foundations_chap_2 (Лекции по информационной безопасности), страница 5

Данные узлы замены призваны играть рольдолговременного ключа. Но, поскольку неизвестно: имеются ли средивозможных узлов замены такие, которые снижают стойкость шифрования информации, такая неопределенность является скорее недостатком, чем преимуществом.В качестве узлов замены ГОСТ 28147–89 могут быть использованы подстановки, рекомендуемые ГОСТ Р 34.11–94 для алгоритмагенерации хеш-функции (эти алгоритмы имеют общую основу). Можно предположить, что данные узлы замены обладают необходимымикриптографическими характеристиками, не только для алгоритма вычисления хеш-функции, но и для алгоритма шифрования.Еще одно отличие состоит в том, что в алгоритме DES блоки шифруемого текста вначале подвергаются некоторой заданной перестановке, а после 16 циклов получившиеся данные подвергаются обратнойперестановке.Таким образом, параметры алгоритмов шифрования DES и ГОСТможно представить в виде таблицы.§ 2.2.СИСТЕМЫ БЛОЧНОГО ШИФРОВАНИЯ: DES И ГОСТ153Таблица 2.5Длина ключевого элементаКоличество цикловОбъем ключа (бит)DES481656ГОСТ3232256И DES, и ГОСТ являются стойкими алгоритмами шифрования,в том смысле, что неизвестны методы дешифрования, кардинальноотличающиеся по трудоемкости от метода тотального перебора.

Но,так как у DES слишком короткий по современным меркам ключ, данный алгоритм шифрования уже не является надежным. В 1998 годуElectronic Frontier Foundation построена ЭВМ стоимостью 250 тысячдолларов, способная определять ключ DES в среднем за 112 часов [7].В настоящее время аналогичную машину можно построить за гораздо меньшие деньги. Можно вообще обойтись без специализированнойсуперЭВМ, а использовать большое количество персональных компьютеров, объединенных в сеть. Таким образом, имеются основанияпредполагать, что некоторые наиболее богатые специальные службы,такие как Агентство национальной безопасности США (National Security Agency), уже давно имеют возможность читать информацию,зашифрованную с помощью DES.Российский ГОСТ имеет не только гораздо более длинный ключ,в нем также увеличено в два раза количество циклов.

На данный момент не известно никаких реальных подходов, позволяющих вскрытьзашифрованный текст, не имея ключа. Однако режим простой замены ГОСТа на шифрование данных имеет ряд недостатков, общих состандартом DES.Во-первых, при шифровании на одном и том же ключе одинаковые 64-битные блоки открытого текста перейдут в одинаковые блокишифрованного текста. Конечно, дешифровать такой текст, используястатистику встречаемости блоков, невозможно, так как подавляющеебольшинство блоков встретится не более одного раза. Однако отдельные блоки, такие как последовательности пробелов или стандартныесловосочетания, могут повторяться, что дает некоторую информациюо том тексте, который был зашифрован.Во-вторых, при использовании простой замены легко незаметнопроизвести подмену одного шифрованного текста, или его части, другим шифрованным текстом (если они зашифрованы на одном ключе).Можно также поменять местами отдельные участки одного шифртекста.154КРИПТОГРАФИЧЕСКИЕ МЕТОДЫ ЗАЩИТЫКак мы уже отмечали выше, в ГОСТ 28147–89 кроме режима простой замены предусмотрено еще два режима, предназначенных дляшифрования информации.

При шифровании данных в режиме гаммирования данная схема с небольшими изменениями используется длявыработки гаммы в виде 64-разрядных слов, которая складываетсяпоразрядно по модулю два с шифруемым текстом. При шифрованииданных в режиме гаммирования с обратной связью уже зашифрованный текст используется для выработки последующих блоков гаммы.В этих двух режимах перед началом шифрования в накопители N1 , N2вводится так называемая синхропосылка, от которой будет зависетьвырабатываемая в дальнейшем гамма. Поэтому одинаковые отрезкиоткрытого сообщения будут зашифрованы по-разному, как в одномсообщении, так и в разных сообщениях, даже если используются одинаковые ключи, но не совпадают синхропосылки.Кроме режимов, предназначенных собственно для шифрования,в ГОСТ 28147–89 предусмотрен режим выработки имитовставки, которая зависит от всего сообщения и позволяет контролировать егоцелостность.В режиме выработки имитовставки для обеспечения имитозащиты сообщения (в нем должно быть не меньше двух блоков длиной 64 бита) вырабатывается дополнительный блок длинной d бит.Процесс выработки имитовставки заключается в последовательномприменении преобразования, соответствующего 16-ти циклам режима простой замены, с прибавлением по модулю 2 после каждых 16-тициклов следующих блоков открытого текста.

