10.2.6. Нападения

Рассмотренная выше модель аутентификации является достаточно абстрактной. Поскольку жизнь всегда разнообразна в своих проявлениях, существуют некоторые весьма "хитрые" виды нападений, которые трудно предусмотреть теоретически. Остановимся на трех примерах.

"Лобовые" нападения. Так можно назвать наиболее примитивные нападения, от которых все в основном и защищаются. Считается, что злоумышленник знает алгоритм постановки подписи и вычисления хеш-функции и располагает мощными вычислительными ресурсами.

Общепринято, что стойкость системы подписи RSA основана на трудоемкости задачи факторизации (разложение больших целых чисел на множители), а стойкость системы подписи Эль-Гамаля основана на трудоемкости задачи дискретного логарифмирования. Эти две математические задачи известны достаточно давно, и до сих пор для них не найдено эффективных алгоритмов. Однако это вовсе не означает, что таких алгоритмов не существует. В последние годы (именно в связи с криптографической проблематикой) эти задачи активно изучаются математиками всего мира. Если для них будут найдены эффективные алгоритмы, это будет означать крах соответствующих криптосистем. Еще семь-восемь лет назад решение указанных задач считалось нереальным для чисел порядка 10100. С тех пор развитие теории вычислительных алгоритмов и самой вычислительной техники продвинулись настолько, что даже модули порядка 10200 рядом криптографов признаются недостаточно большими.

Следует иметь в виду, что описываемое нападение даже для порядков модуля около 10100 требует колоссальных вычислительных затрат. Описанная в литературе проведенная факторизация чисел порядка 1010'' осуществлена в результате месячной работы сети компьютеров VAX.

Нападения, в которых участвует секретарша. Предположим, что документы вам на подпись готовит секретарша, которая (сознательно или нет) работает в интересах ваших противников. Ваши противники сформировали документ, о котором вы не подозреваете, и который не имеете желания подписывать (например, какую-нибудь дарственную бумагу от вашего имени). Теперь им необходимо, чтобы под данным документом стояла ваша подпись. Как это сделать? Можно предложить способ подбора документа с нужной хеш-функцией. Допустим, вы дали указание секретарше сформировать какой-то очередной нужный документ. Она относит его вашим противникам, и те пытаются видоизменить его так, чтобы документ, с одной стороны, сохранил нужный смысл, а с другой стороны, значение хеш-функции для него совпало бы со значением хеш-функции для документа, сформированного вашими противниками (дарственной). Далее вы подписываете видоизмененный документ, а злоумышленники используют вашу подпись под ним. Вашу подпись можно "отрезать" и "приклеить" к другому документу, и если у нового документа значение хеш-функции совпадет со значением хеш-функции старого документа, то при проверке подписи новый документ (дарственную) признают подлинной.

Это видоизменение может быть сделано так, что вы ни о чем не догадаетесь, поскольку, например, добавление лишнего пробела никак не отразится на смысле документа, но может разительным образом изменить его хеш-функцию. Работа злоумышленников для осуществления такого нападения может продолжаться длительное время, многие месяцы. При этом они будут пытаться видоизменить очередной готовящийся вам на подпись документ. Если этот промежуток времени умножить на быстродействие компьютеров, которые имеются в распоряжении злоумышленников, то получится весьма значительная цифра. Кроме того, для решения задач такого типа существует своеобразный чисто алгоритмический прием, который в англоязычной литературе называют "методом встречи посередине". Суть этого приема состоит в том, что под одно значение хеш-функции можно "подгонять" одновременно оба документа, тот, который вы подпишете, и тот, к которому вашу подпись потом "приклеят".

Описанное нападение с криптографической точки зрения является нападением на хеш-функцию; собственно алгоритм с открытым ключом, реализующий схему подписи, может быть сколь угодно стойким. Факт существования пары документов с одинаковым значением хеш-функции в англоязычной литературе принято называть "коллизией". Чтобы противостоять описанным нападениям, которые можно назвать нападениями, основанными на подборе подписываемых документов, хеш-функция выбранной схемы подписи должна удовлетворять жестким криптографическим требованиям. С точки зрения возможных последствий описанное нападение является самым "безобидным" из всех возможных, поскольку в распоряжении злоумышленника оказывается лишь один-единственный поддельный документ. Для подделки других подписанных Вами документов ему снова потребуется значительная вычислительная работа.

Далее, знакомство с секретаршей может оказаться на руку вашим противникам, если для подделки вашей подписи им потребуются какие-либо дополнительные данные. Каждый документ, который вы подписываете, может быть подготовлен злоумышленниками специальным образом, например, так, чтобы получить нужные математические уравнения относительно неизвестных бит секретного ключа вашей подписи.

Нападения на проверяющего

Предыдущий пример показывает, что для получения фальшивого документа злоумышленнику не обязательно вскрывать секретный ключ подписи. Оказывается, для достижения своих целей злоумышленник может вообще не вступать в контакт с лицом, подпись которого он хочет подделать, и не проводить никаких действий по вскрытию. Существуют нападения на проверяющую сторону.

