M_i - i-ый участник группы;

G - подгруппа Z_p ^* порядка q , где p и q – простые;

q - порядок алгебраической группы;

 , g - образующие элементы в группе G ;

x_i - долговременный секретный ключ M_i ;

r_i - случайное (секретное) число Î Z_q , вырабатываемое M_i ;

S_n - групповой ключ n участников;

S_n (M_i ) - вклад M_i -го участника в групповой ключ;

K_ij - долговременная секретная величина, выработанная M_i и M_{j ,} i ¹ j .

Все вычисления проводятся в циклической группе G простого порядка q, которая является подгруппой Z_p ^* порядка p , где p=kq+1 для некоторого kÎ[1] .

Для того, чтобы предотвратить атаки методами подмены или утечки секретных величин, каждый участник протокола должен иметь возможность проверить, что те значения, которые он получает, являются элементами подгруппы.

Заметим, что p и q – общие для всех пользователей. Поскольку они вырабатываются один раз, необходимо качественно проработать процесс генерации, чтобы исключить (возможно умышленное) получение слабых или каких-то специфических простых чисел. В частности, рекомендуется использовать метод из стандарта США, описанный в FIPS 186 или же на основе метода, изложенного в стандарте ГОСТ Р34.10-94.

В таком контексте, возможности активного противника довольно сильно ограничены. Действительно, любое сообщение может быть представлено как ^с mod p , где  образующий элемент циклической подгруппы Z_p ^* порядка q и c – некоторая экспонента. Получение c упирается в проблему дискретного логарифмирования.

2 Протоколы аутентичного обмена ключами

Простейшей схемой получения общего ключа является схема с доверенным сервером, в котором кто-либо посылает ему запрос на связь с другими абонентами, и сервер рассылает каждому абоненту общий ключ для связи внутри группы и список участников группы, зашифрованные ключом абонента. Но при такой схеме возникают сложности при высокой динамичности группы, обусловленные невозможностью одновременной обработки сервером большого числа запросов. Поэтому рассмотрим некоторые специально созданные протоколы для получения общего ключа участниками группы.

В рамках предварительного знакомства приведем аутентичный обмен для выработки ключа для двух сторон. Затем приведем расширение этого протокола для n сторон. Приводимые протоколы базируются на схеме Диффи-Хеллмана.

2.1 Протоколы A-DH, GDH.2 и A-GDH.2

Прежде чем привести описание протокола аутентичного обмена для двух сторон A-DH, важно подчеркнуть, что существует множество разнообразных протоколов аутентичного обмена для выработки ключа, но одни из них не поддерживают двусторонний вклад в общий ключ (как в El Gamal), другие требуют большого числа сообщений или предполагают априорный доступ к сертифицированным долговременным ключам. Многие не обладают свойством PFS . Поэтому, наиболее подходящим протоколом для групп в соответствии с [1] считают A-DH. Необходимо также отметить, что протокол предполагает наличие у участников аутентичных открытых ключей друг друга.

Очевидно, что в полученном в результате ключе имеется вклад обоих сторон (т.к. r1 и r2 случайны и вырабатываются разными сторонами), т.е. протокол обладает контрибутивностью . В то же время обеспечивается аутентификация ключа, поскольку при его формировании участвуют открытые ключи обоих абонентов, которые переданы по аутентичному каналу.

Теорема 2.1.1 Протокол A-DH обеспечивает свойство PFS.

Док-во: предположим, что долговременный ключ K=F( ^x1x2 mod p ) скомпрометирован. Противник знает  ^r1 и  ^(r2K)K-1 mod p º ^r2 . При данных условиях вычисление сеансового ключа S₂ = ^r2r1 mod p эквива-лентно решению проблемы DH (Диффи-Хеллмана) для групп простого порядка. #

Рассмотрим теперь протокол Диффи-Хеллмана для групп [2].