Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

Da S-Boxen nichtlinear sind, kann gleiche Eingabedifferenz zu verschiedenenAusgabedifferenzen führen, d.h. durch B i ⊕ B ∗ i ist S i (B i ) ⊕ S i (B ∗ i ) = c i ⊕ c ∗ inicht festgelegt.Im Anschluss an die S-Boxen gilt wieder:c i ⊕ c ∗ i , i = 1, . . .,8 bekannt ⇔ f K(R) ⊕ f K (R ∗ )(= P(C) ⊕ P(C ∗ )= P(C ⊕ C ∗ (β))) bekannt(C = (c 1 , . . .,c 8 ), C ∗ = (c ∗ 1, . . .,c ∗ 8))Damit:Bei Betrachtung der Differenzen R ⊕ R ∗ beim Durchgang durch eine Rundeist einzig der ÜbergangB i ⊕ Bi ∗ → c i ⊕ c ∗ i , i = 1, . . ., 8nicht eindeutig festgelegt. B i ⊕ B ∗ i heißt Input-Differenz für die S-Box S i ,c i ⊕ c ∗ i = S i(B i ) ⊕ S i (B ∗ i ) heißt Output-Differenz der S-Box S i.Beachte: Es gibt 64 mögliche Input-Differenzen, aber nur 16 mögliche Output-Differenzen.Man untersucht nun für jede S-Box S i den Zusammenhang zwischen Input-Differenzen und Output-Differenzen. Sei B ′ ∈6 2 eine vorgegebene Input-Differenz. Es gibt 64 Paare (B, B ∗ ) ∈6 2 ×6 2 mit Differenz B ′ : B ⊕B ∗ = B ′ ,nämlich alle (B, B ⊕ B ′ ), B ∈6 2 . (Für B ′ ≠ 0 sind das 32 verschiedeneungeordnete Paare, denn (B ⊕ B ′ ) ⊕ B ′ = B.)Wir geben exemplarisch eine solche Tabelle für die S-Box S 1 an mit B ′ =(010100).B B ∗ S 1 (B) ⊕ S 1 (B ∗ )(000000) (010100) (1110) ⊕ (0110) = (1000)(000001) (010101) (0000) ⊕ (1100) = (1100)(000010) (010110) (0100) ⊕ (1100) = (1000)(000011) (010111) (1111) ⊕ (1011) = (0100)(000100) (010000) (1101) ⊕ (0011) = (1110)(000101) (010001) (0111) ⊕ (1010) = (1101)(000110) (010010) (0001) ⊕ (1010) = (1011)(000111) (010011) (0100) ⊕ (0110) = (0010)(001000) (011100) (0010) ⊕ (0000) = (0010)(001001) (011101) (1110) ⊕ (0011) = (1101)(001010) (011110) (1111) ⊕ (0111) = (1000)(001011) (011111) (0010) ⊕ (1000) = (1010)66