Звездова mars

Криптоалгоритм Mars² шифрует 128‑битовые блоки открытых данных под управлением секретного ключа, длина которого может составлять от 128 до 448 битов (с шагом 32).

Структура алгоритма зашифрования представлена на рис.1. Криптографическое преобразование выполняется над 128‑битовым блоком данных X=(x₀,x₁,x₂,x₃), представленным в виде массива из четырех 32‑битовых слов, под управлением 40 32‑битовых раундовых подключей k₀,k₁,…,k₃₉, формируемых на этапе предвычислений на основе секретного ключа.

В алгоритме используются операции над 32‑битовыми словами (с little-endian-порядком байтов, т.е. младший байт расположен слева, занимая младшую адресную позицию) и следующие преобразования над 128‑битовым блоком X=(x₀,x₁,x₂,x₃):

Преобразование AddKey[Q], выполняемое под управлением 128‑битового ключа Q=(q₀,q₁,q₂,q₃), где q_i – 32‑битовые слова, определяется как

AddKey[Q](X)º{(x₀,x₁,x₂,x₃):=(x₀⊞₃₂C q₀,x₁⊞₃₂q₁,x₂⊞₃₂q₂,x₃⊞₃₂q₃)}.

Обратное преобразование имеет вид:

SubKey[Q](X)º{(x₀,x₁,x₂,x₃):=(x₀⊟₃₂q₀,x₁⊟₃₂q₁,x₂⊟₃₂q₂,x₃⊟₃₂q₃)}.

В преобразованиях F[S] и B[S] (см. рис.2) используются две таблицы: S₀[0..255] и S₁[0..255], каждая из которых состоит из 256 32‑битовых слов(таблицы объединены в одну таблицу S[0..512], так что S₀[m]=S[m] и S₁[m]=S[m+256] для 0≤m≤255):

F[S](X)º{(a,b,c,d):=

(x₀&255,ror₈(x₀)&255,ror₁₆(x₀)&255,ror₂₄(x₀)&255);

(Здесь a,b,c,d – байты слова x₀, начиная с младшего)

X:=(ror₂₄(x₀),(x₁Å₃₂ S₀[a])⊞₃₂S₁[b],x₂⊞₃₂S₀[c],x₃Å₃₂ S₁[d])}.

B[S](X)º{(a,b,c,d):=(x₀&255,rol₈(x₀)&255,rol₁₆(x₀)&255,rol₂₄(x₀)&255);

(Здесь a,b,c,d – младший, старший, третий и второй байты слова x₀)

X:=(rol₂₄(x₀),x₁Å₃₂ S₁[a],x₂⊟₃₂ S₀[b],(x₃⊟₃₂ S₁[c])Å₃₂ S₀[d])}.

Преобразования F^-1[S] и B^-1[S], обратные к F[S] и B[S], можно представить в виде:

F^-1[S](X)º{x_1«x₃;B[S](X);x_1«x₃},

B^-1[S](X)º{x_1«x₃;F[S](X);x_1«x₃}.

FM[S](X)º{

for i:=0 to 7 do {

F[S](X);

if i=0 Ú i=4 then x₀:=x₀⊞₃₂x₃;

if i=1 Ú i=5 then x₀:=x₀⊞₃₂x₁;

X:=(x₁,x₂,x₃,x₀)}};

Алгоритм зашифрования

Блок открытых данных					Вход: X=(x0,x1,x2,x3) – блок открытых данных – массив из 4 32‑битовых слов
x0	x1	x2	x3
¯	¯	¯	¯
Начальное забеливание: добавление раундовых подключей k0, k1, k2, k3					Key Addition: AddKey[k0,k1,k2,k3](X);
¯	¯	¯	¯
Начальное смешивание					Forward Mixing: FM[S](X);
¯	¯	¯	¯
Начальное преобразование под управлением раундовых ключей: k4, k5, …, k19					Forward Keyed Transformation: FKT[k4,k5,…,k19](X);
¯	¯	¯	¯
Концевое преобразование под управлением раундовых ключей: k20, k21, …, k35					Back Keyed Transformation: BKT[k20,k21,…,k35](X);
¯	¯	¯	¯
Концевое смешивание					Back Mixing: BM[S](X);
¯	¯	¯	¯
Концевое забеливание: вычитание раундовых подключей k36, k37, k38, k39					Key Subtraction: SubKey[k36,k37,k38,k39](X);
¯	¯	¯	¯
Блок шифртекста					Выход: X – 128‑битовый блок шифртекста
x0	x1	x2	x3

Рис.1. Алгоритм зашифрования MARS

Преобразования FM[S] и BM[S] (см. рис.3) определяются как

BM[S](X)º{

for i:=1 to 7 do {

if i=2 Ú i=6 then x₀:=x₀⊟₃₂x₃;

if i=3 Ú i=7 then x₀:=x₀⊟₃₂x₁;

B[S](X);

X:=(x₁,x₂,x₃,x₀)}}.

Рис.2. Преобразования а) F[S](X) и б) B[S](X)

Следующие преобразования являются обратными по отношению к преобразованиям FM[S] и BM[S]:

FM^-1[S](X)º{

for i:=7 downto 0 do {

X:=(x₃,x₀,x₁,x₂);

if i=1 Ú i=5 then x₀:=x₀⊟₃₂x₁;

if i=0 Ú i=4 then x₀:=x₀⊟₃₂x₃;

F^-1[S](X)}}.

BM^-1[S](X)º{

for i:=7 downto 0 do {

X:=(x₃,x₀,x₁,x₂); B^-1[S](X);

if i=3 Ú i=7 then x₀:=x₀⊞₃₂x₁;

if i=2 Ú i=6 then x₀:=x₀⊞₃₂x₃}}.

Функция E[k,q](x₀) с 32‑битовыми параметрами (раундовыми подключами) k, q и 32‑битовым аргументом x₀, возвращающая тройку 32‑битовых слов: (L, M, R), которая определена на рис. 4.

Преобразования FKT[q₄,q₅,…,q₁₉] и BKT[q₂₀,q₂₁,…,q₃₅] с параметрами (раундовыми подключами) q₄, …, q₁₉ и q₂₀,..., q₃₅ определяются как (см. рис. 5).

FKT[q₄,q₅,…,q₁₉](X)º{

for i:=0 to 7 do {

(L,M,R):=E[q _2i+4,q_2i+5](x₀);

X:=(rol₁₃(x₀),x₁⊞₃₂L,x₂⊞₃₂M,x₃Å₃₂ R);

X:=(x₁,x₂,x₃,x₀)}};

Рис.3. Преобразования а) FM[S](X) и б) BM[S](X)

BKT[q₂₀,q₂₁,…,q₃₅](X)º{

for i:=8 to 15 do {

(L,M,R):=E[q_2i+4,q _2i+5](x₀);

X:=(rol₁₃(x₀),x₁ÅR,x₂⊞₃₂M,x₃⊞₃₂L);

X:=(x₁,x₂,x₃,x₀)}}.

Следующие преобразования являются обратными по отношению к преобразованиям FKT и BKT (с теми же ключевыми параметрами):

FKT^-1[q₄,q₅,…,q₁₉](X)º{

for i:=7 downto 0 do {

X:=(ror₁₃(x₃),x₀,x₁,x₂);

(L,M,R):=E[q_2i+4,q_2i+5](x₀);

X:=(x₀,x₁⊟₃₂L,x₂⊟₃₂M,x₃ÅR)}};

BKT^-1[q₂₀,q₂₁,…,q₃₅](X)º{

for i:=15 downto 8 do {

X:=(ror₁₃(x₃),x₀,x₁,x₂);

(L,M,R):=E[q_2i+4,q_2i+5](x₀);

X:=(x₀,x₁ÅR,x₂⊟₃₂M,x₃⊟₃₂L)}}.