Mostrar código-fonte de DEAL

{{Wikificação|data=junho de 2016}}
Em [[Criptografia]], '''DEAL''' (''Data Encryption Algorithm with Larger blocks'') é um [[algoritmo]] de [[Cifra de bloco|cifra de blocos]] [[Algoritmo de chave simétrica|simétrica]] construído baseado em um outro, conhecido como [[DES]] (''Data Encryption Standard''). Proposto inicialmente por Lars Knudsen em 1998, e, posteriormente, submetido ao [[Advanced Encryption Standard|AES]] ''Contest'' por Richard Outerbridge, o '''DEAL''' não avançou às finais do concurso, como já se era esperado, pois foram encontradas falhas de segurança graves, além de que seu tempo de execução, comparado com os demais candidatos, era muito alto, próximo ao do [[3DES|''Triple''-DES]].

Diz-se que o '''DEAL''' é uma rede de Feistel que usa o [[Data Encryption Standard|DES]] como função de turno, em [[Língua inglesa|inglês]], ''round function''. Seu funcionamento se dá com blocos de 128 bits, e com as chaves podendo ter tamanhos iguais a 128, 192 ou 256 bits. Nos casos em que o tamanho da chave é igual a 128 ou a 192 bits, o '''DEAL''' realiza 6 turnos para cifrar ou decifrar a mensagem, e no caso de a chave possuir tamanho igual a 256 bits, o algoritmo realiza 8 turnos.

==Introdução==
O [[Data Encryption Standard|DES]] é um algoritmo de cifra de blocos que utiliza chaves de tamanho igual a 64 bits, dos quais 56 são realmente utilizados, e o restante . Possui estrutura de uma rede de Feistel, e realiza 16 turnos de maneira iterativa para criptografar a mensagem original <ref name="des">{{Citar web |url=http://www.facweb.iitkgp.ernet.in/~sourav/DES.pdf |título=Chapter 2 The Data Encryption Standard (DES) |acessadoem=30 de junho de 2016 |arquivourl=https://web.archive.org/web/20161120133736/http://www.facweb.iitkgp.ernet.in/~sourav/DES.pdf |arquivodata=2016-11-20 |urlmorta=yes }}</ref>.

Segundo <ref name="deal1">{{Citar web |url=https://www.schneier.com/academic/paperfiles/paper-deal.pdf |título=Key-Schedule Cryptanalysis of DEAL |autor=John Kelsey and Bruce Schneier|data=Agosto 1999|acessadoem=30 de junho de 2016}}</ref> e <ref name="des"></ref>, um dos problemas que podem ser apontados no [[Data Encryption Standard|DES]] é o tamanho da chave, considerado pequeno atualmente, pois alguns softwares conseguiram quebrar sua criptografia, por meio de buscas exaustivas pela chave, ou seja tentando todas as chaves possíveis.

Esta falha foi superada com o [[3DES|3-DES]], ou [[3DES|''Triple''-DES]], que consiste em criptografar a mensagem 3 vezes usando o DES e chaves diferentes a cada vez. Entretanto, ainda assim o algoritmo é vulnerável a um ataque conhecido como "Chave Relacionada", em inglês, ''related-key attack'', com tempo de execução próximo ao ataque no [[Data Encryption Standard|DES]] original <ref name="deal1"></ref>. 

Proposto em 1999 por Lars Knudsen, o '''DEAL''' é uma rede de Feistel com R turnos, sendo o [[Data Encryption Standard|DES]] a função de turno do algoritmo, e utiliza blocos de tamanho igual a 128 bits e a chave tem tamanho variando entre 128, 192 ou 256 bits. O autor do projeto é professor no departamento de matemática aplicada e [[ciência da computação]] na universidade técnica de Denmark, e sua página com informações de contato pode ser acessada em <ref name="autor">{{Citar web |url=http://www2.mat.dtu.dk/people/Lars.R.Knudsen/ |título=Lars R. Knudsen |acessadoem=30 de junho de 2016}}</ref>.

Segundo <ref name="deal1"></ref> para chaves de tamanho 128 ou 192 bits, é recomendado usar R = 6, isto é, realizar 6 turnos do algoritmo, e R = 8 no caso de a chave ter 256 bits de tamanho, e seu tempo de execução é próximo do [[3DES|''Triple''-DES]].
O '''DEAL''' foi um dos algoritmos que concorreram no [[AES]] ''contest''.

Este concurso foi promovido para eleger um algoritmo para substituir o [[Data Encryption Standard|DES]]. O algoritmo não avançou às finais, pois foi considerado lento e algumas falhas graves de segurança foram apontadas.

Algoritmos semelhantes ao '''DEAL''', são conhecidos por serem cifras de Luby-Rackoff. Isso se deve ao fato de que Michael Luby e Charles Rickoff demonstraram uma forma eficiente de se construir funções pseudo-aletórias, de maneira bastante eficiente, utilizando uma rede de feistel de 3 ou 4 turnos.
 
Um algoritmo semelhante ao '''DEAL''' também caiu em desuso, pois foram encontradas falhas de segurança. Este algoritmo é conhecido como Ladder-DES e alguns artigos como <ref name="ladderdes">{{Citar web |url=http://download.springer.com/static/pdf/961/chp%253A10.1007%252FBFb0052341.pdf?originUrl=http%3A%2F%2Flink.springer.com%2Fchapter%2F10.1007%2FBFb0052341&token2=exp=1464880189~acl=%2Fstatic%2Fpdf%2F961%2Fchp%25253A10.1007%25252FBFb0052341.pdf%3ForiginUrl%3Dhttp%253A%252F%252Flink.springer.com%252Fchapter%252F10.1007%252FBFb0052341*~hmac=32c3f5a1f4c5c16ed25857702f8a04aaa6a51df356fd3e6ddff9d619c0447dd1 |título=Cryptanalysis of Ladder-DES |autor=Eli Biham |data=Maio 2006 |acessadoem=30 de junho de 2016 }}{{Ligação inativa|1={{subst:DATA}} }}</ref> provam as falhas encontradas.

==Princípios do projeto==
O algoritmo DES foi tido como seguro durante algum tempo, e considerado como algoritmo padrão de criptografia pela NIST (''National Institute of Standards and Technology''). Entretanto, com o avanço da tecnologia foi possível explorar falhas do algoritmo, tais como encontrar a chave por meio de tentativa e erro, ou seja testar todas as chaves possíveis até encontrar a correta, dado que o tamanho desta é 56 bits e, posteriormente, publicações demonstravam como quebrar a criptografia do algoritmo em menos e um dia <ref name="quebrardes">{{Citar web |url=http://www.sciengines.com/company/news-a-events/74-des-in-1-day.html |título=Break DES in less than a single day |autor=SciEngines |acessadoem=30 de junho de 2016}}</ref>.

Por volta de 1999, a NIST anunciou a intenção de substituir o DES, dando lugar a um outro algoritmo que receberia o nome de [[AES]] (''Advanced Encryption Standart''), motivando a criação de vários outros algoritmos que buscavam suprir as falhas que eram apontadas, como o '''DEAL'''. Além disso, nesta época, a NIST se mostrou ciente de que levaria alguns anos até que o AES estivesse pronto para uso e, por conta disso, o Triple-DES foi reconhecido como algoritmo oficial <ref name="deal1"></ref>.

Esta atitude da NIST, de aprovar o [[3DES|Triple-DES]] como algoritmo oficial para criptografia, motivou a criação do '''DEAL''', uma vez que ele pode ser entendido como um aprimoramento do [[Data Encryption Standard|DES]] e executa com tempo similar ao do [[3DES|Triple-DES]], utiliza conceitos conhecidos, explicados mais adiante, e seguros, além de que ele oferece meios para aumentar o tamanho da chave, visando se prevenir de ataques de força bruta, ainda que a tecnologia avançasse bastante, e, portanto, poderia vir a ser o algoritmo padrão.

==Estrutura de funcionamento==

O '''DEAL''' é uma cifra de blocos de tamanho igual a 128 bits, que fornece três opções para o tamanho, em bits, da chave: 128, 192 ou 256, denominados DEAL-128, DEAL-192 ou DEAL-256. Sua estrutura é de uma rede de Feistel, explicada a seguir, que utiliza como função de turno o algoritmo [[Data Encryption Standard|DES]], também explicado a seguir.

Um turno do '''DEAL''' funciona da seguinte forma:

* Divide a entrada em duas partes de mesmo tamanho L e R;
* Seja NL o resultado da aplicação do DES em L;
* recebe R ⊕ NL;
* Retorne R || L, em que || significa concatenação.

A saída de um turno é a entrada do próximo, com exceção do último, cuja saída é o texto cifrado.

===Rede de Feistel===

Rede de Feistel, em inglês ''Feistel Network'', é uma construção especifica para esquemas de criptografia simétrica e foi descrita primeiramente por Horst Feistel durante seu trabalho na cifra de Lúcifer, predecessora do DES, na IBM <ref name="feistel">{{Citar web |url=http://web.cs.du.edu/~ramki/courses/security/2011Winter/notes/feistelProof.pdf |título=Block Ciphers |autor=Michael Backes |acessadoem=30 de junho de 2016}}</ref>.

Uma rede de Feistel define uma função F: <math>\{0, 1\}^{2n}</math> → <math>\{0, 1\}^{2n}</math> parametrizada por um número inteiro D, geralmente entre 12 e 16, que é a quantidade de turnos a serem executados. Cada turno utiliza uma função, denominada função de turno, definida por f : <math>\{0, 1\}^{n}</math> → <math>\{0, 1\}^{n}</math>. A figura 1 descreve o processo de encriptação e decriptação de uma rede de Feistel:
[[Ficheiro:Feistel_cipher_diagram_en.svg|thumb|Encriptação e Decriptação em uma rede de Feistel |alt=Encriptação e Decriptação em uma rede de Feistel |link=https://pt.wikipedia.org/wiki/Cifra_Feistel]]

Formalmente, um turno i ∈ [1, D], da rede de Feistel pode ser descrito da seguinte forma:

# Divida a entrada em duas partes de mesmo tamanho, denominadas <math>L_{i-1}</math> e <math>R_{i-1}</math>;
# Aplique a função de turno à metade direita, denominada <math>f_{i}(R_{i-1})</math>;
# Faça um XOR bit a bit da metade esquerda com <math>f_{i}(R_{i-1})</math>;
# Gere <math>R_{i-1}</math> || <math>L_{i-1}</math> ⊕ <math>f_{i}(R_{i-1})</math> , em que || indica concatenação.

Inicialmente, <math>L_{0}</math> é a metade esquerda da entrada e <math>R_{0}</math> a metade direita;

A saída de um turno é a entrada do seguinte, com exceção do último, cuja saída é o resultado esperado.
===DES - ''Data Encryption Standard''===

O [[DES]], algoritmo base para o '''DEAL''', também é uma rede de Feistel de 16 turnos e seu funcionamento, simplificado, está descrito pelo pseudo-código a seguir:

Entrada:
* T: 64 bits de texto em claro
* <math>k_{1}, k_{2}, ..., k_{16}</math> chaves para cada turno

Saída:
* C: texto cifrado de 64 bits

 inicio
 T ← IP(T) //IP = Permutação Inicial
 <math>L_{0}</math> ← T >> 32
 <math>R_{0}</math> ← T & 0xFFFF
 para r = 1 a R faça:
     <math>L_{r}</math> ← <math>R_{r-1}</math>
     <math>R_{r}</math> ← <math>L_{r-1}</math> ⊕ <math>f(R_{r-1}, K_{r})</math>
 fim_para
 X ← <math>R_{r}</math> << 32 & <math>L_{r}</math>
 retorne FP(X) //FP = Permutação Final
 fim_algoritmo

==Funcionamento do algoritmo==

Segundo <ref name="deal1"></ref>, o funcionamento do '''DEAL''' pode ser explicado, utilizando o modo de operação ECB, de acordo com a figura 2, que mostra a estrutura de um dos R turnos que são executados:
[[Ficheiro:Deal-round-function.svg|thumb|Estrutura de um dos R turnos do DEAL |alt=Estrutura de um dos R turnos do DEAL |link=https://en.wikipedia.org/wiki/DEAL]]

Neste caso, <math>E_{j}</math> é a função usada no turno j, que corresponde ao DES aplicado a <math>X_{j-1}^{A}</math> com a chave <math>K_{j}</math>. Neste caso <math>X_{j-1}^{A}</math> é a parte esquerda da entrada e <math>X_{j-1}^{B}</math> a parte direita. 
Formalmente, define-se a estrutura de funcionamento da seguinte forma:
# Seja <math>E_{b}(A)</math> a encriptação em 64 bits de A com a chave b usando o DES; 
# Seja <math>X_{i}^{L}</math> a metade esquerda do texto no turno i;
# Seja <math>X_{i}^{R}</math> a metade direita do texto no turno i;

Divide-se o texto em claro P em blocos de 128 bits, denominados <math>P_{1}, P_{2}, P_{3}, ..., P_{n}</math>. A rotina de geração de chaves, definida mais adiante, recebe um conjunto de S chaves como entrada e retorna R chaves para o DES, denominadas <math>K_{1}, K_{2}, K_{3}, ..., K_{R}</math>.

Para cada bloco executa-se o seguinte procedimento, para cada bloco i, com i variando de 1 a n:

 inicio
 Inicialmente define-se <math>X_{0}^{L} = P_{i}^{L}</math> e <math>X_{0}^{R} = P_{i}^{R}</math>;
 Para todo j de 1 à r executa-se os seguintes passos:
      <math>X_{j}^{L}</math> = <math>E_{K_{j}}(X_{j-1}^{L})</math> ⊕ <math>X_{j-1}^{R}</math>;
      <math>X_{j}^{R}</math> = <math>X_{j-1}^{L}</math>.
 fim_para
 <math>C_{i} = X_{r}^{L}</math> || <math>X_{r}^{R}</math>, em que || significa concatenação.
 Retorne <math>C_{i}</math>
 fim_algoritmo

A rotina, retirado de <ref name="deal2">{{Citar web |url=http://repo.hackerzvoice.net/depot_madchat/crypto/hash-lib-algo/deal/deal.pdf |título=DEAL - A 128-bit Block Cipher |autor=Lars Knudsen |date=Fevereiro 1998 |acessadoem=30 de junho de 2016 |arquivourl=https://web.archive.org/web/20160918233450/http://repo.hackerzvoice.net/depot_madchat/crypto/hash-lib-algo/deal/deal.pdf |arquivodata=2016-09-18 |urlmorta=yes }}</ref>, de modo geral, para criação das R chaves necessárias está descrita a seguir:

# Receba como entrada S chaves para o DES: <math>SK_{1}, SK_{2}, ..., SK_{S}</math>;
# Seja DK uma chave para aplicação do algoritmo DES;
# Expanda as S chaves para R chaves, com operações ⊕ (XOR) entre elas e uma nova constante para cada repetição, usando as S chaves de maneira cíclica, isto é, use-as na sequência e volte ao começo quando a sequência acabar; 
# Criptografe as R chaves com o DES em modo CBC com IV (''Initial value'') igual a zero e aplicado com a chave DK;
# O resultado destas criptografias formam o conjunto de chaves do DEAL.

Em particular, esta rotina funciona de três formas diferentes, uma para cada um dos três tamanhos de chave do DEAL, e estão especificados a seguir:

Para chave de tamanho 128 bits é construída uma chave para cada um dos 6 turnos:
* <math>K_{1} = E_{DK}(SK_{1})</math>;
* <math>K_{2} = E_{DK}(SK_{2}</math> ⊕ <math>K_{1})</math>;
* <math>K_{3} = E_{DK}(SK_{1}</math> ⊕ 1 ⊕ <math>K_{2})</math>;
* <math>K_{4} = E_{DK}(SK_{2}</math> ⊕ 2 ⊕ <math>K_{3})</math>;
* <math>K_{5} = E_{DK}(SK_{1}</math> ⊕ 4 ⊕ <math>K_{4})</math>;
* <math>K_{6} = E_{DK}(SK_{2}</math> ⊕ 8 ⊕ <math>K_{5})</math>.
Desta forma, para chave de tamanho igual a 128 bits é necessário a escolha de S = 2 chaves para o DES, além da chave DK.

Para chave de tamanho 192 bits é construída uma chave para cada um dos 6 turnos:
* <math>K_{1} = E_{DK}(SK_{1})</math>;
* <math>K_{2} = E_{DK}(SK_{2}</math> ⊕ <math>K_{1})</math>;
* <math>K_{3} = E_{DK}(SK_{3}</math> ⊕ <math>K_{2})</math>;
* <math>K_{4} = E_{DK}(SK_{1}</math> ⊕ 1 ⊕ <math>K_{3})</math>;
* <math>K_{5} = E_{DK}(SK_{2}</math> ⊕ 2 ⊕ <math>K_{4})</math>;
* <math>K_{6} = E_{DK}(SK_{3}</math> ⊕ 4 ⊕ <math>K_{5})</math>.
Desta forma, para chave de tamanho igual a 192 bits é necessário a escolha de S = 3 chaves para o DES, além da chave DK.

Para chave de tamanho 256 bits é construída uma chave para cada um dos 8 turnos:
* <math>K_{1} = E_{DK}(SK_{1})</math>;
* <math>K_{2} = E_{DK}(SK_{2}</math> ⊕ <math>K_{1})</math>;
* <math>K_{3} = E_{DK}(SK_{3}</math> ⊕ <math>K_{2})</math>;
* <math>K_{4} = E_{DK}(SK_{4}</math> ⊕ <math>K_{3})</math>;
* <math>K_{5} = E_{DK}(SK_{1}</math> ⊕ 1 ⊕ <math>K_{4})</math>;
* <math>K_{6} = E_{DK}(SK_{2}</math> ⊕ 2 ⊕ <math>K_{5})</math>;
* <math>K_{7} = E_{DK}(SK_{3}</math> ⊕ 4 ⊕ <math>K_{6})</math>;
* <math>K_{8} = E_{DK}(SK_{4}</math> ⊕ 8 ⊕ <math>K_{7})</math>.
Desta forma, para chave de tamanho igual a 256 bits é necessário a escolha de S = 4 chaves para o DES, além da chave DK.

Segundo <ref name="deal1"></ref>, as constantes foram incluídas para evitar chaves fracas, pois caso estas não estivessem presentes todas as subchaves poderiam ser iguais, por exemplo, suponha para o DEAL-128 as chaves <math>SK_{1} = SK_{2} = D_{k}(0)</math> geraria 6 subchaves iguais a zero.

==Criptoanálise==

Segundo <ref name="deal1"></ref> <ref name="deal2"></ref> <ref name="deal3">{{Citar web |url=http://link.springer.com/chapter/10.1007/3-540-48519-8_5 |título=On the Security of the 128-bit Block Cipher DEAL |autor=Stefan Lucks |data=Maio 2001 |acessadoem=30 de junho de 2016}}</ref> , o DEAL está vulnerável aos seguintes ataques:
# ''Meet-in-the-middle'';
# Ataque de texto em claro escolhido para a versão de 6 turnos;
# Ataque de texto cifrado escolhido ao DEAL-192;
# Ataque de chaves relacionadas ao DEAL-192 e 256.

Segundo <ref name="deal3"></ref>, o ataque ''Meet-in-the-middle'' pode ser aplicado para recuperar as chaves utilizadas nos turnos do DEAL. O autor do algoritmo, Lars Knudsen, em <ref name="deal2"></ref>, explica que o ataque pode ser feito, embora demande um alto processamento computacional e muito tempo para se conseguir. Para a versão de 6 turnos são necessárias <math>(2^{56})^{3} = 2^{168}</math> encriptações, e para a versão de 8 turnos são necessárias <math>(2^{56})^{4} = 2^{224}</math> encriptações. Desta forma, devido a quantidade de memória necessária, este ataque não poderia ser feito com a tecnologia atual.

Segundo <ref name="deal2"></ref>, o ataque de texto cifrado escolhido pode ser aplicado ao DEAL para qualquer tamanho de chave, uma vez que é possível mostrar que para quebrar a criptografia gerada a partir de uma rede de Feistel de N bits com 5 ou 6 turnos, que utiliza uma função de turno que gera uma permutação de <math>2*N</math> bits verdadeiramente aleatória, requer o conhecimento de pelo menos <math>2^{2*N/3}</math> textos em claro e suas cifras correspondentes. Desta forma, ele enuncia a seguinte proposição: "Existe um ataque ao DEAL de 6 turnos independente do tamanho da chave, que necessita de <math>2^{121}</math> encriptações usando DES e <math>2^{70}</math> textos em claro escolhidos".

Segundo <ref name="deal3"></ref>, para este ataque são necessários <math>2^{32+r}</math> textos cifrados escolhidos, com r ∈ ]0,32], podendo ser um número real.

Uma vez que este ataque é realizado ao DEAL-192, o número de turnos é igual a seis. Desta forma, considere os últimos quatro turnos <math>R_{3}, R_{4}, R_{5}, R_{6}</math>. Seja a entrada destes o par <math>(x_{2}, y_{2})</math> ∈ <math>\{0, 1\}^{64}</math> e a saída o par <math>(x_{6}, y_{6})</math> ∈ <math>\{0, 1\}^{64}</math>. Considere dois pares de entrada e saída <math>(x_{2}, y_{2})</math>, <math>(x_{6}, y_{6})</math> e <math>(x_{2}^{'}, y_{2}^{'})</math>, <math>(x_{6}^{'}, y_{6}^{'})</math> com <math>y_{6} = y_{6}^{'}</math>, <math>x_{2}</math> ⊕ <math>x_{2}^{'}</math> = α = <math>x_{6}</math> ⊕ <math>x_{6}^{'}</math>.

Entretanto, esses dois pares de entrada e saída não podem existir, pois: uma vez que α = <math>x_{6}</math> ⊕ <math>x_{6}^{'}</math> e <math>y_{6} = y_{6}^{'}</math>, temos que <math>x_{5}</math> ⊕ <math>x_{5}^{'}</math> = α = <math>x_{4}</math> ⊕ <math>x_{4}^{'}</math> e, então, <math>y_{4}</math> ⊕ <math>y_{4}^{'}</math> ≠ 0. Por outro lado, uma vez que <math>x_{3}</math> ⊕ <math>x_{3}^{'}</math> = α = <math>x_{2}</math> ⊕ <math>x_{2}^{'}</math>, e <math>x_{5}</math> ⊕ <math>x_{5}^{'}</math> = α = <math>x_{4}</math> ⊕ <math>x_{4}^{'}</math>, seria necessário que <math>y_{3}</math> ⊕ <math>y_{3}^{'}</math> = 0. O que é uma contradição com <math>y_{4} = y_{3}</math> e <math>y_{4}^{'} = y_{3}^{'}</math>.

Desta forma, é possível explorar a não existência destes pares para recuperar as chaves:

# Escolha um valor <math>y_{6}</math> = <math>y_{6}^{'}</math> ∈ <math>\{0, 1\}^{64}</math> e <math>s = 2^{32 + r}</math> ∈ <math>\{0, 1\}^{64}</math> valores diferentes, gerando <math>2^{32 + r}</math> textos cifrados diferentes <math>(s, y_{6})</math>. Considere dois textos cifrados <math>(x_{6}, y_{6})</math> e <math>(x_{6}^{'}, y_{6}^{'})</math> com <math>x_{6}</math> ≠ <math>x_{6}^{'}</math> e os correspondentes textos cifrados <math>(x_{0}, y_{0})</math> e <math>(x_{0}^{'}, y_{0}^{'})</math>;
# Para todas as possíveis chaves R, compute <math>y_{1} = y_{0}</math> ⊕ <math>E_{R}(x_{0})</math> e <math>y_{1}^{'} = y_{0}^{'}</math> ⊕ <math>E_{R}(x_{0}^{'})</math>;
# Para todas as possíveis chaves S, compute <math>x_{2} = x_{1}</math> ⊕ <math>E_{S}(y_{1})</math> e <math>x_{2}^{'} = x_{1}^{'}</math> ⊕ <math>E_{S}(y_{1}^{'})</math>. Se <math>x_{2}</math> ⊕ <math>x_{2}^{'} = x_{6}</math> ⊕ <math>x_{6}^{'}</math>, então o par <math>(R, S)</math> pode ser descartado, ou seja <math>(R_{1}, R_{2})</math> ≠ <math>(R, S)</math>. Se <math>(R, S)</math> é um par errado, espera-se atingir o par correto com probabilidade <math>2^{-64}</math>. Uma vez que temos <math>2^{32+r}</math> textos cifrados escolhidos e assim <math>{2^{32+r} \choose {2}}</math> conjuntos com exatamente dois textos cifrados, e espera-se que <math>1 - 2^{-2*r}</math> pares descartados, logo se r = 0.5, espera-se descartar 50% dos pares.

Segundo <ref name="deal1"></ref>, há ainda um ataque possível de se fazer ao DEAL quando as chaves possuem tamanhos 192 ou 256. Neste ataque, detecta-se chaves quase equivalentes às chaves originais. Isto pode ser feito da seguinte forma: dado três pares de textos em claro e cifrados, suponha que o par de chaves <math>(K, K^{*})</math> seja quase equivalente aos pares originais. É possível determinar se este par possui esta propriedade, ou seja de ser quase equivalente, com um custo de <math>2^{64}</math> e utilizando <math>3 * 2^{56}</math> alocações de memória. Montamos algo muito parecido com o ataque ''Meet-in-the-middle'' utilizado para quebrar o 2-DES (uma variante do algoritmo DES, que utiliza duas chaves do DES para encriptar a mensagem).

==Exemplo prático==

Devido às falhas de segurança e ao tempo de execução, o '''DEAL''' não avançou às finais do concurso do [[Advanced Encryption Standard|AES]], e, por conta disso, não há exemplos práticos de uso deste algoritmo.

Algoritmos semelhantes, tais como [[Ladder-DES]], também não têm aplicações práticas que podem ser descritas aqui.

Entretanto, é possível implementar o '''DEAL''', uma vez que há bibliotecas que implementam o [[DES]]. Fica a cargo do programador definir as rotinas de geração das chaves para o [[DES]]. Feito isso, pode-se usar o código, implementado em Java, a seguir como base para a construção do algoritmo:

<syntaxhighlight lang="Java">
Cipher enc = Cipher.getInstance("DES/ECB/PKCS5Padding");

SecretKeyFactory skf = SecretKeyFactory.getInstance("DES");
byte chaveBytes[] = {(byte)0xf3,(byte)0xf1,(byte)0x10,(byte)0x56,
 (byte)0x89,(byte)0x23,(byte)0x07,(byte)0x43};

DESKeySpec dks = new DESKeySpec(chaveBytes);

SecretKey chave = skf.generateSecret(dks); 

	String[] DESkeys = constructKeysForDES();

enc.init(Cipher.ENCRYPT_MODE, chave);

String input;
input = entrada();

String []blocos128bit = quebraBlocos(input);
int tamanho_chave = getKeyLength();
int turnos = getTurnos(tamanho_chave);
String[] chaves = geraChaves(tamanho_chave, DESkeys);

ArrayList<String>cifrados = new ArrayList<>();

for (int i = 0 ; i < blocos128bit.length ; ++i)
{
	String x0 = esquerda(blocos128bit[i]);
	String y0 = direita(blocos128bit[i]);
	
	for (int j = 0; j < turnos; ++j)
	{
		String auxiliar = y0;
		y0 = XOR(enc.update(x0.getBytes(), 0, x0.getBytes().length), y0);
		x0 = auxiliar;
	}
	cifrados.add(y0 + x0);
}
</syntaxhighlight>

==Conclusões==

O DEAL foi excluído da competição para a escolha do AES por apresentar falhas de seguranças graves conforme foi discutido. Isso implica que o algoritmo foi deixado de lado e atualmente não é possível encontrar aplicações nem implementações deste.

Embora o DEAL tenha algumas provas de segurança, outros ataques puderam ser feitos para quebrar a sua segurança, partindo do princípio de que a tecnologia atual tem poder para executar um número de operações bastante elevado, que permite quebrar criptografias que no passado eram consideradas seguras, avanço este que motivou o concurso para a substituição do DES.

Algoritmos como o Ladder-DES, que é muito semelhante ao '''DEAL''' por usar blocos de 128 bits e usar o [[Data Encryption Standard|DES]] como função de turno para a rede de Feistel, também caíram em desuso por apresentarem falhas de segurança, o que torna mais complicado encontrar aplicações que implementam algoritmos semelhantes ao '''DEAL'''.

Inclusive o autor do algoritmo Lars Knudsen <ref name="autor"></ref> não possui nada sobre o algoritmo em sua página.

Desta forma, apesar de usar conceitos bastante conhecidos, o '''DEAL''', embora seja imune a ataques de força bruta, parte de premissas, cujas falhas podem ser exploradas por um atacante, e o torna vulnerável a ataques de texto em claro ou cifrado escolhido. 
  
{{referências}}

[[Categoria:Algoritmos de criptografia]]