В криптографических приложениях для усиления стойкости иногда используют комбинирование различных алгоритмов. Иногда популярен такой подход среди любителей в криптографии – если кто-то не доверяет и не может проверить стойкость алгоритма, то почему бы не использовать несколько алгоритмов совместно?

В криптографических приложения для усиления стойкости иногда используют комбинирование различных алгоритмов. Иногда популярен такой подход среди любителей в криптографии – если кто-то не доверяет и не может проверить стойкость алгоритма, то почему бы не использовать несколько алгоритмов совместно?

Другой простой и интуитивно понятный способ комбинирования – copy-combiner f(x) || g(x) – объединение выходов двух псевдослучайных функций с одинаковым значением входа x является стойким для большинства практических применений, где требуется проверка целостности: коллизионно-стойкое хэширование, коды аутентификации собщений (MAC), цифровые подписи.

Так наиболее популярный метод комбинирования – каскадное шифрование (последовательное применение систем шифрования, когда текст сначала шифруется одним, затем другим алгоритмом с разными ключами E = е_k1 (e_k2 (x))), действительно является стойким против трёх типов атак-различителей (атак на основе подобранных открытых текстов IND-CPA, неадаптивных атак на основе подобранных шифртекстов IND-CCA1 и атак на основе подобранных шифртекстов с повторениями IND-rCCA). Но при этом шифрокаскады нестойки в рамках моделей адаптивных и генерализованных атак с подобраным шифртекстом (IND-CCA2, IND-gCCA). Это первый результат, полученный для каскадов систем шифрования, а не блочных шифров как таковых. Для блочных шифров актуальной остается работа Маурера, в которой доказывается, что в каскаде блочных шифров самым слабым звеном является первый шифр каскада.

Так наиболее популярный метод комбинирования – каскадное шифрование (последовательное применение систем шифрования, когда текст сначала шифруется одним, затем другим алгоритмом с разными ключами E = е_k1 (e_k2 (x))), действительно является стойким против трёх типов атак-различителей (атак на основе подобранных открытых текстов IND-CPA, неадаптивных атак на основе подобранных шифртекстов IND-CCA1 и атак на основе подобранных шифртекстов с повторениями IND-rCCA). Но при этом шифрокаскады нестойки в рамках моделей адаптивных и генерализованных адаптивных атак (IND-CCA2, IND-gCCA). Это первый результат, полученный для каскадов систем шифрования, а не блочных шифров как таковых. Для блочных шифров актуальной остается работа Маурера, в которой доказывается, что в каскаде блочных шифров самым слабым звеном является первый шифр каскада.

Так наиболее популярный метод комбинирования – каскадное шифрование (последовательное применение систем шифрования, когда текст сначала шифруется одним, затем другим алгоритмом с разными ключами E = е_k1(ek2(x))), действительно является стойким против трёх типов атак-различителей (атак на основе подобранных открытых текстов IND-CPA, неадаптивных атак на основе подобранных шифртекстов IND-CCA1 и атак на основе подобранных шифртекстов с повторениями IND-rCCA). Но при этом шифрокаскады нестойки в рамках моделей адаптивных и генерализованных адаптивных атак (IND-CCA2, IND-gCCA). Это первый результат, полученный для каскадов систем шифрования, а не блочных шифров как таковых. Для блочных шифров актуальной остается работа Маурера, в которой доказывается, что в каскаде блочных шифров самым слабым звеном является первый шифр каскада.

В криптографических приложения для усиления стойкости иногда используют комбинирование различных алгоритмов.
Так наиболее популярный метод комбинирования – каскадное шифрование (последовательное применение систем шифрования, когда текст сначала шифруется одним, затем другим алгоритмом с разными ключами E = еk1(ek2(x))), действительно является стойким против трёх типов атак-различителей (атак на основе подобранных открытых текстов IND-CPA, неадаптивных атак на основе подобранных шифртекстов IND-CCA1 и атак на основе подобранных шифртекстов с повторениями IND-rCCA). Но при этом шифрокаскады нестойки в рамках моделей адаптивных и генерализованных адаптивных атак (IND-CCA2, IND-gCCA). Это первый результат, полученный для каскадов систем шифрования, а не блочных шифров как таковых. Для блочных шифров актуальной остается работа Маурера, в которой доказывается, что в каскаде блочных шифров самым слабым звеном является первый шифр каскада.
Для объединения систем шифрования необходимо учитывать, что две разные системы могут давать разный выход в длине шифртекста (например, если они имеют разный размер блока шифрования) и если объединение осуществляется как некая операция П * П', а не последовательно с сохранением длины, то возможна утечка сведений о длине открытого текста и появление скрытого канала.
XOR-input combiner П xor П' является в целом стойким для шифрования. Например для систем шифрования с открытым ключём он обладает свойствами IND-CPA, IND-CCA1, но не соответствует спецификациям IND-CCA2, IND-gCCA, IND-rCCA.