Анин Б.Ю. Защита компьютерной информации

Подождите немного. Документ загружается.

1. Антон генерирует случайный сеансовый ключ К и с помощью него

зашифровывает сообщение М, получая в результате Е

(М).

2. Антон извлекает открытый ключ Бориса В из базы данных.

3. Антон шифрует сеансовый ключ К при помощи В, получая в

результате Е

(К).

4. Антон посылает Борису Е

(М) и Е

(K).

5. Борис расшифровывает сеансовый ключ К с помощью своего тайного

ключа.

6. Борис расшифровывает сообщение Антона на сеансовом ключе К.

Данный протокол наглядно демонстрирует использование современных

гибридных криптосистем на практике. Для достижения большей стойкости в

него может быть добавлена цифровая подпись, а также применены другие

приемы, которые помогут сделать его более стойким против различных атак.

Множественная рассылка ключей и сообщений

Почему бы Антону не послать шифрованное сообщение сразу

нескольким адресатам? Он может сделать это, например так:

1. Антон генерирует случайный сеансовый ключ Кис его помощью

зашифровывает сообщение М, получая в результате Е

(М).

2. Антон извлекает открытые ключи Бориса, Владимира и Георгия из

базы данных.

3. Антон шифрует К при помощи открытых ключей Бориса, Владимира и

Георгия, получая в результате Е

(K), Е

(К)и Е

(К).

4. Антон посылает шифрованное сообщение Е

(М), а также многократно

зашифрованный сеансовый ключ (Е

(К), Е

( К)и Е

(К)) всем, кто

пожелает их получить.

5. Только Борис, Владимир и Георгий смогут расшифровать сеансовый

ключ К при помощи своих тайных ключей.

6. Только Борис, Владимир и Георгий смогут прочесть шифрованное

сообщение Антона с помощью сеансового ключа К.

Аутентификация

Когда Антон проходит процедуру регистрации для получения доступа к

глобальной компьютерной сети Internet, каким образом информационно-

коммерческая служба, услугами которой он пользуется, узнает, что это именно

Антон, а не Зиновий, пытающийся бесплатно (за счет Антона)

попутешествовать по Всемирной паутине? Чаще всего эта проблем а решается

при помощи пароля: Антон должен ввести некую секретную информацию,

161

известную только ему и его поставщику услуг Internet. Причем вводить эту

информацию надо каждый раз при прохождении процедуры регистрации.

Аутентификация при помощи

однонаправленных функций

На сервере, который проверяет правильность введенного Антоном

пароля, совершенно не обязательно хранить пароли пользователей. Достаточно

научить сервер отличать правильные пароли от неправильных. Это легко

сделать при помощи однонаправленных функций. Тогда на сервере будут

присутствовать не сами пароли, а их хэш-значения:

1. Антон посылает на сервер свой пароль.

2. С помощью однонаправленной функции сервер вычисляет

хэш-значение для присланного Антоном пароля.

3. Сервер сравнивает вычисленное хэш-значение с эталоном, который

хранится в его памяти, и делает вывод о правильности пароля Антона.

Поскольку при такой схеме аутентификации пользователей уже не

требуется держать пароли на сервере, то опасаться, что кто-либо взломает

защиту сервера и украдет файл с паролями, нет никаких причин. Список

хэш-значений, соответствующих паролям зарегистрированных пользователей,

совершенно бесполезен для Зиновия, т. к. найти пароль по его хэш-значению

путем обращения однонаправленной функции ему не удастся.

Отражение словарной атаки

при помощи "изюминок"

Файл с хэш-значениями, полученными из паролей, может подвергнуться

словарной атаке. Составив словарь примерно из 1 млн самых распространенных

паролей, Зиновий применит к ним хэш-функцию. В результате он получит ф айл

объемом до 10 Мбайт, который уместится на нескольких дискетах. Далее

Зиновий украдет с сервера файл с паролями, зашифрованными с помощью

хэш-функции, и сравнит его со своим файлом, содержащим хэш-значения для

самых часто используемых паролей. Совпадающие хэш-значения позволят

Зиновию определить некоторые из паролей.

