"Р 1323565.1.003-2024. Рекомендации по стандартизации. Информационная технология. Криптографическая защита информации. Криптографические алгоритмы выработки ключей шифрования информации и аутентификационных векторов, предназначенные для реализации в аппаратных модулях доверия для использования в подвижной радиотелефонной связи"
(утв. и введены в действие Приказом Росстандарта от 28.11.2024 N 1785-ст)

1 РАЗРАБОТАНЫ Акционерным обществом "Научно-производственная компания "Криптонит" (АО "НПК "Криптонит") совместно с Акционерным обществом "Институт точной механики и вычислительной техники имени С.А. Лебедева Российской академии наук" (АО "ИТМиВТ") при участии Общества с ограниченной ответственностью "СФБ Лаборатория" (ООО "СФБ Лаб")

2 ВНЕСЕНЫ Техническим комитетом по стандартизации ТК 26 "Криптографическая защита информации"

3 УТВЕРЖДЕНЫ И ВВЕДЕНЫ В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 28 ноября 2024 г. N 1785-ст

4 ВЗАМЕН Р 1323565.1.003-2017

При подключении к сети радиотелефонной связи абонентского терминала, содержащего аппаратный модуль доверия, выполняются процедуры аутентификации данного модуля и выработки ключей шифрования информации и контроля целостности. Данные процедуры выполняются с использованием основного ключа, располагающегося на аппаратном модуле доверия и в центре аутентификации.

Настоящие рекомендации определяют криптографические алгоритмы выработки ключей шифрования информации и аутентификационных векторов, предназначенные для реализации в аппаратных модулях доверия для использования в подвижной радиотелефонной связи и использующие в качестве базового преобразования криптографический алгоритм хэширования, определенный в ГОСТ Р 34.11 с длиной хэш-кода 512 бит, получившие названия S3G-128 и S3G-256 (S3G - Secure 3G).

Необходимость разработки настоящих рекомендаций вызвана потребностью в формировании единого подхода к использованию национальных стандартизованных решений в области криптографии в алгоритмах выработки ключей шифрования информации и аутентификационных векторов, предназначенных для реализации в аппаратных модулях доверия для использования в подвижной радиотелефонной связи.

Примечание - Основная часть настоящих рекомендаций по стандартизации дополнена приложением А.

S3G-128 и S3G-256 представляют собой криптографические алгоритмы выработки ключей шифрования информации и аутентификационных векторов, предназначенные для реализации в аппаратных модулях доверия для использования в подвижной радиотелефонной связи. При этом они могут использоваться как в рамках сети третьего поколения [1] вместо процедур [2], [3], так и ввиду универсальности используемых алгоритмов в сетях более ранних и более поздних поколений. В частности, данные алгоритмы предназначены для выработки аутентификационных векторов в процессе информационного взаимодействия абонентского терминала и ядра сети оператора связи при посредничестве базовой приемно-передающей станции. При корректном завершении процедуры аутентификации алгоритмы S3G-128 и S3G-256 используются для выработки центром аутентификации и аппаратным модулем доверия ключей шифрования передаваемой информации, а также контроля ее целостности.

Примечание - В описании алгоритмов S3G-128 и S3G-256 предполагается, что порядок индексации бит в байте соответствует Most Significant Bit First (MSBF).

В настоящих рекомендациях использована нормативная ссылка на следующий стандарт:

ГОСТ Р 34.11 Информационная технология. Криптографическая защита информации. Функция хэширования

Примечание - При пользовании настоящими рекомендациями целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящих рекомендаций в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, применяется в части, не затрагивающей эту ссылку.

В настоящих рекомендациях применены следующие термины с соответствующими определениями:

3.1.1 абонент: Лицо, пользующееся услугами подвижной радиотелефонной связи.

3.1.2 абонентский терминал: Приемо-передающее устройство, используемое для доступа абонента к услугам подвижной радиотелефонной связи.

3.1.3 аппаратный модуль доверия: Модуль, предназначенный для идентификации абонента в сетях подвижной радиотелефонной связи.

3.1.4 аутентификационный вектор: Двоичная строка фиксированной длины, используемая для обеспечения целостности передаваемой информации и аутентификации источника данных.

Примечания

1 Аутентификационный вектор предназначен для реализации процедуры аутентификации между аппаратным модулем доверия и ядром сети оператора связи.

2 В настоящих рекомендациях в целях сохранения терминологической преемственности с действующими отечественными нормативными документами установлено, что понятия "битовая строка длины L", "двоичная строка длины L", "строка двоичных знаков длины L" и "двоичный вектор-строка размерности L" считаются тождественными.

3.1.5 базовая приемно-передающая станция: Элемент подвижной радиотелефонной связи, выступающий посредником в рамках информационного взаимодействия, организуемого между аппаратным модулем доверия и ядром сети оператора связи.

3.1.6 ключ анонимизации: Криптографический ключ, формируемый в рамках процедуры аутентификации и применяемый для анонимизации номера попытки аутентификации.

3.1.7 ключ контроля целостности: Криптографический ключ, формируемый в рамках процедуры аутентификации и применяемый для контроля целостности передаваемой информации.

3.1.8 ключ шифрования информации: Криптографический ключ, формируемый в рамках процедуры аутентификации и используемый в процедуре шифрования передаваемой информации.

3.1.9 криптографический ключ: Изменяемый параметр в виде последовательности символов, определяющий криптографическое преобразование.

3.1.10 оператор связи: Элемент подвижной радиотелефонной связи, в ведении которого находятся организация производства аппаратных модулей доверия и обеспечение бесперебойной работы центра аутентификации.

3.1.11 центр аутентификации: Элемент подвижной радиотелефонной связи, предназначенный для формирования аутентификационных векторов, применяемых в процедуре взаимной аутентификации ядра сети оператора связи и аппаратного модуля доверия.

3.1.12 ядро сети: Совокупность элементов подвижной радиотелефонной связи, обеспечивающих управление сеансами связи, включающими передачу различных типов трафика.

В настоящих рекомендациях применены следующие обозначения:

V_s - множество двоичных строк длины s >= 0;

V^* - множество двоичных строк конечной длины, включая пустую строку;

|A| - длина двоичной строки A (если A - пустая строка, то |A| = 0);

A||B - конкатенация двоичных строк;

если , ,

то ;

a^s - двоичная строка длины s вида a^s = (a ... a), , ;

A[i] - элемент a_i строки A = (a_s-1 a_s-2 ... a₀), где , s = |A|, 0 <= i < s;

MSB_i(A) - строка , являющаяся подстрокой двоичной строки

, где , s = |A|, 0 <= i < s;

HASH - хэш-функция в соответствии с ГОСТ Р 34.11 с длиной хэш-кода 512 бит.

Примечание - В настоящих рекомендациях в целях сохранения терминологической преемственности с действующими нормативными документами в области криптографии и опубликованными научно-техническими изданиями установлено, что термины "хэш-функция", "криптографическая хэш-функция", "функция хэширования" и "криптографическая функция хэширования", а также "хеш-функция" и т.п. являются синонимами.

В процессе функционирования криптографических алгоритмов S3G-128 и S3G-256 вычисляются семь функций f1, f1^*, f2, f3, f4, f5, f5^*:

Исходные данные для наборов S3G-128 и S3G-256 криптографических функций f1, f1^*, f2, f3, f4, f5, f5^*:

- долговременный основной ключ абонента, предварительно распределенный между аппаратным модулем доверия абонента и ядром сети оператора связи (subscriber key);

- случайное число (random challenge);

- номер попытки аутентификации (sequence number);

- поле управления аутентификации (authentication management field).

Наборы S3G-128 и S3G-256 криптографических функций f1, f1^*, f2, f3, f4, f5, f5^* формируют следующие выходные данные:

- имитовставка, являющаяся результатом функции f1;

- имитовставка, являющаяся результатом функции f1^*;

- аутентификационный ответ абонента (response to challenge), являющийся результатом функции f2;

- ключ шифрования (cipher key), являющийся результатом функции f3;

- ключ контроля целостности (integrity key), являющийся результатом функции f4;

- ключ анонимизации (anonymity key), являющийся результатом функции f5;

- ключ анонимизации, являющийся результатом функции f5^*.

Наборы S3G-128 и S3G-256 криптографических функций f1, f1^*, f2, f3, f4, f5, f5^* используют константы, приведенные в таблице 1.

Функции в наборах S3G-256 и S3G-128 задаются значениями длин параметров в соответствии с таблицей 2.

Оператором подвижной радиотелефонной связи задаются параметрические данные, приведенные в таблице 3.

Примечание - Параметры TOP, OP и add задаются оператором связи. Они являются неизменными на протяжении всего периода использования аппаратного модуля доверия.

Ключ K остается неизменным в течение всего периода использования аппаратного модуля доверия, который не должен превышать 20 лет. Количество попыток аутентификации в течение всего периода использования аппаратного модуля доверия не должно превышать 2³⁰, при этом вероятность навязывания будет ограничена величиной .

