Режимы работы алгоритма криптографического преобразования данных ГОСТ 28147-89

Описанные выше режимы работы блочных шифров предложены и официально зарегистрированы в США (FIPS PUB 81). В отечественном стандарте шифрования данных ГОСТ 28147-89 так же предусмотрены различные режимы работы, которые основаны на описанных принципах.

ГОСТ 28147-89 предусматривает четыре режима работы:

· шифрование данных в режиме простой замены;

· шифрование данных в режиме гаммирования;

· шифрование данных в режиме гаммирования с обратной связью;

· выработка имитовставки.

Шифрование данных в режиме простой замены полностью эквивалентно шифрованию в режиме ECB.

Шифрование данных в режиме гаммирования соответствует режиму OFB, но имеет некоторые особенности. Рассмотрим их подробнее.

Криптосхема, реализующая алгоритм шифрования в режиме гаммирования, показана на рис. 3.10. Открытые данные разбивают на 64-разрядные блоки Т₀⁽¹⁾, Т₀⁽²⁾,…, Т₀⁽ⁱ⁾,…, Т₀^(m), где Т₀⁽ⁱ⁾ – i-й 64-разрядный блок открытых данных, i = 1…m; m определяется объемом шифруемых данных.

Эти блоки поочередно зашифровываются в режиме гаммирования путем поразрядного сложения по модулю 2 в сумматоре СМ₅ с гаммой шифра Гш , которая вырабатывается блоками по 64 бита, т.е.

Гш=(Гш⁽¹⁾, Гш⁽²⁾,…, Гш⁽ⁱ⁾,…, Гш^(m)),

где Гш⁽ⁱ⁾ – i-й 64-разрядный блок, i = 1…m.

Число двоичных разрядов в блоке Т₀^(m) может быть меньше 64, при этом неиспользованная для шифрования часть гаммы шифра из блока Гш^(m) отбрасывается.

Уравнение шифрования данных в режиме гаммирования имеет вид

Тш⁽ⁱ⁾ = Т₀⁽ⁱ⁾ Å Гш⁽ⁱ⁾,

где Гш⁽ⁱ⁾ = А(Y_i–1 [+] C₂, Z_i–1 [+]' C₁), i=1…m; Тш⁽ⁱ⁾ – 1-й блок 64-разрядного блока зашифрованного текста; А(×) – функция шифрования блока; [+] – операция суммы по модулю 2³², [+]' – операция суммы по модулю 2^32–1; С₁, С₂ – 32-разрядные двоичные константы; Y_i , Z_i – 32-разрядные двоичные последовательности.

Величины Y_i Z_i определяются итерационно по мере формирования гаммы Гш следующим образом: (Y₀ , Z₀)=А(Š), где Š - синхропосылка (64-разрядная двоичная последовательность), (Y_i , Z_i )=(Y_i–1 [+] C₂, Z_i–1 [+] C₁), i=1…m.

Рассмотрим реализацию процедуры шифрования в режиме гаммирования. В накопители N₆ и N₅ заранее записаны 32-разрядные двоичные константы С₁ и С₂, имеющие следующие значения (в шестнадцатеричной форме):

С₁ = 01010104₍₁₆₎ , С₂ = 01010101₍₁₆₎.

Рис. 3.10. Схема реализации режима гаммирования ГОСТ 28147-89.

В КЗУ вводится 256 бит ключа; в накопители N₁ и N₂ – 64-разрядная двоичная последовательность (синхропосылка) Š = (S₁, S₂,…, S₆₄).

Синхропосылка Š является исходным заполнением накопителей N₁ и N₂ для последовательной выработки m блоков гаммы шифра. Исходное заполнение N₁ и N₂ зашифровывается. Результат шифрования А(Š)=(Y₀ , Z₀) переписывается в 32-разрядные накопители N₃ и N₄ так, что заполнение N₁ переписывается в N₃, а заполнение N₂ – в N₄.

Заполнение накопителя N₄ суммируют по модулю (2³²–1) в сумматоре СМ₄ с 32-разрядной константой С₁ из накопителя N₆. Результат записывается в N₄. Заполнение накопителя N₃ суммируется по модулю 2³² в сумматоре СМ₃ с 32-разрядной константой С₂ из накопителя N₅. Результат записывается в N₃. Заполнение N₃ переписывают в N₁, а заполнение N₄ – в N₂, при этом заполнения N₃, N₄ сохраняются. Заполнение накопителей N₁ и N₂ зашифровывается.

Полученное в результате шифрования заполнение накопителей N₁, N₂ образует первый 64-разрядный блок гаммы шифра Гш⁽¹⁾ = (g₁⁽¹⁾, g₂⁽¹⁾,…, g₆₃⁽¹⁾, g₆₄⁽¹⁾), который суммируют поразрядно по модулю 2 в сумматоре СМ₅ с первым 64-разрядным блоком открытых данных Т₀⁽¹⁾ = (t₁⁽¹⁾, t₂⁽¹⁾,…, t₆₃⁽¹⁾, t₆₄⁽¹⁾).

В результате суммирования по модулю 2 значений Гш⁽¹⁾ и Т₀⁽¹⁾ получают первый 64-разрядный блок зашифрованных данных:

Тш⁽¹⁾ = Гш⁽¹⁾ Å Т₀⁽¹⁾ = (t₁⁽¹⁾, t₂⁽¹⁾,…, t₆₃⁽¹⁾, t₆₄⁽¹⁾),

где t_i⁽¹⁾ = t_i⁽¹⁾ Å g_i⁽¹⁾, i=1…64.

Для получения следующего 64-разрядного блока гаммы шифра Гш⁽²⁾ заполнение N₄ суммируется по модулю (2³²–1) в сумматоре СМ₄ с константой С₁ из N₆. Результат записывается в N₄. Заполнение N₃ суммируется по модулю 2³² в сумматоре СМ₃ с константой С₂ из N₅. Результат записывается в N₃. Новое заполнение N₃ переписывают в N₁, а новое заполнение N₄ – в N₂, при этом заполнения N₃ и N₄ сохраняют. Заполнения N₁, N₂ зашифровывают.

Полученное в результате зашифрования заполнение накопителей N₁ и N₂ образует второй 64-разрядный блок гаммы шифра Гш⁽²⁾, который суммируется поразрядно по модулю 2 в сумматоре СМ₅ со вторым блоком открытых данных Т₀⁽²⁾: Тш⁽²⁾ = Гш⁽²⁾ Å Т₀⁽²⁾.

Аналогично вырабатываются блоки гаммы шифра Гш⁽³⁾, Гш⁽⁴⁾,…, Гш^(m) и зашифровываются блоки открытых данных Т₀⁽³⁾, Т₀⁽⁴⁾,… Т₀^(m).

В канал связи или память ЭВМ передаются синхропосылка Š и блоки зашифрованных данных Тш⁽¹⁾, Тш⁽²⁾,… Тш^(m).

При расшифровании криптосхема имеет тот же вид, что и при шифровании (см. рис. 3.10). Уравнение расшифрования:

Т₀⁽ⁱ⁾ = Тш⁽ⁱ⁾ Å Гш⁽ⁱ⁾ = Тш⁽ⁱ⁾ Å А(Y_i–1 [+] C₂, Z_i–1 [+]' C₁), i=1…m.

Следует отметить, что расшифрование данных возможно только при наличии синхропосылки, которая не является секретным элементом шифра и может храниться в памяти ЭВМ или передаваться по каналам связи вместе с зашифрованными данными.

Рассмотрим реализацию процедуры расшифрования. В КЗУ вводят 256 бит ключа, с помощью которого осуществляется зашифрование данных Т₀⁽¹⁾, Т₀⁽²⁾,… Т₀^(m). В накопители N₁ и N₂ вводится синхропосылка, и осуществляется процесс выработки m блоков гаммы шифра Гш⁽¹⁾, Гш⁽²⁾,…, Гш^(m). Блоки зашифрованных данных Тш⁽¹⁾, Тш⁽²⁾,… Тш^(m).суммируются поразрядно по модулю 2 в сумматоре СМ₅ с блоками гаммы шифра Гш⁽¹⁾, Гш⁽²⁾,…, Гш^(m). В результате получаются блоки открытых данных Т₀⁽¹⁾, Т₀⁽²⁾,… Т₀^(m). При этом Т₀^(m) может содержать меньше 64 разрядов.

