Tekst źródłowy strony Data Encryption Standard

{{wyróżnienie|DA}}
{{Inne znaczenia|standardu szyfrowania danych|inne znaczenia [[DES]]}}

{{Algorytm krypto infobox
 |nazwa          = Data Encryption Standard
 |inne nazwy     = 
 |grafika        = Data Encryption Standard InfoBox Diagram-pl.svg
 |opis grafiki   = Funkcja Feistela algorytmu DES
 |rodzaj         = [[Algorytm symetryczny|symetryczny]] [[szyfr blokowy]]
 |data           = 1975
 |autorzy        = [[IBM]]
 |blok wejściowy = 64
 |blok wyjściowy = 
 |klucz          = 56 (+8 parzystości)
 |rundy          = 16
 |data złamania  = 1997
 |złamany przez  = [[DESCHALL Project]]
 |ataki          = kryptoanaliza liniowa, kryptoanaliza różnicowa<ref>{{cytuj stronę |url = https://lasec.epfl.ch/memo/memo_des.shtml |tytuł = Six ways to break DES |autor = Pascal Junod |język = en |data dostępu = 2019-08-10}}</ref>
}}
'''DES''' ([[język angielski|ang.]] ''Data Encryption Standard'') – [[algorytm symetryczny|symetryczny]] [[szyfr]] [[szyfr blokowy|blokowy]] zaprojektowany w 1975 roku przez [[IBM]] na zlecenie ówczesnego Narodowego Biura Standardów USA (obecnie [[National Institute of Standards and Technology|NIST]]). Od 1976 do 2001 roku stanowił standard federalny USA, a od roku 1981 standard [[American National Standards Institute|ANSI]] dla sektora prywatnego (znany jako ''Data Encryption Algorithm''). Od kilku lat uznawany jest za algorytm niezapewniający odpowiedniego bezpieczeństwa, głównie ze względu na niewielką długość klucza, która sprawia, że jest bardzo podatny na [[Atak brute force|atak siłowy]]. W 2001 roku w USA został zastąpiony w ramach standardu federalnego przez [[Advanced Encryption Standard|AES]]. Jest jednym z najlepiej przeanalizowanych algorytmów szyfrujących<ref name="Schneier1">{{Cytuj książkę |nazwisko = Schneier |imię = Bruce |tytuł = Kryptografia dla praktyków: protokoły, algorytmy i programy źródłowe w języku C |data = 2002 |wydawca = Wydawnictwa Naukowo-Techniczne |miejsce = Warszawa |isbn = 83-204-2678-2 |strony = 341–382}}</ref>.

== Historia ==
DES powstał jako część zapoczątkowanego w 1972 roku przez Narodowe Biuro Standardów USA programu zabezpieczania informacji, w ramach którego planowano stworzyć jeden algorytm kryptograficzny do szyfrowania danych – taki sam dla ich przechowywania i przesyłania. 15 maja 1973 roku po konsultacjach z [[National Security Agency|NSA]] w Rejestrze Federalnym opublikowane zostały wymagania projektowe stawiane potencjalnemu algorytmowi: miał zapewniać duży stopień bezpieczeństwa, być kompletnie określony i nietrudny do zrozumienia oraz łatwy do zaimplementowania sprzętowego. Miał ponadto spełniać warunki umożliwiające jego eksport. Dodatkowo jego bezpieczeństwo, zgodnie z [[Zasada Kerckhoffsa|zasadą Kerckhoffsa]], nie mogło opierać się na tajności algorytmu, lecz na [[klucz (kryptografia)|kluczu]]<ref name="Schneier1" /><ref name="Tuchmann1">{{Cytuj książkę |nazwisko = Denning |imię = Dorothy Elizabeth Robling |nazwisko2 = Denning |imię2 = Peter J. |tytuł = Internet besieged: countering cyberspace scofflaws |url = https://archive.org/details/internetbesieged00doro |data = 1997 |wydawca = Addison Wesley |miejsce = Reading, Mass. |isbn = 0-201-30820-7 |strony = [https://archive.org/details/internetbesieged00doro/page/275 275]–280 |rozdział = A brief history of the data encryption standard |nazwisko r = Tuchmann |imię r = Walter}}</ref>.

