WO2003010919A1

WO2003010919A1 - Verfahren und vorrichtung zum ausführen einer bytesubstitutionsoperation des aes-algorithmus nach rijndael

Info

Publication number: WO2003010919A1
Application number: PCT/EP2002/007296
Authority: WO
Inventors: Peter Bier; Marcus Janke
Original assignee: Infineon Technologies Ag
Priority date: 2001-07-26
Filing date: 2002-07-02
Publication date: 2003-02-06
Also published as: DE10136303A1; TW561435B

Abstract

Beim Ausführen einer Bytesubstitutionsoperation des AES-Algorithmus nach Rijndael, wobei die Bytesubstitutionsoperation eine Teiloperation der affinen Abbildung und eine Teiloperation der multiplikativen Inversen aufweist, wird die Teiloperation der multiplikativen Inversen mittels einer Nachschlagtabelle ausgeführt, während die Teiloperation der affinen Abbildung mittels eines fest verdrahteten Rechenwerks oder in Software berechnet wird. Statt der S-Box wird nur noch die multiplikative Inverse tabellarisch gespeichert, so daß in einer Entschlüsselungseinrichtung und einer Verschlüsselungseinrichtung eines AES-Kryptographiesystems dieselbe Nachschlagtabelle verwendet werden kann, was in einer Speichereinsparung entsprechend der Größe einer Nachschlagtabelle resultiert.

Description

Beschreibung

Verfahren und Vorrichtung zum Ausführen einer Bytesubstitutionsoperation des AES-Algorithmus nach Rijndael

Die vorliegende Erfindung bezieht sich auf den AES- Algorithmus nach Rijndael und insbesondere auf eine verbesserte Implementation der Bytesubstitutionsoperation dieses Algorithmus .

Fig. 6 zeigt ein Übersichtsdiagram für den AES- Kryptoalgorithmus, der auch als Rijndael-Algorithmus bezeichnet wird. Der Rijndael-Algorithmus ist in dem Dokument „The Rjindael Block Cipher: AES Proposal" von Joan Daemen und Vin- cent Rijmen, Document Version 2, 9. März 1999, beschrieben. Der AES-Algorithmus ist ein iterativer Algorithmus, bei dem eine vorgegebene Anzahl (10, 12 oder 14) von Runden (rounds) berechnet wird. Nachfolgend wird anhand von Fig. 6 eine Runde des AES-Algorithmus für einen Modus exemplarisch dargestellt. Startpunkt einer Runde ist ein Block von 16 Bytes, wobei jedes Byte 8 Bit umfaßt, also ein Block von 8 x 16 Bits. Diese sind in Fig. 6 bei 600 als vertikale Linien dargestellt. Der AES-Algorithmus oder Rijndael-Algorithmus ist ein sogenannter Block-Cipher-Algorithmus, bei dem bei dem in Fig. 6 gezeigten Beispiel ein Block von 16 x 8 Bits an Eingangsdaten gemeinsam verschlüsselt werden.

Der erste Schritt einer Runde wird als „Add Round Key" (Hinzufügen des Schlüssels für eine Runde) bezeichnet. Diese Funktion wird durch die bei 620 dargestellten Kreise symbolisiert. Der AES-Rundenschlüssel, der üblicherweise von einem AES-Schlüssel abgeleitet wird und als Expanded Key bezeichnet wird, umfaßt ebenfalls 16 x 8 Bit. In der Stufe Add Round Key wird eine bitweise XOR-Verschlüsselung mit dem AES- Rundenschlüssel und den 16 x 8 Bit an Eingangsdaten durchgeführt, wie es bei 630 dargestellt ist. Die nächste Verarbeitungsstufe einer Runde des AES- Algorithmus besteht in einer Byte-Substitution, die in Fig. 6 als Byte-Sub bezeichnet wird. Die Byte-Substitution besteht in einer mathematischen Funktion, die beim AES-Algorithmus eine multiplikative Inverse mit affiner Abbildung umfaßt.

Diese mathematische Funktion wird durch eine Nachschlagtabelle implementiert, welche üblicherweise als S-Box bezeichnet wird und in Fig. 6 durch Würfel 640 symbolisch dargestellt ist. Die Ausgangsdaten der Stufe 620 werden als Adresse für die S-Box, d. h. die Byte-Substitutions-Nachschlagtabelle, verwendet, um als Ausgangsdaten für jedes Byte ein Substitutionsbyte auszugeben, das die multiplikative Inverse mit affiner Abbildung der Eingangsadresse ist. Die S-Box enthält keine geheimen Informationen, sondern kann im voraus berech- net werden oder von einer öffentlich zugänglichen Stelle abgerufen werden. Die geheimen Informationen stecken in den Eingangsdaten, d. h. Eingangsadressen für die S-Box.

Die Ausgangsdaten der Byte-Substitution 640 werden dann einer Zeilenverschiebungsoperation 650 unterzogen, die in Fig. 6 als „Shift Row" bezeichnet wird. Die Ausgangsdaten der Stufe 650 werden dann einer Spaltenvermischung unterzogen, die in Fig. 6 durch längliche Quader symbolisch dargestellt ist und in der Technik als „Mix Column" bezeichnet wird. Die Opera- tionen 620, 640, 650 und 660 bilden eine von typischerweise zehn Runden des AES-Algorithmus, wobei eine Runde in der Technik auch als Round bezeichnet wird. Die Ausgangsdaten der Mix-Column-Operation, d. h. einer Runde oder Round, werden dann wieder einer Add-Round-Key-Operation 620' unterzogen, wobei wieder eine bitweise XOR-Ver nüpfung der Daten mit einem Schlüssel 630' für die nächste Runde durchgeführt wird etc. Nach einer wählbaren Anzahl von Runden, welche üblicherweise 10 beträgt, liegen dann die AES-verschlüsselten Daten vor.

Nachteilig an der oben beschriebenen Ausführung der Bytesubstitution mittels einer Nachschlagtabelle ist, daß in einer Verschlusselungseinrichtung, in der Eingangsdaten in substituierte Daten transformiert werden, also in der Einrichtung 640 von Fig. 6, eine andere Tabelle verwendet werden muß, als in einer Entschlusselungseinrichtung, in der die korrespon- dierende inverse Operation des symmetrischen AES-Algorithmus, also eine Rucksubstitution der Daten, durchgeführt wird. Eine Vorrichtung, die sowohl eine Verschlüsselung als auch eine Entschlüsselung gemäß dem AES-Algorithmus nach Rijndael durchfuhrt, benotigt somit zwei Nachschlagtabellen, nämlich eine für die Verschlusselungskomponente und eine für die Entschlusselungskomponente. Es sei darauf hingewiesen, daß die Bytesubstitutions-Nachschlagtabelle 256 x 8 Bits, also 256 Byte groß ist. Eine bekannte Vorrichtung benotigt daher 2 x 256 Byte Speicherplatz zum Speichern der Bytesubstitutionsta- belle.

Die obigen Speicherangaben gelten für eine serielle Berchnung der Bytesubstitution. Aus Schnelligkeitsgrunden wird jedoch üblicherweise eine parallele Verarbeitung der z. B. 16 Bytes eingesetzt. Dann muß die Bytesubstitutionstabelle 16-fach vorhanden sein. Der benotigte Speicherplatz betragt dann 16 x 2 x 256 Byte.

Für Anwendungen des AES-Algorithmus auf Allzweckcomputern stellt dies kein wesentliches Problem dar. Ganz anders verhalt sich die Situation jedoch bei Chipkarten, bei denen auf^¬ grund der Große des Speicherchips sehr restriktive Speicheranforderungen vorhanden sind. Der Speicher auf Chipkarten liegt im Bereich von Kilobyte, so daß die Bytesubstitutions- tabellen für die Entschlusselungskomponente als auch für die Verschlusselungskomponente der Schaltung einen wesentlichen Speicherplatz in Anspruch nehmen. Andererseits sind die auf einer Chipkarte auszuführenden Algorithmen mehr und mehr kom^¬ plex, so daß auch die Anforderungen hinsichtlich des Arbeits- Speichers der Chipkarte ansteigen, damit die Chipkarte auch komplexere Algorithmen mit einem vernunftigen Durchsatz berechnen kann. Die Aufgabe der vorliegenden Erfindung besteht darin, ein effizienteres Konzept zum Ausführen einer Bytesubstitutionsoperation des AES-Algorithmus nach Rijndael zu schaffen.

