Отрицаемое шифрование

Пример 1.

Выполнение отрицаемого шифрования осуществляется[3] с использованием секретного ключа в виде набора подключей ${\displaystyle K_{1},K_{2},K_{3},K_{4}}$ и двух простых чисел ${\displaystyle p_{1}}$ и ${\displaystyle p_{2}}$.Шифрование блоков ${\displaystyle M(p_{1}>M)}$ и ${\displaystyle {\overline {M}}(p_{2}>{\overline {M}})}$ двух сообщений осуществляют путём вычисления значения ${\displaystyle C_{1}}$ по формуле ${\displaystyle C_{1}=M^{K_{1}}K_{2}mod{p_{1}}}$,вычисления значения ${\displaystyle C_{2}}$ по формуле ${\displaystyle C_{2}={\overline {M}}^{K_{3}}K_{4}mod{p_{2}}}$ и формирования блока криптограммы С, которое является решением системы сравнений

${\displaystyle \left\{{\begin{matrix}C=C_{1}mod{p_{1}}\\C=C_{2}mod{p_{2}}\end{matrix}}\right.}$

которую мы запишем в виде

${\displaystyle \left\{{\begin{matrix}C=M^{K_{1}}K_{2}mod{p_{1}}\\C={\overline {M}}^{K_{3}}K_{4}mod{p_{2}}\end{matrix}}\right.}$

в соответствии с китайской теоремой об остатках решение вычисляется по следующей формуле:

${\displaystyle C=\left[M^{K_{1}}K_{2}p_{2}(p_{2}^{-1}mod{p_{1}})+{\overline {M}}^{K_{3}}K_{4}p_{1}(p_{1}^{-1}mod{p_{2}})\right]mod{p_{1}p_{2}}}$

пусть для раскрытия при вынуждающей атаке предназначено сообщение ${\displaystyle {\overline {M}}}$. Тогда атакующему представляются в качестве ключа шифрования тройка значений ${\displaystyle K_{3},K_{4},p_{2}}$. Дешифровка выполняется по формуле

${\displaystyle {\overline {M}}=(CK_{4}^{-1})^{K_{3}^{-1}}mod{p_{2}}}$.

В последней формуле обратные значения для подключей ${\displaystyle K_{3}}$ и ${\displaystyle K_{4}}$ вычисляются по модулям ${\displaystyle p_{2}-1}$ и ${\displaystyle p_{2}}$, соответственно. Дешифровка секретного сообщения M выполняется по той же формуле, но с использованием ключа, представляющего собой тройку значений ${\displaystyle K_{1},K_{2},p_{1}}$:

${\displaystyle M=(CK_{2}^{-1})^{K_{1}^{-1}}mod{p_{1}}}$

Пример 2

Ключ шифрования представляет собой набор подключей ${\displaystyle K_{1},K_{2},K_{3},K_{4}}$ и два простых числа ${\displaystyle p_{1}}$ и ${\displaystyle p_{2}}$. Шифруются два сообщения ${\displaystyle M(p_{1}>M)}$ и ${\displaystyle {\overline {M}}(p_{2}>{\overline {M}})}$ путём генерации случайных чисел ${\displaystyle D}$ и ${\displaystyle p_{3}}$, вычисления значения ${\displaystyle C_{1}}$ по формуле ${\displaystyle C_{1}=M^{K_{1}}K_{2}mod{p_{1}}}$, вычисления значения ${\displaystyle C_{2}}$ по формуле ${\displaystyle C_{2}={\overline {M}}^{K_{3}}K_{4}\mod {p_{2}}}$ и формирования криптограммы ${\displaystyle C}$, являющейся решением системы сравнений, включающей три сравнения

${\displaystyle C\equiv C_{1}mod{p_{1}},C\equiv C_{2}mod{p_{2}},C\equiv Dmod{p_{3}}}$.

Эту систему можно записать в виде

${\displaystyle \left\{{\begin{matrix}C\equiv M^{K_{1}}K_{2}mod{p_{1}}\\C\equiv {\overline {M}}^{K_{3}}K_{4}mod{p_{2}}\\C\equiv Dmod{p_{3}}\end{matrix}}\right.}$
В соответствии с китайской теоремой об остатках решение этой системы сравнений вычисляется по формуле:

${\displaystyle C=\left[M^{K_{1}}K_{2}p_{2}p_{3}((p_{2}p_{3})^{-1}mod{p_{1}})+{\overline {M}}^{K_{3}}K_{4}p_{1}p_{3}((p_{1}p_{3})^{-1}mod{p_{2}})+Dp_{1}p_{2}((p_{1}p_{2})^{-1}mod{p_{3}})\right]mod{p_{1}p_{2}p_{3}}}$

При вынуждающей атаке атакующему представляется в качестве ключа шифрования тройка значений ${\displaystyle K_{3},K_{4},p_{2}}$, по которым расшифрование выполняется по формуле:

${\displaystyle {\overline {M}}=(CK_{4}^{-1})^{K_{3}^{-1}}mod{p_{2}}}$.

Очевидно, что размер криптограммы не может быть менее суммы размеров шифруемых совместно сообщений, поэтому в качестве признаков наличия в криптограмме других сообщений рассматриваются признаки отличия криптограммы от шифротекста, получаемого вероятностным шифрованием раскрытого сообщения, при котором размер шифротекста значительно больше размера исходного сообщения. Иными словами, атакуемая криптограмма могла быть получена с помощью вероятностного шифрования по представленному ключу. В силу этого для атакующего отсутствуют основания требовать ещё какой-либо другой ключ для дальнейшего расшифрования криптограммы.[3]

В пользу наличия дополнительных сообщений в криптограмме атакующим могут быть предъявлены следующие доводы:

• Неполное использование криптограммы в процессе расшифровки;
• Наличие ветвлений в процедуре расшифрования, управляемых ключом;
• Признаки сортировки битов криптограммы в процедуре расшифрования;
• Нарушение единообразия процесса расшифрования по всем возможным значениям секретного ключа;
• Неравномерность влияния битов криптограммы на биты расшифрованного текста.

Размер криптограммы может быть больше размера исходного текста. При этом атакующему сообщается, что при создании криптограммы был использован метод вероятностного шифрования. Увеличение размеров шифротекста является свойственным для шифров такого типа.

Некоторые криптографические продукты (например, TrueCrypt) позволяют создавать зашифрованные контейнеры без каких-либо сигнатур. Такой контейнер, в общем случае, невозможно связать с конкретной криптографической программой (так как содержимое контейнера выглядит как сплошная случайная последовательность данных).

Контейнеры без сигнатур невозможно обнаружить программами вроде file. С другой стороны, отсутствие каких-либо сигнатур и высокая энтропия данных уже является признаком зашифрованных данных.

Некоторые продукты позволяют создавать контейнеры внутри уже существующей сплошной случайной последовательности данных. Например, TrueCrypt может создать контейнер внутри свободного пространства файловой системы другого контейнера (свободное пространство файловой системы любого контейнера TrueCrypt изначально заполнено случайными данными).

Скрытые контейнеры могут быть обнаружены в некоторых случаях на стадии анализа выключенной системы, например:

• В случае утечки информации о содержимом скрытого контейнера на незашифрованные файловые системы:
  • Утечки в файл подкачки, файл гибернации и дампы памяти (crash dump);
  • Другие утечки (например, в списки MRU);
• В случае утечки криптографических ключей или паролей в файл подкачки, файл гибернации и дампы памяти;
• В случае наличия полной или частичной копии (нескольких копий) внешнего контейнера с ключом / паролем;
• В случае использования слабых ключей / паролей для скрытого контейнера.

Некоторые системы, шифрующие сообщения на лету, например OTRM предоставляют возможность гибкого шифрования, что позволяет собеседникам отрицать своё участие в беседе. Хотя данный тип шифрования не является, в сущности, двусмысленным, то есть не позволяет двояко расшифровывать сообщения, он лишает противника возможности доказать участие конкретного лица в беседе, равно как и сам факт наличия обмена информацией.

Это достигается добавлением в зашифрованное сообщение информации, необходимой для его подлога. Таким образом, если противник способен создать настоящее сообщение для данной беседы, то он автоматически сможет подделывать сообщения, что вместе с совершенной прямой секретностью (англ. perfect forward secrecy) гарантирует защищенность беседы, даже если ключи для отдельных сообщений находятся под угрозой разглашения.