Описание SAFER K-64

Блок открытого текста делится на восемь байтовых подблоков: В_ъ В₂,..., В_ъ В_%. Затем подблоки обрабаты­ваются в ходе г этапов. Наконец подблоки подвергаются заключительному преобразованию. На каждом этапе используется два подключа: К_2гЛ и К_2г.

На Рис. 14-4 показан один этап SAFER K-64. Сначала над подблоками выполняется либо операция XOR, л и-бо сложени с байтами подключа К_2гЛ. Затем восемь подблоков подвергаются одному из двух нелинейных пр е-образований:

у = 45^х mod 257. (Если х = 0, то у = 0.)

у = log₄₅ х. (Если х = 0, то у = 0.)

Вход этапа (8 байтов)
1_______ 2_______ 3_______ 4_______ 5_______ 6_______ 7_______ 8

[ [ [ \ \ [ \ \

xor add add xor xor add add xor

45<->

log45

log45

45 ()

45 ()

log45

log45

45<->

ГТТТТТТТ

К2и

add xor

xor add

add xor xor add

K2i

1234567 8
______________________ Выход этапа (8 байтов)_______________________

Рис. 14-4. Один этап SAFER.

Это операции в конечном поле GF(257), a 45 - элемент поля, являющийся примитивом. В реализациях SAFER K-64 быстрее выполнять поиск в таблице, чем все время рассчитывать новые результаты.

Затем подблоки либо подвергаются XOR, либо складываются с байтами подключа К_2г. Результат этого дей­ствия проходит через три уровня линейных операций, целью которых является увеличение лавинного эффекта. Каждая операция называется псевдоадамаровым преобразованием (Pseudo-Hadamard Transform, PHT). Если на входе РНТ а_х и а₂, то на выходе:

ii = (2fli + а₂) mod 256

Ъ_г = (_fll + а₂) mod 256

После г этапов выполняется заключительное преобразование. Оно совпадает с преобразованием, являющи м-ся первым действием каждого этапа. Над В_и В,, В₅ и £₈ выполняется XOR с соответствующими байтами по­следнего подключа, а В₂, В₃, В₆ и В₇ складываются с соответствующими байтами последнего подключа. В р е-зультате и получается шифротекст.

Дешифрирование представляет собой обратный процесс: сначала заключительное преобразование (с выч и-танием вместо сложения), затем г инвертированных этапов. Обратное РНТ (Inverse PHT, IPHT) - это:

а_г = (*! - Ъг) mod 256

а₂ = (-*! + 2Ъг) mod 256

Массей рекомендует использовать 6 этапов, но для большей безопасности количество этапов можно увел и-чить.

Генерировать подключи совсем не трудно. Первый подключ, К_и - это просто ключ пользователя. После­дующие ключи генерируются в соответствии со следующей процедурой:

i:,₊₁ = (X,«<30 + c,

Символ "«<" обозначает циклический сдвиг налево. Сдвиг выполняется побайтно, а с, является константой этапа. Если с„ - этоу-ый байт константы г'-го этапа, то можно рассчитать все константы этапов по следующей

формуле

c, = 4545"«9'+'') mod 256) mod 257 mod 257 Обычно эти значения хранятся в таблице.