Технології захисту інформації - копия

Блок-схема процесу шифрування алгоритму AES подано на рис. 4.7. Опишемо окремі перетворення раундової функції.

1. Перетворення SubBytes. Суть цього перетворення полягає в заміні кожного байта {xy} стану (де x та y – шістнадцяткові значення) на інші відповідно до таблиці заміни, яку подано в табл. 4.13. Зрозуміло, що під час розшифрування необхідно використати обернену таблицю, яка зображена в табл. 4.14.

Рис. 4.7. Блок-схема процесу шифрування алгоритму AES

91

Таблиця 4.13

Таблиця заміни для шифрування алгоритму Rijndael

Наприклад, байт {fe} буде замінено на {bb}.

Таблиця 4.14

Обернена таблиця заміни для процесу розшифрування

Наприклад, байт {bb} буде замінений {fe}, що якраз і свідчить про взаємну оберненість таблиць заміни.

92

З математичної точки зору заміна еквівалентна таким операціям в полі Галуа GF(28), яке використовується в цьому алгоритмі:

а) кожний байт замінюють на обернений елемент за операцією множення, визначеній в цьому полі ({00} відображується сам на себе);

б) потім застосовується афінне перетворення, визначене таким чином:

Множення та додавання виконується за правилами, визначеними в полі Галуа GF(28) [57].

2. ShiftRows (зсув рядків). Суть перетворення полягає в циклічному зсуві рядків стану. Схематично такий зсув показано на рис. 4.8.

Рис. 4.8. Перетворення ShiftRows

Перший рядок залишається незмінним. Другий – зсувається вліво на один байт, а перший байт записується в кінець рядка. Третій зсувається на два байти, а четвертий – на три. Обернене перетворення – зсув вправо.

93

3. Перетворення MixColumns. Це перетворення виконується як множення квадратної матриці четвертого порядку на кожен стовпчик стану:

По суті, це означає, що стовпчики стану розглядаються як поліноми в GF(28) і множаться за модулем х4 + 1 на фіксований поліном (коефіцієнти даються у 16-ковій формі):

c(x) = {03} x3 + {01} x2 + {01} x + {02}.

Цей поліном взаємно простий з х4 + 1 і, отже, існує обернений до нього поліном. Інверсія MixColumn визначається таким чином:

({03} x3 + {01} x2 + {01} x + {02}) d(x) = {01}.

Добуток виконується за правилами поля Галуа GF(28). У результаті одержимо:

d(x) = {0B} x3 + {0D} x2 + {09} x + {0E}.

У матричному вигляді будемо мати обернену операцію до MixColumn, яка використовується при розшифруванні:

[ ] [ ] [ ]

Тут множення також відбувається за правилами GF(28).

4.Перетворення AddRoundKey зводиться до побітового додавання за модулем два кожного біта раундового ключа з бітами стану. Оберненим перетворенняv до AddRoundKey служить воно саме.

5.Процедура ExpandKey приймає на вході ключ шифрування і перетворює його на ключі для усіх раундів. Загальна кількість бітів ключового масиву дорівнює довжині блоку, помноженій на кількість раундів

плюс 1, тобто Nb×(Nr + 1). Наприклад, для довжини блоку 128 бітів і 10 раундів необхідно 1408 бітів ключового масиву.

Операція розгортання ключа виконується в такий спосіб. Перші Nk позицій розширеного ключа заповнюються ключем шифрування. Наступні чотирибайтні слова, w[i], утворюються як результат операції XOR

між w[i-1] та w[i-Nk] словами. Для слів, позиція яких кратна Nk, додатково перед XOR’ом до w[i-1] застосовується трансформація, яка складається

94

з циклічного зсуву байтів у слові, додавання за правилами XOR з константою раунду Rcon[i] та виконання табличної підстановки для усіх байтів слова. Слід зазначити, що операція розгортання ключа має два варіанти: для Nk≤6 та Nk>6. Відмінність для Nk>6 полягає в тому, що таблична підстановка виконується до XOR з Rcon[i].