Шифрование данных в режиме гаммирования с обратной связью соответствует режиму CFB.

Криптосхема, реализующая алгоритм шифрования в режиме гаммирования с обратной связью, имеет вид, показанный на рис. 3.11.

Открытые данные, разбитые на 64-разрядные блоки Т₀⁽¹⁾, Т₀⁽²⁾,…, Т₀^(m), зашифровываются в режиме гаммирования с обратной связью путем поразрядного сложения по модулю 2 с гаммой шифра Гш, которая вырабатывается блоками по 64 бита:

Гш=(Гш⁽¹⁾, Гш⁽²⁾,…, Гш⁽ⁱ⁾,…, Гш^(m)).

Число двоичных разрядов в блоке Т₀^(m) может быть меньше 64, при этом неиспользованная для шифрования часть гаммы шифра из блока Гш^(m) отбрасывается.

Уравнения зашифрования в режиме гаммирования с обратной связью имеют вид:

Тш⁽¹⁾ = А(Š) Å Т₀⁽¹⁾ = Гш⁽¹⁾ Å Т₀⁽¹⁾,

Тш⁽ⁱ⁾ = А(Тш^(i-1)) Å Т₀⁽ⁱ⁾ = Гш⁽ⁱ⁾ Å Т₀⁽ⁱ⁾, i=2…m.

Здесь Тш⁽ⁱ⁾ – i-й 64-разрядный блок зашифрованного текста; А(×) –функция шифрования блока, m – определяется объемом открытых данных.

Аргументом функции А(×) на первом шаге итеративного алгоритма является 64-разрядная синхропосылка Š, а на всех последующих шагах – предыдущий блок зашифрованных данных Тш^(i–1).

Процедура шифрования данных в режиме гаммирования с обратной связью реализуется следующим образом, В КЗУ вводятся 256 бит ключа. В накопители N₁ и N₂ вводится синхропосылка Š = (S₁, S₂,…, S₆₄) из 64 бит. Исходное заполнение накопителей N₁ и N₂ зашифровывается. Полученное в результате шифрования заполнение накопителей N₁ и N₂ образует первый 64-разрядный блок гаммы шифра Гш⁽¹⁾ = А(Š), который суммируется поразрядно по модулю 2 в сумматоре СМ₅ с первым 64-разрядным блоком открытых данных Т₀⁽¹⁾ = (t₁⁽¹⁾, t₂⁽¹⁾,…, t₆₃⁽¹⁾, t₆₄⁽¹⁾). В результате получают первый 64-разрядный блок зашифрованных данных Тш⁽¹⁾ = Гш⁽¹⁾ Å Т₀⁽¹⁾ = (t₁⁽¹⁾, t₂⁽¹⁾,…, t₆₃⁽¹⁾, t₆₄⁽¹⁾).

Блок зашифрованных данных Тш⁽¹⁾ одновременно является также исходным состоянием накопителей N₁, N₂ для выработки второго блока гаммы шифра Гш⁽²⁾, и поэтому по обратной связи Тш⁽¹⁾ записывается в указанные накопители N₁ и N₂.

Заполнение накопителей N₁ и N₂ зашифровывается в режиме простой замены. Полученное в результате шифрования заполнение накопителей N₁ и N₂ образует второй 64-разрядный блок гаммы шифра Гш⁽²⁾, который суммируется поразрядно по модулю 2 в сумматоре СМ₅ со вторым блоком открытых данных Т₀⁽²⁾: Тш⁽²⁾ = Гш⁽²⁾ Å Т₀⁽²⁾.

Выработка последующих блоков гаммы шифра Гш⁽ⁱ⁾ и зашифрование соответствующих блоков открытых данных Т₀⁽ⁱ⁾ (i=3…m) производится аналогично.

Если длина последнего m-го блока открытых данных Т₀^(m) меньше 64 разрядов, то из Гш^(m) используется только соответствующее число разрядов гаммы шифра, остальные разряды отбрасываются.

Рис. 3.11. Схема реализации режима гаммирования с обратной связью ГОСТ 28147-89.

В канал связи или память ЭВМ передаются синхропосылка Š и блоки зашифрованных данных Тш⁽¹⁾, Тш⁽²⁾,…, Тш^(m).

При расшифровании криптосхема имеет тот же вид, что и при шифровании (см. рис. 3.11). Уравнения расшифрования:

Т₀⁽¹⁾ = А(Š) Å Тш⁽¹⁾ = Гш⁽¹⁾ Å Тш⁽¹⁾,

Т₀⁽ⁱ⁾ = А(Тш^(i-1)) Å Тш⁽ⁱ⁾ = Гш⁽ⁱ⁾ Å Тш⁽ⁱ⁾, i=2…m.

Реализация процедуры расшифрования зашифрованных данных в режиме гаммирования с обратной связью происходит следующим образом. В КЗУ вводят 256 бит того же ключа, на котором осуществлялось зашифрование открытых блоков Т₀⁽¹⁾, Т₀⁽²⁾,…, Т₀^(m). В накопители N₁ и N₂ вводится синхропосылка Š. Исходное заполнение накопителей N₁ и N₂ (синхропосылка Š) зашифровывается в режиме простой замены. Полученное в результате зашифрования заполнение N₁ и N₂ образует первый блок гаммы шифра
Гш⁽¹⁾ = А(Š), который суммируется поразрядно по модулю 2 в сумматоре СМ₅ с блоком зашифрованных данных Тш⁽¹⁾. В результате получается первый блок открытых данных Т₀⁽¹⁾ = Гш⁽¹⁾ Å Тш⁽¹⁾.

Блок зашифрованных данных Тш⁽¹⁾ является исходным заполнением накопителей N₁ и N₂ для выработки второго блока гаммы шифра Гш⁽²⁾:
Гш⁽²⁾ = А(Тш⁽¹⁾). Полученное заполнение накопителей N₁ и N₂ зашифровывается. Образованный в результате шифрования блок Гш⁽²⁾ суммируется поразрядно по модулю 2 в сумматоре СМ₅ со вторым блоком зашифрованных данных Тш⁽²⁾. В результате получают второй блок открытых данных. Аналогично в N₁, N₂ последовательно записывают блоки зашифрованных данных Тш⁽²⁾, Тш⁽³⁾,…, Тш^(m), из которых в режиме простой замены вырабатываются блоки гаммы шифра Гш⁽³⁾, Гш⁽⁴⁾,…, Гш^(m).

Блоки гаммы шифра суммируются поразрядно по модулю 2 в сумматоре СМ₅ с блоками зашифрованных данных Тш⁽³⁾, Тш⁽⁴⁾,…, Тш^(m). В результате получают блоки открытых данных Т₀⁽³⁾, Т₀⁽⁴⁾,…, Т₀^(m), при этом последний блок открытых данных Т₀^(m) может содержать меньше 64 разрядов.

Режим выработки имитовставки соответствует режиму CBC. В стандарте ГОСТ 28147-89 определяется процесс выработки имитовставки, который единообразен для любого из режимов шифрования данных. Имитовставка И_Р вырабатывается из блоков открытых данных либо перед шифрованием всего сообщения, либо параллельно с шифрованием по блокам. Первые блоки открытых данных, которые участвуют в выработке имитовставки, могут содержать служебную информацию (например, адресную часть, время, синхропосылку) и не зашифровываются.

Значение параметра Р (число двоичных разрядов в имитовставке) определяется криптографическими требованиями с учетом того, что вероятность навязывания ложных помех равна 0,5^Р.

Для выработки имитовставки открытые данные представляют в виде последовательности 64-разрядных блоков Т₀⁽¹⁾, Т₀⁽²⁾,…, Т₀^(m).

