WikiSort.ru - Не сортированное

Cipher-block chaining (CBC)

Cipher-block chaining (CBC) — это обычный режим цепочки, в котором перед шифрованием текущего блока к нему применяется операция исключающего ИЛИ с шифротекстом предыдущего блока:

${\displaystyle C_{i}=E_{K}(C_{i-1}\oplus P_{i})}$

Поскольку для первого блока не существует «зашифрованного текста предыдущего блока», то в качестве ${\displaystyle \scriptstyle C_{-1}}$ должен использоваться вектор инициализации (IV). Это, в свою очередь, делает CBC настраиваемым в некоторых отношениях.

CBC страдает от некоторых проблем. Например, если IV являются предсказуемыми, то злоумышленник может оставить «водяной знак» на диске, то есть сохранить специально созданный файл или комбинацию файлов, которые можно идентифицировать даже после шифрования. Точный метод построения водяного знака зависит от точной функции, обеспечивающей IV, но общий рецепт состоит в создании двух зашифрованных секторов, которые имеют идентичные первые блоки ${\displaystyle \scriptstyle b_{1}}$ и ${\displaystyle \scriptstyle b_{2}}$ ; эти два затем связаны друг с другом с помощью ${\displaystyle \scriptstyle b_{1}\,\oplus \,IV_{1}\;=\;b_{2}\,\oplus \,IV_{2}}$ . Таким образом, шифрование ${\displaystyle \scriptstyle b_{1}}$ идентично шифрованию ${\displaystyle \scriptstyle b_{2}}$ , что оставляет «водяной знак» на диске.

Для защиты от атаки "водяными знаками "используется шифр или хеш-функция для генерации IV из ключа и текущего номера сектора, так что злоумышленник не может предсказать IV. В частности, подход ESSIV использует блочный шифр в режиме CTR для генерации IV.

Liskov, Rivest, and Wagner (LRW)

Чтобы предотвратить такие сложные атаки, были введены различные режимы работы: настраиваемое узкоблочное шифрование (LRW и XEX) и широкоблочное шифрование (CMC и EME).

В то время как цель обычного блочного шифра ${\displaystyle \scriptstyle E_{K}}$ состоит в том, чтобы имитировать случайную перестановку для любого секретного ключа ${\displaystyle \scriptstyle K}$ , цель настраиваемого шифрования ${\displaystyle \scriptstyle E_{K}^{T}}$ состоит в том, чтобы имитировать случайную перестановку для любого секретного ключа ${\displaystyle \scriptstyle K}$ и любой известной настройки ${\displaystyle \scriptstyle T}$ . Настраиваемое узкоблочное шифрование (LRW)^[6] представляет собой экземпляр режима операций, введенного Лисковым, Ривестом и Вагнером^[7] (see Theorem 2). В этом режиме используются два ключа: ${\displaystyle \scriptstyle K}$ это ключ для блочного шифра, а ${\displaystyle \scriptstyle F}$  — это дополнительный ключ того же размера, что и блок. Например, для AES с 256-битным ключом, ${\displaystyle \scriptstyle K}$  — это 256-битное число, а ${\displaystyle \scriptstyle F}$  — это 128-битное число. Шифрование блока ${\displaystyle \scriptstyle P}$ с логическим индексом (настройка) ${\displaystyle \scriptstyle I}$ использует следующую формулу:

${\displaystyle {\begin{aligned}C&=E_{K}(P\oplus X)\oplus X\\X&=F\otimes I\end{aligned}}}$

Здесь умножение ${\displaystyle \scriptstyle \otimes }$ и сложение ${\displaystyle \scriptstyle \oplus }$ выполняются в конечном поле (${\displaystyle \scriptstyle {\text{GF}}\left(2^{128}\right)}$ для AES). С некоторыми предварительными вычислениями требуется только одно умножение на сектор (обратите внимание, что сложение в двоичном конечном поле является простым побитовым сложением, также известным как xor): ${\displaystyle \scriptstyle F\,\otimes \,I\;=\;F\,\otimes \,(I_{0}\,\oplus \,\delta )\;=\;F\,\otimes \,I_{0}\,\oplus \,F\,\otimes \,\delta }$ , где ${\displaystyle \scriptstyle F\,\otimes \,\delta }$ предварительно вычисляется для всех возможных значений ${\displaystyle \scriptstyle \delta }$ . Этот режим работы требует только одного шифрования на блок и защищает от всех вышеуказанных атак, за исключением незначительной утечки: если пользователь изменяет один блок открытого текста в секторе, то изменяется только один блок шифрованного текста. (Обратите внимание, что это не та же утечка, которую имеет режим ECB: в режиме LRW одинаковые открытые тексты в разных позициях шифруются в разные шифротексты.)

Существуют некоторые проблемы безопасности LRW, и этот режим работы теперь заменен XTS.

LRW используется в BestCrypt и поддерживается в качестве опции для систем шифрования дисков dm-crypt и FreeOTFE.

Xor-encrypt-xor (XEX)

Основная статья Xor-encrypt-xor

Другой настраиваемый режим шифрования, XEX (xor-encrypt-xor), был разработан Rogaway^[8] для обеспечения эффективной обработки последовательных блоков (по отношению к используемому шифру) в пределах одного блока данных (например, сектора диска). Подстройка представляется в виде комбинации адреса сектора и индекса блока внутри сектора (оригинальный режим XEX, предложенный Rogaway^[8] допускает несколько индексов). Зашифрованный текст, ${\displaystyle \scriptstyle C}$ , получается с использованием:

${\displaystyle {\begin{aligned}X&=E_{K}(I)\otimes \alpha ^{j}\\C&=E_{K}(P\oplus X)\oplus X\end{aligned}}}$

где:

• ${\displaystyle \scriptstyle P}$ является открытым текстом,
• ${\displaystyle \scriptstyle i}$ номер сектора,
• ${\displaystyle \scriptstyle \alpha }$ является примитивным элементом ${\displaystyle \scriptstyle {\text{GF}}\left(2^{128}\right)}$ ,
• ${\displaystyle \scriptstyle j}$ это номер блока в секторе.

Основные операции режима LRW (шифрование AES и умножение в поле Галуа) такие же, как и в Galois/Counter Mode (GCM), что позволяет компактно реализовать универсальное аппаратное обеспечение LRW / XEX / GCM.

CBC-mask-CBC (CMC) и ECB-mask-ECB (EME)

CMC и EME защищают даже от незначительной утечки, указанной выше для LRW. К сожалению, цена представляет собой двукратное снижение производительности: каждый блок должен быть зашифрован дважды; многие считают, что это слишком дорого, поскольку в любом случае такая же утечка на уровне сектора неизбежна.

CMC, представленный Halevi и Rogaway, расшифровывается как CBC — mask — CBC: весь сектор зашифрован в режиме CBC (с помощью ${\displaystyle \scriptstyle C_{-1}\;=\;E_{A}(I)}$ ), зашифрованный текст маскируется путем операции XOR с ${\displaystyle \scriptstyle 2(C'_{0}\,\oplus \,C'_{k-1})}$ , и повторно зашифровывается в режиме CBC, начиная с последнего блока. Когда базовый блочный шифр является сильной псевдослучайной перестановкой (PRP) тогда на уровне секторов схема представляет собой настраиваемый PRP. Одна проблема состоит в том, что для расшифровки ${\displaystyle \scriptstyle P_{0}}$ необходимо последовательно пройти все данные дважды.

Чтобы решить эту проблему, Halevi и Rogaway представили распараллеливаемый вариант, названный EME (ECB — mask — ECB). Это работает следующим образом:

• к открытым текстам применяется исключающее ИЛИ с ${\displaystyle \scriptstyle L\;=\;E_{K}(0)}$ , тексты смещаются на разную величину влево и шифруются: ${\displaystyle \scriptstyle P'_{i}\;=\;E_{K}(P_{i}\,\oplus \,2^{i}L)}$ ;
• вычисляется маска: ${\displaystyle \scriptstyle M\;=\;M_{P}\,\oplus \,M_{C}}$ , где ${\displaystyle \scriptstyle M_{P}\;=\;I\,\oplus \,\bigoplus P'_{i}}$ и ${\displaystyle \scriptstyle M_{C}\;=\;E_{K}(M_{P})}$ ;
• к промежуточным шифротекстам применяется маска: ${\displaystyle \scriptstyle C'_{i}\;=\;P'_{i}\,\oplus \,2^{i}M}$ for ${\displaystyle \scriptstyle i\;=\;1,\,\ldots ,\,k-1}$ и ${\displaystyle \scriptstyle C'_{0}\;=\;M_{C}\,\oplus \,I\,\oplus \,\bigoplus _{i=1}^{k-1}C'_{i}}$ ;
• вычисляются конечные шифротексты: ${\displaystyle \scriptstyle C_{i}\;=\;E_{K}(C'_{i})\,\oplus \,2^{i}L}$ для ${\displaystyle \scriptstyle i\;=\;0,\,\ldots ,\,k-1}$ .

Обратите внимание, что в отличие от LRW и CMC, существует только один ключ ${\displaystyle \scriptstyle K}$ .

CMC и EME были рассмотрены для стандартизации SISWG. EME запатентован, и поэтому не рекомендуется использовать его в качестве основного поддерживаемого режима.^[17]