Инструмент шифрования/дешифрования Serpent

Serpent — симметричный блочный шифр Росса Андерсона (Кембридж), Эли Бихама (Технион) и Ларса Кнудсена (DTU), поданный на конкурс NIST AES в 1998 году. Финалист — второе место после Rijndael (AES) — с высшим рейтингом безопасности среди пяти финалистов. SP-сеть обрабатывает 128-битные блоки за 32 полных раунда (втрое больше AES-128).

Serpent применяет 8 разных 4-в-4-бит S-боксов в 32 раундах по кругу (каждый ровно четыре раза). Все отобраны исчерпывающим поиском для оптимального сопротивления дифференциальному и линейному криптоанализу. Битслайс-реализация: каждая битовая позиция 32 параллельных блоков занимает один 32-битный процессорный регистр.

Комитет NIST отметил Serpent как наиболее надёжный, но решающим стал высокий пропускной Rijndael. После конкурса Шнайер и Келси заключили: “Если безопасность — единственный критерий, Serpent — очевидный выбор.”

Основные характеристики

• SP-сеть 32 раунда: втрое больше AES-128, вдвое больше AES-256. Лучшая атака: 12/32 раундов
• Битслайс S-боксы: 128 бит в 32 регистровых операциях — без lookup-таблиц, иммунитет к timing-атакам кэша
• Восемь оптимизированных 4→4-бит S-боксов исчерпывающим поиском дифференциальной/линейной стойкости
• Расписание ключей: 132 4-битных подключа через линейный фидбэк расширенного ключевого материала
• 128, 192 и 256-бит ключи с одинаковой 32-раундовой структурой

Режимы шифрования

• CBC: CBC Serpent — 128-битный блок XOR с предыдущим шифртекстом. Порог Sweet32 в 2⁶⁴ блоков — практически недостижим.
• ECB: ECB Serpent — каждый 16-байтный блок обрабатывается независимо. Только однoblokchnyye операции.
• CFB: CFB Serpent — самосинхронизирующийся поток без ограничения Sweet32. Подходит для потоковой передачи.
• OFB: OFB Serpent — детерминированный ключевой поток, период 2¹²⁸ блоков, нет передачи ошибок.

История конкурса AES

Serpent получил наивысшую оценку безопасности в финале AES NIST (1999) среди пяти финалистов.

Rijndael выбран AES из-за производительности: пропускная способность в 2-3 раза выше на стандартном железе.

Келси и Шнайер подтвердили, что Serpent имеет значительно больший запас безопасности без архитектурных слабостей.

Соображения безопасности

• Нет атаки на полные 32 раунда. Лучшая атака: 12/32 раундов (бумеранг 2011), сложность 2¹²².
• S-боксы исчерпывающе проверены на дифференциальную и линейную стойкость. Полная документация NIST.
• Битслайс без lookup-таблиц → константное время → устойчивость к timing-атакам кэша.
• Serpent-256 для долгосрочных архивов с максимальным запасом. AES-256-GCM для сетевого шифрования.

Сценарии использования

• Долгосрочное архивное шифрование с Serpent-256
• Безопасные к timing-атакам встраиваемые системы без AES-NI
• Многослойные контейнеры (каскад VeraCrypt): Serpent+AES+Twofish
• Академический эталон: полная документация, 25+ лет без взлома

Ссылки

• Документация конкурса AES NIST
• Википедия - Serpent (шифр)
• Оригинальная статья о Serpent от Андерсона, Бихама и Кнудсена