Запишем первый блок шифротекста МНАЕ 16-битовым числом (1011110000000101), из которого находим аргумент функции f:

Y (1) = (10111100), Z(1) = (00000101) .

Далее находим f (Y (1)), f (Z(1)) и восстанавливаем гамму шифра:

ГШ (2) = (1011000001111101).

Второй блок открытого текста находится по формуле

1111010100111101

1011000001111101 TТ(2) = Ш (2)Г Å Ш (2) = Å 0100010101000000

Этому 16-битовому числу соответствуют четыре десятичных числа 4, 5, 4, 0, что соответствует открытому тексту ДЕДА.

13.ДЕЙСТВИЯ НАД ПОЛИНОМАМИ В ПОЛЕ GF(2n )

Вкриптографии используются четыре операции: сложение, вычитание, умножение и деление, т. е. мы работаем с полями. При

работе с компьютером целые числа представляются в нем как n-битовые слова, в которых n обычно равно 8, 16, 32, 64, 128, 256 и

т. д., т. е. 2n , а диапазон чисел – от 0 до 2n −1. Хотя можно определить правила для сложения и умножения n-битовых слов, которые

удовлетворяют свойствам поля GF (2n ), проще работать с полиномами степени n −1, которые представляют n-битовые слова:

ввиде 8-битового слова. Операция над полиномами включает две операции: операция над коэффициентами ai , которая осуществляется

вполе GF(2) (по модулю 2), и операция над двумя полиномами в

74

поле GF(2n ). При определении операции над полиномами необходимо ввести понятие полинома-модуля, посколько умножение двух полиномов может создать полином со степенью больше чем n −1

, а поэтому результат умножения необходимо делить на модуль ϕ(x) и сохранять остаток, как это делается в модулярной арифметике.

В качестве модуля ϕ(x) выбираются такие полиномы степени n,

которые не делятся на любой полином из множества GF (2n ). Такие полиномы называются неприводимыми.

Пример. Найти сумму:

(x5 + x2 + x) Å (x3 + x2 +1) = x5 + x3 + x +1.

Замечание: сложение и вычитание полиномов – одна и та же операция XOR (по модулю 2). Аддитивной инверсией для полинома является сам полином.

Пример. Найти произведение полиномов, взяв в качестве

ϕ(x) = x8 + x4 + x3 + x + 1

((x5 + x2 + x) × (x7 + x4 + x3 + x2 + x))modϕ ( x) = (x12 + x7 + x2 )modϕ ( x) =

=x5 + x3 + x2 + x +1.

Вполе GF (2n ) мультипликативно нейтральным элементом является полином нулевой степени, т. е. 1. Мультипликативная

инверсия f (x)−1 для элемента f (x) находится по расширенному алгоритму Евклида.

Пример. Найти мультипликативную инверсию для f (x) = x2 , взяв в качестве ϕ(x) = x4 + x +1.

x4 + x +1 = x2 ´ x2 + (x +1) Þ x +1 = x4 + x +1+ x2 ´ x2 ; x2 = (x +1)´ x + x Þ x = x2 + (x +1)´ x;

x +1 = x ´1+1 Þ 1 = x +1+ x

Обратный ход алгоритма Евклида

75

1 = (x +1) + x = (x +1) + (x2 + (x +1)× x) = (x +1)× (x +1) + x2 = = (x +1)× (x4 + x +1+ x2 × x2 ) + x2 = (x +1)× (x4 + x +1) +

+ x2 × (x3 + x2 ) + x2 = (x +1)× (x4 + x +1) + x2 × (x3 + x2 +1). Окончательно

ϕ(x) = x4 + x +1.

Начнем находить мультипликативные инверсии для многочленов младших степеней, заполняя каждый раз таблицу. Мультипликативная

p = 4, f −1(x) = x3 + x2 +1, найден ранее.

p = 5, x4 + x +1 = (x2 +1)´ (x2 +1) + x Þ x = x4 + x +1+ (x2 +1)´ (x2 +1);

