Протоколы MTI (Hjkmktkld MTI)

Протоколы MTI — семейство протоколов распределения ключей, разработанные Т. Мацумото (T. Matsumoto), И. Такасита (Y. Takashita) и Х. Имаи (H. Imai) и названные по именам авторов. Протоколы MTI делятся на три класса протоколов: MTI/A, MTI/B, MTI/C.

Протокол распределения ключей решает задачу распределения секретных ключей шифрования между общающимися сторонами. Множество таких протоколов делится на следующие три типа:

1. протоколы обмена уже сгенерированными ключами;
2. протоколы совместной выработки общего ключа (открытое распределение ключей);
3. протоколы предварительного распределения ключей.

Протоколы MTI относятся к протоколам открытого распределения ключей.

В основе протоколов открытого распределения ключей лежит обмен сообщениями между пользователями, по результатам которого каждый пользователь вычисляет секретный сеансовый ключ. При этом вычисление сеансового ключа до обмена сообщениями невозможно. Поэтому данные протоколы еще называют динамическими протоколами распределения ключей в отличие от статических протоколов, в которых ключи известны еще до самого сеанса связи. Кроме того, создание сеансовых ключей в протоколах открытого распределения требует от пользователей знания только открытых ключей, т.е. позволяет паре пользователей системы выработать общий секретный ключ, не обмениваясь закрытыми ключами. Именно это привело к тому, что такие протоколы сразу же после своего появления в 1976 году привлекли к себе внимание международного сообщества.

История

Идея построения протоколов открытого распределения ключей была впервые высказана Уитфилдом Диффи (Whitfield Diffie) и Мартином Хеллманом (Martin Hellman) на «Национальной Компьютерной Конференции» в июне 1976 года. И в ноябре 1976 года ими же в работе «Новые направления в криптографии» (англ. New Directions in Cryptography) был предложен первый протокол открытого распределения ключей, названный по именам авторов (протокол Диффи-Хеллмана).

Первый в своем роде, протокол Диффи-Хеллмана был уязвим для некоторых типов атак, в частности, для атак «человек посередине». Для решения данной проблемы необходимо было обеспечить пользователей механизмом аутентификации. Таким механизмом стал опубликованный в августе 1977 года в колонке «Математические игры» журнала Scientific American алгоритм асимметричного шифрования RSA, который позволил решить проблему общения через открытый канал.

В 1984 году Тахером Эль-Гамалем был предложен усовершенствованный протокол Диффи-Хеллмана с возможностью односторонней аутентификации, когда только одна из общающихся сторон может проверить подлинность другой. В отличие от RSA протокол Эль-Гамаля не был запатентован и, поэтому, стал более дешевой альтернативой, так как не требовалась оплата взносов за лицензию. Считается, что алгоритм попадает под действие патента Диффи-Хеллмана.

В феврале 1986 года Т. Мацумото, И. Такасима и Х. Имаи представили решение проблемы взаимной аутентификации без использования RSA. В разработанных ими протоколах MTI выражение для вычисления общего секретного ключа содержит как открытые, так и закрытые ключи легальных пользователей. Это решение позволяет провести аутентификацию одновременно с вычислением общего секретного ключа (нелегальный пользователь не может вычислить значение секретного ключа).

На настоящий момент протоколы MTI включены в стандарт ISO/IEC 11770-3.

Описание протоколов MTI

Рассмотрим процесс обмена информацией между сторонами A и B. Ниже представлены обозначения, которые будут использованы при описании работы протоколов MTI.

$p$	большое простое число (не менее 1024 бит).
$q$	простое число (порядка 160 бит), являющееся делителем числа $p-1$.
$G$	подгруппа группы $\mathbb {Z} _{p}^{*}$ (обычно порядка $q$, но иногда совпадает с $\mathbb {Z} _{p}^{*}$)
$g$	порождающий элемент подгруппы $G$
$a$, $b$	закрытые ключи сторон A и B
$A$, $B$	открытые ключи сторон A и B : $A=g^{a}\ mod\ p$, $\ B=g^{b}\ mod\ p$.
$R_{A}$, $R_{B}$	случайные целые числа, обычно той же величины, что и порядок группы $G$, выбираемые сторонами A и B соответственно
$M_{A}$, $M_{B}$	сообщения, отправляемые от A к B и от B к A соответственно.
$K$	секретный сеансовый ключ, вычисленный сторонами A и B
$(a,b)$	наибольший общий делитель чисел $a$ и $b$

Все вычисления в дальнейшем проводятся в группе $\mathbb {Z} _{p}^{*}$.

