Одноразовый блокнот

Одноразовый блокнот (англ. one-time pad, OTP) — это симметричная криптографическая система, обладающая свойством абсолютной (теоретически недоказуемой) стойкости при соблюдении строгих условий использования. Представляет собой метод шифрования, при котором открытый текст объединяется с ключом (гаммой) той же длины с помощью логической операции «исключающее ИЛИ» (XOR). Ключ должен быть случайным, использоваться только один раз и быть известен только отправителю и получателю. При соблюдении всех требований перехваченное шифротекст не даёт криптоаналитику никакой информации об открытом тексте, кроме его максимальной длины.

История

Концепция одноразового блокнота была впервые описана в 1882 году американским банкиром и изобретателем Фрэнком Миллером в телеграфном коде. Однако практическое применение стало возможным только в начале XX века. В 1917 году американский криптограф Гилберт Вернам, работавший в компании AT&T, запатентовал систему шифрования, использующую перфоленту с ключом. Его система, известная как шифр Вернама, первоначально не предусматривала одноразовости ключа, что делало её уязвимой для статистического анализа.

Свойство абсолютной стойкости было строго доказано Клодом Шенноном в 1949 году в работе «Теория связи в секретных системах». Шеннон показал, что для достижения совершенной секретности ключ должен быть не короче сообщения, случайным и использоваться однократно. В годы Второй мировой войны одноразовые блокноты активно применялись спецслужбами союзников для шифрования особо важных сообщений, в частности, в линии связи между Москвой и Вашингтоном (так называемая «горячая линия»). Советские разведчики использовали одноразовые блокноты для связи с Центром, что делало их переписку нечитаемой для противника.

Теоретические основы

Определение совершенной стойкости

Согласно теории Шеннона, криптосистема обладает совершенной стойкостью, если для любого шифротекста \( C \) и любого открытого текста \( M \) выполняется равенство:

\[ P(M|C) = P(M) \]

Это означает, что знание шифротекста не меняет вероятности того, что сообщение является именно \( M \). Для одноразового блокнота это свойство выполняется, если ключ \( K \) выбирается равновероятно из всех возможных последовательностей той же длины, что и сообщение.

Математическое описание

Процесс шифрования и дешифрования описывается операцией XOR:

• Шифрование: \( C = M \oplus K \)
• Дешифрование: \( M = C \oplus K \)

где \( M \) — открытый текст, \( K \) — ключ, \( C \) — шифротекст. Операция XOR обратима: \( (M \oplus K) \oplus K = M \). Поскольку для каждого бита ключа существует ровно одно значение, которое преобразует данный бит открытого текста в данный бит шифротекста, при неизвестном ключе все варианты открытого текста равновероятны.

Требования к использованию

Для обеспечения абсолютной стойкости необходимо строго соблюдать три условия:

1. Случайность ключа. Ключ должен быть сгенерирован с использованием истинно случайного источника, а не псевдослучайного генератора. Любая предсказуемость или периодичность ключа разрушает стойкость системы.
2. Одноразовость ключа. Каждый ключ может быть использован только для шифрования одного сообщения. Повторное использование ключа (даже для разных сообщений) позволяет криптоаналитику вычислить XOR двух открытых текстов и применить статистический анализ.
3. Секретность и синхронизация ключа. Ключ должен быть заранее передан получателю по защищённому каналу (например, курьером) и храниться в тайне. Отправитель и получатель должны иметь идентичные копии ключа и знать, какая его часть используется для каждого сообщения.

Практические ограничения

Несмотря на теоретическую стойкость, одноразовый блокнот имеет серьёзные практические недостатки, ограничивающие его применение:

• Проблема распределения ключей. Для шифрования сообщения длиной \( N \) бит требуется передать ключ той же длины по абсолютно защищённому каналу. Если такой канал существует, то проще передать по нему само сообщение. Задача распределения ключей делает OTP непрактичным для массового использования.
• Объём ключей. Для длительной переписки требуется огромное количество ключей. Например, для ежедневного шифрования 1 МБ данных за год потребуется более 360 МБ ключей, которые нужно хранить и защищать.
• Синхронизация. Необходимо точно знать, какой участок ключа используется для каждого сообщения. Ошибка в синхронизации делает дешифрование невозможным.
• Уязвимость к ошибкам. Ошибка при передаче одного бита шифротекста приводит к ошибке в соответствующем бите открытого текста. В отличие от многих современных шифров, OTP не имеет механизмов обнаружения или исправления ошибок.

