Математические основы криптологии.-2

171

означает, что на входе MixColumns() первого раунда должен быть такой столбец, байты а которого для набора из 256 блоков в результате линейного преобразования:

где i – номер строки, для одного определенного i давали 256 различных значений, в то время как для каждого из остальных трех значений i результат этого преобразования должен оставаться постоянным. Следуя обратно по порядку приложения функций преобразования в первом раунде, к ShiftRows() данное условие нужно применить к соответственно разнесенным по столбцам 4 байтам. С учетом применения функции SubBytes() и сложения с предполагаемым значением 4-байтового раундового ключа можно смело составлять уравнения и подбирать нужные значения байт открытого текста, подаваемых на зашифрование для последующего анализа результата:

bij 2SubBytes(aij kij ) 3SubBytes(a(i 1)( j 1) k(i 1)( j 1) )

SubBytes(a(i 2)( j 2) k(i 2)( j 2) ) SubBytes(a(i 3)( j 3) k(i 3)( j 3) ), 0 i, j 3

Таким образом, получаем следующий алгоритм взлома. Имеем всего 232 различных значений а для определенных i и j. Остальные байты для всех блоков одинаковы (пассивные байты). Предположив значения четырех байт k ключа первого раунда, подбираем (исходя из вышеописанного условия) набор из 256 блоков. Эти 256 блоков станут L-набором после первого раунда. К этому L-наборe применима базовая атака для 4 раундов. Подобранный с ее помощью один байт ключа последнего раунда фиксируется. Теперь подбирается новый набор из 256 блоков для того же значения 4 байт k ключа первого раунда. Опять осуществляется базовая атака, дающая один байт ключа последнего раунда. Если после нескольких попыток значение этого байта не меняется, значит мы на верном пути. В

противном случае нужно менять предположение о значении 4 байт k ключа первого раунда.

Такой алгоритм действий достаточно быстро приведет к полному восстановлению всех байт ключа последнего раунда.

Таким образом, атака "Квадрат" может быть применена к 6 раундам шифра RIJNDAEL,

являясь при этом более эффективной, чем полный перебор по всему ключевому пространству. Любое известное продолжение атаки "Квадрат" на 7 и более раундов становится более трудоемким, чем даже обычный полный перебор значений ключа.

Поточные системы шифрования

Поточные шифры обычно делят на синхронные и самосинхронизирующиеся.

В синхронном поточном шифре шифрующая последовательность (гамма, ключевой поток, keystream) генерируется независимо от потока открытого текста и потока шифруемого

172

текста [6].

Генератор гаммы в синхронной поточной криптосистеме может быть описан следующими уравнениями

si+1 = F(si), ki = f(si),

где si – значение внутреннего состояния (state), F – функция переходов, f – выходная функция, ki – очередной элемент гаммы.

Начальное состояние (initial state) s0 может быть определено из ключа k и вектора инициализации IV (initial vector).

Цель генератора гаммы – развернуть короткий случайный ключ k в длинную псевдослучайную последовательность (ПСП) k1, k2, …, kn.

Работа синхронной киптосистемы схематически изображена на рисунке 2.17.

Рис. 2.17 Синхронный поточный шифр В процессе зашифрования элементы гаммы и открытого текста подвергаются операции

XOR (exclusive OR, исключающее ИЛИ), в результате чего создается шифртекст: ci = pi ki.

При расшифровании, для восстановления открытого текста, шифртекст и гамма также подвергаются операции XOR:

pi = ci ki.

Всамосинхронизирующемся поточном шифре гамма зависит не только от ключа, но еще

иот определенного количества элементов ранее вычисленного шифртекста.

Генератор гаммы в самосинхронизирующейся поточной криптосистеме описывается

следующим образом:

si+1 = F(ci–1, ci–2, …, ci–N), ki = f(k, si).

174

только на соответствующий элемент открытого текста. Хотя такое свойство может показаться желательным, у него есть и другая сторона. В этом случае ограничивается возможность обнаружения ошибки при расшифровании, но что еще более важно, противник имеет возможность произвести управляемые изменения в части шифртекста, совершенно точно зная, какие это вызовет изменения в соответствующем открытом тексте.

Поточные режимы блочных шифров

Для различных ситуаций, встречающихся на практике, разработано значительное количество режимов работы блочных шифров. Используя некоторый из них, блочные шифры можно реализовать как синхронные или самосинхронизирующиеся поточные шифры.

Для зарубежных стандартов блочного шифрования DES (Data Encryption Standard) и AES (Advanced Encryption Standard) существуют следующие основные режимы:

Режим электронной кодовой книги, ECB (Electronic Code Book).

Режим сцепления блоков шифртекста, CBC (Ciphertext Block Chaining).

Режим обратной связи по шифртексту, CFB (Ciphertext Feedback).

Режим обратной связи по выходу, OFB (Output Feedback).

Режим счетчика, CTR (Counter mode).

Врежимах OFB и CTR блочный шифр работает как синхронный поточный шифр, а в режиме CFB – как самосинхронизирующийся.

Отечественный стандарт блочного шифрования ГОСТ 28147-89 может работать в

следующих режимах:

Режим простой замены.

