18.07 // Каскады из разных шифров могут быть слабее своих составных частей

Многораундовое шифрование из разных шифрующих функций и шифрование на основе каскадного повторения одного и того же шифра привлекало внимание в течении десятилетий и изучалось на основе модели идеального шифра. Традиционный и самый простой ответ заключался в том, что "двойное шифрование крайне незначительно увеличивает стойкость, а тройное — существественно значительнее, чем двойное и одинарное".

Основой нового исследования послужило обобщение также широко известного вопроса "является ли шифр группой?" в случае разнородных объединений. Грубо говоря, функция шифрования E : K x M → M называется имеющей групповое свойство, если для каждой пары ключей (k₁, k₂) существует другой ключ k ∈ K, такой что E(k₂, E (k₁, p) = E (k, p) для любого открытого текста p ∈ M. Аналогично, получающаяся комбинация шифров не порождает никаких новых перестановок.

Групповые свойства очевидно дают преимущество криптоаналитикам противника, поскольку они снижают затраты на перебор ключа против комбинации шифров. Неудивительно, что такие вопросы возникли при попытке оценить возможные слабости при многократном шифровании DES. Однако такие опасения были развеяны группами исследователей, которые в разных работах показывали, что DES не является группой или порождает слишком большую группу.

Исследователь John O. Pliam опубликовал предварительные результаты к методам оценки сочетаний различных шифрующих функций. При этом он утверждает, что возможны случаи как существенного увеличения области перестановок тройных шифров по сравнению с двойными, так и обратный вариант, приводящий к коллапсу стойкости. Ему удалось представить различители для сочетаний как для идеальных теоретически стойких сочетаний шифров, так и для шифров в вычислительной модели.

Так, по контритуитивному утверждению исследователя, если в цепочке X → Y → Z, шифрующая функция Y является идеальной, то это не означает, что вся цепочка будет идеальной. При этом стойкость к атакам будет зависеть от внутренней структуры оставшихся компонентов цепочки и порядка их следования.

Источник: Cryptography and Security Archive. См. также: Увеличение размера ключа в шифрах за счёт использования каскадов.