NL8901323A - Werkwijze voor het vercijferen van een reeks telkens uit tenminste een symbool bestaande boodschappen. - Google Patents

Description

Titel: Werkwijze voor het vercijferen van een reeks telkens uit tenminste een symbool bestaande boodschappen

De uitvinding heeft betrekking op een werkwijze voor het vercijferen van een telkens uit n symbolen bestaande reeks, met n > 0, welke werkwijze een substitutiefunctie omvat.

Bij het vercijferen van berichten die bestaan uit symbolen uit een alfabet, bijv. bits in het geval van een binair alfabet, kan gebruik worden gemaakt van twee verschillende vercijfertechnieken. De eerste betreft het blokvercijferen, waarbij steeds blokken van het te vercijferen bericht, bijv. blokken van 64 bits bloksgewijs gesubstitueerd worden door vercijferde blokken van elk bijv. weer 64 bits.

De tweede vercijfertechniek betreft het stroomvercijferen, waarbij iedere reeks van n symbolen van het te vercijferen bericht gecombineerd wordt met een voor ieder te vercijferen bit afzonderlijk gevormd sleutelbit.

Zowel bij blokvercijferen als bij stroomvercijferen wordt dikwijls gebruik gemaakt van substitutieinrichtingen. Dergelijke substitutieinrichtingen, die een reeks bits volgens een voorgeschreven patróón vervangen door een andere reeks van bits, zijn bij deskundigen op dit gebied bekend onder de naam S-boxen, welke benaming in het hiernavolgende dan ook voor dergelijke inrichtingen gebruikt zal worden. S-boxen vormen een belangrijk onderdeel van vercijferalgoritmen en worden gebruikt om de niet-lineariteit van een dergelijk algoritme te vergroten.

Om een sterk, d.w.z. een moeilijk te ontcijferen vercijfer-algoritme m.b.v. een S-box te creëren, is het bekend dat de S-box goede statistische en niet-lineaire eigenschappen moet hebben. Dat de sterkte van een vercijfer-algoritme zeer nauw kan samenhangen met de kwaliteit van de gebruikte S-box is o.a. beschreven door A.G. Konheim in "Cryptography: A primer"; A. Wiley & Sons, New York, 1981, blz. 248-249; en door A. Shamir in Proceedings of Crypto, 1985, blz. 280-281.

Gezien de eisen die aan S-boxen gesteld worden, is er slechts een beperkt aantal S-boxen met goede statistische en niet-lineaire eigenschappen. Daar er relatief gezien weinig goede S-boxen zijn, worden deze bij het ontwerp van een vercijferalgoritme in het algemeen vast gekozen. Dit heeft echter als nadeel dat deze S-boxen spoedig algemeen bekend kunnen raken, zodat het door een onbevoegde ontcijferen van een met een dergelijke bekende S-box vercijferd bericht in principe niet uitgesloten is.

Er zou een aanzienlijke verbetering van de m.b.v. S-boxen vercijferde berichten en dus een minder eenvoudig te achterhalen vercijferalgoritme verkregen worden, indien alle mogelijke S-boxen die een substitutie van n bits naar k bits kunnen verschaffen gebruikt zouden kunnen worden. Dit is echter vanwege de voornoemde redenen tot nu toe niet mogelijk.

De uitvinding beoogt deze mogelijkheid wel te verschaffen en voorziet daartoe in een werkwijze van voornoemde soort, waarbij op basis van een sleutel volgens een tevoren bepaalde methode tenminste één willekeurige substitutietabel wordt gegenereerd, die iedere mogelijke reeks van n symbolen substitueert door een specifieke reeks van k symbolen, met k > 0, en waarbij steeds een tweede reeks van k symbolen die een goede statistische verdeling heeft met een van beide symboolreeksen wordt gecombineerd.

De uitvinding berust op het inzicht dat de betrouwbaarheid van de in het vercijferalgoritme gebruikte substitutiefunctie aanzienlijk wordt verhoogd indien zowel de zendende als de ontvangende partij op basis van een via een sleutelkanaal overgedragen geheime sleutel een zelfde willekeurige S-box creëert. Daarbij bestaat vanzelfsprekend een risico dat daarbij een slechte S-box, d.w.z. een S-box met slechte statistische eigenschappen en dus een door een onbevoegde relatief eenvoudig te achterhalen substitutie, wordt gevormd. Dit probleem wordt echter overeenkomstig een eerste uitvoer-ingsvoorbeeld van de uitvinding ondervangen door bij de aan de uitgang van de S-box afgegeven reeks van k symbolen d.m.v. een combinatiefunctie een tweede reeks van k symbolen op te tellen, waarbij deze tweede reeks een goede statistische verdeling bezit. In dat geval kan namelijk bewezen worden dat het resultaat van deze optelling ook een goede statistische verdeling heeft en tevens de niet-lineaire eigenschappen van de S-box bezit.

