Ascon

Ascon — семейство блочных шифров, используемых для аутентифицированного шифрования с присоединёнными данными и хеширования. Набор шифров был разработан Кристофом Добраунигом, Марией Айхелзидер, Флорианом Менделем и Мартином Шлаффером. Шифры Ascon-128 и Ascon-128a стали победителями соревнования CAESAR в категории применения в приложениях с ограниченными ресурсамиШаблон:Sfn.

Историческая справка

Семейство шифров Ascon, используемое для аутентифицированного шифрования с присоединёнными данными и хеширования, было разработано Кристофом Добраунигом, Марией Айхелзидер, Флорианом Менделем и Мартином ШлафферомШаблон:Sfn.

Шифры Ascon-128 и Ascon-128a были участниками соревнования CAESAR (2014 - 2019) и стали победителями в категории применения в приложениях с ограниченными ресурсамиШаблон:Sfn.

В августе 2019 года шифры семейства Ascon прошли во второй раунд процесса стандартизации Национального института стандартов и технологий в категории легковесной криптографии (англ. Lightweight Cryptography).

Алгоритмы в семействе Ascon

Аутентифицированное шифрование

Параметры в алгоритмах семейства Ascon, используемых для аутентифицированного шифрованияШаблон:Sfn:

• Размер ключа $k$ ($k$ ≤ 160 бит)
• Размер блока данных $r$
• Число $a$, количество раундов перестановок на начальной и завершающей стадиях
• Число $b$, количество раундов перестановок на промежуточных стадиях

Рекомендованы к использованию следующие конфигурации, соответствующие шифрам Ascon-128 и Ascon-128a Шаблон:Sfn.

Рекомендуемые алгоритмы

Название	Значения параметров
	k	r	a	b
Ascon-128	128 бит	64 бита	12	6
Ascon-128a	128 бит	128 бит	12	8

Описание алгоритмов: аутентифицированное шифрование

Каждая непосредственная реализация алгоритма, заданная параметрами $k$, $r$, $a$, $b$ определяет алгоритмы шифрования E(a, b, k, r) и дешифрования-верификации D(a, b, k, r).

Входные и выходные данные

Алгоритм шифрования E(a, b, k, r)

Входными данными для алгоритма шифрования являютсяШаблон:Sfn:

• исходный текст P
• присоединённые данные A
• секретный ключ K размером k бит
• публичный номер сообщения N

Выходные данные для алгоритма шифрованияШаблон:Sfn:

• Аутентифицированный шифротекст C (такой же длины, как и P)
• Тег аутентификации T

$E_{(a,b,k,r)}(K,N,A,P)=(C,T)$

Алгоритм дешифрования-верификации D(a, b, k, r)

Входными данными для алгоритма дешифрования-верификации являютсяШаблон:Sfn:

• ключ K
• одноразовый код N (Nonce)
• шифротекст C
• тег T

Выходными данными являются исходный текст P, если проверка тега была успешной, или $\perp$ (индикатор неуспешности верификации) в случае неуспехаШаблон:Sfn.

$D_{(a,b,k,r)}(K,N,A,C,T)\in \{P,\perp \}$

Стадии алгоритма

В алгоритмы шифрования и дешифрования входят следующие стадииШаблон:Sfn:

• Инициализация
• Обработка присоединённых данных
• Обработка исходного текста / шифротекста
• Завершающая стадия

Стадия инициализации

Внутреннее состояние в алгоритмах семейства Ascon задаётся 320-битным числом SШаблон:Sfn. На стадии инициализации оно формируется из секретного ключа K из k бит, одноразового кода N из 128 бит, и числа IV, характеризующего алгоритм и формируемого из параметров $k$, $r$, $a$, $b$, записанных 8-битными целыми числамиШаблон:Sfn:

$\begin{array}{c}{IV}_{k,r,a,b}=k||r||a||b||0^{160-k}=\{\begin{array}{c}80400c0600000000\text{(Ascon-128)}\\ 80800c0800000000\text{(Ascon-128a)}\end{array}\\ S={IV}_{k,r,a,b}||K||N\end{array}$

Затем к начальному состоянию S применяется $a$ раундов перестановок с последующим XOR со значением секретного ключа KШаблон:Sfn:

$S⟵p^a(S)\oplus (0^{320-k}||K)$

Стадия обработки присоединённых данных

При шифровании и дешифровании Ascon обрабатывает присоединённые данные A блоками по $r$ бит. К присоединённым данным A приписывается единица и минимальное число нулей, необходимое для получения числа с размером кратным $r$ бит. Далее получившееся число делится на $s$ блоков по $r$ бит в каждом. В случае, когда присоединённые данные отсутствуют, данные операции опускаютсяШаблон:Sfn.

