• 1 Схема шифрования данных
  • 1.1 F-функции
  • 1.2 S-блоки
    • 1.2.1 Первый S-блок
    • 1.2.2 Второй S-блок
  • 1.3 Матрицы распространения
  • 1.4 Общая структура шифрования
  • 1.5 Использование ключевого забеливания
• 2 Алгоритм обработки ключа
  • 2.1 Функция перестановки бит
  • 2.2 Генерация констант
  • 2.3 Обработка ключа в случае 128-битного ключа
• 3 Особенности шифра
  • 3.1 Особенности реализации GFN
  • 3.2 Использование Diffusion Switching Mechanism
  • 3.3 Особенности двух S-боксов
• 4 Криптостойкость
  • 4.1 Дифференциальный криптоанализ
  • 4.2 Линейный криптоанализ
  • 4.3 Невозможный дифференциальный криптоанализ
• 5 Сравнение с другими шифрами
• 6 Применение
• 7 Примечания
• 8 Ссылки

• блок подстановок (S-блок, англ. s-box);
• матрицы распространения^[англ.] в поле Галуа (англ. MDS matrix).

Функция ${\displaystyle F_{0}}$
 Шаг 1. ${\displaystyle T=RK\oplus x}$
 Шаг 2. ${\displaystyle T_{0}=S_{0}(T_{0}),\ T_{1}=S_{1}(T_{1}),\ T_{2}=S_{0}(T_{2}),\ T_{3}=S_{1}(T_{3}),\ {\mbox{where}}\ T=T_{0}|T_{1}|T_{2}|T_{3},\ T_{i}\in \{0,1\}^{8}}$
 Шаг 3. ${\displaystyle {\begin{pmatrix}y_{0}\\y_{1}\\y_{2}\\y_{3}\end{pmatrix}}=M_{0}{\begin{pmatrix}T_{0}\\T_{1}\\T_{2}\\T_{3}\end{pmatrix}},\ {\mbox{where}}\ y=y_{0}|y_{1}|y_{2}|y_{3},\ y_{i}\in \{0,1\}^{8}}$

Функция ${\displaystyle F_{1}}$
 Шаг 1. ${\displaystyle T=RK\oplus x}$
 Шаг 2. ${\displaystyle T_{0}=S_{1}(T_{0}),\ T_{1}=S_{0}(T_{1}),\ T_{2}=S_{1}(T_{2}),\ T_{3}=S_{0}(T_{3}),\ {\mbox{where}}\ T=T_{0}|T_{1}|T_{2}|T_{3},\ T_{i}\in \{0,1\}^{8}}$
 Шаг 3. ${\displaystyle {\begin{pmatrix}y_{0}\\y_{1}\\y_{2}\\y_{3}\end{pmatrix}}=M_{1}{\begin{pmatrix}T_{0}\\T_{1}\\T_{2}\\T_{3}\end{pmatrix}},\ {\mbox{where}}\ y=y_{0}|y_{1}|y_{2}|y_{3},\ y_{i}\in \{0,1\}^{8}}$

Алгоритм получения выходных данных при использования блока ${\displaystyle S_{0}}$
 Шаг 1. ${\displaystyle t_{0}=SS_{0}(x_{0}),\ t1=SS_{1}(x_{1}),\ {\mbox{where }}x=x_{0}|x_{1},\ x_{i}\in \{0,1\}^{4}}$
 Шаг 2. ${\displaystyle u_{0}=t_{0}\oplus 0x2\times t_{1},\ u_{1}=0x2\times t_{0}\oplus t_{1}}$
 Шаг 3. ${\displaystyle y_{0}=SS_{2}(u_{0}),\ y_{1}=SS_{3}(u_{1}),\ {\mbox{where }}y=y_{0}|y_{1},\ y_{i}\in \{0,1\}^{4}}$

Шифрование (${\displaystyle GFN_{4,r}}$)
 Шаг 1. ${\displaystyle T_{0}=X_{0},\ T_{1}=X_{1},\ T_{2}=X_{2},\ T_{3}=X_{3}}$
 Шаг 2. ${\displaystyle {\mbox{for }}i=0{\mbox{ to }}r-1{\mbox{ do:}}}$
   Шаг 2.1. ${\displaystyle T_{1}=T_{1}\oplus F_{0}(RK_{2i},T_{0}),}$
   Шаг 2.2. ${\displaystyle T_{3}=T_{3}\oplus F_{1}(RK_{2i+1},T_{2}),}$
 Шаг 3. ${\displaystyle Y_{0}=T_{3},\ Y_{1}=T_{0},\ Y_{2}=T_{1},\ Y_{3}=T_{2}}$

