ФЕДЕРАЛЬНОЕ АГЕНТСТВО ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

НАЦИОНАЛЬНЫЙ

СТАНДАРТ

РОССИЙСКОЙ

ФЕДЕРАЦИИ

Информационная технология

КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

Блочные шифры

Предисловие

1    РАЗРАБОТАН Центром защиты информации и специальной связи ФСБ России с участием Открытого акционерного общества «Информационные технологии и коммуникационные системы» (ОАО «ИнфоТеКС»)

2    ВНЕСЕН Техническим комитетом по стандартизации ТК26 «Криптографическая защита информации»

3    УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 19 июня 2015 г. № 749-ст

4    ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

© Стандартинформ, 2016

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Федерального агентства по техническому регулированию и метрологии

А.1.4 Алгоритм развертывания ключа

В настоящем контрольном примере ключ имеет значение:

К = 8899aabbccddeeff0011223344556677fedcba98765432100123456789abcdef.

К, = 8899aabbccddeeff0011223344556677,

К₂ = fedcba98765432100123456789abcdef.

С-, = 6ea276726c487ab85d27bd10dd849401,

X[Ci](Ki) = e63bdcc9a09594475d369f2399d1f276,

SX[Ci](Ki) = 0998ca37a7947aabb78f4a5ae81b748a,

LSX[Ci](Ki) = 3d0940999db75d6a9257071d5e6144a6,

F[C₁](/<₁,/<2) =

= (c3d5fa01ebe36f7a9374427ad7ca8949, 8899aabbccddeeff0011223344556677).

C₂ = dc87ece4d890f4b3ba4eb92079cbeb02,

F[C₂]F[C,](K,_:K₂) =

= (37777748e56453377d5e262d90903f87, c3d5fa01 ebe36f7a9374427ad7ca8949).

C₃ = b2259a96b4d88e0be7690430a44f7f03,

F[C₃]...F[C₁](/<₁,/<₂) =

= (f9eae5f29b2815e31 fl 1 ac5d9c29fb01, 37777748e56453377d5e262d90903f87).

C₄ = 7bcd1b0b73e32ba5b79cb140f2551504,

F[C₄]...F[C₁](/<₁,/<₂) =

= (e980089683d00d4be37dd3434699b98f, f9eae5f29b2815e31 fl 1 ac5d9c29fb01).

C₅ = 156f6d791 fab511 deabb0c502fd18105,

F[C₅]...F[C₁](/<₁,/<₂) =

= (b7bd70acea4460714f4ebe13835cf004, e980089683d00d4be37dd3434699b98f).

C₆ = a74af7efab73df160dd208608b9efe06,

F[C₆]...F[C₁](/<₁,/<₂) =

= (1 a46ea1 cf6ccd236467287df93fdf974, b7bd70acea4460714f4ebe13835cf004).

C₇ = O9e8819dc73ba5ae50f5b570561a6a07,

F[C₇]...F[Ci](K_bK₂) =

= (3d4553d8e9cfec6815ebadc40a9ffd04, 1a46ea1cf6ccd236467287df93fdf974).

C₈ = f6593616e6055689adfba18027aa2a08,

(K₃,K₄) = F[C_a]...F[C,](K_bK₂) =

= (db31485315694343228d6aef8cc78c44, 3d4553d8e9cfec6815ebadc40a9ffd04).

Итерационные ключи К), /= 1,2, .... 10 принимаютследующие значения:

К_л = 8899aabbccddeeff0011223344556677,

К₂ = fedcba98765432100123456789abcdef,

К₃ = db31485315694343228d6aef8cc78c44,

К₄ = 3d4553d8e9cfec6815ebadc40a9ffd04,

К₅ = 57646468c44a5e28d3e59246f429f1ac,

К₆ = bd079435165c6432b532e82834da581b,

K₇ = 51e640757e8745de705727265a0098b1,

Kq = 5a7925017b9fdd3ed72a91a22286f984,

Kg = bb44e25378c73123a5f32f73cdb6e517,

K₁₀ = 72e9dd7416bcf45b755dbaa88e4a4043.

