Файл: Основные проблемы и задачи защиты информации в компьютерных сетях.pdf

1. Расширение функциональности стандартов электронной цифровой подписи

Вопрос расширения функциональности официальных стандартов ЭЦП связан с тем, что большинство стандартов специфицируют схему индивидуальной цифровой подписи, тогда как практикой востребованы протоколы ЭЦП других типов, например, коллективной, групповой и слепой подписи. Принятие новых стандартов представляет собой долговременный и ресурсоемкий процесс. Взамен принятия самостоятельных стандартов на все востребованные типы протоколов ЭЦП, в работах [1-4] рассматривается подход, состоящий в использовании стандартизированной схемы индивидуальной ЭЦП для построения на ее базе протоколов следующих типов:

1) коллективной, 2) слепой и 3) слепой коллективной подписи. В данном подходе предполагается разработка таких протоколов последнего типа, для которых может быть дано редукционное доказательство стойкости (если протокол не является стойким, то не является стойкой и базовая схема, на основе которой построен протокол), причем для их практического внедрения не требуется внесение каких-либо изменений в существующую инфраструктуру открытых ключей. Было показано, что данный подход применим к стандартам ГОСТ Р.34.10-94, ГОСТ Р.34.10-2001, ГОСТ Р.34.10-2012, стандартам Беларуси СТБ 1176.2-99, Украины ДСТУ 4145-2002 и Германии ECGDSA.

Представляет интерес также и реализации протокола групповой подписи с маскированием открытых ключей подписантов, предложенного в работе [5], на основе указанных стандартов, однако это вопрос не отражен в известных публикациях.

1. Формальное доказательство стойкости стандартов электронной цифровой подписи

Формальное доказательство стойкости криптосистем с открытым ключом обеспечивает наиболее полное признание безопасности их использования. В случае схем ЭЦП, основанных на вычислительной трудности ЗДЛ, наиболее известный способ формального доказательства стойкости, предложенный в работе [6], применим к криптосхемам, в которых в процедуре генерации подписи сначала формируется параметр рандомизации (называемый также фиксатором), а затем вычисляется первый элемент ЭЦП в виде значения хэш- функции, которое вычисляется от сообщения с присоединенным к нему фиксатором. К таким схемам ЭЦП относится протокол ЭЦП Шнорра. Однако для наиболее известных стандартов такое доказательство неприменимо.

Другим подходом к формальному доказательству стойкости схем ЭЦП, основанных на ЗДЛ, является подход, предложенный в работе [7] и состоящий в выводе рассматриваемой схемы из протокола с нулевым разглашением, для которого формально доказывается, что сложность подделки правильного ответа на случайный запрос проверяющего имеет один порядок со сложностью ЗДЛ, положенной в основу протокола. Последний подход требует построения новых трехпроходных протоколов с нулевым разглашением с открытым ключом, имеющим такой же вид, как и открытый ключ, используемый в схеме ЭЦП. Для решения этой задачи предлагается расширение типов протоколов с нулевым разглашением, основанное на толковании термина «нулевое разглашение», опирающегося на статистическую эквивалентность набором случайных параметров, генерируемых в ходе протокола, выполняемого с участием подлинного доказывающего, и наборов случайных параметров, генерируемых в ходе имитации процедуры аутентификации, выполняемой потенциальным злоумышленником. При использовании такого толкования физического смысла протоколов с нулевым разглашением становится возможным построение значительно более разнообразных протоколов рассматриваемого типа, в том числе и протоколов, которые могут быть преобразованы в схемы ЭЦП, задаваемые стандартами ГОСТ Р.34.10-94, ГОСТ Р.34.10-2001, ГОСТ Р.34.10- 2012, СТБ 1176.2-99, ДСТУ 4145-2002, DSA, ECDSA и ECGDSA[9].

При этом для таких протоколов с нулевым разглашением может быть дано формальное редукционное доказательство стойкости к подделке ответа на случайный запрос, причем доказательство опирается на стандартное предположение о стойкости используемой хэш-функции (такое же предположение лежит в основе общепризнанного способа формального доказательства стойкости схемы ЭЦП Шнорра, рассмотренного подробно в работах [6,9]). Поскольку в схеме ЭЦП, построенной путем ее вывода из протокола с нулевым разглашением (т. е. путем преобразования последнего в схему ЭЦП) значение одного из элементов подписи фактически является ответом на случайный запрос, вычисляемый в зависимости от фиксатора и значения документа. Подделка подписи означает подделку правильного ответа в протоколе с нулевым разглашением, т. е. вычислительная сложность подделки подписи имеет один порядок со сложностью ЗДЛ, использованной для построения схемы ЭЦП.

