СПОСОБ ФОРМИРОВАНИЯ КЛЮЧА ШИФРОВАНИЯ/ДЕШИФРОВАНИЯ Российский патент 2007 года по МПК H04L9/14 

Изобретение относится к области криптографии, а именно к формированию ключа шифрования/дешифрования (КлШД), и может быть использовано в качестве отдельного элемента при построении симметричных криптографических систем, предназначенных для передачи шифрованных речевых, звуковых, телевизионных и др. сообщений.

Предлагаемый способ формирования КлШД может использоваться в криптографических системах в случае отсутствия или потери криптосвязности (Криптосвязность - наличие у законных сторон одинакового КлШД.) между законными сторонами направления связи (Законные стороны НС - т.е. санкционированные участники обмена информации) (НС) или установления криптосвязности между новыми законными сторонами НС (ЗСНС) при ведении нарушителем перехвата, модификации и подмены информации, передаваемой по открытым каналам связи.

Известен способ формирования КлШД, описанный в книге У.Диффи "Первые десять лет криптографии с открытым ключом", ТИИЭР, 1988, т.76, №5, с.57-58. Известный способ заключается в предварительном распределении между законными сторонами направления связи чисел α и β, где α - простое число и 1≤β≤α-1. Передающая сторона НС (ПерСНС) и приемная сторона НС (ПрСНС), независимо друг от друга, выбирают случайные числа Х_А и Х_B соответственно, которые хранят в секрете и затем формируют числа на основе Х_A, α, β на ПерСНС и Х_B, α, β на ПрСНС. ЗСНС обмениваются полученными числами по каналам связи без ошибок. После получения чисел корреспондентов законные стороны преобразовывают полученные числа с использованием своих секретных чисел в единый КлШД. Способ позволяет шифровать информацию во время каждого сеанса связи на новых КлШД (т.е. исключает хранение ключевой информации на носителях) и сравнительно быстро сформировать КлШД при использовании одного незащищенного канала связи.

Однако известный способ обладает низкой стойкостью КлШД к компрометации (Стойкость КлШД к компрометации - способность криптографической системы противостоять попыткам нарушителя получить КлШД, который сформирован и используется законными сторонами НС, при использовании нарушителем информации о КлШД, полученной в результате перехвата, хищения и утраты носителей, разглашения, анализа и т.д.), время действия КлШД ограничено продолжительностью одного сеанса связи или его части, некорректное распределение чисел α и β приводит к невозможности формирования КлШД.

Известен также способ формирования КлШД при использовании квантового канала связи [Патент US №5515438, H 04 L 9/00 от 07.05.96], который позволяет автоматически сформировать КлШД без дополнительных мер по рассылке (доставке) предварительной последовательности. Известный способ заключается в использовании принципа неопределенности квантовой физики и формирует КлШД, посредством передачи фотонов по квантовому каналу. Способ обеспечивает получение КлШД с высокой стойкостью к компрометации, осуществляет гарантированный контроль наличия и степени перехвата КлШД.

Однако реализация известного способа требует высокоточной аппаратуры, что обуславливает высокую стоимость его реализации. Кроме этого, КлШД по данному способу может быть сформирован при использовании волоконно-оптических линий связи ограниченной длины, что существенно ограничивает область применение его на практике.

Наиболее близким по технической сущности к заявляемому способу формирования КлШД является способ формирования КлШД на основе информационного различия [Патент РФ №2183051, H 04 L 9/00 от 27.05.02].

Способ-прототип заключается в формировании исходной последовательности (ИП), кодировании ее, выделении из кодированной исходной последовательности блока проверочных символов, передаче его по каналу связи без ошибок и формировании декодированной последовательности, а из исходной и декодированной последовательностей формируют ключ шифрования/дешифрования.

Для формирования ИП L раз, где L>10⁴ - выбранная первичная длина исходной последовательности, на передающей стороне направления связи формируют зашумляющий блок двоичных символов. Передают зашумляющий блок двоичных символов по каналу связи с ошибками на приемную сторону направления связи. На приемной стороне направления связи генерируют случайный бит. Формируют из случайного бита кодовое слово. Формируют зашумленное кодовое слово (ЗКС) путем поразрядного суммирования по модулю 2 принятого зашумляющего блока двоичных символов и сформированного кодового слова. Передают зашумленное кодовое слово по обратному каналу связи без ошибок на передающую сторону направления связи. На передающей стороне направления связи из зашумленного кодового слова формируют принятое кодовое слово путем поразрядного суммирования по модулю 2 зашумляющего блока двоичных символов и зашумленного кодового слова. Формируют из принятого кодового слова принятый бит и бит подтверждения F. Передают бит подтверждения по прямому каналу без ошибок на приемную сторону направления связи. При бите подтверждения F, равном нулю, сгенерированный случайный бит и принятый бит стирают соответственно на приемной и передающей сторонах направления связи. При бите подтверждения F, равном единице, сгенерированный случайный бит и принятый бит запоминают соответственно на приемной и передающей сторонах направления связи в качестве i-х элементов, где i=1, 2, 3,..., L-U, исходной и предварительной последовательностей, где U - количество стертых символов при формировании исходной и предварительной последовательностей. Декодированную последовательность на передающей стороне направления связи формируют из предварительной последовательности. После формирования исходной и декодированной последовательностей на передающей стороне направления связи формируют функцию хеширования последовательностей. Передают функцию хеширования последовательностей по прямому каналу связи без ошибок на приемную сторону направления связи. Ключи шифрования/дешифрования на приемной и передающей сторонах направления связи формируют путем хеширования исходной и декодированной последовательностей по сформированной на передающей стороне направления связи функции хеширования последовательностей. Затем на приемной стороне направления связи стирают исходную последовательность. На передающей стороне направления связи стирают декодированную и предварительную последовательности. Исходную последовательность на приемной стороне направления связи кодируют линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом, порождающая матрица которого имеет размерность К×N, причем N>К. При кодировании исходной последовательности предварительно разделяют ее на Y подблоков длиной К двоичных символов, где Y=(L-U)/К. Затем, последовательно, начиная с 1-го до Y-го из каждого j-го подблока, где j=1, 2, 3,..., Y, формируют j-й кодовый блок длиной N двоичных символов перемножением j-го подблока на порождающую матрицу. Из j-го кодового блока выделяют j-й подблок проверочных символов длиной N- К двоичных символов. Запоминают j-й подблок проверочных символов в качестве j-го подблока блока проверочных символов кодированной исходной последовательности. Размеры К и N порождающей матрицы линейного блокового систематического двоичного помехоустойчивого (N, К) кода выбирают К=2^m-1-m и N=2^m-1, где m≥3. При формировании зашумляющего блока двоичных символов (ЗБДС) на передающей стороне направления связи каждый i-й бит зашумляющего блока двоичных символов, где i=1, 2, 3,..., М+1, генерируют случайным образом, где М≥1. Для формирования кодового слова сгенерированный случайный бит повторяют М раз, где М≥1. Принятому биту присваивают значение первого бита принятого кодового слова. Для формирования бита подтверждения F первый бит принятого кодового слова сравнивают с последующими М битами принятого кодового слова. Затем при наличии М совпадений первого бита принятого кодового слова с М битами принятого кодового слова биту подтверждения F присваивают значение единица. При наличии хотя бы одного несовпадения первого бита принятого кодового слова с М битами принятого кодового слова биту подтверждения F присваивают значение ноль. Для формирования декодированной последовательности на передающей стороне направления связи предварительную последовательность декодируют линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом, проверочная матрица которого имеет размерность (N-К)×N, причем N>К. При формировании декодированной последовательности предварительную последовательность и блок проверочных символов кодированной исходной последовательности разделяют на Y соответствующих пар декодируемых подблоков и подблоков проверочных символов, где Y=(L-U)/K. Длины декодируемых подблоков и подблоков проверочных символов выбирают равными соответственно К и N-К двоичных символов. Затем формируют Y принятых кодовых блоков длиной N двоичных символов путем конкатенации справа к j-му декодируемому подблоку j-го подблока проверочных символов, где j=1, 2, 3,..., Y. Затем последовательно, начиная с 1-го до Y-го, вычисляют j-и синдром S длины N- К двоичных символов перемножением j-го принятого кодового блока на транспонированную проверочную матрицу. По полученному j-му синдрому S исправляют ошибки в j-м декодируемом подблоке. Затем j-й декодируемый подблок запоминают в качестве j-го подблока декодированной последовательности. Выбирают размеры К и N проверочной матрицы линейного блокового систематического двоичного помехоустойчивого (N, К) кода K=2^m-1-m и N=2^m-1, где m≥3. Функцию хеширования последовательностей на передающей стороне направления связи формируют в виде двоичной матрицы G размерности (L-U)×Т, где Т≥64 - длина формируемого ключа шифрования/дешифрования. Каждый из элементов двоичной матрицы G генерируют случайным образом. Функцию хеширования последовательностей передают последовательно, начиная с 1-й по (L-U)-ю строки двоичной матрицы G. При формировании ключа шифрования/дешифрования предварительно на приемной стороне направления связи двоичную матрицу G и исходную последовательность разделяют на W соответствующих пар подматриц размерности Р×Т, где Р=(L-U)/W, и подблоков исходной последовательности длиной Р двоичных символов. При формировании ключа шифрования/дешифрования предварительно на передающей стороне направления связи двоичную матрицу G и декодированную последовательность разделяют на W соответствующих пар подматриц размерности Р×Т, где Р=(L-U)/W, и подблоков декодированной последовательности длиной Р двоичных символов. Затем, начиная с 1-го до W-й, вычисляют z-й первичный ключ длины T двоичных символов, где z=1, 2, 3,..., W, перемножением z-го подблока исходной последовательности на z-ю подматрицу С_z на приемной стороне направления связи и z-го подблока декодированной последовательности на z-ю подматрицу G_z на передающей стороне направления связи. Формируют ключ шифрования/дешифрования путем поразрядного суммирования по модулю два W первичных ключей на приемной и передающей сторонах направления связи.

Недостатком прототипа заявленного способа является большое время формирования КлШД, что объясняется необходимостью передачи функции хэширования по каналу связи без ошибок. Известный способ имеет относительно высокую вероятность навязывания нарушителем ложных сообщений, что объясняется использованием дополнительной процедуры аутентификации. Каналы без ошибок, используемые в способе-прототипе, считаются защищенными методами аутентификации принимаемых сообщений (Аутентификация сообщений - процесс подтверждения подлинности (отсутствия фальсификации или искажения) произвольных сообщений, принятых из канала связи.), что требует наличия ключей аутентификации у корреспондентов до начала реализации способа формирования КлШД. По этой причине корреспонденты, не имеющие ключей аутентификации, не могут сформировать КлШД, обеспечивающий стойкость к компрометации, из-за высокой вероятности навязывания нарушителем ложных сообщений.

Целью заявленного технического решения является разработка способа формирования КлШД, обеспечивающего снижение времени, необходимого для формирования КлШД, и повышение стойкости сформированного КлШД к компрометации со стороны нарушителя.

Поставленная цель достигается тем, что в известном способе формирования КлШД, заключающемся в том, что формируют случайную последовательность на передающей стороне направления связи, передают ее по каналу связи с ошибками на приемную сторону направления связи, формируют блок проверочных символов для сформированной случайной последовательности, передают его по каналу связи без ошибок на приемную сторону направления связи, где формируют декодированную последовательность, а из случайной и декодированной последовательностей формируют ключ шифрования/дешифрования, случайную последовательность на передающей стороне направления связи формируют в виде трех блоков Х₁, Х₂, Х₃, с длинами k₁, k₂, k₃ соответственно. Причем k₁>l, k₁=k₂, , где l - длина формируемого ключа шифрования/дешифрования, (N, К) и (N_a, K_a) - предварительно заданные на передающей и приемной сторонах направления связи линейные блоковые систематические двоичные помехоустойчивые коды, порождающие матрицы которых имеют соответственно размерности К×N и К_a×N_a, причем N>К и N_a>К_а. Передают по каналу связи с ошибками три блока Х₁, Х₂, Х₃, которые принимают на приемной стороне направления связи в виде блоков Y₁, Y₂, Y₃. Формируют на передающей стороне направления связи для первого Х₁ и второго X₂ блоков блоки проверочных символов С₁ и С₂ с длинами r₁ и r₂ соответственно, где и . Затем формируют сообщение длиной (r₁+r₂) путем конкатенации блоков проверочных символов C₁ и С₂. После чего формируют аутентификатор w для сообщения . Передают сообщение и его аутентификатор w по каналу связи без ошибок на приемную сторону направления связи. На приемной стороне направления связи формируют аутентификатор w' для принятого сообщения. А также формируют вектор V путем суммирования по модулю два принятого w и сформированного w' аутентификаторов. Вычисляют вес w(V) вектора V путем подсчета его ненулевых элементов и сравнивают полученный вес w(V) с предварительно заданным пороговым значением веса w(V)_пор. При w(V)>w(V)_пор процесс формирования ключа шифрования/дешифрования прерывают, а при w(V)<w(V)_пор на приемной стороне направления связи из принятого сообщения выделяют блоки проверочных символов С₁ и С₂, путем разбиения принятого сообщения на две равные части. На приемной стороне направления связи из ранее принятых по каналу связи с ошибками блоков Y₁, Y₂ и блоков проверочных символов C₁ и С₂ формируют декодированные блоки После чего формируют ключи шифрования/дешифрования на приемной и передающей сторонах направления связи путем хэширования блока X₁ на передающей стороне направления связи и декодированного блока на приемной стороне направления связи.

Для формирования блока проверочных символов С₁ длиной r₁ для блока X₁ кодируют блок Х₁ линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом. Для чего разделяют блок Х₁ на Т₁=k₁/K подблоков по К символов в каждом. Формируют из каждого i-го подблока, где i=1, 2,..., T₁, i-й кодовый подблок длиной N символов, перемножением i-го подблока на порождающую матрицу размерности К×N линейного блокового систематического двоичного помехоустойчивого (N, К) кода. Затем выделяют из i-го кодового подблока i-й подблок проверочных символов длиной (N-К) символов. Совокупность из T₁ подблоков проверочных символов образует блок проверочных символов С₁ для блока X₁.

Для формирования блока проверочных символов С₂ длиной r₂ для блока Х₂, кодируют блок Х₂ линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом. Для чего разделяют блок Х₂ на Т₂=k₂/K подблоков по К символов в каждом. Формируют из каждого i-го подблока, где i=1, 2,..., T₂, i-й кодовый подблок длиной N символов, перемножением i-го подблока на порождающую матрицу размерности К×N линейного блокового систематического двоичного помехоустойчивого (N, К) кода. Затем выделяют из i-го кодового подблока i-й подблок проверочных символов длиной (N-К) символов. Совокупность из T₂ подблоков проверочных символов образует блок проверочных символов C₂ для блока X₂.

Для формирования на передающей стороне аутентификатора w сообщения , кодируют сообщение линейным блоковым систематическим двоичным помехоустойчивым (N_a, К_а) кодом. Для чего разделяют сообщение на T_а=(r₁+r₂)/К_а блоков по К_a символов в каждом. Формируют из каждого j-го блока, где j=1, 2,..., T_а, j-й кодовый блок длиной N_a символов, перемножением j-го блока на порождающую матрицу размерности К_a×N_a линейного блокового систематического двоичного помехоустойчивого (N_a, К_a) кода. Формируют кодовое слово для сообщения , в виде последовательности, состоящей из T_а кодовых блоков. Затем преобразуют кодовое слово для сообщения путем замены в нем символов "0" на "01", а символов "1" на "10". Присваивают каждому символу преобразованного кодового слова и соответствующему символу блока X₃ порядковые номера s, где s=1, 2,..., 2N_aT_a. Запоминают s-й символ блока X₃, если в преобразованном кодовом слове, s-й символ равен 1. Последовательность запомненных символов блока Х₃ образует аутентификатор w.

Для формирования на приемной стороне направления связи декодированного блока из принятого блока Y₁ и блока проверочных символов С₁ декодируют принятый блок Y₁ линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом. Для чего разделяют принятый блок Y₁ и блок проверочных символов С₁ на T₁ соответствующих пар декодируемых и проверочных подблоков, где Т₁=k₁/K. Длины декодируемых подблоков и проверочных подблоков выбирают равными соответственно К и (N-К) двоичных символов. Формируют Т₁ принятых кодовых подблоков длиной N двоичных символов путем конкатенации справа к t-му декодируемому подблоку t-го проверочного подблока, где t=1, 2, 3,..., Т₁. Вычисляют последовательно, начиная с t-го до T₁-го, t-й синдром S длины (N-К) двоичных символов перемножением t-го принятого кодового подблока на транспонированную проверочную матрицу. Исправляют по полученному t-му синдрому S ошибки в t-м декодируемом подблоке. Запоминают t-й декодируемый подблок в качестве t-го подблока декодированного блока .

Для формирования ключа шифрования/дешифрования путем хеширования на передающей стороне направления связи перемножают блоки Х₁ и Х₂. На приемной стороне перемножают декодированные блоки После чего из полученных после перемножения последовательностей выделяют l младших разрядов.

Указанная новая совокупность существенных признаков обеспечивает возможность аутентификации передаваемых сообщений по открытым каналам связи, на основе случайно сформированного блока Х₃ и соответствующего ему блока Y₃, принятого по каналу с ошибками, что позволит повысить стойкость формируемого КлШД к компрометации по отношению к нарушителю. И снижение времени формирования КлШД, путем применения нового класса хэш-функций и передачи их по каналам с ошибками.

Проведенный анализ уровня техники позволил установить, что аналоги, характеризующиеся совокупностью признаков, тождественных всем признакам заявленного решения, отсутствуют, что указывает на соответствие заявленного способа условию патентоспособности "новизна".

Результаты поиска известных решений в данной и смежных областях техники с целью выявления признаков, совпадающих с отличительными от прототипа признаками заявленного способа, показали, что они не следуют явным образом из уровня техники. Из уровня техники также не выявлена известность влияния предусматриваемых существенными признаками заявленного изобретения преобразований на достижение указанного технического результата. Следовательно, заявленное изобретение соответствует условию патентоспособности "изобретательский уровень".

Заявленный способ поясняется фигурами, на которых показаны:

- на фигуре 1 - обобщенная структурная схема НС, применяемого в заявленном способе;

- на фигуре 2 - временная диаграмма сформированной случайной последовательности в виде блоков Х₁, Х₂, Х₃;

- на фигуре 3 - временная диаграмма вектора ошибок в канале связи с ошибками;

- на фигуре 4 - временная диаграмма принятой по каналу с ошибками случайной последовательности в виде блоков Y₁, Y₂, Y₃;

- на фигуре 5 - вид порождающей матрицы линейного блокового систематического двоичного помехоустойчивого (N, К) кода;

- на фигуре 6 - временная диаграмма сформированного блока X₁, разделенного на Т₁ подблоков по К символов;

- на фигуре 7 - временная диаграмма выделенного i-го подблока блока Х₁;

- на фигуре 8 - временная диаграмма формирования i-го кодового подблока длиной N двоичных символов;

- на фигуре 9 - временная диаграмма выделения i-го подблока проверочных символов длиной N-К двоичных символов;

- на фигуре 10 - временная диаграмма формирования блока проверочных символов C₁;

- на фигуре 11 - временная диаграмма сформированного блока проверочных символов С₂;

- на фигуре 12 - временная диаграмма формирования сообщения ;

- на фигуре 13 - вид порождающей матрицы линейного блокового систематического двоичного помехоустойчивого (N_a, К_a) кода;

- на фигуре 14 - временная диаграмма сформированного сообщения , разделенного на Т_a блоков по К_а символов;

- на фигуре 15 - временная диаграмма выделенного j-го блока сообщения ;

- на фигуре 16 - временная диаграмма формирования j-го кодового блока длиной N_a двоичных символов;

- на фигуре 17 - временная диаграмма сформированного кодового слова для сообщения , разделенного на T_a блоков по N_a символов;

- на фигуре 18 - временная диаграмма сформированного кодового слова для сообщения;

- на фигуре 19 - временная диаграмма формирования преобразованного кодового слова;

- на фигуре 20 - временная диаграмма сформированного блока Х₃,

- на фигуре 21 - временная диаграмма формирования аутентификатора w;

- на фигуре 22 - временная диаграмма конкатенации справа аутентификатора w к сообщению ;

- на фигуре 23 - временная диаграмма принятого на ПрСНС сообщения и его аутентификатора w;

- на фигуре 24 - временная диаграмма сформированного кодового слова для сообщения;

- на фигуре 25 - временная диаграмма принятого блока Y₃;

- на фигуре 26 - временная диаграмма формирования аутентификатора w';

- на фигуре 27 - временная диаграмма формирования вектора V;

- на фигуре 28 - временная диаграмма выделения блоков проверочных символов С₁ и С₂ из сообщения ;

- на фигуре 29 - временная диаграмма блока проверочных символов С₁, разделенного на Т₁ подблоков проверочных символов длиной N-К двоичных символов, и выделение из него t-го подблока проверочных символов;

- на фигуре 30 - временная диаграмма принятого по каналу с ошибками блока Y₁, разделенного на T₁ декодируемых подблоков по К символов, и выделение из него t-го декодируемого подблока;

- на фигуре 31 - временная диаграмма конкатенации справа t-го декодируемого подблока и t-го подблока проверочных символов;

- на фигуре 32 - временная диаграмма вычисления t-го синдрома S длиной N-К двоичных символов;

- на фигуре 33 - временная диаграмма исправления ошибки в t-м декодируемом подблоке по полученному t-му синдрому S;

- на фигуре 34 - временная диаграмма формирования декодированной последовательности из Т₁ декодируемых подблоков;

- на фигуре 35 - временная диаграмма сформированного блока X₁;

- на фигуре 36 - временная диаграмма сформированного блока Х₂;

- на фигуре 37 - временная диаграмма формирования КлШД К_а.

На представленных фигурах буквой "А" обозначены действия, происходящие на передающей стороне НС, буквой "В" - на приемной стороне НС. На фигурах заштрихованный импульс представляет собой двоичный символ "1", а не заштрихованный - двоичный символ "0". Знаки "+" и "×" обозначают соответственно сложение и умножение в поле Галуа GF(2). Верхние буквенные индексы обозначают длину последовательности (блока), нижние буквенные индексы обозначают номер элемента в последовательности (блоке).

Реализация заявленного способа заключается в следующем. Современные криптосистемы построены по принципу Керкхоффа, описанного, например, в книге Д.Месси, "Введение в современную криптологию", ТИИЭР, т.76, №5, май 1988, с.24, согласно которому полное знание нарушителя включает, кроме, информации, полученной с помощью перехвата, полную информацию о алгоритме взаимодействия законных сторон НС и процессе формирования КлШД. Формирование общего КлШД можно разделить на три основных этапа. Первый этап - обеспечение наличия предварительно сформированных коррелированных последовательностей двоичных символов у законных сторон НС, как исходного материала для формирования КлШД. Предполагается, что у нарушителя имеется своя предварительно сформированная коррелированная последовательность (ПСКП), коррелированная с ПСКП-ми законных сторон НС. Второй этап предназначен для обеспечения формирования КлШД с высокой надежностью. Формирование КлШД с высокой надежностью достигается устранением (исправлением) несовпадающих символов (ошибок) в ПСКП одной законной стороны НС (ПСКП на ПрСНС) относительно ПСКП другой законной стороны НС (ПСКП на ПерСНС), при использовании ЗСНС дополнительной информации о ПСКП (ПСКП на ПрСНС), переданной по каналу связи без ошибок. Предполагается, что нарушитель использует дополнительную информацию для устранения несовпадений в ПСКП-тях ЗСНС для устранения несовпадений в своей ПСКП с последовательностями ЗСНС. Третий этап предназначен для обеспечения формирования КлШД с низким уровнем информации нарушителя о КлШД путем сжатия тождественных последовательностей законных сторон НС, которые были получены ЗСНС после окончания второго этапа. Предполагается, что нарушителю известен алгоритм сжатия последовательностей, который используют ЗСНС. Хранение законными сторонами НС на первом этапе ПСКП-тей приводит к уменьшению стойкости формируемого КлШД к компрометации, т.к. возможно получение нарушителем информации о ПСКП хотя бы одной из законных сторон НС в результате хищения носителей информации, несанкционированного доступа, разглашения информации и др. Это требует выполнения мероприятий по обеспечению надежного хранения полной информации о ПСКП-тях ЗСНС. С другой стороны, при выполнении действий законными сторонами НС второго и третьего этапов для получения КлШД на одних и тех же коротких последовательностях, выделенных из ПСКП-тей ЗСНС, увеличивается вероятность достоверного знания нарушителем сформированного КлШД. Это, также, приводит к уменьшению стойкости формируемого КлШД к компрометации. Кроме этого, при выполнении действий законными сторонами НС по обмену информацией по открытым каналам связи, нарушитель может навязать ЗСНС свой КлШД (или часть КлШД), что приводит к уменьшению стойкости формируемого КлШД к компрометации. Поэтому для формирования КлШД необходимо исключить хранение ПСКП-тей у ЗСНС путем их одновременного формирования, при использовании ЗСНС канала связи с ошибками (возможность формирования КлШД основывается на независимости ошибок, возникающих в канале связи с ошибками законных сторон НС, и ошибок, возникающих в канале перехвата нарушителя), формировать КлШД путем хеширования полученных тождественных последовательностей полной длины.

В заявленном способе формирования ключа шифрования/дешифрования для обеспечения повышенной стойкости сформированного КлШД к компрометации реализуется следующая последовательность действий.

Нарушитель имеет свой канал перехвата, с помощью которого он получает информацию о переданных блоках Х₁, Х₂, Х₃ по каналу связи с ошибками законных сторон НС (см. фиг.1). Для формирования КлШД с высокой стойкостью к компрометации необходимо создание условий, при которых качество приема в канале связи с ошибками законных сторон НС (т.е. основного канала) будет превосходить качество приема в канале перехвата, т.е. необходимо создать условия, при которых основной канал будет иметь преимущество (лучшее качество приема) по отношению к каналу перехвата. Способы создания таких условий не входят в область, которую рассматривает предлагаемый способ. Известные способы улучшения качества передачи в основном канале по сравнению с качеством канала перехвата описаны, например, в работе В.Коржик, В.Яковлев, А.Синюк, "Протокол выработки ключа с помехами". Проблемы информационной безопасности, Компьютерные системы, №1, СПб: СПбГТУ, 2000, с.52-63.

На ПерСНС формируют СП в виде трех блоков Х₁, Х₂, Х₃ (см. фиг.2). Известные способы генерирования случайных чисел описаны, например, в книге Д.Кнут, "Искусство программирования для ЭВМ", М., Мир, 1977, т.2, стр.22. Передают блоки Х₁, Х₂, X₃ по каналу связи с ошибками на приемную сторону направления связи (ПрСНС). Временная диаграмма вектора ошибок в канале связи с ошибками показана на фигуре 3. Под термином "вектор ошибок" понимают поразрядную разность между переданным и принятым блоками двоичных символов, как описано, например, в книге А.Зюко, Д.Кловский, М.Назаров, Л.Финк, "Теория передачи сигналов", М., Радио и связь, 1986, стр.93. Принятые по каналу с ошибками блоки Y₁, Y₂, Y₃ показаны на фигуре 4. Известные способы передачи последовательностей по каналам связи с ошибками описаны, например, в книге А.Зюко, Д.Кловский, М.Назаров, Л.Финк, "Теория передачи сигналов", М., Радио и связь, 1986, стр.11.

Между сформированными блоками Х₁, Х₂ на ПерСНС и принятыми блоками Y₁, Y₂ на ПрСНС остаются несовпадающие символы, что не позволяет ЗСНС приступить к непосредственному формированию КлШД. Устранение этих несовпадений может быть реализовано на основе использования помехоустойчивого кодирования. Однако известные помехоустойчивые коды позволяют кодировать последовательности значительно меньшей длины, чем длины блоков, равные k₁, k₂ двоичных символов. Для этого применяют последовательное кодирование, т.е. если длины блоков Х₁, Х₂ велики, например, 10⁵-10⁷ двоичных символов, их разделяют соответственно на T₁, T₂ подблоков длиной по К символов (см. фиг.6), где

Каждый подблок длиной К символов кодируется линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом, где К - длина блока информационных символов кода и N - длина кодового блока (см. фиг.7). Линейным двоичным кодом называется код, который построен на основе использования линейных операций в поле GF(2), как описано, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", М., Мир, 1986, стр.61. Под термином "блоковый код" понимают код, в котором действия производятся над блоками символов, как описано, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", М., Мир, 1986, стр.13. Систематическим называется код, в котором кодовое слово начинается с информационных символов, оставшиеся символы кодового слова являются проверочными символами к информационным символам, как описано, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", М., Мир, 1986, стр.66. Затем формируемые подблоки проверочных символов длиной N - К двоичных символов (см. фиг.8) объединяют в единые блоки проверочных символов C₁ и С₂ соответственно, с длинами T₁(N-К) и T₂(N-К) двоичных символов (см. фиг.10). При передаче блоков проверочных символов на ПрСНС и использовании их для устранения несовпадений в блоках Y₁ и Y₂ то отношению к блокам Х₁ и X₂ получают декодированные блоки Тогда вероятность ошибочного декодирования блоков Y₁ и Y₂ может быть определена по формулам

где Р_е - вероятность ошибочного декодирования подблока длиной К двоичных символов, определяемая, как описано, например, в работе Korjik V., Moralis-Luna G., Balakirsky V. "Privacy amplification theorem for noisy main channel". Lecture notes in computer science, 2001, №2200, pp.18-26. Если информационная часть кодового слова длиной К символов передается по ДСК с вероятностью ошибки р_m, а проверочная часть длиной N-К символов передается по бесшумному каналу, то средняя вероятность ошибки по ансамблю (N, К) - кодов может быть оценена сверху модифицированной границей Галлагера

где

- функция Галлагера для ДСК с вероятностью ошибки р_m,

скорость кода.

В качестве помехоустойчивых кодов могут использоваться широкий класс кодов Боуза-Чоудхури-Хоквингема, коды Хемминга, Рида-Малера, Рида - Соломона и другие линейные блоковые коды, характеризующиеся своими параметрами N, К. Передача блоков проверочных символов C₁ и С₂ по обратному каналу связи без ошибок дает возможность нарушителю получить дополнительную информацию о КлШД, путем перехвата блоков проверочных символов С₁ и С₂. Используя их, нарушитель также исправляет часть несовпадений в своей версии перехваченных блоков СП относительно блоков Х₁ и Х₂.

Кодирование блока Х₁ на ПерСНС заключается в следующем. Предварительно блок Х₁ разделяют на Т₁ подблоков длиной К двоичных символов, где Т₁=k₁/K, как показано на фиг.6. Известные способы разбиения последовательности на блоки фиксированной длины описаны, например, в книге В.Васильев, В.Свириденко, "Системы связи", М., Высшая школа, 1987, стр.208. Последовательно, начиная с 1-го до T₁-го, каждый i-й подблок блока Х₁, где i=1, 2, 3,..., T₁, кодируют линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом (см. фиг.7). Порождающая матрица кода имеет размерность К×N, причем N>К. Размеры К и N порождающей матрицы линейного блочного систематического двоичного помехоустойчивого (N, К) кода выбирают К=2^m-1-m и N=2^m-1, где m≥3, как описано, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", М., Мир, 1986, стр.71. Для кодирования блока X₁ каждый i-й подблок длиной К двоичных символов перемножают на порождающую матрицу кода и получают i-й кодовый блок длиной N двоичных символов, как показано на фиг.8. Известные способы помехоустойчивого кодирования блоков символов описаны, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", М., Мир, 1986, стр.63. Из i-го кодового блока выделяют i-й подблок проверочных символов длиной N-К двоичных символов (см. фиг.9). Известные способы выделения блоков фиксированной длины описаны, например, в книге В.Васильев, В.Свириденко, "Системы связи", М., Высшая школа, 1987, стр.208. Запоминают i-й подблок проверочных символов в качестве i-го подблока блока проверочных символов кодированного блока X₁. Временная диаграмма формирования блока проверочных символов C₁ кодированного блока Х₁ показана на фигуре 10. Известные способы хранения последовательности бит описаны, например, в книге Л.Мальцев, Э.Фломберг, В.Ямпольский, "Основы цифровой техники", М., Радио и связь, 1986, стр.38. Аналогичным образом кодируют линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом блок Х₂ на ПерСНС, разделяя его на T₂ подблоков длиной К двоичных символов, где T₂=k₂/K. Известные способы разбиения последовательности на блоки фиксированной длины описаны, например, в книге В.Васильев, В.Свириденко, "Системы связи", М., Высшая школа, 1987, стр.208. Временная диаграмма сформированного блока проверочных символов С₂ кодированного блока Х₂ показана на фигуре 11.

Нарушитель может подменять или имитировать сообщения, передаваемые в канале связи без ошибок, с целью формирования КлШД общего с одним или обоими корреспондентами. Поэтому информация, передаваемая корреспондентами по каналу связи без ошибок, должна быть аутентифицирована. Для достижения этой цели на ПерСНС формируют сообщение путем конкатенации блоков проверочных символов С₁ и С₂ (см. фиг.12). Затем разделяют сформированное сообщение на T_a блоков длиной по К_а символов (см. фиг.14), где

Каждый блок длиной К_а символов кодируют линейным блоковым систематическим двоичным помехоустойчивым (N_a, К_a) кодом, где К_а - длина блока информационных символов кода и N_a - длина кодового блока (см. фиг.15). Сформированные кодовые блоки (см. фиг.16) образуют кодовое слово для сообщения (см. фиг.17).

Кодирование сообщения на ПерСНС заключается в следующем. Предварительно сообщение разделяют на Т_а блоков длиной К_а двоичных символов, где Т_а=(N-К)(Т₁+Т₂)/K_a, как показано на фиг.14. Известные способы разбиения последовательности на блоки фиксированной длины описаны, например, в книге В.Васильев, В.Свириденко, "Системы связи", М., Высшая школа, 1987, стр.208. Последовательно, начиная с 1-го до Т_а-го, каждый j-й блок сообщения , где j=1, 2, 3,..., Т_а, кодируют линейным блоковым систематическим двоичным помехоустойчивым (N_a, К_a) кодом (см. фиг.15). Порождающая матрица кода имеет размерность К_а×N_a, причем N_a>К_a. Размеры К_а и N_a порождающей матрицы линейного блочного систематического двоичного помехоустойчивого (N_a, К_a) кода выбирают К_а=2^m-1-m и N_a=2^m-1, где m≥3, как описано, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", M., Мир, 1986, стр.71. Для кодирования сообщения , каждый j-й блок длиной К_а двоичных символов перемножают на порождающую матрицу кода и получают j-й кодовый блок длиной N_a двоичных символов, как показано на фиг.16. Известные способы помехоустойчивого кодирования блоков символов описаны, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", M., Мир, 1986, стр.63. Запоминают j-й кодовый блок в качестве j-го блока кодового слова для сообщения . Временная диаграмма формирования кодового слова для сообщения показана на фигуре 17. Известные способы хранения последовательности бит описаны, например, в книге Л.Мальцев, Э.Фломберг, В.Ямпольский, "Основы цифровой техники", M., Радио и связь, 1986, стр.38. Затем преобразуют сформированное кодовое слово для сообщения путем замены в нем символов "0" на "01", а символов "1" на "10" (см. фиг.19). Каждому символу преобразованного кодового слова присваивают порядковый номер s, где s=1, 2,..., N_aT_a. Аналогичным образом каждому символу блока X₃ присваивают порядковый номер s, где, s=1, 2,..., N_aT_a. Запоминают s-й символ блока Х₃, если в преобразованном кодовом слове на s-м месте стоит символ "1". Аутентификатор w образуют как последовательность сохраненных символов блока X₃ (см. фиг.21). Далее сообщение и его аутентификатор w передают по открытому каналу связи без ошибок на ПрСНС (см. фиг.22).

Например, преобразованное кодовое слово для сообщения представим в виде вектора , где υ_i∈(0, 1), а блок Х₃ в виде вектора , где x_i∈(0, 1). Тогда аутентификатор , в котором для всех j<n_a, w_ij=x_j, если υ_ij=1, в противном случае w_ij не формируется.

На ПрСНС, получив сообщение и его аутентификатор w (см. фиг.23), формируют аутентификатор w'. Для чего формируют кодовое слово для принятого сообщения , используя линейный блоковый систематический двоичный помехоустойчивый (N_a, K_а) код. Преобразуют сформированное кодовое слово для сообщения путем замены в нем символов "0" на "01", а символов "1" на "10". Каждому символу преобразованного кодового слова присваивают порядковый номер s, где s=1, 2,..., 2N_aT_a. Аналогичным образом каждому символу блока Y₃ присваивают порядковый номер s, где s=1, 2,..., 2N_aT_a. Запоминают s-й символ блока Y₃, если в преобразованном кодовом слове на s-м месте стоит символ "1". Аутентификатор w' образуют как последовательность сохраненных символов блока Y₃ (см. фиг.26).

Для проверки подлинности принятого сообщения, на ПрСНС формируют вектор V путем суммирования по модулю два (как описано, например, в книге У.Питерсон, Э.Уэлдон, "Коды, исправляющие ошибки", М.: Мир, 1976. 34 с.) принятого w и сформированного w' аутентификаторов (см. фиг.27). Вычисляют вес w(V) сформированного вектора V, как, например, описано в книге Мак-Вильямс Ф., Слоэн Н., "Теория кодов, исправляющих ошибки", М., Связь, 1979, 19 с. Затем сравнивают полученное значение веса w(V) с предварительно заданным пороговым значением w(V)_пор. Если вес w(V) равен или меньше порогового значения w(V)_пор, то сообщение считается подлинным, если больше, сообщение отвергается как ложное.

Описанная процедура аутентификации впервые была предложена в работе Maurer U., "Information-theoretically secure secret-key agreement by NOT authenticated public discussion", Advances in Cryptology - EUROCRYPT 97, Berlin, Germany: Springer-Verlag, 1997, vol.1233, pp.209-225, и получила название аутентифицирующих помехоустойчивых кодов (АП-код).

Основными характеристиками АП-кода являются:

Р_ло - вероятность ложного отклонения переданного сообщения, когда нарушитель не вмешивался в процесс передачи.

P_н - вероятность успешного навязывания ложного сообщения.

Устойчивость к навязыванию ложных сообщений зависит от так называемого асимметричного кодового расстояния d₀₁, которое определяется числом переходов из 0 в 1 между кодовыми словами, соответствующими истинному и ложному сообщениям.

Если (n_а, k_a) - код имеет постоянный вес τ и асимметричное кодовое расстояние d₀₁, то характеристики АП-кода определяются соотношениями (см. работу Korjik V., Bakin M. "Information theoretically secure keyless authentication", IEEE on Information Theory Symposium 2000, Sorrento, Italy, July):

В описанном выше способе построения АП-кода (кодирование сообщения линейным блоковым систематическим двоичным помехоустойчивым (N_a, K_a) кодом и замены в нем символов "0" на "01", а символов "1" на "10") асимметричное кодовое расстояние d₀₁ совпадает с минимальным расстоянием кода d, которое может быть найдено, например, с помощью границы Варшамова-Гильберта, как описано в книге Мак-Вильямс Ф., Слоэн Н. "Теория кодов, исправляющих ошибки", M.: Связь, 1979, 539 с.

где g(p)=-plog(p)-(1-p)log(1-p) - энтропийная функция.

Вес τ всех преобразованных кодовых слов постоянен и равен длине кодового слова для сообщения .

При подлинности сообщения на ПрСНС выделяют блоки проверочных символов C₁ и C₂, путем разбиения принятого сообщения на две равные части (см. фиг.28). Затем, используя полученные блоки проверочных символов С₁ и С₂, производят исправление ошибок в принятых ранее по каналу с ошибками блоков Y₁, Y₂ путем их декодирования. Процедуру декодирования осуществляют следующим образом.

Блок Y₁ и блок проверочных символов С₁ разделяют на T₁ соответствующих пар декодируемых подблоков (см. фиг.30) и подблоков проверочных символов (см. фиг.29), где Т₁=k₁/K. Длины декодируемых подблоков и подблоков проверочных символов выбирают равными соответственно К и N-К двоичных символов. Известные способы разбиения последовательности на блоки фиксированной длины описаны, например, в книге В.Васильев, В.Свириденко, "Системы связи", M., Высшая школа, 1987, стр.208. Формируют Т₁ принятых кодовых блоков длиной N двоичных символов путем конкатенации справа к t-му декодируемому подблоку t-го подблока проверочных символов, где t=1, 2, 3,..., T₁, как показано на фиг.31. Каждый из T₁ принятых кодовых блоков декодируют линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом (см. фиг.31). Проверочная матрица кода имеет размерность (N-К)×N, причем N>К. Выбирают размеры К и N проверочной матрицы линейного блокового систематического двоичного помехоустойчивого (N, К) кода К=2^m-1-m и N=2^m-1, где m≥3, как описано, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", M., Мир, 1986, стр.71. Последовательно, начиная с 1-го до Т₁-го, вычисляют t-й синдром S длины N-К двоичных символов перемножением t-го принятого кодового блока на транспонированную проверочную матрицу. Временная диаграмма вычисления t-го синдрома S длиной N-К двоичных символов показана на фигуре 32. По полученному t-му синдрому S исправляют ошибки в t-м декодируемом подблоке (см. фиг.33). Известные способы синдромного декодирования блоков символов описаны, например, в книге Р.Блейхут, "Теория и практика кодов, контролирующих ошибки", M., Мир, 1986, стр.70. Затем t-й декодируемый подблок запоминают в качестве t-го подблока декодированного блока как показано на фиг.34. Известные способы хранения последовательности бит описаны, например, в книге Л.Мальцев, Э.Фломберг, В.Ямпольский, "Основы цифровой техники", M., Радио и связь, 1986, стр.38. Аналогичным образом производят исправления ошибок в блоке Y₂ и получают декодированный блок

Нарушитель, также, может перехватить сообщение и выделить блоки проверочных символов С₁ и С₂. Используя их, он исправляет часть несовпадений в своей версии перехваченных блоков случайной последовательности. Это обстоятельство ЗСНС учитывают при формировании из блока Х₁ и декодированного блока КлШД.

ЗСНС должны сформировать КлШД с малым количеством информации нарушителя о КлШД. Для обеспечения малого количества информации нарушителя о КлШД в предлагаемом способе формирования КлШД используют метод "усиления секретности" блока Х₁ и декодированного блока основанный на универсальном хешировании, как описано, например, в книге Bennett С., Brassard G., Crepeau С., Maurer U. "Generalized privacy amplification", IEEE Trans. on IT, vol.41, no.6, pp.1915-1923, 1995, стр.1920. Сущность метода "усиления секретности" заключается в следующем. На ПерСНС выбирают в качестве функции хеширования блок Х₂, а на ПрСНС декодированный блок Затем хешируют блок Х₁ на ПерСНС и декодированный блок на ПрСНС. Результатом хеширования будет сформированный КлШД ЗСНС.С вероятностью, близкой к единице и равной 1-P_ε, происходит событие, при котором информация (информация Шеннона) нарушителя о КлШД не превысит определенной малой величины I₀ и с малой вероятностью сбоя P_ε возможно событие, при котором информация нарушителя о КлШД будет более I₀. При хешировании блока Х₁ (блок Х₁ длиной k₁ двоичных символов) отображается в последовательность К_а длиной l двоичных символов формируемого КлШД на ПерСНС. Аналогично, при хешировании декодированный блок (декодированный блок длиной k₁ двоичных символов) отображается в последовательность К_b длиной l двоичных символов формируемого КлШД на ПрСНС. Функция хеширования последовательностей должна удовлетворять ряду требований, как описано, например, в книге Ю.Романец, П.Тимофеев, В.Шаньгин, "Защита информации в компьютерных системах и сетях", М., Радио и связь, 1999, с.156:

- функция хеширования должна быть чувствительна к всевозможным изменениям в последовательности, таким как, вставки, выбросы, перестановки и т.п.;

- функция хеширования должна обладать свойством необратимости, т.е. задача подбора другой последовательности, которая обладала требуемым значением функции хеширования, должна быть вычислительно не разрешима;

- вероятность коллизии, т.е. вероятность события, при котором значения функции хеширования двух различных последовательностей совпадают, должна быть ничтожно мала.

Кроме этого, функция хеширования должна принадлежать универсальному множеству функций хеширования. Универсальное множество функций хеширования определяется следующим образом. Пусть n и r два положительных целых числа, причем n>r. Множество функций G₂, отображающих множество двоичных последовательностей длиной n в множество двоичных последовательностей длиной r, называется универсальным, если для любых различных последовательностей х₁ и х₂ из множества двоичных последовательностей длины n вероятность (коллизии) того, что значение функции хеширования от х₁ равно значению функции хеширования от х₂(g(x₁)=g(x₂)), не больше 2^-r, при случайном выборе функции хеширования g, в соответствии с равновероятным распределением, из G₂, как описано, например, в книге Carter J., Wegman M., "Universal classes of hash functions". Journal of Computer and System Sciences, 1979, Vol.18, pp.143-154, стр.145. Все линейные функции, отображающие множество двоичных последовательностей длиной n в множество двоичных последовательностей длиной r, принадлежат универсальному множеству, как описано, например, в книге Carter J., Wegman M., "Universal classes of hash functions". Journal of Computer and System Sciences, 1979, Vol.18, pp.143-154, стр.150.

Хэширование блока Х₁ может быть осуществлено как умножение двоичного числа, представленного блоком Х₁, на двоичное число, представленное блоком Х₂, и выделения из полученного произведения l младших разрядов (см. фиг.37). После формирования ЗСНС КлШД путем хеширования блока Х₁ на ПерСНС и декодированного блока на ПрСНС количество информации Шеннона, получаемое нарушителем о КлШД, сформированном ЗСНС, не больше (как показано в работе Яковлев В., Коржик В., Бакаев M. "Протоколы формирования ключа с использованием открытых каналов связи с шумом в условиях активного перехвата. Часть 1. Постановка задачи, основные процедуры, протокол Маурера-Вольфа", Проблемы информационной безопасности. Компьютерные системы. №3 СПб.: СПбГТУ, 2004, с.80), чем

Информация Реньи t определяется через выражение для энтропии Реньи на символ (энтропия Реньи на символ зависит от вероятности ошибки на бит р_w в канале перехвата), которая характеризует неопределенность нарушителя о КлШД, при знании нарушителем информации, полученной с помощью канала перехвата, полной информации о алгоритме взаимодействия законных сторон НС и их действиям по формированию КлШД, как описано, например, в книге Bennett С., Brassard G., Crepeau С., Maurer U. "Generalized privacy amplification", IEEE Trans. on IT. vol.41. no.6. pp.1915-1923, 1995, стр.1919. Энтропия Реньи равна

Тогда информация Реньи t, полученная нарушителем при перехвате блока Х₁ длиной k₁ символов, определяется выражением

Количество информации Шеннона, получаемое нарушителем о сформированном ЗСНС КлШД, при использовании ЗСНС метода "усиления секретности", может быть больше ограничения I₀ (определенного в (12)) с малой вероятностью сбоя.

У нарушителя остается возможность получения полной информации о КлШД ЗСНС в результате хищения носителей информации о блоках Х₁, Х₂, Х₃ несанкционированного доступа к информации о блоках Х₁, Х₂, Х₃ (блоках Y₁, Y₂, Y₃), разглашения информации о блоках X₁, X₂, Х₃ (блоках Y₁, Y₂, Y₃) и др. хотя бы одной из законных сторон НС. Для исключения этой возможности нарушителя ЗСНС после формирования КлШД стирают блоки X₁, X₂, X₃ () на передающей стороне направления связи и блоки Y₁, Y₂, Y₃, на приемной стороне направления связи. Действия по передаче и приему последовательностей по каналу связи с ошибками, прямому и обратному каналам связи без ошибок засинхронизированы. Известные способы синхронизации описаны, например, в книге Е.Мартынов, "Синхронизация в системах передачи дискретных сообщений", М., Связь, 1972, стр.186.

Изобретение относится к области криптографии, может быть использовано в качестве отдельного элемента при построении симметричных криптографических систем, предназначенных для передачи шифрованных речевых, звуковых, телевизионных и др. сообщений. Технический результат - снижение времени формирования ключа шифрования/дешифрования и повышение стойкости сформированного ключа шифрования/дешифрования к компрометации со стороны нарушителя. Для этого на передающей стороне направления связи формируют случайную последовательность в виде трех блоков X₁, X₂, Х₃ с длинами k₁, k₂, k₃ соответственно. Передают ее по каналу связи с ошибками на приемную сторону направления связи (Y₁, Y₂, Y₃ - принятые блоки). Формируют блоки проверочных символов C₁ и С₂ для блоков X₁ и Х₂. Формируют сообщение путем конкатенации блоков C₁ и С₂. Формируют аутентификатор w для полученного сообщения, используя АП-код и блок Х₃. Передают сообщение и аутентификатор w по каналу связи без ошибок на приемную сторону направления связи. На приемной стороне направления связи проверяют подлинность принятого сообщения , используя АП-код и блок Y₃. Выделяют блоки проверочных символов C₁ и С₂ из принятого сообщения . Из ранее принятых по каналу связи с ошибками блоков Y₁, Y₂ и блоков проверочных символов C₁ и C₂ формируют декодированные блоки Формируют ключи шифрования/дешифрования на приемной и передающей сторонах направления связи путем хэширования блока X₁ на передающей стороне направления связи и декодированного блока ₁ на приемной стороне направления связи. 5 з.п. ф-лы, 37 ил.

