GOST 28147-89

GOST 28147-89 “ Tietojenkäsittelyjärjestelmät. Kryptografinen suojaus. Kryptografinen muunnosalgoritmi "- vanhentunut (katso käytön kronologia ) Neuvostoliiton valtion standardi (ja myöhemmin IVY:n valtioiden välinen standardi ), joka kuvaa symmetrisen lohkosalausalgoritmin ja sen toimintatapoja .

Se on esimerkki DES :n kaltaisista salausjärjestelmistä , jotka on luotu klassisen Feistelin iteratiivisen kaavan mukaan .

Salauksen luomisen historia ja kehittäjien kriteerit esiteltiin ensimmäisen kerran julkisesti vuonna 2014, ja algoritmin kehittäjäryhmän johtaja Zabotin Ivan Aleksandrovich esitteli luennossa, joka oli omistettu venäläisen standardin käyttöönoton 25-vuotispäivälle. symmetrinen salaus [1] [2] .

Myöhemmin standardin perustan muodostaneen algoritmin työskentely aloitettiin osana Magma-teemaa (tietojen suojaaminen kryptografisilla menetelmillä Unified System -sarjan tietokoneissa ) kahdeksannen pääosaston tieteellisen ja teknisen neuvoston puolesta . Neuvostoliiton KGB (nykyisin FSB :n rakenteessa ) maaliskuussa 1978 vuonna 1976 julkaistun DES - standardin pitkän alustavan tutkimuksen jälkeen . Itse asiassa työ DES -algoritmia muistuttavan algoritmin (tai algoritmiryhmän) luomiseksi aloitettiin jo vuonna 1976 .

Aluksi teoksilla oli otsikko " Top Secret ". Sitten ne alennettiin " Salainen " -leimaksi. Vuonna 1983 algoritmi alennettiin " rajoitetuksi ". Juuri viimeisellä merkinnällä algoritmi valmisteltiin julkaistavaksi vuonna 1989 . 9. maaliskuuta 1987 joukko kryptografeja (hakija - sotilasyksikkö 43753) sai tekijänoikeustodistuksen, jonka prioriteetti on 333297 Magma-2-algoritmia käyttävän salauslaitteen keksinnölle [3] .

Käytön kronologia

Hyväksytty 2. kesäkuuta 1989 annetulla Neuvostoliiton valtion standardin asetuksella nro 1409 , voimaan 1. heinäkuuta 1990 [4] .

31. maaliskuuta 1996 se julkaistiin uudelleen ja otettiin käyttöön IVY:n osavaltioiden välisenä standardina [5] .

Valko-Venäjän tasavallan valtion standardin asetuksella nro 3 17. joulukuuta 1992 se otettiin käyttöön Valko-Venäjän tasavallan valtion standardina . Julkaistu uudelleen maaliskuussa 2011 [6] .

Ukrainan valtion kuluttajastandardien määräyksellä nro 495, päivätty 22. tammikuuta 2008, GOST 28147-89 julkaistiin uudelleen Ukrainan alueella ja se tuli voimaan 1. helmikuuta 2009 nimellä DSTU GOST 28147:2009 [ 7] . Nykyisten tilausten mukaan DSTU GOST 28147:2009 on voimassa 1.1.2022 asti [8] . Korvataan asteittain DSTU:lla 7624:2014 ( koodi "Kalina").

Standardi on peruutettu Venäjän ja IVY -maiden alueella 31. toukokuuta 2019 lähtien uusien valtioiden välisten standardien käyttöönoton vuoksi, jotka korvaavat sen kokonaan GOST 34.12-2018 ( kuvaa Magma- ja Grasshopper - salauksia ) ja GOST 34.13-2018 (kuvaa lohkosalausten toimintatilat ).

FSB :n GOST 28147-89 -lohkosalausalgoritmin käyttömenettelyä koskevan tiedonannon mukaan salaustietojen suojaustyökaluja, jotka on suunniteltu suojaamaan tietoja , jotka eivät sisällä valtiosalaisuuksia muodostavia tietoja , mukaan lukien ne, jotka toteuttavat GOST 28147-89 -algoritmin . kehitetty 1. kesäkuuta 2019 jälkeen , paitsi jos tällaisten työkalujen GOST 28147-89 -algoritmi on suunniteltu varmistamaan yhteensopivuus olemassa olevien työkalujen kanssa, jotka toteuttavat tämän algoritmin [9] .

Magma

Vuonna 2015 uuden " Grasshopper " -algoritmin ohella GOST 28147-89 -algoritmin variantti julkaistiin nimellä " Magma " osana GOST R 34.12-2015 standardia ja myöhemmin osana GOST 34.12-2018 standardi . Vuonna 2020 Magma - algoritmi julkaistiin nimellä RFC 8891 .

Ominaisuudet:

• käytä kiinteää korvaava isäntä id-tc26-gost-28147-param-Z ;
• avaimen arvo luetaan yksittäisenä little- endian kokonaislukuna (toisin kuin GOST 28147-89:ssä käytetty little-endian ), mikä johtaa muihin pyöreisiin avaimiin;
• salattu data luetaan myös pienenä endian - kokonaislukuna (toisin kuin GOST 28147-89:ssä käytetty little endian ).

Salauksen kuvaus

GOST 28147-89 on lohkosalaus, jossa on 256- bittinen avain ja 32 muunnoskierrosta (kutsutaan kierroksia), joka toimii 64-bittisillä lohkoilla. Salausalgoritmin perustana on Feistel -verkko .

GOST 28147-89:ssä on neljä toimintatilaa:

• yksinkertainen vaihto
• skaalaus
• palautteen skaalaus
• jäljitelmän lisäyksen sukupolvitila .

Toimintatavat

Helppo vaihtotila

Salaamista varten tässä tilassa 64-bittinen tekstilohko jaetaan ensin kahteen puolikkaaseen: T o = ( A 0 , B 0 ) [10] . I : nnellä syklillä käytetään aliavainta X i :

Aliavainten luomiseksi alkuperäinen 256-bittinen avain jaetaan kahdeksaan 32-bittiseen numeroon: K 0 ... K 7 .

Alaavaimet X 0 ... X 23 ovat K 0 ... K 7 : n syklisiä toistoja . Tulpat X 24 ... X 31 ovat K 7 ... K 0 .

Algoritmin kaikkien 32 kierroksen tulos on 64-bittinen salatekstilohko : T w = ( A 32 , B 32 ) .

Salauksen purku suoritetaan saman algoritmin mukaan kuin salaus, sillä muutoksella, että aliavaimien järjestys on käänteinen: X 0 ... X 7 ovat K 7 ... K 0 ja X 8 ... X 31 ovat syklisiä toistoja K 7 ... K 0 . _

Tulo- ja lähtötiedoissa 32-bittiset luvut esitetään järjestyksessä vähiten merkitsevästä bitistä merkittävimpään ( little endian ).

Funktio lasketaan seuraavasti:

A i ja X i lisätään modulo 2 32 .

Tulos jaetaan kahdeksaan 4-bittiseen osasekvenssiin, joista kukin syötetään sen korvaustaulukon solmun (bittiprioriteetin nousevassa järjestyksessä) syötteeseen, jota kutsutaan alla S-boxiksi . S-laatikoiden kokonaismäärä standardissa on kahdeksan, mikä on sama kuin osajaksojen määrä. Jokainen S-laatikko on permutaatio numeroista 0-15 (S-laatikoiden erityistä muotoa ei ole määritelty standardissa). Ensimmäinen 4-bittinen osasekvenssi on ensimmäisen S-laatikon tulo, toinen on toisen syöte ja niin edelleen.

Jos S-box- solmu näyttää tältä:

1, 15, 13, 0, 5, 7, 10, 4, 9, 2, 3, 14, 6, 11, 8, 12

ja S-laatikon tulo on 0, niin lähtö on 1; jos tulo on 4, lähtö on 5; jos tulo on 12, niin lähtö on 6 jne.

Kaikkien kahdeksan S-laatikon lähdöt yhdistetään 32-bittiseksi sanaksi, jonka jälkeen koko sanaa käännetään vasemmalle (korkea kerta) 11 bittiä.

Yksinkertaisella vaihtotilalla on seuraavat haitat:

• Voidaan käyttää vain selkeiden tekstien salaamiseen, joiden pituus on 64 bitin kerrannainen [11]
• Identtisten selkeän tekstin lohkojen salaus johtaa identtisiin salatekstilohkoihin, jotka voivat antaa kryptaanalyytikolle tiettyjä tietoja.

Siten GOST 28147-89:n käyttö yksinkertaisessa korvaustilassa on toivottavaa vain avaintietojen salaukseen [11] .

Uhkapelit

Kun GOST 28147-89 toimii gammatilassa , muodostetaan edellä kuvatulla tavalla kryptografinen gamma, joka sitten lisätään bitti bitiltä modulo 2 alkuperäiseen selkeään tekstiin salatekstin saamiseksi . Gamma-tilassa tapahtuvassa salauksessa ei ole haittoja, jotka ovat ominaisia ​​yksinkertaiselle korvausmoodille [11] . Joten jopa identtiset lähdetekstin lohkot antavat erilaisen salatekstin, ja teksteissä, joiden pituus ei ole 64 bitin kerrannainen, "ylimääräiset" gammabitit hylätään. Lisäksi gamma voidaan generoida etukäteen, mikä vastaa salauksen toimintaa suoratoistotilassa.

Gamma generoidaan avaimen ja ns. sync-viestin perusteella, joka asettaa generaattorin alkutilan. Luontialgoritmi on seuraava:

1. Synkronointiviesti salataan kuvatulla yksinkertaisella korvausalgoritmilla, saadut arvot kirjoitetaan 32-bittisiin apurekistereihin N 3 ja N 4  - vastaavasti vähiten merkitseviin ja merkittävimpiin bitteihin.
2. N 3 summataan modulo 2 32 vakiolla C 2 = 1010101 16
3. N 4 summataan modulo 2 32 −1 vakiolla C 1 = 1010104 16
4. N3 ja N4 kirjoitetaan uudelleen N1 : ksi ja N2 : ksi , vastaavasti , jotka sitten salataan käyttämällä yksinkertaista korvausalgoritmia. Tuloksena on 64 bittiä gammaa.
5. Vaiheet 2-4 toistetaan salatun tekstin pituuden mukaan.

Salauksen purkamiseksi sinun on selvitettävä sama gamma ja lisättävä se sitten bitti kerrallaan modulo 2 salatekstin kanssa. Ilmeisesti tätä varten sinun on käytettävä samaa synkronointiviestiä kuin salauksessa. Tässä tapauksessa gamman ainutlaatuisuuden vaatimusten perusteella on mahdotonta käyttää yhtä synkronointiviestiä useiden tietoryhmien salaamiseen. Synkronointiviesti lähetetään pääsääntöisesti tavalla tai toisella salatekstin mukana.

GOST 28147-89:n ominaisuus gammatilassa on, että kun salatekstin yksi bitti muuttuu, vain yksi bitti salatusta tekstistä muuttuu. Toisaalta tällä voi olla myönteinen vaikutus melunsietoon; toisaalta, hyökkääjä voi tehdä joitain muutoksia tekstiin edes purkamatta sitä [11] .

Palautteen pelillistäminen

Salausalgoritmi on samanlainen kuin gammatila, mutta gamma perustuu edelliseen salatun tiedon lohkoon, joten nykyisen lohkon salaustulos riippuu myös edellisistä lohkoista. Tästä syystä tätä toimintatapaa kutsutaan myös interlocking-skaalaukseksi.

Salausalgoritmi on seuraava:

1. Synkronointiviesti syötetään rekistereihin N1 ja N2 .
2. Rekistereiden N1 ja N2 sisältö salataan yksinkertaisen korvausalgoritmin mukaisesti . Tuloksena on 64-bittinen gammalohko.
3. Gamma-lohko lisätään bittikohtaisesti modulo 2 selväkieliseen lohkoon. Tuloksena oleva salateksti syötetään rekistereihin N1 ja N2 .
4. Toiminnot 2-3 suoritetaan muille salausta vaativille tekstilohkoille.

