Penyandian blok

Penyandian blok adalah penyandian kunci simetris yang bekerja pada sekelompok bit berukuran tetap yang disebut blok. Mereka tergolong komponen dasar dan dipakai dalam banyak protokol kriptografi dan enkripsi data berukuran besar.

Meski penyandian blok hanya cocok untuk mengenkripsi satu blok data dalam satu waktu dan satu kunci, beberapa mode operasi penyandian blok telah didesain untuk membolehkan penyandian blok dipakai berulang secara aman untuk mencapai keamanan konfidensial dan autentik. Namun, penyandian blok juga bisa jadi komponen pembangun dalam berbagai protokol kriptografi, seperti fungsi hash universal dan pembangkit bilangan acak semu.

Suatu penyandian blok terdiri dari sepasang algoritme: enkripsi E dan dekripsi D.^[1] Kedua algoritme menerima dua masukan: blok data berukuran n bit dan kunci berukuran k bit. Algoritme dekripsi adalah inversi fungsi enkripsi, yaitu . Secara matematis,^[2]^[3] suatu penyandian blok didefinisikan oleh sebuah fungsi enkripsi

E_{K}(P)=E(K,P):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n}

yang menerima kunci K berukuran k bit (disebut ukuran kunci) dan teks asal P berukuran n (disebut ukuran blok) serta mengeluarkan teks tersandi C berukuran n bit. Untuk tiap K, fungsi E_K(P) wajib memiliki pemetaan yang dapat dibalik dalam ${0, 1} n$ . Inversi fungsi E didefinisikan sebagai fungsi

E_{K}^{-1}(C)=D_{K}(C)=D(K,C):\{0,1\}^{k}\times \{0,1\}^{n}\rightarrow \{0,1\}^{n}

yang menerima kunci K dan teks tersandi C serta mengeluarkan teks asal P dengan syarat

\forall K:D_{K}(E_{K}(P))=P.

Misalnya, sebuah penyandian blok menerima blok teks asal 128 bit sebagai masukan dan mengeluarkan blok teks tersandi 128 bit. Transformasi yang dilakukan bergantung pada kunci yang diberikan. Dekripsi juga mirip, yaitu menerima blok teks tersandi 128 bit sebagai masukan dan mengeluarkan blok teks asal 128 bit dengan kunci yang diberikan.^[4]

Untuk tiap kunci K, E_K adalah permutasi (pemetaan bijektif) dari blok masukan. Tiap kunci memilih satu permutasi dari $(2 n)!$ kemungkinan.^[2]

Penyandian blok iteratif

Penyandian blok iteratif mengubah teks asal ke teks tersandi dengan ukuran yang sama melalui transformasi-transformasi berbalik yang diterapkan berulang-ulang dan dikenal sebagai fungsi ronde.^[5]

Fungsi ronde R menerima kunci ronde K_i yang diturunkan dari kunci utama serta dapat didefinisikan sebagai berikut:

M_{i}=R_{K_{i}}(M_{i-1})

dengan M₀ adalah teks asli dan M_r adalah teks tersandi dengan r adalah jumlah ronde.

Pemutihan kunci dapat ditambahkan. Pada awal atau akhir, data diubah dengan kunci melalui operasi tertentu seperti XOR, penjumlahan, dan pengurangan.

{\begin{aligned}M_{0}&=M\oplus K_{0}\\M_{i}&=R_{K_{i}}(M_{i-1});\;i=1\dots r\\C&=M_{r}\oplus K_{r+1}\end{aligned}}

Dari satu skema penyandian blok iteratif standar, penyandian blok yang aman secara kriptografi bisa dibuat dengan jumlah ronde yang besar. Namun, hal itu akan membuat penyandian menjadi tidak efisien.

Jaringan substitusi–permutasi

Thumb — Sketsa jaringan substitusi–permutasi dengan tiga ronde yang mengenkripsi blok 16 bit. Kotak-S dinamai $S i$ , kotak-P dinamai $P i$ , dan kunci ronde dinamai $K i$ .

