Усложнение симметричных блочных шифров, чередование

В некоторых криптосистемах возникает потребность ускорить шифрование потока данных в несколько раз. Этого можно достичь, распараллеливая поток данных и используя несколько процессоров. Е1епосредственно распараллеливание можно реализовать только в режиме ЕСВ, другие режимы требуется несколько видоизменить, используя прием чередования.

Рассмотрим чередование в таких режимах, как СВС, CFB, OFB. При необходимости ускорить шифрование в т раз последовательность X__t = {Xj}, i = 1,2,…, блоков открытого текста разбивается на (/, га)-сечения Х-ц, -, X^_m, j = 1, …, т X^j = {xj, x_j+m,…, x_J+im,…}. Затем (/', ш)-сечсние Х^ зашифровывается на ключе k с использованием уникальной синхропосылки 2/q j = 1, …, т. При расшифровании (/, ш)-сечения вычисляются независимо и параллельно, после чего выполняется «сборка» исходной последовательности Х__г

Криптоаналитикам не удалось разработать практически приемлемый метод дешифрования DES-алгоритма, который был бы лучше метода полного опробования ключей. Вместе с тем короткая длина ключа DESалгоритма не позволяла рассматривать его как надежное средство защиты информации. Э го стимулировало криптографов заняться построением усложненного по сравнению с DES блочного шифра с длинным ключом, использующего в качестве базового элемента DES-алгоритм.

Один из методов усложнения — многократное шифрование с использованием базового алгоритма. Этот метод применим к любому СБШ, однако применение его приводит к уменьшению скорости шифрования (либо требуется больше аппаратуры) в соответствующее число раз. Важно также, чтобы множество шифрующих подстановок не образовало группу (для DES это доказано), иначе многократное шифрование сводится к однократному.

Простейшая схема многократного шифрования — это двойное шифрование с помощью двух шифрующих подстановок с независимыми ключами:

Эта схема отвергнута, так как ключи можно определить по открытому и шифрованному тексту методом согласования. Трудоемкость метода порядка к, что соответствует полному перебору ключей базового алгоритма, при этом еще необходима память размера порядка к битов.

Другой способ двойного шифрования, называемый методом Дэвиса — Прайса, построен на идеях режима шифрования СВС:

. Метод согласования определяет ключи и в этом случае, характеристики сложности метода примерно такие же.

Более стойкие схемы используют тройное шифрование. Схему тройного шифрования Тачмена с парой независимых ключей k_{ и k₂ называют режимом EDE (зашифрование-расшифрование-зашифрование):

При одинаковых ключах данная схема равносильна однократному шифрованию, что позволяет совместно использовать их в общей сети пользователей. Несмотря на очередность ключей, исключающую стандартный метод согласования, Р. Меркл и М. Хеллман разработали оригинальный вариант метода согласования памяти и времени [24], требующий порядка К операций при наличии памяти размера порядка |к| битов и некоторого количества подобранных блоков открытого текста.

Наиболее стойкая схема тройного шифрования использует три независимых ключа:. Метод согласования времени и памяти для этой схемы имеет трудоемкость порядка к² и требует использования памяти размера порядка к битов.

Имеется схема тройного шифрования с минимальным ключом — ТЕМК, в которой тройное шифрование используется двояко: как схема шифрования данных и как функция инициализации, вычисляющая по двум независимым ключам k_{ и k-2 три производных ключа шифрования q_v q₂> г/₃:

, где x_v х_ъ х_г — несекретные блоки. Ключи k_{ и к₂ определяются полным перебором. Трудоемкость дешифрования СБШ при использовании схемы ТЕМК имеет порядок К² операций шифрования, память не требуется.

Данные схемы кратного шифрования сочетаются с разными режимами шифрования.

Другой способ кратного шифрования реализует схема двойного гаммирования. Уравнения шифрования имеют вид y_t = x_t® у/¹) © у/²); t= 1,2,…, где гаммы (у/¹)} и {у/²>} генерируются с использованием независимых ключей k_x и k₂ аналогичным образом: у/') = E_k(y_t__x® ® ^(?)), i = 1, 2, и ?>(t) есть 2/7-битовое двоичное представление числа t.

Имеются схемы кратного шифрования, связанные с увеличением размеров используемых ключей и блоков данных, и схемы, объединяющие несколько базовых алгоритмов.