密文窃取

在密码学中，密文窃取（CTS）是一种使用分组密码操作模式的通用方法，该操作模式允许处理不能均匀分割成块的消息，而不会导致密文的扩展，代价是稍微增加了复杂性。

一般特性

窃取密文是一种使用块密码加密明文的技术，不需要将消息填充到块大小的倍数，因此密文与明文的大小相同。

它通过更改消息的最后两个块的处理来实现这一点。 除了最后两个块之外，所有块的处理都保持不变，但是倒数第二个块的密文的一部分被"窃取 "了，用来填充最后一个明文块。 填充的最后一块，然后像往常一样加密。

最终密文的最后两个块，包括部分倒数第二块(删掉"窃取"部分)和完整的最后一块，它们的大小与原明文相同。

解密时要求首先解密最后一个块，然后将被“窃取”的密文恢复到倒数第二个块，然后可以像往常一样解密。

原则上，任何使用块密码的分组加密模式都可以使用，但流密码模式已经可以加密任意长度的消息无需填充，因此它们不能进行该操作。 与窃取密文相结合的常用加密方式有电子密码本(ECB)和密码块链接(CBC)。

为 ECB 模式而进行的密文窃取要求明文长度超过一个块。 当明文长度为一个或更少时， 一种可能的解决办法是，使用一种类似流密码的分组密码操作模式，如 CTR、 CFB 或 OFB 模式。

用于 CBC 模式的密文窃取不一定要求明文长于一个块。 在明文为一个或更少块长度的情况下，初始向量(IV)可以作为先前的密文块。 在这种情况下，必须将修改后的 IV 发送到接受者。 但这在发送密文时 IV 不能被发送者自由选择的情况下(例如，当 IV 是一个派生值或预先确定的值) 不太可能，并且在这种情况下，针对 CBC 模式的密文窃取只能在明长于一个块文中发生。

为了对未知长度的数据实现 CTS 加密或解密，必须延迟处理(和缓存)最新的两个数据块，以便在数据流末端进行适当的处理。

密文格式

有几种不同的方式来排列密文以便传输。不同排列方式的密文位元數都是相同的，只是传输顺序不同，因此选择不影響安全性，纯粹是为了实现上的方便。

这里的编号取自Dworkin所描述的。 第三种是最流行的，由 Daemen 和 Schneier 进行了描述; Meyer 描述了一个相关但不兼容的方案(关于位排序和密钥使用)。

CS1

安排密文传输最顯而易見的方式，不外乎是缩短倒数第二个块，後面接着完整的最后一个块。 但这对于接收者来说并不方便，原因有两个:

  1. 在任何情况下，接收方都必须首先解密最后的块，并且
  2. 这导致最后一个块没有按照自然边界对齐，并使硬件实现复杂化。

这样做的好处是，如果最后的明文块恰好是块大小的倍数，那么密文就与原始操作模式相同，避免了密文窃取。

CS2

通常，更方便的方式是交换最后两个密文块，因此密文結尾先是完整的最后一个块，然后是截断的倒数第二个块。密文块就会自然对齐。

为了保持与非窃取模式的兼容性，选项 CS2只在被窃取的密文数量非零时执行这个交换，即原始消息不是块大小的倍数。

这保持了自然的对齐，以及与非窃取模式的兼容性，但是需要以不同的方式处理对齐和不对齐消息大小的情况。

CS3

最流行的替代方案是无条件地交换最后两个密文块。 下面的描述是使用该方案的顺序。

窃取密文模式描述CS3

为了加密或解密数据，对除最后两个数据块外的所有数据块使用标准分组密码操作模式。

下面的步骤描述了如何处理明文的最后两个块，即 Pn-1和 Pn，其中 Pn-1的长度等于以位表示的密码的块大小 B; 最后一个块的长度 Pn 是 M bits(位); k 是正在使用的密钥。 M 可以范围从1到 B，所以 Pn 可能是一个完整的块。 CBC 模式描述还使用了就在有关块 Cn-2之前的密文块，如果明文适合在两个块内，则该密文块实际上可能是 IV。

对于这个描述，使用以下函数和操作符:

  • Head (data，a) : 返回"data"字符串的第一个位。
  • Tail (data，a) : 返回'data'字符串的最后一位。
  • Encrypt (k，data) : 在"data"字符串上使用加密模式的底层块密码，使用密钥 k 。
  • Decrypt (k，data) : 在"data"字符串的解密模式下使用基础块密码，使用 密钥 k。
  • XOR 或运算。 等价于不使用进位的按位加法。
  • | | :与运算符。 合并运算符两边的字符串。
  • 0^a: 一个0比特的字符串。

ECB密文窃取

ECB 模式下的密文窃取在前两个块内引入了一种块间依赖关系，导致后两个块的错误传播行为发生改变。

参考文献
  • Schneier, Bruce. 2nd. John Wiley & Sons, Inc. 1995: 191, 195. ISBN 0-471-12845-7.
  • Meyer, Carl H.; Matyas, Stephen M. . John Wiley & Sons, Inc. 1982: 77–85. ISBN 0-471-04892-5.
  • R. Baldwin; r. Rivest (1996年10月)。 R. Baldwin; R. Rivest. The RC5, RC5-CBC, RC5-CBC-Pad, and RC5-CTS Algorithms. October 1996. RFC 2040.
  • Dworkin, Morris, (PDF), US National Institute of Standards and Technology (NIST), October 2011, Addendum to NIST Special Pub 800-38A
This article is issued from Wikipedia. The text is licensed under Creative Commons - Attribution - Sharealike. Additional terms may apply for the media files.