В криптографії MESH блочний шифр що є модифікацією IDEA Розроблений Вінсентом Рейменом Бартом Пренелем і в 2002 році На

В криптографії, MESH — блочний шифр, що є модифікацією IDEA. Розроблений , Вінсентом Рейменом, Бартом Пренелем і в 2002 році. На відміну від IDEA, MESH має більш складну раундову структуру. Інший алгоритм генерації ключів дозволяє MESH уникати проблеми слабких ключів .

MESH
Розробники	, Реймен, Пренель,
Уперше оприлюднений	2002
Раундів	8.5, 10.5, 12.5
Тип	Підстановлювально-переустановлена мережа

Структура шифру

Кожен раунд в IDEA і MESH складається з операцій додавання та множення. Послідовність таких обчислень в межах одного раунду утворює MA-бокс. Всі MA-бокси в MESH використовують мінімум три чергових рівнів додавань і множень (за схемою «зигзаг»), в той час, як в IDEA таких тільки два. Це робить MESH більш стійким проти диференціальної і лінійної криптоатак. Також, з метою уникнення проблеми слабких ключів, в MESH використовуються два наступних принципи:

Кожне підключення залежить від багатьох подключень, точнішео — як мінімум від шести попередніх ключів нелінійно.
Використовуються фіксовані константи. Без них, наприклад, ключ з усіх нулів перейшов би в підключі, кожна з яких дорівнювала б нулю в будь-якому раунді.

Як і в IDEA, MESH використовує такі операції:

Множення по модулю $2^{16}+1$ , при чому замість нуля використовується $2^{16}$ ( $\odot$ )
Бітовий зсув вліво на $n$ бит ( $\lll \ n$ )
Складання по модулю $2^{16}$ ( $\boxplus$ )
Побітова Виключна диз'юнкція ( $\oplus$ )

Операції розташовані в порядку зменшення пріоритету. В обчисленнях запис $A_{k}^{(i)}$ позначає 16-ти бітове слово. Індекси описуються далі.

MESH описується в трьох варіаціях за розмірами блоку: 64, 96, 128 біт. Розмір ключа при цьому береться вдвічі більший .

MESH-64

У даній варіації розмір блоку становить 64 біт, ключ — 128 біт. Шифрування проходить в 8.5 раундів. Половина раунду відноситься до вихідних перетворень .

Раундові перетворення

Позначимо вхідну інформацію для $i$ -го раунду:
$X^{(i)}\ =\ (X_{1}^{(i)},\ X_{2}^{(i)},\ X_{3}^{(i)},\ X_{4}^{(i)}),\ i=1...9$

Кожен раунд складається з двох частин: перемішування вхідних даних з підключами і MA-обчислення. На парних і непарних раундах перемішування відбувається по-різному:

Для непарних раундів:

$(Y_{1}^{(i)},\ Y_{2}^{(i)},\ Y_{3}^{(i)},\ Y_{4}^{(i)})\ =\ (X_{1}^{(i)}\ \odot \ Z_{1}^{(i)},\ X_{2}^{(i)}\ \boxplus \ Z_{2}^{(i)},\ X_{3}^{(i)}\ \boxplus \ Z_{3}^{(i)},\ X_{4}^{(i)}\ \odot \ Z_{4}^{(i)})$ .

Для парних раундів:

$(Y_{1}^{(i)},\ Y_{2}^{(i)},\ Y_{3}^{(i)},\ Y_{4}^{(i)})\ =\ (X_{1}^{(i)}\ \ boxplus\ Z_{1}^{(i)},\ X_{2}^{(i)}\ \ odot\ Z_{2}^{(i)},\ X_{3}^{(i)}\ \ odot\ Z_{3}^{(i)},\ X_{4}^{(i)}\ \ boxplus\ Z_{4}^{(i)})$ .

Перетворення, що виконуються MA-боксами, однакові для всіх раундів. Вхідні дані для них виходять наступним чином:
$(Y_{5}^{(i)},\ Y_{6}^{(i)})\ =\ (Y_{1}^{(i)}\ \oplus \ Y_{3}^{(i)},\ Y_{2}^{(i)}\ \oplus \ Y_{4}^{(i)})$

МА-обчислення описуються наступними формулами:
$Y_{7}^{(i)}\ =\ ((Y_{5}^{(i)}\ \odot \ Z_{5}^{(i)}\ \boxplus \ Y_{6}^{(i)})\ \odot \ Z_{6}^{(i)}\ \boxplus \ (Y_{5}^{(i)}\ \odot \ Z_{5}^{(i)}))\ \odot \ Z_{7}^{(i)}$
$Y_{8}^{(i)}\ =\ Y_{7}^{(i)}\ \boxplus \ ((Y_{5}^{(i)}\ \odot \ Z_{5}^{(i)}\ \boxplus \ Y_{6}^{(i)})\ \odot \ Z_{6}^{(i)})$

Використовуючи результати, отримані MA-боксами, знаходимо вхідні дані для наступного раунду:
$X^{(i+1)}\ =\ (Y_{1}^{(i)}\ \oplus \ Y_{8}^{(i)},\ Y_{3}^{(i)}\ \oplus \ Y_{8}^{(i)},\ Y_{2}^{(i)}\ \oplus \ Y_{7}^{(i)},\ Y_{4}^{(i)}\ \oplus \ Y_{7}^{(i)})$

Згідно зі схемою, для отримання зашифрованого повідомлення, необхідно після восьмого раунду провести перемішування по непарній схемі $(i=9)$

Генерація ключів

Для генерації ключів використовується 128-бітний, призначений для користувача ключ, а також 16-бітові константи $c_{i}$ : $c_{0}\ =\ 1$ , $c_{i}\ =\ 3c_{i-1}$ , вони обчислюються в Полі Галуа $GF(2^{16})$ по модулю багаточлена $x^{16}\ +\ x^{5}\ +\ x^{3}\ +\ x^{2}\ +\ 1$ . Призначений для користувача ключ, розбивається на 8 16-бітових слів $K_{i},\ 0\ \ leqslant\ i\ \ leqslant\ 7$ .

Обчислення підключів відбувається наступним чином: :
$Z_{i+1}^{(1)}\ =\ K_{i}\ \oplus \ c_{i},\ 0\ \leqslant \ i\ \leqslant \ 6$
$Z_{1}^{(2)}\ =\ K_{7}\ \oplus \ c_{7}$
$Z_{l(i)}^{(h(i))}\ =\ (((((Z_{l(i-8)}^{(h(i-8))}\ \boxplus \ Z_{l(i-7)}^{(h(i-7))})\ \oplus \ Z_{l(i-6)}^{(h(i-6))})\ \boxplus \ Z_{l(i-3)}^{(h(i-3))})\ \oplus \ Z_{l(i-2)}^{(h(i-2))})\ \boxplus \ Z_{l(i-1)}^{(h(i-1))})\ \lll \ 7\ \oplus \ c_{i},$
где $8\ \leqslant \ i\ \leqslant \ 59,\ h(i)\ =\ i\ div\ 7\ +\ 1,\ l(i)\ =\ i\ {\bmod {\ }}7\ +\ 1$ .

Розшифровка

Для розшифровки MESH, як і IDEA, використовують вже існуючу схему, але зі зміненими раундовими підключами. Позначимо підключі, що використовувалися при шифруванні, в такий спосіб:
$(Z_{1}^{(r)},\ ...\ Z_{7}^{(r)}),\ 1\ \ leqslant\ r\ \ leqslant\ 8$ — підключі повних раундів;
$(Z_{1}^{(9)},\ ...\ Z_{4}^{(9)})$ — підключі вихідних перетворень.

Тоді підключі розшифровки задаються наступним чином : :

