3. Класс шифрующих функций с гибкой выборкой подключей

В этом разделе приводится обобщенное описание класса алгоритмов шифрования, основанных на выборке подключей в зависимости от преобразуемого сообщения, и дается характеристика их общих свойств. В дальнейших разделах будут рассмотрены конкретные криптосистемы, относящиеся к этому классу и имеющие практическое значение.

Обозначения

Входной блок T представлен в виде конкатенации b-битовых подблоков B⁽ⁱ⁾:T=B^(n-1)||B^(n-2)||...||B⁽¹⁾||B⁽⁰⁾, где n  число подблоков.

#T  мощность множества всех возможных входных блоков, #T=2^nb.

{Q_j}={Q[j]} ключ шифрования в виде последовательности b-битовых подключей Q[j], j=0,1,2,...,2^1.

  двоичное число в интервале от 0 до 2^1, задаваемое управляющими двоичными разрядами подблока и определяющее текущий подключ Q_=Q[], используемый в преобразованиях.

  количество управляющих битов.

d  целое число, задающее число подраундов в одном раунде шифрования.

s  номер текущего подраунда, s=1,2,...,b/d.

i  номер текущего шага шифрования в текущем раунде, i=1,2,...,nb/d.

(g)  некоторая подстановка, определенная на множестве чисел 0,1,2,...,n1.

Запись B^>x> (B^<x<) обозначает операцию циклического сдвига вправо (влево) подблока B на x двоичных разрядов.

Механизм шифрования

Один раунд шифрования описывается следующим выражением

C=E(T)=e_( e_(...e_(e_(T)))),

где e_ элементарные функции шифрования, i = 1,2,...,k; k =nb/d; C ‑ выходной блок шифротекста. На i-том шаге преобразуется только подблок B^(g), где g = i mod n:

B^((g)):=e_i( B^((g)),Q[ (s,g')] ),

где (s,g')=(B^((g’)) )^>d(s-1)> mod 2^; g' = (i1) mod n; s = 1 + (i1) div n; e_i ‑ элементарная шифрующая функция, которая для фиксированного B^(g)) определяет некоторую подстановку (Q_) на множестве чисел 0,1,2,...,2^b1.

Шифрование данного блока T можно представить в виде обобщенной формулы:

C=f(T, Q_h1, Q _h2,...,Q _hk),

где {Q _hi}, i=1,2,...,k,  некоторый набор подключей, использующийся при шифровании данного подблока. Как видно из структуры функции шифрования текущий набор {Q _hi} зависит как от ключа, так и от входного сообщения.

Слайд 29

Можно сказать, что для данного ключа и данной конкретной функции шифрования каждый входной блок генерирует некоторый набор индексов h_i. Соответствующий набор подключей {Q_h1} представляет собой некоторый виртуальный ключ для преобразования данного блока T. Существуют только N_T=2^bn различных входных блоков, тогда как число различных наборов {Q_hi} равно N_h  (2^nb/d)^r, где r  число раундов шифрования. Это позволяет предположить, что вероятность генерации двух одинаковых виртуальных ключей для двух разных входных блоков является очень малой. При разработки конкретных шифров предпочтительно использование таких элементарных шифрующих функций, которые задают уникальность ключевых выборок для всех входных сообщений. Это требование ограничивает число возможных вариантов реализации подобных шифров с псевдовероятностной выборкой подключей, однако их число остается достаточно большим. В следующих разделах будут рассмотрены недетерминированные шифры с числом потенциально реализуемых криптоалгоритмов более 10⁵⁰, каждый из которых удовлетворяет данному требованию.

Процедуры дешифрования описываются следующей формулой:

T=D(C)=d_(d_(...d_(d_(C)))),

где d_i  некоторая элементарная функция, которая выполняется на i-том шаге и является обратной по отношению к e_n-i+1. Элементарные дешифрующие функции имеют следующую структуру:

B^((q)) := d_i(B^((q)),Q[(s,q')] ),

где (s,q')=( B^((q’)) )^>b-sd> mod 2^; q=(n+1  i) mod n; q'=(n  i) mod n; s = 1 + (i1) div n. Легко установить, что для данного ключа шифрования {Q_j} на соответствующих шагах шифрующих и дешифрующих преобразований используются одни и те же подключи.

Рассмотрим случай d= и такие элементарные шифрующие функции, которые удовлетворяют следующему условию:

Слайд 30

Критерий 1.

Все элементарные шифрующие функции задают подстановку старшей части преобразуемых подблоков.

В этом критерии предполагается, что текущий подблок представлен как конкатенация старшей и младшей частей:

B = H||L = H2^d(s-1) +L,

где количество двоичных разрядов младшей части зависит от номера текущего подраунда преобразования и равно l=d(s1). Критерий 1 определяет выбор элементарных функций со следующей структурой:

B := e(B) = (H)2^d(s-1) + f(L),

где (H)  подстановка на множестве чисел {0,1,2,...,2^b-d(s-1)1}; f(L)  2 ^d(s-1)1. При выполнении критерия 1 следующее утверждение является очевидным (этот критерий направлен на реализацию данного утверждения).

Утверждение 1.

Для произвольного ключа шифрования при d =  каждый входной блок генерирует уникальный набор индексов {h_i}.

Следующая теорема является важной при рассмотрении конкретных алгоритмов, рассмотренных ниже.

Теорема 1.

Если d = , то для произвольного ключа шифрования {Q_j} и произвольного набора индексов {h_i}, где i=1,2,...,n/d, существует единственный входной блок T, для которого генерируется заданный набор индексов.

Доказательство.

Мощность множества всех возможных наборов из k индексов равна #{h_i}= (2^)^nb/d. При d= имеем #{h_i}=2^nb=#T. Учитывая утверждение 1, получаем взаимно-однозначное соответствие между элементами {h_i} и T, которое доказывает теорему 1.

В приведенном ниже алгоритме, являющемся частным случаем рассмотренной криптосхемы в качестве подстановки (g) используется тождественная подстановка для всех подраундов, а в качестве операций преобразования  простые арифметические операции: поразрядное сложение по модулю два (), сложение и вычитание по модулю 2³² (+ и , соответственно), а также циклический сдвиг на фиксированное число битов или на число битов, зависящее от преобразуемых данных. Предполагается, что используется 1024-байтовый шифрключ {Q_j}={Q_}, где Q_j  32-битовые подключи (,j=0,1,2,...,255).

При записи алгоритмов использованы следующие обозначения: X,Y,Z и W  32-битовые переменные;

u = (i1) mod 4;

Q() = Q_, где = a_u,b_u,d_u,e_u;

a_u = (X_i)^>8u> mod 2⁸;

b_u = (Y_i)^>8u>  mod 2⁸;

d_u = (Z_i)^>8u> mod 2⁸;

e_u = (W_i-1)^>8u> mod 2⁸;

V = v₄||v₃||v₂|| v₁, где V = X,Y,Z,W и v = x,y,z,w.

Слайд 31

АЛГОРИТМ 1: 128-битовый шифр

(d==8; b=32; n=4)

ВХОД: 128-битовый блок T=D||B||A||E представленный в виде конкатенации четырех 32-битовых слов.

1. Установить: R = 3, i = 1, X₀ = A, Y₀ = B, Z₀ = D и W₀ = E.

2. Преобразовать X: X_i = X_i-1Q(e_u).

3. Преобразовать Y: Y_i = Y_i-1Q(a_u).

4. Преобразовать Z: Z_i = Z_i-1  Q(b_u).

5. Преобразовать W: W_i = W_i-1Q(d_u),

(w₄||w₃)_si:= ((w₄||w₃)_i)^>Yi>, и прирастить i.

6. X _i = [(X _i-1  W_i-1) mod 2³²]Q(e_u).

7. Y_i = {Y_i-1 + Q(a_u)] mod 2³²}X_i.

8. Z_i = [(Z_i-1Y_i)  Q(b_u)] mod 2³²

9. W_i = [W_i  Q(d_u)] mod 2³²,

(w₂||w₁)_i := ((w₂||w₁)_i)^>Yi>, прирастить i.

10. X_i = [X_i-1  Q(e_u)] mod 2³².

11. Y_i = {[Y_i-1Q(a_u)] + W_i-1} mod 2³².

12. Z_i = {[Z_i-1Q(b_u)]  X_i}mod 2³².

13. W_i = W_i-1Q(d_u), прирастить i.

14. X_i = [X_i-1 + Q(e_u)] mod 2³².

15. Y_i = Y_i-1Q(a_u).

16. Z_i = [Z_i-1  Q(b_u)] mod 2³².

17. W_i = [(W_i-1Z_i) ^>Yi> + Q(d_u)] mod 2³².

18. Если i < 4R, то прирастить i и перейти к п. 2,

в противном случае СТОП.

ВЫХОД: 128-битовый блок C=Z₁₂||Y₁₂||X₁₂||W₁₂.

Алгоритм дешифрования легко составить, записывая процедуры преобразования в обратном порядке и заменяя элементарные операции на обратные. По аналогии с этим алгоритмом легко можно записать процедуры для преобразования 32-, 48-, 64-, 96-, 256-битовых блоков данных. При этом надо иметь в ввиду, что шифрование блоков размером менее 64 бит может оказаться нестойким против метода бесключевого чтения, если не использовать дополнительные шифрующие механизмы, ориентированные на противодействие этому виду криптоанализа.

При увеличении размера шифруемого блока может быть достигнут более высокий уровень стойкости к различным способам криптоанализа. Для использования этого эффекта необходимо обеспечить влияние всех битов входного блока на все биты выходного блока и на выборку подключей. Рассмотренная выше структура шифрующих функций позволяет использовать блоки практически произвольного размера, однако, при nb>128 ее скоростные качества несколько уменьшаются. При задании размера блоков 4096 бит (512 байт) сохраняется возможность произвольного доступа к данным, хранимым на встроенном магнитном носителе, и появляются условия для разработки других типов криптосхем с недетерминированной выборкой подключей, потенциально обладающих более высокой стойкостью.

Слайд 32