Из Википедии, бесплатной энциклопедии
Перейти к навигации Перейти к поиску
Саймон
Саймон блочный cipher.svg
Один раунд Саймона
Общий
ДизайнеровРэй Болье, Дуглас Шорс, Джейсон Смит, Стефан Тритман-Кларк, Брайан Уикс, Луи Вингерс АНБ
Впервые опубликовано2013 [1]
Относится кSpeck
Деталь шифра
Ключевые размеры64, 72, 96, 128, 144, 192 или 256 бит
Размеры блоков32, 48, 64, 96 или 128 бит
СтруктураСбалансированная сеть Фейстеля
Раундов32, 36, 42, 44, 52, 54, 68, 69 или 72 (в зависимости от блока и размера ключа)
Скорость7.5 CPB (21,6 без SSE ) на Intel Xeon 5640 (Simon128 / 128)
Лучший публичный криптоанализ
Дифференциальный криптоанализ может привести к поломке 46 раундов Simon128 / 128 с 2 125,6 данных, 2 40,6 байт памяти и временной сложности 2 125.7 с вероятностью успеха 0,632. [2] [3] [4]

Simon - это семейство облегченных блочных шифров, публично выпущенных Агентством национальной безопасности (NSA) в июне 2013 года. [5] [1] Simon был оптимизирован для обеспечения производительности в аппаратных реализациях, а его родственный алгоритм Speck оптимизирован для программного обеспечения реализации. [6] [7]

АНБ начало работу над шифрами Саймона и Спека в 2011 году. Агентство ожидало, что некоторым агентствам в федеральном правительстве США понадобится шифр, который будет хорошо работать на разнообразном наборе устройств Интернета вещей при сохранении приемлемого уровня безопасности. [8]

Описание шифра [ править ]

Блочный шифр Саймона - это сбалансированный шифр Фейстеля с n- битным словом, поэтому длина блока равна 2 n . Длина ключа кратна n на 2, 3 или 4, что является значением m . Поэтому реализация шифра Саймона обозначается как Simon2 n / nm . Например, Simon64 / 128 относится к шифру, работающему с 64-битным блоком открытого текста ( n  = 32), который использует 128-битный ключ. [1] Блочный компонент шифра единообразен между реализациями Simon; однако логика генерации ключей зависит от реализации 2, 3 или 4 ключей.

Саймон поддерживает следующие комбинации размеров блоков, размеров ключей и количества раундов: [1]

Размер блока (бит)Размер ключа (бит)Раундов
326432
487236
9636
649642
12844
969652
14454
12812868
19269
25672

Описание ключевого расписания [ править ]

Обозначим левый круговой сдвиг по битам.

Ключевой график математически описывается как

Структура ключевого расписания может быть сбалансированной, а может и не быть. Количество ключевых слов используется для определения структуры раскрытия ключа, в результате чего общая разрядность составляет . Ключевое слово расширение состоит из правого сдвига, XOR и постоянной последовательности . Бит работает на самом низком бит ключевого слова один раз за раунд. [7]

Описание постоянной последовательности [ править ]

Постоянная последовательность создается регистром сдвига с линейной обратной связью ( LFSR ). Логическая последовательность битовых констант задается размером ключа и блока. LFSR создается 5-битным полем. Постоянный бит воздействует на ключевой блок один раз за раунд на самом младшем бите, чтобы добавить не зависящую от ключа энтропию к ключевому расписанию. LFSR имеет разную логику для каждой последовательности; однако начальное условие для шифрования такое же. Начальное состояние LFSR для дешифрования меняется в зависимости от раунда.

Постоянная последовательность

Криптоанализ [ править ]

Разработчики утверждают, что Саймон, хотя и является «легким» шифром, разработан для обеспечения полной безопасности, возможной для каждого размера блока и ключа, от атак стандартного выбранного открытого текста (CPA) и выбранного шифротекста (CCA) . Устойчивость к атакам с использованием связанных ключей также была заявлена ​​как цель, хотя и менее важная, поскольку атаки в этой модели не актуальны для типичных случаев использования. [9] : 2 Не было предпринято никаких попыток противостоять атакам в модели атаки с распознаванием ключа , и разработчики не оценивали Саймона для использования в качестве хеш-функции . [10]

По состоянию на 2018 год ни о каких успешных атаках на Саймона полного раунда не известно. Благодаря интересу к Саймону и Спеку по ним было опубликовано около 70 статей по криптоанализу. [9] : 10 Как это типично для повторных шифров , варианты с сокращенным циклом были успешно атакованы. Лучшие опубликованные атаки на Саймона в стандартной модели атаки (CPA / CCA с неизвестным ключом) - это атаки дифференциального криптоанализа ; они проходят примерно 70–75% раундов большинства вариантов, хотя эти лучшие атаки лишь ненамного быстрее, чем грубая сила . [11] [12] [13] [9] : 12 Команда разработчиков заявляет, что при разработке Саймона они обнаружили, что дифференциальные атаки являются ограничивающими атаками, то есть типом атаки, который проходит через большинство раундов; Затем они устанавливают количество раундов, чтобы оставить маржу безопасности, аналогичную AES-128 , примерно на уровне 30%. [9] : 12–13

Наиболее известные атаки на Саймона (в стандартной модели атаки)
ВариантАтакуют раундыСложность времениСложность данныхТип атаки
Simon128 / 25653/72 (74%)2 2482 127,6Линейный корпус [11]
Simon128 / 19251/69 (74%)2 1842 127,6Линейный корпус [11]
Simon128 / 12849/68 (72%)2 1202 127,6Линейный корпус [11]
Симон96 / 14438/54 (70%)2 1362 95,2Линейный корпус [11]
Симон96 / 9637/52 (71%)2 882 95,2Линейный корпус [11]
Саймон64 / 12831/44 (70%)2 1202 63,5Линейный корпус [11]
Симон64 / 9630/42 (71%)2 882 63,5Линейный корпус [11]
Симон48 / 9625/36 (69%)2 802 47,9Линейный корпус [11]
Симон48 / 7224/36 (67%)2 562 47,9Линейный корпус [11]
Simon32 / 6424/32 (75%)2 632 32Интеграл [12]

Саймона критиковали за слишком маленький запас безопасности, т.е. слишком мало раундов между лучшими атаками и полным шифром, по сравнению с более консервативными шифрами, такими как ChaCha20 . [14] Шифры с небольшим запасом прочности с большей вероятностью будут взломаны будущими достижениями в криптоанализе . Команда разработчиков Саймона считает, что излишне большие запасы безопасности сопряжены с реальными затратами, особенно на легких устройствах, что криптоанализ на этапе проектирования позволяет правильно установить количество раундов и что они нацелены на запас безопасности AES. [9] : 17

Саймон включает круглый счетчик в список ключей . Разработчики заявляют, что это было включено для блокировки атак криптоанализа скольжения и вращения . [9] : 16 Тем не менее, криптоанализ с вращательным исключающим ИЛИ использовался, чтобы найти отличия от версий с сокращенным циклом связанных шифров, таких как Speck. [15] Хотя авторы не описывают стандартные атаки с восстановлением ключа на основе их отличительных признаков, их лучшие отличия на Simon32 и Simon48 в модели атаки с распознаванием ключа для определенного слабого ключа.классы проходят немного больше раундов, чем лучшие отличительные отличия. Один из авторов сказал, что его исследование было ограниченным в ресурсах и что, вероятно, возможны отличия с помощью ротационного XOR на большем количестве раундов. Разработчики также заявляют, что Саймон не был разработан для защиты от атак с распознаванием известного ключа (которые не ставят под прямой ущерб конфиденциальность шифров). [10] : 8

Разработчики заявляют, что криптоанализ АНБ обнаружил, что алгоритмы не имеют слабых мест, а безопасность соизмерима с длиной их ключей. [8] : 2 Команда разработчиков утверждает, что их криптоанализ включал линейный и дифференциальный криптоанализ с использованием стандартных методов, таких как алгоритм Мацуи и решатели SAT / SMT, хотя полный список используемых методов не приводится. [9] : 10 Разработчиков Саймона критиковали за то, что они не предоставили более подробную информацию о криптоанализе шифров АНБ. [16]

Агентство национальной безопасности одобрило Simon128 / 256 и Speck128 / 256 для использования в системах национальной безопасности США, хотя AES-256 все еще рекомендуется для приложений без ограничений. [17]

Усилия по стандартизации и противоречия [ править ]

Первоначальные попытки стандартизировать Саймона и Спека не привели к тому, что требовалось подавляющее большинство Международной организации по стандартизации, и шифры не были приняты. [18] [16] Эксперты-делегаты ISO из нескольких стран, включая Германию, Японию и Израиль, выступили против усилий АНБ по стандартизации шифров Саймона и Спека , сославшись на опасения, что АНБ настаивает на их стандартизации, зная о возможных уязвимостях в шифры. Позиция была основана на частичных доказательствах слабости шифров, отсутствии четкой потребности в стандартизации новых шифров и предыдущем участии АНБ в создании и продвижении криптографического алгоритма Dual_EC_DRBG с резервной защитой .[19]

В ответ на обеспокоенность АНБ заявило, что более 70 работ по анализу безопасности от некоторых ведущих криптографов мира подтверждают вывод АНБ о том, что алгоритмы являются безопасными, и АНБ подтвердило, что ему не известны какие-либо криптоаналитические методы, которые позволили бы им или кому-либо еще использовать Саймона или Спека.

