Перегляд вихідного коду сторінки MD6

{{Infobox encryption method
| name           = MD6
| image          = 
| caption        = 
<!-- General -->
| designers      = [[Рональд Рівест]], Benjamin Agre, Dan Bailey, Sarah Cheng, Christopher Crutchfield, Yevgeniy Dodis, Kermin Fleming, Asif Khan, Jayant Krishnamurthy, Yuncheng Lin, Leo Reyzin, Emily Shen, Jim Sukha, Eran Tromer, Yiqun Lisa Yin
| publish date   = 2008
| series         = [[MD2]], [[MD4]], [[MD5]], MD6
| derived from   = 
| derived to     = 
| related to     = 
| certification  = 
<!-- Detail -->
| digest size    = Змінна, 0<d≤512 біт
| structure      = [[TTH|дерева Меркле]]
| rounds         = Змінна. Стандартно, Unkeyed=40+[d/4], Keyed=max(80,40+(d/4))
<ref name=MD6Report>[[Рональд Рівест]] et Al., [http://groups.csail.mit.edu/cis/md6/submitted-2008-10-27/Supporting_Documentation/md6_report.pdf ''The MD6 Hash Function''] {{Webarchive|url=https://web.archive.org/web/20170812072847/http://groups.csail.mit.edu/cis/md6/submitted-2008-10-27/Supporting_Documentation/md6_report.pdf |date=12 серпня 2017 }}, Crypto 2008</ref>
| cryptanalysis  = 
}}
'''MD6''' ({{lang-en|Message Digest 6}})&nbsp;— алгоритм [[хешування]] змінної розрядності, розроблений професором [[Рональд Рівест|Рональдом Рівестом]] з [[Массачусетський технологічний інститут|Массачусетського Технологічного Інституту]] в [[2008 рік|2008 році]]<ref>{{Cite web|url=http://people.csail.mit.edu/rivest/Rivest-TheMD6HashFunction.ppt|title=The MD6 hash function A proposal to NIST for SHA-3|last=Ronald L. Rivest|first=|date=|website=|publisher=|language=|accessdate=|archive-date=9 листопада 2020|archive-url=https://web.archive.org/web/20201109011321/http://people.csail.mit.edu/rivest/Rivest-TheMD6HashFunction.ppt}} {{Webarchive|url=https://web.archive.org/web/20201109011321/http://people.csail.mit.edu/rivest/Rivest-TheMD6HashFunction.ppt |date=2020-11-09 }}</ref>. Призначений для створення «відбитків» або [[Хеш-сума|дайджестів]] повідомлень довільної довжини. Пропонується на зміну менш досконалого [[MD5]]. За заявою авторів, алгоритм стійкий до [[Диференціальний криптоаналіз|диференціального криптоаналізу.]] Використовується для перевірки цілісності і, у деякому сенсі, достовірності опублікованих повідомлень, шляхом порівняння дайджесту повідомлення з опублікованими. Цю операцію називають «перевірка хешу» ({{lang-en|hashcheck}}). Хеш-функції також широко використовуються для генерації ключів фіксованої довжини для алгоритмів шифрування на основі заданого ключового рядка.

== Історія ==
MD6&nbsp;— один із серії алгоритмів побудови дайджесту повідомлення, розроблений професором [[Рональд Рівест|Рональдом Л. Рівестом]] з Массачусетського Технологічного Інституту. MD6 був вперше представлений на конференції Crypto 2008 як кандидат на стандарт [[SHA-3]]. Однак пізніше в 2009 на цій же конференції Рівест заявив, що MD6 ще не готовий до того, щоб стати стандартом. На офіційному сайті MD6 він заявив, що, хоча формально, заявка не відкликана, в алгоритмі ще залишаються проблеми зі швидкістю і нездатністю забезпечити безпеку у версії зі зменшеною кількістю раундів.<ref>{{cite web|url=http://www.schneier.com/blog/archives/2009/07/md6.html|title=MD6 Withdrawn from SHA-3 Competition|last=Schneier|first=Bruce|date=1 липня 2009|accessdate=9 липня 2009|archiveurl=https://www.webcitation.org/66KjhwBRu?url=http://www.schneier.com/blog/archives/2009/07/md6.html|archivedate=2012-03-21|deadurl=no}}</ref> У результаті MD6 не пройшов до другого кола змагання. Раніше, в грудні 2008, дослідник з Fortify Software знайшов помилку, пов'язану з [[Переповнення буфера|переповненням буфера]] в оригінальній реалізації MD6. 19 лютого 2009 професор Рівест опублікував дані про цю помилку, а також представив виправлення реалізації.<ref>{{Cite web |url=http://blog.fortify.com/repo/Fortify-SHA-3-Report.pdf |title=Архівована копія |accessdate=31 грудня 2016 |archiveurl=https://web.archive.org/web/20120222155656/http://blog.fortify.com/repo/Fortify-SHA-3-Report.pdf |archivedate=22 лютого 2012 |deadurl=yes }} {{Webarchive|url=https://web.archive.org/web/20120222155656/http://blog.fortify.com/repo/Fortify-SHA-3-Report.pdf |date=2012-02-22 }}</ref>

== Алгоритми ==
У алгоритмі хеш-функції застосовані досить оригінальні ідеї. за один прохід обробляється 512 байт, ускладнюючи проведення низки атак і полегшуючи розпаралелювання, для чого застосовується деревоподібні структури.

