Шифр Вернама и его применение в одноразовых блокнотах

Содержание

1. 1. Криптографический контекст и проблема абсолютной стойкости3
2. 2. Шифр Вернама: принцип работы и математическая модель5
3. 3. Практические аспекты применения одноразовых блокнотов8
4. 4. Ограничения, перспективы и альтернативы одноразовых блокнотов11

1. Криптографический контекст и проблема абсолютной стойкости

Симметричное шифрование строится на одном секрете, которым владеют обе стороны. Отправитель преобразует открытый текст в шифрограмму с помощью ключа, получатель применяет тот же ключ для обратного преобразования. Атака на такой шифр сводится к перебору возможных ключей или к поиску статистических закономерностей в перехваченном тексте. Классические алгоритмы, от Цезаря до современных стандартов вроде AES, полагаются на сложность этих задач. Но сложность вычислений понятие практическое, а не теоретическое. Мощности процессоров растут, методы криптоанализа совершенствуются, и то, что сегодня считается надежным, завтра может быть взломано за часы.

Клод Шеннон в своей работе 1949 года «Теория связи в секретных системах» впервые поставил вопрос иначе. Он спросил: существует ли шифр, который невозможно взломать в принципе, даже имея бесконечные вычислительные ресурсы и неограниченное время? Ответ, который он сформулировал, получил название совершенной секретности. Шеннон определил условие: шифр абсолютно стоек, если шифртекст не несет никакой информации об открытом тексте. Для криптоаналитика, перехватившего сообщение, все возможные варианты открытого текста остаются равновероятными, независимо от его вычислительной мощи. Он не может даже отдать предпочтение одному варианту перед другим, не говоря уже о том, чтобы найти точный ответ.

Это определение радикально меняет саму постановку задачи. Криптография перестает быть гонкой вооружений между шифровальщиками и взломщиками. Появляется эталон, теоретическая граница, которую можно достичь или не достичь. Шеннон доказал необходимое условие такой стойкости: ключ должен быть не короче самого сообщения, использоваться только один раз и быть по-настоящему случайным. Если эти

требования нарушены, система вырождается в обычный шифр со всеми его уязвимостями. Если соблюдены, никакой перебор и никакой анализ частот не даст результата.

Проблема классических шифров именно в том, что они не удовлетворяют этим условиям. Их ключи короткие и используются многократно. Это дает атакующему статистический материал. Чем больше перехваченных сообщений, тем точнее его выводы. Английский текст, русский текст, любой осмысленный язык имеет избыточность, и она проявляется в шифртексте, если ключ не маскирует ее полностью. Современные алгоритмы пытаются эту избыточность скрыть за счет запутанных математических преобразований, но принципиально проблема остается. Существует вероятность, пусть и ничтожно малая, что суперкомпьютер или будущий квантовый вычислитель подберет ключ за разумное время.

Отсюда возникает потребность в методе, который не зависит от вычислительных предположений. Абсолютная стойкость Шеннона дает именно такую гарантию. Она превращает криптографию из инженерной дисциплины, где все решает баланс стоимости и риска, в область с четкими математическими границами. Вопрос лишь в том, можно ли построить такой шифр на практике и какой ценой. Ответ на этот вопрос требует детального рассмотрения конкретного алгоритма, который впервые реализовал идеи Шеннона на практике.

2. Шифр Вернама: принцип работы и математическая модель

Алгоритм шифра Вернама строится на трёх операциях: генерации ключа, наложении гаммы и её снятии. Ключ представляет собой последовательность случайных битов, длина которой строго равна длине открытого текста. Каждый бит ключа используется ровно один раз, после чего уничтожается. Сама операция наложения гаммы, это побитовое сложение по модулю два, известное как XOR. Для бинарных данных она эквивалентна логической операции «исключающее ИЛИ»: результат равен единице только тогда, когда входные биты различаются.

Процесс шифрования выглядит так. Отправитель берёт открытый текст \(M\) как последовательность битов \(m_1, m_2, \dots, m_n\). Затем он генерирует ключ \(K\) той же длины: \(k_1, k_2, \dots, k_n\). Каждый бит шифротекста \(c_i\) вычисляется по формуле \(c_i = m_i \oplus k_i\). Получатель, имея тот же самый ключ, восстанавливает сообщение: \(m_i = c_i \oplus k_i\). Симметрия операции XOR делает дешифрование зеркальным отражением шифрования. Заметим, что перехватчик, владеющий только шифротекстом, не получает никакой информации об открытом тексте, поскольку без ключа любой вариант сообщения равновероятен.

Математическая модель шифра Вернама формализуется в терминах гаммирования. Гамма, это и есть ключевая последовательность, накладываемая на текст. Формально шифр задаётся тройкой множеств: пространство открытых текстов \(M\), пространство ключей \(K\) и пространство шифротекстов \(C\). Все три множества совпадают с множеством всех двоичных строк фиксированной длины \(n\). Отображение шифрования \(E_k(m) = m \oplus k\) является биекцией для каждого фиксированного ключа. Это означает, что при известном ключе шифротекст однозначно определяет исходное сообщение, а при неизвестном каждый шифротекст может соответствовать любому открытому

тексту.