Diese Aufgabe wird durch ein Verfahren gemäß Patentanspruch 1, durch eine Vorrichtung gemäß Patentanspruch 7 oder durch ein Kryptographiesystem gemäß Patentanspruch 8 gelöst.

Der vorliegenden Erfindung liegt die Erkenntnis zugrunde, daß die Bytesubstitutionsoperation z. B. des AES-Algorithmus nach Rijndael aufgesplittet werden muß und teils durch ein fest verdrahtetes Rechenwerk und teils z. B. durch eine Nachschlagtabelle oder anderweitig durchzuführen ist. Die Byte- Substitutionsoperation besteht aus zwei Teiloperationen, nämlich der Operation der multiplikativen Inversen und der Teiloperation der affinen Abbildung. In Analogie dazu besteht die Bytesubstitutionsoperation in einer Entschlüsselungsvorrichtung in einer Teiloperation der inversen affinen Abbildung und in der Teiloperation der multiplikativen Inversen.

Erfindungsgemäß wird die affine Abbildung mittels eines fest verdrahteten Rechenwerks ausgeführt, während die multiplikative Inverse z. B. mittels einer Nachschlagtabelle ermittelt wird. Dies ermöglicht es, daß sowohl für die Verschlüsselungsoperation als auch für die Entschlüsselungsoperation dieselbe Nachschlagtabelle verwendet werden kann, nämlich einfach die Nachschlagtabelle der multiplikativen Inversen. Eine Kryptographievorrichtung mit einer Entschlüsselungskom- ponente und einer Verschlüsselungskomponente muß daher lediglich noch eine einzige Nachschlagtabelle für die Bytesubstitutionsoperation speichern, was in einer Speichereinsparung von beispielsweise 16 x 256 Byte für eine parallele Implemen^¬ tation resultiert. Für größere Nachschlagtabellen, d. h., wenn der AES-Algorithmus nicht byteweise, sondern auf größere Datenblöcke ausgeführt wird, ist die Speichereinsparung in Byte noch signifikanter. Falls die Berechnung der multiplikativen Inversen auf andere Weise als durch eine Nachschlagtabelle durchgeführt wird, so ist die vorliegende Erfindung vorteilhaft darin, daß z. B. nur ein einziges Rechenwerk oder nur ein einziges Softwareprogramm sowohl für die Verschlüsselung als auch die Entschlüsselung benötigt werden.

Erfindungsgemäß werden in der Nachschlagtabelle somit nicht die üblicherweise verfügbaren S-Box-Werte abgelegt, sondern lediglich eine Tabelle der multiplikativen Inversen der Eingangs- (Adreß-) Werte. In einem weiteren Schritt wird dann die affine Abbildung fest verdrahtet realisiert. Eine bevorzugte Verdrahtung besteht darin, lediglich XOR-Gatter zu ver- wenden, wobei in einer weiteren Ausgestaltung der vorliegenden Erfindung lediglich XOR-Gatter mit zwei Eingängen eingesetzt werden, um die Anzahl der nötigen Transistoren zu begrenzen.

Dadurch kann die gleiche Tabelle zum Verschlüsseln und Entschlüsseln verwendet werden und es müssen nicht zwei getrennte Tabellen mit 256 x 8 Bits gespeichert 'werden. _

Bevorzugte Ausführungsbeispiele der vorliegenden Erfindung werden nachfolgend bezugnehmend auf die beiliegenden Zeichnungen näher erläutert. Es zeigen:

Fig. 1 ein Blockschaltbild einer erfindungsgemäßen Vorrichtung zum Ausführen einer Bytesubstitutionsope- ration des AES-Algorithmus nach Rijndael für die

Verschlüsselungsoperation;

Fig. 2 ein Blockschaltbild einer Vorrichtung zum Ausführen einer Bytesubstitutionsoperation des AES- Algorithmus nach Rijndael für die Entschlüsselungsoperation; Fig. 3a die Rechenvorschrift für die affine Abbildung;

Fig. 3b eine arithmetisch-logische Darstellung der Vorschrift von Fig. 3a;

Fig. 4 ein Rechenwerk zum Berechnen der affinen Abbildung gemäß einem ersten Ausführungsbeispiel der vorliegenden Erfindung;

Fig. 5 ein Rechenwerk zum Berechnen der affinen Abbildung gemäß einem weiteren Ausführungsbeispiel der vorliegenden Erfindung; und

Fig. 6 ein Übersichtsdiagramm über eine Runde des AES- Algorithmus.

Die Bytesubstitutionsoperation des AES-Algorithmus ist eine nichtlineare Bytesubstitution, die auf jedes der Zustandsbytes des AES-Algorithmus unabhängig wirkt. Die Substituti- onstabelle (oder S-Box) besteht aus zwei Transformationen. Zunächst muß die multiplikative Inverse in GF(2⁸) ermittelt werden, und dann müssen die Ergebnisdaten einer affinen Transformation (über GF(2)) unterzogen werden.

Erfindungsgemäß umfaßt die Vorrichtung zum Ausführen der

Bytesubstitutionsoperation zunächst eine Einrichtung 10 zum Ausführen der Teiloperation der multiplikativen Inversen mittels einer Nachschlagtabelle und dann ein fest verdrahtetes Rechenwerk 12 zum Berechnen der affinen Abbildung der Aus- gangsdaten der Einrichtung 10, um aus Eingangsdaten an einem Eingang 14 substituierte Daten an einem Ausgang 16 zu erhalten.

Während Fig. 1 für eine Verschlüsselungsvorrichtung gilt, ist Fig. 2 für eine Entschlüsselungsvorrichtung dargestellt. Substituierte Daten werden zunächst einem Rechenwerk 20, das fest verdrahtet ist, zugeführt. Das Rechenwerk berechnet die inverse affine Abbildung. Die Ausgangsdaten der Einrichtung 20 werden dann einer Einrichtung 22 zum Berechnen der multiplikativen Inversen zugeführt. Die Einrichtung 22 ist wieder, wie die Einrichtung 10 von Fig. 1, als Nachschlagtabelle für die multiplikative Inverse organisiert. An einem Ausgang 24 der in Fig. 2 gezeigten Vorrichtung liegen somit rücksubstituierte Daten vor, die aus substituierten Daten an einem Eingang 26 der in Fig. 2 gezeigten Vorrichtung berechnet worden sind.

Im nachfolgenden wird bezugnehmend auf Fig. 3a auf die Berechnungsvorschrift zum Berechnen der affinen Abbildung eingegangen. Fig. 3a stellt somit die Rechenvorschrift dar, die das Rechenwerk 12 aus Fig. 1 umsetzen muß. Die Eingangsdaten in das Rechenwerk sind mit o bis x bezeichnet, während die Ausgangsdaten aus dem Rechenwerk, also die substituierten Daten von Fig. 1, mit yo bis y₇ bezeichnet sind. Es sei darauf hingewiesen, daß die affine Abbildung in Fig. 3a für acht Eingangsbits und acht Ausgangsbits dargestellt ist. Es sei jedoch auch darauf hingewiesen, daß der AES-Algorithmus prinzipiell auch mit einer anderen Anzahl von Bits pro Block implementiert werden könnte.

Durch Inversion der Vektorgleichung, die in Fig. 3a gezeigt ist, wird die mathematische Vorschrift zum Berechnen der inversen affinen Abbildung, die durch das Rechenwerk 20 von Fig. 2 zu implementieren ist, erhalten.

Fig. 3b zeigt die Berechnungsvorschrift der- Gleichung von Fig. 3a mittels logischer Operatoren, wobei das Zeichen + für eine XOR-Verknüpfung steht, während das Zeichen - für eine NICHT- oder NOT-Operation steht. Die Addition, die durch die letzte Spalte von Fig. 3a dargestellt ist, kann im Dualsystem auch durch die NOT-Operation berechnet werden, je nachdem, was schaltungstechnisch günstiger ist. Fig. 4 zeigt eine schaltungstechnische Realisierung der in Fig. 3b gezeigten Gleichungen. Als Eingangswerte werden x₀ bis x eingegeben, um als Ausgangswerte y₀ bis yη zu erhalten. Die in Fig. 4 gezeigte Schaltung umfaßt acht XOR-Gatter 40 bis 47, wobei die Ausgänge der XOR-Gatter 40, 41, 45 und 46, wie es durch die in Fig. 3b gezeigten entsprechenden Gleichungen vorgegeben ist, invertiert sind.

Wie es aus Fig. 4 zu sehen ist, hat jedes der XOR-Gatter 40 bis 47 mehr als zwei Eingänge.

Eine Transistor-sparendere Implementation der in Fig. 3b gezeigten Berechnungsvorschrift ist in Fig.- 5 dargestellt. Fig. 5 umfaßt wieder ausschließlich XOR-Gatter 50 bis 65, wobei jedoch sämtliche Gatter ausschließlich zwei Eingänge und einen Ausgang haben. Mittels der XOR-Gatter 50 bis 53 werden erste Hilfsgrößen Hl bis H4 berechnet. Mittels der XOR-Gatter 54 bis 57 werden dann aus den ersten Hilfsgrößen Hl bis H4 zweite Hilfsgrößen H5 bis H8 berechnet. Die Ausgangswerte, also die substituierten Daten am Ausgang 16 von Fig. 1 bzw. y₀ bis y₇, werden schließlich durch die XOR-Gatter 58 bis 65 erhalten, wobei die Ausgänge der XOR-Gatter 58, 59, 63 und 64 invertiert sind, wie es durch die in Fig. 3b gezeigten Gleichungen vorgegeben ist.

Obgleich die in Fig. 5 gezeigte Schaltung mehr XOR-Gatter als die in Fig. 4 gezeigte Schaltung aufweist, wird sie dennoch bevorzugt, da jedes der in Fig. 5 gezeigten XOR-Gatter lediglich zwei Eingänge aufweist, so daß insgesamt eine Transi- storeinsparung erreicht werden kann.

Es sei darauf hingewiesen, daß weitere schaltungstechnische Implementationen der Teiloperation der affinen Abbildung bzw. der inversen affinen Abbildung implementiert werden können. Unabhängig davon, welche spezielle Implementation für das fest verdrahtete Rechenwerk zum Berechnen der affinen Abbil^¬ dung gewählt wird, oder ob die Berechnung der affinen Abbil- dung softwaremäßig implementiert wird, wird immer der Vorteil erhalten, daß sowohl die Entschlüsselungskomponente als auch die Verschlüsselungskomponente einer Kryptographievorrichtung dieselbe Nachschlagtabelle verwenden können, in der die mul- tiplikative Inverse tabellarisch abgespeichert ist.

Bezugszeichenliste

10 Einrichtung zum Ausführen der Teiloperation der multiplikativen Inversen 12 Rechenwerk zum Berechnen der affinen Abbildung 14 Eingang einer Verschlüsselungseinrichtung 16 Ausgang der Verschlüsselungseinrichtung

20 Rechenwerk zum Berechnen der inversen affinen Abbildung 22 Einrichtung zum Ausführen der Teiloperation der multiplikativen Inversen mittels einer Nachschlagtabelle 24 Ausgang der Entschlüsselungseinrichtung 26 Eingang der Entschlüsselungseinrichtung 40 - 47 XOR-Gatter mit mehr als zwei Eingängen 50 - 57 erster Satz von XOR-Gattern mit zwei Eingängen 58 - 65 zweiter Satz von XOR-Gattern mit zwei Eingängen 600 Eingangsbyte 620 Add-Round-Key-Funktion

630 XOR-Verschlüsselung mit dem AES-Rundenschlüssel 640 Bytesubstitutionsoperation mittels einer S-Box 650 Shift-Row-Funktion 60 Mix-Column-Funktion 20' Add-Round-Key-Funktion der nächsten Runde 630' XOR-Verschlüsselung für die nächste Runde

Claims

Patentansprüche

1. Verfahren zum Ausführen einer Bytesubstitutioήsoperation, wobei die Bytesubstitutionsoperation eine Teiloperation der affinen Abbildung und eine Teiloperation der multiplikativen Inversen aufweist, mit folgenden Schritten:

Ausführen (10) der Teiloperation der multiplikativen Inversen; und

Ausführen (12) der Teiloperation der affinen Abbildung mittels eines Rechenwerks.

2. Verfahren nach Anspruch 1, bei dem die Bytesubstitutions- Operation die Bytesubstitutionsoperation des AES-Algorithmus nach Rijndael ist.

