chiffrement par blocs

cryptographie , un chiffrement par blocs est un algorithme déterministe qui opère sur des groupes de bits de longueur fixe , appelés blocs . Les chiffrements par blocs constituent les éléments de base de nombreux protocoles cryptographiques . Ils sont omniprésents dans le stockage et l'échange de données, ces dernières étant sécurisées et authentifiées par chiffrement .

Un chiffrement par blocs utilise des blocs comme transformation invariable. Même un chiffrement par blocs sécurisé ne convient qu'au chiffrement d'un seul bloc de données à la fois, à l'aide d'une clé fixe. De nombreux modes de fonctionnement ont été conçus pour permettre leur utilisation répétée et sécurisée, afin d'atteindre les autres objectifs de sécurité que sont la confidentialité et l'authenticité . Cependant, les chiffrements par blocs peuvent également servir de composants de base dans d'autres protocoles cryptographiques, tels que les fonctions de hachage universelles et les générateurs de nombres pseudo-aléatoires .

Diagramme fonctionnel d'un bloc de chiffrement montrant ses entrées, ses sorties et ses composants.

Un chiffrement par blocs est composé de deux algorithmes appariés : un de chiffrement, E , et un algorithme de déchiffrement, D. [ Ces deux algorithmes acceptent deux entrées : un bloc d’entrée de taille n bits et une clé de taille k bits ; ils produisent tous deux un bloc de sortie de n bits. L’algorithme de déchiffrement D est défini comme la fonction inverse de l’algorithme de chiffrement, soit

qui prend en entrée une clé K , de longueur k bits (appelée taille de clé ), et une chaîne binaire P , de longueur n (appelée taille de bloc ), et renvoie une chaîne C de n bits. P est appelée texte clair , et C est appelée texte chiffré . Pour chaque K , la fonction E _K ( P ) doit être une application inversible sur

prenant une clé K et un texte chiffré C pour renvoyer une valeur en clair P , telle que

Par exemple, un algorithme de chiffrement par blocs peut prendre en entrée un bloc de texte clair de 128 bits et produire en sortie un bloc de texte chiffré correspondant de 128 bits. La transformation exacte est contrôlée par une seconde entrée : la clé secrète. Le déchiffrement est similaire : l’algorithme de déchiffrement prend, dans cet exemple, un bloc de texte chiffré de 128 bits ainsi que la clé secrète, et produit le bloc de texte clair original de 128 bits.

Pour chaque clé K , E _K est une permutation (une application bijective ) sur l'ensemble des blocs d'entrée. Chaque clé sélectionne une permutation parmi l'ensemble des permutations possibles.

Histoire

La conception moderne des chiffrements par blocs repose sur le concept de chiffrement par produit itéré . Dans son ouvrage fondateur de 1949, *Communication Theory of Secrecy Systems* , Claude Shannon a analysé les chiffrements par produit et les a proposés comme un moyen d'améliorer efficacement la sécurité en combinant des opérations simples telles que les substitutions et les permutations . Les chiffrements par produit itéré effectuent le chiffrement en plusieurs tours , chacun utilisant une sous-clé différente dérivée de la clé originale. Une implémentation répandue de ces chiffrements, appelée réseau de Feistel en hommage à Horst Feistel, est notamment utilisée dans le chiffrement DES . De nombreuses autres implémentations de chiffrements par blocs, comme l' AES , sont classées comme des réseaux de substitution-permutation .

L'origine de tous les formats de blocs cryptographiques utilisés dans la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) et les normes de l'American National Standards Institute (ANSI) réside dans le bloc de clés Atalla (AKB), une innovation majeure de l' Atalla Box , le premier module de sécurité matériel (HSM). Développé en 1972 par Mohamed M. Atalla , fondateur d' Atalla Corporation (aujourd'hui Utimaco Atalla ), l'AKB a été commercialisé en 1973. Ce bloc de clés est indispensable à l'échange sécurisé de clés symétriques ou de codes PIN avec d'autres acteurs du secteur bancaire . Cet échange sécurisé s'effectue grâce au format AKB. En 1998, l'Atalla Box protégeait plus de 90 % des réseaux de distributeurs automatiques de billets (DAB ) en service, et, en 2014, les produits Atalla sécurissaient encore la majorité des transactions effectuées par DAB dans le monde.

La publication du chiffrement DES par le Bureau national des normes des États-Unis (devenu par la suite l' Institut national des normes et de la technologie des États-Unis , NIST) en 1977 a été fondamentale pour la compréhension publique de la conception des chiffrements par blocs modernes. Elle a également influencé le développement académique des attaques cryptanalytiques . La cryptanalyse différentielle et la cryptanalyse linéaire sont toutes deux issues des études sur la conception du DES. aux attaques par force brute .

Conception

Chiffrements par blocs itérés

La plupart des algorithmes de chiffrement par blocs sont classés comme des chiffrements par blocs itérés, ce qui signifie qu'ils transforment des blocs de texte clair de taille fixe en blocs de texte chiffré de taille identique , via l'application répétée d'une transformation inversible connue sous le nom de fonction de tour , chaque itération étant appelée tour .

Habituellement, la fonction de tour R prend différentes clés de tour K _i comme deuxième entrée, qui est dérivée de la clé d'origine :

où se trouve le texte clair et le texte chiffré, r étant le nombre de tours.

Le blanchiment de clés est souvent utilisé en complément. Au début et à la fin, les données sont modifiées à l'aide de matériel clé (souvent par XOR ).

Étant donné l'un des schémas de chiffrement par blocs itératifs standard, il est relativement aisé de construire un chiffrement cryptographiquement sûr en utilisant simplement un grand nombre de tours. Cependant, cela rendra le chiffrement inefficace. L'efficacité est donc le critère de conception supplémentaire le plus important pour les chiffrements professionnels. De plus, un bon chiffrement par blocs est conçu pour éviter les attaques par canaux auxiliaires, telles que la prédiction de branchement et les accès mémoire dépendants des entrées, qui pourraient divulguer des données secrètes via l'état du cache ou le temps d'exécution. Enfin, le chiffrement doit être concis, pour des implémentations matérielles et logicielles de petite taille.

Réseaux de substitution-permutation

Schéma d'un réseau de substitution-permutation à 3 tours, chiffrant un bloc de texte clair de 16 bits en un bloc de texte chiffré de 16 bits. Les boîtes S sont les *S _i* , les boîtes P sont les mêmes P , et les clés de tour sont les *K _i* .

réseau de substitution-permutation (SPN), prend en entrée un bloc de texte clair et la clé, puis applique plusieurs tours alternés, composés d'une étape de substitution suivie d'une étape de permutation , pour produire chaque bloc de texte chiffré. L'étape de substitution non linéaire mélange les bits de la clé avec ceux du texte clair, créant ainsi la confusion de Shannon . L'étape de permutation linéaire dissipe ensuite les redondances, créant la diffusion .

Une boîte de substitution (S-box) remplace un petit bloc de bits d'entrée par un autre bloc de bits de sortie. Cette substitution doit être biunivoque pour garantir l'inversibilité (et donc le déchiffrement). Une S-box sécurisée possède la propriété suivante : modifier un seul bit d'entrée modifie en moyenne environ la moitié des bits de sortie, ce qui illustre l' effet d'avalanche — autrement dit, chaque bit de sortie dépend de chaque bit d'entrée.

Une boîte de permutation (P-box) est une permutation de tous les bits : elle prend les sorties de toutes les S-boxes d’un tour, permute les bits et les injecte dans les S-boxes du tour suivant. Une bonne P-box a la propriété que les bits de sortie de chaque S-box sont distribués au plus grand nombre possible d’entrées de S-boxes.

À chaque tour, la clé du tour (obtenue à partir de la clé avec quelques opérations simples, par exemple en utilisant des boîtes S et des boîtes P) est combinée à l'aide d'une opération de groupe, généralement XOR .Le décryptage s'effectue simplement en inversant le processus (en utilisant les inverses des boîtes S et des boîtes P et en appliquant les clés de tour dans l'ordre inverse).

Chiffres de Feistel

chiffrement de Feistel , le bloc de texte clair à chiffrer est divisé en deux moitiés égales. La fonction de chiffrement est appliquée à une moitié, à l'aide d'une sous-clé, puis le résultat est combiné par un OU exclusif (XOR) avec l'autre moitié. Les deux moitiés sont ensuite échangées.

Soit la fonction de tour et soient les sous-clés des tours respectivement.

L'opération de base est alors la suivante :

Divisez le bloc de texte brut en deux parties égales, ( , )

Pour chaque tour , calculer

.

Le texte chiffré est alors :

Le déchiffrement d'un texte chiffré s'effectue en calculant pour

.

Voici à nouveau le texte brut.

L'un des avantages du modèle de Feistel par rapport à un réseau de substitution-permutation est que la fonction de tour n'a pas besoin d'être inversible.

Chiffres de Lai-Massey

structure de Feistel . Il présente également l'avantage que la fonction d'arrondi n'a pas besoin d'être inversible. Autre similitude : il divise lui aussi le bloc d'entrée en deux parties égales. Cependant, la fonction d'arrondi est appliquée à la différence entre ces deux parties, et le résultat est ensuite additionné aux deux moitiés de bloc.

Soit la fonction de ronde et une fonction de demi-ronde et soient les sous-clés des rondes respectivement. Le fonctionnement de base est alors le suivant : Divisez le bloc de texte brut en deux parties égales, ( , ) Pour chaque tour , calculer où et Le texte chiffré est alors : Le déchiffrement d'un texte chiffré s'effectue en calculant pour où et Voici à nouveau le texte brut.

Opérations

ARX (addition–rotation–XOR)

De nombreux algorithmes de chiffrement par blocs et de hachage modernes sont des algorithmes ARX ; leur fonction de tour ne comporte que trois opérations : (A) l’addition modulaire, (R) la rotation avec des valeurs de rotation fixes et (X) l’opération XOR . On peut citer comme exemples ChaCha20 , Speck , XXTEA et BLAKE . De nombreux auteurs utilisent un réseau ARX, une sorte de diagramme de flux de données , pour illustrer une telle fonction de tour.

Ces opérations ARX sont populaires car elles sont relativement rapides et peu coûteuses en termes de matériel et de logiciel, leur implémentation peut être extrêmement simple, et elles s'exécutent en temps constant, ce qui les rend insensibles aux attaques temporelles . La technique de cryptanalyse rotationnelle vise à attaquer ces fonctions de tour.

Autres opérations

D'autres opérations souvent utilisées dans les chiffrements par blocs incluent les rotations dépendantes des données comme dans RC5 et RC6 , une boîte de substitution implémentée sous forme de table de consultation comme dans Data Encryption Standard et Advanced Encryption Standard , une boîte de permutation et la multiplication comme dans IDEA .

Modes de fonctionnement

Cryptage non sécurisé d'une image (représentant Tux ) suite à un encodage en mode ECB ( Electronic Codebook ).

Un chiffrement par blocs ne permet, à lui seul, que le chiffrement d'un seul bloc de données de la longueur de bloc du chiffrement. Pour un message de longueur variable, les données doivent d'abord être partitionnées en blocs de chiffrement distincts. Dans le cas le plus simple, appelé mode ECB ( Electronic Codebook ), un message est d'abord divisé en blocs distincts de la taille de bloc du chiffrement (le dernier bloc pouvant être complété par des bits de remplissage ), puis chaque bloc est chiffré et déchiffré indépendamment. Cependant, cette méthode naïve est généralement vulnérable car des blocs de texte clair égaux généreront toujours des blocs de texte chiffré égaux (pour une même clé), ce qui rend les motifs présents dans le message clair évidents dans le texte chiffré.

Pour pallier cette limitation, plusieurs modes de fonctionnement dits de chiffrement par blocs ont été conçus et spécifiés dans des recommandations nationales telles que NIST 800-38A et BSI TR-02102 , ainsi que dans des normes internationales comme ISO/IEC 10116 . Le principe général consiste à randomiser les données en clair à l'aide d'une valeur d'entrée supplémentaire, souvent appelée vecteur d'initialisation , afin de créer un chiffrement probabiliste . Dans le mode CBC ( Cipher Block Chaining ), très répandu, pour que le chiffrement soit sûr , le vecteur d'initialisation transmis avec le message en clair doit être une valeur aléatoire ou pseudo-aléatoire . Cette valeur est ajoutée par un OU exclusif au premier bloc de texte clair avant son chiffrement. Le bloc chiffré résultant sert ensuite de nouveau vecteur d'initialisation pour le bloc de texte clair suivant. En mode de retour de chiffrement (CFB), qui émule un chiffrement de flux auto-synchronisé , le vecteur d'initialisation est d'abord chiffré puis ajouté au bloc de texte clair. Le mode de retour de sortie (OFB) chiffre de manière itérative le vecteur d'initialisation afin de créer un flux de clés pour l'émulation d'un chiffrement de flux synchrone . Le mode de compteur (CTR), plus récent, crée également un flux de clés, mais présente l'avantage de n'exiger que des valeurs uniques et non (pseudo-)aléatoires comme vecteurs d'initialisation ; l'aléatoire nécessaire est généré en interne en utilisant le vecteur d'initialisation comme compteur de blocs et en chiffrant ce compteur pour chaque bloc.

Du point de vue de la théorie de la sécurité , les modes de fonctionnement doivent garantir la sécurité sémantique . En termes simples, cela signifie que, étant donné un texte chiffré avec une clé inconnue, il est pratiquement impossible d'en déduire des informations supplémentaires (hormis la longueur du message) par rapport à ce que l'on saurait sans avoir vu le texte chiffré. Il a été démontré que tous les modes mentionnés précédemment, à l'exception du mode ECB, garantissent cette propriété face aux attaques à texte clair choisi .

Rembourrage

attaques par oracle de remplissage . Un schéma de remplissage approprié est donc nécessaire pour étendre le dernier bloc de texte clair à la taille de bloc du chiffrement. Bien que de nombreux schémas courants, décrits dans les normes et la littérature, se soient révélés vulnérables aux attaques par oracle de remplissage une solution qui ajoute un bit à 1 puis complète le dernier bloc avec des bits nuls, normalisée sous le nom de « méthode de remplissage 2 » dans la norme ISO/IEC 9797-1 , a démontré sa résistance à ces attaques

Cryptanalyse

modèles d’attaque sont les suivants :

Accès uniquement aux textes chiffrés : le cryptanalyste n’a accès qu’à une collection de textes chiffrés ou de codes .
Texte clair connu : l’attaquant dispose d’un ensemble de textes chiffrés dont il connaît le texte clair correspondant .
Texte clair choisi ( texte chiffré choisi ) : l'attaquant peut obtenir les textes chiffrés (textes clairs) correspondant à un ensemble arbitraire de textes clairs (textes chiffrés) de son choix.
Attaque à texte clair choisi adaptative : semblable à une attaque à texte clair choisi, sauf que l'attaquant peut choisir les textes clairs suivants en fonction des informations apprises à partir des chiffrements précédents, de la même manière que l' attaque à texte chiffré choisi adaptative .
Attaque par clés apparentées : Similaire à une attaque à texte clair choisi, à la différence que l’attaquant peut obtenir des textes chiffrés avec deux clés différentes. Les clés sont inconnues, mais leur relation est connue ; par exemple, deux clés qui diffèrent par un seul bit.

Attaques par force brute

DES, utilisaient généralement une taille de bloc de 64 bits, tandis que les modèles plus récents, comme l’ AES, prennent en charge des tailles de bloc de 128 bits ou plus, certains chiffrements supportant même différentes tailles de bloc.

Cryptanalyse différentielle

La cryptanalyse linéaire est une forme de cryptanalyse basée sur la recherche d'approximations affines de l'action d'un chiffrement . La cryptanalyse linéaire est l'une des deux attaques les plus couramment utilisées contre les chiffrements par blocs ; l'autre étant la cryptanalyse différentielle .

La découverte est attribuée à Mitsuru Matsui , qui a appliqué pour la première fois la technique au chiffrement FEAL (Matsui et Yamagishi, 1992).

Cryptanalyse intégrale

La cryptanalyse intégrale est une attaque cryptanalytique particulièrement adaptée aux chiffrements par blocs basés sur les réseaux de substitution-permutation. Contrairement à la cryptanalyse différentielle, qui utilise des paires de textes clairs choisis avec une différence XOR fixe, la cryptanalyse intégrale utilise des ensembles, voire des multi-ensembles, de textes clairs choisis, dont une partie est constante tandis que l'autre varie selon toutes les possibilités. Par exemple, une attaque pourrait utiliser 256 textes clairs choisis, identiques à 8 bits près, mais différant tous par ces 8 bits. Un tel ensemble a nécessairement une somme XOR de 0, et les sommes XOR des ensembles de textes chiffrés correspondants fournissent des informations sur le fonctionnement du chiffrement. Ce contraste entre les différences entre paires de textes et les sommes d'ensembles de textes plus vastes a inspiré le nom de « cryptanalyse intégrale », empruntant la terminologie du calcul différentiel et intégral.

Le développement de l' attaque boomerang a permis d'appliquer les techniques de cryptanalyse différentielle à de nombreux chiffrements qui étaient auparavant considérés comme sûrs contre les attaques différentielles.

Outre la cryptanalyse linéaire et différentielle, un catalogue croissant d'attaques existe : la cryptanalyse différentielle tronquée , la cryptanalyse différentielle partielle, la cryptanalyse intégrale (qui englobe les attaques carrées et intégrales), les attaques par glissement , les attaques boomerang , l' attaque XSL , la cryptanalyse différentielle impossible et les attaques algébriques. Pour qu'un nouveau chiffrement par blocs soit crédible, il doit démontrer sa sécurité face aux attaques connues.

Sécurité prouvable

Lorsqu'un chiffrement par blocs est utilisé dans un mode de fonctionnement donné , l'algorithme résultant devrait idéalement être aussi sûr que le chiffrement par blocs lui-même. Le mode ECB (décrit précédemment) est clairement dépourvu de cette propriété : quelle que soit la sécurité du chiffrement par blocs sous-jacent, le mode ECB est facilement vulnérable aux attaques. En revanche, le mode CBC peut être considéré comme sûr si le chiffrement par blocs sous-jacent l'est également. Il convient toutefois de noter que de telles affirmations nécessitent des définitions mathématiques formelles de ce que signifie la « sécurité » pour un algorithme de chiffrement ou un chiffrement par blocs. Cette section décrit deux notions courantes relatives aux propriétés que devrait posséder un chiffrement par blocs. Chacune correspond à un modèle mathématique permettant de démontrer les propriétés d'algorithmes de plus haut niveau, tels que le CBC.

Cette approche générale de la cryptographie – qui consiste à prouver que les algorithmes de niveau supérieur (tels que CBC) sont sûrs sous des hypothèses explicitement énoncées concernant leurs composants (tels qu'un chiffrement par bloc) – est connue sous le nom de sécurité prouvable .

Modèle standard

adversaire . La fonction f (que l'adversaire a pu interroger) est appelée un oracle .

Il est à noter qu'un adversaire peut facilement s'assurer 50 % de chances de gagner en choisissant au hasard (ou même, par exemple, en choisissant systématiquement « pile »). Soit donc P _E ( A ) la probabilité que l'adversaire A gagne contre E , et définissons son avantage comme 2( P _E ( A ) − 1/2). Il s'ensuit que si A choisit au hasard, son avantage est nul ; en revanche, si A gagne systématiquement, son avantage est de 1. Le chiffrement par blocs E est une permutation pseudo-aléatoire (PRP) si aucun adversaire ne dispose d'un avantage significativement supérieur à 0, compte tenu des restrictions spécifiées sur q et le temps d'exécution de l'adversaire. Si, à l'étape 2 ci-dessus, les adversaires ont la possibilité d'apprendre f ^{−1} ( X ) au lieu de f ( X ) (tout en conservant un faible avantage), alors E est une PRP forte (SPRP). Un adversaire est non adaptatif s'il choisit toutes les valeurs q pour X avant le début de la partie (c'est-à-dire qu'il n'utilise aucune information recueillie lors des requêtes précédentes pour choisir chaque X au fur et à mesure).

Ces définitions se sont avérées utiles pour analyser différents modes de fonctionnement. Par exemple, on peut définir un jeu similaire pour mesurer la sécurité d'un algorithme de chiffrement par blocs, puis tenter de démontrer (par un raisonnement par réduction ) que la probabilité qu'un adversaire gagne ce nouveau jeu n'est guère supérieure à P _E ( A ) pour certaines valeurs de A. (La réduction fournit généralement des limites sur q et le temps d'exécution de A. ) De manière équivalente, si P _E ( A ) est faible pour toutes les valeurs pertinentes de A , alors aucun attaquant n'a une probabilité significative de gagner ce nouveau jeu. Ceci formalise l'idée que l'algorithme de niveau supérieur hérite de la sécurité du chiffrement par blocs.

Modèle de chiffrement idéal

matérielle ou logicielle sont des paramètres importants. Pour les implémentations matérielles, la complexité peut être mesurée en termes de nombre de portes logiques ou de consommation d'énergie, deux paramètres essentiels pour les dispositifs aux ressources limitées.

Les performances du chiffrement en termes de débit de traitement sur différentes plateformes, y compris ses besoins en mémoire .

Le coût du chiffrement fait référence aux exigences de licence qui peuvent s'appliquer en raison des droits de propriété intellectuelle .

La flexibilité du chiffrement inclut sa capacité à prendre en charge plusieurs tailles de clés et longueurs de blocs.

Chiffrements par blocs notables

Lucifer / DES

Lucifer est généralement considéré comme le premier chiffrement par blocs civil, développé chez IBM dans les années 1970 à partir des travaux d' Horst Feistel . Une version révisée de l'algorithme a été adoptée comme norme fédérale de traitement de l'information (FIPS PUB 46) du gouvernement américain, sous le nom de norme de chiffrement des données (DES). Il a été sélectionné par le Bureau national des normes (NBS) des États-Unis après un appel d'offres public et quelques modifications internes apportées par le NBS (et, potentiellement, par la NSA ). Le DES a été rendu public en 1976 et est depuis largement utilisé.Eli Biham et Adi Shamir à la fin des années 1980. Cette technique, appelée cryptanalyse différentielle , demeure l'une des rares attaques générales contre les chiffrements par blocs ; la cryptanalyse linéaire en est une autre, mais elle était peut-être inconnue même de la NSA avant sa publication par Mitsuru Matsui . Le DES a suscité de nombreux travaux et publications en cryptographie et en cryptanalyse au sein de la communauté scientifique et a inspiré la conception de nombreux nouveaux algorithmes de chiffrement.taille de clé de 56 bits. Les blocs de 64 bits se sont généralisés dans la conception des chiffrements par blocs après le DES. La longueur de la clé dépendait de plusieurs facteurs, notamment de la réglementation gouvernementale. Dans les années 1970, de nombreux observateurs ont souligné que la longueur de clé de 56 bits utilisée pour le DES était insuffisante. Avec le temps, son inadéquation est devenue évidente, en particulier après la démonstration, en 1998, par l' Electronic Frontier Foundation , d'une machine spécialement conçue pour casser le DES . Une extension du DES, le Triple DES , chiffre chaque bloc à l'aide de deux clés indépendantes (clé de 112 bits et sécurité de 80 bits) ou de trois clés indépendantes (clé de 168 bits et sécurité de 112 bits). Il a été largement adopté comme solution de remplacement. En 2011, la version à trois clés était toujours considérée comme sûre, bien que les normes du National Institute of Standards and Technology (NIST) n'autorisent plus l'utilisation de la version à deux clés dans les nouvelles applications, en raison de son niveau de sécurité de 80 bits.

