CC BY
20
ПРИКЛАДНАЯ ДИСКРЕТНАЯ МАТЕМАТИКА
2015
Математические методы криптографии
№ 4(30)
МАТЕМАТИЧЕСКИЕ МЕТОДЫ КРИПТОГРАФИИ
УДК 512.64, 519.21, 519.72
ОПИСАНИЕ НЕЭНДОМОРФНЫХ МАКСИМАЛЬНЫХ СОВЕРШЕННЫХ ШИФРОВ С ДВУМЯ ШИФРВЕЛИЧИНАМИ
Н. В. Медведева, С. С. Титов
Уральский государственный университет путей сообщения, г. Екатеринбург, Россия
Исследуются неэндоморфные совершенные по Шеннону (абсолютно стойкие к атаке по шифртексту) шифры в случае, когда мощность множества шифрвеличин равна двум. В терминах линейной алгебры на основе теоремы Биркго-фа о классификации дважды стохастических матриц описано множество (полиэдр) матриц вероятностей ключей неэндоморфных совершенных шифров с двумя шифрвеличинами. Построено множество возможных значений априорных вероятностей шифробозначений данных шифров.
Ключевые слова: совершенные шифры, неэндоморфные шифры, максимальные шифры, дважды стохастические матрицы.
DOI 10.17223/20710410/30/4
DESCRIPTION OF NON-ENDOMORPHIC MAXIMUM PERFECT CIPHERS WITH TWO-VALUED PLAINTEXT ALPHABET
N. V. Medvedeva, S. S. Titov
Ural State University of Railway Transport, Ekaterinburg, Russia E-mail: [email protected]; [email protected]
This paper deals with non-endomorphic perfect (according to Shannon) ciphers, which are absolutely immune against the ciphertext-only attacks in the case when plaintext alphabet consists of two elements. Matrices of probabilities of cipher keys are described in terms of linear algebra on the basis of Birkhoff’s theorem (about the classification of doubly stochastic matrices). The set of possible values of a priori probabilities for elements in ciphertext alphabet of a perfect cipher is constructed.
Keywords: perfect ciphers, non-endomorphic ciphers, maximum ciphers, doubly stochastic matrices.
Введение
К. Шеннон, разрабатывая теорию криптографической стойкости, ввел понятие совершенного шифра как шифра, абсолютно стойкого к атаке по шифртексту [1]. Такой шифр не даёт криптоаналитику никакой дополнительной информации об открытом тексте на основе изучения перехваченной криптограммы. Примерно в те же годы концепция совершенного шифра разрабатывалась в одной закрытой работе, выполненной
44
Н. В. Медведева, С. С. Титов
под руководством В. А. Котельникова [2, 3]. Впоследствии, в связи с изучением вопросов имитостойкости шифров, понятие совершенного шифра было обобщено для криптоатак на основе совокупностей шифртекстов, полученных на одном ключе, а также криптоатак на основе известного открытого текста [4-6].
В основе изучения совершенных шифров лежит математическая модель шифра. Впервые вероятностная модель шифра рассмотрена в фундаментальной работе К. Шеннона [1]. Имеются и другие подходы к построению таких моделей [7- 10]. В [3] предлагается некоторая модификация модели, приведенной в [7]. Она использует понятия опорного шифра, ключевого потока; в ней введены два класса шифров — с ограниченным и неограниченным ключами.
Пусть X, Y — конечные множества соответственно шифрвеличин и шифробозначений, с которыми оперирует некоторый шифр замены; K — множество ключей; |Х| = Л, |Y| = у, |К| = п, где Л > 1, у ^ Л. Это означает, что открытые и шифрованные тексты представляются словами в алфавитах X и Y соответственно. Согласно [3, 7], под шифром Sb будем понимать совокупность множеств правил зашифрования и расшифрования с заданными распределениями вероятностей на множествах открытых текстов и ключей. Шифры, для которых апостериорные вероятности открытых текстов совпадают с их априорными вероятностями, называются совершенными. В работе [1] полностью описаны эндоморфные (|Х| = |Y|) совершенные шифры с минимально возможным числом ключей (|К| = |Y|). Согласно теореме К. Шеннона [1], эндоморфные совершеные шифры с минимально возможным числом ключей исчерпываются шифрами гаммирования со случайной равновероятной гаммой.
Изучение неэндоморфных (|Х| < |Y|) шифров в общем виде предполагает знание распределения вероятностей на множестве открытых текстов. В качестве стандартного аппарата исследования распределения вероятностей на множестве открытых текстов используются дважды стохастические матрицы [11]. Шифры, содержащие все инъекции из X в Y, т. е. такие, что |К| = п = у (у — 1) •... • (у — Л +1), называются максимальными. Для неэндоморфных максимальных совершенных шифров ключи могут быть неравновероятными [3, пример 2.2.10]. В [12] показано, что неминимальный (|К| > |Y|) совершенный шифр вкладывается в максимальный совершенный шифр.
Данная работа является продолжением [12, 13]. Здесь описано множество (полиэдр) матриц вероятностей ключей и множество вероятностей шифробозначений неэндоморфных совершенных шифров в случае, когда мощность множества шифрвеличин равна двум.
1. Постановка задачи
Рассмотрим неэндоморфный максимальный совершенный шифр в случае, когда мощность множества шифрвеличин равна двум. Пусть X = {x^x2} —множество шифрвеличин; Y = {y1, у2,... , ум} = {1, 2,... , у} —множество шифробозначений, с которыми оперирует некоторый шифр замены; К = {k1, k2,..., kn} —множество ключей. Здесь |X| = Л = 2, |Y| = у ^ 2, |К| = п = у(у — 1).
Зашифрование открытого текста x = xi1 xi2... xi£, где xij G X, т. е. j G {1,2}, заключается в замене каждой шифрвеличины xij некоторым шифробозначением yij в соответствии со случайно выбранным одним из
|К 1 = A|Xi = Al = (^ —‘2)j = — 1) = п
Описание неэндоморфных максимальных совершенных шифров
45
всех инъективных отображений ek : X ^ Y, индексированных ключами k Е K = {k\, k2,... , kn}, занумерованными числами 1, 2,... , п. Инъективное отображение ek, k Е K, при котором ek(xi) = ys = s и ek(x2) = yt = t, будем также обозначать est, где s,t =
1,..., у.
Пусть Pst — вероятность того, что при зашифровании шифрвеличины xij, ij Е Е {1, 2}, будет выбрано инъективное отображение est, т. е.
Pst = P{est(xi) = s & est(x2) = t},
где ys = yt. Если s = t, то, в силу инъективности, Pst = 0.
Отметим, что вероятности Pst, где s,t = 1,... ,у, задают распределение вероятностей ключей P(K), которое не зависит от распределения P(X) на множестве шифрвеличин [3].
Обозначим через P = || Pst || квадратную матрицу порядка у, такую, что
Vs ( Е Pst = Ps) , Vt ( Е Pst = Pt) ;
,t=1 / \s=1
Pi + ... + Pk = 1.
(1)
(2)
Заметим, что, как указано в [3], совершенный по Шеннону шифр является сильно совершенным, т. е. является совершенным при любом распределении на множестве шифрвеличин. Поэтому распределения вероятностей на множестве шифробозначений, индуцированные априорными распределениями вероятностей на множестве ключей, будем называть априорными.
Условие (1) задает равенство априорных ps = P{y = ys} = P{y = s}, s = 1,..., у, и апостериорных (условных) P{y = ys| x = xij} = P{y = s| x = xij}, ij Е {1,2}, вероят-
ностей шифробозначений. Это, согласно [3, критерий (2.2.4)], означает, что условие (1) равносильно условию совершенности шифра.
Требуется описать множество возможных значений априорных вероятностей шифробозначений ps, s = 1,..., у, и найти общий вид матрицы P, удовлетворяющей условиям (1) и (2), в зависимости от значений вероятностей ps. Согласно подходу [3, 7], для вероятностной модели Уд шифра это достаточно сделать при £ =1.
Для решения поставленной задачи будем использовать критерий совершенности шифра (2.2.4) из [3]. В частности, в примере 2.2.10 из [3] X = {x1,x2}, Y = {y1,y2, y3} = {1, 2, 3}, K = {k1, k2,..., k6}, т. е. при Л = 2, у = 3, п = 6, таблица зашифрования
имеет вид
K\X Xi X2 Pst P{est(xl) s & est(x2) t}
kl 1 2 P12 = P{k = k1} = 19/80
k2 1 3 P13 = P{k = k2} = 3/20
кз 2 1 P21 = P{k = k3} = 21/80
k4 2 3 P23 = P {k = k4} = 1/10
k5 3 1 P31 = P {k = ks} = 1/8
ke 3 2 P32 = P {k = ke} = 1/8
При этом для вероятностей Pst выполняются равенства
P1 = P{y =1 | x = xj = P12 + P13
P2 = P{y = 2 | x = xj = P21 + P23
P3 = P{y = 3 | x = xj = P31 + P32
P{est(x1) = s & est(x2) = t}, где s,t
31
80’ P1
29.
80’ P2
20
80’ P3
P{y =1 | x = x2} P{y = 2 | x = x2} P{y = 3 | x = x2}
P21 + P31 P12 + P32 P13 + P23
1, 2, 3,
31
80’
29.
80’
20
80,
46
Н. В. Медведева, С. С. Титов
т. е. априорные и апостериорные (условные) вероятности шифробозначений уг, i = = 1, 2, 3, равны. Это, согласно критерию (2.2.4) из [3], означает, что матрица
P = || Pst ||
P11 P12 P13 0 19/80 3/20
P21 P22 P23 I 1 = 1 21/80 0 1/10
P31 P32 P33 V 1/8 1/8 0
удовлетворяет условию (1) совершенности шифра.
2. Основные понятия
Аналогично подходу [11], введём
Определение 1. Нормальным циклом длины d ^ 1 матрицы P будем называть последовательность (ф, i2,... , id) различных элементов множества {1,2,..., ^}, такую, что
P > 0 P
1 г-112 ^ 1 1213
>0,
Рг
id
-lid > 0,
Pidii > °.
