Перегляд вихідного коду сторінки KHAZAD

{{Картка блочного шифру
|назва         = KHAZAD
|зображення    = 
|розробник     = [[Вінсент Реймен]] і Пауло Баррето
|створений     = [[2000]] р.
|опублікований = [[2000]] р.
|размір ключа  = 128 [[біт]]
|размір блоку  = 64 [[біт]]
|число раундів = 8
|тип           = [[SP-мережа]] 
}}

'''KHAZAD'''&nbsp;— в [[Криптографія|криптографії]] [[Шифрування з симетричними ключами|симетричний]] [[блоковий шифр]], розроблений двома криптографами: бельгійцем Вінсентом Рейменом (автор шифру [[Advanced Encryption Standard|Rijndael]]) і бразильцем Пауло Баррето. В [[алгоритм]]і використовуються блоки даних розміром 64 біта (8 байт) і ключі розміром 128 біт. KHAZAD був представлений на європейському конкурсі криптографічних примітивів [[NESSIE]] 2000 року, де в модифікованій (tweaked) формі став одним із алгоритмів-фіналістів (але не переможцем).

Попередником алгоритму KHAZAD вважається розроблений в 1995&nbsp;р. Вінсентом Рейменом і Джоаном Дайменом шифр [[SHARK]]. Автори KHAZAD стверджують, що в основі алгоритму лежить стратегія розробки криптографічно стійких алгоритмів шифрування (Wide-Trail strategy), запропонована Джоаном Дайменом.

Алгоритм KHAZAD має консервативні параметри і створений для заміни існуючих шифрів з 64-бітним блоком, таких як [[IDEA (шифр)|IDEA]] і [[Data Encryption Standard|DES]], забезпечуючи вищий [[Рівень криптостійкості|рівень безпеки]] при високій швидкості виконання.{{Немає АД|9|12|2016}}

У шифрі широко використовують [[Інволюція (математика)|інволюційні перетворення]], що мінімізує різницю між алгоритмами шифрування і дешифрування.

== Опис шифру ==
KHAZAD&nbsp;— ітеративний блоковий шифр з розміром блоку 64 біта і 128-бітним ключем. Вхідний блок даних подається у вигляді рядка з 8 байт.

S-блок і матриця перемішування вибрані таким чином, який гарантує, що шифрування і розшифрування&nbsp;— одна і та ж операція ([[Інволюція (математика)|інволюція]]), за винятком раундових підключів.

KHAZAD, як і алгоритм [[Advanced Encryption Standard|AES (Rijndael)]], належить до сімейства блокових шифрів, що утворилися від шифру [[SHARK]].<ref name="autogenerated1">{{Книга|автор=Lars R. Knudsen, Matthew J.B. Robshaw|заголовок=The Block Cipher Companion|видавництво=Springer|рік=2011|сторінки=63|сторінок=267|isbn=978-3-642-17341-7}}</ref><ref>{{Книга|автор=Joan Daernen, Vincent Rijrnen|заголовок=The Design of Rijndael|видавництво=Springer|рік=2002|сторінки=160|сторінок=238|isbn=3-540-42580-2}}</ref>
[[Файл:Семейство_шифров.jpg|центр|обрамити|483px|Дане дерево описано в книзі «The Block Cipher Companion», автори Lars R. Knudsen, Matthew J. B. Robshaw]]
Основні відмінності від SHARK наведені в таблиці:
{| class="wikitable" style="text-align: center; margin-bottom: 33px;"
|+Основні відмінності між шифрами KHAZAD і SHARK
!
!SHARK
!KHAZAD
|-
|Кількість раундів
|6
|8
|-
|Розклад (розширення) ключа
|[[Афінне перетворення]], отримане в результаті роботи шифру в режимі зворотнього зв'язку по шифрованому тексту
|[[Мережа Фейстеля|Схема Фейстеля]], де функцією Фейстеля є раундова функція шифру
|-
|Неприведений многочлен поля <math>{\displaystyle \mathbb {GF} (2^{8})}  </math>
|<math>{\displaystyle x^{8}+x^{7}+x^{6}+x^{5}+x^{4}+x^{2}+1}  </math> (0x1F5)
|<math>{\displaystyle x^{8}+x^{4}+x^{3}+x^{2}+1}  </math> (0x11D)
|-
|Реалізація S-блоку
|Відображення <math>u\rightarrow u^{-1}</math>у полі <math>{\displaystyle \mathbb {GF} (2^{8})}  </math> + афінне перетворення
|Рекурсивна структура P&nbsp;— і Q-мініблоків
|-
|Реалізація матриці перемішування
|[[Код Ріда-Соломона]]
|Інволюційний [[MDS-матриця|MDS-код]]
|}
Початковий варіант шифру KHAZAD (названий KHAZAD-0) зараз є застарілим. Поточний (фінальний) вид шифру був модифікований («tweaked»), щоб адаптувати його під апаратну реалізацію. У цій формі KHAZAD і був визнаний фіналістом NESSIE. Модифікація не торкнулася базової структури шифру. У ньому S-блок, який спочатку генерувався повністю випадково (без чіткого визначення будь-якої внутрішньої структури), замінений на рекурсивну структуру: новий блок заміни 8x8 складений з маленьких псевдовипадково генеруючих 4x4 міні-блоків (P- і Q-блоки).

