5 Kryptoanalyse von Bitblock-Chiffren

Transkript

1 5 Kyptoanalyse von Bitblock-Chiffen Fü die Kyptoanalyse von Bitblock-Chiffen sind folgende allgemeine Ansätze bekannt: 1. Exhaustion = vollständige Schlüsselsuche. Sie wid duch Wahl eine genügend goßen Schlüssellänge unmöglich gemacht. Viele de weiteen bekannten Angiffe zielen daauf ab, den Suchaum fü die Exhaustion signifikant zu vekleinen. 2. Algebaische Angiff. E wid duch die Nichtlineaität de Chiffe eschwet ode vehindet. 3. Statistische Angiffe auf vesteckte Lineaität: (a) Lineae Kyptoanalyse (Matsui/Yamagishi, Euocypt 92). Sie ist das Hauptthema dieses Abschnitts. (b) Diffeenzielle Kyptoanalyse (Muphy, Shami, Biham 1990 bei IBM und NSA schon 1974 bekannt). Sie wid im Anschluss daan kuz eläutet. (c) Veallgemeineungen und Mischfomen, s. u. Im Gegensatz zu diffeenziellen Kyptoanalyse wa die lineae Kyptoanalyse den DES-Entwicklen wahscheinlich nicht bekannt; demgemäß ist DES gegen sie nicht optimal esistent. Es gab nu das Design-Kiteium Die S-Boxen sollen so nichtlinea wie möglich sein. Abe Shami bemekte schon füh (Cypto 85), dass es lineae Appoximationen fü die S-Boxen gibt, deen Übeeinstimmung besse als zufällig ist. Es dauete alledings weitee 8 Jahe, bis es Matsui gelang, diese Beobachtung systematisch auszunutzen. Daübe hinaus sind in den letzten Jahen veschiedene Veallgemeineungen und Kombinationen von lineae und diffeenzielle Kyptoanalyse entwickelt woden: Angiff mit vewandten Schlüsseln elated keys (Biham 1992, Schneie). Diffeenziale höhee Odnung (Hapes 1993, Biham 1994, Lai 1994). Diffeenziell-lineae Kyptoanalyse (Langfod/Hellman 1994). Patielle Diffeenziale (Knudsen 1995). I/O-Summen-Analyse (Hapes/Kame/Massey 1995). 55

2 S-Box-Paa-Analyse (Davies/Muphy 1995, Miza 1996). Bumeang-Angiff (Wagne 1999). Slide-Attacken auf (evtl. vesteckte) Peiodizität in Chiffen ode Schlüsselauswahl-Schemata (Biyukov/Wagne 1999). Unmögliche Diffeenziale (Biham/Biyukov/Shami 1999). Alle diese Vefahen einschließlich de lineaen und de diffeenziellen Kyptoanalyse sind alledings kaum konket zum Bechen eine Chiffe im Sinne de klassischen Kyptoanalyse anwendba. Sie setzen so viele bekannte Klatexte voaus, wie man in ealistischen Situationen kaum je ehalten kann. Ih Sinn liegt abe vo allem dain, sinnvolle Maße fü die Sicheheit von Bitblock-Chiffen zu gewinnen. Ein solches Sicheheitsmaß ist z. B. die Anzahl bekannte Klatextblöcke, die man fü einen Angiff benötigt. Chiffen, die selbst unte unealistischen Annahmen übe die Kenntnisse des Angeifes siche sind, können als in de Paxis besondes siche gelten. Hie zeigt sich die Kyptoanalyse in ihem legalen Aspekt sie dient nicht zu kiminellen Ausspähaktionen, sonden ist ein wichtiges Wekzeug fü die Konstuktion stake Chiffen. Bei Feistel- ode ähnlichen iteieten Chiffen statet man die Angiffe bei den nichtlineaen Bestandteilen de einzelnen Runden die wie bei LU- CIFER und DES meist S-Boxen genannt weden und vesucht, den Angiff übe mehee Runden auszudehnen. Dabei sieht man oft, wie die Schwieigkeit des Angiffs mit de Rundenzahl zunimmt. So ehält man Kiteien, ab wievielen Runden eine Chiffe siche ist. Man daf dabei nicht vegessen, dass sich de Angiff imme auf eine bestimmte algebaische Stuktu bezieht; hie auf die F 2 -Vektoaumstuktu des Klatextblock-Raums. Selbstveständlich kann man ähnliche Angiffsvesuche auch auf andee Stuktuen ansetzen; eine Abbildung, die komplex aussieht, könnte z. B. plötzlich einfach aussehen, wenn man ihe Wikung auf die Stuktu als zyklische Guppe Z/nZ untesucht ode ga auf exotische Stuktuen, die exta zu Untesuchung diese einen Abbildung eingefüht weden. Wi beschänken uns hie exemplaisch auf die F 2 -Vektoaumstuktu, übe die man am meisten weiß. Kiteien fü Bitblock-Chiffen... bzw. deen Runden-Abbildungen ode deen nichtlineae Bausteine, die S-Boxen. [Sie weden zum goßen Teil im mathematischen Einschub Lineaitätsmaße fü BOOLEsche Abbildungen behandelt.] Diffusion/Lawineneffekt: Bei Ändeung eines Klatextbits änden sich ca. 50% de Geheimtextbits. Hieduch sollen statistische Unegelmäßigkeiten vemieden weden. 56

