А,В,Соколов, 0,М, Степанюк - Скачать документы

346 .
:
Алгоритм выработки ключей содержит два этапа:
Q расширение ключа (key expansion);
О выбор циклового ключа (round key selection).
В основе алгоритма лежат следующее: общее число бит цикловых ключей равно длине
блока, умноженной на число циклов плюс 1. Например, для длины блока 128 бит и 10-и
циклов потребуется 1408 бит циклового ключа. Ключ шифрования превращается в расширенный
ключ (expanded key). Цикловые ключи выбирают из расширенного ключа так:
первый цикловой ключ содержит первые Nb слов, второй — следующие Nb слов и т. д.
Расширенный ключ представляет собой линейный массив 4-битных слов. Первые
Nk слов содержат ключ шифрования. Все остальные слова определяются рекурсивно
из слов с меньшими индексами, то есть каждое последующее слово получается
посредством EXOR предыдущего слова и слова на Nk позиций ранее. Для слов, позиция
которых кратна Nk, перед EXOR применяется преобразование к предыдущему
слову, а затем еще прибавляется цикловая константа. Преобразование содержит
циклический сдвиг байтов в слове, обозначаемый rotl, затем следует применение
таблицы замены байт — SubByte. Алгоритм выработки ключей зависит от величины
Nk. Расширенный ключ всегда должен получаться из ключа шифрования и никогда
не указываться напрямую. При этом нет ограничений на выбор ключа шифрования.
Выбор циклового ключа заключается в том, что каждый цикловой ключ получается
из слов массива циклового ключа, как показано для Nb = 6 и Nk = 4 на рис. 4.15.
Выработка ключей может быть сделана и без использования массива. Это характерно
для реализаций, в которых критично требование к занимаемой памяти. В этом случае цикловые
ключи можно вычислить «на лету» посредством использования буфера из Nk слов.
Теперь рассмотрим особенности реализации алгоритма Rijndael. Этот алгоритм
является байт-ориентированным, т. е. полностью может быть сформулирован в терминах
операций с байтами. В алгоритме широко используются алгебраические операции
в конечных полях, наиболее сложно реализуемо умножение в поле GF(28), Непосредственное
выполнение этих операций привело бы к крайне неэффективной реализации
алгоритма. Однако байтовая структура шифра открывает широкие возможности для
программной реализации. Замена байта по таблице и последующее умножение на константу
в конечном поле GF(28) могут быть представлены как одна замена по таблице.
Поскольку в прямом шифре используются три константы (01,02,03), то понадобятся
три такие таблицы, в обратном шифре, соответственно, — четыре (ОЕ, OD, 0В, 09).
При надлежащей организации процесса шифрования построчный байтовый сдвиг матрицы
данных можно не выполнять. При реализации на 32-битных платформах возможно
реализовать байтовую замену и умножение элемента матрицы данных на столбец
матрицы М как одну замену 8-и бит на 32 бита.
Таким образом, вся программная реализация раунда шифрования для варианта 128-
битных блоков данных сводится к четырем командам загрузки элемента ключа в регистр,
шестнадцати командам загрузки байта в регистр и извлечению из памяти индексированного
значения. Данное значение используется в операции побитового «исключающего или».
Для процессоров Intel Pentium с недостаточным количеством регистров сюда надо
добавить еще 4 команды выгрузки содержимого регистров в память, тогда на указанных
процессорах раунд шифрования по алгоритму Rijndael можно выполнить за 40
команд или за 20 тактов процессора с учетом возможности параллельного выполне-