Sha-256

Этап absorbing[править]

Этап absorbing можно представить в виде следующей функции:

Keccak-f(A) 
{
 forall i in 0…nr-1
   A = Round(A, RC)
 return A
}

• Здесь b это значение выбранной функции(по умолчанию 1600).
• А функция Round()-псевдослучайная перестановка, применяемая на каждом раунде. Количество раундов nr вычисляется из значений r и c.

Операции выполняемые на каждом раунде представляют из себя следующую функцию:

Round(A,RC)
{
 θ step
 for(int x=0; x<5; x++)
   C = A xor A xor A xor A xor A;
 for(int x=0; x<5; x++)
   D = C xor rot(C,1);
 for(int x=0; x<5; x++)
   A = A xor D;

 ρ and π steps
 for(int x=0; x<5; x++)
   for(int y=0; y<5; y++)
     B = rot(A, r);

 χ step
 for(int x=0; x<5; x++)
   for(int y=0; y<5; y++)
     A = B xor ((not B) and B);

 ι step
 A = A xor RC

 return A
}

Тут 4 шага на каждом из которых над входящими данными производится ряд логических действий.

Здесь функция rot(X,n) обозначает циклический сдвиг элемента X на n позиций.

Массив r[] представляет собой предопределенный набор значений, в котором указывается на сколько необходимо сдвигать байты на каждом раунде:

Массив RC это набор констант, которые тоже являются предопределенными:

Проблема с SHA-2

Хотя они значительно отличаются, SHA-1 и SHA-2 имеют одинаковые базовый алгоритм (SHA), и в конечном итоге некоторые длины хэшей подвержены тем же типам атак. В некоторых сценариях большая часть лучшей защиты SHA-2 над SHA-1 в основном связана с использованием SHA-2 больших входов и выходов.

Публичные атаки на SHA-2 происходят с 2008 года. произошло с SHA-1, нападения на SHA-2 стали все лучше и ослабевать SHA-2 с течением времени. Некоторые атаки имеют эффективную защиту SHA-2 до 2 37 . Некоторые из последних атак, публично объявленных в 2016 году, считают атаки SHA-2 уже «практичными». Звучит это знакомо? Это должно, потому что это то, что мы говорили о SHA-1 всего два или три года назад.

Опять же, ожидается, что существующие шифры будут атакованы и со временем станут слабее. Фактически, NIST выбрал SHA-3, используя публичный конкурс, явно имеющий новый стандарт хэширования, который не был получен из семейства SHA, готового к работе, когда это необходимо. Конкурс начался в 2006 году, шифр Keccak был выбран в качестве единственного финалиста в 2010 году, NIST опубликовал проекты стандартов в 2015 году, а SHA-3 стал официальным рекомендуемым стандартом 5 августа 2015 года.

Это где многие задавались вопросом, почему мы не просто перешли от SHA-1 к SHA-3. Мир был вынужден из SHA-1 с большей частью усилий по труду для перехода, который должен был состояться позднее в 2016 и 2017 годах. Официальная дата смерти для выхода из SHA-1 была 31 декабря 2017 года. Почти три года для подготовки, почему мы не сказали миру переехать в SHA-3 вместо SHA-2?

Сравнение функций SHA

В таблице ниже внутреннее состояние означает «внутреннюю хеш-сумму» после каждого сжатия блока данных.

Хэш-функция

Технология блокчейна вносит революционные изменения в области управления данными. P2P-сети продвигали использование криптографии, создавая растущий спрос на решения по обеспечению безопасности и прозрачности данных.

Криптографическая хэш-функция — это алгоритм, который использует математику для создания уникального цифрового отпечатка буквенно-числовых символов фиксированного размера с учетом первоисточника неизвестного размера. Это делает задачу сравнения подлинности источника с оригинальным документом очень простой: вместо того, чтобы подробно знакомиться с каждым источником, мы можем просто проверить гораздо меньший по размеру цифровой отпечаток, создаваемый хэш-функцией.

В P2P-сетях хэш-функции помогают защищать данные транзакций, генерируя уникальный цифровой отпечаток для каждой транзакции. Хэши транзакций организованы в дерево Меркла (или хэш-дерево), которое помогает подтвердить достоверность и взаимосвязь каждой транзакции, хранящейся в блокчейне.

Хэш-функция SHA-3 также используется на уровне блока, чтобы генерировать задачу доказательства работы, выполнение которой становится целью для майнеров, стремящихся создать следующий блок в блокчейне

Эта задача является важной частью поддержания целостности сети и достижения децентрализованного консенсуса. Криптовалюту в качестве вознаграждения получает тот майнер, который успешно вычисляет хэш SHA-3, соответствующий требованиям, указанным в задаче доказательства работы

В то время как технология блокчейна – очевидное решение для ранних участников индустрии, в рамках традиционных финансов у пользователей все еще остаются опасения по поводу применения блокчейна в корпоративной среде. Распространение блокчейна в этой сфере будет зависеть от степени развития архитектуры блокчейнов для защиты данных клиента от сетевых вмешательств или манипуляций

В качестве важного компонента архитектуры правильная хэш-функция может стать определяющим фактором работоспособности технологии на уровне предприятия

История[править | править код]

В 2004—2005 годах несколько алгоритмов хеширования были атакованы, в том числе были опубликованы серьезные атаки против алгоритма SHA-1, утвержденного Национальным институтом стандартов и технологий (NIST). В ответ NIST провел открытые семинары и 2 ноября 2007 года анонсировал конкурс на разработку нового алгоритма хеширования. 2 октября 2012 года победителем конкурса стал алгоритм Keccak и был стандартизован как новый алгоритм SHA-3. 5 августа 2015 года алгоритм утвержден и опубликован в качестве стандарта FIPS 202.

Алгоритм был разработан Гвидо Бертони, Йоаном Дайменом, Жилем Ван Аше из STMicroelectronics и Микаэлем Питерсом из NXP.

Алгоритм основан на более ранних хеш-функциях Panama и RadioGatún. Panama был разработан Дайменом и Крейгом Клэппом в 1998 году, RadioGatún был реализован на основе Panama Дайменом, Питерсом и Ван Аше в 2006 году.

В ходе конкурса конкурсантам разрешалось вносить изменения в свой алгоритм для исправления обнаруживающихся проблем. Изменения, внесенные в алгоритм Keccak:

• Количество раундов было увеличено с 12 + l{\displaystyle l} до 12 + 2l{\displaystyle l}
• Padding был изменён со сложной формы на более простую, описанную ниже
• Скорость (rate) r была увеличена до предела безопасности (ранее округлялась вниз до ближайшей степени 2)

безопасность

SHA-3 имеет очень высокий запас прочности. Самый известный криптоанализ может взломать только версию SHA3-512, сокращенную до 8 (из 24) раундов, и это только с совершенно нереальными накладными расходами на вызовы функций и объемом памяти размером . Это всего в 1,4 раза эффективнее, чем .2511,5{\ displaystyle 2 ^ {511.5}}2508{\ displaystyle 2 ^ {508}}

Можно отличить перестановку состояний с полным числом 24 раундов от случайной перестановки, но для этого требуются, например, вызовы функций. Это не приводит к атаке на сам SHA-3.
21575{\ displaystyle 2 ^ {1575}}

Поскольку только часть бит состояния 1600 выводится (снижение на емкости), SHA-3 невосприимчив к атаке расширения , в котором хэш — значение в неизвестном сообщении, которое было определенно расширенным , зная его хэш — значение .
ЧАС(N‖Икс){\ Displaystyle ч (N \, \ | \, х)}Икс{\ displaystyle x}N{\ displaystyle N}ЧАС(N){\ displaystyle h (N)}

Экземпляры

Стандарт NIST определяет следующие экземпляры для сообщения M и выходной длины d :

Со следующими определениями

• Keccak [ c ] ( N , d ) = губка , pad10 * 1, r ] ( N , d )
• Keccak-f = Keccak-p
• c — емкость
• r — ставка = 1600 — c
• N — входная битовая строка

Экземпляры SHA-3 представляют собой заменяемые копии для SHA-2, имеющие идентичные свойства безопасности.

SHAKE будет генерировать столько битов из своей губки, сколько требуется, называемых XOF (расширяемые функции вывода). Например, SHAKE128 (M, 256) может использоваться как хэш-функция с потоком битов 256 символов с уровнем безопасности 128 бит. В качестве генераторов псевдослучайных чисел можно использовать произвольно большие длины. В качестве альтернативы SHAKE256 (M, 128) может использоваться как хэш-функция с длиной 128 бит и сопротивлением 128 бит, но в отличие от усеченного вывода функций семейств MD и SHA, включая SHA-3, сохранит свои свойства безопасности в любой момент. данный размер. Функции SHAKE требуют, чтобы каждый выходной бит был таким же сильным, как и последний, тогда как для других хешей требуется только, чтобы весь хеш был сильным, в то время как подмножество могло быть слабым.