1. Способ формирования ключа шифрования/дешифрования, заключающийся в том, что формируют случайную последовательность на передающей стороне направления связи, передают ее по каналу связи с ошибками на приемную сторону направления связи, формируют блок проверочных символов для сформированной случайной последовательности, передают его по каналу связи без ошибок на приемную сторону направления связи, где формируют декодированную последовательность, а из случайной и декодированной последовательностей формируют ключ шифрования/дешифрования, отличающийся тем, что случайную последовательность на передающей стороне направления связи формируют в виде трех блоков X₁, Х₂, Х₃ с длинами k₁, k₂, k₃ соответственно, причем k₁>l, k₁=k₂, , где l - длина формируемого ключа шифрования/дешифрования, (N, К) и (N_a, К_а) - предварительно заданные на передающей и приемной сторонах направления связи линейные блоковые систематические двоичные помехоустойчивые коды, порождающие матрицы которых имеют соответственно размерности K×N и K_a×N_a, причем N>K и N_a>K_a, и передают по каналу связи с ошибками три блока X₁, Х₂, Х₃, которые принимают на приемной стороне направления связи в виде блоков Y₁, Y₂, Y₃, формируют на передающей стороне направления связи для первого X₁ и второго Х₂ блоков блоки проверочных символов C₁ и C₂ с длинами r₁ и r₂ соответственно, где и , затем формируют сообщение длиной (r₁+r₂) путем конкатенации блоков проверочных символов C₁ и С₂, после чего формируют аутентификатор w для сообщения , передают сообщение и его аутентификатор w по каналу связи без ошибок на приемную сторону направления связи, где формируют аутентификатор w' для принятого сообщения, а также формируют вектор V путем суммирования по модулю два принятого w и сформированного w' аутентификаторов, вычисляют вес w(V) вектора V путем подсчета его ненулевых элементов и сравнивают полученный вес w(V) с предварительно заданным пороговым значением веса w(V)_пор и при w(V)>w(V)_пор процесс формирования ключа шифрования/дешифрования прерывают, а при w(V)<w(F)_пор на приемной стороне направления связи из принятого сообщения выделяют блоки проверочных символов C₁ и C₂ путем разбиения принятого сообщения на две равные части, на приемной стороне направления связи из ранее принятых по каналу связи с ошибками блоков Y₁, Y₂ и блоков проверочных символов C₁ и C₂ формируют декодированные блоки после чего формируют ключи шифрования/дешифрования на приемной и передающей сторонах направления связи путем хэширования блока X₁ на передающей стороне направления связи и декодированного блока на приемной стороне направления связи.2. Способ по п.1, отличающийся тем, что для формирования блока проверочных символов C₁ длиной r₁ для блока X₁, кодируют блок X₁ линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом, для чего разделяют блок X₁ на T₁=k₁/K подблоков по К символов в каждом, формируют из каждого i-го подблока, где i=1, 2,..., T₁, i-ый кодовый подблок длиной N символов, перемножением i-го подблока на порождающую матрицу размерности K×N линейного блокового систематического двоичного помехоустойчивого (N, К) кода, затем выделяют из i-го кодового подблока i-ый подблок проверочных символов длиной (N-K) символов, а совокупность из T₁ подблоков проверочных символов образует блок проверочных символов для блока X₁.3. Способ по п.1, отличающийся тем, что для формирования блока проверочных символов С₂ длиной r₂ для блока Х₂ кодируют блок Х₂ линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом, для чего разделяют блок X₂ на Т₂=k₂/К подблоков по К символов в каждом, формируют из каждого i-го подблока, где i=1, 2,..., T₂, i-ый кодовый подблок длиной N символов, перемножением i-го подблока на порождающую матрицу размерности K×N линейного блокового систематического двоичного помехоустойчивого (N, К) кода, затем выделяют из i-го кодового подблока i-ый подблок проверочных символов длиной (N-K) символов, а совокупность из Т₂ подблоков проверочных символов образует блок проверочных символов для блока Х₂.4. Способ по п.1, отличающийся тем, что для формирования на передающей стороне аутентификатора w сообщения кодируют сообщение линейным блоковым систематическим двоичным помехоустойчивым (N_a, К_а) кодом, для чего разделяют сообщение на T_a=(r₁+r₂)/K_a блоков по К_а символов в каждом, формируют из каждого j-го блока, где j=1, 2,..., Т_а, j-ый кодовый блок длиной N_a символов, перемножением j-го блока на порождающую матрицу размерности K_a×N_a линейного блокового систематического двоичного помехоустойчивого (N_a, К_а) кода, формируют кодовое слово для сообщения , в виде последовательности состоящей из Т_а кодовых блоков, затем преобразуют кодовое слово для сообщения путем замены в нем символов "0" на "01", а символов "1" на "10", присваивают каждому символу преобразованного кодового слова и соответствующему символу блока Х₃ порядковые номера s, где s=1, 2..., 2N_aT_a, запоминают s-ый символ блока Х₃, если в преобразованном кодовом слове на s-ом месте стоит 1, последовательность запомненных символов блокад образует аутентификатор w.5. Способ по п.1, отличающийся тем, что для формирования на приемной стороне направления связи декодированного блока из принятого блока Y₁ и блока проверочных символов C₁ декодируют принятый блок Y₁ линейным блоковым систематическим двоичным помехоустойчивым (N, К) кодом, для чего разделяют принятый блок Y₁ и блок проверочных символов C₁ на T₁ соответствующих пар декодируемых и проверочных подблоков, где T₁=k₁/K, длины декодируемых подблоков и проверочных подблоков выбирают равными соответственно К и (N-K) двоичных символов, формируют T₁ принятых кодовых подблоков длиной N двоичных символов путем конкатенации справа к t-му декодируемому подблоку t-го проверочного подблока, где t=1, 2, 3,..., T₁, вычисляют последовательно, начиная с 1-го до T₁-го, t-й синдром S длины (N-K) двоичных символов перемножением t-го принятого кодового подблока на транспонированную проверочную матрицу, исправляют по полученному t-му синдрому S ошибки в t-ом декодируемом подблоке, запоминают t-й декодируемый подблок в качестве t-го подблока декодированного блока.6. Способ по п.1, отличающийся тем, что для формирования ключа шифрования/дешифрования путем хеширования на передающей стороне направления связи перемножают блоки X₁ и X₂, а на приемной стороне перемножают декодированные блоки после чего из полученных после перемножения последовательностей выделяют l младших разрядов.