データ暗号化標準

データ暗号化標準

DESのFeistel関数（F関数）
一般的な
デザイナー	IBM
初版	1975年（連邦官報）（1977年1月に標準化）
由来	ルシファー
後継者	トリプルDES、G-DES、DES-X、LOKI89、ICE
暗号の詳細
キーサイズ	56ビット
ブロックサイズ	64ビット
構造	バランス型Feistel ネットワーク
ラウンド	16
最高の公開暗号解読
DESは、ブルートフォース攻撃の実行可能性のため、当初から安全ではないと考えられてきました。[1]こうした攻撃は実際に実証されており（EFF DESクラッカーを参照）、現在ではサービスとして市場で利用可能です。2008年現在、最良の解析的攻撃は線形暗号解読であり、これには2 43 の既知の平文が必要で、時間計算量は2 39～43です（Junod、2001）。

データ暗号化規格( DES / ˌ d iː ˌ iː ˈ ɛ s , d ɛ z / ) は、デジタル データを暗号化するための対称鍵アルゴリズムです。 鍵の長さが 56 ビットと短いため、現代のアプリケーションには安全性が低すぎますが、暗号技術の進歩に大きな影響を与えてきました。

このアルゴリズムは、1970年代初頭にIBMで開発され、ホルスト・ファイステルによる以前の設計に基づいていましたが、機密扱いではない電子政府データの保護のための候補を提案するよう米国標準局（NBS）から要請を受け、同局に提出されました。1976年、国家安全保障局（NSA）との協議の結果、NBSは若干修正したバージョン（差分暗号解析に対しては強化されましたが、ブルートフォース攻撃に対しては弱められました）を選択し、 1977年に米国の公式連邦情報処理標準（FIPS）として公開されました。 ^[2]

NSA承認の暗号化標準の公開により、その暗号化はすぐに国際的に採用され、学術的にも広く精査されることになった。機密扱いの設計要素、対称鍵ブロック暗号設計の比較的短い鍵長、およびNSAの関与から論争が起こり、バックドアの疑いが浮上した。これらの疑惑を引き起こしたSボックスは、NSAが秘密裏に知っていた脆弱性（差分解読）に対処するために設計されたものだった。しかし、NSAは、ブルートフォース攻撃で暗号を破れるように鍵サイズを大幅に削減することも確実にしていた。^{[2] [検証失敗]}アルゴリズムは時間の経過とともに厳しい学術的精査を受け、ブロック暗号とその解読に関する現代的な理解につながった。

DES は、比較的短い56 ビットのキー サイズのため安全ではありません。1999 年 1 月、distributed.netとElectronic Frontier Foundationが協力して、22 時間 15 分で DES キーを公開的に破りました (§ 年表を参照)。また、この暗号の理論的な弱点を示す分析結果もいくつかありますが、実際には実行不可能です。このアルゴリズムは、理論上の攻撃はあるものの、トリプル DESの形式では実質的に安全であると考えられています。この暗号は、 Advanced Encryption Standard (AES)に置き換えられました。DES は、米国国立標準技術研究所によって標準として廃止されました。^[3]

一部のドキュメントでは、DES 標準とそのアルゴリズムを区別し、アルゴリズムをDEA (データ暗号化アルゴリズム) と呼んでいます。

DESの起源は1972年にさかのぼります。当時、米国政府のコンピュータセキュリティに関する国立標準局の調査により、機密扱いではない機密情報を暗号化するための政府全体の標準が必要であることが判明しました。^[4]

同じ頃、エンジニアのモハメド・アタラは1972年にアタラ社を設立し、1973年に商品化された最初のハードウェアセキュリティモジュール（HSM）である「アタラボックス」を開発しました。これは安全なPIN生成キーでオフラインデバイスを保護し、商業的に成功しました。銀行やクレジットカード会社はアタラが市場を独占することを恐れ、国際的な暗号化標準の開発に拍車をかけました。^{[3]アタラは銀行市場における}IBMの初期の競合企業であり、DES標準に取り組んだIBMの従業員によって影響を受けたと言われています。^[5] IBM 3624は後に、以前のアタラシステムと同様のPIN検証システムを採用しました。^[6]

