Просмотр кода страницы Режим шифрования

'''Режим шифрования''' — метод применения [[Блочный шифр|блочного шифра]] (алгоритма), позволяющий преобразовать последовательность блоков [[открытый текст|открытых данных]] в последовательность блоков [[шифротекст|зашифрованных данных]]. При этом для [[шифрование|шифрования]] одного блока могут использоваться данные другого блока.

Обычно режимы шифрования используются для изменения процесса шифрования так, чтобы результат шифрования каждого блока был уникальным вне зависимости от шифруемых данных и не позволял сделать какие-либо выводы об их структуре. Это обусловлено, прежде всего, тем, что блочные шифры шифруют данные блоками фиксированного размера, и поэтому существует потенциальная возможность утечки информации о повторяющихся частях данных, шифруемых на одном и том же [[ключ (криптография)|ключе]].

== История ==
В [[1981 год]]у был принят стандарт [https://web.archive.org/web/20090604131329/http://www.itl.nist.gov/fipspubs/fip81.htm FIPS 81]. В стандарте были описаны первые режимы работы блочных шифров: ECB, CBC, OFB и CFB. В [[2001 год]]у институт [[Национальный институт стандартов и технологий|NIST]] (национальный институт стандартов и технологий [[США]]) пересмотрел список режимов и добавил в него описание работы [[Блочный шифр|блочного шифра]] [[Advanced Encryption Standard|AES]] в режиме CTR ([http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf SP800-38A]). В январе [[2010 год]]а NIST добавил в стандарт описание работы шифра [[Advanced Encryption Standard|AES]] в режиме XTS (SP800-38E).

В стандарте описаны не все режимы, а только режимы, одобренные институтом [[NIST]]. Например, режим [[Заимствование шифротекста|CTS]] ({{lang-en|ciphertext stealing}}) в стандарте не описан, но реализован во многих популярных криптографических [[Библиотека (программирование)|библиотеках]].

Режимы шифрования определяются рядом национально и международно признанных организаций. Наиболее влиятельной из них является [[NIST]].

== Основные режимы ==
Ниже приведено описание нескольких режимов шифрования с использованием [[Блочный шифр|блочных шифров]]<ref name="six">{{Cite web |url=http://rain.ifmo.ru/cat/view.php/theory/coding/cryptography-2005/block |title=Воробьева Елена, Лукьянова Александра «Криптография» |accessdate=2012-12-11 |archiveurl=https://web.archive.org/web/20121205135532/http://rain.ifmo.ru/cat/view.php/theory/coding/cryptography-2005/block |archivedate=2012-12-05 |deadlink=yes }}</ref>.

=== Electronic Codebook (ECB) ===
{{main|Режим электронной кодовой книги}}

В [[ГОСТ 28147—89]] этот режим называется '''режимом простой замены'''.

''Шифрование:''

Пусть дано сообщение <math>P</math> ([[открытый текст]], последовательность бит, данные).

Во время шифрования выполняются следующие действия:

[[Файл:ECB Encryption ru.svg|thumb|600px|center|Шифрование в режиме ECB (режиме электронной кодовой книги)]]

# Сообщение делится на блоки одинакового размера. Размер (длина) блока равен ''n'' и измеряется в [[бит]]ах. В результате получается последовательность блоков <math>P_1,P_2,...,P_q</math>. Последний блок при необходимости дополняется до длины <math>n</math><ref name="ruk">Зенин О. «[http://citforum.ru/security/cryptography/rejim_shifrov/ Режимы шифрования] {{Wayback|url=http://citforum.ru/security/cryptography/rejim_shifrov/ |date=20110820235341 }}».</ref><ref name="three">{{Cite web |url=http://www.enlight.ru/ib/tech/crypto/part8.htm |title=Андрей Винокуров «Режимы шифрования» |access-date=2008-02-16 |archive-date=2008-02-19 |archive-url=https://web.archive.org/web/20080219023210/http://www.enlight.ru/ib/tech/crypto/part8.htm |deadlink=no }}</ref>.
# Каждый блок <math>P_i</math> шифруется алгоритмом шифрования <math>E_k</math> с использованием ключа ''k'':
: <math>C_i = E_k \left( P_i, k \right),</math>
: где:
:* ''i'' — номер блока;
:* ''k'' — [[Ключ (криптография)|ключ]];
:* <math>P_i</math> — блок сообщения ([[открытый текст]]);
:* <math>C_i</math> — зашифрованный блок ([[шифротекст]]);
:* <math>E_k</math> — функция, выполняющая [[блочное шифрование]].
: В результате получаются зашифрованные блоки <math>C_1,C_2,...,C_q</math>.

''Расшифровка:''

выполняется функцией <math>D_k</math> с использованием того же ключа ''k'':
: <math>P_i = D_k \left( C_i, k \right).</math>

Особенности:
* каждый блок шифруется/расшифровывается независимо от других блоков.

Недостатки ECB:
* сохранение статистических особенностей [[открытый текст|открытого текста]] (поскольку одинаковым блокам [[шифротекст]]а соответствуют одинаковые блоки [[открытый текст|открытого текста]]). Пример.

{| border="0" cellspacing="0" cellpadding="4" align="center"
|- align="center" |
| [[Файл:Tux.jpg]]
| [[Файл:Tux ecb.jpg]]
| [[Файл:Tux secure.jpg]]
|- align="center" |
| [[Открытый текст]] в виде изображения
| [[Шифротекст|Криптограмма]], полученная шифрованием в режиме ECB. На изображении видны черты [[открытый текст|исходного]] изображения
| [[Шифротекст|Криптограмма]], полученная шифрованием в режиме, отличном от ECB. Изображение представляет собой псевдослучайную последовательность пикселей
|-
|}

Достоинства ECB:
* постоянная скорость обработки блоков (скорость определяется эффективностью реализации шифра);
* возможно [[Распараллеливание программ|распараллеливание]] вычислений (так как блоки не связаны между собой).
Этот режим называется режимом электронной кодовой книги, так как существует возможность создать книгу, в которой каждому блоку открытого текста будет сопоставлен блок зашифрованного текста. Однако создать книгу — нетривиальная задача. Если размер блока равен x бит, то в книге будет содержаться 2<sup>x</sup> записей, и каждая книга будет соответствовать одному ключу.

=== Cipher Block Chaining (CBC) ===
{{main|Режим сцепления блоков шифротекста}}

Для шифрования некоторого сообщения <math>P</math> выполняются следующие действия<ref name="five">[https://www.google.com/search?q=Шнайер+Введение+в+криптографию Брюс Шнайер «Прикладная криптография»]</ref>.

[[Файл:CBC Encryption ru.svg|thumb|600px|center|Шифрование в режиме CBC (режиме сцепления блоков шифротекста)]]

* [[Открытый текст|Сообщение]] разбивается на блоки одинакового размера. Размер (длина) блока равен ''n'' и измеряется в [[бит]]ах. При необходимости последний блок дополняется до длины <math>n</math><ref name="ruk" />.
* Шифрование очередного (''i''-го) блока [[Открытый текст|сообщения]] (<math>P_i</math>) выполняется с использованием предыдущего [[Шифротекст|зашифрованного]] (''(i-1)''-го) блока (<math>C_{i-1}</math>). Для первого блока (<math>P_1</math>) зашифрованного блока (<math>C_0</math>) не существует, поэтому первый блок шифруют с использованием «вектора инициализации» ({{lang-en|initialization vector}}, {{lang-en2|IV}}):
: <math>C_0 = IV</math> (вектор инициализации — случайное число)
: Размер (длина) IV равна размеру блока (''n'').
* В функцию шифрования <math>E_k</math> передаётся [[сложение по модулю 2|сумма по модулю 2 («⊕», «xor»)]] текущего блока сообщения <math>P_i</math> и предыдущего зашифрованного блока <math>C_{i-1}</math>:
: <math>C_i = E_k \left( P_{i} \oplus C_{i-1}, k \right),</math>
: где:
:* ''i'' — номер блока;
:* ''k'' — [[Ключ (криптография)|ключ]];
:* ''IV'' — вектор инициализации ([[синхропосылка]]);
:* <math>P_i</math> — блок сообщения ([[открытый текст]]);
:* <math>C_{i-1}</math> — зашифрованный блок ([[шифротекст]]), полученный на предыдущем шаге шифрования;
:* <math>E_k</math> — функция, выполняющая [[блочное шифрование]].

Расшифровка выполняется функцией <math>D_k</math> с использованием тех же ключа ''k'' и вектора инициализации ''IV'':
: <math>C_0 = IV </math>
: <math>P_i = C_{i-1} \oplus D_k \left( C_{i}, k \right)</math>

Недостатки CBC:
* возможность определения начала изменения данных по изменению [[шифротекст]]а (если сравнить шифротексты двух сообщений с одним и тем же ключом, то номер первого блока, в котором шифротексты различаются, будет соответствовать номеру первого блока, в котором различаются исходные сообщения);
* возможность изменения [[открытый текст|открытого текста]] при перемещении{{куда}} блоков{{каких}}; (Предыдущий автор, наверное, хотел сказать, о смене порядка блоков шифра. Это скорее недостаток ECB, и да, возможно изменить открытый текст при ECB, просто меняя блоки шифра местами).
* возможность изменения блока [[шифротекст]]а <math>C_{i-1}</math> путём изменения блока [[открытый текст|сообщения]] <math>P_i</math>;
* невозможность [[Распараллеливание программ|распараллеливания]] шифрования (поскольку для шифрования каждого ''i''-го блока требуется блок, зашифрованный на предыдущем шаге (блоки связаны между собой))<ref name="six" />.

Достоинства CBC:
* постоянная скорость обработки блоков (скорость определяется эффективностью реализации шифра; время выполнения операции «[[Сложение по модулю 2|xor]]» пренебрежимо мало);
* отсутствие статистических особенностей, характерных для режима ECB (поскольку каждый блок [[Открытый текст|открытого текста]] «смешивается» с блоком [[шифротекст]]а, полученным на предыдущем шаге шифрования);
* возможность [[Распараллеливание программ|распараллеливания]] расшифровки<ref name="six" />.

=== Propagating Cipher Block Chaining (РСВС) ===
Недостатки режима CBC привели к созданию усовершенствованного режима '''распространяющегося сцепления блоков шифра''' (Propagating Cipher Block Chaining, РСВС)<ref name="five" />. Естественно, этот режим похож на CBC за исключением того, что предыдущий блок открытого текста и предыдущий блок шифротекста подвергается операции XOR с текущим блоком открытого текста перед шифрованием или после него.<ref name="six" />
<br><math>c_i = E_k \left( m_{i} \oplus m_{i-1} \oplus c_{i-1} \right)</math>
<br>Соответственно расшифрование: <math>m_i = D_k(c_{i}) \oplus c_{i-1} \oplus m_{i-1}</math>
<br>где <math>m_{0} \oplus c_{0}</math> — вектор инициализации
<br>Режим шифрования РСВС применяется в протоколе [[Kerberos]] 4 версии и позволяет обнаруживать ошибки. Данный режим шифрования не является федеральным или международным стандартом. Режим РСВС — вариант режима СВС, обладающий специфическим свойством — ошибка шифротекста приводит к неправильному дешифрированию всех последующих блоков. Это соответственно означает, что проверка стандартного блока в конце сообщения обеспечивает целостность всего сообщения.
[[Файл:PCBC Encryption ru.svg|thumb|600px|center|Шифрование в режиме PCBC]]
<br>Конечно, этот режим не лишён недостатков, так [[перестановка]] двух блоков шифротекста приводит к неправильной расшифровке двух соответствующих блоков открытого текста, но из-за XOR над открытым текстом и шифротекстом дальнейшие ошибки компенсируются. Поэтому, если при проверке целостности проверяются только несколько последних блоков расшифрованного текста, можно получить частично испорченное сообщение. Хотя никто ещё не воспользовался этой уязвимостью в Kerberos, но в 5 версии уже перешли на режим CBC.

=== Cipher Feedback (CFB) ===
{{main|Режим обратной связи по шифротексту}}

'''Режим обратной связи по шифротексту''', '''режим [[гаммирование|гаммирования]] с обратной связью''' ({{lang-en|cipher feed back mode}}, {{lang-en2|CFB}})<ref name="five" />. Во время шифрования каждый блок [[открытый текст|открытого текста]] [[Сложение по модулю 2|складывается по модулю 2]] с блоком, зашифрованным на предыдущем шаге.