== Структура алгоритму ==
[[Файл:KHAZAD_decrypt.jpg|thumb|236px|Структура алгоритму розшифрування]]
[[Файл:KHAZAD_encrypt.jpg|thumb|left|220px|Структура алгоритму шифрування]]
Застосуванням до ключа процедури розширення ключа отримують набір раундових ключів&nbsp;

Алгоритм включає 8 раундів, кожен з яких складається з 3 етапів:
* нелінійне перетворення <math>\gamma</math>
* лінійне перетворення <math>\theta</math>
* додавання раундового ключа <math>\sigma</math>

Перед першим раундом виконується відбілювання&nbsp;— <math>\sigma(k_0)</math>. Операція <math>\theta</math> не виконується в останньому раунді.

В операторному вигляді алгоритм записується наступним чином: Шифрування: <math>{\displaystyle (\sigma [k_{8}]\circ \gamma )\circ (\sigma [k_{7}]\circ \theta \circ \gamma )\circ ...\circ (\sigma [k_{1}]\circ \theta \circ \gamma )\circ \sigma [k_{0}]}  </math>

Розшифрування
<nowiki>:</nowiki> <math>{\displaystyle (\sigma [k_{0}]\circ \gamma )\circ (\sigma [\theta (k_{1})]\circ \theta \circ \gamma )\circ ...\circ (\sigma [\theta (k_{7})]\circ \theta \circ \gamma )\circ \sigma [k_{8}]}  </math>

Набір раундовий ключів
<math>k_{0}...k_{8}</math> отримують шляхом застосування до ключа шифрування
<math>K</math> процедури розширення ключа.

== Структура раунду ==
Перетворення раунду можна записати так:
<math>\rho[k]=\sigma[k]\circ\theta\circ\gamma</math> .

=== Нелінійне перетворення <math>\gamma</math> ===
У кожному раунді вхідний блок розбивається на менші блоки по 8 байт, які незалежно піддаються нелінійному перетворенню (зміні), тобто паралельно проходять через однакові [[S-скриня|S-блоки]] (кожен S-блок&nbsp;— 8x8 біт, тобто 8 біт на вході і 8 біт на виході). Блоки заміни у вихідному і модифікованому (tweaked) шифрі розрізняються. Блок заміни підібраний таким чином, щоб нелінійне перетворення було інволюційним, тобто <math>\gamma = \gamma^{-1}</math> або <math>\gamma(\gamma(x)) = x</math>.

=== Лінійне перетворення <math>{\displaystyle \theta }   </math> ===
8-байтний рядок даних множиться побайтно на фіксовану матрицю <math>H</math> розміру 8 х 8, причому множення байт проводиться в полі Галуа <math>\mathbb{GF}(2^8)</math> з поліномом, що не приводиться
&nbsp;<math>{\displaystyle x^{8}+x^{4}+x^{3}+x^{2}+1}  </math> (0x11D).

