ГОСТ 28147—89

Материал из Википедии — свободной энциклопедии

ГОСТ 28147—89 — советский и российский стандарт симметричного шифрования введённый в 1990 году. Полное название «ГОСТ 28147—89 Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования».

По некоторым сведениям^[1], история этого шифра гораздо более давняя. Алгоритм положенный впоследствии в основу стандарта родился, предположительно, в недрах Восьмого Главного управления КГБ СССР, преобразованного ныне в ФСБ, скорее всего, в одном из подведомственных ему закрытых НИИ, вероятно, ещё в 1970-х годах в рамках проектов создания программных и аппаратных реализаций шифра для различных компьютерных платформ.

С момента опубликования ГОСТа на нём стоял ограничительный гриф «Для служебного пользования», и формально шифр был объявлен «полностью открытым» только в мае 1994 года^[2]. К сожалению история создания шифра и критерии его проектирования до сих пор неизвестны.

Содержание 1 Описание 2 Достоинства ГОСТа 3 Критика ГОСТа 4 См. также 5 Ссылки и примечания

[править] Описание

ГОСТ 28147-89 — блочный шифр с 256-битным ключом и 32 циклами преобразования, оперирующий 64-битными блоками. Основа алгоритма шифра— Сеть Фейстеля. Базовым режимом шифрования по ГОСТ 28147-89 является режим простой замены (определены также более сложные режимы гаммирования и гаммирования с обратной связью). Для зашифрования в этом режиме открытый текст сначала разбивается на левую и правую половины L и R. На i-ом цикле используется подключ k_i:

R_{i + 1} = L_i

( = xor)

Для генерации подключей исходный 256-битный ключ разбивается на восемь 32-битных блоков: K₁…K₈.

Расшифрование выполняется так же, как и зашифрование, но инвертируется порядок подключей K_i.

Функция f(L_i,K_i) вычисляется следующим образом:

R_i-1 и K_i складываются по модулю 2³².

Результат разбивается на восемь 4-битовых подпоследовательностей, каждая из которых поступает на вход своего S-блока. Общее количество S-блоков ГОСТа — восемь, т. е. столько же, сколько и подпоследовательностей. Каждый S-блок представляет собой перестановку чисел от 0 до 15. Первая 4-битная подпоследовательность попадает на вход первого S-блока, вторая — на вход второго и т. д.

Если S-блок выглядит так:

1, 15, 13, 0, 5, 7, 10, 4, 9, 2, 3, 14, 6, 11, 8, 12

и на входе S-блока 0, то на выходе будет 1, если 5, то на выходе будет 7 и т. д.

Выходы всех восьми S-блоков объединяются в 32-битное слово, затем всё слово циклически сдвигается влево на 11 бит.

Все восемь S-блоков могут быть различными. Фактически, они могут являтся дополнительным ключевым материалом, но чаще являются параметром схемы, общим для определенной группы пользователей, например, по некоторым данным, Центральный Банк использует следующие S-блоки:

Номер S-блока	Значение
1	4 10 9 2 13 8 0 14 6 11 1 12 7 15 5 3
2	14 11 4 12 6 13 15 10 2 3 8 1 0 7 5 9
3	5 8 1 13 10 3 4 2 14 15 12 7 6 0 9 11
4	7 13 10 1 0 8 9 15 14 4 6 12 11 2 5 3
5	6 12 7 1 5 15 13 8 4 10 9 14 0 3 11 2
6	4 11 10 0 7 2 1 13 3 6 8 5 9 12 15 14
7	13 11 4 1 3 15 5 9 0 10 14 7 6 8 2 12
8	1 15 13 0 5 7 10 4 9 2 3 14 6 11 8 12

[править] Достоинства ГОСТа

• бесперспективность силовой атаки (XSL-атаки в учёт не берутся, т.к. их эффективность на данный момент полностью не доказана)
• эффективность реализации и соответственно высокое быстродействие на современных компьютерах

[править] Критика ГОСТа

Стандарт не специфицирует алгоритм генерации S-блоков (таблицы замен). С одной стороны, это может являться дополнительной секретной информацией (помимо ключа), а с другой, поднимает ряд проблем:

• нельзя определить криптостойкость алгоритма, не зная таблицы замен (таблицы бывают «удачные» и «неудачные»);
• реализации алгоритма от различных производителей могут использовать разные таблицы замен и могут быть несовместимы между собой;
• генерацией и проверкой S-блоков для реализаций алгоритма занимается ФАПСИ (при лицензировании алгоритма). Нет уверенности, что эта организация не выдаст «специальных» блоков.

[править] См. также

• DES
• ГОСТ Р 34.10-2001
• форум сайта «PGP в России» — недостатки алгоритма
• RFC 4491

[править] Ссылки и примечания

1. ↑ А. Винокуров. Алгоритм шифрования ГОСТ 28147-89, его использование и реализация для компьютеров платформы Intel x86
2. ↑ А. А. Волчков Три источника, три составные части... современной криптографии