# KASUMI

KASUMI ist eine Blockchiffre, die als Baustein für kryptographische Algorithmen dient, die in GSM- und UMTS-Mobilfunknetzen zur Anwendung kommen. KASUMI wird in den Stromchiffren A5/3 und A5/4 (GSM) sowie GEA3 und GEA4 (GPRS) verwendet, um die Kommunikation über eine Funkstrecke zu verschlüsseln und somit Vertraulichkeit zu garantieren. Im UMTS-Netz wird KASUMI für die Erzeugung aller Schlüssel zur Authentifizierung und Verschlüsselung verwendet. Beispielsweise dient der Algorithmus als Baustein eines Message Authentication Code, um die Integrität von Daten sicherzustellen.
KASUMI ist eine Modifikation von MISTY1, was auch der Name andeutet mit kasumi als japanisches Wort für „Nebel; Dunst“ und misty Englisch für „neblig; dunstig“. Die Entwickler von KASUMI haben MISTY1 schneller und hardwarefreundlicher gemacht. Dazu wurde die Schlüsselverwaltung vereinfacht und einige interne Parameter geändert. Dies führt dazu, dass Kasumi anfällig für „related-key attacks“ ist.

## Kryptoanalyse

2001 wurde eine „impossible differential“-Attacke gegen sechs Runden der KASUMI-Chiffre von Ulrich Kühn präsentiert.
2003 präsentierten Elad Barkan, Eli Biham und Nathan Keller einen Man-in-the-middle-Angriff gegen GSM, der es ermöglicht, den A5/3-Verschlüsselungsalgorithmus zu umgehen. Dieser Angriff ist ein Angriff gegen das GSM-Protokoll und kein Angriff gegen KASUMI selbst. Eine längere Version des Papers wurde im Jahr 2006 veröffentlicht. Weitere Details stellt der Abschnitt Sicherheitsdefizite im Artikel GSM dar.
2005 wurden eine „related key boomerang“- und eine „related key rectangle“-Attacke gegen KASUMI präsentiert. Beide knacken schneller als die Brute-Force-Methode. Die „related key rectangle“-Attacke erfordert 2$^{54.6}$ ausgewählte Klartexte, wobei jeder von einem von vier „related keys“ verschlüsselt sein muss. Diese Attacke hat eine Zeitkomplexität von 2$^{76.1}$ KASUMI-Verschlüsselungen. Dies ist eine inpraktikable Zeitkomplexität und verhindert praktische Angriffe. Die „related key boomerang“-Attacke findet innerhalb der ersten sechs Runden von KASUMI statt. Im Ergebnis findet die Attacke 16 Bit des Schlüssels mit nur 768 ausgewählten Klar- und Geheimtexten. Das Paper zweifelt die Aussagen der 3GPP Experten hinsichtlich der Sicherheit von KASUMI an und empfiehlt eine Überprüfung der Sicherheit der 3GPP-Protokolle.
2010 wurde eine wesentlich praktischere Attacke von Orr Dunkelman, Nathan Keller und Adi Shamir präsentiert. Die „sandwich“-Attacke ermöglicht es einem Angreifer, den kompletten 128-Bit-Schlüssel zu extrahieren. Zunächst nimmt sich ein „distinguisher“ der ersten sieben von acht Runden an. Anschließend wird die letzte Runde analysiert. Dazu sind vier verwandte Schlüssel („related keys“) und ein Aufwand von 2$^{26}$ Klartext-/Chiffrat-Datensätzen (= 1 GiB, bei 16 Bytes pro Datensatz) und 2$^{32}$ an Zeit nötig. Die simulierten Attacken konnten auf einem Intel Core Duo T7200 mit 2 GB RAM in 50 % der Tests in unter 112 Minuten durchgeführt werden. Gegen den Referenzalgorithmus MISTY ist im Gegensatz zu KASUMI kein schnellerer Angriff als die Brute-Force-Methode mit einer Komplexität von 2$^{128}$ bekannt. Das Paper zeigt, dass KASUMI ein sehr viel schwächerer Algorithmus als MISTY ist. Allerdings kann über die Wirksamkeit der Angriffe gegen die Implementation von KASUMI in dem A5/3-Algorithmus für GSM-Netze keine Aussage getroffen werden.