$((Z_{1}^{(9)})^{-1},\ -Z_{2}^{(9)},\ -Z_{3}^{(9)},\ (Z_{4}^{(9)})^{-1},\ Z_{5}^{(8)},\ Z_{6}^{(8)},\ Z_{7}^{(8)})$ , — первий раунд розшифровки;
$(-Z_{1}^{(10-r)},\ (Z_{3}^{(10-r)})^{-1},\ (Z_{2}^{(10-r)})^{-1},\ -Z_{4}^{(10-r)},\ Z_{5}^{(9-r)},\ Z_{6}^{(9-r)},\ Z_{7}^{(9-r)})$ , — $r$ -й парний раунд, $r\ \in \ \{2,\ 4,\ 6,\ 8\}$ ;
$((Z_{1}^{(9-r)})^{-1},\ -Z_{3}^{(9-r)},\ -Z_{2}^{(9-r)},\ (Z_{4}^{(9-r)})^{-1},\ Z_{5}^{(8-r)},\ Z_{6}^{(8-r)},\ Z_{7}^{(8-r)})$ , — $r$ -й непарний раунд, $r\ \in \ \{3,\ 5,\ 7\}$ ;
$((Z_{1}^{(1)})^{-1},\ -Z_{2}^{(1)},\ -Z_{3}^{(1)},\ (Z_{4}^{(1)})^{-1})$ , — вихідні перетворення.

MESH-96

У даній варіації розмір блоку становить 96 біт, ключ — 192 біт. Шифрування проходить в 10.5 раундів. Половина раунду відноситься до вихідних перетворень .

Раундові перетворення

Позначимо вхідну інформацію для $i$ -го раунду:
$X^{(i)}\ =\ (X_{1}^{(i)},\ X_{2}^{(i)},\ X_{3}^{(i)},\ X_{4}^{(i)},\ X_{5}^{(i)},\ X_{6}^{(i)}),\ i=1...11$

Кожен раунд складається з двох частин: перемішування вхідних даних із підключами і MA-обчислення. На парних і непарних раундах перемішування відбувається по-різному:

Для непарних раундів:

$(Y_{1}^{(i)},\ Y_{2}^{(i)},\ Y_{3}^{(i)},\ Y_{4}^{(i)},\ Y_{5}^{(i)},\ Y_{6}^{(i)})\ =\ (X_{1}^{(i)}\ \odot \ Z_{1}^{(i)},\ X_{2}^{(i)}\ \boxplus \ Z_{2}^{(i)},\ X_{3}^{(i)}\ \odot \ Z_{3}^{(i)},\ X_{4}^{(i)}\ \boxplus \ Z_{4}^{(i)},\ X_{5}^{(i)}\ \odot \ Z_{5}^{(i)},\ X_{6}^{(i)}\ \boxplus \ Z_{6}^{(i)})$

Для парних раундів:

$(Y_{1}^{(i)},\ Y_{2}^{(i)},\ Y_{3}^{(i)},\ Y_{4}^{(i)},\ Y_{5}^{(i)},\ Y_{6}^{(i)})\ =\ (X_{1}^{(i)}\ \boxplus \ Z_{1}^{(i)},\ X_{2}^{(i)}\ \odot \ Z_{2}^{(i)},\ X_{3}^{(i)}\ \boxplus \ Z_{3}^{(i)},\ X_{4}^{(i)}\ \odot \ Z_{4}^{(i)},\ X_{5}^{(i)}\ \boxplus \ Z_{5}^{(i)},\ X_{6}^{(i)}\ \odot \ Z_{6}^{(i)})$ Перетворення, що виконуються MA-боксами, однакові для всіх раундів. Вхідні дані для них виходять наступним чином:
$(Y_{7}^{(i)},\ Y_{8}^{(i)},\ Y_{9}^{(i)})\ =\ (Y_{1}^{(i)}\ \oplus \ Y_{4}^{(i)},\ Y_{2}^{(i)}\ \oplus \ Y_{5}^{(i)},\ Y_{3}^{(i)}\ \oplus \ Y_{6}^{(i)})$

МА-обчислення описуються наступними формулами:
$Y_{10}^{(i)}\ =\ (((Y_{7}^{(i)}\ \odot \ Z_{7}^{(i)}\ \boxplus \ Y_{8}^{(i)})\ \odot \ Y_{9}^{(i)}\ \boxplus \ Z_{8}^{(i)})\ \odot \ (Y_{7}^{(i)}\ \odot \ Z_{7}^{(i)}\ \boxplus \ Y_{8}^{(i)})\ \boxplus \ Y_{7}^{(i)}\ \odot \ Z_{7}^{(i)})\ \odot \ Z_{9}^{(i)}$
$Y_{11}^{(i)}\ =\ Y_{10}^{(i)}\ \boxplus \ ((Y_{7}^{(i)}\ \odot \ Z_{7}^{(i)}\ \boxplus \ Y_{8}^{(i)})\ \odot \ Y_{9}^{(i)}\ \boxplus \ Z_{8}^{(i)})\ \odot \ (Y_{7}^{(i)}\ \odot \ Z_{7}^{(i)}\ \boxplus \ Y_{8}^{(i)})$
$Y_{12}^{(i)}\ =\ Y_{11}^{(i)}\ \odot \ ((Y_{7}^{(i)}\ \odot \ Z_{7}^{(i)}\ \boxplus \ Y_{8}^{(i)})\ \odot \ Y_{9}^{(i)}\ \boxplus \ Z_{8}^{(i)})$

Використовуючи результати, отримані MA-боксами, знаходимо вхідні дані для наступного раунду:
$X^{(i+1)}\ =\ (Y_{1}^{(i)}\ \oplus \ Y_{12}^{(i)},\ Y_{4}^{(i)}\ \oplus \ Y_{12}^{(i)},\ Y_{5}^{(i)}\ \oplus \ Y_{11}^{(i)},\ Y_{2}^{(i)}\ \oplus \ Y_{11}^{(i)},\ Y_{3}^{(i)}\ \oplus \ Y_{10}^{(i)},\ Y_{6}^{(i)}\ \oplus \ Y_{10}^{(i)})$

Для отримання зашифрованого повідомлення, необхідно після 10-го раунду провести перемішування за непарною схемою $(i=9)$

Генерація ключів

Для генерації ключів використовується 192-бітний, призначений для користувача, ключ, а також 16-бітові константи, такі ж, як і для MESH-64.

Обчислення подключів відбувається наступним чином: :
$Z_{i+1}^{(1)}\ =\ K_{i}\ \oplus \ c_{i},\ 0\ \leqslant \ i\ \leqslant \ 8$
$Z_{1}^{(2)}\ =\ K_{9}\ \oplus \ c_{9}$
$Z_{2}^{(2)}\ =\ K_{10}\ \oplus \ c_{10}$
$Z_{3}^{(2)}\ =\ K_{11}\ \oplus \ c_{11}$
$Z_{l(i)}^{(h(i))}\ =\ (((((Z_{l(i-12)}^{(h(i-12))}\ \boxplus \ Z_{l(i-8)}^{(h(i-8))})\ \oplus \ Z_{l(i-6)}^{(h(i-6))})\ \boxplus \ Z_{l(i-4)}^{(h(i-4))})\ \oplus \ Z_{l(i-2)}^{(h(i-2))})\ \boxplus \ Z_{l(i-1)}^{(h(i-1))})\ \lll \ 9\ \oplus \ c_{i},$
где $12\ \leqslant \ i\ \leqslant \ 95,\ h(i)\ =\ i\ div\ 9\ +\ 1,\ l(i)\ =\ i\ {\bmod {\ }}9\ +\ 1$ .

Розшифровка

Для розшифровки MESH, як і IDEA, використовує вже існуючу схему, але зі зміненими раундовими підключами. Позначимо підключі, що використовувалися при шифруванні, в такий спосіб:
$(Z_{1}^{(r)},\ ...\ Z_{9}^{(r)}),\ 1\ \ leqslant\ r\ \ leqslant\ 10$ — підключі повних раундів;
$(Z_{1}^{(11)},\ ...\ Z_{6}^{(11)})$ — підключі вихідних перетворень.

Тоді підключі розшифровки задаються наступним чином :