1973年5月15日、NSAと協議した後、NBSは厳格な設計基準を満たす暗号の提案を募集した。提案された案はどれも適切ではなかった。2度目の要請は1974年8月27日に出された。このとき、IBMは、以前のアルゴリズムであるHorst FeistelのLucifer暗号に基づいて1973年から1974年の間に開発された暗号である、許容できると判断された候補を提出した。暗号の設計と分析に関わったIBMのチームには、Feistel、Walter Tuchman、Don Coppersmith、Alan Konheim、Carl Meyer、Mike Matyas、Roy Adler、Edna Grossman、Bill Notz、Lynn Smith、およびBryant Tuckermanがいた。

1975 年 3 月 17 日、DES の提案が連邦官報に掲載されました。一般からのコメントが求められ、翌年には提案された標準について議論する公開ワークショップが 2 回開催されました。公開鍵暗号の先駆者であるマーティン ヘルマン氏とホイットフィールド ディフィー氏^[1]からは、短縮された鍵長と謎の「S ボックス」が NSA による不正な干渉の証拠であるとの批判が寄せられました。諜報機関によってアルゴリズムがひそかに弱体化され、他の誰にも暗号化されたメッセージを簡単に読み取れないようにされたのではないかという疑いがありました。^[7]アラン コンハイム氏 (DES の設計者の 1 人) は、「S ボックスをワシントンに送りました。戻ってきたものはすべて異なっていました」とコメントしています。 ^[8]米国上院情報特別委員会は、 NSA の行動を検証し、不正な関与があったかどうかを判断しました。1978 年に公開された非機密の調査結果の概要で、委員会は次のように書いています。

DESの開発において、NSAはIBMに鍵のサイズを小さくすれば十分であると納得させ、間接的にSボックス構造の開発を支援し、最終的なDESアルゴリズムにはNSAの知る限り統計的または数学的な弱点がないことを認定した。^[9]

しかし、

NSAはアルゴリズムの設計に一切手を加えなかった。IBMはアルゴリズムを発明・設計し、それに関するすべての適切な決定を下し、合意された鍵サイズがDESが意図するすべての商用アプリケーションに十分すぎるほどであることに同意した。^[10]

DESチームの別のメンバーであるウォルター・タックマンは、「我々はIBM社内でIBM社員を使ってDESアルゴリズムを完全に開発した。NSAは1本の配線も指示しなかった！」と述べた。 ^[11] 対照的に、暗号の歴史に関するNSAの機密解除された本には次のように書かれている。

1973年、NBSは民間企業にデータ暗号化標準（DES）の策定を要請した。最初の提案は期待外れだったため、NSAは独自のアルゴリズムの開発に着手した。その後、研究・エンジニアリング担当副局長のハワード・ローゼンブラムは、IBMのウォルター・タックマンがルシファーの一般利用に向けた改良に取り組んでいることを発見した。NSAはタックマンに許可を与え、NSAと共同でルシファーの改良に取り組むよう依頼した。" ^[12]

そして

NSAはIBMと緊密に協力し、ブルートフォース攻撃以外のあらゆる攻撃に対するアルゴリズムを強化し、Sボックスと呼ばれる置換テーブルを強化した。逆にNSAはIBMにキーの長さを64ビットから48ビットに減らすよう説得しようとした。最終的にIBMは56ビットのキーで妥協した。^{[13] [14]}