Будем считать, что нормальные циклы (i1, i2,... , id), отличающиеся друг от друга циклической перестановкой элементов, совпадают. Справедлива
Лемма 1. Пусть неотрицательная матрица Р удовлетворяет условию (1) и не имеет нормальных циклов. Тогда Р — нулевая матрица.
Доказательство. Предположим, что матрица Р ненулевая, т. е. имеет ненулевой положительный элемент Pj > 0. Тогда рг ^ Pj > 0 и pj ^ P j > 0.
Обозначим i1 = i и i2 = j, где i1 = i2 (при i1 = i2 матрица P имеет нормальный цикл длины d = 1, что противоречит условию). Так как pj = pi2 > 0 является суммой элементов j-го столбца, а также суммой элементов i-й строки, в силу справедливости равенств (1) в матрице P существует k-й столбец, содержащий элемент Pjk > 0. Обозначим i3 = k. В силу отсутствия в матрице P нормальных циклов длины 1 имеем i2 = i3, а в силу отсутствия нормальных циклов длины 2 получаем, что i3 = i1, т. е. числа i1, i2, i3 различны.
Продолжим нахождение ненулевых элементов матрицы P. Пусть последовательность (i1, i2,... , im), где 3 ^ m ^ ^, различных элементов такая, что выполняются неравенства
Piii2 > 0, Pi2i3 > 0,
Pi.
m —
l гт
> 0.
Тогда рг1 > 0, рг2 > 0, ... , pim > 0. Поскольку сумма элементов ^-й строки равна pim, в матрице P существует элемент Pimim+1 > 0. В силу отсутствия нормальных циклов длины 1 имеем im+1 = im, а в силу отсутствия нормальных циклов длины 2 получаем, что im+1 = im-1. В силу отсутствия нормальных циклов длины 3 имеем im+1 = im-2 и т. д.; а именно из-за отсутствия нормальных циклов длины 4, 5,... , m выполняются условия im+1 = im-з, im+1 = im-4, ..., im+1 = Ф, т. е. все числа i1, i2,..., im+1 различны.
Однако в силу конечности множества строк (столбцов) матрицы P множество {i1, i2,... , im} является подмножеством множества {1, 2,...,^} всех номеров строк матрицы P. Максимальное значение m равно ^, при котором im+1 = ф+1 G {i1,i2, ... , ф}, т. е. iM+1 = in для некоторого n G {i1, i2,... , ф}. Получаем противоречие с тем, что все числа i1,i2,..., ф+1 различны. Следовательно, предположение, что P — ненулевая матрица, неверно. ■
Определение 1. Пусть Z — непустое подмножество множества {1,2,...,^} номеров строк и столбцов матрицы P = ||Pj||. Главной подматрицей, соответствующей множеству Z, назовём квадратную матрицу QZ = ||Qj || порядка ^, такую, что при
Описание неэндоморфных максимальных совершенных шифров
47
всех i,j Е Z выполняются неравенства 0 ^ Qj ^ Pj, а при i Е Z или j Е Z — равенство Qj = 0.
Определение 2 [11]. Квадратную матрицу T = ||tj || будем называть дважды стохастической, если tij ^ 0 и
n П
Etij = 1, 1 ^ i ^ n; Е tij = 1, 1 ^ j ^ n.
j=1 i=1
В случае, когда мощность алфавита шифрвеличин равна двум, множество возможных значений априорных вероятностей шифробозначений ps = P{y = ys} = P{y = s}, где s = 1,... , у, допускает описание на основе теоремы Биркгофа о классификации дважды стохастических матриц [11]. В [14] такие матрицы называются двояко стохастическими.
Замечание 1. Пусть т = min{p1,...,pM}. Тогда, если т = 0, то среди рь ... ,рм есть нуль, и в матрице P есть (для некоторого i) столбец и строка с номером i, все элементы которых — нули, так что в этом случае матрица P определяется некоторой своей подматрицей размерами у1 х у1 с у1 < у, в которой нет ни нулевых строк, ни
нулевых столбцов. Если т > 0, то при т = max{p1,... ,pM} матрица —P — дважды
т
стохастическая.
Замечание 2. Каждой дважды стохастической матрице размера у х у соответствует матрица равновероятных распределений, которая получается из данной матрицы делением каждого её элемента на у. Здесь имеется в виду не равновероятность ключей, а равенство всех априорных вероятностей шифробозначений, т. е. Р1 = Р2 = ... = Рм.
Замечание 3. Главная подматрица равновероятных распределений — это главная подматрица матрицы P, такая, что если вычеркнуть в ней нулевые строки и столбцы, то получится матрица равновероятных распределений.
Определение 3. Пусть (i1,i2,... ,id) —нормальный цикл длины d ^ 1 матрицы P. Матрицей С(i1>i2>...>id) = ЦС^|| нормального цикла (i1, i2,... , id) назовём квадратную матрицу порядка у, в которой
C(il,i2,...,id) __ с(il>i2>...>id)
Ci ii2 Ci2i3
C (il,i2,...,id) Cidil
1,
а остальные элементы равны нулю.
