1 РАЗРАБОТАНЫ Акционерным обществом "Информационные технологии и коммуникационные системы" (АО "ИнфоТеКС")

2 ВНЕСЕНЫ Техническим комитетом по стандартизации ТК 26 "Криптографическая защита информации"

3 УТВЕРЖДЕНЫ И ВВЕДЕНЫ В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 20 октября 2022 г. N 1160-ст

4 ВЗАМЕН Р 50.1.111-2016

Настоящие рекомендации базируются на документе [1], который содержит рекомендации по реализации криптографических механизмов при использовании низкоэнтропийных данных (пароля пользователя), и расширяют его в плане применения соответствующих российских криптографических алгоритмов.

Данное расширение позволяет, не нарушая исходных принципов работы схем выработки общей ключевой информации из парольной информации, использовать в нем криптографические механизмы, приведенные в национальных стандартах Российской Федерации.

Разработка настоящих рекомендаций вызвана необходимостью создания решения, корректно использующего национальные криптографические стандарты для процедур взаимодействия сторон, обеспечивающих безопасную выработку общей ключевой информации при наличии общих исходных данных с низкой энтропией.

Примечание - Настоящие рекомендации дополнены приложениями А и Б.

Настоящие рекомендации предназначены для применения в информационных системах, использующих механизмы шифрования и обеспечения конфиденциальности и аутентификации данных, с реализацией алгоритмов шифрования согласно ГОСТ Р 34.12-2015 и функции хэширования согласно ГОСТ Р 34.11-2012 для защиты информации, не содержащей сведений, составляющих государственную тайну. Описанные в данных рекомендациях методы предназначены для выработки ключевой информации с использованием пароля пользователя и обеспечения конфиденциальности и опционально аутентификации данных с использованием выработанной ключевой информации. Информация, защищенная с использованием описываемых методов, может передаваться по доверенным каналам связи или храниться при соблюдении дополнительных организационных мер, ограничивающих к ней доступ.

В настоящих рекомендациях использованы нормативные ссылки на следующие документы:

ГОСТ Р 34.11-2012 Информационная технология. Криптографическая защита информации. Функция хэширования

ГОСТ Р 34.12-2015 Информационная технология. Криптографическая защита информации. Блочные шифры

ГОСТ Р 34.13-2015 Информационная технология. Криптографическая защита информации. Режимы работы блочных шифров

Р 50.1.113-2016 Информационная технология. Криптографическая защита информации. Криптографические алгоритмы, сопутствующие применению алгоритмов электронной цифровой подписи и функции хэширования

Р 1323565.1.017-2018 Информационная технология. Криптографическая защита информации. Криптографические алгоритмы, сопутствующие применению алгоритмов блочного шифрования

Р 1323565.1.025-2019 Информационная технология. Криптографическая защита информации. Форматы сообщений, защищенных криптографическими методами

Примечание - При пользовании настоящими рекомендациями целесообразно проверить действие ссылочных документов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный документ, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого документа с учетом всех внесенных в данную версию изменений. Если заменен ссылочный документ, на который дана датированная ссылка, то рекомендуется использовать версию этого документа с указанным выше годом утверждения (принятия). Если после утверждения настоящих рекомендаций в ссылочный документ, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный документ отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

В настоящих рекомендациях использованы следующие обозначения:

HMAC_GOSTR3411(K, T) - значение кода аутентификации сообщения, вычисленное для сообщения T на ключе K по алгоритму HMAC_GOSTR3411_2012_512, определенному в Р 50.1.113-2016, длина значения равна 512 битам;

P - пароль, представляющий собой символьную строку в кодировке Unicode UTF-8;

S - значение синхропосылки, выбираемое по схеме равновероятного выбора без возвращения из множества B_n, где n = 8, ..., 32;

c - число итераций алгоритма выработки ключа из пароля;

dkLen - длина выходной последовательности (в байтах);

DK - производный ключ длины dkLen;

- операция покомпонентного сложения по модулю 2 двух двоичных строк одинаковой длины;

B_n - множество байтовых строк длины n, n >= 0. Строка b = (b_n, ..., b₁) принадлежит множеству B_n, если . При n = 0 множество B_n состоит из единственной пустой строки длины 0;

- конкатенация двух байтовых строк ( и ), то есть строка ;

- функция усечения байтовой строки до размера r путем взятия старших r байт, то есть ;

- функция усечения байтовой строки до размера r путем взятия младших r байт, то есть ;

Int(i) - представление целого неотрицательного числа i < 2³² в виде байтовой строки длины , такой, что i = i₁ + i₂·2⁸ + i₃·2¹⁶ + i₄·2²⁴;

b[i..j] - строка , где 1 <= i < j s и ;

- целая часть сверху числа x, то есть .

