Kein Standard.Offen zur Prüfung.

XAES-512 baut auf dem 2007 veröffentlichten Protectstar Extended AES auf. Es verwendet eine 4×16-Zustandsmatrix (512 Bit) statt der 4×4-Matrix (128 Bit) des Standard-AES und übernimmt AddRoundKey, MixColumns und die SubBytes-S-Box von Rijndael unverändert; ShiftRow-Offsets, Rundenzahl und Schlüsselexpansion sind erweitert.

Der Name steht heute für „Extended Algorithm, Enhanced Security“. XAES-512 ist kein AES im Sinne von FIPS 197 und kein Ersatz dafür.

XAES-512 stellt eine einzige, authentifizierte Konstruktion bereit — nicht mehrere frei wählbare Betriebsarten. Vertraulichkeit liefert der Counter-Modus (CTR); Integrität und Authentizität liefert HMAC-SHA-512 nach dem Encrypt-then-MAC-Schema (generische Komposition nach Bellare–Namprempre). Das Authentifizierungs-Tag wird vor jeder Entschlüsselung geprüft.

Das Nachrichtenformat ist als Wire-Format v1 (Profil 0x02) festgelegt. Zugehörige Daten (Associated Data) werden in die Authentifizierung einbezogen.

Aus dem Passwort wird per PBKDF2-HMAC-SHA-512 ein Schlüssel abgeleitet — mit einem zufälligen Salt je Nachricht und 220.000 Iterationen (Profil 0x02). Anschließend trennt HKDF-SHA-512 die Schlüssel für Verschlüsselung und Authentifizierung. Passwörter werden UTF-8-kodiert und Unicode-NFC-normalisiert, damit gleiche Eingaben plattformübergreifend denselben Schlüssel ergeben.

Das im Header übertragene Iterationsfeld ist nach oben begrenzt (Implementierungsgrenze), damit eine Nachricht vor der Tag-Prüfung keinen übermäßigen Rechenaufwand erzwingen kann.

Die Rundenzahl folgt der im Dokument beschriebenen Rijndael-abgeleiteten Herleitung: maßgeblich ist die größere Wortzahl aus Block- und Schlüsselgröße. Beim 512-Bit-Block sind das 16 Wörter → 22 Runden; Profil 0x02 ergänzt zwei weitere Runden im Zusammenhang mit der erweiterten ShiftRows-Struktur, also 24 Runden insgesamt.

Erweiterter KeyExpansion-Prozess auf Basis der Rijndael-Spezifikation:

KeyExpansion(byte Key[4*Nk], word W[Nb*(Nr+1)])
{
  for (i = 0; i < Nk; i++)
    W[i] = (Key[4*i], Key[4*i+1], Key[4*i+2], Key[4*i+3]);

  for (i = Nk; i < Nb*(Nr+1); i++) {
    temp = W[i-1];
    if (i % Nk == 0 || (i % Nk == 4 && Nk > 6))
      temp = SubByte(RotByte(temp)) ^ Rcon[i / Nk];
    else if ((i % Nk == 8 || i % Nk == 12) && Nk > 6)
      temp = SubByte(temp);
    W[i] = W[i-Nk] ^ temp;
  }
}

Mit den Standard-Offsets {0,1,2,3} erreicht die 512-Bit-Variante in der mitgelieferten strukturellen Diffusionsmessung volle Diffusion erst nach 6 Runden. Die gewählten Offsets {0,1,4,5} erreichen sie in dieser Messung nach 4 Runden.

Die Diffusionsaussage ist über das Werkzeug diffusion_check.py im Bundle reproduzierbar. Die Datei core-kats.json enthält zusätzliche Known-Answer-Tests für den Core-Cipher.