Схема Лая – Мэсси

Схема Лая-Мэсси — это криптографическая структура, используемая при разработке блочных шифров . Он используется в IDEA и IDEA NXT . Схема была первоначально представлена ​​Сюэцзя Лаем. при содействии Джеймса Л. Мэсси , отсюда и название схемы — Лай-Мэсси .

Дизайн

Схема Лай-Мэсси по конструкции похожа на сеть Фейстеля , в ней используются функции округления и полукруглой функции . Функция раунда — это функция, которая принимает два входных параметра: дополнительный ключ и блок данных и возвращает один выходной сигнал равной длины в блок данных. Полукруглая функция принимает два входа и преобразует их в два выхода. Для любого данного раунда входные данные делятся на две половины: левую и правую .

Первоначально входные данные передаются через полукруглую функцию. В каждом раунде разница между входными данными передается функции раунда вместе с дополнительным ключом, а затем результат функции раунда добавляется к каждому входу. Затем входные данные передаются через полукруглую функцию. Затем это повторяется фиксированное количество раз, и конечным результатом являются зашифрованные данные. Благодаря своей конструкции она имеет преимущество перед сетью подстановки-перестановки , поскольку не нужно инвертировать раундовую функцию, а только полукруглую, что позволяет ее легче инвертировать и позволяет произвольно инвертировать функцию округления. сложный. Процессы шифрования и дешифрования довольно похожи: вместо этого дешифрование требует изменения расписания ключей , инвертированной полукруглой функции и того, чтобы выходные данные округляющей функции вычитались, а не добавлялись.

Детали строительства

Позволять $\mathrm {F}$ быть круглой функцией, и $\mathrm {H}$ полукруглая функция, и пусть $K_{0},K_{1},\ldots ,K_{n}$ быть дополнительными клавишами для раундов $0,1,\ldots ,n$ соответственно.

Тогда основная операция выглядит следующим образом:

Разделите блок открытого текста на две равные части ( $L_{0}$, $R_{0}$).

Для каждого раунда $i=0,1,\dots ,n$, вычислить

$(L_{i+1}',R_{i+1}')=\mathrm {H} (L_{i}'+T_{i},R_{i}'+T_{i}),$

где $T_{i}=\mathrm {F} (L_{i}'-R_{i}',K_{i})$, и $(L_{0}',R_{0}')=\mathrm {H} (L_{0},R_{0})$.

Тогда зашифрованный текст $(L_{n+1},R_{n+1})=(L_{n+1}',R_{n+1}')$.

Расшифровка зашифрованного текста $(L_{n+1},R_{n+1})$ достигается путем вычисления для $i=n,n-1,\ldots ,0$

$(L_{i}',R_{i}')=\mathrm {H} ^{-1}(L_{i+1}'-T_{i},R_{i+1}'-T_{i}),$

где $T_{i}=\mathrm {F} (L_{i+1}'-R_{i+1}',K_{i})$, и $(L_{n+1}',R_{n+1}')=\mathrm {H} ^{-1}(L_{n+1},R_{n+1})$.

Затем $(L_{0},R_{0})=(L_{0}',R_{0}')$ это снова открытый текст.

Схема Лая-Месси предлагает свойства безопасности, аналогичные свойствам структуры Фейстеля . У нее также есть преимущество перед сетью подстановки-перестановки, заключающееся в том, что функция округления $\mathrm {F}$ не обязательно должен быть обратимым.

Полукруглая функция необходима для предотвращения тривиальной различительной атаки ( $L_{0}-R_{0}=L_{n+1}-R_{n+1}$) . Обычно применяется ортоморфизм $\sigma$ с левой стороны, то есть

$\mathrm {H} (L,R)=(\sigma (L),R),$

где оба $\sigma$ и $x\mapsto \sigma (x)-x$ являются перестановками (в математическом смысле, то есть биекцией, а не полем перестановок ). Поскольку для битовых блоков (групп размером $2^{n}$), вместо этого используются «почти ортоморфизмы».

$\mathrm {H}$ может зависеть от ключа. Если это не так, последнее применение можно опустить, поскольку его обратное и так известно. Последнее применение принято называть «круглым». $n.5$"для шифра, который в противном случае имеет $n$ раунды.

Литература

• Х. Лай. О конструкции и безопасности блочных шифров . Серия ETH по обработке информации, том. 1, Хартунг-Горре, Констанц, 1992 г.
• X. Лай, Дж. Л. Мэсси. Предложение по новому стандарту блочного шифрования . Достижения в криптологии EUROCRYPT'90 , Орхус, Дания, LNCS 473, стр. 389–404, Спрингер, 1991 г.
• Серж Водене: Классическое введение в криптографию , с. 33