

изведения N = PQ и M = (P-1)(Q-1)

2 Затем он выбирает случайное целое число D взаимно простое с M и вычисляет E

удовлетворяющее условию DE = 1 mod M

3 После этого он публикует D и N как свой открытый ключ шифрования сохраняя E

как закрытый ключ

4 Если S - сообщение длина которого определяемая по значению выражаемого им це-

лого числа должна быть в интервале (1 N) то оно превращается в шифровку возве-

дением в степень D по модулю N и отправляется получателю S1 = SD mod N

5 Получатель сообщения расшифровывает его возводя в степень E по модулю N так

как S = S1E mod N = S

DE mod N

Таким образом открытым ключом служит пара чисел N и D а секретным ключом

число EСмысл этой системы шифрования основан на так называемой малой теореме

Ферма которая утверждает что при простом числе P и любом целом числе K которое

меньше P справедливо тождество KP-1

= 1 mod P Эта теорема позволяет определить

является ли какое-либо число простым или составным

53 Алгоритм Эль Гамаля

Другим известным методом является предложенный в 1985 г Тахером Эль Гама-

лем (Taher El Gamal) алгоритм Эль Гамаля положенный в основу стандарта NIST (Na-

tional Institute of Standards and Technology)2 - MD 20899

Алгоритм основан на возведении в степень по модулю большого простого числа

Для этого задается большое простое число P Сообщения представляются целыми числа-

ми S из интервала (1 P) Оригинальный протокол передачи сообщения S выглядит в ва-

рианте АШамира так

1 Отправитель А и получатель В знают лишь P А генерирует случайное число X из ин-

тервала (1 P) и В тоже генерирует случайное число Y из того же интервала

2 А шифрует сообщение S1 = SX mod P и посылает В

3 В шифрует его своим ключом S2 = S1Y mod P и посылает S2 к А

4 А ldquoснимаетrdquo свой ключ S3 = S2-X

mod P и возвращает S3 к В

5 Получатель В расшифровывает сообщение S = S3-Y

mod P

2 Национальный институт стандартов и технологий США (бывший ANSI)

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 13 -

С точки зрения практической реа- лизации как программным так и аппа-

ратным способом ощутимой разницы между алгоритмами Эль Гамаля и RSA нет Одна-

ко в криптостойкости они заметно различаются

У алгоритма Эль Гамаля большая степень защиты чем у алгоритма RSA дости-

гается с тем же по размеру N что позволяет на порядок увеличить скорость шифрования

и расшифрования Она основана на том факте что трудно найти показатель степени в ко-

торую нужно возвести заданное число чтобы получить другое тоже заданное В общем

случае эта задача дискретного логарифмирования является более трудной чем разложе-

ние больших чисел на простые множителиЕсли рассматривать задачу разложения произ-

вольного целого числа длиной 512 бит на простые множители и задачу логарифмирования

целых чисел по 512 бит вторая задача по оценкам математиков несравненно сложнее

первой

Однако есть одна особенность Если в системе построенной с помощью алгорит-

ма RSA криптоаналитику удалось разложить открытый ключ N одного из абонентов на

два простых числа то возможность злоупотреблений ограничивается только этим кон-

кретным пользователем В случае системы построенной с помощью алгоритма Эль Га-

маля угрозе раскрытия подвергнутся все абоненты криптографической сети

54 Алгоритм PGP (Pretty Good Privacy)

Разработчик - Филипп Циммерманн (Philip R Zimmermann)

Последняя версия - 65 (ноябрь 1999 г)

PGP предоставляет выбор из ряда различных алгоритмов с секретным ключом ис-

пользуемых для шифрования сообщений PGP предоставляет три симметричных блочных

шифра включая CAST тройной DES и IDEA Эти алгоритмы не являются ldquoдомашними

поделкамиrdquo все они разработаны командами криптоаналитиков с выдающейся репутаци-

ей

Все три шифра оперируют с 64-битными блоками открытого текста причем алго-

ритмы CAST и IDEA оперируют с 128-битным ключом а тройной DES - с ключом длиной

168 бит Как и стандарт шифрования данных (DES) любой из этих шифров может исполь-

зоваться в режимах сцепления блоков шифра CBC (Cipher Block Chaining) и обратной свя-

зи по шифртексту CFB (Cipher Feed Back) PGP использует их в режиме CFB с размером

блока 64 бит

Алгоритм CAST включен в PGP потому что он является многообещающим в ка-

честве хорошего блочного шифра с 128-битной длиной ключа а также потому что он

очень быстрый и кроме того может быть использован бесплатно Его название состоит

из инициалов разработчиков Каpлисла Адамса (Carliss Adams) и Стаффоpда Таваpеса

(Stafford Tavares) из Northern Telecom (Nortel) Nortel подал патентную заявку на CAST но

разработчики сделали письменное заявление о том что CAST может использоваться все-

ми на бесплатной основе Специалистами в области криптографии CAST признан исклю-

чительно хорошо построенным алгоритмом Он основан на формальном подходе с ис-

пользованием ряда математически доказуемых положений Это позволяет предположить

что для взлома его 128-битного ключа требуется исчерпывающий перебор вариантов Су-

ществуют достаточно весомые аргументы в пользу того что CAST полностью иммунен

как к линейному так и к дифференциальному криптоанализу (двум самым мощным из

опубликованных схем кpиптоанализа обе из которых оказались достаточно эффективны-

ми для взлома DES)

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 14 -

Открытые ключи генерируемые PGP версии 50 или более ранних содер-

жат информацию которая сообщает отправителю какие из блочных шифров поддержи-

ваются программным обеспечением получателя так что программное обеспечение отпра-

вителя ldquoзнаетrdquo какие из шифров могут быть использованы С открытыми ключами

DSSDH могут использоваться блочные шифры CAST IDEA и тройной DES причем

CAST является выбором по умолчанию С открытыми ключами RSA в настоящее время

может использоваться только IDEA так как ранние версии PGP поддерживают лишь RSA

и IDEA

6 ПОНЯТИЕ ЭЛЕКТРОННОЙ ПОДПИСИ

ФУНКЦИЯ ХЭШИРОВАНИЯ

Асимметричные системы с открытым ключом можно также использовать для циф-

ровой подписи сообщений которую невозможно подделать за полиномиальное время

Пусть пользователю А необходимо подписать сообщение x Он зная секрет K

находит такое y что FK (y) = x и вместе с сообщением x посылает y пользователю В в

качестве своей цифровой подписи Пользователь В хранит y в качестве доказательства то-

го что А подписал сообщение x

Сообщение подписанное цифровой подписью можно представлять себе как пару

(x y) где x - сообщение y - решение уравнения FK (y) = x FK X Y - функция с сек-

ретом известная всем взаимодействующим абонентам Из определения функции FK оче-

видны следующие достоинства цифровой подписи

a) подписать сообщение x те решить уравнение FK (y) = x может только абонент - об-

ладатель данного секрета K другими словами подделать подпись невозможно

b) проверить подлинность подписи может любой абонент знающий открытый ключ те

саму функцию FK

c) при возникновении споров отказаться от подписи невозможно в силу ее неподделыва-

емости

d) подписанные сообщения (x y) можно не опасаясь ущерба пересылать по любым ка-

налам связи

Важным преимуществом асимметричных методов является возможность иденти-

фикации отправителя путем использования его электронной подписи Идея технологии

электронной подписи состоит в следующем Отправитель передает два экземпляра одного

сообщения открытое и расшифрованное его закрытым ключом (те обратно шифрован-

ное) Получатель шифрует с помощью открытого ключа отправителя расшифрованный

экземпляр Если он совпадет с открытым вариантом то личность и подпись отправителя

считается установленной

Формально выражаясь асимметричный метод обеспечивает реализацию электрон-

ной подписи при выполнении следующего тождества

E(D(T)) = D(E(T)) = T

При практической реализации электронной подписи также шифруется не все со-

общение а лишь специальная контрольная сумма - хэш (hash total) защищающая посла-

ние от нелегального изменения Важно что электронная подпись здесь гарантирует как

целостность сообщения так и удостоверяет личность отправителя

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 15 -

Вопросы реализации электронной подписи и вычисления ее хэша определе-

ны в отечественных стандартах ldquoИнформационная технология Криптографическая защи-

та информацииrdquo а именно ГОСТ Р 3410-2001 ldquo Информационная технология Крипто-