Отразить словарную атаку помогает введение в схем у аутентификации

зарегистрированных пользователей так называемых изюминок. “Изюминка”

представляет собой случайную битовую строку, которая присоединяется к

паролю прежде, чем к нему будет применена хэш-функция. Затем на сервере

запоминается как вычисленное хэш-значение, так и соответствующая ем у

“изюминка”.

Если количество возможных “изюминок” достаточно велико, от

словарной атаки мало толку. Зиновий должен будет вычислять хэш-значение не

162

только для каж дого пароля, но и для каждой “изюминки”. Смысл введения

“изюминок” в схему аутентификации пользователей состоит в том, чтобы

заставить злоумышленника совершать пробное шифрование всех паролей,

входящих в составленный им словарь, каждый раз, когда он пытается вскрыть

какой-либо отдельный пароль, вместо того чтобы заранее вычислить хэш-

значения этих паролей, а затем просто сравнивать полученные значения с

эталонными, украденными с сервера.

“Изюма” понадобится много. Во многих версиях операционной системы

UNIX используются “изюминки” длиной 12 бит. Этого явно недостаточно:

существуют программы, которые при помощи словарной атаки позволяют за

неделю вскрыть от 30 до 40% всех паролей, применяемых пользователями

UNIX.

Таким образом, схема аутентификации с “изюминками” не может

служить панацеей. Она обеспечивает защиту только от словарной атаки всего

файла с паролями, зашифрованными с помощью однонаправленной функции.

Однако эта схема бессильна, когда мощной и слаженной атаке подвергается

отдельный пароль конкретного пользователя.

Схема аутентификации с “изюминками” эффективна и тогда, когда при

регистрации на разных серверах используется один и тот же пароль. Но если

пароль плохой, лучше он все равно не станет, каким бы количеством “изюма”

для его защиты вы ни запаслись.

Периодическая сменяемость паролей

Даже при наличии “изюминок” схема аутентификации пользователей

путем проверки их паролей имеет один очень серьезный недостаток. Ведь не

исключено, что линия связи, соединяющая персональный компьютер Антона с

сервером информационно-коммерческой службы, проходит по территориям

33-х стран, законодательство которых по-разному трактует права своих и

иностранных граждан на сохранение в тайне их личной переписки. И поэтому

узнать пароль Антона, в принципе, может любой, кто сумеет подключиться к

этой линии связи или обратиться в память сервера и узнать пароль, прежде чем

для него будет вычислено соответствующее хэш-значение. Чтобы уменьшить

ущерб от компрометации пароля, его следует периодически менять. Делается

это следующим образом.

Антон генерирует случайное число R и пересылает его серверу, который

вычисляет, исходя из этого числа и однонаправленной функции f, значения

=f(R), x

=f(f(R)), x

=f(f(f(R))) и т. д. 101 раз. Первые 100 вычисленных

значений x

, x

, . . . , х

100

передаются Антону в качестве списка паролей,

который он должен хранить в тайне. A х

101

запоминается на сервере.

Теперь, когда Антон захочет зарегистрироваться для работы на сервере,

ему достаточно ввести свое имя и число х

100

. Сервер вычислит f(x

100

) и сравнит

его с х

101

. В случае совпадения Антону будет разрешен доступ к серверу,

который затем заменит х

101

на х

100

. А Антон вычеркнет х

101

из своего списка

163

паролей.

В следующий раз, когда Антон снова захочет получить доступ к серверу,

он найдет в списке паролей следующее по порядку не зачеркнутое значение x

Сервер вычислит f(x

) и сравнит с запомненным x

j+1

Злоумышленник Зиновий, взломавший сервер, все равно не сможет

узнать очередной пароль Антона x

по хранимому на сервере значению x

j+1

поскольку функция f является однонаправленной. По той же самой причине,

даже если Зиновий перехватит x

, это позволит ему зарегистрироваться под

именем Антона всего лишь один раз. А значения x

, x

, . . . , x

j-1

так и останутся

для Зиновия тайной за семью печатями при условии, что Антон достаточно

ответственно относится к хранению списка паролей, полученного им с сервера.

Аутентификация при помощи криптосистем

с открытым ключом

Ни “изюминки”, ни периодически сменяемый пароль не гарантируют

защиту от злонамеренных действий Петра, перехватывающего все сообщения

Антона, которые тот пересылает по линии связи, соединяющей его с сервером.

Решить эту проблему помогает применение криптографии с открытым ключом.

Предполагается, что на сервере имеется файл, в котором хранятся

открытые ключи всех пользователей. В первом приближении

криптографический протокол, который позволяет производить

аутентификацию пользователей, выглядит так:

1. Сервер генерирует случайную битовую строку и посылает ее Антону.

2. Антон шифрует эту строку при помощи своего тайного ключа и

отсылает обратно на сервер.

3. На сервере производится расшифрование сообщения, пришедшего от

Антона, с помощью его открытого ключа.

4. Если полученный в результате открытый текст идентичен случайной

битовой строке, ранее посланной Антону, последний получает доступ к

серверу.

Поскольку только Антон знает свой тайный ключ, никто не сможет

выдать себя за Антона. Этот тайный ключ, скорее всего, представляет собой

длинную битовую строку, которую очень трудно воспроизводить по памяти, и

поэтому в распоряжении Антона должен быть интеллектуальный терминал,

надежно защищенный от взлома и способный автоматически осуществлять

набор требуемого тайного ключа при шифровании сообщений. Однако

несмотря на это дополнительное условие, важнее всего то, что тайный ключ

Антона не требуется передавать на сервер ни под каким видом. Следовательно,

для надежной аутентификации пользователей совсем не обязательно наглухо

защищать от подслушивания канал связи, соединяющий терминал Антона с

сервером. Да и информация о пользователях, хранимая на сервере, может быть

безо всякой опаски сделана доступной для всех, кто пожелает с ней

ознакомиться.

164

Конечно, со стороны Антона глупо шифровать на своем тайном ключе

произвольную битовую последовательность, причем вне зависимости от ее

происхождения. Поэтому на практике для аутентификации пользователей

обычно используется более сложный криптографический протокол:

1. Антон производит некоторые специальные вычисления на основе

предварительно сгенерированной им случайной битовой

последовательности и своего тайного ключа. Затем он отсылает

вычисленные им значения на сервер.

2. Сервер посылает Антону случайную битовую последовательность,

отличную от той, которая была задействована Антоном на шаге 1.

3. Антон производит некоторые специальные вычисления на основе

обеих случайных битовых последовательностей (сгенерированной им

самим, а также полученной с сервера) и своего тайного ключа. Затем

он отсылает вычисленные значения на сервер.

4. На сервере производятся некоторые специальные вычисления на

основе присланных Антоном значений и его открытого ключа, чтобы

убедиться в том, что именно он является обладателем

соответствующего тайного ключа.

5. Если проверка дает положительный результат, Антону разрешается

доступ к серверу.

Если Антон, в свою очередь, не доверяет серверу в такой же степени, в

какой сервер не доверяет ему, то он может потребовать, чтобы сервер

аналогичным образом “удостоверил свою личность”, воспользовавшись тем ж е

самым протоколом.

Формальный анализ криптографических

протоколов

Криптографические протоколы, предназначенные для аутентификации и

обмена ключами, играют очень важную роль в обеспечении надежного

функционирования современных компьютерных систем. Усилиями

криптологов было создано много таких протоколов, однако по прошествии

времени выяснилось, что не все из них позволяют должным образом защитить

компьютерную систему от несанкционированного доступа и предотвратить

компрометацию ключей. Причем для некоторых протоколов этот временной

промежуток оказался довольно значительным и растянулся на несколько лет.

Как следствие, возникла настоятельная потребность в разработке ф ормальных

методов, которые позволили бы находить изъяны в криптографических

протоколах в более короткие сроки. И хотя большинство из этих методов

являются универсальными и могут быть использованы для анализа

произвольных криптографических протоколов, особое внимание изначально

стало уделяться именно протоколам, позволяющим производить

аутентификацию пользователей и обмен ключами.

К настоящему времени имеется 4 основных подхода к анализу

165

криптографических протоколов. Первый из них применяет вериф икационные

методы, которые не были специально разработаны для анализа

криптографических протоколов. Некоторые из этих методов представляют

протоколы в виде конечных автоматов, другие распространяют на них теорию

исчисления предикатов первого порядка.

Второй подход заключается в использовании экспертных систем,

позволяющих определить, возникают ли в ходе выполнения шагов протокола

такие нежелательные события, как компрометация ключа или разглашение

пароля. Этот подход дает возможность эффективнее находить в

криптографических протоколах конкретные изъяны, однако никоим образом не

гарантирует полного отсутствия таковых.

Авторами третьего подхода являются американские криптологи

М. Бэрроуз, М. Абади, Р. Нидхэм (М. Burrows, M. Abadi, R. Needham). Они

разработали формальную логическую модель, названную по первым буквам их

фамилий БАН-логикой (BAN-logic). Составить с ее помощью общее

представление о надежности криптографического протокола нельзя. Однако

основное преимущество БАН-логики перед другими подходами заключается в

том, что она состоит из набора простых логических правил, которые легко

применяются на практике и весьм а полезны при обнаружении отдельных

изъянов в анализируемых протоколах.

При четвертом подходе выполнение шагов протокола моделируется с

помощью алгебраической системы, которая строится исходя из знаний,

имеющихся у участников протокола относительно этого протокола. Затем

построенная алгебраическая модель подвергается формальному анализу на

предмет достижимости некоторых из ее состояний.

В целом формальный анализ криптографических протоколов пока

является довольно новой и до конца не сформировавшейся областью

криптологии, и поэтом у делать далеко идущие выводы о превосходстве

какого-то одного из перечисленных четырех подходов еще рановато. Пож ивем

— увидим.

Многоключевая криптография с открытым ключом

В криптографии с открытым ключом используются 2 ключа, один из

которых применяется для зашифрования сообщений, а другой — для

расшифрования. Вместо этого можно задействовать любое количество ключей.

Рассмотрим для примера трехключевую криптосистему с открытым ключом.

Имеется три ключа К

, К

и К

, которые распределены между

участниками процесса обмена сообщениями следующим образом:

Антон К

Борис К

Владимир К

Георгий К

и К

166

Денис К

и К

Евгений К

и К

Если Антон зашифрует свое сообщение с помощью ключа К

расшифровать его смогут либо Денис, либо Борис совместно с Владимиром,

которые имеют в своем распоряжении К

и К

. Сообщение, зашифрованное

Борисом, сможет прочесть Евгений. Владимир может зашифровать сообщение,

которое в состоянии прочесть Георгий. Сообщение, зашифрованное Георгием

при помощи ключа К

, сможет прочесть Денис. Если Георгий воспользуется

ключом К

, то его сообщение прочитает Евгений, а если применит К

и К

, то с

этим сообщением см ожет ознакомиться Владимир. Аналогичным образом

может зашифровать свое сообщение Денис, и тогда его прочтут либо Антон,

либо Георгий, либо Евгений. Всевозможные сочетания ключей шифрования и

расшифрования перечислены в табл. 7.2.

Таблица 7.2. Сочетания ключей шифрования и расшифрования

в трехключевой криптосистеме с открытым ключом

Зашифровано с помощью ключей: Расшифровывается с помощью ключей:

и К

Множественная рассылка шифрованных сообщений

Допустим, что требуется рассылать групповые шифрованные сообщения

100 различным абонентам компьютерной сети связи, причем заранее

неизвестно, какие конкретно сообщения надо будет послать отдельным

группам этих абонентов. В такой ситуации можно выдать каждому абоненту

свой ключ и шиф ровать все сообщения отдельно. В результате придется

зашифровать и послать слишком много сообщений. Можно снабдить каждого

абонента ключами, число которых равняется количеству различных групп,

составленных из 100 абонентов. Но тогда потребуется слишком много ключей

(порядка 2

100

Выход из положения позволяет найти многоключевая криптография с

открытым ключом. Предположим, что в компьютерной сети связи имеются

всего 3 абонента — Антон, Борис и Владимир. Каждый из них получит по

2 ключа: Антон — К

и К

, Борис — К

и К

, Владимир — К

и К

. Тогда если

потребуется послать сообщение для Антона, его надо зашифровать с помощью

. Сообщение, предназначенное Борису, следует зашифровать при помощи К

А если сообщение должен прочесть только Владимир, необходимо

167

использовать К

. Сообщение для Антона и Бориса шифруется на ключах К

, для Антона и Владимира — на К

и К

, для Бориса и Владимира — на К

В случае трех абонентов эта схема множественной рассылки сообщений

группам абонентов выглядит не слишком впечатляюще, но при 100 абонентах

ее преимущества становятся очевидны. Вместо порядка 2

100

ключей абонентам

сети надо раздать всего 100 ключей, и посылать требуется всего одно

шифрованное сообщение, а не п, где n — количество абонентов в группе (n1).

Недостаток рассмотренной схемы — необходимо точно указывать имена

абонентов, которым предназначено рассылаемое сообщение, чтобы не

заставлять всех остальных абонентов сети связи лихорадочно перебирать

имеющиеся у них ключи в поисках того, который позволит им правильно

прочесть принятое шифрованное сообщение. Не нужно доказывать, что при

определенных условиях раскрытие этих имен перед злоумышленниками может

быть весьма нежелательным.

Распределение ответственности

Предположим, что вы собираетесь в отпуск. Ваш шеф попросил, чтобы

вы сообщили пароль со своего компьютера кому-либо из коллег. Однако вы не

можете полностью переложить ответственность за сохранность своих ценных

данных ни на одного из товарищей по работе. В этой ситуации вам следует

подумать о распределении ответственности.

Существует возможность разделить секретное сообщение на части,

каждая из которых не имеет никакого смысла, но если их определенным

образом соединить вм есте, снова получится исходное сообщение. Таким

образом вы сможете поделить свой пароль на части и; уходя в отпуск, оставить

каждому из коллег по одной его части, чтобы, только собравшись все вместе,

они оказались в состоянии запустить ваш компьютер. Сделать это в одиночку

из них не сможет никто.

Простейший криптографический протокол позволяет Дмитрию поровну

распределить между Антоном и Борисом ответственность за сохранение

сообщения в тайне:

1. Дмитрий генерирует случайную битовую строку R, которая имеет ту

же длину, что и исходное сообщение М.

2. Дмитрий складывает М с R по модулю 2 и получает S.

3. Дмитрий вручает R Антону, a S — Борису.

Чтобы восстановить сообщение М в исходном виде, Антон и Борис

должны совместно выполнить последний шаг протокола:

1. Антон и Борис складывают R и S по модулю 2 и получают М.

168

В умелых руках данный протокол является весьма надежным. Знание S

или R не позволяет реконструировать М. Дмитрий шифрует сообщение при

помощи одноразового блокнота и отдает полученный в результате шифртекст

одному человеку, а сам блокнот — другому.

Этот протокол можно легко применять для любого числа участников.

Если участников 4, он будет выглядеть следующим образом:

1. Дмитрий генерирует три случайных битовых строки R, S и Т, которые

имеют ту же длину, что и исходное сообщение М.

2. Дмитрий складывает М, R, S и Т по модулю 2 и получает U.

3. Дмитрий вручает R Антону, S — Борису, Т — Владимиру, U —

Георгию.

Чтобы восстановить сообщение М в исходном виде, Антон, Борис,

Владимир и Георгий должны совместно выполнить последний шаг протокола:

1. Антон, Борис, Владимир и Георгий складывают R, S, Т и U по

модулю 2 и получают М.

Одним из участников протокола является Дмитрий, который наделен

неограниченными правами. Например, Дмитрий может зашифровать какую-

нибудь абракадабру вместо М, а потом утверждать, что Антон и другие

участники протокола являются хранителями настоящей тайны, а не какой-то

чепухи. Чтобы разоблачить Дмитрия, им необходим о собраться вместе и

восстановить исходное сообщение. А еще Дмитрий может сначала раздать

части своего сообщения Антону, Борису, Владимиру и Георгию, а затем

сложить М и U по модулю 2 и заявить, что только Антон, Борис и Владимир

нужны для восстановления сообщения в исходном виде, а от Георгия можно

избавиться. Поскольку сообщение М всецело принадлежит только Дмитрию, он

может распоряжаться им, как того пожелает.

Основной недостаток криптографического протокола, распределяющего

ответственность за сохранение сообщения в тайне, состоит в том, что если хотя

бы один из его участников потеряет доверенную ему часть, будет также

безвозвратно утрачено и само сообщение. Если, конечно, Дмитрий не помнит

его наизусть. В результате в распоряжении участников протокола останется

только длина исходного сообщения. Но вряд ли они захотят довольствоваться

только этим.

Существуют ситуации, в которых необходимо уметь восстанавливать

секретное сообщение даже в отсутствие некоторых участников протокола.

Например, вы пишете программ у для управления запуском

межконтинентальных ракет. Естественно, вы хотите сделать так, чтобы если

офицер, имеющий доступ к “ядерной кнопке”, сойдет с ума и захочет

уничтожить какой-либо континент, у него это ни в коем случае не получится. У

“ядерной кнопки” должны собраться вместе по меньшей мере пятеро

сумасшедших офицеров, чтобы с помощью вашей программы стереть в

порошок Америку.

169

Ситуацию можно еще усложнить. Допустим, что для нажатия “ядерной

кнопки” в нашей стране нужны 1 генерал и 3 полковника. А если генерал, по

причине своего старческого склероза, забыл приехать к “ядерной кнопке” в

назначенное время, достаточно и пятерых полковников. При этом, если

собрались всего 4 полковника, Америке ничего не грозит до тех пор, пока

5 полковников не окажутся в полном сборе. Или пока генерал не приедет.

Криптологи придумали так называемый пороговый протокол, который

позволяет распределять ответственность даже еще более сложным образом. В

общем случае берется любое секретное сообщение (пароль, код запуска

баллистических ракет, рецепт приготовления “Кока-колы”) и делится на n

частей (называемых долями) так, что для реконструкции исходного сообщения

обязательно нужны m из них. Такой протокол более точно именуется

(т, п)-пороговым протоколом.

Например, при использовании (3,4)-порогового протокола Дмитрий

может поделить между Антоном, Борисом, Владимиром и Георгием секретный

пароль для включения своего персонального компьютера таким образом, что

трое из них, собравшись вместе, будут в состоянии восстановить этот пароль и

включить компьютер Дмитрия. Если Владимир неожиданно попадет в

больницу в бессознательном состоянии, то же самое смогут сделать Антон,

Борис и Георгий. Однако, если Борис в это время будет в командировке, без

него Антон и Георгий так и не смогут запустить компьютер Дмитрия.

Распределение ответственности и мошенничество

Существует множество способов мошенничества со стороны как

участников порогового протокола, распределяющего между ними

ответственность за хранение тайны, так и посторонних лиц. Для примера

рассмотрим три сценария такого мошенничества:

1. Антон, Борис, Владимир и Георгий получают от шефа приказ включить

персональный компьютер Дмитрия. Все четверо собираются вместе и

выполняют операцию сложения имеющихся у них долей по модулю 2.

Однако Георгий, которого подкупила конкурирующая фирма, вместо

того чтобы честно прибавить свою долю, выданную ему Дмитрием,

прибавляет случайную битовую строку. В результате компьютер

Дмитрия отказывается включаться, и никто не может объяснить, в чем

тут дело.

2. К Антону, Борису, Владимиру и Георгию, получившим от шефа

распоряжение включить персональный компьютер Дмитрия,

присоединяется Зиновий, который утверждает, что он явился по

приказу шефа для воссоздания пароля, поскольку якобы является

законным обладателем соответствующей пятой доли. После того как

ничего не подозревающие Антон, Борис, Владимир и Георгий огласили

свои доли, Зиновий с торжествующем воплем убегает из комнаты:

теперь он может в одиночку реконструировать пароль Дмитрия, т. к.

170