**Threefish** הוא צופן בלוקים בר התאמה (tweakable block cipher) שפותח ב-2008 כחלק מפונקציית הגיבוב Skein שהוצעה לתחרות הגיבוב של NIST. הצופן מגיע בשלוש גרסאות לפי גודל בלוק; 256, 512 או 1024 סיביות ואורכו של מפתח ההצפנה כאורך הבלוק. הוא כולל tweak שהוא מעין וקטור אתחול בגודל 128 סיביות.

ליבת צופן Threefish הנקראת MIX, בנויה בסגנון ARX המורכבת משלוש פעולות בסיסיות, חיבור מודולו {\displaystyle 2^{64}}, XOR והזזה מעגלית בהיסטים קבועים. הקונספט הוא פעולות פשוטות עם יותר סבבים, בניגוד לצפנים אחרים בהם הפעולות מורכבות יותר אך עם פחות סבבים. כל הפעולות הן על מילים בגודל 64 סיביות. כאשר בצופן Threefish-256 ו-Threefish-512 הליבה מופעלת 72 פעמים בתשעה סבבים (שמונה פעמים לסבב) ואילו ב-Threefhish-1024 הליבה מופעלת 80 פעם בעשרה סבבים. בכל סבב מופעלת הפונקציה MIX שמונה פעמים, בנוסף מבוצעת תמורה של כל מילות הזיכרון הפנימי על ידי הזזה מעגלית לפי היסטים קבועים להשגת אפקט פיזור גבוה וכן אחת לארבעה סבבים מוסיפים חלק מהמפתח. בשל פשטותו הרבה הצופן מהיר מאוד ויכול להגיע לקצב של 6.5 cpb (על מחשב 64 ביט).

תיאור ארבעה סבבים מתוך 72 הסבבים של Threefish-512 הכוללים שילוב של הפונקציה MIX, התמורה \pi ושילוב מפתח ההצפנה אחת לארבעה סבבים
Threefish פותח על ידי Mihir Bellare, Jesse Walker, Jon Callas, Doug Whiting, Stefan Lucks, Niels Ferguson, Bruce Schneier, Tadayoshi Kohno והוא אינו רשום כפטנט, קוד המקור אינו מוגן בזכויות יוצרים והוא חופשי לשימוש לכל מטרה.

תיאור הצופן
-----------

הפונקציה MIX
כל פעולות הצופן הן על מילים בגודל 64 סיביות המייצגות מספרים שלמים חיוביים (לא מסומנים) בטווח {\displaystyle [0..2^{64}-1]}. אם הקלט הוא מערך בתים יש להמירו למילים בגודל 64 סיביות בשיטת סדר בתים קטן (להלן). דהיינו הבית הפחות משמעותי מאוחסן בכתובת הראשונה בזיכרון.

פונקציית ההצפנה {\displaystyle E(K,T,P)} מקבלת את הארגומנטים הבאים:

* **K**. מפתח הצפנה סודי המסופק על ידי המשתמש שהוא מחרוזת באורך {\displaystyle N\_{w}} מילים כאשר {\displaystyle N\_{w}\in \{32,64,128\}}.
* **T**. ערך ייחודי שנקרא Tweak באורך 16 בתים.
* **P**. טקסט גלוי באורך זהה למפתח.

את מפתח ההצפנה הסודי וה-tweak מאריכים תחילה במילה נוספת שנקראת זוגיות (parity) שהיא תוצאת XOR של כל מילות המפתח וה-tweak בהתאמה ומחלקים לתת-מפתחות עבור כל הסבבים. כל תת-מפתח הוא שילוב של כל מילות המפתח המורחב למעט אחת, שתים מתוך שלוש מילות tweak ומספר סידורי של תת-המפתח (כמתואר בתרשים הכנת המפתח). כל תהליך הכנת המפתח ניתן לביצוע במספר מחזורי שעון מועט. עובדה קריטית אם הצופן אמור להיות חלק מפונקציית גיבוב. כאשר מגבבים כמות גדולה של בלוקים, כל בלוק צריך להיות מוצפן בנפרד (עם מפתח שונה), על כן תהליך הכנה ארוך עבור כל הצפנה אינו יעיל.

המפתח K מיוצג כמערך מילים: {\displaystyle k\_{0},k\_{1},...k\_{N\_{w}-1}} באורך {\displaystyle N\_{w}} ומילה נוספת לזוגיות, ה-tweak מוצג כשתי מילים: {\displaystyle t\_{0},t\_{1}} ומילה נוספת לזוגיות וטקסט המקור P הוא מערך המילים {\displaystyle p\_{0},p\_{1},...p\_{N\_{w}-1}}. מספר הסבבים {\displaystyle N\_{r}} הוא פונקציה של גודל הבלוק כמוצג בטבלה.


| גודל בלוק/מפתח | מספר המילים | מספר פעמים שהפונקציה MIX מופעלת | מספר סבבים |
| --- | --- | --- | --- |
| 256 | 4 | 72 | 8 |
| 512 | 8 | 72 | 8 |
| 1024 | 16 | 80 | 10 |

הפונקציה להוספת המפתח מקבלת מערך של {\displaystyle N\_{r}/4+1} תת-מפתחות, כל אחד בגודל {\displaystyle N\_{w}} מילים. את המילים המתאימות לסבב s מסמנים {\displaystyle k\_{s,0},k\_{s,1},...k\_{s,N\_{w}-1}}. השילוב נעשה באופן הבא; יהי v מערך עזר של תוצאת הביניים, הביטוי {\displaystyle v\_{d,i}} הוא המילה ה-i לאחר d סבבים.

תחילה טוענים את {\displaystyle N\_{w}} הבתים של המסר כך:

{\displaystyle {\text{For }}i=0{\text{ to }}N\_{w}-1{\text{ do}}}
{\displaystyle v\_{0,i}=p\_{i}}

לאחר מכן מבוצעים {\displaystyle N\_{r}-1} סבבים כשבכל אחד מהם מוסיפים תת-מפתח רק אם {\displaystyle d{\text{ mod }}4=0} (אחת לארבעה סבבים) לסיכום:

{\displaystyle e\_{d,i}={\begin{cases}(v\_{d,i}+k\_{d/4,i}){\text{ mod }}2^{64},&{\mbox{if }}d{\text{ mod }}4=0\\v\_{d,i},&{\mbox{ otherwise }}\end{cases}}}

את הערבוב MIX והתמורה \pi (בטבלה הבאה) מבצעים לסירוגין כדלהלן:

{\displaystyle {\text{For }}j=0{\text{ to }}N\_{w}/2-1{\text{ do}}}
{\displaystyle (f\_{d,2j},f\_{d,2j+1})\leftarrow {\text{MIX}}\_{d,j}(e\_{d,2j},e\_{d,2j+1})}
{\displaystyle {\text{For }}i=0{\text{ to }}N\_{w}-1{\text{ do}}}
{\displaystyle v\_{d+1,i}=f\_{d,\pi (i)}}

והטקסט המוצפן מתקבל על ידי:

{\displaystyle {\text{For }}i=0{\text{ to }}N\_{w}-1{\text{ do}}}
{\displaystyle c\_{i}=(v\_{N\_{r},i}+k\_{N\_{r}/4,i}){\text{ mod }}2^{64}}

### טבלת תמורות \pi

להלן טבלת התמורות המייצגת את הסידור מחדש של מילות הקלט לפי גודל הצופן. לדוגמה במקרה של Threefish-256 ישנן ארבע מילים ולכן התמורות הן לפי השורה הראשונה, לכן {\displaystyle v\_{5,3}=f\_{4,\pi (3)}} פירושו שהמילה הראשונה מהסבב הרביעי תהיה שלישית בסבב החמישי.

| **טבלת תמורות {\displaystyle {\boldsymbol {\pi (i)}}}** |
| --- |
| i | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 | 8 | 9 | 10 | 11 | 12 | 13 | 14 | 15 |
| {\displaystyle N\_{w}=4} | 0 | 3 | 2 | 1 |  |  |  |  |  |  |  |  |  |  |  |  |
| {\displaystyle N\_{w}=8} | 2 | 1 | 4 | 7 | 6 | 5 | 0 | 3 |  |  |  |  |  |  |  |  |
| {\displaystyle N\_{w}=16} | 0 | 9 | 2 | 13 | 6 | 11 | 4 | 15 | 10 | 7 | 12 | 3 | 14 | 5 | 8 | 1 |

### הפונקציה MIX

הפונקציה {\displaystyle {\text{MIX}}\_{d,j}} מקבלת שתי מילות קלט {\displaystyle (x\_{0},x\_{1})} ומייצרת שתי מילות פלט {\displaystyle (y\_{0},y\_{1})} לפי הנוסחה הבאה:

{\displaystyle y\_{0}=(x\_{0}+x\_{1}){\text{ mod }}2^{64}}
{\displaystyle y\_{1}=(x\_{1}\lll R\_{(d{\text{ mod }}8),j})\oplus y\_{0}}
הסימן {\displaystyle \lll } מייצג אופרטור הזזה מעגלית לשמאל. הקבועים {\displaystyle R\_{d,j}} הם לפי טבלת ההיסטים הבאה. חלק מהקבועים שונו בגרסה 2 של הצופן.