3 Balancietheit: Alle Ubildmengen sind gleich goß, d. h., die Wete de Abbildung sind gleichmäßig veteilt. Unegelmäßigkeiten in de Veteilung wüden einen Ansatz zu statistischen Kyptoanalyse bieten. Algebaische Komplexität: Die Bestimmung von Ubilden ode Teilen davon soll auf möglichst schwe lösbae Gleichungen fühen. Diese Fodeung hängt mit dem algebaischen Gad de Abbildung zusammen, abe nicht auf leicht zu bescheibende Weise. Nichtlineaität: Hie gibt es eine Reihe von Kiteien, die auch vesteckte Nichtlineaität messen und vegleichsweise leicht zu bescheiben und handzuhaben sind; sie zeigen u. a., wie anfällig die Abbildungen fü lineae ode diffeenzielle Kyptoanalyse sind. Das lineae Potenzial soll möglichst geing, das Lineaitätspofil möglichst ausgeglichen sein. Das diffeenzielle Potenzial soll möglichst geing, das Diffeenzenpofil möglichst ausgeglichen sein. Die Nichtlineaität, de Abstand (Hamming-Distanz) zu affinen Abbildungen, soll möglichst goß sein. Die Lineaitätsdistanz, de Abstand zu Abbildungen mit lineae Stuktu, soll möglichst goß sein. Einige diese Kiteien lassen sich gleichzeitig efüllen, andee widespechen sich teilweise, so dass das Design eine Bitblock-Chiffe insbesondee eine Abwägung de veschiedenen Kiteien efodet; statt de Optimieung nach einem Kiteium ist ein möglichst gleichmäßig hohes Niveau bezüglich alle Kiteien anzusteben. Zu Zeit wid gundsätzlich de Konflikt zwischen Balancietheit und Nichtlineaität zu Gunsten de Balancietheit entschieden. Dafü gibt es abe keinen wiklich stichhaltigen Gund; statistische Angiffe, die die Ungleichveteilung de Bilde bei nicht balancieten Abbildungen ausnutzen, sind einfach leichte zu begeifen und weden dahe höhe gewichtet. Die Abstiche bei de Nichtlineaität bekommt man duch Ehöhung de Rundenzahl in den Giff. Die Bezeichnungen und Egebnisse des Abschnitts Lineaitätsmaße fü Boolesche Abbildungen weden im folgenden, oft ohne expliziten Hinweis, vewendet. 57

4 5.1 Die Idee de lineaen Kyptoanalyse Sei F : F n 2 F l 2 F n 2 eine Bitblock-Chiffe. Wi stellen uns die Agumente von F als Klatexte a F n 2 und Schlüssel k Fl 2, die Wete von F als Geheimtexte c Fn 2 vo. Dann kann man zu zwei Lineafomen α: F n 2 F l 2 F 2, und β : F n 2 F 2 die Wahscheinlichkeit de lineaen Relation (α, β) beziehungsweise ih Potenzial betachten: p F (α, β) = 1 2 n+l #{(a, k, c) Fn 2 F l 2 F n 2 c = F (a, k), α(a, k) = β(c)}, λ F (α, β) = (2p F (α, β) 1) 2 = 1 2 2n+2l ˆϑ F (α, β) 2, wobei in de Notation nicht zwischen eine Lineafom und dem zugehöigen Vekto unteschieden wid. Zelegt man α(a, k) in die Summe α (a) + γ(k) und scheibt dann statt α einfach in neue Bedeutung α, so kann man sagen, dass p F ((α, γ), β) die Wahscheinlichkeit dafü angibt, dass bei bekanntem Klatext a die lineae Relation γ(k) = α(a) + β(c) fü die Schlüsselbits k i1,..., k i gilt, wenn I = (i 1,..., i ) die Indexmenge ist, die de Lineafom γ entspicht. Dabei ist γ(k) = k i1 + + k i ein einzelnes Bit, das die duch I definiete Summe einige Bits des Schlüssels k dastellt. Das Potenzial λ F ((α, γ), β) misst die Abweichung de Wahscheinlichkeit vom Wet 1 2, denn eine Wahscheinlichkeit < 1 2 ist genauso gut wie eine : Sie sagt, dass die komplementäe Relation > 1 2 γ(k) = α(a) + β(c) + 1 übezufällig oft gilt. Daaus leitet man folgendes Vogehen fü die Schätzung von γ(k) ab (im Fall p F > 1 2, sonst komplementä): 1. [Sammelphase] Man sammelt N Klatext-Geheimtextpaae (a 1, c 1 ),..., (a N, c N ). 2. [Auszählung] Man bestimmt die Anzahl t := #{i = 1,..., N α(a) + β(c) = 0}. 3. [Mehheitsentscheidung] aufgund von t: 58

