Crypton v1.0

Криптоалгоритм , автором которого является (Южная Корея), шифрует -битовые блоки открытых данных под управлением ‑битового

‑байтовые блоки , участвующие в криптографическом преобразовании, представляются в виде ‑матрицы

В алгоритме используются следующие преобразования над -матрицами:

1. Нелинейные преобразования , или определяются как

; , , .

Здесь , , и − подстановки на множестве байтов, причем , , (ввиду этого и ). Подстановки и конструируются следующим образом. Сначала на основе двух подстановок и , заданных на множестве полубайтов (см. в табл. 1), строится инволютивная подстановка , заданная на множестве байтов (далее , ,…, − биты, образующие байт со значением ; полубайты и имеют значения и ; аналогично, , и − биты, образующие байты , и :

	w7		:=		0	0	1	0	1	0	0	0			z7
	w6				1	0	0	0	0	1	1	0			z6
	w5				0	0	0	1	0	1	0	0			z5
	w4				0	1	1	0	0	0	0	1			z4
	w3				1	0	0	1	0	1	0	0			z3
	w2				0	1	0	0	0	0	0	1			z2
	w1				0	0	1	0	1	0	0	1			z1
	w0				1	0	0	0	0	0	1	0			z0

На основе подстановки определяются подстановки :

,

где − циклический сдвиг байта влево на битовых позиций.

Таблица 1. Подстановки и

	0	1	2	3	4	5	6	7	8	9	a	b	c	d	e	f
	f	e	a	1	b	5	8	d	9	3	2	7	0	6	4	c
	b	a	d	7	8	e	0	5	f	6	3	4	1	9	2	c
	c	3	a	9	e	5	d	b	6	8	2	4	f	7	1	0
	6	c	e	a	b	7	9	3	4	d	1	0	f	2	5	8

2. Преобразования , или , определяются как к

,

где , , ; , , , .

Отметим, что , , .

3. Преобразование − обычное транспонирование матрицы . Очевидно, что .

Алгоритм зашифрования

Вход: Р – 128‑битовый (16‑байтовый) блок открытых данных в виде 4´4‑матрицы.

В алгоритме зашифрования используются раундовые подключи ke_0, ke_1,…, ke₁₂, представленные, как и блок Р, в виде 4´4‑матриц

С:=P;

С:=СÅС ke₀;

for r:=1 to 12 do {n:=(r-1) mod 2; t(p_n(γ_n(С))); С:=СÅke_r};

t(p₁(t(C))).

Выход: C – 128‑битовый блок шифртекста.

Замечание. Можно показать, что алгоритм зашифрования пригоден и для расшифрования, если последовательность раундовых подключей ke_i заменить на kd_i:

kd_i:=t(p_{i+1 mod 2}(t(ke_12-i))), i:=0,1,…,12.

Алгоритм расшифрования

Вход: C – 128‑битовый блок шифртекста в виде 4´4‑матрицы.

P:=C; t(p₁(t(Р)));

for r:=12 downto 1 do {P:=PÅke_r; γ_{r mod 2}(π_{r+1 mod 2}(τ(P)))};

P:=PÅke₀.

Выход: P – 128‑битовый блок открытых данных.

Вычисление раундовых подключей. Раундовые подключи ke₀, ke₁,…,ke₁₂ генерируются на основе 32‑байтового секретного ключа К=(k₀,k₁,…,k₃₁). Каждый раундовый ключ представлен 4´4‑матрицей; i-ая строка матрицы ke_r обозначается ke_ri, 0£i£3, 0£r£12. При вычислении значений ke_ri используются вспомогательные переменные u₀,u₁,u₂,u₃; v₀,v₁,v₂,v₃; e₀,e₁,…,e₇ и константы с₀,с₁,…,c₁₂; mс₀,mс₁,mc₂, mс₃. Каждая из них рассматривается либо как 4‑байтовый массив, либо как 32‑битовое число. Операции rol_n и rolb_n определяются следующим образом:

rol_n(X) – циклический сдвиг 32‑битового числа X влево на n битов;

rolb_n(X) – циклический сдвиг каждого байта в 4‑байтовом массиве X влево на n битов;

