クズニェチク

クズニェチク（ロシア語：Кузнечик、文字通り「バッタ」）は対称ブロック暗号です。ブロックサイズは128ビット、キー長は256ビットです。ロシア連邦の国家規格GOST R 34.12-2015 ^{[3] [4]}およびRFC 7801で 定義されています。

この暗号の名前はロシア語でバッタと訳されるが、標準規格では英語名はクズニェチク（/ k ʊ z n ˈ ɛ tʃ ɪ k / ）であると明記されている。設計者は、この暗号をクズニェチクと名付けることによって、ラインダールとケッカクが打ち出した発音の難しいアルゴリズム名の流行に従ったと主張している。^{[5]また、この暗号は作成者であるASクズミン[6]} 、 AAネチャエフ^[7]、および会社（ロシア語：Куз ьмин、Неч аев и К омпания）にちなんで名付けられたという噂もある。^[要出典]

GOST R 34.12-2015規格では、新しい暗号を古いGOSTブロック暗号（現在はマグマと呼ばれている）と1つにまとめており、古い暗号が廃止されたとは宣言していない。^[8]

Kuznyechik は置換-順列ネットワークに基づいていますが、キースケジュールではFeistel ネットワークが採用されています。

${\displaystyle \mathbb {F} }$—有限体 。 ${\displaystyle GF(2^{8})}$ ${\displaystyle x^{8}+x^{7}+x^{6}+x+1}$

${\displaystyle Bin_{8}:\mathbb {Z} _{p}\rightarrow V_{8}}$— （） ${\displaystyle \mathbb {Z} _{p}}$${\displaystyle p=2^{8}}$

${\displaystyle {Bin_{8}}^{-1}:V_{8}\rightarrow \mathbb {Z} _{p}}$— 。 ${\displaystyle Bin_{8}}$

${\displaystyle \delta :V_{8}\rightarrow \mathbb {F} }$— 。 ${\displaystyle \mathbb {F} }$

${\displaystyle \delta ^{-1}:\mathbb {F} \rightarrow V_{8}}$— ${\displaystyle \delta }$

暗号化、復号化、キー生成には次の機能があります。

${\displaystyle Add_{2}[k](a)=k\oplus a}$、ここで、は、 ...という形式のバイナリ文字列です(は文字列の連結)。 ${\displaystyle k}$${\displaystyle a}$${\displaystyle a=a_{15}||}$${\displaystyle ||a_{0}}$${\displaystyle ||}$

${\displaystyle N(a)=S(a_{15})||}$...は の逆変換です。 ${\displaystyle ||S(a_{0}).~~N^{-1}(a)}$${\displaystyle N(a)}$

${\displaystyle G(a)=\gamma (a_{15},}$……​${\displaystyle ,a_{0})||a_{15}||}$${\displaystyle ||a_{1}.}$

${\displaystyle G^{-1}(a)}$—の逆変換、...${\displaystyle G(a)}$${\displaystyle G^{-1}(a)=a_{14}||a_{13}||}$${\displaystyle ||a_{0}||\gamma (a_{14},a_{13},}$${\displaystyle ,a_{0},a_{15}).}$

${\displaystyle H(a)=G^{16}(a)}$ここで、変換の合成など。 ${\displaystyle G^{16}}$${\displaystyle G^{15}}$${\displaystyle G}$

${\displaystyle F[k](a_{1},a_{0})=(HNAdd_{2}[k](a_{1})\oplus a_{0},a_{1}).}$

非線形変換は、S = Bin ₈ S' Bin ₈ ⁻¹を代入することによって与えられます。

置換S'の値は配列S' = (S'(0), S'(1), ..., S'(255))として与えられます。

${\displaystyle S'=(252,238,221,17,207,110,49,22,251,196,250,218,35,197,4,77,233,}$ ${\displaystyle 119,240,219,147,46,153,186,23,54,241,187,20,205,95,193,249,24,101,}$ ${\displaystyle 90,226,92,239,33,129,28,60,66,139,1,142,79,5,132,2,174,227,106,143,}$ ${\displaystyle 160,6,11,237,152,127,212,211,31,235,52,44,81,234,200,72,171,242,42,}$ ${\displaystyle 104,162,253,58,206,204,181,112,14,86,8,12,118,18,191,114,19,71,156,}$${\displaystyle }$${\displaystyle 183,93,135,21,161,150,41,16,123,154,199,243,145,120,111,157,158,178,}$ ${\displaystyle 177,50,117,25,61,255,53,138,126,109,84,198,128,195,189,13,87,223,}$ ${\displaystyle 245,36,169,62,168,67,201,215,121,214,246,124,34,185,3,224,15,236,}$ ${\displaystyle 222,122,148,176,188,220,232,40,80,78,51,10,74,167,151,96,115,30,0,}$ ${\displaystyle 98,68,26,184,56,130,100,159,38,65,173,69,70,146,39,94,85,47,140,163,}$ ${\displaystyle 165,125,105,213,149,59,7,88,179,64,134,172,29,247,48,55,107,228,136,}$ ${\displaystyle 217,231,137,225,27,131,73,76,63,248,254,141,83,170,144,202,216,133,}$ ${\displaystyle 97,32,113,103,164,45,43,9,91,203,155,37,208,190,229,108,82,89,166,}$ ${\displaystyle 116,210,230,244,180,192,209,102,175,194,57,75,99,182).}$

${\displaystyle \gamma }$: ...${\displaystyle \gamma (a_{15},}$${\displaystyle ,a_{0})=\delta ^{-1}~(148*\delta (a_{15})+32*\delta (a_{14})+133*\delta (a_{13})+16*\delta (a_{12})+}$ ${\displaystyle 194*\delta (a_{11})+192*\delta (a_{10})+1*\delta (a_{9})+251*\delta (a_{8})+1*\delta (a_{7})+192*\delta (a_{6})+}$ ${\displaystyle 194*\delta (a_{5})+16*\delta (a_{4})+133*\delta (a_{3})+32*\delta (a_{2})+148*\delta (a_{1})+1*\delta (a_{0})),}$

加算と乗算の演算はフィールドで実行されます。 ${\displaystyle \mathbb {F} }$

キー生成アルゴリズムは反復定数、i=1,2,...32を使用し 、共有キーを次のように設定します: ... 。 ${\displaystyle C_{i}=H(Bin_{128}(i))}$${\displaystyle K=k_{255}||}$${\displaystyle ||k_{0}}$

反復キー:

${\displaystyle K_{1}=k_{255}||}$...${\displaystyle ||k_{128}}$

${\displaystyle K_{2}=k_{127}||}$...${\displaystyle ||k_{0}}$

${\displaystyle (K_{2i+1},K_{2i+2})=F[C_{8(i-1)+8}]}$...${\displaystyle F[C_{8(i-1)+1}](K_{2i-1},K_{2i}),i=1,2,3,4.}$

${\displaystyle E(a)=Add_{2}[K_{10}]HNAdd_{2}[K_{9}]}$...ここで、a は 128 ビットの文字列です。 ${\displaystyle HNAdd_{2}[K_{2}]HNAdd_{2}[K_{1}](a),}$

${\displaystyle D(a)=Add_{2}[K_{1}]N^{-1}H^{-1}Add_{2}[K_{2}]}$...${\displaystyle N^{-1}H^{-1}Add_{2}[K_{9}]N^{-1}H^{-1}Add_{2}[K_{10}](a).}$

Riham AlTawyとAmr M. Youssefは、5段の縮小Kuznyechikに対するmeet-in-the-middle攻撃について説明しており、この攻撃では時間計算量が2140 ^、メモリ計算量が²¹⁵³、データ計算量が2113で^鍵の回復が可能になる。^[2]

アレックス・ビリュコフ、レオ・ペリン、アレクセイ・ウドヴェンコは、クズニェチクとストリーボグのSボックスは疑似ランダムに作成されたのではなく、リバースエンジニアリングが可能な隠されたアルゴリズムを使用して作成されたことを示す論文を発表しました。^[9]

その後、レオ・ペリンとアレクセイ・ウドヴェンコはSボックスの2つの代替分解を発表し、ベラルーシの暗号BelTのSボックスとの関連性を証明した。^[10]論文の著者らは、このような構造を使用する理由は不明であるものの、隠されたアルゴリズムによってSボックスを生成することは、設計に意図的に弱点が導入されていないことを証明できる「何も隠していない数字」の概念と矛盾すると指摘している。

Riham AlTawy、Onur Duman、Amr M. Youssefは、Kuznyechikに対する2つのフォールト攻撃を公開し、暗号の実装を保護することの重要性を示しました。^[11]

VeraCrypt （ TrueCryptのフォーク）は、サポートされている暗号化アルゴリズムの1つとしてKuznyechikを含んでいました。^[12]

• https://web.archive.org/web/20160424051147/http://tc26.ru/standard/draft/PR_GOSTR-bch_v4.zip
• https://web.archive.org/web/20180406230057/https://fossies.org/windows/misc/VeraCrypt_1.22_Source.zip/src/Crypto/kuznyechik.c (最初のリンクが機能しない場合の代替リンク)