**Twofish** הוא צופן בלוקים סימטרי שפותח ב-1998 בחברת Counterpane Labs על ידי צוות קריפטוגרפים בראשות ברוס שנייר, על מנת לשמש כמועמד לתקן ההצפנה המתקדם. דורג שלישי בחמשת המועמדים המובילים והפסיד לריינדל. האלגוריתם פועל על בלוקים בגודל 128 סיביות וטווח מפתח מ-128 עד 256 סיביות והוא ממוטב למעבדי 32 סיביות. בעת התחרות לתקן הוכרז על ידי NIST כמו לגבי יתר המועמדים המובילים שלא התגלו בו חולשות ולא ידוע על התקפה יעילה נגדו. הצופן נחשב כממשיכו של Blowfish וגם הוא חופשי לשימוש ואינו מוגן בזכויות יוצרים או פטנט. הוא בנוי בסגנון רשת פייסטל בשישה-עשר סבבים וכולל; 

* פונקציה חד-חד-ערכית ועל המיוצגת על ידי ארבע תיבות החלפה (S-box) לא ליניאריות תלויות מפתח, בגודל 8x8 סיביות.

* הכפלה במטריצת MDS קיצור של maximum distance separable, שהיא פונקציה ליניארית קבועה 4x4 מעל שדה סופי {\displaystyle F\_{2^{8}}} וצמצום בפולינום פרימיטיבי קבוע.

* התמרת פסבדו-הדמר PHT. פונקציית ערבוב הפועלת על זוגות משתנים בני 32 סיביות כדלהלן; בהינתן {\displaystyle a,b} הפלט הוא {\displaystyle a'=(a+b){\mbox{ mod }}2^{32}} ו-{\displaystyle b'=(a+2b){\mbox{ mod }}2^{32}}.

* הזזה מעגלית בסיביות (bitwise rotation), כלומר לאחר כל הזזה סיבית הגלישה הנפלטת מצד אחד מוחזרת מהצד השני.

* הלבנה שהיא XOR עם 128 סיביות מהמפתח לפני הסבב הראשון ואחרי הסבב האחרון.

* תהליך הרחבת מפתח המתואר להלן.

יישום ממוטב של האלגוריתם במחשב 32 סיביות צורך כ-18 מחזורי שעון לבית או 1820 מחזורי שעון במעבד 8 סיביות. Twofish ניתן ליישום בחומרה בעלות של 14,000 שערים. תהליך הרחבת המפתח וכן סבב ההצפנה מתחשב במגוון אפשרויות כדי לאפשר איזון בין ביצועים לביטחון בהתאם לצורך. ההתקפה הטובה ביותר הידועה כנגד האלגוריתם היא התקפת גלוי נבחר עם {\displaystyle 2^{22.5}} טקסטים ו-{\displaystyle 2^{51}} ניסיונות בחמשה סבבים בלבד. עם מפתח בגודל 128 סיביות יישום בתוכנה של Twofish איטי מעט בהשוואה לריינדל ואילו עם מפתח 256 סיביות קיים יתרון קל ל-Twofish.

שיקולי פיתוח
------------

אלגוריתם Twofish פותח במיוחד לפי דרישות תקן ההצפנה של המכון הלאומי לתקנים וטכנולוגיה של ארצות הברית:

* אורך הבלוק נקבע ל-128 סיביות.
* אורכי מפתח נקבעו ל-128, 192 או 256 סיביות.
* יעילות הן בחומרה והן בתוכנה.
* גמישות; יישום במגוון אפשרויות על פלטפורמות שונות ועם אורכי מפתח שונים וכן התאמה לשימוש כצופן זרם, פונקציית גיבוב או קוד אימות מסרים.
* מבנה פשוט המסייע ביישום ובניתוח האלגוריתם.
* מהירות הצפנה של כ-500 מחזורי שעון בגרסה הממוטבת.
* פעולות אלגבריות פשוטות שאינן מערימות קשיים ביישום בתוכנה או בחומרה.
* ביטחון; ההתקפה הטובה ביותר האפשרית כנגד האלגוריתם במלוא הסבבים תהיה בסיבוכיות של לא פחות מ-{\displaystyle 2^{80}}.

