Что такое одноразовый блокнот? Шифрование и отличие от OTP

Одноразовый блокнот (one-time pad) шифрует сообщение секретным случайным ключом той же длины, что и само сообщение. Для каждого шифрования берут новый, ещё не использованный участок ключа. При строгом соблюдении условий наблюдение за шифротекстом не даёт атакующему дополнительной информации о сообщении.

Сокращение OTP также может означать одноразовый пароль или код для входа. Одноразовый блокнот, код OTP и ссылка с однократным просмотром решают разные задачи.

Условия настоящего одноразового блокнота

Для сообщения длиной n бит в двоичной схеме нужны n новых секретных битов ключа:

Ключ выбирают равномерно: каждый n-битный ключ должен иметь одинаковую вероятность выбора.
Его создают независимо от сообщения и других участков ключевого материала.
Его сохраняют в тайне от наблюдателя.
Каждый участок используют для шифрования только одного сообщения. Перекрывающиеся участки нельзя повторно применять для другого шифрования.

На этих предположениях основано доказательство безопасности в главе Майка Розулека об одноразовом блокноте. Легко запоминающаяся фраза или повторяющийся ключ этим условиям не соответствуют.

Пример XOR с четырьмя битами

Операция XOR обозначается ⊕ и даёт 0, если два бита совпадают, и 1, если различаются. Для шифрования объединяют сообщение и ключ, а для расшифрования ещё раз применяют тот же ключ.

Шаг	Операция	Результат
Шифрование	`1010 ⊕ 0110`	`1100`
Расшифрование	`1100 ⊕ 0110`	`1010`

Здесь сообщение — 1010, ключ — 0110, шифротекст — 1100. Повторная операция XOR с тем же ключом устраняет его влияние. Пример показывает математику; для реального обмена сообщениями также нужны безопасное управление ключами и аутентификация.

Что на самом деле означает совершенная секретность

В разделе 10 оригинальной работы Клода Шеннона совершенная секретность означает, что знание шифротекста не меняет вероятности, которые наблюдатель приписывает сообщениям.

Это не требует равной вероятности всех сообщений. Если одно сообщение той же длины изначально казалось более вероятным, оно может оставаться таким и после наблюдения. Шифротекст не даёт новых свидетельств. Обычная модель фиксированной длины также не скрывает время обмена, его участников или длину сообщения.

Почему повторное использование ключа разрушает гарантию

Если два сообщения одинаковой длины используют один ключ K, то C1 = M1 ⊕ K и C2 = M2 ⊕ K. При объединении шифротекстов K сокращается:

C1 ⊕ C2 = M1 ⊕ M2

Атакующий узнаёт связь между сообщениями. Это не раскрывает автоматически оба полных текста. Однако известный фрагмент открытого текста раскрывает соответствующий участок ключа и ту же часть другого сообщения. Предсказуемая структура тоже может помочь проверять догадки.

Практические ограничения за пределами формулы

У обеих сторон заранее должно быть достаточно общего секретного ключевого материала. Нужно защищать его хранение, синхронизировать позиции использования и не допускать повторного применения использованных участков. Объём распространяемого ключа растёт вместе с объёмом передаваемой информации; операция XOR не решает эту задачу.

Сам по себе блокнот не обеспечивает ни целостность, ни аутентификацию отправителя. Изменение бита шифротекста меняет соответствующий бит расшифрованного сообщения без встроенного предупреждения. Одна лишь конфиденциальность не позволяет установить, кто отправил сообщение и было ли оно изменено.

Одноразовый блокнот, OTP для входа и ссылка на один просмотр

Термин	Назначение	Что означает «одноразовый»
Одноразовый блокнот	Шифрование содержимого сообщения	Каждый участок ключа используется для одного шифрования
OTP для входа	Подтверждение владения аутентификатором	Созданный код принимается один раз в течение срока действия
Ссылка на один просмотр	Ограничение доступа через сервис	После успешной разблокировки новые разблокировки прекращаются

В разделе 3.1.4 рекомендаций NIST об аутентификаторах описаны OTP для входа, создаваемые из секрета аутентификатора и значения времени или счётчика. Они служат для аутентификации, а не являются блокнотами для шифрования сообщений.

Как с этим связан LOCK.PUB

One-Time Secret в LOCK.PUB применяет политику доступа. Это не реализация одноразового блокнота, не сквозное шифрование и не схема с нулевым знанием: сервер обрабатывает открытый текст заметки. После успешного показа содержимого с правильным паролем новые разблокировки блокируются. Это не означает немедленного удаления сохранённого содержимого и не отзывает скачанные файлы, снимки экрана или другие копии.

Практические способы обмена описаны в руководстве по секретным заметкам. В руководстве по шифрованию текста рассмотрено, что нужно учитывать при защите текста.

Частые вопросы

Одноразовый блокнот невозможно взломать?

Идеальная схема обеспечивает совершенную секретность при выполнении своих предположений. Раскрытие ключей, повторное использование участков, компрометацию конечных устройств и изменение сообщений нужно рассматривать отдельно.

Можно ли получить настоящий блокнот из короткого начального значения?

Безопасный генератор псевдослучайных чисел может расширить короткое начальное значение в более длинную маску и при определённых предположениях обеспечить вычислительную безопасность. Его выход не распределён равномерно по всем более длинным битовым строкам, поэтому совершенной секретности одноразового блокнота он не даёт.

«Одноразовый» означает, что сообщение исчезает?

Для блокнота это характеристика использования ключа, для ссылки — доступа. Ни одно из этих слов само по себе не доказывает удаление и не уничтожает уже сделанные копии.