Алгоритм SAFER++

Алгоритм SAFER++ был разработан авторами алгоритма SAFER+ в 2000 г. для участия в конкурсе NESSIE, в котором проводился выбор криптографических стандартов Евросоюза.

64-битный вариант SAFER++
Второй вариант алгоритма SAFER++ представляет собой некоторое «усечение» первого варианта до 64-битного размера блока. В данном алгоритме выполняются 8 раундов преобразований, в каждом из которых производятся следующие действия:
Первое наложение ключа. Выполняется аналогично алгоритму SAFER К-64; в качестве ключевого материала здесь используются первые 8 байтов фрагмента расширенного ключа К.

Нелинейное преобразование, полностью аналогичное алгоритму SAFER К-64.

Второе наложение ключа, также аналогичное алгоритму SAFER К-64; здесь используются байты 9... 16 фрагмента расширенного ключа K.

Расширение 8-байтного блока данных до 16 байтов. Каждый нибл входных байтов формирует старшую половину одного из выходных байтов, младшая половина обнуляется. Криптоанализ алгоритма SAFER++
В рамках конкурса NESSIE алгоритм SAFER++ был достаточно глубоко исследован. Как отмечают эксперты конкурса, SAFER++ не унаследовал каких-либо уязвимостей от более ранних алгоритмов семейства SAFER, а каких-либо новых уязвимостей не было найдено.

Криптоаналитики предложили множество атак на различные варианты алгоритма SAFER++ с усеченным количеством раундов, причем предложенная атака методом бумеранга позволяет вскрыть до 5,5 (из 7) раундов алгоритма (для атаки на 5,5 раундов необходимо 2108 выбранных открытых текстов и шифртекстов с адаптивным выбором и столько же операций шифрования); несмотря на абсолютную непрактичность этой атаки, она позволила экспертам конкурса говорить о недостаточном запасе криптостойкости алгоритма SAFER++.

В результате из-за недостаточного запаса криптостойкости, относительно низкой скорости шифрования (за исключением реализаций для 8-битных платформ) и предположений ряда экспертов о том, что структура SAFER++ может содержать скрытые уязвимости, алгоритм SAFER++ не стал одним из победителей конкурса NESSIE.

Несмотря на то, что алгоритмы семейства SAFER не получили искомого статуса стандартов США или Евросоюза, стоит сказать о том, что данные алгоритмы нашли достаточно широкое применение. В частности, отмечается, что SAFER+ используется в качестве основы протокола аутентификации в Bluetooth. В любом случае, видно, что от версии к версии алгоритмов семейства SAFER происходит повышение их криптостойкости в ответ на появление новых атак на данные алгоритмы. Есть уверенность, что история семейства SAFER на алгоритме SAFER++ не закончится.

По материалам книги Сергея Панасенко «Алгоритмы шифрования»