DE69721439T2

DE69721439T2 - Kryptographisches verfahren und einrichtung zum nichtlinearen zusammenfugen eines datenblocks und eines schlussels

Info

Publication number: DE69721439T2
Application number: DE69721439T
Authority: DE
Inventors: Huibert Den Boer
Original assignee: Koninklijke Philips Electronics NV
Current assignee: Irdeto BV
Priority date: 1996-05-20
Filing date: 1997-05-13
Publication date: 2004-03-18
Anticipated expiration: 2017-05-14
Also published as: US7079651B2; DE69721439D1; US20020034295A1; JP3992742B2; EP0839418A1; EP0839418B1; WO1997044935A1; US6298136B1; JPH11509940A

Description

Die vorliegende Erfindung bezieht sich auf ein Verfahren zur Umwandlung eines digitalen Eingangsblocks in einen digitalen Ausgangsblock; wobei diese Umwandlung den Schritt umfasst der Zusammenfügung eines selektierten Teils M1 des genannten digitalen Eingangsblocks mit einem ersten Schlüssel K1 und der Erzeugung eines Datenblocks B1, der nicht linear abhängig ist von dem selektierten Teil M1 und dem genannten ersten Schlüssel K1, und wobei ein selektierter Teil des genannten digitalen Ausgangsblocks von dem genannten Datenblock B1 hergeleitet wird.
Die vorliegende Erfindung bezieht sich weiterhin auf eine Anordnung zur kryptographischen Umwandlung eines digitalen Blocks in einen digitalen Ausgangsblock; wobei die genannte Anordnung erste Eingangsmittel aufweist zum Erhalten des genannten digitalen Eingangsblocks; zweite Eingangsmittel zum Erhalten eines ersten Schlüssels K1; kryptographische Verarbeitungsmittel zum Umwandeln des digitalen Eingangsblocks in den digitalen Ausgangsblock; wobei die genannte Umwandlung das Zusammenfügen eines selektierten Teils M1 des genannten digitalen Eingangsblocks mit dem genannten ersten Schlüssel K1 und das Erzeugen eines Datenblocks B1, der von dem genannten selektierten Teil M1 und dem genannten ersten Schlüssel nicht linear abhängig ist und wobei ein selektierter Teil des genannten digitalen Ausgangsblocks von dem genannten Datenblock B1 hergeleitet wird; und Ausgangsmittel zum Ausliefern des genannten digitalem Ausgangsblocks.
Der "Data Encryption Standard" (DES) des nationalen Normbüros [FIPS Veröffentlichung 46, den 15. Januar 1977] beschreibt einen weitgehend verwendeten Algorithmus zum Umwandeln eines digitalen Eingangsblocks in einen digitalen Ausgangsblock. Ein derartiger Algorithmus wird im Allgemeinen als Blockzeichen bezeichnet. Der DES-Algorithmus wird benutzt zum Verschlüsseln und Entschlüsseln binär codierter Information. Verschlüsselung verwandelt verständliche Daten, die als Klartext bezeichnet werden, in eine unverständliche Form, die als Schlüsseltext bezeichnet wird. Entschlüsselung des Schlüsseltextes verwandelt die Daten zurück in die ursprüngliche Form. In der sog. elektronischen Codebuchmode wird DES verwendet zum Verschlüsseln von Blöcken von 64 Bits Klartext in entsprechende Blöcke von 64 Bits Schlüsseltext. In dieser Mode benutzt die Verschlüsselung Schlüssel, die von einem 64 Bit Schlüssel hergeleitet werden, von denen 56 Bits frei selektiert werden können. 1 zeigt die Gesamtstruktur von DES während der Verschlüsselung. In der Verschlüsselungsberechnung wird zunächst der Eingang (64 Bit Klartext) von 64 Bits in 64 Bits permutiert, und zwar unter Anwendung einer festen Permutation IP. Das Ergebnis wird in 32 linke Bits L₀ und 32 rechte Bits R₀ aufgeteilt. Die rechten Bits werden unter Anwendung einer Verschlüsselungsfunktion f(R₀,K₁) transformiert, wobei K₁ ein Subschlüssel ist. Das Ergebnis f(R₀,K₁) wird zu den linken Bits hinzugefügt (bitweise Modulo 2), wonach die zwei resultierenden 32 Bit Blöcke L₀⊕ f(R₀,K₁) ausgetauscht werden. Diese Prozedur wird insgesamt 16 Runden wiederholt. Am Ende der letzten Runde wird die invertierte Permutation der Ausgangspermutation 1P angewandt.
In der Berechnung von f(R_i,K_i+1) werden zunächst die 32 rechten Bits R_i zunächst auf 48 Bits in dem Box E erweitert, wie in 2 dargestellt. Entsprechend einer bestimmten Tabelle erfolgt diese Erweiterung dadurch, dass einige Eingangsbits zweimal als Ausgangsbit genommen werden und andere nur einmal. Danach werden die erweiterten 48 Bits den 48 Schlüsselbits K_i hinzugefügt (bitweise Modulo 2). Die resultierenden 48 Bits werden in 8 Gruppen zu je 6 Bits aufgeteilt. Jede dieser Gruppen wird von einer S Box (S_i) verarbeitet, was die 6 Bits in einem nicht linearen Vorgang zu 4 Bits reduziert. Die acht S_i Boxen gibt es in Form einer Tafel. Der gesamte Ausgang ist 32 Bits, was in der Box P permutiert wird. P ist ebenfalls in Form einer Tafel.
3 zeigt die Schlüsselplanberechnung. Der Schlüssel besteht aus 64 Bits, von denen nur 56 in dem Algorithmus verwendet werden. Diese 56 Bits sollen beliebig gewählt werden. Acht komplementierende Fehlerdetektionsbits werden verwendet um die Parität jedes Bytes des Schlüssels ungerade zu machen. Die Wahl der 56 Bits erfolgt in der Box PC1, zusammen mit einer Permutation . Das Ergebnis wird in zwei 28 Bit Worte C₀ und D₀ aufgeteilt. Zum Erhalten der 48 Schlüsselbits für jede Runde werden zunächst die Worte C₀ und D₀ ein- oder zweimal verschoben. Eine Wahl und eine Permutation PC2 werden danach auf das Ergebnis angewandt. Der Ausgang von PC2 ist der 48 Bit Subschlüssel K₁, der in f(R₀,K₁) verwendet wird. Der Prozess der Verschiebung, der Wahl und der Permutation wird wiederholt zum Erzeugen eines Subschlüssels für jede Runde. Eine Tafel spezifiziert, wie viele Verschiebungen durchgeführt werden müssen zum Erhalten der nächsten 48 Bits des Subschlüssels für die nächste Runde.
