Национальный исследовательский ядерный университет (МИФИ), МоскваПолучено 18. IX.2012 Приведена атака на блочную шифрсистему ГОСТ 28147-89 с 12 связан-ными ключами. Она основана на комбинации методов бумеранга и связан-ных ключей и для произвольного s-бокса позволяет найти все 256 бит ключа шифрования. В ряде случаев ключ шифрования может быть найден на ЭВМ за приемлемое время. Abstract. A key-recovery attack on the full GOST 28147-89 block cipher with 12 related keys is described. The attack is based on the related-key and boomerang techniques and allows to find all 256 bits of the master key for arbitrary s-boxes. In some cases the attack has practical complexity.Key words: GOST 28147-89, related-key attack, boomerang attack Citation: Mathematical Aspects of Cryptography, 2013, vol. 4, no. 2, pp. 127-152 (Russian В данной работе проведена модификация атаки из [15], позволяющая восстановить весь ключ шифрования с 12 связанными ключами для произ-вольного s-бокса. В ряде случаев ключ определяется на ЭВМ за практически приемлемое время . При наличии линейного транслятора для его нахождения используется модификация различителя работы [15]. Для восстановления ра-ундовых ключей 25 и 26-го раундов применяется разностная характеристика, отличная от характеристики работы [15]. Предложенный способ нахождения ключа шифрования состоит из двух этапов. На первом этапе методом бу-меранга со связанными ключами определяются множества кандидатов в ра-ундовые ключи 32 и 31-го раундов, используя четверку связанных ключей. На втором этапе находятся множества кандидатов в раундовые ключи 30, 29,. . . , 25-го раундов разностным методом со связанными ключами (приме-няются пары связанных ключей). Каждый из этапов предполагает наличие двух модификаций в зависимости от свойств подстановки s 8 . Описание шифрсистемы ГОСТ 28147-89Пусть V n -n-мерное векторное пространство над полем GF(2); N -множество натуральных чисел, N 0 = N ∪ {0}; S(X) -множество всех подстановок на X; ⊕ -покоординатное сложение по модулю два векто-ров из V t , t ∈ N; α ≪ t (α ≫ t) -циклический сдвиг вектора α на t бит влево (вправо); + q -сложение по модулю q; запись x∈ U X означа-ет, что x случайно и равновероятно выбирается из множества X; X × = = X\{0}; K [r] − множество кандидатов в раундовые ключи r-го раунда; β = = (β 3 , . . . , β 0 ) ∈ V 4 ; β = β 7 , . . . , β 0 ∈ V 32 ; s = ( s 8 , . . . , s 1 ), s : V 32 → V 32 ,

Шифрсистема PRINT предложена на конференции CHES-2010. В настоящей работе вводится обобщенная шифрсистема PRINT (GPRINT). Для нее описывается класс ключей шифрования, для которых раундовые функции сохраняют некоторое нетривиальное подмножество блоков текстов. Также построен класс ключей, слабых относительно линейного метода. Ключевые слова: линейный метод, инвариантное подпространство, слабые ключи, блочная шифрсистема On classes of weak keys of generalized cryptosystem PRINT