Whirlpool (криптографія)

Whirlpool — криптографічна геш-функція, розроблена Вінсентом Рейменом і Пауло Баррето. Опублікована в листопаді 2000 року. Гешування вхідне повідомлення з довжиною до ${\displaystyle 2^{256}}$ біт. Вихідне значення геш-функції Whirlpool, називане гешем, становить 512 біт.

Назва

, на честь якої названо геш-функцію.

Геш-функцію Whirlpool названо на честь Галактики Вир в сузір'ї Гончі Пси — першої галактики зі спостережуваною спіральною структурою.

Модифікації

З моменту створення у 2000 році Whirlpool двічі модифікувалась.

Першу версію, Whirlpool-0, представлено як кандидата в проекті (англ. New European Schemes for Signatures, Integrity and Encryption, нові європейські проекти з цифрового підпису, цілісності й шифрування).

Модифікацію Whirlpool-0, названу Whirlpool-T, у 2003 році додано в перелік рекомендованих до використання криптографічних функцій NESSIE [ 12 серпня 2011 у Wayback Machine.]. Зміни стосувалися блоку підстановки (S-скриня) Whirlpool: у першій версії структуру S-скрині не було описано, і він генерувався довільно, що створювало певні проблеми при апаратній реалізації Whirlpool. У версії Whirlpool-T S-скриня «набула» чіткої структури.

Дефект в дифузних матрицях Whirlpool-T, виявлений Taizo Shirai і Kyoji Shibutani, пізніше було виправлено, і кінцеву (третю) версію, названу просто Whirlpool, прийнято ISO в стандарті ISO/IEC 10118-3:2004 [ 12 липня 2006 у Wayback Machine.] у 2004 році.

Опис

Вступ

У даній статті описується остання (третя) версія Whirlpool. На відміну від першої версії, S-скриню визначено, а дифузну матрицю замінено новою після доповіді Taizo Shirai і Kyoji Shibutani.

Whirlpool складається з повторного застосування функції стиснення, основою якої є спеціальний 512-бітний блочний шифр ${\displaystyle W}$ з 512-бітним ключем.

Використовувані позначення та операції

В алгоритмі використовуються операції в полі Галуа ${\displaystyle \ GF(2^{8})}$ за модулем незвідного многочлена ${\displaystyle \ p_{8}(x)=x^{8}+x^{4}+x^{3}+x^{2}+1}$.

Многочлени для коротко записуються в шістнадцятковому поданні. Наприклад, запис ${\displaystyle \ 11D_{x}}$ означає ${\displaystyle \ p_{8}(x)}$.

• Символом ${\displaystyle \circ }$ позначається ^[en]. Вираз ${\displaystyle f\circ g}$ означає композицію функцій ${\displaystyle \ g}$ і ${\displaystyle \ f}$.

Для позначення композиції послідовності функцій ${\displaystyle f_{m},f_{m+1},...,f_{n-1},f_{n},m\leq n}$ використовується символ ${\displaystyle \bigcirc _{m}^{r=n}}$:

${\displaystyle \bigcirc _{m}^{r=n}f_{r}\equiv f_{n}\circ f_{n-1}\circ \dots \circ f_{m+1}\circ f_{m}.}$

• ${\displaystyle M_{m\times n}[GF(2^{8})]}$ — множина матриць ${\displaystyle m\times n}$ над ${\displaystyle \ GF(2^{8}).}$

• ${\displaystyle \ cir(a_{0},a_{1},...,a_{m-1})}$ — циркулянтна матриця ${\displaystyle m\times m}$, перший рядок якої складається з елементів ${\displaystyle \ a_{0},a_{1},...,a_{m-1},}$ тобто:

${\displaystyle cir(a_{0},a_{1},...,a_{m-1})\equiv {\begin{bmatrix}a_{0}&a_{1}&\dots &a_{m-1}\\a_{m-1}&a_{0}&\dots &a_{m-2}\\\vdots &\vdots &\ddots &\vdots \\a_{1}&a_{2}&\dots &a_{0}\\\end{bmatrix}},}$

або просто ${\displaystyle \ cir(a_{0},a_{1},...,a_{m-1})=c\Leftrightarrow c_{ij}=a_{(j-i)modm},0\leq i,j\leq m-1.}$

Формат даних

Як було сказано вище, Whirlpool побудовано на спеціальному блочному шифрі ${\displaystyle W}$, який працює з 512-бітними даними.

