Mosquito

В криптографии, MOSQUITO — это аппартно-ориентированный самосинхронизующийся поточный шифр, разработанный в 2005 году Йоаном Дайменом и Парисом Китсосом. После взлома MOUSQUITO, была разработана вторая версия шифра, которая была представлена в проекте eSTREAM, где достигла третьего этапа отбора. В 2008 году вторая версия MOSQUITO — MOUSTIQUE, также была взломана.

Обзор работы MOSQUITO

Общий смысл работы самосинхронизующегося поточного шифра MOSQUITO аналогичен работе самосинхронизующихся поточных шифров, в которых генерация потока ключей создаётся функцией от битов ключа и одного бита шифротекста, что, по сути, аналогично работе CFB с одним блоком перестановки. Особенности же шифра MOSQUITO заключаются в наличии девятистадийного конвейера, дополняющего условную зависимость регистра сдвига (Conditional Complementing Shift Registers — CCSR) и функциями перехода между стадиями конвейера особого вида.

Спецификация

В шифре MOSQUITO восемь регистров различной длины, назовём регистр CCSR — $a^{𝒽0𝒾}$, первый регистр — $a^{𝒽1𝒾}$, второй — $a^{𝒽2𝒾}$ и так далее до седьмого регистра — $a^{𝒽7𝒾}$. Будем обозначать i-ую позицию регистра j таким образом: $a_i^{𝒽j𝒾}$. Длины регистров:

CCSR — 128 бит;

$a^{𝒽1𝒾}$ — $a^{𝒽5𝒾}$ 53 бита;

$a^{𝒽6𝒾}$ — 12 бит;

$a^{𝒽7𝒾}$ — 3 бита.

Суть работы шифра заключается в вычислении, на каждый такт, битов какого-нибудь из регистров (кроме CCSR) на основе некоторой комбинации битов предыдущего регистра. Регистр CCSR работает как регистр сдвига: элементы регистра сдвигаются, а в нулевую позицию регистра CCSR записывается бит зашифрованного текста (с выхода шифра). Обозначим через $G_i^j$ правило, по которому вычисляется бит в i-ий позиции в регистре j. Тогда:

$G_{4imod53}^1=a_{128-i}^{𝒽0𝒾}+a_{18+i}^{𝒽0𝒾}+a_{113-i}^{𝒽0𝒾}(a_{1+i}^{𝒽0𝒾}+1)+1$, где $0⩽i<53$;

$G_{4imod53}^j=a_i^{𝒽j-1𝒾}+a_{3+i}^{𝒽j-1𝒾}+a_{1+i}^{𝒽j-1𝒾}(a_{2+i}^{𝒽j-1𝒾}+1)+1$, где $0⩽i<53$ и $2⩽j⩽5$, если нижний индекс какого-либо элемента из правой части равенства становится больше, чем 53, то этот элемент заменяется на 0;

$G_i^6=a_{4i}^{𝒽5𝒾}+a_{3+4i}^{𝒽5𝒾}+a_{1+4i}^{𝒽5𝒾}+a_{2+4i}^{𝒽5𝒾}$, где $0⩽i<12$;

$G_i^7=a_{4i}^{𝒽6𝒾}+a_{3+4i}^{𝒽6𝒾}+a_{1+4i}^{𝒽6𝒾}(a_{2+4i}^{𝒽6𝒾}+1)+1$, где $0⩽i<3$;

и, наконец, бит ключевого потока $z=a_0^{𝒽7𝒾}+a_1^{𝒽7𝒾}+a_2^{𝒽7𝒾}$.

Стоит отметить, что вычисление битов регистров выполняются с помощью комбинационной логики, а сдвиг, естественно, с помощью регистровой, а это значит, что для предотвращения неправильной работы конвейера, когда биты с регистра не успевают обработаться комбинационной логикой, надо чтобы функция $G_i^j$, реализующая вычисления, была относительна простой.

Ссылки

• The self-synchronizing stream cipher Mosquito: eSTREAM documentation — спецификация MOSQUITO
• The self-synchronizing stream cipher Moustique — обзор второй версии MOSQUITO — MOUSTIQUE