Перегляд вихідного коду сторінки SAFER

{{Картка блочного шифру
| назва        = SAFER
| зображення   = SAFER_K-64.png
| розробник    = Джеймс Мессі
| створений    = 1993 рік
| опублікований = 1993 рік
| розмір ключа = 64 (128, 192, 256) біт
| розмір блоку = 64 (40, 128) біт
| число раундів = 6-16
| тип          = [[SP-мережа|Мережа замін-перестановок]]
}}
'''SÁFER''' ({{lang-en|Secure And Fast Encryption Routine}}&nbsp;— безпечна і швидка процедура шифрування)&nbsp;— в криптографії сімейство симетричних блокових криптоалгоритмів на основі [[SP-мережа|мережі замін-перестановок]]. Основний внесок в розробку алгоритмів вніс [[Джеймс Мессі]]. Перший варіант шифру був створений і опублікований в 1993 році. Хоча алгоритми SAFER не отримали статусу стандартів в США або ЄС, вони знайшли дуже широке застосування. Зокрема, SAFER+ використовується як основа протоколу аутентифікації в [[Bluetooth]]. Однак, в самому алгоритмі шифрування в Bluetooth цей алгоритм не використовується<ref name="source-q27056247">{{#invoke:Sources|renderSource|Q27056247}}</ref>.

Незважаючи на те, що в назві алгоритму фігурує слово «fast» (швидкий), за сучасними мірками алгоритми сімейства SAFER є досить повільними.

З точки зору криптостійкости навіть найперша версія алгоритму SAFER K-64 є абсолютно стійкою до диференціального криптоаналізу. Останній алгоритм сімейства&nbsp;— ''SAFER++'', будучи значно модифікованим з урахуванням безлічі атак, здійснених на більш ранні версії алгоритму, став ще більш стійким. В даний час ніяких реально здійсненних атак на алгоритм, не знайдено<ref name="source-q27056247" />.

З огляду на те, наскільки далеко просунулися алгоритми SAFER за час свого існування&nbsp;— від SAFER K-64 до ''SAFER++'', можна припустити, що на цьому розвиток цих алгоритмів не закінчений<ref name=":0">{{Cite book|прізвище=Панасенко|ім'я=С.&nbsp;П.|назва=Алгоритмы шифрования. Специальный справочник|місце=СПб.|видавництво=БХВ-Петербург|рік=2009|сторінки=576|isbn=978-5-9775-0319-8}}</ref>.

== SAFER K-64 ==

=== Алгоритм шифрування ===
[[Файл:SAFER K-64.png|міні|Схема шифрування одного раунду алгоритмом SAFER K-64]]
Довжина блоку, що шифрується, і довжина ключа дорівнюють 64 бітам. Алгоритм є ітеративним блоковим шифром, тобто одна й та сама функція шифрування послідовно застосовується до вхідного блоку кілька разів, при цьому на кожному етапі використовуються різні ключі. У кожному [[Раунд (криптографія)|раунді]] шифрування та дешифрування беруть участь два 64-бітових ключа.
[[Файл:Загальна схема шифрування SAFER K-64.png|міні|Загальна схема шифрування алгоритмом SAFER K-64]]
Схему шифрування одного раунду алгоритму подано на схемі. Блок даних подається у вигляді 8-байтового масиву (байти нумеруються зліва направо від 1 до 8). Алгоритм є [[SP-мережа|мережею замін-перестановок]], у кожному раунді якої виконуються наступні операції:
# На дані накладається 8-байтний фрагмент розширеного ключа <math>K_{2i-1}</math>, де <math>i</math>&nbsp;— номер поточного раунду. Раунди нумеруються починаючи з 1. Байти ключа №&nbsp;1, 4, 5 та 8 накладаються на аналогічні байти даних за допомогою побітової логічної операції [[Виключна диз'юнкція|«або» (XOR)]]; для накладення решти байтів (№&nbsp;2, 3, 6 та 7) ключа використовується операція додавання за [[Ділення з остачею|модулем]] 256.
# Байти даних №&nbsp;1, 4, 5 і 8 обробляються наступною операцією (у схемі позначена як ''Е''): <math>y = 45^{x} \mbox{ mod } 257</math>, де <math>x</math>&nbsp;— вхідне значення, а <math>y</math>&nbsp;— вихідне значення цієї операції. Причому якщо <math>y=256</math> (що відбувається за умови <math>x=128</math>), то його значення обнуляється: <math>y=0</math>. Інші байти даних (№&nbsp;2, 3, 6 та 7) обробляються наступною операцією (у схемі позначена як ''L''): <math>y = log_{45} \mbox{ mod } 256</math>, причому якщо <math>x=0</math>, то значення <math>y=128</math>.
# Друге накладення ключа виконується аналогічно до першого (проте з використанням іншого фрагмента розширеного ключа, а саме <math>K_{2i}</math>), але з інверсним застосуванням операцій: байти, що в першому накладенні ключа опрацьовувалися операцією XOR, тут опрацьовуються додаванням за модулем 256, і навпаки.
# Три рівні перетворень PHT (Pseudo Hadamard Transform, псевдоадамарове перетворення); операція РНТ виконує нескладне перетворення двох вхідних байтів даних (<math>x_1</math> та <math>x_2</math>), даючи в результаті два вихідні байти <math>y_1</math> та <math>y_2</math>. Визначаються вони наступним чином: <math>y_1 = (2x_1 + x_2) \mbox{ mod } 256</math> та <math>y_2 = (x_1 + x_2) \mbox{ mod } 256</math>. Між рівнями перетворень РНТ виконується перестановка байтів даних позначена на схемі. [[Файл:Byte permutation in the PHT operation in the SAFER K-64 algorithm.png|міні|Перестановка байтів даних між перетвореннями PHT]] Байт №1 залишається на своєму місці, вхідне значення байта №2 стає вихідним значенням байта №4, вхідне значення байта №3 стає вихідним значенням байта №2, тощо.
Автор алгоритму рекомендує виконувати 6 раундів описаних вище перетворень (раунди позначаються як <math>R</math>), але допускає збільшення кількості раундів до 10. Після виконання <math>R</math> раундів алгоритму застосовується вихідне перетворення, повністю аналогічне описаній вище операції першого накладення ключа; у цьому випадку застосовується останній із фрагментів розширеного ключа <math>K_{2R+1}</math>. Слід врахувати, що залежно від вимог до реалізації алгоритму описані вище операції ''Е'' та ''L'' можуть бути реалізовані напряму або у вигляді таблиць замін.<ref name=":0" />

Перетворення ''РНТ'' у сукупності також можуть бути замінені множенням байтового масиву даних на матрицю ''М'' (у кінцевому полі ''GF(256)'').<ref name=":0" />
{| class="wikitable align="left" style="text-align:center; width:45%;" mw-collapsible mw-collapsed"
|+Матриця для шифрування як заміна операції PHT
|8
|4
|4
|2
|4
|2
|2
|1
|-
|4
|2
|4
|2
|2
|1
|2
|1
|-
|4
|2
|2
|1
|4
|2
|2
|1
|-
|2
|1
|2
|1
|2
|1
|2
|1
|-
|4
|4
|2
|2
|2
|2
|1
|1
|-
|2
|2
|2
|2
|1
|1
|1
|1
|-
|2
|2
|1
|1
|2
|2
|1
|1
|-
|1
|1
|1
|1
|1
|1
|1
|1
|}


=== Алгоритм розшифрування ===
[[Файл:Схема дешифрування SAFER K-64.png|міні|Схема дешифрування одного раунду алгоритмом SAFER K-64]]
При розшифровуванні шифротекст насамперед піддається вхідному перетворенню за участю фрагмента розширеного ключа <math>K_{2R+1}</math>, що інверсно вихідному перетворенню при зашифровуванні:
даних №&nbsp;1, 4, 5 і 8 обробляються операцією XOR;
інші байти обробляються операцією віднімання: <math>y = x - k \mbox{ mod } 256</math>, де <math>y</math> – вихідний байт; <math>x</math> – вхідний байт; <math>k</math> – відповідний байт фрагмента ключа, що накладається. [[Файл:Загальна схема дешифрування SAFER K-64 (2).png|міні|Загальна схема дешифрування алгоритмом SAFER K-64]]
Після цього виконується R раундів розшифровування, у кожному з яких виконуються наступні дії:
# Три рівні зворотного псевдоадамарового перетворення IPНТ (Inverse РНТ), яке визначається таким чином: <math>y_1 = (x_1 - x_2) \mbox{ mod } 256</math> та <math>y_2 = (-x_1 + 2x_2) \mbox{ mod } 256</math>. Між рівнями перетворень ІРНТ виконується перестановка байтів наведена на рисунку, яка зворотна перестановці, що використовувалася при зашифровуванні. [[Файл:Перестановка байтів даних між перетвореннями IPHT у SAFER K-64.png|міні|Перестановка байтів даних між перетвореннями ''IPHT'']]
# Зворотне друге накладення ключа: на дані накладається 8-байтний фрагмент розширеного ключа <math>K_{2R+2-2i}</math>. Байти ключа № 2, 3, 6 і 7 накладаються на аналогічні байти даних за допомогою операції XOR; для накладення інших байтів ключа використовується описана вище операція віднімання.
# Зворотне нелінійне перетворення: байти даних № 1, 4, 5 і 8 обробляються операцією ''L''; інші байти обробляються операцією ''E''.
# Зворотне перше накладення ключа, повністю аналогічне описаному вище вхідному перетворенню; тут використовується фрагмент розширеного ключа <math>K_{2R+1-2i}</math>
Як видно, при розшифровуванні відбувається виконання зворотних операцій у зворотному порядку. Перетворення ''ІРНТ'' також може бути замінено множенням на матрицю <math>M^{-1}</math> (аналогічно описаному вище для ''РНТ'').
{| class="wikitable align="left" style="text-align:center; width:45%;" mw-collapsible mw-collapsed"
|+Матриця для дешифрування як заміна операції IPHT
|1
| -1
| -1
|1
| -1
|1
|1
| -1
|-
| -1
|1
|1
| -1
|2
| -2
| -2
|2
|-
| -1
|2
|1
| -2
|1
| -2
| -1
|2
|-
|1
| -2
| -1
|2
| -2
|4
|2
| -4
|-
| -1
|1
|2
| -2
|1
| -1
| -2
|2
|-
|1
| -1
| -2
|2
| -2
|2
|4
| -4
|-
|1
| -2
| -2
|4
| -1
|2
|2
| -4
|-
| -1
|2
|2
| -4
|2
| -4
| -4
|8
|}

== Примітки ==
{{reflist}}

{{Блочні алгоритми шифрування}}
{{перекласти|ru}}
{{алгоритм-доробити}}
{{криптографія-доробити}}
[[Категорія:Блокові шифри]]
[[Категорія:SP-мережа]]