21

Преобразование E( , ) по алгоритму DES не обладает свойствами группы — то есть множество перестановок, определяемое DES при фиксированном ключе K , не является группой: для любых двух ключей K1 , K2 не существует третьего ключа K3 такого, что E(x, K3 ) = E(E(x, K1 ), K2 ) для всех информационных 64-битных блоков x .

Более того, нижняя граница на размер группы множества перестановок алгоритма DES, определяемых различными ключами, составляет 102499 [MOV97]. Это позволяет говорить об эффективности использования DES при многократном шифровании.

3.3.2 Использование метода разностного криптоанализа для DES

В 1990 году Эли Бихам (Eli Biham) и Ади Шамир (Adi Shamir) [BihSh90, BihSh91] ввели определе-

ние разностного криптоанализа. Это был новый метод криптоанализа (следует, однако, отметить, что разработчики DES заявили, что этот метод был известен им еще в 1974 году [Cop92]). Используя этот метод, Бихам и Шамир предложили криптоатаку на алгоритм DES по специальным образом выбранному исходному тексту. Такой криптоанализ оказался более эффективным, чем метод прямого подбора ключа.

При разностном криптоанализе сравниваются пары исходного текста и пары соответствующего зашифрованного текста. Точнее, анализируются такие пары зашифрованного текста, у которых соответствующие им исходные тексты имеют определенное различие. Пара исходных текстов может выбираться случайным образом, требуется лишь определенное различие между текстами в каждой паре, то есть криптоаналитику могут быть неизвестны значения исходных текстов, задается лишь различие одного от другого.

Определенные различия между исходными текстами с большой вероятностью проявляются и при сравнении соответствующих им зашифрованных текстов. Такие различия называются характеристиками. Например [Schn96], если различие между исходными текстами в шестнадцатеричнодесятичном коде — 0080 8200 6000 0000, тогда после первых трех циклов DES (без начальной перестановки) различие между зашифрованными текстами по-прежнему будет 0080 8200 6000 0000

(Рис. 3.4) с вероятностью (14 / 64)2 , или около 5%. Бихам и Шамир нашли множество подобных

примеров. Разностный криптоанализ использует характеристики для установления вероятностей ключей, использовавшихся при шифровании, и по возможности, для определения наиболее вероятного ключа. Это статистический криптоанализ, ивнекоторых случаях он оказывается бесполезным.

Такой криптоанализ работает для DES и других алгоритмов подобного типа с постоянными блоками замены. Эффективность криптоанализа существенно зависит от структуры блоков замены, следует заметить, что в алгоритме DES структура этих блоков оказалась оптимальной относительно разностного криптоанализа.

Вопрос о замене DES на новый алгоритм, с более длинным ключом, приобрел особую актуальность после того, как в 1999 году совместные усилия организации EFF (Electronic Frontier Foundation) и фирмы Distributed.Net привели к установлению нового рекорда по вскрытию DES — 22 часа 15 минут. При этом были задействованы 100000 компьютеров энтузиастов, входящих в коалицию, объединенную Distributed.Net и "Deep Crack" — специальный компьютер для вскрытия DES. Был объявлен конкурс на новый федеральный стандарт шифрования, в финал которого вы-

шли пять претендентов (MARS, RC6, Rijndael, Serpent, Twofish), среди которых NIST (Националь-

ный Институт Стандартов) должен был выбрать проект нового стандарта AES (Advanced Encryption Standard). Ниже, в Главе 4, мы приведем краткое описание пяти претендентов на звание AES.

3.4. Алгоритм шифрования FEAL

FEAL (Fast Data Encipherment Algorithm, Быстрый Алгоритм Шифрования Данных) представляет собой целое семейство алгоритмов шифрования (FEAL-4, FEAL-8, FEAL-N, FEAL-NX), сыгравших ключевую роль в разработке и применении различных методов криптоанализа, включая линейный и разностный криптоанализ. FEAL, разработанный сотрудниками японской компании

NTT Akihiro Shimizu и Shoji Miyaguchi [ShiMiy87] в 1987 году, как некоторая модификация DES с

целью повышения скорости обработки информации и упрощения программной реализации, практически сразу же привлек к себе внимание ведущих криптоаналитиков.

22

Рис. 3.4. Характеристика с вероятностью 0,05 для трех циклов алгоритма DES.

Первый успех был достигнут в 1988 году, при использовании криптоатаки с выбором исходного текста [Boer88]. Ответом разработчиков стало увеличение числа циклов в алгоритме до восьми — FEAL-8. Однако и это не решило проблему слабости алгоритма. В 1991 Гилберт (Gilbert) и Чейз (Chase), применив криптоанализ с выбором исходного текста, вскрыли FEAL-8 с использованием лишь 10000 блоков [GilGha91]. Дальнейшее усовершенствование алгоритма происходило как по пути увеличения числа циклов до произвольного числа N , выбираемого по усмотрению пользователя — FEAL-N, так и увеличения длины ключа до 128 бит — FEAL-NX. Достаточно подробно драматическая история семейства алгоритмов FEAL описана в таких энциклопедических книгах по криптографии, как [Schn96] и [MOV97]. Отметим здесь лишь, что разностный криптоанализ позволяет вскрывать FEAL-8, используя только 12 выбранных блоков исходного текста [AokOht95]. Ниже мы приведем краткое описание базового алгоритма FEAL-4.

На Рис. 3.5 приведена блок-схема алгоритма. Ключи, используемые при дешифрации, обозначены в фигурных скобках. Процесс начинается с 64-битного информационного блока (исходного или зашифрованного текста). Сначала информационный блок складывается по модулю два с 64 битами ключа (вопрос о том, каким образом получаются используемые в алгоритме блоки ключа, будет рассмотрен несколько позже — Рис. 3.7). Затем информационный блок разбивается на левую и правую половины. Левая половина складывается по модулю два с правой и обе половины проходят 4 цикла (для FEAL-N число циклов, соответственно, равно N ).

В каждом цикле правая часть комбинируется с 16 битами ключа (используя функцию f ) и скла-

дывается по модулю два с левой половиной, образуя новую правую часть. Исходная правая половина (входная для данного цикла) образует новую левую часть. После 4-х циклов левая часть опять складывается по модулю два с правой частью и образует заключительную часть, которая затем объединяется с заключительной левой частью, образуя полный 64-битный блок. Этот блок складывается по модулю два с другими 64 битами ключа, и алгоритм останавливается.

Функция f использует 32 бита информации и 16 бит ключа и смешивает их вместе. Сначала ин-

формационный блок разбивается на 8-битные подблоки, которые затем складываются по модулю два и замещают друг друга.

25

3.5.ГОСТ 28147-89 — российский стандарт криптографического преобразования данных

Полное описание алгоритма приведено в ГОСТ 28147-89 "Алгоритм криптографического преобразования данных". Алгоритм может быть использован как в аппаратной, так и в программной реализации. Общая схема алгоритма приведена на Рис. 3.9.

Валгоритме используются следующие структурные компоненты:

1.Устройство для хранения ключей, способное хранить 256-битный ключ в восьми 32-битных регистрах.

2.Четыре 32-битных регистра — R1 , R2 , R3 , R4 .

3.Два 32-битных регистра R5 , R6 , которые содержат константы C2 , C1 соответственно.

4.Два 32-битных сумматора по модулю 232 — CM1 , CM3 .

5.Побитный сумматор по модулю два (схема ИСКЛЮЧАЮЩЕЕ ИЛИ) ( CM2 ) для двух 32битных слов.