Кодирование и шифрование информации в системах связи

501

MixColumns() является линейной комбинацией (с обратимыми коэффициентами) четырех входных байт того же столбца:

столбец с единственным активным байтом на входе даст в результате на выходе столбец со всеми четырьмя байтами - активными.

Базовая атака “Квадрат” на 4 раунда

Рассмотрим L-набор, во всех блоках которого активен только один байт. Иначе говоря,

значение этого байта различно во всех 256 блоках, а остальные байты одинаковы (скажем,

равны нулю). Проследим эволюцию этого байта на протяжении трех раундов. В первом раунде функция MixColumns() преобразует один активный байт в столбец из 4 активных байт. Во втором раунде эти 4 байта разойдутся по 4 различным столбцам в результате преобразования функцией ShiftRows(). Функция же MixColumns() следующего, третьего раунда преобразует эти байты в 4 столбца, содержащие активные байты. Этот набор все еще остается L-набором до того момента, когда он поступает на вход функции MixColumns()

третьего раунда.

Основное свойство L-набора, используемое здесь, то, что поразрядная сумма по модулю

2 всех блоков такого набора всегда равна нулю. Действительно, поразрядная сумма неактивных (с одинаковыми значениями) байт равна нулю по определению операции поразрядного XOR, а активные байты, пробегая все 256 значений, также при поразрядном суммировании дадут нуль. Рассмотрим теперь результат преобразования функцией

MixColumns() в третьем раунде байтов входною массива данных a в байты выходного массива данных b. Покажем, что и в этом случае поразрядная сумма всех блоков выходного набора будет равна нулю, то есть:

Таким образом, вес данные на входе четвертого раунда сбалансированы (то есть их полная сумма равна нулю). Этот баланс в общем случае нарушается последующим преобразованием данных функцией SubBytes().

Мы предполагаем далее, что четвертый раунд является последним, то есть в нем нет функции MixColumns(). Тогда каждый байт выходных данных этого раунда зависит только от одного байта входных данных. Если обозначить через а байт выходных данных четвертого раунда, через b байт входных данных и через k - соответствующий байт раундового ключа,

то можно записать:

502

Отсюда, предполагая значение kij можно по известному aij вычислить bij, а затем проверить правильность догадки о значении kij; если значения байта bij, полученные при данном kij не будут сбалансированы по всем блокам (то есть не дадут при поразрядном суммировании нулевой результат), значит догадка неверна. Перебрав максимум 28 вариантов байта раундового ключа, мы найдем его истинное значение.

По такому же принципу могут быть определены и другие байты раундового ключа. За счет того, что поиск может производиться отдельно (читай - параллельно) для каждого байта ключа, скорость подбора всего значения раундового ключа весьма велика. А по значению полного раундового ключа, при известном алгоритме его развертывания, не составляет труда восстановить сам начальный ключ шифрования.

Добавление пятого раунда в конец базовой атаки “Квадрат”

Если будет добавлен пятый раунд, то значения bij придется вычислять уже на основании выходных данных не четвертого, а пятого раунда. И дополнительно кроме байта раундового ключа четвертого раунда перебирать еще значения четырех байт столбца раундового ключа для пятого раунда. Только так мы сможем выйти на значения сбалансированных байт bij

входных данных четвертого раунда.

Таким образом, теперь нам нужно перебрать 240 значений - 232 вариантов для 4 байт столбца раундового ключа пятого раунда и для каждого из них 28 вариантов для одного байта четвертого раунда. Эту процедуру нужно будет повторить для всех четырех столбцов пятого раунда. Поскольку при подборе "верного" значения байта раундового ключа четвертого раунда количество "неверных" ключей уменьшается в 28 раз, то работая одновре-

менно с пятью L-наборами, можно с большой степенью вероятности правильно подобрать все 240 бита. Поиск может производиться отдельно (т. е. параллельно) для каждого столбца каждого из пяти L-наборов, что опять же гораздо быстрее полного перебора всех возможных значений ключа.

Добавление шестого раунда в начало базовой атаки “Квадрат”

Основная идея заключается в том, чтобы подобрать такой набор блоков открытого текста, который на выходе после первого раунда давал бы L-набор с одним активным байтом. Это требует предположения о значении четырех байт ключа, используемых функцией AddRoundKey() перед первым раундом.

