FROG

Эта процедура должна получить из ключа шифрования 8 ключей раундов — по одному на каждый раунд алгоритма. Ключ раунда состоит из трех подключей:

• 16-байтная 1-я часть;
• 256-байтная таблица перестановок;
• 16-байтная таблица индексов.

Таким образом, для работы алгоритма необходимо выработать 2304 байтов ключевой информации.

1. Путём «размножения» ключа шифрования (то есть значение ключа шифрования повторяется необходимое количество раз, а ключ шифрования этого алгоритма, как было сказано выше, имеет размер от 5 до 125 байтов) вырабатывается первый 2304-байтный временный массив данных. Байты последней из «размноженных» копий ключа, выходящие за границу требуемого 2304-байтного массива (например, последний 71 байт 125-байтного ключа — ключа максимального размера), отбрасываются.
2. Аналогичным «размножением» 251-байтного фрагмента мастер-ключа формируется второй 2304-байтный временный массив данных. Мастер- ключ представляет собой специально подобранную константу размером 251 байт. Побайтное значение мастер-ключа (начиная с младшего байта) приведено в таблице.
   

   Таблица
3. Путём применения операции сложения по модулю 2 к соответствующим битам двух массивов, выработанных на шагах 1 и 2, получается временный расширенный ключ.
4. Форматирование ключа, полученного на шаге 3 (то есть его разбиение на 8 отрезков— по числу раундов— размером 16 + 256 + 16 байтов, а также дополнительная обработка, которая будет описана далее), дает предварительный расширенный ключ алгоритма.
5. Предварительный расширенный ключ используется для зашифровывания 2304-байтного массива, заполненного нулями. Шифрование выполняется в режиме сцепления блоков шифра, где в качестве вектора инициализации (IV) используются первые 16 байтов исходного ключа шифрования, самый первый из которых ещё и складывается по модулю 2 с числом, равным размеру ключа шифрования в байтах (это необходимо для получения различных IV для ключей разного размера, но с совпадающими первыми 16 байтами). Результат операции — расширенный ключ, заполненный псевдослучайной информацией.
6. Аналогично шагу 4, выполняется форматирование расширенного ключа для получения восьми ключей раундов с необходимой структурой.

Шаги 4 и 6 алгоритма расширения ключа представляют собой форматирование 2304-байтной псевдослучайной последовательности с целью получения 8 ключей раундов. Если 1-я часть ключа раунда, используемая для сложения по модулю 2, может иметь абсолютно случайную структуру, то корректная таблица перестановок должна состоять из 256 неповторяющихся значений от 0 до 255, а к 16-байтной таблице индексов, кроме того, предъявляются дополнительные требования.

Таким образом, при форматировании производятся следующие действия:

• Разбиение 2304-байтного массива на 8 фрагментов по 16 + 256 + 16 байтов.
• Первые 16 байтов фрагмента становятся первой частью ключа раунда без изменений.
• Следующие 256 байтов (обозначим этот фрагмент А) обрабатываются специальной процедурой с целью получения корректной таблицы перестановок. Данная процедура выглядит так:

• создается 256-байтный массив t/, содержащий последовательно расположенные значения от 0 до 255;
• в цикле от 0 до 255 /-й байт таблицы перестановок Т определяется по формуле:

${\displaystyle T[i]=U[(index[i-1]+A[i])modL]}$

• index[i-l] — номер элемента массива t/, использованного на предыдущем шаге (для нулевого шага принимается равным 0), a L — текущий размер массива U\
• использованный байт массива U выбрасывается, а расположенные после него элементы массива U сдвигаются на 1 байт к началу массива; таким образом, значение L в каждом проходе данного цикла уменьшается на 1;

• если таблица перестановок создается для операции расшифровывания, то выполняется её инвертирование.

• Аналогично шагу 3 создается 16-байтная таблица индексов.
• Выполняется анализ цепочек ссылок таблицы индексов; если таблица состоит из нескольких цепочек, производится изменение таблицы с целью получения одной цепочки ссылок, длина которой будет равна размеру таблицы.
• Таблица снова анализируется с целью поиска индексов, удовлетворяющих следующему условию:

${\displaystyle I[i]=i+1}$

если такие элементы таблицы существуют, их значение меняется на

${\displaystyle I[i]=i+2}$

Шаги 3-5 процедуры форматирования стоит рассмотреть на примере. Предположим, создается 6-байтная таблица индексов из следующего 6-байтного фрагмента псевдослучайной последовательности:

21,247,199,108,66,239

В цикле от 0 до 5 (шаг 4) /-й байт таблицы индексов I определяется по формуле:

${\displaystyle I[i]=U[(index[i-1]+A[i])modL]}$

что на примере приведенной выше последовательности выглядит так, как показано в таблице:

Результат — таблица индексов:

3,2,5,1,0,4

3,0,5,1,2,4

Анализ таблицы (шаг 5) позволяет выяснить, что данная таблица состоит из двух цепочек ссылок:

3→1→2→5→4→2→0→3

3→1→0→3 и 5→4→2→5

Однако для достижения максимальной криптостойкости алгоритма таблица индексов должна содержать одну цепочку максимального размера. Алгоритм, выполняемый на шаге 5, позволяет объединить несколько цепочек в одну.