3. Verfahren nach Anspruch 1 oder 2, bei dem der Schritt des Ausführens (10) der Teiloperation der multiplikativen Inver- sen mittels einer Nachschlagtabelle durchgeführt wird.

4. Verfahren gemäß einem der vorhergehenden Ansprüche, bei dem das Rechenwerk zum Berechnen der Teiloperation der affinen Abbildung eine CPU ist und die Berechnung in Software ausgeführt wird.

5. Verfahren gemäß einem der Ansprüche 1 bis 3, bei dem das Rechenwerk zum Berechnen der affinen Abbildung ein fest verdrahtetes Rechenwerk ist.

6. Verfahren gemäß Anspruch 5, bei dem das fest verdrahtete Rechenwerk zum Ausführen der Teiloperation der affinen Abbildung lediglich XOR-Gatter aufweist.

7. Verfahren gemäß Anspruch 6, bei dem jedes XOR-Gatter des fest verdrahteten Rechenwerks lediglich zwei Eingänge und ei^¬ nen Ausgang aufweist.

8. Verfahren gemäß Anspruch 7,

bei dem ein Dateneingangsblock für die Bytesubstitutionsope- ration eine Anzahl von Bits aufweist und ein Datenausgangsblock für die Bytesubstitutionsoperation dieselbe Anzahl von Bits aufweist, und

bei dem der Schritt des Ausführens der Teiloperation der af- finen Abbildung folgende Schritte aufweist:

Berechnen einer Anzahl von Hilfsgrößen (Hl - H8 ) unter Verwendung eines ersten Satzes von XOR-Gattern (50 - 57) mit jeweils genau zwei Eingängen, dessen Anzahl gleich der Anzahl der Hilfsgrößen ist, wobei die Anzahl der Hilfsgrößen gleich der Anzahl von Bits des Dateneingangsblocks ist; und

Berechnen der Bits (yo - y ) des Datenausgangsblocks unter Verwendung eines zweiten Satzes von XOR-Gattern (58 - 65) mit jeweils zwei Eingängen unter Verwendung der Bits" des Dateneingangsblocks und der Hilfsgrößen, wobei die Anzahl der XOR- Gatter (58 - 65) des zweiten Satzes gleich der Anzahl von Bits des Datenausgangsblocks ist.

-

9. Vorrichtung zum Ausführen einer Bytesubstitutionsoperation, wobei die Bytesubstitutionsoperation eine Teiloperation der affinen Abbildung und eine Teiloperation der multiplikativen Inversen aufweist, mit folgenden Merkmalen:

einer Einrichtung zum Ausführen (10) der Teiloperation der multiplikativen Inversen; und

einer Einrichtung zum Ausführen (12) der Teiloperation der affinen Abbildung mittels eines Rechenwerks.

10 . Symmetrisches Kryptographiesystem zum Ausführen einer Verschlüsselungsoperation und einer Entschlüsselungsoperation unter Verwendung eines Algorithmus, der eine Bytesubstitutionsoperation aufweist, die eine Teiloperation der affinen Abbildung und eine Teiloperation der multiplikativen Inversen aufweist, mit folgenden Merkmalen:

in einer Verschlüsselungseinrichtung:

eine Einrichtung zum Ausführen der Teiloperation der multiplikativen Inversen; und

ein Rechenwerk (12) zum Ausführen der Teiloperation der affinen Abbildung;

in einer Entschlüsselungseinrichtung:

ein Rechenwerk (20) zum Ausführen einer Operation, die zur Teiloperation der affinen Abbildung invers ist; und

eine Einrichtung (22) zum Ausführen der Teiloperation der multiplikativen Inversen,

wobei die Einrichtung (10) zum Ausführen der Teiloperation der multiplikativen Inversen in der Verschlüsselungseinrichtung und der Entschlusselungseinrichtung ausgebildet sind, um gemeinsam eine einzige Einrichtung zu verwenden, durch die die Teiloperation der multiplikativen Inversen bestimmbar ist.

11. Symmetrisches Kryptographiesystem nach Anspruch 10, bei dem die einzige Einrichtung eine einzige Nachschlagtabelle aufweist, in der die Teiloperation der multiplikativen Inversen tabellarisch gespeichert ist