Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

ten; die S-Box verhält sich für solche Input-Differenzen “etwas linearer“.Dazu muss für jede S-Box und jede Input-Differenz eine Tabelle entsprechendTabelle 6 erstellt werden (insgesamt 8 · 2 6 = 512 Tabellen).Wir zeigen jetzt, wie die differentielle Kryptoanalyse funktioniert und betrachtendazu zunächst einmal den DES mit wenigen Runden, weil hier dieSituation noch überschaubar ist.b) Analyse einer DES-RundeHier spielt die Abweichung der Output-Differenzen von der Gleichverteilung(bei gegebener Input-Differenz) noch keine Rolle.Der Chosen-Plaintext-Angriff versucht aus der Kenntnis von (R, f K (R)),(R ∗ , f K (R ∗ )), . . . auf den Rundenschlüssel K zu schließen. Was man dazubenötigt ist die Kenntnis von R, R ∗ und von f K (R) ⊕ f K (R ∗ ) (evtl. für meherePaare (R, R ∗ )).Bekannt sind R, R ∗ , also auch(1) e(R) = (e 1 , . . .,e 8 ) und e(R ∗ ) = (e ∗ 1 , . . .,e∗ 8 )Außerdem(2) B 1 ⊕ B ∗ 1(= e 1 ⊕ e ∗ 1), . . ., B 8 ⊕ B ∗ 8(= e 8 ⊕ e ∗ 8)(aber nicht B 1 , . . .,B 8 , B ∗ 1 , . . .,B∗ 8 )(nach (α))und(3) c 1 ⊕ c ∗ 1 , . . .,c 8 ⊕ c ∗ 8 (nach (β))Der Rundenschlüssel sei K = (k 1 , . . .,k 8 ), k i ∈6 2 .Es ist(4) k i = e i ⊕ B i = e ∗ i ⊕ B∗ i , i = 1, . . .,8(da B i = e i ⊕ k i , Bi ∗ = e ∗ i ⊕ k i )70