• 1 История
• 2 Основные обозначения
  • 2.1 Используемые функции
  • 2.2 Константы алгоритма
• 3 Генерация ключей
  • 3.1 Алгоритм генерации ключей
  • 3.2 Пример генерации ключей
• 4 Шифрование
  • 4.1 Краткое описание зашифровки
  • 4.2 Формальное описание алгоритма
    • 4.2.1 Раундовая функции '"`UNIQ--postMath-00000075-QINU`"'
    • 4.2.2 Зашифровывание
      • 4.2.2.1 Пример зашифровывания открытого текста
    • 4.2.3 Расшифровывание
• 5 Статистическая оценка зашифрованных данных
• 6 Криптоанализ
  • 6.1 Марковский шифр
  • 6.2 Определение анализируемого шифра
  • 6.3 Устойчивость к атакам
• 7 Реализация
• 8 Дальнейшее развитие
• 9 Примечания
• 10 Литература

• ${\displaystyle P(x)=z_{l}\parallel z_{r}}$ - независимая перестановка 8-битных строк ^[9]. Определяется как трех-раундовая сеть Фейстеля^[10]:
  • 8-битная входная строка делится на две 4-битных ${\displaystyle x=x_{l}\parallel x_{r}}$
  • ${\displaystyle y=x_{l}\oplus f(x_{r})}$
  • ${\displaystyle z_{r}=x_{r}\oplus g(y)}$
  • ${\displaystyle z_{l}=y\oplus f(z_{r})}$
  • Результатом является строка ${\displaystyle z=z_{l}\parallel z_{r}}$
    • Функции ${\displaystyle f(x)}$ и ${\displaystyle g(x)}$ задаются таблицей:

В конечном итоге ${\displaystyle P(x)}$ задается с помощью таблицы^[11]:

• Например ${\displaystyle P(}$ 26${\displaystyle _{16})}$:
  • ${\displaystyle y=}$2${\displaystyle _{16}\oplus f(}$ 6${\displaystyle _{16})=}$ 2${\displaystyle _{16}\oplus }$ 7${\displaystyle _{16}=}$ 5${\displaystyle _{16}}$
  • ${\displaystyle z_{r}=}$ 6${\displaystyle _{16}\oplus g(y)=}$ 6${\displaystyle _{16}\oplus }$ e${\displaystyle _{16}=8}$
  • ${\displaystyle z_{l}=y\oplus f(z_{r})=}$ 5${\displaystyle _{16}\oplus }$ e${\displaystyle _{16}=}$ b${\displaystyle _{16}}$
  • Итого: ${\displaystyle P(}$ 26${\displaystyle _{16})=}$ b8${\displaystyle _{16}}$

