التشفير الكتلي

تحتاج هذه المقالة إلى مصادر إضافية للتحقق . يُرجى المساعدة في تحسين هذه المقالة بإضافة مصادر موثوقة . قد يتم الطعن في المواد غير الموثقة وإزالتها. البحث عن المصادر:  "Block cipher" – الأخبار  · الصحف  · الكتب  · العلماء  · JSTOR ( أبريل 2012 ) ( تعرف على كيفية ووقت إزالة هذه الرسالة )

في التشفير ، التشفير الكتلي هو خوارزمية حتمية تعمل على مجموعات ذات طول ثابت من البتات ، تسمى الكتل . التشفير الكتلي هو اللبنات الأساسية للعديد من بروتوكولات التشفير . وهي موجودة في كل مكان في تخزين وتبادل البيانات، حيث يتم تأمين هذه البيانات ومصادقتها عبر التشفير .

تستخدم التشفير الكتلي الكتل كتحويل ثابت. حتى التشفير الكتلي الآمن مناسب لتشفير كتلة واحدة فقط من البيانات في كل مرة، باستخدام مفتاح ثابت. تم تصميم العديد من أوضاع التشغيل للسماح باستخدامها بشكل متكرر بطريقة آمنة لتحقيق أهداف الأمان المتمثلة في السرية والمصداقية . ومع ذلك، قد تتميز التشفير الكتلي أيضًا بكونها كتل بناء في بروتوكولات تشفير أخرى، مثل وظائف التجزئة الشاملة ومولدات الأرقام شبه العشوائية .

تتكون التشفير الكتلي من خوارزميتين مقترنتين ، واحدة للتشفير، E ، والأخرى لفك التشفير، D. ^[1] تقبل كلتا الخوارزميتين مدخلين: كتلة إدخال بحجم n بت ومفتاح بحجم k بت؛ وكلاهما ينتج كتلة إخراج n بت. يتم تعريف خوارزمية فك التشفير D على أنها الدالة العكسية للتشفير، أي D = E ⁻¹ . بشكل أكثر رسمية، [ ^{2] [3]} يتم تحديد التشفير الكتلي بواسطة دالة تشفير

${\displaystyle E_{K}(P):=E(K,P):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n},}$

الذي يأخذ كمدخل مفتاح K بطول بت k (يسمى حجم المفتاح )، وسلسلة بت P بطول n (يسمى حجم الكتلة )، ويعيد سلسلة C من n بت. يسمى P النص العادي ، ويسمى C النص المشفر . لكل K ، يجب أن تكون الدالة E _K ( P ) تعيينًا قابلًا للعكس على {0,1} ⁿ . يتم تعريف العكس لـ E كدالة

${\displaystyle E_{K}^{-1}(C):=D_{K}(C)=D(K,C):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n},}$

أخذ المفتاح K والنص المشفر C لإرجاع قيمة النص العادي P ، بحيث

${\displaystyle \forall P:D_{K}(E_{K}(P))=P.}$

على سبيل المثال، قد تأخذ خوارزمية تشفير كتلة كتلة من النص العادي بطول 128 بت كمدخل، وتخرج كتلة نص مشفر بطول 128 بت. يتم التحكم في التحويل الدقيق باستخدام مدخل ثانٍ - المفتاح السري. فك التشفير مشابه: تأخذ خوارزمية فك التشفير، في هذا المثال، كتلة نص مشفر بطول 128 بت مع المفتاح السري، وتنتج كتلة النص العادي الأصلية بطول 128 بت. ^[4]

لكل مفتاح K ، E _K هو تبديل ( تعيين ثنائي ) على مجموعة الكتل المدخلة. يختار كل مفتاح تبديلًا واحدًا من مجموعة التبديلات الممكنة. ^[5]${\displaystyle (2^{n})!}$

يعتمد التصميم الحديث للتشفير الكتلي على مفهوم تشفير المنتج المتكرر . في منشوره الرائد عام 1949، نظرية الاتصالات لأنظمة السرية ، قام كلود شانون بتحليل تشفير المنتج واقترحه كوسيلة لتحسين الأمان بشكل فعال من خلال الجمع بين العمليات البسيطة مثل الاستبدالات والتبديلات . ^[6] تنفذ تشفير المنتج المتكرر التشفير في جولات متعددة ، كل منها يستخدم مفتاحًا فرعيًا مختلفًا مشتقًا من المفتاح الأصلي. تم تنفيذ أحد التطبيقات الواسعة النطاق لمثل هذه التشفيرات المسماة شبكة Feistel على اسم هورست فيستيل بشكل ملحوظ في تشفير DES . ^[7] يتم تصنيف العديد من الإنجازات الأخرى للتشفير الكتلي، مثل AES ، على أنها شبكات استبدال وتبديل . ^[8]

يعود أصل جميع تنسيقات الكتل التشفيرية المستخدمة في معايير أمان بيانات صناعة بطاقات الدفع (PCI DSS) والمعهد الوطني الأمريكي للمعايير (ANSI) إلى Atalla Key Block (AKB)، والذي كان ابتكارًا رئيسيًا لـ Atalla Box ، أول وحدة أمان للأجهزة (HSM). تم تطويره في عام 1972 بواسطة محمد م. أتالا ، مؤسس شركة أتالا (الآن Utimaco Atalla )، وتم إصداره في عام 1973. كانت AKB عبارة عن كتلة مفاتيح مطلوبة لتبادل المفاتيح المتماثلة أو أرقام التعريف الشخصية بشكل آمن مع الجهات الفاعلة الأخرى في صناعة الخدمات المصرفية . يتم إجراء هذا التبادل الآمن باستخدام تنسيق AKB. ^[9] قام Atalla Box بحماية أكثر من 90٪ من جميع شبكات أجهزة الصراف الآلي العاملة اعتبارًا من عام 1998، ^[10] ولا تزال منتجات Atalla تؤمن غالبية معاملات أجهزة الصراف الآلي في العالم اعتبارًا من عام 2014. ^[11]

كان نشر تشفير DES من قبل المكتب الوطني للمعايير في الولايات المتحدة (لاحقًا المعهد الوطني للمعايير والتكنولوجيا في الولايات المتحدة ، NIST) في عام 1977 أمرًا أساسيًا في فهم الجمهور لتصميم التشفير الكتلي الحديث. كما أثر أيضًا على التطوير الأكاديمي للهجمات التحليلية للشفرات . نشأ كل من التحليل التفاضلي والخطي للشفرات من الدراسات حول تصميم DES. اعتبارًا من عام 2016 ، توجد مجموعة من تقنيات الهجوم التي يجب أن يكون التشفير الكتلي آمنًا ضدها، بالإضافة إلى كونه قويًا ضد هجمات القوة الغاشمة . ^[تحديث]

يتم تصنيف معظم خوارزميات التشفير الكتلي على أنها تشفير كتلي متكرر ، مما يعني أنها تحول كتل ذات حجم ثابت من النص العادي إلى كتل ذات حجم متطابق من النص المشفر ، من خلال التطبيق المتكرر للتحويل القابل للعكس المعروف باسم دالة الجولة ، مع الإشارة إلى كل تكرار على أنه جولة . ^[12]

عادةً، تأخذ الدالة الدائرية R مفاتيح دائرية مختلفة K _i كمدخل ثانٍ، والذي يتم اشتقاقه من المفتاح الأصلي: ^[13]

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})}$

أين هو النص العادي والنص المشفر، حيث r هو عدد الجولات. ${\displaystyle M_{0}}$${\displaystyle M_{r}}$

في كثير من الأحيان، يتم استخدام تبييض المفتاح بالإضافة إلى ذلك. في البداية والنهاية، يتم تعديل البيانات باستخدام مادة المفتاح (غالبًا باستخدام XOR ):

${\displaystyle M_{0}=M\oplus K_{0}}$

${\displaystyle M_{i}=R_{K_{i}}(M_{i-1})\;;\;i=1\dots r}$

${\displaystyle C=M_{r}\oplus K_{r+1}}$

في حالة استخدام أحد مخططات تصميم التشفير الكتلي المتكررة القياسية، فمن السهل إلى حد ما إنشاء تشفير كتلي آمن تشفيريًا، وذلك ببساطة عن طريق استخدام عدد كبير من الجولات. ومع ذلك، فإن هذا من شأنه أن يجعل التشفير غير فعال. وبالتالي، فإن الكفاءة هي المعيار الإضافي الأكثر أهمية في التصميم للتشفير الاحترافي. علاوة على ذلك، يتم تصميم التشفير الكتلي الجيد لتجنب هجمات القنوات الجانبية، مثل التنبؤ بالفرع والوصول إلى الذاكرة المعتمدة على الإدخال والتي قد تتسبب في تسريب البيانات السرية عبر حالة التخزين المؤقت أو وقت التنفيذ. بالإضافة إلى ذلك، يجب أن يكون التشفير موجزًا، للتطبيقات الصغيرة للأجهزة والبرامج.

يأخذ أحد الأنواع المهمة من التشفير الكتلي المتكرر المعروف باسم شبكة الاستبدال والتبديل (SPN) كتلة من النص العادي والمفتاح كمدخلات ويطبق عدة جولات متناوبة تتكون من مرحلة استبدال تليها مرحلة تبديل - لإنتاج كل كتلة من إخراج النص المشفر. ^[14] تخلط مرحلة الاستبدال غير الخطية بتات المفتاح مع تلك الموجودة في النص العادي، مما يخلق ارتباك شانون . ثم تبدد مرحلة التبديل الخطي التكرار، مما يخلق الانتشار . ^{[15] [16]}

يستبدل صندوق الاستبدال (صندوق S) كتلة صغيرة من بتات الإدخال بكتلة أخرى من بتات الإخراج. يجب أن يكون هذا الاستبدال واحدًا لواحد ، لضمان قابلية العكس (ومن ثم فك التشفير). سيكون لصندوق S الآمن الخاصية التي مفادها أن تغيير بت إدخال واحد سيغير حوالي نصف بتات الإخراج في المتوسط، مما يُظهر ما يُعرف بتأثير الانهيار - أي أنه يتمتع بالخاصية التي تجعل كل بت إخراج يعتمد على كل بت إدخال. ^[17]

صندوق التبديل (صندوق P) هو عبارة عن تبديل لجميع البتات: فهو يأخذ مخرجات جميع صناديق S في جولة واحدة، ويبدل البتات، ويغذيها في صناديق S في الجولة التالية. يتمتع صندوق P الجيد بخاصية توزيع بتات الإخراج لأي صندوق S على أكبر عدد ممكن من مدخلات صندوق S. ^{[ بحاجة لمصدر ]}

في كل جولة، يتم دمج مفتاح الجولة (الذي يتم الحصول عليه من المفتاح ببعض العمليات البسيطة، على سبيل المثال، باستخدام صناديق S وصناديق P) باستخدام بعض عمليات المجموعة، عادةً XOR . ^{[ بحاجة لمصدر ]}

يتم فك التشفير ببساطة عن طريق عكس العملية (باستخدام معكوسات صناديق S وصناديق P وتطبيق المفاتيح الدائرية بترتيب معكوس). ^[18]

في تشفير Feistel ، يتم تقسيم كتلة النص العادي المراد تشفيره إلى نصفين متساويين في الحجم. يتم تطبيق دالة التقريب على نصف واحد باستخدام مفتاح فرعي، ثم يتم إجراء عملية XOR على الناتج باستخدام النصف الآخر. ثم يتم تبديل النصفين. ^[19]

لتكن دالة الجولة ودع المفاتيح الفرعية للجولات على التوالي. ${\displaystyle {\rm {F}}}$${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$${\displaystyle 0,1,\ldots ,n}$

ثم تكون العملية الأساسية على النحو التالي: ^[19]

تقسيم كتلة النص العادي إلى قطعتين متساويتين، ( , ) ${\displaystyle L_{0}}$${\displaystyle R_{0}}$

لكل جولة ، احسب ${\displaystyle i=0,1,\dots ,n}$

${\displaystyle L_{i+1}=R_{i}\,}$

${\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}}(R_{i},K_{i})}$.

ثم النص المشفر هو . ${\displaystyle (R_{n+1},L_{n+1})}$

يتم فك تشفير النص المشفر عن طريق الحوسبة لـ${\displaystyle (R_{n+1},L_{n+1})}$${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle R_{i}=L_{i+1}\,}$

${\displaystyle L_{i}=R_{i+1}\oplus {\rm {F}}(L_{i+1},K_{i})}$.

ثم يأتي النص العادي مرة أخرى. ${\displaystyle (L_{0},R_{0})}$

إحدى مزايا نموذج فيستيل مقارنة بشبكة الاستبدال والتبديل هي أن الدالة الدائرية لا يجب أن تكون قابلة للعكس. ^[20]${\displaystyle {\rm {F}}}$

يقدم مخطط Lai–Massey خصائص أمان مماثلة لتلك الموجودة في بنية Feistel . كما يشترك في ميزة عدم ضرورة أن تكون الدالة الدائرية قابلة للعكس. وهناك تشابه آخر وهو أنه يقسم أيضًا كتلة الإدخال إلى قطعتين متساويتين. ومع ذلك، يتم تطبيق الدالة الدائرية على الفرق بين القطعتين، ثم تتم إضافة النتيجة إلى نصفي الكتلتين. ${\displaystyle \mathrm {F} }$

لتكن الدالة الدائرية ودالة نصف الدائرة ودع المفاتيح الفرعية للجولات على التوالي. ${\displaystyle \mathrm {F} }$${\displaystyle \mathrm {H} }$${\displaystyle K_{0},K_{1},\ldots ,K_{n}}$${\displaystyle 0,1,\ldots ,n}$

ثم تكون العملية الأساسية على النحو التالي:

تقسيم كتلة النص العادي إلى قطعتين متساويتين، ( , ) ${\displaystyle L_{0}}$${\displaystyle R_{0}}$

لكل جولة ، احسب ${\displaystyle i=0,1,\dots ,n}$

${\displaystyle (L_{i+1}',R_{i+1}')=\mathrm {H} (L_{i}'+T_{i},R_{i}'+T_{i}),}$

أين و${\displaystyle T_{i}=\mathrm {F} (L_{i}'-R_{i}',K_{i})}$${\displaystyle (L_{0}',R_{0}')=\mathrm {H} (L_{0},R_{0})}$

ثم النص المشفر هو . ${\displaystyle (L_{n+1},R_{n+1})=(L_{n+1}',R_{n+1}')}$

يتم فك تشفير النص المشفر عن طريق الحوسبة لـ${\displaystyle (L_{n+1},R_{n+1})}$${\displaystyle i=n,n-1,\ldots ,0}$

${\displaystyle (L_{i}',R_{i}')=\mathrm {H} ^{-1}(L_{i+1}'-T_{i},R_{i+1}'-T_{i})}$

أين و${\displaystyle T_{i}=\mathrm {F} (L_{i+1}'-R_{i+1}',K_{i})}$${\displaystyle (L_{n+1}',R_{n+1}')=\mathrm {H} ^{-1}(L_{n+1},R_{n+1})}$

ثم يأتي النص العادي مرة أخرى. ${\displaystyle (L_{0},R_{0})=(L_{0}',R_{0}')}$

العديد من التشفيرات الكتلية الحديثة وخوارزميات التجزئة هي خوارزميات ARX - تتضمن وظيفتها الدائرية ثلاث عمليات فقط: (أ) الإضافة المعيارية، (ر) التدوير بكميات دوران ثابتة، و(X) XOR . تشمل الأمثلة ChaCha20 و Speck و XXTEA و BLAKE . يرسم العديد من المؤلفين شبكة ARX، وهو نوع من مخطط تدفق البيانات ، لتوضيح مثل هذه الوظيفة الدائرية. ^[21]

تحظى عمليات ARX هذه بشعبية كبيرة لأنها سريعة نسبيًا ورخيصة في الأجهزة والبرامج، ويمكن تنفيذها بسهولة بالغة، وأيضًا لأنها تعمل في وقت ثابت، وبالتالي فهي محصنة ضد هجمات التوقيت . تحاول تقنية تحليل التشفير الدوراني مهاجمة مثل هذه الوظائف الدائرية.

تتضمن العمليات الأخرى المستخدمة غالبًا في تشفير الكتل عمليات التدوير المعتمدة على البيانات كما في RC5 و RC6 ، وصندوق الاستبدال الذي تم تنفيذه كجدول بحث كما في معيار تشفير البيانات ومعيار التشفير المتقدم ، وصندوق التباديل ، والضرب كما في IDEA .

تسمح طريقة التشفير الكتلي بحد ذاتها بتشفير كتلة بيانات واحدة فقط بطول كتلة التشفير. بالنسبة للرسالة ذات الطول المتغير، يجب أولاً تقسيم البيانات إلى كتل تشفير منفصلة. في أبسط الحالات، والمعروفة باسم وضع دفتر الرموز الإلكتروني (ECB)، يتم تقسيم الرسالة أولاً إلى كتل منفصلة بحجم كتلة التشفير (ربما مع تمديد الكتلة الأخيرة ببتات الحشو )، ثم يتم تشفير كل كتلة وفك تشفيرها بشكل مستقل. ومع ذلك، فإن هذه الطريقة الساذجة غير آمنة بشكل عام لأن كتل النص العادي المتساوية ستولد دائمًا كتل نص مشفر متساوية (لنفس المفتاح)، وبالتالي تصبح الأنماط في رسالة النص العادي واضحة في إخراج النص المشفر. ^[22]

للتغلب على هذا القيد، تم تصميم العديد من أوضاع تشغيل التشفير الكتلي ^{[23] [24]} وتم تحديدها في التوصيات الوطنية مثل NIST 800-38A ^[25] و BSI TR-02102 ^[26] والمعايير الدولية مثل ISO / IEC 10116. [ ^27] المفهوم العام هو استخدام عشوائية بيانات النص العادي بناءً على قيمة إدخال إضافية، تسمى غالبًا متجه التهيئة ، لإنشاء ما يسمى بالتشفير الاحتمالي . ^{[28] في وضع} تسلسل كتلة التشفير الشائع (CBC)، لكي يكون التشفير آمنًا، يجب أن يكون متجه التهيئة الذي يتم تمريره مع رسالة النص العادي قيمة عشوائية أو شبه عشوائية ، والتي تتم إضافتها بطريقة حصرية أو عشوائية إلى كتلة النص العادي الأولى قبل تشفيرها. ثم يتم استخدام كتلة النص المشفر الناتجة كمتجه تهيئة جديد لكتلة النص العادي التالية. في وضع ردود الفعل المشفرة (CFB)، الذي يحاكي تشفير التدفق المتزامن ذاتيًا ، يتم تشفير متجه التهيئة أولاً ثم إضافته إلى كتلة النص العادي. يقوم وضع ردود الفعل الناتجة (OFB) بتشفير متجه التهيئة بشكل متكرر لإنشاء تدفق مفتاح لمحاكاة تشفير التدفق المتزامن . يقوم وضع العداد (CTR) الأحدث بإنشاء تدفق مفتاح بشكل مماثل، ولكنه يتمتع بميزة الحاجة فقط إلى قيم فريدة وليست (شبه عشوائية) كمتجهات تهيئة؛ يتم اشتقاق العشوائية المطلوبة داخليًا باستخدام متجه التهيئة كعداد كتلة وتشفير هذا العداد لكل كتلة. ^[25]

من وجهة نظر نظرية الأمن ، يجب أن توفر طرق التشغيل ما يسمى بالأمان الدلالي . ^[29] بشكل غير رسمي، يعني هذا أنه في حالة وجود نص مشفر تحت مفتاح غير معروف، لا يمكن للمرء عمليًا استخلاص أي معلومات من النص المشفر (بخلاف طول الرسالة) على ما كان ليعرفه دون رؤية النص المشفر. وقد ثبت أن جميع الأوضاع التي تمت مناقشتها أعلاه، باستثناء وضع ECB، توفر هذه الخاصية في ظل ما يسمى بهجمات النص العادي المختار .

بعض الأوضاع مثل وضع CBC تعمل فقط على كتل نص عادي كاملة. إن مجرد تمديد الكتلة الأخيرة من الرسالة ببتات صفرية غير كافٍ لأنه لا يسمح للمستقبل بالتمييز بسهولة بين الرسائل التي تختلف فقط في عدد بتات الحشو. والأمر الأكثر أهمية هو أن مثل هذا الحل البسيط يؤدي إلى هجمات أوراكل حشو فعالة للغاية . ^{[30] لذلك هناك حاجة إلى} مخطط حشو مناسب لتمديد كتلة النص العادي الأخيرة إلى حجم كتلة التشفير. في حين ثبت أن العديد من المخططات الشائعة الموصوفة في المعايير وفي الأدبيات معرضة لهجمات أوراكل الحشو، ^{[30] [31]} ثبت أن الحل الذي يضيف بتًا واحدًا ثم يمد الكتلة الأخيرة ببتات صفرية، والموحد باسم "طريقة الحشو 2" في ISO/IEC 9797-1، ^[32] آمن ضد هذه الهجمات. ^[31]

يحتاج هذا القسم إلى التوسع من خلال: قد يكون من الضروري تقديم نماذج الهجوم لتقنيات تحليل الشفرات: النص المشفر فقط، النص العادي المعروف، النص العادي المختار، النص المشفر المختار، إلخ.. يمكنك المساعدة عن طريق الإضافة إليه. ( أبريل 2012 )

This section needs expansion with: Impact of key size and block size, discuss time–m to the birthday attack.. You can help by adding to it. (January 2019)

تؤدي هذه الخاصية إلى تدهور أمان التشفير بشكل تربيعي، ويجب أخذها في الاعتبار عند اختيار حجم الكتلة. ومع ذلك، هناك مقايضة حيث يمكن أن تؤدي أحجام الكتل الكبيرة إلى عدم كفاءة الخوارزمية في التشغيل. ^[33] اختارت تشفيرات الكتل السابقة مثل DES عادةً حجم كتلة 64 بت، بينما تدعم التصميمات الأحدث مثل AES أحجام كتلة 128 بت أو أكثر، مع دعم بعض التشفيرات لمجموعة من أحجام الكتل المختلفة. ^[34]

This section needs expansion. You can help by adding to it. (April 2012)

التحليل الخطي للشفرات هو شكل من أشكال التحليل الخطي يعتمد على إيجاد تقريبات متقاربة لفعل شفرة ما . التحليل الخطي للشفرات هو أحد الهجومين الأكثر استخدامًا على الشفرات الكتلية؛ والهجوم الآخر هو التحليل التفاضلي للشفرات . ^[35]

