Саймон (шифр)
 |
 Один раунд Саймона | |
| Общий | |
|---|---|
| Дизайнеры | Рэй Болье, Дуглас Шорс, Джейсон Смит, Стефан Тритман-Кларк, Брайан Уикс, Луис Уингерс, АНБ |
| Впервые опубликовано | 2013 [1] |
| Связано с | Спек |
| Деталь шифрования | |
| Размеры ключей | 64, 72, 96, 128, 144, 192 или 256 бит. |
| Размеры блоков | 32, 48, 64, 96 или 128 бит |
| Структура | Сбалансированная сеть Фейстеля |
| Раунды | 32, 36, 42, 44, 52, 54, 68, 69 или 72 (в зависимости от размера блока и ключа) |
| Скорость | 7,5 cpb (21,6 без SSE ) на Intel Xeon 5640 (Simon128/128) |
| Лучший публичный криптоанализ | |
| Дифференциальный криптоанализ может сломать 46 раундов Simon128/128 с помощью 2 125.6 данные, 2 40.6 байт памяти и временная сложность 2 125.7 с вероятностью успеха 0,632. [2] [3] [4] | |
Simon — семейство облегченных блочных шифров, публично опубликованное Агентством национальной безопасности (АНБ) в июне 2013 года. [5] [1] Simon был оптимизирован для производительности аппаратных реализаций, а его родственный алгоритм Speck — для программных реализаций. [6] [7]
АНБ начало работу над шифрами Саймона и Спека в 2011 году. Агентство ожидало, что некоторым агентствам федерального правительства США понадобится шифр, который будет хорошо работать на разнообразном наборе устройств Интернета вещей , сохраняя при этом приемлемый уровень безопасности. [8]
Описание шифра [ править ]
Блочный шифр Саймона — это сбалансированный шифр Фейстеля с n- битным словом, поэтому длина блока равна 2 n . Длина ключа кратна n на 2, 3 или 4, что соответствует значению m . Поэтому реализация шифра Саймона обозначается как Simon2 n / nm . Например, Simon64/128 относится к шифру, работающему с 64-битным блоком открытого текста ( n = 32), который использует 128-битный ключ. [1] Блочный компонент шифра одинаков для всех реализаций Саймона; однако логика генерации ключей зависит от реализации 2, 3 или 4 ключей.
Саймон поддерживает следующие комбинации размеров блоков, размеров ключей и количества раундов: [1]
| Размер блока (биты) | Размер ключа (биты) | Раунды |
|---|---|---|
| 32 | 64 | 32 |
| 48 | 72 | 36 |
| 96 | 36 | |
| 64 | 96 | 42 |
| 128 | 44 | |
| 96 | 96 | 52 |
| 144 | 54 | |
| 128 | 128 | 68 |
| 192 | 69 | |
| 256 | 72 |
Описание ключевого расписания [ править ]
Позволять влево запишите круговой сдвиг на биты.
Ключевой график математически описывается как
Основная структура расписания может быть сбалансированной, а может и не быть сбалансированной. Количество ключевых слов используется для определения структуры расширения ключа, в результате чего общая разрядность равна . Расширение ключевого слова состоит из сдвига вправо, XOR и постоянной последовательности. . бит работает с младшим битом ключевого слова один раз за раунд. [7]
Описание постоянной последовательности [ править ]
Постоянная последовательность, , создается регистром сдвига с линейной обратной связью ( LFSR ). Логическая последовательность битовых констант задается значением ключа и размерами блоков. LFSR создается 5-битным полем. Постоянный бит обрабатывает ключевой блок один раз за раунд с младшим битом, чтобы добавить независимую от ключа энтропию к ключевому расписанию. LFSR имеет разную логику для каждого последовательность; однако начальные условия для шифрования такие же. Начальное состояние LFSR для расшифровки варьируется в зависимости от раунда.
| Постоянная последовательность |
|---|
Криптоанализ [ править ]
Разработчики утверждают, что Simon, хотя и является «облегченным» шифром, спроектирован так, чтобы обеспечить полную возможную безопасность для каждого блока и размера ключа от стандартных атак с выбранным открытым текстом (CPA) и выбранным зашифрованным текстом (CCA) . Устойчивость к атакам с использованием связанных ключей также была заявлена как цель, хотя и менее важная, поскольку атаки в этой модели не подходят для типичных случаев использования. [9] : 2 Не было предпринято никаких усилий для противодействия атакам в модели атаки с распознаванием известного ключа , и разработчики не оценивали возможности использования Simon в качестве хэш-функции . [10]
По состоянию на 2018 год об успешных атаках на Саймона в любом варианте неизвестно. Благодаря интересу к Саймону и Спекам по ним было опубликовано около 70 статей по криптоанализу. [9] : 10 Как это типично для итерированных шифров , варианты с уменьшенным циклом были успешно атакованы. Лучшие опубликованные атаки на Саймона в стандартной модели атаки (CPA/CCA с неизвестным ключом) — это атаки дифференциального криптоанализа ; они проходят примерно 70–75% раундов большинства вариантов, хотя эти лучшие атаки лишь незначительно быстрее, чем грубая сила . [11] [12] [13] [9] : 12 Команда разработчиков заявляет, что при разработке Simon они обнаружили, что дифференциальные атаки являются ограничивающими атаками, то есть типом атаки, который проходит наибольшее количество раундов; затем они установили количество раундов, чтобы оставить запас безопасности, аналогичный AES-128 , примерно на уровне 30%. [9] : 12–13
| Вариант | Раунды атакованы | Временная сложность | Сложность данных | Тип атаки |
|---|---|---|---|---|
| Саймон128/256 | 53/72 (74%) | 2 248 | 2 127.6 | Линейный корпус [11] |
| Саймон128/192 | 51/69 (74%) | 2 184 | 2 127.6 | Линейный корпус [11] |
| Саймон128/128 | 49/68 (72%) | 2 120 | 2 127.6 | Линейный корпус [11] |
| Саймон96/144 | 38/54 (70%) | 2 136 | 2 95.2 | Линейный корпус [11] |
| Саймон96/96 | 37/52 (71%) | 2 88 | 2 95.2 | Линейный корпус [11] |
| Саймон64/128 | 31/44 (70%) | 2 120 | 2 63.5 | Линейный корпус [11] |
| Саймон64/96 | 30/42 (71%) | 2 88 | 2 63.5 | Линейный корпус [11] |
| Саймон48/96 | 25/36 (69%) | 2 80 | 2 47.9 | Линейный корпус [11] |
| Саймон48/72 | 24/36 (67%) | 2 56 | 2 47.9 | Линейный корпус [11] |
| Саймон32/64 | 24/32 (75%) | 2 63 | 2 32 | Интеграл [12] |
Саймона критиковали за слишком маленький запас безопасности, то есть слишком мало раундов между лучшими атаками и полным шифром, по сравнению с более консервативными шифрами, такими как ChaCha20 . [14] Шифры с небольшим запасом безопасности с большей вероятностью будут взломаны будущими достижениями криптоанализа . Команда разработчиков Саймона возражает, что неоправданно большие запасы безопасности, особенно на легких устройствах, требуют реальной стоимости, что криптоанализ на этапе проектирования позволил правильно установить количество раундов и что они нацелены на запас безопасности AES. [9] : 17
Саймон включает счетчик раундов в расписание ключей . Разработчики заявляют, что это было включено для блокировки слайдового и ротационного криптоанализа . атак [9] : 16 Тем не менее, криптоанализ с ротационным исключающим ИЛИ использовался для поиска отличий от версий родственных шифров с уменьшенным числом раундов, таких как Speck. [15] Хотя авторы не описывают стандартные атаки с восстановлением ключей, основанные на их различителях, их лучшие распознаватели на Simon32 и Simon48 в модели атаки с различением известных ключей для определенных классов слабых ключей проходят немного больше раундов, чем лучшие дифференциальные различители. Один из авторов сказал, что его исследование было ограничено ресурсами и что, вероятно, возможны распознаватели ротационного XOR на большем количестве раундов. Разработчики также заявляют, что Simon не был разработан для защиты от атак с использованием различения известных ключей (которые не ставят под угрозу конфиденциальность шифров напрямую). [10] : 8
Разработчики заявляют, что криптоанализ АНБ обнаружил, что у алгоритмов нет недостатков, а безопасность соответствует длине их ключей. [8] : 2 Команда разработчиков сообщает, что их криптоанализ включал линейный и дифференциальный криптоанализ с использованием стандартных методов, таких как алгоритм Мацуи и решатели SAT/SMT, хотя полный список использованных методов не приводится. [9] : 10 Разработчиков Саймона критиковали за то, что они не предоставили более подробную информацию о криптоанализе шифров АНБ. [16]
АНБ одобрило Simon128/256 и Speck128/256 для использования в системах национальной безопасности США, хотя AES-256 по-прежнему рекомендуется для приложений без ограничений. [17]
Усилия по и противоречия стандартизации
Первоначальные попытки стандартизировать Саймона и Спека не смогли удовлетворить требования Международной организации по стандартизации, требуемого для этого процесса, и шифры не были приняты. супербольшинства [18] [16] Делегаты-эксперты в ISO из нескольких стран, включая Германию, Японию и Израиль, выступили против усилий АНБ по стандартизации шифров Саймона и Спека , ссылаясь на опасения, что АНБ настаивает на их стандартизации, зная об уязвимых местах в шифрах. Эта позиция была основана на частичных доказательствах слабостей шифров, отсутствии явной необходимости в стандартизации новых шифров и предыдущем участии АНБ в создании и продвижении скрытого криптографического алгоритма Dual_EC_DRBG . [19] [20]
В ответ на обеспокоенность АНБ заявило, что более 70 документов по анализу безопасности, написанных некоторыми ведущими криптографами мира, подтверждают вывод АНБ о том, что алгоритмы безопасны, и АНБ подтвердило, что ему не известно о каких-либо криптоаналитических методах, которые позволили бы им или кому-либо еще эксплуатировать Саймона или Спека.
После того, как первоначальные попытки стандартизировать шифры потерпели неудачу, ISO стандартизировала Саймона и Спека в других рабочих группах. По состоянию на октябрь 2018 года шифры Саймона и Спека были стандартизированы ISO как часть стандарта радиоинтерфейса RFID, международного стандарта ISO/29167-21 (для Саймона) и международного стандарта ISO/29167-22 (для Спека), что делает они доступны для использования коммерческими организациями.
См. также [ править ]
Ссылки [ править ]
- ↑ Перейти обратно: Перейти обратно: а б с д Семейства облегченных блочных шифров Саймона и Спека (PDF) . Электронная печать . Проверено 16 июня 2016 г.
- ^ «Дифференциальный и линейный криптоанализ Саймона с уменьшенным раундом» . Проверено 16 апреля 2014 г.
- ^ Абед, Фарзане; Лист, Эйк; Удачи, Стефан ; Венцель, Якоб (27 марта 2014 г.). Дифференциальный криптоанализ Саймона и Спека с круглым сокращением (PDF) . ФШЭ 2014 Слайды конференции . Университет Баухаус в Веймаре.
- ^ Алхзаими, Хода; Лауридсен, Мартин (28 августа 2013 г.), Криптоанализ семейства блочных шифров SIMON (PDF) , Международная ассоциация криптологических исследований (IACR) - через архив криптологии ePrint
- ^ Шнайер, Брюс. «САЙМОН и СПЕК: Новые алгоритмы шифрования АНБ» . Шнайер по безопасности . Проверено 17 июля 2013 г.
- ^ Клэр Сведберг (17 июля 2015 г.). «АНБ предлагает блочные шифры для обеспечения безопасности передачи RFID» . RFID-журнал . Архивировано из оригинала 17 июля 2015 года.
