Самосинхронизирующиеся поточные шифры

ССПШ состоит также из управляющего и шифрующего блоков с аналогичным функциональным назначением. Однако имеются существенные конструктивные отличия.

Шифрующий блок ССПШ моделируется тем же автоматом Мили А = (Х_у Г, У, /_ш) с постоянной памятью. Управляющий блок построен на основе неавтономного ш. а. В = (У, Yⁿ> Г, К, z, й,/_г), где я — длина регистра памяти (рис. 14.1) и z — не зависящее от ключа начальное состояние регистра, z е У". ССПШ в целом моделируется ш. а. А_сспш ⁼ У К, 2, Л,/).

с обратной связью по шифротексту (output feedback mode), где f (y, k, x) = = fJJviy* ^k)' ^x) ^и hid' ^k> ^x) = (Уъ •••> У tv Ау" k ^x)) Д^ля любых xg X, k e К и у — (z/_t, …, г/") E У⁷*. Таким образом, не только ш. а. В управляет автоматом Л (способ управления, как в СПШ), но и автомат Л управляет ш. а. В за счет обратной связи, выдавая знаки шифротекста не только на выход автомата Л_сспш, но и на вход автомата В.

Уравнения шифрования и расшифрования здесь те же, что и для СПШ. Важное отличие от СПШ заключается в функции переходов, которая устроена так, что генерируемая гамма зависит от предшествующих битов шифротекста:

Схема шифрования дискретных сообщений с использованием ССПШ показана на рис. 14.1. Каждое внутреннее состояние управляющего блока ССПШ (за исключением первых п состояний) заполняется п предыдущими знаками шифротекста. Поэтому если п следующих знаков шифртекста не подвергаются искажению при передаче, но линии связи, то регистры обоих пользователей устанавливаются в одинаковые состояния и, следовательно, вырабатывают при этом одинаковые знаки гаммы. Таким образом, происходит самосинхронизация ш. а.

Рис. 14.1. Асинхронное поточное шифрование дискретных сообщений.

Каждое шифруемое сообщение начинается со случайного отрезка п знаков, не несущего смысловой (содержательной) нагрузки. Этот отрезок вместе с сообщением зашифровывается, передается и затем расшифровывается. Расшифрование начального отрезка выполняется некорректно в силу несовпадения начальных состояний генераторов, но после передачи п начальных знаков генераторы, использующие одинаковый ключ к, синхронизируются.

Для затруднения криптоанализа ССПШ, но первым п знакам шифротекста его начальное состояние г целесообразно выбирать случайным образом для каждого сообщения.

Слабой стороной ССПШ является размножение ошибок. Единичная ошибка в шифротексте порождает п ошибок в открытом тексте. ССПШ уязвимы также по отношению к имитации сообщений. Нарушитель может записать некоторый перехваченный им отрезок шифротекста и позже отправить его в адрес. После нескольких нестыковок в начале сообщения (до п знаков) посланный отрезок расшифруется верно, и получатель не сможет определить, что принял устаревшее сообщение, если это сообщение не содержит метки времени. Подобная имитация также невозможна, если менять ключи при каждом новом сообщении.