Константи раунду не залежать від Nk і визначаються в такий спосіб:

Rcon [i] = ({02i-1}, {00}, {00}, {00}). Раундові ключі вибираються з ключового масиву від w[Nb×i] до w[Nb×(i+1)].

95

На рис. 4.9 подано алгоритм розшифрування. Як бачимо, усі перетворення виконуються в оберненому порядку. Замість шифрувальних перетворень використовуються розшифрувальні.

1.InvSubBytes – операція заміни байтів, яка використовує обернену таблицю заміни.

2.InvShiftRows – циклічний зсув байтів вправо, протилежно до такого при шифруванні.

3.InvMixColumns – перемішування стовпчиків з використанням оберненої матриці.

4.Процедури ExpandKey та AddRoundKey залишаються без змін.

5.Раундові ключі для розшифрування використовуються в оберненому порядку.

Переваги та недоліки алгоритму

За оцінками розробників алгоритм Rijndael вже на чотирьох раундах має криптостійкість, достатню для сучасних застосувань. Теоретичною межею вважаються 6 – 8 раундів. Отже, 10 – 14 раундів, які пропонують розробники, мають значний запас криптостійкості.

Переваги, які відносяться до аспектів реалізації, такі:

1.Rijndael може виконуватись швидше, ніж традиційний блоковий алгоритм шифрування на основі сітки Фейстеля, оскільки розробниками проведено оптимізацію між розміром таблиці і швидкістю виконання.

2.Rijndael придатний для реалізації в смарт-картах, оскільки він може працювати з невеликим RAM і є невелику кількість раундів.

3.Раундові перетворення добре розпаралелюються, що є важливою перевагою для майбутніх процесорів і спеціалізованої апаратури.

4.Алгоритм шифрування не використовує арифметичні операції, тому тип архітектури процесора не має значення.

5.Алгоритм шифрування повністю самодостатній. Він не використовує ніяких інших криптографічних компонентів, S-boxів, взятих з добре відомих алгоритмів, бітів, отриманих зі спеціальних таблиць.

6.Безпека алгоритму не базується на ітераціях арифметичних операцій, які складно зрозуміти, проста розробка краще аналізується, і крім того, в компактній структурі практично неможливо приховати "люки" або дефекти.

Структура алгоритму дозволяє використовувати шифр з різними довжинами блоку, від 128 до 256 бітів з кроком в 32 біти. Крім того, операція розгортання ключа може працювати з ключами, довжина яких

96

кратна 4 байтам. Отже, вона необов’язково повинна дорівнювати 128, 192 або 256 бітів. Для іншої довжини ключа необхідно знати лише кількість раундів алгоритму, яка визначається так:

Nr = max (Nk, Nb) + 6.

Таким чином, авторам вдалося спроектувати надзвичайно вдалий та гнучкий алгоритм, криптостійкість якого можна змінювати залежно від ситуації, налаштовуючи її зміною довжини ключа, блоку та кількістю раундів.

Відносним недоліком цього алгоритму може бути те, що його структура ще недостатньо вивчена, і, можливо, містить невідомі зараз недоліки. Хоча, слід зазначити, що більшість аналітиків з сумнівом відносяться до такої можливості [33; 40].

