Криптоанализ алгоритма. 
Реализация алгоритма симметричного шифрования ГОСТ 28147-89

В 1994 г. описание алгоритма ГОСТ 28 147–89 было переведено на английский язык и опубликовано, именно после этого стали появляться результаты его анализа, выполненного зарубежными специалистами; однако, в течение значительного времени не было найдено каких-либо атак, приближающихся к практически осуществимым [4].

2.1 Анализ таблицы замен

Поскольку таблицы замен в стандарте не приведены, в ряде работ высказывается предположение, что «компетентная организация» может выдать как «хорошие», так и «плохие» таблицы замен. Однако известнейший эксперт Брюс Шнайер (Bruce Schneier) называет такие предположения «слухами». Ясно, что криптостойкость алгоритма во многом зависит от свойств используемых таблиц замен, соответственно, существуют слабые таблицы замен, применение которых может упростить вскрытие алгоритма. Тем не менее, возможность использования различных таблиц замен кажется весьма достойной идеей, в пользу которой можно привести два следующих факта из истории стандарта шифрования США DES:

Атаки с помощью как линейного, так и дифференциального криптоанализа алгоритма DES используют конкретные особенности таблиц замен. При использовании других таблиц криптоанализ придется начинать сначала. шифрование дифференциальный криптоанализ гаммирование Были попытки усилить DES против линейного и дифференциального криптоанализа путем использования более стойких таблиц замен. Такие таблицы были предложены, например, в алгоритме s5DES. Но заменить DES на s5DES было невозможно, поскольку таблицы замен жестко определены в стандарте, соответственно, реализации алгоритма наверняка не поддерживают возможность смены таблиц на другие.

В ряде работ ошибочно делается вывод о том, что секретные таблицы замен алгоритма ГОСТ 28 147–89 могут являться частью ключа и увеличивать его эффективную длину (что несущественно, поскольку алгоритм обладает весьма большим 256-битным ключом). Однако, доказано, что секретные таблицы замен могут быть вычислены с помощью следующей атаки, которая может быть применена практически:

• 1. Устанавливается нулевой ключ и выполняется поиск «нулевого вектора», т. е. значения z = f (0), где f () — функция раунда алгоритма. Этот этап занимает порядка 232 операций шифрования.
• 2. С помощью нулевого вектора вычисляются значения таблиц замен, что занимает не более 211 операций [5].