Режим CBC-CS1. 
Криптографические методы защиты информации

Пусть заданы ключ шифрования к € F™, синхропосылка Iv € F!> и открытый текст а, представленный в виде последовательности из w блоков,.

Длина последнего блока может быть не равна п, то есть выполнены неравенства 1 ^ 1еп (а,") ^ п.

Рассматриваемый нами режим шифрования задаст отображение

образ которого совпадает с образом отображения СВС в случае, когда длина последнего блока в точности равна п.

Отображение CS1 определяется следующей последовательностью действий.

1. Определить блок a'_w € Fg равенством

где количество дополняемых нулей равно п — 1сп (а_ш). Если длина блока a_w равна п, то дополнение нулями не производится.

2. К модифицированному сообщению ai|| • • • |1°и>> имеющему длину, кратную п, применить соотношения (7.27) и вычислить последовательность блоков щЦ? • • Цс^, то есть.

3. Определить зашифрованный текст с равенством.

Схематично мы можем изобразить преобразование последних двух блоков в алгоритме зашифрования CS 1 следующим образом.

Как видно из приведенного нами описания, зашифрованное сообщение с имеет такую же длину, что и открытое сообщение а: длина блока c_w равна п, в то время как длина блока c'_w_₁ равна len («_u;). В случае, когда длина последнего блока a_w равна п, то режим шифрования CS1 совпадает с режимом СВС.

Для расшифрования сообщения с = i|| • • • IK_/,_₁||c_u, выработанного с помощью описанного выше алгоритма, необходимо сделать следующие шаги.

1. Обозначим длину блока c'_w__x равной d, где 1 ^ d ^ п. Тогда по заданному значению с-_ш необходимо определить блоки.

2. К сообщению ci|| • • • ||c_w_i применить соотношения (7.28) и вычислить последовательность блоков открытого текста

3. Определить последний блок а_и, открытого текста а равенством.

Режим CBC-CS3

Основная проблема, возникающая при практической реализации режима CS 1, заключается в том, что зашифрованное сообщение с содержит в середине себя блок c'_w__Y длины, меньшей п. Это накладывает необходимость реализовывать дополнительные операции копирования данных при расшифровании сообщений. Более естественным выглядит вариант, при котором лишь последний блок имеет неполную длину.

В рекомендациях NIST такой вариант также рассматривается. Там вводится отображение CS3(k, Iv, а): F™ х F₂ х F₂ -> F₂, определяемое равенствами.

где Cl|| ••• Нсад-гПсад-хЦси, = CSl (k, Iv, Iv, ai ? ? • ||a_w).

Данное отображение просто меняет местами два последних блока, выработанных в режиме CS1.

В случае когда длина шифруемого сообщения кратна п, режим шифрования CS 3 не совпадает с режимом шифрования С ВС, поскольку они различаются значениями двух последних блоков зашифрованного текста. Это позволяет классифицировать режим CS 3 как отличный от С ВС режим шифрования.