: <math>C_0 = IV</math>
: <math>C_i = E_k \left( C_{i-1}, k \right) \oplus P_i</math>
: <math>P_i = E_k \left( C_{i-1}, k \right) \oplus C_i</math>

[[Файл:CFB Encryption ru.svg|thumb|600px|center|Шифрование в режиме обратной связи по шифротексту]]

Криптостойкость CFB определяется криптостойкостью используемого шифра. Блоки [[открытый текст|открытого текста]] «смешиваются» («маскируются») с блоками [[шифротекст]]а. Если в режиме CFB с полноблочной обратной связью имеется два идентичных блока шифротекста, результат, например, шифрования алгоритмом [[DES]] на следующем шаге будет тем же. Скорость шифрования режима CFB с полноблочной обратной связью та же, что и у блочного шифра, причём возможности [[Распараллеливание программ|распараллеливания]] процедуры шифрования ограничены<ref name="six" />.

=== Output Feedback (OFB) ===
{{main|Режим обратной связи по выходу}}

Режим (OFB)<ref name="five" /> обратной связи вывода превращает блочный шифр в синхронный шифр потока: он генерирует ключевые блоки, которые являются результатом сложения с блоками открытого текста, чтобы получить зашифрованный текст. Так же, как с другими шифрами потока, зеркальное отражение в зашифрованном тексте производит зеркально отражённый бит в открытом тексте в том же самом местоположении. Это свойство позволяет многим кодам с исправлением ошибок функционировать как обычно, даже когда исправление ошибок применено перед кодированием.

Из-за симметрии операции сложения, шифрование и расшифрование похожи:

<math>C_i=P_i\oplus O_i</math>

<math>P_i=C_i\oplus O_i</math>

<math>O_i=E_k(O_{i-1})</math>

<math>O_0=IV</math>

[[Файл:OFB Encryption ru.svg|thumb|710px|center|Шифрование в режиме OFB]]
[[Файл:OFB Decryption ru.svg|thumb|710px|center|Расшифрование в режиме OFB]]

Каждая операция блочного шифра обратной связи вывода зависит от всех предыдущих и поэтому
не может быть выполнена параллельно. Однако, из-за того, что открытый текст или
зашифрованный текст используются только для конечного сложения, операции блочного
шифра могут быть выполнены заранее, позволяя выполнить заключительное шифрование
параллельно с открытым текстом.
<br>Обратная связь по выходу на k разрядов не рекомендуется из соображений [[Криптографическая стойкость|криптостойкости]]. Режим OFB имеет следующее преимущество по сравнению с режимом CFB: ошибки, возникающие в результате передачи по каналу с шумом, при дешифровании не «размазываются» по всему шифротексту, а локализуются в пределах одного блока. Однако открытый текст может быть изменён путём определённых манипуляций с блоками шифротекста. Несмотря на то, что OFB-шифрование не поддаётся распараллеливанию, эффективность процедуры может быть повышена за счёт предварительной генерации независимой последовательности блоков.<ref name="six" />

Данный метод называется также «[[режим обратной связи по выходу]]».

OFB также предполагает некое усовершенствование, касающееся метода генерации независимой последовательности блоков: для получения очередного блока предлагается шифровать не с <math>O_i</math>, а c <math>O_i + IV(mod 2^{64})</math>, где <math>IV</math> некоторый вектор инициализации.

=== Counter mode (CTR) ===
'''Режим счётчика (counter mode, CTR)'''<ref name="five" /> предполагает возврат на вход соответствующего алгоритма блочного шифрования значения некоторого счётчика, накопленного с момента старта. Режим делает из блочного шифра потоковый, то есть генерирует последовательность, к которой применяется операция XOR с текстом сообщения. Исходный текст и блок зашифрованного текста имеют один и тот же размер блока, как и основной шифр (например, [[DES]] или [[Advanced Encryption Standard|AES]]).<ref name="eit">[http://www.intuit.ru/department/security/mathcryptet/11/3.html Б. А. Фороузан «Математика криптографии и теория шифрования»]</ref> Режим CTR предусматривает следующие операции.

;Шифрование в режиме CTR

<math>C_i=P_i \oplus E_k (Ctr_i); i=1,2,\ldots,m </math>

;Расшифровка в режиме CTR

<math>P_i=C_i \oplus E_k (Ctr_i) ;  i=1,2,\ldots,m </math>

<math>Ctr_i</math> — значение счётчика для i-го блока.

Очевидно, что значения счётчика должны быть уникальными для каждого блока открытого текста, кодируемого данным шифром при данном ключе (в противном случае блоки шифротекста, зашифрованные с помощью идентичных значений счётчика, оказываются под угрозой). Это требование удовлетворяется в два этапа.