После того, как первоначальные попытки стандартизировать шифры потерпели неудачу, ISO стандартизировал Саймона и Спека в других рабочих группах. По состоянию на октябрь 2018 года шифры Саймона и Спека были стандартизированы ISO как часть стандарта радиоинтерфейса RFID, международного стандарта ISO / 29167-21 (для Саймона) и международного стандарта ISO / 29167-22 (для Speck), благодаря чему они доступны для использования коммерческими организациями.

См. Также [ править ]

  • Сбалансированная логическая функция
  • Бент функция

Ссылки [ править ]

  1. ^ a b c d Семейства облегченных блочных шифров Саймона и Спека (PDF) . ePrint . Проверено 16 июня 2016 .
  2. ^ "Дифференциальный и линейный криптоанализ редуцированного округа Саймона" . Проверено 16 апреля 2014 .
  3. ^ Farzaneh Abed, Эйк Список, Стефан Lucks , Якоб Венцель (5 марта 2014). Дифференциальный криптоанализ округленных сокращений Саймона и Спека (PDF) . FSE 2014. слайды конференции . CS1 maint: uses authors parameter (link)
  4. ^ Хода Alkhzaimi, Мартин Lauridsen (28 августа 2013). «Криптоанализ семейства блочных шифров SIMON» (PDF) . Cite journal requires |journal= (help)CS1 maint: uses authors parameter (link)
  5. ^ Шнайер, Брюс. «САЙМОН и СПЕК: новые алгоритмы шифрования АНБ» . Шнайер о безопасности . Проверено 17 июля 2013 .
  6. ^ Клэр Сведберг (17 июля 2015). «АНБ предлагает блочные шифры для защиты передачи RFID» . RFID журнал .
  7. ^ a b Брайан Дегнан и Грегори Дургин (10 ноября 2017 г.). «Simontool: поддержка моделирования для шифра Саймона» . Журнал IEEE по радиочастотной идентификации . 1 (2): 195–201. Bibcode : 2017IJRFI ... 1..195D . DOI : 10.1109 / JRFID.2017.2771216 . S2CID 37476795 . 
  8. ^ a b Болье, Рэй; Шорс, Дуглас; Смит, Джейсон; Тритман-Кларк, Стефан; Недели, Брайан; Вингер, Луис (09.07.2015). «Саймон и Спек: блочные шифры для Интернета вещей» (PDF) . Проверено 23 ноября 2017 .
  9. ^ a b c d e f g "Заметки о конструкции и анализе Саймона и Спека" (PDF) . 2018-01-19 . Проверено 13 июня 2018 .
  10. ^ a b Болье, Рэй; Шорс, Дуглас; Смит, Джейсон; Тритман-Кларк, Стефан; Недели, Брайан; Вингерс, Луис (19.06.2013). "Семейства облегченных блочных шифров SIMON и SPECK" . Проверено 20 сентября 2016 .
  11. ^ Б с д е е г ч я J Chen, Huaifeng; Ван, Сяоюнь (19.01.2018). «Улучшенная линейная атака корпуса на SIMON с уменьшенным округлением с помощью методов динамического подбора ключа» (PDF) . Проверено 13 июня 2018 .
  12. ^ а б Чу, Чжихуэй; Чен, Хуайфэн; Сяоюнь, Ван; Дун, Сяоянь; Ли, Лу (19.01.2018). «Улучшенные интегральные атаки на SIMON32 и SIMON48 с помощью методов динамического угадывания ключа» . Сети безопасности и связи . 2018 : 5160237: 1–5160237: 11. DOI : 10.1155 / 2018/5160237 .
  13. ^ Ли, Хочанг; Ким, Соджин; Канг, Хёнчхуль; Хонг, Деукджо; Сун, Джечоль; Хонг, Сохи (февраль 2018 г.). «Вычисление приблизительной вероятности дифференциалов для шифра на основе ARX с использованием SAT Solver». Журнал Корейского института информационной безопасности и криптологии (на корейском языке). 28 (1): 15–24. DOI : 10.13089 / JKIISC.2018.28.1.15 .
  14. ^ Бернштейн, Дэниел Дж. [@Hashbreaker] (2016-04-12). «АНБ утверждает, что сломать 70% Simon + Speck - это нормально» (твит) . Проверено 13 июня 2018 - через Twitter .
  15. ^ Лю, Юнвэнь; Де Витте, Гленн; Раня, Адриан; Ашур, Томер (2017). «Криптоанализ SPECK с уменьшенным числом циклов с вращательным XOR» (PDF) . Проверено 13 июня 2018 .
  16. ^ a b Ашур, Томер. «[PATCH v2 0/5] crypto: поддержка Speck» .
  17. ^ Агентство национальной безопасности (2016-11-18). «Алгоритмы для поддержки развития потребностей в информационном обеспечении» .
  18. ^ Анализирует причины, по которым Спек и Саймон были отклонены от стандартизации ISO
  19. ^ «Недоверчивые союзники США заставляют шпионское агентство отступить в борьбе за шифрование» . Рейтер . 2017-09-21.