Перегляд вихідного коду сторінки MESH (шифр)


{{Картка блочного шифру
|назва         = MESH
|зображення    = 
|розробник     = [[Жорже Накахара|Накахара]], [[Вінсент Реймен|Реймен]], [[Барт Пренель|Пренель]], [[Джус Вандевалле|Вандевалле]]
|створений     = заснований на [[International Data Encryption Algorithm|IDEA]], модифікації [[Мережа Фейстеля|Мережі Фейстеля]]
|опублікований = 2002
|размір ключа  = 128, 192, 256  біт
|размір блоку  = 64, 96, 128 біт
|число раундів = 8.5, 10.5, 12.5
|тип           = [[SP-мережа|Підстановлювально-переустановлена мережа]] }}

В [[Криптографія| криптографії]], '''MESH'''&nbsp;— [[блочний шифр]], що є модифікацією [[International Data Encryption Algorithm|IDEA]]. Розроблений [[Жоржі Накахара|Жоржем Накахара]], [[Вінсент Реймен|Вінсентом Рейменом]], [[Барт Пренель| Бартом Пренелем]] і [[Джус Вандевалле| Джусом Вандевалле]] в 2002 році. На відміну від IDEA, MESH має більш складну раундову структуру. Інший алгоритм генерації [[Ключ (криптографія)| ключів]] дозволяє MESH уникати проблеми слабких ключів {{sfn|The MESH Block Ciphers | 2002 | p = 1-2}}.

== Структура шифру ==
Кожен [[Раунд (криптографія)|раунд]] в IDEA і MESH складається з операцій додавання та множення. Послідовність таких обчислень в межах одного раунду утворює MA-бокс. Всі MA-бокси в MESH використовують мінімум три чергових рівнів додавань і множень (за схемою «зигзаг»), в той час, як в IDEA таких тільки два. Це робить MESH більш стійким проти [[Диференціальний криптоаналіз| диференціальної]] і [[Лінійний криптоаналіз| лінійної]] криптоатак. Також, з метою уникнення проблеми слабких ключів, в MESH використовуються два наступних принципи:
* Кожне підключення залежить від багатьох подключень, точнішео&nbsp;— як мінімум від шести попередніх ключів нелінійно.
* Використовуються фіксовані константи. Без них, наприклад, ключ з усіх нулів перейшов би в підключі, кожна з яких дорівнювала б нулю в будь-якому раунді.

Як і в IDEA, MESH використовує такі операції:
* Множення по модулю <math> 2^{16} + 1 </math>, при чому замість нуля використовується <math> 2^{16} </math> (<math>\odot </math>)
* [[Бітовий зсув]] вліво на <math>n</math> бит (<math>\lll\ n</math>)
* Складання по модулю <math>2^{16}</math> (<math>\boxplus</math>)
* Побітова [[Виключна диз'юнкція]] (<math>\oplus</math>)
Операції розташовані в порядку зменшення пріоритету.
В обчисленнях запис <math>A_{k}^{(i)}</math> позначає 16-ти бітове слово. Індекси описуються далі.

MESH описується в трьох варіаціях за розмірами блоку: 64, 96, 128 біт. Розмір ключа при цьому береться вдвічі більший {{sfn | Cryptanalysis And Design Of Block Ciphers | 2003 | p = 124}}.

== MESH-64 ==
У даній варіації розмір блоку становить 64 біт, ключ&nbsp;— 128 біт. Шифрування проходить в 8.5 раундів. Половина раунду відноситься до вихідних перетворень {{sfn|Cryptanalysis And Design Of Block Ciphers|2003| p = 125}}.

=== Раундові перетворення ===
Позначимо вхідну інформацію для <math> i </math> -го раунду:
<br/><math>X^{(i)}\ =\ (X_1^{(i)},\ X_2^{(i)},\ X_3^{(i)},\ X_4^{(i)}),\ i=1...9</math>

Кожен раунд складається з двох частин: перемішування вхідних даних з підключами і MA-обчислення. На парних і непарних раундах перемішування відбувається по-різному:
* Для непарних раундів:
<math>(Y_1^{(i)},\ Y_2^{(i)},\ Y_3^{(i)},\ Y_4^{(i)})\ =\ (X_1^{(i)}\ \odot\ Z_1^{(i)},\ X_2^{(i)}\ \boxplus\ Z_2^{(i)},\ X_3^{(i)}\ \boxplus\ Z_3^{(i)},\ X_4^{(i)}\ \odot\ Z_4^{(i)})</math>.
* Для парних раундів:
<Math> (Y_1 ^ {(i)}, \ Y_2 ^ {(i)}, \ Y_3 ^ {(i)}, \ Y_4 ^ {(i)}) \ = \ (X_1 ^ {(i)} \ \ boxplus \ Z_1 ^ {(i)}, \ X_2 ^ {(i)} \ \ odot \ Z_2 ^ {(i)}, \ X_3 ^ {(i)} \ \ odot \ Z_3 ^ {(i) }, \ X_4 ^ {(i)} \ \ boxplus \ Z_4 ^ {(i)}) </math>.

Перетворення, що виконуються MA-боксами, однакові для всіх раундів. Вхідні дані для них виходять наступним чином:
<br/><math>(Y_5^{(i)},\ Y_6^{(i)})\ =\ (Y_1^{(i)}\ \oplus\ Y_3^{(i)},\ Y_2^{(i)}\ \oplus\ Y_4^{(i)})</math><br/>

МА-обчислення описуються наступними формулами:
<br/><math>Y_7^{(i)}\ =\ ((Y_5^{(i)}\ \odot\ Z_5^{(i)}\ \boxplus\ Y_6^{(i)})\ \odot\ Z_6^{(i)}\ \boxplus\ (Y_5^{(i)}\ \odot\ Z_5^{(i)}))\ \odot\ Z_7^{(i)}</math>
<br/><math>Y_8^{(i)}\ = \ Y_7^{(i)}\ \boxplus\ ((Y_5^{(i)}\ \odot\ Z_5^{(i)}\ \boxplus\ Y_6^{(i)})\ \odot\ Z_6^{(i)})</math><br/>

Використовуючи результати, отримані MA-боксами, знаходимо вхідні дані для наступного раунду:
<br/><math>X^{(i+1)}\ =\ (Y_1^{(i)}\ \oplus\ Y_8^{(i)},\ Y_3^{(i)}\ \oplus\ Y_8^{(i)},\ Y_2^{(i)}\ \oplus\ Y_7^{(i)},\ Y_4^{(i)}\ \oplus\ Y_7^{(i)})</math><br/>

Згідно зі схемою, для отримання зашифрованого повідомлення, необхідно після восьмого раунду провести перемішування по непарній схемі <math>(i = 9) </math>{{sfn|Cryptanalysis And Design Of Block Ciphers | 2003 | p = 125-126}}

=== Генерація ключів ===
Для генерації ключів використовується 128-бітний, призначений для користувача ключ, а також 16-бітові константи <math> c_i </math>: <math> c_0 \ = \ 1 </math>, <math> c_i \ = \ 3 c_ {i -1} </math>, вони обчислюються в [[Поле Галуа|Полі Галуа]] <math> GF (2^{16}) </math> по модулю багаточлена <math> x^{16} \ + \ x ^ {5 } \ + \ x ^ {3} \ + \ x ^ {2} \ + \ 1 </math>. Призначений для користувача ключ, розбивається на 8 16-бітових слів <math> K_i, \ 0 \ \ leqslant \ i \ \ leqslant \ 7 </math>.

Обчислення підключів відбувається наступним чином: {{sfn|The MESH Block Ciphers|2002|p=3}}:
<br/><math>Z_{i+1}^{(1)}\ =\ K_i\ \oplus\ c_i,\ 0\ \leqslant\ i\ \leqslant\ 6</math>
<br/><math>Z_1^{(2)}\ =\ K_7\ \oplus\ c_7</math>
<br/><math>Z_{l(i)}^{(h(i))}\ =\ (((((Z_{l(i-8)}^{(h(i-8))}\ \boxplus\ Z_{l(i-7)}^{(h(i-7))})\ \oplus\ Z_{l(i-6)}^{(h(i-6))})\ \boxplus\ Z_{l(i-3)}^{(h(i-3))})\ \oplus\ Z_{l(i-2)}^{(h(i-2))})\ \boxplus\ Z_{l(i-1)}^{(h(i-1))})\ \lll\ 7\ \oplus\ c_i,</math>
<br/>где <math>8\ \leqslant\ i\ \leqslant\ 59,\ h(i)\ =\ i\ div\ 7\ +\ 1,\ l(i)\ =\ i\ \bmod\ 7\ +\ 1</math>.

=== Розшифровка ===
Для розшифровки MESH, як і IDEA, використовують вже існуючу схему, але зі зміненими раундовими підключами. Позначимо підключі, що використовувалися при шифруванні, в такий спосіб:
<br/> <math> (Z_ {1}^{(r)}, \ ... \ Z_ {7}^{(r)}), \ 1 \ \ leqslant \ r \ \ leqslant \ 8 </math>&nbsp;— підключі повних раундів;
<br/> <math> (Z_ {1}^{(9)}, \ ... \ Z_ {4}^{(9)}) </math>&nbsp;— підключі вихідних перетворень.

Тоді підключі розшифровки задаються наступним чином {{sfn | The MESH Block Ciphers | 2002 | p = 4}}: {{sfn|The MESH Block Ciphers|2002|p=4}}:
* <math>((Z_1^{(9)})^{-1},\ -Z_2^{(9)},\ -Z_3^{(9)},\ (Z_4^{(9)})^{-1},\ Z_5^{(8)},\ Z_6^{(8)},\ Z_7^{(8)})</math>,&nbsp;— первий раунд розшифровки;
* <math>(-Z_1^{(10-r)},\ (Z_3^{(10-r)})^{-1},\ (Z_2^{(10-r)})^{-1},\ -Z_4^{(10-r)},\ Z_5^{(9-r)},\ Z_6^{(9-r)},\ Z_7^{(9-r)})</math>,&nbsp;— <math>r</math>-й '''парний''' раунд, <math>r\ \in\ \{2,\ 4,\ 6,\ 8\}</math>;
* <math>((Z_1^{(9-r)})^{-1},\ -Z_3^{(9-r)},\ -Z_2^{(9-r)},\ (Z_4^{(9-r)})^{-1},\ Z_5^{(8-r)},\ Z_6^{(8-r)},\ Z_7^{(8-r)})</math>,&nbsp;— <math>r</math>-й '''непарний''' раунд, <math>r\ \in\ \{3,\ 5,\ 7\}</math>;
* <math>((Z_1^{(1)})^{-1},\ -Z_2^{(1)},\ -Z_3^{(1)},\ (Z_4^{(1)})^{-1})</math>,&nbsp;— вихідні перетворення.

== MESH-96 ==
У даній варіації розмір блоку становить 96 біт, ключ&nbsp;— 192 біт. Шифрування проходить в 10.5 раундів. Половина раунду відноситься до вихідних перетворень {{sfn|Cryptanalysis And Design Of Block Ciphers | 2003 | p = 127}}.

=== Раундові перетворення ===
Позначимо вхідну інформацію для <math> i </math> -го раунду:
<br/> <math> X^{(i)} \ = \ (X_1^{(i)}, \ X_2^{(i)}, \ X_3^{(i)}, \ X_4^{(i) }, \ X_5^{(i)}, \ X_6 ^ {(i)}), \ i = 1 ... 11 </math>

Кожен раунд складається з двох частин: перемішування вхідних даних із підключами і MA-обчислення. На парних і непарних раундах перемішування відбувається по-різному:
* Для непарних раундів:
<math>(Y_1^{(i)},\ Y_2^{(i)},\ Y_3^{(i)},\ Y_4^{(i)},\ Y_5^{(i)},\ Y_6^{(i)})\ =\ (X_1^{(i)}\ \odot\ Z_1^{(i)},\ X_2^{(i)}\ \boxplus\ Z_2^{(i)},\ X_3^{(i)}\ \odot\ Z_3^{(i)},\ X_4^{(i)}\ \boxplus\ Z_4^{(i)},\ X_5^{(i)}\ \odot\ Z_5^{(i)},\ X_6^{(i)}\ \boxplus\ Z_6^{(i)})</math>
* Для парних раундів:
<math>(Y_1^{(i)},\ Y_2^{(i)},\ Y_3^{(i)},\ Y_4^{(i)},\ Y_5^{(i)},\ Y_6^{(i)})\ =\ (X_1^{(i)}\ \boxplus\ Z_1^{(i)},\ X_2^{(i)}\ \odot\ Z_2^{(i)},\ X_3^{(i)}\ \boxplus\ Z_3^{(i)},\ X_4^{(i)}\ \odot\ Z_4^{(i)},\ X_5^{(i)}\ \boxplus\ Z_5^{(i)},\ X_6^{(i)}\ \odot\ Z_6^{(i)})</math>
Перетворення, що виконуються MA-боксами, однакові для всіх раундів. Вхідні дані для них виходять наступним чином:
<br/><math>(Y_7^{(i)},\ Y_8^{(i)},\ Y_9^{(i)})\ =\ (Y_1^{(i)}\ \oplus\ Y_4^{(i)},\ Y_2^{(i)}\ \oplus\ Y_5^{(i)},\ Y_3^{(i)}\ \oplus\ Y_6^{(i)})</math><br/>

