Шифр Вернама ( англ. Vernam cipher ) — система симметричного шифрования , изобретённая в 1917 году Гилбертом Вернамом .

Шифр является разновидностью криптосистемы одноразовых блокнотов. В нём используется булева функция « исключающее или ». Шифр Вернама является примером системы с абсолютной криптографической стойкостью . При этом он считается одной из простейших криптосистем .

История

Впервые описан Фрэнком Миллером в 1882 .

Шифр назван в честь телеграфиста Гильберта Вернама , который в 1917 году изобрёл, а в 1919 запатентовал систему автоматического шифрования телеграфных сообщений.

Вернам не использовал понятие «исключающее или» в патенте, но реализовал именно эту операцию в релейной логике. Каждый символ в сообщении преобразовывался побитовым XOR (исключающее или) с ключом бумажной ленты . Джозеф Моборн (бывший тогда капитаном армии США, а впоследствии начальником корпуса связи) доработал эту систему так, чтобы последовательность символов на ключевой ленте была полностью случайной, поскольку в этом случае криптоанализ будет наиболее трудным.

Вернам создал устройство, производящее указанные операции автоматически, без участия шифровальщика. Тем самым было положено начало так называемому «линейному шифрованию», когда процессы шифрования и передачи сообщения происходят одновременно. До той поры шифрование было предварительным, поэтому линейное шифрование существенно повышало оперативность связи.

Не будучи шифровальщиком, тем не менее, Вернам верно заметил важное свойство своего шифра — каждая лента должна использоваться только один раз и после этого уничтожаться. Это трудноприменимо на практике — поэтому аппарат был переделан на несколько закольцованных лент с взаимно простыми периодами .

Описание

Криптосистема была предложена для шифрования телеграфных сообщений, которые представляли собой бинарные тексты, в которых открытый текст представляется в коде Бодо (в виде пятизначных «импульсных комбинаций»). В этом коде, например, буква «А» имела вид (1 1 0 0 0). На бумажной ленте цифре «1» соответствовало отверстие, а цифре «0» — его отсутствие. Секретный ключ должен был представлять собой хаотичный набор букв того же самого алфавита .

Для получения шифротекста открытый текст объединяется операцией « исключающее или » с секретным ключом . Так, например, при применении ключа (1 1 1 0 1) на букву «А» (1 1 0 0 0) получаем зашифрованное сообщение (0 0 1 0 1): ${\displaystyle (11000)\oplus (11101)=(00101)}$ Зная, что для принимаемого сообщения имеем ключ (1 1 1 0 1), легко получить исходное сообщение той же операцией: ${\displaystyle (00101)\oplus (11101)=(11000)}$ Для абсолютной криптографической стойкости ключ должен обладать тремя критически важными свойствами :

1. Иметь случайное дискретное равномерное распределение: ${\displaystyle P_{k}(k)=1/2^{N}}$ , где k — ключ, а N — количество бинарных символов в ключе;
2. Совпадать по размеру с заданным открытым текстом;
3. Применяться только один раз.

Также хорошо известен так называемый шифр Вернама по модулю m , в котором знаки открытого текста, шифрованного текста и ключа принимают значения из кольца вычетов Z _m . Шифр является обобщением оригинального шифра Вернама, где m = 2 .

Например, кодирование шифром Вернама по модулю m = 26 (A=0,B=1,…, Z=25):

Ключ:           EVTIQWXQVVOPMCXREPYZ 
Открытый текст: ALLSWELLTHATENDSWELL (All's well that ends well)
Шифротекст:     EGEAMAIBOCOIQPAJATJK

При шифровании преобразование производится по таблице Виженера (сложение индексов символов по модулю длины алфавита даёт эту таблицу).

При этом буква ключа — это столбец, буква открытого текста — строка, а шифротекст — это буква на пересечении.

