Режим выработки имитовставки (МАС-ГОСТ)

Режим выработки имитовставки, описание которого представлено ниже, реализует конструкцию. Параметром режима является длина имитовставки (в битах) 0 < s < п.

Выработка вспомогательных ключей. При вычислении значения имитовставки используются вспомогательные ключи, которые вычисляются с использованием ключа К. Длины вспомогательных ключей равны длине блока п базового алгоритма блочного шифрования. Процедура выработки вспомогательных ключей может быть представлена в следующей форме R = е_к(0^п); К, = R «1, если MSBi® = 0 и К) = (R „1)®В_П в противном случае; К2 = Ki“ 1, если MSB|(Ki) = 0 и К₂ = = (К|» 1)0В" в противном случае, где В_м = О⁵⁴ || 11 011, В_!28 = 0¹²⁰|| 10 000 111. Если значение п отлично от 64 и 128, следует использовать следующую процедуру определения значения константы В". Рассмотрим множество примитивных многочленов степени п над полем GF (2) с наименьшим количеством ненулевых коэффициентов. Упорядочим это множество лексикографически по возрастанию векторов коэффициентов и обозначим через f_n(x) первый многочлен в этом упорядоченном множестве. Рассмотрим поле GF (2ⁿ)[x)^/(f_n(x)), зафиксируем в нем степенной базис и будем обозначать операцию умножения в этом поле символом ®. Вспомогательные ключи К, и К₂ вычисляются следующим образом:

Вспомогательные ключи К|, К₂ и промежуточное значение R наряду с ключом К являются секретными параметрами. Компрометация какого-либо из этих значений приводит к возможности построения эффективных методов анализа всего алгоритма.

Вычисление значении имитовставки. Процедура вычисления значения имитовставки похожа на процедуру зашифрования в режиме простой замены с зацеплением при m=n и инициализации начального заполнения регистра сдвига значением О": на вход алгоритму шифрования подастся результат покомпонентного сложения очередного блока текста и результата зашифрования на предыдущем шаге. Основное отличие заключается в процедуре обработки последнего блока: на вход базовому алгоритму блочного шифрования подается результат покомпонентного сложения последнего блока, результата зашифрования на предыдущем шаге и одного из вспомогательных ключей. Конкретный вспомогательный ключ выбирается в зависимости от того, является ли последний блок исходного сообщения полным или нет. Значением имитовставки MAC является результат применения процедуры усечения к выходу алгоритма шифрования при обработке последнего блока. Исходное сообщение Р? V*, для которого требуется вычислить имитовставку, представляется в виде Р = Р1ЦР2Ц.•-||Pq, где Pj? V_n, i = 1, 2, …, q-1, P_qE V_r, r < n. Процедура вычисления имитовставки описывается следующим образом:

где К* = К], если |P_q| = п и К* = К2 в противном случае, при этом P_q — последний блок сообщения, полученного в результате дополнения исходного сообщения с помощью процедуры 3. Процедура вычисления имитовставки проиллюстрирована на рис. 84 — 86.

Рис. 84. Вычисление значения имитовставки (общий вид).

Рис. 85. Вычисление значения имитовставки (случай полного последнего блока).

Рис. 86. Вычисление значения имитовставки (случай с дополнением последнего блока).