GOST 28147-89

GOST 28147-89 “ Informationsbehandlingssystemer. Kryptografisk beskyttelse. Kryptografisk konverteringsalgoritme "- forældet (se brugskronologi ) statsstandard for USSR (og senere mellemstatsstandarden for CIS ), der beskriver den symmetriske blokkrypteringsalgoritme og dens funktionsmåder .

Det er et eksempel på DES - lignende kryptosystemer skabt efter det klassiske Feistel iterative skema .

Historien om oprettelsen af ​​chifferen og kriterierne for udviklerne blev først præsenteret offentligt i 2014 af lederen af ​​gruppen af ​​udviklere af algoritmen Zabotin Ivan Alexandrovich ved et foredrag dedikeret til 25-årsdagen for vedtagelsen af ​​den russiske standard for symmetrisk kryptering [1] [2] .

Arbejdet med algoritmen, som senere dannede grundlaget for standarden, begyndte som en del af Magma-temaet (beskyttelse af information ved kryptografiske metoder i computere i Unified System-serien ) på vegne af det videnskabelige og tekniske råd i det ottende hoveddirektorat for USSR's KGB (nu i FSB 's struktur ), i marts 1978 efter en længere foreløbig undersøgelse af DES- standarden offentliggjort i 1976 . Faktisk begyndte arbejdet med at skabe en algoritme (eller gruppe af algoritmer), der ligner DES -algoritmen , allerede i 1976 .

Oprindeligt blev værkerne mærket " Top Secret ". Så blev de nedgraderet til det " hemmelige " frimærke. I 1983 blev algoritmen nedgraderet til " Restricted ". Det var med det sidste mærke, at algoritmen blev klargjort til offentliggørelse i 1989 . Den 9. marts 1987 modtog en gruppe kryptografer (ansøger - militær enhed 43753) et ophavsretscertifikat med prioritet nr. 333297 for en opfindelse til en krypteringsenhed, der anvender Magma-2 algoritmen [3] .

Kronologi for brug

Godkendt ved dekret af USSRs statsstandard nr. 1409 af 2. juni 1989 , sat i kraft den 1. juli 1990 [4] .

Den 31. marts 1996 blev den genudgivet og sat i kraft som en mellemstatslig standard for CIS [5] .

Ved dekretet fra Republikken Belarus' statsstandard nr. 3 af 17. december 1992 blev det sat i kraft som statens standard for Republikken Belarus . Genudgivet i marts 2011 [6] .

Efter ordre fra Ukraines statsforbrugerstandarder nr. 495 af 22. januar 2008 blev GOST genudstedt på Ukraines territorium og trådte i kraft den 1. februar 2009 under navnet DSTU GOST 28147:2009 [ 7] . DSTU GOST 28147:2009 vil ifølge gældende påbud være gældende indtil 1. januar 2022 [8] . Der sker en gradvis udskiftning med DSTU 7624:2014 ( kode "Kalina").

Standarden er blevet annulleret på Ruslands og SNG -området siden 31. maj 2019 på grund af vedtagelsen af ​​nye mellemstatslige standarder , der fuldstændig erstatter den GOST 34.12-2018 ( beskriver Magma- og Grasshopper - cifrene ) og GOST 34.13-2018 (beskriver driftstilstande for blokcifre ).

Ifølge FSB - meddelelsen om proceduren for brug af GOST 28147-89 blokkrypteringsalgoritmen, bør kryptografiske informationsbeskyttelsesværktøjer designet til at beskytte information , der ikke indeholder oplysninger, der udgør en statshemmelighed , herunder dem, der implementerer GOST 28147-89- algoritmen , ikke udviklet efter 1. juni 2019 , undtagen når GOST 28147-89-algoritmen i sådanne værktøjer er designet til at sikre kompatibilitet med eksisterende værktøjer, der implementerer denne algoritme [9] .

Magma

I 2015, sammen med den nye " Grasshopper " -algoritme, blev en variant af GOST 28147-89-algoritmen offentliggjort under navnet " Magma " som en del af GOST R 34.12-2015-standarden og senere som en del af GOST 34.12-2018 standard . I 2020 blev Magma- algoritmen udgivet som RFC 8891 .

Ejendommeligheder:

• brug fast erstatningsknude id-tc26-gost-28147-param-Z ;
• nøgleværdien læses som et enkelt lille- endian - heltal (i modsætning til little-endian brugt i GOST 28147-89), hvilket resulterer i andre runde nøgler;
• krypterede data læses også som et lille endian heltal (i modsætning til little endian brugt i GOST 28147-89).

Beskrivelse af chifferen

GOST 28147-89 er en blokchiffer med en 256- bit nøgle og 32 runder (kaldet runder) af transformation, der opererer på 64-bit blokke. Grundlaget for chifferalgoritmen er Feistel -netværket .

