Kryptologie und Datensicherheit - Diskrete Mathematik - Universität ...

Wende auf b, c, d, a die SubBytes-Transformation an.Dies liefert vier Bytes, e, f, g, h.Berechne r(i) = (00000010) i−44 in28 (beachte i ≡ 0 (mod 4))⎛ ⎞e ⊕ r(i)Dann T(w(i − 1)) = ⎜ f⎟⎝ g ⎠hDer Rundenschlüssel K i besteht dann aus der 4 × 4-Matrix(w(4i), w(4i + 1), w(4i + 2), w(4i + 3)), i = 0, 1, . . ., 10.h) EntschlüsselungAlle einzelnen Transformationen in Rijndael sind invertierbar. Kehre Algorithmusum und ersetze alle Transformationen durch ihre Inverse. (Einzelheiten:FIPS-Standard 197 oder [38]).(Die Tatsache, dass alle Einzeltransformationen bijektiv sind, ist typischfür Substitutions-Permutations-Netzwerke; dies unterscheidet sie von Feistel-Chiffren; vgl. Bemerkung am Ende von 4.5.)Für Details zu Design und Implementierung von Rijndael siehe [20].Über generelle Eigenschaften von SP-Netzwerken verweisen wir auf [32].i) SchnelligkeitRijndael ist deutlich schneller als DES (bei Software-Implementierung). Auf1 GHz-Rechner sind Verschlüsselungen (abhängig vom C-Compiler) von ca.200 MBit/sec. bis 2 GBit/sec. möglich. Bei Hardware-Implementierung 2GBit/sec. bis 70 GBit/sec.j) SicherheitNach zwei Runden hat man vollständige Diffusion: Jedes der 128 Output-Bits nach Runde 2 hängt von jedem der 128 Klartextblockbits ab. Rijndaelist gegen differentielle und lineare Kryptoanalyse sicher. ShiftRows wurdeeingefügt, um gegen zwei relativ neue kryptoanalytische Angriffe ( ”truncateddifferentials“und ”Square-attack“ – ’Square’ war ein Vorläufer von Rijndael)sicher zu sein.Die Schlüsselerzeugung mittels SubBytes soll verhindern, dass bei Kenntnisvon Teilen des Schlüssels die übrigen Bits einfach zu ermitteln sind. Außerdemsorgt dies dafür, dass verschiedene Ausgangsschlüssel nie viele Rundenschlüsselgemeinsam haben.84