Для выработки ключа DK из пароля P кроме самого пароля используются следующие параметры:

- значение синхропосылки S;

- число итераций c;

- длина выходной последовательности dkLen (в байтах).

Рекомендуемый способ выбора пароля P и значения его длины приведены в приложении А. Для одного и того же значения пароля значение синхропосылки S должно выбираться по схеме равновероятного выбора без возвращения из множества B_n, где n = 8, ..., 32. Рекомендуемое значение n = 32. Число итераций c должно выбираться в зависимости от условий эксплуатации и длины пароля (рекомендуемые значения приведены в приложении А).

Ключ DK вычисляется с помощью функции диверсификации PBKDF2 (P, S, c, dkLen) с использованием в качестве псевдослучайной функции PRF функцию HMAC_GOSTR3411:

Функцию диверсификации вычисляют по следующему алгоритму:

- если dkLen > (2³² - 1)·64, то алгоритм завершает работу с ошибкой (неверные параметры);

- вычисляют ;

- для каждого i от до n вычисляют набор значений:

- ключ DK вычисляют как конкатенацию байтовых строк T(i) с последующим усечением полученной последовательности до длины dkLen выходной последовательности:

Контрольные примеры для различных значений параметров приведены в приложении Б.

В данном разделе описана схема шифрования данных PBES2 на ключе DK с использованием ГОСТ Р 34.12-2015 в режиме CTR-ACPKM согласно Р 1323565.1.017-2018.

Процесс зашифрования данных M в схеме PBES2 осуществляется следующим образом:

- выбирается случайное значение S размерности от 8 до 32 байт. Рекомендуемая размерность - 32 байта;

- выбирается число итераций c в зависимости от условий эксплуатации и длины пароля (рекомендуемые значения приведены в приложении А);

- устанавливается значение dkLen = 32;

- ключ шифрования данных DK вычисляется с помощью функции диверсификации согласно алгоритму из раздела 4 с использованием параметров S, c, dkLen, то есть DK = PBKDF2(P, S, c, 32);

- значение ukm выбирается случайно равновероятно из множества B_n, где n принимает значение 12 или 16 байт в зависимости от выбранного алгоритма шифрования. Для обработки каждого отдельного сообщения на одном начальном ключе используется уникальное значение ukm:

- устанавливается значение синхропосылки S' = ukm[1..n-8];

- для алгоритмов id-gostr3412-2015-magma-ctracpkm и id-gostr3412-2015-kuznyechik-ctracpkm данные зашифровываются в соответствии с ГОСТ Р 34.12-2015 в режиме CTR-ACPKM согласно Р 1323565.1.017-2018, в качестве начального ключа используется значение DK, в качестве синхропосылки - значение S';

- для алгоритмов id-gostr3412-2015-magma-ctracpkm-omac и id-gostr3412-2015-kuznyechik-ctracpkm-omac данные зашифровываются в соответствии с ГОСТ Р 34.12-2015 в режиме CTR-ACPKM согласно Р 1323565.1.017-2018 на ключе DK с использованием ukm следующим образом:

а) из ключа DK с использованием алгоритма KDF_TREE_GOSTR3411_2012_256 согласно Р 50.1.113-2016 вырабатывается два ключа:

1) ключ шифрования сообщения K(1);

2) ключ имитозащиты K(2);

входные параметры для алгоритма KDF_TREE_GOSTR3411_2012_256 принимают следующие значения:

K_in = D_K

label = "kdf tree"

seed = ukm[n-7..n]

R = 1;

б) с использованием ключа имитозащиты K(2), выработанного из DK, осуществляется вычисление имитовставки mac для открытых данных M в соответствии с ГОСТ Р 34.12-2015 в режиме выработки имитовставки согласно ГОСТ Р 34.13-2015. Значение имитовставки mac добавляется в конец открытых данных;

в) полученная строка M||mac зашифровывается с использованием ключа шифрования K(1), выработанного из DK в соответствии с ГОСТ Р 34.12-2015 в режиме CTR-ACPKM согласно Р 1323565.1.017-2018, с начальным значением S' согласно выбранному алгоритму шифрования;

- параметры S, c, ukm сохраняют в качестве параметров алгоритмов в соответствии с разделом 7.

Процесс расшифрования данных C с использованием параметров S, c, ukm в схеме PBES2 осуществляется следующим образом:

- устанавливается значение dkLen = 32;

- ключ расшифрования данных DK вычисляется с помощью функции диверсификации согласно алгоритму из раздела 4 с использованием параметров S, c, dkLen, то есть DK = PBKDF2(P, S, c, 32);

- устанавливается значение синхропосылки S' = ukm[1..n-8], где n - размерность ukm в байтах;

- для алгоритмов id-gostr3412-2015-magma-ctracpkm и id-gostr3412-2015-kuznyechik-ctracpkm данные расшифровываются в соответствии с ГОСТ Р 34.12-2015 в режиме CTR-ACPKM согласно Р 1323565.1.017-2018 на ключе DK с начальным значением S';

- для алгоритмов id-gostr3412-2015-magma-ctracpkm-omac и id-gostr3412-2015-kuznyechik-ctracpkm-omac данные расшифровываются в соответствии с ГОСТ Р 34.12-2015 в режиме CTR-ACPKM согласно Р 1323565.1.017-2018 на ключе DK с использованием ukm следующим образом:

а) из ключа DK с использованием алгоритма KDF_TREE_GOSTR3411_2012_256 согласно Р 50.1.113-2016 вырабатывается два ключа:

1) ключ шифрования сообщения K(1);

2) ключ имитозащиты K(2);

входные параметры для алгоритма KDF_TREE_GOSTR3411_2012_256 принимают следующие значения:

K_in = DK

label = "kdf tree"

seed = ukm[n-7..n]

R = 1;

б) с использованием ключа K(1), выработанного из DK, осуществляется расшифрование данных C в соответствии с ГОСТ Р 34.12-2015 в режиме CTR-ACPKM согласно Р 1323565.1.017-2018. Расшифрованные данные M' представляются в виде конкатенации данных M' = M||mac, где длина данных mac определяется исходя из выбранного алгоритма шифрования;

в) для полученных расшифрованных данных M с помощью ключа имитозащиты K(2), выработанного из DK, осуществляется вычисление имитовставки в соответствии с ГОСТ Р 34.12-2015 в режиме выработки имитовставки согласно ГОСТ Р 34.13-2015;

г) вычисленное значение имитовставки сравнивается с полученным значением mac. При несовпадении размеров или значений сообщение считается искаженным.

В данном разделе описана схема PBMAC1 вычисления контрольной суммы передаваемых данных на основе функции HMAC_GOSTR3411.

Процесс вычисления контрольной суммы в схеме PBMAC1 выглядит следующим образом:

- выбирается случайное значение S размерности от 8 до 32 байт. Рекомендуемая размерность - 32 байта;

- выбирается число итераций c в зависимости от условий эксплуатации и длины пароля (рекомендуемые значения приведены в приложении А);

- устанавливается значение dkLen не менее 32 байт. Значение dkLen выбирается в зависимости от выбранного механизма защиты, использующего выработку ключа из пароля;

- вычисляется последовательность K с помощью функции диверсификации согласно алгоритму из раздела 4 с использованием параметров S, c, dkLen, то есть K = PBKDF2(P, S, c, dkLen);

- для получения контрольной суммы вычисляется ключ DK путем усечения последовательности K до 32 байт следующим образом: ;

- осуществляется процесс вычисления контрольной суммы с использованием в качестве алгоритма вычисления контрольной суммы функции HMAC_GOSTR3411 на ключе DK;

- параметры S, c сохраняют в качестве параметров алгоритмов в соответствии с разделом 7.3.

Процесс проверки контрольной суммы с использованием параметров S, c в данной схеме PBMAC1 выглядит следующим образом:

- устанавливается значение dkLen не менее 32 байт. Значение dkLen выбирается в зависимости от выбранного механизма защиты, использующего выработку ключа из пароля;

- вычисляется последовательность K с помощью функции диверсификации согласно алгоритму из раздела 4 с использованием параметров S, c, dkLen, то есть K = PBKDF2(P, S, c, dkLen);

- для получения контрольной суммы вычисляется ключ DK путем усечения последовательности K до 32 байт следующим образом: ;

- осуществляется процесс вычисления контрольной суммы в соответствии с выбранным алгоритмом вычисления контрольной суммы на ключе DK;

- исходная и полученная контрольные суммы сравниваются между собой. При несовпадении размеров или значений сообщение считается искаженным.

Объектный идентификатор для схемы PBKDF2:

Параметры алгоритма:

Поля структуры PBKDF2-params имеют следующий смысл:

- salt - поле должно содержать значение синхропосылки S', представленное в виде OCTET STRING;

- iterationCount - число итераций алгоритма c;

- keyLength - размер ключа в байтах; размер ключа в рамках схемы PBES2 может отсутствовать, так как всегда равен 32. В рамках схемы PBMAC1 он должен быть не менее 32 байт и должен всегда присутствовать, так как функция HMAC_GOSTR3411 имеет переменный размер ключа;

- prf - идентификатор и параметры алгоритма псевдослучайной функции. Значение идентификатора должно быть равным идентификатору id-tc26-hmac-gost-3411-12-512, параметры алгоритма принимают значение NULL.

