NO303610B1 - Forbedring ved kryptering av en melding - Google Patents

Description

Den foreliggende oppfinnelse vedrører en fremgangsmåte for kryptering av en rekke, omfattende n symboler, idet n > 0, hvilken metode omfatter en substitusjonsfunksjon.

Ved kryptering eller koding av meldinger som består av symboler fra et alfabet, f.eks. biter i tilfellet av et binært alfabet, kan man gjøre seg bruk av to forskjellige kodeteknikker. Den første går ut på blokk-koding, i hvilket tilfelle blokker av meldingen som skal kodes, f.eks. blokker omfattende 64 biter, alltid blir substituert blokkvis av kodede blokker som hver på sin side f.eks. omfatter 64 biter. Den andre kodeteknikk vedrører strøm-koding, i hvilket tilfelle hver serie av n symboler av den melding som skal kodes, kombineres med en nøkkelbit som er tildannet separat for hver bit som skal kodes.

I forbindelse med både blokk-koding og med strøm-koding blir der ofte benyttet substitusjonsinnretninger. Slike substitusjonsinnretninger, som substituerer en serie av biter med en annen serie av biter i henhold til et forhåndsbestemt mønster, er kjent for fagfolk på dette områ-de, nemlig under navnet S-bokser, hvilken betegnelse føl-gelig vil bli benyttet for slike innretninger i det føl-gende. S-boksér danner en viktig del av kodealgoritmer og blir benyttet for å øke ikke-lineariteten av en slik algoritme .

For å fremskaffe en sterk, dvs. en kodealgoritme som er vanskelig å dekode, ved hjelp av en S-boks, er det kjent at S-boksen må ha gode statistiske og ikke-lineære egenskaper. Det forhold at styrken av en kodealgoritme kan være tett forbundet med kvaliteten hos S-boksen som blir benyttet, er blant annet beskrevet av A.G. Konheim i "Cryptografi: A primer", A. Wiley&Sons, New York, 1981, side 248-249, samt av A. Shamir i Proceedings of Crypto, 1985, side 280-281. I lys av de krav som S-bokser må til-fredsstille, finnes der bare et begrenset antall av S- bokser med gode statistiske og ikke-lineære egenskaper. På grunn av det forhold at, sammenligningsmessig talt, det bare finnes noen få gode S-bokser, vil disse S-bokser generelt bli forhåndsselektert ved konstruksjonen av en kode-algoritme. Ulempen med dette er imidlertid at nevnte S-bokser kanskje snart vil bli felles kunnskap slik at det i prinsippet ikke vil være umulig for uautoriserte personer å dekode en melding som er kodet ved hjelp av en slik kjent S-boks.

Man kunne ha oppnådd en betydelig forbedring ved meldinger som er kodet ved hjelp av S-bokser og følgelig en ko-de-algoritme som er mindre enkel å gjenvinne, dersom alle de mulige S-bokser som kan fremskaffe en substitusjon fra n biter til k biter kunne bli benyttet. Dette har imidlertid ikke vært mulig opp til nå, på grunn av de ovenfor ang i 11 e grunne r.

Hensikten med den foreliggende oppfinnelse er å fremskaffe den nevnte mulighet, og for dette formål fremskaffer oppfinnelsen en fremgangsmåte av den ovenfor angitte art, ved hvilken på basis av en nøkkel i henhold til en forhåndsbestemt metode det genereres minst en tilfeldig substitus jonstabéll, som substituerer hver mulig serie av n symboler med en spesifikk serie av k symboler, idet k > 0, og hvor alltid en annen serie av k symboler som har en god statistisk fordeling, blir kombinert med en av de to serier av symboler.

Denne hensikt oppnår man ved en fremgangsmåte av den inn-ledningsvis angitte art, som ifølge oppfinnelsen erkarakterisert vedde trekk som fremgår av den karakterise-rende del av det vedføyde patentkrav 1.

Oppfinnelsen er basert på den forståelse at pålitelighe-ten av substitusjonsfunksjonen som benyttes i forbindelse med kodealgoritmen, vil i betydelig grad bli forbedret, dersom både senderdelen og mottagerdelen fremskaffer én og samme tilfeldige S-boks på basis av en hemmelig nøkkel som overføres via en nøkkelkanal, hvilket selvsagt innebærer den risiko at i dette tilfelle vil en dårlig S-boks, dvs. en S-boks med dårlige statistiske egenskaper og følgelig en substitusjon som forholdsvis enkelt kan gjenvinnes av en uautorisert person, blir tildannet. Dette problem er imidlertid, i henhold til en første utfø-relsesform for oppfinnelsen, unngått ved å tilføye til serien av k symboler som leveres ved utterminalen S-boksen, en annen serie av k symboler ved hjelp av en kombinasjonsfunksjon, idet denne annen serie har en god statistisk fordeling, for i dette tilfelle kan det bevises at resultatet av dette tillegg ikke bare har en god statistisk fordeling, men også de ikke-lineære egenskaper hos S-boksen.

I henhold til en annen utførelsesform for oppfinnelsen kan den annen serie av k biter bli tilføyet serien av n biter som blir tilført til substitusjonstabellen. I dette tilfelle kan det også bevises at gode statistiske egenskaper hos serien av k biter ved innterminalen til S-boksen også forefinnes ved utterminalen av samme, samtidig som de ikke-lineære egenskaper hos S-boksen selvsagt blir bibeholdt.

Det skal noteres at artikkelen "Privacy and authenticati-on; An introduction to crypthography" av W. Diffie og M.E. Hellman publisert i Proceedings of the IEEE, volum 67, nr. 3, side 3 97-427 gir en god introduksjon til koding innbefattet bruken av S-bokser. På side 409, venstre spalte, linjer 18-26, samt 34-42, henviser denne publika-sjon til en kjent versjon av et kodesystem basert på bijektive S-bokser med en spesiell nøkkelavhengighet, og analyserer relaterte problemer. Ved slik type av S-bokser skal hvert substitusjonsord velges forskjellig. Som er resultat av denne spesielle nøkkelavhengighet vil en til feldig generert nøkkel ikke kunne brukes for opprettelse av S-boksene. Dessuten ville nøkkellengden ha blitt ufor-holdsmessig lang. For å unngå disse og andre problemer ved nøkkelavhengige S-bokser ble bruken av forhåndsselekterte S-bokser foreslått, hvorved valget av hvilken S-boks i settet av S-bokser som skulle brukes i et spesielt tilfelle av koding, ville være nøkkelavhengig (se linje 43 og videre i samme spalte og side). I motsetning til dette gir den foreliggende oppfinnelse anvisning ikke bare på en løsning av problemer vedrørende nøkkelavhengi-ge bijektive S-bokser, men gjør også mulig bruken av hvilken som helst tilfeldig S-boks, som blir generet på basis av en tilfeldig generert nøkkel, og som substituerer en rekke av n symboler ved hjelp av en rekke av k symboler, med k > 0.

Det skal noteres at det videre er kjent fra EP patentsøk-nad 0.202.989 å gjøre bruk av forskjellige forhåndsbestemte substitusjonlagre når en melding skal kodes for å forbedre styrken av en kodealgoritme på denne måte, idet valget av substitusjonslageret som skal benyttes for en spesiell koding, blir bestemt ved hjelp av en nøkkel og av det ord som skal kodes. Antallet av forskjellige substitus j onslagre som kan velges ved hjelp av nøkkelen, samt det ord som skal kodes, er imidlertid begrenset, f.eks. til 4, og således er det i prinsippet ikke kjent at det er mulig å benytte alle mulige substitusjoner fra n til k biter, i likhet med hva som foreslås i henhold til den foreliggende oppfinnelse, idet den valgte substitusjon i et spesielt tilfelle blir bestemt av en nøkkel som er bare kjent for den sendende og den mottagende part.

Oppfinnelsen vil nå bli ytterligere belyst under henvis-ning til de vedføyde tegningskopier.

Figur 1 viser en skjematisk representasjon av en første variant av det prinsipp som ligger til grunn for den foreliggende oppfinnelse.

Figur 2 viser en skjematisk representasjon av en annen variant av dette prinsipp. Figur 3 viser en skjematisk representasjon av en første utføreIsesform. Figur 4 viser en skjematisk representasjon av en annen utføreIsesform.

Før figurene omtales nærmere, skal det forstås at den foreliggende oppfinnelse finner anvendelse i forbindelse med symboler fra forskjellige alfabeter, men for enkelt-hets skyld vil figurene bli anvendt ved bruken av biter fra det binære alfabet. For oversiktens skyld i forbindelse med figurene, vil lengden av de forskjellige serier av biter dessuten bli direkte indikert i de respektive registre, hvilket imidlertid ikke innebærer at serier av samme lengde også blir benyttet ved samme bitmønster. En S-boks som substituerer en innserie av n biter med en serie av k biter, er indikert med betegnelsen S(n,k), hvilken betegnelsé alltid vil bli benyttet i det følgende. I prinsippet kan serien med k biter ha en hvilken som helst ønsket lengde.

På figur 1 som viser en såkalt dynamisk variant av det prinsipp som ligger til grunn for oppfinnelsen, betegner henvisningstall 1 en tilfeldig S-boks, som er i stand til på en utvetydig måte å substituere en serie av n biter som opptrer i et register 2, med en serie av k biter i et utregister 3, idet k befinner seg i området 1 < k < n. En slik S-boks kan være et lager hvor der for hver av de 2n mulige innserier er lagret en utserie av k biter, bestemt i henhold til en forhåndsbestemt teknikk.

Ved etablering av en kommunikasjonskanal mellom de to parter, via hvilken den kodede melding skal sendes, vil der først bli utvekslet en hemmelig nøkkel via en sikker kanal. På basis av denne nøkkel blir der opprettet en funksjonell identisk substitusjonstabell ved de to parter i henhold til en forhåndsbestemt teknikk, idet denne tabell bare trenger gode ikke-lineære egenskaper, samtidig som der ikke stilles krav til de statistiske egenskaper hos den formede S-boks.

En teknikk for ved hjelp av en nøkkel å generere en S(n,k)-boks som er så og si helt sikkert ikke-lineær, men som sannsynligvis har dårlige statistiske egenskaper, kan f.eks. være som følger. En nøkkel med en lengde av L biter blir delt inn i 2n porsjoner av k biter, som blir num-merert fortløpende. Dersom lengden av nøkkelen for dette formål ikke er stor nok, noe som i praksis er som oftest tilfelle, vil nøkkelen bli forlenget kunstig ved plasse-ring av et antall av identiske kopier av nøkkelen etter hverandre. De neste nevnte 2n porsjoner av k biter blir allokert i sekvensen av deres nummerering relatert til de 2° mulige innserier hos S-boksen. Dersom nøkkelen i dette tilfelle blir generert tilfeldig, vil S-boksen så og si med sikkerhet 'være ikke-lineær. Imidlertid, dersom nøkke-len ofte må repeteres for å danne tilstrekkelige porsjoner av k biter, vil der alltid foreligge en stor mulighet for at de statistiske egenskaper blir dårlige, på grunn av det forhold at i S-boksen vil visse verdier komme tilbake over gjennomsnittet og andre like under gjennomsnittet .

I registeret 4 forekommer der en annen serie av k biter, hvilken serie har, slik dette er blitt sikret på forhånd, en god statistisk fordeling av biter, f.eks. en tilfeldig eller pseudotilfeldig serie. I en modulo-2 adderer 5 vil

bitene i registrene 3 og 4 bli addert bit for bit, og serien med k biter som man oppnår ved utterminalen av modu-

lo-2 addereren 5, kan benyttes for strøm-kodingen av biter med en ren tekst tilført fra et register 7. For dette formål kan nevnte biter, i det tilfellet at k=l, i modulo-2 addereren 8 bli addert bit for bit til den såkalte nøkkelbit ved utterminalen av addereren 5 for ved utterminalen av addereren 8 å fremskaffe den såkalte kodebit som skal overføres.

