Simón (cifrado)

Simon es una familia de cifradores de bloques ligeros publicados por la Agencia de Seguridad Nacional (NSA) en junio de 2013. ^{[ 5 ] [ 1 ]} Simon se ha optimizado para el rendimiento en implementaciones de hardware, mientras que su algoritmo hermano, Speck , se ha optimizado para implementaciones de software. ^{[ 6 ] [ 7 ]}

La NSA comenzó a trabajar en los cifrados Simon y Speck en 2011. La agencia preveía que algunas agencias del gobierno federal estadounidense necesitarían un cifrado que funcionara bien en una colección diversa de dispositivos del Internet de las Cosas , manteniendo al mismo tiempo un nivel de seguridad aceptable. ^{[ 8 ]}

El cifrado de bloques Simon es un cifrado Feistel balanceado con una palabra de n bits, por lo que la longitud del bloque es 2 n . La longitud de la clave es un múltiplo de n por 2, 3 o 4, que es el valor m . Por lo tanto, una implementación del cifrado Simon se denota como Simon2 n / nm . Por ejemplo, Simon64/128 se refiere al cifrado que opera sobre un bloque de texto plano de 64 bits ( n  =  32) que utiliza una clave de 128 bits. ^{[ 1 ]} El componente de bloque del cifrado es uniforme entre las implementaciones de Simon; sin embargo, la lógica de generación de claves depende de la implementación de 2, 3 o 4 claves.

Simon admite las siguientes combinaciones de tamaños de bloque, tamaños de clave y número de rondas: ^{[ 1 ]}

Los diseñadores afirman que Simon, aunque es un cifrado "ligero", está diseñado para tener la máxima seguridad posible para cada tamaño de bloque y clave, contra ataques estándar de texto plano elegido (CPA) y texto cifrado elegido (CCA) . También se mencionó como objetivo la resistencia contra ataques de clave relacionada , aunque menos crucial, ya que los ataques en ese modelo no son relevantes para los casos de uso típicos. ^{[ 9 ] : 2} No se hizo ningún esfuerzo para resistir ataques en el modelo de ataque de distinción de clave conocida , ni los diseñadores evaluaron Simon para su uso como función hash . ^{[ 10 ]}

Hasta 2018, no se conoce ningún ataque exitoso a Simon de ronda completa de ninguna variante. Debido al interés en Simon y Speck, se han publicado alrededor de 70 artículos de criptoanálisis sobre ellos. ^{[ 9 ] : 10} Como es típico para los cifrados iterados , las variantes de ronda reducida han sido atacadas con éxito. Los mejores ataques publicados a Simon en el modelo de ataque estándar (CPA/CCA con clave desconocida) son ataques de criptoanálisis diferencial ; estos pasan a través de aproximadamente 70-75% de las rondas de la mayoría de las variantes, aunque estos mejores ataques son solo marginalmente más rápidos que la fuerza bruta . ^{[ 11 ] [ 12 ] [ 13 ] [ 9 ] : 12} El equipo de diseño afirma que mientras diseñaban Simon, encontraron que los ataques diferenciales eran los ataques limitantes, es decir, el tipo de ataque que pasa a través de la mayoría de las rondas; luego establecieron el número de rondas para dejar un margen de seguridad similar al de AES-128 en aproximadamente 30%. ^{[ 9 ] : 12–13}

Simon ha sido criticado por tener un margen de seguridad demasiado pequeño, es decir, muy pocas rondas entre los mejores ataques y el cifrado completo, en comparación con cifrados más conservadores como ChaCha20 . ^{[ 14 ]} Los cifrados con márgenes de seguridad pequeños tienen más probabilidades de ser vulnerados por futuros avances en criptoanálisis . El equipo de diseño de Simon argumenta que existe un costo real en el mundo real asociado a márgenes de seguridad innecesariamente grandes, especialmente en dispositivos ligeros, que el criptoanálisis durante la fase de diseño permitió establecer el número de rondas de manera apropiada y que apuntaban al margen de seguridad de AES. ^{[ 9 ] : 17}

