sind nur m i <strong>und</strong> m i+1 beeinflusst, m i+2 , . . . sind wieder korrekt (CBC istselbstsynchronisierend).Entfernen eines c i führt bei Entschlüsselung zu unverständlichem ˜m i = c i−1 ⊕D k (c i+1 ) anstelle von m i , m i+1 = c i ⊕ D k (c i+1 ) fehlt, ab m i+2 korrekt.Einfügen eines ˜c (zwischen c i−1 <strong>und</strong> c i ) führt bei Entschlüsselung zu unverständlichem˜m i = c i−1 ⊕ D k (˜c), neuem unverständlichem ˜m = ˜c ⊕ D k (c i )<strong>und</strong> danach zu m i+1 , . . ..Wie bei ECB besteht auch bei CBC der Nachteil, dass (ohne Verwendungvon padding) stets abgewartet werden muss, bis ein vollständiger Block derLänge n vorhanden ist, bevor verschlüsselt werden kann. CBC ist also v.a.bei Verschlüsselungen langer Klartexte gut geeignet.5.3 Cipher Feedback Mode (CFB Mode)Hier wieder R = {0, 1}.CFB Mode ist eine stromchiffreähnliche Betriebsart von Blockchiffren, dieeine Verschlüsselung von Klartexten ermöglicht, ohne abwarten zu müssen,bis ein Block der Länge n vorliegt. Dies ist insbesondere bei interaktiverComputerkommunikation nützlich.Der Klartext wird in Blöcke p 1 , p 2 , . . . der Länge r für ein festes r mit1 ≤ r ≤ n aufgeteilt (typisch: r = 8). Benötigt wird außerdem ein InitialisierungsvektorIV ∈ {0, 1} n .Setze I 1 = IV .Dann für j = 1, 2, 3, . . .c j = p j ⊕ L r (E k (I j )) ∈ {0, 1} rI j+1 = R n−r (I j )|c j ∈ {0, 1} nDabei bezeichnet L r (X) die r linksstehenden Bits eines Blocks X der Längen, R n−r (X) die n − r rechtsstehenden Bits von X.X|Y ist das Hintereinanderschreiben der Strings X <strong>und</strong> Y .c 1 , c 2 , c 3 , . . . sind die verschlüsselten p 1 , p 2 , p 3 , . . . .Entschlüsselung:I 1 = IVDann für j = 1, 2, . . .p j = c j ⊕ L r (E k (I j )) (keine Entschlüsselung mit D k !)90
I j+1 = R n−r (I j )|c j(Beachte: c j ⊕ L r (E k (I j )) = p j ⊕ L r (E k (I j )) ⊕ L r (E k (I j )) = p j )Beispiel:Sei m wie in 5.2, ebenso E k .Weiter sei IV = 11001 = I 1 <strong>und</strong> r = 2.10 10 00 11 10↓ ↓ ↓ ↓ ↓p 1 p 2 p 3 p 411 00↓ ↓p5 p6E k (I 1 ) = 00111p 7 c 1 = p 1 ⊕ 00 = 10I 2 = 001|10 E k (I 2 ) = 11000c 2 = p 2 ⊕ 11 = 01I 3 = 110|01 E k (I 3 ) = 00111c 3 = p 3 ⊕ 00 = 00I 4 = 001|00 E k (I 4 ) = 10000c 4 = p 4 ⊕ 10 = 01I 5 = 100|01 E k (I 5 ) = 00011c 5 = p 5 ⊕ 00 = 10I 6 = 001|10 E k (I 6 ) = 11000c 6 = p 6 ⊕ 11 = 00I 7 = 110|00 E k (I 7 ) = 00101c 7 = p 7 ⊕ 00 = 00c 1 , . . .,c 7 : 10 01 00 01 10 00 00Man sieht an der Beschreibung, dass der CFB Mode wie eine Stromchiffre(auf r-Bit Strings) funktioniert, wobei der Schlüsselstrom L r (E k (I j )), j =1, 2, 3, . . ., mittels Blockchiffrierung aus I 1 <strong>und</strong> den vorher verschlüsseltenr-Bits erzeugt wird.CFB Mode ist sehr schnell <strong>und</strong> kann von Sender <strong>und</strong> Empfänger fast simultanausgeführt werden. Sobald c j vorliegt, kann der Empfänger I j+1 <strong>und</strong> dannL r (E k (I j+1 )) berechnen <strong>und</strong> dann bei Empfang von c j+1 sofort durch XORp j+1 entschlüsseln. Beachte: CFB Mode hängt nur von der Geschwindigkeitder Blockverschlüsselung (nicht Entschlüsselung) ab.Übertragungsfehler oder Änderungen in einem Chiffretextblock wirken sich91
- Seite 1:
Universität TübingenWilhelm-Schic
