Р 1323565.1.022-2018. Рекомендации по стандартизации. Информационная технология. Криптографическая защита информации. Функции выработки производного ключа

(утв. и введены в действие Приказом Росстандарта от 14.12.2018 № 1103-ст)

Утверждены и введены в действие Приказом Федерального агентства по техническому регулированию и метрологии от 14 декабря 2018 г. № 1103-ст

РЕКОМЕНДАЦИИ ПО СТАНДАРТИЗАЦИИ

ИНФОРМАЦИОННАЯ ТЕХНОЛОГИЯ

КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

ФУНКЦИИ ВЫРАБОТКИ ПРОИЗВОДНОГО КЛЮЧА

Information technology. Cryptographic data security. Key derivation functions

Р 1323565.1.022-2018

ОКС 35.040

Дата введения 1 мая 2019 года

Предисловие

1 РАЗРАБОТАНЫ Центром защиты информации и специальной связи ФСБ России с участием ОАО «Информационные технологии и коммуникационные системы» (ОАО «ИнфоТеКС»)

2 ВНЕСЕНЫ Техническим комитетом по стандартизации ТК 026 «Криптографическая защита информации»

3 УТВЕРЖДЕНЫ И ВВЕДЕНЫ В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 14 декабря 2018 г. № 1103-ст

4 ВВЕДЕНЫ ВПЕРВЫЕ

Правила применения настоящих рекомендаций установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об изменениях к настоящим рекомендациям публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящих рекомендаций соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Задача выработки производных ключей для различных криптографических механизмов на основании некоторой исходной ключевой информации, полученной, например, в результате выполнения протоколов выработки общего ключа, часто возникает в средствах криптографической защиты информации. В настоящее время в национальной системе стандартов и рекомендаций по стандартизации есть отдельные преобразования (см. [1]), реализующие функции выработки производных ключей.

Необходимость разработки настоящих рекомендаций вызвана потребностью в создании общей конструкции выработки производных ключей на основании национальных стандартов, использующей различные криптографические преобразования и обладающей большой гибкостью в эксплуатации.

Настоящие рекомендации определяют функции выработки производных криптографических ключей и используют в качестве базового преобразования криптографические алгоритмы хэширования, определенные в ГОСТ Р 34.11-2012, и алгоритмы шифрования, определенные ГОСТ Р 34.12-2015, в режиме выработки имитовставки согласно ГОСТ Р 34.13-2015.

1 Область применения

При реализации средствами криптографической защиты информации (СКЗИ) нескольких криптографических функций возникает необходимость использования для механизмов, реализующих каждую из функций, различных ключей, выработанных из исходной ключевой информации. Исходной ключевой информацией может являться, например, заранее распределенный ключ или ключ, полученный в результате выполнения протоколов выработки общего ключа.

Функции выработки производных ключей осуществляют криптографическое преобразование исходной ключевой информации с использованием дополнительных открытых данных с целью получения ключей для дальнейшего использования в различных функциях. Функции, описываемые настоящим документом, дополняют существующую систему национальных стандартов и методических рекомендаций в области криптографической защиты информации в части реализации криптографических функций по выработке производных ключей.

2 Нормативные ссылки

В настоящих рекомендациях использованы нормативные ссылки на следующие стандарты:

ГОСТ Р 34.11-2012 Информационная технология. Криптографическая защита информации. Функция хэширования

ГОСТ Р 34.12-2015 Информационная технология. Криптографическая защита информации. Блочные шифры

ГОСТ Р 34.13-2015 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров

Примечание - При пользовании настоящими рекомендациями целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящих рекомендаций в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

3 Термины, определения и обозначения

3.1 Термины и определения

В настоящих рекомендациях применены следующие термины с соответствующими определениями:

3.1.1 производный ключ: Криптографический ключ, получаемый из производной ключевой информации путем отбрасывания части символов.

3.1.2 производная ключевая информация: Последовательность символов, вырабатываемая из исходной ключевой информации и общеизвестных данных в результате работы функций выработки производных ключей.

3.1.3 исходная ключевая информация: Совокупность данных, предназначенных для выработки по определенным правилам криптографических ключей.

3.1.4 криптографический ключ: Изменяемый параметр в виде последовательности символов, определяющий криптографическое преобразование.

3.1.5 промежуточный ключ: Криптографический ключ, вырабатываемый из исходной ключевой информации и используемый для дальнейшей выработки производных ключей.

3.2 Обозначения

В настоящих рекомендациях использованы следующие обозначения:

Vn — множество всех n-мерных двоичных (битовых) строк, т.е. строк с компонентами из поля GF(2), где n — целое неотрицательное число. Нумерация подстрок и компонент строк осуществляется справа налево, начиная с нуля. При этом V0 — множество, единственным элементом которого является пустая строка;

V* — множество всех двоичных строк конечной длины, включая пустую строку;

|A| — число компонент (длина) строки A \in V* ;

APB — конкатенация строк A,B \in V* , т.е. строка из V|A|+|B|, в которой левая подстрока из V|A| совпадает со строкой A, а правая подстрока из V|B| совпадает со строкой B;

An — конкатенация n экземпляров строки A;

- операция покомпонентного сложения по модулю 2 двух двоичных строк одинаковой длины;

LBn — операция взятия левой подстроки длины n: LB_{n}:V*\U_{i = 0}^{n - 1}V_{i} \rightarrow V_{n} , для M \in V*\U_{i = 0}^{n - 1}V_{i} , M = APB, где |A| = n, |B| = |M| — n, полагают LBn(M) = A;

RBn — операция взятия правой подстроки длины n: RB_{n}:V*\U_{i = 0}^{n - 1}V_{i} \rightarrow V_{n} , для M \in V*\U_{i = 0}^{n - 1}V_{i} , M = APB, где |A| = |M| — n, |B| = n, полагают RBn(M) = B;

Hash(n) — функция хэширования с хэш-кодом длиной n бит (_{n \in}{_{256,512}}) , определяемая ГОСТ Р 34.11-2012, Hash(n): V* \rightarrow V_{n} ;

MAC(n) — ключевая функция хэширования, вырабатывающая имитовставку длины n с использованием ключа K \in V_{k} , MAC(n): V_{k} \times V* \rightarrow V_{n} ; также будем использовать обозначение MAC_{(K)}^{n}( \cdot ) = MAC^{(n)}(K, \cdot ) ;

CMAC(n) — ключевая функция хэширования, вычисляющая имитовставку длины n, определяемая по ГОСТ Р 34.13-2015, подраздел 5.6;

format — функция форматирования входных данных format: (V*)^{6} \rightarrow V* ;

S \in V* — исходная ключевая информация;

C \in V* — представление числа, используемого в итеративных конструкциях в качестве счетчика. Способ представления счетчика должен быть согласован между участниками информационного обмена;

P \in V* — метка использования — двоичная строка, содержащая информацию об использовании вырабатываемых производных ключей. Может содержать, например, информацию о конкретном механизме, для которого предназначается производный ключ (ключ шифрования ключей, ключ шифрования данных, ключ имитозащиты и т.п.) или, в случае одновременной выработки ключей для нескольких примитивов, информацию о разделении производного ключевого материала на различные производные ключи; допустимые значения и способ представления должны быть согласованы между участниками информационного обмена;

U \in V* — информация об участниках информационного обмена, которыми предполагается использование вырабатываемой ключевой информации; может включать в себя идентификаторы пользователей и прочую информацию, известную всем участникам, вырабатывающим производную ключевую информацию;

A \in V* — некоторая дополнительная информация, используемая при выработке производной ключевой информации, например, метка времени;

L \in V* — длина (в двоичной записи) вырабатываемого производного ключевого материала в битах;

T \in V* — соль — случайная строка фиксированной длины, обычно вырабатываемая в момент выполнения алгоритма.

4 Общие положения

Описываемые настоящим документом функции выработки производных ключей принимают на вход шесть аргументов: исходную ключевую информацию S, длину производной ключевой информации L, соль T, метку использования P, информацию о субъектах U, дополнительную информацию A. Функции состоят из двух этапов. На первом этапе из исходной ключевой информации и соли вырабатывается промежуточный ключ длины 256 бит. Полученный промежуточный ключ вместе с остальными входными параметрами используется на втором этапе функций, выходом которых является производный ключевой материал Ko длины L.

5 Описание функций

Общая схема функций выработки производных ключей kdf(S,L,T,P,U,A) определяется следующей последовательностью действий:

• вычисляют K(1) = kdf(1)(T,S);
• вычисляют K(2) = kdf(2)(K(1),L,P,U,A);
• полагают, что Ko = kdf(S,T,L,P,U,A) = K(2).

Здесь kdf(i), {}_{i \in}{_{1,2}} — преобразования, выполняемые на первом и втором этапах, K^{(1)} \in V_{256} — промежуточный ключ.

5.1 Вспомогательные преобразования

В предлагаемых функциях выработки производных ключей используют ключевые функции хэширования HMAC и NMAC [2], в качестве бесключевых функций хэширования в которых используют функции, определяемые ГОСТ Р 34.11-2012. Конструкцию HMAC определяют, следуя [1] и [2], при этом можно использовать функции хэширования с хэш-кодами длины 256 и 512 бит:

HMAC_{(K)}^{n}(X) = Hash^{(n)}[(KC_{OUT})PHash^{(n)}((KC_{IN})PX)] . (1)

Конструкцию NMAC определяют, следуя [2], причем в качестве внутренней функции используют Hash(512), а в качестве внешней функции — Hash(256):

NMAC_{K}^{(256)}(X) = Hash^{(256)}[(KC_{OUT})PHash^{(512)}((KC_{IN})PX)] . (2)

Здесь аргументы X,K \in V* , а CIN и COUT — константы, одинаковые для обеих конструкций, определяемые в [2] как:

CIN = (00110110)64,

COUT = (01011100)64.

5.2 Выработка промежуточного ключа

В качестве функции выработки промежуточного ключа kdf(1) допускается использовать одну из трех конструкций.

