Алгоритм гост 28147-89 - Режим гаммирования

Зашифрование данных

Криптосхема, реализующая алгоритм зашифрования данных в режиме гаммирования показана на схеме. Открытые данные, разбитые на 64-разрядные блоки Tо⁽¹⁾, Tо⁽²⁾,..., Tо^(M-1), Tо^(M), зашифровываются в режиме гаммирования путем поразрядного суммирования по модулю 2 в сумматоре СМ₅ с гаммой шифра Гш, которая вырабатывается блоками по 64 бита:

Гш = (Гш⁽¹⁾, Гш⁽²⁾,...,Гш^(M-1), Гш^(M))

где M - определяется объемом шифруемых данных. В КЗУ вводятся 256 бит ключа. В накопителе N₁, N₂ вводится 64-разрядная двоичная последовательность (синхропосылка) S=(S₁, S₂,..., S₆₄), являющаяся исходным заполнением этих накопителей для последующей выработки M блоков гаммы шифра.

Рис.5.3 Структурная схема зашифрования в режиме гаммирования

Исходное заполнение накопителей N₁ и N₂ (синхропосылка S) зашифровывается в режиме простой замены. Результат зашифрования A(S) = (Y₀, Z₀) переписывается в 32-разрядные накопители N₃ и N₄. Заполнение накопителя N₄ суммируется по модулю (2³²-1) в сумматоре СМ₄ с 32-разрядной константой С₁ из накопителя N₆, результат записывается в N₄. Заполнение накопителя N₃ суммируется по модулю 2³² в сумматоре СМ₃ с 32-разрядной константой С₂ из накопителя N₅, результат записывается в N₃. Заполнение N₃ переписывается в N₁, а заполнение N₄ переписывается в N₂, при этом заполнение N₃, N₄ сохраняется. Заполнение N₁ и N₂ зашифровывается в режиме простой замены. Полученное в результате зашифрования заполнение N₁, N₂ образует первый 64-разрядный блок гаммы шифра Гш⁽¹), который суммируется поразрядно по модулю 2 в сумматоре СМ₅ с первым 64-разрядным блоком открытых данных. В результате суммирования получается 64-разрядный блок зашифрованных данных. Аналогичным образом зашифровываются остальные блоки открытых данных. В канал связи или память ЭВМ передаются синхропосылка S и блоки зашифрованных данных.

Расшифрование данных

При расшифровании криптосхема имеет тот же вид, что и при зашифровании открытых данных в режиме гаммирования. В КЗУ вводятся 256 бит ключа, с помощью которого осуществлялось зашифрование данных. В накопители N₁ и N₂ вводится синхропосылка S. Процесс выработки M блоков гаммы шифра осуществляется совершенно аналогично описанному выше. Блоки зашифрованных данных суммируются поразрядно по модулю 2 в сумматоре СМ₅ с блоками гаммы шифра, в результате получаются блоки открытых данных.

6 Стандарт криптографической защиты 21 века (aes). Алгоритмы Rijndael т rc6. Математические понятия, лежащие в основе алгоритма Rijndael. Структура шифра. Алгоритм Rijndael

Предварительные математические понятия

Практически все операции Rijndael определяются на уровне байта. Байты можно рассматривать как элементы конечного поля GF (2⁸). Некоторые операции определены в терминах четырехбайтных слов. Введем основные математические понятия, необходимые для обсуждения алгоритма.

Поле gf(28)

Элементы конечного поля могут быть представлены несколькими различными способами. Для любой степени простого числа существует единственное конечное поле, поэтому все представления GF (2⁸) являются изоморфными. Несмотря на подобную эквивалентность, представление влияет на сложность реализации. Выберем классическое полиномиальное представление.

Байт b, состоящий из битов b₇, b₆, b₅, b₄, b₃, b₂, b₁, b₀, представляется в виде полинома с коэффициентами из {0, 1}:

b₇х⁷ + b₆х⁶ + b₅х⁵ + b₄х⁴ + b₃х³ + b₂х² +

b₁х¹ + b₀

Пример: байт с шестнадцатеричным значением '57' (двоичное 01010111) соответствует полиному

х⁶ + х⁴ + х² + х + 1

Сложение

В полиномиальном представлении сумма двух элементов является полиномом с коэффициентами, которые равны сумме по модулю 2 (т.е. 1 + 1 = 0) коэффициентов слагаемых.

Пример: '57' + '83' = 'DA' или в полиномиальной нотации:

(х⁶ + х⁴ + х² + х + 1) + (х⁷ + х + 1) =

х⁷ + х⁶ + х⁴ + х²

В бинарной нотации мы имеем: 01010111 + 10000011 = 11011010. Очевидно, что сложение соответствует простому XOR (обозначается как ) на уровне байта.

Выполнены все необходимые условия Абелевой группы: операция сложения (каждой паре элементов сопоставляется третий элемент группы, называемый их суммой), ассоциативность, нулевой элемент ('00'), обратный элемент (относительно операции сложения) и коммутативность.

Умножение

В полиномиальном представлении умножение в GF (2⁸) соответствует умножению полиномов по модулю неприводимого двоичного полинома степени 8. Полином является неприводимым, если он не имеет делителей, кроме 1 и самого себя. Для Rijndael такой полином называется m(x) и определяется следующим образом:

m(x) = x⁸ + x⁴ + x³ + x + 1

или '11B' в шестнадцатеричном представлении.

Пример: '57' • '83' = 'C1'

Или

(x6 + x4 + x2 + х + 1) (x7 + х + 1) =

= x13 + x11 + x9 + x8 + x7 + x7 + x5 + x3 + x2 + x + x6 + x4 + x2 + х + 1 =

= x13 + x11 + x9 + x8 + x6 + x5 + x4 + x3 + 1

(x⁸ + x⁴ + x³ + х + 1) (x⁵ + x³) + x⁷ + x⁶ + 1 = x¹³ + x¹¹ + x⁹ + x⁸ + x⁶ + x⁵ + x⁴ + x³ +1

Следовательно,

x¹³ + x¹¹ + x⁹ + x⁸ + x⁶ + x⁵ + x⁴ + x⁸ + 1 mod (x⁸ + x⁴ + x³ + х + 1) = x⁷ + x⁶ + 1

Ясно, что результат является двоичным полиномом не выше 8 степени. В отличие от сложения, простой операции умножения на уровне байтов не существует.

Умножение, определенное выше, является ассоциативным, и существует единичный элемент ('01'). Для любого двоичного полинома b(x) не выше 8-й степени можно использовать расширенный алгоритм Евклида для вычисления полиномов a(x) и c(x) таких, что

b(x) a(x) + m(x) c(x) = 1

Следовательно,

a(x) • b(x) mod m(x) = 1

или

b^-1(x) = a(x) mod m(x)

Более того, можно показать, что

a(x) • (b(x) + c(x)) =

a(x) • b(x) + a(x) • c(x)

Из всего этого следует, что множество из 256 возможных значений байта образует конечное поле GF (2⁸) c XOR в качестве сложения и умножением, определенным выше.

Умножение на х

Если умножить b(x) на полином х, мы будем иметь:

b₇x⁸ + b₆x⁷ + b₅x⁶ + b₄x⁵ + b₃x⁴ + b₂x³ + b₁x² + b₀x

x • b(x) получается понижением предыдущего результата по модулю m(x). Если b₇ = 0, то данное понижение является тождественной операцией. Если b₇ = 1, m(x) следует вычесть (т.е. XORed). Из этого следует, что умножение на х может быть реализовано на уровне байта как левый сдвиг и последующий побитовый XOR c '1B'. Данная операция обозначается как b = xtime (a).