В разделе 3.2 «Режимы использования функций губки» Функции криптографической губки (сокращенно CSF для целей этого ответа), авторы перечислили несколько «режимов работы» для разных целей, одним из которых являются приложения потокового шифрования. Вот таблица:
| Функциональность |
Выражение |
Вход |
Вывод |
| $n$-битная хеш-функция |
$ч = Н(М)$ |
$ млн $ |
$\lэтаж Z \rэтаж _n$ |
| $n$-битная рандомизированная хэш-функция |
$h = H_R(M)$ |
$R|M$ |
$\lэтаж Z \rэтаж _n$ |
| $n$-битовая хэш-функция дифференциация экземпляров |
$h = H_D(M)$ |
$Д|М$ |
$\lэтаж Z \rэтаж _n$ |
| Медленный $n$-битная односторонняя функция |
$ ч = Н _ {\ текст {медленно}} (М) $ |
$М|0^N$ |
$\lэтаж Z \rэтаж _n$ |
| $n$-битная функция MAC |
$T = MAC(K,[IV,]M)$ |
$К|IV|М$ |
$\lэтаж Z \rэтаж _n$ |
| Потоковое шифрование с произвольным доступом ($n$-битовый блок) |
$z_i = F(K,IV,i)$ |
$К|IV|i$ |
$\lэтаж Z \rэтаж _n$ |
| Поточный шифр |
$Z=F(K,IV)$ |
$К|IV$ |
как есть |
| Генератор детерминированных случайных битов (DRBG) |
$z=DRBG(начальное число)$ |
семя |
как есть |
| Генерация маски и функция вывода ключа |
$ маска = F (семя, л) $ |
семя |
$\lэтаж Z \rэтаж _l$ |
Есть ли литература по использованию SHAKE256_XOF в качестве шифра?
Ну, бумага вас прикрыла.
Чем этот метод отличается от AES256 с точки зрения безопасности?
Этот метод имеет равную силу с точки зрения грубой силы. поточный шифр SHAKE может иметь более длинные периоды, чем AES-256, либо в режиме счетчика (CTR), либо в режиме обратной связи шифра (CFB).
Каковы слабые стороны или недостатки этого шифра? Очевидно, что использование SHA3-512 для аутентификации означает, что его нельзя эффективно зашифровать за один проход, а для расшифровки требуется вычисление дайджеста SHA3-512 для аутентификации (я изучаю, как работает аутентифицированное шифрование, поэтому предложения и отзывы приветствуются).
На самом деле, если вы посмотрите на «дуплексные» режимы (которые также рассматриваются в документе CSF), AEAD на самом деле проще реализовать за один проход.
Дает ли это какое-либо возможное преимущество перед AES256?
Я упомянул 2 (длина периода, 1 проход). Он также имеет лучшую масштабируемость параметров, чем блочный шифр с фиксированной шириной, поэтому я считаю его третьим.
AES256 имеет 128-битную устойчивость к теоретическим квантовым атакам. Будет ли этот шифр поддерживать мин (длина_ключа/2, 256) биты сопротивления теоретическим квантовым атакам, которые есть у SHAKE256_XOF.
Возможно, но я не силен в математике.
