WikiDer > ГОСТ (блочный шифр)

GOST (block cipher)
ГОСТ 28147-89 (Магма).
GOSTDiagram.png
Схема ГОСТ
Общее
ДизайнеровСССР, КГБ, 8 отделение
Впервые опубликовано1994-05-23 (рассекречено)
ПреемникиХеш-функция ГОСТ, Кузнечик
СертификацияГОСТ ГОСТ
Деталь шифра
Ключевые размеры256 бит
Размеры блоков64 бит
СтруктураСеть Фейстеля
Раундов32

В Блочный шифр ГОСТ (Магма), определенный в стандарте ГОСТ 28147-89 (RFC 5830), это государственный стандарт СССР и России. симметричный ключ блочный шифр с размером блока 64 бита. В исходном стандарте, опубликованном в 1989 году, шифру не называлось никакого названия, но это была самая последняя версия стандарта, ГОСТ Р 34.12-2015, указывает, что он может называться Magma.[1] В Хеш-функция ГОСТ основан на этом шифре. Новый стандарт также определяет новый 128-битный блочный шифр, называемый Кузнечик.

Разработанный в 1970-х годах стандарт был отмечен как «Совершенно секретно», а затем понижен до «Секретно» в 1990 году. Вскоре после роспуска СССР, он был рассекречен и опубликован в 1994 году. ГОСТ 28147 был советской альтернативой Соединенные Штаты стандартный алгоритм, DES.[2] Таким образом, они очень похожи по структуре.

Алгоритм

ГОСТ имеет 64-битный размер блока и длина ключа 256 бит. это S-боксы могут быть секретными, и они содержат около 354 (лог2(16!8)) биты секретной информации, поэтому эффективный размер ключа можно увеличить до 610 бит; однако атака с выбранным ключом может восстановить содержимое S-блоков примерно за 232 шифрование.[3]

ГОСТ - это Сеть Фейстеля 32 патрона. Его функция раунда очень проста: добавить 32-битный подключ по модулю 232, пропустите результат через слой S-блоков и поверните результат влево на 11 бит. Результатом этого является результат функции round. На соседней диаграмме одна линия представляет 32 бита.

Подключи выбираются в заранее заданном порядке. Расписание ключей очень простое: разбейте 256-битный ключ на восемь 32-битных подключей, и каждый подключ используется в алгоритме четыре раза; в первых 24 раундах ключевые слова используются по порядку, в последних 8 раундах - в обратном порядке.

S-блоки принимают четырехбитный ввод и производят четырехбитный вывод. Подстановка S-блока в функции раунда состоит из восьми S-блоков 4 × 4. S-блоки зависят от реализации, поэтому стороны, которые хотят защитить свои коммуникации с помощью ГОСТ, должны использовать одни и те же S-блоки. Для дополнительной безопасности S-боксы можно хранить в секрете. В исходном стандарте, где был указан ГОСТ, S-боксы не давались, но они должны были каким-то образом поставляться. Это привело к предположениям, что организации, за которыми правительство хотело шпионить, получили слабые S-блоки. Один производитель микросхем ГОСТ сообщил, что он сам создал S-блоки, используя генератор псевдослучайных чисел.[4]

Например, Центральный банк Российской Федерации использовали следующие S-боксы:

#S-коробка
14 A 9 2 D 8 0 E 6 B 1 C 7 F 5 3
2E B 4 C 6 D F A 2 3 8 1 0 7 5 9
35 8 1 D A 3 4 2 E F C 7 6 0 9 B
47 D A 1 0 8 9 F E 4 6 C B 2 5 3
56 C 7 1 5 F D 8 4 A 9 E 0 3 B 2
64 B A 0 7 2 1 D 3 6 8 5 9 C F E
7D B 4 1 3 F 5 9 0 A E 7 6 8 2 C
81 F D 0 5 7 A 4 9 2 3 E 6 B 8 C

Однако последняя редакция стандарта ГОСТ Р 34.12-2015, добавляет отсутствующую спецификацию S-блока и определяет ее следующим образом.[1]

#ГОСТ Р 34.12-2015 S-box
1C 4 6 2 A 5 B 9 E 8 D 7 0 3 F 1
26 8 2 3 9 A 5 C 1 E 4 7 B D 0 F
3B 3 5 8 2 F A D E 1 7 4 C 9 6 0
4C 8 2 1 D 4 F 6 7 0 A 5 3 E 9 B
57 F 5 A 8 1 6 D 0 9 3 E B 4 2 C
65 D F 6 9 2 C A B 7 8 1 4 3 E 0
78 E 2 5 6 9 1 C F 4 B 0 D A 3 7
81 7 E D 0 5 8 3 4 F A 6 9 C B 2

Криптоанализ ГОСТ

Последний криптоанализ ГОСТ показывает, что он безопасен в теоретическом смысле. На практике сложность данных и памяти лучших опубликованных атак достигла уровня практического, в то время как временная сложность даже лучшей атаки все еще составляет 2192 когда 264 данные имеются.

С 2007 года было разработано несколько атак против сокращенных реализаций ГОСТ и / или слабые ключи.[5][6]

В 2011 году несколько авторов обнаружили более существенные недостатки в ГОСТе, впервые получив возможность атаковать полный 32-этапный ГОСТ с произвольными ключами. Он даже был назван «шифром с глубокими недостатками». Николя Куртуа.[7] Первоначальные атаки смогли снизить временную сложность с 2256 до 2228 за счет огромных требований к памяти,[8] и вскоре их улучшили до 2178 временная сложность (стоимостью 270 память и 264 данные).[9][10]

В декабре 2012 года Куртуа, Гавинецки и Сонг улучшили атаки на ГОСТ, вычислив только 2101 ГОСТ туры.[11] Исобе уже опубликовал атаку с одним ключом на полный шифр ГОСТ,[12] которые Динур, Дункельман и Шамир улучшили, достигнув 2224 временная сложность для 232 данные и 236 память и 2192 временная сложность для 264 данные.[13]

Поскольку атаки уменьшают ожидаемую силу с 2256 (длина ключа) примерно до 2178, шифр можно считать взломанным. Однако для любого блочного шифра с размером блока n бит максимальное количество открытого текста, которое может быть зашифровано до того, как должна произойти замена ключей, равно 2.п / 2 блоков, из-за парадокс дня рождения,[14] и ни одна из вышеупомянутых атак не требует менее 232 данные.

Смотрите также

Рекомендации

  1. ^ а б «ГОСТ Р 34.12-2015 (только на русском языке)» (PDF). Архивировано из оригинал (PDF) на 2015-09-24. Получено 2015-08-28.
  2. ^ Флейшманн, Эван; Горски, Майкл; Хюне, Ян-Хендрик; Удачи, Стефан (2009). «Атака восстановления ключа на полный блочный шифр ГОСТ с нулевым временем и памятью». Опубликовано как ISO / IEC JTC. 1.
  3. ^ Сааринен, Маркку-Юхани (1998). «Атака с выбранным ключом на секретные S-блоки ГОСТ». Мы показываем, что простая атака "черного ящика" с выбранным ключом на ГОСТ может восстановить секретные S-блоки примерно с 2 ^ 32 шифрованием. Цитировать журнал требует | журнал = (помощь)
  4. ^ Шнайер, Брюс (1996). Прикладная криптография: протоколы, алгоритмы и исходный код на C (2-е изд., [Nachdr.] Ed.). Нью-Йорк [u.a.]: Wiley. ISBN 978-0-471-11709-4.
  5. ^ Эли Бихам; Орр Дункельман; Натан Келлер (2007). «Улучшенные атаки скольжения» (PDF).
  6. ^ Орхун Кара (2008). «Криптоанализ отражения некоторых шифров».
  7. ^ Куртуа, Николас Т. (9 мая 2011 г.). «Оценка безопасности ГОСТ 28147-89 с учетом международной стандартизации». Архив криптологии ePrint. МАКР. До 2011 года исследователи единодушно соглашались с тем, что ГОСТ может или должен быть очень безопасным, что было резюмировано в 2010 году следующими словами: несмотря на значительные криптоаналитические усилия, затраченные за последние 20 лет, ГОСТ до сих пор не нарушен ». К сожалению, недавно было обнаружено, что ГОСТ может быть взломанным и представляет собой глубоко ошибочный шифр
  8. ^ Николя Т. Куртуа; Михал Миштал (2011). «Дифференциальный криптоанализ ГОСТ». МАКР.
  9. ^ Николя Т. Куртуа (2012). «Улучшенная дифференциальная атака на полный ГОСТ» (PDF). МАКР.
  10. ^ Куртуа, Николас Т. (13 июня 2011 г.). «Снижение алгебраической сложности и криптоанализ ГОСТ» (PDF). Архив криптологии ePrint. МАКР.
  11. ^ Николя Т. Куртуа; Ежи А. Гавинецки; Гуанъян Сун (2012). «ПРОТИВОПОКАЗАТЕЛЬНЫЙ ИММУНИТЕТ И УГАДАЙ-ТО-ОПРЕДЕЛЯЙ АТАКИ НА ГОСТ» (PDF). Versita. Получено 2014-08-25.
  12. ^ Исобе, Таканори (2011). Однокнопочная атака на полный блочный шифр ГОСТ. Конспект лекций по информатике. 6733. С. 290–305. Дои:10.1007/978-3-642-21702-9_17. ISBN 978-3-642-21701-2.
  13. ^ Динур, Итаи; Дункельман, Орр; Шамир, Ади (2012). «Улучшенные атаки на полный ГОСТ». Конспект лекций по информатике. 7549 (Быстрое программное шифрование): 9–28. Дои:10.1007/978-3-642-34047-5_2.
  14. ^ «Проект постоянного документа ISO / IEC JTC 1 / SC 27 № 12 (SD12) по оценке криптографических методов и длин ключей, 4-е издание» (PDF). 2016.

дальнейшее чтение

внешняя ссылка