Расшифрование (${\displaystyle GFN_{4,r}^{-1}}$)
 Шаг 1. ${\displaystyle T_{0}=X_{0},\ T_{1}=X_{1},\ T_{2}=X_{2},\ T_{3}=X_{3}}$
 Шаг 2. ${\displaystyle {\mbox{for }}i=0{\mbox{ to }}r-1{\mbox{ do:}}}$
   Шаг 2.1. ${\displaystyle T_{1}=T_{1}\oplus F_{0}(RK_{2(r-i)-2},T_{0}),}$
   Шаг 2.2. ${\displaystyle T_{3}=T_{3}\oplus F_{1}(RK_{2(r-i)-1},T_{2}),}$
 Шаг 3. ${\displaystyle Y_{0}=T_{1},\ Y_{1}=T_{2},\ Y_{2}=T_{3},\ Y_{3}=T_{0}}$

Функция шифрования ${\displaystyle ENC_{r}}$
 Шаг 1. ${\displaystyle T_{0}=P_{0},\ T_{1}=P_{1}\oplus WK_{0},\ T_{2}=P_{2},\ T_{3}=P_{3}\oplus WK_{1}}$
 Шаг 2. ${\displaystyle T_{0},T_{1},T_{2},T_{3}\leftarrow GFN_{4,r}(RK_{0},...,RK_{2r-1},T_{0},T_{1},T_{2},T_{3})}$
 Шаг 3. ${\displaystyle C_{0}=T_{0},\ C_{1}=T_{1}\oplus WK_{2},\ C_{2}=T_{2},\ C_{3}=T_{3}\oplus WK_{3}}$

Функция расшифрования ${\displaystyle DEC_{r}}$
 Шаг 1. ${\displaystyle T_{0}=C_{0},\ T_{1}=C_{1}\oplus WK_{2},\ T_{2}=C_{2},\ T_{3}=C_{3}\oplus WK_{3}}$
 Шаг 2. ${\displaystyle T_{0},T_{1},T_{2},T_{3}\leftarrow GFN_{4,r}^{-1}(RK_{0},...,RK_{2r-1},T_{0},T_{1},T_{2},T_{3})}$
 Шаг 3. ${\displaystyle P_{0}=T_{0},\ P_{1}=T_{1}\oplus WK_{0},\ P_{2}=T_{2},\ P_{3}=T_{3}\oplus WK_{1}}$

1. Генерация ${\displaystyle L}$ из ${\displaystyle K}$.
2. Генерация ${\displaystyle WK_{i}}$ из ${\displaystyle K}$.
3. Генерация ${\displaystyle RK_{j}}$ из ${\displaystyle K}$ и ${\displaystyle L}$.

${\displaystyle \Sigma :{\begin{cases}\{0,1\}^{128}\rightarrow \{0,1\}^{128}\\X_{(128)}\rightarrow Y_{(128)}\end{cases}}}$
${\displaystyle Y=\Sigma (X)=X[7-63]|X[121-127]|X[0-6]|X[64-120]}$

Шаг 1. ${\displaystyle T_{0}=IV^{(k)}}$
Шаг 2. ${\displaystyle {\mbox{for }}i=0{\mbox{ to }}l^{(k)}-1{\mbox{ do:}}}$
  Шаг 2.1. ${\displaystyle CON_{2i}^{(k)}=(T_{i}\oplus P_{(16)})|({\overline {T_{i}}}\lll 1)}$
  Шаг 2.2. ${\displaystyle CON_{2i+1}^{(k)}=({\overline {T_{i}}}\oplus Q_{(16)})|(T_{i}\lll 8)}$
  Шаг 2.3. ${\displaystyle T_{i+1}=T_{i}\times 0x0002^{-1}}$

Генерация ${\displaystyle L}$ из ${\displaystyle K}$:
 Шаг 1. ${\displaystyle L=GFN_{4,12}(CON_{0}^{(128)},...,CON_{23}^{(128)},K_{0},K_{1},K_{2},K_{3})}$

Генерация ${\displaystyle WK_{i}}$ из ${\displaystyle K}$:
 Шаг 2. ${\displaystyle WK_{0}|WK_{1}|WK_{2}|WK_{3}\leftarrow K}$

Генерация ${\displaystyle RK_{j}}$ из ${\displaystyle K}$ и ${\displaystyle L}$:
 Шаг 3. ${\displaystyle {\mbox{for }}i=0{\mbox{ to }}8{\mbox{ do:}}}$
   Шаг 3.1. ${\displaystyle T=L\oplus (CON_{24+4i}^{(128)}|CON_{24+4i+1}^{(128)}|CON_{24+4i+2}^{(128)}|CON_{24+4i+3}^{(128)})}$
   Шаг 3.2. ${\displaystyle L=\Sigma (L)}$
   Шаг 3.3. ${\displaystyle {\mbox{if }}\ i\ {\mbox{mod}}\ 2==1:\ T=T\oplus K}$
   Шаг 3.4. ${\displaystyle RK_{4i}|RK_{4i+1}|RK_{4i+2}|RK_{4i+3}\leftarrow T}$

• Обобщённую сеть Фейстеля ${\displaystyle GFN}$;
• DSM (англ. Diffusion Switching Mechanism);
• Два S-бокса.

• ${\displaystyle F}$-функции меньше, чем у традиционной структуры Фейстеля;
• множественные ${\displaystyle F}$-функции могут обрабатываться одновременно;
• как правило, требует больше раундов, чем традиционная структура Фейстеля.

1. ^{1 2 3} Takeshi Sugawara, Naofumi Homma, Takafumi Aoki, Akashi Satoh. High-performance ASIC Implementations of the 128-bit Block Cipher CLEFIA (англ.) // 2008 IEEE International Symposium on Circuits and Systems. — Seattle, WA, USA: IEEE, 2008. — 13 июнь. — ISBN 978-1-4244-1683-7. — ISSN 0271-4302. — doi:10.1109/ISCAS.2008.4542070.
2. Shirai T., Shibutani K. On Feistel Structures Using a Diffusion Switching Mechanism (англ.). — Berlin, Heidelberg: Springer, 2006. — ISBN 978-3-540-36597-6. — doi:10.1007/11799313_4. Архивировано 17 июня 2018 года.
3. ^{1 2 3 4 5 6} Taizo Shirai, Kyoji Shibutani, Toru Akishita, Shiho Moriai, Tetsu Iwata. The 128-bit Blockcipher CLEFIA(Extended Abstract) (англ.). — 2007. Архивировано 1 марта 2022 года.
4. ^{1 2} Sony Corporation. The 128-bit Blockcipher CLEFIA Algorithm Specification (англ.). — 2007. Архивировано 19 января 2022 года.
5. Y. Zheng, T. Matsumoto, H. Imai. On the construction of block ciphers provably secure and not relying on any unproved hypotheses (англ.). — Springer-Verlag: Crypto’89 , LNCS 435, 1989. — P. 461—480. Архивировано 9 июня 2018 года.
6. ^{1 2} Sony Corporation. The 128-bit Blockcipher CLEFIA Security and Performance Evaluations (англ.). — 2007. Архивировано 20 января 2022 года.
7. Wei Wang, Xiaoyun Wang. Improved Impossible Differential Cryptanalysis of CLEFIA (англ.). — 2008. Архивировано 10 ноября 2019 года.
8. ISO. ISO/IEC 29192-2:2012  (неопр.). Дата обращения: ноябрь 2019. Архивировано 21 октября 2020 года.
9. Cipher Reference  (неопр.). Дата обращения: 5 декабря 2019. Архивировано 3 ноября 2019 года.

• CLEFIA веб-сайт (англ.)
• Sony Introduces CLEFIA (англ.)
• Differential Improved Impossible Cryptanalysis of CLEFIA (англ.)
• Реализация библиотеки CLEFIA_H на языке C (англ.)
• Пример реализации алгоритма на языке C
• Пример реализации кодека и хэш-функции CLEFIA на языке С