Предположим, что в нашей сети нет центра и каждый абонент хранит на своем компьютере каталог открытых ключей всех тех, от кого он может получать сообщения. Эта ситуация является вполне реальной и тогда, когда в сети есть центр, каждое подписанное сообщение сопровождается сертификатом, т.е. еще одним сообщением, подписанным центром, в котором содержатся имя и открытый ключ отправителя. В последнем случае из соображений временных затрат является более удобным не проверять каждый раз подпись центра на сертификате, а делать это лишь первый раз, при появлении нового абонента. Когда поступит следующее сообщение от этого абонента, можно сравнить сертификат с тем, который хранится в каталоге, и для которого подпись центра уже проверена.

Злоумышленник, если, конечно, он имеет доступ (хотя бы кратковременный) к компьютеру проверяющего, может просто поменять соответствующие записи в каталоге, написав вместо своей фамилии вашу. Если теперь он пошлет сообщение, подписанное им, то программа проверки на компьютере с измененным каталогом покажет, что данное сообщение подписано вами. Ясно, что определенную выгоду от такой операции злоумышленник может получить, и эта выгода может оказаться большей, чем затраты на секретаршу, включившую для него компьютер шефа. Заметим, что необходимость поддержки каталога открытых ключей (ввод новых абонентов или новых ключей у старых абонентов, удаление ключей абонентов, вышедших из сети, проверка сроков действия ключей и сертификатов, наконец, этот каталог может просто переполниться) создает предпосылки для описанного нападения.

Особо отметим, что описанное нападение на каталог открытых ключей возможно иногда и в тех случаях, когда информация в нем зашифрована. (Это может показаться невероятным даже для специалистов!) Например, в каталоге в зашифрованном виде хранятся открытые ключи абонентов. Причем шифрование устроено так, что для закрытия каждой записи используется один и тот же шифр, пусть даже очень стойкий, например, ГОСТ 28147 в режиме простой замены (на одном и том же ключе). Такой способ шифрования вполне естественен, он удобен при вводе новых и редактировании старых записей. Однако злоумышленнику для осуществления описанного нападения вовсе не обязательно вскрывать шифр! Он может просто поменять между собой шифрованные записи открытых ключей, своего и вашего, оставив при этом неизменными все остальные данные.

Рассматриваемые нападения можно расклассифицировать по степени вреда, наносимого злоумышленником. Самые тяжелые для сети с выделенным центром последствия имеет нападение, при котором нарушитель может подделывать подпись центра. Это означает, что нарушитель сможет выступать в качестве любого абонента сети, изготовляя соответствующие сертификаты. Далее, если нарушитель смог вскрыть (или похитить) секретные ключи какого-то абонента, то, очевидно, он может подписать любое сообщение от имени данного абонента. Наконец, возможны нападения, при которых злоумышленник может подписать только одно составленное им сообщение от имени данного абонента.

Для осуществления своих планов злоумышленник может применять те или иные "оперативные" методы.

Во-первых, злоумышленник может располагать образцами документов, подписанных его потенциальной "жертвой".

Во-вторых, злоумышленник может готовить "на подпись" документы для "жертвы" и использовать поставленные под ними настоящие подписи в своих целях.

В-третьих, он может получить доступ к компьютеру абонента, подпись которого он хочет подделать. Здесь надо различать две ситуации: либо злоумышленник может изменить программу подписи (например, "посадить" криптовирус), либо он может воспользоваться какой-то информацией, имеющей отношение к этой программе.

В-четвертых, злоумышленник может получить доступ к компьютеру проверяющего абонента с тем, чтобы изменить программу проверки подписи в своих целях.

В-пятых, злоумышленником может оказаться разработчик программного комплекса (иными словами, в систему заложены потенциальные слабости). Не следует думать, что это экзотическая возможность. По крайней мере, в практике создания систем защиты информации такое иногда бывает.

Большинство описанных нападений имеют смысл только в том случае, когда злоумышленнику известны алгоритмы вычисления и проверки подписи, а также алгоритм вычисления хеш-функции. Как правило, в коммерческих программных продуктах эти алгоритмы не афишируются, говорится лишь о методе цифровой подписи (например, RSA, Эль-Гамаль и пр.). Более того, как правило, такие программы защищены от копирования, и непосредственное дизассемблирование невозможно.

Суммируя вышесказанное, можно сделать следующие выводы. Если пользователь ведет себя грамотно с точки зрения соблюдения норм секретности (хранение секретных ключей подписи, работа с "чистым" программным продуктом, осуществляющим функции подписи) и тем самым исключает возможность похищения ключей или несанкционированного изменения данных и программ, то стойкость системы подписи определяется исключительно ее криптографическими качествами. Если эти качества недостаточно высоки, задача подделки подписи может быть решена, однако злоумышленник при этом должен располагать значительными вычислительными ресурсами и обладать высокой квалификацией как криптограф.