Модернизация электронной подписи Эль-Гамаля - (диплом)
p>Диффи и Хелман предложили для создания криптографических систем с открытым ключом функцию дискретного возведения в степень. Необратимость преобразования в этом случае обеспечивается тем, что достаточно легко вычислить показательную функцию в конечном поле Галуа состоящим из p элементов. (p - либо простое число, либо простое в любой степени). Вычисление же логарифмов в таких полях - значительно более трудоемкая операция.Если y=aax, , 1 < x < p-1, где - фиксированный элемент поля GF(p), то x=logaa y над GF(p). Имея x, легко вычислить y. Для этого потребуется 2 ln(x+y) операций умножения. Обратная задача вычисления x из y будет достаточно сложной. Если pвыбрано достаточно правильно, то извлечение логарифма потребует вычислений, пропорциональных
L(p) = exp { (ln p ln ln p)0. 5 }
Для обмена информацией первый пользователь выбирает случайное число x1, равновероятное из целых 1, ...., p-1. Это число он держит в секрете, а другому пользователю посылает число
y1 = aax1 mod p
Аналогично поступает и второй пользователь, генерируя x2 и вычислив y2, отправляя его первому пользователю. В результате этого они могут вычислять k12 = aax1x2 mod p. Для того, чтобы вычислить k12, первый пользователь возводит y2 в степень x1. То же делает и второй пользователь. Таким образом, у обоих пользователей оказывается общий ключk12, который можно использовать для шифрования информации обычными алгоритмами. В отличие от алгоритма RSA, данный алгоритм не позволяет шифровать собственно информацию.
Не зная x1 и x2, злоумышленник может попытаться вычислить k12, зная только перехваченные y1 и y2. Эквивалентность этой проблемы проблеме вычисления дискретного логарифма есть главный и открытый вопрос в системах с открытым ключом. Простого решения до настоящего времени не найдено. Так, если для прямого преобразования 1000-битных простых чисел требуется 2000 операций, то для обратного преобразования (вычисления логарифма в поле Галуа) - потребуется около 1030 операций. Как видно, при всей простоте алгоритма Диффи-Хелмана, его недостатком является отсутствие гарантированной нижней оценки трудоемкости раскрытия ключа. Кроме того, хотя описанный алгоритм позволяет обойти проблему скрытой передачи ключа, необходимость аутентификации остается. Без дополнительных средств, один из пользователей не может быть уверен, что он обменялся ключами именно с тем пользователем, который ему нужен. Опасность имитации в этом случае остается. В качестве обобщения сказанного о распределении ключей следует сказать следующее. Задача управления ключами сводится к поиску такого протокола распределения ключей, который обеспечивал бы: возможность отказа от центра распределения ключей; взаимное подтверждение подлинности участников сеанса; подтверждение достоверности сеанса механизмом запроса-ответа, использование для этого программных или аппаратных средств; использование при обмене ключами минимального числа сообщений.
Иерархические схемы распределения ключей.
Рассмотрим следующую задачу.
Пусть абоненты сети связи не равноправны между собой, а разделены на "классы безопасности" C1, C2, …, Cn. На множестве этих классов определен некоторый частичный порядок; если Cj < Ci, то говорят, что Ci доминирует Cj , т. е. имеет более высокий уровень безопасности, чем Cj . Задача состоит в том, чтобы выработать секретные ключи ki для каждого класса Ci таким образом, чтобы абонент из Ci мог вычислить kj в том и только в том, когда Ci і Cj. Эта задача была решена в общем виде Эклом и Тейлором в связи с проблемой контроля доступа. В их методе каждый класс безопасности получает, кроме секретного, также и открытый ключ, который вместе с секретным ключом класса, доминирует данный, позволяет последнему вычислить секретный ключ данного класса.
Для случая, когда частичный порядок является деревом, имеется схема Сандху [San], которая позволяет добавлять новые классы безопасности без изменения ключей существующих классов.
Приведем описание иерархической схемы распределения ключей, предложенной Ву и Чангом для случая, когда частичный порядок является деревом. Пусть p – большое простое число, V = Zp ґ Zp ґZp – множество всех трехмерных векторов над Zp . Если i О Zp , X = (x1, x2, x3), Y = (y1, y2, y3) О V, то определим следующие векторы из V:
Предположим, что каждому классу безопасности сопоставлен идентификатор i О Zp \ {0}; класс с идентификатором i мы будем обозначать через Ci . Ввиду того, что частичный порядок на множестве классов безопасности является деревом, для описания протокола достаточно описать процедуры выработки секретного ключа для корневого класса безопасности (т. е. класса с наиболее высоким уровнем безопасности) и для произвольного класса Cj при условии, что секретный ключ для класса Ci , непосредственно доминирующего Cj (т. е. такого, что Cj < Ci и не существует класса Cr такого, что Cj < Cr < Ci), уже выработан.
