4.5 Feistel-ChiffrenFeistel-Chiffren sind benannt nach dem IBM-Ingenieur Horst Feistel (1915-1990), der 1971 einen Chiffrieralgorithmus namens LUCIFER entwickelte,welcher als Vorläufer des DES (Data Encryption Standard) anzusehen ist.Das typische Konstruktionsprinzip von LUCIFER ist in der Definition vonFeistel-Chiffren beinhaltet. Auf den DES werden wir im nächsten bzw. übernächstenAbschnitt eingehen.Feistel-Chiffren realisieren den Vorschlag Shannons, alternierendeFolgen von Block-Substitutionen <strong>und</strong> Transpositionenzur Diffusions- <strong>und</strong> Konfusionserzeugung zu verwenden,<strong>und</strong> beruhen außerdem auf der Idee, aus einem(kurzen) Ausgangsschlüssel eine Folge von Schlüsseln fürdie Substitutionen zu erzeugen.Zutaten für eine Feistel-Chiffre:Eine Menge K der möglichen sogenannten R<strong>und</strong>enschlüssel<strong>und</strong> zu jedem K ∈ K eine Funktion f K :t 2 →t 2 .Konstruktion der Feistel-Chiffre (zur gegebenen Blockchiffre):Feistel-Chiffre ist Blockchiffre über2, Blocklänge 2t.Festlegung einer R<strong>und</strong>enzahl r ≥ 1 <strong>und</strong> eines SchlüsselraumsK F (i. Allg. K F ≠ K).Wahl einer Methode, die aus einem Schlüssel k ∈ K F eineFolge K 1 , . . .K r ∈ K von R<strong>und</strong>enschlüsseln erzeugt. 13Verschlüsselungsfunktion E k (zum Schlüssel k ∈ K F ) derFeistel-Chiffre:Sei v ein Klartextblock der Länge 2t (d.h. v ∈2t2 ).Teile v in zwei Hälften der Länge t auf:v = (L 0 , R 0 )↑ ↑linke Hälfte rechte HälfteKonstruiere eine Folge (L i , R i ), i = 1, . . ., r − 1 nach folgenderVorschrift:(L i , R i ) = (R i−1 , L i−1 ⊕ f Ki (R i−1 ))L+L 1+Klartextblockv0RKfKf12RL 2R 2L r-1+LrKfChiffretextblockE (v) krR01R rAbbildung 7:Schematischer Ablaufeiner Feistel-Chiffrierungr-113 Wie eine solche Methode realisiert werden kann, sehen wir im nächsten Abschnitt.50
[Also:(L i−1 , R i−1 )Substitution des linken Teilblocksdurch Addition des” Schlüsselworts“ f K i(R i−1 )−−−−−−−−−−−−−−−−−−→ (L i−1 ⊕ f Ki (R i−1 ), R i−1 )Transposition(Vertauschen derbeiden Teilblöcke)−−−−−−−−−−−−→ (R i−1 , L i−1 ⊕ f Ki (R i−1 )) = (L i , R i ) ]Schließlich in der r-ten R<strong>und</strong>e:(L r , R r ) = (L r−1 ⊕ f Kr (R r−1 ), R r−1 )[Hier keine Transposition mehr.]E k (v) = (L r , R r ), ChiffretextblockEntschlüsselung:Wie Verschlüsselung, nur mit der Schlüsselfolge (K r , K r−1 , . . .,K 1 ).Begründung: Wir setzen L ′ 0 = L r, R 0 ′ = R r, K i ′ = K r+1−i, i = 1, . . ., r.Wir verschlüsseln (L ′ 0, R 0) ′ mit der Folge (K 1, ′ . . .,K r) ′ <strong>und</strong> betrachten dieZwischenresultate (L ′ i , R′ i ), i = 1, . . ., r.1. R<strong>und</strong>e:(L ′ 1, R ′ 1) = (R ′ 0, L ′ 0 ⊕ f K ′1(R ′ 0)) = (R r , L r ⊕ f Kr (R r ))2. R<strong>und</strong>e:= (R}{{} r−1 , L r−1 ⊕ f Kr (R r−1 )} {{ }R rL r⊕ f Kr (R r−1}{{}R r) = (R r−1 , L r−1 )} {{ }(0,...0)←−t−→(L ′ 2 , R′ 2 ) = (R′ 1 , L′ 1 ⊕ f K ′ 2 (R′ 1 )) = (L r−1, R r−1 ⊕ f Kr−1 (L r−1 ))= (R}{{} r−2 , L r−2 ⊕ f Kr−1 (R r−2 )} {{ }L r−1R r−1⊕ f Kr−1 (R r−2}{{}L r−1)) = (R r−2 , L r−2 )Am Ende der (r − 1)-ten R<strong>und</strong>e hat man dann:51
- Seite 1: Universität TübingenWilhelm-Schic
- Seite 5 und 6: Abbildungsverzeichnis1 Grundschema