Режим гаммирования.

Режим гаммирования с обратной связью.

Режим выработки имитовставки.

Врежиме гаммирования алгоритм шифрования ГОСТ 28147-89 работает как синхронный поточный шифр, а в режиме гаммирования с обратной связью – как самосинхронизирующийся.

Строительные блоки поточных шифров

Рассмотрим основные блоки, используемые для построения поточных шифров.

Регистры сдвига с обратной связью

Большинство предложенных до настоящего времени алгоритмов поточного шифрования

175

так или иначе основаны на использовании регистров сдвига с обратной связью.

Регистр сдвига с обратной связью (feedback shift register, FSR) состоит из двух частей:

регистра сдвига и функции обратной связи (рисунок 3). Регистр сдвига представляет собой последовательность битов. Длина регистра сдвига выражается числом битов. Если длина регистра равна n битам, регистр называют n-битовым регистром сдвига. При каждом извлечении бита все биты регистра сдвига сдвигаются вправо на 1 позицию. Новый старший бит рассчитывается как функция от всех остальных битов регистра. На выходе регистра сдвига оказывается 1 бит [4, 6].

Функция обратной связи

Рис. 2.19. Регистр сдвига с обратной связью

Регистры сдвига с линейной обратной связью

К простейшему типу FSR относится регистр сдвига с линейной обратной связью (linear feedback shift register, LFSR) [4]. Подавляющее большинство предложенных до настоящего времени генераторов поточного шифрования так или иначе основано на LFSR.

На это существует несколько причин:

LFSR хорошо подходят для аппаратной реализации;

LFST могут производить последовательности большого периода;

LFSR могут производить последовательности с хорошими статистическими свойствами;

LFSR могут быть легко проанализированы с помощью алгебраических

техник.

LFSR длины n состоит из n элементов задержки (ячеек) bn–1, bn–2, …, b1,

b0, каждый из которых может хранить один бит и имеет по одному входу и выходу.

Исходной информацией для построения LFSR является образующий многочлен. Степень этого многочлена определяет разрядность регистра сдвига, а ненулевые коэффициенты – характер обратных связей (номера отводов сигналов обратной связи). В общем случае двоичный образующий многочлен степени n имеет вид [6]:

n

c(x) = ci xi = 1 + c1x + c2x2 + … + cn–1xn–1 + cnxn,

i 0

где cn = c0 = 1, cj {0, 1} для j = 1, …, (n – 1).

176

В общем случае двоичному образующему многочлену c(x) соответствует две схемы:

Фибоначчи (рисунок 4) и Галуа (рисунок 2.20).

…

Рис. 2.20. LFSR, схема Фибоначчи

На каждом такте работы схемы Фибоначчи содержимое регистра сдвигается вправо на один бит, так что bi = bi+1 для i = 0, …, (n – 2), а содержимое 0-ой ячейки b0 поступает на выход LFSR. Новое содержимое (n – 1)-ой ячейки bi–1 рассчитывается как сумма по модулю 2

предыдущих состояний определенных ячеек

n 1

bn 1 cn i bi . i 0

При ci = 1 умножение на ci равносильно наличию обратной связи, при ci = 0 –

отсутствию.

Схема Галуа представлена на рисунке 2.21.

…

Рис. 2.21. LFSR, схема Галуа

На каждом такте работы схемы Галуа содержимое регистра сдвига сдвигается вправо на

1 бит так, что bi = bi+1 b0cn–i, а содержимое 0-ой ячейки b0 поступает на выход LFSR и в (n –

1) ячейку регистра, т.е. bn–1 = b0.

n-битовый LFSR может находиться в одном из (2n – 1) внутренних состояний. Это значит, что теоретически такой регистр может генерировать псевдослучайную последовательность с периодом (2n – 1) битов. (Это число равно (2n – 1), а не 2n, поскольку заполнение LFSR нулями влечет вывод регистром бесконечной последовательности нулей,

177

что совершенно бесполезно.) Только при определенных последовательностях отводов LFSR

циклически пройдет через все 2n – 1 внутренних состояний. Такие регистры называются регистрами LFSR с максимальным периодом. Получившийся выход называют m-

последовательностью.

Для обеспечения максимального периода конкретного LFSR, соответствующий многочлен, образованный из последовательности отводов регистра, должен быть примитивным по модулю 2. Степень многочлена является длиной регистра сдвига [4, 6].

Как бы ни был хорошо подобран полином обратной связи, LFSR остается линейным устройством. А такие устройства обычно легко поддаются криптоанализу независимо от того, насколько много параметров сохраняется в тайне. В современной криптографической литературе LFSR сами по себе не рекомендуются в качестве генераторов псевдослучайных шифрующих последовательностей [6].

Регистры LFSR сами по себе являются хорошими генераторами псевдослучайных последовательностей, но они обладают некоторыми нежелательными неслучайными свойствами. Последовательные биты линейны, что делает их бесполезными для шифрования.

Внутреннее состояние LFSR длины n определяет следующие n выходных битов генератора.