MTI/A(0)

Алгоритм работы

1. Сторона $A$ выбирает случайное число $R_{A}\in \mathbb {Z} _{q}^{*}$ и отправляет $B$ сообщение $M_{A}=g^{R_{A}}{\bmod {p}}$
2. Сторона $B$ выбирает случайное число $R_{B}\in \mathbb {Z} _{q}^{*}$ и отправляет $A$ сообщение $M_{B}=g^{R_{B}}{\bmod {p}}$
3. Сторона $A$ вычисляет сеансовый ключ: $K=B^{R_{A}}M_{B}^{a}{\bmod {p}}=g^{aR_{B}+bR_{A}}{\bmod {p}}$
4. Сторона $B$ вычисляет сеансовый ключ: $K=A^{R_{B}}M_{A}^{b}{\bmod {p}}=g^{aR_{B}+bR_{A}}{\bmod {p}}$

Проводимые вычисления

$A\colon K=B^{R_{A}}M_{B}^{a}{\bmod {p}}=(g^{b})^{R_{A}}(g^{R_{B}})^{a}{\bmod {p}}=g^{aR_{B}+bR_{A}}{\bmod {p}}$

$B\colon K=A^{R_{B}}M_{A}^{b}{\bmod {p}}=(g^{a})^{R_{B}}(g^{R_{A}})^{b}{\bmod {p}}=g^{aR_{B}+bR_{A}}{\bmod {p}}$

MTI/B(0)

Алгоритм работы

1. Сторона $A$ выбирает случайное число $R_{A}\in \mathbb {Z} _{q}^{*}$ и отправляет $B$ сообщение $M_{A}=B^{R_{A}}$
2. Сторона $B$ выбирает случайное число $R_{B}\in \mathbb {Z} _{q}^{*}$ и отправляет $A$ сообщение $M_{B}=A^{R_{B}}$
3. Сторона $A$ вычисляет сеансовый ключ: $K=M_{B}^{{a}^{-1}}g^{R_{A}}{\bmod {p}}=g^{R_{A}+R_{B}}{\bmod {p}}$
4. Сторона $B$ вычисляет сеансовый ключ: $K=M_{A}^{{b}^{-1}}g^{R_{B}}{\bmod {p}}=g^{R_{A}+R_{B}}{\bmod {p}}$

Проводимые вычисления

$K=M_{B}^{a^{-1}}g^{R_{A}}=(A^{R_{B}})^{a^{-1}}g^{R_{A}}=(g^{{a}{R_{B}}})^{a^{-1}}g^{R_{A}}=g^{R_{A}+R_{B}}{\bmod {p}}$

$K=M_{A}^{b^{-1}}g^{R_{B}}=(B^{R_{A}})^{b^{-1}}g^{R_{B}}=(g^{{b}{R_{A}}})^{b^{-1}}g^{R_{B}}=g^{R_{A}+R_{B}}{\bmod {p}}$

MTI/C(0)

Алгоритм работы

1. Сторона $A$ выбирает случайное число $R_{A}\in \mathbb {Z} _{q}^{*}$ и отправляет B сообщение $M_{A}=B^{R_{A}}$
2. Сторона $B$ выбирает случайное число $R_{B}\in \mathbb {Z} _{q}^{*}$ и отправляет A сообщение $M_{B}=A^{R_{B}}$
3. Сторона $A$ вычисляет сеансовый ключ: $K=M_{B}^{a^{-1}R_{A}}{\bmod {p}}=g^{R_{A}R_{B}}{\bmod {p}}$
4. Сторона $B$ вычисляет сеансовый ключ: $K=M_{A}^{b^{-1}R_{B}}{\bmod {p}}=g^{R_{A}R_{B}}{\bmod {p}}$

Проводимые вычисления

$K=M_{B}^{a^{-1}R_{A}}=(A^{R_{B}})^{a^{-1}R_{A}}=(g^{aR_{B}})^{a^{-1}R_{A}}=g^{R_{A}R_{B}}$

