Cifrado por bloques

La mayoría de los algoritmos de cifrado por bloques se clasifican como cifrados por bloques iterados, lo que significa que transforman bloques de texto plano de tamaño fijo en bloques de texto cifrado de tamaño idéntico , mediante la aplicación repetida de una transformación invertible conocida como función de ronda , y cada iteración se denomina ronda . ^{[ 12 ]}

Por lo general, la función de redondeo R toma diferentes claves de redondeo K _i como segunda entrada, que se deriva de la clave original: ^{[ 13 ]}

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})}$

dónde${\displaystyle M_{0}}$es el texto plano y${\displaystyle M_{r}}$el texto cifrado, donde r es el número de rondas.

Con frecuencia, además de esto, se utiliza el blanqueamiento de claves . Al principio y al final, los datos se modifican con material de clave (a menudo con XOR ):

${\displaystyle M_{0}=M\oplus K_{0}}$

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})\;;\;i=1\dots r}$

${\displaystyle C=M_{r}\oplus K_{r+1}}$

Dado uno de los esquemas de diseño estándar de cifrado por bloques iterativo, es relativamente fácil construir un cifrado por bloques criptográficamente seguro, simplemente utilizando un gran número de rondas. Sin embargo, esto lo vuelve ineficiente. Por lo tanto, la eficiencia es el criterio de diseño adicional más importante para los cifrados profesionales. Además, un buen cifrado por bloques está diseñado para evitar ataques de canal lateral, como la predicción de bifurcaciones y los accesos a memoria dependientes de la entrada, que podrían filtrar datos secretos a través del estado de la caché o el tiempo de ejecución. Asimismo, el cifrado debe ser conciso, para implementaciones de hardware y software pequeñas.

Un tipo importante de cifrado por bloques iterativo conocido como red de sustitución-permutación (SPN) toma un bloque del texto plano y la clave como entradas y aplica varias rondas alternas que consisten en una etapa de sustitución seguida de una etapa de permutación para producir cada bloque de texto cifrado de salida. ^{[ 14 ]} La etapa de sustitución no lineal mezcla los bits de la clave con los del texto plano, creando la confusión de Shannon . La etapa de permutación lineal disipa las redundancias, creando difusión . ^{[ 15 ] [ 16 ]}

Una caja de sustitución (caja S) reemplaza un pequeño bloque de bits de entrada con otro bloque de bits de salida. Esta sustitución debe ser biunívoca para garantizar la invertibilidad (y, por lo tanto, el descifrado). Una caja S segura tendrá la propiedad de que cambiar un bit de entrada cambiará, en promedio, aproximadamente la mitad de los bits de salida, exhibiendo lo que se conoce como efecto avalancha ; es decir, tiene la propiedad de que cada bit de salida dependerá de cada bit de entrada. ^{[ 17 ]}

Una caja de permutación (P-box) es una permutación de todos los bits: toma las salidas de todas las S-boxes de una ronda, permuta los bits y los introduce en las S-boxes de la siguiente ronda. Una buena P-box tiene la propiedad de que los bits de salida de cualquier S-box se distribuyen a la mayor cantidad posible de entradas de S-box. ^{[ 18 ]}

En cada ronda, la clave de ronda (obtenida a partir de la clave con algunas operaciones simples, por ejemplo, utilizando cajas S y cajas P) se combina utilizando alguna operación de grupo, normalmente XOR .

El descifrado se realiza simplemente invirtiendo el proceso (utilizando las inversas de las cajas S y P y aplicando las claves de ronda en orden inverso). ^{[ 19 ]}

En un cifrado Feistel , el bloque de texto plano que se va a cifrar se divide en dos mitades de igual tamaño. La función round se aplica a una mitad, utilizando una subclave, y luego el resultado se combina mediante XOR con la otra mitad. A continuación, se intercambian las dos mitades. ^{[ 20 ]}

Dejar${\displaystyle {\rm {F}}}$sea ​​la función redonda y deje que ${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$sean las subclaves para las rondas${\displaystyle 0,1,\ldots ,n}$respectivamente.

Entonces, la operación básica es la siguiente: ^{[ 20 ]}

Divida el bloque de texto plano en dos partes iguales, (${\displaystyle L_{0}}$,${\displaystyle R_{0}}$)

Por cada ronda${\displaystyle i=0,1,\dots ,n}$, calcular

${\displaystyle L_{i+1}=R_{i}\,}$

${\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}}(R_{i},K_{i})}$.

Entonces el texto cifrado es${\displaystyle (R_{n+1},L_{n+1})}$.

El descifrado de un texto cifrado${\displaystyle (R_{n+1},L_{n+1})}$se logra mediante el cálculo de${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle R_{i}=L_{i+1}\,}$

${\displaystyle L_{i}=R_{i+1}\oplus {\rm {F}}(L_{i+1},K_{i})}$.

Entonces${\displaystyle (L_{0},R_{0})}$es el texto plano de nuevo.

Una ventaja del modelo de Feistel en comparación con una red de sustitución-permutación es que la función de ronda${\displaystyle {\rm {F}}}$no tiene por qué ser invertible. ^{[ 21 ]}

El esquema Lai-Massey ofrece propiedades de seguridad similares a las de la estructura Feistel . También comparte la ventaja de que la función de ronda${\displaystyle \mathrm {F} }$No tiene por qué ser invertible. Otra similitud es que también divide el bloque de entrada en dos partes iguales. Sin embargo, la función de redondeo se aplica a la diferencia entre ambas, y el resultado se suma a ambos semibloques.

Dejar${\displaystyle \mathrm {F} }$ser la función redonda y${\displaystyle \mathrm {H} }$una función semicircular y dejar${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$sean las subclaves para las rondas${\displaystyle 0,1,\ldots ,n}$respectivamente.

Entonces, el funcionamiento básico es el siguiente:

Divida el bloque de texto plano en dos partes iguales, (${\displaystyle L_{0}}$,${\displaystyle R_{0}}$)

Por cada ronda${\displaystyle i=0,1,\dots ,n}$, calcular

${\displaystyle (L_{i+1}',R_{i+1}')=\mathrm {H} (L_{i}'+T_{i},R_{i}'+T_{i}),}$

dónde${\displaystyle T_{i}=\mathrm {F} (L_{i}'-R_{i}',K_{i})}$y${\displaystyle (L_{0}',R_{0}')=\mathrm {H} (L_{0},R_{0})}$

Entonces el texto cifrado es${\displaystyle (L_{n+1},R_{n+1})=(L_{n+1}',R_{n+1}')}$.

El descifrado de un texto cifrado${\displaystyle (L_{n+1},R_{n+1})}$se logra mediante el cálculo de${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle (L_{i}',R_{i}')=\mathrm {H} ^{-1}(L_{i+1}'-T_{i},R_{i+1}'-T_{i})}$

dónde${\displaystyle T_{i}=\mathrm {F} (L_{i+1}'-R_{i+1}',K_{i})}$y${\displaystyle (L_{n+1}',R_{n+1}')=\mathrm {H} ^{-1}(L_{n+1},R_{n+1})}$

Entonces${\displaystyle (L_{0},R_{0})=(L_{0}',R_{0}')}$es el texto plano de nuevo.

Esta propiedad provoca que la seguridad del cifrado se degrade cuadráticamente y debe tenerse en cuenta al seleccionar el tamaño del bloque. Sin embargo, existe una contrapartida, ya que los tamaños de bloque grandes pueden hacer que el algoritmo sea ineficiente. ^{[ 34 ]} Los primeros cifrados de bloques, como el DES, solían utilizar un tamaño de bloque de 64 bits, mientras que los diseños más recientes, como el AES, admiten tamaños de bloque de 128 bits o más, y algunos cifrados admiten una gama de tamaños de bloque diferentes. ^{[ 35 ]}

El criptoanálisis lineal es una forma de criptoanálisis que se basa en encontrar aproximaciones afines a la acción de un cifrado . El criptoanálisis lineal es uno de los dos ataques más utilizados contra los cifrados por bloques; el otro es el criptoanálisis diferencial . ^{[ 36 ]}

El descubrimiento se atribuye a Mitsuru Matsui , quien aplicó por primera vez la técnica al cifrado FEAL (Matsui y Yamagishi, 1992). ^{[ 37 ]}

El criptoanálisis integral es un ataque criptoanalítico particularmente aplicable a cifrados de bloques basados ​​en redes de sustitución-permutación. A diferencia del criptoanálisis diferencial, que utiliza pares de textos planos elegidos con una diferencia XOR fija, el criptoanálisis integral utiliza conjuntos o incluso multiconjuntos de textos planos elegidos, de los cuales una parte se mantiene constante y otra varía en todas las posibilidades. Por ejemplo, un ataque podría utilizar 256 textos planos elegidos que tienen todos sus bits iguales excepto 8, pero todos difieren en esos 8 bits. Dicho conjunto necesariamente tiene una suma XOR de 0, y las sumas XOR de los conjuntos correspondientes de textos cifrados proporcionan información sobre el funcionamiento del cifrado. Este contraste entre las diferencias entre pares de textos y las sumas de conjuntos más grandes de textos inspiró el nombre de "criptoanálisis integral", tomando prestada la terminología del cálculo.

Además del criptoanálisis lineal y diferencial, existe un catálogo cada vez mayor de ataques: criptoanálisis diferencial truncado , criptoanálisis diferencial parcial, criptoanálisis integral ( que abarca ataques cuadráticos e integrales), ataques de deslizamiento , ataques de bumerán , el ataque XSL , criptoanálisis diferencial imposible y ataques algebraicos. Para que un nuevo diseño de cifrado por bloques tenga alguna credibilidad, debe demostrar evidencia de seguridad contra ataques conocidos. ^{[ 38 ]}

De manera informal, un cifrado por bloques es seguro en el modelo estándar si un atacante no puede distinguir entre el cifrado por bloques (equipado con una clave aleatoria) y una permutación aleatoria.

Para ser un poco más precisos, sea E un cifrado de bloques de n bits. Imaginemos el siguiente juego:

1. La persona que dirige el juego lanza una moneda al aire.
   • Si la moneda cae cara, elige una clave aleatoria K y define la función f = E _K .
   • Si la moneda cae en cruz, elige una permutación aleatoria π en el conjunto de cadenas de n bits y define la función f = π .
2. El atacante elige una cadena de n bits X , y la persona que dirige el juego le dice el valor de f ( X ).
3. El paso 2 se repite un total de q veces. (Cada una de estas q interacciones es una consulta ).
4. El atacante adivina cómo cayó la moneda. Gana si acierta.

El atacante, que podemos modelar como un algoritmo, se llama adversario . La función f (que el adversario pudo consultar) se llama oráculo .

Nótese que un adversario puede asegurar fácilmente un 50% de probabilidad de ganar simplemente adivinando al azar (o incluso, por ejemplo, adivinando siempre "cara"). Por lo tanto, sea P _E ( A ) la probabilidad de que el adversario A gane este juego contra E , y definamos la ventaja de A como 2( P _E ( A )  −  1/2). De ello se deduce que si A adivina al azar, su ventaja será 0; por otro lado, si A siempre gana, entonces su ventaja es 1. El cifrado de bloques E es una permutación pseudoaleatoria (PRP) si ningún adversario tiene una ventaja significativamente mayor que 0, dadas las restricciones especificadas sobre q y el tiempo de ejecución del adversario. Si en el paso 2 anterior los adversarios tienen la opción de aprender f ⁻¹ ( X ) en lugar de f ( X ) (pero aún así tienen solo pequeñas ventajas), entonces E es una PRP fuerte (SPRP). Un adversario no es adaptativo si elige todos los valores q para X antes de que comience el juego (es decir, no utiliza ninguna información obtenida de consultas anteriores para elegir cada X a medida que avanza).

Estas definiciones han demostrado ser útiles para analizar diversos modos de operación. Por ejemplo, se puede definir un juego similar para medir la seguridad de un algoritmo de cifrado basado en cifrado por bloques, y luego intentar demostrar (mediante un argumento de reducción ) que la probabilidad de que un adversario gane este nuevo juego no es mucho mayor que P _E ( A ) para algún A . (La reducción suele proporcionar límites para q y el tiempo de ejecución de A ). De forma equivalente, si P _E ( A ) es pequeño para todos los A relevantes , entonces ningún atacante tiene una probabilidad significativa de ganar el nuevo juego. Esto formaliza la idea de que el algoritmo de nivel superior hereda la seguridad del cifrado por bloques.

Lucifer se considera generalmente el primer cifrador de bloques civil, desarrollado en IBM en la década de 1970 a partir del trabajo de Horst Feistel . Una versión revisada del algoritmo fue adoptada como estándar federal de procesamiento de información del gobierno de EE. UU .: FIPS PUB 46, Estándar de Cifrado de Datos (DES). ^{[ 42 ]} Fue seleccionado por la Oficina Nacional de Estándares (NBS) de EE. UU. tras una convocatoria pública de propuestas y algunos cambios internos por parte de la NBS (y, posiblemente, de la NSA ). DES se publicó en 1976 y se ha utilizado ampliamente desde entonces.

DES fue diseñado, entre otras cosas, para resistir un ataque criptoanalítico conocido por la NSA y redescubierto por IBM, aunque desconocido para el público hasta que Eli Biham y Adi Shamir lo redescubrieron y publicaron a finales de la década de 1980. La técnica se denomina criptoanálisis diferencial y sigue siendo uno de los pocos ataques generales contra los cifrados por bloques; el criptoanálisis lineal es otro, pero es posible que incluso la NSA lo desconociera antes de su publicación por Mitsuru Matsui . DES impulsó una gran cantidad de trabajos y publicaciones en criptografía y criptoanálisis en la comunidad abierta e inspiró muchos diseños de cifrado nuevos.

DES tiene un tamaño de bloque de 64 bits y un tamaño de clave de 56 bits. Los bloques de 64 bits se hicieron comunes en los diseños de cifrado por bloques después de DES. La longitud de la clave dependía de varios factores, incluida la regulación gubernamental. Muchos observadores en la década de 1970 comentaron que la longitud de clave de 56 bits utilizada para DES era demasiado corta. Con el tiempo, su insuficiencia se hizo evidente, especialmente después de que la Electronic Frontier Foundation demostrara en 1998 una máquina de propósito especial diseñada para romper DES . Una extensión de DES, Triple DES , cifra cada bloque con tres claves independientes: dos claves independientes (clave de 112 bits y seguridad de 80 bits) o tres claves independientes (clave de 168 bits y seguridad de 112 bits). Fue ampliamente adoptado como reemplazo. A partir de 2011, la versión de tres claves todavía se considera segura, aunque los estándares del Instituto Nacional de Estándares y Tecnología (NIST) ya no permiten el uso de la versión de dos claves en nuevas aplicaciones, debido a su nivel de seguridad de 80 bits. ^{[ 43 ]}

El Algoritmo Internacional de Cifrado de Datos ( IDEA ) es un cifrado por bloques diseñado por James Massey de la ETH Zúrich y Xuejia Lai ; se describió por primera vez en 1991 como un posible sustituto de DES.

IDEA opera con bloques de 64 bits utilizando una clave de 128 bits y consta de una serie de ocho transformaciones idénticas (una ronda ) y una transformación de salida (la media ronda ). Los procesos de cifrado y descifrado son similares. IDEA basa gran parte de su seguridad en la intercalación de operaciones de diferentes grupos —suma y multiplicación modulares , y la operación XOR ( coma exclusivo ) a nivel de bits— que son algebraicamente "incompatibles" en cierto sentido.

Los diseñadores analizaron IDEA para medir su resistencia frente al criptoanálisis diferencial y concluyeron que es inmune bajo ciertas suposiciones. No se han reportado vulnerabilidades lineales o algebraicas exitosas. A partir de 2012El mejor ataque, que se aplica a todas las claves, puede romper un IDEA completo de 8,5 rondas utilizando un ataque de bicliques estrechos aproximadamente cuatro veces más rápido que la fuerza bruta.

RC5 es un cifrado por bloques diseñado por Ronald Rivest en 1994 que, a diferencia de muchos otros cifrados, tiene un tamaño de bloque variable (32, 64 o 128 bits), un tamaño de clave (de 0 a 2040 bits) y un número de rondas (de 0 a 255). La configuración original sugerida era un tamaño de bloque de 64 bits, una clave de 128 bits y 12 rondas.

Una característica clave de RC5 es el uso de rotaciones dependientes de los datos; uno de los objetivos de RC5 era impulsar el estudio y la evaluación de dichas operaciones como primitiva criptográfica. RC5 también consta de varias sumas modulares y XOR. La estructura general del algoritmo es una red tipo Feistel . Las rutinas de cifrado y descifrado se pueden especificar en unas pocas líneas de código. Sin embargo, la planificación de claves es más compleja, expandiendo la clave mediante una función esencialmente unidireccional con las expansiones binarias de e y la proporción áurea como fuentes de números aleatorios . La tentadora simplicidad del algoritmo, junto con la novedad de las rotaciones dependientes de los datos, ha convertido a RC5 en un objeto de estudio atractivo para los criptoanalistas.

RC5 de 12 rondas (con bloques de 64 bits) es susceptible a un ataque diferencial utilizando 2 ⁴⁴ textos planos elegidos. ^{[ 44 ]} Se sugieren 18-20 rondas como protección suficiente.

El cifrado Rijndael , desarrollado por los criptógrafos belgas Joan Daemen y Vincent Rijmen, fue uno de los diseños que compitieron para reemplazar al DES. Ganó el concurso público de 5 años para convertirse en el AES (Estándar de Cifrado Avanzado).

Adoptado por el NIST en 2001, AES tiene un tamaño de bloque fijo de 128 bits y un tamaño de clave de 128, 192 o 256 bits, mientras que Rijndael puede especificarse con tamaños de bloque y clave en cualquier múltiplo de 32 bits, con un mínimo de 128 bits. El tamaño del bloque tiene un máximo de 256 bits, pero el tamaño de la clave no tiene un máximo teórico. AES opera sobre una matriz de bytes de orden columnar de 4×4, denominada estado (las versiones de Rijndael con un tamaño de bloque mayor tienen columnas adicionales en el estado).

Blowfish is a block cipher, designed in 1993 by Bruce Schneier and included in a large number of cipher suites and encryption products. Blowfish has a 64-bit block size and a variable key length from 1 bit up to 448 bits.^[45] It is a 16-round Feistel cipher and uses large key-dependent S-boxes. Notable features of the design include the key-dependent S-boxes and a highly complex key schedule.

It was designed as a general-purpose algorithm, intended as an alternative to the aging DES and free of the problems and constraints associated with other algorithms. At the time Blowfish was released, many other designs were proprietary, encumbered by patents, or were commercial/government secrets. Schneier has stated that "Blowfish is unpatented, and will remain so in all countries. The algorithm is hereby placed in the public domain, and can be freely used by anyone." The same applies to Twofish, a successor algorithm from Schneier.

Several block ciphers exist that are generally only used in certain localities or jurisdictions, some of the more well known ones include:

• SM4 — China
• Kuznyechik (GOST R 34.12-2015) — Russia
• GOST 28147-89 — Soviet Union / Russia (deprecated)
• ARIA — South Korea
• SEED — South Korea
• Camellia — Japan, also used internationally to an extent.
• Kalyna — Ukraine

M. Liskov, R. Rivest, and D. Wagner have described a generalized version of block ciphers called "tweakable" block ciphers.^[46] A tweakable block cipher accepts a second input called the tweak along with its usual plaintext or ciphertext input. The tweak, along with the key, selects the permutation computed by the cipher. If changing tweaks is sufficiently lightweight (compared with a usually fairly expensive key setup operation), then some interesting new operation modes become possible. The disk encryption theory article describes some of these modes.

Los cifrados por bloques tradicionalmente funcionan con un alfabeto binario . Es decir, tanto la entrada como la salida son cadenas binarias, compuestas por n ceros y unos. Sin embargo, en algunas situaciones, puede ser conveniente utilizar un cifrado por bloques que funcione con otro alfabeto; por ejemplo, cifrar números de tarjetas de crédito de 16 dígitos de forma que el texto cifrado también sea un número de 16 dígitos podría facilitar la incorporación de una capa de cifrado a software heredado. Este es un ejemplo de cifrado que preserva el formato . En términos más generales, el cifrado que preserva el formato requiere una permutación con clave en algún lenguaje finito . Esto convierte a los esquemas de cifrado que preservan el formato en una generalización natural de los cifrados por bloques (ajustables). En cambio, los esquemas de cifrado tradicionales, como CBC, no son permutaciones, ya que el mismo texto plano puede cifrar varios textos cifrados diferentes, incluso utilizando una clave fija.