Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

e) Es gibt vier sog. schwache Schlüssel beim DES. Sie haben die Eigenschaft,dass alle erzeugten Rundenschlüssel gleich sind. Die schwachenSchlüssel sind: (00000001) 8 , (11111110) 8 , (00011111) 4 (00001110) 4 ,(11100000) 4 (11110001) 4Für diese schwachen Schlüssel gilt: E k (E k (m)) = mSchwache Schlüssel müssen vermieden werden. Außerdem gibt es insgesamt12 Schlüssel, die nur zwei verschiedene Rundenschlüssel erzeugen.Diese heißen semischwache Schlüssel und sollten ebenfalls vermiedenwerden. Diese 12 Schlüssel lassen sich in 6 Paare (k 1 , k 2 ) aufteilen, sodass E k1 (E k2 (m)) = m.f) Keine der S-Boxen beschreibt eine (affin-) lineare Funktion, ebensowenigwie das gesamte DES als (affin-) lineare Funktion (bei gegebenemSchlüssel) beschrieben werden kann. Der DES ist also gegen die einfachenAngriffe, die bei (affin-) linearen Blockchiffren möglich sind, sicher.Auch gegen kryptoanalytische Angriffe, die darauf beruhen, das Verschlüsselungsverfahren(bei festem Schlüssel) durch eine lineare Funktionzu approximieren – sogenannte lineare Kryptoanalyse (Known-Plaintext-Angriff) 16 – erwies sich DES als ausreichend sicher: Für das16-Runden DES werden 2 43 Klartext-Chiffretextblockpaare benötigt,um mit dieser Methode den Schlüssel zu bestimmen 17 . Allerdings istsie besser als differentielle Kryptoanalyse (die wir in 4.10 behandeln)und vollständige Durchsuchung des Schlüsselraums. Man beachte: 2 43Blockpaare entsprechen ca. 140 TByte, das ist in etwa der Inhalt von200 Millionen Büchern.Beachte: Die Methode der linearen Kryptoanalyse war den Designernvon DES (im Gegensatz zur differentiellen Kryptoanalyse) nicht bekannt.Die S-Boxen sind bezüglich linearer Kryptoanalyse nicht optimiert.g) Jedes Chiffretextverfahren, das die Gruppeneigenschaft besitzt, wo alsodie Hintereinanderausführung zweier Verschlüsselungen mit den Schlüsselnk 1 , k 2 einer Verschlüsselung mit einem Schlüssel k 3 entspricht, hateine gewisse innere Symmetrie, die für kryptoanalytische Angriffe nutzbargemacht werden kann. Das DES hat jedoch nicht diese Eigenschaft,d.h. für die Schlüssel k 1 , k 2 ist i.a. E k1 ◦ E k2 ≠ E k3 für alle Schlüssel k 3 .16 M. Mitsui; Linear cryptoanalysis method for DES cipher, Adv. in Cryptology-EUROCRYPT ’93, Springer LNCS 765, 1994, S. 386-397.17 vgl. [38]63