Перегляд вихідного коду сторінки TEA

{{Картка блочного шифру
| назва = TEA
| зображення = TEA_InfoBox_Diagram.png
| розробник = Девід Уілер і Роджер Нідгем
| створений = [[1994]] р
| опублікований = [[1994]] р
| розмір ключа = 128 біт
| розмір блоку = 64 біт
| число раундів = 64 (32 циклу)
| тип = [[Мережа Фейстеля]]
}}

В [[Криптографія|криптографії]],'''Tiny Encryption Algorithm (TEA)'''<ref name="teasite">{{Cite web |url=http://143.53.36.235:8080/tea.htm |title=Страница шифра TEA |accessdate=22 квітня 2018 |archive-date=12 червня 2017 |archive-url=https://web.archive.org/web/20170612022812/http://143.53.36.235:8080/tea.htm }} {{Webarchive|url=https://web.archive.org/web/20170612022812/http://143.53.36.235:8080/tea.htm |date=2017-06-12 }}</ref> — [[Блочний шифр|блочний алгоритм шифрування]] типу «<nowiki/>[[Мережа Фейстеля|Мережі Фейстеля]]<nowiki/>». Алгоритм був розроблений на факультеті комп'ютерних наук [[Кембриджський університет|Кембриджського університету]] [[Девід Вілер|Девідом Вілером]] (''David Wheeler'') і [[Роджер Нідгем|Роджером Нідгемом]] (''Roger Needham'')  та  вперше представлений в [[1994|1994 році]]<ref name="tea">Roger M. Needham and David J. Wheeler. [http://www.cix.co.uk/~klockstone/tea.pdf TEA, a Tiny Encryption Algorithm] {{Webarchive|url=https://web.archive.org/web/20171013073928/http://www.cix.co.uk/~klockstone/tea.pdf |date=13 жовтня 2017 }}</ref> на симпозіумі зі швидкими алгоритмами шифрування в [[Левен|Льовені]] ([[Бельгія]]).

Шифр не [[патент]]ований, широко використовується в ряді криптографічних додатків і широкому спектрі [[Апаратне забезпечення|апаратного забезпечення]], завдяки вкрай низькими вимогами до пам'яті й простоті реалізації. Алгоритм має як програмну реалізацію на різних [[Мова програмування|мовах програмування]], так і апаратну реалізацію на [[Мікросхема|інтегральних схемах]] типу [[FPGA]].

== Властивості ==
Алгоритм шифрування TEA заснований на [[Бітові операції|бітових операцій]] з 64-бітним блоком, має 128-бітний [[Ключ (криптографія)|ключ шифрування]]. Стандартна кількість раундів [[Мережа Фейстеля|мережі Фейстеля]] біля 64 (32 циклу), однак, для досягнення найкращої продуктивності або шифрування, число циклів можна варіювати від 8 (16 раундів) до 64 (128 раундів). [[Мережа Фейстеля]] несиметрична через використання як операції накладення додавання по модулю 2<sup>32</sup>.

Перевагами шифру є його простота в реалізації, невеликий розмір коду й досить висока швидкість виконання, а також можливість оптимізації виконання на стандартних 32-бітних процесорах, так як основні операції використовуються операції [[Виключна диз'юнкція|виключна «АБО» (XOR)]], [[Бітовий зсув|побітового зсуву]] й додавання по модулю 2<sup>32</sup>. Оскільки алгоритм не використовує таблиць підстановки і раундова функція досить проста, алгоритму потрібно не менше 16 циклів (32 раундів) для досягнення ефективної дифузії, хоча повна [[дифузія]] досягається вже через 6 циклів (12 раундів).