Volgens een tweede uitvoeringsvoorbeeld van de uitvinding wordt de tweede reeks van k bits toegevoegd aan de reeks uit n bits die aan de substitutietabel wordt toegevoerd Ook in dit geval kan bewezen worden dat goede statistische eigenschappen van de reeks van k bits aan de ingang van de S-box ook aanwezig zijn aan de uitgang daarvan, terwijl de niet-lineaire eigenschappen van de S-box vanzelfsprekend behouden blijven.

Opgemerkt wordt dat het uit de Europese octrooiaanvrage 0.202.989 bekend is om bij het vercijferen van een bericht gebruik te maken van verschillende, tevoren bepaalde substitutiegeheugens om zo de sterkte van een vercijferalgoritme te verbeteren. Daarbij wordt de keuze van het voor een specifieke vercijfering toe te passen substi-tutiegeheugen bepaald door een sleutel en door het te vercijferen woord. Het aantal verschillende substitutiegeheugens dat m.b.v. de sleutel en het te vercijferen woord gekozen kan worden is echter beperkt bijv. 4, en het is dus niet bekend om, zoals volgens de uitvinding wordt voorgesteld, in principe gebruik te kunnen maken van alle mogelijke substituties van n naar k bits, waarbij de in een specifiek geval gekozen substitutie bepaald wordt door een slechts aan de zendende en de ontvangende partij bekende sleutel.

De uitvinding zal in het hiernavolgende nader worden toegelicht aan de hand van de tekening, hierin toont:

Figuur 1: een schematische weergave van een eerste variant van het aan de uitvinding ten grondslag liggende principe; Figuur 2; een schematische weergave van een tweede variant van dit principe;

Figuur 3: een schematische weergave van een eerste,, uitvoeringsvoorbeeld en

Figuur 4: een schematische weergave van een tweede uitvoeringsvoorbeeld.

Alvorens de figuren te beschrijven, wordt opgemerkt dat de uitvinding toepasbaar is voor symbolen uit verschillende alfabetten, maar dat terwille van de eenvoud de figuren toegespitst zijn op het gebruik van bits uit het binaire alfabet. Tevens zijn terwille van de duidelijkheid in de figuren de lengten van de verschillende bitreeksen direkt in de respectieve registers aangegeven, dit betekent echter niet dat reeksen met eenzelfde lengte ook qua bitpatroon hetzelfde zijn. Een S-box die een ingangsreeks van n bits substitueert door een reeks van k bits wordt aangeduid door S(n, k), ook deze notatie zal in het hiernavolgende steeds worden gebruikt. De reeks van k bits kan in principe iedere gewenste lengte bezitten.

In figuur 1, die een eerste zgn. dynamische variant van het aan de uitvinding ten grondslag liggende principe toont, is met verwijzingscijfer 1 een willekeurige S-box aangeduid, die in staat is een in een register 2 aanwezige reeks van n bits op een eenduidige wijze te substitueren door een reeks van k bits in een uitgangsregister 3, waarbij k gekozen is in het gebied 1 < k < n. Een dergelijke S-box kan een geheugen zijn waarin voor elk van de 2n mogelijke ingangsreeksen een volgens een tevoren bepaalde methode vastgestelde uitgangsreeks van k bits is opgeslagen.

Bij het tot stand brengen van een communicatiekanaal tussen twee partijen, via hetwelk vercijferde berichten verzonden moeten worden, wordt eerst via een veilig kanaal tussen beide partijen een geheime sleutel uitgewisseld. Op basis van deze sleutel wordt volgens de tevoren bepaalde methode door beide partijen een functioneel identieke substitutietabel gecreëerd, deze substitutietabel behoeft slechts goede niet-lineaire eigenschappen te hebben, maar aan de statistische eigenschappen van de gevormde S-box worden geen eisen gesteld.

