Ascon (Ascon)

Ascon
Создатель	Кристоф Добрауниг, Мария Айхелзидер, Флориан Мендел, Мартин Шлаффер
Создан	2016
Опубликован	2016
Тип	Блочный шифр

Ascon — семейство блочных шифров, используемых для аутентифицированного шифрования с присоединёнными данными и хеширования. Набор шифров был разработан Кристофом Добраунигом, Марией Айхелзидер, Флорианом Менделем и Мартином Шлаффером. Шифры Ascon-128 и Ascon-128a стали победителями соревнования CAESAR в категории применения в приложениях с ограниченными ресурсами.

Историческая справка

Семейство шифров Ascon, используемое для аутентифицированного шифрования с присоединёнными данными и хеширования, было разработано Кристофом Добраунигом, Марией Айхелзидер, Флорианом Менделем и Мартином Шлаффером.

Шифры Ascon-128 и Ascon-128a были участниками соревнования CAESAR (2014 - 2019) и стали победителями в категории применения в приложениях с ограниченными ресурсами.

В августе 2019 года шифры семейства Ascon прошли во второй раунд процесса стандартизации Национального института стандартов и технологий в категории легковесной криптографии (англ. Lightweight Cryptography).

Алгоритмы в семействе Ascon

Аутентифицированное шифрование

Параметры в алгоритмах семейства Ascon, используемых для аутентифицированного шифрования:

• Размер ключа $k$ ($k$ ≤ 160 бит)
• Размер блока данных $r$
• Число $a$, количество раундов перестановок на начальной и завершающей стадиях
• Число $b$, количество раундов перестановок на промежуточных стадиях

Рекомендованы к использованию следующие конфигурации, соответствующие шифрам Ascon-128 и Ascon-128a .

Рекомендуемые алгоритмы

Название	Значения параметров
	k	r	a	b
Ascon-128	128 бит	64 бита	12	6
Ascon-128a	128 бит	128 бит	12	8

Описание алгоритмов: аутентифицированное шифрование

Каждая непосредственная реализация алгоритма, заданная параметрами $k$, $r$, $a$, $b$ определяет алгоритмы шифрования E(a, b, k, r) и дешифрования-верификации D(a, b, k, r).

Входные и выходные данные

Алгоритм шифрования E(a, b, k, r)

Входными данными для алгоритма шифрования являются:

• исходный текст P
• присоединённые данные A
• секретный ключ K размером k бит
• публичный номер сообщения N

Выходные данные для алгоритма шифрования:

• Аутентифицированный шифротекст C (такой же длины, как и P)
• Тег аутентификации T

$E_{(a,b,k,r)}\left(K,N,A,P\right)=\left(C,T\right)$

Алгоритм дешифрования-верификации D(a, b, k, r)

Входными данными для алгоритма дешифрования-верификации являются:

• ключ K
• одноразовый код N (Nonce)
• шифротекст C
• тег T

Выходными данными являются исходный текст P, если проверка тега была успешной, или $\perp$ (индикатор неуспешности верификации) в случае неуспеха.

$D_{(a,b,k,r)}\left(K,N,A,C,T\right)\in \{P,\perp \}$

Стадии алгоритма

В алгоритмы шифрования и дешифрования входят следующие стадии:

• Инициализация
• Обработка присоединённых данных
• Обработка исходного текста / шифротекста
• Завершающая стадия

Стадия инициализации

Внутреннее состояние в алгоритмах семейства Ascon задаётся 320-битным числом S. На стадии инициализации оно формируется из секретного ключа K из k бит, одноразового кода N из 128 бит, и числа IV, характеризующего алгоритм и формируемого из параметров $k$, $r$, $a$, $b$, записанных 8-битными целыми числами:

${\begin{array}{lcr}{IV}_{\,k,\,r,\,a,\,b}=k\,||\,r\,||\,a\,||\,b\,||\,0^{160-k}={\begin{cases}80400c0600000000\quad {\text{(Ascon-128)}}\\80800c0800000000\quad {\text{(Ascon-128a)}}\end{cases}}\\S={IV}_{\,k,\,r,\,a,\,b}\,||\,K\,||\,N\end{array}}$

Затем к начальному состоянию S применяется $a$ раундов перестановок с последующим XOR со значением секретного ключа K:

$S\longleftarrow p^{a}(S)\oplus \left(0^{320-k}\,||\,K\right)$

Стадия обработки присоединённых данных

При шифровании и дешифровании Ascon обрабатывает присоединённые данные A блоками по $r$ бит. К присоединённым данным A приписывается единица и минимальное число нулей, необходимое для получения числа с размером кратным $r$ бит. Далее получившееся число делится на $s$ блоков по $r$ бит в каждом. В случае, когда присоединённые данные отсутствуют, данные операции опускаются.

$A_{1},\,A_{2},\,\dots ,\,A_{s}\longleftarrow {\begin{cases}{\text{r - битные блоки}}\,A\,||\,1\,||\,0^{r-1-\left(|A|\mod r\right)}\quad |A|>0\\\varnothing \quad |A|=0\end{cases}}$

Далее к каждому блоку $A_{i},\,1\leq i\leq s$ применяется операция XOR c первыми $r$ битами состояния S. Затем выполняется $b$ раундов перестановок над числом S:

$S\longleftarrow p^{b}\left(\left(S_{r}\oplus A_{i}\right)\,||\,S_{320-r}\right)\quad 1\leq i\leq s$

В конце производится операция XOR c однобитной константой разделения:

$S\longleftarrow S\oplus \left(0^{319}\,||\,1\right)$

Стадия обработки исходного текста / шифротекста

Ascon обрабатывает исходный текст P блоками по $r$ бит. К исходному тексту P приписывается единица и минимальное число нулей, необходимое для получения числа с размером кратным $r$ бит. Далее получившееся число делится на $t$ блоков по $r$ бит в каждом:

$P_{1},\,P_{2},\,\dots ,\,P_{t}\longleftarrow {\text{r - битные блоки}}\,P\,||\,1\,||\,0^{\left(|P|\mod r\right)}$

Шифрование

Из каждого блока $P_{i},\,1\leq i\leq t$, используя XOR c первыми $r$ битами состояния S, получается блок шифротекста $C_{i}$. При этом при выделении каждого из блоков $C_{i}$ кроме последнего над состоянием S производится $b$ раундов перестановок:

${\begin{array}{lcl}C_{i}&\longleftarrow &S_{r}\oplus P_{i}\\S&\longleftarrow &{\begin{cases}p^{b}\,\left(C_{i}\,||\,S_{320-r}\right)&\,&1\leq i<t\\C_{i}\,||\,S_{320-r}&\,&i=t\end{cases}}\end{array}}$

При выделении последнего блока $C_{t}$ его размер преобразуется так, чтобы размер полученнего шифротекста совпадал с размером исходного текста:

${\tilde {C_{t}}}\longleftarrow {\left\lfloor C_{t}\right\rfloor }_{|P|\mod r}$

Дешифрование

Для каждого из блоков шифротекста $C_{i}$ кроме последнего блок исходного текста $P_{i}$ получается за счёт применения XOR к первым $r$ битам состояния S. При этом эти $r$ бит замещаются соответствующим $C_{i}$. Кроме того, для всех блоков $C_{i}$ кроме последнего при выделении $P_{i}$ состояние S преобразуется за счёт $b$ раундов перестановок:

${\begin{array}{lcr}P_{i}\longleftarrow S_{r}\oplus C_{i}\\S\longleftarrow p^{b}\left(C_{i}\,||\,S_{320-r}\right)\quad 1\leq i<t\end{array}}$

Преобразование для последнего преобразованного блока ${\tilde {C_{t}}}$:

${\begin{array}{lcr}{\tilde {P_{t}}}\longleftarrow {\left\lfloor S_{r}\right\rfloor }_{l}\oplus {\tilde {C_{t}}}\\S\longleftarrow \left(S_{r}\oplus \left({\tilde {P_{t}}}\,||\,1\,||\,0^{r-1-l}\right)\right)\,||\,S_{320-r}\end{array}}$

Завершающая стадия

В завершающей стадии применяется операция XOR к секретному ключу и состоянию S. Затем к состоянию S применяются $a$ раундов перестановок. Тег T получается за счёт применения операции XOR к последним 128 битам состояния S (наименее значимым) и к последним 128 битам ключа K:

${\begin{array}{lcr}S\longleftarrow p^{a}\left(S\oplus \left(0^{r}\,||\,K\,||\,0^{320-r-k}\right)\right)\\T\longleftarrow {\left\lceil S\right\rceil }^{128}\oplus {\left\lceil K\right\rceil }^{128}\end{array}}$

Алгоритм шифрования возвращает тег T вместе с шифротекстом $C_{1}\,||\,C_{2}\,||\,\dots ||\,{\tilde {C_{t}}}$.

Алгоритм дешифрования-верификации возвращает исходный текст $P_{1}\,||\,P_{2}\,||\,\dots ||\,{\tilde {P_{t}}}$ в случае, если сгенерированный тег совпадает с тегом, переданным как параметр.

Перестановки в шифрах Ascon

Главные процессы в шифрах Ascon это перестановки $p^{a}$ и $p^{b}$. Они осуществляются над внутренним состоянием S, которое делится на 5 слов по 64 бит каждое $x_{0},\,x_{1},\,x_{2},\,x_{3},\,x_{4}$. В алгоритме перестановок последовательно применяется преобразование, которое основывается на SP-сети. Данное преобразование составляют 3 основных стадии:

1. Стадия прибавления констант
2. Стадия замещения с 5-битным блоком замещения (англ. Substitution Box или S-box)
3. Стадия линейной диффузии с 64-битными диффузионными функциями

Стадия прибавления констант

На данной стадии к слову $x_{2}$ в раунде перестановки $i$ добавляется константа $c_{m}$, где $m=i$ для перестановок $p^{a}$ и $m=i+a-b$ для перестановок $p^{b}$:

$x_{2}\longleftarrow x_{2}\oplus c_{m}$

Значения констант задаются следующей таблицей:

Константы $c_{m}$ для раундов $i$ в $p^{a}$ и $p^{b}$

$p^{12}$	$p^{8}$	$p^{6}$	Константа $c_{m}$	$p^{12}$	$p^{8}$	$p^{6}$	Константа $c_{m}$
0			000000000000000000f0	6	2	0	00000000000000000096
1			000000000000000000e1	7	3	1	00000000000000000087
2			000000000000000000d2	8	4	2	00000000000000000078
3			000000000000000000c3	9	5	3	00000000000000000069
4	0		000000000000000000b4	10	6	4	0000000000000000005a
5	1		000000000000000000a5	11	7	5	0000000000000000004b

Стадия замещения

На стадии замещения параллельно применяется 5-битный блок замещения (S-блок) $S(x)$ к каждому соответствующему битовому массиву из слов $x_{0},\,x_{1},\,x_{2},\,x_{3},\,x_{4}$. Представленный в виде таблицы поиска S-блок для семейства шифров Ascon:

5-битный блок замещения в виде таблицы поиска

x	0	1	2	3	4	5	6	7	8	9	a	b	c	d	e	f	10	11	12	13	14	15	16	17	18	19	1a	1b	1c	1d	1e	1f
S(x)	4	b	1f	14	1a	15	9	2	1b	5	8	12	1d	3	6	1c	1e	13	7	e	0	d	11	18	10	c	1	19	16	a	f	17

Стадия линейной диффузии

На стадии линейной диффузии делается преобразование диффузии в каждом 64-битном слове $x_{0},\,x_{1},\,x_{2},\,x_{3},\,x_{4}$ за счёт применения линейных функций к каждому слову $x_{i}$:

$x_{i}\longleftarrow \sum _{i}\left(x_{i}\right)\quad 0\leq i\leq 4$

Для семейства Ascon линейные диффузионные функции реализованы как:

${\begin{array}{l}x_{0}&\longleftarrow \sum _{0}\left(x_{0}\right)=x_{0}\oplus \left(x_{0}\ggg 19\right)\oplus \left(x_{0}\ggg 28\right)\\x_{1}&\longleftarrow \sum _{1}\left(x_{1}\right)=x_{1}\oplus \left(x_{1}\ggg 61\right)\oplus \left(x_{1}\ggg 39\right)\\x_{2}&\longleftarrow \sum _{2}\left(x_{2}\right)=x_{2}\oplus \left(x_{2}\ggg 1\right)\oplus \left(x_{2}\ggg 6\right)\\x_{3}&\longleftarrow \sum _{3}\left(x_{3}\right)=x_{3}\oplus \left(x_{3}\ggg 10\right)\oplus \left(x_{3}\ggg 17\right)\\x_{4}&\longleftarrow \sum _{4}\left(x_{4}\right)=x_{4}\oplus \left(x_{4}\ggg 7\right)\oplus \left(x_{4}\ggg 41\right)\\\end{array}}$

Преимущества шифров Ascon

Высокий уровень надёжности

Шифры Ascon-128 и Ascon-128a стали победителями соревнования CAESAR в категории применения в приложениях с ограниченными ресурсами. На данный момент с учётом продолжительного публичного исследования и криптоанализа предложенных шифров не было выявлено недостатков в надёжности шифров.

Простота реализации

Алгоритмы Ascon работают с 64-битными словами и используют лишь простые побитовые операции. Это существенно упрощает реализацию алгоритмов семейства на новых платформах.

Интерактивность и однопроходность

Алгоритмы семейства Ascon могут быть использованы в интерактивном режиме, т.е. в условиях, когда входные данные и их длина ещё не известны полностью. Кроме того, для работы алгоритмов шифрования и дешифрования достаточно лишь одного прохода по данным.

Ссылки

• CAESAR submissions  (неопр.). CAESAR submissions.