1. Повышение безопасности криптосистем с открытым ключом

Для практического использования криптографических алгоритмов и протоколов (криптсхем) важны различные аспекты их реализации: стойкость, вычислительная сложность используемых процедур, аппаратная и программная реализация и др. При этом улучшение параметров криптосхем путем их модифицирования или построения новых алгоритмов и протоколов имеет смысл только в случае, когда это выполняется в рамках выполнения требования обеспечения заданного уровня стойкости. Понятие стойкости характеризует важнейшее свойство криптографических схем выдерживать всевозможные атаки и измеряется количеством определенных операций, которые нужно выполнить для случая применения наиболее эффективной известной атаки, чтобы взломать криптосхему. Принципиальным моментом для оценки стойкости является вопрос о лучшем известном алгоритме взлома криптосхемы. Если для криптосхемы удается доказать формально ее стойкость, то этот вопрос переносится на используемую для построения криптосхемы вычислительно трудную задачу. Обычно для построения криптосхем в качестве базовых трудных задач используются давно известные и хорошо изученные вычислительно трудные задачи, для решения которых маловероятно появление прорывных решений (имеющих полиномиальную сложность), что означало бы взлом целого класса криптосхем, т. е. всех тех криптосхем, в основу которых была положена данная задача. Принципиальной проблемой оценки стойкости криптосхем является то, что трудно доказать, что не существуют или хотя бы в ближайшем будущем не будут найдены прорывные решения базовой трудной задачи, что дало бы твердое обоснование оценки стойкости криптосхемы как вычислительной сложности лучшего из известных в настоящее время алгоритмов указанной задачи.

Когда говорят о том, что криптосхема является стойкой в смысле безопасности ее использования для решения задач информационной безопасности, то явно полагают, что значение стойкости превосходит некоторое заданное достаточно большое значение, например, 280 (80-битовая стойкость), 2128 (128-битовая стойкость) или 2192 операций (192-битовая стойкость). В тоже время неявно предполагается, что вероятность появления в обозримом будущем прорывных решений базовой трудной задачи (для доказуемо стойких двух ключевых криптосхем) или появления прорывных атак (в общем случае) является пренебрежимо малой. Последнее положение также является принципиально важным, когда говорится о безопасности использования криптосхем для решения тех или иных задач практики. Понятие стойкости отражает только одну из двух сторон понятия безопасности криптосхем. Второй стороной является вероятность того, что в обозримом будущем не будут получены прорывные результаты по разработке алгоритмов решения используемых трудных задач. Количественная оценка безопасности должна включать количественные оценки стойкости и указанной вероятности, например, количественную меру безопасности можно задать как отношение стойкости к вероятности. Такая формула явно показывает, что повышение безопасности, обеспечиваемого криптосхемами, может быть достигнуто как увеличением размеров параметров криптосхемы, приводящим к росту значения стойкости, так и уменьшением значения указанной вероятности.

Эта трактовка понятия безопасности лежит в основе одного из направлений исследований в криптографии, связанном с построением криптосхем, взлом которых требует одновременного решения двух независимых трудных вычислительных задач. При построении таких криптосхем полагается, что вычислительная сложность каждой из используемых задач имеет значение, равное или превосходящее заданный уровень стойкости, а достижение повышения значения безопасности достигается за счет перемножения малых вероятностей, относящихся к событиям появления прорывных решений двух используемых трудных задач. В этом направлении наиболее часто использовано комбинировании задачи факторизации (ЗФ) целых чисел специального вида и ЗДЛ по простому модулю. Первоначально были разработаны протоколы ЭЦП данного типа [10- 13]. Последние результаты этого направления исследований относятся к разработке общего подхода к построению криптосхем на основе трудности ЗФ и ЗДЛ по простому модулю [14,15]. Общий подход позволяет разработать алгоритмы и протоколы открытого согласования ключа, открытого шифрования, коммутативного шифрования, ЭЦП и др. Суть подхода состоит в использовании ЗДЛ по трудно разложимому модулю и основан на том, что субъэкспоненциальное решение последней задачи требует решения ЗФ составного модуля и решения ЗДЛ по модулю, равному каждому из простых делителей модуля. При этом для случая реализации протоколов ЭЦП достигается повышение производительности и уменьшение размера подписи при заданном уровне стойкости.

Для эффективного выбора или построения системы информационной защиты, а также поддержания ее функционирования следует выполнять некоторые условия:

• выявить и рассмотреть все вероятные угрозы информации, требующей защиты;
• отчетливо сформулировать политику безопасности не только вычислительной системы, но и организации в целом;
• проработать комплексность структуры защиты, содержащую все необходимые и совместимые друг с другом механизмы информационной защиты;
• отслеживать работу системы, проводя систематические проверки ее функционирования.

