Повторное использование гаммы

Важным свойством криптографических протоколов СПIII является запрет на многократное использование одинаковой гаммы для шифрования различных текстов. Для шифров гаммирования запрещено даже двукратное шифрование одинаковой гаммой [65|, иначе возможно определение ключа криптоаналитическими методами. Рассмотрим модульное гаммирование с уравнениями шифрования:

Требуется восстановить открытые тексты по криптограммам у_х, …, y_t и у[, …, у ?у полученным наложением одинаковой гаммы на различные открытые тексты х_{, x_t и х[, …, х/. Тогда разность криптограмм не зависит от гаммы:

Следовательно, требуется подобрать два открытых текста, разность которых задана. Угадав фрагмент одного открытого текста (используя известные стандарты или тематику данного ИОС), можно вычислить фрагмент другого открытого текста. Имея такие «привязки» на различных позициях текстов, следует продолжить восстановление текстов и влево, и вправо, используя грамматические и логические связи языка. Поиск вариантов продолжения угаданных фрагментов текстов следует упорядочить по убыванию апостериорных вероятностей знаков:

Иными словами, перебор значений пары (х, х') с фиксированной разностью и можно упорядочить по убыванию вероятностей Р{х, = v, х[ — ~(р- w) mod т}, которые вычислены заранее для всех и. Аналогичный подход применим к перебору пар мультиграмм.

Данный метод не всегда приводит к успеху. Однако если правильно восстановлены части текстов, то это позволяет криптоаналитику восстановить гамму и решать задачу определения ключа по известным знакам гаммы.

Существенно проще решается данная задача для двух открытых текстов, различающихся лишь вставкой небольшого числа символов. Для восстановления текстов используется алгебраическая атака, называемая атакой с помощью вставки символа (insertion attack).

Пусть открытый тексту, х₂>… с помощью гаммы у_1? у₂, ••• преобразуется в соответствии с уравнениями шифрования (14.7) в шифротекст у_{, у₂, …. Криптоаналитику не известны открытый текст и гамма, пусть он располагает криптограммами у_{, у₂, г/₃, … и у_{, у₂, г/₃, …, полученными при зашифровании одинаковой гаммой соответственно открытого текста х_х, х₂, х₃, … и его модификации х_{, х х₂, х₃,…, полученной вставкой в некоторой позиции известного бита х'. По двум криптограммам определяются, начиная с момента вставки, и гамма, и открытый текст:

Позицию вставки символа х^/ можно определить, сравнивая модифицированный и оригинальный шифротексты. Если значение вставленного символа неизвестно, то варианты его значения перебираются. Для защиты от атаки с помощью вставки символа нс следует использовать одинаковые отрезки гаммы для повторного шифрования.