Метод дифференциального криптоанализа

Компания RSADSI в настоящее время патентует RC5, и его название заявлено как торговая марка. Компания утверждает, что плата за лицензию будет очень мала, но эти данные нуждаются в проверке.

 

 

4. Объединение  блочных шифров

Известно множество  путей объединения блочных алгоритмов для получения новых алгоритмов. Создание подобных схем стимулируется желанием повысить безопасность, избежав трудности проектирования нового алгоритма. Так, алгоритм DES относится к надежным алгоритмам, он подвергался криптоанализу добрых 20 лет и, тем не менее, наилучшим способом взлома остается лобовое вскрытие. Однако ключ DES слишком короток. Разве не плохо было бы использовать DES в качестве компонента другого алгоритма с более длинным ключом? Это позволило бы воспользоваться преимуществами обоих систем: устойчивостью, гарантированной двумя десятилетиям криптоанализа, и длинным ключом.

Один из методов объединения - многократное шифрование. В этом случае для шифрования одного и того же блока открытого текста алгоритм шифрования используется несколько раз с несколькими ключами. Каскадное шифрование подобно многократному шифрованию, но использует различные алгоритмы. Известны и другие методы.

Повторное шифрование блока  открытого текста одним и тем  же ключом с помощью того же или другого алгоритма неэффективно. Повторное использование того же алгоритма не повышает сложность лобового вскрытия. (Мы предполагаем, что криптоаналитику известны алгоритм и число операций шифрования). При использовании различных алгоритмов сложность лобового вскрытия может, как возрастать, так и оставаться неизменной. При этом нужно убедиться в том, что ключи для последовательных шифрований различны и независимы.

 

4.1. Двойное  шифрование

К наивным способам повышения  надежности алгоритма относится  шифрование блока дважды с двумя различными ключами. Сначала блок зашифровывается первым ключом, а получившийся шифртекст - вторым ключом. Расшифрование выполняется в обратном порядке.

С = Е_К1(E_k2(Р))

P = D_K1(D_K1(C))

Если блочный алгоритм образует группу, всегда существует такой К3, для которого:

С = Е_К2(Е_К1(Р)) = Е_К3(Р)

Если алгоритм не образует группу, взломать итоговый дважды зашифрованный блок шифртекста с помощью полного перебора намного сложнее. Вместо 2ⁿ (где п – длина ключа в битах), потребуется 2²ⁿ попыток. Если алгоритм использует 64-битовый ключ, для обнаружения ключей, которыми дважды зашифрован шифртекст, понадобится 2¹²⁸ попыток.

Однако при атаке  с известным открытым текстом это не так. Меркл и Хеллман предложили способ согласования памяти и времени, который позволяет вскрыть такую схему двойного шифрования за 2ⁿ⁺¹ шифрований, а не за 2²ⁿ. (Они использовали эту схему против DES, но результаты можно обобщить на все блочные алгоритмы). Такая атака называется «встреча посередине»: с одной стороны выполняется зашифрование, а с другой - расшифрование, а полученные посередине результаты сравниваются.

В этой атаке криптоаналитику  известны значения P₁, С₁, Р₂ и С₂, такие что:     

C₁=E_K2(E_K1(P_t))

С₂=Е_К2(Е_К1(Р₂))

Для каждого возможного К криптоаналитик рассчитывает Е_К(Р₁) и сохраняет результат в памяти. Собрав все результаты, он для каждого К вычисляет D_K(C₁) и ищет в памяти такой же результат. Если такой результат обнаружен, то, возможно, что текущий ключ – К₂, а ключ для результата в памяти – К₁. Затем криптоаналитик зашифровывает Р₂ ключами К₁ и К₂. Если он получает С₂, он может почти быть убежденным (с вероятностью 1 к 2^2m-2n, где т - размер блока), что он восстановил и К₁ и К₂. В противном случае он продолжает поиск. Максимальное количество попыток шифрования, которое ему придется предпринять, составляет 2*2ⁿ, т.е. 2ⁿ⁺¹. Если вероятность ошибки слишком велика, криптоаналитик может использовать третий блок шифртекста, обеспечивая вероятность успеха 1 к 2^3m-2n. Существуют и другие способы оптимизации.

Для такого вскрытия нужен  большой объем памяти: 2ⁿ блоков. Для 56-битового ключа нужно хранить 2⁵⁶ 64-битовых блоков, или 10¹⁷ байт. Такой объем памяти пока еще трудно себе представить, но этого хватает, чтобы убедить самых осторожных криптографов в ненадежности двойного шифрования.

При 128-битовом ключе  для хранения промежуточных результатов  потребуется огромная память в 10³⁹ байт. Если предположить, что каждый бит информации хранится на единственном атоме алюминия, запоминающее устройство, нужное для такого вскрытия, будет представлять собой алюминиевый куб с ребром 1 км. Кроме того, понадобится куда-то его поставить. Так что атака «встреча посередине» при ключах такого размера представляется невозможной.

Другой способ двойного шифрования, который иногда называют методом Дэвиса-Прайса (Davies-Price), представляет собой вариант режима шифрования СВС.

С_i =E_k1(P_iÅ   E_k2(C_i-1))

P_i=D_k1(C_i)Å   E_k2(C_i-1)

Утверждается, что «у этого режима нет никаких особых достоинств», к тому же он, по-видимому, столь же уязвим к атаке «встреча посередине», как и другие режимы двойного шифрования.

 

4.2. Тройное шифрование

4.2.1. Тройное шифрование с двумя ключами

В более удачном методе, предложенном Тачменом, блок обрабатывается три раза с использованием двух ключей: первым ключом, вторым ключом и снова первым ключом. Тачмен предлагает, чтобы отправитель сначала зашифровал сообщение первым ключом, затем расшифровал вторым, и окончательно зашифровал первым ключом. Получатель расшифровывает сообщение первым ключом, затем зашифровывает вторым и, наконец, расшифровывает первым.

С = E_K1(D_K2(E_K1(P)))

P = D_K1(E_K1(D_K1(С)))    

Иногда такой режим  называют режимом зашифрование-расшифрование-зашифрование (Encrypt-Decrypt-Encrypt - EDE). Если блочный алгоритм использует n-битовый ключ, длина ключа описанной схемы составляет 2п бит. Эта остроумная связка ключей (зашифрования-расшифрования-зашифрования) разработана в корпорации IBM для совместимости с существующими реализациями алгоритма: задание двух одинаковых ключей эквивалентно одинарному шифрованию. Такая схема EDE сама по себе не обеспечивает заведомую безопасность, однако этот режим использовался для улучшения алгоритма DES в стандартах Х9.17 и ISO 8732.

Для предотвращения описанной  выше атаки «встреча посередине», использование  ключей ki и K2 чередуется. Если С=Е_K2(Е_К1(Е_К1(Р))), то криптоаналитик может заранее вычислить Е_К1(Е_К1(Р))) для любого возможного K1, а затем выполнить вскрытие. Для этого потребуется только 2ⁿ⁺² шифрований.

Тройное шифрование с  двумя ключами устойчиво к  такой атаке. Но Меркл и Хеллман разработали другой способ согласования памяти и времени, который позволяет взломать и этот алгоритм шифрования за 2^n-1 действий, используя 2ⁿ блоков памяти.

Для каждого возможного К2 расшифровывают 0 и сохраняют результат в памяти. Затем расшифровывают 0 для каждого возможного К1, чтобы получить Р. Выполняют тройное зашифрование Р, чтобы получить С, и затем расшифровывают С ключом К1. Если полученное значение совпадает со значением (хранящимся в памяти), полученным при расшифровании 0 ключом К2, то, возможно, пара K1K2 и будет искомым результатом. Проверяют, так ли это. Если нет, продолжают поиск.

Для выполнения этого  вскрытия с подобранным открытым текстом нужна память огромного объема. Понадобится 2ⁿ времени и памяти, а также 2^m подобранных открытых текстов. Атака не слишком практична, но все же указывает на некоторую слабость этого метода.

Пауль ван Оорсчот (Paul van Oorschot) и Майкл Винер (Michael Wiener) преобразовали эту атаку к атаке на основе открытых текстов, для которой их нужно р штук. В примере предполагается использование режима EDE.

1) Предположить первое  промежуточное значение а.

2) Используя известный  открытый текст, свести в таблицу для каждого возможного К1 второе промежуточное значение b при первом промежуточном значении, равном а:

b=D_K1(С)

где С - шифртекст, полученный по известному открытому тексту.

3) Для каждого возможного K2 найти в таблице элементы с совпадающим вторым промежуточным значением b:

b = E_K2(a)

4) Вероятность успеха  равна р/т, где р - число известных открытых текстов, а т -размер блока. Если совпадения не обнаружены, нужно выбрать другое значение а и начать сначала.

Атака требует 2^n+m/р времени и р - памяти. Для алгоритма DES это составляет 2¹²⁰/р. При р, больших 256, эта атака выполняется быстрее, чем полный перебор.

 

4.2.2. Тройное шифрование с тремя ключами

Если используют тройное шифрование, рекомендуется использовать три разных ключа. Общая длина ключа станет больше, но хранение ключа обычно не вызывает затруднений. Биты дешевы.