Алгоритм має відмінну стійкість до [[Лінійний криптоаналіз|лінійного криптоаналізу]] і досить гарну до [[Диференціальний криптоаналіз|диференціального криптоаналізу]]. Головним недоліком цього алгоритму шифрування є його вразливість до атак «на пов'язаних ключах» ({{Lang-en|Related-key attack}}). Через простий розклад ключів кожен ключ має 3 еквівалентних ключа. Це означає, що ефективна довжина ключа складає всього 126 біт<ref name="kelsey1996">{{cite journal|first=John|last=Kelsey|coauthors=Schneier, Bruce; Wagner, David|url=http://www.schneier.com/paper-key-schedule.pdf|title=Key-schedule cryptanalysis of IDEA, G-DES, GOST, SAFER, and Triple-DES|journal=Lecture Notes in Computer Science|volume=1109|pages=237–251|date=1996|doi=10.1007/3-540-68697-5_19|accessdate=22 квітня 2018|archive-date=8 лютого 2012|archive-url=https://web.archive.org/web/20120208081900/http://www.schneier.com/paper-key-schedule.pdf}} {{Webarchive|url=https://web.archive.org/web/20120208081900/http://www.schneier.com/paper-key-schedule.pdf |date=2012-02-08 }}</ref><ref name="cryptoanalisys">Andem, Vikram Reddy (2003).[http://cs.ua.edu/SecurityResearchGroup/VRAndem.pdf A cryptoanalisys of the tiny encryption algorithm] {{Webarchive|url=https://web.archive.org/web/20090420005901/http://www.cs.ua.edu/SecurityResearchGroup/VRAndem.pdf |date=20 квітня 2009 }}</ref>, тому даний алгоритм не слід використовувати як [[Хеш-функція|геш-функцію]].

== Опис алгоритму ==
Вихідний текст розбивається на блоки по 64 біта кожен. 128-бітний ключ К ділиться на чотири 32-бітних підключа K[0], K[1], K[2] і K[3]. На цьому підготовчий процес закінчується, після чого кожен 64-бітний блок шифрується протягом 32 циклів (64 раундів) за нижченаведеним алгоритмом.<ref name="differential">Seokhie Hong, Deukjo Hong, Youngdai Ko, Donghoon Chang, Wonil Lee, Sangjin Lee, (2003). [http://www.springerlink.com/content/n4exvw35x7g8t6pb/fulltext.pdf Differential Cryptanalysis of TEA and XTEA]{{Недоступне посилання|date=листопада 2019 |bot=InternetArchiveBot }}</ref>

Припустимо, що на вхід n-го раунду (1 ≤ n ≤ 64) надходять права й ліва частини  (L<sub>n</sub>, R<sub>n</sub>), тоді на виході n-го раунду будуть ліва й права частини (L<sub>n+1</sub>, R<sub>n+1</sub>), які обчислюються за такими правилами:

L<sub>n+1</sub> = R<sub>n</sub>.

Якщо n = 2 * i — 1 для 1 ≤ i ≤ 32 (непарні раунди), то
R<sub>n+1</sub> = L<sub>n</sub> <math>\boxplus</math> ({ [ R<sub>n</sub> <math>\ll</math> 4 ] <math>\boxplus</math> K[0] } <math>\oplus</math> { R<sub>n</sub> <math>\boxplus</math> i * δ } <math>\oplus</math> { [ R<sub>n</sub> <math>\gg</math> 5 ] <math>\boxplus</math> K[1] })

Якщо n = 2 * i для 1 ≤ i ≤ 32 (парні раунди), то
R<sub>n+1</sub> = L<sub>n</sub> <math>\boxplus</math> ({ [ R<sub>n</sub> <math>\ll</math> 4 ] <math>\boxplus</math> K[2] } <math>\oplus</math> { R<sub>n</sub> <math>\boxplus</math> i * δ } <math>\oplus</math> { [ R<sub>n</sub> <math>\gg</math> 5 ] <math>\boxplus</math> K[3] })

Де

* X <math>\boxplus</math> Y — операція додавання чисел X і Y по модулю 2<sup>32</sup>.
* X <math>\oplus</math> Y — побітове [[Виключна диз'юнкція|виключне АБО» (XOR)]] чисел X і Y, яке в [[C (мова програмування)|мові програмування Сі]] позначається як X ^ Y
* X <math>\ll</math> Y і X <math>\gg</math> Y — операції [[Бітовий зсув|побітового зсуву]] числа X на Y біт вліво й вправо відповідно.
* Константа δ була виведена з [[Золотий перетин|Золотого перерізу]] δ = (<math>\sqrt{5}</math> — 1) * 2<sup>31</sup> = 2654435769 = 9E3779B9<sub>h</sub>. У кожному раунді константа множиться на номер циклу i. Це було зроблено для запобігання простих атак, заснованих на симетрії раундів.

