Глава 4. Совершенная криптостойкость

Рассмотрим модель криптосистемы, в которой Алиса выступает источником сообщений $m \in {\mathbb{M}}$. Алиса использует некоторую функцию шифрования, результатом вычисления которой является шифртекст $c \in {\mathbb{C}}$:

$$c = E_{K_1}\left(m\right).$$

Шифртекст $c$ передаётся по открытому каналу легальному пользователю Бобу, причём по пути он может быть перехвачен нелегальным пользователем (криптоаналитиком) Евой.

Боб, обладая ключом расшифрования $K_2$, расшифровывает сообщение с использованием функции расшифрования:

$$m' = D_{K_2}\left(c \right).$$

Рассмотрим теперь исходное сообщение, передаваемый шифртекст и ключи шифрования (и расшифрования, если они отличаются) в качестве случайных величин, описывая их свойства с точки зрения теории информации. Далее полагаем, что в криптосистеме ключи шифрования и расшифрования совпадают.

Будем называть криптосистему корректной, если она обладает следующими свойствами:

легальный пользователь имеет возможность однозначно восстановить исходное сообщение, то есть:
$$H \left( M | C K \right) = 0, $$

$$m' = m$$
выбор ключа шифрования не зависит от исходного сообщения:
$$ I \left( K ; M \right) = 0, $$

$$ H \left( K | M \right) = H \left( K \right). $$

Второе свойство является в некотором виде условием на возможность отделить ключ шифрования от данных и алгоритма шифрования.