У перетвореннях проміжний результат обчислень гешу називається геш-станом або просто станом. При обчисленнях стан зазвичай подається матрицею стану. Для Whirlpool це матриця в ${\displaystyle M_{8\times 8}[GF(2^{8})]}$. Отже, 512-бітні блоки даних перед подальшими обчисленнями слід перетворити в цей формат. Цього досягають уведенням функції ${\displaystyle \ \mu }$:

${\displaystyle \mu :GF(2^{8})^{64}\to M_{8\times 8}[GF(2^{8})],\qquad \mu (a)=b\Leftrightarrow b_{ij}=a_{8i+j},0\leq i,j\leq 7.}$

Простіше кажучи, заповнення матриці стану даними виконується порядково. При цьому кожен байт матриці являє собою відповідний многочлен в ${\displaystyle \ GF(2^{8})}$.

Перетворення

Нелінійне перетворення ${\displaystyle \gamma }$ (S-скриня)

Функція ${\displaystyle \gamma :M_{8\times 8}[GF(2^{8})]\to M_{8\times 8}[GF(2^{8})]}$ складається з паралельного застосування блоку підстановки (S-скрині) ${\displaystyle S:GF(2^{8})\to GF(2^{8}),x\to S[x]}$ до всіх байтів матриці стану:

${\displaystyle \gamma (a)=b\Leftrightarrow b_{ij}=S[a_{ij}],0\leq i,j\leq 7.}$

Блок підстановки описується такою таблицею замін:

Таблиця 1. Блок підстановки

	${\displaystyle 00_{x}}$	${\displaystyle 01_{x}}$	${\displaystyle 02_{x}}$	${\displaystyle 03_{x}}$	${\displaystyle 04_{x}}$	${\displaystyle 05_{x}}$	${\displaystyle 06_{x}}$	${\displaystyle 07_{x}}$	${\displaystyle 08_{x}}$	${\displaystyle 09_{x}}$	${\displaystyle 0A_{x}}$	${\displaystyle 0B_{x}}$	${\displaystyle 0c_{x}}$	${\displaystyle 0d_{x}}$	${\displaystyle 0E_{x}}$	${\displaystyle 0F_{x}}$
${\displaystyle 00_{x}}$	${\displaystyle 18_{x}}$	${\displaystyle 23_{x}}$	${\displaystyle c6_{x}}$	${\displaystyle E8_{x}}$	${\displaystyle 87_{x}}$	${\displaystyle B8_{x}}$	${\displaystyle 01_{x}}$	${\displaystyle 4F_{x}}$	${\displaystyle 36_{x}}$	${\displaystyle A6_{x}}$	${\displaystyle d2_{x}}$	${\displaystyle F5_{x}}$	${\displaystyle 79_{x}}$	${\displaystyle 6F_{x}}$	${\displaystyle 91_{x}}$	${\displaystyle 52_{x}}$
${\displaystyle 10_{x}}$	${\displaystyle 60_{x}}$	${\displaystyle Bc_{x}}$	${\displaystyle 9B_{x}}$	${\displaystyle 8E_{x}}$	${\displaystyle A3_{x}}$	${\displaystyle 0c_{x}}$	${\displaystyle 7B_{x}}$	${\displaystyle 35_{x}}$	${\displaystyle 1d_{x}}$	${\displaystyle E0_{x}}$	${\displaystyle d7_{x}}$	${\displaystyle c2_{x}}$	${\displaystyle 2E_{x}}$	${\displaystyle 4B_{x}}$	${\displaystyle FE_{x}}$	${\displaystyle 57_{x}}$
${\displaystyle 20_{x}}$	${\displaystyle 15_{x}}$	${\displaystyle 77_{x}}$	${\displaystyle 37_{x}}$	${\displaystyle E5_{x}}$	${\displaystyle 9F_{x}}$	${\displaystyle F0_{x}}$	${\displaystyle 4A_{x}}$	${\displaystyle dA_{x}}$	${\displaystyle 58_{x}}$	${\displaystyle c9_{x}}$	${\displaystyle 29_{x}}$	${\displaystyle 0A_{x}}$	${\displaystyle B1_{x}}$	${\displaystyle A0_{x}}$	${\displaystyle 6B_{x}}$	${\displaystyle 85_{x}}$
${\displaystyle 30_{x}}$	${\displaystyle Bd_{x}}$	${\displaystyle 5d_{x}}$	${\displaystyle 10_{x}}$	${\displaystyle F4_{x}}$	${\displaystyle cB_{x}}$	${\displaystyle 3E_{x}}$	${\displaystyle 05_{x}}$	${\displaystyle 67_{x}}$	${\displaystyle E4_{x}}$	${\displaystyle 27_{x}}$	${\displaystyle 41_{x}}$	${\displaystyle 8B_{x}}$	${\displaystyle A7_{x}}$	${\displaystyle 7d_{x}}$	${\displaystyle 95_{x}}$	${\displaystyle d8_{x}}$
${\displaystyle 40_{x}}$	${\displaystyle FB_{x}}$	${\displaystyle EE_{x}}$	${\displaystyle 7c_{x}}$	${\displaystyle 66_{x}}$	${\displaystyle dd_{x}}$	${\displaystyle 17_{x}}$	${\displaystyle 47_{x}}$	${\displaystyle 9E_{x}}$	${\displaystyle cA_{x}}$	${\displaystyle 2d_{x}}$	${\displaystyle BF_{x}}$	${\displaystyle 07_{x}}$	${\displaystyle Ad_{x}}$	${\displaystyle 5A_{x}}$	${\displaystyle 83_{x}}$	${\displaystyle 33_{x}}$
${\displaystyle 50_{x}}$	${\displaystyle 63_{x}}$	${\displaystyle 02_{x}}$	${\displaystyle AA_{x}}$	${\displaystyle 71_{x}}$	${\displaystyle c8_{x}}$	${\displaystyle 19_{x}}$	${\displaystyle 49_{x}}$	${\displaystyle d9_{x}}$	${\displaystyle F2_{x}}$	${\displaystyle E3_{x}}$	${\displaystyle 5B_{x}}$	${\displaystyle 88_{x}}$	${\displaystyle 9A_{x}}$	${\displaystyle 26_{x}}$	${\displaystyle 32_{x}}$	${\displaystyle B0_{x}}$
${\displaystyle 60_{x}}$	${\displaystyle E9_{x}}$	${\displaystyle 0F_{x}}$	${\displaystyle d5_{x}}$	${\displaystyle 80_{x}}$	${\displaystyle BE_{x}}$	${\displaystyle cd_{x}}$	${\displaystyle 34_{x}}$	${\displaystyle 48_{x}}$	${\displaystyle FF_{x}}$	${\displaystyle 7A_{x}}$	${\displaystyle 90_{x}}$	${\displaystyle 5F_{x}}$	${\displaystyle 20_{x}}$	${\displaystyle 68_{x}}$	${\displaystyle 1A_{x}}$	${\displaystyle AE_{x}}$
${\displaystyle 70_{x}}$	${\displaystyle B4_{x}}$	${\displaystyle 54_{x}}$	${\displaystyle 93_{x}}$	${\displaystyle 22_{x}}$	${\displaystyle 64_{x}}$	${\displaystyle F1_{x}}$	${\displaystyle 73_{x}}$	${\displaystyle 12_{x}}$	${\displaystyle 40_{x}}$	${\displaystyle 08_{x}}$	${\displaystyle c3_{x}}$	${\displaystyle Ec_{x}}$	${\displaystyle dB_{x}}$	${\displaystyle A1_{x}}$	${\displaystyle 8d_{x}}$	${\displaystyle 3d_{x}}$
${\displaystyle 80_{x}}$	${\displaystyle 97_{x}}$	${\displaystyle 00_{x}}$	${\displaystyle cF_{x}}$	${\displaystyle 2B_{x}}$	${\displaystyle 76_{x}}$	${\displaystyle 82_{x}}$	${\displaystyle d6_{x}}$	${\displaystyle 1B_{x}}$	${\displaystyle B5_{x}}$	${\displaystyle AF_{x}}$	${\displaystyle 6A_{x}}$	${\displaystyle 50_{x}}$	${\displaystyle 45_{x}}$	${\displaystyle F3_{x}}$	${\displaystyle 30_{x}}$	${\displaystyle EF_{x}}$
${\displaystyle 90_{x}}$	${\displaystyle 3F_{x}}$	${\displaystyle 55_{x}}$	${\displaystyle A2_{x}}$	${\displaystyle EA_{x}}$	${\displaystyle 65_{x}}$	${\displaystyle BA_{x}}$	${\displaystyle 2F_{x}}$	${\displaystyle c0_{x}}$	${\displaystyle dE_{x}}$	${\displaystyle 1c_{x}}$	${\displaystyle Fd_{x}}$	${\displaystyle 4d_{x}}$	${\displaystyle 92_{x}}$	${\displaystyle 75_{x}}$	${\displaystyle 06_{x}}$	${\displaystyle 8A_{x}}$
${\displaystyle A0_{x}}$	${\displaystyle B2_{x}}$	${\displaystyle E6_{x}}$	${\displaystyle 0E_{x}}$	${\displaystyle 1F_{x}}$	${\displaystyle 62_{x}}$	${\displaystyle d4_{x}}$	${\displaystyle A8_{x}}$	${\displaystyle 96_{x}}$	${\displaystyle F9_{x}}$	${\displaystyle c5_{x}}$	${\displaystyle 25_{x}}$	${\displaystyle 59_{x}}$	${\displaystyle 84_{x}}$	${\displaystyle 72_{x}}$	${\displaystyle 39_{x}}$	${\displaystyle 4c_{x}}$
${\displaystyle B0_{x}}$	${\displaystyle 5E_{x}}$	${\displaystyle 78_{x}}$	${\displaystyle 38_{x}}$	${\displaystyle 8c_{x}}$	${\displaystyle d1_{x}}$	${\displaystyle A5_{x}}$	${\displaystyle E2_{x}}$	${\displaystyle 61_{x}}$	${\displaystyle B3_{x}}$	${\displaystyle 21_{x}}$	${\displaystyle 9c_{x}}$	${\displaystyle 1E_{x}}$	${\displaystyle 43_{x}}$	${\displaystyle c7_{x}}$	${\displaystyle Fc_{x}}$	${\displaystyle 04_{x}}$
${\displaystyle c0_{x}}$	${\displaystyle 51_{x}}$	${\displaystyle 99_{x}}$	${\displaystyle 6d_{x}}$	${\displaystyle 0d_{x}}$	${\displaystyle FA_{x}}$	${\displaystyle dF_{x}}$	${\displaystyle 7E_{x}}$	${\displaystyle 24_{x}}$	${\displaystyle 3B_{x}}$	${\displaystyle AB_{x}}$	${\displaystyle cE_{x}}$	${\displaystyle 11_{x}}$	${\displaystyle 8F_{x}}$	${\displaystyle 4E_{x}}$	${\displaystyle B7_{x}}$	${\displaystyle EB_{x}}$
${\displaystyle d0_{x}}$	${\displaystyle 3c_{x}}$	${\displaystyle 81_{x}}$	${\displaystyle 94_{x}}$	${\displaystyle F7_{x}}$	${\displaystyle B9_{x}}$	${\displaystyle 13_{x}}$	${\displaystyle 2c_{x}}$	${\displaystyle d3_{x}}$	${\displaystyle E7_{x}}$	${\displaystyle 6E_{x}}$	${\displaystyle c4_{x}}$	${\displaystyle 03_{x}}$	${\displaystyle 56_{x}}$	${\displaystyle 44_{x}}$	${\displaystyle 7F_{x}}$	${\displaystyle A9_{x}}$
${\displaystyle E0_{x}}$	${\displaystyle 2A_{x}}$	${\displaystyle BB_{x}}$	${\displaystyle c1_{x}}$	${\displaystyle 53_{x}}$	${\displaystyle dc_{x}}$	${\displaystyle 0B_{x}}$	${\displaystyle 9d_{x}}$	${\displaystyle 6c_{x}}$	${\displaystyle 31_{x}}$	${\displaystyle 74_{x}}$	${\displaystyle F6_{x}}$	${\displaystyle 46_{x}}$	${\displaystyle Ac_{x}}$	${\displaystyle 89_{x}}$	${\displaystyle 14_{x}}$	${\displaystyle E1_{x}}$
${\displaystyle F0_{x}}$	${\displaystyle 16_{x}}$	${\displaystyle 3A_{x}}$	${\displaystyle 69_{x}}$	${\displaystyle 09_{x}}$	${\displaystyle 70_{x}}$	${\displaystyle B6_{x}}$	${\displaystyle d0_{x}}$	${\displaystyle Ed_{x}}$	${\displaystyle cc_{x}}$	${\displaystyle 42_{x}}$	${\displaystyle 98_{x}}$	${\displaystyle A4_{x}}$	${\displaystyle 28_{x}}$	${\displaystyle 5c_{x}}$	${\displaystyle F8_{x}}$	${\displaystyle 86_{x}}$