Der er fire driftsformer GOST 28147-89:

• simpel udskiftning
• skalering
• feedback skalering
• imiteret indsættelsesgenereringstilstand .

Driftsmåder

Nem swap-tilstand

For at kryptere i denne tilstand opdeles en 64-bit klartekstblok først i to halvdele: To = ( A 0 , B 0 ) [10 ] . I den i -te cyklus bruges undernøglen X i :

For at generere undernøgler er den originale 256-bit nøgle opdelt i otte 32-bit tal: K 0 ... K 7 .

Undertasterne X 0 ... X 23 er den cykliske gentagelse af K 0 ... K 7 . Stik X 24 ... X 31 er K 7 ... K 0 .

Resultatet af alle 32 runder af algoritmen er en 64-bit chiffertekstblok : Tw = ( A 32 , B 32 ) .

Dekryptering udføres efter samme algoritme som kryptering, med den ændring at rækkefølgen af ​​undernøgler inverteres: X 0 ... X 7 er K 7 ... K 0 , og X 8 ... X 31 er cyklisk gentagelse af K 7 ... K 0 .

I input- og outputdataene er 32-bit tal repræsenteret i rækkefølge fra den mindst signifikante bit til den mest signifikante ( lille endian ).

Funktionen beregnes således:

A i og X i tilføjes modulo 2 32 .

Resultatet er opdelt i otte 4-bit undersekvenser, som hver føres til input fra dens substitutionstabelnode (i stigende rækkefølge efter bitprioritet), kaldet S-boks nedenfor . Det samlede antal S-bokse i standarden er otte, hvilket er det samme som antallet af delsekvenser. Hver S-boks er en permutation af tal fra 0 til 15 (den specifikke form for S-bokse er ikke defineret i standarden). Den første 4-bit undersekvens er input fra den første S-boks, den anden er input fra den anden, og så videre.

Hvis S-box noden ser sådan ud:

1, 15, 13, 0, 5, 7, 10, 4, 9, 2, 3, 14, 6, 11, 8, 12

og S-boksens input er 0, så vil outputtet være 1; hvis input er 4, så vil output være 5; hvis input er 12, så er output 6 osv.

Udgangene fra alle otte S-bokse kombineres til et 32-bit ord, hvorefter hele ordet roteres til venstre (høj orden) med 11 bit.

Enkel udskiftningstilstand har følgende ulemper:

• Kan kun bruges til at kryptere almindelig tekst med en længde, der er et multiplum af 64 bit [11]
• Kryptering af identiske blokke af klartekst resulterer i identiske blokke af chiffertekst, som kan give visse oplysninger til en kryptoanalytiker.

Således er brugen af ​​GOST 28147-89 i den simple udskiftningstilstand kun ønskelig til kryptering af nøgledata [11] .

Gambling

Når GOST 28147-89 fungerer i gamma-tilstand , dannes en kryptografisk gamma på den ovenfor beskrevne måde, som derefter tilføjes bit for bit modulo 2 med den originale klartekst for at opnå en chiffertekst . Kryptering i gammatilstand er blottet for de ulemper, der er forbundet med den simple udskiftningstilstand [11] . Så selv identiske blokke af kildeteksten giver en anden chiffertekst, og for tekster med en længde, der ikke er et multiplum af 64 bit, kasseres de "ekstra" gammabits. Derudover kan gamma genereres på forhånd, hvilket svarer til funktionen af ​​chifferen i en streaming-tilstand.

Gamma genereres baseret på nøglen og den såkaldte synkroniseringsmeddelelse, som sætter generatorens begyndelsestilstand. Genereringsalgoritmen er som følger:

1. Synkroniseringsmeddelelsen krypteres ved hjælp af den beskrevne simple erstatningsalgoritme, de opnåede værdier skrives til de ekstra 32-bit registre N 3 og N 4  - henholdsvis de mindst signifikante og mest signifikante bits.
2. N 3 summeres modulo 2 32 med konstanten C 2 = 1010101 16
3. N 4 summeres modulo 2 32 −1 med konstanten C 1 = 1010104 16
4. N 3 og N 4 omskrives til henholdsvis N 1 og N 2 , som derefter krypteres ved hjælp af den simple erstatningsalgoritme. Resultatet er 64 bits gamma.
5. Trin 2-4 gentages i henhold til længden af ​​den krypterede tekst.

For at dekryptere det, skal du regne ud den samme gamma, og derefter tilføje den bit for bit modulo 2 med chifferteksten. Til dette skal du naturligvis bruge den samme synkroniseringsmeddelelse som til kryptering. I dette tilfælde, baseret på kravene til gammaens unikke karakter, er det umuligt at bruge en synkroniseringsmeddelelse til at kryptere flere dataarrays. Som regel sendes synkroniseringsmeddelelsen på den ene eller anden måde sammen med chifferteksten.