Wymagania te były, jak na owe czasy, tak rygorystyczne, że pomimo dużej liczby zgłoszeń pierwsza tura konkursu nie wyłoniła zadowalającego algorytmu. W związku z tym 27 sierpnia 1974 NBS ponownie opublikował informacje o zapotrzebowaniu na algorytm kryptograficzny. Wkrótce potem IBM zgłosił do konkursu swój algorytm, oparty na szyfrze blokowym [[Lucifer (szyfr blokowy)|Lucifer]], spełniający podane kryteria. Nad rozwojem zgłoszonego szyfru pracowali Roy Adler, Don Coppersmith, Horst Feistel, Edna Grossman, Alan Konheim, Carl Mayer, Bill Notz, Lynn Smith, Walt Tuchman oraz Bryant Tuckerman. W celu oceny bezpieczeństwa algorytmu NBS zwróciło się o pomoc do NSA, a IBM rozpoczął procedurę jego [[patent]]owania<ref>{{cytuj stronę |url = http://www.google.com/patents/US3962539 |tytuł = US Patent 3962539 – Product block cipher system for data security |data dostępu = 2015-01-02}}</ref>.

Szczegóły algorytmu oraz oświadczenie IBM zezwalające na jego wykorzystanie w dowolnym celu zostały opublikowane 17 maja 1975 roku w Rejestrze Federalnym, a kilka miesięcy później, 1 sierpnia 1975 roku, Narodowe Biuro Standardów wydało komunikat zachęcający wszystkich zainteresowanych do wypowiedzenia się na temat jego bezpieczeństwa i przydatności. Po wielu ocenach krytycznych oraz zarzutach wobec NSA o celowe osłabienie szyfru poprzez skrócenie długości klucza oraz modyfikację [[S-Box|S-bloków]] zorganizowano dwie konferencje naukowe, mające na celu ocenić algorytm. Na pierwszej z nich szyfr oceniono od strony matematycznej, na drugiej natomiast omawiano sensowność wydłużenia klucza<ref name="Schneier1" />.

23 listopada 1976 Data Encryption Standard został zaakceptowany jako standard federalny – możliwe było jego używanie do szyfrowania wszelkich nietajnych danych rządowych USA. Publikacja pełnego opisu algorytmu odbyła się 15 stycznia 1977 roku w ramach dokumentu ''FIPS PUB 46 – Data Encryption Standard''. Pozostałe dokumenty związane ze standardem zostały opublikowane w roku 1980 (''FIPS PUB 81 – DES Modes of Operation''<ref>{{cytuj stronę |url = https://csrc.nist.gov/publications/detail/fips/81/archive/1980-12-02 |tytuł = FIPS PUB 81 – DES Modes of Operation |data dostępu = 2019-08-10}}</ref>) oraz w roku 1981 (''FIPS PUB 74 – Guidelines for Implementating and Using the NBS Data Encryption Standard''<ref>{{cytuj stronę |url = https://csrc.nist.gov/publications/detail/fips/74/archive/1981-04-01 |tytuł = FIPS PUB 74 – Guidelines for Implementating and Using the NBS Data Encryption Standard |data dostępu = 2019-08-10}}</ref>). Algorytm kilkukrotnie (1983, 1988 – FIPS-46-1, 1993 – FIPS-46-2 oraz 1999 – FIPS-46-3) zdobywał certyfikat przedłużający jego ważność jako standardu federalnego<ref name="fips64-3">{{cytuj stronę |url = http://csrc.nist.gov/publications/fips/fips46-3/fips46-3.pdf |tytuł = FIPS 46-3: Data Encryption Standard (DES) |data dostępu = 2010-03-30}}</ref>. Ostatecznie został wycofany w 2001 roku, kiedy standardem federalnym stał się [[Advanced Encryption Standard]]<ref name="Schneier1" />.

