Криптография и свобода

10	11	12	13	14	15	16	17	18	19	1A	1B	1C	1D	1E	1F
BD	0A	86	24	35	0F	C1	77	2D	3A	2A	B2	33	DB	4E	56

20	21	22	23	24	25	26	27	28	29	2A	2B	2C	2D	2E	2F
A6	7D	B7	FE	D4	B8	21	CC	58	32	F9	14	B3	F4	1C	48

30	31	32	33	34	35	36	37	38	39	3A	3B	3C	3D	3E	3F
28	F8	CD	25	DC	E8	F7	1A	2E	38	A5	00	53	6A	BF	FA

40	41	42	43	44	45	46	47	48	49	4A	4B	4C	4D	4E	4F
37	9C	07	A0	91	59	54	7B	45	92	0D	A1	FF	0E	EA	A2

50	51	52	53	54	55	56	57	58	59	5A	5B	5C	5D	5E	5F
10	CE	E5	BE	7C	F3	85	4B	78	C3	50	5F	DD	F1	87	C0

60	61	62	63	64	65	66	67	68	69	6A	6B	6C	6D	6E	6F
1F	2F	26	0B	64	F5	1B	29	D8	8D	CF	EB	52	6B	C7	0C

70	71	72	73	74	75	76	77	78	79	7A	7B	7C	7D	7E	7F
2B	A3	C5	4C	55	C9	E3	E2	C2	FB	22	2C	04	11	1D	81

80	81	82	83	84	85	86	87	88	89	8A	8B	8C	8D	8E	8F
17	4D	06	93	88	30	EF	A4	C8	3B	34	46	DE	A7	36	5C

90	91	92	93	94	95	96	97	98	99	9A	9B	9C	9D	9E	9F
39	8F	66	3D	8E	01	8A	B9	C6	E4	12	B0	05	4A	FC	18

A0

A1

A2

A3

A4

A5

A6

A7

A8

A9

AA

AB

AC

AD

AE

AF

D6

13

A8

90

3E

8B

44

CA

D0

B1

40

15

E0

5A

9A

6D

B0

B1

B2

B3

B4

B5

B6

B7

B8

B9

BA

BB

BC

BD

BE

BF

D2

AB

C4

A9

6E

41

F0

AA

42

AC

19

5B

1E

4F

94

5D

C0

C1

C2

C3

C4

C5

C6

C7

C8

C9

CA

CB

CC

CD

CE

CF

16

8C

FD

5E

95

B5

97

6C

AD

08

BB

AE

96

20

7F

23

D0

D1

D2

D3

D4

D5

D6

D7

D8

D9

DA

DB

DC

DD

DE

DF

D5

43

D1

47

49

02

99

80

D9

60

61

65

70

AF

62

63

E0

E1

E2

E3

E4

E5

E6

E7

E8

E9

EA

EB

EC

ED

EE

EF

9B

DF

03

67

F2

68

69

6F

71

72

D7

73

74

75

76

79

F0

F1

F2

F3

F4

F5

F6

F7

F8

F9

FA

FB

FC

FD

FE

FF

EC

D3

82

E1

7A

ED

DA

83

84

9D

9E

9F

B6

BC

E6

E7

Что известно об открытом тексте? Это военная телеграмма, в которой содержится какой-то приказ. Начало телеграммы – стандартное: «Совершенно секретно. Приказ №», или в шестнадцатиричной записи соответствующих ASCII-символов

D1 EE E2 E5 F0 F8 E5 ED ED EE 20 F1 E5 EA F0 E5 F2 ED EE 2E 20 CF F0 E8 EA E0 E7 20 B9

Приступим к взлому, т.е. к определению неизвестного ключа х₁,х₂,…х₁₆, записанного во втором регистре сдвига.

Давайте сначала выпишем уравнения зашифрования, реализуемые этой схемой. Если (y₁,y₂,…,y₈) – блок, записанный в первом регистре сдвига «Ангстрем-3», то за один такт работы схемы он перейдет в блок (y₂,y₃,…,y₉), где y₉ = π(y₁+y₂+y₈+x₁), х₁ – первый байт неизвестного ключа. В общем случае, если последовательность всех заполнений первого регистра сдвига обозначить как у₁,у₂,….,у₂₃,у₂₄, где (y₁,y₂,…,y₈) – блок открытого текста, (y₁₇,y₁₈,…,y₂₄) – блок шифртекста, то для любого i≥9 будет справедливо:

yi = π(y_i-8+y_i-7+y_i-1+x_i-8)

Преобразование блока (y_i, y_i+1,…y_i+7) в блок (y_i+1,y_i+2,…,y_i+8) за один такт обозначим как δ_xi. Очевидно, что это взаимно-однозначное преобразование, поскольку π - подстановка:

δ_xi (y_i, y_i+1,…y_i+7) = (y_i+1,y_i+2,…, π(y_i+y_i+1+y_i+7+x_i))

δ_xi - это подстановка на множестве Z/2⁶⁴. Тогда все преобразование, осуществляемое схемой «Ангстрем-3», будет выглядеть как произведение подстановок:

δ_{х1,х2,…,х16} = δ_x1δ_x2…δ_x16

Рассмотрим преобразование θ(у₁,у₂,…у₈) = (π (у₁), π (у₂),…, π (у₈)). Заметим, что

θ^-1(у₁,у₂,…у₈) = (π^-1 (у₁), π^-1 (у₂),…, π^-1 (у₈)).

Имеем

θ^-1δ_{х1,х2,…,х16} θ = θ^-1δ_x1δ_x2…δ_x16 θ = θ^-1δ_x1θθ^-1δ_x2θθ^-1_…θθ^-1δ_x16 θ = φ_х1φ_х2…φ_х16 = φ_{х1,х2,…х16},

где φ_хi = θ^-1δ_xiθ

Если блок открытого текста (y₁,y₂,…,y₈) переходит в блок шифртекста (y₁₇,y₁₈,…,y₂₄) с помощью преобразования δ_{х1,х2,…,х16}, т.е.

δ_{х1,х2,…,х16}(y₁,y₂,…,y₈) = (y₁₇,y₁₈,…,y₂₄),

то

θ^-1δ_{х1,х2,…,х16}(y₁,y₂,…,y₈) = θ^-1 (y₁₇,y₁₈,…,y₂₄) = (π^-1 (у₁₇), π^-1 (у₁₈),…, π^-1 (у₂₄)).

Тогда

(π^-1(у₁₇), π^-1(у₁₈),…, π^-1(у₂₄)) = θ^-1δ_{х1,х2,…,х16} θθ^-1 (y₁,y₂,…,y₈) = θ^-1δ_{х1,х2,…,х16}θ (π^-1 (у₁), π^-1 (у₂),…, π^-1 (у₈))

Итак, вот она, первая зацепка для анализа «Ангстрем-3»: заменяем позначно все буквы шифрованного и известного открытого текста по подстановке π^-1 и дальше используем вместо δ_xi преобразования φ_хi. А теперь давайте посмотрим на эти преобразования повнимательнее.

φ_хi (y_i, y_i+1,…y_i+7)= θ^-1δ_xiθ(y_i, y_i+1,…y_i+7) = θ^-1δ_xi(π (y_i), π (y_i+1),… π (y_i+7)) =

θ^-1(π(y_i+1), π(y_i+2),….,π(π(y_i)+π(y_i+1)+π(y_i+7)+х_i) = (y_i+1, y_i+2,…., π (y_i)+π (y_i+1)+π (y_i+7)+х_i)

Жизнь прекрасна и удивительна! Какие уравнения получились!

у_i+8 = π (y_i)+π (y_i+1)+π (y_i+7)+х_i