Частично слабые ключи
В
алгоритме DES существуют слабые и частично
слабые ключи. Частично-слабые ключи —
это такие пары ключей 
,
что 
Существуют
6 частично-слабых пар ключей, они приведены
в таблице 2. Для каждого из 12 частично-слабых
ключей существуют
«анти-неподвижные
точки», то есть такие блоки х, что 
Таблица 2. Частично-слабые ключи |
|||||
|
|
Пары частично-слабых ключей |
|
|
|
|
|
1FE-01FE-01FE-01FE,----FE01-FE01-FE01-FE01 |
|
|
|
|
|
1FE0-1FE0-1FE0-1FE0,----E0F1-E0F1-E0F1-E0F1 |
|
|
|
|
|
01E0-01E0-01F1-01F1,----E001-E001-F101-F101 |
|
|
|
|
|
1FFE-1FFE-0EFE-0EFE,----FE1F-FE1F-FE0E-FE0E |
|
|
|
|
|
011F-011F-010E-010E,----1F01-1F01-0E01-0E01 |
|
|
|
|
|
E0FE-E0FE-F1FE-F1FE,----FEE0-FEE0-FEF1-FEF1 |
|
|
|
Известные атаки на DES
Таблица 3. Известные атаки на DES. |
||||
Методы атаки |
Известные откр. тексты |
Выбранные отк. тексты |
Объём памяти |
Количество операций |
Полный поиск |
1 |
- |
Незначительный |
|
Линейный Криптоанализ |
|
- |
Для текста |
|
Линейный Криптоанализ |
|
- |
Для текста |
|
Диффер. Криптоанализ |
- |
|
Для текста |
|
Диффер. Криптоанализ |
|
- |
Для текста |
|
Метод полного перебора требует одну известную пару шифрованного и расшифрованного текста, незначительный объём памяти, и его выполнение требует около шагов.
Дифференциальный криптоанализ — первую такую атаку на DES заявили Бихам и Шамир. Эта атака требует шифрования открытых текстов выбранных нападающим, и для её выполнения нужны примерно шагов. Теоретически являясь точкой разрыва, эта атака непрактична из-за чрезмерных требований к подбору данных и сложности организации атаки по выбранному открытому тексту. Сами авторы этой атаки Biham и Shamir заявили, что считают DES защищенным для такой атаки.
Линейный криптоанализ разработан Matsui. Этот метод позволяет восстановить ключ DES с помощью анализа известных открытых текстов, при этом требуется примерно шагов для выполнения. Первый экспериментальный криптоанализ DES, основанный на открытии Matsui, был успешно выполнен в течение 50 дней на автоматизированных рабочих местах 12 HP 9735.
Для линейного и дифференциального криптоанализа требуется достаточно большой объём памяти для сохранения выбранных (известных) открытых текстов до начала атаки.