Simon incluye un contador de rondas en el esquema de claves . Los diseñadores afirman que esto se incluyó para bloquear los ataques de criptoanálisis rotacional y de deslizamiento . ^{[ 9 ] : 16} Aun así, el criptoanálisis XOR rotacional se ha utilizado para encontrar distinguidores contra versiones de rondas reducidas de cifrados relacionados como Speck. ^{[ 15 ]} Aunque los autores no describen ataques estándar de recuperación de claves basados ​​en sus distinguidores, sus mejores distinguidores en Simon32 y Simon48 en el modelo de ataque de distinción de clave conocida para ciertas clases de claves débiles pasan por un número ligeramente mayor de rondas que los mejores distinguidores diferenciales. Uno de los autores ha dicho que su investigación tuvo limitaciones de recursos y que probablemente sea posible encontrar distinguidores XOR rotacionales en más rondas. Los diseñadores también afirman que Simon no fue diseñado para resistir ataques de distinción de clave conocida (que no comprometen directamente la confidencialidad de los cifrados). ^{[ 10 ] : 8}

Los diseñadores afirman que el criptoanálisis de la NSA no encontró debilidades en los algoritmos y que su seguridad era proporcional a la longitud de sus claves. ^{[ 8 ] : 2} El equipo de diseño afirma que su criptoanálisis incluyó criptoanálisis lineal y diferencial utilizando técnicas estándar como el algoritmo de Matsui y solucionadores SAT/SMT, aunque no se proporciona una lista completa de las técnicas utilizadas. ^{[ 9 ] : 10} Los diseñadores de Simon han sido criticados por no proporcionar más detalles sobre el criptoanálisis de la NSA de los cifrados. ^{[ 16 ]}

La NSA ha aprobado Simon128/256 y Speck128/256 para su uso en los Sistemas de Seguridad Nacional de EE. UU., aunque AES-256 todavía se recomienda para aplicaciones no restringidas. ^{[ 17 ]}

Los intentos iniciales de estandarizar Simon y Speck a través de la Organización Internacional de Normalización (ISO) no lograron alcanzar la mayoría cualificada requerida, y los cifrados no fueron adoptados. ^{[ 16 ]} Delegados expertos ante la ISO de varios países, incluidos Alemania, Japón e Israel, se opusieron a los esfuerzos de la NSA por estandarizar los cifrados, citando preocupaciones de que la NSA estuviera impulsando su estandarización conociendo las vulnerabilidades explotables de los cifrados. ^{[ 18 ]} La postura se basó en evidencia parcial de vulnerabilidades en los cifrados, la falta de una necesidad clara de estandarizar los nuevos cifrados y la participación previa de la NSA en la creación y promoción del algoritmo criptográfico Dual_EC_DRBG con puerta trasera . ^{[ 19 ]}

En respuesta a las preocupaciones, la NSA declaró que más de 70 documentos de análisis de seguridad de algunos de los criptógrafos más importantes del mundo respaldan la conclusión de la NSA de que los algoritmos son seguros y afirmó que no tiene conocimiento de ninguna técnica criptoanalítica que les permita a ellos o a cualquier otra persona explotar Simon o Speck. ^{[ 20 ]}

Tras los intentos iniciales de estandarizar los cifrados, la ISO estandarizó Simon y Speck en otros grupos de trabajo. En octubre de 2018, los cifrados Simon y Speck fueron estandarizados por la ISO como parte del estándar de interfaz aérea RFID , la norma ISO 29167-21 (para Simon) ^{[ 21 ]} y la norma ISO 29167-22 (para Speck) ^{[ 22 ]} , lo que los puso a disposición de entidades comerciales para su uso.

• Función booleana equilibrada
• Función doblada