5 Ist t > N 2, schätzt man γ(k) = 0. Ist t = N 2, andomisiet man die Entscheidung, d. h., man entscheidet sich zufällig fü 0 ode 1, jeweils mit Wahscheinlichkeit 1 2. Ist t < N 2, schätzt man γ(k) = 1. Wenn man ein lineae Relation mit hineichend hohem Potenzial ewischt hat, wid die Efolgswahscheinlichkeit dieses Vefahens bei hineichend goßem N hineichend gut sein. Findet man mehee solche lineae Relationen mit hineichende Gewissheit, so hat man den Schlüsselaum auf einen Unte-Vektoaum eingeschänkt und kann übe diesen eine Exhaustion vesuchen. Das ist die Gundidee de lineaen Kyptoanalyse es gibt je nach dem konketen Aufbau eine Chiffe veschiedene Vaianten, wie in den folgenden Abschnitten deutlich wid. Als theoetisches Egebnis aus de Analyse eine Chiffe ehält man daduch einen Zusammenhang zwischen de Menge von benötigtem Klatext und de Efolgswahscheinlichkeit ode auch de Dimension des übiggebliebenen Suchaums. Damit das Vefahen anwendba ist, sind folgende Fagen zu kläen: 1. Wie findet man lineae Relationen von möglichst goßem Potenzial? 2. Da Bitblock-Chiffen meistens aus vielen Runden zusammengestzt, sind, fagt man weite: (a) Wie findet man bei eine iteieten Bitblock-Chiffe bauchbae lineae Relationen fü die Rundenfunktion? (b) Wie setzt man diese übe die Runden hinweg zu lineaen Relationen fü die ganze Chiffe zusammen, so dass Aussagen übe Schlüsselbits esultieen? (c) Wie bestimmt man die Wahscheinlichkeit eine zusammengesetzten lineaen Relation fü die ganze Chiffe aus de fü die einzelnen Runden? 3. Wie hängt die Efolgswahscheinlichkeit von de Zahl N de bekannten Klatext-Blöcke ab? Die Antwot auf die este Fage und Teil (a) de zweiten heißt: Aus dem lineaen Pofil, also duch Fouie-Analyse. Die anschließenden Teilfagen fühen zu Untesuchung von lineaen Pfaden und lineaen Hüllen und de Kumulation von Wahscheinlichkeiten. Nun ist die Fouie-Analyse zwa seh effizient, wenn man den Aufwand (Zeit und Speicheplatz) als Funktion de Göße des Inputs betachtet. Leide wächst diese Göße abe exponenziell mit de Dimension; dahe wid die 59

6 Fouie-Analyse bei alle Effizienz schon bei Dimensionen von etwas übe 10 unduchfühba; die fü ensthafte Blockchiffen elevanten Dimensionen, also Blockgößen und Schlüssellängen von 64, besse abe 128 Bits, liegen weit daübe. Diese Einwand gilt auch fü die este Teilfage von Fage 2. Da die einzelnen Runden abe meist wiedeum im wesentlichen aus eine paallelen Ababeitung kleinee Stücke, de S-Boxen, bestehen, wid man vesuchen, das Poblem auf die Analyse de S-Boxen zuückzuspielen, und diese ist ealistisch duchfühba; selbst das AES-Vefahen vewendet nu 8-dimensionale S-Boxen. 60

7 5.2 Beispiel: Eine Einunden-Chiffe Es weden Beispiele betachtet, die als ensthafte Blockchiffen viel zu einfach sind, abe das Pinzip de lineaen Kyptoanalyse seh anschaulich und nachvollziehba demonstieen. Dabei weden stets Rundenfunktionen de Gestalt f(a+k) betachtet, d. h., de Schlüssel wid vo de Anwendung eine bijektiven S-Box f : F n 2 Fn 2 binä auf den Klatext aufaddiet. Das einfachste denkbae Modell, die Veschlüsselung nach de Voschift c = f(a + k), F n 2 k F n 2 F n 2 f F n 2 a b S c ist dabei witzlos, da bei bekanntem Klatext die Gleichung nach dem Schlüssel k auflösba ist: k = f 1 (c) + a. Diese einfache Angiff wid bei dem etwas komplizieteen Modell A c = f(a + k 0 ) + k 1 F n 2 Modell A F n 2 F n 2 F n 2 f F n 2 F n 2 k 0 k 1 a b S b c vehindet [in den gafischen Dastellungen wid die Abbildung f imme duch die S-Box S epäsentiet]; hie ist de Ansatz de lineaen Kyptoanalyse beeits sinnvoll: Sei (α, β) ein Paa von Lineafomen mit β f(x) p α(x), wobei das Symbol p gelesen wid als ist gleich mit Wahscheinlichkeit p. Repäsentiet wid dies duch das Diagamm 61

8 f F n 2 F n 2 p α β F 2 Dann gilt β(c) = β(b + k 1 ) = β(b ) + β(k 1 ) p α(b) + β(k 1 ) = α(a + k 0 ) + β(k 1 ) = α(a) + α(k 0 ) + β(k 1 ). Hiebei wid k als fest angesehen und zu Spezifikation de Wahscheinlichkeit übe alle Klatexte a gemittelt. Als lineae Relation fü die Bits des Schlüssels k = (k 1, k 2 ) ehalten wi also α(k 0 ) + β(k 1 ) p α(a) + β(c). Sie gilt genau mit de Wahscheinlichkeit p = p f (α, β). Ein analoge Schluss lässt sich fü die komplementäe Relation β f(x) 1 p α(x) + 1 duchfühen. Insgesamt ist damit gezeigt: Satz 1 Im Modell A sei (α, β) eine lineae Relation fü f mit de Wahscheinlichkeit p. Dann ist p 1 = max{p, 1 p} die Efolgswahscheinlichkeit de lineaen Kyptoanalyse mit einem bekannten Klatext. Nehmen wi zunächst als konketes Beispiel n = 4 und fü f die S-Box S 0 von Lucife. Aus de Analyse diese Booleschen Abbildung wissen wi, dass das lineae Potenzial von 9 16 z. B. von dem Paa α = 0001 und β = 1101 mit ˆϑ f (α, β) = 12 angenommen wid. Die zugehöige Wahscheinlichkeit ist p f (α, β) = 7 8. Als konkete Rundenschlüssel weden k 0 = 1000 und k 1 = 0001 gewählt. Eine Tabelle übe alle 16 möglichen Klatexte sieht dann so aus (unte Vewendung de bekannten Wetetabelle von f): 62

