TE

Kommentarer:

• v - kildetekst, bestående af to dele af 32 bit
• k er en nøgle bestående af fire 32-bit dele

Ændringer fra original kode:

• typen uint32_t bruges på grund af det faktum, at den altid er 32 bit i størrelse, i modsætning til long (til stede i den originale kode), som kan indeholde 64 bit (for eksempel på nogle 64-bit systemer)
• kildekoden bruger ikke const-typen
• redundante parenteser i udtrykkene for v0 og v1 er udeladt i kildekoden, i denne modifikation er de efterladt for større klarhed

Krypteringsanalyse

Det antages, at denne algoritme giver sikkerhed, der kan sammenlignes med IDEA- krypteringsalgoritmen , da den bruger den samme idé om at bruge operationer fra ortogonale algebraiske grupper . [1] Denne tilgang giver fremragende beskyttelse mod lineære kryptoanalyseteknikker .

Relaterede nøgleangreb

Algoritmen er mest sårbar over for relaterede -key- angreb på grund af den simple nøgleplanlægning ( inklusive manglen på en nøgleplanlægningsalgoritme som sådan). Der er mindst tre kendte angreb af denne type, de blev præsenteret i arbejde af John Kelsey ( John Kelsea ), Bruce Schneier ( Bruce Schneier ) og David Wagner ( David Wagner ) i 1997 [6] . Den simpleste af dem giver en differentialrespons med en sandsynlighed på 2 −32 efter 32 cyklusser af algoritmen, så der kræves mindst 2 34 valgte klartekster for at finde differentialresponsen med en sandsynlighed på 1 og bestemme alle bits af nøglen. Et mere komplekst angreb, som kombinerer ideerne fra Eli Bihams " linked key attack " [7] og et differentielt angreb , giver et differentielt svar med en sandsynlighed på 2 −11 , kræver kun 2 23 valgte klartekster og en tid på ca. 2 32 krypteringstider (det vil sige, det kræver antallet af bitoperationer i størrelsesordenen 2 32 ).  

Differentiel kryptoanalyse

TEA har vist sig at være ret robust over for differentiel kryptoanalyse . Et 10-runders TEA-angreb kræver 2 52,5 valgte klartekster og har en tidskompleksitet på 2 84 [8] . Det bedste resultat er kryptoanalyse af 17 runder TEA [9] . Dette angreb kræver kun 1920 valgte klartekster, men har en tidskompleksitet på 2123,37 .

Tilsvarende nøgler

Et andet problem med TEA-algoritmen er eksistensen af ​​tilsvarende nøgler. Det har vist sig, at hver nøgle har tre ækvivalenter [4] . Dette betyder, at den effektive nøglelængde kun er 126 bits i stedet for de 128, som udviklerne har tiltænkt, så TEA er ikke ønskeligt at bruge som en hash-funktion , hvilket blev afspejlet i Andrew Huangs bog " Hacking the Xbox: an introduction to reverse engineering" ("Hacking the Xbox: An Introduction to Reverse Engineering") ved at bruge eksemplet med at hacke Microsoft Xbox -spillekonsollen .

Tabel over tilsvarende nøgler:

K[0]	K[1]	K[2]	K[3]
K[0]	K[1]	K[2] 80000000 timer	K[3] 80000000 timer
K[0 ] 80000000h	K[1] 80000000 t	K[2]	K[3]
K[0 ] 80000000h	K[1] 80000000 t	K[2] 80000000 timer	K[3] 80000000 timer

Algoritmeudvidelser

Opdagelsen af ​​en række alvorlige sårbarheder og svagheder i den originale TEA-algoritme førte til den hurtige oprettelse af dens udvidelser. De vigtigste forskelle ved alle disse algoritmer er et forbedret nøgleskema, nøglens dynamiske afhængighed af teksten, samt en anden nøglestørrelse, inputblok og/eller antallet af runder af Feistel-netværket.

XTEA har en blokstørrelse på 64 bit, en nøglestørrelse på 128 bit og en Feistel netværksrunde på 64. Algoritmen blev udviklet af David Wheeler og Roger Needham og udgivet i 1997 . Den største forskel fra den originale TEA-algoritme er tilstedeværelsen af ​​en nøgleplanlægningsalgoritme, som gjorde det muligt at eliminere en kritisk sårbarhed for "angreb på relaterede nøgler", men førte til en forringelse af modstanden mod differentiel kryptoanalyse [9] . Der er tre modifikationer af denne algoritme udviklet af Tom Denis [10] : XTEA-1 (blokstørrelse - 64 bit, nøglestørrelse - 128 bit, antal Feistel netværksrunder - 32), XTEA-2 (blokstørrelse - 128 bit , nøglestørrelse 128 bit, antal Feistel netværksrunder 64) og XTEA-3 (blokstørrelse 128 bit, nøglestørrelse 256 bit, antal Feistel netværksrunder 64).

I 1998 blev den næste udvidelse af algoritmen offentliggjort, kaldet XXTEA . Nøglens størrelse er 128 bit. Et karakteristisk træk er evnen til at kryptere alle blokke, der er et multiplum af 64 bit, antallet af runder er 52 + 6 * (antallet af 32-bit ord i en blok) eller 52 + 12 * M med en bloklængde på 64 * M bit. Den praktiske effektivitet af et anonymt offentliggjort differentielt angreb er ikke blevet bevist [11] .

Der er også en alternativ modifikation af TEA-algoritmen, kaldet RTEA , udviklet i 2007 af Marcos el Ruptor . Blokstørrelse - 64 bit; for en 128-bit nøgle er antallet af runder af Feistel-netværket 48, for en 256-bit nøgle er det 64. Ifølge udviklerne er denne algoritme dog mere produktiv og mere modstandsdygtig over for kryptoanalyse [12] end XTEA , har denne algoritme allerede et "angreb på relaterede nøgler" [13] .

Ved at bruge genetiske programmeringsmekanismer i 2006 skabte et team af udviklere ledet af Julio Castro ( eng.  Julio César Hernández Castro ) Raiden - algoritmen , designet til at eliminere sårbarhederne i TEA-chifferet. Den gentager næsten nøjagtigt strukturen af ​​TEA-algoritmen, bortset fra at Raiden- algoritmen har en udvidet nøgleplanlægningsalgoritme. Standardantallet af runder af Feistel-netværket er 32 (16 cykler). Raiden bruger et PRNG-lignende nøgleskema, transformerer nøglen og genererer undernøgler for hver runde. Chifferen består succesfuldt Diehard , Sexton og ØNH -testene [14] .