Een methode om d.m.v. een sleutel een S(n,k)-box te genereren die met grote zekerheid niet-lineair is, maar waarschijnlijk slechte statistische eigenschappen bezit, kan bijv. de volgende zijn. Een sleutel met een lengte van 1 bits wordt verdeeld in 2n stukken van k bits, die opeenvolgend worden genummerd. Als de lengte van de sleutel hiertoe niet groot genoeg is, hetgeen in de praktijk meestal het geval zal zijn, wordt de sleutel kunstmatig verlengd door een aantal identieke kopiëen van de sleutel achter elkaar te plaatsen. Vervolgens worden deze 2n stukken van k bits in de volgorde van hun nummering toegekend aan de 2n mogelijke ingangsreeksen van de S-box. Als in dit geval de sleutel random gegenereerd is, zal de S-box met grote zekerheid niet-lineair zijn. Als de sleutel echter vaak herhaald is om voldoende stukken van k bits te vormen, is er een grote kans dat de statistische eigenschappen slecht zijn, omdat in de S-box bepaalde waarden meer dan gemiddeld terugkomen en andere juist minder.

In een register 4 is een tweede reeks van k bits aanwezig, waarbij tevoren verzekerd is dat dit een reeks is met een goede statistische bitverdeling, zoals een random of pseudo-random reeks. In een modulo 2 opteller 5 worden de bits in de registers 3 en 4 bitsgewijs opgeteld en de aan de uitgang van de modulo 2 opteller 5 verkregen reeks van k bits kan gebruikt worden voor het stroomvercijferen van bits van een vanuit een register 7 aangevoerde klare tekst. Daartoe kunnen deze bits, in het geval dat k=l, in een modulo 2 opteller 8 bitsgewijs opgeteld worden bij het zgn. sleutelbit aan de uitgang van opteller 5 om aan de uitgang van opteller 8 het te verzenden vercijferde zgn. cipherbit te verschaffen. Onderstaand zal nu eerst aan de hand van een eenvoudig voorbeeld worden toegelicht dat de modulo 2 optelling van een reeks bits met goede statische eigenschappen bij een reeks met onbekende, misschien goede, maar wellicht slechte statistische eigenschappen, leidt tot een reeks die altijd goede statistische eigenschappen bezit, Hiertoe wordt als voorbeeld een willekeurige S- box genomen die een reeks van n bits substitueert door een enkel uitgangsbit, zodat dus k = 1. Aangenomen wordt nu dat de kans dat dit uitgangsbit een 0 is gelijk is aan p en dat de kans dat het uitgangsbit een 1 is gelijk is aan q, met p + q = 1. Bij dit uitgangsbit wordt nu volgens de uitvinding een enkel bit modulo 2 opgeteld, er geldt immers k = 1. Aangenomen wordt dat de kans dat dit bit een 1 is gelijk is aan s, en de kans dat het een O is gelijk is aan r, met r + s = 1. Omdat het volgens de uitvinding een voorwaarde is dat de reeks van k bits, die modulo 2 wordt opgeteld bij de reeks van k bits aan de uitgang van de S-box, goede statistische eigenschappen bezit, geldt voor het genoemde enkele bit dat r = s = 1/2. De kans op een 0 aan de uitgang van de modulo 2 opteller is gelijk aan pr + sq, terwijl de kans op een 1 gelijk is aan ps + rq. Omdat r = s = 1/2 is eenvoudig af te leiden dat geldt pr + sq = ps + rq — 1/2, zodat de reeks aan de uitgang van de modulo 2 opteller de gewenste goede statistische eigenschappen van de overeenkomstig de uitvinding toegevoegde reeks van k bits heeft overgenomen.

De aan de modulo 2 opteller toegevoegde reeks van k bits heeft geen enkele invloed op de gewenste niet-lineaire eigenschappen van de reeks bits aan de uitgang van de S-box. De optelling geschiedt immers bitsgewijs en wanneer bijv. een S- box een reeks van n bits substitueert door een enkel uitgangsbit, dat gevormd is door een niet-lineaire som van combinaties van een of meerdere ingangsbits, blijft deze som ook na een modulo 2 optelling niet-lineair.

Het is gunstig om het sleutelbit aan de uitgang van de modulo 2 opteller 5, of het cipherbit aan de uitgang van de modulo 2 opteller 6 terug te koppelen naar het ingangsregister 2, dat daartoe als schuifregister kan worden uitgevoerd. Dit heeft het voordeel dat de synchronisatie tussen de zender en de ontvanger eenvoudiger te realiseren is. Indien de ontvanger een cipherbit foutief ontvangt en dit terugkoppelt, of uit dit foutieve ontvangen signaal een foutief sleutelbit afleidt en dit terugkoppelt, komt deze fout in het schuifregister 2 tot uitdrukking in een foutieve ontcijfering van de ontvangen boodschap. Na n cycli schuift deze fout echter vanzelf ook weer uit het schuifregister, zodat de foutieve ontcijfering tot n bits beperkt blijft, hetgeen meestal acceptabel is.

Figuur 2 toont een tweede, zgn. statische variant van de uitvinding, die op hetzelfde principe gebaseerd is en waarin gelijke onderdelen zijn aangegeven met gelijke verwijzings-cijfers maar voorzien van een accent. De reeks van n bits en de reeks van k bits, die goede statistische eigenschappen bezit, worden nu gezamelijk toegevoerd aan een S-box 1', die is ingericht om iedere reeks van n + k bits te substitueren door een reeks van k bits, welke reeks identiek is aan de reeks van k bits die verkregen wordt met de aan de hand van figuur 1 toegelichte werkwijze, in het geval de reeksen van n en k bits in de registers 2 en 4 identiek zijn aan de reeksen van n en k bits in resp.de registers 2' en 4' De voor de S-box benodigde geheugencapaciteit neemt weliswaar in principe toe van 0(2n) tot 0(2 n+k ), maar een voordeel is dat niet steeds voor ieder bit een modulo 2 optelling nodig is, zodat de benodigde rekentijd afneemt. Het teken O is hier-bij een notatie die een orde van grootte aangeeft.

Figuur 3 toont een uitvoeringsvoorbeeld dat geschikt is voor stroomvercijfering en, met enige aanpassingen ook voor blokvercijfering. Een blok van p bits van een te vercijferen boodschap in een register 31 wordt door een S(p,q)-box 32 gesubstitueerd door een reeks van q bits in een register 33. Tevens wordt een blok van q bits van de te vercijferen boodschap in een register 34 door een S(p,q)-box 35 gesubstitueerd door een reeks van p bits in een register 36. In een modulo 2 opteller 37 worden de reeksen in de registers 33 en 34 opgeteld en in een modulo 2 opteller 38 worden de reeksen in de registers 31 en 36 opgeteld . De door deze optelling aan de uitgang van opteller 37 gevormde reeks van q bits wordt toegevoerd aan een register 39, terwijl de aan de uitgang van opteller 38 gevormde reeks van p bits wordt toegevoerd aan een register 40. De reeks in register 39 wordt door een S(q,p)-box 41 gesubstitueerd door een reeks van p bits in een register 42, terwijl de reeks in register 39 door een S(p,q)-box 43 gesubstitueerd wordt door een reeks van q bits in een register 44. In een modulo 2 opteller 45 worden nu de reeksen in de registers 40 en 42 opgeteld en in een modulo 2 opteller 46 worden de reeksen in de registers 39 en 44 opgeteld. De door deze optelling aan de uitgang van opteller 45 gevormde reeks van p bits wordt toegevoerd aan een register 47, terwijl de aan de uitgang van opteller 46 gevormde reeks van q bits wordt toegevoerd aan een register 48. Op deze wijze kunnen blokken van resp. p en q bits ver-cijferd worden m.b.v. een willekeurige S-box, mits de blokken van p en q bits op een bepaald moment een goede statistische verdeling hebben. Indien gewenst kan de inhoud van de registers 47 en 48 daartoe teruggekoppeld, worden naar resp. register 31 en 34 en kan de substitutiecyclus onder besturing van een teller een aantal malen worden doorlopen. Indien p = q kunnen alle S- boxen aan elkaar gelijk zijn en is de in figuur 3 getoonde configuratie op eenvoudige wijze zowel in software als in hardware te implementeren.