9 a b b c α(a) + β(c) De Wet 1 = α(k 0 ) + β(k 1 ) wid also, wie es sein soll, genau 14-mal angenommen. Wie goß ist nun die Efolgswahscheinlichkeit p N dafü, diesen Wet ichtig zu schätzen, wenn man N = 1, 2,... zufällige bekannte Klatexte aus de Menge de 2 n möglichen zu Vefügung hat? (Zu gegebenen festen Lineafomen α und β mit p = p f (α, β) fü einen beliebigen unbekannten, gesuchten Schlüssel k.) Das ist genau die Fagestellung de hypegeometischen Veteilung, und dahe gilt: Satz 2 Im Modell A sei (α, β) eine lineae Relation fü f mit de Wahscheinlichkeit p = s 2. Dann ist die Efolgswahscheinlichkeit de lineaen n Kyptoanalyse mit N bekannten Klatexten geade die kumuliete Wahscheinlichkeit p N = p (s) N de hypegeometischen Veteilung zu den Paameten 2 n, s = p 1 2 n und N mit p 1 = max{p, 1 p}. Koolla 1 p N = 1, wenn N > 2 n+1 (1 p 1 ). Im konketen Beispiel oben wid diese Bedingung zu N > = 4, also N 5. Koolla 2 (Asymptotik) Ist p 1 2, N 2n und N nicht zu klein, so p N 1 2π λ e t2 /2 dt. 63

10 5.3 Die hypegeometische Veteilung Das Unenmodell fü die hypegeometische Veteilung ist die Ziehung ohne Zuücklegen. Die Une enthalte n Kugeln, davon s schwaze und w = n s weiße. De Anteil p := s n de schwazen Kugeln sei bekannt und o. B. d. A. p > 1 2. (De Fall p = 1 2 ist uninteessant, de Fall p < 1 2 symmetisch zum esten.) In de Anwendung auf die lineae Kyptoanalyse weden die Kugeln alle möglichen Klatexte sein und die Ziehung die Auswetung eine lineaen Relation fü einen bekannten Klatext. Es weden Kugeln zufällig gezogen ( n). Die Wahscheinlichkeit, dabei genau ν weiße Kugeln zu ziehen, ist ) Die Funktion q (s) (ν) = ( s w ν)( ν ( n ). q (s) : Z R heißt die hypegeometische Veteilung (zu den Paameten n, s und ). Dabei ist q (s) (ν) = 0 fü ν < 0 und fü ν >. Die Wahscheinlichkeit, dass meh schwaze als weiße Kugeln gezogen weden, ist 1 p (s) 2 = ν=0 q(s) (ν), wenn ungeade, 2 1 (ν) q(s) ), wenn geade, ν=0 q(s) ( 2 wenn im Falle des Gleichstands zufällig mit Wahscheinlichkeit jeweils 1 2 fü schwaz ode weiß entschieden wid. Im uninteessanten Fall p = 1 2 sind offensichtlich alle p(s) = 1 2. Hilfssatz 1 Es gilt: (i) p (s) 1 = p. (ii) p (s) 2 = p (s) (iii) p (s) 3 = s(s 1) n(n 1) 1 (falls [ w 1). 3 2 s 2 n 2 (iv) p (s) 4 = p (s) 3 (falls w 2). (v) p (s) = 1 fü > 2w. Beweis. (i) ist tivial. ] (falls w 2). 64

11 (ii) Da bei jeweils eine weißen und schwazen Kugel zufällig entschieden wid, ist de Zähle gleich ( ) s + 1 ( )( ) s w s(s 1) s(n s) s(n 1) = + =, de Nenne gleich n(n 1) 2, de Quotient p (s) 2 = s(n 1) n(n 1) = p. (iii) Hie ist de Zähle ( ) ( ) s s + (n s) = 3 2 = = s(s 1)(s 2) + 3s(s 1)(n s) 6 s(s 1) [s (n s)] 6 s(s 1) [3 (n 2) 2 (s 2)]. 6 De Nenne ist 1 6 n(n 1)(n 2), also hat p(s) 3 den behaupteten Wet. (iv) Die Rechnung wid weggelassen, da im nächsten Hilfssatz eine allgemeinee Aussage bewiesen wid. (v) folgt, weil dann auf jeden Fall meh schwaze Kugeln gezogen weden. Hilfssatz 2 Ist geade und 2 2w, so Beweis. Sei A (s) (ν) = ( n p (s) +1 > p(s) = p (s) 1. ) (s) q (ν) de Zähle von q (s) (ν) und B (s) = ( ) n (s) p de Zähle von p (s). Beim Übegang von nach + 1 wid die Mehheitsentscheidung schwaz nach + 1 Zügen in B(s) +1 Fällen getoffen. Daunte sind: 2 1 ν=0 A(s) (ν) Fälle, in denen beeits nach Zügen mindestens schwaze Kugeln gezogen woden waen. Fü die ( + 1)-te Kugel gibt es noch n Möglichkeiten, die abe alle an de Entscheidung nichts änden. Wi haben hie also 2 1 X 1 = (n ) ν=0 Fälle, in denen schwaz enschieden wid. A (s) (ν) 65

