Luby-Rackoff

Кат

Проектирование блочного шифра

Проектировать блочный шифр нетрудно. Если вы рассматривает 64-битовый блочный шифр как перестано в-ку 64-битовых чисел, ясно, что почти все эти перестановки безопасны. Трудность состоит в проектировании блочного шифра, который не только безопасен, но также может быть легко описан и просто реализован.

Легко можно спроектировать блочный шифр, если вы используете память, достаточную для размещения S-блоков 48*32. Трудно спроектировать небезопасный вариант DES, если вы собираетесь использовать в нем 128 этапов. При длине ключа 512 битов не стоит беспокоиться о том, нет ли какой-либо зависящей от ключа ко м-плиментарности.

14.11 Использование однонаправленных хэш-функций

Сымым простым способом использовать для шифрования однонаправленную хэш-функцию является хэш и-рование предыдущего блока шифротекста, объединенного с ключом, а затем выполнение XOR результата с т е-кущим блоком открытого текста:

Q = P_i®H{K,Q.i)

P_i = C_i®H{K, P_i._l)

Установите длину блока равной длине результата однонаправленной хэш-функции. По сути это приводит к использованию однонаправленной хэш-функции как блочного шифра в режиме CFB. При помощи аналогичной конструкции можно использовать однонаправленную хэш-функцию и в режиме OFB:

C_i = P_i®S_i; S_i = H(K, C_i.₁)

P_i = C_i®S_i = H(K, C_i.{)

Надежность такой схемы определяется безопасностью однонаправленной хэш-функции.

Этот метод, изобретенный Филом Карном (Phil Каш) и открытый им для свободного использования, создает обратимый алгоритм шифрования из определенных однонаправленных хэш-функций.

Алгоритм работает с 32-байтовыми блоками открытого текста и шифротекста. Длина ключа может быть произвольной, хотя определенные дины ключей более эффективны для конкретных однонаправленных хэш-функций. Для однонаправленных хэш-функций MD4 и MD5 лучше всего подходят 96-байтовые ключи.

Для шифрования сначала разбейте открытый текст на две 16-байтовых половины: Р, и Р_г. Затем разбейте на две 48-байтовых половины ключ: К, и К_г.

Р= Pi , Рг,

к = к,,к_г

Добавьте К,кР,и выполните хэширование однонаправленной хэш-функцией, затем выполните XOR резул ь-тата с Р_г, получая С_г, правую половину шифротекста. Затем, добавьте К_г к С_г выполните хэширование однона­правленной хэш-функцией. Выполните XOR результата с Р,, получая С,. Наконец, объедините С_г и С,, получая шифротекст.

C_r = P_r ® H(P_h К,)

Ci= Pi®H{C_r, K_r)

С = С/, С_г

Для дешифрирования просто инвертируйте процесс. Добавьте К_г к Сг, выполните хэширование и XOR ре­зультата с С/, получая Pi. Добавьте К_г к P_h выполните хэширование и XOR результата с С_г, получая Р_г.

Pi=d® H(C_r, K_r) P_r = C_r®H{P_hKi)

P = Pi, Pr

Общая структура Karn совпадает с структурой множества других блочных алгоритмов, рассмотренных в этом разделе. У алгоритма только два этапа, так как его сложность определяется однонаправленной хэш-функцией. А, так как ключ используется только как вход хэш-функции, он не может быть раскрыт даже при помощи вскрытия с выбранным открытым текстом, если, конечно, безопасна используемая однонаправленная хэш-функция.

Майкл Любы (Michael Luby) и Чарльз Ракофф (Charles Rackoff) показали, что Каш не является безопасным [992]. Рассмотрим два одноблочных сообщения: АВ и АС. Если криптоаналитику известны открытый текст и шифротекст первого сообщения, а также первая половина открытого текста второго сообщения, то он может легко вычислить все второе сообщение. Хотя такое вскрытие с известным открытым текстом работает только при определенных условиях, оно представляет собой главную проблему в безопасности алгоритма.

Ее удается избежать при помощи трехэтапного алгоритма шифрования [992,1643,1644]. Он использует три различных хэш-функции: Я_ь Я₂ и Я₃. Дальнейшие исследования показали, что Н_х может совпадать с Я₂, или Я₂ может совпадать с Я₃, но не одновременно [1193]. Кроме того, Я_ь Я₂ и Я₃ не могут быть основаны на итераци­ях одной и той же базовой функции [1643]. В любом случае при условии, что Щк,х) ведет себя как псевдослу­чайная функция, трехэтапная версия выглядит следующим образом:

(1) Разделите ключ на две половины: К, и К_г.

(2) Разделите блок открытого текста на две половины: L₀ и R₀.

(3) Объедините К, и L₀ и выполните хэширование. Выполните XOR результата хэширования с R₀, получая R_x: Ri= R₀ © H(K_h L₀)