Cifrado de Feistel

Muchos cifrados simétricos modernos utilizan redes Feistel, y la estructura y las propiedades de los cifrados Feistel han sido ampliamente exploradas por los criptógrafos. En concreto, Michael Luby y Charles Rackoff analizaron la construcción del cifrado de bloques Feistel y demostraron que si la función de ronda es una función pseudoaleatoria criptográficamente segura, con K_i utilizado como semilla, entonces 3 rondas son suficientes para que el cifrado de bloques sea una permutación pseudoaleatoria, mientras que 4 rondas son suficientes para que sea una permutación pseudoaleatoria "fuerte" (lo que significa que sigue siendo pseudoaleatoria incluso para un adversario que obtenga acceso de oráculo a su permutación inversa). Debido a este importante resultado de Luby y Rackoff, los cifradores Feistel se denominan a veces cifradores de bloque Luby-Rackoff. Otros estudios teóricos generalizaron la construcción y definieron límites más precisos para la seguridad.

Sea F {\displaystyle {\rm {F}} la función de ronda y sea K 1 , K 2 , ... , K n {\displaystyle K_{1},K_{2},\ldots ,K_{n}}las subclaves de las rondas 1 , 2 , ... , n {\displaystyle 1,2,\ldots ,n} respectivamente.

Entonces, la operación básica es la siguiente:

Dividir el bloque de texto plano en dos trozos iguales, ( L 1 {\displaystyle L_{1}} , R 1 {\displaystyle R_{1}} )

Para cada ronda i = 1 , 2 , ... , n {\displaystyle i=1,2,\dots ,n} , compute (calcule)

L i + 1 = R i {\displaystyle L_{i+1}=R_{i},}

R i + 1 = L i ⊕ F ( R i , K i ) {\displaystyle R_{i+1}=L_{i}\oplus {\rm {F}(R_{i},K_{i})} .

Entonces el texto cifrado es ( R n + 1 , L n + 1 ) {\displaystyle (R_{n+1},L_{n+1})} . (Comúnmente, las dos piezas R n {\displaystyle R_{n}} y L n {\displaystyle L_{n}} no se intercambian después de la última ronda).

El descifrado de un texto cifrado ( R n , L n ) {\displaystyle (R_{n},L_{n})} se realiza calculando para i = n , n - 1 , ... , 1 {\displaystyle i=n,n-1,\ldots ,1}

R i = L i + 1 {\displaystyle R_{i}=L_{i+1},}

L i = R i + 1 ⊕ F ( L i + 1 , K i ) {\displaystyle L_{i}=R_{i+1}\oplus {\rm {F}(L_{i+1},K_{i})} .

Entonces ( L 1 , R 1 ) {\displaystyle (L_{1},R_{1})} es de nuevo el texto plano.

Una de las ventajas de este modelo es que la función redonda F no tiene que ser invertible, y puede ser muy compleja.

El diagrama ilustra el proceso de cifrado. El descifrado sólo requiere invertir el orden de la subclave K n , K n - 1 , ... , K 1 {{displaystyle K_{n},K_{n-1},\ldots ,K_{1}} utilizando el mismo proceso; ésta es la única diferencia entre el cifrado y el descifrado:

Los cifrados Feistel desequilibrados utilizan una estructura modificada en la que L 1 {pantalla L_{1}} y R 1 {pantalla R_{1}} no tienen la misma longitud. El cifrado MacGuffin es un ejemplo experimental de este tipo de cifrado.

La construcción Feistel también se utiliza en algoritmos criptográficos distintos de los cifrados por bloques. Por ejemplo, el esquema Optimal Asymmetric Encryption Padding (OAEP) utiliza una red Feistel simple para aleatorizar los textos cifrados en ciertos esquemas de cifrado de clave asimétrica.

Feistel o Feistel modificado: Blowfish, Camellia, CAST-128, DES, FEAL, ICE, KASUMI, LOKI97, Lucifer, MARS, MAGENTA, MISTY1, RC5, TEA, Triple DES, Twofish, XTEA, GOST 28147-89

Feistel generalizado: CAST-256, MacGuffin, RC2, RC6, Skipjack