Методы шифрования информации в сетях и системах радиосвязи

8. Заполнение и зашифровывается в режиме простой замены.

Полученное в результате зашифрования заполнение , образует второй 64-

разрядный блок гаммы шифра , который суммируется поразрядно по модулю 2 в сумматоре со вторым блоком открытых данных .

Аналогично вырабатываются блоки гаммы шифра , ... , и

зашифровываются блоки открытых данных , ... , . Если длина последнего -го блока открытых данных меньше 64 бит, то из последнего

-го блока гаммы шифра для зашифрования используется только соответствующее число разрядов гаммы шифра, остальные разряды отбрасываются.

9.В канал связи или память ЭВМ передаются синхропосылка и блоки зашифрованных данных , , ... , .

10.Уравнение зашифрования имеет вид:

, (1.21)

где

’ - означает суммирование 32-разрядных заполнений по модулю (2-

1);

- поразрядное суммирование по модулю 2 двух заполнений;

- содержимое накопителя после зашифрования -го блока открытых данных ;

- содержимое накопителя после зашифрования -го блока открытых данных ;

Расшифрование зашифрованных данных в режиме гаммирования (схема программной реализации алгоритма приведена в приложении А рисунок 7):

125

При расшифровании криптосхема имеет тот же вид, что и при зашифровании. В КЗУ вводятся 256 бит ключа, с помощью которого осуществлялось зашифрование данных , , ..., . Синхропосылка вводится в накопители и и осуществляется процесс выработки блоков гаммы шифра , , ... , . Блоки зашифрованных данных , , ... ,

суммируются поразрядно по модулю 2 в сумматоре с блоками гаммы шифра, в результате получаются блоки открытых данных , , ..., , при этом может содержать меньше 64 разрядов.

Уравнение расшифрования имеет вид:

(1.22)

1.7. Режим гаммирования с обратной связью

Данный режим очень похож на режим гаммирования и отличается от него только способом выработки элементов гаммы – очередной элемент гаммы вырабатывается как результат преобразования по циклу 32-З предыдущего блока зашифрованных данных, а для зашифрования первого блока массива данных элемент гаммы вырабатывается как результат преобразования по тому же циклу синхропосылки. Этим достигается зацепление блоков – каждый блок шифртекста в этом режиме зависит от соответствующего и всех предыдущих блоков открытого текста, это видно и в уравнении режима шифрования

(расшифрования) гаммирования с обратной связью (формула 1.23). Поэтому данный режим иногда называется гаммированием с зацеплением блоков. На стойкость шифра факт зацепления блоков не оказывает никакого влияния.

Шифрование в режиме гаммирования с обратной связью обладает теми же особенностями, что и шифрование в режиме обычного гаммирования, за исключением влияния искажений шифртекста на соответствующий открытый текст (свойство 4).

126

(1.23)

Если в режиме обычного гаммирования изменения в определенных битах шифртекста влияют только на соответствующие биты открытого текста, то в режиме гаммирования с обратной связью картина несколько сложнее. Как видно из соответствующего уравнения, при расшифровании блока данных в режиме гаммирования с обратной связью, блок открытых данных зависит от соответствующего и предыдущего блоков зашифрованных данных. Поэтому,

если внести искажения в зашифрованный блок, то после расшифрования искаженными окажутся два блока открытых данных – соответствующий и следующий за ним, причем искажения в первом случае будут носить тот же характер, что и в режиме гаммирования, а во втором случае – как в режиме простой замены. Другими словами, в соответствующем блоке открытых данных искаженными окажутся те же самые биты, что и в блоке шифрованных данных,

а в следующем блоке открытых данных все биты независимо друг от друга с

вероятностью 1/2 изменят свои значения.

Зашифрование (схема программной реализации алгоритма приведена в

зашифровываются в режиме гаммирования с обратной связью путем

127

(1.25)

из 64 бит вводится в и .

3. Исходное заполнение и зашифровывается в режиме простой замены. Полученное в результате зашифрования заполнение и образует первый 64-разрядный блок гаммы шифра = , который суммируется поразрядно по модулю 2 в сумматоре с первым 64-разрядным блоком открытых данных

по обратной связи записывается в указанные накопители. При этом значение

128

64 разрядов, то из используется только соответствующее число разрядов гаммы шифра, остальные разряды отбрасываются.

7. Уравнения зашифрования в режиме гаммирования с обратной связью имеют вид:

(1.28)

8. В канал связи или память ЭВМ передаются синхропосылка и блоки зашифрованных данных , , ... , .

Расшифрование зашифрованных данных в режиме гаммирования с обратной связью (схема программной реализации алгоритма приведена в приложении А рисунок 9):

При расшифровании криптосхема имеет тот же вид, что и при зашифровании.

1.В КЗУ вводятся 256 бит того же ключа, на котором осуществлялось зашифрование , , ... , . Синхропосылка вводится в и .