Матрица С(i1>i2>...>id) —это в точности матрица перестановки подматрицы, полученная из матрицы P вычеркиванием строк и столбцов, номера которых не лежат в Z. Отметим, что сумма элементов i-й строки (или j-го столбца) матрицы С(i1>i2>...>id) равна нулю, если i Е (i1, i2,..., id) (j Е (i1, i2,..., id)), и равна 1, если i Е (i1, i2,..., id) (j (i1, i2, . . . , id)).
Пример 1. Пусть у = 3 и матрица P имеет нулевую диагональ. Нормальные наборы при |Z| = 3, Z = {1, 2, 3} задаются матрицами перестановок
0 1 0 0 0 1
С(1,2,3) = С(2Д1) = С(3>1>2) = ( 0 0 1 I, с(1>3>2) = с(2>1>3) = с(3’2’1) = ( 10 0 I ,
1 0 0 0 1 0
48
Н. В. Медведева, С. С. Титов
которым соответствует произвольная дважды стохастическая матрица 3 х 3 с нулевой диагональю
( 0 0 1 \ /001\ / 0 Т1 Т2 \
Tz = Т1 I 1 0 0 I + T2 I 1 0 0 I = I T2 0 T1 I , T1 ^ 0, T2 ^ 0, T1 + T2 = 1,
V 0 1 ^ / V 0 1 ^ / \n T2 0 /
и, тем самым, произвольная матрица Pz равновероятного распределения (с равными
априорными вероятностями)
Р{1,2,3}
1
3
0 Т1 Т2
Т2 0 Т1
Т1 Т2 0
При |Z | = 2 нормальные циклы задаются матрицами
Z = {1, 2} ^ C(1,2) = C(2Д) = Т
z
Z = {1, 3} ^ C(1,3) = C(3,1) = Т
z
Z = {2, 3} ^ C(2,3) = C(3,2) = Т
z
010
100
000
0 0 1 000 100
000 0 0 1 010
которым соответствуют единственные матрицы равновероятных распределений
0 0 1 0 0 0
Р
{1,2}
1
2
010
100
000
Р
{1,3}
2 I о о 0
2 ' 1 0 0
Р
{2,3}
21001 2 ' 0 1 0
Наконец, при |Z| = 1 нормальных циклов нет, так как диагональ матрицы Р нулевая.
3. Описание множества матриц вероятностей ключей
Пусть Z — непустое подмножество множества {1,2,... ,^} номеров строк и столбцов матрицы Р = || Pij ||. Каждому множеству Z поставим в соответствие некоторое число pz ^ 0. Тогда можно составить матрицу
Е Pz ■ pz, Е Pz = Ф (3)
Zc{1,2,...,^}, Z С{1,2,...,^},
Z=0 Z=0
удовлетворяющую условиям (1) и (2). Справедлива
Теорема 1. Матрица Р с неотрицательными элементами, удовлетворяющая условиям (1) и (2), лежит в выпуклой оболочке главных подматриц Pz равновероятных распределений и определяется формулой (3), где суммирование проводится по всем непустым подмножествам Z множества номеров строк и pz ^ 0.
Описание неэндоморфных максимальных совершенных шифров
49
Доказательство. Согласно замечаниям 1-3, матрица, определяемая формулой (3), удовлетворяет условиям (1) и (2) совершенности шифра. Пусть неотрицательная матрица P удовлетворяет условиям (1) и (2), где pj ^ 0, Pst ^ 0 и j, s, t = 1,...,р. Доказательство проведём в четыре этапа.
1. Устранение нулевых априорных вероятностей. Если pm = 0, где m Е {1,... , р}, то сумма элементов m-й строки (m-го столбца) матрицы P равна нулю. Поэтому, отбрасывая эти нулевые строку и столбец, придём к матрице P1 порядка р — 1. Положим P := P1, р := р — 1. Продолжая исключать нулевые строки и столбцы, придём к матрице, для которой pi > 0 для всех i = 1,... ,р ив каждой строке и каждом столбце есть хотя бы один ненулевой элемент.
Пусть неотрицательная матрица P удовлетворяет условиям (1) и (2), где все pi > 0, i = 1,... , р, и в каждой строке и каждом столбце данной матрицы есть хотя бы один ненулевой элемент.
2. Устранение нормальных циклов. Обнулим некоторые элементы матрицы P с соответствующим уменьшением значений pi и сохранением равенств (1), но без сохранения равенства (2).
Начнём с диагональных элементов. Если Pii > 0 для некоторого i, то построим новую матрицу P', в которой P^t := Pst для всех пар {s,t}, кроме случая s = t = i. Положим
Q(i) : Pii, Pii : 0, pi : pi — Pii pi — Q(i).
Поскольку pi = Pii +pi, то pi ^ Pii и, следовательно, pi ^ 0. Переобозначая Pst := PSt,
pi := pi, получим выполнение равенств (1). Перебирая таким образом все ненулевые диагональные элементы, придём к матрице P, которая удовлетворяет равенствам (1) и в которой все диагональные элементы равны нулю.