МА-обчислення описуються наступними формулами:
<br/><math>Y_{10}^{(i)}\ =\ (((Y_7^{(i)}\ \odot\ Z_7^{(i)}\ \boxplus\ Y_8^{(i)})\ \odot\ Y_9^{(i)}\ \boxplus\ Z_8^{(i)})\ \odot\ (Y_7^{(i)}\ \odot\ Z_7^{(i)}\ \boxplus\ Y_8^{(i)})\ \boxplus\ Y_7^{(i)}\ \odot\ Z_7^{(i)})\ \odot\ Z_9^{(i)}</math>
<br/><math>Y_{11}^{(i)}\ =\ Y_{10}^{(i)}\ \boxplus\ ((Y_7^{(i)}\ \odot\ Z_7^{(i)}\ \boxplus\ Y_8^{(i)})\ \odot\ Y_9^{(i)}\ \boxplus\ Z_8^{(i)})\ \odot\ (Y_7^{(i)}\ \odot\ Z_7^{(i)}\ \boxplus\ Y_8^{(i)})</math>
<br/><math>Y_{12}^{(i)}\ =\ Y_{11}^{(i)}\ \odot\ ((Y_7^{(i)}\ \odot\ Z_7^{(i)}\ \boxplus\ Y_8^{(i)})\ \odot\ Y_9^{(i)}\ \boxplus\ Z_8^{(i)})</math><br/>

Використовуючи результати, отримані MA-боксами, знаходимо вхідні дані для наступного раунду:
<br/><math>X^{(i+1)}\ =\ (Y_1^{(i)}\ \oplus\ Y_{12}^{(i)},\ Y_4^{(i)}\ \oplus\ Y_{12}^{(i)},\ Y_5^{(i)}\ \oplus\ Y_{11}^{(i)},\ Y_2^{(i)}\ \oplus\ Y_{11}^{(i)},\ Y_3^{(i)}\ \oplus\ Y_{10}^{(i)},\ Y_6^{(i)}\ \oplus\ Y_{10}^{(i)})</math><br/>

Для отримання зашифрованого повідомлення, необхідно після 10-го раунду провести перемішування за непарною схемою <math> (i = 9) </math> {{sfn | Cryptanalysis And Design Of Block Ciphers | 2003 | p = 127-129}}

=== Генерація ключів ===
Для генерації ключів використовується 192-бітний, призначений для користувача, ключ, а також 16-бітові константи, такі ж, як і для MESH-64.

Обчислення подключів відбувається наступним чином: {{sfn|Cryptanalysis And Design Of Block Ciphers|2003|p=129}}:
<br/><math>Z_{i+1}^{(1)}\ =\ K_i\ \oplus\ c_i,\ 0\ \leqslant\ i\ \leqslant\ 8</math>
<br/><math>Z_1^{(2)}\ =\ K_9\ \oplus\ c_9</math>
<br/><math>Z_2^{(2)}\ =\ K_{10}\ \oplus\ c_{10}</math>
<br/><math>Z_3^{(2)}\ =\ K_{11}\ \oplus\ c_{11}</math>
<br/><math>Z_{l(i)}^{(h(i))}\ =\ (((((Z_{l(i-12)}^{(h(i-12))}\ \boxplus\ Z_{l(i-8)}^{(h(i-8))})\ \oplus\ Z_{l(i-6)}^{(h(i-6))})\ \boxplus\ Z_{l(i-4)}^{(h(i-4))})\ \oplus\ Z_{l(i-2)}^{(h(i-2))})\ \boxplus\ Z_{l(i-1)}^{(h(i-1))})\ \lll\ 9\ \oplus\ c_i,</math>
<br/>где <math>12\ \leqslant\ i\ \leqslant\ 95,\ h(i)\ =\ i\ div\ 9\ +\ 1,\ l(i)\ =\ i\ \bmod\ 9\ +\ 1</math>.

=== Розшифровка ===
Для розшифровки MESH, як і IDEA, використовує вже існуючу схему, але зі зміненими раундовими підключами. Позначимо підключі, що використовувалися при шифруванні, в такий спосіб:
<br/> <math> (Z_ {1}^{(r)}, \ ... \ Z_ {9}^{(r)}), \ 1 \ \ leqslant \ r \ \ leqslant \ 10 </math>&nbsp;— підключі повних раундів;
<br/> <math> (Z_ {1}^{(11)}, \ ... \ Z_ {6} ^ {(11)}) </math>&nbsp;— підключі вихідних перетворень.

Тоді підключі розшифровки задаються наступним чином {{sfn | Cryptanalysis And Design Of Block Ciphers | 2003 | p = 129-130}}:
* <math>((Z_1^{(11)})^{-1},\ -Z_2^{(11)},\ (Z_3^{(11)})^{-1},\ -Z_4^{(11)},\ (Z_5^{(11)})^{-1},\ -Z_6^{(11)},\ Z_7^{(10)},\ Z_8^{(10)},\ Z_9^{(10)})</math>,&nbsp;— перший раунд розшифровки;
* <math>(-Z_1^{(12-r)},\ (Z_4^{(12-r)})^{-1},\ -Z_5^{(12-r)},\ (Z_2^{(12-r)})^{-1},\ -Z_3^{(12-r)},\ (Z_6^{(12-r)})^{-1},\ Z_7^{(11-r)},\ Z_8^{(11-r)},\ Z_9^{(11-r)})</math>,&nbsp;— <math>r</math>-й '''парний''' раунд, <math>r\ \in\ \{2,\ 4,\ 6,\ 8,\ 10\}</math>;
* <math>((Z_1^{(11-r)})^{-1},\ -Z_4^{(11-r)},\ (Z_5^{(11-r)})^{-1},\ -Z_2^{(11-r)},\ (Z_3^{(11-r)})^{-1},\ -Z_6^{(11-r)},\ Z_7^{(10-r)},\ Z_8^{(10-r)},\ Z_9^{(10-r)})</math>,&nbsp;— <math>r</math>-й '''непарний''' раунд, <math>r\ \in\ \{3,\ 5,\ 7,\ 9\}</math>;
* <math>((Z_1^{(1)})^{-1},\ -Z_2^{(1)},\ (Z_3^{(1)})^{-1},\ -Z_4^{(1)},\ (Z_5^{(1)})^{-1},\ -Z_6^{(1)})</math>,&nbsp;— вихідні перетворення.

== MESH-128 ==
У даній варіації розмір блоку становить 128 біт, ключ&nbsp;— 256 біт. Шифрування проходить в 12.5 раундів. Половина раунду відноситься до вихідних перетворень {{sfn | Cryptanalysis And Design Of Block Ciphers | 2003 | p = 130}}.

=== Ранундові перетворення ===
Позначимо вхідну інформацію для <math> i </math> -го раунду:
<br/><math>X^{(i)}\ =\ (X_1^{(i)},\ X_2^{(i)},\ X_3^{(i)},\ X_4^{(i)},\ X_5^{(i)},\ X_6^{(i)},\ X_7^{(i)},\ X_8^{(i)}),\ i=1...13</math>
Кожен раунд складається з двох частин: перемішування вхідних даних із підключами і MA-обчислення. На парних і непарних раундах перемішування відбувається по-різному:
* Для непарних раундів:
<math>(Y_1^{(i)},\ Y_2^{(i)},\ Y_3^{(i)},\ Y_4^{(i)},\ Y_5^{(i)},\ Y_6^{(i)},\ Y_7^{(i)},\ Y_8^{(i)})\ =</math>
<br/><math>\ \ \ \ \ \ \ \ \ \ \ \ \ (X_1^{(i)}\ \odot\ Z_1^{(i)},\ X_2^{(i)}\ \boxplus\ Z_2^{(i)},\ X_3^{(i)}\ \odot\ Z_3^{(i)},\ X_4^{(i)}\ \boxplus\ Z_4^{(i)},\ X_5^{(i)}\ \odot\ Z_5^{(i)},\ X_6^{(i)}\ \boxplus\ Z_6^{(i)},\ X_7^{(i)}\ \odot\ Z_7^{(i)},\ X_8^{(i)}\ \boxplus\ Z_8^{(i)})</math>
* Для парних раундів:
<math>(Y_1^{(i)},\ Y_2^{(i)},\ Y_3^{(i)},\ Y_4^{(i)},\ Y_5^{(i)},\ Y_6^{(i)},\ Y_7^{(i)},\ Y_8^{(i)})\ =</math>
<br/><math>\ \ \ \ \ \ \ \ \ \ \ \ \ (X_1^{(i)}\ \boxplus\ Z_1^{(i)},\ X_2^{(i)}\ \odot\ Z_2^{(i)},\ X_3^{(i)}\ \boxplus\ Z_3^{(i)},\ X_4^{(i)}\ \odot\ Z_4^{(i)},\ X_5^{(i)}\ \boxplus\ Z_5^{(i)},\ X_6^{(i)}\ \odot\ Z_6^{(i)},\ X_7^{(i)}\ \boxplus\ Z_7^{(i)},\ X_8^{(i)}\ \odot\ Z_8^{(i)})</math>

Перетворення, що виконуються MA-боксами, однакові для всіх раундів. Вхідні дані для них виходять наступним чином:
<br/><math>(Y_9^{(i)},\ Y_{10}^{(i)},\ Y_{11}^{(i)},\ Y_{12}^{(i)})\ =\ (Y_1^{(i)}\ \oplus\ Y_5^{(i)},\ Y_2^{(i)}\ \oplus\ Y_6^{(i)},\ Y_3^{(i)}\ \oplus\ Y_7^{(i)},\ Y_4^{(i)}\ \oplus\ Y_8^{(i)})</math><br/>.

МА-обчислення описуються наступними формулами:

<br/><math>Y_{13}^{(i)}\ =\ Y_{9}^{(i)}\ \odot\ Z_{9}^{(i)},\ \ \ \ \ Y_{14}^{(i)}\ =\ Y_{13}^{(i)}\ \boxplus\ Y_{10}^{(i)},</math>
<br/><math>Y_{15}^{(i)}\ =\ Y_{14}^{(i)}\ \odot\ Y_{11}^{(i)},\ \ \ \ \ Y_{16}^{(i)}\ =\ Y_{15}^{(i)}\ \boxplus\ Y_{12}^{(i)},</math>
<br/><math>Y_{17}^{(i)}\ =\ Y_{16}^{(i)}\ \odot\ Z_{10}^{(i)},\ \ \ \ \ Y_{18}^{(i)}\ =\ Y_{15}^{(i)}\ \boxplus\ Y_{17}^{(i)},</math>
<br/><math>Y_{19}^{(i)}\ =\ Y_{14}^{(i)}\ \odot\ Y_{18}^{(i)},\ \ \ \ \ Y_{20}^{(i)}\ =\ Y_{13}^{(i)}\ \boxplus\ Y_{19}^{(i)},</math>
<br/><math>Y_{21}^{(i)}\ =\ Y_{20}^{(i)}\ \odot\ Z_{11}^{(i)},\ \ \ \ \ Y_{22}^{(i)}\ =\ Y_{19}^{(i)}\ \boxplus\ Y_{21}^{(i)},</math>
<br/><math>Y_{23}^{(i)}\ =\ Y_{18}^{(i)}\ \odot\ Y_{22}^{(i)},\ \ \ \ \ Y_{24}^{(i)}\ =\ Y_{17}^{(i)}\ \boxplus\ Y_{23}^{(i)},</math>
<br/><math>Y_{25}^{(i)}\ =\ Y_{24}^{(i)}\ \odot\ Z_{12}^{(i)},\ \ \ \ \ Y_{26}^{(i)}\ =\ Y_{23}^{(i)}\ \boxplus\ Y_{25}^{(i)},</math>
<br/><math>Y_{27}^{(i)}\ =\ Y_{22}^{(i)}\ \odot\ Y_{26}^{(i)},\ \ \ \ \ Y_{28}^{(i)}\ =\ Y_{21}^{(i)}\ \boxplus\ Y_{27}^{(i)}.</math>

Використовуючи результати, отримані MA-боксами, знаходимо вхідні дані для наступного раунду:
<br/><math>X^{(i+1)}\ =\ (Y_1^{(i)}\ \oplus\ Y_{25}^{(i)},\ Y_5^{(i)}\ \oplus\ Y_{25}^{(i)},\ Y_6^{(i)}\ \oplus\ Y_{26}^{(i)},\ Y_7^{(i)}\ \oplus\ Y_{27}^{(i)},\ Y_2^{(i)}\ \oplus\ Y_{26}^{(i)},\ Y_3^{(i)}\ \oplus\ Y_{27}^{(i)},\ Y_4^{(i)}\ \oplus\ Y_{28}^{(i)},\ Y_8^{(i)}\ \oplus\ Y_{28}^{(i)})</math><br/>

Для отримання зашифрованого повідомлення необхідно після 12-го раунду провести перемішування за непарною схемою <math> (i = 9)</math> {{sfn | Cryptanalysis And Design Of Block Ciphers | 2003 | p = 130-132}}

=== Генерація ключів ===
Для генерації ключів використовується 256-бітний, призначений для користувача, ключ, а також 16-бітові константи, такі ж, як для MESH-64 і для MESH-96.

Обчислення подключів відбувається наступним чином: {{sfn|Cryptanalysis And Design Of Block Ciphers|2003|p=132}}:
<br/><math>Z_{i+1}^{(1)}\ =\ K_i\ \oplus\ c_i,\ 0\ \leqslant\ i\ \leqslant\ 11</math>
<br/><math>Z_{j\ \bmod\ 12\ +\ 1}^{(2)}\ =\ K_j\ \oplus\ c_j,\ 12\ \leqslant\ j\ \leqslant\ 15</math>
<br/><math>Z_{l(i)}^{(h(i))}\ =\ (((((Z_{l(i-16)}^{(h(i-16))}\ \boxplus\ Z_{l(i-13)}^{(h(i-13))})\ \oplus\ Z_{l(i-12)}^{(h(i-12))})\ \boxplus\ Z_{l(i-8)}^{(h(i-8))})\ \oplus\ Z_{l(i-2)}^{(h(i-2))})\ \boxplus\ Z_{l(i-1)}^{(h(i-1))})\ \lll\ 11\ \oplus\ c_i,</math>
<br/>где <math>16\ \leqslant\ i\ \leqslant\ 151,\ h(i)\ =\ i\ div\ 12\ +\ 1,\ l(i)\ =\ i\ \bmod\ 12\ +\ 1</math>.

=== Розшифровка ===
Для розшифровки MESH, як і IDEA, використовує вже існуючу схему, але зі зміненими раундовими підключами. Позначимо підключі, що використовувалися при шифруванні, в такий спосіб:
<br/> <math> (Z_ {1}^{(r)}, \ ... \ Z_ {12}^{(r)}), \ 1 \ \ leqslant \ r \ \ leqslant \ 12 </math>&nbsp;— підключі повних раундів;
<br/> <math> (Z_ {1}^{(13)}, \ ... \ Z_ {8}^{(13)}) </math>&nbsp;— підключі вихідних перетворень.

{{sfn|Cryptanalysis And Design Of Block Ciphers|2003|p=132-133}}:
* <math>((Z_1^{(13)})^{-1},\ -Z_2^{(13)},\ (Z_3^{(13)})^{-1},\ -Z_4^{(13)},\ -Z_5^{(13)},\ (Z_6^{(13)})^{-1},\ -Z_7^{(13)},\ (Z_8^{(13)})^{-1},\ Z_9^{(12)},\ Z_{10}^{(12)},\ Z_{11}^{(12)},\ Z_{12}^{(12)})</math>,&nbsp;— перший раунд розшифровки;
* <math>(-Z_1^{(14-r)},\ (Z_5^{(14-r)})^{-1},\ -Z_6^{(14-r)},\ (Z_7^{(14-r)})^{-1},\ (Z_2^{(14-r)})^{-1},\ -Z_3^{(14-r)},\ (Z_4^{(14-r)})^{-1},\ -Z_8^{(14-r)},\ Z_9^{(13-r)},\ Z_{10}^{(13-r)},\ Z_{11}^{(13-r)},\ Z_{12}^{(13-r)})</math>,&nbsp;— <math>r</math>-й '''парний''' раунд, <math>r\ \in\ \{2,\ 4,\ 6,\ 8,\ 10,\ 12\}</math>;
* <math>((Z_1^{(13-r)})^{-1},\ -Z_5^{(13-r)},\ (Z_6^{(13-r)})^{-1},\ -Z_7^{(13-r)},\ -Z_2^{(13-r)},\ (-Z_3^{(13-r)})^{-1},\ -Z_4^{(13-r)},\ (Z_8^{(13-r)})^{-1},\ Z_9^{(12-r)},\ Z_{10}^{(12-r)},\ Z_{11}^{(12-r)},\ Z_{12}^{(12-r)})</math>,&nbsp;— <math>r</math>-й '''непарний''' раунд, <math>r\ \in\ \{3,\ 5,\ 7,\ 9,\ 11\}</math>;
* <math>((Z_1^{(1)})^{-1},\ -Z_2^{(1)},\ (Z_3^{(1)})^{-1},\ -Z_4^{(1)},\ -Z_5^{(1)},\ (Z_6^{(1)})^{-1},\ -Z_7^{(1)},\ (Z_8^{(1)})^{-1})</math>,&nbsp;— вихідні перетворення.

== Криптоаналіз ==
Нижче наводиться таблиця, яка містить розрахункову інформацію щодо можливих криптоатак. У ній розглядаються урізані алгоритми, кількість раундів можна побачити у відповідній колонці. За дані приймаються вибрані [[Атака на основі підібраного відкритого тексту | підібрані відкриті тексти]], вказується необхідна кількість таких (в блоках). Час оцінюється в кількості обчислень. Пам'ять відображає кількість елементів пам'яті, необхідних для зберігання будь-яких даних під час криптоатаки. Як видно з таблиці, всі варіанти MESH більш складні для злому представленими криптоатаками, ніж IDEA, на якому він базується {{sfn | Cryptanalysis And Design Of Block Ciphers | 2003 | p = 10-11}} {{sfn | Cryptanalysis And Design Of Block Ciphers | 2003 | p = 178-180}}.
{| class="wikitable"
|+ Таблиця 1. Узагальнення складнощів криптоатак на IDEA і MESH{{sfn|Cryptanalysis And Design Of Block Ciphers|2003|p=179}}
! Шифр || Криптоаналіз || #Раундів || Дані || Пам'ять || Час
|-
| rowspan="4" | IDEA<br/>(8.5 раундів) || [[Інтегральний криптоаналіз|Інтегральний]] || <math>2.5</math> || <math>23</math> || <math>23</math> || <math>2^{64}</math>
|-
| {{iw|Truncated differential cryptanalysis|Усічений диф.|en|Truncated differential cryptanalysis}} || <math>3.5</math> || <math>2^{56}</math> || <math>2^{32}</math> || <math>2^{67}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>3.5</math> || <math>2^{38.5}</math> || <math>2^{37}</math> || <math>2^{53}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>4</math> || <math>2^{38.5}</math> || <math>2^{37}</math> || <math>2^{70}</math>
|-
| rowspan="4" | MESH-64<br/>(8.5 раундів) || [[Інтегральний криптоаналіз|Інтегральний]] || <math>2.5</math> || <math>2^{50.5}</math> || <math>2^{16}</math> || <math>2^{76}</math>
|-
| {{iw|Truncated differential cryptanalysis|Усічений диф.|en|Truncated differential cryptanalysis}} || <math>3.5</math> || <math>2^{64}</math> || <math>2^{32}</math> || <math>2^{78}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>3.5</math> || <math>2^{39.5}</math> || <math>2^{61}</math> || <math>2^{64}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>4</math> || <math>2^{39.5}</math> || <math>2^{61}</math> || <math>2^{112}</math>
|-
| rowspan="4" | MESH-96<br/>(10.5 раундів) || [[Інтегральний криптоаналіз|Інтегральний]] || <math>2.5</math> || <math>2^{50}</math> || <math>2^{16}</math> || <math>2^{96}</math>
|-
| {{iw|Truncated differential cryptanalysis|Усічений диф.|en|Truncated differential cryptanalysis}} || <math>3.5</math> || <math>2^{96}</math> || <math>2^{64}</math> || <math>2^{109}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>3.5</math> || <math>2^{56}</math> || <math>2^{93}</math> || <math>2^{96}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>4</math> || <math>2^{56}</math> || <math>2^{93}</math> || <math>2^{144}</math>
|-
| rowspan="4" | MESH-128<br/>(12.5 раундів) || [[Інтегральний криптоаналіз|Інтегральний]] || <math>2.5</math> || <math>2^{50}</math> || <math>2^{16}</math> || <math>2^{128}</math>
|-
| {{iw|Truncated differential cryptanalysis|Усічений диф.|en|Truncated differential cryptanalysis}} || <math>3.5</math> || <math>2^{128}</math> || <math>2^{64}</math> || <math>2^{142}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>3.5</math> || <math>2^{65}</math> || <math>2^{157}</math> || <math>2^{128}</math>
|-
| {{iw|Impossible differential cryptanalysis|Неможливий диф.|en|Impossible differential cryptanalysis}} || <math>4</math> || <math>2^{65}</math> || <math>2^{157}</math> || <math>2^{192}</math>
|}

== Примітки ==
{{reflist}}

== Література ==

* {{статья
    |автор=J. Nakahara, Jr; V. Rijmen; B. Preneel; J. Vandewalle
    |заглавие=The MESH Block Ciphers
    |год=2002
    |ссылка=http://citeseerx.ist.psu.edu/viewdoc/summary?doi=10.1.1.10.2249
    |язык=en
    |ref=The MESH Block Ciphers
}}
* {{статья
    |автор=J. Nakahara, Jr
    |заглавие=Cryptanalysis And Design Of Block Ciphers
    |год=2003
    |месяц=червень
    |ссылка=http://bybin.narod.ru/nakahara/phd-thesis.pdf
    |язык=en
    |ref=Cryptanalysis And Design Of Block Ciphers
    |isbn=90-5682-407-4
}}


{{Блочні алгоритми шифрування}}
[[Категорія:IBM]]
[[Категорія:Блокові шифри]]
[[Категорія:SP-мережа]]