UNIVERZITY KOMENSK HO. Katedra informatiky. Diplomov pr ca

Transcriptie

1 , MATEMATICKO { FYZIK LNA FAKULTA UNIVERZITY KOMENSK HO Katedra informatiky Diplomov pr ca KRYPTOANAL ZA FEISTELOVSK CH IFIER Roman Klein doc. RNDr. Daniel Olej r, CSc. (ved ci diplomovej pr ce) BRATISLAVA 1998

2 Prehlasujem, e na predkladanej diplomovej pr ci som pracoval samostatne a pou il som len literat ru uveden v zozname na konci pr ce. Roman Klein i

3 akujem ved cemu pr ce doc. RNDr. Danielovi Olej rovi, CSc za mno stvo cenn ch odborn ch r d a pripomienok pri vypracovan diplomovej pr ce. Z rove ƒakujem svoj m bl zkym a priateœom, ktor mi pomohli s technickou str nkou kone nej pravy pr ce. Autor ii

4 Obsah vod 1 1 Z KLADN POJMY Kryptograa a ifrovanie ::::::::::::::::::::::: ifrovacie algoritmy a kryptosyst my :::::::::::::::: Kryptoanal za ::::::::::::::::::::::::::::: Bezpe nosÿ a sila kryptograck ch algoritmov ::::::::::: 10 2 FEISTELOVSK IFRY Blokov ifry :::::::::::::::::::::::::::::: Feistelovsk ifry ::::::::::::::::::::::::::: Kryptosyst m DES - Data Encrytion Standard ::::::::::: Kryptosyst m Lucifer ::::::::::::::::::::::::: M dy a varianty blokov ch kryptosyst mov :::::::::::: 26 3 DIFERENCI LNA KRYPTOANAL ZA Princ p diferenci lnej kryptoanal zy ::::::::::::::::: Diferenci lna kryptoanal za syst mu DES ::::::::::::: Kryptoanal za men ch variantov syst mu DES :::::::::: Modik cie syst mu DES ::::::::::::::::::::::: Diferenci lna anal za syst mu Lucifer :::::::::::::::: 51 4 LINE RNA KRYPTOANAL ZA Princ p line rnej kryptoanal zy ::::::::::::::::::: Kryptoanal za modikovan ho syst mu Lucifer :::::::::: 59 5 KRYPTOANALYTICK ODOLNOS Parametre blokov ho kryptosyst mu ovplyv uj ce odolnosÿ :::: Neline rne transform cie ::::::::::::::::::::::: 60 Z ver 63 Literat ra 64 Pr lohy 65 iii

5 vod œudstvo na prelome tis cro sa ocit na konci industri lnej spolo nosti, pri om postupne vznik informa n spolo nosÿ. Posledn desaÿro ia priniesli dosiaœ nev dan rozvoj informatiky id ci ruka v ruke s rozvojom potrebn ch technol gi. Vƒaka dokonalej m elektronick m prvkom sa rap dne zvy uje v kon po ta ov a z rove je vyv jan lep ie programov vybavenie. Mno stvo spracovan ch, prenesen ch a ulo en ch inform ci dosiahlo v glob lnom mer tku ohromn rozmery. Inform cia sa stala predmetom trhu so v etk mi d sledkami, ktor to obn a. Samozrejme, aj v minulosti mali inform cie neraz veœk hodnotu, asto ovplyv ovali osudy cel ch n rodov a t tov. Na ochranu inform cie v ak obvykle sta ili fyzick prostriedky. Bolo to umo nen t m, e inform cie sa uchov vali, ale hlavne pren ali len v p somnej forme, a teda bol nutn fyzick kontakt na ich z skanie. Dnes, v dobe pou vania elektrotechniky a elektroniky iba fyzick ochrana nesta, inform cie sa uchov vaj v elektronickej forme a na prenos sa pou va elektromagnetick pole. Preto sa my lienka ifrovania, ktor je vo svojej podstate veœmi star, rozvinula a dala vznik modernej kryptol gii. Podstata ifrovania je nejak m sp sobom zabezpe iÿ, aby obsah tajnej spr vy zostal skryt a nedal sa zistiÿ nepovolanou osobou ani v pr pade, e sa jej spr va ŒubovoŒn m sp sobom dostane do r k. Najstar m a najprimit vnej m sp sobom utajenia inform cie je pou itie in ho jazyka pr padne inej abecedy. Nesk r sa pri lo na r zne in mo nosti ifrovania, dnes naz van klasick ifry. S pr - chodom po ta ov, roz ren m telekomunik ci a celkovou digitaliz ciou sa cel probl m posunul z oblasti norm lnej abecedy jazyka na rove abecedy 0,1. Je prirodzen, e spolu so zdokonaœovan m ifrovania a vyn jden m lep ch ier, sa vyv jali a zlep ovali aj met dy tokov proti dan m ifr m. Vytv ranie ifrovac ch algoritmov a syst mov je dom nou kryptograe a to enie proti nim zase kryptoanal zy. Ak sa m konkr tny ifrovac syst m pou vaÿ v praxi (v komer nej sf re alebo v tajn ch slu b ch), je nevyhnutn seri znym sp sobom overiÿ, okrem in ch d - le it ch vlastnost aj jeho bezpe nosÿ. Nemysl sa teraz bezpe nosÿ syst mu v eobecne, ale odolnosÿ vo i kryptoanal ze naz van sila kryptosyst mu. CieŒom by teda malo byÿ matematicky dok zaÿ, ako zlo ito sa d resp. ned spe ne to iÿ na dan syst m. Analyzuje sa algoritmus ifrovania z hœadiska u zn - mych v eobecn ch met d kryptoanal zy a odhaœuj sa pr padn slabiny za elom ich pr padn ho vyu itia pri kryptoanalytickom toku. Keƒ e kryptoanal za veœk ch syst mov je veœmi n ro n na technick prostriedky, asto sa sk maj v istom zmysle men ie alebo jednoduch ie modely. Potom je v ak potrebn n jsÿ aj priame s vislosti a d sledky na p vodn ifrovac syst m. Hlavn m cieœom tejto diplomovej pr ce je pop sanie vybran ch met d kryp- 1

6 toanal zy a pos diÿ faktory resp. parametre kryptosyst mov, od ktor ch z vis sila kryptosyst mu. Zamerali sme sa na jeden konkr tny typ kryptosyst mov, atofeistelovsk ifry. Zistenie, o vlastne a akou mierou ovplyv uje ich silu, m v znam pri n vrhu tak chto kryptosyst mov, lebo ukazuje, ak nevyhnutn predpoklady musia byÿ splnen. Hoci o met dach kryptoanal zy exituje mno sto l nkov, uv dzaj iba princ py met d a rekon trukcia re lneho toku na ich z klade nie je v dy jednoduch. Pozorovania a z very vlastn ch experimentov s v pr ci kombinovan s u publikovan mi v sledkami. Pr cu m eme logicky rozdeliÿ do niekoœk ch ast, ktor na seba zko nadv zuj. Prv asÿ uv dza z kladn pojmy v ir ej oblasti kryptol gie, pozornosÿ je venovan hlavne objasneniu pojmov frekventovane pou van m v zvy n ch kapitol ch. Popis a matematick model vybran ch dvoch kryptosyst mov DES a Lucifer, uroben na z klade ich popisu v literat re tvor, jadro druhej asti. Z rove bola realizovan vlastn softv rov implement cia ist ch variantov uveden ch syst mov, sl iaca na experimentovanie. Tretia asÿ obsahuje popis dvoch najzauj mavej ch met d kryptoanal zy vyvinut ch v ned vnej minulosti peci lne na tok proti istej triede blokov ch ier. S implement ciou kryptosyst mov je spojen aj implement cia niektor ch ast popisovan ch met d. Pr cu dop a posudzovanie vplyvu zmien niektor ch parametrov sk man ch syst mov v teoretickej rovine s pou it m v sledkov z literat ry a iasto ne aj prakticky s vyu it m v sledkov experimentov. 2