IDÉE

L' algorithme de chiffrement international des données ( IDEA ) est un chiffrement par blocs conçu par James Massey de l'ETH Zurich et Xuejia Lai ; il a été décrit pour la première fois en 1991, comme un remplaçant prévu pour le DES.

IDEA fonctionne par blocs de 64 bits avec une clé de 128 bits et consiste en une série de huit transformations identiques (un tour ) et une transformation de sortie (le demi-tour ). Les processus de chiffrement et de déchiffrement sont similaires. La sécurité d'IDEA repose en grande partie sur l'entrelacement d'opérations appartenant à différents groupes – addition et multiplication modulaires , et OU exclusif (XOR) bit à bit – qui sont algébriquement « incompatibles » d'une certaine manière.

Les concepteurs ont analysé IDEA afin d'évaluer sa robustesse face à la cryptanalyse différentielle et ont conclu à son immunité sous certaines hypothèses. Aucune vulnérabilité linéaire ou algébrique avérée n'a été signalée.

Un tour (deux demi-tours) du chiffrement par blocs RC5

Ronald Rivest en 1994 qui, contrairement à de nombreux autres chiffrements, possède une taille de bloc variable (32, 64 ou 128 bits), une taille de clé variable (de 0 à 2040 bits) et un nombre de tours variable (de 0 à 255). La configuration initialement recommandée était une taille de bloc de 64 bits, une clé de 128 bits et 12 tours.

Une caractéristique essentielle de RC5 est l'utilisation de rotations dépendantes des données ; l'un des objectifs de RC5 était d'encourager l'étude et l'évaluation de telles opérations en tant que primitive cryptographique. RC5 comprend également plusieurs additions modulaires et des XOR. La structure générale de l'algorithme est un réseau de type Feistel . Les routines de chiffrement et de déchiffrement peuvent être spécifiées en quelques lignes de code. Le processus de génération de clés, en revanche, est plus complexe, la clé étant développée à l'aide d'une fonction à sens unique , les développements binaires de e et du nombre d'or servant de sources de nombres non identifiables . La simplicité séduisante de l'algorithme, combinée à la nouveauté des rotations dépendantes des données, a fait de RC5 un objet d'étude privilégié pour les cryptanalystes.

Le RC5 à 12 tours (avec des blocs de 64 bits) est vulnérable à une attaque différentielle utilisant ^2⁴⁴ textes clairs choisis. 18 à 20 tours sont suggérés comme protection suffisante.

Rijndael / AES

Joan Daemen et Vincent Rijmen, était l'un des systèmes concurrents destinés à remplacer le DES. Il a remporté le concours public de cinq ans pour devenir l'AES (Advanced Encryption Standard).

Adopté par le NIST en 2001, l'AES utilise une taille de bloc fixe de 128 bits et une taille de clé de 128, 192 ou 256 bits, tandis que le Rijndael peut être spécifié avec des tailles de bloc et de clé multiples de 32 bits, avec un minimum de 128 bits. La taille de bloc est limitée à 256 bits, mais la taille de clé n'a pas de limite maximale théorique. L'AES opère sur une matrice d'octets 4×4 en ordre colonne-major , appelée état (les versions du Rijndael avec une taille de bloc plus importante possèdent des colonnes supplémentaires dans l'état).

Poisson-globe

Blowfish est un chiffrement par blocs conçu en 1993 par Bruce Schneier et intégré à de nombreuses suites de chiffrement et produits de cryptage. Blowfish utilise une taille de bloc de 64 bits et une longueur de clé variable de 1 à 448 bits. Il s'agit d'un chiffrement de Feistel à 16 toursutilisant de grandes boîtes S dépendantes de la clé. Parmi ses caractéristiques notables figurent ces boîtes S dépendantes de la cléet un système de génération de clés très complexe .

Conçu comme un algorithme à usage général, Blowfish se voulait une alternative au DES, désormais obsolète, et s'affranchissait des problèmes et contraintes associés à d'autres algorithmes. À l'époque de sa sortie, de nombreuses autres conceptions étaient propriétaires, protégées par des brevets ou relevaient du secret commercial ou gouvernemental. Schneier a déclaré : « Blowfish n'est pas breveté et le restera dans tous les pays. L'algorithme est donc placé dans le domaine public et peut être librement utilisé par tous. » Il en va de même pour Twofish , un algorithme qui lui a succédé.

