Перегляд вихідного коду сторінки Режими блокового шифрування

У [[криптографія|криптографії]], '''режими дії''' ({{lang-en|modes of operation}}) — це математичні операції для уможливлення повторюваного і убезпеченого використання [[блоковий шифр|блокового шифру]] з одним [[Ключ (криптографія)|ключем]].<ref name="HAC">
{{cite book
|authors=Alfred J. Menezes, Paul C. van Oorschot and Scott A. Vanstone
|title=Handbook of Applied Cryptography |publisher=CRC Press
|year=1996
|isbn=0-8493-8523-7
|url=https://archive.org/details/handbookofapplie0000mene
|url-access=registration
}}</ref><ref name="NIST-modes">
{{cite web
 |title       = Block Cipher Modes
 |publisher   = [[NIST]] Computer Security Resource Center
 |url         = http://csrc.nist.gov/groups/ST/toolkit/BCM/index.html
 |archiveurl  = https://www.webcitation.org/6CIlOSiZI?url=http://csrc.nist.gov/groups/ST/toolkit/BCM/index.html
 |archivedate = 2012-11-19
 |accessdate  = 2012-06-06
 |deadurl     = no
}}
</ref>
Блоковий шифр дозволяє [[шифрування]] тільки одного блоку даних встановленої довжини. Для роботи з блоками різних довжин, дані спочатку потрібно розбити на окремі блоки встановленої даним шифром довжини. Зазвичай, останній блок треба доповнити до відповідної довжини підхожим доповненням. Режими дій описують процес шифрування кожного з цих блоків і звичайно використовують [[рандомізація|рандомізацію]] засновану на додатковому значені на вході, відомим як [[ініціалізаційний вектор]], з ціллю зробити це безпечно.<ref name="HAC"/>

Режими дії первісно були розроблені для шифрування й [[автентифікація|автентифікації]].<ref name="HAC"/><ref name="NIST-DES-modes">
{{cite web
 |title       = FIPS 81: DES Modes of Operation
 |publisher   = [[NIST]] Computer Security Resource Center
 |url         = http://www.itl.nist.gov/fipspubs/fip81.htm
 |archiveurl  = https://www.webcitation.org/6IIyq84tS?url=http://www.itl.nist.gov/fipspubs/fip81.htm
 |archivedate = 2013-07-22
 |accessdate  = 2012-06-06
 |deadurl     = yes
}}
</ref>
Історично, режими шифрування широко вивчались зважаючи на їх властивості поширення помилок при різних сценаріях зміни даних. Подальший розвиток поставив [[цілісність інформації]] як цілком окрему від шифрування ціль криптографії. Деякі сучасні режими дії поєднують шифрування і автентифікацію ефективним чином, і відомі як режими [[автентифіковане шифрування|автентифікованого шифрування]].<ref name="NIST-modes"/>

Хоча режими дії звичайно пов'язують з [[Шифрування з симетричними ключами|симетричним шифруванням]],<ref name="NIST-modes"/> в принципі, їх також можна застосувати до примітивів [[Асиметричні алгоритми шифрування|шифрування з відкритим ключем]] таких як [[RSA]] (хоча на практиці шифрування довгих повідомлень з відкритим ключем найчастіше здійснюють із використанням [[гібридне шифрування|гібридного шифрування]]).<ref name="HAC"/>

==Ініціалізаційний вектор (IV)==
{{Main|Ініціалізаційний вектор}}

[[Ініціалізаційний вектор]] ({{lang-en|initialization vector}}) — це блок біт, який використовують декілька режимів для увипадковлення шифрування і, таким чином, видають різні шифротексти навіть на одному відкритому тексті зашифрованому декілька разів, без потреби в повільнішому процесі отримання нового ключа.

Ініціалізаційний вектор має інші вимоги до безпеки ніж ключ, отже він не повинен бути секретним. Однак, здебільшого, важливо щоб IV не використовувався двічі з одним і тим самим ключем. Для CBC і CFB, повторне використання IV призводить до витоку інформації про перший блок [[Відкритий текст|відкритого тексту]]. Для OFB і CTR, повторне використання IV повністю руйнує безпеку. В режимі CBC, IV повинен бути непрогнозовним під час шифрування; зокрема, звична раніше практика використання останнього блоку шифротексту як IV для наступного повідомлення небезпечна (цей метод, наприклад, використовувався в [[SSL]] 2.0). Якщо нападник знає IV (або попередній блок шифротексту) до того як він визначив наступний відкритий текст, він може перевірити свій здогад щодо відкритого тексту для якогось блоку зашифрованого раніше (це відомо як атака TLS CBC IV).<ref>{{citation|author=B. Moeller|title=Security of CBC Ciphersuites in SSL/TLS: Problems and Countermeasures|date=20 травня 2004|url=http://www.openssl.org/~bodo/tls-cbc.txt|accessdate=2012-06-07|archive-date=2012-06-30|archive-url=https://web.archive.org/web/20120630143111/http://www.openssl.org/~bodo/tls-cbc.txt}}</ref>

Як особливий випадок, якщо відкриті тексти завжди достатньо малі для одного блоку (без доповнення), тоді для деяких режимів (ECB, CBC, PCBC), перевикористання IV призведе до витоку ''лише'' якщо два шифротексти однакові. Це може бути корисним у випадках коли треба перевіряти на рівність без дешифрування.

==Доповнення==
{{Main|Доповнення (криптографія)}}
[[Блоковий шифр]] опрацьовує інформацію блоками встановленої довжини (відомої як ''розмір блока''), але повідомлення мають різну довжину. Отже деякі режими (а саме ECB і CBC) вимагають доповнення завершального блоку перед шифруванням. Існує декілька схем доповнення. Найпростіша полягає в додаванні нульових байтів до відкритого тексту для доведення його довжини до кратної до розміру блоку, але треба потурбуватись, щоб можна було відновити початкову довжину тексту; наприклад, якщо відкритий текст є рядком у стилі [[C (мова програмування)|C]], що не містить нульових байтів окрім як останній байт. Первісний метод [[DES]] трошки складніший, який додає один одиничний біт за яким слідують нульові біти; якщо повідомлення завершується врівно з блоком, додається цілий блок доповнення.  Найускладненіший варіант схем специфічних для CBC таких як [[викрадення шифротексту]] або [[завершення залишкового блоку]], які не призводять до збільшення шифротексту, натомість трошки ускладнюють алгоритм. Брюс Шнайдер і Нілс Ферґюсон запропонували дві можливості, обидві прості: додати байт зі значенням 128 (шістнадцяткове 80), з наступними нульовими байтами до повного блоку або доповнити ''n'' байтами зі значенням ''n''.

CFB, OFB і CTR режими не потребують якихось особливих заходів для опрацювання повідомлень не кратних розміру блоку, бо режими працюють через XOR відкритого тексту з виходом блокового шифру. Останній неповний блок відкритого тексту XOR-иться з першими кількома байтами потоку ключа, на виході отримуємо завершальний блок шифротексту однакової довжини з завершальним блоком відкритого тексту. Така властивість потокових шифрів робить їх придатними для використання в ситуаціях коли необхідна однакова довжина шифро і відкритого тексту, і в застосунках де дані передаються в потоковому вигляді і незручно доповнювати блоки.

=={{anchor|ECB}}Електронна книга кодів (ECB)==
Найпростішим з режимів шифрування є режим '''електронної книги кодів''' ({{lang-en|electronic codebook, ECB}}), він же режим простої заміни. Повідомлення розбивається на блоки і кожен блок шифрується окремо.

[[File:Ecb encryption.png]]

[[File:Ecb decryption.png]]

Вадою цього методу є те, що однакові блоки відкритого тексту шифруються в однакові блоки шифротексту; отже шаблон погано приховується. Цей режим не забезпечує серйозну безпеку повідомленням, і його взагалі не радять використовувати в криптографічних протоколах.

Типовий приклад ступеня збереження шаблонів ECB відкритого тексту в шифротексті можна побачити, коли ECB використовують для шифрування [[bitmap]] зображень, які використовують великі площі однорідних кольорів. Хоча колір кожного окремого пікселя зашифровано, загальну картинку можна розрізнити як маску однокольорових [[Піксель|пікселів]] картинки на вході.

