Михаил Масленников - Криптография и свобода
Да, безусловно, все это так. Но когда-то обязательно от всего этого наступает усталость: усталость от положения безропотного винтика, от ежедневного контролера, от пустых обещаний квартиры, машины, гаража, дачи и еще бог знает чего, что я в избытке получал за годы своей службы в КГБ, от общей обстановки в стране, которой ты служишь. Со сталинских времен вся наша промышленность работала практически только на оборону, вся страна являлась большим лагерем, а за опоздание на работу отдавали под суд. Но постепенно стало ясно, что танками и ракетами людей не накормишь, что те страны, где выпускают качественные и конкурентоспособные товары для людей, бытовую электронику, легковые автомобили, одежду, продукты и прочие товары ширпотреба быстро развиваются и богатеют, а сталинский стиль в конечном итоге приводит к застою и упадку экономики.
Сталинский стиль в криптографии – это когда вся криптография должна принадлежать государству и работать только на государственные и военные цели, когда все криптографы – это винтики в большой государственной криптографической машине, руководимой криптографическим вождем наверху и массой чиновников-подхалимов снизу. Свободная конкуренция, рынок криптографических идей и предложений – исключены.
А свободная, ориентированная на потребности людей, а не вождей, экономика требует и свободной криптографии, простой, понятной, доступной, надежной, не связанной с прихотями чиновников. К таким требованиям советская криптография в конце 80 годов была явно не готова и при безусловно высоком уровне ее развития в СССР все мировые рынки сбыта оказались захваченными американцами практически безо всякой конкуренции со стороны уже «свободной» России. Машина и винтики вчистую проиграли борьбу за мировое влияние, за немалые криптографические деньги.
О Вадиме Евдокимовиче Степанове еще пойдет речь в этой книге. Сейчас же, рассказывая о нем, как о преподавателе теории вероятности, я могу сказать только одно: нашему курсу посчастливилось учиться у такого человека. Это был Профессионал с большой буквы. На мой взгляд, это – первично.
Но вернемся на факультет. Преподаватели математики, да и сама обстановка на 4 факультете казались более раскрепощенными, демократичными, чем та, в которую я попал позже в Теоретическом отделе Степанова. С одной стороны, университетская среда, порядки и обычаи просто по определению должны сочетаться со свободой, свободой жизни и творчества. А с другой – наглядный пример «истинных» военных был всегда рядом, перед глазами, постоянно напоминал о трагических последствиях увлечения хождением строем.
И вот начались спецдисциплины, т.е. предметы, непосредственно связанные с криптографией: основы криптографии, теория дисковых шифраторов, теория электронных шифраторов, теория шифрующих автоматов. Многое из того, о чем шла речь на этих лекциях, сейчас открыто опубликовано и обсуждается в INTERNET, что-то уже безнадежно устарело, как, например, теория дисковых шифраторов. Однако в большинстве случаев, о которых нам тогда рассказывали, речь шла об аппаратной реализации шифраторов, об изучении реализуемых преобразований над полем GF(2), состоящем только из двух элементов – 0 и 1. Электронный шифратор – это аппаратная схема на типовых логических элементах, описываемых простейшими операциями математической логики: сложением и умножением по модулю 2, а также отрицанием. Такие логические элементы сплетаются друг с другом множеством проводов, образуя в результате преобразование некоторого двоичного вектора-ключа, из которого вырабатывается двоичная гамма наложения на опять же двоичный открытый текст. Но уже тогда, в середине 70–х годов, было ясно, что типовые логические элементы и провода устаревают, что на смену им приходят интегральные микросхемы, содержащие встроенный процессор с возможностью выполнения гораздо более сложных преобразований, чем это можно сделать с помощью множества плат с проводами и транзисторами. В интегральных микросхемах уже не возятся с отдельными битами, а вся информация одновременно обрабатывается в них векторами, содержащими по несколько (обычно по 8) бит, байтами. А все предыдущие криптографические результаты в теории электронных шифраторов получены в предположении, что основной единицей информации является бит. Если «битовую» криптосхему напрямую использовать для реализации с помощью интегрального микропроцессора, то это будет очень примитивно, тривиально, приведет к неполному использованию всех преимуществ процессора, в конечном счете – к потере эффективности, скорости работы криптосхемы. А скорость работы при шифровании, например, высокоскоростного канала, передающего телевизионное изображение, играет первостепенную роль.
