ПРИЛОЖЕНИЕ

Доказательство теоремы 3.

Выберем произвольное сообщение М₁ и сгруппируем вместе все криптограммы, которые могут быть получены из М₁ с помощью любой операции шифрования T_i. Обозначим этот класс криптограмм C₁'. Объединим в одну группу с М₁ все сообщения, которые выражаются в виде T_i^–1T_jМ₁ и назовем этот класс C₁. То же самое C₁' можно получить, если взять любое сообщение M из класса C₁ так как

T_sT_j^–1T_iМ₁ = T_lМ₁.

При этом мы придем и к тому же классу C₁.

Выбирая некоторое сообщение M, не принадлежащее классу C₁ (если такое найдется), таким же способом построим классы C₂ и C₂'. Продолжая этот процесс, получим остаточные классы со свойствами 1 и 2. Пусть M₁ и M₂ выбраны из класса C₁. Предположим, что

M₂ = T₁T₂^–1M₁.

Если криптограмма E₁ принадлежит классу C₁' и может быть получена из сообщения M₁ с помощью отображений

,

то

.

Таким образом, каждое сообщение M_i из класса C₁ отображается в криптограмму E₁ с помощью одного и того же числа ключей. Аналогично каждая криптограмма E_i из класса C₁' получается из сообщений, принадлежащих классу C₁, с помощью того же самого числа ключей. Отсюда следует, что это число ключей является делителем полного числа ключей, и поэтому условия 3 и 4 выполнены.