Все экземпляры добавляют к сообщению некоторые биты, крайний правый из которых представляет суффикс разделения домена. Это делается для того, чтобы гарантировать невозможность создания сообщений, которые производят один и тот же хеш-вывод для разных приложений хеш-функции Keccak. Существуют следующие суффиксы разделения домена:

Пример хеширования

Вот пример использования функции хеширования SHA-256. Результатом хеширования фразы «Bitcoin is the most popular cryptocurrency» будет выражение: 6810abc7 27b7e113 c8aa73f6 15bdb2ba adb1aa9c f30e177c 16c4df1a 82caf226

При малейшем изменении текста сообщения, результат хеширования изменяется кардинально

Это являетя следствием «лавинного эффекта» — важного криптографического свойства для шифрования

Стоит изменить в вышеуказанном примере первую букву «B» на маленькую «b», получим следующий результат:
aa5415b4 cf0808fe 04457075 f5749564 9b45ca3a be9e9d11 bbb9fdae eab233ee

Схема работы[править]

Схема SHA-3 (Keccak) состоит из двух этапов:

• Absorbing (впитывание). Исходное сообщение M подвергается многораундовым перестановкам f.
• Squeezing (отжатие). Вывод получившегося в результате перестановок значения Z.

Функция Keccak представляет из себя следующее:

Keccak(M) {
 Initialization and padding
 for(int x=0; x<5; x++)
   for(int y=0; y<5; y++)
     S = 0;
 P = M || 0x01 || 0x00 || … || 0x00;
 P = P xor (0x00 || … || 0x00 || 0x80);
 //Absorbing phase
 forall block Pi in P
 for(int x=0; x<5; x++)
   for(int y=0; y<5; y++)
     S = S xor Pi;
   S = Keccak-f(S);
 //Squeezing phase
 Z = empty string;
do
{
 for(int x=0; x<5; x++)
   for(int y=0; y<5; y++)
     if((x+5y)<r/w)  
       Z = Z || S;
   S = Keccak-f(S)
}  while output is requested
 return Z;
}

• На этапе Absorbig производится вычисление хеш значения.
• А на этапе Squeezing вывод результатов до тех пор пока не будет достигнута требуемая длина хеша.

Дизайн

Конструкция губки для хэш-функций. P _i — входные данные, Z _i — хешированные выходные данные. Неиспользованная «емкость» c должна быть вдвое больше, чем желаемое сопротивление столкновению или атакам прообраза .

SHA-3 использует конструкцию губки , при которой данные «впитываются» губкой, а затем результат «выдавливается». В фазе поглощения блоки сообщений подвергаются операции XOR в подмножестве состояния, которое затем преобразуется как единое целое с использованием функции перестановки . В фазе «сжатия» выходные блоки считываются из одного и того же подмножества состояния, чередующегося с функцией преобразования состояния . Размер части состояния, которая записывается и читается, называется «скоростью» (обозначается ), а размер части, которая не затрагивается вводом / выводом, называется «емкостью» (обозначается ). Емкость определяет безопасность схемы. Максимальный уровень безопасности составляет половину емкости.
ж{\ displaystyle f}ж{\ displaystyle f}р{\ displaystyle r}c{\ displaystyle c}

Учитывая входную битовую строку , функцию заполнения, функцию перестановки, которая работает с битовыми блоками ширины , скорости и выходной длины , у нас есть емкость и конструкция губки , дающая битовую строку длины , работает следующим образом:
N{\ displaystyle N}паd{\ displaystyle pad}ж{\ displaystyle f}б{\ displaystyle b}р{\ displaystyle r}d{\ displaystyle d}cзнак равноб-р{\ displaystyle c = br}Zзнак равногубкаж,паd,р(N,d){\ displaystyle Z = {\ text {sponge}} (N, d)}Z{\ displaystyle Z}d{\ displaystyle d}