يعود الاكتشاف إلى ميتسورو ماتسوي ، الذي كان أول من طبق هذه التقنية على شفرة FEAL (ماتسوي وياماجيشي، 1992). ^[36]

التحليل الشفري التكاملي هو هجوم تحليلي للشفرات ينطبق بشكل خاص على الشفرات الكتلية القائمة على شبكات الاستبدال والتبديل. على عكس التحليل الشفري التفاضلي، الذي يستخدم أزواجًا من النصوص العادية المختارة مع فرق XOR ثابت، يستخدم التحليل الشفري التكاملي مجموعات أو حتى مجموعات متعددة من النصوص العادية المختارة التي يظل جزء منها ثابتًا ويتغير جزء آخر من خلال جميع الاحتمالات. على سبيل المثال، قد يستخدم الهجوم 256 نصًا عاديًا مختارًا تحتوي جميع بتاتها على نفس الشيء باستثناء 8 بتات، لكنها تختلف جميعًا في تلك البتات الثمانية. مثل هذه المجموعة لها بالضرورة مجموع XOR يساوي 0، وتوفر مجموعات XOR للمجموعات المقابلة من النصوص المشفرة معلومات حول تشغيل التشفير. ألهم هذا التباين بين الاختلافات بين أزواج النصوص ومجموعات المجموعات الأكبر من النصوص اسم "التحليل الشفري التكاملي"، مستعيرًا مصطلحات حساب ^{التفاضل والتكامل .}

بالإضافة إلى التحليل الخطي والتفاضلي للشفرات، هناك كتالوج متزايد من الهجمات: التحليل التفاضلي المقطوع ، والتحليل التفاضلي الجزئي، والتحليل التكاملي للشفرات ، والذي يشمل الهجمات المربعة والتكاملية، وهجمات الشريحة ، وهجمات الارتداد ، وهجوم XSL ، والتحليل التفاضلي المستحيل للشفرات ، والهجمات الجبرية. لكي يكون لتصميم التشفير الكتلي الجديد أي مصداقية، يجب أن يثبت وجود دليل على الأمان ضد الهجمات المعروفة. ^{[ بحاجة لمصدر ]}

عندما يتم استخدام شفرة كتلة في وضع تشغيل معين ، يجب أن تكون الخوارزمية الناتجة آمنة بشكل مثالي مثل شفرة الكتلة نفسها. تفتقر ECB (التي تمت مناقشتها أعلاه) بشكل قاطع إلى هذه الخاصية: بغض النظر عن مدى أمان شفرة الكتلة الأساسية، يمكن مهاجمة وضع ECB بسهولة. من ناحية أخرى، يمكن إثبات أن وضع CBC آمن على افتراض أن شفرة الكتلة الأساسية آمنة أيضًا. لاحظ، مع ذلك، أن إصدار بيانات مثل هذه يتطلب تعريفات رياضية رسمية لما يعنيه أن تكون خوارزمية التشفير أو شفرة الكتلة "آمنة". يصف هذا القسم مفهومين شائعين للخصائص التي يجب أن تتمتع بها شفرة الكتلة. يتوافق كل منهما مع نموذج رياضي يمكن استخدامه لإثبات خصائص الخوارزميات ذات المستوى الأعلى، مثل CBC.

هذا النهج العام في التشفير - إثبات أن الخوارزميات ذات المستوى الأعلى (مثل CBC) آمنة في ظل افتراضات صريحة بشأن مكوناتها (مثل التشفير الكتلي) - يُعرف بالأمان القابل للإثبات .

بشكل غير رسمي، تكون شفرة الكتلة آمنة في النموذج القياسي إذا لم يتمكن المهاجم من التمييز بين شفرة الكتلة (المزودة بمفتاح عشوائي) والتبديل العشوائي.

لكي نكون أكثر دقة، فلنجعل E عبارة عن تشفير كتلي مكون من n بت. لنتخيل اللعبة التالية:

1. الشخص الذي يدير اللعبة يرمي العملة المعدنية.
   • إذا سقطت العملة المعدنية على الوجه، فإنه يختار مفتاحًا عشوائيًا K ويحدد الدالة f = E _K.
   • إذا سقطت العملة المعدنية على الجانب الخلفي، فإنه يختار تبديلًا عشوائيًا π على مجموعة السلاسل المكونة من n بت ويحدد الدالة f = π .
2. يقوم المهاجم باختيار سلسلة مكونة من n بت وهي X ، ويخبره الشخص الذي يقوم بتشغيل اللعبة بقيمة f ( X ).
3. يتم تكرار الخطوة 2 إجماليًا q مرة. (كل من تفاعلات q هذه عبارة عن استعلام .)
4. يخمن المهاجم كيفية سقوط العملة المعدنية، ويفوز إذا كان تخمينه صحيحًا.

يُطلق على المهاجم، الذي يمكننا نمذجته كخوارزمية، اسم الخصم . وتُسمى الدالة f (التي كان الخصم قادرًا على الاستعلام عنها) اسم أوراكل .