Для корневого класса безопасности (например C1) выбирается произвольный секретный ключ Ki О V \ {(0, 0, 0)}. Пусть класс Ci доминирует класс Cj и для Ci уже выработан секретный ключ Ki О V. Тогда в качестве секретного ключа для Cj выбирается вектор
где Pj – вектор из V, выбранный случайно так, чтобы было определено. После чего вектор Pj делается общедоступным.
Таким образом, в процессе выполнения протокола для каждого класса безопасности Ci вырабатывается секретный ключ Ki и открытый ключ Pj (кроме корневого класса). Если теперь Cj < Ci, то абонент из Ci может вычислить Kj следующим образом. Существует цепь классов безопасности Ci = Cro>Cr1>…>Crn = Cj, где Cl-1 непосредственно доминирует Cl для всех L = 1, …, n. Абонент Ci, зная Ki и Pr1, вычисляет по формуле (**), затем, зная Kr1 и Pr2, вычисляет Kr2 по той же формуле и т. д. ; после n шагов будет вычислен Krn = Kj.
Электронная подпись
В чем состоит проблема аутентификации данных?
В конце обычного письма или документа исполнитель или ответственное лицо обычно ставит свою подпись. Подобное действие обычно преследует две цели. Во-первых, получатель имеет возможность убедиться в истинности письма, сличив подпись с имеющимся у него образцом. Во-вторых, личная подпись является юридическим гарантом авторства документа. Последний аспект особенно важен при заключении разного рода торговых сделок, составлении доверенностей, обязтельств и т. д. Если подделать подпись человека на бумаге весьма непросто, а установить авторство подписи современными криминалистическими методами - техническая деталь, то с подписью электронной дело обстоит иначе. Подделать цепочку битов, просто ее скопировав, или незаметно внести нелегальные исправления в документ сможет любой пользователь. С широким распространением в современном мире электронных форм документов (в том числе и конфиденциальных) и средств их обработки особо актуальной стала проблема установления подлинности и авторства безбумажной документации. Итак, пусть имеются два пользователя Александр и Борис. От каких нарушений и действий злоумышленника должна защищать система аутентификации. Отказ (ренегатство).
Александр заявляет, что он не посылал сообщение Борису, хотя на самом деле он все-таки посылал. Для исключения этого нарушения используется электронная (или цифровая) подпись. Модификация (переделка).
Борис изменяет сообщение и утверждает, что данное (измененное) сообщение послал ему Александр. Подделка.
Борис формирует сообщение и утверждает, что данное (измененное) сообщение послал ему Александр. Активный перехват.
Владимир перехватывает сообщения между Александром и Борисом с целью их скрытой модификации. Для защиты от модификации, подделки и маскировки используются цифровые сигнатуры. Маскировка (имитация).
Владимир посылает Борису сообщение от имени Александра . В этом случае для защиты также используется электронная подпись. Повтор.
Владимир повторяет ранее переданное сообщение, которое Александра посылал ранее Борису . Несмотря на то, что принимаются всевозможные меры защиты от повторов, именно на этот метод приходится большинство случаев незаконного снятия и траты денег в системах электронных платежей. Наиболее действенным методом защиты от повтора являются использование имитовставок,
учет входящих сообщений.
Протоколы электронной подписи
Протоколы (схемы) электронной подписи являются основными криптографическим средством обеспечения целостности информации.
Схема Эль Гамаля.
Пусть обоим участникам протокола известны некоторое простое число p, некоторой порождающей g группы Z*p и некоторая хэш-функция h.
Подписывающий выбирает секретный ключ x ОR Z*p-1 и вычисляет открытый ключ y = g-x mod p. Пространством сообщений в данной схеме является Zp-1 . Для генерации подписи нужно сначала выбрать uОR Zp-1. Если uПR Z*p-1 (что проверяется эффективно), то необходимо выбрать новое u. Если же u ОR Z*p-1 , то искомой подписью для сообщения m является пара (r, s), где r = gu mod p и s = u-1(h(m) +xr) mod (p-1). Параметр u должен быть секретным и может быть уничтожен после генерации подписи.
Для проверки подписи (r, s) для сообщения m необходимо сначала проверить условияr О Z*p и s О Zp-1 . Если хотя бы одно из них ложно, то подпись отвергается. В противном случае подпись принимается и только тогда, когда gh(m) є yrrs(mod p ). Вера в стойкость схемы Эль Гамаля основана на (гипотетической) сложности задачи дискретного логарифмирования по основанию g.
Схема Фиата – Шамира.
Для ее обеспечения центр обеспечения безопасности должен выбрать псевдослучайную функциюf, криптографическую хэш-функцию h, а также выбрать различные большие простые числа p, q и вычислить n = pq. Число n и функции f и h являются общедоступными и публикуются центром, а числа p и qдолжны быть секретными. Кроме того, схема использует два натуральных параметраl и t. Для каждого пользователя центр обеспечения безопасности генерирует идентификационную информациюI, содержащую, например, имя пользователя, его адрес, идентификационный номер и т. п. , и для каждогоj = 1, …, l вычисляет
