Просмотр кода страницы Ascon

{{Карточка блочного шифра
| название = Ascon
| создатель = Кристоф Добрауниг, 
Мария Айхелзидер,
Флориан Мендел,
Мартин Шлаффер
| создан = 2016
| опубликован = 2016
| стандарты = 
| тип = Блочный шифр
}}

'''Ascon''' — семейство блочных шифров, используемых для [[AEAD-режим блочного шифрования|аутентифицированного шифрования с присоединёнными данными]] и хеширования. Набор шифров был разработан Кристофом Добраунигом, Марией Айхелзидер, Флорианом Менделем и Мартином Шлаффером. Шифры '''Ascon-128''' и '''Ascon-128a''' стали победителями соревнования CAESAR в категории применения в приложениях с ограниченными ресурсами{{Sfn|Ascon v1.2. Submission to NIST|2019|p=4}}. 

== Историческая справка ==
Семейство шифров Ascon, используемое для [[AEAD-режим блочного шифрования|аутентифицированного шифрования с присоединёнными данными]] и хеширования, было разработано Кристофом Добраунигом, Марией Айхелзидер, Флорианом Менделем и Мартином Шлаффером{{Sfn|Cryptanalysis of Ascon|2015|p=1}}.

Шифры '''Ascon-128''' и '''Ascon-128a''' были участниками соревнования [https://competitions.cr.yp.to/caesar-submissions.html CAESAR] (2014 - 2019) и стали победителями в категории применения в приложениях с ограниченными ресурсами{{Sfn|Ascon v1.2. Submission to NIST|2019|p=4}}.

В августе 2019 года шифры семейства Ascon прошли во второй раунд процесса стандартизации [[Национальный институт стандартов и технологий|Национального института стандартов и технологий]] в категории легковесной криптографии (англ. Lightweight Cryptography).<ref>{{Cite web|url=https://www.nist.gov/news-events/news/2019/08/lightweight-cryptography-lwc-standardization-round-2-candidates-announced|title=Lightweight Cryptography (LWC) Standardization: Round 2 Candidates Announced|author=|website=|date=2019-08-30|publisher=NIST|lang=en|accessdate=2019-12-24|archive-date=2019-12-24|archive-url=https://web.archive.org/web/20191224180938/https://www.nist.gov/news-events/news/2019/08/lightweight-cryptography-lwc-standardization-round-2-candidates-announced|deadlink=no}}</ref>

== Алгоритмы в семействе Ascon ==

=== Аутентифицированное шифрование ===
Параметры в алгоритмах семейства Ascon, используемых для аутентифицированного шифрования{{Sfn|Ascon v1.2. Submission to NIST|2019|p=5}}:

* Размер ключа <math>k</math> (<math>k</math> ≤ 160 бит)
* Размер блока данных <math>r</math>
* Число '''<math>a</math>''', количество раундов перестановок на начальной и завершающей стадиях
* Число <math>b</math>, количество раундов перестановок на промежуточных стадиях

Рекомендованы к использованию следующие конфигурации, соответствующие шифрам '''Ascon-128''' и '''Ascon-128a''' {{Sfn|Ascon v1.2. Submission to NIST|2019|p=6}}.
{| class="wikitable"
|+Рекомендуемые алгоритмы
! rowspan="2" |Название
! colspan="4" |Значения параметров
|-
|'''k'''
|'''r'''
|'''a'''
|'''b'''
|-
|Ascon-128
|128 бит
|64 бита
|12
|6
|-
|Ascon-128a
|128 бит
|128 бит
|12
|8
|}

== Описание алгоритмов: аутентифицированное шифрование ==
Каждая непосредственная реализация алгоритма, заданная параметрами <math>k</math>, <math>r</math>, '''<math>a</math>''', <math>b</math> определяет алгоритмы шифрования '''''E''(<small>''a, b, k, r)''</small>''' и дешифрования-верификации '''<small>''D(a, b, k, r).''</small>'''

=== Входные и выходные данные ===

==== Алгоритм шифрования '''''E''(<small>''a, b, k, r)''</small>''' ====
'''Входными данными''' для алгоритма шифрования являются{{Sfn|Ascon v1.2. Submission to the CAESAR Competition|2016|p=2}}:

* исходный текст P
* присоединённые данные A
* секретный ключ K размером k бит
* публичный номер сообщения N

'''Выходные данные''' для алгоритма шифрования{{Sfn|Ascon v1.2. Submission to the CAESAR Competition|2016|p=2}}:

* Аутентифицированный шифротекст C (такой же длины, как и P)
* Тег аутентификации T

<math>E_{(a,b,k,r)}\left(K, N, A, P \right) = \left(C, T\right) </math>

==== Алгоритм дешифрования-верификации '''''D''(<small>''a, b, k, r)''</small>''' ====
'''Входными данными''' для алгоритма дешифрования-верификации являются{{Sfn|Ascon v1.2. Submission to the CAESAR Competition|2016|p=2}}:

* ключ K
* одноразовый код N ([[Nonce]])
* шифротекст C
* тег T

'''Выходными данными''' являются исходный текст P, если проверка тега была успешной, или <math>\perp </math> (индикатор неуспешности верификации) в случае неуспеха{{Sfn|Ascon v1.2. Submission to the CAESAR Competition|2016|p=2}}.

<math>D_{(a,b,k,r)}\left(K, N, A, C, T \right) \in \{P, \perp\}  </math>

=== Стадии алгоритма ===
В алгоритмы шифрования и дешифрования входят следующие стадии{{Sfn|Ascon v1.2. Submission to the CAESAR Competition|2016|pp=2 – 6}}:

* Инициализация
* Обработка присоединённых данных
* Обработка исходного текста / шифротекста
* Завершающая стадия

=== Стадия инициализации ===
Внутреннее состояние в алгоритмах семейства Ascon задаётся 320-битным числом S{{Sfn|Cryptanalysis of Ascon|2015|p=2}}. На стадии инициализации оно формируется из секретного ключа K из k бит, одноразового кода N из 128 бит, и числа IV, характеризующего алгоритм и формируемого из параметров <math>k</math>, <math>r</math>, '''<math>a</math>''', <math>b</math>, записанных 8-битными целыми числами{{Sfn|Ascon v1.2. Submission to NIST|2019|p=8|pp=}}:

<math>\begin{array}{lcr}
{IV}_{\, k, \,r, \,a, \,b} = k \, || \, r \, || \, a \, || \, b \, || \, 0^{160 - k} = \begin{cases} 80400c0600000000 \quad \text{(Ascon-128)} \\ 80800c0800000000 \quad \text{(Ascon-128a)}\end{cases} \\
S = {IV}_{\, k, \,r, \,a, \,b} \, || \, K \, || \, N
\end{array}</math>

*

Затем к начальному состоянию S применяется '''<math>a</math>''' раундов перестановок с последующим XOR со значением секретного ключа K{{Sfn|Ascon v1.2. Submission to NIST|2019|p=8}}:

<math>S \longleftarrow p^a(S) \oplus \left(0^{320 - k} \, || \, K \right)</math>

=== Стадия обработки присоединённых данных ===
При шифровании и дешифровании Ascon обрабатывает присоединённые данные A блоками по <math>r</math> бит. К присоединённым данным A приписывается единица и минимальное число нулей, необходимое для получения числа с размером кратным <math>r</math> бит. Далее получившееся число делится на <math>s</math> блоков по <math>r</math> бит в каждом. В случае, когда присоединённые данные отсутствуют, данные операции опускаются{{Sfn|Ascon v1.2. Submission to NIST|2019|p=9}}.

<math>A_1, \, A_2, \, \dots, \, A_s \longleftarrow \begin{cases} \text{r - битные блоки} \, A \, || \, 1 \, || \, 0^{r - 1 - \left(|A| \mod r\right)} \quad |A| > 0 \\ \varnothing \quad |A| = 0 \end{cases} </math>

Далее к каждому блоку <math>A_i, \, 1 \le i \le s </math>  применяется операция XOR c первыми <math>r</math> битами состояния S. Затем выполняется <math>b</math> раундов перестановок над числом S{{Sfn|Ascon v1.2. Submission to NIST|2019|p=9}}:

<math>S \longleftarrow p^b\left(\left(S_r \oplus A_i \right)\, || \, S_{320 - r} \right) \quad 1 \le i \le s  </math>

В конце производится операция XOR c однобитной константой разделения{{Sfn|Ascon v1.2. Submission to NIST|2019|p=9}}:

<math>S \longleftarrow S \oplus \left(0^{319} \, || \, 1 \right) </math>

=== Стадия обработки исходного текста / шифротекста ===
Ascon обрабатывает исходный текст P блоками по <math>r</math> бит. К исходному тексту P приписывается единица и минимальное число нулей, необходимое для получения числа с размером кратным <math>r</math> бит. Далее получившееся число делится на <math>t</math> блоков по <math>r</math> бит в каждом{{Sfn|Ascon v1.2. Submission to NIST|2019|p=10}}:

<math>P_1, \, P_2, \, \dots, \, P_t \longleftarrow \text{r - битные блоки} \, P \, || \, 1 \, || \, 0^{\left(|P| \mod r \right)}</math>

==== Шифрование ====
Из каждого блока <math>P_i, \, 1 \le i \le t </math>, используя XOR c первыми <math>r</math> битами состояния S, получается блок шифротекста <math>C_i </math>. При этом при выделении каждого из блоков <math>C_i </math> кроме последнего над состоянием S производится <math>b</math> раундов перестановок{{Sfn|Ascon v1.2. Submission to NIST|2019|p=10}}:

<math>\begin{array}{lcl} 
C_i &\longleftarrow& S_r \oplus P_i \\
S &\longleftarrow& \begin{cases} p^b \, \left(C_i \, || \, S_{320 - r} \right) &\,& 1 \le i < t \\ C_i \, || \, S_{320 - r} &\,&  i = t\end{cases}
\end{array} </math>

При выделении последнего блока  <math>C_t </math> его размер преобразуется так, чтобы размер полученнего шифротекста совпадал с размером исходного текста{{Sfn|Ascon v1.2. Submission to NIST|2019|p=9}}:

<math>\tilde{C_t} \longleftarrow {\left \lfloor C_t \right \rfloor}_{|P| \mod r} </math>

==== Дешифрование ====
Для каждого из блоков шифротекста <math>C_i </math> кроме последнего блок исходного текста <math>P_i </math> получается за счёт применения XOR к первым <math>r</math> битам состояния S. При этом эти <math>r</math> бит замещаются соответствующим <math>C_i </math>. Кроме того, для всех блоков <math>C_i </math> кроме последнего при выделении <math>P_i </math> состояние S преобразуется за счёт <math>b</math> раундов перестановок{{Sfn|Ascon v1.2. Submission to NIST|2019|p=10}}:

<math>\begin{array}{lcr} 
P_i \longleftarrow S_r \oplus C_i \\
S \longleftarrow p^b \left(C_i \, || \, S_{320 - r} \right) \quad 1 \le i < t
\end{array} </math>

Преобразование для последнего преобразованного блока  <math>\tilde{C_t} </math>{{Sfn|Ascon v1.2. Submission to NIST|2019|p=10}}:

<math>\begin{array}{lcr}
\tilde{P_t} \longleftarrow {\left \lfloor S_r \right \rfloor}_l \oplus \tilde{C_t} \\
S \longleftarrow \left(S_r \oplus \left(\tilde{P_t} \, || \, 1 \, || \,  0^{r - 1 - l} \right) \right) \, || \, S_{320 - r}
\end{array} </math>

=== Завершающая стадия ===
В завершающей стадии применяется операция XOR к секретному ключу и состоянию S. Затем к состоянию S применяются '''<math>a</math>''' раундов перестановок. Тег T получается за счёт применения операции XOR к последним 128 битам состояния S (наименее значимым) и к последним 128 битам ключа K{{Sfn|Ascon v1.2. Submission to NIST|2019|p=10}}:

<math>\begin{array}{lcr}
S \longleftarrow p^a \left(S \oplus \left(0^r \, || \, K \, || \, 0^{320 - r - k}\right) \right)\\
T \longleftarrow {\left \lceil S \right \rceil}^{128} \oplus {\left \lceil K \right \rceil}^{128}
\end{array} </math>

Алгоритм шифрования возвращает тег T вместе с шифротекстом <math>C_1\, || \, C_2\, || \, \dots ||  \, \tilde{C_t} </math>.

Алгоритм дешифрования-верификации возвращает исходный текст <math>P_1\, || \, P_2\, || \, \dots ||  \, \tilde{P_t} </math> в случае, если сгенерированный тег совпадает с тегом, переданным как параметр.

