Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

Dann ist a t+n = n−1 ∑c i a t+i , t = r, r + 1, . . ., r + n − 1, d.h.i=0⎛ ⎞ ⎛⎞ ⎛ ⎞a r+n a r . . . a r+n−1 c 0⎜⎝ . ⎟⎠ = a r+1 . . . a r+n⎜⎟ ⎜⎝ . . ⎠ ⎝ . ⎟⎠a r+2n−1 a r+n−1 . . . a r+2n−2 c n−1} {{ }=: ADie Matrix A ist bekannt und nach 6.6.1 invertierbar.⎛ ⎞ ⎛ ⎞c 0 a r+n⎜ ⎟Damit lässt sich ⎝ . ⎠ = A −1 ⎜ ⎟⎝ . ⎠ bestimmen.c n−1 a r+2n−1Es bleibt allerdings folgendes Problem:Wenn der Angreifer ein Teilstück der Schieberegisterfolge kennt, so kanner i. Allg. nicht wissen, ob dieses Teilstück mindestens Länge 2n, n lineareKomplexität der Schieberegisterfolge, hat oder nicht. Und selbst wenn dasTeilstück mindestens Länge 2n besitzt, so kennt er zunächst einmal n nicht.Für das letztgenannte Problem gibt es jedoch eine Lösung:Man kann auch für endliche Bitfolgen (a 0 , . . .,a r ) den Begriff der linearenKomplexität definieren: Dies ist die kleinste Länge eines LSR, dessen Output-Folge mit (a 0 , . . ., a r ) beginnt. Es gibt einen Algorithmus von Berlekamp undMassey, der zu gegebener Bitfolge (a 0 , . . ., a r ) deren lineare Komplexität mitO(r 2 ) Bit-Operationen bestimmt. Ist also r ≥ 2n, so bestimmt der Berlekamp-Massey-Algorithmusnach 6.6.2 auch die lineare Komplexität der gesamtenSchieberegisterfolge und das minimale LSR kann bestimmt werden. 346.7 Schieberegister zur SchlüsselstromerzeugungWir hatten in Unterkapitel 6.6 gesehen, dass LSR zur Erzeugung von Schlüsselströmenkaum geeignet sind. Dies ist insbesondere bei additiven binärenStromchiffren der Fall, wo Mallory bei einer Known-Plaintext-Attack beigenügend langem Klartext (Länge ≥ 2·lineare Komplexität der Schieberegisterfolge)durch m i ⊕c i (m 1 , m 2 , . . . Klartextfolge, c 1 , c 2 , . . . zugehörige Chiffretextfolge)einen Teil des Schlüsselstroms ermitteln kann, der ausreicht, um34 Literatur: Lidl, Niederreiter [36] oder Menezes et al. [37]103