Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

Meet-in-the-Middle Angriff erfordert jetzt etwa 2 113 Berechnungen, undder benötigte Speicherplatz ist exorbitant.4.6.4 Effizienz der DES-VerschlüsselungBei Software-Implementation ist (abhängig vom jeweils verwendeten Compiler)eine Verschlüsselungsrate von ca. 100 Mbit/sec möglich. Hardware-Implementationen sind ca. um einen Faktor 10 schneller.(∗) 4.7Differentielle Kryptoanalyse am Beispiel des DESa) Die Differentielle Kryptoanalyse ist ein Chosen-Plaintext-Angriff, der vonE. Biham und A. Shamir 1990 vorgestellt wurde ([11], [12]), aber offenbarden Entwicklern des DES schon bekannt war (siehe [18] 19 ). Wir stellen dasVerfahren zunächst für den DES mit wenigen Runden vor (ohne IP, IP −1 )und zeigen dann, wie es auf größere Rundenzahlen ausgedehnt werden kann.Wir beschreiben zunächst die Grundüberlegung.Da affin-lineare Chiffren leicht zu brechen sind (vgl. 4.3), enthält der DESnicht-lineare Anteile. In jeder Runde ist die einzige Nichtlinearität (bis aufdie Rundenschlüsseladdition - diese ist aber affin) in den S-Boxen enthalten,d.h. im Allgemeinen giltS i (B ⊕ B ∗ ) ≠ S i (B) ⊕ S i (B ∗ ).Dennoch ist die Betrachtung der binären Summen (=binären Differenzen)B ⊕ B ∗ sinnvoll. Der Grund ist folgender: In einer Runde des DES ist derRundenschlüssel K für den Angreifer die einzige Unbekannte. Kennt er denInput R ∈322 (vgl. Abbildung 9, S. 59), so auch E = e(R), aber nichtE⊕K, und daher auch nicht den Input für die S-Boxen, die P-Box, die nächsteRunde. Betrachtet man jedoch Inputs R, R ∗ und deren “Differenz“ R⊕R ∗ , sokennt man e(R)⊕e(R ∗ ) = e(R⊕R ∗ ) und e(R)⊕K⊕e(R ∗ )⊕K = e(R)⊕e(R ∗ ),d.h. für die Differenz spielt die Schlüsseladdition keine Rolle.Also:R ⊕ R ∗ bekannt ⇔B i ⊕ Bi ∗ , i = 1, . . .,8 bekannt(B i , Bi ∗ Input von S-Box S i )(α)19 online unter http://www.research.ibm.com/journal/rd/383/coppersmith.pdf65