מצב הפעלה של צופן בלוקים

מצב ECB

במצב ECB מחלקים את המסר לבלוקים בגודל ${\displaystyle \ n}$ סיביות, מרפדים את הבלוק האחרון בשיטת ריפוד מוסכמת אם אורך המסר אינו מתחלק בדיוק ב-${\displaystyle \ n}$ ומצפינים כל בלוק בנפרד כדלהלן:

הצפנה

עבור כל בלוק ${\displaystyle \ j}$ במסר ${\displaystyle \ x}$, בצע:

${\displaystyle \ c_{j}=E_{K}(x_{j})}$.

פענוח

אופן הפענוח זהה לחלוטין כאשר פונקציית הפענוח היא ${\displaystyle \ E_{K}^{-1}}$, עבור כל בלוק ${\displaystyle c_{j}}$ כאשר ${\displaystyle 1\leq j\leq t}$ בצע:

${\displaystyle x_{j}=E_{K}^{-1}(c_{j})}$.

מצב זה נקרא Electronic codebook מכיוון שתאורטית ניתן להכין מראש טבלת קידוד המכילה טור אחד של כל הבלוקים האפשריים של טקסט-גלוי וטור מתאים של כל בלוקי הצופן המתאימים ולהצפין את המסר באמצעות הטבלה. הרעיון תאורטי היות שאם ${\displaystyle \ n\geq 128}$, כמות הכניסות בטבלה תהיה אסטרונומית.

מצב זה נחשב לפחות בטוח אך יתרונו הוא שאין בו כשל מצטבר. כשל בקריאת או הצפנת סיבית אחת או יותר, עלול לקרות במקרה של ערוץ התקשורת לקוי או קובץ פגום. וכן מתאים להצפנה מקבילית, היות שאין תלות הדדית בין בלוקים.

תכונות ECB:

• בלוקים של טקסט-גלוי זהים מפיקים תמיד בלוקים של טקסט-מוצפן זהים - כל עוד מפתח ההצפנה זהה. לכן קל לזהות שהוצפנו בלוקים זהים.
• כשל מצטבר; שגיאה בסיבית אחת או יותר של בלוק טקסט-מוצפן משבשת את פענוח הבלוק הגלוי המתאים בלבד. יתר הבלוקים אינם משתבשים. פענוח של בלוק המכיל סיבית שגויה אחת יהיה אקראי, דהיינו בממוצע 50 אחוז מסיביות הבלוק יהיו שגויות.
• תלות הדדית; הבלוקים מוצפנים בנפרד ללא תלות זה בזה. שינוי סדר הבלוקים המוצפנים גורר אחריו לאחר פענוח שינוי בסדר הבלוקים הגלויים בהתאם. סידור מחדש או הסרה זדונית של בלוקים שלמים עלולים שלא להתגלות.

מצב CBC

מצב הפעלה Cipher-Block Chaining (שרשור בלוקים מוצפנים), משלב ווקטור אתחול IV באורך ${\displaystyle n}$ סיביות. במצב זה כל בלוק טקסט-קריא מחובר בחיבור בינארי המיוצג כאן על ידי ${\displaystyle \oplus }$ עם תוצאת הצפנת הבלוק הקודם לפני הצפנתו. היות שהבלוקים תלויים אחד בשני מכאן השם. תיאור השיטה:

הצפנה

${\displaystyle \ c_{0}={\mbox{IV}}}$, עבור כל בלוק ${\displaystyle \ j}$ במסר ${\displaystyle \ x}$ כאשר ${\displaystyle 1\leq j\leq t}$ בצע:

${\displaystyle \ c_{j}=E_{K}(c_{j-1}\oplus x_{j})}$.

פענוח

עבור כל בלוק ${\displaystyle c_{j}}$ כאשר ${\displaystyle 1\leq j\leq t}$ בצע:

${\displaystyle x_{j}=c_{j}\oplus E_{K}^{-1}(c_{j})}$. הפונקציה ${\displaystyle E_{K}^{-1}}$ היא פונקציית הפענוח.

תכונות CBC:

• שרשור; בהינתן בלוק טקסט-גלוי, מפתח הצפנה ווקטור אתחול זהים, יופק תמיד בלוק מוצפן זהה. לכן רצוי לשנות את וקטור האתחול, למשל על ידי מונה כך שבכל הצפנה הווקטור מקודם באחד (מצב שמדמה צופן זרם). או לשנות את המפתח.
• תלות הדדית; מנגנון השרשור של CBC גורם לתלות של כל בלוק צופן בבלוק שלפניו. סידור מחדש של בלוקים עלול להשפיע ישירות על תוצאות הפענוח של אותם בלוקים ועל כן יתגלה.
• כשל מצטבר. סיבית אחת או יותר שגויים בבלוק כלשהו, עשויים לגרום לתוצאות פענוח שגויות בבלוק הנוכחי ובבלוק הבא אחריו. יתרה מזו פענוח הבלוק הנוכחי יהיה אקראי (50% שגיאה) ובבלוק הבא אחריו תופיע השגיאה בדיוק באותן סיביות בהן ארעה בבלוק הקודם. לכן במחיר של איבוד בלוק אחד (הבלוק הראשון) היריב מסוגל לבצע שינויים זדוניים בסיביות מסוימות של הבלוק הבא אחריו מבלי שיתגלו.
• התאוששות עצמית; שיטת CBC בעלת סנכרון עצמי, במובן שבמקרה שגיאה אפילו כגון אם בלוק שלם או יותר מתוך הצופן שגויים או נעדרים לגמרי, רק הבלוק הבא לאחריהם לא יפוענח כראוי, כל היתר לא יפגעו. אולם יש לשים לב שבמקרה של כשל בקריאה או חוסר של סיביות במספר שאינו גודל הבלוק עשוי לגרום לפריצת גבולות הבלוק ולכן התאוששות תהיה בלתי אפשרית בבלוקים הבאים.
• מצב ההפעלה CBC אינו מתאים במקרה שדרושה גישה ישירה, כיוון ששגיאה בבלוק אחד בזמן הצפנה תגרור שגיאה בכל הבלוקים הבאים אחריו.
• היות שכל בלוק תלוי בקודמו CBC אינו מתאים ליישום מקבילי. מאותה סיבה כאשר יש צורך לשנות רק חלק מהבלוקים צריך להצפין מחדש את כולם.

מצב CFB

מצב Cipher Feedback שימושי כאשר יש צורך להצפין ולשדר מיידית בלוקי צופן הקטנים מ-${\displaystyle \ n}$ ללא תלות בבלוקים האחרים. השיטה משתמשת ברעיון אוגר זיזה המכיל פונקציה המשמשת להזנה חוזרת של בלוקי צופן והזזה של סיביות הבלוק כלפי מעלה, בכל שלב חלק מסוים מהאוגר משמש כבלוק הצופן הבא. השיטה מסומנת CFB-r כאשר ${\displaystyle r}$ מייצג את הכמות המינימלית של סיביות טקסט-קריא שהצופן מעבד ללא עיכוב. כדלהלן:

הצפנה

תחילה ${\displaystyle \ I_{0}={\mbox{IV}}}$ כאשר ${\displaystyle \ I}$ הנו אוגר זיזה.

עבור כל בלוק ${\displaystyle j}$ במסר ${\displaystyle \ x}$ בצע:

1. ${\displaystyle \ O_{j}=E_{K}(I_{j})}$
2. יהי ${\displaystyle \ t_{j}}$ שווה ${\displaystyle \ r}$ הסיביות הנמוכות ביותר (הראשונות) של ${\displaystyle \ O_{j}}$.
3. ${\displaystyle \ c_{j}=x_{j}\oplus t_{j}}$ (שדר ${\displaystyle \ r}$ סיביות צופן כבלוק ${\displaystyle \ c_{j}}$.
4. ${\displaystyle \ I_{j+1}=2^{r}\cdot I_{j}+c_{j}{\pmod {2^{n}}}}$. (הזז את סיביות ${\displaystyle \ c_{j}}$ למעלה ${\displaystyle \ r}$ צעדים).

פענוח

תהליך הפענוח זהה:

1. תחילה ${\displaystyle \ I_{1}={\mbox{IV}}}$. לאחר מכן עבור כל בלוק ${\displaystyle c_{j}}$ מבצעים:
2. ${\displaystyle \ x_{j}=c_{j}\oplus t_{j}}$,

כאשר ${\displaystyle t_{j},O_{j},I_{j}}$ מחושבים בדיוק כמו בתהליך ההצפנה. במצב זה לא משתמשים בפונקציית פענוח.

תכונות CFB:

• שרשור; כמו במצב CBC בהינתן בלוק טקסט-גלוי, מפתח הצפנה ווקטור אתחול זהים, יופק תמיד בלוק מוצפן זהה. לכן רצוי לשנות את וקטור האתחול.
• תלות הדדית; כמו במצב CBC מנגנון השרשור גורם לכך שכל בלוק מוצפן תלוי בבלוק המסר המתאים וב-${\displaystyle n/r}$ בלוקים מוצפנים קודמים. סידור מחדש של בלוקי צופן ישבש את הפענוח ולכן מתגלה מיד.
• כשל מצטבר; סיבית אחת או יותר שגויים בבלוק מוצפן בגודל ${\displaystyle r}$ סיביות משבש את הפענוח הבלוק הנוכחי ו-${\displaystyle n/r}$ הבלוקים הבאים. כלומר עד אשר ${\displaystyle \ n}$ סיביות צופן עובדו והבלוק השגוי הוזז לגמרי מתוך האוגר. יתרה מזו השגיאה תופיע בבלוק הנוכחי בדיוק בסיביות המקבילות בטקסט הגלוי וביתר הבלוקים באופן אקראי כך שבממוצע 50 אחוז יתקבל שגוי. התקפה אפשרית יכולה לנצל עובדה זו כדי לשנות סיביות ספציפיות מבלי שהשינוי יתגלה, אולם במחיר של שיבוש הבלוקים הבאים.
• התאוששות עצמית; מצב CFB מכיל סנכרון עצמי חלקי. במקרה שגיאה פענוח יחזור להיות תקין לאחר ${\displaystyle n/r}$ בלוקי צופן משובשים.
• הספק; במצב זה ההספק נמוך בהשוואה למצבים האחרים בפקטור של ${\displaystyle n/r}$. במובן שכל הרצה של פונקציית ההצפנה, מניבה רק ${\displaystyle r}$ סיביות מוצפנות.
• מצב CFB אינו יכול לשמש במקרה של צופן א-סימטרי כיוון שהשיטה מנצלת רק את פונקציית ההצפנה ופענוח נעשה באמצעות אותה פונקציה.

מצב OFB

מצב ההפעלה Output Feedback מדמה צופן זרם והוא שמיש במקרים בהם יש להימנע מכשל מצטבר לחלוטין. מצב זה דומה ל-CFB ומאפשר הצפנת בלוקים בכל גודל רצוי, אולם שונה בכך שפלט פונקציית ההצפנה עצמה משמש להזנה חוזרת, בשונה מהמצב הקודם שבו חלק מהטקסט המוצפן (לאחר XOR) משמש להזנה. תיאור המצב לפי תקן איזו 10116:

הצפנה

תחילה: ${\displaystyle \ I_{0}={\mbox{IV}}}$, ועבור כל בלוק ${\displaystyle \ j}$ במסר ${\displaystyle \ x}$ בצע:

1. ${\displaystyle \ O_{j}=E_{K}(I_{j})}$. (חשב את המפתח הבא להצפנת הבלוק הבא).
2. עבור ${\displaystyle \ r}$ כלשהו, ${\displaystyle \ r\leq n}$, בצע: ${\displaystyle \ t_{j}}$ שווה ${\displaystyle \ r}$ הסיביות הראשונות של ${\displaystyle \ O_{j}}$.
3. ${\displaystyle \ c_{j}=x_{j}\oplus t_{j}}$ (הצפן ושדר את ${\displaystyle \ r}$ הסיביות הנוכחיות).
4. ${\displaystyle \ I_{j+1}=O_{j}}$. (עדכן את הבלוק הבא).

פענוח

בדומה להצפנה,

1. תחילה ${\displaystyle \ I_{1}={\mbox{IV}}}$ ועבור כל בלוק ${\displaystyle \ c_{j}}$ בצע:
2. ${\displaystyle \ x_{j}=c_{j}\oplus t_{j}}$ כאשר ${\displaystyle \ t_{j}}$, ${\displaystyle \ O_{j}}$, ${\displaystyle \ I_{j}}$ מחושבים בדיוק כמו בתהליך ההצפנה, ללא שימוש בפונקציית פענוח.

גרסה נוספת של OFB לפי תקן FIPS 81: גרסה זו זהה למצב הפעלה OFB המתואר למעט השורה האחרונה המוחלפת ב:

${\displaystyle I_{j+1}=2^{r}\cdot I_{j}+t_{j}{\mbox{ mod }}2^{n}}$

מצב זה מאפשר הזזה של סיביות ההזנה ימינה לסוף אוגר ההזזה כך שרק ${\displaystyle r}$ סיביות משמשות להזזה. כאשר ${\displaystyle r<n}$ ראה להלן ביטחון המצב הזה נמוך מהמצופה.

תכונות OFB :

• שרשור; כמו במצבים הקודמים CBC ו-CFB וקטור האתחול אחראי לכך שבלוקי מסר זהים יוצפנו לבלוקי צופן שונים.
• תלות הדדית; זרם המפתח עצמאי ואינו תלוי בטקסט הגלוי. משמעות הדבר שווקטור האתחול חייב להיות שונה, אם משתמשים באותו מפתח להצפנת טקסט אחר, אחרת כמו בפנקס חד-פעמי XOR של שני בלוקים מוצפנים עם מפתח זהה למעשה מסיר את המפתח ונשארים רק עם בלוקים של טקסט-גלוי כשהם מעורבב זה בזה.
• כשל מצטבר; סיבית אחת או יותר שגויים בבלוק צופן נתון, ישפיעו אך ורק על אותם סיביות בבלוק הגלוי המתאים. כאשר סיביות אלו בבלוק המפוענח יהפכו למשלימים של סיביות המקוריות באותם המקומות.
• התאוששות עצמית; מצב OFB מסוגל להתאושש ממצב של סיביות שגויות אך לא ממצב של חוסר סיביות. בשל כך, כשל בקריאת בלוק צופן אחד או יותר, משבש את התיאום בין הבלוקים לבין זרם המפתח ותוצאת הפענוח מנקודה זו ואילך תהיה שגויה.
• הספק; אם ${\displaystyle r<n}$ הספק הפונקציה נמוך, בדיוק כמו ב-CFB. אולם מאחר שזרם המפתח אינו תלוי בבלוקי המסר או הצופן, ניתן לחשבו מראש (בהינתן וקטור אתחול כלשהו ומפתח K), מה שמאפשר ייעול תהליך ההצפנה.
• אפשר לראות שבמצב OFB כאשר המפתח אקראי כך ש-${\displaystyle E_{K}}$ הוא משתנה אקראי בטווח ${\displaystyle (2^{n})!}$ תמורות האפשריות, המחזוריות הצפויה של סיביות ההזנה לפני שהן חוזרות על עצמן היא ${\displaystyle 2^{n-1}}$. אולם במקרה שמספר סיביות ההזנה נמוך מ-${\displaystyle n}$ (כמו במקרה של תקן FIPS 81) המחזוריות הצפויה תהיה ${\displaystyle 2^{n/2}}$ לכן מומלץ להשתמש במלוא סיביות אוגר ההזזה.

מצב CTR

מצב מונה (Counter mode) בדומה למצב OFB משנה את התנהגות צופן הבלוקים לצופן זרם על ידי ייצור זרם מפתח מתוך המונה. בניגוד למצב OFB במצב זה מצפינים את המונה פעם אחר פעם, כאשר בכל שלב המונה משתנה ותוצאת כל הצפנה מהווה חלק מזרם המפתח איתו מצפינים את הבלוק הבא של המידע בחיבור XOR. בדרך זו אין מגבלה על גודל הבלוק וכן שינוי המונה ${\displaystyle I}$ יכול להתבצע בכל דרך נוחה כפונקציה כלשהי של המונה הקודם והוא אינו חייב להיות סודי, למשל: ${\displaystyle I_{j+1}=I_{j}+1}$ כמתואר בתרשים. לדוגמה:

עבור כל בלוק ${\displaystyle j}$ של המסר ${\displaystyle x}$ כאשר ${\displaystyle 1\leq j\leq t}$ ו-${\displaystyle i}$ הוא מונה המכיל ערך התחלתי כלשהו בדרך כלל וקטור אתחול הנקרא Nonce בהקשר זה. עם הפונקציה Increment שאחראית לעדכונו, בצע:

1. ${\displaystyle c_{j}=E_{K}(i)\oplus x_{j}}$
2. ${\displaystyle i={\text{Increment}}(i)}$

פענוח דומה. שים לב שמשתמשים בפונקציית ההצפנה בלבד כמו בצופן זרם, תחילה טוענים את הערך ההתחלתי של המונה ${\displaystyle i}$ ואז:

1. ${\displaystyle x_{j}=E_{K}(i)\oplus c_{j}}$
2. ${\displaystyle i={\text{Increment}}(i)}$

הפונקציה Increment יכולה להיות קידום המונה באחד או כל פונקציה אחרת, כל עוד מובטח שהמספר לא יחזור על עצמו בהצפנה של מסר נתון. אופן זה יעיל יותר ומספק רמת ביטחון טובה כ-OFB ובמיוחד התאוששות מהירה במקרה של כשל מכיוון ששיטה זו מאפשרת גישה אקראית, במילים אחרות אין צורך לחשב את הבלוק הקודם כדי לשחזר בלוק נוכחי. כמו כן מצב מונה נוח ליישום באופן מקבילי לשיפור ביצועים. זהו מצב יעיל ופופולרי מאוד כיום והומלץ על ידי מומחים רבים כמו נילס פרגוסון וברוס שנייר.

החיסרון של מצב מונה הוא ששינוי סיבית אחת של הצופן משפיע רק על הסיבית המקבילה בטקסט המקור. בתנאים מסוימים הדבר מאפשר התקפת הבחנה שבה התוקף מבצע Bit flipping (הפיכת סיביות) כדי להשיג מדע על הטקסט המוצפן.

אפשר לראות ששלושת המצבים האחרונים מיישמים הצפנת בלוקים באופן הדומה לצופן זרם, בכך שהם מייצרים זרם מפתח ייחודי באורך הטקסט הגלוי, התלוי בפרמטרים אחרים כגון בלוקי צופן קודמים או המפתח עצמו ובעזרת וקטור אתחול. בעיקרון אפשר בדרך זו, להתייחס לכל צופן בלוקים כאל צופן זרם.