W 1981 roku [[American National Standards Institute|ANSI]] uznało DES za standard sektora prywatnego (ANSI X3.92-1981), jednocześnie przemianowując go na ''Data Encryption Algorithm''.

=== Chronologia ===
{| class="wikitable" style="font-size:90%;"
|-
! Data
! Wydarzenie
|-
| 15 maja 1973
| Narodowe Biuro Standardów USA po raz pierwszy publikuje informacje o zapotrzebowaniu na algorytm kryptograficzny<ref name="Schneier1" />
|-
| 27 sierpnia 1974
| NBS po raz drugi publikuje informacje o zapotrzebowaniu na algorytm kryptograficzny<ref name="Schneier1" />
|-
| 17 marca 1975
| Opis algorytmu DES zostaje opublikowany w ''Rejestrze Federalnym''<ref name="Schneier1" />
|-
| Sierpień 1976
| Pierwszy warsztat naukowy na temat DES<ref name="Schneier1" />
|-
| Wrzesień 1976
| Drugi warsztat naukowy, na którym dyskutowano podstawy matematyczne algorytmu<ref name="Schneier1" />
|-
| 23 listopada 1976
| DES zostaje zatwierdzony jako standard<ref name="Schneier1" />
|-
| 15 stycznia 1977
| Opis algorytmu DES zostaje wydany jako dokument FIPS PUB 46<ref name="Schneier1" /><ref name="fips64-3" />
|-
| 1983
| Certyfikat ważności DES po raz pierwszy zostaje przedłużony na kolejne 5 lat<ref name="fips64-3" />
|-
| 22 stycznia 1988
| Certyfikat ważności DES po raz drugi zostaje przedłużony na kolejne 5 lat; wydana zostaje poprawiona wersja standardu FIPS PUB 46-1<ref name="fips64-3" />
|-
| 1992
| Biham oraz Shamir opisują pierwszy teoretyczny atak, który jest bardziej skuteczny niż atak brutalny: [[Kryptoanaliza różnicowa|kryptoanalizę różnicową]]. Wymaga jednak nieralistycznej liczby tekstów jawnych: <math>2^{47}.</math>
|-
| 30 grudnia 1993
| Certyfikat ważności DES po raz trzeci zostaje przedłużony na 5 lat; opublikowany zostaje FIPS PUB 46-2<ref name="fips64-3" />
|-
| 1994
| Pierwsza próba kryptoanalizy DES z wykorzystaniem [[kryptoanaliza liniowa|kryptoanalizy liniowej]] (Matsui, 1994).
|-
| czerwiec 1997
| Projekt DESCHALL jako pierwszy odszyfrowuje wiadomość zaszyfrowaną DES<ref name="DESCHALL">{{Cytuj stronę |url = http://www.interhack.net/projects/deschall/ |tytuł = Strona programu DESCHALL |data dostępu = 2010-03-15 |archiwum = https://web.archive.org/web/20100325222525/http://www.interhack.net/projects/deschall/ |zarchiwizowano = 2010-03-25 }}</ref>.
|-
| 1998
| Projekt [[distributed.net]] odtwarza klucz w ciągu 41 dni.
|-
| lipiec 1998
| [[EFF DES cracker]] (znany też jako ''Deep Crack'') stworzony przez [[Electronic Frontier Foundation|EFF]] odtwarza klucz algorytmu DES w 56 godzin<ref name="DESCRACKER">{{Cytuj stronę |url = http://www.distributed.net/des/ |tytuł = Informacje o próbach łamania DES w ramach konkursu DES Challenge}}</ref>.
|-
| 19 stycznia 1999
| Deep Crack wspólnie z [[distributed.net]] łamie klucz algorytmu w 22 godziny i 15 minut<ref name="DeepCrack">{{cytuj stronę |url = http://www.distributed.net/images/d/d7/19990119_-_PR_-_release-des3.pdf |tytuł = Informacje o zwycięzcach konkursu DES-III |data dostępu = 2010-03-22}}</ref>
|-
| 25 października 1999
| Certyfikat ważności DES po raz czwarty zostaje przedłużony; opublikowany zostaje FIPS PUB 46-3, który określa 3DES jako preferowany system szyfrowania<ref name="fips64-3" />
|-
| 26 listopada 2001
| Opublikowany zostaje standard [[Advanced Encryption Standard|AES]] jako FIPS 197
|-
| 26 lipca 2004
| NIST na łamach ''Federalnego Rejestru'' proponuje wycofanie FIPS 46-3 (wraz z kilkoma innymi standardami)<ref>{{cytuj stronę |url = http://edocket.access.gpo.gov/2004/04-16894.htm |tytuł = FR Doc 04-16894 |opublikowany = Edocket.access.gpo.gov |język = en |data dostępu = 2010-03-07}}</ref>
|-
| 19 maja 2005
| NIST wycofuje FIPS 46-3<ref>{{cytuj stronę |url = http://csrc.nist.gov/publications/PubsFIPSArch.html |tytuł = Archived FIPS publications |język = en |data dostępu = 2015-12-31}}</ref>
|}

