А.Винокуров. Серия "Энциклопедия блочных шифров".

Rijndael. Расшифрование.

Расшифрование в Rijndael алгоритмически эквивалентно зашифрованию, однако между этими двумя процедурами имеются определенные различия, гораздо более существенные, чем в сетях Файстеля, где все сводится к порядку использования ключевых элементов. Расшифрование отличается от зашифрования по следующим четырем пунктам:

1. Ключевые элементы используются в порядке, обратном тому, в котором они используются при зашифровании. Кроме того, все ключевые элементы, кроме первого и последнего, должны быть умножены слева на матрицу, обратную матрице M. Таким образом, если при зашифровании использутся следующая последовательность ключевых элементов

k₁, k₂, k₃, ... , k_R, k_R₊₁,

то при расшифровании должна быть использована следующая последовательность элементов:

k_R₊₁, M ^-1k_R, ... , M ^-1k₃, M ^-1k₂, k₁.

2. На шаге побайтовой замены используется узел замен S^-1 обратный тому, что применяется в процедуре зашифрования S. Это означает, что каково бы ни было байтовое значение b, всегда справедливо следующее соотношение:

S ^-1[S[b]] = b.

Указанный узел замен S^-1 представлен в следующей таблице, значения приведены в 16-ричном формате:

3. На шаге построчного вращения матрицы данных осуществляется циклический сдвиг строк на то же самое количество элементов, что и при зашифровании, но в обратную сторону - вправо. Либо, в силу свойств операции циклического сдвига, можно осуществить вращение строк матрицы в ту же сторону, что и при зашифровании, т.е. влево, но на другое количество элементов, вычисляемое по следующей формуле:

С_i' = n - C_i, 2i4.

Константы циклического сдвига влево строк матрицы в процедуре расшифрования в зависимости от числа столбцов матрицы данных приведены в следующей ниже таблице:

n	4	6	8
С₂'	3	5	7
С₃'	2	4	5
С₄'	1	3	4

4. На шаге умножения слева на постоянную матрицу используется матрица M ^-1, обратная используемой при зашифровании матрице M:

.

Следует отметить, что умножение в конечном поле GF(2⁸) на элементы матрицы M ^-1 с точки зрения вычислительных затрат является более трудоемкой операцией, чем умножение на элементы матрицы M. Кроме того, в обратной матрице присутствуют четыре различных элемента, тогда как в исходной - только три, что позволяло "сэкономить" одно умножение из четырех. Все сказанное приводит к тому, что при непосредственной реализации умножения в поле GF(2⁸) модули расшифрования получаются заметно менее быстродействующими, чем модули зашифрования. Однако, эта особенность не является настолько существенной, как может показаться на первый взгляд. Во-первых, в большинстве практических режимов использования шифра применяется только прямое преобразование (зашифрование) - подобная ситуация имеет место при шифровании с использованием потоковых режимов (в том числе и при расшифровании), при выработке имитовставки (кода аутентификации), при выработке хэш-функции и при выработке массивов псевдослучайных данных. Во вторых, если умножение на константу в поле GF(2⁸) реализовать как замену, различия в трудоемкости нивелируются.

[Список алгоритмов] [Основные характеристики] [Общая схема] [Нелинейное преобразование] [Расшифрование] [Эквивалентность за- и расшифрования] [Выработка ключевых элементов]

[Начало осмотра] [Что нового] [Статьи] [Выпуски в "Байтах"] [Что скачать] [Криптоалгоритмы] [Глоссарий] [Ссылки] [Гостевая книга] [Форум] [Напиши мне]