Особенности аппаратной реализации алгоритма...

Особенности аппаратной реализации алгоритма

шифрования

Стандарт AES, принятый NIST в 2001 году

Rijndael 3. Аппаратная реализация структурных блоков

1. Описание алгоритма

2. Типовые схемные решения аппаратной реализации

4. Проблемы, возникающие при аппаратной реализации

1. Описание алгоритма Rijndael

Шифрование с секретным ключом

2

3


Состояние и ключ

Состояние Ключ

всег

да =

4

* В AES Nb всегда = 4 байтаRijndael допускает длину 128, 192 и 256 бит

Nk = 4

Может быть длиной 128, 192 и 256 бит

Nb = 6 байт *

4

Общая структура алгоритма


Nr Nb = 4 Nb = 6 Nb = 8Nk = 4 10 12 14Nk = 6 12 12 14Nk = 8 14 14 14

Зависимость количества раундов Nr от длины

массивов состояния Nb и ключа Nk

5

Обычный и заключительный раунды


6

Преобразование SybBytes


Общая схема применения преобразования SubBytes к состоянию

1. Нахождение обратного значения по отношению к операции умножения в поле Галуа − GF(28) для текущего байта состояния

2. Вычисление афинного преобразования

В обратной операции, InvSubBytes, сначала над состоянием выполняется обратное афинное преобразование, а затем находится обратное по

умножению значение в GF(28)

7

Преобразование ShiftRows


Структура преобразования ShiftRows

Зависимость величины сдвигов от длины состояния Nb

8

Преобразование MixColumns


Структура преобразования MixColumns

Математическое описание преобразования MixColumns

c(x ) = ’03’x3 + ’01’x2 + ‘01’x + ‘02’

Каждый столбец состояния представляется в виде полинома с коэффициентами в поле Галуа GF(28): a(x ) = a3x3 + a2x2 + a1x + a0

который умножается по модулю M(x) = x4 + 1 на полином:

9

Преобразование AddRoundKey


Структура преобразования AddRoundKey

текущее состояние ключ текущего раунда состояние-результат

Обратное преобразование, InvAddRoundKey, полностью идентично прямому.

10


Механизм расширения ключаВ каждом раунде используется свой уникальный ключ, сгенерированный на основе главного. Такие ключи называются раундовыми (цикловыми).

11


Основные типы схем

12


Схема, предложенная Стефаном Мангардом, Манфредом Айнером и Сандрой Доминикус (Гразский Технологический Университет, Австрия)

Представленная схема является в высшей степени регулярной и

масштабируемой. Структурные элементы:

1. Модуль данных.2. Модуль расширения ключей.3. Модуль связывания закодированных и незакодированных блоков. (CBC)4. Интерфейсный модуль.

13


Вариант 2

Схема предложена Намингом Ю и Говардом Хейсом из

Electrical and Computer EngineeringMemorial University of Newfoundland

Реализация одного универсального раунда

14


Вариант 3

Особенность реализации в том, что каждый раунд реализован отдельно, в

результате чего получается конвейерная структура.

(Pipeline architecture)

Структура одного раунда

Этот вариант реализации представлен Алирезой Ходжат и Ингрид

Вербауведе, факультет электрического проектирования Калифорнийского

Университета, Лос-Анджелес

15

3. Аппаратная реализация структурных блоков

Блок S-BoxВариант, предложенный в стандарте AES

В стандарте AES представлены следующие таблицы, которые содержат

рассчитанные заранее значения функций S-Box. Их предлагается реализовать в

виде выборки по таблице из блока памяти ПЗУ (ROM Table Lookup)

Этот способ является наиболее простым, но ресурсозатратным и не подходящим

для быстрых реализаций.

16


Блок S-BoxВариант, предложенный Намингом Ю и Говардом Хейсом из

Electrical and Computer Engineering Memorial University of Newfoundland

Представленная реализация отличается от представленных ранее.Дж. Фуллер и В. Миллан, исследуя локальную структуру расстояний Хэмминга между булевыми функциями, использовали новый метод для нахождения эквивалентности между 8 булевыми функциями, используемыми блоками S-Box. Выходная булева функция блока S-Box может быть представлена в виде:

bj(x) = bi(Dijx) cj

где: D − двоичная матрица, с − двоичная константа, а bi − известная булева функция

17


Блок S-BoxВариант, предложенный Эдвином Муи из Texco

Enterprise Ptd.

Схема универсального блока S-Box

Схема реализует алгоритм преобразований, описанный авторами Rijndael. Реализация основана на работах Винсента Рэймена “Efficient Implementation of the Rijndael S-Box” и Акаши Сато ( с соавт.) “A Compact Rijndael Hardware Architecture with S-Box Optimization”Основная сложность данного метода в реализации нахождения обратного значения текущего байта состояния относительно операции умножения в поле Галуа GF(28). Поскольку эта операция очень сложна, прибегли к разложению полинома в GF(28) к полиному в GF(24). Для таких полиномов существует более простая формула:

18


Блок S-BoxВариант, предложенный Эдвином Муи из Texco

Enterprise Ptd.

Схема нахождения мультипликативного инверсного

изоморфное преобразование в комплексном поле

возведение в квадрат в поле GF(24)

умножение на константу в поле GF(24)

сложение в поле GF(24)

обратное изоморфное преобразование в комплексном поле

мультипликативная инверсия в поле GF(24)

умножение в поле GF(24)

19


Блок S-BoxРеализация 3-го варианта

20


Схема модуля расширения ключей

Схема позволяет хранить только текущий цикловой ключ, обеспечивая вычисление нового циклового ключа как в прямом (RoundKeyi+1 ), так и в обратном порядке (RoundKeyi-1).

21



Вариант, предложенный Намингом Ю и Говардом Хейсом из

Electrical and Computer Engineering Memorial University of Newfoundland

22



Физическая структура блока с указанием уровней конвееризации

Схема реализации модуля расширения ключа

Этот вариант реализации представлен Алирезой Ходжат и Ингрид Вербауведе, факультет электрического проектирования Калифорнийского Университета, Лос-Анджелес

23


Преобразование MixColumns

Один из возможных способов реализации преобразования MixColumns

24


Общие проблемы и сложности

1) минимизация места, занимаемого на кристалле2) увеличение быстродействия3) защита от аппаратно-направленных атак (атака по

задержкам, атака по анализу энергопотребления)4) повышение функциональности5) выбор более долговечной аппаратной базы для

реализации

25


Отношение количества эквивалентных ячеек и времени задержки для вариантов реализации представленных Алирезой Ходжат и Ингрид Вербауведе, факультет электрического проектирования Калифорнийского Университета, Лос-Анджелес

Блок S-Box

26


Схема расширения ключа

27


Проблема масштабируемости

Nr Nb = 4 Nb = 6 Nb = 8Nk = 4 10 12 14Nk = 6 12 12 14Nk = 8 14 14 14

Зависимость количества раундов Nr от длины

массивов состояния Nb и ключа Nk

Зависимость величины сдвигов от длины состояния Nb

Nr = f(Nb, Nk) ? C1, C2, C3 = f(Nb) ?

Особенности аппаратной реализации алгоритма...

Documents