Алгоритм NUSH

Алгоритм NUSH предложен на конкурс NESSIE российской компанией «ЛАН Крипто», которая представляет собой одну из отечественных компаний — разработчиков средств криптографической защиты информации (в том числе и на основе криптоалгоритмов собственной разработки). Авторы алгоритма: Президент компании «ЛАН Крипто» Лебедев А. Н. и Президент Российской Криптологической Ассоциации «РусКрипто» Волчков А. А.

Алгоритм NUSH имеет несколько фиксированных размеров шифруемого блока данных: 64, 128 и 256 битов. Рассмотрим 64-битный вариант алгоритма.

Структура алгоритма
Шифруемый блок данных разбивается на 4 субблока по 16 битов (обозначаемые как а, Ь, с, d).

Прежде всего выполняется начальное преобразование, состоящее в том, что на каждый субблок операцией XOR накладывается фрагмент расширенного ключа (процедура расширения ключа будет описана далее) для начального преобразования.

Затем выполняются 9 раундов преобразований; структура раунда будет описана далее.

Расшифровывание
Расшифровывание выполняется применением обратных операций в обратной последовательности. Таким образом, при расшифровывании сначала выполняется обратное финальное преобразование, затем 9 раундов по 4 обратных итерации, после чего — обратное начальное преобразование.

Криптостойкость алгоритма
Алгоритм NUSH не выбран во второй раунд конкурса благодаря атаке, предложенной китайскими учеными Вен-Лингом By (Wen-Ling Wu) и Денг-Гуо Фенгом (Deng-Guo Feng). Найденная ими атака позволяет методом линейного криптоанализа вычислить 128-битный ключ шифрования алгоритма NUSH при наличии 258 известных открытых текстов (и соответствующих им шифртекстов) выполнением 2124 тестовых операций шифрования. При этом, если имеется 262 известных открытых текстов, вычислительная сложность снижается до 255 тестовых операций шифрования. Аналогичные атаки существуют для 192- и 256-битных ключей. Следует отметить, что данные атаки весьма сложно реализуемы на практике, однако их оказалось достаточно в качестве доказательства недостаточного запаса криптостойкости (security margin) алгоритма NUSH. 128-битный вариант
Алгоритм NUSH весьма легко преобразуется под другие размеры блока. На конкурс NESSIE, помимо 64-битного варианта, были представлены еще и варианты алгоритма, обрабатывающие 128-битные и 256-битные блоки данных.

Отличия 128-битного алгоритма NUSH от 64-битного состоят в следующем:
выполняется 17 раундов преобразований вместо 9;
блок данных делится на те же 4 субблока, но они имеют размер по 32 бита (а не по 16 битов). Соответственно, операции сложения и вычитания выполняются по модулю 232.

Криптоанализ 128- и 256-битного вариантов алгоритма
Против 128- и 256-битных вариантов алгоритма NUSH применима та же атака, что и против 64-битного варианта [398]. Атака, предложенная китайскими учеными Вен-Лингом By и Денг-Гуо Фенгом, позволяет методом линейного криптоанализа вычислить, например, 256-битный ключ 128-битного варианта алгоритма при наличии 2126 известных открытых текстов выполнением 264 операций шифрования. Аналогичные атаки существуют и для 256-битного варианта, и для других размеров ключей.

Поскольку данные атаки говорят о недостаточном запасе криптостойкости алгоритма NUSH, 192- и 256-битный варианты алгоритма также не вышли во второй раунд конкурса NESSIE.