zurück     Home

Twofish

Bruce Schneier entwickelte Twofish, um mit dieser Chiffre an der Auswahl zum AES teilzunehmen. Twofish belegte in der Runde der letzten Fünf den dritten Platz.

Twofish erlaubt die Schlüssellängen 128, 192 und 256 Bit. Es werden zwar auch andere Werte akzeptiert, diese Schlüssel werden dann allerdings mittels Padding auf eine der drei Standardlängen gebracht. Der Klartext wird in 128 Bit große Blöcke unterteilt und durchläuft 16 Runden des Algorithmus.

Der Textblock wird in vier 32-Bit-Worte aufgeteilt, die in der Inputverschleierung mit den 32-Bit-Teilschlüsseln K₀ bis K₃ XOR-verknüpft werden. Die Ergebnisse dieser Verknüpfungen sind die Worte R_0,0, R_0,1, R_0,2 und R_0,3, die den Input der folgenden Runde darstellen. In Bezug auf die jeweilige Runde r (mit r = 0,...,15) werden diese Worte als R_r,0, R_r,1, R_r,2 und R_r,3 bezeichnet.

Die Worte R_r,0 und R_r,1 dienen als Input der Funktion F. Hier rotiert R_r,1 zunächst um acht Positionen nach links, anschließend werden beide Worte in ihre vier Byte aufgeteilt und in den S-Boxen 0 bis 3 substituiert. Die Outputs der S-Boxen werden zu einem Vektor zusammengefasst und mit der Matrix MDS multipliziert. Die Matrix MDS ist über GF(2⁸) definiert als:

Die Ergebnisse hieraus sind als T₀ und T₁ bezeichnet. T₀ und T₁ werden nun einer Pseudo-Hadamard-Transformation unterzogen, indem T₁ zu T₀ modulo 2³² addiert wird und das Ergebnis zu T₁ modulo 2³² addiert wird. Danach wird zu beiden Ergebnissen je ein Teilschlüssel K_2r+8 bzw. K_2r+9 modulo 2³² addiert. Die Ergebnisse hieraus sind F_r,0 und F_r,1. R_r,2 wird nun mit F_r,0 XOR-verknüpft und rotiert um eine Position nach rechts. R_r,3 rotiert um eine Position nach links und wird anschließend mit F_r,1 XOR-verknüpft. Die Ergebnisse hieraus werden zu R_r+1,0 bzw. R_r+1,1 gesetzt und R_r,0 bzw. R_r,1 werden zu R_r+1,2 bzw. R_r+1,3 gesetzt. Dieser Vorgang wird insgesamt 16-mal durchgeführt.

Zum Abschluss wird die letzte Vertauschung der Worte rückgängig gemacht und die vier Worte R_16,0 bis R_16,3 werden in der Outputverschleierung mit den Teilschlüsseln K₄ bis K₇ XOR-verknüpft und anschließend aneinander gefügt.

Zur Entschlüsselung wird der Algorithmus in der gleichen Richtung durchlaufen, wie bei der Verschlüsselung. Die Teilschlüssel werden in umgekehrter Reihenfolge benutzt und die Rundenfunktion wird leicht modifiziert. Das Wort R_r,2 rotiert zunächst um eine Position nach links und wird dann mit F_r,0 XOR-verknüpft und R_r,3 wird erst mit F_r,1 XOR-verknüpft und rotiert dann um eine Position nach rechts. Das folgende Bild zeigt die Unterschiede zwischen Ver- und Entschlüsselung.

Der Algorithmus benutzt 40 Teilschlüssel K₀ bis K₃₉, sowie den Schlüsselvektor S, der zur Definition der S-Boxen benötigt wird. Der geheime Schlüssel hat die Länge k mit k = Länge in Bit dividiert durch 64. Die möglichen Werte von k sind k = 2, 3 und 4 für die Schlüssellängen 128, 192 und 256 Bit. Der geheime Schlüssel besteht aus 8×k Bytes m₀,...,m_8k-1. Diese Bytes dienen zunächst der Erzeugung des Vektors S, indem sie mit der Matrix RS in folgender Form multipliziert werden:

mit            i = 0,...,k – 1

und          

Anschließend werden die Bytes des geheimen Schlüssels zu 32-Bit Worten zusammengefasst und in zwei Feldern M_e und M_o der Länge k×32 Bit gespeichert. Dabei gilt:

                 M_e= (M₀,M₂,...,M_2k-2)

                 M_o= (M₁,M₃,…,M_2k-1)

Zur Erzeugung der Teilschlüssel K₀ bis K₃₉ wird die Funktion h benötigt. Diese nutzt zur Generierung der K_2j die Inputs 2j und M_e, die Teilschlüssel K_2j+1 nutzt mit die Inputs (2j + 1) und M_o. Die Inputs 2j bzw. (2j + 1) werden durch die festen Substitutionen q₀ und q₁ substituiert und anschließend mit einem Eintrag aus M_e bzw. M_o XOR-verknüpft. Die Ergebnisse durchlaufen nochmals eine Substitution und es erfolgt wiederum eine XOR-Verknüpfung mit einem Eintrag aus M_e bzw. M_o. Abschließend wird eine Substitution durchgeführt und die Ergebnisse werden zu einem Vektor zusammengefasst und mit der Matrix MDS multipliziert. Diese Zwischenergebnisse sind als A_j und B_j bezeichnet. Nachdem B_j um acht Positionen nach links rotiert ist, wird es zu A_j modulo 2³² addiert. Das Ergebnis hiervon wird wiederum zu B_j modulo 2³² addiert und rotiert anschließend um neun Positionen nach links. Die Erzeugung der Teilschlüssel K_2j und K_2j+1 ist im folgenden Bild für einen geheimen Schlüssel der Länge 128 Bit (k = 2) dargestellt.

Die S-Boxen sind bei Twofish vom Schlüssel abhängig, aber nicht zufällig. Sie bestehen aus den festen Substitutionstabellen q₀ und q₁, deren Ergebnisse mit den Einträgen des Vektors S XOR-verknüpft werden. Einen Überblick über die Funktionsweise der S-Boxen bietet das folgende Bild.

Twofish bietet hohe Sicherheit bei guter Leistung. Durch sein Design ist laut Bruce Schneier auch ein Einsatz als Stromchiffre und als Hashfunktion möglich.

zurück     Home

[Home] [IPSec] [SSL] [AES-Kandidaten] [Über mich] [Rechtliche Hinweise]