Co je one-time pad? Šifrování a význam OTP

One-time pad, česky jednorázová tabulková šifra, šifruje zprávu pomocí tajného náhodného klíče, který je alespoň stejně dlouhý jako zpráva. Každé šifrování vyžaduje nový klíčový materiál. Při splnění přísných podmínek neposkytuje pozorování šifrového textu útočníkovi žádné další informace o zprávě.

Zkratka OTP může znamenat také jednorázové heslo nebo přihlašovací kód. One-time pad, přihlašovací OTP a odkaz, který lze otevřít jen jednou, řeší různé problémy.

Podmínky skutečného one-time padu

Pro zprávu o délce n bitů potřebuje binární konstrukce n nových tajných bitů klíče:

Klíč vybírejte rovnoměrně: každý klíč o délce n bitů musí mít stejnou pravděpodobnost výběru.
Generujte ho nezávisle na zprávě i na ostatním klíčovém materiálu.
Uchovejte ho v tajnosti před pozorovatelem.
Každý úsek klíče použijte k zašifrování pouze jedné zprávy. Překrývající se úseky nikdy nepoužívejte znovu pro jiné šifrování.

Na těchto předpokladech stojí důkaz bezpečnosti v kapitole Mikea Rosuleka o one-time padu. Snadno zapamatovatelná fráze ani opakující se klíč je nesplňují.

Čtyřbitový příklad XOR

XOR, zapisovaný jako ⊕, dává 0, když jsou oba bity stejné, a 1, když se liší. Šifrování spojí zprávu s klíčem; dešifrování použije tentýž klíč ještě jednou.

Krok	Operace	Výsledek
Šifrování	`1010 ⊕ 0110`	`1100`
Dešifrování	`1100 ⊕ 0110`	`1010`

Zde je zpráva 1010, klíč 0110 a šifrový text 1100. Opětovné použití operace XOR odstraní vliv klíče. Příklad ukazuje matematický princip; skutečná komunikace potřebuje také bezpečnou správu klíčů a autentizaci.

Co opravdu znamená dokonalé utajení

V části 10 původního článku Clauda Shannona znamená dokonalé utajení to, že znalost šifrového textu nezmění pravděpodobnosti, které pozorovatel přiřazuje jednotlivým zprávám.

To nevyžaduje, aby byly všechny zprávy stejně pravděpodobné. Pokud byla jedna stejně dlouhá zpráva pravděpodobnější předem, může zůstat pravděpodobnější i potom. Šifrový text neposkytuje žádný další důkaz. Obvyklý model s pevnou délkou také neskrývá načasování komunikace, její účastníky ani délku zprávy.

Proč opakované použití klíče ruší záruku

Pokud dvě stejně dlouhé zprávy používají tentýž klíč K, platí C1 = M1 ⊕ K a C2 = M2 ⊕ K. Spojením jejich šifrových textů se K vyruší:

C1 ⊕ C2 = M1 ⊕ M2

Útočník zjistí vztah mezi zprávami. To automaticky neodhalí oba celé texty. Známý úsek otevřeného textu však odhalí odpovídající úsek klíče i stejnou část druhé zprávy. Předvídatelná struktura může útočníkovi také pomoci ověřovat odhady.

Praktická omezení mimo samotnou rovnici

Obě strany už musejí sdílet dostatek tajného klíčového materiálu. Musejí ho chránit při ukládání, udržovat synchronizované pozice použití a zabránit opětovnému použití již spotřebovaných úseků. Objem klíčů, které je třeba předat, roste s množstvím odesílaných informací; operace XOR tento problém neřeší.

Samotný one-time pad neposkytuje integritu ani autentizaci odesílatele. Změna bitu šifrového textu změní odpovídající bit po dešifrování, bez zabudovaného varování. Důvěrnost sama neprokazuje, kdo zprávu odeslal ani zda byla změněna.

One-time pad, přihlašovací OTP a odkaz na jedno zobrazení

Pojem	Účel	Význam slova „jednorázový“
One-time pad	Zašifrovat obsah zprávy	Klíčový materiál slouží k jedinému šifrování
Přihlašovací OTP	Prokázat držení autentizačního prostředku	Vygenerovaný kód je během platnosti přijat jednou
Odkaz na jedno zobrazení	Omezit přístup prostřednictvím služby	Po úspěšném odemčení jsou další odhalení blokována

Doporučení NIST k autentizačním prostředkům, část 3.1.4 popisuje přihlašovací OTP generovaná pomocí tajemství autentizačního prostředku a časové hodnoty nebo čítače. Slouží k autentizaci; nejde o klíče one-time padu pro šifrování zpráv.

Jak do toho zapadá LOCK.PUB

Poznámka chráněná heslem v LOCK.PUB je běžná poznámka, kterou lze otevřít opakovaně; ve výchozím nastavení není omezena na jedno zobrazení. Nepoužívá one-time pad ani neposkytuje koncové šifrování: server zpracovává otevřený text poznámky.

Limit jednoho zobrazení je samostatné pravidlo přístupu. Pokud je nastaven, úspěšné odemčení heslem zablokuje další odhalení. Nesmaže tím uložený obsah ani nezruší stažení, snímky obrazovky nebo jiné již pořízené kopie.

Praktické sdílení popisuje průvodce tajnými poznámkami. Průvodce šifrováním textu online vysvětluje, jak funguje sdílení textu chráněného heslem.

Často kladené otázky

Je one-time pad neprolomitelný?

Ideální schéma poskytuje dokonalé utajení při splnění svých předpokladů. Prozrazené klíče, opakovaně použité úseky, napadená zařízení a pozměňování zpráv je třeba posuzovat zvlášť.

Může krátké počáteční semínko vytvořit skutečný one-time pad?

Bezpečný pseudonáhodný generátor může rozšířit krátké počáteční semínko neboli seed na delší masku a za určitých předpokladů nabídnout výpočetní bezpečnost. Jeho výstup není rovnoměrně rozložen mezi všemi delšími řetězci, a proto neposkytuje dokonalé utajení one-time padu.

Znamená „jednorázový“, že zpráva zmizí?

U one-time padu toto slovo popisuje použití klíče. U odkazu popisuje přístup. Ani jeden výraz sám o sobě nedokazuje smazání a neodstraňuje kopie, které už někdo vytvořil.