236
вался при расширении, промежуточные значения перед применением S-блоков
все еще отличаются всего лишь на один бит. Согласно свойству 3 S-блоков, про-
межуточные значения после вычисления S-блока отичаются как минимум на два
бита. В результате промежуточные значения (L2, R2) и (Lr , Rr ) отличаются на
три бита: 1-битная разница присутствует между L2 и Lr (перенесенная из разни-
цы между R1 и Rr ) и 2-битная разница между R2 и Rr .
Смешивающая перестановка распространяет двухбитную разницу между R2 и Rr
так, что в следующем раунде каждый из двух бит используется в качестве входного
элемента в другой S-блок, из чего получается разница в как минимум 4 бита в правых
половинах промежуточных значений. (Если один или оба из двух бит, которыми от-
личаются R2 и Rr, продублируются функцией E, разница может быть еще большей.)
Теперь еще и в левых половинах присутствует 2-битная разница. Как и в случае с
подстановочно-перестановочной сетью, мы имеем экспоненциальный эффект, и по-
этому после 7
раундов мы прогнозируем, что в правой половине
затронуты будут все
32 бита (а после 8 раундов будут затронуты все 32 бита и в левой половине).
В DES 16 раундов, и поэтому лавинный эффект при вычислении случается очень
рано. Таким образом обеспечиваются такие вычисления в DES, при которых одина-
ковые входные
данные дают выходные данные, похожие на независимые.
Достарыңызбен бөлісу: