ZUC

LFSR

בשכבה העליונה הצופן מכיל אוגר זיזה ממושב ליניארי הכולל 16 כניסות באורך 31 סיביות כל אחת המסומנות ${\displaystyle (s_{0},s_{1},...,s_{15})}$ כאשר ${\displaystyle s_{i}\in \{1,2,3,...,2^{31}-1\}}$. בכל פעימה תכולת האוגר מוזזת צעד אחד לימין כלומר תכולת כל תא מועתקת לתא הבא שלימינו והתא הראשון (${\displaystyle s_{15}}$) מתעדכן לפי הפונקציה להלן. בשלב האתחול האוגר מקבל מילה אחת ${\displaystyle u}$ באורך 31 סיביות המתקבלת על ידי הסרת הסיבית הימנית (הכי פחות משמעותית) של הפלט ${\displaystyle W}$ של הפונקציה האי-ליניארית, כלומר ${\displaystyle u=W\gg 1}$. בשלב האתחול בהינתן הקלט ${\displaystyle u}$ מתבצעים המהלכים הבאים:

1. ${\displaystyle v=2^{15}s_{15}+2^{17}s_{13}+2^{21}s_{10}2^{20}s_{4}+(1+2^{8})s_{0}{\text{ mod }}(2^{31}-1)}$;
2. ${\displaystyle s_{16}=(v+u){\text{ mod }}(2^{31}-1)}$;
3. ${\displaystyle {\text{If }}s_{16}=0{\text{ then set }}s_{16}=2^{31}-1}$;
4. ${\displaystyle (s_{1},s_{2},...,s_{15},s_{16})\rightarrow (s_{0},s_{1},...,s_{14},s_{15})}$.

במצב עבודה ה-LFSR אינו מקבל קלט ופועל כדלהלן:

1. ${\displaystyle s_{16}=2^{15}s_{15}+2^{17}s_{13}+2^{21}s_{10}2^{20}s_{4}+(1+2^{8})s_{0}{\text{ mod }}(2^{31}-1)}$;
2. ${\displaystyle {\text{If }}s_{16}=0{\text{ then set }}s_{16}=2^{31}-1}$;
3. ${\displaystyle (s_{1},s_{2},...,s_{15},s_{16})\rightarrow (s_{0},s_{1},...,s_{14},s_{15})}$.

מהיבט פרקטי כפל האלמנט ${\displaystyle s_{j}}$ בחזקות ${\displaystyle i}$ של 2 מעל השדה ${\displaystyle GF(2^{31}-1)}$ מתבצע על ידי הזזה מעגלית של ${\displaystyle s_{j}}$ לשמאל ${\displaystyle i}$ סיביות. לכן במהלך 1 לעיל כל שנדרש הוא חיבור מודולו ${\displaystyle 2^{31}-1}$ לאחר סדרה של כמה הזזות. ההזזה המעגלית בקוד נראית כך:

${\displaystyle ((s_{j}\ll i)\lor (s_{j}\gg (31-i)))\land {\text{0x7FFFFFFF}}}$.

ובאופן כללי מהלך 1 המתואר לעיל ניתן לביצוע בתוכנה באופן הבא:

${\displaystyle v=(s_{15}\lll _{31}15)+(s_{13}\lll _{31}17)+(s_{10}\lll _{31}21)+(s_{4}\lll _{31}20)+(s_{0}\lll _{31}8)+(s_{0}{\text{ mod }}2^{31}-1))}$.

חיבור שני אלמנטים ${\displaystyle a}$ ו-${\displaystyle b}$ מעל השדה ${\displaystyle GF(2^{31}-1)}$ ניתן לביצוע באופן הבא: תחילה מחשבים את ${\displaystyle v=a+b}$ ואם מתרחשת גלישה כלומר סיבית הנשא היא 1 מבצעים בנוסף ${\displaystyle v=v+1}$. התנאי שבודק אם הסיבית העליונה היא '1' פותח פתח להתקפת תיזמון - סוג של התקפת ערוץ צדדי, כיוון שכעת מהירות פעולת החיבור תלויה בסיבית זו לכן ניתן לבצע ניתוח סטטיסטי של מהירות החישוב כדי לחשוף סיביות. כדי לעקוף בעיה זו מבצעים באופן קבוע כך: תחילה מחשבים את ${\displaystyle w=a+b}$ כאשר ${\displaystyle w}$ הוא ערך באורך 32 סיביות ואז ${\displaystyle v}$ שווה 31 הסיביות הכי פחות משמעותיות של ${\displaystyle w}$ וכעת נוטלים את הסיבית הכי משמעותית של ${\displaystyle w}$ מזיזים אותה להתחלה ומחברים עם ${\displaystyle v}$ הקוד נראה כך:

${\displaystyle w=a+b,v=(w\land {\text{0x7FFFFFFF}})+(w\gg 31)}$

סידור מחדש (BitReorganization)

בשכבה האמצעית של האלגוריתם הנקראת בקיצור BR, מחלצים 128 סיביות משמונה תאים של ה-LFSR במיקומים המתוארים להלן ומהם מרכיבים ארבע מילים באורך 32 סיביות. שלוש המילים הראשונות ישמשו קלט לפונקציה האי-ליניארית להלן ואילו המילה הרביעית משתתפת ביצירת מילת פלט אחת של זרם המפתח. המיקומים ב-LFSR מהם נוטלים סיביות הם: ${\displaystyle s_{0},s_{2},s_{5},s_{7},s_{9},s_{11},s_{14},s_{15}}$. ארבע המילים האמורות מיוצגות על ידי ${\displaystyle X_{0},X_{1},X_{2},X_{3}}$ אותם מרכיבים על ידי חצאי הקלט לפי הסדר הבא:

1. ${\displaystyle X_{0}=s_{15H}\ \|\ s_{14L}}$;
2. ${\displaystyle X_{1}=s_{11L}\ \|\ s_{9H}}$;
3. ${\displaystyle X_{2}=s_{7L}\ \|\ s_{5H}}$;
4. ${\displaystyle X_{3}=s_{2L}\ \|\ s_{0H}}$.

הסמלים ${\displaystyle H}$ ו-${\displaystyle L}$ מייצגים את החצי העליון והחצי התחתון של המילה בהתאמה. למשל ${\displaystyle s_{iH}}$ פירושו הסיביות ${\displaystyle 30...15}$ ולא ${\displaystyle 31...16}$ של ${\displaystyle s_{i}}$ היות ש-${\displaystyle s_{i}}$ מוגדר באורך 31 סיביות. לדוגמה בשורה 1 לעיל הערך של ${\displaystyle X_{0}}$ הוא שרשור של 16 הסיביות המשמעותיות ביותר של ${\displaystyle s_{15}}$ החל מהסיבית במיקום ה-15 ועד הסיבית ה-30 עם 16 הסיביות הפחות משמעותיות של ${\displaystyle s_{14}}$ החל מהסיבית במיקום ה-0 ועד הסיבית ה-15.

פונקציה אי-ליניארית

השכבה התחתונה כוללת פונקציה ${\displaystyle F}$ המכילה שני תאי זיכרון ${\displaystyle R_{1}}$ ו-${\displaystyle R_{2}}$ באורך 32 סיביות כל אחד. הקלט הוא ${\displaystyle X_{0},X_{1},X_{2}}$ שהם פלט השכבה הקודמת והפלט הוא מילה ${\displaystyle W}$ באורך 32 סיביות. ביתר פירוט:

1. ${\displaystyle W=(X_{0}\oplus R_{1})\boxplus R_{2}}$;
2. ${\displaystyle W_{1}=R_{1}\boxplus X_{1}}$;
3. ${\displaystyle W_{2}=R_{2}\oplus X_{2}}$;
4. ${\displaystyle R_{1}=S(L_{1}(W_{1L}\ \|\ W_{2H}))}$;
5. ${\displaystyle R_{2}=S(L_{2}(W_{2L}\ \|\ W_{1H}))}$.

הפונקציה ${\displaystyle S}$ היא תיבות החלפה S-box בגודל 32x32 סיביות והפונקציות ${\displaystyle L_{1}}$ ו-${\displaystyle L_{2}}$ הן פונקציות ליניאריות כמתואר להלן.