Ved hjelp av et enkelt eksempel vil det nå først bli forklart hva som finner sted, nemlig at modulo-2 addisjonen av en serie med gode statistiske egenskaper med en serie med ukjente, kanskje gode, men eventuelt dårlige statistiske egenskaper, vil føre til en serie som alltid har gode statistiske egenskaper. For dette formål blir der som et eksempel benyttet en tilfeldig S-boks som substituerer en serie på n biter med én eneste utbit, slik at følgelig k=l. Det antas nå at sjansen for at denne utbit er lik en 0, er lik p, og at sjansen for at utbiten er en 1 er lik q, idet p + q = 1. I henhold til oppfinnelsen blir nå én eneste bit addert modulo-2 til nevnte utbit, fordi det oppnås at k=l. Det antas at sjansen for at denne bit er en 1 er lik s, og sjansen for at denne bit er en 0 er lik r, idet r + s = 1. Idet der i henhold til oppfinnelsen foreligger den betingelse at serien med k biter, som blir addert modulo-2 til serien av k biter ved utterminalen av S-boksen, har gode statistiske egenskaper, vil der oppnås for nevnte eneste bit at r = s = 1/2. Sjansen for et 0 ved utterminalen fra modulo-2 addereren er lik pr +sq, mens sjansen for en 1 er lik ps + rq. Fordi r = s = 1/2 kan man rett og slett avlede at man kan få pr + sq = ps + rq = 1/2, slik at rekken eller serien ved utterminalen fra modulo-2 addereren har tatt over de ønskede gode statistiske egenskaper for rekken av k biter som er addert i henhold til oppfinnelsen.

Rekken med k biter som er addert til modulo-2 addereren har ikke noen innvirkning på de ønskede ikke-lineære egenskaper hos rekken av biter ved utterminalen fra S-boksen, fordi addisjonen finner sted bit for bit, og når f.eks. en S-boks substituerer en rekke av n biter ved bare én eneste ut-bit, som er formet ved en ikke-lineær sum av kombinasjoner av en eller flere enn en innbit, vil nevnte sum forbli ikke-lineær selv etter modulo-2 addering .

Det er hensiktsmessig å tilbakeføre enten nøkkelbiten ved innterminalen til modulo-2 addereren 5, eller sifrerings-biten ved utterminalen fra modulo-2 addereren 6 til inn-registeret 2, som for dette formål kan betegnes som et skiftregister. Dette innebærer den fordel at synkronise-ringen mellom senderen og mottageren kan realiseres på en enklere måte. Dersom mottageren mottar et sifreringsbit som er feil og mater denne tilbake, eller dersom den av-leder fra dette feilaktig mottatte signal en feilaktig nøkkelbit og mater denne tilbake, vil denne feil komme til uttrykk i skiftregisteret 2 ved en feilaktig dekoding av den mottatte melding. Etter n sykler vil denne feil imidlertid bli skiftet ut av seg selv fra skiftregisteret , slik at en feilaktig dekoding vil bli begrenset til n biter, som i de fleste tilfeller er akseptabelt.

Figur 2 anskueliggjør en annen, såkalt statistisk variant av oppfinnelsen, som er basert på det samme prinsipp, og hvor like deler er betegnet med like henvisningstall, men forsynt med en apostrof. Rekken med n biter og rekken med k biter, som har gode statiske egenskaper, blir nå til-ført sammen til en S-boks 1', som er innrettet til å substituere hver rekke med n + k biter med en serie eller rekke av k biter, idet disse rekker er lik rekkene av k biter som oppnås ved hjelp av den fremgangsmåte som er beskrevet i forbindelse med figur 1, nemlig i tilfelle av at rekken av n og k biter i registrene 2 og 4 er lik henholdsvis rekken av n og k biter i registrene 2<1>og 4<1>. Det skal forstås at lagerkapasiteten som er nødvendig for

S-boksen øker i prinsippet fra 0 (2<n>) til 0 (2n+k) , men fordelen går ut på at det ikke er påkrevd med en modulo-2 addering for hver bit, slik at nødvendig datamaskintid vil avta. Symbolet 0 er i dette tilfelle en betegnelse som indikerer størrelsesorden.

