Kryptographie und Kryptoanalyse

4 Symmetrische Verfahren – Differentielle Kryptoanalyse
Analyse des DES
• Bei mehr als 5 Runden kann die Ausgabedifferenz der letzten
Runde nicht mehr berechnet werden
• Betrachtung der einzelnen S-Boxen:
Inputdifferenz SiI’ liefert Outputdifferenz SiO’ mit
P(Si, SiI’ SiO’ ) (Differenzenverteilungstabelle)
• Analyse der Input- Input und Output-Differenzen Output Differenzen der
Rundenfunktion m. H. der Input- und Output-Differenzen der
S-Boxen:
P(
f , x'
y')
• Verfolgen von Differenzen und Wahrscheinlichkeiten über
mehrere Runden: Charakteristik
Kryptographie und Kryptoanalyse
8
i1
n-Runden-Charakteristik (1)
= (m, , c) = (1, 2, …, n) mit: i = (Ii, Oi) m= m’ = (L m ,Rm )
c = c’ = (L c ,R c )
Ii = xi’, ’ Oi = yi’ ’
P(
Si,
Si '
Si ')
4 Symmetrische Verfahren – Differentielle Kryptoanalyse
Es gilt: I1 = R m
I2 = L m O1
In = R c
On= L c In-1
2 i n-1: Oi = Ii-1 Ii+1
Kryptographie und Kryptoanalyse
I
y1
y2
O
Klartext m
f
f
Schlüsseltext c
4 Symmetrische Verfahren – Differentielle Kryptoanalyse
n-Runden-Charakteristik (2)
• Wahrscheinlichkeit p i der Runde i einer Charakteristik
p i = P(Ii Oi)
• Wahrscheinlichkeit p einer n-Runden-Charakteristik
p
n
i1
p
i
• Richtiges Paar bzgl. einer n-Runden-Charakteristik und eines
unabhängigen Schlüssels k:
– m’ = m
– für die ersten n Runden der Berechnung gilt:
x i’ = Ii ⁄ y i’ = Oi
• Übrige Paare: falsche Paare
Kryptographie und Kryptoanalyse
y15
y16
. . .
f
f
x 1
x 2
x 15
x 16
145
k 1
k 2
k 15
k 16
146
147
49