{{multiple image
| align    = center
| image1   = Tux.jpg
| caption1 = Первісне зображення
| image2   = Tux ecb.jpg
| caption2 = зашифроване в режимі ECB
| image3   = Tux secure.jpg
| caption3 = Псевдовипадковий вислід режимів відмінних від ECB
| footer   = Зображення праворуч показує як зображення може виглядати шифрованим  урежимі CBC, CTR або будь-яким іншим безпечнішим режимом, і яке важко розрізнити з випадковим шумом. Зауважте, що псевдовипадковий вигляд зображення праворуч не гарантує, що зображення безпечно зашифроване; розроблено багато типів небезпечних шифрувань вихід яких виглядає випадковим.
| width    = 196
}}

=={{anchor|CBC}}Ланцюгування шифроблоків (CBC)==
IBM винайшла режим ланцюгування шифроблоків ({{lang-en|cipher-block chaining, CBC}}) у 1976.<ref>William F. Ehrsam, Carl H. W. Meyer, John L. Smith, Walter L. Tuchman, "Message verification and transmission error detection by block chaining", US Patent 4074066, 1976</ref> В CBC режимі, кожен блок відкритого тексту [[XOR]]-ять з попереднім шифроблоком перед шифруванням. Так, кожен шифроблок, залежить від усіх блоків оброблених до нього. Для отримання унікальних повідомлень потрібно використовувати [[ініціалізаційний вектор]] у першому блоці.

[[File:Cbc encryption.png]]

[[File:Cbc decryption.png]]

Якщо перший блок має індекс 1, математична формула для CBC шифрування така
:<math>C_i = E_K(P_i \oplus C_{i-1}), C_0 = IV,</math>

тоді як математична формула для CBC розшифрування така
:<math>P_i = D_K(C_i) \oplus C_{i-1}, C_0 = IV.</math>

CBC найчастіше використовний режим. Основна його вада це властива послідовність (тобто не можливість упаралелення), і необхідність доповнення повідомлення до розміру кратного розміру блоку. Один зі способів уникнути доповнення полягає в використанні методу [[викрадення шифротексту]]. Зауважте, що зміна одного біта в відкритому тексті або IV впливає на всі наступні шифроблоки.

Розшифрування з неправильним IV спричиняє пошкодження першого блоку відкритого тексту, але наступні блоки будуть правильними. Це відбувається через можливість відновити відкритий текст з двох суміжних блоків шифротексту. Як наслідок, розшифрування ''можна'' упаралелити. Зауважте, що зміна одного біту в шифротексті спричиняє повне пошкодження відповідного блоку відкритого тексту, але інші блоки залишаються незачепленими.

Режим CBC не стійкий до [[Атака на основі підібраного шифротексту|атаки на основі підібраного шифротексту]]. Отримавши в CPA-запиті <math>(IV, c)</math>, в ССА-запиті передаємо <math>(IV \oplus 1, c).</math>

===CBC теорема (непередбачуваність CBC)===
Для будь-якого <math>L>0</math>, якщо <math>E</math> є безпечною [[псевдовипадкова переставка|PRP]] над <math>(K,X)</math>, тоді <math>E_{CBC}</math> — [[значеннєва безпека|значеннєво безпечна]] щодо CPA над <math>(K, X^L, X^{L+1})</math>.

Зокрема, для [[супротивник (криптографія)|супротивника]] <math>A</math> з q-запитами, що атакує <math>E_{CBC}</math> існує PRP супротивник <math>B</math> такий що:
:<math>Adv_{CPA} [A, E_{CBC}] \le 2 Adv_{PRP}[B, E] + 2 q^2 L^2 / |X|.</math>

Отже CBC залишається безпечним доки <math>q^2L^2 \ll |X|.</math>

=={{anchor|PCBC}}Ланцюгування шифроблоків із поширенням (PCBC)==
Режим ланцюгування шифроблоків із поширенням ({{lang-en|propagating cipher-block chaining, PCBC}})<ref>[http://www.iks-jena.de/mitarb/lutz/security/cryptfaq/q84.html Propagating cipher-block chaining]</ref> або ({{lang-en|plaintext cipher-block chaining}})<ref>Kaufman, C., Perlman, R., & Speciner, M (2002). Network Security. Upper Saddle River, NJ: Prentice Hall. Page 319 (2nd Ed.)</ref> спроектували для введення маленьких змін в шифротексті для нескінченного поширення при розшифруванні як і при шифруванні.