$K=M_{A}^{b^{-1}R_{B}}=(B^{R_{A}})^{b^{-1}R_{B}}=(g^{bR_{A}})^{b^{-1}R_{B}}=g^{R_{A}R_{B}}$

MTI/A(k)

Алгоритм работы

1. Сторона $A$ выбирает случайное число $R_{A}\in \mathbb {Z} _{q}^{*}$ и отправляет B сообщение $M_{A}=g^{a^{k}R_{A}}$
2. Сторона $B$ выбирает случайное число $R_{B}\in \mathbb {Z} _{q}^{*}$ и отправляет A сообщение $M_{B}=g^{b^{k}R_{B}}$
3. Сторона $A$ вычисляет сеансовый ключ: $K=B^{a^{k}R_{A}}M_{B}^{a}=g^{ba^{k}R_{A}+ab^{k}R_{B}}$
4. Сторона $B$ вычисляет сеансовый ключ: $K=A^{b^{k}R_{B}}M_{A}^{b}=g^{ab^{k}R_{B}+ba^{k}R_{A}}$

Проводимые вычисления

$A\colon K=B^{a^{k}R_{A}}M_{B}^{a}=(g^{b})^{a^{k}R_{A}}(g^{b^{k}R_{B}})^{a}=g^{ab^{k}R_{B}+ba^{k}R_{A}}$

$B\colon K=A^{b^{k}R_{B}}M_{A}^{b}=(g^{a})^{b^{k}R_{B}}(g^{a^{k}R_{A}})^{b}=g^{ab^{k}R_{B}+ba^{k}R_{A}}$

MTI/B(k)

Алгоритм работы

1. Сторона $A$ выбирает случайное число $R_{A}\in \mathbb {Z} _{q}^{*}$ и отправляет $B$ сообщение $M_{A}=B^{a^{k}R_{A}}$
2. Сторона $B$ выбирает случайное число $R_{B}\in \mathbb {Z} _{q}^{*}$ и отправляет $A$ сообщение $M_{B}=A^{b^{k}R_{B}}$
3. Сторона $A$ вычисляет сеансовый ключ: $K=M_{B}^{a^{-1}}g^{a^{k}R_{A}}=g^{a^{k}R_{A}+b^{k}R_{B}}$
4. Сторона $B$ вычисляет сеансовый ключ: $K=M_{A}^{b^{-1}}g^{b^{k}R_{B}}=g^{a^{k}R_{A}+b^{k}R_{B}}$

Проводимые вычисления

$K=M_{B}^{a^{-1}}g^{a^{k}R_{A}}=(A^{b^{k}R_{B}})^{a^{-1}}g^{a^{k}R_{A}}=(g^{ab^{k}R_{B}})^{a^{-1}}g^{a^{k}R_{A}}=g^{a^{k}R_{A}+b^{k}R_{B}}$

$K=M_{A}^{b^{-1}}g^{b^{k}R_{B}}=(B^{a^{k}R_{A}})^{b^{-1}}g^{b^{k}R_{B}}=(g^{ba^{k}R_{A}})^{b^{-1}}g^{b^{k}R_{B}}=g^{a^{k}R_{A}+b^{k}R_{B}}$

MTI/C(k)

Алгоритм работы

1. Сторона $A$ выбирает случайное число $R_{A}\in \mathbb {Z} _{q}^{*}$ и отправляет $B$ сообщение $M_{A}=B^{a^{k}R_{A}}$
2. Сторона $B$ выбирает случайное число $R_{B}\in \mathbb {Z} _{q}^{*}$ и отправляет $A$ сообщение $M_{B}=A^{b^{k}R_{B}}$
3. Сторона $A$ вычисляет сеансовый ключ: $K=M_{B}^{a^{-1}a^{k}R_{A}}=g^{a^{k}R_{A}b^{k}R_{B}}$
4. Сторона $B$ вычисляет сеансовый ключ: $K=M_{A}^{b^{-1}b^{k}R_{B}}=g^{a^{k}R_{A}b^{k}R_{B}}$

Проводимые вычисления

$K=M_{B}^{a^{-1}a^{k}R_{A}}=(A^{b^{k}R_{B}})^{a^{-1}a^{k}R_{A}}=(g^{ab^{k}R_{B}})^{a^{-1}a^{k}R_{A}}=g^{a^{k}R_{A}b^{k}R_{B}}$

$K=M_{A}^{b^{-1}b^{k}R_{B}}=(B^{a^{k}R_{A}})^{b^{-1}b^{k}R_{B}}=(g^{ba^{k}R_{A}})^{b^{-1}b^{k}R_{B}}=g^{a^{k}R_{A}b^{k}R_{B}}$

Анализ протоколов MTI

Таблица протоколов MTI

Протокол	$m_{A}$	$m_{B}$	$K_{A}$	$K_{B}$	$K_{AB}$
MTI/A(0)	$g^{r_{A}}$	$g^{r_{B}}$	$y_{B}^{r_{A}}m_{B}^{x_{A}}$	$y_{A}^{r_{B}}m_{A}^{x_{B}}$	$g^{x_{A}r_{B}+x_{B}r_{A}}$
MTI/B(0)	$y_{B}^{r_{A}}$	$y_{A}^{r_{B}}$	$m_{B}^{x_{A}^{-1}}g^{r_{A}}$	$m_{A}^{x_{B}^{-1}}g^{r_{B}}$	$g^{r_{A}+r_{B}}$
MTI/C(0)	$y_{B}^{r_{A}}$	$y_{A}^{r_{B}}$	$m_{B}^{x_{A}^{-1}r_{A}}$	$m_{A}^{x_{B}^{-1}r_{B}}$	$g^{r_{A}r_{B}}$
MTI/A(k)	$g^{x_{A}^{k}r_{A}}$	$g^{x_{B}^{k}r_{B}}$	$y_{B}^{x_{A}^{k}r_{A}}m_{B}^{x_{A}}$	$y_{A}^{x_{B}^{k}r_{B}}m_{A}^{x_{B}}$	$g^{x_{A}x_{B}^{k}r_{B}+x_{B}x_{A}^{k}r_{A}}$
MTI/B(k)	$y_{B}^{x_{A}^{k}r_{A}}$	$y_{A}^{x_{B}^{k}r_{B}}$	$m_{B}^{x_{A}^{-1}}g^{x_{A}^{k}r_{A}}$	$m_{A}^{x_{B}^{-1}}g^{x_{B}^{k}r_{B}}$	$g^{x_{A}^{k}r_{A}+x_{B}^{k}r_{B}}$
MTI/C(k)	$y_{B}^{x_{A}^{k}r_{A}}$	$y_{A}^{x_{B}^{k}r_{B}}$	$m_{B}^{x_{A}^{-1}x_{A}^{k}r_{A}}$	$m_{A}^{x_{B}^{-1}x_{B}^{k}r_{B}}$	$g^{x_{A}^{k}r_{A}x_{B}^{k}r_{B}}$

1. Протоколы MTI/A и MTI/B требуют от каждого пользователя вычисления трех экспонент, тогда как протоколы MTI/C требуют вычисления только двух экспонент. Протокол MTI/C(1) имеет также дополнительное преимущество, состоящее в том, что не требуется вычислять обратные элементы для $x_{A}$ и $x_{B}$. С другой стороны эти значения не меняются в течение всего сеанса связи и поэтому могут быть рассчитаны заранее.
2. Все стороны в протоколах MTI проводят аналогичные операции, причем работа протоколов не зависит от того, в каком порядке посылаются сообщения от одной стороны к другой.
3. Протоколы MTI/B и MTI/C требуют знания открытых ключей других сторон, для чего может потребоваться дополнительным обмен сообщениями (если информация об открытых ключах не помещается в отправляемых по сети сообщениях). Протоколы MTI/A знания открытых ключей не требуют, что позволяет избежать дополнительных передач и временных задержек.
4. Все три класса протоколов обеспечивают взаимную неявную аутентификацию ключей (mutual implicit key authentication), но не обеспечивают подтверждения правильности ключей (key confirmation) и аутентификацию сторон (entitiy authentication).

Сравнение протоколов распределения ключей

Протокол	Аутентификация ключа	Аутентификация источников	Подтверждение ключа	Число сообщений
протокол Диффи-Хеллмана	отсутствует	отсутствует	отсутствует	2
протокол Эль-Гамаля	односторонняя	отсутствует	отсутствует	1
MTI/A	взаимная неявная	отсутствует	отсутствует	2
MTI/B,C	взаимная неявная	отсутствует	отсутствует	2
STS	взаимная явная	взаимная	отсутствует	3

Атаки на протоколы MTI

Протоколы MTI противостоят пассивным атакам, однако уязвимы для активных атак. Ниже представлены примеры активных атак на протоколы MTI.

