نمایش مبدأ برای اس‌اچ‌ای-۳

{{SHA-box}}{{Infobox encryption method|name=اس‌اچ‌ای۳{{سخ}}(کچاک)|image=|caption=<!-- General -->|designers=گیدو برتونی، [[Joan Daemen|جوان دیمِن]]، مایکل پیترز و [[Gilles Van Assche|ژیل وان آش]].|publish date=۲۰۱۵|series=([[اس‌اچ‌ای۰]])، [[اس‌اچ‌ای۱]]، [[اس‌اچ‌ای۲]]، اس‌اچ‌ای۳|derived from=|derived to=|related to=|certification=[[Federal Information Processing Standard|FIPS]] PUB 202
<!-- Detail -->|digest size=دلخواه|structure=[[Sponge function|ساختار اسفنجی]]|speed=۱۲٫۶ [[cpb|چرخه در هر بایت]] روی یک ماشین معمولی مبتنی بر x۸۶–۶۴ برای Keccak-f[1600] به اضافه XOR کردن ۱۰۲۴ بیت،<ref name="ksoftimpl">[http://keccak.noekeon.org/Keccak-implementation-3.2.pdf Keccak implementation overview Version 3.2], section 3.1</ref> که تقریباً مطابق با اس‌اچ‌ای۲–۲۵۶ است.|cryptanalysis=حمله پیش نمایش به کچاک-۵۱۲ به ۸ دور کاهش یافت که به <sup> ۵۱۱٫۵ </sup>۲ زمان و <sup> ۵۰۸ </sup>۲ حافظه نیاز دارد.<ref>{{cite journal |last1=Morawiecki |first1=Paweł |last2=Pieprzyk |first2=Josef |last3=Srebrny |first3=Marian |editor1-last=Moriai |editor1-first=S |title=Rotational Cryptanalysis of Round-Reduced Keccak |journal=Fast Software Encryption Lecture Notes in Computer Science |date=2013 |volume=8424 |pages=241–262 |doi=10.1007/978-3-662-43933-3_13 |url=https://eprint.iacr.org/2012/546.pdf |language=English |url-status=live |archive-url=https://web.archive.org/web/20130108011253/https://eprint.iacr.org/2012/546.pdf |archive-date=2013-01-08 |access-date=2019-02-08 |df= |series=Lecture Notes in Computer Science |isbn=978-3-662-43932-6}}</ref> تمایزدهنده‌های دارای مجموع صفر برای یک Keccak-f [1600] کامل ۲۴ دوره وجود دارند، اگرچه نمی‌توان از آنها برای حمله به خود تابع درهم‌ساز استفاده کرد.<ref>{{cite web |url=http://keccak.noekeon.org/Keccak-submission-3.pdf |title=The Keccak SHA-3 submission |last1=Bertoni |first1=Guido |last2=Daemen |first2=Joan |last3=Peeters |first3=Michaël |last4=van Assche |first4=Giles |date=January 14, 2011 |website=keccak.noekeon.org |url-status=live |archive-url=https://web.archive.org/web/20110819084908/http://keccak.noekeon.org/Keccak-submission-3.pdf |archive-date=August 19, 2011 |access-date=February 9, 2014 |df=mdy-all}}</ref>}}
'''اس‌اچ‌ای۳''' ('''الگوریتم امن درهم‌ساز ۳''') آخرین عضو خانواده [[Secure Hash Algorithms|الگوریتم امن درهم‌ساز]] است که توسط [[مؤسسه ملی فناوری و استانداردها]] در ۵ اوت ۲۰۱۵  منتشر شد.<ref name="nist.gov">{{Cite web|url=https://www.nist.gov/itl/csd/201508_sha3.cfm|title=NIST Releases SHA-3 Cryptographic Hash Standard|last=Hernandez|first=Paul|date=2015-08-05|publisher=[[NIST]]}}</ref><ref>{{Cite journal|last=Dworkin|first=Morris J.|date=2015-08-04|title=SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions|url=https://www.nist.gov/manuscript-publication-search.cfm?pub_id=919061|journal=Federal Inf. Process. STDS. (NIST FIPS) – 202}}</ref> ساختار داخلی اس‌اچ‌ای۳ با [[دیویس-مایر |ساختار]] [[اس‌اچ‌ای-۱]] و [[اس‌اچ‌ای-۲]] که بیشتر شبیه [[ام‌دی۵]] می‌باشند تفاوت دارد، اگرچه عضوی از همان سری استانداردها محسوب می‌شود.

اس‌اچ‌ای۳ یک زیر مجموعه از خانواده بدوی گسترده‌تر رمزنگاری '''Keccak'''({{IPAc-en|ˈ|k|ɛ|tʃ|æ|k|,_|-|ɑ:|k|}}) است،<ref name="nist">{{Cite web|url=https://www.nist.gov/itl/csd/sha-100212.cfm|title=NIST Selects Winner of Secure Hash Algorithm (SHA-3) Competition|date=2012-10-02|publisher=[[NIST]]|accessdate=2012-10-02}}</ref><ref name="drdobbs">{{Cite web|url=http://www.drdobbs.com/security/keccak-the-new-sha-3-encryption-standard/240154037|title=Keccak: The New SHA-3 Encryption Standard|last=Cruz|first=José R.C.|date=2013-05-07|website=Dr. Dobbs}}</ref> که توسط [[گیدو برتونی]]، [[جو Daemen |جوان دیمِن]]، مایکل پیترز و [[ژیل وان Assche |ژیل وان آش]] طراحی شده و بر روی [[رادیو گاتون |RadioGatún]] بنا شده‌اند. نویسندگان Keccak کاربردهای اضافی برای این تابع ارائه داده‌اند، که البته هنوز توسط NIST استاندارد نشده‌اند، از جمله [[رمز دنباله‌ای]]، یک سیستم [[رمزگذاری تأیید هویت]]، یک برنامه درهم‌ساز «درختی» برای درهم‌سازی سریعتر بر روی برخی معماری‌های خاص،<ref>{{Cite web|title=The Keccak sponge function family: Specifications summary|url=http://keccak.noekeon.org/specs_summary.html|accessdate=2011-05-11|last=Guido Bertoni|last2=Joan Daemen|last3=Michaël Peeters|last4=Gilles Van Assche}}</ref><ref>{{Cite web|url=https://nvlpubs.nist.gov/nistpubs/ir/2012/NIST.IR.7896.pdf|title=Third-Round Report of the SHA-3 Cryptographic Hash Algorithm Competition|date=November 2012|doi=10.6028/NIST.IR.7896|accessdate=2020-02-29}} Sections 5.1.2.1 (mentioning "tree mode"), 6.2 ("other features", mentioning authenticated encryption), and 7 (saying "extras" may be standardized in the future).</ref> و رمزهای [[رمزگذاری تأیید هویت|AEAD]] کیاک(Keyak) و کِتجه(Ketje).<ref name="ketje">{{Cite web|url=https://competitions.cr.yp.to/round1/ketjev1.pdf|title=CAESAR submission: Ketje v1|last=Bertoni|first=Guido|last2=Daemen|first2=Joan|date=2014-03-13|accessdate=2020-02-29|last3=Peeters|first3=Michaël|last4=Van Assche|first4=Gilles|last5=Van Keer|first5=Ronny}}</ref><ref name="keyak">{{Cite web|url=https://competitions.cr.yp.to/round1/keyakv1.pdf|title=CAESAR submission: Keyak v1|last=Bertoni|first=Guido|last2=Daemen|first2=Joan|date=2014-03-13|accessdate=2020-02-29|last3=Peeters|first3=Michaël|last4=Van Assche|first4=Gilles|last5=Van Keer|first5=Ronny}}</ref>

Keccak مبتنی بر یک رویکرد جدید به نام ساخت اسفنجی است.<ref name="sponge">{{Cite web|url=http://sponge.noekeon.org/|title=Sponge Functions|publisher=Ecrypt Hash Workshop 2007|last=Guido Bertoni, Joan Daemen, Michaël Peeters and Gilles Van Assche}}</ref> ساخت اسفنجی مبتنی بر یک تابع تصادفی گسترده تصادفی یا [[رمزگذاری قطعه‌ای|جایگشت]] تصادفی است و این امکان را می‌دهد که هر مقدار از داده وارد شود("جذب" در اصطلاحات اسفنجی)، و هر مقدار از داده بیرون انداخته شود("فشردن")، در حالی که با توجه به همه ورودی‌های قبلی به عنوان یک تابع نیمه تصادفی عمل می‌کند. این منجر به انعطاف‌پذیری زیادی می‌شود.

