Технології захисту інформації - копия

ності вони можуть бути трохи менше) на розмір вихідної блоку в n біт і становитиме:

в конструкціях кодів автентифікації повідомлень (HMAC) і псевдовипадкових функцій (PRF) стійкість за кількістю запитів повинна бути не менше 2 (n / 2) біт проти атак-розрізнювачів;

стійкість рандомізованого гешування проти атаки знаходження H (M1, r1) = H (M2, r2) – не менше n біт, за умови, що значення рандомізатора r1 не контролюється атакуючим.

Стандартні та додаткові параметри стійкості: стійкість до знаходження колізій – не менше n / 2 біт; стійкість до знаходження прообразу – n біт;

стійкість до знаходження другого прообразу – n-k бітів для будьякого повідомлення, коротше 2k бітів;

стійкість до атак на зміну довжини повідомлення; підмножина геш-функцій (наприклад, отримане усіканням числа

бітів виходу) розміром m бітів повинно зберігати властивості n-бітного множини в перерахунку на m, з урахуванням статистичних (не відрізняються від випадкових) відхилень. Не повинно існувати атаки на швидке знаходження малостійких підмножин геш-функції з вихідної множини n;

стійкість до нових типів атак, наприклад, на основі мультиколізій. Національним інститутом стандартів і технологій США 29 березня

2012 року був проведений третій раунд конкурсу SHA-3, у табл. 6.13 наведені основні характеристики алгоритмів-претендентів.

Таблиця 6.13

Характеристики алгоритмів гешування кандидатів 3 раунду

221

Аналіз табл. 6.13 показує, що основну увагу розробників алго- ритмів-конкурсантів було направлено на виконання основних вимог щодо продуктивності і можливості оптимальної роботи алгоритму при його реалізації на безлічі сучасних платформ. Разом з тим керівники конкурсу при відборі алгоритмів-кандидатів у другий тур звернули увагу на стійкість даних алгоритмів до різних видів атак.

У 3 раунд були відібрані алгоритми гешування, в яких не була порушена будь-яким чином безпека. У деяких випадках, представлений варіант був занадто повільним чи вимагав занадто багато пам’яті, але NIST вважає, що в деяких випадках, настроюються параметри можуть бути відкоректовані, щоб дати прийнятний рівень продуктивності без шкоди для безпеки [33].

Попереднє вивчення алгоритмів-учасників показало, що кожен з них запозичив деякі принципи побудови у алгоритму AES для забезпечення стійкості геш-кодів.

Таким чином, головною вимогою до алгоритмів-конкурсантів керівники NIST висунули безпеку, що і стало основним критерієм відбору кандидатів у 3 раунд. Тільки 5 алгоритмів з 14 відібраних після другого раунду (всьго на конкурс було подано 51 алгоритм) змогли продемонструвати необхідний рівень захисту від криптографічних атак. До основних критеріїв відбору також відноситься продуктивність і можливість роботи на великому числі платформ, що також дозволило керівникам конкурсу "відсіяти" кілька кандидатів (алгоритми Vortex, LUX і т. д.).

BLAKE (Jean-PhilippeAumasson)

BLAKE Алгоритм стиснення, функція якого заснована на використанні ключової підстановки в конструкції Davies-Meyer. Ключова підстановка заснована на внутрішній організації потокового шифру ChaCha. Отримав свою не лінійність з накладенням модульного складання і операцій XOR. Сама інноваційна частина BLAKE – своя ключова перестановка.

Структурна схема алгоритму наведено на рис. 6.14.

Геш-функція BLAKE-32 працює з 32-бітними словами й повертає 32-байтовое значення геша. Цей відрізок визначає BLAKE-32, виходячи з постійних параметрів власної функції стиску, а потім переходить до його ітеративного режиму.

222

Рис. 6.14. Структурна схема алгоритму BLAKE

Константи.

BLAKE-32 запускає гешування від того ж початкового значення, що

Десять перестановок {0, . . ., 15}, що використовуються всіма функціями BLAKE, наведено в табл. 6.14.

Функція стиску.

Функція стиску BLAKE-32 приймає на вході чотири значення:

•ланцюгове значення h = h0, . . ., h7;

•блок повідомлення = m0, . . .,m15;

•сіль s = s0, . . ., s3;

•лічильник t = t0, t1.

223

Таблиця 6.14

Перестановки {0, . . ., 15} використовувані функціями BLAKE

Ці чотири входи є в підсумку 30 словами (тобто, 120 байт = 960 біт). На виході функції – нове ланцюгове значення h’ = h’0, . . . , h’7 з восьми слів (тобто, 32 байта = 256 біт). Записуємо стиск h, m, s, t в h’ як h′ = compress (h, m, s, t).

Ініціалізація.

Стан 16-слова v0, . . . , v15 ініціалізовано так, що різні входи виробляють різні початкові стани. Стан представляється як матриця розміром 4×4, і заповнюється так, як зазначено далі:

Циклічна функція.

Як тільки стан проініціалізовано, функція стиску виконує ітерації серіями по 10 раундів. Раунд – це перетворення значення , яке обчислюється:

224

Перші чотири виклики G0,…,G3 можуть бути розраховані паралельно, тому що кожний з них обновляє окремий стовпець матриці. Необхідно звернутися до процедури обчислення G0,…,G3 крок стовпець.

Так само останні чотири виклики G4,…,G7 обновлюють певні діагоналі й таким способом можуть бути синхронізовані так, що треба звертатися до діагонального кроку.

На рис. 6.15 і 6.16 наведено Gi, крок-стовпець і діагональний крок.

Рис. 6.15. Функція Gi

Завершення.

Після послідовності циклів нове ланцюгове значення h′0, . . . , h′7 отримується із установленого v0,…,v15 із входом початкового ланцюгового значення h0,…,h7 і сіллю s0,…,s3:

h0 h0 s0 0 8

h2 h2 s2 2 10 h3 h3 s3 3 11 h4 h4 s0 4 12 h5 h5 s1 5 13 h6 h6 s2 6 14 h7 h7 s3 7 15

225

Гешування повідомлення.

Процедура для гешування повідомлення m розрядної довжини ℓ < 264 притаманна циклічним геш-функціям, повідомлення спочатку доповнюється: при додаванні BLAKE використовує правило, подібне до правила HAIFA, потім оброблений блок прймається функцією стиску.

Доповнення.

Спочатку повідомлення розширюють таким чином, що його довжина збігається з 447 за модулем 512. Довжина збільшується, додаючи в кінець достатню кількість 0 біт. Збільшення як мінімум на один біт і як максимум на 512. Потім приєднується одиничний біт, за ним іде 64-бітне невизначене багатобайтово представлення ℓ. Доповнення може бути представлено, як:

m ← m || 1000...0001l 64 .

Ця процедура гарантує, що бітова довжина повідомлення, що доповнюється, кратна 512.

Гешування.

Щоб приступити до гешування, доповнене повідомлення розбивається на блоки по 16-слів m0,…,mn-1. Нехай ℓi кількість біт у повідомленні m0,…,mi, тобто крім бітів, доданих при доповненні. Наприклад, якщо оригінальне (не доповнене) повідомлення 600-біт у довжину, то доповнене повідомлення буде мати два блоки, і ℓ0 = 512, ℓ1 = 600. Часний випадок відбувається, коли останній блок не містить жодного біта оригінального повідомлення; наприклад 1020-розрядне повідомлення приводить до доповненого повідомлення із трьома блоками (які містять

226

відповідно 512, 508, і 0 біт повідомлення), і треба встановити ℓ0 = 512, ℓ1 = = 1020, ℓ2 = 0. Загальне правило: якщо останній блок не містить жодного біта оригінального повідомлення, тоді лічильник зводиться до нуля; це гарантує, що, якщо i ≠ j, то ℓi ≠ ℓj.

Сіль s вибирається користувачем, і встановлюється нульовою, якщо ніякої солі не потрібно (тобто, s0 = s1 = s2 = s3 = 0). Гешування доповненого повідомлення m проводиться, як зазначено далі:

h0 IV

fori 0,..., N 1

hi 1 compress(hi,mi,s,li ) returnh N .

Процедура гешування m з BLAKE-32 записується BLAKE-32(m, s)= hn, де m (не доповнене) повідомлення, і s – соль. Запис BLAKE-32(m) означає гешування m, коли ніяка сіль не використовується (тобто, s = 0).

Регульований параметр.

При його виклику для нової геш-функції [36] NIST сприяє опису параметра, який допускає швидкість/довіру вибору оптимального розв’язку. Для BLAKE цей параметр – кількість циклів. 5 раундів – мінімум для BLAKE-32 (і BLAKE-28). Для BLAKE-64 (і BLAKE-48), 7

раундів – мінімум.

Grostl (LarsRamkildKnudsen)

Grostl – колекція геш-функцій, здатних повертати короткі виклади повідомлення будь-якої кількості байтів від 1 до 64, тобто від 8 до 512 біт у 8 бітних кроках. Різновиди, що повертають n біт називаються Grostl-n. Це включає розміри короткого викладу повідомлення 224, 256, 384, і 512 біт.

Конструкція геш-функції.

Геш-функції Grostl повторюють функцію стиску f таким чином. Повідомлення M доповнене й розділене на блоки повідомлення по ℓ біт m1, . . . ,mt, і кожний блок повідомлення обробляється послідовно.

Початкове ℓ-бітне значення h0 = iv визначене, і згодом блоки повідомлень mi обробляються як:hi (hi 1,mi ) , for i = 1,…,t.

Отже, в картах два входи по ℓ біт кожний і вихід з ℓ біт. Перший вхід називається послідовним входом, а другий вхід названий блоком

227

Тобто вихідне перетворення Ω розраховується як P(x) x, а потім виключає вихід, повертаючи тільки останні n біт.

x P

Рис. 6.19. Вихідне перетворення Ω

Проектування від байтової послідовності до встановленої матриці й нвпаки. Оскільки Grostl оперує байтами, це в основному невизначені байти. Однак, необхідно конкретизувати, як саме байтова послідовність проектується на матрицю А і навпаки. Цей розподіл зроблений аналогічним способом як в Rijndael. Отже, 64-байтова послідовність 00 01 02...3f відображається як матриця 8 × 8.

Для матриці 8×16, цей метод розширюється природним шляхом. Розподіл від матриці до байтової послідовності – просто зворотна операція.

Кількість раундів.

Кількість раундів r є регульованим параметром безпки. Рекомендуються такі величини r для чотирьох перестановок.

229

Початкові значення.

Початкове значення ivngrostl-n – ℓ-бітне представлення n. У табл. 6.15 наведено початкові значення необхідні для вихідних розмірів

224, 256, 384, і 512 біт.

Таблиця 6.15

Початкові значення

Доповнення. Довжина кожного блоку повідомлення – ℓ. Щоб бути здатним подіяти на входи змінної довжини, функція доповнення pad визначена. Ця функція доповнення приймає рядок x довжиною в N біт і повертає доповнений рядок x* = pad(x) довжиною, яка є кратною ℓ.

Функція, що доповнює, робить такі дії. Спочатку вона додає "1" біт до x. Потім вона додає w = – N – 65 modℓ "0" біт, і нарешті вона додає 64бітне представлення (N + w + 65)/ℓ. Це число є цілим через вибір w і представляє кількість блоків повідомлення в кінцевому, доповненому повідомленні.

Оскільки це повинне бути доступним для кодування кількості блоків повідомлення, в доповненому повідомленні в межах 64 біт, максимальна довжина повідомлення – 65 біт до 264-1 блоків повідомлення. Для коротких варіантів, максимальна довжина повідомлення в бітах – 512· (264 – 1) – 65 = 273 – 577, і для довших віріантів – це 1024·(264 – 1) – 65 =

=274 – 1089. Початкове значення Grostl-n – ℓ-бітне представлення n.

Востаточному підсумку вихід останнього виклику f обробляється вихідним перетворенням Ω, яке скорочує розмір висновку з ℓ до n бітів.

JH (HongjunWu)

JH – використовує нову конструкцію, що дещо нагадує конструкцію "sponge" для вбудовування алгоритму геш у блок-підстановку. Блокпідстановка – це комбінація з двох 4-бітових S-боксу з низкою лінійних

230