Путаница и диффузия

Практическое использование теории информации

Зашифрованного алгоритмами с различной длиной ключа

Расстояния уникальности текста ASCII,

Длина ключа (в битах) Расстояние уникальности (в символах)

	5.9
	8.2
	9.4
	11.8
	18.8
	37.6

Шеннон определил криптосистему с бесконечным расстоянием уникальности, как обладающую идеальной тайной. Обратите внимание, что идеальная криптосистема не обязательно является совершенной, хотя сове р-шенная криптосистема обязательно будет и идеальной. Если криптосистема обладает идеальной тайной, то даже при успешном криптоанализе останется некоторая неопределенность, является ли восстановленный открытый текст реальным открытым текстом.

Хотя эти понятия имеют большое теоретическое значение, реальный криптоанализ использует их достаточно редко. Расстояние уникальности гарантирует ненадежность системы, если оно слишком мало, но его высокое значение не гарантирует безопасности. Несколько практических алгоритмов абсолютно не поддаются анализу, поведение параметров теории информации могло бы способствовать взлому некоторых шифрованных сообщ е-ний. Однако, подобные соображения теории информации иногда полезны, например, для определения в ко н-кретном алгоритме рекомендуемого интервала изменения ключей. Криптоаналитики также используют ряд те с-тов не базе статистики и теории информации, чтобы выбирать наиболее перспективные направления анализа. К сожалению, большинство литературы по применению теории информации в криптоанализе остается секретной, включая основополагающую работу Алана Тьюринга (Alan Turing), написа иную в 1940.

Двумя основными методами маскировки избыточности открытого текста сообщения, согласно Шеннону, служат путаница и диффузия [1432].

Путаница маскирует связь между открытым текстом и шифротекстом. Она затрудняет попытки найти в шифротексте избыточность и статистические закономерности. Простейшим путем создать путаницу является подстановка. В простом подстановочном шифре, например, шифре Цезаря, все одинаковые буквы открытого текста заменяются другими одинаковыми буквами шифротекста. Современные подстановочные шифры являю т-ся более сложными: длинный блок открытого текста заменяется блоком шифротекста, и способ замены меняе т-ся с каждым битом открытого текста или ключа. Такого типа подстановки обычно недостаточно - сложный а л-горитм немецкой Энигмы был взломан в ходе второй мировой войны.

Диффузия рассеивает избыточность открытого текста, распространяя ее по всему шифротексту. Криптоан а-литику потребуется немало времени для поиска избыточности. Простейшим способом создать диффузию явл я-ется транспозиция (также называемая перестановкой). Простой перестановочный шифр только переставляет буквы открытого текста. Современные шифры также выполняют такую перестановку, но они также используют другие формы диффузии, которые позволяют разбросать части сообщения по всему сообщению.

Потоковые шифры используют только путаницу, хотя ряд схем с обратной связью добавляют диффузию. Блочные алгоритмы применяют и путаницу, и диффузию. Как правило, диффузию саму по себе несложно взл о-

мать (хотя шифры с двойной перестановкой оказываются поустойчивее, чем другие некомпьютерные системы).

11.2 Теория сложности

Теория сложности обеспечивает методологию анализа вычислительной сложности различных криптогра­фических методов и алгоритмов. Она сравнивает криптографические методы и алгоритмы и определяет их безопасность. Теория информации сообщает нам о том, что все криптографические алгоритмы (кроме однор а-зовых блокнотов) могут быть взломаны. Теория сложности сообщает, могут ли они быть взломаны до тепловой смерти вселенной.

Сложность алгоритмов

Сложность алгоритма определяется вычислительными мощностями, необходимыми для его выполнения. Вычислительная сложность алгоритма часто измеряется двумя параметрами: Т (временная сложность) и S (пространственная сложность, или требования к памяти). И Т, и S обычно представляются в виде функций от и, где п - это размер входных данных. (Существую и другие способы измерения сложности: количество случа й-ных бит, ширина канала связи, объем данных и т.п.)

Обычно вычислительная сложность алгоритма выражается с помощью нотации "О большого", т.е описыв а-ется порядком величины вычислительной сложности. Это просто член разложения функции сложности, быстрее всего растущий с ростом п, все члены низшего порядка игнорируются. Например, если временная сложность данного алгоритма равна 4_й²+7й+12, то вычислительная сложность порядка п\ записываемая как 0(п²).

Временная сложность измеренная таким образом не зависит от реализации. Не нужно знать ни точное время выполнения различных инструкций, ни число битов, используемых для представления различных переменных, ни даже скорость процессора. Один компьютер может быть на 50 процентов быстрее другого, а у третьего шина данных может быть в два раза шире, но сложность алгоритма, оцененная по прядку величины, не изменится. Это не жульничество, при работе с алгоритмами настолько сложными, как описанные в этой книге, всем пр о-чим можно пренебречь (с точностью до постоянного множителя) в сравнении со сложностью по порядку вел и-чины.

Эта нотация позволяет увидеть, как объем входных данных влияет на требования к времени и объему пам я-ти. Например, если Т= О(и), то удвоение входных данных удвоит и время выполнения алгоритма. Если 7Ю(2"), то добавление одного бита к входным данным удвоит время выполнения алгоритма.

Обычно алгоритмы классифицируются в соответствии с их временной или пространственной сложностью. Алгоритм называют постоянным, если его сложность не зависит от и: 0(1). Алгоритм является линейным, если его временная сложность 0(и). Алгоритмы могут быть квадратичными, кубическими и т.д. Все эти ал­горитмы - полиномиальны, их сложность - 0(и^и), где m - константа. Алгоритмы с полиномиальной временной сложностью называются алгоритмами с полиномиальным временем

Алгоритмы, сложность которых равна 0(/^), где t - константа, большая, чем 1, a fin) - некоторая полиноми­альная функция от п, называются экспоненциальными. Подмножество экспоненциальных алгоритмов, слож­ность которых равна 0(<**), где где с - константа, a fin) возрастает быстрее, чем постоянная, но медленнее, чем линейная функция, называется суперполиномиальным.

В идеале, криптограф хотел бы утверждать, что алгоритм, лучший для взлома спроектированного алгоритма шифрования, обладает экспоненциальной временной сложностью. На практике, самые сильные утверждения, которые могут быть сделаны при текущем состоянии теории вычислительной сложности, имеют форму "все и з-вестные алгоритмы вскрытия данной криптосистемы обладают суперполиномиальной временной сложностью". То есть, известные нам алгоритмы вскрытия обладают суперполиномиальной временной сложностью, но пока невозможно доказать, что не может быть открыт алгоритм вскрытия с полиномиальной временной сложностью. Развитие теории вычислительной сложности возможно когда-нибудь позволит создать алгоритмы, для которых существование алгоритмов с полиномиальным временем вскрытия может быть исключено с математической точностью.

С ростом п временная сложность алгоритмов может стать настолько огромной, что это повлияет на практ и-ческую реализуемость алгоритма. В 9-й показано время выполнения для различных классов алгоритмов при п равном одному миллиону. В таблице игнорируются постоянные величины, но показано, почему это можно д е-лать.

Табл. 11-2 Время выполнения для различных классов алгоритмов

Кл^с Сложность Количество операций для _и=10⁶ Время при 10⁶ операций в секунду

Постоянные	0(1)
Линейные	0(и)
Квадратичные	0(п^2)
Кубические	0(п^3)
Экспоненциальные	0(2")

10*

10¹²

ю¹⁸ ю³⁰

1мкс

1с

11.6 дня

32000 лет

В 10³⁰¹⁰⁰⁶ раз больше, чем время существования вселенной

При условии, что единицей времени для нашего компьютера является микросекунда, компьютер может в ы-полнить постоянный алгоритм за микросекунду, линейный - за секунду, а квадратичный - за 11.6 дня. Выполн е-ние кубического алгоритма потребует 32 тысяч лет, что в принципе реализуемо, компьютер, конструкция кот о-рого позволила бы ему противостоять следующему ледниковому периоду, в конце концов получил бы решение. Выполнение экспоненциального алгоритма тщетно, независимо от экстраполяции роста мощи компьютеров, параллельной обработки или контактов с инопланетным суперразумом.

Взглянем на проблему вскрытия алгоритма шифрования грубой силой. Временная сложность такого вскр ы-тия пропорциональна количеству возможных ключей, которое экспоненциально зависит от длины ключа. Если п - длина ключа, то сложность вскрытия грубой силой равна 0(2 "). В разделе 12.3 рассматривается дискуссия об использовании для DES 56-битового ключа вместо 112-битового. Сложность вскрытия грубой силой при 56-битовом ключе составляет 2⁵⁶, а при 112-битовом ключе - 2¹¹². В первом случае вскрытие возможно, а во вто-ром - нет.

Дата добавления: 2014-11-29