XSL-конструкция. 
Криптографические методы защиты информации

Алгоритм «Кузнечик» обладает следующими параметрами:

• • длина ключа: т = 256,
• • длина раундового ключа: s = 128,
• • длина блока обрабатываемых данных: п = 128,
• • количество раундов: г = 9.

Мы начнем с описания алгоритма зашифрования и рассмотрим элементарное раундовое преобразование R. Данное преобразование получило аббревиатуру XSL и используется как в алгоритме зашифрования сообщений, так и в алгоритме развертки ключа.

Рассмотрим произвольное сообщение а е ВД²⁸, представленное в виде конкатенации шестнадцати байт,.

и раундовый ключ /с, € F^²⁸, также представленный в виде конкатенации байт,.

где индекс i принимает значения от 1 до 10.

Согласно общей схеме SP-сети определим три частных преобразования, комбинация которых определяет раундовое преобразование алгоритма зашифрования.

1. Преобразование X: Fl,²⁸ х F-j,²⁸ -> F^²⁸ реализует наложение раундового ключа к, и определяется равенством.

для любого допустимого значения индекса г.

2. Преобразование S: F^²⁸ —> F^²⁸ задает нелинейную перестановку на множестве F^²⁸ и определяется равенством.

где перестановка п : F⁸ —> F⁸ задается в виде вектора (ло,…, 7⁵⁵) и действует следующим образом:

Последовательность по,…, Л255 определяется следующим образом:

Согласно комментариям разработчиков, см. [3], перестановка п была выбрана случайным образом и, в отличие от перестановки алгоритма AES, не имеет явного алгебраического представления^[1].

3. Преобразование L: F^²⁸ -" F2²⁸ может быть определено как 16-ти кратное движение некоторого линейного регистра сдвига, начальное заполнение которого является прообразом, а конечное заполнение — результатом применения преобразования L.

Рассмотрим поле F₂s как расширение поля F2, порожденное неприводимым многочленом д (х) — X^s + х⁷ + ж⁶ + х + 1. Каждый элемент а этого поля может быть представлен в виде многочлена а (х) — J2j=o ^ai^x>> где а, € F2. Кроме того, каждый элемент может быть представлен в виде целого числа а = J2i=o ^а*2^г> не превосходящего 255.

Рассмотрим сжимающее отображение Л: F₂²⁸ -э F⁸, задаваемое равенством.

в котором целые числа должны интерпретироваться как элементы поля F₂8, порожденного многочленом д (х), а операции сложения и умножения выполняются в этом же поле.

Если рассматривать вектор а е F₂²⁸ как начальное заполнение линейного регистра сдвига, то отображение Л задает соотношение обратной связи. Тогда один такт движения данного регистра сдвига описывается преобразованием.

Преобразование L : F₂²⁸ —" F₂²⁸ определяется равенством.

и задает 16-ти кратное преобразование линейного регистра сдвига с обратной связью А.

Тогда раундовое преобразование алгоритма «Кузнечик» задается равенством.

для всех индексов г = 1,… 9.

Собственно сам алгоритм зашифрования определяется равенством (7.3), в котором преобразование U не определено и мы считаем, что U (а) = а, раундовое преобразование R определено равенством (7.25), а завершающее преобразование W совпадает с преобразованием X, то есть.

Используя только обозначения X, S и L, подобно принятой в [3] записи, можно определить алгоритм зашифрования равенством

• [1] В августе 2015 года появилась работа, авторы которой утверждают обратное, см. A. Birykov, L. Penin, A.Udovenko. The Secret Structure of the S-Box of Streebog, Kuznechik and Stribob, 2015. — http://eprint.iacr.org/2015/812.pdf.