Щерба В.В. Криптографическая защита информации

101

где E, D – алгоритмы зашифрования и расшифрования; tА – метка времени пользователя А;

id(А), id(B) – идентификаторы пользователя А и В соответственно. Напомним, что включение в сообщение метки времени позволяет проводить контроль единственности и своевременности получения сообщения и предотвращает возможные попытки повторной передачи сообщения, а использование значения идентификатора В предот-

вращает атаки отражения.

Этот протокол может быть модифицирован таким образом, чтобы новый секретный ключ генерировался не одной стороной, а стал результатом двустороннего обмена. Пусть пользователи А и В в процессе протокола выбирают случайные числа kA и kB, тогда:

Примером протокола второго вида может служить протокол А Шамира, позволяющий передать ключ без использования какой-либо общей секретной информации. В этом преобразовании применяются шифрующие алгоритмы, обладающие коммутативным свойством, а именно:

Ek1 (Ek2 (х)) = Ek2 (Ek1 (х)).

В этой ситуации пользователи А и В могут реализовать следующий протокол для передачи секретного ключа k от пользователя А к В.

Трехсторонние протоколы передачи ключей

Рассмотрим примеры протоколов распределения ключей между парами пользователей с участием третьей стороны Т, называемой центром. В этом качестве может выступать сервер или узел сети, которому доверяют все участники.

В выполнения трех первых шагов протокола пользователи А и В получают сгенерированный центром Т общий ключ k. Четвертый и пятый шаги протокола предназначены для идентификации пользователя А и подтверждения правильности получения общего ключа взаимодействующими сторонами.

Распределение ключей с использованием асимметричных криптографических систем

Уже отмечалось, что благодаря своим свойствам асимметричные криптографические системы широко применяются в процедурах распределения ключей. Действительно, для передачи секретного ключа от пользователя А к В достаточно выполнить следующий одношаго-

Естественно, зашифрование передаваемого сообщения осуществляется на открытом ключе пользователя В. Временная метка t включена в сообщения для контроля своевременности его передачи и предотвращения повторного использования ключа.

Для проведения взаимной идентификации и подтверждения правильности получения значения ключа можно воспользоваться сле-

Проводя на 4 и 5 шаге зашифрование и расшифрование случайного числа r, стороны убеждаются в правильности приема ключа, а выполнение 2 и 3 шага подтверждает аутентичность стороны А.

При использовании схемы цифровой подписи аутентифицированный протокол может состоять из одного шага, используя одно из следующих сообщений:

104

Недостатком этого протокола является возможность атаки типа «противник в середине», а именно: предположим, что противник осуществляет контроль канала связи, способен осуществлять подмену передаваемых абонентами сообщений. Тогда, выбрав числа х* и у* и

подменив сообщения αх (mod p) и αу (mod p) на αх* (mod p) и αу* (mod p)

соответственно, он может инициировать формирование ключей: k =(αх)у* mod p

и

k =(αу)х* mod p

для связи с пользователями А и В соответственно. В результате противник получает возможность полностью контролировать обмен сообщениями между абонентами. При этом легальные пользователи не могут обнаружить подмену.

Рассмотрим протокол, устраняющий этот недостаток. Он называется STS (station-to-station) и предполагает применение цифровой подписи.

Здесь SА и SB – цифровые подписи пользователей А и В соответственно; k – искомый общий секретный ключ. Шифрование значений подписей введено для того, чтобы обеспечить взаимное подтверждение правильности вычисления секретного ключа.

Предварительное распределение ключей

Большинство криптографических систем требует проведения процедуры распределения секретных ключей. Как уже отмечалось, для распределения ключей стороны могут обмениваться ключами при личной встрече, либо поручить доставку ключей специально назначенному доверенному курьеру, либо использовать для передачи выделенный защищенный канал связи. В зависимости от назначения криптографической системы иногда оказывается удобным распределять не сами секретные ключи, а некоторые вспомогательные ключевые материалы, на основании которых каждый пользователь системы смог бы самостоятельно вычислить необходимый ключ, используя установленную заранее процедуру.

106

Коэффициенты введенного многочлена являются секретными и должны храниться только в центре распределения ключей.

Каждый абонент сети, например А, получает в качестве ключевых материалов секретный набор = (a0(A), a1(A), …, am-1(A)), состоящий из коэффициентов многочлена f(х, rA) = a0(A) + a1(A) х + … + am-1(A)хm или

в матричном виде: ║А(A)║= ║RA║•║Ω║ .

Для связи между абонентами А и В используется общий секретный ключ kAB, вычисляемый по формуле:

kAB= kВА = f(rA, rВ) =║RA║•║Ω║•║RB║ .

Таким образом, для формирования секретного ключа сеанса связи

Распределение ключей для телеконференций

Простейший пример распределения ключей для телеконференций дает централизованное распределение ключей с помощью трехстороннего протокола, используемого для симметричных криптографических систем. В подобной ситуации обычно на одного из пользователей группы возлагаются функции генерации и распределения ключей. Естественно, при этом возрастают требования к выделенному пользователю (доверие со стороны других членов группы, достаточная квалификация, безопасность), что вносит серьезную асимметрию во взаимоотношения между членами группы.