<math>\theta(x)=x \times H</math>
{| class="wikitable" style="text-align: center; margin-bottom: 10px;"
|+Матриця H (hex-формат)
|1
|3
|4
|5
|6
|8
|B
|7
|-
|3
|1
|5
|4
|8
|6
|7
|B
|-
|4
|5
|1
|3
|B
|7
|6
|8
|-
|5
|4
|3
|1
|7
|B
|8
|6
|-
|6
|8
|B
|7
|1
|3
|4
|5
|-
|8
|6
|7
|B
|3
|1
|5
|4
|-
|B
|7
|6
|8
|4
|5
|1
|3
|-
|7
|B
|8
|6
|5
|4
|3
|1
|}
У вищезгаданому полі Галуа матриця <math>H</math> є симетричною (<math>a_{ij}=a_{ji}</math>, <math>H = H^T</math>) і ортогональною (<math>H^{-1}=H^T</math>). Тобто <math>H^{-1}=H</math> і перетворення, що задається цією матрицею є інволюцією: <math display="inline">\theta(\theta(x))=x\times H\times H=x\times H\times H^{-1}=x\times E = x</math>, де <math>E</math>&nbsp;— одинична матриця

=== Накладення раундового ключа <math>{\displaystyle \sigma [k_{i}]}   </math> ===
Над 64-бітний блок даних і 64-бітним раундовим ключем виконується побітова операція [[Виключна диз'юнкція|XOR]].

== Розширення ключа ==
[[Файл:KHAZAD_Key_Schedule_Feistel.jpg|thumb|188px|Комірка Фейстеля отримання раундового ключа k<sub>i</sub>]]
128-бітний (16-байтний) ключ <math>K</math> розбивається на 2 рівні частини:
* <math>{\displaystyle k_{-1}}  </math>&nbsp;— старші 8 байт (з 15-го по 8-ий)
* <math>{\displaystyle k_{-2}}  </math>&nbsp;— молодші 8 байт (з 7-го по 0-ий)

Ключі <math>k_{0}...k_{8}</math> обчислюються за [[Мережа Фейстеля|схемою Фейстеля]]:

<math>k_i=f(C_i,k_{i-1})\oplus k_{i-2}</math>

Тут:

<math>{\displaystyle f(x,y)}  </math>&nbsp;— функція раунду алгоритму з вхідним блоком <math>x</math> і ключем <math>y</math>.

<math>{\displaystyle C_{i}}  </math>&nbsp;— 64-бітова константа, <math>j</math>-тий байт якої становить&nbsp;<math>C_i^j = S(8i+j)</math>.

