Заперечне шифрування

Приклад 1.

Виконання заперечного шифрування здійснюється  з використанням секретного ключа у вигляді набору підключів ${\displaystyle K_{1},K_{2},K_{3},K_{4}}$ простих чисел ${\displaystyle p_{1}}$${\displaystyle p_{2}}$.Шифрування блоків ${\displaystyle M(p_{1}>M)}$${\displaystyle {\overline {M}}(p_{2}>{\overline {M}})}$ двох повідомлень здійснюють шляхом обчислення значення${\displaystyle C_{1}}$ ${\displaystyle C_{1}=M^{K_{1}}K_{2}mod{p_{1}}}$,обчислення значення ${\displaystyle C_{2}}$ за формулою ${\displaystyle C_{2}={\overline {M}}^{K_{3}}K_{4}mod{p_{2}}}$ і формування блоку криптограми С, який являє собою рішення системи порівнянь:

${\displaystyle \left\{{\begin{matrix}C=C_{1}mod{p_{1}}\\C=C_{2}mod{p_{2}}\end{matrix}}\right.}$

яку ми запишемо у вигляді

${\displaystyle \left\{{\begin{matrix}C=M^{K_{1}}K_{2}mod{p_{1}}\\C={\overline {M}}^{K_{3}}K_{4}mod{p_{2}}\end{matrix}}\right.}$

відповідно до китайської теореми про залишки рішення обчислюється за наступною формулою:

${\displaystyle C=\left[M^{K_{1}}K_{2}p_{2}(p_{2}^{-1}mod{p_{1}})+{\overline {M}}^{K_{3}}K_{4}p_{1}(p_{1}^{-1}mod{p_{2}})\right]mod{p_{1}p_{2}}}$

нехай для розкриття при атаці призначене повідомлення ${\displaystyle }$. Тоді атакуючому представляються в якості ключа шифрування трійка значень ${\displaystyle }$. Дешифрування виконується за формулою

${\displaystyle {\overline {M}}=(CK_{4}^{-1})^{K_{3}^{-1}}mod{p_{2}}}$.

В останній формулі зворотні значення для підключів ${\displaystyle }$ і ${\displaystyle }$ обчислюються за модулями ${\displaystyle }$ і ${\displaystyle }$, відповідно. Дешифрування секретного повідомлення M виконується за тією ж формулою, але з використанням ключа,який представляє собою трійку значень ${\displaystyle }$:

${\displaystyle M=(CK_{2}^{-1})^{K_{1}^{-1}}mod{p_{1}}}$

Приклад 2

Ключ шифрування являє собою набір підключів ${\displaystyle K_{1},K_{2},K_{3},K_{4}}$ та два простих числа ${\displaystyle p_{1}}$${\displaystyle p_{2}}$. Шифруються два повідомлення ${\displaystyle M(p_{1}>M)}$${\displaystyle {\overline {M}}(p_{1}>{\overline {M}})}$ чисел ${\displaystyle D}$${\displaystyle p_{3}}$, обчислення значення ${\displaystyle C_{1}}$${\displaystyle C_{1}=M^{K_{1}}K_{2}mod{p_{1}}}$, обчислення значення ${\displaystyle C_{2}}$ за формулою ${\displaystyle C_{2}={\overline {M}}^{K_{3}}K_{2}\mod {p_{2}}}$${\displaystyle C}$, котра є рішенням системи порівнять, що в ключає в себе три порівняння:

${\displaystyle C\equiv C_{1}mod{p_{1}},C\equiv C_{2}mod{p_{2}},C\equiv Dmod{p_{3}}}$.

Цю систему можна записати у вигляді

${\displaystyle \left\{{\begin{matrix}C\equiv M^{K_{1}}K_{2}mod{p_{1}}\\C\equiv {\overline {M}}^{K_{3}}K_{4}mod{p_{2}}\\C\equiv Dmod{p_{3}}\end{matrix}}\right.}$
Відповідно до китайської теореми про залишки рішення цієї системи порівнянь обчислюється за формулою:

${\displaystyle C=\left[M^{K_{1}}K_{2}p_{2}p_{3}((p_{2}p_{3})^{-1}mod{p_{1}})+{\overline {M}}^{K_{3}}K_{4}p_{1}p_{3}((p_{1}p_{3})^{-1}mod{p_{2}})+Dp_{1}p_{2}((p_{1}p_{2})^{-1}mod{p_{3}})\right]mod{p_{1}p_{2}p_{3}}}$

При атаці, атакуючому представляється в якості ключа шифрування трійка значень ${\displaystyle }$, за яким розшифрування виконується за формулою:

${\displaystyle {\overline {M}}=(CK_{4}^{-1})^{K_{3}^{-1}}mod{p_{2}}}$.