Далее будем обнулять элементы матрицы P, симметричные относительно главной диагонали, т. е. элементы Pst и Pts, где s = t, Pst > 0, Pts > 0. Положим
Q(s,t) : min{Pst, pts}, Pst : Pst Q (s,t), Pts : Pts Q (s,t), ps : ps Q (s,t), pt : pt Q(s,t).
Перебирая таким образом все пары элементов Pst и Pts, придём к матрице P, в которой нулевые не только диагональные элементы, но и для каждой пары {s, t}, где s = t, элемент Pst = 0, или Pts = 0, или Pst = Pts = 0.
Заметим, что, согласно определению 1, выше рассмотрены нормальные циклы длины d =1 и d = 2 и из матрицы P вычитались главные подматрицы матрицы P, пропорциональные соответственно матрицам C(i) и C (s,t) нормальных циклов (i) и (s,t):
P := P — Е Pii -C(i) = P — Е Q(i) ■ C(i), P := P — E Q(s,t) ■ c(sE (i) (i) (s,t)
Отметим также, что при таком занулении элементов матрицы P количество нулевых циклов возрастает, а количество нормальных циклов в матрице P убывает.
Аналогично будем действовать при d ^ 3. Пусть матрица P не имеет нормальных циклов длины d = m — 1, где 3 ^ m ^ р. Будем устранять нормальные циклы (ii, i2,... , id) при d = m. Для этого положим
P
i1i2
Q(il,i2,...,id) := min{Piii2 , Pi2i3, . . . , Pid-lid, Pidil }, Pili2 —Q(ii,i2,...,id), Pi2i3 : Pi2i3 —Q(ii,i2,...,id), . . . , Pipl
Pidii Q(il,i2,...,id),
pil : pil Q(il,i2,...,id), pi2 : pi2 Q(il,i2,...,id), . . . ,pid : pid Q(il,i2,...,id),
50
Н. В. Медведева, С. С. Титов
т. е. из матрицы P будем вычитать её главные подматрицы, пропорциональные матрицам C 6Ь*2,..,^) её нормальных циклов (ф, i2,... , id):
P = p - E Q<«a id) ■ C(ii,i2 id).
(ii,i2,...,id)
В силу конечности множества нормальных циклов за конечное число шагов придём к случаю, когда в матрице P отсутствуют нормальные циклы длины d = m.
Последовательно проводя данную процедуру, с увеличением длины d нормальных циклов на единицу придём к нормальным циклам длины d = ц и, после завершения процедуры, получим неотрицательную матрицу P, не имеющую нормальных циклов.
3. Получение вида матрицы. Согласно лемме 1, полученная неотрицательная матрица P — нулевая, а сумма всех отнятых матриц равна исходной матрице P. Следовательно, исходная матрица P удовлетворяет равенству
p = E E Q(ii,i2 id) ■ с(ili2 id), (4)
d=1 (ii,i2,...,id)
где Q(i1,i2,...,id) ^ 0. Матрица Q(ii,i2,-,id) = Q(il,i2,. ,id) ■ C(i1,i2,...,id) является главной подматрицей исходной матрицы P, согласно определению 2, со множеством Z =
{i1, i2, . . . , id}.
Для любой пары (i,j) имеем, в силу равенства (4), равенство Pij = Q<i) при i = j, а при i = j и d ^ 2 имеем
Pij = Е Q(il,i2,...,id),
(ii,i2,...,id)
где i1 = i и i2 = j, так как нормальные циклы совпадают при циклической перестановке их элементов. Поскольку каждая такая пара (i, j) лежит в некотором цикле, а для
р р
элементов матрицы P имеем равенство У] Pj = 1, получаем, что
i=1 j=1
E Q(ii,i2,...,id) = 1 (5)
(ii,i2,...,id)
Следовательно, неотрицательная матрица P, удовлетворяющая условию (1), лежит в выпуклой оболочке матриц нормальных циклов — это аналог теоремы Биркгофа.
4. Переход к равенству (3). Далее для каждого Z С {1, 2,... ,^}, где d = |Z| ^ 2, рассмотрим все нормальные циклы длины d, элементы которых берутся из Z. Это означает, что если Z = {j\, j2,..., jd}, то цикл (i1, i2,...,id) —это перестановка чисел ji , j2, ... , jd. Положим
PZ = E Q(ii,i2,...,id) ■ C{'l1’l2,...’ld\ Pz = QZ = E (il,i2,...,id),
{ii,i2,...,id}=Z {ii,i2,...,id }=Z
где pZ = QZ ^ 0 и, согласно (5), PZ = 1. Тогда
{ii,i2,...,id}=Z
PZ E Q(ii,i2,...,id)
{ii,i2,...,id}=Z
■ TZ = Pz ■ TZ
Z,
где Tz —дважды стохастическая матрица, номера строк и столбцов которой принадлежат множеству {i1, i2,... , id} = Z.
Описание неэндоморфных максимальных совершенных шифров
51
Обозначим
Pz = ■ Tz
d
— главная подматрица равновероятных распределений, элементы которой (Pz)ij = 0 при i « Z или j « Z; (Pz)j = (Tz)j/d при i, j e Z.