Derselbe Algorithmus und derselbe Schlüssel können verwendet werden zum Entschlüsseln eines Schlüsseltextes. Die Ausgangspermutation für die Entschlüsselung macht die inverse Permutation der Verschlüsselung rückgängig. Jede Runde besteht aus einem sog. Feistel-Cipher. Es ist durchaus bekannt, dass für Feistel-Ciphers der inverse Vorgang aus der Verwendung derselben Runden besteht, die auch zum Verschlüsseln verwendet werden, wobei aber die Subschlüssel in umgekehrter Reihenfolge angewandt werden. An sich muss die erste Entschlüsselungsrunde mit demselben Subschlüssel versehen werden, der für die sechzehnte Verschlüsselungsrunde verwendet wurde, die zweite Entschlüsselungsrunde muss mit demselben Subschlüssel versehen werden, der für die fünfzehnte Verschlüsselungsrunde verwendet wurde, usw. Es ist ebenfalls durchaus bekannt, wie der DES-Algorithmus in anderen Verschlüsselungsmoden verwendet werden kann, wie in der Cipher-Rückkopplungsmode. In dieser Mode wird der DES-Algorithmus verwendet zum Erzeugen eines Stromes statistisch beliebiger binärer Bits, die mit dem Klartext kombiniert werden, und zwar unter Anwendung beispielsweise eines logischen Exklusiv-Oder-Vorgangs.
Der DES-Algorithmus umfasst im Wesentlichen eine Ausgangspermutation, der sechzehn schlüsselabhängige Berechnungen an einem Teil der Daten folgen die durch eine inverse Permutation abgeschlossen wird. Jede schlüsselabhängige Berechnung umfasst das Addieren (Modulo 2) schlüsselabhängiger Bits zu dem Datenteil, wonach ein nicht linearer Vorgang an Subblöcken Drain-Elektrode Datenteils folgt, der durch eine Permutation (linearen Vorgang) des Datenteils abgeschlossen wird.
Im Allgemeinen wird DES als ein gutes Verschlüsselungs/Entschlüsselungswerkzeug betrachtet. Es ist aber eine offene Frage, ob DES in den vergangenen Jahren nach wie vor sicher ist, insbesondere im Hinblick auf die jüngsten sehr kraftvollen differenziellen kryptoanalytischen Attacken.
Es ist nun u. a. eine Aufgabe der vorliegenden Erfindung ein kryptographisches Verfahren und eine Anordnung der beschriebenen Art zu schaffen, die mehr beständig ist gegen kryptoanalytische Attacken.
Um diese Aufgabe zu erfüllen weist das kryptographische Verfahren nach der vorliegenden Erfindung das Kennzeichen auf, dass der genannte Zusammenfügungsschritt dadurch durchgeführt wird, dass eine nicht lineare Funktion g durchgeführt wird zur nicht linearen Zusammenfügung des genannten selektierten Teils M1 und des genannten ersten Schlüssels K1 in einem einzigen, sequentiell untrennbaren Schritt. In dem DES-System, wie in 2 dargestellt, werden in einem ersten Verarbeitungsschritt die R-Daten bitweise zu dem Schlüssel hinzugefügt, wonach ein zweiter Verarbeitungsschritt einer nicht linearen Verarbeitung des Ergebnisses (S-Boxen) folgt. Nach der vorliegenden Erfindung wird ein Algorithmus verwendet, der nicht linear Daten mit einem Schlüssel in einem einzigen Schritt zusammenfügt (d. h. in einem einzigen sequentiellen nicht trennbaren Schritt). An sich ist das Hinzufügen der Schlüsselbits zu den Daten ein integraler Teil des nicht linearen Vorgangs, wodurch das System mehr immun gemacht wird gegen modernen Attacken, wie eine differenzielle Kryptoanalyse.
In einer Ausführungsform des Verfahrens nach der vorliegenden Erfindung, wie in dem abhängigen Patentanspruch 2 definiert, werden in jeder Runde die beiden Teile des digitalen Eingangsblocks verarbeitet, was ein besseres Verschlüsselungsergebnis liefert als für herkömmliche Feistel Ciphers, wie DES, wobei während jeder Runde nur die Hälfte des digitalen Eingangsblocks verarbeitet wird. Um zu gewährleisten, dass dasselbe System für Verschlüsselung und Entschlüsselung angewandt werden kann, wird ein Teil der Daten unter Anwendung eines Vorgangs g verarbeitet, während die andere Hälfte unter Anwendung des inversen Vorgangs g^–1 verarbeitet wird. Unter Anwendung dieses Schemas wird Entschlüsselung unter Anwendung desselben Systems durchgeführt, wobei aber die Schlüssel in umgekehrter Reihenfolge den Runden zugeführt werden (während der Entschlüsselung wird der erste nicht lineare Schritt mit einem Schlüssel versehen, der während der Verschlüsselung dem letzten nicht linearen Schritt zugeführt wurde usw.). Im Vergleich zu einer herkömmlichen Implementierung einer Feistel Cipher mit zweimal soviel Runden, ist das System nach der vorliegenden Erfindung schneller.
Die Maßnahme, wie in dem Unteranspruch 3 definiert, wobei ein relativ großer Datenblock und Schlüssel von beispielsweise 64 Bits in kleinere Subblöcke und Subschlüssel aufgeteilt wird, vereinfacht nicht lineare Echtzeit-Verarbeitung.
Bei einer Ausführungsform des Verfahrens nach der vorliegenden Erfindung, wie in dem Unteranspruch 5 definiert, wird eine Konstante verwendet zur Verbesserung der Qualität der Verschlüsselung. Auf vorteilhafte Weise wird die Konstante je System vorbestimmt, wobei beispielsweise eine kundenspezifische Konstante gebildet wird. Auf alternative Weise wird die Konstante unter Verwendung eines pseudo beliebigen Generators erzeugt.
Die Maßnahme, definiert in dem Unteranspruch 6, schafft eine Möglichkeit einer nicht linearen Zusammenfügung des Datensubblocks und des Subschlüssels in einem einzigen Schritt. Zusätzlich führen verschiedene Eingänge alle zu verschiedenen Ausgängen. Dies vergrößert die Immunität des Systems gegen kryptoanalytische Attacken im Vergleich zu DES, wo der nicht lineare Vorgang den 6-Bit Eingangssubblock zu einem 4-Bit Ausgangssubblock reduziert, was mit sich bringt, dass derselbe Ausgang für vier verschiedene Eingänge erzeugt wird.
In einer Ausführungsform des Verfahrens nach der vorliegenden Erfindung, wie in dem Unteranspruch 7 definiert, wird eine Konstante verwendet zur Verbesserung der Qualität der Verschlüsselung. Auf vorteilhafte Weise wird die Konstante je System vorbestimmt, wobei beispielsweise eine kundenspezifische Konstante gebildet wird. Auf alternative Weise wird die Konstante unter Verwendung eines pseudo beliebigen Generators erzeugt.
Die Maßnahme, wie in dem Unteranspruch 8 definiert, steigert die Qualität der Verschlüsselung noch weiter.
In einer Ausführungsform des Verfahrens nach der vorliegenden Erfindung, wie in dem Unteranspruch 10 definiert, werden einzelne Subblöcke, die verschiedenen Teilen des digitalen Eingangsblocks entsprechen, zur Verbesserung der Qualität der Verschlüsselung umgetauscht.
Vorzugsweise umfasst der Subblock m_i acht Datenbits. Dies verbessert weiterhin die Qualität des nicht linearen Vorgangs im Vergleich zu DES, wobei der nicht lineare Vorgang sechs zu vier Bits verwandelt.
Die Maßnahme, wie in dem Unteranspruch 11 definiert, hat den Vorteil der Reduktion der Multiplikation in GF(2⁸) zu Vorgängen in GF(2⁴), wodurch es möglich gemacht wird, eine einfachere oder kosteneffektivere Implementierung zu erhalten.
Die Maßnahme, wie in dem Unteranspruch 12 definiert, bietet eine effektive Weise der Reduktion der Multiplikation in GF(2⁸) zu Vorgängen in GF(2⁴).
Eine Ausführungsform des Verfahrens nach der vorliegenden Erfindung weist das Kennzeichen auf, dass β eine Wurzel eines nicht reduziblen Polynoms h(x) = x⁴ + x³ + x² + x + 1 über GF(2) ist. Dies ist eine bevorzugte Wahl für β , wodurch die Verwendung der sog. verschobenen polynomischen Basis ermöglicht wird.
Eine Ausführungsform des Verfahrens nach der vorliegenden Erfindung weist das Kennzeichen auf, dass Berechnung des invertierten Wertes eines Elementes von GF(2⁸) die Durchführung einer Reihe von Berechnungen in GF(2⁴) umfasst. Durch Reduktion des inversen Vorgangs in GF(2⁸) zu Vorgängen in GF(2⁴) kann eine einfachere und kosteneffektivere Implementierung erhalten werden.
Eine Ausführungsform des Verfahrens nach der vorliegenden Erfindung weist das Kennzeichen auf, dass Berechnung des invertierten Wertes des genannten Elementes b die folgende Berechnung umfasst: (a 2 / 0 + a₀a₁, + a 2 / 1β)^–1 ((a₀ + a₁) + a₁D). Dies ist eine effektive Weise der Reduktion des invertierten Vorgangs in GF(2⁸) zu Vorgängen in GF(2⁴).
Eine Ausführungsform des Verfahrens nach der vorliegenden Erfindung weist das Kennzeichen auf, dass der erste Schlüssel K1 64 Datenbits aufweist und wobei jeder der genannten Subschlüssel k_i acht Datenbits aufweist. Durch Verwendung eines großen Schlüssels wird die Qualität der Verschlüsselung gesteigert.
Um die Aufgabe der vorliegenden Erfindung zu erfüllen weist die Anordnung nach der vorliegenden Erfindung das Kennzeichen auf, dass die genannten kryptographischen Verarbeitungsmittel vorgesehen sind zum Durchführen der genannten Zusammenfügung dadurch, dass eine nicht lineare Funktion g für nicht lineare Zusammenfügung des genannten Selektierten Teils M1 und des genannten ersten Schlüssels K1 in einem einzigen sequentiell untrennbaren Schritt durchgeführt wird.
Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden im vorliegenden Fall näher beschrieben. Es zeigen:
1 die Verarbeitungsschritte für das DES-System,
2 Einzelheiten der Zusammenfügung der Daten mit dem Schlüssel und des nicht linearen Vorgangs in DES,
3 Einzelheiten der Schlüsselberechnung in DES,
4 ein Blockschaltbild der kryptographischen Anordnung,
5 eine einzelne Verarbeitung zweier Teile des digitalen Eingangsblocks,
6 die Verarbeitung eines Teils des digitalen Eingangsblocks in Form von Subblöcken,
7 die Verarbeitung zweier Teile in Form von Subblöcken und
8 ein gesamtes Verschlüsselungssystem.
4 zeigt ein Blockschaltbild der kryptographischen Anordnung 400 nach der vorliegenden Erfindung. Zwecks der Erläuterung der vorliegenden Erfindung wird das System in der elektronischen Codebuch-Mode beschrieben. Der Fachmann wird imstande sein, das System auch in anderen Moden anzuwenden. Die Anordnung 400 umfasst erste Eingangsmittel 410 zum Erhalten eines digitalen Eingangsblocks M. Der digitale Eingangsblock M kann jede beliebige Größe haben. Vorzugsweise ist M groß genug, beispielsweise 128 Bits, zum Erhalten eines ziemlich genaues Verschlüsselungsergebnisses. Die Anordnung 400 umfasst weiterhin kryptographische Verarbeitungsmittel 420 zum Umwandeln des digitalen Eingangsblocks in einen digitalen Ausgangsblock. Auf vorteilhafte Weise hat der digitale Ausgangsblock im Wesentlichen dieselbe Länge wie der digitale Eingangsblock. Die Anordnung 400 umfasst Ausgangsmittel 430 zum Ausliefern des digitalen Ausgangsblocks. Im Grunde verwandeln die kryptographischen Verarbeitungsmittel 420 den digitalen Eingangsblock M in den digitalen Ausgangsblock durch Zusammenfügung eines selektierten Teils M1 des digitalen Eingangsblocks M mit einem ersten Schlüssel K1, wodurch ein Datenblock B1 erzeugt wird, der von M1 und K1 nicht-linear abhängig ist. Das Zusammenfügen erfolgt in einem sequentiell untrennbaren Schritt. Der digitale Ausgangsblock wird von B1 hergeleitet und dem restlichen Teil von M, der keinen Teil von M1 ist. Zum Erhalten des ersten Schlüssels K1 umfasst die kryptographische Anordnung 400 zweite Eingangsmittel 440. Wie nachher noch detailliert beschrieben wird, kann ein zweiter Teil M2 des digitalen Eingangsblocks vorzugsweise mit einem zweiten Schlüssel K2 zusammengefügt werden, und zwar unter Anwendung eines Vorgangs, der umgekehrt ist gegenüber dem Vorgang zum Zusammenfügen von M1 und K1, wodurch ein Datenblock B2 gebildet wird. In diesem Fall ist der digitale Ausgangsblock auch abhängig von B2. Zum Erhalten des zweiten Schlüssels K2 umfasst die kryptographische Anordnung 400 dritte Eingangsmittel 450.
Es dürfte einleuchten, dass die kryptographische Anordnung 400 unter Verwendung eines herkömmlichen Computer, wie eines PCs, oder unter Verwendung einer speziellen Verschlüsselungs/Entschlüsselungsanordnung implementiert werden kann. Der digitale Eingangsblock kann verschiedenartig erhalten werden, wie über ein Kommunikationsnetzwerk, von einem Datenspeichermittel, wie einer Festplatte oder von einer Floppy, oder aber unmittelbar vom Benutzer eingegeben. Auf gleiche Weise kann der digitale Ausgangsblock verschiedenartig ausgeliefert werden, wie über ein Kommunikationsnetzwerk, gespeichert auf einem Datenspeichermedium, oder wiedergegeben für einen Benutzer. Vorzugsweise werden dazu sichere Mittel verwendet. Die kryptographischen Verarbeitungsmittel 420 können ein herkömmlicher Prozessor sein, wie beispielsweise verwendet in PCs, sie können aber auch einem kryptographischen Prozessor gewidmet sein. Die kryptographische Anordnung 400 kann teilweise oder völlig auf einer Chip-Karte implementiert sein.
In dem restlichen Teil der Beschreibung werden Einzelheiten der kryptographischen Umwandlung für Verschlüsselungsblöcke von 128 Bit Klartext in entsprechende Blöcke von 128 Bit Schlüsseltext gegeben. Der Fachmann wird imstande sein, das System auch für andere Blockgrößen anzuwenden. Datengrößen in den Figuren werden der Deutlichkeit halber gegeben und sollen nur als Beispiel betrachtet werden. Die Beschreibung fokussiert sich auf die nicht lineare Verwendung der Daten und die Zusammenfügung des Schlüssels mit den Daten, wie in einer einzigen Runde durchgeführt. An sich kann die vorliegende Erfindung in einem System angewandt werden, wie in 1 dargestellt, das viele Runden umfasst und auch einen linearen Vorgang an dem Datenblock in jeder Runde aufweist.
Wie in 5 dargestellt, ist der Nachrichtenblock M von 128 Bits in einen ersten Teil M1 und einen zweiten Teil M2 aufgeteilt (einen linken und einen rechten Block). Vorzugsweise sind beide Teil gleicher Größe, 64 Bit. Es dürfte einleuchten, das M1 und M2 auch von M hergeleitet werden können, und zwar unter Anwendung eines komplizierteren Selektionsverfahrens. M1 wird verarbeitet unter Verwendung einer nicht linearen Funktion g. Im Grunde ist es nicht erforderlich, M2 während derselben Runde zu verarbeiten. Auf vorteilhafte Weise wird M2 in derselben Runde verarbeitet, und zwar unter Verwendung der inversen Funktion g^–1. Jede der Funktionen g und g^–1 fügt M1 oder M2 mit einem Schlüssel K1 bzw. K2 zusammen. Vorzugsweise haben die Datenteile und die Schlüssel die gleiche Größe. Da es schwer ist, einen guten nicht linearen Vorgang an einem großen Datenblock zu implementieren und eine nicht lineare Verarbeitung eines großen Datenblocks zeitaufwendig ist, werden die Datenteile M1 und M2 in Subblöcke aufgeteilt. 6 zeigt dies für M1. 7 zeigt die Aufteilung von M1 und M2. Unter Verwendung von 64 Bit Datenteile M1 und M2 werden die Teile vorzugsweise in acht 8 Bit Elemente aufgeteilt, wobei M1 = (m₀, m₁ ,..., m₇) und M2 = (m₈, m₉ ,..., m₁ ₅) ist. Die zwei Schlüssel K1 und K2 können von einem größeren Schlüssel hergeleitet werden, beispielsweise durch Aufteilung eines 128 Bit Schlüssels in zwei 64 Bit Schlüssel K1 und K2. Die zwei Schlüssel K1 und K2 können weiter aufgeteilt werden. Unter Verwendung von 64 Bit Schlüsseln wird vorzugsweise jeder Schlüssel in 8 Bit Subschlüssel aufgeteilt, was insgesamt sechzehn 8 Bit Subschlüssel k_j ergibt, j = 0 .... 15. Jeder der Subschlüssel k_j ist mit dem entsprechenden Subblock m_j assoziiert. Jeder Subblock wird einzeln verarbeitet. Vorzugsweise werden die Subblöcke parallel verarbeitet. Falls bevorzugt können die Subblöcke, die sich auf eine einzige Runde beziehen, seriell verarbeitet werden. Die erste Gruppe Subblöcke, die M1 bilden, werden je von einer Cipherfunktion f verarbeitet. Die zweite Gruppe Subblöcke werden je von der inversen Funktion f¹ verarbeitet.
Für die kryptographischen Vorgänge wird vorausgesetzt, dass ein n Bit Subblock oder Subschlüssel ein Element von GF(2ⁿ) darstellt (Galois Field). Alle Vorgänge sind dadurch in GF(2ⁿ).
In der Basisform hat die Cipherfunktion f zwei Eingänge m_j und k_j und einen Ausgang t_j, wie auch in den 6 und 7 dargestellt, wobei t_j = f(m_j, k_j) für j = 0 bis 7. In der Basisform betrifft die Cipherfunktion f einen Vorgang h(b_j, k_j) mit einem Ausgang nahezu gleicher Größe wie b_j. Die Funktion h hat einen Daten-Subblock b_j und einen Subschlüssel k_j als Eingang, wobei b_j = m_j für die Basisform der Cipherfunktion f. Die Funktion f (in dieser Ausführungsform dieselbe wie die Funktion h) wird für j = 0 ... 7 wie folgt definiert:
Auf gleiche Weise hat in der Basisform die inverse Cipherfunktion f¹ zwei Eingänge m_j und k_j und einen Ausgang t_j, wie auch in den 6 und 7 dargestellt, wobei t_j = f¹(m_j, k_j) für j = 8 bis 15. Die inverse Cipherfunktion f¹ betrifft ebenfalls nur einen Vorgang h^–1(b_j· k_j) mit einem Ausgang im Wesentlichen gleicher Größe wie b_j. Die Funktion h^–1 ist die inverse Form von h. Wie oben ist b_j = m_j in der Basisform der Cipherfunktion f¹. Die Funktion f¹ (in dieser Ausführungsform dieselbe wie die Funktionen h^–1) wird für j = 8 .. 15 wie folgt definiert:
In einer weiteren Ausführungsform werden die Ausgänge t_j der Cipherfunktionen f(t_j = f(m_j, k_j), für j = 0 bis 7) und die Ausgänge der inversen Cipherfunktion f¹ (t_j – f¹(m_j, k_j) für j = 8 bis 15) auf die nachfolgende Weise ausgetauscht: t_j < - > t_15–j für j = 0 bis 7. Dies ist in 7 dargestellt.
Bei einer weiteren Ausführungsform wird jedem Daten-Subblock m_j vor der Durchführung der Funktion h eine Konstante hinzugefügt (bitweise Modulo 2). Vorzugsweise werden acht unabhängige Konstanten p_j (j = 0 ... 7) verwendet, die je dem betreffen den Daten-Subblock m_j hinzugefügt werden. Dieselbe Funktion h wird wie oben verwendet, nun arbeitend an b_j = m_j ⊕ p_j. Die Cipherfunktion f wird nun wie folgt definiert:
Auf gleiche Weise wird für die inverse Cipherfunktion f¹ jedem Daten-Subblock m_j auch eine Konstante hinzugefügt (bitweise Modulo 2). Um zu ermöglichen, dass die inverse Funktion f¹ benutzt wird zum Entschlüsseln eines verschlüsselten Textes, werden dieselben acht unabhängigen Konstanten p_j (j = 0 .. 7) verwendet, wie diese für die Cipherfunktion f verwendet wurden. Nun werden die Konstanten P_j zu dem 15–j. Strom hinzugefügt (j = 0 .. 7). Dadurch betrifft die inverse Cipherfunktion f¹ die nachfolgenden zwei Vorgänge (j = 8 .. 15):
Zum Schluss, werden t_j und t_15–j ausgetauscht (j = 0 .. 7).
Bei einer weiteren Ausführungsform wird jedem Daten-Subblock m_j nach der Durchführung der Funktion h eine weitere Konstante hinzugefügt (bitweise modulo 2). Vorzugsweise werden acht unabhängige Konstanten dj (j = 0 ... 7) verwendet, die je dem entsprechenden Daten-Subblock m_j hinzugefügt werden. Dieselbe Funktion h wie oben wird verwendet. Die Cipherfunktion f wird nun wie folgt definiert:
Auf dieselbe Weise wird für die inverse Cipherfunktion f¹ jedem Daten-Subblock m_j auch eine Konstante hinzugefügt (bitweise modulo 2). Um zu ermöglichen, dass die inverse Funktion f¹ unter Verwendung der Cipherfunktion f zum Entschlüsseln eines verschlüsselten Textes verwendet wird, wird die Konstante vor der Durchführung der Funktion h hinzugefügt. Vorzugsweise werden dieselben acht unabhängigen Konstanten d_j (j = 0 ... 7) verwendet, wie für die Cipherfunktion f verwendet. Nun werden die Konstanten d_j zu dem 15–j. Strom hinzugefügt (j = 0 ... 7). Dieselbe Funktion h^–1 wird wie oben verwendet, nun an b_j = m_j ⊕ d_15–j arbeitend. Dadurch betrifft die inverse Cipherfunktion f¹ die nachfolgenden drei Vorgänge (j = 8 ... 15):
Zum Schluss werden t_j und t_15–j ausgetauscht (j = 0 ... 7).
Es dürfte einleuchten, dass es ebenfalls möglich ist, die Konstanten d_j ohne Verwendung von Konstanten p_j zu verwenden.
Bei einer weiteren Ausführungsform erhebt die Cipherfunktion f das Ergebnis der Funktion h in eine Zweierpotenz. Dieselbe Funktion h wie oben wird verwendet. Die Cipherfunktion wird nun wie folgt definiert:
Auf gleiche Weise erhebt die inverse Cipherfunktion f¹ auch einen Daten-Subblock in eine Zweierpotenz. Um zu ermöglichen, dass die inverse Funktion f¹ verwendet wird zum Entschlüsseln eines verschlüsselten Textes unter Verwendung der Cipherfunktion f wird der zusätzliche Vorgang vor der Durchführung der Funktion h durchgeführt. Dieselbe Funktion h^–1 wie oben wird verwendet, nun an b_j = m_j ⊕ d_15–j arbeitend. Dadurch betrifft die inverse Cipherfunktion f¹ die nachfolgenden vier Vorgänge (j = 8 ... 15):
Zum Schluss werden t_j und t_15–j vertauscht (j = 0 ... 7).
Es dürfte einleuchten, dass es ebenfalls möglich ist, den Vorgang der Erhebung in eine Zweierpotenz ohne Verwendung einer oder der beiden Konstanten d_j und p_j zu verwenden. Zum Entschlüsseln wird derselbe Algorithmus verwendet wie zum Verschlüsseln, aber die Subschlüssel werden vertauscht: anstelle von k_j wird k_15–j verwendet, j = 0 .. 15.
Die Multiplikation in GF(2⁸)
Im Grunde kann für die vorliegende Erfindung jede beliebige Multiplikation in GF(28) verwendet werden. Ein Beispiel einer VLSI-Implementierung von Multiplikationen in GF(2^m) ist gegeben in [P. A. Scott: "A fast VLSI multiplier for GF(2^m)", "IEEE Jounal on selected areas in Communcations", Heft SAC-4, Nr. 1 Januar 1986, Seiten 62–66].
Auf vorteilhafte Weise wird der nachfolgende Mechanismus verwendet zum Reduzieren der Multiplikation in GF(2⁸) auf eine Reihe von Multiplikationen und Addierungen zu GF(2⁴).
Es wird vorausgesetzt, dass in GF(2⁴) β die nicht triviale Wurzel von β⁵ = 1 ist (nicht trivial bedeutet β ≠ 1, oder mit anderen Worten, β ist die Wurzel des unzerlegbaren Polynoms h(x) = x₄ + x₃ + x₂ + x + 1 über GF(2), da: x⁵ + 1 = (x + 1)(x⁴ + x³ + x² + x + 1). Die normale Basis β, β², β⁴, β⁵ wird als die Basis in GF(2⁴) genommen. Da entsprechend dem Polynom β⁸ = β³ ist, ist dies dasselbe wie die sog. verschobene Polynombasis β, β² β³ β⁴.
Es wird vorausgesetzt, dass D ein Element von GF(2⁸) ist, definiert als eine Wurzel des unzerlegbaren Polynoms k(x) = x² + x + β über GF(2⁴). Jedes Element von GF(2⁸) kann als a₀ + a₁·D dargestellt werden, wobei a₀ und a₁ Elemente von GF(2⁴) sind. In binärer Sprache kann die Zahl b von GF(2⁸) unter Verwendung von acht Bits dargestellt werden, gegliedert als ein Vektor (a₀, a₁), wobei a₀, a₁ vier Bits haben, die Zahlen von GF(2⁴) darstellen. An sich ist die Basis in GF(2⁸): β, β², β³ β⁴, Dβ, Dβ², Dβ³, Dβ⁴. Zwei Elemente b und c von GF(2⁸), dargestellt als b = a₀ + a₁·D und c = a₂ + a₃·D, wobei a_i ∊ GF(2⁴) ist, kann wie folgt multipliziert werden: b·c = (a0 + a1·D)·(a2 + a3·D) = a0a2 + (a0a3).D + a1a3·D2 .
Unter Anwendung der Tatsache, dass D eine Wurzel von k(x) ist, was bedeutet, dass D² = D + β ist, ergibt dies das nachfolgende Multiplikationsergebnis: b·c = (a0a2 + a1a3β) + (a1a3 + a0a3 + a1a3).D.
Dies hat die Multiplikation von zwei Elementen von GF(2⁸) auf eine Reihe von Multiplikationen und Addierungen in GF(2⁴) reduziert.
Die Inverse in GF(2⁸)
Im Grunde kann jedes bekannte Verfahren benutzt werden zum Berechnen der Inverse eines Elementes in GF(2⁸). Auf vorteilhafte Weise wird, wenn das oberstehende Verfahren angewandt wurde zum Reduzieren der Multiplikation in GF(2⁸) zu einer Mul tiplikation in GF(2⁴), dann das nachfolgende Verfahren angewandt zum Reduzieren des inversen Vorgangs in GF(2⁸) zu einem inversen Vorgang in GF(2⁴).
Die Inverse b^–1 eines Elementes b in GF(2⁸), wobei b als b = a₀ + a₁·D dargestellt wird, wobei a_i∊ GF(2⁴) ist, wird gegeben durch:
und da D² + D = β ist, ergibt dies: b^–1.b = 1.
Auf diese Weise wird der inverse Vorgang in GF(2⁸) auf einen inversen Vorgang in GF(2⁴) und auf eine Reihe von Multiplikationen und Addierungen in GF(2⁴) reduziert.
Multiplikation in GF(2⁴)
Im Grunde kann jede beliebige Multiplikation in GF(2⁴) verwendet werden. Auf vorteilhafte Weise wird, wie oben beschrieben, die verschobene Polynombasis β, β², β³, β⁴ als Basis in GF(2⁴) genommen, wobei β die Wurzel des untrennbaren Polynoms h(x) = x⁴ + x³ + x² + x + 1 über GF(2) ist, und β⁵ = 1 ist in GF(2⁴). Da β eine Wurzel von h ist, bedeutet dies: β⁴ + β³ + β² + β = 1. Wenn nun vorausgesetzt wird, dass die Basiselemente wie folgt genannt werden: e₁, e₂, e₃ und e₄, wobei e₁ = β¹ ist, werden die Basiselemente auf die nachfolgende Weise multipliziert, und zwar unter Anwendung der Definition von β: e1·e2 = β·β = β2 – e2 e1·e2 = β·β2 = β3=e3 e1·e3 = β·β3 = β4 = e4 e1·e4 = β·β4 = β5 = 1 = e1 + e2 + e3 + e4 e2·e2 = β2·β2 = β4 = e4 e2·e3= β2·β3 = β5 = 1 = e1 + e2 + e3+ e4 e2·e4 = β2·β4 = β6 = β = e1 e3·e3= β3·β3 = β6 = β =e1 e3·e4= β3·β4 = β7 = β2 =e2 e4·e4 = β4·β4 = β8 = β3 =e3
Dies definiert im Grunde die Multiplikation in GF(2⁴). In binären Termen kann die Multiplikation wie folgt gesehen werden. In Bezug auf die Basis kann jedes Element b in GF(2⁴) wie folgt dargestellt werden: b = b₀e₁ + b₁e₂ + b₂e₃ + b₃e₄, wobei b_i ? GF(2) ist. An sich kann das Element b durch einen 4-dimensionalen Vektor mit binären Elementen (b₀, b₁, b₂, b₃) dargestellt werden. Auf einem Mikroprozessor kann dies unter Verwendung eines Häppchens. In binären Termen kann die Multiplikation zweier Elemente b und c in GF(2⁴) wie folgt gesehen werden, wobei vorausgesetzt wird, dass die zwei Elemente dargestellt werden durch: b = (b₀, b₁, b₂, b₃) und c = (c₀, c₁, c₂, c₃). Multiplikation der zwei Elemente auf die normale Art und Weise ergibt:
Die Anwendung der Definition von β zur Ersetzen von β⁵ durch β⁴ + β³ + β² + β, β⁶ durch β, β⁷ durch β² und β⁸ durch β³ ergibt die nachfolgenden vier Elemente: b.c. = (b1c3 + b2c2 + b3c1 + b0c3 + b1c2 + b2c1 + b3c0)β + (b0c0 + b2c3 + b3c2 + b0c3 + b1c2 + b2c1 + b3c0)β2 + (b0c1 + b1c0 + b3c3 + b0c3 + b1c2 + b2c1 + b3c0)β3 + (b0c2 + b1c1 + b2c0 + b0c3 + b1c3 + b1c2 + b2c1 + b3c0)β4 Das Ergebnis der Multiplikation in binären Termen wird gegeben durch:
Inverser Vorgang in GF(2⁴)
Unter Verwendung der normalen Basis β, β², β⁴, β⁸ kann jedes Element x von GF(2⁴) geschrieben werden als b = a·β + b·β² + c·β⁴ + d·β⁸, wobei a, b, c, d ? GF(2) ist. An sich kann jedes Element durch einen 4-dimensionalen Vektor (1, b, c, d) dargestellt werden.
Zum Erhalten der Inverse von b (b^–1)

– berechne die nachfolgenden Zwischenergebnisse: ab, ab, ab, bc, bc, bc, cd, cd, cd, da, da, da, wobei ab das binäre UND von a und b (a UND b) und a das binäre Komplement von a (NICHT a) ist.
- berechne das erste Bit von b^–1 durch Verwendung von cd, cd, cd, ab, bc, und da wie folgt: (cd) ODER (a UND cd) ODER (cd UND ab) ODER (bc UND da)
– berechne das zweite Bit von b^–1 durch Verwendung von da, da, da, bc, cd, ab wie folgt: (da) ODER (b UND da) ODER (da UND bc) ODER (cd UND ab)
– berechne das dritte Bit von b-1- unter Verwendung von ab, ab, ab, cd, da, bc wie folgt: (ab) ODER c UND ab) ODER (ab UND cd) ODER (da UND bc)
– berechne das vierte Bit von b^–1 durch Verwendung von bc, bc, bc, da, ab, cd wie folgt: (bc) ODER (d UND bc) ODER (bc UND da) ODER (ab UND cd)

Nebst der Verwendung in einem DES-artigen System , wie in l dargestellt, kann ein spezielles System um den nicht linearen Algorithmus nach der vorliegenden Erfindung gebaut werden. Ein derartiges System ist in 8 dargestellt. In diesem System werden die Blöcke unter Verwendung des nicht linearen Vorgangs NL nach der vorliegenden Erfindung und eines linearen Vorgangs LIN verarbeitet. Der erste Schritt ist der nicht lineare Vorgang. Dem folgt eine Wiederholung des linearen Vorgangs, dem ein nicht linearer Vorgang folgt. Es wird erwartet, dass ein ausreichend sicheres System dadurch erhalten werden kann, dass sechs nicht lineare Vorgänge (d. h. unter Verwendung von fünf Runden) durchgeführt werden, unter der Bedingung, dass der lineare Vorgang die Datenbits sehr gut vermischt. Vorzugsweise werden 15 Runden verwendet. Alle linearen Vorgänge sind gleich. Auch sind alle nicht linearen Vorgänge gleich, aber jeder nicht lineare Vorgang benutzt einen anderen Schlüssel von 128 Bits. Auf vorteilhafte Weise werden Schlüssel von einem einzigen globalen Schlüssel von beispielsweise 256 Bits hergeleitet, und zwar unter Anwendung einer Schlüsselplanberechnung. Für Verschlüsselung sowie Entschlüsselung wird derselbe Schlüssel verwendet. Im den meisten Fällen wird der Schlüssel geliefert unter Verwendung einer Chip-Karte. Für den linearen Vorgang wird auf vorteilhafte Weise statt einer Permutation eine komplexere Matrix verwendet. Wie oben beschrieben, kann zusätzlich zu dem Schlüssel jeder nicht lineare Vorgang eventuell eine Konstante C von 128 Bits verwenden, die in die Konstanten p_j und d_j aufgeteilt wird. Die Konstante kann für jeden Vorgang der gleiche sein. Auf vorteilhafte Weise wird jeder nicht lineare Vorgang mit einer einzelnen Konstanten versehen. Die Konstanten können je System vorbestimmt werden (beispielsweise eine Kundenspezifische Konstante). Auf alternative Weise wird die Konstante unter Verwendung eines pseudo beliebigen Generators erzeugt.
Text in der Zeichnung
1
Eingang
Anfangspermutation
Permutierter Eingang
Vor-Ausgang
Invertierter Anfangspermutation
Ausgang
3
Schlüssel
Permutierte Wahl 1
Links-Verschiebung
Permutierte Wahl 2
Links-Verschiebungen
8
Eingang
Schlüsselberechnung
Schlüssel
Ausgang

Claims

Verfahren zur kryptographischen Umwandlung eines digitalen Eingangsblocks in einen digitalen Ausgangsblock; wobei diese Umwandlung den Schritt umfasst der Zusammenfügung eines selektierten Teils M1 des genannten digitalen Eingangsblocks mit einem ersten Schlüssel K1 und der Erzeugung eines Datenblocks B1, der nicht linear abhängig ist von dem selektierten Teil M1 und dem genannten ersten Schlüssel K1, und wobei ein selektierter Teil des genannten digitalen Ausgangsblocks von dem genannten Datenblock B1 hergeleitet wird, dadurch gekennzeichnet, dass der genannte Zusammenfügungsschritt dadurch durchgeführt wird, dass eine nicht lineare Funktion g durchgeführt wird zur nicht linearen Zusammenfügung des genannten selektierten Teils M1 und des genannten ersten Schlüssels K1 in einem einzigen, sequentiell untrennbaren Schritt.
Verfahren nach Anspruch 1, wobei das genannte Verfahren die nachfolgenden Verfahrensschritte umfasst: – das Spalten des genannten digitalen Eingangsblocks in den genannten selektierten Teil M1 und einen zweiten Teil M2 vor der Durchführung des genannten Zusammenfügungsschrittes; – das Durchführen einer nicht linearen Funktion g^–1 zum Zusammenfügen des genannten zweiten Blocks M2 mit einem zweiten Schlüssel K2 in einem einzigen, sequentiell untrennbaren Schritt, wobei ein Datenblock B2 als Ausgang erzeugt wird; wobei die genannte nicht lineare Funktion g^–1 die Inverse der genannten nicht linearen Funktion g ist; und – das Bilden kombinierter Daten aus Daten in dem genannten Datenblock B1 und in dem genannten Datenblock B2; wobei der genannte digitale Datenblock von den genannten kombinierten Daten hergeleitet wird.
Verfahren nach Anspruch 1, wobei der genannte Zusammenfügungsschritt die nachfolgenden Schritte umfasst: – das Spalten des genannten selektierten Teils M1 in eine erste Anzahl n Subblöcke m₀ ,..., m_n–1 einer im Wesentlichen gleichen Länge; – das Spalten des genannten ersten Schlüssels K1 in die genannte erste Anzahl n Subschlüssel k₀ ,..., k_n–1 einer im Wesentlichen gleichen Länge, wobei der Subschlüssel k_i dem Subblock m; entspricht, für i = 0 bis n–1; und – das einzelne Verarbeiten jedes Blocks der genannten Subblöcke m; dadurch, dass für jeden der genannten Subblöcke m_i eine gleiche nicht lineare Funktion h durchgeführt wird zur nicht linearen Zusammenfügung eines Subblocks b_i, hergeleitet von dem genannten Subblock m_i, mit dem genannten entsprechenden Subschlüssel k_i in einem einzigen sequentiell untrennbaren Schritt, und wobei die genannte erste Anzahl Ausgangssubblöcke h(b_i, k_i) erzeugt wird; und – das Kombinieren von Subblöcken t_i hergeleitet von der genannten ersten Anzahl der genannten Ausgangssubblöcke h(b_i, k_i) zum Bilden des genannten Datenblocks B1.
Verfahren nach Anspruch 2 und 3, wobei der genannte Schritt der Durchführung der genannten nicht linearen Funktion g^–1 die nachfolgenden Verfahrensschritte umfasst: – das Spalten des genannten zweiten Teils M2 in die genannte erste Anzahl n Subblöcke m_n,..., m_2–1 im Wesentlichen mit der gleichen Länge. – das Spalten des genannten Schlüssels K2nzahl n Subschlüssel k_n ,..., k_2n–1, im Wesentlichen mit der gleichen Länge, wobei der Subschlüssel k_i dem Subblock m_i entspricht für i = n bis 2n–1; – das für jeden Subblock der genannten Subblöcke m_i Durchführen einer gleichen nicht linearen Funktion h^–1 zur nicht linearen Zusammenfügung eines Subblocks b_i, hergeleitet von dem genannten Subblock m_i, mit dem genannten entsprechenden Subschlüssel k_i und das Erzeugen der genannten ersten Anzahl Ausgangssubblöcke h^–1(b_i, k_i); wobei die genannte Funktion h^–1 die Inverse der genannten Funktion h ist; und – das Kombinieren von Subblöcken t_i, hergeleitet von der genannten ersten Anzahl Ausgangssubblöcke h^–1(b_i, k_i) zum Bilden des genannten Datenblocks B2.
Verfahren nach Anspruch 3, wobei der genannte Subblock b_i von dem genannten Subblock m_i hergeleitet wird, und zwar durch bitweise Addierung einer Konstanten p_i zu dem genannten Subblock m_i, wobei die genannte Konstante p_i im Wesentlichen eine gleiche Länge hat wie der genannte Subblock m_i.
Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die genannte Funktion h(b_i,k_i) wie folgt definiert wird:
wobei die Multiplikation und die inversen Vorgänge eine vorbestimmte GF-Multiplikation (Galois Field) und inverse Vorgänge sind.
Verfahren nach Anspruch 6, wobei das Herleiten der genannten Subblöcke t_i von den genannten Ausgangssubblöcken h(b_i, k_i) das bitweise Addieren einer Konstanten d_i zu dem genannten Ausgangssubblock h(b_i, k_i) umfasst, wobei die genannte Konstante d_i im Wesentlichen die gleiche Länge hat wie der genannte Subblock m_i.
Verfahren nach Anspruch 7, wobei das Herleiten der genannten Subblöcke t_i von den genannten Ausgangssubblöcken h(b_i, k_i) weiterhin das Erhöhen von h(b_i k_i) ⊕ d; zu einer Potenz 2¹ umfasst, und zwar unter Anwendung der oben genannten vorbestimmten GF-Multiplikation.
Verfahren nach Anspruch 6, wobei das Herleiten der genannten Subblöcke t_i aus den genannten Ausgangssubblöcken h(b_i, k_i) das Erhöhen des Ausgangssubblocks h(b_i k_i) zu einer Potenz 2¹ umfasst, und zwar unter Anwendung der genannten vorbestimmten GF-Multiplikation.
Verfahren nach Anspruch 4, wobei die genannten kombinierten Daten wie folgt gebildet werden: – durch Austausch der Subblöcke t_i und t_2n–1–i, für i = 0 bis n–1; und – durch Verkettung der übergelagerten Subblöcke.
Verfahren nach Anspruch 6, wobei der genannte Subblock m_i acht Datenbits umfasst und wobei die genannte Multiplikation zweier Elemente b und k von GF(2⁸) das Durchführen einer Reihe von Multiplikationen und Addierungen in GF(2⁴) umfasst.
Verfahren nach Anspruch 11, wobei die genannte Multiplikation der genannten zwei Elemente b und k Folgendes umfasst: – das Darstellen von b als a₀ + a₁·D und von k als a₂ + a₃·D, wobei a₀, a₁, a₂ und a₃ Elemente von GF(2⁴) sind, und wobei D ein Element von GF(2⁸) ist, definiert als eine Wurzel eines nicht reduziblen Polynoms k(x) = x² + x + β über GF(2⁴), wobei β ein Element von GF(2⁴) ist; und – das Berechnen von (a₀a₂ + a₁a₃β) + (a₁a₂ + a₁a₃ + a₁a₃)·D.
Verfahren nach Anspruch 12, wobei β eine Wurzel eines nicht reduziblen Polynoms h(x) = x⁴ + x³ + x² + x + 1 über GF(2) ist.
Verfahren nach Anspruch 6, wobei der genannte Subblock m_i acht Datenbits enthält und wobei das Berechnen der Inverse eines Elementes b von GF(2⁸) das Durchführen einer Reihe von Berechnungen in GF(2⁴) umfasst.
Verfahren nach Anspruch 14, wobei das Berechnen der Inverse des genannten Elementes b Folgendes umfasst: – das Darstellen von b als a₀ + a₁·D, wobei a₀ und a₁ Elemente von GF(2⁴) sind und wobei D ein Element von GF(2⁸) ist, definiert als die Wurzel eines nicht reduziblen Polynoms k(x) = x² + x + β über GF(2⁴) ist, wobei β ein Element von GF(2⁴) ist; und - das Berechnen von (a 2 / 0 + a₀a₁, + a 2 / 1 β)^–1 ((a₀ + a₁ ) + a₁D).
Anordnung zur kryptographischen Umwandlung eines digitalen Eingangsblocks in einen digitalen Ausgangsblock; wobei die genannte Anordnung die nachfolgenden Elemente umfasst: – erste Eingangsmittel zum Erhalten des genannten digitalen Eingangsblocks; – zweite Eingangsmittel zum Erhalten eines ersten Schlüssels K1; – kryptographische Verarbeitungsmittel zum Umwandeln des digitalen Eingangsblocks in den digitalen Ausgangsblock; wobei die genannte Umwandlung das Zusammenfügen eines selektierten Teils M1 des genannten digitalen Eingangsblocks mit dem genannten ersten Schlüssel K1 umfasst und das Erzeugen eines Datenblocks B1, der nicht linear von dem genannten selektierten Teil M1 und dem genannten ersten Schlüssel K1 abhängig ist, und wobei ein selektierter Teil des genannten digitalen Ausgangsblocks von dem genannten Datenblock B1 hergeleitet wird; und – Ausgangsmittel zum Ausliefern des genannten digitalen Ausgangsblocks, dadurch gekennzeichnet, dass die genannten kryptographischen Verarbeitungsmittel dazu vorgesehen sind, das genannte Zusammenfügen durchzuführen, und zwar dadurch, dass eine nicht lineare Funktion g durchgeführt wird zwecks einer nicht linearen Zusammenfügung des genannten selektierten Teils M1 und des genannten ersten Schlüssels K1 in einem einzigen sequentiell untrennbaren Schritt.
Anordnung nach Anspruch 16, wobei die genannte Anordnung dritte Eingangsmittel aufweist zum Erhalten eines zweiten Schlüssels K2 und wobei die genannte Umwandlung Folgendes umfasst: – das Spalten des genannten digitalen Eingangsblocks in den genannten selektierten Teil M1 und einen zweiten Teil M2 vor der Durchführung der genannten Zusammenfügung; – das Durchführen einer nicht linearen Funktion g^–1 zum Zusammenfügen des genannten zweiten Blocks M2 mit dem genannten zweiten Schlüssel K2 in einem einzigen, sequentiell nicht trennbaren Schritt, wobei ein Datenblock B2 als Ausgang erzeugt wird; wobei die genannte nicht lineare Funktion g^–1 die Inverse der genannten nicht linearen Funktion g ist; und – das Bilden kombinierter Daten aus Daten in dem genannten Datenblock B1 und in dem genannten Datenblock B2; wobei der genannte digitale Ausgangsblock von den genannten kombinierten Daten hergeleitet wird.
Anordnung nach Anspruch 16, wobei der genannte Zusammenfügungsschritt die nachfolgenden Verfahrensschritte umfasst: – das Spalten des genannten selektierten Teils M1 in eine erste Anzahl n Subblöcke m₀ ,..., m_n–1, im Wesentlichen gleicher Länge; – das Spalten des genannten ersten Schlüssels K1 in die genannte erste Anzahl n Subschlüssel k₀ ,..., k_n–1, im Wesentlichen gleicher Länge, wobei der Subschlüssel k_i dem Subblock m_i entspricht für i = 0 bis n–1; und – das einzelne Verarbeiten jedes Subblocks der genannten Subblöcke m; dadurch, dass für jeden Subblock der genannten Subblöcke m_i eine gleiche nicht lineare Funktion h durchgeführt wird zur nicht linearen Zusammenfügung eines Subblocks b_i, hergeleitet von dem genannten Subblock m_i mit dem genannten entsprechenden Subschlüssel k_i in einem einzigen, sequentiell nicht trennbaren Schritt und dass die genannte Anzahl Ausgangssubblöcke h(b_i, k_i) erzeugt wird; und – das Kombinieren von Subblöcken t_i, hergeleitet von der ersten Anzahl der genannten Ausgangssubblöcke h(b_i, k_i) zum Bilden des genannten Ddatenblocks B1.
Anordnung nach Anspruch 18, dadurch gekennzeichnet, dass die genannte Funktion h(b_i, k_i) wie folgt definiert wird:
wobei die Multiplikation und die inversen Vorgänge eine vorbestimmte GF-Multiplikation und inverse Vorgänge sind.
Anordnung nach Anspruch 19, wobei der genannte Subblock m_i acht Datenbits umfasst und wobei das genannte Multiplizieren zweier Elemente b und k von GF(2⁸) Folgendes umfasst: – das Darstellen von b als a₀ + a₁·D und von k als a₂ + a₃·D, wobei a₀, a₁, a₂ und a₃ Elemente von GF(2⁴) sind, und wobei D ein Element von GF(2⁸) ist, definiert als eine Wurzel eines nicht reduziblen Polynoms k(x) = x² + x + β über GF(2⁴), wobei β ein Element von GF(2⁴) ist; und – das Berechnen von (a₀a₂ + a₁a₃β) + (a₁a₂ + a₀a₃ + a₁a₃)·D; und wobei das Berechnen der Inverse eines Elementes b von GF(2⁸) das Berechnen von (a 2 / 0 + a₀a₁, + a 2 / 1 β)^–1 ((a₀ + a₁ ) + a₁D) umfasst.