Luby-Rackoff

Кат

Проектирование блочного шифра

Проектировать блочный шифр нетрудно. Если вы рассматривает 64-битовый блочный шифр как перестано в-ку 64-битовых чисел, ясно, что почти все эти перестановки безопасны. Трудность состоит в проектировании блочного шифра, который не только безопасен, но также может быть легко описан и просто реализован.

Легко можно спроектировать блочный шифр, если вы используете память, достаточную для размещения S-блоков 48*32. Трудно спроектировать небезопасный вариант DES, если вы собираетесь использовать в нем 128 этапов. При длине ключа 512 битов не стоит беспокоиться о том, нет ли какой-либо зависящей от ключа ко м-плиментарности.

14.11 Использование однонаправленных хэш-функций

Сымым простым способом использовать для шифрования однонаправленную хэш-функцию является хэш и-рование предыдущего блока шифротекста, объединенного с ключом, а затем выполнение XOR результата с т е-кущим блоком открытого текста:

Q = P_i®H{K,Q.i)

P_i = C_i®H{K, P_i._l)

Установите длину блока равной длине результата однонаправленной хэш-функции. По сути это приводит к использованию однонаправленной хэш-функции как блочного шифра в режиме CFB. При помощи аналогичной конструкции можно использовать однонаправленную хэш-функцию и в режиме OFB:

C_i = P_i®S_i; S_i = H(K, C_i.₁)

P_i = C_i®S_i = H(K, C_i.{)

Надежность такой схемы определяется безопасностью однонаправленной хэш-функции.

Этот метод, изобретенный Филом Карном (Phil Каш) и открытый им для свободного использования, создает обратимый алгоритм шифрования из определенных однонаправленных хэш-функций.

Алгоритм работает с 32-байтовыми блоками открытого текста и шифротекста. Длина ключа может быть произвольной, хотя определенные дины ключей более эффективны для конкретных однонаправленных хэш-функций. Для однонаправленных хэш-функций MD4 и MD5 лучше всего подходят 96-байтовые ключи.

Для шифрования сначала разбейте открытый текст на две 16-байтовых половины: Р, и Р_г. Затем разбейте на две 48-байтовых половины ключ: К, и К_г.

Р= Pi, Рг,

к = к,,к_г

Добавьте К,кР,и выполните хэширование однонаправленной хэш-функцией, затем выполните XOR резул ь-тата с Р_г, получая С_г, правую половину шифротекста. Затем, добавьте К_г к С_г выполните хэширование однона­правленной хэш-функцией. Выполните XOR результата с Р,, получая С,. Наконец, объедините С_г и С,, получая шифротекст.

C_r = P_r ® H(P_h К,)

Ci= Pi®H{C_r, K_r)

С = С/, С_г

Для дешифрирования просто инвертируйте процесс. Добавьте К_г к Сг, выполните хэширование и XOR ре­зультата с С/, получая Pi. Добавьте К_г к P_h выполните хэширование и XOR результата с С_г, получая Р_г.

Pi=d® H(C_r, K_r) P_r = C_r®H{P_hKi)

P = Pi, Pr

Общая структура Karn совпадает с структурой множества других блочных алгоритмов, рассмотренных в этом разделе. У алгоритма только два этапа, так как его сложность определяется однонаправленной хэш-функцией. А, так как ключ используется только как вход хэш-функции, он не может быть раскрыт даже при помощи вскрытия с выбранным открытым текстом, если, конечно, безопасна используемая однонаправленная хэш-функция.

Майкл Любы (Michael Luby) и Чарльз Ракофф (Charles Rackoff) показали, что Каш не является безопасным [992]. Рассмотрим два одноблочных сообщения: АВ и АС. Если криптоаналитику известны открытый текст и шифротекст первого сообщения, а также первая половина открытого текста второго сообщения, то он может легко вычислить все второе сообщение. Хотя такое вскрытие с известным открытым текстом работает только при определенных условиях, оно представляет собой главную проблему в безопасности алгоритма.

Ее удается избежать при помощи трехэтапного алгоритма шифрования [992,1643,1644]. Он использует три различных хэш-функции: Я_ь Я₂ и Я₃. Дальнейшие исследования показали, что Н_х может совпадать с Я₂, или Я₂ может совпадать с Я₃, но не одновременно [1193]. Кроме того, Я_ь Я₂ и Я₃ не могут быть основаны на итераци­ях одной и той же базовой функции [1643]. В любом случае при условии, что Щк,х) ведет себя как псевдослу­чайная функция, трехэтапная версия выглядит следующим образом:

(1) Разделите ключ на две половины: К, и К_г.

(2) Разделите блок открытого текста на две половины: L₀ и R₀.

(3) Объедините К, и L₀ и выполните хэширование. Выполните XOR результата хэширования с R₀, получая R_x: Ri= R₀ © H(K_h L₀)

(4) Объедините ^ifi_lH выполните хэширование. Выполните XOR результата хэширования с U, получая U L_X=U® ЩК_Г, 7?0

(5) Объедините К, и L_x и выполните хэширование. Выполните XOR результата хэширования с R_b получая R₂: R₂= R_l © ЩК,, L^

(6) Объедините U и R₂, получая сообщение.

Шифр краткого содержания сообщения

Шифр краткого содержания coo6nieH_M(Message Digest Cipher, M DC), изобретенный Питером Гутманном (Peter Cutmann) [676], представляет собой способ превратить однонаправленные хэш-функции в блочный шифр, работающий в режиме CFB. Шифр работает почти также быстро, как и хэш-функция, и по крайней мере н а-столько же безопасен. Оставшаяся часть этого раздела предполаг ает знакомство с главой 18.

Хэш функции, например MD5 и SHA, используют 512-битовый текстовый блок для преобразования входн о-го значения (128 битов в MD5, и 160 битов в SHA) в результат того же размера. Это преобразование необрат и-мо, но прекрасно подходит для режима CFB: и для шифрования, и для дешифрирования используется одна и та же операция.

Рассмотрим MDC с SHA. MDC использует 160-битовый блок и 512-битовый ключ. Используется побочный эффект хэш-функции, когда в качестве прежнего хэш-значения берется входной блок открытого текста (160 б и-тов), а 512-битовый вход хэш-функции играет роль ключа (см. Рис 14.5). Обычно при использовании хэш-функции для хэширования некоторого входа 512-битовый вход меняется при хэшировании каждого нового 512-битового блока. Но в данном случае 512-битовый вход становится неизменяемым ключом.

MDC можно использовать с любой однонаправленной хэш-функцией: MD4, MD5, Snefru, и т.д. Он незап а-тентован и может быть совершенно бесплатно использован кем угодно когда угодно и для чего угодно [676 ].

Однако лично я не верю в эту схему. Можно подобрать такой способ взлома, на противостояние которому хэш-функция не была рассчитана. Хэш-функции не обязаны противостоять вскрытию с выбранным открытым текстом, когда криптоаналитик выбирает некоторые начальные 160-битовые значения, получает их "зашифрованными" одним и тем же 512-битовым "ключом" и пользуется этим для получения некоторой и н-формации об используемом 512-битовом ключе. Так как разработчики хэш-функций не должны беспокоиться о такой возможности, считать ваш шифр безопасным по отношению к приведенному способу вскрытия - не лу ч-

шая идея.

Дата добавления: 2014-11-29