Криптография с несколькими открытыми ключами

Схема шифрования с открытым ключом

Пусть K — пространство ключей, а e и d — ключи шифрования и расшифрования соответственно. E_e — функция шифрования для произвольного ключа e K, такая что: E_e (m) = c Здесь c C, где C — пространство шифротекстов, а m M, где M — пространство сообщений. D_d — функция расшифрования, с помощью которой можно найти исходное сообщение m, зная шифротекст c: D_d (c) = m

{ E_e: e K } — набор шифрования, а { D_d: d K } — соответствующий набор для расшифрования. Каждая пара (E, D) имеет свойство: зная E_e, невозможно решить уравнение E_e (m) = c, то есть для данного произвольного шифротекста c C, невозможно найти сообщение m M. Это значит, что по данному e невозможно определить соответствующий ключ расшифрования d. E_e является односторонней функцией, а d — лазейкой. Ниже показана схема передачи информации лицом А лицу В. Они могут быть как физическими лицами, так и организациями и так далее. Но для более лёгкого восприятия принято участников передачи отождествлять с людьми, чаще всего именуемыми Алиса и Боб. Участника, который стремится перехватить и расшифровать сообщения Алисы и Боба, чаще всего называют Евой.

1. Боб выбирает пару (e, d) и шлёт ключ шифрования e (открытый ключ) Алисе по открытому каналу, а ключ расшифрования d (закрытый ключ) защищён и секретен (он не должен передаваться по открытому каналу).

2. Чтобы послать сообщение m Бобу, Алиса применяет функцию шифрования, определённую открытым ключом e: E_e (m) = c, c — полученный шифротекст.

3. Боб расшифровывает шифротекст c, применяя обратное преобразование D_d, однозначно определённое значением d.

§ В следующем примере показана схема, в которой Алиса шифрует сообщение так, что только Боб может прочитать его, и наоборот, Боб шифрует сообщение так, что только Алиса может расшифровать его.

Пусть есть 3 ключа K_A, K_B, K_C, распределенные так, как показано в таблице.

Тогда Алиса может зашифровать сообщение ключом K_A, а Эллен расшифровать ключами K_B, K_C, Кэрол — зашифровать ключом K_C, а Дэйв расшифровать ключами K_A, K_B. Если Дэйв зашифрует сообщение ключом K_A, то сообщение сможет прочитать Эллен, если ключом K_B, то его сможет прочитать Франк, если же обоими ключами K_A и K_B, то сообщение прочитает Кэрол. По аналогии действуют и другие участники. Таким образом, если используется одно подмножество ключей для шифрования, то для расшифрования требуются оставшиеся ключи множества. Такую схему можно использовать для n ключей.

§ Теперь можно посылать сообщения группам агентов, не зная заранее состав группы.

Рассмотрим для начала множество, состоящее из трех агентов: Алисы, Боба и Кэрол. Алисе выдаются ключи K_A и K_B, Бобу — K_B и K_C, Кэрол — K_A и K_C. Теперь, если отправляемое сообщение зашифровано ключом K_C, то его сможет прочитать только Алиса, последовательно применяя ключи K_A и K_B. Если нужно отправить сообщение Бобу, сообщение шифруется ключом K_A, Кэрол — ключом K_B. Если нужно отправить сообщение и Алисе и Кэрол, то для шифрования используются ключи K_B и K_C.

Преимущество этой схемы заключается в том, что для её реализации нужно только одно сообщение и n ключей (в схеме с n агентами). Если передаются индивидуальные сообщения, то есть используются отдельные ключи для каждого агента (всего n ключей) и каждого сообщения, то для передачи сообщений всем различным подмножествам требуется 2 ⁿ − 2 ключей.

Недостатком такой схемы является то, что необходимо также широковещательно передавать подмножество агентов (список имён может быть внушительным), которым нужно передать сообщение. Иначе каждому из них придется перебирать все комбинации ключей в поисках подходящей. Также агентам придется хранить немалый объём информации о ключах.^[4]