Також очевидно, що в алгоритмі шифрування TEA немає як такого алгоритму розкладу ключів. Замість цього в непарних раундах використовуються підключі К [0] та[1], у парних — К [2] і[3].

Так як це блочний шифроалгоритм, де довжина блоку 64-біт, а довжина даних може бути не кратна 64-біт, значення всіх байтів, які доповнюють блок до кратності в 64-біт,  встановлюється в 0x01.

== Реалізація ==
Реалізація на [[C (мова програмування)|мові програмування Сі]] (адаптований варіант коду, представленого в статті Девіда Вілера та Роджера Нідгема) функцій шифрування і розшифрування з використанням алгоритму TEA:

<syntaxhighlight lang="C">
#include <stdint.h>

void encrypt (uint32_t* v, uint32_t* k)
{
    /* set up */
    uint32_t v0 = v[0];
    uint32_t v1 = v[1];
    uint32_t sum = 0;
    uint32_t i;

    /* a key schedule constant */
    uint32_t delta = 0x9e3779b9;

    /* cache key */
    uint32_t k0 = k[0];
    uint32_t k1 = k[1];
    uint32_t k2 = k[2];
    uint32_t k3 = k[3];

    /* basic cycle start */
    for (i = 0; i < 32; i++)
    {
        sum += delta;
        v0 += ((v1 << 4) + k0) ^ (v1 + sum) ^ ((v1 >> 5) + k1);
        v1 += ((v0 << 4) + k2) ^ (v0 + sum) ^ ((v0 >> 5) + k3);
    }
    /* end cycle */

    v[0] = v0;
    v[1] = v1;
}

void decrypt (uint32_t* v, uint32_t* k)
{
    /* set up */
    uint32_t v0 = v[0];
    uint32_t v1 = v[1];
    uint32_t sum = 0xC6EF3720;
    uint32_t i;

    /* a key schedule constant */
    uint32_t delta = 0x9e3779b9;

    /* cache key */
    uint32_t k0 = k[0];
    uint32_t k1 = k[1];
    uint32_t k2 = k[2];
    uint32_t k3 = k[3];

    /* basic cycle start */
    for (i = 0; i < 32; i++)
    {                              
        v1 -= ((v0 << 4) + k2) ^ (v0 + sum) ^ ((v0 >> 5) + k3);
        v0 -= ((v1 << 4) + k0) ^ (v1 + sum) ^ ((v1 >> 5) + k1);
        sum -= delta;                                   
    }
    /* end cycle */

    v[0] = v0;
    v[1] = v1;
}
</syntaxhighlight>

Коментарі:

* v — початковий текст складається з двох частин по 32 біта
* k — ключ складається з чотирьох 32-бітних частин

Зміни у порівнянні з оригінальним кодом:

* використовується тип uint32_t внаслідок того, що він завжди має розмір 32 біта на відміну від long (присутній в оригінальному коді), який може містити 64 біта (наприклад в деяких 64 бітних системах)
* вихідний код не використовує тип const
* у вихідному коді опущені надлишкові дужки у виразах для v0 і v1, в даній модифікації вони залишені для більшої наочності

== Криптоаналіз ==
Передбачається, що даний алгоритм забезпечує захищеність, порівнянну з алгоритмом шифрування [[IDEA (шифр)|IDEA]], так як він застосовує ту ж ідею використання операцій з ортогональних алгебраїчних [[Група (математика)|груп]]. Цей підхід відмінно захищає від методів [[Лінійний криптоаналіз|лінійного криптоаналізу]].

