Що таке одноразовий блокнот? Шифрування та OTP

Одноразовий блокнот (one-time pad) шифрує повідомлення секретним випадковим ключем, довжина якого не менша за довжину повідомлення. Для кожного шифрування потрібен новий, ще не використаний ключовий матеріал. За суворого дотримання умов спостереження за шифротекстом не дає зловмисникові додаткової інформації про повідомлення.

Скорочення OTP також може означати одноразовий пароль або код для входу. Одноразовий блокнот, код входу й посилання, яке відкривається один раз, розв’язують різні завдання.

Умови справжнього одноразового блокнота

Для повідомлення з n бітів двійкова конструкція потребує n нових секретних бітів ключа:

Вибирайте ключ із рівномірного розподілу: кожен n-бітовий ключ повинен мати однакову ймовірність вибору.
Генеруйте його незалежно від повідомлення та іншого ключового матеріалу.
Зберігайте його в таємниці від спостерігача.
Використовуйте кожен фрагмент ключа для шифрування лише одного повідомлення. Не використовуйте ті самі або перекривні фрагменти для іншого шифрування.

На цих припущеннях ґрунтується доведення безпеки в розділі Майка Розулека про одноразовий блокнот. Фраза, яку легко запам’ятати, або повторюваний ключ не відповідають цим умовам.

Приклад XOR із чотирма бітами

XOR, що позначається ⊕, дає 0, якщо два біти однакові, і 1, якщо вони різні. Шифрування поєднує повідомлення з ключем, а розшифрування ще раз застосовує той самий ключ.

Крок	Операція	Результат
Шифрування	`1010 ⊕ 0110`	`1100`
Розшифрування	`1100 ⊕ 0110`	`1010`

Тут повідомлення — 1010, ключ — 0110, а шифротекст — 1100. Повторне XOR із тим самим ключем скасовує його дію. Цей приклад пояснює математику; для реального обміну повідомленнями також потрібні безпечне керування ключами та автентифікація.

Що насправді означає досконала секретність

В оригінальній статті Клода Шеннона, розділ 10, досконала секретність означає, що отримання шифротексту не змінює ймовірностей, які спостерігач приписує можливим повідомленням.

Це не вимагає, щоб усі повідомлення були однаково ймовірними. Якщо одне повідомлення тієї самої довжини здавалося правдоподібнішим до спостереження, воно може залишатися таким і після нього. Шифротекст не додає нових свідчень. Звичайна модель із фіксованою довжиною також не приховує час обміну, його учасників або довжину повідомлення.

Чому повторне використання ключа руйнує гарантію

Якщо два повідомлення однакової довжини використовують той самий ключ K, то C1 = M1 ⊕ K і C2 = M2 ⊕ K. Застосування XOR до шифротекстів скасовує K:

C1 ⊕ C2 = M1 ⊕ M2

Зловмисник дізнається про зв’язок між повідомленнями. Це не розкриває обидва повні тексти автоматично. Проте відомий фрагмент відкритого тексту розкриває відповідний фрагмент ключа й ту саму частину іншого повідомлення. Передбачувана структура також може допомогти перевіряти здогадки.

Практичні обмеження поза рівнянням

Обидві сторони повинні заздалегідь мати достатньо спільного секретного ключового матеріалу. Їм потрібно захищати його зберігання, узгоджено відстежувати поточні позиції та не застосовувати вже використані фрагменти повторно. Потреба в розподілі ключів зростає разом з обсягом переданих даних; операція XOR не розв’язує цю проблему.

Сам блокнот не забезпечує ані цілісності, ані автентифікації відправника. Зміна біта шифротексту змінює відповідний біт після розшифрування без вбудованого попередження. Самої конфіденційності недостатньо, щоб установити, хто надіслав повідомлення і чи було його змінено.

Одноразовий блокнот, OTP для входу та посилання на один перегляд

Термін	Призначення	Що означає «одноразовий»
Одноразовий блокнот	Шифрувати вміст повідомлення	Ключовий матеріал використовується для одного шифрування
OTP для входу	Підтвердити володіння засобом автентифікації	Створений код приймається один раз, доки він чинний
Посилання на один перегляд	Обмежити доступ через сервіс	Після успішного відкриття нові відкриття вмісту блокуються

Настанова NIST щодо засобів автентифікації, розділ 3.1.4, описує OTP для входу, які генеруються із секрету засобу автентифікації та значення часу або лічильника. Вони служать для автентифікації, а не є ключовими блокнотами для шифрування повідомлень.

Яке місце тут займає LOCK.PUB

Створення нотатки із захистом паролем у LOCK.PUB призначене для обміну нотатками, які можна відкривати повторно; звичайна нотатка за замовчуванням не обмежена одним переглядом. LOCK.PUB не реалізує одноразовий блокнот і не забезпечує наскрізного шифрування: сервер обробляє відкритий текст нотатки. Політика доступу на один перегляд — окреме поняття. Така політика блокує нові відкриття після успішного показу вмісту з правильним паролем; вона не видаляє збережений вміст і не відкликає завантаження, знімки екрана чи інші копії.

Для практичного обміну прочитайте посібник із секретних нотаток. Посібник із шифрування тексту онлайн пояснює, що варто знати про шифрування та обробку даних сервісом під час обміну текстом.

Поширені запитання

Чи неможливо зламати одноразовий блокнот?

Ідеальна схема забезпечує досконалу секретність за виконання всіх її припущень. Розкриття ключів, повторне використання фрагментів, скомпрометовані пристрої та втручання в повідомлення потребують окремого розгляду.

Чи можна отримати справжній ключовий блокнот із короткого початкового значення?

Безпечний генератор псевдовипадкових чисел може розгорнути коротке початкове значення в довшу маску й забезпечити обчислювальну безпеку за певних припущень. Його вихід не має рівномірного розподілу серед усіх довших бітових рядків, тому він не дає досконалої секретності одноразового блокнота.

Чи означає «одноразовий», що повідомлення зникає?

Для блокнота це характеристика використання ключа, для посилання — доступу. Жоден із цих термінів сам по собі не доводить видалення й не прибирає вже зроблених копій.