Кратко

  • Статический секрет и изменяемый журнал израсходованных OTS-индексов — разные части одного ключа. Копия может быть подлинной, хотя её состояние отстаёт от подписей, уже переданных наружу.
  • Выдача полной подписи и долговечное продвижение состояния должны вести себя как единая операция. Секторы, зарезервированные интервалы и временные окна безопасны лишь при исключительном, непересекающемся владении после восстановления.
  • Самотестирование HSM и действительная тестовая подпись подтверждают работоспособность, но не новизну индекса. Активации нужен акт хранения, в котором зафиксированы граница непересечения и остающаяся неопределённость.

Опасное восстановление выглядит безупречно. Архив расшифровывается, хеш совпадает, HSM принимает импорт и проходит диагностику, а пробная подпись проверяется ожидаемым открытым ключом. Но ни одна из этих проверок не отвечает, применялся ли тот же одноразовый индекс к другой подписи до сбоя.

Этому разрыву между исправностью и безопасностью посвящён RFC 10033, информационный документ потока IETF. XMSS и LMS объединяют множество одноразовых ключей подписи, OTS, в долговременную структуру. Повторное применение одного OTS-секрета к разным сообщениям может раскрыть данные, при которых подделка становится вычислительно осуществимой. Поэтому секретность должна дополняться историей, которая не откатывается.

Подлинная копия из прошлого

Предположим, резервная копия создана при следующем свободном индексе 18 000. Рабочая система затем выдаёт 700 подписей и доходит до 18 700. После потери текущего состояния оператор загружает старую копию. Секретный материал верен, подписи проходят проверку, но индексы 18 000–18 699 снова считаются свободными. За пределами системы они уже израсходованы.

Файл не подделан; устарело его утверждение о времени. Контрольная сумма не доказывает отсутствия более новой версии, живого клона или ответа, успевшего выйти перед аварией. RFC 9802 предупреждает, что обычное копирование и восстановление закрытого ключа без согласования состояния, вероятно, приведёт к повторному применению OTS.

NIST SP 800-208 ограничивает утверждённые профили: ключи и подписи создаются внутри аппаратных криптографических модулей, а закрытый материал не экспортируется. RFC 10033 рассматривает и методы за пределами этого профиля. Их нельзя смешивать: описанный для другого режима экспорт не означает, что экспорт разрешён в реализации по NIST.

Статический секрет и подвижное полномочие

Секрет даёт возможность создать действительную подпись. Состояние определяет, какая возможность всё ещё принадлежит подписывающему исключительно. Счётчик, резервирования, идентификаторы устройств, журналы ответов, очереди, снимки виртуальных машин и доказательство остановки источника входят в границу безопасности.

Поэтому восстановление проверяет не только целостность, но и исключительность. Две подлинные копии могут корректно подписывать и одновременно претендовать на один диапазон. Разветвление процесса, незафиксированный кеш, клон ВМ или одновременная аварийная активация на двух площадках создают такое пересечение.

Сначала продвинуть, затем выдать

RFC 8391 требует обновить закрытое состояние XMSS до вывода подписи; RFC 8554 устанавливает аналогичную дисциплину для LMS. RFC 10033 описывает продвижение состояния и выдачу подписи как транзакцию, которой нужны атомарность, согласованность, изоляция и долговечность.

Если продвижение сохранено, а сбой случился до ответа, один индекс теряется, но не повторяется. Если подпись вышла, а запись состояния пропала, внешний мир уже израсходовал индекс, который внутри снова выглядит свободным. Эти потери неравнозначны. Отказ от сомнительного диапазона уменьшает запас; его повторное использование создаёт скрытый риск для всех решений под открытым ключом.

Секторы, интервалы и временные окна

Секторизация распределяет независимые части под общим открытым ключом. Предварительное назначение отдаёт устройствам непересекающиеся диапазоны. Резервирование интервала закрепляет целый блок заранее и после сбоя списывает его неиспользованный остаток. Временное окно привязывает ресурс к периоду, но логические часы нельзя переводить назад, а остаток прошедшего окна — открывать вновь.

Эти способы определяют единицу хранения, не отменяя состояние. Передача сектора требует остановить источник и исключить пересечение назначения с работающими, повреждёнными и автономными копиями. Частичная передача и последующее объединение требуют той же сверки.

За пределами неэкспортируемого профиля NIST RFC описывает заранее подготовленные нижние деревья. Корень подписывается ещё не использованным верхним OTS-ключом; seed, подпись, индекс и хеш экспортируются, а исходная копия необратимо удаляется. При восстановлении первый неиспользованный seed импортируется, дерево строится заново и сверяется по хешу, после чего seed удаляется с носителя. Процедура делает смену владельца явной, но после катастрофы или у внешнего хранителя всё равно трудно доказать полное удаление источника.

Акт хранения при восстановлении

RFC 10033 не предписывает универсальный акт. Здесь он предложен для того, чтобы аварийное решение можно было проверить позже.

В нём следует указать открытый ключ, алгоритм и параметры; подписывающее устройство и HSM; поколение и время копии; восстановленное состояние; наибольший индекс наблюдавшейся полной подписи; границы секторов, интервалов и окон; списанные резервирования; доказательства остановки и удаления источника; хеши пакета; оператора, утверждающего и время активации и сверки.

Неопределённость тоже надо фиксировать. Если последнее надёжное состояние равно 90 000, но очередь могла выдать ответы до 90 127, восстановление начинается за всем диапазоном. Если источник нельзя признать остановленным, его сектор остаётся в карантине. Невозвращённая автономная копия остаётся риском пересечения.

Акт не является криптографическим доказательством. Он объясняет, почему организация считает, что восстановленный подписывающий единолично владеет никогда не использовавшейся областью, и какой ёмкостью она пожертвовала ради безопасной трактовки сомнений.

Источники