В завершение из полученных 64 бит выбирается d бит, которые и добавляются к сообщениюв качестве имитовставки. Для проверки подлинности данных необходимо вычислить имитовставку для этих данных и сравнить ее с имитовставкой, полученной вместе с данными. Если они не совпадут, тоданные считаются ложными.При использовании имитозащиты совместно с шифрованием данных, сначала вырабатывается имитовставка для открытых данных,а затем уже данные шифруются. Для проверки целостности такихданных их необходимо расшифровать, для полученного результатавычислить имитовставку и сравнить с той, которой были дополненызашифрованные данные.При выборе значения параметра d (числа двоичных разрядов вимитовставке) нужно учитывать, что вероятность навязывания лож−dных данных (вероятность угадывания имитовставки) равна 2 .Не следует путать имитовставку с контрольной суммой или цифровой подписью.

Для того, чтобы вычислить контрольную сумму,нужно знать только алгоритм ее вычисления, в то время как для на-§ 2.3.ЦИФРОВАЯ ПОДПИСЬ И ШИФРОВАНИЕ С ОТКРЫТЫМ КЛЮЧОМ155хождения имитовставки необходимо знать секретный ключ. Такимобразом, злоумышленник, даже имея возможность изменять текст иимитовставку к нему, не сможет незаметно произвести подмену текста (если только случайно не угадает имитовставку).С другой стороны, следует отметить, что имитовставка не можетвыполнять для электронного документа функции, которые выполняет подпись авторучкой для документа на бумаге.

Это связано с тем,что контроль целостности передаваемых данных с помощью имитовставки подразумевает наличие полного доверия между абонентами.Тот, кто может проверять подлинность имитовставки, имеет такжеи возможность создавать имитовставку для любых данных. Такимобразом, получатель легко может создать поддельное сообщение.

Вто же время абонент, пославший сообщение, может отказаться от него, даже если он его действительно посылал. В отличие от имитовставки, цифровая подпись электронного документа может не толькозащитить сообщение от подделки посторонним злоумышленником, нои обеспечить защиту от действий недобросовестных участников информационного обмена. В этом смысле цифровая подпись ближе посвоим возможностям к обычной подписи для документа на бумаге.Алгоритмы цифровой подписи основаны уже не на методах классической криптографии с секретным ключом, а на идеях криптосистемс открытым ключом, которые излагаются в следующем параграфе.Описанный в данном параграфе Российский стандарт шифрования обеспечивает высокую стойкость, что не позволяет получить доступ к зашифрованной информации в случаях, оговоренных законом.Поэтому периодически поднимаются идеи изготовления шифраторов стак называемым «депонированным» ключом, состоящим из двух частей, которые будут храниться в двух независимых организациях, стем, чтобы для расшифрования сообщений была необходима информация из обеих организаций.§ 2.3.

Цифровая подпись и системы шифрованияс открытым ключомПрежде чем перейти к изложению основных идей криптографии соткрытым ключом, рассмотрим основные недостатки систем шифрования с симметричным — секретным ключом. Самый очевидный изних — это необходимость распределения секретных ключей. Другойнедостаток связан с тем, что защита от подделки сообщений с помощью имитовставки, полученной на симметричном ключе, не обеспечивает защиту информации от подделки одним из владельцев секретногоключа. Это приводит к тому, что недобросовестный участник инфор-156КРИПТОГРАФИЧЕСКИЕ МЕТОДЫ ЗАЩИТЫмационного обмена может сфабриковать якобы полученное сообщение,либо отказаться от сообщения, посланного им самим.Все эти проблемы позволяет решить криптография с открытымключом.Предположим, что имеется пара преобразований E и D, удовлетворяющих условиям:1.

Для любого сообщения x выполняется равенство D(E(x)) = x.2. E и D легко вычисляются для любых исходных данных.3. Преобразования E и D сложно обратить, то есть, зная E изначение E(x), трудно определить x, а, зная D и x, трудно найтитакое y, что D(y) = x.В данном случае преобразование E обеспечивает шифрование информации, а D — расшифрование. Для того, чтобы обеспечить секретную связь между абонентами A и B, нужно, чтобы каждый из нихсоздал свою пару преобразований: E1 , D1 и E2 , D2 , и передал своемукорреспонденту преобразование для шифрования (при этом каждыйиз абонентов должен держать в секрете свои ключи расшифрования).←−−→AE1 ,D1E2BE2 ,D2E1Рис. 2.2Зашифрованное абонентом A сообщение E2 (x) сможет расшифровать только владелец ключа расшифрования D2 — абонент B.