Ключевое свойство шифра Вернама, его совершенная секретность. Клод Шеннон в работе 1949 года «Теория связи в секретных системах» доказал необходимое и достаточное условие абсолютной стойкости: апостериорная вероятность любого открытого текста при данном шифротексте должна равняться априорной вероятности этого текста. Иначе говоря, перехват шифротекста не должен менять представления атакующего о возможных сообщениях. Для шифра Вернама это условие выполняется при двух требованиях: ключ выбирается равномерно случайно из всех возможных последовательностей, и ключ используется только один раз. Если ключ генерируется случайно, то для любого фиксированного шифротекста \(C\) и любого сообщения \(M\) существует ровно один ключ \(K = M \oplus C\), который переводит \(M\) в \(C\). Поскольку все ключи равновероятны, все сообщения также равновероятны для наблюдателя.

Энтропия ключа здесь решающая. Шеннон показал, что энтропия ключа не может быть меньше энтропии открытого текста, иначе совершенная секретность недостижима. В шифре Вернама энтропия ключа в битах равна длине ключа, которая совпадает с длиной сообщения. Поэтому информационная неопределённость, вносимая ключом, полностью компенсирует информационную избыточность открытого текста. Атакующий с неограниченными вычислительными ресурсами может перебрать все возможные ключи, но каждый из них даст осмысленный текст. Без дополнительной информации выбрать правильный вариант невозможно.

Случайность генерации ключа, не рекомендация, а математическое требование. Если генератор ключей детерминирован или предсказуем, энтропия ключа снижается, и шифр вырождается в обычное гаммирование с периодической или предсказуемой гаммой. В таком случае перехватчик может восстановить ключ, анализируя статистические закономерности шифротекста. Только истинно случайный источник, основанный на физических процессах (тепловой шум, квантовые

эффекты), обеспечивает необходимую энтропию. Длина ключа также фиксирована: она не может быть меньше длины сообщения. Укорочение ключа автоматически делает шифр уязвимым, поскольку энтропия ключа становится недостаточной для скрытия всей информации о тексте.

3. Практические аспекты применения одноразовых блокнотов

Теоретическая безупречность шифра Вернама разбивается о суровую практику его реализации. Переход от математической модели к работающей системе требует решения трёх задач: генерации по-настоящему случайных ключей, их секретной доставки и синхронизации. Каждая из этих задач накладывает жёсткие ограничения, которые и определяют, где одноразовые блокноты сегодня применяются, а где остаются лишь теоретическим конструктом.

Первый и самый принципиальный вопрос: где взять случайность? Ключ должен быть случайной последовательностью, иначе стойкость рушится. Генераторы псевдослучайных чисел, используемые в обычных алгоритмах, здесь непригодны: их выход детерминирован и при известном начальном состоянии полностью предсказуем. Для одноразового блокнота нужен аппаратный генератор, основанный на физических процессах. Классический пример: тепловой шум в полупроводниковом диоде, преобразуемый в битовый поток. Или радиоактивный распад, который даёт истинно непредсказуемые события. Норберт Винер в 1949 году в работе «Интерполяция, экстраполяция и сглаживание стационарных временных рядов» уже указывал на фундаментальную разницу между детерминированной и физической случайностью. Современные системы используют квантовые генераторы, основанные на фазовых флуктуациях лазера, которые производят до нескольких гигабит случайных данных в секунду. Однако даже такой генератор требует тщательной проверки: выходные биты должны проходить статистические тесты, например набор NIST SP 800-22, чтобы исключить смещения и корреляции.

Но даже идеальный генератор не решает главной проблемы: ключ нужно доставить получателю. Если канал передачи ключа прослушивается, вся система теряет смысл. Поэтому распространение ключей происходит по физическим каналам, недоступным перехватчику. Курьер с чемоданом,

прикованным к запястью, по-прежнему остаётся стандартным методом для высокозащищённых государственных коммуникаций. Так, «горячая линия» между Москвой и Вашингтоном, действующая с 1963 года, использовала одноразовые блокноты, ключи для которых доставлялись дипломатической почтой. Кассеты с магнитной лентой, на которой записаны случайные биты, физически перевозились в посольства. Хранение ключей не менее критично: они должны лежать в защищённых хранилищах, к которым ограничен доступ, и уничтожаться сразу после использования. В противном случае компрометация ключа спустя годы раскроет все перехваченные сообщения.

Синхронизация ключей добавляет ещё один слой сложности. Отправитель и получатель должны использовать один и тот же фрагмент ключа в один и тот же момент времени. Если одна сторона ошиблась в позиции, всё последующее сообщение превратится в бессмыслицу. Для решения этой проблемы применяют метки и индексы. Ключ разбивается на блоки, каждый из которых имеет уникальный номер. Передатчик включает номер блока в заголовок сообщения, и приёмник выбирает соответствующий фрагмент. Но это создаёт уязвимость: если противник увидит номер, он узнает, какой объём ключа уже израсходован. Поэтому в некоторых реализациях используется двусторонняя синхронизация с предварительным согласованием, либо пакеты ключей маркируются специальными контрольными суммами. На практике, например в квантовой криптографии, где одноразовые блокноты переживают второе рождение, синхронизация происходит автоматически: квантовое распределение ключей (протокол BB84, предложенный Чарльзом Беннеттом и Жилем Брассаром в 1984 году) генерирует идентичные случайные последовательности у обеих сторон без их физической пересылки.

