Шемякин лекции 2023 / Алфёров А.П., Зубов А.Ю., Кузьмин А.С., Черемушкин А.В. Основы криптографии

Ьпочные системы шифрования

Рис. 27

211

/лава 8

В приводимом ниже описании алгоритма ОЕ8 использованы следующие обозначения:

Ци К( — левая и правая половины 64-битного блока

АА ;

® — операция побитового сложения векторов-блоков по модулю 2;

к{ — 48-битовые ключи;

/ — функция шифрования;

1Р — начальная перестановка степени 64.

При зашифровании очередного блока Т (см. рис. 27) его биты подвергаются начальной перестановке 1Р согласно табл. 9.

Т аб л и ц а 9. Начальная перестановка 1Р

При этом бит 58 блока Т становится битом 1 , бит 50 — битом 2 и т. д. Полученный после перестановки блок 1Р(Т)

разделяется на две половины: Ь0, состоящую из 32 старших бит, и К0, состоящую из 32 младших бит.

Затем выполняется итеративный процесс шифрования, состоящий из 16 циклов преобразования Фейстеля. Пусть

Тг_х = Д _ 1Т?/_1 — результат (;-1 )-й итерации.

Тогда результат /-й итерации 7 ] = ! ^ определяется формулами

212

к1, который является результатом преобразования 56битового ключа шифра к . Результатом последней итерации является блок Т[6 = Д 6Д 6. По окончании шифрования осу­

ществляется восстановление п о з и ц и й битов применением к

г ,6 обратной перестановки 1Р 1.

При расшифровании данных все действия выполняются в обратном порядке, при этом вместо соотношений (2) следу­

функция расширения Е ; преобразование 5 , составленное из

дублирования некоторых битов вектора Км , при этом порядок следования битов в ^(Д _! ) указан в табл. 10.

213

( лава Ь

у

&

N(

Перестановка битов Р

\/

ЛЪ -1*д

(32 бита)

Рис. 28

Таблица 10

214

Ьлочные системы шифрования

биты 31, 32, 1 вектора К{_}.

Полученный результат складывается побитно по моду­ лю 2 с текущим значением ключа кг и затем представляется

*

вый блок В^ с помощью подходящей таблицы ^5^блока В},

числа а , 0 < а < 3 . Аналогично средние 4 разряда представ­ ляют число Ъ9 0 < 6 < 15 . В нашем примере а = 2, Ь = 13.

Строки и столбцы таблицы В2 пронумерованы числами

а и Ь . Таким образом, пара (а, Ь) однозначно определяет число, находящееся на пересечении строки с номером а и столбца с номером Ъ . В данном случае это число равно 3.

Записывая его в двоичной форме, получаем В2, равный 0 0 1 1 .

215

216

Ьлочные системы шифрования

Таблица 12

На каждой итерации используется текущее значение ключа к1 (48 бит), получаемое из исходного ключа к сле­ дующим образом.

Сначала пользователи выбирают сам ключ к , содержа­ щий 56 случайных значащих битов. Восемь битов, находя­ щихся в позициях 8,16,...,64, добавляются в ключ таким об­ разом, чтобы каждый байт содержал нечетное число единиц. Это используется для обнаружения ошибок при обмене и хранении ключей. Значащие 56 бит ключа подвергаются пе­ рестановке, приведенной в табл. 13.

Таблица 13

217

I лава 8

Эта перестановка определяется двумя блоками С0 и О0

по 28 бит в каждом (они занимают соответственно верхнюю и нижнюю половины таблицы). Так, первые три бита в С0 есть

ся из них одним или двумя левыми циклическими сдвигами согласно табл. 14.

Таблица 14

лице 15. Первыми тремя битами в к{ являются биты 14, 17, 11 из блока С Д . Отметим, что 8 из 56 бит (с номерами 9, 18,

218

Ьлочные системы шифрования

Сделаем несколько замечаний.

Нелинейность преобразований, осуществляемых ОЕ8, определяется только 5-блоками. Их выбор не имеет достаточ­ но обстоятельного обоснования. Высказывались мнения о том, что 5-блоки имеют некоторую “лазейку”, позволяющую осуществлять контроль за шифрованной перепиской. Офици­ альная же версия такова. В 1976 г. АНБ заявило, что выбор 5-блоков определен следующими требованиями:

—каждая строка табличного задания каждого 5-блока должна являться перестановкой множества (0,1,..., 15};

—5-блоки не должны являться линейными или аффин­ ными функциями своих входов;

—изменение одного бита входа 5-блока должно приво­ дить к изменению по крайней мере двух битов выхода;

— для каждого 5-блока и любого входа х значение 5(х)

и 5(х ® (О,ОД,1,0,0)) должны различаться по крайней мере

двумя битами.

Криптоанализ БЕ8 приводит ко многим нелинейным сис­ темам уравнений. Дело в том, что каждый бит блока шифр­ текста является функцией от всех битов блока открытого тек­ ста и ключа. Известные аналитические методы вскрытия ОЕ8 не дают существенного выигрыша по сравнению с полным

перебором всего множества из 2 56 ключей. К недостаткам алгоритма ЭЕ8 относится небольшое (по современным мер­ кам) число ключей, что дает возможность их полного перебо­ ра на быстродействующей вычислительной технике за реаль­ ное время.

Официально ЭЕ8 являлся стандартом шифрования дан­ ных до 31 декабря 1998 г. В 1997 г. был объявлен конкурс на новый стандарт, который был назван АЕ8 (Айуапсес! Епсгур- 1юп 81апс1агс1). 2 октября 2000 г. Национальный институт стандартов и технологий (НИСТ) США объявил победителя “конкурса АЕ8”. Однако для того, чтобы этот алгоритм завое­ вал мировое признание, необходимы серьезные исследования его свойств специалистами различных стран.

219

I лава 8

Стандарт шифрования данных ГОСТ 28147-89

В России установлен единый алгоритм криптографиче­ ского преобразования данных для систем обработки инфор­ мации в сетях ЭВМ, отдельных вычислительных комплексах и ЭВМ. Он определяется ГОСТом 28147-89. Этот алгоритм предназначен для аппаратной и программной реализации, удовлетворяет необходимым криптографическим требовани­ ям и не накладывает ограничений на степень секретности защищаемой информации. Алгоритм реализует шифрование 64-битовых блоков данных с помощью 256-битового ключа.

Схема алгоритма шифрования представлена на рис. 29.

N. г

Х,(К ,)

Х2(К 2)

Х4(К 4)

Х5(К ,)

У

см.

Рис. 29

На приведенной схеме:

Лг,, N 2— 32-разрядные накопители;

220