ИСО/МЭК 9797-1

ISO/IEC 9797-1 Информационные технологии. Методы безопасности. Коды аутентификации сообщений (MAC). Часть 1. Механизмы, использующие блочный шифр. — это международный стандарт , определяющий методы расчета кода аутентификации сообщения (MAC) по данным.

Вместо определения одного конкретного алгоритма стандарт определяет общую модель, на основе которой можно построить множество конкретных алгоритмов. Модель основана на блочном шифре с секретным симметричным ключом .

Поскольку стандарт описывает модель, а не конкретный алгоритм, пользователи стандарта должны указать все конкретные параметры и параметры, которые будут использоваться , чтобы обеспечить однозначный расчет MAC.

Модель

Модель генерации MAC состоит из шести этапов:

1. Заполнение данных кратным размеру шифровального блока
2. Разделение данных на блоки
3. Первоначальное преобразование первого блока данных
4. Итерация по оставшимся блокам данных
5. Выходное преобразование результата последней итерации
6. Усечение результата до необходимой длины

Для большинства шагов стандарт предоставляет несколько вариантов выбора и/или допускает некоторую конфигурацию.

Заполнение

Входные данные должны быть дополнены до кратного размера блока шифрования, чтобы каждая последующая криптографическая операция имела полный блок данных. Определены три метода заполнения. В каждом случае n — длина блока (в битах ):

Метод заполнения 1

При необходимости добавьте биты со значением 0 в конец данных, пока дополненные данные не станут кратными n . (Если исходные данные уже были кратны n , биты не добавляются.)

Метод заполнения 2

Добавьте один бит со значением 1 в конец данных. Затем, если необходимо, добавьте биты со значением 0 в конец данных, пока дополненные данные не станут кратными n .

Метод заполнения 3

Дополненные данные включают (в этом порядке):

• Длина недополненных данных (в битах), выраженная в двоичном формате с прямым порядком байтов в n битах (т. е. один блок шифрования).
• Недополненные данные
• Столько (возможно, ни одного) битов со значением 0, сколько необходимо, чтобы общая длина была кратна n битам.

Нет необходимости передавать или сохранять биты заполнения, поскольку получатель может восстановить их, зная длину недополненных данных и используемый метод заполнения.

Разделение

Дополненные данные D разбиваются на q блоков D ₁ , D ₂ , ... D _q , каждый из которых имеет длину n , подходящих для блочного шифра.

Начальная трансформация

Криптографическая операция выполняется над первым блоком ( D1 _{) для} создания промежуточного H1 _блока . Определены два начальных преобразования:

Начальная трансформация 1

D1 _: ключом К зашифрован

ЧАС ₁ знак равно е _K ( D ₁ )

Начальная трансформация 2

D1 _: шифруется ключом К , а затем вторым ключом К »

ЧАС ₁ = е _{К »} (е _К ( D ₁ ))

Итерация

Блоки H ₂ ... H _q вычисляются путем шифрования с помощью ключа K побитового блока исключающего или соответствующего блока данных и предыдущего H- .

для я = 2 до q

ЧАС _я знак равно е _K ( D _я ⊕ ЧАС _{я -1} )

Если имеется только один блок данных ( q =1), этот шаг пропускается.

Выходное преобразование

Криптографическая операция (необязательно) выполняется над выходным блоком H _q последней итерации для создания блока G . Определены три выходных преобразования:

Выходное преобразование 1

H _q используется без изменений:

г = ч _q

Выходное преобразование 2

H _q шифруется ключом K ′:

грамм знак равно е _{K ′} ( ЧАС _q )

Выходное преобразование 3

H _q расшифровывается ключом K ′, а результат шифруется ключом K :

г знак равно е _K ( d _{K ′} ( ЧАС _q ))

Усечение

MAC получается путем усечения блока G (сохраняя самые левые биты, отбрасывая самые правые биты) до необходимой длины.

Конкретные алгоритмы

Общая модель номинально допускает любую комбинацию опций для каждого этапа заполнения, начального преобразования, выходного преобразования и усечения. Однако стандарт определяет четыре конкретные комбинации начального и выходного преобразования и (где это необходимо) получения ключа, а также две дополнительные комбинации, основанные на дублирующих параллельных вычислениях. В стандарте эти комбинации обозначаются как «Алгоритм MAC 1» – «Алгоритм MAC 6».

MAC-алгоритм 1

Этот алгоритм использует начальное преобразование 1 и выходное преобразование 1.

Требуется только один ключ K. ,

(Если используется блочный шифр DES , это эквивалентно алгоритму, указанному в FIPS PUB 113 «Аутентификация компьютерных данных» . )

Алгоритм 1 широко известен как CBC-MAC .

MAC-алгоритм 2

Этот алгоритм использует начальное преобразование 1 и выходное преобразование 2.

Требуются два ключа, K и K ′, но K ′ может быть получен из K .

MAC-алгоритм 3

Этот алгоритм использует начальное преобразование 1 и выходное преобразование 3.

Требуются два независимых ключа, K и K ′.

Алгоритм 3 также известен как Retail MAC .

MAC-алгоритм 4

Этот алгоритм использует начальное преобразование 2 и выходное преобразование 2.

Требуются два независимых ключа, K и K ', с третьим ключом K ', производным от K '.

MAC-алгоритм 5

Алгоритм 5 MAC содержит два параллельных экземпляра алгоритма 1 MAC. Первый экземпляр работает с исходными входными данными. Второй экземпляр работает с двумя вариантами ключа, сгенерированными из исходного ключа путем умножения в поле Галуа . Окончательный MAC вычисляется побитовым исключающим или из MAC, сгенерированных каждым экземпляром алгоритма 1.

Алгоритм 5 также известен как CMAC .

MAC-алгоритм 6

Этот алгоритм включает в себя два параллельных экземпляра алгоритма MAC 4. Окончательный MAC представляет собой побитовое исключающее ИЛИ MAC, сгенерированных каждым экземпляром алгоритма 4.

Каждый экземпляр алгоритма 4 использует другую пару ключей ( K и K '), но эти четыре ключа получены из двух независимых базовых ключей.

Вывод ключа

Алгоритмы MAC 2 (опционально), 4, 5 и 6 требуют получения одного или нескольких ключей из другого ключа. Стандарт не требует какого-либо конкретного метода получения ключей, хотя обычно требует, чтобы производные ключи отличались друг от друга.

В стандарте приведены некоторые примеры методов получения ключей, такие как «дополнение альтернативными подстроками из четырех битов K, начиная с первых четырех битов». Это эквивалентно побитовому исключающему ИЛИ каждого байта ключа с помощью F0 ( hex ).

Полная спецификация расчета MAC

Чтобы полностью и однозначно определить расчет MAC, пользователь ISO/IEC 9797-1 должен выбрать и указать:

• Алгоритм блочного шифрования e
• Метод заполнения (от 1 до 3)
• Конкретный алгоритм MAC (от 1 до 6)
• Длина MAC
• Метод(ы) получения ключа, если необходимо, для алгоритмов MAC 2, 4, 5 или 6.

Анализ безопасности алгоритмов

Приложение B стандарта представляет собой анализ безопасности алгоритмов MAC. В нем описываются различные криптографические атаки на алгоритмы, в том числе атака с восстановлением ключа , восстановление ключа методом перебора и атака по случаю дня рождения , а также анализируется устойчивость каждого алгоритма к этим атакам.