2.Исходное заполнение , (синхропосылка ) зашифровывается в режиме простой замены. Полученное в результате зашифрования заполнение ,

образует первый блок гаммы шифра , который суммируется поразрядно по модулю 2 в сумматоре с блоком зашифрованных данных

. В результате получается первый блок открытых данных .

3. Блок зашифрованных данных является исходным заполнением ,

для выработки второго блока гаммы шифра . Блок записывается в

, . Полученное заполнение , зашифровывается в режиме простой замены, полученный в результате блок суммируется поразрядно по модулю

2 в сумматоре со вторым блоком зашифрованных данных . В результате получается блок открытых данных .

129

Аналогично в , последовательно записываются блоки зашифрованных данных , , + , , из которых в режиме простой замены вырабатываются блоки гаммы шифра , , + , . Блоки гаммы шифра суммируются поразрядно по модулю 2 в сумматоре с блоками зашифрованных данных , , + , , в результате получаются блоки открытых данных , ... , , при этом длина последнего блока открытых данных может содержать меньше 64 разрядов.

Уравнения расшифрования в режиме гаммирования с обратной связью имеют вид:

(1.29)

1.8. Режим выработки имитовставки

Для решения задачи обнаружения искажений в зашифрованном массиве данных с заданной вероятностью в ГОСТе предусмотрен дополнительный режим криптографического преобразования – выработка имитовставки

(приложение А рисунок 10).

Целью использования имитовставки является обнаружение всех случайных или преднамеренных изменений в массиве информации. Для потенциального злоумышленника две следующие задачи практически неразрешимы, если он не владеет ключом:

вычисление имитовставки для заданного открытого массива информации;

подбор открытых данных под заданную имитовставку

Вкачестве имитовставки берется часть блока, полученного на выходе,

обычно – 32 его младших бита. При выборе размера имитовставки надо принимать во внимание, что вероятность успешного навязывания ложных данных равна величине 2–| I | на одну попытку подбора, если в распоряжении

130

злоумышленника нет более эффективного метода подбора, чем простое угадывание. При использовании имитовставки размером 32 бита эта вероятность равна

1. Для обеспечения имитозашиты открытых данных, состоящих из 64-

разрядных блоков , , ... , , 2, вырабатывается дополнительный блок из бит (имитовставка ). Процесс выработки имитовставки единообразен для всех режимов шифрования.

2. Первый блок открытых данных

первым 16 циклам алгоритма зашифрования в режиме простой замены. В КЗУ при этом находится тот же ключ, которым зашифровываются блоки открытых

131

заносится в и и подвергается преобразованию, соответствующему первым 16 циклам алгоритма зашифрования в режиме простой замены.

4. Полученное заполнение и суммируется по по модулю 2 с

третьим блоком и т.д., последний блок =, , + , , при необходимости дополненный до полного 64-разрядного блока нулями,

суммируется в по модулю 2 с заполнением , ((16), (16), ... , (16), (16), (16), ... , (16))

Результат суммирования

,

= = (1.33)

заносится в , и зашифровывается в режиме простой замены по первым 16

циклам работы алгоритма. Из полученного заполнения накопителей и

((16), (16), ... , (16), (16), (16), ... , (16))

выбирается отрезок (имитовставка) длиной бит:

вырабатывается имитовставка , которая затем сравнивается с имитовставкой

, полученной вместе с зашифрованными данными из канала связи или из памяти вычислительного комплекса. В случае несовпадения имитовставок полученные блоки открытых данных , , + , считают ложными.

132

реализации алгоритма наверняка не поддерживают возможность смены таблиц на другие Однако, в работе доказано, что секретные таблицы замен могут быть

вычислены с помощью следующей атаки, которая может быть применена практически:

1.Устанавливается нулевой ключ и выполняется поиск «нулевого вектора».

Этот этап занимает порядка 232 операций шифрования.

2.С помощью нулевого вектора вычисляются значения таблиц замен, что занимает не более 211 операций.

4.2. Модификации алгоритма и их анализ

Алгоритмы:

GOST-H, в котором, относительно оригинального алгоритма, изменен порядок использования подключей, а именно, в раундах с 25-го по 32-й

подключи используются в прямом порядке, т.е. точно так же, как и в предыдущих раундах алгоритма;

20-раундовый алгоритм GOSTÅ, в раунде которого для наложения ключа

используется операция XOR вместо сложения по модулю 232.

По результатам анализа сделан вывод о том, что GOST-H и GOSTÅ слабее исходного алгоритма ГОСТ 28147-89, поскольку оба имеют классы слабых ключей.

4.3. Анализ полнораундового алгоритма

Существуют атаки и на полнораундовый ГОСТ 28147-89 без каких-либо модификаций. Одна из первых открытых работ, в которых был проведен анализ алгоритма посвящена атакам, использующим слабости процедур расширения ключа ряда известных алгоритмов шифрования. В частности, полнораундовый алгоритм ГОСТ 28147-89 может быть вскрыт с помощью дифференциального криптоанализа на связанных ключах, но только в случае использования слабых таблиц замен. 24-раундовый вариант алгоритма (в котором отсутствуют первые

134