Кодирование и шифрование информации в системах связи. Часть 2. Шифрование

211

где [wi] – слова развернутого ключа, описанного ниже, round – номер раунда, 0 ≤ round ≤ Nr. При зашифровании, перед первым применением раундовой функции, происходит начальное добавление раундового ключа (round = 0). Применение преобразования

AddRoundKey в Nr раундах зашифрования происходит при 1 ≤ round ≤ Nr.

Расширение ключа

В алгоритме AES для получения раундовых ключей используется алгоритм расширения ключа. Расширенный ключ представляет собой линейный массив w[i] из Nb(Nr + 1) 4-

байтовых слов, i = 0, …, Nb(Nr + 1). Алгоритм выработки ключей зависит от величины Nk.

Первые Nk слов расширенного ключа заполняются ключом шифрования. Каждое последующее слово w[i] получается посредством XOR предыдущего слова w[i–1] и слова на Nk позиций ранее w[i – Nk]

w[i] = w[i – 1] w[i – Nk].

Для слов, позиция которых кратна Nk, перед применением операции XOR слово w[i–l]

подвергается воздействию двух дополнительных функций: RotWord, осуществляющей побайтовый сдвиг 32-разрядного слова по формуле {a0 a1 a2 a3} {a1 a2 a3 a0}, и SubWord,

осуществляющей побайтовую замену с использованием S-блока функции SubBytes. Затем к полученному значению прибавляется раундовая константа Rcon[j] = 2j–1. В итоге значение w[i] равно

w[i] = SubWord(RotWord(w[i – 1])) Rcon[i/Nk] w[i – Nk].

i-ый раундовый ключ получается из слов массива раундового ключа от w[Nbi] и до w[Nb(i+1)].

Функция расшифрования

Если преобразования, используемые в функции зашифрования, инвертировать и затем применить в обратном порядке, то можно произвести обратное расшифрование. При расшифровании используются следующие преобразования: InvShiftRows, InvSubBytes,

InvMixColumns и AddRoundKey (рисунок 4а).

InvShiftRows – инверсия преобразования ShiftRows. Байты в последних трех строках состояния циклически сдвигаются вправо на различное число байт. Первая строка (r = 0) не сдвигается. Вторая строка (r = 1) сдвигается на 1 байт, третья строка (r = 2) – на 2 байта,

четвертая строка (r = 3) – на 3 байта.

InvSubBytes – инверсия преобразования замены байта, в котором к каждому байту состояния применяется обратный S-блок.

InvMixColumns – инверсия преобразования MixColumns. InvMixColumns оперирует состоянием столбец за столбцом, обрабатывая каждый столбец как 4-элементный полином,

213

Существует два свойства, которые делают возможным использование функции прямого

расшифрования:

1.Преобразования SubBytes и ShiftRows можно переставлять местами, т.е. можно сначала применить преобразование SubBytes, а затем ShiftRows, и наоборот – сначала ShiftRows, а

затем SubBytes. То же самое верно и для их инверсий InvSubBytes и InvShiftRows.

2.Операции смешивания столбцов MixColumns и InvMixColumns являются линейными относительно входных данных, т.е.

InvMixColumns(State XOR Round Key) =

= InvMixColumns(State) XOR InvMixColumns(Round Key).

Эти свойства позволяют изменить порядок преобразований InvSubBytes и InvShiftRows.

Порядок преобразований AddRoundKey и InvMixColumns также может быть полностью изменен, при условии, что предварительно, используя преобразование InvMixColumns, будут изменены столбцы (слова) развернутого ключа расшифрования.

Режим обратной связи по шифртексту (CFB)

В режиме обратной связи по шифртексту (CFB) выходные блоки зашифрованного текста за счет обратной связи становятся входными блоками для последующего шифрования.

Чтобы получить зашифрованный текст, открытый текст складывается, с помощью операции

XOR, со сгенерированными выходными блоками. В качестве начального входного блока в режиме CFB используется значение вектора инициализации IV. Значение IV может быть открытым, но при этом должно быть непредсказуемым.

В режиме CFB используется целочисленный параметр s, 1 ≤ s ≤ b, где b – размер блока (в

байтах) открытого и зашифрованного текстов. Значение s иногда включается в название режима, например, 1-битовый режим CFB, 8-битовый режим CFB, 64-битовый режим CFB,

или 128-битовый режим CFB.

При зашифровании в режиме CFB первым входным блоком является значение IV (рисунок 2.38). Чтобы произвести первый входной блок к значению IV применяется операция шифрования. Первая доля зашифрованного текста производится операцией XOR

между первой долей открытого текста и s старшими битами первого выходного блока.

Оставшиеся (b–s) бит первого выходного блока отбрасываются. Затем (b–s) младших бита значения IV соединяются операцией конкатенации с s битами первой доли зашифрованного текста, для формирования второго входного блока. Другими словами для формирования второго входного блока биты первого входного блока циклически сдвигаются на s позиции влево, и затем доля зашифрованного текста заменяет s младших бит.

215

s старших бит выходного блока складывается, с помощью операции XOR, с

соответствующими долями зашифрованного текста.

При зашифровании в режиме CFB входной блок для каждой функции шифрования

(кроме первого) зависит от результата предыдущей функции шифрования, поэтому многократные операции шифрования не могут быть выполнены параллельно. При расшифровании в режиме CFB, необходимые операции шифрования могут быть выполнены параллельно, если из значения IV и зашифрованного текста сначала создать

(последовательно) входные блоки.

Режим обратной связи по выходу (OFB)

В режиме обратной связи по выходу (OFB) последовательность выходных блоков генерируется путем последовательного применения операции шифрования к значению IV.

Чтобы получить зашифрованный текст открытый текст складывается с помощью операции

XOR со сгенерированными выходными блоками и наоборот. Для данного режима шифрования значения IV должны быть случайными, т.е. IV должны быть уникальными для каждого применения режима OFB на данном ключе.

Для зашифрования в режиме OFB, чтобы произвести первый выходной блок, значение IV

преобразовывается функцией шифрования. Чтобы произвести первый блок зашифрованного текста первый выходной блок складывается, с помощью операции XOR, с первым блоком открытого текста. Затем, чтобы произвести второй выходной блок, функция шифрования применяется к первому выходному блоку. Второй выходной блок складывается с помощью операции XOR со вторым блоком открытого текста, чтобы произвести второй блок зашифрованного текста. Затем ко второму выходному блоку применяется функция шифрования, чтобы произвести третий выходной блок. Таким образом, последовательные выходные блоки производятся путем применения функции шифрования к предыдущим выходным блокам, а затем выходные блоки складывается с помощью операции XOR с

соответствующими блоками открытого текста, чтобы произвести блоки зашифрованного текста. В последнем блоке (который может быть неполным блоком из u бит) для операции

XOR используются старшие u бит последнего выходного блока. Оставшиеся (b–u) бит последнего выходного блока отбрасываются.

При расшифровании в режиме OFB чтобы произвести первый выходной блок значение

IV преобразовывается функцией шифрования (рисунок 2.39). Чтобы получить первый блок открытого текста первый выходной блок складывается, с помощью операции XOR, с первым блоком зашифрованного текста. Затем первый выходной блок преобразовывается функцией шифрования, чтобы произвести второй выходной блок. Второй выходной блок складывается с помощью операции XOR со вторым блоком зашифрованного текста, чтобы произвести

217

Для режима OFB требует уникальное значение IV для каждого сообщения, которое когда-либо будет зашифровано на данном ключе. Если, вопреки этому требованию,

используется то же самое значение IV для зашифровывания более, чем одного сообщения, то конфиденциальность этих сообщений может быть поставлена под угрозу. В частности если известен блок открытого текста любого из этих сообщений, скажем, j-й блок открытого текста, то выход j-й функции шифрования может быть определен легко из j-го блока зашифрованного текста сообщения. Эта информация позволяет легко восстановить j-й блок открытого текста любого другого сообщения, зашифрованного с использованием того же самого значения IV, из соответствующего j-го блока зашифрованного текста этого сообщения.

Конфиденциальность может быть аналогичным образом поставлена под угрозу, если любой из входных блоков функции шифрования определяется как IV для зашифрования другого сообщения на данном ключе.

Режим счетчика (Counter mode)

В режиме счетчика (CTR) для производства последовательности выходных блоков операция шифрования применяется к набору выходных блоков, называемых счетчиками.

Чтобы получить зашифрованный текст открытый текст складывается с помощью операции

XOR со сгенерированными выходными блоками и наоборот. Все блоки в последовательности счетчика должны отличаться друг от друга. Это условие не ограничивается одним сообщением, т.е. для всех сообщений, которые зашифровываются на данном ключе, все счетчики должны быть различными.

При зашифровании в режиме CRT функция шифрования применяется к каждому блоку счетчика (рисунок 2.40). Полученные выходные блоки складываются с помощью операции

XOR с соответствующими блоками открытого текста, для того чтобы произвести блоки зашифрованного текста. В последнем блоке (который может быть неполным блоком из u

битов) для операции XOR используются старшие u бит последнего выходного блока.

Оставшиеся (b–u) бит последнего выходного блока отбрасываются.

219

Методы оценки качества алгоритмов поточного шифрования

При оценке надежности поточных шифров обычно рассматривают следующие основные характеристики: период и статистические свойства ПСП, а также криптостойкость алгоритма шифрования.

1. Период

При изучении свойств последовательностей одной из наиболее важных характеристик является длина периода. Периодом последовательности называют некоторое количество бит,

после которого последовательность начинает повторяться.

Наличие периода является статистическим ―дефектом‖, который позволяет отличить ПСП от истинно случайной. Если период ПСП, используемой в качестве ключевого потока,

слишком маленький, то его относительно легко предсказать. Период ПСП должен быть достаточно болшим, чтобы никогда не повторится. Это обычно реализуется путем использования стандартного блока, который имеет доказуемо большой период, например,

LFSR максимальной длины.

2. Криптоанализ шифров

Атаки на поточные шифры классифицируются в соответствии с [6]

информацией, которая доступна криптоаналитику;

целями атак;

способами реализации атаки.

(Часто) Предполагается, что криптоаналитик знает, какой шифр используется, но ему неизвестен ключ шифрования. Взлом неизвестного алгоритма является значительно более сложной задачей, именно поэтому военные стараются держать свои шифры в тайне. Однако история показывает, что достаточно сложно сохранить криптографические функции в секрете.

Фундаментальное правило криптоанализа, впервые сформулированное голландцем А.

Керкхоффом еще в XIX веке заключается в том, что стойкость шифра (криптосистемы)

должна определяться только секретностью ключа. Иными словами, правило Керкхоффа состоит в том, что весь алгоритм шифрования, кроме значения секретного ключа, известен криптоаналитику противника. Это обусловлено тем, что криптосистема, реализующая семейство криптографических преобразований, обычно рассматривается как открытая система. Такой подход отражает очень важный принцип технологии защиты информации:

защищенность системы не должна зависеть от секретности чего-либо такого, что невозможно быстро изменить в случае утечки секретной информации. Обычно

220

криптосистема представляет собой совокупность аппаратных и программных средств,

которую можно изменить только при значительных затратах времени и средств, тогда как ключ является легко изменяемым объектом. Именно поэтому стойкость криптосистемы определяется только секретностью ключа.

Другое почти общепринятое допущение в криптоанализе состоит в том, что криптоаналитик имеет в своем распоряжении шифртексты сообщений.

В зависимости от степени доступности информации криптоаналитику выделяют следующие типы атак:

1.Атака только при наличии шифртекста (ciphertext-only). Это наихудший случай для криптоаналитика. Криптоаналитик пытается по имеющемуся шифртексту восстановить исходный текст или ключ шифрования.

2.Атака при известном открытом тексте (known-plaintext).

Криптоаналитик знает шифртекст и весь или часть открытого текста. Для аддитивного поточного шифра (гаммирования) это равносильно знанию всего или части ключевого потока. Целью криптоаналитика является определение ключа или остальной части открытого текста.

3.Атака при возможности выбора открытого текста (chosen-plaintext).

Криптоаналитик имеет доступ к шифрующему устройству и может зашифровать

любой открытый текст. Целью криптоаналитика является определение ключа

шифрования.

4.Атака при возможности выбора шифртекста (chosenciphertext).

Криптоаналитик имеет доступ к устройству расшифрования и может расшифровать любой шифртекст. Целью криптоаналитика является определение ключа шифрования.

На сколько реалистичны подобные атаки? Шифртекст легкодоступен, т.к. обычно передается по открытым, общедоступным каналам. Получить доступ к открытому тексту гораздо сложнее. Криптоаналитик может предположить наиболее вероятное содержание некоторых частей текста, например приветствие в заголовке письма. Если у криптоаналитика есть возможность уговорить или заставить кого-то зашифровать свои сообщения, то это получится случай атаки с выбранным открытым текстом. Атака с выбранным шифртектом является наименее реалистичной, но хороший шифр должен обеспечивать защиту и от такого типа атак.

Для синхронных поточных шифров 2, 3, 4 типы атак эквивалентны. Для самосинхронизирующихся же наиболее эффективной является 4 тип атаки.