Jaringan substitusi–permutasi (jaringan SP) menerima blok teks asal dan kunci sebagai masukan, kemudian melakukan beberapa ronde yang terdiri dari substitusi dan permutasi (secara bergiliran) sehingga dihasilkan blok tersandi.^[6] Bagian substitusi mencampurkan kunci dengan teks asal sehingga menciptakan pengacakan Shannon; bagian permutasi menghamburkan kemubaziran sehingga menciptakan penghamburan Shannon.^[7]^[8]

Kotak substitusi (kotak-S) menukar nilai dalam blok ke nilai lain. Penukarannya harus korespondensi satu-satu untuk memastikan bahwa hasilnya bisa diinversi atau dideskripsi. Kotak-S yang baik akan memiliki sifat bahwa mengganti satu bit pada masukan akan mengubah paling tidak setengah bit pada keluaran (efek salju longsor). Kotak ini juga memiliki sifat bahwa tiap bit keluaran bergantung pada tiap bit masukan.^[9]

Kotak permutasi (kotak-P) adalah permutasi semua bit: ia mengambil keluaran dari kotak-S sebelumnya, mengubah susunan bitnya, dan disebar secara acak merata ke kotak-S selanjutnya. Kotak-P yang baik memiliki sifat bahwa bit hasil kotak-S disebar merata ke sebanyak mungkin kotak-S lain.

Pada tiap ronde, kunci ronde dibuat dengan operasi tertentu, seperti XOR.

Dekripsi dilakukan dengan membalik prosesnya, termasuk menggunakan inversi kotak-S dan inversi kotak-P serta menggunakan kunci ronde dalam urutan terbalik.^[10]

Sandi Feistel

Dalam sandi Feistel, blok teks asal yang akan dienkripsi dibagi dua bagian. Fungsi ronde diterapkan pada salah satu bagian dengan kunci ronde, lalu keluarannya di-XOR dengan bagian yang lain. Kedua bagian lalu ditukar.^[9]

Misalkan F sebagai fungsi ronde dan $K_{0},K_{1},\dots ,K_{n}$ sebagai subkunci untuk ronde ke- $0,1,\dots ,n.$

Proses enkripsi dasar adalah sebagai berikut:

Bagi blok teks asal menjadi dua bagian sama besar, yaitu L₀ dan R₀.
Untuk tiap ronde ke- $i=0,1,\dots ,n$ , hitung
$L_{i+1}=R_{i}$

$R_{i+1}=L_{i}\oplus \operatorname {F} (R_{i},K_{i})$

dengan $\oplus$ adalah operasi XOR.
Hasilnya adalah teks tersandi $(R n + 1, L n + 1).$

Proses dekripsi dasar adalah sebagai berikut:

Bagi blok teks tersandi menjadi dua bagian sama besar, yaitu R_{n + 1} dan L_{n + 1}.
Untuk tiap ronde ke- $i=n,n-1,\dots ,0$ , hitung
$R_{i}=L_{i+1}\,$

$L_{i}=R_{i+1}\oplus \operatorname {F} (L_{i+1},K_{i}).$
Hasilnya adalah teks asli $(L 0, R 0).$

Keuntungan jaringan Feistel dibandingkan desain penyandian lain, misal jaringan substitusi–permutasi, adalah bahwa seluruh operasi dijamin dapat dibalik, yaitu hasil enkripsi dapat didekripsi, meski fungsi ronde tidak memiliki inversi.^[9]

Skema Lai–Massey

Skema Lai–Massey menawarkan sifat yang mirip dengan struktur Feistel. Skema ini juga memiliki keuntungan bahwa fungsi ronde tidak harus memiliki inversi. Ia juga membagi masukan menjadi dua bagian. Namun, fungsi ronde menerima selisih dua bagian dan hasilnya ditambahkan ke kedua bagian.