A. 1.5 Алгоритм зашифрования

В настоящем контрольном примере зашифрование производится при значениях итерационных ключей из А.1.4. Пусть открытый текст, подлежащий зашифрованию, равен

а = 1122334455667700ffeeddccbbaa9988,

тогда

SX[K|](a) = e87de8b6e87de8b6b6b6b6b6b6b6b6b6,

LSX[K^](a) = е297Ь686е355Ь0а1 cf4a2f9249140830, LSX[K₂]LSX[Ki](a) = 285e497a0862d596b36f4258a1c69072, LSX[K₃]...LSX[Ki](a) = 0187a3a429b567841ad50d29207cc34e, LSX[K₄]...LSX[Ki](a) = ec9bdba057d4f4d77c5d70619dcad206, LSX[K₅]...LSX[Ki](a) = 1357fd11de9257290c2a1473eb6bcde1,

8

ГОСТ P 34.12—2015

LSX[K₆]...LSX[K-_l](a) = 28ae31e7d4c2354261027ef0b32897df,

LSX[K₇]...LSX[K-_l](a) = 07e223d56002c013d3f5e6f714b86d2d,

LSX[K₈]...LSX[K-_l](a) = cd8ef6cd97e0e092a8e4cca61 b38bf65,

LSX[K₉]...LSX[K-_l](a) = 0d8e40e4a800d06b2f1 b37ea379ead8e.

Результатом зашифрования является шифртекст

b =X[K_w]LSX[K₉]...LSX[Ki](a) = 7f679d90bebc24305a468d42b9d4edcd.

A. 1.6 Алгоритм расшифрования

В настоящем контрольном примере расшифрование производится при значениях итерационных ключей из А. 1.4. Пусть шифртекст, подлежащий расшифрованию, равен шифртексту, полученному в предыдущем пункте:

b = 7f679d90bebc24305a468d42b9d4edcd,

тогда

Х[К_Ю]{Ь) = 0d8e40e4a800d06b2f1b37ea379ead8e,

^Х[К_Ю](Ь) = 8a6b930a52211b45c5baa43ff8b91319,

S"¹L"¹X[/<io](b) = 76ca149eef27d1b10d17e3d5d68e5a72,

S'¹ L^XIKq]^ и'х[К_ю](Ь) = 5d9b06d41b9d1d2d04df7755363e94a9,

S'¹r¹X[/<₈]...S-¹r¹X[/<₁o](b) = 79487192aa45709c115559d6e9280f6e,

S'¹r¹X[K₇]...S'¹r¹X[/<₁o](b) = ae506924c8ce331 bb918fc5bdfb195fa,

S'¹r¹X[K₆]...S'¹r¹X[/<₁o](b) = bbffbfc8939eaaffafb8e22769e323aa,

S"¹ L^X[K₈]... S'¹ L~^ X[Kw](b) = 3cc2f07cc07a8bec0f3ea0ed2ae33e4a,

S'¹ L^AX[K₄].. . S'¹ L'¹X[/<₁o](b) = f36f01291 d0b96d591 e228b72d011 c36,

S"¹ L'^X[Kg]... S'¹ L''¹ X[Kfo](b) = 1c4b0c1e950182b1ce696af5c0bfc5df,

Результатом расшифрования является открытый текст

а = X[Ki ]S^-1 L~^X[K₂]... S"¹ L'^X[Ki₀](b) = 1122334455667700ffeeddccbbaa9988.

A.2 Алгоритм блочного шифрования с длиной блока п = 64бит А.2.1 Преобразование t

t{ fdb97531) = 2a196f34, f(2a196f34) = ebd9f03a, f(ebd9f03a) = b039bb3d, f(b039bb3d) = 68695433.

A.2.2 Преобразование g g[87654321 ](fedcba98) = fdcbc20c, g[fdcbc20c](87654321) = 7e791a4b, g[7e791a4b](fdcbc20c) = c76549ec, g[c76549ec](7e791 a4b) = 9791 c849.

A.2.3 Алгоритм развертывания ключа В настоящем контрольном примере ключ имеет значение:

К = ffeeddccbbaa9988776655443322110OfOfl f2f3f4f5f6f7f8f9fafbfcfdfeff.

Итерационные ключи /<„/=1,2,..., 32 принимают следующие значения:

К-1 = ffeeddcc,	Кд = ffeeddcc,	/<17 = ffeeddcc,	/<25 = fcfdfeff,
/<2 = ЬЬаа9988,	К ю = bbaa9988,	/<i8 = bbaa9988,	/<26 = f8f9fafb.
К3 = 77665544,	Кц = 77665544,	/<19 = 77665544,	/<27 = f4f5f6f7,
К4 = 33221100,	K12 = 33221100,	/<20 = 33 221100,	/<28 = f0f1f2f3,
К5 = f0f1f2f3,	Kig = f0f1f2f3,	/<21 = f0f1f2f3,	/<29 = 33 221100,
К6 = f4f5f6f7,	Ku = f4f5f6f7,	/<22 = f4f5f6f7,	/<зо = 77665544,
К7 = f8f9fafb,	Kig = f8f9fafb,	K23 = f8f9fafb,	/<3i = bbaa9988,
К8 = fcfdfeff.	/<i6 = fcfdfeff,	/<24 = fcfdfeff,	/<32 = ffeeddcc.

А.2.4 Алгоритм зашифрования

В настоящем контрольном примере зашифрование производится при значениях итерационных ключей из А.2.3. Пусть открытый текст, подлежащий зашифрованию, равен

а = fedcba9876543210,

тогда

(а-1, а₀) = (fedcba98, 76543210),

G[Ki](a_b а₀) = (76543210, 28da3b14),

G[K₂]G[/<i](ai, а₀) = (28da3b14, Ы4337а5),

G[K₃]...G[K^, а₀) = (Ы4337а5, 633а7с68),

9

G[K₄]...G[Ki](a_b a₀) = (633a7c68, ea89c02c),

G[K₅]...G[Ki](a_b a₀) = (ea89c02c, 11fe726d),

G[K₆]...G[Ki](a_b a₀) = (11fe726d, ad0310a4),

G[K₇]...G[K₁](a₁, a₀) = (ad0310a4, 37d97f25),

G[K_a]...G[K^](a_b a₀) = (37d97f25, 46324615),

G[K₉]...G[Ki](a_b a₀) = (46324615, ce995f2a),

G[K₁₀]...G[K₁](a₁, a₀) = (ce995f2a, 93c1f449),

G[K₁₁]...G[/<₁](a₁, a₀) = (93c1f449, 4811c7ad),

G[K₁₂]...G[K₁](a₁, a₀) = (4811c7ad, c4b3edca),

G[Ki₃]...G[Ki](ai, a₀) = (c4b3edca, 44ca5ce1),

G[K₁₄]...G[Ki](ai, a₀) = (44ca5ce1, fef51b68),

G[K₁₅]...G[K₁](a₁, a₀) = (fef51b68, 2098cd86),

G[K₁₆]...G[K₁](a₁, a₀) = (2098cd86, 4f15b0bb),

G[K₁₇]...G[K₁](a₁, a₀) = (4f15b0bb, e32805bc),

G[K₁₈]...G[K₁](a₁, a₀) = (e32805bc, e7116722),

G[K₁₉]...G[K₁](a₁, a₀) = (e7116722, 89cadf21),

G[/<₂₀]...G[/<i](ai, a₀) = (89cadf21, bac8444d),

G[K₂i]... G[Ki ](ai, a₀) = (bac8444d, 11263a21),

G[K₂₂]...G[Ki](ai, a₀) = (11263a21, 625434c3),

G[K₂₃]...G[Ki](ai, a₀) = (625434c3, 8025c0a5),

Ф^Е-ФиКа-ь a₀) = (8025c0a5, b0d66514),

G[K₂₅]...G[Ki](ai, a₀) = (b0d66514, 47b1d5f4),

G[K₂₆]... G[Ki ](ai, a₀) = (47b1d5f4, c78e6d50),

G[K₂7]...G[K₁](a₁, a₀) = (c78e6d50, 80251 e99),

G[K_2a]...G[Ki](a_b a₀) = (80251 e99, 2b96eca6), в[к₂₉]...в[к₁](а₁, a₀) = (2b96eca6, 05ef4401),

