Überblick über die Vorlesung 4 Symmetrische Verfahren ...

4 Symmetrische Verfahren – Differentielle Kryptoanalyse
2
3-Runden-Charakteristik mit p Ω 14
= ≈ 0,05
64
Ω m = (00 80 82 00 60 00 00 00)
p Ω =
1
14
64
y 1 ‘ = (00 80 82 00)
f
x 1 ‘ = (60 00 00 00)
k 1
p Ω = 1
2
y 2 ‘ = (00 00 00 00)
f
x 2 ‘ = (00 00 00 00)
k 2
p Ω =
3
14
64
y 3 ‘ = (00 80 82 00)
f
x 3 ‘ = (60 00 00 00)
k 3
Ω c = (00 80 82 00 60 00 00 00)
Kryptographie und Kryptoanalyse 160
4 Symmetrische Verfahren – Differentielle Kryptoanalyse
Iterative Charakteristik Ω = (Ω m , Ω Λ , Ω c )
• L Ω m = R Ω c R Ω m = L Ω c
• basiert auf Si I ’ Si O ’ mit Si I ’ ≠ 0 Si O ’ = 0
• kann zur Konstruktion von n-Runden-Charakteristiken
verwendet werden mit begrenzter Verringerung von p Ω
Ω m = (L Ω m,00 00 00 00)
p Ω = 1
1
y 1 ‘ = (00 00 00 00)
f
x 1‘ = (00 00 00 00)
k 1
p Ω
2
y 2 ‘ = (00 00 00 00)
f
x 2‘ = (L Ω m)
k 2
Ω c = (00 00 00 00, L Ω m)
Kryptographie und Kryptoanalyse 161
4 Symmetrische Verfahren – Differentielle Kryptoanalyse
• Falsche Paare liefern nicht notwendigerweise den richtigen
Teilschlüssel
Betrachten der Schnittmenge i. Allg. nicht möglich
• Richtiger Teilschlüssel jedoch häufiger vertreten (mit
Wahrscheinlichkeit p Ω von den richtigen Paaren geliefert,
dazu kommt zufälliges Auftreten in falschen Paaren)
• DES: Erschweren der differentiellen Kryptoanalyse durch
entsprechende Designkriterien für die Substitutionen und
Permutationen
Don Coppersmith: The Data Encryption Standard and its strength
against attacks. IBM Journal of Research and Development 38/3,
1994, 243-250.
• Wichtiges Designkriterium:
möglichst hohe Anzahl aktiver S-Boxen pro Runde
Kryptographie und Kryptoanalyse 162
25