;

for i:=0 to 3 do {e_i:=u_iÅv₀Åv₁Åv₂Åv₃; e_i+4:=v_iÅu₀Åu₁Åu₂Åu₃};

c₀:=$a54ff53a;

for i:=1 to 12 do c_i:=(c_i-1+$3c6ef372) mod 2³²;

mc₀:=$acacacac;

for i:=0 to 3 do mc_i:=rolb₁(mc_i-1);

for i:=0 to 3 do {ke_0,i:=e_iÅc₀Åmc_i; ke_1i:=e_i+4Åc₁Åmc_i};

for r:=2 to 12 do {

if r нечетно then {

(e₄,e₅,e₆,e₇):=(rolb₂(e₇),rolb₂(e₄),rol₈(e₅),rol₁₆(e₆));

for i:=0 to 3 do ke_r,i:=e_i+4Åc_rÅmc_i;}

else {

(e₀,e₁,e₂,e₃):=(rol₂₄(e₁),rol₁₆(e₂),rolb₆(e₃),rolb₆(e₀));

for i:=0 to 3 do ke_r,i:=e_iÅc_rÅmc_i;}}.

Вафина

E2

Криптоалгоритм , разработанный в японской телефонной и телеграфной корпорации, шифрует 128‑битовые блоки открытых данных под управлением секретного ключа, длина которого может составлять , или битов.

По своей структуре шифр – классический шифр Фейстеля (см. рис.1). В алгоритме используются следующие преобразования:

– побитовое сложение по модулю блоков и одинаковой длины (в , или байтов).

В операциях и аргументы и результат – -байтовые блоки, представленные в виде массивов -битовых слов:

, , , .

Значения и вычисляются как

, , , , , .

Слова , , , рассматриваются в данном случае как неотрицательные целые ‑разрядные числа (в которых левый байт считается старшим).

Операция умножения () выполняется по модулю . Значения

и определяются как

( – число, обратное к относительно умножения по модулю , т.е. , если нечётное число). Отметим, что .

Функция от ‑байтового аргумента определяется как

.

Другими словами, – перестановка байтов в : в позицию перемещается байт из позиции , ,,,…,. Обратная функция возвращает к исходному значению: в позицию перемещается байт из позиции , ,,,…,, т.е.

.

Функция возвращает ‑байтовый аргумент , циклически сдвинутый на один байт влево:

.

Функция от ‑байтового аргумента возвращает 8-байтовое значение , где – подстановка на множестве байтов, являющаяся произведением двух подстановок:

,

.

В подстановке байты интерпретируются как элементы конечного поля , где (соответственно и операция возведения в степень выполняется в этом поле); в подстановке байты интерпретируются как целые числа (более точно: как элементы кольца ), а операции умножения и сложения выполняются по модулю . Значение определяется как

.

Подстановка также представлена в табл.1.

Функция от ‑байтового аргумента возвращает 8‑байтовое значение :

	y0		:=		0	1	1	1	1	1	1	0				x0
	y1				1	0	1	1	0	1	1	1				x1
	y2				1	1	0	1	1	0	1	1				x2
	y3				1	1	1	0	1	1	0	1				x3
	y4				1	1	0	1	1	1	0	0				x4
	y5				1	1	1	0	0	1	1	0				x5
	y6				0	1	1	1	0	0	1	1				x6
	y7				1	0	1	1	1	0	0	1				x7

т.е. y₀:=x₁x₂x₃x₄x₅x₆ и т.д. Значения можно последовательно вычислить как

y₇:=x₇x₃; y₆:=x₆x₂; y₅:=x₅x₁; y₄:=x₄x₀;

y₃:=x₃x₅; y₂:=x₂x₄; y₁:=x₁x₇; y₀:=x₀x₆;

y₇:=y₇y₂; y₆:=y₆y₁; y₅:=y₅y₀; y₄:=y₄y₃;

y₃:=y₃y₇; y₇:=y₂y₆; y₁:=y₁y₅; y₀:=y₀y₄.

