SHACAL

SHACAL-1

SHACAL-1 jest szyfrem blokowym opartym na funkcji kompresji SHA-1. Przetwarza bloki danych o długości 160 bitów, podzielone na pięć 32-bitowych słów oznaczanych jako A, B, C, D i E. Szyfrowanie obejmuje 80 rund, w których wykonywane są operacje dodawania modulo 2³², przesunięcia cykliczne oraz operacje logiczne, w tym XOR.

Algorytm dopuszcza klucze o długości do 512 bitów, jednak ze względów bezpieczeństwa zaleca się stosowanie kluczy liczących co najmniej 128 bitów. Klucze krótsze niż 512 bitów są dopełniane zerami do tej długości. Następnie klucz jest dzielony na 16 słów 32-bitowych, z których wyznaczane są kolejne podklucze. Dla indeksów od 16 do 79 stosowana jest zależność:

${\displaystyle W_{i}=\operatorname {ROTL} _{1}(W_{i-3}\oplus W_{i-8}\oplus W_{i-14}\oplus W_{i-16})}$

gdzie ${\displaystyle \oplus }$ oznacza alternatywę wykluczającą (XOR), natomiast ${\displaystyle \operatorname {ROTL} _{1}}$ oznacza przesunięcie cykliczne 32-bitowego słowa w lewo o jeden bit. W ten sposób 512-bitowy klucz zostaje rozwinięty do 80 słów, czyli łącznie 2560 bitów danych wykorzystywanych w kolejnych rundach szyfrowania.

Mechanizm generowania podkluczy jest liniowy względem operacji XOR. Jego właściwości były jednym z powodów zastrzeżeń dotyczących bezpieczeństwa SHACAL-1 zgłoszonych podczas oceny NESSIE.

SHACAL-2

SHACAL-2 wykorzystuje funkcję kompresji SHA-256. W przeciwieństwie do SHACAL-1 operuje na blokach 256-bitowych, które dzieli na osiem 32-bitowych słów, oznaczanych jako A, B, C, D, E, F, G i H. Szyfrowanie składa się z 64 rund.

W każdej rundzie wykonywane są operacje dodawania modulo 2³², XOR, przesunięcia cykliczne i operacje logiczne. Wykorzystywane są między innymi funkcje Ch (wyboru), Maj (większości) oraz funkcje ${\displaystyle \Sigma _{0}}$ i ${\displaystyle \Sigma _{1}}$, znane z konstrukcji SHA-256.

SHACAL-2 dopuszcza klucze o długości do 512 bitów, jednak zaleca się stosowanie kluczy liczących co najmniej 128 bitów. Klucz jest dopełniany zerami do 512 bitów, a następnie rozszerzany do 64 słów 32-bitowych. W odróżnieniu od SHACAL-1 rozszerzanie klucza wykorzystuje również dodawanie modulo 2³² i przesunięcia bitowe. Zależność dla kolejnych słów ma postać:

${\displaystyle W_{i}=\sigma _{1}(W_{i-2})+W_{i-7}+\sigma _{0}(W_{i-15})+W_{i-16}{\pmod {2^{32}}}}$

dla ${\displaystyle 16\leq i<64}$, gdzie ${\displaystyle \sigma _{0}}$ i ${\displaystyle \sigma _{1}}$ są funkcjami łączącymi przesunięcia cykliczne, przesunięcia bitowe i operacje XOR.

SHACAL-1

SHACAL-1 był przedmiotem badań z wykorzystaniem między innymi kryptoanalizy różnicowej, ataków typu boomerang i rectangle oraz ataków z użyciem kluczy powiązanych (related-key attacks).

W 2006 roku Orr Dunkelman, Nathan Keller i Jongsung Kim przedstawili atak typu related-key rectangle obejmujący pełne 80 rund SHACAL-1. Był to jeden z pierwszych opublikowanych ataków na pełną wersję tego szyfru o złożoności mniejszej niż przeszukiwanie całej przestrzeni kluczy.

W 2007 roku Gaoli Wang, Nathan Keller i Orr Dunkelman wykazali błędy w założeniach części wcześniejszych ataków różnicowych na SHACAL-1. Stwierdzili również, że wcześniejszy atak na pełną wersję szyfru był skuteczny jedynie wobec określonej klasy słabych kluczy. Zaproponowali zmodyfikowany atak na wszystkie 80 rund, wykorzystujący klucze powiązane i mający zastosowanie do jednej na 256 czwórek powiązanych kluczy.

Ataki te wymagają szczególnych relacji między kluczami oraz bardzo dużych zasobów obliczeniowych. Nie oznaczają zatem możliwości praktycznego odczytywania dowolnych danych zaszyfrowanych za pomocą SHACAL-1.

SHACAL-2

Kryptoanaliza SHACAL-2 koncentrowała się między innymi na wersjach z ograniczoną liczbą rund. W 2004 roku opublikowano ataki wykorzystujące klucze powiązane, obejmujące do 37 z 64 rund szyfru.

W 2008 roku Jiqiang Lu i Jongsung Kim przedstawili atak typu related-key rectangle na pierwsze 44 rundy SHACAL-2. Wymagał on około 2²³³ wybranych tekstów jawnych szyfrowanych za pomocą powiązanych kluczy oraz nakładu obliczeniowego odpowiadającego około 2^497,2 operacjom szyfrowania.

Wyniki te dotyczą wersji o zmniejszonej liczbie rund i nie stanowią przełamania pełnego, 64-rundowego SHACAL-2.