תיאור האלגוריתם
---------------

תרשים אלגוריתם Twofish. הסמל {\displaystyle \oplus } מייצג XOR והסמל {\displaystyle \boxplus } מייצג חיבור מודולו {\displaystyle 2^{32}}. הפונקציה ROL מייצגת הזזה מעגלית שמאלה בסיביות לפי המציין התחתי ואילו ROR מייצג הזזה מעגלית ימינה
**קלט**: 128 סיביות טקסט קריא המיוצגים על ידי 16 בתים {\displaystyle p\_{0},p\_{1},...p\_{15}}, מפתח {\displaystyle M} בגודל 128, 192 או 256 סיביות.

**פלט**: 16 בתי צופן {\displaystyle c\_{0},c\_{1},...c\_{15}}.

1. הקלט מפוצל לארבע מילים, {\displaystyle P\_{0},P\_{1},P\_{2},P\_{3}} של 32 סיביות כל אחת לפי סדר בתים קטן (little-endian) כלומר הספרה הפחות משמעותית מוצבת בבית הראשון שבכתובת הזיכרון. הנוסחה היא:

{\displaystyle \textstyle P\_{i}=\sum \_{j=0}^{3}p\_{(4i+j)}\cdot 2^{8\_{j}},\ \ \ \ \ i=0,...3}
(הערה: במעבד עם סדר בתים קטן (כמו בארכיטקטורת x86), בשפות C ו-C++‎ אין צורך בפעולת חישוב כלשהי בהמרה זו ובהמרה האחרונה בסעיף 6, כיוון שניתן להתייחס למצביע הקלט כאל כמצביע לשלם-32 במקום לבתים או להשתמש במבנה Union, כך שסיביות הקלט והפלט נותרות במקומן).

2. שלב הלבנה; מבצעים XOR עם 4 מילות מהמפתח המורחב {\displaystyle K} (הכנת המפתח בהמשך):

{\displaystyle R\_{0,i}=P\_{i}\oplus K\_{i},\ \ \ \ \ i=0,...3}
3. בכל סבב מ-16 הסבבים, שתי המילים הראשונות {\displaystyle R\_{0},R\_{1}} משמשות כקלט לפונקציה {\displaystyle F} (להלן) שמקבלת כפרמטר גם את מספר הסבב, המילה השלישית {\displaystyle R\_{2}} מחוברת ב-XOR עם התוצאה הראשונה של {\displaystyle F} ולאחר מכן מסובבת בהזזה מעגלית סיבית אחת ימינה. המילה הרביעית {\displaystyle R\_{3}} מסובבת בהזזה מעגלית שמאלה סיבית אחת ואז מחוברת ב-XOR עם התוצאה השנייה של {\displaystyle F}. לאחר מכן שני החצאים מחליפים מקומות וחוזר חלילה. באופן פורמלי עבור {\displaystyle r=0} עד {\displaystyle 15} מבצעים:

3.1 {\displaystyle (F\_{r,0},F\_{r,1})=F(R\_{r,0},R\_{r,1},r)}

3.2 {\displaystyle R\_{r+1,0}={\mbox{ROR}}\_{1}(R\_{r,2}\oplus F\_{r,0})}

3.3 {\displaystyle R\_{r+1,1}={\mbox{ROL}}\_{1}(R\_{r,3})\oplus F\_{r,1}}

3.4 {\displaystyle R\_{r+1,2}=R\_{r,0}}

3.5 {\displaystyle R\_{r+1,3}=R\_{r,1}}

כאן ROR מייצג Rotate Right שהיא פונקציית הזזה מעגלית לימין במספר סיביות לפי המציין התחתי ו-ROL מייצג Rotate Left.

4. מבצעים החלפה נוספת בין שני חצאי הקלט (למעשה מבטלים את ההחלפה מהסבב האחרון)

5. מבצעים הלבנה נוספת עם ארבע מילות מפתח מורחב נוספות.
{\displaystyle C\_{i}=R\_{16,(i+2){\mbox{ mod }}4}\oplus K\_{i+4},\ \ \ \ i=0,...3}

6. התוצאה מומרת בחזרה ל-16 בתים לפי אותו סדר בתים:
{\displaystyle c\_{i}=\left\lfloor {\frac {C\_{\left\lfloor i/4\right\rfloor }}{2^{8(i{\mbox{ mod }}4)}}}\right\rfloor {\mbox{ mod }}2^{8},\ \ \ \ i=0,...15}

### פונקציה F

הפונקציה {\displaystyle F} מקבלת שלושה פרמטרים: שתי מילים {\displaystyle R\_{0},R\_{1}} ומספר הסבב {\displaystyle r} שמהווה אינדקס לערך המתאים במפתח המורחב. {\displaystyle R\_{0}} משמש קלט לפונקציית {\displaystyle g} שמתוארת להלן המחזירה את {\displaystyle T\_{0}}. ו-{\displaystyle R\_{1}} מסובב בהזזה מעגלית 8 סיביות שמאלה ואז משמש גם הוא קלט לפונקציה {\displaystyle g} שמחזירה את {\displaystyle T\_{1}}. התוצאות משולבות יחד באמצעות פונקציית PHT בה מוסיפים שתי מילים מתאימות מהמפתח המורחב לפי {\displaystyle r}, הפלט הוא הזוג {\displaystyle (F\_{0},F\_{1})} ובניסוח פורמלי:

{\displaystyle T\_{0}=g(R\_{0})}
{\displaystyle T\_{1}=g({\mbox{ROL}}\_{8}(R\_{1}))}
{\displaystyle F\_{0}=(T\_{0}+T\_{1}+K\_{2r+8}){\mbox{ mod }}2^{32}}
{\displaystyle F\_{1}=(T\_{0}+2T\_{1}+K\_{2r+9}){\mbox{ mod }}2^{32}}

### פונקציה g

הפונקציה {\displaystyle g} מקבלת כפרמטר מילה אחת {\displaystyle X} בגודל 32 סיביות, מפצלת אותה לארבעה בתים, כל אחד מהם משמש אינדקס לתיבת ההחלפה המתאימה שמחזירה בית אחר. מייצגים את התוצאות כווקטור באורך 4 מעל השדה {\displaystyle F\_{2^{8}}} ומכפילים במטריצת MDS בגודל 4x4 (ראו תרשים). התוצאה מומרת בחזרה למילה אחת:

{\displaystyle {\mbox{MDS}}={\begin{pmatrix}{\mbox{01 EF 5B 5B}}\\{\mbox{5B EF EF 01}}\\{\mbox{EF 5B 01 EF}}\\{\mbox{EF 01 EF 5B}}\end{pmatrix}}}

{\displaystyle x\_{i}=\lfloor X/2^{8i}\rfloor {\mbox{ mod }}2^{8}\ \ \ \ \ i=0,...3}
{\displaystyle y\_{i}=s\_{i}[x\_{i}]\ \ \ \ \ i=0,...3}
{\displaystyle {\begin{pmatrix}z\_{0}\\z\_{1}\\z\_{2}\\z\_{3}\end{pmatrix}}={\begin{pmatrix}\cdot &\cdots &\cdot \\\vdots &{\mbox{MDS}}&\vdots \\\cdot &\cdots &\cdot \end{pmatrix}}\cdot {\begin{pmatrix}y\_{0}\\y\_{1}\\y\_{2}\\y\_{3}\end{pmatrix}}}
כאשר {\displaystyle s\_{i}} היא תיבת החלפה ו-{\displaystyle Z} הוא התוצאה של {\displaystyle g}. לצורך המרה בין אלמנטים בשדה {\displaystyle F\_{2^{8}}} לבין בתי הקלט משתמשים בפולינום הפרימיטיבי {\displaystyle v(x)=x^{8}+x^{6}+x^{5}+x^{3}+1} ממעלה 8. האלמנט {\displaystyle a=\textstyle \sum \_{i=0}^{7}a\_{i}x^{i}} כאשר מקדמיו בינאריים, מתאים לבית {\displaystyle \textstyle \sum \_{i=0}^{7}a\_{i}2^{i}}. זהו מיפוי טבעי במובן שפעולות חיבור הן בעצם XOR בלבד.

לצורך יעילות ביישום הן בתוכנה והן בחומרה מיישמים את הכפל במטריצה באמצעות סדרת פעולות XOR ו-Shift תוך שימוש בטכניקה שנקראת LFSR, כדלהלן:

{\displaystyle z\_{0}=y\_{0}\ \ \oplus \ \ (y\_{1}\ \ \oplus \ \ {\mbox{L1}}(y\_{1})\ \ \oplus \ \ {\mbox{L2}}(y\_{1}))\ \ \oplus \ \ ((y\_{2}\ \ \oplus \ \ {\mbox{L2}}(y\_{2}))\ \ \oplus \ \ ((y\_{3}\ \ \oplus \ \ {\mbox{L2}}(y\_{3}))}
{\displaystyle z\_{1}=(y\_{0}\ \ \oplus \ \ {\mbox{L2}}(y\_{0}))\ \ \oplus \ \ (y\_{1}\ \ \oplus \ \ {\mbox{L1}}(y\_{1})\ \ \oplus \ \ {\mbox{L2}}(y\_{1}))\ \ \oplus \ \ (y\_{2}\ \ \oplus \ \ {\mbox{L1}}(y\_{2})\ \ \oplus \ \ {\mbox{L2}}(y\_{2}))\ \ \oplus \ \ y\_{3}}
{\displaystyle z\_{2}=(y\_{0}\ \ \oplus \ \ {\mbox{L1}}(y\_{0})\ \ \oplus \ \ {\mbox{L2}}(y\_{0}))\ \ \oplus \ \ ((y\_{1}\ \ \oplus \ \ {\mbox{L2}}(y\_{1}))\ \ \oplus \ \ y\_{2}\ \ \oplus \ \ (y\_{3}\ \ \oplus \ \ {\mbox{L1}}(y\_{3})\ \ \oplus \ \ {\mbox{L2}}(y\_{3}))}
{\displaystyle z\_{3}=(y\_{0}\ \ \oplus \ \ {\mbox{L1}}(y\_{0})\ \ \oplus \ \ {\mbox{L2}}(y\_{1}))\ \ \oplus \ \ y\_{1}\ \ \oplus \ \ (y\_{2}\ \ \oplus \ \ {\mbox{L1}}(y\_{2})\ \ \oplus \ \ {\mbox{L2}}(y\_{2}))\ \ \oplus \ \ ((y\_{3}\ \ \oplus \ \ {\mbox{L2}}(y\_{3}))}

והפונקציות L1, L2 הן אוגרי זיזה (LFSR) הראשון מבוסס על הסיבית הראשונה והשני על הסיביות הראשונה והשנייה והן מוגדרות כך:

{\displaystyle {\mbox{L1}}(x)=(x\gg 1)\ \ \oplus \ \ (x\ \ {\mbox{AND}}\ \ {\mbox{0x01}}\ \ ?\ \ {\mbox{0xB4}}\ \ :\ \ 0)}
{\displaystyle {\mbox{L2}}(x)=(x\gg 2)\ \ \oplus \ \ (x\ \ {\mbox{AND}}\ \ {\mbox{0x02}}\ \ ?\ \ {\mbox{0xB4}}\ \ :\ \ 0)\ \ \oplus \ \ (x\ \ {\mbox{AND}}\ \ {\mbox{0x01}}\ \ ?\ \ {\mbox{0x5A}}\ \ :\ \ 0)}
 (הסימן {\displaystyle \gg } מייצג הזזה לימין והסימן AND שנקרא וגם בודק האם הסיבית המתאימה דולקת, 0x02 היא סיבית LSB השנייה). התוצאה היא המרה של ערכי {\displaystyle z\_{i}} למילה בגודל 32 סיביות בסדר בתים קטן לפי הנוסחה {\displaystyle \textstyle Z=\sum \_{i=0}^{3}z\_{i}\cdot 2^{8i}} (במעבד עם סדר בתים קטן, התוצאה מתקבלת במבנה הרצוי ואין צורך בהמרה כלשהי).

הרחבת מפתח
----------

המפתח המורחב מכיל מערך של 40 מילים {\displaystyle K\_{0},...K\_{39}} וארבע תיבות החלפה מהפונקציה {\displaystyle g}. המפתח כאמור יכול להיות {\displaystyle N=128}, {\displaystyle N=192} או {\displaystyle N=256} סיביות. לצורך הכנת המפתח המורחב יהי {\displaystyle k=N/64}, מכינים מהמפתח מערך {\displaystyle M} בגודל {\displaystyle 8k} בתים {\displaystyle m\_{0},...m\_{8k-1}} (מרפדים באפסים אם נדרש), ממירים ל-{\displaystyle 2k} מילים בגודל 32 סיביות לפי סדר בתים little-endian. ואז ממירים את {\displaystyle M} לשני וקטורים (זוגי ואי זוגי) כלומר {\displaystyle M\_{e}=(M\_{0},M\_{2},...M\_{2k-2})} וכן {\displaystyle M\_{o}=(M\_{1},M\_{3},...M\_{2k-1})}. וקטור נוסף בגודל {\displaystyle k} מיוצר מהמפתח בקבוצות של 8 סיביות, אותם מפרשים כווקטור מעל {\displaystyle F\_{2^{8}}} ומכפילים במטריצה 4x8 של קוד RS (ריד-סולומון) כמתואר בתרשים להלן. פעולת הכפל במטריצה נראית כך:

{\displaystyle {\text{RS}}={\begin{pmatrix}{\text{01 A4 55 87 5A 58 DB 9E}}\\{\text{A4 56 82 F3 1E C6 68 E5}}\\{\text{02 A1 FC C1 47 AE 3D 19}}\\{\text{A4 55 87 5A 58 DB 9E 03}}\end{pmatrix}}}

{\displaystyle {\begin{pmatrix}s\_{i,0}\\s\_{i,1}\\s\_{i,2}\\s\_{i,3}\end{pmatrix}}={\begin{pmatrix}\cdot &\cdots &\cdot \\\vdots &{\mbox{RS}}&\vdots \\\cdot &\cdots &\cdot \end{pmatrix}}\cdot {\begin{pmatrix}m\_{8i}\\m\_{8i+1}\\m\_{8i+2}\\m\_{8i+3}\\m\_{8i+4}\\m\_{8i+5}\\m\_{8i+6}\\m\_{8i+7}\end{pmatrix}}}
ואז מחשבים עבור {\displaystyle i=0,...k-1} בסדר הפוך {\displaystyle S=(S\_{k-1},S\_{k-2},...S\_{0})}:

{\displaystyle S\_{i}=\sum \_{j=0}^{3}s\_{i,j}\cdot 2^{8j}}
להכפלה במטריצה בשיטת ריד-סולומון, משתמשים בפולינום פרימיטיבי {\displaystyle w(x)=x^{8}+x^{6}+x^{3}+x^{2}+1}.

שלושת הווקטורים {\displaystyle M\_{e},M\_{o},S} הם הבסיס לתהליך הרחבת המפתח.

### פונקציה h

הפונקציה המשמשת להרחבת המפתח מקבלת פרמטר {\displaystyle X} בגודל 32 סיביות ורשימה {\displaystyle L=(L\_{0},...L\_{k-1})} של מילות 32 סיביות באורך {\displaystyle k} ומפיקה מילה אחת. הפונקציה פועלת באופן איטרטיבי {\displaystyle k} שלבים, בכל שלב 4 בתים עוברים בתיבות החלפה קבועות ומחוברים ב-XOR עם בתים מהרשימה {\displaystyle L} ולסיום מועברים שוב בתיבות ההחלפה ומוכפלים במטריצת MDS. כדלהלן:
תחילה מפצלים לבתים כאשר {\displaystyle i=0,...k-1} ו-{\displaystyle j=0,...3}:

{\displaystyle l\_{u,j}=\left\lfloor L\_{i}/2^{8j}\right\rfloor {\mbox{ mod }}2^{8}}
{\displaystyle x\_{j}=\left\lfloor X/2^{8j}\right\rfloor {\mbox{ mod }}2^{8}}
בשלב החלפה ו-XOR תחילה מציבים {\displaystyle y\_{k,j}=x\_{j}} כאשר {\displaystyle j=0,...3} ואז מחשבים לפי ערך {\displaystyle k}:

| {\displaystyle k=4} | {\displaystyle k\geq 3} | In all cases |
| --- | --- | --- |
| {\displaystyle y\_{3,0}=q\_{1}[y\_{4,0}]\oplus l\_{3,0}} | {\displaystyle y\_{2,0}=q\_{1}[y\_{3,0}]\oplus l\_{2,0}} | {\displaystyle y\_{0}=q\_{1}[q\_{0}[q\_{0}[y\_{2,0}]\oplus l\_{1,0}]\oplus l\_{0,0}]} |
| {\displaystyle y\_{3,1}=q\_{0}[y\_{4,1}]\oplus l\_{3,1}} | {\displaystyle y\_{2,1}=q\_{1}[y\_{3,1}]\oplus l\_{2,1}} | {\displaystyle y\_{1}=q\_{0}[q\_{0}[q\_{1}[y\_{2,1}]\oplus l\_{1,1}]\oplus l\_{0,1}]} |
| {\displaystyle y\_{3,2}=q\_{0}[y\_{4,2}]\oplus l\_{3,2}} | {\displaystyle y\_{2,2}=q\_{0}[y\_{3,2}]\oplus l\_{2,2}} | {\displaystyle y\_{2}=q\_{1}[q\_{1}[q\_{0}[y\_{2,2}]\oplus l\_{1,2}]\oplus l\_{0,2}]} |
| {\displaystyle y\_{3,3}=q\_{1}[y\_{4,3}]\oplus l\_{3,3}} | {\displaystyle y\_{2,3}=q\_{0}[y\_{3,3}]\oplus l\_{2,3}} | {\displaystyle y\_{3}=q\_{0}[q\_{1}[q\_{1}[y\_{2,3}]\oplus l\_{1,3}]\oplus l\_{0,3}]} |

כאשר {\displaystyle q\_{0},q\_{1}} הן תמורות קבועות של ערכים בגודל 8 סיביות המוגדרות להלן.
הווקטור {\displaystyle y\_{i}} מוכפל במטריצת MDS כמו בפונקציה {\displaystyle g} לעיל:

{\displaystyle {\begin{pmatrix}z\_{0}\\z\_{1}\\z\_{2}\\z\_{3}\end{pmatrix}}={\begin{pmatrix}\cdot &\cdots &\cdot \\\vdots &{\mbox{MDS}}&\vdots \\\cdot &\cdots &\cdot \end{pmatrix}}\cdot {\begin{pmatrix}y\_{0}\\y\_{1}\\y\_{2}\\y\_{3}\end{pmatrix}}}
{\displaystyle Z=\sum \_{i=0}^{3}z\_{i}\cdot 2^{8i}}
### תיבות החלפה S-box

כאמור תיבות ההחלפה תלויות במפתח, ליתר דיוק בווקטור {\displaystyle S} שהוכן מהמפתח לעיל. דהיינו ארבע התיבות מחושבות מתוך {\displaystyle x\_{i},y\_{i}} עבור {\displaystyle i=0,...3} בפונקציה {\displaystyle h} כאשר הרשימה {\displaystyle L} היא {\displaystyle S} בתמציתיות: {\displaystyle g(X)=h(X,S)}.

### המפתח המורחב K

עם השלמת הגדרת הפונקציה {\displaystyle h}, אפשר להשלים את תהליך הרחבת המפתח כדלהלן:

{\displaystyle \rho =2^{24}+2^{16}+2^{8}+1}
{\displaystyle A\_{i}=h(2i\rho ,M\_{e})}
{\displaystyle B\_{i}={\mbox{ROL}}(h((2i+1)\rho ,M\_{o}),8)}
{\displaystyle K\_{2i}=(A\_{i}+B\_{i}){\mbox{ mod }}2^{32}}
{\displaystyle K\_{2i+1}={\mbox{ROL}}((A\_{i}+2B\_{i}){\mbox{ mod }}2^{32},9)}

הקבוע {\displaystyle \rho } משמש כאן להכפלת בתים, התכונה שלו היא שהמילה {\displaystyle i\rho } מורכבת מארבעה בתים שווים בערכם ל-{\displaystyle i}. שימו לב שנעשה שימוש בהזזה מעגלית, בווקטורים {\displaystyle M\_{e},M\_{o}} ובפונקציית PHT. התמורות הקבועות {\displaystyle q\_{0}} ו-{\displaystyle q\_{1}} מחושבות מתוך 4 תמורות שונות, עבור קלט {\displaystyle x} מחשבים את הפלט {\displaystyle y} על ידי:

{\displaystyle a\_{0},b\_{0}=\left\lfloor x/16\right\rfloor ,x{\mbox{ mod }}16}
{\displaystyle a\_{1}=a\_{0}\oplus b\_{0}}
{\displaystyle b\_{1}=a\_{0}\oplus {\mbox{ROR}}\_{4}(b\_{0},1)\oplus 8a\_{0}{\mbox{ mod }}16}
{\displaystyle a\_{2},b\_{2}=t\_{0}[a\_{1}],t\_{1}[b\_{1}]}
{\displaystyle a\_{3}=a\_{2}\oplus b\_{2}}
{\displaystyle b\_{3}=a\_{2}\oplus {\mbox{ROR}}\_{4}(b\_{2},1)\oplus 8a\_{2}{\mbox{ mod }}16}
{\displaystyle a\_{4},b\_{4}=t\_{2}[a\_{3}],t\_{3}[b\_{3}]}
{\displaystyle y=16b\_{4}+a\_{4}}

תחילה מפצלים את הבית לשני ניבלים, שעוברים שלב ערבוב עם פונקציה חד-חד-ערכית ועל, כל ניבל עובר בנוסף בתיבת החלפה של 4 סיביות קבועה משלו ואז מאחדים את הניבלים. תיבות ההחלפה 4-סיביות הן:

| {\displaystyle q\_{0}} | {\displaystyle q\_{1}} |
| --- | --- |
| {\displaystyle t\_{0}=[{\mbox{817D6F320B59ECA4}}]} | {\displaystyle t\_{0}=[{\mbox{28BDF76E31940AC5}}]} |
| {\displaystyle t\_{1}=[{\mbox{ECB81235F4A6709D}}]} | {\displaystyle t\_{1}=[{\mbox{1E2B4C376DA5F908}}]} |
| {\displaystyle t\_{2}=[{\mbox{BA5E6D90C8F32471}}]} | {\displaystyle t\_{2}=[{\mbox{4C75169A0ED82B3F}}]} |
| {\displaystyle t\_{3}=[{\mbox{D7F4126E9B3085CA}}]} | {\displaystyle t\_{3}=[{\mbox{B951C3DE647F208A}}]} |

### פענוח

צופן Twofish משתמש בתהליך הכנה מעט שונה עבור פענוח. השוני הוא בסדר ההפוך של המפתח המורחב {\displaystyle K}. כמובן שבגרסאות הממוטבות ביישום האלגוריתם בפועל, נמנעים בדרך כלל מפעולות אריתמטיות מסובכות, אותם מחליפים בטבלאות החלפה פשוטות בהם הערכים קודדו מראש בהתאם. ובמקרה של יישום בחומרה מוגבלת כמו כרטיס חכם, מפרקים פעולות לפקודות בסיסיות ביותר כמו Shift ו-XOR, לעיתים על חשבון יעילות.

ראו גם
------

* AES
* Threefish

קישורים חיצוניים
----------------

* ברוס שנייר, Twofish, Schneier on Security

| קריפטוגרפיה |
| --- |
| 

| מושגי יסוד |
| --- |
| פנקס חד-פעמי • צופן בלוקים • צופן בלוקים בר התאמה • צופן זרם • סודיות מושלמת • ביטחון סמנטי • הצפנה סימטרית • הצפנה אסימטרית • חתימה דיגיטלית • הצפנה הומומורפית • הצפנה מרובה • הצפנה מאומתת • הצפנה הסתברותית • סכמת ריפוד אסימטרית אופטימלית • אריזת מפתח הצפנה • סודיות מושלמת קדימה |

 |
| 

| הצפנה קלאסית |
| --- |
| מכונת הצפנה • צופן החלפה • צופן אתב"ש • צופן קיסר • צופן ויז'נר • צופן ורנם • צופן פלייפייר • צופן היל • אולטרה • אניגמה • ציקלומטר • קולוסוס • PURPLE • ג'ייד • מג'יק • צופן שחלוף |

 |
| 

| צופן בלוקים |
| --- |
| לוציפר • AES • 3DES • DES • Threefish • Twofish • Blowfish • FEAL • SEED • CAST • IDEA • RC2 • RC6 • MARS • RC5 • GOST • סרפנט • MISTY • KASUMI • קמליה • ARIA • SAFER • TEA • LEA • CLEFIA • SEA • Hummingbird • PRESENT • KATAN • KeeLoq • Simon & Speck • אנוביס |