7 1 Z KLADN POJMY 1.1 Kryptograa a ifrovanie P vod slova kryptograa je v starej gr tine. Kryptos znamen skryt agrap- hein p saÿ, a teda kryptograa je vedou (v istom zmysle aj umen m) ako zabezpe iÿ aby nejak inform cia, ktor je niekde zaznamenan, alebo pren an nejak m m diom, ostala utajen pred v etk mi nepovolan mi a bola dostupn iba prav mu adres tovi. Aj keƒ vo v eobecnosti sa inform cie nemusia nikam posielaÿ alebo pren aÿ, budeme pou vaÿ pojmy odosielateœ a pr jemca a inform cia, ktor sa m dostaÿ od prv ho k druh mu sa bude volaÿ spr va. Abeceda, tj mno ina znakov, z ktor ch je spr va zostaven, m e byÿ ŒubovoŒn kone n mno ina znakov. My sa v ak obmedz me na abecedu f0; 1g. P vodn spr va sa naz va otvoren text (message; plaintext - ozna enie M), proces transform cie otvoren ho textu tak, aby sa skryl v znam spr vy pri pokuse ju taÿ tandardne je ifrovanie (encryption - E) a to o pri tom vznikne je ifrov spr va, resp. text (ciphertext - C). Sp tn proces, teda transform cia za ifrovanej spr vy na p vodn spr vu sa naz va de ifrovanie (decryption - D). Obidve tieto transform cie s zn zornen na obr. 1. otvoren text - ifrovanie - ifrov text - de ifrovanie - otvoren text Obr. 1: Proces pou vania ifrovania V celej diplomovej pr ci, ak nebude vyslovene uveden inak, sa bud M a C pova ovaÿ za bin rne d ta. M u to byÿ v eobecn postupnosti bitov, textov s bory, bitmamapy, digitalizovan z znamy obrazu, respekt ve zvuku. D ka za- ifrovanej spr vy C pritom nemus nutne byÿ rovnak ako d ka otvorenej spr vy. Niektor algoritmy ju pred ia a asto sa pri spracovan dajov pou va ajkompresia. 1 T sa aplikuje na otvoren text M e te pred samotn m ifrovan m Matematicky je mo n vy ie uveden vzÿahy medzi M a C zap saÿ nasledovn mi predpismi, pri om E a D s zobrazenia. E(M) = C (1) 1 Za ist ch okolnost, najm v pr pade, e otvoren text obsahuje prvky nejak ho tandardn ho form tu, m e kompresia zabr niÿ zneu itiu tak hoto faktu protivn kom. Pou vaÿ kompresiu na ifrovan text nem veœk v znam, lebo kvalitne za ifrovan spr va je spravidla nestla iteœn ( tatisticky sa nel i od n hodnej postupnosti bitov). 3

8 D(C) = M (2) Samozrejme, ak m maÿ pou vanie ifrovania zmysel na to, aby sa adres t dostal v dy k skuto nej a nezmenej p vodnej spr ve poslanej odosielateœom, mus platiÿ nasleduj ca rovnosÿ: D(E(M)) = M (3) Hoci transform cie E a D nemusia byÿ zobrazenia (E m e maÿ viacero r znych v stupov pre rovnak vstup M, transform cia D ich v etky potom jednozna ne mus zobraziÿ na p vodn vstup M), obvykle sa predpoklad, e E aj D s injekt vne zobrazenia, bez ohœadu na to o ak typ ifry sa jedn. 1.2 ifrovacie algoritmy a kryptosyst my Jadrom cel ho ifrovania a z kladnou asÿou kryptosyst mu je nejak algoritmus. Kryptograck algoritmus, asto stru ne naz van ifra je matematick zobrazenie E, ktor otvoren text zobraz na ifrovan text. Opa n transform ciu, teda zobrazenie ifrovan ho textu sp Ÿ na otvoren vykon va buƒ ten ist algoritmus (pr padne nepatrne zmenen ), alebo in, pri om zodpovedaj ca transform cia D je k E inverzn (v zmysle vzÿahu 3). V minulosti, ale mo no sa s t m stretn Ÿ aj dnes, sila algoritmu a bezpe nosÿ jeho pou vania bola zalo en na jeho utajovan. Nikto nepovolan sa nesmel dozvedieÿ, ako dan algoritmus funguje. Ak protivn k zistil ak algoritmus sa pou va aako presne pracuje, dostal sa priamo k v etk m inform ci m za ifrovan m pomocou neho. Nemalo mu toti o zabr niÿ v tom, aby kedykoœvek vedel de ifrovaÿ ŒubovoŒn spr vu za ifrovan t mto algoritmom. Je veœmi pravdepodobn, e po istej dobe pou vania algoritmu v praxi si protivn k n jde cestu, ako ho z skaÿ. Okrem tejto obrovskej slabiny, zavinenej nemennosÿou algoritmu, je dosÿ komplikovan realizovaÿ mnohostrann tajn komunik ciu. Ka d komunikuj ca dvojica by musela maÿ vlastn algoritmus a keby jeden algoritmus pou vala v ia skupina, zvy ovalo by sa nebezpe enstvo odhalenia a navy e po odhalen algoritmu bymuseli v etci prejsÿ na in. al veœk probl m je, e samotn re trikcia (tajnosÿ) algoritmu zabra uje norm lnej kontrole kvality a tandardiz cii. Pou vatelia tak ho algoritmu toti nem u pripustiÿ zverejnenie pou van ho softv ru ani voœn predaj hardveru, lebo by skompromitovali dan kryptograck algoritmus. Napriek t mto zjavn m nev hod m sa st le asto zabudov va tento typ ier do aplik ci, v ktor ch sta n zka rove bezpe nosti. Ich u vateœom to buƒ neprek a, alebo si to v bec neuvedomuj. Priamo iar m rie en m v etk ch probl mov sp soben ch pou van m re trikt vnych kryptograck ch algoritmov jezavedenie parametrov. My lienka jetou dosÿ star, v etky lep ie historick ifrovacie syst my ju pou vali. Tak to parameter m v celom syst me v sadn postavenie, naz va sakœ (ozna enie K ). 4

9 ifrovac kœ de ifrovac kœ?? otvoren text ifrovanie ifrov text de ifrovanie otvoren text Obr. 2: Proces pou vania ifrovania s kœ om M e nadob daÿ hodnoty vo veœkom rozsahu a v etky tieto potenci lne hodnoty tvoria priestor kœ a (keyspace). Obidve zobrazenia E aj D pou vaj kœ a z visia od neho, ozna me ich E K a D K. VzŸahy (1), (2) teraz mo no nap saÿ v tomto tvare: E K (M) =C (4) D K (C) =M (5) RovnosŸ (3) bude maÿ vzhœadom na vzÿahy (4), (5) nasleduj ci tvar: D K (E K (M)) = M (6) V eobecne nemus byÿ pri ifrovan E a de ifrovan D pou it ten ist kœ. Pri ifrovan sa pou ije kœ K 1 a zodpovedaj ci kœ K 2 pou it pri de ifrovan sa nemus rovnaÿ K 1. V tomto pr pade bud vzÿahy (4), (5) a (6) vyzeraÿ takto: E K1 (M) = C (7) D K2 (C) = M (8) D K2 (E K1 (M)) = M K 1 6= K 2 (9) Situ cia sa teraz v porovnan so sch mou na obr. 1 zmenila, lebo pribudli kœ e (obr. 2). Pri pou van ier s kœ mi sa cel Ÿa isko bezpe nosti pren a na kœ. Je plne nepodstatn, i sa protivn k dostane k algoritmu resp. k jeho popisu. PokiaŒ nebude maÿ k dispoz cii kœ, ktor bol pou it a ani si ho nebude vedieÿ nejakou kryptoanalytickou met dou z skaÿ a v algoritme nebude slabina v priestore kœ ov, nem takmer iadnu ancu z skaÿ zo zachyten ho za ifrovan ho textu zodpovedaj ci otvoren. Kryptograck algoritmy s kœ om m u teda byÿ masovo vyr ban a roz irovan. S asne ich na bezpe n tajn komunik ciu m e pou vaÿ mnoho u vateœov. Sta zabezpe iÿ znalosÿ spr vneho, v konkr tnom pr pade pou it ho kœ a, pr padne pr stupu k nemu len pre opr vnen ho astn ka. Po objasnen pojmov ifra a kœ u m eme denovaÿ, o sa mysl pod pojmom krytosyst m. ifrovac syst m, astej ie kryptosyst m je tvoren : 5

