Построение ключевого расписания

Свойства ключевого расписания СБШ также влияют на криптографические свойства алгоритма шифрования.

Рассмотрим пример. Будем говорить, что j-й бит ключа k используется в ?-м раунде шифрования, если этот бит является существенной переменной отображения 0, i е {1,…, г).

Если множество битов ключа k разбивается на два непустых подмножества так, что первое подмножество используется только в первых / раундах шифрования, а второе — только в последних г — / раундах шифрования, то для определения ключа k по блокам х и у открытого и шифрованного текстов можно применить метод встречи посередине (русское название метод согласования). Суть метода в том, что при таком разбиении оба подмножества битов ключа к опробуются независимо и каждый вариант первого подмножества согласуется с вариантами второго подмножества по значению блока данных после / раундов шифрования.

При использовании вычислительной системы с памятью, емкость которой порядка битов, трудоемкость определения ключа СБШ методом согласования сопоставима с трудоемкостью зашифрования заданного блока открытого сообщения при различных ключах. В связи с этим стойкость двойного шифрования с помощью СБШ с независимыми ключами оценивается как стойкость однократного шифрования, если не учитывать проблемы, связанные с размером памяти вычислителя. Именно поэтому двойное шифрование с использованием алгоритма с независимыми ключами признано нецелесообразным.

Следовательно, одним из необходимых условий при построении ключевого расписания СБШ является существенная зависимость от каждого бита ключа к нескольких (не менее двух) раундовых ключей. Более точно, при любом «рассечении» алгоритма шифрования на / и г — I раундов, / € {1, …, г — 1}, совокупность раундовых ключей хотя бы одной из «отсеченных» частей алгоритма должна быть функцией от всех битов ключа к.

Важен также и выбор числа г циклов шифрования. При грамотно построенной цикловой функции эффективность методов дифференциального и линейного криптоанализа уменьшается экспоненциально с увеличением числа г циклов шифрования. Исходя из этого, выбор значения г — это компромисс между стойкостью шифра и скоростью шифрования.

Если ключ при зашифровании следующего блока не обновляется (моноключевой ш. а.), то при зашифровании и расшифровании трудоемкость вычисления раундовых ключей (а также ключей д₀ и <7_/+1) не слишком важна, так как все производные ключи вычисляются по ключу к однократно и записываются в память. После этого производные ключи используются многократно для обработки всех блоков сообщения (файла). Напротив, при обновлении ключа для зашифрования следующего блока (мультиключевой ш. а.) или при реализации алгоритма дешифрования, связанного с перебором ключей шифра, трудоемкость вычисления раундовых ключей важна, эти вычисления выполняются многократно.