Во-первых, значения счётчика для шифрования блоков в пределах одного сообщения получаются из начального значения счётчика использованием функции приращения. Чтобы обеспечивать случайность, величина приращения может зависеть от номера блока. Стандартная функция приращения может быть применена как ко всему блоку счётчика, так и к его части. Пусть значение счётчика представляет блок из b битов, а функцию приращения мы применяем к m младшим разрядам.

<math>L_{i+1}= L_i + 1 \mod  2^m </math>

<math>Ctr_{i+1}= M_i|L_{i+1} </math>

<math>|</math> — [[Конкатенация|функция конкатенации]]; <math>L_i</math> — младшие <math>m</math> битов; <math> M_i</math> — старшие <math>b-m</math> битов. Уникальность значений счётчика обеспечивается для всех блоков сообщения при условии, что <math>n \le  2^m </math>. Где <math>n</math> — количество блоков, на которое разбивается сообщение.

Во-вторых, начальные значения счётчика для каждого сообщения выбираются таким образом, чтобы обеспечить уникальность всех используемых значений счётчика. Этого можно достичь разными способами. Например, если сообщения шифруются последовательно, то в качестве начального значения счётчика для данного сообщения можно использовать результат применения функции приращения к последнему значению счётчика предыдущего сообщения. При этом если функция приращения использует m битов, общее количество блоков открытого текста не должно превышать <math>2^m</math>. Другой подход предлагает разбить двоичное представление счётчика на две части. Старшие разряды назначаются одноразовым номером сообщения, а к оставшимся будет применяться функция приращения<ref name="NIST Special Publication 800-38A">{{Cite web |url=http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf |title=NIST: Recommendation for Block Cipher Modes of Operation |access-date=2013-12-25 |archive-date=2017-07-22 |archive-url=https://web.archive.org/web/20170722092206/http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf |deadlink=no }}</ref>.

При отсутствии обратной связи алгоритмы шифрования и расшифровки в режиме CTR могут выполняться параллельно. Более того, большие объёмы вычислений, связанные с шифрованием значений счётчика, могут быть выполнены заранее, до того, как открытый текст или шифротекст окажутся доступными. Это обеспечивает режиму CTR преимущество перед режимами CFB и OFB.

=== Random Delta (RD) ===
Режим Random Delta используется для устранения предсказуемости изменения счётчика в режиме CTR. К примеру, это AES, и размер блока 16 байт. Берётся случайный Initialization Vector (например, с помощью [[RdRand]]). Его младшие 8 байт считаются случайной дельтой — Random Delta (RD):

[[Файл:Block Cypher Mode "Random Delta" - Initialization Vector.png|thumb|500px|center|Initialization Vector для Random Delta]]

Initial (Initialization Vector) шифруется и передаётся в начале сообщения. Блок 0 перед шифрованием XOR-ится с Initial. Для каждого последующего блока величина Initial увеличивается на Delta (в беззнаковом целочисленном представлении — uint128 += uint64):

[[Файл:Block Cypher Mode "Random Delta" - Scheme.png|thumb|900px|center|Режим сцепления «Random Delta»]]

Таким образом устраняется предсказуемость изменения счётчика в режиме CTR. Если там дельта — всегда единица, здесь дельта — случайное число, одно из 2^64. Злоумышленнику оно, как и Initial, неизвестно.

Также, CTR настораживает непосредственным соседством открытого текста с шифротекстом через XOR. В Random Delta между открытым текстом и шифротекстом лежит AES.

Открытость передачи Initial также вызывает вопросы. Чем меньше атакующий видит — тем лучше. Чем более открытый текст отдалён от шифротекста — тем лучше. Все известные режимы — ECB, CBC, OFB, CTR — обладают какими-то из этих недостатков. В Random Delta всё лежит за AES'ом, а Initial и Delta — [[Случайная величина|случайные величины]], которые злоумышленнику неизвестны.

Впрочем, один из недостатков CTR в RD присутствует. Знание формата передаваемых данных позволяет вбрасывать в определённые места этих данных случайные искажения, что может быть использовано для атаки. Для проверки целостности в блочную последовательность может быть добавлен хэш:

[[Файл:Block Cypher Mode "Random Delta" + Hash.png|thumb|900px|center|Random Delta + Hash]]

Похоже, что Random Delta + Hash указанных недостатков лишён. Передано в общественное достояние.