| טבלת ההיסטים |
| --- |
| {\displaystyle N\_{w}} | 4 | 8 | 16 |
| *j* | 0 | 1 | 0 | 1 | 2 | 3 | 0 | 1 | 2 | 3 | 4 | 5 | 6 | 7 |
| 0 | 14 | 16 | 46 | 36 | 19 | 37 | 24 | 13 | 8 | 47 | 8 | 17 | 22 | 37 |
| 1 | 52 | 57 | 33 | 27 | 14 | 42 | 38 | 19 | 10 | 55 | 49 | 18 | 23 | 52 |
| 2 | 23 | 40 | 17 | 49 | 36 | 39 | 33 | 4 | 51 | 13 | 34 | 41 | 59 | 17 |
| d=3 | 5 | 37 | 44 | 9 | 54 | 56 | 5 | 20 | 48 | 41 | 47 | 28 | 16 | 25 |
| 4 | 25 | 33 | 39 | 30 | 34 | 24 | 41 | 9 | 37 | 31 | 12 | 47 | 44 | 30 |
| 5 | 46 | 12 | 13 | 50 | 10 | 17 | 16 | 34 | 56 | 51 | 4 | 53 | 42 | 41 |
| 6 | 58 | 22 | 25 | 29 | 39 | 43 | 31 | 44 | 47 | 46 | 19 | 42 | 44 | 25 |
| 7 | 32 | 32 | 8 | 35 | 56 | 22 | 9 | 48 | 35 | 52 | 23 | 31 | 37 | 20 |

### פרוצדורת הרחבת מפתח

פרוצדורת הכנת תת-מפתחות של Threefish
תחילה מוסיפים שתי מילים.

{\displaystyle k\_{N\_{w}}=C\_{240}\oplus \bigoplus \_{i=0}^{N\_{w}-1}k\_{i}}
וכן {\displaystyle t\_{2}=t\_{0}\oplus t\_{1}}.
כלומר מילת מפתח נוספת שהיא XOR של כל מילות המפתח וכן מילה נוספת שהיא XOR של שתי המילים של ה-tweak. הקבוע {\displaystyle C\_{240}={\text{0x1BD11BDAA9FC1A22}}} מבטיח שהמפתח המורחב לא יהיה כולו או כמעט כולו אפס. הקבוע הזה נוצר על ידי הצפנה של המספר "240" עם צופן AES כאשר המפתח כולו אפס. הוספת ה-tweak היא כדלהלן:

{\displaystyle k\_{s,i}={\begin{cases}k\_{(s+i){\text{ mod }}(N\_{w}+1)},&{\text{for }}i=0,...N\_{w}-4\\k\_{(s+i){\text{ mod }}(N\_{w}+1)}+t\_{s{\text{ mod }}3},&{\text{for }}i=N\_{w}-3\\k\_{(s+i){\text{ mod }}(N\_{w}+1)}+t\_{(s+1){\text{ mod }}3},&{\text{for }}i=N\_{w}-2\\k\_{(s+i){\text{ mod }}(N\_{w}+1)}+s,&{\text{for }}i=N\_{w}-1\end{cases}}}
כל פעולות החיבור הן מודולו {\displaystyle 2^{64}}.

פענוח
-----

הפענוח מתבצע בדרך ההפוכה, עם תת-מפתחות בסדר הפוך, תמורה הופכית ופונקציית MIX הפוכה. להלן קוד לדוגמה. יש לציין שאם הצופן מהווה חלק מפונקציית גיבוב אין צורך בפונקציית פענוח כלל.

פסאודו-קוד
----------

הקוד הבא מתאר הצפנה ופענוח עם Threefish-512. פונקציית הכנת המפתח מקבלת מערך K באורך 9 מילים ו-tweak באורך 3 מילים ומוסיפה את מילות הזוגיות (parity). תחילה מציבים את המפתח הסודי של המשתמש ב-8 הכניסות הראשונות של המערך K ואת שתי מילות ה-tweak בשתי הכניסות הראשונות של T ומבצעים כדלהלן.

### הכנת מפתח

{\displaystyle \mathbf {Threefish.KeySetup} (K)}
\{
{\displaystyle K[8]=K[0]\ \oplus \ K[1]\ \oplus \ K[2]\ \oplus \ K[3]\ \oplus \ K[4]\ \oplus \ K[5]\ \oplus \ K[6]\ \oplus \ K[7]\ \oplus \ C\_{240}}
{\displaystyle T[2]=T[0]\ \oplus \ T[1]}
{\displaystyle \}}

### הצפנה

פונקציית ההצפנה מקבלת מערך P באורך 8 מילים, tweak המסומן ב-T באורך 3 מילים ומפתח סודי K באורך 9 מילים ומחזירה מערך C באורך 8 מילים. הקוד הבא לקוח מקוד היישום שהומלץ לתקן על ידי המפתחים ממנו הוסרו קטעי קוד לא חשובים למען הפשטות. הקוד מתוכנן בשיטת פרישת לולאות (loop unrolling) חלקית, פרישת לולאות מקובלת בכתיבת קודים ממוטבים למעבדי 32 ו-64 סיביות. כאן מספר הלולאות צומצם ל-9 וכן בדוגמה זו ההנחה היא שההמרות הן לפי סדר בתים קטן, כלומר מחרוזת הבתים המייצגת את הטקסט המקורי מומרת לפי הנוסחה להלן ל-{\displaystyle P=P[0],P[1],...P[7]} שהוא מערך של 8 מספרים שלמים בגודל 64 סיביות מהקטן לגדול (המספר הראשון מאוחסן בכתובת {\displaystyle P[0]} וכן הלאה). באותה שיטה ממירים את הפרמטרים האחרים.

{\displaystyle \mathbf {Threefish.Encrypt} {\boldsymbol {(P,T,K)}}}

{\displaystyle {\text{For }}i=0{\text{ to }}7{\text{ do }}}
{\displaystyle \ \ \ \ C[i]=P[i]+K[i]}
{\displaystyle C[5]=C[5]+T[0]}
{\displaystyle C[6]=C[6]+T[1]}
‎
{\displaystyle {\text{For }}r=1{\text{ to }}9{\text{ do }}}
\{
{\displaystyle C[0]=C[0]+C[1],\ \ C[1]={\text{ROL}}(C[1],46),\ \ C[1]=C[1]\oplus C[0]}
{\displaystyle C[2]=C[2]+C[3],\ \ C[3]={\text{ROL}}(C[3],36),\ \ C[3]=C[3]\oplus C[2]}
{\displaystyle C[4]=C[4]+C[5],\ \ C[5]={\text{ROL}}(C[5],19),\ \ C[5]=C[5]\oplus C[4]}
{\displaystyle C[6]=C[6]+C[7],\ \ C[7]={\text{ROL}}(C[7],37),\ \ C[7]=C[7]\oplus C[6]}
‎
{\displaystyle C[2]=C[2]+C[1],\ \ C[1]={\text{ROL}}(C[1],33),\ \ C[1]=C[1]\oplus C[2]}
{\displaystyle C[4]=C[4]+C[7],\ \ C[7]={\text{ROL}}(C[7],27),\ \ C[7]=C[7]\oplus C[4]}
{\displaystyle C[6]=C[6]+C[5],\ \ C[5]={\text{ROL}}(C[5],14),\ \ C[5]=C[5]\oplus C[6]}
{\displaystyle C[0]=C[0]+C[3],\ \ C[3]={\text{ROL}}(C[3],42),\ \ C[3]=C[3]\oplus C[0]}
‎
{\displaystyle C[4]=C[4]+C[1],\ \ C[1]={\text{ROL}}(C[1],17),\ \ C[1]=C[1]\oplus C[4]}
{\displaystyle C[6]=C[6]+C[3],\ \ C[3]={\text{ROL}}(C[3],49),\ \ C[3]=C[3]\oplus C[6]}
{\displaystyle C[0]=C[0]+C[5],\ \ C[5]={\text{ROL}}(C[5],36),\ \ C[5]=C[5]\oplus C[0]}
{\displaystyle C[2]=C[2]+C[7],\ \ C[7]={\text{ROL}}(C[7],39),\ \ C[7]=C[7]\oplus C[2]}
‎
{\displaystyle C[6]=C[6]+C[1],\ \ C[1]={\text{ROL}}(C[1],44),\ \ C[1]=C[1]\oplus C[6]}
{\displaystyle C[0]=C[0]+C[7],\ \ C[7]={\text{ROL}}(C[7],9),\ \ C[7]=C[7]\oplus C[0]}
{\displaystyle C[2]=C[2]+C[5],\ \ C[5]={\text{ROL}}(C[5],54),\ \ C[5]=C[5]\oplus C[2]}
{\displaystyle C[4]=C[4]+C[3],\ \ C[3]={\text{ROL}}(C[3],56),\ \ C[3]=C[3]\oplus C[4]}
‎
{\displaystyle {\text{For }}i=0{\text{ to }}7{\text{ do }}C[i]=C[i]+K[((2\cdot r-1)+i){\text{ mod }}9]}
{\displaystyle C[5]=C[5]+T[(2\cdot r-1){\text{ mod }}3]}
{\displaystyle C[6]=C[6]+T[(2\cdot r){\text{ mod }}3]}
{\displaystyle C[7]=C[7]+(2\cdot r-1)}
‎
{\displaystyle C[0]=C[0]+C[1],\ \ C[1]={\text{ROL}}(C[1],39),\ \ C[1]=C[1]\oplus C[0]}
{\displaystyle C[2]=C[2]+C[3],\ \ C[3]={\text{ROL}}(C[3],30),\ \ C[3]=C[3]\oplus C[2]}
{\displaystyle C[4]=C[4]+C[5],\ \ C[5]={\text{ROL}}(C[5],34),\ \ C[5]=C[5]\oplus C[4]}
{\displaystyle C[6]=C[6]+C[7],\ \ C[7]={\text{ROL}}(C[7],24),\ \ C[7]=C[7]\oplus C[6]}
‎
{\displaystyle C[2]=C[2]+C[1],\ \ C[1]={\text{ROL}}(C[1],13),\ \ C[1]=C[1]\oplus C[2]}
{\displaystyle C[4]=C[4]+C[7],\ \ C[7]={\text{ROL}}(C[7],50),\ \ C[7]=C[7]\oplus C[4]}
{\displaystyle C[6]=C[6]+C[5],\ \ C[5]={\text{ROL}}(C[5],10),\ \ C[5]=C[5]\oplus C[6]}
{\displaystyle C[0]=C[0]+C[3],\ \ C[3]={\text{ROL}}(C[3],17),\ \ C[3]=C[3]\oplus C[0]}
‎
{\displaystyle C[4]=C[4]+C[1],\ \ C[1]={\text{ROL}}(C[1],25),\ \ C[1]=C[1]\oplus C[4]}
{\displaystyle C[6]=C[6]+C[3],\ \ C[3]={\text{ROL}}(C[3],29),\ \ C[3]=C[3]\oplus C[6]}
{\displaystyle C[0]=C[0]+C[5],\ \ C[5]={\text{ROL}}(C[5],39),\ \ C[5]=C[5]\oplus C[0]}
{\displaystyle C[2]=C[2]+C[7],\ \ C[7]={\text{ROL}}(C[7],43),\ \ C[7]=C[7]\oplus C[2]}
‎
{\displaystyle C[6]=C[6]+C[1],\ \ C[1]={\text{ROL}}(C[1],8),\ \ C[1]=C[1]\oplus C[6]}
{\displaystyle C[0]=C[0]+C[7],\ \ C[7]={\text{ROL}}(C[7],35),\ \ C[7]=C[7]\oplus C[0]}
{\displaystyle C[2]=C[2]+C[5],\ \ C[5]={\text{ROL}}(C[5],56),\ \ C[5]=C[5]\oplus C[2]}
{\displaystyle C[4]=C[4]+C[3],\ \ C[3]={\text{ROL}}(C[3],22),\ \ C[3]=C[3]\oplus C[4]}
‎
{\displaystyle {\text{For }}i=0{\text{ to }}7{\text{ do }}C[i]=C[i]+K[((2\cdot r)+i){\text{ mod }}9]}
{\displaystyle C[5]=C[5]+T[(2\cdot r){\text{ mod }}3]}
{\displaystyle C[6]=C[6]+T[((2\cdot r)+1){\text{ mod }}3]}
{\displaystyle C[7]=C[7]+(2\cdot r)}
{\displaystyle \}}
‎
{\displaystyle {\text{Return }}C}

### פונקציות עזר

כל פעולות החיבור הן כאמור מודולו {\displaystyle 2^{64}} כלומר נוטלים את 64 הסיביות הראשונות של התוצאה ומהיתר מתעלמים. התקן במעבדים רבים הוא שחיבור שלמים מתבצע באופן עקיף מודולו גבולות המילה, כלומר כל תוצאה שחורגת מהגודל שנכנס באוגר נחתכת ממילא, כך שאין צורך לנקוט בפעולה כלשהי. הפונקציה {\displaystyle {\text{ROR}}} היא הזזה מעגלית לימין והפונקציה {\displaystyle {\text{ROL}}} היא הזזה מעגלית לשמאל. אפשר ליישמן עם האופרטורים הרגילים; הזזה לשמאל "{\displaystyle \ll }", הזזה לימין "\gg" ואופרטור וגם "{\displaystyle \land }", למשל ב-64 סיביות זה ייראה כך:

{\displaystyle \mathbf {ROR} (X,N)=(X\gg (N\land 63))\ |\ (X\ll ((64-N)\land 63))}
{\displaystyle \mathbf {ROL} (X,N)=(X\ll (N\land 63))\ |\ (X\gg ((64-N)\land 63))}

המרת מערכי בתים למילים וההפך מתבצעת לפי סדר בתים קטן כך:

{\displaystyle \textstyle \mathbf {ToInt} (b\_{0},b\_{1},...b\_{n-1})=\sum \_{i=0}^{n-1}b\_{i}\cdot 256^{i}}
{\displaystyle \textstyle \mathbf {ToBytes} (v,n)=b\_{0},b\_{1},...b\_{n-1},{\text{ where }}b\_{i}=\left\lceil {\frac {v}{256^{i}}}\right\rceil {\text{ mod }}256}

### פונקציית פענוח

פונקציית הפענוח מבצעת את כל הפעולות למעט XOR שהיא הופכית של עצמה, בסדר הפוך; חיסור מודולו {\displaystyle 2^{64}} במקום חיבור, הזזה מעגלית לימין במקום לשמאל והוספת מפתח מהסוף להתחלה. הפונקציה מקבלת את המערך C באורך 8 מילים, וקטור אתחול T באורך 3 מילים ומפתח סודי K באורך 9 מילים ומחזירה את P באורך 8 מילים.

{\displaystyle \mathbf {Threefish.Decrypt} {\boldsymbol {(C,T,K)}}}

{\displaystyle {\text{For }}r=9{\text{ down to }}1{\text{ do }}}
\{
{\displaystyle C[7]=C[7]-(2\cdot r)}
{\displaystyle C[6]=C[6]-T[((2\cdot r)+1){\text{ mod }}3]}
{\displaystyle C[5]=C[5]-T[(2\cdot r){\text{ mod }}3]}
{\displaystyle {\text{For }}i=0{\text{ to }}7{\text{ do }}C[i]=C[i]-K[((2\cdot r)+i){\text{ mod }}9]}
‎
{\displaystyle C[3]=C[3]\oplus C[4],\ \ C[3]={\text{ROR}}(C[3],22),\ \ C[4]=C[4]-C[3]}
{\displaystyle C[5]=C[5]\oplus C[2],\ \ C[5]={\text{ROR}}(C[5],56),\ \ C[2]=C[2]-C[5]}
{\displaystyle C[7]=C[7]\oplus C[0],\ \ C[7]={\text{ROR}}(C[7],35),\ \ C[0]=C[0]-C[7]}
{\displaystyle C[1]=C[1]\oplus C[6],\ \ C[1]={\text{ROR}}(C[1],8),\ \ C[6]=C[6]-C[1]}
‎
{\displaystyle C[7]=C[7]\oplus C[2],\ \ C[7]={\text{ROR}}(C[7],43),\ \ C[2]=C[2]-C[7]}
{\displaystyle C[5]=C[5]\oplus C[0],\ \ C[5]={\text{ROR}}(C[5],39),\ \ C[0]=C[0]-C[5]}
{\displaystyle C[3]=C[3]\oplus C[6],\ \ C[3]={\text{ROR}}(C[3],29),\ \ C[6]=C[6]-C[3]}
{\displaystyle C[1]=C[1]\oplus C[4],\ \ C[1]={\text{ROR}}(C[1],25),\ \ C[4]=C[4]-C[1]}
‎
{\displaystyle C[3]=C[3]\oplus C[0],\ \ C[3]={\text{ROR}}(C[3],17),\ \ C[0]=C[0]-C[3]}
{\displaystyle C[5]=C[5]\oplus C[6],\ \ C[5]={\text{ROR}}(C[5],10),\ \ C[6]=C[6]-C[5]}
{\displaystyle C[7]=C[7]\oplus C[4],\ \ C[7]={\text{ROR}}(C[7],50),\ \ C[4]=C[4]-C[7]}
{\displaystyle C[1]=C[1]\oplus C[2],\ \ C[1]={\text{ROR}}(C[1],13),\ \ C[2]=C[2]-C[1]}
‎
{\displaystyle C[7]=C[7]\oplus C[6],\ \ C[7]={\text{ROR}}(C[7],24),\ \ C[6]=C[6]-C[7]}
{\displaystyle C[5]=C[5]\oplus C[4],\ \ C[5]={\text{ROR}}(C[5],34),\ \ C[4]=C[4]-C[5]}
{\displaystyle C[3]=C[3]\oplus C[2],\ \ C[3]={\text{ROR}}(C[3],30),\ \ C[2]=C[2]-C[3]}
{\displaystyle C[1]=C[1]\oplus C[0],\ \ C[1]={\text{ROR}}(C[1],39),\ \ C[0]=C[0]-C[1]}
‎
{\displaystyle C[7]=C[7]-(2\cdot r-1)}
{\displaystyle C[6]=C[6]-T[(2\cdot r){\text{ mod }}3]}
{\displaystyle C[5]=C[5]-T[(2\cdot r-1){\text{ mod }}3]}
{\displaystyle {\text{For }}i=0{\text{ to }}7{\text{ do }}C[i]=C[i]-K[((2\cdot r-1)+i){\text{ mod }}9]}
‎
{\displaystyle C[3]=C[3]\oplus C[4],\ \ C[3]={\text{ROR}}(C[3],56),\ \ C[4]=C[4]-C[3]}
{\displaystyle C[5]=C[5]\oplus C[2],\ \ C[5]={\text{ROR}}(C[5],54),\ \ C[2]=C[2]-C[5]}
{\displaystyle C[7]=C[7]\oplus C[0],\ \ C[7]={\text{ROR}}(C[7],9),\ \ C[0]=C[0]-C[7]}
{\displaystyle C[1]=C[1]\oplus C[6],\ \ C[1]={\text{ROR}}(C[1],44),\ \ C[6]=C[6]-C[1]}
‎
{\displaystyle C[7]=C[7]\oplus C[2],\ \ C[7]={\text{ROR}}(C[7],39),\ \ C[2]=C[2]-C[7]}
{\displaystyle C[5]=C[5]\oplus C[0],\ \ C[5]={\text{ROR}}(C[5],36),\ \ C[0]=C[0]-C[5]}
{\displaystyle C[3]=C[3]\oplus C[6],\ \ C[3]={\text{ROR}}(C[3],49),\ \ C[6]=C[6]-C[3]}
{\displaystyle C[1]=C[1]\oplus C[4],\ \ C[1]={\text{ROR}}(C[1],17),\ \ C[4]=C[4]-C[1]}
‎
{\displaystyle C[3]=C[3]\oplus C[0],\ \ C[3]={\text{ROR}}(C[3],42),\ \ C[0]=C[0]-C[3]}
{\displaystyle C[5]=C[5]\oplus C[6],\ \ C[5]={\text{ROR}}(C[5],14),\ \ C[6]=C[6]-C[5]}
{\displaystyle C[7]=C[7]\oplus C[4],\ \ C[7]={\text{ROR}}(C[7],27),\ \ C[4]=C[4]-C[7]}
{\displaystyle C[1]=C[1]\oplus C[2],\ \ C[1]={\text{ROR}}(C[1],33),\ \ C[2]=C[2]-C[1]}
‎
{\displaystyle C[7]=C[7]\oplus C[6],\ \ C[7]={\text{ROR}}(C[7],37),\ \ C[6]=C[6]-C[7]}
{\displaystyle C[5]=C[5]\oplus C[4],\ \ C[5]={\text{ROR}}(C[5],19),\ \ C[4]=C[4]-C[5]}
{\displaystyle C[3]=C[3]\oplus C[2],\ \ C[3]={\text{ROR}}(C[3],36),\ \ C[2]=C[2]-C[3]}
{\displaystyle C[1]=C[1]\oplus C[0],\ \ C[1]={\text{ROR}}(C[1],46),\ \ C[0]=C[0]-C[1]}
‎
{\displaystyle \}}
{\displaystyle C[6]=C[6]-T[1]}
{\displaystyle C[5]=C[5]-T[0]}
{\displaystyle {\text{For }}i=0{\text{ to }}7{\text{ do }}P[i]=C[i]-K[i]}
‎
{\displaystyle {\text{Return }}P}

ראו גם
------

* Twofish
* Blowfish
* Skein

הערות שוליים
------------

1. ↑  Threefish
2. ↑  The Skein Hash Function Family

  


| קריפטוגרפיה |
| --- |
| 

| מושגי יסוד |
| --- |
| פנקס חד-פעמי • צופן בלוקים • צופן בלוקים בר התאמה • צופן זרם • סודיות מושלמת • ביטחון סמנטי • הצפנה סימטרית • הצפנה אסימטרית • חתימה דיגיטלית • הצפנה הומומורפית • הצפנה מרובה • הצפנה מאומתת • הצפנה הסתברותית • סכמת ריפוד אסימטרית אופטימלית • אריזת מפתח הצפנה • סודיות מושלמת קדימה |

 |
| 

| הצפנה קלאסית |
| --- |
| מכונת הצפנה • צופן החלפה • צופן אתב"ש • צופן קיסר • צופן ויז'נר • צופן ורנם • צופן פלייפייר • צופן היל • אולטרה • אניגמה • ציקלומטר • קולוסוס • PURPLE • ג'ייד • מג'יק • צופן שחלוף |