Misalkan F sebagai fungsi ronde, H sebagai fungsi setengah ronde, dan $K_{0},K_{1},\dots ,K_{n}$ sebagai subkunci untuk ronde ke- $0,1,\dots ,n.$

Proses enkripsi dasar adalah sebagai berikut:

Bagi blok teks asal menjadi dua bagian sama besar, yaitu L₀ dan R₀.
Untuk tiap ronde ke- $i=0,1,\dots ,n$ , hitung
$(L_{i+1}',R_{i+1}')=\operatorname {H} (L_{i}'+T_{i},R_{i}'+T_{i})$

dengan $T_{i}=\operatorname {F} (L_{i}'-R_{i}',K_{i})$ and $(L_{0}',R_{0}')=\operatorname {H} (L_{0},R_{0}).$
Hasilnya adalah teks tersandi $(L n + 1, R n + 1) = (L' n + 1, R' n + 1).$

Proses dekripsi dasar adalah sebagai berikut:

Bagi blok teks tersandi menjadi dua bagian sama besar, yaitu L_{n + 1} dan R_{n + 1}.
Untuk tiap ronde ke- $i=n,n-1,\dots ,0$ , hitung
$(L_{i}',R_{i}')=\operatorname {H} ^{-1}(L_{i+1}'-T_{i},R_{i+1}'-T_{i})$

dengan $T_{i}=\operatorname {F} (L_{i+1}'-R_{i+1}',K_{i})$ and $(L_{i+1}',R_{i+1}')=\operatorname {H} ^{-1}(L_{i+1},R_{i+1}).$
Hasilnya adalah teks asli $(L 0, R 0) = (L' 0, R' 0).$

Operasi tertentu

ARX (tambah-putar-XOR)

Banyak penyandian blok modern dan hash yang termasuk algoritme ARX (add-rotate-XOR). Fungsi rondenya hanya terdiri dari tiga operasi: penambahan dengan modulus, rotasi dengan jumlah tetap, dan operasi XOR. Contohnya ada ChaCha20, Speck, XXTEA, dan BLAKE (fungsi hash). Fungsi ronde jaringan ARX biasa digambarkan dengan diagram alir data.^[11]

Operasi ARX ini terkenal karena cepat dan murah bagi perangkat lunak dan keras. Implementasinya dapat dibuat sangat sederhana. Karena berjalan dalam waktu tetap (konstan), operasi ini juga kebal terhadap serangan pewaktuan. Teknik analisis kriptografi rotasi berusaha untuk menyerang fungsi rondenya.

Operasi lainnya

Operasi lain yang biasa dipakai dalam penyandian blok antara lain rotasi menurut data seperti RC5 dan RC6, kotak substitusi yang diimplementasikan dalam tabel pencarian seperti Standar Enkripsi Data (DES) dan Standar Enkripsi Laanjutan (AES), kotak permutasi, dan perkalian seperti IDEA.

Penyandian blok sendiri hanya bisa mengenkripsi satu blok data dengan ukuran yang sama dengan ukuran blok penyandiannya. Untuk pesan berukuran beragam, data tersebut harus dibagi-bagi menjadi berukuran yang sama dengan ukuran blok. Contoh sederhananya adalah buku kode elektronik (ECB), yaitu pesan dibagi dan diberi isian bila kurang (biasanya pada akhir), lalu dienkripsi dan didekripsi secara mandiri. Namun, cara ini kurang aman karena teks asal yang sama akan menghasilkan teks tersandi yang sama sehingga dapat dikenali polanya.^[2]

Untuk mengatasinya, beberapa mode operasi penyandian blok telah didesain^[2]^[12] dan ditulis dalam rekomendasi nasional, seperti NIST 800-38A^[13] dan BSI TR-02102,^[14] serta standar internasional, seperti ISO/IEC 10116.^[15] Konsepnya secara umum adalah menggunakan nilai acak ke teks asal dari masukan tambahan, biasa disebut vektor inisialisasi, untuk membuat enkripsi probabilistik.^[3]