10 { kryptograck m algoritmom, t.j. transform ciami E;D { algoritmu zodpovedaj cim priestorom kœ ov { mno inami v etk ch mo n ch otvoren ch a za ifrovan ch textov nad abecedou, ktor dok e algoritmus transformovaÿ Kryptograck algoritmy pou vaj ce kœ sa delia na dva z kladn typy: symetrick a asymetrick. Pri symetrick ch, ob as naz van ch klasick, sa de ifrovac kœ rovn ifrovaciemu, pr padne sa d veœmi jednoducho z neho vypo taÿ. Samozrejme, aj naopak, ifrovac sa Œahko a jednozna ne po ta z de- ifrovacieho. i e matematicky nap san : K 1 = K 2 alebo 9f;f,1 : f(k 1 )= K 2 f,1 (K 2 )=K 1. Tento typ algoritmov vy aduje, aby sa odsielateœ a pr jemca vopred dohodli na nejakom konkr tnom kœ i, ktor potom bud ist dobu pou vaÿ na bezpe n ifrovan komunik ciu. Keƒ e cel bezpe nosÿ symetrick ch algoritmov z le od utajenia kœ a, mus byÿ kœ udr iavan v tajnosti dovtedy, k m je potreba tajiÿ dan inform cie. PodŒa sp sobu innosti rozdeœujeme symetrick ifry na dve kateg rie. Tie, ktor operuj naraz v dy iba na jednom bite (ob as na jednom byte) a z rove sa men aj kœ, sa naz vaj pr dov ifry resp. algoritmy. In mo nosÿ je zobrazovaÿ otvoren text na ifrov a naopak po skupin ch bitov kon tantnej d ky n, tzv. blokoch. Tak to algoritmy sa potom naz vaj blokov ifry resp. algoritmy. Optim lna d ka bloku pritom z vis od viacer ch faktorov, hlavne od technick ch mo nosti hardveru, ale aj softv ru, dostato ne r chlo a efekt vne po taÿ. Na druhej strane pr li mal d ka bloku rap dne uœah uje niektor typy kryptoanalytick ch tokov vo i algoritmom. V osemdesiatych a dev Ÿdesiatych rokoch jetypick d ka bloku v blokov ch ifr ch 64 bitov ale asto aj 128 bitov. V po tom sa d Œahko uk zaÿ, e u pri d ke bloku 128 bitov je tok hrubou silou neuskuto niteœn, a teda za predpokladu odolnosti kryptosyst muvo i in m typom tokov nem v znam d ku bloku zv ovaÿ. Asymetrick algoritmy, naz van aj algoritmy s verejn m kœ om s skon- truovan tak, e kœ K 1 pou it na ifrovanie sa nezhoduje s kœ om K 2 pou- it m na de ifrovanie. Dokonca nosn idea tohto typu je v tom, e sa K 2, resp. K 1 nedaj v rozumnom ase vypo taÿ na z klade poznania K 1 resp. K 2. Plat teda hypot za: 8f : f(k 1 )=K 2 ) f(x) sa ned vypo taÿ v polynomi lnom ase (10) Modern ifry s verejn m kœ om vyu vaj ist predpoklady z teoretickej aritmetiky, napr. n ro nosÿ v po tu diskr tneho algoritmu v kone nom poli alebo zlo itosÿ faktoriz cie. Ak by sa na iel efekt vny a r chly algoritmus na tak to v po et, nebolo by u mo n stavaÿ tento typ algoritmov na t chto predpokladoch. Sta ilo by n jsÿ zobrazenie f, ktor by nesp alo 10. 6

11 Pomenovanie syst my s verejn m kœ om vypl va z faktu, e ifrovac kœ K 1 sa zverejn a pr jemca si ponech v tajnosti len de ifrovac kœ K 2. ifrovac kœ sa teda nazve verejn a de ifrovac s kromn. Hocikto potom m e posielaÿ za ifrovan spr vy pou ij c zn my algoritmus a verejn kœ K 1, no de ifrovaÿ ich dok e len skuto n vlastn k de ifrovacieho kœ a K 2, teda adres t. V niektor ch konkr tnych aplik ci ch sa lohy kœ ov zmenia. Konkr tne pri digit lnych podpisoch ten, kto podpisuje za ifruje spr vu svojim s kromn m (utajen m) kœ om a verejnosÿ si m e pou it m verejn ho de ifrovacieho kœ a overiÿ autentickosÿ podpisu. Diplomov pr ca sa nezaober kryptograck mi algoritmami v eobecne, ale zameriava sa na blokov algoritmy a kryptosyst my, konkr tne na jeden druh, a to Feistelovsk ifry. 1.3 Kryptoanal za S kryptograou je zko zviazan kryptoanal za {veda ako odhaliÿ p vodn otvoren text zo za ifrovan ho bez toho, aby bol dopredu zn my kœ. Prostriedkom k odhaleniu obsahu tajnej spr vy teda m e byÿ (obvykle aj je) zistenie kœ a, pr padne n jdenie nejakej slabiny v algoritme alebo v kryptosyst me ako celku. Z skanie kœ a kryptoanalytick mi met dami je principi lne odli n od kompromitovania syst mu stratou kœ a buƒ zlyhan m Œudsk ho faktora alebo chybou techniky. Z kladn m predpokladom kryptoanal zy, prv kr t vysloven m A. Kerckhosom v 19. storo je, e d le it je uchov vaÿ v tajnosti (mimo dosahu nepovolanej osoby) iba kœ. Teda predpoklad sa, e kryptoanalytik m k dispoz cii v etky detaily o sk manom kryptograckom algoritme a jeho implement cii. Ajkeƒ to v re lnom svete nie je celkom pravda, detaily algoritmov a asto aj ich samotn existencia sa nie v dy zverej uj, je vhodn s t mto predpokladom uva ovaÿ. Pod pojmom tok sa v kryptoanal ze rozumie kryptoanal za syst mu v praxi, t.j ŒubovoŒn pokus dosiahnuÿ kryptoanalytick mi met dami a prostriedkami cieœ. Nemus n m byÿ pln odhalenie v etk ch slab n a dosiahnutie stavu, v ktorom bude to n k schopn de ifrovaÿ ŒubovoŒn za ifrovan text, ale asto sta aj dosiahnutie iastkov ch cieœov. Stav, ktor nast va po spe nom toku sa naz va rozbitie kryptosyst mu. Konkr tne met dy kryptoanal zy pou van pri Feistelovsk ch ifr ch sa podrobnej ie popisuj v tretej a tvrtej kapitole. Spomenieme a stru ne pop eme niekoœko v eobecn ch a najviac pou van ch typov tokov, ponech me pritom ich origin lne anglick aj u n s obvykl n zvy. 1. Ciphertext-only attack. Kryptoanalytik m k dispoz cii za ifrovan text niekoœk ch (obmedzen po- et) spr v za ifrovan ch rovnak m algoritmom. CieŒom je z skaÿ otvoren text t chto spr v, pr padne aj pou it kœ, resp. viacero kœ ov. Z skanie 7

12 kœ a alebo nejak ho simuluj ceho algoritmu 2 by umo nilo de ifrovaÿ aj pr padn ƒal ie zachyten spr vy. zn me: C i = E k (P i ); i 2f1;:::;ng n 2 N cieœ: P i ; k alebo algoritmus na v po et C n+1 z P n+1 2. Known-plaintext attack. Kryptoanalytik m k dispoz cii okrem za ifrovan ch textov aj zodpovedaj ce otvoren texty dan ch spr v. V tomto pr pade je cieœom z skaÿ kœ, resp. kœ e, pr padne simuluj ci algoritmus. zn me: P i ;C i = E k (P i ); i 2f1;:::;ng n 2 N cieœ: k alebo algoritmus na v po et C n+1 z P n+1 3. Chosen-plaintext attack. Tento typ toku je podstatne silnej ako predch dzaj ci. Kryptoanalytik m mo nosÿ vyberaÿ si ŒubovoŒn otvoren text, pre ktor potom z skava aj ifrov text. Poskytuje mu to teda mo nosÿ vyÿa iÿ omnoho viac inform cie potrebnej na odhalenie pou it ho kœ a, o je jeho lohou pri tomto type toku. zn me: P i ;C i = E k (P i ); i 2f1;:::;ng n 2 N N aj jednotliv P i si mo no zvoliÿ cieœ: k alebo algoritmus na v po et C n+1 z P n+1 4. Adaptive-chosen-plaintext attack. Toto je peci lny pr pad predch dzaj ceho toku. Okrem voœby otvoren ch textov, ktor sa za ifruj, m kryptoanalytik mo nosÿ pru ne reagovaÿ u po men om bloku textu. M e si teda vyberaÿ ak otvoren text pou ije na z klade toho, ako vyzer predch dzaj ci v sledok ifrovania. CieŒ je zhodn s predch dzaj cim pr padom. 5. Chosen-ciphertext attack. Obdobne ako v pr pade 3, ale tu si kryptoanalytik vol za ifrovan texty a m potom pr stup k zodpovedaj cim otvoren m. CieŒ sa zhoduje s pr padom 3. 2 Pod t mto pojmom mysl me tak algoritmus B, ktor hoci je skon truovan ŒubovoŒne, t.j. iadna jeho asÿ sa nemus zhodovaÿ s algoritmom A vykon vaj cim transform cie E A a D A, ale plat D B (C i )=D A (C i )=P i. 8