S ボックスの隠れた弱点に関する疑惑の一部は、1990 年にEli BihamとAdi Shamirがブロック暗号を解読する一般的な方法である差分暗号解読法を独自に発見し、公開したことで和らぎました。DES の S ボックスは、ランダムに選択された場合よりも攻撃に対してはるかに耐性があり、IBM が 1970 年代にこの手法を知っていたことを強く示唆しています。これは事実であり、1994 年に Don Coppersmith が S ボックスの元の設計基準の一部を公開しました。^[15] Steven Levyによると、IBM Watson の研究者は 1974 年に差分暗号解読攻撃を発見し、NSA からこの手法を秘密にしておくように求められました。^[16] Coppersmith は、IBM が秘密にしていた理由について、「[差分暗号解読法] は非常に強力なツールであり、多くのスキームに対して使用される可能性があり、このような情報が公開ドメインにあると国家安全保障に悪影響を与える可能性があるという懸念があったためです」と説明しています。レヴィはウォルター・タックマンの言葉を引用している。「彼らは我々にすべての文書に機密スタンプを押すように要求した。我々は実際に各文書に番号を付け、金庫に保管した。なぜならそれらは米国政府の機密文書とみなされたからだ。彼らはそうするようにと言った。だから私はそうしたのだ」^[16]ブルース・シュナイアーは「NSAの『微調整』がDESのセキュリティを実際に向上させたことを学界が理解するのに20年かかった」と述べている^[17]。

批判にもかかわらず、DES は 1976 年 11 月に連邦標準として承認され、1977 年 1 月 15 日にFIPS PUB 46 として公開され、すべての非機密データでの使用が認可されました。その後、1983 年、1988 年 (FIPS-46-1 として改訂)、1993 年 (FIPS-46-2)、1999 年 (FIPS-46-3) に標準として再確認され、後者は「トリプル DES 」を規定しました (下記参照)。2002 年 5 月 26 日、DES は最終的に、公開コンペの結果、Advanced Encryption Standard (AES) に置き換えられました。2005 年 5 月 19 日、FIPS 46-3 は正式に撤回されましたが、NIST は2030 年まで政府の機密情報にトリプル DES を使用することを承認しました。 ^[18]

このアルゴリズムは、ANSI X3.92（現在、X3はINCITS、ANSI X3.92はANSI INCITS 92として知られています）^[19] 、 NIST SP 800-67 ^[18]、およびISO/IEC 18033-3 ^{[20] （} TDEAのコンポーネントとして）でも指定されています。

もう一つの理論的な攻撃法である線形暗号解読法は 1994 年に発表されました。しかし、DES が実用的に攻撃可能であることが実証され、代替アルゴリズムの必要性が浮き彫りになったのは、1998 年に電子フロンティア財団がDES クラッカーを発表した時でした。これらの方法とその他の暗号解読法については、この記事の後半で詳しく説明します。

DESの導入は、暗号学、特にブロック暗号を解読する方法の学術研究のきっかけとなったと考えられています。DESに関するNISTの回顧録によると、

DES は、非軍事分野の暗号化アルゴリズムの研究と開発を「活性化」させたと言えます。1970 年代には、軍事組織や諜報機関の職員を除いて暗号学者はほとんどおらず、暗号に関する学術研究もほとんどありませんでした。現在では、多くの学術的な暗号学者、暗号に関する強力なプログラムを持つ数学部門、商業情報セキュリティ企業やコンサルタントが活躍しています。暗号解読者の世代は、DES アルゴリズムの分析 (つまり「解読」) で経験を積んできました。暗号解読者のブルース・シュナイアーの言葉によれば、^[21]「DES は、他の何よりも暗号解読の分野を活性化させました。今や、研究すべきアルゴリズムができたのです。」1970 年代と 1980 年代の暗号に関する公開文献の驚くほど多くの部分が DES を扱っており、DES はそれ以降のすべての対称鍵アルゴリズムが比較される基準となっています。^[22]

DES は典型的なブロック暗号です。これは、固定長の平文ビット列を受け取り、一連の複雑な操作によってそれを同じ長さの別の暗号文ビット列に変換するアルゴリズムです。DES の場合、ブロック サイズは 64 ビットです。DES では、変換をカスタマイズするためにキーも使用するため、暗号化に使用された特定のキーを知っている人だけが復号化を実行できるはずです。キーは表面上は 64 ビットで構成されていますが、アルゴリズムによって実際に使用されるのはそのうち 56 ビットだけです。8 ビットはパリティチェックのみに使用され、その後は破棄されます。したがって、有効なキーの長さは56 ビットです。