12 A (s) ( 2 ) Fälle, bei denen nach Zügen genau 2 schwaze Kugeln gezogen woden waen. Von den n Möglichkeiten fü die ( + 1)-te Kugel sind s 2 schwaz und fühen zu Entscheidung schwaz, w 2 weiß und fühen zu Entscheidung weiß. Es kommen also X 2 = (s 2 ) A(s) ( 2 ) Fälle hinzu, in denen schwaz enschieden wid. In den übigen Fällen liegen nach Zügen höchstens 2 1 schwaze Kugeln vo, und die ( + 1)-te Kugel kann somit die Entscheidung fü weiß nicht änden. Da von den gezählten Fällen jeweils + 1 dieselbe Menge von gezogenen Kugeln egeben, ist B (s) +1 = (X 1 + X 2 ) = n A (s) (ν) + s 2 n A(s) ( 2 ). ν=0 Fü den Koeffizienten des letzten Tems gilt s 2 n > 1 2 2s > n s > n 2. (Da 2w, ist < n.) Also folgt B (s) +1 > n + 1 B(s) und somit de este Teil de Behauptung. Etwas kompliziete ist de Übegang von 1 nach. Die Entscheidung schwaz wid nach Zügen in B(s) Fällen getoffen. Daunte sind 2 2 ν=0 A(s) 1 Fälle, wo nach 1 Zügen mindestens schwaze Kugeln gezogen woden waen. Die n +1 Möglichkeiten fü die -te Kugel änden die Entscheidung nicht. Es gibt hie also 2 2 Y 1 = (n + 1) ν=0 Fälle, in denen schwaz entschieden wid. A (s) 1 A (s) 1 ( 2 1) Fälle, wo nach 1 Zügen genau 2 schwaze Kugeln gezogen woden waen. Die n + 1 Möglichkeiten fü die -te Kugel zefallen in 66

13 s 2 schwaze, die zu de Entscheidung schwaz fühen; hie gibt es also Y 2 = (s 2 ) A(s) 1 ( 2 1) zusätzliche Fälle. w +1 2 weiße, wo die Entscheidung mit jeweils de Wahscheinlichkeit 1 2 zufällig getoffen wid; es kommen also Fälle hinzu. Y 3 = 1 2 (w ) A(s) 1 ( 2 1) A (s) 1 ( 2 ) Fälle, wo nach 1 Zügen genau 2 1 schwaze Kugeln gezogen woden waen. Die n + 1 Möglichkeiten fü die -te Kugel zefallen in s schwaze, wo die Entscheidung zufällig mit jeweils de Wahscheinlichkeit 1 2 getoffen wid es kommen also Fälle hinzu, Y 4 = 1 2 (s ) A(s) 1 ( 2 ) w 2 weiße, in denen die Entscheidung bei weiß bleibt. In den übigen Fällen, wo nach 1 Zügen höchstens 2 2 schwaze Kugeln gezogen woden waen, bleibt die Entscheidung ebenfalls bei weiß. Da jeweils de gezählten Fälle dieselbe Menge von gezogenen Kugeln egeben, gilt B (s) = 1 (Y 1 + Y 2 + Y 3 + Y 4 ) = n ν=0 A (s) (s 2 + w ) A(s) 1 ( 2 1) (s + 1) A(s) 1 2 ( 2 ) Da s + w 2 = n w 2, ist de Koeffizient des mittleen Tems gleich s 2 + w = n w = (n + 1) 1 2 (w 2 + 1). Also ist B (s) = n ν=0 A (s) (w 2 + 1) ( s 2 )( w ) (s 2 + 1) ( s 2 1 )( w 2 ).

14 Die beiden letzten Teme heben sich weg, und es bleibt B (s) = n + 1 B (s) 1. Daaus folgt de zweite Teil de Behauptung. Damit ist insbesondee gezeigt: Satz 3 Die Wahscheinlichkeit p (s) p (s) 2w+1 = 1. Wenn die Quotienten wächst mit monoton von p (s) 1 = p bis s n, w n (n )s,, n (n )w n hineichend goß sind (Fishes Faustegel sagt: 5 eicht), kann man die hypegeometische Veteilung duch die Nomalveteilung appoximieen; das bedeutet insbesondee x ν=0 q (s) (ν) Φ( x µ σ ) = 1 x µ σ e t2 /2 dt, 2π wobei µ de Mittelwet und σ 2 die Vaianz de hypegeometischen Veteilung (zu den Paameten n, s und ) und Φ die Veteilungsfunktion de Nomalveteilung ist. Fü Mittelwet und Vaianz gilt Hilfssatz 3 µ = w n, σ 2 = (n ) w(n w) n 2. (n 1) Beweis. Bei eine zufälligen Stichpobenziehung von Kugeln de Reihe nach sei X k : Ω R eine Zufallsvaiable, die 0 ist, wenn die k-te Kugel schwaz ist, und 1, wenn sie weiß ist. Dann ist S = X X : Ω R eine Zufallsvaiable, die die Anzahl de weißen Kugeln in de Stichpobenziehung angibt. Es ist µ = E(S) de Ewatungswet und σ 2 = Va(S) die Vaianz diese Zufallsvaiablen. Kla ist E(X k ) = w w n also E(S) = n. Fü die Beechnung de Vaianz bemeken wi zuest, dass Xk 2 = X k, also Va(X k ) = E(Xk 2 ) E(X k) 2 = w n w2 w(n w) = n2 n 2. 68

15 Da X j X k (ω) = 1 X j (ω) = 1 und X k (ω) = 1, ist die Wahscheinlichkeit dafü w(w 1) n(n 1), de Ewatungswet also E(X jx k ) = w(w 1) n(n 1). Dahe ist die Covaianz w(w 1) Cov(X j, X k ) = E(X j X k ) E(X j )E(X k ) = n(n 1) w2 n 2 = Die Vaianz von S ist also Va(S) = = = Va(X k ) + 2 k=1 wie behauptet. w(n(w 1) w(n 1)) n 2 (n 1) 1 j<k w(n w) n 2 + ( 1) w(n w) n 2 [n ], (n 1) = Cov(X j, X k ) w(w n) n 2 (n 1). w(w n) w(n w) n 2 = (n 1) n 2 [ 1 1 ] n 1 Satz 4 (Asymptotische Veteilung) Die Wahscheinlichkeit, meh schwaze Kugeln zu ziehen, ist p (s) 1 2π λ e t2 /2 dt mit λ = (2p 1) 2, wenn p 1 2, n und nicht zu klein. [Nach Fishes Faustegel eicht 10 n 10 fü p 1 2.] Beweis. Die obee Genze des Integals ist fü x = 2 zu beechnen: x µ σ = ( 2 w n ) n n 1 = (n 2w) n 1 (n )w(n w) 2 (n )w(n w) n 1 = s w n 1 n 2 sw = 2p 1 n 2 p(1 p) 1 2p 1 = λ, wie behauptet. 69

16 5.4 Die Efolgswahscheinlichkeit Die Übelegung aus Abschnitt 5.2 sieht im allgemeinen Rahmen von Abschnitt 5.1 genauso aus und liefet eine zufiedenstellende Antwot auf die dotige Fage 2: Hauptsatz 1 (Fomel von Matsui) Sei (α, β) eine lineae Relation mit Wahscheinlichkeit p = p F (α, β) und Potenzial λ = λ F (α, β) fü die Bitblock-Chiffe F : F n 2 Fl 2 Fn 2. Dann ist die Efolgswahscheinlichkeit P αβn de lineaen Kyptoanalyse mit N bekannten Klatexten geade die kumuliete Wahscheinlichkeit p (s) N de hypegeometischen Veteilung zu den Paameten 2 n, s = 2 n max{p, 1 p} und N. Ist p 1 2, N 2n und N nicht zu klein, so P αβn 1 2π Nλ e t2 /2 dt. Fü die exakte Veteilung haben wi die Bedingung p αβn = 1, wenn N > 2 n+1 (1 p 1 ). Diese nützt fü p 1 2 nichts de Aufwand fü die lineae Kyptoanalyse ist genauso goß wie de fü die Exhaustion. Vezichtet man abe auf die hundetpozentige Gewissheit, so egibt die Näheungsfomel zusammen mit den bekannten Regeln fü die Nomalveteilung die Tabelle Nλ P αβn 84.1% 92.1% 95.8% 97.7% % 99.9% D. h., um eine Efolgswahscheinlichkeit von 97.7% zu eeichen, baucht man N 4 λ bekannte Klatexte. Zahlenbeispiel fü DES: Das höchste Potenzial eine lineaen Relation ist λ ( ) 2 (siehe späte), die entspechende Wahscheinlichkeit p Fü eine Efolgswahscheinlichkeit von 97.7% benötigt man also N 4 λ bekannte Klatexte. Damit hat man dann ein Schlüsselbit mit hohe Wahscheinlichkeit bestimmt. Leichte Vebesseungen: Mit eine lineaen Relation fü die Runden 2 bis 15 und eine vollständigen Suche übe die elevanten Schlüsselbits de Runden 1 und 16 konnte Matsui die Anzahl de benötigten Klatexte auf 2 43 dücken; duch gleichzeitiges Betachten mehee lineae Relationen konnte e fene die Anzahl de gewonnenen Schlüsselbits auf 14 ehöhen. Es bleibt die vollständige Suche nach den übigen 42 Schlüsselbits, die auf einem PC nu noch wenige Sekunden dauet. 70

17 Dies ist de effizienteste bekannte Angiff auf das DES-Vefahen; die Anzahl de benötigten Klatexte ist alledings imme noch so goß, daß diese Angiff kaum als ealistische Gefah eingestuft weden kann. Dennoch offenbat e eine leichte Schwäche, die beim Design des DES übesehen wude. Die Stabilität des DES gegen diffeenzielle Kyptoanalyse ist deutlich besse; diese Angiffsmöglichkeit wa ja, wie heute bekannt ist, beim Design beücksichtigt woden. 71