графическая защита информации Процессы формирования и проверки электронной циф-

ровой подписиrdquo и ГОСТ 3411-94 ldquoФункция хэшированияrdquo

В заключении раздела отметим что криптографические методы используются так-

же для контроля целостности информации и программ Для этого применяется шифрован-

ная контрольная сумма исходного текста (имитоприставка) вычисленная с применением

секретного ключа В отличии от традиционной контрольной суммы (используемой для

защиты от программно-аппаратных сбоев и ошибок) имитоприставка обеспечивает прак-

тически абсолютную защиту как от непреднамеренной так и преднамеренной модифика-

ции данных или программы

7 ОСНОВНЫЕ ТИПЫ КРИПТОАНАЛИТИЧЕСКИХ АТАК

Фундаментальное правило криптоанализа впервые сформулированное голландцем

АКеркхоффом еще в XIX веке заключается в том что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа Иными словами правило Керкхоффа

состоит в том что весь алгоритм шифрования кроме значения секретного ключа известен

криптоаналитику противника Это обусловлено тем что криптосистема реализующая се-

мейство криптографических преобразований обычно рассматривается как открытая си-

стема Такой подход отражает очень важный принцип технологии защиты информации

защищенность системы не должна зависеть от секретности чего-либо такого что не-

возможно быстро изменить в случае утечки секретной информации

Обычно криптосистема представляет собой совокупность аппаратных и программ-

ных средств которую можно изменить только при значительных затратах времени и

средств тогда как ключ является легко изменяемым объектом Именно поэтому стойкость

криптосистемы определяется только секретностью ключа

Другое почти общепринятое допущение состоит в том что криптоаналитик имеет в

своем распоряжении шифртексты сообщений

Существует четыре основных типа криптоаналитических атак Конечно все они

формулируются в предположении что криптоаналитику известны применяемый алгоритм

шифрования и шифртексты сообщений

1 Криптоаналитическая атака при наличии только известного шифртекста Крип-

тоаналитик имеет только шифртексты C1 C2 hellip Ci нескольких сообщений причем все

они зашифрованы с использованием одного и того же алгоритма шифрования Ek Ра-

бота криптоаналитика заключается в том чтобы раскрыть исходные тексты M1 M2 hellip

Mi по возможности большинства сообщений или еще лучше вычислить ключ K ис-

пользованный для шифрования этих сообщений с тем чтобы расшифровать и другие

сообщения зашифрованные этим шифром

Этот вариант соответствует модели внешнего нарушителя который имеет физиче-

ский доступ к линии связи но не имеет доступ к аппаратуре шифрования и дешифрова-

ния

2 Криптоаналитическая атака при наличии известного открытого текста Крипто-

аналитик имеет доступ не только к шифртекстам C1 C2 hellip Ci и нескольких сообще-

ний но также к открытым текстам M1 M2 hellip Mi этих сообщений Его работа заклю-

чается в нахождении ключа K используемого при шифровании этих сообщений или

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 16 -

алгоритма расшифрования Dk любых новых сообщений зашифрованных

тем же ключом причем все они зашифрованы с использованием одного и того же ал-

горитма шифрования Ek

Возможность проведения такой атаки складывается при шифровании стандартных

документов подготавливаемых по стандартным формам когда определенные болки дан-

ных повторяются и известны Он также применим при использовании режима глобально-

го шифрования когда вся информация на встроенном магнитном носителе записывается в

виде шифртекста включая главную корневую запись загрузочный сектор системные

программы и пр При хищении этого носителя (или компьютера) легко установить какая

часть криптограммы соответствует системной информации и получить большой объем

известного исходного текста для выполнения криптоанализа

3 Криптоаналитическая атака при возможности выбора открытого текста Крипто-

аналитик не только имеет доступ к шифртекстам C1 C2 hellip Ci и связанным с ними от-

крытым текстам M1 M2 hellip Mi этих сообщений но и может по желанию выбирать от-

крытые тексты которые затем получает в зашифрованном виде Такой криптоанализ

получается более мощным по сравнению с криптоанализом с известным открытым

текстом потому что криптоаналитик может выбрать для шифрования такие блоки от-

крытого текста которые дадут больше информации о ключе Работа криптоаналитика

состоит в поиске ключа K использованного для шифрования сообщений или алго-

ритма рашифрования Dk новых сообщений зашифрованных тем же ключом

Этот вариант атаки соответствует модели внутреннего нарушителя На практике

такая ситуация может возникнуть при вовлечении в криптоатаку лиц которые не знают