$((Z_{1}^{(11)})^{-1},\ -Z_{2}^{(11)},\ (Z_{3}^{(11)})^{-1},\ -Z_{4}^{(11)},\ (Z_{5}^{(11)})^{-1},\ -Z_{6}^{(11)},\ Z_{7}^{(10)},\ Z_{8}^{(10)},\ Z_{9}^{(10)})$ , — перший раунд розшифровки;
$(-Z_{1}^{(12-r)},\ (Z_{4}^{(12-r)})^{-1},\ -Z_{5}^{(12-r)},\ (Z_{2}^{(12-r)})^{-1},\ -Z_{3}^{(12-r)},\ (Z_{6}^{(12-r)})^{-1},\ Z_{7}^{(11-r)},\ Z_{8}^{(11-r)},\ Z_{9}^{(11-r)})$ , — $r$ -й парний раунд, $r\ \in \ \{2,\ 4,\ 6,\ 8,\ 10\}$ ;
$((Z_{1}^{(11-r)})^{-1},\ -Z_{4}^{(11-r)},\ (Z_{5}^{(11-r)})^{-1},\ -Z_{2}^{(11-r)},\ (Z_{3}^{(11-r)})^{-1},\ -Z_{6}^{(11-r)},\ Z_{7}^{(10-r)},\ Z_{8}^{(10-r)},\ Z_{9}^{(10-r)})$ , — $r$ -й непарний раунд, $r\ \in \ \{3,\ 5,\ 7,\ 9\}$ ;
$((Z_{1}^{(1)})^{-1},\ -Z_{2}^{(1)},\ (Z_{3}^{(1)})^{-1},\ -Z_{4}^{(1)},\ (Z_{5}^{(1)})^{-1},\ -Z_{6}^{(1)})$ , — вихідні перетворення.

MESH-128

У даній варіації розмір блоку становить 128 біт, ключ — 256 біт. Шифрування проходить в 12.5 раундів. Половина раунду відноситься до вихідних перетворень .

Ранундові перетворення

Позначимо вхідну інформацію для $i$ -го раунду:
$X^{(i)}\ =\ (X_{1}^{(i)},\ X_{2}^{(i)},\ X_{3}^{(i)},\ X_{4}^{(i)},\ X_{5}^{(i)},\ X_{6}^{(i)},\ X_{7}^{(i)},\ X_{8}^{(i)}),\ i=1...13$ Кожен раунд складається з двох частин: перемішування вхідних даних із підключами і MA-обчислення. На парних і непарних раундах перемішування відбувається по-різному:

Для непарних раундів:

$(Y_{1}^{(i)},\ Y_{2}^{(i)},\ Y_{3}^{(i)},\ Y_{4}^{(i)},\ Y_{5}^{(i)},\ Y_{6}^{(i)},\ Y_{7}^{(i)},\ Y_{8}^{(i)})\ =$
$\ \ \ \ \ \ \ \ \ \ \ \ \ (X_{1}^{(i)}\ \odot \ Z_{1}^{(i)},\ X_{2}^{(i)}\ \boxplus \ Z_{2}^{(i)},\ X_{3}^{(i)}\ \odot \ Z_{3}^{(i)},\ X_{4}^{(i)}\ \boxplus \ Z_{4}^{(i)},\ X_{5}^{(i)}\ \odot \ Z_{5}^{(i)},\ X_{6}^{(i)}\ \boxplus \ Z_{6}^{(i)},\ X_{7}^{(i)}\ \odot \ Z_{7}^{(i)},\ X_{8}^{(i)}\ \boxplus \ Z_{8}^{(i)})$

Для парних раундів:

$(Y_{1}^{(i)},\ Y_{2}^{(i)},\ Y_{3}^{(i)},\ Y_{4}^{(i)},\ Y_{5}^{(i)},\ Y_{6}^{(i)},\ Y_{7}^{(i)},\ Y_{8}^{(i)})\ =$
$\ \ \ \ \ \ \ \ \ \ \ \ \ (X_{1}^{(i)}\ \boxplus \ Z_{1}^{(i)},\ X_{2}^{(i)}\ \odot \ Z_{2}^{(i)},\ X_{3}^{(i)}\ \boxplus \ Z_{3}^{(i)},\ X_{4}^{(i)}\ \odot \ Z_{4}^{(i)},\ X_{5}^{(i)}\ \boxplus \ Z_{5}^{(i)},\ X_{6}^{(i)}\ \odot \ Z_{6}^{(i)},\ X_{7}^{(i)}\ \boxplus \ Z_{7}^{(i)},\ X_{8}^{(i)}\ \odot \ Z_{8}^{(i)})$

Перетворення, що виконуються MA-боксами, однакові для всіх раундів. Вхідні дані для них виходять наступним чином:
$(Y_{9}^{(i)},\ Y_{10}^{(i)},\ Y_{11}^{(i)},\ Y_{12}^{(i)})\ =\ (Y_{1}^{(i)}\ \oplus \ Y_{5}^{(i)},\ Y_{2}^{(i)}\ \oplus \ Y_{6}^{(i)},\ Y_{3}^{(i)}\ \oplus \ Y_{7}^{(i)},\ Y_{4}^{(i)}\ \oplus \ Y_{8}^{(i)})$
.

МА-обчислення описуються наступними формулами:

$Y_{13}^{(i)}\ =\ Y_{9}^{(i)}\ \odot \ Z_{9}^{(i)},\ \ \ \ \ Y_{14}^{(i)}\ =\ Y_{13}^{(i)}\ \boxplus \ Y_{10}^{(i)},$
$Y_{15}^{(i)}\ =\ Y_{14}^{(i)}\ \odot \ Y_{11}^{(i)},\ \ \ \ \ Y_{16}^{(i)}\ =\ Y_{15}^{(i)}\ \boxplus \ Y_{12}^{(i)},$
$Y_{17}^{(i)}\ =\ Y_{16}^{(i)}\ \odot \ Z_{10}^{(i)},\ \ \ \ \ Y_{18}^{(i)}\ =\ Y_{15}^{(i)}\ \boxplus \ Y_{17}^{(i)},$
$Y_{19}^{(i)}\ =\ Y_{14}^{(i)}\ \odot \ Y_{18}^{(i)},\ \ \ \ \ Y_{20}^{(i)}\ =\ Y_{13}^{(i)}\ \boxplus \ Y_{19}^{(i)},$
$Y_{21}^{(i)}\ =\ Y_{20}^{(i)}\ \odot \ Z_{11}^{(i)},\ \ \ \ \ Y_{22}^{(i)}\ =\ Y_{19}^{(i)}\ \boxplus \ Y_{21}^{(i)},$
$Y_{23}^{(i)}\ =\ Y_{18}^{(i)}\ \odot \ Y_{22}^{(i)},\ \ \ \ \ Y_{24}^{(i)}\ =\ Y_{17}^{(i)}\ \boxplus \ Y_{23}^{(i)},$
$Y_{25}^{(i)}\ =\ Y_{24}^{(i)}\ \odot \ Z_{12}^{(i)},\ \ \ \ \ Y_{26}^{(i)}\ =\ Y_{23}^{(i)}\ \boxplus \ Y_{25}^{(i)},$
$Y_{27}^{(i)}\ =\ Y_{22}^{(i)}\ \odot \ Y_{26}^{(i)},\ \ \ \ \ Y_{28}^{(i)}\ =\ Y_{21}^{(i)}\ \boxplus \ Y_{27}^{(i)}.$

Використовуючи результати, отримані MA-боксами, знаходимо вхідні дані для наступного раунду:
$X^{(i+1)}\ =\ (Y_{1}^{(i)}\ \oplus \ Y_{25}^{(i)},\ Y_{5}^{(i)}\ \oplus \ Y_{25}^{(i)},\ Y_{6}^{(i)}\ \oplus \ Y_{26}^{(i)},\ Y_{7}^{(i)}\ \oplus \ Y_{27}^{(i)},\ Y_{2}^{(i)}\ \oplus \ Y_{26}^{(i)},\ Y_{3}^{(i)}\ \oplus \ Y_{27}^{(i)},\ Y_{4}^{(i)}\ \oplus \ Y_{28}^{(i)},\ Y_{8}^{(i)}\ \oplus \ Y_{28}^{(i)})$

Для отримання зашифрованого повідомлення необхідно після 12-го раунду провести перемішування за непарною схемою $(i=9)$

Генерація ключів

Для генерації ключів використовується 256-бітний, призначений для користувача, ключ, а також 16-бітові константи, такі ж, як для MESH-64 і для MESH-96.