G[K₃₀]...G[K₁](a₁, a₀) = (05ef4401, 239a4577),

G[K₃i\...G[Ki]{a_b a₀) = (239a4577, c2d8ca3d).

Результатом зашифрования является шифртекст

b = G*[K₃₂]G[K₃₁]...G[K₁](a₁, a₀) = 4ee901e5c2d8ca3d.

A.2.5 Алгоритм расшифрования

В настоящем контрольном примере расшифрование производится при значениях итерационных ключей из А.2.3. Пусть шифртекст, подлежащий расшифрованию, равен шифртексту, полученному в предыдущем пункте:

b = 4ee901e5c2d8ca3d,

тогда

(Ь-1, b₀) = (4ее901е5, c2d8ca3d),

G[K₃₂]{b_b b₀) = (c2d8ca3d, 239a4577), G[K^]G[K_a2]{b_b b₀) = (239a4577, 05ef4401), G[/<3o]...G[/<3₂](b₁, b₀) = (05ef4401,2b96eca6), G[K₂₉]...G[K₃₂](b_b b₀) = (2b96eca6, 80251 e99), G[K_2a]...G[K₃₂](b_b b₀) = (80251 e99, c78e6d50), G[K₂₇]...G[K_a2]{b_b b₀) = (c78e6d50, 47b1d5f4), G[K₂₆]... G[K₃₂](b₁, b₀) = (47b1d5f4, b0d66514), G[K₂₅]...G[K_a2]{b_b b₀) = (b0d66514, 8025c0a5), G[K₂₄]...G[K₃₂](b₁, b₀) = (8025c0a5, 625434c3), G[/<₂₃]...G[/<3₂](b₁, b₀) = (625434c3, 11263a21), G[K₂₂]...G[K_a2]{b_b b₀) = (11263a21, bac8444d), G[K₂₁ ]... G[K₃₂](b₁, b₀) = (bac8444d, 89cadf21), G[K₂₀]...G[K_a2]{b_b b₀) = (89cadf21, e7116722), G[/<₁₉]...G[/<3₂](b₁, b₀) = (e7116722, e32805bc), G[K_la]...G[K₃₂]{b_b b₀) = (e32805bc, 4f15b0bb), GlK^l^GlK^lb-^, b₀) = (4f15b0bb, 2098cd86), G[TC₁₆]... G[7C₃₂](b₁, b₀) = (2098cd86, fef51b68), G[K₁₅\...G[K₃₂]{b_b b₀) = (fef51b68, 44ca5ce1), G[Ki₄], .. G[K₃₂](bi, b₀) = (44ca5ce1, c4b3edca), G[K₁₃],.. G[K₃₂](b-\, b₀) = (c4b3edca, 4811 c7ad), G[K₁₂]...G[/<3₂](b₁, b₀) = (4811c7ad, 93c1f449), G[K₁₁]...G[/<3₂](b₁, b₀) = (93c1f449, ce995f2a), G[/<io]...G[/<3₂](bi, b₀) = (ce995f2a, 46324615), G[K₉]...G[K₃₂]{b_b b₀) = (46324615, 37d97f25), G[K_a]...G[K₃₂](b_b b₀) = (37d97f25, ad0310a4), G[K₇]...G[K₃₂]{b_b b₀) = (ad0310a4, 11fe726d), G[K₆]...G[K₃₂]{b_b b₀) = (11 fe726d, ea89c02c), G[K₅]...G[K₃₂]{b_b b₀) = (ea89c02c, 633a7c68),

10

G[K₄]...G[K₃₂]{b_b b₀) = (633a7c68, Ы4337а5),

G[K₃]...G[K₃₂]{b_b b₀) = (Ы4337а5, 28da3b14),

G[K₂]...G[K₃₂]{b_b b₀) = (28da3b14, 76543210).