Dalam mode perantaian penyandian blok (CBC), agar enkripsi aman, vektor inisialisasi harus acak atau acak semu yang kemudian dilakukan XOR dengan blok teks asal sebelum dienkripsi. Hasil enkripsi menjadi vektor inisialisasi enkripsi blok selanjutnya. Dalam mode umpan balik penyandian (CFB), vektor inisialisasi dienkripsi terlebih dahulu, lalu ditambahkan ke blok teks asal. Keluaran mode umpan balik keluaran (OFB) secara berulang mengenkripsi variabel inisialisasi untuk membuat aliran kunci yang menggambarkan penyandian aliran sinkron. Mode pencacah yang lebih baru juga membuat aliran kunci, tetapi hanya membutuhkan nilai unik dan tidak acak (semu) sebagai vektor inisialisasi. Nilai acaknya didapatkan secara internal dengan menggunakan vektor inisialisasi sebagai pencacah blok dan mengenkripsi nilai pencacah tersebut untuk tiap blok.^[13]

Dari sudut pandang keamanan teoretis, mode operasi harus memberikan keamanan yang dikenal sebagai keamanan semantik.^[3] Secara nonformal, itu berarti bahwa, bila diketahui teks tersandi, tiada informasi yang bisa didapatkan, kecuali ukuran teks asal, selain yang bisa didapatkan tanpa mengetahui teks tersandi itu. Telah terbukti bahwa semua mode operasi yang dijelaskan di atas, kecuali mode ECB, memiliki sifat ini yang dikenal sebagai serangan teks asal terpilih.

Beberapa mode operasi seperti mode CBC hanya beroperasi pada blok teks asal lengkap. Penambahan bit nol pada akhir blok tidak cukup karena tidak membedakan data berakhiran nol dengan bantalan. Terlebih lagi, cara tersebut menjadikan penyandian rentan terhadap serangan ramalan bantalan.^[16] Skema bantalan yang baik dibutuhkan untuk menambah teks asal agar sama dengan kelipatan ukuran blok. Walau banyak skema terkenal yang dijelaskan dalam standar dan literatur telah terbukti rentang terhadap serangan ramalan bantalan,^[16]^[17] sebuah cara yang menambahkan sebuah bit satu (1) lalu mengisi sisanya dengan bit nol (0) distandarkan sebagai padding method 2 dalam ISO/IEC 9797-1^[18] dan telah dibuktikan aman terhadap serangan-serangan tersebut.^[17]

