Зерно 128а

Grain 128a Поточный шифр впервые был использован на семинаре по шифрованию с симметричным ключом (SKEW) в 2011 году. ^{[ 1 ]} как улучшение предшественника Grain 128, в котором были добавлены улучшения безопасности и дополнительная аутентификация сообщений с использованием подхода Encrypt & MAC. Одной из важных особенностей семейства Grain является то, что пропускную способность можно увеличить за счет дополнительного оборудования. Grain 128a разработан Мартином Огреном. ^{[ 1 ]} Мартин Хелл, Томас Йоханссон и Вилли Мейер.

Описание шифра

Grain 128a состоит из двух больших частей: функции предварительного вывода и MAC. Функция предварительного вывода имеет размер внутреннего состояния 256 бит и состоит из двух регистров размером 128 бит: NLFSR и LFSR . MAC поддерживает теги переменной длины w, такие, что $0<w\leq 32$ . В шифре используется 128-битный ключ.

Шифр поддерживает два режима работы: с аутентификацией или без нее, которая настраивается через прилагаемый файл. $IV_{0}$ такое, что если $IV_{0}=1$ то аутентификация сообщения включена, и если $IV_{0}=0$ аутентификация сообщения отключена.

Функция предварительного вывода

Функция предварительного вывода состоит из двух регистров размером 128 бит: NLFSR ( $b$ ) и ЛФСР ( $s$ ) вместе с двумя полиномами обратной связи $f$ и $g$ и булева функция $h$ .

$f(x)=1+x^{32}+x^{47}+x^{58}+x^{90}+x^{121}+x^{128}$

$g(x)=1+x^{32}+x^{37}+x^{72}+x^{102}+x^{128}+x^{44}x^{60}+x^{61}x^{125}+x^{63}x^{67}x^{69}x^{101}+x^{80}x^{88}+x^{110}x^{111}+x^{115}x^{117}+x^{46}x^{50}x^{58}+x^{103}x^{104}x^{106}+x^{33}x^{35}x^{36}x^{40}$

$h(x)=b_{i+12}s_{i+8}+s_{i+13}s_{i+20}+b_{i+95}s_{i+42}+s_{i+60}s_{i+79}+b_{i+12}b_{i+95}s_{i+94}$

В дополнение к полиномам обратной связи, функциями обновления для NLFSR и LFSR являются:

$b_{i+128}=s_{i}+b_{i}+b_{i+26}+b_{i+56}+b_{i+91}+b_{i+96}+b_{i+3}b_{i+67}+b_{i+11}b_{i+13}+b_{i+17}b_{i+18}+b_{i+27}b_{i+59}+b_{i+40}b_{i+48}+b_{i+61}b_{i+65}+b_{i+68}b_{i+84}+b_{i+88}b_{i+92}b_{i+93}b_{i+95}+b_{i+22}b_{i+24}b_{i+25}+b_{i+70}b_{i+78}b_{i+82}$

$s_{i+128}=s_{i}+s_{i+7}+s_{i+38}+s_{i+70}+s_{i+81}+s_{i+96}$

Предварительный выходной поток ( $y$ ) определяется как:

$y_{i}=h(x)+s_{i+93}+b_{i+2}+b_{i+15}+b_{i+36}+b_{i+45}+b_{i+64}+b_{i+73}+b_{i+89}$

Инициализация

При инициализации мы определяем $IV$ 96-битной версии, где $IV_{0}$ определяет режим работы.

LFSR : инициализируется как

$s_{i}=IV_{i}$ для $0\leq i\leq 95$

$s_{i}=1$ для $96\leq i\leq 126$

$s_{127}=0$

Последний бит 0 гарантирует, что аналогичные пары ключ-IV не создают сдвинутые версии друг друга.

NLFSR инициализируется путем копирования всего 128-битного ключа ( $k$ ) в НЛФСР :

$b_{i}=k_{i}$ для $0\leq i\leq 127$

Начать тактирование

Прежде чем функция предварительного вывода сможет начать выводить свой предвыходной поток, ее необходимо тактировать 256 раз для прогрева, на этом этапе предвыходной поток подается в полиномы обратной связи. $g$ и $f$ .

Ключевой поток

Ключевой поток ( $z$ ) и функциональность MAC в Grain 128a используют один и тот же поток предварительного вывода ( $y$ ). Поскольку аутентификация не является обязательной, определение нашего ключевого потока зависит от $IV_{0}$ .

Если аутентификация включена, функция MAC использует первый $2w$ биты (где $w$ — размер тега) после запуска тактирования для инициализации. Затем ключевому потоку присваивается каждый второй бит из-за общего предварительного выходного потока.

Если аутентификация включена:

$z_{i}=y_{2w+2i}$

Если аутентификация отключена:

$z_{i}=y_{i}$

MAC

Grain 128a поддерживает теги размера. $w$ до 32 бит, для этого нужно 2 регистра размера $w$ используется сдвиговый регистр( $r$ ) и аккумулятор ( $a$ ). Чтобы создать тег сообщения $m$ где $L$ длина $m+1$ как мы должны установить $m_{L}=1$ чтобы гарантировать, что, т.е. $m1=1$ и $m2=10$ имеет разные теги, а также делает невозможным создание тега, который полностью игнорирует входные данные из сдвигового регистра после инициализации.

Для каждого бита $0\leq j\leq 31$ в аккумуляторе мы в раз $0\leq i\leq L$ мы осуждаем немного в аккумуляторе, как $a_{i}^{j}$ .

Инициализация

Когда аутентификация включена, Grain 128a использует первый $2w$ бит предварительного выходного потока( $y$ ) для инициализации сдвигового регистра и аккумулятора. Это делается: