5. Требования к качественному шифру

Все современные шифры базируются на принципе Кирхгофа, согласно которому секретность шифра обеспечивается секретностью ключа, а не секретностью алгоритма шифрования. В некоторых ситуациях (например, в военных, разведывательных и дипломатических ведомствах) нет никаких причин делать общедоступным описание сути криптосистемы. Сохраняя такую информацию в тайне, можно дополнительно повысить надежность шифра. Однако полагаться на секретность этой информации не следует, так как рано или поздно она будет скомпрометирована. Поэтому анализ надежности таких систем всегда должен проводиться исходя из того, что противник имеет всю информацию о применяемом криптоалгоритме, ему не известен только реально использованный ключ. Таким образом, можно сформулировать общее правило: при создании или при анализе стойкости криптосистем не следует недооценивать возможностей противника. Их лучше переоценить, чем недооценить.

Стойкость криптосистемы зависит от сложности алгоритмов преобразования, длины ключа, а точнее, от объема ключевого пространства, метода реализации: при программной реализации необходимо дополнительно защищаться от разрушающих программных воздействий (закладок, вирусов и т.п.). Хотя понятие стойкости шифра является центральным в криптографии, количественная оценка криптостойкости – проблема до сих пор нерешенная.

Методы оценки качества криптоалгоритмов, используемые на практике:

1. всевозможные попытки их вскрытия;

2. анализ сложности алгоритма дешифрования;

3. оценка статистической безопасности шифра.

В первом случае многое зависит от квалификации, опыта, интуиции криптоаналитиков и правильной оценки возможностей противника. Обычно считается, что противник знает шифр, имеет возможность его изучения, знает некоторые характеристики открытых защищаемых данных, например, тематику сообщений, их стиль, стандарты, форматы и т.п.

Противник может:

• перехватывать все зашифрованные сообщения, но не имеет соответствующих им открытых текстов;

• перехватывать все зашифрованные сообщения и добывать соответствующие им открытые тексты;

• имеет доступ к шифру (но не ключам!) и поэтому может зашифровывать и расшифровывать любую информацию.

Во втором случае оценку стойкости шифра заменяют оценкой минимальной сложности алгоритма его вскрытия. Однако получить строго доказуемые оценки нижней границы сложности алгоритмов рассматриваемого типа не представляется возможным. Иными словами, всегда возможна ситуация, когда алгоритм вскрытия шифра, сложность которого анализируется, оказывается вовсе не самым эффективным.

Сложность вычислительных алгоритмов можно оценивать числом выполняемых элементарных операций, при этом, естественно, необходимо учитывать их стоимость и затраты на их выполнение. В общем случае это число должно иметь строгую нижнюю оценку и выходить за пределы возможностей современных компьютерных систем. Качественный шифр невозможно раскрыть способом более эффективным, чем полный перебор по всему ключевому пространству, при этом разработчик должен рассчитывать только на то, что у противника не хватит времени и ресурсов, чтобы это сделать.

Алгоритм полного перебора по всему ключевому пространству – это пример так называемого экспоненциального алгоритма. Если сложность алгоритма выражается неким многочленом (полиномом) от n, где n – число элементарных операций, такой алгоритм носит название полиномиального. Пример полиномиального алгоритма – алгоритм умножения столбиком двух n-разрядных двоичных чисел, требующий выполнения n² элементарных, битовых, операций умножения.

В третьем случае считается, что надежная криптосистема с точки зрения противника является «черным ящиком», входная и выходная информационные последовательности которого взаимно независимы, при этом выходная зашифрованная последовательность является псевдослучайной. Поэтому смысл испытаний заключается в проведении статистических тестов, устанавливающих зависимость изменений в зашифрованном тексте от изменений символов или бит в исходном тексте или ключе, а также анализирующих, насколько выходная зашифрованная последовательность по своим статистическим свойствам приближается к истинно случайной последовательности.

Случайность текста шифрограммы можно приближенно оценивать степенью ее сжатия при использовании алгоритма Лемпела–Зива, применяемого в архиваторах IBM PC. Если степень сжатия больше 10 %, то криптосистема несостоятельна.

Необходимые условия стойкости криптосистемы, проверяемые статистическими методами:

• отсутствие статистической зависимости между входной и выходной последовательностями;

• выходная последовательность по своим статистическим свойствам должна быть похожа на истинно случайную последовательность;

• при неизменной входной информационной последовательности любое (в том числе незначительное) изменение ключа должно приводить к существенному непредсказуемому изменению выходной последовательности (в среднем должно измениться 50 % бит);

• при неизменном ключе любое (в том числе незначительное) изменение входной последовательности должно приводить к существенному непредсказуемому изменению выходной последовательности (в среднем должно измениться 50 % бит);

• не должно быть зависимостей между ключами, последовательно используемыми в процессе шифрования.

Существует много различных криптоалгоритмов, при этом нет ни одного, подходящего для всех случаев. В каждой конкретной ситуации выбор криптоалгоритма определяется следующими факторами:

• особенностью защищаемой информации (документы, исходные тексты программ, графические файлы и т.п.);

• особенностями среды хранения или передачи информации;

• ценностью информации, характером защищаемых секретов, временем обеспечения секретности;

• объемами информации, скоростью ее передачи, степенью оперативности ее предоставления пользователю;

• возможностями собственников информации, владельцев средств сбора, обработки, хранения и передачи информации по ее защите;

• характером угроз, возможностями противника.