Перегляд вихідного коду сторінки ГОСТ 28147-89

{{Картка блочного шифру
|назва         = ГОСТ 28147-89
|зображення    = [[Файл:GOSTDiagram.png|400пкс]]
|розробник     = [[Комітет державної безпеки СРСР|КДБ]], 8-е управління
|створений     = [[1989]] р.
|опублікований = [[1990]] р.
|размір ключа  = 256 [[біт]]
|размір блоку  = 64 [[біт]]
|число раундів = 32/16
|тип           = [[мережа Фейстеля]]}}

'''ГОСТ 28147-89''' — радянський і російський стандарт [[Шифрування з симетричними ключами|симетричного шифрування]], введений в [[1990]] році, також є [http://www.easc.org.by/russian/mgs_org.php стандартом СНД] {{Webarchive|url=https://web.archive.org/web/20130626025455/http://www.easc.org.by/russian/mgs_org.php |date=26 червня 2013 }}. Повна назва — «ГОСТ 28147-89 Системи обробки інформації. Захист криптографічний. Алгоритм криптографічного перетворення». Блочний шифроалгоритм. При використанні методу шифрування з гамуванням, може виконувати функції поточного шифроалгоритму.

За деякими відомостями<ref>А. Винокуров. [Http://www.enlight.ru/crypto/articles/vinokurov/gost_i.htm Алгоритм шифрування ГОСТ 28147-89, його використання і реалізація для комп'ютерів платформи Intel x86] {{Webarchive|url=https://web.archive.org/web/20220401065136/https://www.enlight.ru/crypto/articles/vinokurov/gost_i.htm |date=1 квітня 2022 }}</ref>, історія цього [[шифр|шифру]] набагато давніша. Алгоритм, покладений згодом в основу стандарту, народився, імовірно, в надрах Восьмого Головного управління [[Комітет державної безпеки СРСР|КДБ СРСР]] (нині в структурі [[Федеральна служба безпеки Російської Федерації|ФСБ]]), швидше за все, в одному з підвідомчих йому закритих [[Науково-дослідний інститут|НДІ]], ймовірно, ще в [[1970|1970-х]] роках в рамках проєктів створення програмних та апаратних реалізацій шифру для різних комп'ютерних платформ.

З моменту опублікування ГОСТу на ньому стояв обмежувальний гриф «Для службового користування», і формально шифр був оголошений «повністю відкритим» тільки в травні [[1994]] року. Історія створення шифру і критерії розробників станом на 2010 рік не опубліковані.

У 2009 році ГОСТ 28147-89 перевиданий в Україні під назвою ДСТУ ГОСТ 28147:2009.

== Опис ==
ГОСТ 28147-89 — блоковий шифр з 256 — [[біт]]овим [[Ключ (криптографія)|ключем]] і 32 циклами перетворення, що оперує 64-бітними блоками. Основа [[алгоритм]]у шифру — [[Мережа Файстеля]].

Базовим режимом шифрування за ГОСТ 28147-89 є режим [[Режими блочного шифрування#Електронна книга кодів (ECB)|простої заміни]] (визначені також складніші режими [[гамування]], [[Режим зворотного зв'язку по шифротексту|гамування зі зворотним зв'язком]] і режим [[Код аутентифікації повідомлення|імітовставки]]).

Для зашифрування в цьому режимі [[відкритий текст]] спочатку розбивається на дві половини (молодші біти — A, старші біти — B<ref>В описі стандарту ГОСТ позначені як N <sub> 1 </sub> і N <sub> 2 </sub> відповідно</ref>). На i-му циклі використовується з'єднання K<sub> i</sub>:

: <math> ~ A_ {i +1} = B_i \oplus f (A_i, K_i) </math> (<math> \oplus </math> = двійкове «виключаюче або» [[Виключна диз'юнкція|XOR]])
: <math> ~ B_ {i +1} = A_i </math>

Для генерації підключив вихідний 256-бітний ключ розбивається на вісім 32-бітних блоків: K <sub>1</sub> … K <sub>8</sub>

Ключі K<sub>9</sub> … K<sub>24</sub> є циклічним повторенням ключів K<sub>1</sub> … K<sub>8</sub> (нумеруються від молодших бітів до старших).

Ключі K<sub>25</sub> … K <sub>32</sub> є ключами K<sub>1</sub> … K<sub>8</sub>, що йдуть у зворотному порядку.

Після виконання всіх 32 раундів алгоритму, блоки A<sub>33</sub> і B<sub>33</sub> склеюються (зверніть увагу, що старшим бітом стає <sub>33</sub>, а молодшим — B<sub>33</sub>) — результат є результат роботи алгоритму.

Розшифрування виконується так само як і зашифрування, але інвертується порядок підключей K<sub>i</sub>.

'''Функція <math> f (A_i, K_i) </math>''' обчислюється таким чином:

A<sub>i</sub> й K<sub>i</sub> складаються по модулю 2<sup>32</sup>.

Результат розбивається на вісім 4-бітових підпослідовностей, кожна з яких надходить на вхід свого ''вузла таблиці замін'' (у порядку зростання старшинства бітів), званого нижче ''S-блоком''. Загальна кількість S-блоків ГОСТу — вісім, тобто стільки ж, скільки й підпослідовностей. Кожен'' S-блок'' являє собою перестановку чисел від 0 до 15. Перша 4-бітова підпослідовність потрапляє на вхід першого S-блоку, друга — на вхід другого і т. д.

Якщо ''S-блок'' виглядає так:

<code> 1, 15, 13, 0, 5, 7, 10, 4, 9, 2, 3, 14, 6, 11, 8, 12 </code>

і на вході S-блоку 0, то на виході буде 1, якщо 4, то на виході буде 5, якщо на вході 12, то на виході 6 і т. д.

Виходи всіх восьми S-блоків об'єднуються в 32-бітове слово, потім все слово циклічно зсувається вліво (до старших розрядів) на 11 бітів.

== Вузли заміни ([[S-скриня|S-блоки]]) ==

Усі вісім S-блоків можуть бути різними. Фактично, вони можуть бути додатковим ключовим матеріалом, але частіше є параметром схеми, загальним для певної групи користувачів. В [[ГОСТ Р 34.11-94]] для цілей тестування наведені такі S-блоки:

 {| class="standard"
 !Номер S-блоку
 ! colspan=16 | Значення
 |-
 !1
 |4|| 10|| 9|| 2|| 13|| 8|| 0|| 14|| 6|| 11|| 1|| 12|| 7|| 15|| 5|| 3
 |-
 !2
 |14|| 11|| 4|| 12|| 6|| 13|| 15|| 10|| 2|| 3|| 8|| 1|| 0|| 7|| 5|| 9
 |-
 !3
 |5|| 8|| 1|| 13|| 10|| 3|| 4|| 2|| 14|| 15|| 12|| 7|| 6|| 0|| 9|| 11
 |-
 !4
 |7|| 13|| 10|| 1|| 0|| 8|| 9|| 15|| 14|| 4|| 6|| 12|| 11|| 2|| 5|| 3
 |-
 !5
 |6|| 12|| 7|| 1|| 5|| 15|| 13|| 8|| 4|| 10|| 9|| 14|| 0|| 3|| 11|| 2
 |-
 !6
 |4|| 11|| 10|| 0|| 7|| 2|| 1|| 13|| 3|| 6|| 8|| 5|| 9|| 12|| 15|| 14
 |-
 !7
 |13|| 11|| 4|| 1|| 3|| 15|| 5|| 9|| 0|| 10|| 14|| 7|| 6|| 8|| 2|| 12
 |-
 !8
 |1|| 15|| 13|| 0|| 5|| 7|| 10|| 4|| 9|| 2|| 3|| 14|| 6|| 11|| 8|| 12
 |}

Цей набір S-блоків використовується в криптографічних додатках [[Центральний банк Росії|ЦБ РФ]].<ref>Шнайер Б. Прикладна криптографія. Протоколи, алгоритми, вихідні тексти на мові Сі, 2-е видання — М.: Тріумф, 2002, 14.1</ref>

У тексті стандарту вказується, що поставка заповнення вузлів заміни (S-блоків) проводиться в установленому порядку, тобто розробником алгоритму. Спільнота російських розробників СКЗИ погодила використовувані в Інтернеті вузли заміни, див. RFC 4357.

== Переваги ГОСТу ==
* Безперспективність [[Метод «грубої сили»|атаки повного перебору]] ([[XSL-атака|XSL-атаки]] в облік не беруться, оскільки їх ефективність на цей час повністю не доведена);
* Ефективність реалізації й відповідно високу швидкодію на сучасних [[комп'ютер]]ах.
* Наявність захисту від нав'язування помилкових даних (вироблення імітовставки) і однаковий цикл шифрування у всіх чотирьох алгоритмах ГОСТу.

== [[Криптоаналіз]] ==
У травні 2011 року відомий криптоаналітик [[Ніколя Куртуа]] довів існування атаки на даний шифр, що має складність у 2<sup>8</sup> (256) разів менше складності прямого перебору ключів за умови наявності 2<sup >64</sup> пар відкритий текст / закритий текст.<ref>Nicolas T. Courtois. [Http://eprint.iacr.org/2011/211 Security Evaluation of GOST 28147-89 In View Of International Standardisation] {{Webarchive|url=https://web.archive.org/web/20120819094303/http://eprint.iacr.org/2011/211 |date=2012-08-19 }}. Cryptology ePrint Archive: Report 2011/211</ref><ref>{{Cite web |url=http://www.securitylab.ru/news/405678.php |title=SecurityLab: Зламаний блоковий шифр ГОСТ 28147-89 |accessdate=16 червня 2012 |archive-date=14 травня 2013 |archive-url=https://web.archive.org/web/20130514055159/http://www.securitylab.ru/news/405678.php }}</ref> Дана атака не може бути здійснена на практиці через занадто високу обчислювальну складність.

== Критика ГОСТу ==
Основні проблеми ГОСТу пов'язані з неповнотою стандарту в частині генерації ключів і таблиць замін. Вважається, що у ГОСТу існують «слабкі» [[ключ]]і і таблиці замін, але в стандарті не описуються критерії вибору і відсіву «слабких». Також стандарт не специфікує алгоритм генерації таблиці замін (S-блоків). З одного боку, це може бути додатковою секретною інформацією (крім ключа), а з іншого, піднімає ряд проблем:
* Не можна визначити криптостійкість алгоритму, не знаючи заздалегідь таблиці замін;
* Реалізації алгоритму від різних виробників можуть використовувати різні таблиці замін і можуть бути несумісні між собою;
* Можливість навмисного надання слабких таблиць замін органами, що проводять ліцензування;
* Потенційна можливість (відсутність заборони в стандарті) використання таблиць заміни, в яких вузли не є перестановками, що може привести до надзвичайного зниження стійкості [[шифр]]у.

== Примітки ==
{{reflist}}

== Посилання ==
* [https://web.archive.org/web/20120226123825/http://gostshifr.narod.ru/ Опис алгоритму, реалізація, вихідні коди, статті та посилання]
* [https://web.archive.org/web/20100705150741/http://www.cio-world.ru/techniques/328198/ Стаття про ГОСТ 28147-89]

