Шаг 5: выход

После обработки всех 512-битных блоков выходом L-ой стадии является 160-битный дайджест сообщения.

Рассмотрим более детально логику в каждом их 80 циклов обработки 512-битного блока. Каждый цикл можно представить в виде:

A,B,C,D,E ← (CLS₅(A)+F_t(B,C,D)+E+W_t+K_t),A,CLS₃₀(B),C,D

Где

A,B,C,D,E – пять слов и буфера.

t – номер цикла.

Ft – элементарная логическая функция.

CLSs – циклический левый сдвиг 32-битного аргумента на s битов.

Wt – 32-битное слово, полученное из текущего входного 512-битного блока.

Kt – дополнительная константа.

+ - сложение по модулю 2^32.

Рис 2. Логика выполнения отдельного цикла

Алгоритм главного цикла:

For t:=0 to 79 do begin

TEMP = (A<<<5) + Ft(B,C,D) + E + Wt + Kt

E = D

D = C

C = B<<<30

B = A

A = TEMP

end;

Каждая элементарная функция получает на входе три 32-битных слова и создает на выходе одно 32-битовое слово. Элементарная функция выполняет набор побитовых логических операций, т.е. n-й бит выхода является функцией от n-ых битов трех входов. Функции следующие:

На самом деле используются только три различных функции.

Для 0 ≤ t ≤19 фунуцией является условие: if B then C else D. Для 20≤ t ≤39 и 60≤ t ≤79 функция создает бит четности. Для 40≤ t ≤59 функция является истинной, если два или три аргумента истинны.

32-битные слова Wt получаются из очередного 512-битного блока сообщения следующим образом.

Первые 16 значений Wt берутся непосредственно из 16 слов текущего блока. Оставшиеся значения определяются следующим образом:

Wt = Wt-16 xor Wt-14 xor Wt-8 xor Wt-3

Таблица 1. Элементарные функции в хэш-функции SHA

Номер цикла	Ft(B,C,D)
(0 ≤ t ≤19)	(B&C)V(not B&D)
(20≤ t ≤39)	B xor C xor D
(40≤ t ≤59)	(B&C)V(B&D)V(C&D)
(60≤ t ≤79)	B xor C xor D

Рис 3. Получение входных значений каждого цикла из очередного блока

В первых 16-ти циклах вход состоит из 32-битного слова данного блока. Для оставшихся 64 циклов вход состоит из XOR нескольких слов из блока сообщения.

Алгоритм SHA можно суммировать следующим образом:

SHA0 = IV

SHAq+1 = ∑32 (SHAq,ABCDEq)

SHA = SHAL+1

Где

IV – начальное значение буфера ABCDE.

ABCDEq – результат обработки q-го блока сообщения.

L – число блоков в сообщении, включая поля добавления и длины.

∑32 – сумма по модулю 2^32, выполняемая отдельно для каждого слова буфера.

SHA – значение дайджеста сообщения.

Сведения об успешных криптографических вскрытиях SHA отсутствуют. Так как эта однонаправленная хэш-функция выдает 160-хэш значение, она устойчивее к вскрытию грубой силой (включая вскрытие методом дня рождения), чем 128-битовые хэш-функции.

Пример:

текст: abc

хэш-код: A9993E364706816ABA3E25717850C26C9CD0D89D

http://www.itl.nist.gov/fipspubs/fip180-1.htm

SHA2

В 2001 году NIST принял в качестве стандарта три хэш-функции с существенно большей длиной хэш-кода. Часто эти хэш-функции называют SHA-2 или SHA-256, SHA-384 и SHA-512 (соответственно, в названии указывается длина создаваемого ими хэш-кода). Эти алгоритмы отличаются не только длиной создаваемого хэш-кода, но и длиной обрабатываемого блока, длиной слова и используемыми внутренними функциями. Сравним характеристики этих хэш-функций.

Алгоритм	Длина сообщения (в битах)	Длина блока (в битах)	Длина слова (в битах)	Длина дайджеста сообщения (в битах)	Безопасность (в битах)
SHA-1	<2⁶⁴
SHA-256	<2⁶⁴
SHA-384	<2¹²⁸
SHA-512	<2¹²⁸

Под безопасностью здесь понимается стойкость к атакам типа "парадокса дня рождения".

В данных алгоритмах размер блока сообщения равен m бит. Для SHA-256 m = 512, для SHA-384 и SHA-512 m = 1024. Каждый алгоритм оперирует с w-битными словами. Для SHA-256 w = 32, для SHA-384 и SHA-512 w = 64. В алгоритмах используются обычные булевские операции словами, а также сложение по модулю 2^w, правый сдвиг на n бит SHRⁿ (x), где х - w-битное слово, и циклические (ротационные) правый и левый сдвиги на n бит ROTRⁿ (x) и ROTLⁿ (x), где х - w-битное слово.

SHA-256 использует шесть логических функций, при этом каждая из них выполняется с 32-битными словами, обозначенными как x, y и z. Результатом каждой функции тоже является 32-битное слово.

Ch (x, y, z) = (x ∧ y) Å (x ∧ z)

Maj (x, y, z) = (x ∧ y) Å (x ∧ z) Å (y ∧ z)

∑₀^{256} (x) = ROTR² (x) Å ROTR¹³ (x) Å ROTR²² (x)

∑₁^{256} (x) = ROTR⁶ (x) Å ROTR¹¹ (x) Å ROTR²⁵ (x)

σ₀^{256} (x) = ROTR⁷ (x) Å ROTR¹⁸ (x) Å SHR³ (x)

σ₁^{256} (x) = ROTR¹⁷ (x) Å ROTR¹⁹ (x) Å SHR¹⁰ (x)

SHA-384 и SHA-512 также используют шесть логических функций, каждая из которых выполняется над 64-битными словами, обозначенными как x, y и z. Результатом каждой функции является 64-битное слово.

Ch (x, y, z) = (x ∧ y) Å (x ∧ z)

Maj (x, y, z) = (x ∧ y) Å (x ∧ z) Å (y ∧ z)

∑₀^{512} (x) = ROTR²⁸ (x) Å ROTR³⁴ (x) Å ROTR³⁹ (x)

∑₁^{512} (x) = ROTR¹⁴ (x) Å ROTR¹⁸ (x) Å ROTR⁴¹ (x)

σ₀^{512} (x) = ROTR¹ (x) Å ROTR⁸ (x) Å SHR⁷ (x)

σ₁^{512} (x) = ROTR¹⁹ (x) Å ROTR⁶¹ (x) Å SHR⁶ (x)

Предварительная подготовка сообщения, т.е. добавление определенных битов до целого числа блоков и последующее разбиение на блоки выполняется аналогично тому, как это делалось в SHA-1 (конечно, с учетом длины блока каждой хэш-функции). После этого каждое сообщение можно представить в виде последовательности N блоков M⁽¹⁾, M⁽²⁾, …, M^(N).

Рассмотрим SHA-256. В этом случае инициализируются восемь 32-битных переменных, которые послужат промежуточным значением хэш-кода:

a, b, c, d, e, f, g, h

Основой алгоритма является модуль, состоящий из 64 циклических обработок каждого блока M⁽ⁱ⁾:

T₁ = h + ∑₁^{256} (e) + Ch (e, f, g) + K_t^{256} + W_t

T₂ = ∑₀^{256} (a) + Maj (a, b, c)

h = g

g = f

f = e

e = d + T₁

d = c

c = b

b = a

a = T₁ + T₂

где K_i^{256} - шестьдесят четыре 32-битных константы, каждая из которых является первыми 32-мя битами дробной части кубических корней первых 64 простых чисел.

W_t вычисляются из очередного блока сообщения по следующим правилам:

W_t = M_t⁽ⁱ⁾ 0 ≤ t ≤ 15

W_t = σ₁^{256} (W_t-2) + W_t-7 + σ₀^{256} (W_t-15) + W_t-16

16 ≤ t ≤ 63

i-ое промежуточное значение хэш-кода H^(t) вычисляется следующим образом:

H₀⁽ⁱ⁾ = a + H₀^(i-1)

H₁⁽ⁱ⁾ = b + H₁^(i-1)

H₂⁽ⁱ⁾ = c + H₂^(i-1)

H₃⁽ⁱ⁾ = d + H₃^(i-1)

H₄⁽ⁱ⁾ = e + H₄^(i-1)

H₅⁽ⁱ⁾ = f + H₅^(i-1)

H₆⁽ⁱ⁾ = g + H₆^(i-1)

H₇⁽ⁱ⁾ = h + H₇^(i-1)

Теперь рассмотрим SHA-512. В данном случае инициализируются восемь 64-битных переменных, которые будут являться промежуточным значением хэш-кода:

a, b, c, d, e, f, g, h

Основой алгоритма является модуль, состоящий из 80 циклических обработок каждого блока M⁽ⁱ⁾:

T₁ = h + ∑₁^{512} (e) + Ch (e, f, g) + K_t^{512} + W_t

T₂ = ∑₀^{512} (a) + Maj (a, b, c)