Другой подход основан на использовании идеи открытого распределения ключей. Соответствующий протокол для группы из трех участников можно получить, незначительно изменив протокол открытого распределения ключей Диффи-Хеллмана.

Участники протокола заранее договариваются о значении большого простого числа p и образующего элемента α некоторого множества Zp={1, 2, ..., p-1}. Для выработки общего секретного ключа k пользователи А, В и С должны образовать случайные числа х, у и z соответственно. Случайные числа должны удовлетворять условию: 1≤ х, у, z ≤ p-2. Затем они должны сформировать значение ключа k согласно следующему протоколу:

108

Заметим, что протокол требует передачи 2t•(t-1) сообщений, причем каждый пользователь должен отправлять сообщения всем остальным.

Схемы разделения секрета

Схема разделения секрета представляет собой разновидность протокола предварительного распределения ключей. При этом каждый пользователь получает свою «долю» или часть «секрета». Схема включает два протокола: формирования «долей» (разделения «секрета») и распределения их между пользователями, а также протокол восстановления секрета группой пользователей. Схема формируется таким образом, чтобы обеспечить восстановление секретного ключа только тем группам пользователей, которые имеют на это полномочия, не допуская восстановления ключа никаким другим группам.

Основное назначение схем разделения секрета заключается в разделении ответственности за принятие решения, которое автоматически вводится при определении состава уполномоченных лиц. Такая коллективная ответственность важна для многих приложений, включая принятие решений, например, касающихся применения систем вооружений, подписания корпоративных чеков или допуска к банковскому хранилищу.

Еще одно положительное качество схемы разделения секрета – защита ключа от потери. Обычно для защиты от потери делают несколько копий ключа. Однако с возрастанием числа копий увеличивается вероятность компрометации секретного ключа. С другой стороны, если число копий мало, то увеличивается риск потери ключа. В связи с этим одним из решений проблемы является «разделение» ключа между несколькими лицами с возможностью его восстановления. Тем самым исключается риск безвозвратной потери ключа.

В простейшем случае, когда имеется только одна группа, состоящая из t пользователей, уполномоченная формировать секретный ключ, схема разделения секрета может быть сформирована следующим образом. Предположим для определенности, что секретный ключ представляет собой двоичный вектор s. Выберем случайным образом t векторов s1, s2, … st так, чтобы их сумма совпадала с вектором s. Векторы si распределим между пользователями. Теперь собравшись вместе, они могут легко восстановить значение ключа s. В то же время никакая группа, состоящая из меньшего числа пользова-

109

телей, не может этого сделать. Действительно, отсутствие хотя бы одной «доли» приводит к полной неопределенности относительно значения секрета, поскольку для каждого значения искомого секрета найдется возможный вариант значения отсутствующей доли.

Заметим, что в рассмотренном примере разбиение исходного вектора на t частей не позволило бы создать схему разделения секрета, так как знание любой «доли» давало бы частичную информацию о секрете s.

110

Ле к ц и я 12. ОРГАНИЗАЦИОННО-ПРАВОВЫЕ АСПЕКТЫ

ПРИМЕНЕНИЯ КРИПТОГРАФИЧЕСКИХ СИСТЕМ

Вфеврале 2002 г. в нашей стране вступил в силу Федеральный закон от 8 августа 2001 г. № 128-ФЗ (ред. от 29 декабря 2010 г.) «О лицензировании отдельных видов деятельности». В соответствии со ст. 4 Закона к лицензируемым видам деятельности относятся те, «… осуществление которых может повлечь за собой нанесение ущерба правам, законным интересам, здоровью граждан, обороне и безопасности государства, культурному наследию народов Российской Федерации

ирегулирование которых не может осуществляться иными методами, кроме как лицензированием».

Очевидно, что деятельность физических и юридических лиц в сфере защиты информации, непосредственно обеспечивающая права

изаконные «информационные» интересы личности, общества, государства, полностью соответствует приведенному определению. Поскольку оборот криптографических средств защиты информации (разработка, производство, распределение, приобретение в целях продажи, эксплуатация) является составной частью деятельности в сфере защиты информации, соответствующая деятельность также полностью может быть отнесена к категории лицензируемых.

Неоднократно отмечалось, что сегодня без использования криптографических средств практически невозможно решение широкого круга задач обеспечения безопасности информации, связанных с сохранением ее секретности, конфиденциальности, целостности, аутентичности. Однако понятно, что решение этих сложных задач может осуществляться только с использованием изделий достаточного качества. В связи с этим не менее важным вопросом выступает подтверждение соответствия криптографических средств требованиям государственных стандартов.

Уже в 1993 г. на этапе подготовки и принятия закона Российской Федерации «О государственной тайне» было принято решение трансформировать прежние государственные регулирующие функции в сфере защиты информации, а в качестве механизма такого регулирования были выбраны институты лицензирования этой деятельности и сертификации соответствующей продукции.

Развитие информационных технологий, объективная тенденция перехода с традиционного бумажного документооборота на элек-