キーは通常、それぞれが奇数パリティを持つ 8バイトとして保存または送信されます。ANSI X3.92-1981 (現在は ANSI INCITS 92–1981 として知られています) のセクション 3.5 によると、次のようになります。

キーの各 8 ビット バイトの 1 ビットは、キーの生成、配布、および保存におけるエラー検出に使用できます。ビット 8、16、...、64 は、各バイトが奇数パリティであることを確認するために使用されます。

他のブロック暗号と同様に、DES自体は安全な暗号化手段ではなく、特定の動作モードで使用する必要があります。FIPS-81では、DESで使用するためのいくつかのモードが指定されています。^[27] DESの使用に関する詳細なコメントは、FIPS-74に記載されています。^[28]

復号化では暗号化と同じ構造が使用されますが、キーは逆の順序で使用されます。(これには、同じハードウェアまたはソフトウェアを両方向に使用できるという利点があります。)

アルゴリズムの全体的な構造は図 1 に示されています。ラウンドと呼ばれる 16 の同一の処理段階があります。また、 IPとFP と呼ばれる初期および最終の順列があり、これらは逆です(IP は FP の動作を「元に戻し」、逆も同様です)。IP と FP には暗号上の重要性はありませんが、1970 年代半ばの 8 ビット ベースのハードウェアへのブロックの読み込みと読み出しを容易にするために含まれていました。^[29]

メインラウンドの前に、ブロックは 32 ビットの半分に 2 つに分割され、交互に処理されます。この交差はFeistel 方式として知られています。Feistel 構造により、復号化と暗号化は非常によく似たプロセスになります。唯一の違いは、復号化時にサブキーが逆の順序で適用されることです。アルゴリズムの残りの部分は同一です。これにより、暗号化アルゴリズムと復号化アルゴリズムを別々に用意する必要がないため、特にハードウェアでの実装が大幅に簡素化されます。

⊕ 記号は 排他的論理和(XOR) 演算を表します。F関数は、ブロックの半分をキーの一部と一緒にスクランブルします。次に、F 関数の出力はブロックの残りの半分と結合され、次のラウンドの前に半分が交換されます。最終ラウンドの後、半分が交換されます。これは、暗号化と復号化を同様のプロセスにする Feistel 構造の特徴です。

図 2 に示す F 関数は、一度に半ブロック (32 ビット) を操作し、次の 4 つのステージで構成されます。

1. 拡張: 32 ビットのハーフブロックは、図のEで示される拡張順列を使用して、ビットの半分を複製することにより 48 ビットに拡張されます。出力は 8 つの 6 ビット (8 × 6 = 48 ビット) の部分で構成され、各部分には対応する 4 つの入力ビットのコピーと、両側の各入力部分のすぐ隣のビットのコピーが含まれます。
2. キーの混合: 結果は、 XOR 演算を使用してサブキーと結合されます。16 個の 48 ビット サブキー (各ラウンドに 1 つ) は、キー スケジュール(以下で説明)を使用してメイン キーから導出されます。
3. 置換: サブキーを混ぜた後、ブロックはS ボックスまたは置換ボックスで処理される前に 8 つの 6 ビット部分に分割されます。8 つの S ボックスはそれぞれ、ルックアップ テーブルの形式で提供される非線形変換に従って、6 つの入力ビットを 4 つの出力ビットに置き換えます。S ボックスは DES のセキュリティの中核を提供します。S ボックスがなければ、暗号は線形になり、簡単に破られてしまいます。
4. 順列: 最後に、S ボックスからの 32 個の出力は、固定順列である Pボックスに従って並べ替えられます。これは、順列の後、このラウンドの各 S ボックスの出力のビットが次のラウンドで 4 つの異なる S ボックスに分散されるように設計されています。