18 5.5 Beispiel: Eine Zweiunden-Chiffe Fü die Analyse von Chiffen übe mehee Runden beginnen wi wiede mit einem einfachen Beispiel, dem Modell B : F n 2 Modell B F n 2 F n 2 F n 2 F n f 1 2 F n 2 p 1 α β F n f 2 2 F n 2 p 2 β γ F n 2 F 2 F 2 k 0 k 1 k 2 a b 0 S 0 b 1 b 2 S 1 b 3 c Die Veschlüsselung geschieht also sukzessive nach den Fomeln b 0 = a + k 0, b 1 = f 1 (b 0 ), b 2 = b 1 + k 1, b 3 = f 2 (b 2 ), c = b 3 + k 2, ode in einem Schitt: c = f 2 [f 1 (a + k 0 ) + k 1 ] + k 2. [Dabei wid f 1 duch die S-Box S 0 und f 2 duch die S-Box S 1 beschieben.] Nach Analyse de S-Boxen wissen wi übe die lineaen Relationen fü die Rundenabbildungen f 1 und f 2 Bescheid. Was können wi daaus übe lineae Relationen fü die ganze Chiffe heleiten? Sei (α, β) eine lineae Relation fü f 1 mit Wahscheinlichkeit p 1 und (β, γ) eine fü f 2 mit Wahscheinlichkeit p 2. Dann gilt γ(c) = γ(b 3 ) + γ(k 2 ) p 2 β(b 2 ) + γ(k 2 ) = β(b 1 ) + β(k 1 ) + γ(k 2 ) p 1 α(b 0 ) + β(k 1 ) + γ(k 2 ) = α(a) + α(k 0 ) + β(k 1 ) + γ(k 2 ) Wi ehalten also eine Relation fü das eine Schlüsselbit α(k 0 )+β(k 1 )+γ(k 2 ) in de Fom α(k 0 ) + β(k 1 ) + γ(k 2 ) p α(a) + γ(c) mit noch unbekannte Wahscheinlichkeit p. Diese ist im allgemeinen seh schwe explizit zu bestimmen. Betachten wi das folgende konkete Beispiel: Es sei n = 4, und S 0 und S 1 seien die beiden S-Boxen von Lucife. Die Lineafomen α = 0001 und β = 1101 seien wie in Abschnitt 5.2 gewählt. Passend dazu sei γ = 1100 gewählt, so dass das Paa (β, γ) das maximale Potenzial 1 4 fü S 1 annimmt, und ˆϑ f2 (β, γ) = 8. Als konkete Rundenschlüssel weden k 0 = 1000, k 1 = 0001 wie in 5.2 und k 2 = 0110 gewählt. Die Tabelle übe alle 16 möglichen Klatexte ist: 72

19 a b 0 b 1 b 2 b 3 c α(a) + γ(c) Da ˆϑ f2 (β, γ) = 8, soll das Bit α(k 0 )+β(k 1 )+γ(k 2 )+1 = 1 ekannt weden; dies geschieht in 12 von 16 Fällen koekt, also mit Wahscheinlichkeit p = 3 4 bzw. mit Potenzial λ = 1 4. Es gibt auch andee Pfade von α nach γ, z. B. übe β = 0001 mit ˆϑ f1 (α, β ) = 4, λ 1 = 1 16, p 1 = 1 4 und ˆϑ f2 (β, γ) = 4, λ 2 = 1 16, p 2 = 3 4. Hie wid also vesucht, das Bit α(k 0 ) + β (k 1 ) + γ(k 2 ) + 1 = 1 zu finden. Auch hiefü ist die Efolgswahscheinlichkeit also p =

20 5.6 Binäe Summen binäe Zufallsvaiablen Satz 5 ( Piling Up Lemma ) Sei Ω ein Wahscheinlichkeitsaum und X 1,..., X : Ω F 2 unabhängige Zufallsvaiablen mit p i := P (X i = 0) = P (X 1 i (0)). Sei X = X X (binäe Summe in F 2 ) und p := P (X = 0). Sei λ i = (2p i 1) 2 fü i = 1,... und λ = (2p 1) 2. Dann gilt λ = λ 1 λ. Beweis. Es eicht, den Beweis fü = 2 zu fühen. Fü ω Ω ist X(ω) = 0 genau dann, wenn X 1 (ω) und X 2 (ω) beide 0 ode beide 1 sind. Also ist p = p 1 p 2 + (1 p 1 )(1 p 2 ) = 1 p 1 p 2 + 2p 1 p 2, 2p 1 = 4p 1 p 2 2p 1 2p = (2p 1 1)(2p 2 1), wie behauptet. λ = λ 1 λ 2, Fü die Wahscheinlichkeiten ist die Fomel etwas kompliziete: Koolla 1 Mit den Bezeichnungen von Satz 5 gilt p = (p i 1 2 ). i=1 Koolla 2 Ist ein p i = 1 2, so λ = 0, p = 1 2. Koolla 3 Mit wachsendem ist λ monoton fallend. 74

21 5.7 Lineae Pfade und lineae Hüllen Die Rundenabbildung f : F n 2 F q 2 Fn 2 eine Bitblock-Chiffe wede jetzt übe mehee Runden iteiet mit unabhängigen Rundenschlüsseln k i F q 2. Zunächst wid de Fall von zwei Runden behandelt. a = c 0 f k 1 Lineae Relation ((α 1, γ 1 ), β 1 ) mit γ 1 (k 1 ) p 1 α 1 (c 0 ) + β 1 (c 1 ) f(c 0, k 1 ) = c 1 f k 2 Lineae Relation ((α 2, γ 2 ), β 2 ) mit γ 2 (k 2 ) p 2 α 2 (c 1 ) + β 2 (c 2 ) c = f(c 1, k 2 ) = c 2 Es gelten also die lineaen Relationen γ 1 (k 1 ) p 1 α 1 (c 0 ) + β 1 (c 1 ) mit Wahscheinlichkeit p 1 und Potenzial λ 1 = (2p 1 1) 2 und γ 2 (k 2 ) p 2 α 2 (c 1 ) + β 2 (c 2 ) mit Wahscheinlichkeit p 2 und Potenzial λ 2 = (2p 2 1) 2. Die beiden lineaen Relationen sind kombinieba, wenn α 2 = β 1. Dann gilt γ 1 (k 1 ) + γ 2 (k 2 ) p α 1 (c 0 ) + β 2 (c 2 ) mit eine Wahscheinlichkeit p und einem Potenzial λ, die unte de Annahme, dass die Relationen stochastisch unabhängig, insbesondee k 1 und k 2 unabhängig gewählt sind, aus dem Piling-Up-Lemma folgen. Danach wäe λ = λ 1 λ 2. Das Beispiel in Abschnitt 5.5 zeigt, dass das nicht gilt; die Annahme unabhängige Rundenschlüssel eicht nicht. Die Situation wid daduch 75

22 vekompliziet, dass es von de Relation α 1 zu Relation β 2 mehee Pfade, d. h., mehee Zwischenschitte gibt. Fene weden, wenn die Rundenzahl göße ist, dabei jedesmal andee Schlüsselbits de Zwischenunden heausgepickt. Im Beispiel wa λ 1 = 9 16, λ 2 = 1 4 und λ = 1 4 = deutlich göße als λ 1 λ 2 = Um wenigstens den begifflichen Rahmen, wenn schon nicht die Egebnisse, zu päzisieen, definiet man: Gegeben sei eine übe Runden iteiete Bitblock-Chiffe. Sei ((α i, γ i ), β i ) eine lineae Relation fü die i-te Runde mit Potenzial λ i. Es sei α i = β i 1 fü i = 2,...,. Sei β 0 := α 1. Dann heißt die Kette (β 0,..., β ) ein lineae Pfad fü die Chiffe mit Potenzial λ := λ 1 λ. Die lineae Hülle [Nybeg 1994] zu dem Paa (β 0, β ) ist die Menge alle lineaen Pfade, die β 0 mit β vebinden. Ein lineae Pfad heißt dominant, wenn sein Potenzial maximal unte allen lineaen Pfaden de zugehöigen lineaen Hülle ist. Achtung: Das Potenzial eines lineaen Pfades ist im allgemeinen nicht das Potenzial de esultieenden lineaen Relation. Vielmeh gilt (ohne Beweis): Satz 6 (Matsui) Gegeben sei eine übe Runden iteiete Bitblock-Chiffe mit unabhängigen Rundenschlüsseln. Es sei eine lineae Relation fü jede Runde gegeben, die das Potenzial λ 1,..., λ haben und zusammen einen lineaen Pfad bilden. Dann hat die kombiniete lineae Relation das Potenzial λ λ 1 λ. Ist de lineae Pfad dominant, so gilt λ λ 1 λ. Dieses Egebnis vemittelt eine konkete Vostellung davon, wie de Nutzen von lineaen Appoximationen mit jede Runde, wo es keine lineae Relation mit Wahscheinlichkeit 1 ode 0 gibt, weite abnimmt, d. h., wie die Sicheheit de Chiffe vo lineae Kyptoanalyse mit zunehmende Rundenzahl steigt. Die Methode de lineaen Kyptoanalyse beuht also auf de Faustegel: Entlang eines lineaen Pfades multiplizieen sich die lineaen Potenziale (nach Definition). Das Potenzial eine lineaen Hülle wid duch das Potenzial des dominanten lineaen Pfades auseichend appoximiet. Alledings muss man beachten, dass de Satz nu eine Untegenze fü das Potenzial angibt, also eine obee Schanke fü den Aufwand de lineaen Kyptoanalyse. Fü den Sicheheitsnachweis de Chiffe bäuchte man eine untee Schanke fü den Aufwand, also eine obee Schanke fü das Potenzial eine kombinieten lineaen Relation. Hie gilt nu die empiisch emittelte Näheungsaussage des Satzes; fene sind gobe obee Schanken bekannt, die alledings nicht zu Beuhigung des Kyptogaphen auseichen. Weite ist bei de Anwendung zu beachten, dass bei konketen Chiffen die Rundenschlüssel nicht unabhängig sind. Alledings ist (nach empiischen 76

23 Efahungen) wie so oft in de Statistik de Effekt diese Abhängigkeit venachlässigba, wenn die Schlüsselauswahl fü die einzelnen Runden wenigstens ein bisschen komplex ist. Auf diese Weise kommt auch das in Abschnitt 5.4 genannte Egebnis fü DES zustande. 77

24 5.9 Die Idee de diffeenziellen Kyptoanalyse Bei de diffeenziellen Kyptoanalyse wid analog zu lineaen Kyptoanalyse die Appoximation duch lineae Stuktuen vewendet. Man betachtet einen Diffeenzenvekto vo Anwendung eine Rundenabbildung und seine möglichen Wete nach Anwendung de Rundenabbildung. Zusammenpassende Folgen von Diffeenzenvektoen übe die Runden eine iteieten Bitblock-Chiffe weden als diffeenzielle Pfad ode Chaakteistik [Biham/Shami 1990] bezeichnet; das Potenzial eines diffeenziellen Pfades ist nach Definition das Podukt de Potenziale de einzelnen Schitte. Eine diffeenzielle Hülle ode ein Diffeential [Lai/Massey/Muphy 1991] ist die Menge alle Pfade von eine gegebenen Input-Diffeenz de gesamten Chiffe zu eine gegebenen Output-Diffeenz. Es gilt eine analoge Faustegel, auf de die Methode de diffeenziellen Kyptoanalyse beuht: Entlang eines diffeenziellen Pfades multiplizieen sich die diffeenziellen Potenziale (nach Definition). Das Potenzial eine diffeenziellen Hülle wid duch das Potenzial des dominanten diffeenziellen Pfades auseichend appoximiet. Dieses Potenzial wiedeum egibt die Wahscheinlichkeit, mit de eine Gleichung fü Schlüsselbits hegeleitet weden kann. 79