Атака по малой подгруппе на протоколы MTI/C

Атака по подгруппе (Small Subgroup Attack) применяется к классу протоколов MTI/C в том случае, если группа $G$ совпадает с группой $Z_{p}^{*}$, как и предполагается в оригинальном протоколе. Предполагается, что криптоаналитику $E$ известно разложение числа $p-1$ на простые множители. Пусть $s$ — наименьший простой множитель в разложении числа $p-1$. Обозначим $w=(p-1)/s$. Атака заключается в возведении всех сообщений в степень $w$, что переводит передаваемые элементы в малую подгруппу $G'$ группы $G$.

Действительно, $A$ и $B$ обмениваются сообщениями вида $g^{r}$. Возведение элемента $g^{r}$ в степень $w$, дает порождающий элемент $g^{wr}$ подгруппы $G'$ порядка ${\frac {p-1}{(wr,p-1)}}$. При этом этот порядок равен $1$ либо когда $s=1$ и, соответственно, $w=p-1$, либо когда $r$ в своем разложении на простые множители содержит число $s$, т.е. $(r,s)=s$. Во всех остальных случаях порядок подгруппы $G'$ будет равен $s$.

Ниже описан процесс атаки на протокол MTI/C(0). Криптоаналитик $E$ находится между сторонами $A$ и $B$ (man-in-the-middle).

1. Сторона $A$ выбирает случайное число $r_{A}\in _{R}Z_{q}^{*}$ и отправляет $B$ сообщение $m_{A}=y_{B}^{r_{A}}$
2. Криптоаналитик $E$ перехватывает сообщение от $A$ и отправляет $B$ сообщение $m_{A}^{w}=y_{B}^{r_{A}w}$
3. Сторона $B$ выбирает случайное число $r_{B}\in _{R}Z_{q}^{*}$ и отправляет $A$ сообщение $m_{B}=y_{A}^{r_{B}}$
4. Криптоаналитик $E$ перехватывает сообщение от $B$ и отправляет $A$ сообщение $m_{B}^{w}=y_{A}^{r_{B}w}$
5. Сторона $A$ вычисляет сеансовый ключ: $K_{AB}=m_{B}^{x_{A}^{-1}r_{A}}=g^{r_{A}r_{B}w}$
6. Сторона $B$ вычисляет сеансовый ключ: $K_{AB}=m_{A}^{x_{B}^{-1}r_{B}}=g^{r_{A}r_{B}w}$

Полученный секретный сеансовый ключ $K_{AB}$, как и полученные сообщения, является элементом малой подгруппы $G'$ группы $G$. Поэтому криптоаналитик $E$ может найти ключ $K_{AB}$ полным перебором, проверяя элементы подгруппы $G'$ в качестве ключей в общении между $A$ и $B$. При этом чем меньше множитель $s$, тем быстрее проходит атака.

Атака на подгруппу может быть предотвращена путём выбора подгруппы $G$ группы $Z_{p}^{*}$ простого порядка $q$. Т.к. при этом длина $q$ составляет порядка 160 бит, то полный перебор оказывается слишком сложной задачей для криптоаналитика $E$. Так же необходимо проверять, что полученные в сообщениях элементы лежат в группе $G$ и не равны единице.

Атака с неизвестным общим ключом

Атака с неизвестным общим ключом требуют от криптоаналитика $E$ получить сертификат на долговременный открытый ключ $y_{E}$, который связан с открытым ключом стороны $A$ по формуле $\colon y_{E}=y_{A}^{x_{E}}=g^{x_{A}x_{E}}$. Это значит, что $E$ не знает секретный ключ $x_{A}x_{E}$, соответствующий открытому ключу $y_{E}$.

Атака с неизвестным общим ключом осуществляется путём выполнения следующей последовательности действий.