=== Kontrowersje związane z udziałem NSA ===
Gdy 1 sierpnia 1975 Narodowe Biuro Standardów wydało komunikat zachęcający wszystkich zainteresowanych do oceny algorytmu, pojawiło się wiele głosów oskarżające NSA o celowe osłabienie szyfru w taki sposób, aby nikt poza nimi nie mógł go złamać. Podstawowym zarzutem było osłabienie klucza szyfrującego – w algorytmie Lucifer, na którym opierał się DES, klucz ten miał początkowo 128 bitów, NSA zdołało jednak przekonać IBM do jego skrócenia do 56 bitów. Podejrzewano także, że NSA umieściło w S-blokach tylne wejście, umożliwiające im proste odszyfrowanie szyfrogramów. Alan Konheim, jeden z twórców DES, stwierdził, że wysłane do NSA struktury S-bloków zostały zmienione przez Agencję. Sprawa podejrzanej ingerencji NSA w strukturę szyfru była w 1978 roku badana przez Komisję Wywiadu Senatu USA, która w nieutajnionym podsumowaniu zwolniła Agencję Bezpieczeństwa z zarzutów<ref name="Schneier1" />.

Zarzuty związane z osłabieniem S-bloków były nieuzasadnione. Okazało się bowiem, że DES jest wyjątkowo odporny na [[kryptoanaliza różnicowa|kryptoanalizę różnicową]], opublikowaną w roku 1990 przez Eli Bihama i Adi Shamira (nie byli oni pierwszymi odkrywcami). Zarówno IBM, jak i NSA znały już wcześniej tę technikę kryptoanalizy i zaprojektowali S-bloki w taki sposób, aby były na nią odporne.

== Algorytm ==
[[Plik:DES InitialPermutation.PNG|thumb|350px|Schemat początkowa permutacji bloku – tabela powinna być czytana od lewej do prawej strony, od góry do dołu. Na miejsce bitu pierwszego podstawiany jest bit 58, na miejsce bitu drugiego podstawiany jest bit 50, i tak dalej]]
[[Plik:DES-main-network.png|thumb|250px]]
DES jest [[szyfr blokowy|szyfrem blokowym]] z blokami o długości 64 bitów. Do szyfrowania i deszyfrowania danych wykorzystywanych jest 56 bitów klucza, który zapisany jest w postaci 64-bitowego ciągu, w którym co 8 bit jest bitem kontrolnym i może służyć do kontroli parzystości. Kilka z kluczy uważanych jest za [[klucz słaby|klucze słabe]] oraz [[Klucz słaby|klucze półsłabe]]<ref name="Schneier1" />.

Algorytm szyfrowania danych jest następujący<ref>{{cytuj stronę |url = http://billstclair.com/grabbe/des.htm |tytuł = The DES Algorithm Illustrated |język = en |data dostępu = 2011-03-28}}</ref>: na początku [[tekst jawny]], który ma zostać zaszyfrowany, dzielony jest na bloki 64-bitowe. Następnie dla każdego bloku wykonywane są następujące operacje:
* dokonywana jest [[Dane tabelaryczne algorytmu DES#Permutacja początkowa|permutacja początkowa]] bloku przestawiająca bity w pewien określony sposób – nie zwiększa ona bezpieczeństwa algorytmu, a jej początkowym celem było ułatwienie wprowadzania danych do maszyn szyfrujących używanych w czasach powstania szyfru
* blok wejściowy rozdzielany jest na dwie 32-bitowe części: lewą oraz prawą
* wykonywanych jest 16 cykli tych samych operacji, zwanych [[sieć Feistela|funkcjami Feistela]], podczas których dane łączone są z kluczem. Operacje te wyglądają następująco:
** bity klucza są przesuwane, a następnie wybieranych jest 48 z 56 bitów klucza
** prawa część danych rozszerzana jest do 48-bitów za pomocą [[Dane tabelaryczne algorytmu DES#Permutacja rozszerzona|permutacji rozszerzonej]]
** rozszerzona prawa połowa jest [[Alternatywa rozłączna|sumowana modulo 2]] z wybranymi wcześniej (i przesuniętymi) 48 bitami klucza
** zsumowane dane dzielone są na osiem 6-bitowych bloków i każdy blok podawany jest na wejście jednego z S-bloków (pierwszy 6-bitowy blok na wejście pierwszego S-bloku, drugi 6-bitowy blok na wejście drugiego S-bloku itd.). Pierwszy i ostatni bit danych określa wiersz, a pozostałe bity kolumnę S-BOXa. Po wyznaczeniu miejsca w tabeli, odczytuje się wartość i zamienia na zapis dwójkowy. Wynikiem działania każdego S-bloku są 4 bity wyjściowe – tworzą one 32-bitowe wyjście S-bloków. Każdy [[Dane tabelaryczne algorytmu DES#Struktura S-bloków|S-Blok ma inną strukturę]]
** wyjście [[S-Box|S-bloków]] poddawane jest [[Dane tabelaryczne algorytmu DES#Permutacja P-bloku|permutacji w P-blokach]]
** bity tak przekształconego bloku są sumowane modulo 2 z bitami lewej połowy danych
** tak zmieniony blok staje się nową prawą połową, poprzednia prawa połowa staje się natomiast lewą połową – cykl dobiega końca
* po wykonaniu 16 cykli operacji prawa i lewa połowa danych jest łączona w 64-bitowy blok
* dokonywana jest [[Dane tabelaryczne algorytmu DES#Permutacja końcowa|permutacja końcowa]]

Deszyfrowanie polega na zastosowaniu tych samych operacji w odwrotnej kolejności (różni się od szyfrowania tylko wyborem podkluczy, który teraz odbywa się od końca).

=== Tryby pracy algorytmu ===
W dokumencie ''DES Modes of Operation'' określono cztery tryby pracy algorytmu<ref>{{Cytuj stronę |url = https://csrc.nist.gov/publications/detail/fips/81/archive/1980-12-02 |tytuł = FIPS PUB 81 – DES Modes of Operation}}</ref>:
* [[Tryb elektronicznej książki kodowej|elektroniczna książka kodowa]] – w tym trybie pracy każdy blok tekstu jawnego szyfrowany jest w blok szyfrogramu, dzięki czemu możliwe jest stworzenie książki kodowej tekstu jawnego oraz odpowiadającego mu szyfrogramu
* [[Tryb wiązania bloków zaszyfrowanych|wiązanie bloków zaszyfrowanych]] – tryb ten wykorzystuje mechanizm sprzężenia zwrotnego: w operacji szyfrowania bieżącego bloku tekstu jawnego wykorzystywany jest poprzedni blok szyfrogramu, w związku z czym każdy blok szyfrogramu zależny jest zarówno od bloku tekstu jawnego, jak i od poprzedniego bloku szyfrogramu
* [[Tryb sprzężenia zwrotnego szyfrogramu|sprzężenie zwrotne szyfrogramu]] – tryb ten umożliwia szyfrowanie danych strumieniowych; do procesu szyfrowania informacji wykorzystywany jest rejestr, najczęściej o pojemności odpowiadającej wielkości bloku, a rozpoczęcie szyfrowania możliwe jest dopiero po odebraniu pełnego bloku danych. W jednym przebiegu ''n'' zaszyfrowanych bitów z rejestru sumowanych jest modulo 2 z ''n'' bitami tekstu jawnego – tak powstaje pierwszych ''n'' bitów szyfrogramu, bity te są następnie dodawane na koniec kolejki
* [[Tryb sprzężenia zwrotnego wyjścia|sprzężenie zwrotne wyjściowe]] – tryb ten jest podobny do trybu sprzężenia zwrotnego szyfrogramu – z tą różnicą, że na koniec kolejki dodawane jest ''n'' bitów poprzedniego bloku wyjściowego, a nie szyfrogramu

== Kryptoanaliza algorytmu ==
Pomimo tego, że DES jest jednym z najlepiej przeanalizowanych szyfrów blokowych, nadal najbardziej praktycznym atakiem na niego jest [[atak brute force|atak brutalny]]. Istnieją skuteczniejsze metody kryptoanalizy szyfru, jednak z powodu narzuconych wymagań rozważane były tylko teoretycznie.

=== Atak siłowy ===
Atak brutalny jest jedną z najpopularniejszych metod łamania wszelkich szyfrów. Polega on na wygenerowaniu wszystkich możliwych kluczy i sprawdzeniu, który z nich umożliwia odszyfrowanie szyfrogramu. W przypadku tego ataku długość klucza definiuje trudność złamania szyfru. Już krótko po opublikowaniu algorytmu pojawiły się teoretyczne rozważania na temat możliwości budowy urządzeń łamiących szyfr w rozsądnym czasie. W 1977 Diffie i Hellman zasugerowali, że za 20 milionów dolarów można zbudować wyspecjalizowane urządzenie, które będzie w stanie odtworzyć klucz szyfrujący w ciągu jednego dnia. W 1981 roku Diffie dokonał korekty tego stwierdzenia i oświadczył, że odtworzenie klucza będzie możliwe w ciągu dwóch dni, pod warunkiem, że atakujący będzie miał do dyspozycji specjalistyczny sprzęt o wartości 50 milionów dolarów. W 1993 Michael Weiner zaproponował maszynę, która potrafiła by złamać DES w ciągu 2,5 godzin – miała kosztować milion dolarów. Nikt jednak publicznie nie przyznał się do skonstruowania takiego urządzenia<ref name="Schneier1" />.

Praktyczna możliwość złamania szyfru została zademonstrowana publicznie pod koniec lat dziewięćdziesiątych. W styczniu 1997 RSA Security zaoferowała 10&nbsp;000 dolarów pierwszej drużynie, która zaprezentuje urządzenie łamiące szyfr DES. Zwycięzcą konkursu zostali uczestnicy projektu DESCHALL założonego przez Rocke’a Versera, Matta Curtina oraz Justina Dolske’a, którzy 18 czerwca 1997 roku jako pierwsi w znanej historii złamali szyfr DES – zajęło im to 96 dni. Projekt ten do łamania szyfru wykorzystywał nieużywane cykle zegara tysięcy rozsianych po całym [[Internet|internecie]] komputerów<ref name="DESCHALL" />. Kolejną edycję konkursu – w 1998 – wygrał projekt [[distributed.net]], który zdobył klucz w 41 dni. W tym samym roku [[Electronic Frontier Foundation]] zademonstrowało warte 250&nbsp;000 dolarów urządzenie [[EFF DES cracker|DES Cracker]], które z szyfrem uporało się w 56 godzin<ref name="DESCRACKER" />. Rok później, 19 stycznia 1999, distributed.net oraz RSA Labs złamały szyfr w niecałe 24 godziny<ref name="DeepCrack" />.

=== Pozostałe ataki ===
Istnieje kilka ataków, które w teorii są skuteczniejsze od metody brutalnej. Jednym z nich jest atak w wykorzystaniem [[kryptoanaliza różnicowa|kryptoanalizy różnicowej]], który polega na porównywaniu par szyfrogramów powstałych w wyniku zaszyfrowania tym samym kluczem pewnych tekstów jawnych, różniących się w pewien szczególny sposób. Przeprowadzenie tego ataku wymaga przygotowania dużej ilości danych i z tego powodu jest on niepraktyczny<ref name="Schneier1" /><ref>{{cytuj stronę |url = http://citeseer.ist.psu.edu/viewdoc/summary?doi=10.1.1.31.2000 |tytuł = Differential Cryptanalysis of DES-like Cryptosystems |autor = Eli Biham |autor2 = Adi Shamir |język = en |data dostępu = 2010-03-23}}</ref>.

Innym niepraktycznym atakiem jest kryptoanaliza metodą powiązanych kluczy (ang. ''related-key attack''), w której rozpatrywane są różnice pomiędzy kluczami szyfrującymi<ref name="Schneier1" />.

=== Klucze słabe i półsłabe ===
{|class="wikitable" align="right" style="text-align:center"
!colspan=2| Pary kluczy półsłabych w DES (zapis w formacie 64-bitowym)
|-
|01 FE 01 FE 01 FE 01 FE
|FE 01 FE 01 FE 01 FE 01
|-
|1F E0 1F E0 01 FE 01 FE
|E0 1F E0 1F F1 0E F1 0E
|-
|01 E0 01 E0 01 F1 01 F1
|E0 01 E0 01 F1 01 F1 01
|-
|1F FE 1F FE 0E FE 0E FE
|FE 1F FE 1F FE 0E FE 0E
|-
|01 1F 01 1F 01 0E 01 0E
|1F 01 1F 01 0E 01 0E 01
|-
|E0 FE E0 FE F1 FE F1 FE
|FE E0 FE E0 FE F1 FE F1
|}
Niektóre klucze stosowane w algorytmie DES nazywane są [[Klucz słaby|kluczami słabymi]]. Przy wykorzystaniu takiego klucza podklucz wykorzystywany do szyfrowania będzie taki sam w każdym cyklu. Do kluczy słabych w DES należą następujące klucze (zapis w [[Szesnastkowy system liczbowy|systemie szesnastkowym]]):
* klucz składający się z samych zer: ''00 00 00 00 00 00 00''
* klucz składający się z samych jedynek: ''FF FF FF FF FF FF''
* klucze, w których połowy składają się z samych zer lub jedynek: ''FF FF FF F0 00 00 00'' oraz ''00 00 00 0F FF FF FF''

Dodatkowo stwierdzono, że istnieje sześć par takich kluczy, które dany [[tekst jawny]] szyfrują do takiego samego [[Szyfrogram (kryptografia)|szyfrogramu]] – klucze takie nazywane są [[Klucz słaby|kluczami półsłabymi]]. Oznacza to także, że tekst zaszyfrowany jednym kluczem półsłabym może zostać odszyfrowany za pomocą drugiego klucza z pary.

== Modyfikacje DES ==
Istnieje wiele różnych modyfikacji algorytmu DES. Do najważniejszych z nich zaliczane są<ref name="Schneier1" />:
* [[3DES]] – wykorzystujący do szyfrowania i deszyfrowania trzy klucze. Najpierw wiadomość jest szyfrowana pierwszym kluczem, następnie deszyfrowana drugim i ponownie szyfrowana trzecim kluczem. Szyfrogram uzyskany w ten sposób jest dużo bezpieczniejszy, ponieważ DES nie tworzy [[grupa (matematyka)|grupy]]. Atak brutalny wymaga sprawdzenia <math>2^{112}</math> kluczy.
* [[DESX]] – wykorzystuje metodą wybielania rozmywającą zależność pomiędzy danymi wejściowymi oraz wyjściowymi. Wykorzystuje 64-bitowy klucz wybielający, który przed pierwszym cyklem jest sumowany modulo 2 z tekstem jawnym. Wybielanie uodparnia algorytm na atak brutalny, kryptoanalizę liniową i różnicową.
* CRYPT(3) – wykorzystywany do tworzenia skrótów haseł w systemach z rodziny [[Unix|UNIX]]. Klucz szyfrujący tworzony jest poprzez pobranie niższych 7 bitów z każdego z ośmiu pierwszych bajtów hasła i wykorzystywany jest do szyfrowania stałego ciągu znaków (najczęściej samych zer)<ref>{{cytuj stronę |url = http://linux.die.net/man/3/crypt |tytuł = Strona man dla funkcji crypt(3) |data dostępu = 2010-03-23}}</ref>. W tej wersji algorytmu permutacja rozszerzona jest zależna od klucza.
* Uogólniony DES ([[język angielski|ang.]] Generalized DES, GDES, G-DES)– opracowany przez Ingrida Schaumuller-Bichla w 1981 w celu przyspieszenia i wzmocnienia pierwotnego algorytmu. Operuje na blokach danych zmiennej długości. W 1990 [[Eli Biham]] oraz Adi Shamir udowodnili, że ta odmiana algorytmu jest podatna na kryptoanalizę różnicową i ogólnie mniej bezpieczna od pierwowzoru.
* RDES – algorytm, w którym zamiana lewej i prawej połowy na końcu każdego cyklu zależna jest od klucza. Odmiana ta jest odporna zarówno na kryptoanalizę różnicową, jak i liniową.
* S<math>^n</math>DES – rodzina algorytmów, w której S-bloki miały zostać zaprojektowane w taki sposób, aby były odporne na kryptoanalizę różnicową oraz liniową. Ostatecznie tylko S<math>^3</math> jest odporny na obie metody ataku.
* DES z S-blokami zależnymi od kluczy – S-bloki wykorzystywane podczas szyfrowania są generowane na podstawie bitów klucza.
* DES ze zmienionymi S-blokami – grupa odmian algorytmu DES, w których skupiono się na ulepszaniu S-bloków.
* DES z niezależnymi podkluczami – odmiana algorytmu, która w każdym cyklu wykorzystuje inny podklucz do szyfrowania danych. Długość klucza w tej odmianie DES wynosi 768 bitów. Algorytm jest odporny na kryptoanalizę liniową, nie jest jednak odporny na kryptoanalizę różnicową (może zostać złamany, jeżeli atakujący ma do dyspozycji <math>2^{61}</math> wybranych tekstów jawnych). Atak brutalny wymaga sprawdzenia <math>2^{768}</math> kluczy.

== Przypisy ==
{{Przypisy}}

== Linki zewnętrzne ==
* {{Cytuj stronę | url = http://dhost.info/pasjagor/des/ | tytuł = Prezentacja „krok po kroku” szyfrowania i deszyfrowania DES | opublikowany = dhost.info | archiwum = https://web.archive.org/web/20080411130511/http://dhost.info/pasjagor/des/ | zarchiwizowano = 2008-04-11}} {{lang|en}}

{{Szyfry blokowe}}

{{Kontrola autorytatywna}}

[[Kategoria:Szyfry blokowe]]