Технології захисту інформації - копия

4.1.5. Операція розшифрування

Процес розшифрування аналогічний процесу шифрування. На вхід алгоритму подається зашифрований текст, але ключі Ki використовуються в оберненій послідовності: K16 використовується на першому раунді, K1 – на останньому раунді. Нехай виходом i-го раунду шифрування буде Li||Ri. Тоді відповідний вхід 16-ого раунду розшифрування буде Ri||Li.

Після останнього раунду процесу розшифрування дві половини виходу міняються місцями так, щоб вхід заключної перестановки IP-1 був R16||L16. Виходом цієї стадії є незашифрований текст.

Перевіримо коректність процесу розшифрування. Використаємо зашифрований текст і ключ як вхідні параметри алгоритму. На першому кроці виконаємо початкову перестановку IP і одержимо 64-бітне значення Ld0||Rd0. Відомо, що IP і IP-1 протилежні. Отже,

Ld0||Rd0 = IP (зашифрований текст). Зашифрований текст = IP-1(R16||L16)

Ld0||Rd0 = IP(IP-1(R16||L16)) = R16||L16.

Таким чином, вхід першого раунду процесу розшифрування еквівалентний 32-бітному виходу 16-ого раунду процесу шифрування, у якого ліва і права частини записані у зворотному порядку.

Тепер необхідно показати, що вихід першого раунду процесу розшифрування еквівалентний 32-бітному входу 16-ого раунду процесу шифрування. По-перше, розглянемо процес шифрування:

L16 = R15

R16 = L15 F(R15, K16).

При розшифруванні:

Ld1 = Rd0 = L16 = R15

Rd1 = Ld0 F(Rd0, K16) = R16 F(Rd0, K16) = (L15 F(R15, K16)) F(R15, K16).

XOR має наступні властивості:

(A B) C = A (B C)

DD = 0

E0 = E.

Таким чином, маємо Ld1 = R15 і Rd1 = L15. Отже, вихід першого раунду процесу розшифрування є L15||R15, який є перестановкою входу

81

16-го раунду шифрування. Легко показати, що ця відповідність виконується всі 16 раундів. Можна описати цей процес у загальних термінах. Для i-ого раунду шифрувального алгоритму справедливо:

Li = Ri-1

Ri = Li-1 F(Ri-1, Ki).

Ці рівності можна записати по-іншому:

Ri-1 = Li

Li-1 = Ri F(Ri-1, Ki) = Ri F(Li, Ki).

Таким чином, описані входи i-ого раунду як функція виходів.

Вихід останньої стадії процесу розшифрування є R0||L0. Щоб входом IP-1 стадії було R0||L0, необхідно поміняти місцями ліву і праву частини.

Але IP-1(R0||L0) = IP-1(IP (незашифрований текст)) = незашифрований текст. Отже, одержуємо незашифрований текст, що і демонструє можливість розшифрування DES.

4.1.6. Переваги та недоліки DES

Через те, що довжина ключа рівна 56 бітам, існує 256 можливих ключів. На сьогодні така довжина ключа недостатня, оскільки допускає успішне застосування атак повного перебирання. Альтернативою DES можна вважати потрійний DES, IDEA, а також алгоритм Rijndael, прийнятий у якості нового стандарту США на алгоритми симетричного шифрування [16; 22; 23; 33; 61].

Без відповіді поки залишається питання, чи можливий криптоаналіз алгоритму DES із використанням існуючих характеристик. Основою алгоритму є вісім таблиць підстановки, або S-бокси, які застосовуються в кожній ітерації. Існує небезпека, що ці S-бокси конструювалися таким чином, що криптоаналіз можливий для супротивника, який знає їх слабкі місця. Протягом багатьох років обговорювалася як стандартна, так і несподівана поведінка S-боксів, але все-таки нікому не вдалося виявити їх фатально слабкі місця. Більше того, коли Елі Біхам та Аді Шамір у 1990 році опублікували результати своїх досліджень з диференціального криптоаналізу, з’ясувалося, що блоки заміни DES значно стійкіші до цього типу криптоаналізу, ніж можна було очікувати при випадковому виборі їх структури [33]. Це дозволяє стверджувати, що Агентству

82

Національної Безпеки США цей тип атак на симетричні криптоалгоритми був відомий ще у 70-х роках ХХ сторіччя.

Сформулюємо переваги та недоліки DES. Перевагами цієї криптосистеми вважаються:

висока швидкодія як в апаратній, так і в програмній реалізації; можливість використання одних і тих самих апаратних або прог-

рамних блоків як для шифрування, так і для розшифрування інформації. Основними недоліками DES на сьогодні вважають:

невелику довжину ключа, усього 56 бітів. При сучасному рівні розвитку комп’ютерних засобів така довжина ключа не може забезпечувати потрібний рівень захисту для деяких типів інформації;

наявність "слабких" ключів, викликана тим, що для генерування ключової послідовності виконується два незалежних регістри зсуву. Прикладом слабкого ключа може служити 1F1F1F1F0E0E0E0E. При цьому результатом генерування будуть ключові послідовності, однакові з вихідним ключем, в усіх 16 раундах. Існують також різновиди слабких ключів, що дають усього чотири ключові послідовності та "зв’язані" ключі, які отримуються один з одного інверсією одного біта;

надмірність ключа, що має біти контролю парності. Елі Біхам і Аді Шамір запропонували досить ефективну атаку на реалізацію DES у смарт-картах або банківських криптографічних модулях, що використовують EEPROM-пам’ять для зберігання ключів. Наявність бітів контролю парності дозволяє відновити ключ при втраті його частини внаслідок збоїв комірок пам’яті.

4.2.Основні модифікації DES (3DES, DESX)

Зпопереднього матеріалу зрозуміло, що основним недоліком алгоритму DES є мала довжина ключа. В принципі, аналітики на це звертали увагу одразу після опублікування стандарту. Однак наприкінці 70-х років ХХ століття не існувало таких комп’ютерних потужностей, які дозволили б реалізувати атаку "грубою силою", тобто повного перебирання ключів. Проте, вже у 1998 році некомерційній правозахисній організації США Electronic Frontier Foundation з використанням спеціалізованого комп’ютера DES-cracker вартістю у 250 тисяч доларів вдалося здійснити таку атаку за три дні.

83

Одразу постало питання збільшення крипостійкості DES щодо атаки "грубою силою". Найбільш вдалими рішеннями прийнято вважати так званий Потрійний DES (Triple DES, 3DES) та DESX Рона Рівеста. Обидві модифікації значно підсилюють стійкість алгоритму до атаки повного перебирання ключів. Розглянемо їх детальніше.

4.2.1. Потрійний DES

Існує багато різних варіантів потрійного DES [61]. Найбільш популярними з них є два: 3DES EDE2 (Encrypt-Decrypt-Encrypt з двома ключами) та 3DES EDE3 (Encrypt-Decrypt-Encrypt з трьома ключами).

Потрійний DES з двома ключами.

У цьому алгоритмі використовується два ключі по 56 біт, тобто загальна довжина ключа дорівнює 112 біт. Шифрування цим алгоритмом передбачає етапи, показані на рис. 4.4.

Рис. 4.4. Схема шифрування алгоритму 3DES EDE2

Як бачимо з рис. 4.4, відкрите повідомлення М спочатку шифрується звичайним однократним DES на ключі К1, потім розшифровується на ключі К2, після чого знов шифрується – на К1. У цьому випадку зростання криптостійкості досягається як збільшенням довжини загального ключа (до 112 біт + біти парності), так і кількістю циклів обробки. На відміну від однократного, потрійний DES еквівалентний 48 раундам обробки відкритого тексту. Очевидно, що потрійний DES рівно втричі повільніший за звичайний, хоча і не такий повільний, як асиметричні алгоритми. Однак швидкий розвиток комп’ютерної техніки деякою мірою згладжує цей недолік. Етап розшифрування на ключі К2 подано для сумісності з однократним DES у разі К1 = К2.

Розшифрування відбувається протилежним чином: на вхід алгоритму подають зашифрований текст (С), на першому етапі

84

Суттєвим для DESX є те, що цих дві операції XOR роблять шифр менш вразливим до атаки "грубою силою", проти чого і була спрямована ця розробка. DESX, однак, збільшує й стійкість простого DES проти диференціального та лінійного криптоаналізу, збільшуючи потрібну кількість проб з обраним відкритим текстом до 260 [55].

Таким чином, практично з усіх боків DESX кращий за DES. Це простий алгоритм, сумісний з DES, ефективно реалізується апаратно, може використовувати існуюче апаратне забезпечення DES.

4.3. Алгоритм криптографічного перетворення ГОСТ 28147-89

Стандарт шифрування даних Радянського Союзу ГОСТ 28147-89 було прийнято на озброєння у 1989 році. В основі цього стандарту лежить сітка Фейстеля. Параметри цього алгоритму такі: довжина блоку – 64 біти; довжина ключа – 256 бітів; кількість раундів – 32.

Алгоритм є класичною сіткою Фейстеля:

Li = Ri-1;

Ri = Li F(Ri-1, Ki).

Функція F проста. Спочатку права половина та i-ий підключ додаються за модулем 232. Потім результат розбивається на вісім 4- бітових частин, кожна з яких надходить на вхід свого S-блока. ГОСТ 28147 використовує вісім різних S-блоків, кожний з яких має 4-бітовий вхід і 4-бітовий вихід. Виходи всіх S-блоків об’єднуються в 32-бітне слово, яке потім циклічно зсувається на 11 бітів вліво. Нарешті за допомогою XOR результат додається до лівої половини, у результаті чого виходить нова права половина (рис. 4.6). Генерування ключів виконується дуже просто. 256-бітний ключ розбивається на вісім 32бітних підключів. Алгоритм має 32 раунди, тому кожний підключ використовується в чотирьох раундах за схемою, наведено в табл. 4.9, S-блоки алгоритму наведені у табл. 4.10.

Таблиця 4.9

Використання підключів у ГОСТ 38147-89

86

Вважається, що стійкість алгоритму ГОСТ 28147 багато в чому визначається структурою S-блоків. Довгий час їх структура у відкритій літературі не публікувалась. На сьогодні відомі S-блоки, які використовуються в програмному забезпеченні Центрального Банку Російської Федерації і вважаються досить сильними. Входом і виходом S-блоків є 4-бітні числа, тому кожний S-блок може бути поданий у вигляді рядка чисел від 0 до 15, розташованих у деякому порядку. Заміна виконується в такий спосіб. 32-бітний блок розбивається на вісім 4-бітних підблоків, кожен з яких подається на вхід свого блоку заміни. Номер S-box визначається порядковим номером 4-бітного підблоку. Двійкове значення, що містить підблок, визначає номер комірки S-блоку, звідки треба взяти значення, яке і буде заміною.

Основні відмінності між DES і ГОСТ 28147 такі:

DES використовує більш складну процедуру створення підключів, ніж ГОСТ 28147. У ГОСТ ця процедура дуже проста: загальний 256бітний ключ просто ділиться на вісім 32-бітних підключів.

При виборі сильних S-boxes ГОСТ 28147 вважається дуже стійким. У S-boxes DES 6-бітові входи й 4-бітові виходи, а в S-boxes ГОСТ 4-бітові входи й виходи. В обох алгоритмах використовується по вісім S-boxes, але розмір S-box ГОСТ суттєво менший від розміру S-box DES.

У DES застосовуються нерегулярні перестановки Р, у ГОСТ використовується 11-бітний циклічний зсув вліво. Перестановка DES збільшує лавинний ефект, коли зміна одного біту на вході призводить до зміни багатьох бітів на виході. В ГОСТ зміна одного вхідного біта впливає на один S-box одного раунду, який потім впливає на два S-boxes наступного раунду, три S-boxes наступного і т. д.

Таким чином, для того, щоби зміна одного біту на вході вплинула на кожен вихідний біт, DES вистачає 5 раундів, а ГОСТ для цього потрібно 8 раундів [23]. Однак DES має 16 раундів, а ГОСТ – 32, що робить його більш стійким до диференціального і лінійного криптоаналізу. Лише у 2011 році з’явилися повідомлення про те, що за допомогою алгебраїчного криптоаналізу в ГОСТ 28147-89 було знайдено серйозні вразливості [22; 23; 40]. До практичного застосування цього типу атак ще далеко, але безпека ГОСТ 28147-89 постраждала досить суттєво.

88

4.4. Алгоритм Rijndael

2 січня 1997 року Національний Інститут Стандартів і Технологій США (NIST) оголосив конкурс симетричних криптоалгоритмів на заміну DES, який вичерпав свої можливості в якості стандарту шифрування. У жовтні 2000 року було оголошено переможця цього конкурсу. Ним виявився алгоритм Rijndael (вимовляється – Рейндал), авторами якого були бельгійські криптографи Вінсент Реймен та Йоан Даймен. У листопаді 2001 року цей алгоритм був прийнятий як новий стандарт шифрування США під назвою AES (Advanced Encryption Standard –

вдосконалений стандарт шифрування) (див. FIPS 197 [23; 35; 58]). Розглянемо цей алгоритм детальніше.

Одним з яскравих недоліків алгоритмів на основі сітки Фейстеля є те, що за один раунд шифрується лише половина вхідного блоку, а решта бітів просто переміщується без зміни в іншу половину. Як мінімум, це призводить до збільшення кількості раундів алгоритму.

Алгоритм Rijndael не належить до фейстелівських. Замість цього раундова функція складається із чотирьох різних перетворень, які називаються шарами, і обробляють весь вхідний блок разом.

Кожний шар розроблявся з урахуванням протидії лінійному та диференціальному криптоаналізу. В основу кожного шару покладена своя власна функція:

1.Нелінійний шар складається з паралельного застосування S-блоків для оптимізації нелінійних властивостей.

2.Шар лінійного переміщення рядків гарантує високий степінь дифузії для невеликої кількості раундів.

3.Шар лінійного переміщення стовпців також гарантує високий степінь дифузії для невеликої кількості раундів.

4.Додатковий шар підмішування ключа складається з простого XOR проміжного стану із ключем раунду.

Перед першим раундом застосовується додаткове забілювання з використанням ключа. Причина цього полягає в тому, що будь-який шар після останнього або до першого додавання ключа може бути просто знятий без знання ключа і тим самим не додає безпеки в алгоритм (наприклад, початкова і кінцева перестановки в DES).

Початкове або кінцеве додавання ключа застосовується також у деяких інших алгоритмах, наприклад, IDEA, SAFER і Blowfish. Для

89