6.3. Режимы использования блочных шифров

Для решения разнообразных криптографических задач блочные шифры используют в нескольких режимах работы. Рассмотрим этот вопрос на примере шифра DES.

Алгоритм DES может использоваться в следующих четырех режимах:

• режим электронной кодовой книги (ЕСВ – Electronic Code Book);

• режим сцепления блоков (СВС – Cipher Block Chaining);

• режим обратной связи по шифртексту (CFB – Cipher Feed Back);

• режим обратной связи по выходу (OFB – Output Feed Back).

Режим электронной кодовой книги (ЕСВ) отвечает обычному использованию DES как блочного шифра, осуществляющего некоторую простую замену блоков открытого текста. В режиме сцепления блоков (СВС) каждый блок С_i, i  1, шифртекста перед очередным зашифрованием складывается по модулю 2 со следующим блоком открытого текста М_i+1. При этом вектор С₀ полагается равным начальному вектору IV (Initial Vector). Начальный вектор меняется ежедневно и хранится в секрете.

В режимах СFB и OFB алгоритм DES функционирует по аналогии с «шифром Вернама», в режиме OFB – как синхронный шифр, в режиме СFB – как шифр с самосинхронизацией.

Кроме перечисленных режимов, DES имеет также "режим т-битовой обратной связи". Этот режим оперирует с т-битовыми блоками.

Указанные режимы имеют свои достоинства и недостатки. Основное достоинство режима ЕСВ – простота реализации. Недостаток – в возможности проведения криптоанализа «со словарем». Дело в том, что вследствие большой избыточности в открытом тексте вполне возможны повторения 64-битовых блоков. Это приводит к тому, что одинаковые блоки открытого текста будут представлены идентичными блоками шифртекста, что дает криптоаналитику возможность при наличии достаточно большого числа пар открытого и шифрованного текста восстанавливать с большой вероятностью блоки отрытого текста по шифртексту.

В режимах ЕСВ и OFB искажение при передаче одного 64-битого блока шифртекста С_i приводит к искажению после расшифрования соответствующего блока М_i открытого текста, но не влияет на следующие блоки. Это свойство используется для шифрования информации, предназначенной для передачи по каналам связи с большим числом искажений. Вместе с тем при использовании режима OFB остается открытым вопрос о периоде получаемой выходной гаммы, ко­торый в некоторых предположениях может составлять величину порядка 2³².

В режимах СВС и СРВ искажение при передаче одного блока шифртекста С_i приводит к искажению на приеме не более двух блоков открытого текста – М_i, М_i+1. В то же время изменение блока М_i приводит к тому, что С_i, и все последующие блоки шифртекста будут искажены. Это свойство оказывается полезным для целей аутентификации. Такие режимы применяются для выработки кода аутентификации сообщения.

Так, в режиме СВС берется вектор инициализации, состоящий из одних нулей. Затем с помощью ключа k вырабатываются блоки С₁,...,С_n шифртекста. Кодом аутентификации сообщения (КАС) служит блок С_n .

Если требуется обеспечить лишь целостность сообщении, отправитель передает блоки М₁,...,М_n вместе с С_n. Tогда противнику, желающему изменить сообщение, нужно соответствующим образом изменить и блок С_n . Возможность этого маловероятна, если только противник не располагает секретным ключом k.

Если же нужно обеспечить шифрование и аутентифика­цию, то отправитель сначала использует ключ k₁ для выработки КАС, затем шифрует последовательность блоков M₁,...,M_n, М_n+1 = КАС на втором ключе k₂, и получает последовательность блоков С₁,...,С_n,С_n+1. Получатель должен сначала расшифровать С₁,...,С_n,С_n+1 на ключе k₂, а затем проверить (с помощью k), что М_n+1 — это КАС для M₁,...,M_n.

Можно поступить и иначе: сначала использовать k для зашифрования M₁,...,M_n, получая С₁,...,С_n, а затем k₂ для получения КАС. Получатель же будет использовать k₂ для проверки КАС, а затем k — для расшифрования С₁,...,С_n.

Во всех перечисленных режимах вместо алгоритма DЕS может быть использован любой алгоритм блочного шифрования, в частности российский стандарт ГОСТ 28147-89.

В российском стандарте также предусмотрено несколько режимом использования: режим простой замены, режим шифрования с обратной связью и режим гаммирования с обратной связью, которые являются аналогами соответственно режимов ЕСВ, СВС и СFВ. Для того чтобы избавиться от указанной выше проблемы неопределенности длины периода гаммы в режиме OFB, в российском стандарте введен режим гаммирования, при котором блочный шифр используется в качестве узла усложнения некоторой последовательности гарантированного периода. Для выработки этой последовательности обычно применяются линейные регистры сдвига или счетчики по некоторому модулю.

Уравнение шифрования имеет вид

С_i =М_iF(_i), i=1,2,...,

где F – преобразование, осуществляемое блочным шифром, _i – блоки, сформированные узлом выработки исходной гаммы из начального вектора ₁, который передается в начале сообщения в открытом или зашифрованном виде.

Ошибка при передаче, состоящая в искажении символа, приводит при расшифровании к искажению только одного блока, поэтому сохраняются все преимущества шифра гаммирования.