Таким образом, для неотрицательной матрицы Р, удовлетворяющей условиям (1) и (2), выполняется равенство
Р = Е Pz ■ pz, где Е Pz = l,
ZC{1,2,...,^}, Z С{1,2,...,^},
Z=0 Z=0
т. е. матрица Р лежит в выпуклой оболочке главных подматриц Pz равновероятных распределений. ■
В обзоре [15] представлены некоторые работы, примыкающие к проблематике теоремы Биркгофа. В [16, 17] приведены результаты об экстремальных точках для полиэдра конечных симметрических матриц с заданными суммами по строкам. Для специального класса дважды стохастических матриц, определяемого границами для элементов матрицы, в [18] строятся экстремальные точки. В доказанной аналогичным образом выше теореме 1 описан соответствующий полиэдр указанием его вершин (экстремальных точек), которые представляют собой нормальные циклы.
Рассмотрим примеры, иллюстрирующие теорему 1.
Пример 2. Пусть р = 2 и матрица Р имеет нулевую диагональ. Тогда p12 = p21 = p1 = p2 = 1/2 и матрица Р единственна:
/ 0 1/2 \ = 1 / 0 1 V 1/2 0 ) = 2 Ч 10
1 ■ Т
2
5
где Т — дважды стохастическая матрица. Это частный случай теоремы Шеннона для эндоморфного минимального шифра.
Пример 3. Пусть р = 3, Р имеет нулевую диагональ и
а = т1 ■ Р{1,2,3} Т 0, b = т2 ■ Р{1,2,3} Т 0, c = Р{1,2} Т 0, d = Р{1,3} Т 0, e = Р{2,3} Т 0, где произвольные параметры т1, т2, pZ таковы, что т1 Т 0, т2 Т 0, т1 + т2 = 1, pZ Т 0,
Р{1,2,3} + Р{1,2} + Р{1,3} + Р{2,3} = а + b + c + d + e = 1.
Тогда при Л = 2 и р = 3 матрица Р в общем случае определяется формулой
1 / 0 1 0 \ 1 / 0 0 1
Р =- а I 0 0 1 I +1 b I 1 0 0
3\100/ 3 V 0 1 0
1
+ 2 С
010
100
000
+
1 /0 0 1\ 1 /0 0 0\ / 0 а/3 + c/2 3b + 2d
+ 1 d I 0 0 0 I +1 e I 0 0 1 I = I b/3 + c/2 0 а/3 + e/2
2 \1 0 0) 2 \0 1 0) \а/3 + d/2 b/3 + e/2 0
5
где а, b, c, d, e Т 0 — произвольные параметры, такие, что а + b + c + d + e = 1 .
Отметим, что для любых а Т 0, e Т 0, где 2а + 3е = 3/5, и однозначно по ним определённым параметрам b = а + 3/40, c = e + 11/40, d = e + 1/20 получаются числовые значения примера 2.2.10 из [3]. В частности, они получаются при крайних значениях параметров: а = 0, e = 1/5 и а = 3/10, e = 0.
52
Н. В. Медведева, С. С. Титов
4. Описание множества априорных вероятностей шифробозначений
Если для соблюдения условия инъективности операций зашифрования потребовать, чтобы диагональ в матрице P была нулевой, то не каждый набор априорных вероятностей элементов множества Y шифробозначений может быть реализован в совершенном по Шеннону шифре. Справедлива
Лемма 2. Точка (рь...,рм) в RM ^ 2), координаты которой удовлетворяют условиям
1
pi +... + Pm = 1 0 ^Pi ^ 2,
лежит в выпуклой оболочке точек
Vij = ^..^ Мд 0,..., 0,vj, 0,..., 0) = (0,
1,.
, 0,2, 0,
) ^,
(6)
, 0,2, 0,
, 0),
где i,j = ф ... ^ i = j.
Доказательство. Пусть pi + ... + рм = 1, pi ф 0 (i = 1,... ,M Эти условия определяют (^ — 1)-мерный симплекс в ^-мерном пространстве RM. Полупространства pi ф 1/2, i = 1,... , ^, высекают в этом симплексе (^ — 1)-мерный выпуклый многогранник, на границе которого хотя бы одно из этих неравенств обращается в равенство. Найдём его вершины. На гиперпространстве Pj = 1/2, например, pi = 1/2 при j = 1, имеем наибольшее евклидово расстояние от начала координат
Pi + p2 + ... + P^ = \/t + P2 + ... + Pm ^ V 7 + (P2 + ... + Pm)
1
1
4
T+ hr =
2
V2 2 ,
i
2
и оно достигается на вершинах в силу центральной симметричности этой гиперграни; однако неравенство обращается в равенство при p1 + p2 + ... + pM = (p1 + P2 + ... + Pm)2, что может быть только если все Pi обращаются в нуль, кроме одного: Pi = 0 для i = 2,... ,^, i = j; Pj = 1/2. Итак, на этой грани имеется ^ — 1 вершин с двумя ненулевыми координатами р1 = 1/2, Pj = 1/2, j G {2,...,^}. Ясно, что это верно для любой грани, поэтому описываемый многогранник имеет ^(^ —1)/2 вершин Vij с двумя ненулевыми координатами pi = 1/2, Pj = 1/2, i, j G {1, 2,... ,^}, i = j. ■
В приложении к совершенным шифрам лемма 2 означает, что любой набор чисел pi, i = 1,...,^, с условиями (6) может быть набором априорных вероятностей шифробозначений совершенного шифра. Справедлива
Теорема 2. Набор чисел р1,... ,рм при ^ ф 2 является набором априорных вероятностей шифробозначений совершенного шифра в модели Яд с мощностью алфавита шифрвеличин, равной двум, тогда и только тогда, когда эти числа удовлетворяют условиям (6).