1. Сторона $A$ выбирает случайное число $r_{A}\in _{R}Z_{q}^{*}$ и отправляет $B$ сообщение $m_{A}=y_{B}^{r_{A}}$
2. Криптоаналитик $E$ передает сообщение $y_{B}^{r_{A}}$ от $A$ к $B$ в неизменном виде.
3. Сторона $B$ выбирает случайное число $r_{B}\in _{R}Z_{q}^{*}$ и отправляет $E$ сообщение $y_{E}^{r_{B}}$
4. Криптоаналитик $E$ получает сообщение от $B$ и отправляет $A$ сообщение $y_{E}^{r_{B}x_{E}^{-1}}$
5. Сторона $A$ вычисляет сеансовый ключ: $K_{AB}=(y_{E}^{r_{B}x_{E}^{-1}})^{x_{A}^{-1}}g^{r_{A}}=g^{r_{A}+r_{B}}$
6. Сторона $B$ вычисляет сеансовый ключ: $K_{AB}=(y_{B}^{r_{A}})^{{x_{B}}^{-1}}g^{r_{A}}=g^{r_{A}+r_{B}}$

Секретные ключи, вычисленные сторонами $A$ и $B$, одинаковы и равны $g^{r_{A}+r_{B}}$. При этом $A$ считает, что разделяет его с $B$, в то время как $B$ считает, что разделяет ключ с $E$.

Несмотря на то, что $E$ не в состоянии вычислить секретный сеансовый ключ $K_{AB}$ без дополнительной информации, сторона $E$ тем не менее приводит $B$ к ошибочному мнению.

Чтобы избежать данной атаки, необходимо потребовать от сертификационных центров проводить проверку того, что стороны, запрашивающие сертификат на некоторый открытый ключ $y_{E}$, знают соответствующий закрытый ключ $x_{E}$.

Литература

• Diffie W., Hellman M. E. New Directions in Cryptography (англ.) // IEEE Transactions on Information Theory / F. Kschischang — IEEE, 1976. — Vol. 22, Iss. 6. — P. 644—654. — ISSN 0018-9448; 1557-9654 — doi:10.1109/TIT.1976.1055638
• Gardner M. A New Kind of Cipher that Would Take Millions of Years to Break (англ.) // Scientific American — New York City: NPG, 1977. — Vol. 237, Iss. 2. — P. 120—124. — 5 p. — ISSN 0036-8733; 1946-7087 — doi:10.1038/SCIENTIFICAMERICAN0877-120
• Elgamal T. A Public-Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms, A Public Key Cryptosystem and a Signature Scheme Based on Discrete Logarithms (англ.) // IEEE Transactions on Information Theory / F. Kschischang — IEEE, 1985. — P. 10—18. — ISSN 0018-9448; 1557-9654 — doi:10.1109/TIT.1985.1057074; doi:10.1007/3-540-39568-7_2
• Matsumoto T., Takashima Y., Imai H. On Seeking Smart Public-key Distribution Systems (англ.) // Transactions of the Institute of Electronics and Communication Engineers of Japan. Section E — Elsevier BV, 1986. — Vol. 69, Iss. 2. — P. 99—106. — ISSN 0387-236X
• Boyd C., Mathuria A. 5.3 MTI Protocols // Protocols for Authentication and Key Establishment (англ.) — Springer Science+Business Media, 2003. — P. 147—155. — 321 p. — (Information Security and Cryptography) — ISBN 978-3-540-43107-7 — ISSN 1619-7100; 2197-845X — doi:10.1007/978-3-662-09527-0
• Черемушкин А. В. Криптографические протоколы: основные свойства и уязвимости // Прикладная дискретная математика : Приложение. — 2009. — № 2. — С. 115-150. Архивировано 3 ноября 2013 года.
• Алферов А. П., Зубов А. Ю., Кузьмин А. С., Черемушкин А. В. Глава 15. Протоколы распределения ключей // Основы криптографии: Учебное пособие — 2-е изд., испр. и доп. — М.: Гелиос АРВ, 2002. — С. 378, 387—396. — ISBN 978-5-85438-137-6
• Ratna Dutta, Rana Barua. Overview of Key Agreement Protocols. — С. 9-10. (недоступная ссылка)
• Sebastien Kunz-Jacques, David Pointcheval. About the Security of MTI/C0 and MQV. — 2006.
• Menezes A. J., Oorschot P. v., Vanstone S. A. 12.6.1 Diffie-Hellman and related key agreement protocols // Handbook of Applied Cryptography (англ.) — Boca Raton: CRC Press, 1997. — 816 p. — (Discrete Mathematics and Its Applications) — ISBN 978-0-8493-8523-0