== Структура нелінійного перетворення і модифікація шифру ==

=== Оригінальний шифр ===
У первісному варіанті шифру (KHAZAD-0) таблична заміна представлялася класичним S-блоком і описувалася наступною матрицею:
{| class="wikitable" style="text-align: center; margin-bottom: 10px;"
|+Таблична заміна одного байта в KHAZAD-0.<ref name=":3">{{Cite web|url=https://www.cosic.esat.kuleuven.be/nessie/workshop/submissions/khazad.zip|title=Описание шифра Khazad для первого этапа конкурса NESSIE|date=|publisher=|author=|work=|accessdate=2018-04-04|archive-date=2021-05-06|archive-url=https://web.archive.org/web/20210506124802/https://www.cosic.esat.kuleuven.be/nessie/workshop/submissions/khazad.zip}}</ref> Тут номер стовпця&nbsp;— перші 4 біта входу в [[Шістнадцяткова система числення|hex]]-представленні, номер рядка&nbsp;— другі 4 біта. Значення комірки на їх перетині&nbsp;— вихід S-блоку.
| style="background:#B0C4DE" |
| style="background:#B0C4DE" |0
| style="background:#B0C4DE" |1
| style="background:#B0C4DE" |2
| style="background:#B0C4DE" |3
| style="background:#B0C4DE" |4
| style="background:#B0C4DE" |5
| style="background:#B0C4DE" |6
| style="background:#B0C4DE" |7
| style="background:#B0C4DE" |8
| style="background:#B0C4DE" |9
| style="background:#B0C4DE" |A
| style="background:#B0C4DE" |B
| style="background:#B0C4DE" |C
| style="background:#B0C4DE" |D
| style="background:#B0C4DE" |E
|style="background:#B0C4DE" |F
|-
| style="background:#B0C4DE" |0
|A7
|D3
|E6
|71
|D0
|AC
|4D
|79
|3A
|C9
|91
|FC
|1E
|47
|54
|BD
|-
| style="background:#B0C4DE" |1
|8C
|A5
|7A
|FB
|63
|B8
|DD
|D4
|E5
|B3
|C5
|BE
|A9
|88
|0C
|A2
|-
| style="background:#B0C4DE" |2
|39
|DF
|29
|DA
|2B
|A8
|CB
|4C
|4B
|22
|AA
|24
|41
|70
|A6
|F9
|-
| style="background:#B0C4DE" |3
|5A
|E2
|B0
|36
|7D
|E4
|33
|FF
|60
|20
|08
|8B
|5E
|AB
|7F
|78
|-
| style="background:#B0C4DE" |4
|7C
|2C
|57
|D2
|DC
|6D
|7E
|0D
|53
|94
|C3
|28
|27
|06
|5F
|AD
|-
| style="background:#B0C4DE" |5
|67
|5C
|55
|48
|0E
|52
|EA
|42
|5B
|5D
|30
|58
|51
|59
|3C
|4E
|-
| style="background:#B0C4DE" |6
|38
|8A
|72
|14
|E7
|C6
|DE
|50
|8E
|92
|D1
|77
|93
|45
|9A
|CE
|-
| style="background:#B0C4DE" |7
|2D
|03
|62
|B6
|B9
|BF
|96
|6B
|3F
|07
|12
|AE
|40
|34
|46
|3E
|-
| style="background:#B0C4DE" |8
|DB
|CF
|EC
|CC
|C1
|A1
|C0
|D6
|1D
|F4
|61
|3B
|10
|D8
|68
|A0
|-
| style="background:#B0C4DE" |9
|B1
|0A
|69
|6C
|49
|FA
|76
|C4
|9E
|9B
|6E
|99
|C2
|B7
|98
|BC
|-
| style="background:#B0C4DE" |A
|8F
|85
|1F
|B4
|F8
|11
|2E
|00
|25
|1C
|2A
|3D
|05
|4F
|7B
|B2
|-
| style="background:#B0C4DE" |B
|32
|90
|AF
|19
|A3
|F7
|73
|9D
|15
|74
|EE
|CA
|9F
|0F
|1B
|75
|-
| style="background:#B0C4DE" |C
|86
|84
|9C
|4A
|97
|1A
|65
|F6
|ED
|09
|BB
|26
|83
|EB
|6F
|81
|-
| style="background:#B0C4DE" |D
|04
|6A
|43
|01
|17
|E1
|87
|F5
|8D
|E3
|23
|80
|44
|16
|66
|21
|-
| style="background:#B0C4DE" |E
|FE
|D5
|31
|D9
|35
|18
|02
|64
|F2
|F1
|56
|CD
|82
|C8
|BA
|F0
|-
| style="background:#B0C4DE" |F
|EF
|E9
|E8
|FD
|89
|D7
|C7
|B5
|A4
|2F
|95
|13
|0B
|F3
|E0
|37
|}

Дана таблиця повністю еквівалентна тій, що використовується в алгоритмі Anubis (ще один алгоритм, розроблений та поданий на конкурс NESSIE тими ж авторами).<ref name=":0">{{Книга|автор=Панасенко С. П.|заголовок=Алгоритмы шифрования. Специальный справочник.|місце=СПб.|видавництво=БХВ-Петербург|рік=2009|сторінки=282—287|сторінок=576|isbn=978-5-9775-0319-8}}</ref>

==== Принцип вибору S-блоку ====
Будь-яка булева функція <math>f: GF(2)^n \rightarrow GF(2)</math> може бути подана
у вигляді [[Поліном Жегалкіна|поліному Жегалкіна]] (алгебраїчна нормальна форма). Нелінійним порядком функції <math>f</math> називається порядок полінома Жегалкіна, тобто максимальний з порядків її членів.

