Схема Бломса - Bloms scheme - Wikipedia

Схема Блома симметричный порог обмен ключами протокол в криптография. Схема была предложена шведским криптографом Рольфом Бломом в серии статей в начале 1980-х годов.^[1][2]

Доверенная сторона предоставляет каждому участнику секретный ключ и открытый идентификатор, что позволяет любым двум участникам независимо создавать общий ключ для связи. Однако, если злоумышленник может скомпрометировать ключи как минимум k пользователей, он может нарушить схему и восстановить каждый общий ключ. Схема Блома - это форма порог секретного обмена.

Схема Блома в настоящее время используется HDCP (Только версия 1.x) схема защиты от копирования для генерации общих ключей для источников и приемников контента высокой четкости, таких как HD DVD игроки и телевизоры высокой четкости.^[3]

Протокол

Протокол обмена ключами включает доверенную сторону (Трент) и группу ${\displaystyle \scriptstyle n}$ пользователей. Позволять Алиса и Боб быть двумя пользователями группы.

Настройка протокола

Трент выбирает случайный и секретный симметричная матрица ${\displaystyle \scriptstyle D_{k,k}}$ над конечное поле ${\displaystyle \scriptstyle GF(p)}$, где p - простое число. ${\displaystyle \scriptstyle D}$ требуется, когда новый пользователь должен быть добавлен в группу обмена ключами.

Например:

${\displaystyle {\begin{aligned}k&=3\\p&=17\\D&={\begin{pmatrix}1&6&2\\6&3&8\\2&8&2\end{pmatrix}}\ \mathrm {mod} \ 17\end{aligned}}}$

Вставка нового участника

Новые пользователи Алиса и Боб хотят присоединиться к группе обмена ключами. Трент выбирает публичные идентификаторы для каждого из них; то есть k-элементные векторы:

${\displaystyle I_{\mathrm {Alice} },I_{\mathrm {Bob} }\in GF^{k}(p)}$.

Например:

${\displaystyle I_{\mathrm {Alice} }={\begin{pmatrix}1\\2\\3\end{pmatrix}},I_{\mathrm {Bob} }={\begin{pmatrix}5\\3\\1\end{pmatrix}}}$

Затем Трент вычисляет их закрытые ключи:

${\displaystyle {\begin{aligned}g_{\mathrm {Alice} }&=DI_{\mathrm {Alice} }\\g_{\mathrm {Bob} }&=DI_{\mathrm {Bob} }\end{aligned}}}$

С помощью ${\displaystyle D}$ как описано выше:

${\displaystyle {\begin{aligned}g_{\mathrm {Alice} }&={\begin{pmatrix}1&6&2\\6&3&8\\2&8&2\end{pmatrix}}{\begin{pmatrix}1\\2\\3\end{pmatrix}}={\begin{pmatrix}19\\36\\24\end{pmatrix}}\ \mathrm {mod} \ 17={\begin{pmatrix}2\\2\\7\end{pmatrix}}\ \\g_{\mathrm {Bob} }&={\begin{pmatrix}1&6&2\\6&3&8\\2&8&2\end{pmatrix}}{\begin{pmatrix}5\\3\\1\end{pmatrix}}={\begin{pmatrix}25\\47\\36\end{pmatrix}}\ \mathrm {mod} \ 17={\begin{pmatrix}8\\13\\2\end{pmatrix}}\ \end{aligned}}}$

Каждый будет использовать свой закрытый ключ для вычисления общих ключей с другими участниками группы.

Вычисление общего ключа между Алисой и Бобом

Теперь Алиса и Боб хотят общаться друг с другом. У Алисы есть идентификатор Боба ${\displaystyle \scriptstyle I_{\mathrm {Bob} }}$ и ее закрытый ключ ${\displaystyle \scriptstyle g_{\mathrm {Alice} }}$.

Она вычисляет общий ключ ${\displaystyle \scriptstyle k_{\mathrm {Alice/Bob} }=g_{\mathrm {Alice} }^{T}I_{\mathrm {Bob} }}$, куда ${\displaystyle \scriptstyle T}$ обозначает матрица транспонировать. Боб делает то же самое, используя свой закрытый ключ и ее идентификатор, давая тот же результат:

${\displaystyle k_{\mathrm {Alice/Bob} }=k_{\mathrm {Alice/Bob} }^{T}=(g_{\mathrm {Alice} }^{T}I_{\mathrm {Bob} })^{T}=(I_{\mathrm {Alice} }^{T}D^{T}I_{\mathrm {Bob} })^{T}=I_{\mathrm {Bob} }^{T}DI_{\mathrm {Alice} }=k_{\mathrm {Bob/Alice} }}$

Каждый из них сгенерирует свой общий ключ следующим образом:

${\displaystyle {\begin{aligned}k_{\mathrm {Alice/Bob} }&={\begin{pmatrix}2\\2\\7\end{pmatrix}}^{T}{\begin{pmatrix}5\\3\\1\end{pmatrix}}=2\times 5+2\times 3+7\times 1=23\ \mathrm {mod} \ 17=6\\k_{\mathrm {Bob/Alice} }&={\begin{pmatrix}8\\13\\2\end{pmatrix}}^{T}{\begin{pmatrix}1\\2\\3\end{pmatrix}}=8\times 1+13\times 2+2\times 3=40\ \mathrm {mod} \ 17=6\end{aligned}}}$

Сопротивление атаке

Чтобы гарантировать, что по крайней мере k ключей должны быть скомпрометированы до того, как каждый общий ключ может быть вычислен злоумышленником, идентификаторы должны быть k-линейно независимыми: все наборы из k случайно выбранных идентификаторов пользователей должны быть линейно независимыми. В противном случае группа злоумышленников может вычислить ключ любого другого члена, идентификатор которого линейно зависит от их идентификатора. Чтобы гарантировать это свойство, идентификаторы должны предпочтительно выбираться из матрицы кодов MDS (кодовая матрица с исправлением ошибок с максимальным разделением расстояний). Строки MDS-Matrix будут идентификаторами пользователей. Матрица MDS-кода может быть выбрана на практике с использованием кодовой матрицы Исправление ошибок Рида – Соломона код (этот код исправления ошибок требует только легко понятной математики и может быть вычислен очень быстро).^[4]

Рекомендации

1. Блом, Рольф. Распространение непубличных ключей. В Proc. CRYPTO 82, страницы 231–236, Нью-Йорк, 1983. Plenum Press
2. Блом, Рольф. «Оптимальный класс систем генерации симметричных ключей», Отчет LiTH-ISY-I-0641, Университет Линчёпинга, 1984 г. [1]
3. Кросби, Скотт; Гольдберг, Ян; Джонсон, Роберт; Песня, Рассвет; Вагнер, Дэвид (2002). Криптоанализ системы защиты широкополосного цифрового контента. Безопасность и конфиденциальность в управлении цифровыми правами. DRM 2001. Конспект лекций по информатике. Конспект лекций по информатике. 2320. С. 192–200. CiteSeerX  10.1.1.10.9307. Дои:10.1007/3-540-47870-1_12. ISBN  978-3-540-43677-5.
4. Менезеш, А.; Пол К. ван Оршот & Скотт А. Ванстон (1996). Справочник по прикладной криптографии. CRC Press. ISBN  978-0-8493-8523-0.