Phelix

Phelix es un cifrador de flujo de alta velocidad con funcionalidad de código de autenticación de mensajes (MAC) de una sola pasada integrada , presentado en 2004 al concurso eSTREAM por Doug Whiting , Bruce Schneier , Stefan Lucks y Frédéric Muller . El cifrador utiliza únicamente las operaciones de suma módulo 2³² ^, OR exclusivo y rotación por un número fijo de bits. Phelix utiliza una clave de 256 bits y un nonce de 128 bits , afirmando una robustez de diseño de 128 bits. Se han planteado dudas sobre la capacidad de recuperar la clave secreta si el cifrador se utiliza incorrectamente.

Phelix está optimizado para plataformas de 32 bits. Los autores afirman que puede alcanzar hasta ocho ciclos por byte en procesadores modernos basados ​​en x86 .

Las cifras de rendimiento del hardware FPGA publicadas en el artículo "Revisión de candidatos a cifrado de flujo desde la perspectiva de un hardware de bajos recursos" son las siguientes:

Phelix es una forma ligeramente modificada de un cifrado anterior, Helix, publicado en 2003 por Niels Ferguson , Doug Whiting , Bruce Schneier , John Kelsey , Stefan Lucks y Tadayoshi Kohno ; Phelix añade 128 bits al estado interno.

En 2004, Frédéric Muller publicó dos ataques a Helix. ^{[ 1 ]} El primero tiene una complejidad de 2 ⁸⁸ y requiere 2 ¹² palabras adaptativas de texto plano elegido , pero requiere que se reutilicen nonces. Souradyuti Paul y Bart Preneel demostraron más tarde que el número de palabras adaptativas de texto plano elegido del ataque de Muller puede reducirse en un factor de 3 en el peor de los casos (un factor de 46,5 en el mejor de los casos) utilizando sus algoritmos óptimos para resolver ecuaciones diferenciales de suma . En un desarrollo posterior, Souradyuti Paul y Bart Preneel demostraron que el ataque anterior también puede implementarse con textos planos elegidos (CP) en lugar de textos planos elegidos adaptativos (ACP) con una complejidad de datos de 2 ^35,64 CP. El segundo ataque de Muller a Helix es un ataque de distinción que requiere 2 ¹¹⁴ palabras de texto plano elegido.

El diseño de Phelix estuvo motivado en gran medida por el ataque diferencial de Muller.

Phelix fue seleccionado como candidato prioritario para la Fase 2, tanto para el Perfil 1 como para el Perfil 2, por el proyecto eSTREAM . Los autores de Phelix clasifican el cifrado como un diseño experimental en sus especificaciones. Recomiendan no utilizar Phelix hasta que haya recibido un criptoanálisis adicional. Phelix no avanzó ^{[ 2 ]} a la Fase 3, principalmente debido al ataque de recuperación de clave de Wu y Preneel ^{[ 3 ],} mencionado más adelante, que se hace posible cuando se infringe la prohibición de reutilizar un nonce.

El primer artículo criptoanalítico sobre Phelix fue un ataque de distinción de clave elegida , publicado en octubre de 2006. ^{[ 4 ]} Doug Whiting revisó el ataque y señaló que, si bien el artículo es ingenioso, lamentablemente se basa en suposiciones incorrectas sobre la inicialización del cifrado Phelix. Posteriormente, sus autores retiraron dicho artículo.

El 26 de noviembre de 2006, Hongjun Wu y Bart Preneel publicaron un segundo artículo criptoanalítico sobre Phelix titulado "Ataques diferenciales contra Phelix" . Este artículo se basa en la misma suposición de ataque que el Ataque diferencial contra Helix. El artículo demuestra que, si el cifrado se utiliza incorrectamente (reutilizando nonces), la clave de Phelix puede recuperarse con aproximadamente 2³⁷ ^operaciones , ^{2³⁴ nonces elegidos y 2³⁸} ,² palabras de texto plano elegidas. La complejidad computacional de este ataque es mucho menor que la del ataque contra Helix.

Los autores del ataque diferencial expresan su preocupación por el hecho de que cada palabra del texto plano afecte al flujo de claves sin pasar por las capas de confusión y difusión (que consideran suficientes). Afirman que esta es una debilidad intrínseca en la estructura de Helix y Phelix. Los autores concluyen que consideran que Phelix es inseguro.

• D. Whiting, B. Schneier, S. Lucks y F. Muller, Phelix: Cifrado y autenticación rápidos en una única primitiva criptográfica (incluye código fuente)
• T. Good, W. Chelton, M. Benaissa: Revisión de candidatos a cifradores de flujo desde la perspectiva de hardware con recursos limitados (PDF)
• Yaser Esmaeili Salehani, Hadi Ahmadi: Un ataque de distinción de clave elegida contra Phelix, enviado a eSTREAM [retirado el 14/10/2006]
• Niels Ferguson, Doug Whiting, Bruce Schneier, John Kelsey, Stefan Lucks y Tadayoshi Kohno, Helix: Cifrado y autenticación rápidos en una única primitiva criptográfica, Fast Software Encryption - FSE 2003, pp. 330-346 .
• Frédéric Muller, Ataques diferenciales contra el cifrado de flujo Helix, FSE 2004, pp. 94-108 .
• Souradyuti Paul y Bart Preneel , Resolución de sistemas de ecuaciones diferenciales de adición, ACISP 2005. Versión completa.
• Souradyuti Paul y Bart Preneel , Algoritmos casi óptimos para resolver ecuaciones diferenciales de suma con consultas por lotes, Indocrypt 2005. Versión completa .

• Página de eStream en Phelix archivada el 1 de julio de 2012 en Wayback Machine.
• "Ataques diferenciales contra Phelix" por Hongjun Wu y Bart Preneel. Archivado el 20 de agosto de 2008 en la Wayback Machine.
• "Ataques diferenciales contra el cifrado de flujo Helix" por Frédéric Muller