S ボックスからの置換の交互、および P ボックスと E 拡張からのビットの順列は、それぞれいわゆる「混乱と拡散」を提供します。これは、 1940 年代にクロード シャノンによって安全かつ実用的な暗号に必要な条件として特定された概念です。

図 3 は、暗号化のキー スケジュール(サブキーを生成するアルゴリズム) を示しています。最初に、キーの 56 ビットがPermuted Choice 1 ( PC-1 ) によって最初の 64 ビットから選択され、残りの 8 ビットは破棄されるか、パリティチェック ビットとして使用されます。次に、56 ビットが 2 つの 28 ビットの半分に分割され、各半分は別々に扱われます。次のラウンドでは、両方の半分が 1 ビットまたは 2 ビット (ラウンドごとに指定) だけ左に回転され、次にPermuted Choice 2 ( PC-2 ) によって 48 のサブキー ビットが選択されます (左半分から 24 ビット、右半分から 24 ビット)。回転 (図では "<<<" で示されています) は、各サブキーで異なるビット セットが使用されることを意味します。各ビットは、16 個のサブキーのうち約 14 個で使用されます。

復号化のキースケジュールも同様で、サブキーは暗号化とは逆の順序になります。その変更を除けば、プロセスは暗号化の場合と同じです。同じ 28 ビットがすべてのローテーション ボックスに渡されます。

DES アルゴリズムの 疑似コードは次のとおりです。

// すべての変数は符号なし64ビットです

// 前処理: バイト単位のサイズ差でパディングし、
長さが64ビットの倍数になるようにメッセージをパディングします。         

var key // ユーザーが指定したキーvar keys [ 16 ] var left , right  
 
  

// キーを生成する

// PC1 (64 ビットから 56 ビット) 
key := permutation ( key , PC1 ) left := ( key rightshift 28 ) and 0xFFFFFFF right := key and 0xFFFFFFF   
      
    

iが0から16の場合、右: =右左回転KEY_shift [ i ]左:=左左左回転KEY_shift [ i ] var concat := (左左シフト28 )または右// PC2 (56 ビットから 48 ビット)キー[ i ] : = permutation ( concat , PC2 )終了      
	    
	     
	       
	
	   
 

// メッセージを復号するには、キーの順序を逆にします。
復号する場合はキーを逆にします。終了する場合は  
	 
 

//パディング
されたメッセージの64ビットチャンクごとに暗号化または復号化します。do var tmp       
	 

	// IP 
chunk := permutation ( chunk , IP ) left := chunk rightshift 32 right := chunk and 0xFFFFFFFF for i from 0 to 16 do tmp := right // E (32bits to 48bits) right := expand ( right , E ) right := right xor keys [ i ] // Substitution (48bits to 32bits) right := replacement ( right ) // P right := permutation ( right , P ) right := right xor left left := tmp end for // Concat right and left var cipher_chunk := ( right leftshift 32 ) or left // FP cipher_chunk := permutation ( cipher_chunk , FP ) end for	   
	    
	    
	      
		  
		
		   
		    
		
		  
		
		   
		    
		  
	 
	
	       
	
	   
 

DES の暗号解読については他のどのブロック暗号よりも多くの情報が公開されていますが、現在までで最も実用的な攻撃は依然としてブルート フォース アプローチです。さまざまなマイナーな暗号解読特性が知られており、理論上の攻撃としては 3 つの方法があります。これらの攻撃は理論上はブルート フォース攻撃よりも複雑ではありませんが、実行には非現実的な数の既知または選択された平文が必要ですが、実際には問題にはなりません。

どのような暗号でも、最も基本的な攻撃方法はブルートフォース、つまり可能なすべてのキーを順番に試すことです。キーの長さによって可能なキーの数が決まり、したがってこのアプローチの実現可能性が決まります。DESの場合、標準として採用される前から、キーのサイズが適切かどうかという疑問が提起され、理論的な暗号解読ではなく、キーのサイズが小さいことが、代替アルゴリズムの必要性を決定づけました。NSAを含む外部コンサルタントとの議論の結果、キーのサイズは256ビットから56ビットに削減され、1つのチップに収まりました。^[30]

