Advanced Encryption Standard. Copyright Stefan Dahler 20. Februar 2010 Version 2.0

Transkript

1 Advanced Encryption Standard Copyright Stefan Dahler 20. Februar 2010 Version 2.0

2 Vorwort Diese Präsentation erläutert den Algorithmus AES auf einfachste Art. Mit Hilfe des Wissenschaftlichen Rechners von Windows kann man alle Rechenoperationen nachvollziehen. Die Erklärung der Grundlagen dient zum besseren Verständnis. Erläutert wird der Algorithmus mit folgenden Werten: Nachricht: klartext Padding (Füllzeichen): Leerzeichen Schlüssel: key1 Schlüssellänge: 128 Bit 2

3 Advanced Encryption Standard AES ist der NIST Standard seit Oktober 20. Sieger des offenen Wettbewerbs Advanced Encryption Standard. Symmetrischer Verschlüsselungsalgorithmus. Variable Schlüssellänge 128, 192 und 256 Bit. Entwickelt von Joan Daemen und Vincent Rijmen. Ursprünglicher, leicht angepasster Algorithmus Rijndael. Rijndael Blockgröße = 128, 160, 192, 224, 256 Bit AES Blockgröße = 128 Bit feste Länge Leicht in Hard- und Software zu implementieren. 3

4 Schlüssellänge, Blocklänge, Runden Anzahl der Runden beim Algorithmus Rijndael. Anzahl der Runden die bei AES verwendet werden (Rot). k = Keylength (Schlüssellänge). b = Blocklength (Blocklänge). Bits b = 128 b = 160 b = 192 b = 224 b = 256 k = k = k = k = k =

5 Bits, Bytes und Wörter 1 Bit = 0 oder 1 8 Bit = 1 Byte 4 Bytes = 32 Bit = 1 Word 4 Wörter = 1 Block = 128 Bit Word Block B Byte 6C Bit

6 Bitweise Operatoren XOR (bitweises exklusives ODER) XOR ist eine bitweise Verknüpfung zweier Binärzahlen gleicher Länge. Sind die zu verknüpfenden Zahlen identisch, ist das Ergebnis eine 0. Das Ergebnis ist eine 1, wenn die zu verknüpfenden Zahlen nicht gleich sind. Das Symbol einer XOR Operation ist XOR 0 = 0 1 XOR 0 = 1 1 XOR 1 = 0 0 XOR 1 = 1 6

7 Bitweise Operatoren LinksShift (bitweise Verschiebung) Eine bitweise Verschiebung um eine bestimmte Anzahl von Stellen. Das Symbol einer LinksShift Operation ist <<. Jedes Bit, um das nach Links verschoben wird, verdoppelt das Ergebnis. Beispiel: << 1 Byte (8 Bit) << 1 Bit

8 RotWord() RotWord (Word Verschiebung) Die Funktion RotWord() im AES verschiebt ganze Wörter mit einem LinksShift um eine bestimmte Anzahl von Bytes. Die Bytes die Links aus dem Word herausfallen, werden Rechts dem Word wieder angefügt. Word Beispiel: << 1 Byte (8 Bit) LinksShift 8

9 Addition Die Addition von Polynomen wird üblicherweise durch die schnelle XOR Operation durchgeführt. Alle doppelten Polynom Werte werden bei der Addition gelöscht. In AES werden ganze Bytes addiert. Polynom Darstellung (x 6 + x 4 + x 2 + x +1) + (x 7 + x + 1) = x 7 + x 6 + x 4 + x 2 Binäre Darstellung = Hex Darstellung {57} {83} = {D4} 9

10 Multiplikation Bei AES wird eine Multiplikation von Polynomen modulo mit einem unreduzierbaren Polynom 8 Grades durchgeführt. Ein Polynom gilt dann als nicht weiter reduzierbar, wenn man es entweder nur durch sich selbst oder durch 1 teilen kann (Primzahl). Die Modulo Berechnung garantiert, dass das Ergebnis ein Polynom ist, das einen Grad kleiner 8 hat, so dass es als Byte definiert werden kann. Bei AES lautet das unreduzierbare Polynom: m(x) = x 8 + x 4 + x 3 + x + 1 Hex = {01}{1B} Ein Polynom wird mit m(x) reduziert, sofern das Bit x 7 vor einer Multiplikation 1 ist (Dezimal größer 127). Falls es 0 ist, liegt das Polynom bereits in der reduzierten Form vor. 10