[[File:Pcbc encryption.png]]

[[File:Pcbc decryption.png]]

Шифрування і розшифрування такі:

:<math>C_i = E_K(P_i \oplus P_{i-1} \oplus C_{i-1}), P_0 \oplus C_0 = IV</math>

:<math>P_i = D_K(C_i) \oplus P_{i-1} \oplus C_{i-1}, P_0 \oplus C_0 = IV</math>

[[Кербер (протокол)|Кербер v4]] і [[WASTE]] використовують PCBC. Якщо повідомлення зашифроване у PCBC режимі, тоді переставка двох сусідніх блоків не впливає на розшифрування наступних блоків.<ref>Kohl, J. "The Use of Encryption in Kerberos for Network Authentication", Proceedings, Crypto '89, 1989; published by Springer-Verlag; http://dsns.csie.nctu.edu.tw/research/crypto/HTML/PDF/C89/35.PDF {{Webarchive|url=https://web.archive.org/web/20090612060426/http://dsns.csie.nctu.edu.tw/research/crypto/HTML/PDF/C89/35.PDF |date=12 червня 2009 }}</ref> Через це, Кербер v5 не використовує PCBC.

=={{anchor|CFB}}Зворотний зв'язок по шифротексту (CFB)==
Режим ''зворотного зв'язку по шифротексту'' ({{lang-en|cipher feedback, CFB}}), близький родич для CBC, перетворює блоковий шифр на [[потоковий шифр#self-synchronizing|потоковий, що самосинхронізується]].  Дія дуже схожа; зокрема, розшифрування CFB майже тотожне до шифрування CBC виконаного навпаки:

:<math>C_i = E_K (C_{i-1}) \oplus P_i</math>

:<math>P_i = E_K (C_{i-1}) \oplus C_i</math>

:<math>C_{0} = \ \mbox{IV}</math>

[[File:cfb encryption.png]]

[[File:cfb decryption.png]]

Описаний вище найпростіший спосіб використання CFB ані трохи не більш самосинхронізовний ніж інші режими на кшталт CBC. Якщо губиться цілий блок шифротекту, то обидва CBC і CFB синхронізуються, тоді як втрата одного байту або біту остаточно відкине розшифрування. Для уможливлення синхронізації після втрати одного байту або біту, за раз треба шифрувати один байт або біт. CFB можна так використовувати разом з [[Регістр зсуву|зсувним регістром]] на вході до блокового шифру.

[[Файл:CFB 8-bit.png|thumb|500px|right|На початку зсувний регістр заповнений ініціалізаційним вектором, і алгоритм шифрування запускається для утворення 64 біт виходу. Найлівіші 8 біт з бітів на виході XOR-ять з байтом до передачі. Вислід цієї операції посилають мережею, а також заштовхують в зсувний регістр, виштовхуючи найлівіші 8 бітів. Тоді алгоритм шифрування запускається знову і наступний символ шифрується так само.]]

Для використання CFB як самосинхронізовного потокового шифру, який синхронізуватиметься для будь-якої втрати кратної x бітам, починають з встановлення зсувного регістра розміром в один блок ініціалізаційним вектором. Це шифрується блоковим шифром, і старші x біт висліду XOR-рять з x бітами відкритого тексту для отримання x біт шифротексту. Ці x біт на виході заштовхуються в зсувний регістр, і процес повторюється з наступними x бітами відкритого тексту. Розшифрування схоже, починається з ініціалізаційним вектором, шифрується і XOR-иться x старших бітів висліду з x бітами шифротексту для отримання x бітів відкритого тексту. Заводимо x біт шифротексту в зсувний регістр. Цей спосіб обробки відомий як CFB-8 або CFB-1 (відповідно до розміру зсуву).<ref name="AESBlockDocumentation">[http://csrc.nist.gov/publications/nistpubs/800-38a/sp800-38a.pdf NIST: Recommendation for Block Cipher Modes of Operation]</ref>

В записі, де <math>S_i</math> — i-й стан зсувного регістра, <math><< x</math> це <math>a</math> зсунуте на <math>x</math> біт, <math>\mbox{head}(a, x)</math> це <math>x</math> старших бітів <math>a</math> і <math>n</math> це кількість біт в IV:

:<math>C_i = \mbox{head}(E_K (S_{i-1}), x) \oplus P_i</math>

:<math>P_i = \mbox{head}(E_K (S_{i-1}), x) \oplus C_i</math>

:<math>S_i = \ ((S_{i-1} << x) + C_i) \mbox{ mod } 2^n</math>

:<math>S_{0} = \ \mbox{IV}</math>

Якщо x біт шифротексту втрачено, шифр видаватиме неправильний відкритий текст доки зсувний регістр не набуде стану, який він мав під час шифрування, тут шифр ресинхронізується. Це призводить до того, що підтасується вихід розміром в один блок.

Подібно до режиму CBC, зміни в відкритому тексту поширюються на весь шифротекст, і шифрування не можна упаралелити. Також подібно до CBC, розшифрування упаралельнюване. При розшифруванні, зміна одного біту в шифротексті впливає на два блоки відкритого тексту: однобітова зміна в відповідному блоці відкритого тексту і повне пошкодження наступного блоку. Подальші блоки розшифровуються нормально. Через це, якщо зловмисник знає відкритий текст, він може змінити біти в блоці шифротексту як він захоче і призвести до отримання потрібного йому блоку відкритого тексту, наступний блок буде перетасовано, але на той час вже може бути заподіяна шкода.

CFB разом з режимами потокових шифрів OFB і CTR поділяє дві переваги над CBC режимом: блок шифр використовується лише в напрямку шифрування, і повідомлення не потребує доповнення до розміру кратного розміру блоку (хоча також можна використати [[викрадення шифротексту]] і таким чином зробити доповнення необов'язковим).

=={{anchor|OFB}}Зворотний зв'язок по виходу (OFB)==
Режим зворотного зв'язку по виходу ({{lang-en|output feedback, OFB}}) утворює з блокового шифру [[Потоковий шифр#synchronous|синхронний потоковий шифр]]. Він утворює [[потік ключа]], який потім [[XOR]]-иться з блоками відкритого тексту для утворення шифротескту. Як і передбачає ім'я, OFB використовує попередній вихід блокового шифру, а не попередній шифротекст як CFB, що робить шифротекст незалежним від відкритого тексту і шифротексту, саме через це OFB є синхронним потоковим шифром. Так само як і з іншими потоковими шифрами, обернення біту в відкритому тексті призводить до обернення відповідного біту в шифротексті. Ця властивість дозволяє багатьом кодам виправлення помилок виконуватись нормально навіть при застосуванні до шифрування.

Через симетричність операції XOR, шифрування і розшифрування однакові:

:<math>C_j = P_j \oplus O_j</math>

:<math>P_j = C_j \oplus O_j</math>

:<math>O_j = \ E_K (I_{j})</math>

:<math>I_j =\ O_{j-1}</math>

:<math>I_{0}= \ \mbox{IV}</math>

[[File:ofb encryption.png]]

[[File:ofb decryption.png]]

Для кожного нового повідомлення треба використовувати новий IV, інакше повідомлення будуть шифруватись з тим самим потоком ключа. IV можна відправляти у відкритому вигляді, однак, якщо зловмисник підмінив IV, тоді на відміну від CFB режиму, отримати відкритий текст з шифротексту неможливо.

Кожен блок на виході залежить від усіх попередніх, отже неможливе паралельне виконання. Однак, через те, що відкритий текст і шифр використовуються лише в фінальному XOR, операції блокового шифру можна виконати наперед, що дозволить виконання фінального кроку паралельно щойно відкритий або шифротекст стане доступним.

Можна отримати потік ключа для режиму OFB із рядком нулів на вході. Це може бути корисним, бо уможливлює використання швидкого [[Апаратне забезпечення|апаратного забезпечення]], що втілює CBC для шифрування в режимі OFB.

