2.1.2 Варианты des

Многократный DES

В ряде реализаций DES используется тройной (трехкратный) DES. Идея использования тройного DES с парой ключей очень проста: если ключи одинаковы, то результат шифрования эквивалентен однократному шифрованию. Это обеспечивает полную совместимость с существующими системами распределения и использования ключей как на однократном, так и на двойном DES. (Двойной DES - последовательное применение однократного).

Соответственно, если ключи разные и их два, то стойкость возрастает. Полученный шифротекст гораздо сложнее вскрыть, используя исчерпывающий поиск: 2¹¹² попыток вместо 2⁵⁶. В виде формул тройной DES выглядит так:

E_K1(D_K2(E_K1(Data8))), E_K1-операция шифрования (Encryption) DES на ключе K1, D_K2-операция дешифрования (Decryption) DES на ключе K2, Data8 - данные длиной 8 байт.

Здесь видно, что если K1=K2, то D_K2(E_K1(Data8))=Data8 как результат последовательного за- и расшифрования на одном и том же ключе.

Согласно сообщению Центра общественных технологий США от 13 февраля 1995 года (Center for Democratic Technology - CDT), разработкой нового стандарта, основанного на трехкратном применении DES (triple-DES) занимается подкомитет X9 комитета Accredited Standards Committee (ASC), осуществляющего стандартизацию защиты данных в финансовой и банковской сфере США. Кроме того AT&T и VLSI Technologies, - крупные разработчики специального оборудования и элементной базы,- анонсировали свои планы относительно создания приложений на базе triple-DES.

Можно добавить, что ведущий мировой производитель смарт-карт GEMPLUS International уже заявил о переходе на новый стандарт шифрования triple DES для новой линии своих продуктов - карт серии MPCOS.

Какие же практические выводы можно сделать:

1. Если ключи хранятся надежно идлина ключа (пары ключей) составляет 112 бит, то алгоритм шифрования DES обеспечивает достаточнуюстойкость.

2. Тройное шифрование DES на паре ключей по стойкости не превосходит двойного шифрования на той же паре и обеспечивает полную совместимость как с одинарным, так и двойным DES.

3. Тройной DES стал де-факто стандартом для защиты информации в банковской и финансовой сферах. В ближайшем будущем следует ожидать появления соответствующего стандарта ANSI.

DES с независимыми подключами

Другой возможностью является использование различных подключей на каждом этапе, не создавая их из одного 56-битового ключа. Так как на каждом из 16 этапов используется 48 битов ключа, то длина ключа для такого варианта составит 768 битов. Такой вариант резко увеличивает сложность вскрытия алгоритма грубой силой, сложность такого вскрытия составит 2⁷⁶⁸.

Однако возможно использование вскрытия "встреча посередине". Сложность такого вскрытия уменьшается до 2³⁸⁴, что, тем не менее, вполне достаточно для обеспечения любой мыслимой безопасности.

Хотя независимые подключи мешают линейному криптоанализу, этот вариант чувствителен к дифференциальному криптоанализу и может быть вскрыт с помощью 2⁶¹выбранных открытых текстов. По видимому, никакая модификация распределения ключей не сможет намного усилить DES.

DESX

DESX - это вариант DES, разработанный RSA Data Security, Inc., и включенный в 1986 году в программу обеспечения безопасности электронной почты MailSafe, а в 1987 году в набор BSAFE. DESX использует метод, называемый отбеливанием, для маскировки входов и выходов DES. Кроме 56-битового ключа DES в DESX используется дополнительный 64-битовый ключ отбеливания. Эти 64 бита используются для выполнения операции XOR с блоком открытого текста перед первым этапом DES. Дополнительные 64 бита, являющиеся результатом применения однонаправленной функции к полному 120-битовому ключу DESX, используются для выполнения XOR с шифртекстом, полученным в результате последнего этапа. По сравнению с DES отбеливание значительно повышает устойчивость DESX к вскрытию грубой силой, вскрытие требует 2¹²⁰/nопераций приnизвестных открытых текстах. Также повышается устойчивость к дифференциальному и линейному криптоанализу, для вскрытия потребуется 2⁶¹выбранных и 2⁶⁰известных открытых текстов, соответственно.

CRYPT(3)

CRYPT(3) представляет собой вариант DES, используемый в системах UNIX. Он в основном используется в качестве однонаправленной функции для паролей, но иногда может быть использован и для шифрования. Различие между CRYPT(3) и DES состоит в том, что в CRYPT(3) включена независимая от ключа перестановка с расширением с 2¹²вариантами. Это сделано для того, чтобы для создания аппаратного устройства вскрытия паролей нельзя было использовать промышленные микросхемы DES.

Обобщенный DES

Обобщенный DES (Generalized DES, GDES) был спроектирован для ускорения DES и повышения устойчивости алгоритма. Общий размер блока увеличился, а количество вычислений осталось неизменным.

На рисунке показана поблочная диаграмма GDES. GDES работает с блоками открытого текста переменной длины. Блоки шифрования делятся на q32-битовых подблоков, точное число которых зависит от полного размера блока (который по идее может меняться, но фиксирован для конкретной реализации). В общем случаеqравно размеру блока, деленному на 32.

Функция f для каждого этапа рассчитывается один раз для крайнего правого блока. Результат при помощи операции XOR объединяется со всеми остальными частями, которые затем циклически смещаются направо. GDES использует переменное число этапов n. В последний этап внесено незначительное изменение, чтобы процессы шифрования и дешифрирования отличались только порядком подключей (точно также, как в DES). Действительно, еслиa=2 иn=16, то описанный алгоритм превращается в DES.

Израильские математики Бихам и Шамир показали, что дифференциальный криптоанализ вскрывает GDES с a=8 иn=16 с помощью всего шести выбранных открытых текстов. При использовании независимых подключей требуется16 выбранных открытых текстов. GDES сa=8 иn=22 вскрывается с помощью всего 48 выбранных открытых текстов, а для вскрытия GDES сa=8 иn=31 требуется всего 500000 выбранных открытых текстов. Даже GDES сa=8 иn=64 слабее, чем DES - для его вскрытия нужно только 249 выбранных открытых текстов. Действительно, любая более быстрая, чем DES, схема GDES является также и менее безопасной.

Недавно появился еще один вариант этой схемы. Возможно он не более безопасен, чем оригинальный GDES. Общем случае любой вариант DES с большими блоками, который быстрее DES, скорее всего менее безопасен по сравнению с DES.

Существует также много других модификаций алгоритма DES(DESс измененнымиS-блоками,RDES,sⁿDES, DES с S-блоками, зависящими от ключа).