GOST (cifrado por bloques)

El cifrador de bloques GOST ( Magma ), definido en el estándar GOST 28147-89 , ^{[ 2 ]} es un cifrador de bloques de clave simétrica estándar del gobierno soviético y ruso con un tamaño de bloque de 64 bits. El estándar original, publicado en 1989, no le daba ningún nombre al cifrador, pero la revisión más reciente del estándar, GOST R 34.12-2015 , ^{[ 3 ] [ 4 ]} especifica que puede denominarse Magma. ^{[ 5 ]} La función hash GOST se basa en este cifrador. El nuevo estándar también especifica un nuevo cifrador de bloques de 128 bits llamado Kuznyechik .

Desarrollado en la década de 1970, el estándar había sido clasificado como "Alto Secreto" y luego degradado a "Secreto" en 1990. Poco después de la disolución de la URSS , fue desclasificado y publicado en 1994. GOST 28147 era una alternativa soviética al algoritmo estándar estadounidense DES . ^{[ 6 ]} Por lo tanto, ambos son muy similares en estructura.

GOST tiene un tamaño de bloque de 64 bits y una longitud de clave de 256 bits. Sus cajas S pueden ser secretas y contienen aproximadamente 354 (log ₂ (16! ⁸ )) bits de información secreta, por lo que el tamaño efectivo de la clave puede aumentarse a 610 bits; sin embargo, un ataque de clave elegida puede recuperar el contenido de las cajas S en aproximadamente 2 ³² cifrados. ^{[ 7 ]}

GOST es una red Feistel de 32 rondas. Su función de ronda es muy simple: suma una subclave ^de 32 bits módulo 2³² , procesa el resultado mediante una capa de cajas S y rota ese resultado 11 bits a la izquierda. El resultado de esto es la salida de la función de ronda. En el diagrama adjunto, una línea representa 32 bits.

Las subclaves se eligen en un orden predefinido. El esquema de claves es muy sencillo: la clave de 256 bits se divide en ocho subclaves de 32 bits, y cada subclave se utiliza cuatro veces en el algoritmo; las primeras 24 rondas utilizan las palabras clave en orden, y las últimas 8 rondas las utilizan en orden inverso.

Las cajas S aceptan una entrada de cuatro bits y producen una salida de cuatro bits. La sustitución de la caja S en la función de ronda consta de ocho cajas S de 4 × 4. Las cajas S dependen de la implementación, por lo que las partes que deseen proteger sus comunicaciones mediante GOST deben usar las mismas cajas S. Para mayor seguridad, las cajas S pueden mantenerse en secreto. En el estándar original donde se especificó GOST, no se proporcionaron cajas S, pero se suponía que se suministrarían de alguna manera. Esto dio lugar a especulaciones de que a las organizaciones que el gobierno deseaba espiar se les proporcionaron cajas S débiles. Un fabricante de chips GOST informó que él mismo generó cajas S utilizando un generador de números pseudoaleatorios . ^{[ 8 ]}

Por ejemplo, el Banco Central de la Federación Rusa utilizó las siguientes cajas S:

Sin embargo, la revisión más reciente de la norma, GOST R 34.12-2015 , agrega la especificación faltante de la caja S y la define de la siguiente manera. ^{[ 5 ]}

El último criptoanálisis de GOST demuestra que es seguro en teoría. En la práctica, la complejidad de datos y memoria de los mejores ataques publicados ha alcanzado un nivel práctico, mientras que la complejidad temporal incluso del mejor ataque sigue siendo de 2¹⁹² ^cuando se dispone de ^2⁶⁴ datos.

Desde 2007, se han desarrollado varios ataques contra implementaciones GOST de ronda reducida y/o claves débiles . ^{[ 9 ] [ 10 ]}

En 2011, varios autores descubrieron fallos más significativos en GOST, logrando atacar por primera vez el GOST completo de 32 rondas con claves arbitrarias. Incluso Nicolas Courtois lo ha calificado como "un cifrado profundamente defectuoso" . ^{[ 1 ]} Los ataques iniciales lograron reducir la complejidad temporal de 2 ²⁵⁶ a 2 ²²⁸ a costa de enormes requisitos de memoria, ^{[ 11 ]} y pronto se mejoraron hasta una complejidad temporal de 2 ¹⁷⁸ (a costa de 2 ⁷⁰ de memoria y 2 ⁶⁴ de datos). ^{[ 12 ] [ 13 ]}

En diciembre de 2012, Courtois, Gawinecki y Song mejoraron los ataques a GOST calculando solo 2 ¹⁰¹ rondas de GOST. ^{[ 14 ]} Isobe ya había publicado un ataque de clave única al cifrado GOST completo, ^{[ 15 ]} que Dinur, Dunkelman y Shamir mejoraron, alcanzando una complejidad temporal de 2 ²²⁴ para 2 ³² datos y 2 ³⁶ memoria, y una complejidad temporal de 2 ¹⁹² para 2 ⁶⁴ datos. ^{[ 16 ]}

Dado que los ataques reducen la fuerza esperada de ^2²⁵⁶ (longitud de la clave) a aproximadamente ^2¹⁷⁸ , se puede considerar que el cifrado está roto. Sin embargo, este ataque no es factible en la práctica, ya que el número de pruebas a realizar ( ^2¹⁷⁸) es inalcanzable.

Tenga en cuenta que para cualquier cifrado de bloques con un tamaño de bloque de n bits, la cantidad máxima de texto plano que se puede cifrar antes de que deba realizarse un cambio de clave es de 2 ^n/2 bloques, debido a la paradoja del cumpleaños , ^{[ 17 ]} y ninguno de los ataques mencionados anteriormente requiere menos de 2 ³² datos.

• Normas GOST

• "Biblioteca WebCrypto GOST" . Rudolf Nickolaev, equipo WebCrypto GOST.
• V. Popov; I. Kurepkin; S. Leontiev (enero de 2006). Algoritmos criptográficos adicionales para su uso con los algoritmos GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001 y GOST R 34.11-94 . Grupo de trabajo de redes. doi : 10.17487/RFC4357 . RFC 4357 .Informativo.
• Alex Biryukov y David Wagner (mayo de 2000). Ataques avanzados de deslizamiento (PDF) . Avances en criptología, Actas de EUROCRYPT 2000. Brujas : Springer-Verlag. págs. 589–606 . doi : 10.1007/3-540-45539-6_41 . Consultado el 3 de septiembre de 2007 . 

• Descripción, textos del estándar, herramientas de cifrado y descifrado GOST en línea
• Entrada de SCAN para GOST
• Una implementación de código abierto del dispositivo de software PKCS#11 con capacidades de los estándares criptográficos GOST rusos.
• https://github.com/gost-engine/engine — Implementación de código abierto de la criptografía GOST rusa para OpenSSL.