к которому применяем матрицу перестановок, обратную к IP :

Получим исходный блок

что соответствует открытому тексту ЖДЁМ.

12. СТАНДАРТ КРИПТОСИСТЕМЫ РОССИИ ГОСТ 28147-89

Стандарт шифрования ГОСТ разработан на тех же принципах, что и алгоритм DES, но при этом были приняты во внимание недостатки и нереализованные возможности DES. В этом алгоритме заложен метод, позволяющий обнаружить случайное или умышленное изменение шифрованной информации. ГОСТ – это блочный шифр (размер блоков 64 бита) с симметричными ключами размерностью 256 бит. ГОСТ предусматривает три режима шифрования:

1)простая замена;

2)гаммирование;

3)гаммирование с обратной связью.

Режим простой замены. Рассмотрим первый и самый простой режим работы алгоритма – замену. В нем очередная

последовательность бит T ( j) разделяется на две последовательности B( j) (левые, или старшие биты) и A( j) (правые, или младшие биты).

66

Далее выполняется итеративный процесс шифрования (32 итерации), основанный на преобразованиях Файстеля. В стандарте ГОСТ используемый 256-битовый ключ Х представляется в виде восьми

32-разрядных чисел (подключей) X ( j), j = 0,7 . Элементы ключа выбираются три раза в прямой (0, 1, 2, 3, …, 7) и один раз в обратной (7, 6, …, 0) последовательности. Цикл расшифрования данных использует последовательность подключей один раз в прямой и три раза в обратной.

Алгоритм ГОСТа: 1. Для i =1,24, j = (i -1)mod8

A(i) = f (A(i -1)[ +] X ( j)) Å B(i -1)

B(i) = A(i −1)

2. Для i = 25,31, j = 32 - i

A(i) = f (A(i -1)[ +] X ( j)) Å B(i -1)

B(i) = A(i −1)

3. i = 32

A(32) = A(31)

B(32) = f (A(31)[ +] X (0)) Å B(31) ,

где Å – операция сложения по модулю 2, [ +] – операция сложения по модулю

После сложения по модулю 232 с подключом X ( j) функция шифрования f включает две операции. Первая операция называется

подстановкой S. В этой операции правый блок A(i −1) складывается

сначала по модулю 232 с подключом X ( j) . Полученное 32-битовое число делится на восемь 4-битовых частей. Каждое из этих 4 битовых

67

Пример: На вход S-блока поступило 32-битовое число.

Вторая операция: после преобразования S-блоком полученное 32-битовое число сдвигается влево на 11 позиций.

12 ------------------------------------------------ 32 1 ------------------------------------ 11

Число циклов – 32. Процесс дешифрования является инверсным. Рассмотрим работу алгоритма на простом примере, когда

размеры блоков T ( j) равны 16 бит, все уменьшено в 4 раза, реализуется одна итерация и выбран 64-битовый ключ X:

Первые 16 букв русского алфавита пронумерованы от 0 до 15: А – 0, Б – 1, В – 2, …, Р – 15.

Зашифруем сообщение: ЖДЕМ; Ж – 6, Д – 4, Е – 5, М – 11. ЖДЕМ – 0110|0100|0101|1011.

68

Блок T (0) имеет вид:

B(0)A(0)

Найдем A(1) = f (A(0)[ +] X (0)) Å B(0).

соответствующим S-блоком в другое однобитовое число.

Второе однобитовое число равно 0. На пересечении 0 строки и

столбца S2 находится 0 и т. д.

В итоге имеем 8-битовое число 00100010.

Вторая операция: после преобразования S-блоком полученное 8-битовое сообщение сдвигается влево на 3 позиции,

4 5 ………… 8 1 2 3

получили 00010001. Далее реализуется преобразование Файстеля:

B(1) = A(0) 10000111

A(1) = f (A(0)[ +] X (0)) Å B(0)

69

00010001

01010110

01000111

A(1) = Å

00010001

01010110

01000111

Шифротекст: КАЕР.

