Сравнительный анализ протоколов контроля целостности

Общая схема контроля целостности на основе шифрование с аутентификацией ГОСТ28147-89 (режим выработки имитовставки)

Общая схема контроля целостности на основе НМАС

НМАС

Общая схема контроля целостности на основе хэш-функции

Криптостойкость

Сложность нахождения коллизии с использованием парадокса «дня рождения» - 2¹²⁸ (10²⁵ лет (см. Таблицу 3.1.))

2008 год - найдена аналитическая атака, которая снизила сложность нахождения коллизии до 2¹⁰⁵ (10¹⁷ лет (см. Таблицу 3.1.)).

Таблица. 3.2. Сравнительные характеристики хэш-функций

Хэш-функция	Базовые преобразования	Длина хэш-образа	Длина блока открытого текста	Длина промежуточного рез-та хэширования	Стойкость к коллизиям (Метод «парадокса дня рождения)	Стойкость к коллизиям (Аналитические атаки)
ГОСТР34.11-94	Блочный симметричный шифр				2^128	2^103
SHA-1	Логические и арифметические				2^80	2^63
SHA-256	Логические и арифметические				2^128	-
SHA-512	Логические и арифметические				2^256	-

Отправителю и получателю используют общую несекретную хэш-функцию h.

1. Отправитель

1.1. Вычисляет хэш-образ для передаваемого сообщения М

H_M = h(М)

1.2. Передает Получателю по незащищенному каналу сообщения М

1.3. Передает Получателю по отдельному защищенному (в части целостности) каналу значение хэш-образа H_M.

2. Получатель

2.1. Принимает по незащищенному каналу сообщение М'.

2.2. Принимает по защищенному (в части целостности) каналу значение хэш-образа H_M.

2.3. Вычисляет хэш-образ для принятого сообщения М'.

H'_M = h(М')

2.4. Сравнивает H_M - хэш-образ, полученный по защищенному каналу, и H'_M - хэш-образ, вычисленный для принятого сообщения.

Если H_M = H'_M, то считают, что нарушение целостности сообщения отсутствует.

Если H_M ≠ H'_M, то считают что имеет место нарушение целостности сообщения.

Так как криптоаналитик может вычислить хэш-образ для произвольного блока данных, то значение хэш-образа должно передаваться по защищенному в части контроля целостности каналу (т.е. храниться и передаваться отдельно от защищаемого массива данных).

Так как хэш-функция не использует секретных параметров, то безопасность протокола контроля целостности определяется сложностью (временем, стоимостью) нахождения второго прообраза.

Если ограничения на ресурсы, доступные криптоаналитику, таковы, что вероятностью нахождения второго прообраза можно пренебречь (см. таблицу 3.1.), то вероятность навязывания определяется вероятностью совпадения хэш-образа произвольного сообщения с заданным (см. таблицу 3.1.).

3.4.3.1. МАС на базе хэш-функции и секретного ключа при сохранении скорости работы, близкой к скорости работы соответствующей хэш-функции.

HMAC_k(М) = h((k+opad)‌‌‌‌‌ ‌|| h((k+ipad) || М))

Отправитель и получатель используют общую несекретную хэш-функцию h и им известен общий секретный ключ К

1. Отправитель

1.1. Вычисляет НМАС для передаваемого сообщения М

H_M(К) = h(К, М)

и добавляет его к передаваемому сообщению М.

1.2. Передает Получателю по незащищенному каналу конструкцию

(М, H_M(К))

2. Получатель

2.1. Принимает конструкцию (М', H'_M(К))

2.2. Вычисляет НМАС для принятого сообщения М'

H_M'(К) = h (К, М')

2.3. Сравнивает H'_M(К), полученный вместе с сообщением М', и H_M'(К), вычисленный получателем для принятого сообщения М'.

Если H'_M(К) = H_M'(К), то считают, что нарушение целостности сообщения отсутствует.

Если H'_M(К) ≠ H_M'(К), то считают что имеет место нарушение целостности сообщения.

Вероятность навязывания Pн= max ( 2^-L, 2^-K).

3.5. Шифрование с контролем целостности. Стандарт блочного шифрования ГОСТ 28147-89, режим выработки имитовставки. Математическая модель и основные характеристики. Протокол контроля целостности.

3.5.1.Цель – обеспечение одновременно конфиденциальности, аутентификации источника и контроля целостости.

Строится на основе блочного шифра с секретным ключом и МАС.

Эффективность применения характеризуется:

- количеством необходимых секретных ключей (один или два);

- возможность одновременного (параллельного) шифрования и вычисления МАС.

Отправитель и получатель используют общую несекретную хэш-функцию h и им известен общий секретный ключ К (или два секретных ключа К1 и К2).

1. Отправитель

1.1. До зашифрования или одновременно с зашифрованием вычисляет МАС для передаваемого сообщения М

H_M(К) = h(К, М)

1.2. Получает шифрограмму С = Е_К(М)

1.3. Добавляет МАС шифрограмме сообщения М

1.4. Передает Получателю по незащищенному каналу конструкцию

(С, H_M(К))

2. Получатель

2.1. Принимает конструкцию (С', H'_M(К))

2.2. Восстанавливает открытый текст

М' = D_К (С')

2.3. Вычисляет МАС для принятого сообщения М'

H_M'(К) = h (К, М')

2.4. Сравнивает МАС H'_M(К), полученный вместе с шифрограммой С', и МАС H_M'(К), вычисленный получателем для восстановленного из шифрограммы сообщения М'.

Если H'_M(К) = H_M'(К), то считают, что нарушение целостности сообщения отсутствует.

Если H'_M(К) ≠ H_M'(К), то считают что имеет место нарушение целостности сообщения.

Вероятность навязывания

Pн = 2^-L

Где – L – длина добавленного аутентификаатора.

	Хэш-функция	НМАС	Шифрование с аутентификацией	Примечание
1.Обеспечиваемые сервисы	Контроль целостности	Контроль целостности Аутентификация сообщения	Контроль целостности Аутентификация сообщения Конфиденциальность
2. Количество секретных ключей	Нет		1 (2)
3. Предварительное распределения секретных ключей	Нет	Да	Да
4. Возможность вычисления добавленного аутентификатора третьей стороной	Да	Нет	Нет
5. Передача (хранение) защищаемого сообщения	В открытом виде	В открытом виде	В виде криптограммы
6. Требование к каналу передачи (хранения) добавленного аутентификатора	Защищенный (в части обеспечения целостности) канал	Незащищенный канал	Незащищенный канал*	* Для ГОСТ 28147-89 (Режим выработки имитовставки)
7. Длина добавленного аутентификатора	L ≥ 256	L ≥ 128	L ≤ 32*	* Для ГОСТ 28147-89 (Режим выработки имитовставки)
8. Вероятность навязывания	Pн =2^-^L	Pн =max(2^-^L, 2^-^K)	Pн =2^-^L
9. Область применения	Разовая передача массивов, контроль целостности файлов и программ	Передача по каналам связи открытой информации	Передача по каналам связи и хранение конфиденциальной информации

L – длина добавленного аутентификатора;

K - длина секретного ключа.

Дата добавления: 2013-12-13