О курсе

Курс «Криптографические методы защиты информации» знакомит с устройством, свойствами и правильным применением криптографических механизмов, на которых держится безопасность современных информационных систем: шифров, хеш-функций, кодов аутентификации сообщений, обмена ключами, электронной подписи, инфраструктуры открытых ключей и защищённых протоколов. Курс прикладной и рассчитан на читателя без подготовки в криптографии: каждое понятие вводится с нуля, а математика даётся в объёме, необходимом для понимания алгоритмов. Цель — понимать принципы построения и стойкости криптографических механизмов и уметь корректно применять, анализировать и проверять их при разработке защищённых систем: обоснованно выбирать примитивы и параметры, применять их средствами OpenSSL и библиотеки cryptography, читать стандарты (FIPS, RFC) и распознавать типичные ошибки применения в чужом коде.

Курс построен вокруг трёх идей. Первая — стойкость из трудной задачи: каждый механизм рассматривается вместе с тем, на чём основана его стойкость (перебор ключа, нахождение коллизии, факторизация, дискретный логарифм, решётки) и какие требования он предъявляет к ключу, одноразовому числу и данным. Вторая — «построй, сломай, исправь»: в каждой лабораторной работе сначала применяется механизм правильно и сверяет реализацию с тестовым вектором стандарта, затем реализуется учебная атака на неправильное применение — повтор nonce, режим ECB, оракул дополнения, предсказуемый генератор, «учебный» RSA, повтор nonce в ECDSA — и объясняется, какая мера её предотвращает. Третья — от примитива к системе: курс завершается протоколами (TLS 1.3, Signal), постквантовой криптографией и курсовым проектом, в котором примитивы складываются в работающий инструмент сквозного шифрования файлов.

Карта курса

Курс построен по одной линии, и каждая тема занимает в ней своё место:

модель угроз          кто противник, к чему имеет доступ
    ↓
свойство безопасности  конфиденциальность, целостность, свежесть…
    ↓
примитив              AES, SHA-256, HMAC, RSA, X25519
    ↓
режим или протокол    GCM, encrypt-then-MAC, TLS 1.3
    ↓
реализация            API, время выполнения, обработка ошибок
    ↓
управление ключами    генерация, хранение, ротация, уничтожение

Темы 1–4 дают основу: задачи и историю, формальные определения стойкости, случайность и математику. Темы 5–10 — симметричная криптография: шифры, режимы, хеши, MAC и AEAD, пароли и выработка ключей. Темы 11–14 — открытый ключ: Диффи — Хеллман, RSA, эллиптические кривые, подпись и PKI. Темы 15–16 собирают примитивы в протоколы и смотрят вперёд — на постквантовые схемы.

Нулевая тема стоит перед всей линией: она выравнивает подготовку по вероятности, логарифмам, алгебраическим структурам, байтам и инструментам, показывает карту зависимостей и фиксирует обозначения, которыми пользуются остальные шестнадцать тем. Каждая тема начинается с «паспорта»: что нужно знать до неё, что будет освоено, какая лабораторная работа это проверяет и какие разделы обязательны, а какие читаются для углубления.

Что даёт курс

• Понимание задач криптографии, принципа Керкгоффса, моделей атак и определений стойкости (IND-CPA, IND-CCA, EUF-CMA).
• Знание устройства и параметров основных примитивов: AES, ChaCha20, SHA-2, SHA-3, HMAC, AES-GCM, ChaCha20-Poly1305, PBKDF2, scrypt, Argon2, HKDF, RSA, ECDH, ECDSA, Ed25519, X25519, ML-KEM, и требований к ключам и одноразовым числам.
• Умение выбирать примитивы, режимы и параметры под требования системы и обосновывать выбор ссылками на стандарты.
• Умение шифровать, подписывать, вырабатывать ключи и проверять целостность средствами openssl, gpg и модулей Python cryptography, hashlib, hmac, secrets, ssl; реализовывать учебные версии алгоритмов и проверять их по тестовым векторам.
• Умение реализовать учебные атаки (частотный анализ, оракул дополнения, удлинение сообщения, восстановление ключа при повторе nonce, атаки на «учебный» RSA и малые подгруппы) и указать меры против них.
• Умение создать удостоверяющий центр, выпускать и проверять сертификаты, анализировать TLS-соединение, находить и исправлять типичные криптографические ошибки в коде.
• Навык чтения стандартов и статей об атаках, проектирования и документирования криптографической подсистемы, включая модель угроз.

Связь с другими курсами

Курс опирается на программирование на Python на уровне первого курса (функции, классы, работа с bytes и целыми числами), базовые навыки работы в командной строке Linux и дискретную математику (делимость, остатки, двоичная система счисления, основы логики и комбинаторики). Желательно общее представление о компьютерных сетях: что такое TCP-соединение и HTTP. Результаты курса пригодятся в курсах по защите информации в компьютерных сетях, безопасности веб-приложений, безопасной разработке программного обеспечения, распределённым системам и Интернету вещей.

Темы курса

Каждая тема включает лекцию (вкладка «Теория»), лабораторную работу и дополнительные материалы (вопросы для самопроверки, глоссарий, шпаргалка по инструментам, аннотированный список литературы и ресурсов).

Уровни материала и самопроверка

Материал разделён на три уровня, и в каждой лабораторной работе они помечены явно:

• минимум — обязательная часть: выполняется без внешней сети, только с пакетами из перечня оснащения;
• практический уровень — задания на измерение, атаку и объяснение результата;
• углубление — необязательные части: реальные сайты, дополнительные инструменты, более сложные атаки.

В теории граница проходит по разделам: в «паспорте» каждой темы указано, какие разделы обязательны, а какие читаются для углубления. Обязательный минимум даёт цельную картину курса; углубление — детали, без которых можно обойтись при первом проходе.

Для самопроверки полезно держать в голове веса, отражающие вклад разных видов работы в понимание. Это не баллы и не оценки: курс рассчитан на самостоятельное изучение, и никаких зачётов по нему не предусмотрено.

Ответ на теоретический вопрос считается полным, если в нём есть модель угрозы, предположения, ограничения, практическое следствие и пример ошибки применения — а не только формула.

Учебная среда

Все лабораторные работы выполняются на компьютере под управлением Linux. Рекомендуемая платформа — Ubuntu 24.04 LTS: установленная на компьютер, в виртуальной машине (VirtualBox, VMware, Hyper-V, UTM) или в подсистеме WSL2 на Windows. Большинство работ выполнимо и на macOS с OpenSSL и Python 3 из Homebrew, но различия команд там не разбираются. Права администратора нужны только для установки пакетов: учебные «серверы» и оракулы запускаются от имени пользователя на адресе 127.0.0.1.

Набор пакетов устанавливается в первой лабораторной работе:

sudo apt update
sudo apt install -y python3 python3-cryptography python3-argon2 openssl gnupg xxd curl wireshark

На Ubuntu 24.04 это даёт Python 3.12, OpenSSL 3.0 и библиотеку cryptography версии 41. Вместо системного пакета можно использовать виртуальное окружение: python3 -m venv ~/crypto-venv && ~/crypto-venv/bin/pip install cryptography argon2-cffi. Код окружений лабораторных работ совместим с cryptography начиная с версии 3.4 и с OpenSSL 3.0; постквантовые алгоритмы в OpenSSL появились с версии 3.5, поэтому в теме 16 они изучаются на учебных реализациях.

К каждой лабораторной работе прилагается архив окружения: заготовки программ с пометками TODO, автоматические проверки, данные (шифртексты, ключи, словари, изображения) и учебные серверы-оракулы. Минимальные требования: 4 ГБ ОЗУ, 2 ГБ свободного места, доступ в Интернет для установки пакетов. Обязательные части всех работ выполняются без выхода в сеть: всё необходимое для них лежит в архиве окружения; внешняя сеть и реальные сайты нужны только в необязательных частях тем 14–16.

Учебные реализации алгоритмов (собственные AES, RSA, ECDSA и другие), которые пишутся в лабораторных работах, предназначены только для понимания механизма и не пригодны для реального применения: в них нет защиты от атак по сторонним каналам и многих проверок. В реальных системах используются только проверенные библиотеки. Атаки выполняются исключительно против учебных объектов из окружений; несанкционированный доступ к чужой информации преследуется по закону (статьи 272–274 УК РФ).

Как работать с материалами

Тема изучается в следующем порядке.