На відміну від CFB, помилка в одному біті відкритого тексту зачіпає лише відповідний біт в шифротексті, наступні блоки залишаються неушкодженими. Ця властивість разом із можливістю високої швидкодії OFB робить його підхожим для шифрування потоків даних на кшталт голосу і відео, особливо на каналах с завадами де поширення помилок може легко перетворити зашифроване передавання в майже неможливе.<ref>[http://www.emsec.rub.de/media/crypto/attachments/files/2011/03/hudde.pdf Building Stream Ciphers from Block Ciphers and their Security,] {{Webarchive|url=https://web.archive.org/web/20130903124707/http://www.emsec.rub.de/media/crypto/attachments/files/2011/03/hudde.pdf |date=2013-09-03 }} page 12</ref> З іншого боку OFB вимагає від двох учасників бути синхронізованими. Як варіант розв'язання цієї проблеми пропонується відправляння синхронізаційних сигналів в узгоджені проміжки часу.

===Середня тривалість циклу для s-бітового-OFB===
[[Файл:OFB feedback size.png|thumb|400px|right|Якщо OFB використовують зі зворотнім зв'язком обмеженим s < n біт (де n розмір блоку блокового шифру), найправішими n − s біт нехтують, і біти що залишились, стають наступними бітами потоку ключа, і також їх заштовхуються в зсувний регістр, який слугує входом для блокового шифру в s-бітовому-OFB. Досліди підтвердили, що OFB з s відмінним від 64 значно знижує рівень безпеки.  Через це, підтримка урізаного зворотного зв'язку видалена зі специфікації OFB.]]
Безпечність потокових шифрів залежить від непередбачуваності  потоку ключа. У випадку з OFB з DES (який діє на блоках по 64 біти) породжувач потоку ключа є [[Скінченний автомат|скінченним автоматом]] з 2<sup>64</sup> отже він повторюється після 2<sup>64</sup> станів або менше. Davies і Parkin проаналізували умови за яких можна досягти найбільшу довжину циклу.<ref>D. W. Davies and G. I. P. Parkin. The average cycle size of the key
stream in output feedback encipherment. In Advances in Cryptology, Proceedings of CRYPTO 82, pages 263–282, 1982.Б.</ref> В OFB з повним зворотнім зв'язком, потік ключа утворюється повторним застосуванням шифрування блоковим шифром, який є ефективно випадковим над усіма 2<sup>64</sup>! переставок. Дійсна випадковість потоку ключа менш важлива ніж розмір циклу; і через те, що [[Псевдовипадкова переставка|функція шифрування]] має однозначну обернену функцію розшифрування, для кожного ключа всі стани з 2<sup>64</sup> повинні бути членами одного циклу. Автори вважають середню тривалість циклу в 2<sup>63</sup> «достатньою для всіх практичних цілей», бо вона дуже близька до досяжного максимуму. Менші цикли можливі, але малоймовірні; наприклад імовірність циклу в 10<sup>6</sup> або менше станів становить 2<sup>-44</sup>.

Якщо OFB використовується зі зворотнім зв'язком s < n біт, найправішими n − s бітами нехтують, а ті що залишились стають продовженням потоку ключа і також заштовхуються в зсувний регістр, який слугує вхідним блоком для s-бітового-OFB. В цьому разі, для оцінки середньої тривалості циклу необхідна [[математична модель]] породжувача потоку ключа, але необхідні припущення було б важко довести. Отже Дейвіс і Паркін провели дослід, в якому використали зменшений до випадково обраної переставки з 256 станів на 8-бітовому регістрі DES. Для кожного значення s вони виконали тест з 10000 переставок і обрахували розподіл довжини циклу.

Дослід підтвердив їх теоретичні висліди, показав, що OFB з s відмінним від 64 значно знижує безпеку, бо середня довжина циклу зменшується у 2<sup>32</sup> рази або більше. Дейвіс і Паркін запропонували, що s = n повинен бути єдиним визнаним OFB режимом. Немає переваг від використання OFB з іншими значеннями; більше того s-бітовий-OFB зменшує пропускну здатність у режимі CFB.