- Seite 7 und 8: EinleitungKryptologie: Wissenschaft
- Seite 9 und 10: 1 GrundbegriffeKlartext (plaintext)
- Seite 11 und 12: Bei symmetrischen Verschlüsselungs
- Seite 13 und 14: • Uneingeschränkt sicher:Auch be
- Seite 15 und 16: werden permutiert. Zeichen bleiben
- Seite 17 und 18: 2.2 Kryptoanalyse monoalphabetische
- Seite 19 und 20: Buchstabe Anzahl Häufigkeit Buchst
- Seite 22 und 23: 1 2 n.. . . . . . ... .. . .. .. f(
- Seite 24 und 25: Eine solche Chiffrierung heißt pol
- Seite 26 und 27: Also entspricht die Häufigkeit ein
- Seite 28 und 29: alle drei Monate, dann jeden Tag, d
- Seite 30 und 31: EEIYWX JLNRRU UYVCJC BELDHZ YVSKFE
- Seite 32 und 33: erzeugten Texten.(zum Vergleich: κ
- Seite 34 und 35: d ≈0, 0377l(l − 1)κ(c) − 0,
- Seite 36 und 37: kommt allerdings der in deutschen T
- Seite 38 und 39: Zur Verdeutlichung dieser Tatsache
- Seite 40 und 41: Dies ist eine bedingte Wahrscheinli
- Seite 42 und 43: 4 Symmetrische BlockchiffrenWir bet
- Seite 44 und 45: Das haben wir schon in 2.1(b) über
- Seite 46 und 47: Die Dechiffrierung von w = vA + b e
- Seite 48 und 49: δ > 0.Bei einem Chosen-Plaintext-A
- Seite 52 und 53: (L ′ r−1 , R′ r−1 ) = (R 1,
- Seite 54 und 55: an den Positionen 8, 16, 24, . . .,
- Seite 56 und 57: Schlüsselpermutation57 49 41 33 25
- Seite 58 und 59: S-Box 47 13 14 3 0 6 9 10 1 2 8 5 1
- Seite 60 und 61: die S-Boxen in Runde i + 1 sorgt.)W
- Seite 62 und 63: Sicherheit erhöhen können. Dies w
- Seite 64 und 65: Die 2 56 DES -Verschlüsselungsfunk
- Seite 66 und 67: Da S-Boxen nichtlinear sind, kann g
- Seite 68 und 69: auftreten. Die Nichtlinearität wä
- Seite 70 und 71: ten; die S-Box verhält sich für s
- Seite 72 und 73: Nur 2 Möglichkeiten für ( ¯B 1 ,
- Seite 74 und 75: Wendet man mit solchen Klartextblö
- Seite 76 und 77: Wie oben geschildert ist x 13 +x 11
- Seite 78 und 79: Als Element von2 8 ist also x2 das
- Seite 80 und 81: ) Rijndael ist eine iterierte Block
- Seite 82 und 83: ⎛⎜⎝1 0 0 0 1 1 1 11 1 0 0 0 1
- Seite 84 und 85: Wende auf b, c, d, a die SubBytes-T
- Seite 86 und 87: Als Beispiel sei genannt:M. Gorski,
- Seite 88 und 89: 5 Betriebsarten von BlockchiffrenBl
- Seite 90 und 91: sind nur m i und m i+1 beeinflusst,
- Seite 92 und 93: solange aus, bis der fehlerhafte Bl
- Seite 94 und 95: 6.2 Selbstsynchronisierende Stromch
- Seite 96 und 97: 6.3 SchieberegisterDef.:Ein (rückg
- Seite 98 und 99: Beispiele:Sei K =2.a) f(x 3 , x 2 ,
- Seite 100 und 101:
Es gilt: Es gibt genau ϕ(2n −1)n
- Seite 102 und 103:
C m v 0 = v m . Daher:v m , . . .,v
- Seite 104 und 105:
mit den am Ende von 6.6 beschrieben
- Seite 106 und 107:
6.8 Spezielle Stromchiffrena) A5-Fa
- Seite 108 und 109:
Ein anderer Punkt ist außerdem von
- Seite 110 und 111:
(3) Für jeden probabilistischen po
- Seite 112 und 113:
• Die Bedingung in 7.2 für den v
- Seite 114 und 115:
teilung auf {0, 1} l(n) . D kann ˜
- Seite 116 und 117:
a) Kryptographisch sichere Pseudozu
- Seite 118 und 119:
(a) Informationsverlust von f (d.h.
- Seite 120 und 121:
Für alle x ∉ L : pr[M(x) = 0]
- Seite 122 und 123:
[14] Leonore Blum, Manuel Blum and
- Seite 124:
[45] Michael Welschenbach. Kryptogr