секретного ключа но в силу своих служебных полномочий имеют возможность использо-

вать шифрование для передачи своих сообщений

4 Криптоаналитическая атака с адаптивным выбором открытого текста Это - осо-

бый вариант атаки с выбором открытого текста Криптоаналитик может не только вы-

бирать открытый текст который затем шифруется но и изменять свой выбор в зави-

симости от результатов предыдущего шифрования При криптоанализе с простым вы-

бором открытого текста криптоаналитик обычно может выбирать несколько крупных

блоков открытого текста для их шифрования при криптоанализе с адаптивным выбо-

ром открытого текста он имеет возможность выбрать сначала более мелкий пробный

блок открытого текста затем выбрать следующий блок в зависимости от результатов

первого выбора и тд Эта атака предоставляет криптоаналитику еще больше возмож-

ностей чем предыдущие типы атак

Кроме перечисленных основных типов криптоаналитических атак можно отме-

тить по крайней мере еще два типа

5 Криптоаналитическая атака с использованием выбранного шифртекста Крипто-

аналитик может выбирать для расшифрования различные шифртексты и имеет доступ

к расшифрованным открытым текстам Например криптоаналитик получил досту к

защищенному от несанкционированного вскрытия блоку который выполняет автома-

тическое расшифрование Работа криптоаналитика заключается в нахождении ключа

Этот тип криптоанализа представляет особый интерес для раскрытия алгоритмов с от-

крытым ключом

6 Криптоаналитическая атака методом полного перебора всех возможных ключей

Эта атака предполагает использование криптоаналитикомизвестного шифртекста и

осуществляется посредством полного перебора всех возможных ключей с проверкой

является ли осмысленным получающийся открытый текст Такой подход требует при-

влечения предельных вычислительных ресурсов и иногда называется силовой атакой

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 17 -

Существуют и другие менее рас- пространенные виды криптоаналитиче-

ских атак

8 ЗАКЛЮЧЕНИЕ

Разумеется отразить в одной лекции все вопросы и проблемы современной крип-

тологии - задача невыполнимая Объем знаний в этой области чрезвычайно велик и про-

должает интенсивно увеличиваться Кроме того для полноценного освоения всех вопро-

сов криптологии требуется весьма солидная университетская математическая подготовка

Важно подчеркнуть что шифрование информации с одной стороны требует опре-

деленных затрат на его выполнение а с другой - не гарантирует 100-процентной надеж-

ности защиты от злоумышленника Поэтому всегда надо четко оценивать необходимость

применения это способа защиты информации в конкретных ситуациях

9 ЛИТЕРАТУРА

91 Руководящие документы

911 ГОСТ 28147-89 Система обработки информации Защита криптографическая Ал-

горитм криптографического преобразования

912 ГОСТ Р 3410-2001 Информационная технология Криптографическая защита ин-

формации Процедуры выработки и проверки электронной цифровой подписи на базе

асимметричного криптографического алгоритма

913 ГОСТ Р 3411-94 Информационная технология Криптографическая защита ин-

формации Функция хэширования

914 Указ Президента Российской Федерации от 3 апреля 1995 г 334 ldquoО мерах по

соблюдению законности в области разработки производства реализации и эксплуа-

тации шифровальных средств а также представления услуг в области шифрования

информацииrdquo

92 Основная литература

921 Герасименко ВА Малюк АА Основы защиты информации - М Изд МИФИ

1997 - 538 с (Разделы 66 и 94)

922 Жельников В Криптография от папируса до компьютера - М ABF 1996 - 336 с

923 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаука Сиб Предприятие РАН 1998 - 194 с

924 Романец ЮВ Тимофеев ПА Шаньгин ВФ Защита информации в компьютерных

системах и сетях Под ред ВФШаньгина - М Радио и связь 1999 - 328 с

925 Саломаа А Криптография с открытым ключом Пер с англ - М Мир 1996 -

304 с

926 Шеннон КЭ Теория связи в секретных системах В кн КЭШеннон Работы по тео-

рии информации и кибернетике - М ИЛ 1963 - с 243 - 332

93 Дополнительная литература

931 Акритас А Основы компьютерной алгебры с приложениями Пер с англ - М Мир

1994 - 544 с

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 18 -

932 Брассар Ж Современная криптоло- гия Руководство Пер с англ - М

Изд ldquoПолимедrdquo 1999 - 176 с - 5000 экз

933 Варфоломеев АА Жуков АЕ Мельников АБ Устюжанин ДД Блочные крипто-

системы Основные свойства и методы анализа стойкости - М Изд МИФИ 1998 -

200 с - 500 экз

934 Введение в криптографию Под общей ред ВВЯщенко - М МЦНМО ldquoЧеРоrdquo

1998 - 272 с - 3 000 экз

935 Виноградов ИМ Основы теории чисел - М Наука 1981 - 180 с

936 Диффи У Хеллмэн М Защищенность и имитостойкость введение в криптографию

Пер с англ ТИИЭР - 1979 - Т 67 3

937 Зима ВМ Молдовян АА Молдовян НА Защита компьютерных ресурсов от не-

санкционированных действий пользователей - СПб Изд ВИКА 1997 - 189 с

938 Кузьминов ТВ Криптографические методы защиты информации - Новосибирск

ldquoНаукаrdquo Сибирское предприятие РАН 1998 - 194 с - 307 экз

939 Молдовян АА Молдовян НА Советов БЯ Скоростные программные шифры и

средства защиты информации в компьютерных системах Под общей ред

БЯСоветова - СПб Изд ВАС 1997 - 136 с - 500 экз

9310 Молдовян НА Проблематика и методы криптографии - СПб Изд СпбГУ 1998 -

212 с

9311 Нечаев ВИ Элементы криптографии (Основы теории защиты информации Учеб

Пособие для ун-тов и пед вузов Под ред ВАСадовничего - М Высшая школа

1999 - 109 с - 8000 экз

94 Статьи

941 Андреев НН Россия остается в числе лидеров мировой криптографии ldquoЗащита

информации Конфидентrdquo - 1998 5 - с 12 - 17

942 Бияшев РГ Диев СИ Размахнин МК Основные направления развития и совер-

шенствования криптографического закрытия информации Зарубежная радиоэлек-

троника - 1989 - 12 - с 76 - 91

943 Вольф М Виртуальная отмычка для нового поколения ЭВМ PC WEEKRussian

Edition - 8-14 сентября 1998 г 35 (159)

944 Герасименко ВА Скворцов АА Харитонов ИЕ Новые направления применения

криптографических методов защиты информации Зарубежная радиоэлектроника -

1989 - 12 - с 92 - 101

945 Гончаров С Криптография ломайте головы hellip КомпьютерПресс - 1998 6 - с

59 - 61

946 Демидов А Некоторые понятия криптографии Мир Internet - 1997 7 (10) - с 24

- 31

947 Запечников СВ Модель активной безопасности и возможности ее реализации в си-

стемах криптографической защиты информации Безопасность информационных

технологий - М Изд МИФИ 1998 4 - с 52 - 54

948 Киви Б Финалисты Компьютерра - 1999 50 (328) - с 34 - 36

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 19 -

949 Клепов А Зудин А Комплексная криптографическая защита информа-

ции КомпьютерПресс - 1998 6 - с 64 - 67

9410 Ключевский Б Криптографические алгоритмы ldquoЗащита информации Конфи-

дентrdquo - 1998 3 - с 57 - 64

9411 Ключевский Б Специальные криптографические протоколы ldquoЗащита информа-

ции Конфидентrdquo - 1999 1-2 - с 71 - 79

9412 Круглов АВ Мартынов АП Фомченко ВН Снапков ВА Возможные пути

устранения избыточности при криптографическом преобразовании информации

ldquoЗащита информации Конфидентrdquo - 1999 1-2 - с 80 - 82

9413 Купцов А Internet и российская криптография ldquoЗащита информации Конфидентrdquo

