CC BY
23
имеет быстродействие в среднем в 1,34 раза меньше, чем ПЛИС-реализация на Virtex-5 XCVLX330T, а Perl-реализация в 2,6 раза медленнее PHP-реализации.
В целом, проведённые исследования показывают, что шифр FAPKC-4, как и базовый FAPKC, имеет коэффициент эффективности ПЛИС-реализации намного больше, чем RSA, но FAPKC-4 существенно медленнее FAPKC. Кроме того, реализация FAPKC-4 на ПЛИС имеет более высокое быстродействие по сравнению с программными реализациями этой шифрсистемы.
ЛИТЕРАТУРА
1. Tao R. J. Finite Automata and Application to Cryptography. Tsinghua University Press and Springer, 2008.
2. Ковалев Д. С., Тренькаев В. Н. Реализация на ПЛИС шифра FAPKC // Прикладная дискретная математика. Приложение. 2011. №4. С. 33-34.
3. Bao F. and Igarashi Y. Break Finite Automata Public Key Cryptosystem // LNCS. 1995. V. 944. P. 147-158.
4. Wollinger T., Guajardo J., and Paar C. Cryptography on FPGAs: State of the art implementations and attacks // ACM Transactions on Embedded Computing Systems. 2004. V.3. Iss.3. P. 534-574.
УДК 519.6
КРИПТОГРАФИЧЕСКИЕ СВОЙСТВА РАЗВЕТВЛЕНИЙ ФУНКЦИЙ
ВЕКТОРНЫХ ПРОСТРАНСТВ
К. Г. Когос, В. М. Фомичев
К основным задачам алгебраического анализа криптографических систем относятся разработка методов решения систем алгебраических уравнений (САУ) и оценка вычислительной сложности их решения. Один из приёмов решения состоит в том, что от нелинейной САУ можно перейти к решению нескольких линейных систем (СЛАУ) путем фиксации константами нескольких переменных. Этот подход достаточно детально рассмотрен в [1] на примере для разветвлений функций, реализуемых генератором «5-т шагов» и генератором с перемежающимся шагом. Вместе с тем не только линеаризация систем уравнений представляет интерес для анализа криптографических свойств. Более общий подход заключается в сведении САУ к системам уравнений определённого вида, левая часть которых задает преобразования, имеющие заданный признак [2, гл. 9].
Представим некоторые результаты исследования разветвлений криптографических функций векторных пространств над полем GF(2) на преобразования, имеющие заданный признак.
При натуральных n, m рассмотрим множество Фп,т всех отображений Vn ^ Vт, n > m, V = {0,1}. Требуется решить нелинейную систему булевых уравнений
g(xi,... ,Хп) = a, (1)
где g G Фп,т и a G Vm. Пусть функция g(xi,... ,xn) задается системой координатных функций {g1(x1,... , xn),... , gm(x1,..., xn)}. Определим умножение булева монома ^ = = xil • ... • xip степени p на отображение g G Фп,т-
№ • g(x1 ■>...■> xn) {ß • g1 (x1, . . . , xn) , . . . , ß • gm(x 1, . . . , xn) }.
Обозначим через д^""^ (хк+г,... ,хп) ограничение функции д на множество (аг,... ,ак, Хк+1,... , хп). Здесь аг,... ,ак — фиксированные значения; х^+г, ..., хп — булевы переменные. Возможность разветвления функции на подфункции определённого вида вытекает из обобщения теоремы о разложении булевой функции по переменным.
Теорема 1. Для любой функции д Е Фп,т выполнено равенство
д(хг,...,хп) = ф ХГ ■ ... ■ х1к ■ дх11:'"":хкк (хк+1,...,хп).
(а1’'"’ак )ЕУ к
Итак, функция д : Уп ^ Vт однозначно задана при любом к и всевозможных наборах фиксаций переменных хг,.. .,хк множеством подфункций {д(ог,..., Ок, хк+г,..., хп): (ог,... , ок) € Vк}, реализующих отображения Vn-k ^ Vm. При таком представлении говорят, что отображение д Е Фп,т разветвляется на отображения д^""^ (хк+\,... , хп). Множество решений системы (1) содержится в объединении множеств решений систем уравнений
д(01,...,0к ,хк+1,...,хп) = а. (2)
Если д(ог,... , Ок,хк+г,... , хп) есть линейные преобразования множества Vn-k ранга п — к, то каждая из последних систем может быть решена с полиномиальной от п — к сложностью. Принципиальная сложность реализации такого подхода состоит в построении соответствующего разветвления функции д(хг,... , хп). Вместе с тем имеются случаи, когда такое построение практически возможно.
Пусть фиксируется к = п — т переменных, без потери для общности считаем, что фиксируются переменные хг,... ,хп-т, тогда функция д разветвляется на преобразования множества Vт.
Определение 1. Степенью разветвления отображения д Е Фп,т называется число различных преобразований Vт ^ Vт, полученных при фиксации всевозможными наборами двоичных констант набора переменных хг,... , хп-т; обозначается как ж(д).
Определение 2. Пусть при всех фиксациях набора переменных хг,...,хп-т функция д разветвляется только на преобразования, имеющие признак Н (линейный признак). Тогда набор (хг,... ,хп-т) назовем вполне Н-сводящим (вполне линеаризующим) функцию д, а число различных преобразований Vт ^ Vт, имеющих признак Н, полученных при различных фиксациях переменных, назовем степенью Н-разветвления (линейного разветвления) функции д. Эти величины, обозначаемые &(д,Н) и А(д), определяют число различных систем уравнений вида (2), к которым сводится решение системы (1).
Для любой функции д Е Фп,т, которая разветвляется только на преобразования, имеющие признак Н, справедлива универсальная оценка степени Н-разветвления
1 ^ ж(д,Н) ^ ш1п(2п-т, |Н|).
Отметим, что нижние и верхние границы достижимы:
1) &(д,Н) = 1, если функция д при любом опробовании сводится к единственному преобразованию из множества Н;
2) ж(д,Н) = 2п-т, если 2п-т ^ |Н| и различны все преобразования из множества Н, на которые разветвляется функция д;
3) ж(д) = |Н|, если 2п-т ^ |Н| и каждое преобразование из множества Н соответствует хотя бы одному опробованию набора переменных хг,... , хп-т.
Для криптографических приложений представляет интерес описание класса функций из Фпт, для которых оценка степени Н-разветвления существенно ниже данных оценок. В частности, в [1] показано, что при фиксации I переменных, соответствующих знакам управляющей последовательности, преобразование генерирующих регистров генератора «8-т шагов» [2, с. 316] и преобразование генератора с перемежающимся шагом [2, с. 318] имеют степени линейного разветвления, не превышающие I + 1.
Представим также другой важный для приложений подход к построению разветвлений преобразований множества Xп, где X — конечное множество.
Будем говорить, что преобразование р имеет признак Н на множестве У, где У С Хп, если найдётся преобразование ф с признаком Н, такое, что р(х) = ф(х) при любом х Е У. Разбиение множества Xп с системой блоков (Уг,... ,УГ) назовём вполне Н-сводящим преобразование р, если р имеет признак Н на каждом из множеств Уг,... ,УГ, то есть р совпадает на множестве У с преобразованием ф^, имеющим признак Н, г = 1,... ,г. В этом случае будем говорить, что р разветвляется на преобразования фг,... ,фг с признаком Н в соответствии с разбиением (Уг,... ,УГ).
Порядком Н-сводимости преобразования р назовём наименьший из порядков разбиений множества Xп, которые являются вполне Н-сводящими преобразование р.
Приведём пример. Пусть Н = Тд и Ту, где ТД — множество треугольных преобразований пространства V”-, задаваемых системами координатных булевых функций вида {/г(хг), /2(хг,х2),..., £п(х\,... ,хп)} и Ту — двойственное множество треугольных преобразований пространства Vn, задаваемых системами координатных булевых функций вида {¡1(х1,... ,хп), ¡2(х2,... ,хп),... , /п(хп)}. Обозначим через ф(хг,... ,хп) булеву функцию, отличную от константы, и построим преобразование р(х1,...,хп) пространства Vп:
р(хг,... ,хп) = ф(хг,... ,хп)д(хг,... ,хп) Ф ф(хг,.. .,хп)д'(х1,... ,хп),
где д Е Тд, д' Е Ту. Для заданного признака Н функция ф(хг,... ,хп) может быть выбрана так, что р Е Н, при этом порядок Н-сводимости преобразования р равен 2. Для преобразования р блоками вполне Н-сводящего разбиения пространства Уп являются множества истинности и ложности функции ф(хг,... , хп).
Этот пример интересен тем, что нелинейная система уравнений р(хг,... ,хп) = а, где а Е Vп, может быть решена с полиномиальной от п сложностью. Заметим, что множество решений этой системы уравнений содержится в объединении множеств решений треугольных систем уравнений д(хг,... , хп) = а и д'(хг,... , хп) = а. Как известно, при естественных вероятностных предположениях средняя трудоёмкость решения треугольных систем уравнений оценивается величиной порядка п [2, с. 356].
Полученные результаты могут быть использованы для криптографического анализа криптосистем, построенных на основе некоторых генераторов гаммы с неравномерным движением. Перспективным направлением представляется исследование разветвлений криптографических функций на преобразования, имеющие не только линейный признак.
ЛИТЕРАТУРА
1. Когос К. Г., Фомичев В. М. О разветвлениях криптографических функций на преобразования с заданным признаком // Прикладная дискретная математика. 2012. №1(15). С. 50-54.
2. Фомичёв В. М. Методы дискретной математики в криптологии. М.: ДИАЛОГ-МИФИ, 2010.
