14

3.3. Алгоритм DES

Алгоритм DES (Data Encryption Standard, Стандарт Шифрования Данных) разработан фирмой IBM как усовершенствованный алгоритм на базе Люцифера, и представляет собой сеть Файстела с длиной блока исходного текста бит, длиной ключа бит и числом циклов, равным 16. Как федеральный стандарт, этот алгоритм был принят в США в 1976 году. Далее при описании данного алгоритма используются следующие обозначения. Если L и R — последовательности бит, то через LR будем обозначать конкатенацию (склеивание) последовательностей L и R , то есть последовательность бит, размерность которой равна сумме размерностей L и R . В этой последовательности биты последовательности R следуют за битами последовательности L . Символом "+" будет обозначаться операция побитового сложения по модулю 2.

Процесс шифрации данных поясняется Рис. 3.1.

K1

f (R0 , K1 )

K2

f (R1, K2 )

Рис.3.1. Преобразование блока исходной информации алгоритмом DES.

Сначала 64 бита исходной информации переставляются в соответствии с Табл. 3.1. Таким образом, 58-й бит блока исходной информации становится 1-м битом, 50-й бит — 2-м битом и так далее.

Полученная последовательность бит разделяется на два блока: L(0) (левый, или старшие биты), и R(0) (правый, или младшие биты), каждый из которых содержит 32 бита. Затем выполняется итеративный процесс шифрования, который записывается следующими формулами:

L(i) = R(i −1), i =1,2,…,16 ;

R(i) = L(i −1) + f (R(i −1), K(i)), i =1,2,…,16 .

15

Табл. 3.1. Начальная перестановка

Функция f называется функцией шифрования. Ее аргументами являются блок R(i −1) , полученный на предыдущем шаге итерации, и 48-битный ключ K(i) , который является результатом функции преобразования 56-битного ключа шифра.

На последнем шаге итерации будут получены последовательности L(16) и R(16) , которые конкатенируются в 64-битную последовательность L(16)R(16) . 64 бита полученной последовательно-

сти переставляются в соответствии с Табл. 3.2. Данная перестановка является обратной по отношению к начальной.

Полученная последовательность из 64 бит и будет являться шифрограммой исходного блока из

64 бит.

Табл. 3.2. Конечная перестановка

Процесс дешифрации данных является инверсным по отношению к процессу шифрации. Все действия должны быть выполнены в обратном порядке. Это означает, что дешифруемые данные сначала переставляются в соответствии с Табл. 3.1, а затем над последовательностью бит L(16)R(16)

выполняются те же действия, что и в процессе шифрации, но в обратном порядке. Процесс дешифрации может быть описан следующими формулами:

R(i −1) = L(i), i =1,2,…,16 ;

L(i −1) = R(i) + f (L(i), K(i)), i =1,2,…,16 .

На последнем шаге будут получены последовательности L(0) и R(0) , которые конкатенируются в 64-битный блок L(0)R(0) . В полученном блоке 64 бита переставляются в соответствии с

Табл. 3.2. Результат такого преобразования — исходная последовательность бит (дешифрованная 64-битная последовательность).

Функция шифрования f (R, K ) схематически показана на Рис. 3.2.

16

Рис.3.2. Функция криптографического преобразования f (R, K ) .

Для вычисления функции f используются расширяющая перестановка E (расширение 32 бит до 48), функции S1 , S2 , S3 , S4 , ..., S8 (преобразование 6-битного числа в 4-битное) и функция P

(перестановка бит в 32-битной последовательности). Аргументами функции шифрования являются R(32) и K(48) . Результат функции E — 48-битное число, которое складывается по модулю 2 с

числом K . Таким образом, получается 48-битная последовательность, которая рассматривается как конкатенация 8 строк длиной по 6 бит, то есть:

B(1)B(2)B(3)B(4)B(5)B(6)B(7)B(8) .

Эта последовательность поступает на входы восьми S-box (Рис. 3.3).

Рис.3.3. Преобразование 48-битной последовательности в 32-битную.

Результат функции Si (B(i)) — 4-битная последовательность, которую будем обозначать T (i) . В результате такой конкатенации всех 8 полученных последовательностей T (i) имеем 32-битный блок:

T = T (1)T (2)T (3)T (4)T (5)T (6)T (7)T (8) .

17

Наконец, для получения результата функции шифрования необходимо переставить биты блока T . Для этого применяется функция перестановки P(T ) .

Расширяющая перестановка E , выполняющая расширение 32 бит до 48, определяется Табл. 3.3. В соответствии с этой таблицей первые три бита E — это биты 32, 1, 2, а последние — 31, 32, 1.

Табл. 3.3. Расширяющая перестановка E .

В соответствии с Табл. 3.4 каждая из функций Si (B) преобразует 6-битный вход в 4-битный выход по следующему алгоритму:

•первый и последний биты входной последовательности B определяют номер строки K

•второй, третий, четвертый и пятый биты последовательности B задают номер колонки L

•результат преобразования выбирается из строки K и колонки L .

Например, предположим, что входными для пятой S-box (S5-box) (это биты с 25 по 30 из последовательности с выхода сумматора по модулю два) являются 101100. Первый и последний бит образуют 10, что соответствует третьей строке в таблице S5-box. Средние четыре бита образуют 0110, что соответствует седьмому столбцу в таблице S5-box. Число, находящееся в третьей строке и седьмом столбце таблицы S5-box — 7. Таким образом, блок 101100 преобразуется в 0111.

Преобразование с помощью S-box является принципиальной особенностью алгоритма DES, в отличие от всех остальных преобразований, используемых в алгоритме, данное — нелинейное, и именно оно является определяющим для качества алгоритма. Долгое время различными исследователями предпринимались многочисленные попытки раскрыть "тайну" создания S-box. И лишь после появления публикаций о дифференциальном криптоанализе IBM раскрыла критерии проектирования S-box и перестановочной матрицы P [Cop92, Cop94].

Критериями проектирования S-box являлись:

•У каждой S-box 6 входных бит и 4 выходных бита. (Это самый большой размер, который мог быть реализован в одной микросхеме по технологии 1974 года).

•Ни один выходной бит S-box не должен быть слишком близок к линейной функции входных бит.

•Если зафиксировать крайние левый и правый входные биты S-box, изменяя 4 средних бита, то каждый возможный 4-битный результат получается только один раз.

•Если два блока на входе S-box отличаются только в одном бите, результаты должны отличаться по крайней мере в двух битах.

•Если два блока на входе S-box отличаются только в двух центральных битах, результаты должны отличаться по крайней мере в двух битах.

•Если два блока на входе S-box отличаются в двух первых битах, а их последние два бита совпадают, результаты не должны быть одинаковыми.

•Рассмотрим пары 6-битных блоков на входе, отличающиеся друг от друга во всех 6 битах. Всего таких различных пар — 32. S-box должны быть построены так, чтобы не более, чем 8 из 32 пар таких блоков на входе могли бы приводить на выходе к одинаковому различию.

Табл. 3.4. Преобразования подстановки S-box алгоритма DES.

Критериями проектирования перестановки P являлись:

•4 выходных бита каждой S-box на i-м цикле распределены так, чтобы два из них влияли бы на средние биты S-box на (i +1) -м цикле, а другие два бита влияли бы на последние биты.

•4 выходных бита каждой S-box должны влиять на шесть различных S-box, никакие два бита не влияют на одну и ту же S-box.

•Если на i -м цикле выходной бит одной S-box влияет на средние биты другой S-box, то выходной бит этой другой S-box на (i +1) -м цикле не может влиять на средние биты первой

S-box.