=={{anchor|CTR}}Лічильник (CTR)==
:''Заувага: режим CTR також знають як ''режим цілочисельного лічильника'' ({{lang-en|integer counter mode, ICM}}) або ''режим сегментованого цілочисельного лічильника'' ({{lang-en|segmented integer counter, SIC}})''

Подібно до OFB, режим лічильника перетворює [[блоковий шифр]] в [[потоковий шифр]]. Він породжує наступний блок потоку ключа шифруванням послідовних значень «лічильника». Лічильник може бути будь-якою функцією, що видає послідовність, яка гарантовано не повторюється впродовж тривалого часу, насправді найпростішими і найпоширенішими є прості лічильники, що на кожному кроці збільшуються на одиницю. Використання простої детерміністичної функції викликає суперечки; критики кажуть, що «навмисне використання відомого систематичного входу в криптосистемі становить непотрібний ризик.»<ref>Robert R. Jueneman. Analysis of certain aspects of output feedback mode. In Advances in Cryptology, Proceedings of CRYPTO 82, pages 99–127, 1982.</ref> Наразі, режим CTR широко прийнятий, і проблеми похідні від входової функції розпізнаються як слабкість використовного блокового шифру, а не режиму CTR.<ref>Helger Lipmaa, Phillip Rogaway, and David Wagner. Comments to NIST concerning AES modes of operation: CTR-mode encryption. 2000</ref> Проте, існують пристосовані атаки подібні до атаки помилки устаткування ({{lang-en|Hardware Fault Attack}}), які покладаються на використання простого функції лічильника.<ref>R. Tirtea and G. Deconinck. Specifications overview for counter mode of operation. security aspects in case of faults. In Electrotechnical Conference, 2004. MELECON 2004. Proceedings of the 12th IEEE Mediterranean, pages 769–773 Vol.2, 2004.</ref>

Режим CTR має подібні до OFB характеристики, але також має можливість довільного доступу під час розшифрування. Режим CTR добре підходить для використання на багатопроцесорній машині, де блоки можна шифрувати паралельно. Більше того, він не потерпає від проблеми короткого циклу, яка може вплинути на OFB.<ref>http://www.quadibloc.com/crypto/co040601.htm</ref>

Зауважте, що [[криптографічний нонс|нонс]] на зображенні це те саме, що й ініціалізаційний вектор на інших зображеннях. IV/нонс і лічильник можна сполучати із використанням будь-якої операції без втрат (конкатенації, додавання або XOR) для отримання унікального блоку лічильника для шифрування. 

[[File:Ctr encryption.png]]

[[File:Ctr decryption.png]]

У випадку використання режиму CTR з одним нонсом для шифрування цілого диску, повторне використання відтинку потоку ключа уможливлює нескладну атаку. Отже, кожного разу за зміни навіть малої ділянки даних, необхідно буде перешифрувати весь диск із використанням іншого нонса для підтримки безпеки, що не практично.<ref>[http://etutorials.org/Programming/secure+programming/Chapter+5.+Symmetric+Encryption/5.15+Performing+File+or+Disk+Encryption/ Performing File or Disk Encryption] {{Webarchive|url=https://web.archive.org/web/20120616034616/http://etutorials.org/Programming/secure+programming/Chapter+5.+Symmetric+Encryption/5.15+Performing+File+or+Disk+Encryption/ |date=16 червня 2012 }} на etutorials.org</ref>

== Galois/Counter Mode ==
{{Докладніше|Galois/Counter Mode}}

Розширення режиму лічильника, яке крім шифрування дозволяє виробити [[MAC-підпис|код автентифікації повідомлення]].

=={{anchor|XTS}} (XTS)==
Режим XTS порівняно новий; [[NIST]] його стандартизував у січні 2010<ref>[http://csrc.nist.gov/publications/nistpubs/800-38E/nist-sp-800-38E.pdf Рекомендації для Режиму блочного шифрування: Режим XTS-AES для конфіденційності на накопичувачах], [[NIST]]. {{ref-en}}</ref>, після стандартизації [[IEEE]] в 2007<ref>IEEE Std. 1619-2007, IEEE стандарт для криптографічного захисту даних на блоково-орієнтованих накопичувачах. IEEE Press, квітень 2008.</ref>. XTS призначений для специфічного застосування: шифрування ''одиниць даних'' сталої довжини (наприклад, дата секторів) на [[Носій інформації|накопичувачах]], насправді не схвалено жодного іншого застосування.

== Примітки ==
{{reflist}}

[[Категорія:Режими дії блокових шифрів| ]]
[[Категорія:Криптографічні алгоритми]]