AES (krypteringsstandard)

AddRoundKey RoundKeyKombinerar med State i varje omgångsprocedur . För varje omgång Roundkey erhålls från CipherKeyc med hjälp av proceduren KeyExpansion; varje RoundKey har samma storlek som staten. Proceduren utför en bitvis XOR för varje byte Statemed varje byte RoundKey.

Nyckelbearbetningsalgoritm

Nyckelbearbetningsalgoritmen består av två procedurer:

• Round Key Generation Algoritm (Key Expansion Algorithm)
• Algoritm för att välja en rund nyckel (iterationsnyckel)

Algoritm för att generera runda nycklar

AES-algoritmen, som använder KeyExpansion()-proceduren och matar den med Cipher Key, K, erhåller nycklarna för alla omgångar. Det finns Nb*(Nr + 1) ord totalt: initialt behöver algoritmen en uppsättning Nb-ord, och var och en av Nr-omgångarna behöver Nb-nyckeldatauppsättningar. Den resulterande uppsättningen av nycklar för rundor betecknas som , . KeyExpansion()-algoritmen visas i pseudokoden nedan.

Funktionen SubWord() tar ett inmatningsord på fyra byte och tillämpar en S-box på var och en av de fyra byten. Det som hände matas till utgången. RotWord() tar ett ord som indata , som det bläddrar igenom och returnerar . Arrayen av ord som är konstant för denna omgång, , innehåller värdena på , där x = {02}, och är en potens av ( börjar från 1).

Från figuren kan du se att de första orden i den utökade nyckeln är fyllda med Chiffernyckel. I varje efterföljande ord, , sätts värdet som erhållits under XOR-operationen och , de XOR för de föregående och Nk-positionerna före orden. För ord vars position är en multipel av Nk, tillämpas en transformation på w[i-1] före XOR, följt av en XOR med den runda konstanten Rcon[i]. Ovanstående transformation består av en cirkulär förskjutning av byte i ett ord (RotWord()) följt av en SubWord()-procedur - samma som SubBytes(), endast in- och utdata kommer att ha ordstorlek.

Det är viktigt att notera att KeyExpansion()-proceduren för en 256-bitars chiffernyckel skiljer sig något från de för 128-bitars och 192-bitars chiffernycklar. Om och är en multipel av , så tillämpas SubWord() på före XOR'a.

Pseudokod för nyckelexpansion

Dekryptering

Pseudokod för invers chiffer

Algoritm för val av runda nyckel

Vid varje iteration väljs den runda nyckeln för AddRoundKey- operationen från arrayen , med början från element till .

Varianter av algoritmen

Baserat på Rijndael-algoritmen som ligger bakom AES, implementeras alternativa kryptoalgoritmer. Bland de mest kända är deltagarna i Nessie : Anubis- tävlingen om involutioner, författad av Vincent Rayman och en förbättrad version av chiffern - Grand Cru av Johan Borst.

Säkerhet

I juni 2003 fastställde USA :s nationella säkerhetsbyrå att AES var tillräckligt stark för att användas för att skydda sekretessbelagd information .  Upp till HEMLIG-nivån var det tillåtet att använda nycklar på 128 bitar, för TOP SECRET-nivån krävdes nycklar på 192 och 256 bitar [7] .

XSL-attack

Till skillnad från de flesta andra chiffer har AES en enkel matematisk beskrivning. Detta oroade bland annat Niels Ferguson , som i sitt arbete noterade att säkerheten för ett chiffer är baserat på ett nytt oprövat antagande om komplexiteten i att lösa vissa typer av ekvationer ( engelska  "The security of Rijndael beror på ett nytt och oprövat hårdhetsantagande : det är beräkningsmässigt omöjligt att lösa ekvationer av denna typ" ) [8] [9] , liksom Bruce Schneier, som skrev i en gemensam bok med Nils:

Vi har en kritik mot AES: vi litar inte riktigt på dess säkerhet. Det som oroar oss mest med AES är dess enkla algebraiska struktur... Inget annat blockchiffer har en så enkel algebraisk representation. Vi har ingen aning om detta leder till en attack eller inte, men att inte veta detta är skäl nog att vara skeptisk till att använda AES.

Nicolas Courtois och Josef  Pieprzyk publiceradeen artikel 2002 där de beskrev en teoretisk attack som de kallade XSL- attacken ( eXtended Sparse Linearization ), som kunde tillåta att bryta AES-chiffer och Serpent [10] [11] . Men resultatet av arbetet accepterades inte optimistiskt av alla:   

Jag tror att det finns ett fel i Courtois-Pepshiks arbete. De överskattade antalet linjärt oberoende ekvationer. Som ett resultat har de inte tillräckligt med linjära ekvationer för att lösa systemet, och den [specificerade] metoden kan inte knäcka Rijndael. Det har vissa förtjänster och är värt att utforska, men det hackar inte Rijndael i sin nuvarande form.

På sidan tillägnad diskussionen om NESSIE- tävlingen , i slutet av 2002, uttalade en av författarna till chiffret, Vincent Rayman, att XSL-attacken bara är en dröm ( engelska  XSL-attacken är inte en attack. Det är en dröm ) (denna synpunkt upprepades senare 2004 vid den fjärde AES-konferensen i Bonn ). Till detta svarade Courtois att denna dröm skulle kunna bli en mardröm för författaren till AES ( engelska  It may also be a very bad dream and turn into a nightmare ) [12] (lek med ord: dröm översätts både som en dröm och som en dröm. dröm . Mardröm översätts som mardröm, mardröm ).

2003 publicerade Sean Murphy och Matt Robshaw ett  dokument där ( förutsatt att resultaten från Courtois och Pepshik är korrekta) motiverade möjligheten att attackera AES-algoritmen, vilket minskade antalet operationer för cracking från 2128 till 2100 . Men vid den 4:e AES-konferensen visade Ilia Toli och Alberto Zanoni att Murphy och Robshaws arbete var felaktigt [ 13] . Senare, 2007, visade Chu-Wee Lim och Khoongming Khoo också att denna attack inte kan fungera som beskrivits [14 ] .    

Sidokanalattack

Sidokanalattacker är inte relaterade till chifferets matematiska egenskaper, utan använder vissa implementeringsfunktioner i system som använder dessa chiffer för att avslöja delvis eller helt hemlig data, inklusive nyckeln. Det finns flera liknande attacker på system som använder AES-algoritmen.

I april 2005 publicerade Daniel J. Bernstein en  artikel som beskrev en attack som använder information om exekveringstiden för varje krypteringsoperation för att knäcka [15] . Denna attack krävde över 200 miljoner utvalda chiffertexter för att hitta nyckeln [16] .

I oktober 2005 presenterade Doug Arne Osvik, Adi Shamir och Eran Trumer ett dokument som beskrev flera attacker som använder tid för att hitta en nyckel. En av de presenterade attackerna fick nyckeln efter 800 krypteringsoperationer. Attacken krävde att kryptoanalytikern kunde köra program på samma system där krypteringen utfördes [17] .

I december 2009 publicerades ett dokument där användningen av differentiell felanalys ( eng.  Differential Fault Analysis ), artificiellt skapad i tillståndsmatrisen vid den 8:e omgången av kryptering, gjorde det möjligt att återställa nyckeln i 2 32 operationer [18 ] .

Se även

• Testa algoritmer som deltog i AES-tävlingen
• TKIP
• WPA
• CCMP

Anteckningar

1. ↑ Chekanovs laboratorium. Intel Core i5 (Clarkdale): Analys av AES-krypteringshårdvaruacceleration . THG (19 januari 2010). - "den mest populära standarden för symmetrisk kryptering i IT-världen." Hämtad 14 november 2010. Arkiverad från originalet 26 februari 2012. (ryska)
2. ↑ Biryukov, Alex och Khovratovich, Dmitry. Related-key Cryptanalysis of the Full AES-192 and AES-256  (engelska)  // Advances in Cryptology - ASIACRYPT 2009. - Springer Berlin / Heidelberg, 2009. - Vol. 5912 . - S. 1-18 . - doi : 10.1007/978-3-642-10366-7_1 . Arkiverad från originalet den 18 december 2010.
3. ↑ Arkiverad kopia (länk ej tillgänglig) . Hämtad 7 december 2006. Arkiverad från originalet 6 november 2006. (obestämd) 
4. ↑ NIST-felsida arkiverad 28 september 2010.
5. ↑ Bounce to index.html Arkiverad 17 juli 2014.
6. ↑ http://csrc.nist.gov/publications/fips/fips197/fips-197.pdf Arkiverad 7 april 2015 på Wayback Machine "5.1.3 MixColumns() Transformation .. Kolumnerna betraktas som polynom över GF( 2^8) och multiplicerat modulo x^4 + 1 med ett fast polynom a(x), givet av a(x) = {03}x³ + {01}x² + {01}x + {02}."
7. ↑ Nationell policy för användningen av Advanced Encryption Standard (AES) för att skydda nationella säkerhetssystem och nationell säkerhetsinformation  . Kommittén för nationella säkerhetssystem (juni 2003). Datum för åtkomst: 27 oktober 2010. Arkiverad från originalet den 19 februari 2012.
8. ↑ James McLaughlin. XSL-kontroversen // En undersökning av blockchifferkrypteringstekniker . — skriva ut. - York: University of York, 2009.  (otillgänglig länk)
9. ↑ Niels Ferguson, Richard Schroeppel och Doug Whiting. En enkel algebraisk representation av Rijndael  //  Selected Areas in Cryptography, Proc. SAC 2001, föreläsningsanteckningar i datavetenskap #2259. - Springer Verlag, 2001. - S. 103-111 . Arkiverad från originalet den 16 januari 2016.
10. ↑ Bruce Schneier. Crypto-Gram  nyhetsbrev . Schneier om säkerhet (15 september 2002). Datum för åtkomst: 27 oktober 2010. Arkiverad från originalet den 19 februari 2012.
11. ↑ Nicolas Courtois, Josef Pieprzyk. Krypteringsanalys av blockchiffer med överdefinierade ekvationssystem  //  Framsteg inom kryptologi - ASIACRYPT 2002 8:e internationella konferensen om teoritillämpning av kryptologi och informationssäkerhet Queenstown, Nya Zeeland, 1-5 december 2002 Proceedings. Föreläsningsanteckningar i datavetenskap (2501). - Springer, 2002. - S. 267-287 . - doi : 10.1007/3-540-36178-2 . Arkiverad 26 oktober 2020.
12. ↑ NESSIE diskussionsforum
13. ↑ Ilia Toli, Alberto Zanoni. En algebraisk tolkning av AES-128   // Proc . från AES-konferensen. - 2005. - Vol. 2005 . - S. 84-97 . - doi : 10.1007/11506447_8 .  (inte tillgänglig länk)
14. ↑ Chu-wee Lim, Khoongming Khoo. En analys av XSL tillämpad på BES  //  Snabb mjukvarukryptering. - Heidelberg: Springer Berlin / Heidelberg, 2007. - Vol. 4593 . - S. 242-253 . - doi : 10.1007/978-3-540-74619-5_16 .  (inte tillgänglig länk)
15. ↑ Daniel J. Bernstein. Cache-timing attacker på  AES . - 2004. Arkiverad 17 september 2008.
16. ↑ Bruce Schneier. AES Timing  Attack . Schneier om säkerhet (17 maj 2005). Datum för åtkomst: 27 oktober 2010. Arkiverad från originalet den 19 februari 2012.
17. ↑ Dag Arne Osvik; Adi Shamir och Eran Tromer. Cache-attacker och motåtgärder: fallet med AES  // Ämnen i kryptologi - CT-RSA 2006, The Cryptographers' Track at the RSA Conference. - Springer-Verlag, 2005. - S. 1-20. Arkiverad 25 november 2020.
18. ↑ Dhiman Saha, Debdeep Mukhopadhyay, Dipanwita Roy Chowdhury. En diagonal felattack på Advanced Encryption Standard   // Cryptology ePrint Archive . - 2009. Arkiverad den 6 augusti 2020.

Litteratur

• Federal Information Processing Standards Publication 197 26 november 2001 Specifikation för ADVANCED ENCRYPTION STANDARD (AES) Arkiverad 7 april 2015 på Wayback Machine 
• Barichev S.G. , Goncharov V.V. , Serov R.E. 2.4.2. AES standard. Algoritm Rijdael // Fundamentals of modern cryptography - 3rd ed. - M . : Dialog-MEPhI , 2011. - S. 30-35. — 176 sid. — ISBN 978-5-9912-0182-7

Länkar

• Detaljerad animation om implementering och design av AES
• Om AES-antagandeprocessen Arkiverad 22 januari 2008 på Wayback Machine
• Jeff Moser. En stickfigursguide till Advanced Encryption Standard (AES)  (engelska) (22 september 2009). Hämtad 22 november 2010. Arkiverad från originalet 19 februari 2012.  - AES i bilder (rysk översättning Arkiverad23 juni 2013 påWayback Machine)

Ordböcker och uppslagsverk	Britannica (online)