Перегляд вихідного коду сторінки Криптосистема Рабіна

'''Криптосисте́ма Ра́біна'''&nbsp;— [[Асиметричні алгоритми шифрування|асиметрична криптографічна система]], безпека якої забезпечується [[Теорія складності обчислень|складністю]] пошуку[[Квадратний корінь| квадратних коренів ]][[Складене число|складеного числа]]. Безпека системи, як і безпека методу [[RSA]], обумовлена складністю розкладання на множники великих чисел. Зашифроване повідомлення можна розшифрувати 4-а способами. Недоліком системи є необхідність вибору істинного повідомлення з 4-х можливих.

== Історія ==
У січні 1979 року [[Міхаель Рабін]] опублікував опис своєї системи. Було доведено, що відновлення початкового тексту з зашифрованого настільки ж важко, як [[факторизація]] великих чисел. Система Рабіна стала першою асиметричною криптосистемою, для якої було виконано такий доказ. Складність відновлення пов'язана з трудністю вилучення [[Квадратний корінь|квадратного кореня]] за модулем складеного числа <math>N = p \cdot q</math>. Завдання факторизації і завдання по вилученню квадратного кореня еквівалентні, тобто:
* знаючи прості дільники числа <math>N</math> можна витягувати квадратний корінь по модулю <math>N</math>;
* вміючи витягувати квадратний корінь по модулю <math>N</math>, можна розкласти <math>N</math> на [[Простий множник|прості множники]].

== Генерація ключа ==
Система Рабіна, як і будь-яка [[асиметрична криптосистема]], використовує відкритий і закритий ключі. Відкритий ключ використовується для [[шифрування]] повідомлень і може бути опублікований для загального огляду. Закритий ключ необхідний для розшифровки і повинен бути відомий тільки одержувачам зашифрованих повідомлень.

Процес генерації ключів наступний:
* вибираються два випадкових числа <math>p</math> і <math>q</math> з урахуванням таких вимог:
** числа повинні бути великими (див. [[розрядність]]):
** числа повинні бути [[Просте число|простими]];
** повинна виконуватися умова: <math> P \equiv Q \equiv 3 \mod 4 </math>.
Виконання цих вимог сильно прискорює процедуру вилучення коренів за модулем р і q;
* обчислюється число <math>n = p \cdot q</math>;
* число n&nbsp;— відкритий ключ; числа <math>p</math> і <math>q</math>&nbsp;— закритий.

Приклад. Нехай <math>p = 7</math> і <math>q = 11</math>. Тоді <math>n = p \cdot q = 7 \cdot 11 = 77</math>. Число <math> n = 77</math>&nbsp;— відкритий ключ, а числа <math>p = 7</math> і <math>q = 11</math>&nbsp;— закритий. Одержувач повідомляє відправникам число 77. Відправники шифрують повідомлення, використовуючи число 77, і відправляють одержувачу. Одержувач розшифровує повідомлення за допомогою чисел 7 і 11. Наведені ключі погані для практичного використання, так як число 77 легко розкладається на прості множники (7 і 11).

== Шифрування ==
Початкове повідомлення m (текст) шифрується за допомогою відкритого ключа&nbsp;— числа n за такою формулою:

: {{nobr|''c'' {{=}} ''m''² mod ''n''}}.

Завдяки використанню множення по модулю швидкість шифрування системи Рабина більше, ніж швидкість шифрування за методом [[RSA]], навіть якщо в останньому випадку вибрати невелике значення експоненти.

Приклад (продовження). Нехай вихідним текстом {{nobr|''m'' {{=}} 20}}. Тоді зашифрованим текстом буде: {{nobr|''c'' {{=}} ''m''² mod ''n'' {{=}} 20² mod 77 {{=}} 400 mod 77 {{=}} 15}}.

== Розшифровка ==
Для розшифровки повідомлення необхідно закритий ключ&nbsp;— числа p і q . Процес розшифровки виглядає наступним чином:
* спочатку, використовуючи [[алгоритм Евкліда]], з рівняння <math>y_p \cdot p + y_q \cdot q = 1</math> знаходять числа <math>y_p</math> і <math>y_q</math>;
* далі, використовуючи [[Китайська теорема про залишки|китайську теорему про залишки]], обчислюють чотири числа:
: <math>\begin{matrix}
r  & = & ( y_p \cdot p \cdot m_q + y_q \cdot q \cdot m_p) \, \bmod \, n  \\
-r & = & n - r  \\
s  & = & ( y_p \cdot p \cdot m_q - y_q \cdot q \cdot m_p) \, \bmod \, n  \\
-s & = & n - s 
\end{matrix}</math>

Одне з цих чисел є істинним відкритим текстом m .

