1. Описание алгоритма Rijndael

1. Описание алгоритма
2. Типовые схемные решения
аппаратной реализации
3. Аппаратная реализация
структурных блоков
4. Проблемы, возникающие
при аппаратной реализации
Особенности аппаратной
реализации алгоритма
шифрования
Rijndael
Стандарт AES, принятый NIST в 2001 году
1. Описание алгоритма Rijndael
Шифрование с секретным ключом
2
1. Описание алгоритма Rijndael
Состояние и ключ
Nk = 4
всегда = 4
Nb = 6 байт *
Состояние
* В AES Nb всегда = 4 байта
Rijndael допускает длину 128, 192 и 256 бит
Ключ
Может быть длиной 128, 192 и
256 бит
3
1. Описание алгоритма Rijndael
Общая структура алгоритма
Зависимость количества
раундов Nr от длины
массивов
состояния Nb и ключа Nk
Nr
Nk = 4
Nk = 6
Nk = 8
Nb = 4
10
12
14
Nb = 6
12
12
14
Nb = 8
14
14
14
4
1. Описание алгоритма Rijndael
Обычный и заключительный раунды
5
1. Описание алгоритма Rijndael
Преобразование SybBytes
Общая схема применения преобразования SubBytes к состоянию
1. Нахождение обратного значения по отношению к операции умножения в
поле Галуа − GF(28) для текущего байта состояния
2. Вычисление афинного преобразования
В обратной операции, InvSubBytes, сначала над состоянием выполняется
обратное афинное преобразование, а затем находится обратное по
умножению значение в GF(28)
6
1. Описание алгоритма Rijndael
Преобразование ShiftRows
Структура преобразования ShiftRows
Зависимость величины сдвигов от длины состояния Nb
7
1. Описание алгоритма Rijndael
Преобразование MixColumns
Структура преобразования MixColumns
Математическое описание преобразования MixColumns
Каждый столбец состояния представляется в виде полинома с
коэффициентами в поле Галуа GF(28): a(x ) = a3x3 + a2x2 + a1x + a0
который умножается по модулю M(x) = x4 + 1 на полином:
c(x ) = ’03’x3 + ’01’x2 + ‘01’x + ‘02’
8
1. Описание алгоритма Rijndael
Преобразование AddRoundKey
Структура преобразования AddRoundKey
текущее состояние
ключ текущего раунда
состояние-результат
Обратное преобразование, InvAddRoundKey, полностью идентично
прямому.
9
1. Описание алгоритма Rijndael
Механизм расширения ключа
В каждом раунде используется свой уникальный ключ, сгенерированный
на основе главного. Такие ключи называются раундовыми (цикловыми).
10
2. Типовые схемные решения аппаратной реализации
Основные типы схем
11
2. Типовые схемные решения аппаратной реализации
Схема, предложенная Стефаном Мангардом, Манфредом Айнером и
Сандрой Доминикус (Гразский Технологический Университет, Австрия)
Представленная схема является в
высшей степени регулярной и
масштабируемой.
Структурные элементы:
1. Модуль данных.
2. Модуль расширения ключей.
3. Модуль связывания
закодированных и
незакодированных блоков. (CBC)
4. Интерфейсный модуль.
12
2. Типовые схемные решения аппаратной реализации
Вариант 2
Схема предложена Намингом Ю и
Говардом Хейсом из
Electrical and Computer Engineering
Memorial University of Newfoundland
Реализация одного универсального раунда
13
2. Типовые схемные решения аппаратной реализации
Вариант 3
Этот вариант реализации представлен
Алирезой Ходжат и Ингрид
Вербауведе, факультет электрического
проектирования Калифорнийского
Университета, Лос-Анджелес
Особенность реализации в том, что
каждый раунд реализован отдельно, в
результате чего получается
конвейерная структура.
(Pipeline architecture)
Структура одного раунда
14
3. Аппаратная реализация структурных блоков
Блок S-Box
Вариант, предложенный в стандарте AES
В стандарте AES представлены
следующие таблицы, которые содержат
рассчитанные заранее значения функций
S-Box. Их предлагается реализовать в
виде выборки по таблице из блока
памяти ПЗУ (ROM Table Lookup)
Этот способ является наиболее простым,
но ресурсозатратным и не подходящим
для быстрых реализаций.