学界では、DESを破るマシンの様々な提案が進められた。1977年、ディフィーとヘルマンは、1日でDES鍵を見つけることができる推定2000万ドルのマシンを提案した。^{[1] [31]} 1993年までに、ウィーナーは7時間以内に鍵を見つける100万ドルの鍵検索マシンを提案した。しかし、これらの初期の提案はどれも実装されなかった、あるいは少なくとも実装が公に認められることはなかった。DESの脆弱性は1990年代後半に実質的に実証された。^[32] 1997年、RSAセキュリティは一連のコンテストを後援し、コンテストでDESで暗号化されたメッセージを最初に解読したチームに1万ドルの賞金を提供した。このコンテストは、インターネット上の何千台ものコンピュータのアイドルサイクルを使用して、ロック・ヴァーサー、マット・カーティン、ジャスティン・ドルスケが率いるDESCHALLプロジェクトが優勝した。 DES を迅速にクラッキングできることは、1998 年にサイバースペースの公民権団体であるElectronic Frontier Foundation (EFF) が約 25 万ドルをかけてカスタム DES クラッカーを構築したときに実証されました ( EFF DES クラッカーを参照)。彼らの目的は、DES が理論だけでなく実際にも破られることを示すことでした。「自分の目で確かめるまでは真実を信じない人がたくさんいます。数日で DES をクラッキングできる物理的なマシンを彼らに見せることが、DES にセキュリティを信頼できないことを人々に納得させる唯一の方法です。」マシンは、2 日強の探索でキーをブルート フォース攻撃で解読しました。

次に確認されたDESクラッカーは、ドイツのボッフム大学とキール大学のチームによって2006年に構築されたCOPACOBANAマシンでした。EFFマシンとは異なり、COPACOBANAは市販の再構成可能な集積回路で構成されています。XILINX Spartan-3 1000タイプのこれらのフィールドプログラマブルゲートアレイ（FPGA）120個が並列に実行されます。これらは20個のDIMMモジュールにグループ化されており、各モジュールには6個のFPGAが含まれています。再構成可能なハードウェアを使用することで、このマシンは他のコード解読タスクにも適用できます。^[33] COPACOBANAの興味深い点の1つは、そのコスト要因です。1台のマシンは約10,000ドルで構築できます。^[34] EFFマシンに比べて約25分の1にコストが削減されたことは、デジタルハードウェアの継続的な改善の一例です（ムーアの法則を参照）。8年間のインフレ調整により、約30倍というさらに高い改善が得られます。 2007年以来、COPACOBANAの2つのプロジェクトパートナーからスピンオフした企業であるSciEngines GmbHは、COPACOBANAの後継機の強化と開発を行ってきました。2008年には、同社のCOPACOBANA RIVYERAが、128個のSpartan-3 5000を使用して、DESを破る時間を1日未満に短縮しました。SciEngines RIVYERAは、128個のSpartan-3 5000 FPGAを使用して、総当たり攻撃によるDESの破りの記録を保持していました。 ^[35]同社の256個のSpartan-6 LX150モデルは、この時間をさらに短縮しました。

2012年、デイビッド・ハルトンとモクシー・マーリンスパイクは、48個のザイリンクスVirtex-6 LX240T FPGAを搭載したシステムを発表しました。各FPGAには400MHzで動作する40個の完全パイプラインDESコアが含まれており、合計容量は768ギガキー/秒です。このシステムは、56ビットDESキー空間全体を約26時間で徹底的に検索することができ、このサービスはオンラインで有料で提供されています。^{[36] [37]}

ブルートフォース検索よりも少ない複雑さでDESの16ラウンドすべてを破ることができる攻撃法として、差分暗号解読法（DC）^{[38] 、} 線形暗号解読法（LC）^[39] 、およびデイヴィス攻撃^[40]の3つが知られています。ただし、これらの攻撃法は理論上のものであり、実際には実行不可能であると一般に考えられています。^[41]これらのタイプの攻撃法は、認証上の弱点と呼ばれることもあります。