Важный момент: между закрытым текстом и открытым должно лежать множество пермутаций AES'а, иное ослабляет глубину шифрования. Закрытый текст как функция от открытого посредством '''одной лишь''' XOR сводит на нет глубину шифрования, которую даёт AES (а именно такой способ используют режимы OFB, CFB, CTR).

Криптостойкость Random Delta не намного ниже криптостойкости самого AES'а.

Если требуется более высокая степень случайности дельты (например, 128-битная), она может генерироваться отдельно и передаваться в начале сообщения вместе с Initial.

Как и CTR, Random Delta позволяет осуществлять шифрование/дешифрование блоков параллельно, с б'''о'''льшей производительностью, не дожидаясь шифрования/дешифрования предыдущего блока (что является необходимостью в CBC, PCBC, CFB, OFB).

Режим "Random Delta 128" отличается использованием отдельных 128-битных Initial и Delta. Даёт б'''О'''льшую случайность тени.

[[Файл:Random.Delta.128.png|thumb|900px|center|Режим сцепления «Random Delta 128»]]

=== Galois/Counter Mode (GCM) и AEAD ===
[[GCM|Galois/Counter Mode]] (счётчик с аутентификацией [[Галуа, Эварист|Галуа]]) — более безопасная модификация CTR, предоставляющее аутентифицированное шифрование с присоединёнными данными ([[AEAD-режим блочного шифрования]]).
== Initialization vector (IV) ==
В криптографии {{iw|вектор инициализации||en|Initialization vector}} (<math>IV</math>) представляет собой некоторое число, как правило, оно должно быть случайным или [[Генератор псевдослучайных чисел|псевдослучайным]]. Случайность имеет решающее значение для достижения семантической безопасности, которая при повторном использовании схемы под тем же ключом не позволит злоумышленнику вывести отношения между сегментами зашифрованных сообщений. Для блочных шифров использование <math>IV</math> описывается режимами работы. Рандомизация требуется также для других примитивов, таких как универсальные хеш-функции и коды [[Аутентификация|аутентификации]] сообщений на их основе.

В таких режимах шифрования, как CBC, CFB и OFB на вход подаётся вектор инициализации (<math>IV</math>). Причём как отправитель, так и получатель в начале сеанса связи должны иметь один и тот же <math>IV</math>. Значение <math>IV</math> вовсе не обязано быть секретным и вполне может быть передано вместе с первым блоком шифротекста. Что действительно важно, так это то, что в режимах CBC и CFB это значение должно быть непредсказуемым, а в режиме OFB — уникальным<ref name=ruk />.

Непредсказуемости в режимах CBC и CFB можно достичь несколькими способами. Например, можно подвергнуть преобразованию той же функцией значение какого-либо счётчика (скажем, счётчика сообщений). Или использовать ГПК для генерации псевдослучайной последовательности нужной длины.

В режиме OFB вектор инициализации не обязан быть непредсказуемым, зато он должен быть уникален для всех сеансов связи, в которых в OFB используется один и тот же секретный ключ шифрования <math>K</math>. Этого можно достичь, опять же используя счётчик сообщений. Если же не следовать этому требованию, то секретность сообщения в режиме OFB может быть легко скомпрометирована. Одним из следствий этого требования является то, что очередной вектор инициализации для режима OFB нельзя генерировать путём применения функции с тем же ключом <math>K</math>.

== Padding (набивка) ==
Режимы ECB, CBC и PCBC работают с сообщениями открытого текста, длина которых должна быть кратна длине одного блока. Если это свойство не выполняется, то к сообщению необходимо добавить необходимое количество битов, называемых [[Дополнение (криптография)|дополнением]] ({{lang-en|padding}}). Например, «padding method 2» ISO/IEC 9797-1 предлагает добавлять в конец сообщения единичный бит, а оставшиеся заполнять нулями<ref name="iso-iec 9797-1">{{citation|title=ISO/IEC 9797-1: Information technology – Security techniques – Message Authentication Codes (MACs) – Part 1: Mechanisms using a block cipher|publisher=ISO/IEC|year=2011|url=http://www.iso.org/iso/iso_catalogue/catalogue_ics/catalogue_detail_ics.htm?csnumber=50375|access-date=2013-12-26|archive-date=2013-12-27|archive-url=https://web.archive.org/web/20131227071100/http://www.iso.org/iso/iso_catalogue/catalogue_ics/catalogue_detail_ics.htm?csnumber=50375|url-status=dead}}</ref>.

При данном методе получатель шифротекста должен точно знать, что в сообщении содержится дополнение. Это можно обеспечить, прикрепляя дополнение к каждому сообщению, даже если оно не требуется (в этом случае его посылают отдельным блоком). Это не единственное решение — можно, к примеру, посылать с каждым сообщением информацию о его длине<ref name="NIST Special Publication 800-38A"/>.

== Распространение ошибок ==
Для любого режима бит ошибки в блоке шифротекста приводит к тому, что результат его расшифрования оказывается испорченным. В режимах CFB, OFB и CTR испорченный бит будет иметь ту же позицию в расшифрованном блоке, что и бит ошибки в блоке шифротекста, на остальные биты блока ошибка не распространится. В режимах ECB и CBC же испорченным может оказаться любой бит блока, с вероятностью около 50 % (зависит от прочности самого шифра). При этом в режимах ECB, OFB и CTR испорченным оказывается исключительно блок, получающийся в результате расшифровки испорченного блока. В режиме CBC ошибочному расшифрованию подвержен также и следующий блок, при этом испорченные биты будут соответствовать битам ошибки в шифротексте предыдущего блока. В режиме CFB бит ошибки в сегменте шифротексте влияет на следующие b/s (округляя до целого, b — длина блока, s — длина сегмента) сегментов, а ошибочным может оказаться любой из битов расшифрованного текста<ref name="NIST Special Publication 800-38A" />.

Наличие битов ошибок в векторе инициализации также наносит ущерб процессу расшифровки. В режиме OFB бит ошибки в IV поражает каждый блок шифротекста в соответствующем сообщении. В режиме CFB при ошибках в векторе инициализации испорченным окажется, по крайней мере, первый сегмент шифротекста. Будут ли испорчены остальные сегменты зависит от положения самого правого бита в IV (в худшем случае пострадают b/s сегментов шифротекста). При использовании режимов OFB и CFB в результате появления бита ошибки в IV испорченным может оказаться любой бит повреждённого шифротекста. В режиме CBC испорчены будут исключительно биты первого блока шифротекста, стоящие на позициях, соответствующих битам ошибки в векторе инициализации.

Для режима CTR бит ошибки в значении счётчика приводит к тому, что любой бит в расшифровке соответствующего шифротекста может оказаться испорченным с вероятностью около 50 %.

Помимо возникновения бита ошибки в блоке шифротекста может произойти стирание или вставка бита. Это приводит к нарушению границ всех последующих блоков шифротекста, а результаты расшифровки будут абсолютно неверными, пока синхронизация границ не восстановится. При использовании режима 1-битного CFB синхронизация восстанавливается автоматически спустя b+1 позиций после появившегося или исчезнувшего бита. В остальных режимах автоматического восстановления синхронизации не происходит<ref name="NIST Special Publication 800-38A"/>.

== Выбор режима шифрования ==
Выбор режима шифрования зависит от поставленной вами цели.

Для обычного открытого текста можно использовать CBC, CFB или OFB. Для шифрования файлов лучше пользоваться CBC: значительно увеличивается безопасность, при появлении ошибок в хранимых данных почти никогда не бывает сбоев синхронизации. Конкретный режим зависит от ваших требований. В целом выбор метода шифрования - это поиск компромисса между эффективностью и производительностью<ref name="Seven">{{Cite web |url=http://www.etegro.ru/articles/disk-encryption#toc3 |title=Полнодисковое шифрование |accessdate=2012-12-11 |archiveurl=https://web.archive.org/web/20121013232701/http://www.etegro.ru/articles/disk-encryption#toc3#toc3 |archivedate=2012-10-13 |deadlink=yes }}</ref>.

== Примечания ==
{{примечания}}

== См. также ==
* [[AEAD-режим блочного шифрования]]
* [[Атака на блочный шифр]]

== Литература ==
* Брюс Шнайер ''«Прикладная криптография»''.
* Ященко В. В. ''«Введение в криптографию»''.
* Чмора А. П. ''«Современная прикладная криптография»''.

{{переработать|дата=2006-12-25}}
{{rq|wikify|isbn}}

[[Категория:Режимы шифрования|*]]