13 zn me: C i ;P i = D k (C i ); i 2f1;:::;ng n 2 N N aj jednotliv P i si mo no zvoliÿ cieœ: k 6. Chosen-key attack. Samozrejme, nemysl sa t m to, e kryptoanalytik si m e vyberaÿ ŒubovoŒn kœ a n m de ifruje v etky za ifrovan spr vy. On len vie, e existuj nejak vzÿahy medzi kœ mi v kryptosyst me. Pri niektor ch konkr tnych syst moch sa to v ak d efekt vne vyu iÿ. 7. Rubber-hose cryptoanalysis. Pri tomto type kryptoanal zy sa na z skanie kœ a vyu vaj r zne nekorektn sp soby prieniku do nejak ho syst mu, ist osobn vyhr ky pr - padne vydieranie, a k m sa to n k nedostane ku kœ u. asto pr ve tento tok b va najr chlej a spe n. Niekto by sa mohol domnievaÿ, e known-plaintext attack a najm chosenplaintext attack nemaj veœk v znam, preto e sa daj v praxi Ÿa ko realizovaÿ. Opak je v ak pravdou. Po prv, obvykle nie je a tak Ÿa k zariadiÿ, aby ten, kto ifru pou va za ifroval nejak vhodn, druhou stranou podsunut text a po druh existuje mnoho be n ch sch m textov, ktor s za ifrovan v r mci spr vy. Pekn m pr kladom s napr klad zdrojov programy. Aj med dy kryptoanal zy popisovan a pou it v tejto pr ci vyu vaj v podstate chosen-plaintext attack. Ka d dobr kryptosyst m mus byÿ tak, e zo ifrov ho textu sa ned z skaÿ iadna inform cia o otvorenom texte, resp. jeho tvorcovia sa sna ia k tomuto stavu pribl iÿ, ak nie rovno dosiahnuÿ ho. Na zabezpe enie rozptyœovania a skr vania inform cie o otvorenom texte v ifrovom texte, alebo, ak chceme vzÿahu medzi nimi v princ pe existuj dve techniky, pop san C.E.Shannonom v [Shan49]. Prv z nich, konf zia, jeobvykle realizovan pomocou substit cie resp. kombin ciou niekoœk ch substit ci v z vislosti aj od kœ a. Jednoduch substit cia je pou it napr klad v C zarovej ifre, kde sa ka d znak otvoren ho textu transformuje na nejak in znak (pripo ta sa kœ ). Modern blokov kryptosyst my substituuj dlh bloky bitov otvoren ho textu blokmi bitov ifrov ho textu komplikovanej ie. Mechanizmus substit cie sa m e meniÿ s ka d m bitom otvoren ho textu a kœ a. Na druhej strane dif zia rozptyœuje inform ciu na v iu asÿ bloku ifrov ho textu. Najjednoduch ie sa to d realizovaÿ pomocou permut cie, ktor len men poradie bitov, resp. znakov. Komplikovanej pr stup spo va vo vypo tavan (pou it m r znych matematick ch transform ci ) ka d ho bitu ifrov ho textu z viacer ch, na rozli n ch miestach bloku otvoren ho textu sa nach dzaj cich bitov. Pou itie ka dej z t chto techn k rob pr padn tok na kryptosyst m Ÿa, ale kombin cia oboch, tak ako je to v blokov ch ifr ch, dok e to nikovi poriadne sÿa iÿ, pr padne aj zabr niÿ realiz cii spe n ho toku. 9

14 1.4 Bezpe nosÿ a sila kryptograck ch algoritmov Kryptograck algoritmy sa l ia svojou stavbou, sp sobom pou vania, sp sobom vyu vania kœ a. Blokov algoritmy maj rozli n d ky bloku a m u maÿ r zne d ky kœ a. M u poskytovaÿ aj r zne rovne bezpe nosti. Existuje viacero sp sobov, ako meraÿ rove bezpe nosti kryptosyst mu. Z praktick ho hœadiska je d le it najm ekonomick aspekt, vyjadren pomocou pomeru medzi n kladmi na pr padn rozbitie ifry a cenou takto z skan ch utajen ch d t. Aj samotn rozbitie algoritmu m niekoœko rovn. Uvedieme klasik ciu podœa L. Knudsena, zoraden klesaj co podœa dosahu rozbitia. 1. pln rozbitie (total break) { n jdenie kœ a K tak ho, e pre v etky za ifrovan texty z skame zodpovedaj ce otvoren, teda D K (C) =P. 2. Glob lna dedukcia (global deduction) { n jdenie alternat vneho simuluj ceho algoritmu A tak ho, e D A (C) = D K (C) =P, a kœ K sa pritom nepodar n jsÿ. 3. Lok lna dedukcia (local deduction) { podar sa n jsÿ zodpovedaj ci otvoren text P ku konkr tnemu za ifrovan mu textu C. 4. Dedukcia inform cie (information deduction) { z skanie nejakej len iasto nej inform cie, napr. asÿ otvoren ho textu, trukt ra otvoren ho textu, niekoœko bitov kœ a. Ako sa d dok zaÿ, e sk man algoritmus sa ned rozbiÿ? Rozhodne nesta tvrdenie, e nie je zn ma nijak met da na jeho rozbitie. No len o jednej konkr tnej ifre, one-time pad, sa podarilo matematicky dok zaÿ, e je plne bezpe n, teda nerozbiteœn. V etky ostatn dosiaœ lovekom skon truovan algoritmy nebr nia tomu, aby sa dal aspo teoreticky uskuto niÿ ist peci lny ciphertext-only attack. Urob sa to jednoducho tak, e sa pln m prehœad van m prejde cel priestor kœ ov aoveruje sa pritom, i D K (C) =P ned va vhodn otvoren text, obvykle tak, ktor m nejak v znam. Tento postup sa naz va tok hrubou silou (brute-force attack). Samozrejme, keƒ e priestor kœ ov m 2 n prvkov (n- d ka kœ a), je to pri tandardn ch d kach kœ a dne n mi prostriedkami neuskuto niteœn a dokonca pri d ke kœ a niekoœko sto bitov sa naraz na hranice mo nost n ho fyzick ho sveta. One-time pad ifra sa v ak z r znych d vodov 3 pou va iba na peci lne ely a kryptograa sa sk r zameriava nakon trukciu algoritmov, ktor ch rozbitie je neuskuto niteœn kv li pr li veœkej v po tovej zlo itosti. Kryptograck 3 Pri tejto ifre m kœ rovnak d ku ako spr va anavy e ka d ƒal ia spr va vy aduje nov kœ, o sp sobuje pr li veœk probl my s distrib ciou, uchov van m a ni en m kœ a 10

15 algoritmus sa pova uje za v po tovo bezpe n ( asto naz van siln, resp. kryptoanalyticky siln ), ak sa ned rozbiÿ dostupn mi prostriedkami. Nie je v ak povedan, o mo no ch paÿ ako dostupn prostriedky a i sa uva uje so s asn mi, pr padne bud cimi. V po tov zlo itosÿ, v na om pr pade v po tov zlo itosÿ algoritmu A realizuj ceho tok na kryptograck algoritmus, m tri zlo ky: 1. asov zlo itosÿ { as potrebn na uskuto nenie toku. B va ud van po tom element rnych oper ci, z kladn ch krokov algoritmu A 2. D tov zlo itosÿ { mno stvo d t potrebn ch ako vstup pre algoritmus A. B va ud van po tom blokov za ifrovan ho, resp. otvoren ho textu, niekedy po tom bitov alebo aj po tom bitov nejakej inej potrebnej inform cie. 3. Pam Ÿov n roky { mno stvo pam ti potrebn po as chodu algoritmu A. B va ud van v bitoch (bytoch) alebo po tom blokov ako v pr pade 2. Ako pri v ine algoritmov aj v pr pade to n ho kryptoanalytick ho algoritmu A, existuj medzi t mito troma zlo kami ist vzÿahy. Obvykle je mo n na kor zhor enia jednej vylep ovaÿ in. Za v sledn v po tov zlo itosÿ toku sa pova uje maxim lna z uveden ch troch. Na tomto poli sa odohr va pomyslen akademick aj skuto n s boj medzi kon trukt rmi kryptograck ch algoritmov a syst mov a medzi kryptoanalytikmi. Kon trukt ri maj snahu vymyslieÿ a implementovaÿ ifry tak, aby boli siln vo i zn mym kryptoanalytick m tokom, pr padne aj vo i dosiaœ neverejn m, im v ak zn mym. Kryptoanalytici vym Œaj a zdokonaœuj, v zmysle zni ovania v po tovej zlo itosti, svoje toky vo i pou van m ifr m a v teoretickej rovine vo i cel m typom a triedam ier. Na sk manie a testovanie niektor ch zn mych typov kryptoanalytick ch met d je zameran aj asÿ tejto diplomovej pr ce. Testuj sa zmeny sily kryptograck ch algoritmov pri zmen ch niektor ch ich vn torn ch s ast. VzhŒadom na technick n ro nosÿ tejto innosti pri pln ch verzi ch sk man ch syst mov, pou vaj sa ich men ie varianty. 11