С = E_K3(D_K2(E_K1(P)))

P = D_K1(E_K2(D_K3(С)))

Для наилучшего вскрытия с согласованием памяти и времени, примером которого служит «встреча посередине», понадобятся 2²ⁿ операций и 2ⁿ блоков памяти. Тройное шифрование с тремя независимыми ключами настолько надежно, насколько на первый взгляд кажется надежным двойное шифрование.

 

4.2.3. Тройное шифрование с минимальным ключом

Известен более надежный метод использования тройного шифрования с двумя ключами, препятствующий описанной атаке и называемый тройным шифрованием с минимальным ключом (Triple Encryption with Minimum Key - TEMK). Фокус в том, чтобы получить три ключа из двух: Х1 и Х2.

K₁=E_X1(D_X2(E_X1(T₁)))            

K₂ = E_X1(D_X2(E_X1(T₂)))

K₃=E_X1(D_X1(E_X1(T₃))) 

Здесь T₁, T₂ и Т₃ - константы, которые необязательно хранить в секрете. Эта схема гарантирует, что для любой конкретной пары ключей наилучшим методом взлома будет вскрытие с известным открытым текстом.

 

4.2.4. Режимы тройного шифрования

Недостаточно   просто   определить   тройное   шифрование,   его   можно   выполнить несколькими  методами. Решение зависит от требуемых  безопасности и эффективности.

Вот два возможных  режима тройного шифрования:

Внутренний  СВС: Файл зашифровывается в режиме СВС три раза (Рис. 1а). Для этого нужны три различных вектора инициализации (ВИ).

C_i=E_K3(S_iÅ   C_i-1); S_i=D_K2(TÅ   S_i-1); T_i=E_K1(P_iÅ   T_i-1)

P_i=T_i-1Å   D_K1(T_i); T_i=S_i-1Å   E_K2(S_i); S_i=C_i-1Å   D_K3(C_i)

Где С₀, S₀ и T₀ - векторы инициализации.

Внешний СВС: Файл шифруется с помощью тройного шифрования (один раз) в режиме СВС (Рис. 5). Для этого нужен один вектор ВИ.

C_i=E_K3(D_K2(E_K1(P_iÅ   C_i-1)))

P_i=C_i-1Å   D_K1(E_K2(D_K3(C_i)))

 

Рис. 5. Тройное  шифрование в режиме СВС

 

Оба   режима   требуют   больше   ресурсов,   чем   однократное   шифрование:   больше аппаратуры или больше времени. Однако при установке трех шифровальных микросхем производительность внутреннего СВС не меньше, чем при однократном шифровании. Так как три шифрования СВС независимы, три микросхемы могут быть загружены постоянно, подавая свой выход себе на вход.

Напротив, во внешнем  СВС обратная связь лежит вне  трех процессов шифрования. Это означает, что даже при использовании трех микросхем производительность составит только треть производительности однократного шифрования. Чтобы получить ту же производительность для внешнего СВС, потребуется чередование векторов ВИ.

С_i = E_K3(D_K2(E_K1(P_iÅ   C_i-3)))

где С₀, C_-1 и С_-2 - векторы инициализации. Это не поможет при программной реализации, разве только при использовании параллельного компьютера.

К сожалению, менее сложный  режим также и менее безопасен. Бихам проанализировал устойчивость различных режимов к дифференциальному криптоанализу с подобранными шифртекстами и обнаружил, что внутренний СВС только незначительно надежнее однократного шифрования. Если рассматривать тройное шифрование как большой единый алгоритм, его внутренние обратные связи позволяют вводить внешнюю и известную информацию во внутреннюю структуру алгоритма, что облегчает криптоанализ. Для дифференциальных атак нужно огромное количество подобранных шифртекстов, что делает эти вскрытия не слишком практичными, но этих результатов должно хватить, чтобы насторожить скептически настроенных пользователей. Анализ устойчивости алгоритмов к вскрытиям «в лоб» и «встречей посередине» показал, что и этом отношении оба варианта одинаково надежны.

Кроме перечисленных, известны и другие режимы. Можно зашифровать файл один раз и режиме ЕСВ, затем дважды в СВС, или один раз в СВС, один в ЕСВ и еще раз в СВС, или дважды в СВС и один раз в ЕСВ. Бихам показал, что эти варианты отнюдь не устойчивее однократного DES при вскрытии методом дифференциального криптоанализа с подобранным открытым текстом. Он не оставил больших надежд и для других вариантов. Если вы собираетесь применять тройное шифрование, используйте режимы с внешней обратной связью.