NIST در حال حاضر برنامه ای برای برداشت اس‌اچ‌ای۲ یا حذف آن از استاندارد اصلاح شده ایمن درهم‌سازی ندارد. هدف از اس‌اچ‌ای۳ این است که می‌تواند در برنامه‌های فعلی در صورت لزوم مستقیماً جایگزین اس‌اچ‌ای۲ شود و استحکام ابزار کلی الگوریتم درهم‌ساز NIST را به طرز قابل توجهی بهبود بخشد.<ref name="FRnotice">{{Cite web|title=Announcing Request for Candidate Algorithm Nominations for a New Cryptographic Hash Algorithm (SHA-3) Family [U.S. Federal Register Vol. 72 No. 212)]|url=http://csrc.nist.gov/groups/ST/hash/documents/FR_Notice_Nov07.pdf|date=November 2, 2007|archiveurl=https://web.archive.org/web/20110331175556/http://csrc.nist.gov/groups/ST/hash/documents/FR_Notice_Nov07.pdf|archivedate=March 31, 2011|accessdate=July 18, 2017}}</ref>

سازندگان الگوریتم‌های Keccak و توابع اس‌اچ‌ای۳ پیشنهاد می‌کنند از تابع سریعتر [[الگوریتم ایمن هش 3|KangarooTwelve]] با پارامترهای تنظیم شده و حالت درهم‌سازی درختی جدید بدون سربار اضافی، برای پیام‌های با اندازه کوچک استفاده کنند.

== تاریخچه ==
الگوریتم Keccak اثری از گیدو برتونی، جوان دیمِن (که وی همچنین رمزنگاری [[استاندارد رمزنگاری پیشرفته|Rijndael]] را با همکاری [[وینسنت رجمن |وینسنت رجمن]] طراحی کرده)، مایکل پیترز، و ژیل وان آش می‌باشد. این الگوریتم مبتنی بر طرح‌های درهم‌سازی قبلی PANAMA و RadioGatún است. PANAMA در سال ۱۹۹۸ توسط دیمِن و کریگ کلَپ طراحی شده‌است. RadioGatún، جانشین PANAMA، توسط پیترز، دیمِن و وان آش طراحی شد و در کارگاه NIST Hash در سال ۲۰۰۶ ارائه شد.<ref>{{Cite web|url=http://keccak.noekeon.org/TheRoadFromPanamaToKeccak.pdf|title=The road from Panama to Keccak via RadioGatún|last=Bertoni|first=Guido|last2=Daemen|first2=Joan|accessdate=2020-02-29|last3=Peeters|first3=Michaël|last4=Van Assche|first4=Gilles}}</ref> [[کد منبع]] [[اجرای مرجع |اجرای مرجع]] از طریق [[چشم پوشی |چشم پوشی]] [[اجازه‌نامه کرییتیو کامنز|CC0]] به [[مالکیت عمومی|حوزه عمومی]] اختصاص داده شده [[مالکیت عمومی|است]].<ref>[https://keccak.team/obsolete/KeccakReferenceAndOptimized-3.2.zip KeccakReferenceAndOptimized-3.2.zip] mainReference.c ''"The Keccak sponge function, designed by Guido Bertoni, Joan Daemen, Michaël Peeters and Gilles Van Assche. For more information, feedback or questions, please refer to our website: http://keccak.noekeon.org/Implementation{{dead link|date=April 2018 |bot=InternetArchiveBot |fix-attempted=yes}} by the designers, hereby denoted as "the implementer". To the extent possible under law, the implementer has waived all copyright and related or neighboring rights to the source code in this file. https://creativecommons.org/publicdomain/zero/1.0/"''</ref>

در سال ۲۰۰۶، [[مؤسسه ملی فناوری و استانداردها|NIST]] برای ایجاد یک استاندارد جدید درهم‌سازی، اس‌اچ‌ای۳، اقدام به سازماندهی [[عملکرد عملکرد هش NIST |رقابت تابع درهم‌سازی NIST]] کرد. اس‌اچ‌ای۳ قرار نیست که جایگزین [[اس‌اچ‌ای-۲|اس‌اچ‌ای۲]] شود، زیرا هیچ حمله قابل توجهی به اس‌اچ‌ای۲ نشان داده نشده‌است. به دلیل حملات موفقیت‌آمیز بر [[اس‌اچ‌ای-۱|اس‌اچ‌ای۰]]، [[ام‌دی۵]] و[[اس‌اچ‌ای-۱|اس‌اچ‌ای۱]]،<ref>{{Cite web|url=https://shattered.io/static/shattered.pdf|title=The first collision for full SHA-1|last=Stevens|first=Marc|last2=Bursztein|first2=Elie|accessdate=2017-02-23|last3=Karpman|first3=Pierre|last4=Albertini|first4=Ange|last5=Markov|first5=Yarik|archiveurl=https://web.archive.org/web/20180515222208/http://shattered.io/static/shattered.pdf|archivedate=15 مه 2018|dead-url=yes}}</ref><ref>{{Cite web|last=Leurent|first=Gaëtan|last2=Peyrin|first2=Thomas|title=SHA-1 is a Shambles|url=https://sha-mbles.github.io/|accessdate=8 January 2020}}</ref> NIST احساس نیاز به یک [[رمزنگاری]] درهم‌ساز جایگزین و متفاوت کرد، که SHA-3 نام گرفت.

پس از یک دوره تنظیم، پذیرش‌ها باید تا پایان سال ۲۰۰۸ ارسال می‌شدند. کچاک(Keccak) به عنوان یکی از ۵۱ نامزد پذیرفته شد. در ژانویه ۲۰۰۹، ۱۴ الگوریتم برای دور دوم انتخاب شد. کچاک به آخرین مرحله در دسامبر ۲۰۱۰ رسید.<ref>{{Cite web|title=NIST Computer Security Division – The SHA-3 Cryptographic Hash Algorithm Competition, November 2007 – October 2012|url=http://csrc.nist.gov/groups/ST/hash/sha-3/index.html|date=2017-01-04}}</ref>

در طول مسابقه، به شرکت کنندگان اجازه داده شد الگوریتم‌هایشان را «اصلاح» کنند تا مشکلاتی که کشف شده بود حل شوند. تغییراتی که در کچاک ایجاد شده‌است به این شرح است:<ref>{{Cite web|url=https://keccak.team/2009/version_2.0.html|title=Keccak parameter changes for round 2|date=2009-09-22|website=Keccak Team|archiveurl=https://web.archive.org/web/20171113003333/https://keccak.team/2009/version_2.0.html|archivedate=2017-11-13|accessdate=2020-02-29}}</ref><ref>{{Cite web|url=http://keccak.noekeon.org/version_3.0.html|title=Simplifying Keccak's padding rule for round 3|date=2011-01-17|website=Keccak Team|accessdate=2020-02-29}}</ref>
* تعداد دورها از {{Nowrap|12 + ℓ}} به {{Nowrap|12 + 2ℓ}} افزایش یافت تا از نظر امنیتی محافظه کارتر باشد.
* message padding از یک طرح پیچیده‌تر به الگوی ساده 1 <sup>*</sup> 10 که در زیر شرح داده شده تغییر یافت.
* نرخ ''r'' به جای [[گرد کردن]] پایین به نزدیکترین توان ۲، به حد امنیتی (security limit) افزایش یافت.

در تاریخ ۲ اکتبر ۲۰۱۲، کچاک به عنوان برنده مسابقه انتخاب شد.<ref name="nist"/>

در سال ۲۰۱۴، NIST پیش نویس [[استاندارد پردازش اطلاعات فدرال|FIPS]] 202 «استاندارد SHA-3: [[تابع هش|توابع هش]] مبتنی بر permutation و توابع خروجی قابل گسترش» را منتشر کرد.<ref>{{Cite web|url=http://csrc.nist.gov/groups/ST/hash/sha-3/sha-3_standardization.html|title=SHA-3 standardization|publisher=NIST|accessdate=2015-04-16}}</ref> FIPS 202 در ۵ اوت ۲۰۱۵ تصویب شد.<ref>{{Cite web|url=https://federalregister.gov/a/2015-19181|title=Federal Information Processing Standards: Permutation-Based Hash and Extendable-Output Functions, etc.|last=National Institute of Standards and Technology|date=2015-08-05|accessdate=2015-08-05}}</ref>

در ۵ اوت ۲۰۱۵، NIST اعلام کرد که اس‌اچ‌ای۳ به یک استاندارد درهم‌سازی تبدیل شده‌است.<ref>{{Cite news|url=https://www.federalregister.gov/articles/2015/08/05/2015-19181/announcing-approval-of-federal-information-processing-standard-fips-202-sha-3-standard|title=Announcing Approval of Federal Information Processing Standard (FIPS) 202, SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions, and Revision of the Applicability Clause of FIPS 180-4, Secure Hash Standard|last=|first=|date=2015-08-05|work=|accessdate=}}</ref>

== طرح ==
[[پرونده:SpongeConstruction.svg|جایگزین=Illustration of the sponge construction|چپ|بندانگشتی| ساخت اسفنج برای توابع درهمساز. ''P<sub>i</sub>''‌ها ورودی، و ''Z<sub>i</sub>''‌ها خروجی درهم‌سازی شده می‌باشند. «ظرفیت» استفاده نشدهٔ ''c'' باید دو برابر مقاومت مورد نظر در برابر [[حمله تصادم]] یا [[حمله مقدماتی |حمله پیش‌نمایش]] باشد.]]
اس‌اچ‌ای۳ از [[عملکرد اسفنجی |ساخت اسفنجی]] استفاده می‌کند،<ref name="sponge"/> که در آن داده‌ها «جذب» اسفنج می‌شوند، سپس نتیجهٔ آن‌ها به بیرون «فشرده» می‌شود. در مرحله جذب، بلوک‌های پیام [[یای انحصاری|XOR]] شده و به زیر مجموعه ای از حالت تبدیل می‌شوند، که بعداً با استفاده از یک تابع جایگشت <math>f</math> به صورت یک کل درمی‌آیند. در مرحله «فشردن»، بلوک‌های خروجی از همان زیر مجموعه حالت خوانده می‌شوند، و با استفاده از [[تابع (ریاضیات)|تابع]] تغییر حالت <math>f</math> تغییر می‌یابند. سایز بخشی از حالت که نوشته شده و خوانده شده‌است «نرخ» (مشخص شده با <math>r</math>) نامیده می‌شود، و اندازه بخشی که توسط [[ورودی/خروجی|ورودی / خروجی]] دست نخورده می‌ماند، «ظرفیت» (مشخص شده با <math>c</math>) نامیده می‌شود. ظرفیت تعیین‌کننده امنیت طرح است. حداکثر [[سطح امنیتی |سطح امنیتی]] برابر نصف ظرفیت است.

