cifrado de bloque

tipo de cifrado

En criptografía , un cifrado de bloques es un algoritmo determinista que opera en grupos de bits de longitud fija , llamados bloques . Los cifrados en bloque son los componentes básicos de muchos protocolos criptográficos . Son omnipresentes en el almacenamiento e intercambio de datos, donde dichos datos se protegen y autentican mediante cifrado .

Un cifrado de bloques utiliza bloques como una transformación invariable. Incluso un cifrado de bloques seguro es adecuado para cifrar un solo bloque de datos a la vez, utilizando una clave fija. Se han diseñado multitud de modos de funcionamiento para permitir su uso repetido de forma segura para lograr los objetivos de seguridad de confidencialidad y autenticidad . Sin embargo, los cifrados de bloques también pueden aparecer como bloques de construcción en otros protocolos criptográficos, como funciones hash universales y generadores de números pseudoaleatorios .

Definición

Un cifrado de bloque consta de dos algoritmos emparejados, uno para cifrado, E , y el otro para descifrado, D. ^[1] Ambos algoritmos aceptan dos entradas: un bloque de entrada de tamaño n bits y una clave de tamaño k bits; y ambos producen un bloque de salida de n bits. El algoritmo de descifrado D se define como la función inversa del cifrado, es decir, D = E ⁻¹ . Más formalmente, ^{[2] [3]} un cifrado de bloque se especifica mediante una función de cifrado

${\displaystyle E_{K}(P):=E(K,P):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n},}$

que toma como entrada una clave K , de longitud de bits k (llamada tamaño de clave ), y una cadena de bits P , de longitud n (llamada tamaño de bloque ), y devuelve una cadena C de n bits. P se denomina texto plano y C se denomina texto cifrado . Para cada K , se requiere que la función E _K ( P ) sea una aplicación invertible en {0,1} ⁿ . La inversa de E se define como una función

${\displaystyle E_{K}^{-1}(C):=D_{K}(C)=D(K,C):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n},}$

tomando una clave K y un texto cifrado C para devolver un valor de texto plano P , tal que

${\displaystyle \forall P:D_{K}(E_{K}(P))=P.}$

Por ejemplo, un algoritmo de cifrado de bloques podría tomar un bloque de texto sin formato de 128 bits como entrada y generar un bloque de texto cifrado de 128 bits correspondiente. La transformación exacta se controla mediante una segunda entrada: la clave secreta. El descifrado es similar: el algoritmo de descifrado toma, en este ejemplo, un bloque de texto cifrado de 128 bits junto con la clave secreta y produce el bloque original de 128 bits de texto sin formato. ^[4]

Para cada clave K , E _K es una permutación (un mapeo biyectivo ) sobre el conjunto de bloques de entrada. Cada tecla selecciona una permutación del conjunto de posibles permutaciones. ^[5] ${\displaystyle (2^{n})!}$

Historia

El diseño moderno de los cifrados en bloque se basa en el concepto de cifrado de producto iterado . En su publicación fundamental de 1949, Teoría de la comunicación de los sistemas secretos , Claude Shannon analizó los cifrados de productos y los sugirió como un medio para mejorar eficazmente la seguridad mediante la combinación de operaciones simples como sustituciones y permutaciones . ^[6] Los cifrados de productos iterados llevan a cabo el cifrado en múltiples rondas , cada una de las cuales utiliza una subclave diferente derivada de la clave original. Una implementación generalizada de tales cifrados, denominada red Feistel en honor a Horst Feistel , se implementa notablemente en el cifrado DES . ^[7] Muchas otras realizaciones de cifrados en bloque, como el AES , se clasifican como redes de sustitución-permutación . ^[8]

La raíz de todos los formatos de bloques criptográficos utilizados dentro de los estándares del Estándar de seguridad de datos de la industria de tarjetas de pago (PCI DSS) y del Instituto Nacional Estadounidense de Estándares (ANSI) se encuentra en el Bloque de claves de Atalla (AKB), que fue una innovación clave de Atalla Box , el primer módulo de seguridad de hardware (HSM). Fue desarrollado en 1972 por Mohamed M. Atalla , fundador de Atalla Corporation (ahora Utimaco Atalla ), y lanzado en 1973. El AKB era un bloque de claves necesario para intercambiar de forma segura claves simétricas o PIN con otros actores de la industria bancaria. . Este intercambio seguro se realiza utilizando el formato AKB. ^[9] Atalla Box protegió más del 90% de todas las redes de cajeros automáticos en funcionamiento en 1998, ^[10] y los productos Atalla todavía protegen la mayoría de las transacciones en cajeros automáticos del mundo en 2014. ^[11]

La publicación del cifrado DES por la Oficina Nacional de Estándares de los Estados Unidos (posteriormente el Instituto Nacional de Estándares y Tecnología de los Estados Unidos , NIST) en 1977 fue fundamental para la comprensión pública del diseño moderno del cifrado en bloques. También influyó en el desarrollo académico de los ataques criptoanalíticos . Tanto el criptoanálisis diferencial como el lineal surgieron de estudios sobre el diseño de DES. A partir de 2016 , existe una paleta de técnicas de ataque contra las cuales un cifrado de bloque debe ser seguro, además de ser robusto contra ataques de fuerza bruta .^[actualizar]

Diseño

Cifrados de bloques iterados

La mayoría de los algoritmos de cifrado de bloques se clasifican como cifrados de bloques iterados , lo que significa que transforman bloques de texto sin formato de tamaño fijo en bloques de texto cifrado de tamaño idéntico , mediante la aplicación repetida de una transformación invertible conocida como función redonda , y cada iteración se denomina ronda. . ^[12]

Por lo general, la función de ronda R toma diferentes claves de ronda K _i como segunda entrada, que se deriva de la clave original: ^{[ cita necesaria ]}

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})}$

donde está el texto plano y el texto cifrado, siendo r el número de rondas. ${\displaystyle M_{0}}$ ${\displaystyle M_{r}}$