 |
| 

| אופני הפעלה |
| --- |
| אופן הפעלה של צופן בלוקים • EAX • OCB • IAPM • CWC mode • GCM • CCM |

 |
| 

| צופן זרם |
| --- |
| RC4 • Salsa20 • SOSEMANUK • גריין • E0 • A5/1 • A5/2 • A5/3 • A5/4 • MICKEY • HC-128 • SNOW • Trivium • Rabbit • ZUC • ChaCha |

 |
| 

| הצפנה אסימטרית |
| --- |
| פרוטוקול דיפי-הלמן • חידות מרקל • חתימת למפורט • הצפנת תרמיל • RSA • הצפנת רבין • חתימה דיגיטלית רבין • צופן אל-גמאל • חתימה דיגיטלית אל-גמאל • DSA • הצפנת בלום-גולדווסר • ECC • הצפנת קריימר-שופ • הצפנת פאיי • הצפנת מקאליס • GGH • NTRU • עקום 25519 • חתימה דיגיטלית של שנור • הצפנת אוקמוטו-אושיאמה |

 |
| 

| פרוטוקולים |
| --- |
| עץ מרקל • פרוטוקול אתגר-מענה • פרוטוקול נידהאם-שרודר • פרוטוקול קרברוס • הוכחה באפס ידע • פרוטוקול פייגה-פיאט-שמיר • העברה עלומה • חלוקת סוד • TLS (SSL) • Secure Shell • MQV • X.509 • פרוטוקול שיתוף מפתח
• מיסור שלא לפרסום • פרוטוקול סיגנל |

 |
| 

| פרימיטיבים תאורטיים |
| --- |
| מחולל פסבדו-אקראי קריפטוגרפי • פונקציה חד-כיוונית • תמורה חד-כיוונית • סיבית קשה • פונקציה פסבדו-אקראית קריפטוגרפית • תמורה פסאודו-אקראית • פונקציית גיבוב קריפטוגרפית • וקטור אתחול • פונקציית ספוג • הצפנה מבוססת סריג |

 |
| 

| קריפטואנליזה |
| --- |
| ניתוח תדירויות • כוח גס • התקפת איזון זמן/זיכרון • תקיפת היפגשות באמצע • קריפטואנליזה ליניארית • קריפטואנליזה דיפרנציאלית • התקפת גלוי-ידוע • התקפת גלוי-נבחר • התקפת מוצפן-נבחר • פירוק לגורמים של מספר שלם • התקפת ערוץ צדדי • התקפת קורלציה • התקפת שיבוש • מודל אורקל אקראי • התקפת התנגשויות |

 |
| 

| בעיות מתמטיות ואלגוריתמים |
| --- |
| בעיית לוגריתם דיסקרטי • תחשיב אינדקסים • נפה ריבועית • אלגוריתם rho של פולרד • נפת שדה מספרים • אלגוריתם רו של פולרד ללוגריתמים • אלגוריתם פוליג-הלמן |

 |
| 

| פונקציות גיבוב קריפטוגרפיות |
| --- |
| SHA • MD5 • MD4 • SHA-1 • SHA-2 • SHA-3 • RIPEMD • Skein • BLAKE • Grøstl • SipHash |

 |
| 

| אימות וזיהוי |
| --- |
| אימות זהות • סיסמה • קוד אימות מסרים • Poly1305 • סיסמה חד-פעמית |

 |
| 

| נושאים נלווים |
| --- |
| מספר אקראי • מספר ראשוני • יתירות • מפתח שיחה • סטגנוגרפיה • הצפנה קוונטית • הצפנה פוסט-קוונטית • עקרון קרקהופס • אבטחת מידע • קריפטוגרפיה ויזואלית • אליס ובוב • מסיבת חתימה על מפתחות ציבוריים • שידור מוצפן • הצפנת דיסקים • הצפנת סף • חתימה דיגיטלית מבוססת פונקציית גיבוב • פונקציה זניחה • רשת פייסטל • רשת החלפה-תמורה • הלבנה • אימות מסרים • חתימה עיוורת • חישוב רב משתתפים בטוח |

 |