• 差分暗号解読法は、1980年代後半にイーライ・ビハムとアディ・シャミールによって再発見されました。これはIBMとNSAの両方に以前から知られていましたが、秘密にされていました。差分暗号解読法では、16ラウンドすべてを解読するために、247の^選択 平文が必要です。^[38] DESはDCに耐性があるように設計されました。^[要出典]
• 線形解読法は松井充によって発見され、2 ^{43 個} の既知の平文を必要とする(Matsui, 1993)。^[39]この方法は実装され (Matsui, 1994)、DES の実験的解読法として初めて報告された。DES がこのタイプの攻撃に耐えられるように調整されたという証拠はない。LC の一般化である多重線形解読法は 1994 年に提案され (Kaliski と Robshaw)、Biryukov らによってさらに改良された。(2004) 彼らの分析によると、多重線形近似を使用すると、攻撃に必要なデータ量を少なくとも 4 分の 1 (つまり、 2 ⁴³ではなく2 ⁴¹ ) 削減できることが示唆されている。^[42]線形解読法の選択平文バリアントでも、同様のデータ複雑性削減を実現できる (Knudsen と Mathiassen, 2000)。^[43]ジュノド（2001）は、線形暗号解読の実際の時間計算量を決定するためにいくつかの実験を行い、予想よりもやや速く、2 ³⁹ – ^{2 41回}のDES評価に相当する時間が必要であると報告した。^[44]
• 改良デイヴィス攻撃：線形暗号解読法と差分暗号解読法は一般的な手法であり、多くの方式に適用できるが、デイヴィス攻撃はDESに特化した手法であり、80年代にドナルド・デイヴィスによって最初に提案され、 ^[40]ビハムとビリュコフ（1997）によって改良された。^[45]最も強力な攻撃方法では、2 ^{50 個の} 既知の平文が必要で、計算量は2 ⁵⁰で、成功率は51%である。

また、暗号のラウンド数を減らしたバージョン、つまり DES のラウンド数が 16 未満のバージョンに対する攻撃も提案されています。このような分析により、安全性を確保するために何ラウンド必要か、また完全バージョンでどの程度の「セキュリティ マージン」が維持されるかがわかります。

差分線形暗号解読法は1994年にラングフォードとヘルマンによって提案されたもので、差分暗号解読法と線形暗号解読法を1つの攻撃に組み合わせたものである。^{[46]この攻撃法の強化版では、2 15.8個の}平文を選択して9段DESを解読することができ、計算時間は2 ^29.2である（ビハムら、2002年）。^[47]

DESは相補性の性質を持ち、

${\displaystyle E_{K}(P)=C\iff E_{\overline {K}}({\overline {P}})={\overline {C}}}$

ここで、はのビット補数で、鍵による暗号化を表し、はそれぞれ平文と暗号文のブロックを表します。補数性は、選択平文の仮定の下で、ブルートフォース攻撃の作業量を 2 分の 1 (または 1 ビット) に削減できることを意味します。定義により、この特性は TDES 暗号にも適用されます。^[48]${\displaystyle {\overline {x}}}$${\displaystyle x.}$ ${\displaystyle E_{K}}$${\displaystyle K.}$ ${\displaystyle P}$${\displaystyle C}$

DES には、いわゆる弱い鍵が4 つあります。弱い鍵による暗号化 ( E ) と復号化 ( D ) は同じ効果を持ちます (反転を参照)。

${\displaystyle E_{K}(E_{K}(P))=P}$または同等に、${\displaystyle E_{K}=D_{K}.}$

半弱鍵のペアも 6 組あります。半弱鍵のペアの 1 つを使用した暗号化は、もう 1 つの半弱鍵を使用した復号化と同じように動作します。 ${\displaystyle K_{1}}$${\displaystyle K_{2}}$

${\displaystyle E_{K_{1}}(E_{K_{2}}(P))=P}$または同等に、${\displaystyle E_{K_{2}}=D_{K_{1}}.}$