1. Теория. Лекция читается целиком, с остановками на схемах и числовых примерах. «Паспорт темы» в начале показывает, что понадобится из предыдущего, что будет освоено и какие разделы обязательны; к последним разделам, помеченным как углубление, можно вернуться позже. Примеры с малыми числами полезно пересчитать вручную или в интерпретаторе Python. Ссылки в тексте вида ¹ ведут к списку литературы в конце темы: к первоисточникам — стандартам и статьям об атаках — стоит обращаться, когда хочется понять, почему механизм устроен именно так.
2. Дополнительно. Вопросы для самопроверки показывают, усвоен ли материал: если на вопрос не удаётся ответить своими словами, соответствующий раздел стоит перечитать. Глоссарий и шпаргалка нужны во время лабораторной работы.
3. Лабораторная работа. Главный принцип — предсказать, затем проверить: прежде чем запустить атаку или эксперимент, следует записать ожидаемый результат (сколько попыток потребуется, сколько бит изменится, что произойдёт при подмене байта), а после — объяснить расхождение. Реализация считается верной только после совпадения с тестовым вектором стандарта. Части помечены уровнями: минимум — обязательная часть, практический уровень — задания с атакой и измерением, углубление — необязательные опыты.

Темы следует проходить по порядку: каждая опирается на предыдущие, а тема 4 (математика) нужна для тем 11–13. Если хочется сократить путь, минимальная траектория, дающая цельную картину, — темы 0, 1, 2, 3, 6, 7, 8, 9, 10 и 15.

Итоговые вопросы для самопроверки

Вопросы охватывают весь курс; если на вопрос не удаётся ответить своими словами, стоит вернуться к соответствующей теме.

1. Задачи криптографии: конфиденциальность, целостность, аутентичность, неотрекаемость. Принцип Керкгоффса. Модели противника.
2. Шифры простой замены и Виженера. Криптоанализ: частотный анализ, метод Касиски, индекс совпадений.
3. Совершенная секретность по Шеннону. Одноразовый блокнот, его ограничения и последствия повторного использования ключа.
4. Расстояние единственности и избыточность языка. Расчёт для простой замены.
5. Вычислительная стойкость, уровень стойкости в битах. Модели атак: только шифртекст, известный, выбранный открытый текст, выбранный шифртекст. Неразличимость IND-CPA.
6. Генераторы случайных чисел: истинные, псевдослучайные, криптографически стойкие. Почему Mersenne Twister непригоден для криптографии. ГСЧ ядра Linux.
7. Реальные провалы генерации случайных чисел: Debian OpenSSL 2008, ключи RSA с общими простыми множителями.
8. Расширенный алгоритм Евклида, обратный элемент по модулю, китайская теорема об остатках.
9. Малая теорема Ферма и теорема Эйлера. Тест Миллера — Рабина. Генерация больших простых чисел.
10. Группы, порядок элемента, порождающий элемент. Задача дискретного логарифмирования и алгоритм «шаг младенца — шаг великана».
11. Конечные поля GF(p) и GF(2^n). Умножение в GF(2^8).
12. Поточные шифры. LFSR, линейная сложность, алгоритм Берлекэмпа — Мэсси. Слабости RC4.
13. ChaCha20: состояние, четверть-раунд, роль счётчика и nonce. Ковкость поточного шифрования.
14. Сеть Фейстеля. DES: параметры, история, атака «встреча посередине» на двойное шифрование.
15. AES: структура раунда, операции SubBytes, ShiftRows, MixColumns, AddRoundKey, расписание ключей.
16. Режимы ECB, CBC, CTR: схемы, требования к IV, распространение ошибок, ковкость.
17. Дополнение PKCS#7 и атака оракула дополнения.
18. Свойства криптографических хеш-функций. Парадокс дней рождения. Конструкция Меркла — Дамгора и атака удлинения сообщения.
19. SHA-2 и SHA-3: устройство, различия, губка Keccak. История взлома MD5 и SHA-1.
20. Коды аутентификации сообщений. CBC-MAC, CMAC, HMAC. Почему H(key || message) — плохой MAC.
21. Сочетание шифрования и MAC: encrypt-and-MAC, MAC-then-encrypt, encrypt-then-MAC. Атака по времени на сравнение тегов.
22. Аутентифицированное шифрование с присоединёнными данными. AES-GCM и ChaCha20-Poly1305. Последствия повтора nonce.
23. Хранение паролей: соль, перебор по словарю, радужные таблицы. PBKDF2, bcrypt, scrypt, Argon2 и выбор параметров.
24. Функции выработки ключей. HKDF: этапы extract и expand, разделение ключей по назначению. Иерархия ключей и шифрование конвертом.
25. Проблема распределения ключей. Протокол Диффи — Хеллмана, задачи CDH и DDH, выбор параметров.
26. Атаки на протокол Диффи — Хеллмана: человек посередине, малые подгруппы, Logjam. Прямая секретность.
27. RSA: генерация ключей, шифрование и расшифрование, корректность, ускорение через КТО.
28. Атаки на «учебный» RSA: малый показатель, атака Хостада, общий модуль, общие простые множители. Дополнения OAEP и PKCS#1 v1.5, атака Блейхенбахера.
29. Подпись RSA: «учебная» подпись и её подделка, PKCS#1 v1.5 и PSS.
30. Эллиптические кривые над GF(p): групповой закон, скалярное умножение, ECDLP. Сравнение длин ключей RSA и ECC.
31. ECDH, ECDSA и EdDSA. Восстановление закрытого ключа при повторе nonce в ECDSA.
32. Сертификат X.509: поля и расширения. Построение и проверка цепочки сертификатов.
33. Отзыв сертификатов: CRL, OCSP, OCSP stapling. Certificate Transparency. Инциденты с удостоверяющими центрами.
34. Атаки на криптографические протоколы: повтор, отражение, человек посередине, понижение версии. Атака Лоу на протокол Нидхема — Шрёдера.
35. TLS 1.3: рукопожатие, расписание ключей, возобновление сессии и 0-RTT. Отличия от TLS 1.2.
36. Протокол Signal: X3DH и Double Ratchet, свойства прямой и обратной секретности.
37. Угроза квантовых вычислений: алгоритмы Шора и Гровера. Стандарты ML-KEM, ML-DSA, SLH-DSA. Гибридный обмен ключами.
38. Задача LWE и схема шифрования Регева. Одноразовая подпись Лэмпорта и деревья Меркла.
39. Типичные ошибки применения криптографии в программном коде и способы их предотвращения.

