ГОСТ 28147-89

ГОСТ 28147-89 — блоковий шифр з 256 — бітовим ключем і 32 циклами перетворення, що оперує 64-бітними блоками. Основа алгоритму шифру — Мережа Фейстеля. Базовим режимом шифрування за ГОСТ 28147-89 є режим простої заміни (визначені також складніші режими гамування, гамування зі зворотним зв'язком і режим імітовставки). Для зашифрування в цьому режимі відкритий текст спочатку розбивається на дві половини (молодші біти — A, старші біти — B[2]). На i-му циклі використовується з'єднання K _i :

${\displaystyle ~A_{i+1}=B_{i}\oplus f(A_{i},K_{i})}$ (${\displaystyle \oplus }$ = двійкове «виключаюче або» XOR)

${\displaystyle ~B_{i+1}=A_{i}}$

Для генерації підключів вихідний 256-бітний ключ розбивається на вісім 32-бітних блоків: K ₁ … K ₈ .

Ключі K₉ … K₂₄ є циклічним повторенням ключів K₁ … K₈ (нумеруються від молодших бітів до старших). Ключі K₂₅ … K ₃₂ є ключами K₁ … K₈ , що йдуть у зворотному порядку.

Після виконання всіх 32 раундів алгоритму, блоки A₃₃ і B₃₃ склеюються (зверніть увагу, що старшим бітом стає ₃₃ , а молодшим — B₃₃ ) — результат є результат роботи алгоритму.

Розшифрування виконується так само, як і зашифрування, але інвертується порядок подключей K _i .

Функція ${\displaystyle f(A_{i},K_{i})}$ обчислюється таким чином:

A_i і K_i складаються по модулю 2³² .

Результат розбивається на вісім 4-бітових підпослідовностей, кожна з яких надходить на вхід свого вузла таблиці замін (у порядку зростання старшинства бітів), званого нижче S-блоком. Загальна кількість S-блоків ГОСТу — вісім, тобто стільки ж, скільки і підпослідовностей. Кожен S-блок являє собою перестановку чисел від 0 до 15. Перша 4-бітова підпослідовність потрапляє на вхід першого S-блоку, друга — на вхід другого і т. д.

Якщо S-блок виглядає так:

1, 15, 13, 0, 5, 7, 10, 4, 9, 2, 3, 14, 6, 11, 8, 12

і на вході S-блоку 0, то на виході буде 1, якщо 4, то на виході буде 5, якщо на вході 12, то на виході 6 і т. д.

Виходи всіх восьми S-блоків об'єднуються в 32-бітове слово, потім все слово циклічно зсувається вліво (до старших розрядів) на 11 бітів.

Усі вісім S-блоків можуть бути різними. Фактично, вони можуть бути додатковим ключовим матеріалом, але частіше є параметром схеми, загальним для певної групи користувачів. В ГОСТ Р 34.11-94 для цілей тестування наведені такі S-блоки:

Цей набір S-блоків використовується в криптографічних додатках ЦБ РФ.[3]

У тексті стандарту вказується, що поставка заповнення вузлів заміни (S-блоків) проводиться в установленому порядку, тобто розробником алгоритму. Спільнота російських розробників СКЗИ погодила використовувані в Інтернеті вузли заміни, див. RFC 4357.

• Безперспективність атаки повного перебору (XSL-атаки в облік не беруться, оскільки їх ефективність на даний момент повністю не доведена);
• Ефективність реалізації і відповідно високу швидкодію на сучасних комп'ютерах.
• Наявність захисту від нав'язування помилкових даних (вироблення імітовставки) і однаковий цикл шифрування у всіх чотирьох алгоритмах ГОСТу.

У травні 2011 року відомий криптоаналітик Ніколя Куртуа довів існування атаки на даний шифр, що має складність в 2 ⁸ (256) разів менше складності прямого перебору ключів за умови наявності 2 ⁶⁴ пар відкритий текст / закритий текст.[4][5] Дана атака не може бути здійснена на практиці через занадто високу обчислювальну складність.

Основні проблеми ГОСТу пов'язані з неповнотою стандарту в частині генерації ключів і таблиць замін. Вважається, що у ГОСТу існують «слабкі» ключі і таблиці замін, але в стандарті не описуються критерії вибору і відсіву «слабких». Також стандарт не специфікує алгоритм генерації таблиці замін (S-блоків). З одного боку, це може бути додатковою секретною інформацією (крім ключа), а з іншого, піднімає ряд проблем:

• Не можна визначити криптостійкість алгоритму, не знаючи заздалегідь таблиці замін;
• Реалізації алгоритму від різних виробників можуть використовувати різні таблиці замін і можуть бути несумісні між собою;
• Можливість навмисного надання слабких таблиць замін органами, що проводять ліцензування;
• Потенційна можливість (відсутність заборони в стандарті) використання таблиць заміни, в яких вузли не є перестановками, що може привести до надзвичайного зниження стійкості шифру.

• Опис алгоритму, реалізація, вихідні коди, статті та посилання
• Стаття про ГОСТ 28147-89

• Мельников В. В. Захист інформації в комп'ютерних системах.
• Романець Ю. В.. Тимофєєв П. А., Шаньгина В. Ф. Захист інформації в комп'ютерних системах та мережах.
• Харін Ю. С., Берник В. І., Матвєєв Г. В. Математичні основи криптології.
• Герасименко В. А., Малюк А. А. Основи захисту інформації.
• Леонов А. П., Леонов К. П., Фролов Г. В. Безпека автоматизованих банківських і офісних технологій.
• Зима В. М.. Молдовян А. А., Молдовян Н. А. Комп'ютерні мережі та захист переданої інформації.
• Шнайер Б. 14.1 Алгоритм ГОСТ 28147-89. Прикладна криптографія. с. 373–377.
• Popov, V., Kurepkin, I., and S. Leontiev. Additional Cryptographic Algorithms for Use with GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001, and GOST R 34.11-94 Algorithms // RFC 4357. — January 2006.
• Gulom Numovych Tuychiev. Алгоритми шифрування ГОСТ 28147-89-IDEA8-4 и ГОСТ 28147-89-RFWKIDEA8-4 // Захист інформації. — НАУ, 2017. — Т. 19. — ISSN 2410-7840. — DOI:10.18372/2410-7840.19.11199.