Первый блок открытых данных Т₀⁽¹⁾ подвергают преобразованию А(×), соответствующему первым 16 циклам алгоритма шифрования блока. В качестве ключа для выработки имитовставки используют ключ длиной 256 бит, по которому шифруют данные.

Полученное после 16 циклов 64-разрядное число А(Т₀⁽¹⁾) суммируют по модулю 2 со вторым блоком открытых данных Т₀⁽²⁾.

Результат суммирования (А(Т₀⁽¹⁾) Å Т₀⁽²⁾) снова подвергают преобразованию А(×). Полученное 64-разрядное число А(А(Т₀⁽¹⁾) Å Т₀⁽²⁾) суммируют по модулю 2 с третьим блоком Т₀⁽³⁾ и снова подвергают преобразованию А(×), получая 64-разрядное число А(А(А(Т₀⁽¹⁾) Å Т₀⁽²⁾) Å Т₀⁽³⁾), и т.д.

Последний блок Т₀^(m) (при необходимости дополненный нулями до полного 64-разрядного блока) суммируют по модулю 2 с результатом вычислений на шаге (m–1), после чего зашифровывают в режиме простой замены, используя преобразование А(×).

Из полученного 64-разрядного числа выбирают отрезок И_Р (имитовставку) длиной Р бит: И_Р = [a^(m)_32–P+1(16), a^(m)_32–P+2(16),…, a^(m)₃₂(16)], где a^(m)_i – i-й бит 64-разрядного числа, полученного после 16-го цикла последнего преобразования А(×), 32–P+1 £ i £ 32.

Имитовставка И_Р передается по каналу связи или в память ЭВМ в конце зашифрованных данных, т.е. Тш⁽¹⁾, Тш⁽²⁾,…, Тш^(m), И_Р.

Поступившие к получателю зашифрованные данные Тш⁽¹⁾, Тш⁽²⁾,…, Тш^(m) расшифровываются, и из полученных блоков открытых данных Т₀⁽¹⁾, Т₀⁽²⁾,…, Т₀^(m) аналогичным образом вырабатывается имитовставка И_Р. Эта имитовставка И_Р сравнивается с имитовставкой И_Р , полученной вместе с зашифрованными данными из канала связи или из памяти ЭВМ. В случае несовпадения имитовставок полученные при расшифровании блоки открытых данных Т₀⁽¹⁾, Т₀⁽²⁾,…, Т₀^(m) считают ложными.

Вопросы для повторения

1. Опишите устройство сети Фейстеля.

2. Докажите обратимость сети Фейстеля.

3. Укажите параметры алгоритма шифрования ГОСТ 28147-89.

4. Опишите функцию шифрования ГОСТ 28147-89.

5. Запишите уравнения шифрования/расшифрования алгоритма ГОСТ 28147-89.

6. Укажите параметры алгоритма шифрования Rijndael.

7. Перечислите и кратко охарактеризуйте преобразования одного раунда шифрования алгоритма Rijndael.

8. Опишите процедуру формирования раундовых ключей алгоритма Rijndael.

9. Опишите схему комбинирования блочных алгоритмов 3DES.

10. Перечислите и охарактеризуйте основные режимы работы блочных алгоритмов шифрования.

11. Перечислите и охарактеризуйте режимы работы алгоритма шифрования ГОСТ 28147-89.

12. Укажите, для каких целей используется режим выработки имитовставки в алгоритме шифрования ГОСТ 28147-89.

Резюме по теме

В теме разобрано устройство сети Фейстеля, являющейся основой для построения большинства современных блочных шифров. В качестве примера шифра, имеющего структуру сети Фейстеля, рассмотрен алгоритм криптографического преобразования данных ГОСТ 28147-89 и описан новый стандарт симметричного криптоалгоритма (AES – Advanced Encryption Standard). Кроме этого, в теме рассмотрены вопросы комбинирования блочных шифров с целью получения криптографических преобразований имеющих большую стойкость, а так же основные режимы работы блочных шифров.