Figur 3 anskueliggjør en utførelsesform som er hensiktsmessig for strøm-koding, og ved hjelp av noen tilpasnin-ger, også for blokk-koding. En blokk med p biter for en melding som skal kodes i et register 31, blir substituert av en S(p,q)-boks 32 ved en rekke av q biter i et register 33 . På samme tid vil en blokk med q biter av den melding som skal kodes i et register 34 bli substituert av en S(p,q)-boks 35 ved en rekke av p biter i et register 36. I en modulo-2 adderer 37 vil rekken i registrene 33 og 34 bli addert, mens serien eller rekken i registrene

31 og 36 blir addert i en modulo-2 adderer 38. Rekken av q biter som blir dannet ved addering ved utterminalen fra addereren 37, blir tilført et register 39, mens rekken av p biter som er tildannet ved utterminalen fra addereren 38, blir tilført et register 40. Rekken i registeret 39 blir substituert av en S(q,p)-boks 41 ved en rekke av p biter i et register 42, mens rekken i registeret 40 blir substituert av en S(p,q)-boks 43 ved en rekke av q biter i et register 44. Deretter vil rekken i registrene 40 og 42 bli addert i en modulo-2 adderer 45, og rekken i registrene 39 og 44 blir addert i en modulo-2 adderer 46. Rekken omfattende p biter som blir tildannet ved addisjonen ved utterminalen fra addereren 45, blir tilført et register 47, mens rekken av q biter som blir tildannet ved utterminalen fra addereren 46, blir tilført et register 48. På denne måte vil blokker av henholdsvis p og q biter kunne kodes ved hjelp av en tilfeldig S-boks, forutsatt at blokkene med p og q biter har en god statistisk distribusjon på et bestemt tidspunkt. Eventuelt vil innholdet i registrene 47 og 48 for dette formål kunne mates tilbake til henholdsvis register 31 og 34, og substitu- sjonssyklusen kan gjennomløpes et antall ganger under styring av en teller. Dersom p = q kan alle S-boksene væ-re lik hverandre, og den konfigurasjon som er vist på figur 3, kan implementeres på en enkel måte både når det gjelder mykvare og maskinvare.

Den utførelsesform som er vist på figur 3, er også hensiktsmessig for blokk-koding, forutsatt at en av modulo-2 addererne 37 eller 45 og en av modulo-2 addererne 38 eller 46 med deres forutgående registre henholdsvis 33 eller 42 og 36 eller 44, blir utelatt, såvel som forbindel-sene med de utelatte adderere i forhold til henholdsvis registrene 34 eller 40 og 31 eller 39. Videre bør den selvinnlysende betingelse at p = q, og den betingelse at S-boksene 32, 35, 41 og 43 er "bijektive" S-bokser, være oppfylt. "Bijektive" har den egenskap at en rekke av n biter blir substituert av en annen rekke av n biter, og at substitusjonen av S-boksen kan inverteres.

Det vil i det følgende bli forklart på hvilken måte en nøkkelavhengig "bijektiv" S(n,n)-boks kan genereres på basis av en nøkkel med en lengde av L biter. Først vil S-boksen bli fylt på en slik måte at hver inngangsverdi får preg av ehsubstitusjonverdi. Deretter blir nøkkelen delt opp i2n deler av n biter, hvilke deler blir numme-rert i rekkefølge i henhold til deres posisjon i rekken av nøkkelbiter. Dersom lengden L av nøkkelen er util-strekkelig, kan dette løses ved å plassere et antall av kopier av nøkkelen etter hverandre. Deretter vil følgende trinn bli utført: I henhold til trinn 0 vil den w0av den del av nøkkelen med posisjonsnummer 0, hvilken verdi er et tall mellom 0 og 2n<->l, beregnet. Deretter vil der bli utvekslet substitus j onsverdiene av S-boksen med innverdiene 0 og w0.

I henhold til trinn 1 blir den verdi wxav den del av nøk- kelen som har posisjonsnummer 1, hvilken verdi på nytt er et tall mellom 0 og 2n<->l, beregnet. Deretter blir der utvekslet substitusjonsverdiene hos S-boksen med innverdiene 1 og wx.

I henhold til trinn i blir der beregnet den verdi Wi av den del av nøkkelen som har posisjonsnummer i, hvilken verdi også her er et tall mellom 0 og 2n<->l. Deretter blir der utvekslet substitusjonsverdier hos S-boksen med innverdiene i og wt.

For å kunne oppnå den komplette "bijektive" S-boks, bør i det minste 2n trinn fortrinnsvis utføres på den ovenfor angitte måte, men eventuelt kan der tillates flere trinn.

Det skal forstås at antallet av mulige "bijektive" S(n,n)-bokser bare danner del av alle de mulig S(n,n)-bokser, som skyldes de spesifikke egenskaper hos "bijektive" S-bokser.

Figur 4 viser en annen utførelsesform for en algoritme med hvilken man på basis av den foreliggende oppfinnelse kan fremskaffe en nøkkelbit for strøm-koding. Denne figur viser n + 1 kretser av den type som er vist på figur 1, hvor k = 1, samtidig som like deler er betegnet med de samme henvisningstall som på figur 1, men med tillegget indeks (0) opp til og innbefattende (n+1) . Det skal noteres at selv om alle rekkene av biter i registrene 2 er indikert med n, vil dette bare relatere til lengden av

rekkene i disse registre og ikke til mønsteret for rekkene av biter. De forskjellige S-bokser 1 kan i prinsippet også utføre forskjellige substitusjoner fra n biter til 1 bit. De n utbiter fra modulo-2 addererne 5(1) opp til og innbefattende 5(n) danner innbit-rekkene på n biter for S-boksen l(n+l), mens utbiten fra modulo-2 addereren 5(0) blir tilført en innterminal til modulo-2 addereren 5(n+l), samtidig som den annen innterminal for denne mot-

tar utbiten fra S-boksen l(n+l) via utregisteret 3(n+l). Ved hjelp av algoritmen i henhold til figur 4 kan der konverteres en rekke av n biter til én eneste nøkkelbit i to trinn, og dersom rekken av biter som tilføres av registrene 4(0) opp til og innbefattende 4(n) har en god statistisk fordeling, vil dette også være tilfelle for nøkkelbiten i registeret 8(n+l), uavhengig av de statistiske egenskaper hos S-boksene 1(0) opp til og innbefattende l(n+l), samtidig som deres ikke-lineære egenskaper blir bibeholdt.

Claims (11)

1. Fremgangsmåte for kryptering av en rekke (2, 2') omfattende n symboler, der n > 0, hvilken fremgangsmåte omfatter en substitusjonsfunksjon,karakterisert vedat på basis av en nøkkel blir i det minste en tilfeldig substitusjonstabell (1, 1') generert, hvilken tabell substituerer hver mulig rekke av n symboler med en spesifikk rekke (3, 3') av k symboler, hvor k > 0, og at en andre rekke av k symboler som har god statistisk fordeling, blir kombinert med én av de to førstnevnte rekker av symboler (3 eller 3'), for å oppnå en kodet utrekke (6, 3') •

2. Fremgangsmåte som angitt i krav 1,karakterisert vedat den andre rekke av k symboler ved innterminalen av substitusjonstabellen blir kombinert med rekken av n symboler.

3. Fremgangsmåte som angitt i krav 1,karakterisert vedat den andre rekke av k symboler, under bibehold av lengden av rekken, blir kombinert med rekken av k symboler som blir tilgjengelig ved utterminalen for substitusjonstabellen.

4. Fremgangsmåte som angitt i krav 3, idet symboler ut-gjøres av biter,karakterisert vedat rekken av k symboler blir kombinert ved hjelp av en modulo-2 addering.