Даже если схема обратной связи хранится в секрете, она может быть определена по 2n

выходным битам генератора с помощью высокоэффективного алгоритма Берлекампа-Мэсси

[4]. В то же время подавляющее большинство реальных конструкций для поточного шифрования строится на основе LFSR [6].

Генераторы на основе LFSR

Поточные шифры на основе LFSR подразделяют на [4]:

системы с генератором с равномерным движением регистров;

системы с генератором с неравномерным движением регистров.

Вгенераторе с равномерным движением регистров каждый раз для получения нового бита следует однократно сдвинуть LFSR. Выходной бит представляет собой функцию некоторых битов LFSR. Генераторы с равномерным движением в свою очередь делятся на

[4, 5]:

комбинирующий генератор;

фильтрующий генератор.

Комбинирующий генератор (рисунок 6) состоит из нескольких параллельно работающих

LFSR, выходы которых поступают на вход некоторой булевой функции f, комбинирующей эти выходы для генерации ключевого потока.

178

LFSR-n

Рис. 2.22. Комбинирующий генератор Ключом соответствующего поточного шифра является начальное заполнение каждого

регистра, реже – начальное заполнение и функции обратных связей.

Результат работы комбинирующего генератора можно представить в виде ki f ui1 ,ui2 , ,uin ,

где ki – i-ый бит ключевого потока, производимого генератором; n – количество LFSR;

uij – i-ый бит, генерируемый j-ым LFSR.

Фильтрующий генератор (рисунок 2.23) состоит из одного LFSR. Для генерации ключевого потока используется нелинейная функция f, на вход которой подаются значения некоторых ячеек LFSR. Функция f в этом случае называется фильтрующей функцией.

ki

f

ui

…

Рис. 2.23. Фильтрующий генератор Ключом соответствующего поточного шифра является начальное заполнение регистра,

реже – начальное заполнение и функция обратных связей.

Результат работы фильтрующего генератора можно представить в виде ki f ui1 ,ui2 , ,uin ,

179

где ki – i-ый бит ключевого потока, производимого генератором; n – длина LFSR;

uij – состояние j-ой ячейки LFSR.

Для того чтобы получить ключевую последовательность, обладающую хорошими статистическими свойствами, необходимо чтобы обратные связи в LFSR были сформированы в соответствии с примитивными многочленами, а комбинирующая и фильтрующая функции формировали равномерно распределенные последовательности.

Параметры LFSR и комбинирующей и фильтрующей функций обычно общеизвестны,

секретными являются начальный состояния LFSR, зависящие от ключа. Поэтому целью большинства атак на комбинирующие и фильтрующие генераторы является восстановление начальных состояний всех LFSR.

Фильтрующий генератор можно рассматривать как частный случай комбинирующего генератора, у которого все LFSR одинаковы, а начальное состояние LFSR-i совпадает с состоянием LFSR-1 на i-ом такте работы. Но, поскольку криптоанализ этих схем несколько различается, принято рассматривать эти схемы как два различных типа генераторов ключевого потока.

Примерами комбинирующего генератора являются: генератор Геффе и генератор Дженнингса. Примером фильтрующего генератора является алгоритм Nanoteq.

Регистры сдвига с нелинейной обратной связью

Как уже говорилось выше, регистр сдвига с обратной связью состоит из двух частей:

регистра сдвига и функции обратной связи. В качестве функции обратной связи выступает любая булева функция f от n переменных. В случае, когда функция обратной связи f линейна,

регистр сдвига называется регистром сдвига с линейной обратной связью (LFSR), в

противном случае – регистром сдвига с нелинейной обратной связью (non-linear feedback shift register, NLFSR).

Регистры сдвига с обратной связью по переносу

Регистр сдвига с обратной связью по переносу (feedback with carry shift register, FCSR)

напоминает LFSR [4]. В обоих используется регистр сдвига и функция обратной связи, но в

FCSR дополнительно предусмотрен еще и регистр переноса (рисунок 8).

180

Рисунок 2.24. Регистр сдвига FCSR

На рисунке 2.24 знак означает целочисленное сложение. Содержимое регистра сдвига состоит из n бит, обозначенных bn–1, bn–2, …, b1, b0.

Работа FCSR описывается следующим образом [6]:

1.Вычисляется сумма n ck bn k m .n

k1

2.Содержимое регистра сдвигается на одну позицию вправо. Содержимое крайней правой ячейки FCSR b0 поступает на выход.

3.Рассчитывается новое содержимое крайней левой ячейки bn–1 = n (mod

2).

Регистром переноса служит число, а не бит. Размер регистра переноса должен быть не менее log2t, где t – количество отводов. Например, если отвода два, то регистр переноса однобитовый, а если отводов четыре, то регистр переноса должен состоять из 2 бит.

Максимальный период последовательности, генерируемой FCSR, равен (c – 1), где c –

число обратной связи (connection integer) FCSR. Число c определяется отводами обратной связи:

c = cn2n + cn–12n–1 + … + c121 – 1.

Последовательность максимального периода, генерируемая FCSR, называется l-

последовательностью. l-последовательность генерируется FCSR с числом обратной связи c,

для которого 2 является корнем примитивным.