Применение

Благодаря абсолютной стойкости, одноразовые блокноты применяются в ситуациях, где требуется максимальная секретность и объём передаваемых данных невелик:

• Дипломатическая и военная связь. Спецслужбы и дипломатические представительства используют OTP для шифрования сообщений высшей степени важности. Например, «горячая линия» между Москвой и Вашингтоном (1963—1990-е годы) использовала одноразовые блокноты, передаваемые с дипломатической почтой.
• Квантовая криптография. Некоторые протоколы квантового распределения ключей (например, BB84) позволяют генерировать истинно случайные ключи, которые затем используются в качестве одноразовых блокнотов. Это сочетание обеспечивает теоретически невзламываемую связь.
• Защита архивов. В некоторых системах долговременного хранения данных (например, в проекте «Архив Интернета») одноразовые блокноты применяются для шифрования архивных копий, которые должны оставаться конфиденциальными десятилетиями.

Сравнение с другими методами

Криптоанализ и атаки

Единственный способ взломать правильно реализованный одноразовый блокнот — получить копию ключа. Если ключ сгенерирован неслучайно, использован повторно или перехвачен, система становится уязвимой:

• Повторное использование ключа (two-time pad). Если один и тот же ключ используется для двух сообщений \( M_1 \) и \( M_2 \), то \( C_1 \oplus C_2 = M_1 \oplus M_2 \). Зная структуру языка (например, частоту букв), криптоаналитик может восстановить оба сообщения. Известны случаи взлома советских шифров (проект Венона) именно из-за повторного использования одноразовых блокнотов.
• Неслучайный ключ. Если ключ генерируется псевдослучайным генератором, то при достаточном объёме перехваченных данных возможно восстановление начального состояния генератора и последующее дешифрование.
• Социальная инженерия и физический доступ. Кража или копирование ключей, хранящихся на бумаге или электронных носителях, делает систему бесполезной.

Интересные факты

• В 1940-х годах советская разведка использовала одноразовые блокноты, напечатанные на специальной бумаге, которая легко уничтожалась (сгорала или растворялась в воде). Агенты носили такие блокноты в карманах, а после использования сжигали их.
• Проект «Венона» (1946—1980) позволил американским криптоаналитикам расшифровать часть советских сообщений, потому что некоторые блокноты были использованы повторно из-за нехватки ключей. Это привело к раскрытию советской агентурной сети в США.
• В 2017 году группа учёных из Китая реализовала квантовое распределение ключей на спутнике «Мо-Цзы» (Micius) и впервые продемонстрировала защищённую видеоконференцию между Пекином и Веной с использованием одноразовых блокнотов.
• Несмотря на развитие квантовых компьютеров, одноразовый блокнот остаётся устойчивым к атакам с их стороны, так как его стойкость не основана на вычислительной сложности.

Источники

• Shannon, C. E. (1949). «Communication Theory of Secrecy Systems». Bell System Technical Journal, 28(4), 656–715.
• Kahn, D. (1996). The Codebreakers: The Comprehensive History of Secret Communication from Ancient Times to the Internet. Scribner.
• Schneier, B. (2015). Applied Cryptography: Protocols, Algorithms, and Source Code in C. John Wiley & Sons.
• Diffie, W., & Hellman, M. E. (1976). «New Directions in Cryptography». IEEE Transactions on Information Theory, 22(6), 644–654.
• Menezes, A. J., van Oorschot, P. C., & Vanstone, S. A. (1996). Handbook of Applied Cryptography. CRC Press.