Циклічна перестановка ${\displaystyle \pi }$

Перестановка ${\displaystyle \pi :M_{8\times 8}[GF(2^{8})]\to M_{8\times 8}[GF(2^{8})]}$ циклічно зсуває кожен стовпець матриці стану так, що стовпець ${\displaystyle j}$ зсувається вниз на ${\displaystyle j}$ позицій:

${\displaystyle \pi (a)=b\Leftrightarrow b_{ij}=a_{(i-j)mod8,j},0\leq i,j\leq 7.}$

Завдання даного перетворення — перемішати байти рядків матриці стану між собою.

Лінійна дифузія ${\displaystyle \theta }$

Лінійна дифузія ${\displaystyle \theta :M_{8\times 8}[GF(2^{8})]\to M_{8\times 8}[GF(2^{8})]}$ — це лінійне перетворення, матрицею якого є MDS-матриця ${\displaystyle \ C=cir(01_{x},01_{x},04_{x},01_{x},08_{x},05_{x},02_{x},09_{x})}$, тобто:

${\displaystyle C=cir(01_{x},01_{x},04_{x},01_{x},08_{x},05_{x},02_{x},09_{x})={\begin{bmatrix}01_{x}&01_{x}&04_{x}&01_{x}&08_{x}&05_{x}&02_{x}&09_{x}\\09_{x}&01_{x}&01_{x}&04_{x}&01_{x}&08_{x}&05_{x}&02_{x}\\02_{x}&09_{x}&01_{x}&01_{x}&04_{x}&01_{x}&08_{x}&05_{x}\\05_{x}&02_{x}&09_{x}&01_{x}&01_{x}&04_{x}&01_{x}&08_{x}\\08_{x}&05_{x}&02_{x}&09_{x}&01_{x}&01_{x}&04_{x}&01_{x}\\01_{x}&08_{x}&05_{x}&02_{x}&09_{x}&01_{x}&01_{x}&04_{x}\\04_{x}&01_{x}&08_{x}&05_{x}&02_{x}&09_{x}&01_{x}&01_{x}\\01_{x}&04_{x}&01_{x}&08_{x}&05_{x}&02_{x}&09_{x}&01_{x}\\\end{bmatrix}},}$

так що

${\displaystyle \theta (a)=b\Leftrightarrow b=a\cdot C.}$

Іншими словами, матриця стану множиться справа на матрицю ${\displaystyle \ C}$. Нагадаємо, що операції додавання і множення елементів матриць виконуються в ${\displaystyle \ GF(2^{8})}$.

MDS-матриця — це така матриця над скінченним полем ${\displaystyle \ K}$, щоо якщо взяти її в якості матриці лінійного перетворення ${\displaystyle \ f(x)=(MDS)x}$ з простору ${\displaystyle \ K^{n}}$ в простір ${\displaystyle \ K^{m}}$, то будь-які два вектори з простору ${\displaystyle \ K^{n+m}}$ виду ${\displaystyle \ (x,f(x))}$ будуть мати принаймні ${\displaystyle \ m+1}$ відмінностей в компонентах. Тобто набір векторів виду ${\displaystyle \ (x,f(x))}$ утворює код, що має властивість максимальної рознесеності (англ. Maximum Distance Separable code). Таким кодом є, наприклад, код Ріда-Соломона.

У Whirlpool властивість максимальної рознесеності MDS-матриці означає, що загальна кількість мінливих байтів вектора ${\displaystyle \ x}$ і вектора ${\displaystyle \ f(x)=(MDS)x}$ не менша ніж ${\displaystyle \ 8+1=9}$. Іншими словами, будь-яке змінення тільки одного байта ${\displaystyle \ x}$ призводить до змінення всіх 8 байтів ${\displaystyle \ f(x)}$. В цьому і полягає завдання лінійної дифузії.

Як уже згадувалося вище, MDS-матрицю в останній (третій) версії Whirlpool було змінено завдяки статті Taizo Shirai і Kyoji Shibutani. Вони проаналізували MDS-матрицю другої версії Whirlpool і вказали на можливість підвищення стійкості Whirlpool до диференціального криптоаналізу. Також вони запропонували 224 кандидати на місце нової MDS-матриці. З цього списку автори Whirlpool вибрали варіант, який найлегше реалізується в апаратному забезпеченні.

Додавання ключа ${\displaystyle \sigma [k]}$

Функція додавання ключа ${\displaystyle \sigma [k]:M_{8\times 8}[GF(2^{8})]\to M_{8\times 8}[GF(2^{8})]}$ являє собою побітове додавання (XOR) матриць стану ${\displaystyle \ a}$ і ключа ${\displaystyle k\in M_{8\times 8}[GF(2^{8})]}$:

${\displaystyle \sigma [k](a)=b\Leftrightarrow b_{i,j}=a_{i,j}\oplus k_{i,j},0\leq i,j\leq 7.}$

Константи раунду ${\displaystyle c^{r}}$

В кожному раунді ${\displaystyle \ r,r>0}$ використовується матриця констант ${\displaystyle c^{r}\in M_{8\times 8}[GF(2^{8})]}$, така, що:

${\displaystyle c_{0j}^{r}\equiv S[8(r-1)+j],\qquad 0\leq j\leq 7,}$

${\displaystyle c_{ij}^{r}\equiv 0,\qquad \qquad \qquad \qquad 1\leq i\leq 7,0\leq j\leq 7.}$

Звідси видно, що перший рядок матриці ${\displaystyle c^{r}}$ є результатом застосування блоку підстановки ${\displaystyle S}$ до байтових чисел ${\displaystyle [8(r-1)+j],0\leq j\leq 7}$.

Решта 7 рядків — нульові.

Функція раунду ${\displaystyle \rho [k]}$

Для кожного раунду ${\displaystyle \ r}$ функція раунду — це складене перетворення ${\displaystyle \rho [k]:M_{8\times 8}[GF(2^{8})]\to M_{8\times 8}[GF(2^{8})]}$, параметром ${\displaystyle k}$ якого є матриця ключа ${\displaystyle k\in M_{8\times 8}[GF(2^{8})]}$. Описується функція раунду таким чином:

${\displaystyle \rho [k]\equiv \sigma [k]\circ \theta \circ \pi \circ \gamma .}$

Розширення ключа

Для кожного раунду ${\displaystyle \ r,0\leq r\leq R}$ необхідний 512-бітний ключ шифрування. Для вирішення даної проблеми в багатьох алгоритмах вводиться так звана процедура розширення ключа. У Whirlpool розширення ключа реалізується в такий спосіб:

${\displaystyle \ K^{0}=K,}$

${\displaystyle \ K^{r}=\rho [c^{r}](K^{r-1}),r>0.}$

Таким чином, з відомого ключа ${\displaystyle K}$ створюється необхідна послідовність ${\displaystyle K^{0},...,K^{R}}$ ключів для кожного раунду блочного шифру ${\displaystyle W}$.

Блочний шифр ${\displaystyle W}$

Спеціальний 512-бітовий блочний шифр ${\displaystyle W[K]:M_{8\times 8}[GF(2^{8})]\to M_{8\times 8}[GF(2^{8})]}$ як параметр використовує 512-бітовий ключ ${\displaystyle K}$ і виконує таку послідовність перетворень:

${\displaystyle W[K]=\left(\bigcirc _{1}^{r=R}\rho [K^{r}]\right)\circ \sigma [K^{0}],}$

де ключі ${\displaystyle K^{0},...,K^{R}}$ породжені описаною вище процедурою розширення ключа. В геш-функції Whirlpool число раундів ${\displaystyle R=10}$.

Доповнення вхідного повідомлення

Whirlpool, як і будь-яка інша геш-функція, повинна здійснювати гешування повідомлення довільної довжини. Оскільки внутрішній блок шифрування ${\displaystyle W}$ працює з 512-бітними вхідними повідомленнями, то вихідне повідомлення необхідно розбити на блоки по 512 біт. При цьому останній блок, який містить кінець повідомлення, може виявитися неповним.

Для вирішення даного завдання Whirlpool використовує алгоритм Меркла-Демґарда доповнення вхідного повідомлення. Результатом доповнення повідомлення ${\displaystyle M}$ є повідомлення ${\displaystyle M'}$, довжина якого кратна 512. Нехай ${\displaystyle L}$ — довжина початкового повідомлення. Тоді ${\displaystyle M'}$ отримується за декілька кроків:

1. До кінця повідомлення ${\displaystyle M}$ приписати біт «1».
2. Приписати ${\displaystyle x}$ бітів «0» так, щоб довжина отриманого рядка ${\displaystyle L+1+x}$ була кратна ${\displaystyle 256}$ непарне число разів.
3. Нарешті, приписати 256-бітне подання числа ${\displaystyle L}$.

Доповнене повідомлення ${\displaystyle M'}$ записується у вигляді

${\displaystyle M'=\overbrace {M} ^{L}\|1\|\overbrace {0\dots 0} ^{x}\|\overbrace {L} ^{256}}$

і розбивається на 512-бітові блоки для подальшої обробки.

Функція стиснення

Функція стиснення Whirlpool

У Whirlpool застосовується схема гешування .

${\displaystyle \ t}$ блоків ${\displaystyle m_{i},1\leq i\leq t}$ доповненого повідомлення ${\displaystyle M'}$