Якщо <math>\alpha \in GF(2)^n</math>, введемо функцію <math>l_\alpha = \bigoplus_{i=0}^{n-1} \alpha_i \cdot x_i</math>, <math>{\displaystyle l_{\alpha }:GF(2)^{n}\rightarrow GF(2)}  </math>

Блок заміни&nbsp;— це відображення <math>GF(2^n) \rightarrow GF(2^n)</math>. Також, на нього можна дивитися як на відображення <math>GF(2)^n \rightarrow GF(2)^n</math>.

<math>{\displaystyle S[x]=(s_{0}(x),...,s_{n-1}(x))}  </math>, де <math>GF(2)^n \rightarrow GF(2)^n</math>

Нелінійний порядок S-блоку <math>S</math>&nbsp;— <math>\nu_s</math>&nbsp;— мінімальний нелінійний порядок серед усіх лінійних комбінацій компонентів <math>S</math>: <math>{\displaystyle \nu _{s}\equiv \min _{\alpha \in GF(2)^{n}}\nu (l_{\alpha }\circ S)}  </math>

<math>{\displaystyle \delta }  </math>-параметр S-блоку: <math>{\displaystyle \delta _{S}\equiv 2^{-n}\cdot \max _{a\neq 0,b}\{c\in GF(2^{n})\mid S[c\oplus a]\oplus S[c]=b\}}  </math>значення <math>2^n \cdot \delta </math> називається диференціальною рівномірністю <math>{\displaystyle S}  </math>

Кореляція двох булевих функцій <math>{\displaystyle c(f,g)\equiv 2^{1-n}\cdot \{x\mid f(x)=g(x)\}-1}  </math>

<math>{\displaystyle \lambda }  </math>-параметр S-блоку: <math>{\displaystyle \lambda _{S}\equiv \max _{(i,j)\neq (0,0)}\left\vert c(l_{i},l_{j}\circ S)\right\vert }  </math>

У шифрі KHAZAD-0 використовується псевдорандомний згенерований S-блок, що відповідає наступним вимогам:
* повинен бути інволюцією
* <math>{\displaystyle \delta }  </math>-параметр не повинен перевищувати значення <math>{\displaystyle 8\times 2^{-8}}  </math>
* <math>{\displaystyle \lambda }  </math>-параметр не повинен перевищувати значення <math>{\displaystyle 16\times 2^{-6}}  </math>
* нелінійний порядок <math>\nu</math> повинен бути максимальним, а саме, рівним 7

=== Модифікований шифр ===
<blockquote class="" style="">Користуючись можливістю незначної зміни алгоритму протягом першого раунду конкурсу, автори Khazad також внесли зміни в свій алгоритм. В новому варіанті специфікації алгоритму вихідний алгоритм Khazad названий як Khazad-0, а назва Khazad присвоєна модифікованому алгоритму. (Панасенко С. П. «Алгоритми шифрування. Спеціальний довідник»)</blockquote>У модифікованій версії шифру S-блок 8x8 змінений і представлений рекурсивною структурою, що складається з міні-блоків P і Q, кожен з яких є маленьким блоком заміни з 4 бітами на вході і виході (4x4).