Vaihdettaessa yhtä bittiä palautegamma-algoritmilla saatua salatekstiä, vain yksi bitti muuttuu vastaavassa salatun tekstin lohkossa, ja se vaikuttaa myös myöhempään selkeän tekstin lohkoon. Tässä tapauksessa kaikki muut lohkot pysyvät ennallaan [11] .

Kun käytät tätä tilaa, muista, että synkronointiviestiä ei voi käyttää uudelleen (esimerkiksi salattaessa loogisesti erillisiä tietolohkoja - verkkopaketteja, kiintolevysektoreita jne.). Tämä johtuu siitä tosiasiasta, että salatekstin ensimmäinen lohko saadaan vain modulo kahdella summauksella salatun synkronointiviestin kanssa; siten vain alkuperäisen ja salatekstin ensimmäisten 8 tavun tunteminen mahdollistaa minkä tahansa muun salatekstin ensimmäisten 8 tavun lukemisen synkronointiviestin uudelleenkäytön jälkeen.

Simuloidun lisäyksen luontitapa

Tämä tila ei ole salaustila perinteisessä mielessä. Kun työskentelet lisäyssimulaatiotilassa, luodaan lisälohko, joka riippuu koko tekstistä ja avaintiedoista. Tätä lohkoa käytetään tarkistamaan, ettei salatekstiä ole peukaloitu vahingossa tai tarkoituksella. Tämä on erityisen tärkeää gamma-salauksessa, jossa hyökkääjä voi muuttaa tiettyjä bittejä edes tietämättä avainta; muissa tiloissa toimiessa todennäköisiä vääristymiä ei kuitenkaan voida havaita, jos lähetetyssä datassa ei ole redundanttia informaatiota.

Jäljitelmä luodaan M ≥ 2:lle 64-bittiselle selvätekstilohkolle. Algoritmi on seuraava:

1. Avoin datalohko kirjoitetaan rekistereihin N1 ja N2 , minkä jälkeen se käy läpi ensimmäisiä 16 salausjaksoa vastaavan muunnoksen yksinkertaisessa korvaustilassa.
2. Seuraava avoimen datan lohko lisätään bitti bitiltä modulo 2 saatuun tulokseen. Viimeinen lohko on tarvittaessa pehmustettu nolilla. Summa on myös salattu 1 kohdan mukaisesti.
3. Kun viimeinen lohko on lisätty ja salattu, tuloksesta valitaan L -bitin pituinen jäljitelmälisäys: bitistä numero 32 − L - 32 (laskenta alkaa 1:stä). Standardi suosittelee L :n valitsemista sen perusteella, että väärien tietojen määräämisen todennäköisyys on 2 − L . Huijaus lähetetään viestintäkanavan kautta salattujen lohkojen jälkeen.

Vahvistamista varten vastaanottava osapuoli suorittaa kuvatun kaltaisen menettelyn. Jos tulos ei vastaa hyväksyttyä simulaatiolisäystä, kaikki vastaavat M-lohkot katsotaan vääriksi.

Lisäysjäljitelmän generointi voidaan suorittaa rinnakkain salauksen kanssa käyttämällä yhtä yllä kuvatuista toimintatavoista [11] .

Korvaavat solmut (S-lohkot)

Kaikki kahdeksan S-laatikkoa voivat olla erilaisia. Jotkut uskovat, että ne voivat olla lisäavainmateriaalia, joka lisää avaimen tehollista pituutta; On kuitenkin olemassa käytännön hyökkäyksiä, joiden avulla ne voidaan määrittää [12] . Avaimen pituutta ei kuitenkaan tarvitse kasvattaa, 256 bittiä riittää tällä hetkellä [13] . Korvaustaulukot ovat tyypillisesti pitkän aikavälin skeema-asetus, joka on yhteinen tietylle käyttäjäryhmälle.

GOST 28147-89 -standardin teksti osoittaa, että täyttökorvausyksiköiden (S-lohkojen) toimitus suoritetaan määrätyllä tavalla, toisin sanoen algoritmin kehittäjällä.

RFC 4357 :n määrittämät korvaavat solmut