Лишь соблюдение перечисленных условий позволит обеспечить определенный уровень информационной безопасности, которая так необходима нам в век информационных технологий.

Возможность использования процедур формирования и проверки ЭЦП, специфицируемых рядом официальных стандартов ЭЦП в протоколах слепой и коллективной подписи показывает, что последние могут найти более широкое применение по сравнению с их первоначальным предназначением. Это показывает, что используемая в них схема ЭЦП предпочтительнее, чем схема ЭЦП американских стандартов DSA и ECDSA, для которых указанное расширение функциональности не может быть осуществлено.

Предложенный подход к формальному доказательству стойкости стандартов ЭЦП является существенным вкладом в обоснование их стойкости и ставит их в один ряд с доказуемо стойкими алгоритмами ЭЦП.

Рассмотренная концепция реализации процедуры ОШ как процедуры криптографического преобразования вычислительно неотличимого от вероятностного шифрования представляет интерес для построения алгоритмов ОШ по открытому ключу, что, видимо, позволит решить проблему обеспечения высокой скорости таких алгоритмов и расширить области их потенциального применения.

Классификация криптографических систем строится на основе следующих трех характеристик:

1. Число применяемых ключей.
2. Тип операций по преобразованию открытого текста в шифрованный.
3. Метод обработки открытого текста.

Рассмотрим каждый тип отдельно.

1 — По числу применяемых ключей. Различают:

1. Симметричные криптосистемы;
2. Асимметричные криптосистемы.

Если отправитель и получатель используют один и тот же ключ, система шифрования называется симметричной, системой с одним ключом, системой с секретным ключом, схемой традиционного шифрования. (Например, DES, CAST, RC5, IDEA, Blowfish, классические шифры);

Если отправитель и получатель используют разные ключи, система называется асимметричной, системой с двумя ключами, схемой шифрования с открытым ключом. (RSA, Эль-Гамаля).

2 — По типу операций по преобразованию открытого текста в шифрованный.

Подстановочные шифры — шифрование основано на замещении каждого элемента открытого текста (бита, буквы, группы битов или букв) другим элементом (Цезаря, Плейфейера, Хилла);

Перестановочные шифры — шифрование основано на изменении порядка следования элементов открытого текста (лесенка, перестановка столбцов);

Продукционные шифры — шифрование основано на комбинации нескольких операций замены и перестановки. Продукционные шифры применяются в большинстве реальных современных систем шифрования. (DES).

3 — По методу обработки открытого текста.

Блочные шифры — блочными называются шифры, в которых логической единицей шифрования является некоторый блок открытого текста, после преобразования которого получается блок шифрованного текста такой же длины. Например: DES, шифр Файстеля.

Поточные шифры — подразумевают шифрование всех элементов открытого текста последовательно, одного за другим (бит за битом, байт за байтом).

Примерами классических поточных шифров являются шифры Виженера (с автоматическим выбором ключа) и Вернама.

Блочные шифры изучены гораздо лучше. Считается, что они обладают более широкой областью применения, чем поточные. Большинство сетевых приложений, в которых применяется схема традиционного шифрования, используют блочные шифры.

Симметричные криптосистемы — способ шифрования, в котором для шифрования и расшифровывания применяется один и тот же криптографический ключ. До изобретения схемы асимметричного шифрования единственным существовавшим способом являлось симметричное шифрование. Ключ алгоритма должен сохраняться в секрете обеими сторонами. Алгоритм шифрования выбирается сторонами до начала обмена сообщениями.

Криптографическая система с открытым ключом (или асимметричное шифрование, асимметричный шифр) — система шифрования и/или электронной подписи (ЭП), при которой открытый ключ передаётся по открытому (то есть незащищённому, доступному для наблюдения) каналу и используется для проверки ЭП и для шифрования сообщения. Для генерации ЭП и для расшифровки сообщения используется закрытый ключ [1]. Криптографические системы с открытым ключом в настоящее время широко применяются в различных сетевых протоколах, в частности, в протоколах TLS и его предшественнике SSL (лежащих в основе HTTPS), в SSH. Также используется в PGP, S/MIME.

Схема была предложена Тахером Эль-Гамалем в 1984г. Эль-Гамаль разработал один из вариантов алгоритма Диффи-Хеллмана. Он усовершенствовал систему Диффи-Хеллмана и получил два алгоритма, которые использовались для шифрования и для обеспечения аутентификации. В отличие от RSA алгоритм Эль-Гамаля не был запатентован и, поэтому, стал более дешевой альтернативой, так как не требовалась оплата взносов за лицензию. Считается, что алгоритм попадает под действие патента Диффи-Хеллмана. Безопасность схемы Эль-Гамаля обусловлена сложностью вычисления дискретных логарифмов в конечном поле.