Et træk ved GOST 28147-89 i gamma-tilstand er, at når en bit af chifferteksten ændres, ændres kun en bit af den dekrypterede tekst. På den ene side kan dette have en positiv effekt på støjimmunitet; på den anden side kan en angriber foretage nogle ændringer i teksten uden selv at dechifrere den [11] .

Feedback gamification

Krypteringsalgoritmen ligner gammatilstanden, men gammaen er baseret på den tidligere blok af krypterede data, så krypteringsresultatet af den aktuelle blok afhænger også af de tidligere blokke. Af denne grund omtales denne funktionsmåde også som sammenlåsende skalering.

Krypteringsalgoritmen er følgende:

1. Synkroniseringsmeddelelsen indtastes i registrene N 1 og N 2 .
2. Indholdet af registrene N1 og N2 er krypteret i overensstemmelse med den simple erstatningsalgoritme . Resultatet er en 64-bit gammablok.
3. Gammablokken tilføjes bitvis modulo 2 til klartekstblokken. Den resulterende chiffertekst indtastes i registrene N 1 og N 2 .
4. Operationer 2-3 udføres for de resterende tekstblokke, der kræver kryptering.

Når man ændrer én bit af chifferteksten opnået ved hjælp af feedback gamma-algoritmen, ændres kun én bit i den tilsvarende blok af dekrypteret tekst, og den efterfølgende blok af almindelig tekst påvirkes også. I dette tilfælde forbliver alle andre blokke uændrede [11] .

Når du bruger denne tilstand, skal du huske på, at synkroniseringsmeddelelsen ikke kan genbruges (for eksempel ved kryptering af logisk adskilte informationsblokke - netværkspakker, harddisksektorer osv.). Dette skyldes det faktum, at den første blok af chifferteksten opnås ved kun modulo to-addition med den krypterede synkroniseringsmeddelelse; kendskab til kun de første 8 bytes af originalen og chifferteksten tillader således, at man kan læse de første 8 bytes af enhver anden chiffertekst efter genbrug af synkroniseringsmeddelelsen.

Fremstillingsmåde for simuleret indsættelse

Denne tilstand er ikke en krypteringstilstand i konventionel forstand. Når du arbejder i indsættelsessimuleringstilstand, oprettes en ekstra blok, der afhænger af hele teksten og nøgledata. Denne blok bruges til at kontrollere, at chifferteksten ikke er blevet manipuleret ved et uheld eller med vilje. Dette er især vigtigt for gamma-mode kryptering, hvor en angriber kan ændre specifikke bits uden selv at kende nøglen; men når der arbejdes i andre tilstande, kan sandsynlige forvrængninger ikke detekteres, hvis der ikke er redundant information i de transmitterede data.

Imitation genereres for M ≥ 2 klartekstblokke på 64 bit. Algoritmen er følgende:

1. Den åbne datablok skrives til registrene N1 og N2 , hvorefter den gennemgår en transformation svarende til de første 16 krypteringscyklusser i den simple udskiftningstilstand.
2. Den næste blok af åbne data tilføjes bit for bit modulo 2 til det opnåede resultat. Den sidste blok er polstret med nuller, hvis det er nødvendigt. Beløbet er ligeledes krypteret i henhold til stk.
3. Efter tilføjelse og kryptering af den sidste blok, vælges en imiteret indsætning af længde L bits fra resultatet: fra bit nummer 32 − L til 32 (tælling starter fra 1). Standarden anbefaler at vælge L ud fra det faktum, at sandsynligheden for at pålægge falske data er 2 − L . Spoofet transmitteres over kommunikationskanalen efter de krypterede blokke.

Til verifikation udfører den modtagende part en procedure svarende til den beskrevne. Hvis resultatet ikke stemmer overens med den beståede simuleringsindsættelse, betragtes alle tilsvarende M-blokke som falske.

Genereringen af ​​en indsættelsesimitation kan udføres parallelt med kryptering ved brug af en af ​​de ovenfor beskrevne driftsformer [11] .

Erstatningsnoder (S-blokke)

Alle otte S-bokse kan være forskellige. Nogle mener, at de kan være yderligere nøglemateriale, der øger nøglens effektive længde; dog er der praktiske angreb, der gør det muligt at bestemme dem [12] . Der er dog ingen grund til at øge nøglelængden, 256 bit er på nuværende tidspunkt ganske nok [13] . Typisk er erstatningstabeller en langsigtet skemaindstilling, der er fælles for en bestemt gruppe af brugere.

Teksten til GOST 28147-89-standarden angiver, at leveringen af ​​påfyldningserstatningsenheder (S-blokke) udføres på den foreskrevne måde, det vil sige af algoritmeudvikleren.

Erstatningsknudepunkter defineret af RFC 4357