Доказательство. Необходимость. Пусть набор чисел р1,..., рм при ^ ф 2 является набором априорных вероятностей шифробозначений совершенного шифра в модели Яд с мощностью алфавита шифрвеличин равной двум. Обозначим через oj) сумму элементов j-й строки матрицы Pz главной подматрицы со множеством строк Z. Так как Pz = Tz/|Z|, где Tz соответствует дважды стохастической матрице, то
о
(j)
Z
0, j G/ Z, 1 , j G Z.
Описание неэндоморфных максимальных совершенных шифров
53
Имеем oZ ^ 1/|Z| ^ 1/2 при любом j, если диагональ нулевая и, стало быть, |Z| ^ 2. Суммируя все элементы j-й строки для определения pj, из формулы (3) ввиду
P = Е PZ Pz
Z С{1,2,...,д>,
| Z| >2
получаем формулу
v--\ (j) ^ 1 v--\
Pj = Е pz°ZJ Epz
ZC{1,2,...,M>, 2 Z
|Z|>2
поскольку из (2) сумма всех коэффициентов pz равна единице. Итак, априорные вероятности pj (j = 1,..., р) совершенного шифра лежат в сегменте
1
2,
0 ^ Pj ^ 2.
Достаточность докажем путём построения симметричной матрицы. Пусть, в силу
№—1 № ^—1 №
леммы 2, имеется разложение Р = Е rv Vj, в котором ^ rj = 1, rj ^ 0,
i=1 j=i+1 i=1 j=i+1
1 ^ i < j ^ p.
Сопоставляя каждой точке Vij матрицу Wij, у которой только два ненулевых элемента wij = 1/2 и Wji = 1/2, построим симметричную матрицу Р, лежащую в выпук-
№— 1 №
лой оболочке этих матриц, как сумму Р = ^ rijWij. Для любого l, 1 ^ l ^ р,
i=1 j=i+1
выполняется равенство
Pl
1
2
Е
№
j=l+1
1 l—1
rij + o E rii,
2 i=1
и сумма элементов l-й строки (l-го столбца) матрицы Р равна pi, т. е. условия (1) и (2) выполнены. ■
Заключение
Таким образом, в работе описано множество (полиэдр) матриц вероятностей ключей и множество априорных вероятностей шифробозначений неэндоморфных максимальных совершенных шифров с двумя шифрвеличинами. Отметим, что в случае, когда мощность множества шифрвеличин строго больше двух, эта задача сильно усложняется по причине отсутствия аналога теоремы Биркгофа о дважды стохастических матрицах.
Получение обобщений теоремы Шеннона на неэндоморфные совершенные шифры с неравновероятными ключами и шифробозначениями оправдано изучением современных аналогов совершенных шифров [3], обладающих такими свойствами, как имитостойкость и помехоустойчивость, с более полным учётом свойств канала связи.
ЛИТЕРАТУРА
1. Шеннон К. Теория связи в секретных системах jj Работы по теории информации и кибернетике. М.: Наука, 1963. С. 333-402.
2. Андреев Н. Н., Петерсон А. П., Прянишников К. В., Старовойтов А. В. Основоположник отечественной засекреченной телефонной связи jj Радиотехника. 1998. №8. С. 8-12.
3. Зубов А. Ю. Совершенные шифры. М.: Гелиос АРВ, 2003. 160 с.
4. Stinson D. R. A construction for authentication secrecy codes from certain combinatorial designs jj Proc. Crypto’87. Advances in Cryptology. 1998. P. 355-366.
54
Н. В. Медведева, С. С. Титов
5. De Soete M. Some constructions for authentication-secrecy codes // Proc. Crypto’87. Advances in Cryptology. 1998. P. 57-75.
6. Goldlewsky P. and Mitchell C. Key-minimal cryptosystems for unconditional secrecy // J. Cryptology. 1990. No. 1. P. 1-25.
7. Алферов А.П., Зубов А. Ю., Кузьмин А. С., Черемушкин А. В. Основы криптографии. М.: Гелиос АРВ, 2001. 480 с.
8. Бабаш А. В., Шанкин Г. П. Криптография (аспекты защиты). М.: СОЛОН-Р, 2002. 512 с.
9. Брассар Ж. Современная криптология. М.: ПОЛИМЕД, 1999. 176 с.
