Аутентификация с помощью симметричных блочных шифров

Пусть X — конечное множество и заданы функции /, g: Х^п —> X. Мерой близости функций / и g (обозначается dist (/, g)) являются различные действительные функции, определенные на всех парах функций рассматриваемого класса, например dist (/, g) = | {х е Х^п f (x) Ф g (x) .

Для булевых функций / и g от п переменных мерой близости является их взаимная корреляция или расстояние Хэмминга между таблицами функций dist (У, g) = ||/0 g||.

Если /, g: V_n —> V_m заданы системами координатных булевых функций соответственно (Д, f_m) и {gj, …, g_w}, то мерой близости может быть.

В криптосистемах аутентификации используются функции, распространяющие искажения входных данных. Функция /: V_n —" V_m не распространяет до г искажений, если для любого 5=1, г и любых х, у е Х^п из равенства distar, у) = 5 следует неравенство dist_I(/(x),/(z/)) < s.

Для аутентификации сообщений используют симметричные блочные шифры в тех режимах шифрования, которые единичную ошибку в открытом сообщении распространяют на весь последующий шифрованный текст. Режим шифрования должен удовлетворять следующему условию: если искажен любой бит в i-м блоке открытого сообщения, то для любого j > i при случайном равновероятном ключе каждый бит у-го блока шифрованного текста искажается с вероятностью ½, i = 1, 2, …. Это условие для блочного шифра выполнено в тех режимах шифрования, в которых имеется обратная связь по шифротексту (СВС, CFB и др.). Для аутентификации открытого сообщения a_v …, a_t с помощью СБШ вырабатывается контрольная кодовая комбинация w, называемая имитовставкой (вектором аутентификации), которая присоединяется к сообщению. Защищенное сообщение имеет вид а_{, …, a_v и. Например, в ЛЕб'-алгоритме имитовставка состоит из 24 младших битов последнего блока b_t шифротекста. В алгоритме ГОСТ 28 147–89 имитовставка состоит из 32 младших битов последнего блока b_t шифротекста, вырабатываемого с помощью «усеченного» 16-раундового алгоритма. Имитовставка сообщения определяется из соотношений b_{ = E'_k(a_{), b? = ??(6_M © a?), i = 2,…, t, где k — ключ, E'_k — преобразование, реализуемое 16-раундовым алгоритмом ГОСТ 28 147–89.

Для вычисления имитовставки или кода проверки подлинности сообщения (англ, аббревиатура — MAC) необходимо знать ключ. Законный пользователь, владея ключом, может проверить подлинность полученного (хранимого) сообщения, вычислив имитовставку для сообщения и сравнив ее с присоединенной к сообщению имитовставкой. Блочный шифр в режиме выработки имитовставки реализует однонаправленную функцию с ключом.

Код MAC используется и для аутентификации шифрованного сообщения Ь_{,…, Ь_г В этом случае выполняется, например, шифрование последнего блока шифрованного сообщения E_k(b_t) = b_t+{ и в качестве MAC используется несколько младших битов блока 6?₊₁.