Раундовая функция , зависящая от ‑байтового аргумента и 16‑байтового аргумента , определяется как:

,

где и – левая и правая половины .

Вычисление раундовых подключей. В алгоритме используются шестнадцать ‑байтовых раундовых подключей , ,…, , формируемых на основе секретного ключа К с использованием функции от ‑байтового аргумента и ‑байтового аргумента , возвращающей вектор с ‑байтовыми компонентами и и ‑байтовым компонентом .

Представим , и в виде массивов ‑байтовых подблоков , и :

, , ;

Тогда значения , и , возвращаемые функцией , вычисляются следующим образом:

for i:=0 to 3 do Y_i:=P(S(X_i));

L₀:=Y₀P(S(U));

for i:=0 to 3 do L_i:=P(S(L_i-1));

V:=L₃.

Предполагается, что секретный ключ имеет длину в битов и представлен в виде четырёх ‑байтовых подблоков, т.е. . Если – ‑битовый ключ, то его расширяют, полагая , , где – ‑байтовая константа (−левый байт); если – ‑битовый ключ, то полагают .

В алгоритме формирования ‑байтовых раундовых подключей используется массив , с ‑байтовыми компонентами :

U:=g; (L,Y,U):=G(K,U); p:=0;

for i:=0 to 7 do

{(L,Y,U):=G(Y,U); (q_4i,q_4i+1,q_4i+2,q_4i+3):=L};

for i:=0 to 7 do

Алгоритм зашифрования

Вход: – -битовый блок открытых данных, представленный в виде конкатенации ‑байтовых подблоков и .

1. (Начальное преобразование.)

M:=BP((Mk₁₃)k₁₄);

1. (12 раундов шифрования по схеме Фейстеля.)

for i:=1 to 11 do {L:=LF(R,k_i); L↔R};

L:=LF(R,k₁₂);

2. (Заключительное преобразование.)

C:=(BP^-1(M)k₁₅)k₁₆.

Выход: – -битовый блок шифртекста.

Алгоритм расшифрования

Для расшифрования используется тот же алгоритм, что и для зашифрования, но последовательность раундовых подключей ,, …,,,,,преобразуется к виду:,, …,,,,,.

Таблица 1. Подстановка S в E2

225	66	62	129	78	23	158	253	180	63	44	218	49	30	224	65
204	243	130	125	124	18	142	187	228	88	21	213	111	233	76	75
53	123	90	154	144	69	188	248	121	214	27	136	2	171	207	100
9	12	240	1	164	176	246	147	67	99	134	220	17	165	131	139
201	208	25	149	106	161	92	36	110	80	33	128	47	231	83	15
145	34	4	237	166	72	73	103	236	247	192	57	206	242	45	190
93	28	227	135	7	13	122	244	251	50	245	140	219	143	37	150
168	234	205	51	101	84	6	141	137	10	94	217	22	14	113	108
11	255	96	210	46	211	200	85	194	35	183	116	226	155	223	119
43	185	60	98	19	229	148	52	177	39	132	159	215	81	0	97
173	133	115	3	8	64	239	104	254	151	31	222	175	102	232	184
174	189	179	235	198	107	71	169	216	167	114	238	29	126	170	182
117	203	212	48	105	32	127	55	91	157	120	163	241	118	250	5
61	58	68	87	59	202	199	138	24	70	156	191	186	56	86	26
146	77	38	41	162	152	16	153	112	160	197	40	193	109	20	172
249	95	79	196	195	209	252	221	178	89	230	181	54	82	74	42

Гафаров

IDEA

Криптоалгоритм IDEA (International Data Encryption Algorithm), авторами которого являются сотрудники Швейцарского федерального института технологий Xuejia Lai и James Massey, шифрует 64‑битовые блоки открытых данных под управлением 128-битового секретного ключа.

