KR100885994B1 - 비선형 필터링된 ｔ함수에 기반한 스트림 암호화 장치 및방법 - Google Patents

Abstract

본 발명은 하드웨어 구현에 적합한 새로운 단일궤도 T-함수를 이용한 스트림 암호 알고리즘을 개시한다. 본 발명의 장치는 32 비트 워드 4개로 이루어진 128 비트 내부 상태를 이용하여 16비트 4워드의 함수값을 생성하는 T함수부;와 상기 T함수부의 출력을 입력받아 연산하는 16비트 덧셈기의 함수 출력 16 비트와, 서메이션 제너레이터(Summation Generator)를 동작시켜 나온 16 비트 출력을 XOR 연산하여 한 클럭 당 16 비트 출력 키 수열을 생성하는 비선형 필터로 구성된다. 본 발명은 기존에 하드웨어 구현에 주로 사용된 기본 논리인 LFSR을 대체할 수 있는 새로운 기본 논리인 단일궤도 T-함수를 사용하므로 스트림 암호 알고리즘의 주요 특성인 주기성을 보장하고, 주요 분석 방법인 상관관계 공격에 내성을 제공한다. 특히, 최근 강력한 분석 방법으로 제안된 대수적 공격에 강한 내성을 제공한다. 또한, 비트 슬라이스(Bit Slice) 기법을 이용하여 저전력 환경에 적합하도록 하드웨어 구현을 할 수 있다.

T함수, 스트림 암호, 비선형 필터, LFSR, 서메이션 제너레이터

Description

비선형 필터링된 Ｔ함수에 기반한 스트림 암호화 장치 및 방법{NON-LINEAR FILTERED T-FUNCTION BASED STREAM CIPHER APPARATUS AND METHOD}

도 1은 본 발명에 따른 단일궤도 T-함수를 이용한 스트림 암호화 장치의 전체 구성도,

도 2는 도 1에 도시된 T-함수 내부 상태 4워드를 도시한 도면,

도 3은 도 1에 도시된 T-함수 내부 상태의 i 번째 비트들의 정수 표현을 도시한 도면,

도 4는 도 1에 도시된 41차 LFSR의 동작방식을 도시한 도면.

*도면의 주요부분에 대한 부호의 설명

10: T함수부 12-1,12-2: S박스

14: 먹스 16: 레지스터

18: 파라미터생성기 20: 비선형 필터

22,24-3: 16비트 덧셈기 24: 서메이션 제너레이터

24-1,24-2 LFSR 26: XOR

본 발명은 스트림 암호화 장치 및 방법에 관한 것으로, 더욱 상세하게는 하드웨어 구현에 적합한 새로운 단일궤도 T-함수를 이용한 스트림 암호화 장치 및 방법에 관한 것이다.

최근 스트림 암호 알고리즘의 활용 요구 환경은 고속 소프트웨어 환경이나 경량 하드웨어 환경으로 대별된다. 이중 하드웨어 환경에 적합하도록 설계된 현재까지의 알고리즘들은 주로 LFSR(Linear Feedback Shift Register) 기반으로 GSM에 사용되는 A5, 블루투스(Bluetooth)에 사용되는 E0 등의 알고리즘들이 있다. 하지만 2000년 초반 이후 프랑스 연구자 N. Courtois 등에 의해 소개된 대수적 공격에 의하면, LFSR 기반 스트림 암호 알고리즘의 취약점이 다수 발견되어 소개되었다.

한편, 스트림 암호 내부 논리로 사용할 수 있는 T-함수는 수학적 이론으로 약 30년 전부터 연구되어진 이론이고, 2002년 A. Klimov와 A. Shamir에 의해 암호학적 논리로 사용 가능성이 처음 소개되었다. 이후 이들이 지속적으로 연구하여 T-함수의 특성을 연구 발표하였으나 이 결과들은 대부분 소프트웨어 전용으로 연구된 것이다.

그런데 최근 유비쿼터스 환경의 도래로 경량 환경에 적합한 알고리즘 개발이 정보보호 연구의 중요한 아이템이 되고 있다. 하지만, 종래의 스트림 암호 분야에는 이를 대표할만한 표준 알고리즘이 존재하지 않고 있어, 현재 유럽에서는 ECRYPT 프로젝트를 통해 표준 알고리즘 개발을 위한 공모사업을 시행 중이다.

본 발명은 상기와 같은 필요성을 충족시키기 위해 제안된 것으로, 본 발명의 목적은 종래의 스트림 암호 특성을 유지하면서 최근 스트림 암호 알고리즘의 신규 분석 기술로 주목받고 있는 대수적 공격방법에 내성을 지니며, 경량 하드웨어 구현에 적합한 비선형 필터링된 T함수(Non-Linear Filtered T-function)에 기반한 스트림 암호화 장치 및 방법을 제공하는 것이다.

상기와 같은 목적을 달성하기 위하여 본 발명의 장치는 32 비트 워드 4개로 이루어진 128 비트 내부 상태를 이용하여 16비트 4워드의 함수값을 생성하는 T함수부;와 상기 T함수부의 출력을 입력받아 연산하는 16비트 덧셈기의 함수 출력 16 비트와, 서메이션 제너레이터(Summation Generator)를 동작시켜 나온 16 비트 출력을 XOR 연산하여 한 클럭 당 16 비트 출력 키 수열을 생성하는 비선형 필터로 구성된 것을 특징으로 한다.

상기 T함수부는 32비트x4 워드를 입력받아 1회 혹은 6회 연산하는 4x4 행렬의 S박스와, 생성된 파라미터 p(x)의 i번째 비트 [p(x)]_i 가 1일 경우 상기 1회 연산한 S박스를 선택하고 0일 경우 상기 6회 연산한 S박스를 선택하는 먹스와, 32비 트 워드가 저장된 32비트x4 레지스터와, 상기 레지스터의 워드 데이터를 입력받아 상기 먹스로 32비트 파라미터 p(x)를 출력하는 파라미터 생성기로 구성되고,

상기 비선형 필터의 서메이션 제너레이터는 41 비트 LFSR과, 43 비트 LFSR과, 상기 41 비트 LFSR의 16비트 출력과 상기 43 비트 LFSR의 16비트 출력을 덧셈하는 16비트 덧셈기로 이루어진다.

또한 상기와 같은 목적을 달성하기 위하여 본 발명의 방법은, 212 비트의 내부 상태를 80 비트 키(K)와 80 비트의 초기값(IV)을 사용하여 초기화하는 초기화 과정; 32 비트 워드 4개로 이루어진 128 비트 내부 상태를 이용하여 16비트 4워드의 함수값을 생성하는 T함수 생성 과정; 및 상기 생성된 T함수값을 입력받아 16비트 덧셈한 후 함수 출력 16 비트와 서메이션 제너레이터(Summation Generator)를 동작시켜 나온 16 비트 출력을 XOR 연산하여 한 클럭 당 16 비트 출력 키 수열을 생성하는 비선형 필터 과정을 포함하여 구성된다.

이하, 첨부된 도면을 참조하여 본 발명의 바람직한 실시예를 자세히 설명하기로 한다.

도 1은 본 발명에 따른 단일궤도 T-함수를 이용한 스트림 암호 장치의 전체 구성도이고, 도 2는 도 1에 도시된 T-함수 내부 상태 4워드를 도시한 도면이며, 도 3은 도 1에 도시된 T-함수 내부 상태의 i 번째 비트들의 정수 표현을 도시한 도면이고, 도 4는 도 1에 도시된 41차 LFSR의 동작방식을 도시한 도면이다.

본 발명의 스트림 암호 장치는 도 1에 도시된 바와 같이, T-함수부(10)와 비 선형 출력 필터(20)로 이루어져 212 비트의 내부 상태를 80 비트 키(K)와 80 비트의 초기값(IV)을 사용한 초기화 과정을 거쳐 설정한다. T-함수부(10)는 4x4 S박스(12-1,12-2)와, MUX(14), 32비트x4 레지스터(16), 파라미터 생성기(18)로 구성되고, 비선형 필터(20)는 16비트 덧셈기(22)와, 41 비트 LFSR(24-1)과 43 비트 LFSR(24-2), 16비트 덧셈기(24-3)로 이루어진 서메이션 제너레이터(Summation Generator:24)와, XOR(26)로 구성된다.

비선형 출력 필터(20)에서는 T-함수부(10)의 출력을 입력받아 연산하는 16비트 덧셈기(22)의 함수 출력 16 비트와, Summation Generator(24)를 동작시켜 나온 16 비트 출력을 XOR(16)연산하여 한 클럭 당 16 비트 출력 키 수열을 생성한다.

T함수부(10)는 32 비트 4개의 워드 x₀,x₁,x₂,x₃ 로 이루어진 128 비트 내부 상태로, 수학식1의 파라미터 p(x), 수학식2의 내부상태 표현, 수학식3의 4x4 S-box S를 사용하여 갱신한다.

이 과정에 사용되는

는 비트별 AND, <<는 좌측이동,

는 비트별 XOR를 나타내고 모든 덧셈은 2³²을 법으로 하여 계산한다.

(x), o(x), e(x)는 p(x)를 정의하기 위한 임시 파라미터들이다.

T-함수의 입력으로 받은 4개의 워드를 x₀,x₁,x₂,x₃ 로 표기하며, 이는 도 2에 도시된 바와 같다. 4개의 워드 x₃,...,x₀ 의 i번째 비트들 (i=0,....,31)을 사용하여 다음 수학식2와 같은 방법으로 0부터 15 사이의 정수 [x]_i를 도 3과 같이 생성한다.

T-함수의 내부 상태 갱신을 위해 사용되는 4×4 S-box (12-1,12-2) S는 다음 수학식3과 같다.

S[16]={4,11,5,6,8,9,1,13,10,0,12,2,15,3,7,14}
예를 들어 S[0]는 4를 S[1]은 11로 계산된다.

이 S 정보와 미리 계산된 파라미터 p(x) 를 이용한 내부 상태의 갱신 방법은 다음과 같다.

첫째, p(x)의 i번째 비트(i=0,...,31) [p(x)]_i 가 1일 경우, [x]_i는 다음과 같이 갱신된다.
[x]_i←S([x]_i)
둘째, p(x)의 i번째 비트(i=0,...,31) [p(x)]_i 가 0일 경우, [x]_i는 다음과 같이 갱신된다.
[x]_i ←S⁶([x]_i)=S(S(S(S(S(S([x]_i))))))

갱신된 T-함수의 내부 상태를 이용하여 출력 수열을 생성하는 과정을 비선형 출력 필터(20)라 한다. T-함수부(10)가 한번 동작하여 나온 4개의 워드 중 상위 16 비트를 취해 다음 수학식4와 같이 f(y)를 계산한다.

여기서, 덧셈은 2¹⁶을 법으로 하여 계산한다. 이때 사용되는

는 비트별 AND, >>는 우측 이동, >>>는 우측 순환이동을 나타낸다. 수학식4에서 y₀, y₁, y₂, y₃는 T-함수의 내부상태 x₀, x₁, x₂, x₃ 들의 왼쪽 16비트들을 취한 값이며, f(y)는 이들을 안전성을 고려하여 비트 순환 및 덧셈으로 결합한 16비트 값으로, 출력 수열 계산에 다음 수학식 7과 같이 사용된다.

비선형 필터의 Summation Generator(24)는 41 비트 LFSR(24-1)과, 43 비트 LFSR(24-2), 16비트 덧셈기(24-3)로 이루어지며, 41 비트 LFSR(24-1)과 43 비트 LFSR(24-2)에서 사용되는 특성 다항식은 다음 수학식5와 같고, 이 다항식은 한 클럭당 16비트 출력을 생성할 수 있도록 선정되었다.

이중 41차 LFSR(24-1)의 동작방식은 도 4에 도시된 바와 같고, 43차 LFSR(24-2)도 같은 방식으로 동작한다. LFSR1의 시각 t에서의 출력을 a^t ₁ 로, LFSR2의 시각 t에서의 출력을 a^t ₂ 로 놓고, 각각의 초기값을 (a^-1 ₁, a^-2 ₁,....,a^-41 ₁), (a^-1 ₂, a^-2 ₂,....,a^-43 ₂)로 놓으면, Summation Generator(24)의 출력 b^t와 캐리값 c^t+1은 다음 수학식6과 같이 t가 0인 경우부터 순차적으로 계산된다.

계산 과정에서 초기 캐리값 c⁰는 0으로 설정된다.

비선형 출력 필터 과정에서는 이와 같이 생성된 중간값들 f(y)와 b^t를 이용하여 클럭당 16비트 출력 수열 zⁱ 를 다음 수학식7과 같이 생성한다.

알고리즘 초기화는 다음과 같이 수행된다. 이때, 비밀키(K) 80 비트와 초기값(IV) 80 비트를 사용한다. 주어진 키 K를 (k₇₉,k₇₈,....,k₀) 라 하고, 초기값 IV를 (iv₇₉,iv₇₈,....,iv₀) 라 하자. 이때, k₀,iv₀ 는 최하위 비트이고, k₇₉,iv₇₉는 최상위 비트이다. 이 정보를 가지고 T-함수의 128 비트 상태변수 x와 LFSR의 84 비트 상태변수 a는 다음 수학식8과 같이 채워진다.

x₀=(k₃₁,k₃₀,....k₁,k₀)

x₁=(iv₃₁,iv₃₀,....iv₁,iv₀)

x₂=(k₆₃,k₆₂,....k₃₃,k₃₂)

x₃=(iv₆₃,iv₆₂,....iv₃₃,iv₃₂)

a₀=(iv₇₂,...,iv₆₄,k₁₅,...,k₀, k₇₉,...,k₆₄)

a₁=(iv₃,...,iv₀,iv₇₉,..,iv₇₃, k₄₇,...,k₁₆)

212 비트의 내부 상태가 다 채워진 후, 다음의 세 단계를 거쳐 내부 상태를 갱신한다.

첫째, 최초 캐리(carry) 비트는 ‘0’으로 초기화한다.

둘째, 다음 과정을 8번 반복한다.

(a) 주어진 키와 초기값으로 채워진 내부 상태 갱신, 수학식 4의 T-함수 출력 16비트 생성, 수학식 6의 서메이션 제너레이터 동작 및 수학식 7의 출력수열 생성과정으로 16 비트 출력 O=(o₁₅,o₁₄,....o₁,o₀)를 생성한다.

(b) 생성된 16 비트 출력 수열 O를 내부 상태 x₀,a₀,a₁의 하위에 XOR한다.

(c) 내부상태 x₀를 좌측으로 16 비트 순환 이동시킨다.

셋째, 두 LFSR(24-1,24-2)의 내부상태 중 하위 10번째 비트 정보를 ‘1’로 바꾼다.

이상에서 설명한 바와 같이, 본 발명은 소프트웨어 전용으로 연구되던 T-함수 논리를 하드웨어에 적합하도록 구성하고 이를 스트림 암호에 적용한 것으로써, 기존의 스트림 암호 알고리즘이 추구하였던 암호학적 특징을 그대로 유지할 뿐 아니라, 상관관계 공격과 대수적 공격에 강한 내성을 제공할 수 있다. 또한 비트 슬라이스(Bit Slice) 기법을 이용함으로써 저전력 환경에 적합한 하드웨어 구현을 가능하게 한다.

Claims (7)

1. 32 비트 워드 4개로 이루어진 128 비트 내부 상태를 이용하여 16비트 4워드의 함수값을 생성하는 T함수부;와

   상기 T함수부의 출력을 입력받아 연산하는 16비트 덧셈기의 함수 출력 16 비트와, 서메이션 제너레이터(Summation Generator)를 동작시켜 나온 16 비트 출력을 XOR 연산하여 한 클럭 당 16 비트 출력 키 수열을 생성하는 비선형 필터로 구성된 것을 특징으로 하는 비선형 필터링된 T함수에 기반한 스트림 암호화 장치.
2. 제1항에 있어서, 상기 T함수부는

   32비트x4 워드를 입력받아 1회 혹은 6회 연산하는 4x4 행렬의 S박스와, 생성된 파라미터 p(x)의 i번째 비트 [p(x)]_i 가 1일 경우 상기 1회 연산한 S박스를 선택하고 0일 경우 상기 6회 연산한 S박스를 선택하는 먹스(MUX)와, 32비트 워드가 저장된 32비트x4 레지스터와, 상기 레지스터의 워드 데이터를 입력받아 상기 먹스로 32비트 파라미터 p(x)를 출력하는 파라미터 생성기로 구성되는 것을 특징으로 하는 비선형 필터링된 T함수에 기반한 스트림 암호화 장치.
3. 제1항에 있어서, 상기 비선형 필터의 서메이션 제너레이터는

   41 비트 LFSR과, 43 비트 LFSR과, 상기 41 비트 LFSR의 16비트 출력과 상기 43 비트 LFSR의 16비트 출력을 덧셈하는 16비트 덧셈기로 이루어진 것을 특징으로 하는 비선형 필터링된 T함수에 기반한 스트림 암호화 장치.
4. 212 비트의 내부 상태를 80 비트 키(K)와 80 비트의 초기값(IV)을 사용하여 초기화하는 초기화 과정;

   32 비트 워드 4개로 이루어진 128 비트 내부 상태를 이용하여 16비트 4워드의 함수값을 생성하는 T함수 생성 과정; 및

   상기 생성된 T함수값을 입력받아 16비트 덧셈한 후 함수 출력 16 비트와 서메이션 제너레이터(Summation Generator)를 동작시켜 나온 16 비트 출력을 XOR 연산하여 한 클럭 당 16 비트 출력 키 수열을 생성하는 비선형 필터 과정을 포함하여 구성되는 것을 특징으로 하는 비선형 필터링된 T함수에 기반한 스트림 암호화 방법.
5. 제4항에 있어서, 상기 초기화 과정은,

   비밀키와 초기값으로 T함수의 128비트 상태변수와 LFSR의 84비트 상태변수를 채우는 단계;

   최초 캐리(carry) 비트는 ‘0’으로 초기화하는 단계;

   (a) 주어진 키와 초기값으로 채워진 내부 상태값을 이용하여 알고리즘을 1회 동작시켜 16 비트 출력 O=(o₁₅,o₁₄,....o₁,o₀)를 생성하고,

   (b) 생성된 16 비트 출력 수열 O를 내부 상태 x₀,a₀,a₁의 하위에 XOR하며,

   (c) 내부상태 x₀를 좌측으로 16 비트 순환 이동시키는 단계를 8회 수행하는 단계; 및

   두 LFSR의 내부 상태변수 중 하위 10번째 비트 정보를 ‘1’로 바꾸는 단계를 구비한 것을 특징으로 하는 비선형 필터링된 T함수에 기반한 스트림 암호화 방법.
6. 제4항에 있어서, 상기 T 함수 생성과정은,

   32 비트 워드 4개로 이루어진 128 비트 내부 상태를 파라미터 p(x)를 사용하여 수학식

   

   에 따라 갱신하는 단계;

   T-함수의 입력으로 받은 4개의 워드 x₀,x₁,x₂,x₃의 i번째 비트들 (i=0,....,31)을 사용하여

   

   에 따라 0부터 7 사이의 정수 [x]_i를 생성하는 단계; 및

   4×4 S박스와 미리 계산된 파라미터 p(x) 를 이용하여 p(x)의 i번째 비트 [p(x)]_i 가 1일 경우에는 S박스를 1회 적용하고, p(x)의 i번째 비트 [p(x)]_i 가 0일 경우에는 S박스를 6회 적용하여 갱신하는 단계를 구비한 것을 특징으로 하는 비선형 필터링된 T함수에 기반한 스트림 암호화 방법.

   (여기서,

   

   는 비트별 AND, <<는 좌측이동,

   

   는 비트별 XOR를 나타내고,

   

   (x), o(x), e(x)는 p(x)를 정의하기 위한 임시 파라미터들이다.)
7. 제4항에 있어서, 상기 비선형 필터과정은,

   상기 T-함수부가 한번 동작하여 나온 4개의 워드 중 상위 16 비트를 취해

   

   와 같이 f(y)를 계산하는 단계;

   LFSR1의 시각 t에서의 출력을 a^t ₁ 로, LFSR2의 시각 t에서의 출력을 a^t ₂ 로 놓고, 각각의 초기값을 (a^-1 ₁, a^-2 ₁,....,a^-41 ₁), (a^-1 ₂, a^-2 ₂,....,a^-43 ₂)로 놓으면,

   서메이션 제너레이터의 출력 b^t와 올림수 c^t+1은

   

   와 같이 계산하는 단계; 및

   상기와 같이 생성된 중간값들 f(y)와 b^t를 이용하여 클럭당 16비트 출력 수열 zⁱ 를

   

   과 같이 생성하는 단계를 구비한 것을 특징으로 하는 비선형 필터링된 T함수에 기반한 스트림 암호화 방법.

   (여기서,

   

   는 비트별 AND, >>는 우측 이동, >>>는 우측 순환이동,

   

   는 XOR를 각각 나타내며, y₀, y₁, y₂, y₃는 T-함수의 내부상태 x₀, x₁, x₂, x₃ 들의 왼쪽 16비트들을 취한 값이며, f(y)는 이들을 안전성을 고려하여 비트 순환 및 덧셈으로 결합한 16비트 값이다.)

Images