• ${\displaystyle P^{8}(x)=P(x_{63..56})\parallel P(x_{55..48})\parallel P(x_{47..40})\parallel P(x_{39..32})\parallel P(x_{31..24})\parallel P(x_{23..16})\parallel P(x_{15..8})\parallel P(x_{7..0})}$^[9] - преобразование 64-битной строки, используется для генерации ключей и в раундовой функции
• ${\displaystyle T(z)=z_{63}\parallel z_{55}\parallel \dots \parallel z_{7}\parallel z_{62}\parallel z_{54}\parallel \dots \parallel z_{0}}$ - битовая транспозиция, в данном случае транспонирование матрицы ^[9], составленной из 8 битных строк, используется при генерации ключей. На вход функция принимает 64-битную строку
• ${\displaystyle R_{l}(x)}$ - функция циклического битового сдвига влево, в данном случае принимает 8-битную строку: ${\displaystyle R(x_{7}\parallel x_{6}\parallel x_{5}\parallel x_{4}\parallel x_{3}\parallel x_{2}\parallel x_{1}\parallel x_{0})=x_{6}\parallel x_{5}\parallel x_{4}\parallel x_{3}\parallel x_{2}\parallel x_{1}\parallel x_{0}\parallel x_{7}}$
• ${\displaystyle \varphi (x)=(R_{l}(x)\land 55_{16})\oplus x}$ - преобразование^[12], используется в раундовой функции. На вход принимает 8-битную строку, если упростить получим^[12]:
  • ${\displaystyle \varphi (x_{7}\parallel x_{6}\parallel x_{5}\parallel x_{4}\parallel x_{3}\parallel x_{2}\parallel x_{1}\parallel x_{0})=x_{7}\parallel (x_{6}\oplus x_{5})\parallel x_{5}\parallel (x_{4}\oplus x_{3})\parallel x_{3}\parallel (x_{2}\oplus x_{1})\parallel x_{1}\parallel (x_{0}\oplus x_{7})}$
• ${\displaystyle \phi ^{'}(x)=(R_{l}(x)\land aa_{16})\oplus x}$ - преобразование^[13], используется при расшифровке. На вход принимает 8-битную строку
• ${\displaystyle M(x)}$ - преобразование, используется в раундовой функции^[12], берет на вход 16-битные строки ${\displaystyle x=x_{l}\parallel x_{r}}$, результатом является 16-битная строка ${\displaystyle M(x)=y_{l}\parallel y_{r}}$, в свою очередь:
  • ${\displaystyle y_{l}=P(\varphi (x_{l})\oplus x_{r})}$
  • ${\displaystyle y_{r}=P(R_{l}(x_{l})\oplus x_{r})}$
• ${\displaystyle M^{-1}(y_{l}\parallel y_{r})}$ - преобразование, используется при расшифровке^[13], берет на вход 16-битные строки ${\displaystyle y=y_{l}\parallel y_{r}}$, результатом является 16-битная строка ${\displaystyle M^{-1}(y)=x_{l}\parallel x_{r}}$, в свою очередь:
  • ${\displaystyle x_{l}=\phi ^{'}(P(y_{l})\oplus P(y_{r}))}$
  • ${\displaystyle x_{r}=R_{l}(x_{l})\oplus P(y_{r})}$
• ${\displaystyle F_{c_{i}}(x)=T(P^{8}(x\oplus c^{i}))}$ - используется для генерации ключей^[9]

• ${\displaystyle c=}$ b7e151628aed2a6a${\displaystyle _{16}}$^[14], требуется для раундовой функции
• ${\displaystyle c^{'}=}$ bf7158809cf4f3c7${\displaystyle _{16}}$^[14], требуется для раундовой функции
• ${\displaystyle c^{0}=}$ 290d61409ceb9e8f${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{1}=}$ 1f855f585b013986${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{2}=}$ 972ed7d635ae1716${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{3}=}$ 21b6694ea5728708${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{4}=}$ 3c18e6e7faadb889${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{5}=}$ b700f76f73841163${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{6}=}$ 3f967f6ebf149dac${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{7}=}$ a40e7ef6204a6230${\displaystyle _{16}}$^[9], требуется для генерации ключей
• ${\displaystyle c^{8}=}$ 03c54b5a46a34465${\displaystyle _{16}}$^[9], требуется для генерации ключей

• первоначально ключ делится на две 64 битные половины^[2], таким образом мы получаем начальные параметры:

${\displaystyle k=k^{-1}\parallel k^{-2}}$

• Для генерации последующих ключей используется рекуррентная формула^[2]:

${\displaystyle k^{i}=k^{i-2}\oplus F_{c^{i}}(k^{i-1})}$

${\displaystyle k=}$ 0123456789abcdeffedcba9876543210${\displaystyle _{16}}$.

${\displaystyle k^{-1}=}$ 0123456789abcdef${\displaystyle _{16}}$

${\displaystyle k^{-2}=}$ fedcba9876543210${\displaystyle _{16}}$

${\displaystyle k^{0}=k^{-2}\oplus F_{c_{0}}(k^{-1})=k^{-2}\oplus T(P^{8}(k^{-1}\oplus c^{0}))=}$

${\displaystyle =k^{-2}\oplus T(P^{8}(}$ 0123456789abcdef${\displaystyle _{16}\oplus }$ 290d61409ceb9e8f${\displaystyle _{16}))=}$

${\displaystyle =k^{-2}\oplus T(}$ b711fa89ae0394e4${\displaystyle _{16})=}$ fedcba9876543210${\displaystyle _{16}\oplus }$ bb21a9e2388bacd4${\displaystyle _{16}}$

${\displaystyle k^{0}=}$ 45fd137a4edf9ec4${\displaystyle _{16}}$

${\displaystyle k^{1}=}$ 1dd43f03e6f7564c${\displaystyle _{16}}$

${\displaystyle k^{2}=}$ ebe26756de9937c7${\displaystyle _{16}}$

${\displaystyle k^{3}=}$ 961704e945bad4fb${\displaystyle _{16}}$

${\displaystyle k^{4}=}$ 0b60dfe9eff473d4${\displaystyle _{16}}$

${\displaystyle k^{5}=}$ 76d3e7cf52c466cf${\displaystyle _{16}}$

${\displaystyle k^{6}=}$ 75ec8cef767d3a0d${\displaystyle _{16}}$

${\displaystyle k^{7}=}$ 82da3337b598fd6d${\displaystyle _{16}}$

${\displaystyle k^{8}=}$ fbd820da8dc8af8c${\displaystyle _{16}}$

• ${\displaystyle m^{i}}$ - 64-битная строка, приходит на вход раундовой функции ${\displaystyle R(x)}$ в ${\displaystyle i}$ итерации
• ${\displaystyle t^{i}=t_{63..56}^{i}\parallel t_{55..48}^{i}\parallel t_{47..40}^{i}\parallel t_{39..32}^{i}\parallel t_{31..24}^{i}\parallel t_{23..16}^{i}\parallel t_{15..8}^{i}\parallel t_{7..0}^{i}}$ - временное 64-битное значение, вычисленное на ${\displaystyle i}$ шаге раундовой функции
• ${\displaystyle S}$ - 64-битная строка, конечный зашифрованный текст

1. ${\displaystyle t^{1}=x}$
2. ${\displaystyle t^{2}=M(t_{63..48}^{1})\parallel M(t_{47..32}^{1})\parallel M(t_{31..16}^{1})\parallel M(t_{15..0}^{1})}$
3. ${\displaystyle t^{3}=t_{63..56}^{2}\parallel t_{47..40}^{2}\parallel t_{31..24}^{2}\parallel t_{15..8}^{2}\parallel t_{55..48}^{2}\parallel t_{39..32}^{2}\parallel t_{23..16}^{2}\parallel t_{7..0}^{2}}$
4. ${\displaystyle t^{4}=t^{3}\oplus c}$
5. ${\displaystyle t^{5}=M(t_{63..48}^{4})\parallel M(t_{47..32}^{4})\parallel M(t_{31..16}^{4})\parallel M(t_{15..0}^{4})}$
6. ${\displaystyle t^{6}=t_{63..56}^{5}\parallel t_{47..40}^{5}\parallel t_{31..24}^{5}\parallel t_{15..8}^{5}\parallel t_{55..48}^{5}\parallel t_{39..32}^{5}\parallel t_{23..16}^{5}\parallel t_{7..0}^{5}}$
7. ${\displaystyle t^{7}=t^{6}\oplus c^{'}}$
8. ${\displaystyle t^{8}=M(t_{63..48}^{7})\parallel M(t_{47..32}^{7})\parallel M(t_{31..16}^{7})\parallel M(t_{15..0}^{7})}$
9. ${\displaystyle m^{i+1}=t^{9}=t_{63..56}^{8}\parallel t_{47..40}^{8}\parallel t_{31..24}^{8}\parallel t_{15..8}^{8}\parallel t_{55..48}^{8}\parallel t_{39..32}^{8}\parallel t_{23..16}^{8}\parallel t_{7..0}^{8}}$

${\displaystyle S=k^{8}\oplus R(k^{7}\oplus \dots R(k^{1}\oplus R(k^{0}\oplus m)\dots )}$

${\displaystyle m^{0}=}$ 0123456789abcdef${\displaystyle _{16}}$

${\displaystyle k=}$ 0123456789abcdeffedcba9876543210${\displaystyle _{16}}$

${\displaystyle k^{0}=}$ 45fd137a4edf9ec4${\displaystyle _{16}}$

${\displaystyle k^{1}=}$ 1dd43f03e6f7564c${\displaystyle _{16}}$

${\displaystyle k^{2}=}$ ebe26756de9937c7${\displaystyle _{16}}$

${\displaystyle k^{3}=}$ 961704e945bad4fb${\displaystyle _{16}}$

${\displaystyle k^{4}=}$ 0b60dfe9eff473d4${\displaystyle _{16}}$

${\displaystyle k^{5}=}$ 76d3e7cf52c466cf${\displaystyle _{16}}$

${\displaystyle k^{6}=}$ 75ec8cef767d3a0d${\displaystyle _{16}}$

${\displaystyle k^{7}=}$ 82da3337b598fd6d${\displaystyle _{16}}$

${\displaystyle k^{8}=}$ fbd820da8dc8af8c${\displaystyle _{16}}$

${\displaystyle t^{3}=}$ d85c19785690b0e3${\displaystyle _{16}}$

${\displaystyle t^{6}=}$ 0f4bfb9e2f8ac7e2${\displaystyle _{16}}$

${\displaystyle m^{1}=}$ c3feb96c0cf4b649${\displaystyle _{16}}$

${\displaystyle m^{2}=}$ 3f54e0c8e61a84d1${\displaystyle _{16}}$

${\displaystyle m^{3}=}$ b15cb4af3786976e${\displaystyle _{16}}$

${\displaystyle m^{4}=}$ 76c122b7a562ac45${\displaystyle _{16}}$

${\displaystyle m^{5}=}$ 21300b6ccfaa08d8${\displaystyle _{16}}$

${\displaystyle m^{6}=}$ 99b8d8ab9034ec9a${\displaystyle _{16}}$

${\displaystyle m^{7}=}$ a2245ba3697445d2${\displaystyle _{16}}$

${\displaystyle S=}$ 88fddfbe954479d7${\displaystyle _{16}}$

• ${\displaystyle i}$ - номер итерации: от 0 до 7 включительно - всего 8 раундов
• ${\displaystyle m^{i}}$ - 64-битная строка, приходит на вход обратной к раундовой функции ${\displaystyle R^{-1}(x)}$ в ${\displaystyle i}$ итерации, ${\displaystyle m^{8}}$ - открытый текст
• ${\displaystyle k^{7-i}}$ - 64-битный сгенерированный ключ, приходит на вход обратной к раундовой функции ${\displaystyle R^{-1}(x)}$ в ${\displaystyle i}$ итерации
• ${\displaystyle t^{i}=t_{63..56}^{i}\parallel t_{55..48}^{i}\parallel t_{47..40}^{i}\parallel t_{39..32}^{i}\parallel t_{31..24}^{i}\parallel t_{23..16}^{i}\parallel t_{15..8}^{i}\parallel t_{7..0}^{i}}$ - временное 64-битное значение, вычисленное на ${\displaystyle i}$ шаге обратной к раундовой функции.

• Универсальный статистический тест Маурера^[18]
• Тест на корреляцию^[19]
• Тест на линейную сложность^[20]
• Тест собирателя купонов^[21]
• Тест на совпадение перекрывающихся шаблонов^[22]
• Тест подпоследовательностей^[21]

• для шифровки CS-cipher использует следующую последовательность ключей и констант:

${\displaystyle k^{0},c,c^{'},k^{1},c,c^{'},...,k^{7},c,c^{'},k^{8}}$. Для удобства переобозначим их как ${\displaystyle k_{0},k_{1},...,k_{24}}$.

• По определению^[25] CSC получается из CS-cipher заменой полученной с помощью генерации ключей и констант последовательности ${\displaystyle k_{0},k_{1},...,k_{24}}$ на 1600-битный случайный ключ ${\displaystyle k=(k_{0},k_{1},...,k_{24})}$ с равномерным распределением.