11 Multiplikation Bei einer Multiplikation mit {02} wird ein LinksShift um 1 durchgeführt. Die Multiplikation von Bytes mit x {02} wird bei AES als xtime() bezeichnet. Beispiel: {BF} {02} = {65} LinksShift << 1 = {17E} XOR (Modulo) {11B} {65} Polynom (x 7 + x 5 + x 4 + x 3 + x 2 + x + 1) (x) = x 8 + x 6 + x 5 + x 4 + x 3 + x 2 + x (x 8 + x 6 + x 5 + x 4 + x 3 + x 2 + x) modulo (x 8 + x 4 + x 3 + x + 1) = x 6 + x 5 + x Bei einer Multiplikation mit {03} wird ein LinksShift durchgeführt und dann das Ergebnis mit dem zu multiplizierenden Byte addiert (XOR). 11

12 Multiplikation LinksShift << 1 = {17E} XOR {BF} {1C1} XOR (Modulo) {11B} {DA} Polynom (x 7 + x 5 + x 4 + x 3 + x 2 + x + 1) (x + 1) = (x 7 + x 5 + x 4 + x 3 + x 2 + x + 1) (x) = x 8 + x 6 + x 5 + x 4 + x 3 + x 2 + x (x 7 + x 5 + x 4 + x 3 + x 2 + x + 1) (1) = x 7 + x 5 + x 4 + x 3 + x 2 + x + 1 = x 8 + x 7 + x (x 8 + x 7 + x 6 + 1) modulo (x 8 + x 4 + x 3 + x + 1) = x 7 + x 6 + x 4 + x 3 + x Beispiel: {BF} {03} = {DA} 12

13 ASCII Tabelle ASCII Tabelle für die Umrechnung von Zeichen in ASCII Hexwerte Normale Zeichen: klartext Hexwerte: 6B6C Code A B C D E F 0x0 NUL SOH STX ETX EOT ENQ ACK BEL BS HT LF VT FF CR SO SI 0x1 DLE DC1 DC2 DC3 DC4 NAK SYN ETB CAN EM SUB ESC FS GS RS US 0x2 SP! " # $ % & ' ( ) * +, -. / 0x : ; < = >? A B C D E F G H I J K L M N O 0x5 P Q R S T U V W X Y Z [ \ ] ^ _ 0x6 ` a b c d e f g h i j k l m n o 0x7 p q r s t u v w x y z { } ~ DEL 13

14 Padding (Füllzeichen) AES arbeitet immer mit einer festen Länge von Text (Blockgröße) welcher verschlüsselt wird (128 Bit). Wenn der noch zu verschlüsselnde Text kleiner als die Blockgröße ist, muss dieser vor dem Verschlüsseln mit bestimmten Werten aufgefüllt werden. Mit welchen Informationen die Daten aufgefüllt werden bestimmt die Anwendung, die die Daten verschlüsselt.. Block mit Nullen Block mit Leerzeichen 6B 74 6C B C

15 S-Box (Substitutions-Box) Die S-Box wird bei den Operationen SubBytes und KeyExpansion genutzt. Gibt an, wie jedes Byte eines Blocks durch einen anderen Wert ersetzt wird. Es werden 2 Transformationen für die Berechnung durchgeführt. 1. Jedes Byte außer die 0 wird durch sein multiplikatives Inverse ersetzt. 2. Anschließend wird eine affine Abbildung als Matrixmultiplikation und Addition von (110110) berechnet. y x 0 1 y x 1 1 y x 2 0 y x 3 0 = y x 4 0 y x 5 1 y x 6 1 y x

16 S-Box (Substitutions-Box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

17 Ablauf der Verschlüsselung Initialisierung + Vorrunde KeyExpansion AddRoundKey Runden (1-9) SubBytes - Jedes Byte wird mit einem Byte aus der S-Box getauscht. ShiftRows - Einige Zeilen werden mit einem LinksShift verschoben. MixColumn - Die Bits einer Spalte werden untereinander vertauscht. AddRoundKey - Der expandierte Schlüssel wird XOR verknüpft. Finale Runde (Kein MixColumn) SubBytes ShiftRows AddRoundKey 17

18 Ablauf der Verschlüsselung Vorrunde Klartext AddRoundKey Schlüssel Runde 10 SubBytes ShiftRows SubBytes ShiftRows Key1 Key2 Key3 Key10 Key9 Key8 AddRoundKey MixColumn Key4 Key7 AddRoundKey Key5 Key6 Verschlüsselt Ergebnis Runde 1-9 Expansion 18

19 KeyExpansion Für jede Runde wird ein eigener Schlüssel benötigt. Die expandierte Schlüssellänge wird errechnet durch Blocklänge * (Anzahl der Runden + 1). 128 Bit > 1408 Bit; 192 Bit > 1920 Bit; 256 Bit > 1920 Bit) Folgende Schritte erklären die Expansion des Schlüssels für die Runde x. 1. Das Word 3 Key x-1 durchläuft einen LinksShift um Die Bytes werden anhand der bekannten S-Box getauscht. 3. Das Ergebnis + Word 0 Key x-1 + Rcon x werden XOR verknüpft. Das Ergebnis ist das 1.te Word vom neuen Schlüssel (Word 0 Key x ). 4. Word 1 Key x-1 Word 0 Key x = Word 1 Key x. 5. Word 2 Key x-1 Word 1 Key x = Word 2 Key x. 6. Word 3 Key x-1 Word 2 Key x = Word 3 Key x. 19

20 KeyExpansion Rcon (RoundConstant) ist eine leicht zu errechnende Tabelle von Konstanten die bei der Expansion des Schlüssels einfließen. Rcon ist eine stetige Multiplikation mit x {02} eines Wertes begonnen bei 1. Begonnen beim Rcon(1) = 1 wird dieser Wert mit 2 multipliziert und ergibt Rcon(2) = 2 und eine weitere Multiplikation das Rcon(3) = 4. Die Multiplikation ist die bereits bekannte xtime() Funktion. Rcon (1) (2) (3) (4) (5) (6) (7) (8) (9) (10) B 36 20

21 KeyExpansion Schlüssel RoundKey1 6B A B << = 06 1A SubBytes Rcon(1) 21

22 KeyExpansion Schlüssel RoundKey1 6B A 1A A = 06 1A

23 KeyExpansion Schlüssel RoundKey1 6B A 1A 1A A = 06 1A

24 KeyExpansion Schlüssel RoundKey1 6B A 1A 1A 1A A = 06 1A

25 KeyExpansion RoundKey1 RoundKey A 1A 1A 1A A4 1A F << 1A 52 A2 06 1A = A4 1A SubBytes Rcon(2) 25

26 KeyExpansion RoundKey1 RoundKey A 1A 1A 1A D A4 A2 1A D 06 1A A4 1A = A

27 KeyExpansion RoundKey1 RoundKey A 1A 1A 1A D 64 A4 A2 A4 1A 1A D A A2 = A4 1A

28 KeyExpansion RoundKey1 RoundKey A 1A 1A 1A D 64 6D A4 A2 A4 A2 1A 1A D 06 1A A4 1A = A

29 Initialisierung Normale Zeichen: klartext ASCII Hexwerte: 6B6C Padding (Leerzeichen): 6B6C W0 0 W0 1 W0 2 W0 3 k t 6B W1 0 W1 1 W1 2 W1 3 l e 6C W2 0 W2 1 W2 2 W2 3 a x W3 0 W3 1 W3 2 W3 3 r t Ein Wort (word) = 32 Bit 29

30 AddRoundKey (Vorrunde) Unverschlüsselter Text: klartext Schlüssel: key1 128 Bit Schlüssel: 6B = klar = key = 0x B C B 65 =

31 SubBytes (Runde 1-10) Bei der SubBytes Transformation wird in jeder Runde für jedes Byte im Block ein Äquivalent in der S-Box gesucht und getauscht. Die SubBytes Transformation wird auf der nächsten Seite für das erste Word in der S-Box dargestellt SubByte B7 B7 01 4D B7 B7 AD BC B7 B7 1A 92 B7 B7 31

32 SubBytes (Runde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

33 ShiftRows (Runde 1-10) Linksverschiebung der Zeilen um eine bestimmte Anzahl von Bytes. Die links rausgeschobenen Bytes werden rechts der Zeile hinzugefügt. Bei 256 Bit wird die 3. und 4. Zeile um 1 Byte mehr verschoben << 1 Byte (8 Bit) B7 B7 01 4D B7 B7 AD BC B7 B7 1A 92 B7 B7 1 Byte 2 Byte 3 Byte B7 B7 4D B7 B7 01 B7 B7 AD BC B7 1A 92 B7 33

34 MixColumn (Runde 1-9) Lineare Transformation, die spaltenweise die Bits durchmischt, so dass die neuen Bytes abhängig von den Einträgen der gleichen Spalte sind. Eine XOR Verknüpfung der Bytes einer Spalte muss vor der MixColumn das gleiche Ergebnis liefern, wie nach der MixColumn. Eine komplette Spalte (Word) des Blocks wird jeweils mit einer Zeile aus einer Matrix multipliziert und anschließend die einzelnen Ergebnisse XOR verknüpft und ergeben das neue Byte, wo sich Spalte und Zeile beim Multiplizieren gekreuzt haben. W0 0 W1 0 W2 0 W = S0 0 S1 0 S2 0 S3 0 34

35 MixColumn (Runde 1-9) Ist das Bit x 7 von dem zu multiplizierenden Byte vor dem LinksShift gesetzt (Dezimal > 127), muss nach dem LinksShift eine Restwertberechnung (Modulo) durchgeführt werden. Die Modulo Berechnung wird durch die XOR Operation mit dem Wert {11B} durchgeführt. Die anschließende Modulo Berechnung bewirkt, dass das Ergebnis nicht größer als ein Byte (8 Bit) ist und somit ggf. reduziert wird. W0 0 W1 0 W2 0 W = S0 0 S1 0 S2 0 S3 0 35

36 MixColumn (Runde 1-9) Die Spalten eines Blocks werden mit einer Zeile der Matrix multipliziert B7 B7 4D B7 B7 01 B7 B7 AD BC B7 1A 92 B D 8C 3F BC DD 99 7E EC 17 2A 99 E7 0A 36

37 MixColumn (Runde 1-9) Hex {63} {02} = {C6} Binär = Polynom (x 6 + x 5 + x + 1) (x) = x 7 + x 6 + x 2 + x 63 4D B7 B LinksShift << 1 = {C6} 37

38 MixColumn (Runde 1-9) Hex {4D} {03} = {D7} Binär = Polynom (x 6 + x 3 + x 2 + 1) (x + 1) = x 7 + x 6 + x 4 + x 2 + x D B7 B LinksShift XOR << 1 = {9A} {4D} {D7} 38

39 MixColumn (Runde 1-9) = C6 4D B = = D7 B7 = {11} B7 01 = B = = = = D 8C 3F BC DD 99 7E EC 17 2A 99 E7 0A 39

40 MixColumn (Runde 1-9) Hex {AD} {02} = {41} Binär = 0101 Polynom (x 7 + x 5 + x 3 + x 2 + 1) (x) = x 8 + x 6 + x 4 + x 3 + x x 8 + x 4 + x 3 + x + 1 = x B7 B7 AD LinksShift XOR (Modulo) << 1 = {15A} {11B} 101 {41} 40

41 MixColumn (Runde 1-9) Hex {92} {03} = {AD} Binär = Polynom (x 7 + x 4 + x) (x + 1) = x 8 + x 7 + x 5 + x 4 + x 2 + x x 8 + x 4 + x 3 + x + 1 = x 7 + x 5 + x 3 + x B7 B7 AD LinksShift 1110 << 1 = 111 {124} XOR 1110 {92} {1B6} XOR (Modulo) {11B} {AD} 41

42 MixColumn (Runde 1-9) B7 01 = B7 B7 AD = = B7 41 = {EC} = AD = = = = D 8C 3F BC DD 99 7E EC 17 2A 99 E7 0A 42

43 AddRoundKey (Runde 1-10) Block nach MixColumns: 118C992A503F7E9988BCECE77DDD170A Aktueller RoundKey: 09061A A A A Bit Schlüssel: 188A CB81BAF6B574DB0D C 99 2A 50 3F 7E BC EC E7 7D DD 17 0A A A A A A CB 81 BA F6 B5 74 DB 0D D 8C 3F BC DD 99 7E EC 17 2A 99 E7 0A = 1A 1A 1A 1A A 39 BA DB F6 0D 78 CB B