=== Атаки на пов'язаних ключах ===
Алгоритм найбільш уразливий до [[Атака на основі пов'язаних ключів|«атак на пов'язаних ключах»]]<nowiki/> ({{Lang-en|Related-key attack}}), через простий розклад ключів (в тому числі відсутності алгоритму розкладу ключів як такого). Існують як мінімум три відомі атаки даного типу, вони були представлені в роботі Джона Келсі (''John Kelsea''), Брюса Шнайєра (''Bruce Schneier'') і Девіда Вагнера (''David Wagner'') в [[1997|1997 році]]<ref name="kelsey1997">{{cite journal|first=John|last=Kelsey|coauthors=Schneier, Bruce; Wagner, David|title=Related-key cryptanalysis of 3-WAY, Biham-DES, CAST, DES-X NewDES, RC2, and TEA|url=http://citeseer.ist.psu.edu/318172.html|journal=Lecture Notes in Computer Science|volume=1334|pages=233–246|date=1997|doi=10.1007/BFb0028479|accessdate=22 квітня 2018|archive-date=3 грудня 2008|archive-url=https://web.archive.org/web/20081203200132/http://citeseer.ist.psu.edu/318172.html}}</ref>. Найбільш прості з них дають диференціальну характеристику з імовірністю 2<sup>-32</sup> після 32 циклів алгоритму, тому потрібно не менше 2<sup>34</sup> обраних відкритих текстів для знаходження [[Диференціальний криптоаналіз|диференціальної характеристики]] з ймовірністю 1 і визначення всіх біт ключа. Більш складна в реалізації атака, що поєднує в собі ідеї «атаки на пов'язаних ключах» Елі Бихама (''Eli Biham'')<ref name="relatedkey">Eli Biham, Computer Science Department, Technion — Israel Institute of Technology, Haifa 32000, Israel, (1992). [http://www.springerlink.com/content/r1381780l1466637/fulltext.pdf «New Types of Cryptanalytic Attacks Using Related Keys»]{{Недоступне посилання|date=листопада 2019 |bot=InternetArchiveBot }}</ref> та [[Диференціальний криптоаналіз|диференціальної атаки]] дає диференціальну характеристику з імовірністю 2<sup>-11</sup>, вимагає всього 2<sup>23</sup> обраних відкритих текстів і час близько 2<sup>32</sup> часів шифрування (тобто потребує кількість бітових операцій близько 2<sup>32</sup>).

=== Диференціальний криптоаналіз ===
Було виявлено, що TEA досить стійкий до [[Диференціальний криптоаналіз|диференціального криптоаналізу]]. Атака на 10 раундів TEA вимагає 2<sup>52.5</sup> обраних відкритих текстів і має тимчасову складність 2<sup>84</sup>. Кращий результат — криптоаналіз 17 раундів TEA. Дана атака вимагає всього 1920 обраних відкритих текстів, однак має тимчасову складність 2<sup>123.37</sup>.

=== Еквівалентні ключі ===
Ще одна проблема алгоритму TEA — наявність еквівалентних ключів. Було показано, що кожен ключ має три йому еквівалентних<ref name="cryptoanalisys"/>. Це означає, що ефективна довжина ключа має всього 126 біт замість 128, задуманих розробниками, тому TEA небажано використовувати як [[Хеш-функція|геш-функцію]], що було відображено в книзі Ендрю Хуанга (''Andrew Huang'') ''«Hacking the Xbox: an introduction to reverse engineering»'' на прикладі злому ігрової приставки ''Microsoft Xbox''.

Таблиця еквівалентних ключів:
{| class="standard" style="text-align:center"
 |K[0]
 |K[1]
 |K[2]
 |K[3]
 |-
 |K[0]
 |K[1]
 |K[2] <math>\oplus</math> 80000000<sub>h</sub>
 |K[3] <math>\oplus</math> 80000000<sub>h</sub>
 |-
 |K[0] <math>\oplus</math> 80000000<sub>h</sub>
 |K[1] <math>\oplus</math> 80000000<sub>h</sub>
 |K[2]
 |K[3]
 |-
 |K[0] <math>\oplus</math> 80000000<sub>h</sub>
 |K[1] <math>\oplus</math> 80000000<sub>h</sub>
 |K[2] <math>\oplus</math> 80000000<sub>h</sub>
 |K[3] <math>\oplus</math> 80000000<sub>h</sub>
 |}

== Розширення алгоритму ==
Виявлення ряду серйозних недоліків і слабких місць у вихідному алгоритмі TEA призвело до швидкого створення його розширень. Основними відмінностями всіх цих алгоритмів є вдосконалений розклад ключів, динамічна залежність ключа від тексту, а також інший розмір ключа, вхідного блоку і/або кількість раундів мережі Фейстеля.

==== XTEA ====
[[XTEA]] має розмір блоку, який  дорівнює 64 бітам, розмір ключа 128 біт, кількість раундів [[Мережа Фейстеля|мережі Фейстеля]] дорівнює 64. Алгоритм був розроблений Девідом Вілером і Роджером Нідгемом та опублікований у [[1997|1997 році]]. Головна відмінність від вихідного алгоритму TEA — наявність алгоритму розкладу ключів, що дозволило усунути критичну вразливість до атак на "пов'язаних ключах», але призвело до погіршення стійкості до [[Диференціальний криптоаналіз|диференціального криптоаналізу]]. Існують три модифікації цього алгоритму, розроблені Томом Денісом (''Tom Denis'')<ref name="extended">Tom St Denis. [http://tomstdenis.tripod.com/xtea.pdf Extended TEA Algorithms] {{Webarchive|url=https://web.archive.org/web/20180827050859/http://tomstdenis.tripod.com/xtea.pdf |date=27 серпня 2018 }}</ref>: [[XTEA]]-1 (розмір блоку — 64 біта, розмір ключа 128 біт, кількість раундів [[Мережа Фейстеля|мережі Фейстеля]] — 32), [[XTEA]]-2 (розмір блоку 128 біт, розмір ключа 128 біт, кількість раундів [[Мережа Фейстеля|мережі Фейстеля]] — 64) і [[XTEA]]-3 (розмір блоку 128 біт, розмір ключа — 256 біт, кількість раундів [[Мережа Фейстеля|мережі Фейстеля]] — 64).

==== XXTEA ====
У [[1998|1998 році]] було опубліковано наступне розширення алгоритму, що отримало назву [[XXTEA]]. Розмір ключа 128 біт. Відмітною особливістю є можливість шифрування будь-яких блоків, довжина яких кратна 64 бітам, кількість раундів одно 52 + 6*(кількість 32-бітних слів в блоці) або 52 + 12*м при довжині блоку 64*M біт. Практична ефективність,  опублікованої анонімно диференціальної атаки, не доведена<ref>{{Cite web |url=http://cipherdev.org/break-xxtea.c.txt |title=Исходная статья с реализацией атаки на XXTEA и примером кода |accessdate=22 квітня 2018 |archiveurl=https://web.archive.org/web/20090923225807/http://cipherdev.org/break-xxtea.c.txt |archivedate=23 вересня 2009 |deadurl=yes }} {{Webarchive|url=https://web.archive.org/web/20090923225807/http://cipherdev.org/break-xxtea.c.txt |date=2009-09-23 }}</ref>.

==== RTEA ====
Існує так само альтернативна модифікація алгоритму TEA, що отримала найменування [[RTEA]], розроблена у [[2007|2007 році]] ''«Marcos el Ruptor»''. Розмір блоку — 64 біта; для 128-бітного ключа число раундів [[Мережа Фейстеля|мережі Фейстеля]] дорівнює 48, для 256-бітного — 64. За заявами розробників цей алгоритм продуктивніший і  стійкіший до криптоаналізу<ref name="rteatests">[http://defectoscopy.com/results.html Сравнительные результаты устойчивости симметричных криптоалгоритмов] {{Webarchive|url=https://web.archive.org/web/20080725023045/http://defectoscopy.com/results.html |date=25 липня 2008 }}{{ref-en}}</ref>, ніж XTEA, однак і на цей алгоритм вже існує «атака на пов'язаних ключах»<ref name="rka">[http://0x9e3779b9.org/break-rtea-2.c.txt A related key attack for RTEA.]{{Недоступне посилання|date=лютий 2019 |bot=InternetArchiveBot }}</ref>.

==== Raiden ====
З використанням механізмів [[Генетичне програмування|генетичного програмування]] в [[2006|2006 році]] командою розробників на чолі з Хуліо Кастро ({{Lang-en|Julio César Hernández Castro}}) був створений алгоритм [[Raiden (алгоритм)|Raiden]], покликаний усунути уразливості шифру TEA. Він практично в точності повторює структуру алгоритму TEA, за винятком того, що у алгоритмі [[Raiden (алгоритм)|Raiden]] є розширений алгоритм розкладу ключів. Стандартне число раундів [[Мережа Фейстеля|мережі Фейстеля]] одне 32 (16 циклів). [[Raiden (алгоритм)|Raiden]] використовує ключовий розклад, близький до [[Генератор псевдовипадкових чисел|ДПРЧ]], трансформує ключ і генерує підключі для кожного раунду. Шифр успішно проходить тексти Diehard, [[Sexton]] і ENT<ref name="raidenhome">{{Cite web |url=http://raiden-cipher.sourceforge.net/ |title=Raiden: An alternative to TEA Block Cipher|accessdate=22 квітня 2018 |archive-date=5 березня 2016 |archive-url=https://web.archive.org/web/20160305122714/http://raiden-cipher.sourceforge.net/ }} {{ref-en}}</ref>.

==== Порівняння різних версій розширення алгоритму TEA ====
Тут наведена порівняльна таблиця основних характеристик алгоритмів колекції TEA:
{| class="wikitable" style="text-align: center;"
! Назва алгоритму 
! Стандартна кількість раундів мережі Фейстеля
! Розмір блоку 
! Розмір ключа
|-
| TEA 
| 64 
| 64 біта 
| 128 біт
|-
| XTEA 
| 64 
| 64 біта 
| 128 біт
|-
| XTEA-1 
| 32 
| 64 біта 
| 128 біт
|-
| XTEA-2 
| 64 
| 128 біт 
| 128 біт
|-
| XTEA-3 
| 64 
| 128 біт 
| 256 біт
|-
| XXTEA 
| 52 + 12 * M 
| 64 * M біт 
| 128 біт
|-
| RTEA 
| 48 або 64 
| 64 біта 
| 128 або 256 біт
|-
| Raiden 
| 32 
| 64 біта 
| 128 біт
|}
У той же час, автори алгоритму TEA на своїй офіційній сторінці<ref name="teasite" /> звертають увагу на те, що в реальних умовах практичного використання, алгоритм TEA все ще залишається досить надійним і всі знайдені вразливості, як правило, не є критичними, наприклад, при передачі даних в реальному часі.

== Див. також ==

* [[XTEA]]
* [[XXTEA]]
* [[RTEA]]
* [[Raiden (алгоритм)|Raiden]]
* [[Мережа Фейстеля]]

