Режим счетчика. 
Криптографические методы защиты информации

Режим счетчика (в англоязычной литературе используется термин The Counter Mode, CTR), так же как и изложенные выше режимы гаммироваиия, является поточным шифром, использующим для шифрования сообщений операцию сложения по модулю два.

Данный режим включен в рекомендации американского национального института стандартизации NIST SP 800−38А, а также в национальный стандарт ГОСТ Р 34.13−2015 и может рассматриваться как некоторое неформальное обобщение описанных нами ранее режимов гаммироваиия.

Пусть, как и ранее, задан ключ шифрования k € F™, синхропосылка Iv G Fg и открытый текст а, представленный в виде последовательности из w блоков,

При этом длина последнего блока а_и, может быть меньше п, то есть len (a) = I = (w — 1 )п + 1еп (а_ш).

Режим счетчика представляет собой отображение.

задаваемое равенством.

Блоки шифрованного текста с,…, с_ш определяются равенствами

для всех i — 1, w, где ш,…, u>_w есть последовательность внутренних состояний поточного шифра. Если последний блок открытого текста a_w имеет длину, меньшую п, то для его шифрования используется len^.) младших бит вектора -y_w.

Рекомендации NIST SP 800−38Л предоставляют пользователю режима счетчика возможность самостоятельно определять способ генерации последовательности u)i, u)2,____.

Для тех, кто не может самостоятельно определить способ генерации последовательности wi, u>2,—-, в рекомендациях NIST, а также в ГОСТ Р 34.13−2015 предлагается следующая простая последовательность действий. Величина и>о полагается равной Iv и представляется в виде целого неотрицательного числа в интервале [0,2″ - 1]. Тогда.

Таким образом, значения образуют последовательность идущих подряд целых чисел, начальное значение которых определяется значением синхропосылки Iv. Поскольку нарушителю известно данное значение, то он может легко вычислить все элементы последовательности Ш1, Ш2,? ? ? и использовать данные значения при попытках компрометации шифруемого сообщения.

Другим недостатком данного способа генерации последовательности внутренних состояний шифра является их регулярность — каждое последующее значение отличается от предыдущего ровно на один бит. Один из возможных способов избавиться от указанных недостатков заключается в следующем.

Рассмотрим поле F2″", порожденное неприводимым над F2 многочленом д (х) степени п, см. раздел 7.5.1.1.

При п = 128 может быть использован, например, многочлен д (х) = ж¹²⁸ + х⁷ + х² + х + I, а при п — 64 — многочлен д (х) =

ж⁶⁴ + ж⁴ + ж³ + х + 1. Также зафиксируем а = х — примитивный элемент поля F2″.

Определим начальное значение сэр равенством wo = Е (к, Iv) и будем вычислять последовательность внутренних состояний при помощи равенств

для всех г = 1,2… Отметим, что для эффективного вычисления следующего элемента последовательности могут быть использованы соотношения (7.16).

Другой способ избавления от регулярности значений сщ,…, ш_и, был предложен в ГОСТ 28 147–89. Режим гаммировапия ГОСТ 28 147–89 есть не что иное, как режим счетчика с заданным законом инициализации начального состояния и>о и законом преобразования внутреннего состояния шифра.

Упражнение 7.6.3. Используя результаты главы 3, предложите свой собственный способ преобразования внутренних состояний поточного шифра, реализуемого режимом счетчика так, чтобы период последовательности этих состояний был равен 2^гп при г = 1,2,…