15
3. Аппаратная реализация структурных блоков
Блок S-Box
Вариант, предложенный Намингом Ю и Говардом Хейсом из
Electrical and Computer Engineering Memorial University of Newfoundland
Представленная реализация отличается от
представленных ранее.
Дж. Фуллер и В. Миллан, исследуя
локальную структуру расстояний Хэмминга
между булевыми функциями, использовали
новый метод для нахождения
эквивалентности между 8 булевыми
функциями, используемыми блоками S-Box.
Выходная булева функция блока S-Box
может быть представлена в виде:
bj(x) = bi(Dijx)
cj
где: D − двоичная матрица, с − двоичная
константа, а bi − известная булева функция
16
3. Аппаратная реализация структурных блоков
Блок S-Box
Вариант, предложенный Эдвином Муи из Texco
Enterprise Ptd.
Схема универсального блока S-Box
Схема реализует алгоритм преобразований, описанный авторами Rijndael. Реализация
основана на работах Винсента Рэймена “Efficient Implementation of the Rijndael S-Box” и
Акаши Сато ( с соавт.) “A Compact Rijndael Hardware Architecture with S-Box Optimization”
Основная сложность данного метода в реализации нахождения обратного значения
текущего байта состояния относительно операции умножения в поле Галуа GF(28).
Поскольку эта операция очень сложна, прибегли к разложению полинома в GF(28) к
полиному в GF(24). Для таких полиномов существует более простая формула:
17
3. Аппаратная реализация структурных блоков
Блок S-Box
Вариант, предложенный Эдвином Муи из Texco
Enterprise Ptd.
Схема нахождения мультипликативного инверсного
изоморфное преобразование в комплексном поле
мультипликативная инверсия в поле GF(24)
возведение в квадрат в поле GF(24)
умножение в поле GF(24)
умножение на константу в поле GF(24)
обратное изоморфное преобразование в комплексном поле
сложение в поле GF(24)
18
3. Аппаратная реализация структурных блоков
Блок S-Box
Реализация 3-го варианта
19
3. Аппаратная реализация структурных блоков
Схема модуля расширения ключей
Схема позволяет хранить только
текущий цикловой ключ, обеспечивая
вычисление нового циклового ключа
как в прямом (RoundKeyi+1 ), так и в
обратном порядке (RoundKeyi-1).
20
3. Аппаратная реализация структурных блоков
Схема модуля расширения ключей
Вариант, предложенный Намингом Ю
и Говардом Хейсом из
Electrical and Computer Engineering
Memorial University of Newfoundland
21
3. Аппаратная реализация структурных блоков
Схема модуля расширения ключей
Этот вариант реализации представлен Алирезой Ходжат и Ингрид Вербауведе, факультет
электрического проектирования Калифорнийского Университета, Лос-Анджелес
Физическая структура блока с указанием
уровней конвееризации
Схема реализации модуля
расширения ключа
22
3. Аппаратная реализация структурных блоков
Преобразование MixColumns
Один из возможных способов реализации преобразования MixColumns
23
4. Проблемы, возникающие при аппаратной реализации
Общие проблемы и сложности
1) минимизация места, занимаемого на кристалле
2) увеличение быстродействия
3) защита от аппаратно-направленных атак (атака по
задержкам, атака по анализу энергопотребления)
4) повышение функциональности
5) выбор более долговечной аппаратной базы для
реализации
24
4. Проблемы, возникающие при аппаратной реализации
Блок S-Box
Отношение количества эквивалентных ячеек и времени задержки для вариантов
реализации представленных Алирезой Ходжат и Ингрид Вербауведе, факультет
электрического проектирования Калифорнийского Университета, Лос-Анджелес
25
4. Проблемы, возникающие при аппаратной реализации
Схема расширения ключа
26
4. Проблемы, возникающие при аппаратной реализации
Проблема масштабируемости
Зависимость количества
раундов Nr от длины
массивов
состояния Nb и ключа Nk
Nr
Nk = 4
Nk = 6
Nk = 8
Nb = 4
10
12
14
Nb = 6
12
12
14
Зависимость величины сдвигов от
длины состояния Nb
Nb = 8
14
14
14
Nr = f(Nb, Nk) ?
C1, C2, C3 = f(Nb) ?
27