[1]
Cusick, Thomas W.; Stanica, Pantelimon (2009). Cryptographic Boolean functions and applications. Academic Press. hlm. 158–159. ISBN 978-0-1237-4890-4.
[2]
Menezes, Alfred J.; van Oorschot, Paul C.; Vanstone, Scott A. (1996). "Chapter 7: Block Ciphers". Handbook of Applied Cryptography. CRC Press. ISBN 0-8493-8523-7. Diarsipkan dari versi asli tanggal 2021-02-03. Diakses tanggal 2012-07-15.
[3]
Bellare, Mihir; Rogaway, Phillip (11 Mei 2005), Introduction to Modern Cryptography (Catatan kuliah), bab 3.
[4]
Chakraborty, D.; Rodriguez-Henriquez, F. (2008). "Block Cipher Modes of Operation from a Hardware Implementation Perspective". Dalam Koç, Çetin K. Cryptographic Engineering. Springer. hlm. 321. ISBN 978-0-3877-1816-3.
[5]
Junod, Anne; Canteaut (2011). Advanced Linear Cryptanalysis of Block and Stream Ciphers. IOS Press. hlm. 2. ISBN 978-1-6075-0844-1.
[6]
Keliher, Liam; et al. (2000). "Modeling Linear Characteristics of Substitution–Permutation Networks". Dalam Hays, Howard; Carlisle, Adam. Selected areas in cryptography: 6th annual international workshop, SAC'99, Kingston, Ontario, Canada, August 9–10, 1999: proceedings. Springer. hlm. 79. doi:10.1007/3-540-46513-8. ISBN 978-3-5406-7185-5.
[7]
Baigneres, Thomas & Finiasz, Matthieu (2007). "Dial 'C' for Cipher". Dalam Biham, Eli; Yousseff, Amr. Selected areas in cryptography: 13th international workshop, SAC 2006, Montreal, Canada, August 17–18, 2006: revised selected papers. Springer. hlm. 77. ISBN 978-3-5407-4461-0.
[8]
Cusick, Thomas W. & Stanica, Pantelimon (2009). Cryptographic Boolean functions and applications. Academic Press. hlm. 164. ISBN 978-0-1237-4890-4.
[9]
Katz, Jonathan; Lindell, Yehuda (2008). Introduction to modern cryptography. CRC Press. ISBN 978-1-5848-8551-1.
[10]
Subhabrata Samajder (2017). Block Cipher Cryptanalysis: An Overview. Kolkata: Indian Statistical Institute. hlm. 5/52.
[11]
Aumasson, Jean-Philippe; Bernstein, Daniel J. (18 September 2012). "SipHash: a fast short-input PRF" (PDF): 5.
[12]
"Block Cipher Modes". NIST Computer Security Resource Center.
[13]
Morris Dworkin (Desember 2001). "Recommendation for Block Cipher Modes of Operation – Methods and Techniques" (PDF). Special Publication 800-38A. National Institute of Standards and Technology (NIST).
[14]
"Kryptographische Verfahren: Empfehlungen und Schlüssellängen". Bsi Tr-02102 (Technische Richtlinie) (Version 1.0). 20 Juni 2008.
[15]
ISO/IEC 10116:2006 "Information technology — Security techniques — Modes of operation for an n-bit block cipher" Periksa nilai |url= (bantuan).
[16]
Serge Vaudenay (2002). "Security Flaws Induced by CBC Padding Applications to SSL, IPSEC, WTLS...". Advances in Cryptology – EUROCRYPT 2002, Proc. International Conference on the Theory and Applications of Cryptographic Techniques. Springer Verlag (2332): 534–545.
[17]
Kenneth G. Paterson; Gaven J. Watson (2008). "Immunising CBC Mode Against Padding Oracle Attacks: A Formal Security Treatment". Security and Cryptography for Networks – SCN 2008. Lecture Notes in Computer Science. Springer Verlag (5229): 340–357.
[18]
"ISO/IEC 9797-1: Information technology – Security techniques – Message Authentication Codes (MACs) – Part 1: Mechanisms using a block cipher". ISO/IEC. 2011.

Knudsen, Lars R.; Robshaw, Matthew (2011). The Block Cipher Companion. Springer. ISBN 978-3-6421-7341-7.

(Inggris) Daftar algoritme simetris, kebanyakan termasuk penyandian blok
(Inggris) Penyandian blok
(Inggris) "What is a block cipher?" oleh RSA
(Inggris) Block Cipher based on Gold Sequences and Chaotic Logistic Tent System

[1] [1]
Cusick, Thomas W.; Stanica, Pantelimon (2009). Cryptographic Boolean functions and applications. Academic Press. hlm. 158–159. ISBN 978-0-1237-4890-4.

[menezes1996-2] [2]
Menezes, Alfred J.; van Oorschot, Paul C.; Vanstone, Scott A. (1996). "Chapter 7: Block Ciphers". Handbook of Applied Cryptography. CRC Press. ISBN 0-8493-8523-7. Diarsipkan dari versi asli tanggal 2021-02-03. Diakses tanggal 2012-07-15.

[bellare2005-3] [3]
Bellare, Mihir; Rogaway, Phillip (11 Mei 2005), Introduction to Modern Cryptography (Catatan kuliah), bab 3.

[4] [4]
Chakraborty, D.; Rodriguez-Henriquez, F. (2008). "Block Cipher Modes of Operation from a Hardware Implementation Perspective". Dalam Koç, Çetin K. Cryptographic Engineering. Springer. hlm. 321. ISBN 978-0-3877-1816-3.

[5] [5]
Junod, Anne; Canteaut (2011). Advanced Linear Cryptanalysis of Block and Stream Ciphers. IOS Press. hlm. 2. ISBN 978-1-6075-0844-1.

[6] [6]
Keliher, Liam; et al. (2000). "Modeling Linear Characteristics of Substitution–Permutation Networks". Dalam Hays, Howard; Carlisle, Adam. Selected areas in cryptography: 6th annual international workshop, SAC'99, Kingston, Ontario, Canada, August 9–10, 1999: proceedings. Springer. hlm. 79. doi:10.1007/3-540-46513-8. ISBN 978-3-5406-7185-5.

[7] [7]
Baigneres, Thomas & Finiasz, Matthieu (2007). "Dial 'C' for Cipher". Dalam Biham, Eli; Yousseff, Amr. Selected areas in cryptography: 13th international workshop, SAC 2006, Montreal, Canada, August 17–18, 2006: revised selected papers. Springer. hlm. 77. ISBN 978-3-5407-4461-0.

[8] [8]
Cusick, Thomas W. & Stanica, Pantelimon (2009). Cryptographic Boolean functions and applications. Academic Press. hlm. 164. ISBN 978-0-1237-4890-4.

[katz2008-9] [9]
Katz, Jonathan; Lindell, Yehuda (2008). Introduction to modern cryptography. CRC Press. ISBN 978-1-5848-8551-1.

[10] [10]
Subhabrata Samajder (2017). Block Cipher Cryptanalysis: An Overview. Kolkata: Indian Statistical Institute. hlm. 5/52.

[11] [11]
Aumasson, Jean-Philippe; Bernstein, Daniel J. (18 September 2012). "SipHash: a fast short-input PRF" (PDF): 5.

[NISTmodes-12] [12]
"Block Cipher Modes". NIST Computer Security Resource Center.

[nist800-38a-13] [13]
Morris Dworkin (Desember 2001). "Recommendation for Block Cipher Modes of Operation – Methods and Techniques" (PDF). Special Publication 800-38A. National Institute of Standards and Technology (NIST).

[BSIrec-14] [14]
"Kryptographische Verfahren: Empfehlungen und Schlüssellängen". Bsi Tr-02102 (Technische Richtlinie) (Version 1.0). 20 Juni 2008.

[15] [15]
ISO/IEC 10116:2006 "Information technology — Security techniques — Modes of operation for an n-bit block cipher" Periksa nilai |url= (bantuan).

[vaudenay2002-16] [16]
Serge Vaudenay (2002). "Security Flaws Induced by CBC Padding Applications to SSL, IPSEC, WTLS...". Advances in Cryptology – EUROCRYPT 2002, Proc. International Conference on the Theory and Applications of Cryptographic Techniques. Springer Verlag (2332): 534–545.

[paterson2008-17] [17]
Kenneth G. Paterson; Gaven J. Watson (2008). "Immunising CBC Mode Against Padding Oracle Attacks: A Formal Security Treatment". Security and Cryptography for Networks – SCN 2008. Lecture Notes in Computer Science. Springer Verlag (5229): 340–357.

[18] [18]
"ISO/IEC 9797-1: Information technology – Security techniques – Message Authentication Codes (MACs) – Part 1: Mechanisms using a block cipher". ISO/IEC. 2011.

[1]

[2]

[3]

[4]

[5]

[6]

[7]

[8]

[9]

[10]

[11]

[12]

[13]

[14]

[15]

[16]

[17]

[18]