- Seite 5 und 6:
Abbildungsverzeichnis1 Grundschema
- Seite 7 und 8:
EinleitungKryptologie: Wissenschaft
- Seite 9 und 10:
1 GrundbegriffeKlartext (plaintext)
- Seite 11 und 12:
Bei symmetrischen Verschlüsselungs
- Seite 13 und 14:
• Uneingeschränkt sicher:Auch be
- Seite 15 und 16:
werden permutiert. Zeichen bleiben
- Seite 17 und 18:
2.2 Kryptoanalyse monoalphabetische
- Seite 19 und 20:
Buchstabe Anzahl Häufigkeit Buchst
- Seite 22 und 23:
1 2 n.. . . . . . ... .. . .. .. f(
- Seite 24 und 25:
Eine solche Chiffrierung heißt pol
- Seite 26 und 27:
Also entspricht die Häufigkeit ein
- Seite 28 und 29:
alle drei Monate, dann jeden Tag, d
- Seite 30 und 31:
EEIYWX JLNRRU UYVCJC BELDHZ YVSKFE
- Seite 32 und 33:
erzeugten Texten.(zum Vergleich: κ
- Seite 34 und 35:
d ≈0, 0377l(l − 1)κ(c) − 0,
- Seite 36 und 37:
kommt allerdings der in deutschen T
- Seite 38 und 39:
Zur Verdeutlichung dieser Tatsache
- Seite 40 und 41: Dies ist eine bedingte Wahrscheinli
- Seite 42 und 43: 4 Symmetrische BlockchiffrenWir bet
- Seite 44 und 45: Das haben wir schon in 2.1(b) über
- Seite 46 und 47: Die Dechiffrierung von w = vA + b e
- Seite 48 und 49: δ > 0.Bei einem Chosen-Plaintext-A
- Seite 50 und 51: 4.5 Feistel-ChiffrenFeistel-Chiffre
- Seite 52 und 53: (L ′ r−1 , R′ r−1 ) = (R 1,
- Seite 54 und 55: an den Positionen 8, 16, 24, . . .,
- Seite 56 und 57: Schlüsselpermutation57 49 41 33 25
- Seite 58 und 59: S-Box 47 13 14 3 0 6 9 10 1 2 8 5 1
- Seite 60 und 61: die S-Boxen in Runde i + 1 sorgt.)W
- Seite 62 und 63: Sicherheit erhöhen können. Dies w
- Seite 64 und 65: Die 2 56 DES -Verschlüsselungsfunk
- Seite 66 und 67: Da S-Boxen nichtlinear sind, kann g
- Seite 68 und 69: auftreten. Die Nichtlinearität wä
- Seite 70 und 71: ten; die S-Box verhält sich für s
- Seite 72 und 73: Nur 2 Möglichkeiten für ( ¯B 1 ,
- Seite 74 und 75: Wendet man mit solchen Klartextblö
- Seite 76 und 77: Wie oben geschildert ist x 13 +x 11
- Seite 78 und 79: Als Element von2 8 ist also x2 das
- Seite 80 und 81: ) Rijndael ist eine iterierte Block
- Seite 82 und 83: ⎛⎜⎝1 0 0 0 1 1 1 11 1 0 0 0 1
- Seite 84 und 85: Wende auf b, c, d, a die SubBytes-T
- Seite 86 und 87: Als Beispiel sei genannt:M. Gorski,
- Seite 88 und 89: 5 Betriebsarten von BlockchiffrenBl
- Seite 92 und 93: solange aus, bis der fehlerhafte Bl
- Seite 94 und 95: 6.2 Selbstsynchronisierende Stromch
- Seite 96 und 97: 6.3 SchieberegisterDef.:Ein (rückg
- Seite 98 und 99: Beispiele:Sei K =2.a) f(x 3 , x 2 ,
- Seite 100 und 101: Es gilt: Es gibt genau ϕ(2n −1)n
- Seite 102 und 103: C m v 0 = v m . Daher:v m , . . .,v
- Seite 104 und 105: mit den am Ende von 6.6 beschrieben
- Seite 106 und 107: 6.8 Spezielle Stromchiffrena) A5-Fa
- Seite 108 und 109: Ein anderer Punkt ist außerdem von
- Seite 110 und 111: (3) Für jeden probabilistischen po
- Seite 112 und 113: • Die Bedingung in 7.2 für den v
- Seite 114 und 115: teilung auf {0, 1} l(n) . D kann ˜
- Seite 116 und 117: a) Kryptographisch sichere Pseudozu
- Seite 118 und 119: (a) Informationsverlust von f (d.h.
- Seite 120 und 121: Für alle x ∉ L : pr[M(x) = 0]
- Seite 122 und 123: [14] Leonore Blum, Manuel Blum and
- Seite 124: [45] Michael Welschenbach. Kryptogr