Con frecuencia, además de esto, se utiliza un blanqueamiento clave . Al principio y al final, los datos se modifican con material clave (a menudo con XOR , pero también se utilizan operaciones aritméticas simples como sumar y restar): ^{[ cita necesaria ]}

${\displaystyle M_{0}=M\oplus K_{0}}$

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})\;;\;i=1\dots r}$

${\displaystyle C=M_{r}\oplus K_{r+1}}$

Dado uno de los esquemas de diseño de cifrado de bloques iterados estándar, es bastante fácil construir un cifrado de bloques que sea criptográficamente seguro, simplemente usando una gran cantidad de rondas. Sin embargo, esto hará que el cifrado sea ineficiente. Por tanto, la eficiencia es el criterio de diseño adicional más importante para los cifrados profesionales. Además, un buen cifrado de bloques está diseñado para evitar ataques de canal lateral, como la predicción de bifurcaciones y los accesos a la memoria dependientes de la entrada que podrían filtrar datos secretos a través del estado de la caché o el tiempo de ejecución. Además, el cifrado debe ser conciso, para pequeñas implementaciones de hardware y software. Finalmente, el cifrado debe ser fácilmente analizable mediante criptografía, de modo que se pueda mostrar a cuántas rondas se debe reducir el cifrado para que funcionen los ataques criptográficos existentes y, a la inversa, se pueda demostrar que el número de rondas reales es lo suficientemente grande como para protegerse contra ellos. ^{[ cita necesaria ]}

Redes de sustitución-permutación

Un boceto de una red de sustitución-permutación con 3 rondas, que cifra un bloque de texto sin formato de 16 bits en un bloque de texto cifrado de 16 bits. Las cajas S son las Si , las cajas P son las mismas _P y las teclas redondas son las K _i .

Un tipo importante de cifrado de bloque iterado conocido como red de sustitución-permutación (SPN) toma un bloque de texto plano y la clave como entradas y aplica varias rondas alternas que consisten en una etapa de sustitución seguida de una etapa de permutación , para producir cada bloque de texto cifrado. producción. ^[13] La etapa de sustitución no lineal mezcla los bits clave con los del texto sin formato, creando la confusión de Shannon . La etapa de permutación lineal luego disipa las redundancias, creando difusión . ^{[14] [15]}

Una caja de sustitución (S-box) sustituye un pequeño bloque de bits de entrada por otro bloque de bits de salida. Esta sustitución debe ser uno a uno , para garantizar la invertibilidad (de ahí el descifrado). Una S-box segura tendrá la propiedad de que cambiar un bit de entrada cambiará aproximadamente la mitad de los bits de salida en promedio, exhibiendo lo que se conoce como efecto avalancha , es decir, tiene la propiedad de que cada bit de salida dependerá de cada bit de entrada. ^[dieciséis]

Una caja de permutación (P-box) es una permutación de todos los bits: toma las salidas de todas las S-boxes de una ronda, permuta los bits y los introduce en las S-boxes de la siguiente ronda. Una buena P-box tiene la propiedad de que los bits de salida de cualquier S-box se distribuyen a tantas entradas de S-box como sea posible. ^{[ cita necesaria ]}

En cada ronda, la clave de ronda (obtenida de la clave con algunas operaciones simples, por ejemplo, usando S-boxes y P-boxes) se combina usando alguna operación de grupo, generalmente XOR . ^{[ cita necesaria ]}

El descifrado se realiza simplemente invirtiendo el proceso (usando las inversas de las cajas S y P y aplicando las claves redondas en orden inverso). ^[17]

Cifrados Feistel

Muchos cifrados en bloque, como DES y Blowfish, utilizan estructuras conocidas como cifrados Feistel.

En un cifrado Feistel , el bloque de texto sin formato que se va a cifrar se divide en dos mitades del mismo tamaño. La función de ronda se aplica a una mitad, usando una subclave, y luego la salida se aplica XOR con la otra mitad. Luego se intercambian las dos mitades. ^[18]

Sea la función de ronda y sean las subclaves para las rondas respectivamente. ${\displaystyle {\rm {F}}}$ ${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$ ${\displaystyle 0,1,\ldots ,n}$

Entonces la operación básica es la siguiente: ^[18]

Divida el bloque de texto sin formato en dos partes iguales, ( , ) ${\displaystyle L_{0}}$ ${\displaystyle R_{0}}$

Para cada ronda , calcule ${\displaystyle i=0,1,\dots ,n}$

${\displaystyle L_{i+1}=R_{i}\,}$

${\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}}(R_{i},K_{i})}$.

Entonces el texto cifrado es . ${\displaystyle (R_{n+1},L_{n+1})}$

El descifrado de un texto cifrado se logra calculando ${\displaystyle (R_{n+1},L_{n+1})}$ ${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle R_{i}=L_{i+1}\,}$

${\displaystyle L_{i}=R_{i+1}\oplus {\rm {F}}(L_{i+1},K_{i})}$.

Luego está el texto sin formato nuevamente. ${\displaystyle (L_{0},R_{0})}$

Una ventaja del modelo de Feistel en comparación con una red de sustitución-permutación es que la función redonda no tiene por qué ser invertible. ^[19] ${\displaystyle {\rm {F}}}$

Cifrados Lai-Massey

El esquema Lai-Massey. El cifrado arquetípico que lo utiliza es IDEA .

El esquema Lai-Massey ofrece propiedades de seguridad similares a las de la estructura Feistel . También comparte la ventaja de que la función redonda no tiene por qué ser reversible. Otra similitud es que también divide el bloque de entrada en dos partes iguales. Sin embargo, la función de ronda se aplica a la diferencia entre los dos y luego el resultado se suma a ambos medios bloques. ${\displaystyle \mathrm {F} }$

Sean la función de ronda y una función de media vuelta y sean las subclaves para las rondas respectivamente. ${\displaystyle \mathrm {F} }$ ${\displaystyle \mathrm {H} }$ ${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$ ${\displaystyle 0,1,\ldots ,n}$

Entonces la operación básica es la siguiente:

Divida el bloque de texto sin formato en dos partes iguales, ( , ) ${\displaystyle L_{0}}$ ${\displaystyle R_{0}}$

Para cada ronda , calcule ${\displaystyle i=0,1,\dots ,n}$

${\displaystyle (L_{i+1}',R_{i+1}')=\mathrm {H} (L_{i}'+T_{i},R_{i}'+T_{i}),}$

dónde y ${\displaystyle T_{i}=\mathrm {F} (L_{i}'-R_{i}',K_{i})}$ ${\displaystyle (L_{0}',R_{0}')=\mathrm {H} (L_{0},R_{0})}$

Entonces el texto cifrado es . ${\displaystyle (L_{n+1},R_{n+1})=(L_{n+1}',R_{n+1}')}$

El descifrado de un texto cifrado se logra calculando ${\displaystyle (L_{n+1},R_{n+1})}$ ${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle (L_{i}',R_{i}')=\mathrm {H} ^{-1}(L_{i+1}'-T_{i},R_{i+1}'-T_{i})}$

dónde y ${\displaystyle T_{i}=\mathrm {F} (L_{i+1}'-R_{i+1}',K_{i})}$ ${\displaystyle (L_{n+1}',R_{n+1}')=\mathrm {H} ^{-1}(L_{n+1},R_{n+1})}$

Luego está el texto sin formato nuevamente. ${\displaystyle (L_{0},R_{0})=(L_{0}',R_{0}')}$

Operaciones

ARX ​​(añadir–rotar–XOR)

Muchos cifrados de bloque y hashes modernos son algoritmos ARX ; su función de ronda implica solo tres operaciones: (A) suma modular, (R) rotación con cantidades de rotación fijas y (X) XOR . Los ejemplos incluyen ChaCha20 , Speck , XXTEA y BLAKE . Muchos autores dibujan una red ARX, una especie de diagrama de flujo de datos , para ilustrar esta función circular. ^[20]

Estas operaciones ARX son populares porque son relativamente rápidas y económicas en hardware y software, su implementación puede ser extremadamente simple y también porque se ejecutan en un tiempo constante y, por lo tanto, son inmunes a los ataques de sincronización . La técnica del criptoanálisis rotacional intenta atacar estas funciones redondas.

Otras operaciones

Otras operaciones que se utilizan a menudo en los cifrados de bloques incluyen rotaciones dependientes de datos como en RC5 y RC6 , un cuadro de sustitución implementado como una tabla de búsqueda como en Data Encryption Standard y Advanced Encryption Standard , un cuadro de permutación y multiplicación como en IDEA .

Modos de operacion

Cifrado inseguro de una imagen como resultado de la codificación en modo de libro de códigos electrónico (ECB)

Un cifrado de bloque por sí solo permite el cifrado de un único bloque de datos de la longitud del bloque de cifrado. Para un mensaje de longitud variable, los datos primero deben dividirse en bloques de cifrado separados. En el caso más simple, conocido como modo de libro de códigos electrónico (ECB), un mensaje se divide primero en bloques separados del tamaño del bloque de cifrado (posiblemente extendiendo el último bloque con bits de relleno ) y luego cada bloque se cifra y descifra de forma independiente. Sin embargo, un método tan ingenuo es generalmente inseguro porque bloques iguales de texto claro siempre generarán bloques iguales de texto cifrado (para la misma clave), por lo que los patrones en el mensaje de texto claro se vuelven evidentes en la salida del texto cifrado. ^[21]

Para superar esta limitación, se han diseñado varios modos de operación de cifrado en bloques ^{[22] [23]} y se han especificado en recomendaciones nacionales como NIST 800-38A ^[24] y BSI TR-02102 ^[25] y estándares internacionales como ISO/CEI 10116 . ^[26] El concepto general es utilizar la aleatorización de los datos de texto sin formato basada en un valor de entrada adicional, frecuentemente llamado vector de inicialización , para crear lo que se denomina cifrado probabilístico . ^[27] En el popular modo de encadenamiento de bloques de cifrado (CBC), para que el cifrado sea seguro , el vector de inicialización pasado junto con el mensaje de texto sin formato debe ser un valor aleatorio o pseudoaleatorio , que se agrega de manera exclusiva o al primero. bloque de texto sin formato antes de cifrarlo. El bloque de texto cifrado resultante se utiliza luego como nuevo vector de inicialización para el siguiente bloque de texto sin formato. En el modo de retroalimentación de cifrado (CFB), que emula un cifrado de flujo de sincronización automática , el vector de inicialización primero se cifra y luego se agrega al bloque de texto sin formato. El modo de retroalimentación de salida (OFB) cifra repetidamente el vector de inicialización para crear un flujo de claves para la emulación de un cifrado de flujo síncrono . El modo de contador más nuevo (CTR) crea de manera similar un flujo de claves, pero tiene la ventaja de que solo necesita valores únicos y no (pseudo)aleatorios como vectores de inicialización; la aleatoriedad necesaria se deriva internamente utilizando el vector de inicialización como contador de bloques y cifrando este contador para cada bloque. ^[24]

Desde un punto de vista teórico de la seguridad , los modos de operación deben proporcionar lo que se conoce como seguridad semántica . ^[28] Informalmente, significa que dado algún texto cifrado bajo una clave desconocida, uno prácticamente no puede derivar ninguna información del texto cifrado (aparte de la longitud del mensaje) sobre lo que uno habría conocido sin ver el texto cifrado. Se ha demostrado que todos los modos analizados anteriormente, con excepción del modo ECB, proporcionan esta propiedad en los llamados ataques de texto plano elegido .

Relleno

Algunos modos, como el modo CBC, solo funcionan en bloques completos de texto sin formato. Simplemente extender el último bloque de un mensaje con cero bits es insuficiente ya que no permite al receptor distinguir fácilmente mensajes que difieren sólo en el número de bits de relleno. Más importante aún, una solución tan simple da lugar a ataques de oráculo de relleno muy eficientes . ^{[29] Por lo tanto, se necesita un} esquema de relleno adecuado para extender el último bloque de texto plano al tamaño del bloque del cifrado. Si bien se ha demostrado que muchos esquemas populares descritos en los estándares y en la literatura son vulnerables a los ataques de Oracle de relleno, ^{[29] [30]} una solución que agrega un bit y luego extiende el último bloque con bits cero, estandarizada como " Se ha demostrado que el método de relleno de 2" en ISO/IEC 9797-1, ^{[31] es seguro contra estos ataques. [30]}

Criptoanálisis

Ataques de fuerza bruta

Esta propiedad hace que la seguridad del cifrado se degrade cuadráticamente y debe tenerse en cuenta al seleccionar un tamaño de bloque. Sin embargo, existe una compensación, ya que los tamaños de bloques grandes pueden hacer que el algoritmo se vuelva ineficiente para operar. ^[32] Los cifrados de bloques anteriores, como el DES, normalmente seleccionaban un tamaño de bloque de 64 bits, mientras que los diseños más nuevos, como el AES , admiten tamaños de bloque de 128 bits o más, y algunos cifrados admiten una variedad de tamaños de bloque diferentes. ^[33]

Criptoanálisis diferencial

Criptoanálisis lineal

Un criptoanálisis lineal es una forma de criptoanálisis basada en encontrar aproximaciones afines a la acción de un cifrado . El criptoanálisis lineal es uno de los dos ataques más utilizados contra cifrados en bloque; el otro es el criptoanálisis diferencial . ^[34]

El descubrimiento se atribuye a Mitsuru Matsui , quien aplicó por primera vez la técnica al cifrado FEAL (Matsui y Yamagishi, 1992). ^[35]

Criptoanálisis integral

El criptoanálisis integral es un ataque criptoanalítico que es particularmente aplicable a cifrados de bloque basados ​​en redes de sustitución-permutación. A diferencia del criptoanálisis diferencial, que utiliza pares de textos claros elegidos con una diferencia XOR fija, el criptoanálisis integral utiliza conjuntos o incluso múltiples conjuntos de textos claros elegidos de los cuales una parte se mantiene constante y otra parte varía según todas las posibilidades. Por ejemplo, un ataque podría utilizar 256 textos planos elegidos que tienen todos los bits iguales excepto 8, pero todos difieren en esos 8 bits. Tal conjunto necesariamente tiene una suma XOR de 0, y las sumas XOR de los correspondientes conjuntos de textos cifrados proporcionan información sobre la operación del cifrado. Este contraste entre las diferencias entre pares de textos y las sumas de conjuntos de textos más grandes inspiró el nombre de "criptoanálisis integral", tomando prestada la terminología del cálculo. ^{[ cita necesaria ]}

Otras técnicas

El desarrollo del ataque boomerang permitió aplicar técnicas de criptoanálisis diferencial a muchos cifrados que anteriormente se habían considerado seguros contra ataques diferenciales.

Además del criptoanálisis lineal y diferencial, existe un catálogo creciente de ataques: el criptoanálisis diferencial truncado , el criptoanálisis diferencial parcial, el criptoanálisis integral , que engloba los ataques cuadrados e integrales, los ataques deslizantes , los ataques boomerang , el ataque XSL , el criptoanálisis diferencial imposible y el algebraico. ataques. Para que un nuevo diseño de cifrado de bloques tenga credibilidad, debe demostrar evidencia de seguridad contra ataques conocidos. ^{[ cita necesaria ]}

Seguridad demostrable

Cuando se utiliza un cifrado de bloque en un modo de operación determinado , lo ideal es que el algoritmo resultante sea tan seguro como el propio cifrado de bloque. El BCE (discutido anteriormente) carece enfáticamente de esta propiedad: independientemente de cuán seguro sea el cifrado de bloque subyacente, el modo BCE puede ser atacado fácilmente. Por otro lado, se puede demostrar que el modo CBC es seguro bajo el supuesto de que el cifrado de bloque subyacente también es seguro. Sin embargo, tenga en cuenta que hacer declaraciones como esta requiere definiciones matemáticas formales de lo que significa que un algoritmo de cifrado o un cifrado de bloque "sea seguro". Esta sección describe dos nociones comunes sobre las propiedades que debe tener un cifrado de bloque. Cada uno corresponde a un modelo matemático que puede usarse para probar propiedades de algoritmos de nivel superior, como CBC.

Este enfoque general de la criptografía (probar que los algoritmos de nivel superior (como CBC) son seguros bajo suposiciones explícitamente establecidas con respecto a sus componentes (como un cifrado de bloque)) se conoce como seguridad demostrable .

Modelo estandar

Informalmente, un cifrado en bloque es seguro en el modelo estándar si un atacante no puede distinguir entre el cifrado en bloque (equipado con una clave aleatoria) y una permutación aleatoria.

Para ser un poco más preciso, sea E un cifrado de bloques de n bits. Imaginamos el siguiente juego:

1. La persona que dirige el juego lanza una moneda.
   • Si la moneda cae en cara, elige una clave aleatoria K y define la función f = E _K .
   • Si la moneda cae cruz, elige una permutación aleatoria π en el conjunto de cadenas de n bits y define la función f = π .
2. El atacante elige una cadena X de n bits y la persona que ejecuta el juego le dice el valor de f ( X ).
3. El paso 2 se repite un total de q veces. (Cada una de estas q interacciones es una consulta ).
4. El atacante adivina cómo cayó la moneda. Gana si su suposición es correcta.

El atacante, que podemos modelar como un algoritmo, se llama adversario . La función f (que el adversario pudo consultar) se llama oráculo .

Tenga en cuenta que un adversario puede garantizar trivialmente un 50% de posibilidades de ganar simplemente adivinando al azar (o incluso, por ejemplo, adivinando siempre "cara"). Por lo tanto, sea P _E ( A ) la probabilidad de que el adversario A gane este juego contra E y defina la ventaja de A como 2( P _E ( A ) − 1/2). De ello se deduce que si A adivina al azar, su ventaja será 0; por otro lado, si A siempre gana, entonces su ventaja es 1. El cifrado de bloque E es una permutación pseudoaleatoria (PRP) si ningún adversario tiene una ventaja significativamente mayor que 0, dadas las restricciones especificadas sobre q y el tiempo de ejecución del adversario. . Si en el Paso 2 anterior los adversarios tienen la opción de aprender f ⁻¹ ( X ) en lugar de f ( X ) (pero todavía tienen pequeñas ventajas), entonces E es un PRP fuerte (SPRP). Un adversario no es adaptativo si elige todos los valores q para X antes de que comience el juego (es decir, no utiliza ninguna información obtenida de consultas anteriores para elegir cada X a medida que avanza).

Estas definiciones han resultado útiles para analizar diversos modos de operación. Por ejemplo, se puede definir un juego similar para medir la seguridad de un algoritmo de cifrado basado en cifrado de bloques y luego intentar mostrar (a través de un argumento de reducción ) que la probabilidad de que un adversario gane este nuevo juego no es mucho mayor que PE _. ( A ) para algunos A . (La reducción generalmente proporciona límites a q y al tiempo de ejecución de A ). De manera equivalente, si P _E ( A ) es pequeño para todos los A relevantes , entonces ningún atacante tiene una probabilidad significativa de ganar el nuevo juego. Esto formaliza la idea de que el algoritmo de nivel superior hereda la seguridad del cifrado en bloque.

Modelo de cifrado ideal

Evaluación práctica

Los cifrados en bloque pueden evaluarse según múltiples criterios en la práctica. Los factores comunes incluyen: ^{[36] [37]}

• Parámetros clave, como el tamaño de la clave y el tamaño del bloque, los cuales proporcionan un límite superior para la seguridad del cifrado.
• El nivel de seguridad estimado , que se basa en la confianza ganada en el diseño del cifrado de bloques después de que ha resistido en gran medida grandes esfuerzos en criptoanálisis a lo largo del tiempo, la solidez matemática del diseño y la existencia de ataques prácticos o de certificación ^[38] .
• La complejidad del cifrado y su idoneidad para su implementación en hardware o software . Las implementaciones de hardware pueden medir la complejidad en términos de número de puertas o consumo de energía, que son parámetros importantes para dispositivos con recursos limitados.
• El rendimiento del cifrado en términos de rendimiento de procesamiento en varias plataformas, incluidos sus requisitos de memoria .
• El costo del cifrado se refiere a los requisitos de licencia que pueden aplicarse debido a los derechos de propiedad intelectual .
• La flexibilidad del cifrado incluye su capacidad para admitir múltiples tamaños de claves y longitudes de bloques.

Cifrados de bloques notables

Lucifer / DES

Generalmente se considera que Lucifer es el primer cifrado de bloques civil, desarrollado en IBM en la década de 1970 basándose en el trabajo realizado por Horst Feistel . Se adoptó una versión revisada del algoritmo como estándar federal de procesamiento de información del gobierno de EE. UU.: Estándar de cifrado de datos (DES) FIPS PUB 46 . ^[39] Fue elegido por la Oficina Nacional de Estándares (NBS) de EE. UU. después de una invitación pública para presentaciones y algunos cambios internos por parte de la NBS (y, potencialmente, la NSA ). DES se hizo público en 1976 y ha sido ampliamente utilizado. ^{[ cita necesaria ]}

DES fue diseñado, entre otras cosas, para resistir cierto ataque criptoanalítico conocido por la NSA y redescubierto por IBM, aunque desconocido públicamente hasta que Eli Biham y Adi Shamir lo redescubrieron nuevamente y lo publicaron a fines de la década de 1980. La técnica se llama criptoanálisis diferencial y sigue siendo uno de los pocos ataques generales contra los cifrados en bloque; El criptoanálisis lineal es otro, pero puede haber sido desconocido incluso para la NSA, antes de su publicación por Mitsuru Matsui . DES impulsó una gran cantidad de otros trabajos y publicaciones sobre criptografía y criptoanálisis en la comunidad abierta e inspiró muchos diseños de cifrado nuevos. ^{[ cita necesaria ]}

DES tiene un tamaño de bloque de 64 bits y un tamaño de clave de 56 bits. Los bloques de 64 bits se volvieron comunes en los diseños de cifrado de bloques después de DES. La longitud de la clave dependía de varios factores, incluida la regulación gubernamental. Muchos observadores ^{[ ¿quién? ]} en la década de 1970 comentó que la longitud de clave de 56 bits utilizada para DES era demasiado corta. A medida que pasó el tiempo, su insuficiencia se hizo evidente, especialmente después de que la Electronic Frontier Foundation demostrara en 1998 una máquina de propósito especial diseñada para romper DES . Una extensión de DES, Triple DES , cifra triplemente cada bloque con dos claves independientes (clave de 112 bits y seguridad de 80 bits) o tres claves independientes (clave de 168 bits y seguridad de 112 bits). Fue ampliamente adoptado como reemplazo. A partir de 2011, la versión de tres claves todavía se considera segura, aunque los estándares del Instituto Nacional de Estándares y Tecnología (NIST) ya no permiten el uso de la versión de dos claves en nuevas aplicaciones, debido a su nivel de seguridad de 80 bits. ^[40]

IDEA

El Algoritmo Internacional de Cifrado de Datos ( IDEA ) es un cifrado de bloques diseñado por James Massey de ETH Zurich y Xuejia Lai ; se describió por primera vez en 1991, como un reemplazo previsto del DES.

IDEA opera en bloques de 64 bits utilizando una clave de 128 bits y consta de una serie de ocho transformaciones idénticas (una ronda ) y una transformación de salida (la media ronda ). Los procesos de cifrado y descifrado son similares. IDEA obtiene gran parte de su seguridad entrelazando operaciones de diferentes grupos ( suma y multiplicación modulares y exclusivas bit a bit o (XOR) , que son algebraicamente "incompatibles" en algún sentido.

Los diseñadores analizaron IDEA para medir su fortaleza frente al criptoanálisis diferencial y concluyeron que es inmune bajo ciertos supuestos. No se han reportado debilidades lineales o algebraicas exitosas. A partir de 2012 ^[update], el mejor ataque que se aplica a todas las teclas puede romper una IDEA completa de 8,5 rondas utilizando un ataque de bicliques estrechas aproximadamente cuatro veces más rápido que la fuerza bruta.

RC5

Una ronda (dos medias vueltas) del cifrado de bloque RC5

RC5 es un cifrado de bloques diseñado por Ronald Rivest en 1994 que, a diferencia de muchos otros cifrados, tiene un tamaño de bloque variable (32, 64 o 128 bits), un tamaño de clave (0 a 2040 bits) y un número de rondas (0 a 2040 bits). 255). La elección de parámetros sugerida originalmente era un tamaño de bloque de 64 bits, una clave de 128 bits y 12 rondas.

Una característica clave de RC5 es el uso de rotaciones dependientes de datos; Uno de los objetivos de RC5 era impulsar el estudio y evaluación de dichas operaciones como una primitiva criptográfica. RC5 también consta de una serie de adiciones modulares y XOR. La estructura general del algoritmo es una red tipo Feistel . Las rutinas de cifrado y descifrado se pueden especificar en unas pocas líneas de código. El programa clave, sin embargo, es más complejo, expandiendo la clave usando una función esencialmente unidireccional con las expansiones binarias de e y la proporción áurea como fuentes de " números de nada bajo la manga ". La tentadora simplicidad del algoritmo junto con la novedad de las rotaciones dependientes de los datos han convertido a RC5 en un objeto de estudio atractivo para los criptoanalistas.

El RC5 de 12 rondas (con bloques de 64 bits) es susceptible a un ataque diferencial utilizando 2 ⁴⁴ textos sin formato elegidos. ^[41] Se sugieren entre 18 y 20 disparos como protección suficiente.

Rijndael / AES

El cifrado Rijndael desarrollado por los criptógrafos belgas Joan Daemen y Vincent Rijmen fue uno de los diseños en competencia para reemplazar al DES. Ganó el concurso público de 5 años para convertirse en AES (Estándar de cifrado avanzado).

Adoptado por NIST en 2001, AES tiene un tamaño de bloque fijo de 128 bits y un tamaño de clave de 128, 192 o 256 bits, mientras que Rijndael se puede especificar con tamaños de bloque y clave en cualquier múltiplo de 32 bits, con un mínimo de 128 bits. bits. El tamaño del bloque tiene un máximo de 256 bits, pero el tamaño de la clave no tiene un máximo teórico. AES opera en una matriz de bytes de orden principal de columnas de 4 × 4, denominada estado (las versiones de Rijndael con un tamaño de bloque mayor tienen columnas adicionales en el estado).

pez globo

Blowfish es un cifrado de bloques, diseñado en 1993 por Bruce Schneier e incluido en una gran cantidad de conjuntos de cifrado y productos de cifrado. Blowfish tiene un tamaño de bloque de 64 bits y una longitud de clave variable desde 1 bit hasta 448 bits. ^[42] Es un cifrado Feistel de 16 rondas y utiliza grandes cajas S dependientes de claves. Las características notables del diseño incluyen las S-boxes dependientes de la llave y una programación de llaves altamente compleja .

Fue diseñado como un algoritmo de propósito general, pensado como una alternativa al antiguo DES y libre de los problemas y limitaciones asociados con otros algoritmos. En el momento en que se lanzó Blowfish, muchos otros diseños eran propietarios, estaban gravados por patentes o eran secretos comerciales o gubernamentales. Schneier ha declarado que "Blowfish no está patentado y seguirá siéndolo en todos los países. Por la presente, el algoritmo pasa a ser de dominio público y cualquiera puede utilizarlo libremente". Lo mismo se aplica a Twofish , un algoritmo sucesor de Schneier.

Generalizaciones

Cifrados de bloque modificables

M. Liskov, R. Rivest y D. Wagner han descrito una versión generalizada de cifrados en bloque denominada cifrados en bloque "modificables". ^[43] Un cifrado de bloque modificable acepta una segunda entrada llamada ajuste junto con su entrada habitual de texto sin formato o texto cifrado. El ajuste, junto con la clave, selecciona la permutación calculada por el cifrado. Si cambiar los ajustes es lo suficientemente liviano (en comparación con una operación de configuración de clave generalmente bastante costosa), entonces se hacen posibles algunos modos de operación nuevos e interesantes. El artículo sobre la teoría del cifrado de discos describe algunos de estos modos.

Cifrado que preserva el formato

Los cifrados en bloque funcionan tradicionalmente sobre un alfabeto binario . Es decir, tanto la entrada como la salida son cadenas binarias, que constan de n ceros y unos. En algunas situaciones, sin embargo, es posible que deseemos tener un cifrado de bloque que funcione sobre algún otro alfabeto; por ejemplo, cifrar números de tarjetas de crédito de 16 dígitos de tal manera que el texto cifrado sea también un número de 16 dígitos podría facilitar la adición de una capa de cifrado al software heredado. Este es un ejemplo de cifrado que preserva el formato . De manera más general, el cifrado que preserva el formato requiere una permutación con clave en algún lenguaje finito . Esto hace que los esquemas de cifrado que preservan el formato sean una generalización natural de los cifrados en bloque (modificables). Por el contrario, los esquemas de cifrado tradicionales, como CBC, no son permutaciones porque el mismo texto sin formato puede cifrar varios textos cifrados diferentes, incluso cuando se utiliza una clave fija.

Relación con otras primitivas criptográficas

Los cifrados en bloque se pueden utilizar para crear otras primitivas criptográficas, como las siguientes. Para que estas otras primitivas sean criptográficamente seguras, se debe tener cuidado de construirlas de la manera correcta.

• Los cifrados de flujo se pueden construir utilizando cifrados de bloques. El modo OFB y el modo CTR son modos de bloque que convierten un cifrado de bloque en un cifrado de flujo.
• Las funciones hash criptográficas se pueden crear utilizando cifrados en bloque. ^{[44] [45]} Consulte la función de compresión unidireccional para obtener descripciones de varios de estos métodos. Los métodos se asemejan a los modos de operación de cifrado en bloques que se utilizan habitualmente para el cifrado.
• Se pueden construir generadores de números pseudoaleatorios (CSPRNG) criptográficamente seguros utilizando cifrados de bloque. ^{[46] [47]}
• Se pueden construir permutaciones pseudoaleatorias seguras de conjuntos finitos de tamaño arbitrario con cifrados en bloque; consulte Cifrado que preserva el formato .
• Una permutación impredecible públicamente conocida combinada con un blanqueamiento de claves es suficiente para construir un cifrado en bloque, como el cifrado de una sola clave de Even-Mansour , quizás el cifrado en bloque demostrablemente seguro más simple posible. ^[48]
• Los códigos de autenticación de mensajes (MAC) a menudo se crean a partir de cifrados en bloque. CBC-MAC , OMAC y PMAC son dichos MAC.
• El cifrado autenticado también se construye a partir de cifrados en bloque. Significa cifrar y MAC al mismo tiempo. Esto es para proporcionar confidencialidad y autenticación . CCM , EAX , GCM y OCB son modos de cifrado autenticados.

Así como los cifrados de bloque se pueden usar para crear funciones hash, como SHA-1 y SHA-2 se basan en cifrados de bloque que también se usan de forma independiente como SHACAL , las funciones hash se pueden usar para construir cifrados de bloque. Ejemplos de tales cifrados en bloque son BEAR y LION .

Ver también

• Resumen de seguridad de cifrado
• Temas de criptografía
• cifrado XOR

Referencias

1. Cusick, Thomas W.; Stanica, Pantelimon (2009). Funciones y aplicaciones criptográficas booleanas. Prensa académica. págs. 158-159. ISBN 9780123748904.
2. Menezes, Alfred J.; van Oorschot, Paul C.; Vanstone, Scott A. (1996). "Capítulo 7: Cifrados de bloque". Manual de criptografía aplicada. Prensa CRC. ISBN 0-8493-8523-7. Archivado desde el original el 3 de febrero de 2021 . Consultado el 15 de julio de 2012 .
3. Bellare, Mihir; Rogaway, Phillip (11 de mayo de 2005), Introducción a la criptografía moderna (notas de la conferencia) , archivado (PDF) desde el original el 9 de octubre de 2022., Capítulo 3.
4. Chakraborty, D.; Rodríguez-Henríquez, F. (2008). "Bloquear modos de operación de cifrado desde una perspectiva de implementación de hardware". En Koç, Çetin K. (ed.). Ingeniería Criptográfica . Saltador. pag. 321.ISBN​ 9780387718163.
5. Menezes, van Oorschot y Vanstone 1996, sección 7.2.
6. Shannon, Claude (1949). "Teoría de la comunicación de los sistemas secretos" (PDF) . Revista técnica del sistema Bell . 28 (4): 656–715. doi :10.1002/j.1538-7305.1949.tb00928.x. Archivado desde el original (PDF) el 5 de junio de 2007 . Consultado el 9 de abril de 2012 .
7. van Tilborg, Henk CA; Jajodia, Sushil, eds. (2011). Enciclopedia de criptografía y seguridad. Saltador. ISBN 978-1-4419-5905-8., pag. 455.
8. van Tilborg y Jajodia 2011, pág. 1268.
9. Rupp, Martin (16 de agosto de 2019). "Los beneficios del bloque clave de Atalla". Utimaco . Archivado desde el original el 17 de octubre de 2020 . Consultado el 10 de septiembre de 2019 .
10. Hamscher, Walter (1998). "Negocios electrónicos sin miedo: la arquitectura de seguridad de Tristrata" (PDF) . CiteSeerX 10.1.1.123.2371 . Archivado desde el original (PDF) el 29 de mayo de 2005. ^{[ fuente autoeditada? ]}
11. Stiennon, Richard (17 de junio de 2014). "La gestión de claves es un espacio de rápido crecimiento". SeguridadActual . TI-Cosecha . Consultado el 21 de agosto de 2019 .
12. Junod, Pascal y Canteaut, Anne (2011). Criptoanálisis lineal avanzado de cifrados de bloques y flujos. Prensa IOS. pag. 2.ISBN​ 9781607508441.
13. Keliher, Liam; et al. (2000). "Modelado de características lineales de redes de sustitución-permutación". En Hays, Howard; Carlisle, Adam (eds.). Áreas seleccionadas en criptografía: sexto taller internacional anual, SAC'99, Kingston, Ontario, Canadá, 9 al 10 de agosto de 1999: actas. Saltador. pag. 79.ISBN​ 9783540671855.
14. Baigneres, Thomas; Finiasz, Matthieu (2007). "Marque 'C' para cifrar". En Biham, Elí; Yousseff, Amr (eds.). Áreas seleccionadas en criptografía: 13º taller internacional, SAC 2006, Montreal, Canadá, 17 al 18 de agosto de 2006: artículos seleccionados revisados . Saltador. pag. 77.ISBN​ 9783540744610.
15. Cusick, Thomas W.; Stanica, Pantelimon (2009). Funciones y aplicaciones criptográficas booleanas. Prensa académica. pag. 164.ISBN​ 9780123748904.
16. Katz, Jonathan; Lindell, Yehuda (2008). Introducción a la criptografía moderna. Prensa CRC. pag. 166.ISBN​ 9781584885511., páginas 166–167.
17. Subhabrata Samajder (2017). Criptoanálisis de cifrado en bloque: descripción general . Calcuta: Instituto de Estadística de la India. págs.5/52.
18. Katz y Lindell 2008, págs. 170-172.
19. Katz y Lindell 2008, pág. 171.
20. Aumasson, Jean-Philippe; Bernstein, Daniel J. (2012). "SipHash: un PRF rápido de entrada corta" (PDF) . En Galbraith, Steven; Nandi, Mridul (eds.). Progreso en criptología: INDOCRYPT 2012: 13.ª Conferencia Internacional sobre Criptología en la India, Calcuta, India, 9 al 12 de diciembre de 2012, actas . Berlín: Springer. pag. 494. doi :10.1007/978-3-642-34931-7_28. ISBN 978-3-642-34931-7. Archivado desde el original (PDF) el 12 de marzo de 2020.
21. Menezes, van Oorschot y Vanstone 1996, págs. 228-230, capítulo 7.
22. "Bloquear modos de cifrado". Centro de recursos de seguridad informática del NIST . 4 de enero de 2017.
23. Menezes, van Oorschot y Vanstone 1996, págs. 228-233.
24. Morris Dworkin (diciembre de 2001), "Recomendación para modos de operación de cifrado en bloques: métodos y técnicas" (PDF) , publicación especial 800-38A , Instituto Nacional de Estándares y Tecnología (NIST), doi :10.6028/NIST.SP. 800-38A, archivado (PDF) desde el original el 9 de octubre de 2022
25. "Kryptographische Verfahren: Empfehlungen und Schlüssellängen", Bsi Tr-02102 (Technische Richtlinie) (Versión 1.0), 20 de junio de 2008
26. "ISO/IEC 10116:2006 Tecnología de la información - Técnicas de seguridad - Modos de funcionamiento para un cifrado de bloques de n bits".
27. Bellare y Rogaway 2005, pág. 101, sección 5.3.
28. Bellare y Rogaway 2005, sección 5.6.
29. Serge Vaudenay (2002). "Fallos de seguridad inducidos por el relleno CBC: aplicaciones a SSL, IPSEC, WTLS". Avances en criptología - EUROCRYPT 2002 . Apuntes de conferencias sobre informática. vol. 2332. Springer Verlag. págs. 534–545. doi :10.1007/3-540-46035-7_35. ISBN 978-3-540-43553-2.
30. Kenneth G. Paterson; Gaven J. Watson (2008). "Inmunizar el modo CBC contra ataques de relleno de Oracle: un tratamiento de seguridad formal". Seguridad y Criptografía para Redes . Apuntes de conferencias sobre informática. vol. 5229. Springer Verlag. págs. 340–357. doi :10.1007/978-3-540-85855-3_23. ISBN 978-3-540-85854-6.
31. ISO/IEC 9797-1: Tecnología de la información - Técnicas de seguridad - Códigos de autenticación de mensajes (MAC) - Parte 1: Mecanismos que utilizan un cifrado de bloques, ISO/IEC, 2011
32. Martín, Keith M. (2012). Criptografía cotidiana: principios fundamentales y aplicaciones. Prensa de la Universidad de Oxford. pag. 114.ISBN​ 9780199695591.
33. Par, Christof; et al. (2010). Comprensión de la criptografía: un libro de texto para estudiantes y profesionales. Saltador. pag. 30.ISBN​ 9783642041006.
34. Matsui, Mitsuru. "Criptoanálisis lineal de cifrado DES". Corporación Mitsubishi Electric . 1 (3): 43 - a través del Laboratorio de Sistemas de Información y Computación.
35. Matsui, M. & Yamagishi, A. "Un nuevo método para el ataque de texto plano conocido del cifrado FEAL". Avances en Criptología – EUROCRYPT 1992 .
36. Menezes, van Oorschot y Vanstone 1996, pág. 227.
37. James Nechvatal; Elaine Barker; Lorenzo Bassham; William Burr; Morris Dworkin; James Foti; Edward Roback (octubre de 2000), Informe sobre el desarrollo del estándar de cifrado avanzado (AES) (PDF) , Instituto Nacional de Estándares y Tecnología (NIST), archivado (PDF) desde el original el 9 de octubre de 2022.
38. Ataques que muestran que el cifrado no funciona como se anuncia (es decir, el nivel de dificultad involucrado para descifrarlo es menor que el afirmado), que sin embargo son de complejidad lo suficientemente alta como para que no sean prácticamente realizables.
39. FIPS PUB 46-3 Estándar de cifrado de datos (DES) (Esta es la tercera edición, 1999, pero incluye información histórica en la sección preliminar 12).
40. Recomendación de la publicación especial 800-57 del NIST para la gestión de claves - Parte 1: General (revisada), marzo de 2007 Archivado el 6 de junio de 2014 en Wayback Machine .
41. Biryukov A. y Kushilevitz E. (1998). Criptoanálisis mejorado de RC5. EUROCRIPTA 1998.
42. Bruce Schneier (1994). "Descripción de una nueva clave de longitud variable, cifrado de bloque de 64 bits (Blowfish)". Diario del Dr. Dobb . 19 (4): 38–40.
43. Liskov, M.; Rivest, R.; Wagner, D. "Cifrados de bloque modificables" (PDF) . Cripto 2002 . Archivado (PDF) desde el original el 9 de octubre de 2022.
44. "ISO/IEC 10118-2:2010 Tecnología de la información - Técnicas de seguridad - Funciones hash - Parte 2: Funciones hash que utilizan un cifrado de bloques de n bits".
45. Menezes, van Oorschot & Vanstone 1996, Capítulo 9: Funciones hash e integridad de los datos.
46. Ladrador, EB; Kelsey, JM (2012). "Recomendación de la publicación especial 800-90A del NIST para la generación de números aleatorios utilizando generadores deterministas de bits aleatorios" (PDF) . doi :10.6028/NIST.SP.800-90A. {{cite journal}}: Citar diario requiere |journal=( ayuda )
47. Menezes, van Oorschot & Vanstone 1996, Capítulo 5: Secuencias y bits pseudoaleatorios.
48. Orr Dunkelman, Nathan Keller y Adi Shamir . "Minimalismo en criptografía: el esquema de Even-Mansour revisado".

Otras lecturas

• Knudsen, Lars R.; Robshaw, Mateo (2011). El compañero de cifrado en bloque. Saltador. ISBN 9783642173417.

enlaces externos

• Una lista de muchos algoritmos simétricos, la mayoría de los cuales son cifrados en bloque.
• El salón de cifrado en bloque
• ¿Qué es un cifrado de bloque? de las preguntas frecuentes de RSA
• Cifrado de bloques basado en secuencias de oro y sistema de tiendas logísticas caóticas