Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

Vom 56-Bit-Schlüssel k sind damit (durch K 3 ) 48 Bit bestimmt. Die restlichen8 Bit erhält man durch 256 Versuche, indem man testet, wann (L 0 , R 0 ) auf(L 3 , R 3 ) abgebildet wird.d) Analyse des DES mit 4 RundenHier kommen nun die Nicht-Gleichverteilungen der Output-Differenzen derS-Boxen bei gegebener Input-Differenz zum Tragen. Daher ist jetzt die Wahlvon Klartextblöcken mit geeigneten Differenzen wichtig. Wir demonstrierendas Verfahren mit solch einer geeigneten Wahl.Wähle (L 0 , R 0 ) und (L ∗ 0, R ∗ 0) so, dass--R 0 ⊕ R0∗L 0 ⊕ L ∗ 0==(0100 ............ 0000)(0 ... 0 1↑230 . . .0 1↑310 ... 0)e(R 0 ) ⊕ e(R0 ∗ ) = (0010000 ... 0 ... 0 ... 0)Input-Differenzen für S-Boxen in der 1. Runde:S 1 : (001000)S i : (000000), i = 2, . . .8.Tabelle der Output-Differenzen von S 1 bei Input-Differenz (001000) :Mit Wahrscheinlichkeit 12 = 3 (relativ groß) ist Output-Differenz (0011).64 16Bei allen S i , i = 2, . . .8: Output-Differenz (0000).Anwendung P-Box Permutation:f K1 (R 0 ) ⊕ f K1 (R0) ∗ hat mit Wahrscheinlichkeit 3 an den Stellen 23 und 3116eine Eins, sonst Nullen. (An den Stellen 9, 17, 23, 31 stehen die Einträge derOutput-Differenz von S 1 .)Nach Addition von L 0 ⊕L ∗ 0 ergibt sich daher, dass R 1 ⊕R1 ∗ = (0, . . ., 0) (d.h.R 1 = R1 ∗) mit Wahrscheinlichkeit 3 gilt. 16Jede andere Kombination als 0011 an den Stellen 9, 17, 23, 31 tritt mitgeringerer Wahrscheinlichkeit auf. (An den Stellen ≠ 9, 17, 23, 31 stehen injedem Fall Nullen.)Auch mit anderer Input-Differenz R 0 ⊕ R0 ∗ und dazu passend gewähltenL 0 ⊕ L ∗ 0 kann man mit ähnlichen Wahrscheinlichkeiten R 1 ⊕ R1 ∗ = (0, . . .,0)erhalten.73