Без знания ключа такое сообщение не поддаётся анализу. Даже если бы можно было перепробовать все ключи, в качестве результата мы получили бы все возможные сообщения данной длины плюс колоссальное количество бессмысленных дешифровок , выглядящих как беспорядочное нагромождение букв. Но и среди осмысленных дешифровок не было бы никакой возможности выбрать искомую. Когда случайная последовательность (ключ) сочетается с неслучайной (открытым текстом), результат этого ( шифротекст ) оказывается совершенно случайным и, следовательно, лишённым тех статистических особенностей, которые могли бы быть использованы для анализа шифра. .

Криптографическая стойкость

В 1945 году Клод Шеннон написал работу «Математическая теория криптографии» (рассекреченную только после Второй мировой войны в 1949 г. как « Теория связи в секретных системах »), в которой доказал абсолютную криптографическую стойкость шифра Вернама. То есть перехват шифротекста без ключа не даёт никакой информации о сообщении. С точки зрения криптографии, невозможно придумать систему безопаснее шифра Вернама . Требования к реализации подобной схемы достаточно нетривиальны, поскольку необходимо обеспечить наложение уникальной гаммы , равной длине сообщения, с последующим её гарантированным уничтожением. В связи с этим коммерческое применение шифра Вернама не так распространено в отличие от схем с открытым ключом и он используется, в основном, для передачи сообщений особой важности государственными структурами .

Приведём доказательство абсолютной криптографической стойкости. Пусть сообщение представлено двоичной последовательностью длины ${\displaystyle N:m=m_{1},m_{2},\ldots ,m_{n}}$ . Распределение вероятности сообщений ${\displaystyle P_{m}(m)}$ может быть любым. Ключ так же представлен двоичной последовательностью ${\displaystyle k=k_{1},k_{2},\ldots ,k_{n}}$ той же длины, но с равномерным распределением ${\displaystyle P_{k}(k)=1/2^{N}}$ для всех ключей.

В соответствии со схемой шифрования, произведём шифротекст, покомпонентно суммируя по модулю 2 последовательности открытого текста и ключа:

${\displaystyle C=M\oplus K=(m_{1}\oplus k_{1},m_{2}\oplus k_{2},\ldots ,m_{N}\oplus k_{N})}$

Легальный пользователь знает ключ и осуществляет расшифрование:

${\displaystyle M=C\oplus K=(c_{1}\oplus k_{1},c_{2}\oplus k_{2},\ldots ,c_{N}\oplus k_{N})}$

Найдём вероятностное распределение N-блоков шифротекстов, используя формулу:

${\displaystyle P(c=a)=P(m\oplus k=a)=\sum _{m}{P(m)}P(m\oplus k=a|m)=\sum _{m}{P(m)1/2^{N}}=1/2^{N}}$

Результат подтверждает известный факт о том, что сумма двух случайных величин, одна из которых имеет дискретное равномерное распределение на конечной группе , является случайной величиной с равномерным распределением. Таким образом, в нашем случае распределение шифротекстов равномерное.

Запишем совместное распределение открытых текстов и шифротекстов:

${\displaystyle P(m=a,c=b)=P(m=a)P(c=b|m=a)}$

Найдём условное распределение

${\displaystyle P(c=b|m=a)=P(m\oplus k=b|m=a)=P(k=b\oplus a|m=a)=P(k=b\oplus a)=1/2^{N},}$

так как ключ и открытый текст являются независимыми случайными величинами. Итого:

${\displaystyle P(c=b|m=a)=1/2^{N}}$

Подстановка правой части этой формулы в формулу для совместного распределения даёт

${\displaystyle P(m=a,c=b)=P(m=a)1/2^{N}}$

Что доказывает независимость шифротекстов и открытых текстов в этой системе. Это и означает абсолютную криптографическую стойкость .

Область применения

В настоящее время шифрование Вернама используется достаточно редко. В большой степени это обусловленно существенным размером ключа, длина которого должна совпадать с длиной сообщения. То есть, использование таких шифров требует огромных затрат на производство, хранение, уничтожение ключевых материалов. Тем не менее, совершенно стойкие шифры типа Вернама всё же нашли практическое применение для защиты особо важных линий связи с относительно небольшим объёмом информации. Так, например, англичане и американцы использовали шифры типа Вернама во время Второй мировой войны. Шифр Вернама по модулю 2 использовался на правительственной «горячей линии» между Вашингтоном и Москвой, где ключевые материалы представляли собой бумажные ленты, на которые знаки ключевой последовательности наносились с помощью перфорации .

