% Лекция 25 (21.04.23)

% TODO: УБРАТЬ ИЗ СЛОВАРЯ КОНКАТЕНЦИЮ
Стартовый вектор хэширования длины 128 бит представляет собой конкатенацию
четырёх констант: $01234557 \| 89abcdef \| fedcba98 \| 76543210$. При вычислении
используется накопитель, содержащий четыре 32-разрядных слова A, B, C, D.
Исходным заполнением накопителя являются слова стартового вектора хэширования.

Обработка 16-словного блока $M_i$, $1 \leq i \leq n$, осуществляется за четыре
цикла, каждый из которых включает в себя 16 шагов.

На каждом шаге $j$-го цикла, $1 \leq j \leq 4$, выполняются операции:
\begin{align*}
  t &:= B + (A + f_j(B, C, D) + M_i[z[i]] + y[i]), \\
  (A, B, C, D) &:= (D, B + t \lll s[i], B, C).
\end{align*}
где $M_i[z[i]]$ --- слово, выбранное из $M_i$ в соответствии с перестановкой
$z$; $X \lll k$ --- циклический сдвиг слова $X$ влево на $k$ бит; <<+>> ---
операция сложения по модулю $2^{32}$.

Таким образом, на каждом шаге выполняются четыре операции сложения и одна
операция сдвига, вычисляется значение одной цикловой функции.

Выходом каждой итерации является конкатенация текущих значений четырёх слов
накопителя.

После обработки блока $M_n$ итоговым сжатым образом аргумента будет
128-разрядная строка из четырёх слов: $A \| B \| C \| D$.

Поскольку нелинейнойсть операции $f_i$ мала, нелинейные свойства итогового
преобразования определяются влиянием переносов при сложении.

Хэш-функция MD5 считается небезопасной и желательно отказаться от её
использования.


\paragraph{SHA.}

Защищённый алгоритм хэширования (Secure Hash Algorithm --- SHA) разработан
Управлением национальной безопасности США (National Security Agency --- NSA)
и стандартизирован институтом NIST в 1995 году.

Первая версия этого алгоритма называлась просто SHA (теперь её часто называют
SHA0) и имела весьма существенный недостаток. В NSA обнаружили этот недостаток
и разработали метод его исправления. Это было опубликовано NIST в качестве
улучшенной версии алгоритма SHA под названием SHA1. Тем не менее NIST не привёл
никаких сведений о найденном недостатке.

Через три года два французских исследователя Шабо и Жу опубликовали статью
о слабом месте алгоритма SHA0. Эта ошибка была исправлена в алгоритме SHA1,
поэтому можно предположить, что речь идёт именно о том загадочном недостатке,
который был обнаружен NSA.

SHA1 --- это 160-битовая функция хэширования, основанная на алгоритме MD4.
Функция SHA1 использует 160-битовое промежуточное состояние, которое разбивается
на пять 32-битовых слов. Как и MD5, она состоит из четырёх раундов, представляющих
собой комбинацию элементарных операций над 32-битовыми словами.

Вместо того чтобы обрабатывать каждый блок сообщения по четыре раза, SHA1
использует линейную рекуррентную функцию, чтобы <<растянуть>> 16 слов блока
сообщения до нужных ей 80 слов.

Это обобщение метода, используемого в MD4. В MD5 каждый бит сообщения
используется функцией перемешивания по четыре раза. В SHA1 наличие линейной
рекуррентной функции гарантирует, что каждый бит сообщения используется
функцией перемешивания по меньшей мере 10 раз.

Что интересно, единственным отличием SHA1 от SHA0 стало добавление к линейной
рекуррентной функции циклического сдвига на один бит.

Сегодня подбор серверного ключа аутентификации SHA1, то есть \emph{коллизия с
выбранным префиксом} (данная методика позволяет для любых сообщений $x$ и $y$
найти такие последовательности $q_1$ и $q_2$, что $H(x \| q_1) = H(y \| q_2)$),
на арендованном кластере GPU обойдётся в \$45 тыс.

Это делает атаку доступной не только для государственных спецслужб, но и для
коммерческих клиентов, поэтому список пользователей SHA1 становится меньше. SHA1
считается уязвимым и содержащим дефекты в алгоритме и рекомендуется перейти на
более надёжные альтернативы.

Хеш-функции SHA2 была разработана Агентством национальной безопасности США и
опубликована Национальным институтом стандартов и технологий (NIST) в качестве
стандарта FIPS PUB 180-2 в августе 2002 года. В этот стандарт также вошла
хеш-функция SHA1.

SHA2 имеет четыре варианта: SHA-256, SHA-384 и SHA-512, которые называются в
соответствии с количеством битов в выходных данных.

D 2007 году был объявлен конкурс на новый стандарт криптографических функций
хэширования США SHA3.


\paragraph{Стандарт ГОСТ Р 34.11-2012}

Первый отечественный стандарт хэш-функции был принят в 1994 году. Это ГОСТ
Р 34.11-94, в котором определена хэш-функция $h : \set{0, 1}^* \to \set{0,
1}^{256}$

В 2012 году российский стандарт хэш-функции стандарт хэш-функции был
модифицирован Центром защиты информации и специальной связи ФСБ России при
участии ОАО <<ИнфоТеКС>> (<<Информационные технологии и коммуникационные
системы>>) и приказом Федерального агентства по техническому регулированию
и метрологии от 7 августа 2012 г. №216-ст новый стандарт ГОСТ Р 34.11-2012
<<Информационная технология. Криптографическая защита информации. Функция
хэширования>> был введён в действие с 1 января 2013 года.

Необходимость разработки настоящего стандарта вызвана потребностью в создании
хэш-функции, соответствующей современным требованиям к криптографической
стойкости и требованиям стандарта ГОСТ Р 34.10-2012 на электронную цифровую
подпись.

Данный стандарт определяет две функции хэширования $h : \set{0, 1}^* \to
\set{0, 1}^n$ с длинами хэш-кода $n = 256$ бит и $n = 512$ бит.

Неофициальные названия: <<Стрибог-256>> и <<Стрибог-512>>.

\begin{enumerate}
  \item
    \textbf{Значение параметров.}

    \begin{enumerate}
      \item
        Значение инициализационного вектора IV для функции хэширования с длиной
        хэш-кода 512 бит равно $0^{512}$, для функции хэширования с длиной
        хэш-кода 256 равно $(00000001)^{64}$.
      \item
        Нелинейное биективное преобразование множества двоичных векторов
        $\set{0, 1}^8$ задаётся подстановкой $\pi = \fn{Vec}_8 \pi' \fn{Int}_8 :
        \set{0, 1}^8 \to \set{0, 1}^8$, где $\pi' : Z_{2^8} \to Z_{2^8}$.
        Значение подстановки $\pi'$ заданы в стандарте в виде массива
        $\pi' = (\pi'(0), \pi'(1), \dots, \pi'(255))$, в котором в определённом
        порядке записаны числа от 0 до 255. Например, $\pi'(22) = 153$.
      \item
        Значение перестановки $\tau \in S_{64}$ записаны в стандарте в виде
        массива $\tau = (\tau(0), \tau(1), \dots, \tau(63))$, в котором в
        определённом порядке записаны числа от 0 до 63. Например, $\tau(22) =
        50$.
      \item
        Линейное преобразование $l$ множества двоичных векторов $\set{0,
        1}^{64}$ задаётся умножением справа на матрицу $A$ над полем $GF(2)$,
        строки которой заданы в стандарте последовательно в шестнадцатеричном
        виде. Например, 22 строка матрицы $A = 8a174a9ec8121e5d$.
      \item
        Итерационные константы $C_i$, $i = 1, \dots, 12$, записаны в стандарте
        в шестнадцатеричном виде. Значение константы, записанное в виде
        $a_{127} \dots a_0$, где $a_i \in \Z_{16},\, i = 0, \dots, 127$, есть
        $\fn{Vec}_4(a_{127}) \| \dots \| \fn{Vec}_4(a_0)$.
    \end{enumerate}

  \item
    \textbf{Преобразования.}

    {\LARGE TODO: дописать}
    \begin{enumerate}
      \item
        $X[k] : \set{0, 1}^{512} \to \set{0, 1}^{512}, X[k](a) = k \oplus a,\,
        k, a \in \set{0, 1}^{512}$.
      \item
        $S : \set{0, 1}^{512} \to \set{0, 1}^{512},\, S(a) = S(a_{64} \| \dots \|
        a_0) = \pi(a_{63}) \| \dots \| \pi(a_0)$, где $a \in \set{0, 1}^{512},
        a_i \in \set{0, 1}^8$, $i = 0, \dots, 63$.
      \item
        $P : \set{0, 1}^{512} \to \set{0, 1}^{512},\, P(a) = P(a_{63} \| \dots \|
        a_0) = a_{t(63)} \| \dots \| a_{\tau(0)}$, где $a \in \set{0, 1}^{512},
        a_i \in \set{0, 1}^8$, $i = 0, \dots, 63$.
      \item
        $L : \set{0, 1}^{512} \to \set{0, 1}^{512},\, L(a) = L(a_7 \| \dots \|
        a_0) = l(a_7) \| \dots \| l(a_0)$, где $a \in \set{0, 1}^{512}, a_i \in$
    \end{enumerate}
\end{enumerate}