Рекурсивна структура блоку заміни в модифікованому шифрі KHAZAD:
[[Файл:Khazad_S-box.jpg|центр|безрамки|324px|Рекурсивна структура блоку заміни в модифікованому шифрі KHAZAD]]Дана структура P&nbsp;— і Q-мініблоків еквівалентна S-блоку з наступною таблицею заміни:
{| align="left" class="wikitable" style="text-align: center; margin-bottom: 10px;"
|+Відповідність вихідних значень вхідним для міні-блоку P
|u
|0
|1
|2
|3
|4
|5
|6
|7
|8
|9
|A
|B
|C
|D
|E
|F
|-
|P(u)
|3
|F
|E
|0
|5
|4
|B
|C
|D
|A
|9
|6
|7
|8
|2
|1
|}
<br/>
{| align="left" class="wikitable" style="text-align: center; margin-bottom: 10px;"
|+Відповідність вихідних значень вхідним для міні-блоку Q
|u
|0
|1
|2
|3
|4
|5
|6
|7
|8
|9
|A
|B
|C
|D
|E
|F
|-
|Q(u)
|9
|E
|5
|6
|A
|2
|3
|C
|F
|0
|4
|D
|7
|B
|1
|8
|}

{| class="wikitable" style="text-align: left; margin-bottom: 10px;"
|+
Результуючий S-блок у модифікованому шифрі KHAZAD. Тут номер стовпця&nbsp;— перші 4 біта входу, номер рядка&nbsp;— другий 4 біт. Значення комірки на їх перетині&nbsp;— вихід S-блоку.&nbsp;<br/>
| style="background:#B0C4DE" |
| style="background:#B0C4DE" |0
| style="background:#B0C4DE" |1
| style="background:#B0C4DE" |2
| style="background:#B0C4DE" |3
| style="background:#B0C4DE" |4
| style="background:#B0C4DE" |5
| style="background:#B0C4DE" |6
| style="background:#B0C4DE" |7
| style="background:#B0C4DE" |8
| style="background:#B0C4DE" |9
| style="background:#B0C4DE" |A
| style="background:#B0C4DE" |B
| style="background:#B0C4DE" |C
| style="background:#B0C4DE" |D
| style="background:#B0C4DE" |E
| style="background:#B0C4DE" |F
|-
| style="background:#B0C4DE" |0
|BA
|54
|2F
|74
|53
|D3
|D2
|4D
|50
|AC
|8D
|BF
|70
|52
|9A
|4C
|-
| style="background:#B0C4DE" |1
|EA
|D5
|97
|D1
|33
|51
|5B
|A6
|DE
|48
|A8
|99
|DB
|32
|B7
|FC
|-
| style="background:#B0C4DE" |2
|E3
|9E
|91
|9B
|E2
|BB
|41
|6E
|A5
|CB
|6B
|95
|A1
|F3
|B1
|02
|-
| style="background:#B0C4DE" |3
|CC
|C4
|1D
|14
|C3
|63
|DA
|5D
|5F
|DC
|7D
|CD
|7F
|5A
|6C
|5C
|-
| style="background:#B0C4DE" |4
|F7
|26
|FF
|ED
|E8
|9D
|6F
|8E
|19
|A0
|F0
|89
|0F
|07
|AF
|FB
|-
| style="background:#B0C4DE" |5
|08
|15
|0D
|04
|01
|64
|DF
|76
|79
|DD
|3D
|16
|3F
|37
|6D
|38
|-
| style="background:#B0C4DE" |6
|B9
|73
|E9
|35
|55
|71
|7B
|8C
|72
|88
|F6
|2A
|3E
|5E
|27
|46
|-
| style="background:#B0C4DE" |7
|0C
|65
|68
|61
|03
|C1
|57
|D6
|D9
|58
|D8
|66
|D7
|3A
|C8
|3C
|-
| style="background:#B0C4DE" |8
|FA
|96
|A7
|98
|EC
|B8
|C7
|AE
|69
|4B
|AB
|A9
|67
|0A
|47
|F2
|-
| style="background:#B0C4DE" |9
|B5
|22
|E5
|EE
|BE
|2B
|81
|12
|83
|1B
|0E
|23
|F5
|45
|21
|CE
|-
| style="background:#B0C4DE" |A
|49
|2C
|F9
|E6
|B6
|28
|17
|82
|1A
|8B
|FE
|8A
|09
|C9
|87
|4E
|-
| style="background:#B0C4DE" |B
|E1
|2E
|E4
|E0
|EB
|90
|A4
|1E
|85
|60
|00
|25
|F4
|F1
|94
|0B
|-
| style="background:#B0C4DE" |C
|E7
|75
|EF
|34
|31
|D4
|D0
|86
|7E
|AD
|FD
|29
|30
|3B
|9F
|F8
|-
| style="background:#B0C4DE" |D
|C6
|13
|06
|05
|C5
|11
|77
|7C
|7A
|78
|36
|1C
|39
|59
|18
|56
|-
| style="background:#B0C4DE" |E
|B3
|B0
|24
|20
|B2
|92
|A3
|C0
|44
|62
|10
|B4
|84
|43
|93
|C2
|-
| style="background:#B0C4DE" |F
|4A
|BD
|8F
|2D
|BC
|9C
|6A
|40
|CF
|A2
|80
|4F
|1F
|CA
|AA
|42
|}

З таблиць легко помітити, що в первісному варіанті, так і в модифікованому S-блоки є інволюційними, тобто <math>S( S(x) ) = x</math>.

== Безпека ==
Передбачається, що KHAZAD є криптостійким настільки, наскільки криптостійким може бути блоковий шифр з даними довжинами блоку і ключа.

Це передбачає, крім іншого, наступне:
* найбільш ефективною атакою на знаходження ключа шифру KHAZAD є повний перебір.
* отримання з даних пар відкритий текст—шифротекст, інформації про інші такі пари не може бути здійснено більш ефективно, ніж знаходження ключа методом повного перебору.
* очікувана складність пошуку ключа методом повного перебору залежить від бітової довжини ключа і дорівнює <math>2^{127}</math> стосовно до шифру KHAZAD.

Такий великий запас надійності закладався в шифр з урахуванням всіх відомих атак.

Існують атаки лише на скорочений варіант шифру з 5 раундами (Frédéric Muller, 2003).<ref>{{Статья|автор=Frédéric Muller|заглавие=A new attack against khazad|ссылка=http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.108.7998|издание=in Proceedings of ASIACRYPT 2003|страницы=347–358|archivedate=6 березня 2016|archiveurl=https://web.archive.org/web/20160306083427/http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.108.7998}}</ref>{{Цитата|Як видно, ніяких скільки-небудь серйозних проблем з криптостійкості алгоритму Khazad виявлено не було, що зазначено і експертами конкурсу NESSIE. Крім того, експертами відзначена досить висока швидкість шифрування даного алгоритму. Khazad був визнаний перспективним алгоритмом, вельми цікавим для подальшого вивчення, але не став одним з переможців конкурсу через підозри експертів, що структура алгоритму може містити приховані вразливості, які можуть бути виявлені в майбутньому.
|автор=Панасенко С. П. "Алгоритмы шифрования. Специальный справочник"<ref name=":0" />}}

== Доступність ==
{{Цитата|Шифр KHAZAD не був (і ніколи не буде) запатентований. Він може використовуватися безкоштовно для будь-яких цілей.
|автор=<ref name=":1">{{Cite web
|url=http://www.larc.usp.br/~pbarreto/KhazadPage.html
|title=The Khazad Block Cipher
|author=Paulo Sérgio L. M. Barreto, Vincent Rijmen
|website=larc.usp.br
|accessdate=2016-11-30
|archivedate=2012-09-02
|archiveurl=https://www.webcitation.org/6AMfCcJot?url=http://www.larc.usp.br/~pbarreto/KhazadPage.html
|url-status=dead
}} {{Webarchive|url=https://web.archive.org/web/20120530054027/http://www.larc.usp.br/~pbarreto/KhazadPage.html |date=2012-05-30 }}</ref>}}

== Назва ==
Шифр названий на честь [[Морія (Середзем'я)|Казад-дума (Khazad-dûm) або Морії]]&nbsp;— величезного підземного королівства гномів в Імлистих горах Середзем'я з трилогії [[Джон Роналд Руел Толкін|{{s|Дж. Р. Р. Толкіна}}]] «<nowiki/>[[Володар перснів]]<nowiki/>».