Функции f1, f1^*, f2, f3, f4, f5, f5^*, зависящие от ключа, обеспечивают псевдослучайность совместного выхода: двоичная последовательность, полученная как конкатенация значений f1(x_i)||f1^*(x_i)||f2(x_i)||f3(x_i)||f4(x_i)||f5(x_i)||f5^*(x_i), полученных на различных аргументах x_i (i = 1, 2, ..., m), при заданных в настоящих рекомендациях условиях эксплуатации (m <= 2³⁰) без знания ключа вычислительно неотличима от случайной равновероятной последовательности той же длины.

Входной параметр RAND должен быть случайной (псевдослучайной) строкой длины 128 бит. Параметр RAND необходимо вырабатывать случайным (псевдослучайным) образом для каждой процедуры аутентификации.

Входные параметры SQN, AMF задаются оператором связи. Их значения не влияют на свойства безопасности, обеспечиваемые криптографическими функциями f1, f1^*, f2, f3, f4, f5, f5^*.

Параметры TOP, OP и add задаются оператором связи. Они являются неизменными на протяжении всего периода использования аппаратного модуля доверия. Их значения не влияют на свойства безопасности, обеспечиваемые криптографическими функциями f1, f1^*, f2, f3, f4, f5, f5^*.

Выбор между алгоритмами S3G-128 и S3G-256 должен осуществляться в зависимости от требуемой практической стойкости решения, в рамках которого используются алгоритмы.

Алгоритм S3G-128 обеспечивает практическую стойкость 2¹²⁸.

Алгоритм S3G-256 обеспечивает практическую стойкость 2¹²⁸ при LK = 128 и 2²⁵⁶ при LK = 256.

Значение двоичной строки KV формируется из ключа следующим образом:

Значение двоичной строки формируется из ключа и значения следующим образом:

где

- константы inf₁ и algoname256 задаются в соответствии с 4.2;

- значение instance формируется следующим образом:

Примечание - Здесь и далее при вычислении значений Hi ключ KV подается в функцию HASH в конце двоичной строки. При этом, в соответствии с ГОСТ Р 34.11, функция HASH в процессе вычисления меняет порядок входных 512-битных блоков на противоположный, и ключ KV обрабатывается в начале первого блока.

Функции f1, f1^* используют входные и выходные данные, приведенные в таблице 4.

Результирующие значения MAC_A, MAC_S формируются следующим образом:

где

- KV и TOP_C вычисляются из K и TOP в соответствии с 0;

- параметр add и константы inf₂ и algoname256 задаются в соответствии с 4.2;

- значение instance формируется следующим образом:

Функции f2, f5, f5^* используют входные и выходные данные, приведенные в таблице 5.

Результирующие значения RES, AK, AK(resynch) формируются следующим образом:

где

- KV и TOP_C вычисляются из K и TOP в соответствии с 0;

- параметр add и константы inf₃ и algoname256 задаются в соответствии с 4.2;

- значение instance формируется следующим образом:

Функции f3, f4 используют входные и выходные данные, приведенные в таблице 6.

Результирующие значения CK, IK формируются следующим образом:

где

- KV и TOP_C вычисляются из K и TOP в соответствии с 0;

- параметр add и константы inf₄ и algoname256 задаются в соответствии с 4.2;

- значение instance формируется следующим образом:

Значение двоичной строки формируется из ключа и значения следующим образом:

где константы inf₅ и algoname128 задаются в соответствии с 4.2.

Функции f1, f1^* используют входные и выходные данные, приведенные в таблице 7.

Результирующие значения MAC_A, MAC_S формируются следующим образом:

где

- OP_C вычисляются из K и OP в соответствии с 0;

- параметр add и константы inf₆ и algoname128 задаются в соответствии с 4.2.

Функции f2, f3, f4, f5, f5^* используют входные и выходные данные, приведенные в таблице 8.

Результирующие значения RES, CK, IK, AK, AK(resynch) формируются следующим образом:

где

- OP_C вычисляются из K и OP в соответствии с 0;

- параметр add и константы inf₇ и algoname128 задаются в соответствии с 4.2.

В настоящем приложении приводятся проверочные данные для описанных в настоящих рекомендациях наборов S3G-128 и S3G-256 криптографических функций.

Если исходные или вырабатываемые двоичные строки имеют кратную восьми длину, то в приложении, для удобочитаемости, они записаны в шестнадцатеричном виде с пробелами через каждые два шестнадцатеричных знака. В остальных случаях двоичные строки записаны побитно. Например, двоичная строка algoname256 представлена в шестнадцатеричном виде 47 4F 53 54 52 33 34 31 31.

Параметры:

Исходные данные:

Вычисленные данные:

Параметры:

Исходные данные:

Вычисленные данные:

Параметры:

Исходные данные:

Вычисленные данные: