2.4 The ChaCha20 Encryption Algorithm (Der ChaCha20-Verschlüsselungsalgorithmus)

ChaCha20 ist eine Stromchiffre, die von D. J. Bernstein entworfen wurde. Es ist eine Verfeinerung des Salsa20-Algorithmus und verwendet einen 256-Bit-Schlüssel.

ChaCha20 ruft sukzessive die ChaCha20-Blockfunktion auf, mit demselben Schlüssel und derselben Nonce, und mit sukzessive steigenden Blockzählerparametern. ChaCha20 serialisiert dann den resultierenden Zustand, indem es die Zahlen in Little-Endian-Reihenfolge schreibt und einen Schlüsselstromblock erstellt. Die Verkettung der Schlüsselstromblöcke aus den aufeinanderfolgenden Blöcken bildet einen Schlüsselstrom. Die ChaCha20-Funktion führt dann ein XOR dieses Schlüsselstroms mit dem Klartext durch. Alternativ kann jeder Schlüsselstromblock mit einem Klartextblock XORed werden, bevor mit der Erstellung des nächsten Blocks fortgefahren wird, wodurch etwas Speicher gespart wird. Es gibt keine Anforderung, dass der Klartext ein ganzzahliges Vielfaches von 512 Bits sein muss. Wenn vom letzten Block ein zusätzlicher Schlüsselstrom vorhanden ist, wird er verworfen. Spezifische Protokolle KÖNNEN verlangen, dass der Klartext und der Chiffretext eine bestimmte Länge haben. Solche Protokolle müssen angeben, wie der Klartext aufgefüllt wird und wie viel Auffüllung er erhält.

Die Eingaben für ChaCha20 sind:

Ein 256-Bit-Schlüssel
Ein 32-Bit-Anfangszähler. Dieser kann auf eine beliebige Zahl gesetzt werden, wird aber normalerweise Null oder Eins sein. Es macht Sinn, Eins zu verwenden, wenn wir den Nullblock für etwas anderes verwenden, wie z.B. die Generierung eines Einmal-Authentifikatorschlüssels als Teil eines AEAD-Algorithmus.
Eine 96-Bit-Nonce. In einigen Protokollen ist dies als Initialisierungsvektor bekannt.
Ein Klartext beliebiger Länge

Die Ausgabe ist eine verschlüsselte Nachricht oder "Chiffretext" derselben Länge.

Die Entschlüsselung erfolgt auf dieselbe Weise. Die ChaCha20-Blockfunktion wird verwendet, um den Schlüssel zu einem Schlüsselstrom zu erweitern, der mit dem Chiffretext XORed wird, um den Klartext zurückzugeben.

2.4.1 The ChaCha20 Encryption Algorithm in Pseudocode (Der ChaCha20-Verschlüsselungsalgorithmus in Pseudocode)

chacha20_encrypt(key, counter, nonce, plaintext):
   for j = 0 upto floor(len(plaintext)/64)-1
      key_stream = chacha20_block(key, counter+j, nonce)
      block = plaintext[(j*64)..(j*64+63)]
      encrypted_message +=  block ^ key_stream
      end
   if ((len(plaintext) % 64) != 0)
      j = floor(len(plaintext)/64)
      key_stream = chacha20_block(key, counter+j, nonce)
      block = plaintext[(j*64)..len(plaintext)-1]
      encrypted_message += (block^key_stream)[0..len(plaintext)%64]
      end
   return encrypted_message
   end

2.4.2 Example and Test Vector for the ChaCha20 Cipher (Beispiel und Testvektor für die ChaCha20-Chiffre)

Für einen Testvektor verwenden wir die folgenden Eingaben für die ChaCha20-Blockfunktion:

Key = 00:01:02:03:04:05:06:07:08:09:0a:0b:0c:0d:0e:0f:10:11:12:13:14:15:16:17:18:19:1a:1b:1c:1d:1e:1f.
Nonce = (00:00:00:00:00:00:00:4a:00:00:00:00).
Initial Counter = 1.

Wir verwenden Folgendes für den Klartext. Er wurde so gewählt, dass er lang genug ist, um mehr als einen Block zu erfordern, aber nicht so lang, dass er dieses Beispiel umständlich machen würde (also weniger als 3 Blöcke):

Plaintext Sunscreen: (Klartext Sonnencreme)

4c 61 64 69 65 73 20 61 6e 64 20 47 65 6e 74 6c  Ladies and Gentl
65 6d 65 6e 20 6f 66 20 74 68 65 20 63 6c 61 73  emen of the clas
73 20 6f 66 20 27 39 39 3a 20 49 66 20 49 20 63  s of '99: If I c
6f 75 6c 64 20 6f 66 66 65 72 20 79 6f 75 20 6f  ould offer you o
6e 6c 79 20 6f 6e 65 20 74 69 70 20 66 6f 72 20  nly one tip for 
74 68 65 20 66 75 74 75 72 65 2c 20 73 75 6e 73  the future, suns
63 72 65 65 6e 20 77 6f 75 6c 64 20 62 65 20 69  creen would be i
74 2e                                            t.

Die folgende Abbildung zeigt vier ChaCha-Zustandsmatrizen:

Erster Block, wie er eingerichtet ist.
Zweiter Block, wie er eingerichtet ist. Beachten Sie, dass diese Blöcke nur zwei Bits voneinander entfernt sind -- nur der Zähler an Position 12 ist unterschiedlich.
Der dritte Block ist der erste Block nach der Anwendung der ChaCha20-Blockoperation.
Der letzte Block ist der zweite Block nach der Anwendung der ChaCha20-Blockoperation.

Danach zeigen wir den Schlüsselstrom.

First block setup: (Erster Block-Setup)

    61707865  3320646e  79622d32  6b206574
    03020100  07060504  0b0a0908  0f0e0d0c
    13121110  17161514  1b1a1918  1f1e1d1c
    00000001  00000000  4a000000  00000000

Second block setup: (Zweiter Block-Setup)

    61707865  3320646e  79622d32  6b206574
    03020100  07060504  0b0a0908  0f0e0d0c
    13121110  17161514  1b1a1918  1f1e1d1c
    00000002  00000000  4a000000  00000000

First block after block operation: (Erster Block nach Blockoperation)

    f3514f22  e1d91b40  6f27de2f  ed1d63b8
    821f138c  e2062c3d  ecca4f7e  78cff39e
    a30a3b8a  920a6072  cd7479b5  34932bed
    40ba4c79  cd343ec6  4c2c21ea  b7417df0

Second block after block operation: (Zweiter Block nach Blockoperation)

    9f74a669  410f633f  28feca22  7ec44dec
    6d34d426  738cb970  3ac5e9f3  45590cc4
    da6e8b39  892c831a  cdea67c1  2b7e1d90
    037463f3  a11a2073  e8bcfb88  edc49139

Keystream: (Schlüsselstrom)

22:4f:51:f3:40:1b:d9:e1:2f:de:27:6f:b8:63:1d:ed:8c:13:1f:82:3d:2c:06
e2:7e:4f:ca:ec:9e:f3:cf:78:8a:3b:0a:a3:72:60:0a:92:b5:79:74:cd:ed:2b
93:34:79:4c:ba:40:c6:3e:34:cd:ea:21:2c:4c:f0:7d:41:b7:69:a6:74:9f:3f
63:0f:41:22:ca:fe:28:ec:4d:c4:7e:26:d4:34:6d:70:b9:8c:73:f3:e9:c5:3a
c4:0c:59:45:39:8b:6e:da:1a:83:2c:89:c1:67:ea:cd:90:1d:7e:2b:f3:63

Schließlich XORen wir den Schlüsselstrom mit dem Klartext und erhalten den Chiffretext:

Ciphertext Sunscreen: (Chiffretext Sonnencreme)

6e 2e 35 9a 25 68 f9 80 41 ba 07 28 dd 0d 69 81  n.5.%h..A..(..i.
e9 7e 7a ec 1d 43 60 c2 0a 27 af cc fd 9f ae 0b  .~z..C`..'......
f9 1b 65 c5 52 47 33 ab 8f 59 3d ab cd 62 b3 57  ..e.RG3..Y=..b.W
16 39 d6 24 e6 51 52 ab 8f 53 0c 35 9f 08 61 d8  .9.$.QR..S.5..a.
07 ca 0d bf 50 0d 6a 61 56 a3 8e 08 8a 22 b6 5e  ....P.jaV....".^
52 bc 51 4d 16 cc f8 06 81 8c e9 1a b7 79 37 36  R.QM.........y76
5a f9 0b bf 74 a3 5b e6 b4 0b 8e ed f2 78 5e 42  Z...t.[......x^B
87 4d                                            .M