Quelltext der Seite Serpent (Verschlüsselung)

{{Infobox Blockchiffre
| name           = Serpent
| bild           = Serpent-linearfunction.svg
| bildname       = Die lineare Transformation von Serpent
| entwickler     = [[Ross Anderson (Informatiker)|Ross Anderson]], [[Eli Biham]], [[Lars Knudsen (Kryptologe)|Lars Knudsen]]
| datum          = 21. August 1998
| abgeleitet     = [[Square (Verschlüsselung)|Square]]
| zertifizierung = [[Advanced Encryption Standard|AES Finalist]]
| schlüssellänge = 128, 192 oder 256 Bit
| blockgröße     = 128 Bit
| struktur       = [[Substitution (Kryptographie)|Substitution]]s-[[Permutation]]s-Netzwerk
| runden         = 32
}}
'''Serpent''' ist ein [[symmetrisches Kryptosystem|symmetrischer Verschlüsselungsalgorithmus]], der von den [[Kryptograph]]en [[Ross Anderson (Informatiker)|Ross Anderson]], [[Eli Biham]] und [[Lars Knudsen (Kryptologe)|Lars Knudsen]] entwickelt wurde. Es ist eine [[Blockchiffre]] mit einer Blockgröße von 128 [[Bit]] und variabler Schlüsselgröße bis 256 Bit.

Serpent war ein Kandidat für den [[Advanced Encryption Standard]] (AES) und gehörte mit [[Twofish]], [[Advanced Encryption Standard|Rijndael]], [[MARS (Verschlüsselung)|MARS]] und [[RC6]] zu den fünf Finalisten des AES-Ausscheidungsverfahrens.

Serpent scheint eine sicherere Architektur als Rijndael zu haben. MARS, Twofish und Serpent wurden als hoch-sicher eingestuft, während Rijndael und RC6 „nur“ als hinreichend-sicher eingestuft wurden. Rijndael wurde vor allem wegen seiner mathematischen Struktur, die möglicherweise zu Angriffen führen könnte, kritisiert. Im Gegensatz zu den beiden anderen als hoch-sicher eingestuften Kandidaten der letzten Runde, MARS und Twofish, wurde Serpent bezüglich seiner Sicherheit nicht kritisiert und es wurde angenommen, dass dieser der sicherste der fünf Finalisten sei.

Serpent weist außerdem bei Implementierung in Hardware, die als [[Pipeline (Prozessor)|Pipeline]] erfolgen kann, die höchste Geschwindigkeit unter den Finalisten auf.
Er ist jedoch bei Software-Implementierungen der Langsamste, während Rijndael sowohl in Hardware als auch in Software relativ schnell ist.
Vor allem dieser Geschwindigkeitsvorteil dürfte bei der Entscheidung, Rijndael zum AES zu erklären, den Ausschlag gegeben haben.<ref>{{cite web|url=http://www.cl.cam.ac.uk/~rja14/Papers/serpentcase.pdf|title=The Case for Serpent|accessdate=2012-05-24|format=PDF; 66,8 kB|language=englisch|date=2000-04-24|author=Ross Anderson, Eli Biham, Lars Knudsen}}</ref>

== Funktionsweise ==
Aus dem Schlüssel werden zunächst 33 Teilschlüssel <math> K_{\,\!0}</math> bis <math> K_{\,\!32}</math> mit je 128 Bit Länge gebildet, und die Daten werden in Blöcke zu je vier 32-Bit-Wörtern eingeteilt. Diese Blöcke werden dann unabhängig voneinander in 32 aufeinanderfolgenden Runden verschlüsselt.

In jeder der Runden <math>i=0</math> bis <math>i=31</math> werden nacheinander folgende Operationen durchgeführt:
# Der [[Datenblock]] wird mit dem Teilschlüssel <math> K_{\,\!i}</math> bitweise [[Kontravalenz|XOR]]-verknüpft.
# Es werden immer vier Bits, die in den vier Datenwörtern jeweils an der gleichen Position stehen, gemeinsam in einer [[S-Box]] [[Substitution (Kryptographie)|substituiert]]. Es gibt acht verschiedene S-Boxen <math> S_{\,\!0}</math> bis <math> S_{\,\!7}</math>, die periodisch durchlaufen werden: in Runde <math>i</math> wird <math>S_{i \, \bmod 8}</math> verwendet.
# In Runde <math>i=0</math> bis <math>i=30</math> werden die Datenwörter einer linearen Transformation unterzogen, die sich aus Rotationen, Verschiebungen und XOR-Verknüpfungen zusammensetzt. Sie ist in der Abbildung dargestellt. In Runde <math>i=31</math> wird stattdessen mit dem Teilschlüssel <math>K_{\,\!32}</math> XOR-verknüpft.

Diese Implementierung (sog. [[Bit-Slice|Bitslice]]-Technik) hat den Vorteil, dass mit [[bitweiser Operator|bitweisen Operationen]] alle 32 Substitutionen in einer Runde parallel ausgeführt werden können. Bei entsprechend optimierter Software-Implementierung geht die Substitution so schneller als durch Tabellenzugriff. Außerdem konnten die Entwickler des Verfahrens hier eine zugleich einfache und effektiv vermischende lineare Transformation darstellen: Wird z.&nbsp;B. ein Datenwort rotiert, werden dadurch alle 32 Substitutionsblöcke geteilt und neu zusammengesetzt.

Eine alternative Implementierung des Verfahrens arbeitet mit der [[Substitution (Kryptographie)|Substitution]] von immer vier in einem Datenwort aufeinanderfolgenden Bits. Dadurch kann die Substitution einfacher als Tabellenzugriff realisiert werden: Die vier Index-Bits stehen schon beisammen und sie müssen nur ggf. nach rechts geschoben und die höheren Bits ausmaskiert werden. Vor der ersten Runde werden die 128 Datenbits permutiert, so dass die niederwertigsten Bits in den vier Datenwörtern an die Positionen 0 bis 3 des ersten Worts kommen, die nächst-höherwertigen an die Positionen 4 bis 7 usw. Diese Permutation wird nach der letzten Runde rückgängig gemacht. Auch die 33 Teilschlüssel müssen entsprechend permutiert werden. Die lineare Transformation wird bei dieser Implementierung jedoch komplizierter, denn auch hierbei muss die andere Anordnung der Bits berücksichtigt werden.

== Lizenz ==
Serpent ist nicht patentiert und wurde als [[Gemeinfreiheit#Public Domain|Public-Domain-Software]] veröffentlicht. Es steht damit jedem zur Nutzung frei zur Verfügung. Optimierte Versionen des Codes wurden unter der [[GNU General Public License]] lizenziert.

=== Beispielanwendungen ===
Der Serpent-Algorithmus wird unter anderem von folgenden [[Open Source|Open-Source-Softwarepaketen]] implementiert:
* [[DiskCryptor]] – [[Festplattenverschlüsselung]], Verschlüsselung von Partitionen
* [[VeraCrypt]] – Festplattenverschlüsselung, Verschlüsselung von Partitionen und von Containerdateien
* [[dm-crypt]] – Festplattenverschlüsselung

== Angriff ==
2002 veröffentlichten Courtois und Pieprzyk eine Arbeit, in der eine potentielle Attacke gegen Serpent (und Rijndael) mit Namen XSL vorgestellt wurde.<ref>{{cite web|url=http://eprint.iacr.org/2002/044|title=Cryptanalysis of Block Ciphers with Overdefined Systems of Equations|accessdate=2012-05-24|date=2002-11-09|language=englisch|author=Nicolas Courtois, Josef Pieprzyk}}</ref> Der Angriff ist lediglich theoretisch und kann aufgrund seiner Komplexität nicht tatsächlich ausprobiert werden. Es ist unbekannt, ob der Angriff praktisch durchgeführt werden könnte.

Die Kryptographen T. Moh<ref>{{cite web|url=http://www.a-sit.at/pdfs/aes_report_ger.pdf|title=AES - Eine Analyse der Sicherheit des Rijndael-Algorithmus|accessdate=2012-05-24|format=PDF; 130 kB|date=2002-10-30|author=Elisabeth Oswald, Vincent Rijmen, Joan Daemen|archiveurl=https://web.archive.org/web/20071027134551/https://www.a-sit.at/pdfs/aes_report_ger.pdf|archivedate=2007-10-27|offline=yes|archivebot=2019-05-13 15:45:51 InternetArchiveBot}}</ref> und [[Don Coppersmith]] sind der Meinung, dass der Angriff auf Serpent derzeit nicht durchgeführt werden kann.

== Einzelnachweise ==
<references/>

== Weblinks ==
* [http://www.cl.cam.ac.uk/~rja14/serpent.html Serpent] (englisch)
* [http://www.repges.net/AES-Kandidaten/Serpent/serpent.htm Beschreibung von Markus Repges]
* [http://www.users.zetnet.co.uk/hopwood/crypto/scan/cs.html#Serpent Standard Cryptographic Algorithm Naming zu Serpent] (englisch)
* [http://csrc.nist.gov/archive/aes/round2/r2report.pdf NIST, Report on the Development of the Advanced Encryption Standard (AES), 2. Oktober 2000] (englisch) (PDF; 392,6 kB)

[[Kategorie:Blockverschlüsselung]]