IDEA не является шифром Фейстеля, но это симметричный шифр: алгоритм расшифрования идентичен алгоритму зашифрования (после определенного преобразования раундовых подключей). Общая схема алгоритма, состоящего из 8 раундов шифрования, представлена на рис.1. Основная идея конструкции – смешивание операций различных алгебраических групп.

В алгоритме используются операции над 16-битовыми подблоками (неотрицательными целыми числами) А и В:

АÅВ – побитовое сложение по модулю 2;

А+В – сложение по модулю 2¹⁶;

А·В – умножение по модулю 2¹⁶+1;

Замечание. При выполнении операции умножения нулевой блок отождествляется с числом 2¹⁶. Таким образом, операция умножения – это умножение в мультипликативной группе Z^*₂₁₆₊₁={1,2,…,2¹⁶} целых чисел по модулю 2¹⁶+1, а операция сложения – это сложение в аддитивной группе Z₂₁₆={0,1,…,2¹⁶-1} целых чисел по модулю 2¹⁶. Обозначим через элемент, обратный к Х относительно сложения, а черезY^-1 – элемент, обратный к Y относительно умножения по модулю 2¹⁶+1:

Х+=0,Y·Y^-1=1.

Отметим, что

=		0, если Х=0;
		(216-1)-(Х-1), если Х¹0,

или =not (Х-1), где not a – побитовое отрицание а. Значение Y^-1 можно вычислить, используя следующее соотношение, вытекающее из Малой теоремы Ферма:

Y^-1= Y^216-1 mod 2¹⁶+1.

Отметим также, что а·0=0·а=not (a+2) mod 2¹⁶; если a,b>0, то

а·b=		(ab mod 216)-(ab div 216), если ab mod 216³ab div 216;
		(ab mod 216)+216+1-(ab div 216), если ab mod 216<ab div 216.

В алгоритме используются следующие преобразования над 64‑битовым блоком М=(М₁,М₂,М₃,М₄), представленным в виде четырех 16‑битовых подблоков М₁, М₂, М₃ и М₄, под управлением 16‑битовых ключей Q₁,…,Q₆ (далее X₁, X₂, Y₁, Y₂, Z₁, Z₂ – вспомогательные 16‑битовые переменные):

E₁(M,Q₁,Q₂,Q₃,Q₄)º{M:=(M₁·Q₁,M₂+Q₂,M₃+Q₃,M₄·Q₄)};

E₂(M,Q₅,Q₆)º{X₁:=M₁ÅM₃; X₂:=M₂ÅM₄;

Y₁:=X₁·Q₅; Y₂:=X₂+X₁·Q₅);

Z₁:=Y₂·Q₆; Z₂:=Y₁+Y₂·Q₆);

M:=MÅ(Z₁,Z₂,Z₁,Z₂); M₂«M₃}.

Обратные преобразования, возвращающие блок М к исходному значению, имеют следующий вид:

Е₁^-1(М,Q₁,Q₂,Q₃,Q₄)ºE₁(M,Q₁^-1,,,Q₄^-1);

E₂^-1(M,Q₅,Q₆)º{X₁:=M₁ÅM₂;X₂:=M₃ÅM₄;

Y₁:=X₁·Q₅; Y₂:=X₂+(X₁·Q₅);

Z₁:=Y₂·Q₆; Z₂:=Y₁+(Y₂·Q₆);

M₂«M₃; M:=MÅ(Z₁,Z₂,Z₁,Z₂)}.

Отметим, что E₂^-1(M,Q₅,Q₆)º{M₂«M₃;E₂(M,Q₅,Q₆); M₂«M₃}.

В алгоритме зашифрования (расшифрования) используются 52 раундовых подключей k₁,…,k₅₂, формируемых на основе 128‑битового секретного ключа К: k₁ равен первым (наиболее значимым) 16 битам ключа K, k₂ – следующим 16 битам, k₈ – последним 16 битам; затем ключ K циклически сдвигается влево на 25 битов и создаются восемь следующих подключей – k₉ ,…, k₁₆. Эта процедура повторяется, пока не будут получены все 52 подключа.