10. Stinson D. R. Cryptography: Theory and Practice. N. Y.: CRC Press, 1995. 616 p.
11. BirkhoffG.D Tres observations sobre el algebra lineal // Revista Universidad Nacional Tucuman. 1946. Ser. A. V. 5. P.147-151.
12. Медведева Н.В., Титов С. С. О неминимальных совершенных шифрах // Прикладная дискретная математика. Приложение. 2013. №6. С. 42-44.
13. Медведева Н. В., Титов С. С. Неэндоморфные совершенные шифры с двумя шифрвеличинами // Прикладная дискретная математика. Приложение. 2015. №8. С. 63-66.
14. Гантмахер Ф.Р. Теория матриц. М.: Наука, 1967. 576 с.
15. Носов В. А., Сачков В. Н., Тараканов В. Е. Комбинаторный анализ (неотрицательные матрицы, алгоритмические проблемы) // Итоги науки и техники. Сер. Теор. вероятн. Мат. стат. Теор. кибернет. Т. 21. М.: ВИНИТИ, 1983. С. 120-178.
16. Converse G. and Katz M. Symmetric matrices with given row sums // J. Combin. Theory. 1975. Ser. A. V. 18. No. 2. P.171-176.
17. Lewin M. On the extreme points of the polytope of symmetric matrices with given row sums //
J. Combin. Theory. 1977. Ser.A. V.23. No.2. P.223-231.
18. Koontz M. Convex sets of some doubly stochastic matrices // J. Combin. Theory. 1978. Ser. A. V. 24. No. 1. P.111-112.
REFERENCES
1. Shennon K. Teoriya svyazi v sekretnykh sistemakh [Communication theory of secrecy systems]. Raboty po Teorii Informatsii i ibernetike. Moscow, Nauka Publ., 1963, pp. 333-402. (in Russian)
2. Andreev N. N., Peterson A. P., Pryanishnikov K. V., Starovoytov A. V. Osnovopolozhnik otechestvennoy zasekrechennoy telefonnoy svyazi [The founder of the national classified telephone]. Radiotekhnika, 1998, no. 8, pp. 8-12. (in Russian)
3. Zubov A. Yu. Sovershennye shifry [Perfect Ciphers]. Moscow, Gelios ARV Publ., 2003. 160 p. (in Russian)
4. Stinson D. R. A construction for authentication secrecy codes from certain combinatorial designs. Proc. Crypto’87. Advances in Cryptology, 1998, pp. 355-366.
5. De Soete M. Some constructions for authentication-secrecy codes. Proc. Crypto’87. Advances in Cryptology, 1998, pp. 57-75.
6. Goldlewsky P. and Mitchell C. Key-minimal cryptosystems for unconditional secrecy.
J. Cryptology, 1990, no. 1, pp. 1-25.
7. Alferov A. P., Zubov A. Yu., Kuzmin A. S., Cheremushkin A. V. Osnovy kriptografii [Basics of cryptography]. Moscow, Gelios ARV Publ., 2001. 480 p. (in Russian)
8. Babash A. V., Shankin G. P. Kriptografiya (aspekty zashchity) [Cryptography (protection aspects)]. Moscow, SOLON-R Publ., 2002. 512 p. (in Russian)
9. Brassar Zh. Sovremennaya kriptologiya [Modern Cryptology]. Moscow, POLIMED, 1999. 176 p. (in Russian)
10. Stinson D. R. Cryptography: Theory and Practice. N. Y., CRC Press, 1995. 616 p.
Описание неэндоморфных максимальных совершенных шифров
55
11. Birkhoff G. D Tres observations sobre el algebra lineal. Revista Universidad Nacional Tucuman, 1946, ser. A, vol. 5, pp. 147-151.
12. Medvedeva N. V., Titov S. S. O neminimal’nykh sovershennykh shifrakh [On non-minimal perfect ciphers]. Prikladnaya diskretnaya matematika. Prilozhenie, 2013, no. 6, pp. 42-44. (in Russian)
13. Medvedeva N. V., Titov S. S. Neendomorfnye sovershennye shifry s dvumya shifrvelichinami [Non-endomorphic perfect ciphers with two elements in plaintext alphabet]. Prikladnaya diskretnaya matematika. Prilozhenie, 2015, no. 8, pp. 63-66. (in Russian)
14. Gantmacher F. R. The Theory of Matrices. N. Y., Chelsea Publ. Company, 1959.
15. Nosov V. A., Sachkov V. N., Tarakanov V. E. Combinatorial analysis (nonnegative matrices, algorithmic problems). J. Soviet Math., 1985, vol. 29, no. 1, pp. 1051-1099.
16. Converse G. and Katz M. Symmetric matrices with given row sums. // J. Combin. Theory, 1975, ser. A, vol. 18, no. 2, pp. 171-176.
17. Lewin M. On the extreme points of the polytope of symmetric matrices with given row sums.
J. Combin. Theory, 1977, ser. A, vol. 23, no. 2, pp. 223-231.
18. Koontz M. Convex sets of some doubly stochastic matrices. J. Combin. Theory, 1978, ser. A, vol. 24, no. 1, pp. 111-112.
