フェイステル暗号

暗号学において、ファイステル暗号（ルービー・ラコフブロック暗号とも呼ばれる）は、ブロック暗号の構築に使用される対称構造であり、 IBMに勤務していた際に先駆的な研究を行ったドイツ生まれの物理学者で暗号学者のホルスト・ファイステルにちなんで名付けられました。また、ファイステルネットワークとも呼ばれます。この方式は、米国データ暗号化標準、ソ連/ロシアのGOST（別名 Magma）、そしてより新しいBlowfishおよびTwofish暗号など、多数のブロック暗号で使用されています。ファイステル暗号では、暗号化と復号化は非常に似た操作であり、どちらも「ラウンド関数」と呼ばれる関数を固定回数繰り返し実行することによって行われます。

現代の対称ブロック暗号の多くは、ファイステルネットワークに基づいています。ファイステルネットワークが初めて商用化されたのは、 1973年にホルスト・ファイステルとドン・コッパースミスによって設計されたIBMのルシファー暗号でした。ファイステルネットワークは、1976年に米国連邦政府がDES （ NSAによって変更が加えられたルシファーに基づく暗号）を採用したことで、その信頼性を高めました。DESの他の構成要素と同様に、ファイステル構造の反復的な性質により、暗号システムをハードウェアに実装することが容易になります（特にDESの設計当時に利用可能だったハードウェア上で）。

ファイステル ネットワークはラウンド関数を使用します。ラウンド関数は、データ ブロックとサブキーの 2 つの入力を受け取り、データブロックと同じサイズの 1 つの出力を返します。^{[ 1 ]}各ラウンドでは、ラウンド関数が暗号化するデータの半分に対して実行され、その出力がデータの残りの半分と XOR されます。これが固定回数繰り返され、最終的な出力が暗号化されたデータになります。置換・順列ネットワーク(SP ネットワーク) などの他の暗号設計と比較したファイステル ネットワークの重要な利点は、ラウンド関数自体が可逆でなくても、操作全体が可逆であることが保証されていることです (つまり、暗号化されたデータは復号できます)。ラウンド関数は可逆になるように設計する必要がないため、任意に複雑にすることができます。^{[ 2 ] : 465 [ 3 ] : 347}さらに、暗号化と復号の操作は非常に似ており、場合によっては同一で、キー スケジュールの反転のみが必要です。したがって、このような暗号を実装するために必要なコードや回路のサイズはほぼ半分になります。また、SPネットワークとは異なり、ファイステルネットワークは、ソフトウェア実装においてタイミングサイドチャネルを引き起こす可能性のある置換ボックスに依存しません。  

フェイステル暗号の構造と特性は、暗号学者によって広範に分析されてきた。

マイケル・ルービーとチャールズ・ラコフは、フェイステル暗号の構成を分析し、ラウンド関数が暗号学的に安全な擬似乱数関数であり、シードとしてK _{i が}使用されている場合、ブロック暗号を擬似乱数順列にするには 3 ラウンドで十分であり、4 ラウンドで「強力な」擬似乱数順列（逆順列へのオラクルアクセスを得た攻撃者に対しても擬似乱数のままであることを意味する）にするには十分であることを証明した。^{[ 4 ]}ルービーとラコフのこの非常に重要な結果により、フェイステル暗号はルービー・ラコフブロック暗号と呼ばれることがある。

さらなる理論的研究により、この構成はいくらか一般化され、セキュリティのより正確な境界が与えられた。^{[ 5 ] [ 6 ]}

させて${\displaystyle \mathrm {F} }$を丸め関数とし、${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$ラウンドのサブキーとなる${\displaystyle 0,1,\ldots ,n}$それぞれ。

基本的な操作は以下のとおりです。

プレーンテキストブロックを2つの等しい部分に分割します: (${\displaystyle L_{0}}$、${\displaystyle R_{0}}$)

各ラウンドごとに${\displaystyle i=0,1,\dots ,n}$計算する

${\displaystyle L_{i+1}=R_{i},}$

${\displaystyle R_{i+1}=L_{i}\oplus \mathrm {F} (R_{i},K_{i}),}$

どこ${\displaystyle \oplus }$XORを意味します。すると暗号文は${\displaystyle (R_{n+1},L_{n+1})}$。

暗号文の復号${\displaystyle (R_{n+1},L_{n+1})}$計算によって達成される${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle R_{i}=L_{i+1},}$

${\displaystyle L_{i}=R_{i+1}\oplus \operatorname {F} (L_{i+1},K_{i}).}$

それから${\displaystyle (L_{0},R_{0})}$これも平文です。

この図は暗号化と復号化の両方を示しています。復号化ではサブキーの順序が逆になっている点に注目してください。これが暗号化と復号化の唯一の違いです。

ファイステルまたは改良ファイステル：

一般化されたフェイステル：

• キャスト-256
• クレフィア
• マクガフィン
• RC2
• RC6
• カツオ
• SMS4

• 暗号化
• ストリーム暗号
• 置換・順列ネットワーク
• 離散ウェーブレット変換のリフティングスキームはほぼ同じ構造を持つ
• フォーマット保持暗号化
• ライ・マッセイ計画