Первая конструкция основана на функции NMAC (2):

K^{(1)} = NMAC_{T}^{(256)}(S) , |T| <= 512.

Вторая конструкция основана на алгоритме выработки имитовставки HMAC (1) с использованием хэш-функции с хэш-кодом длиной 512 бит и завершающим усечением:

K^{(1)} = LB_{256}(HMAC_{T}^{(512)}(S)) , |T| <= 512.

Третья конструкция является упрощенной и может использоваться только в случае, когда исходная ключевая информация является ключом длины 256 бит, S \in V_{256} :

K^{(1)} = ST , |T| = 256.

Примечание - При использовании данной конструкции предполагают, что исходная ключевая информация имеет требуемую длину (256 бит), а также удовлетворяет требованиям к криптографическим ключам, определяемым разработчиком СКЗИ.

5.3 Выработка производного ключевого материала

Преобразование второго этапа предлагаемых функций kdf(2) заключаются в выработке выходной последовательности с использованием ключевой функции хэширования с хэш-кодом длиной n. В качестве ключа функции хэширования используют выработанный на первом этапе промежуточный ключ K(1). В качестве информационного входа (сообщения) используют все остальные аргументы kdf(2), представленные некоторым образом в виде двоичной строки с использованием процедуры форматирования format.

В общем виде преобразование второго этапа описывают следующим образом:

В качестве ключевой функции хэширования MAC можно использовать: ключевую функцию хэширования CMAC_{(K)}^{n} , ключевую функцию хэширования HMAC_{(K)}^{n} , ключевую функцию хэширования NMAC_{K}^{(256)} .

Все участники информационного обмена должны согласовать использование одинаковых алгоритмов в качестве MAC. Также участниками информационного обмена должно быть согласовано значение IV. При этом его можно вычислять при каждом запуске алгоритма, оно может быть долговременным параметром или быть постоянным.

6 Форматирование данных

Процедура форматирования данных format заключается в формировании строки V*, подаваемой на вход алгоритма MAC, из набора входных аргументов функций. Как и в случае выбора алгоритма MAC, все участники информационного обмена должны согласовать процедуру форматирования данных.

К процедуре форматирования данных предъявляют следующие требования:

• процедура форматирования данных может существенно не зависеть от части своих параметров, но должна существенно зависеть от всех бит zi-1 или от всех бит счетчика Ci;
• процедура форматирования должна быть инъективной (т.е. не допускать коллизий) при всевозможных значениях существенных параметров;
• процедура форматирования данных должна задавать длины полей, соответствующих представлениям различных аргументов;
• процедура форматирования должна быть эффективно реализуемой.

Приложение А (справочное)

ПРИМЕР ПРОЦЕДУРЫ ФОРМАТИРОВАНИЯ ДАННЫХ

В настоящем приложении дано описание семейства из 48 различных процедур форматирования данных, отличающихся друг от друга набором переменных, являющихся существенными. Пусть f \in V_{8} , f = (f7, ..., f0) — массив «флагов», сигнализирующих о существенной зависимости выхода процедуры форматирования от всех бит одного из входов. Каждой переменной соответствует один флаг fi (см. таблицу А.1). Если процедура форматирования существенно зависит от всех бит некоторого входа, то значение флага равно 1, а в противном случае — равно 0. Флаги f0, f1 не используют, хотя бы один из флагов f7 и f6 должен быть равен 1.

Таблица А.1

Соответствие флагов и переменных

Флаг	f7	f6	f5	f4	f3	f2	f1	f0
Переменная	Ci	zi-1	L	P	U	A	0	0

Процедура форматирования выглядит следующим образом:

format(z_{i - 1},C_{i},P,U,A,L) = f_{8}PC_{256i}Pz_{5i1 - 21}P_{2}L_{48}P_{2}P_{56}PU_{128}P_{1}A_{28},

где под каждой переменной указана длина поля в битах, используемого для записи значения этой переменной. Длина записи каждой из входных переменных не должна превосходить длину поля, отведенного под эту переменную в выходной строке процедуры форматирования. С учетом размера поля для L длина вырабатываемого ключевого материала при использовании описанной процедуры форматирования не может превышать 2248 — 1 бит. В случае если какую-либо из переменных по существу не используют, то соответствующее поле заполняют нулями.

Длины полей для L, P, U, A могут быть увеличены или уменьшены исходя из эксплуатационных условий и требований для каждого конкретного СКЗИ.

Библиография

[1]	Р 50.1.113-2016	Информационная технология. Криптографическая защита информации. Криптографические алгоритмы, сопутствующие применению алгоритмов электронной цифровой подписи и функции хэширования
[2]	Bellare, M. New Proofs for NMAC and HMAC: Security without collision resistance / M. Bellare // Advances in Cryptology — CRYPTO 2006, 26th Annual International Cryptology Conference, Santa Barbara, California, USA, August 20 — 24, 2006, Proceedings / ed. by C. Dwork. V. 4117 of Lecture Notes in Computer Science. Springer, 2006. P. 602 — 619

---