Для того чтобы на входе второго раунда был только один активный байт достаточно,

чтобы в первом раунде один активный байт оставался на выходе функции MixColumns(). Это

503

означает, что на входе MixColumns() первого раунда должен быть такой столбец, байты а которого для набора из 256 блоков в результате линейного преобразования:

где i – номер строки, для одного определенного i давали 256 различных значений, в то время как для каждого из остальных трех значений i результат этого преобразования должен оставаться постоянным. Следуя обратно по порядку приложения функций преобразования в первом раунде, к ShiftRows() данное условие нужно применить к соответственно разнесенным по столбцам 4 байтам. С учетом применения функции SubBytes() и сложения с предполагаемым значением 4-байтового раундового ключа можно смело составлять уравнения и подбирать нужные значения байт открытого текста, подаваемых на зашифрование для последующего анализа результата:

bij 2SubBytes(aij kij ) 3SubBytes(a(i 1)( j 1) k(i 1)( j 1) )

SubBytes(a(i 2)( j 2) k(i 2)( j 2) ) SubBytes(a(i 3)( j 3) k(i 3)( j 3) ),0 i, j 3

Таким образом, получаем следующий алгоритм взлома. Имеем всего 232 различных значений а для определенных i и j. Остальные байты для всех блоков одинаковы (пассивные байты). Предположив значения четырех байт k ключа первого раунда, подбираем (исходя из вышеописанного условия) набор из 256 блоков. Эти 256 блоков станут L-набором после первого раунда. К этому L-наборe применима базовая атака для 4 раундов. Подобранный с ее помощью один байт ключа последнего раунда фиксируется. Теперь подбирается новый набор из 256 блоков для того же значения 4 байт k ключа первого раунда. Опять осуществляется базовая атака, дающая один байт ключа последнего раунда. Если после нескольких попыток значение этого байта не меняется, значит мы на верном пути. В

противном случае нужно менять предположение о значении 4 байт k ключа первого раунда.

Такой алгоритм действий достаточно быстро приведет к полному восстановлению всех байт ключа последнего раунда.

Таким образом, атака "Квадрат" может быть применена к 6 раундам шифра RIJNDAEL,

являясь при этом более эффективной, чем полный перебор по всему ключевому пространству. Любое известное продолжение атаки "Квадрат" на 7 и более раундов становится более трудоемким, чем даже обычный полный перебор значений ключа.

Поточные системы шифрования

Поточные шифры обычно делят на синхронные и самосинхронизирующиеся.

В синхронном поточном шифре шифрующая последовательность (гамма, ключевой поток, keystream) генерируется независимо от потока открытого текста и потока шифруемого

504

текста [6].

Генератор гаммы в синхронной поточной криптосистеме может быть описан следующими уравнениями

si+1 = F(si), ki = f(si),

где si – значение внутреннего состояния (state), F – функция переходов, f – выходная функция, ki – очередной элемент гаммы.

Начальное состояние (initial state) s0 может быть определено из ключа k и вектора инициализации IV (initial vector).

Цель генератора гаммы – развернуть короткий случайный ключ k в длинную псевдослучайную последовательность (ПСП) k1, k2, …, kn.

Работа синхронной киптосистемы схематически изображена на рисунке 2.17.

Рис. 7.17 Синхронный поточный шифр В процессе зашифрования элементы гаммы и открытого текста подвергаются операции

XOR (exclusive OR, исключающее ИЛИ), в результате чего создается шифртекст: ci = pi ki.

При расшифровании, для восстановления открытого текста, шифртекст и гамма также подвергаются операции XOR:

pi = ci ki.

Всамосинхронизирующемся поточном шифре гамма зависит не только от ключа, но еще

иот определенного количества элементов ранее вычисленного шифртекста.

Генератор гаммы в самосинхронизирующейся поточной криптосистеме описывается

следующим образом:

si+1 = F(ci–1, ci–2, …, ci–N), ki = f(k, si).