.

Недостатки

• Для работы шифра Вернама необходима истинно случайная последовательность ( ключ ). По определению, последовательность, полученная с использованием любого алгоритма, является не истинно случайной, а псевдослучайной. То есть, нужно получить случайную последовательность не алгоритмически, а, например, используя радиоактивный распад , создаваемый электронным генератором белого шума или другие достаточно случайные события. Чтобы сделать распределение предельно близким к равномерному , случайная последовательность обычно пропускается через хеш-функцию наподобие MD5 .

• Недостатком использования шифра Вернама является отсутствие подтверждения подлинности и целостности сообщения. Получатель не может удостовериться в отсутствии повреждений или в подлинности отправителя. Если третья сторона каким-нибудь образом узнает сообщение, она легко восстановит ключ и сможет подменить послание на другое такой же длины. Решением проблемы является применение хеш-функции. От открытого текста вычисляется хеш-функция, и её значение шифруется вместе с сообщением. При каком-либо изменении сообщения значение хеш-функции изменится. Таким образом, даже если злоумышленник заполучил шифроблокнот, не зная алгоритм вычисления хеш-функции, он не сможет использовать его для передачи информации .

• Под рукой всегда необходимо иметь достаточное количество ключей, которые могут понадобиться в дальнейшем для шифрования больших объёмов открытого текста. Реальный же объём текста зачастую трудно оценить заранее, в особенности это касается дипломатической и военной сферы, где ситуация способна меняться быстро и непредсказуемо. Это может приводить к нехватке ключей, что может заставить шифровальщика либо использовать ключ(и) повторно, либо полностью прервать шифрованную связь.

• Проблемой является защищённая передача последовательности и сохранение её в тайне. Если существует надёжно защищённый от перехвата канал передачи сообщений, шифры вообще не нужны: секретные сообщения можно передавать по этому каналу. Если же передавать ключ системы Вернама с помощью другого шифра (например, DES ), то полученный шифр окажется защищённым ровно настолько, насколько защищён DES. При этом, поскольку длина ключа та же, что и длина сообщения, передать его не проще, чем сообщение. Шифроблокнот на физическом носителе можно украсть или скопировать .

• Шифр Вернама чувствителен к любому нарушению процедуры шифрования. Бывали случаи, когда одна и та же страница блокнота по различным причинам применялась дважды. Например, среди всего объёма советской шифрованной переписки, перехваченной разведкой США в 40-х годах прошлого века, были обнаружены сообщения, закрытые дважды использованной гаммой. Период этот длился не очень долго, потому что уже после первых успехов американских криптоаналитиков в конце 1940-х годов в спецслужбах СССР узнали о серьёзных проблемах с надёжностью своей шифропереписки. Такие сообщения были расшифрованы в течение 40 последующих лет в рамках секретного проекта «Venona» , документы которого были позднее рассекречены и выложены на сайте АНБ .

Примечания

Литература

• : Курс лекций / под ред. — М. : , 2013. — С. 239—246. — 397 с. — ISBN 978-5-86404-185-7
• Габидулин Э. М. , , : учебное пособие — М. : МФТИ , 2011. — 225 с. — ISBN 978-5-7417-0377-9
• : Теория и практика / пер. — М. : , 2005. — С. 255. — 768 с. — ISBN 978-5-8459-0847-6
• Robert L. Benson. (англ.) // Center for Cryptologic History National Security Agency. 27 мая 2010 года.
• , , , // Защита информации. Инсайд — СПб. : 2004. — вып. 3.

Ссылки

• (рус.) .
• Dirk Rijmenants. (англ.) .
• Marcus J. Ranum. (англ.) .
• Берд Киви. . — 2005. 24 декабря 2013 года.