Обратная связь по выходу

Режим шифрования OFB похож на предыдущий:
Вектор инициализации IV записывается в регистр 1.
Содержимое регистра 1 зашифровывается, результат помещается в регистры 1 и 2.
Из регистра 2 выбираются L левых битов, которые накладываются операцией XOR на L-битный блок шифруемого текста, в результате получается L-битный блок шифртекста. При необходимости продолжить шифрование шаги 2 и 3 повторяются в цикле.
Здесь приведена более поздняя версия режима OFB (описанная в стандарте ISO 10116); согласно в регистр 1 «возвращался» не полностью 64-битный результат зашифровывания регистра 1, а младшие L битов (что больше напоминает режим CFB); исходный вариант режима OFB считается менее криптографически стойким, чем модифицированный.
Существует и более простой режим OFB — режим счетчика, в котором обратная связь вообще отсутствует, а содержимое регистра 1 перед каждым его зашифровыванием увеличивается на 1.

Аналогично режиму CFB, для расшифровывания необходимо сгенерировать ту же последовательность и наложить ее на шифртекст. Отличие от предыдущего режима лишь в том, что значение регистра 1 заменяется в цикле его же зашифрованным содержимым. Отсюда проистекает важное свойство режима OFB — накладываемая на шифруемый текст после-довательность зависит только от значения вектора инициализации и ключа шифрования. То есть шифрующую последовательность можно сгенерировать заранее и, например, использовать ее в периоды максимальной нагрузки на шифрующий компьютер или устройство, восполняя последовательность в фоновом режиме. Такая возможность весьма важна для серверных компонент распределенных систем, поскольку позволяет существенно увеличить их пиковую производительность.
Еще одно важное отличие режима OFB от остальных состоит в том, что при возникновении ошибки в одном бите шифртекста после расшифровывания возникает ошибка только в одном бите расшифрованных данных, тогда как в остальных режимах ошибочно расшифруются один или два блока. Стоит сказать и о том, что в режимах OFB и CFB алгоритмы блочного симметричного шифрования можно использовать в качестве потокового шифра, установив L равным размеру символов потока (например, 1 или 8).

По материалам книги Сергея Панасенко «Алгоритмы шифрования»