با درنظر گرفتن یک رشته بیت ورودی <math>N</math> ، یک تابع پدینگ مانند <math>pad</math> ، یک تابع جایگشت <math>f</math> که روی بلوک‌های بیتی با عرض <math>b</math> کار می‌کند، نرخ <math>r</math> و طول خروجی <math>d</math> ، ظرفیتی برابر با <math>c = b - r</math> و ساخت اسفنجی <math>Z = \text{sponge}[f,pad,r](N,d)</math> را داریم، می‌دهد رشتهٔ بیتی <math>Z</math> به طول <math>d</math>، که به شرح زیر کار می‌کند:<ref name="fips202"/> {{Rp|18}}
* پرکردن ورودی ''N'' با استفاده از تابع pad، که درنتیجه یک padded bit string مانند ''P'' با طولی بخش پذیر بر <math>r</math> (به طوری که <math>n = \text{len}(P)/r</math> عدد صحیح باشد) می‌دهد.
* شکستن ''P'' به ''n'' قطعه متوالی ''r'' بیتی ''P''<sub>0</sub>, … , ''P''<sub>''n''−1</sub>
* مقداردهی اولیه وضعیت ''S'' به یک رشته که ''b'' بیت از آن مقدار صفر دارند
* ورودی را جذب حالت کنید: برای هر بلوک ''P''<sub>''i''</sub>:
** گسترش ''P'' <sub>''i''</sub> در پایان توسط یک رشته از ''c'' بیت از آن مقدار صفر دارند، که یک رشته با طول ''b تولید می‌کند''
** XOR آن با ''S''
** تابع جایگشت بلوکی ''f'' را روی نتیجه اعمال کنید تا حالت جدید ''S بدست آید''
* ''Z را'' به عنوان رشته خالی مقداردهی اولیه کنید
* تازمانی‌که که طول ''Z'' کمتر از ''d است'':
** ''r بیت اول'' از ''S'' را به ''Z اضافه کنید''
** اگر ''Z'' هنوز کمتر از ''d'' بیت طول دارد، ''f را'' روی ''S'' اعمال کنید، تا حالت ''S بدست آید''
* ''Z'' را به ''d'' بیت کاهش دهید

این واقعیت که وضعیت داخلی ''S'' حاوی ''c'' بیت اضافی اطلاعات علاوه بر آنچه در خروجی ''Z نوشته می‌شود است،'' مانع از [[حمله طولانی مدت |حملات طولانی مدت]] می‌شود که ام‌دی۵، اس‌اچ‌ای۱، اس‌اچ‌ای۲ و سایر درهم‌سازی‌های مبتنی بر ساخت و ساز مرکل-دامگارد مستعد آن هستند.

در اس‌اچ‌ای۳، حالت ''S'' شامل یک آرایه {{Nowrap|۵ × ۵}} شامل کلمات ''w'' بیتی (''w=۶۴'')، و درکل ''b'' = ۵ × ۵ × ''w'' = ۵ × ۵ × ۶۴ = ۱۶۰۰ بیت است. کچاک(Keccak) همچنین برای کلمه‌های توان دویی با اندازه‌های کوچکتر ''w'' و حتی با ۱ بیت (که درمجموع حالتی با ۲۵ بیت می‌سازد) هم تعریف شده‌است. اندازه‌های حالت کوچک می‌تواند برای آزمایش حملات تحلیل رمزنگاری مورد استفاده قرار گیرد، و اندازه‌های حالت متوسط (از {{Nowrap|1=''w'' = ۸}}، با ۲۰۰ بیت، تا {{Nowrap|1=''w'' = ۳۲}}، با ۸۰۰ بیت) در برنامه‌های کاربردی سبک استفاده می‌شود.<ref name="ketje"/><ref name="keyak"/>

برای موارد اس‌اچ‌ای۳–۲۲۴، اس‌اچ‌ای۳–۲۵۶، اس‌اچ‌ای۳–۳۸۴، و اس‌اچ‌ای۳–۵۱۲، مقدار ''r'' از ''d بیشتر است''، بنابراین در مرحله فشردن نیازی به جایگشت‌های بلوکی اضافی نیست. ''d'' بیت اول از وضعیت، همان درهم‌سازی مورد نظر ما می‌باشد. با این حال، SHAKE-۱۲۸ و SHAKE-۲۵۶ امکان خروجی با طول دلخواه را به ما می‌دهند، که در برنامه‌هایی مانند [[بالشتک رمزگذاری نامتقارن بهینه |رمزگذاری با پرکردن نامتقارن بهینه]] مفید است.

== لایه گذاری ==
برای اطمینان از اینکه پیام را می‌توان به بلوک‌های ''r'' بیتی مساوی تقسیم کرد، لایه‌گذاری لازم است. اس‌اچ‌ای۳ از الگوی ۱<sup>[[ستاره کلین|*]]</sup>۱۰ در عملکرد لایه‌گذاری خود استفاده می‌کند: یک بیتِ ۱، به‌دنبال آن صفر یا بیشتر بیتِ ۰ (حداکثر {{ریاضی|''r'' − ۱}} تا) و یک بیتِ ۱ نهایی.

حداکثر {{ریاضی|''r'' − ۱}} بیت صفر زمانی رخ می‌دهد که آخرین بلوک پیام {{ریاضی|''r'' − ۱}} بیت طول داشته باشد. دراین‌حالت بلوک دیگری پس از بیتِ ۱ اولیه اضافه می‌شود که حاوی {{ریاضی|''r'' − ۱}} بیتِ صفر قبل از بیتِ ۱ نهایی است.

دو بیتِ ۱، حتی اگر طول پیام در حال حاضر بر ''r'' بخش‌پذیر باشد، اضافه می‌شوند.<ref name="fips202"/> {{Rp|5.1}} در این حالت، یک بلوک دیگر به پیام اضافه می‌شود که حاوی یک بیتِ ۱ است، به دنبال آن یک بلوک {{ریاضی|''r'' − ۲}} تایی بیتِ صفر و یک بیتِ ۱ دیگر می‌باشد. این کار لازم است برای اینکه که یک پیام که طولش بر ''r'' بخش پذیر است و به چیزی که شبیه لایه‌گذاری به نظر می‌رسد ختم می‌شود، همان درهم‌سازی را تولید نکند که یک پیام دیگری که آن بیت‌ها را ندارد تولید می‌کند.

بیتِ ۱ اولیه برای این نیاز است که پیام‌هایی که فقط چند بیتِ ۰ اضافی آخرشان متمایز است، یک درهم‌سازی مشابه ایجاد نکنند.

موقعیت بیتِ ۱ نهایی نشان می‌دهد که از کدام نرخ ''r'' استفاده شده‌است (لایه‌گذاری چند نرخی)، که برای اثبات امنیت لازم است تا برای انواع مختلف درهم‌سازی کار کند. بدون آن، درهم‌سازی‌های مختلف از یک پیام کوتاه یکسان می‌تواند دارای برش یکسانی شود.

== جایگشت بلوکی ==
تبدیل بلوکی ''f''، که Keccak-f [1600] برای اس‌اچ‌ای۳ است، جایگشتی است که از عملیات '''[[عملیات بیتی|XOR]]'''، '''[[عملیات بیتی|AND]]''' و '''[[عملیات بیتی|NOT]]''' استفاده می‌کند و برای پیاده‌سازی آسان در هردوی نرم‌افزار و سخت‌افزار طراحی شده‌است.

این تبدیل برای هر طول [[کلمه (معماری رایانه)|کلمه]]<nowiki/>‌ای که توانی از دو باشد، {{ریاضی|1=''w'' = 2<sup>''ℓ''</sup>}} تعریف شده‌است. نسخه اصلی اس‌اچ‌ای۳، از کلمات ۶۴ بیتی، {{ریاضی|1=''ℓ'' = ۶}} استفاده می‌کند.

آرایهٔ حالت می‌تواند به صورت یک آرایهٔ {{ریاضی|۵ × ۵ × ''w''}} بیتی در نظر گرفته شود. فرض کنید {{ریاضی|''a''[''i'']['' j''][''k'']}} برابر بیتِ {{ریاضی|(۵''i'' + ''j'') × ''w'' + ''k''}} ام از ورودی باشد، که در یک [[اندیان|مدل Little Endian]] از قرارداد شمارش بیتی و اندیس گذاری [[ردیف اصلی |ردیف-اول]] فرض شده‌است، یعنی {{Mvar|i}} شماره ردیف، {{Mvar|j}} شماره ستون و {{Mvar|k}} شماره بیت را مشخص می‌کند.

اندیس گذاری حسابی برای دو بعد اول، در پیمانه ۵ و برای بعد سوم در پیمانه w انجام می‌شود.

تابع جایگشت بلوکیِ پایه، متشکل از {{ریاضی|۱۲ + ۲''ℓ''}} دورِ پنج مرحله‌ای است:

; {{Mvar|θ}} (تتا)
: [[اعداد زوج و فرد]] هر یک از {{ریاضی|۵''w''}} (برابر ۳۲۰ اگر {{ریاضی|1=''w'' = ۶۴}}) ستون ۵بیتی را حساب کرده و xor آن را با دو ستون مجاورش در یک الگوی منظم محاسبه کنید. به‌طور دقیق‌تر، {{ریاضی|''a''[''i'']['' j''][''k''] ← ''a''[''i'']['' j''][''k''] ⊕ parity(a[0...4]['' j''−1][''k'']) ⊕ parity(a[0...4]['' j''+1][''k''−۱])}}
; {{Mvar|ρ}} (رو)
: هر کدام از ۲۵ کلمه را با یک [[عدد مثلثی]] متمایز مانند ۰، ۱، ۳، ۶، ۱۰، ۱۵ ،...[[شیفت دورانی]] دهید. به‌طور دقیق،''a''[۰][۰] دوران نمی‌یابد، و به ازای هر {{ریاضی|۰ ≤ ''t'' < ۲۴}}،
: {{ریاضی|''a''[''i'']['' j''][''k''] ← ''a''[''i'']['' j''][''k''−(''t''+1)(''t''+۲)/۲]}}، درصورتی که<math>\begin{pmatrix} i \\ j \end{pmatrix} = \begin{pmatrix} 3 & 2 \\ 1 & 0 \end{pmatrix}^t \begin{pmatrix} 0 \\ 1 \end{pmatrix}</math> .
; {{Mvar|π}} (پی)
: ۲۵ کلمه را در یک الگوی ثابت جایگشت دهید {{ریاضی|''a''[''j''][2''i''+3''j''] ← ''a''['' i''][''j'']}}
; {{Mvar|χ}} (خی)
: بیت به یبت با ردیف‌ها ترکیب کنید، با استفاده از رابطهٔ {{ریاضی|''x'' ← ''x'' ⊕ (¬''y'' &amp; ''z'')}} به‌طور دقیق، {{ریاضی|''a''[''i'']['' j''][''k''] ← ''a''[''i'']['' j''][''k''] ⊕ (¬''a''[''i'']['' j''+''۱''][''k''] &amp; ''a''[''i'']['' j''+''۲''][''k''])}} این تنها عملیات غیر خطی در اس‌اچ‌ای۳ است.
; {{Mvar|ι}} (iota)
: یک ثابت دور را با یک کلمه از حالت xor کنید. به‌طور دقیق، در دور {{Mvar|n}}ام، به ازای {{ریاضی|۰ ≤ ''m'' ≤ ''ℓ''}}، مقدار {{ریاضی|''a''[0][0][2<sup>''m''</sup>−۱]}} با بیت {{ریاضی|''m'' + 7''n''}}ام از یک دنباله اجرایی حاصل از [[ثبات تغییر بازخورد خطی|ثبات تغییر بازخورد خطی(LFSR)]] درجه-۸ xor می‌شود. این کار تقارنی را که در مراحل دیگر حفظ می‌شود، می‌شکند.

== سرعت ==
سرعت درهم‌سازی پیام‌های طولانی توسط اس‌اچ‌ای۳، بسیار تحت تأثیر محاسبهٔ ''f'' = Keccak-f [۱۶۰۰] و XOR کردن ''S'' با مقدار گسترش‌یافتهٔ ''P'' <sub>i</sub>، که یک عملیات روی ''b'' = ۱۶۰۰ بیت است، می‌باشد. با این حال، از آنجایی که c بیت آخر مقدار گسترش‌یافتهٔ ''P <sub>i</sub>'' درهرصورت صفر هستند، و XOR با ۰ یک NOP است، کافی است عملیات XOR را فقط برای r بیت انجام دهیم''(r'' = ۱۶۰۰–۲ × ۲۲۴ = ۱۱۵۲ بیت برای اس‌اچ‌ای۳–۲۲۴، ۱۰۸۸ بیت برای اس‌اچ‌ای۳–۲۵۶، ۸۳۲ بیت برای اس‌اچ‌ای۳–۳۸۴ و ۵۷۶ بیت برای اس‌اچ‌ای۳–۵۱۲). هرچه ''r'' پایین‌تر باشد (و برعکس، هرچه ''c'' = ''b'' - ''r'' = 1600 - ''r'' بالاتر باشد)، درهم‌سازی ناکارآمدتر و پرهزینه‌تر اما ایمن تر می‌شود، زیرا تعداد بیت کمتری از پیام می‌تواند با حالت XOR شود (یک عملیات سریع) قبل از هر بار استفاده از ''f'' که از نظر محاسباتی پرهزینه است. نویسندگان سرعت‌های زیر را برای اجرای پیاده‌سازی‌های نرم‌افزاری Keccak-f [1600] به اضافه XOR کردن ۱۰۲۴بیت گزارش می‌دهند، که تقریباً با اس‌اچ‌ای۳–۲۵۶ مطابقت دارد:
* ۵۷٫۴ [[نرم‌افزارهای رمزنگاری|cpb]] در IA-32 , Intel Pentium 3<ref>"about 41 cycles/byte [...] represents a 40% speedup compared to an implementation using only 32-bit instructions". By formula <math>\frac1x\times 1.40 = \frac1{41}</math> we obtain <math>x=57.4</math></ref>
* ۴۱ cpb در IA-32 + MMX , Intel Pentium ۳۲
* ۲۰ cpb در IA-32 + SSE , Intel Core 2 Duo یا AMD Athlon ۶۴
* ۱۲٫۶ cpb در دستگاه معمولی مبتنی بر x۸۶–۶۴
* ۶–۷ cpb در [[IA-64 |IA-64]]<ref>{{Cite book|last=Bertoni|first=Guido|url=https://keccak.team/files/Keccak-implementation-3.2.pdf|title=Keccak implementation overview|date=2012-05-29|page=25|accessdate=2018-11-03}}</ref>

برنشتاین به‌طور دقیق برای اس‌اچ‌ای۳–۲۵۶ روی x۸۶–۶۴، عدد ۱۱٫۷–۱۲٫۲۵ cpb را بسته به CPU اندازه‌گیری کرده‌است.<ref>{{Cite web|url=https://cr.yp.to/hash/sha3opt-20120104.pdf|title=Optimization failures in SHA-3 software|last=Bernstein|first=Daniel J.|date=2012-01-04|website=cr.yp.to|accessdate=2020-02-29}}</ref> {{Rp|7}} اس‌اچ‌ای۳ به دلیل کند بودن در معماری‌های [[مجموعه دستورالعمل]] (CPU) که دستورالعمل خاصی برای محاسبه سریعتر توابع Keccak ندارند، مورد انتقاد قرار گرفته‌است - اس‌اچ‌ای۲–۵۱۲ بیش از دو برابر سریعتر از اس‌اچ‌ای۳، و اس‌اچ‌ای۱ بیش از سه برابر سریعتر از آن روی یک پردازنده Intel Skylake با فرکانس کلاک ۳٫۲ گیگاهرتز اجرا می‌شود.<ref name="slow">{{Cite web|url=http://keccak.noekeon.org/is_sha3_slow.html|title=Keccak Team|website=keccak.noekeon.org}}</ref> نویسندگان با پیشنهاد استفاده از SHAKE۱۲۸ و SHAKE۲۵۶ به جای اس‌اچ‌ای۳–۲۵۶ و اس‌اچ‌ای۳–۵۱۲، به قیمت کاهش یافتن نصف مقاومت‌پیش‌نمایش (اما با همان مقاومت برخورد)، به این انتقاد واکنش نشان داده‌اند. با این کار، عملکرد برابر می‌شود با اس‌اچ‌ای۲–۲۵۶ و اس‌اچ‌ای۲–۵۱۲.

با این حال، از نظر [[مدارهای مجتمع با کاربرد خاص|پیاده‌سازی سخت‌افزاری]]، اس‌اچ‌ای۳ به طرز ویژه‌ای سریعتر از سایر فینالیست‌ها است،<ref>{{Citation|title=Fair and Comprehensive Performance Evaluation of 14 Second Round SHA-3 ASIC Implementations|url=http://csrc.nist.gov/groups/ST/hash/sha-3/Round2/Aug2010/documents/papers/SCHAUMONT_SHA3.pdf|first=Xu|last=Guo|first2=Sinan|last2=Huang|first3=Leyla|last3=Nazhandali|first4=Patrick|last4=Schaumont|journal=NIST 2nd SHA-3 Candidate Conference|date=Aug 2010|access-date=2011-02-18|page=12}} Keccak is second only to Luffa, which did not advance to the final round.</ref> و همچنین سریع تر از اس‌اچ‌ای۲ و اس‌اچ‌ای۱.<ref name="slow"/>

معماری‌های ARMv8<ref>ARM corporation, ARM architecture reference manual ARMv8, for ARMv8-A architecture profile, document ARM DDI 0487C.a (ID121917), https://www.arm.com</ref> و [[آی‌بی‌ام|IBM]] s۳۹۰x در حال حاضر (از سال ۲۰۱۸) شامل دستورالعمل‌های ویژه ای هستند که الگوریتم‌های Keccak را قادر می‌سازند سریعتر اجرا شوند.

== نمونه‌ها ==
استاندارد NIST نمونه‌های زیر را برای پیام ''M'' و طول خروجی ''d نشان می‌دهد'':<ref name="fips202">{{Cite web|url=https://nvlpubs.nist.gov/nistpubs/FIPS/NIST.FIPS.202.pdf|title=SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions|last=[[NIST]]|date=August 2015|doi=10.6028/NIST.FIPS.202|accessdate=2020-02-29}}</ref> {{Rp|20,23}}
{| class="wikitable"
! rowspan="2" | نمونه
! rowspan="2" | طول خروجی d
! rowspan="2" | نرخ r{{سخ}}= اندازه بلوک
! rowspan="2" | ظرفیت c
! rowspan="2" | تعریف
! colspan="3" | نقاط قوت امنیتی در بیت‌ها
|-
! برخورد
! پیش نمایش
! پیش نمایش دوم
|-
| اس‌اچ‌ای۳–۲۲۴ (''M'')
| ۲۲۴
| ۱۱۵۲
| ۴۴۸
| Keccak[448](''M'' &#x7C;&#x7C; 01, 224)
| ۱۱۲
| ۲۲۴
| ۲۲۴
|-
| اس‌اچ‌ای۳–۲۵۶ (''M'')
| ۲۵۶
| ۱۰۸۸
| ۵۱۲
| Keccak[512](''M'' &#x7C;&#x7C; 01, 256)
| ۱۲۸
| ۲۵۶
| ۲۵۶
|-
| اس‌اچ‌ای۳–۳۸۴ (''M'')
| ۳۸۴
| ۸۳۲
| ۷۶۸
| Keccak[768](''M'' &#x7C;&#x7C; 01, 384)
| ۱۹۲
| ۳۸۴
| ۳۸۴
|-
| اس‌اچ‌ای۳–۵۱۲ (''M'')
| ۵۱۲
| ۵۷۶
| ۱۰۲۴
| Keccak[1024](''M'' &#x7C;&#x7C; 01, 512)
| ۲۵۶
| ۵۱۲
| ۵۱۲
|-
| SHAKE128(''M'', ''d'')
| ''d''
| ۱۳۴۴
| ۲۵۶
| Keccak[256](''M'' &#x7C;&#x7C; 1111, ''d'')
| min(''d''/2,128)
| &#x2265;min(''d'',128)
| min(''d'',128)
|-
| SHAKE256(''M'', ''d'')
| ''d''
| ۱۰۸۸
| ۵۱۲
| Keccak[512](''M'' &#x7C;&#x7C; 1111, ''d'')
| min(''d''/2,256)
| &#x2265;min(''d'',256)
| min(''d'',256)
|}
با تعاریف زیر
* Keccak[''c''](''N'', ''d'')=sponge[Keccak-f[1600], pad10<sup>*</sup>1, ''r''](''N'', ''d'')<ref name="fips202"/> {{Rp|20}}
* Keccak-f [1600] = Keccak-p [1600، 24] {{Rp|۱۷}}
* ''c'' ظرفیت است
* ''r'' نرخ است و = <span dir="ltr" lang="en">۱۶۰۰ - c</span> می‌باشد
* ''N'' رشته بیت ورودی است

توجه داشته باشید که پسوندهای اضافه شده به صورت رشته‌های بیتی نوشته می‌شوند، نه رقم‌های مبنای ۱۶.

نمونه‌های اس‌اچ‌ای۳ جایگزین قطره‌ای برای اس‌اچ‌ای۲ هستند، با همان ادعاهای امنیتی یکسان. نمونه‌های SHAKE به اصطلاح توابع خروجی قابل گسترش XOF گفته می‌شوند. به عنوان مثال، SHAKE128(M، ۲۵۶) می‌تواند به عنوان یک تابع درهم‌سازی با طول ۲۵۶ بیت و امنیت کلی ۱۲۸بیتی استفاده شود.

توجه داشته باشید که همه نمونه‌ها، تعدادی بیت به پیام اضافه می‌کنند، که سمت راست‌ترین آنها نشان‌دهندهٔ پسوند جدایی دامنه است. هدف از این کار این است که اطمینان حاصل شود نمی‌توان پیام‌هایی با همان خروجی درهم‌سازی‌شده را برای کاربردهای مختلف برنامه درهم‌سازی Keccak ساخت. پسوندهای جدایی دامنه زیر موجودند:<ref name="fips202"/><ref name="sakura">{{Cite web|url=https://keccak.team/files/Sakura.pdf|title=Sakura: A Flexible Coding for Tree Hashing|date=2014|website=Keccak Team|accessdate=2020-02-29}}</ref>
{| class="wikitable"
! پسوند
! معنی
|-
| style="text-align: right;" | … ۰
| برای استفاده بعدی محفوظ است
|-
| style="text-align: right;" | ۰۱
| SHA-3
|-
| style="text-align: right;" | … ۱۱
| RawSHAKE
|}
RawSHAKE پایه ای است برای رمزگذاری ساکورا جهت درهم‌سازی درختی، که هنوز استاندارد نشده‌است. با این حال، پسوند SHAKE با دقت انتخاب شده‌است تا این‌که [[سازگاری روبه بالا|سازگار با نسخه‌های بعدی]] ساکورا باشد. قبل از اعمال <span dir="ltr" lang="en">RawSHAKE</span>، Sakura بیت ۰ را برای یک هاپ زنجیره‌ای یا بیت ۱ را برای یک پیام، سپس <span dir="ltr" lang="en">۱۰<sup>[[ستاره کلین|*]]</sup>۰</span> را برای یک گره غیرنهایی (داخلی) یا ۱ را برای یک گره نهایی، اضافه می‌کند. درهم‌سازی متوالی مربوط به درخت هاپ با یک گره پیام است، بدین معنی که ۱۱ قبل از اعمال RawSHAKE به پیام اضافه می‌شود؛ بنابراین، SHAKE XOFs مقدار ۱۱۱۱ را به پیام اضافه می‌کند، یعنی ۱ برای پیام، ۱ برای گره نهایی و ۱۱ برای پسوند جدایی دامنه RawSHAKE.<ref name="sakura"/> {{Rp|16}}

از آنجا که لایه‌گذاری <span dir="ltr" lang="en">۱۰<sup>[[ستاره کلین|*]]</sup>۱</span> همیشه حداقل دو بیت را اضافه می‌کند، در کتابخانه‌های مرتب با بایت همیشه شش بیت صفر استفاده نشده وجود دارد؛ بنابراین، این بیت‌های اضافی هرگز پیام لایه‌گذاری را طولانی‌تر نمی‌کنند. {{مدرک|date=January 2019}}

== نمونه‌های اضافی ==
در دسامبر سال ۲۰۱۶، [[مؤسسه ملی فناوری و استانداردها|NIST]] یک سند جدید با نام NIST SP.800-185 منتشر کرد<ref>[http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-185.pdf SHA-3 Derived Functions: cSHAKE, KMAC, TupleHash and ParallelHash] {{PD-notice}}</ref> که عملکردهای اضافی مشتق شده اس‌اچ‌ای۳ را شرح می‌دهد:
{| class="wikitable"
! نمونه
! شرح
|-
| cSHAKE128 (''X'' , ''L''، ''N'' , ''S'')
| rowspan="2" | یک نسخه از SHAKE با پشتیبانی از جداسازی صریح دامنه از طریق پارامترهای شخصی‌سازی
|-
| cSHAKE256 (''X'' , ''L''، ''N'' , ''S'')
|-
| KMAC128 (''K'' , ''X''، ''L'' , ''S'')
| rowspan="4" | یک [[کد اصالت‌سنجی پیام|تابع درهم‌سازی کلید دار]] بر اساس Keccak. همچنین می‌تواند بدون کلید به عنوان یک تابع درهم‌سازی معمولی مورد استفاده قرار گیرد.
|-
| KMAC256 (''K'' , ''X''، ''L'' , ''S'')
|-
| KMACXOF128 (''K'' , ''X''، ''L'' , ''S'')
|-
| KMACXOF256 (''K'' , ''X''، ''L'' , ''S'')
|-
| TupleHash128 (''X'' , ''L''، ''S'')
| rowspan="4" | یک تابع برای درهم‌سازی یک [[تاپل |چندتایی (تاپل)]] از رشته‌ها. خروجی این تابع، هم به محتویات و هم توالی رشته‌های ورودی بستگی دارد.
|-
| TupleHash256 (''X'' , ''L''، ''S'')
|-
| TupleHashXOF128 (''X'' , ''L''، ''S'')
|-
| TupleHashXOF256 (''X'' , ''L''، ''S'')
|-
| ParallelHash128 (''X'' , ''B''، ''L'' , ''S'')
| rowspan="4" | یک تابع که به منظور بهره‌برداری از موازی‌سازی در پردازنده‌های مدرن حهت درهم‌سازی سریع‌تر ساخته شده‌است. بر خلاف KangarooTwelve، از Keccak با دورِکاهش‌یافته استفاده نمی‌کند.
|-
| ParallelHash256 (''X'' , ''B''، ''L'' , ''S'')
|-
| ParallelHashXOF128 (''X'' , ''B''، ''L'' , ''S'')
|-
| ParallelHashXOF256 (''X'' , ''B''، ''L'' , ''S'')
|}
* X رشته بیت ورودی اصلی است. این رشته ممکن است هر طولی، از جمله صفر داشته باشد.
* L عدد صحیحی است که تعداد بیت خروجی درخواستی را نشان می‌دهد.
* N نام یک تابع به صورت رشتهٔ بیتی است که توسط NIST برای تعریف توابع بر اساس cSHAKE استفاده می‌شود. هنگامی که هیچ تابعی غیر از cSHAKE مورد نظر باشد، N با رشته خالی مقداردهی می‌شود.
* S یک رشتهٔ بیتی جهت سفارشی‌سازی است. کاربر این رشته را برای تعریف یک پارامتر متغیر از [[تابع انتخاب]] می‌کند. هنگامی که هیچ سفارشی سازی مورد نظر نیست، S با رشته خالی مقداردهی می‌شود.
* K یک کلید به صورت رشتهٔ بیتی با هر طولی، از جمله صفر است.
* B تعداد بایت‌های هر بلوک حهت درهم‌سازی موازی است. B می‌تواند هر عدد صحیحی باشد به طوری که <span dir="ltr" lang="en">0 <B <2 <sup>2040</sup></span>.

== تحولات بعدی ==
=== درخت درهم‌سازی ===
در سال ۲۰۱۶، همان تیمی که توابع اس‌اچ‌ای۳ و الگوریتم Keccak را ایجاد کرده بودند، یک جایگزین سریعتر با تعداد دورهای کاهش‌یافته (کاهش‌یافته به ۱۲ و ۱۴دور، از ۲۴ دور در اس‌اچ‌ای۳) که به دلیل استفاده از درهم‌سازی درختی، می‌تواند از قابلیت اجرای موازی بهره بگیرد، ارائه کردند: KangarooTwelve و MarsupilamiFourteen.<ref>{{Cite web|url=https://keccak.team/kangarootwelve.html|title=Keccak Team: KangarooTwelve|publisher=Keccak Team}}</ref>

این توابع با ParallelHash، تابع درهم‌سازی استاندارشده FIPS باقابلیت موازی سازی و مبتنی بر Keccak، از نظر موازی‌سازی متفاوت است، زیرا در پیام‌های با اندازه کوچک سریعتر از ParallelHash هستند.

تعداد دور کاهش یافته با تلاش بسیار زیاد تحلیلی رمزنگاری متمرکز بر Keccak که نتوانست در حمله عملیاتی به هیچ الگوریتم Keccak با تعداد دور نزدیک به دوازده ایجاد کند، تصدیق می‌شود. این الگوریتم‌های با سرعت بالاتر جزئی از اس‌اچ‌ای۳ نیستند (زیرا آنها بعداً توسعه یافته‌اند)، و بنابراین سازگار با FIPS نیستند. اما آنها به همان اندازه توابع اس‌اچ‌ای۳ ایمن هستند، {{مدرک|date=January 2019}} زیرا آنها از همان جایگشت Keccak استفاده می‌کنند و هیچ حمله ای به Keccak ۱۲ دوری نشده‌است.

KangarooTwelve یک نسخه با تعداد دور کاهش یافته (از ۲۴ به ۱۲ دور) با عملکرد بالاتر از Keccak است که ادعا می‌کند ۱۲۸ بیت امنیت دارد<ref name="KangarooTwelve">{{Cite web|url=https://eprint.iacr.org/2016/770.pdf|publisher=[[International Association for Cryptologic Research]]|title=KangarooTwelve: fast hashing based on Keccak-p|year=2016}}</ref> در حالی که عملکردی برابر با ۰٫۵۵ چرخه در هر بایت دارد.<ref name="KangarooTwelveSlides">{{Cite web|url=https://keccak.team/files/K12atACNS.pdf|title=KangarooTwelve slides presented at ACNS 2018|publisher=Keccak Team}}</ref> این الگوریتم یک پیش نویس [[کارگروه مهندسی اینترنت|IETF]] [[درخواست نظر|RFC]] است.<ref>{{Cite web|url=https://datatracker.ietf.org/doc/draft-irtf-cfrg-kangarootwelve/|title=draft-irtf-cfrg-kangarootwelve-00 - KangarooTwelve|last=|first=|date=|website=datatracker.ietf.org|publisher=[[Internet Engineering Task Force|IETF]]|archiveurl=|archivedate=|accessdate=2020-01-17}}</ref>

MarsupilamiFourteen، نسخهٔ اندکی تغییریافتهٔ KangarooTwelve، از ۱۴ دور جایگشت Keccak استفاده می‌کند و ادعا می‌کند ۲۵۶ بیت امنیت دارد. توجه داشته باشید که امنیت ۲۵۶ بیتی در عمل مفیدتر از امنیت ۱۲۸ بیتی نیست، اما ممکن است طبق برخی استانداردها مورد نیاز باشد.<ref name="KangarooTwelve"/> درحال حاضر ۱۲۸ بیت برای پیروزشدن بر حملات brute-force بر روی سخت‌افزار فعلی کافی است، بنابراین داشتن امنیت ۲۵۶ بیتی ارزش عملی نمی‌افزاید، مگر اینکه کاربر نگران پیشرفتهای چشمگیر سرعت کامپیوترهای ''کلاسیک'' باشد. برای مقاومت در برابر رایانه‌های ''کوانتومی''، به زیر مراجعه کنید.

KangarooTwelve و MarsupilamiFourteen، مشابه SHAKE، توابع با قابلیت گسنرش خروجی هستند، بنابراین آنها برای یک پیام مشترک با طول خروجی متفاوت، خروجی نزدیک به هم تولید می‌کنند (خروجی طولانی‌تر تعمیم‌یافتهٔ خروجی کوتاه‌تر می‌باشد). توابع درهم‌ساز مانند اس‌اچ‌ای۳ یا ParallelHash (به جز انواع مختلف XOF) چنین خاصیتی از خود نشان نمی‌دهند.<ref name="fips202"/>

=== ساخت و ساز فارفاله(Farfalle) ===
در سال ۲۰۱۶، تیم Keccak یک ساخت و ساز مختلف به نام [[ساخت فارفل |ساخت و ساز فارفاله]]، و Kravatte، یک نمونه از فارفاله که از جایگشت Keccak-p استفاده می‌کند، منتشر کردند،<ref name="Kravatte">{{Cite web|url=https://eprint.iacr.org/2016/1188|title=Farfalle: parallel permutation-based cryptography|last=Guido Bertoni, Joan Daemen, Seth Hoffert, Michaël Peeters, Gilles Van Assche, Ronny Van Keer}}</ref> به‌علاوهٔ دو الگوریتم رمزگذاری معتبر

Kravatte-SANE و Kravatte-SANSE<ref name="KravatteSaneSanse">{{Cite web|url=https://eprint.iacr.org/2018/1012|title=The authenticated encryption schemes Kravatte-SANE and Kravatte-SANSE|last=Guido Bertoni, Joan Daemen, Seth Hoffert, Michaël Peeters, Gilles Van Assche, Ronny Van Keer}}</ref>

== امنیت در برابر حملات کوانتومی ==
یک نتیجه کلی ([[الگوریتم گرور]]) وجود دارد که کامپیوترهای کوانتومی می‌توانند یک حمله پیش‌نمایش ساختار یافته را در <math>\sqrt{2^d} = 2^{d/2}</math>  انجام دهند، در حالی که یک حمله brute-force کلاسیک به 2<sup>''d''</sup> نیاز دارد. یک حمله ساختار یافته پیش‌نمایش نشانگر یک حمله پیش‌نمایش دوم<ref name="quantumsha3">{{Cite web|url=http://cr.yp.to/hash/quantumsha3-20101112.pdf|title=Abstract|website=cr.yp.to}}</ref> و در نتیجه یک [[حمله تصادم]] است. یک کامپیوتر کوانتومی همچنین می‌تواند یک [[حمله روز تولد]] را در <math>\sqrt[3]{2^d} = 2^{d/3}</math><ref>{{Cite book|title=Abstract|volume=1380|pages=163–169|doi=10.1007/BFb0054319|chapter=Quantum cryptanalysis of hash and claw-free functions|series=Lecture Notes in Computer Science|year=1998|last=Brassard|first=Gilles|last2=Høyer|first2=Peter|last3=Tapp|first3=Alain|isbn=978-3-540-64275-6|arxiv=quant-ph/9705002}}</ref> (اگرچه این مورد اختلاف است<ref>{{Cite web|url=http://cr.yp.to/hash/collisioncost-20090823.pdf|title=Cost Analysis|website=cr.yp.to}}</ref>) انجام دهد، درنتیجه مقاومت در برابر تصادم را ازبین ببرد. با توجه به این که حداکثر قدرت می‌تواند <math>c/2</math> باشد، کران‌های بالای<ref>{{Cite web|url=http://www.scottaaronson.com/papers/collision.pdf|title=Collision problem|website=scottaaronson.com}}</ref> زیر بر روی امنیت کوانتومی اس‌اچ‌ای۳ حاصل می‌شوند:
{| class="wikitable"
! rowspan="2" | نمونه
! colspan="4" | نقاط قوت امنیتی در بیت‌ها
|-
! تصادم{{سخ}}(براسارد و همکاران)
! تصادم{{سخ}}(برنشتاین)
! پیش نمایش
! پیش نمایش ۲
|-
| SHA3-224 (''M'')
| style="background: yellow;" | ۷۴⅔
| ۱۱۲
| ۱۱۲
| ۱۱۲
|-
| SHA3-256 (''M'')
| style="background: yellow;" | ۸۵⅓
| ۱۲۸
| ۱۲۸
| ۱۲۸
|-
| SHA3-384 (''M'')
| ۱۲۸
| ۱۹۲
| ۱۹۲
| ۱۹۲
|-
| SHA3-512 (''M'')
| ۱۷۰⅔
| ۲۵۶
| ۲۵۶
| ۲۵۶
|-
| SHAKE128(''M'', ''d'')
| min(''d''/3,128)
| min(''d''/2,128)
| &#x2265;min(''d''/2,128)
| min(''d''/2,128)
|-
| SHAKE256(''M'', ''d'')
| min(''d''/3,256)
| min(''d''/2,256)
| &#x2265;min(''d''/2,256)
| min(''d''/2,256)
|}
نشان داده شده‌است که ساخت و ساز مرکل-دامگورد، که در اس‌اچ‌ای۲ از آن استفاده می‌شود، در حال فروپاشی است و به تبع آن، مقاوم در برابر تصادم کوانتومی است،<ref>{{Cite web|url=https://eprint.iacr.org/2016/508.pdf|title=Paper|website=eprint.iacr.org|year=2016}}</ref> اما برای ساخت اسفنج مورد استفاده در اس‌اچ‌ای۳، نویسندگان فقط برای این مورد که تابع بلوکی ''f'' باهزینه‌کم وارون‌پذیر نیست اثبات کرده‌اند. Keccak-f [۱۶۰۰]، ولی، باهزینه‌کم وارون‌پذیر است و بنابراین اثبات آنها کاربردی نیست.<ref>{{Cite web|url=https://eprint.iacr.org/2017/282.pdf|title=Abstract|website=eprint.iacr.org|year=2017}}</ref>

== بحث و گفتگو در مورد تغییر ظرفیت ==
در فوریه ۲۰۱۳در کنفرانس RSA، و سپس در اوت ۲۰۱۳ در <span dir="rtl" lang="fa">CHES</span>، NIST اعلام کرد که مقادیر مختلفی را برای ظرفیت، که پارامتر امنیتی است، برای استاندارد اس‌اچ‌ای۳، در مقایسه با ارسال اولیه، انتخاب می‌کنند.<ref name="rsa2013">{{Cite web|url=http://csrc.nist.gov/groups/ST/hash/sha-3/documents/burr_dimacs2013_presentation.pdf|title=SHA3, Where We've Been, Where We're Going|publisher=RSA Conference 2013|last=John Kelsey}}</ref><ref name="ches2013">{{Cite web|url=https://docs.google.com/file/d/0BzRYQSHuuMYOQXdHWkRiZXlURVE|title=SHA3, Past, Present, and Future|publisher=CHES 2013|last=John Kelsey}}</ref> این تغییرات باعث سردرگمی شد.

مسابقات توابع درهم‌سازی، خواستار توابع درهم‌ساز شد که حداقل به همان اندازه نمونه‌های اس‌اچ‌ای۲ امنیت داشته باشند. به این معنی که یک خروجی d بیتی باید مقاومت d/۲ بیتی درمقابل [[حمله تصادم|حملات تصادم]] و مقاومت d بیتی در برابر [[حمله مقدماتی |حملات پیش‌نمایش]] داشته باشد، مقدار حداکثری که برای d بیت از خروجی دست یافتنی است. اثبات امنیتی Keccak امکان تنظیم سطح امنیتی را مبتنی بر «ظرفیت» ''c'' می‌دهد، که مقاومت ''c''/۲ بیتی در برابر هردو حمله تصادم و حمله پیش‌نمایش فراهم می‌کند. جهت برآورده ساختن قوانین اصلی رقابت، نویسندگان کچاک ''c'' = ''۲d را پیشنهاد کردند''. تغییر اعلام شده برای پذیرش همان امنیت ''d''/۲ بیتی برای همه اشکال حمله و استانداردسازی ''c'' = ''d بود''. این می‌توانست با فراهم کردن امکان درهم‌سازی d بیت اضافه‌تر از ورودی درهربار تکرار چرخه، سرعت Keccak را بالا ببرد؛ ولی، توابع درهم‌سازی دیگر نمی‌توانستند جایگزین‌های قطره‌ای با همان مقاومت پیش‌نمایشی اس‌اچ‌ای۲ باشند. با این کار مقاومت پیش‌نمایشی به نصف کاهش می‌یافت، باعث می‌شد در برابر پیشرفت‌های [[رایانش کوانتومی|محاسبات کوانتومی]] آسیب‌پذیر شود، که به‌طور مؤثری آن را دوباره به نصف کاهش می‌داد.<ref name="quantumsha3"/>

در سپتامبر ۲۰۱۳، [[دنیل برنشتاین|دنیل جی برنشتاین]] در لیست پستی انجمن درهم‌سازی [[مؤسسه ملی فناوری و استانداردها|NIST]]<ref>{{Cite web|title=NIST hash forum mailing list|url=http://csrc.nist.gov/groups/ST/hash/email_list.html|date=2017-01-04}}</ref> پیشنهاد کرد که امنیت را با رساندن ظرفیت به ۵۷۶ بیت، که در ابتدا به عنوان پیش فرض کچاک پیشنهاد شده بود، و علاوه بر این در مشخصات فنی اس‌اچ‌ای۳ گنجانده نشده بود، تقویت کنند.<ref>{{Cite web|url=http://keccak.noekeon.org/Keccak-submission-3.pdf|title=The Keccak SHA-3 submission|date=2011-01-14|accessdate=2014-02-08}}</ref> این کار می‌توانست حداقل یک اس‌اچ‌ای۳–۲۲۴ و اس‌اچ‌ای۳–۲۵۶ با همان مقاومت پیش‌نمایشی به اندازه پیشینیان اس‌اچ‌ای۲ خود فراهم کند، اما اس‌اچ‌ای۳–۳۸۴ و اس‌اچ‌ای۳–۵۱۲ مقاومت پیش‌نمایشی بسیار کمتری نسبت به پیشینیان اس‌اچ‌ای۲ خود پیدا می‌کردند. در اواخر ماه سپتامبر، تیم کچاک با بیان این‌که آن‌ها قبلاً امنیت ۱۲۸ بیتی با تعیین {{Nowrap|1=''c'' = ۲۵۶}} را به عنوان یک گزینه در پروپوزال اس‌اچ‌ای۳ خود پیشنهاد داده‌بودند، پاسخ داد.<ref>{{Cite web|title=On 128-bit security|url=http://keccak.noekeon.org/on_128bit_security.html}}</ref> اگرچه از نظر آنها کاهش ظرفیت قابل توجیه بود، با توجه به پاسخ منفی، آنها پیشنهاد کردند ظرفیت به ''c'' = ۵۱۲ بیت برای همه نمونه‌ها افزایش یابد. این مقدار ظرفیت به همان اندازهٔ هر استاندارد قبلی با حداکثر سطح امنیتی ۲۵۶ بیتی بود، و در عین حال بازده مناسبی هم داشت،<ref>{{Cite web|url=http://keccak.noekeon.org/a_concrete_proposal.html|title=A concrete proposal|date=2013-10-02}}</ref> اما نه به اندازهٔ مقاومت پیش‌نمایشی <span dir="ltr" lang="en">384- / 512</span> بیتی ارائه شده توسط اس‌اچ‌ای۲–۳۸۴ و اس‌اچ‌ای۲–۵۱۲. نویسندگان سعی کردند با این ادعا که "ادعاکردن یا اعتماد بر سطح قدرت امنیتی بالای ۲۵۶ بیت بی معنی است" خود را توجیه کنند.

