Тройной DES

В криптографии , Triple DES ( 3DES или TDES ), официально Тройной алгоритм шифрования данных ( TDEA или Тройной DEA ), является симметричным ключом блочного шифра , который применяет к нему DES алгоритм шифра три раза в каждом блоке данных. 56-битный ключ стандарта шифрования данных (DES) больше не считается адекватным перед лицом современных криптоаналитических методов и вычислительной мощности. Однако адаптированная версия DES, Triple DES (3DES), использует тот же алгоритм для обеспечения более безопасного шифрования.

В то время как правительственные и отраслевые стандарты сокращают название алгоритма как TDES (Triple DES) и TDEA (Triple Data Encryption Algorithm), ^[1] RFC 1851 называл его 3DES с того момента, как он впервые провозгласил идею, и с тех пор этот тезка широко используется большинством поставщиков, пользователей и криптографов. ^{[2] [3] [4] [5]}

Стандарты [ править ]

Алгоритм тройного шифрования данных по-разному определяется в нескольких стандартных документах:

• RFC 1851, ESP Triple DES Transform ^[6] (утвержден в 1995 г.)
• Режимы работы алгоритма тройного шифрования данных ANSI ANS X9.52-1998 ^[7] (утвержден в 1998 г., отозван в 2008 г. ^[8] )
• FIPS PUB 46-3 Стандарт шифрования данных (DES) ^[9] (утвержден в 1999 г., отменен в 2005 г. ^[10] )
• Специальная публикация NIST 800-67, редакция 2, Рекомендация по блочному шифру алгоритма тройного шифрования данных (TDEA) ^[11] (утверждена в 2017 г.)
• ISO / IEC 18033-3: 2010: Часть 3: Блочные шифры ^[12] (утвержден в 2005 г.)

Алгоритм [ править ]

Размер ключа исходного шифра DES, равный 56 битам, в целом был достаточным при разработке этого алгоритма, но возможность увеличения вычислительной мощности сделала возможными атаки методом грубой силы . Тройной DES обеспечивает относительно простой метод увеличения размера ключа DES для защиты от таких атак без необходимости разрабатывать совершенно новый алгоритм блочного шифрования.

Наивный подход к увеличению прочности алгоритма блочного шифрования с короткой длиной ключа (например , DES) будет использовать два ключа , а не один, и шифровать каждый блок дважды . Если исходная длина ключа составляет биты, можно надеяться, что эта схема обеспечивает безопасность, эквивалентную использованию длинных битов ключа . К сожалению, этот подход уязвит для Meet-в-середины атаки : дал известную открытый текст пару , так что , можно восстановить пару ключей в шагах, вместо шагов можно было бы ожидать от идеально безопасного алгоритма с битами ключа .${\ displaystyle (K1, K2)}$${\ displaystyle E_ {K2} (E_ {K1} ({\ textrm {plaintext}}))}$${\ displaystyle n}$${\ displaystyle 2n}$${\ Displaystyle (х, у)}$${\ displaystyle y = E_ {K2} (E_ {K1} (x))}$${\ displaystyle (K1, K2)}$${\ Displaystyle 2 ^ {п + 1}}$${\ displaystyle 2 ^ {2n}}$${\ displaystyle 2n}$

Поэтому, Triple DES использует «ключевой пакет» , который включает три DES ключей , , и , каждый из 56 бит ( за исключением бит четности ). Алгоритм шифрования:${\ displaystyle K1}$${\ displaystyle K2}$${\ displaystyle K3}$

${\ displaystyle {\ textrm {ciphertext}} = E_ {K3} (D_ {K2} (E_ {K1} ({\ textrm {plaintext}}))).}$

То есть шифрование DES с помощью , расшифровка DES с помощью , затем шифрование DES с помощью .${\ displaystyle K1}$${\ displaystyle K2}$${\ displaystyle K3}$

Расшифровка обратная:

${\ displaystyle {\ textrm {plaintext}} = D_ {K1} (E_ {K2} (D_ {K3} ({\ textrm {ciphertext}}))).}$

То есть, расшифровывать с , шифровать с , а затем расшифровывать с .${\ displaystyle K3}$${\ displaystyle K2}$${\ displaystyle K1}$

Каждое тройное шифрование шифрует один блок из 64 бит данных.

В каждом случае средняя операция противоположна первой и последней. Это повышает надежность алгоритма при использовании варианта ключа 2 и обеспечивает обратную совместимость с DES с вариантом ключа 3.

Параметры ключа [ править ]

Стандарты определяют три варианта кодирования:

Вариант ключа 1

Все три клавиши независимы. Иногда известен как 3TDEA ^[13] или ключи тройной длины. ^[14]

Это самый сильный, с 3 × 56 = 168 независимых битов ключа. Он по-прежнему уязвим для атаки «встреча посередине» , но для атаки требуется ² шага ^{2 × 56} .