Приклад (закінчення). В результаті розшифровки отримуємо: <math>m \in \{ 64, \mathbf{20}, 13, 57 \}</math>. Бачимо, що один з коренів є вихідним текстом m .

== Оцінка алгоритму ==

=== Ефективність ===
Розшифровка тексту крім правильного наводить ще до трьох хибним результатам. Це є головною незручністю криптосистеми Рабіна і одним з факторів, які перешкоджали тому, щоб вона знайшла широке практичне використання.

Якщо вихідний текст являє собою текстове повідомлення, то визначення правильного тексту не є важким. Однак, якщо повідомлення є потоком випадкових бітів (наприклад, для генерації ключів або цифрового підпису), то визначення потрібного тексту стає реальною проблемою. Одним із способів вирішити цю проблему є додавання до повідомлення перед шифруванням відомого заголовка або якоїсь мітки.

=== Швидкість обчислень ===
Алгоритм Рабіна схожий на кодування [[RSA]], але замість зведення повідомлення в степінь е при шифруванні використовується операція піднесення блоку повідомлення в квадрат, що сприятливо позначається на швидкості виконання алгоритму без шкоди криптостійкості.

Для декодування китайська теорема про залишки застосована разом з двома зведення в степінь по модулю. Тут ефективність порівнянна [[RSA]].

Вибір потрібного тексту з чотирьох призводить до додаткових обчислювальним затратам. І це послужило тому, що криптосистема Рабіна не отримала широкого практичного використання.

=== Безпека ===
Велика перевага криптосистеми Рабіна полягає в тому, що випадковий текст може бути відновлений повністю від зашифрованого тексту тільки за умови, що дешифрувальник здатний до ефективної факторизації відкритого ключа n.

Криптосистема Рабіна є доказовою стійкою до атаки на основі підібраного відкритого зашифрованого тексту в рамках підходу «все або нічого», тоді і тільки тоді, коли завдання про розкладання цілого числа на прості множники є важкою.

Стійкість за принципом «все або нічого» полягає в тому, що, маючи текст, зашифрований певним алгоритмом, атакуючий повинен відновити блок вихідного тексту, розмір якого, як правило, визначається параметром безпеки криптосистеми. Маючи вихідний і зашифрований текст, атакуючий повинен відновити цілий блок секретного ключа. При цьому атакуючий або домагається повного успіху, або не отримує нічого. Під словом «нічого» мається на увазі, що атакуючий не має ніякої секретної інформації ні до, ні після безуспішної атаки.

Криптосистема Рабіна є абсолютно беззахисною перед атакою на основі обраного шифротекста. Як правило, атакуючий використовує всі наявні у нього можливості. Він вступає в контакт з атакованим користувачем, посилають йому зашифрований текст для подальшої розшифровки і вимагають повернути вихідний текст.

Наприклад, при додаванні надмірності, повторення останніх 64 біта, можна зробити корінь єдиним. Алгоритм розшифрування в цьому випадку видає єдиний корінь, який вже відомий атакуючому.

Процес додатково уразливий, оскільки при кодуванні використовуються тільки квадратні залишки. У прикладі при n = 77 тільки використовується 23 з 76 можливих станів.

== Див. також ==
* [[Асиметричні алгоритми шифрування]]
* [[Ранцева криптосистема Меркле — Геллмана]]

== Література ==

=== Книги ===
#{{cite book |author1=Alfred J. Menezes |author2=Paul C. van Oorschot |author3=Scott A. Vanstone |url=https://archive.org/details/handbookofapplie0000mene |title='''Handbook of Applied Cryptography''' |date=August 2001 |edition=Fifth printing |publisher=CRC Press |isbn=0-8493-8523-7 |url-access=registration }} {{ref-en}}

=== Інше ===
#{{url|http://www.williamspublishing.com/PDF/5-8459-0847-7/part.pdf}} {{ref-ru}}

== Джерела ==
{{reflist}}

{{Без джерел|дата=травень 2016}}

{{Асиметричні криптосистеми}}

[[Категорія:Криптографія]]