Примеры реального применения одноразовых блокнотов сегодня редки, но показательны. Помимо правительственных линий связи, они используются в банковской сфере для перевода крупных сумм между головными офисами. В 1990-х годах швейцарский банк UBS использовал одноразовые

блокноты для защиты переводов, ключи записывались на дискеты и доставлялись курьерами. С появлением квантовой криптографии одноразовые блокноты получили новую жизнь: квантовое распределение ключей решает проблему доставки, а шифр Вернама обеспечивает абсолютную стойкость. В 2018 году компания Toshiba совместно с British Telecom продемонстрировала сеть квантовой защиты в Лондоне, где одноразовые блокноты шифровали голосовой трафик. По сути, шифр Вернама становится не самостоятельной системой, а конечным звеном в цепочке, где физика решает проблему ключевого обмена, а математика гарантирует секретность.

4. Ограничения, перспективы и альтернативы одноразовых блокнотов

Ключевое противоречие одноразовых блокнотов кроется в их собственной логике. Шифр абсолютно стоек, но именно эта стойкость порождает главную уязвимость. Чтобы передать сообщение длиной в один мегабайт, стороны должны заранее обменяться ключом такого же объёма. При этом защищённость канала передачи ключа должна быть равна защищённости канала, по которому пойдёт шифрограмма. Получается замкнутый круг: если есть безопасный канал для ключа, зачем вообще шифровать данные? Этот парадокс в 1949 году сформулировал Клод Шеннон. Он доказал, что совершенная секретность требует, чтобы энтропия ключа была не меньше энтропии сообщения.

Распространение ключей остаётся нерешённой логистической задачей. Исторический пример с «горячей линией» Москва, Вашингтон показал, что для функционирования такой связи приходилось физически перевозить ленты с ключами дипломатической почтой. Любая утечка на этапе доставки делает шифр бесполезным, причём обнаружить факт компрометации невозможно. Для современных объёмов данных это означало бы производство и транспортировку терабайтов случайных битов ежедневно. Экономически это абсурдно.

Квантовая криптография предлагает обход этого тупика. Протокол BB84, разработанный Чарльзом Беннеттом и Жилем Брассаром в 1984 году, позволяет двум сторонам сгенерировать общий случайный ключ через квантовый канал. Физика гарантирует: любая попытка подслушивания неизбежно искажает состояния фотонов, и получатель обнаружит вмешательство. Именно здесь одноразовые блокноты обретают второе дыхание. Квантовое распределение ключей решает проблему их доставки, а шифр Вернама обеспечивает безусловную стойкость уже сгенерированного ключа.

Сравнение с современными алгоритмами выявляет принципиальную разницу в подходе к безопасности. AES-256, симметричный стандарт, полагается на вычислительную сложность: перебор всех вариантов ключа займёт больше времени, чем существует Вселенная. RSA, асимметричный шифр, опирается на трудность факторизации больших чисел. Оба метода уязвимы перед гипотетическим квантовым компьютером: алгоритм Шора сократит время взлома RSA до минут, а квантовые атаки на AES существенно снизят его эффективность. Одноразовый блокнот не зависит от вычислительных мощностей атакующего вовсе.

Но у современных шифров есть неоспоримое преимущество: практичность. AES-256 использует ключ длиной 32 байта для шифрования любых объёмов данных, и его можно менять по расписанию. Скорость работы аппаратных реализаций достигает десятков гигабит в секунду. Одноразовый блокнот требует ключ, равный длине сообщения, и каждый бит ключа используется лишь один раз. Это делает его непригодным для массовых коммуникаций, таких как интернет-трафик или облачные хранилища.

Целесообразность применения одноразовых блокнотов сегодня определяется сферой использования. Для дипломатической переписки, военных каналов связи и передачи стратегических данных, где ценность информации оправдывает организационные издержки, шифр Вернама остаётся единственным выбором. Китайский спутник Micius, запущенный в 2016 году, продемонстрировал возможность квантового распределения ключей на расстояние более 7000 километров. Такие системы уже используются для защиты банковских транзакций в Пекине и Шанхае.

Будущее одноразовых блокнотов связано не с заменой существующих алгоритмов, а с созданием гибридных схем. Квантовое распределение ключей для генерации сеансовых ключей, AES для основного потока данных, а шифр Вернама для наиболее критичных фрагментов. Пока квантовые компьютеры не стали массовым явлением,

классические шифры справляются с задачей. Но когда это произойдёт, именно одноразовые блокноты окажутся последней линией обороны, не поддающейся ни вычислительным, ни квантовым атакам.