Протоколы конфиденциального вычисления

Предположим, что с помощью протокола разделения секрета разде­ле­ны два секрета S ₁ и S ₂ и что оба эти секреты являются числами. Теперь представим себе ситуацию, что после этого потребовалось разделить сек­рет S = S ₁ + S ₂. Это может сделать дилер с помощью того же про­токола. А могут ли процессоры выполнить то же самое без участия дилера?

Пусть Q₁(x) = а₀ + а₁ х + … + a_m-1х^m-1

и          Q₂(x) = b₀ + b₁ х + … + b_m-1х^m-1

— полиномы, которые использовались для разделения секретов S ₁ и S ₂ соответственно.

Пусть r_i ⁽¹⁾ = g^ai  mod q и r_i ⁽²⁾ = g^bi  mod q, i = 0,...,m-1. – значения, исполь­зуемые для проверки правильности долей секрета.

И пусть s_j ⁽¹⁾ = Q₁ (j) и s_j ⁽²⁾ = Q₂ (j), j = 1,..., n — доли секретов S ₁ и S ₂, полученные процессором A_j.

Ясно, что Q(x) = Q ₁ (x) + Q ₂ (x) — полином степени m -1 и Q(0) = S.

Поэтому каждый процессор A_j может вычислить долю s_j секрета S просто по формуле

s_j = s_j⁽¹⁾ + s_j⁽²⁾.

Эти доли проверяемы с помощью значений    r_i = r_i ⁽¹⁾ r_i ⁽²⁾mod q.

Выполняя такого рода вычисления над долями секретов, процессо­ры могут вычислить любую функцию над конечным полем «проверяемым образом». Типичная задача здесь такая. Требуется вычислить значение функции f на некотором наборе значений аргументов y₁,…,y_k. С помощью схемы проверяемого разделения секрета вычисляются доли ,..., , (i =1,… п) этих значений. В начале выполнения протокола доля x_i известна процессору A _i и только ему. Протокол должен обеспе­чивать вычисление значения

f (,..., ) = f (y₁, …,y_k)

таким образом, чтобы для некоторого параметра m:

1) в результате выполнения протокола любое подмножество из не более чем m-1 процессоров не получало никакой информации о значениях x_i других процессоров (кроме той, которая следует из известных им долей) и значения функции f ( ,..., )),

2)при любых действиях нечестных участников остальные участники вычисляют пра вильное значение f (y₁, …,y_k), если только количе­ство честных участников не менее m.

Протоколы конфиденциального вычисления, ввиду своей общ­ности, представляют несомненный теоретический интерес. Кроме того, мно­гие типы прикладных криптографических протоколов (например, про­токолы голосования) по существу являются частными случаями прото­колов конфиденциального вычисления.

При различных предположениях о процессорах и о сети связи доказан ряд теорем следующего типа: если m -1 не превосходит некоторого порогового значения (зависящего от п и от предположений), то всякая вычислимая функция имеет протокол конфиденциального вычисления.

 

Управление ключами

Под ключевой информацией понимается совокупность всех действующих в ИС ключей. Если не обеспечено достаточно надежное управление ключевой информацией, то завладев ею, злоумышленник получает неограниченный доступ ко всей информации.

Управление ключами представляет собой самую трудную часть криптографии. Проектиро­вать криптографические алгоритмы и протоколы не просто, однако можно воспользовать­ся результатами теоретических исследований.

Криптоаналитики часто атакуют симметричные и асимметричные криптосистемы, исполь­зуя недостатки схемы распределения ключей. Иногда украсть ключ стоит намного дешевле, чем построить суперкомпьютер или нанять криптоаналитика. Известно, что некоторые ком­мерческие продукты не обеспечивают надежного хранения ключей.

 Кроме того, если для обеспечения конфиденциального обмена информацией между двумя пользователями процесс обмена ключами тривиален, то в ИС, где количество пользователей составляет десятки и сотни, управление ключами — серьезная проблема.

Управление ключами - информационный процесс, включающий в себя три элемента:

² генерацию ключей;

² накопление ключей;

² распределение ключей.

Рассмотрим, как они должны быть реализованы для того, чтобы обеспечить безопасность ключевой информации в ИС.

1.33. Генерация ключей

Безопасность криптосистемы сосредоточена в ключе. Если исполь­зуется криптографически уязвимый процесс генерации ключей, то криптосистема в целом уязвима. Криптоаналитику не нужно занима­ться криптоанализом алгоритма криптографического преобразования, достаточно проанализировать алгоритм генерации ключей.