== Перестановки в шифрах Ascon ==
Главные процессы в шифрах Ascon это перестановки <math>p^a </math> и <math>p^b </math>. Они осуществляются над внутренним состоянием S, которое делится на 5 слов по 64 бит каждое <math>x_0, \, x_1, \, x_2, \, x_3, \, x_4 </math>. В алгоритме перестановок последовательно применяется преобразование, которое основывается на [[SP-сеть|SP-сети]]. Данное преобразование составляют 3 основных стадии{{Sfn|Ascon v1.2. Submission to NIST|2019|p=13}}:

# Стадия прибавления констант
# Стадия замещения с 5-битным [[S-блок (информатика)|блоком замещения]] (англ. ''Substitution Box или S-box'')
# Стадия линейной диффузии с 64-битными диффузионными функциями

=== Стадия прибавления констант ===
На данной стадии к слову <math>x_2 </math> в раунде перестановки <math>i </math> добавляется константа <math>c_m </math>, где <math>m = i </math> для перестановок  <math>p^a </math> и <math>m = i + a - b </math> для перестановок <math>p^b </math>{{Sfn|Ascon v1.2. Submission to NIST|2019|p=13}}:

<math>x_2 \longleftarrow x_2 \oplus c_m </math>

Значения констант задаются следующей таблицей{{Sfn|Ascon v1.2. Submission to NIST|2019|p=13}}:
{| class="wikitable"
|+Константы <math>c_m </math> для раундов <math>i </math> в  <math>p^a </math> и <math>p^b </math>
!<math>p^{12} </math>
!<math>p^{8} </math>
!<math>p^{6} </math>
!Константа <math>c_m </math>
!<math>p^{12} </math>
!<math>p^{8} </math>
!<math>p^{6} </math>
!Константа <math>c_m </math>
|-
|0
|
|
|000000000000000000f0
|6
|2
|0
|00000000000000000096
|-
|1
|
|
|000000000000000000e1
|7
|3
|1
|00000000000000000087
|-
|2
|
|
|000000000000000000d2
|8
|4
|2
|00000000000000000078
|-
|3
|
|
|000000000000000000c3
|9
|5
|3
|00000000000000000069
|-
|4
|0
|
|000000000000000000b4
|10
|6
|4
|0000000000000000005a
|-
|5
|1
|
|000000000000000000a5
|11
|7
|5
|0000000000000000004b
|}

=== Стадия замещения ===
На стадии замещения параллельно применяется 5-битный [[S-блок (информатика)|блок замещения]] (S-блок) <math>S(x) </math> к каждому соответствующему битовому массиву из слов <math>x_0, \, x_1, \, x_2, \, x_3, \, x_4 </math>. Представленный в виде [[Таблица поиска|таблицы поиска]] S-блок для семейства шифров Ascon{{Sfn|Ascon v1.2. Submission to NIST|2019|p=14}}:
{| class="wikitable"
|+5-битный блок замещения в виде таблицы поиска
!x
!0
!1
!2
!3
!4
!5
!6
!7
!8
!9
!a
!b
!c
!d
!e
!f
!10
!11
!12
!13
!14
!15
!16
!17
!18
!19
!1a
!1b
!1c
!1d
!1e
!1f
|-
|S(x)
|4
|b
|1f
|14
|1a
|15
|9
|2
|1b
|5
|8
|12
|1d
|3
|6
|1c
|1e
|13
|7
|e
|0
|d
|11
|18
|10
|c
|1
|19
|16
|a
|f
|17
|}

=== Стадия линейной диффузии ===
На стадии линейной диффузии делается преобразование диффузии в каждом 64-битном слове <math>x_0, \, x_1, \, x_2, \, x_3, \, x_4 </math> за счёт применения линейных функций к каждому слову <math>x_i </math>{{Sfn|Ascon v1.2. Submission to NIST|2019|p=14}}:

<math>x_i \longleftarrow \sum_i\left(x_i\right) \quad 0 \le i \le 4 </math>

Для семейства Ascon линейные диффузионные функции реализованы как{{Sfn|Ascon v1.2. Submission to NIST|2019|p=14}}:

<math>\begin{array}{l}
x_0 &\longleftarrow \sum_0 \left(x_0\right) = x_0 \oplus \left(x_0 \ggg 19\right) \oplus \left(x_0 \ggg 28\right) \\
x_1 &\longleftarrow \sum_1 \left(x_1\right) = x_1 \oplus \left(x_1 \ggg 61\right) \oplus \left(x_1 \ggg 39\right) \\
x_2 &\longleftarrow \sum_2 \left(x_2\right) = x_2 \oplus \left(x_2 \ggg 1\right) \oplus \left(x_2 \ggg 6\right)   \\
x_3 &\longleftarrow \sum_3 \left(x_3\right) = x_3 \oplus \left(x_3 \ggg 10\right) \oplus \left(x_3 \ggg 17\right) \\
x_4 &\longleftarrow \sum_4 \left(x_4\right) = x_4 \oplus \left(x_4 \ggg 7\right) \oplus \left(x_4 \ggg 41\right)  \\
\end{array} </math>

== Преимущества шифров Ascon ==

=== Высокий уровень надёжности ===
Шифры '''Ascon-128''' и '''Ascon-128a''' стали победителями соревнования CAESAR в категории применения в приложениях с ограниченными ресурсами{{Sfn|Ascon v1.2. Submission to NIST|2019|p=4}}.  На данный момент с учётом продолжительного публичного исследования и криптоанализа предложенных шифров не было выявлено недостатков в надёжности шифров{{Sfn|Ascon v1.2. Submission to NIST|2019|p=17}}.

=== Простота реализации ===
Алгоритмы Ascon работают с 64-битными словами и используют лишь простые побитовые операции. Это существенно упрощает реализацию алгоритмов семейства на новых платформах{{Sfn|Ascon v1.2. Submission to NIST|2019|p=17}}.

=== Интерактивность и однопроходность ===
Алгоритмы семейства Ascon могут быть использованы в интерактивном режиме, т.е. в условиях, когда входные данные и их длина ещё не известны полностью. Кроме того, для работы алгоритмов шифрования и дешифрования достаточно лишь одного прохода по данным{{Sfn|Ascon v1.2. Submission to NIST|2019|p=17}}.

== Примечания ==
<references />

== Литература ==
{{refbegin}}
* {{Статья|ссылка=https://ascon.iaik.tugraz.at/files/asconv12-nist.pdf|ref=Ascon v1.2. Submission to NIST|автор=Christoph Dobraunig, Maria Eichlseder, Florian Mendel, Martin Schläffer|заглавие=Ascon v1.2. Submission to NIST|год=2019|язык=Английский|издание=NIST submissions|тип=|месяц=|число=|том=|номер=|страницы=48|issn=}}
* {{Статья|ссылка=https://ascon.iaik.tugraz.at/files/asconv12.pdf|ref=Ascon v1.2. Submission to the CAESAR Competition|автор=Christoph Dobraunig, Maria Eichlseder, Florian Mendel, Martin Schläffer|заглавие=Ascon v1.2. Submission to the CAESAR Competition|год=2016|язык=Английский|издание=CAESAR submissions|тип=|месяц=|число=|том=|номер=|страницы=27|issn=}}
* {{Статья|ссылка=https://eprint.iacr.org/2019/184.pdf|автор=William Diehl, Farnoud Farahmand, Abubakr Abdulgadir, Jens-Peter Kaps, Kris Gaj|заглавие=Face-off Between the CAESAR Lightweight Finalists: ACORN vs. Ascon|год=2018|язык=Английский|издание=2018 International Conference on Field-Programmable Technology (FPT)|издательство=IEEE, 2018-12|тип=|месяц=|число=|том=|номер=|страницы=|issn=ISBN 978-1-72810-214-6.|doi=10.1109/fpt.2018.00066}}
* {{Статья|ссылка=http://dx.doi.org/10.1007/978-3-319-16715-2_20|ref=Cryptanalysis of Ascon|автор=Christoph Dobraunig, Maria Eichlseder, Florian Mendel, Martin Schläffer|заглавие=Cryptanalysis of Ascon|год=2015|язык=Английский|место=Cham|издание=Lecture Notes in Computer Science|издательство=Springer International Publishing|тип=|месяц=|число=|том=|номер=|страницы=371–387|issn=978-3-319-16714-5, 978-3-319-16715-2}}
* {{Статья|ссылка=https://www.mdpi.com/2410-387X/2/3/26|автор=William Diehl, Abubakr Abdulgadir, Farnoud Farahmand, Jens-Peter Kaps, Kris Gaj|заглавие=Comparison of Cost of Protection against Differential Power Analysis of Selected Authenticated Ciphers|год=2018|язык=Английский|издание=Cryptography|тип=|месяц=09|число=19|том=2|выпуск=3|номер=|страницы=26|issn=ISSN 2410-387X|doi=10.3390/cryptography2030026}}{{Refend}}

== Ссылки ==

* {{Cite web|url=https://competitions.cr.yp.to/caesar-submissions.html|title=CAESAR submissions|author=|website=CAESAR submissions|date=|publisher=}}

[[Категория:Криптография]]
[[Категория:Блочные шифры]]
{{изолированная статья|дата=2019-12-25}}