Процедура расшифрования является обратимой по отношению к шифрованию. Восстанавливаем

A(0) = B(1);

т. к. аргументы функции шифрования f (A(0)[ +] X (0)) остаются теми же, что и при шифровании, то

f (A(0)[ +] X (0)) = 00010001.

64-битовые блоки T ( j), зашифровываются в режиме гаммирования

путем поразрядного сложения по модулю 2 с гаммой шифра TШ ( j) ,

70

которая вырабатывается блоками по 64 бита. Уравнение шифрования данных имеет вид

TШ ( j) = T ( jГ) Å jШ ( ),

где ГШ ( j) = ( f (Y ( j)), f (Z( j)).

Здесь f − функция шифрования из алгоритма простой замены. Аргументами этой функции являются два 32-битовых числа.

Для простоты выберем нулевые подключи X ( j) . Величины

Y ( j), Z( j) определяются итерационно по мере формирования гаммы шифра следующим образом:

Y ( j) = Y ( j −1)[ +] C1; Z( j) = Z( j −1){ +} C2.

Здесь C1, C2 − константы, заданные ГОСТ, { +} – операция сложения по модулю 232 −1. 64-битовая последовательность

называется синхрпосылкой и не является секретным элементом шифра, но ее наличие необходимо как на передающей стороне, так и на принимающей для инициализации генератора гаммы.

Рассмотрим работу алгоритма гаммирования на предыдущем примере: ЖДЕМ – открытый текст. Все параметры алгоритма уменьшены в 4 раза.

В качестве констант возьмем 8-битовые числа:

C1 = 7 → 00000111;

C2 = 12 → 00001100.

ГШ (1) = ( f (Y (1)), f (Z(1))) :

71

Y(1) =Y(0)[+]C1= Å10101010 00000111

10110001

01010101

00001100

окончательно имеем f (Y(1)) = (11011000).

Аналогично найдем f (Z(1)) = (01011110). В итоге имеем гамму шифра

ГШ (1) = (1101100001011110)

ипервый блок шифротекста

Шифротекст: МНАЕ.

Процедура расшифрования: по тому же алгоритму находится гамма шифра ГШ (1) , тогда открытый текст

Открытый текст: ЖДЕМ.

Режим гаммирования с обратной связью. Данный режим отличается от обычного режима гаммирования только способом выработки элементов гаммы шифра − очередной элемент гаммы вырабатывается как результат преобразования предыдущего блока зашифрованных данных, а для шифрования первого блока массива

72

данных элемент гаммы вырабатывается как результат преобразования по тому же циклу синхропосылки, т. е.

j = 1, TШ (1) = T (1) Å f (Y (0), f (Z(0)); j = 2 ÷ m , TШ ( j) = T ( j) Å f (TШ ( j -1)).

Такой алгоритм шифрования называют гаммированием с зацеплением блоков. Следует отметить, что зацепление не оказывает существенного влияния на стойкость шифра.

Рассмотрим работу этого метода на примере шифрования открытого текста ЖДЕМДЕДА. Поскольку при шифровании первого

блока T (1) используется алгоритм гаммирования, то воспользуемся полученным результатом предыдущего примера, в котором

TШ (1) = (1011110000000101),

из него найдем аргументы функции шифрования Y (1),Z(1) :

Y (1) = (10111100), Z(1) = (00000101) ,

f (Y (1)) = (10110000), f (Z(1)) = (01111101),

ГШ (2) = (1011000001111101).

Представим второй блок открытого текста ДЕДА 16-битовым числом

T (2) = 0100010101000000.

что соответствует: РЕГО.

В итоге шифротекст всего сообщения: МНАЕРЕГО.

Процедура расшифрования: по аналогии с предыдущим примером восстанавливаем первый блок открытого текста: ЖДЕМ.

73