WAKE

Алгоритм работает в режиме CFB — предыдущее слово шифрованной последовательности служит основанием генерации следующего. Однако существуют модификации алгоритма, связанные с изменением процесса генерации ключа и позволяющие работать в режимах OFB и ROFB (Reverse OFB)[6]. В гамме шифра используются 32-битовые слова, а длина стартового ключа составляет 128 бит[1]. Также в алгоритме используется S-блок замены, состоящий из 256 32-битных слов. В работе используются четыре переменные, для лучшей производительности в этом качестве нужно использовать регистры. При работе полагается повторное использование таблиц в кэше и наличие большого пространства состояний. Это означает, что кэш данных должен без проблем вмещать таблицу из 256 слов[2].

Алгоритм является достаточно быстрым — на 32-битовых процессорах VLIW архитектуры оценочная производительность составляет 6.38 циклов на байт, что превышает аналогичный показатель алгоритма SEAL, но уступает RC4 (3.5 и 10.6 циклов на байт, соответственно)[3].

Шифр поддается криптоанализу, а именно атакам по подобранному открытому тексту и подобранному шифротексту[7].

Функция смешения ${\displaystyle M(x,y,S)}$

Блок-схема алгоритма WAKE в режиме CFB. ${\displaystyle R3-R6}$ — регистры

Алгоритм строится на основе каскадного использования функции смешения ${\displaystyle M(x,y,S)=(x+y)>>8\oplus S_{(x+y)\land 255}}$ (${\displaystyle \land }$ — знак побитовой конъюнкции, ${\displaystyle \oplus }$ — битовая операция исключающего «ИЛИ», битовый сдвиг ${\displaystyle >>}$ является логическим)[7], которая при помощи ${\displaystyle S}$-блока замены преобразует 32-битовые слова ${\displaystyle x}$ и ${\displaystyle y}$, подаваемые на вход, в 32-битовое слово на выходе. Причем слова в ${\displaystyle S}$-блоке составляются таким образом, что множество старших байтов этих слов представляет собой перестановку от 0 до 255 (первые байты каждого слова являются уникальными), тогда как оставшиеся 3 байта заполняются случайным образом[8]. Функция смешения ${\displaystyle M(x,y,S)}$ сделана реверсивной из таких соображений, что знания одного из слов на входе и слова на выходе будет достаточно для восстановления второго неизвестного на входе[9].

WAKE состоит из четырёх каскадов функции ${\displaystyle M(x,y,S)}$ с обратными связями по каждому и ещё одной на всю группу каскадов. Такое количество выбрано, как минимально возможное для полной диффузии данных в слове (то есть при изменении хотя бы одного бита ключа происходит полное изменение результата работы алгоритма шифрования), происходящей из-за того, что ${\displaystyle S}$-блок осуществляет нелинейное преобразование, и использование побитового «И» и исключающего «ИЛИ» также вносит небольшую нелинейность[2].

Процесс шифрования происходит в три этапа[1]:

1. Процесс генерации S-блока;
2. Процесс генерации автоключа;
3. Непосредственно шифрование и расшифровывание.

Существует достаточно много способов использования данного шифра, однако автор формулирует только три основных метода[13]:

1. Дополнение зашифрованных данных двумя словами на обоих концах и последующее заполнение всех бит этих слов одинаковыми случайными значениями. Таким образом, декодер сможет распознавать, когда необходимо использовать следующий ключ в ключевой последовательности для успешной расшифровки сообщения;
2. Изменение стартового ключа для каждого нового блока данных;
3. Шифрование последних четырёх слов открытого текста, дальнейшее гаммирование с помощью стартового ключа всей последовательности и осуществление того же самого в обратном порядке с помощью другого стартового ключа. Этот метод также может подразумевать использование какой-либо стандартной хеш-функции на секретном ключе, имеющей тот же стартовый ключ и таблицу замены для генерации хеша длиной в 128 бит. Этот хеш смешивается с первыми четырьмя словами открытого текста, собственно, в дальнейшем шифрование происходит тем же образом, как и ранее. Так, каждое новое сообщение образует новый результат на выходе алгоритма. Также в случае использования хеш-функции скорость выполнения повышается примерно в 5 раз в сравнении с обычным методом. Метод хорош тем, что хорошо подходит для коротких сообщений, где многократное вычисление таблицы замены заметно снижает эффективность применения. Так что использование одной и той же таблицы замены является оправданным шагом.

Пример работы данного алгоритма шифрования представлен следующим образом[1]:

1. Инициализация стартового ключа ${\displaystyle K}$:

   ${\displaystyle K=}$ «legitosinarhusni».

   В шестнадцатеричной системе счисления он будет выглядеть так:

   ${\displaystyle K=6C656769746F73696E61726875736E69}$

2. Необходимо разбить ключ на четыре равные части и инициализировать стартовые значения регистров:

   ${\displaystyle R3[0]=6C656769}$

   ${\displaystyle R4[0]=746F7369}$

   ${\displaystyle R5[0]=6E617268}$

   ${\displaystyle R6[0]=75736E69}$

3. Вычисление следующего слова ключевой последовательности (${\displaystyle S}$-блок уже сгенерирован на основе имеющегося стартового ключа):

   ${\displaystyle M(R3[0],R6[0])=M(6C656769,75736E69)=(6C656769+75736E69)>>8\oplus S_{(6C656769+75736E69)\land 255_{10}}=E1D8D5D2>>8\oplus S_{210}=00E1D8D5\oplus 1C5A4A56=1CBB9283}$

   ${\displaystyle R3[1]=1CBB9283}$

   ${\displaystyle M(R4[0],R3[1])=M(746F7369,1CBB9283)=(746F7369+1CBB9283)>>8\oplus S_{(746F7369+1CBB9283)\land 255_{10}}=912B05ER5>>8\oplus S_{236}=00912B05\oplus 26853B5R4=2614105E}$

   ${\displaystyle R4[1]=2614105E}$

   ${\displaystyle M(R5[0],R4[1])=M(6E617268,2614105E)=(6E617268+2614105E)>>8\oplus S_{(6E617268+2614105E)\land 255_{10}}=947582C6>>8\oplus S_{198}=00947582\oplus 244C066R5=24D873EE}$

   ${\displaystyle R5[1]=24D873EE}$

   ${\displaystyle M(R6[0],R5[1])=M(75736E69,24D873EE)=(75736E69+24D873EE)>>8\oplus S_{(75736E69+24D873EE)\land 255_{10}}=9A4BE257>>8\oplus S_{87}=009A4BE2\oplus C2C748D2=C25D0330}$

   ${\displaystyle R6[1]=C25D0330}$

   ${\displaystyle K_{1}=C25D0330}$ — новый ключ.

4. Далее, пусть в роли открытого текста взят «ROBBI RAHIM». В HEX-представлении это будет ${\displaystyle p=524F42424920524148494D}$. Необходимо произвести гаммирование данной числовой последовательности с ключом:

Итак, зашифрованной последовательностью слов является «•_Ar‹}QqŠ_N».

Алгоритм поточного шифрования поддается дешифрованию путём атак по подобранному открытому тексту и подобранному шифротексту[7]. В случае первого варианта атаки производится попытка восстановить таблицу замены, перебирая варианты открытого текста на входе, второй представляет собой подбор шифротекста для точного определения тех же неизвестных значений ${\displaystyle S}$-блока. Известно, что вычислительная сложность атаки по подобранному открытому тексту составляет примерно ${\displaystyle 10^{14.4}}$ или ${\displaystyle 10^{19.2}}$ в зависимости от выбранной модификации атаки (в первом случае используется больше вариантов открытого текста). Вычислительная сложность атаки путем полного перебора составляет примерно ${\displaystyle 3*10^{2504}}$, то есть относительная эффективность атаки по подобранному открытому тексту является очевидной[14]. Ещё одно преимущество атаки, предложенной в рассматриваемой статье[15], заключается в том, что она не зависит от смены ключа[16]. Тем не менее, алгоритмы, с помощью которых производится криптоанализ, становятся невыполнимы, если увеличить длину слова (${\displaystyle 4n}$ бит, где ${\displaystyle n>8}$). Таким образом, они могут быть значительно улучшены в перспективе[17][15].

Также, продолжительное изменение данных в каком-либо одном месте алгоритма шифрования в процессе работы может скомпрометировать таблицу замены. В случае, если ${\displaystyle S}$-блок уже известен, то требуется всего 5 пар слов открытого-зашифрованного текста для того, чтобы точно определить значения регистров ${\displaystyle R3-R6}$[11].