SAFER

SAFER

Розробники	Джеймс Мессі
Уперше оприлюднений	1993 рік
Раундів	6-16
Тип	Мережа замін-перестановок

SÁFER (англ. Secure And Fast Encryption Routine — безпечна і швидка процедура шифрування) — в криптографії сімейство симетричних блокових криптоалгоритмів на основі мережі замін-перестановок. Основний внесок в розробку алгоритмів вніс Джеймс Мессі. Перший варіант шифру був створений і опублікований в 1993 році. Хоча алгоритми SAFER не отримали статусу стандартів в США або ЄС, вони знайшли дуже широке застосування. Зокрема, SAFER + використовується як основа протоколу аутентифікації в Bluetooth. Однак, в самому алгоритмі шифрування в Bluetooth цей алгоритм не використовується.

Незважаючи на те, що в назві алгоритму фігурує слово «fast» (швидкий), за сучасними мірками алгоритми сімейства SAFER є досить повільними.

З точки зору криптостойкости навіть найперша версія алгоритму SAFER K-64 є абсолютно стійкою до диференціального криптоаналізу. Останній алгоритм сімейства — SAFER++, будучи значно модифікованим з урахуванням безлічі атак, здійснених на більш ранні версії алгоритму, став ще більш стійким. В даний час ніяких реально здійсненних атак на алгоритм, не знайдено.

З огляду на те, наскільки далеко просунулися алгоритми SAFER за час свого існування — від SAFER K-64 до SAFER++, можна припустити, що на цьому розвиток цих алгоритмів не закінчений.

SAFER K-64

Алгоритм шифрування

Схема шифрування одного раунду алгоритмом SAFER K-64

Довжина блоку, що шифрується, і довжина ключа дорівнюють 64 бітам. Алгоритм є ітеративним блоковим шифром, тобто одна й та сама функція шифрування послідовно застосовується до вхідного блоку кілька разів, при цьому на кожному етапі використовуються різні ключі. У кожному раунді шифрування та дешифрування беруть участь два 64-бітових ключа.

Схему шифрування одного раунду алгоритму подано на схемі. Блок даних подається у вигляді 8-байтового масиву (байти нумеруються зліва направо від 1 до 8). Алгоритм є підстановочно-перестановочною мережею, у кожному раунді якої виконуються такі перетворення:

1. На дані накладається 8-байтний фрагмент розширеного ключа $K_{2i-1}$, де $i$ - номер поточного раунду. Раунди нумеруються починаючи з 1. Байти ключа № 1, 4, 5 та 8 накладаються на аналогічні байти даних за допомогою побітової логічної операції «або» (XOR); для накладення решти байтів (№ 2, 3, 6 та 7) ключа використовується операція додавання за модулем 256.
2. Байти даних № 1, 4, 5 і 8 обробляються наступною операцією (у схемі позначена як Е): $y=45^{x}mod257$, де $x$ – вхідне значення, а $y$ – вихідне значення цієї операції. Причому якщо $y=256$ (що відбувається за умови $x=128$), то його значення обнуляється: $y=0$. Інші байти даних (№ 2, 3, 6 та 7) обробляються наступною операцією (у схемі позначена як L): $y=log_{45}x\;mod256$причому якщо $x=0$ значення $y=128$.