Обчислення подключів відбувається наступним чином: :
$Z_{i+1}^{(1)}\ =\ K_{i}\ \oplus \ c_{i},\ 0\ \leqslant \ i\ \leqslant \ 11$
$Z_{j\ {\bmod {\ }}12\ +\ 1}^{(2)}\ =\ K_{j}\ \oplus \ c_{j},\ 12\ \leqslant \ j\ \leqslant \ 15$
$Z_{l(i)}^{(h(i))}\ =\ (((((Z_{l(i-16)}^{(h(i-16))}\ \boxplus \ Z_{l(i-13)}^{(h(i-13))})\ \oplus \ Z_{l(i-12)}^{(h(i-12))})\ \boxplus \ Z_{l(i-8)}^{(h(i-8))})\ \oplus \ Z_{l(i-2)}^{(h(i-2))})\ \boxplus \ Z_{l(i-1)}^{(h(i-1))})\ \lll \ 11\ \oplus \ c_{i},$
где $16\ \leqslant \ i\ \leqslant \ 151,\ h(i)\ =\ i\ div\ 12\ +\ 1,\ l(i)\ =\ i\ {\bmod {\ }}12\ +\ 1$ .

Розшифровка

Для розшифровки MESH, як і IDEA, використовує вже існуючу схему, але зі зміненими раундовими підключами. Позначимо підключі, що використовувалися при шифруванні, в такий спосіб:
$(Z_{1}^{(r)},\ ...\ Z_{12}^{(r)}),\ 1\ \ leqslant\ r\ \ leqslant\ 12$ — підключі повних раундів;
$(Z_{1}^{(13)},\ ...\ Z_{8}^{(13)})$ — підключі вихідних перетворень.

:

$((Z_{1}^{(13)})^{-1},\ -Z_{2}^{(13)},\ (Z_{3}^{(13)})^{-1},\ -Z_{4}^{(13)},\ -Z_{5}^{(13)},\ (Z_{6}^{(13)})^{-1},\ -Z_{7}^{(13)},\ (Z_{8}^{(13)})^{-1},\ Z_{9}^{(12)},\ Z_{10}^{(12)},\ Z_{11}^{(12)},\ Z_{12}^{(12)})$ , — перший раунд розшифровки;
$(-Z_{1}^{(14-r)},\ (Z_{5}^{(14-r)})^{-1},\ -Z_{6}^{(14-r)},\ (Z_{7}^{(14-r)})^{-1},\ (Z_{2}^{(14-r)})^{-1},\ -Z_{3}^{(14-r)},\ (Z_{4}^{(14-r)})^{-1},\ -Z_{8}^{(14-r)},\ Z_{9}^{(13-r)},\ Z_{10}^{(13-r)},\ Z_{11}^{(13-r)},\ Z_{12}^{(13-r)})$ , — $r$ -й парний раунд, $r\ \in \ \{2,\ 4,\ 6,\ 8,\ 10,\ 12\}$ ;
$((Z_{1}^{(13-r)})^{-1},\ -Z_{5}^{(13-r)},\ (Z_{6}^{(13-r)})^{-1},\ -Z_{7}^{(13-r)},\ -Z_{2}^{(13-r)},\ (-Z_{3}^{(13-r)})^{-1},\ -Z_{4}^{(13-r)},\ (Z_{8}^{(13-r)})^{-1},\ Z_{9}^{(12-r)},\ Z_{10}^{(12-r)},\ Z_{11}^{(12-r)},\ Z_{12}^{(12-r)})$ , — $r$ -й непарний раунд, $r\ \in \ \{3,\ 5,\ 7,\ 9,\ 11\}$ ;
$((Z_{1}^{(1)})^{-1},\ -Z_{2}^{(1)},\ (Z_{3}^{(1)})^{-1},\ -Z_{4}^{(1)},\ -Z_{5}^{(1)},\ (Z_{6}^{(1)})^{-1},\ -Z_{7}^{(1)},\ (Z_{8}^{(1)})^{-1})$ , — вихідні перетворення.

Криптоаналіз

Нижче наводиться таблиця, яка містить розрахункову інформацію щодо можливих криптоатак. У ній розглядаються урізані алгоритми, кількість раундів можна побачити у відповідній колонці. За дані приймаються вибрані підібрані відкриті тексти, вказується необхідна кількість таких (в блоках). Час оцінюється в кількості обчислень. Пам'ять відображає кількість елементів пам'яті, необхідних для зберігання будь-яких даних під час криптоатаки. Як видно з таблиці, всі варіанти MESH більш складні для злому представленими криптоатаками, ніж IDEA, на якому він базується .