• устойчивость к дифференциальному криптоанализу ^[27]
• устойчивость к линейному криптоанализу^[28]
• устойчивость к методу невозможных дифференциалов (англ. Impossible differential cryptanalysis)^[29]
• устойчивость к методу усеченных разностей (англ. Truncated differential cryptanalysis)^[30]

• устойчив к дифференциальному криптоанализу после 4 раундов шифровки^[27]
• устойчив к методу усеченных разностей (англ. Truncated differential cryptanalysis)^[30]
• устойчив к линейному криптоанализу^[30]
• устойчив к методу невозможных дифференциалов (англ. Impossible differential cryptanalysis) после 6 раундов шифровки^[29]

# define CSC_C10 0xbf
# define CSC_C11 0x71
# define CSC_C12 0x58
# define CSC_C13 0x80
# define CSC_C14 0x9c
# define CSC_C15 0xf4
# define CSC_C16 0xf3
# define CSC_C17 0xc7
uint8 tbp[256]={
0x29,0x0d,0x61,0x40,0x9c,0xeb,0x9e,0x8f,
0x1f,0x85,0x5f,0x58,0x5b,0x01,0x39,0x86,
0x97,0x2e,0xd7,0xd6,0x35,0xae,0x17,0x16,
0x21,0xb6,0x69,0x4e,0xa5,0x72,0x87,0x08,
0x3c,0x18,0xe6,0xe7,0xfa,0xad,0xb8,0x89,
0xb7,0x00,0xf7,0x6f,0x73,0x84,0x11,0x63,
0x3f,0x96,0x7f,0x6e,0xbf,0x14,0x9d,0xac,
0xa4,0x0e,0x7e,0xf6,0x20,0x4a,0x62,0x30,
0x03,0xc5,0x4b,0x5a,0x46,0xa3,0x44,0x65,
0x7d,0x4d,0x3d,0x42,0x79,0x49,0x1b,0x5c,
0xf5,0x6c,0xb5,0x94,0x54,0xff,0x56,0x57,
0x0b,0xf4,0x43,0x0c,0x4f,0x70,0x6d,0x0a,
0xe4,0x02,0x3e,0x2f,0xa2,0x47,0xe0,0xc1,
0xd5,0x1a,0x95,0xa7,0x51,0x5e,0x33,0x2b,
0x5d,0xd4,0x1d,0x2c,0xee,0x75,0xec,0xdd,
0x7c,0x4c,0xa6,0xb4,0x78,0x48,0x3a,0x32,
0x98,0xaf,0xc0,0xe1,0x2d,0x09,0x0f,0x1e,
0xb9,0x27,0x8a,0xe9,0xbd,0xe3,0x9f,0x07,
0xb1,0xea,0x92,0x93,0x53,0x6a,0x31,0x10,
0x80,0xf2,0xd8,0x9b,0x04,0x36,0x06,0x8e,
0xbe,0xa9,0x64,0x45,0x38,0x1c,0x7a,0x6b,
0xf3,0xa1,0xf0,0xcd,0x37,0x25,0x15,0x81,
0xfb,0x90,0xe8,0xd9,0x7b,0x52,0x19,0x28,
0x26,0x88,0xfc,0xd1,0xe2,0x8c,0xa0,0x34,
0x82,0x67,0xda,0xcb,0xc7,0x41,0xe5,0xc4,
0xc8,0xef,0xdb,0xc3,0xcc,0xab,0xce,0xed,
0xd0,0xbb,0xd3,0xd2,0x71,0x68,0x13,0x12,
0x9a,0xb3,0xc2,0xca,0xde,0x77,0xdc,0xdf,
0x66,0x83,0xbc,0x8d,0x60,0xc6,0x22,0x23,
0xb2,0x8b,0x91,0x05,0x76,0xcf,0x74,0xc9,
0xaa,0xf1,0x99,0xa8,0x59,0x50,0x3b,0x2a,
0xfe,0xf9,0x24,0xb0,0xba,0xfd,0xf8,0x55,
};
void enc_csc(uint8 m[8],uint8* k)
{
  uint8 tmpx,tmprx,tmpy;
  int i;
  #define APPLY_M(cl,cr,adl,adr) \
  code=tmpx=m[adl]^cl; \
  code=tmprx=(tmpx<<1)^(tmpx>>7); \
  code=tmpy=m[adr]^cr; \
  code=m[adl]=tbp[(tmprx&0x55)^tmpx^tmpy]; \
  code=m[adr]=tbp[tmprx^tmpy];
  for(code=i=0;i<8;i++,k+=8) 
  {
    APPLY_M(k[0],k[1],0,1)
    APPLY_M(k[2],k[3],2,3)
    APPLY_M(k[4],k[5],4,5)
    APPLY_M(k[6],k[7],6,7)
    APPLY_M(CSC_C00,CSC_C01,0,2)
    APPLY_M(CSC_C02,CSC_C03,4,6)
    APPLY_M(CSC_C04,CSC_C05,1,3)
    APPLY_M(CSC_C06,CSC_C07,5,7)
    APPLY_M(CSC_C10,CSC_C11,0,4)
    APPLY_M(CSC_C12,CSC_C13,1,5)
    APPLY_M(CSC_C14,CSC_C15,2,6)
    APPLY_M(CSC_C16,CSC_C17,3,7)
  }
  for(code=i=0;i<8;i++) 
    code=m[i]^=k[i];
}

