Камелия: Блок-шифр на основе сети Фейстеля

Введение

Шифр блочный, основанный на сети Фейстеля. В криптографии Камелия — это симметричный блочный шифр с размером блока 128 бит и размерами ключа 128, 192 и 256 бит. Он был разработан совместно компаниями Mitsubishi Electric и NTT из Японии. Шифр одобрен для использования организациями ISO/IEC, проектом NESSIE Европейского Союза и японским проектом CRYPTREC. Шифр обладает уровнями безопасности и вычислительными возможностями, сопоставимыми со стандартом Advanced Encryption Standard. Шифр был разработан для применения как в программных, так и в аппаратных реализациях, от недорогих смарт-карт до высокоскоростных сетевых систем. Он является частью криптографического протокола Transport Layer Security (TLS), предназначенного для обеспечения безопасности связи в компьютерных сетях, таких как Интернет. Шифр получил свое название в честь цветка камелии японской (Camellia japonica), известного своей долговечностью, а также в связи с тем, что шифр был разработан в Японии.

Дизайн

Камелия — шифр Фейстеля с 18 раундами (при использовании 128-битных ключей) или 24 раундами (при использовании 192- или 256-битных ключей). Каждые шесть раундов применяется слой логического преобразования, известный как "FL-функция" или её обратная. Камелия использует четыре 8×8-битные S-блоки с входными и выходными аффинными преобразованиями и логическими операциями. Шифр также использует отбеливание ключа на входе и выходе. Слой диффузии использует линейное преобразование, основанное на матрице с числом ветвления 5.

Анализ безопасности

Камелия считается современным, безопасным шифром. Даже при использовании варианта с меньшим размером ключа (128 бит) взлом методом полного перебора ключей с использованием современных технологий считается невозможным. Нет известных успешных атак, которые существенно ослабляли бы данный шифр. Шифр был одобрен для использования организациями ISO/IEC, проектом NESSIE Европейского Союза и японским проектом CRYPTREC. Японский шифр обладает уровнями безопасности и вычислительными возможностями, сопоставимыми с шифром AES/Rijndael. S-блоки Camellia (а также AES) могут быть описаны системой из 23 квадратных уравнений, содержащих 80 слагаемых. Расписание ключей может быть описано уравнениями, использующими 768 переменных и линейные и квадратные члены. Это позволило включить шифр Камелия в проект OpenSSL под лицензией с открытым исходным кодом, начиная с ноября 2006 года. Это также позволило включить его в модуль NSS (Network Security Services) Mozilla. (Отключен по умолчанию, начиная с Firefox 33 в 2014 году, в соответствии с "Предложением об изменении набора TLS-шифронаборов, предлагаемых браузерами", и исключен из версии 37 в 2015 году). Pale Moon, форк Mozilla/Firefox, продолжает предлагать Camellia и расширил поддержку, включив наборы Galois/Counter mode (GCM) с использованием данного шифра, но вновь удалил режимы GCM в версии 27.2.0, ссылаясь на явный недостаток интереса к ним. Позднее, в 2008 году, команда разработки FreeBSD объявила о включении шифра в FreeBSD 6.4 RELEASE. Кроме того, поддержка шифра Camellia была добавлена в класс хранения для шифрования дисков geli в FreeBSD Йошисато Янагисавой. В сентябре 2009 года GNU Privacy Guard добавила поддержку Camellia в версии 1.4.10. VeraCrypt (форк TrueCrypt) включает Camellia в число поддерживаемых алгоритмов шифрования. Кроме того, различные популярные библиотеки безопасности, такие как Crypto++, GnuTLS, mbed TLS и OpenSSL, также поддерживают Camellia. Компании Thales и Bloombase поддерживают шифрование Camellia в своих решениях по криптографии данных. 26 марта 2013 года было объявлено, что Camellia вновь была выбрана для включения в новый список рекомендованных шифров для электронного правительства Японии, как единственный 128-битный блочный шифр, разработанный в Японии. Это совпало с первым за 10 лет обновлением списка CRYPTREC. Выбор был обусловлен высокой репутацией Camellia в отношении простоты приобретения, а также характеристиками безопасности и производительности, сопоставимыми с Advanced Encryption Standard (AES). Camellia остается невзломанной в полной реализации. Существует невозможная дифференциальная атака на Camellia, состоящую из 12 раундов, без слоев FL/FL−1.

Camellia is considered a modern, safe cipher. Even using the smaller key size option (128 bits), it's considered infeasible to break it by brute force attack on the keys with current technology. There are no known successful attacks that weaken the cipher considerably. The cipher has been approved for use by the ISO/IEC, the European Union's NESSIE project and the Japanese CRYPTREC project. The Japanese cipher has security levels and processing abilities comparable to the AES/Rijndael cipher. The Camellia (as well as AES) S boxes can be described by a system of 23 quadratic equations in 80 terms. The key schedule can be described by equations in 768 variables using linear and quadratic terms. This has allowed the Camellia cipher to become part of the OpenSSL Project, under an open source license, since November 2006. It has also allowed it to become part of the Mozilla's NSS (Network Security Services) module. (disabled by default as of Firefox 33 in 2014 in spirit of the "Proposal to Change the Default TLS Ciphersuites Offered by Browsers", and has been dropped from version 37 in 2015). Pale Moon, a fork of Mozilla/Firefox, continues to offer Camellia and had extended its support to include Galois/Counter mode (GCM) suites with the cipher, but has removed the GCM modes again with release 27.2.0, citing the apparent lack of interest in them. Later in 2008, the FreeBSD Release Engineering Team announced that the cipher had also been included in the FreeBSD 6.4 RELEASE. Also, support for the Camellia cipher was added to the disk encryption storage class geli of FreeBSD by Yoshisato Yanagisawa. In September 2009, GNU Privacy Guard added support for Camellia in version 1.4.10. VeraCrypt (a fork of TrueCrypt) included Camellia as one of its supported encryption algorithms. Moreover, various popular security libraries, such as Crypto++, GnuTLS, mbed TLS and OpenSSL also include support for Camellia. Thales and Bloombase support Camellia encryption cipher with their data cryptography offerings. On March 26, 2013, Camellia was announced as having been selected again for adoption in Japan's new e Government Recommended Ciphers List as the only 128 bit block cipher encryption algorithm developed in Japan. This coincides with the CRYPTREC list being updated for the first time in 10 years. The selection was based on Camellia's high reputation for ease of procurement, and security and performance features comparable to those of the Advanced Encryption Standard (AES). Camellia remains unbroken in its full implementation. An impossible differential attack on 12 round Camellia without FL/FL−1 layers does exist.

Выступление

S-блоки, используемые в Camellia, имеют структуру, схожую со S-блоком AES. Следовательно, возможно ускорить программные реализации Camellia, используя наборы инструкций CPU, разработанные для AES, такие как x86 AES NI или x86 GFNI, посредством аффинного изоморфизма.