Результатом расшифрования является открытый текст

а = G*[Ki]G[K₂]...G[K₃₂]{b_b b₀) = fedcba9876543210.

ГОСТ P 34.12—2015

Введение

Настоящий стандарт содержит описание алгоритмов блочного шифрования, которые применяются в криптографических методах защиты информации.

Необходимость разработки стандарта вызвана потребностью в создании блочных шифров с различными длинами блока, соответствующих современным требованиям к криптографической стойкости и эксплуатационным качествам.

Настоящий стандарт терминологически и концептуально увязан с международными стандартами ИСО/МЭК 10116 [1] и серии ИСО/МЭК 18033 [2], [3].

Примечание — Основная часть стандарта дополнена приложением А.

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология

КРИПТОГРАФИЧЕСКАЯ ЗАЩИТА ИНФОРМАЦИИ

Блочные шифры

Information technology. Cryptographic data security.

Block ciphers

Дата введения — 2016—01—01

1    Область применения

Настоящий стандарт определяет алгоритмы базовых блочных шифров, которые применяются в криптографических методах обработки и защиты информации, в том числе для обеспечения конфиденциальности, аутентичности и целостности информации при ее передаче, обработке и хранении в автоматизированных системах.

Определенные в настоящем стандарте алгоритмы криптографического преобразования предназначены для аппаратной или программной реализации, удовлетворяют современным криптографическим требованиям и по своим возможностям не накладывают ограничений на степень секретности защищаемой информации.

Стандарт рекомендуется использовать при создании, эксплуатации и модернизации систем обработки информации различного назначения.

2    Термины, определения и обозначения

2.1    Термины и определения

В настоящем стандарте применены следующие термины с соответствующими определениями.

2.1.1 _

алгоритм зашифрования (encryption algorithm): Алгоритм, реализующий зашифрование, т.е.

преобразующий открытый текст в шифртекст.

[ИСО/МЭК 18033-1, статья 2.19]_

2.1.2_

алгоритм расшифрования (decryption algorithm): Алгоритм, реализующий расшифрование, т.е. преобразующий шифртекст в открытый текст.

[ИСО/МЭК 18033-1, статья 2.14]_

2.1.3 _

базовый блочный шифр (basic block cipher): Блочный шифр, реализующий при каждом фиксированном значении ключа одно обратимое отображение множества блоков открытого текста фиксированной длины в блоки шифртекста такой же длины._

2.1.4

блок (block): Строка бит определенной длины.

[ИСО/МЭК 18033-1, статья 2.6]_

2.1.5 _

блочный шифр (block cipher): Шифр из класса симметричных криптографических методов, в котором алгоритм зашифрования применяется к блокам открытого текста для получения блоков шифртекста.

[ИСО/МЭК 18033-1, статья 2.7]_

Примечание — В настоящем стандарте установлено, что термины «блочный шифр» и «алгоритм блочного шифрования» являются синонимами.

Издание официальное

2.1.6_

зашифрование (encryption): Обратимое преобразование данных с помощью шифра, которое формирует шифртекст из открытого текста.

[ИСО/МЭК 18033-1, статья 2.18]_

2.1.7 _

итерационный ключ (round key): Последовательность символов, вычисляемая в процессе развертывания ключа шифра, и определяющая преобразование на одной итерации блочного шифра.

2.1.8 _

ключ (key): Изменяемый параметр в виде последовательности символов, определяющий криптографическое преобразование.

[ИСО/МЭК 18033-1, статья 2.21]_

Примечание — В настоящем стандарте рассматриваются ключи только в виде последовательности двоичных символов (битов).

2.1.9 _

открытый текст (plaintext): Незашифрованная информация.

[ИСО/МЭК 10116, статья 3.11]_

2.1.10 _

развертывание ключа (key schedule): Вычисление итерационных ключей из ключа шифра.

2.1.11

расшифрование (decryption): Операция, обратная к зашифрованию.

[ИСО/МЭК 18033-1, статья 2.13]_

Примечание — В настоящем стандарте в целях сохранения терминологической преемственности по отношению к опубликованным научно-техническим изданиям применяется термин «шифрование», объединяющий операции, определенные терминами «зашифрование» и «расшифрование». Конкретное значение термина «шифрование» определяется в зависимости от контекста упоминания.

2.1.12_

симметричный криптографический метод (symmetric cryptographic technique): Криптографический метод, использующий один и тот же ключ для преобразования, осуществляемого отправителем, и преобразования, осуществляемого получателем.

[ИСО/МЭК 18033-1, статья 2.32]_

2.1.13 _

шифр (cipher): Криптографический метод, используемый для обеспечения конфиденциальности данных, включающий алгоритм зашифрования и алгоритм расшифрования.

[ИСО/МЭК 18033-1, статья 2.20]_

2.1.14 _

шифртекст (ciphertext): Данные, полученные в результате зашифрования открытого текста с целью скрытия его содержания.

[ИСО/МЭК 10116, статья 3.3]_

2.2 Обозначения

В настоящем стандарте используются следующие обозначения:

V*    —    множество всех двоичных строк конечной длины, включая пустую

строку;

1/s    —    множество всех двоичных строк длины s, где s — целое неотрица

тельное число; нумерация подстрок и компонент строки осуществляется справа налево начиная с нуля;

U*W    —    прямое (декартово) произведение множества U и множества И/;

|Д    —    число компонент (длина) строкиДе\/*(если А — пустая строка, то

\А\ = 0);

Д||В    —    конкатенация строк Д Be V, т.е. строка из\^_Л| + |_В|, в которой подстрока с

большими номерами компонент из\/|_Л| совпадает со строкой А, а подстрока с меньшими номерами компонент из V\_B\ совпадает со строкой В;

4.1.2    Линейное преобразование

Линейное преобразование задается отображением t \f§ —> \/₈, которое определяется следующим образом:

/(ai5,...,ao) ⁼ V(148 ■ Д(а15) + 32 ■ А(а^4) + 133 ■ A(ai₃) + 16 ■ Д(а^2) ⁺

+ 194 ■ Д(ац) + 192 ■ Д(а₁₀) + 1 ■ Д(а₉) + 251 ■ Д(а₈) + 1 ■ Д(а₇) + 192 ■ Д(а₆) +    (1)

+194 ■ Д(а₅) + 16 ■ Д(а₄) + 133 ■ Д(а₃) + 32 ■ Д(а₂) + 148 ■ Д^) + 1 ■ Д(а₀))

для любых а,е \/₈,/= 0, 1, ...,15, где операции сложения и умножения осуществляются в полег, а константы являются элементами поля в указанном ранее смысле.

4.2    Преобразования

При реализации алгоритмов зашифрования и расшифрования используются следующие преобразования:

т- ^128    ^128    Х[к](а)    =    к® а,    (2)

где к,ае У₁₂₈;

4.3 Алгоритм развертывания ключа

Алгоритм развертывания ключа использует итерационные константы С, е \/₁₂₈,/= 1,2, ..., 32, которые определены следующим образом:

С, = L(Vec₁₂₈(/)), / = 1,2, ..., 32.    (10)

Итерационные ключи К, е \/₁₂₈,/= 1,2, ..., 10, вырабатываются на основе ключа К = =/<25511-•• И^о ^е V₂₅₆, к, е 1/,, /= 0,1, ..., 255 и определяются равенствами:

^1 ^- ^25511-11^128;

^=*12711-11*6;    (11)

(/^2/+ 1 > /^2/+ 2) ⁼ F [^8(/-1) +    [^8(/-1) + l)(^2/-1 > *2/)> / ^- 1.2, 3, 4.

4.4 Базовый алгоритм шифрования

4.4.1 Алгоритм зашифрования

Алгоритм зашифрования в зависимости от значений итерационных ключей KjE V₁₂8, i= 1,2, ..., 10, реализует подстановку E_{Kl Kl0}, заданную на множестве \/₁₂₈ в соответствии с равенством

4

ГОСТ Р 34.12-2015

(12) где а £ 1/-128-

4.4.2 Алгоритм расшифрования

Алгоритм расшифрования в зависимости от значений итерационных ключей К, еЦ28,/= 1,2,    10    реализует    подстановку    D_{Kl    Kl0},    заданную    на    множестве    1/₁₂₈    в

соответствии с равенством

D_Kl к₁₀(а) =    JS'¹ /.-¹Х[К₂]... S'¹ ^Х[Кд JS'¹ Г^К^Ка),    (13)

где а 6 \/₁₂₈.

5 Алгоритм блочного шифрования с длиной блока п = 64 бит

5.1    Значения параметров

5.1.1    Нелинейное биективное преобразование

В качестве нелинейного биективного преобразования выступают подстановки тт, = Vec^/lnt,: V₄ —> V₄, где тт/: Z₂4 —> 1₂л, / = 0,1,    7. Значения подстановок тт/

записаны ниже в виде массивов тт/ = (тт/(0), тт/(1),    тт/(15)),    /=    0,1,    7:

тт₀' = (12, 4, 6, 2, 10, 5, 11, 9, 14, 8, 13, 7, 0, 3, 15, 1); тт,' = (6, 8, 2, 3, 9, 10, 5, 12, 1, 14, 4, 7, 11,13, 0, 15); тт₂' = (11,3, 5, 8, 2, 15, 10, 13, 14, 1,7,4, 12, 9,6,0); тт₃' = (12, 8,    2,    1, 13, 4, 15, 6, 7,    0,    10, 5, 3, 14, 9, 11);

тт₄' = (7, 15,    5,    10, 8, 1,6, 13, 0,    9,    3, 14, 11,4, 2, 12);

тт₅' = (5, 13,    15, 6, 9, 2, 12, 10, 11,    7, 8, 1,4, 3, 14, 0);

тт₆' = (8, 14,    2,    5,6, 9, 1, 12, 15,    4,    11,0, 13, 10, 3, 7);

тт₇' = (1,7, 14, 13, 0, 5, 8, 3, 4, 15, 10, 6, 9, 12, 11,2).

5.2 Преобразования

При реализации алгоритмов зашифрования и расшифрования используются следующие преобразования:

t\ V32 —> \/з2	t{a) = f(a7||...||a0) = тт7(а7)||...||тт0(а0), где а = а7||...||а0 £ V22, а,£ V4, /= 0, 1, ..., 7;	(14)
\/32 —> \/32	SW(a) = (f(Vec32(lnt32(a) Ш lnt32(A))))<«11, гд6 к, а е \/з2ш,	(15)
G[/c]: 1/32 х V/32 —> И32х Ц32	G[k](a-i, а„) = (а„, дИ(а0) ® а^, где k, 3q, э-\ £ \/32;	(16)
G>]: 1/32х\/з2 -> Цз4	®*И(а1, а„) = (дИ(а0) ® а^Цао, где к, а0, а! £ \/32.	(17)

5.3 Алгоритм развертывания ключа

Итерационные ключи К, е V₃₂, / = 1,2, ..., 32, вырабатываются    на основе ключа

К = = k₂₅₅\\...\\k₀ е V₂₅₆, kj £ V_b i= 0, 1, ..., 255 и определяются равенствами:

Ki ⁼ к₂₅₅\\...\\к₂₂₄,

к₂ = а₂2з11 ■ ■ ■ 11^192;

К₃ = Aigi ||... Ц/Cieo;

К4 ⁼ ^15э|| ■ ■ ■ 11^128;

^5 ⁼ ^12711 ■■ ■ И^Эб!

^6 ⁼ ^ЭбП-" 11^64!    (18)

К7 = ^6з11---11^32;

К₈ = /C3iM...||A₀;

К, + ₈ = К,, / = 1,2, ..., 8;

К)₊₁₆ = К_/,/ = 1,2, ..., 8;

5

K_{l + 2}A = K₉_„i='l,2,

5.4 Базовый алгоритм шифрования

5.4.1    Алгоритм зашифрования

Алгоритм    зашифрования    в    зависимости    от    значений    итерационных    ключей

KjE \/_Ъ2, /= 1,2,    32 реализует подстановку Е_к Кз2, заданную на множестве V₆₄ в соответствии с

равенством

Е_к,.....к₃₂(а) = G*[K₃₂]G[K₃₁]...G[K₂]G[K₁](a₁, а₀),    (19)

гдеа = а₁||а₀б V₆₄, а₃, э, е V₂₂■

5.4.2    Алгоритм расшифрования

Алгоритм    расшифрования    в    зависимости    от    значений    итерационных    ключей

К,- е V₃₂, / = 1,2..... 32 реализует подстановку D_{Kl Кз2}, заданную на множестве V₆₄ в соответствии с

равенством

D_Kl.....к₃₂(а) = G*[K₁]G[K₂]...G[K₃₁]G[K₃₂](a₁, а₀),    (20)

где а = а, ||а₀ £ Vq₄, а₃, a, s V₂₂.

6

ГОСТ Р 34.12-2015

Приложение А (справочное)

Контрольные примеры

Данное приложение носит справочный характер и не является частью настоящего стандарта.

В данном приложении двоичные строки из V*, длина которых кратна 4, записываются в шестнадцатеричном виде, а символ конкатенации ("||") опускается, то есть, строка as V_4r будет представлена в виде

а_г_^а_г_₂...а₀,

где а/ £ {0, 1, ..., 9, a, b, с, d, е, f}, / = 0, 1, ..., г-1.Соответствие между двоичными строками длины 4 и шестнадцатеричными строками длины 1 задается естественным образом (таблица А.1). Преобразование, ставящее в соответствие двоичной строке длины 4г шестнадцатеричную строку длины г, и соответствующее обратное преобразование для простоты записи опускаются.

Таблица А.1 — Соответствие между двоичными и шестнадцатеричными строками

0000	0
0001	1
0010	2
0011	3
0100	4
0101	5
0110	6
0111	7
1000	8
1001	9
1010	a
1011	b
1100	c
1101	d
1110	e
1111	f

А.1 Алгоритм блочного шифрования с длиной блока п = 128 бит А.1.1 Преобразование S

S(ffeeddccbbaa99881122334455667700) = b66cd8887d38e8d77765aeea0c9a7efc, S(b66cd8887d38e8d77765aeea0c9a7efc) = 559d8dd7bd06cbfe7e7b262523280d39, S(559d8dd7bd06cbfe7e7b262523280d39) = 0c3322fed531 e4630d80ef5c5a81 c50b, S(0c3322fed531e4630d80ef5c5a81c50b) = 23ae65633f842d29c5df529c13f5acda.

A. 1.2 Преобразование/?

R(00000000000000000000000000000100) = 94000000000000000000000000000001, R(94000000000000000000000000000001) = a5940000000000000000000000000000, R(a5940000000000000000000000000000)=64a59400000000000000000000000000, R(64a59400000000000000000000000000) = 0d64a594000000000000000000000000.

A.1.3 Преобразование/.

Ц64а59400000000000000000000000000) = d456584dd0e3e84cc3166e4b7fa2890d, Z.(d456584dd0e3e84cc3166e4b7fa2890d) = 79d26221b87b584cd42fbc4ffea5de9a, Z.(79d26221b87b584cd42fbc4ffea5de9a) = 0e93691 a0cfc60408b7b68f66b513d 3, Z.(0e93691a0cfc60408b7b68f66b513c13) = e6a8094fee0aa204fd97bcb0b44b8580.

7