GOST 28147-89

GOST 28147-89 " Informationsbehandlingssystem. Kryptografiskt skydd. Kryptografisk konverteringsalgoritm "- föråldrad (se användningskronologi ) statlig standard för Sovjetunionen (och senare mellanstatlig standard för CIS ), som beskriver den symmetriska blockkrypteringsalgoritmen och dess funktionssätt .

Det är ett exempel på DES- liknande kryptosystem skapade enligt det klassiska Feistel iterativa schemat .

Historien om skapandet av chiffret och kriterierna för utvecklarna presenterades först offentligt 2014 av chefen för gruppen av utvecklare av algoritmen Zabotin Ivan Alexandrovich vid en föreläsning tillägnad 25-årsdagen av antagandet av den ryska standarden för symmetrisk kryptering [1] [2] .

Arbetet med algoritmen, som senare utgjorde grunden för standarden, började som en del av Magma-temat (skydd av information med kryptografiska metoder i datorer i Unified System-serien ) på uppdrag av Scientific and Technical Council of the Eightth Main Directorate of KGB i USSR (nu i strukturen av FSB ), i mars 1978 efter en lång förstudie av DES- standarden publicerad 1976 . Faktum är att arbetet med att skapa en algoritm (eller grupp av algoritmer) som liknar DES- algoritmen började redan 1976 .

Till en början märktes verken " Tophemlig ". Sedan nedgraderades de till stämpeln " hemlig ". 1983 nedgraderades algoritmen till " Restricted ". Det var med sista märket som algoritmen förbereddes för publicering 1989 . Den 9 mars 1987 fick en grupp kryptografer (sökande - militär enhet 43753) ett copyrightcertifikat med prioritetsnummer 333297 för en uppfinning för en krypteringsenhet som använder Magma-2-algoritmen [3] .

Kronologi för användning

Godkänd av dekretet av USSR:s statliga standard nr 1409 av den 2 juni 1989 , trädde i kraft den 1 juli 1990 [4] .

Den 31 mars 1996 återutgavs den och sattes i kraft som en mellanstatlig standard för CIS [5] .

Genom dekretet av Republiken Vitrysslands statliga standard nr 3 av den 17 december 1992 trädde den i kraft som den statliga standarden för Republiken Vitryssland . Återutgiven i mars 2011 [6] .

Genom order från Ukrainas statliga konsumentstandarder nr 495 av den 22 januari 2008, återutgavs GOST 28147-89 på Ukrainas territorium och trädde i kraft den 1 februari 2009 under namnet DSTU GOST 28147:2009 [ 7] . Enligt gällande beställningar kommer DSTU GOST 28147:2009 att gälla till 1 januari 2022 [8] . Det sker en gradvis ersättning med DSTU 7624:2014 ( kod "Kalina").

Standarden har avbrutits på Rysslands och OSS territorium sedan 31 maj 2019 på grund av antagandet av nya mellanstatliga standarder som helt ersätter den GOST 34.12-2018 (beskriver Magma och Grasshopper chiffer ) och GOST 34.13-2018 (beskriver funktionssätt för blockchiffer ).

Enligt FSB- meddelandet om förfarandet för användning av GOST 28147-89 blockkrypteringsalgoritm, bör kryptografiska informationsskyddsverktyg utformade för att skydda information som inte innehåller information som utgör en statshemlighet , inklusive de som implementerar GOST 28147-89- algoritmen , inte utvecklad efter 1 juni 2019 , förutom när GOST 28147-89-algoritmen i sådana verktyg är utformad för att säkerställa kompatibilitet med befintliga verktyg som implementerar denna algoritm [9] .

Magma

År 2015, tillsammans med den nya " Gräshoppan " -algoritmen, publicerades en variant av GOST 28147-89-algoritmen under namnet " Magma " som en del av GOST R 34.12-2015-standarden , och senare som en del av GOST 34.12-2018 standard . 2020 publicerades Magma - algoritmen som RFC 8891 .

Egenheter:

• använd fast ersättningsnod id-tc26-gost-28147-param-Z ;
• nyckelvärdet läses som ett enda litet- endian heltal (i motsats till little-endian som används i GOST 28147-89), vilket resulterar i andra runda nycklar;
• krypterad data läses också som ett litet endian heltal (i motsats till little endian som används i GOST 28147-89).

Beskrivning av chiffret

GOST 28147-89 är ett blockchiffer med en 256- bitars nyckel och 32 omgångar (kallade rundor) av transformation, som arbetar på 64-bitars block. Basen för chifferalgoritmen är Feistel -nätverket .

Det finns fyra driftlägen GOST 28147-89:

• enkel byte
• skalning
• feedback skalning
• imitationsinsättningsgenereringsläge . _

Funktionssätt

Enkelt byteläge

För att kryptera i detta läge delas först ett 64-bitars klartextblock i två halvor: To = ( A 0 , B 0 ) [10] . På den i :e cykeln används undernyckeln X i :

För att generera undernycklar delas den ursprungliga 256-bitarsnyckeln i åtta 32-bitars nummer: K 0 ... K 7 .

Undertangenterna X 0 ... X 23 är den cykliska upprepningen av K 0 ... K 7 . Pluggar X 24 ... X 31 är K 7 ... K 0 .

Resultatet av alla 32 omgångar av algoritmen är ett 64-bitars chiffertextblock : Tw = ( A 32 , B 32 ) .

Dekryptering utförs enligt samma algoritm som kryptering, med ändringen att ordningen på undernycklar inverteras: X 0 ... X 7 är K 7 ... K 0 , och X 8 ... X 31 är cyklisk upprepning av K 7 ... K 0 .

I indata och utdata representeras 32-bitars tal i ordning från den minst signifikanta biten till den mest signifikanta ( liten endian ).

Funktionen beräknas så här:

Ai och Xi läggs till modulo 2 32 .

Resultatet är uppdelat i åtta 4-bitars undersekvenser, som var och en matas till ingången till dess substitutionstabellnod (i stigande ordning efter bitföreträde), kallad S-box nedan . Det totala antalet S-boxar i standarden är åtta, vilket är samma som antalet delsekvenser. Varje S-box är en permutation av siffror från 0 till 15 (den specifika formen av S-boxar är inte definierad i standarden). Den första 4-bitars undersekvensen är ingången till den första S-boxen, den andra är ingången till den andra, och så vidare.

Om S-box- noden ser ut så här:

1, 15, 13, 0, 5, 7, 10, 4, 9, 2, 3, 14, 6, 11, 8, 12

och S-boxens ingång är 0, då blir utgången 1; om ingången är 4, kommer utsignalen att vara 5; om ingången är 12 så är utgången 6 osv.

Utgångarna från alla åtta S-boxarna kombineras till ett 32-bitars ord, sedan roteras hela ordet åt vänster (hög ordning) med 11 bitar.

Enkelt ersättningsläge har följande nackdelar:

• Kan endast användas för att kryptera oformaterad text med en längd som är en multipel av 64 bitar [11]
• Kryptering av identiska block av klartext resulterar i identiska block av chiffertext, vilket kan ge viss information till en kryptoanalytiker.

Således är användningen av GOST 28147-89 i det enkla ersättningsläget endast önskvärt för kryptering av nyckeldata [11] .

Hasardspel

När GOST 28147-89 fungerar i gammaläget bildas ett kryptografiskt gamma på det sätt som beskrivs ovan, som sedan läggs till bit för bit modulo 2 med den ursprungliga klartexten för att erhålla en chiffertext . Kryptering i gammaläge saknar nackdelarna med det enkla ersättningsläget [11] . Så även identiska block av källtexten ger en annan chiffertext, och för texter med en längd som inte är en multipel av 64 bitar, kasseras de "extra" gammabitarna. Dessutom kan gamma genereras i förväg, vilket motsvarar chifferens funktion i ett streamingläge.

Gamma genereras baserat på nyckeln och det så kallade synkroniseringsmeddelandet, som ställer in det initiala tillståndet för generatorn. Genereringsalgoritmen är som följer:

1. Synkroniseringsmeddelandet krypteras med den beskrivna enkla ersättningsalgoritmen, de erhållna värdena skrivs till de extra 32-bitarsregistren N 3 och N 4  - de minst signifikanta respektive mest signifikanta bitarna.
2. N 3 summeras modulo 2 32 med konstanten C 2 = 1010101 16
3. N 4 summeras modulo 2 32 −1 med konstanten C 1 = 1010104 16
4. N 3 och N 4 skrivs om till N 1 respektive N 2 , som sedan krypteras med den enkla ersättningsalgoritmen. Resultatet är 64 bitar av gamma.
5. Steg 2-4 upprepas beroende på längden på den krypterade texten.

För att dekryptera det måste du räkna ut samma gamma och sedan lägga till det bit för bit modulo 2 med chiffertexten. För detta måste du självklart använda samma synkmeddelande som för kryptering. I det här fallet, baserat på kraven på gammaens unikhet, är det omöjligt att använda ett synkroniseringsmeddelande för att kryptera flera datamatriser. Synkmeddelandet sänds som regel på ett eller annat sätt tillsammans med chiffertexten.

En egenskap hos GOST 28147-89 i gammaläget är att när en bit av chiffertexten ändras, ändras bara en bit av den dekrypterade texten. Å ena sidan kan detta ha en positiv effekt på bullerimmuniteten; å andra sidan kan en angripare göra vissa ändringar i texten utan att ens dechiffrera den [11] .

Feedback gamification

Krypteringsalgoritmen liknar gamma-läget, men gamma är baserat på föregående block med krypterad data, så krypteringsresultatet för det aktuella blocket beror också på de tidigare blocken. Av denna anledning hänvisas även detta driftsätt till som interlocking scaleing.

Krypteringsalgoritmen är följande:

1. Synkmeddelandet läggs in i registren Ni och N2 .
2. Innehållet i registren Ni och N2 är krypterade i enlighet med den enkla ersättningsalgoritmen. Resultatet är ett 64-bitars gammablock.
3. Gammablocket läggs bitvis till modulo 2 till klartextblocket. Den resulterande chiffertexten matas in i registren N 1 och N 2 .
4. Operationerna 2-3 utförs för de återstående textblocken som kräver kryptering.

När man ändrar en bit av chiffertexten som erhålls med hjälp av återkopplingsgammaalgoritmen, ändras endast en bit i motsvarande block av dekrypterad text, och det efterföljande blocket av klartext påverkas också. I detta fall förblir alla andra block oförändrade [11] .

När du använder det här läget, kom ihåg att synkroniseringsmeddelandet inte kan återanvändas (till exempel vid kryptering av logiskt separata informationsblock - nätverkspaket, hårddisksektorer, etc.). Detta beror på det faktum att det första blocket i chiffertexten erhålls genom endast modulo två-addition med det krypterade synkmeddelandet; sålunda tillåter kunskap om endast de första 8 byten av originalet och chiffertexten att man kan läsa de första 8 byten av vilken annan chiffertext som helst efter att ha återanvänt synkmeddelandet.

Läge för generering av simulerad infogning

Detta läge är inte ett krypteringsläge i konventionell mening. När man arbetar i infogningssimuleringsläget skapas ytterligare ett block som beror på hela texten och nyckeldata. Detta block används för att kontrollera att chiffertexten inte har manipulerats av misstag eller avsiktligt. Detta är särskilt viktigt för kryptering i gammaläge, där en angripare kan ändra specifika bitar utan att ens känna till nyckeln; men när man arbetar i andra moder kan sannolika distorsioner inte detekteras om det inte finns någon redundant information i den överförda datan.

Imitation genereras för M ≥ 2 klartextblock om 64 bitar. Algoritmen är följande:

1. Det öppna datablocket skrivs till registren Ni och N2 , varefter det genomgår en transformation motsvarande de första 16 krypteringscyklerna i den enkla ersättningsmoden.
2. Nästa block av öppna data adderas bit för bit modulo 2 till det erhållna resultatet. Det sista blocket är vadderat med nollor vid behov. Beloppet är också krypterat i enlighet med punkt 1.
3. Efter tillägg och kryptering av det sista blocket väljs en imitationsinsättning av längden L bitar från resultatet: från bitnummer 32 − L till 32 (räkningen börjar från 1). Standarden rekommenderar att man väljer L baserat på det faktum att sannolikheten för att lägga på falska data är 2 − L . Parodiet sänds över kommunikationskanalen efter de krypterade blocken.

För verifiering genomför den mottagande parten ett förfarande liknande det som beskrivs. Om resultatet inte matchar den godkända simuleringsinsättningen, anses alla motsvarande M-block vara falska.

Genereringen av en insättningsimitation kan utföras parallellt med kryptering med ett av de ovan beskrivna operationssätten [11] .

Ersättningsnoder (S-block)

Alla åtta S-boxar kan vara olika. Vissa tror att de kan vara ytterligare nyckelmaterial som ökar nyckelns effektiva längd; dock finns det praktiska attacker som gör att de kan fastställas [12] . Det finns dock inget behov av att öka nyckellängden, 256 bitar räcker för närvarande [13] . Vanligtvis är ersättningstabeller en långsiktig schemainställning som är gemensam för en specifik grupp användare.

Texten i GOST 28147-89-standarden indikerar att leveransen av fyllningsersättningsenheter (S-block) utförs på det föreskrivna sättet, det vill säga av algoritmutvecklaren.

Ersättningsnoder definierade av RFC 4357