Het in figuur 3 getoonde uitvoeringsvoorbeeld is ook geschikt voor blokvercijfering, mits een van de modulo 2 optellers 37 of 45 en een van de modulo 2 optellers 38 of 46, met hun resp. voorafgaande registers 33 of 42 en 36 of 44 worden weggelaten alsook de verbindingen van de weggelaten optellers met resp. de registers 34 of 40 en 31 of 39. Tevens dient te worden voldaan aan de voorwaarde dat p = q, welke voorwaarde voor zichzelf spreekt, en de voorwaarde dat de S-boxen 32, 35, 41 en 43 bijectieve S-boxen zijn. Bijectieve S-boxen hebben de eigenschap dat een reeks van n bits wordt gesubstitueerd door weer een reeks van n bits en dat de substitutie van de S- box geïnverteerd kan worden.

Onderstaand zal worden toegelicht op welke wijze een sleutelafhankelijke bijectieve S(n,n)-box gegenereerd kan worden op basis van een sleutel met een lengte van L bits. Aanvankelijk wordt de S-box op zodanige wijze gevuld, dat iedere invoerwaarde zichzelf als substitutiewaarde krijgt. Vervolgens deelt men de sleutel op in 2n stukken van n bits, welke stukken opeenvolgend, naar hun positie in de sleutel bitreeks, genummerd worden. Indien de lengte L van de sleutel niet voldoende is, kan men dit oplossen door een aantal kopieën van de sleutel achter elkaar te plaatsen. Vervolgens worden de volgende stappen uitgevoerd:

In stap 0 wordt de waarde wo berekend van het stuk van de sleutel met positienummer 0, welke waarde een getal is tussen 0 en 2n-l. Daarna worden de substitutiewaarden van de S-box met de invoerwaarden 0 en wq verwisseld.

In stap 1 wordt de waarde wi berekend van het stuk van de sleutel met positienummer... 1, welke waarde weer een getal is tussen 0 en 2n-l, Daarna worden de substitutiewaarden van de S-box met de invoerwaarden 1 en wi verwisseld.

In stap i wordt de waarde Wi berekend van het stuk van de sleutel met positienummer i, welke waarde weer een getal is tussen 0 en 2n-l. Daarna worden de substitutiewaarden van de S-box met de invoerwaarden i en wi verwisseld.

Öm de complete bijectieve S-box te verkrijgen dienen bijvoorkeur minimaal 2n stappen op de bovenstaande wijze te worden uitgevoerd, maar meer stappen zijn, indien gewenst, toegestaan.

Opgemerkt wordt dat het aantal mogelijke bijectieve S(n,n)-boxen slechts een deel vormt van alle mogelijke S(n,n)-boxen, hetgeen zijn oorzaak vindt in.de specifieke eigenschappen van bijectieve S-boxen.

Figuur 4 toont een andere uitvoeringsvorm van een algoritme waarmee op basis van de uitvinding een sleutelbit voor stroomvercijferen kan worden verkregen. De figuur toont n+1 circuits van het in figuur 1 getoonde type, met k = 1 , waarbij gelijke' onderdelen met dezelfde verwijzingscijfers zijn aangegeven als in figuur 1, maar met toevoeging van een index (0) t/m (n+1). Opgemerkt wordt dat, alhoewel alle bit reeksen in de registers. 2 zijn aangeduid met n , dit slechts betrekking heeft op de lengte van de reeksen in die registers en niet op het patroon van de bitreeksen. Ook kunnen de diverse S-boxen 1 in principe verschillende substituties van n bits naar 1 bit uitvoeren. De n uitgangsbits van de modulo 2 opbellers 5(1) t/m 5(n) vormen de ingangsbitreeks van n bits voor de S-box l(n+l), terwijl het uitgangsbit van de modulo 2 opteller 5(0) wordt toegevoerd aan een ingang van de modulo 2 opteller 5(n+1), de andere ingang waarvan het uitgangsbit van de S-box l(n+l) ontvangt via het uitgangsregister 3(n+1). Met het algoritme van figuur 4 kan een reeks van n bits in twee stappen omgezet worden in een enkel sleutelbit, waarbij, indien de door de registers 4(0) t/m 4(n) toegevoerde bitreeksen een goede statistische verdeling hebben, dit ook geldt voor het sleutelbit in het register 8(n+l), onafhankelijk van de statistische eigenschappen van de S-boxen 1(0) t/m l(n+l), terwijl de niet-lineaire eigenschappen daarvan bewaard blijven.