- ↑ Перейти обратно: Перейти обратно: а б Брайан Дегнан и Грегори Дургин (10 ноября 2017 г.). «Simontool: Поддержка моделирования для шифра Саймона» . Журнал IEEE по радиочастотной идентификации . 1 (2): 195–201. Бибкод : 2017IJRFI...1..195D . дои : 10.1109/JRFID.2017.2771216 . S2CID 37476795 .
- ↑ Перейти обратно: Перейти обратно: а б Болье, Рэй; Шорс, Дуглас; Смит, Джейсон; Тритман-Кларк, Стефан; Уикс, Брайан; Вингер, Луис. «Саймон и Спек: блочные шифры для Интернета вещей» (PDF) . Проверено 23 ноября 2017 г.
- ↑ Перейти обратно: Перейти обратно: а б с д и ж г «Заметки по проектированию и анализу Саймона и Спека» (PDF) . 19 января 2018 г. Проверено 13 июня 2018 г.
- ↑ Перейти обратно: Перейти обратно: а б Болье, Рэй; Шорс, Дуглас; Смит, Джейсон; Тритман-Кларк, Стефан; Уикс, Брайан; Вингерс, Луис (19 июня 2013 г.). «Семейства облегченных блочных шифров SIMON и SPECK» . Проверено 20 сентября 2016 г.
- ↑ Перейти обратно: Перейти обратно: а б с д и ж г час я дж Чен, Хуайфэн; Ван, Сяоюнь (19 января 2018 г.). «Улучшенная линейная атака корпуса SIMON с уменьшенным количеством раундов с помощью методов динамического подбора ключей» (PDF) . Проверено 13 июня 2018 г.
- ↑ Перейти обратно: Перейти обратно: а б Чу, Чжихуэй; Чен, Хуайфэн; Сяоюнь, Ван; Донг, Сяоян; Ли, Лу (19 января 2018 г.). «Улучшенные интегральные атаки на SIMON32 и SIMON48 с помощью методов динамического подбора ключей» . Сети безопасности и связи . 2018 : 5160237:1–5160237:11. дои : 10.1155/2018/5160237 .
- ^ Ли, ХоЧанг; Ким, Соджин; Кан, ХёнЧхоль; Хонг, Дыкджо; Сун, Джечоль; Хон, Сохи (февраль 2018 г.). «Вычисление приблизительной вероятности дифференциалов для шифрования на основе ARX с использованием решателя SAT». Журнал Корейского института информационной безопасности и криптологии (на корейском языке). 28 (1): 15–24. дои : 10.13089/JKIISC.2018.28.1.15 .
- ^ Бернштейн, Дэниел Дж. [@hashbreaker] (12 апреля 2016 г.). «АНБ утверждает, что сломать 70% Simon+Speck — это нормально» ( твит ) . Проверено 13 июня 2018 г. - через Twitter .
- ^ Лю, Юньвэнь; Де Витте, Гленн; Ранея, Адриан; Ашур, Томер (2017). «Вращательный XOR-криптоанализ SPECK с уменьшенным числом раундов» (PDF) . Проверено 13 июня 2018 г.
- ↑ Перейти обратно: Перейти обратно: а б Ашур, Томер. «[PATCH v2 0/5] крипто: поддержка Speck» .
- ^ Агентство национальной безопасности (18 ноября 2016 г.). «Алгоритмы для поддержки эволюции потребностей в обеспечении информации» .
- ^ Понимание причин, по которым Спек и Саймон были отклонены от стандартизации ISO.
- ^ «Недоверчивые союзники США вынуждают шпионское агентство отступить в борьбе за шифрование» . Рейтер . 21 сентября 2017 г.
- ^ Ашур, Томер; Луйкс, Атул (15 января 2021 г.). «Отчет о стандартизации ISO / IEC семейств блочных шифров Саймона и Спека». В Авойне Гильдас; Эрнандес-Кастро, Хулио (ред.). Безопасность повсеместных вычислительных систем . Спрингер. стр. 63–78. дои : 10.1007/978-3-030-10591-4_4 . ISBN 978-3-030-10590-7 . S2CID 234119694 .