16 2 FEISTELOVSK IFRY 2.1 Blokov ifry Kryptosyst my, ktor mi sa pr ca zaober, konkr tne DES a Lucifer patria medzi Feistelovsk ifry. Ichtypick rta je, e s zkon truovan z relat vne jednoduch ch transform ci, ktor zabezpe uj, v zmysle Shannonovej te rie, element rne transform cie: dif ziu a konf ziu. Vytvor me matematick model tohto typu ier, ktor je potrebn na t dium a hodnotenie vlastnost Feistelovsk ch ier aj nami zvolen ch konkr tnych implement ci. Najprv matematicky denujeme blokov ifrovac syst m a potom uvedieme den cie z kladn ch prvkov a jednoduch ch oper ci a transform ci. Budeme pritom vych dzaÿ z [Konh81]. PostupnosŸ x =(x 0 ; :::; x n,1 ) 2 GF (2) n prvkov z mno iny f0; 1g d ky n naz vame N-blokom tj.x =(x 0 ; :::; x n,1 ) 2 GF (2) n. V mnoh ch pr padoch je v hodn tak to postupnosÿ ch paÿ ako vektor nad GF (2), ale asto aj ako cel slo z poœa GF (2 n ), ktor ho hodnota je ur en predpisom: c = kxk = n,1 X i=0 x i 2 n,i,1 ; c 2 GF (2 n ) Den cia 2.1 Nech S(F ) je mno ina v etk ch transform ci nad poœom F, pr padne nad vektorov m priestorom nad poœom F. Prvok 2 S(GF (2) n ), tj (x) =y, kde x =(x 0 ; :::; x n,1 ) 2 GF (2) n, y =(y 0 ; :::; y n,1 ) 2 GF (2) n naz vame blokovou ifrovacou transform ciou. VidieŸ, e z rove zodpoved aj prvku z S(GF (2 n ). Transform ciu m - eme vn maÿ ako substit ciu nad vektorov m priestorom GF (2) n alebo nad kone n m poœom GF (2 n ). V druhej kapitole bol zaveden pojem kœ a. Pri blokov ch ifr ch budeme pod t mto pojmom ch paÿ postupnosÿ bitov d ky m, t.j prvok vektorov ho priestoru GF (2) m. D ka bloku n sa nemus rovnaÿ d ke kœ a m, napr klad v syst me DES je n =64am = 56. Blokov ifrovac syst m sa v eobecne denuje ako podmo ina mno iny v etk ch transform ci na kone n m poœom S(GF (2) n ), praktick v znam m v ak blokov kryptosyst m s kœ om, denovan nasledovne: Den cia 2.2 Nech K je priestor kœ ov, tj. vektorov priestor GF (2) m.potom symbolom [K] budeme ozna ovaÿ blokov kryptosyst m s kœ om, resp. blokov ifru. S(GF (2) n ) [K] =ffk; g k 2 Kg 12

17 Den cia blokovej ifry je matematick m spresnen m pojmu ifra z druhej kapitoly pre pr pad blokov ho typu kryptograck ho algoritmu a abecedy f0; 1g pou itej na z pis blokov otvoren ho textu, za ifrovan ho textu a kœ a. Ako sa tak to syst m pou va v praxi? Dvaja u vatelia sa pred za at m obojsmernej tajnej komunik cie dohodn nejak m sp sobom na konkr tnom kœ i k 2 K, ktor bud pou vaÿ. Sp sob ozn menia kœ a mus byÿ obvykle dostato ne komplikovan, aby sa pr padn mu odpo vateœovi linky znemo nilo ho z skaÿ. V berom kœ a sa z rove vyberie konkr tny prvok z mno iny [K]. Potom u jednoducho ak x je blok otvoren ho textu, tak y = fk;xg bude blok ifrovan ho textu, ktor sa m e posielaÿ v presved en, e nikto, kto za ifrovan spr vu zachyt, ju nedok e bez spr vneho kœ a pre taÿ. Pri kon trukcii ifrovacieho syst mu dostato ne odoln ho vo i kryptoanalytick m tokom sa mus predpokladaÿ, e protivn k pozn : 1. cel algoritmus ifrovania a de ifrovania 2. algoritmus, ktor kœ u k prirad transform ciu fk; g2[k] Za predpokladu pou vania v eobecn ho blokov ho kryptosyst mu [K], a teda aj neexistencie iadneho vyu iteœn ho vzÿahu medzi relat vne mal mi podmno inami mno n v etk ch blokov otvoren ho textu, ifrovan ho textu a priestoru kœ ov, s len dve mo nosti tot lneho rozbitia. ( V znam spojenia v eobecn blokov kryptosyst m treba ch paÿ tak, e ka d substit cia fk; g je ur en iba kœ om, a e m e byÿ vybrat ŒubovoŒn provok 2 S(GF (2) n )) Toto zaru- uje neexistenciu tak ho vzÿahu vyu iteœn ho pri kryptoanal ze. V etky v praxi pou van blokov ifry s skon truovan z postupnosti element rnych oper ci ovplyv ovan ch kœ om, i e ist vzÿahy sa v takto stavan ch ifr ch vyskytuj. Spom nan mo nosti rozbitia teda s : prehœadanie cel ho priestoru kœ ov a vybudovanie katal gu v etk ch mo n ch blokov otvoren ho textu a zodpovedaj cich blokov ifrovan ho textu. Aj keƒ mo nosti v po tovej techniky r chlo rast, u pri veœkosti bloku, resp. priestoru kœ ov pre n = 128 nie je ani fyzik lne mo n uskuto niÿ tak to typy tokov. Predstavme si, e ifrovacia substit cia je zadan tabuœkou, t.j. nie je generovan, nepou ij sa iadne element rne oper cie. Len pre jednu hodnotu kœ a by tabuœka obsahovala 2 n blokov, pri d ke bloku n. i e pam Ÿov n roky na innosÿ takto implementovan ho syst mu s porovnateœn s n rokmi na tok. Kryptosyst m sa od istej d ky kœ a ned vytvoriÿ a implementovaÿ t mto sp sobom. Ost va len mo nosÿ nejak m jednozna n m sp sobom generovaÿ substit cie. Pritom je v ak iad ce dodr aÿ ist nutn krit ri. { dostato n d ka bloku n, aby sa znemo nilo vytvorenie katal gu { dostato n veœkosÿ priestoru kœ ov K, aby sa predi lo jeho pln mu prehœadaniu 13

18 { dostato ne komplikovan vzÿah fk; g x! y = fk;xg medzi otvoren m textom, ifrovan m textom a kœ om, aby sa maxim lne sÿa il tok pomocou analytick ch a/alebo tatistick ch met d zameran ch na odhalenie otvoren ho textu a/alebo kœ a; to e tak to vzÿah neexistuje sa toti ned dok zaÿ. Teraz nasleduj den cie jednoduch ch transform ci pou van ch pri budovan blokov ch ier. Den cia 2.3 Nech x =(x 0 ;:::;x n,1 ); y =(y;:::;y n,1 ), potom transform cie ; ; ;;L;L ; ozna uj (v tomto porad ): œav rota n ift: Prav rota n ift: (x 0 ; :::; x n,1 )! (x 1 ; :::; x n,1 ;x 0 ) Pripo tanie 1 s prenosom: Transpoz cia: (x 0 ; :::; x n,1 )! (x n,1 ;x 0 ; :::; x n,2 ) : x! y ; kyk =(kxk +1)mod2 n i (x) = Line rna transform cia: y = Lx T, Ann transform cia: 8 >< >: y; kxk = i & kyk = i +1 y; kxk = i +1 & kyk = i x; kxk 6= i; i +1 kde y i = i;0 x 0 i;1 x 1 ::: i;n,1 x n,1 0 i<n L je regul rna matica n n nad GF (2) i;j je jej prvok v i-tom riadku a j-tom s pci L x! y ; y = Lx T, kde L je regul rna line rna transorm cia a 2 GF (2) n Permut cia: (x 0 ;x 1 ; :::; x n,1 )! (x (0) ;x (1) ; :::; x (n,1) ), kde je permut cia mno iny hodn t indexov f0; 1; :::; n, 1g 14

19 V te rii blokov ch ier sa asto pou va term n s radnicov permut cia. Je to peci lny pr pad regul rnej line rnej transform cie. Matica transform cie zodpovedaj ca permut cii indexov ; (i) =j, by mala v dy v i-tom riadku na j-tom mieste jednotku a v etky ostatn jej prvky by boli nuly. Jednoduch m pr kladom pre pr pad n = 3 je nasleduj ca matica L: 0 B L S ou kore ponduj ca permut cia indexov je =(1; 2; 0) a plat : y = Lx = L(x 0 ;x 1 ;x 2 )=(x 1 ;x 2 ;x 0 )= (x 0 ;x 1 ;x 2 ) Blokov ifrovac syst m je mo n z jednoduch ch oper ci denovan ch vy - ie zostaviÿ mnoh mi sp sobmi. D sa jednoducho uk zaÿ, e sta ia niektor jednoduch oper cie na denovanie v etk ch ier z S(GF (2) n ). 2.2 Feistelovsk ifry V etky v praxi pou iteœn kryptosyst my musia zabezpe ovaÿ ifrovanie aj de ifrovanie. VeŒmi v hodn je, keƒ sa obidve transform cie daj realizovaÿ pomocou jedn ho zariadenia, pri softv rovej implement cii jedn m programom. D le it je to hlavne pri hardv rovej realiz cii, lebo nemusia existovaÿ dve samostatn zariadenia ( ifr tor a de ifr tor). Na dosiahnutie tejto po adovanej vlastnosti kryptosyst mov existuje viacero sp sobov. Jeden z nich, zalo en na pou it invol cie je pou it v tzv. Feistelovsk ch sieÿach a my si ho rozoberieme podrobnej ie. 1 C A Den cia 2.4 Zobrazenie naz vame invol cia, ak plat rovnosÿ: ((x)) = x t:j: =,1 Predch dzaj cu den ciu invol cie ako v ebecn ho zobrazenia m eme pre blokov ifru s kœ om fk; g, x N-blok, upraviÿ do tvaru: k ( k (x)) = x t:j: k =,1 k Jedn m z pr kladov praktick ho pou itia invol cie s Feistelovsk siete. Z kladn m princ pom tohto typu blokov ch ier je iterat vna kombin cia substit cie a permut cie ako primit vnych transform ci. Samozrejme, v sledn ifra aj keƒ je vytv ran z element rnych, jednotlivo trivi lne slab ch oper ci, mus byÿ kryptogracky siln. Pred presnej m popisom algoritmu a princ pu fungovania Feistelovskej ifry uvedieme stru n, neform lny popis. (pr loha A.1) 15

20 Blokov ifra transformuje blok otvoren ho textu x p rnej d ky na v sledn blok ifrov ho textu pomocou kœ a k. Proces ifrovania aj de ifrovania pozost va z postupnosti iastkov ch transform ci, naz van ch kol (roundy). Po ta sa iterat vne, i e v sledok ka dej iastkovej (i-tej) transform cie z vis od v sledku predch dzaj cej ((i,1)-tej). KŒ k sa takisto z ast uje itera n ho postupu v po tu, pre ka d (i-te) kolo sa samostatn m algoritmom vypo ta tzv. lok lny kœ k i, ktor sa potom tie st va vstupom pre (i-te) kolo v po tu. De ifrovanie sa l i iba v porad pou itia lok lnych kœ ov a postupnosÿ transform ci itera n ho procesu ost va nezmenen. Podrobnej princ p Feistelovsk ho typu ier: Vstup: bin rny blok x p rnej d ky x =(x 0 ;:::;x 2n,1 ) rozdelen nadva polbloky L; R, ka d d ky n (argument x budeme v ƒal om vynech vaÿ) L = L(x) =(x 0 ;:::;x n,1 ) R = R(x) =(x n ;:::;x 2n,1 ) Lok lne transform cie s identick v ka dom kole. Je to blokov ifra s kœ - om, ozna me ju ~fk; g, pri ktorej sa obe v stupn polbloky v i-tom kole vypo - taj na z klade v stupn ch polblokovz(i,1)-teho kola n sledovn m predpisom: ~(k i ; (L i,1 ;R i,1 ))=(L i ;R i ) ; kde L i = R i,1 (11) R i = L i,1 f(r i,1 ;k i ) (12) pri om f je ŒubovoŒn funkcia K i je podkœ pou it vi-tom kole L i,1 ;R i,1 s v stupy (i, 1)-ho kola i =1;:::r; r je po et k l L 0 = L; R 0 = R s vstupy prv ho kola Kritick lohu z hœadiska celkovej sily kryptosyst mu vofeistelovsk ch ifr ch zohr va funkcia f. Zo samotnej kon trukcie Feistelovsk ch syst mov v ak vypl va, e k nej inverzn funkcia f,1 ani nemus existovaÿ, preto e na de ifrovanie sa tie vyu va funkcia f. ZatiaŒ o nej ni bli ie nepredpoklad me, nesk r sa podrobne rozoberie, ak vlastnosti mus maÿ, aby bol zostrojen algoritmus kryptogracky pou iteœn, t.j. aby bol dostato ne kryptoanalyticky siln. Lema 2.1 iastkov transform cia ~fk; g je invol cia. D kaz: Na d kaz vyu ijeme nasleduj ce vzÿahy, ktor ch platnosÿ vypl va z den cie transform cie ~fk; g. 16

21 R i,1 = L i (13) L i,1 = L i,1 f(r i,1 ;k i ) f(r i,1 ;k i )=R i f(r i,1 ;k i )(14) R i f(r i,1 ;k i ) = R i f(l i ;k i ) (15) Teraz sta rovnosti (13) a (14) dosadiÿ do vzÿahov (11) a (12) denuj cich transform ciu ~fk; g a dostaneme: ~ k (~ k (x)) = ~ k (~ k (L i,1 ;R i,1 ))=(L i ;R i ) = (R i,1 ;L i,1 f(r i,1 ;k i )) = 13;14 =(L i ;R i f(r i,1 ;k i ) f(r i,1 ;k i )) = (L i,1 ;R i,1 )=x 2 PodŒa lemy 2.1. je ~fk; g je invol cia. Potom plat aj nasleduj ce tvrdenie: Veta 2.2 Feistelovsk ifra fk; g je invol cia. PlatnosŸ vety 2.2. vypl va z den cie Feistelovskej ifry, z platnosti lemy 2.1. a z faktu, e vieme iterat vne vypo taÿ R i a L i zo zn mych L i,1 a R i,1. Toto vypl va zo vzÿahov (13) a (15) a za predpokladu, e vieme ur iÿ lok lny kœ k i patriaci k i-temu kolu. Vy ie uveden princ p Feistelovsk ch ier, resp. siet, musia dodr aÿ v etky Feistelovsk ifry. Ich jednotliv konkr tne pr pady a v etky ich varianty sa potom od seba l ia viacer mi parametrami, napr klad veœkosÿou bloku otvoren ho textu, d kou kœ a, sp sobom v po tu lok lneho kœ a a po tom k l. Najzauj mavej je v ak tvar funkcie f od ktor ho sila cel ho kryptosyst mu z vis najviac. 2.3 Kryptosyst m DES - Data Encrytion Standard Syst m DES vznikol v prvej polovici 70-tych rokov v USA a stal sa jedn m zo tandardov roz ren m po celom svete. Stru ne prejdeme anab zu jeho vzniku, budeme sa pritom opieraÿ o [Schn96]. V roku 1972 z iniciat vy vtedaj ieho NBS, dnes NIST, za al program na ochranu po ta ov ch a komunika n ch d t, v r mci neho sa pl novalo vyvin Ÿ jednoduch, tandardn kryptograck algoritmus. Pre o je dobr, aby existoval tandardn krytograck algoritmus? Prin a to v etky v hody tandariz cie: masov v roba a roz renie, t.j ni ia cena, mo nosÿ irokej kooper cie medzi u vateœmi a omnoho lep ie otestovanie a overovanie bezpe nosti a sily. Predt m neexistoval iaden tandardn, odpor an syst m pre komer n pou itie v s kromn ch, verejn ch, ani v be n ch vl dnych in tit ci ch a seri zne kryptograck poznatky, okrem NSA, boli veœmi m lo roz ren. V roku 1973 NBS vyhl sil konkurz s niekoœk mi z kladn mi po iadavkami na n vrh kryptograck ho algoritmu, z ktor ch najd le itej ie s tieto: mus poskytovaÿ vysok rove bezpe nosti 17

22 mus byÿ plne pecikovan a Œahko pochopiteœn bezpe nosÿ algoritmumus spo vaÿ v utajen kœ a a nemala by z visieÿ od tajnosti samotn ho algoritmu mus byÿ pr stupn v etk m u vateœom mus byÿ prisp sobiteœn na pou itie v rozli n ch aplik ci ch cena implement cie na elektronick ch zariadeniach nesmie byÿ privysok Hoci ohlas uk zal, e z ujem by bol, vhodn kandid t sa nena iel. Nasledoval ƒal verejn konkurz v roku 1974 a oskoro sa pri lo na vhodn ho kandid ta - stal sa n m algoritmus od rmy IBM, vych dzaj ci z Feistelovsk ho algoritmu Lucifer od tej istej rmy, vyvinut ho za iatkom 70-tych rokov. Pou val iba jednoduch oper cie na mal ch skupin ch d t, a teda mohol byÿ veœmi efekt vne hardverovo implementovan. Hlavn mi zmenami oproti Luciferu bolo skr tenie kœ a zo 128 na 56 bitov a pln prepracovanie funkcie f. Na overovan jeho bezpe nosti a ur ovan, i bude vhodn ako feder lny tandard, sa podieœala NSA (National Security Agency) na po iadanie NBS. Po posudzovan verejnosÿou, napriek ist m podozreniam kv li myseln mu ponechaniu ist chtajn ch slab n zo strany NSA, bol tento syst m vyhl sen roku 1976 za feder lny tandard na k dovanie neutajovan ch t tnych inform ci. V roku 1981 ANSI potvrdila DES ako tandard pre s kromn sektor. DES bol prv ifrovac syst m, vyv jan ako vl dny tandard za asti NSA, ktor ho pln popis bol zverejnen. Malo to obrovsk vplyv na rozvoj kryptol gie v in ch sf rach ako pr sne tajn vl dne in tit cie nielen v USA, ale na celom svete. Popis syst mu DES Priamym predchodcom DES-u bol syst m Lucifer, obidva s blokov syst my, as typick mi pr kladmi blokov ch ier naz van ch Feistelovsk siete. Den cia kryptosyst mu DES a jeho jednotliv ch ast je v tejto pr ci prebrat z [Konh81] a [Schn96]. V DES-e m blok d ku 64 bitov a kœ d ku 56 bitov. KŒ sa uschov va aj vymie a ako 64 bitov ale 8 bitov sl i iba na kontrolu parity. V stupn blok je rovnako dlh ako vstupn. Algoritmus je symetrick, preto e je to Feistelovsk sieÿ, tj. rovnak algoritmus aj kœ sa pou ije na ifrovanie aj na de ifrovanie. Funkcia f, tvoriaca jadro algoritmu, obsahuje kombin ciu substit cie a permut cie ako z kladn ch ifrovac ch techn k v zmysle Shannonovej te rie. Substit cia pln lohu konf zie a permut cia dif zie. tandardn DES m 16 k l. V algoritme sa pou vaj iba jednoduch tandardn oper cie na cel ch slach. Bolo ho teda mo n lacno hardverovo implementovaÿ u v ase svojho vzniku. 18

23 Z kladn sch ma algoritmu Sch ma ifrovania jedn ho bloku v syst me DES je zakreslen v pr lohe A.2. Na vstupn blok x =(x 0 ;:::;x 63 ) otvoren ho textu d ky 64 bitov sa najprv aplikuje inicializa n permut cia IP a potom sa rozdel na dve 32 bitov asti, ktor ozna me L 0 =(x 0 ;:::;x 31 )Œav a R 0 =(x 32 ;:::;x 63 ) prav. Nasleduje 16-n sobn pou itie niekoœk ch funkc, spolu ozna en ch f, pri om vznikaj iterat vne L 1, R 1 a L 16, R 16 podœa predpisu typick ho pre ka d Feistelovsk ifru: L i = R i,1 (16) R i = L i,1 f(r i,1 ;K i ) (17) D ta sa v ka dom kole kombinuj s inou asÿou kœ a K i (naz vanou lok lny kœ ). Na z ver sa R 16 a L 16 spoja a aplikuje sa z vere n permut cia IP,1 (inverzn k IP). Stru n popis jedn ho kola je pribli ne tak to. Lok lny kœ K i d ky 48 bitov sa v i-tom kole z ska kompres vnou permut ciou z 56 bitov ho kœ a, ktor sa po ka dom kole cyklicky pos va. Prav polovica R i,1 sa expanz vnou permut ciou zv na 48 bitov, potom sa skombinuje s K i oper ciou bin rny XOR a prejde cez 8 S-boxov a P-box permut ciu. Tieto oper cie spolu tvoria f a po bin rnom XORe s L i,1 vznikne R i. Jednotliv transform cie teraz pop em podrobne. Transform cia kœ a Re lne sa v DES-e pou va kœ K =(k 0 ;:::;k 55 ) d ky 56 bitov. Pri prenosoch, zmen ch a uschov van m v ak kœ d ku 64 bitov. Na za iatku innosti syst mu sa ignoruje ka d smy bit, tieto vynechan bity saobvykle vyu vaj na test parity. Permut cia zost vaj cich bitov ( i e bitov vstupn ho kœ a K), ozna en P K1, je zap san v tabuœke na obr.3. T to tabuœku permut cie aj ƒal ie nasleduj ce, treba taÿ po riadkoch, t.j v prvom riadku na prvom mieste je index bitu 49, ktor permut cia P K1 zobraz na 0-t bit, na druhom mieste index 42, ktor bude prv m bitom v stupu, na prvom mieste v druhom riadku je index bitu 8, ktor sa zobraz na v stupn bit s indexom rovnaj cim sa d ke riadku (v tomto pr pade 14) atƒ. Z skame teda P K1 (k 0 ;:::;k 63 )=(k 49 ;k 42 ;:::;k 4 ). Pre i-te kolo sa generuje lok lny 48 bitov kœ K i =(k i;0 ;:::;k i;47 ) nasledovne. V stup P K1 sa form lne rozdel na dve 28 bitov polovice. Ka d z nich sa potom pri ka dom kole nez visle cyklicky pos va doœava, niekedy o 1, niekedy o 2 bity, vz vislosti od kola, pozri obr.4. Po posune nasleduje v ber 48 bitovej podmno iny. Deje sa to oper ciou P K2 nazvanou kompresn permut cia, pozri obr. 5, preto e prebehne nielen v ber ur it ch bitov, ale men sa aj ich poradie. Lok lny kœ K i, pou it vi-tom kole, je teda vytv ran podœa predpisu K i = P K2 (Sh i (P K1 (k))), kde oper cia Sh i zabezpe uje cyklick posun v stupu P K1 z visl od sla kola i. 19

24 permut cia P k Obr. 3: TabuŒka vodnej permut cie kœ a P K1 o koœko bitov sa kœ cyklicky pos va v kole kolo po et bitov Obr. 4: Cyklick posuny kœ a Pou itie posunu v ka dom kole pritom zaru uje odli nosÿ jednotliv ch podkœ ov. V nimku tvor mno ina kœ ov naz van ch slab, pr padne aj poloslab. Je to napr klad kœ K =(0; 0;:::;0). Pou itie kœ ov z tejto mno iny sa v ak d Œahko vyl iÿ, preto e ich je m lo a daj sa Œahko charakterizovaÿ [Schn96] a preto sa dopredu vyhn Ÿ ich pou itiu. Inicializa n permut cia Pri ifrovan jednotliv ho bloku sa inicializa n permut cia, pozri obr. 6, vykon pr ve raz, a to pred prv m kolom. Vstupn blok x =(x 0 ;:::;x 63 ) transformuje na x (1) =(x 1;0 ;:::;x 1;63 ) predpisom: x (1) =(x 1;0 ;:::;x 1;63 )=IP(x) =(x 57 ;x 49 ;:::;x 6 ) Pozn: Na vstup i-teho kola DES-u budeme pou vaÿ pri podrobnom popise ozna enie x (i) =(x 1;0 ;:::;x 1;63 ) namiesto L i,1. kompresn permut cia P K Obr. 5: TabuŒka kompresnej permut cie kœ a P K2 20