- 1998 3 - с 77 - 82

9414 Молдовян АА Молдовян НА Молдовян ПА Вероятностные механизмы в неде-

терминированных блочных шифрах Безопасность информационных технологий -

М Изд МИФИ 1997 3 - с 58 - 61

9415 Молдовян АА Молдовян НА Молдовян ПА Новый метод криптографических

преобразований для современных систем защиты ПЭВМ Управляющие системы и

машины - Киев 1992 910 - с 44 - 50

9416 Молдовян АА Молдовян НА Молдовян ПА Новый принцип построения крип-

тографических модулей в системах защиты ЭВМ Кибернетика и системный анализ

- Киев 1993 5 - с 42 - 49

9417 Молдовян АА Молдовян НА Молдовян ПА Принципы построения программ-

но-ориентированных криптосистем с неопределенным алгоритмом Управляющие

системы и машины - Киев 1995 12 - с 49 - 56

9418 Молдовян АА Молдовян НА Молдовян ПА Псевдовероятностные скоростные

блочные шифры для программной реализации Кибернетика и системный анализ -

Киев 1997 4 - с 133 - 141

9419 Молдовян НА Каким быть новому стандарту шифрования Компьютерра ndash 2000

2 (331) ndash с 29 - 30

9420 Отставнов М Баба-Яга уже не против Фил Зиммерман ldquoЭндшпильrdquo Просто от-

крытая закрытость Компьютерра - 1999 40 (318) - с 21 - 28

9421 Отставнов М Как украсть миллион Компьютерра - 1999 50 (328) - с 20

9422 Отставнов М Ниже пояса Компьютерра - 1999 37 (315) - с 38 - 40

9423 Отставнов М Почему шифры стойкие Компьютерра - 1999 27-28 (305-306) -

с 40 - 43

9424 Отставнов М Гонка Компьютерра ndash 2000 2 (331) ndash с 19

9425 Отставнов М Крипто по-русски Аналитический репортаж Компьютерра ndash 2000

2 (331) ndash с 20 - 23

9426 Пудовченко ЮЕ Когда наступит время подбирать ключи ldquoЗащита информации

Конфидентrdquo - 1998 3 - с 65 - 71

9427 Ростовцев АГ Решеточный криптоанализ Безопасность информационных техно-

логий - М Изд МИФИ 1997 3 - с 53 - 55

9428 Студнев А Криптографический стандарт в новом тысячелетии BYTE-Россия -

1999 - 10 (14) октябрь - с 41 - 46 (Данная статья посвящена процессу выбора

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca

- 20 -

нового стандарта инициированного NIST (National Institute of Standards

and Technology) в 1997 году для выбора алгоритма симметричного шифрования AES

который должен заменить существующий стандарт DES)

9429 Терехов АН Тискин АВ Криптография с открытым ключом от теории к стан-

дарту Программирование - 1994 5 - с 17 - 22

9430 Чандлер Дж Введение в криптографию BYTE-Россия - 1999 12 (16) - с 18 -

25

9431 Шнайер Б Открытые исходники и безопасность Компьютерра - 1999 40 (318)

- с 30 - 31

9432 Шнайер Б Слабые места криптографических систем Открытые системы - 1999

1 - с 31 - 36

9433 Шнайер Б Ханаанский бальзам BYTE-Россия - 1999 12 (16) - с 14 - 17

95 Страницы в INTERNET

951 Результаты первого этапа анализа алгоритмов для стандарта AES

httpcsrcnistgovencriptionaesround2round2htm

952 Описание финалистов стандарта AES вышедших во второй раунд

httpcsrcnistgovencriptionaesround2round2htm

953 Цикл статей по криптографии Анрея Винокурова

httpwwwenlightruibtechcryptoindexhtm

954 Ростовцев АГ Михайлов НВ Методы криптоанализа классических шифров

httpsecuritylggrupswcryptocryptoanalysishtml

955 Файстель Хорст Криптография и компьютерная безопасность (перевод)

httpwwwhalyavarucryptofeist_ihtm

956 Брюс Шнайер Бесплатный бюллетень компании Counterpane Systems новостей из

области криптографии

httpwwwcounterpanecom

957 Материалы Русской криптографической ассоциации учрежденной на Первой меж-

дународной конференции по современным технологиям работы с электронными до-

кументами ldquoРусКрипто 99rdquo

httpwwwlibertariumrulibertariumrca