תיבות החלפה

${\displaystyle S}$ הוא תיבת החלפה s-box בגודל 32x32 המורכבת מארבע תיבות ${\displaystyle S=(S_{0},S_{1},S_{2},S_{3})}$ שהן פונקציות אי-ליניאריות קבועות בצורת ארבע טבלאות בגודל 8x8 (המכילות 256 כניסות בגודל 8 סיביות). כאשר ${\displaystyle S_{2}=S_{0}}$ וכן ${\displaystyle S_{3}=S_{1}}$. והטבלאות ${\displaystyle S_{0}}$ ו-${\displaystyle S_{1}}$ מובאות להלן. הפונקציה ${\displaystyle S_{i}}$ מקבלת את הקלט ${\displaystyle x=h\|l}$ בגודל בית אחד ומחזירה את הערך הנמצא בכניסה הנמצאת בשורה ${\displaystyle h}$ ובעמודה ${\displaystyle l}$ בטבלה וכן לגבי יתר הבתים של מילת הקלט (בסך הכול ארבעה בתים במילה), ${\displaystyle X=x_{0}\|x_{1}\|x_{2}\|x_{3}}$, ו-${\displaystyle Y=y_{0}\|y_{1}\|y_{2}\|y_{3}}$ כאשר ${\displaystyle x_{i}}$ ו-${\displaystyle y_{i}}$ הם בתים. הפונקציה ${\displaystyle S}$ אם כן מוגדרת כך: ${\displaystyle y_{i}=S_{i}(x_{i})}$ כאשר ${\displaystyle i=0,1,2,3}$.

טרנספורמציה ליניארית

ישנן שתי פונקציות ליניאריות ${\displaystyle L_{1}}$ ו-${\displaystyle L_{2}}$ הפועלות על קלט של מילים באורך 32 סיביות ומפיקות פלט של מילים באורך 32 סיביות והן מוגדרות כדלהלן:

${\displaystyle L_{1}(X)=X\oplus (X\lll _{32}2)\oplus (X\lll _{32}10)\oplus (X\lll _{32}18)\oplus (X\lll _{32}24)}$,

${\displaystyle L_{2}(X)=X\oplus (X\lll _{32}8)\oplus (X\lll _{32}14)\oplus (X\lll _{32}22)\oplus (X\lll _{32}30)}$.

הכנת מפתח

תהליך ההכנה מקבל את המפתח הראשוני המסופק על ידי המשתמש מחולק ל-16 בתים ${\displaystyle k=k_{0}\|k_{1}\|...\|k_{15}}$ (128 סיביות) וכן וקטור האתחול ${\displaystyle iv=iv_{0}\|iv_{1}\|...\|iv_{15}}$ (16 בתים), וטוען אותם לתוך 16 הכניסות של אוגר ה-LFSR בתוספת קבוע ${\displaystyle D}$ באורך 240 סיביות המובא להלן, המחולק ל-16 מקטעים באורך 15 סיביות כל אחד ${\displaystyle D=d_{0}\|d_{1}\|...\|d_{15}}$. הערך ההתחלתי של כל כניסה באוגר הוא שרשור של שלושת הערכים: קטע אחד מהמפתח, חלק אחד מהקבוע ${\displaystyle D}$ להלן וחלק מוקטור האתחול, כך:

${\displaystyle s_{i}=k_{i}\ \|\ d_{i}\ \|\ iv_{i}}$ עבור ${\displaystyle 0\leq i\leq 15}$.

הקבוע ${\displaystyle D}$ הוא:

${\displaystyle d_{0}={\text{44D7}},d_{1}={\text{26BC}},d_{2}={\text{626B}},d_{3}={\text{135E}},d_{4}={\text{5789}},d_{5}={\text{35E2}},d_{6}={\text{7135}},d_{7}={\text{09AF}}}$,

${\displaystyle d_{8}={\text{4D78}},d_{9}={\text{2F13}},d_{10}={\text{6BC4}},d_{11}={\text{1AF1}},d_{12}={\text{5E26}},d_{13}={\text{3C4D}},d_{14}={\text{789A}},d_{15}={\text{47AC}}}$.