506

только на соответствующий элемент открытого текста. Хотя такое свойство может показаться желательным, у него есть и другая сторона. В этом случае ограничивается возможность обнаружения ошибки при расшифровании, но что еще более важно, противник имеет возможность произвести управляемые изменения в части шифртекста, совершенно точно зная, какие это вызовет изменения в соответствующем открытом тексте.

Поточные режимы блочных шифров

Для различных ситуаций, встречающихся на практике, разработано значительное количество режимов работы блочных шифров. Используя некоторый из них, блочные шифры можно реализовать как синхронные или самосинхронизирующиеся поточные шифры.

Для зарубежных стандартов блочного шифрования DES (Data Encryption Standard) и AES (Advanced Encryption Standard) существуют следующие основные режимы:

Режим электронной кодовой книги, ECB (Electronic Code Book).

Режим сцепления блоков шифртекста, CBC (Ciphertext Block Chaining).

Режим обратной связи по шифртексту, CFB (Ciphertext Feedback).

Режим обратной связи по выходу, OFB (Output Feedback).

Режим счетчика, CTR (Counter mode).

Врежимах OFB и CTR блочный шифр работает как синхронный поточный шифр, а в режиме CFB – как самосинхронизирующийся.

Отечественный стандарт блочного шифрования ГОСТ 28147-89 может работать в

следующих режимах:

Режим простой замены.

Режим гаммирования.

Режим гаммирования с обратной связью.

Режим выработки имитовставки.

Врежиме гаммирования алгоритм шифрования ГОСТ 28147-89 работает как синхронный поточный шифр, а в режиме гаммирования с обратной связью – как самосинхронизирующийся.

Строительные блоки поточных шифров

Рассмотрим основные блоки, используемые для построения поточных шифров.

Регистры сдвига с обратной связью

Большинство предложенных до настоящего времени алгоритмов поточного шифрования

507

так или иначе основаны на использовании регистров сдвига с обратной связью.

Регистр сдвига с обратной связью (feedback shift register, FSR) состоит из двух частей:

регистра сдвига и функции обратной связи (рисунок 3). Регистр сдвига представляет собой последовательность битов. Длина регистра сдвига выражается числом битов. Если длина регистра равна n битам, регистр называют n-битовым регистром сдвига. При каждом извлечении бита все биты регистра сдвига сдвигаются вправо на 1 позицию. Новый старший бит рассчитывается как функция от всех остальных битов регистра. На выходе регистра сдвига оказывается 1 бит [4, 6].

Функция обратной связи

Рис. 7.19. Регистр сдвига с обратной связью

Регистры сдвига с линейной обратной связью

К простейшему типу FSR относится регистр сдвига с линейной обратной связью (linear feedback shift register, LFSR) [4]. Подавляющее большинство предложенных до настоящего времени генераторов поточного шифрования так или иначе основано на LFSR.

На это существует несколько причин:

LFSR хорошо подходят для аппаратной реализации;

LFST могут производить последовательности большого периода;

LFSR могут производить последовательности с хорошими статистическими свойствами;

LFSR могут быть легко проанализированы с помощью алгебраических

техник.

LFSR длины n состоит из n элементов задержки (ячеек) bn–1, bn–2, …, b1,

b0, каждый из которых может хранить один бит и имеет по одному входу и выходу.

Исходной информацией для построения LFSR является образующий многочлен. Степень этого многочлена определяет разрядность регистра сдвига, а ненулевые коэффициенты – характер обратных связей (номера отводов сигналов обратной связи). В общем случае двоичный образующий многочлен степени n имеет вид [6]:

n

c(x) = ci xi = 1 + c1x + c2x2 + … + cn–1xn–1 + cnxn,

i 0

где cn = c0 = 1, cj {0, 1} для j = 1, …, (n – 1).

508

В общем случае двоичному образующему многочлену c(x) соответствует две схемы:

Фибоначчи (рисунок 4) и Галуа (рисунок 2.20).