Рекомендуемая литература

Основная

1. Katz J., Lindell Y. Introduction to Modern Cryptography. 3rd ed. — CRC Press, 2020.
2. Aumasson J.-P. Serious Cryptography: A Practical Introduction to Modern Encryption. 2nd ed. — No Starch Press, 2024.
3. Boneh D., Shoup V. A Graduate Course in Applied Cryptography. — Открытое издание: toc.cryptobook.us.
4. Paar C., Pelzl J. Understanding Cryptography: A Textbook for Students and Practitioners. — Springer, 2010. Видеолекции авторов: crypto-textbook.com.
5. Алфёров А. П., Зубов А. Ю., Кузьмин А. С., Черёмушкин А. В. Основы криптографии. — М.: Гелиос АРВ, 2002.

Дополнительная

1. Menezes A. J., van Oorschot P. C., Vanstone S. A. Handbook of Applied Cryptography. — CRC Press, 1996. Свободная версия: cacr.uwaterloo.ca/hac.
2. Ferguson N., Schneier B., Kohno T. Cryptography Engineering: Design Principles and Practical Applications. — Wiley, 2010.
3. Wong D. Real-World Cryptography. — Manning, 2021.
4. Шнайер Б. Прикладная криптография. Протоколы, алгоритмы, исходные тексты на языке Си. — М.: Триумф, 2002.
5. Черёмушкин А. В. Криптографические протоколы. Основные свойства и уязвимости. — М.: Академия, 2009.
6. Сингх С. Книга шифров. Тайная история шифров и их расшифровки. — М.: АСТ, 2007.

Интернет-ресурсы

• NIST Computer Security Resource Center — стандарты FIPS и рекомендации NIST SP 800, в том числе постквантовые FIPS 203–205.
• RFC Editor и IRTF CFRG — криптографические RFC: ChaCha20-Poly1305, HKDF, X25519, Ed25519, TLS 1.3.
• Документация OpenSSL и документация pyca/cryptography.
• Cryptopals Crypto Challenges — наборы задач на атаки против неправильного применения криптографии; хорошее продолжение лабораторных работ курса.
• IACR Cryptology ePrint Archive — препринты научных статей по криптографии.
• BlueKrypt: Cryptographic Key Length Recommendation — сводка рекомендаций по длинам ключей разных организаций.
• Matthew Green. A Few Thoughts on Cryptographic Engineering и блог Cloudflare — разборы реальных атак и внедрения новых протоколов.
• Технический комитет по стандартизации ТК 26 «Криптографическая защита информации» — отечественные криптографические стандарты и рекомендации.