== Література ==
* {{Книга 
| Автор = Мельников В. В. 
| Частина = 
| Заголовок = Захист інформації в комп'ютерних системах 
| Посилання = 
| Відповідальний = 
| Видання = 
| Місце = М. 
| Видавництво = Фінанси і статистика 
| Рік = 1997 
| Тому = 
| Сторінки = 
| Сторінок = 
| Серія = 
| Isbn = 
| Тираж = 
}}
* {{Книга 
| Автор = Романець Ю. В.. Тимофєєв П. А., Шаньгина В. Ф. 
| Частина = 
| Заголовок = Захист інформації в комп'ютерних системах та мережах 
| Посилання = 
| Відповідальний = 
| Видання = 
| Місце = М. 
| Видавництво = Радіо і зв'язок 
| Рік = 1999 
| Тому = 
| Сторінки = 
| Сторінок = 
| Серія = 
| Isbn = 
| Тираж = 
}}
* {{Книга 
| Автор = Харін Ю. С., Берник В. І., Матвєєв Г. В. 
| Частина = 
| Заголовок = Математичні основи криптології 
| Оригінал = 
| Посилання = 
| Відповідальний = 
| Видання = 
| Місце = Мн. 
| Видавництво = БГУ 
| Рік = 1999 
| Тому = 
| Сторінки = 
| Сторінок = 
| Серія = 
| Isbn = 
| Тираж = 
}}
* {{Книга 
| Автор = Герасименко В. А., Малюк А. А. 
| Частина = 
| Заголовок = Основи захисту інформації 
| Посилання = 
| Відповідальний = 
| Видання = 
| Місце = М. 
| Видавництво = МГІФІ 
| Рік = 1997 
| Тому = 
| Сторінки = 
| Сторінок = 
| Серія = 
| Isbn = 
| Тираж = 
}}
* {{Книга 
| Автор = Леонов А. П., Леонов К. П., Фролов Г. В. 
| Частина = 
| Заголовок = Безпека автоматизованих банківських і офісних технологій 
| Посилання = 
| Відповідальний = 
| Видання = 
| Місце = Мн. 
| Видавництво = Нац. кн. палата Білорусі 
| Рік = 1996 
| Тому = 
| Сторінки = 
| Сторінок = 
| Серія = 
| Isbn = 
| Тираж = 
}}
* {{Книга 
| Автор = Зима В. М.. Молдовян А. А., Молдовян Н. А. 
| Частина = 
| Заголовок = Комп'ютерні мережі та захист переданої інформації 
| Посилання = 
| Відповідальний = 
| Видання = 
| Місце = СПб. 
| Видавництво = СПбГУ 
| Рік = 1998 
| Тому = 
| Сторінки = 
| Сторінок = 
| Серія = 
| Isbn = 
| Тираж = 
}}
* {{cite book | author = Шнайер Б. | title = Прикладна криптографія | chapter = 14.1 Алгоритм ГОСТ 28147-89 | pages = 373–377 }}
* {{Стаття 
| Автор = Popov, V., Kurepkin, I., and S. Leontiev 
| Заголовок = Additional Cryptographic Algorithms for Use with GOST 28147-89, GOST R 34.10-94, GOST R 34.10-2001, and GOST R 34.11-94 Algorithms 
| Посилання = http://tools.ietf.org/html/rfc4357 
| Видання = RFC 4357 
| Видавництво = IETF 
| Рік = January 2006 
| Мова = en 
}}
* {{cite article | volume = 19 | number = 1 | year = 2017 | doi = 10.18372/2410-7840.19.11199 | title = Алгоритми шифрування ГОСТ 28147-89-IDEA8-4 и ГОСТ 28147-89-RFWKIDEA8-4 | author = Gulom Numovych Tuychiev | issn = 2410-7840 | url = http://jrnl.nau.edu.ua/index.php/ZI/article/view/11199 | publisher = НАУ | journal = Захист інформації | accessdate = 14 листопада 2017 | archivedate = 24 листопада 2017 | archiveurl = https://web.archive.org/web/20171124112144/http://jrnl.nau.edu.ua/index.php/ZI/article/view/11199 }}


{{Crypto-stub}}
{{Блочні алгоритми шифрування}}
{{Крипто навігація}}
{{ВП-портали|Програмування|Інформаційні технології|Математика}}

[[Категорія:Блокові шифри]]
[[Категорія:Стандарти криптографії]]