Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

Nur 2 Möglichkeiten für ( ¯B 1 , ¯B 1 ∗) : (111010), [ (110011)(110011), (111010)Kandidaten für k 1 : ē 1 ⊕ ¯B 1 = (010011) ← nur dieser taucht(011010) auch oben aufAlso: k 1 = (010011).Dasselbe führt man für k 2 , . . ., k 8 durch. Dann ist der Rundenschlüssel Kbestimmt.c) Analyse des DES mit 3 Runden]L0 R0Man wählt Klartexte (L 0 , R 0 ) und (L ∗ 0 , R∗ 0 ) mit R 0 =R0, ∗ die zu (L 3 , R 3 ) bzw. (L ∗ 3, R3) ∗ verschlüsselt werden.+K1Ziel ist die Bestimmung des 56-Bit-Schlüssels k, aus demK 1 , K 2 und K 3 entstehen.L 1K2R1Tatsächlich benötigt man zur Bestimmung von K 3 (dasist das erste Ziel) nur die Kenntnis von L 0 ⊕L ∗ 0 , L 3 ⊕L ∗ 3 ,R 3 , R ∗ 3 und dass R 0 = R ∗ 0 (der Wert von R 0 wird nichtbenötigt).+Nun gilt:L 3 = L 2 ⊕ f K3 (R 2 ) = R 1 ⊕ f K3 (R 2 )= L 0 ⊕ f K1 (R 0 ) ⊕ f K3 (R 2 )L 2R 2+K3und analogL ∗ 3 = L ∗ 0 ⊕ f K1 (R ∗ 0) ⊕ f K3 (R ∗ 2).LR3 3Dann folgt (da R 0 = R ∗ 0):L 3 ⊕ L ∗ 3 = L} {{ } 0 ⊕ L ∗ 0 ⊕f} {{ }K3 (R 2 ) ⊕ f K3 (R2 ∗ )=: L ′ 3 =: L ′ 0bekannt bekanntDamit ist f K3 (R 2 ) ⊕ f K3 (R ∗ 2) bekannt und R 2 = R 3 , R ∗ 2 = R ∗ 3 sind bekannt.Die Analyse einer DES-Runde wie in b) (angewandt auf die 3. Runde) liefertjetzt den Schlüssel K 3 . (Dazu benötigt man geeignete R 2 , R2 ∗ ; daher verwendetman viele (L 0 , R 0 ), (L ∗ 0, R0), ∗ um geeignete R 2 = R 3 , R2 ∗ = R3 ∗ zuerhalten.)72