25 inicializa n permut cia IP Obr. 6: TabuŒka inicializa nej permut cie IP Permut cia IP spolu so z vere nou permut ciou IP,1 v bec neovplyv uj rove bezpe nosti cel ho syst mu. P vodn m elom zaradenia t chto permut ci bolo zjednodu enie na tania vstupu do peci lneho DES ipu. Dnes to akur t komplikuje softv rov implement ciu DESu. Pri kryptoanal ze sa m e vynechaÿ. Expanzn permut cia T to trasform cia, spolu s nasleduj cimi dvoma, u tvor samotn jadro syst mu { funkciu f. Zv uje R i z 32 bitov na 48 bitov. Okrem toho sa men aj poradie bitov, a preto sa pou va n zov expanzn permut cia, asto ozna ovan E alebo E-box. elom tejto permut cie je z skanie vhodne dlh ho vstupu pre S-boxy a z rove sa r chlej ie zv uje z vislosÿ v etk ch v stupn ch bitov od vstupn ch. Toto sa naz va lav nov efekt (avalanche eect) a je to vlastne zabezpe enie dif zie. Dosiahnutie toho, aby ka d vstupn bit ovplyvnil ka d v stupn, bolo jedn m z hlavn ch krit ri pre dizajn rov syst mu DES. Ako vidno na obr.7, z ka dej tvorice vstupn ch bitov s prv a tvrt bit na v stupe dvakr t a druh a tret raz. V tabuœke na obr.8 potom vidno, ako sa jednotliv bity vstupu zobrazia na v stupn 48 bitov blok. S-box substit cia Vykon sa po bitovom XOR-e v stupu expanznej permut cie s lok lnym kœ - om pre i-te kolo K i. Vstup y (i) =(y i;0 ;:::;y i;47 ) pre S-boxy z skame teda predpisom: y (i) =(y 0 ;:::;y 47 )=E(x (i) ) K i =(x i;31 k i;0 ;x i;0 k i;1 ;:::;x i;0 k i;47 ) Vektor y (i) sa rozdel na osem 6 bitov ch blokov aka d z t chto blokov je vstupom pre zodpovedaj ci S-box. V DES-e je pou it ch 8 rozli n ch S-boxov 21

26 vstupn bity 0{ B B B A A BB BB BB AU AA A AU???? BBN???? BBN???? BBN???? v stupn bity 0{47 Obr. 7: Expanzn permut cia E expanzn permut cia E Obr. 8: TabuŒka expanznej permut cie E polbloku R i,1 typu 6x4 i e so 6 bitov m vstupom a 4 bitov m v stupom. Tak to S-box si mo no predstaviÿ ako substitu n tabuœku S so 4 riadkami, 16 st pcami a hodnotami od 0 do 15. Indexy riadku a st pca kde le hœadan 4 bitov v stup sa potom ur uj zo vstupn ch bitov b 1 ;b 2 ;:::;b 6 tak, e slo 0 a 3 tvoren b 1 b 6 ur st pcov index a slo b 2 b 3 b 4 b 5 riadkov. PrehŒad v etk ch smich v DES-e pou it ch S-boxov je v pr lohe A.3. Matematicky je v hodnej ie sa na S-box pozeraÿ ako na spojenie tyroch substitu n ch funkci s i : V 4! V 4 i 2f0; 1; 2; 3g, z ktor ch sa vyber podœa b 1 b 6 pr ve jedna a aplikuje sa na vstup b 2 b 3 b 4 b 5. Pr ve S-boxy s najd le itej ie v celom syst me, a bude im v tejto pr ci e te venovan pozornosÿ. V etky ostatn transform cie s line rne, a preto Œahko prekonateœn kryptoanal zou. Na kryptoanalytick prekonanie line rnych transform ci toti sta vyrie iÿ s stavu line rnych rovn c. Jedinou nelinearitou s S-boxy 22

27 aodich sily priamo z vis sila a cel ho DESu,lebo ak by aj S-boxy boli linerne, DES ako celok by bol line rny. Samozrejme, kryptoanal za sa to okolo nich. Substit cia pritom pln v DES-e lohu konf zie, i e zabezpe uje skr vanie vzÿahu medzi otvoren m textom, kœ om a za ifrovan m textom. V stupy jednotliv ch S-boxov sa zachov vaj c poradie potom spoja a vytvoria 32 bitov vstup z (i) =(z i;0 ;:::;z i;31 ) pre z vere n asÿ funkcie f. P-box permut cia Permut cia 32 bitov ho bloku z (i) realizovan P-boxom, ktor je denovan predpisom P (z (i) )=(z i;15 ;:::;z i;31 ) (tabuœka na obr.9), zabezpe rozpt lenie v stupu funkcie f na blok L i,1,lebost mto sa jej v stup na z ver kola bin rne XOR-uje a zast va teda lohu dif zie. Spolu s expanznou permut ciou zabezpe- uj lav nov efekt, t.j. ovplyv ovanie v etk ch v stupn ch bitov jednotliv mi vstupn mi. P-box permut cia P Obr. 9: TabuŒka P-box permut cie P Potom sa Œav a prav polovica vymenia, z ska sar i ;L i podœa 16 a 17 a za ne ƒal ie kolo. V mena nenast va iba po poslednom kole. Z vere n permut cia Z vere n permut cia IP,1 je inverzn oper cia k iniciliza nej permut cii IP (tabuœka na obr.10). Vykon sa pri ifrovan jedn ho bloku otvoren ho textu iba razatoposkon en posledn ho, 16-teho kola a spojen polblokov R 16 L 16, i e v opa nom porad. Po poslednom kole sa toti polovice v stupn ho vektora z posledn ho kola nevymenia. 2.4 Kryptosyst m Lucifer Lucifer patr do rovnakej skupiny ier ako DES, i e medzi blokov Feistelovsk ifry. Bol dokonca priamym predchodcom DES-u, ale je v mnohom podstatne jednoduch aj keƒ jednotliv transform cie, ktor ho vytv raj s t ch ist ch 23

28 z vere n permut cia IP Obr. 10: TabuŒka z vere nej permut cie IP,1 typov. Lucifer nebol a natoœko objektom z ujmu kryptoanal zy ako DES, ale na presk manie mnoh ch d le it ch vlastnost totho typu ier sa tie veœmi hod. Najpodstatnej rozdiel je v po te S-boxov, Lucifer ich m iba dva, a to typu 4x4. D ka bloku otvoren ho textu, ifrovan ho textu aj kœ a je v tomto kryptosyst me rovn 128 bitov. Po et k l pri ifrovan aj de ifrovan sa zhoduje s DES-om, m ich 16, ale nepou va sa inicializa n ani z vere n permut cia. Funkcia f je dosÿ odli n od tej v DES-e. V bec neobsahuje expanzn permut ciu E, m len dva S-boxy, ktor ch innosÿ je priamo kontrolovan kœ om a namiesto P-box permut cie m dve za sebou nasleduj ce permut cie P 1 ;P 2 plniace jej lohu. Okrem toho sa kœ XOR-uje nie so vstupom pre S-boxy, ale s ich v stupom. Na funkcii f v algoritme Lucifer je zauj mav to, e v nej veœmi zreteœne vidieÿ po itie princ pu kombin cie konf zie a dif zie. Pri popise kryptosyst mu Lucifer sme vych dzali z l nku [Sork84] o jeho efekt vnej softv rovej implement cii. Stru n popis algoritmu Sch ma ifrovania jedn ho bloku v syst me Lucifer je zakreslen v pr lohe A.4. Vstupn blok x =(x 0 ;:::;x 127 ) otvoren ho textu d ky 128 sa rozdel na dve 64 bitov asti, ktor ozna me L 0 =(x 0 ;:::;x 63 )Œav, R 0 =(x 64 ;:::;x 127 ) prav a 16-kr t sa vykonaj transform cie tvoriace jedno kolo, pri om vznikaj iterat vne L 1, R 1 a L 16, R 16 podœa predpisu typick ho pre ka d Feistelovsk ifru: L i = R i,1 R i = L i,1 f(r i,1 ;K i ) D ta sa v ka dom kole kombinuj s inou asÿou kœ a K i (naz vanou lok lny kœ ). Algoritmus generuj ci lok lne kœ e pre jednotliv kol ifry Lucifer je veœmi jednoduch, oproti algoritmu pou it mu v DES-e. Na z ver sa R 16 a L 16 v tomto porad spoja. Stru n popis jedn ho kola je tak to. Lok lny kœ K i d ky 64 bitov savitom kole z skava len cyklick m pos van m vstupn ho kœ a. Prav polovica R i,1 24