---

Уо = cbbb9d5dc1059ed8,

Уі = 629a292a367cd507,

Y. - 9159015a3070dd17.

Уз = 152fecd8f70e5939,

У₄ = 67332667ffc00b31,

У₅ = 8eb44a8768581511,

У₅ = db0c2e0d64(98fa7, y₇ = 47b5481dbefa4fa4.

Примітка. Ці значення — це дробові частини квадратних коренів з дев’ятого по шістнадцяте простих чисел.

Метод заповнювання, використовуваний у цій функції такий, як і метод заповнювання, визна­чений у 11.2.

Циклова функція, використовувана у цій геш-функції буде така, як і циклова функція визна­чена у 11.3.

Остаточна 384-бітна геш-функція отримана урізанням SHA-512 вихідної геш-функції до її най- лівіших 384 бітів.

12. СПЕЦІАЛІЗОВАНА ГЕШ-ФУНКЦІЯ 7 (WHIRLPOOL)

У цьому розділі визначено метод заповнювання, початкове значення та циклову функцію, яку використовують у загальній моделі для геш-функцій, описаних в ISO/IEC 10118-1:2000. Якщо за­стосувати метод заповнювання, початкове значення та циклову функцію, визначені тут, до загаль­ної моделі, зазначеної вище, то таким чином буде визначена спеціалізована геш-функція 7. Спеці­алізовану геш-функцію можна застосовувати до будь-яких рядків даних О, що містять щонайбільш 2²⁵⁶-1 бітів.

Міжнародний стандартизований ідентифікатор ISO/IEC для спеціалізованої геш-функції 7 до­рівнює 37 (у шістнадцятковому зображенні).

Примітка. Спеціалізовану геш-функцію 7, визначену в цьому розділі, зазвичай називають WHIRLPOOL, [4].

Для цієї геш-функції t-і = 512, І_₂ = 512, a L_H не перевищує 512.

У специфікації циклової функції цього розділу означено, що блок на вході циклової функції подають у формі матриці М (де всі матриці тут є матрицями розміром 8 на 8 та елементи матриць вибрані з GF(2⁸)), кожен 512-бітний блок утворює таку матрицю. Послідовність з 64 байтів, В - (В_о, S_1? ..., В_вз), буде інтерпретовано як матрицю М, таким чином елемент першого рядка та першого стовпчика матриці буде найлівішим байтом (де найлівіший байт відповідає найбільш зна­чущому) послідовності В (тобто В_о), елемент першого рядка та другого стовпчика матриці буде дру­гим зліва байтом з В (тобто Ві), ..., елемент на перетині восьмого рядка та восьмого стовпця мат­риці буде найправішим байтом В (тобто В₆₃). Це виконують за допомогою функції с₀, визначеної у 13.1.3.

Щоб перетворити геш-код із такої матриці у послідовність байтів, треба застосувати процес, обернений до функції с₀.

Щоб полегшити програмну реалізацію, циклову функцію Ф визначають в термінах операцій над матрицею М. Послідовність функцій с₀, с₂, с₃, с₄ використовують в цикловій функції. їх

визначають так.

Функція с₀ приймає 64-байтову послідовність В = (В_о, Ві. • ••. $бз) ^на вході, та видає матрицю Z' = (z_;y) на виході, де

и; )-6₈,_+у, (0 </,;< 7).

Це означає, що Z' = c₀(S) тоді і тільки тоді, коли (z'y) = B_8/+j (0 < і, j < 7).

Функція c-і приймає на вході матрицю X” ~(х”) та видає іншу матрицю W' = (w-)на виході, де

w' = s[xj],

та де s — блок нелінійної підстановки. Це означає, що W' = с^Х^тоді і тільки тоді, коли w/ = s[xj], (0 < /, у < 7).

Блок s замінює елементи х є GF(2⁸) іншими елементами s[x] є GF(2⁸); як зазначено в таб­лиці 2 (елементи першого стовпчика — «більш значуща частина» х, а елементи першого рядка — «менш значуща частина» х; наприклад, якщо х = 01010110 = 56 (у шістнадцятковому зображенні),

Ф

(0</,/<7).

ункція с₂ приймає на вході матрицю X" = (х[) та видає іншу матрицю ИЛ = (и/')на виході, де

^ij -^(Н) mod 8,/'

Це означає, що W = с₂(Х") тоді і тільки тоді, коли = Х[_Н}тоа8j, (0 < і, j < 7), Функція с₃ приймає на вході матрицю X" та видає іншу матрицю И/’на виході, де

W' = X’ • С"

та де С" — циркулянтна матриця 8 на 8 з елементами з GF(2⁸), її визначають так:

[01 01 04 01 08 05 02 09'

j 09 01 01 04 01 08 05 02

j 02 09 01 01 04 01 08 05

І05 02 09 01 01 04 01 08

і OS 05 02 09 01 01 04 01

j01 08 05 02 09 01 01 04

і 04 01 08 05 02 09 01 01

І_01 04 01 08 05 02 09 01.

Це означає, що И/' = с₃(Х") тоді і тільки тоді, коли W' = X”- С".

Функція Сд приймає на вході матриці X" = (xJ) та У' = (У£) та видає одну матрицю W' = (wJ) на виході, де

Це означає, що W^r = с₄(Х*) тоді і тільки тоді, коли W~ = XJ Є yj, (0 < і, j < 7).

У цій циклової функції використовують послідовність матриць A^r=(A'j) (0 < г< 10), що визна­чена константами. Циклова константа для г-ого циклу — це матриця, визначена як;

(0

д; = о, (1 < / < 7, 0 <; < 7)

Для цієї циклової функції початкове значення, IV, буде рядок з 512 ‘О’бітів.

Рядок даних D має бути заповнений так, щоб він був складений з кількості бітів, кратних 1024. Метод заповнювання діє так:

1. D приєднують до єдиного біта ‘1’.

2. Результат попереднього кроку приєднують до нульових (‘0’) бітів в кількості від нуля до 511 так, щоб довжина (в бітах) результівного рядка була непарним кратним 256.

З Якщо первинна довжина D є /__D, то приєднуємо результівний з попереднього кроку рядок з 256-бітним двійковим зображенням L_D, найбільш значущий біт — перший.

В описі циклової функції, що буде наведено далі, кожен 512-бітний блок даних D_it 1 < і < q подають як матрицю Z' = (zJ) (0 < і, j < 7), як зазначено в 13.1.2, де Zg₀ відповідає найлівішим 8 бітам з Dj, az)₇ відповідає найправішим 8 бітам £),.

Примітка. Приєднання 256-бітнсго рядка t_D у кроці 3 таке, що 256-бітний рядок використовують прямо як другу половину останньої матриці даних, відповідно до узгодження порядку слідування байтів, наведених у 13.1.2, найбільш значущий байт з L_D — перетин п’ятого рядка та першого стовпчика, а найменш значущий байт з — перетин восьмо­го рядка та восьмого стовпчика.

3. 3.3 Опис циклової функції

Циклова функція Ф діє так. Треба зауважити, що в цьому описі використовано символи IV', X", К_о, K_v...,К₁₀ для позначення 13 окремих матриць, вхідні елементи яких вибрано з GF(2⁸) які містять значення, необхідні для обчислень.

1. Вважають, що 512-бітний (перший) вхід до Ф розміщено в матриці Z', де вхідні елементи вибрані з GF(2⁸), який сформований відповідно до узгодження порядку слідування байтів, наведе­них у 13.1.2. Вважають також, що 512-бітний (другий) вхід до Ф розміщено в матриці У' з вхідними елементами з GF(2⁸).

2. Нехай K_Q:= У’; та для і:=1 до 10 нехай

К,- с₄(с₃(с₂(С1(К_и))), XV).

Примітка. Цей крок розгортає матрицю У" у послідовність циклових ключів К_о, ..., К₁₀.

З Нехай X" = c₄(Z',K₀); та для j:=1 до 10 здійснюємо такі два кроки:

(а)IV' := c₄(c₃(c₂(c₁(X"))),Xj);

(b) X":=IV'.

4. Нехай У'GZ'.

Матриця У' подає вихід циклової функції Ф. Після останньої ітерації циклової функції, мат­рицю У'треба перетворити в послідовність з 64 байтів, використовуючи обернення до процедури, визначеної в 13.1.2, де елемент першого рядка та першого стовпця дає перший байт, елемент першого рядка та другого стовпця дає наступний байт, елемент восьмого рядка та восьмого стовпця дає останній байт, 64 байти треба перетворити в рядок з 512 бітів, використовуючи обер­нення процедури, зазначеної в розділі 6, тобто перший (найлівіший) біт буде відповідати найбільш значущому біту першого (найлівішого) байта, та 512-й (найправіший) біт буде відповідати найменш значущому біту 64-ого (найправішого) байта.

На рисунку 6 показані кроки (а) та (Ь) пункту 3 циклової функції Ф спеціалізованої геш-функції 7 (WHIRLPOOL). У циклової функції Ф, кроки, зображені на рисунку 6, використано 10 разів (У = 1, .... 10),

W

Рисунок 6 - Частина циклової функції спеціалізованої геш-функції 7

ДОДАТОК А
(довідковий)

ПРИКЛАДИ

У цьому додатку наведено приклади обчислення спеціалізованих геш-функцій 1—7. У деяких прикладах для кожної геш-функції наведено результати проміжних величин, отриманих під час об­числення геш-функції.

У цьому додатку наведено ASCII кодування рядків даних, це кодування еквівалентне кодуван­ню згідно зі стандартом ISO 646.

А.1 Спеціалізована геш-функція 1

Примітка. Посилання [3] містить псевдокод, що описує спеціалізовану геш-функцію 1.

А. 1.1 Приклад 1

У цьому прикладі рядок з даними — це порожній рядок, тобто рядок нульової довжини.

Геш-кодом для цього рядка даних буде такий 160-бітний рядок: