Ver- und Entschlüsselung

Gegeben seien ein Klartextblock in Little-Endian-Darstellung, der aus den Datenworten A, B, C, D besteht, und die Rundenschlüssel S₀ bis S_2r+3. Dabei bezeichnet ${\displaystyle \log w}$ den Logarithmus der Wortlänge ${\displaystyle w}$ zur Basis 2. Der Block wird verschlüsselt durch:

${\displaystyle B\leftarrow B+S_{0}}$

${\displaystyle D\leftarrow D+S_{1}}$

${\displaystyle \mathbf {for} \;k\leftarrow 1\;\mathbf {to} \;r\;\mathbf {do:} }$

${\displaystyle t\leftarrow {\big (}B\cdot (2B+1){\big )}\lll \log w}$

${\displaystyle u\leftarrow {\big (}D\cdot (2D+1){\big )}\lll \log w}$

${\displaystyle X\leftarrow {\big (}(A\oplus t)\lll u{\big )}+S_{2k}}$

${\displaystyle C\leftarrow {\big (}(C\oplus u)\lll t{\big )}+S_{2k+1}}$

${\displaystyle A\leftarrow B;\;B\leftarrow C;\;C\leftarrow D;\;D\leftarrow X}$

${\displaystyle A\leftarrow A+S_{2r+2}}$

${\displaystyle C\leftarrow C+S_{2r+3}}$

Wie bei RC5 werden S₀ und S₁ zum Key Whitening verwendet.

Die Entschlüsselung eines Chiffretextblocks entspricht der Umkehrung dieses Algorithmus.

Schlüsselexpansion

Der Expansionsalgorithmus von RC6, der die Rundenschlüssel S₀ bis S_2r+3 berechnet, wurde im Wesentlichen unverändert von RC5 übernommen. Zunächst werden die Rundenschlüssel S_k mittels Konstanten ${\displaystyle P,Q}$ auf einen festen Anfangszustand initialisiert. P und Q sind – wie bei RC5 – ungerade Ganzzahlen, die mit der eulerschen Zahl e und dem goldenen Schnitt Φ in Abhängigkeit von der verwendeten Blockgröße generiert werden (Tabelle).

${\displaystyle S_{0}\leftarrow P}$

${\displaystyle \mathbf {for} \;k\leftarrow 1\;\mathbf {to} \;2r+3\;\mathbf {do:} }$

${\displaystyle S_{k}\leftarrow S_{k-1}+Q}$

Anschließend wird der geheime Schlüssel in c Wörter ${\displaystyle L_{0}}$ bis ${\displaystyle L_{c-1}}$ der Länge w aufgespaltet, und bei Bedarf wird das letzte Wort ${\displaystyle L_{c-1}}$ mit Nullen aufgefüllt. Folgender Code berechnet dann die endgültigen Rundenschlüssel:

${\displaystyle k\leftarrow i\leftarrow 0}$

${\displaystyle A\leftarrow B\leftarrow 0}$

${\displaystyle \mathbf {do} \;3\cdot \max {\big (}2r+4,c{\big )}\;\mathbf {times:} }$

${\displaystyle A\leftarrow (S_{k}+A+B)\lll 3}$

${\displaystyle B\leftarrow (L_{i}+A+B)\lll (A+B)}$

${\displaystyle S_{k}\leftarrow A;\;L_{i}\leftarrow B}$

${\displaystyle k\leftarrow (k+1)\;{\bmod {\;}}(2r+4)}$

${\displaystyle i\leftarrow (i+1)\;{\bmod {\;}}c}$

Chosen-Plaintext

2001 wiesen Tetsu Iwata und Kaoru Kurosawa des Tokyo Institute of Technology nach, dass ein idealisiertes RC6 mit 4 Runden keine pseudozufällige Permutation darstellt – ein Angreifer mit polynomiell vielen Verschlüsselungsversuchen das Ergebnis der Blockchiffre also von zufälligem Rauschen unterscheiden kann. Im gleichen Jahr stellten Henri Gilbert, Helena Handschuh, Antoine Joux und Serge Vaudenay einen auf dieser Eigenschaft aufbauenden statistischen Angriff vor, mit dessen Hilfe sich – für w = 32 – mit 2¹¹⁸ Paaren aus gewählten Klartexten und ihren Chiffraten Bits der Rundenschlüssel für bis zu 13 Runden rekonstruieren lassen. Mit einem Speicherbedarf von 2¹¹² und etwa 2¹²² notwendigen Operationen kann dieser Angriff zudem auch als Known-Plaintext-Angriff gegen 14 Runden verwendet werden. Aus diesem – aufgrund der Anforderungen praktisch nicht durchführbaren – Angriff schlossen die Autoren, dass die 20 Runden des AES-Kandidaten nicht übermäßig viel seien.

Known-Plaintext

1999 stellten Borst, Preneel und Vandevalle fest, dass der von ihnen publizierte, auf linearen Approximationen basierende Angriff auf RC5 gegen RC6 essentiell wirkungslos ist und die Vorkehrungen der RC6-Entwickler ausreichten.

Lizenzierung

Für das RC6-Verfahren erhielt das Unternehmen RSA die US-Patente 5724428 und 5835600 zugesprochen. Diese liefen allerdings zwischen 2015 und 2017 aus.