$A_1,A_2,\dots ,A_s⟵\{\begin{array}{c}\text{r - битные блоки}A||1||0^{r-1-(|A|modr)}|A|>0\\ \varnothing |A|=0\end{array}$

Далее к каждому блоку $A_i,1\le i\le s$ применяется операция XOR c первыми $r$ битами состояния S. Затем выполняется $b$ раундов перестановок над числом SШаблон:Sfn:

$S⟵p^b((S_r\oplus A_i)||S_{320-r})1\le i\le s$

В конце производится операция XOR c однобитной константой разделенияШаблон:Sfn:

$S⟵S\oplus (0^{319}||1)$

Стадия обработки исходного текста / шифротекста

Ascon обрабатывает исходный текст P блоками по $r$ бит. К исходному тексту P приписывается единица и минимальное число нулей, необходимое для получения числа с размером кратным $r$ бит. Далее получившееся число делится на $t$ блоков по $r$ бит в каждомШаблон:Sfn:

$P_1,P_2,\dots ,P_t⟵\text{r - битные блоки}P||1||0^{(|P|modr)}$

Шифрование

Из каждого блока $P_i,1\le i\le t$, используя XOR c первыми $r$ битами состояния S, получается блок шифротекста $C_i$. При этом при выделении каждого из блоков $C_i$ кроме последнего над состоянием S производится $b$ раундов перестановокШаблон:Sfn:

$\begin{array}{ccc}{C}_i& ⟵& S_r\oplus P_i\\ S& ⟵& \{\begin{array}{ccc}{p}^b(C_i||S_{320-r})& & 1\le i<t\\ C_i||S_{320-r}& & i=t\end{array}\end{array}$

При выделении последнего блока $C_t$ его размер преобразуется так, чтобы размер полученнего шифротекста совпадал с размером исходного текстаШаблон:Sfn:

$\widetilde{C_t}⟵{\lfloor C_t\rfloor }_{|P|modr}$

Дешифрование

Для каждого из блоков шифротекста $C_i$ кроме последнего блок исходного текста $P_i$ получается за счёт применения XOR к первым $r$ битам состояния S. При этом эти $r$ бит замещаются соответствующим $C_i$. Кроме того, для всех блоков $C_i$ кроме последнего при выделении $P_i$ состояние S преобразуется за счёт $b$ раундов перестановокШаблон:Sfn:

$\begin{array}{c}{P}_i⟵S_r\oplus C_i\\ S⟵p^b(C_i||S_{320-r})1\le i<t\end{array}$

Преобразование для последнего преобразованного блока $\widetilde{C_t}$Шаблон:Sfn:

$\begin{array}{c}\widetilde{P_t}⟵{\lfloor S_r\rfloor }_l\oplus \widetilde{C_t}\\ S⟵(S_r\oplus (\widetilde{P_t}||1||0^{r-1-l}))||S_{320-r}\end{array}$

Завершающая стадия

В завершающей стадии применяется операция XOR к секретному ключу и состоянию S. Затем к состоянию S применяются $a$ раундов перестановок. Тег T получается за счёт применения операции XOR к последним 128 битам состояния S (наименее значимым) и к последним 128 битам ключа KШаблон:Sfn:

$\begin{array}{c}S⟵p^a(S\oplus (0^r||K||0^{320-r-k}))\\ T⟵{\lceil S\rceil }^{128}\oplus {\lceil K\rceil }^{128}\end{array}$

Алгоритм шифрования возвращает тег T вместе с шифротекстом $C_1||C_2||\dots ||\widetilde{C_t}$.

Алгоритм дешифрования-верификации возвращает исходный текст $P_1||P_2||\dots ||\widetilde{P_t}$ в случае, если сгенерированный тег совпадает с тегом, переданным как параметр.

Перестановки в шифрах Ascon

Главные процессы в шифрах Ascon это перестановки $p^a$ и $p^b$. Они осуществляются над внутренним состоянием S, которое делится на 5 слов по 64 бит каждое $x_0,x_1,x_2,x_3,x_4$. В алгоритме перестановок последовательно применяется преобразование, которое основывается на SP-сети. Данное преобразование составляют 3 основных стадииШаблон:Sfn:

1. Стадия прибавления констант
2. Стадия замещения с 5-битным блоком замещения (англ. Substitution Box или S-box)
3. Стадия линейной диффузии с 64-битными диффузионными функциями

Стадия прибавления констант

На данной стадии к слову $x_2$ в раунде перестановки $i$ добавляется константа $c_m$, где $m=i$ для перестановок $p^a$ и $m=i+a-b$ для перестановок $p^b$Шаблон:Sfn:

$x_2⟵x_2\oplus c_m$

Значения констант задаются следующей таблицейШаблон:Sfn:

Константы $c_m$ для раундов $i$ в $p^a$ и $p^b$

$p^{12}$	$p^8$	$p^6$	Константа $c_m$	$p^{12}$	$p^8$	$p^6$	Константа $c_m$
0			000000000000000000f0	6	2	0	00000000000000000096
1			000000000000000000e1	7	3	1	00000000000000000087
2			000000000000000000d2	8	4	2	00000000000000000078
3			000000000000000000c3	9	5	3	00000000000000000069
4	0		000000000000000000b4	10	6	4	0000000000000000005a
5	1		000000000000000000a5	11	7	5	0000000000000000004b

Стадия замещения

На стадии замещения параллельно применяется 5-битный блок замещения (S-блок) $S(x)$ к каждому соответствующему битовому массиву из слов $x_0,x_1,x_2,x_3,x_4$. Представленный в виде таблицы поиска S-блок для семейства шифров AsconШаблон:Sfn:

5-битный блок замещения в виде таблицы поиска

x	0	1	2	3	4	5	6	7	8	9	a	b	c	d	e	f	10	11	12	13	14	15	16	17	18	19	1a	1b	1c	1d	1e	1f
S(x)	4	b	1f	14	1a	15	9	2	1b	5	8	12	1d	3	6	1c	1e	13	7	e	0	d	11	18	10	c	1	19	16	a	f	17

Стадия линейной диффузии

На стадии линейной диффузии делается преобразование диффузии в каждом 64-битном слове $x_0,x_1,x_2,x_3,x_4$ за счёт применения линейных функций к каждому слову $x_i$Шаблон:Sfn:

$x_i⟵\sum _i\left(x_i\right)0\le i\le 4$

Для семейства Ascon линейные диффузионные функции реализованы какШаблон:Sfn:

$\begin{array}{cc}{x}_0& ⟵\sum _0\left(x_0\right)=x_0\oplus (x_0⋙19)\oplus (x_0⋙28)\\ x_1& ⟵\sum _1\left(x_1\right)=x_1\oplus (x_1⋙61)\oplus (x_1⋙39)\\ x_2& ⟵\sum _2\left(x_2\right)=x_2\oplus (x_2⋙1)\oplus (x_2⋙6)\\ x_3& ⟵\sum _3\left(x_3\right)=x_3\oplus (x_3⋙10)\oplus (x_3⋙17)\\ x_4& ⟵\sum _4\left(x_4\right)=x_4\oplus (x_4⋙7)\oplus (x_4⋙41)\end{array}$

Преимущества шифров Ascon

Высокий уровень надёжности

Шифры Ascon-128 и Ascon-128a стали победителями соревнования CAESAR в категории применения в приложениях с ограниченными ресурсамиШаблон:Sfn. На данный момент с учётом продолжительного публичного исследования и криптоанализа предложенных шифров не было выявлено недостатков в надёжности шифровШаблон:Sfn.

Простота реализации

Алгоритмы Ascon работают с 64-битными словами и используют лишь простые побитовые операции. Это существенно упрощает реализацию алгоритмов семейства на новых платформахШаблон:Sfn.

Интерактивность и однопроходность

Алгоритмы семейства Ascon могут быть использованы в интерактивном режиме, т.е. в условиях, когда входные данные и их длина ещё не известны полностью. Кроме того, для работы алгоритмов шифрования и дешифрования достаточно лишь одного прохода по даннымШаблон:Sfn.

Литература

• Шаблон:Статья
• Шаблон:Статья
• Шаблон:Статья
• Шаблон:Статья
• Шаблон:СтатьяШаблон:Refend

Ссылки

• Шаблон:Cite web