CC BY
23
2018 Математические методы криптографии №41
МАТЕМАТИЧЕСКИЕ МЕТОДЫ КРИПТОГРАФИИ
УДК 519.2
КРИТЕРИИ МАРКОВОСТИ АЛГОРИТМОВ БЛОЧНОГО ШИФРОВАНИЯ
О. В. Денисов
ООО «Инновационные телекоммуникационные технологии», г. Москва, Россия
Изучаются вероятностные модели блочных шифрсистем, в которых случайные раундовые ключи независимы и одинаково распределены. Они называются марковскими шифрами, если последовательность раундовых разностей образует простую однородную цепь Маркова. Уточнены и обобщены критерий и достаточное условие марковости моделей шифрсистем. Расширен класс марковских шифров, построенный в диссертации швейцарского учёного X. Lai. Получены достаточные условия, при которых формула для матриц вероятностей переходов разностей расширенного класса содержит тензорное произведение матриц вероятностей переходов S-блоков.
Ключевые слова: марковские шифры, случайные подстановки, вероятности переходов разностей.
DOI 10.17223/20710410/41/3
CRITERIA FOR MARKOV BLOCK CIPHERS
O. V. Denisov
Innovative Telecommunication Technologies, LLC, Moscow, Russia E-mail: [email protected]
We study probabilistic models of block ciphers with random independent identically distributed round keys. We call they by Markov ciphers if sequence of round differentials is a simple homogeneous Markov chain. Criteria and sufficient condition for this property are adjusted and generalized. Particularly, we prove that, for an iterative r-round block cipher with group operation on the set X of blocks and round function g, the following four conditions are equivalent: 1) for any plaintext of two blocks (X, X*), the sequence of random round differentials AX = X*X-1, AX(1) = = X*(1)X(1)-1,...,AX(r) = X*(r)X(r)-1 is a homogeneous Markov chain under any distribution of (X, X*); 2) for all a e X \ {e}, the distribution of g(ax)g(x)-1 doesn't depend on x e X; 3) Va e X\{e}, x e X (g(ax)g(x)-1 ~ g(aX)g(X)-1) under any distribution of X; 4) Vx e X (g(AX x)g(x)-1 ~ g(AXX)g(X)-1) under any distribution of (X, AX). The class of Markov ciphers constructed in Lai's dissertation is expanded. We give sufficient conditions under which formula for the transition probabilities matrix of the expanded class contains tensor product of S-box transition probabilities matrices.
Keywords: Markov ciphers, random permutations, transition probabilities of differentials.
Введение
Пусть на алфавите X входных и выходных блоков задана групповая операция ©, е Е X — нейтральный элемент, X-1 —обратный к элементу X группы (X, ©). Как принято в дифференциальном (разностном) анализе, величины вида Х1 © X—1 будем называть разностями блоков Х1,Х2. Через X' = X \ {е} обозначим множество «ненулевых» разностей, М = 1X1 — 1 —его мощность. Через Б(X) обозначим множество всех подстановок на множестве X.
Рассматривается итеративный г-раундовый алгоритм блочного шифрования (3), в котором раундовые ключи принимают значения из некоторого множества Г, каждый набор раундовых ключей 7 € Гг задает шифрующую подстановку д7 € Б(X). Шифруется двублочный текст (X, X*).
Будем работать в вероятностной модели такого случайного выбора текста и набора раундовых ключей, что
открытый текст (X, X*) и набор 7 = (71,... , 7Г) независимы; (1)
ключи 71,... , 7Г независимы и одинаково распределены. (2)
Тогда, как известно из курса теории вероятностей, случайные последовательности промежуточных блоков
X = X(0), X(1) = £71 (X(0)),... ^(г) = д1г(X(г — 1)) = У, (3)
X* = X*(0), X*(1) = д71 (X(0)),... .X*(г) = д7г(X*(г — 1)) = У*,
последовательность их пар
(X, X *), (X (1), X *(1)),..., (X (г), X *(г)) = (У, У *) (4)
и последовательность промежуточных подстановок
д(тъ...,то = д71.. ^, 1 ^1 ^г,
являются простыми (далее рассматриваем только такие) однородными цепями Маркова. Но не всякая функция от последовательности состояний цепи Маркова (и, в частности, разность компонент пар) образует цепь Маркова. Поэтому содержательно следующее определение.