И вот в далеком 1975 году кафедра математики 4 факультета ВКШ КГБ начинает серию научно-исследовательских работ, призванных заложить основы шифров на новой элементной базе, в которых основным элементом будет не бит, а сразу двоичный вектор, байт. Кафедра математики, ее преподаватели пользуются огромным уважением у студентов-слушателей, к этой НИР привлекаются лучшие из них, готовятся и защищаются многие дипломы и диссертации. Неторопливо, шаг за шагом, нанизываются цепочки теорем, призванных обосновать выбор криптосхемы, гарантировать криптографические свойства, доказываются предельные теоремы и групповые свойства.
Вообще-то, середину 70–х годов я бы обозначил как водораздел в криптографии. В Америке появляется криптография с открытым распределением ключей, все существовавшие до нее криптографические системы блекнут перед теми преимуществами, которые таят в себе открытые ключи. Простота обмена ключевой информацией при системе с открытым распределением ключей дает возможность использовать надежную криптографическую защиту не только для военных или правительственных линий связи, но и в повседневной жизни практически любому человеку. Через 20-25 лет, в 90–х годах, так и будет, появится общедоступная гражданская криптография. Такие события, как открытие систем с открытым распределением ключей, случаются в истории крайне редко, честь первооткрывателей здесь принадлежит американцам. Однако система с открытым распределением ключей (или, как ее называют иначе, асимметричная система шифрования) не позволяет шифровать данные с высокой скоростью. Для гражданской криптографии появляется потребность в общедоступной высокоскоростной системе традиционного, симметричного шифрования, а асимметричная система используется только для шифрования ключей к симметричному шифру.
В 1979 году американцы впервые открыто публикуют алгоритм симметричного шифрования DES, предназначенный не для военных целей, а для коммерческих шифров, к которым в мире начинает проявляться большой интерес. Возможность военного противостояния — вещь эфемерная, выигрывает не тот, у кого больше ракет и танков, а тот, у кого народ лучше одет и накормлен, живет в хороших домах, ездит на дорогих автомобилях и не мается в очередях за туалетной бумагой. И обеспечивают благосостояние не добрые дяди из Госплана, а коммерческие фирмы, коммерческие банки, дорожащие каждым своим клиентом.
Первый же беглый анализ показывает, что алгоритм DES – устаревший, ориентированный именно на биты, а не на байты. Следовательно, он не может обеспечить высокой скорости шифрования при использовании в интегральных микросхемах, в компьютерах при программной реализации. Ну а по части стойкости – не надо петь хвалебных песен, что он сильно стойкий. Схема, с точки зрения криптоанализа, действительно ломовая, но далеко не оптимальная по скорости и сложности программной реализации. Придумывать танки мы и сами умеем не хуже американцев, а здесь появляется уникальная возможность ответить на американский танк советской легковой гоночной машиной, ничем не хуже танка, и посоревноваться с американцами в коммерческой криптографии.
Реально в конце 70–х – начале 80–х годов, усилиями кафедры математики 4 факультета ВКШ КГБ, в Советском Союзе был весьма достойный ответ на американский DES: шифры на новой элементной базе. Их скорость шифрования была на порядок выше, чем у DES.
Что было дальше – искушенный в советской действительности читатель уже без труда догадался. Правда, вопрос о том, делать или не делать советский стандарт шифрования, в повестке дня не стоял: раз американцы выпустили свой DES, то мы должны дать свой ответ, несмотря на то, что само словосочетание «гражданская криптография» вызывало у тогдашних криптографических начальников аллергию. А какой ответ? Вариантов несколько.
1) Разломать DES и раструбить об этом на весь мир. Проехали. Не ломается.
2) Сделать общедоступный советский стандарт шифрования, еще лучший чем DES, например на основе шифров на новой элементной базе. «А каких-то важных секретов американцам не выдадим?
