SHA-3

SHA-3, השלישית במשפחת האלגוריתמים Secure Hash Algorithm (בשמו המקורי Keccak), היא פונקציית גיבוב קריפטוגרפית שפותחה ב-2008 על ידי גוידו ברטוני, יוהאן דאמן (ממפתחי AES), מיכאל פיטרס וג'יל ואן אשה, ונבחרה על ידי NIST כתקן גיבוב פדרלי של ממשלת ארצות הברית. פונקציית גיבוב היא מרכיב חיוני בכל מערכת קריפטוגרפית מודרנית. הפונקציה מפיקה ממסר בכל אורך רצוי, ערך ייחודי בגודל קבוע שנקרא "ערך גיבוב" או "תמצית המסר" ומטרתו להוות ייצוג קומפקטי או טביעת אצבע דיגיטלית של המסר. המניע מאחורי פיתוח תקן SHA-3 הוא התפתחותן של טכניקות קרפיטואנליטיות חדשות וחשיפת חולשות תאורטיות ומעשיות באלגוריתמים הקודמים במשפחה MD5 וכן SHA-0 והתקפה תאורטית על SHA-1. ב-NIST ראו צורך לפתח פונקציית גיבוב חדשה שונה במבנה ובקונספט מקודמותיה, על מנת להרחיב את היצע הפונקציות במשפחה, וסימונה יהיה SHA-3. לאור זאת הוחלט בנובמבר 2007 על תחרות פתוחה לציבור לפיתוח פונקציית גיבוב קריפטוגרפית שתשמש כתקן גיבוב ממשלתי (בדומה לתחרות לבחירת תקן AES שבסופה נבחר צופן הבלוקים Rijndael). באוקטובר 2008 הצטברו 64 הצעות של מומחי הצפנה מכל העולם, מתוכם נבחרו 51 מועמדים לסבב הראשון לאחר שכמה מהם נפסלו כי לא עמדו בתנאי הסף. ביולי 2009 הצטמקה הרשימה הנבחרת לסבב השני ל-14 מועמדים, ההכרזה בוצעה באמצעות אימייל שנשלח לרשימת התפוצה של התחרות. הקריטריונים בהם נעזר חבר השופטים היו: בטיחות האלגוריתם, עלות החישוב ומדידת ביצועים ומאפיינים הקשורים במימוש. חבר השופטים ציין במפורש שאף אחד מהאלגוריתמים שנבחרו לשלב השני לא נשבר במלואו. NIST אפשרה למועמדים שעברו לשלב זה לבצע שינויים קלים (Tweaks) באלגוריתמים שהגישו אך לא כאלה שיהפכו התקפות קיימות לבטלות. בדצמבר 2010 הגיעו לגמר חמישה מועמדים מובילים: Keccak Skein JH Grøstl BLAKE הקהילה הקריפטוגרפית הייתה מעורה בשיקולים וההתלבטות במהלך התחרות. הערות והצעות רבות נשלחו ל-NIST או לפורום הגיבוב שהוקם למטרה זו וכן פורסמו מאמרים אקדמיים של קריפטואנליזה של המועמדים על ידי מומחים בעלי שם מסביב לעולם. באוקטובר 2012 נסגרה התחרות עם ההכרזה על האלגוריתם הזוכה. משפחת האלגוריתמים SHA-3 הוכנסה לתקן FIPS PUB 202 של NIST והיא כוללת שישה אלגוריתמים בגדלים שונים בהתאם, SHA3-224,‏ SHA3-256,‏ SHA3-384 ו-SHA3-512 וכן שתי פונקציות הרחבה הנקראות XOF והן SHAKE128 ו-SHAKE256. תקן FIPS 202 אושר על ידי מנהל מחלקת המסחר של ארצות הברית באוגוסט 2015. כל החישובים בפונקציית הגיבוב, מוגבלים לפעולות AND,‏ NOT,‏ XOR והזזה מעגלית (Rotate), ללא פעולות אריתמטיות או פונקציות המבוססות על מידע חיצוני. וכן אין צורך ליישם טבלאות חיפוש לצורך האצת החישובים. לפי הצהרת המפתחים נדרשים 12.5 מחזורי שעון לבית במעבד אינטל ליבה כפולה. בגרסת החומרה שלו האלגוריתם הפגין ביצועים טובים יותר מכל המועמדים האחרים. SHA-3 אמור להצטרף למשפחת אלגוריתמי SHA כדי להרחיב את ההיצע של משפחה זו. בדומה ל-AES, התקן מפותח בשיטה של תחרות בינלאומית פתוחה בה מנסים חוקרי קריפטוגרפיה למצוא חולשות באלגוריתמים שהוגשו לתחרות. האלגוריתם אינו אמור להחליף את קודמו SHA-2, אלא מיועד להגדיל את היצע הפונקציות. אלגוריתם Keccak (מבוטא קֵצַ'אק, על שם ריקוד באלינזי עתיק) פותח ב-2008 על ידי Guido Bertoni, Joan Daemen, Michaël Peeters ו-Gils Van Assche. זוהי משפחה של פונקציות גיבוב המבוססת על פונקציית ספוג שהיא מבנה גנרי שהומצא במהלך פיתוח אלגוריתם RadioGatun. ב-Keccak הפונקציה הפנימית f {\displaystyle f} היא פרמוטציה אחת מתוך אוסף של שבע פרמוטציות אפשריות המסומנות KECCAK-f [ b ] {\displaystyle {\text{KECCAK-f}}[b]} , כאשר b ∈ { 25 , 50 , 100 , 200 , 400 , 800 , 1600 } {\displaystyle b\in \{25,50,100,200,400,800,1600\}} נקרא "רוחב" המצב הפנימי. המצב הפנימי בנוי כמערך תלת-ממדי בעל אורך ורוחב קבועים 5 × 5 {\displaystyle 5\times 5} נתיבים (lanes) בעומק משתנה w ∈ { 1 , 2 , 4 , 8 , 16 , 32 , 64 } {\displaystyle w\in \{1,2,4,8,16,32,64\}} כאשר b = 25 w {\displaystyle b=25w} כמתואר בתרשים. על מעבד 64 ביט נתיב (Lane) ב- KECCAK-f [ 1600 ] {\displaystyle {\text{KECCAK-f}}[1600]} ניתן לייצוג במילה אחת בגודל 64 סיביות. פונקציית הספוג KECCAK-f [ r + c ] {\displaystyle {\text{KECCAK-f}}[r+c]} מקבלת את הפרמטרים "קצב" (Bitrate) המסומן r {\displaystyle r} וכן "קיבולת" (Capacity) המסומנת c {\displaystyle c} . מפונקציה זו מתקבל מבנה ספוג יחד עם כלל ריפוד מתאים. כלל הריפוד הוא pad 10 ∗ 1 {\displaystyle {\text{pad}}10^{*}1} . כלומר תחילה מוסיפים סיבית "1" בסוף המסר, מרפדים באפסים ולבסוף מסיימים עם סיבית "1" נוספת, מספר האפסים הוא פונקציה של גודל הבלוק, כך שלבסוף יתקבל לפחות בלוק שלם באורך b {\displaystyle b} סיביות. להלן פסאודו-קוד המתאר את פונקציית הסבב המקבלת מערך A {\displaystyle A} המכיל את המצב הפנימי. מספר הסבבים הוא n r {\displaystyle n_{r}} בהתאם לאורך הבלוק והוא נתון על ידי n r = 12 + 2 l {\displaystyle n_{r}=12+2l} כאשר 2 l = w {\displaystyle 2^{l}=w} . למשל עבור KECCAK-f [ 1600 ] {\displaystyle {\text{KECCAK-f}}[1600]} מתקבלים 24 סבבים. כל הפעולות על האינדקסים בקוד הבא הם מודולו 5. הביטוי A [ x , y ] {\displaystyle A[x,y]} מתייחס לנתיב אחד במצב (ראו תרשים). B [ x , y ] {\displaystyle B[x,y]} , X [ x ] {\displaystyle X[x]} , D [ x ] {\displaystyle D[x]} הם משתנים זמניים. הקבועים r [ x , y ] {\displaystyle r[x,y]} הם היסטים של ההזזה המעגלית לפי הטבלה להלן. RC [ i ] {\displaystyle {\text{RC}}[i]} הם קבועי סבב הנתונים בטבלה להלן. ROT ( W , r ) {\displaystyle {\text{ROT}}(W,r)} הוא פעולת הזזה מעגלית רגילה (Cyclic shift) בסיביות כשההיסט הוא מודולו אורך הנתיב. הביטוי NOT {\displaystyle {\text{NOT}}} פירושו אופרטור השלילה, הסימן ⊕ {\displaystyle \oplus } הוא XOR והסימן ∧ {\displaystyle \land } מייצג AND. R o u n d [ b ] ( A , RC ) {\displaystyle \mathbf {Round[b](A,{\text{RC}})} } θ  Step {\displaystyle \color {Blue}{\boldsymbol {\theta }}{\text{ Step}}} For  x = 0  to  4  do {\displaystyle {\text{For }}x=0{\text{ to }}4{\text{ do}}} C [ x ] = A [ x , 0 ] ⊕ A [ x , 1 ] ⊕ A [ x , 2 ] ⊕ A [ x , 3 ] ⊕ A [ x , 4 ] {\displaystyle C[x]=A[x,0]\oplus A[x,1]\oplus A[x,2]\oplus A[x,3]\oplus A[x,4]} For  x = 0  to  4  do {\displaystyle {\text{For }}x=0{\text{ to }}4{\text{ do}}} D [ x ] = C [ x − 1 ] ⊕ ROT ( C [ x + 1 ] , 1 ) {\displaystyle D[x]=C[x-1]\oplus {\text{ROT}}(C[x+1],1)} For  x = 0  to  4  do {\displaystyle {\text{For }}x=0{\text{ to }}4{\text{ do}}} For  y = 0  to  4  do {\displaystyle {\text{For }}y=0{\text{ to }}4{\text{ do}}} A [ x , y ] = A [ x , y ] ⊕ D [ x ] {\displaystyle A[x,y]=A[x,y]\oplus D[x]} ‎ ρ  and  π  Steps {\displaystyle \color {Blue}{\boldsymbol {\rho }}{\text{ and }}{\boldsymbol {\pi }}{\text{ Steps}}} For  x = 0  to  4  do {\displaystyle {\text{For }}x=0{\text{ to }}4{\text{ do}}} For  y = 0  to  4  do {\displaystyle {\text{For }}y=0{\text{ to }}4{\text{ do}}} B [ y , 2 ⋅ x + 3 ⋅ y ] = ROT ( A [ x , y ] , r [ x , y ] ) {\displaystyle B[y,2\cdot x+3\cdot y]={\text{ROT}}(A[x,y],r[x,y])} ‎ χ  Step {\displaystyle \color {Blue}{\boldsymbol {\chi }}{\text{ Step}}} For  x = 0  to  4  do {\displaystyle {\text{For }}x=0{\text{ to }}4{\text{ do}}} For  y = 0  to  4  do {\displaystyle {\text{For }}y=0{\text{ to }}4{\text{ do}}} A [ x , y ] = B [ x , y ] ⊕ ( ( NOT  B [ x + 1 , y ] ) ∧ B [ x + 2 , y ] {\displaystyle A[x,y]=B[x,y]\oplus (({\text{NOT }}B[x+1,y])\land B[x+2,y]} ‎ ι  Step {\displaystyle \color {Blue}{\boldsymbol {\iota }}{\text{ Step}}} A [ 0 , 0 ] = A [ 0 , 0 ] ⊕ RC {\displaystyle A[0,0]=A[0,0]\oplus {\text{RC}}} Return  A {\displaystyle {\text{Return }}A} פונקציית הסבב המתוארת מבוצעת n r {\displaystyle n_{r}} פעמים על הקלט: K E C C A K - f [ b ] ( A ) {\displaystyle \mathbf {KECCAK} {\text{-}}\mathbf {f[b](A)} } For  i = 0  to  n r − 1  do {\displaystyle {\text{For }}i=0{\text{ to }}n_{r}-1{\text{ do}}} A = Round [ b ] ( A , RC [ i ] ) {\displaystyle A={\text{Round}}[b](A,{\text{RC}}[i])} Return  A {\displaystyle {\text{Return }}A} להלן פסאודו-קוד המתאר את אלגוריתם הגיבוב KECCAK [ r , c ] {\displaystyle {\text{KECCAK}}[r,c]} , עם הפרמטרים c {\displaystyle c} ו- r {\displaystyle r} (קצב וקיבולת) והמסר M {\displaystyle M} , כאשר ההנחה לפי התקן היא ש- r {\displaystyle r} הוא כפולה של אורך נתיב. הקוד מתייחס אל המידע ברמה של בתים, ברמה של סיביות יש צורך בהתאמות נוספות. S {\displaystyle S} מייצג את המצב כמערך של נתיבים. המסר המרופד P {\displaystyle P} מאורגן כמערך דו־ממדי של נתיבים. הסימן ‖ {\displaystyle \|} מייצג שרשור מחרוזות. באלגוריתם שלושה שלבים, שלב הריפוד שמקבל את המסר ומפיק מחרוזת מרופדת לפי התקן, שלב הספיגה שמפעיל את הפונקציה הפנימית על הקלט ושלב הסחיטה שמפיק את ערך הגיבוב באורך הנדרש: K E C C A K [ r , c ] ( M ) {\displaystyle \mathbf {KECCAK[r,c](M)} } *Initialization and padding* {\displaystyle \color {Blue}{\text{*Initialization and padding*}}} For  x = 0  to  4  do {\displaystyle {\text{For }}x=0{\text{ to }}4{\text{ do}}} For  y = 0  to  4  do {\displaystyle {\text{For }}y=0{\text{ to }}4{\text{ do}}} S [ x , y ] = 0 {\displaystyle S[x,y]=0} P = M   ‖   0x01   ‖   0x00   ‖   . . .   ‖   0x00 {\displaystyle P=M\ \|\ {\text{0x01}}\ \|\ {\text{0x00}}\ \|\ ...\ \|\ {\text{0x00}}} P = P ⊕ ( 0x00   ‖   . . .   ‖   0x00   ‖   0x80 ) {\displaystyle P=P\oplus ({\text{0x00}}\ \|\ ...\ \|\ {\text{0x00}}\ \|\ {\text{0x80}})} ‎ *Absorbing phase* {\displaystyle \color {Blue}{\text{*Absorbing phase*}}} For all blocks  P i  in  P  do {\displaystyle {\text{For all blocks }}P_{i}{\text{ in }}P{\text{ do}}} For all  ( x , y )  such that  x + 5 ⋅ y < r / w  do {\displaystyle {\text{For all }}(x,y){\text{ such that }}x+5\cdot y<r/w{\text{ do}}} S [ x , y ] = S [ x , y ] ⊕ P i [ x + 5 ⋅ y ] {\displaystyle S[x,y]=S[x,y]\oplus P_{i}[x+5\cdot y]} S = KECCAK-f [ r + c ] ( S ) {\displaystyle S={\text{KECCAK-f}}[r+c](S)} ‎ *Squeezing phase* {\displaystyle \color {Blue}{\text{*Squeezing phase*}}} Loop: {\displaystyle {\text{Loop:}}} For all  ( x , y )  such that  x + 5 ⋅ y < r / w  do {\displaystyle {\text{For all }}(x,y){\text{ such that }}x+5\cdot y<r/w{\text{ do}}} Z = Z   ‖   S [ x , y ] {\displaystyle Z=Z\ \|\ S[x,y]} S = KECCAK-f [ r + c ] ( S ) {\displaystyle S={\text{KECCAK-f}}[r+c](S)} Return  Z {\displaystyle {\text{Return }}Z} קבועי הסבב RC [ i ] {\displaystyle {\text{RC}}[i]} נתונים בטבלה הבאה עבור אורך מקסימלי של נתיב. עבור אורכים קצרים יותר פשוט חותכים את הערכים בהתאם. ההיסטים עבור ההזזה המעגלית נתונים בטבלה הבאה. cryptographic hash Algorithm Competition, באתר NIST SHA-3 Zoo – אתר המרכז את המידע שנצבר לגבי כל אחד מהמועמדים בתחרות אור דונקלמן, The Hitchhiker’s Guide to the SHA-3 Competition, מצגת מיום עיון בקריפטולוגיה שנערך בטכניון ב-4 ביולי 2012 NIST בחרה את הזוכה בתחרות אלגוריתם הגיבוב (SHA-3) - הודעה לעיתונות באתר NIST תחרות פונקציית הגיבוב הקריפטוגרפית - תיאור כללי באתר NIST תחרות SHA-3 - שלב 2, באתר NIST SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions The Keccak sponge function family