Режим сцепления блоков шифротекста

Режим сцепления блоков шифротекста (англ. Cipher Block Chaining, CBC) — один из режимов шифрования для симметричного блочного шифра с использованием механизма обратной связи. Каждый блок открытого текста (кроме первого) побитово складывается по модулю 2 (операция XOR) с предыдущим результатом шифрования.

Шифрование может быть описано следующим образом:

\text{[math]}

C_{0}=IV

C_{0}=IV

\text{[math]}

C_{i}=E_{k}\left(P_{i}\oplus C_{i-1}\right)

C_{i}=E_{k}\left(P_{{i}}\oplus C_{{i-1}}\right)

где $\text{[math]}$ $\text{[math]}$ $i$ $i$ — номера блоков, $\text{[math]}$ $\text{[math]}$ $I V$ $IV$ — вектор инициализации (синхропосылка), $\text{[math]}$ $\text{[math]}$ $C_{i}$ $C_{i}$ и $\text{[math]}$ $\text{[math]}$ $P_{i}$ $P_{i}$ — блоки зашифрованного и открытого текстов соответственно, а $\text{[math]}$ $\text{[math]}$ $E_{k}$ $E_k$ — функция блочного шифрования. Расшифровка:

\text{[math]}

P_{i}=C_{i-1}\oplus D_{k}\left(C_{i}\right)

P_{i}=C_{{i-1}}\oplus D_{k}\left(C_{{i}}\right)

Шифрование в режиме CBC

Расшифрование в режиме CBC

Особенности:

Наличие механизма распространения ошибки: если при передаче произойдёт изменение одного бита шифротекста, данная ошибка распространится и на следующий блок. Однако на последующие блоки (через один) ошибка не распространится, поэтому режим CBC также называют самовосстанавливающимся^[1].
Неустойчив к ошибкам, связанным с потерей или вставкой битов, если не используется дополнительный механизм выравнивания блоков.
Злоумышленник имеет возможность добавить блоки к концу зашифрованного сообщения, дополняя тем самым открытый текст (однако без ключа получается мусор. А с использованием Hash функции для подтверждения целостности сообщения, сводит этот тип атаки на нет.)
Для очень крупных сообщений (32 Гбайта при длине блока 64 бита) всё-таки возможно применение атак, основанных на структурных особенностях открытого текста (следствие парадокса дней рождения).
Требует дополнения сообщений до длины кратной длине блока.
Уязвим для атаки оракула дополнений (англ: Padding Oracle). В случае, если атакующий может отправлять зашифрованные сообщения на расшифрование неограниченное количество раз, он может, изменяя определенные байты, угадать корректное дополнение. Это приводит к возможности расшифровать сообщение за исключением первого блока, создать корректное произвольное зашифрованное сообщение за исключением первого блока без знания ключа.

ПримечанияПравить

↑ Олег Зензин — Режимы шифрования, раздел Накопление ошибок в различных режимах шифрования (неопр.). Дата обращения: 3 августа 2011. Архивировано 20 августа 2011 года.

ЛитератураПравить

Шнайер Б. 9.3. Режим сцепления блоков шифротекста // Прикладная криптография. Протоколы, алгоритмы, исходные тексты на языке Си = Applied Cryptography. Protocols, Algorithms and Source Code in C. — М.: Триумф, 2002. — С. 225—229. — 816 с. — 3000 экз. — ISBN 5-89392-055-4.

[1] Олег Зензин — Режимы шифрования, раздел Накопление ошибок в различных режимах шифрования (неопр.). Дата обращения: 3 августа 2011. Архивировано 20 августа 2011 года.

[1]