Chiffrements par blocs nationaux supplémentaires

Il existe plusieurs chiffrements par blocs qui ne sont généralement utilisés que dans certaines localités ou juridictions ; parmi les plus connus, on peut citer :

SM4 — Chine
Kuznyechik (GOST R 34.12-2015) — Russie
GOST 28147-89 — Union soviétique / Russie (obsolète)
ARIA — Corée du Sud
SEED — Corée du Sud
Camélia — Japon, également utilisé dans une certaine mesure à l'international.
Kalyna — Ukraine

Généralisations

Chiffrements par blocs ajustables

sur la théorie du chiffrement sur disque décrit certains de ces modes.

Chiffrement préservant le format

alphabet binaire . Autrement dit, l'entrée et la sortie sont des chaînes binaires, composées de n zéros et de n uns. Dans certains cas, on peut souhaiter utiliser un chiffrement par blocs fonctionnant sur un autre alphabet ; par exemple, chiffrer des numéros de carte de crédit à 16 chiffres de manière à ce que le texte chiffré soit également un nombre à 16 chiffres peut faciliter l'ajout d'une couche de chiffrement à des logiciels existants. Il s'agit d'un exemple de chiffrement préservant le format . Plus généralement, le chiffrement préservant le format requiert une permutation à clé sur un langage fini . Cela fait des schémas de chiffrement préservant le format une généralisation naturelle des chiffrements par blocs (ajustables). En revanche, les schémas de chiffrement traditionnels, tels que CBC, ne sont pas des permutations car un même texte clair peut chiffrer plusieurs textes chiffrés différents, même avec une clé fixe.

Relation avec d'autres primitives cryptographiques

Les chiffrements par blocs peuvent servir à construire d'autres primitives cryptographiques, comme celles présentées ci-dessous. Pour que ces primitives soient cryptographiquement sûres, il est essentiel de les construire correctement.

Les chiffrements de flux peuvent être construits à partir de chiffrements par blocs. Les modes OFB et CTR sont des modes de chiffrement par blocs qui transforment un chiffrement par blocs en un chiffrement de flux.
Les fonctions de hachage cryptographiques peuvent être construites à l'aide de chiffrements par blocs. Voir la fonction de compression unidirectionnelle pour la description de plusieurs de ces méthodes. Ces méthodes ressemblent aux modes de fonctionnement des chiffrements par blocs généralement utilisés pour le chiffrement.
Des générateurs de nombres pseudo-aléatoires cryptographiquement sûrs (CSPRNG) peuvent être construits à l'aide de chiffrements par blocs.
Des permutations pseudo-aléatoires sécurisées d'ensembles finis de taille arbitraire peuvent être construites avec des chiffrements par blocs ; voir Chiffrement préservant le format .
Une permutation imprévisible connue publiquement , combinée à un blanchiment de clé, suffit à construire un chiffrement par blocs – tel que le chiffrement Even-Mansour à clé unique , peut-être le chiffrement par blocs prouvablement sûr le plus simple possible.
Les codes d'authentification de message (MAC) sont souvent construits à partir de chiffrements par blocs. CBC-MAC , OMAC et PMAC sont des exemples de MAC.
Le chiffrement authentifié repose également sur des chiffrements par blocs. Il consiste à chiffrer et à authentifier simultanément les données, assurant ainsi confidentialité et authentification . CCM , EAX , GCM et OCB sont des exemples de modes de chiffrement authentifié.

De même que les chiffrements par blocs peuvent servir à construire des fonctions de hachage (par exemple, SHA-1 et SHA-2 sont basés sur des chiffrements par blocs et peuvent également être utilisés indépendamment sous le nom de SHACAL) , les fonctions de hachage peuvent servir à construire des chiffrements par blocs. BEAR et LION sont des exemples de tels chiffrements par blocs .