=== Вхідні данні і процедури ===
{| class="wikitable"
|'''М'''
|вхідне повідомлення довжиною m, ''1 ≤ m ≤ (2<sup>64-1)</sup>'' біт
|-
|'''d'''
|довжина результуючого геша в бітах, ''1 ≤ d ≤ 512''
|-
|'''K'''
|довільне ключове значення довжиною ''keylen'' байт ''(0 ≤ keylen ≤ 64)'', доповнене праворуч нулями числом в 64&nbsp;— ''keylen''
|-
|'''L'''
|невід'ємний параметр розміром 1 байт, ''0 ≤ L ≤ 64'' (за замовчуванням ''L''=64), позначає число паралельних обчислень і глибину дерева
|-
|'''r'''
|невід'ємний параметр розміром 12 біт: число раундів (за замовчуванням ''r=40+[d/4]'')
|-
|'''Q'''
|масив з 15 елементів по 8 байт, його значення вказано нижче
|-
|'''ƒ'''
|функція стиснення MD6, перетворює 712 байт вхідних даних (включаючи блок B розміром 512 байт) в результат ''C'' розміром 128 байт з використанням ''r'' раундів обчислень
|-
|'''PAR'''
|паралельна операція стиснення для кожного рівня дерева, ніколи не викликається при ''L'' = 0
|-
|'''SEQ'''
|послідовна операція стиснення, ніколи не викликається при ''L'' = 64
|}
<blockquote style="background: white; border: 1px solid black; padding: 1em; margin: 0 1em 1em 0;"><pre><nowiki>
Q = {0x7311c2812425cfa0, 0x6432286434aac8e7, 0xb60450e9ef68b7c1, 0xe8fb23908d9f06f1, 
     0xdd2e76cba691e5bf, 0x0cd0d63b2c30bc41, 0x1f8ccf6823058f8a, 0x54e5ed5b88e3775d, 
     0x4ad12aae0a6d6031, 0x3e7f16bb88222e0d, 0x8af8671d3fb50c2c, 0x995ad1178bd25c31, 
     0xc878c1dd04c4b633, 0x3b72066c7a1552ac, 0x0d6f3522631effcb}
</nowiki></pre>Масив Q</blockquote>

=== Основна процедура ===

==== Ініціалізація ====
Позначимо ''l'' = 0, ''M<sub>0</sub>'' = ''M'', ''m<sub>0</sub>'' = ''m''.

==== Основний цикл ====
* ''l = l'' + 1.

* Якщо ''l = L'' + 1, повертаємо SEQ(''M<sub>l-1</sub>'',''d'',''K'',''L'',''r'') як результат.

* ''M<sub>l</sub>'' = PAR(''M<sub>l-1</sub>'',''d'',''K'',''L'',''r'',''l''). Позначимо ''m<sub>l</sub>'' як довжину ''M<sub>l</sub>'' в бітах.

* Якщо ''M<sub>l</sub>'' = 8 * ''c'' (тобто довжина ''M<sub>l</sub>'' становить 8 * ''c'' байт), Повертаємо останні ''d'' бітів ''M<sub>l</sub>''. Інакше повертаємося до початку циклу.

=== Операція PAR ===
PAR повертає повідомлення довжиною ml = 1024 * max(1, [ml-1 / 4096]).

==== Тіло процедури ====
* Якщо потрібно, то розширюємо ''M<sub>l-1</sub>'', додаючи праворуч нульові біти, поки його довжина не стане кратна 512 байт. Тепер розіб'ємо ''M<sub>l-1</sub>'' на блоки ''B<sub>0</sub>'', ''B<sub>1</sub>'', …, ''B<sub>j-1</sub>'', где ''j'' = max(1, [''m<sub>l-1</sub>'' / 512]);

* Для кожного блоку ''B<sub>i</sub>'', ''i = 0, 1, …, j-1'', паралельно обчислюємо ''C<sub>i</sub>'' за наступним алгоритмом:
** Позначимо через ''p'' число доповнених бітів ''B<sub>i</sub>'', ''0 ≤ p ≤'' 4096. (p завжди більше нуля для ''i = j''-1.);
** Позначимо ''z'' = 1, якщо ''j'' = 1, інакше ''z'' = 0;
** Позначимо ''V'' як 8-байтове значення ''r ǁ L ǁ z ǁ p ǁ keylen ǁ d'' таким чином:
*** 4 біта нулів;
*** 12 біт ''r'';
*** 8 біт ''L'';
*** 4 біта ''z'';
*** 16 біт ''p'';
*** 8 біт ''keylen''.
*** 12 біт ''d''.
** Позначимо ''U'' = ''l'' * 2<sup>56</sup> + ''i''&nbsp;— унікальний 8-байтовий ідентифікатор поточного блоку;
** ''C<sub>i</sub>'' = ƒ(''Q'' ǁ ''K'' ǁ ''U'' ǁ ''V'' ǁ ''B<sub>i</sub>'').