Вариант ключа 2

K ₁ и K ₂ независимы, а K ₃ = K ₁ . Иногда известен как 2TDEA ^[13] или ключи двойной длины. ^[14]

Это обеспечивает более короткую длину ключа 112 бит и разумный компромисс между DES и вариантом 1 с использованием ключей с той же оговоркой, что и выше. ^[15] Это улучшение по сравнению с "двойным DES", для атаки которого требуется всего 2 ⁵⁶ шагов. NIST отказался от этой опции. ^[13]

Вариант ключа 3

Все три ключа идентичны, т.е. K ₁ = K ₂ = K ₃ .

Это обратно совместимо с DES, поскольку две операции отменяются. ISO / IEC 18033-3 никогда не допускал эту опцию, а NIST больше не допускает K ₁ = K ₂ или K ₂ = K ₃ . ^{[13] [11]}

Каждый ключ DES состоит из 8 байтов с контролем четности , из которых 56 бит ключа и 8 бит обнаружения ошибок. ^[7] Для связки ключей требуется 24 байта для варианта 1, 16 для варианта 2 или 8 для варианта 3.

NIST (и текущие спецификации TCG версии 2.0 утвержденных алгоритмов для Trusted Platform Module ) также запрещают использование любого из следующих 64-х 64-битных значений в любых ключах (обратите внимание, что 32 из них являются двоичным дополнением 32 других; и что 32 из этих ключей также представляют собой обратную перестановку байтов остальных 32), перечисленных здесь в шестнадцатеричном формате (в каждом байте младший бит является сгенерированным битом с нечетной четностью, он отбрасывается при формировании эффективных 56-битных ключей) :

01.01.01.01.01.01.01.01, FE.FE.FE.FE.FE.FE.FE.FE, E0.FE.FE.E0.F1.FE.FE.F1, 1F.01.01.1F.0E.01.01. 0E,01.01.FE.FE.01.01.FE.FE, FE.FE.01.01.FE.FE.01.01, E0.FE.01.1F.F1.FE.01.0E, 1F.01.FE.E0.0E.01. FE.F1,01.01.E0.E0.01.01.F1.F1, FE.FE.1F.1F.FE.FE.0E.0E, E0.FE.1F.01.F1.FE.0E.01, 1F.01.E0. FE.0E.01.F1.FE,01.01.1F.1F.01.01.0E.0E, FE.FE.E0.E0.FE.FE.F1.F1, E0.FE.E0.FE.F1.FE.F1.FE, 1F.01.1F.01.0 E.01.0E.01,01.FE.01.FE.01.FE.01.FE, FE.01.FE.01.FE.01.FE.01, E0.01.FE.1F.F1.01.FE.0E, 1F. FE.01.E0.0E.FE.01.F1,01.FE.FE.01.01.FE.FE.01, FE.01.01.FE.FE.01.01.FE, E0.01.01.E0.F1.01.01.F1, 1F.FE.FE.1F.0E.FE. FE.0E,01.FE.E0.1F.01.FE.F1.0E, FE.01.1F.E0.FE.01.0E.F1, E0.01.1F.FE.F1.01.0E.FE, 1F.FE.E0. 01.0E.FE.F1.01,01.FE.1F.E0.01.FE.0E.F1, FE.01.E0.1F.FE.01.F1.0E, E0.01.E0.01.F1.01.F1.01, 1F. FE.1F.FE.0E.FE.0E.FE,01.E0.01.E0.01.F1.01.F1, FE.1F.FE.1F.FE.0E.FE.0E, E0.1F.FE.01.F1.0E.FE.01, 1F. E0.01.FE.0E.F1.01.FE,01.E0.FE.1F.01.F1.FE.0E, FE.1F.01.E0.FE.0E.01.F1, E0.1F.01.FE.F1.0E.01.FE, 1F. E0.FE.01.0E.F1.FE.01,01.E0.E0.01.01.F1.F1.01, FE.1F.1F.FE.FE.0E.0E.FE, E0.1F.1F.E0.F1.0E.0E.F1, 1F.E0. E0.1F.0E.F1.F1.0E,01.E0.1F.FE.01.F1.0E.FE, FE.1F.E0.01.FE.0E.F1.01, E0.1F.E0.1F.F1.0E.F1.0E, 1F. E0.1F.E0.0E.F1.0E.F1,01.1F.01.1F.01.0E.01.0E, FE.E0.FE.E0.FE.F1.FE.F1, E0.E0.FE.FE.F1.F1.FE.FE, 1F.1F.01.01. 0E.0E.01.01,01.1F.FE.E0.01.0E.FE.F1, FE.E0.01.1F.FE.F1.01.0E, E0.E0.01.01.F1.F1.01.01, 1F.1F.FE.FE.0E. 0E.FE.FE,01.1F.E0.FE.01.0E.F1.FE, FE.E0.1F.01.FE.F1.0E.01, E0.E0.1F.1F.F1.F1.0E.0E, 1F.1F. E0.E0.0E.0E.F1.F1,01.1F.1F.01.01.0E.0E.01, FE.E0.E0.FE.FE.F1.F1.FE, E0.E0.E0.E0.F1.F1.F1.F1, 1F.1F.1F .1F.0E.0E.0E.0E,

С этими ограничениями на разрешенные ключи, Triple DES был повторно одобрен только с вариантами ввода 1 и 2. Обычно три ключа генерируются путем взятия 24 байтов из сильного случайного генератора, и следует использовать только вариант ввода ключа 1 (для варианта 2 требуется только 16 случайных байтов, но сильные случайные генераторы трудно утверждать, и считается лучшей практикой использовать только вариант 1 ).

Шифрование более одного блока [ править ]

Как и все блочные шифры, шифрование и дешифрование множества блоков данных может выполняться с использованием множества режимов работы , которые обычно могут быть определены независимо от алгоритма блочного шифрования. Однако ANS X9.52 указывает напрямую, а NIST SP 800-67 указывает через SP 800-38A ^[16], что некоторые режимы должны использоваться только с определенными ограничениями на них, которые не обязательно относятся к общим спецификациям этих режимов. Например, АНС X9.52 определяет , что для цепочки цифровых блоков , то вектор инициализации должен отличаться каждый раз, в то время как ISO / IEC 10116 ^[17]не. FIPS PUB 46-3 и ISO / IEC 18033-3 определяют только алгоритм с одним блоком и не накладывают никаких ограничений на режимы работы для нескольких блоков.

Безопасность [ править ]

В общем, тройной DES с тремя независимыми ключами ( вариант  1) имеет длину ключа 168 бит (три 56-битных ключа DES), но из -за атаки « встречай посередине» эффективная безопасность, которую он обеспечивает, составляет всего лишь 112 бит. ^[13] Вариант 2 с ключом уменьшает эффективный размер ключа до 112 бит (потому что третий ключ такой же, как и первый). Однако эта опция подвержена определенным атакам с выбранным или известным открытым текстом ^{[18] [19],} и, таким образом, NIST определяет ее как имеющую только 80  бит защиты . ^[13] Это можно считать небезопасным, и, как следствие, Triple DES был объявлен устаревшим NIST в 2017 году. ^[20]

Короткий размер блока в 64 бита делает 3DES уязвимым для атак с коллизией блоков, если он используется для шифрования больших объемов данных одним и тем же ключом. Атака Sweet32 показывает, как это можно использовать в TLS и OpenVPN. ^[21] Практическая атака Sweet32 на наборы шифров на основе 3DES в TLS требовала блоков (785 ГБ) для полной атаки, но исследователям посчастливилось получить коллизию сразу после нескольких блоков, что заняло всего 25 минут.${\ displaystyle 2 ^ {36.6}}$${\displaystyle 2^{20}}$

На безопасность TDEA влияет количество блоков, обрабатываемых одним набором ключей. Один комплект ключей не должен использоваться для применения криптографической защиты (например, шифрования) более чем 64-битных блоков данных.${\displaystyle 2^{20}}$

-  Рекомендация по блочному шифру алгоритма тройного шифрования данных (TDEA) (SP 800-67 Rev2) ^[11]

OpenSSL не включает 3DES по умолчанию с версии 1.1.0 (август 2016 г.) и считает его «слабым шифром». ^[22]

Использование [ править ]

Электронная платежная индустрия использует Triple DES и продолжает разрабатывать и издавать стандарты , основанные на нем, такие как EMV . ^[23]

Более ранние версии Microsoft OneNote , ^[24] Microsoft Outlook 2007 ^[25] и Microsoft System Center Configuration Manager 2012 ^[26] использовать Triple DES для данных контента пользователя и системы защиты паролем. Однако в декабре 2018 года Microsoft объявила о прекращении использования 3DES в своей службе Office 365. ^[27]

Firefox и Mozilla Thunderbird ^[28] используют Triple DES в режиме CBC для шифрования учетных данных для входа на веб-сайт при использовании главного пароля.

Реализации [ править ]

Ниже приведен список библиотек криптографии, поддерживающих Triple DES:

• Ботан
• Надувной Замок
• cryptlib
• Крипто ++
• Libgcrypt
• Крапива
• OpenSSL
• wolfSSL
• Trusted Platform Module (псевдоним TPM, аппаратная реализация)

Некоторые реализации, указанные выше, могут не включать 3DES в сборку по умолчанию в более поздних или более поздних версиях.

См. Также [ править ]

• DES-X
• Расширенный стандарт шифрования (AES)
• Шифр Фейстеля
• Уолтер Такман

Ссылки и примечания [ править ]