Определение 1. При условиях (1) и (2) будем говорить, что итеративный алгоритм шифрования (3) является марковским шифром (относительно операции © при заданных распределениях входной пары (X, X*) и раундового ключа 71), если последовательность случайных раундовых разностей
ДX = X♦X-1, ДX(1) = X*(1^(1)-1, ..., ДX(г) = X*(г^(г)-1 (5)
образует однородную цепь Маркова.
В (5) (и далее там, где это удобно) знак операции © опущен для краткости.
1. Критерии марковости последовательности раундовых разностей
Обозначим для краткости д = д71; распределение этой случайной подстановки совпадает с распределением остальных раундовых подстановок согласно (2).
В следующей теореме доказан критерий (7), близкий к условиям [1, 2], и новые критерии (8), (9), которые можно назвать условиями инвариантности распределения разностей подстановки д относительно фиксации входного блока и/или входной разности. Пункт 1 доказательства основан на идее [2] использования теоремы [3] об укрупнении состояний цепей Маркова.
Теорема 1. Пусть выполнены условия (1) и (2), Р = ||ра,ь||а,ьел" —фиксированная стохастическая матрица. Тогда эквивалентны следующие четыре условия:
последовательность (5) образует однородную цепь Маркова
(6)
с матрицей вероятностей переходов Р при любом распределении (X, X*); для всех а € X' распределение д(ах)д(х)-1 не зависит от выбора х € X; (7) Уа € X',х € X (д(ах)д(х)-1 ~ g(аX)д^)-1) при любом распределении X; (8) Ух € X (g(ДX х)д(х)-1 ~ g(ДXX)g(X)-1) при любом распределении (X, ДX). (9)
При этом матрица Р является дважды стохастической, ра,ь = Р{д(ах)д(х)-1 = Ь}, а, Ь € X'.
Доказательство.
1. Докажем эквивалентность условий (6) и (7). Условие (6) означает, что цепь Маркова (4) допускает такое укрупнение состояний, при котором все пары (х, х*) с одинаковой разностью а € X' объединяются в одно состояние а' = {(х, ах) : х € X}, состоящее из 1X1 пар. Заметим, что а' является смежным классом группы (X х X, ©) (являющейся прямым произведением двух групп) по её «диагональной» подгруппе X;! = {(х,х) : х € X}, поскольку а' = (е,а) © X;!.
По теореме 6.3.2 [3, с. 160] такое укрупнение возможно при любом начальном распределении исходной цепи и даёт цепь Маркова с матрицей переходных вероятностей Р тогда и только тогда, когда при любых фиксированных а, Ь € X' вероятности
= Е Р^(1) = у, X*(1) = у* | X = х, X* = х*} (у,у*)&
одинаковы для всех пар (х, х*) € а' и равны раь. Но для таких пар х* = ах-1 и можно преобразовать
= Е Р{д^) = у,д^)д^)-1 = Ь | X = х, ДX = а} = Р{д(ах)д(х)-1 = Ь},
уех
где в последнем переходе использовано условие независимости (1).
Итак, цепь Маркова (4) допускает укрупнение состояний при любом распределении (X, X*) тогда и только тогда, когда правые части последнего равенства одинаковы и равны ра,ь для всех х € X, т. е. выполнено условие (7).
2. Справедливо следующее утверждение: если случайная величина £ является функцией от случайного вектора п и, возможно, некоторых других случайных величин, то условие инвариантности условных распределений (£ | п = с) относительно всех возможных фиксаций вектора п эквивалентно тому, что распределение £ одинаково при любом распределении п. Действительно, необходимость условия инвариантности относительно фиксаций очевидна, а достаточность легко вытекает из формулы полной вероятности
Р{£ = Ь} = Е Р{п = с} Р{£ = Ь| п = с} = Р{£ = Ь| п = со}
с
для любого фиксированного с0 из множества значений п.
Применяя это утверждение к случайной величине £ = g(aX)д^)-1 при п = X, получаем равносильность (7) и (8). Применяя это утверждение к случайной величине £ = g(ДXX)д^)-1 при п = ДX, получаем равносильность (7) и (9).
3. Полагая х = е в (7), получаем формулу
Ра,ь = Р {^(е)-1 = Ь} . (10)
Из неё легко вытекает дважды стохастичность матрицы Р:
Е?а,ь = Е Р{Ь^(е) = у(а)} = Р {Ь$(е) е X \ |^(е)}|,
что равно 1, поскольку Ь^(е) = ^(е). Теорема 1 доказана. ■
Рассмотрим класс шифров, у которых раундовый ключ может быть разделён на две независимые части 7 = (5, е), первая из которых равномерно распределена на X и накладывается на шифруемый блок в соответствии с групповой операцией, а вторая определяет применяемую случайную подстановку f:
7 = (5, е), д7(х) = Д(х © 5), 5 ~ и(X) и е независимы. (11)
Схема шифрования пар блоков такими раундовыми подстановками иллюстрируется рис. 1.
© —► f © —► f ... —
AX 5(1) е(1)' 5(2) е(2)
© —► f --я 0 —, f ...
AY
Рис. 1. Схема шифрования [4], обеспечивающая марковость алгоритма
Заметим, что схемы шифрования, использующие раундовые подстановки вида (11), близки к так называемым «key-alternating» шифрам, активно изучаемым в настоящее время.
Следствие 1. Пусть выполнены условия (1) и (2). Тогда условие (11) является достаточным для каждого из условий (6)-(9).
Доказательство. Согласно теореме 1, достаточно доказать, что условие (11) обеспечивает условие (7) инвариантности распределения разностей относительно фиксации входных блока и разности. Действительно, так как при любом x 6 X случайная величина у = x5 также имеет равномерное распределение на X и не зависит от случайной подстановки /£, то распределение
#7 (ax)g7 (x)-1 = Л(ах5)Л(x5)-1 = Л(ауШу)-1
определяется распределением / и значением а. ■
Заметим, что кроме случайных подстановок вида (11) условию (8) удовлетворяет равномерно распределённая подстановка а ~ U(S(X)), поскольку для неё распределение разности также не зависит от x 6 X и даже от а 6 X':
P{a(ax)a(x) 1 = b} = P{^(ax)a(x) 1 = b, a(x) = y} =
vex
= E P{^(x) = y,a(ax) = by} = (M + 1),,, = -1.
v-|X 1 (M + 1)M M
Обсудим возможную практическую пользу от формулы (10).
Начнем с автономной вероятностной модели: пусть K — множество всех ключей шифрования произвольной блочной шифрсистемы с некоторым заданным на нём вероятностным распределением. Это распределение при заданном алгоритме развёртывания ключа (АРК) индуцирует некоторое распределение на множестве Гг всех раундовых ключей, что с учётом распределения входной пары блоков позволяет найти матрицу P(r) вероятностей переходов разностей (5) за r раундов. Для реализации разностной атаки различения с фиксированной входной разностью a требуется знание строки Временная сложность метода вычисления Pir) путём перебора ключей шифрования и вычисления переходов за r раундов всех пар блоков с фиксированной разностью a близка к сложности
|K|(M + 1) © 2r (12)
операций вычисления значений раундовых подстановок.
Эта величина превосходит сложность тотального опробования, и в ряде работ по разностному анализу (в основном начиная с [5, 6]) рассматриваются неавтономные вероятностные модели шифрсистем, где АРК отсутствует, и раундовые ключи считаются независимыми одинаково распределёнными случайными величинами, т. е. выполняется условие (2). Марковские шифры удобны тем, что для них
= Pr и сложность
вычисления P(r) близка к сложности вычисления P, которая, согласно (13), меньше (12) примерно в 2r|K|/|Г| раз.
В следующей за [6] пионерской работе [1] перед теоремой 3 приведена («The (i, j) entry in П is P {AY(1) = aj | AX = a^}») фактически формула (в наших обозначениях) pa>b = P {g(aX)g(X)-1 = b} для элементов P. Вычисление по ней фиксированной строки Pa может быть осуществлено перебором всех x Е X, y Е Г и добавлением произведений P{X = x} P{y1 = 7} к счётчику, соответствующему элементу ра,ь, b = (x)-1gY(xa). Для этого надо
(M + 1)|Г| (13)
раз произвести две операции вычисления значения раундовой подстановки, две групповые операции и одну операцию вычисления обратного элемента в группе (X, ©). Осталось заметить, что для вычисления Pa по формуле (10) аналогичным способом достаточно |Г| операций вычисления значения раундовой подстановки и операций ©, что примерно в 2M раз меньше сложности вычисления по формуле [1].
2. Шифрование параллельным набором S-боксов и подстановкой
Рассмотрим практически важный подкласс класса (11) марковских шифров, шифрование в перемешивающем слое которого осуществляется параллельным набором S-боксов, а затем действует подстановка п:
g7(x) = П (/Ml (x1 ©1 ¿1), . . . , fm,£m (xm ©m ¿m)) ,
Y = (¿,£), ^ = (¿1,. . . ,^m), £ = (¿1,. . .,£m), (14)
x = (x1,... ,xm) Е X = X1 x ... x Xm,
где г-й Б-бокс действует на множестве Х^, 1 ^ г ^ т, и выбирается случайно (в общем случае) из некоторого фиксированного набора функций (Д^- : Х^ ^ Хг,^ е 7), ^ — некоторое множество индексов. В этом случае (X, ©) —прямое произведение групп
(Х1, ©1),..., (Лт, ©т).
Здесь в следующей формуле для матрицы вероятностей переходов разностей возникает тензорное произведение матриц вероятностей переходов разностей меньшей размерности.
Теорема 2. Пусть при условиях (1), (2) в каждом раунде (14) компоненты 51,...,5т, е1,...,ет раундового ключа 7 независимы, 8г ~ и(X»), 1 ^ г ^ т, подстановка п является гомоморфизмом группы (X, ©). Тогда при любом распределении (X, X*) последовательность (5) образует однородную цепь Маркова с множеством состояний X и дважды стохастической матрицей
Р = (Р1 0 ... 0 Рт)П, Рг = НрУькьех, 1 ^ г ^ т,
где П — матрица подстановки п; вероятности р^ь = Р{Л^(а ©г х)Д£4(х)-1©г = Ь} вычислены в предположении независимости х ~ и ^^ от ег.
Доказательство. Положим f7(х) = п (Д,£1 (х1),..., /т,ет(хт)). Тогда д7(х) = = Д (х©8) и выполнено условие (11), поскольку, согласно условию теоремы, случайные векторы 8 ~ и(X) и е независимы.
Поэтому из следствия 1 и теоремы 1 получаем, что последовательность разностей образует однородную цепь Маркова с дважды стохастической матрицей переходных вероятностей и множеством состояний X \ {е}, е = (е1,... , ет), ег — нейтральные элементы групп Xi. Нейтральный элемент е образует одноэлементный класс существенных состояний, и добавление его в множество состояний приводит к появлению соответствующего блока единичного размера на диагонали Р, не влияя на дважды стоха-стичность матрицы.
Найдём переходные вероятности. Для а = (а1,... , ат) е X и Ь' = (Ь1,... , Ьт) = = п-1(Ь) е X — прообраза блока Ь относительно действия п — имеем с учётом гомо-морфности п
#7(ах)#-1(х) = п (Л(ах8)) п (Л(х8))-1 = п (Л(ах8)/7(х8)-1) .
Отсюда с учётом независимости случайных векторов (8г,ег), 1 ^ г ^ т, получаем
Ра,ь = Р {Д(аx8)f7(х8)-1 = Ь'} =
= П Р {Л* (* ©г хг ©г 8г)Д^ (хг ©г 8г)-1 = Ьг} = .
Теорема 2 доказана. ■
Рассмотрим случай, когда все компонентные группы одинаковы, т.е. (X, ©) —прямое произведение т групп ©), Б-боксы выбираются из набора (Д : X1 ^ X1, ] е 7):
(х) = п (Д1 (81 © х!),...,Дт (8т © хт)), х =(хь...,хт) еX = Xlm (15)
Если при этом индексы выбора одинаково распределены, то очевидно, что тензорное произведение матриц становится тензорной степенью одной матрицы.
Следствие 2. Пусть при условиях (1) и (2) в каждом раунде (15) раундовый ключ 7 состоит из независимых в совокупности случайных величин ..., 5т, ..., ет, где 5г ~ и(X!), а ег одинаково распределены. Пусть также подстановка п с матрицей П является гомоморфизмом группы (X, ©). Тогда при любом распределении (X, X*) последовательность (5) образует однородную цепь Маркова с дважды стохастической матрицей
Р = Р!т]П, Р1 = || Р/ (ах/ (х)-1 = ЬНа.ье*!,
где вероятности вычисляются в предположении независимости х ~ и (Х1) и е1.
Отметим, что если в (15) операция © — сложение по модулю 2, то п является гомоморфизмом как в БР-сети, где п выбирается из группы перестановок координат векторов, так и в ХБЬ-сети, где п выбирается из группы невырожденных линейных преобразований двоичных векторов.
Прокомментируем теорему 2. Известно [6, следствие 1], что при шифровании набором параллельных Б-боксов и покоординатном аддитивном наложении раундового ключа вероятность перехода разности равна произведению вероятностей переходов её составных частей. Другими словами, матрица вероятностей перехода разностей при таком шифровании является тензорным произведением соответствующих матриц переходов частей разностей, соответствующих Б-боксам [2; 7, с. 11]. Но при этом были сформулированы не все вероятностные условия (в частности, не было условия (1)), при которых такая матрица является матрицей вероятностей переходов разностной цепи Маркова; в теореме 2 этот недочёт устранён. С другой стороны, часть ключа, управляющая выбором индексов Б-боксов, либо отсутствовала [7] (и тогда этот набор постоянен в раунде), либо считалась равномерно распределённой [4]. Теорема 2 показывает, что условие равномерной распределённости необязательно.
3. Обсуждение результатов 3.1. Об определениях марковского шифра
В [1] шифр называется марковским, если для всех а, Ь Е X'
при равномерном распределении 7
г -1 ч (16)
Р {д7(ДХХ)д7(X) = Ь | АХ = а, X = х} не зависит от выбора х Е X.
Заметим, что при условии (1) независимости входных блоков и раундовых ключей вторая строка условия (16) становится условием (7).
Доказано [1, теорема 2], что из (16) при условии (2) следует марковость последовательности разностей (5). Но в формулировке и в доказательстве теоремы имеются некоторые изъяны. В формулировке нет условия (1), без которого в общем случае даже последовательность пар блоков (4) не является цепью Маркова. В доказательстве показана марковость лишь отрезка из первых трёх разностей, не обоснована возможность исключения условия ДX = а при переходе от строки 3 к строке 4 в цепочке равенств. В тезисах [8] указан ещё один некорректный переход в доказательстве теоремы 2 [1].
В работе [2] выбран другой подход к доказательству марковости, основанный на теореме 6.3.2 [3] о возможности укрупнения состояний цепи Маркова, что позволило фактически доказать необходимость и достаточность условия (16) для марковости (5). В теореме 1 данной работы установлено, что доказательство [2] может быть проведено
в условиях, когда раундовые ключи могут выбираться не обязательно равновероятно. Но для получения критерия условие марковости последовательности разностей должно быть усилено требованием его выполнения при любом распределении входной пары блоков, иначе остаётся потенциальная возможность слабого укрупнения состояний [3, с. 169]. Доказанная дважды стохастичность P равносильна установленной в теореме 2 [1] стационарности равномерного распределения разностей. Заметим, что в нашей работе в качестве определения марковского шифра выбрано условие марковости (5) как более естественное по сравнению с близким к нему условием (16).
Достаточное условие (11) нашей работы является ослаблением условия [4, теорема 6], поскольку не требует равномерности распределения второй части раундового ключа. При этом доказательство его достаточности значительно проще доказательства теоремы 6 [4, с. 44]. До работы [4] марковость моделей шифрсистем доказывалась лишь в частных случаях для DES [6, лемма 1, теорема 1], PES [1, лемма 1], а также для шифрсистемы IPES, позже названной IDEA [4, с. 57]. Заметим, что условие (11) позволяет рассматривать другие вероятностные модели IDEA, в которых часть (Z^, Z^) [4, с. 65] раундового ключа не обязательно равномерно распределена, что может способствовать построению атак на слабые части ключа.
3.2. О критике марковской модели Марковская модель блочных шифрсистем активно используется в англоязычной литературе с начала 1990-х гг. Примерно с 2006 г. интерес к ней стали проявлять украинские авторы [9-11], а в последние годы и российские. Вместе с тем имеются и критики этой модели, поскольку она, естественно, далека от совершенства. Они обычно выдвигают следующий аргумент:
«в реальности ключ всегда один и фиксирован, а не случаен». (17)
Приведём контраргументы.
1. Существует ряд ситуаций, в которых наблюдаются несколько шифртекстов, выработанных на разных ключах шифрования, например:
а) ключи получены из одного долговременного и различных разовых ключей;
б) ключи получены из фиксированного ключа и различных известных инициализирующих векторов (tweakable ciphers);
в) связанные ключи.
2. При некоторых алгоритмах развертывания ключа раундовые ключи, полученные на первых раундах, слабо зависимы, т. е. они близки к случайным независимым равновероятным векторам при случайном равновероятном выборе ключа шифрования. Модель случайного выбора ключа позволяет привлекать аппарат теории вероятностей для изучения характеристик «типичной» случайной подстановки, реализуемой блочной шифрсистемой, а также для изучения распределения вероятностей отклонений от таких характеристик.
3. Очевидно, аргумент (17) относится не к марковским шифрам как таковым, а вообще к неавтономным вероятностным моделям блочных шифрсистем. Но, например, в теории поточных шифрсистем давно используется и не вызывает возражений аналогичная модель для фильтрующего генератора, когда линейная рекуррентная последовательность, определяемая ключевым начальным заполнением, заменяется на последовательность независимых равновероятных битов. Для блочных шифрсистем увеличивается только размерность задачи и последовательность раундовых ключей,
определяемая ключом шифрования, заменяется на последовательность независимых равновероятных двоичных векторов.
Теория марковских шифров, как уже сказано выше, всего лишь изучает условия, при которых пары шифруемых блоков могут быть укрупнены в их разности с сохранением марковского свойства, которое даёт затем удобное равенство Колмогорова — Чепмена P(r) = Pr для матрицы переходных вероятностей за r тактов.
Подводя итог, перечислим достоинства (+) неавтономных моделей и некоторые их недостатки (—) как естественные продолжения достоинств:
(+) возможность исследования вероятностей переходов блоков и пар блоков за r раундов методами цепей Маркова, простое вычисление P(r) = Pr; (—) возникновение вопроса об адекватности модели;
(+) результаты анализа устойчивы к модификации АРК; (—) теряется информация о возможной связи между раундовыми ключами;
(+) в марковских алгоритмах шифрования: возможность сокращения в два раза размерности состояния при переходе в неавтономной модели от пар блоков к их разностям.
Автор выражает признательность Б. А. Погорелову за постановку задачи и внимание к работе и Ф. М. Малышеву, чьи замечания способствовали существенному упрощению формулировок и доказательств результатов.
ЛИТЕРАТУРА
1. Lai X., Massey J., and Murphy S. Markov ciphers and differential cryptanalysis // Eurocrypt-1991. LNCS. 1991. V. 547. P. 17-38.
2. Погорелое Б. А., Пудовкина М. А. Разбиения на биграммах и марковость алгоритмов блочного шифрования // Математические вопросы криптографии. 2017. Т. 8. Вып. 1. С. 107-142.
3. КемениДж., Снелл Дж. Конечные цепи Маркова. M.: HayKa, 1970. 271c.
4. Lai X. On the Design and Security of Block Ciphers: dissertation for the degree of Doctor of Technical Sciences. Swiss Federal Institute of Technology, Zurich, 1992. 118 p.
5. Biham E. and Shamir A. Differential cryptanalysis of DES-like cryptosystems // CRYPTO-1990. LNCS. 1991. V. 537. P. 2-21.
6. Biham E. and Shamir A. Differential cryptanalysis of DES-like cryptosystems // J. Cryptology. 1991. V.4. No. 1. P. 3-72.
7. Глухое М. М. О рассеивающих линейных преобразованиях для блочных шифрсистем // Математические вопросы криптографии. 2011. Т. 2. Вып. 2. C. 5-40.
8. Дрелихов В. О., Никифоров М. С. О марковских свойствах усредненных разностных характеристик итеративных блочных шифров // Тез. докл. на конф. РУСКРИПТО, 2017. www.ruscrypto.ru/accociation/archive/rc2017.html
9. Алексейчук А. Н. Верхние границы параметров, характеризующих стойкость немарковских блочных шифров относительно методов разностного и линейного криптоанализа // Науково-техшчний журнал «Захист шформацп». 2006. Вып.3. С. 20-28.
10. Ковальчук Л. В. Обобщенные марковские шифры: построение оценок практической стойкости к дифференциальным атакам // Сб. материалов 2-й Междунар. научн. конф. по проблемам безопасности и противодействия терроризму, 25-26 октября 2006 г. М.: МЦ-НМО, 2006.
11. Лисицкая И. В., Долгов В. И. Блочные симметричные шифры и марковские процессы // Прикладная радиоэлектроника. 2012. Т. 11. Вып. 2. С. 137-143.
REFERENCES
1. LaiX., Massey J., and Murphy S. Markov ciphers and differential cryptanalysis. Eurocrypt-1991, LNCS, 1991, vol.547, pp. 17-38.
2. Pogorelov B. A. and Pudovkina M. A. Razbieniya na bigrammah i markovost' algoritmov blochnogo shifrovaniya [Partitions on bigrams and Markov property of block ciphers]. Matematicheskie Voprosy Kriptografii, 2017, vol.8, iss. 1, pp. 107-142. (in Russian)
3. Kemeny J. G. and Snell J. L. Finite Markov Chains. The University Series in Undergraduate Mathematics. Princeton, Van Nostrand, 1960. 271 p.
4. Lai X. On the Design and Security of Block Ciphers: dissertation for the degree of Doctor of Technical Sciences. Swiss Federal Institute of Technology, Zurich, 1992. 118 p.
5. Biham E. and Shamir A. Differential cryptanalysis of DES-like cryptosystems. CRYPTO-
1990, LNCS, 1991, vol.537, pp. 2-21.
6. Biham E. and Shamir A. Differential cryptanalysis of DES-like cryptosystems. J. Cryptology,
1991, vol.4, no. 1, pp. 3-72.
7. Gluhov M. M. O rasseivayushchih linejnyh preobrazovaniyah dlya blochnyh shifrsistem [On mixing linear transforms for block ciphers]. Matematicheskie Voprosy Kriptografii, 2011, vol. 2, iss. 2, pp. 5-40. (in Russian)
8. Drelikhov V. O. and Nikiforov M. S. O markovskih svojstvah usrednennyh raznostnyh harakteristik iterativnyh blochnyh shifrov [On Markov properties of averaged difference characteristics of iterative block ciphers]. Proc. RUSCRIPTO-2017, www.ruscrypto.ru/ accociation/archive/rc2017.html (in Russian)
9. Aleksejchuk A. N. Verhnie granicy parametrov, harakterizuyushchih stojkost' nemarkovskih blochnyh shifrov otnositel'no metodov raznostnogo i linejnogo kriptoanaliza [Upper limits of parameters characterizing the stability of non-Markov block ciphers with respect to the methods of difference and linear cryptanalysis]. Naukovo-tekhnichnij zhurnal «Zahist Informacii», 2006, iss. 3, pp. 20-28. (in Russian)
10. Koval'chuk L. V. Obobshchennye markovskie shifry: postroenie ocenok prakticheskoj stojkosti k differencial'nym atakam [Generalized Markov ciphers: construction of estimates of practical resistance to differential attacks]. Proc. 2nd Intern. Conf. on Security and Counter-Terrorism, October 25-26, 2006. Moscow, MCCME Publ., 2006. (in Russian)
11. Lisickaya I. V. and Dolgov V. I. Blochnye simmetrichnye shifry i markovskie processy [Block symmetric ciphers and Markov processes]. Prikladnaya Radioehlektronika, 2012, vol. 11, iss. 2, pp. 137-143. (in Russian)