== Див. також ==
* [[SHARK]]
* [[Advanced Encryption Standard]] (AES)

== Примітки ==
{{reflist}}

== Література ==
* ''Панасенко С.&nbsp;П.'' Алгоритмы шифрования. Специальный справочник. —СПб.: БХВ-Петербург, 2009.&nbsp;— 576 с.: ил. ISBN 978-5-9775-0319-8

== Посилання ==
* [https://www.webcitation.org/6AMfCcJot?url=http://www.larc.usp.br/~pbarreto/KhazadPage.html Офіційна сторінка шифру KHAZAD]
* Paulo S. L. M. Barreto and Vincent Rijmen. [https://web.archive.org/web/20120223095717/http://www.larc.usp.br/~pbarreto/khazad-tweak.zip The KHAZAD Legacy-Level Block Cipher] (tweaked, KHAZAD). In First Open NESSIE Workshop, KU-Leuven, 2000. Modificated submission to NESSIE selected for 2nd Phase.
* Paulo S. L. M. Barreto and Vincent Rijmen. [https://www.cosic.esat.kuleuven.be/nessie/workshop/submissions/khazad.zip The KHAZAD Legacy-Level Block Cipher] {{Webarchive|url=https://web.archive.org/web/20210506124802/https://www.cosic.esat.kuleuven.be/nessie/workshop/submissions/khazad.zip |date=6 травня 2021 }} (original, KHAZAD-0). Original submission to NESSIE.
* Alex Biryukov. [http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.90.5426 Analysis of Involutional Ciphers: Khazad and Anubis] {{Webarchive|url=https://web.archive.org/web/20160304110052/http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.90.5426 |date=4 березня 2016 }}. In T. Johansson, editor, Fast Software Encryption&nbsp;— 2003, Lectures Notes in Computer Science. Springer, 2003.
* Frédéric Muller. [http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.108.7998 A New Attack against Khazad. Advances in Cryptology] {{Webarchive|url=https://web.archive.org/web/20160306083427/http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.108.7998 |date=6 березня 2016 }}
* [https://www.cosic.esat.kuleuven.be/nessie/workshop/submissions.html List of NESSIE submissions as originally submitted] {{Webarchive|url=https://web.archive.org/web/20161013120536/https://www.cosic.esat.kuleuven.be/nessie/workshop/submissions.html |date=13 жовтня 2016 }}
* [https://www.cosic.esat.kuleuven.be/nessie/tweaks.html Modifications to NESSIE submissions selected for 2nd Phase] {{Webarchive|url=https://web.archive.org/web/20161013120455/https://www.cosic.esat.kuleuven.be/nessie/tweaks.html |date=13 жовтня 2016 }}
* [https://www.cosic.esat.kuleuven.be/nessie/deliverables/ Deliverables of the NESSIE project] {{Webarchive|url=https://web.archive.org/web/20161013120410/https://www.cosic.esat.kuleuven.be/nessie/deliverables/ |date=13 жовтня 2016 }}
* [https://www.cosic.esat.kuleuven.be/nessie/deliverables/D14.pdf NESSIE Public Report D14: Report on the Performance Evaluation of NESSIE Candidates I] {{Webarchive|url=https://web.archive.org/web/20220120210150/https://www.cosic.esat.kuleuven.be/nessie/deliverables/D14.pdf |date=20 січня 2022 }}
* [https://www.cosic.esat.kuleuven.be/nessie/deliverables/D18_1.pdf NESSIE Public Report D18: Update on the selection of algorithms for further investigation during the second round.] {{Webarchive|url=https://web.archive.org/web/20220120113234/https://www.cosic.esat.kuleuven.be/nessie/deliverables/D18_1.pdf |date=20 січня 2022 }}
{{Бібліоінформація}}
{{Блочні алгоритми шифрування}}
{{портали|Математика|Інформаційні технології}}

[[Категорія:Блокові шифри]]
[[Категорія:Криптографічні геш-функції]]
[[Категорія:Криптографія]]