4.5.Інші відомі блокові шифри

4.5.1.Алгоритм RC2

Криптоалгоритм RC2 є блоковим шифром із ключем змінної довжини, розроблений Р. Рівестом на замовлення компанії RSA Data Security, Inc. Абревіатура "RC" означає "Код Рональда" (Ron’s Code), або "Шифр Рівеста" (Rivest’s Cipher). Криптоалгоритм розроблявся як альтернатива стандарту DES. RC2 працює із блоками по 64 біти, програмна реалізація криптоалгоритму приблизно у два – три рази швидша, ніж DES. Змінна довжина ключа дозволяє домогтися адекватної криптостійкості з урахуванням можливостей силової атаки. Уряд США не забороняє експортувати апаратні і програмні реалізації криптоалгоритмів RC2 і RC4 – при дотриманні 40-бітового обмеження на довжину ключа. Американські компанії за межами США і Канади можуть використовувати крипто-алгоритми з довжиною ключа 65 бітів. При шифруванні за криптоалгоритмом RC2 до секретного ключа методом конкатенації додається деякий допоміжний ключ від 40 до 88 бітів. Для виконання дешифрування допоміжний ключ передається одержувачу зашифрованого повідомлення у відкритому вигляді.

4.5.2. Алгоритм RC5

Криптоалгоритм RC5 також розроблений Р. Рівестом на замовлення компанії RSA Data Security, Inc. Це блоковий шифр зі змінною

97

Криптографічна стійкість.

Наступні характеристики IDEA характеризують його криптографічну стійкість:

1.Довжина блоку повинна бути достатньою, щоб приховати усі статистичні характеристики вхідного повідомлення. З іншого боку, складність реалізації криптографічної функції зростає експоненціально з розміром блоку. Використання блоку розміром в 64 біти в 90-ті роки вважалося достатнім компромісом. Подальше посилення крипостійкості досягалося режимами використання алгоритму.

2.Довжина ключа повинна бути досить великою для того, щоб запобігти атаці повного перебирання ключів. При довжині ключа 128 бітів IDEA вважається з цього боку досить безпечним.

3.Конфузія: зашифрований текст повинен залежати від ключа складним і заплутаним способом.

4.Дифузія: зміна одного біту відкритого тексту повинна впливати на усі біти зашифрованого. Це ефективно приховує статистичну структуру відкритого тексту. IDEA з цієї точки зору вважається дуже ефективним алгоритмом.

В IDEA два останні пункти задовольняються трьома операціями, на відміну від DES, який використовує операцію XOR та маленькі нелінійні таблиці заміни.

Кожна операція виконується над двома 16-бітними входами і створює один 16-бітний вихід.

Цими операціями є:

1.Побітовий ХOR.

2.Додавання за модулем 216 (за модулем 65536); при цьому входи і виходи вважаються беззнаковими 16-бітними цілими числами. Цю операцію будемо позначати "+".

3.Множення за модулем 216 + 1 (за модулем 65537); при цьому входи і виходи вважаються без знаковими 16-бітними цілими числами за винятком того, що блок з нулів трактується як 216. Цю операцію будемо позначати "•".

Ці три операції несумісні в такому розумінні:

1.Не існує жодної пари з трьох операцій, що задовольняють дистрибутивному закону:

a • (b + c) <=> (a • b) + (a • c).

99

2. Не існує жодної пари з трьох операцій, що задовольняють асоціативному закону. Наприклад:

a + (b c) <=> (a + b) c.

Використання комбінації цих трьох операцій забезпечує комплексну трансформацію входу, значно ускладнюючи криптоаналіз порівняно з алгоритмом DES, який ґрунтується винятково на функції XOR.

Шифрування

Розглянемо загальну схему шифрування IDEA. Як і в будь-якому іншому алгоритмі він має два входи: блок відкритого тексту і ключ. У цьому випадку незашифрований блок має довжину 64 біти, ключ – 128 бітів.

Алгоритм IDEA складається з восьми раундів, які передують заключному перетворенню. Алгоритм розділяє блок на чотири 16-бітних підблоки. Кожний раунд і заключне перетворення отримують на вході чотири 16-бітних підблоки і створюють чотири 16-бітних вихідних підблоки. Раунд використовує шість 16-бітних підключів, заключне перетворення – чотири підключі, отже, разом в алгоритмі використовується 52 підключа (рис. 4.10).

64-бітний незашифрований текст

64-бітний зашифрований текст

Рис. 4.10. Коротка блок-схема алгоритму IDEA

100