== Примітки ==
{{reflist|2}}

== Посилання ==

* [http://143.53.36.235:8080/tea.htm Сторінка алгоритму шифрування TEA] {{Webarchive|url=https://web.archive.org/web/20170612022812/http://143.53.36.235:8080/tea.htm |date=12 червня 2017 }}
* Roger M. Needham and David J. Wheeler. «TEA, a Tiny Encryption Algorithm»[http://www.cix.co.uk/~klockstone/tea.pdf (PDF)] {{Webarchive|url=https://web.archive.org/web/20171013073928/http://www.cix.co.uk/~klockstone/tea.pdf |date=13 жовтня 2017 }}
* Andew Hang. «Hacking the [[Xbox]]: an introduction to reverse engineering»[https://books.google.ru/books?id=FdPNE6beKcMC&pg=PA109&dq=Tiny+TEA+algorithm&lr=#v=onepage&q=Tiny%20TEA%20algorithm&f=false] {{Webarchive|url=https://web.archive.org/web/20180423033223/https://books.google.ru/books?id=FdPNE6beKcMC&pg=PA109&dq=Tiny+TEA+algorithm&lr=#v=onepage&q=Tiny%20TEA%20algorithm&f=false |date=23 квітня 2018 }} ISBN 978-1593270292
* Журнал «Хакер Онлайн», TEA: блочний шифр своїми руками, (2004)[http://www.xakep.ru/post/22086/default.asp] {{Webarchive|url=https://web.archive.org/web/20130104094218/http://www.xakep.ru/post/22086/default.asp |date=4 січня 2013 }}
* Paris Kitsos,Yan Zhang. «RFID Security: Techniques, Protocols and System-On-Chip Design»[https://books.google.ru/books?id=WIF7h9OYT34C&pg=PA426&dq=Tiny+TEA+implementation#v=onepage&q=Tiny%20TEA%20implementation&f=false] {{Webarchive|url=https://web.archive.org/web/20180423033219/https://books.google.ru/books?id=WIF7h9OYT34C&pg=PA426&dq=Tiny+TEA+implementation#v=onepage&q=Tiny%20TEA%20implementation&f=false |date=23 квітня 2018 }}
* David J. Wheeler Roger and M. Needham. «Correction to xtea.» Technical report, Computer Laboratory, University of Cambridge, October 1998 [http://www.movable-type.co.uk/scripts/xxtea.pdf (PDF)] {{Webarchive|url=https://web.archive.org/web/20170920234239/http://www.movable-type.co.uk/scripts/xxtea.pdf |date=20 вересня 2017 }}.
* Roger M. Needham and David J. Wheeler. «Tea extensions.» Technical report, Computer Laboratory, University of Cambridge, October 1997 [http://www.movable-type.co.uk/scripts/xtea.pdf (PDF)] {{Webarchive|url=https://web.archive.org/web/20170920234211/http://www.movable-type.co.uk/scripts/xtea.pdf |date=20 вересня 2017 }}.
* [http://www.cix.co.uk/~klockstone/teavect.htm Test vectors for TEA] {{Webarchive|url=https://web.archive.org/web/20170923184356/http://www.cix.co.uk/~klockstone/teavect.htm |date=23 вересня 2017 }}
* [https://web.archive.org/web/20060428132257/http://www.farfarfar.com/scripts/encrypt/ JavaScript implementation of XXTEA with Base64]
* [http://www.php-einfach.de/sonstiges_generator_xtea.php PHP implementation of XTEA] {{Webarchive|url=https://web.archive.org/web/20151113092635/http://www.php-einfach.de/sonstiges_generator_xtea.php |date=13 листопада 2015 }}
* [http://www.movable-type.co.uk/scripts/TEA.html JavaScript implementation of TEA] {{Webarchive|url=https://web.archive.org/web/20180412005043/http://www.movable-type.co.uk/scripts/tea.html |date=12 квітня 2018 }}
* [https://web.archive.org/web/20120805093455/http://www.jools.net/projects/ruby/crypto/ Ruby implementation of XXTEA with Base64]
* [http://www.winterwell.com/software/TEA.php LGPL Java/J2ME implementation of TEA] {{Webarchive|url=https://web.archive.org/web/20180423034400/https://www.winterwell.com/software/TEA.php |date=23 квітня 2018 }}
* [https://web.archive.org/web/20091128092018/http://www.blog-dotnet.com/post/Tiny-Encryption-Algorithm-(TEA)-in-Visual-BasicNET.aspx Visual Basic.NET implementation of TEA]

{{Блочні алгоритми шифрування}}

[[Категорія:Мережа Фейстеля]]
[[Категорія:Статті з прикладами коду мовою C]]