• линейному и дифференциалному криптоанализу ^[33]
• сдвиговой атаке и атаке методом бумеранга^[34]
• атаке на связанных ключах^[34]

1. ^{1 2 3} A first report on CS-Cipher, 2001, p. 1.
2. ^{1 2 3 4} Cs-Cipher, 1998, p. 190.
3. ^{1 2} NESSIE Public Report D14, 2001, p. 6.
4. Cs-Cipher, 1998, p. 189.
5. ^{1 2} Cs-Cipher, 1998, p. 201.
6. NESSIE D20-NESSIE security report, 2003, pp. 4.
7. ^{1 2} NESSIE Public Report D18, 2002, p. 1.
8. NESSIE D20-NESSIE security report, 2003, p. 77.
9. ^{1 2 3 4 5 6 7 8 9 10 11 12 13 14} Cs-Cipher, 1998, p. 192.
10. ^{1 2} Cs-Cipher, 1998, p. 195.
11. Cs-Cipher, 1998, p. 196.
12. ^{1 2 3} Cs-Cipher, 1998, p. 194.
13. ^{1 2 3 4 5} Cs-Cipher, 1998, p. 197.
14. ^{1 2} Cs-Cipher, 1998, p. 193.
15. Cs-Cipher, 1998, pp. 193-195.
16. Cs-Cipher, 1998, pp. 196-197.
17. The Statistical Evaluation, 2002, pp. 1, 4, 7-16, 18, 21, 22-29.
18. The Statistical Evaluation, 2002, pp. 10, 24.
19. The Statistical Evaluation, 2002, pp. 12, 25.
20. The Statistical Evaluation, 2002, pp. 13, 26.
21. ^{1 2} The Statistical Evaluation, 2002, pp. 9, 23.
22. The Statistical Evaluation, 2002, pp. 8, 21.
23. The Statistical Evaluation, 2002, p. 30.
24. On the security of CS-cipher, 1999, p. 262.
25. On the security of CS-cipher, 1999, p. 266.
26. On the security of CS-cipher, 1999, p. 267.
27. ^{1 2} On the security of CS-cipher, 1999, p. 269.
28. On the security of CS-cipher, 1999, p. 270.
29. ^{1 2} Security against impossible differential cryptanalysis, 2008, p. 10.
30. ^{1 2 3} On the security of CS-cipher, 1999, p. 272.
31. Cs-Cipher, 1998, pp. 203-204.
32. The CS2 Block Cipher, 2004, p. 1.
33. The CS2 Block Cipher, 2004, p. 8.
34. ^{1 2} The CS2 Block Cipher, 2004, p. 9.

• Bart Van Rompay, Vincent Rijmen, Jorge Nakahara Jr. A first report on CS-Cipher, Hierocrypt, Grand Cru, SAFER++ and SHACAL*† NES/DOC/KUL/WP3/006/1 (англ.). — Katholieke Universiteit Leuven, ESAT-COSIC, 2001. — March.
• Fast Software Encryption: 5th International Workshop (англ.) / Vaudenay S. — Paris, France, 1998. — P. 189-204. — 342 p.
• Raddum H. The Statistical Evaluation of the NESSIE Submission CS-cipher NES/DOC/UIB/WP3/010 (англ.). — 2002.

• St Denis, T. The CS2 Block Cipher (англ.). — 2004.
• NESSIE Public Report D14: Report on the Performance Evaluation of NESSIE Candidates I (англ.) / Mathieu Ciet and Francesco Sica. — 2001. — P. 6.