Объектный идентификатор для схемы PBES2:

Параметры алгоритма:

- Поля структуры PBES2-params имеют следующий смысл:

- keyDerivationFunc - идентификатор и параметры алгоритма выработки парольного ключа PBKDF2 с параметрами в соответствии с 7.1;

- encryptionScheme - идентификатор и параметры алгоритма шифрования.

В соответствии с Р 1323565.1.025-2019 идентификатор алгоритма шифрования ГОСТ Р 34.12-2015 должен принимать одно из следующих значений:

При использовании идентификатора id-gostr3412-2015-magma-ctracpkm шифрование осуществляется в соответствии с ГОСТ Р 34.12-2015 ("Магма") в режиме CTR-ACPKM согласно Р 1323565.1.017-2018. При этом длина блока гаммы s, приведенная в Р 1323565.1.017-2018, равна 64 бита.

При использовании идентификатора id-gostr3412-2015-magma-ctracpkm-omac вычисление имитовставки осуществляется в соответствии с ГОСТ Р 34.12-2015 ("Магма") в режиме выработки имитовставки согласно ГОСТ Р 34.13-2015 (размер имитовставки - 64 бита), а шифрование осуществляется в соответствии с ГОСТ Р 34.12-2015 ("Магма") в режиме CTR-ACPKM согласно Р 1323565.1.017-2018. При этом длина блока гаммы s, приведенная в Р 1323565.1.017-2018, равна 64 бита.

При использовании идентификатора id-gostr3412-2015-kuznyechik-ctracpkm шифрование осуществляется в соответствии с ГОСТ Р 34.12-2015 ("Кузнечик") в режиме CTR-ACPKM согласно Р 1323565.1.017-2018. При этом длина блока гаммы s, приведенная в Р 1323565.1.017-2018, равна 128 бит.

При использовании идентификатора id-gostr3412-2015-kuznyechik-ctracpkm-omac вычисление имитовставки осуществляется в соответствии с ГОСТ Р 34.1-2015 ("Кузнечик") в режиме выработки имитовставки согласно ГОСТ Р 34.13-2015 (размер имитовставки - 128 бит), а шифрование осуществляется в соответствии с ГОСТ Р 34.12-2015 ("Кузнечик") в режиме CTR-ACPKM согласно Р 1323565.1.017-2018. При этом длина блока гаммы s, приведенная в Р 1323565.1.017-2018, равна 128 бит.

Размер секции в режиме CTR-ACPKM выбирается в зависимости от условий эксплуатации для конкретных решений с учетом рекомендаций приложения В Р 1323565.1.017-2018. Например, в Р 1323565.1.025-2019 определены размеры секций для некоторых форматов сообщений.

Параметры представлены следующей структурой:

Поле ukm структуры Gost3412-15-Encryption-Parameters имеет следующий смысл: ukm - ключевой материал пользователя UKM. Параметр является обязательным и должен содержать n байт. В зависимости от алгоритма n принимает следующие значения для алгоритмов на основе блочного шифра:

Объектный идентификатор для схемы PBMAC1:

Параметры алгоритма:

Поля структуры PBMAC1-params имеют следующий смысл:

- keyDerivationFunc - идентификатор и параметры алгоритма выработки парольного ключа в соответствии с 7.1;

- messageAuthScheme - идентификатор и параметры алгоритма HMAC_GOSTR3411.

При выработке ключевой информации с использованием пароля пользователя необходимо выполнять следующие условия:

- для разных пользователей и для разных сессий одного пользователя необходимо гарантировать уникальность выбора значений синхропосылки S, которые должны выбираться по схеме равновероятного выбора без возвращения из множества B_n, где n = 8, ..., 32;

- для разных пользователей и для разных сессий одного пользователя необходимо гарантировать, что значение c является одинаковым;

- выбор параметров PBKDF2 должен исключать совпадение ключей, предназначенных для выполнения различных криптографических преобразований;

- для обработки каждого отдельного сообщения на одном начальном ключе необходимо гарантировать уникальность значения ukm.

Зависимость длины пароля P и числа итераций c, обеспечивающая эффективную длину ключа в 256 бит, представленная в таблице А.1, получена в предположении, что значение S выбирается по схеме равновероятного выбора без возвращения из множества B₃₂, а символы пароля выбираются случайно, независимо и равновероятно из алфавита мощностью в 156 символов.

В случае необходимости использования других значений параметров требуется проведение дополнительных исследований, подтверждающих уровень безопасности защищаемой информации.

Допустимое количество ключей, вырабатываемых из одного пароля, в зависимости от длины синхропосылки, приведено в таблице А.2.

Данные тестовые вектора сформированы по аналогии с тестовыми векторами из [2].