SHA-3算法的计算过程详解

主要参考文档 SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions

1. 几个重要参数：

• 存储状态$S$的比特位宽为$b$，其中$b\in 25，50，100，200，400，800，1600$，可以写作 b = 25 × 2 l ， l ∈ { 0 ， 1 ， ⋯ ， 6 } b=25×2^l，l∈\left\{0，1，⋯ ，6\right\} b=25×2l，l∈{0，1，⋯，6}；
• 存储状态$S$可以分为比特率和容量两部分，其比特位宽分别为$r$和$c$，很明显$b=r+c$；

2. 计算过程：

1. 填充：

在消息$M$后加入$1$、最少个数的$0$和$1$，即：$100\cdots 001$，使填充后的消息长度是$r(0\le r\le b)$的整数倍。加入的比特长度至少是$2$比特，最多是$r+1$比特。
记填充后的消息为$P$，$n=len(P)/r$。即将$P$分成$n$段，记为$P=P_0||P_2||\cdots ||P_{n-1}||P_n$，每段长度为 $r$。

2. 吸收阶段：

$$S_{i+1}=f(S_i\oplus (Pi\mid \mid 0{}^c))$$
在吸收阶段，首先将$S$初始化为零，记初始状态为$S_0$。
每一轮运算中先将$P_i$后填充长度为$c$的$0$，再与长度为$b$的$S_i$的进行异或运算，其结果$S_i^{{}^{\prime }}$经过$f$函数后作为下一轮的新状态$S_{i+1}$，这过程一直重复到所有的输入都用完为止，即进行$n$轮这样的运算。

在介绍$f$函数之前，先要介绍一种存储结构的转换$S_i^{{}^{\prime }}\to A$：

$S_i^{{}^{\prime }}$是比特串，而状态$A$可以表示为一个$5\times 5\times w$的三维数组，其中$w=b/25$。
状态数组中的每一位可以用$A[x,y,z]$表示，则有$A[i][j][k]=S_i^{{}^{\prime }}[(5j+i)\times w+k]$，$S_i^{{}^{\prime }}$的下标索引采用小端模式，其中$i$表示行，$j$表示列，$k$表示比特。转换的例子如下所示：

那么，如何将状态矩阵又转换成比特串呢？按照$Lane(i,j)，Plane(j)$和$S$的顺序逐次转换；
$Lane(i,j)=A[i,j,0]||A[i,j,1]||A[i,j,2]||\dots ||A[i,j,w-2]||A[i,j,w-1]$，其中$0\le i<5,0\le j<5$
$Plane(j)=Lane(0,j)||Lane(1,j)||Lane(2,j)||Lane(3,j)||Lane(4,j)$，其中$0\le j<5$
$S=Plane(0)||Plane(1)||Plane(2)||Plane(3)||Plane(4)$
同样来举个例子吧；

SHA-3 标准中共有 5 个映射函数，可以对状态数组 $A$进行不同的排列，下面简要进行介绍。

$\theta (A)$：$0\le x<5,0\le y<5,and0\le z<w$

$C[x,z]=A[x,0,z]\oplus A[x,1,z]\oplus A[x,2,z]\oplus A[x,3,z]\oplus A[x,4,z]$
$D[x,z]=C[(x-1)mod5,z]\oplus C[(x+1)mod5,(z–1)modw]$
$A\prime [x,y,z]=A[x,y,z]\oplus D[x,z]$
从图形上来看，就是计算某一比特对应两列的奇偶校验值，再与该比特异或的过程。

$\rho (A)$对25个$Lane$进行循环移位：

对于不同$Lane$的偏移量是可以预计算的，计算结果如下：

从状态矩阵上来看，图形如下所示，注意是循环移位：

$\pi (A)$对25个$Slice$进行固定的换位：

从状态矩阵来看，效果如下所示，注意中间点$(x,y)=(0,0)$

$\chi (A)$ 沿$row$进行比特组合：

从状态矩阵来看，效果如下所示，注意这是对于$x$的：

$\iota (A,i_r)$修改$Lane(0,0)$中的某些比特，其他24个$Lane(0,0)$则不受影响：

$RC[z]$开始被初始化为$w$比特的全$0$，然后对某些比特进行修改，修改后的比特来自于$rc(t)$函数。
$rc(t)$函数的定义如下，类似于一个反馈移位寄存器，运算结果为$1$比特，$j+7i_r$是反馈移位寄存器动作的次数。

介绍完5个映射函数，就可以得到轮函数$Rnd(A,i_r)$了；

定义完$Rnd(A,i_r)$，进一步定义$Keccak-p[b,n_r]$函数，$Keccak-p[b,n_r]$是对状态矩阵$A$进行多次$Rnd(A,i_r)$迭代，$i_r$作为索引，取不同的值；

$Keccak-p[b,n_r]$中的$n_r$是可以取任意正整数的，SHA-3算法中的$f$函数实际上是$Keccak-p[b,n_r]$的一种特殊化，即$n_r=12+2l$；

3. 挤压阶段：

挤压阶段和吸收阶段用的是相同的$f$函数。吸收阶段每一个$f$函数之后，将状态矩阵$A$转化成$S$，吸收$r$比特的消息。挤压阶段则每一个$f$函数之后，生成$r$比特的摘要。将生成的摘要进行拼接，直到生成摘要的长度大于需要的摘要长度时，进行截断。$Trun{c}_d$表示取字符串的前$d$比特。

4. 总结一下：

3. 需要注意的地方：

• $Keccak-p[b,n_r]$，$Keccak-f[b]$与$Keccak[c](N,d)$三者的区别需要注意，否则不太容易理解文档中所描述的东西；
  $Keccak-p[b,n_r]$是广义的置换函数，$n_r$是可以取任意正整数的；
  SHA-3算法中的$f$函数实际上是$Keccak-p[b,n_r]$的一种特殊化，即$n_r=12+2l$，记为$Keccak-f[b]$；
  $Keccak[c](N,d)$则可以认为是整体的这种海绵结构，包括吸收和挤压阶段，其中$b=1600$，$c=1600-r$；$SPONGE$的三个参数分别为$f$函数、填充规则和$r$取值，填充规则用正则表达式表示。
  
  $Keccak[c](N,d)$进一步进行限制，则可以定义为SHA-3算法，其中容量$c$取摘要长度$d$的两倍；SHA-3在调用$Keccak[c](N,d)$函数时，需要对消息进行填充01。