Очевидно, що розмір криптограми не може бути менше суми розмірів зашифрованих спільно повідомлень, тому в якості ознак наявності в криптограммі інших повідомлень розглядаються ознаки відмінності криптограми від шіфротексту, одержуваного імовірнісним шифруванням розкритого повідомлення, при якому розмір шифротексту значно більше розміру вихідного повідомлення. Іншими словами, криптограма, яка піддається атаці, могла бути отримана за допомогою імовірнісного шифрування за представленим ключем. У силу цього для атакуючого відсутні підстави вимагати ще який-небудь інший ключ для подальшого розшифрування криптограми.

На користь наявності додаткових повідомлень у криптограммі атакуючим можуть бути пред'явлені наступні доводи:

• Неповне використання криптограми в процесі розшифровки;
• Наявність розгалужень у процедурі розшифрування, керованих ключем;
• Ознаки сортування бітів криптограми у процедурі розшифрування;
• Порушення однаковості процесу розшифрування за всіх можливих значень секретного ключа;
• Нерівномірність впливу бітів криптограми на біти розшифрованого тексту.

Розмір криптограми може бути більше розміру вихідного тексту. При цьому атакуючому повідомляється, що при створенні криптограми був використаний метод імовірнісного шифрування. Збільшення розмірів шифротексту є властивим для шифрів такого типу.

Деякі криптографічні продукти (наприклад, TrueCrypt) дозволяють створювати зашифровані контейнери без будь-яких сигнатур. Такий контейнер, в загальному випадку, неможливо пов'язати з конкретною криптографічного програмою (так як вміст контейнера виглядає як суцільна випадкова послідовність даних).

Контейнери без сигнатур неможливо виявити програмами на кшталт file. З іншого боку, відсутність будь-яких сигнатур і висока ентропія даних вже є ознакою зашифрованих даних.

Деякі продукти дозволяють створювати контейнери всередині вже існуючої суцільний випадкової послідовності даних. Наприклад, TrueCrypt може створити контейнер всередині вільного простору файлової системи іншого контейнера (вільний простір файлової системи будь-якого контейнера TrueCrypt спочатку заповнено випадковими даними).

Приховані контейнери можуть бути виявлені в деяких випадках на стадії аналізу вимкнутої системи, наприклад:

• У разі витоку інформації про вміст схованого контейнера на незашифровані файлові системи:
  • Витоку в файл підкачки, файл сну і дампи пам'яті (crash dump);
  • Інші витоку (наприклад, списки MRU);
• У разі витоку криптографічних ключів або паролів у файл підкачки, файл сну і дампи пам'яті;
• У разі наявності повної або часткової копії (декількох копій) зовнішнього контейнера з ключем / паролем;
• У випадку використання слабких ключів / паролів для схованого контейнера.

Деякі системи, шифрувальні повідомлення на льоту, наприклад OTRM надають можливість гнучкого шифрування, що дозволяє співрозмовникам заперечувати свою участь у бесіді. Хоча даний тип шифрування не є, по суті, двозначним, тобто не дозволяє двояко розшифровувати повідомлення, він позбавляє противника можливості довести участь конкретної особи у бесіді, як і сам факт наявності обміну інформацією.

Це досягається додаванням в зашифроване повідомлення інформації, необхідної для його фальсифікації. Таким чином, якщо супротивник здатний створити справжнє повідомлення для даної бесіди, то він автоматично зможе підробляти повідомлення, що разом з досконалою прямою секретністю (англ. perfect forward secrecy) гарантує захищеність бесіди, навіть якщо ключі для окремих повідомлень знаходяться під загрозою розголошення.