Claims (10)

1. Werkwijze voor liet vercijferen van een telkens uit n symbolen bestaande reeks, met n > 0, welke werkwijze een substitutiefunctie omvat, met het kenmerk, dat op basis van een sleutel volgens een tevoren bepaalde methode tenminste één willekeurige substitutietabel wordt gegenereerd, die iedere mogelijke reeks van n symbolen substitueert door een specifieke reeks van k symbolen, met k > 0, en waarbij steeds een tweede reeks van k symbolen die een goede statistische verdeling heeft met een van beide eerstgenoemde symbool-reeksen wordt gecombineerd.

2. Werkwijze volgens conclusie 1, met het kenmerk dat de tweede reeks van k symbolen aan de ingang van de substitutietabel wordt gecombineerd met de reeks van n symbolen.

3. Werkwijze volgens conclusie 1, met het kenmerk dat de tweede reeks van k symbolen met behoud van de lengte van de reeks wordt gecombineerd met de reeks van k symbolen die aan de uitgang van de substitutietabel beschikbaar komt.

4. Werkwijze volgens conclusie 3, waarbij de symbolen bits zijn, met het kenmerk dat de reeksen van k symbolen gecombineerd worden d.m.v. een modulo 2 optelling.

5. Werkwijze volgens conclusie 4, met het kenmerk, dat k = 1, dat in (n + 1) substitutietabellen (n + 1) , eventueel verschillende reeksen van n bits, volgens eventueel verschillende, tevoren bepaalde substitutiemethoden worden gesubstitueerd door steeds 1 bit, dat elk van deze (n+lj bits d.m.v. (n+1) modulo 2 optellingen worden opgeteld bij een bit uit (n+1) reeksen met een goede statistische verdeling, dat de uitgangssignalen van n modulo 2 optellingen volgens een tevoren bepaalde substitutiemethode worden gesubstitueerd door 1 bit en dat dit ene bit modulo 2 wordt opgeteld bij het uitgangssignaal van de (n+1)e modulo 2 optelling. .

6. Werkwijze volgens conclusie 4, met het kenmerk, dat in een eerste substitutietabel een reeks, van p bits wordt gesubstitueerd door een reeks van q bits, dat in een tweede substitutietabel een reeks van q bits wordt gesubstitueerd door een reeks van p bits, dat de uitgangsreeks van de eerste substitutietabel modulo 2 wordt opgeteld bij de reeks van q bits en de uitgangsreeks van de tweede substitutietabel modulo 2 wordt opgeteld bij de reeks van p bits, dat de door de modulo 2 optelling verkregen reeks van q bits in een derde substitutietabel wordt gesubstitueerd door een reeks van p bits en de door de modulo 2 optelling verkregen reeks van p bits in een vierde substitutietabel wordt gesubstitueerd door een reeks van q bits, en dat de uitgangsreeks van de derde substitutietabel modulo 2 wordt opgeteld bij de reeks van p bits die wordt toegevoerd aan de vierde substitutietabel en de uitgangsreeks van de vierde substitutietabel modulo 2 wordt opgeteld bij de reeks van q bits die wordt toegevoerd aan de derde substitutietabel.

7. Werkwijze volgens conclusie 4, met het kenmerk, dat in een eerste substitutietabel een eerste reeks van p bits wordt gesubstitueerd door een eerste reeks van q bits, dat in een tweede substitutietabel een tweede reeks van q bits wordt gesubstitueerd door een tweede reeks van p bits, dat de uitgangsreeks van de tweede substitutietabel modulo 2 wordt opgeteld bij de eerste reeks van p bits, dat de eerste reeks van q bits in een derde substitutietabel wordt gesubstitueerd door een derde reeks van p bits en de door de modulo 2 optelling verkregen vierde reeks van p bits in een vierde substitutietabel wordt gesubstitueerd door een derde reeks van q bits, en dat de uitgangsreeks van de derde substitutietabel modulo 2 wordt opgeteld bij de derde reeks van p bits die wordt toegevoerd aan de vierde substitutietabel .

8. Werkwijze volgens conclusie 6 of 7, met het kenmerk, dat P = q-

9. Werkwijze volgens conclusie 8, met het kenmerk, dat de vier substitutietabellen identiek zijn.

10. Werkwijze volgens ten minste een der conclusies 6 - 9, met het kenmerk, dat de reeksen van p bits en van q bits, die uiteindelijk als resultaat van de diverse substituties worden verkregen, worden teruggekoppeld naar resp. de eerste en de tweede substitutietabel en dat dit een tevoren bepaald aantal malen wordt herhaald.