Cети и системы радиосвязи и средства их информационной защиты.-1

Рисунок 2.21. Раунд расшифрования

Легко заметить, что операции сдвига строк и замены байт можно поменять местами, т.к. замена байт действует на каждый байт независимо. Кроме того, последовательность

AddRoundKey();

InvMixColumn();

можно заменить на

InvMixColumn()

AddRoundKey(InvRoundKey); Здесь InvRoundKey обозначает результат применения операции InvMixColumn() к ключу. Это следует из линейности операций. Тогда мы получим следующую структуру для двухраундового обратного алгоритма:

AddRoundKey();

InvByteSub();

InvShiftRow();

InvMixColumn();

AddRoundKey(Inv);

InvByteSub();

InvShiftRow();

AddRoundKey();

Таким образом, мы получили структуру прямого двухраундового алгоритма. Для большего числа раундов получаем такой же результат. Таким образом, обратный алгоритм имеет ту же структуру.

Перед первым раундом расшифрования выполняется операция AddRoundKey (которая является обратной самой себе), выполняющая наложение на шифртекст четырех последних

слов расширенного ключа, т.е. W4R…W4R+3.

Затем выполняется R раундов расшифрования, каждый из которых выполняет следующие преобразования (см. рис. 7):

Операция InvShiftRows выполняет циклический сдвиг вправо трех последних строк массива данных на то же количество байт, на которое выполнялся сдвиг операцией ShiftRows при зашифровании.

Операция InvSubBytes выполняет побайтно обратную табличную замену, которая определена следующей таблицей:

52

Таблица 2.4. Таблица обратной замены для стандарта AES

Данную табличную замену можно выполнить, применив к входному байту преобразование, обратное операции 1.2 (см. описание операции SubBytes), после чего вычислить мультипликативную обратную величину от результата предыдущей операции в конечном поле GF(28).

Операция AddRoundKey, как и при зашифровании, выполняет наложение на обрабатываемые данные четырех слов расширенного ключа W4r…W4r+3. Однако, нумерация раундов r при расшифровании производится в обратную сторону – от R-1 до 0.

Операция InvMixColumns выполняет умножение каждого столбца массива данных аналогично прямой операции MixColumns, однако, умножение производится на полином a-

1(x), определенный следующим образом: a-1(x) = Bx3 + Dx2 + 9x + E.

Аналогично зашифрованию, последний раунд расшифрования не содержит операцию

InvMixColumns.

Отличия AES от исходного алгоритма Rijndael

Алгоритм Rindael позволяет шифровать данные не только 128-битными блоками, но и блоками по 192 или 256 бит. Таким образом, AES, фактически, имеет лишь одно принципиальное отличие от Rijndael: он предусматривает использование только 128-битных блоков данных. Рассмотрим изменения в приведенном выше описании алгоритма AES, связанные с другими размерами блоков:

Обрабатываемые данные могут представляться не только в виде массива размером 4 X 4, но

и4 X 6 или 4 X 8 для 192- и 256-битных блоков соответственно.

Количество раундов R алгоритма Rijndael определяется следующей таблицей в зависимости

не только от размера ключа, но и от размера блока:

53

Рисунок 2.23. Режим шифрования СВС: а - зашифрование, 6 - расшифрование

Отличительными особенностями режима СВС являются зависимость при зашифровании i- го блока шифротекста от всех предшествующих блоков открытого текста и зависимость при расшифровании каждого блока открытого текста pi, только от двух блоков ci-1 и ci

шифротекста. Первое свойство делает пригодным испол ьзование режима для решения задач

контроля целостности информации. Второе свойство делает режим самосинхронизирующимся: одиночная ошибка при передаче (ошибка при передаче одного блока) может привести к неправильному расшифрованию только двух блоков.

Схема режима обратная связь по шифротексту (Ciphertext Feedback (CFB)) показана на рисунке 2.14. Уравнения зашифрования и расшифрования имеют вид:

i 1, m

где

n - разрядность регистра сдвига,

t - разрядность шифруемых блоков данных(1≤t≤n),

s0 - начальное состояние регистра сдвига (синхропосылка/вектор инициализации),

E(t ) s - t старших битов n-разрядной шифрограммы EAB(si-1).

AB i 1

Схема шифрование в режиме CFB при t = n показана на рисунке 2.15. Уравнения зашифрования и расшифрования принимают вид:

ci = pi EAB(ci-1)

pi = ci DAB(ci-1)

56

Рисунок 2.25 - Режим шифрования CFB (частный случай t = n): а - зашифрование; 6 – расшифрование

Схема шифрования в режиме обратной связи по выходу (Output Feedback (OFB)) показана на рисунке 2.16. Гамма шифра снимается с выходного генератора псевдослучайных кодов, реализованного на основе n- разрядного регистра сдвига, в цепи обратной связи которого используется функция зашифрования EAB.

58

i 1, m

где

i – очередной элемент гаммирующей последовательности, n – разрядность регистра сдвига,

t – разрядность шифруемых блоков данных (1≤t≤n),

s0 – начальное состояние регистра сдвига (синхропосылка/вектор инициализации),

E(t ) s - t старших битов n-разрядной шифрограммы EAB(si-1).

AB i 1

Последовательность = 1 2… i… m не зависит от открытого текста и поэтому всякий раз при фиксированных kAB и s0 будет вырабатываться одна и та же гамма. Данный факт требует при шифровании на одном ключе двух различных массивов данных использовать различные синхропосылки.

Схема шифрования в режиме OFB при t = n показана на рисунке 2.17. Уравнения зашифрования и расшифрования принимают вид:

ci = pi EAB(si-1),

pi = ci EAB(si-1), si=EAB(si-1),

i 1, m

59

Рисунок 2.27 - Режим шифрования OFB (частный случай t = n): а - зашифрование, 6 - расшифрование

Под режимом шифрования понимается такой алгоритм применения блочного шифра, который при отправке сообщения позволяет преобразовывать открытый текст в шифротекст и, после передачи этого шифротекста по открытому каналу однозначно восстановить первоначальный открытый текст. Как видно из определения сам блочный шифр теперь является лишь частью другого алгоритма – алгоритма режима шифрования. Это обусловлено тем, что блочный шифр работает только с отдельным блоком данных, в то время как алгоритм режима шифрования имеет дело уже с целым сообщением, которое может состоять из некоторого числа n блоков. Более того, сообщение вообще не обязано состоять из блоков, в том смысле, что это сообщение не всегда можно разбить на целое число n блоков. В этом случае в разных режимах шифрования приходиться дополнять сообщение различным количеством бит. Такое дополнение почти неизбежно, но минимальная величина, к которой нужно "подтянуть" длину сообщения различна для разных режимов шифрования и напрямую зависит от длины порции сообщения с которой работает каждая итерация алгоритма данного режима.

60