لاحظ أن الخصم يمكنه ضمان فرصة فوز بنسبة 50% ببساطة عن طريق التخمين العشوائي (أو حتى عن طريق تخمين "الوجه" دائمًا على سبيل المثال). لذلك، دع P _E ( A ) تشير إلى احتمال فوز الخصم A في هذه اللعبة ضد E ، وحدد ميزة A على أنها 2( P _E ( A ) − 1/2). ويترتب على ذلك أنه إذا خمن A عشوائيًا، فستكون ميزته 0؛ من ناحية أخرى، إذا فاز A دائمًا، فستكون ميزته 1. تكون شفرة الكتلة E عبارة عن تبديل عشوائي زائف (PRP) إذا لم يكن لدى أي خصم ميزة أكبر بكثير من 0، مع مراعاة القيود المحددة على q ووقت تشغيل الخصم. إذا كان لدى الخصوم في الخطوة 2 أعلاه خيار تعلم f ⁻¹ ( X ) بدلاً من f ( X ) (ولكن لا يزال لديهم مزايا صغيرة فقط)، فإن E هي PRP قوية (SPRP). لا يكون الخصم متكيفًا إذا اختار جميع قيم q لـ X قبل بدء اللعبة (أي أنه لا يستخدم أي معلومات تم جمعها من الاستعلامات السابقة لاختيار كل X أثناء سير اللعبة).

لقد أثبتت هذه التعريفات فائدتها في تحليل أنماط التشغيل المختلفة. على سبيل المثال، يمكن للمرء أن يحدد لعبة مماثلة لقياس أمان خوارزمية تشفير تعتمد على التشفير الكتلي، ثم محاولة إظهار (من خلال حجة الاختزال ) أن احتمال فوز الخصم في هذه اللعبة الجديدة ليس أكثر بكثير من P _E ( A ) لبعض A. (يوفر الاختزال عادةً حدودًا على q ووقت تشغيل A. ) وعلى نحو مكافئ، إذا كانت P _E ( A ) صغيرة لجميع A ذات الصلة ، فلن يكون لدى أي مهاجم احتمال كبير للفوز باللعبة الجديدة. وهذا يضفي طابعًا رسميًا على فكرة أن الخوارزمية ذات المستوى الأعلى ترث أمان التشفير الكتلي.

This section needs expansion. You can help by adding to it. (April 2012)

يمكن تقييم التشفير الكتلي وفقًا لمعايير متعددة في الممارسة العملية. تشمل العوامل المشتركة ما يلي: ^{[37] [38]}

• المعلمات الرئيسية، مثل حجم المفتاح وحجم الكتلة، وكلاهما يوفر حدًا أعلى لأمان التشفير.
• مستوى الأمان المقدر ، والذي يعتمد على الثقة المكتسبة في تصميم التشفير الكتلي بعد أن صمد إلى حد كبير في وجه الجهود الكبرى في تحليل الشفرات بمرور الوقت، والسلامة الرياضية للتصميم، ووجود هجمات عملية أو شهاداتية ^{[39] .}
• تعقيد التشفير وملاءمته للتنفيذ في الأجهزة أو البرامج . قد تقيس عمليات التنفيذ في الأجهزة التعقيد من حيث عدد البوابات أو استهلاك الطاقة، وهي معلمات مهمة للأجهزة ذات الموارد المحدودة.
• أداء التشفير من حيث معدل المعالجة على منصات مختلفة، بما في ذلك متطلبات الذاكرة الخاصة به .
• تشير تكلفة التشفير إلى متطلبات الترخيص التي قد تنطبق بسبب حقوق الملكية الفكرية .
• تتضمن مرونة التشفير قدرتها على دعم أحجام مفاتيح متعددة وأطوال كتل .

يُعتبر لوسيفر عمومًا أول نظام تشفير مدني، تم تطويره في شركة آي بي إم في سبعينيات القرن العشرين بناءً على العمل الذي قام به هورست فيستيل . تم اعتماد نسخة منقحة من الخوارزمية كمعيار معالجة المعلومات الفيدرالية للحكومة الأمريكية : FIPS PUB 46 معيار تشفير البيانات (DES). ^[40] تم اختياره من قبل المكتب الوطني للمعايير (NBS) الأمريكي بعد دعوة عامة لتقديم الطلبات وبعض التغييرات الداخلية من قبل NBS (وربما وكالة الأمن القومي ). تم إصدار DES علنًا في عام 1976 وتم استخدامه على نطاق واسع. ^{[ بحاجة لمصدر ]}

صُممت تقنية تشفير البيانات من بين أمور أخرى لمقاومة هجوم تحليلي تشفيري معين معروف لوكالة الأمن القومي الأمريكية وأعادت شركة آي بي إم اكتشافه، رغم أنه لم يكن معروفًا للعامة حتى أعيد اكتشافه مرة أخرى ونشره إيلي بيهام وأدي شامير في أواخر الثمانينيات. تُسمى هذه التقنية التحليل التفاضلي للتشفير وتظل واحدة من الهجمات العامة القليلة ضد التشفير الكتلي؛ والتحليل الخطي للتشفير هو أسلوب آخر ولكن ربما كان غير معروف حتى لوكالة الأمن القومي الأمريكية، قبل نشره بواسطة ميتسورو ماتسوي . دفعت تقنية تشفير البيانات إلى قدر كبير من العمل والمنشورات الأخرى في مجال التشفير وتحليل الشفرات في المجتمع المفتوح وألهمت العديد من تصميمات التشفير الجديدة. ^{[ بحاجة لمصدر ]}

يبلغ حجم كتلة DES 64 بتًا وحجم مفتاح 56 بتًا. أصبحت الكتل ذات الـ 64 بتًا شائعة في تصميمات التشفير الكتلي بعد DES. يعتمد طول المفتاح على عدة عوامل، بما في ذلك التنظيم الحكومي. علق العديد من المراقبين ^{[ من؟ ]} في السبعينيات على أن طول المفتاح البالغ 56 بتًا المستخدم في DES كان قصيرًا جدًا. ومع مرور الوقت، أصبح عدم كفايته واضحًا، خاصة بعد أن تم عرض آلة خاصة الغرض مصممة لكسر DES في عام 1998 بواسطة مؤسسة Electronic Frontier Foundation . امتداد لـ DES، Triple DES ، يشفر كل كتلة ثلاث مرات إما بمفتاحين مستقلين (مفتاح 112 بت وأمان 80 بت) أو بثلاثة مفاتيح مستقلة (مفتاح 168 بت وأمان 112 بت). تم اعتماده على نطاق واسع كبديل. اعتبارًا من عام 2011، لا يزال الإصدار ثلاثي المفاتيح يعتبر آمنًا، على الرغم من أن معايير المعهد الوطني للمعايير والتكنولوجيا (NIST) لم تعد تسمح باستخدام الإصدار ثنائي المفتاح في التطبيقات الجديدة، بسبب مستوى الأمان الذي يبلغ 80 بت. ^[41]

خوارزمية تشفير البيانات الدولية ( IDEA ) عبارة عن تشفير كتلي صممه جيمس ماسي من المعهد الفيدرالي السويسري للتكنولوجيا في زيوريخ وشوجيا لاي ؛ وقد تم وصفها لأول مرة في عام 1991، كبديل مقصود لخوارزمية تشفير البيانات.

يعمل IDEA على كتل 64 بت باستخدام مفتاح 128 بت ويتكون من سلسلة من ثمانية تحويلات متطابقة ( جولة ) وتحويل إخراج ( نصف الجولة ). إن عمليات التشفير وفك التشفير متشابهة. يستمد IDEA الكثير من أمانه من خلال تداخل العمليات من مجموعات مختلفة - الجمع والضرب المعياري ، والحصري للبتات أو (XOR) - والتي "غير متوافقة" جبريًا بمعنى ما.

قام المصممون بتحليل IDEA لقياس قوتها ضد تحليل الشفرات التفاضلي وخلصوا إلى أنها محصنة ضد بعض الافتراضات. لم يتم الإبلاغ عن أي نقاط ضعف خطية^[update] أو جبرية ناجحة. اعتبارًا من عام 2012 ، يمكن لأفضل هجوم ينطبق على جميع المفاتيح كسر IDEA كاملًا من 8.5 جولة باستخدام هجوم ضيق ثنائي الشفرات أسرع بنحو أربع مرات من القوة الغاشمة.

RC5 عبارة عن تشفير كتلي صممه رونالد ريفست في عام 1994، وعلى عكس العديد من التشفيرات الأخرى، يحتوي على حجم كتلة متغير (32 أو 64 أو 128 بت) وحجم مفتاح (من 0 إلى 2040 بت) وعدد من الجولات (من 0 إلى 255). كان الاختيار الأصلي المقترح للمعلمات هو حجم كتلة 64 بت ومفتاح 128 بت و12 جولة.

إن إحدى السمات الرئيسية لخوارزمية RC5 هي استخدام الدورات المعتمدة على البيانات؛ وكان أحد أهداف خوارزمية RC5 هو تحفيز دراسة وتقييم مثل هذه العمليات باعتبارها بدائية تشفيرية. وتتكون خوارزمية RC5 أيضًا من عدد من الإضافات المعيارية وعمليات XOR. والبنية العامة للخوارزمية عبارة عن شبكة تشبه شبكة Feistel . ويمكن تحديد روتينات التشفير وفك التشفير في بضعة أسطر من التعليمات البرمجية. ومع ذلك، فإن جدول المفاتيح أكثر تعقيدًا، حيث يوسع المفتاح باستخدام دالة أحادية الاتجاه بشكل أساسي مع التوسعات الثنائية لكل من e والنسبة الذهبية كمصدر لـ " أرقام لا أعرف عنها شيئًا ". إن البساطة المغرية للخوارزمية جنبًا إلى جنب مع حداثة الدورات المعتمدة على البيانات جعلت من خوارزمية RC5 موضوعًا جذابًا للدراسة لمحللي الشفرات.

تكون شفرة RC5 المكونة من 12 جولة (مع كتل 64 بت) عرضة لهجوم تفاضلي باستخدام 2 ⁴⁴ نصًا عاديًا مختارًا. ^[42] يُقترح استخدام 18 إلى 20 جولة كحماية كافية.

كانت شفرة Rijndael التي طورها خبراء التشفير البلجيكيون جوان دايمن وفينسنت ريجمن أحد التصميمات المتنافسة لتحل محل معيار التشفير المتقدم. وقد فازت هذه الشفرة في المسابقة العامة التي استمرت خمس سنوات لتصبح معيار التشفير المتقدم (AES).

تم اعتماد AES بواسطة NIST في عام 2001، وله حجم كتلة ثابت يبلغ 128 بت وحجم مفتاح يبلغ 128 أو 192 أو 256 بت، بينما يمكن تحديد Rijndael بأحجام كتلة ومفتاح بأي مضاعفات لـ 32 بت، بحد أدنى 128 بت. ويبلغ الحد الأقصى لحجم الكتلة 256 بت، ولكن لا يوجد حد أقصى نظري لحجم المفتاح. يعمل AES على مصفوفة ترتيب رئيسية 4×4 أعمدة من البايتات، تسمى الحالة (تحتوي إصدارات Rijndael ذات حجم كتلة أكبر على أعمدة إضافية في الحالة).

Blowfish عبارة عن تشفير كتلي، صممه بروس شناير في عام 1993 وتم تضمينه في عدد كبير من مجموعات التشفير ومنتجات التشفير. يحتوي Blowfish على حجم كتلة 64 بت وطول مفتاح متغير من 1 بت إلى 448 بت. ^[43] إنه تشفير Feistel مكون من 16 جولة ويستخدم صناديق S كبيرة تعتمد على المفتاح . تشمل الميزات البارزة للتصميم صناديق S المعتمدة على المفتاح وجدول مفاتيح معقد للغاية.

