Алгоритм симметричного шифрования на основе умножения

Меня давно интересовал этот абзац:

Умножение — отличная функция смешивания. Если вы разберетесь, как выглядит умножение с точки зрения AND и XOR, станет очевидным, насколько сложным является 64-битное умножение. Количество транзисторов, необходимых для аппаратной реализации, не позволяет использовать умножение в большинстве криптографических алгоритмов. Но для некриптографических PRNG, которые должны работать только на ЦП общего назначения, умножение очень полезно, поскольку уже существует аппаратная реализация.

https://tom-kaitchuck.medium.com/designing-a-new-prng-1c4ffd27124d

Обычно в алгоритмах шифрования используются операции модульного сложения, ротации и исключающего ИЛИ. Но есть ли что-то, что может помешать использованию модульного умножения, поворота и операций исключающего ИЛИ?

Модульное умножение медленнее, чем сложение, но, вероятно, не намного медленнее, и наверняка это более сильная функция микширования. Умножение на самом деле является отличной функцией смешивания, так почему же оно так редко используется в симметричной криптографии? Я думаю, что даже смартфоны могут очень быстро выполнять 64-битное умножение и имеют некоторую аппаратную реализацию для умножения (но я не уверен).

Действительно ли медлительность умножения настолько большая проблема, что умножение не может найти широкого применения в быстрых облегченных алгоритмах шифрования? Вероятно, для устройств Интернета вещей или чипов RFID это может быть проблемой, но когда дело доходит до компьютеров и смартфонов, алгоритм шифрования, основанный на умножении, не может быть проблемой, не так ли?

Блочный шифр ИДЕЯ с 1991 г. используется мод модульного умножения $2^{16}+1$ для диффузии (где 0 отображается на $2^{16}$).

Поскольку делители нуля не годятся с криптологической точки зрения, модуль должен быть простым и иметь форму $2^б+1$ поскольку кто-то предпочитает работать с битами (а не использовать 0), поэтому $b=2, 4, 8, 16$ ($б=1$ будет линейным).

Если вы разработаете шифр, используя эти модульные умножения, вы столкнетесь (как минимум) с двумя проблемами:

• криптографические свойства модульных умножений плохо изучены, поэтому вам трудно показать, что ваш шифр хорош
• для небольших устройств необходимо учитывать атаки по сторонним каналам, но трудно защитить эти модульные умножения от них (особенно от DPA; но уже атаки по времени могут быть проблемой, если умножение не постоянное время)

Шифрование любого типа требует больших затрат аппаратного обеспечения и мощности. Умножители действительно большие, глубокие и, следовательно, медленные по сравнению с базовым полным сумматором ALU. Я собираюсь помахать руками, но если вы возьмете книгу по архитектуре ЦП, вы найдете следующее: Дизайн множителей всегда разный, но модульный конвейер MUL для 64-битного результата равен 4. -deep, а для 128-битного результата - 8-битный на большинстве процессоров. Это связано с тем, что вы используете связанные блоки полных сумматоров, а максимальная глубина в 4-уровневом дизайне составляет 16. Глубина полного сумматора для XOR, ROL или ADD эквивалентна одному полному сумматору. Супермасштабирующие процессоры скрывают большую часть задержек множителей; однако, если вы действительно усердно работаете над проблемой, вы найдете пустой конвейер с большим количеством задержек.