Таблиця 1. Узагальнення складнощів криптоатак на IDEA і MESH
Шифр	Криптоаналіз	#Раундів	Дані	Пам'ять	Час
IDEA (8.5 раундів)		$2.5$	$23$	$23$	$2^{64}$
	^[en]	$3.5$	$2^{56}$	$2^{32}$	$2^{67}$
	^[en]	$3.5$	$2^{38.5}$	$2^{37}$	$2^{53}$
	^[en]	$4$	$2^{38.5}$	$2^{37}$	$2^{70}$
MESH-64 (8.5 раундів)		$2.5$	$2^{50.5}$	$2^{16}$	$2^{76}$
	^[en]	$3.5$	$2^{64}$	$2^{32}$	$2^{78}$
	^[en]	$3.5$	$2^{39.5}$	$2^{61}$	$2^{64}$
	^[en]	$4$	$2^{39.5}$	$2^{61}$	$2^{112}$
MESH-96 (10.5 раундів)		$2.5$	$2^{50}$	$2^{16}$	$2^{96}$
	^[en]	$3.5$	$2^{96}$	$2^{64}$	$2^{109}$
	^[en]	$3.5$	$2^{56}$	$2^{93}$	$2^{96}$
	^[en]	$4$	$2^{56}$	$2^{93}$	$2^{144}$
MESH-128 (12.5 раундів)		$2.5$	$2^{50}$	$2^{16}$	$2^{128}$
	^[en]	$3.5$	$2^{128}$	$2^{64}$	$2^{142}$
	^[en]	$3.5$	$2^{65}$	$2^{157}$	$2^{128}$
	^[en]	$4$	$2^{65}$	$2^{157}$	$2^{192}$

Примітки

The MESH Block Ciphers, 2002, с. 1-2.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 124.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 125.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 125-126.
The MESH Block Ciphers, 2002, с. 3.
The MESH Block Ciphers, 2002, с. 4.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 127.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 127-129.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 129.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 129-130.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 130.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 130-132.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 132.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 132-133.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 10-11.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 178-180.
Cryptanalysis And Design Of Block Ciphers, 2003, с. 179.

Література

J. Nakahara, Jr; V. Rijmen; B. Preneel; J. Vandewalle. The MESH Block Ciphers : ( )[англ.]. — 2002.
J. Nakahara, Jr. Cryptanalysis And Design Of Block Ciphers : ( )[англ.]. — 2003. — Помилка: неправильний час. — .

[FOOTNOTEThe_MESH_Block_Ciphers20021-2-1] The MESH Block Ciphers, 2002, с. 1-2.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003124-2] Cryptanalysis And Design Of Block Ciphers, 2003, с. 124.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003125-3] Cryptanalysis And Design Of Block Ciphers, 2003, с. 125.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003125-126-4] Cryptanalysis And Design Of Block Ciphers, 2003, с. 125-126.

[FOOTNOTEThe_MESH_Block_Ciphers20023-5] The MESH Block Ciphers, 2002, с. 3.

[FOOTNOTEThe_MESH_Block_Ciphers20024-6] The MESH Block Ciphers, 2002, с. 4.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003127-7] Cryptanalysis And Design Of Block Ciphers, 2003, с. 127.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003127-129-8] Cryptanalysis And Design Of Block Ciphers, 2003, с. 127-129.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003129-9] Cryptanalysis And Design Of Block Ciphers, 2003, с. 129.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003129-130-10] Cryptanalysis And Design Of Block Ciphers, 2003, с. 129-130.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003130-11] Cryptanalysis And Design Of Block Ciphers, 2003, с. 130.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003130-132-12] Cryptanalysis And Design Of Block Ciphers, 2003, с. 130-132.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003132-13] Cryptanalysis And Design Of Block Ciphers, 2003, с. 132.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003132-133-14] Cryptanalysis And Design Of Block Ciphers, 2003, с. 132-133.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers200310-11-15] Cryptanalysis And Design Of Block Ciphers, 2003, с. 10-11.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003178-180-16] Cryptanalysis And Design Of Block Ciphers, 2003, с. 178-180.

[FOOTNOTECryptanalysis_And_Design_Of_Block_Ciphers2003179-17] Cryptanalysis And Design Of Block Ciphers, 2003, с. 179.