Режим гаммирования. 
Криптографические методы защиты информации

Ранее, в 3-й главе, мы рассматривали шифры гаммирования. Режимы гаммирования для блочных шифров также представляют собой поточные шифры и реализуют процедуры, в которых криптографическое преобразование одного блока данных используется для выработки гаммы — двоичной последовательности, применяемой для зашифрования/расшифрования информации.

Мы начнем наше изложение с режима гаммирования, который принято называть режимом гаммирования с обратной связью по выходу (Output Feedback Mode, OFB). Данный режим регламентируется'² рекомендациями американского национального института стандартизации NIST SP 800−38А, а также стандартами ГОСТ Р 34.13−2015 и ISO 10 116. Режим представляет собой рассмотренный нами ранее на стр. 247 поточный шифр.

Пусть заданы ключ шифрования к? F™, инициализационный вектор (синхропосылка) Iv € Fg и открытый текст а, представленный в виде последовательности из w блоков.

При этом длина последнего блока a_w может быть меньше п, то есть len (a) = I = (w — 1) п + 1еп (а".).

¹² См. NIST Special Publication 800−38А. Recommendation tor Block Cipher Modes of Operation. Methods and Techniques. 2001 Edition.

Режим гаммирования с обратной связью по выход)' представляет собой отображение.

задаваемое равенством.

где значение Iv е Щ является синхропосылкой, используемой для начальной установки внутреннего состояния ш G поточного шифра. Блоки шифрованного текста ci,…, c_TO определяются равенствами

для всех i = 1 Если последний блок открытого текста a_w

имеет длину, меньшую п, то для его шифрования используется 1еп (а".) младших бит вектора -y_w. Схематично режим гаммирования с обратной связью по выходу может быть представлен следующим образом.

Ранее, при рассмотрении поточных шифров мы показали, что двукратное шифрование одной и той же гаммой является потенциально опасным и может привести к дешифрованию сообщения. Для предотвращения подобной ситуации в режиме гаммирования используется синхропосылка Iv — при фиксированном ключе к каждому значению синхропосылки соответствует своя последовательность 7о, 7ъ —.

Используемое значение Iv не является секретным^[1], должно передаваться или храниться вместе с зашифрованным текстом и использоваться для расшифрования сообщения (см. также замечание на стр. 268).

В силу обратимости операции сложения по модулю два процедура расшифрования аналогична процедуре шифрования, то есть.

Следует заметить, что период используемой для шифрования последовательности 71,72,… совпадает с периодом последовательности u>i, u>2,? ? ?, описывающей множество внутренних состояний поточного шифра. Поскольку величины 07 удовлетворяют равенствам.

то период последовательности wi, W2,… существенно зависит от начального значения Iv, значения ключа к 6 F™, свойств отображения Е () и не всегда может принимать максимально возможное значение. Более того, если при случайном выборе ключа к рассматривать отображение Е (к, а) как случайное, то период последовательности wi, W2, • • • в среднем будет равен 22. Таким образом, шифрование в режиме гаммирования сообщений, для которых выполнено неравенство 1еп (а) > 2 2, является потенциально опасным.

Для предотвращения подобной ситуации в стандарте ГОСТ 28 147–89 режим гаммирования определялся несколько иным способом, а именно:

для всех г = 1,… , w.

В приведенных выше равенствах используется преобразование /: F2'¹ —" Е|⁴, позволяющее гарантировать достаточно большой период последовательности u), u>2,—- внутренних состояний поточного шифра. Начальным значением шо служит результат зашифрования синхропосылки Iv, а каждое следующее значение 07,.

i = 1,… , w, определяется при помощи преобразования / следующим образом.

Представим двоичный вектор w, в виде конкатенации са, = о_г||Дь где ai, Pi € F:]². Представим а* и ft в виде целых неотрицательных чисел, не превосходящих 2³², определим константы.

и зададим отображение /(c*j_i ||ft-i) = aj||ft равенствами.

Как видно из данного определения, величины ft принимают значения от 1 до 2³² — 1. В более удобной для реализации на ЭВМ форме значение ft может быть определено равенством.

Легко проверить, что период последовательности а, а2,… равен 2³², а период последовательности ft, ft,… равен 2³² — 1. Тогда период последовательности … равен 2³²(2³²—1). Именно эта величина является верхней границей числа блоков в сообщении, которое может быть зашифровано алгоритмом ГОСТ 28 147–89 па одном ключе к в режиме гаммирования.

Схематично режим гаммирования алгоритма ГОСТ 28 147–89 можно изобразить следующим образом.

• [1] Дополняя сказанное нами в начале главы, отметим, что трудоемкость решения поставленных в определении 7.1 задач не должна зависеть от значений однойили нескольких заданных синхропосылок Iv.