Сеть Фейстеля

Многие современные симметричные блочные шифры используют сети Feistel, а структура и свойства шифров Feistel были тщательно исследованы криптографами. В частности, Майкл Луби и Чарльз Ракофф проанализировали конструкцию блочного шифра Feistel и доказали, что если круглая функция является криптографически безопасной псевдослучайной функцией, в которой в качестве зерна используется _Ki, то 3 раунда достаточно, чтобы сделать блок-шифр псевдослучайной перестановкой, а 4 раунда достаточно, чтобы сделать его "сильной" псевдослучайной перестановкой (что означает, что он остается псевдослучайным даже для противника, который получает доступ оракула к его инверсной перестановке). Из-за этого очень важного результата Luby и Rackoff, шифры Feistel иногда называют блок-шифрами Luby-Rackoff. Дальнейшие теоретические исследования обобщили конструкцию и определили более точные пределы безопасности.

Пусть F {\displaystyle {\rm {F}} будет круглой функцией и пусть K 1 , K 2 , ... , K n {\displaystyle K_{1},K_{2},\ldots,K_{n}} будут подклавишами для раундов 1,2 , ... , n {\displaystyle 1,2,\ldots,n} соответственно.

Тогда основная операция выглядит следующим образом:

Разделите блок простого текста на две равные части ( L 1 {\displaystyle L_{1}} , R 1 {\displaystyle R_{1}}).

Для каждого раунда i = 1 , 2 , ... , n {\displaystyle i=1,2,\dots,n} вычислять (рассчитывать)

L i + 1 = R i {\displaystyle L_{i+1}=R_{i},}

R i + 1 = L i ⊕ F ( R i , K i ) {\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}(R_{i},K_{i}}(R_{i},K_{i})} .

Затем шифрованный текст ( R n + 1 , L n + 1 ) {\displaystyle (R_{n+1},L_{n+1})} . (Обычно две части R n {\displaystyle R_{n}} и L n {\displaystyle L_{n} не меняются после последнего раунда).

Расшифровка шифрованного текста ( R n , L n ) {\displaystyle (R_{n},L_{n})} выполняется вычислением для i = n , n - 1 , ... , 1 {\displaystyle i=n,n-1,\ldots,1}

R i = L i + 1 {\displaystyle R_{i}=L_{i+1},}

L i = R i + 1 ⊕ F ( L i + 1 , K i ) {\displaystyle L_{i}=R_{i+1}\oplus {\rm {F}(L_{i+1},K_{i})} .

Тогда ( L 1 , R 1 ) {\displaystyle (L_{1},R_{1})} снова чистый текст.

Одним из преимуществ данной модели является то, что круглая функция F {\displaystyle {\rm {F}} не обязательно должна быть инвертируемой и может быть очень сложной.

Диаграмма иллюстрирует процесс шифрования. Для расшифровки требуется только перевернуть порядок подклавиши K n , K n - 1 , ... , K 1 {\displaystyle K_{n},K_{n-1},\ldots,K_{1}} используя тот же самый процесс; в этом единственная разница между шифровкой и расшифровкой:

В несбалансированных шифрах Feistel используется модифицированная структура, в которой L 1 {\displaystyle L_{1}} и R 1 {\displaystyle R_{1}} не имеют одинаковой длины. Шифр MacGuffin является экспериментальным примером такого шифра.

Конструкция Feistel также используется в криптографических алгоритмах, отличных от блочных шифров. Например, схема Optimal Asymmetric Encryption Padding (OAEP) использует простую сеть Feistel для рандомизации шифрованных текстов в некоторых схемах шифрования с асимметричными ключами.

Feistel или модифицированный Feistel: Blowfish, Camellia, CAST-128, DES, FEAL, ICE, KASUMI, LOKI97, Lucifer, MARS, MAGENTA, MISTY1, RC5, TEA, Triple DES, Twofish, XTEA, ГОСТ 28147-89

Обобщенный фейстел: CAST-256, МакГаффин, RC2, RC6, Скипджек