…

Рис. 2.20. LFSR, схема Фибоначчи

На каждом такте работы схемы Фибоначчи содержимое регистра сдвигается вправо на один бит, так что bi = bi+1 для i = 0, …, (n – 2), а содержимое 0-ой ячейки b0 поступает на выход LFSR. Новое содержимое (n – 1)-ой ячейки bi–1 рассчитывается как сумма по модулю 2

предыдущих состояний определенных ячеек

n 1

bn 1 cn i bi . i 0

При ci = 1 умножение на ci равносильно наличию обратной связи, при ci = 0 –

отсутствию.

Схема Галуа представлена на рисунке 2.21.

…

Рис. 2.21. LFSR, схема Галуа

На каждом такте работы схемы Галуа содержимое регистра сдвига сдвигается вправо на

1 бит так, что bi = bi+1 b0cn–i, а содержимое 0-ой ячейки b0 поступает на выход LFSR и в (n –

1) ячейку регистра, т.е. bn–1 = b0.

n-битовый LFSR может находиться в одном из (2n – 1) внутренних состояний. Это значит, что теоретически такой регистр может генерировать псевдослучайную последовательность с периодом (2n – 1) битов. (Это число равно (2n – 1), а не 2n, поскольку заполнение LFSR нулями влечет вывод регистром бесконечной последовательности нулей,

509

что совершенно бесполезно.) Только при определенных последовательностях отводов LFSR

циклически пройдет через все 2n – 1 внутренних состояний. Такие регистры называются регистрами LFSR с максимальным периодом. Получившийся выход называют m-

последовательностью.

Для обеспечения максимального периода конкретного LFSR, соответствующий многочлен, образованный из последовательности отводов регистра, должен быть примитивным по модулю 2. Степень многочлена является длиной регистра сдвига [4, 6].

Как бы ни был хорошо подобран полином обратной связи, LFSR остается линейным устройством. А такие устройства обычно легко поддаются криптоанализу независимо от того, насколько много параметров сохраняется в тайне. В современной криптографической литературе LFSR сами по себе не рекомендуются в качестве генераторов псевдослучайных шифрующих последовательностей [6].

Регистры LFSR сами по себе являются хорошими генераторами псевдослучайных последовательностей, но они обладают некоторыми нежелательными неслучайными свойствами. Последовательные биты линейны, что делает их бесполезными для шифрования.

Внутреннее состояние LFSR длины n определяет следующие n выходных битов генератора.

Даже если схема обратной связи хранится в секрете, она может быть определена по 2n

выходным битам генератора с помощью высокоэффективного алгоритма Берлекампа-Мэсси

[4]. В то же время подавляющее большинство реальных конструкций для поточного шифрования строится на основе LFSR [6].

Генераторы на основе LFSR

Поточные шифры на основе LFSR подразделяют на [4]:

системы с генератором с равномерным движением регистров;

системы с генератором с неравномерным движением регистров.

Вгенераторе с равномерным движением регистров каждый раз для получения нового бита следует однократно сдвинуть LFSR. Выходной бит представляет собой функцию некоторых битов LFSR. Генераторы с равномерным движением в свою очередь делятся на

[4, 5]:

комбинирующий генератор;

фильтрующий генератор.

Комбинирующий генератор (рисунок 6) состоит из нескольких параллельно работающих

LFSR, выходы которых поступают на вход некоторой булевой функции f, комбинирующей эти выходы для генерации ключевого потока.

510

LFSR-n

Рис. 2.22. Комбинирующий генератор Ключом соответствующего поточного шифра является начальное заполнение каждого

регистра, реже – начальное заполнение и функции обратных связей.

Результат работы комбинирующего генератора можно представить в виде ki f ui1 ,ui2 , ,uin ,

где ki – i-ый бит ключевого потока, производимого генератором; n – количество LFSR;

uij – i-ый бит, генерируемый j-ым LFSR.

Фильтрующий генератор (рисунок 2.23) состоит из одного LFSR. Для генерации ключевого потока используется нелинейная функция f, на вход которой подаются значения некоторых ячеек LFSR. Функция f в этом случае называется фильтрующей функцией.

ki

f

ui

…

Рис. 7.23. Фильтрующий генератор Ключом соответствующего поточного шифра является начальное заполнение регистра,

реже – начальное заполнение и функция обратных связей.

Результат работы фильтрующего генератора можно представить в виде ki f ui1 ,ui2 , ,uin ,