Одноразовий шифр: Єдиний довільно незламний код

Как работает шифрование XOR с случайным ключом

Одноразовый пад использует комбинацию каждого блока исходного текста с соответствующим блоком секретного ключа, используя операцию, которую можно идеально обратить с помощью того же ключа. Для двоичных данных эта операция — исключающее ИЛИ (XOR), обычно сокращенное как XOR, которое переводит каждый бит исходного текста там, где совпадающий бит ключа равен единице, и оставляет его без изменений там, где бит ключа равен нулю. Для текстовых систем, таких как исторические подложки, используемые шпионами и дипломатами, эквивалентная операция — модульное сложение: каждая буква сообщения сдвигается вперед в алфавите на величину, определяемую соответствующей буквой ключа, с переходом от Z обратно к A. Обе операции математически эквивалентны по своему воздействию, так как и исходный текст, и ключ настолько тщательно перемешиваются, что выход выглядит как бессмысленный шум. Расшифровка — это просто обращение процесса: применение того же XOR или вычитание того же значения ключа восстанавливает исходный текст точно. Обеспечена безопасность всей схемы одним объектом — поток ключей, который должен генерироваться независимо от сообщения и должен быть ровно таким же, как сообщение. Если ключ на один символ короче и используется или дополняется предсказуемым образом, гарантии, описанные ниже, больше не действуют, и шифр становится намного слабее, чем его репутация предполагает.

Доведення Шенноном ідеальної секретності

У 1949 році Клод Шеннон опублікував «Теорію зв’язку та секретність», де формально визначив, що означає незламність шифру, та довів, що одноразовий пад досягає цього. Концепція Шеннона, названа ідеальною секретністю, стверджує, що розподіл ймовірностей можливих текстів, враховуючи отриманий шифр, повинен бути таким самим, як розподіл текстів до отримання шифру. Іншими словами, перехоплення шифру не дає нападнику жодної інформації про повідомлення, навіть найменший підказка, яка б звузила можливості. Це пояснюється тим, що для будь-якого шифру, який захопив нападник, існує певний ключ, який дозволить розшифрувати його в будь-який текст однакової довжини. Без знання ключа всі тексти однакової довжини залишаються однаково ймовірними, чи то невинний список продуктів харчування, чи важливий військовий наказ. Це принципово відрізняється від будь-якого іншого шифру, який може протистояти атакам сьогодні лише тому, що поки ніхто не знайшовshortcut або комп’ютери недостатньо потужні. Безпека одноразового паду зберігається незалежно від обчислювальної потужності, алгоритмічної винахідливості чи майбутніх математичних проривів, тому його описують як беззастережну або інформаційно-теоретично безпечну, а не просто обчислювально безпечну.

Строгі вимоги для забезпечення непорушності

Доказ Шеннона супроводжується умовами, які є неприйнятними на практиці. По-перше, ключ повинен бути справді випадковим, згенерованим фізичним процесом, таким як радіоактивний розпад, атмосферний шум або кидання кубиків, а не генератором псевдовипадкових чисел або алгоритмом, оскільки будь-який детермінований процес, що генерує ключ, вносить закономірності, які зловмисник теоретично може використати для зламування ідеальної рівномірності, на яку покладається доказ. По-друге, ключ повинен використовуватися рівно один раз і ніколи більше не використовуватися для будь-якого іншого повідомлення, в цілому або частково; повторне використання навіть частини ключового матеріалу проти другого повідомлення відкриває двері для статистичного аналізу. По-третє, ключ повинен залишатися повністю секретним, відомим лише відправнику та призначеному одержувачу, і передаватися через канал, який сам по собі є безпечним, доставлятися надійним кур'єром, запам'ятовуватися або узгоджуватися заздалегідь. Четверте, ключ повинен бути принаймні таким же довгим, як текст повідомлення, оскільки будь-який дефіцит змушує повторно використовувати ключовий матеріал для покриття решти повідомлення. Кожне з цих умов є практичним тягарем, а не математичною дрібницею. Порушення будь-якої з них, чи то за допомогою несправного генератора випадкових чисел, чи повторне використання сторінки блокнота, чи витік ключа, може значно знизити реальну безпеку шифру, іноді роблячи його безперешкодно вразливим.