• заполнить вход N с помощью функции заполнения, в результате получится заполненная битовая строка P с длиной, делимой на (например, целое число)р{\ displaystyle r}пзнак равноlen(п)р{\ displaystyle n = {\ text {len}} (P) / r}
• разбить P на n последовательных r -битных частей P , …, P _{n −1}
• инициализировать состояние S строкой из b нулевых битов
• поглощают ввод в состояние: для каждого блока P _i :
  • расширить P _i в конце строкой из c нулевых битов, получив в результате один длиной b
  • XOR, что с S
  • применить к результату блочную перестановку f , получив новое состояние S
• инициализировать Z пустой строкой
• а длина Z меньше d :
  • добавить первые r бит S к Z
  • если длина Z все еще меньше d битов, примените f к S , получив новое состояние S
• усечь Z до d бит

Тот факт, что внутреннее состояние S содержит c дополнительных битов информации в дополнение к тому, что выводится в Z, предотвращает атаки на расширение длины, которым подвержены SHA-2, SHA-1, MD5 и другие хэши, основанные на конструкции Меркла – Дамгарда .

В SHA-3 состояние S состоит из массива 5 × 5 w -битных слов (с w = 64), b = 5 × 5 × w = 5 × 5 × 64 = всего 1600 бит. Keccak также определен для меньших размеров слова w, равного степени 2, вплоть до 1 бита (общее состояние 25 бит). Небольшие размеры состояний могут использоваться для тестирования криптоаналитических атак, а размеры промежуточных состояний (от w = 8 , 200 бит до w = 32 , 800 бит) могут использоваться в практических, легких приложениях.

Для экземпляров SHA-3-224, SHA-3-256, SHA-3-384 и SHA-3-512 r больше d , поэтому нет необходимости в дополнительных перестановках блоков в фазе сжатия; ведущие d бит состояния — это желаемый хэш. Однако SHAKE-128 и SHAKE-256 допускают произвольную длину вывода, что полезно в таких приложениях, как оптимальное заполнение асимметричного шифрования .

Более поздние разработки

КенгуруДвенадцать

В 2016 году та же команда, которая разработала функции SHA-3 и алгоритм Keccak, представила альтернативы более быстрых сокращенных раундов (сокращенных до 12 и 14 раундов по сравнению с 24 в SHA-3), которые могут использовать доступность параллельного выполнения из-за использования дерева. хеширование : KangarooTwelve и MarsupilamiFourteen.

В отношении параллелизма эти функции отличаются от ParallelHash, стандартизированной параллелизируемой хэш-функции на основе FIPS на основе Keccak, тем, что они быстрее, чем ParallelHash, для сообщений небольшого размера.

Уменьшение количества раундов оправдано огромными криптоаналитическими усилиями, сосредоточенными на Keccak, которые не привели к практическим атакам на что-либо близкое к Keccak с двенадцатью раундами. Эти высокоскоростные алгоритмы не являются частью SHA-3 (поскольку они являются более поздней разработкой) и, следовательно, не совместимы с FIPS; но поскольку они используют ту же перестановку Keccak, они безопасны до тех пор, пока нет атак на SHA-3, сокращенных до 12 раундов.

KangarooTwelve — это высокопроизводительная версия Keccak с сокращенным циклом (от 24 до 12 раундов), которая утверждает, что имеет 128 бит безопасности при производительности до 0,55 цикла на байт на процессоре Skylake . Этот алгоритм представляет собой черновик IETF RFC .

MarsupilamiFourteen, небольшая вариация на KangarooTwelve, использует 14 раундов перестановки Keccak и требует 256 бит безопасности

Обратите внимание, что 256-битная безопасность не более полезна на практике, чем 128-битная безопасность, но может потребоваться по некоторым стандартам. 128 бит уже достаточно, чтобы отразить атаки грубой силы на текущее оборудование, поэтому наличие 256-битной защиты не добавляет практической ценности, если пользователь не беспокоится о значительном улучшении скорости классических компьютеров

О стойкости к квантовым компьютерам см. Ниже.

KangarooTwelve и MarsupilamiFourteen — это функции расширяемого вывода, аналогичные SHAKE, поэтому они генерируют тесно связанный вывод для общего сообщения с разной длиной вывода (более длинный вывод является расширением более короткого вывода). Такое свойство не проявляется в хэш-функциях, таких как SHA-3 или ParallelHash (кроме вариантов XOF).

Строительство Фарфалле

В 2016 году команда выпустила Keccak другую конструкцию под названием Farfalle строительство и Kravatte, экземпляр Фарфалле с помощью Keccak-р перестановку, а также два с проверкой подлинности алгоритмов шифрования Kravatte-сане и Kravatte-Санса

Хеширование дерева сакуры

RawSHAKE — это основа кода Sakura для хеширования дерева, которая еще не стандартизирована. Сакура использует суффикс 1111 для отдельных узлов, что эквивалентно SHAKE, и другие сгенерированные суффиксы в зависимости от формы дерева.

Криптоанализ

Создание лучшего блокчейна

У нас есть возможность взять лучшие характеристики из самых многообещающих блокчейнов, существующих сегодня, и создать итерацию технологии, которая использует рабочие решения и отвечает потребностям бизнеса на рынках капитала.

Создание нового блокчейна, сфокусированного на криптобезопасности, откроет возможности для персонализации и прозрачности, которые будут лучше отвечать требованиям будущих решений. Следуя Федеральному стандарту обработки информации США (FIPS), SHA-3 лучше всего подходит для использования в индустрии, обладая возможностями «на порядок выше, чем SHA-2», как отмечает команда Keccak.

После недавнего исследования хэш-алгоритмов, проведенного командой автора этой статьи Кьяраша Наримани (Kiarash Narimani), доктора наук и директора по развитию Equibit Group, которое включало изучение Equihash, Cuckoo Cycle и Ethash, специалисты пришли к выводу, что SHA-3 действительно лучше всего удовлетворяет потребности рынков капитала. В исследовании рассматривался метод работы, независимость работы, оптимизация или устойчивость к ASIC, контроль сложности, алгоритмы, безопасность и скорость. Среди рассмотренных кандидатов SHA-3 оказалась лучшей в своем классе, обеспечивающей сертифицированную безопасность и установление доверия в сети, поддерживающей глобальную эмиссию ценных бумаг, торговлю, клиринг и расчеты.

Тестовые векторы

Хеш-значения пустой строки (т. Е. Входного текста нулевой длины).

SHA224("")
0x d14a028c2a3a2bc9476102bb288234c415a2b01f828ea62ac5b3e42f
SHA256("")
0x e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855
SHA384("")
0x 38b060a751ac96384cd9327eb1b1e36a21fdb71114be07434c0cc7bf63f6e1da274edebfe76f65fbd51ad2f14898b95b
SHA512("")
0x cf83e1357eefb8bdf1542850d66d8007d620e4050b5715dc83f4a921d36ce9ce47d0d13c5d85f2b0ff8318d2877eec2f63b931bd47417a81a538327af927da3e
SHA512/224("")
0x 6ed0dd02806fa89e25de060c19d3ac86cabb87d6a0ddd05c333b84f4
SHA512/256("")
0x c672b8d1ef56ed28ab87c3622c5114069bdd3ad7b8f9737498d0c01ecef0967a

Даже небольшое изменение в сообщении (с огромной вероятностью) приведет в основном к другому хешу из-за эффекта лавины . Например, добавление точки в конец следующего предложения изменяет почти половину (111 из 224) бит в хеш-коде:

SHA224("The quick brown fox jumps over the lazy dog")
0x 730e109bd7a8a32b1cb9d9a09aa2325d2430587ddbc0c38bad911525
SHA224("The quick brown fox jumps over the lazy dog.")
0x 619cba8e8e05826e9b8c519c0a5c68f4fb653e8a3d8aa04bb2c8cd4c

Сложность майнинга и повышения хешрейта

Хешрейт сети BTC напрямую зависит от количества работающих в ней майнеров. Тем большее количество устройств добывает одну и ту же монету, тем быстрее увеличивается сложность вычислений.

Этот показатель наглядно демонстрирует уровень сложности генерации хеш-кодов. Сложность биткойна, например, измеряется с помощью внутреннего балла, который начинается с 1 (самый простой уровень) и растет или уменьшается экспоненциально в зависимости от того, сколько майнеров конкурируют в сети. Эта оценка автоматически корректируется каждые 2 016 блоков. Чем больше майнеров находится в сети, тем выше хешрейт, и, значит, генерируется больше «догадок» (share accepted), что повышает вероятность обнаружения хеш-подписи блока.

Поскольку блокчейны обычно предназначены для добавления блоков (и выпуска новых монет) в стабильном темпе, сложность запрограммирована на автоматическую корректировку после заданного количества блоков, чтобы поддерживать эту скорость постоянной. Если майнеры решают блоки чаще, чем за 10 минут, сложность возрастает, а если майнеры находят блоки реже сложность уменьшается.

В случае падения стоимости и ухода майнеров из сети ее хешрейт, а соответственно и сложность вычислений уменьшается, позволяя сохранить предустановленные параметры. Впрочем, этот способ эффективен только до определенного момента. Большая потеря хешрейта парализует майнинговую сеть, потому что майнеры не только генерируют новые криптомонеты, но и обрабатывают транзакции. Система перестает функционировать, и монета постепенно умирает, так не раз происходило в истории блокчейн-индустрии.

Хешрейт майнинговых устройств это параметр, напрямую влияющий на рентабельность добычи. Его уровень постоянно колеблется, но среднее значение обычно находится в пределах майнинговых способностей электронного шахтера. Показатели можно увеличить при помощи модификации базовой системы ввода-вывода (BIOS), установленной на данном устройстве и увеличения параметров тактовой частоты и лимита мощности. Разгон видеокарты выполняется с помощью утилиты MSI Afterburner. Нужно постепенно увеличивать частоту памяти и ядра подбирая значения, при которых видеокарта демонстрирует максимальный без потери стабильности.

Владельцы GPU-ригов и АСИКов стараются выжимать максимум из своего оборудования, увеличивая скорость вычислений. Но следует учесть, что эффект переразгона может отрицательно сказаться на реальном хешрейте. Майнинг-ферма будет быстро перебирать возможные варианты решения криптографической задачи, но при этом количество подтвержденных шар будет немного меньше чем при умеренном разгоне. И вдобавок к этому устройство будет потреблять больше энергии и подвергаться повышенному износу.

Эффективность майнинга всегда определяется по статистике пула зависит от соотношения уровня сложности сети и вычислительной мощности буровой установки. Количество акций, присланных за небольшой промежуток времени (например, 1 час), может не совпадать с быстротой вычислений. Но среднее значение хешрейта на пуле всегда более-менее равно скорости перебора решений, отображаемой в терминале майнинг-утилиты. Если эти показатели отличаются более чем на 10-12%, значит у владельца рига проблемы в работе с этим пулом. И если решить их невозможно, лучше поискать другой сервер коллективного майнинга.

Майнинг и SHA 256: применение и эффективность

Интересный факт — майнинг является ключевым моментом в безопасности сети Bitcoin. Кто бы мог подумать!

Как известно, майнеры «вылавливают» транзакции из пула памяти, «склеивая» их, вместе с комиссией, в один блок. Затем блок подвергается процессу многократного хеширования, чтобы уж совсем тяжело было его добыть. Когда же подходящее значение найдено, блок считается готовым к склеиванию, и попадает в конец блокчейна. По сути, хэш-функции придают каждому новому блоку дополнительные слои «сложности», чтобы ни одна компания или организация не смогла взять под контроль весь процесс майнинга одной монеты.

Ведь если вы «нашли» один блок, не факт, что он будет добавлен в блокчейн — существует вероятность того, что в это самое время кто-то другой также добыл его. А это, в свою очередь, означает лишь то, что необходимо склеить ещё один блок — становится всё сложнее и сложнее, не так ли?

SHA 2 считается довольно простым алгоритмом, не требующим значительных вычислительных мощностей на ранних стадиях. Понятно, что с каждым днём стоимость майнинга возрастает, ведь каждый последующий блок содержит в себе информацию о всех предыдущих транзакциях.

Настройки[править | править код]

Оригинальный алгоритм Keccak имеет множество настраиваемых параметров с целью обеспечения оптимального соотношения криптостойкости и быстродействия для определённого применения алгоритма на определённой платформе. Настраиваемыми величинами являются: размер блока данных, размер состояния алгоритма, количество раундов в функции f() и другие.

На протяжения конкурса хеширования Национального института стандартов и технологий участники имели право настраивать свои алгоритмы для решения возникших проблем. Так, были внесены некоторые изменения в Keccak: количество раундов было увеличено с 18 до 24 с целью увеличения запаса безопасности.

Авторы Keccak учредили ряд призов за достижения в криптоанализе данного алгоритма.

Версия алгоритма, принятая в качестве окончательного стандарта SHA-3, имеет несколько незначительных отличий от оригинального предложения Keccak на конкурс. В частности, были ограничены некоторые параметры (отброшены медленные режимы c=768 и c=1024), в том числе для увеличения производительности. Также в стандарте были введены «функции с удлиняемым результатом» (XOF, Extendable Output Functions) SHAKE128 и SHAKE256, для чего хешируемое сообщение стало необходимо дополнять «суффиксом» из 2 или 4 бит, в зависимости от типа функции.

От: admin

Эта тема закрыта для публикации ответов.