実装において弱い鍵と半弱い鍵を避けるのは、明示的にテストするか、単に鍵をランダムに選択するだけで十分簡単です。偶然に弱い鍵や半弱い鍵が選ばれる可能性はごくわずかです。これらの鍵は攻撃に何の利点も与えないので、実際には他の鍵よりも弱いわけではありません。

DES は群ではないことも証明されている。より正確には、関数合成による集合(すべての可能なキー について)は群ではなく、群に「近い」ものでもない。^[49]これは長い間未解決の問題であったが、もしそうであったなら、DES を破ることができただろうし、トリプル DESなどの複数の暗号化モードではセキュリティが強化されなかっただろう。なぜなら、異なるキーで暗号化 (および復号化) を繰り返すことは、別の単一のキーで暗号化することと同等になるからだ。^[50]${\displaystyle \{E_{K}\}}$${\displaystyle K}$

簡易DES（SDES）は、学生が現代の暗号解読技術を学ぶのを助けるために、教育目的のみで設計されました。SDESはDESと同様の構造と特性を持っていますが、鉛筆と紙を使って手作業で暗号化と復号化をはるかに簡単に実行できるように簡素化されています。SDESを学ぶことで、DESや他のブロック暗号についての理解が深まり、それらに対するさまざまな暗号解読攻撃についての理解も深まると考える人もいます。^{[51] [52] [53] [54] [55] [56] [57] [58] [59]}

セキュリティに関する懸念と、DES のソフトウェアでの動作が比較的遅いことから、研究者はさまざまな代替ブロック暗号設計を提案するようになり、1980 年代後半から 1990 年代前半にかけて、これらの設計が登場し始めました。例としては、 RC5、Blowfish、IDEA、NewDES、SAFER、CAST5、FEAL などがあります。これらの設計のほとんどは DES の 64 ビットブロック サイズを維持し、「ドロップイン」代替品として機能できましたが、通常は 64 ビットまたは 128 ビットのキーを使用しました。ソビエト連邦では、 64 ビット ブロック サイズと 256 ビット キーの GOST 28147-89 アルゴリズムが導入され、後にロシアでも使用されました。

DES 自体は、より安全な方式に適応させて再利用することができます。かつての DES ユーザーの多くは現在、DES の特許所有者の 1 人によって説明および分析されたTriple DES (TDES) を使用しています ( FIPS Pub 46–3 を参照)。これは、2 つ (2TDES) または 3 つ (3TDES) の異なるキーを使用して DES を 3 回適用するものです。TDES は十分に安全であると見なされていますが、非常に低速です。計算コストの低い代替手段はDES-Xで、これは DES の前後に追加のキー マテリアルを XOR することでキー サイズを増やします。GDESは暗号化を高速化する方法として提案された DES の変種ですが、差分暗号解読の影響を受けやすいことが示されました。

1997年1月2日、NISTはDESの後継を選定したいと発表しました。^[60] 2001年、国際コンペの結果、NISTは新しい暗号であるAdvanced Encryption Standard (AES)をDESの後継として選定しました。^[61] AESとして選定されたアルゴリズムは、設計者らがRijndaelという名前で提出したものです。NIST AESコンペの最終候補には、 RC6、Serpent、MARS、Twofishな​​どがありました。

• ブルートフォース：データ暗号化標準の解読
• DES補足資料
• カツオ（暗号）
• トリプルDES

ウィキメディア・コモンズには、データ暗号化標準に関連するメディアがあります。

• FIPS 46-3: DES 標準を説明した公式文書 (PDF)
• COPACOBANA、ボッフム大学とキール大学による FPGA ベースの 10,000 ドルの DES クラッカー
• DES のステップバイステップの説明と信頼性の高いメッセージエンコードアプリケーション
• ソフトウェアにおける高速な新しい DES 実装 - Biham
• 多重線形近似について
• RFC4772 : データ暗号化標準 (DES) の使用によるセキュリティへの影響
• NIST SP 958 の DES 章を使用して実装された DES 暗号の Python コード