Venona: A Real-World Catastrophe From Key Reuse

The clearest historical demonstration of what happens when the one-time pad rule is broken is the Venona project. During the 1940s, Soviet intelligence agencies encrypted diplomatic and espionage cables using one-time pads that were supposed to be used only once per key sheet. Under the pressure of wartime demand, however, Soviet cryptographic staff reused portions of key material across multiple messages, producing what cryptanalysts call a depth of two or more ciphertexts encrypted with overlapping key. United States Army and, later, joint US-UK codebreakers, working for over three decades from 1943 into the 1980s, discovered this reuse and exploited it. By comparing ciphertexts that shared key material, analysts could strip away much of the supposed randomness, reconstruct fragments of the underlying key, and gradually recover portions of the original Russian text through painstaking statistical and linguistic analysis. The results were extraordinary: Venona exposed a substantial Soviet espionage network operating inside the United States, including sources connected to the Manhattan Project. The lesson is stark. The one-time pad's perfect secrecy is not a property of the algorithm alone; it depends entirely on flawless operational discipline. A single instance of key reuse, even under wartime pressure and even by a sophisticated intelligence service, was enough to turn an unbreakable cipher into a solvable puzzle.

Чому це непрактично, незважаючи на те, що теоретично ідеально

Якщо один-разовий шифр справді невразливий, чому всі його не використовують замість AES або інших сучасних шифрів? Відповідь – проблема розподілу ключів, яка є такою серйозною, що один-разовий шифр майже не використовується у повсякденному житті. Оскільки ключ повинен бути таким же довгим, як і повідомлення, і ніколи не повторюватися, дві сторони, які хочуть обмінюватися необмеженим обсягом секретних повідомлень протягом часу, повинні були б заздалегідь безпечно поділитися необмеженою кількістю справді випадкового матеріалу ключа та зберігати його без будь-якого копіювання, втрати чи компрометації. Для окремого короткого телеграму це можливо; для постійного сучасного зв’язку, що включає гігабайти або терабайти даних, генерування, розподіл і безпечне зберігання відповідної кількості справжньої випадковості є неймовірно непрактичним. Будь-яльний безпечний канал, який би ви використовували для розподілу ключа, часто можна було б використовувати для надсилання самого повідомлення, що є центральним парадоксом схеми. Сучасна криптографія замість цього покладається на обчислювально захищені шифри, які використовують короткі, легко розподілені ключі, іноді обмінюються за допомогою розумних математичних протоколів, таких як Дефіє-Еллман, у поєднанні з алгоритмами, які вважаються неможливими для зламу навіть із використанням будь-якого реального обчислювального потужності. Це жертвує абсолютною математичною гарантією Шеннона заради величезної практичної зручності. Один-разовий шифр сьогодні виживає в основному в нішевих, низькооб’ємних, надзвичайно високоризикових середовищах, таких як певні дипломатичні або розвідувальні канали, де вартість попереднього розподілу фізичного матеріалу ключа варта того, щоб заплатити за гарантію, яку жоден інший шифр не може забезпечити.

The one-time pad is truly unbreakable, why doesn’t everyone use it instead of AES or other modern ciphers? The answer is the key-distribution problem, and it is severe enough that the one-time pad sees almost no everyday use. Because the key must be as long as the message and can never be reused, two parties who want to exchange an unlimited amount of secret communication over time would need to pre-share an unlimited amount of truly random key material, securely, in advance, and store it without any of it being copied, lost, or compromised. For a single short telegram this is manageable; for continuous modern communication involving gigabytes or terabytes of data, generating, distributing, and safely storing a matching quantity of true randomness is wildly impractical.

Frequently asked questions

Спробуйте наживо

Усе, що вище, працює прямо у вашому браузері — відкрийте The One-Time Pad: The Only Provably Unbreakable Cipher і змінюйте параметри під час роботи. Нічого не встановлюється, нічого не завантажується на сервер, уся модель живе в одній вкладці.