No es un estándar.Abierto a revisión.

XAES-512 se basa en Protectstar Extended AES, publicado por primera vez en 2007. Utiliza una matriz de estado 4×16 (512 bits) en lugar de la matriz 4×4 (128 bits) usada por AES estándar, y conserva sin cambios AddRoundKey, MixColumns y la S-box SubBytes de Rijndael; se amplían los desplazamientos ShiftRows, el número de rondas y la expansión de clave.

Hoy, el nombre significa “Extended Algorithm, Enhanced Security.” XAES-512 no es AES tal como lo define FIPS 197 y no lo reemplaza.

XAES-512 proporciona una única construcción autenticada — no varios modos de operación seleccionables libremente. La confidencialidad la proporciona el modo Counter (CTR); la integridad y la autenticidad las proporciona HMAC-SHA-512 siguiendo el esquema Encrypt-then-MAC (composición genérica según Bellare–Namprempre). La etiqueta de autenticación se verifica antes de cada descifrado.

El formato del mensaje se define como Wire Format v1 (perfil 0x02). Los datos asociados (Associated Data) se incluyen en la autenticación.

Una clave se deriva de la contraseña mediante PBKDF2-HMAC-SHA-512 — con una sal aleatoria para cada mensaje y 220.000 iteraciones (perfil 0x02). Después, HKDF-SHA-512 separa las claves para cifrado y autenticación. Las contraseñas se codifican en UTF-8 y se normalizan con Unicode NFC para que entradas idénticas produzcan la misma clave en todas las plataformas.

El campo de iteraciones transmitido en el encabezado está limitado superiormente (límite de implementación), de modo que un mensaje no pueda forzar un cómputo excesivo antes de la verificación de la etiqueta.

El número de rondas sigue la derivación basada en Rijndael descrita en el documento: es decisivo el mayor número de palabras entre tamaño de bloque y tamaño de clave. Para un bloque de 512 bits, son 16 palabras → 22 rondas; el perfil 0x02 añade dos rondas adicionales en relación con la estructura ShiftRows extendida, lo que da 24 rondas en total.

Proceso KeyExpansion extendido basado en la especificación Rijndael:

KeyExpansion(byte Key[4*Nk], word W[Nb*(Nr+1)])
{
  for (i = 0; i < Nk; i++)
    W[i] = (Key[4*i], Key[4*i+1], Key[4*i+2], Key[4*i+3]);

  for (i = Nk; i < Nb*(Nr+1); i++) {
    temp = W[i-1];
    if (i % Nk == 0 || (i % Nk == 4 && Nk > 6))
      temp = SubByte(RotByte(temp)) ^ Rcon[i / Nk];
    else if ((i % Nk == 8 || i % Nk == 12) && Nk > 6)
      temp = SubByte(temp);
    W[i] = W[i-Nk] ^ temp;
  }
}

Con los desplazamientos estándar {0,1,2,3}, la variante de 512 bits alcanza difusión completa en la medición estructural de difusión incluida solo después de 6 rondas. Los desplazamientos seleccionados {0,1,4,5} la alcanzan en esta medición después de 4 rondas.

La afirmación sobre la difusión puede reproducirse usando la herramienta diffusion_check.py del bundle. El archivo core-kats.json contiene pruebas de respuesta conocida adicionales para el core cipher.