76

x2 +1 = x ´ x +1 Þ 1 = x2 +1+ x ´ x =

= x2 +1+ x ´ ((x4 + x +1) + (x2 +1)´ (x2 +1)) = = x ´ (x4 + x +1) + (x2 +1)´ (x3 + x +1);

f −1(x) = x3 + x +1;

p = 6 , x4 + x +1 = (x2 + x)´ (x2 + x +1) +1 Þ 1 = (x4 + x +1) + (x2 + x)´ (x2 + x +1);

f −1(x) = (x2 + x +1);

p = 8, x4 + x +1 = x3 ´ x + x +1 Þ x +1 = x4 + x +1+ x3 ´ x x3 = (x +1)´ (x2 + x +1) +1 Þ 1 = x3 + (x +1)´ (x2 + x +1) =

= x3 + (x4 + x +1+ x3 ´ x)´ (x2 + x +1) = (x4 + x +1)´ (x2 + x +1) + + x3 ´ (x3 + x2 + x +1);

f −1(x) = x3 + x2 + x +1;

p= 10, x4 + x +1 = (x3 + x)´ x + (x2 + x +1) Þ x2 + x +1 = x4 + x +1+ (x3 + x)´ x;

x3 + x = (x2 + x +1)´ (x +1) + x +1 Þ

x+1 = x3 + x + (x2 + x +1)´ (x +1);

x2 + x +1 = (x +1)´ x +1Þ 1 = x2 + x +1+ (x +1)´ x =

=x2 + x +1+ (x3 + x + (x2 + x +1)´ (x +1))´ x =

=(x2 + x +1)´ (x2 + x +1) + (x3 + x)´ x =

=(x4 + x +1+ (x3 + x)´ x)´ (x2 + x +1) + (x3 + x)´ x =

= (x4 + x +1)´ (x2 + x +1) + (x3 + x)´ (x3 + x2 ); f −1(x) = x3 + x2.

Таким образом, найдены все элементы p = 0,15 поля GF (24 ), причем для каждого элемента существует мультипликативная инверсия.

14. УСОВЕРШЕНСТВОВАННЫЙ СТАНДАРТ ШИФРОВАНИЯ AES

77

AES – современный блочный шифр с симметричными ключами, который работает с блоками данных размером 16 байт. AES использует единицы данных: слово – 4 байта и матрица состояний размером 4× 4 = 16 байтов, в которой столбцами являются слова, записанные сверху вниз. Каждый из 16 раундов, кроме последнего, использует четыре преобразования, которые являются взаимнообратимыми: подстановка, перестановка, смешивание и добавление ключа. Последний раунд использует только три первых преобразования. Секция, предваряющая первый раунд, использует добавление ключа. Рассмотрим первое преобразование.

Подстановка (SubBytes). Чтобы применить подстановку к байту, мы рассматриваем его как две шестнадцатиричные цифры. Левая цифра определяет строку, правая – столбец в таблице перестановок, на пересечении строки и столбца находится новый байт. Например, байт 04 преобразуется в F2. Хотя можно использовать в качестве подстановки таблицу, AES дает определение алгебраическим

преобразованиям на основе поля GF (28 ) с помощью неприводимого полинома

ϕ(x) = x8 + x4 + x3 + x +1.

Для этого:

1. Находится мультипликативная инверсия к байту 04

0416 = 00000100 Þ x2.

Используя расширенный алгоритм Евклида, найдем для x2

78

x8 + x4 + x3 + x +1 = x2 (x6 + x2 + x) + (x +1)Þ x +1 = = x8 + x4 + x3 + x +1+ x2 ´ (x6 + x2 + x)

матрица-столбец с самым младшим битом наверху и самым старшим битом внизу. Эта матрица-столбец слева умножается на постоянную

79

квадратную матрицу Х (операция сложения осуществляется с использованием операции XOR).

3. Полученный результат складывается с постоянной матрицей столбцом y = (01100011) = 6316.

é1ù é1ù é0ù ê0ú ê1ú ê1ú ê0ú ê0ú ê0ú ê0ú + ê0ú = ê0ú. ê1ú ê0ú ê1ú ê0ú ê1ú ê1ú ê0ú ê1ú ê1ú êë1úû êë0úû êë1úû

Получили байт (11110010)=F2, что соответствует байту, полученному с помощью таблицы подстановок.

Замечание: для байта 00 мультипликативной инверсией является сам байт 00. Обратным преобразователем к SubBytes при расшифровании является преобразование InvSubBytes, которое задается либо табл. 14.2, либо алгоритмом, рассмотренным выше,

только примененным в обратном порядке, где в качестве матрицы X −1 выступает матрица

80