* Повертаємо ''M<sub>l</sub>'' = ''C<sub>0</sub>'' ǁ ''C<sub>1</sub>'' ǁ … ǁ ''C<sub>j-1</sub>''.

=== Операція SEQ ===
SEQ повертає хеш довжиною ''d'' біт. Дана операція ніколи не викликається, якщо ''L ='' 64.

==== Тіло процедури ====
* Позначимо через C<sub>−1</sub> нульовий вектор довжиною 128 байт.

* Якщо потрібно, то розширюємо ML, додаючи праворуч нульові біти, поки його довжина не стане кратна 384 байтів. Тепер розіб'ємо ML на блоки ''B<sub>0</sub>'', ''B<sub>1</sub>'', …, ''B<sub>j-1</sub>'', где ''j'' = max(1, [''m<sub>L</sub>'' / 384]).

* Для кожного блоку ''B<sub>i</sub>'', ''i'' = 0, 1, …, ''j''-1, паралельно обчислюємо ''C<sub>i</sub>'' за наступним алгоритмом:
** Позначимо через p число доповнених бітів ''B<sub>i</sub>'', 0 ≤ ''p'' ≤ 3072. (p завжди більше нуля для ''i = j''-1.);
** Позначимо ''z ='' 1, якщо ''i = j''-1, інакше ''z ='' 0;
** Позначимо V як 8-байтове значення ''r ǁ L ǁ z ǁ p ǁ keylen ǁ d'' аналогічно попередньої операції;
** Позначимо ''U'' = (''L'' + 1) * 2<sup>56</sup> + ''i''&nbsp;— унікальний 8-байтовий ідентифікатор поточного блоку;
** ''C<sub>i</sub>'' = ƒ(''Q'' ǁ ''K'' ǁ ''U'' ǁ ''V'' ǁ ''C<sub>i-1</sub>'' ǁ ''B<sub>i</sub>'').
* Повертаємо останні d біт значення ''C<sub>j-1</sub>'' як підсумковий хеш.

=== Функція стиснення MD6 ===

==== Вхідні і вихідні дані ====
Як вхідні дані функція приймає масив N, що складається з n = 89 8-байтових слів (712 байт) і число раундів r.

Функція повертає масив C з 16 елементів по 8 байт.

==== Константи ====
{| class="wikitable"
!t<sub>0</sub>
!t<sub>1</sub>
!t<sub>2</sub>
!t<sub>3</sub>
!t<sub>4</sub>
|-
|17
|18
|21
|31
|67
|}
{| class="wikitable"
|'''(''i''&nbsp;— ''n'') mod 16'''
|'''0'''
|'''1'''
|'''2'''
|'''3'''
|'''4'''
|'''5'''
|'''6'''
|'''7'''
|'''8'''
|'''9'''
|'''10'''
|'''11'''
|'''12'''
|'''13'''
|'''14'''
|'''15'''
|-
|''r<sub>i-n</sub>''
|10
|5
|13
|10
|11
|12
|2
|7
|14
|15
|7
|13
|11
|7
|6
|12
|-
|''l<sub>i-n</sub>''
|11
|24
|9
|16
|15
|9
|27
|15
|6
|2
|29
|8
|15
|5
|31
|9
|}
''S<sub>i-n</sub>'' = ''S<sup>|</sup><sub>(i-n)/16</sub>''

''S<sup>|</sup><sub>0</sub>'' = 0x0123456789abcde

S* = 0x7311c2812425cfa0

''S<sup>|</sup><sub>j+1</sub>'' = (''S<sup>|</sup><sub>j</sub>'' <<< 1) ⊕ (''S<sup>|</sup><sub>j</sub>'' ^ S*)

==== Тіло функції ====
Позначимо t = 16r. (У кожному раунді буде 16 кроків)

Позначимо через A[0..t + n-1] масив t + n 8-байтових елементів. Перші n елементів необхідно скопіювати з вхідного масиву N.

Основний цикл функції виглядає наступним чином: 
: for i = n to t + n 1: /* t steps */
: x = S<sub>i-n</sub> ⊕ A<sub>i-n</sub> ⊕ A<sub>i-t<sub>0</sub></sub>
: x = x ⊕ (A<sub>i-t<sub>1</sub></sub> ^ A<sub>i-t<sub>2</sub></sub>) ⊕ (A<sub>i-t<sub>3</sub></sub> ^ A<sub>i-t<sub>4</sub></sub>): x = x ⊕ (x >> r<sub>i-n</sub>): Ai = x ⊕ (x << l<sub>i-n</sub>)
Повернути ''A[t + n-16 .. t + n-1]''.

== Примітки ==
{{reflist}}


{{Геш-функції та коди аутентифікації повідомлення}}
{{ВП-портали|Програмування|}}
{{Crypto-stub}}
[[Категорія:Криптографічні геш-функції]]