Имитостойкость. 
Криптографические методы защиты информации

Пусть по каналу связи передается шифрованное сообщение у € Y, полученное зашифрованием открытого сообщения х € X на ключе к е К: у = Е/фх). Нарушитель заменяет его на у* Ф у. Если при расшифровании на правильном ключе произойдет событие Dk (y*) € X, будем говорить, что произошла подмена сообщения. В этом случае на приемном конце расшифрованный текст х* = Dk (y*), х* ф х, будет воспринят как сообщение от законного отправителя.

Аналогичным образом, имитация сообщения заключается в направлении нарушителем законному получателю «шифртекста» у <�Е Y в момент, когда законный отправитель никакого сообщения не посылал, причем при его расшифровании на соответствующем ключе получилось допустимое открытое сообщение Dk (y) € X.

Имитостойкостъ шифра определяется его способностью противостоять подмене и имитации сообщений и измеряется вероятностью соответствующих событий.

При этом в качестве общей меры имитостойкости рассматривают вероятность навязывания:

Утверждение 4.6. Для шифра SB — (X, K. Y, Е, D, Р (Х), Р (К)) с равновероятными ключами справедлива оценка:

Доказательство. В силу равновероятности ключей.

где К (у) = {к € К: РДу) € X). При этом

Отсюда получаем.

Из полученных результатов следует, что для эндоморфных шифров, т. е. шифров с условием X — Y, вероятность имитации сообщения равна pi_m = 1. В частности, это относится и к шифру гаммирования с равновероятной гаммой. Тем самым абсолютно стойкий (по Шеннону) шифр оказывается в числе самых слабых по способности противостоять имитации сообщений.

Утверждение 4.7. Для шифра SB = (X, K, Y, E, D, P{X), P{K)) с равновероятными ключами имеет место достижимая оценка:

Доказательство данного утверждения может быть найдено в [1]. Там же предложен шифр па основе ортогональных латинских квадратов, для которого оценка (4.17) достигается.

Итак, из (4.15) и (4.17) следует, что для шифра с равновероятными ключами вероятность навязывания удовлетворяет неравенству.

Тем самым хорошей имитостойкостью могут обладать только шифры, у которых | Y |>| X |.

Для усиления имитозащиты широко используют введение избыточности в передаваемое сообщение путем вычисления гшитовсгпавки — результата применения ключевой функции хэширования к передаваемому сообщению (открытому тексту).

Пусть h = h (k, x) ~ функция хэширования, преобразующая на ключе k G К текст х е X (в общем случае произвольной конечной длины) в отрезок фиксированной длины (для определенности положим, что значениями функции хэширования являются двоичные вектора длины т). Полагаем, что функция h (k, x) является однонаправленной по каждой переменной, сбалансированной и не зависящей собственно от алгоритма шифрования. Тогда «расширенным» шифртекстом для открытого сообщения х G X является пара (у, h), у — Еь (х), h — h (k, x). На приемном конце проводится расшифрование х = ?Д.(у) и вычисление значения функции хэширования от расшифрованного сообщения h, = h (k, x).

Передача считается успешной, если.

1. расшифрованное сообщение принадлежит множеству открытых текстов Dk (y) € Х

2. значение функции хэширования от расшифрованного сообщения совпадает со значением, полученным вместе с шифртекстом:

В таком случае, с учетом независимости алгоритмов шифрования и хэширования, для вероятности имитации сообщения (у, h) получаем.

Следовательно, и вероятность имитации уменьшится в 2^ОТ раз:

Аналогичным образом, и для подмены сообщения (у, h) на (y*, h*), у* ф у, выполнено.

и.

Пример 4.2. Пусть Еь,1б (Т) ~ преобразование на ключе к блока текста Т € F®⁴ с помощью «укороченного» 16-циклового алгоритма ГОСТ 28 147–89, предназначенного для выработки имитовставки. Подробнее об алгоритме ГОСТ 28 147–89 мы расскажем в подразделе 7.4.2.

Тогда имитовставка для сообщения из п блоков Г1. Т2,… , Т_п представляет собой 32 младших бита последнего блока В_п, вырабатываемого, но закону.

Выше мы исходили из того, что и шифрование и хэширование проводятся на одном ключе, как это происходит в алгоритме ГОСТ 28 147–89. Хотя в принципиальном плане проведенные рассуждения останутся верными и для случая, когда ключи шифрования и хэширования — разные.