 |
| 

| צופן בלוקים |
| --- |
| לוציפר • AES • 3DES • DES • Threefish • Twofish • Blowfish • FEAL • SEED • CAST • IDEA • RC2 • RC6 • MARS • RC5 • GOST • סרפנט • MISTY • KASUMI • קמליה • ARIA • SAFER • TEA • LEA • CLEFIA • SEA • Hummingbird • PRESENT • KATAN • KeeLoq • Simon & Speck • אנוביס |

 |
| 

| אופני הפעלה |
| --- |
| אופן הפעלה של צופן בלוקים • EAX • OCB • IAPM • CWC mode • GCM • CCM |

 |
| 

| צופן זרם |
| --- |
| RC4 • Salsa20 • SOSEMANUK • גריין • E0 • A5/1 • A5/2 • A5/3 • A5/4 • MICKEY • HC-128 • SNOW • Trivium • Rabbit • ZUC • ChaCha |

 |
| 

| הצפנה אסימטרית |
| --- |
| פרוטוקול דיפי-הלמן • חידות מרקל • חתימת למפורט • הצפנת תרמיל • RSA • הצפנת רבין • חתימה דיגיטלית רבין • צופן אל-גמאל • חתימה דיגיטלית אל-גמאל • DSA • הצפנת בלום-גולדווסר • ECC • הצפנת קריימר-שופ • הצפנת פאיי • הצפנת מקאליס • GGH • NTRU • עקום 25519 • חתימה דיגיטלית של שנור • הצפנת אוקמוטו-אושיאמה |

 |
| 

| פרוטוקולים |
| --- |
| עץ מרקל • פרוטוקול אתגר-מענה • פרוטוקול נידהאם-שרודר • פרוטוקול קרברוס • הוכחה באפס ידע • פרוטוקול פייגה-פיאט-שמיר • העברה עלומה • חלוקת סוד • TLS (SSL) • Secure Shell • MQV • X.509 • פרוטוקול שיתוף מפתח
• מיסור שלא לפרסום • פרוטוקול סיגנל |

 |
| 

| פרימיטיבים תאורטיים |
| --- |
| מחולל פסבדו-אקראי קריפטוגרפי • פונקציה חד-כיוונית • תמורה חד-כיוונית • סיבית קשה • פונקציה פסבדו-אקראית קריפטוגרפית • תמורה פסאודו-אקראית • פונקציית גיבוב קריפטוגרפית • וקטור אתחול • פונקציית ספוג • הצפנה מבוססת סריג |

 |
| 

| קריפטואנליזה |
| --- |
| ניתוח תדירויות • כוח גס • התקפת איזון זמן/זיכרון • תקיפת היפגשות באמצע • קריפטואנליזה ליניארית • קריפטואנליזה דיפרנציאלית • התקפת גלוי-ידוע • התקפת גלוי-נבחר • התקפת מוצפן-נבחר • פירוק לגורמים של מספר שלם • התקפת ערוץ צדדי • התקפת קורלציה • התקפת שיבוש • מודל אורקל אקראי • התקפת התנגשויות |

 |
| 

| בעיות מתמטיות ואלגוריתמים |
| --- |
| בעיית לוגריתם דיסקרטי • תחשיב אינדקסים • נפה ריבועית • אלגוריתם rho של פולרד • נפת שדה מספרים • אלגוריתם רו של פולרד ללוגריתמים • אלגוריתם פוליג-הלמן |

 |
| 

| פונקציות גיבוב קריפטוגרפיות |
| --- |
| SHA • MD5 • MD4 • SHA-1 • SHA-2 • SHA-3 • RIPEMD • Skein • BLAKE • Grøstl • SipHash |

 |
| 

| אימות וזיהוי |
| --- |
| אימות זהות • סיסמה • קוד אימות מסרים • Poly1305 • סיסמה חד-פעמית |

 |
| 

| נושאים נלווים |
| --- |
| מספר אקראי • מספר ראשוני • יתירות • מפתח שיחה • סטגנוגרפיה • הצפנה קוונטית • הצפנה פוסט-קוונטית • עקרון קרקהופס • אבטחת מידע • קריפטוגרפיה ויזואלית • אליס ובוב • מסיבת חתימה על מפתחות ציבוריים • שידור מוצפן • הצפנת דיסקים • הצפנת סף • חתימה דיגיטלית מבוססת פונקציית גיבוב • פונקציה זניחה • רשת פייסטל • רשת החלפה-תמורה • הלבנה • אימות מסרים • חתימה עיוורת • חישוב רב משתתפים בטוח |

 |