BelT

BelT
Создан	2001 г.
Опубликован	2007 г.
Размер ключа	256 бит
Размер блока	128 бит
Число раундов	8
Тип	комбинация Сеть Фейстеля и en:Lai-Massey scheme

BelT — государственный стандарт симметричного шифрования и контроля целостности Республики Беларусь. Полное название стандарта — СТБ 34.101.31-2007 «Информационные технологии и безопасность. Криптографические алгоритмы шифрования и контроля целостности». Принят в качестве предварительного стандарта в 2007 году. Введён в действие в качестве окончательного стандарта в 2011 году.

Описание

BelT — блочный шифр с 256-битным ключом и 8 циклами криптопреобразований, оперирующий с 128-битными словами. Криптографические алгоритмы стандарта построены на основе базовых режимов шифрования блоков данных. Все алгоритмы стандарта делятся на 8 групп:

• алгоритмы шифрования в режиме простой замены;
• алгоритмы шифрования в режиме сцепления блоков;
• алгоритмы шифрования в режиме гаммирования с обратной связью;
• алгоритмы шифрования в режиме счётчика;
• алгоритм выработки имитовставки ;
• алгоритмы одновременного шифрования и имитозащиты данных;
• алгоритмы одновременного шифрования и имитозащиты ключей;
• алгоритм хеширования;

Первые четыре группы предназначены для обеспечения безопасного обмена сообщениями. Каждая группа включает алгоритм шифрования и алгоритм расшифрования на секретном ключе. Стороны, располагающие общим ключом, могут организовать обмен сообщениями путём их шифрования перед отправкой и расшифрования после получения. В режимах простой замены и сцепления блоков шифруются сообщения, которые содержат хотя бы один блок, а в режимах гаммирования с обратной связью и счётчика — сообщения произвольной длины.

Пятый алгоритм предназначен для контроля целостности сообщений с помощью имитовставок — контрольных слов, которые определяются с использованием секретного ключа. Стороны, располагающие общим ключом, могут организовать контроль целостности при обмене сообщениями путём добавления к ним имитовставок при отправке и проверки имитовставок при получении. Проверка имитовставок дополнительно позволяет стороне получателю убедиться в знании стороной-отправителем секретного ключа, то есть проверить подлинность сообщений.

В шестой группе исходное сообщение задаётся двумя частями: открытой и критической. Алгоритмы защиты предназначены для контроля целостности обеих частей и обеспечения конфиденциальности критической части. При установке защиты вычисляется имитовставка всего сообщения и зашифровывается его критическая часть. При снятии защиты имитовставка проверяется и, если проверка прошла успешно, критическая часть расшифровывается.

В алгоритмах седьмой группы длина защищаемого сообщения должна быть сразу известна, эти алгоритмы рекомендуется применять для защиты ключей. Защищаемый ключ сопровождается открытым заголовком, который содержит открытые атрибуты ключа и одновременно является контрольным значением при проверке целостности. Могут использоваться фиксированные постоянные заголовки, которые служат только для контроля целостности. При установке защиты ключ зашифровывается вместе со своим заголовком. При снятии защиты выполняется обратное преобразование и расшифрованный заголовок сравнивается с контрольным.

Восьмой алгоритм предназначен для вычисления хеш-значений — контрольных слов, которые определяются без использования ключа. Стороны могут организовать контроль целостности сообщений путём сравнения их хеш-значений с достоверными контрольными хеш-значениями. Изменение сообщения с высокой вероятностью приводит к изменению соответствующего хеш-значения и поэтому хеш-значения могут использоваться вместо самих сообщений, например в системах электронной цифровой подписи.

Шифрование блока

Входные данные и выходные данные

Входными данными алгоритмов шифрования и расшифрования являются блок ${\displaystyle X\in \{0,1\}^{128}}$и ключ ${\displaystyle \theta \in \{0,1\}^{256}.}$

Выходными данными является блок ${\displaystyle Y\in \{0,1\}^{128}}$— результат шифрования либо расшифрования слова ${\displaystyle X}$ на ключе ${\displaystyle \theta :Y=F_{\theta }(X)}$ либо ${\displaystyle Y=F_{\theta }^{-1}(X).}$

Входные данные для шифрования подготавливаются следующим образом:

• Слово ${\displaystyle X}$ записывается в виде ${\displaystyle X=X_{1}\|X_{2}\|X_{3}\|X_{4},X_{i}\in \{0,1\}^{32}.}$
• Ключ ${\displaystyle \theta }$ записывается в виде ${\displaystyle \theta =\theta _{1}\|\theta _{2}\|\theta _{3}\|\theta _{4}\|\theta _{5}\|\theta _{6}\|\theta _{7}\|\theta _{8},\theta _{i}\in \{0,1\}^{32}}$, и определяются тактовые ключи ${\displaystyle K_{1}=\theta _{1},K_{2}=\theta _{2},K_{3}=\theta _{3},K_{4}=\theta _{4},K_{5}=\theta _{5},K_{6}=\theta _{6},K_{7}=\theta _{7},K_{8}=\theta _{8},K_{9}=\theta _{1},......,K_{56}=\theta _{8}.}$

Обозначения и вспомогательные преобразования

Преобразование ${\displaystyle G_{r}:\{0,1\}^{32}\rightarrow \{0,1\}^{32}}$ставит в соответствии слову ${\displaystyle u=u_{1}\parallel u_{2}\parallel u_{3}\parallel u_{4},u_{i}\in \{0,1\}^{8}}$, слово

Таблица 1 - Подстановка ${\displaystyle H}$

${\displaystyle G_{r}(u)=RotHi^{r}(H(u_{1})\parallel H(u_{2})\parallel H(u_{3})\parallel H(u_{4})).}$

${\displaystyle RotHi^{r}-}$циклический сдвиг влево на ${\displaystyle r}$ бит.

${\displaystyle H(u)-}$операция замены 8-битной входной строки подстановкой из таблицы 1.

Подстановка ${\displaystyle H:\{0,1\}^{8}\rightarrow \{0,1\}^{8}}$ задаётся фиксированной таблицей. В таблице используется шестнадцатеричное представление слов ${\displaystyle u\in \{0,1\}^{8}.}$

${\displaystyle \boxplus }$ и ${\displaystyle \boxminus -}$операции сложения и вычитания по модулю ${\displaystyle 2^{32}.}$

Зашифрование

Для шифрования блока ${\displaystyle X}$ на ключе ${\displaystyle \theta }$ выполняются следующие шаги:

1. Установить ${\displaystyle a\leftarrow X_{1},b\leftarrow X_{2},c\leftarrow X_{3},d\leftarrow X_{4}.}$

   Вычисления на ${\displaystyle i-}$ом такте шифрования

2. Для ${\displaystyle i}$ = 1,2,… ,8 выполнить:

1) ${\displaystyle b\leftarrow b\oplus G_{5}(a\boxplus K_{7i-6});}$

2) ${\displaystyle c\leftarrow c\oplus G_{21}(d\boxplus K_{7i-5});}$

3) ${\displaystyle a\leftarrow a\boxminus G_{13}(b\boxplus K_{7i-4});}$

4) ${\displaystyle e\leftarrow G_{21}(b\boxplus c\boxplus K_{7i-3})\oplus \langle i\rangle _{32};}$

5) ${\displaystyle b\leftarrow b\boxplus e;}$

6) ${\displaystyle c\leftarrow c\boxminus e;}$

7) ${\displaystyle d\leftarrow d\boxplus G_{13}(c\boxplus K_{7i-2});}$

8) ${\displaystyle b\leftarrow b\oplus G_{21}(a\boxplus K_{7i-1});}$

9) ${\displaystyle c\leftarrow c\oplus G_{5}(d\boxplus K_{7i});}$

10) ${\displaystyle a\leftrightarrow b;}$

11) ${\displaystyle c\leftrightarrow d;}$

12) ${\displaystyle b\leftrightarrow c;}$

3. Установить ${\displaystyle Y\leftarrow b\|d\|a\|c.}$

4. Возвратить ${\displaystyle Y.}$

Расшифрование

Для расшифрования блока ${\displaystyle X}$ на ключе ${\displaystyle \theta }$ выполняются следующие шаги:

1. Установить ${\displaystyle a\leftarrow X_{1},b\leftarrow X_{2},c\leftarrow X_{3},d\leftarrow X_{4}.}$
2. Для ${\displaystyle i=}$8,7,… ,1 выполнить:

1) ${\displaystyle b\leftarrow b\oplus G_{5}(a\boxplus K_{7i});}$

2) ${\displaystyle c\leftarrow c\oplus G_{21}(d\boxplus K_{7i-1});}$

3) ${\displaystyle a\leftarrow a\boxminus G_{13}(b\boxplus K_{7i-2});}$

4) ${\displaystyle e\leftarrow G_{21}(b\boxplus c\boxplus K_{7i-3})\oplus \langle i\rangle _{32};}$

5) ${\displaystyle b\leftarrow b\boxplus e;}$

6) ${\displaystyle c\leftarrow c\boxminus e;}$

7) ${\displaystyle d\leftarrow d\boxplus G_{13}(c\boxplus K_{7i-4});}$

8) ${\displaystyle b\leftarrow b\oplus G_{21}(a\boxplus K_{7i-5});}$

9) ${\displaystyle c\leftarrow c\oplus G_{5}(d\boxplus K_{7i-6});}$

10) ${\displaystyle a\leftrightarrow b;}$

11) ${\displaystyle c\leftrightarrow d;}$

12) ${\displaystyle a\leftrightarrow d;}$

3. Установить ${\displaystyle Y\leftarrow c\|a\|d\|b.}$

4. Возвратить ${\displaystyle Y.}$

Выработка имитовставки

Входные данные

• Исходное сообщение произвольной длины, представленное в виде битовой последовательности ${\displaystyle X\in \{0,1\}^{*}}$. Если ${\displaystyle X}$ - непустое слово, то записать его в виде:${\displaystyle {\displaystyle X=X_{1}\|X_{2}\|...\|X_{n}},|X_{1}|=|X_{2}|=...=|X_{n-1}|=128,0<|X_{n}|\leq 128}$. Если же ${\displaystyle X}$- пустое, то ${\displaystyle n=1}$и ${\displaystyle |X_{1}|=0}$.
• Ключ ${\displaystyle \theta \in \{0,1\}^{256}}$- битовая последовательность длины 256.

Вспомогательные преобразования и переменные

• Преобразования ${\displaystyle \phi _{1},\phi _{2}}$:${\displaystyle {\{0,1\}}^{128}\rightarrow {\{0,1\}}^{128}}$ , которые действуют на слово ${\displaystyle u=u_{1}||u_{2}||u_{3}||u_{4},u_{i}\in \{0,1\}^{32}}$- битовая последовательность длины 32 . При этом:

${\displaystyle \phi _{1}(u)=u_{2}||u_{3}||u_{4}||(u_{1}\oplus u_{2}),}$

${\displaystyle \phi _{2}(u)=(u_{1}\oplus u_{4})||u_{1}||u_{2}||u_{3}.}$

• Отображение ${\displaystyle \psi }$, которое ставит в соответствие битовой последовательности длины меньше 128, слово длиной 128. Действует по правилу:

${\displaystyle \psi (u)=u||1||0^{127-|u|}}$.

• Вспомогальтельные переменные ${\displaystyle r,s\in \{0,1\}^{256}}$ - битовые последовательности длины 128.

Алгоритм выработки имитовставки

1. Заполнить вспомогательную переменную ${\displaystyle s}$ нулями: ${\displaystyle s\leftarrow 0^{128}}$ и установить результат шифрования ${\displaystyle s}$ на данном ключе ${\displaystyle \theta \in \{0,1\}^{256}}$ в ${\displaystyle r}$: ${\displaystyle r\leftarrow F_{\theta }(s)}$.
2. Для каждого блока входного сообщения ${\displaystyle i=1,2,...,n-1}$ выполнить: ${\displaystyle s\leftarrow F_{\theta }(s\oplus X_{i})}$.
3. Если ${\displaystyle |X_{n}|=128}$, то выполняем ${\displaystyle s\leftarrow s\oplus X_{n}\oplus \phi _{1}(r)}$, иначе ${\displaystyle s\leftarrow s\oplus \psi (X_{n})\oplus \phi _{2}(r)}$.
4. Записать в ${\displaystyle T}$ первые 64 бита слова ${\displaystyle F_{\theta }(s)}$: ${\displaystyle T\leftarrow L_{64}(F_{\theta }(s))}$.
5. Возвратить ${\displaystyle T}$.

Алгоритм хеширования

Алгоритм хеширования используется для вычисления хеш-значения, которое впоследствии может применяться для контроля целостности данных.

Входные данные

Входными данными алгоритма является сообщение произвольной длины, представленное в виде битовой последовательности ${\displaystyle X\in \{0,1\}^{*}}$.

На выходе получается слово ${\displaystyle Y\in \{0,1\}^{256}}$.

Для работы алгоритма исходная битовая последовательность дополняется нулями так, чтобы её длина делилась на 256, и представляется следующим образом: ${\displaystyle X=X_{1}||X_{2}||...||X_{d},X_{i}\in \{0,1\}^{256}}$. Также нам понадобятся переменные ${\displaystyle s\in \{0,1\}^{128}}$ и ${\displaystyle h\in \{0,1\}^{256}}$.

Вспомогательные преобразования

Пусть есть слово ${\displaystyle u=u_{1}||u_{2}||u_{3}||u_{4},u_{i}\in \{0,1\}^{128}}$.

Определим два отображения:

${\displaystyle \sigma _{1}:{\{0,1\}}^{512}\rightarrow {\{0,1\}}^{128},}$

${\displaystyle \sigma _{2}:{\{0,1\}}^{512}\rightarrow {\{0,1\}}^{256},}$

которые действуют на слово ${\displaystyle u}$ по правилам:

${\displaystyle \sigma _{1}(u)=F_{u_{1}||u_{2}}(u_{3}\oplus u_{4})\oplus u_{3}\oplus u_{4},}$

${\displaystyle \sigma _{2}(u)=(F_{\theta _{1}}(u_{1})\oplus u_{1})||(F_{\theta _{2}}(u_{2})\oplus u_{2}),}$

где ${\displaystyle \theta _{1}=\sigma _{1}(u)||u_{4}}$, ${\displaystyle \theta _{2}=(\sigma _{1}(u)\oplus 1^{128})||u_{3}}$.

Вычисление хеш-значения

Схема одной итерации алгоритма хеширования

Алгоритм выполняется в несколько этапов:

1. Заполняем переменную ${\displaystyle s}$ нулями: ${\displaystyle s\longleftarrow 0^{128}}$.
2. В переменную ${\displaystyle h}$ записываем первые две строки таблицы подстановки ${\displaystyle H}$, двигаясь слева направо и сверху вниз: ${\displaystyle h\longleftarrow B194BAC80A08F53B366D008E584A5DE48504FA9D1BB6C7AC252E72C202FDCE0D_{16}}$.
3. Для каждого блока ${\displaystyle X_{i},i={\overline {1,d}}}$ выполняем операции:
   1. ${\displaystyle s\leftarrow s\oplus \sigma _{1}(X_{i}\|h)}$;
   2. ${\displaystyle h\leftarrow \sigma _{2}(X_{i}||h)}$.
4. Вычисляем ${\displaystyle Y}$: ${\displaystyle Y\longleftarrow \sigma _{2}(\langle |X|\rangle _{128}||s||h)}$.
5. Возвращаем полученное значение ${\displaystyle Y}$, которое и является хеш-значением исходного текста ${\displaystyle X}$.

Ссылки

1. http://apmi.bsu.by/assets/files/std/belt-spec27.pdf
2. http://apmi.bsu.by/assets/files/std/belt-spec14.pdf