تم تصميمها كخوارزمية عامة الغرض، ومقصود منها أن تكون بديلاً لخوارزمية DES القديمة وخالية من المشاكل والقيود المرتبطة بالخوارزميات الأخرى. في وقت إصدار Blowfish، كانت العديد من التصميمات الأخرى مملوكة، أو مثقلة ببراءات الاختراع ، أو كانت أسرارًا تجارية/حكومية. صرح شناير أن "Blowfish غير حاصلة على براءة اختراع، وستظل كذلك في جميع البلدان. ​​بموجب هذا، يتم وضع الخوارزمية في المجال العام ، ويمكن لأي شخص استخدامها بحرية". وينطبق الشيء نفسه على Twofish ، وهي خوارزمية خليفة من شناير.

This section needs expansion. You can help by adding to it. (June 2008)

وقد وصف م. ليسكوف، ور. ريفست، ود. فاغنر نسخة معممة من التشفير الكتلي تسمى التشفير الكتلي "القابل للتعديل". ^[44] يقبل التشفير الكتلي القابل للتعديل إدخالاً ثانيًا يسمى التعديل إلى جانب إدخال النص العادي أو النص المشفر المعتاد. يحدد التعديل، جنبًا إلى جنب مع المفتاح، التبديل الذي يحسبه التشفير. إذا كان تغيير التعديلات خفيفًا بدرجة كافية (مقارنة بعملية إعداد المفتاح المكلفة عادةً)، فإن بعض أوضاع التشغيل الجديدة المثيرة للاهتمام تصبح ممكنة. تصف مقالة نظرية تشفير القرص بعض هذه الأوضاع.

تعمل التشفيرات الكتلية تقليديًا على أبجدية ثنائية . وهذا يعني أن كلًا من المدخلات والمخرجات عبارة عن سلاسل ثنائية تتكون من n أصفار وواحدات. ومع ذلك، في بعض المواقف، قد يرغب المرء في الحصول على تشفير كتلي يعمل على بعض الأبجديات الأخرى؛ على سبيل المثال، قد يؤدي تشفير أرقام بطاقات الائتمان المكونة من 16 رقمًا بطريقة تجعل النص المشفر أيضًا عبارة عن رقم مكون من 16 رقمًا إلى تسهيل إضافة طبقة تشفير إلى البرامج القديمة. هذا مثال على التشفير المحافظ على التنسيق . وبشكل عام، يتطلب التشفير المحافظ على التنسيق تبديلًا مفتاحيًا على بعض اللغات المحدودة . وهذا يجعل مخططات التشفير المحافظ على التنسيق تعميمًا طبيعيًا للتشفير الكتلي (القابل للتعديل). وعلى النقيض من ذلك، فإن مخططات التشفير التقليدية، مثل CBC، ليست تبديلات لأن نفس النص العادي يمكنه تشفير نصوص مشفرة متعددة مختلفة، حتى عند استخدام مفتاح ثابت.

يمكن استخدام التشفير الكتلي لبناء بدائيات تشفير أخرى، مثل تلك الموضحة أدناه. ولكي تكون هذه البدائيات الأخرى آمنة تشفيريًا، يجب توخي الحذر لبنائها بالطريقة الصحيحة.

• يمكن إنشاء تشفيرات التدفق باستخدام تشفيرات الكتل. وضع OFB ووضع CTR هما وضعان كتلة يحولان تشفير الكتل إلى تشفير تدفق.
• يمكن بناء وظائف التجزئة التشفيرية باستخدام التشفير الكتلي. ^{[45] [46]} راجع وظيفة الضغط أحادية الاتجاه لوصف العديد من هذه الأساليب. تشبه الأساليب أوضاع تشغيل التشفير الكتلي المستخدمة عادةً للتشفير.
• يمكن إنشاء مولدات أرقام عشوائية زائفة آمنة تشفيريًا (CSPRNGs) باستخدام التشفير الكتلي. ^{[47] [48]}
• يمكن إنشاء ترتيبات عشوائية زائفة آمنة لمجموعات محدودة ذات أحجام عشوائية باستخدام التشفير الكتلي؛ راجع التشفير المحافظ على التنسيق .
• إن التبديل غير المتوقع المعروف علنًا مع تبييض المفتاح يكفي لإنشاء تشفير كتلة - مثل تشفير Even-Mansour أحادي المفتاح ، والذي ربما يكون أبسط تشفير كتلة يمكن إثباته. ^[49]
• غالبًا ما يتم إنشاء رموز مصادقة الرسائل (MACs) من التشفير الكتلي. CBC-MAC و OMAC و PMAC هي رموز MAC من هذا القبيل.
• يتم أيضًا إنشاء التشفير الموثق من خلال التشفير الكتلي. وهذا يعني التشفير وMAC في نفس الوقت. أي توفير السرية والمصادقة . تعد CCM و EAX و GCM و OCB من أنماط التشفير الموثق.

تمامًا كما يمكن استخدام التشفير الكتلي لبناء وظائف التجزئة، مثل SHA-1 وSHA-2 المستندة إلى التشفير الكتلي والتي تُستخدم أيضًا بشكل مستقل مثل SHACAL ، يمكن استخدام وظائف التجزئة لبناء التشفير الكتلي. ومن أمثلة هذه التشفير الكتلي BEAR وLION .

• ملخص أمان التشفير
• مواضيع في التشفير
• شيفرة XOR

• كنودسن، لارس ر.؛ روبشو، ماثيو (2011). رفيق التشفير الكتلي. سبرينغر. رقم ISBN 9783642173417.

• قائمة تحتوي على العديد من الخوارزميات المتماثلة، وأغلبها عبارة عن خوارزميات تشفير كتلية.
• صالة التشفير الكتلي
• ما هو التشفير الكتلي؟ من الأسئلة الشائعة حول RSA
• التشفير الكتلي المبني على تسلسلات الذهب ونظام الخيمة اللوجستية الفوضوية