5. Fremgangsmåte som angitt i krav 4,karakterisert vedat k = 1, at i (n+1) substitus j onstabeller (1 (0),..., 1 (n) ) blir hver av (n+1) rekker (2 (0) ,..., 2 (n) ) av n biter substituert med 1 bit i henhold til forhåndsbestemte substitusjonsteknikker, ved at man ved hjelp av (n+1) modulo-2 adderinger (5(0),..., 5(n)), adderer hver av nevnte (n+1) biter til en bit av (n+1) rekker med en lengde av 1 bit og med god statistisk fordeling, ved at utsignalene fra n av de n+1 modulo-2 adderinger (5 (0) ,..., 5 (n) ) blir substituert av 1 bit i henhold til en forhåndsbestemt substitusjonsteknikk (l(n+l)), og at denne ene bit blir addert modulo-2 til utsignalet fra den (n+1)te modulo-2 addering (5(0)).

6. Fremgangsmåte som angitt i krav 4,karakterisert vedat i det minste noen av rekkene (2 (0) ,..., 2 (n) ) av n biter er forskjellige rekker, og at i det minste de forhåndsbestemte substitusjonsteknikker er forskjellige substitusjonsteknikker.

7 . Fremgangsmåte som angitt i krav 4,karakterisert vedat i en første sub-st itusj onstabell (32) blir en rekke (31) av p biter i en melding som skal krypteres, substituert med en rekke (34) av q biter, ved at i en andre substitusjonstabell (35) blir en rekke (33) av q biter av en melding som skal krypteres, substituert med en rekke (36) av p biter, ved at utrekken (33) av q biter fra den første substitusjonstabell (32) blir addert modulo-2 (37) til rekken (34) av q biter, og at utrekken (36) av p biter av den andre substitusjonstabell (35) blir addert modulo-2 (38) til rekken (31) av p biter, ved at rekken (39) av q biter som oppnås ved nevnte modulo-2 addisjon (37) blir substituert med en rekke (34) av p biter i en tredje substitusjonstabell (41), og at rekken (40) av p biter som oppnås ved nevnte modulo-2 addisjon (38) blir substituert med en rekke (44) av q biter i en fjerde substitusjonstabell (43), og at utrekken (42) av p biter fra den tredje substitus j onstabell (41) blir addert modulo-2 (45) til rekken (40) av p biter som blir tilført til den fjerde substitus j onstabell (43), og at utrekken (44) av den fjerde substitusjonstabell (43) blir addert modulo-2 (46) til rekken (39) av q biter som blir tilført til den tredje substitusjonstabell (41) .

8. Fremgangsmåte som angitt i krav 4,karakterisert vedat i en første substitus j onstabell (32) blir en første rekke av p biter substituert av en første rekke av q biter, ved at i en andre substitusjonstabell (35) blir en andre rekke av q biter substituert av en andre rekke av p biter, ved at utrekken av p biter fra den andre substitusjonstabell (35) blir addert modulo-2 til den første rekke av p biter, ved at den første rekke av q biter blir substituert av en tredje rekke av p biter i en tredje substitusjonstabell (41) , og at den fjerde rekke av p biter som er oppnådd ved modulo-2 addisjonen, blir substituert av en tredje rekke av q biter i en fjerde substitusjonstabell (43), og at utrekken av p biter fra den tredje substitus j onstabell (41) blir addert modulo-2 til en tredje rekke av p biter som blir tilført den fjerde substitusjonstabell (43).

9. Fremgangsmåte som angitt i krav 7 eller 8,karakterisert vedat p = q.

10. Fremgangsmåte som angitt krav 9,karakterisert vedat de fire substitu-sjonstabeller er like.

11. Fremgangsmåte som angitt i et av kravene 7-10,karakterisert vedat rekken av p biter og q biter, som sluttelig oppnås som resultat av de forskjellige substitusjoner, blir ført tilbake til henholdsvis den første og andre substitusjonstabell, og at dette blir gjentatt et forhåndsbestemt antall ganger.