Курсовой проект. Утилита сквозного шифрования файлов «Сейф»

• Разделы курса: темы 3, 8–16

Назначение проекта

Лабораторные работы курса изучают механизмы по одному: AEAD отдельно от обмена ключами, функцию выработки ключа из пароля отдельно от подписи. В реальной системе они работают вместе, и большинство уязвимостей возникает не внутри примитивов, а на стыках: ключ обёртывания вырабатывается без привязки к контексту, подпись не покрывает часть заголовка, ошибки расшифрования различимы и создают оракул, параметры функции для пароля хранятся без защиты и могут быть ослаблены. Курсовой проект собирает изученные примитивы в один инструмент и учит тому, что не помещается в отдельную работу: строить модель угроз до написания кода, следовать спецификации формата байт в байт, проверять систему негативными тестами и честно описывать её ограничения.

Результат проекта — работающая утилита командной строки на Python, набор тестов, модель угроз и проектная документация с обоснованием решений.

Постановка задачи

Сотрудники компании «Северный узел» обмениваются конфиденциальными документами через общий файловый сервер и электронную почту. Ни серверу, ни почте доверять нельзя: администратор сервера может прочитать или подменить файл, письмо может быть перехвачено. Требуется утилита «Сейф», которая позволяет отправителю зашифровать файл для одного или нескольких коллег так, чтобы:

• прочитать файл могли только указанные получатели (конфиденциальность);
• любое изменение контейнера — содержимого, списка получателей, заголовка — обнаруживалось при расшифровании (целостность);
• получатель мог убедиться, что файл создал именно указанный отправитель, ключ которого он ранее проверил по отпечатку (аутентичность);
• похищение файла с закрытыми ключами без пароля не давало противнику ключей, а перебор пароля был дорогим.

Спецификация форматов задана в файле FORMAT.md окружения: открытый ключ пользователя, хранилище ключей под паролем и двоичный контейнер. Схема — гибридное шифрование: случайный ключ файла шифрует содержимое алгоритмом AES-256-GCM, а для каждого получателя ключ файла «обёртывается» ключом, выработанным функцией HKDF из общего секрета эфемерного обмена X25519; контейнер подписывается ключом Ed25519 отправителя. Хранилище ключей защищено ключом, выработанным из пароля функцией scrypt.

Требования

Базовый уровень

1. Реализовать функции save_identity и load_identity (модуль seif/keystore.py) и encrypt, parse_header, decrypt (модуль seif/container.py) строго по FORMAT.md. Использовать только библиотеку cryptography и стандартную библиотеку Python; собственные реализации примитивов запрещены.
2. Все обязательные тесты tests/test_seif.py проходят без изменений тестов.
3. Любая ошибка проверки — неверный пароль, подмена любого байта, усечение, чужой получатель, недоверенный отправитель — приводит к одному и тому же исключению SeifError; сообщение не раскрывает деталей, позволяющих построить оракул (тема 7); выходной файл при ошибке не создаётся.
4. Секреты вырабатываются только из os.urandom/secrets (тема 3); каждому ключу — свой nonce, повтор пары «ключ, nonce» исключён конструкцией (обосновать в проектной документации, тема 9).
5. Не менее десяти собственных тестов, из них не менее шести негативных: перестановка записей получателей, подмена eph_pub с переподписью тем же отправителем, замена тела контейнера телом другого контейнера, подмена nonce тела, повреждённый JSON открытого ключа и другие.
6. Модель угроз по шаблону templates/threat-model.md: активы, противники, угрозы, меры и тест на каждую меру.
7. Совместимость: контейнер, созданный вашей утилитой, расшифровывается независимой реализацией формата (например, утилитой другого автора или собственным вторым скриптом по FORMAT.md), и наоборот (проверяется обменом файлами).
8. Смена ключей: команда, создающая новое удостоверение при сохранении старого, и правило, по которому контейнеры, зашифрованные прежним ключом, продолжают расшифровываться (тема 11). В записке — что происходит при компрометации личного ключа и почему перевыпуск не отменяет уже утёкшие файлы.
9. Журнал операций без секретов: утилита записывает, кто, когда, какой файл обработал, какой отпечаток отправителя проверял и каким был результат, но не записывает ни пароли, ни ключи, ни открытый текст (темы 3, 14). Тест проверяет, что в журнале нет ни одной строки секрета.
10. Таблица примитивов в записке: для каждого свойства (конфиденциальность, целостность, аутентичность, стойкость пароля) — примитив, параметры, уровень стойкости в битах и источник (тема 10).

Повышенный уровень

Углублённая часть, по желанию; рекомендуется выполнить хотя бы два пункта:

11. Потоковый формат версии 3 для файлов произвольного размера: содержимое делится на фрагменты по 64 КиБ, каждый шифруется отдельно; nonce фрагмента строится из номера фрагмента и признака последнего фрагмента, так что перестановка, удаление, дублирование и усечение фрагментов обнаруживаются (идея конструкции STREAM). Память утилиты не зависит от размера файла — проверить на файле 1 ГБ.
12. Хранилище на Argon2id (argon2-cffi, тема 10) с подбором параметров под 0,5 с на машине пользователя и миграцией старых хранилищ.
13. TOFU и журнал ключей: при первом получении файла от отправителя утилита запоминает отпечаток; при смене ключа — предупреждение и отказ без явного подтверждения (тема 14).
14. Скрытый отправитель: подпись переносится внутрь зашифрованного тела, чтобы посторонний не видел, кто отправитель; проанализировать, какие свойства при этом меняются (подпись должна по-прежнему покрывать список получателей).
15. Гибрид с постквантовым KEM: если доступна реализация ML-KEM (OpenSSL 3.5+ или библиотека liboqs-python), ключ обёртывания вырабатывается из конкатенации секретов X25519 и ML-KEM-768 (тема 16); формат получает новый номер набора алгоритмов.

Обязательные элементы и как они проверяются

Проект оценивается не по объёму кода, а по наличию элементов, каждый из которых чем-то проверяется. Таблица связывает элемент с требованием и со способом проверки: если способа проверки нет, элемент не считается выполненным.

Проверки TLS-сертификата в проекте нет намеренно: утилита работает с файлами, а не с соединениями, и подмена сертификата здесь неоткуда взяться. Эквивалент этой проверки — отпечаток ключа отправителя и правило TOFU (п. 13), и в записке нужно объяснить, почему отпечаток решает ту же задачу: обе конструкции привязывают доверие к заранее известному значению, а не к имени.

Окружение

Архив окружения: cp-env.zip. Содержит каркас пакета seif (готовые командная строка, классы удостоверений и открытых ключей; функции для реализации помечены TODO), спецификацию FORMAT.md, обязательные тесты и шаблоны модели угроз и проектной документации. Запуск тестов:

python3 -m unittest -v

В исходном состоянии тесты падают с NotImplementedError — это ожидаемо. Пример работы готовой утилиты:

python3 -m seif keygen --name alice --out alice.key
python3 -m seif export --key alice.key --out alice.pub
python3 -m seif fingerprint alice.pub
python3 -m seif encrypt --key alice.key -r bob.pub -r carol.pub report.pdf report.seif
python3 -m seif decrypt --key bob.key --trust alice.pub report.seif report.pdf

Рекомендуемые этапы

Проектная документация

Структура — в templates/report-outline.md. Записка нужна для себя: она заставляет сформулировать решения. Основные элементы: модель угроз; обоснование каждого выбранного алгоритма и параметра со ссылкой на стандарт (RFC 7748, RFC 8032, RFC 5869, RFC 7914, NIST SP 800-38D) и оценкой уровня стойкости в битах; ответ на вопрос, зачем в HKDF в качестве соли используются оба открытых ключа и зачем в подписи префикс seif v2 signature (разделение контекстов); перечень тестов с указанием угрозы, которую проверяет каждый; честный раздел ограничений — что утилита не защищает и почему.

Критерии готовности

• Проектные решения обоснованы, модель угроз составлена до реализации: для каждой угрозы указана мера и тест на неё.
• Все обязательные тесты проходят без изменений; корректно работают шифрование, расшифрование и проверка подписи, контейнеры совместимы с независимой реализацией.
• Есть собственные тесты, в том числе негативные: каждая подмена обнаруживается, и ошибки неразличимы.
• Используются библиотечные примитивы, а не собственные; ключи не хранятся в открытом виде; сообщения об ошибках расшифрования не создают оракула.
• Записка объясняет выбор алгоритмов и параметров, содержит честный раздел ограничений и ответы на вопросы про соль HKDF и префикс подписи.
• Смена ключей и журнал без секретов работают и покрыты тестами; таблица примитивов заполнена и сверена с источниками.
• Выполнены выбранные пункты углублённой части (по желанию).