Twofish – symmetrisk 128-bit blokchiffer og AES-finalist (op til 256-bit)

Twofish: kraftfuldt symmetrisk 128-bit blokchiffer (op til 256-bit). AES-finalist fra 1997, nøgleafhængige S‑bokse, Feistel-struktur og effektiv kryptering for stærk sikkerhed.

Inden for kryptografi er Twofish et symmetrisk nøgleblokchiffer med en blokstørrelse på 128 bit og en nøglelængde på op til 256 bit (understøtter typisk 128-, 192- og 256-bit nøgler). Twofish blev designet med fokus på både sikkerhed og god softwareperformance, og kan implementeres effektivt både i software og i hardware.

I 1997 annoncerede NIST en konkurrence om at vælge en efterfølger til DES, der skulle kaldes AES, og Twofish var en af de fem finalister i konkurrencen om Advanced Encryption Standard, men blev ikke valgt som standard. Twofish blev udviklet af et team bestående af bl.a. Bruce Schneier, John Kelsey, Doug Whiting, David Wagner, Chris Hall og Niels Ferguson.

Design og nøgleplan

Twofish er nært beslægtet med den tidligere blokchiffer Blowfish, men introducerer flere avancerede elementer:

• Det er en 16-runde Feistel-konstruktion, hvor inputblokken ofte opfattes som fire 32-bit ord.
• Der anvendes pre- og post-whitening (XOR med nøgleord) for at øge modstanden mod visse angreb.
• Nøgler bruges både til selve krypteringen og til at generere nøgleafhængige S-bokse: en del af nøglematerialet ændrer de S-bokse, som runde-funktionen anvender, hvilket øger kompleksiteten for en angriber.
• Nøgleplanen producerer i alt 40 32-bit undernøgler (K0..K39): 8 32-bit nøgler bruges til whitening (fire ved input og fire ved output) og 32 32-bit nøgler bruges som to subnøgler pr. runde i de 16 runder (i alt 32).

Twofish benytter faste 8×8-permutationer kaldet q-boxes (ofte betegnet q0 og q1) og en MDS (maximum distance separable) 4×4 matrix over GF(256) til at sprede (diffuse) S-boks-outputtet. Derudover indgår en pseudo-Hadamard-transformation (PHT) – et element lånt fra SAFER-familien – i runde-funktionen. Kombinationen af q-boxes, MDS-matrix og PHT giver høj diffusion og ikke-linearitet.

Ydeevne og implementering

På mange softwareplatforme er Twofish en smule langsommere end Rijndael (den valgte algoritme for Advanced Encryption Standard) når der bruges 128-bit nøgler. For 256-bit nøgler kan Twofish dog være konkurrencedygtig eller hurtigere i visse implementeringer, især når nøgleafhængige S-bokse er forudberegnede. Fordelene/ulemperne afhænger af platformen, tilgængelig hukommelse og om man prioriterer fast tid/konstant-tid-implementering for at modvirke sidekanalangreb.

Twofish kan optimeres ved at forudberegne nøgleafhængige tabeller, hvilket giver større hastighed på bekostning af mere hukommelsesforbrug. For indlejrede systemer eller miljøer med begrænset hukommelse kan man vælge en mindre hukommelseskrævende implementering, men ofte med en vis hastighedsnedgang.

Sikkerhed og kryptanalyse

Twofish er blevet grundigt analyseret af kryptografisamfundet. Der er publicerede resultater, som angriber reducerede-runde varianter og under visse modeller (f.eks. relaterede-nøgle-angreb på reducerede varianter), men der er ingen praktisk, offentliggjort metode til at bryde fuld 16-runde Twofish betydeligt hurtigere end ved ren brute-force. Derfor betragtes Twofish generelt som sikkert, når den anvendes korrekt med stærke nøgler.

Som med andre krypteringsalgoritmer skal implementeringer tage hensyn til sidekanaler (timing, cache, strømforbrug mv.). Anbefalingen er at benytte konstante-tids-operationer og undgå tabeller, der afslører nøgleinformation via hukommelsesadgangsmønstre, hvis man skal modstå avancerede fysiske angreb.

Anvendelser og adoption

Selvom Twofish ikke blev valgt som AES, er algoritmen blevet indarbejdet i flere open source-projekter og sikkerhedsprodukter. Den er et populært valg som alternativ til AES i nogle sammenhænge, især hvor ønsket om et ikke-standard AES-alternativ eller kompatibilitet med ældre systemer gør sig gældende. Twofish er f.eks. valgt som én af de mulige krypteringsalgoritmer i visse disk-krypteringsværktøjer og krypteringsbiblioteker.

Opsummerende er Twofish en velkonstrueret, fleksibel og gennemprøvet blokchiffer med 128-bit blokke og nøgler op til 256 bit, som fortsat er relevant som et alternativ til AES i en række scenarier.

Spørgsmål og svar

Spørgsmål: Hvad er Twofish?

Spørgsmål: Hvordan var Twofish beslægtet med den tidligere blokchiffer Blowfish?

Spørgsmål: Blev Twofish valgt som en avanceret krypteringsstandard?

Spørgsmål: Hvilke elementer bruger Twofish fra andre designs?

Spørgsmål: Bruger den Feistel-struktur ligesom DES?

Spørgsmål: Er den hurtigere end Rijndael for 128 bit-nøgler?

Spørgsmål: Er den hurtigere end Rijndael til 256 bit-nøgler?

Søg efter bogstav