در اوایل اکتبر ۲۰۱۳، [[بروس اشنایر|بروس اشنیر]] با انتقاد از تصمیم NIST مبنی بر تأثیرات مضر آن بر پذیرش الگوریتم، گفت:

{{quote|There is too much mistrust in the air. NIST risks publishing an algorithm that no one will trust and no one (except those forced) will use.<ref name="schneier">{{cite web|title=Schneier on Security: Will Keccak = SHA-3? |url=https://www.schneier.com/blog/archives/2013/10/will_keccak_sha-3.html}}</ref>}}

پل کرولی، رمزنگار و توسعه دهنده ارشد در یک شرکت مستقل توسعه نرم‌افزار، با گفتن این‌که کچاک قرار است قابل تنظیم باشد و هیچ دلیلی بر وجود سطوح امنیتی مختلف درون یک اصل اولیه وجود ندارد، حمایت خود از این تصمیم را بیان کرد. وی همچنین اضافه کرد:

{{quote|Yes, it's a bit of a shame for the competition that they demanded a certain security level for entrants, then went to publish a standard with a different one. But there's nothing that can be done to fix that now, except re-opening the competition. Demanding that they stick to their mistake doesn't improve things for anyone.<ref>{{cite web |title=LShift: Why I support the US Government making a cryptography standard weaker |url=http://www.lshift.net/blog/2013/10/01/why-i-support-the-us-government-making-a-cryptography-standard-weaker |access-date=۲۱ مه ۲۰۲۰ |archive-date=۱۹ اوت ۲۰۲۲ |archive-url=https://web.archive.org/web/20220819142306/http://www.lshift.net/blog/2013/10/01/why-i-support-the-us-government-making-a-cryptography-standard-weaker |url-status=dead }}</ref>}}

برخی گمان‌ها نیز مبنی بر ایجاد تغییرات داخلی در کچاک وجود داشت. تیم کچاک این موضوع را روشن کرد و اظهار داشت که پیشنهاد NIST برای اس‌اچ‌ای۳ زیرمجموعه ای از خانواده کچاک است که برای آن بشود با استفاده از کد مرجع ارسال شده به مسابقه، بردارهای تست تولید کرد و این پیشنهاد نتیجه یک سری بحث‌ها بین آنها و تیم درهم‌سازی NIST بود.<ref>{{Cite web|title=Yes, this is Keccak!|url=http://keccak.noekeon.org/yes_this_is_keccak.html}}</ref> همچنین، [[بروس اشنایر]] اظهارات قبلی خود را اصلاح کرد و گفت:

{{quote|وقتی نوشتم که NIST «تغییرات داخلی» در الگوریتم ایجاد کرده‌است، اشتباه کردم. این بی‌دقتی من بود. جایگشت کچاک بدون تغییر باقی مانده‌است. آنچه NIST پیشنهاد کرد کاهش ظرفیت تابع درهم‌سازی جهت کمک به افزایش عملکرد بود. یکی از ویژگی‌های خوب کچاک این است که بسیار قابل تنظیم است.<ref name="schneier"/>||}}

در پاسخ به این بحث و گفتگو، در نوامبر ۲۰۱۳ جان کلسی از NIST پیشنهاد بازگشت به طرح اصلی {{Nowrap|1=''c'' = ۲''d''}} برای همه نمونه‌های جایگزینی قطره ای اس‌اچ‌ای۲ را داد.<ref>{{Cite web|title=Moving Forward with SHA-3|url=http://csrc.nist.gov/groups/ST/hash/sha-3/documents/kelsey-email-moving-forward-110113.pdf}}</ref> این بازبینی در پیش نویس آوریل ۲۰۱۴ تأیید شد.<ref name="draft201404">{{Cite web|url=http://csrc.nist.gov/publications/drafts/fips-202/fips_202_draft.pdf|title=SHA-3 Standard: Permutation-Based Hash and Extendable-Output Functions|publisher=NIST|last=NIST Computer Security Division (CSD)}}</ref> این پیشنهاد در استاندارد انتشار نهایی در اوت ۲۰۱۵ پیاده‌سازی شد.<ref name="nist.gov"/>

فرم‌های با ظرفیت کاهش‌یافته با عنوان SHAKE۱۲۸ و SHAKE۲۵۶ منتشر شدند، که عدد آن‌ها سطح امنیتی را نشان می‌دهد و تعداد بیت‌های خروجی متغیر است، اما باید دو برابر مقاومت موردنیاز در برابر تصادم باشد.

== نمونه‌هایی از انواع اس‌اچ‌ای۳ ==
مقادیر درهم‌سازی زیر از NIST.gov است:<ref>{{Cite web|title=NIST.gov – Computer Security Division – Computer Security Resource Center|url=http://csrc.nist.gov/groups/ST/toolkit/examples.html#aHashing|date=2016-12-29}}</ref>
  <span dir="ltr" lang="en"><span style="color: green;">SHA3-224 ("")</span>
 6b4e03423667dbb73b6e15454f0eb1abd4597f9a1b078e3f5b5a6bc7
 <span style="color: green;">SHA3-256 ("")</span>
 a7ffc6f8bf1ed76651c14756a061d662f580ff4de43b49fa82d80a4b80f8434a
 <span style="color: green;">SHA3-384 ("")</span>
 0c63a75b845e4f7d01107d852e4c2485c51a50aaaa94fc61995e71bbee983a2ac3713831264adb47fb6bd1e058d5f004
 <span style="color: green;">SHA3-512 ("")</span>
 a69f73cca23a9ac5c8b567dc185a756e97c982164fe25859e0d1dcc1475c80a615b2123af1f5f94c11e3e9402c3ac558f500199d95b6d3e301758586281dcd26
 <span style="color: green;">SHAKE128 (""، 256)</span>
 7f9c2ba4e88f827d616045507605853ed73b8093f6efbc88eb1a6eacfa66ef26
 <span style="color: green;">SHAKE256 (""، 512)</span>
 46b9dd2b0ba88d13233b3feb743eeb243fcd52ea62b81b82b50c27646ed5762fd75dc4ddd8c0f200cb05019d67b592f6fc821c49479ab4840292eacb3b7c4be</span>
تغییر یک بیت واحد باعث می‌شود که هر بیت در خروجی با احتمال <span dir="ltr" lang="en">۵۰٪</span> تغییر کند که یک [[اثر بهمنی]] را نشان می‌دهد:
  <span dir="ltr" lang="en"><span style="color: green;">SHAKE128("The quick brown fox jumps over the lazy dog", 256)</span>
 f4202e3c5852f9182a0430fd8144f0a74b95e7417ecae17db0f8cfeed0e3e66e
 <span style="color: green;">SHAKE128("The quick brown fox jumps over the lazy do<span style="color: red;">f</span>", 256)</span>
 853f4538be0db9621a6cea659a06c1107b1f83f02b13d1</span>

== مقایسه توابع اس‌اچ‌ای ==
در جدول زیر، ''حالت داخلی'' به معنی تعداد بیت‌هایی است که به بلوک بعدی منتقل می‌شوند. {{Comparison of SHA functions}}

== پیاده‌سازی‌ها ==
در زیر لیستی از کتابخانه‌های رمزنگاری که از اس‌اچ‌ای۳ پشتیبانی می‌کنند آمده‌است:
* <span dir="ltr" lang="en">[https://docs.rs/sha3 sha3]</span> [[راست (زبان برنامه‌نویسی)|<span dir="ltr" lang="en">Rust's</span>]]
* [[Botan (کتابخانه برنامه‌نویسی) |Botan]]
* Bouncy Castle
* ++Crypto
* Libgcrypt
* Nettle
* [[اپن‌اس‌اس‌ال|OpenSSL]]
* wolfSSL
* [https://github.com/miracl/MIRACL <span dir="ltr" lang="en">MIRACL Cryptographic SDK</span>]
* <span dir="ltr" lang="en">[[گو (زبان برنامه‌نویسی)|Golang's]] [https://godoc.org/golang.org/x/crypto/sha3 x/crypto/sha3]</span>

== استفاده در پروتکل‌ها ==
* {{Section link|Ethereum#Ether}}

== جستارهای وابسته ==
* Ethash - یکی دیگر از درهم‌سازی‌های مبتنی‌بر کچاک

== منابع ==
{{پانویس|۲}}

== پیوند به بیرون ==
* [https://keccak.team/ وب سایت کچاک]

[[رده:درهم‌سازهای رمزنگارانه]]